Contact
Line : comsiam
ข้อความผิดพลาด
“The trust relationship between this workstation and the primary domain failed”
เป็นหนึ่งในปัญหาที่ผู้ดูแลระบบ Active Directory พบได้บ่อยที่สุด โดยเฉพาะในองค์กรที่มีเครื่องคอมพิวเตอร์จำนวนมาก
เมื่อเกิดปัญหานี้ ผู้ใช้จะไม่สามารถ Login ด้วยบัญชี Domain ได้ แม้ว่าชื่อผู้ใช้และรหัสผ่านจะถูกต้องก็ตาม ส่งผลให้ไม่สามารถเข้าถึงระบบงานขององค์กรได้
บทความนี้จะอธิบายสาเหตุ วิธีวิเคราะห์ และแนวทางแก้ไขปัญหา Trust Relationship Failed บน Windows Server 2025 อย่างเป็นขั้นตอน
① Trust Relationship Failed คืออะไร
ในระบบ Active Directory
คอมพิวเตอร์ทุกเครื่องที่ Join Domain จะมี
Computer Account
อยู่ใน Domain Controller
และจะมี
Machine Password
ที่ใช้ยืนยันตัวตนระหว่าง
- Client
- Domain Controller
หากข้อมูลทั้งสองฝั่งไม่ตรงกัน
จะเกิดปัญหา
Trust Relationship Failed
ทันที
② อาการที่พบบ่อย
ข้อความ Error ที่พบได้บ่อย เช่น
The trust relationship between this workstation and the primary domain failed.
หรือ
The security database on the server does not have a computer account for this workstation trust relationship.
อาการร่วมที่มักพบ
- Login Domain ไม่ได้
- ใช้ Domain Account ไม่ได้
- เข้าระบบได้เฉพาะ Local Account
- Group Policy ไม่ทำงาน
- ไม่สามารถเข้าถึง Resource ภายในองค์กร
③ สาเหตุที่พบบ่อย
สาเหตุหลัก ได้แก่
Machine Password ไม่ตรงกัน
เกิดจาก
- Restore VM เก่า
- Snapshot ย้อนกลับ
- Backup Restore
Computer Account มีปัญหา
- ถูกลบ
- ถูก Disable
- ถูก Reset
Domain Controller มีปัญหา
- Replication Error
- DNS Error
- Authentication Error
④ Login ด้วย Local Administrator
ก่อนเริ่มแก้ไข
ให้ Login ด้วย
.\Administrator
หรือ
ComputerName\Administrator
เพื่อเข้าสู่ระบบด้วยบัญชี Local
หากไม่มีสิทธิ์ Local Admin
การแก้ไขจะทำได้ยากมาก
⑤ ตรวจสอบการเชื่อมต่อกับ Domain Controller
ทดสอบ
ping DC_IP
และ
nslookup yourdomain.local
ตรวจสอบว่า
- Network ปกติ
- DNS ปกติ
- Domain Controller ตอบสนอง
ก่อนดำเนินการขั้นต่อไป
⑥ ตรวจสอบเวลาให้ตรงกัน
Kerberos ต้องการเวลาที่ถูกต้อง
ตรวจสอบ
w32tm /query /status
หากเวลาคลาดเคลื่อนมาก
อาจทำให้การยืนยันตัวตนล้มเหลว
⑦ ใช้ PowerShell ซ่อม Trust Relationship
วิธีที่ง่ายที่สุดคือ
เปิด PowerShell แบบ Administrator
ใช้คำสั่ง
Test-ComputerSecureChannel -Repair -Credential DOMAIN\AdminUser
จากนั้นใส่รหัสผ่าน Domain Admin
หากสำเร็จ
Trust Relationship จะกลับมาใช้งานได้ทันที
⑧ ใช้ Netdom Reset Password
อีกวิธีที่นิยมใช้คือ
netdom resetpwd /server:DC01 /userd:DOMAIN\AdminUser /passwordd:*
คำสั่งนี้จะรีเซ็ตรหัสผ่านของ Machine Account
และสร้างความสัมพันธ์ใหม่กับ Domain
⑨ Reset Computer Account ใน Active Directory
บน Domain Controller
เปิด
Active Directory Users and Computers
ค้นหา Computer Account
คลิกขวา
เลือก
Reset Account
จากนั้นกลับไปที่ Client
แล้ว Join Domain ใหม่
⑩ Remove และ Join Domain ใหม่
หากวิธีอื่นไม่สำเร็จ
ให้
- Remove ออกจาก Domain
- Restart เครื่อง
- Join กลับเข้า Domain ใหม่
- Restart อีกครั้ง
วิธีนี้แก้ปัญหาได้เกือบทุกกรณี
แต่ต้องใช้เวลามากกว่า
⑪ กรณี Hyper-V หรือ VMware Snapshot
สาเหตุยอดนิยมในองค์กรคือ
การ Restore Snapshot เก่า
เมื่อ Snapshot เก่าถูก Restore
Machine Password ในเครื่อง
จะไม่ตรงกับ Domain Controller
ควรหลีกเลี่ยงการใช้ Snapshot ระยะยาว
โดยเฉพาะ Domain Member Server
⑫ ตรวจสอบ Active Directory Replication
หากมี Domain Controller หลายตัว
ตรวจสอบ
repadmin /replsummary
Replication ที่ผิดพลาด
อาจทำให้ข้อมูล Computer Account ไม่ตรงกัน
⑬ ตรวจสอบ Event Viewer
บน Client
ตรวจสอบ
- System Log
- Security Log
บน Domain Controller
ตรวจสอบ
- Directory Service
- DNS Server
- System
ค้นหา Event ที่เกี่ยวข้องกับ
- Netlogon
- Kerberos
- Authentication
⑭ วิธีป้องกัน Trust Relationship Failed
แนวทางที่แนะนำ
- หลีกเลี่ยง Snapshot ระยะยาว
- ตรวจสอบ Replication เป็นประจำ
- ตรวจสอบ DNS Health
- ตรวจสอบ Time Synchronization
- ใช้ Monitoring System
- สำรอง Active Directory อย่างสม่ำเสมอ
ทีมงาน comsiam มักแนะนำให้ผู้ดูแลระบบตรวจสอบสถานะ Replication และ DNS ทุกสัปดาห์ เพราะปัญหา Trust Relationship จำนวนมากมีต้นเหตุมาจากสองส่วนนี้
⑮ สรุป
Trust Relationship Failed บน Windows Server 2025 เกิดจากความไม่ตรงกันระหว่าง Machine Account และ Domain Controller โดยสาเหตุหลักมักเกี่ยวข้องกับ Snapshot, Restore, DNS หรือ Active Directory Replication
สำหรับองค์กรที่ต้องการระบบ Domain ที่เสถียร comsiam แนะนำให้ใช้ PowerShell Repair หรือ Reset Computer Account เป็นวิธีแรกก่อนพิจารณาถอดเครื่องออกจาก Domain และ Join ใหม่ เพราะช่วยลด Downtime และรักษาการตั้งค่าต่าง ๆ ของเครื่องไว้ได้
คำถามชวนคิด
เมื่อเครื่องลูกข่ายขึ้นข้อความ Trust Relationship Failed คุณมีขั้นตอนซ่อมแซมที่ใช้เวลาไม่ถึง 10 นาที หรือยังต้อง Remove และ Join Domain ใหม่ทุกครั้ง?
