ID d'événement Windows 3065 – WinRM : Erreur d'authentification du service WS-Management

Commencez par examiner les informations détaillées sur l'événement et la configuration actuelle de WinRM :

1. Ouvrez Observateur d'événements → Journaux des applications et des services → Microsoft → Windows → WinRM → Opérationnel
2. Localisez l'ID d'événement 3065 et notez le code d'erreur, l'IP du client et la méthode d'authentification
3. Vérifiez la configuration actuelle de WinRM :

winrm get winrm/config
winrm enumerate winrm/config/listener

4. Vérifiez l'état du service WinRM :

Get-Service WinRM
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-WinRM/Operational'; Id=3065} -MaxEvents 10

5. Examinez les méthodes d'authentification activées :

winrm get winrm/config/service/auth

Vérifiez que les connexions à distance fonctionnent avec des identifiants connus :

1. Testez la connectivité de base WinRM depuis la machine cliente :

Test-WSMan -ComputerName [TargetServer] -Port 5985
Test-WSMan -ComputerName [TargetServer] -Port 5986 -UseSSL

2. Tentez une session à distance PowerShell avec des identifiants explicites :

$cred = Get-Credential
Enter-PSSession -ComputerName [TargetServer] -Credential $cred

3. Vérifiez si le problème est spécifique à certaines méthodes d'authentification :

Enter-PSSession -ComputerName [TargetServer] -Authentication Kerberos
Enter-PSSession -ComputerName [TargetServer] -Authentication NTLM

4. Vérifiez la synchronisation de l'heure entre le client et le serveur :

w32tm /query /status
w32tm /resync

Si vous utilisez des écouteurs HTTPS, vérifiez la validité et la configuration du certificat :

1. Vérifiez la liaison du certificat SSL pour WinRM :

netsh http show sslcert
winrm enumerate winrm/config/listener

2. Vérifiez la validité et la chaîne du certificat :

Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -like "*[ServerName]*"}
$cert = Get-ChildItem Cert:\LocalMachine\My\[Thumbprint]
$cert | Format-List *

3. Testez la validation de la chaîne de certificats :

$chain = New-Object System.Security.Cryptography.X509Certificates.X509Chain
$chain.Build($cert)

4. Si le certificat est expiré ou invalide, créez un nouvel écouteur HTTPS :

winrm delete winrm/config/listener?Address=*+Transport=HTTPS
$cert = New-SelfSignedCertificate -DnsName [ServerFQDN] -CertStoreLocation Cert:\LocalMachine\My
winrm create winrm/config/listener?Address=*+Transport=HTTPS @{Hostname="[ServerFQDN]"; CertificateThumbprint="$($cert.Thumbprint)"}

Résoudre les problèmes d'authentification spécifiques à Kerberos :

1. Vérifiez les noms principaux de service (SPN) pour le serveur cible :

setspn -L [ServerName]
setspn -Q HTTP/[ServerFQDN]

2. Vérifiez le cache des tickets Kerberos sur le client :

klist
klist purge

3. Vérifiez la connectivité du contrôleur de domaine et la synchronisation de l'heure :

nltest /dsgetdc:[DomainName]
w32tm /query /peers

4. Activez la journalisation Kerberos pour un dépannage détaillé :

auditpol /set /subcategory:"Kerberos Authentication Service" /success:enable /failure:enable
auditpol /set /subcategory:"Kerberos Service Ticket Operations" /success:enable /failure:enable

5. Enregistrez les SPN manquants si nécessaire :

setspn -S HTTP/[ServerFQDN] [ServerName]
setspn -S HTTP/[ServerName] [ServerName]

Effectuer une analyse approfondie du réseau pour des problèmes d'authentification complexes :

1. Activer la journalisation analytique et de débogage de WinRM :

wevtutil sl Microsoft-Windows-WinRM/Analytic /e:true
wevtutil sl Microsoft-Windows-WinRM/Debug /e:true

2. Capturer le trafic réseau lors des tentatives d'authentification :

netsh trace start capture=yes tracefile=winrm_auth.etl provider=Microsoft-Windows-WinRM
# Reproduire l'échec de l'authentification
netsh trace stop

3. Analyser le flux d'authentification avec les cmdlets PowerShell :

Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-WinRM/Analytic'} | Where-Object {$_.Id -eq 3065}
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625} | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-1)}

4. Vérifier les paramètres du registre pour le comportement d'authentification :

Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Service" -Name auth_*
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Client" -Name auth_*

5. Réinitialiser la configuration WinRM si tout le reste échoue :

winrm invoke restore winrm/config @{}
Enable-PSRemoting -Force
Restart-Service WinRM