Um Windows Server clonado pode herdar o mesmo identificador de segurança de máquina, ou SID, da origem. No Windows Server 2025, SIDs de máquina duplicados podem causar falhas de autenticação Kerberos e NTLM após as atualizações pertinentes lançadas a partir de 29 de agosto de 2025.
Os sintomas podem incluir solicitações repetidas de credenciais, compartilhamentos de rede inacessíveis, falhas de RDP, erros de Cluster de Failover e o ID de evento LsaSrv 6167. A Microsoft documenta essas proteções para o Windows Server 2025, não para todas as versões anteriores do Windows Server.
A solução adequada depende de quando a duplicação é descoberta:
| Situação | Ação recomendada |
|---|---|
| Você está preparando uma imagem reutilizável ou um modelo de VM | Execute o Sysprep antes de capturar a imagem |
| O clone ainda não entrou em produção | Recrie-o a partir de uma imagem corretamente generalizada |
| Um servidor membro já está implantado | Avalie uma alteração na instalação existente com o Wittytool Disk Clone se a recriação precisar ser adiada |
| O Windows Server 2025 apresenta o evento 6167 | Confirme a causa e recrie o sistema a partir de uma imagem corretamente generalizada |
| Você apenas moveu o Windows para outro disco no mesmo servidor | Normalmente não é necessário alterar o SID se a cópia original não será executada |
| O servidor é controlador de domínio ou hospeda uma função crítica | Use o procedimento de migração ou recuperação compatível com essa função |
Importante: não execute o Sysprep nem uma ferramenta genérica de alteração de SID em um controlador de domínio de produção, autoridade de certificação, servidor Exchange ou outro sistema com função crítica sem um plano de recuperação compatível com as orientações do fornecedor.
O que é o SID de máquina do Windows Server?
O SID de máquina é a parte específica do computador usada para formar os SIDs de usuários e grupos locais. As contas locais de um mesmo servidor compartilham esse prefixo e têm identificadores relativos, ou RIDs, diferentes no final.
O SID de máquina não é o mesmo que:
- O nome do computador ou o endereço IP
- O SID do objeto de computador no Active Directory
- MachineGuid
- SusClientId do WSUS
- CID do MSDTC
A clonagem pode duplicar vários desses identificadores. Por isso, um sintoma semelhante não comprova automaticamente que o SID de máquina é o responsável. Nomes de host ou endereços IP duplicados, registros DNS desatualizados, falhas de confiança do domínio e identidades WSUS duplicadas podem causar problemas parecidos.
A Microsoft exige que instalações do Windows destinadas à duplicação sejam generalizadas com o Sysprep antes da captura. Alterar o SID após a implantação não torna uma imagem não generalizada compatível com a política de implantação da Microsoft. Consulte a política de duplicação de discos da Microsoft.
Verifique se há SID duplicado antes de alterar qualquer configuração
Use o Microsoft Sysinternals PsGetSid para comparar os servidores afetados.
Depois de baixar o PsGetSid da Microsoft, abra um Prompt de Comando elevado e acesse a pasta extraída.
Consulte o servidor local:
psgetsidConsulte um servidor remoto:
psgetsid \\SERVER02Se os SIDs de máquina completos forem iguais em servidores distintos, há uma duplicação. Verifique se eles foram implantados a partir da mesma imagem não generalizada.
Você também pode procurar registros recentes do ID de evento LsaSrv 6167:
Get-WinEvent -FilterHashtable @{LogName='System'; Id=6167} -MaxEvents 20Não use whoami /user como substituto direto. Ele mostra o SID da conta conectada e pode retornar um SID de usuário de domínio em vez do SID de máquina do servidor.
Antes de alterar o SID do Windows Server
A alteração de SID modifica a identidade de segurança do sistema operacional. Faça estas verificações primeiro:
- Crie uma imagem completa do sistema ou um backup da VM e verifique se ele pode ser restaurado.
- Isole o servidor clonado da rede de produção.
- Garanta acesso por console local, iLO, iDRAC ou hipervisor.
- Registre nome do host, IP estático, DNS, participação no domínio, certificados, SPNs, contas de serviço, tarefas agendadas e licenças de aplicativos.
- Revise as funções de servidor instaladas e as políticas de suporte dos aplicativos.
- Guarde as chaves de recuperação de criptografia e verifique a existência de arquivos criptografados por EFS.
- Planeje uma janela de manutenção para reinicializações e validação dos serviços.
A Microsoft alerta que nem todas as funções de servidor permitem o uso do Sysprep. AD DS, AD CS, AD FS, AD LDS, AD RMS e várias outras exigem tratamento específico. Consulte a tabela de compatibilidade de funções de servidor da Microsoft.
