Problembehandlung mit dem Diagnosetool für geschützte Fabrics

  • Artikel

In diesem Artikel wird die Verwendung des Diagnosetools für geschützte Fabrics beschrieben, um häufige Fehler bei der Bereitstellung, Konfiguration und dem laufenden Betrieb der geschützten Fabric-Infrastruktur zu identifizieren und zu beheben. Dies umfasst den Host-Überwachungsdienst (Host Guardian Service, HGS), alle überwachten Hosts und unterstützende Dienste wie DNS und Active Directory.

Gilt für: Windows Server 2022, Windows Server 2019, Windows Server 2016

Das Diagnosetool kann verwendet werden, um einen ersten Schritt bei der Selektierung eines fehlerhaften geschützten Fabrics durchzuführen, sodass Administratoren einen Ausgangspunkt für die Behebung von Ausfällen und die Identifizierung falsch konfigurierter Ressourcen erhalten. Das Tool ist kein Ersatz für eine solide Bedienung eines geschützten Fabrics und dient nur dazu, die häufigsten Probleme, die während des täglichen Betriebs auftreten, schnell zu überprüfen.

Eine vollständige Dokumentation der in diesem Artikel verwendeten Cmdlets finden Sie in der HgsDiagnostics-Modulreferenz.

Hinweis

Beim Ausführen des Tools "Guarded Fabric Diagnose" (Get-HgsTrace -RunDiagnostics) werden möglicherweise falsche status zurückgegeben, die behaupten, dass die HTTPS-Konfiguration beschädigt ist, wenn sie tatsächlich nicht beschädigt oder nicht verwendet wird. Dieser Fehler kann unabhängig vom Nachweismodus des HGS zurückgegeben werden. Die möglichen Ursachen sind wie folgt:

  • HTTPS ist tatsächlich falsch konfiguriert/fehlerhaft
  • Sie verwenden einen vertrauenswürdigen Administratornachweis, und die Vertrauensstellung ist unterbrochen. Dies ist unabhängig davon, ob HTTPS ordnungsgemäß, falsch oder gar nicht verwendet wird. Beachten Sie, dass der Diagnose diese falsche status nur zurückgibt, wenn ein Hyper-V-Host als Ziel verwendet wird. Wenn die Diagnose auf den Host-Überwachungsdienst ausgerichtet sind, ist die zurückgegebene status richtig.

Schnellstart

Sie können entweder einen überwachten Host oder einen HGS-Knoten diagnostizieren, indem Sie Folgendes aus einer Windows PowerShell Sitzung mit lokalen Administratorrechten aufrufen:

Get-HgsTrace -RunDiagnostics -Detailed

Dadurch wird automatisch die Rolle des aktuellen Hosts erkannt und alle relevanten Probleme diagnostiziert, die automatisch erkannt werden können. Alle während dieses Vorgangs generierten Ergebnisse werden aufgrund des Vorhandenseins des -Detailed Schalters angezeigt.

Im weiteren Verlauf dieses Themas finden Sie eine ausführliche exemplarische Vorgehensweise zur erweiterten Verwendung von Get-HgsTrace für Aufgaben wie die gleichzeitige Diagnose mehrerer Hosts und das Erkennen komplexer knotenübergreifender Fehlkonfigurationen.

Diagnoseübersicht

Geschützte Fabric-Diagnose sind auf jedem Host verfügbar, auf dem tools und Features im Zusammenhang mit abgeschirmten VMs installiert sind, einschließlich Hosts, auf denen Server Core ausgeführt wird. Derzeit sind Diagnose in den folgenden Features/Paketen enthalten:

  • Rolle "Host Guardian Service"
  • Host Guardian Hyper-V-Unterstützung
  • VM-Abschirmungstools für die Fabric-Verwaltung
  • Remoteserver-Verwaltungstools (RSAT)

Dies bedeutet, dass Diagnosetools auf allen überwachten Hosts, HGS-Knoten, bestimmten Fabric-Verwaltungsservern und allen Windows 10 Arbeitsstationen mit installiertem RSAT verfügbar sind. Die Diagnose kann von jedem der oben genannten Computer mit der Absicht aufgerufen werden, einen geschützten Host oder HGS-Knoten in einem geschützten Fabric zu diagnostizieren. mithilfe von Remoteablaufverfolgungszielen können Diagnose andere Hosts als den Computer, auf dem Diagnose ausgeführt wird, suchen und eine Verbindung mit diesen herstellen.

