Работает служба профилей пользователей при входе на RDS ферму
Работает служба профилей пользователей при входе на RDS ферму
Добрый день! Уважаемые читатели и гости IT блога Pyatilistnik.org. Продолжаем с вами рассматривать интересные случаи в работе терминальных служб. В сегодняшней заметке я вам расскажу, о ситуации, когда при входе на удаленный рабочий стол, у вас долго висит надпись «Работает служба профилей пользователей» и пользователь минут 5-10 не может попасть на свой рабочий стол. Думаю мой практический опыт окажется для многих полезным и поможет сэкономить кучу нервом и времени.
Описание ситуации
И так есть RDS ферма на Windows Server 2012 R2 в отказоустойчивом режиме. Два посредника подключений (Connection Broker) и 15 хостов подключений (Session Host). В какой-то момент времени стали поступать жалобы на то, что пользователи долго не могут попасть на свои столы и есть трудности. При попытке зайти под тестовой учетной записью я увидел вот такую картину. После ввода логина и пароля у меня после авторизации стало висеть уведомление, что работает служба профилей пользователей. Выглядит это вот так.
В английском варианте, это выглядит вот так «Please wait for the user Profile Service«.
Надпись с ползунком прокрутки может висеть так минут 5-10, после чего может пустить пользователя на удаленный рабочий стол, или же выкинуть с ошибкой:
Решение проблемы
Ранее я уже помнил данную службу, когда у меня была ошибка при входе «Служба профилей пользователей препятствует входу в систему в Windows 7». Там была проблема с поврежденным, локальным профилем. Но на RDS ферме использовались исключительно перемещаемые профили и если они повреждались, то ошибка была «Служба профилей пользователя не удалось войти в систему». Так как этих ошибок не было, то вывод был очевидный, что с перемещаемыми профилями все в порядке. После успешного логина, я попробовал выполнить выход из системы, в результате чего я получил ошибку:
Ошибка показала, что не смогла завершить сохранение данных перемещаемого профиля на файловом сервере. Сами данные хранились на файловом кластере из двух нод. Обе ноды работают на операционной системе Windows Server 2016. Подключившись к каждой из них я обнаружил, что загрузка моего процессора составляла 100%, в следствии чего проседала производительность всего сервера и в том числе и сетевых карт, так как CPU участвует в обработке сетевого трафика. У меня была версия Symantec Endpoint Protection 14.0 RU1 MP2 build 3929.
Как видите процесс Symantec Service Framework кушает очень много процессорных мощностей. С данным глюком антивируса Symantec или Norton я уже встречался ранее, еще на 12 версии, там так же присутствовала проблема с загрузкой CPU или вообще пропадала сеть. В 14-й версии данный косяк так же присутствует, этому как я выяснил посвящена целая ветка на форуме разработчика (https://community.norton.com/en/forums/norton-security-causing-high-cpu-usage). Кстати такое же поведение вы можете легко встретить и у антивируса Norton Security, от тех же разработчиков.
Так как у меня не было возможности перезагрузить оба сервера, в виду того что был час пик и физические сервера долго потом прогружаются, было принято решение удалить антивирус Symantec Endpoint Protection 14, без перезагрузки. Сделать, это можно из окна «Программы и компоненты», открыть которое можно введя в окне «Выполнить» волшебную фразу appwiz.cpl.
Как только это было сделано, то большинство пользователей успешно стали подключаться к терминальным службам.
Если у пользователей появляются ошибки вида «Не удается завершить требуемую операцию, поскольку RDP службы заняты», то вам придется сбросить текущие подключения к базе данных ваших посредников по подключению (Connection Broker) и по очереди их перезагрузить. Подробнее и с картинками смотрите по ссылке.
или «The task you are trying to do can’t be completed because Remote Desctop Services is currently bysy. Please try again in a few minutes. Other users should still be able to log on»
Исправляем ошибку: Службе профилей пользователей не удалось войти в систему
В этой статье мы рассмотрим все варианты решения ошибки загрузки профиля пользователя на Windows 7, Windows 10 и линейке Windows Server, начиная с 2008 (чаще всего на RDS серверах). Ошибка довольно распространена, связана обычно с повреждением каталога с профилем пользователя, но исправляется относительно легко.
Проблемы выглядит следующим образом: служба профилей пользователей (ProfSvc) не может загрузить профиль пользователя Windows, соответственно пользователь компьютера не может войти в систему, а после ввода учетных данных появляется окно с ошибкой:
Невозможно загрузить профиль пользователя.
User profile cannot be loaded.
Ошибка загрузки профиля в подавляющем большинстве случае связана с повреждением профиля пользователя или прав на каталог профиля. Это может произойти из-за некорректного завершения работы системы, обновления системы, некорректных изменений в реестре или других сбоев.
Рассмотрим все способы для решения проблемы, начиная с самых простых. Практически для всех вариантов решения вам потребуется учетная запись с правами локального администратора на компьютере. Если у вас нет другой учетной записи на компьютере, где возникает эта ошибка и вы не можете зайти под временным профилем, то вам потребуется загрузиться с загрузочной флешки и создать новую учетную запись.
Проблема может возникнуть по разным причинам, поэтому мы рассматриваем все возможные варианты решения. Если вам не помогает один вариант, переходите к следующему.
1. Редактирование параметров профиля в реестре
Запустите редактор реестра regedit с правами администратора и перейдите в ветку реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList.
Вы увидите список разделов (профилей) с названием в виде S-1-5-21-xxxxxxx. Это идентификаторы (SID) пользователей, по любому из них можно узнать имя учетной записи (например, следующей командой можно вывести список локальных пользователей и их SID: wmic useraccount get domain,name,sid ).
