Устранение неполадок с устройствами, присоединенными к гибридным устройствам Microsoft Entra

В этой статье приведены инструкции по устранению потенциальных проблем с устройствами под управлением Windows 10 и более поздних версий или Windows Server 2016 и более поздних версий.

Гибридное присоединение Microsoft Entra поддерживает обновление Windows 10 ноября 2015 г. и более поздние версии.

Сведения об устранении неполадок с другими клиентами Windows см. в статье "Устранение неполадок гибридных устройств Microsoft Entra, присоединенных к нижнему уровню".

В этой статье предполагается, что у вас есть гибридные устройства , присоединенные к Microsoft Entra, для поддержки следующих сценариев:

• Условный доступ на основе информации об устройстве
• Enterprise State Roaming;
• Windows Hello для бизнеса

Устранение сбоев при присоединении

Шаг 1. Получение сведений о состоянии присоединения

1. Откройте окно командной строки от имени администратора.
2. Введите dsregcmd /status.

+----------------------------------------------------------------------+
| Device State                                                         |
+----------------------------------------------------------------------+

    AzureAdJoined: YES
 EnterpriseJoined: NO
         DeviceId: 5820fbe9-60c8-43b0-bb11-44aee233e4e7
       Thumbprint: AA11BB22CC33DD44EE55FF66AA77BB88CC99DD00
   KeyContainerId: bae6a60b-1d2f-4d2a-a298-33385f6d05e9
      KeyProvider: Microsoft Platform Crypto Provider
     TpmProtected: YES
     KeySignTest: : MUST Run elevated to test.
              Idp: login.windows.net
         TenantId: aaaabbbb-0000-cccc-1111-dddd2222eeee
       TenantName: Contoso
      AuthCodeUrl: https://login.microsoftonline.com/msitsupp.microsoft.com/oauth2/authorize
   AccessTokenUrl: https://login.microsoftonline.com/msitsupp.microsoft.com/oauth2/token
           MdmUrl: https://enrollment.manage-beta.microsoft.com/EnrollmentServer/Discovery.svc
        MdmTouUrl: https://portal.manage-beta.microsoft.com/TermsOfUse.aspx
  dmComplianceUrl: https://portal.manage-beta.microsoft.com/?portalAction=Compliance
      SettingsUrl: eyJVc{lots of characters}JdfQ==
   JoinSrvVersion: 1.0
       JoinSrvUrl: https://enterpriseregistration.windows.net/EnrollmentServer/device/
        JoinSrvId: urn:ms-drs:enterpriseregistration.windows.net
    KeySrvVersion: 1.0
        KeySrvUrl: https://enterpriseregistration.windows.net/EnrollmentServer/key/
         KeySrvId: urn:ms-drs:enterpriseregistration.windows.net
     DomainJoined: YES
       DomainName: CONTOSO

+----------------------------------------------------------------------+
| User State                                                           |
+----------------------------------------------------------------------+

             NgcSet: YES
           NgcKeyId: {aaaaaaaa-0b0b-1c1c-2d2d-333333333333}
    WorkplaceJoined: NO
      WamDefaultSet: YES
WamDefaultAuthority: organizations
       WamDefaultId: https://login.microsoft.com
     WamDefaultGUID: {B16898C6-A148-4967-9171-64D755DA8520} (AzureAd)
         AzureAdPrt: YES

Шаг 2. Анализ состояния присоединения

Просмотрите поля в приведенной таблице и убедитесь, что для них заданы ожидаемые значения.

Перейдите к следующим шагам для дальнейшего устранения неполадок.

Шаг 3. Поиск этапа, на котором произошел сбой присоединения, и кода ошибки

Для Windows 10 версии 1803 или более поздней

Найдите в выходных данных состояния присоединения подраздел "Previous Registration" (Предыдущая регистрация) в разделе "Diagnostic Data" (Диагностические данные). Этот раздел отображается только в том случае, если устройство присоединено к домену и не может присоединиться к гибридному соединению Microsoft Entra.

Поле "Error Phase" (Этап ошибки) обозначает этап сбоя присоединения, а поле "Client ErrorCode" (Код ошибки клиента) содержит код ошибки операции присоединения.

