Geen toegang tot Windows 2019 DC na wijzigen naam

[mvandek2]

Ik heb de computernaam van een Windows 2019 DC gewijzigd waarna ik niet meer kan inloggen. De melding is: The security database on the server does not have a computer account for the workstation trust relationship.

Het is een DC dus ik kan geen lokale admin maken, weet iemand hoe dit te verhelpen?

[PD2JK]

Misschien moet je 'm nog een herstart geven. Een naamswijziging zou zonder problemen moeten kunnen. Het kan zijn dat hij nog op een replicatie wacht, zijn er andere DC's in je domain/forest?

[PolarBear]

Volgens mij is het renamen van een DC niet echt de bedoeling en moet je daar echt wat specifieke stappen voor zetten om dat goed te laten gaan. Oh ja en DC renamen dan komt ook altijd bij mij boven 'It's always DNS'.

[ Voor 14% gewijzigd door PolarBear op 15-02-2022 15:44 ]

[mvandek2]

PD2JK schreef op dinsdag 15 februari 2022 @ 15:36:
Misschien moet je 'm nog een herstart geven. Een naamswijziging zou zonder problemen moeten kunnen. Het kan zijn dat hij nog op een replicatie wacht, zijn er andere DC's in je domain/forest?

Ik heb meerdere malen herstart, met en zonder netwerkkabel maar ik kom er niet meer in.

[MAX3400]

mvandek2 schreef op dinsdag 15 februari 2022 @ 15:43:
[...]

Ik heb meerdere malen herstart, met en zonder netwerkkabel maar ik kom er niet meer in.

Tja, als dat zeker is en er is geen enkel local account om mee in te loggen: restore terugzetten dan maar?

Of, als je meerdere DC's hebt in de omgeving: deze "kapotte" als verloren beschouwen, eventueel rollen etc overpakken, formatteren en opnieuw inrichten?

[mvandek2]

PolarBear schreef op dinsdag 15 februari 2022 @ 15:39:
Volgens mij is het renamen van een DC niet echt de bedoeling en moet je daar echt wat specifieke stappen voor zetten om dat goed te laten gaan. Oh ja en DC renamen dan komt ook altijd bij mij boven 'It's always DNS'.

Hij was niet nog niet in gebruik maar ik kan het niet uitstaan dat ik er niet meer bij kan. Vanaf de prompt kan ik overal bij maar normale login is nu onmogelijk geworden zoals het lijkt.

[mvandek2]

Even voor de zekerheid, de computernaam is nu MININT-<random> en wisselt nu elke keer na herstarten maar dat zal samenhangen met de login via USB.

Het domein is er nog, ik heb 2 admin's en beide geven geen toegang meer.

[PolarBear]

mvandek2 schreef op dinsdag 15 februari 2022 @ 15:46:
[...]

Hij was niet nog niet in gebruik maar ik kan het niet uitstaan dat ik er niet meer bij kan. Vanaf de prompt kan ik overal bij maar normale login is nu onmogelijk geworden zoals het lijkt.

Definieer hij was nog niet in gebruik? Wat het de enige DC in je domein of wat het een extra DC die je had toegevoegd (in dat laatste geval zou ik uithuilen en de DC opnieuw installeren en joinen).

[mvandek2]

Het was de enige DC in dit domein.

[HKLM_]

mvandek2 schreef op dinsdag 15 februari 2022 @ 15:50:
Het was de enige DC in dit domein.

Ik neem aan dat je dit nu op je test omgeving aan het doen bent en dit niet de productie DC is?

Zomaar hernoemen van een DC is geen goed idee kijk maar eens naar deze handleiding hoe ze het doen: https://www.kieri.com/how...r-2016-domain-controller/ zij doen een Demote op en een promoten na de wijziging.

Snap sowieso niet zo goed waarom je eerst een domeincontroller maak en vervolgens de DC naam wilt wijzigen dat doe je er toch voor?

