Prérequis. Résolution des problèmes WMI. Date 03/30/2010 Version 1.0 Référence 001 Auteur Antoine CRUE

Transcription

1 Prérequis Résolution des problèmes WMI Date 03/30/2010 Version 1.0 Référence 001 Auteur Antoine CRUE VOS CONTACTS TECHNIQUES JEAN-PHILIPPE SENCKEISEN ANTOINE CRUE LIGNE DIRECTE : JPSENCKEISEN@ORSENNA.FR LIGNE DIRECTE : ACRUE@ORSENNA.FR Ce document contient des informations confidentielles qui sont la propriété de la société ORSENNA. Il ne peut être diffusé ou transféré en dehors de votre organisation sans l autorisation écrite d une personne habilitée par ORSENNA. Il ne peut être copié ou reproduit sous quelque forme que ce soit. ORSENNA se réserve le droit de modifier, sans préavis, certaines conditions prévues dans la présente offre, compte tenu de l évolution des services ORSENNA (services, équipements, programmes, documents, tarifs ). Les renseignements contenus dans le présent document peuvent donc faire l objet de modifications. ORSENNA est un nom déposé. Cette proposition n est valable qu accompagnée du Visa technique.

2 Sommaire 1 INTRODUCTION OBJECTIFS VERIFICATION DE L ACTIVATION DE DCOM VERIFICATION DU SERVICE WMI EN LOCAL ACCES AUX INFORMATIONS D UNE MACHINE DISTANTE RAFRAICHIR LE SERVICE WMI SURCHARGE WMI MESSAGES D ERREURS WMI Réf /03/2010

3 Prérequis Résolution des problèmes WMI 1 Introduction 1.1 Objectifs Ce document décrit les procédures de résolution de problèmes avec WMI. Nous allons donc voir différents types de problèmes ainsi que leurs résolutions. 3 Réf /03/2010

4 2 Vérification de l activation de DCOM Afin d établir une session DCOM (utilisée par WMI), il faut que DCOM soit active sur le serveur ainsi que sur le client. Pour active DCOM, les points suivants sont à effectuer sur les postes : 1. Dans le menu démarrer, cliquer sur Run. 2. Taper dcomcnfg 3. Cliquer sur OK. La fenêtre qui apparait dépend de l OS utilisé: o Sous Windows NT/2000, la fenêtre Distributed COM Configuration Properties apparait. o Sur Windows XP/2003/2008/7, la fenêtre Component Services apparait. Déployer le dossier Component Services, déployer le dossier Computers, puis faire un clique-droit dessus et sélectionner Propriétés. 4. Sélectionner l onglet Default Properties. 4 Réf /03/2010

5 5. Cocher Enable Distributed COM on this computer. DCOM est maintenant actif. Néanmoins, un reboot est nécessaire pour que ces changements soient pris en comptes. 5 Réf /03/2010

6 3 Vérification du service WMI en local Nous pouvons essayer en local pour voir si notre service WMI fonctionne correctement : Pour cela il suffit de faire «démarrer», «exécuter» puis «wmimgmt.msc». wmimgmt.msc Nous arrivons ensuite sur notre utilitaire : Le service est bien configuré si la fenêtre suivante se lance : 6 Réf /03/2010

7 Nous pouvons maintenant passer à la configuration pour l accès au service WMI sur une machine distante. 7 Réf /03/2010

8 4 Accès aux informations d une machine distante Nous allons maintenant voir la méthode pour accéder aux informations WMI d un poste distant. Il suffit de lancer le même utilitaire que précédemment «wmimgmt.msc» : Réf /03/2010

9 La connexion est réussie (on récupère bien les informations du poste distant) En cas de soucis pour récupérer les informations d une machine distante, nous devons vérifier plusieurs choses : - Les deux ordinateurs doivent avoir procédé à l activation de DCOM. (1) - Les ports adéquats du firewall de chaque ordinateur doivent être ouverts. (2) - Les droits d utilisateurs doivent être correctement configurés sur les deux ordinateurs. (3) (1) Comme nous l avons vu dans la partie 2 de ce document, chaque ordinateur doit avoir procédé à l activation de DCOM, si cela n est pas fait, il faut refaire l étape 2 du document. (2) WMI utilise RPC pour interroger l ordinateur distant mais aussi pour recevoir les informations. Il va donc falloir ouvrir le port adéquat (135) sur chaque ordinateur pour qu ils puissent communiquer. Dans la majorité des cas il faudra aussi attribuer une plage de ports à DCOM car dans la configuration classique, il prend un port aléatoirement (ce qui ne nous arrange pas pour la configuration de notre firewall). Voici le message que vous pouvez recevoir en cas de non ou mal configuration du Firewall sur chaque machine : Figure 1 - Ports bloqués 9 Réf /03/2010

