Устранение неполадок в событиях SCECLI 1202

В этой статье описываются способы устранения неполадок и устранения событий SCECLI 1202.

Оригинальная версия продукта: Windows Server 2012 R2
Исходный номер КБ: 324383

Аннотация

Первым шагом в устранении неполадок в этих событиях является определение кода ошибки Win32. Этот код ошибки различает тип сбоя, который вызывает событие SCECLI 1202. Ниже приведен пример события SCECLI 1202. Код ошибки отображается в поле Описание. В этом примере код ошибки 0x534. Текст после кода ошибки — это описание ошибки. После определения кода ошибки найдите этот раздел кода ошибки в этой статье, а затем выполните действия по устранению неполадок в этом разделе.

0x534. Сопоставление между именами учетных записей и ИД безопасности не было сделано.

0x6fc. Связь доверия между основным доменом и доверенным доменом не удалось.

Код ошибки 0x534: сопоставление между именами учетных записей и кодами безопасности не было сделано

Эти коды ошибок означают, что не было разрешения учетной записи безопасности на идентификатор безопасности (SID). Ошибка обычно возникает либо из-за ошибки имени учетной записи, либо из-за того, что учетная запись была удалена после того, как она была добавлена в параметр политики безопасности. Обычно это происходит в разделе Права пользователя или разделе Ограниченные группы в параметре политики безопасности. Это также может произойти, если учетная запись существует через доверие, а затем отношения доверия нарушены.

Для устранения данной проблемы выполните действия, указанные ниже.

Определите учетную запись, которая вызывает сбой. Для этого встроим ведение журнала отлаговок для расширения клиентской конфигурации безопасности:

Откройте редактор реестра.

Найдите и выделите следующий подраздел реестра:

В меню Редактирование выберите Добавить значение, а затем добавьте следующее значение реестра:

• Имя значения: ExtensionDebugLevel
• Тип данных: DWORD
• Данные значения: 2

Закройте редактор реестра.

Обновите параметры политики, чтобы воспроизвести сбой. Чтобы обновить параметры политики, введите следующую команду в командной подсказке и нажмите кнопку ENTER:

Эта команда создает файл с именем Winlogon.log в %SYSTEMROOT%\Security\Logs папке.

Найдите учетную запись проблемы. Для этого введите следующую команду в командной подсказке и нажмите кнопку ENTER:

Вывод Find определяет имена проблемных учетных записей, например, Не удается найти MichaelPeltier. В этом примере учетная запись пользователя MichaelPeltier не существует в домене. Или имеет другое правописание, например Мишель Пельтье.

Определите, почему эту учетную запись нельзя разрешить. Например, найди опечатки, удаленную учетную запись, неправильная политика, применяемая к этому компьютеру, или проблему с доверием.

Если вы определите, что учетная запись должна быть удалена из политики, найдите политику проблем и параметр проблемы. Чтобы определить, какой параметр содержит неурегулированную учетную запись, введите следующую команду в командной подсказке на компьютере, который производит событие SCECLI 1202, а затем нажмите кнопку ENTER:

В этом примере синтаксис и результаты:

Он определяет GPT00002.inf в качестве кэшного шаблона безопасности из объекта групповой политики проблем( GPO), который содержит параметр проблемы. Он также определяет параметр проблемы как SeInteractiveLogonRight. Имя отображения seInteractiveLogonRight локализовано.

Для карты констант (например, SeInteractiveLogonRight) с именами дисплеев (например, Logon локально) см. в руководстве по распределенным системам Microsoft Windows 2000 Server Resource Kit. Карта находится в разделе Права пользователя приложения.

Определите, какой GPO содержит параметр проблемы. Поиск кэшного шаблона безопасности, который был определен в шаге 4 для GPOPath= текста. В этом примере вы увидите:

Чтобы найти удобное имя GPO, используйте утилиту Resource Kit Gpotool.exe. Введите следующую команду в командной подсказке и нажмите кнопку ENTER:

Поиск вывода для GUID, который вы идентифицировали на шаге 5. Четыре строки, которые следуют GUID, содержат дружественное имя политики. Например:

Теперь вы определили учетную запись проблемы, параметр проблемы и GPO проблемы. Чтобы устранить проблему, удалите или замените запись проблемы.

