Resolução de problemas de dispositivos associados ao Microsoft Entra híbrido

Este artigo fornece orientações de solução de problemas para ajudá-lo a resolver possíveis problemas com dispositivos que executam o Windows 10 ou mais recente e o Windows Server 2016 ou mais recente.

O Microsoft Entra hybrid join suporta a atualização do Windows 10 de novembro de 2015 e posterior.

Para solucionar problemas de outros clientes Windows, consulte Solucionar problemas de dispositivos de nível inferior híbridos do Microsoft Entra.

Este artigo pressupõe que você tenha dispositivos associados híbridos do Microsoft Entra para oferecer suporte aos seguintes cenários:

• Acesso Condicional com base em dispositivos
• Roaming de estado empresarial
• Windows Hello para empresas

Solucionar problemas de falhas de associação

Passo 1: Recuperar o estado de associação

1. Abra uma janela de Linha de Comandos como administrador.
2. Escreva dsregcmd /status.

+----------------------------------------------------------------------+
| Device State                                                         |
+----------------------------------------------------------------------+

    AzureAdJoined: YES
 EnterpriseJoined: NO
         DeviceId: 5820fbe9-60c8-43b0-bb11-44aee233e4e7
       Thumbprint: AA11BB22CC33DD44EE55FF66AA77BB88CC99DD00
   KeyContainerId: bae6a60b-1d2f-4d2a-a298-33385f6d05e9
      KeyProvider: Microsoft Platform Crypto Provider
     TpmProtected: YES
     KeySignTest: : MUST Run elevated to test.
              Idp: login.windows.net
         TenantId: aaaabbbb-0000-cccc-1111-dddd2222eeee
       TenantName: Contoso
      AuthCodeUrl: https://login.microsoftonline.com/msitsupp.microsoft.com/oauth2/authorize
   AccessTokenUrl: https://login.microsoftonline.com/msitsupp.microsoft.com/oauth2/token
           MdmUrl: https://enrollment.manage-beta.microsoft.com/EnrollmentServer/Discovery.svc
        MdmTouUrl: https://portal.manage-beta.microsoft.com/TermsOfUse.aspx
  dmComplianceUrl: https://portal.manage-beta.microsoft.com/?portalAction=Compliance
      SettingsUrl: eyJVc{lots of characters}JdfQ==
   JoinSrvVersion: 1.0
       JoinSrvUrl: https://enterpriseregistration.windows.net/EnrollmentServer/device/
        JoinSrvId: urn:ms-drs:enterpriseregistration.windows.net
    KeySrvVersion: 1.0
        KeySrvUrl: https://enterpriseregistration.windows.net/EnrollmentServer/key/
         KeySrvId: urn:ms-drs:enterpriseregistration.windows.net
     DomainJoined: YES
       DomainName: CONTOSO

+----------------------------------------------------------------------+
| User State                                                           |
+----------------------------------------------------------------------+

             NgcSet: YES
           NgcKeyId: {aaaaaaaa-0b0b-1c1c-2d2d-333333333333}
    WorkplaceJoined: NO
      WamDefaultSet: YES
WamDefaultAuthority: organizations
       WamDefaultId: https://login.microsoft.com
     WamDefaultGUID: {B16898C6-A148-4967-9171-64D755DA8520} (AzureAd)
         AzureAdPrt: YES

Passo 2: Avaliar o estado da associação

Revise os campos na tabela a seguir e verifique se eles têm os valores esperados:

Continue para as próximas etapas para solução de problemas adicionais.

Etapa 3: Localizar a fase em que a junção falhou e o código de erro

Para Windows 10 versão 1803 ou posterior

Procure a subseção "Registro anterior" na seção "Dados de diagnóstico" da saída de status de associação. Esta seção será exibida somente se o dispositivo ingressar no domínio e não puder ingressar no Microsoft Entra.

O campo "Fase de erro" indica a fase da falha de junção e "Client ErrorCode" indica o código de erro da operação de junção.

