Solucionar problemas de dispositivos ingressados híbridos do Microsoft Entra

Este artigo fornece diretrizes de solução de problemas para ajudar você a resolver possíveis problemas com dispositivos que executam o Windows 10 ou mais recente e o Windows Server 2016 ou mais recente.

O ingresso híbrido do Microsoft Entra dá suporte à atualização do Windows 10 de novembro de 2015 e posterior.

Para solucionar problemas de outros clientes do Windows, consulte Solução de problemas do Microsoft Entra híbrido ingressado em dispositivos de nível inferior.

Este artigo pressupõe que você tenha dispositivos ingressados no Microsoft Entra híbrido para dar suporte aos seguintes cenários:

• Acesso Condicional baseado no dispositivo
• Enterprise State Roaming
• Windows Hello for Business

Solucionar problemas de falhas de ingresso

Etapa 1: Recuperar o status do ingresso

1. Abra uma janela de Prompt de comando como administrador.
2. Digite dsregcmd /status.

+----------------------------------------------------------------------+
| Device State                                                         |
+----------------------------------------------------------------------+

    AzureAdJoined: YES
 EnterpriseJoined: NO
         DeviceId: 5820fbe9-60c8-43b0-bb11-44aee233e4e7
       Thumbprint: AA11BB22CC33DD44EE55FF66AA77BB88CC99DD00
   KeyContainerId: bae6a60b-1d2f-4d2a-a298-33385f6d05e9
      KeyProvider: Microsoft Platform Crypto Provider
     TpmProtected: YES
     KeySignTest: : MUST Run elevated to test.
              Idp: login.windows.net
         TenantId: aaaabbbb-0000-cccc-1111-dddd2222eeee
       TenantName: Contoso
      AuthCodeUrl: https://login.microsoftonline.com/msitsupp.microsoft.com/oauth2/authorize
   AccessTokenUrl: https://login.microsoftonline.com/msitsupp.microsoft.com/oauth2/token
           MdmUrl: https://enrollment.manage-beta.microsoft.com/EnrollmentServer/Discovery.svc
        MdmTouUrl: https://portal.manage-beta.microsoft.com/TermsOfUse.aspx
  dmComplianceUrl: https://portal.manage-beta.microsoft.com/?portalAction=Compliance
      SettingsUrl: eyJVc{lots of characters}JdfQ==
   JoinSrvVersion: 1.0
       JoinSrvUrl: https://enterpriseregistration.windows.net/EnrollmentServer/device/
        JoinSrvId: urn:ms-drs:enterpriseregistration.windows.net
    KeySrvVersion: 1.0
        KeySrvUrl: https://enterpriseregistration.windows.net/EnrollmentServer/key/
         KeySrvId: urn:ms-drs:enterpriseregistration.windows.net
     DomainJoined: YES
       DomainName: CONTOSO

+----------------------------------------------------------------------+
| User State                                                           |
+----------------------------------------------------------------------+

             NgcSet: YES
           NgcKeyId: {aaaaaaaa-0b0b-1c1c-2d2d-333333333333}
    WorkplaceJoined: NO
      WamDefaultSet: YES
WamDefaultAuthority: organizations
       WamDefaultId: https://login.microsoft.com
     WamDefaultGUID: {B16898C6-A148-4967-9171-64D755DA8520} (AzureAd)
         AzureAdPrt: YES

Etapa 2: Avaliar o status do ingresso

Examine os campos na tabela a seguir e certifique-se que eles tenham os valores esperados:

Continue nas próximas etapas para solucionar o problema.

Etapa 3: Localizar a fase em que o ingresso falhou e o código de erro

Para Windows 10 versão 1803 ou posterior

Procure a subseção 'Registro anterior' na seção 'Dados de diagnóstico' da saída do status de ingresso. Esta seção é exibida apenas se o dispositivo conectado ao domínio e não for capaz de ingressar no Microsoft Entra híbrido.

O campo “Fase de erro” indica a fase da falha no ingresso, enquanto “Código de erro do cliente” indica o código de erro da operação de ingresso.