[ Voor 44% gewijzigd door HKLM_ op 15-02-2022 15:54 ]

[MAX3400]

mvandek2 schreef op dinsdag 15 februari 2022 @ 15:49:
Het domein is er nog, ik heb 2 admin's en beide geven geen toegang meer.

Beiden geven toegang... Tot wat?

Misschien, ondanks de paniek (??), even exact uitleggen wat je doet, ziet, terugkrijgt en gedaan hebt? Want "beide geven geen toegang meer" is ook niet een error die je eventueel in Google terugvindt omtrent domain controllers.

HKLM_ schreef op dinsdag 15 februari 2022 @ 15:52:
[...]


Ik neem aan dat je dit nu op je test omgeving aan het doen bent en dit niet de productie DC is?

Zomaar hernoemen van een DC is geen goed idee kijk maar eens naar deze handleiding hoe ze het doen: https://www.kieri.com/how...r-2016-domain-controller/

Wat ik al geprobeerd en gevonden heb...

[ Voor 33% gewijzigd door MAX3400 op 15-02-2022 15:54 ]

[PolarBear]

En had je al andere PC's toegevoegd aan het domein?

Ik denk dat je de DC en je domein als je geen backup hebt als verloren kan beschouwen. Of althans dat de snelste manier is om er weer bovenop te komen.

één DC = géén DC

Wijzingen in namen van DC's en domeinen altijd heel goed uitzoeken. DNS gaat stuk, domein gaat stuk.

[PD2JK]

Kan een restore a.d.h.v. het Directory Services Restore Mode Password nog soelaas bieden?
Die heb je wel gedocumenteerd toch?

Maar misschien is een nieuw domain beginnen wel sneller, helemaal met snelle storage in een virtuele omgeving.

[ Voor 31% gewijzigd door PD2JK op 15-02-2022 15:57 ]

[mvandek2]

Het is inderdaad een testomgeving en ik begrijp het risico van renaming in een netwerk maar dit betreft een enkele DC waar ik wordt buitengesloten, ik kan dus vanaf een USB via een prompt overal bij. Ik kan me niet voorstellen dat ik niets anders kan doen dan simpel herinstalleren.

Als ik op het domein inlog:
The security database on the server does not have a computer account for the worksation trust relationship.

Als ik bij het login scherm kies voor ander domein staat de nieuwe computernaam daar dus dat lijkt goed gegaan te zijn. Inloggen als <computernaam>\administrator geeft:
An attempt was made to logon, but the network service was not started.
Dit lijkt me samenhangen met het feit dat het een DC is.

[HKLM_]

Begrijp je wel wat deze melding inhoud en waarom hij deze geeft?

Als ik op het domein inlog:
The security database on the server does not have a computer account for the worksation trust relationship.

[mvandek2]

PolarBear schreef op dinsdag 15 februari 2022 @ 15:52:
En had je al andere PC's toegevoegd aan het domein?

Ik denk dat je de DC en je domein als je geen backup hebt als verloren kan beschouwen. Of althans dat de snelste manier is om er weer bovenop te komen.

één DC = géén DC

Wijzingen in namen van DC's en domeinen altijd heel goed uitzoeken. DNS gaat stuk, domein gaat stuk.

Mee eens maar ik wil hier toch wel moeite voor doen omdat ik er goed zenuwachtig van wordt. Is het renamen van een DC dan inderdaad zo'n eenvoudige manier het systeem om zeep te helpen?

[MAX3400]

mvandek2 schreef op dinsdag 15 februari 2022 @ 16:00:
[...]

Mee eens maar ik wil hier toch wel moeite voor doen omdat ik er goed zenuwachtig van wordt. Is het renamen van een DC dan inderdaad zo'n eenvoudige manier het systeem om zeep te helpen?

