本文可帮助排查与远程桌面服务（RDS）角色安装相关的问题。 部署全新的 RDS 部署或手动将角色添加到系统或当前现有 RDS 部署时，会出现此问题。
有多种可能的原因、不同的可能行为和错误消息。 本文介绍了其中一些常见原因。
验证系统上是否禁用了 TLS 1.0
注释
此特定问题仅适用于 Windows Server 2016 和更早版本。 从 Windows Server 2019 及更高版本，RD 连接代理角色可以使用更高的传输层安全性（TLS）版本（如 TLS 1.2）与 Windows 内部数据库（WID）通信。
症状
假设你在 Windows Server 中使用收件箱 WID。 如果在配置安全设置时禁用 TLS 1.0，则会遇到以下问题：
- 无法安装 RD 连接代理角色。
- RDS 服务失败。
- 使用 RD 连接代理和 WID 的现有 RDS 部署失败。
- 远程桌面管理服务（RDMS）未启动。
- 尝试启动 RDMS 时收到以下错误消息：
本地计算机上的远程桌面管理服务已启动，然后停止。 某些服务在其他服务或程序未使用的情况下自动停止。
原因
由于 RDS 和 WID 之间的当前依赖关系，因此预期会出现此行为。 RDMS 和连接代理依赖于 TLS 1.0 对数据库进行身份验证。 WID 目前不支持 TLS 1.2。 因此，禁用 TLS 1.0 会中断此通信。
注释
使用连接代理的 RDS 部署必须使用下列方法之一建立到 WID 的加密通道：
- TLS
- SSL 3.0
- FIPS (联邦信息处理标准)
决议
要解决此问题，请使用以下方法之一：
- 不要在单个连接代理部署上禁用 TLS 1.0。
- 配置使用专用 SQL Server 的高可用性连接代理部署。
- 将运行 RDS 服务的计算机升级到 Windows Server 2019。
注释
Microsoft发布了 对 Microsoft SQL Server 的 TLS 1.2 支持 ，使 SQL Server 通信能够使用 TLS 1.2。
由于服务帐户删除了“登录即服务”权限，连接代理角色无法安装
尝试安装 RD 连接代理角色时，安装失败并出现以下错误：
无法在服务器 <ServerName> 上安装 RD 连接代理角色服务 - 失败。
这通常是因为对象“NT SERVICE\ALL SERVICES”已从 登录即服务 安全策略中删除，或者有另一个策略拒绝 作为服务帐户的登录即服务 特权。
系统事件日志中还可能出现以下错误事件：
Log Name: System
Source: Service Control Manager
Date: mm/dd/yyyy hh:mm:ss pp
Event ID: 7041
Task Category: None
Level: Error
Keywords: Classic
User: N/A
Computer: MyServer.com
Description:
The MSSQL$MICROSOFT##WID service was unable to log on as NT SERVICE\MSSQL$MICROSOFT##WID with the currently configured password due to the following error:
Logon failure: the user has not been granted the requested logon type at this computer.
Service: MSSQL$MICROSOFT##WID
Domain and account: NT SERVICE\MSSQL$MICROSOFT##WID
This service account does not have the required user right "Log on as a service."
User Action
Assign "Log on as a service" to the service account on this computer. You can use Local Security Settings (Secpol.msc) to do this. If this computer is a node in a cluster, check that this user right is assigned to the Cluster service account on all nodes in the cluster.
If you have already assigned this user right to the service account, and the user right appears to be removed, check with your domain administrator to find out if a Group Policy object associated with this node might be removing the right.