+----------------------------------------------------------------------+
     Previous Registration : 2019-01-31 09:16:43.000 UTC
         Registration Type : sync
               Error Phase : join
          Client ErrorCode : 0x801c03f2
          Server ErrorCode : DirectoryError
            Server Message : The device object by the given id (e92325d0-xxxx-xxxx-xxxx-94ae875d5245) isn't found.
              Https Status : 400
                Request Id : 6bff0bd9-820b-484b-ab20-2a4f7b76c58e
+----------------------------------------------------------------------+

Para versões anteriores do Windows 10

Use os logs do Visualizador de Eventos para localizar a fase e o código de erro para as falhas de junção.

1. No Visualizador de Eventos, abra os logs de eventos do Registro de Dispositivo do Usuário. Eles são armazenados em Registro de Aplicativos e Serviços Registro>de Dispositivo de Usuário do Microsoft>Windows.>
2. Procure eventos com as seguintes IDs de evento: 304, 305 e 307.

Etapa 4: Verifique possíveis causas e resoluções

Fase de pré-verificação

Possíveis razões para o insucesso:

• O dispositivo não tem linha de visão para o controlador de domínio.
  • O dispositivo deve estar na rede interna da organização ou em uma rede virtual privada com uma linha de visão de rede para um controlador de domínio do Ative Directory local.

Fase de descoberta

Possíveis razões para o insucesso:

• O objeto do ponto de conexão de serviço está configurado incorretamente ou não pode ser lido do controlador de domínio.
  • É necessário um objeto de ponto de conexão de serviço válido na floresta do AD, à qual o dispositivo pertence, que aponte para um nome de domínio verificado na ID do Microsoft Entra.
  • Para obter mais informações, consulte a seção "Configurar um ponto de conexão de serviço" do Tutorial: Configurar a associação híbrida do Microsoft Entra para domínios federados.
• Falha ao se conectar e buscar os metadados de descoberta do ponto de extremidade de descoberta.
  • O dispositivo deve ser capaz de aceder https://enterpriseregistration.windows.net, no contexto do sistema, para descobrir os pontos finais de registo e autorização.
  • Se o ambiente local exigir um proxy de saída, o administrador de TI deverá garantir que a conta de computador do dispositivo possa descobrir e autenticar silenciosamente o proxy de saída.
• Falha ao se conectar ao ponto de extremidade de realm do usuário e fazer a descoberta de realm (somente Windows 10 versão 1809 e posterior).
  • O dispositivo deve ser capaz de acessar https://login.microsoftonline.com, no contexto do sistema, para fazer a descoberta de território para o domínio verificado e determinar o tipo de domínio (gerenciado ou federado).
  • Se o ambiente local exigir um proxy de saída, o administrador de TI deverá garantir que o contexto do sistema no dispositivo possa descobrir e autenticar silenciosamente o proxy de saída.

Códigos de erro comuns:

Códigos de suberro comuns:

Para localizar o código de suberro para o código de erro de descoberta, use um dos seguintes métodos.

Windows 10 versão 1803 ou posterior

Procure por "DRS Discovery Test" na seção "Dados de diagnóstico" da saída de status de junção. Esta seção será exibida somente se o dispositivo ingressar no domínio e não puder ingressar no Microsoft Entra.

+----------------------------------------------------------------------+
| Diagnostic Data                                                      |
+----------------------------------------------------------------------+

     Diagnostics Reference : www.microsoft.com/aadjerrors
              User Context : UN-ELEVATED User
               Client Time : 2019-06-05 08:25:29.000 UTC
      AD Connectivity Test : PASS
     AD Configuration Test : PASS
        DRS Discovery Test : FAIL [0x801c0021/0x80072ee2]
     DRS Connectivity Test : SKIPPED
    Token acquisition Test : SKIPPED
     Fallback to Sync-Join : ENABLED

+----------------------------------------------------------------------+

Versões anteriores do Windows 10

Use os logs do Visualizador de Eventos para procurar o código de fase e de erro para as falhas de junção.

1. No Visualizador de Eventos, abra os logs de eventos do Registro de Dispositivo do Usuário. Eles são armazenados em Registro de Aplicativos e Serviços Registro>de Dispositivo de Usuário do Microsoft>Windows.>
2. Procure o ID de evento 201.

