Risolvere i problemi relativi ai dispositivi aggiunti a Microsoft Entra ibrido

Questo articolo fornisce indicazioni per la risoluzione dei problemi che consentono di risolvere potenziali problemi con i dispositivi che eseguono Windows 10 o versioni successive e Windows Server 2016 o versioni successive.

L’aggiunta ibrida a Microsoft Entra supporta l'aggiornamento di Windows 10 novembre 2015 e versioni successive.

Per risolvere i problemi relativi ad altri client Windows, vedere Risolvere i problemi dei dispositivi aggiunti all'ambiente ibrido di Microsoft Entra.

Questo articolo presuppone che ci siano dei dispositivi ibridi aggiunti a Microsoft Entra per supportare gli scenari seguenti:

• Accesso condizionale basato sul dispositivo
• Enterprise State Roaming
• Windows Hello for Business (Configurare Windows Hello for Business)

Risolvere gli errori di join

Passaggio 1: Recuperare lo stato delle aggiunte

1. Aprire una finestra Prompt dei comandi come amministratore.
2. Digitare dsregcmd /status.

+----------------------------------------------------------------------+
| Device State                                                         |
+----------------------------------------------------------------------+

    AzureAdJoined: YES
 EnterpriseJoined: NO
         DeviceId: 5820fbe9-60c8-43b0-bb11-44aee233e4e7
       Thumbprint: AA11BB22CC33DD44EE55FF66AA77BB88CC99DD00
   KeyContainerId: bae6a60b-1d2f-4d2a-a298-33385f6d05e9
      KeyProvider: Microsoft Platform Crypto Provider
     TpmProtected: YES
     KeySignTest: : MUST Run elevated to test.
              Idp: login.windows.net
         TenantId: aaaabbbb-0000-cccc-1111-dddd2222eeee
       TenantName: Contoso
      AuthCodeUrl: https://login.microsoftonline.com/msitsupp.microsoft.com/oauth2/authorize
   AccessTokenUrl: https://login.microsoftonline.com/msitsupp.microsoft.com/oauth2/token
           MdmUrl: https://enrollment.manage-beta.microsoft.com/EnrollmentServer/Discovery.svc
        MdmTouUrl: https://portal.manage-beta.microsoft.com/TermsOfUse.aspx
  dmComplianceUrl: https://portal.manage-beta.microsoft.com/?portalAction=Compliance
      SettingsUrl: eyJVc{lots of characters}JdfQ==
   JoinSrvVersion: 1.0
       JoinSrvUrl: https://enterpriseregistration.windows.net/EnrollmentServer/device/
        JoinSrvId: urn:ms-drs:enterpriseregistration.windows.net
    KeySrvVersion: 1.0
        KeySrvUrl: https://enterpriseregistration.windows.net/EnrollmentServer/key/
         KeySrvId: urn:ms-drs:enterpriseregistration.windows.net
     DomainJoined: YES
       DomainName: CONTOSO

+----------------------------------------------------------------------+
| User State                                                           |
+----------------------------------------------------------------------+

             NgcSet: YES
           NgcKeyId: {aaaaaaaa-0b0b-1c1c-2d2d-333333333333}
    WorkplaceJoined: NO
      WamDefaultSet: YES
WamDefaultAuthority: organizations
       WamDefaultId: https://login.microsoft.com
     WamDefaultGUID: {B16898C6-A148-4967-9171-64D755DA8520} (AzureAd)
         AzureAdPrt: YES

Passaggio 2: Valutare lo stato delle aggiunte

Esaminare i campi nella tabella seguente e assicurarsi che abbiano i valori previsti:

Continuare con i passaggi successivi per ulteriori operazioni di risoluzione dei problemi.

Passaggio 3: Trovare la fase in cui il join non è riuscito e il codice di errore

Per Windows 10 versione 1803 o successiva

Cercare la sottosezione "Registrazione precedente" nella sezione "Dati di diagnostica" dell'output dello stato di join. Questa sezione viene visualizzata solo se il dispositivo è aggiunto a un dominio e non è possibile accedere all'aggiunta ibrida a Microsoft Entra.

Il campo "Fase errore" indica la fase dell'errore di join e "Client ErrorCode" indica il codice di errore dell'operazione di join.

