Comment résoudre les problèmes de connectivité de la console Administrateur SMS

Cet article explique comment résoudre les problèmes d’une console Administrateur SMS nouvelle ou existante pour déterminer pourquoi elle ne peut pas se connecter au serveur de site.

Applicabilité : Windows 10 - toutes les éditions, Windows Server 2012 R2
Numéro de la base de connaissances d’origine : 317872

Résumé

Si vous utilisez SMS et que vous essayez de vous connecter au serveur de site, vous pouvez recevoir un message « Échec de la connexion ». Ou bien, les nœuds peuvent ne pas s’afficher une fois que vous êtes connecté. En outre, les erreurs similaires aux suivantes peuvent être enregistrées dans le fichier AdminUI.log sur le serveur :

Erreur : le code d’erreur de connexion de l’interface utilisateur possible est -2147023174 [0x800706ba]

Erreur : le code d’erreur de connexion possible de l’interface utilisateur est -2146959355 [0x80080005]

Erreur : le code d’erreur de connexion possible de l’interface utilisateur est -2147217394

Erreur : Le code d’erreur de connexion possible de l’interface utilisateur est -2147217389[0x80041013] Échec de l’exécution de la méthode GetProviderVersion ! La fonction GetProviderVersion retourne une chaîne vide de ProviderVersion. Échec de l’appel Wbem : T_WbemSyncEnumToContainer_Core, code de retour : -2147217389 Nous ne parvenons pas à obtenir providerVersion. SiteCode - SiteServerName, Version du fournisseur : échec de la définition de la connexion. code d’erreur : -2147217389

Error(ConnectServer) : le code d’erreur de connexion possible de l’interface utilisateur est -2147024891

Erreur : le code d’erreur de connexion de l’interface utilisateur possible est -2147024891 [0x80070005]

[994] [<date><time>] : Error(CheckForDisconnect2) : pointeur de service non valide. La connexion WMI a été supprimée. : -2147024891 [0x80070005]

Plus d’informations

Comment accorder l’accès à la console Administrateur SMS

Pour accéder à une console Administrateur SMS locale ou distante, les utilisateurs doivent être membres du groupe local Administrateurs SMS. Le groupe Administrateurs SMS reçoit explicitement les autorisations Activer le compte et Activer à distance sur l’espace de noms Root\SMS. Le groupe Administrateurs SMS fournit à ses membres un accès au fournisseur SMS via WMI. Ajoutez des utilisateurs au groupe Administrateurs SMS lorsqu’ils doivent accéder à la console Administrateur SMS, mais qu’ils ne doivent pas nécessairement être administrateurs locaux. Si vous souhaitez utiliser un autre groupe local pour accorder l’accès à la console Administrateur SMS, vous devez également accorder à ce groupe local ou de domaine local la même autorisation WMI que le groupe Administrateurs SMS. Pour accorder l’accès à la console Administrateur SMS, procédez comme suit :

1. Créez un groupe global pour le domaine qui contient les utilisateurs qui ont besoin d’un accès spécifique à la console Administrateur SMS.

2. Ajoutez ce groupe global ou le compte d’utilisateur de domaine explicite au groupe Administrateurs SMS local.

3. Configurez les autorisations SMS pour le groupe global que vous avez créé.

   Remarque

   • Pour effectuer cette étape, vous devez être administrateur et disposer des autorisations complètes sur le site.
   • Si vous pouvez vous connecter à la base de données, mais si les nœuds ne sont pas énumérés, examinez les autorisations SMS accordées au groupe global ou à un utilisateur spécifique dans le nœud Sécurité de la console Administrateur SMS. Par exemple, déterminez si le nœud collections, le nœud packages ou d’autres nœuds affichent du contenu.

   Les autorisations que vous accordez dépendent de la fonctionnalité que vous souhaitez que les membres de ce groupe global effectuent. Pour accorder des autorisations, cliquez avec le bouton droit sur le nœud Droits de sécurité dans la console Administrateur SMS, pointez sur Toutes les tâches , puis cliquez sur Gérer les utilisateurs SMS pour démarrer l’Assistant Sécurité.