Erros de rede:

Erros HTTP:

Outros erros:

Fase de autenticação

Este conteúdo aplica-se apenas a contas de domínio federado.

Razões para o insucesso:

• Não é possível obter um token de acesso silenciosamente para o recurso DRS.
  • Os dispositivos Windows 10 e Windows 11 adquirem o token de autenticação do Serviço de Federação usando a autenticação integrada do Windows para um ponto de extremidade WS-Trust ativo. Para obter mais informações, consulte Configuração do Serviço de Federação.

Códigos de erro comuns:

Use os logs do Visualizador de Eventos para localizar o código de erro, o código de suberro, o código de erro do servidor e a mensagem de erro do servidor.

1. No Visualizador de Eventos, abra os logs de eventos do Registro de Dispositivo do Usuário. Eles são armazenados em Registro de Aplicativos e Serviços Registro>de Dispositivo de Usuário do Microsoft>Windows.>
2. Procure o ID de evento 305.

Erros de configuração:

Erros de rede:

Outros erros:

Fase de adesão

Razões para o insucesso:

Procure o tipo de registo e o código de erro nas tabelas seguintes, dependendo da versão do Windows 10 que está a utilizar.

Windows 10 versão 1803 ou posterior

Procure a subseção "Registro anterior" na seção "Dados de diagnóstico" da saída de status de associação. Esta seção será exibida somente se o dispositivo ingressar no domínio e não puder ingressar no Microsoft Entra.

O campo "Tipo de registo" indica o tipo de adesão.

+----------------------------------------------------------------------+
     Previous Registration : 2019-01-31 09:16:43.000 UTC
         Registration Type : sync
               Error Phase : join
          Client ErrorCode : 0x801c03f2
          Server ErrorCode : DirectoryError
            Server Message : The device object by the given id (aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) is not found.
              Https Status : 400
                Request Id : 6bff0bd9-820b-484b-ab20-2a4f7b76c58e
+----------------------------------------------------------------------+

Versões anteriores do Windows 10

Use os logs do Visualizador de Eventos para localizar a fase e o código de erro para as falhas de junção.

1. No Visualizador de Eventos, abra os logs de eventos do Registro de Dispositivo do Usuário. Eles são armazenados em Registro de Aplicativos e Serviços Registro>de Dispositivo de Usuário do Microsoft>Windows.>
2. Procure o ID de evento 204.

Erros HTTP retornados do servidor DRS:

Erros TPM:

Erros de rede:

Outros erros:

Erros do servidor de junção federada:

Erros do servidor de junção de sincronização:

Etapa 5: coletar logs e entrar em contato com o Suporte da Microsoft

1. Transfira o ficheiro Auth.zip.

2. Extraia os arquivos para uma pasta, como c:\temp e, em seguida, vá para a pasta.

3. Em uma sessão elevada do Azure PowerShell, execute .\start-auth.ps1 -v -accepteula.

4. Selecione Mudar de conta para alternar para outra sessão com o utilizador problemático.

5. Reproduza o problema.

6. Selecione Mudar de conta para voltar à sessão de administrador que está executando o rastreamento.

7. Na sessão elevada do PowerShell, execute .\stop-auth.ps1.

8. Zip (compactar) e enviar a pasta Authlogs da pasta onde os scripts foram executados.

Solucionar problemas de autenticação pós-ingresso

Etapa 1: Recuperar o status PRT usando dsregcmd /status

1. Abra uma janela da Linha de Comandos.

   Nota

   Para obter o status PRT (Primary Refresh Token), abra a janela do Prompt de Comando no contexto do usuário conectado.

2. Execute o dsregcmd /status.

   A seção "Estado SSO" fornece o status PRT atual.

   Se o campo AzureAdPrt estiver definido como NO, ocorreu um erro ao adquirir o status PRT da ID do Microsoft Entra.

3. Se o AzureAdPrtUpdateTime tiver mais de quatro horas, provavelmente haverá um problema com a atualização do PRT. Bloqueie e desbloqueie o dispositivo para forçar a atualização do PRT e, em seguida, verifique se a hora atualiza.

