Устранение неполадок параметров Enterprise State Roaming в Azure Active Directory Troubleshooting Enterprise State Roaming settings in Azure Active Directory

В этой статье содержатся сведения о том, как диагностировать и устранять неполадки, связанные с Enterprise State Roaming, а также приведен список известных проблем. This topic provides information on how to troubleshoot and diagnose issues with Enterprise State Roaming, and provides a list of known issues.

Эта статья была изменена, и теперь в ней содержатся сведения о модуле Az PowerShell для Azure. This article has been updated to use the Azure Az PowerShell module. Модуль Az PowerShell является рекомендуемым модулем PowerShell для взаимодействия с Azure. The Az PowerShell module is the recommended PowerShell module for interacting with Azure. Чтобы начать работу с модулем Az PowerShell, ознакомьтесь со статьей Установка Azure PowerShell. To get started with the Az PowerShell module, see Install Azure PowerShell. Дополнительные сведения см. в статье Перенос Azure PowerShell с AzureRM на Az. To learn how to migrate to the Az PowerShell module, see Migrate Azure PowerShell from AzureRM to Az.

Эта статья относится к устаревшему браузеру на основе HTML Microsoft, запущенному с Windows 10 за июль 2015. This article applies to the Microsoft Edge Legacy HTML-based browser launched with Windows 10 in July 2015. Статья не относится к новому браузеру на основе Microsoft Chromium, выпущенному 15 января 2020 г. The article does not apply to the new Microsoft Edge Chromium-based browser released on January 15, 2020. Дополнительные сведения о поведении синхронизации для нового Microsoft ребра см. в статье Microsoft ребра Sync. For more information on the Sync behavior for the new Microsoft Edge, see the article Microsoft Edge Sync.

Предварительные действия по устранению неполадок Preliminary steps for troubleshooting

Прежде чем начинать устранять неполадки, убедитесь, что пользователь и устройство настроены в соответствии с требованиями службы Enterprise State Roaming. Before you start troubleshooting, verify that the user and device have been configured properly, and that all the requirements of Enterprise State Roaming are met by the device and the user.

1. На устройстве должна быть установлена Windows 10 с последними обновлениями версии не ниже 1511 (сборка ОС 10586 или более поздней версии). Windows 10, with the latest updates, and a minimum Version 1511 (OS Build 10586 or later) is installed on the device.
2. Это должно быть устройство, присоединенное к Azure AD обычным или гибридным образом. The device is Azure AD joined or hybrid Azure AD joined. Дополнительные сведения см. в статье о вводе устройства под контроль Azure AD. For more information, see how to get a device under the control of Azure AD.
3. Убедитесь, что служба Enterprise State Roaming включена для клиента в Azure AD, как описано в статье Включение Enterprise State Roaming. Ensure that Enterprise State Roaming is enabled for the tenant in Azure AD as described in To enable Enterprise State Roaming. Включить роуминг можно для всех пользователей или только для выбранной группы. You can enable roaming for all users or for only a selected group of users.
4. Пользователю назначается лицензия на Azure Active Directory Premium. The user is assigned an Azure Active Directory Premium license.
5. Устройство необходимо перезапустить, а пользователь должен выполнить вход заново, чтобы получить доступ к функциям Enterprise State Roaming. The device must be restarted and the user must sign in again to access Enterprise State Roaming features.

Сведения, которые необходимо указать, если требуется помощь Information to include when you need help

Если не удается решить проблему с помощью приведенных ниже инструкций, можно обратиться к инженерам нашей службы поддержки. If you cannot solve your issue with the guidance below, you can contact our support engineers. При обращении в службу поддержки предоставьте следующие сведения: When you contact them, include the following information:

