SCECLI 1202 事件疑难解答 - Windows Server

本文介绍故障排除和解决 SCECLI 1202 事件的方法。适用于：受支持的 Windows Server 和 Windows 客户端版本原始 KB 数： 324383 总结排查这些事件的第一步是识别 Win32 错误代码。此错误代码区分导致 SCECLI 1202 事件失败的类型。下面是 SCECLI 1202 事件的示例。错误代码显示在“说明”字段中。在此示例中，错误代码0x534。错误代码后面的文本是错误说明。确定错误代码后，找到本文

本文介绍故障排除和解决 SCECLI 1202 事件的方法。

适用于：受支持的 Windows Server 和 Windows 客户端版本原始 KB 数： 324383

总结

排查这些事件的第一步是识别 Win32 错误代码。此错误代码区分导致 SCECLI 1202 事件失败的类型。下面是 SCECLI 1202 事件的示例。错误代码显示在“说明”字段中。在此示例中，错误代码0x534。错误代码后面的文本是错误说明。确定错误代码后，找到本文中的错误代码部分，然后按照该部分中的故障排除步骤进行操作。

0x534：未在帐户名称和安全 ID 之间映射。

或

0x6fc：主域与受信任域之间的信任关系失败。

错误代码0x534：未完成帐户名称和安全 ID 之间的映射

这些错误代码意味着无法将安全帐户解析为安全标识符（SID）。此错误通常是因为帐户名称类型错误，或者帐户在添加到安全策略设置后被删除。它通常发生在安全策略设置的 “用户权限 ”部分或 “受限组 ”部分。如果帐户存在于信任中，然后信任关系中断，则也可能发生这种情况。

若要排查此问题，请执行以下步骤：

确定导致失败的帐户。为此，请为安全配置客户端扩展启用调试日志记录：
1. 启动“注册表编辑器”。
2. 找到并选择以下注册表子项：
  
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{827D319E-6EAC-11D2-A4EA-00C04F79F83A}
3. 在 “编辑 ”菜单上，选择“ 添加值”，然后添加以下注册表值：
  - 值名称：ExtensionDebugLevel
  - 数据类型：DWORD
  - 值数据：2
4. 退出注册表编辑器。
刷新策略设置以重现失败。若要刷新策略设置，请在命令提示符处键入以下命令，然后按 Enter：
```
gpupdate /target:computer /force
```
此命令在文件夹中创建一个名为Winlogon.log%SYSTEMROOT%\Security\Logs的文件。
查找问题帐户。为此，请在命令提示符处键入以下命令，然后按 Enter：
```
find /i "cannot find" %SYSTEMROOT%\security\logs\winlogon.log
```
Find 输出标识问题帐户名称，例如 找不到 MichaelPeltier。在此示例中，域中不存在用户帐户 MichaelPeltier。或者它具有不同的拼写，如米歇尔佩尔蒂耶。

确定无法解析此帐户的原因。例如，查找拼写错误、已删除的帐户、适用于此计算机的错误策略或信任问题。
如果确定必须从策略中删除帐户，请查找问题策略和问题设置。若要确定哪个设置包含未解析的帐户，请在生成 SCECLI 1202 事件的计算机上的命令提示符处键入以下命令，然后按 Enter：
```
c:\>find /i "account name" %SYSTEMROOT%\security\templates\policies\gpt*.*
```
对于此示例，语法和结果为：
```
c:\>find /i "MichaelPeltier" %SYSTEMROOT%\security\templates\policies\gpt*.*
---------- D:\WINNT\SECURITY\TEMPLATES\POLICIES\GPT00000.DOM

---------- D:\WINNT\SECURITY\TEMPLATES\POLICIES\GPT00001.INF

---------- D:\WINNT\SECURITY\TEMPLATES\POLICIES\GPT00002.INF
SeInteractiveLogonRight = TsInternetUser,*S-1-5-32-549,*S-1-5-32-550,MichaelPeltier,*S-1-5-32-551,*S-1-5-32-544,*S-1-5-32-548

---------- D:\WINNT\SECURITY\TEMPLATES\POLICIES\GPT00003.DOM
```
它将 GPT00002.inf 标识为包含问题设置的问题组策略对象（GPO）中的缓存安全模板。它还将问题设置标识为 SeInteractiveLogonRight。 SeInteractiveLogonRight 的显示名称是本地登录。

有关常量（例如 SeInteractiveLogonRight）与其显示名称（例如本地登录）的映射，请参阅用户权限分配。
确定哪个 GPO 包含问题设置。在步骤 4 中标识的缓存安全模板中搜索文本 GPOPath=。在此示例中，你将看到：

