إذا كنت قد قمت بنشر Deep Freeze على أجهزة مرتبطة بنطاق وواجهت رسالة "فشل علاقة الثقة بين محطة العمل هذه والنطاق الأساسي"، فأنت لست وحدك. إنه أحد أكثر الأسئلة شيوعًا التي نتلقاها من مسؤولي تكنولوجيا المعلومات الذين يديرون بيئات Active Directory.

إليك الأخبار السارة مقدمًا: يمكن منع هذه المشكلة تمامًا من خلال التكوين الصحيح، والإصدارات الحديثة من Deep Freeze تتعامل معها تلقائيًا في معظم الحالات. ولكن فهم سبب حدوثها يساعدك على تكوين الأشياء بشكل صحيح من البداية - واستكشاف الأخطاء وإصلاحها إذا ورثت نشرًا قديمًا.

دعنا نفصل بالضبط ما الذي يسبب مشاكل الثقة في النطاق مع الأجهزة المجمدة، وكيف يتعامل Deep Freeze مع هذا داخليًا، وما تحتاج إلى القيام به لضمان بقاء أجهزة الكمبيوتر الخاصة بك المرتبطة بالنطاق بصحة جيدة.

ما الذي يسبب بالفعل فقدان الثقة في النطاق

لفهم المشكلة، تحتاج إلى فهم كيفية عمل مصادقة أجهزة الكمبيوتر في Active Directory.

عندما ينضم جهاز كمبيوتر إلى نطاق Active Directory، يحدث شيئان: يتم إنشاء حساب كمبيوتر في AD، ويتم إنشاء سر مشترك (كلمة مرور) بين هذا الكمبيوتر والنطاق. يتم تخزين كلمة المرور هذه في كل من Active Directory وعلى الجهاز محليًا في موقع سجل محمي.

في كل مرة يبدأ فيها الكمبيوتر ويتصل بالشبكة، فإنه يصادق على AD باستخدام كلمة المرور هذه - قبل تسجيل دخول أي مستخدم. إذا تطابقت كلمات المرور، يتم إنشاء القناة الآمنة وتعمل جميع الأمور بشكل طبيعي.

إليك الجزء الحاسم:افتراضيًا، يقوم Windows تلقائيًا بتغيير كلمة مرور حساب الكمبيوتر هذه كل 30 يومًا. يبدأ الجهاز التغيير، ويقوم بتحديث النسخة المحلية ونسخة AD، وتستمر الحياة.

في جهاز مجمد، تتعطل هذه العملية.

عندما يبدأ جهاز مجمد تغيير كلمة المرور، فإنه يقوم بتحديث Active Directory بنجاح. تتوقع AD الآن كلمة المرور الجديدة. ولكن عند إعادة تشغيل الجهاز، يقوم Deep Freeze بمسح جميع التغييرات - بما في ذلك كلمة المرور الجديدة المخزنة محليًا. يعود الجهاز إلى خط الأساس الخاص به، والذي يحتوي على كلمة المرور القديمة.

الآن لديك عدم تطابق: لدى AD كلمة المرور الجديدة، ولدى الجهاز المحلي كلمة المرور القديمة، ولا يمكنهما المصادقة. فشل تسجيل الدخول إلى النطاق. ترى خطأ علاقة الثقة المزعج.

هذا لا يحدث على الفور. تحتفظ AD بكل من كلمة المرور الحالية وكلمة المرور السابقة (للتعامل مع فجوات المزامنة القصيرة)، لذا فإن الأجهزة عادة ما تنجو من دورة تغيير كلمة مرور واحدة على الأقل. ولكن إذا حاول جهاز مجمد بخط أساس قديم المصادقة بعد أن انتقلت AD عبر تغييرين لكلمة المرور، تنكسر الثقة.

كيف يتعامل Deep Freeze مع هذا (منذ الإصدار 7.6)

لقد أدركنا هذه المشكلة منذ سنوات، ويتضمن Deep Freeze معالجة تلقائية منذ الإصدار 7.6 (تم إصداره في عام 2013). إليك كيفية عمله:

قمع تغيير كلمة المرور أثناء التجميد.عندما يكون الجهاز في حالة مجمدة، يقوم Deep Freeze بقمع تغييرات كلمات مرور حساب الكمبيوتر. لا يبدأ الجهاز طلب تغيير كلمة مرور إلى AD، لذلك لا يمكن حدوث عدم تطابق. تظل كلمة المرور الحالية في خط الأساس المجمد صالحة.