• Общее описание ошибки — видит ли пользователь сообщения об ошибках? General description of the error: Are there error messages seen by the user? Если сообщения об ошибке не было, подробно опишите непредвиденное поведение, которое вы заметили. If there was no error message, describe the unexpected behavior you noticed, in detail. Какие компоненты включены для синхронизации и что собирается синхронизировать пользователь? What features are enabled for sync and what is the user expecting to sync? Не удается синхронизировать один или несколько компонентов? Are multiple features not syncing or is it isolated to one?
• Затронутые пользователи. Синхронизация работает или не работает для одного или нескольких пользователей? Users affected – Is sync working/failing for one user or multiple users? Сколько устройств задействовано у каждого пользователя? How many devices are involved per user? Не синхронизируются все устройства или только некоторые? Are all of them not syncing or are some of them syncing and some not syncing?
• Сведения о пользователе — какой идентификатор использует пользователь для входа в устройство? Information about the user – What identity is the user using to sign in to the device? Как пользователь входит в устройство? How is the user signing in to the device? Входит ли он в группу безопасности, для которой разрешена синхронизация? Are they part of a selected security group allowed to sync?
• Сведения об устройстве — устройство присоединено к Azure AD или к домену? Information about the device – Is this device Azure AD-joined or domain-joined? Какая сборка установлена на устройстве? What build is the device on? Какие самые последние обновления установлены на устройстве? What are the most recent updates?
• Дата/время/часовой пояс — какая именно Дата и время видели ошибку (включите часовой пояс)? Date / Time / Timezone – What was the precise date and time you saw the error (include the timezone)?

Если вы укажете эти сведения, мы сможем устранить неполадку максимально быстро. Including this information helps us solve your problem as quickly as possible.

Устранение неполадок и диагностика проблем Troubleshooting and diagnosing issues

В этом разделе приведены рекомендации для диагностики и устранения неполадок, связанных со службой Enterprise State Roaming. This section gives suggestions on how to troubleshoot and diagnose problems related to Enterprise State Roaming.

Проверка синхронизации и страница параметров «Синхронизация параметров» Verify sync, and the “Sync your settings” settings page

После присоединения компьютера с Windows 10 к домену, который разрешает взаимодействие со службой Enterprise State Roaming, войдите в систему с помощью рабочей учетной записи. After joining your Windows 10 PC to a domain that is configured to allow Enterprise State Roaming, sign on with your work account. Последовательно выберите Параметры > учетные записи > синхронизировать ваши параметры и убедитесь, что синхронизация и индивидуальные параметры включены, а в верхней части страницы параметров указано, что синхронизация с рабочей учетной записью выполняется. Go to Settings > Accounts > Sync Your Settings and confirm that sync and the individual settings are on, and that the top of the settings page indicates that you are syncing with your work account. Подтвердите, что эта учетная запись также используется в качестве учетной записи для входа в Параметры > учетные записи > ваши сведения. Confirm the same account is also used as your login account in Settings > Accounts > Your Info.

Убедитесь, что синхронизация работает на нескольких компьютерах, выполнив некоторые изменения на исходном компьютере, например переместите панель задач к левому или верхнему краю экрана. Verify that sync works across multiple machines by making some changes on the original machine, such as moving the taskbar to the right or top side of the screen. Изменения вступят в силу на втором компьютере в течение 5 минут. Watch the change propagate to the second machine within five minutes.

• Блокировка и снятие блокировки экрана (WIN+L) помогут запустить синхронизацию. Locking and unlocking the screen (Win + L) can help trigger a sync.
• Для выполнения синхронизации на обоих компьютерах следует выполнить вход с использованием одной и той же учетной записи, так как служба Enterprise State Roaming привязывается к учетной записи пользователя, а не компьютера. You must be signing in with the same account on both PCs for sync to work – as Enterprise State Roaming is tied to the user account and not the machine account.

