如果您已在加入域的计算机上部署了 Deep Freeze，并遇到了“此工作站与主域之间的信任关系已失败”的错误，您并不孤单。这是我们从管理 Active Directory 环境的 IT 管理员那里收到的最常见问题之一。

好消息是：通过正确的配置，此问题完全可以避免，而且大多数情况下，新版本的 Deep Freeze 会自动处理。但了解其原因有助于您从一开始就正确配置——并在接管旧部署时进行故障排除。

让我们详细分析一下导致冻结计算机出现域信任问题的原因、Deep Freeze 如何在内部处理此问题，以及您需要做什么来确保加入域的 PC 保持正常运行。

导致域信任丢失的真正原因

要理解问题，您需要了解 Active Directory 计算机身份验证的工作原理。

当计算机加入 Active Directory 域时，会发生两件事：在 AD 中创建一个计算机帐户，并在该计算机与域之间建立一个共享密钥（密码）。此密码存储在 Active Directory 和本地计算机的受保护注册表位置。

每次计算机启动并连接到网络时，它都会在任何用户登录之前使用此密码向 AD 进行身份验证。如果密码匹配，安全通道就会建立，一切正常。

关键点在于：默认情况下，Windows 会在每 30 天自动更改此计算机帐户密码。计算机会发起更改，更新本地副本和 AD 副本，然后继续正常运行。

在冻结的计算机上，此过程会中断。

当冻结的计算机发起密码更改时，它会成功更新 Active Directory。AD 现在期望使用新密码。但是，当计算机重新启动时，Deep Freeze 会清除所有更改——包括本地存储的新密码。计算机恢复到其基线，其中包含旧密码。

现在您会发现不匹配：AD 拥有新密码，本地计算机拥有旧密码，它们无法进行身份验证。域登录失败。您会看到令人头疼的信任关系错误。

这不会立即发生。AD 会保留当前密码和前一个密码（以处理短暂的同步延迟），因此计算机通常至少能度过一次密码更改周期。但是，如果一台具有过时基线的冻结计算机在 AD 已经完成两次密码更改后尝试进行身份验证，信任就会中断。

Deep Freeze 如何处理此问题（自 7.6 版本起）

我们多年前就认识到了这个问题，Deep Freeze 自 7.6 版本（2013 年发布）起就包含了自动处理功能。工作原理如下：

冻结期间禁止更改密码。当计算机处于冻结状态时，Deep Freeze 会禁止更改计算机帐户密码。计算机不会向 AD 发起密码更改请求，因此不会发生不匹配。冻结基线中的当前密码保持有效。

解冻时同步密码。当计算机进入解冻状态（在维护窗口期间）时，Deep Freeze 允许正常的密码更改行为。如果需要更改密码，它会在解冻时发生，同时写入 AD 和本地计算机，当您重新冻结时，新密码会被捕获到更新的基线中。

这种自动处理意味着，只要您运行的是相对较新版本的 Deep Freeze 并安排定期的维护窗口，就不会出现域信任问题。系统会自动管理。

重要提示：这仅在您有定期解冻周期时才有效。如果一台计算机连续数月保持冻结状态而从未解冻，被禁止的密码将没有机会更新，最终 AD 所期望的和基线所包含的内容之间的不匹配可能会在计算机最终需要重新建立信任时导致问题。

如何完全避免信任问题

预防措施很简单。以下是您的选择，大致按偏好顺序排列：

选项 1：安排定期的维护窗口（推荐）。这是最简单也是最好的方法。如果您至少每月解冻一次计算机以进行 Windows 更新——您本就应该这样做——那么计算机帐户密码将在这些解冻期间同步。Deep Freeze 会自动处理其余部分。

大多数组织会安排每周或每两周一次维护。这已经足够了。30 天的密码更改周期有足够的机会成功完成。

选项 2：通过组策略禁用计算机帐户密码更改。如果您有很少或从不解冻的计算机——例如，自助服务终端——您可以完全禁用自动密码更改。设置以下组策略：

计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项 → 域成员：禁用计算机帐户密码更改 → 已启用

使用此策略后，计算机永远不会尝试更改其密码，因此不会发生不匹配。域加入时的原始密码将无限期保持有效。

安全注意事项：一些安全框架建议定期轮换密码。禁用计算机密码更改在技术上会削弱这一点。对于低安全环境中的共享访问计算机（学校实验室、图书馆计算机），这通常是可以接受的。对于处理敏感数据的计算机，定期维护窗口是更好的选择。

选项 3：延长密码更改间隔。与其完全禁用密码更改，不如延长间隔。默认是 30 天；您可以通过组策略将其设置为 90、180 或 365 天：

计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项 → 域成员：最大计算机帐户密码年龄 → [天数]

这为您提供了更多的缓冲空间，以防维护窗口不频繁，同时仍保持密码轮换。

选项 4：将策略包含在冻结的基线中。您也可以在冻结之前通过注册表设置禁用密码更改。将此添加到您的基线映像中：

HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\DisablePasswordChange = 1

这与组策略方法的结果相同，但已集成到映像中，而不是动态应用。

长期稳定性的最佳实践

除了特定的密码问题，以下是在 Active Directory 环境中顺利运行 Deep Freeze 的更广泛建议：

确保您使用的是最新版本的 Deep Freeze。我们描述的自动密码处理自 7.6 版本以来就已包含在产品中，后续版本也对该行为进行了改进。如果您运行的是非常旧的版本，请升级。当前版本能更顺畅地处理域集成。