+----------------------------------------------------------------------+
     Previous Registration : 2019-01-31 09:16:43.000 UTC
         Registration Type : sync
               Error Phase : join
          Client ErrorCode : 0x801c03f2
          Server ErrorCode : DirectoryError
            Server Message : The device object by the given id (e92325d0-xxxx-xxxx-xxxx-94ae875d5245) isn't found.
              Https Status : 400
                Request Id : 6bff0bd9-820b-484b-ab20-2a4f7b76c58e
+----------------------------------------------------------------------+

Per le versioni precedenti di Windows 10

Usare i log del Visualizzatore eventi per individuare la fase e il codice di errore per gli errori di join.

1. Nel Visualizzatore eventi aprire il registro eventi Registrazione dispositivo utente. Vengono archiviati in Registro applicazioni e servizi>Microsoft>Windows>Registrazione dispositivi utente.
2. Cercare gli eventi con gli ID evento seguenti: 304, 305 e 307.

Passaggio 4: Verificare le possibili cause e risoluzioni

Fase di controllo preliminare

Possibili cause di errore:

• Il dispositivo non comunica con il controller di dominio.
  • Il dispositivo deve trovarsi nella rete interna dell'organizzazione o in una rete privata virtuale con una linea di rete a un controller di dominio Active Directory locale.

Fase di individuazione

Possibili cause di errore:

• L'oggetto punto di connessione del servizio non è configurato correttamente o non può essere letto dal controller di dominio.
  • Un oggetto punto di connessione del servizio valido è necessario nella foresta di Active Directory a cui appartiene il dispositivo, che punta a un nome di dominio verificato in Microsoft Entra ID.
  • Per altre informazioni, vedere la sezione "Configurare un punto di connessione del servizio" di Esercitazione: Configurare l'aggiunta ibrida di Microsoft Entra per i domini federati.
• Errore di connessione e recupero dei metadati di individuazione dall'endpoint di individuazione.
  • Il dispositivo deve essere in grado di accedere a https://enterpriseregistration.windows.net, nel contesto di sistema, per individuare gli endpoint di registrazione e autorizzazione.
  • Se l'ambiente locale richiede un proxy in uscita, l'amministratore IT deve assicurarsi che l'account computer del dispositivo sia in grado di individuare e autenticare automaticamente il proxy in uscita.
• Impossibile connettersi all'endpoint dell'area di autenticazione utente ed eseguire l'individuazione dell'area di autenticazione (solo Windows 10 versione 1809 e versioni successive).
  • Il dispositivo deve essere in grado di accedere a https://login.microsoftonline.com, nel contesto di sistema, per eseguire l'individuazione dell'area di autenticazione per il dominio verificato e determinare il tipo di dominio (gestito o federato).
  • Se l'ambiente locale richiede un proxy in uscita, l'amministratore IT deve assicurarsi che l'account computer del dispositivo sia in grado di individuare e autenticare automaticamente il proxy in uscita.

Codici di errore comuni:

Codici di errore secondari comuni:

Per trovare il codice suberrore per il codice di errore di individuazione, usare uno dei metodi seguenti.

Windows 10 versione 1803 o successive

Cercare "Test individuazione DRS" nella sezione "Dati di diagnostica" dell'output dello stato di join. Questa sezione viene visualizzata solo se il dispositivo è aggiunto a un dominio e non è possibile accedere all'aggiunta ibrida a Microsoft Entra.

+----------------------------------------------------------------------+
| Diagnostic Data                                                      |
+----------------------------------------------------------------------+

     Diagnostics Reference : www.microsoft.com/aadjerrors
              User Context : UN-ELEVATED User
               Client Time : 2019-06-05 08:25:29.000 UTC
      AD Connectivity Test : PASS
     AD Configuration Test : PASS
        DRS Discovery Test : FAIL [0x801c0021/0x80072ee2]
     DRS Connectivity Test : SKIPPED
    Token acquisition Test : SKIPPED
     Fallback to Sync-Join : ENABLED

+----------------------------------------------------------------------+

Versioni precedenti di Windows 10

Usare i log del Visualizzatore eventi per cercare la fase e il codice di errore per gli errori di join.

1. Nel Visualizzatore eventi aprire il registro eventi Registrazione dispositivo utente. Vengono archiviati in Registro applicazioni e servizi>Microsoft>Windows>Registrazione dispositivi utente.
2. Cercare l'ID evento 201.

