Zum Inhalt
IAM für das KI-Zeitalter
Logo

Fehlerbehebung

Die unten stehenden Informationen sind für Administratoren gedacht, die für die Fehlerbehebung von Specops Password Reset verantwortlich sind. Bevor Sie die Aufgaben in diesem Leitfaden ausführen, stellen Sie bitte sicher, dass Sie Specops Password Reset korrekt installiert haben.

Zugriff verweigert Nachricht auf der Helpdesk-Webseite

Mögliche Ursache

Delegierter Helpdesk funktioniert nicht mit einem Alias: https://spr.domain.com/specopspassword/helpdesk. Sie müssen die Seite über den FQDN aufrufen.

Mögliche Lösung

Fügen Sie ein weiteres CN zum Zertifikat hinzu. „CN=hostname.domain.local“ bei Verwendung von https://hostname.domain.local/specopspassword/helpdesk; Oder „CN=hostname“ bei Verwendung nur des Servernamens https://hostname/specopspassword/helpdesk.

Immer nach Windows-Anmeldeinformationen gefragt werden, wenn die Helpdesk/Reporting-Seite geöffnet wird

Mögliche Ursache

Sie haben den FQDN des Servers (oder *.mydomain.com) nicht zur lokalen Intranet-Site hinzugefügt, indem Sie die GPO-Site zur Zonen-Zuweisung verwenden.

Mögliche Lösung

Sie müssen die Schritte unter „Authentifizierung zum Password Reset Web Server aktivieren“ im Specops Password Reset Installationshandbuch abschließen.

„Zugriff verweigert“ Nachricht bei der Registrierung mit einem Admin-Konto

Mögliche Ursache

Admin-Konten sind von der adminSDHolder-Regel betroffen, die alle 15 Minuten die Sicherheitsberechtigungen für privilegierte AD-Konten zurücksetzt.

Mögliche Lösung

Melden Sie sich mit einem Konto mit Domain-Admin-Berechtigungen an. Mit dem dsacls-Befehl können Berechtigungen für AdminSDHolder angepasst werden.

Beispiel:

dsacls "CN=AdminSDHolder, CN=System, DC=example, DC=com" /G
    "EXAMPLE\sprsvc:CCDC;classStore;" "EXAMPLE\sprsvc:LC;;"
    "EXAMPLE\sprsvc:CA;Reset Password;" "EXAMPLE\sprsvc:RP;userAccountControl;"
    "EXAMPLE\sprsvc:RPWP;mobile;" "EXAMPLE\sprsvc:RPWP;pwdLastSet;"
    "EXAMPLE\sprsvc:RPWP;lockoutTime;"

Ersetzen Sie <domainDN> und <serviceAccount> durch die Domänenkomponenten Ihrer Domäne und den Namen des SPR-Dienstkontos.

Hinweis

Es ist aus Sicherheitsgründen nicht empfehlenswert, Specops Password Reset mit einem Konto mit administrativen Berechtigungen zu verwenden. Aktivieren Sie diese Einstellungen nur, wenn es die praktische Realität Ihrer Organisation erfordert.

Mögliche Ursache

Das Dienstkonto hat die Berechtigungen zum Lesen des Specops Password Reset Gruppenrichtlinienobjekts verloren.

Mögliche Lösung

Fügen Sie im Gruppenrichtlinienverwaltungs-Konsole das Dienstkonto zur Delegierungs-Registerkarte des Specops Password Reset Gruppenrichtlinienobjekts mit Leserechten hinzu.

Mögliche Ursache

Benutzer ist am Anmeldebildschirm nicht mit dem Internet verbunden.

Mögliche Lösung

Sie können eines der folgenden drei Optionen verwenden, um dieses Problem zu lösen:

  1. Fügen Sie eine neue Regel zu Ihrem Proxy hinzu, die „Domänencomputer“ erlaubt, die CRL-Server im Internet zu erreichen. Die Regel sieht ähnlich wie das untenstehende Beispiel aus:

    Quelle: internes Netzwerk

    Ziel: IP-Adresse des CRL-Servers

    Port: 80

    Zugriffsgruppe: „Domänencomputer“

  2. Deaktivieren Sie die CRL-Prüfung auf dem Client.

    Hinweis

    Dies deaktiviert die CRL-Prüfung für alle Zertifikate. Wenn Sie eine Seite besuchen, deren Zertifikat widerrufen wurde, würde dies die Erstellung einer sicheren Verbindung ermöglichen, es sei denn, das Zertifikat ist abgelaufen.

  3. Wenn Sie ein internes Zertifizierungsstellen-System haben, verwenden Sie ein internes Zertifikat anstelle eines öffentlichen Zertifikats.

    Hinweis

    Ein öffentliches Zertifikat ist eine gute Wahl, wenn Sie planen, Benutzern zu erlauben, ihre Passwörter extern zurückzusetzen.

Mögliche Ursache

Der Computer startet, bevor der Netzwerk-Stack hochgefahren wurde. Dies ist häufig der Fall, wenn Systeme mit drahtlosen oder gigabit-verbundenen NICs verwendet werden.

