- Błąd 0xC000000D jest powodowany przez funkcję ochrony administratora w nowszych wersjach systemu Windows 11 po zainstalowaniu określonych aktualizacji.
- Dotyczy to głównie użytkowników bez uprawnień administratora, którzy próbują nawiązać połączenie z komputerami zarządzanymi przez Intune lub GPO.
- Tymczasowym rozwiązaniem jest zmiana trybu zatwierdzania administratora na tryb starszy i ponowne uruchomienie systemu.
Jeśli nagle zauważyłeś, że Pulpit zdalny systemu Windows 11 przestał działać i wyświetla się błąd 0xC000000D , nie trać nadziei. Ten błąd, któremu zazwyczaj towarzyszy komunikat informujący o nieprawidłowym tokenie przekazanym funkcji , stał się dla wielu osób prawdziwym problemem, zwłaszcza po ostatnich aktualizacjach systemu, które zmieniły niektóre funkcje zabezpieczeń.
Najdziwniejsze jest to, że w większości przypadków nie ma to nic wspólnego z błędnym hasłem ani awarią routera. To wewnętrzny konflikt techniczny związany z zarządzaniem uprawnieniami i ochroną kont, który dotyczy głównie środowisk korporacyjnych lub systemów zarządzanych przez profesjonalistów, choć może pojawić się również w konfiguracjach domowych, jeśli zmieniono pewne ustawienia.
Winowajca: Ochrona administratora
Główny problem wynika z funkcji o nazwie Ochrona administratora . To narzędzie bezpieczeństwa zostało zaprojektowane tak, aby nawet jeśli korzystasz z konta z podwyższonymi uprawnieniami, system Windows wymuszał działanie jako zwykły użytkownik. Tylko wtedy, gdy musisz wykonać coś „poważnego”, na przykład zainstalować oprogramowanie lub zmodyfikować rejestr, system prosi o weryfikację tożsamości za pomocą funkcji Windows Hello w celu wygenerowania tymczasowego tokena. To doskonały sposób na ograniczenie złośliwego oprogramowania, ale okazało się, że ma dość irytujący efekt uboczny w przypadku protokołu RDP.
Ten błąd występuje, gdy spełnione są trzy określone warunki: na komputerze, do którego próbujesz uzyskać dostęp, działa system Windows 11 (wersja 24H2, 25H2 lub 26H2) , zainstalowana jest aktualizacja KB5124010 lub nowsza oraz włączona jest ochrona administratora. Kluczowe jest to, że błąd występuje tylko wtedy, gdy osoba próbująca się połączyć nie ma uprawnień administratora na komputerze zdalnym. Jeśli jesteś administratorem, najprawdopodobniej uda Ci się połączyć bez żadnych problemów.
W przypadku firm korzystających z Microsoft Intune lub obiektów zasad grupy (GPO) ryzyko jest większe, ponieważ zabezpieczenia firmy Microsoft zazwyczaj domyślnie włączają tę ochronę. W związku z tym wielu użytkowników zostało odciętych od dostępu do swoich komputerów bez żadnych zmian, a jedynie po zastosowaniu zalecanych poprawek zabezpieczeń .
Jak krok po kroku naprawić błąd 0xC000000D
Chociaż Microsoft wydaje ostateczną poprawkę, jedynym rozwiązaniem jest skorzystanie z technicznego obejścia, aby wyłączyć problematyczną funkcję. Jeśli zarządzasz komputerami w biurze, masz dwie opcje, w zależności od narzędzia administracyjnego:
- Za pośrednictwem Zasad grupy (GPO): Musisz przejść do Konfiguracja komputera > Ustawienia systemu Windows > Ustawienia zabezpieczeń > Zasady lokalne > Opcje zabezpieczeń. Tam poszukaj opcji Skonfiguruj typ trybu zatwierdzania administratora i zmień na Starszy tryb zatwierdzania administratora (domyślny)Jeśli wykonujesz tę czynność na osobnym komputerze, możesz użyć polecenia secpol.msc.