+----------------------------------------------------------------------+
     Previous Registration : 2019-01-31 09:16:43.000 UTC
         Registration Type : sync
               Error Phase : join
          Client ErrorCode : 0x801c03f2
          Server ErrorCode : DirectoryError
            Server Message : The device object by the given id (e92325d0-xxxx-xxxx-xxxx-94ae875d5245) isn't found.
              Https Status : 400
                Request Id : 6bff0bd9-820b-484b-ab20-2a4f7b76c58e
+----------------------------------------------------------------------+

Для предыдущих версий Windows 10

Используйте журналы компонента "Просмотр событий", чтобы найти этап и код ошибки для сбоев присоединения.

1. Откройте журналы событий регистрации устройств пользователя в средстве "Просмотр событий". Они находятся в папке Applications and Services Log>Microsoft>Windows>User Device Registration.
2. Найдите события со следующими идентификаторами: 304, 305 и 307.

Шаг 4. Проверка возможных причин и способы их устранения

Этап предварительной проверки

Возможные причины сбоя:

• Контроллер домена находится вне зоны видимости устройства.
  • Устройство должно быть подключено к внутренней сети организации или к виртуальной частной сети в пределах "прямой сетевой видимости" локального контроллера домена Active Directory.

Этап обнаружения

Возможные причины сбоя:

• Объект точки подключения службы неправильно настроен или не может быть считан из контроллера домена.
  • Допустимый объект точки подключения службы требуется в лесу AD, к которому принадлежит устройство, которое указывает на проверенное доменное имя в идентификаторе Microsoft Entra.
  • Дополнительные сведения см. в разделе "Настройка точки подключения службы" руководства . Настройка гибридного соединения Microsoft Entra для федеративных доменов.
• Не удалось подключиться и получить метаданные обнаружения из конечной точки обнаружения.
  • Для обнаружения конечных точек регистрации и авторизации устройство должно иметь доступ к https://enterpriseregistration.windows.net в контексте системы.
  • Если в локальной среде требуется прокси-сервер для исходящего трафика, ИТ-администратор должен убедиться, что учетная запись компьютера для устройства позволяет обнаруживать этот прокси-сервер и автоматически проходить на нем проверку подлинности.
• Не удалось подключиться к конечной точке пользователя и выполнить обнаружение области (только для Windows 10 версии 1809 и более поздней).
  • Чтобы выполнить обнаружение области для проверенного домена и определить тип домена (управляемый или федеративный), устройство должно иметь доступ к https://login.microsoftonline.com в контексте системы.
  • Если в локальной среде требуется прокси-сервер для исходящего трафика, администратор ИТ должен убедиться, что контекст системы на устройстве позволяет обнаруживать этот прокси-сервер и автоматически проходить на нем проверку подлинности.

Коды распространенных ошибок

Коды распространенных промежуточных ошибок

Чтобы найти код промежуточной ошибки для кода ошибки обнаружения, используйте один из следующих методов.

Windows 10 версии 1803 или более поздней версии.

В выходных данных состояния присоединения в разделе "Diagnostic Data" (Диагностические данные) найдите "DRS Discovery Test" (Тест обнаружения DRS). Этот раздел отображается только в том случае, если устройство присоединено к домену и не может присоединиться к гибридному соединению Microsoft Entra.

+----------------------------------------------------------------------+
| Diagnostic Data                                                      |
+----------------------------------------------------------------------+

     Diagnostics Reference : www.microsoft.com/aadjerrors
              User Context : UN-ELEVATED User
               Client Time : 2019-06-05 08:25:29.000 UTC
      AD Connectivity Test : PASS
     AD Configuration Test : PASS
        DRS Discovery Test : FAIL [0x801c0021/0x80072ee2]
     DRS Connectivity Test : SKIPPED
    Token acquisition Test : SKIPPED
     Fallback to Sync-Join : ENABLED

+----------------------------------------------------------------------+

Предыдущие версии Windows 10

Используйте журналы средства "Просмотр событий", чтобы найти этап и код ошибки для сбоев присоединения.

