「Group Policy Clientサービスによるサインインの処理に失敗しました。アクセスが拒否されました。」と出ても、プロファイル破損とは限りません。まず管理者が発生範囲とイベントログを確認し、復元や再作成の前に現在のデータを保全します。この記事は移動プロファイル環境で経験した事例をもとに、切り分けと復旧時の注意点を整理したものです。
事象の詳細
筆者が以前管理していた移動プロファイル環境では「Group Policy Clientサービスによるサインインの処理に失敗しました。アクセスが拒否されました。」のエラーが発生します。普通に利用しているユーザーが突如前触れなくこのエラーでログインができなくなります。当時の一部環境では500ユーザー中ほぼ毎日1ユーザーで発生しましたが、一般的な発生率を示す数字ではありません。私はこの事象にウンザリしているので移動プロファイル構成にはしないようにしています。(ローカルプロファイル構成でも本事象が発生しないわけではないようです。ただ、経験上一回も遭遇したことはありません。）
発生原因
発生の原因ですが、あくまで私の仮説となりますのでご了承ください。
移動プロファイルはサインイン時にクライアントに読み込んで、サインアウト時に書き込む仕様になっています。書き込み時にサーバーやネットワークが込み合っていると正常に書き込みができないため、プロファイルが破損してしまうのではないかと考えています。
当時NTUSER.DATの変化を確認しましたが、その変化だけでは破損とは判断できません。NTUSER.DATはユーザー設定を保持するレジストリハイブで、設定変更などに伴って正常時にも更新されます。移動プロファイルはサインアウト時に変更を同期するため、更新日時やバイナリ差分だけを故障の根拠にしないでください。
削除や復元の前に確認すること
管理者が別の正常なアカウントで、発生時刻のWindowsログ「Application」と「Microsoft → Windows → User Profile Service → Operational」を確認します。GroupPolicy関連ログも合わせ、失敗したファイル・パス・エラー詳細を記録してください。同じユーザーが他のPCでも失敗するか、そのPCの他ユーザーにも起きるかで、ユーザー固有と端末・共通基盤の問題を分けます。
移動プロファイルの保存先への接続、空き容量、アクセス権、使用中のセッションも管理者が確認します。権限をEveryoneフルコントロールへ広げたり、gpsvcを無効にしたり、NTUSER.DATやレジストリを根拠なく削除したりしないでください。
事象の解消方法
ログなどからプロファイル側の復旧が必要と判断した場合に限り、以下を管理者が検討します。対象ユーザーの全セッションが終了していることを確認し、現在のローカル側・サーバー側のデータ、必要な設定と権限を退避してから進めます。復元時点以降の変更やローカルだけのデータが失われる可能性があります。
プロファイルの修復パターンは複数ありますので、利用環境に応じて選択してください。
方法１：プロファイルの再作成
新しいプロファイルを準備し、正常にサインインできるか検証する方法です。サーバー側のフォルダー名変更だけで必ず再作成されるとは限らず、ローカルキャッシュや構成も関係します。旧プロファイルを即削除せず、構成に合う公式手順に従い、必要な文書などを移行してください。NTUSER.DATやプロファイル全体を無条件でコピーすると原因まで持ち戻すおそれがあります。
方法２：正常時点のシャドウコピーから復旧を検討
正常時点のシャドウコピーが残っている場合は、まず別の場所へ取り出して内容と時点を確認します。現在のデータを保全せずに全面復元しないでください。保存期間や取得時点により、必要な版が残っていない場合もあります。
方法３：プロファイルをバックアップから復元
正常なバックアップがある場合は、権限・復元対象・復元時点を確認して復旧します。復旧後はサインインとサインアウト、必要な文書・アプリ設定、ログの再発有無を確認します。同じ障害が戻るなら復元を繰り返さず、記録を添えて管理者やサポートへ調査を依頼してください。
コメント