Jeder Host für Diagnose wird als "Ablaufverfolgungsziel" bezeichnet. Ablaufverfolgungsziele werden durch ihre Hostnamen und Rollen identifiziert. Rollen beschreiben die Funktion, die ein bestimmtes Ablaufverfolgungsziel in einem geschützten Fabric ausführt. Derzeit zielt die Ablaufverfolgung auf Unterstützung HostGuardianService und GuardedHost Rollen ab. Beachten Sie, dass ein Host mehrere Rollen gleichzeitig besetzen kann. Dies wird auch von Diagnose unterstützt. Dies sollte jedoch nicht in Produktionsumgebungen erfolgen. Die HGS- und Hyper-V-Hosts sollten jederzeit getrennt und voneinander getrennt bleiben.

Administratoren können alle Diagnoseaufgaben starten, indem sie ausführen Get-HgsTrace. Dieses Cmdlet führt zwei unterschiedliche Funktionen basierend auf den zur Laufzeit bereitgestellten Switches aus: Ablaufverfolgungssammlung und Diagnose. Diese beiden Kombinierten bilden das gesamte Diagnosetool für geschützte Fabrics. Obwohl nicht explizit erforderlich, erfordern die nützlichen Diagnose Ablaufverfolgungen, die nur mit Administratoranmeldeinformationen für das Ablaufverfolgungsziel gesammelt werden können. Wenn der Benutzer, der die Ablaufverfolgungssammlung ausführt, nicht über ausreichende Berechtigungen verfügt, schlagen Ablaufverfolgungen, die rechte Rechte erfordern, fehl, während alle anderen übergeben werden. Dies ermöglicht eine Teildiagnose für den Fall, dass ein Operator mit geringen Berechtigungen die Selektierung durchführt.

Ablaufverfolgungssammlung

Standardmäßig Get-HgsTrace sammelt nur Ablaufverfolgungen und speichert sie in einem temporären Ordner. Ablaufverfolgungen haben die Form eines Ordners, der nach dem Zielhost benannt ist und mit speziell formatierten Dateien gefüllt ist, die beschreiben, wie der Host konfiguriert wird. Die Ablaufverfolgungen enthalten auch Metadaten, die beschreiben, wie die Diagnose aufgerufen wurden, um die Ablaufverfolgungen zu sammeln. Diese Daten werden von Diagnose verwendet, um Informationen über den Host bei der manuellen Diagnose zu aktivieren.

Bei Bedarf können Ablaufverfolgungen manuell überprüft werden. Alle Formate sind entweder für Menschen lesbar (XML) oder können problemlos mit Standardtools (z. B. X509-Zertifikaten und den Windows Crypto Shell-Erweiterungen) überprüft werden. Beachten Sie jedoch, dass Ablaufverfolgungen nicht für die manuelle Diagnose konzipiert sind und es immer effektiver ist, die Ablaufverfolgungen mit den Diagnosefunktionen von Get-HgsTracezu verarbeiten.

Die Ergebnisse der ausgeführten Ablaufverfolgungssammlung geben keinen Hinweis auf die Integrität eines bestimmten Hosts. Sie zeigen einfach an, dass Ablaufverfolgungen erfolgreich gesammelt wurden. Es ist notwendig, die Diagnosefunktionen von Get-HgsTrace zu verwenden, um zu bestimmen, ob die Ablaufverfolgungen auf eine fehlerhafte Umgebung hinweisen.

Mithilfe des -Parameters können Sie die -Diagnostic Ablaufverfolgungssammlung auf die Ablaufverfolgungen beschränken, die zum Ausführen der angegebenen Diagnose erforderlich sind. Dies reduziert die Menge der gesammelten Daten sowie die Berechtigungen, die zum Aufrufen von Diagnose erforderlich sind.

Diagnose

Gesammelte Ablaufverfolgungen können diagnostiziert werden, indem Get-HgsTrace der Speicherort der Ablaufverfolgungen über den -Path Parameter angegeben und der -RunDiagnostics Schalter angegeben wird. Darüber hinaus kann die Erfassung und Diagnose in einem einzigen Durchgang durchgeführt werden, Get-HgsTrace indem der -RunDiagnostics Schalter und eine Liste von Ablaufverfolgungszielen bereitgestellt werden. Wenn keine Ablaufverfolgungsziele angegeben werden, wird der aktuelle Computer als implizites Ziel verwendet, dessen Rolle durch Überprüfen der installierten Windows PowerShell Module abgeleitet wird.

