Risolvere i problemi dei dispositivi usando il comando dsregcmd
Questo articolo illustra come usare l'output del dsregcmd comando per comprendere lo stato dei dispositivi in Microsoft Entra ID. L'utilità dsregcmd /status deve essere eseguita come account utente di dominio.
Stato del dispositivo
Questa sezione elenca i parametri dello stato di join del dispositivo. I criteri richiesti per il dispositivo in vari stati di join sono elencati nella tabella seguente:
| AzureAdJoined | EnterpriseJoined | DomainJoined | Stato del dispositivo |
|---|---|---|---|
| SÌ | NO | NO | Aggiunto a Microsoft Entra |
| NO | NO | SÌ | Aggiunti a un dominio |
| SÌ | NO | SÌ | Microsoft Entra aggiunto ibrido |
| NO | SÌ | SÌ | Aggiunto al ripristino di emergenza locale |
Nota
Lo stato Aggiunto all'area di lavoro (Microsoft Entra registrato) viene visualizzato nella sezione "Stato utente".
- AzureAdJoined: impostare lo stato su SÌ se il dispositivo viene aggiunto a Microsoft Entra ID. In caso contrario, impostare lo stato su NO.
- EnterpriseJoined: impostare lo stato su SÌ se il dispositivo viene aggiunto a un servizio di replica dati locale. Un dispositivo non può essere sia EnterpriseJoined che AzureAdJoined.
- DomainJoined: impostare lo stato su SÌ se il dispositivo viene aggiunto a un dominio (Active Directory).
- DomainName: impostare lo stato sul nome del dominio se il dispositivo viene aggiunto a un dominio.
Output dello stato del dispositivo di esempio
+----------------------------------------------------------------------+
| Device State |
+----------------------------------------------------------------------+
AzureAdJoined : YES
EnterpriseJoined : NO
DomainJoined : YES
DomainName : HYBRIDADFS
+----------------------------------------------------------------------+
Dettagli dispositivo
Lo stato viene visualizzato solo quando il dispositivo è aggiunto a Microsoft Entra o aggiunto a Microsoft Entra ibrido (non Registrato da Microsoft Entra). Questa sezione elenca i dettagli di identificazione dei dispositivi archiviati in Microsoft Entra ID.
- DeviceId: ID univoco del dispositivo nel tenant di Microsoft Entra.
- Identificazione personale: identificazione personale del certificato del dispositivo.
- DeviceCertificate Validità: stato di validità del certificato del dispositivo.
- KeyContainerId: valore containerId della chiave privata del dispositivo associato al certificato del dispositivo.
- KeyProvider: KeyProvider (Hardware/Software) usato per archiviare la chiave privata del dispositivo.
- TpmProtected: lo stato è impostato su SÌ se la chiave privata del dispositivo viene archiviata in un modulo TPM (Trusted Platform Module) hardware.
- DeviceAuthStatus: esegue un controllo per determinare l'integrità del dispositivo in Microsoft Entra ID. Gli stati di integrità sono:
- SUCCESS se il dispositivo è presente e abilitato in Microsoft Entra ID.
- FALLITO. Il dispositivo è disabilitato o eliminato se il dispositivo è disabilitato o eliminato. Per altre informazioni su questo problema, vedere Domande frequenti sulla gestione dei dispositivi di Microsoft Entra.
- FALLITO. ERROR se il test non è stato in grado di eseguire. Questo test richiede la connettività di rete all'ID Microsoft Entra nel contesto di sistema.
Nota
Il campo DeviceAuthStatus è stato aggiunto nell'aggiornamento di Windows 10 maggio 2021 (versione 21H1).
- Desktop virtuale: ci sono tre casi in cui viene visualizzato questo aspetto.
- NOT edizione Standard T: i metadati del dispositivo VDI non sono presenti nel dispositivo.
- YES - I metadati del dispositivo VDI sono presenti e gli output dsregcmd associati ai metadati, tra cui:
- Provider: nome del fornitore VDI.