Потенциальная проблема. Если элементы управления на странице Параметры неактивны, и отображается сообщение: «Некоторые компоненты Windows доступны только в случае, если вы используете учетную запись Майкрософт или рабочую учетную запись». Potential issue: If the controls in the Settings page are not available, and you see the message “Some Windows features are only available if you are using a Microsoft account or work account.” Эта проблема может возникнуть на устройствах, которые должны быть присоединены к домену и зарегистрированы в Azure AD, но не прошли аутентификацию в Azure AD. This issue might arise for devices that are set up to be domain-joined and registered to Azure AD, but the device has not yet successfully authenticated to Azure AD. Возможно, должна быть применена политика устройства, но применение выполняется асинхронно с задержкой в несколько часов. A possible cause is that the device policy must be applied, but this application happens asynchronously, and could be delayed by a few hours.

Проверка состояния регистрации устройства Verify the device registration status

Для службы Enterprise State Roaming требуется зарегистрировать устройство в Azure AD. Enterprise State Roaming requires the device to be registered with Azure AD. Следующие инструкции не относятся исключительно к Enterprise State Roaming. Они позволяют проверить состояние регистрации клиента Windows 10, а также отпечаток, URL-адрес настроек Azure AD, состояние NGC и другие сведения. Although not specific to Enterprise State Roaming, following the instructions below can help confirm that the Windows 10 Client is registered, and confirm thumbprint, Azure AD settings URL, NGC status, and other information.

1. Откройте командную строку без повышенных привилегий. Open the command prompt unelevated. В Windows откройте окно «Выполнить» (WIN+R) и введите cmd, чтобы открыть командную строку. To do this in Windows, open the Run launcher (Win + R) and type “cmd” to open.
2. После открытия командной строки введите dsregcmd.exe /status. Once the command prompt is open, type “dsregcmd.exe /status”.
3. Поля AzureAdJoined и WamDefaultSet имеют значение YES, а поле WamDefaultGUID должно содержать GUID с (AzureAd) в конце. For expected output, the AzureAdJoined field value should be “YES”, WamDefaultSet field value should be “YES”, and the WamDefaultGUID field value should be a GUID with “(AzureAd)” at the end.

Потенциальная ошибка: в вамдефаултсет и AzureAdJoined в значении поля указано «нет», устройство было присоединено к домену и зарегистрировано в Azure AD, а устройство не синхронизируется. Если это так, устройство может ожидать применения политики или выполнить проверку подлинности для устройства при подключении к Azure AD. Potential issue: WamDefaultSet and AzureAdJoined both have “NO” in the field value, the device was domain-joined and registered with Azure AD, and the device does not sync. If it is showing this, the device may need to wait for policy to be applied or the authentication for the device failed when connecting to Azure AD. Может потребоваться подождать несколько часов, прежде чем политика будет применена. The user may have to wait a few hours for the policy to be applied. Другие действия по устранению неполадок могут включать повторную регистрацию при выходе и возврате, а также запускать задачу в планировщик задач. Other troubleshooting steps may include retrying autoregistration by signing out and back in, or launching the task in Task Scheduler. В некоторых случаях эту проблему можно устранить, выполнив команду dsregcmd.exe /leave в окне командной строки с повышенными привилегиями с последующей перезагрузкой и попыткой повторной регистрации. In some cases, running “dsregcmd.exe /leave” in an elevated command prompt window, rebooting, and trying registration again may help with this issue.

Потенциальная ошибка: поле для сеттингсурл является пустым и устройство не синхронизируется. Пользователь мог войти на устройство раньше, чем Enterprise State Roaming было включено на портале Azure Active Directory. Potential issue: The field for SettingsUrl is empty and the device does not sync. The user may have last logged in to the device before Enterprise State Roaming was enabled in the Azure Active Directory Portal. Перезапустите устройство и выполните вход пользователя. Restart the device and have the user login. При необходимости на портале попытайтесь выполнить переход ИТ-администратора на Azure Active Directory > устройства > Enterprise State Roaming отключение и повторное включение пользователей может синхронизировать параметры и данные приложений на разных устройствах. Optionally, in the portal, try having the IT Admin navigate to Azure Active Directory > Devices > Enterprise State Roaming disable and re-enable Users may sync settings and app data across devices. Затем перезапустите устройство и выполните вход пользователя. Once re-enabled, restart the device and have the user login. Если это не решит проблему, сеттингсурл может быть пустым, если имеется поврежденный сертификат устройства. If this does not resolve the issue, SettingsUrl may be empty if there is a bad device certificate. В этом случае проблему можно устранить, выполнив команду dsregcmd.exe /leave в окне командной строки с повышенными привилегиями с последующей перезагрузкой и попыткой повторной регистрации. In this case, running “dsregcmd.exe /leave” in an elevated command prompt window, rebooting, and trying registration again may help with this issue.