Die Diagnose liefert Ergebnisse in einem hierarchischen Format, das zeigt, welche Ablaufverfolgungsziele, Diagnosesätze und einzelne Diagnose für einen bestimmten Fehler verantwortlich sind. Zu den Fehlern gehören Empfehlungen zur Behebung und Lösung, wenn entschieden werden kann, welche Maßnahmen als Nächstes ergriffen werden sollten. Standardmäßig werden übergebende und irrelevante Ergebnisse ausgeblendet. Geben Sie den Schalter an, um alle von Diagnose getesteten -Detailed Elemente anzuzeigen. Dadurch werden alle Ergebnisse unabhängig von ihrer status angezeigt.

Es ist möglich, den Satz von Diagnose einzuschränken, die mit dem -Diagnostic -Parameter ausgeführt werden. Auf diese Weise können Sie angeben, welche Diagnoseklassen für die Ablaufverfolgungsziele ausgeführt werden sollen, und alle anderen unterdrücken. Beispiele für verfügbare Diagnoseklassen sind Netzwerke, bewährte Methoden und Clienthardware. Eine aktuelle Liste der verfügbaren Diagnose finden Sie in der Cmdlet-Dokumentation.

Warnung

Diagnosen sind kein Ersatz für eine starke Pipeline zur Überwachung und Reaktion auf Vorfälle. Es gibt ein System Center Operations Manager-Paket für die Überwachung von geschützten Fabrics sowie verschiedene Ereignisprotokollkanäle, die überwacht werden können, um Probleme frühzeitig zu erkennen. Die Diagnose kann dann verwendet werden, um diese Fehler schnell zu selektieren und eine Vorgehensweise festzulegen.

Ziel-Diagnose

Get-HgsTrace arbeitet gegen Ablaufverfolgungsziele. Ein Ablaufverfolgungsziel ist ein Objekt, das einem HGS-Knoten oder einem geschützten Host in einem geschützten Fabric entspricht. Dies kann als Erweiterung eines PSSessionbetrachtet werden, das informationen enthält, die nur von Diagnose benötigt werden, z. B. die Rolle des Hosts im Fabric. Ziele können implizit (z. B. lokale oder manuelle Diagnose) oder explizit mit dem New-HgsTraceTarget Cmdlet generiert werden.

Lokale Diagnose

Standardmäßig zielt auf Get-HgsTrace den localhost ab (d. h. auf den Ort, an dem das Cmdlet aufgerufen wird). Dies wird als implizites lokales Ziel bezeichnet. Das implizite lokale Ziel wird nur verwendet, wenn keine Ziele im -Target -Parameter bereitgestellt werden und keine bereits vorhandenen Ablaufverfolgungen im -Pathgefunden werden.

Das implizite lokale Ziel verwendet Rollenrückschlüsse, um zu bestimmen, welche Rolle der aktuelle Host im geschützten Fabric spielt. Dies basiert auf den installierten Windows PowerShell Modulen, die in etwa den auf dem System installierten Funktionen entsprechen. Das Vorhandensein des HgsServer Moduls bewirkt, dass das Ablaufverfolgungsziel die Rolle HostGuardianService übernimmt, und das Vorhandensein des HgsClient Moduls bewirkt, dass das Ablaufverfolgungsziel die Rolle GuardedHostübernimmt. Es ist möglich, dass für einen bestimmten Host beide Module vorhanden sind. In diesem Fall wird es sowohl als als auch HostGuardianServiceGuardedHostals behandelt.

Daher ist der Standardaufruf von Diagnose zum lokalen Sammeln von Ablaufverfolgungen:

Get-HgsTrace

Dies entspricht folgendem:

New-HgsTraceTarget -Local | Get-HgsTrace

Tipp

Get-HgsTrace kann Ziele über die Pipeline oder direkt über den -Target Parameter akzeptieren. Es gibt keinen Unterschied zwischen den beiden Betriebsabläufen.

Remotediagnose mithilfe von Ablaufverfolgungszielen

Es ist möglich, einen Host remote zu diagnostizieren, indem Ablaufverfolgungsziele mit Remoteverbindungsinformationen generiert werden. Alles, was erforderlich ist, ist der Hostname und ein Satz von Anmeldeinformationen, die eine Verbindung mit Windows PowerShell Remoting herstellen können.

