- שגיאה 0xC000000D נגרמת על ידי התכונה 'הגנת מנהל מערכת' בגרסאות האחרונות של Windows 11 לאחר התקנת עדכונים ספציפיים.
- זה משפיע בעיקר על משתמשים ללא הרשאות מנהל שמנסים להתחבר למחשבים המנוהלים על ידי Intune או GPO.
- הפתרון הזמני הוא לשנות את מצב אישור המנהל למצב Legacy ולהפעיל מחדש את המערכת.
אם גיליתם לפתע ש-Windows 11 Remote Desktop הפסיק לעבוד ומציג את השגיאה המפחידה 0xC000000D , אל ייאוש. שגיאה זו, שבדרך כלל מלווה בהודעה המציינת שהטוקן שהועבר לפונקציה אינו חוקי , הפכה לכאב ראש גדול עבור רבים, במיוחד לאחר מספר עדכוני מערכת אחרונים ששינו חלק מתכונות האבטחה.
הדבר המוזר ביותר הוא שברוב המקרים, אין לזה שום קשר להזנת סיסמה שגויה או לתקלה בנתב. מדובר בקונפליקט טכני פנימי הקשור לניהול הרשאות והגנה על חשבונות, שמשפיע בעיקר על סביבות ארגוניות או מערכות המנוהלות באופן מקצועי, אם כי הוא יכול להופיע גם בהגדרות ביתיות אם הגדרות מסוימות שונו.
האשם: הגנת מנהל מערכת
הבעיה העיקרית נובעת מתכונה בשם " הגנת מנהל ". כלי אבטחה זה מתוכנן כך שגם אם אתם משתמשים בחשבון עם הרשאות מוגברות, Windows מאלץ אתכם לפעול כמשתמש רגיל. רק כאשר אתם צריכים לעשות משהו "רציני", כמו התקנת תוכנה או שינוי הרישום, המערכת מבקשת מכם לאמת את זהותכם באמצעות Windows Hello כדי ליצור אסימון זמני. זהו אמצעי מצוין לריסון תוכנות זדוניות, אך התברר שיש לו תופעת לוואי מעצבנת למדי עם RDP.
שגיאה זו מתרחשת כאשר שלושה גורמים ספציפיים מתקיימים במקביל: המחשב שאליו אתה מנסה לגשת מריץ את מערכת ההפעלה Windows 11 (גרסאות 24H2, 25H2 או 26H2) , מותקן בו עדכון KB5124010 או גרסה מתקדמת יותר , והגנת מנהל מערכת מופעלת. הפרט המרכזי הוא שהשגיאה מתרחשת רק אם לאדם שמנסה להתחבר אין הרשאות מנהל מערכת במחשב המרוחק. אם אתה מנהל המערכת, סביר להניח שתוכל להתחבר ללא בעיות.
עבור עסקים המשתמשים ב- Microsoft Intune או באובייקטי מדיניות קבוצתיים (GPO) , הסיכון גדול יותר, מכיוון שבסיסי האבטחה של מיקרוסופט מאפשרים בדרך כלל הגנה זו כברירת מחדל. לכן, משתמשים רבים מצאו את עצמם נעולים מחוץ למחשבים האישיים שלהם מבלי ששינו דבר, פשוט על ידי יישום תיקוני האבטחה המומלצים .
כיצד לתקן את השגיאה 0xC000000D שלב אחר שלב
בעוד ש-Microsoft משחררת תיקון סופי, הפתרון היחיד הוא להשתמש בפתרון טכני כדי להשבית את התכונה הבעייתית. אם אתם מנהלים את מחשבי המשרד שלכם, יש לכם שתי אפשרויות בהתאם לכלי הניהול שלכם:
- באמצעות פקודות מדיניות קבוצתיות (GPO): עליך לנווט אל תצורת מחשב > הגדרות Windows > הגדרות אבטחה > מדיניות מקומית > אפשרויות אבטחה. שם, חפש את האפשרות הגדרת סוג מצב אישור מנהל מערכת ולשנות אותו ל מצב אישור מנהל מערכת מדור קודם (ברירת מחדל)אם אתם עושים זאת במחשב עצמאי, תוכלו להשתמש בפקודה secpol.msc.