定期安排维护窗口。每周或每两周一次的 Windows 更新维护自然提供了密码同步所需的解冻周期。不要让计算机数月不解冻。

维护后更新您的基线。当计算机解冻并更新后，它们应该会以新状态重新冻结——包括任何密码更改。如果您手动管理基线，请确保维护后的状态成为新基线。

监控错过维护的计算机。Deep Freeze Cloud 提供维护任务完成情况的报告。在计划维护期间关机的计算机将错过其解冻窗口。识别这些计算机并确保它们能够赶上。

记录您的域配置。记录您是使用默认密码轮换、禁用密码还是延长间隔。下一位管理员会感谢您。

使用试点组进行测试。在批量部署之前，运行一个小规模试点 60-90 天——这足以经历多个密码更改周期。在广泛推广之前，验证信任关系是否保持正常。

修复已发生的信任问题

如果您已经遇到了信任关系失败，请按以下步骤解决：

步骤 1：解冻受影响的计算机。您需要使用本地管理员帐户登录（不能是域帐户，因为域身份验证已损坏）。解冻计算机以便更改能够持久。

步骤 2：重置计算机帐户密码。您有几种选择：

PowerShell（推荐）：打开一个提升的 PowerShell 提示符并运行：

Reset-ComputerMachinePassword -Server YourDomainController -Credential Domain\Admin

或者使用：

Test-ComputerSecureChannel -Repair -Credential Domain\Admin

任一命令都会重置计算机密码并将其与 AD 同步。如果成功，域身份验证应立即生效。

Active Directory 用户和计算机：或者，从域控制器或管理工作站，打开 ADUC，找到计算机对象，右键单击并选择“重置帐户”。然后从客户端重新加入计算机。

步骤 3：使用已更正的状态重新冻结。恢复信任后，重新冻结计算机。新的、正确的密码现在是冻结基线的一部分。

步骤 4：防止再次发生。实施上述预防策略之一——定期维护窗口、禁用密码更改或延长间隔——以避免再次发生此问题。

常见问题解答

这种情况实际发生频率如何？

使用最新版本的 Deep Freeze 和定期的维护窗口，这种情况很少发生。我们主要在两种情况下看到它：运行非常旧的、没有自动密码处理功能的 Deep Freeze 版本的旧部署，或者长时间（数月）未解冻的计算机。正确配置的现代部署不会遇到此问题。

这是 Deep Freeze 的错误吗？

不，这是可恢复到重启技术与 Active Directory 的密码轮换机制交互的自然结果。任何在重启时恢复状态的系统都会面临同样的挑战。Deep Freeze 通过在冻结时禁止密码更改并在解冻期间允许更改来解决此问题——当定期安排维护时，这可以无缝工作。

是否可以完全防止信任问题？

是的。要么安排定期的维护窗口（推荐），要么通过组策略禁用计算机帐户密码更改。这两种方法都可以消除密码不匹配的可能性。成千上万的组织在加入域的计算机上运行 Deep Freeze 而没有信任问题，因为他们配置了这些方法之一。

这会影响 Azure AD 加入的计算机吗？

Azure AD（现为 Entra ID）使用与传统 Active Directory 不同的身份验证机制。这里讨论的特定计算机帐户密码轮换行为适用于本地 AD 域加入。Azure AD 加入和混合加入的计算机有其自身的考虑因素。如果您在 Azure AD 环境中部署，请联系我们，我们可以提供具体指导。

如果我不知道本地管理员密码怎么办？

这是一个常见的并发症。如果信任已损坏且您没有本地管理员凭据，您可以在断开网络连接的情况下尝试使用缓存的域凭据登录。或者，您需要使用密码恢复工具或重新映像。这是确保本地管理员凭据已记录并可访问——或使用 LAPS（本地管理员密码解决方案）进行管理的一个好理由。

我应该禁用所有冻结计算机的密码更改吗？

这是最简单的方法，但并非总是必需的。如果您已经安排了定期维护（每周或每两周一次），密码会在解冻期间自然同步，因此不需要禁用。禁用最适用于很少解冻的计算机——例如专用自助服务终端——或在简单性优于严格密码轮换要求的环境中。

底线：一个已解决的问题

Deep Freeze 的域信任问题已得到充分理解且完全可以避免。新版本的 Deep Freeze 会自动处理复杂性——只要您安排定期的维护窗口，密码同步就会在后台无缝进行。

对于很少解冻的计算机，通过组策略禁用计算机帐户密码更改可以完全消除该问题。

如果您接管了一个存在信任问题的部署，修复方法很简单：解冻、重置密码、重新冻结，并实施适当的预防措施以避免再次发生。

成千上万的组织在学校、企业和政府机构的加入域的计算机上运行 Deep Freeze 而没有信任问题。通过正确的配置，您也可以做到。

需要有关域部署的帮助？

我们的支持团队在 Active Directory 环境方面拥有丰富的经验。如果您需要部署指导，请联系我们。

→ 联系支持

→ 查看知识库文章