$server = New-HgsTraceTarget -HostName "hgs-01.secure.contoso.com" -Role HostGuardianService -Credential (Enter-Credential)
Get-HgsTrace -RunDiagnostics -Target $server

In diesem Beispiel wird eine Eingabeaufforderung zum Sammeln der Remotebenutzeranmeldeinformationen generiert, und dann Diagnose mithilfe des Remotehosts unter hgs-01.secure.contoso.com ausgeführt, um die Ablaufverfolgungssammlung abzuschließen. Die resultierenden Ablaufverfolgungen werden auf den localhost heruntergeladen und dann diagnostiziert. Die Ergebnisse der Diagnose werden wie bei der lokalen Diagnose dargestellt. Ebenso ist es nicht erforderlich, eine Rolle anzugeben, da sie basierend auf den auf dem Remotesystem installierten Windows PowerShell Modulen abgeleitet werden kann.

Die Remotediagnose nutzt Windows PowerShell Remoting für alle Zugriffe auf den Remotehost. Daher ist es eine Voraussetzung, dass für das Ablaufverfolgungsziel Windows PowerShell Remoting aktiviert ist (siehe Aktivieren von PSRemoting) und dass der localhost ordnungsgemäß für das Starten von Verbindungen mit dem Ziel konfiguriert ist.

Hinweis

In den meisten Fällen ist es nur erforderlich, dass der localhost Teil derselben Active Directory-Gesamtstruktur ist und dass ein gültiger DNS-Hostname verwendet wird. Wenn Ihre Umgebung ein komplizierteres Verbundmodell verwendet oder Sie direkte IP-Adressen für die Konnektivität verwenden möchten, müssen Sie möglicherweise zusätzliche Konfigurationen durchführen, z. B. das Festlegen der vertrauenswürdigen WinRM-Hosts.

Mithilfe des Cmdlets können Sie überprüfen, ob ein Ablaufverfolgungsziel ordnungsgemäß instanziiert und für die Test-HgsTraceTarget Annahme von Verbindungen konfiguriert ist:

$server = New-HgsTraceTarget -HostName "hgs-01.secure.contoso.com" -Role HostGuardianService -Credential (Enter-Credential)
$server | Test-HgsTraceTarget

Dieses Cmdlet gibt nur dann zurück $True , wenn Get-HgsTrace eine Remotediagnosesitzung mit dem Ablaufverfolgungsziel einrichten kann. Nach einem Fehler gibt dieses Cmdlet relevante status Informationen zur weiteren Problembehandlung der Windows PowerShell Remotingverbindung zurück.

Implizite Anmeldeinformationen

Wenn Sie eine Remotediagnose von einem Benutzer durchführen, der über ausreichende Berechtigungen verfügt, um eine Remoteverbindung mit dem Ablaufverfolgungsziel herzustellen, ist es nicht erforderlich, Anmeldeinformationen für anzugeben New-HgsTraceTarget. Das Get-HgsTrace Cmdlet verwendet automatisch die Anmeldeinformationen des Benutzers, der beim Öffnen einer Verbindung das Cmdlet aufgerufen hat.

Warnung

Es gelten einige Einschränkungen für die Wiederverwendung von Anmeldeinformationen, insbesondere bei der Ausführung eines sogenannten "zweiten Hops". Dies tritt auf, wenn Versucht wird, Anmeldeinformationen aus einer Remotesitzung auf einem anderen Computer wiederzuverwenden. Es ist erforderlich, CredSSP einzurichten, um dieses Szenario zu unterstützen, aber dies liegt außerhalb des Bereichs der geschützten Fabricverwaltung und der Problembehandlung.

Verwenden von Windows PowerShell Just Enough Administration (JEA) und Diagnose

Die Remotediagnose unterstützt die Verwendung von JEA-eingeschränkten Windows PowerShell-Endpunkten. Standardmäßig stellen Remoteablaufverfolgungsziele eine Verbindung mithilfe des Standardendpunkts microsoft.powershell her. Wenn das Ablaufverfolgungsziel über die HostGuardianService Rolle verfügt, wird auch versucht, den Endpunkt zu verwenden, der microsoft.windows.hgs bei der Installation von HGS konfiguriert wird.