Errori di rete:

Errori HTTP:

Altri errori:

Fase di autenticazione

Questo contenuto si applica solo agli account di dominio federati.

Motivi dell'errore:

• Impossibile ottenere automaticamente un token di accesso per la risorsa DRS.
  • I dispositivi Windows 10 e Windows 11 acquisiscono il token di autenticazione dal servizio federativo usando l'autenticazione integrata di Windows a un endpoint WS-Trust attivo. Per altre informazioni, vedere Configurazione del servizio federativo.

Codici errore comuni:

Usare i log del Visualizzatore eventi per individuare il codice di errore, il codice di errore secondario, il codice di errore del server e il messaggio di errore del server.

1. Nel Visualizzatore eventi aprire il registro eventi Registrazione dispositivo utente. Vengono archiviati in Registro applicazioni e servizi>Microsoft>Windows>Registrazione dispositivi utente.
2. Cercare l'ID evento 305.

Errori di configurazione:

Errori di rete:

Altri errori:

Fase di join

Motivi dell'errore:

Cercare il tipo di registrazione e il codice di errore delle tabelle seguenti, a seconda della versione di Windows 10 in uso.

Windows 10 versione 1803 o successive

Cercare la sottosezione "Registrazione precedente" nella sezione "Dati di diagnostica" dell'output dello stato di join. Questa sezione viene visualizzata solo se il dispositivo è aggiunto a un dominio e non è in grado di aggiungere Microsoft Entra ibrido.

Il campo "Tipo di registrazione" indica il tipo di join.

+----------------------------------------------------------------------+
     Previous Registration : 2019-01-31 09:16:43.000 UTC
         Registration Type : sync
               Error Phase : join
          Client ErrorCode : 0x801c03f2
          Server ErrorCode : DirectoryError
            Server Message : The device object by the given id (aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) is not found.
              Https Status : 400
                Request Id : 6bff0bd9-820b-484b-ab20-2a4f7b76c58e
+----------------------------------------------------------------------+

Versioni precedenti di Windows 10

Usare i log del Visualizzatore eventi per individuare la fase e il codice di errore per gli errori di join.

1. Nel Visualizzatore eventi aprire il registro eventi Registrazione dispositivo utente. Vengono archiviati in Registro applicazioni e servizi>Microsoft>Windows>Registrazione dispositivi utente.
2. Cercare l'ID evento 204.

Gli errori HTTP restituiti dal server DRS:

Errori TPM:

Errori di rete:

Altri errori:

Errori del server di aggiunta federati:

Errori del server di aggiunta alla sincronizzazione:

Passaggio 5: Raccogliere i log e contattare il supporto tecnico Microsoft

1. Scaricare il file Auth.zip.

2. Estrarre i file in una cartella, ad esempio c:\temp, e quindi passare alla cartella.

3. Da una sessione di Azure PowerShell con privilegi elevati eseguire .\start-auth.ps1 -v -accepteula.

4. Selezionare Cambia account per passare a un'altra sessione con l'utente del problema.

5. Riprodurre il problema.

6. Selezionare Cambia account per tornare alla sessione di amministrazione che esegue la traccia.

7. Dalla sessione di PowerShell con privilegi elevati eseguire .\stop-auth.ps1.

8. Zippare (comprimere) e inviare i log di autenticazione della cartella dalla cartella in cui sono stati eseguiti gli script.

Risolvere i problemi di autenticazione post-join

Passaggio 1: Recuperare lo stato PRT usando dsregcmd /status

1. Aprire una finestra del prompt dei comandi.

   Nota

   Per ottenere lo stato del token di aggiornamento primario (PRT), aprire la finestra del prompt dei comandi nel contesto dell'utente connesso.

2. Eseguire dsregcmd /status.

   La sezione "Stato SSO" fornisce lo stato PRT corrente.

   Se il campo AzureAdPrt è impostato su NO, si è verificato un errore durante l'acquisizione dello stato PRT da Microsoft Entra ID.

3. Se AzureAdPrtUpdateTime è superiore a quattro ore, è probabile che si verifichi un problema con l'aggiornamento della richiesta pull. Bloccare e sbloccare il dispositivo per forzare l'aggiornamento PRT e quindi verificare se l'ora viene aggiornata.

