L'installazione di SQL Server non riesce con l'errore 0x84BB0001 quando si usa un gMSA

Si applica a: SQL Server su Windows

Sommario

Questo articolo consente di risolvere l'errore di installazione di SQL Server 0x84BB0001 ("Accesso negato") quando si installa SQL Server con un account del servizio gestito di gruppo (gMSA). L'errore si verifica quando una ricerca in Active Directory o nel Security Account Manager (SAM) remoto blocca l'identità usata per eseguire Setup, anche se il gMSA stesso è valido. L'articolo spiega come identificare l'identità a cui è stato negato l'accesso, esaminare l'impostazione "Criteri di gruppo SAM remoti" e correggere le autorizzazioni di Active Directory o degli oggetti cluster.

Prima di iniziare, esamina i prerequisiti ed esegui la checklist di convalida rapida in Risolvere i problemi di installazione, avvio e autenticazione di SQL Server con gMSA.

Symptoms

0x84BB0001 Report di installazione o "Accesso negato".
Detail.txt contiene LookupADEntry, DirectoryEntries.Findo UnauthorizedAccessException.
La modifica delle autorizzazioni per le cartelle di dati SQL Server non risolve l'errore.

Cause

Una ricerca in Active Directory o nel SAM remoto può bloccare l'account con cui viene eseguita l'installazione. Il gMSA stesso può risultare valido, mentre l'account di configurazione o il criterio di sicurezza effettivo bloccano la ricerca necessaria.

Diagnosticare l'errore 0x84BB0001

Identifica l'identità a cui è stato negato l'accesso da Detail.txt.
Eseguire ricerche nei log di installazione per 0x84BB0001, LookupADEntryDirectoryEntries.Find, UnauthorizedAccessException, e RestrictRemoteSAM.

Eseguire il comando seguente in PowerShell.
```
Get-ChildItem 'C:\Program Files\Microsoft SQL Server\*\Setup Bootstrap\Log' -Recurse -File |
  Select-String -Pattern '0x84BB0001|LookupADEntry|DirectoryEntries.Find|UnauthorizedAccessException|RestrictRemoteSAM'
```
Risultato previsto: la ricerca identifica la prima voce di log pertinente e l'identità negata.
Verificare il criterio effettivo Accesso di rete: limita i client autorizzati a effettuare chiamate remote a SAM.
Per il Setup dell'istanza del cluster di failover (FCI), verificare le autorizzazioni per l'oggetto computer del cluster e per l'oggetto computer virtuale.

Risolvere l'errore 0x84BB0001

Caution

Non indebolire in modo generalizzato il criterio di sicurezza del dominio né concedere diritti permanenti di amministratore locale al gMSA come soluzione alternativa.

Autorizza l'identità del programma di installazione tramite il criterio di sicurezza approvato

Il criterio Accesso di rete: limita i client autorizzati a effettuare chiamate remote a SAM controlla quali utenti e gruppi possono effettuare chiamate remote a SAM e ad Active Directory. Le voci di controllo accessi possono esplicitamente consentire o negare i soggetti definiti. Mantieni il criterio in vigore e aggiungi solo l'account necessario al relativo elenco degli elementi consentiti di accesso remoto.

Usare Detail.txt per identificare l'account che ha ricevuto l'errore di accesso negato. Non dare per scontato che l'identità negata sia il gMSA, perché l'installazione di SQL Server potrebbe non riuscire mentre utilizza l'identità che ha avviato il Setup.

Generare un report di Criteri di gruppo effettivo nel server interessato.

New-Item -ItemType Directory -Path C:\Temp -Force
gpresult /h C:\Temp\gpresult.html

Aprire C:\Temp\gpresult.html, identificare l'oggetto Criteri di gruppo (GPO) che configura Accesso alla rete: limita i client autorizzati a effettuare chiamate remote a SAM e fare in modo che l'amministratore della sicurezza o dei Criteri di gruppo esamini tale GPO autorevole.
Se i log di Setup confermano che questo criterio blocca la ricerca necessaria, aggiungi solo l'identità di Setup identificata o un gruppo di sicurezza approvato all'elenco degli elementi consentiti per l'accesso remoto del criterio. Non disabilitare il criterio in modo generalizzato e non concedere l'accesso a un gruppo ampio e non pertinente. Mantenere la baseline di sicurezza dell'organizzazione.
1. In Gestione Criteri di gruppo, modifica il GPO autorevole.
2. Passare a Configurazione computer>Criteri>Impostazioni di Windows>Impostazioni di sicurezza>Criteri locali>Opzioni di sicurezza.
3. Aprire Accesso di rete: limita i client autorizzati a effettuare chiamate remote a SAM.
4. Selezionare Modifica sicurezza, aggiungere l'identità o il gruppo approvato e concedere l'accesso remoto.
5. Applicare i criteri in base al processo di gestione delle modifiche dell'organizzazione.
Nel server interessato aggiornare Criteri di gruppo e generare un altro report dei risultati.
```
gpupdate /force
gpresult /h C:\Temp\gpresult-after.html
```

Per altre informazioni, vedere Accesso alla rete: Limitare i client autorizzati a effettuare chiamate remote a SAM.