4. Utilisez l’Assistant pour ajouter, supprimer ou modifier les paramètres de sécurité des utilisateurs et des groupes.

Comment résoudre les problèmes de connectivité de la console Administrateur SMS

Si vous testez une console Administrateur SMS distante, assurez-vous que le dernier Service Pack SMS a été appliqué à cette console. Si le Service Pack n’a pas été appliqué, une erreur semblable à la suivante peut être enregistrée dans le fichier AdminUI.log :

CLASS_SMS_ContextMethods, METHOD_GetContextHandle ! Échec de la définition de la connexion. code d’erreur : -2147217407 Exécutez le programme d’installation à partir de la source du Service Pack pour déterminer si la console Administrateur SMS est le seul composant à mettre à niveau.

Pour résoudre les problèmes de connectivité de la console Administrateur SMS, tenez compte des problèmes suivants :

• Le serveur de site SMS exécute-t-il Microsoft Windows Server 2003 avec Service Pack 1 (SP1) ?

  Dans Windows Server 2003 avec SP1, un groupe local nommé Utilisateurs COM distribués est créé. Pour résoudre le problème de connectivité dans Windows Server 2003 Service Pack 1, ajoutez les utilisateurs qui tentent d’établir des connexions à distance à la console Administrateur SMS au groupe local Utilisateurs COM distribués.

• L’utilisateur est-il membre d’un groupe global membre du groupe Administrateurs SMS, ou l’utilisateur est-il explicitement défini dans le groupe Administrateurs SMS ?

  Le groupe Administrateurs SMS est créé lors de l’installation du site SMS. Si un site a été installé sur un serveur membre, le groupe Administrateurs SMS est un groupe local dans le Gestionnaire des comptes de sécurité (SAM) local. Si un serveur de site est un contrôleur de domaine, le groupe Administrateurs SMS est un groupe local dans le domaine. L’utilisateur doit appartenir au groupe Administrateurs SMS, car ce groupe dispose des autorisations nécessaires pour l’espace de noms SMS et SMS_site code dans le référentiel WMI (Windows Management Instrumentation) lorsque le site SMS est généré.

• Ce serveur a-t-il déjà été installé par SMS ?

  Si le serveur a déjà installé SMS, plusieurs codes de site peuvent figurer dans la classe SMS_ProviderLocation qui se trouve dans l’espace de noms SMS du serveur de site. Supprimez tout code de site qui n’existe plus sur le serveur de site. Vous pouvez utiliser l’outil WBEMtest pour afficher la classe SMS_ProverLocation.

• Sur le serveur de site, vérifiez les paramètres de propriété définis dans l’utilitaire Dcomcnfg.exe.

  Pour afficher les propriétés définies dans l’utilitaire Dcomcnfg.exe, cliquez sur l’onglet Propriétés par défaut, puis confirmez les paramètres suivants :

  1. La zone Activer distributed COM sur cet ordinateur case activée est cochée.
  2. Le niveau d’authentification par défaut est défini sur Se connecter.
  3. Le niveau d’emprunt d’identité par défaut est défini sur Identifier.

• Si vous testez une console Administrateur SMS distante, assurez-vous que le dernier Service Pack SMS a été appliqué à cette console.

  Exécutez le programme d’installation à partir de la source du Service Pack pour déterminer si la console Administrateur SMS est le seul composant à mettre à niveau.

Après avoir considéré ces problèmes, effectuez les procédures de résolution des problèmes décrites dans les sections suivantes.

Résolution des problèmes de connectivité de l’espace de noms SMS

Assurez-vous que l’utilisateur peut se connecter à l’espace de noms SMS et aux espaces de noms SMS_ 'sitecode'. Pour cela, procédez comme suit :

1. Cliquez sur Démarrer, sur Exécuter, puis tapez wbemtest.
2. Cliquez sur Se connecter, tapez \\siteserver\root\sms, puis cliquez sur Connexion.
3. Cliquez sur Classes Enum, sur Récursive, puis sur OK.
4. Dans la liste Résultat de la requête , double-cliquez sur SMS_ProviderLocation.
5. Cliquez sur Instances, puis double-cliquez sur la ligne qui contient le code du site cible. Par exemple, SMS_ProviderLocation.SiteCode="xxx. »
6. Dans la section Propriétés , recherchez la ligne NamespacePath. Vous devrez peut-être double-cliquer sur cette ligne pour afficher la ligne entière.
7. Copiez la valeur NamespacePath dans le Presse-papiers. Par exemple, copiez la valeur suivante :\\ server_name\root\sms\site_xxx.