1. Откройте журналы событий регистрации устройств пользователя в средстве "Просмотр событий". Они находятся в папке Applications and Services Log>Microsoft>Windows>User Device Registration.
2. Ищите идентификатор события 201.

Ошибки сети

Ошибки HTTP

Другие ошибки

Этап проверки подлинности

Это содержимое относится только к федеративным учетным записям домена.

Причины сбоя:

• Не удалось автоматически получить маркер доступа для ресурса DRS.
  • Устройства Windows 10 и Windows 11 получают маркер проверки подлинности из службы федерации, используя встроенную проверку подлинности Windows для активной конечной точки WS-Trust. Дополнительные сведения см. в разделе Настройка выдачи утверждений.

Коды распространенных ошибок

Используйте журналы компонента "Просмотр событий", чтобы узнать код ошибки, код промежуточной ошибки, код ошибки сервера и сообщение об ошибке сервера.

1. Откройте журналы событий регистрации устройств пользователя в средстве "Просмотр событий". Они находятся в папке Applications and Services Log>Microsoft>Windows>User Device Registration.
2. Ищите идентификатор события 305.

Ошибки конфигурации

Ошибки сети

Другие ошибки

Этап присоединения

Причины сбоя:

Найдите в приведенных таблицах тип регистрации и код ошибки в зависимости от используемой версии Windows 10.

Windows 10 версии 1803 или более поздней версии.

Найдите в выходных данных состояния присоединения подраздел "Previous Registration" (Предыдущая регистрация) в разделе "Diagnostic Data" (Диагностические данные). Этот раздел отображается только в том случае, если устройство присоединено к домену и не может присоединиться к гибридному соединению Microsoft Entra.

Поле "Тип регистрации" обозначает тип соединения.

+----------------------------------------------------------------------+
     Previous Registration : 2019-01-31 09:16:43.000 UTC
         Registration Type : sync
               Error Phase : join
          Client ErrorCode : 0x801c03f2
          Server ErrorCode : DirectoryError
            Server Message : The device object by the given id (aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) is not found.
              Https Status : 400
                Request Id : 6bff0bd9-820b-484b-ab20-2a4f7b76c58e
+----------------------------------------------------------------------+

Предыдущие версии Windows 10

Используйте журналы компонента "Просмотр событий", чтобы найти этап и код ошибки для сбоев присоединения.

1. Откройте журналы событий регистрации устройств пользователя в средстве "Просмотр событий". Они находятся в папке Applications and Services Log>Microsoft>Windows>User Device Registration.
2. Ищите идентификатор события 204.

Ошибки HTTP, возвращенные с сервера DRS

Ошибки доверенного платформенного модуля

Ошибки сети

Другие ошибки

Ошибки федеративных присоединений к серверу

Ошибки синхронизации присоединения к серверу

Шаг 5. Получение журналов и обращение в службу поддержки Майкрософт

1. Скачайте файл Auth.zip.

2. Извлеките файлы в папку, например c:\temp, и перейдите в эту папку.

3. В сеансе с повышенными привилегиями Azure PowerShell выполните команду .\start-auth.ps1 -v -accepteula.

4. Используйте функцию Переключить учетную запись для переключения на сеанс пользователя, у которого возникла проблема.

5. Воспроизведите проблему.

6. Используйте функцию Переключить учетную запись для обратного переключения на сеанс администратора, выполняющий трассировку.

7. В сеансе с повышенными привилегиями PowerShell выполните команду .\stop-auth.ps1.

8. Запакуйте и отправьте папку Authlogs из папки, из которой выполнялись сценарии.

Устранение неполадок, связанных с проверкой подлинности после присоединения

Шаг 1. Получение состояния PRT с помощью dsregcmd /status

1. Откройте окно командной строки.

   Примечание.

   Чтобы получить состояние основного маркера обновления (PRT), откройте окно командной строки в контексте вошедшего в систему пользователя.

2. Запустите dsregcmd /status.

   В разделе "SSO state" (Состояние единого входа) указано текущее состояние PRT.

   Если для поля AzureAdPrt задано значение NO, произошла ошибка при получении состояния PRT из идентификатора Microsoft Entra.

