Solución de problemas de configuración y actualización de SQL Server con gMSA

Se aplica a: SQL Server en Windows

Resumen

Este artículo le ayuda a solucionar los errores de instalación y actualización de SQL Server que se producen cuando el programa de instalación rechaza o no puede validar una cuenta de servicio administrada de grupo (gMSA) para el servicio de SQL Server o de Agente SQL Server. Se explica cómo comprobar las entidades de seguridad autorizadas para recuperar la contraseña administrada, probar la recuperación de la contraseña y resolver problemas de replicación de Active Directory, DNS, canal seguro y sincronización horaria.

Antes de empezar, revise los requisitos previos y ejecute la lista rápida de comprobación para la validación en Solucionar problemas de instalación, inicio y autenticación de SQL Server con gMSA.

Síntomas

  • El programa de instalación informa de que la cuenta de servicio no es válida o que se produjo un error en la validación de la cuenta.
  • La gMSA existe, pero el programa de instalación no puede configurar SQL Server ni Agente SQL Server.
  • El error se produce durante la instalación, la reparación, la adición de características, la adición de nodos o la actualización.

Causa

El programa de instalación debe resolver la cuenta y validar que el host puede recuperar y usar su contraseña administrada. Entre las causas comunes se incluyen la replicación incompleta de Active Directory, los principales autorizados incorrectos o fallos de conectividad con el dominio.

Los errores de instalación que no están relacionados con la cuenta de servicio tienen instrucciones independientes. Antes de continuar, confirme en los registros de instalación que el primer error es un error de validación de la cuenta de servicio. Para obtener un diagnóstico general de los errores del programa de instalación, consulte Errores de instalación de SQL Server y, para las ubicaciones y la estructura de los archivos de registro, consulte Ver y leer los archivos de registro del programa de instalación de SQL Server.

Diagnóstico de errores de configuración y actualización de gMSA

  1. Ejecute los comandos de la lista de comprobación de validación rápida en el host afectado.
  2. Confirme que la cuenta de equipo host o un grupo autorizado aparece en PrincipalsAllowedToRetrieveManagedPassword.
  3. Busque Summary.txt y Detail.txt para encontrar el primer fallo de validación de la cuenta de servicio.

Resultado esperado:Get-ADServiceAccount devuelve la cuenta esperada y las identidades autorizadas, y Test-ADServiceAccount devuelve True.

Resolución de errores de configuración y actualización de gMSA

Use la solución que coincida con la condición identificada. Vuelva a intentar la instalación solo después de que Test-ADServiceAccount devuelva True en el host afectado.

Corregir las entidades de seguridad autorizadas para recuperar la contraseña de gMSA

  1. En un equipo de administración que tenga instalado el módulo de PowerShell Active Directory, revise la configuración actual.

    Get-ADServiceAccount -Identity 'SQLgMSA' `
  -Properties PrincipalsAllowedToRetrieveManagedPassword |
  Select-Object Name, PrincipalsAllowedToRetrieveManagedPassword

  2. Confirme que figure la cuenta de equipo de SQL Server afectada, o un grupo de seguridad que contenga dicha cuenta de equipo. Si el host de SQL Server afectado o un grupo de seguridad aprobado no aparece en PrincipalsAllowedToRetrieveManagedPassword, actualice la configuración de gMSA a través del proceso de Active Directory aprobado de la organización:

    • Si su organización administra hosts autorizados a través de un grupo de seguridad de Active Directory, haga que un administrador de Active Directory agregue la cuenta de equipo afectada a ese grupo aprobado. Por ejemplo:

      Add-ADGroupMember -Identity 'SQL-gMSA-Hosts' `
  -Members 'SQL01$'

    • Si su organización autoriza directamente las cuentas en la gMSA, pida a un administrador de Active Directory que actualice la gMSA con la lista completa de cuentas autorizadas. Por ejemplo:

      Set-ADServiceAccount -Identity 'SQLgMSA' `
  -PrincipalsAllowedToRetrieveManagedPassword `
  'CONTOSO\SQL-gMSA-Hosts'

      Caution

      El valor PrincipalsAllowedToRetrieveManagedPassword es una lista completa de principales autorizados. Antes de usar Set-ADServiceAccount, revise el valor actual e incluya todos los principales de seguridad que deban seguir autorizados. No elimine sin querer otros hosts de SQL Server ni nodos de clúster.

  3. Si ha cambiado una pertenencia a un grupo de seguridad, actualice la pertenencia a grupos del equipo afectado según el proceso de cambio de su organización.

  4. En todos los hosts que se pueden ejecutar SQL Server, compruebe el resultado.

    Get-ADServiceAccount -Identity 'SQLgMSA' `
  -Properties PrincipalsAllowedToRetrieveManagedPassword

Test-ADServiceAccount -Identity 'SQLgMSA'

    Resultado esperado: la cuenta de equipo deseada o el grupo aprobado aparece en PrincipalsAllowedToRetrieveManagedPasswordy Test-ADServiceAccount devuelve True.

Para obtener más información, consulte los artículos siguientes:

Resolver los errores de replicación de directorios, DNS, canal seguro o conectividad con el controlador de dominio

  1. En el host de SQL Server afectado, ejecute las siguientes comprobaciones desde una sesión de PowerShell con privilegios elevados. Reemplace por contoso.com el nombre de dominio de Active Directory.

    Resolve-DnsName -Name '_ldap._tcp.dc._msdcs.contoso.com' `
  -Type SRV

    nltest /dsgetdc:contoso.com
nltest /sc_verify:contoso.com
w32tm /query /status

  2. Corrija la condición que las comprobaciones identifican:

    • Si se produce un error en la resolución DNS o la detección del controlador de dominio, corrija la configuración del cliente DNS del host y compruebe que usa servidores DNS que pueden resolver el dominio de Active Directory.

    • Si nltest /sc_verify informa de un fallo del canal seguro, pida a un administrador de Windows o de Active Directory que repare el canal seguro del dominio del equipo mediante el proceso aprobado por la organización.

    • Si el estado de la hora no es correcto, corrija la sincronización horaria antes de volver a realizar la prueba, ya que la autenticación de Active Directory depende de una hora exacta.

    • Si el cambio del principal autorizado no es visible en el controlador de dominio con el que se comunica el host de SQL Server, pida a un administrador de Active Directory que compruebe la replicación. Por ejemplo:

      repadmin /replsummary
repadmin /showrepl *

      La replicación de Active Directory depende de la conectividad de red, la resolución de nombres DNS, la autenticación y la autorización, la precisión horaria, la base de datos del directorio y la topología de replicación. Use repadmin /showrepl y repadmin /replsummary para identificar errores de replicación de Active Directory.

  3. Una vez corregida la condición subyacente, vuelva a ejecutar Test-ADServiceAccount.

    Test-ADServiceAccount -Identity 'SQLgMSA'

    Resultado esperado: se detecta un controlador de dominio, la comprobación del canal seguro se realiza correctamente, la sincronización de la hora es correcta, la configuración de gMSA es visible desde el controlador de dominio contactado y Test-ADServiceAccount devuelve True.

Recopilación de datos de diagnóstico

Si el programa de instalación todavía no puede validar la gMSA después de completar estos pasos, recopile datos de diagnóstico del host afectado para el mismo intervalo de error. Para obtener la evidencia específica de gMSA y los registros de SQL Server estándar que se van a recopilar, consulte Recopilación de datos de diagnóstico en la introducción a la solución de problemas de gMSA. Use esos datos para continuar la investigación o para abrir un caso de soporte técnico.

Contenido relacionado

  • Se actualizó por última vez el