Windows 2012 ADでドメイン双方向の信頼関係。設定手順とエラー対応

2018/06/12

ドメインが２つある環境で、双方の信頼関係を設定してドメインAのパソコンでドメインBにWindowsログインする検証が必要だったので、自分の環境で設定してみました。

信頼関係設定後の検証でエラーが発生したので、その対応方法も記載してます。

用意した環境

環境は３台（サーバ２台とPC１台）

１台目はWindowsサーバ2012でFIRSTDOMAIN.COM（仮）のドメインコントローラ
２台目はWindowsサーバ2012でSECONDDOMAIN.COM（仮）のドメインコントローラ
３台目はWindows 10のPCでFIRSTDOMAIN.COMに参加

上記サーバ及びPCはお互いのIPアドレスに接続できるネットワークにある。PINGも通る。

サーバはサーバーマネージャーのダッシュボード＞管理＞役割と機能の追加＞でActive Directory Domain ServicesとDNS Serverがエラーなしに動作している。

信頼関係設定手順（１台目）

サーバーマネージャーのダッシュボード画面＞ツール＞Active Directory ドメインと信頼関係
FIRSTDOMAIN.COMを右クリックしてプロパティ＞信頼タブ＞新しい信頼を選択
信頼の名前：SECONDDOMAIN.COM（信頼関係を設定する相手のドメイン名）＞次へ　
信頼の種類：フォレストの信頼
信頼の方向：双方向
信頼を作成する対象：このドメインのみ
出力方向の信頼認証レベル：フォレスト全体の認証
信頼パスワード：（パスワード入力）＞信頼の選択の完了＞次へ＞完了

設定確認（１台目）

出力方向の信頼の確認＞確認する
入力方向の信頼の確認＞確認する
新しい信頼ウィザードの完了

まだ２台目の設定が完了したいないのでエラーになり、以下のメッセージが表示。


新しい信頼ウィザードを完了しましたが、新しく作成された信頼関係は次の理由により確認できませんでした

次のエラーにより、入力方向の信頼の検証に失敗しました:
信頼パスワードの検証が次のエラーにより失敗しました 1355: 指定されたドメインがないか、またはアクセスできません。
セキュリティで保護されたチャネルのリセットを試みます。
セキュリティで保護されたチャネルのリセットが次のエラーにより失敗しました。1355: 指定されたドメインがないか、またはアクセスできません。

次のエラーにより、出力方向の信頼の検証に失敗しました:＞完了
信頼パスワードの検証が次のエラーにより失敗しました 1787: サーバーのセキュリティ データベースにこのワークステーションの信頼関係に対するコンピューター アカウントがありません。
セキュリティで保護されたチャネルのリセットを試みます。
セキュリティで保護されたチャネルのリセットが次のエラーにより失敗しました。1787: サーバーのセキュリティ データベースにこのワークステーションの信頼関係に対するコンピューター アカウントがありません。

他方のドメインでも信頼が作成されないと、この信頼は機能しません。双方のドメインで同じ信頼パスワードが使われていることを確認してください。

また、相手先のドメインをクリック＞プロパティ＞全般タブで「検証」を押すと以下のようなエラーが表示。キャンセルを押します。


ドメイン FIRSTDOMAIN.COM の Active Directory ドメイン コントローラー \\server01.FIRSTDOMAIN.COM からの、ドメイン SECONDDOMAIN.COM へのセキュリティで保護されたチャネル (SC) の検証に次のエラーで失敗しました: サーバーのセキュリティ データベースにこのワークステーションの信頼関係に対するコンピューター アカウントがありません。

ドメイン FIRSTDOMAIN.COM の Active Directory ドメイン コントローラー \\server01.FIRSTDOMAIN.COM からの、ドメイン SECONDDOMAIN.COM へのセキュリティで保護されたチャネル (SC) のリセットに次のエラーで失敗しました: サーバーのセキュリティ データベースにこのワークステーションの信頼関係に対するコンピューター アカウントがありません。

ドメイン SECONDDOMAIN.COM の Active Directory ドメイン コントローラー \\server02.server02.SECONDDOMAIN.COM からの、ドメイン FIRSTDOMAIN.COM へのセキュリティで保護されたチャネル (SC) の検証に次のエラーで失敗しました: 指定されたドメインがないか、またはアクセスできません。

ドメイン SECONDDOMAIN.COM の Active Directory ドメイン コントローラー \\server02.server02.SECONDDOMAIN.COM からの、ドメイン FIRSTDOMAIN.COM へのセキュリティで保護されたチャネル (SC) のリセットに次のエラーで失敗しました: 指定されたドメインがないか、またはアクセスできません。

成功の場合は「信頼が検証されました。信頼が存在し、有効です。」のメッセージが表示

信頼関係設定手順（２台目）

２台目のサーバ言語が英語の為、英語で設定手順を記載します。１台目の設定が終わって数分待ってから２台目の設定を始めました。

Server Manager Dashboard > Tools > Active Directory Domains and Trusts
Right click domain and select Properties > Trusts tab > New Trust
Trust Name: enter domain name you want to trust with > Next
Trust Type: Forest trust
Direction of Trust: Two-way
Sides of Trust: This domain only
Outoing Trust Authentication Level: Forest-wide authentication
Trust Password: Enter the same password you used for the first domain
Trust Selections Complete

If setting is successful, it should mention "Trust relationship created successfully."

サーバが見えない場合

１台目と２台目の信頼関係を設定したのに、FIRSTDOMAIN.COMのサーバからSECONDDOMAIN.COMのサーバにアクセスできない場合は：

コマンドプロンプトでgpupdate /forceを１台目と２台目で実行
サーバ２台両方を再起動（やりたくないけど。。。）

確認

信頼関係の設定が成功すると、FIRSTDOMAIN.COMのDomain AdminやDomain User等のセキュリティグループにSECONDDOMAIN.COMのユーザーを追加できます。設定手順は以下の通りです。

サーバーマネージャーダッシュボード＞ツール＞ Active Directoryユーザーとコンピューター＞FIRSTDOMAIN.comのBuiltin配下にあるセキュリティグループを右クリックしプロパティ＞メンバータブ＞追加＞場所の指定：SECONDDOMAIN.COMでユーザー名を入力

成功するといつもは見慣れぬ赤い上矢印がユーザーアイコンの隣に現れます。

信頼関係の設定によって、FIRSTDOMAIN.COMに参加しているPCにSECONDOMAIN.COMのユーザーがログインできたり、共有フォルダの設定を２つのドメイン間でアクセス管理したり、Windowsドメインの操作が色々とできちゃいます。

ADのOSバージョンアップやハードウェアのリプレースのことを考えると、信頼関係の設定とか躊躇してしまいますが、２つドメインがある場合のユーザーの利便性は上がるかもしれませんね。