Si vous effectuez correctement cette procédure, vous pouvez vous connecter au serveur de site et énumérer l’espace de noms SMS.

Comment résoudre les problèmes de connectivité du serveur

Déterminez si vous pouvez vous connecter au serveur sur lequel se trouve le fournisseur. Le serveur est défini dans la valeur NamespacePath que vous avez déterminée dans la section « Résolution des problèmes de connectivité d’espace de noms SMS ». En règle générale, ce serveur est le même serveur.

1. Fermez toutes les fenêtres WBEMtest qui peuvent être ouvertes.
2. Cliquez sur Se connecter, collez le NamespacePath que vous avez copié à l’étape 7, puis cliquez sur Connexion.
3. Cliquez sur Classes Enum, sur Récursive, puis sur OK.
4. Dans la liste Résultat de la requête , double-cliquez sur SMS_Site.

Si vous recevez un message d’erreur « Accès refusé » lorsque vous effectuez cette procédure, cela peut être dû à l’une des causes suivantes :

1. L’Assistant Configuration de la sécurité a été exécuté sur le serveur qui héberge le fournisseur SMS. Toutefois, l’Assistant Configuration de la sécurité ne peut pas reconnaître le fournisseur SMS. Si vous exécutez l’Assistant sur le serveur sur lequel le fournisseur SMS est installé, vous devez activer le service WMI distant dans l’Assistant. Sauf si vous activez WMI distant, la console Administrateur SMS sur le serveur de site et les autres consoles distantes ne peuvent pas se connecter à l’espace de noms SMS dans WMI. Pour activer WMI distant dans l’Assistant, procédez comme suit :

   Sélectionnez WMI distant dans la page Sélectionner l’administration et d’autres options de l’Assistant Configuration de la sécurité.

   Remarque

   Pour plus d’informations sur la façon de sécuriser les systèmes de site SMS, visitez le site Web Microsoft suivant : https://technet.microsoft.com/library/cc179764.aspx

2. Le compte utilisé ne dispose pas des autorisations appropriées pour l’espace de noms du fournisseur. Pour modifier ou vérifier les autorisations, procédez comme suit :

   1. Sur le serveur sur lequel vous avez énuméré le site SMS, cliquez sur Démarrer, sur Exécuter, tapez wmimgmt.msc, puis cliquez sur OK.

   2. Cliquez avec le bouton droit sur Contrôle WMI, puis cliquez sur Propriétés.

   3. Sous l’onglet Sécurité , développez Racine, puis cliquez sur SMS.

   4. Cliquez sur Sécurité dans le volet de résultats pour afficher les autorisations.

   5. Cliquez sur Avancé, sur Administrateurs SMS, puis sur Afficher-modifier.

      Pour l’espace de noms SMS, le groupe Administrateurs SMS doit disposer des autorisations suivantes :

      • Activer le compte
      • Activation à distance

   6. Répétez les étapes a à e pour examiner le groupe Administrateurs SMS pour l’espace de noms SMS_ xxx . (xxx est un espace réservé pour le code de site.) Ensuite, accordez l’autorisation d’activation à distance à l’utilisateur ou au groupe. Si l’utilisateur ou le groupe ne dispose pas des autorisations WMI appropriées dans Sécurité pour l’espace de noms SMS, l’événement suivant peut être enregistré dans le fichier AdminUI.log :

Autres problèmes de sécurité

Utilisez les procédures de résolution des problèmes décrites dans cette section si l’une des conditions suivantes est remplie :

• Les utilisateurs se voient toujours refuser l’accès lorsqu’ils tentent de se connecter à la console une fois que vous avez accordé aux comptes appropriés le droit « Activation à distance » dans la sécurité WMI.
• La console n’est que partiellement disponible.

