Ao efetuar logon no servidor da Área de Trabalho Remota, recebo o erro “O serviço do Cliente da Diretiva de Grupo falhou no logon. Acesso negado"

Question

Etapas para recriar o problema ... (Windows 2008 Server - DC e Windows 7 como a caixa do cliente)

1) Create a new user in the domain.
   Example: user1
2) Set the user's "Remote Desktop Services User Profile" to a network path.
   Example: \myserver\profiles\bullpin
3) Logon with user1 to the remote desktop (SERVER_A), then create a new shortcut to a web page.
   Example: http://google.com -> Named: Google
4) Logout with user1.
5) Create a new user in the domain.
   Example: user2
6) Set the user's "Remote Desktop Services User Profile" to the same network path.
   Example: \myserver\profiles\bulpin
7) Logon with user2 to the remote desktop (SERVER_A).  YOU SHOULD GET AN ERROR!
   ERROR: "The Group Policy Client service failed the logon.  Access is denied"

Atualização:

Minha resposta abaixo corrigiu o problema e tudo pareceu funcionar bem. Agora estou procurando descobrir como posso evitar isso em primeiro lugar? Sem ter que alterar as permissões enquanto o erro ainda estiver ativo (nos 30 segundos é o último). Posso alterar as permissões da chave antes que o usuário tente fazer o login?

Nota: Se eu precisar carregar o perfil na seção HKEY_USERS manualmente, explique como.

Obrigado!

    

Answer 1

Procurando respostas na Web, nos registros, etc. Encontrei algumas coisas interessantes ...

Olhando no log (Windows Logs- > Application) de SERVER_A, encontrei as seguintes 2 entradas ...

1) The winlogon notification subscriber <GPClient> failed a critical notification event.
2) The winlogon notification subscriber <Sens> failed a notification event.

Então, lendo em volta, eu tive a idéia de procurar em outro log em SERVER_A (Logs de Aplicativos e Serviços- > Microsoft- > Windows- > User Profile Service- > Operacional) e encontrei estas entradas ...

1) Recieved user logon notification on session 1.
2) Registry file C:\Users\user1\ntuser.man is loaded at HKU\S-1-5-21-2420121206-1056658499-602520278-4624.
3) Registry file C:\Users\user1\AppData\Local\Microsoft\Windows\UsrClass.dat is loaded at HKU\S-1-5-21-2420121206-1056658499-602520278-4624_Classes.
4) Finished processing user logon notification on session 1.
5) Recieved user logoff notification on session 1.
6) Finished processing user logoff notification on session 1.

Perguntando-me o que diabos "carregar" o perfil de um usuário no registro Eu comecei a brincar e descobri que a seção do Registro (Run- > regedit.exe ou Windows Key + R- > regedit.exe) em SERVER_A tinha uma chave chamada "HKEY_USERS". No interior que eu não consegui encontrar o GUID referenciado !!! Então, olhando para as coisas, eu tive uma idéia. Tente se conectar à área de trabalho remota como de costume, receba a mensagem de erro, MAS NÃO CLIQUE OK NO ERRO. Apenas deixe ficar lá. Muito rapidamente (porque acaba em breve) eu pulei para SERVER_A e atualizei o registro com F5 e com certeza a entrada GUID apareceu !!! Antes que a mensagem de erro de logon expirasse, cliquei com o botão direito no GUID "HKU \ S-1-5-21-2420121206-1056658499-602520278-4624" e fui para "Permissões" e descobri que esse era o problema ...

My original user1 has rights to that key (HKU\S-1-5-21-2420121206-1056658499-602520278-4624) but there was no sign of user2!

Então, para resolver o problema, fiz o seguinte ...

Before the logon error timed-out I quickly updated the permissions to REMOVE the user1 entry and added a group that I had called "BullPin" which was a group created with user1 and user2 in it.

    

Answer 2

Essa correção funcionou para mim: Renomeie o perfil móvel do usuário com o sufixo .OLD.

Em todos os computadores com o problema, faça o login como ADMIN, clique com o botão direito em COMPUTER > PROPRIEDADES > CONFIGURAÇÕES AVANÇADAS DO SISTEMA > PERFIS DO USUÁRIO > exclua o perfil local do usuário ofensivo.

Faça logout e faça login novamente com o usuário, tudo bem.

    

Answer 3

Eu estava enfrentando o mesmo problema ao conectar o win 2008r2 RDC.

The Group Policy Client service failed the logon. Access is denied.

Corrigi o problema excluindo a pasta de um usuário específico em C: \ Users.

    

Answer 4

Não deve haver nenhum problema se você especificar diferentes caminhos de perfil de usuário do RDS. Quando os usuários fazem login, seu arquivo ntuser.dat é montado (carregado) como HKU\<SID of user>\... . Quando o usuário efetua logoff, a seção é desmontada (descarregada) e todas as alterações são gravadas no ntuser.dat do usuário no compartilhamento de perfil.

O SID em HKU consiste no ID exclusivo do domínio + um ID relativo (RID) fornecido pelo mestre de RID do domínio. Veja Funções FSMO para mais detalhes.

De tempos em tempos, o descarregamento do registro do usuário tem suas falhas, possivelmente fazendo com que o perfil RDS seja corrompido.