Enterprise State Roaming и Многофакторная идентификация Enterprise State Roaming and Multi-Factor Authentication

При определенных условиях Enterprise State Roaming может не синхронизировать данные, если настроена многофакторная идентификация Azure AD. Under certain conditions, Enterprise State Roaming can fail to sync data if Azure AD Multi-Factor Authentication is configured. Дополнительные сведения об этих симптомах см. в документе support KB3193683. For more information on these symptoms, see the support document KB3193683.

Потенциальная проблема. Если на портале Azure Active Directory для вашего устройства настроена обязательная многофакторная проверка подлинности, то не исключено, что вы не сможете синхронизировать параметры при входе на устройство Windows 10 с помощью пароля. Potential issue: If your device is configured to require Multi-Factor Authentication on the Azure Active Directory portal, you may fail to sync settings while signing in to a Windows 10 device using a password. Этот тип конфигурации с использованием Многофакторной идентификации предназначен для защиты учетной записи администратора в Azure. This type of Multi-Factor Authentication configuration is intended to protect an Azure administrator account. Пользователи с правами администратора по-прежнему могут синхронизироваться, войдя на устройства Windows 10 с их Microsoft Passport for Work ПИН-кодом или выполнив многофакторную проверку подлинности при обращении к другим службам Azure, таким как Microsoft 365. Admin users may still be able to sync by signing in to their Windows 10 devices with their Microsoft Passport for Work PIN or by completing Multi-Factor Authentication while accessing other Azure services like Microsoft 365.

Потенциальная ошибка. Синхронизация может завершиться ошибкой, если администратор настроит службы федерации Active Directory (AD FS) политику условного доступа многофакторной проверки подлинности и срок действия маркера доступа на устройстве истекает. Potential issue: Sync can fail if the admin configures the Active Directory Federation Services Multi-Factor Authentication Conditional Access policy and the access token on the device expires. Убедитесь, что вы входите и выйдете с помощью Microsoft Passport for Work ПИН-кода или завершите многофакторную проверку подлинности во время доступа к другим службам Azure, таким как Microsoft 365. Ensure that you sign in and sign out using the Microsoft Passport for Work PIN or complete Multi-Factor Authentication while accessing other Azure services like Microsoft 365.

Просмотр событий Event Viewer

Для расширенного поиска проблем можно использовать средство просмотра событий, чтобы находить конкретные ошибки. For advanced troubleshooting, Event Viewer can be used to find specific errors. Они описаны в следующем разделе. These are documented in the table below. События можно найти в разделе Просмотр событий > Applications and Services Logs > Microsoft > Windows > журнале settingsync-Azure и о проблемах, связанных с удостоверениями, в журналах приложений и служб > Microsoft > Windows > AAD. The events can be found under Event Viewer > Applications and Services Logs > Microsoft > Windows > SettingSync-Azure and for identity-related issues with sync Applications and Services Logs > Microsoft > Windows > AAD.

Известные проблемы Known issues

Синхронизация не работает на устройствах, где установлены приложения, загруженные с помощью программного обеспечения управления мобильными устройствами Sync does not work on devices that have apps side-loaded using MDM software

Возникает на устройствах под управлением юбилейного обновления Windows 10 (версия 1607). Affects devices running the Windows 10 Anniversary Update (Version 1607). В средстве просмотра событий в журналах SettingSync-Azure часто встречается идентификатор события 6013 с ошибкой 80070259. In Event Viewer under the SettingSync-Azure logs, the Event ID 6013 with error 80070259 is frequently seen.