Vérifier la configuration du Pare-feu Windows

Windows XP SP2 et Windows Server 2003 SP1 incluent la fonctionnalité Pare-feu Windows. Si vous exécutez la console Administrateur SMS sur un ordinateur Windows XP SP2 ou Windows Server 2003 SP1 sur lequel le pare-feu est activé, vous devez activer le programme Unsecapp.exe et le port TCP 135 pour passer par le Pare-feu Windows. Pour cela, procédez comme suit :

1. Cliquez sur Démarrer, sur Exécuter, tapez firewall.cpl, puis cliquez sur OK.

2. Sous l’onglet Général , cliquez sur Activé pour activer le pare-feu. Cliquez pour effacer la zone Ne pas autoriser les exceptions case activée.

3. Sous l’onglet Exceptions , cliquez sur Ajouter un programme.

4. Cliquez sur Parcourir, tapez %windir%\System32\Wbem\Unsecapp.exe dans la zone Nom de fichier, puis cliquez sur Ouvrir. Si vous devez définir l’étendue, cliquez sur Modifier l’étendue, puis sur OK. Cliquez sur OK pour fermer la boîte de dialogue Ajouter un programme .

5. Dans la liste Programmes et services, cliquez pour sélectionner la zone case activéeUnsecapp.exe .

6. Cliquez sur Ajouter un port.

7. Dans la zone Numéro de port , tapez 135. Sélectionnez TCP, puis tapez un nom pour l’exception dans la zone Nom . Si vous devez définir l’étendue, cliquez sur Modifier l’étendue, puis sur OK. Cliquez sur OK pour fermer la boîte de dialogue Ajouter un port .

8. Dans la liste Programmes et services, cliquez pour sélectionner la zone case activée de l’exception que vous avez ajoutée à l’étape 7.

9. Cliquez sur OK.

Vérifier les paramètres de sécurité DCOM

Vous ne pouvez pas résoudre ce problème en ajoutant ces exceptions au Pare-feu Windows. Vous devrez peut-être définir des autorisations distantes anonymes dans DCOM pour l’ordinateur client. Pour ce faire sur l’ordinateur Windows XP SP2 qui exécute la console Administrateur SMS, procédez comme suit :

1. Cliquez sur Démarrer, sur Exécuter, tapez dcomcnfg.exe, puis cliquez sur OK.

2. Recherchez le nœud racine de la console, développez Services de composants, Développez Ordinateurs, puis cliquez sur Poste de travail.

3. Faites un clic droit sur Mon ordinateur, puis cliquez sur Propriétés.

4. Dans Propriétés du poste de travail, cliquez sur l’onglet Sécurité COM .

5. Dans Autorisations d’accès, cliquez sur Modifier les limites.

6. Cliquez sur OUVERTURE DE SESSION ANONYME.

7. Dans Autorisations pour LOGON ANONYME, cliquez sur Autoriser le paramètre pour l’accès à distance.

8. Cliquez sur OK à deux reprises.

9. Restart your computer.

Déterminer si les autorisations DCOM par défaut ont été modifiées

Recherchez la valeur DefaultAccessPermission sous la sous-clé de Registre suivante : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole.

Cela indique que les autorisations DCOM par défaut ont été modifiées. Si cette valeur n’existe pas, les autorisations DCOM par défaut sont appliquées. Pour résoudre ce problème, supprimez la valeur DefaultAccessPermission. Cela réinitialise toutes les autorisations DCOM par défaut. Il s’agit d’une mesure de dernier recours qui n’est pas garantie de corriger le problème.

