Клонировали виртуальную машину с Windows без sysprep: одинаковые SID и почему после осеннего обновления 2025 года это стало ломать сеть

Виртуальные машины и серверы
1

Что было. Несколько машин с Windows, полученных клонированием одного образа без обобщения. Годами работали. После установки обновления осени 2025 года (ветка 25H2) между ними перестала проходить аутентификация: сетевые папки, удалённое управление, вход доменными учётными записями с одной на другую. Оказалось, у всех машин одинаковый идентификатор безопасности компьютера (SID).

Почему раньше работало, а теперь нет. Дублирование SID компьютера долгое время считалось почти безобидным: локальные SID не участвуют в доменной аутентификации напрямую. Но обновление ужесточило проверки в Kerberos и NTLM, и машины с одинаковыми идентификаторами стали отвергать друг друга. Принятый ответ прямой: единственный поддерживаемый способ получить уникальный SID это sysprep /generalize; сторонние утилиты смены SID производителем не поддерживаются.

Что делать с уже клонированными машинами.

  1. Снимок или резервная копия.
  2. Вывести машину из домена (если в домене).
  3. C:\Windows\System32\Sysprep\sysprep.exe /generalize /oobe /shutdown. При запуске машина получит новый SID, пройдёт первичную настройку (имя, пароль администратора).
  4. Ввести обратно в домен под прежним или новым именем.
    Учитывать: обобщение сбрасывает часть настроек (сторонние драйверы, профили пользователей могут потребовать пересоздания, активация некоторых программ, привязанных к машине). Для сервера с ролями это фактически переустановка настроек ролей, поэтому иногда проще развернуть новую машину из правильного шаблона и перенести данные.

Как правильно делать шаблон виртуальной машины.

  • Установить Windows, обновления, общие программы; не вводить в домен и не создавать пользователей.
  • sysprep /generalize /oobe /shutdown (с файлом ответов unattend.xml, если хотите автоматизировать имя и пароль).
  • Снять образ или сделать шаблон из выключенной машины. Каждый клон при первом запуске получит уникальный SID, новые ключи машины и запрос имени.
  • Не запускать шаблон «посмотреть»: после старта он уже не обобщён, и придётся повторять.

Как проверить, есть ли дубликаты. На каждой машине whoami /user (SID пользователя содержит SID машины до последнего компонента) или wmic useraccount where name='Administrator' get sid. Одинаковые префиксы S-1-5-21-… на разных машинах означают клон без обобщения.

Обобщение описано в документации Microsoft.