邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: 警告讯息！SceCLi 1202 怎排除! [打印本页]

作者: kks168 时间: 2007-9-3 13:23
标题: 警告讯息！SceCLi 1202 怎排除!
Event Type: Warning
Event Source: SceCli
Event Category: None
Event ID: 1202
Date:  9/3/2007
Time:  12:21:58 PM
User:  N/A
Computer: srv
Description:
安全性原則傳播中含有警告。 0x534 : 帳戶名稱與安全性識別碼無法對應。
為了要有解析這個事件最好的結果，請以非系統管理員帳戶登入，並在 http://support.microsoft.com 搜尋 "troubleshooting 1202 events"。
一或多個群組原則物件 (GPO) 中的使用者帳戶無法被解析為 SID。這個錯誤可能是因為在 GPO 的使用者權限或受限群組子目錄中所參照的輸入錯誤或已刪除的使用者帳戶所造成。如果要解決這個事件，請連絡網域的系統管理員，來執行下列動作:
1. 識別無法被解析為 SID 的帳戶: 在命令提示字元中輸入: FIND /I "Cannot find" %SYSTEMROOT%\Security\Logs\winlogon.log
在 FIND 輸出中接在 "Cannot find" 後面的字串可識別問題帳戶名稱。
例如: Cannot find JohnDough。
在這個例子中，使用者名稱 "JohnDough" 的 SID 無法被判定。這很可能是因為帳戶已被刪除、重新命名、或拼法不同 (例如 "JohnDoe") 所造成。
2. 辨別包含未解析帳戶名稱的 GPO:
在命令提示字元中輸入 FIND /I "JohnDough" %SYSTEMROOT%\Security\templates\policies\gpt*.*
這個 FIND 命令的輸出將會類似如下:
---------- GPT00000.DOM
---------- GPT00001.DOM
SeRemoteShutdownPrivilege=JohnDough
這表示所有套用到這個電腦的 GPO，無法解析的帳戶僅存在於一個 GPO 中，特別是名為 GPT00001.DOM 快取的 GPO。
現在我們需要在下一個步驟中判斷這個 GPO 的好記的名稱。
3. 找到每個含有無法解析帳戶名稱的 GPO 的好記名稱。這些 GPO 是在前一個步驟中辨識出的。
在命令提示字元中輸入: FIND /I "[對應]" %SYSTEMROOT%\Security\Logs\winlogon.log
在 FIND 輸出中接在 "[對應] gpt0000?.dom =" 後的字串可辨識所有套用到這個電腦 GPO 的好記的名稱。
例如: [對應] gpt00001.dom = User Rights Policy
在這個例子中，包含無法解析帳戶的 GPO (gpt00001.dom) 有 "User Rights Policy" 這個好記的名稱。
4. 從每個包含無法解析的帳戶的 GPO 中移除未解析的帳戶。
a. 開始 -> 執行 -> MMC.EXE
b. 在 [檔案] 功能表選擇 [新增/移除嵌入式管理單元...]
c. 在 [新增/移除嵌入式管理單元] 對話方塊選擇 [新增...]
d. 在 [新增獨立嵌入式管理單元] 對話方塊選擇 [群組原則]，並按一下 [新增]
e. 在 [選擇群組原則物件] 對話方塊按一下 [瀏覽] 按鈕。
f. 在 [瀏覽群組原則物件] 對話方塊選擇 [全部] 索引標籤
g. 右鍵點按在步驟 3 辨識出的第一個原則，然後選擇編輯
h. 對每個在步驟 1 辨識出的帳戶，檢視 Computer Configuration/ Windows Settings/ Security Settings/ Local Policies/ User Rights
  Assignment 或 Computer Configuration/ Windows Settings/ SecuritySettings/ Restricted Groups 下的每個設定。
i. 對所有其他步驟 3 辨識出的 GPO 重複步驟 3g 和 3h。
For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.asp.

[ 本帖最后由 kks168 于 2007-9-4 10:17 编辑 ]

作者: kks168 时间: 2007-9-3 13:29
有运行过：FIND /I "Cannot find" %SYSTEMROOT%\Security\Logs\winlogon.log 出现以下

不知怎继续?请各位帮忙提供宝贵意见。
先谢了。

[ 本帖最后由 kks168 于 2007-9-3 13:31 编辑 ]

untitled.JPG (28.86 KB, 下载次数: 0)

作者: nickren 时间: 2007-9-3 14:45
检查策略设置中的帐户可能已经被删除或不可识别，使用系统提示进行操作：
1. 識別無法被解析為 SID 的帳戶: 在命令提示字元中輸入: FIND /I "Cannot find" %SYSTEMROOT%\Security\Logs\winlogon.log
在 FIND 輸出中接在 "Cannot find" 後面的字串可識別問題帳戶名稱。
或直接查找该文件打开查询
然后再去检查策略中的帐户并删除。

一般情况下，错误的帐户在系统中的显示是一长串ID号，很好识别的。

作者: kks168 时间: 2007-9-3 16:04
标题: 回复 3# 的帖子
我直接打开winlogon查看， "cannot find" 就找不到了
不过你说的长串ID号倒很多，应该是错误的帐号吧，如下：
========================================================
----設定使用者權利...
      設定 S-1-5-32-544。
      設定 S-1-5-32-551。
      設定 S-1-5-21-117609710-926492609-725345543-500。
      設定 Power Users。
錯誤 1332: 帳戶名稱與安全性識別碼無法對應。
      找不到 Power Users。
      設定 S-1-5-32-545。
      設定 S-1-1-0。
      設定 S-1-5-6。
      設定 S-1-5-21-839522115-57989841-2146014659-1000。
      設定 S-1-5-21-839522115-57989841-2146014659-501。

      使用者權利設定完成但有錯誤。
===========================================================
那怎识别是那个帐号错误呢?

作者: nickren 时间: 2007-9-4 08:32
錯誤 1332: 帳戶名稱與安全性識別碼無法對應。
      找不到 Power Users。
      設定 S-1-5-32-545。
      設定 S-1-1-0。
      設定 S-1-5-6。
      設定 S-1-5-21-839522115-57989841-2146014659-1000。
      設定 S-1-5-21-839522115-57989841-2146014659-501。
请在帐号管理中检查power users中是否以下帐号是可识别帐号，如果不是请删除，另到gpedit.msc中删除对应帐号隶属

作者: kks168 时间: 2007-9-4 10:16
标题: 回复 5# 的帖子
问题解决了，谢你！

欢迎光临邮件服务器-邮件系统-邮件技术论坛(BBS) (http://bbs.5dmail.cn/)