10 Pour commencer il faut donc aller ouvrir le port 135 en TCP dans le Firewall : Configuration Windows 7/2008 : - Démarrer - Panneau de configuration - Pare-feu Windows - Paramètres avancés - Règles de trafic entrant - Puis, activer la règle COM+ Network Access (DCOM-In) Configuration pour Windows XP/ Démarrer - Panneau de configuration - Pare-feu Windows - Exception - Ajouter port 10 Réf /03/2010

11 Vous pouvez réessayer de récupérer les informations de votre machine distante avec l aide de WMI Control (wmimgmt.msc), si vous avez toujours la même erreur «Win 32 : The RPC server is unavailable» il va falloir attribuer une plage de ports pour DCOM. - Démarrer - Exécuter - «dcomcnfg.exe» 5 => Vous pouvez utiliser la plage (attention à ne pas mettre d espace) Il faut absolument redémarrer l ordinateur pour prendre en compte les changements. Passons maintenant à l ajout de cette plage de ports dans notre Firewall. 11 Réf /03/2010

12 Configuration pour Windows XP/2003 : - Démarrer - Panneau de configuration - Pare-feu Windows - Exception - Ajouter port + 12 Réf /03/2010

13 Configuration pour Windows 7/2008 : - Démarrer - Panneau de configuration - Pare-feu Windows - Paramètres avancés - Règles de trafic entrant - Nouvelle règle - Port - Indiquez les ports Choisissez autoriser la connexion 13 Réf /03/2010

14 Cela devrait maintenant fonctionner sauf si le problème est maintenant lié à la gestion des droits des utilisateurs. (3) (3) Nous allons maintenant passer à la vérification des droits des utilisateurs sur chaque machine. Pour utiliser WMI en Workgroup ou en domaine il faut obligatoirement que les deux comptes utilisateur soient présents sur chacune d elles (si les deux machines utilisent un compte administrateur avec le même mot de passe, il n y aura pas de problème).voici le message que vous pouvez recevoir en cas de non ou mal configuration des droits des utilisateurs sur chaque machine : Figure 2 - Problème de droits Pour remédier à ce problème, il suffit de faire la manipulation suivante sur chaque machine : - Démarrer - Exécuter - «dcomcnfg.exe» - Services de composants - Ordinateurs - Clique droit sur «Poste de travail» - Propriétés - Sécurité COM - «Modifier» dans autorisations d exécution et d activation - Il suffit ensuite d ajouter l utilisateur et de lui mettre les différents droits. 14 Réf /03/2010

15 Figure 3 - Changements des droits des utilisateurs Il ne faut pas oublier de faire la même manipulation sur l autre ordinateur. Une manipulation plus simple (un seul ajout pour le serveur) mais beaucoup moins sécurisée consiste à mettre comme utilisateur le compte «ANONYMOUS LOGON» sur chaque ordinateur : Figure 4 - "anonymous logon" 15 Réf /03/2010

16 5 Rafraichir le service WMI Nous avons deux solutions pour résoudre la plupart des problèmes rencontrés lorsque WMI est en erreur et ne répond pas correctement. 1 ère solution : L utilisation de la commande wmiadap /f Cela va permettre de parcourir les librairies du système et de les rafraichir. 2 ème solution : L utilisation du batch «FixWMI.cmd». Le contenu du batch est le suivant on cd /d c:\temp if not exist %windir%\system32\wbem goto TryInstall cd /d %windir%\system32\wbem net stop winmgmt winmgmt /kill if exist Rep_bak rd Rep_bak /s /q rename Repository Rep_bak for %%i in (*.dll) do RegSvr32 -s %%i for %%i in (*.exe) do call :FixSrv %%i for %%i in (*.mof,*.mfl) do Mofcomp %%i net start winmgmt goto End :FixSrv if /I (%1) == (wbemcntl.exe) goto SkipSrv if /I (%1) == (wbemtest.exe) goto SkipSrv if /I (%1) == (mofcomp.exe) goto SkipSrv %1 /RegServer :SkipSrv goto End :TryInstall if not exist wmicore.exe goto End wmicore /s net start winmgmt :End Il suffit de copier ce contenu dans un fichier texte, puis de le renommer «FixWMI.cmd». On peut alors le copier sur le serveur posant problème et l exécuter. Une fois le script complété, il ne devrait plus avoir de problème. 16 Réf /03/2010

