Instalacja programu SQL Server kończy się błędem 0x84BB0001 podczas używania konta gMSA

Dotyczy: SQL Server w Windows

Podsumowanie

Ten artykuł pomaga rozwiązać błąd instalacji programu SQL Server 0x84BB0001 („Odmówiono dostępu”) występujący podczas instalowania programu SQL Server przy użyciu grupowego konta usługi zarządzanej (gMSA). Ten błąd występuje, gdy odpytywanie usługi Active Directory lub zdalnego Menedżera kont zabezpieczeń (SAM) blokuje tożsamość używaną do uruchomienia Instalatora, mimo że samo konto gMSA jest prawidłowe. W tym artykule wyjaśniono, jak zidentyfikować odrzuconą tożsamość, przejrzeć zdalne ustawienie zasad grupy SAM i poprawić Active Directory lub uprawnienia obiektu klastra.

Przed rozpoczęciem zapoznaj się z wymaganiami wstępnymi i uruchom krótką listę kontrolną sprawdzania poprawności opisaną w artykule Rozwiązywanie problemów z konfiguracją, uruchamianiem i błędami uwierzytelniania w programie SQL Server z użyciem kont gMSA.

Symptoms

Raporty konfiguracji 0x84BB0001 lub „Odmowa dostępu”.
Detail.txt zawiera LookupADEntry, DirectoryEntries.Findlub UnauthorizedAccessException.
Zmiana uprawnień w folderach danych SQL Server nie rozwiązuje problemu.

Przyczyna

Odpytywanie usługi Active Directory lub zdalnego SAM może zablokować konto, na którym uruchomiono Instalator. Sam gMSA może być prawidłowy, gdy konto Instalatora lub obowiązujące zasady zabezpieczeń blokują wymagane wyszukiwanie.

Diagnozowanie błędu 0x84BB0001

Zidentyfikuj odrzuconą tożsamość z elementu Detail.txt.
Wyszukaj w dziennikach konfiguracji 0x84BB0001, LookupADEntry, DirectoryEntries.Find, UnauthorizedAccessException i RestrictRemoteSAM.

Uruchom następujące polecenie w programie PowerShell.
```
Get-ChildItem 'C:\Program Files\Microsoft SQL Server\*\Setup Bootstrap\Log' -Recurse -File |
  Select-String -Pattern '0x84BB0001|LookupADEntry|DirectoryEntries.Find|UnauthorizedAccessException|RestrictRemoteSAM'
```
Oczekiwany wynik: wyszukiwanie identyfikuje najwcześniejszy odpowiedni wpis dziennika i odrzuconą tożsamość.
Przejrzyj obowiązujące zasady Dostęp sieciowy: Ogranicz klientów, którym wolno wykonywać zdalne wywołania do SAM.
W przypadku instalacji wystąpienia klastra trybu failover (FCI) sprawdź uprawnienia obiektu komputera klastra i obiektu komputera wirtualnego.

Usuwanie błędu 0x84BB0001

Caution

Nie osłabiaj na szeroką skalę zasad bezpieczeństwa domeny ani nie przyznawaj kontu gMSA stałych uprawnień administratora lokalnego jako obejścia problemu.

Autoryzowanie tożsamości instalatora za pomocą zatwierdzonych zasad zabezpieczeń

Zasada Dostęp do sieci: Ogranicz klientów, którym wolno wykonywać zdalne wywołania do SAM określa, którzy użytkownicy i które grupy mogą wykonywać zdalne wywołania do SAM i usługi Active Directory. Jego wpisy kontroli dostępu mogą jawnie zezwalać na zdefiniowane podmioty zabezpieczeń lub odmawiać ich. Pozostaw tę zasadę i dodaj do jej listy dozwolonych kont dostępu zdalnego wyłącznie wymagane konto.

Użyj Detail.txt, aby zidentyfikować konto, dla którego wystąpił błąd odmowy dostępu. Nie zakładaj, że tożsamość, której odmówiono dostępu, to gMSA, ponieważ Instalator programu SQL Server może zakończyć się niepowodzeniem, gdy działa w kontekście tożsamości użytej do uruchomienia Instalatora.

Wygeneruj skuteczny raport zasad grupy na serwerze, którego dotyczy problem.

New-Item -ItemType Directory -Path C:\Temp -Force
gpresult /h C:\Temp\gpresult.html

Otwórz C:\Temp\gpresult.html, zidentyfikuj obiekt zasad grupy (GPO), który konfiguruje ustawienie Dostęp sieciowy: ogranicz klientom możliwość wykonywania zdalnych wywołań do SAM, i poproś administratora zabezpieczeń lub zasad grupy o przejrzenie tego autorytatywnego obiektu GPO.
Jeśli dzienniki instalacji potwierdzają, że ta zasada blokuje wymagane sprawdzenie, dodaj tylko zidentyfikowaną tożsamość instalacji lub zatwierdzoną grupę zabezpieczeń do listy dozwolonego dostępu zdalnego tej zasady. Nie wyłączaj tej zasady na szeroką skalę ani nie przyznawaj dostępu dużej, niezwiązanej grupie. Zachowaj punkt odniesienia zabezpieczeń organizacji.
1. W Zarządzanie zasadami grup edytuj nadrzędny obiekt zasad grupy.
2. Przejdź do Konfiguracja komputera>Zasady>Ustawienia systemu Windows>Ustawienia zabezpieczeń>Zasady lokalne>.
3. Otwórz dostęp do sieci: ogranicz klientom możliwość nawiązywania zdalnych wywołań do protokołu SAM.
4. Wybierz pozycję Edytuj zabezpieczenia, dodaj zatwierdzoną tożsamość lub grupę i przyznaj dostęp zdalny.
5. Zastosuj zasady zgodnie z procesem zarządzania zmianami w organizacji.
Na serwerze, którego dotyczy problem, odśwież zasady grupy i wygeneruj kolejny raport wyników.
```
gpupdate /force
gpresult /h C:\Temp\gpresult-after.html
```

