☰

ユーザーのマシンからアクティブ ディレクトリ キャッシュをクリアする

tag-icon • tag-icon active-directory windows-7
ユーザーのマシンからアクティブ ディレクトリ キャッシュをクリアする

数日前、サーバーがクラッシュし、Active Directory を復旧できませんでした。そのため、Active Directory 情報を最初から再構築しました。ユーザー名はクラッシュ前と同じ状態のまま保持されています。

この Active Directory によって認証される Windows 7 クライアント マシンがあります。ユーザーとして、このユーザーとしてネットワークに接続するとログインできません (Active Directory をまったく同じユーザー名で再構築したことを思い出してください)。ただし、ネットワークから切断してログインすると、コンピューターにログインして通常どおり作業できます。これは、Active Directory の資格情報がユーザー マシンにキャッシュされているために発生します。

私が知りたいことは次のとおりです。

  • ドメインに「再参加」できる最も早い方法は何ですか?
  • このユーザーマシンのキャッシュをクリアして、ドメインに新しく参加することは可能ですか?

答え1

これは、以前の AD 資格情報がキャッシュされているからではなく、同じ名前で作成したにもかかわらず、新しい AD オブジェクトが古いオブジェクトと同じではないために発生します。必要な操作は次のとおりです。

  1. コンピューターを古いドメインから解除し (ワークグループ モードにする)、新しいドメインに参加させます。

  2. 新しく参加したコンピューターからユーザー名 (同じユーザー名ですが、異なるユーザー アカウント) を使用して新しいドメインにログオンします。

これにより、それぞれのコンピューター上のユーザーの新しいユーザー プロファイルが作成されます。その後、古いユーザー プロファイルを新しいユーザー プロファイルにコピーできます。

答え2

システムのローカル管理者アカウントとしてログインし、ドメインを離れ、再起動して再度参加する必要があります。また、古いプロファイルは新しいドメインと同じセキュリティ識別子を持たないため、古いプロファイルをすべて移行する必要があります。

答え3

What is a quickest way to be able to 'rejoin' the Domain?

  • ドメインに「再参加」することはできません。所有していたドメインはもう存在しません。

Is it possible to clear this user-machine cache and join the Domain fresh?

  • はい、それが必要なことです。ワークステーションをワークグループ (デフォルト名でWORKGROUP問題ありません) に参加させてドメインから削除し、新しいドメインに参加させます。これを正常に実行するには、削除して参加させるすべてのマシンのローカル管理者の資格情報と、新しいドメインのドメイン管理者の資格情報が必要です。

数日前、サーバーがクラッシュし、Active Directory を復元できませんでした。そのため、Active Directory 情報を最初から再構築しました。

さて、今回は正しく実行されていることを願っています。常に少なくとも 2 つのドメイン コントローラーを用意し、それらがバックアップされていることを確認し、何か問題が発生した場合にバックアップから復元できるようにします。

答え4

Zoredache さんの意見に賛成します。ドメインから PC を削除して、再度追加する必要があります。これは、各ワークステーション オブジェクトがパスワードを取得し、それが AD によって保存および更新されるためです。ドメインが再作成されたとき、コンピューター オブジェクトや、古いコンピューター オブジェクトに関連付けられたパスワードは存在しません。ドメインへの信頼を再確立する方法は、古いドメインからコンピューターを削除して、新しいドメインに参加させることです。コンピューターをドメインに再度追加する前に、新しい AD の適切な OU にコンピューター オブジェクトを事前に作成しておく必要があります。

レジストリの変更を使用して、古いプロファイルを新しいユーザー アカウントに関連付けることもできます。

まず、ユーザーにワークステーションにログインしてもらい、新しいプロファイルを作成させます。これらのプロファイルは、新しいユーザー アカウントとそれぞれの SID (セキュリティ識別子) に関連付けられます。その後、管理者アカウントでログインし、次のレジストリ パスに移動します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList

「ProfileList」には、SID で表されるプロファイルがいくつか存在します。それぞれをクリックして、古いドメイン プロファイルの場所を含む ProfileImagePath という regKey を持つプロファイルを探します。「ProfileImagePath」regKey の値をコピーします。次に、新しいプロファイル パスを持つプロファイルを探します。新しいプロファイル パスの ProfileImagePath 値を古いプロファイルの値に変更します。

つまり、基本的には、新しいプロファイルを古いプロファイルのローカル マシン上のパスに関連付けることになります。

再起動してユーザーにログインしてもらいます。

ご自身の利益のために、2 番目の DC をセットアップするか、AD のバックアップを開始してください。

関連情報