- Tipo: VDI persistente o VDI non persistente.
- Modalità utente: utente singolo o multiutente.
- Estensioni: numero di coppie chiave-valore nei metadati specifici del fornitore facoltativi, seguite da coppie chiave-valore.
- INVALID: i metadati del dispositivo VDI sono presenti ma non sono impostati correttamente. In questo caso, dsregcmd restituisce i metadati non corretti.
Output dei dettagli del dispositivo di esempio
+----------------------------------------------------------------------+
| Device Details |
+----------------------------------------------------------------------+
DeviceId : e92325d0-xxxx-xxxx-xxxx-94ae875dxxxx
Thumbprint : D293213EF327483560EED8410CAE36BB67208179
DeviceCertificateValidity : [ 2019-01-11 21:02:50.000 UTC -- 2029-01-11 21:32:50.000 UTC ]
KeyContainerId : 13e68a58-xxxx-xxxx-xxxx-a20a2411xxxx
KeyProvider : Microsoft Software Key Storage Provider
TpmProtected : NO
DeviceAuthStatus : SUCCESS
+----------------------------------------------------------------------+
Dettagli del tenant
I dettagli del tenant vengono visualizzati solo quando il dispositivo è aggiunto a Microsoft Entra o aggiunto a Microsoft Entra ibrido, non a Microsoft Entra registrato. Questa sezione elenca i dettagli comuni del tenant visualizzati quando un dispositivo viene aggiunto all'ID Microsoft Entra.
Nota
Se i campi URL di gestione dei dispositivi mobili (MDM) in questa sezione sono vuoti, indica che mdm non è stato configurato o che l'utente corrente non è nell'ambito della registrazione MDM. Controllare le impostazioni di mobilità in Microsoft Entra ID per esaminare la configurazione MDM.
Anche se vengono visualizzati GLI URL MDM, questo non significa che il dispositivo sia gestito da un MDM. Le informazioni vengono visualizzate se il tenant ha la configurazione MDM per la registrazione automatica anche se il dispositivo stesso non è gestito.
Output dei dettagli del tenant di esempio
+----------------------------------------------------------------------+
| Tenant Details |
+----------------------------------------------------------------------+
TenantName : HybridADFS
TenantId : 96fa76d0-xxxx-xxxx-xxxx-eb60cc22xxxx
Idp : login.windows.net
AuthCodeUrl : https://login.microsoftonline.com/96fa76d0-xxxx-xxxx-xxxx-eb60cc22xxxx/oauth2/authorize
AccessTokenUrl : https://login.microsoftonline.com/96fa76d0-xxxx-xxxx-xxxx-eb60cc22xxxx/oauth2/token
MdmUrl : https://enrollment.manage-beta.microsoft.com/EnrollmentServer/Discovery.svc
MdmTouUrl : https://portal.manage-beta.microsoft.com/TermsOfUse.aspx
MdmComplianceUrl : https://portal.manage-beta.microsoft.com/?portalAction=Compliance
SettingsUrl : eyJVxxxxIjpbImh0dHBzOi8va2FpbGFuaS5vbmUubWljcm9zb2Z0LmNvbS8iLCJodHRwczovL2thaWxhbmkxLm9uZS5taWNyb3NvZnQuY29tLyxxxx==
JoinSrvVersion : 1.0
JoinSrvUrl : https://enterpriseregistration.windows.net/EnrollmentServer/device/
JoinSrvId : urn:ms-drs:enterpriseregistration.windows.net
KeySrvVersion : 1.0
KeySrvUrl : https://enterpriseregistration.windows.net/EnrollmentServer/key/
KeySrvId : urn:ms-drs:enterpriseregistration.windows.net
WebAuthNSrvVersion : 1.0
WebAuthNSrvUrl : https://enterpriseregistration.windows.net/webauthn/96fa76d0-xxxx-xxxx-xxxx-eb60cc22xxxx/
WebAuthNSrvId : urn:ms-drs:enterpriseregistration.windows.net
DeviceManagementSrvVer : 1.0
DeviceManagementSrvUrl : https://enterpriseregistration.windows.net/manage/96fa76d0-xxxx-xxxx-xxxx-eb60cc22xxxx/
DeviceManagementSrvId : urn:ms-drs:enterpriseregistration.windows.net
+----------------------------------------------------------------------+
Stato utente
In questa sezione vengono elencati gli stati dei vari attributi per gli utenti attualmente connessi al dispositivo.
