Windows Sunucu ve Ağlarda ‘Etki Alanı Denetleyicisi ile Güven İlişkisi Bozuldu’ Hatası ve PowerShell Onarım Rehberi

Soru: Şirket Bilgisayarında Domain Kullanıcısıyla Oturum Açarken ‘Güven İlişkisi Başarısız’ Hatası Nasıl Düzeltilir?

Cevap: Active Directory etki alanına (Domain) bağlı kurumsal şirket bilgisayarlarında çalışanların sabah mesai başlangıcında Windows kullanıcı adı ve şifresini yazıp ‘Giriş Yap’ butonuna bastıklarında ekranda beliren ‘Bu iş istasyonu ile birincil etki alanı arasındaki güven ilişkisi başarısız oldu’ (The trust relationship between this workstation and the primary domain failed) uyarısı personelin bilgisayara erişimini tamamen durdurur. Kullanıcı kendi parolasından emin olsa dahi Windows oturum açılmasına izin vermez. Bu durum kullanıcının şifresinin değişmesinden değil; istemci bilgisayar ile Active Directory Etki Alanı Denetleyicisi (Domain Controller – DC) arasındaki Bilgisayar Hesabı Güven Parolasının (Computer Account Password) birbirinden ayrışarak güven bağının kopmasıdır.

Domain Güven İlişkisi (Secure Channel) Neden Bozulur?

Active Directory ortamında yalnızca kullanıcıların değil, bilgisayarların da bir şifresi vardır:

• 30 Günlük Otomatik Şifre Yenileme: Windows, arka planda her 30 günde bir istemci bilgisayar ile Domain Controller arasındaki gizli makine şifresini (Kerberos Machine Key) otomatik olarak günceller.
• Kopma Sebebi: Bir çalışan dizüstü bilgisayarını 1 ay boyunca şirket ağına bağlamadan evde kullanırsa veya sunucu tarafında bir Sanal Makine (VM) geçmiş tarihli bir yedeğe (Snapshot / Checkpoint) geri döndürülürse; sunucudaki bilgisayar şifresi ile istemcinin elindeki şifre uyuşmaz.
• Güvenli Kanal (Secure Channel) çöker; istemci sunucuya kendini doğrulatamadığı için kapıda reddedilir.

1. Adım: Yerel Yönetici (Local Admin) Hesabı ile Oturum Açma

Bilgisayara müdahale edebilmek için domain kullanıcısı yerine makinenin yerel hesabı açılır:

1. Kullanıcı adı kutusuna .Administrator veya .YerelKullanici yazılır (Baştaki . işareti bilgisayara ‘Domain e değil, kendi yerel diskine bak’ emri verir).
2. Yerel yönetici parolası girilerek Windows masaüstüne ulaşılır.
3. Bilgisayarın Ethernet kablosuyla şirket yerel ağına bağlı olduğu ve Domain Controller sunucusuna ping attığı doğrulanır.

2. Adım: Bilgisayarı Domain’den Çıkarmadan PowerShell ile Güvenli Kanalı Onarma

Eski yöntem olan ‘Bilgisayarı Workgroup’a al, yeniden başlat, tekrar Domain’e sok’ yöntemi kullanıcının masaüstü profilini, Outlook ayarlarını ve kayıt defterini bozar. Hiç yeniden başlatmadan ve profili bozmadan güven bağı tek satır PowerShell komutuyla onarılır:

PowerShell Yönetici Olarak Çalıştırılır:
# 1. Önce Güvenli Kanalın Durumunu Test Edin:
Test-ComputerSecureChannel
# (Ekrana 'False' yanıtı düşer; güven bağının koptuğu kesinleşir).

# 2. Domain Controller ile Makine Parolasını Anında Sıfırlayın ve Eşitleyin:
Test-ComputerSecureChannel -Repair -Credential (Get-Credential)

Açılan kimlik doğrulama penceresine bir 'Domain Admin' kullanıcı adı (Örn: sirketadmin) ve şifresi yazılır.

Komut işletildiğinde ekrana yeşil renkte ‘True’ çıktısı basılır. Bu çıktı, makinenin şifresinin Domain Controller üzerinde saniyeler içinde yenilendiğini ve güven ilişkisinin eksiksiz restore edildiğini doğrular.

3. Adım: Doğrulama ve Kullanıcı Oturumu Açma

Hiçbir yeniden başlatma yapmadan doğrudan Win + L ile oturum kilitlenir veya ‘Oturumu Kapat’ denilir. Hata alan personelin kurumsal domain kullanıcı adı ve şifresi yazılır; masaüstünün tüm geçmiş ikonları, yazıcıları ve e-postalarıyla saniyeler içinde sorunsuz açıldığı görülür.

Active Directory etki alanı mimarisi, Domain Controller göçü, Group Policy (GPO) yapılandırması ve kurumsal Windows sunucu altyapı yönetiminde BaykalSoft Sunucu Mühendisliği uzman kadromuzla iletişime geçebilirsiniz.