Delen via

Problemen met het primaire verversingstoken oplossen op Windows-apparaten

In dit artikel wordt beschreven hoe u problemen oplost die betrekking hebben op het primaire vernieuwingstoken (PRT) wanneer u zich verifieert op een Windows-apparaat dat is toegevoegd aan Microsoft Entra met behulp van uw Microsoft Entra-referenties.

Op apparaten die zijn gekoppeld aan Microsoft Entra ID of hybride Microsoft Entra-id, is het belangrijkste onderdeel van verificatie de PRT. U verkrijgt dit token door u voor het eerst aan te melden bij Windows 10 met behulp van Microsoft Entra-referenties op een apparaat dat is toegevoegd aan Microsoft Entra. De PRT wordt op dat apparaat in de cache opgeslagen. Voor volgende aanmeldingen wordt het token in de cache gebruikt om u het bureaublad te laten gebruiken.

Als onderdeel van het proces van het vergrendelen en ontgrendelen van het apparaat of het opnieuw aanmelden bij Windows, wordt er elke vier uur een poging gedaan om de PRT te vernieuwen. Als er problemen optreden waardoor het token niet kan worden vernieuwd, verloopt de PRT uiteindelijk. Vervaldatum is van invloed op eenmalige aanmelding (SSO) bij Microsoft Entra-resources. Het zorgt er ook voor dat aanmeldingsprompts worden weergegeven.

Als u vermoedt dat er een PRT-probleem bestaat, raden we u aan eerst Microsoft Entra-logboeken te verzamelen en de stappen te volgen die worden beschreven in de controlelijst voor probleemoplossing. Doe dit eerst voor elk probleem met de Microsoft Entra client, idealiter binnen een reprosessie. Voltooi dit proces voordat u een ondersteuningsaanvraag indient.

Controlelijst voor probleemoplossing

Stap 1: Haal de status van het primaire vernieuwingstoken op

  1. Meld u aan bij Windows onder het gebruikersaccount waarin u PRT-problemen ondervindt.

  2. Selecteer Start en zoek en selecteer opdrachtprompt.

  3. Voer de opdracht apparaatregistratie (dsregcmd) in om de opdracht voor apparaatregistratie uit te voeren dsregcmd /status.

  4. Zoek de SSO-statussectie van de uitvoer van de opdracht voor apparaatregistratie. In de volgende tekst ziet u een voorbeeld van deze sectie:

    +----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+

                AzureAdPrt : YES
      AzureAdPrtUpdateTime : 2020-07-12 22:57:53.000 UTC
      AzureAdPrtExpiryTime : 2020-07-26 22:58:35.000 UTC
       AzureAdPrtAuthority : https://login.microsoftonline.com/00001111-aaaa-2222-bbbb-3333cccc4444
             EnterprisePrt : YES
   EnterprisePrtUpdateTime : 2020-07-12 22:57:54.000 UTC
   EnterprisePrtExpiryTime : 2020-07-26 22:57:54.000 UTC
    EnterprisePrtAuthority : https://msft.sts.microsoft.com:443/adfs

+----------------------------------------------------------------------+

  5. Controleer de waarde van het AzureAdPrt veld. Als deze optie is ingesteld op NO, is er een fout opgetreden bij het verkrijgen van de PRT-status van Microsoft Entra ID.

  6. Controleer de waarde van het AzureAdPrtUpdateTime veld. Als de waarde van het AzureAdPrtUpdateTime veld meer dan vier uur is, wordt het waarschijnlijk verhinderd dat de PRT wordt vernieuwd door een probleem. Vergrendel en ontgrendel het apparaat om een PRT-vernieuwing af te dwingen en controleer vervolgens of de tijd wordt bijgewerkt.

Stap 2: de foutcode ophalen

De volgende stap is het ophalen van de foutcode die de PRT-fout veroorzaakt. De snelste manier om de PRT-foutcode op te halen, is door de uitvoer van de opdracht voor apparaatregistratie te onderzoeken. Voor deze methode is echter de Windows 10-update van mei 2021 (versie 21H1) of een latere versie vereist. De andere methode is het vinden van de foutcode in analytische en operationele logboeken van Microsoft Entra.

