☰

登录到我的远程桌面服务器时，出现错误“组策略客户端服务登录失败。访问被拒绝”

tag-icon • tag-icon windows-server-2008 active-directory windows-registry roaming-profile
登录到我的远程桌面服务器时，出现错误“组策略客户端服务登录失败。访问被拒绝”

重现问题的步骤...（Windows 2008 Server - DC，以及作为客户端的 Windows 7）

1) Create a new user in the domain.
   Example: user1
2) Set the user's "Remote Desktop Services User Profile" to a network path.
   Example: \\myserver\profiles\bullpin
3) Logon with user1 to the remote desktop (SERVER_A), then create a new shortcut to a web page.
   Example: http://google.com -> Named: Google
4) Logout with user1.
5) Create a new user in the domain.
   Example: user2
6) Set the user's "Remote Desktop Services User Profile" to the same network path.
   Example: \\myserver\profiles\bulpin
7) Logon with user2 to the remote desktop (SERVER_A).  YOU SHOULD GET AN ERROR!
   ERROR: "The Group Policy Client service failed the logon.  Access is denied"

更新：

我的以下回答解决了这个问题，一切似乎都正常了。现在我想知道如何才能避免这种情况？无需在错误仍然存​​在时（在持续的 30 秒内）更改权限。我可以在用户尝试登录之前更改密钥的权限吗？

注意：如果我必须手动加载 HKEY_USERS 下的配置单元中的配置文件，请解释如何操作。

谢谢！

答案1

在网上、日志等处寻找答案。我发现了一些有趣的事情......

查看 SERVER_A 的日志 (Windows 日志->应用程序)，我发现以下 2 个条目...

1) The winlogon notification subscriber <GPClient> failed a critical notification event.
2) The winlogon notification subscriber <Sens> failed a notification event.

然后阅读后，我想到查看 SERVER_A 上的另一个日志（应用程序和服务日志->Microsoft->Windows->用户配置文件服务->操作）并找到这些条目......

1) Recieved user logon notification on session 1.
2) Registry file C:\Users\user1\ntuser.man is loaded at HKU\S-1-5-21-2420121206-1056658499-602520278-4624.
3) Registry file C:\Users\user1\AppData\Local\Microsoft\Windows\\UsrClass.dat is loaded at HKU\S-1-5-21-2420121206-1056658499-602520278-4624_Classes.
4) Finished processing user logon notification on session 1.
5) Recieved user logoff notification on session 1.
6) Finished processing user logoff notification on session 1.

我很好奇将用户配置文件“加载”到注册表中到底是什么意思，于是我开始胡乱查找，发现 SERVER_A 上的注册表配置单元（运行->regedit.exe，或 Windows 键 + R->regedit.exe）有一个名为“HKEY_USERS”的键。在里面我找不到引用的 GUID！！！所以在研究了一些东西后，我有了一个主意。尝试像往常一样连接到远程桌面，得到错误消息，但不要单击错误上的“确定”。让它待在那里。很快（因为它很快就会超时）我跳转到 SERVER_A 并使用 F5 刷新注册表，果然 GUID 条目出现了！！！在登录错误消息超时之前，我右键单击了 GUID“HKU\S-1-5-21-2420121206-1056658499-602520278-4624”，然后转到“权限”，发现这就是问题所在……

My original user1 has rights to that key (HKU\S-1-5-21-2420121206-1056658499-602520278-4624) but there was no sign of user2!

因此，为了解决这个问题，我做了以下事情......

Before the logon error timed-out I quickly updated the permissions to REMOVE the user1 entry and added a group that I had called "BullPin" which was a group created with user1 and user2 in it.

答案2

连接 win 2008r2 RDC 时我遇到了同样的问题。

组策略客户端服务登录失败。访问被拒绝。

我通过删除 C:\Users 中的特定用户文件夹解决了该问题。

答案3

此修复对我有用：用 .OLD 后缀重命名用户的漫游配置文件。

在所有出现问题的计算机上，以管理员身份登录，右键单击计算机 > 属性 > 高级系统设置 > 用户配置文件 > 删除有问题的用户的本地配置文件。

注销并以用户身份重新登录，应该没问题。

答案4

如果您指定不同的 RDS 用户配置文件路径，则应该完全没有问题。当用户登录时，他们的 ntuser.dat 文件将被挂载（加载）为HKU\<SID of user>\...。当用户注销时，配置单元将被卸载（卸载），并且所有更改都将写回到配置文件共享中的用户的 ntuser.dat 中。

HKU 中的 SID 由域的唯一 ID + 域的 RID 主机提供的相对 ID (RID) 组成。有关更多详细信息，请参阅 FSMO 角色。

有时卸载用户的注册表会有缺陷，从而可能会导致 RDS 配置文件损坏。

相关内容