El programa de instalación de SQL Server falla con el error 0x84BB0001 al usar una gMSA

Se aplica a: SQL Server en Windows

Resumen

Este artículo le ayuda a resolver SQL Server error de instalación 0x84BB0001 ("Acceso denegado") al instalar SQL Server con una cuenta de servicio administrada de grupo (gMSA). El error se produce cuando Active Directory o una consulta remota al Administrador de cuentas de seguridad (SAM) bloquea la identidad usada para ejecutar el programa de instalación, aunque la gMSA en sí sea válida. En el artículo se explica cómo identificar la identidad denegada, revisar la configuración remota de directiva de grupo de SAM y corregir los permisos de Active Directory o de objeto de clúster.

Antes de empezar, revise los requisitos previos y ejecute la lista rápida de comprobación para la validación en Solucionar problemas de instalación, inicio y autenticación de SQL Server con gMSA.

Síntomas

  • El programa de instalación indica 0x84BB0001 o «Acceso denegado».
  • Detail.txt contiene LookupADEntry, DirectoryEntries.Findo UnauthorizedAccessException.
  • El cambio de permisos en SQL Server carpetas de datos no resuelve el error.

Causa

Una consulta de Active Directory o de SAM remoto puede bloquear la identidad con la que se ejecuta la Instalación. La propia gMSA puede ser válida, aunque la cuenta usada para la instalación o la directiva de seguridad efectiva bloqueen la búsqueda requerida.

Diagnosticar el error 0x84BB0001

  1. Identifique la identidad rechazada en Detail.txt.

  2. Busque registros de instalación de 0x84BB0001, LookupADEntry, DirectoryEntries.Find, UnauthorizedAccessExceptiony RestrictRemoteSAM.

    Ejecute el siguiente comando en PowerShell.

    Get-ChildItem 'C:\Program Files\Microsoft SQL Server\*\Setup Bootstrap\Log' -Recurse -File |
  Select-String -Pattern '0x84BB0001|LookupADEntry|DirectoryEntries.Find|UnauthorizedAccessException|RestrictRemoteSAM'

    Resultado esperado: la búsqueda identifica la entrada de registro pertinente más antigua y la identidad denegada.

  3. Revise la directiva efectiva Acceso a la red: Restringir los clientes permitidos para realizar llamadas remotas a SAM.

  4. Para la configuración de la instancia de clúster de conmutación por error (FCI), revise los permisos del objeto de equipo del clúster y del objeto de equipo virtual.

Resolución del error 0x84BB0001

Caution

No debilite ampliamente la directiva de seguridad de dominio ni conceda derechos permanentes de administrador local a la gMSA como solución alternativa.

Autorización de la identidad del programa de instalación mediante la directiva de seguridad aprobada

La directiva Acceso a la red: Restringir los clientes autorizados a realizar llamadas remotas a SAM controla qué usuarios y grupos pueden realizar llamadas remotas a SAM y a Active Directory. Las entradas de su lista de control de acceso pueden permitir o denegar explícitamente principales definidos. Mantenga la directiva en vigor y agregue solo la cuenta necesaria a su lista de permitidos de acceso remoto.

  1. Use Detail.txt para identificar la cuenta que recibió el error de acceso denegado. No dé por sentado que la identidad a la que se denegó el acceso es la gMSA, ya que es posible que el programa de instalación de SQL Server esté fallando mientras utiliza la identidad con la que se inició el programa de instalación.

  2. Genere un informe de directiva de grupo efectivo en el servidor afectado.

    New-Item -ItemType Directory -Path C:\Temp -Force
gpresult /h C:\Temp\gpresult.html

  3. Abra C:\Temp\gpresult.html, identifique el objeto de directiva de grupo (GPO) que configura el acceso a la red: restrinja a los clientes permitidos para realizar llamadas remotas a SAM y haga que el administrador de directivas de grupo o de seguridad revise ese GPO autoritativo.

  4. Si los registros de instalación confirman que esta directiva bloquea la búsqueda necesaria, agregue solo la identidad de instalación identificada o un grupo de seguridad aprobado a la lista de permitidos de acceso remoto de la directiva. No deshabilite la directiva de forma general ni conceda acceso a un grupo grande y no relacionado. Conserve la base de referencia de seguridad de la organización.