Methode 1: De uitvoer van de apparaatregistratieopdracht onderzoeken

Notitie

Deze methode is alleen beschikbaar als u de Windows 10-update van mei 2021 (versie 21H1) of een nieuwere versie van Windows gebruikt.

Als u de PRT-foutcode wilt ophalen, voert u de dsregcmd opdracht uit en zoekt u de SSO State sectie. In het AzureAdPrt veld bevat het Attempt Status veld de foutcode. In het volgende voorbeeld is 0xc000006dde foutcode .

                AzureAdPrt : NO
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaa0000-bb11-2222-33cc-444444dddddd
     AcquirePrtDiagnostics : PRESENT
      Previous Prt Attempt : 2020-09-18 20:20:09.760 UTC
            Attempt Status : 0xc000006d
             User Identity : user@contoso.com
           Credential Type : Password
            Correlation ID : aaaa0000-bb11-2222-33cc-444444dddddd
              Endpoint URI : https://login.microsoftonline.com/aaaa0000-bb11-2222-33cc-444444dddddd/oauth2/token
               HTTP Method : POST
                HTTP Error : 0x0
               HTTP status : 400
         Server Error Code : invalid_grant
  Server Error Description : AADSTS50126: Error validating credentials due to invalid username or password.

Methode 2: Gebruik de Logboekviewer om analytische en operationele AAD-logboeken te onderzoeken

  1. Selecteer Start en zoek en selecteer Evenementenlogboek.

  2. Als de consolestructuur niet wordt weergegeven in het venster Logboeken, selecteert u het pictogram Consolestructuur weergeven/verbergen om de consolestructuur zichtbaar te maken.

  3. Selecteer Logboekviewer (lokaal) in de consolestructuur. Als subknooppunten niet onder dit item worden weergegeven, dubbelklik op uw selectie om ze weer te geven.

  4. Selecteer het menu Beeld. Als er geen vinkje wordt weergegeven naast Logboeken voor analytische gegevens en foutopsporing, selecteert u dat menu-item om die functie in te schakelen.

  5. In de consoleboom, vouw Toepassingen en Servicelogs>Microsoft>Windows>AAD uit. De kindknooppunten Operationeel en Analytisch worden weergegeven.

    Notitie

    In de invoegtoepassing Microsoft Entra Cloud Authentication Provider (CloudAP) worden foutgebeurtenissen naar de operationele gebeurtenislogboeken geschreven en worden informatiegebeurtenissen naar de analytische gebeurtenislogboeken geschreven. U moet zowel de operationeleals analytische gebeurtenislogboeken onderzoeken om PRT-problemen op te lossen.

  6. Selecteer in de consolestructuur het analytische knooppunt om AAD-gerelateerde analytische gebeurtenissen weer te geven.

  7. Zoek in de lijst met analysegebeurtenissen naar gebeurtenis-id's 1006 en 1007. Gebeurtenis-id 1006 geeft het begin van de PRT-overnamestroom aan en gebeurtenis-id 1007 geeft het einde van de PRT-overnamestroom aan. Alle gebeurtenissen in de AAD-logboeken (zowel analytisch als operationeel) die zijn opgetreden tussen gebeurtenis-id 1006 en gebeurtenis-id 1007, worden geregistreerd als onderdeel van de PULLT-overnamestroom. In de volgende tabel ziet u een voorbeeld van een lijst met gebeurtenissen.

