Jsou zaznamenány události SceCli 1202, při každém aktualizaci nastavení počítače Zásady skupiny v počítači se systémem Windows Server 2008 R2 nebo Windows 7

Příznaky

Jde o takovouto situaci:

• V počítačích se systémem Windows Server 2008 R2 nebo Windows 7 pomocí Editoru správy Zásady skupiny ke správě objektu Zásady skupiny (GPO).

• Mnoho změn "Přiřazení uživatelských práv" nastavení v objektu zásad skupiny a tato nastavení mají SID-service definovány.

V tomto scénáři při použití Zásady skupiny, může dojít k následujícím problémům:

• Je události SceCli 1202 přidána do protokolu událostí aplikace:
  
  Následuje příklad položky protokolu události SceCli 1202:

• Některé aplikace nebo služby nemusí spustit. Tyto aplikace nebo služby slouží ke konfiguraci nastavení zabezpečení SID-service.
  
  Například:

  1. Na serveru se systémem Windows Server 2008 R2 členské instalaci služba Active Directory Domain Services.

  2. Provést změnu na "Přiřazení uživatelských práv" nastavení v objektu zásad skupiny z počítače se systémem Windows Server 2008 R2 nebo Windows 7.

  3. Tento objekt GPO se použije řadič domény se systémem Windows Server 2008 R2.

  V takovém případě dojde k problému. Některé služby, například "Hostitel diagnostického systému" službu nelze spustit z důvodu problému.

Příčina

Pokud Editor Správa Zásady skupiny upraví nastavení ve skupinových rámečcích Přiřazení uživatelských práv, převádí-service SID na názvy služeb. Například název služby "WdiSystemHost".

Editor pro správu Zásady skupiny nepřidá předponu "NT služba" na název služby při vyhledávání v interní doméně (služba NT). Editor pro správu Zásady skupiny název dříve analyzovanou zapíše zpět do souboru GptTmpl.inf, pokusí vyřešit pouze název "WdiSystemHost" proti výchozí doménu služby Active Directory. Avšak tento pokus se nezdaří. Navíc je řetězec "WdiSystemHost" zapsán do souboru GptTmpl.inf namísto identifikátor SID. Toto chování nahradí identifikátor SID za služby název služby.



Dojde-li k další aktualizaci zásad, aktualizace se pokusí přeložit název služby na identifikátor SID, jako by šlo o uživatelský nebo skupinový účet. To však nedokáže a chybě 0x534 "žádné mapování mezi názvy účtů a ID zabezpečení"nebylo provedeno.

Řešení

Poznámka: Opravy hotfix automaticky tento problém nevyřeší. Po instalaci této opravy hotfix, musí ručně připojit přímo v souboru GptTmpl.inf "NT SERVICE\". Například je nutné nahradit "WdiSystemHost" s "NT SERVICE\WdiSystemHost" pomocí Editoru místních Zásady skupiny.

Společnost Microsoft má k dispozici podporovanou opravu hotfix. Tato oprava hotfix je však určena pouze problému popsanému v tomto článku. Tuto opravu hotfix instalujte pouze do systémů, ve kterých dochází k potížím popsaným v tomto článku. Tato oprava hotfix může být dále testována. Proto pokud nejste vážně ohrožen tímto problémem, doporučujeme počkat na další aktualizaci softwaru, která obsahuje tuto opravu hotfix.

Pokud je oprava hotfix k dispozici ke stažení, je v horní části tohoto článku znalostní báze Knowledge Base oddíl "Oprava Hotfix je dostupná ke stažení" . Pokud tato sekce není uvedena, obraťte se na Zákaznický servis a podporu společnosti Microsoft k získaní opravy hotfix.

Poznámka: Pokud nastanou další problémy nebo bude nutné další řešení potíží, bude možná třeba vytvořit další samostatný požadavek na služby. Běžná cena za technickou podporu se vztahuje k dodatečným otázkám podpory a k problémům, které se netýkají této konkrétní opravy hotfix. Úplný seznam telefonních čísel služeb zákazníkům společnosti Microsoft a podpoře nebo vytvořit zvláštní požadavek na službu naleznete na následujícím webu společnosti Microsoft:

http://support.microsoft.com/contactus/?ws=supportPoznámka: Ve formuláři „Oprava hotfix je dostupná ke stažení“ se zobrazují jazyky, pro které je oprava hotfix k dispozici. Pokud váš jazyk není zobrazen, to je protože oprava hotfix není k dispozici pro daný jazyk.

Stav

Společnost Microsoft potvrdila, že se jedná o problém v produktech společnosti Microsoft, které jsou uvedeny v části "Platí pro".

Další informace

Po výskytu problému, Winlogon.log souboru se doplňuje následující chybová zpráva:

Poznámka: Soubor Winlogon.log je umístěn v následující složce:

%windir%\security\logs

Pokud otevřete soubor GptTmpl.inf v následující složce související Zásady skupiny, můžete najít některé názvy služeb SQL:

%SYSTEMROOT%\SYSVOL\ < řadičdomény > \Policies\ < jedinečné ID > \Machine\Microsoft\Windows NT\SecEdit

Následuje příklad názvů služby WDI, které se nacházejí v souboru GptTmpl.inf:

[Oprávnění]

SeAssignPrimaryTokenPrivilege = WdiServiceHost,*S-1-5-20,*S-1-5-19

SeChangeNotifyPrivilege = WdiServiceHost,*S-1-5-32-554,*S-1-5-11,*S-1-5-32-544,*S-1-5-20,*S-1-5-19,*S-1-1-0

Poznámka: Opravy hotfix automaticky tento problém nevyřeší. Po instalaci této opravy hotfix, musí ručně připojit přímo v souboru GptTmpl.inf "NT SERVICE\". Například je nutné nahradit "WdiSystemHost" s "NT SERVICE\WdiSystemHost" pomocí Editoru místních Zásady skupiny.

Další informace získáte v následujícím článku znalostní báze Microsoft Knowledge Base:

824684 Popis standardní terminologie používané při popisu aktualizací softwaru společnosti Microsoft