SQL Server setup mislukt met fout 0x84BB0001 wanneer u een gMSA gebruikt

Van toepassing op: SQL Server op Windows

Overzicht

Dit artikel helpt u bij het oplossen van SQL Server installatiefout 0x84BB0001 ('Toegang is geweigerd') wanneer u SQL Server installeert met een door een groep beheerd serviceaccount (gMSA). De fout treedt op wanneer een Active Directory of externe SAM-zoekactie (Security Account Manager) de identiteit blokkeert waarop Setup wordt uitgevoerd, zelfs als de gMSA zelf geldig is. In het artikel wordt uitgelegd hoe u de geweigerde identiteit identificeert, de instelling voor extern SAM-groepsbeleid controleert en Active Directory- of clusterobjectmachtigingen corrigeert.

Voordat u begint, controleert u de vereisten en voert u de controlelijst voor snelle validatie uit in Probleemoplossing SQL Server installatie-, opstart- en verificatiefouten met gMSA's.

Symptomen

Installatierapporten 0x84BB0001 of 'Toegang is geweigerd'.
Detail.txt bevat LookupADEntry, DirectoryEntries.Find of UnauthorizedAccessException.
Als u machtigingen voor SQL Server gegevensmappen wijzigt, wordt de fout niet opgelost.

Oorzaak

Een Active Directory of externe SAM-zoekactie kan de identiteit blokkeren waarop Setup wordt uitgevoerd. De gMSA zelf kan geldig zijn terwijl het installatieaccount of het effectieve beveiligingsbeleid de vereiste zoekactie blokkeert.

Fout 0x84BB0001 diagnosticeren

Identificeer de geweigerde identiteit van Detail.txt.
Doorzoek de installatielogboeken op RestrictRemoteSAM, UnauthorizedAccessException, DirectoryEntries.Find, LookupADEntry en 0x84BB0001.

Voer de volgende opdracht uit in PowerShell.
```
Get-ChildItem 'C:\Program Files\Microsoft SQL Server\*\Setup Bootstrap\Log' -Recurse -File |
  Select-String -Pattern '0x84BB0001|LookupADEntry|DirectoryEntries.Find|UnauthorizedAccessException|RestrictRemoteSAM'
```
Verwacht resultaat: de zoekopdracht identificeert de vroegste relevante logboekvermelding en de geweigerde identiteit.
Controleer het effectieve Netwerktoegang: Beperk clientcomputers die externe aanroepen naar SAM mogen uitvoeren-beleid.
Voor de installatie van de failoverclusterinstance (FCI) controleer de machtigingen voor het clustercomputerobject en het virtuele-computerobject.

Fout 0x84BB0001 oplossen

Caution

Verzwak het beveiligingsbeleid van het domein niet algemeen en ken de gMSA niet permanent lokale beheerdersrechten toe als tijdelijke noodoplossing.

De installatie-identiteit autoriseren via het goedgekeurde beveiligingsbeleid

Het beleid Netwerktoegang: beperk welke clients externe aanroepen naar SAM mogen doen bepaalt welke gebruikers en groepen externe aanroepen naar SAM en Active Directory mogen doen. De toegangsbeheeritems kunnen expliciet toegang verlenen aan of ontzeggen aan gedefinieerde entiteiten. Bewaar het beleid en voeg alleen het vereiste account toe aan de acceptatielijst voor externe toegang.

Gebruik Detail.txt om het account te identificeren waarvoor de foutmelding 'Toegang geweigerd' is opgetreden. Ga er niet van uit dat de geweigerde account de gMSA is, omdat SQL Server Setup mogelijk mislukt terwijl het de account gebruikt waarmee Setup is gestart.

Genereer een effectief groepsbeleidsrapport op de betreffende server.

New-Item -ItemType Directory -Path C:\Temp -Force
gpresult /h C:\Temp\gpresult.html

Open C:\Temp\gpresult.html, identificeer het groepsbeleidsobject (GPO) dat netwerktoegang configureert: Beperk clients die externe aanroepen naar SAM mogen maken en laat de beveiligings- of groepsbeleidsbeheerder die gezaghebbende groepsbeleidsobject controleren.
Als de installatielogboeken bevestigen dat dit beleid de vereiste zoekactie blokkeert, voegt u alleen de geïdentificeerde installatie-identiteit of een goedgekeurde beveiligingsgroep toe aan de acceptatielijst voor externe toegang van het beleid. Schakel het beleid niet algemeen uit en verleen geen toegang aan een grote, niet-verwante groep. Behoud de beveiligingsbasislijn van uw organisatie.
1. Bewerk in Groepsbeleidsbeheer de gezaghebbende GPO.
2. Ga naar Computerconfiguratiebeleid>>Windows>Instellingen Beveiligingsinstellingen>Lokaal beleid>Beveiligingsopties.
3. Toegang tot het netwerk openen: clients beperken die externe aanroepen naar SAM mogen uitvoeren.
4. Selecteer Beveiliging bewerken, voeg de goedgekeurde identiteit of groep toe en verkeur externe toegang.
5. Pas het beleid toe op basis van het wijzigingsbeheerproces van uw organisatie.
Vernieuw groepsbeleid op de betreffende server en genereer een ander resultaatrapport.
```
gpupdate /force
gpresult /h C:\Temp\gpresult-after.html
```

Meer informatie vindt u in Netwerktoegang: Clients beperken die externe aanroepen naar SAM mogen uitvoeren.

