Error 15401 – nie można odnaleźć użytkownika domenowego

Error 15401 sygnalizuje niemożność odnalezienia w usłudze katalogowej wskazanego konta domenowego przy tworzeniu loginu.

Co oznacza komunikat SQL Server Error 15401

Error 15401 w Microsoft SQL Server oznacza, że serwer nie potrafi odnaleźć wskazanego użytkownika lub grupy systemu Windows podczas tworzenia albo modyfikowania loginu opartego na uwierzytelnianiu Windows. Problem dotyczy mapowania nazwy zabezpieczeń na obiekt dostępny w usłudze katalogowej, najczęściej w domenie Active Directory. Sam zapis nazwy konta w poleceniu nie wystarcza: SQL Server musi otrzymać od systemu Windows potwierdzenie, że taki użytkownik lub grupa istnieje.

Błąd pojawia się między innymi przy wykonaniu instrukcji CREATE LOGIN [DOMENA\użytkownik] FROM WINDOWS albo CREATE LOGIN [DOMENA\grupa] FROM WINDOWS. SQL Server nie tworzy wtedy lokalnej kopii hasła domenowego. Zapisuje identyfikator zabezpieczeń konta, czyli SID, oraz informacje potrzebne do późniejszego rozpoznawania tożsamości. Jeżeli nazwa nie zostanie rozwiązana do istniejącego obiektu Windows, operacja kończy się komunikatem 15401.

Rozwiązywanie nazwy domenowej a tworzenie loginu

Najczęstszą przyczyną jest literówka w nazwie domeny, użytkownika lub grupy. Znaczenie ma również użyty format. Dla konta domenowego stosuje się zwykle zapis DOMENA\użytkownik albo nazwę w formacie UPN, na przykład Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript., o ile środowisko i polecenie SQL Server poprawnie obsługują taką nazwę. Nie należy mylić nazwy wyświetlanej w narzędziu administracyjnym z właściwą nazwą logowania używaną przez system Windows.

Rozwiązanie nazwy odbywa się z perspektywy komputera, na którym działa instancja SQL Server, a niekoniecznie z perspektywy stacji roboczej osoby wykonującej polecenie. Dlatego konto może być widoczne na laptopie administratora, lecz nierozpoznawalne dla serwera. Przyczyną może być brak połączenia z kontrolerem domeny, nieprawidłowa konfiguracja DNS, niedostępność wymaganych usług katalogowych albo brak relacji zaufania między domeną serwera i domeną użytkownika. Jeżeli SQL Server znajduje się w innej domenie, sama poprawność zapisu nazwy nie usuwa problemu z zaufaniem lub komunikacją.

Kontrole przed ponownym wykonaniem CREATE LOGIN

Najpierw należy sprawdzić, czy wskazane konto rzeczywiście istnieje w Active Directory i czy nie zostało usunięte, wyłączone lub przeniesione do innej domeny. Warto potwierdzić pełną nazwę domeny, nazwę logowania oraz przynależność konta do właściwej domeny. Dla grupy trzeba sprawdzić, czy podana jest grupa zabezpieczeń, a nie podobnie nazwana grupa dystrybucyjna lub zwykły opis widoczny w interfejsie administracyjnym.

Następnie należy zweryfikować stan komputera z instancją SQL Server. Komputer powinien poprawnie rozpoznawać swoją domenę, korzystać z właściwych serwerów DNS i mieć możliwość komunikacji z kontrolerem domeny. Pomocne jest sprawdzenie rozwiązywania nazwy oraz test wykonany bezpośrednio na serwerze, na przykład przez narzędzia systemu Windows przeznaczone do wyszukiwania użytkowników i grup. Samo pomyślne zalogowanie operatora do domeny nie dowodzi, że usługa SQL Server ma identyczny dostęp do usług katalogowych.

Uprawnienia, konto usługi i dalsza weryfikacja

Po usunięciu problemu z nazwą i komunikacją trzeba jeszcze sprawdzić uprawnienia operatora w SQL Server. Utworzenie loginu wymaga odpowiednich uprawnień serwerowych, ale brak uprawnienia zwykle prowadzi do innego komunikatu niż Error 15401. Rozdzielenie tych przypadków jest istotne: błąd 15401 wskazuje przede wszystkim na nierozpoznanie obiektu Windows, natomiast komunikat o odmowie wykonania operacji wskazuje na problem autoryzacji w samej instancji SQL Server.

Po poprawnym utworzeniu loginu warto sprawdzić jego obecność w katalogu serwerowym SQL Server oraz zweryfikować, czy login został przypisany do właściwej bazy danych i użytkownika bazodanowego. Login serwerowy i użytkownik bazy danych to dwa odrębne obiekty: pierwszy pozwala przejść etap uwierzytelnienia na poziomie instancji, a drugi określa dostęp wewnątrz konkretnej bazy. W środowisku domenowym należy również uwzględnić zmiany nazw kont, przenoszenie obiektów między domenami oraz odtwarzanie kont o tej samej nazwie, lecz z innym SID. Takie sytuacje mogą powodować późniejsze problemy z mapowaniem, nawet gdy samo polecenie utworzenia loginu zakończy się powodzeniem.