Felsöka Microsoft Entra hybridanslutna enheter

Den här artikeln innehåller felsökningsvägledning som hjälper dig att lösa potentiella problem med enheter som kör Windows 10 eller senare och Windows Server 2016 eller senare.

Microsoft Entra-hybridanslutning stöder Windows 10 November 2015-uppdateringen och senare.

Information om hur du felsöker andra Windows-klienter finns i Felsöka Microsoft Entra Hybrid-anslutna enheter på nednivå.

Den här artikeln förutsätter att du har Microsoft Entra Hybrid-anslutna enheter som stöder följande scenarier:

• Enhetsbaserad villkorlig åtkomst
• Företagstillståndsroaming
• Windows Hello för företag

Felsöka kopplingsfel

Steg 1: Hämta anslutningsstatusen

1. Öppna ett kommandotolksfönster som administratör.
2. Skriv dsregcmd /status.

+----------------------------------------------------------------------+
| Device State                                                         |
+----------------------------------------------------------------------+

    AzureAdJoined: YES
 EnterpriseJoined: NO
         DeviceId: 5820fbe9-60c8-43b0-bb11-44aee233e4e7
       Thumbprint: AA11BB22CC33DD44EE55FF66AA77BB88CC99DD00
   KeyContainerId: bae6a60b-1d2f-4d2a-a298-33385f6d05e9
      KeyProvider: Microsoft Platform Crypto Provider
     TpmProtected: YES
     KeySignTest: : MUST Run elevated to test.
              Idp: login.windows.net
         TenantId: aaaabbbb-0000-cccc-1111-dddd2222eeee
       TenantName: Contoso
      AuthCodeUrl: https://login.microsoftonline.com/msitsupp.microsoft.com/oauth2/authorize
   AccessTokenUrl: https://login.microsoftonline.com/msitsupp.microsoft.com/oauth2/token
           MdmUrl: https://enrollment.manage-beta.microsoft.com/EnrollmentServer/Discovery.svc
        MdmTouUrl: https://portal.manage-beta.microsoft.com/TermsOfUse.aspx
  dmComplianceUrl: https://portal.manage-beta.microsoft.com/?portalAction=Compliance
      SettingsUrl: eyJVc{lots of characters}JdfQ==
   JoinSrvVersion: 1.0
       JoinSrvUrl: https://enterpriseregistration.windows.net/EnrollmentServer/device/
        JoinSrvId: urn:ms-drs:enterpriseregistration.windows.net
    KeySrvVersion: 1.0
        KeySrvUrl: https://enterpriseregistration.windows.net/EnrollmentServer/key/
         KeySrvId: urn:ms-drs:enterpriseregistration.windows.net
     DomainJoined: YES
       DomainName: CONTOSO

+----------------------------------------------------------------------+
| User State                                                           |
+----------------------------------------------------------------------+

             NgcSet: YES
           NgcKeyId: {aaaaaaaa-0b0b-1c1c-2d2d-333333333333}
    WorkplaceJoined: NO
      WamDefaultSet: YES
WamDefaultAuthority: organizations
       WamDefaultId: https://login.microsoft.com
     WamDefaultGUID: {B16898C6-A148-4967-9171-64D755DA8520} (AzureAd)
         AzureAdPrt: YES

Steg 2: Utvärdera anslutningsstatusen

Granska fälten i följande tabell och kontrollera att de har de förväntade värdena:

Fortsätt till nästa steg för ytterligare felsökning.

Steg 3: Hitta fasen där kopplingen misslyckades och felkoden

För Windows 10 version 1803 eller senare

Leta efter underavsnittet "Föregående registrering" i avsnittet "Diagnostikdata" i kopplingsstatusutdata. Det här avsnittet visas endast om enheten är domänansluten och inte kan ansluta till Microsoft Entra-hybridanslutningen.

Fältet "Felfas" anger fasen för kopplingsfelet och "Client ErrorCode" anger felkoden för kopplingsåtgärden.