Код ошибки 0x2: система не может найти указанный файл

Эта ошибка аналогична 0x534 и 0x6fc. Это вызвано нерешаемым именем учетной записи. При ошибке 0x2 обычно указывается, что имя нерешимой учетной записи указывается в параметре политики ограниченных групп.

Для устранения данной проблемы выполните действия, указанные ниже.

Определите, какая служба или какой объект имеет сбой. Для этого встроим ведение журнала отлаговок для расширения клиентской конфигурации безопасности:

Откройте редактор реестра.

Найдите и выделите следующий подраздел реестра:

В меню Редактирование выберите Добавить значение, а затем добавьте следующее значение реестра:

• Имя значения: ExtensionDebugLevel
• Тип данных: DWORD
• Данные значения: 2

Закройте редактор реестра.

Обновите параметры политики, чтобы воспроизвести сбой. Чтобы обновить параметры политики, введите следующую команду в командной подсказке и нажмите кнопку ENTER:

Эта команда создает файл с именем Winlogon.log в %SYSTEMROOT%\Security\Logs папке.

В командной строке введите следующую команду, а затем нажмите клавишу ВВОД:

Вывод Find определяет имена проблемных учетных записей, например, Не удается найти MichaelPeltier. В этом примере учетная запись пользователя MichaelPeltier не существует в домене. Или у него другая орфография , например, Мишель Пельтье.

Определите, почему эту учетную запись нельзя разрешить. Например, найди опечатки, удаленную учетную запись, неправильная политика, применяемая к этому компьютеру, или проблему с доверием.

Если вы определите, что учетная запись должна быть удалена из политики, найдите политику проблем и параметр проблемы. Чтобы узнать, какой параметр содержит неурегулированную учетную запись, введите следующую команду в командной подсказке на компьютере, который производит событие SCECLI 1202, а затем нажмите кнопку ENTER:

В этом примере синтаксис и результаты:

Он определяет GPT00002.inf в качестве кэшного шаблона безопасности из проблемы GPO, которая содержит параметр проблемы. Он также определяет параметр проблемы как SeInteractiveLogonRight. Имя отображения seInteractiveLogonRight локализовано.

Для карты констант (например, SeInteractiveLogonRight) с именами дисплеев (например, Logon локально) см. в руководстве по распределенным системам Windows 2000 Server Resource Kit. Карта находится в разделе Права пользователя приложения.

Определите, какой GPO содержит параметр проблемы. Поиск кэшного шаблона безопасности, который был определен в шаге 4 для GPOPath= текста. В этом примере вы увидите:

Чтобы найти удобное имя GPO, используйте утилиту Resource Kit Gpotool.exe. Введите следующую команду в командной подсказке и нажмите кнопку ENTER:

Поиск вывода для guID, который вы определили на шаге 5. Четыре строки, которые следуют GUID, содержат дружественное имя политики. Например:

Теперь вы определили учетную запись проблемы, параметр проблемы и GPO проблемы. Чтобы устранить проблему, в разделе Ограниченные группы политики безопасности необходимо найти экземпляры учетной записи проблемы (в этом примере MichaelPeltier), а затем удалить или заменить запись проблемы.

Код ошибки 0x5: доступ отказано

Эта ошибка обычно возникает, когда системе не были предоставлены правильные разрешения на обновление списка управления доступом службы. Это может произойти, если администратор определяет разрешения для службы в политике, но не предоставляет разрешения на полный контроль учетной записи Системы.

Для устранения данной проблемы выполните действия, указанные ниже.

Определите, какая служба или какой объект имеет сбой. Для этого встроим ведение журнала отлаговок для расширения клиентской конфигурации безопасности:

Откройте редактор реестра.

Найдите и выделите следующий подраздел реестра:

В меню Редактирование выберите Добавить значение, а затем добавьте следующее значение реестра:

• Имя значения: ExtensionDebugLevel
• Тип данных: DWORD
• Данные значения: 2

Закройте редактор реестра.

Обновите параметры политики, чтобы воспроизвести сбой. Чтобы обновить параметры политики, введите следующую команду в командной подсказке и нажмите кнопку ENTER:

Эта команда создает файл с именем Winlogon.log в %SYSTEMROOT%\Security\Logs папке.

В командной подсказке введите следующее, а затем нажмите кнопку ENTER:

Вывод Find идентифицирует службу с неправильно сконфигурованными разрешениями, например, Dnscache с открытием ошибки. Dnscache — это короткое имя службы DNS Client.