Mögliche Lösung

  • Sie möchten möglicherweise die Schnellstartoptimierung deaktivieren. Sie können dies mit Gruppenrichtlinien tun, indem Sie die Richtlinieneinstellung Immer auf das Netzwerk beim Computerstart und bei der Anmeldung warten verwenden. Diese Einstellung finden Sie unter Computerkonfiguration/Administrative Vorlagen/System/Anmeldung.
  • Wenn Sie Windows 7 verwenden, können Sie dies mit Gruppenrichtlinien tun, indem Sie die Richtlinieneinstellung Wartezeit für Startverarbeitung verwenden. Diese Einstellung finden Sie unter Computerkonfiguration/Administrative Vorlagen/System/Gruppenrichtlinie.

„Identitätsprüfung für ausgehende Nachricht fehlgeschlagen“ Fehler beim Zugriff auf eine Password Reset Webseite nach einem Upgrade oder beim Öffnen des Konfigurationstools

Die vollständige Nachricht lautet: „Identitätsprüfung für ausgehende Nachricht fehlgeschlagen. Die erwartete DNS-Identität des entfernten Endpunkts war ‚servername.domain.com‘, aber der entfernte Endpunkt lieferte DNS-Anspruch ‚webserveralias.domain.com‘. Wenn dies ein legitimer Endpunkt ist, können Sie das Problem beheben, indem Sie die DNS-Identität ‚webserveralias.domain.com‘ explizit als Identitätseigenschaft von EndpointAddress angeben, wenn Sie den Kanal-Proxy erstellen.“

Mögliche Ursache

Während der Installation haben Sie möglicherweise das Webserver-Zertifikat bei der Installation der „Server“-Komponente anstelle der „Web“-Komponente verwendet.

Mögliche Lösung

Die Server-Komponente erfordert ein Zertifikat mit einem CN (Common Name), das mit dem FQDN des Servers übereinstimmt. Dies ist erforderlich, damit Windows Identity Foundation korrekt funktioniert. Ein selbstsigniertes Zertifikat oder ein Zertifikat mit einem CN, entweder öffentlich oder privat, kann für diese Funktion verwendet werden.

Ereignisprotokollierung

Die Specops Password Reset Server-Komponente protokolliert die durchgeführten Operationen im Anwendungsprotokoll auf dem entsprechenden Server.

Finden Sie Ereignis-IDs in der Tabelle.