مزامنة كلمة المرور عند الذوبان.عندما يدخل الجهاز في حالة ذوبان (خلال نوافذ الصيانة)، يسمح Deep Freeze بسلوك تغيير كلمة المرور العادي. إذا كان تغيير كلمة المرور مستحقًا، فإنه يحدث أثناء الذوبان، ويتم كتابته إلى كل من AD والجهاز المحلي، وعندما تقوم بإعادة التجميد، يتم التقاط كلمة المرور الجديدة في خط الأساس المحدث.

هذه المعالجة التلقائية تعني أنه طالما أنك تقوم بتشغيل إصدار حديث بشكل معقول من Deep Freeze وجدولة نوافذ صيانة منتظمة، فلا ينبغي أن تحدث مشاكل ثقة في النطاق. النظام يدير نفسه.

تنبيه هام:هذا يعمل فقط إذا كانت لديك فترات ذوبان منتظمة. إذا ظل الجهاز مجمدًا بشكل مستمر لأشهر دون أن يذوب أبدًا، فلن تحصل كلمة المرور المقمعة على فرصة للتحديث، وفي النهاية قد يتسبب عدم التطابق بين ما تتوقعه AD وما يحتويه خط الأساس في حدوث مشاكل عندما يحتاج الجهاز أخيرًا إلى إعادة تأسيس الثقة.

كيفية منع مشاكل الثقة تمامًا

الوقاية بسيطة. إليك خياراتك، مرتبة تقريبًا حسب الأفضلية:

الخيار 1: جدولة نوافذ صيانة منتظمة (موصى به).هذا هو النهج الأبسط والأفضل. إذا كنت تقوم بإذابة الأجهزة شهريًا على الأقل لتحديثات Windows - وهو ما يجب عليك فعله على أي حال - فسيتم مزامنة كلمات مرور حسابات الكمبيوتر خلال فترات الذوبان هذه. يتعامل Deep Freeze مع الباقي تلقائيًا.

تقوم معظم المؤسسات بجدولة صيانة أسبوعية أو كل أسبوعين. هذا أكثر من كافٍ. دورة تغيير كلمة المرور لمدة 30 يومًا لديها فرصة كبيرة لإكمالها بنجاح.

الخيار 2: تعطيل تغييرات كلمات مرور حساب الكمبيوتر عبر نهج المجموعة.إذا كانت لديك أجهزة نادراً ما تذوب أو لا تذوب أبدًا - مثل الأكشاك، على سبيل المثال - يمكنك تعطيل تغييرات كلمات المرور التلقائية تمامًا. قم بتعيين نهج المجموعة التالي:

تكوين الكمبيوتر ← إعدادات Windows ← إعدادات الأمان ← نهج محلية ← خيارات الأمان ← عضو النطاق: تعطيل تغييرات كلمات مرور حساب الكمبيوتر ← ممكّن

مع هذا النهج، لا يحاول الكمبيوتر أبدًا تغيير كلمة المرور الخاصة به، لذلك لا يمكن حدوث عدم تطابق. تظل كلمة المرور الأصلية من انضمام النطاق صالحة إلى أجل غير مسمى.

اعتبار أمني:توصي بعض أطر الأمان بتدوير كلمات المرور بانتظام. تعطيل تغييرات كلمات مرور الكمبيوتر يضعف هذا تقنيًا. بالنسبة للأجهزة ذات الوصول المشترك في البيئات منخفضة الأمان (مختبرات المدارس، أجهزة الكمبيوتر في المكتبات)، يكون هذا مقبولاً عادةً. بالنسبة للأجهزة التي تتعامل مع بيانات حساسة، فإن نوافذ الصيانة المنتظمة مفضلة.

الخيار 3: تمديد فترة تغيير كلمة المرور.بدلاً من تعطيل تغييرات كلمات المرور تمامًا، يمكنك تمديد الفترة. افتراضيًا هي 30 يومًا؛ يمكنك تعيينها إلى 90 أو 180 أو 365 يومًا عبر نهج المجموعة:

تكوين الكمبيوتر ← إعدادات Windows ← إعدادات الأمان ← نهج محلية ← خيارات الأمان ← عضو النطاق: الحد الأقصى لعمر كلمة مرور حساب الكمبيوتر ← [أيام]

يمنحك هذا مساحة تخزين أكبر إذا كانت نوافذ الصيانة غير متكررة، مع الاستمرار في الحفاظ على تدوير كلمات المرور.

الخيار 4: تضمين النهج في خط الأساس المجمد الخاص بك.يمكنك أيضًا تعيين تعطيل تغيير كلمة المرور عبر السجل قبل التجميد. أضف هذا إلى صورة خط الأساس الخاصة بك:

HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\DisablePasswordChange = 1

يحقق هذا نفس نتيجة نهج المجموعة ولكنه مدمج في الصورة بدلاً من تطبيقه ديناميكيًا.

