Prefazione
Un computer che “esce dal dominio” può rappresentare un serio problema per le aziende strutturate in Active Directory. Questo comportamento impedisce al dispositivo di autenticarsi correttamente con il controller di dominio, con conseguenze come l’impossibilità di accedere con account aziendali, l’esclusione da policy di gruppo (GPO), l’interruzione di servizi centralizzati come file sharing o accesso alle applicazioni aziendali. Comprendere le cause e le soluzioni per questo evento è essenziale per ogni sistemista o amministratore di rete, soprattutto in ambienti ibridi con integrazione Office 365 e Azure AD.
Questo articolo risponde alle domande chiave sul problema, fornendo soluzioni efficaci tramite Regedit, strumenti di Windows, PowerShell e riferimenti a Office 365, con un approccio pratico e concreto.
Domande e risposte tecniche
- Che cosa succede quando un PC va fuori dominio?
Il dispositivo non riesce più ad autenticarsi con un controller di dominio, mostrando errori all’accesso con credenziali aziendali. - Quando si verifica?
Tipicamente dopo modifiche DNS, snapshot non aggiornati (VM), restore da backup obsoleti, lunghi periodi di inattività, o modifiche hardware critiche. - Perché accade?
Il problema si manifesta per desincronizzazione dell’account computer nel dominio, rotazione errata delle password del computer o cancellazione accidentale dell’oggetto nel dominio. - Chi è impattato?
L’utente finale non può accedere, mentre l’amministratore riceve errori di trust relationship o Kerberos/TGT. - Come risolverlo?
Con una serie di operazioni: reset dell’account nel dominio, join del dominio, correzioni via PowerShell e verifica dei parametri DNS e dei servizi AD.
Soluzioni dettagliate
1. Verifiche di base in Windows
Quando un PC va fuori dominio, il primo passo è capire se si tratta di un problema di connessione temporanea o di un’impostazione errata. In generale, la soluzione più comune è quella di rimuovere il PC dal dominio e poi riaggiungerlo, oppure verificare la connessione di rete e riavviare il PC.
Passaggi da seguire:
- Verificare la connessione di rete: Assicurarsi che il PC sia correttamente collegato alla rete e che possa raggiungere i server del dominio (server di autenticazione, server DNS, ecc.).
- Rimuovere il PC dal dominio:
- Aprire il Pannello di Controllo e selezionare “Sistema e Sicurezza”.
- Cliccare su “Sistema” e quindi su “Cambia impostazioni”.
- Sotto “Membro di”, selezionare “Gruppo di lavoro”.
- Riavviare il PC.
- Aggiungere nuovamente il PC al dominio:
- Aprire il Pannello di Controllo e selezionare “Sistema e Sicurezza”.
- Cliccare su “Sistema” e quindi su “Cambia impostazioni”.
- Sotto “Membro di”, selezionare “Dominio”, digitare il nome del dominio e fornire le credenziali di un utente con autorizzazioni di amministratore del dominio.
- Riavviare il PC.
- Verificare le impostazioni del firewall: Assicurarsi che il firewall non stia bloccando le connessioni al dominio.
- Riavviare il PC: Un riavvio può risolvere problemi di connessione o di configurazione.
- Verificare il certificato RDP: Se si utilizzano connessioni Desktop Remoto, assicurarsi che il certificato RDP sia valido.
- Verificare il canale sicuro Kerberos: Se si verificano problemi di autenticazione, potrebbe essere necessario resettare il canale sicuro Kerberos,.
- Effettua il login con un account locale (es.
.\\Administrator). - Controlla la connettività al controller di dominio: cmd
pingnomedominio.local nslookup nomedominio.local - Verifica che l’interfaccia di rete abbia i DNS corretti (IP del controller di dominio).
- Controlla data e ora del sistema: cmdCopiaModifica
w32tm /query /status
2. Reset trust relationship con PowerShell
Apri PowerShell con privilegi elevati e riesegui il join al dominio:
powershell$Domain = "dominio.local"
$OU = "OU=Computers,DC=dominio,DC=local"
Add-Computer -DomainName $Domain -OUPath $OU -Credential (Get-Credential) -Force -Restart
Se il PC è già nel dominio ma la relazione di trust è danneggiata:
powershellReset-ComputerMachinePassword -Server controller.dominio.local -Credential (Get-Credential)
3. Soluzione via Regedit (se non accessibile il join)
Attenzione: questa procedura è delicata e va eseguita solo in emergenza o da personale esperto.
- Accedi al registro di sistema (
regedit.exe). - Naviga in: sql
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters- Verifica il valore
DisablePasswordChange(impostalo su 0 se diverso). - Riavvia il servizio Netlogon: cmd
net stop netlogon && net start netlogon
4. Interazione con Azure AD/Office365
Se il PC è ibrido o con Azure AD join, verifica la corretta registrazione:
powershelldsregcmd /status
- Se
AzureAdJoinedè YES maDomainJoinedè NO, esegui unleavee reintegra: powershelldsregcmd /leave - Verifica in Azure AD che il dispositivo non sia stale (obsoleto o duplicato).
- Cancella e reintegra tramite Intune o MEM se necessario.
Conclusione
Quando un PC esce dal dominio, è fondamentale agire con metodo: controlli DNS, ripristino della relazione di trust, eventuale rejoin al dominio e sincronizzazione dell’orologio sono passaggi essenziali. La prevenzione si ottiene con policy di gestione corrette, verifica periodica dello stato degli account macchina e tool di monitoraggio attivo.