Узнайте, какая политика или какие политики пытаются изменить разрешения службы. Для этого введите следующую команду в командной подсказке и нажмите кнопку ENTER:

Ниже приведен пример команды и ее выход:

Определите, какой GPO содержит параметр проблемы. Поиск кэшного шаблона безопасности, который был определен в шаге 4 для GPOPath= текста. В этом примере вы увидите:

Чтобы найти удобное имя GPO, используйте утилиту Resource Kit Gpotool.exe. Введите следующую команду в командной подсказке и нажмите кнопку ENTER:

Поиск вывода для GUID, который вы идентифицировали на шаге 5. Четыре строки, которые следуют GUID, содержат дружественное имя политики. Например:

Теперь вы определили службу с неправильно сконфигурованными разрешениями и проблемой GPO. Чтобы устранить проблему, в разделе System Services политики безопасности можно найти экземпляры службы с неправильными разрешениями. Затем примите меры по исправлению, чтобы предоставить службе разрешения на полный контроль учетной записи Системы.

Код ошибки 0x4b8: произошла расширенная ошибка

Ошибка 0x4b8 является общей и может быть вызвана множеством различных проблем. Чтобы устранить эти ошибки, выполните следующие действия:

Включить ведение журнала отлаговок для расширения клиентской конфигурации безопасности:

Откройте редактор реестра.

Найдите и выделите следующий подраздел реестра:

В меню Редактирование выберите Добавить значение, а затем добавьте следующее значение реестра:

• Имя значения: ExtensionDebugLevel
• Тип данных: DWORD
• Данные значения: 2

Закройте редактор реестра.

Обновите параметры политики, чтобы воспроизвести сбой. Чтобы обновить параметры политики, введите следующую команду в командной подсказке и нажмите кнопку ENTER:

Эта команда создает файл с именем Winlogon.log в %SYSTEMROOT%\Security\Logs папке.

См. в журнале приложений ID 1000, 1202, 412 и 454. В этой статье описываются известные проблемы, из-за 0x4b8 ошибки.

Событие 1202 с состоянием 0x534 на контроллерах Windows Server 2008 R2 после изменения политики безопасности

В этой статье приводится решение для события, зарегистрированного на контроллерах домена после изменения политики безопасности.

Исходная версия продукта: Windows 7 Пакет обновления 1, Windows Server 2012 R2
Исходный номер КБ: 2000705

Симптомы

Журнал приложений на контроллерах домена Windows Server 2008 R2 содержит код события 1202 с кодом состояния «0x534: сопоставление между именами учетных записей и кодами безопасности не было сделано» при каждом применении политики безопасности. Соответствующая часть события с ид 1202 показана ниже:

Имя журнала: Приложение
Источник: SceCli
Дата: MM/DD/YYYY HH:MM:SS AM | PM
ИД события: 1202
Категория задачи: нет
Уровень: предупреждение
Ключевые слова: классическая
Пользователь: Н/А
Компьютер:
Описание:
Политики безопасности распространялись с предупреждением. 0x534: сопоставление между именами учетных записей и ИД безопасности не было сделано.

Дополнительные справки по этой проблеме доступны в https://support.microsoft.com . Запрос «устранение неполадок с событиями 1202».

Ошибка 0x534, когда учетная запись пользователя в одном или более объектах групповой политики не может быть разрешена в sid. Эта ошибка может быть вызвана неправильным или удаленным номером учетной записи пользователя, на который ссылается в филиале «Права пользователя» или «Ограниченные группы» ВПО. Чтобы устранить это событие, обратитесь к администратору домена, чтобы выполнить следующие действия:

The WINLOGON. ЖУРНАЛ содержит следующий текст:

.
Настройте S-1-1-0.
Настройте S-1-5-11.
Настройте S-1-5-32-554.
Настройте S-1-5-32-548.
Настройте S-1-5-32-550.
Настройте S-1-5-9.
Настройте WdiServiceHost.
Ошибка 1332: сопоставление между именами учетных записей и ИД безопасности не было сделано.
Не удается найти WdiServiceHost.
Настройте S-1-5-21-2125830507-553053660-2246957542-519.
добавьте SeTimeZonePrivilege.
Настройка прав пользователя завершена с одной или более ошибкой. .