Nota
Il comando deve essere eseguito in un contesto utente per recuperare uno stato valido.
- NgcSet: impostare lo stato su SÌ se è impostata una chiave di Windows Hello per l'utente connesso corrente.
- NgcKeyId: ID della chiave di Windows Hello se ne è impostata una per l'utente connesso corrente.
- CanReset: indica se la chiave di Windows Hello può essere reimpostata dall'utente.
- Valori possibili:StructOnly, NonDestructiveOnly,StructAndNonDestructive o Unknown in caso di errore.
- WorkplaceJoined: impostare lo stato su SÌ se al dispositivo sono stati aggiunti account registrati di Microsoft Entra nel contesto NTU edizione Standard R corrente.
- WamDefaultSet: impostare lo stato su SÌ se viene creato un WebAccount Web Manager (WAM) predefinito per l'utente connesso. Questo campo potrebbe visualizzare un errore se
dsregcmd /statusviene eseguito da un prompt dei comandi con privilegi elevati. - WamDefaultAuthority: impostare lo stato sulle organizzazioni per Microsoft Entra ID.
- WamDefaultId: usare https://login.microsoft.com sempre per Microsoft Entra ID.
- WamDefaultGUID: GUID del provider WAM (Microsoft Entra ID/account Microsoft) per l'account Web WAM predefinito.
Output dello stato utente di esempio
+----------------------------------------------------------------------+
| User State |
+----------------------------------------------------------------------+
NgcSet : YES
NgcKeyId : {FA0DB076-A5D7-4844-82D8-50A2FB42EC7B}
CanReset : DestructiveAndNonDestructive
WorkplaceJoined : NO
WamDefaultSet : YES
WamDefaultAuthority : organizations
WamDefaultId : https://login.microsoft.com
WamDefaultGUID : { B16898C6-A148-4967-9171-64D755DA8520 } (AzureAd)
+----------------------------------------------------------------------+
Stato SSO
È possibile ignorare questa sezione per i dispositivi registrati da Microsoft Entra.
Nota
Il comando deve essere eseguito in un contesto utente per recuperare lo stato valido dell'utente.
- AzureAdPrt: impostare lo stato su SÌ se nel dispositivo è presente un token di aggiornamento primario per l'utente connesso.
- AzureAdPrtUpdateTime: impostare lo stato sull'ora, nell'ora UTC (Coordinated Universal Time), quando il token di aggiornamento primario è stato aggiornato.
- AzureAdPrtExpiryTime: impostare lo stato sull'ora, in formato UTC, quando il token di aggiornamento primario scadrà se non viene rinnovato.
- AzureAdPrtAuthority: URL dell'autorità di Microsoft Entra
- EnterprisePrt: impostare lo stato su SÌ se il dispositivo dispone di un token di aggiornamento primario da Active Directory locale Federation Services (AD FS). Per i dispositivi aggiunti a Microsoft Entra ibrido, il dispositivo potrebbe avere un token di aggiornamento primario da Microsoft Entra ID e Active Directory locale simultaneamente. I dispositivi aggiunti in locale hanno solo un token di aggiornamento primario aziendale.
- EnterprisePrtUpdateTime: impostare lo stato sull'ora, in formato UTC, dell'ultimo aggiornamento di Enterprise PRT.
