会社PCをドメイン参加させた際に、一定時間後に「このワークステーションとプライマリドメインとの信頼関係に失敗しました」と表示される問題は、ネットワークやセキュリティ設定に起因することが多く、特にWindowsセキュリティやKerberos認証の影響が考えられます。ここでは初心者でも理解できる形で原因と対策を解説します。
信頼関係が切れる原因
Windowsのドメイン参加PCは、ドメインコントローラーと定期的に認証を行っています。この通信がうまくいかないと、信頼関係が切れたと認識されます。
主な原因は以下の通りです。
- ドメインコントローラー側からPCへの通信が遮断されている
- Kerberosチケットの期限切れや更新失敗
- Windowsセキュリティ（ファイアウォールやアンチウイルス）が通信をブロック
- グループポリシーの更新が失敗している
通信確認のポイント
ドメインコントローラーとの疎通を確認することが第一歩です。
- PCからドメインコントローラーへのping確認
- ドメインコントローラーからPCへのping確認
- ポート445（SMB）、88（Kerberos）が開いているか確認
特に、PC側からコントローラーへのpingは通っても、コントローラーからPCへの通信ができない場合、Kerberosチケット更新が失敗し、信頼関係が切れる原因になります。
Windowsセキュリティの影響
現状、Windowsセキュリティをオフにすると問題が解消されるとのことですが、これはセキュリティ設定がドメイン通信をブロックしている可能性を示しています。
対策としては。
- Windows Defender ファイアウォールでドメインプロファイルの通信を許可
- アンチウイルスソフトの例外設定でドメイン通信を許可
信頼関係を維持するための設定
信頼関係を維持するには以下の設定を確認してください。
- グループポリシーの自動更新が正常に動作していること
- ネットワークに常時接続され、ドメインコントローラーとの疎通が確保されていること
- PC名やドメイン名に変更がないこと
トラブルシューティング手順
- ドメインから問題のPCを一度離脱（ドメイン離脱）
- ローカル管理者権限で再起動
- 再度ドメインに参加
- グループポリシーの更新（gpupdate /force）
- ファイアウォールやセキュリティソフトで必要ポートを開放
まとめ
ドメイン参加PCで信頼関係が切れる原因は、ネットワーク疎通やKerberos認証失敗、Windowsセキュリティによる通信ブロックが主な要因です。PCとドメインコントローラー間の双方向通信を確保し、グループポリシーやセキュリティ設定を正しく整えることで、問題を解決できます。必要に応じて、PCを一度ドメイン離脱して再参加する手順も有効です。
コメント