    Niveau Datum en tijd Bron Gebeurtenis-id Taakcategorie
    Informatie 24-6-2020 3:35:35 uur AAD 1006 AadCloudAPPlugin-bewerking
    Gegevens 24-6-2020 3:35:35 uur AAD 1018 AadCloudAPPlugin-bewerking
    Gegevens 24-6-2020 3:35:35 uur AAD 1144 AadCloudAPPlugin-bewerking
    Gegevens 24-6-2020 3:35:35 uur AAD 1022 AadCloudAPPlugin-bewerking
    Fout 24-6-2020 3:35:35 uur AAD 1084 AadCloudAPPlugin-bewerking
    Fout 24-6-2020 3:35:35 uur AAD 1086 AadCloudAPPlugin-bewerking
    Fout 24-6-2020 3:35:35 uur AAD 1160 AadCloudAPPlugin-bewerking
    Informatie 24-6-2020 3:35:35 uur AAD 1007 AadCloudAPPlugin-bewerking
    Gegevens 24-6-2020 3:35:35 uur AAD 1157 AadCloudAPPlugin-bewerking
    Gegevens 24-6-2020 3:35:35 uur AAD 1158 AadCloudAPPlugin-bewerking

  8. Dubbelklik op de rij met gebeurtenis-id 1007. Het dialoogvenster Gebeurteniseigenschappen voor deze gebeurtenis wordt weergegeven.

  9. Kopieer de foutcode in het beschrijvingsvak op het tabblad Algemeen . De foutcode is een tekenreeks van 10 tekens die begint met 0x, gevolgd door een hexadecimaal getal van 8 cijfers.

Stap 3: instructies voor probleemoplossing voor bepaalde foutcodes ophalen

Statuscodes ('STATUS_'-voorvoegsel, codes die beginnen met '0xc000')

STATUS_LOGON_FAILURE (-1073741715 / 0xc000006d),
STATUS_WRONG_PASSWORD (-1073741718 / 0xc000006a)
Oorzaak

  • Het apparaat kan geen verbinding maken met de Microsoft Entra-verificatieservice.

  • Het apparaat heeft een 400 Bad Request HTTP-foutantwoord ontvangen van een van de volgende bronnen:

    • De Microsoft Entra-authenticatieservice
    • Een eindpunt voor het WS-Trust-protocol (vereist voor federatieve verificatie)
Oplossing

  • Als voor de on-premises omgeving een uitgaande proxy is vereist, moet u ervoor zorgen dat het computeraccount van het apparaat de uitgaande proxy kan detecteren en op de achtergrond kan verifiëren.

  • Haal de foutcode en de beschrijving van de server op en ga vervolgens naar de sectie Algemene serverfoutcodes ('AADSTS'-voorvoegsel) om de oorzaak van die serverfoutcode en de oplossingsgegevens te vinden.

    In de operationele logboeken van Microsoft Entra bevat gebeurtenis-id 1081 de foutcode en de beschrijving van de server als de fout optreedt in de Microsoft Entra-verificatieservice. Als de fout optreedt in een WS-Trust-eindpunt, vindt u de serverfoutcode en de beschrijving van de fout in gebeurtenis-id 1088. In de analytische logboeken van Microsoft Entra bevat het eerste exemplaar van gebeurtenis-id 1022 (dat voorafgaat aan operationele gebeurtenis-id's 1081 en 1088) de URL die wordt geopend.

    Als u Gebeurtenis-ID's wilt weergeven in de operationele en analytische logboeken van Microsoft Entra, raadpleegt u de sectie Methode 2: Gebruik de Logboekviewer om de analytische en operationele logboeken van Microsoft Entra te onderzoeken.

STATUS_REQUEST_NOT_ACCEPTED (-1073741616 / 0xc00000d0)
Oorzaak

Het apparaat heeft een 400 Bad Request HTTP-foutantwoord ontvangen van een van de volgende bronnen:

  • De Microsoft Entra-authenticatieservice
  • Een eindpunt voor het WS-Trust-protocol (vereist voor federatieve verificatie)
Oplossing

Haal de foutcode en de beschrijving van de server op en ga vervolgens naar de sectie Algemene serverfoutcodes ('AADSTS'-voorvoegsel) om de oorzaak van die serverfoutcode en de oplossingsgegevens te vinden.

In de operationele logboeken van Microsoft Entra bevat gebeurtenis-id 1081 de foutcode en de beschrijving van de server als de fout optreedt in de Microsoft Entra-verificatieservice. Als de fout optreedt in een WS-Trust-eindpunt, vindt u de serverfoutcode en de beschrijving van de fout in gebeurtenis-id 1088. In de analytische logboeken van Microsoft Entra bevat het eerste exemplaar van gebeurtenis-id 1022 (dat voorafgaat aan operationele gebeurtenis-id's 1081 en 1088) de URL die wordt geopend.