Ik vind het renamen van een gewone member-server al soms een crime. Je gaat soms (zo rottig) de mist in met SID's, delegation, local accounts, verwijzingen elders, etc. En ja, een computer moet permissies hebben op het eigen object in AD; dat wil soms ook omvallen.

[HKLM_]

Wat je nog kan proberen is via de CLI NETDOM uitvoeren om de boel te fixen (proberen)

Zie instructies: https://www.kieri.com/how...domain-controller/#NETDOM

Did you already rename your server and the metadata is scrambled? I would rename it back to the old name (using SYSTEM dialog with reboots) then perform the netdom steps to go to the new name.

[ Voor 36% gewijzigd door HKLM_ op 15-02-2022 16:04 ]

[mvandek2]

HKLM_ schreef op dinsdag 15 februari 2022 @ 16:00:
Begrijp je wel wat deze melding inhoud en waarom hij deze geeft?
[...]

Relatie met domein lijkt me om zeep.

[loewie1984]

Er is mogelijk nog een optie: https://www.hirensbootcd.org/

Even kijken of je het ww kan resetten van het domain admin account "administrator" in de sam database. Nu hebben DC's geen local admin pw, maar als je het ww wijzigt dan wijzig je dus het domain admin pw.

Dan kun je iig mogelijk in de server komen of eventueel kijken of je de boel nog kunt herstellen.

[Question Mark]

mvandek2 schreef op dinsdag 15 februari 2022 @ 16:00:
[...]

Mee eens maar ik wil hier toch wel moeite voor doen omdat ik er goed zenuwachtig van wordt.

Waarom ga je hier moeite in steken? Het ding is stuk en herinstalleren kost 30 minuten.

mvandek2 schreef op dinsdag 15 februari 2022 @ 16:00:
[...]
Is het renamen van een DC dan inderdaad zo'n eenvoudige manier het systeem om zeep te helpen?

Dat ligt aan je procedure denk ik.. Eerst een tweede DC (met DNS) introduceren, FSMO rollen migreren, replicatie afwachten, demote, naamswijziging, promote, replicatie afwachten, FSMO rollen weer terugzetten en de tijdelijke DC verwijderen zou redelijk failsave moeten zijn.

Zomaar ongetest de enige DC een andere naam geven kan best spannend zijn. Als ik even zoek vind ik ook geen enkele procedure hiervoor op technet. Dat zou al een flink signaal moeten zijn.

[Brahiewahiewa]

mvandek2 schreef op dinsdag 15 februari 2022 @ 15:58:
...
Als ik op het domein inlog:
The security database on the server does not have a computer account for the worksation trust relationship..

Ja, en dat klopt ook gewoon. De security database heeft alleen een account voor <OUDE-COMPUTERNAAM> en nu wil jij inloggen op <NIEUWE COMPUTERNAAM>. Dat gaat niet want <NIEUWE COMPUTERNAAM> staat nog niet in de database. Je hebt jezelf buitengesloten. Sorry, maar in software land betekent dat het OS opnieuw installeren

[mvandek2]

loewie1984 schreef op dinsdag 15 februari 2022 @ 16:06:
Er is mogelijk nog een optie: https://www.hirensbootcd.org/

Even kijken of je het ww kan resetten van het domain admin account "administrator" in de sam database. Nu hebben DC's geen local admin pw, maar als je het ww wijzigt dan wijzig je dus het domain admin pw.

Dan kun je iig mogelijk in de server komen of eventueel kijken of je de boel nog kunt herstellen.

Dat heb ik geprobeerd maar dat biedt toegang tot dezelfde accounts als starten vanaf een USB disk en dan via de commandline.

[mvandek2]

HKLM_ schreef op dinsdag 15 februari 2022 @ 16:03:
Wat je nog kan proberen is via de CLI NETDOM uitvoeren om de boel te fixen (proberen)

Zie instructies: https://www.kieri.com/how...domain-controller/#NETDOM
[...]

Die commando's zijn niet beschikbaar via de commandline.