决议
将“NT SERVICE\ALL SERVICES”组添加回 “作为服务身份登录” 安全策略。 此外，请确认此组或其他服务帐户对象（如网络服务）不是 “拒绝登录”作为服务安全策略的一 部分。
如果满足上述条件后仍失败，请尝试将服务帐户“NT SERVICE\MSSQL$MICROSOFT##WID”添加到 登录即服务 安全策略。
与 WinRM 相关的问题
服务器管理器、RDMS UI（远程桌面管理服务用户界面）和 RDS PowerShell cmdlet 严重依赖 WinRM 来运行。
如果问题与服务器管理器或 RDMS UI 无法正常运行相关，则最终可能会遇到 WinRM 相关问题。
-
一个常见原因是在系统的 WinHTTP 接口上设置了代理。 可以通过在提升的命令提示符中运行以下命令来检查此问题：
netsh winhttp show proxy如果配置了代理，可以使用以下命令将其删除：
netsh wintthp reset proxy或者，使用以下命令设置排除项（建议首先删除代理以进行测试。使用前面的步骤确认代理确实是问题的原因）：
例如：
set proxy proxy-server="http=<proxy>;https=<sproxy>:88" bypass-list="\*.contoso.com" -
还可以检查系统是否在以下路径下配置了任何与 WinRM 相关的组策略对象（GPO）。 也可以是一个很好的测试，暂时删除它们以进行测试。
计算机配置>政策>管理模板>Windows 组件>Windows 远程管理（WinRM）
-
最后，可以在事件查看器中查看以下项下的潜在 WinRM 问题事件：
应用程序和服务日志>Microsoft>Windows>Windows 远程管理>运行
无法将 RD 会话主机添加到会话集合或创建新集合
将 RD 会话主机添加到集合可能会失败。 可能会收到不同的错误消息。 通常，错误消息以“无法将 RD 会话主机添加到集合...”开头，然后会有一段更加详细的说明来解释其根本原因。
此行为可能是由不同原因引起的。 可能的原因如下：
-
与 WinRM 相关的原因，如本文前面部分所述。
-
RD 会话主机已配置了现有的 GPO，特别是与 RDS 相关的那些，防止在部署时覆盖预期的设置。 若要解决此问题，请暂时删除 GPO，将 RD 会话主机添加到部署或集合，然后重新应用所需的 GPO。
错误消息可能会有所不同。 通常，错误消息可以是“无法配置 RD 会话主机服务器服务器 <名称>”。 无效操作
注释
下面是可能导致此行为的常见 GPO 列表，但建议删除任何与 RDS 相关的 GPO 并进行测试：
- 使用网络级别身份验证要求用户对远程连接进行身份验证
- 设置客户端连接加密级别
- 使用指定的远程桌面许可证服务器
上述 GPO 的路径：
- 计算机配置>管理模板>Windows 组件>远程桌面服务>安全
- 计算机配置>管理模板>Windows 组件>远程桌面服务>远程桌面会话主机>发 牌
-
如果在将 RD 会话主机添加到会话集合时收到包含“某些或所有标识引用无法被翻译”的错误消息，通常表示，属于会话集合权限列表的某些组的 SID 解析存在问题。
解决 SID 时出现问题的原因可能有多种。 建议与Microsoft支持部门联系，以详细分析情况。 若要确认此问题（或暂时解决此问题），可以通过逐步从会话集合权限列表中删除用户组进行测试，直到你确定导致行为的组。
-
错误消息“无法使用 Windows PowerShell 远程管理连接到服务器”可能是由于不同的原因，但可能的原因是环境变量已更改或未正确配置。
若要解决此问题，请执行以下步骤：
sysdm.cpl运行命令。- 在 “系统属性 ”窗口中，选择“ 高级 ”选项卡，然后选择“ 环境变量”。
- 在 “系统变量”下，选择“ 路径>编辑”。
可能有多个环境变量，这可能因每个系统而异，但请确保存在以下环境变量并正确配置：
- %SystemRoot%\system32
- %SystemRoot%
- %SystemRoot%\system32\Wbem
- *%SYSTEMROOT%\System32\WindowsPowerShell\v1.0*
- *%SYSTEMROOT%\System32\OpenSSH*