複製後的 Windows 電腦若拒絕正確認證資訊，並記錄 LSA 事件識別碼 6167，先比較兩端的本機電腦 SID。記錄 Windows 版本、對照失敗連線時間，再確認是否重複；密碼錯誤本身不能證明 SID 有問題。
證據指向重複 SID 時，依環境與支援要求選擇復原方式；SID 不同時，應繼續調查驗證原因。
事件識別碼 6167 是什麼？
本文討論的事件來自本機安全性授權單位伺服器服務，位於系統記錄中，訊息包含：
There is a partial mismatch in the machine ID.（電腦識別碼部分不相符。）
Microsoft 將此事件與重複 SID 裝置之間的 Kerberos／NTLM 驗證失敗連結，可能表現為認證遭拒、共用無法存取或遠端桌面失敗；詳見重複 SID 驗證公告。
應同時檢查事件來源與情境。相似的電腦識別碼錯誤文字，也可能出現在其他驗證問題。
哪些 Windows 版本與更新相關？
Microsoft 公告列出：
- Windows 11 24H2。
- Windows 11 25H2。
- Windows Server 2025。
相關行為與 2025 年 8 月 29 日起發行的更新有關，包括 KB5064081、KB5065426。KB5070568 是排障公告編號，不是需要另外安裝的修正更新。
在兩端執行 winver 記錄版本與組建。這些是診斷背景，不能只依更新日期認定原因。
確認受影響電腦是否有重複 SID
記錄兩端電腦與失敗連線
辨識發起與接收連線的電腦。例如 CLIENT-A 無法存取 FILE-PC 共用；遠端桌面則要記錄連線端與遠端 Windows 主機。
記錄名稱、組建、網域／工作群組、是否來自相同映像，以及一次可控制重試的錯誤與時間，避免比錯電腦或調查舊事件。
將 LSA 事件對應到失敗嘗試
- 重現一次失敗連線並記錄時間。
- 在接收連線的 Windows 開啟「事件檢視器」→「Windows 記錄」→「系統」。
- 使用「篩選目前的記錄」，尋找該時間附近的
6167。 - 確認 LSA／LsaSrv 來源、訊息與時間；需要時對照另一端記錄。
變更前先保存證據。舊的 6167 或一般登入失敗事件，不一定對應剛才的連線。
比較完整本機電腦 SID
從 Microsoft Sysinternals 下載 PsGetSid，在兩端解壓縮 PsTools，於資料夾開啟 PowerShell，執行：
.\PsGetsid.exe兩台都在本機執行，不加入帳戶名稱。未指定電腦或帳戶時，會查詢本機電腦 SID；遠端驗證已失敗時，本機查詢尤其實用。
比較完整電腦 SID，不要刪除最後一段，也不要用目前使用者的 whoami /user 或 AD 電腦物件 SID 代替。不同識別資訊的範圍可參閱 Microsoft SID 說明。
下列數值用於說明比較方式：
| 電腦 | 電腦 SID | 比較結果 |
|---|---|---|
| CLIENT-A | S-1-5-21-111111111-222222222-333333333 | 參考值。 |
| FILE-PC | S-1-5-21-111111111-222222222-333333333 | 與 CLIENT-A 相同。 |
| OTHER-PC | S-1-5-21-444444444-555555555-666666666 | 不同的電腦 SID。 |
CLIENT-A 連 FILE-PC 失敗時，應比較這兩台；OTHER-PC 不同，不能排除受影響兩端重複。
變更前先解讀證據
| 發現 | 下一步 |
|---|---|
| SID 相同、LSA 事件對應，且 Windows 環境符合。 | 證據支持重複 SID 原因，可評估下方處理方式。 |
| SID 相同，但只有一般密碼錯誤。 | 已確認身分重複，仍須確認與本次失敗的關係。 |
| 電腦 SID 不同。 | 先確認查詢對象，再調查其他驗證原因。 |
