Windowsの「信頼関係に失敗しました」などでドメイン再参加を考える場合、最初にセキュアチャネルを診断・修復します。ドメインから抜けて再参加する作業は最後の手段です。ワークグループへ移すとドメイン資格情報でサインインできなくなるため、検証済みのローカル管理者、BitLocker回復キー、ネットワーク、データバックアップ、コンピューターアカウントの扱いを準備します。
Microsoftの現行公式手順は、Test-ComputerSecureChannelやnetdomで確認・修復し、それでも必要な場合に再参加します。コンピューターアカウントを先に削除しないでください。
再参加が必要かを切り分ける
- 端末の日時とドメインコントローラーの時刻が大きくずれていない
- DNSが社内AD DNSを指し、ドメインとDCの名前解決ができる
- VPNまたは社内LANから必要なDCへ到達できる
- Test-ComputerSecureChannelの結果とイベントログ
- コンピューターアカウントがADに存在し、無効化・重複していない
- ユーザーサインインだけか、端末全体の信頼関係か
公式資料ではTest-ComputerSecureChannelがTrueならチャネルは正常で、DNSなど別原因を疑います。FalseならRepairオプションやReset-ComputerMachinePasswordなど修復を試せます。資格情報はGet-Credentialの安全な入力を使い、コマンド行へパスワードを直書きしません。
作業前の準備
- 利用者データ、証明書、業務アプリ設定、暗号化キーをバックアップし、テスト復元します。
- Windows LAPS等で管理されたローカル管理者のパスワードを取得し、オフラインでサインインできることを実際に確認します。
- BitLocker回復キーの保管先と端末IDを確認します。キーをチケット本文へ貼りません。
- 固定IP、DNS、VPN、Wi-Fi、プロキシ、端末管理、EDRの設定を記録します。
- ADのコンピューターオブジェクト、OU、グループ、委任、説明、証明書、管理ツールの登録を保存します。
- 保守時間と、再参加失敗時に現地または帯域外で支援できる担当を確保します。
まずセキュアチャネル修復を試す
ローカル管理者でサインインし、承認済み管理端末・ネットワークから公式手順に従ってセキュアチャネルをテストします。修復にはドメイン側で必要権限を持つ資格情報を使います。成功後は再起動し、Test-ComputerSecureChannel、ドメインユーザーのサインイン、GPO、ファイル共有を確認します。修復で直れば離脱は不要です。
ワークグループへ移す
修復できず再参加する場合、利用者をサインアウトし、ローカル管理者で作業します。「設定 → システム → バージョン情報」の関連設定またはシステムのプロパティからコンピューター名変更画面を開き、ドメインではなく一時ワークグループを指定します。表示経路はWindows 11版で変わるため、対象端末で確認します。
ドメイン資格情報を求められたら、離脱権限を持つ専用アカウントを使います。成功メッセージ後に再起動します。再起動後は必ずローカルアカウントで入ります。Microsoftアカウントや同名ローカルアカウントをドメインアカウントと混同しないでください。
再度ドメインへ参加する
- 社内LANまたは承認済みVPNへ接続し、DNSがAD DNSを指すことを確認します。
- 時刻同期とドメイン名解決を確認し、既存コンピューターオブジェクトの扱いをAD管理者と決めます。
- Microsoft公式のドメイン参加画面またはAdd-Computer等の承認済み方法で、正しいFQDNのドメインへ参加します。
- ドメイン参加用の委任アカウントを使い、Domain Adminを日常作業へ使いません。
- 成功後に再起動し、ドメインユーザーでサインインします。
- 端末が元のOU、GPO、管理グループへ戻り、重複オブジェクトがないか確認します。
ユーザープロファイルの注意
同じユーザー名でもSIDが異なれば新しいプロファイルが作成されます。通常の再参加で同じドメインアカウントなら既存プロファイルを再利用できることが多いですが、コンピューター移行、ドメイン変更、アカウント再作成では別です。レジストリでProfileListを安易に付け替えず、USMTや組織の移行手順を使います。
再参加後の受入確認
- ドメインサインインとローカル緊急サインインができる
- セキュアチャネルが正常でDC/DNSイベントにエラーがない
- GPO、証明書、Windows Update、EDR、MDMが再適用される
- ファイル共有、プリンター、業務アプリ、SSO、VPNが動く
- BitLocker回復キーとLAPSパスワードが管理基盤へ新しくバックアップされる
- AD、資産管理、EDRに重複端末がない
失敗時の戻し方
ドメイン参加に失敗しても、ローカル管理者でワークグループ状態へ戻れることが最小のロールバックです。DNS・時刻・ネットワーク・資格情報・オブジェクト権限を修正して再試行します。旧コンピューターオブジェクトを削除・再作成する前に属性とグループをエクスポートします。端末初期化は最終手段で、バックアップ復元と再登録手順を承認してから行います。
Windows LAPSを使う
Windows LAPSはローカル管理者パスワードを自動管理し、ADまたはMicrosoft Entra IDへバックアップできます。再参加作業の前提となる緊急ローカルアクセスを安全に維持するため、導入を検討します。共通ローカルパスワードや手書き台帳は避け、閲覧権限、監査、ローテーションを設定します。
オフライン端末・遠隔地端末
遠隔地でドメイン接続がVPN経由の場合、ワークグループへ抜けた後にVPNクライアントへサインインできず、再参加できないことがあります。Windowsサインイン前VPN、端末証明書、現地ネットワーク、帯域外管理の可否を試します。可能なら社内LANまたは技術者がいる拠点で作業します。
端末を利用者宅で再参加させる必要がある場合は、画面共有へドメイン資格情報を入力させず、情報システム部門の承認済み遠隔支援と一時資格情報を使います。通信断時の連絡手段と現地ローカルサインインを確保します。
コンピューターアカウントをリセットする場合
AD Users and ComputersのReset Accountは、端末側とのセキュアチャネルを再確立する作業と組み合わせます。リセットだけして放置すると信頼関係が切れます。対象名、SID、OU、グループ、BitLocker/LAPS属性を確認し、似た名前のサーバーを誤操作しないよう二者確認します。
コンピューターオブジェクト削除はリセットより影響が大きく、AD Recycle Binやバックアップがあっても関連付け復旧が複雑です。削除が必要な端末廃止と、再参加トラブルを分けます。
証明書と端末管理
再参加で自動登録証明書、Wi-Fi/VPN証明書、Windows Hello for Business、MDM登録が変わることがあります。証明書ストアの現在値と有効期限を記録し、重複証明書や失効がないか確認します。秘密鍵をエクスポートする場合は製品手順と保護された保存先を使います。
IntuneやEDRに旧端末と新端末の重複レコードが生まれた場合、すぐ削除せず最終チェックイン、デバイスID、証明書、所有者を照合します。正しい新登録を確認してから旧登録を廃止します。
サービスアカウントとスケジュールタスク
端末上のサービスやタスクがドメインアカウントで動く場合、再参加中に起動失敗やロックアウトが起きます。保守前に対象を一覧化し、安全に停止できるものを止めます。再参加後に資格情報、サービス起動、依存アプリを確認します。
復旧後の再起動を複数回行う前にイベントログとサービス状態を保存します。再参加は端末アクセスの復旧であり、業務アプリの正常化まで含めて完了とします。
コメント