+----------------------------------------------------------------------+
     Previous Registration : 2019-01-31 09:16:43.000 UTC
         Registration Type : sync
               Error Phase : join
          Client ErrorCode : 0x801c03f2
          Server ErrorCode : DirectoryError
            Server Message : The device object by the given id (e92325d0-xxxx-xxxx-xxxx-94ae875d5245) isn't found.
              Https Status : 400
                Request Id : 6bff0bd9-820b-484b-ab20-2a4f7b76c58e
+----------------------------------------------------------------------+

För tidigare Windows 10-versioner

Använd Loggboken loggar för att hitta fasen och felkoden för kopplingsfelen.

1. I Loggboken öppnar du händelseloggarna för registrering av användarenheter. De lagras under Program- och tjänstloggen>Microsoft>Windows>Användarenhetsregistrering.
2. Leta efter händelser med följande händelse-ID: 304, 305 och 307.

Steg 4: Sök efter möjliga orsaker och lösningar

Förkontrollera fasen

Möjliga orsaker till fel:

• Enheten har ingen siktlinje för domänkontrollanten.
  • Enheten måste finnas i organisationens interna nätverk eller i ett virtuellt privat nätverk med en nätverkslinje för en lokal Active Directory domänkontrollant.

Identifiera fas

Möjliga orsaker till fel:

• Objektet för tjänstanslutningspunkten är felkonfigurerat eller kan inte läsas från domänkontrollanten.
  • Ett giltigt tjänstanslutningspunktobjekt krävs i AD-skogen, som enheten tillhör, som pekar på ett verifierat domännamn i Microsoft Entra-ID.
  • Mer information finns i avsnittet "Konfigurera en tjänstanslutningspunkt" i Självstudie: Konfigurera Microsoft Entra-hybridanslutning för federerade domäner.
• Det gick inte att ansluta till och hämta identifieringsmetadata från identifieringsslutpunkten.
  • Enheten bör kunna komma åt https://enterpriseregistration.windows.net, i systemkontexten, för att identifiera registrerings- och auktoriseringsslutpunkterna.
  • Om den lokala miljön kräver en utgående proxy måste IT-administratören se till att enhetens datorkonto kan identifiera och tyst autentisera till den utgående proxyn.
• Det gick inte att ansluta till användarsfärens slutpunkt och göra sfäridentifiering (endast Windows 10 version 1809 och senare).
  • Enheten ska kunna komma åt https://login.microsoftonline.com, i systemkontexten, att göra sfäridentifiering för den verifierade domänen och fastställa domäntypen (hanterad eller federerad).
  • Om den lokala miljön kräver en utgående proxy måste IT-administratören se till att systemkontexten på enheten kan identifiera och tyst autentisera till den utgående proxyn.

Vanliga felkoder:

Vanliga underfelkoder:

Om du vill hitta underordnad kod för identifieringsfelkoden använder du någon av följande metoder.

Windows 10 version 1803 eller senare

Leta efter "DRS Discovery Test" i avsnittet "Diagnostikdata" i kopplingsstatusutdata. Det här avsnittet visas endast om enheten är domänansluten och inte kan ansluta till Microsoft Entra-hybridanslutningen.

+----------------------------------------------------------------------+
| Diagnostic Data                                                      |
+----------------------------------------------------------------------+

     Diagnostics Reference : www.microsoft.com/aadjerrors
              User Context : UN-ELEVATED User
               Client Time : 2019-06-05 08:25:29.000 UTC
      AD Connectivity Test : PASS
     AD Configuration Test : PASS
        DRS Discovery Test : FAIL [0x801c0021/0x80072ee2]
     DRS Connectivity Test : SKIPPED
    Token acquisition Test : SKIPPED
     Fallback to Sync-Join : ENABLED

+----------------------------------------------------------------------+

Tidigare Windows 10-versioner

Använd Loggboken loggar för att leta efter fasen och felkoden för kopplingsfelen.

1. I Loggboken öppnar du händelseloggarna för registrering av användarenheter. De lagras under Program- och tjänstloggen>Microsoft>Windows>Användarenhetsregistrering.
2. Leta efter händelse-ID 201.

