安全ID结构无效

Question

我正在尝试在服务器上安装crm，但是收到此错误.. System.Exception：操作Microsoft.Crm.Setup.Server.GrantAspNetServiceAccountAccessAction失败。 ---＆GT; System.Runtime.InteropServices.COMException：安全ID结构无效。 有什么帮助吗？

尝试过： 重新安装我的服务器 用我的sql关闭服务器

Answer 1

问题已经找到并解决了。

问题在于管理员是许多AD组的成员。

解决方案：

1. 打开注册表
2. 浏览至“HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ Lsa \ Kerberos \ Parameters”
3. 创建名为MaxTokenSize的新DWORD
4. 将值数据设置为65535（十进制）
5. 关闭regedit并重新启动服务器

原因：

用户无法进行身份验证，因为在身份验证尝试期间生成的Kerberos令牌具有固定的最大大小。远程过程调用（RPC）和HTTP等传输在分配缓冲区进行身份验证时依赖于MaxTokenSize值。在Windows 2000（原始发行版）中，MaxTokenSize值为8,000个字节。在Windows 2000 Service Pack 2（SP2）和Windows Server 2003中，MaxTokenSize值为12,000字节。

Kerberos使用Kerberos数据包的权限属性证书（PAC）字段来传输Active Directory组成员身份。从Windows Server 2012开始，这也适用于Active Directory声明信息（动态访问控制）字段。如果用户有许多组成员身份，并且如果对用户或正在使用的设备有很多声明，则这些字段可能占用数据包中的大量空间。

如果用户是超过120个组的成员，则由MaxTokenSize值确定的缓冲区不够大。因此，用户无法进行身份验证，并且他们可能会收到“内存不足”错误消息。在应用本文中介绍的修补程序之前，添加到用户帐户的每个组都会将此缓冲区增加40个字节。

Answer 2

听起来你正试图在以没有所需权限的用户身份登录的服务器上安装它。取自MS Dynamics on Technet：

安装Dynamics CRM 2011时需要

• 域管理员

如果您不能成为域管理员，则需要以下权限：

• Active Directory域用户的成员
• 在Active Directory中创建安全组的权限（您可以要求管理员预先创建所需的安全组;然后必须从命令行安装Microsoft Dynamics CRM 2011，指定配置文件）。
• 安装CRM的计算机上Administrators组的成员
• 对该计算机上“Program Files”文件夹的读写权限
• 安装SQL Server的计算机上Administrators组的成员
• SQL Server系统管理员。
• 报告服务：
  • Content Manager根级别
  • 网站范围SSRS的系统管理员

提示

要查找登录用户所属的安全组，请打开命令提示符并运行以下命令：

gpresult /V