Page History

Contexte

Vous retrouverez dans cette page les erreurs rencontrées lors de la configuration d'un Windows supervisé pour le pack windows-by-WinRM__shinken : exécution du script, service WinRM, compte de supervision, permissions et Active Directory.

Les erreurs

Exécution du script

Impossible de charger le fichier <nom_du_script.ps1> car l'exécution de scripts est désactivée

Le script Configure-Host.ps1 refuse de démarrer. PowerShell bloque par défaut les scripts non signés numériquement via sa stratégie d'exécution (Execution Policy). Aucune modification n'a été appliquée sur la machine.

Impossible de charger le fichier C:\<nom_du_script.ps1>, car l'exécution de scripts
est désactivée sur ce système.
    + CategoryInfo          : Erreur de sécurité : (:) [], PSSecurityException
    + FullyQualifiedErrorId : UnauthorizedAccess

Mots-clés : UnauthorizedAccess · PSSecurityException · Execution Policy · l'exécution de scripts est désactivée · n'est pas signé numériquement

Autorisez l'exécution pour la session courante uniquement :

Set-ExecutionPolicy Unrestricted -Scope Process

Get-ExecutionPolicy -List

WSManFault – Le type de connexion réseau défini sur cet ordinateur est Public

winrm quickconfig s'interrompt sans configurer WinRM. Windows refuse d'activer la gestion à distance tant qu'au moins une carte réseau est en profil Public. Le cas est fréquent sur Windows 10 et Windows 11, où une carte non identifiée bascule automatiquement dans ce profil.

WSManFault
    Message = Le client WinRM ne peut pas traiter la demande. Le type de connexion réseau
    défini sur cet ordinateur est Public. Dans ce type de réseau, le pare-feu bloque le
    pilote WinRM.
Error number:  -2144108183 0x80338169

Mots-clés : WSManFault · 0x80338169 · -2144108183 · connexion réseau · Public · le pare-feu bloque le pilote WinRM

Identifiez la carte concernée :

Get-NetConnectionProfile

Basculez-la en Privé (ou Domaine si la machine est jointe à un annuaire), en remplaçant le nom de l'interface :

Set-NetConnectionProfile -InterfaceAlias "Ethernet" -NetworkCategory Private

Service WinRM, compte et permissions

Le service WinRM est arrêté après chaque redémarrage

La supervision fonctionne, puis tous les checks de la machine tombent en erreur après un redémarrage. Sur Windows 10 et Windows 11, le service WinRM est configuré en démarrage manuel par défaut : il ne se relance pas tout seul.

Status   Name               DisplayName
------   ----               -----------
Stopped  WinRM              Gestion à distance de Windows (Gestion WS)

Mots-clés : WinRM · Stopped · StartupType · Manual · connection refused · request timed out

Set-Service -Name WinRM -StartupType Automatic
Start-Service WinRM
Get-Service WinRM

Le nom de groupe local spécifié est introuvable – net localgroup

L'ajout du compte de supervision à un groupe local échoue après un copier-coller, alors que le nom du groupe paraît correct à l'écran. La cause est une apostrophe typographique (’) substituée à l'apostrophe droite (') au moment du collage par clic droit, dans « Utilisateurs de l'Analyseur de performances ».

Le nom de groupe local spécifié est introuvable.
D'autres informations sont disponibles à l'adresse NET HELPMSG 3763.

Mots-clés : net localgroup · NET HELPMSG 3763 · nom de groupe local introuvable · Analyseur de performances · Performance Monitor Users · apostrophe

• Collez avec CTRL+V plutôt qu'avec le clic droit, ou
• saisissez l'apostrophe manuellement dans la console, ou
• utilisez le nom anglais du groupe, qui ne contient pas d'apostrophe :

net localgroup "Performance Monitor Users" shinken_user /ADD

Pour vérifier l'appartenance effective du compte :

net user shinken_user

La supervision s'arrête brutalement du jour au lendemain

Tous les checks d'une machine — ou de l'ensemble du parc si le compte est partagé — passent en erreur simultanément, sans qu'aucune configuration n'ait été modifiée. Le mot de passe du compte de supervision a expiré conformément à la politique de sécurité du domaine ou de la machine.