Correcte Active Directory- of machtigingen voor clusterobjecten

Voor een zelfstandige installatie gebruikt u de eerste vermelding UnauthorizedAccessException, LookupADEntry of DirectoryEntries.Find in Detail.txt om het directoryobject en de geweigerde bewerking te identificeren. Laat een Active Directory-beheerder alleen de machtiging verlenen die is vereist voor die bewerking voor het toepasselijke object of de organisatie-eenheid.

Volg deze stappen voor een FCI-installatie:

Identificeer het clusternaamobject en het virtuele-computerobject dat betrokken is bij de mislukte installatiebewerking.
SelecteerGeavanceerde functiesweergeven> in Active Directory: gebruikers en computers.
Zoek het betreffende computerobject of de organisatie-eenheid waarin Setup het object moet maken of bijwerken.
Selecteer Beveiliging>geavanceerd in de eigenschappen van het object en controleer of het clusternaamobject of de goedgekeurde inrichtingsidentiteit alleen de machtigingen heeft die zijn vereist voor het clusterobjectinrichtingsmodel van de organisatie.
Als het virtuele-computerobject vooraf is gemaakt, controleer dan of het niet is uitgeschakeld en of het clusternaamobject de door de organisatie goedgekeurde beheermachtigingen op dit object heeft.
Als Setup het object moet maken, controleer dan de goedgekeurde machtigingen voor het maken van computerobjecten op de doelorganisatie-eenheid.

Verleen geen ruime machtigingen uitsluitend op basis van fout 0x84BB0001. Breng eerst het directoryobject en de geweigerde bewerking in verband met Detail.txt, de resultaten van Groepsbeleid en bewijs uit het cluster.

Controleer of beleid en directorywijzigingen zijn gerepliceerd voordat u setup opnieuw uitvoert

Nadat de beheerder groepsbeleid of Active Directory machtigingen heeft bijgewerkt, voert u de volgende opdrachten uit.
```
gpupdate /force
repadmin /replsummary
repadmin /showrepl *
```

Als de wijziging betrekking heeft op de geautoriseerde principals van de gMSA, controleert u de waarde van de betreffende host.

Get-ADServiceAccount -Identity 'SQLgMSA' `
  -Properties PrincipalsAllowedToRetrieveManagedPassword

Test-ADServiceAccount -Identity 'SQLgMSA'

Verwacht resultaat:

Het effectieve Groepsbeleidrapport bevat, indien van toepassing, de goedgekeurde SAM-vermelding voor externe toegang.
Active Directory replicatie rapporteert geen fout die van invloed is op het gewijzigde object of beleid.
De beoogde geautoriseerde principals worden geretourneerd voor de gMSA.
Test-ADServiceAccount retourneert True.
Bij een nieuwe SQL Server setup wordt dezelfde bewerking voor geweigerde toegang niet meer vastgelegd.

Als verschillende domeincontrollers verschillende gMSA- of machtigingsgegevens retourneren, voert u setup niet herhaaldelijk opnieuw uit. Los eerst de replicatiefout op. Met de repadmin /replsummary opdracht worden domeincontrollers geïdentificeerd die binnenkomende of uitgaande replicatiefouten hebben. Zie Repadmin /replsummary voor meer informatie.

Als de installatie mislukt nadat gebruikersrechten in uw omgeving zijn aangescherpt, raadpleegt u De installatie van SQL Server mislukt nadat de standaardgebruikersrechten zijn verwijderd.

Diagnostische gegevens verzamelen

Als setup nog steeds mislukt met een fout 0x84BB0001 nadat u deze stappen hebt voltooid, verzamelt u diagnostische gegevens, inclusief Detail.txt en gpresult uitvoer, voor hetzelfde foutinterval. Zie Diagnostische gegevens verzamelen in het overzicht van het oplossen van problemen met gMSA voor het verzamelen van gMSA-specifieke gegevens en standaardlogboeken SQL Server. Gebruik deze gegevens om door te gaan met het onderzoek of om een ondersteuningsaanvraag te openen.

Feedback

Is deze pagina nuttig?

Laatst bijgewerkt om 2026-10-01