Correggere le autorizzazioni di Active Directory o dell’oggetto cluster

Per un'installazione autonoma, utilizzare la prima voce UnauthorizedAccessException, LookupADEntry o DirectoryEntries.Find in Detail.txt per identificare l'oggetto della directory e l'operazione negata. Chiedere a un amministratore di Active Directory di concedere solo l'autorizzazione necessaria per tale operazione sull'oggetto o sull'unità organizzativa applicabile.

Per un'installazione FCI, seguire questi passaggi:

Identificare l'oggetto nome del cluster e l'oggetto computer virtuale coinvolto nell'operazione di installazione non riuscita.
In Utenti e computer di Active Directory selezionare Visualizza>funzionalità avanzate.
Individuare l'oggetto computer interessato o l'unità organizzativa in cui il programma di installazione deve creare o aggiornare l'oggetto.
In Proprietà dell'oggetto selezionare Sicurezza>avanzata e verificare che l'oggetto nome del cluster o l'identità di provisioning approvata disponga solo delle autorizzazioni richieste dal modello di provisioning di oggetti cluster dell'organizzazione.
Se l'oggetto computer virtuale è stato pre-installato, verificare che non sia disabilitato e che l'oggetto nome cluster disponga delle autorizzazioni di controllo approvate dall'organizzazione.
Se il programma di installazione deve creare l'oggetto, verificare le autorizzazioni create-computer-object approvate nell'unità organizzativa di destinazione.

Non concedere autorizzazioni generali solo in base all'errore 0x84BB0001. Correlare prima l'oggetto della directory e l'operazione negata con Detail.txt, i risultati dei Criteri di gruppo e le evidenze del cluster.

Verifica che le modifiche ai criteri e alla directory siano state replicate prima di riprovare l'installazione

Dopo che l'amministratore ha aggiornato i Criteri di gruppo o le autorizzazioni di Active Directory, eseguire i comandi seguenti.
```
gpupdate /force
repadmin /replsummary
repadmin /showrepl *
```

Se la modifica ha coinvolto le entità di sicurezza autorizzate del gMSA, verificare il valore nell'host interessato.

Get-ADServiceAccount -Identity 'SQLgMSA' `
  -Properties PrincipalsAllowedToRetrieveManagedPassword

Test-ADServiceAccount -Identity 'SQLgMSA'

Risultato previsto:

Il report dei Criteri di gruppo effettivi contiene la voce SAM di accesso remoto approvata, ove applicabile.
Active Directory replica non segnala alcun errore che influisce sull'oggetto o sui criteri modificati.
Le identità autorizzate previste vengono restituite per il gMSA.
Test-ADServiceAccount restituisce True.
Un nuovo tentativo di installazione di SQL Server non registra più la stessa operazione di accesso negato.

Se controller di dominio diversi restituiscono informazioni diverse sul gMSA o sulle autorizzazioni, non tentare ripetutamente di eseguire di nuovo Setup. Risolvere prima l'errore di replica. Il repadmin /replsummary comando identifica i controller di dominio con errori di replica in ingresso o in uscita. Per altre informazioni, vedere Repadmin /replsummary.

Se l'installazione non riesce dopo che i diritti utente sono stati limitati nel proprio ambiente, vedere L'installazione di SQL Server non riesce dopo la rimozione dei diritti utente predefiniti.

Raccogliere i dati di diagnostica

Se l'installazione ha ancora esito negativo con errore 0x84BB0001 dopo aver completato questi passaggi, raccogliere i dati di diagnostica, inclusi Detail.txt e gpresult output, per lo stesso intervallo di errore. Per informazioni specifiche su gMSA e sui log standard di SQL Server da raccogliere, vedere Raccogliere dati diagnostici nella panoramica sulla risoluzione dei problemi di gMSA. Usa questi dati per continuare l'analisi o per aprire una richiesta di supporto.

Commenti e suggerimenti

Questa pagina è stata utile?

Ultimo aggiornamento: 2026-10-01