- Za pośrednictwem Microsoft Intune: W katalogu konfiguracji należy zresetować parametr Typ kontroli konta użytkownika Tryb zatwierdzania administratora w ramach lokalnych opcji bezpieczeństwa.
Należy pamiętać o ponownym uruchomieniu komputera po wprowadzeniu zmiany, w przeciwnym razie system nadal będzie ją ignorował. Należy pamiętać, że w ten sposób komputer traci dodatkową warstwę zabezpieczeń, dlatego najlepiej stosować tę aktualizację tylko na hostach , które odbierają połączenia od zwykłych użytkowników, i ponownie aktywować ją po udostępnieniu oficjalnej aktualizacji.
Inne możliwe przyczyny awarii pulpitu zdalnego
Jeśli błąd nie jest dokładnie 0xC000000D lub jeśli poprzednie kroki rozwiązywania problemów nie pomogły, być może masz do czynienia z bardziej klasycznym problemem z łącznością. Najpierw upewnij się, że na komputerze zdalnym włączony jest protokół RDP (Remote Desktop Protocol) w Ustawieniach > System > Pulpit zdalny. Czasami tymczasowe wyłączenie uwierzytelniania na poziomie sieci (NLA) pomaga zdiagnozować, czy problem jest związany z poświadczeniami.
Innym bardzo częstym problemem w firmach są zduplikowane identyfikatory zabezpieczeń (SID) . Dzieje się tak, gdy komputery są tworzone z klonowanego obrazu bez uruchomienia procesu Sysprep z opcją /generalize . Jeśli dwa komputery mają ten sam SID, system uwierzytelniania Kerberos nie działa prawidłowo i blokuje połączenie. Rozwiązaniem jest uruchomienie pliku sysprep.exe w folderze C:\Windows\System32\Sysprep, zaznaczenie pola wyboru „generalize” i ponowne uruchomienie komputera, choć będzie to wymagało ponownego dołączenia komputera do domeny.
Warto również sprawdzić zaporę systemu Windows lub oprogramowanie antywirusowe innej firmy. Jeśli podejrzewasz, że port 3389 jest zablokowany, możesz użyć narzędzia psping , aby sprawdzić, czy komputer zdalny odpowiada. Jeśli widzisz 100% stratę, bardzo prawdopodobne jest, że ruch jest blokowany przez regułę zapory .
Zaawansowane kontrole techniczne
Dla tych, którzy chcą od razu przejść do sedna sprawy z rejestrem lub konsolą, dostępne są szybkie kontrole. W Edytorze rejestru sprawdź klucz fDenyTSConnections w kluczu HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server. Jeśli wartość wynosi 1, RDP jest wyłączone; zmień ją na 0, aby włączyć . Sprawdź również, czy usługi TermService (Usługi pulpitu zdalnego) i UmRdpService są uruchomione.
W skrajnych przypadkach problem może dotyczyć certyfikatu RDP z podpisem własnym . Jeśli certyfikat jest uszkodzony, możesz go usunąć z Konsoli Certyfikatów (MMC) w folderze Pulpitu zdalnego i ponownie uruchomić usługę, aby system Windows automatycznie wygenerował nowy certyfikat . Sprawdź również, czy folder MachineKeys ma odpowiednie uprawnienia, aby system mógł zapisać te certyfikaty.
Aby rozwiązać ten problem, pierwszym krokiem jest ustalenie, czy problem wynika z nowej ochrony administratora w systemie Windows 11, która wymaga powrotu do starszego trybu zatwierdzania, czy też jest związany z problemami sieciowymi, certyfikatami lub zduplikowanymi identyfikatorami SID spowodowanymi klonowaniem obrazu. Chociaż błąd 0xC000000D można złagodzić, dostosowując zasady kontroli konta użytkownika, ogólne problemy z połączeniem można rozwiązać, sprawdzając port 3389, włączając usługę w rejestrze i upewniając się, że zapora nie blokuje dostępu.