По умолчанию GPTMPL. Политика INF в политике контроллеров домена по умолчанию выглядит так:

SeSystemProfilePrivilege = S-1-5-80-3139157870-2983391045-3678747466-658725712-1809340420, S-1-5-32-544

После изменения несвязанных параметров безопасности в политике контроллеров домена по умолчанию в политике контроллеров домена по умолчанию отображается SeSystemProfilePrivilege запись ниже:

Дополнительные сведения см. в записи событий SceCli 1202при каждом обновлении параметров групповой политики компьютера под управлением Windows Server 2008 R2 Или Windows 7.

Причина

При изменении любого параметра безопасности в политике контроллеров домена по умолчанию с помощью консоли управления групповыми политиками (GPMC) из консоли контроллера домена Windows Server 2008 R2 консоль управления групповыми политиками неправильно преобразует SID для учетной записи Wdiservice в политике в имя пользователя, которое не распознается локальными компьютерами, на которых применена политика. Эта проблема также возникает, когда компьютер-член Windows 7 или Windows Server 2008 R2 изменяет параметры безопасности в политике контроллеров домена по умолчанию на Windows Server 2008 R2 контроллере домена.

Обходной путь

В качестве временного решения вручную отредактируете GPTMPL. INF-файл путем добавления префикса службы NT \ перед именем учетной записи wdiservicehost для пользователя производительности системы профилей в политике контроллеров домена по умолчанию. Это необходимо делать каждый раз, когда все параметры безопасности в политике контроллеров домена по умолчанию администрироваться с помощью GPMC.

Это позволит предотвратить регистрацию события 1202 до следующего изменения политики безопасности в политике контроллеров домена по умолчанию соответствующими версиями операционной системы.

Откройте GPTTMPL. INF-файл для политики контроллеров домена по умолчанию контроллера домена, занося в журнал событие с ид 1202. Путь к GPTTMPL. INF-файл, если SYSVOL расположен ниже %SystemRoot%:
%SystemRoot%\Sysvol\domain\Policies\<6ac1786c-016f-11d2-945f-00c04fb984f9>\MACHINE\Microsoft\Windows NT\SecEdit\GPTTMPL.INF

Найдите SeSystemProfilePrivilege запись в GPTTMPL. INF и измените его следующим образом:

Before: SeSystemProfilePrivilege = *S-1-5-32-544,WdiServiceHost

After: SeSystemProfilePrivilege = *S-1-5-32-544,nt service\WdiServiceHost

Служба NT \ должен отображаться после делеметра «,». Не префикс NT Service \ со знаком «*».

Сохраните изменения в GPTTMPL.INF.

Из командной консоли контроллера домена, GPTTMPL которого. INF-файл был изменен в шаге 1, введите Gpupdate /force.

Просмотреть журнал приложений, чтобы узнать, был ли зарегистрирован код события 1202 с кодом 0x534 состояния. Если да, просмотрите WINLOGON. LOG, чтобы узнать, вызвано ли событие темой безопасности WdiServiceHost.

Дополнительная информация

В политике контроллеров домена по умолчанию на контроллере домена Windows Server 2008 R2 ИД безопасности для учетной записи службы диагностики (wdiservicehost) предоставляется место, куда она добавляется в локальный SAM компьютера, берется SCE, а затем добавляется в SeSystemProfilePrivilege GPTTMPL.INF.

При внесении изменений в политику контроллеров домена по умолчанию на контроллере домена Windows Server 2008 из-за неработоспособного кода ИД безопасности для учетной записи Wdiservicehost заменяется учетной записью SAM, но не удается добавить префикс службы NT, \ необходимый SCECLI для разрешения имени учетной записи. (то есть NT Service\Wdiservicehost).

Проблема, описанная в этой политике, возникает, когда редактор управления групповыми политиками на компьютерах с Windows 7 или Windows Server 2008 R2 используется для изменения параметров безопасности в политике контроллеров домена по умолчанию на контроллере домена Windows Server 2008.

Эта проблема не возникает, если политика безопасности изменена в политиках, кроме политики контроллеров домена по умолчанию.

Несмотря на ведение журнала события 1202 с кодом 0x534, эта проблема не мешает компьютерам с Windows применять политику безопасности, содержануюся в политике контроллеров домена по умолчанию. Однако не существует способа отличить событие ложного срабатывания, вызванное этой проблемой, от подлинных неправильных насображений, которые препятствуют применении политики безопасности, заданной с помощью того же кода состояния события 1202 и 0x534 состояния.