Nätverksfel:

HTTP-fel:

Andra fel:

Autentiseringsfas

Det här innehållet gäller endast federerade domänkonton.

Orsaker till fel:

• Det går inte att hämta en åtkomsttoken tyst för DRS-resursen.
  • Windows 10- och Windows 11-enheter hämtar autentiseringstoken från federationstjänsten med hjälp av integrerad Windows-autentisering till en aktiv WS-Trust-slutpunkt. Mer information finns i Konfiguration av federationstjänst.

Vanliga felkoder:

Använd Loggboken loggar för att hitta felkoden, underordnad kod, serverfelkoden och serverfelmeddelandet.

1. I Loggboken öppnar du händelseloggarna för registrering av användarenheter. De lagras under Program- och tjänstloggen>Microsoft>Windows>Användarenhetsregistrering.
2. Leta efter händelse-ID 305.

Konfigurationsfel:

Nätverksfel:

Andra fel:

Kopplingsfas

Orsaker till fel:

Leta efter registreringstypen och felkoden från följande tabeller, beroende på vilken Windows 10-version du använder.

Windows 10 version 1803 eller senare

Leta efter underavsnittet "Föregående registrering" i avsnittet "Diagnostikdata" i kopplingsstatusutdata. Det här avsnittet visas endast om enheten är domänansluten och inte kan ansluta till Microsoft Entra-hybriden.

Fältet "Registreringstyp" anger typen av koppling.

+----------------------------------------------------------------------+
     Previous Registration : 2019-01-31 09:16:43.000 UTC
         Registration Type : sync
               Error Phase : join
          Client ErrorCode : 0x801c03f2
          Server ErrorCode : DirectoryError
            Server Message : The device object by the given id (aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) is not found.
              Https Status : 400
                Request Id : 6bff0bd9-820b-484b-ab20-2a4f7b76c58e
+----------------------------------------------------------------------+

Tidigare Windows 10-versioner

Använd Loggboken loggar för att hitta fasen och felkoden för kopplingsfelen.

1. I Loggboken öppnar du händelseloggarna för registrering av användarenheter. De lagras under Program- och tjänstloggen>Microsoft>Windows>Användarenhetsregistrering.
2. Leta efter händelse-ID 204.

HTTP-fel som returneras från DRS-servern:

TPM-fel:

Nätverksfel:

Andra fel:

Federerade anslutningsserverfel:

Serverfel för synkroniseringskoppling:

Steg 5: Samla in loggar och kontakta Microsoft Support

1. Ladda ned filen Auth.zip.

2. Extrahera filerna till en mapp, till exempel c:\temp, och gå sedan till mappen.

3. Från en upphöjd Azure PowerShell-session kör du .\start-auth.ps1 -v -accepteula.

4. Välj Växla konto för att växla till en annan session med problemanvändaren.

5. Återskapa problemet.

6. Välj Växla konto för att växla tillbaka till administratörssessionen som kör spårningen.

7. Från den upphöjda PowerShell-sessionen kör du .\stop-auth.ps1.

8. Zip (komprimera) och skicka mappen Authlogs från mappen där skripten kördes.

Felsöka problem med autentisering efter anslutningen

Steg 1: Hämta PRT-statusen med hjälp av dsregcmd /status

1. Öppna Kommandotolken.

   Kommentar

   Om du vill hämta STATUS för primär uppdateringstoken (PRT) öppnar du kommandotolken i kontexten för den inloggade användaren.

2. Kör dsregcmd /status.

   Avsnittet "SSO-tillstånd" innehåller aktuell PRT-status.

   Om fältet AzureAdPrt har angetts till NEJ uppstod ett fel vid anskaffning av PRT-status från Microsoft Entra-ID.

3. Om AzureAdPrtUpdateTime är mer än fyra timmar är det troligtvis ett problem med att uppdatera PRT. Lås och lås upp enheten för att framtvinga PRT-uppdateringen och kontrollera sedan om tiden uppdateras.