+----------------------------------------------------------------------+
     Previous Registration : 2019-01-31 09:16:43.000 UTC
         Registration Type : sync
               Error Phase : join
          Client ErrorCode : 0x801c03f2
          Server ErrorCode : DirectoryError
            Server Message : The device object by the given id (e92325d0-xxxx-xxxx-xxxx-94ae875d5245) isn't found.
              Https Status : 400
                Request Id : 6bff0bd9-820b-484b-ab20-2a4f7b76c58e
+----------------------------------------------------------------------+

Para versões anteriores do Windows 10

Use logs do Visualizador de Eventos para localizar a fase e o código de erro para as falhas de ingresso.

1. Abra os logs de eventos de Registro de dispositivo do usuário no Visualizador de Eventos. Eles ficam armazenados em Log de aplicativos e serviços>Microsoft>Windows>Registro do dispositivo do usuário.
2. Procure eventos com a seguinte ID de evento: 304, 305 e 307.

Etapa 4: Verificar possíveis causas e resoluções

Fase de pré-verificação

Possíveis motivos para a falha:

• O dispositivo não tem uma linha de visão para o controlador de domínio.
  • O dispositivo deve estar na rede interna da organização ou em uma rede virtual privada com linha de visão da rede para um controlador de domínio Active Directory local.

Fase de descoberta

Possíveis motivos para a falha:

• O objeto do ponto de conexão de serviço está configurado incorretamente ou não pode ser lido no controlador de domínio.
  • Um objeto do ponto de conexão válido é necessário na floresta do AD, à qual o dispositivo pertence, que aponta para um nome de domínio verificado no Microsoft Entra ID.
  • Para mais informações, consulte a seção "Configurar um ponto de conexão de serviço" do Tutorial: configurar ingresso do Microsoft Entra híbrido para domínios federados .
• Falha ao conectar e buscar os metadados de descoberta a partir do ponto de extremidade de descoberta.
  • O dispositivo deve ser capaz de acessar https://enterpriseregistration.windows.net, no contexto do sistema, para descobrir os pontos de extremidade do registro e da autorização.
  • Se o ambiente local exigir um proxy de saída, o administrador de TI deve garantir que a conta do computador do dispositivo possa descobrir e se autenticar silenciosamente no proxy de saída.
• Falha ao conectar-se ao ponto de extremidade do realm do usuário e fazer a descoberta do realm (Windows 10 versão 1809 e posterior apenas).
  • O dispositivo deve ser capaz de acessar https://login.microsoftonline.com, no contexto do sistema, fazer descoberta de realm para o domínio verificado e determinar o tipo de domínio (gerenciado ou federado).
  • Se o ambiente local exigir um proxy de saída, o administrador de TI deve garantir que o contexto do sistema no dispositivo possa descobrir e autenticar silenciosamente no proxy de saída.

Códigos de erro comuns:

Códigos de suberro comuns:

Para localizar o código de suberro do código de erro de descoberta, use um dos métodos a seguir.

Windows 10, versão 1803 ou posterior

Procure por “Teste de descoberta do DRS” na seção “Dados de diagnóstico” da saída do status de ingresso. Esta seção é exibida apenas se o dispositivo conectado ao domínio e não for capaz de ingressar no Microsoft Entra híbrido.

+----------------------------------------------------------------------+
| Diagnostic Data                                                      |
+----------------------------------------------------------------------+

     Diagnostics Reference : www.microsoft.com/aadjerrors
              User Context : UN-ELEVATED User
               Client Time : 2019-06-05 08:25:29.000 UTC
      AD Connectivity Test : PASS
     AD Configuration Test : PASS
        DRS Discovery Test : FAIL [0x801c0021/0x80072ee2]
     DRS Connectivity Test : SKIPPED
    Token acquisition Test : SKIPPED
     Fallback to Sync-Join : ENABLED

+----------------------------------------------------------------------+

Versões anteriores do Windows 10

Use os logs do Visualizador de Eventos para localizar a fase e o código de erro para as falhas de ingresso.

1. Abra os logs de eventos de Registro de dispositivo do usuário no Visualizador de Eventos. Eles ficam armazenados em Log de aplicativos e serviços>Microsoft>Windows>Registro do dispositivo do usuário.
2. Procurar pela ID de evento 201.

