Не удается запустить winrm quickconfig на Windows 2003 R2 Server

Question

Я не могу запустить winrm qc на моем сервере W2K3 R2. Служба WinRM работает. При запуске quickconfig я получаю следующую ошибку: Номер ошибки: -2144108387 0x8033809D

Вывод ошибки всей командной строки:

PS C:\Documents and Settings\admin314> winrm qc  
WinRM already is set up to receive requests on this machine.  
WSManFault  
Message = WinRM cannot process the request. The following error occured while using Negotiate authentication: An unknown security error occurred.  
Possible causes are:  
-The user name or password specified are invalid.  
-Kerberos is used when no authentication method and no user name are specified.  
-Kerberos accepts domain user names, but not local user names.  
-The Service Principal Name (SPN) for the remote computer name and port does not exist.  
-The client and remote computers are in different domains and there is no trust between the two domains.  
After checking for the above issues, try the following:  
-Check the Event Viewer for events related to authentication.  
-Change the authentication method; add the destination computer to the WinRM TrustedHosts configuration setting or use HTTPS transport.  
Note that computers in the TrustedHosts list might not be authenticated.  
-For more information about WinRM configuration, run the following command: winrm help config.  

Error number:  -2144108387 0x8033809D  
An unknown security error occurred.  

Answer 1

Решение заключается в добавлении правильных SPN (имен участников службы). Мне не хватало имени участника-службы HTTP / server1. Поэтому я скачал пакет поддержки Microsoft Windwos Server 2003 и использовал "setspn.exe".

Сначала я использовал опцию списка (setspn.exe -L server1), чтобы увидеть имена участников-служб (где я обнаружил, что HTTP отсутствует), а затем я добавил опцию HTTP для нужного сервера (setspn.exe -A HTTP/Server1 Server1 и setspn.exe -A HTTP/Server1.cz Serve1

Надеюсь, это кому-нибудь поможет.

Answer 2

На случай, если у кого-то возникнет эта проблема на сервере Server 2012 или Server 2012 R2, где он должен был специально установить список включения IP-адресов для HTTP, то есть:

netsh http add iplisten 192.168.1.1

, вам потребуетсятакже добавьте

netsh http add iplisten 127.0.0.1

Публикация здесь, поскольку эта страница была четвертым результатом, который я получил, когда гуглил номер ошибки 'winrm qc', который я получил (номер ошибки: -2144108526 0x80338012), и надеюсь, что это сэкономит кому-то ещебудущее.

Answer 3

Если вы выполните эту команду в консоли Powershell:

PS C:\Windows\system32> winrm quickconfig

, вы можете получить эту ошибку:

WinRM не может обработать запрос.Следующая ошибка произошла при использовании согласования проверки подлинности: произошла неизвестная ошибка безопасности.

И вы можете получить этот номер ошибки:

Error number:  -2144108387 0x8033809D 
An unknown security error occurred.

Эта проблема возникает из-за двух или более учетных записей компьютеровиметь такое же зарегистрированное имя участника службы (SPN).Событие с идентификатором 11 регистрируется, когда Центр распространения ключей (KDC) получает запрос на получение билетов, и соответствующее имя участника-службы существует более одного раза, когда оно проверяется в глобальном каталоге (GC) для проверки в масштабе леса.

Рекомендуемые действия
Убедитесь, что WinRM установлен и работает на сервере% server.Для получения дополнительной информации используйте команду "winrm helpmsg hrresult".

Следующее событие также может быть зарегистрировано в журнале системных событий (eventvwr):

Log Name: System  
Source:            Microsoft-Windows-Security-Kerberos   
Date:                23/04/2009 2:08:30 PM  
Event ID:         4  
Task Category:           None  
Level:               Error  
Keywords:        Classic  
User:                N/A  
Computer:      %server%.  
Description:  The Kerberos client received a KRB_AP_ERR_MODIFIED error from the server %server%. The target name used was HTTP/%server%.
This indicates that the target server failed to decrypt the ticket provided by the client. This can occur when the target server principal name (SPN) is registered on an account other than the account the target service is using. 
Please ensure that the target SPN is registered on, and only registered on, the account used by the server. This error can also happen when the target service is using a different password for the target service account than what the Kerberos Key Distribution Center (KDC) has for the target service account. 
Please ensure that the service on the server and the KDC are both updated to use the current password. If the server name is not fully qualified, and the target domain (DOMAIN.COM) is different from the client domain (DOMAIN.COM), check if there are identically named server accounts in these two domains, or use the fully-qualified name to identify the server.  

Имейте в виду, что вы делаете, открывая WinRM через HTTP / HTTPS.Проверьте, для чего настроен ваш сервер (80 или 443, или оба), просмотрите имя участника-службы и добавьте необходимое.

Вы можете загрузить «Пакет поддержки Microsoft Windows Server 2003» ииспользовал команду " setspn.exe " для добавления правильных имен участников-служб (имена участников службы).

Для просмотра (только для чтения)

setspn.exe -L MACHINENAME  

Просмотр результатов для HTTPЗаписи / HTTPS (или любые их дубликаты), в которых вы обнаружили, что отсутствует HTTP.

Добавьте отсутствующие имена:

setspn -A HTTP/machinename  
setspn -A HTTP/machinename.fqdn.com  
setspn -A HTTPS/machinename  
setspn -A HTTPS/machinename.fqdn.com  

Они повторяют ваши быстрые настройки.

Дополнительные ссылки:
http://blog.chrislehr.com/2012/06/winrm-quickconfig-failing-with.html
http://support.microsoft.com/default.aspx?scid=kb;EN-US;970923

Answer 4

Я видел сбой, если брандмауэр включен и работает.Вы можете отключить брандмауэр и запустить winrm qc или выполнить следующие ручные команды

sc config "WinRM" start= auto

net start WinRM

winrm create winrm/config/listener?Address=*+Transport=HTTP

netsh firewall add portopening TCP 80 "Windows Remote Management"

Answer 5

Если вы используете PowerShell 2.0, можете ли вы попробовать Enable-PSRemoting -Force с консоли PowerShell с повышенными привилегиями?Это выполнит быструю настройку WinRM и расскажет вам больше об ошибке, если таковая имеется.