- EnterprisePrtExpiryTime: impostare lo stato sull'ora, in formato UTC, quando il token di aggiornamento primario scadrà se non viene rinnovato.
- EnterprisePrtAuthority: URL dell'autorità AD FS
Nota
I campi di diagnostica PRT seguenti sono stati aggiunti nell'aggiornamento di Windows 10 maggio 2021 (versione 21H1).
- Le informazioni di diagnostica visualizzate nel campo AzureAdPrt sono relative all'acquisizione o all'aggiornamento di Microsoft Entra PRT e le informazioni di diagnostica visualizzate nel campo EnterprisePrt sono relative all'acquisizione o all'aggiornamento di Enterprise PRT.
- Le informazioni di diagnostica vengono visualizzate solo se l'acquisizione o l'errore di aggiornamento si è verificato dopo l'ora dell'ultimo aggiornamento prt riuscito (AzureAdPrtUpdateTime/EnterprisePrtUpdateTime).
In un dispositivo condiviso queste informazioni di diagnostica potrebbero derivare da un tentativo di accesso di un utente diverso.
- AcquirePrtDiagnostics: impostare lo stato su PRE edizione Standard NT se le informazioni di diagnostica PRT acquisite sono presenti nei log.
- Questo campo viene ignorato se non sono disponibili informazioni di diagnostica.
- Tentativo prt precedente: ora locale, in formato UTC, in cui si è verificato il tentativo di aggiornamento primario non riuscito.
- Stato tentativo: codice di errore client restituito (HRESULT).
- Identità utente: UPN dell'utente per il quale si è verificato il tentativo di aggiornamento primario.
- Tipo di credenziale: credenziali usate per acquisire o aggiornare il token di aggiornamento primario. I tipi di credenziali comuni sono Password e NGC (Next Generation Credential) (per Windows Hello).
- ID correlazione: ID di correlazione inviato dal server per il tentativo di token di aggiornamento primario non riuscito.
- URI endpoint: ultimo endpoint a cui si accede prima dell'errore.
- Metodo HTTP: metodo HTTP usato per accedere all'endpoint.
- Errore HTTP: codice di errore del trasporto WinHttp. Ottenere altri codici di errore di rete.
- Stato HTTP: stato HTTP restituito dall'endpoint.
- Codice errore del server: codice di errore del server.
- Descrizione dell'errore del server: messaggio di errore del server.
- RefreshPrtDiagnostics: impostare lo stato su PRE edizione Standard NT se le informazioni di diagnostica PRT acquisite sono presenti nei log.
- Questo campo viene ignorato se non sono disponibili informazioni di diagnostica.
- I campi di informazioni di diagnostica sono uguali a AcquirePrtDiagnostics.
Nota
I campi di diagnostica Kerberos cloud seguenti sono stati aggiunti nella versione originale di Windows 11 (versione 21H2).
- OnPremTgt: impostare lo stato su SÌ se un ticket Kerberos cloud per accedere alle risorse locali è presente nel dispositivo per l'utente connesso.
- CloudTgt: impostare lo stato su SÌ se un ticket Kerberos cloud per accedere alle risorse cloud è presente nel dispositivo per l'utente connesso.
- KerbTopLevelNames: elenco dei nomi dell'area di autenticazione Kerberos di primo livello per Cloud Kerberos.
Output dello stato SSO di esempio
+----------------------------------------------------------------------+
| SSO State |
+----------------------------------------------------------------------+
AzureAdPrt : NO
AzureAdPrtAuthority : https://login.microsoftonline.com/96fa76d0-xxxx-xxxx-xxxx-eb60cc22xxxx
AcquirePrtDiagnostics : PRESENT
Previous Prt Attempt : 2020-07-18 20:10:33.789 UTC
Attempt Status : 0xc000006d
User Identity : john@contoso.com
Credential Type : Password
Correlation ID : 63648321-fc5c-46eb-996e-ed1f3ba7740f
Endpoint URI : https://login.microsoftonline.com/96fa76d0-xxxx-xxxx-xxxx-eb60cc22xxxx/oauth2/token/
HTTP Method : POST
HTTP Error : 0x0
HTTP status : 400
Server Error Code : invalid_grant
Server Error Description : AADSTS50126: Error validating credentials due to invalid username or password.