Wenn Sie einen benutzerdefinierten Endpunkt verwenden möchten, müssen Sie den Namen der Sitzungskonfiguration angeben, während Sie das Ablaufverfolgungsziel mithilfe des -PSSessionConfigurationName Parameters erstellen, z. B. unten:

New-HgsTraceTarget -HostName "hgs-01.secure.contoso.com" -Role HostGuardianService -Credential (Enter-Credential) -PSSessionConfigurationName "microsoft.windows.hgs"

Diagnostizieren mehrerer Hosts

Sie können mehrere Ablaufverfolgungsziele gleichzeitig an Get-HgsTrace übergeben. Dies umfasst eine Mischung aus lokalen und Remotezielen. Jedes Ziel wird nacheinander nachverfolgt, und dann werden die Ablaufverfolgungen von jedem Ziel gleichzeitig diagnostiziert. Das Diagnosetool kann das erweiterte Wissen über Ihre Bereitstellung nutzen, um komplexe knotenübergreifende Fehlkonfigurationen zu identifizieren, die andernfalls nicht erkennbar wären. Die Verwendung dieses Features erfordert nur die gleichzeitige Bereitstellung von Ablaufverfolgungen von mehreren Hosts (bei manueller Diagnose) oder das Ziel mehrerer Hosts beim Aufrufen Get-HgsTrace von (im Fall einer Remotediagnose).

Hier ist ein Beispiel für die Verwendung der Remotediagnose zum Selektieren eines Fabric, das aus zwei HGS-Knoten und zwei überwachten Hosts besteht, wobei einer der überwachten Hosts verwendet wird, um zu starten Get-HgsTrace.

$hgs01 = New-HgsTraceTarget -HostName "hgs-01.secure.contoso.com" -Credential (Enter-Credential)
$hgs02 = New-HgsTraceTarget -HostName "hgs-02.secure.contoso.com" -Credential (Enter-Credential)
$gh01 = New-HgsTraceTarget -Local
$gh02 = New-HgsTraceTarget -HostName "guardedhost-02.contoso.com"
Get-HgsTrace -Target $hgs01,$hgs02,$gh01,$gh02 -RunDiagnostics

Hinweis

Sie müssen nicht ihr gesamtes geschütztes Fabric diagnostizieren, wenn Sie mehrere Knoten diagnostizieren. In vielen Fällen ist es ausreichend, alle Knoten einzuschließen, die an einer bestimmten Fehlerbedingung beteiligt sein können. Dies ist in der Regel eine Teilmenge der überwachten Hosts und eine bestimmte Anzahl von Knoten aus dem HGS-Cluster.

Manuelle Diagnose mit gespeicherten Ablaufverfolgungen

Manchmal möchten Sie Diagnose erneut ausführen, ohne Ablaufverfolgungen erneut zu sammeln, oder Sie verfügen nicht über die erforderlichen Anmeldeinformationen, um alle Hosts in Ihrem Fabric gleichzeitig remote zu diagnostizieren. Die manuelle Diagnose ist ein Mechanismus, mit dem Sie weiterhin eine vollständige Fabric-Selektierung mit Get-HgsTracedurchführen können, ohne die Remoteüberwachungssammlung zu verwenden.

Bevor Sie eine manuelle Diagnose durchführen, müssen Sie sicherstellen, dass die Administratoren jedes Hosts im Fabric, der selektiert wird, bereit sind und bereit sind, Befehle in Ihrem Namen auszuführen. Die Diagnoseablaufverfolgungsausgabe macht keine Informationen verfügbar, die im Allgemeinen als vertraulich angesehen werden, aber es obliegt dem Benutzer, zu bestimmen, ob es sicher ist, diese Informationen für andere personen verfügbar zu machen.

Hinweis

Ablaufverfolgungen werden nicht anonymisiert und zeigen die Netzwerkkonfiguration, PKI-Einstellungen und andere Konfigurationen an, die manchmal als private Informationen betrachtet werden. Daher sollten Ablaufverfolgungen nur an vertrauenswürdige Entitäten innerhalb eines organization übertragen und niemals öffentlich veröffentlicht werden.

Schritte zum Ausführen einer manuellen Diagnose lauten wie folgt:

  1. Fordern Sie an, dass jeder Hostadministrator ausgeführt Get-HgsTrace wird, der eine bekannte -Path und die Liste der Diagnose angibt, die Sie für die resultierenden Ablaufverfolgungen ausführen möchten. Zum Beispiel:

    Get-HgsTrace -Path C:\Traces -Diagnostic Networking,BestPractices

  2. Fordern Sie an, dass jeder Hostadministrator den resultierenden Ablaufverfolgungsordner packt und an Sie sendet. Dieser Prozess kann über E-Mail, über Dateifreigaben oder einen anderen Mechanismus basierend auf den Betriebsrichtlinien und Verfahren, die von Ihrem organization festgelegt wurden, gesteuert werden.