    1. En Administración de directivas de grupo, edite el GPO de autoridad.
    2. Vaya a Configuración del equipo>Directivas>Configuración de Windows>>Directivas locales>Opciones de seguridad.
    3. Abrir acceso a la red: restrinja los clientes permitidos para realizar llamadas remotas a SAM.
    4. Seleccione Editar seguridad, agregue la identidad o grupo aprobados y conceda acceso remoto.
    5. Aplique la directiva según el proceso de administración de cambios de su organización.

  5. En el servidor afectado, actualice la directiva de grupo y genere otro informe de resultados.

    gpupdate /force
gpresult /h C:\Temp\gpresult-after.html

Para obtener más información, consulte Acceso a la red: Restricción de clientes permitidos para realizar llamadas remotas a SAM.

Corrija los permisos de Active Directory o del objeto de clúster

Para una instalación independiente, use la primera entrada UnauthorizedAccessException, LookupADEntry o DirectoryEntries.Find de Detail.txt para identificar el objeto del directorio y la operación denegada. Haga que un administrador de Active Directory conceda solo el permiso necesario para esa operación en el objeto o la unidad organizativa aplicables.

Para una instalación de FCI, siga estos pasos:

  1. Identifique el objeto de nombre del clúster y el objeto de equipo virtual implicados en la operación de instalación fallida.
  2. En Usuarios y equipos de Active Directory, seleccione Ver>características avanzadas.
  3. Busque el objeto de equipo afectado o la unidad organizativa en la que el programa de instalación debe crear o actualizar el objeto.
  4. En propiedades del objeto, seleccione Seguridad>avanzada y compruebe que el objeto de nombre de clúster o la identidad de aprovisionamiento aprobada solo tiene los permisos necesarios para el modelo de aprovisionamiento de objetos de clúster de la organización.
  5. Si el objeto de equipo virtual estaba preconfigurado, compruebe que no está deshabilitado y que el objeto de nombre del clúster tiene los permisos de control aprobados por la organización en él.
  6. Si Setup debe crear el objeto, compruebe los permisos aprobados para crear objetos de equipo en la unidad organizativa de destino.

No otorgue permisos amplios basándose únicamente en el error 0x84BB0001. Correlacione primero el objeto del directorio y la operación denegada con Detail.txt, los resultados de la directiva de grupo y las pruebas del clúster.

Compruebe que los cambios de directiva y de directorio se hayan replicado antes de volver a ejecutar el programa de instalación

  1. Una vez que el administrador actualice la directiva de grupo o los permisos de Active Directory, ejecute los siguientes comandos.

    gpupdate /force
repadmin /replsummary
repadmin /showrepl *

  2. Si el cambio afectó a los principales autorizados de la cuenta gMSA, compruebe el valor en el host afectado.

    Get-ADServiceAccount -Identity 'SQLgMSA' `
  -Properties PrincipalsAllowedToRetrieveManagedPassword

Test-ADServiceAccount -Identity 'SQLgMSA'

Resultado esperado:

  • El informe de directiva de grupo resultante contiene la entrada aprobada de acceso remoto de SAM, cuando corresponda.
  • La replicación de Active Directory no informa de ningún error que afecte al objeto o la directiva modificados.
  • Se muestran las entidades autorizadas designadas para la gMSA.
  • Test-ADServiceAccount devuelve True.
  • Un nuevo intento de instalación de SQL Server ya no registra la misma operación de acceso denegado.

Si diferentes controladores de dominio devuelven información de permisos o gMSA diferentes, no vuelva a intentar la instalación repetidamente. Resuelva primero el error de replicación. El repadmin /replsummary comando identifica los controladores de dominio que tienen errores de replicación entrante o saliente. Para obtener más información, vea Repadmin /replsummary.

Si la instalación falla después de que se hayan restringido los derechos de usuario en su entorno, consulte La instalación de SQL Server falla después de quitar los derechos de usuario predeterminados.

Recopilación de datos de diagnóstico

Si la instalación sigue fallando con el error 0x84BB0001 después de completar estos pasos, recopile datos de diagnóstico, incluida la salida de Detail.txt y gpresult, correspondiente al mismo intervalo del error. Para obtener la evidencia específica de gMSA y los registros de SQL Server estándar que se van a recopilar, consulte Recopilación de datos de diagnóstico en la introducción a la solución de problemas de gMSA. Use esos datos para continuar la investigación o para abrir un caso de soporte técnico.

Contenido relacionado

  • Se actualizó por última vez el