Risolvere i problemi di installazione e aggiornamento di SQL Server con i gMSA (account del servizio gestiti di gruppo)

Si applica a: SQL Server su Windows

Sommario

Questo articolo illustra come risolvere gli errori di installazione e aggiornamento SQL Server che si verificano quando il programma di installazione rifiuta o non può convalidare un account del servizio gestito del gruppo (gMSA) per il servizio SQL Server o SQL Server Agent. Illustra come controllare le entità autorizzate a recuperare la password gestita, testare il recupero delle password e risolvere i problemi di replica Active Directory, DNS, canale sicuro e sincronizzazione dell'ora.

Prima di iniziare, consulta i prerequisiti ed esegui la checklist di convalida rapida in Risolvere i problemi di installazione, avvio e autenticazione di SQL Server con gli account di servizio gestiti di gruppo (gMSA).

Symptoms

Il programma di installazione segnala che l'account del servizio non è valido o che la convalida dell'account non è riuscita.
Il gMSA esiste, ma l'installazione non può configurare SQL Server o SQL Server Agent.
L'errore si verifica durante l'installazione, il ripristino, le funzionalità aggiuntive, il nodo aggiuntivo o l'aggiornamento.

Cause

Il programma di installazione deve risolvere l'account e verificare che l'host possa recuperare e usare la password gestita. Le cause comuni includono la replica incompleta Active Directory, le entità autorizzate errate o gli errori di connettività del dominio.

Gli errori di installazione non correlati all'account del servizio hanno indicazioni separate. Prima di continuare, verificare dai log di installazione che il primo errore sia un errore di convalida dell'account del servizio. Per la risoluzione generale dei problemi relativi agli errori del programma di installazione, vedere Errori di installazione di SQL Server e, per informazioni sui percorsi e sulla struttura dei file di log, vedere Visualizzare e leggere i file di log del programma di installazione di SQL Server.

Diagnosticare gli errori di configurazione e aggiornamento di gMSA

Eseguire i comandi dell'elenco di controllo di convalida rapida nell'host interessato.
Confermare che l'account del computer host, o un gruppo autorizzato, sia elencato in PrincipalsAllowedToRetrieveManagedPassword.
Cerca in Summary.txt e Detail.txt il primo errore di convalida dell'account di servizio.

Risultato previsto:Get-ADServiceAccount restituisce l'account previsto e le entità autorizzate e Test-ADServiceAccount restituisce True.

Risolvere gli errori di configurazione e aggiornamento di gMSA

Usare la soluzione che corrisponde alla condizione identificata. Ripetere la configurazione solo dopo che Test-ADServiceAccount restituisce True sull'host interessato.

Correggere le entità di sicurezza autorizzate a recuperare la password del gMSA

Da un computer di gestione in cui è installato il modulo di PowerShell Active Directory, esaminare la configurazione corrente.

Get-ADServiceAccount -Identity 'SQLgMSA' `
  -Properties PrincipalsAllowedToRetrieveManagedPassword |
  Select-Object Name, PrincipalsAllowedToRetrieveManagedPassword

Verificare che sia elencato l'account del computer SQL Server interessato oppure un gruppo di sicurezza che contiene tale account del computer. Se l'host di SQL Server interessato o un gruppo di sicurezza approvato non è elencato in PrincipalsAllowedToRetrieveManagedPassword, aggiornare la configurazione dell'account del servizio gestito di gruppo tramite il processo Active Directory approvato dalla propria organizzazione:
- Se l'organizzazione gestisce gli host autorizzati tramite un gruppo di sicurezza Active Directory, chiedere a un amministratore di Active Directory di aggiungere l'account computer interessato a tale gruppo approvato. Per esempio:
```
Add-ADGroupMember -Identity 'SQL-gMSA-Hosts' `
  -Members 'SQL01$'
```
- Se l'organizzazione autorizza le entità direttamente nell'account del servizio gestito del gruppo, chiedere a un amministratore di Active Directory di aggiornare l'account del servizio gestito del gruppo con l'elenco completo delle entità approvate. Per esempio:
```
Set-ADServiceAccount -Identity 'SQLgMSA' `
  -PrincipalsAllowedToRetrieveManagedPassword `
  'CONTOSO\SQL-gMSA-Hosts'
```
  Caution
  