Método 1: execute o Sysprep antes de capturar a imagem
O Sysprep é o método da Microsoft para preparar o Windows Server para clonagem. Ele deve ser executado na instalação de referência antes da captura da imagem, não como um reparo rotineiro em cada clone já implantado.
Etapa 1: prepare o servidor de referência
Crie uma instalação de referência limpa que:
- Não seja um sistema de produção
- Não tenha sido promovida a controlador de domínio
- Não esteja ingressada no domínio de produção
- Não contenha funções de servidor incompatíveis com o Sysprep
- Inclua as atualizações, os drivers e os aplicativos aprovados necessários
Use o Modo de Auditoria e um arquivo de resposta se a implantação exigir mais automação.
Etapa 2: execute o Sysprep como administrador
Abra um Prompt de Comando elevado em uma conta de administrador. Não execute o Sysprep na conta Sistema Local.
Execute:
%WINDIR%\System32\Sysprep\Sysprep.exe /generalize /oobe /shutdownAs opções realizam estas ações:
/generalizeremove informações específicas da máquina, incluindo o SID existente./oobeconfigura cada cópia implantada para iniciar a experiência inicial OOBE./shutdowndesliga o sistema de referência após a generalização.
Para Windows Server Core, acrescente /quiet:
%WINDIR%\System32\Sysprep\Sysprep.exe /generalize /oobe /shutdown /quietNa interface gráfica, o equivalente é selecionar Entrar na Configuração Inicial pelo Usuário do Sistema (OOBE), marcar Generalizar e selecionar Desligar. Porém, a Microsoft considera a interface gráfica do Sysprep obsoleta e recomenda a linha de comando.
Etapa 3: capture a imagem com o servidor desligado
Aguarde o Sysprep desligar o servidor de referência. Capture ou clone a imagem enquanto ele permanece desligado.
Não reinicie a instalação de referência antes da captura. A inicialização começará a fase specialize e ela deixará de ser adequada como imagem mestra generalizada.
Etapa 4: implante e configure cada servidor
Na primeira inicialização, o Windows executa a fase de configuração specialize e cria um novo SID de máquina.
Em seguida:
- Atribua um nome exclusivo ao computador.
- Configure o IP e o DNS corretos.
- Conclua a experiência inicial OOBE.
- Ingresse o servidor no domínio.
- Instale ou configure as funções específicas da implantação.
- Confira o novo SID com PsGetSid.
O Sysprep não é uma ferramenta de restauração de fábrica nem de apagamento de disco, mas realiza mudanças significativas. Ele remove pontos de restauração e logs de eventos, reconfigura dispositivos, remove a associação ao domínio e pode afetar funções, ativação, aplicativos e dados criptografados. A visão geral do Sysprep da Microsoft documenta essas limitações.
Método 2: altere o SID do Windows Server existente com Wittytool Disk Clone
Se um servidor membro comum já está implantado e a recriação imediata é inviável, a função Alterar SID do Wittytool Disk Clone oferece uma opção na instalação existente para versões compatíveis do Windows Server, incluindo 2019, 2022 e 2025. Ela preserva aplicativos, contas locais, configurações e dados. Valide a configuração e as funções do servidor antes de ampliar a alteração.
Verifique separadamente identificadores como MachineGuid, ID de cliente do WSUS e CID do MSDTC quando forem relevantes ao diagnóstico. Uma alteração do SID de máquina não comprova, por si só, que todos os demais identificadores foram tratados.
Etapa 1: abra a ferramenta Alterar SID
Abra o Wittytool Disk Clone, acesse Ferramentas e selecione Alterar SID.
Etapa 2: confirme as configurações
Confira as opções selecionadas e clique em Iniciar para começar a alteração do SID.
Escolha entre manter o nome atual do computador e deixar o programa gerar um nome aleatório. Se os dois computadores forem conectados à mesma rede, verifique se eles usam nomes diferentes.
Etapa 3: aguarde a preparação dos aplicativos
O Wittytool Disk Clone desinstalará os aplicativos que podem apresentar conflitos de permissões. Antes de removê-los, o programa faz automaticamente o backup dos aplicativos e dos dados associados para restaurá-los depois.
Etapa 4: aguarde a reinicialização automática
O computador será reiniciado automaticamente para aplicar o novo SID.
Etapa 5: entre no Windows e aguarde a restauração
Depois que você entrar novamente no Windows, o Wittytool Disk Clone reinstalará automaticamente os aplicativos removidos e restaurará seus dados. A alteração do SID estará concluída quando essa restauração terminar.
O que esperar ao entrar novamente
- Contas locais: a alteração do SID mantém suas contas locais e configurações existentes, mas gera novos SIDs para essas contas.
- Usuários de contas Microsoft: será necessário redefinir o PIN no primeiro acesso após a reinicialização.
Passo a passo em vídeo: como alterar o SID com o Wittytool Disk Clone
Etapa 5: verifique o resultado
Execute o PsGetSid novamente e confirme que o novo SID de máquina difere do servidor de origem. Teste todos os serviços críticos antes de reconectar o servidor à produção.
