如何使用 Netdom.exe 重置 Windows Server 域控制器的機(jī)器帳戶密碼
參考KB:https://support.microsoft.com/zh-cn/help/325850/how-to-use-netdom-exe-to-reset-machine-account-passwords-of-a-windows

目前創(chuàng)新互聯(lián)公司已為1000多家的企業(yè)提供了網(wǎng)站建設(shè)、域名、網(wǎng)頁(yè)空間、網(wǎng)站托管、服務(wù)器租用、企業(yè)網(wǎng)站設(shè)計(jì)、互助網(wǎng)站維護(hù)等服務(wù)，公司將堅(jiān)持客戶導(dǎo)向、應(yīng)用為本的策略，正道將秉承"和諧、參與、激情"的文化，與客戶和合作伙伴齊心協(xié)力一起成長(zhǎng)，共同發(fā)展。

適用于： Windows Server 2019, all versionsWindows Server 2016 StandardWindows Server 2012 R2 Standard 詳細(xì)

使用 Netdom.exe 重置機(jī)器帳戶密碼
概要
本文分步描述如何使用 Netdom.exe 在 Windows Server 中重置域控制器的機(jī)器帳戶密碼。

每臺(tái)基于 Windows 的計(jì)算機(jī)均會(huì)保留一個(gè)計(jì)算機(jī)帳戶密碼歷史記錄，其中包含用于該帳戶的當(dāng)前和以前的密碼。 當(dāng)兩臺(tái)計(jì)算機(jī)嘗試彼此進(jìn)行身份驗(yàn)證時(shí)，如果未接收到當(dāng)前密碼更改，則 Windows 將依賴于以前的密碼。 如果密碼序列更改次數(shù)超過(guò)兩次，則涉及的計(jì)算機(jī)可能無(wú)法通信，并且你可能會(huì)收到錯(cuò)誤消息。 例如，在發(fā)生 Active Directory 復(fù)制時(shí)可能會(huì)收到“拒絕訪問(wèn)”錯(cuò)誤消息。

此行為也適用于同一域的域控制器之間的復(fù)制。 如果未復(fù)制的域控制器駐留在兩個(gè)不同的域中，請(qǐng)更密切地查看信任關(guān)系。

不能使用 Active Directory 用戶和計(jì)算機(jī)管理單元更改計(jì)算機(jī)帳戶密碼，但可以使用 Netdom.exe 工具重置密碼。 Netdom.exe 工具包含在 Windows Server 2003 的 Windows 支持工具中。 Netdom.exe 工具也包含在 Windows Server 2008 R2 和 Windows Server 2008 中。

Netdom.exe 工具可以本地重置計(jì)算機(jī)上的帳戶密碼（稱為“本地密碼”），并將此更改寫入位于同一域中的 Windows 域控制器上的計(jì)算機(jī)的計(jì)算機(jī)帳戶對(duì)象。 同時(shí)將新密碼寫入兩個(gè)位置，確保對(duì)操作中涉及的至少兩臺(tái)計(jì)算機(jī)進(jìn)行同步，并啟動(dòng) Active Directory 復(fù)制，以便其他域控制器接收更改。

以下過(guò)程描述了如何使用 netdom 命令重置計(jì)算機(jī)帳戶密碼 。 此過(guò)程最常用于域控制器，但也適用于任何 Windows 計(jì)算機(jī)帳戶。

你必須從想要更改其密碼的基于 Windows 的計(jì)算機(jī)本地運(yùn)行該工具。 此外，必須具有本地和對(duì) Active Directory 中的計(jì)算機(jī)帳戶對(duì)象的管理權(quán)限才能運(yùn)行 Netdom.exe。

使用 Netdom.exe 重置機(jī)器帳戶密碼
在要重置其密碼的域控制器上安裝 Windows Server 2003 支持工具。 這些工具位于 Windows Server 2003 CD-ROM 上的 Support\Tools 文件夾中。 要安裝這些工具，請(qǐng)右鍵單擊 Support\Tools 文件夾中的 Suptools.msi 文件，然后單擊“安裝”。
注意在 Windows Server 2008 R2 和 Windows Server 2008 中不需要執(zhí)行此步驟，因?yàn)?Netdom.exe 工具包含在這些 Windows 版本中 。
如果要重置 Windows 域控制器的密碼，則必須停止 Kerberos 密鑰分發(fā)中心服務(wù)并將其啟動(dòng)類型設(shè)置為 “手動(dòng)” 。

注意
重新啟動(dòng)并驗(yàn)證密碼已成功重置后，可以重新啟動(dòng) Kerberos 密鑰分發(fā)中心 (KDC) 服務(wù)并將其啟動(dòng)類型設(shè)置回自動(dòng) 。 這使得具有錯(cuò)誤計(jì)算機(jī)帳戶密碼的域控制器聯(lián)系另一個(gè)域控制器，以獲取 Kerberos 票證。
可能必須在所有域控制器（除一個(gè)外）上禁用 Kerberos 密鑰分發(fā)中心服務(wù)。 如果可以，請(qǐng)不要禁用具有全局目錄的域控制器，除非遇到問(wèn)題。
刪除收到錯(cuò)誤的域控制器上的 Kerberos 票證緩存。 可以通過(guò)重新啟動(dòng)計(jì)算機(jī)或使用 KLIST、Kerbtes 或 KerbTray 工具來(lái)實(shí)現(xiàn)此目的。 Windows Server 2008 R2 和 Windows Server 2008 中均包含 KLIST。 在 Windows Server 2003 中，可以在 Windows Server 2003 Resource Kit Tools 中免費(fèi)下載 KLIST。 要獲取此工具，請(qǐng)?jiān)L問(wèn)下面的 Microsoft 網(wǎng)站：
http://www.microsoft.com/downloads/details.aspx?familyid=9d467a69-57ff-4ae7-96ee-b18c4790cffd&displaylang=en
在命令提示符下，鍵入以下命令：
netdom resetpwd /s:server /ud:domain\User /pd:
此命令的說(shuō)明如下：
/s:server 是域控制器的名稱，該控制器用于設(shè)置機(jī)器帳戶密碼。 這是 KDC 正在其中運(yùn)行的服務(wù)器。
/ud:domain\User 是用于連接至 /s 參數(shù)中指定的域的用戶帳戶。 該格式必須為 domain\User 格式。 如果省略此參數(shù)，則使用當(dāng)前用戶帳戶。
/pd: 用于指定 /ud 參數(shù)中指定的用戶帳戶的密碼。 使用星號(hào) () 提示輸入密碼。
例如，本地域控制器計(jì)算機(jī)是 Server1，對(duì)等 Windows 域控制器為 Server2。 如果在 Server1 上用以下參數(shù)運(yùn)行 Netdom.exe，則會(huì)本地更改密碼并同時(shí)寫入到 Server2，并且復(fù)制會(huì)將更改傳播給其他域控制器：
netdom resetpwd /s:server2 /ud:mydomain\administrator /pd:
重新啟動(dòng)已更改密碼的服務(wù)器。 在本示例中，它是 Server1。