+----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+

                AzureAdPrt : YES
      AzureAdPrtUpdateTime : 2020-07-12 22:57:53.000 UTC
      AzureAdPrtExpiryTime : 2019-07-26 22:58:35.000 UTC
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee
             EnterprisePrt : YES
   EnterprisePrtUpdateTime : 2020-07-12 22:57:54.000 UTC
   EnterprisePrtExpiryTime : 2020-07-26 22:57:54.000 UTC
    EnterprisePrtAuthority : https://corp.hybridadfs.contoso.com:443/adfs

+----------------------------------------------------------------------+

Etapa 2: Localizar o código de erro

Da dsregcmd saída

O campo "Status da tentativa" no campo "AzureAdPrt" fornece o status da tentativa de PRT anterior, juntamente com outras informações de depuração necessárias. Para versões anteriores do Windows, extraia as informações dos logs operacionais e de análise do Microsoft Entra.

+----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+

                AzureAdPrt : NO
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee
     AcquirePrtDiagnostics : PRESENT
      Previous Prt Attempt : 2020-07-18 20:10:33.789 UTC
            Attempt Status : 0xc000006d
             User Identity : john@contoso.com
           Credential Type : Password
            Correlation ID : aaaa0000-bb11-2222-33cc-444444dddddd
              Endpoint URI : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/oauth2/token/
               HTTP Method : POST
                HTTP Error : 0x0
               HTTP status : 400
         Server Error Code : invalid_grant
  Server Error Description : AADSTS50126: Error validating credentials due to invalid username or password.

A partir dos logs operacionais e de análise do Microsoft Entra

Use o Visualizador de Eventos para procurar as entradas de log registradas pelo plug-in do Microsoft Entra CloudAP durante a aquisição do PRT.

1. No Visualizador de Eventos, abra os logs de eventos do Microsoft Entra Operacional. Eles são armazenados em Log de Aplicativos>e Serviços do Microsoft>Windows>AAD.

1. O evento 1006 nos logs de análise denota o início do fluxo de aquisição PRT e o evento 1007 nos logs de análise denota o fim do fluxo de aquisição PRT. Todos os eventos nos logs do Microsoft Entra (analíticos e operacionais) que são registrados entre os eventos 1006 e 1007 foram registrados como parte do fluxo de aquisição PRT.

2. O evento 1007 registra o código de erro final.

Etapa 3: Solucione mais problemas, com base no código de erro encontrado

Códigos de erro comuns do servidor

Códigos de erro de rede comuns

Etapa 4: Coletar logs

Registos regulares

1. Vá para https://aka.ms/icesdptool baixar automaticamente um arquivo .cab que contém a ferramenta de diagnóstico.
2. Execute a ferramenta e reproduza seu cenário.
3. Para rastreamentos do Fiddler, aceite as solicitações de certificado exibidas.
4. O assistente solicita uma senha para proteger seus arquivos de rastreamento. Forneça uma senha.
5. Finalmente, abra a pasta onde todos os logs coletados são armazenados, como %LOCALAPPDATA%\ElevatedDiagnostics\numbers.
6. Entre em contato com o suporte com o conteúdo do arquivo .cab mais recente.

Rastreios de rede

1. Execute o netsh trace start scenario=internetClient_dbg capture=yes persistent=yes.
2. Bloqueie e desbloqueie o dispositivo. Para dispositivos híbridos, aguarde um minuto ou mais para permitir que a tarefa de aquisição de PRT seja concluída.
3. Execute o netsh trace stop.
4. Partilhe o ficheiro nettrace.cab com o Serviço de Apoio.

Problemas conhecidos

Se estiver ligado a um hotspot móvel ou a uma rede Wi-Fi externa e aceder a Definições>Contas>de Acesso Trabalho ou Escola, os dispositivos associados híbridos do Microsoft Entra poderão mostrar duas contas diferentes, uma para o Microsoft Entra ID e outra para o AD local. Esse problema da interface do usuário não afeta a funcionalidade.

Conteúdos relacionados

• Solucione problemas de dispositivos usando o dsregcmd comando.
• Vá para a Ferramenta de Pesquisa de Erros da Microsoft.