UNKNOWN – Authentication NTLM failed : Unauthorized

Mots-clés : Authentication failed · Unauthorized · mot de passe expiré · PasswordExpired · PasswordNeverExpires

Vérifiez l'état du compte :

net user shinken_user | findstr /C:"expire"

Redéfinissez le mot de passe, puis empêchez son expiration :

$secPass = ConvertTo-SecureString "VotreMotDePasse" -AsPlainText -Force
.\Configure-Host.ps1 -UserName "shinken_user" -Password $secPass -PasswordNeverExpires

Les permissions ne semblent pas prises en compte

Les droits viennent d'être accordés au compte de supervision, mais les checks échouent toujours avec une erreur d'accès refusé. Les jetons de connexion déjà ouverts conservent les anciennes autorisations tant que les services ne sont pas relancés.

UNKNOWN – Response fault error: Code: s:Sender, Subcode: w:AccessDenied

Mots-clés : AccessDenied · Permission denied · accès refusé · winmgmt · WinRM · SDDL

Redémarrez les deux services concernés :

Restart-Service winmgmt -Force
Restart-Service WinRM -Force

Active Directory

Le conteneur cible « CN=Users » est inaccessible – création d'OU impossible

Le script s'arrête au moment de créer l'unité d'organisation dédiée « Shinken supervision users ». Le paramètre -OUPath pointe vers CN=Users, qui est un conteneur et non une unité d'organisation : Active Directory interdit d'y créer une OU.

Le conteneur cible 'CN=Users,DC=exemple,DC=local' est inaccessible

Mots-clés : CN=Users · -OUPath · conteneur cible inaccessible · OU · unité d'organisation · Shinken supervision users

Visez une véritable unité d'organisation :

.\Configure-Host.ps1 -Default -Domain -OUPath "OU=Utilisateurs,DC=exemple,DC=local"

Aucun identifiant de domaine utilisable – échec en mode non interactif

Lancé à distance ou par tâche planifiée sur une machine du domaine, le script s'arrête avant toute modification. Il ne dispose pas d'identifiants pour écrire dans l'annuaire et ne peut pas les demander : une invite bloquerait l'exécution automatisée.

Aucun identifiant de domaine utilisable.
Fournissez-en un de l'une de ces façons :
  - paramètre -DomainCredential (recommandé pour un déclenchement distant) ;
  - exécution sous un compte de domaine habilité (tâche planifiée) ;
  - mode -Interactive, qui demandera les identifiants.

Mots-clés : -DomainCredential · identifiant de domaine · annuaire · Invoke-Command · tâche planifiée · non interactif

Fournissez explicitement des identifiants habilités à écrire dans l'annuaire :

$cred = Get-Credential
.\Configure-Host.ps1 -Default -Domain -DomainCredential $cred

Après la configuration

Le check Service $KEY$ State by WinRM remonte une erreur

Les autres checks de la machine fonctionnent, mais la supervision d'un service précis échoue. Le compte de supervision n'a pas l'accès en lecture au service demandé : seuls scmanager, W32Time et WinRM sont autorisés par défaut.

UNKNOWN – Command execution Failed. Permission denied.

Mots-clés : Service $KEY$ State · Permission denied · -ServicesName · sc.exe sdshow · scmanager

Relancez le script en indiquant le ou les services à autoriser :

.\Configure-Host.ps1 -UserName "shinken_user" -Password $secPass -ServicesName "MonService","AutreService"

Pour vérifier les droits posés sur un service :

sc.exe sdshow MonService

Get-Service | Where-Object DisplayName -like "*MonApplication*"