GPOPath={6AC1786C-016F-11D2-945F-00C04FB984F9}\MACHINE

{6AC1786C-016F-11D2-945F-00C04FB984F9} 是 GPO 的 GUID。
若要查找 GPO 的友好名称，请使用安装了 Active Directory （AD）远程服务器管理员工具（RSAT）工具的域控制器（DC）或服务器上 PowerShell cmdlet Get-GPO -Guid 。

GPO 的友好名称显示在字段旁边 DisplayName ：
```
Get-GPO -Guid 6AC1786C-016F-11D2-945F-00C04FB984F9
DisplayName : Default Domain Controllers Policy
DomainName : contoso.com
Owner : CONTOSO\Domain Admins
```

现在你已确定问题帐户、问题设置和问题 GPO。若要解决此问题，请删除或替换问题条目。

错误代码0x2：系统找不到指定的文件

此错误类似于0x534和0x6fc。这是由不可替代的帐户名称引起的。发生0x2错误时，它通常指示在受限的组策略设置中指定了不可替代的帐户名称。

若要排查此问题，请执行以下步骤：

确定哪个服务或哪个对象发生故障。为此，请为安全配置客户端扩展启用调试日志记录：
1. 启动“注册表编辑器”。
2. 找到并选择以下注册表子项：
  
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{827D319E-6EAC-11D2-A4EA-00C04F79F83A}
3. 在 “编辑 ”菜单上，选择“ 添加值”，然后添加以下注册表值：
  - 值名称：ExtensionDebugLevel
  - 数据类型：DWORD
  - 值数据：2
4. 退出注册表编辑器。
刷新策略设置以重现失败。若要刷新策略设置，请在命令提示符处键入以下命令，然后按 Enter：
```
gpupdate /target:computer /force
```
此命令在文件夹中创建一个名为Winlogon.log%SYSTEMROOT%\Security\Logs的文件。
在命令提示符下，键入以下命令，然后按 Enter：
```
find /i "cannot find" %SYSTEMROOT%\security\logs\winlogon.log
```
Find 输出标识问题帐户名称，例如 找不到 MichaelPeltier。在此示例中，域中不存在用户帐户 MichaelPeltier。或者它有一个不同的拼写 -- 例如，米歇尔佩尔蒂耶。

确定无法解析此帐户的原因。例如，查找拼写错误、已删除的帐户、应用于此计算机的错误策略或信任问题。
如果确定必须从策略中删除帐户，请查找问题策略和问题设置。若要查找包含未解析的帐户的设置，请在生成 SCECLI 1202 事件的计算机上的命令提示符处键入以下命令，然后按 Enter：
```
c:\>find /i "account name" %SYSTEMROOT%\security\templates\policies\gpt*.*
```
对于此示例，语法和结果为：
```
c:\>find /i "MichaelPeltier" %SYSTEMROOT%\security\templates\policies\gpt*.*
---------- D:\WINNT\SECURITY\TEMPLATES\POLICIES\GPT00000.DOM

---------- D:\WINNT\SECURITY\TEMPLATES\POLICIES\GPT00001.INF

---------- D:\WINNT\SECURITY\TEMPLATES\POLICIES\GPT00002.INF
SeInteractiveLogonRight = TsInternetUser,*S-1-5-32-549,*S-1-5-32-550,JohnDough,*S-1-5-32-551,*S-1-5-32-544,*S-1-5-32-548

---------- D:\WINNT\SECURITY\TEMPLATES\POLICIES\GPT00003.DOM
```
它从包含问题设置的问题 GPO 中将 GPT00002.inf 标识为缓存的安全模板。它还将问题设置标识为 SeInteractiveLogonRight。 SeInteractiveLogonRight 的显示名称是本地登录。

有关常量（例如 SeInteractiveLogonRight）与其显示名称（例如本地登录）的映射，请参阅用户权限分配。
确定哪个 GPO 包含问题设置。在步骤 4 中标识的缓存安全模板中搜索文本 GPOPath=。在此示例中，你将看到：

GPOPath={6AC1786C-016F-11D2-945F-00C04FB984F9}\MACHINE

{6AC1786C-016F-11D2-945F-00C04FB984F9} 是 GPO 的 GUID。
若要查找 GPO 的友好名称，请使用 DC 或安装了 AD RSAT 工具的服务器上的 PowerShell cmdlet Get-GPO -Guid 。

GPO 的友好名称显示在字段旁边 DisplayName ：
```
Get-GPO -Guid 6AC1786C-016F-11D2-945F-00C04FB984F9
DisplayName : Default Domain Controllers Policy
DomainName : contoso.com
Owner : CONTOSO\Domain Admins
```

现已确定问题帐户、问题设置和问题 GPO。若要解决此问题，请在安全策略的“受限组”部分搜索问题帐户实例（在此示例中为 MichaelPeltier），然后删除或替换问题条目。