Als u Gebeurtenis-ID's wilt weergeven in de operationele en analytische logboeken van Microsoft Entra, raadpleegt u de sectie Methode 2: Gebruik de Logboekviewer om de analytische en operationele logboeken van Microsoft Entra te onderzoeken.

STATUS_NETWORK_UNREACHABLE (-1073741252 / 0xc000023c),
STATUS_BAD_NETWORK_PATH (-1073741634 / 0xc00000be),
STATUS_UNEXPECTED_NETWORK_ERROR (-1073741628 / 0xc00000c4)
Oorzaak

  • Het apparaat heeft een 4xx HTTP-foutantwoord ontvangen van een van de volgende bronnen:

    • De Microsoft Entra-authenticatieservice
    • Een eindpunt voor het WS-Trust-protocol (vereist voor federatieve verificatie)

  • Er bestaat een probleem met de netwerkverbinding met een vereist eindpunt.

Oplossing

  • Haal de foutcode en de beschrijving van de server op en ga vervolgens naar de sectie Algemene serverfoutcodes ('AADSTS'-voorvoegsel) om de oorzaak van die serverfoutcode en de oplossingsgegevens te vinden.

    In de operationele logboeken van Microsoft Entra bevat gebeurtenis-id 1081 de foutcode en de beschrijving van de server als de fout optreedt in de Microsoft Entra-verificatieservice. Als de fout optreedt in een WS-Trust-eindpunt, vindt u de serverfoutcode en de beschrijving van de fout in gebeurtenis-id 1088.

  • Voor een probleem met de netwerkverbinding haalt u de URL op die wordt geopend en de subfoutcode van de netwerkstack. Gebeurtenis-id 1022 in de analytische logboeken van Microsoft Entra bevat de URL die wordt geopend. Gebeurtenis-id 1084 in de operationele logboeken van Microsoft Entra bevat de subfoutcode van de netwerkstack.

Als u Gebeurtenis-ID's wilt weergeven in de operationele en analytische logboeken van Microsoft Entra, raadpleegt u de sectie Methode 2: Gebruik de Logboekviewer om de analytische en operationele logboeken van Microsoft Entra te onderzoeken.

STATUS_NO_SUCH_LOGON_SESSION (-1073741729 / 0xc000005f)
Oorzaak

De detectie van de gebruikersrealm is mislukt omdat de Microsoft Entra-verificatieservice het domein van de gebruiker niet kan vinden.

Oplossing

Veelvoorkomende foutcodes van de CloudAP-invoegtoepassing ('AAD_CLOUDAP_E_', codes die beginnen met '0xc004')

AAD_CLOUDAP_E_OAUTH_USERNAME_IS_MALFORMED (-1073445812 / 0xc004844c)
Oorzaak

De UPN voor de gebruiker heeft niet de verwachte indeling. De UPN-waarde is afhankelijk van het apparaattype, zoals wordt weergegeven in de volgende tabel.

Type apparaatdeelname UPN-waarde
Aan Microsoft Entra gekoppelde apparaten De tekst die wordt ingevoerd wanneer de gebruiker zich aanmeldt
Microsoft Entra hybride verbonden apparaten De UPN die door de domeincontroller wordt geretourneerd tijdens het aanmeldingsproces
Oplossing
AAD_CLOUDAP_E_OAUTH_USER_SID_IS_EMPTY (-1073445822 / 0xc0048442)
Oorzaak

De gebruikersbeveiligings-id (SID) ontbreekt in het id-token dat de Microsoft Entra-verificatieservice retourneert.

Oplossing

Zorg ervoor dat de netwerkproxy het antwoord van de server niet beïnvloedt of wijzigt.

AAD_CLOUDAP_E_WSTRUST_SAML_TOKENS_ARE_EMPTY (-1073445695 / 0xc00484c1 / 0x800484c1)
Oorzaak

U hebt een fout ontvangen van het eindpunt van het WS-Trust-protocol (vereist voor federatieve verificatie).