أفضل الممارسات للاستقرار طويل الأمد

بالإضافة إلى مشكلة كلمة المرور المحددة، إليك توصيات أوسع لتشغيل Deep Freeze بسلاسة في بيئات Active Directory:

تأكد من أنك تستخدم إصدارًا حديثًا من Deep Freeze.تم تضمين معالجة كلمات المرور التلقائية التي وصفناها في المنتج منذ الإصدار 7.6، وقد قامت الإصدارات اللاحقة بتحسين السلوك. إذا كنت تستخدم شيئًا قديمًا جدًا، فقم بالترقية. تتعامل الإصدارات الحالية مع تكامل النطاق بشكل أكثر سلاسة.

جدولة نوافذ الصيانة باستمرار.الصيانة الأسبوعية أو كل أسبوعين لتحديثات Windows توفر بشكل طبيعي فترات الذوبان اللازمة لمزامنة كلمات المرور. لا تدع الأجهزة تذهب لأشهر دون ذوبان.

تحديث خط الأساس الخاص بك بعد الصيانة.عندما تذوب الأجهزة وتتحدث، يجب أن تعيد التجميد بالحالة الجديدة - بما في ذلك أي تغييرات في كلمات المرور. إذا كنت تدير خطوط الأساس يدويًا، فتأكد من أن حالة ما بعد الصيانة تصبح خط الأساس الجديد.

مراقبة الأجهزة التي تفوت الصيانة.يوفر Deep Freeze Cloud تقارير عن اكتمال مهام الصيانة. الأجهزة التي يتم إيقاف تشغيلها أثناء الصيانة المجدولة تفوت نافذة الذوبان الخاصة بها. حدد هذه الأجهزة وتأكد من أنها تلحق بالركب.

توثيق تكوين النطاق الخاص بك.سجل ما إذا كنت تستخدم تدوير كلمات المرور الافتراضي، أو كلمات المرور المعطلة، أو الفترات الممتدة. سيشكرك المسؤول التالي.

الاختبار مع مجموعة تجريبية.قبل النشر الشامل، قم بتشغيل تجربة صغيرة لمدة 60-90 يومًا - وهي فترة كافية للمرور عبر دورات تغيير كلمات المرور المتعددة. تحقق من أن علاقات الثقة تظل سليمة قبل النشر على نطاق واسع.

إصلاح مشاكل الثقة عند حدوثها

إذا كنت قد واجهت بالفعل فشلاً في علاقة الثقة، فإليك كيفية حله:

الخطوة 1: إذابة الجهاز المتأثر.ستحتاج إلى تسجيل الدخول باستخدام حساب مسؤول محلي (وليس حساب نطاق، نظرًا لأن مصادقة النطاق معطلة). قم بإذابة الجهاز حتى تستمر التغييرات.

الخطوة 2: إعادة تعيين كلمة مرور حساب الكمبيوتر.لديك عدة خيارات:

PowerShell (موصى به):افتح موجه PowerShell مرتفعًا وقم بتشغيل:

Reset-ComputerMachinePassword -Server YourDomainController -Credential Domain\Admin

أو استخدم:

Test-ComputerSecureChannel -Repair -Credential Domain\Admin

يقوم أي من الأمرين بإعادة تعيين كلمة مرور الكمبيوتر ومزامنتها مع AD. إذا نجحت، يجب أن تعمل مصادقة النطاق على الفور.

المستخدمون وأجهزة الكمبيوتر في Active Directory:بدلاً من ذلك، من وحدة تحكم النطاق أو محطة عمل الإدارة، افتح ADUC، وحدد موقع كائن الكمبيوتر، وانقر بزر الماوس الأيمن، وحدد "إعادة تعيين الحساب". ثم أعد الانضمام إلى الجهاز من جانب العميل.

الخطوة 3: إعادة التجميد بالحالة المصححة.بمجرد استعادة الثقة، قم بإعادة تجميد الجهاز. أصبحت كلمة المرور الجديدة والصحيحة الآن جزءًا من خط الأساس المجمد.

الخطوة 4: منع التكرار.قم بتطبيق إحدى استراتيجيات الوقاية الموضحة أعلاه - نوافذ الصيانة المنتظمة، أو تعطيل تغييرات كلمات المرور، أو الفترات الممتدة - حتى لا يحدث هذا مرة أخرى.

أسئلة متكررة

كم مرة يحدث هذا بالفعل؟

مع الإصدارات الحالية من Deep Freeze ونوافذ الصيانة المنتظمة، نادرًا ما يحدث. نراه بشكل أساسي في سيناريوهين: عمليات النشر القديمة التي تشغل إصدارات Deep Freeze قديمة جدًا بدون معالجة تلقائية لكلمات المرور، أو الأجهزة التي لم تذب لفترات طويلة (أشهر). لا تواجه عمليات النشر الحديثة المكونة بشكل صحيح هذه المشكلة.

