安全策略已传播，但有警告信息。0x534:帐户名与安全标识间无任何映射完成

前段时间在论坛中看到有人问这个问题了，没想到我也遇到了同样的错误

在检查域控上的日志的时候，发现了一大推的警告信息，如图

打开其中的一条日志后，看到了如下图的提示

看样子，估计是域中的一些策略找不到它相应的用户了

在往下看，这条警告的日志中还附带解决方法 

1. 识别不能解析为一个 SID 的帐户: 在命令行中，键入: FIND /I "Cannot find" %SYSTEMROOT%\Security\Logs\winlogon.log 在 FIND 的输出中，"Cannot find" 后面的字符串就是有问题的帐户名。 示例: Cannot find JohnDough。 在这种情况下，用户名 "JohnDough" 的 SID 不能确定。这通常是因为帐户已经被删除，被重命名，或拼写错误(例如，"JohnDoe")。 2. 用 RSoP 来识别特定的用户权限，受限制的组，和饱含有问题帐户的源 GPO: a. 开始 -> 运行 -> RSoP.msc b. 查看“计算机配置\Windows 设置\安全设置\本地策略\用户权限分配”和“计算机配置\Windows 设置\安全设置\本地策略\受限制的组”的结果，查找用红色的 X 标记的错误。 c. 对于任何用红色的 X 标记的用户权限或受限制的组，包含有问题的策略的相应 GPO 在标题为“源 GPO”的列中列出。注意产生错误的特定用户权限，受限制的组和包含的源 GPO。 3. 从组策略中删除不能解析的帐户 a. 开始 -> 运行 -> MMC.EXE b. 从“文件”菜单选择“添加/删除管理单元...” c. 从“添加/删除管理单元”对话框选择“添加...” d. 在“添加独立管理单元”对话框中选择“组策略对象编辑器”，然后单击“添加” e. 在“选择组策略对象”对话框中，单击“浏览”按钮 f. 在“浏览组策略对象”对话框中，选择“全部”选项卡 g. 对于在步骤 2 中识别出的每一个源 GPO，更正在步骤 2 中用红色的 X 标出的特定用户权限或受限制的组。这些用户权限或受限制的组可以通过删除或更正到在步骤 1 中识别出的有问题帐户的引用来进行更正。

OK，那就先按照这个方法去做一下试试再说，先检索一下winlogon文件中的这个错误信息

运行cmd命令行，输入“FIND /I "Cannot find" %SYSTEMROOT%\Security\Logs\winlogon.log”

咦，找不到东西，先去这个日志里，哦，原来我这错误里都是中文的，那就把命令改一下，把"Cannot find" 替换成“找不到”，搜索出来如下的结果

如上面的图所示，看了是找不到这个用户了，这个账号是我没见过的，估计是前几天交接的时候被删掉了，而他所对应的策略还在，所以先用rsop命令来检查一下所加载的策略吧

如下图，我在用户权限分配里面找到了一条带有红色叉叉的策略（这个图是我解决问题后截取的，所以那个红叉是我在图中添加的），同时还在这个策略里面找到了刚才的那个用户

既然用户都删掉了，那就把这个策略也删掉吧

运行里面执行“MMC.EXE”打开MMC控制台

账号在控制台的菜单栏的“文件”里面选择“添加/删除管理单元”

之后如下图中所示添加一个“组策略对象编辑器”

默认这个策略对象是针对本地计算机的，我们要看域里面的策略，所以点击浏览

在弹出来的对话框中，点击全部，我先看一下域控上有没有刚才那条策略，点击了第一个，

之后就在默认域控策略中，找到了刚才的那条错误的策略，将其删除

之后等他刷新策略后，日志中再也没有生成警告信息了

转载于:https://blog.51cto.com/alien/598313