Specops Password Reset Server-Ereignisse

Ereignistyp ID Beschreibung
Information 100 Dienst wird gestartet.
Information 101 Dienst gestartet.
Information 103 Dienst gestoppt.
Information 104 Lizenzüberprüfungseintrag. Enthält die Lizenzanzahlinformationen, die jede Nacht gesammelt werden.
Information 105 Berichterstattungsdatenbankmigration gestartet. Wird nur protokolliert, wenn der Dienst eine vorhandene Datenbank im alten XML-Format entdeckt.
Information 106 Berichterstattungsdatenbankmigration erfolgreich abgeschlossen. Wird nur protokolliert, wenn der Dienst eine vorhandene Datenbank im alten XML-Format entdeckt.
Information 110 Registrierung erfolgreich. Wird jedes Mal protokolliert, wenn sich ein Benutzer registriert.
Information 111 Zurücksetzen erfolgreich. Wird jedes Mal protokolliert, wenn ein Benutzer sein Passwort erfolgreich zurückgesetzt hat.
Information 112 Entsperren erfolgreich. Wird jedes Mal protokolliert, wenn ein Benutzer sein Benutzerkonto erfolgreich entsperrt hat.
Information 113 Änderung erfolgreich. Wird jedes Mal protokolliert, wenn ein Benutzer sein Passwort erfolgreich geändert hat.
Information 114 Änderung fehlgeschlagen. Wird jedes Mal protokolliert, wenn ein Benutzer versucht hat, sein Passwort zu ändern, aber aufgrund der Passwortrichtlinienregeln gescheitert ist.
Warnung 202 Zu viele fehlgeschlagene Benutzernamen. Wird protokolliert, wenn die Anrufdrosselungsfunktion eine Clientanfrage blockiert hat.
Warnung 203 Zu viele Anfragen nach Bestätigungscodes.
Warnung 205 Passwortregeln bei Zurücksetzung in der Richtlinie ignorieren. Wird protokolliert, wenn Specops Password Reset einen Benutzer mit einer Specops Password Policy entdeckt, die bei Passwortzurücksetzungsoperationen ignoriert werden soll. Diese Einstellung sollte in Umgebungen, in denen Specops Password Reset verwendet wird, nicht aktiviert werden, da sie Benutzern erlaubt, ihre Passwortrichtlinie zu umgehen.
Warnung 206 Passwortzurücksetzung von Benutzer mit gesetztem Passwort-nicht-erforderlich-Flag erkannt.
Warnung 207 Passwort-nicht-erforderlich-Flag bei einem registrierten Benutzer entdeckt.
Warnung 208 Benutzer konnte nicht nachgeahmt werden.
Warnung 210 Registrierung fehlgeschlagen.
Warnung 212 Entsperren fehlgeschlagen.
Warnung 214 Falsche Antwort während der Benutzerauthentifizierung eingereicht.
Warnung 215 Falscher Bestätigungscode während der Benutzerauthentifizierung eingereicht.
Warnung 216 Benutzer wurde von Specops Password Reset gesperrt.
Warnung 220 Lizenzwarnung. Wird protokolliert, wenn die Lizenz kurz davor ist, überschritten zu werden.
Warnung 221 Benutzer konnte sein Passwort nicht zurücksetzen.
Warnung 222 Benutzer konnte sein Passwort nicht ändern.
Warnung 241 Polling-Zeit konnte nicht aus der Registrierung geparst werden.
Warnung 245 Domäne konnte nicht kontaktiert werden.
Warnung 277 Erinnerung zur Registrierung konnte nicht gesendet werden.
Fehler 300 Dienst konnte nicht gestartet werden. Wird protokolliert, wenn die Serverkomponente nicht startet.
Fehler 301 Dienst konnte nicht gestoppt werden.
Fehler 305 Keine Specops Password Reset Richtlinie gefunden.
Fehler 306 Falsche Anzahl von Fragen.
Fehler 310 Berichterstattungsdatenbankmigration fehlgeschlagen. Wird protokolliert, wenn der Dienst eine vorhandene Datenbank im alten XML-Format nicht migrieren kann.
Fehler 320 Lizenzfehler erkannt.
Fehler 332 Passwortzurücksetzungspaket konnte nicht abgerufen werden.
Fehler 334 Mobiler Bestätigungscode konnte nicht gesendet werden.
Fehler 335 Nächste Sicherheitsfrage konnte nicht abgerufen werden.
Fehler 336 Passwortrichtlinie für Benutzer konnte nicht abgerufen werden.
Fehler 337 Server konnte Benutzerkonto nicht entsperren.
Fehler 338 Server konnte Benutzerpasswort nicht zurücksetzen.
Fehler 346 E-Mail konnte nicht gesendet werden.
Fehler 348 Mobiler Bestätigungscode konnte nicht vom Helpdesk-Tool gesendet werden.
Fehler 349 Neues Benutzerpasswort konnte nicht vom Helpdesk gesendet werden.
Fehler 385 Daten konnten nicht zur Berichterstattungsdatenbank hinzugefügt werden.
Fehler 386 Benutzerdaten konnten nicht aus der Berichterstattungsdatenbank gelöscht werden.

Debug-Protokollierung

Sie können die Komponenten von Specops Password Reset so konfigurieren, dass sie ihre internen Aktivitäten in ein ausführliches Debug-Protokoll aufzeichnen. Das Debug-Protokoll ermöglicht es Ihnen, die Ereignisse bis zum Fehler zu verfolgen. Die Debug-Protokollierung wird aktiviert, indem der entsprechende Registrierungsschlüssel von „0“ auf „1“ geändert wird. Zusätzliche Protokollierung wird durch die Verwendung der höheren Debug-Stufen „2“ oder „3“ zurückgegeben.

Registrierungsschlüssel Beschreibung
HKLM\Software\Specopssoft\Specops Password Reset\Administration\Debug Aktiviert und deaktiviert die Debug-Protokollierung für das Specops Password Reset Administration Tool.
HKLM\Software\Specopssoft\Specops Password Reset\Administration\LogFilePath Gibt den Protokolldateipfad für das Specops Password Administration Tool-Protokoll an. Standardwert= %USERPROFILE%\Local Settings\Application Data\SpecopsSoft\SpecopsPasswordReset.log Hinweis: Dieser Wert existiert standardmäßig nicht in der Registrierung. Wenn Sie ihn ändern möchten, fügen Sie LogFilePath als reg_sz [String-Wert] hinzu.
HKLM\Software\Specopssoft\Specops Password Reset\Server\Debug Aktiviert und deaktiviert die Debug-Protokollierung für den Specops Password Reset Server.
HKLM\Software\Specopssoft\Specops Password Reset\Server\LogFilePath Gibt den Protokolldateipfad für das Specops Password Reset Server-Protokoll an. Standardwert = C:\SpecopspasswordResetServer.log
HKLM\Software\Specopssoft\Specops Password Reset\Web\Debug Aktiviert und deaktiviert die Debug-Protokollierung für das Specops Password Reset Web.
HKLM\Software\Specopssoft\Specops Password Reset\Web\LogFilePath Gibt den Protokolldateipfad für das Specops Password Reset Server-Protokoll an. Standardwert = C:\Temp\SpecopspasswordResetWeb.log

Hinweis

Lassen Sie die Debug-Protokollierung nicht aktiviert, es sei denn, Sie benötigen sie. Ausführliche Protokollierung über einen längeren Zeitraum kann große Protokolldateien erstellen, die das Potenzial haben, Ihre Systemfestplattenpartition zu füllen.