Trả lời nhanh: Máy Windows 11 26H2 vào miền Active Directory báo The trust relationship between this workstation and the primary domain failed là do bản 26H2 kích hoạt Machine Identity Isolation, trong khi chế độ ép buộc của tính năng này chỉ chạy với domain controller ở mức Windows Server 2025. Microsoft đã sửa trong bản cập nhật KB5124010 ngày 22/9/2026. Cài bản đó trở lên, rồi chạy Test-ComputerSecureChannel -Repair trong Windows PowerShell để dựng lại kênh tin cậy.
Đây là lỗi làm bộ phận IT đau đầu nhất sau mỗi đợt cập nhật lớn: nhân viên mở máy buổi sáng và không vào được tài khoản công ty. Bài dưới đây tách bạch nguyên nhân riêng của 26H2 với các nguyên nhân quen thuộc, theo đúng thông tin Microsoft công bố, và kèm lệnh đã kiểm trên máy thật.
- Thông báo: The trust relationship between this workstation and the primary domain failed.
- Nguyên nhân riêng của 26H2: Machine Identity Isolation trên máy dùng Credential Guard, domain controller chưa ở mức Server 2025.
- Đã sửa từ bản cập nhật KB5124010 ngày 22/9/2026, build 26300.9550 trở lên.
- Sau khi cập nhật, dựng lại kênh tin cậy: Test-ComputerSecureChannel -Repair -Credential (Get-Credential).
- Chưa cập nhật được: dùng gói Known Issue Rollback KB5124008 hoặc đổi MachineIdentityIsolation từ 2 về 0.
Lỗi trông như thế nào
Người dùng nhập đúng tài khoản miền và mật khẩu nhưng Windows từ chối đăng nhập, báo câu The trust relationship between this workstation and the primary domain failed. Nếu rút dây mạng thì có khi lại vào được, vì Windows dùng thông tin đăng nhập đã lưu đệm từ lần trước. Máy chủ điều khiển miền (domain controller) vẫn chạy bình thường, sao chép Active Directory không bị ảnh hưởng, chỉ riêng máy trạm đã mất kênh tin cậy với miền.
Lỗi này vốn đã có từ lâu và gặp ở mọi đời Windows. Điểm mới là từ cuối tháng 9/2026, Microsoft xác nhận một nguyên nhân riêng do bản Windows 11 26H2 gây ra, ảnh hưởng tới những công ty đã bật tính năng bảo vệ tài khoản máy bằng Credential Guard.
Vì sao lên 26H2 lại mất tin cậy với miền
Theo trang tình trạng phát hành của Microsoft, bản 26H2 kích hoạt tính năng Machine Identity Isolation (cô lập danh tính máy). Bản cập nhật không tự bật chế độ ép buộc của tính năng này, nhưng khiến Windows bắt đầu tuân theo mọi thiết lập đã có sẵn từ trước, dù đặt bằng chính sách nhóm, Intune hay registry. Vấn đề là chế độ ép buộc chỉ được hỗ trợ khi máy kết nối tới domain controller chạy mức chức năng miền Windows Server 2025 trở lên. Công ty nào từng bật thiết lập đó mà domain controller còn ở Server 2019 hay 2022 thì sau khi lên 26H2, tài khoản máy được Credential Guard bảo vệ sẽ mất kênh bảo mật với miền.
| Câu hỏi | Trả lời |
|---|---|
| Máy nào bị | Máy Windows 11 26H2 vào miền Active Directory tại chỗ, tài khoản máy được Credential Guard bảo vệ, và từng có thiết lập bật Machine Identity Isolation |
| Máy nào không bị | Máy cá nhân, máy chỉ vào Microsoft Entra ID, máy chưa từng bật thiết lập trên |
| Phiên bản ảnh hưởng | Windows 11 26H2, 26H1, 25H2 và 24H2. Không ảnh hưởng Windows Server |
| Trạng thái | Đã sửa bằng bản cập nhật ngày 22/9/2026 (KB5124010) và các bản sau đó |
Cách sửa nhanh nhất: cài bản cập nhật KB5124010 trở lên
Microsoft sửa lỗi bằng cách tắt hẳn chế độ ép buộc Machine Identity Isolation trong bản cập nhật ngày 22/9/2026 (KB5124010, build 26300.9550) và mọi bản ra sau đó, bất kể thiết lập đang đặt ra sao. Máy đã cài bản vá bảo mật tháng 10/2026 (KB5127648, ngày 13/10/2026) cũng đã có bản sửa này. Vì vậy với đa số công ty, việc cần làm chỉ là:
- Đăng nhập máy bằng tài khoản quản trị cục bộ (gõ
.\tên-tài-khoảnở ô tên người dùng), hoặc bằng tài khoản miền khi đã rút mạng để dùng thông tin lưu đệm. - Cắm mạng lại, vào Windows Update cài hết bản cập nhật, khởi động lại.
