Rozwiązywanie problemów z błędami konfiguracji i uaktualniania SQL Server za pomocą agentów gMSA

Dotyczy: SQL Server w Windows

Podsumowanie

Ten artykuł ułatwia rozwiązywanie problemów z błędami instalacji i uaktualniania SQL Server, które występują, gdy Instalator odrzuca lub nie może zweryfikować konta usługi zarządzanego przez grupę (gMSA) dla usługi SQL Server lub usługi SQL Server Agent. Wyjaśniono w nim, jak sprawdzić podmioty zabezpieczeń upoważnione do pobierania zarządzanego hasła, przetestować pobieranie hasła oraz rozwiązać problemy z replikacją usługi Active Directory, systemem DNS, kanałem zabezpieczonym i synchronizacją czasu.

Przed rozpoczęciem zapoznaj się z wymaganiami wstępnymi i uruchom listę kontrolną szybkiego sprawdzania poprawności w temacie Rozwiązywanie problemów SQL Server z konfiguracją, uruchamianiem i błędami uwierzytelniania przy użyciu agentów gMSA.

Symptoms

Instalator zgłasza, że konto usługi jest nieprawidłowe lub sprawdzanie poprawności konta nie powiodło się.
GMSA istnieje, ale Instalator nie może skonfigurować SQL Server ani SQL Server Agent.
Błąd występuje podczas instalacji, naprawy, dodawania funkcji, dodawania węzła lub aktualizacji.

Przyczyna

Konfiguracja musi ustalić konto i sprawdzić, czy host może pobrać zarządzane hasło i z niego korzystać. Typowe przyczyny obejmują niepełną replikację usługi Active Directory, nieprawidłowe autoryzowane jednostki zabezpieczeń lub problemy z łącznością z domeną.

Błędy instalacji, które nie są związane z kontem usługi, mają oddzielne wskazówki. Przed kontynuowaniem potwierdź w dziennikach instalatora, że pierwszym niepowodzeniem jest niepowodzenie weryfikacji konta usługi. Aby uzyskać ogólne informacje na temat diagnozowania problemów z instalacją, zobacz błędy instalacji programu SQL Server, a informacje o lokalizacjach i strukturze dzienników znajdziesz w artykule Wyświetlanie i odczytywanie plików dziennika instalacji programu SQL Server.

Diagnozowanie błędów konfiguracji i uaktualniania gMSA

Uruchom na hoście, którego dotyczy problem, polecenia z listy kontrolnej szybkiej weryfikacji.
Upewnij się, że konto komputera hosta lub autoryzowana grupa znajduje się na liście .PrincipalsAllowedToRetrieveManagedPassword
Przeszukaj Summary.txt i Detail.txt, aby znaleźć pierwsze niepowodzenie weryfikacji konta usługi.

Oczekiwany wynik:Get-ADServiceAccount zwraca docelowe konto i autoryzowane podmioty, a Test-ADServiceAccount zwraca True.

Rozwiązywanie problemów z błędami konfiguracji i uaktualniania usługi gMSA

Użyj rozwiązania zgodnego z zidentyfikowanym warunkiem. Ponów próbę instalacji dopiero po Test-ADServiceAccount powrocie True na hosta, którego dotyczy problem.

Skoryguj podmioty zabezpieczeń upoważnione do pobierania hasła konta gMSA

Na komputerze zarządzania z zainstalowanym modułem Active Directory PowerShell przejrzyj bieżącą konfigurację.

Get-ADServiceAccount -Identity 'SQLgMSA' `
  -Properties PrincipalsAllowedToRetrieveManagedPassword |
  Select-Object Name, PrincipalsAllowedToRetrieveManagedPassword

Upewnij się, że konto komputera, którego dotyczy problem, SQL Server lub grupa zabezpieczeń zawierająca to konto komputera, znajduje się na liście. Jeśli host SQL Server, którego dotyczy problem, lub zatwierdzona grupa zabezpieczeń nie znajduje się na liście PrincipalsAllowedToRetrieveManagedPassword, zaktualizuj konfigurację gMSA zgodnie z zatwierdzoną w organizacji procedurą Active Directory:
- Jeśli Twoja organizacja zarządza autoryzowanymi hostami za pośrednictwem grupy zabezpieczeń usługi Active Directory, poproś administratora usługi Active Directory o dodanie konta komputera, którego dotyczy problem, do tej zatwierdzonej grupy. Przykład:
```
Add-ADGroupMember -Identity 'SQL-gMSA-Hosts' `
  -Members 'SQL01$'
```
- Jeśli Twoja organizacja autoryzuje jednostki zabezpieczeń bezpośrednio na koncie gMSA, poproś administratora Active Directory o zaktualizowanie gMSA tak, aby zawierało pełną listę zatwierdzonych jednostek zabezpieczeń. Przykład:
```
Set-ADServiceAccount -Identity 'SQLgMSA' `
  -PrincipalsAllowedToRetrieveManagedPassword `
  'CONTOSO\SQL-gMSA-Hosts'
```
  Caution
  
