| Предыдущий | Следующий |
| NTE_TOKEN_KEYSET_STORAGE_FULL | NTE_FIXEDPARAMETER |
NTE_TEMPORARY_PROFILE
В NTE_TEMPORARY_PROFILE особенно важна область действия: постоянства профиля пользователя. Поставщик отклоняет операцию с постоянным ключом, поскольку Windows загрузила временный профиль пользователя, чьё хранилище не является стабильным местом для долговременного ключевого материала. Сохраняйте шестнадцатеричное значение 0x80090024 вместе с API, который его вернул, поскольку высокоуровневое ПО может преобразовать его в сообщение, теряющее это различие.
Начните с API, вернувшего результат
При этом результате пользовательское хранилище закрытых ключей зависит от профиля Windows, загруженного для субъекта безопасности. Временный профиль может быть доступен для записи в текущем сеансе, но не подходит для постоянных контейнеров, поскольку его путь и жизненный цикл не являются устойчивым состоянием профиля пользователя.
Матрица диагностических данных
- 1. События User Profile Service и тип профиля, загруженного для SID вызывающей стороны
Проверьте состояние профиля в событиях User Profile Service и выясните, почему обычный профиль не загрузился. - 2. Должен ли запрос ключа намеренно использовать область пользователя или область компьютера
Определите, действительно ли приложению нужен пользовательский ключ или оно должно явно использовать машинное хранилище. - 3. Путь хранилища поставщика и идентичность, которая должна повторно открыть ключ после выхода или перезапуска
После восстановления обычной загрузки профиля убедитесь, что ключ создаётся под ожидаемым SID и путём профиля.
Для постоянства профиля пользователя эти данные намеренно не содержат секретов: идентификаторов, длин, имён поставщиков, выбранных политик и переходов состояния обычно достаточно без записи закрытых ключей, паролей, PIN или plaintext.
Сохраните цепочку доказательств
Для NTE_TEMPORARY_PROFILE, сопоставьте последнюю успешную операцию с установкой или обновлением поставщика, созданием или обновлением ключа, изменениями профиля или сеанса, подключением и отключением устройства, обновлением политик и первым неудачным вызовом. Для этого результата порядок важен: ошибка сразу после миграции ключа указывает на другую границу, чем сбой после смены учётной записи службы.
- Для этого результата подготовьте минимальный пример с именем API, поставщика, ключа или контейнера, флагами и размерами нечувствительных входных данных.
- Для этого пути сохраните события поставщика, устройства, профиля и ОС за период от последнего успеха до первого сбоя.
- Для этого пути сохраните заведомо исправный контрольный результат с той же идентичностью, архитектурой и выбором поставщика.
Минимальная последовательность теста
Сначала восстановите нормальную загрузку профиля, затем создайте одноразовый ключ под тем же SID и убедитесь, что он переживает цикл выхода/входа. Отдельно проверяйте machine scope только если именно такая модель владения задумана приложением.
| Тест | Интерпретация |
|---|---|
| Тот же ввод, заведомо исправный путь | Для постоянства профиля пользователя успех переносит внимание на выбранного поставщика, политику, устройство, контекст или состояние транзакции. |
| Заведомо исправный ввод, сбойный путь | Для постоянства профиля пользователя сбой указывает, что среда или выбранный объект самостоятельно не способны выполнить операцию. |
| Исходный путь после одного изолированного изменения | Для постоянства профиля пользователя это сравнение показывает, устраняет ли предложенное исправление исходное условие. |
Границы этого HRESULT
Изменение разрешений временного профиля не является долговременным исправлением. Главная проблема — сам профиль не будет нормально сохраняться. Широкие разрешения на его каталог не делают профиль постоянным и могут оставить чувствительные данные в неожиданном пути очистки.
Для постоянства профиля пользователя также сохраняйте исходное числовое значение: соседние константы могут требовать существенно разного восстановления, даже если приложение показывает их все как ошибку аутентификации, сертификата или безопасности.
Критерии закрытия проблемы
Целевой субъект должен после смены сеанса повторно открывать тот же постоянный ключ из своего обычного профиля либо из явно предусмотренного машинного хранилища. Для NTE_TEMPORARY_PROFILE, сохраните регрессионный тест с нечувствительными идентификаторами и ожидаемыми результатами, включая один отрицательный контроль, который должен по-прежнему завершаться ошибкой.
Технические ссылки
Для NTE_TEMPORARY_PROFILE, эти источники определяют HRESULT и соответствующий интерфейс, протокол или формат данных постоянства профиля пользователя.
- Открытые спецификации Microsoft: значения HRESULT.
- Microsoft: CNG Key Storage Providers.
- Microsoft: функции хранилища ключей CNG.
Нужно найти другой код? Найти другой код состояния или ошибки.