应用 CIS Windows Server 2025 基准测试 v1.x 建议后，群集服务不会启动 - Windows Server

总结

本文讨论了如何解决在应用来自互联网安全中心 (CIS) 或类似安全来源的安全强化建议后，Windows Server 2025 故障转移群集中 Windows 故障转移服务无法启动的问题。 CIS 发布了不会导致此问题的更新建议，本文包括重新配置导致问题的策略设置的过程。

症状

若要强化群集环境，请根据“CIS Microsoft Windows Server 2025 基准版本 1”的建议对其进行配置。x“或类似的强化工具。 随后，Windows 故障转移群集服务无法启动。 群集节点可能会报告指示群集身份验证管理器（CAM）无法加载的错误。

原因

CIS Microsoft Windows Server 2025 基准 v1。x 建议在 LocalSecurityAuthority 管理模板中禁用以下组策略设置：

• 策略设置：允许将自定义 SSP 和 IP 加载到 LSASS 中
• 策略位置： 计算机配置>管理模板>系统>本地安全机构
• 注册表存储位置和条目： HKLM\SOFTWARE\Policies\Microsoft\Windows\System\AllowCustomSSPsAPs

如果禁用此设置，则本地安全机构子系统服务（LSASS）无法加载自定义安全支持提供程序（SSP）和身份验证提供程序（AP）。 但是，CAM 充当 SSP。 如果 CAM 无法加载到 LSASS 中，Windows 群集无法进行身份验证和启动。

自定义或第三方强化工具可能还包括此组策略建议。

解决方案

“CIS Microsoft Windows Server 2025 Benchmark v2.0”修复了此问题，方法是将建议范围限定为域控制器（DC），而不是成员服务器。 若要强化环境，请使用“CIS Microsoft Windows Server 2025 基准 v2.0”或类似更新的标准或工具。

如果已实现 v1。x 建议，使用以下方法之一还原群集功能。

方法 1：直接在群集节点上更改策略设置

1. 打开本地组策略编辑器（gpedit.msc）。
2. 在策略编辑器中，找到 计算机配置>管理模板>系统>本地安全机构。
3. 右键单击 “允许将自定义 SSP 和 IP 加载到 LSASS”中，然后选择“ 编辑”。
4. 选择“已启用”，然后选择“确定”。
5. 重启节点上的群集服务。

方法 2：更改域或林级别的策略设置

1. 在 DC 上打开组策略管理控制台（GPMC）。
2. 右键单击组策略对象（GPO），该对象控制 允许将自定义 SSP 和 IP 加载到群集节点上的 LSASS 中，然后选择“ 编辑”。
3. 在策略编辑器中，找到 计算机配置>管理模板>系统>本地安全机构。
4. 右键单击 “允许将自定义 SSP 和 IP 加载到 LSASS”中，然后选择“ 编辑”。
5. 选择“已启用”，然后选择“确定”。
6. 若要传播更新的策略，请在受影响的节点上运行gpupdate /force
7. 若要启动受影响的节点，请运行 Windows PowerShell Start-Cluster cmdlet 或 Start-ClusterNode cmdlet 等命令。