Erros de rede:

Erros de HTTP:

Outros erros:

Fase de autenticação

Esse conteúdo se aplica somente a contas de domínio federado.

Motivos da falha:

• Não é possível obter um token de acesso silenciosamente para o recurso DRS.
  • Os dispositivos Windows 10 e Windows 11 adquirem o token de autenticação do Serviço de Federação usando a autenticação do Windows integrada para um ponto de extremidade WS-Trust ativo. Para obter mais informações, consulte Configuração do serviço de federação.

Códigos de erro comuns:

Use os logs do Visualizador de Eventos para localizar o código de erro, o código de suberro, o código de erro do servidor e a mensagem de erro do servidor.

1. Abra os logs de eventos de Registro de dispositivo do usuário no Visualizador de Eventos. Eles ficam armazenados em Log de aplicativos e serviços>Microsoft>Windows>Registro do dispositivo do usuário.
2. Procurar pela ID de evento 305.

Erros de configuração:

Erros de rede:

Outros erros:

Fase de ingresso

Motivos da falha:

Procure o tipo de registro e o código de erro das tabelas a seguir, dependendo da versão do Windows 10 que você está usando.

Windows 10, versão 1803 ou posterior

Procure a subseção 'Registro anterior' na seção 'Dados de diagnóstico' da saída do status de ingresso. Esta seção é exibida apenas se o dispositivo for conectado ao domínio e não for capaz de ingressar no Microsoft Entra ID híbrido.

O campo "Tipo de registro" denota o tipo de ingresso.

+----------------------------------------------------------------------+
     Previous Registration : 2019-01-31 09:16:43.000 UTC
         Registration Type : sync
               Error Phase : join
          Client ErrorCode : 0x801c03f2
          Server ErrorCode : DirectoryError
            Server Message : The device object by the given id (aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) is not found.
              Https Status : 400
                Request Id : 6bff0bd9-820b-484b-ab20-2a4f7b76c58e
+----------------------------------------------------------------------+

Versões anteriores do Windows 10

Use logs do Visualizador de Eventos para localizar a fase e o código de erro para as falhas de ingresso.

1. Abra os logs de eventos de Registro de dispositivo do usuário no Visualizador de Eventos. Eles ficam armazenados em Log de aplicativos e serviços>Microsoft>Windows>Registro do dispositivo do usuário.
2. Procurar pela ID de evento 204.

Erros de HTTP retornados do servidor DRS:

Erros do TPM:

Erros de rede:

Outros erros:

Erros no servidor de ingresso federado:

Erros na sincronização do servidor de ingresso:

Etapa 5: Coletar logs e entrar em contato com o Suporte da Microsoft

1. Baixe o arquivo Auth.zip.

2. Descompacte os arquivos em uma pasta como c:\temp e acesse a pasta.

3. Em uma sessão com privilégios do Azure PowerShell, execute .\start-auth.ps1 -v -accepteula.

4. Selecione Alternar conta para alternar para outra sessão com o problema do usuário.

5. Reproduza o problema.

6. Selecione Alternar conta para voltar à sessão de administrador que está executando o rastreamento.

7. Na sessão com privilégios do PowerShell, execute .\stop-auth.ps1.

8. Compacte e envie a pasta Authlogs da pasta a partir da qual os scripts foram executados.

Solucionar problemas de autenticação pós-ingresso

Etapa 1: Recuperar o status do PRT usando dsregcmd /status

1. Abra uma janela de Prompt de Comando.

   Observação

   Para obter o status do Token de Atualização Primária (PRT), abra a janela Prompt de Comando no contexto do usuário conectado.

2. Execute dsregcmd /status.

   A seção "estado do SSO" mostra o status de PRT atual.

   Se o campo AzureAdPrt for definido como NÃO, houve um erro ao adquirir o status do PRT do Microsoft Entra.

3. Se o AzureAdPrtUpdateTime for maior que 4 horas, provavelmente há um problema com a atualização do PRT. Bloqueie e desbloqueie o dispositivo para forçar a atualização do PRT e verifique se a hora é atualizada.