Aby uzyskać więcej informacji, zobacz Dostęp sieciowy: Ograniczanie dostępu klientów, którzy mogą wykonywać zdalne wywołania do protokołu SAM.

Poprawianie uprawnień Active Directory lub obiektu klastra

W przypadku instalacji samodzielnej użyj pierwszego wpisu UnauthorizedAccessException, LookupADEntry lub DirectoryEntries.Find w Detail.txt, aby zidentyfikować obiekt katalogu i operację, której odmówiono. Poproś administratora usługi Active Directory o przyznanie tylko tych uprawnień, które są wymagane do wykonania tej operacji dla odpowiedniego obiektu lub jednostki organizacyjnej.

W przypadku instalacji klastra trybu failover (FCI) wykonaj następujące kroki:

Zidentyfikuj obiekt nazwy klastra i obiekt komputera wirtualnego biorący udział w operacji instalacji, która zakończyła się niepowodzeniem.
W Użytkownicy i komputery usługi Active Directory wybierz pozycję Wyświetl>funkcje zaawansowane.
Znajdź obiekt komputera, którego dotyczy problem, lub jednostkę organizacyjną, w której Instalator musi utworzyć lub zaktualizować obiekt.
W obszarze Właściwości obiektu wybierz pozycję Zaawansowane zabezpieczenia> i sprawdź, czy obiekt nazwy klastra lub zatwierdzona tożsamość aprowizacji ma tylko uprawnienia wymagane przez model aprowizacji obiektów klastra organizacji.
Jeśli obiekt komputera wirtualnego został wstępnie utworzony, sprawdź, czy nie jest wyłączony i czy obiekt nazwy klastra ma do niego zatwierdzone przez organizację uprawnienia kontroli.
Jeśli Instalator musi utworzyć obiekt, sprawdź zatwierdzone uprawnienia create-computer-object w docelowej jednostce organizacyjnej.

Nie przyznawaj szerokich uprawnień wyłącznie na podstawie błędu 0x84BB0001. Najpierw skoreluj obiekt katalogu i operację, której odmówiono, z wynikami Detail.txt zasad grupy oraz dowodami z klastra.

Przed ponowić próbę instalacji sprawdź, czy zmiany zasad i katalogów są replikowane

Po zaktualizowaniu zasad grupy lub Active Directory uprawnień przez administratora uruchom następujące polecenia.
```
gpupdate /force
repadmin /replsummary
repadmin /showrepl *
```

Jeśli zmiana dotyczyła autoryzowanych jednostek zabezpieczeń konta gMSA, zweryfikuj wartość na hoście objętym tą zmianą.

Get-ADServiceAccount -Identity 'SQLgMSA' `
  -Properties PrincipalsAllowedToRetrieveManagedPassword

Test-ADServiceAccount -Identity 'SQLgMSA'

Oczekiwany wynik:

Obowiązujący raport zasad grupy zawiera zatwierdzony wpis dostępu zdalnego SAM, jeśli ma to zastosowanie.
Replikacja usługi Active Directory nie zgłasza żadnych błędów dotyczących zmienionego obiektu lub zasady.
Zamierzone autoryzowane podmioty zabezpieczeń są zwracane dla gMSA.
Test-ADServiceAccount zwraca wartość True.
Nowa próba instalacji SQL Server nie rejestruje już tej samej operacji odmowy dostępu.

Jeśli różne kontrolery domeny zwracają różne informacje o gMSA lub uprawnieniach, nie ponawiaj próby instalacji. Najpierw rozwiąż błąd replikacji. Polecenie repadmin /replsummary identyfikuje kontrolery domeny, które mają błędy replikacji przychodzącej lub wychodzącej. Aby uzyskać więcej informacji, zobacz Repadmin /replsummary.

Jeśli instalacja zakończy się niepowodzeniem po ograniczeniu uprawnień użytkownika w Twoim środowisku, zobacz Instalacja programu SQL Server kończy się niepowodzeniem po usunięciu domyślnych uprawnień użytkownika.

Zbieranie danych diagnostycznych

Jeśli Instalator nadal kończy się błędem 0x84BB0001 po wykonaniu tych kroków, zbierz dane diagnostyczne, w tym dane wyjściowe Detail.txt i gpresult, dla tego samego przedziału czasu, w którym wystąpił błąd. Informacje o danych specyficznych dla gMSA i standardowych dziennikach SQL Server, które należy zebrać, znajdują się w sekcji Zbieranie danych diagnostycznych w omówieniu rozwiązywania problemów z gMSA. Użyj tych danych, aby kontynuować dochodzenie lub otworzyć zgłoszenie do działu pomocy technicznej.

Opinia

Czy ta strona była pomocna?

Ostatnia aktualizacja o 2026-10-01