EnterprisePrt : YES
EnterprisePrtUpdateTime : 2019-01-24 19:15:33.000 UTC
EnterprisePrtExpiryTime : 2019-02-07 19:15:33.000 UTC
EnterprisePrtAuthority : https://fs.hybridadfs.nttest.microsoft.com:443/adfs
OnPremTgt : YES
CloudTgt : YES
KerbTopLevelNames : .windows.net,.windows.net:1433,.windows.net:3342,.azure.net,.azure.net:1433,.azure.net:3342
+----------------------------------------------------------------------+
dati di diagnostica
Diagnostica di pre-join
Questa sezione di diagnostica viene visualizzata solo se il dispositivo è aggiunto a un dominio e non è possibile accedere all'aggiunta ibrida a Microsoft Entra.
In questa sezione vengono eseguiti vari test per diagnosticare gli errori di join. Le informazioni includono la fase di errore, il codice di errore, l'ID richiesta del server, lo stato HTTP della risposta del server e il messaggio di errore di risposta del server.
Contesto utente: contesto in cui viene eseguita la diagnostica. Valori possibili: SYSTEM, UN-ELEVATED User, ELEVATED User.
Nota
Poiché il join effettivo viene eseguito nel contesto SYSTEM, l'esecuzione della diagnostica nel contesto SYSTEM è più vicina allo scenario di join effettivo. Per eseguire la diagnostica nel contesto SYSTEM, il
dsregcmd /statuscomando deve essere eseguito da un prompt dei comandi con privilegi elevati.Ora client: ora di sistema, in formato UTC.
Test di Connessione ivity di ACTIVE Directory: questo test esegue un test di connettività al controller di dominio. Un errore in questo test genera probabilmente errori di join nella fase di pre-controllo.
Test di configurazione di Active Directory: questo test legge e verifica se l'oggetto Service Connessione ion Point (SCP) è configurato correttamente nella foresta Active Directory locale. Gli errori in questo test potrebbero causare errori di join nella fase di individuazione con il codice di errore 0x801c001d.
Test di individuazione DRS: questo test ottiene gli endpoint DRS dall'endpoint dei metadati di individuazione ed esegue una richiesta dell'area di autenticazione dell'utente. Gli errori in questo test potrebbero causare errori di join nella fase di individuazione.
Test di Connessione ivity drs: questo test esegue un test di connettività di base all'endpoint DRS.
Test acquisizione token: questo test prova a ottenere un token di autenticazione Di Microsoft Entra se il tenant utente è federato. Gli errori in questo test potrebbero causare errori di join nella fase di autenticazione. Se l'autenticazione non riesce, il join di sincronizzazione viene tentato come fallback, a meno che il fallback non venga disabilitato in modo esplicito con le impostazioni della chiave del Registro di sistema seguenti:
Keyname: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\CDJ Value: FallbackToSyncJoin Type: REG_DWORD Value: 0x0 -> Disabled Value: 0x1 -> Enabled Default (No Key): EnabledFallback a Sync-Join: impostare lo stato su Abilitato se la chiave del Registro di sistema precedente per impedire il fallback per la sincronizzazione con errori di autenticazione non è presente. Questa opzione è disponibile in Windows 10 1803 e versioni successive.
Registrazione precedente: ora in cui si è verificato il tentativo di join precedente. Vengono registrati solo i tentativi di join non riusciti.
Fase di errore: fase del join in cui è stata interrotta. I valori possibili sono pre-verifica, individuazione, autenticazione e join.
Client ErrorCode: codice di errore client restituito (HRESULT).