Oplossing
AAD_CLOUDAP_E_HTTP_PASSWORD_URI_IS_EMPTY (-1073445749 / 0xc004848b)
Oorzaak

Het MEX-eindpunt (Metadata Exchange) is onjuist geconfigureerd. Het MEX-antwoord bevat geen wachtwoord-URL's.

Oplossing

  • Zorg ervoor dat de netwerkproxy het antwoord van de server niet beïnvloedt of wijzigt.

  • Herstel de MEX-configuratie om geldige URL's in het antwoord te retourneren.

AAD_CLOUDAP_E_HTTP_CERTIFICATE_URI_IS_EMPTY (-1073445748 / 0xc004848c)
Oorzaak

Het MEX-eindpunt (Metadata Exchange) is onjuist geconfigureerd. Het MEX-antwoord bevat geen certificaateindpunt-URL's.

Oplossing

  • Zorg ervoor dat de netwerkproxy het antwoord van de server niet beïnvloedt of wijzigt.

  • Herstel de MEX-configuratie in de id-provider om geldige certificaat-URL's in het antwoord te retourneren.

Veelvoorkomende XML-foutcodes (codes die beginnen met '0xc00c')

WC_E_DTDPROHIBITED (-1072894385 / 0xc00cee4f)
Oorzaak

Het XML-antwoord van het eindpunt van het WS-Trust-protocol (vereist voor federatieve verificatie) bevat een definitie van het documenttype (DTD). De DTD wordt niet verwacht in het XML-antwoord en het parseren van antwoorden mislukt als de DTD is opgenomen.

Oplossing

Veelvoorkomende serverfoutcodes ('AADSTS'-voorvoegsel)

U vindt een volledige lijst en beschrijving van serverfoutcodes in Microsoft Entra-verificatie- en autorisatiefoutcodes.

AADSTS50155: Apparaatverificatie is mislukt
Oorzaak
Oplossing

Registreer het apparaat opnieuw op basis van het apparaatdeelnametype. Zie Ik heb mijn apparaat uitgeschakeld of verwijderd voor instructies. Maar de lokale status op het apparaat zegt dat het nog steeds is geregistreerd. Wat moet ik doen?

AADSTS50034: Het gebruikersaccount <Account> bestaat niet in de directory van <tenant-id>
Oorzaak

Microsoft Entra ID kan het gebruikersaccount niet vinden in de tenant.

Oplossing
AADSTS50126: Fout bij het valideren van referenties vanwege een ongeldige gebruikersnaam of wachtwoord
Oorzaak

  • De gebruiker heeft een onjuiste gebruikersnaam of een onjuist wachtwoord ingevoerd in de aanmeldingsgebruikersinterface.

  • Het wachtwoord is niet gesynchroniseerd met Microsoft Entra-id vanwege het volgende scenario:

    • De tenant heeft wachtwoord-hashsynchronisatie ingeschakeld.
    • Het apparaat is een hybride verbonden apparaat van Microsoft Entra.
    • De gebruiker heeft het wachtwoord onlangs gewijzigd.
Oplossing

Als u een nieuwe PRT met de nieuwe inloggegevens wilt verkrijgen, wacht dan totdat de synchronisatie van Microsoft Entra is voltooid.

Algemene netwerkfoutcodes (voorvoegsel 'ERROR_WINHTTP_')

In Foutberichten (Winhttp.h) vindt u een volledige lijst en beschrijving van netwerkfoutcodes.

ERROR_WINHTTP_TIMEOUT (12002),
ERROR_WINHTTP_NAME_NOT_RESOLVED (12007)
ERROR_WINHTTP_CANNOT_CONNECT (12029),
ERROR_WINHTTP_CONNECTION_ERROR (12030)
Oorzaak

Veelvoorkomende algemene problemen met betrekking tot het netwerk.

Oplossing

  • Haal de URL op die wordt geopend. U vindt de URL in gebeurtenis-id 1084 van het operationele Microsoft Entra-logboek of gebeurtenis-id 1022 van het analyselogboek van Microsoft Entra.