Можно просто найти профиль проблемного пользователя, последовательно перебрав все ветки с SID в разделе ProfileList. В нужной ветке учетная запись пользователя должна присутствовать в пути к профилю в параметре реестра ProfileImagePath.
Есть несколько вариантов:
- Имя ветки с нужным вам профилем пользователя оканчивается на .bak. В этом случае просто переименуйте ветку, убрав .bak;
- Вы нашли две ветки, указывающих на ваш профиль: с окончанием .bak и без. В этом случае переименуйте ветку без .bak, добавив в конце небольшой суффикс, например, S-1-5-21-xxxxx.backup. А у профиля с окончанием .bak удалите .bak в имени ветки реестра.
После того как вы переименовали ветку нужного профиля, нужно отредактировать значение параметров RefCount и State. Установите для них значения 0. Если у вас нет таких параметров, создайте их вручную (тип DWORD).
Убедитесь, что в значении ProfileImagePath указан путь к правильному каталогу профиля, а папка сама с профилем присутствует на диске и имеет такое же название, как и в ProfileImagePath. В моём случае это C:\Users\root.
После этого перезагрузите компьютер и попробуйте войти под профилем пользователя.
2. Восстановление Default профиля заменой поврежденного файла NTUSER.DAT
Если ошибка “Невозможно загрузить профиль пользователя” возникла при первом входе пользователя в систему, значит проблема с загрузкой профиля может быть связана с поврежденным файлом NTUSER.DAT в Default профиле. В этом файле хранятся настройки пользователя, те параметры, которые загружаются в ветку реестра HKEY_CURRENT_USER при входе пользователя. При создании профиля для нового пользователя этот файл копируется в каталог с созданным профилем пользователя. Если файл NTUSER.DAT удален или поврежден, служба User Profile Service не может создать профиль для нового пользователя.
Перейдите в каталог C:\Users\Default. В ней будет находиться файл NTUSER.DAT, переименуйте его, например, в NTUSER.DAT2. Далее вам нужно будет заменить этот файл аналогичным файлом с профиля другого пользователя, либо файлом с другого компьютера (с такой же версией Windows). После этого перезагрузите систему, и если проблема была в испорченном NTUSER.DAT, то всё должно заработать.
В интернете так же встречается совет заменить всю папку C:\Users\Default, но суть остаётся та же, дело в замене файла NTUSER.DAT, который меняется и при замене папки.
3. Восстановление Windows из точки восстановления
Если у вас в Windows включены и настроены точки восстановления, можно попробовать решить ошибку через восстановление на предыдущую точку восстановления.
В панели управления зайдите в раздел Recovery.
Далее жмите Open System Restore.
И следуйте указаниям мастера (несколько раз нажать далее), после чего система начнет восстановление.
Вы также можете увидеть подобную ошибку
Это значит, что у вас не настроены точки восстановления. В этом случае воспользоваться этим методом не выйдет.
4. Создание нового пользователя и перенос старых данных
Если другие варианты вам не помогли, можно создать нового пользователя и перенести в него данные из старого профиля. Этот способ обязательно сработает, так как мы будем создавать нового пользователя с новым профилем.
- Запустите командную строку с правами администратора и введите netplwiz ;
- В открывшейся оснастке нажмите Add;
Пункты 3 и 4 относятся к Windows 10, если у вас Windows 7, то просто пропустите их и перейдите к пункту 5.
- Выберите Sign in without a Microsoft account;
- Выберите Local account;
- Введите логин и пароль и нажмите Finish;
- Скопируйте все папки из каталога старого профиля (включая AppData) и вставьте (с заменой) в каталог профиля свежесозданного пользователя.
Не забудьте включить отображение скрытых файлов и папок.
При таком способе восстановления вы не теряете данные, которые были в старом профиле. Если при копировании возникли проблемы, вы всегда можете получить доступ к данным со старого профиля просто зайдя в C:\users\ваш_старый_профиль
После того как как вы успешно зайдете под новым профилем, убедитесь, что у вас есть доступ к старым файлам, например, в папке Загрузки или Документы. Если доступа нет (выскакивает ошибка с запретом доступа), необходимо будет дать RW или FullControl права на эти папки вашему новому пользователю.
5. Права на чтение каталога C:\Users\Default
Проблем с отсутствием прав на чтение профиля пользователя Default чаще встречается в Windows Server. При попытке зайти в систему на Windows Server 2008 и выше, может встретиться подобная ошибка. В журнале ошибок вы можете увидеть соответствующую ошибку с ID 1509.
Для исправления просто дайте группе Users права на чтение C:\Users\Default, как указано ниже.
Если ошибка не решится, проверьте журнал ошибок Windows на предмет похожих ошибок, например, ID 1500, которая связана с повреждением файла NTUSER.DAT (решается вариантом #2 в этой статье).
Рекомендации по устранению проблемы
Практически всегда проблема с загрузкой профиля связано с некорректными данными профиля в реестре, или поврежденим файла NTUSER.DAT, поэтому устранение ошибки связано с восстановлением этих ресурсов в прежнее состояние.
Следуя этой статье, первым делом попробуйте исправить пути к профилю в реестре и файл ntuser.dat. Обычно этих шагов достаточно, чтобы восстановить работоспособность профиля. В некоторых статьях рекомендуют заходить в безопасном режиме, но в этом нет никакой необходимости, так как эта проблема не связана с драйверами.
Самый сложный вариант — это когда вы не можете попасть в ваш профиль, у вас нет другого административного аккаунта, и система не создает временный профиль. То есть, вы никак не можете войти в Windows. Для решения проблемы вам понадобится загрузочная флешка (или хотя бы установочный диск) с вашей версией Windows, вам нужно загрузится с него и создать новый аккаунт с правами администратора. Затем следуйте описанным в статье шагам.