错误代码0x5：访问被拒绝

如果未向系统授予更新服务的访问控制列表的正确权限，则通常会发生此错误。如果管理员在策略中定义服务的权限，但不授予系统帐户完全控制权限，则可能会发生此情况。

若要排查此问题，请执行以下步骤：

确定哪个服务或哪个对象发生故障。为此，请为安全配置客户端扩展启用调试日志记录：
1. 启动“注册表编辑器”。
2. 找到并选择以下注册表子项：
  
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{827D319E-6EAC-11D2-A4EA-00C04F79F83A}
3. 在 “编辑 ”菜单上，选择“ 添加值”，然后添加以下注册表值：
  - 值名称：ExtensionDebugLevel
  - 数据类型：DWORD
  - 值数据：2
4. 退出注册表编辑器。
刷新策略设置以重现失败。若要刷新策略设置，请在命令提示符处键入以下命令，然后按 Enter：
```
gpupdate /target:computer /force
```
此命令在文件夹中创建一个名为Winlogon.log%SYSTEMROOT%\Security\Logs的文件。
在命令提示符下，键入以下内容，然后按 Enter：
```
find /i "error opening" %SYSTEMROOT%\security\logs\winlogon.log
```
Find 输出使用错误配置的权限标识服务， 例如打开 Dnscache 时出错。 Dnscache 是 DNS 客户端服务的短名称。

了解尝试修改服务权限的策略或策略。为此，请在命令提示符处键入以下命令，然后按 Enter：

find /i "service" %SYSTEMROOT%\security\templates\policies\gpt*.*

下面是示例命令及其输出：

d:\>find /i "dnscache" %windir%\security\templates\policies\gpt*.*

---------- D:\WINNT\SECURITY\TEMPLATES\POLICIES\GPT00000.DOM

---------- D:\WINNT\SECURITY\TEMPLATES\POLICIES\GPT00001.INF

---------- D:\WINNT\SECURITY\TEMPLATES\POLICIES\GPT00002.INF
Dnscache,3,"D:AR(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;LA)"

---------- D:\WINNT\SECURITY\TEMPLATES\POLICIES\GPT00003.DOM

确定哪个 GPO 包含问题设置。在步骤 4 中标识的缓存安全模板中搜索文本 GPOPath=。在此示例中，你将看到：

GPOPath={6AC1786C-016F-11D2-945F-00C04FB984F9}\MACHINE

{6AC1786C-016F-11D2-945F-00C04FB984F9} 是 GPO 的 GUID。
若要查找 GPO 的友好名称，请使用 DC 或安装了 AD RSAT 工具的服务器上的 PowerShell cmdlet Get-GPO -Guid 。

GPO 的友好名称显示在字段旁边 DisplayName ：
```
 Get-GPO -Guid 6AC1786C-016F-11D2-945F-00C04FB984F9
 DisplayName : Default Domain Controllers Policy
 DomainName : contoso.com
 Owner : CONTOSO\Domain Admins
```

现在，你已使用配置不当的权限和问题 GPO 标识了服务。若要解决此问题，请在安全策略的“系统服务”部分搜索具有配置不当权限的服务实例。然后采取纠正措施，向系统帐户授予对服务的完全控制权限。

错误代码0x4b8：已发生扩展错误

0x4b8错误是泛型的，可能是由许多不同的问题引起的。若要排查这些错误，请执行以下步骤：

为安全配置客户端扩展启用调试日志记录：
1. 启动“注册表编辑器”。
2. 找到并选择以下注册表子项：
  
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{827D319E-6EAC-11D2-A4EA-00C04F79F83A}
3. 在 “编辑 ”菜单上，选择“ 添加值”，然后添加以下注册表值：
  - 值名称：ExtensionDebugLevel
  - 数据类型：DWORD
  - 值数据：2
4. 退出注册表编辑器。
刷新策略设置以重现失败。若要刷新策略设置，请在命令提示符处键入以下命令，然后按 Enter：
```
gpupdate /target:computer /force
```
此命令在文件夹中创建一个名为Winlogon.log %SYSTEMROOT%\Security\Logs 的文件。
请参阅应用程序日志中重复记录 ESENT 事件 ID 1000、1202、412 和 454。本文介绍导致0x4b8错误的已知问题。

数据收集

如果需要Microsoft支持方面的帮助，建议按照使用 TSS 收集信息中的步骤收集组策略问题来收集信息。

总结

错误代码0x534：未完成帐户名称和安全 ID 之间的映射

错误代码0x2：系统找不到指定的文件

错误代码0x5：访问被拒绝

错误代码0x4b8：已发生扩展错误

数据收集

资料来源与适用范围