  Il valore PrincipalsAllowedToRetrieveManagedPassword è un elenco completo di principal autorizzati. Prima di usare Set-ADServiceAccount, esaminare il valore esistente e includere tutte le entità che devono rimanere autorizzate. Non rimuovere involontariamente altri host SQL Server o nodi del cluster.
Se è stata modificata l'appartenenza a un gruppo di sicurezza, aggiornare l'appartenenza al gruppo del computer interessato in base al processo di modifica dell'organizzazione.
Su ogni host su cui è possibile eseguire SQL Server, verificare il risultato.
```
Get-ADServiceAccount -Identity 'SQLgMSA' `
  -Properties PrincipalsAllowedToRetrieveManagedPassword

Test-ADServiceAccount -Identity 'SQLgMSA'
```
Risultato previsto: l'account computer o il gruppo approvato previsto viene visualizzato in PrincipalsAllowedToRetrieveManagedPassworde Test-ADServiceAccount restituisce True.

Per altre informazioni, vedere gli articoli seguenti:

Risolvere gli errori di replica della directory, DNS, canale sicuro o connettività del controller di dominio

Nell'host SQL Server interessato eseguire i controlli seguenti da una sessione di PowerShell con privilegi elevati. Sostituire contoso.com con il nome di dominio Active Directory.
```
Resolve-DnsName -Name '_ldap._tcp.dc._msdcs.contoso.com' `
  -Type SRV
```
```
nltest /dsgetdc:contoso.com
nltest /sc_verify:contoso.com
w32tm /query /status
```
Correggere la condizione identificata dai controlli:
- Se la risoluzione DNS o l'individuazione del controller di dominio non riesce, correggere la configurazione del client DNS dell'host e verificare che usi server DNS in grado di risolvere il dominio Active Directory.
- Se nltest /sc_verify segnala un errore del canale sicuro, chiedere a un amministratore di Windows o Active Directory ripristinare il canale protetto del dominio del computer tramite il processo approvato dall'organizzazione.
- Se lo stato dell'ora non è corretto, correggi la sincronizzazione dell'ora prima di eseguire nuovamente il test, perché l'autenticazione di Active Directory dipende dalla precisione dell'orario.
- Se la modifica del principal autorizzato non è visibile nel controller di dominio contattato dall'host SQL Server, chiedere a un amministratore di Active Directory di verificare la replicazione. Per esempio:
```
repadmin /replsummary
repadmin /showrepl *
```
  Active Directory replica dipende dalla connettività di rete, dalla risoluzione dei nomi DNS, dall'autenticazione e dall'autorizzazione, dall'accuratezza del tempo, dal database della directory e dalla topologia di replica. Usare repadmin /showrepl e repadmin /replsummary per identificare i guasti della replica di Active Directory.
Dopo aver corretto la condizione sottostante, eseguire Test-ADServiceAccountdi nuovo .
```
Test-ADServiceAccount -Identity 'SQLgMSA'
```
Risultato previsto: viene individuato un controller di dominio, la verifica del canale sicuro ha esito positivo, la sincronizzazione dell'ora è corretta, la configurazione gMSA è visibile dal controller di dominio contattato e Test-ADServiceAccount restituisce True.

Raccogliere i dati di diagnostica

Se Installazione continua a non riuscire a convalidare il gMSA dopo aver completato questi passaggi, raccogli i dati diagnostici dall'host interessato per lo stesso intervallo in cui si verifica l'errore. Per le informazioni specifiche di gMSA e i log standard di SQL Server da raccogliere, vedere Raccogliere dati di diagnostica nella panoramica della risoluzione dei problemi di gMSA. Usa questi dati per continuare l'analisi o per aprire una richiesta di supporto.

Commenti e suggerimenti

Questa pagina è stata utile?

Ultimo aggiornamento: 2026-10-01