17 6 Surcharge WMI Des retards dans les requêtes peuvent indiquer un problème de surcharge WMI. Sous Windows (XP, 2003, 7 et 2008 R2), dans les conditions optimales, il est possible de réaliser surveillances WMI par minute. En réalité, les performances sont moindres et peuvent varier en fonctions des performances des machines et de la topologie du réseau. Il arrive que certaines machines ne puissent faire que 500 surveillances par minute. Les goulots d étranglements de WMI se font par ces deux processus : - WmiPrvSE.exe - Isass.exe Si vous constatez que ces processus consomment un maximum de charge CPU, il sera sans doute nécessaire de réduire le nombre de requête WMI. 7 Messages d erreurs WMI Il arrive, bien souvent, que les surveillances WMI soient perturbées par des erreurs de connexion. Vous trouverez ci-dessous de nombreux cas d erreurs de connexion, ainsi que les solutions pour les contourner : Port Error 135 : RPC Server Not Accessible Si vous recevez cette erreur, c est que toutes les communications DCOM sont bloquées. Ceci est, bien souvent, dû à un problème lié au serveur RPC. Les problèmes les plus récurrents sont : - Le serveur est bloqué par un firewall - Le serveur est bloqué par une politique de domaine - Le serveur ne fonctionne pas - Le serveur utilise un port différent de celui indiqué dans la requête BA - RPC Server Is Unavailable Ce type de message d erreurs est très ambigu car il peut être causé par de multiples problèmes : Le serveur RPC n est pas lancé sur la machine à superviser Cette erreur se produit parfois, lorsqu une adresse IP est utilisée pour se connecter au serveur. Préférez donc un nom d hôte ou un FQDN 17 Réf /03/2010

18 La machine supervisée n est pas en mesure de joindre le contrôleur de domaine et ne peut ainsi pas vérifier l authentification Windows pour les requêtes WMI. La machine supervisée ou la console de supervision sont fournis avec des entrées DNS erronée. Un simple ping permettra de constater ce problème. Autoriser l exception d administration à distance. Le serveur ISA bloque tout le trafic RPC par défaut. Il faut donc le configurer de façon à ce qu il autorise les requêtes WMI. UAC bloque l accès à la racine des disques. Pour solutionner ce problème, vous pouvez ajouter la clé de registre suivante : Path : HKLM \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ System Ajouter une valeur DWORD Nom: LocalAccountTokenFilterPolicy Valeur: 1 Veuillez trouver des compléments d informations à cette adresse: Access is denied and Access Denied Bien que ces deux erreurs sembles être les mêmes, il y a une distinction subtiles entre les deux : Signifie, que le contrôleur de domaine local, ne peut vérifier l authentification Windows de la machine cible. Ce problème peut être causé par : o Des credentials faux. (Nom d utilisateur ou mot de passe) o La désactivation de DCOM o La machine de supervision et la machine cible ne sont pas sur le même domaine. o Problème DNS ou DHCP : Signifie que le compte utilisé dans la requête WMI ne dispose pas des droits suffisants pour accéder à la machine cible. 18 Réf /03/2010

19 : The object could not be found Ce problème se produit lorsque le référentiel WMI est endommagé. Un correctif est proposé par Microsoft pour contourner ce problème. Vous pouvez consulter la documentation Microsoft suivante : The specified class is not valid Cette erreur est assez ambiguë, elle peut être causée par différents facteurs : Si certains services (Exchange par exemple) ne sont pas démarrés lorsque les services WMI AutoDiscovery / AutoPurge sont lancés, les compteurs de performances ne sont pas transférés à WMI ADAP, que WMI utilise pour monter sa table interne. Pour corriger ce problème, vous pouvez vous référer au guide suivant : Les compteurs de performances d un service particulier sont stoppés. Il existe une entrée de registre pour chaque compteur WMI de chaque service. Pour vérifier vos clefs de registres, merci de suivre la documentation suivante : Résultats absurdes ou faux Bien que les compteurs WMI et leurs résultats soient bien définies, il arrive que des erreurs persistent. Selon la version de Windows et le niveau du patch utilisé, il arrive que Windows 64 bits limite les compteurs à des valeurs Windows 32 bits. Ceci peut causer des erreurs dans les résultats, telles que la mémoire du système qui n indique jamais plus de 4GB. 19 Réf /03/2010