Windows 错误修复: WinRM WS 策略合规问题

没有.

This error occurs when a client computer attempts to establish a remote connection via Windows Remote Management (WinRM), but the configuration parameters or authentication protocols requested by the client do not match the capabilities or security policies configured on the destination server.

具体来说, DeliverTo SOAP请求标题中的该字段包含接收 WinRM 服务未配置接受或理解的交付或安全选项 (如特定的加密要求,凭证类型或消息路由).这种不匹配通常发生在系统更新后,更改 Active Directory 组策略,或者在尝试混合 Kerberos,Basic 和 CredSSP 等不同的身份验证方法时,而没有适当匹配终点.

逐步修复问题

方法1:启用和配置 WinRM 认证类型

通常,这种错误发生在服务器和客户端试图使用不同的身份验证方法.在两个机器上启用必要的身份验证类型解决了冲突.

1. 按下 Start 菜单,类型 cmd,右键按下 Command Prompt,并选择 Run as administrator.
2. 运行下面的命令来检查您的当前 WinRM 配置:

   winrm get winrm/config

3. 启用 Negotiate 在客户端和服务器上通过执行:

   winrm set winrm/config/client/auth @{Negotiate="true"}
   winrm set winrm/config/service/auth @{Negotiate="true"}

4. 如果您的工作流程需要 CredSSP 或是 Basic 通过使用以下命令,明确实现身份验证:

   winrm set winrm/config/client/auth @{CredSSP="true"}
   winrm set winrm/config/service/auth @{CredSSP="true"}

5. 重新启动 WinRM 服务以应用更改:

   net stop winrm
   net start winrm

方法2:配置可信托主机列表

如果您连接到本地 Active Directory 域以外的服务器,则客户端必须明确信任目标 IP 地址或主机名.

1. 打开 Command Prompt 作为一个管理员.
2. Run the following command to allow the client to connect to the specific destination IP address or hostname (replace SERVER_IP_OR_NAME 您的实际目的地:

   winrm set winrm/config/client @{TrustedHosts="SERVER_IP_OR_NAME"}

3. 如果您在一个安全的,孤立的实验室环境中工作,并希望接受所有主机,您可以使用常识符 (不建议用于生产环境):

   winrm set winrm/config/client @{TrustedHosts="*"}

4. 验证主机已成功添加到列表中:

   winrm get winrm/config/client

方法3:将WinRM重新设置为默认配置

如果配置变得严重失调或受损,将 WinRM 收听器和服务设置重置到清洁默认设置,将清除策略不匹配.

1. 打开 Command Prompt 作为一个管理员.
2. 运行快速配置工具来修复服务,打开防火墙端口,并重新创建默认的收听器:

   winrm quickconfig

3. 它们的类型 y (是的) 当被提示自动进行请求更改和配置防火墙例外时.
4. 如果您正在使用 PowerShell,则可以在一个升高的 PowerShell 窗口内运行此命令来执行合规性:

   Enable-PSRemoting -Force

方法 4: 修改 WinRM 客户端的本地组策略

Windows 群组策略可以强制执行严格的安全选项,以覆盖本地 WinRM 命令行配置.调整这些设置可确保客户端使用策略选项合规参数.

1. 按下 Windows Key + R, 类型 gpedit.msc,然后按下 Enter 打开本地组策略编辑器.
2. 导航到下面的目录路径: Computer Configuration -> 没有. Administrative Templates -> 没有. Windows Components -> 没有. Windows Remote Management (WinRM) -> 没有. WinRM Client
3. 找到名字的设置 Allow unencrypted traffic 然后双击,设置为 Enabled 如果您的环境不使用HTTPS/SSL,或者根据您公司的安全指导方针进行配置.
4. 找到名字的设置 Disallow Digest authentication 设置为 Disabled 或是 Not Configured 为了最大限度地选择.
5. 打开 Command Prompt 作为管理员,并迫使政策变更立即生效:

   gpupdate /force