+----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+

                AzureAdPrt : YES
      AzureAdPrtUpdateTime : 2020-07-12 22:57:53.000 UTC
      AzureAdPrtExpiryTime : 2019-07-26 22:58:35.000 UTC
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee
             EnterprisePrt : YES
   EnterprisePrtUpdateTime : 2020-07-12 22:57:54.000 UTC
   EnterprisePrtExpiryTime : 2020-07-26 22:57:54.000 UTC
    EnterprisePrtAuthority : https://corp.hybridadfs.contoso.com:443/adfs

+----------------------------------------------------------------------+

Etapa 2: encontrar o código de erro

Da dsregcmd saída

O campo "Status da Tentativa" no campo "AzureAdPrt" mostra o status da tentativa do PRT anterior com outras informações de depuração necessárias. Para versões anteriores do Windows, extraia as informações das análises e logs operacionais do Microsoft Entra.

+----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+

                AzureAdPrt : NO
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee
     AcquirePrtDiagnostics : PRESENT
      Previous Prt Attempt : 2020-07-18 20:10:33.789 UTC
            Attempt Status : 0xc000006d
             User Identity : john@contoso.com
           Credential Type : Password
            Correlation ID : aaaa0000-bb11-2222-33cc-444444dddddd
              Endpoint URI : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/oauth2/token/
               HTTP Method : POST
                HTTP Error : 0x0
               HTTP status : 400
         Server Error Code : invalid_grant
  Server Error Description : AADSTS50126: Error validating credentials due to invalid username or password.

Da análise do Microsoft Entra e dos logs operacionais

Use o Visualizador de Eventos para procurar as entradas de log registradas pelo plug-in CloudAP do Microsoft Entra durante a aquisição do PRT.

1. No Visualizador de Eventos, abra os Logs de eventos operacionais do Microsoft Entra. Eles ficam armazenados em Log de aplicativos e serviços>Microsoft>Windows>Microsoft Azure Active Directory.

1. O evento 1006 nos logs analíticos indica o início do fluxo de aquisição do PRT, e o evento 1007 nos logs analíticos indica o fim do fluxo de aquisição do PRT. Todos os eventos nos logs do Microsoft Entra (analíticos e operacionais) registrados entre os eventos 1006 e 1007 foram registrados como parte do fluxo de aquisição do PRT.

2. O evento 1007 registra o código de erro final.

Etapa 3: Solucionar problemas adicionais com base no código de erro encontrado

Códigos de erro comuns do servidor

Códigos de erro de rede comuns

Etapa 4: coletar logs

Logs regulares

1. Acesse https://aka.ms/icesdptool, que baixará automaticamente um arquivo .cab que contém a ferramenta Diagnóstico.
2. Execute a ferramenta e reproduza seu cenário.
3. Para rastreamentos do Fiddler, aceite as solicitações de certificado que aparecem em um pop-up.
4. O assistente solicitará uma senha para proteger seus arquivos de rastreamento. Forneça uma senha.
5. Por fim, abra a pasta onde todos os logs coletados são armazenados, como %LOCALAPPDATA%\ElevatedDiagnostics\numbers.
6. Entre em contato com o suporte com o conteúdo do arquivo de .cab mais recente.

Rastreamentos de rede

1. Execute netsh trace start scenario=internetClient_dbg capture=yes persistent=yes.
2. Bloqueie e desbloqueie o dispositivo. Para dispositivos ingressados no híbrido, aguarde um minuto ou mais para permitir que a tarefa de aquisição do PRT seja concluída.
3. Execute netsh trace stop.
4. Compartilhe o arquivo nettrace.cab com o suporte.

Problemas conhecidos

Se você estiver conectado a um ponto de acesso móvel ou a uma rede Wi-Fi externa e acessar Configurações>Contas>Acesso de trabalho ou escola, os dispositivos ingressados no Microsoft Entra híbrido poderão mostrar duas contas diferentes, uma para o Microsoft Entra ID e outra para o Microsoft Entra ID local. Esse problema de IU não afeta a funcionalidade.

Conteúdo relacionado

• Solucionar problemas de dispositivos usando o dsregcmd comando.
• Acesse a Ferramenta de Pesquisa de Erros da Microsoft.