+----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+

                AzureAdPrt : YES
      AzureAdPrtUpdateTime : 2020-07-12 22:57:53.000 UTC
      AzureAdPrtExpiryTime : 2019-07-26 22:58:35.000 UTC
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee
             EnterprisePrt : YES
   EnterprisePrtUpdateTime : 2020-07-12 22:57:54.000 UTC
   EnterprisePrtExpiryTime : 2020-07-26 22:57:54.000 UTC
    EnterprisePrtAuthority : https://corp.hybridadfs.contoso.com:443/adfs

+----------------------------------------------------------------------+

Steg 2: Hitta felkoden

Från utdata dsregcmd

Fältet "Försöksstatus" under fältet "AzureAdPrt" ger status för det tidigare PRT-försöket, tillsammans med annan nödvändig felsökningsinformation. För tidigare Windows-versioner extraherar du informationen från Microsoft Entra-analys- och driftloggarna.

+----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+

                AzureAdPrt : NO
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee
     AcquirePrtDiagnostics : PRESENT
      Previous Prt Attempt : 2020-07-18 20:10:33.789 UTC
            Attempt Status : 0xc000006d
             User Identity : john@contoso.com
           Credential Type : Password
            Correlation ID : aaaa0000-bb11-2222-33cc-444444dddddd
              Endpoint URI : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/oauth2/token/
               HTTP Method : POST
                HTTP Error : 0x0
               HTTP status : 400
         Server Error Code : invalid_grant
  Server Error Description : AADSTS50126: Error validating credentials due to invalid username or password.

Från Microsoft Entra-analys och driftloggar

Använd Loggboken för att leta efter loggposterna som loggades av Plugin-programmet Microsoft Entra CloudAP under PRT-förvärvet.

1. Öppna händelseloggarna för Microsoft Entra Operational i Loggboken. De lagras under Program- och tjänstloggen>Microsoft>Windows>AAD.

1. Händelse 1006 i analysloggarna anger starten av PRT-anskaffningsflödet och händelse 1007 i analysloggarna anger slutet på PRT-förvärvsflödet. Alla händelser i Microsoft Entra-loggarna (analys och drift) som loggas mellan händelser 1006 och 1007 loggades som en del av PRT-anskaffningsflödet.

2. Händelse 1007 loggar den slutliga felkoden.

Steg 3: Felsöka ytterligare baserat på felkoden som hittades

Vanliga serverfelkoder

Vanliga nätverksfelkoder

Steg 4: Samla in loggar

Vanliga loggar

1. Gå till för att https://aka.ms/icesdptool automatiskt ladda ned en .cab fil som innehåller diagnostikverktyget.
2. Kör verktyget och återskapa ditt scenario.
3. För Fiddler-spårningar godkänner du certifikatbegäranden som dyker upp.
4. Guiden uppmanar dig att ange ett lösenord för att skydda dina spårningsfiler. Ange ett lösenord.
5. Öppna slutligen mappen där alla insamlade loggar lagras, till exempel %LOCALAPPDATA%\ElevatedDiagnostics\numbers.
6. Kontakta supporten med innehållet i den senaste .cab filen.

Nätverksspårningar

1. Kör netsh trace start scenario=internetClient_dbg capture=yes persistent=yes.
2. Lås och lås upp enheten. För hybrid-anslutna enheter väntar du en minut eller mer så att PRT-förvärvsaktiviteten kan slutföras.
3. Kör netsh trace stop.
4. Dela filen nettrace.cab med Support.

Kända problem

Om du är ansluten till en mobil hotspot eller ett externt Wi-Fi-nätverk och går till Inställningar>Konton>Åtkomst till arbete eller skola kan Microsoft Entra hybridanslutna enheter visa två olika konton, ett för Microsoft Entra-ID och ett för lokal AD. Det här användargränssnittsproblemet påverkar inte funktionaliteten.

Relaterat innehåll

• Felsöka enheter med hjälp dsregcmd av kommandot .
• Gå till Microsoft Error Lookup Tool.