Рекомендуемое действие Recommended action
Убедитесь, что в клиенте Windows 10 v1607 установлено накопительный пакет обновления от 23 августа 2016 г. (KB3176934, сборка операционной системы 14393.82). Make sure the Windows 10 v1607 client has the August 23, 2016 Cumulative Update (KB3176934 OS Build 14393.82).

Не синхронизируется избранное Internet Explorer Internet Explorer Favorites do not sync

Возникает на устройствах под управлением ноябрьского обновления Windows 10 (версия 1511). Affects devices running the Windows 10 November Update (Version 1511).

Рекомендуемое действие Recommended action
Убедитесь, что в клиенте Windows 10 v1511 установлен накопительный пакет обновления от июля 2016 г. (KB3172985, сборка операционной системы 10586.494). Make sure the Windows 10 v1511 client has the July 2016 Cumulative Update (KB3172985 OS Build 10586.494).

Не синхронизируется тема, а также данные, защищенные с помощью Windows Information Protection Theme is not syncing, as well as data protected with Windows Information Protection

Чтобы предотвратить утечку данных, данные, защищенные с помощью windows Information Protection , не будут синхронизироваться с Enterprise State Roaming для устройств, использующих годовщину Windows 10. To prevent data leakage, data that is protected with Windows Information Protection will not sync through Enterprise State Roaming for devices using the Windows 10 Anniversary Update.

Рекомендуемое действие Recommended action
Отсутствует. None. Эта проблема, возможно, будет решена в будущих обновлениях Windows. Future updates to Windows may resolve this issue.

На устройстве, присоединенном к домену, не синхронизируются настройки даты, времени и региона Date, Time, and Region settings do not sync on domain-joined device

Присоединенные к домену устройства не синхронизируются, если для параметра «Дата, время и регион» установлено значение «Автоматическое время». Devices that are domain-joined will not experience sync for the setting Date, Time, and Region: automatic time. Использование значения «Автоматическое время» может переопределять другие параметры даты, времени и региона и стать причиной отсутствия синхронизации. Using automatic time may override the other Date, Time, and Region settings and cause those settings not to sync.

Рекомендуемое действие Recommended action
Отсутствует. None.

Запросы UAC при синхронизации паролей UAC Prompts when syncing passwords

Возникает на устройствах под управлением ноябрьского обновления Windows 10 (версия 1511) с беспроводным сетевым адаптером, настроенным для синхронизации паролей. Affects devices running the Windows 10 November Update (Version 1511) with a wireless NIC that is configured to sync passwords.

Рекомендуемое действие Recommended action
Убедитесь, что в клиенте Windows 10 v1511 установлен накопительный пакет обновления (KB3140743, сборка операционной системы 10586.494). Make sure the Windows 10 v1511 client has the Cumulative Update (KB3140743 OS Build 10586.494).

Синхронизация не работает на устройствах, которые для входа используют смарт-карту Sync does not work on devices that use smart card for login

При попытке выполнить вход на устройстве Windows с помощью смарт-карты или виртуальной смарт-карты синхронизация параметров перестает работать. If you attempt to sign in to your Windows device using a smart card or virtual smart card, settings sync will stop working.

Рекомендуемое действие Recommended action
Отсутствует. None. Эта проблема, возможно, будет решена в будущих обновлениях Windows. Future updates to Windows may resolve this issue.

После выхода из корпоративной сети устройство, присоединенное к домену, не синхронизируется Domain-joined device is not syncing after leaving corporate network

У зарегистрированных в Azure AD, присоединенных к домену устройств могут возникать сбои синхронизации, если устройство долгое время работало в автономном режиме и проверка подлинности не завершена. Domain-joined devices registered to Azure AD may experience sync failure if the device is off-site for extended periods of time, and domain authentication can’t complete.

