การแก้ไข: ไม่สามารถสร้างข้อผิดพลาดบริบท SSPI [SQL Server]

ชื่อหลักเป้าหมายไม่ถูกต้อง – ไม่สามารถสร้างข้อผิดพลาดบริบท SSPI เกิดขึ้นเมื่อพยายามทำการเชื่อมต่อบน SQL เซิร์ฟเวอร์จากเซิร์ฟเวอร์ระยะไกลที่มีบัญชี Windows

นี่เป็นข้อผิดพลาดทั่วไป สามารถทริกเกอร์ได้เนื่องจากสาเหตุหลายประการ รวมถึงรหัสผ่านที่ล้าสมัย นาฬิกาเลื่อน ความล้มเหลวในการลงทะเบียน SPN หรือการอนุญาตการเข้าถึง Active Directory

ในบทความนี้ เราจะพิจารณาขั้นตอนการแก้ไขปัญหาสองสามขั้นตอนเพื่อช่วยคุณแก้ไขข้อผิดพลาดที่ไม่สามารถสร้างบริบท SSPI บนเซิร์ฟเวอร์ Windows

ฉันจะแก้ไขชื่อหลักเป้าหมายไม่ถูกต้องได้อย่างไร - ไม่สามารถสร้างข้อผิดพลาดบริบท SSPI ได้

1. เปลี่ยนผู้ใช้บริการ SQL

ลองเปลี่ยนผู้ใช้ SQL SERVICE ด้วยผู้ใช้ที่เป็น Domain Admin เมื่อคุณปิดบริการ คุณต้องมีบัญชีที่มีสิทธิ์เพื่อสร้าง SPN ใหม่ (ชื่อหลักของบริการ)

เมื่อบริการเริ่มต้นโดยไม่มีบริการ จะทำให้เกิดข้อผิดพลาด การเปลี่ยนสิทธิ์ของบัญชีระบบสามารถแก้ไขข้อผิดพลาดได้

อย่างไรก็ตาม ขอแนะนำเสมอสำหรับบัญชีบริการเพื่อให้สิทธิ์น้อยที่สุดเนื่องจากเหตุผลด้านความปลอดภัย

ลบรายการ SPN จาก AD Users and Computers

1. เปิดผู้ใช้ Active Directory และคอมพิวเตอร์ในมุมมองขั้นสูง
2. ค้นหารายการ SSPN สำหรับ MSSQL Svc
3. ลบรายการทั้งหมดที่เกี่ยวข้องกับ MSSQL Svc
4. ปิดผู้ใช้ AD และคอมพิวเตอร์ และตรวจสอบการปรับปรุงใดๆ
5. เปลี่ยนการอนุญาต Active Directory

---

2. ตรวจสอบรหัสผ่านของคุณ

ข้อผิดพลาดไม่สามารถสร้างบริบท SSPI ได้เนื่องจากปัญหารหัสผ่าน หากคุณเพิ่งเปลี่ยนรหัสผ่าน แต่ยังไม่ได้ออกจากระบบบัญชีของคุณ อาจทำให้เกิดข้อผิดพลาดได้

ลองออกจากระบบแล้วลงชื่อเข้าใช้ด้วยรหัสผ่านใหม่เพื่อแก้ไขข้อผิดพลาด

ในกรณีอื่นๆ ปัญหาอาจเกิดจากการหมดอายุของรหัสผ่าน เปลี่ยนรหัสผ่านที่หมดอายุและเข้าสู่ระบบด้วยข้อมูลประจำตัวใหม่เพื่อดูว่าสามารถแก้ไขข้อผิดพลาดได้หรือไม่

---

3. เปลี่ยนการอนุญาต Active Directory 

1. วิ่ง Adsiedit.msc และจาก วิ่ง กล่องโต้ตอบ
2. ใน บริการไดเรกทอรีที่ใช้งานอยู่ หน้าต่างขยายโดเมน [ชื่อโดเมนของคุณ]แล้วขยาย DC = RootDomainName, แล้วก็ CN = ผู้ใช้.
3. คลิกขวาที่ CN= [ชื่อบัญชีของคุณ] และเลือก คุณสมบัติ.
4. เปิด ความปลอดภัย แท็บ
5. คลิกที่ ขั้นสูง ตัวเลือก
6. เลือกอย่างใดอย่างหนึ่งของ ตนเอง แถว
7. คลิก แก้ไข แล้วก็ เปิดรายการอนุญาต หน้าต่าง.
8. ที่นี่ตรวจสอบให้แน่ใจ อาจารย์ใหญ่ ถูกตั้งค่าเป็น ตนเอง พิมพ์ ถูกตั้งค่าเป็น อนุญาต และ ประยุกต์ ถูกตั้งค่าเป็น วัตถุนี้เท่านั้น.
9. ในส่วนคุณสมบัติ ให้เลือกรายการต่อไปนี้
   อ่านบริการPrincipalName
   บริการเขียนPrincipalName
10. คลิก ตกลง เพื่อใช้การเปลี่ยนแปลงและออก

ลองสร้างการเชื่อมต่อใหม่และตรวจสอบว่าไม่สามารถสร้างข้อผิดพลาดบริบท SSPI ได้รับการแก้ไขแล้ว ตรวจสอบให้แน่ใจว่าคุณเริ่มบริการ SQL ใหม่ที่เชื่อมโยงกับบัญชีปัจจุบันเพื่อใช้การเปลี่ยนแปลง

การเปลี่ยนสิทธิ์ของ Active Directory เป็นทางเลือกที่ปลอดภัยกว่าการเปลี่ยนผู้ใช้เซิร์ฟเวอร์ SQL อย่างไรก็ตาม ก่อนที่คุณจะดำเนินการเปลี่ยนการอนุญาต ตรวจสอบให้แน่ใจว่าปัญหาเกิดขึ้นเนื่องจากปัญหาการอนุญาต

เข้าสู่ระบบเซิร์ฟเวอร์ที่อินสแตนซ์ SQL ของคุณทำงานอยู่ จากนั้นตรวจสอบบันทึกข้อผิดพลาดเพื่อตรวจสอบว่าข้อผิดพลาดเกิดขึ้นเนื่องจากปัญหาการอนุญาตหรือไม่

ข้อผิดพลาดในบันทึกจะมีลักษณะดังนี้:

ไลบรารี SQL Server Network Interface ไม่สามารถลงทะเบียน Service Principal Name (SPN) [ MSSQLSvc/servername.domainname.net: 1433 ] สำหรับบริการ SQL Server
รหัสส่งคืนของ Windows: 0x2098 สถานะ: 15 ความล้มเหลวในการลงทะเบียน SPN อาจทำให้การรับรองความถูกต้องแบบรวมใช้ NTLM แทน Kerberos
นี่คือข้อความที่ให้ข้อมูล จำเป็นต้องมีการดำเนินการเพิ่มเติมเฉพาะในกรณีที่นโยบายการตรวจสอบสิทธิ์กำหนดให้ตรวจสอบสิทธิ์ Kerberos และหากไม่ได้ลงทะเบียน SPN ด้วยตนเอง

ข้อผิดพลาดไม่สามารถสร้างบริบท SSPI ได้เนื่องจากการอนุญาตรวมถึงปัญหาข้อมูลรับรองที่หมดอายุ การเปลี่ยนรหัสผ่านและการอนุญาตจะช่วยคุณแก้ไขข้อผิดพลาดและกลับเข้าสู่ระบบเซิร์ฟเวอร์ SQL ของคุณ