    Als u Gebeurtenis-ID's wilt weergeven in de operationele en analytische logboeken van Microsoft Entra, raadpleegt u de sectie Methode 2: Gebruik de Logboekviewer om de analytische en operationele logboeken van Microsoft Entra te onderzoeken.

  • Als voor de on-premises omgeving een uitgaande proxy is vereist, moet u ervoor zorgen dat het computeraccount van het apparaat de uitgaande proxy kan detecteren en op de achtergrond kan verifiëren.

  • Verzamel netwerktraceringen door de volgende stappen uit te voeren:

    Belangrijk

    Gebruik Fiddler niet tijdens deze procedure.

    1. Voer de volgende netsh trace start-opdracht uit :

      netsh trace start scenario=InternetClient_dbg capture=yes persistent=yes

    2. Vergrendel het apparaat.

    3. Als het apparaat een Microsoft Entra hybride gekoppeld apparaat is, wacht dan ten minste 60 seconden om de PRT-acquisitietaak te laten voltooien.

    4. Ontgrendel het apparaat.

    5. Voer de volgende netsh trace stop-opdracht uit:

      netsh trace stop

Stap 4: De logboeken en traceringen verzamelen

Normale logboeken

  1. Download het Auth-scriptarchief en pak de scripts uit in een lokale map. Als dit nodig is, raadpleegt u de gebruiksinstructies in KB 4487175.

  2. Open een PowerShell-sessie met beheerdersrechten en wijzig de huidige map in de map waarin u de verificatiescripts hebt opgeslagen.

  3. Voer de volgende opdracht in om de sessie voor fouttracering te starten:

    .\Start-auth.ps1 -v -acceptEULA

  4. Schakel het Windows-gebruikersaccount om naar de sessie van uw probleemgebruiker te gaan.

  5. Vergrendel het apparaat.

  6. Als het apparaat een Microsoft Entra hybride gekoppeld apparaat is, wacht dan ten minste 60 seconden om de PRT-acquisitietaak te laten voltooien.

  7. Ontgrendel het apparaat.

  8. Schakel het Windows-gebruikersaccount terug naar uw beheersessie waarop de traceringssessie wordt uitgevoerd.

  9. Nadat u het probleem hebt gereproduceerd, voert u de volgende opdracht uit om de traceringssessie te beëindigen:

    .\stop-auth.ps1

  10. Wacht totdat alle tracering volledig is gestopt.

Sporen van tijdreizen

In de volgende procedure wordt beschreven hoe u traceringen vastlegt met behulp van de functie Time Travel Debugging (TTD).

Waarschuwing

Spoorgegevens van tijdreizen bevatten persoonlijke gegevens. Daarnaast bevatten LSASS-traceringen (Local Security Authority Subsystem Service of lsass.exe) uiterst gevoelige informatie. Wanneer u deze traceringen verwerkt, moet u aanbevolen procedures gebruiken voor het opslaan en delen van dit type informatie.

  1. Selecteer Start, voer cmd in, zoek en klik met de rechtermuisknop op opdrachtprompt in de zoekresultaten en selecteer vervolgens Uitvoeren als administrator.

  2. Maak bij de opdrachtprompt een tijdelijke map:

    mkdir c:\temp

  3. Voer de volgende taaklijstopdracht uit:

    tasklist /m lsasrv.dll

  4. Zoek in de uitvoer van de tasklist opdracht de proces-id (PID) van lsass.exe.

  5. Als u een traceringssessie van het lsass.exe proces wilt starten, voert u de volgende opdracht voor foutopsporing van tijdreizen uit (TTD.exe):

    TTD.exe -attach <lsass-pid> -out c:\temp

  6. Vergrendel het apparaat dat is aangemeld onder het domeinaccount.

  7. Ontgrendel het apparaat.

  8. Voer de volgende TTD-opdracht uit om de traceringssessie voor tijdreizen te beëindigen:

    TTD.exe -stop all

  9. Download het meest recente bestand lsass##.run .