Confira a compatibilidade e as edições do Wittytool Disk Clone.
Orientações específicas para o Windows Server 2025
Para sistemas Windows Server 2025 afetados pela verificação de autenticação com SIDs duplicados, a solução permanente da Microsoft é recriar o sistema operacional com uma imagem corretamente generalizada.
Uma Política de Grupo especial pode oferecer alívio temporário, mas a Microsoft orienta os administradores a obtê-la pelo suporte empresarial da Microsoft. Ela não substitui a recriação dos sistemas afetados.
Para Exchange instalado em uma imagem não generalizada do Windows Server 2025, a Microsoft recomenda especificamente recriar o sistema operacional e restaurar o Exchange com /Mode:RecoverServer. Consulte as orientações de recuperação do Exchange da Microsoft.
Verifique o servidor depois de alterar o SID
Não encerre a verificação ao confirmar que o SID mudou. Faça também os testes operacionais:
- Compare o novo SID com o da origem usando PsGetSid.
- Confirme nome do host, endereço IP e registros DNS.
- Teste a autenticação local e de domínio.
- Verifique o canal seguro do domínio.
- Teste RDP, compartilhamentos SMB, WinRM e autenticação dos aplicativos.
- Revise o log Sistema em busca de novos eventos LsaSrv 6167.
- Teste serviços, tarefas agendadas e scripts que usam contas locais.
- Valide os agentes de monitoramento, backup, segurança e gerenciamento.
- Confira separadamente os relatórios do WSUS e o MSDTC, quando aplicável.
- Confirme a ativação do Windows e dos aplicativos.
- Mantenha a imagem de recuperação até o servidor concluir um ciclo completo de validação das atividades da empresa.
Se o servidor não iniciar corretamente, consulte como corrigir falhas de inicialização após alterar o SID.
Perguntas frequentes
Renomear um Windows Server altera seu SID?
Não. Nome do computador e SID de máquina são identificadores separados. Renomear o servidor não elimina um SID de máquina duplicado.
Sair do domínio e ingressar novamente altera o SID de máquina?
Não. O novo ingresso repara ou recria a relação do computador com o Active Directory, mas não substitui o SID de máquina local copiado com a instalação do Windows.
Preciso alterar o SID depois de clonar um HDD para um SSD?
Normalmente não. Se o novo disco substitui o antigo no mesmo servidor físico e apenas uma cópia do Windows será executada, em geral é adequado manter o SID existente.
Se duas ou mais instalações clonadas forem executadas como sistemas separados, planeje identidades distintas e verifique os SIDs de máquina.
A KB5065426 afeta o Windows Server 2022?
O artigo da Microsoft sobre falhas de autenticação com SIDs duplicados lista o Windows Server 2025 e o Windows 11 nas versões 24H2 e 25H2. Ele não lista o Windows Server 2022.
Ainda assim, a Microsoft exige o Sysprep para duplicações de imagem compatíveis com sua política no Windows Server 2022.
Posso executar o Sysprep em um controlador de domínio?
Não execute o procedimento padrão do Sysprep em um controlador de domínio já promovido. Use o processo apropriado da Microsoft para clonagem de controlador de domínio, migração, despromoção e nova promoção ou recuperação de desastre.
A clonagem de controladores de domínio virtualizados usa um procedimento próprio com VM-Generation ID e DCCloneConfig.xml; não é igual à clonagem de um servidor membro comum.
O Sysprep apaga meus arquivos?
O Sysprep não foi projetado para apagar arquivos do usuário. Porém, remove estados específicos da máquina e pode afetar funções instaladas, configuração de dispositivos, ativação, aplicativos e dados criptografados.
A Microsoft alerta que arquivos criptografados por EFS podem ficar permanentemente ilegíveis após o Sysprep. Crie e teste um backup completo antes de começar.
O NewSID ainda é recomendado?
Não. A Microsoft descontinuou o NewSID, e ele não é recomendado para implantações modernas do Windows Server. Use o Sysprep para novas imagens ou avalie uma opção atual, testada na configuração correspondente, quando a recriação precisar ser adiada.
Conclusão
O melhor momento para evitar SIDs duplicados é antes da clonagem. Execute o Sysprep na instalação de referência, aguarde o desligamento e capture a imagem generalizada antes de iniciá-la novamente.
Se um servidor membro já está implantado, confirme a duplicação com PsGetSid antes de alterar qualquer configuração. Recriá-lo a partir de uma imagem corretamente generalizada continua sendo a solução permanente compatível com as orientações da Microsoft. Quando a recriação precisar ser adiada, o Wittytool Disk Clone pode ser avaliado como opção na instalação existente, conforme a versão do Windows Server e as funções instaladas.