- דרך מיקרוסופט אינטון: בקטלוג התצורה, עליך לאפס את הפרמטר סוג בקרת חשבון משתמש של מצב אישור מנהל מערכת במסגרת אפשרויות האבטחה של המדיניות המקומית.
חשוב לזכור להפעיל מחדש את המחשב לאחר ביצוע השינוי, אחרת המערכת תמשיך להתעלם מהשינוי. קחו בחשבון שעל ידי כך, המחשב שלכם מאבד את שכבת האבטחה הנוספת, לכן באופן אידיאלי, כדאי להחיל אותה רק על מארחים שמקבלים חיבורים ממשתמשים רגילים ולהפעיל אותה מחדש כאשר העדכון הרשמי יוצא.
סיבות אפשריות נוספות לכשלים בשולחן עבודה מרוחק
אם השגיאה אינה בדיוק 0xC000000D, או אם שלבי פתרון הבעיות הקודמים לא עבדו, ייתכן שאתה נתקל בבעיית קישוריות קלאסית יותר. ראשית, ודא שבמחשב המרוחק פרוטוקול שולחן עבודה מרוחק ( RDP) מופעל תחת הגדרות > מערכת > שולחן עבודה מרוחק. לפעמים, השבתה זמנית של אימות ברמת הרשת (NLA) מסייעת לאבחן האם הבעיה קשורה לאישורים.
תרחיש נפוץ נוסף בחברות הוא מזהי אבטחה כפולים (SIDs) . זה קורה כאשר מכונות נוצרות מתמונה משוכפלת מבלי להפעיל את תהליך Sysprep עם האפשרות /generalize . אם לשני מחשבים יש את אותו SID, מערכת האימות Kerberos מתקלקלת וחוסמת את החיבור. הפתרון כאן הוא להפעיל את sysprep.exe ב-C:\Windows\System32\Sysprep, לסמן את התיבה generalize ולהפעיל מחדש, אם כי זה ידרוש חיבור מחדש של המכונה לדומיין.
כדאי גם לבדוק את חומת האש של Windows או תוכנת אנטי-וירוס של צד שלישי. אם אתם חושדים שפורט 3389 חסום, תוכלו להשתמש בכלי psping כדי לבדוק אם המחשב המרוחק מגיב. אם אתם רואים אובדן של 100%, סביר מאוד שכלל חומת אש חוסם את התעבורה.
בדיקות טכניות מתקדמות
למי שרוצה להגיע ישר לעניין עם הרישום או הקונסולה, ישנן בדיקות מהירות. בעורך הרישום, סמן את המפתח fDenyTSConnections ב-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server. אם הערך הוא 1, RDP מושבת; שנה אותו ל -0 כדי להפעיל אותו . כמו כן, ודא ששירותי TermService (Remote Desktop Service) ו- UmRdpService פועלים.
במקרים קיצוניים, הבעיה עלולה להיות באישור החתום עצמית של RDP . אם האישור פגום, ניתן למחוק אותו ממסוף האישורים (MMC) בתיקיית שולחן עבודה מרוחק ולהפעיל מחדש את השירות כך ש-Windows ייצור אוטומטית אישור חדש . כמו כן, ודא שתיקיית MachineKeys כוללת את ההרשאות הנכונות כדי שהמערכת תוכל לכתוב אישורים אלה.
כדי לפתור בעיה זו, הצעד הראשון הוא לזהות האם הבעיה נובעת מהגנת מנהל המערכת החדשה של Windows 11, המחייבת חזרה למצב אישור מדור קודם, או האם היא קשורה לבעיות רשת, אישורים או מזהי SID כפולים עקב שכפול תמונות. בעוד שניתן למתן את השגיאה 0xC000000D על ידי התאמת מדיניות בקרת חשבון משתמש, ניתן לפתור כשלים כלליים בחיבור על ידי בדיקת פורט 3389, הפעלת השירות ברישום ווידוא שחומת האש אינה חוסמת את הגישה.