+----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+

                AzureAdPrt : YES
      AzureAdPrtUpdateTime : 2020-07-12 22:57:53.000 UTC
      AzureAdPrtExpiryTime : 2019-07-26 22:58:35.000 UTC
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee
             EnterprisePrt : YES
   EnterprisePrtUpdateTime : 2020-07-12 22:57:54.000 UTC
   EnterprisePrtExpiryTime : 2020-07-26 22:57:54.000 UTC
    EnterprisePrtAuthority : https://corp.hybridadfs.contoso.com:443/adfs

+----------------------------------------------------------------------+

Passaggio 2: Trovare il codice di errore

Dall'output dsregcmd

Il campo "Stato tentativo" nel campo "AzureAdPrt" fornisce lo stato del tentativo di aggiornamento primario precedente, insieme ad altre informazioni di debug necessarie. Per le versioni precedenti di Windows, estrarre le informazioni dai log operativi e di analisi di Microsoft Entra.

+----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+

                AzureAdPrt : NO
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee
     AcquirePrtDiagnostics : PRESENT
      Previous Prt Attempt : 2020-07-18 20:10:33.789 UTC
            Attempt Status : 0xc000006d
             User Identity : john@contoso.com
           Credential Type : Password
            Correlation ID : aaaa0000-bb11-2222-33cc-444444dddddd
              Endpoint URI : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/oauth2/token/
               HTTP Method : POST
                HTTP Error : 0x0
               HTTP status : 400
         Server Error Code : invalid_grant
  Server Error Description : AADSTS50126: Error validating credentials due to invalid username or password.

Dai log operativi e di analisi di Microsoft Entra

Usare visualizzatore eventi per cercare le voci di log registrate dal plug-in Microsoft Entra CloudAP durante l'acquisizione della richiesta pull.

1. Nel Visualizzatore eventi aprire i registri eventi di Microsoft Entra Operational. Vengono archiviati in Registri applicazioni e servizi>Microsoft>Windows>AAD.

1. L'evento 1006 nei log di analisi indica l'inizio del flusso di acquisizione della richiesta pull e l'evento 1007 nei log di analisi indica la fine del flusso di acquisizione PRT. Tutti gli eventi nei log di Microsoft Entra (analisi e operativi) registrati tra gli eventi 1006 e 1007 sono stati registrati come parte del flusso di acquisizione PRT.

2. L'evento 1007 registra il codice di errore finale.

Passaggio 3: Risolvere altri problemi, in base al codice di errore trovato

Codici di errore comuni del server

Codici di errore di rete comuni

Passaggio 4: Raccogliere i log

Log regolari

1. Passare a https://aka.ms/icesdptool per scaricare automaticamente un file .cab contenente lo strumento di diagnostica.
2. Eseguire lo strumento e riprovare lo scenario.
3. Per le tracce di Fiddler, accettare le richieste di certificato visualizzate.
4. La procedura guidata richiede una password per proteggere i file di traccia. Specificare una password.
5. Aprire infine la cartella in cui sono archiviati tutti i log raccolti, ad esempio %LOCALAPPDATA%\ElevatedDiagnostics\numbers.
6. Contattare il supporto tecnico con il contenuto del file .cab più recente.

Tracce di rete

1. Eseguire netsh trace start scenario=internetClient_dbg capture=yes persistent=yes.
2. Bloccare e sbloccare il dispositivo. Per i dispositivi aggiunti all'ambiente ibrido, attendere un minuto o più per consentire il completamento dell'attività di acquisizione PRT.
3. Eseguire netsh trace stop.
4. Condividere il file nettrace.cab con il supporto.

Problemi noti

Se si è connessi a un hotspot per dispositivi mobili o a una rete Wi-Fi esterna e si va a Impostazioni>Account>Accesso aziendale o dell'istituto di istruzione, i dispositivi aggiunti a Microsoft Entra ibrido potrebbero mostrare due account diversi, uno per Microsoft Entra ID e uno per AD locale. Questo problema dell'interfaccia utente non influisce sulle funzionalità.

Contenuto correlato

• Risolvere i problemi dei dispositivi usando il comando dsregcmd.
• Passare allo strumento di ricerca degli errori Microsoft.