Pour supprimer la valeur DefaultAccessPermission, procédez comme suit :

1. Cliquez sur Démarrer et sur Exécuter, tapez regedit, puis cliquez sur OK.

2. Recherchez et cliquez sur la sous-clé de Registre suivante : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole.

3. Dans le volet droit, cliquez avec le bouton droit sur DefaultAccessPermission, puis cliquez sur Supprimer.

4. Dans la boîte de dialogue Confirmer la suppression de la valeur , cliquez sur Oui.

5. Fermez l’Éditeur du Registre.

6. Déconnectez-vous de l’ordinateur, puis reconnectez-vous à l’ordinateur.

Inclure le groupe de sécurité Ouverture de session anonyme dans le groupe de sécurité Tout le monde

Si les procédures décrites précédemment ne résolvent pas le problème d’autorisations pour la console Administrateur SMS, il peut être difficile d’effectuer les opérations suivantes :

• Déterminez quelle ressource nécessite un accès anonyme sur l’ordinateur exécutant Windows XP.
• Modifier les autorisations sur toutes les ressources nécessaires Dans ce cas, vous devrez peut-être forcer l’ordinateur exécutant Windows XP à inclure le groupe de sécurité Ouverture de session anonyme dans le groupe de sécurité Tout le monde. Pour prendre en charge cette fonctionnalité, Windows XP inclut l’entrée de Registre EveryoneIncludesAnonymous.

Si l’entrée de Registre EveryoneIncludesAnonymous est définie sur REG_DWORD 0x1, l’autorité de sécurité locale (LSA) inclut l’identificateur de sécurité (SID) du groupe de sécurité Tout le monde dans le jeton d’accès de l’utilisateur anonyme. Pour définir la valeur de l’entrée de Registre EveryoneIncludesAnonymous, utilisez l’une des méthodes suivantes.

Méthode 1 : Définir l’entrée de Registre EveryoneIncludesAnonymous à l’aide des paramètres de sécurité locaux

1. Cliquez sur Démarrer, sur Exécuter, tapez Control admintools, puis cliquez sur OK.

2. Double-cliquez sur Stratégie de sécurité locale ou Stratégie de sécurité du domaine (sur les contrôleurs de domaine uniquement).

3. Double-cliquez sur Stratégies locales, puis sur Options de sécurité.

4. Cliquez avec le bouton droit sur Accès réseau : laissez les autorisations Tout le monde s’appliquer aux utilisateurs anonymes, puis cliquez sur Propriétés.

5. Pour permettre aux utilisateurs anonymes d’être membres du groupe de sécurité Tout le monde, cliquez sur Activé. Pour empêcher l’inclusion du SID de groupe de sécurité Tout le monde dans le jeton d’accès de l’utilisateur anonyme, cliquez sur Désactivé. Il s’agit du paramètre par défaut dans Windows XP.

Méthode 2 : Définissez la valeur de Registre EveryoneIncludesAnonymous à l’aide du registre Rédacteur

1. Cliquez sur Démarrer et sur Exécuter, tapez regedit, puis cliquez sur OK.

2. Recherchez et cliquez sur la clé de Registre suivante : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa.

3. Cliquez avec le bouton droit sur Tout le mondeIncludesAnonyme, puis cliquez sur Modifier.

4. Pour permettre aux utilisateurs anonymes d’être membres du groupe de sécurité Tout le monde, tapez 1 dans la zone Données de la valeur . Pour empêcher l’inclusion du SID du groupe de sécurité Tout le monde dans le jeton d’accès de l’utilisateur anonyme, tapez 0 dans la zone Données de la valeur . Par défaut, la valeur EveryoneIncludesAnonymous est définie sur 0 dans Windows XP.

5. Fermez l’Éditeur du Registre.

6. Redémarrez l'ordinateur.

Tests de connectivité supplémentaires

Démarrez le contrôle WMI sur le serveur de site. Ne démarrez pas le contrôle WMI sur le serveur fournisseur si ce serveur est différent. Cliquez sur l’onglet Journalisation, puis définissez le niveau de journalisation sur Détaillé pour augmenter la journalisation dans le fichier Windows_folder\System32\Wbem\Logs\Wbemcore.log.

Analysez ce journal sur le serveur de site. Vous voyez tout le trafic WMI généré. Recherchez la requête pour SMS_Providerlocation qui se sont produites lorsqu’une console Administrateur SMS a tenté de se connecter. Si cette requête est présente, vous pouvez vérifier qu’il existe une communication entre la console et le serveur de site. Testez la connectivité du serveur de site à la console Administrateur SMS à la demande. La connectivité peut ne pas exister dans les scénarios suivants :

• Le serveur d’appel de procédure distante (RPC) n’est pas disponible.

