- Помилка 0xC000000D спричинена функцією захисту адміністратора в останніх версіях Windows 11 після встановлення певних оновлень.
- Це в основному стосується користувачів без прав адміністратора, які намагаються підключитися до комп’ютерів, керованих Intune або GPO.
- Тимчасовим рішенням є зміна режиму затвердження адміністратора на режим Legacy та перезавантаження системи.
Якщо ви раптом виявили, що віддалений робочий стіл Windows 11 перестав працювати та видає страшну помилку 0xC000000D , не впадайте у відчай. Ця помилка, яка зазвичай супроводжується повідомленням про те, що токен, переданий функції, недійсний , стала головним болем для багатьох, особливо після деяких нещодавніх оновлень системи, які змінили деякі функції безпеки.
Найдивніше те, що в більшості випадків це не пов’язано з неправильним введенням пароля чи несправністю маршрутизатора. Це внутрішній технічний конфлікт , пов’язаний з керуванням дозволами та захистом облікового запису, який переважно впливає на корпоративне середовище або професійно керовані системи, хоча він також може з’являтися в домашніх умовах, якщо певні налаштування були змінені.
Винуватець: Захист адміністратора
Основна проблема пов’язана з функцією під назвою «Захист адміністратора» . Цей інструмент безпеки розроблений таким чином, що навіть якщо ви використовуєте обліковий запис із підвищеними правами, Windows змушує вас працювати як звичайний користувач. Лише коли вам потрібно зробити щось «серйозне», наприклад, встановити програмне забезпечення або змінити реєстр, система просить вас підтвердити свою особу за допомогою Windows Hello для створення тимчасового токена. Це чудовий захід для боротьби зі шкідливим програмним забезпеченням, але виявилося, що він має досить дратівливий побічний ефект із RDP.
Ця помилка виникає, коли збігаються три конкретні фактори: комп’ютер, до якого ви намагаєтеся отримати доступ, працює під керуванням Windows 11 (версії 24H2, 25H2 або 26H2) , на ньому встановлено оновлення KB5124010 або пізнішої версії , а також увімкнено захист адміністратора. Ключова деталь полягає в тому, що помилка виникає лише тоді, коли особа, яка намагається підключитися, не має прав адміністратора на віддаленому комп’ютері. Якщо ви є адміністратором, ви, найімовірніше, зможете підключитися без жодних проблем.
Для компаній, які використовують Microsoft Intune або об’єкти групової політики (GPO) , ризик вищий, оскільки базові стандарти безпеки Microsoft зазвичай увімкнули цей захист за замовчуванням. Тому багато користувачів опинилися заблокованими на своїх ПК, нічого не змінивши, просто застосувавши рекомендовані оновлення безпеки .
Як виправити помилку 0xC000000D крок за кроком
Хоча Microsoft випускає остаточне виправлення, єдиним рішенням є використання технічного способу вимкнення проблемної функції. Якщо ви керуєте офісними комп’ютерами, у вас є два варіанти залежно від вашого інструменту адміністрування:
- Через накази групової політики (GPO): Вам потрібно перейти до Конфігурація комп’ютера > Налаштування Windows > Налаштування безпеки > Локальні політики > Параметри безпеки. Там знайдіть опцію Налаштувати тип режиму затвердження адміністратора і змінити його на Режим затвердження адміністратора (за замовчуванням)Якщо ви робите це на окремому ПК, ви можете скористатися командою secpol.msc.
- Через Microsoft Intune: У каталозі конфігурації необхідно скинути значення параметра Тип контролю облікових записів користувачів: режим затвердження адміністратора в межах локальних параметрів безпеки політики.
Важливо пам’ятати про перезавантаження комп’ютера після внесення змін, інакше система продовжуватиме ігнорувати модифікацію. Майте на увазі, що таким чином ваш комп’ютер втрачає додатковий рівень безпеки, тому в ідеалі слід застосовувати його лише до хостів , які отримують з’єднання від звичайних користувачів, і повторно активувати його після виходу офіційного оновлення.
Інші можливі причини збоїв віддаленого робочого столу
Якщо помилка не зовсім 0xC000000D або якщо попередні кроки з усунення несправностей не допомогли, можливо, ви зіткнулися з більш класичною проблемою підключення. Спочатку переконайтеся, що на віддаленому комп’ютері ввімкнено протокол віддаленого робочого столу (RDP) у меню «Налаштування» > «Система» > «Віддалений робочий стіл». Іноді тимчасове вимкнення автентифікації на рівні мережі (NLA) допомагає діагностувати, чи пов’язана проблема з обліковими даними.
Ще один дуже поширений сценарій у компаніях – це дублікати ідентифікаторів безпеки (SID) . Це трапляється, коли машини створюються з клонованого образу без запуску процесу Sysprep з параметром /generalize . Якщо два ПК мають однаковий SID, система автентифікації Kerberos дає збій і блокує з’єднання. Рішенням у цьому випадку є запуск sysprep.exe в C:\Windows\System32\Sysprep, встановлення прапорця «узагальнити» та перезавантаження, хоча це вимагатиме повторного приєднання машини до домену.
Також варто перевірити брандмауер Windows або антивірусне програмне забезпечення стороннього виробника. Якщо ви підозрюєте, що порт 3389 заблоковано, ви можете скористатися інструментом psping , щоб перевірити, чи відповідає віддалений комп’ютер. Якщо ви бачите 100% втрату, дуже ймовірно, що правило брандмауера блокує трафік.
Розширені технічні перевірки
Для тих, хто хоче одразу перейти до суті за допомогою реєстру або консолі, є швидкі перевірки. У редакторі реєстру перевірте розділ fDenyTSConnections у HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server. Якщо значення дорівнює 1, RDP вимкнено; змініть його на 0, щоб увімкнути його . Також перевірте, чи запущено служби TermService (служби віддалених робочих столів) та UmRdpService .
У крайніх випадках проблема може полягати в самопідписаному сертифікаті RDP . Якщо сертифікат пошкоджений, ви можете видалити його з консолі сертифікатів (MMC) у папці віддаленого робочого столу та перезапустити службу, щоб Windows автоматично згенерувала новий . Також обов’язково перевірте, чи папка MachineKeys має правильні дозволи, щоб система могла записувати ці сертифікати.
Щоб вирішити цю проблему, першим кроком є визначення того, чи проблема пов’язана з новим захистом адміністратора Windows 11, який вимагає повернення до застарілого режиму затвердження, чи вона пов’язана з проблемами мережі, сертифікатами або дублікатами SID через клонування образу. Хоча помилку 0xC000000D можна зменшити, налаштувавши політики контролю облікових записів користувачів, загальні збої підключення вирішуються перевіркою порту 3389, увімкненням служби в реєстрі та переконанням, що брандмауер не блокує доступ.