Zuletzt aktualisiert:
Ein Fehlerbild, das in nichtpersistenten Citrix-Umgebungen besonders unangenehm werden kann.
Der VDA startet nach einem Reboot scheinbar problemlos. Die VM ist erreichbar, die Netzwerkverbindung steht – aber Benutzer können sich nicht mehr anmelden.
❌ Windows meldet eine fehlerhafte Domänenvertrauensstellung
❌ Benutzeranmeldungen über ICA oder RDP schlagen fehl
❌ Ein Neustart behebt das Problem nicht dauerhaft
❌ Im schlimmsten Fall sind mehrere Maschinen eines MCS-Katalogs betroffen
🔍 Wo liegt die eigentliche Ursache?
Bei Citrix Machine Creation Services (MCS) erhält jede Maschine eine eigene Identität.
Diese wird unter anderem über die MCS Identity Disk bereitgestellt.
Sie enthält die maschinenspezifischen Identitätsinformationen, die für die korrekte Zuordnung zur Active-Directory-Domäne erforderlich sind.
Wenn das Maschinenkontokennwort beziehungsweise die Trust-Informationen nicht mehr zum AD-Computerkonto passen, kann die Domänenvertrauensstellung fehlschlagen.
Mögliche Auslöser sind beispielsweise Snapshot-Rollbacks, fehlerhafte Identity-Informationen oder manuelle Änderungen an AD-Computerkonten.
🛠️ Mein Troubleshooting-Ansatz
Zunächst prüfe ich auf dem betroffenen VDA den Secure Channel:
|
1 |
Test-ComputerSecureChannel -Verbose |
Anschließend kontrolliere ich:
✔️ Netlogon-Ereignisse
✔️ Das zugehörige AD-Computerkonto
✔️ Die Zuordnung der MCS Identity Disk
✔️ Den Maschinenstatus im Citrix Broker
Und jetzt kommt der interessante Teil:
Citrix bietet mit Repair-AcctIdentity eine gezielte Reparatur der Maschinenidentität.
Damit lassen sich Maschinenkennwort und Trust-Informationen reparieren, ohne direkt den gesamten Machine Catalog neu aufzubauen.
Beispiel:
|
1 |
Repair-AcctIdentity -IdentityAccountName "DOMAIN\VDA01" -PrivilegedUserName "DOMAIN\Admin" -PrivilegedUserPassword $password -Target IdentityInfo |
Wichtig: Die betroffene VM muss dafür ausgeschaltet und im Maintenance Mode sein.
💡 Mein Fazit
Bei einem defekten Secure Channel in einer nichtpersistenten MCS-Umgebung würde ich nicht einfach den Computer aus der Domäne entfernen und erneut aufnehmen.
Die Maschinenidentität wird durch MCS verwaltet. Eine manuelle Reparatur innerhalb des VDAs kann deshalb beim nächsten Neustart wieder verloren gehen.
Erst die MCS-Identität prüfen, dann gezielt reparieren – statt direkt den kompletten Katalog neu aufzubauen.