Server ErrorCode: codice di errore del server visualizzato se una richiesta è stata inviata al server e il server ha risposto con un codice di errore.
Messaggio server: il messaggio del server restituito insieme al codice di errore.
Stato HTTPS: stato HTTP restituito dal server.
ID richiesta: id richiesta client inviato al server. L'ID richiesta è utile per la correlazione con i log lato server.
Output di diagnostica di pre-join di esempio
L'esempio seguente mostra un test di diagnostica che ha esito negativo con un errore di individuazione.
+----------------------------------------------------------------------+
| Diagnostic Data |
+----------------------------------------------------------------------+
Diagnostics Reference : www.microsoft.com/aadjerrors
User Context : SYSTEM
Client Time : 2019-01-31 09:25:31.000 UTC
AD Connectivity Test : PASS
AD Configuration Test : PASS
DRS Discovery Test : FAIL [0x801c0021/0x801c000c]
DRS Connectivity Test : SKIPPED
Token acquisition Test : SKIPPED
Fallback to Sync-Join : ENABLED
Previous Registration : 2019-01-31 09:23:30.000 UTC
Error Phase : discover
Client ErrorCode : 0x801c0021
+----------------------------------------------------------------------+
L'esempio seguente mostra che i test di diagnostica superano ma il tentativo di registrazione non è riuscito con un errore di directory, previsto per il join di sincronizzazione. Al termine del processo di sincronizzazione di Microsoft Entra Connessione, il dispositivo è in grado di partecipare.
+----------------------------------------------------------------------+
| Diagnostic Data |
+----------------------------------------------------------------------+
Diagnostics Reference : www.microsoft.com/aadjerrors
User Context : SYSTEM
Client Time : 2019-01-31 09:16:50.000 UTC
AD Connectivity Test : PASS
AD Configuration Test : PASS
DRS Discovery Test : PASS
DRS Connectivity Test : PASS
Token acquisition Test : PASS
Fallback to Sync-Join : ENABLED
Previous Registration : 2019-01-31 09:16:43.000 UTC
Registration Type : sync
Error Phase : join
Client ErrorCode : 0x801c03f2
Server ErrorCode : DirectoryError
Server Message : The device object by the given id (e92325d0-7ac4-4714-88a1-94ae875d5245) isn't found.
Https Status : 400
Request Id : 6bff0bd9-820b-484b-ab20-2a4f7b76c58e
+----------------------------------------------------------------------+
Diagnostica post-join
Questa sezione di diagnostica visualizza l'output dei controlli di integrità eseguiti in un dispositivo aggiunto al cloud.
- AadRecoveryEnabled: se il valore è SÌ, le chiavi archiviate nel dispositivo non sono utilizzabili e il dispositivo viene contrassegnato per il ripristino. L'accesso successivo attiverà il flusso di ripristino e rieregistrerà il dispositivo.
- KeySignTest: se il valore è PAS edizione Standard D, le chiavi del dispositivo sono integre. Se KeySignTest ha esito negativo, il dispositivo viene in genere contrassegnato per il ripristino. L'accesso successivo attiverà il flusso di ripristino e rieregistrerà il dispositivo. Per i dispositivi aggiunti a Microsoft Entra ibrido, il ripristino è invisibile all'utente. Mentre i dispositivi sono aggiunti a Microsoft Entra o Microsoft Entra registrati, richiedono l'autenticazione dell'utente per ripristinare e registrare nuovamente il dispositivo, se necessario.
Nota
KeySignTest richiede privilegi elevati.
Output di diagnostica post-join di esempio
+----------------------------------------------------------------------+
| Diagnostic Data |
+----------------------------------------------------------------------+
AadRecoveryEnabled: NO
KeySignTest : PASSED
+----------------------------------------------------------------------+
Controllo dei prerequisiti NGC
Questa sezione di diagnostica esegue il controllo dei prerequisiti per la configurazione di Windows Hello for Business (WHFB).