هل هذه مشكلة في Deep Freeze؟

لا، إنها نتيجة طبيعية لكيفية تفاعل تقنية الاستعادة عند إعادة التشغيل مع آلية تدوير كلمات المرور في Active Directory. أي نظام يعيد الحالة عند إعادة التشغيل سيواجه نفس التحدي. يعالج Deep Freeze هذا عن طريق قمع تغييرات كلمات المرور أثناء التجميد والسماح بها أثناء فترات الذوبان - وهو ما يعمل بسلاسة عند جدولة الصيانة بانتظام.

هل يمكن منع مشاكل الثقة بالكامل؟

نعم. إما جدولة نوافذ صيانة منتظمة (موصى به) أو تعطيل تغييرات كلمات مرور حساب الكمبيوتر عبر نهج المجموعة. أي من النهجين يلغي إمكانية عدم تطابق كلمة المرور. آلاف المؤسسات تشغل Deep Freeze على أجهزة مرتبطة بالنطاق دون مشاكل ثقة لأنها قامت بتكوين أحد هذه النهج.

هل يؤثر هذا على الأجهزة المرتبطة بـ Azure AD؟

يستخدم Azure AD (الآن Entra ID) آليات مصادقة مختلفة عن Active Directory التقليدي. ينطبق سلوك تدوير كلمات مرور حساب الكمبيوتر المحدد هنا على عمليات الانضمام إلى نطاق AD المحلية. الأجهزة المرتبطة بـ Azure AD والأجهزة المرتبطة هجينًا لها اعتباراتها الخاصة. اتصل بنا إذا كنت تقوم بالنشر في بيئات Azure AD ويمكننا تقديم إرشادات محددة.

ماذا لو لم أكن أعرف كلمة مرور المسؤول المحلي؟

هذا تعقيد شائع. إذا تم كسر الثقة ولا تملك بيانات اعتماد المسؤول المحلي، يمكنك محاولة تسجيل الدخول باستخدام بيانات اعتماد النطاق المخزنة مؤقتًا أثناء الانفصال عن الشبكة. بدلاً من ذلك، ستحتاج إلى استخدام أدوات استعادة كلمات المرور أو إعادة التصوير. هذا سبب وجيه لضمان توثيق بيانات اعتماد المسؤول المحلي وإمكانية الوصول إليها - أو استخدام LAPS (حل كلمات مرور المسؤول المحلي) لإدارتها.

هل يجب علي تعطيل تغييرات كلمات المرور على جميع الأجهزة المجمدة؟

إنه النهج الأبسط، ولكنه ليس ضروريًا دائمًا. إذا كنت تقوم بالفعل بجدولة صيانة منتظمة (أسبوعية أو كل أسبوعين)، فسيتم مزامنة كلمات المرور بشكل طبيعي خلال فترات الذوبان ولا يلزم التعطيل. التعطيل يكون منطقيًا أكثر للأجهزة التي نادراً ما تذوب - مثل الأكشاك المخصصة، على سبيل المثال - أو في البيئات التي تتفوق فيها البساطة على متطلبات تدوير كلمات المرور الصارمة.

الخلاصة: مشكلة تم حلها

مشاكل الثقة في النطاق مع Deep Freeze مفهومة جيدًا ويمكن منعها تمامًا. تتعامل الإصدارات الحديثة من Deep Freeze مع التعقيد تلقائيًا - طالما أنك تقوم بجدولة نوافذ صيانة منتظمة، تحدث مزامنة كلمات المرور بسلاسة في الخلفية.

بالنسبة للأجهزة التي نادراً ما تذوب، فإن تعطيل تغييرات كلمات مرور حساب الكمبيوتر عبر نهج المجموعة يلغي المشكلة تمامًا.

إذا ورثت نشرًا به مشاكل ثقة، فإن الإصلاح بسيط: قم بالذوبان، وأعد تعيين كلمة المرور، وأعد التجميد، وقم بتطبيق الوقاية المناسبة للمضي قدمًا.

آلاف المؤسسات تشغل Deep Freeze على أجهزة مرتبطة بالنطاق عبر المدارس والشركات والوكالات الحكومية دون مشاكل ثقة. مع التكوين الصحيح، ستفعل ذلك أيضًا.

هل تحتاج إلى مساعدة مع نشر النطاق الخاص بك؟

يتمتع فريق الدعم لدينا بخبرة واسعة في بيئات Active Directory. تواصل معنا إذا كنت بحاجة إلى إرشادات النشر.

→اتصل بالدعم

→عرض مقالة قاعدة المعرفة