Le programme d’installation de SQL Server échoue avec l’erreur 0x84BB0001 lorsque vous utilisez un compte gMSA

S’applique à : SQL Server sur Windows

Résumé

Cet article vous aide à résoudre SQL Server’erreur d’installation 0x84BB0001 (« Accès refusé ») lorsque vous installez SQL Server avec un compte de service géré de groupe (gMSA). L’erreur se produit lorsqu’une recherche dans Active Directory ou une recherche distante dans le Gestionnaire des comptes de sécurité (SAM) bloque le compte utilisé pour exécuter le programme d’installation, même si le gMSA lui-même est valide. L’article explique comment identifier l’identité refusée, passer en revue le paramètre de stratégie de groupe SAM distant et corriger les autorisations d’Active Directory ou d’objet cluster.

Avant de commencer, passez en revue les prérequis et exécutez la liste de contrôle de validation rapide dans Résoudre les échecs d’installation, de démarrage et d’authentification de SQL Server avec des gMSA.

Symptoms

  • 0x84BB0001 Rapports d’installation ou « Accès refusé ».
  • Detail.txt contient LookupADEntry, DirectoryEntries.Findou UnauthorizedAccessException.
  • La modification des autorisations sur SQL Server dossiers de données ne résout pas l'échec.

Cause

Une interrogation d’Active Directory ou du SAM distant peut bloquer le compte sous lequel le programme d’installation s’exécute. Le gMSA lui-même peut être valide pendant que le compte d’installation ou la stratégie de sécurité effective bloque la recherche requise.

Diagnostiquer l’erreur 0x84BB0001

  1. Identifiez l’identité refusée à partir de Detail.txt.

  2. Rechercher 0x84BB0001, LookupADEntry, DirectoryEntries.Find, UnauthorizedAccessException et RestrictRemoteSAM dans les journaux d’installation.

    Exécutez la commande suivante dans PowerShell.

    Get-ChildItem 'C:\Program Files\Microsoft SQL Server\*\Setup Bootstrap\Log' -Recurse -File |
  Select-String -Pattern '0x84BB0001|LookupADEntry|DirectoryEntries.Find|UnauthorizedAccessException|RestrictRemoteSAM'

    Résultat attendu : la recherche identifie l’entrée de journal pertinente la plus ancienne et l’identité refusée.

  3. Examinez la stratégie effective Accès réseau : Restreindre les clients autorisés à effectuer des appels à distance à SAM.

  4. Pour l’installation d’une instance de cluster de basculement (FCI), vérifiez les autorisations de l’objet ordinateur du cluster et de l’objet ordinateur virtuel.

Résoudre l’erreur 0x84BB0001

Avertissement

N’affaiblissez pas largement la stratégie de sécurité de domaine ou accordez des droits d’administrateur local permanents au gMSA comme solution de contournement.

Autoriser l’identité d’installation par le biais de la stratégie de sécurité approuvée

La stratégie Accès réseau : restreindre les clients autorisés à passer des appels distants à SAM détermine quels utilisateurs et groupes peuvent passer des appels distants à SAM et à Active Directory. Ses entrées de contrôle d’accès peuvent explicitement autoriser ou refuser l’accès à des entités définies. Conservez la règle en place et ajoutez uniquement le compte requis à sa liste des autorisations d’accès à distance.

  1. Utilisez Detail.txt pour identifier le compte qui a reçu l’erreur « accès refusé ». Ne supposez pas que l’identité à laquelle l’accès a été refusé est le compte gMSA, car le programme d’installation de SQL Server peut échouer lorsqu’il utilise l’identité qui a lancé l’installation.

  2. Générez un rapport de stratégie de groupe efficace sur le serveur concerné.

    New-Item -ItemType Directory -Path C:\Temp -Force
gpresult /h C:\Temp\gpresult.html

  3. Ouvrez C:\Temp\gpresult.html, identifiez l’objet de stratégie de groupe (GPO) qui configure Accès réseau : restreindre les clients autorisés à effectuer des appels distants vers SAM, puis demandez à l’administrateur de la sécurité ou de la stratégie de groupe d’examiner cet objet GPO de référence.

  4. Si les journaux d’installation confirment que cette stratégie bloque la recherche requise, ajoutez uniquement l’identité d’installation identifiée ou un groupe de sécurité approuvé à la liste verte d’accès à distance de la stratégie. Ne désactivez pas la stratégie à grande échelle ou n’accordez pas l’accès à un groupe volumineux et non lié. Conservez la base de référence de sécurité de votre organisation.