| 找不到對應事件。 | 檢查電腦、記錄與時間範圍，繼續收集證據。 |
已確認重複 SID，如何處理？
依 Microsoft 支援的映像流程重建
對本文問題，Microsoft 的永久處理方式是使用受支援的方法重建受影響裝置。Windows 映像原則要求在擷取映像前執行 Sysprep；部署不當準備的映像後才執行，不能讓原部署變成受支援流程。
先備份資料、正確準備參考系統並試行，依官方一般化流程處理映像，避免直接在正式工作電腦套用未規劃的命令。
向 Microsoft 支援確認暫時緩解方式
若無法立即重建，Microsoft 公告建議 IT 管理者聯絡商務支援取得特殊群組原則。這是暫時緩解，重複身分仍存在；應取得符合環境的設定指示。
需要保留既有 Windows 11 時，評估第三方 SID 修改
Wittytool Disk Clone 提供獨立 SID 修改功能，可重新產生本機電腦 SID 及衍生本機帳戶 SID，並保留帳戶、設定、應用程式與資料；部分應用程式透過自動備份還原保留。
新 SID 由程式隨機產生，不能手動指定，也不會修改網域使用者 SID。電腦名稱可保留，或由程式自動產生。
這項功能與 Microsoft 支援的映像準備不同。操作前保留可還原備份，先測試一台，並另行檢查應用程式授權、加密認證、雲端登入與網域關係。
確認原因後使用 Wittytool Disk Clone
為選定的 Windows 11 電腦準備可還原系統備份、可用本機管理員認證及必要復原金鑰。保存工作、記錄原 SID，並預留重新啟動時間。
已加入網域的電腦，我們建議先退域、修改 SID，再重新加入。請與網域管理者安排，重新加入需存取網域控制站。
- 下載 Wittytool Disk Clone，開啟「工具」→「變更 SID」。
- 選擇保留名稱或自動產生新名稱，並另查同網路電腦沒有重名。
- 核對後按「開始」，依提示完成修改與重新啟動，期間保持電源穩定。
- Windows 可用後，重新查詢 SID 並測試原連線。
完整步驟可參閱 SID 修改教學。網域控制站、叢集、VDI 或重要伺服器應依各平台支援流程處理。
驗證存取並調查剩餘錯誤
重測相同 SMB 或遠端桌面連線
重新查 SID、比較兩端，再從相同用戶端以預定帳戶測試原資源。
- SMB：開啟原共用，執行該帳戶獲准的操作。
- 遠端桌面：重試原連線，確認登入完成。
- 檢查測試時間的新相關事件；舊記錄留在檢視器，不代表處理失敗。
- 確認必要帳戶與應用程式正常，包括重新加域後的存取。
SID 不同或驗證仍失敗時
先停止反覆修改 SID，檢查帳戶、權限、目的主機與目前事件。一般共用問題可參閱 Windows 網路認證排障教學。
網域與伺服器環境可能需要檢查安全通道或 Kerberos。例如 IBM 記錄的特定叢集升級問題也有相似識別碼文字，但沒有重複電腦 SID；工作站應依自己的證據選擇處理方式。
避免未來映像重複出現問題
依受支援流程在擷取前一般化參考系統。vSphere 環境可參考 Broadcom 的客體作業系統自訂與 SID 產生建議。
部署驗收包含電腦身分與實際網路存取。只修改一次來源 SID，再把相同系統複製到多台，不足以確認每台目標都有不同值。
常見問題
修改電腦名稱，也會修改電腦 SID 嗎？
不會。名稱與電腦 SID 是不同識別資訊；重新命名可處理名稱衝突，但不會修改重複電腦 SID。
可以用 whoami /user 比較電腦 SID 嗎？
不可以。它回報目前使用者 SID。應不加帳戶參數執行 PsGetSid，再比較完整電腦 SID。
SID 不同，也可能出現電腦識別碼不相符嗎？
可能。相似文字可出現在其他驗證情境，應確認事件來源、兩端電腦、完整 SID 與連線背景。
修正重複 SID，一定要解除安裝 KB5065426 嗎？
解除安裝更新不會讓 SID 變成不同值。依確認的原因處理；需要官方暫時緩解時，聯絡 Microsoft 支援。