- Chyba 0xC000000D je spôsobená funkciou Ochrana správcu v novších verziách systému Windows 11 po inštalácii špecifických aktualizácií.
- Ovplyvňuje to najmä používateľov bez administrátorských oprávnení, ktorí sa pokúšajú pripojiť k počítačom spravovaným službou Intune alebo GPO.
- Dočasným riešením je zmeniť režim schvaľovania administrátorom na režim Legacy a reštartovať systém.
Ak ste zrazu zistili, že Vzdialená pracovná plocha systému Windows 11 prestala fungovať a zobrazuje sa vám obávaná chyba 0xC000000D , nezúfajte. Táto chyba, ktorá je zvyčajne sprevádzaná správou, že token odovzdaný funkcii je neplatný , sa stala pre mnohých veľkou bolesťou hlavy, najmä po niektorých nedávnych aktualizáciách systému, ktoré zmenili niektoré bezpečnostné funkcie.
Najpodivnejšie je, že vo väčšine prípadov to nemá nič spoločné so zadaním nesprávneho hesla alebo poruchou smerovača. Ide o interný technický konflikt súvisiaci so správou povolení a ochranou účtu, ktorý postihuje najmä firemné prostredie alebo profesionálne spravované systémy, hoci sa môže objaviť aj v domácich nastaveniach, ak boli zmenené určité nastavenia.
Vinník: Ochrana správcu
Hlavný problém pramení z funkcie s názvom Ochrana správcu . Tento bezpečnostný nástroj je navrhnutý tak, že aj keď používate účet so zvýšenými oprávneniami, systém Windows vás núti pracovať ako štandardný používateľ. Iba keď potrebujete urobiť niečo „vážne“, ako je inštalácia softvéru alebo úprava registra, systém vás požiada o overenie identity pomocou funkcie Windows Hello na vygenerovanie dočasného tokenu. Je to skvelé opatrenie na obmedzenie škodlivého softvéru, ale ukázalo sa, že má dosť nepríjemný vedľajší účinok pri protokole RDP.
Táto chyba sa vyskytuje, keď sa zhodujú tri špecifické faktory: počítač, ku ktorému sa pokúšate pripojiť, používa systém Windows 11 (verzie 24H2, 25H2 alebo 26H2) , má nainštalovanú aktualizáciu KB5124010 alebo novšiu a je povolená ochrana správcu. Kľúčovým detailom je, že chyba sa vyskytuje iba v prípade, že osoba, ktorá sa pokúša pripojiť, nemá oprávnenia správcu na vzdialenom počítači. Ak ste správca, s najväčšou pravdepodobnosťou sa budete môcť pripojiť bez akýchkoľvek problémov.
Pre firmy používajúce Microsoft Intune alebo objekty skupinovej politiky (GPO) je riziko väčšie, pretože základné bezpečnostné štandardy spoločnosti Microsoft túto ochranu zvyčajne predvolene povoľujú. Preto sa mnoho používateľov ocitlo zablokovaných zo svojich počítačov bez toho, aby čokoľvek zmenili, jednoducho nainštalovaním odporúčaných bezpečnostných záplat .
Ako krok za krokom opraviť chybu 0xC000000D
Hoci spoločnosť Microsoft vydáva definitívnu opravu, jediným riešením je použiť technické obídenie na vypnutie problematickej funkcie. Ak spravujete kancelárske počítače, máte dve možnosti v závislosti od vášho nástroja na správu:
- Prostredníctvom príkazov skupinovej politiky (GPO): Musíte prejsť do časti Konfigurácia počítača > Nastavenia systému Windows > Nastavenia zabezpečenia > Lokálne politiky > Možnosti zabezpečenia. Tam vyhľadajte možnosť Konfigurácia typu režimu schválenia administrátorom a zmeniť to na Režim schválenia pre staršieho správcu (predvolený)Ak to robíte na samostatnom počítači, môžete použiť príkaz secpol.msc.
- Prostredníctvom Microsoft Intune: V konfiguračnom katalógu musíte resetovať parameter Typ kontroly používateľských účtov Režim schválenia administrátorom v rámci možností zabezpečenia lokálnych politík.
Je dôležité nezabudnúť reštartovať počítač po vykonaní zmeny, inak systém bude úpravu naďalej ignorovať. Majte na pamäti, že týmto krokom váš počítač stratí túto dodatočnú vrstvu zabezpečenia, takže ideálne by ste ju mali použiť iba na hostiteľoch , ktorí prijímajú pripojenia od bežných používateľov, a znova ju aktivovať po vydaní oficiálnej aktualizácie.
Ďalšie možné príčiny zlyhaní vzdialenej pracovnej plochy
Ak chyba nie je presne 0xC000000D alebo ak predchádzajúce kroky na riešenie problémov nefungovali, možno máte klasickejší problém s pripojením. Najprv sa uistite, že vzdialený počítač má v časti Nastavenia > Systém > Vzdialená pracovná plocha povolený protokol RDP (Remote Desktop Protocol) . Niekedy dočasné vypnutie overovania na úrovni siete (NLA) pomôže diagnostikovať, či problém súvisí s povereniami.
Ďalším veľmi častým scenárom v spoločnostiach sú duplicitné bezpečnostné identifikátory (SID) . Stáva sa to, keď sú počítače vytvorené z klonovaného obrazu bez spustenia procesu Sysprep s možnosťou /generalize . Ak majú dva počítače rovnaký SID, overovací systém Kerberos nefunguje správne a zablokuje pripojenie. Riešením je spustiť súbor sysprep.exe v priečinku C:\Windows\System32\Sysprep, zaškrtnúť políčko generalizovať a reštartovať, hoci to bude vyžadovať opätovné pripojenie počítača k doméne.
Taktiež sa oplatí skontrolovať bránu firewall systému Windows alebo antivírusový softvér tretej strany. Ak máte podozrenie, že port 3389 je blokovaný, môžete pomocou nástroja psping skontrolovať, či vzdialený počítač reaguje. Ak vidíte 100 % stratu, je veľmi pravdepodobné, že prevádzku blokuje pravidlo brány firewall .
Pokročilé technické kontroly
Pre tých, ktorí chcú prejsť priamo k veci pomocou registra alebo konzoly, existujú rýchle kontroly. V editore registra skontrolujte kľúč fDenyTSConnections v HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server. Ak je hodnota 1, RDP je zakázané; zmeňte ju na 0, aby ste ho povolili . Taktiež overte, či sú spustené služby TermService (Remote Desktop Services) a UmRdpService .
V extrémnych prípadoch môže problém spočívať v certifikáte RDP s vlastným podpisom . Ak je certifikát poškodený, môžete ho odstrániť z konzoly certifikátov (MMC) v priečinku Vzdialená plocha a reštartovať službu, aby systém Windows automaticky vygeneroval nový . Skontrolujte tiež, či má priečinok MachineKeys správne povolenia, aby systém mohol tieto certifikáty zapisovať.
Na vyriešenie tohto problému je prvým krokom zistiť, či problém pramení z novej ochrany správcu systému Windows 11, ktorá vyžaduje návrat do staršieho režimu schvaľovania, alebo či súvisí s problémami so sieťou, certifikátmi alebo duplicitnými identifikátormi SID v dôsledku klonovania obrazu. Zatiaľ čo chybu 0xC000000D možno zmierniť úpravou politík kontroly používateľských kont, všeobecné zlyhania pripojenia sa riešia kontrolou portu 3389, povolením služby v registri a zabezpečením, aby brána firewall neblokovala prístup.