「このワークステーションとプライマリドメインとの信頼関係に失敗しました」エラーの解決方法7選

家庭や企業環境でクライアントPCとサーバーを管理する方法には、「ワークグループ」と「ドメイン」の2種類があります。ワークグループは分散型のネットワーク構成で、10台程度までの小規模な家庭用・中小企業向けネットワークに適しています。専用サーバーが不要で、各マシンがそれぞれ独立したユーザーアカウントを持つのが特徴です。

一方、ドメインインフラは中央集権型のネットワーク構成で、数千台規模のマシンを管理できます。ドメイン環境を構築するには、Active Directory Domain Services（AD DS）とDomain Name Services（DNS）として動作するサーバーが最低1台必要です。AD DSとDNSを導入した後、ネットワーク上のすべてのマシンをドメインに参加させ、ユーザーごとにドメインユーザーアカウントを作成します。以降、ユーザーはローカルアカウントではなくドメインユーザーアカウントでログオンすることになります。ドメイン環境には、一元化されたシンプルな管理、耐障害性、1つのアカウントで複数のサービスを利用できるなど、多くのメリットがあります。

しかし、ドメインへのログオン時に次のエラーが発生するケースがあります。「このワークステーションとプライマリドメインとの信頼関係に失敗しました（The trust relationship between this workstation and the primary domain failed）」

この問題は、Windows XPからWindows 10までのクライアントOS、およびWindows Server 2003からWindows Server 2016までのサーバーOSで発生する可能性があります。原因はユーザーアカウントの問題、クライアントとドメインサーバー間の関係の不具合など、さまざまです。本記事では、Windows Server 2008 R2とWindows Server 2016で構築したドメイン環境をもとに解説します。

以下の7つの方法でこの問題を解決できます。

方法1：DHCP設定を確認する

新しいDHCPサーバーを追加したり、既存のDHCPプールを再設定したりしていませんか？　該当しない場合は次の方法へ進んでください。該当する場合は、この方法を試してみましょう。

ネットワーク上のホストにIPアドレスを割り当てる方法には、静的割り当てと動的割り当ての2つがあります。静的割り当ては手動でIPアドレスを設定するため時間がかかり、IT管理者の生産性を下げる要因になります。一般的には、DHCP（Dynamic Host Configuration Protocol）による動的割り当ての利用が推奨されます。ベストプラクティスとしては、サーバー・ストレージ・ネットワークプリンターには静的IPを、その他のホストには動的IPを使用します。

一部のユーザーは、ネットワークに別のDHCPサーバーを追加した後に問題が発生しました。原因は、ホストに対して誤ったDHCPプールが設定されていたことでした。そのため、DHCPが正常に動作しているか、正しいネットワークサブネットを使用しているかを確認しましょう。ここでは、Windows Server 2016とTP-Link TL-ER6120ルーターでの確認方法を紹介します。想定する正しいネットワークはCクラスの192.168.1.0/24とします。

1. Windowsロゴキーを押しながらRキーを押す
2. 「dhcpmgmt.msc」と入力しEnterキーを押してDHCP管理ツールを開く
3. サーバーを「appuals.com\IPv4\スコープ」の順に展開する。DHCPが正しく設定されていない場合、実際のネットワークが192.168.1.0/24なのに、設定が192.168.100.1/24になっているなどの不整合が確認できる。この場合はDHCP設定を変更する必要がある
4. DHCP管理ツールを閉じる

次に、TP-LinkルーターでのDHCP設定確認方法を紹介します。ルーターへのアクセス方法がわからない場合は、ルーターの技術資料を参照してください。

1. インターネットブラウザ（Google Chrome、Mozilla Firefox、Edgeなど）を開く
2. ルーターのIPアドレスを入力して管理画面にアクセスする
3. 「ネットワーク」タブから「LAN」→「DHCP」を選択し、DHCP設定を確認する。例ではDHCPが有効で、192.168.1.100～192.168.1.200の範囲に設定されており、これは正常です
4. ブラウザを閉じる

方法2：コンピューターをドメインから一度外して再参加させる

この方法では、クライアントマシンをドメインから一度削除し、再度参加させます。ドメインへの参加・再参加の権限を持つドメイン管理者アカウントが必要です。ここでは、Windows Server 2016 Standard環境からWindows 10 Proを再参加させる手順を紹介します。この手順は、Windows XP～Windows 8のクライアントOS、Windows Server 2003～Windows Server 2012 R2のサーバーOSでも同様に使えます。