- Sửa lại kênh tin cậy bằng lệnh ở mục bên dưới, khởi động lại lần nữa rồi đăng nhập tài khoản miền.
Kiểm build hiện tại bằng lệnh winver, cách đọc số build có trong bài Kiểm tra phiên bản và số bản dựng Windows 11 đang chạy. Build 26300.9550 trở lên với máy 26H2, hoặc 26200.9550 trở lên với máy 25H2, là đã có bản sửa.
Sửa lại kênh tin cậy với miền bằng PowerShell
Sau khi đã cài bản cập nhật hoặc đã tắt Machine Identity Isolation, kênh bảo mật cũ vẫn hỏng và phải dựng lại. Mở Windows PowerShell bằng quyền quản trị rồi chạy:
# Kiểm tra: trả về True là kênh tin cậy còn tốt, False là hỏng Test-ComputerSecureChannel # Sửa: hỏi tài khoản miền có quyền đưa máy vào miền Test-ComputerSecureChannel -Repair -Credential (Get-Credential) # Cách khác: đặt lại mật khẩu tài khoản máy với một domain controller cụ thể Reset-ComputerMachinePassword -Server DC01 -Credential (Get-Credential)
Hai lệnh này nằm sẵn trong Windows PowerShell 5.1 đi kèm Windows 11, chúng tôi đã kiểm trên máy chạy 26H2. Lưu ý chúng không có trong PowerShell 7, nên phải mở đúng Windows PowerShell. Công cụ netdom mà nhiều hướng dẫn cũ nhắc tới không có sẵn trên máy khách, phải cài thêm bộ RSAT. Cách cuối cùng nếu mọi lệnh đều thất bại là gỡ máy khỏi miền, khởi động lại rồi đưa vào miền lại.
Khi chưa cài được bản cập nhật: hai cách tạm của Microsoft
Cách 1, Known Issue Rollback qua chính sách nhóm. Microsoft phát hành một gói chính sách đặc biệt tên KB5124008 260915_17123 Known Issue Rollback cho Windows 11 24H2, 25H2 và 26H2. Cài gói này lên máy quản trị chính sách, vào Computer Configuration, Administrative Templates, đặt thiết lập cùng tên thành Disabled, rồi khởi động lại các máy để nhận chính sách. Đường tải gói nằm trên trang tình trạng phát hành Windows 11 26H2.
Cách 2, tắt Machine Identity Isolation bằng đúng công cụ đã bật nó. Bật bằng Intune thì tắt trong Intune, bật bằng chính sách nhóm thì tắt trong chính sách nhóm. Nếu bật thẳng bằng registry, Microsoft hướng dẫn tìm giá trị MachineIdentityIsolation ở hai vị trí dưới đây, giá trị nào bằng 2 thì đổi thành 0, rồi khởi động lại:
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v MachineIdentityIsolation reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v MachineIdentityIsolation :: gia tri nao bang 2 thi doi ve 0, vi du: reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v MachineIdentityIsolation /t REG_DWORD /d 0 /f
reg export để khôi phục được nếu có sự cố. Sau khi đổi giá trị và khởi động lại, vẫn phải chạy lệnh sửa kênh tin cậy ở mục trên.Các nguyên nhân khác gây cùng thông báo lỗi
Nếu máy không dùng Credential Guard mà vẫn báo lỗi này, nguyên nhân thường là một trong các trường hợp quen thuộc dưới đây. Cách sửa vẫn là dựng lại kênh tin cậy bằng PowerShell như trên, sau khi xử lý gốc rễ.