  3. Führen Sie alle empfangenen Ablaufverfolgungen in einem einzelnen Ordner ohne andere Inhalte oder Ordner zusammen.

    Angenommen, Ihre Administratoren haben Ihnen Ablaufverfolgungen gesendet, die von vier Computern mit dem Namen HGS-01, HGS-02, RR1N2608-12 und RR1N2608-13 gesammelt wurden. Jeder Administrator hätte Ihnen einen Ordner mit demselben Namen gesendet. Sie würden eine Verzeichnisstruktur zusammenstellen, die wie folgt aussieht:

    FabricTraces
|- HGS-01
|  |- TargetMetadata.xml
|  |- Metadata.xml
|  |- [any other trace files for this host]
|- HGS-02
|  |- [...]
|- RR1N2608-12
|  |- [...]
|- RR1N2608-13
   |- [..]

  4. Führen Sie Diagnose aus, indem Sie den Pfad zum zusammengesetzten Ablaufverfolgungsordner für den -Path Parameter angeben und den -RunDiagnostics Switch sowie die Diagnose angeben, für die Sie Ihre Administratoren aufgefordert haben, Ablaufverfolgungen zu sammeln. Die Diagnose geht davon aus, dass sie nicht auf die Im Pfad gefundenen Hosts zugreifen kann, und versucht daher, nur die vorab erfassten Ablaufverfolgungen zu verwenden. Wenn Spuren fehlen oder beschädigt sind, werden Diagnose nur die betroffenen Tests nicht bestehen und normal fortgesetzt. Zum Beispiel:

    Get-HgsTrace -RunDiagnostics -Diagnostic Networking,BestPractices -Path ".\FabricTraces"

Mischen gespeicherter Ablaufverfolgungen mit zusätzlichen Zielen

In einigen Fällen verfügen Sie möglicherweise über eine Reihe vorab erfasster Ablaufverfolgungen, die Sie mit zusätzlichen Hostablaufverfolgungen erweitern möchten. Es ist möglich, vorab erfasste Ablaufverfolgungen mit zusätzlichen Zielen zu kombinieren, die in einem einzigen Aufruf von Diagnose nachverfolgt und diagnostiziert werden.

Rufen Sie die oben angegebenen Anweisungen zum Sammeln und Zusammenstellen eines Ablaufverfolgungsordners mit zusätzlichen Ablaufverfolgungszielen auf, Get-HgsTrace die nicht im vorab erfassten Ablaufverfolgungsordner gefunden wurden:

$hgs03 = New-HgsTraceTarget -HostName "hgs-03.secure.contoso.com" -Credential (Enter-Credential)
Get-HgsTrace -RunDiagnostics -Target $hgs03 -Path .\FabricTraces

Das Diagnose-Cmdlet identifiziert alle vorab erfassten Hosts und den einen zusätzlichen Host, der noch nachverfolgt werden muss, und führt die erforderliche Ablaufverfolgung aus. Die Summe aller gesammelten und frisch gesammelten Spuren wird dann diagnostiziert. Der resultierende Ablaufverfolgungsordner enthält sowohl die alten als auch die neuen Ablaufverfolgungen.

Bekannte Probleme

Das geschützte Fabric Diagnose Modul weist bekannte Einschränkungen auf, wenn es unter Windows Server 2019 oder Windows 10, Version 1809 und neueren Betriebssystemversionen ausgeführt wird. Die Verwendung der folgenden Features kann zu fehlerhaften Ergebnissen führen:

  • Hostschlüsselnachweis
  • Nur-Nachweis-HGS-Konfiguration (für SQL Server Always Encrypted Szenarien)
  • Verwenden von v1-Richtlinienartefakten auf einem HGS-Server, bei dem die Nachweisrichtlinie standardmäßig v2 ist

Ein Fehler in Get-HgsTrace bei verwendung dieser Features weist nicht unbedingt darauf hin, dass der HGS-Server oder der überwachte Host falsch konfiguriert ist. Verwenden Sie andere Diagnosetools wie Get-HgsClientConfiguration auf einem überwachten Host, um zu testen, ob ein Host den Nachweis bestanden hat.