Рекомендуемое действие Recommended action
Подключите устройство к корпоративной сети, чтобы возобновить синхронизацию. Connect the device to a corporate network so that sync can resume.

Устройство, присоединенное к Azure AD, не синхронизируются, и пользователю назначено имя участника-пользователя, содержащее знаки в смешанном регистре. Azure AD Joined device is not syncing and the user has a mixed case User Principal Name.

Если у пользователя есть учетные записи-UPN в смешанном формате (например, UserName, а не username), а пользователь находится на устройстве, присоединенном к Azure AD, которое было обновлено с Windows 10 Build 10586 до 14393, устройство пользователя может не синхронизироваться. If the user has a mixed case UPN (for example, UserName instead of username) and the user is on an Azure AD Joined device, which has upgraded from Windows 10 Build 10586 to 14393, the user’s device may fail to sync.

Рекомендуемое действие Recommended action
Пользователю будет необходимо отсоединить, а затем заново присоединить устройство к облаку. The user will need to unjoin and rejoin the device to the cloud. Для этого войдите в систему как пользователь с правами локального администратора и отсоедините устройство, последовательно выбрав Параметры > система > и щелкните «Управление или отключение от рабочего или учебного заведения». To do this, login as the Local Administrator user and unjoin the device by going to Settings > System > About and select «Manage or disconnect from work or school». Очистите приведенные ниже файлы, а затем снова присоедините устройство к Azure AD в окне » Параметры > > » и выберите «подключиться к рабочему или учебному заведению». Clean up the files below, and then Azure AD Join the device again in Settings > System > About and selecting «Connect to Work or School». Продолжайте присоединение устройства к Azure Active Directory и завершите процесс. Continue to join the device to Azure Active Directory and complete the flow.

На шаге очистки очистите следующие файлы: In the cleanup step, clean up the following files:

• Settings.dat в C:\Users\ \AppData\Local\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy\Settings\ ; Settings.dat in C:\Users\ \AppData\Local\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy\Settings\
• все файлы в папке C:\Users\ \AppData\Local\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy\AC\TokenBroker\Account . All the files under the folder C:\Users\ \AppData\Local\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy\AC\TokenBroker\Account

Идентификатор события 6065: 80070533. Пользователь не может выполнить вход, так как его учетная запись в настоящее время отключена Event ID 6065: 80070533 This user can’t sign in because this account is currently disabled

В средстве просмотра событий в журналах SettingSync/Debug эта ошибка регистрируется, когда истек срок действия учетных данных пользователя. In Event Viewer under the SettingSync/Debug logs, this error can be seen when the user’s credentials have expired. Кроме того, она может возникать, если для клиента не выполнена автоматическая подготовка AzureRMS. In addition, it can occur when the tenant did not automatically have AzureRMS provisioned.

Рекомендуемое действие Recommended action
В первом случае пользователю следует обновить свои учетные данные и войти на устройство с новыми учетными данными. In the first case, have the user update their credentials and login to the device with the new credentials. Чтобы устранить проблему с AzureRMS, выполните действия, описанные в статье KB3193791. To solve the AzureRMS issue, proceed with the steps listed in KB3193791.

Идентификатор события 1098. Ошибка: 0xCAA5001C. Не удалось выполнить операцию брокера маркеров Event ID 1098: Error: 0xCAA5001C Token broker operation failed

В средстве просмотра событий в журналах AAD/Operational эта ошибка возникает в виде события 1104: вызов подключаемого модуля AP облака AAD, маркер GET вернул ошибку 0xC000005F. In Event Viewer under the AAD/Operational logs, this error may be seen with Event 1104: AAD Cloud AP plugin call Get token returned error: 0xC000005F. Эта проблема возникает, если отсутствуют необходимые разрешения или атрибуты владения. This issue occurs if there are missing permissions or ownership attributes.

Рекомендуемое действие Recommended action
Выполните действия, описанные в статье KB3196528. Proceed with the steps listed KB3196528.