Porquê aplicar um snapshot num controlador domínio numa VM pode ter problemas?

Esta é uma questão bastante comum para na comunidade de TI.

Imagine que tem uma VM que está associada a um domínio e está a funcionar perfeitamente. Faz um snapshot, para assim pode restaurar a VM a este ponto mágico de workingness, a qualquer momento. Quando precisar de acionar esta VM e para testar algo, precisa reverter para o snapshot e iniciar a VM. Logo após aparece uma mensagem a dizer que o domínio não confia mais na sua estação de trabalho (virtual). O que é que aconteceu? Não foram feitas alterações no snapshot!  Por isso que ele é chamado de snapshot!  Por isso que isto dá erro?

Bem, tem razão. Não foram feitas alterações no snapshot, e isso é parte do problema.

Faz parte das políticas de domínio (por padrão) do Active Directory para um membro de domínio alterar a password da conta agora e sempre. Sem dúvida tem que alterar a password para a conta de utilizador ocasionalmente, portanto, isso não deveria ser uma surpresa. O que pode ser uma surpresa é que a mesma coisa acontece para contas de computador. Eis a razão – os computadores têm contas, também.

Agora então (por padrão, a cada 30 dias, mas o valor é configurável através de politica de domínio), a estação de trabalho vai negociar uma nova password com o domínio. Tudo acontece nos bastidores, sem o seu conhecimento.

Salvo, se tiver uma VM ingressada no domínio com snapshots tirados ao mesmo tempo (servidor e cliente).

O problema surge porque a estação de trabalho – em algum momento – negoceia uma nova password com o domínio e regista-a para uso futuro.  Em seguida, o snapshot foi aplicado, e desta forma activou a VM a “viajar de tempo”. Esta VM do passado foi levada para o futuro e não tem conhecimento de tudo o que aconteceu no intermédio. Portanto, a Vm pensa que a antiga password é ainda está actualizada. E ele tenta utilizar essa mesma password. E o domínio ao verificar que a password é diferente, nega o acesso.

Por que razão o Hyper-V deixa isso acontecer?

Não é apenas o Hyper-V. Isso acontece o tempo todo para qualquer VM em qualquer tecnologia de virtualização (desde que tenha a possibilidade de fazer snapshot e poder aplica-lo). A mesma coisa vai acontecer em qualquer situação onde tenha que “convencer” o Windows que a password da conta do computador é algo que não é (como restaurar um snapshot ou qualquer outro tipo de backup).

O que pode se pode fazer sobre este problema?

Existem três possibilidades.

1. Se puder, mudar a política de domínio padrão ou obtenha uma excepção criada para sua conta(s) de computador(es). Isso não é a melhor opção porque abre um buraco de segurança (pequeno como podem ser).
2. Logon numa conta de administrador local no sistema e retirar do domínio. Em seguida, voltá-lo a colocar no domínio. A conta do computador irá obter uma nova password, e esta actualizada, que a estação de trabalho conhece. Alternativamente, poderá utilizar o NETDOM.EXE para redefinir a senha da conta do computador. Pode sempre automatizar este mesmo processo, se precisar.
3. Sysprep na VM e criar um arquivo autónomo que irá configurá-la de acordo com o que pretende, que poderá ser ingressar automaticamente no domínio, por exemplo. Uma vez que a máquina utilize o sysprep, pode fazer um snapshot e sempre restaurar para aquele ponto, daqui por diante.