    1. Dans Gestion des stratégies de groupe, modifiez le GPO faisant autorité.
    2. Accédez à Configuration ordinateur>Stratégies>Paramètres Windows>Paramètres de sécurité>Stratégies locales>.
    3. Ouvrir l’accès réseau : restreindre les clients autorisés à passer des appels distants à SAM.
    4. Sélectionnez Modifier la sécurité, ajoutez l’identité ou le groupe approuvé et accordez l’accès à distance.
    5. Appliquez la stratégie en fonction du processus de gestion des modifications de votre organisation.

  5. Sur le serveur concerné, actualisez la stratégie de groupe et générez un autre rapport de résultats.

    gpupdate /force
gpresult /h C:\Temp\gpresult-after.html

Pour plus d’informations, consultez Accès réseau : Restreindre les clients autorisés à passer des appels distants à SAM.

Corriger les autorisations d’Active Directory ou d’objet cluster

Pour une installation autonome, utilisez la première entrée LookupADEntry, DirectoryEntries.Find ou UnauthorizedAccessException dans Detail.txt pour identifier l’objet de répertoire et l’opération refusée. Demandez à un administrateur Active Directory d’accorder uniquement l’autorisation nécessaire à cette opération sur l’objet ou l’unité d’organisation concerné.

Pour installer une instance de cluster de basculement, procédez comme suit :

  1. Identifiez l’objet nom du cluster et l’objet d’ordinateur virtuel impliqué dans l’opération d’installation ayant échoué.
  2. Dans Utilisateurs et ordinateurs Active Directory, sélectionnez Afficher les>fonctionnalités avancées.
  3. Recherchez l’objet ordinateur concerné ou l’unité organisationnelle dans laquelle le programme d’installation doit créer ou mettre à jour l’objet.
  4. Dans les propriétés de l’objet, sélectionnez Security>Advanced et vérifiez que l’objet de nom de cluster ou l’identité d’approvisionnement approuvée possède uniquement les autorisations requises par le modèle d’approvisionnement d’objets cluster de l’organisation.
  5. Si l’objet d’ordinateur virtuel a été précréé, vérifiez qu’il n’est pas désactivé et que l’objet de nom du cluster dispose sur celui-ci des autorisations de contrôle approuvées par l’organisation.
  6. Si le programme d’installation doit créer l’objet, vérifiez les autorisations approuvées de création d’objet ordinateur dans l’unité d’organisation cible.

N’accordez pas d’autorisations générales uniquement en fonction de l’erreur 0x84BB0001. Commencez par mettre en corrélation l’objet d’annuaire et l’opération refusée avec Detail.txt, les résultats de la stratégie de groupe et les éléments probants du cluster.

Vérifiez que les modifications de stratégie et d’annuaire sont répliquées avant de réessayer le programme d’installation

  1. Une fois que l’administrateur a mis à jour la stratégie de groupe ou les autorisations Active Directory, exécutez les commandes suivantes.

    gpupdate /force
repadmin /replsummary
repadmin /showrepl *

  2. Si la modification concernait les comptes principaux autorisés du gMSA, vérifiez la valeur à partir de l’hôte affecté.

    Get-ADServiceAccount -Identity 'SQLgMSA' `
  -Properties PrincipalsAllowedToRetrieveManagedPassword

Test-ADServiceAccount -Identity 'SQLgMSA'

Résultat attendu :

  • Le rapport de stratégie de groupe résultant contient l’entrée SAM d’accès à distance approuvée, le cas échéant.
  • La réplication Active Directory ne signale aucune erreur affectant l’objet ou la stratégie modifiés.
  • Les principaux autorisés prévus sont retournés pour le compte gMSA.
  • Test-ADServiceAccount retourne True.
  • Une nouvelle tentative d’installation de SQL Server n’enregistre plus la même opération d’accès refusée.

Si différents contrôleurs de domaine retournent des informations de gMSA ou d’autorisation différentes, ne réessayez pas de réessayer le programme d’installation. Résolvez d’abord l’erreur de réplication. La repadmin /replsummary commande identifie les contrôleurs de domaine qui ont des échecs de réplication entrante ou sortante. Pour plus d’informations, consultez Repadmin /replsummary.

Si le programme d’installation échoue après que les droits utilisateur ont été renforcés dans votre environnement, consultez SQL Server’installation échoue après la suppression des droits utilisateur par défaut.

Collecter des données de diagnostic

Si le programme d’installation échoue toujours avec l’erreur 0x84BB0001 après avoir effectué ces étapes, collectez les données de diagnostic, y compris la sortie de Detail.txt et de gpresult, pour la même période d’échec. Pour obtenir les données de preuve spécifiques à gMSA et les journaux d’activité de SQL Server standard à collecter, consultez Collecte des données de diagnostic dans la vue d’ensemble de la résolution des problèmes gMSA. Utilisez ces données pour poursuivre l’enquête ou ouvrir un cas de support.

Contenu connexe

  • Dernière mise à jour :