3. Если значение AzureAdPrtUpdateTime превышает 4 часа, скорее всего, возникла ошибка при обновлении PRT. Блокировка и разблокировка устройства для принудительного обновления PRT, а затем проверьте, обновляется ли время.

+----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+

                AzureAdPrt : YES
      AzureAdPrtUpdateTime : 2020-07-12 22:57:53.000 UTC
      AzureAdPrtExpiryTime : 2019-07-26 22:58:35.000 UTC
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee
             EnterprisePrt : YES
   EnterprisePrtUpdateTime : 2020-07-12 22:57:54.000 UTC
   EnterprisePrtExpiryTime : 2020-07-26 22:57:54.000 UTC
    EnterprisePrtAuthority : https://corp.hybridadfs.contoso.com:443/adfs

+----------------------------------------------------------------------+

Шаг 2. Поиск кода ошибки

В выходных данных dsregcmd

Поле "Состояние попытки" в поле "AzureAdPrt" предоставляет состояние предыдущей попытки PRT, а также другие необходимые сведения об отладке. Для более ранних версий Windows извлеките сведения из аналитики и операционных журналов Microsoft Entra.

+----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+

                AzureAdPrt : NO
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee
     AcquirePrtDiagnostics : PRESENT
      Previous Prt Attempt : 2020-07-18 20:10:33.789 UTC
            Attempt Status : 0xc000006d
             User Identity : [email protected]
           Credential Type : Password
            Correlation ID : aaaa0000-bb11-2222-33cc-444444dddddd
              Endpoint URI : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/oauth2/token/
               HTTP Method : POST
                HTTP Error : 0x0
               HTTP status : 400
         Server Error Code : invalid_grant
  Server Error Description : AADSTS50126: Error validating credentials due to invalid username or password.

Из аналитических журналов и операционных журналов Microsoft Entra

Используйте Просмотр событий для поиска записей журнала, зарегистрированных подключаемым модулем Microsoft Entra CloudAP во время приобретения PRT.

1. В Просмотр событий откройте журналы событий Microsoft Entra Operations. Они находятся в разделе Applications and Services Log (Журнал приложений и служб)>Microsoft>Windows>AAD.

1. Событие 1006 в журналах аналитики обозначает начало потока получения PRT, а событие 1007 — его завершение. Все события в журналах Microsoft Entra (аналитика и операционные), которые регистрируются между событиями 1006 и 1007, регистрируются в рамках потока приобретения PRT.

2. Событие 1007 регистрирует в журнале окончательный код ошибки.

Шаг 3. Дальнейшее устранение неполадок в зависимости от найденного кода ошибки

Коды распространенных ошибок сервера

Распространенные коды сетевых ошибок

Шаг 4. Сбор журналов

Обычные журналы

1. Перейдите к https://aka.ms/icesdptool, чтобы автоматически скачать CAB-файл, содержащий средство диагностики.
2. Запустите это средство и воспроизведите свой сценарий.
3. Для трассировок Fiddler примите всплывающие запросы на сертификаты.
4. Мастер запрашивает пароль для защиты файлов трассировки. Введите пароль.
5. Наконец, откройте папку, в которой хранятся все собранные журналы, например %LOCALAPPDATA%\ElevatedDiagnostics\numbers.
6. Обратитесь в службу поддержки и предоставьте содержимое последнего CAB-файла.

Данные трассировки сети

1. Запустите netsh trace start scenario=internetClient_dbg capture=yes persistent=yes.
2. Заблокируйте и разблокируйте устройство. В случае устройств с гибридным присоединением подождите около минуты, чтобы завершилась задача получения PRT.
3. Запустите netsh trace stop.
4. Предоставьте файл nettrace.cab службе поддержки.

Известные проблемы

Если вы подключены к мобильной точке доступа или внешней сети Wi-Fi, а затем перейдите в раздел "Параметры>доступа>к рабочей или учебной среде", гибридные устройства Microsoft Entra могут отображать две разные учетные записи, один для идентификатора Microsoft Entra и один для локальной AD. Эта проблема пользовательского интерфейса не влияет на функциональность.

Связанный контент

• Устраните неполадки устройств с помощью команды dsregcmd.
• Перейдите к средству поиска ошибок (Майкрософт).