Nota
Se l'utente ha già configurato WHFB, potrebbe non visualizzare i dettagli dsregcmd /status dei prerequisiti NGC.
- IsDeviceJoined: impostare lo stato su SÌ se il dispositivo viene aggiunto a Microsoft Entra ID.
- IsUserAzureAD: impostare lo stato su SÌ se l'utente connesso è presente in Microsoft Entra ID.
- PolicyEnabled: impostare lo stato su SÌ se il criterio WHFB è abilitato nel dispositivo.
- PostLogonEnabled: impostare lo stato su SÌ se la registrazione WHFB viene attivata in modo nativo dalla piattaforma. Se lo stato è impostato su NO, indica che la registrazione di Windows Hello for Business viene attivata da un meccanismo personalizzato.
- DeviceEligible: impostare lo stato su SÌ se il dispositivo soddisfa il requisito hardware per la registrazione con WHFB.
- SessionIsNotRemote: impostare lo stato su SÌ se l'utente corrente è connesso direttamente al dispositivo e non in remoto.
- CertEnrollment: questa impostazione è specifica per la distribuzione dell'attendibilità del certificato WHFB, che indica l'autorità di registrazione certificati per WHFB. Impostare lo stato sull'autorità di registrazione se l'origine dei criteri WHFB è Criteri di gruppo o impostarla sulla gestione dei dispositivi mobili se l'origine è MDM. Se nessuna delle due origini si applica, impostare lo stato su nessuno.
- AdfsRefreshToken: questa impostazione è specifica per la distribuzione dell'attendibilità del certificato WHFB e presente solo se lo stato CertEnrollment è l'autorità di registrazione. L'impostazione indica se il dispositivo ha un token di aggiornamento primario aziendale per l'utente.
- AdfsRaIsReady: questa impostazione è specifica per la distribuzione dell'attendibilità del certificato WHFB e presente solo se lo stato CertEnrollment è l'autorità di registrazione. Impostare lo stato su SÌ se AD FS indica nei metadati di individuazione che supporta WHFB e il modello di certificato di accesso è disponibile.
- LogonCertTemplateReady: questa impostazione è specifica per la distribuzione dell'attendibilità del certificato WHFB e presente solo se lo stato CertEnrollment è l'autorità di registrazione. Impostare lo stato su SÌ se lo stato del modello di certificato di accesso è valido e consente di risolvere i problemi dell'autorità di registrazione di AD FS.
- PreReqResult: fornisce il risultato di tutta la valutazione dei prerequisiti WHFB. Impostare lo stato su Provisioning se la registrazione WHFB verrà avviata come attività di post-accesso al successivo accesso dell'utente.
Nota
I campi di diagnostica Kerberos cloud seguenti sono stati aggiunti nell'aggiornamento di Windows 10 maggio 2021 (versione 21H1).
Prima di Windows 11 versione 23H2, l'impostazione OnPremTGT era denominata CloudTGT.
- OnPremTGT: questa impostazione è specifica per la distribuzione trust Kerberos cloud e presente solo se lo stato CertEnrollment non è nessuno. Impostare lo stato su SÌ se il dispositivo dispone di un ticket Kerberos cloud per accedere alle risorse locali. Prima di Windows 11 versione 23H2, questa impostazione era denominata CloudTGT.
Esempi di prerequisiti NGC controllano l'output
+----------------------------------------------------------------------+
| Ngc Prerequisite Check |
+----------------------------------------------------------------------+
IsDeviceJoined : YES
IsUserAzureAD : YES
PolicyEnabled : YES
PostLogonEnabled : YES
DeviceEligible : YES
SessionIsNotRemote : YES
CertEnrollment : enrollment authority
AdfsRefreshToken : YES
AdfsRaIsReady : YES
LogonCertTemplateReady : YES ( StateReady )
PreReqResult : WillProvision
+----------------------------------------------------------------------+
Passaggi successivi
Passare allo strumento Di ricerca errori Microsoft.