1. ローカルのAdministratorアカウントでWindows 10にログオンする
2. Windowsロゴキーを押しながらEキーを押してエクスプローラーを開く
3. エクスプローラーの左側で「PC」を右クリックし、「プロパティ」を選択する
4. 「システムの詳細設定」をクリックする
5. 「コンピューター名」タブを選択する
6. 「変更」をクリックして、マシンをワークグループに移動させる
7. 「ワークグループ」を選択し、任意のワークグループ名を入力する。例では「WORKGROUP」としています
8. 「OK」をクリックする
9. ドメイン管理者のアカウント名とパスワードを入力し、「OK」をクリックする
10. 「OK」→「OK」の順にクリックする
11. 「システムのプロパティ」を閉じる
12. Windowsマシンを再起動する
13. ローカルのAdministratorアカウントでWindows 10にログオンする
14. Windowsロゴキーを押しながらEキーを押してエクスプローラーを開く
15. 「PC」を右クリックし、「プロパティ」を選択する
16. 「システムの詳細設定」をクリックする
17. 「コンピューター名」タブを選択する
18. 「変更」をクリックして、マシンをドメインに参加させる
19. 「ドメイン」を選択し、ドメイン名を入力する。例では「appuals.com」です
20. 「OK」をクリックする
21. ドメイン管理者のアカウント名とパスワードを入力し、「OK」をクリックする
22. 「OK」→「OK」の順にクリックする
23. 「システムのプロパティ」を閉じる
24. Windowsマシンを再起動する
25. ドメインユーザーアカウントでWindows 10にログオンする
26. これでマシンを通常どおり使用できます

方法3：PowerShellで信頼関係を再確立する

この方法では、PowerShellを使ってドメインコントローラーとクライアント間の信頼関係を再確立します。ローカルのAdministratorアカウントでログオンしてください。

1. ローカルのAdministratorアカウントでWindows 10にログオンする
2. 「スタートメニュー」をクリックし、「PowerShell」と入力する
3. 「PowerShell」を右クリックし、「管理者として実行」を選択する
4. 「はい」をクリックして管理者としての実行を確認する
5. 「$credential = Get-Credential」と入力しEnterキーを押す
6. ドメイン管理者のアカウントとパスワードを入力し、「OK」をクリックする
7. 「Reset-ComputerMachinePassword -Credential $credential」と入力しEnterキーを押す
8. PowerShellを閉じる
9. Windowsマシンを再起動する
10. ドメインユーザーアカウントでWindows 10にログオンする

方法4：資格情報マネージャーにドメインコントローラーを登録する

この方法では、資格情報マネージャー（Credential Manager）の「Windows資格情報」にドメインコントローラーのアカウントを追加します。Windows 10での手順を紹介します。

1. ローカルのAdministratorアカウントでWindows 10にログオンする
2. Windowsロゴキーを押しながらRキーを押す
3. 「control.exe /name Microsoft.CredentialManager」と入力しEnterキーを押して資格情報マネージャーを開く
4. 「Windows資格情報」を選択する
5. Webサイトまたはネットワークの場所のアドレスと資格情報を入力する
6. 「OK」をクリックする
7. 資格情報マネージャーを閉じる
8. Windowsマシンを再起動する
9. ドメインユーザーアカウントでWindows 10にログオンする

方法5：Netdom.exeでコンピューターアカウントのパスワードをリセットする

この方法は、Windows Server 2003およびWindows Server 2008 R2で利用できます。それより新しいサーバーOSを使用している場合は、次の方法を参照してください。ここでは、Windows Server 2008 R2でコンピューターアカウントのパスワードをリセットする手順を紹介します。

1. ドメインAdministratorアカウントでWindows Serverにログオンする
2. Windowsロゴキーを押しながらRキーを押す
3. 「cmd」と入力しEnterキーを押してコマンドプロンプトを開く
4. 「netdom resetpwd /s:server /ud:domain\User /pd:*」と入力しEnterキーを押す。「s」はドメインサーバー名、「domain」はドメイン名、「User」はドメインコントローラーに接続できないユーザーアカウントです
5. コマンドプロンプトを閉じる
6. Windowsクライアントマシンに切り替える
7. Windowsマシンを再起動する
8. ドメインユーザーアカウントでWindowsマシンにログオンする
9. これでマシンを通常どおり使用できます

方法6：コンピューターアカウントをリセットする

この方法では、Active Directory Domain Services役割がインストールされたサーバーに統合されている「Active Directoryユーザーとコンピューター」ツールを使って、コンピューターアカウントをリセットします。手順はシンプルで、Windows Server 2003からWindows Server 2016までのサーバーOSで利用できます。

1. Windowsロゴキーを押しながらRキーを押す
2. 「dsa.msc」と入力しEnterキーを押して「Active Directoryユーザーとコンピューター」を開く
3. ドメイン名を展開する。例では「appuals.com」です
4. 「Computers」を選択する
5. ドメインに接続できないコンピューターアカウントへ移動する。例では「Jasmin」というコンピューターです
6. 対象のコンピューター（Jasmin）を右クリックし、「アカウントのリセット」を選択する
7. 「はい」をクリックしてコンピューターアカウントのリセットを確認する
8. 「OK」をクリックする
9. 「Active Directoryユーザーとコンピューター」を閉じる
10. Windows 10マシンを再起動する
11. ドメインユーザーアカウントでログオンする
12. これでWindowsマシンを通常どおり使用できます

方法7：システムの復元を実行する

システムの復元は、システムやアプリケーションのトラブルシューティングで何度も助けられた便利な機能です。すべてが正常に動作していた以前の状態にシステムを戻すことで、この問題を解決できる場合があります。ただし、システムの復元が無効になっている場合は、以前の状態に復元できない点に注意してください。あらかじめ復元ポイントが作成されていることを確認したうえで、システムの復元を実行してください。