• Il existe un problème de résolution de noms DNS. Le message d’erreur « Échec de la connexion » peut également se produire si la résolution de noms n’est pas effectuée correctement. Pour déterminer si vous rencontrez un problème de résolution de noms, utilisez l’outil WBEMtest et essayez de vous connecter au serveur de site à l’aide de l’adresse IP. Par exemple, utilisez \111.222.333.444\root\default comme adresse. Si vous pouvez vous connecter lorsque vous utilisez l’adresse IP, mais que vous ne pouvez pas vous connecter lorsque vous utilisez le nom netBIOS du serveur de site, vous rencontrez un problème de résolution de noms. Pour résoudre ce problème, vérifiez les configurations WINS ou DNS.

Lorsque vous développez des nœuds dans une console administrateur SMS distante, le serveur de site SMS établit une connexion DCOM à l’ordinateur sur lequel la console est installée. S’il existe un enregistrement DNS non valide pour l’ordinateur sur lequel la console est installée, le serveur de site SMS peut essayer de se connecter à la mauvaise adresse IP. Lorsque cela se produit, le nœud de console ne parvient pas à se développer et l’ordinateur console enregistre l’erreur « La connexion WMI a été supprimée » dans le AdminUI.log. Pour résoudre ce problème, exécutez la nslookup <console_computer_name> commande pour vous assurer que le nom correspond à l’adresse IP correcte. S’il existe une inscription DNS non valide pour l’ordinateur console, supprimez l’inscription DNS non valide. En outre, déterminez comment l’inscription DNS non valide a été créée pour éviter qu’elle ne se reproduise. Par exemple, l’ordinateur console a peut-être inscrit une adresse VPN, mais l’adresse VPN n’a pas été supprimée du DNS lorsque le VPN a été déconnecté. Après avoir résolu le problème DNS, exécutez la commande suivante à une invite de commandes sur le serveur de site SMS 2003 : ipconfig /flushdns.

Si vous ne pouvez pas résoudre le nom de domaine complet de l’ordinateur Windows XP SP2 à l’aide de DNS, créez une entrée dans le fichier hosts sur le serveur de site SMS 2003 pour mapper le nom de domaine complet de l’ordinateur Windows XP SP2 à son adresse IP.

Problèmes connus avec le serveur Microsoft ISA ou le logiciel VPN de point de contrôle

Si vous ne pouvez pas développer certains nœuds sur une console distante via une connexion à distance à partir d’un ordinateur Windows 2003 SP1, les opérations basées sur les appels de procédure distante peuvent échouer si certains produits de pare-feu et VPN refusent les demandes réseau. Ces demandes réseau peuvent échouer sur les ordinateurs sur lesquels vous appliquez Windows Server 2003 Service Pack 1 (SP1) à un ordinateur Windows Server 2003 ou sur votre support d’installation OEM ou commercial inclut des mises à jour SP1. Les produits suivants peuvent refuser ces demandes réseau :

• Produits de pare-feu ou de réseau privé virtuel (VPN) de Checkpoint Software Technologies
• Microsoft Internet Security and Acceleration (ISA) Server

Ce problème peut également se produire lorsque les conditions suivantes sont remplies :

• La connexion RPC à partir du client se trouve sur le port TCP 135 et est activée.
• La réponse du serveur de site central se trouve sur des ports éphémères situés au-dessus du port 1024, et le pare-feu bloque cette plage de ports. Pour résoudre ce problème, configurez le client et le serveur pour limiter la plage de ports utilisés par la connexion RPC, puis activez cette plage sur le pare-feu. Pour ce faire, utilisez la méthode décrite dans l’article suivant de la Base de connaissances Microsoft : 154596 Comment configurer l’allocation de ports dynamiques RPC pour utiliser des pare-feu

References

Pour plus d’informations sur la façon de sécuriser les connexions WMI distantes, visitez le site web Microsoft suivant : Maintenance de la sécurité WMI.