ID d'événement Windows 8230 – WinRM : Erreur d'authentification du service WS-Management

Commencez par examiner les détails complets de l'échec d'authentification dans le Visualiseur d'événements pour comprendre le contexte d'erreur spécifique.

1. Ouvrez Visualiseur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux des applications et services → Microsoft → Windows → WinRM → Opérationnel
3. Filtrez pour l'ID d'événement 8230 en cliquant avec le bouton droit sur le journal et en sélectionnant Filtrer le journal actuel
4. Examinez les détails de l'événement, en notant l'adresse IP du client, la méthode d'authentification et le code d'erreur
5. Faites une référence croisée avec les journaux de sécurité en accédant à Journaux Windows → Sécurité et en filtrant pour les ID d'événement 4624 (connexion réussie) et 4625 (connexion échouée) de la même période

# Commande PowerShell pour récupérer les détails de l'ID d'événement 8230
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-WinRM/Operational'; Id=8230} -MaxEvents 10 | Format-List TimeCreated, Id, LevelDisplayName, Message

Vérifiez l'état du service WinRM et testez l'authentification depuis le côté client pour isoler le problème de connexion.

1. Sur le serveur cible, vérifiez l'état et la configuration du service WinRM :

# Vérifier l'état du service WinRM
Get-Service WinRM

# Afficher la configuration actuelle de WinRM
winrm get winrm/config

# Vérifier les méthodes d'authentification activées
winrm get winrm/config/service/auth

2. Depuis la machine cliente, testez la connectivité de base au service WinRM :

# Tester la connectivité WinRM (remplacez SERVER-NAME par le serveur réel)
Test-WSMan -ComputerName SERVER-NAME

# Tester avec une authentification spécifique
Test-WSMan -ComputerName SERVER-NAME -Authentication Kerberos

# Tenter une session de télécommande PowerShell
Enter-PSSession -ComputerName SERVER-NAME -Credential (Get-Credential)

3. Si l'authentification échoue, activez la journalisation WinRM pour des diagnostics détaillés :

# Activer la journalisation analytique WinRM
wevtutil sl Microsoft-Windows-WinRM/Analytic /e:true

# Reproduire le problème, puis vérifier les journaux analytiques
Get-WinEvent -LogName 'Microsoft-Windows-WinRM/Analytic' -MaxEvents 20

Ajustez la configuration d'authentification WinRM pour résoudre les problèmes de compatibilité et établir des relations de confiance appropriées.

1. Configurez WinRM pour autoriser les méthodes d'authentification requises :

# Activer l'authentification de base (à utiliser avec prudence en production)
winrm set winrm/config/service/auth @{Basic="true"}

# Activer l'authentification Kerberos
winrm set winrm/config/service/auth @{Kerberos="true"}

# Activer l'authentification NTLM
winrm set winrm/config/service/auth @{Negotiate="true"}

2. Configurez les hôtes de confiance pour les scénarios de groupe de travail ou inter-domaines :

# Ajouter un hôte spécifique à la liste des hôtes de confiance
winrm set winrm/config/client @{TrustedHosts="SERVER-NAME"}

# Ajouter plusieurs hôtes ou utiliser des jokers (moins sécurisé)
winrm set winrm/config/client @{TrustedHosts="SERVER1,SERVER2,*.domain.com"}

# Voir la configuration actuelle des hôtes de confiance
winrm get winrm/config/client

3. Redémarrez le service WinRM pour appliquer les modifications de configuration :

# Redémarrer le service WinRM
Restart-Service WinRM -Force

# Vérifier que le service fonctionne et écoute
Get-Service WinRM
netstat -an | findstr :5985

4. Testez à nouveau la connexion avec une sortie détaillée :

# Tester avec une sortie détaillée pour voir les détails d'authentification
$PSSessionOption = New-PSSessionOption -IncludePortInSPN
Enter-PSSession -ComputerName SERVER-NAME -SessionOption $PSSessionOption -Credential (Get-Credential)

Résoudre les problèmes d'authentification spécifiques à Kerberos qui causent couramment l'ID d'événement 8230 dans les environnements de domaine.

1. Vérifiez la synchronisation de l'heure entre le client et le serveur (critique pour Kerberos) :

# Vérifiez l'heure actuelle et la source de l'heure
w32tm /query /status
w32tm /query /peers

# Forcer la synchronisation de l'heure avec le contrôleur de domaine
w32tm /resync /force

2. Effacer et régénérer les tickets Kerberos :

# Afficher les tickets Kerberos actuels
klist

# Purger tous les tickets Kerberos
klist purge

# Demander un nouveau ticket pour le serveur cible
klist get krbtgt
klist get HOST/SERVER-NAME

3. Vérifiez et configurez les noms principaux de service (SPN) pour WinRM :

# Vérifiez les SPN existants pour le serveur
setspn -L SERVER-NAME

# Ajouter les SPN WinRM s'ils manquent (exécuter en tant qu'administrateur de domaine)
setspn -A WSMAN/SERVER-NAME SERVER-NAME
setspn -A WSMAN/SERVER-NAME.domain.com SERVER-NAME

4. Vérifiez la connectivité du contrôleur de domaine et la résolution DNS :

# Tester la connectivité du contrôleur de domaine
nltest /dsgetdc:domain.com

# Vérifiez la résolution DNS pour le serveur cible
nslookup SERVER-NAME
nslookup SERVER-NAME.domain.com

# Tester la connectivité LDAP au contrôleur de domaine
ldp.exe

Effectuer une analyse approfondie à l'aide de captures réseau et d'examens du registre pour des scénarios d'authentification complexes.

1. Activer la journalisation de débogage WinRM via la modification du registre :

# Activer la journalisation de débogage WinRM (nécessite un redémarrage)
New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Service" -Name "LogLevel" -Value 65535 -PropertyType DWord -Force

# Définir l'emplacement du fichier journal
New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Service" -Name "LogFile" -Value "C:\Windows\Temp\WinRM.log" -PropertyType String -Force

2. Capturer le trafic réseau lors des tentatives d'authentification :

# Démarrer la capture réseau à l'aide de netsh (exécuter en tant qu'administrateur)
netsh trace start capture=yes tracefile=C:\temp\winrm_auth.etl provider=Microsoft-Windows-WinRM

# Reproduire l'échec d'authentification
# Arrêter la trace
netsh trace stop

# Convertir ETL en format lisible
netsh trace convert input=C:\temp\winrm_auth.etl output=C:\temp\winrm_auth.txt

3. Analyser les paramètres du registre liés à l'authentification :

# Vérifier les paramètres du registre du service WinRM
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Service"

# Examiner les paramètres du fournisseur d'authentification
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Plugin\Microsoft.PowerShell"

# Vérifier les paramètres de la politique de sécurité locale affectant WinRM
secedit /export /cfg C:\temp\secpol.cfg
Get-Content C:\temp\secpol.cfg | Select-String -Pattern "SeDenyNetworkLogonRight|SeNetworkLogonRight"

4. Utiliser PowerShell Desired State Configuration (DSC) pour garantir une configuration WinRM cohérente :

# Créer une configuration DSC pour les paramètres WinRM
Configuration WinRMConfig {
    Node localhost {
        Service WinRM {
            Name = "WinRM"
            State = "Running"
            StartupType = "Automatic"
        }
        
        Registry WinRMAuth {
            Key = "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Service"
            ValueName = "AllowUnencrypted"
            ValueData = "0"
            ValueType = "Dword"
        }
    }
}

# Appliquer la configuration
WinRMConfig
Start-DscConfiguration -Path .\WinRMConfig -Wait -Verbose