| Nguyên nhân | Dấu hiệu | Xử lý |
|---|---|---|
| Khôi phục máy từ bản sao lưu hoặc snapshot cũ | Máy ảo quay về trạng thái cũ, mật khẩu tài khoản máy không còn khớp | Sửa kênh tin cậy, sau đó tránh khôi phục snapshot cũ hơn chu kỳ đổi mật khẩu máy (mặc định 30 ngày) |
| Giờ máy trạm lệch domain controller quá 5 phút | Kerberos từ chối vé xác thực | Đồng bộ giờ: w32tm /resync, kiểm nguồn giờ của miền |
| Hai máy trùng tên trong miền | Máy này vào thì máy kia văng | Đổi tên một máy rồi đưa lại vào miền |
| Tài khoản máy bị xóa hoặc vô hiệu trong AD | Không tìm thấy máy trong Active Directory Users and Computers | Đưa máy vào miền lại |
Có nên nâng domain controller lên Windows Server 2025
Machine Identity Isolation là hướng Microsoft đang đi để bảo vệ tài khoản máy khỏi bị đánh cắp, và chỉ chạy đầy đủ với miền ở mức chức năng Windows Server 2025. Microsoft cho biết đang cải tiến tính năng trước khi bật lại, nên công ty còn domain controller đời cũ sẽ tiếp tục gặp giới hạn này về sau. Nếu đang lên kế hoạch thay máy chủ, nên tính luôn việc nâng miền, xem các lưu ý khi dựng Active Directory trên Windows Server 2025 và so sánh các phiên bản Windows Server 2025.
Với máy trạm, nên thử bản tính năng mới trên một nhóm máy nhỏ trước khi đẩy cho cả công ty, cách làm có trong bài Kiểm soát thời điểm cập nhật Windows cho cả công ty.
Câu hỏi thường gặp
Máy cá nhân không vào miền có bị lỗi này không
Không. Lỗi chỉ xảy ra với máy vào miền Active Directory tại chỗ. Máy dùng tài khoản Microsoft hay tài khoản cục bộ không có kênh tin cậy với miền nên không gặp.
Vì sao rút dây mạng lại đăng nhập được
Khi không liên lạc được domain controller, Windows dùng thông tin đăng nhập đã lưu đệm từ lần trước. Cách này giúp vào máy để cài bản cập nhật, nhưng sẽ không truy cập được tài nguyên của miền cho tới khi sửa kênh tin cậy.
Test-ComputerSecureChannel báo không nhận lệnh
Bạn đang mở PowerShell 7. Lệnh này chỉ có trong Windows PowerShell 5.1 đi kèm Windows. Tìm Windows PowerShell trong menu Start và chạy bằng quyền quản trị.
Cài KB5124010 rồi có phải sửa kênh tin cậy nữa không
Có, với máy đã bị lỗi. Bản cập nhật ngăn lỗi tái diễn nhưng không tự dựng lại kênh tin cậy đã hỏng. Chạy lệnh Test-ComputerSecureChannel -Repair rồi khởi động lại.
Có nên tắt Credential Guard để tránh lỗi
Không cần. Bản cập nhật của Microsoft đã tắt riêng chế độ ép buộc Machine Identity Isolation. Credential Guard vẫn nên giữ vì nó bảo vệ thông tin đăng nhập khỏi các công cụ đánh cắp mật khẩu.
Nguồn tham khảo
- Microsoft Learn: Windows 11, version 26H2 known issues and notifications
- Microsoft Learn: Resolved issues in Windows 11, version 26H2
- Microsoft Learn: Credential Guard protected machine accounts
Bài viết liên quan
- Windows 11 26H2 có gì mới và máy nào buộc phải lên
- Kiểm soát thời điểm cập nhật Windows cho cả công ty
- Windows Server 2025 Active Directory: best practice 2026
- So sánh Windows Server 2025 Essentials, Standard, Datacenter
- Windows 11 Enterprise là gì, khi nào doanh nghiệp cần hơn Pro
- Kiểm tra phiên bản và số bản dựng Windows 11 đang chạy