  Wartość PrincipalsAllowedToRetrieveManagedPassword jest pełną listą autoryzowanych podmiotów. Przed użyciem Set-ADServiceAccount sprawdź bieżącą wartość i uwzględnij każdy podmiot, który musi zachować uprawnienia. Nie usuwaj przypadkowo innych hostów lub węzłów klastra SQL Server.
Jeśli zmieniono członkostwo w grupie zabezpieczeń, odśwież członkostwo w grupie komputera, którego dotyczy problem, zgodnie z procesem zmiany organizacji.
Na każdym hoście, który może uruchomić SQL Server, sprawdź wynik.
```
Get-ADServiceAccount -Identity 'SQLgMSA' `
  -Properties PrincipalsAllowedToRetrieveManagedPassword

Test-ADServiceAccount -Identity 'SQLgMSA'
```
Oczekiwany wynik: właściwe konto komputera lub autoryzowana grupa pojawiają się w PrincipalsAllowedToRetrieveManagedPassword, a Test-ADServiceAccount zwraca True.

Aby uzyskać więcej informacji, zapoznaj się z następującymi artykułami:

Rozwiązywanie problemów z replikacją katalogów, systemem DNS, bezpiecznym kanałem lub błędami łączności kontrolera domeny

Na hoście SQL Server, którego dotyczy problem, uruchom następujące testy z sesji programu PowerShell z podwyższonym poziomem uprawnień. Zastąp ciąg contoso.com nazwą domeny Active Directory.
```
Resolve-DnsName -Name '_ldap._tcp.dc._msdcs.contoso.com' `
  -Type SRV
```
```
nltest /dsgetdc:contoso.com
nltest /sc_verify:contoso.com
w32tm /query /status
```
Popraw warunek identyfikowany przez sprawdzenia:
- Jeśli rozwiązywanie nazw DNS lub wykrywanie kontrolera domeny zakończy się niepowodzeniem, popraw konfigurację klienta DNS hosta i sprawdź, czy używa on serwerów DNS, które mogą rozwiązać nazwę domeny Active Directory.
- Jeśli nltest /sc_verify zgłasza awarię bezpiecznego kanału, poproś administratora systemu Windows lub usługi Active Directory o naprawienie bezpiecznego kanału komputera w domenie zgodnie z procedurą zatwierdzoną przez organizację.
- Jeśli stan synchronizacji czasu jest nieprawidłowy, popraw synchronizację czasu przed ponownym wykonaniem testu, ponieważ uwierzytelnianie w usłudze Active Directory zależy od dokładnego czasu systemowego.
- Jeśli zmiana autoryzowanego podmiotu nie jest widoczna dla kontrolera domeny, z którym łączy się host SQL Server, poproś administratora usługi Active Directory o sprawdzenie replikacji. Przykład:
```
repadmin /replsummary
repadmin /showrepl *
```
  Active Directory replikacja zależy od łączności sieciowej, rozpoznawania nazw DNS, uwierzytelniania i autoryzacji, dokładności czasu, bazy danych katalogów i topologii replikacji. Użyj polecenia repadmin /showrepl irepadmin /replsummary, aby zidentyfikować błędy replikacji Active Directory.
Po usunięciu problemu podstawowego ponownie uruchom Test-ADServiceAccount.
```
Test-ADServiceAccount -Identity 'SQLgMSA'
```
Oczekiwany wynik: kontroler domeny zostanie wykryty, weryfikacja bezpiecznego kanału powiedzie się, synchronizacja czasu działa prawidłowo, konfiguracja gMSA jest widoczna na kontrolerze domeny, z którym nawiązano połączenie, a Test-ADServiceAccount zwraca True.

Zbieranie danych diagnostycznych

Jeśli Instalator nadal nie może zweryfikować konta gMSA po wykonaniu tych kroków, zbierz dane diagnostyczne z hosta, na którym występuje problem, z tego samego przedziału czasu, w którym wystąpił błąd. Informacje o danych specyficznych dla gMSA i standardowych dziennikach programu SQL Server, które należy zebrać, można znaleźć w sekcji Zbieranie danych diagnostycznych w omówieniu rozwiązywania problemów z usługą gMSA. Użyj tych danych, aby kontynuować dochodzenie lub otworzyć zgłoszenie do działu pomocy technicznej.

Opinia

Czy ta strona była pomocna?

Ostatnia aktualizacja o 2026-10-01