Event ID 10021 DCOM: ошибка дескриптора безопасности запуска
Симптомы ошибки дескриптора DCOM (Event ID 10021)
В журнале System фиксируется ошибка: Event ID 10021: The launch and activation security descriptor for the COM Server application [Путь/AppID] is invalid. It contains Access Control Entries (ACEs) with unrecognized format. The requested action was not performed.
| Симптом | Последствия |
|---|---|
| Невозможность запуска COM-приложений | Служба DCOM полностью блокирует вызовы к сбойному компоненту |
| Ошибки в dcomcnfg | При открытии свойств приложения оснастка сообщает о повреждении ACL |
| Отказ системных оснасток MMC | Сбои компонентов управления сервером и ролями AD |
Пошаговое восстановление дескриптора безопасности DCOM (Event ID 10021)
Данная ошибка возникает, когда в реестре двоичный параметр LaunchPermission или AccessPermission был поврежден некорректным установщиком ПО или содержит недопустимые дескрипторы SID.
- Восстановите права DCOM по умолчанию через реестр:
# Удаление поврежденных кастомных разрешений приложения в реестре (будут применены дефолтные права):
$AppID = "{GUID-ИЗ-ОШИБКИ}"
Remove-ItemProperty -Path "HKLM:\SOFTWARE\Classes\AppID\$AppID" -Name "LaunchPermission" -ErrorAction SilentlyContinue
Remove-ItemProperty -Path "HKLM:\SOFTWARE\Classes\AppID\$AppID" -Name "AccessPermission" -ErrorAction SilentlyContinue- Восстановите стандартные права DCOM на уровне компьютера:
Откройте dcomcnfg.exe > Службы компонентов > Компьютеры > Мой компьютер > нажмите правой кнопкой мыши > Свойства > вкладка «Безопасность COM». В разделах «Права доступа» и «Разрешения на запуск и активацию» нажмите «Изменить ограничения» и убедитесь, что группы SYSTEM, Administrators и LOCAL SERVICE имеют полные локальные права.
- Исправьте дескрипторы через графическую оснастку: при открытии свойств сбойного приложения в DCOMcnfg нажмите «Да» (Yes) на предложение Windows автоматически исправить синтаксис прав доступа.
Предостережение: Перед удалением параметров реестра в ветке Classes\AppID обязательно сделайте резервный экспорт ключа через команду reg export.
Частые вопросы (FAQ)
Что такое Security Descriptor (Дескриптор безопасности) в DCOM?
Это структура бинарных данных, содержащая списки управления доступом (ACL), определяющие, кто имеет право запускать, активировать и вызывать COM-сервер.
Почему дескриптор становится недействительным (Invalid)?
Причиной может быть удаление доменного пользователя/группы, чей SID остался в ACL, или повреждение структуры данных сторонним твикером/чистильщиком реестра.
Как сбросить все параметры безопасности DCOM до заводских значений?
Удалите кастомные ключи DefaultAccessPermission и DefaultLaunchPermission в ветке HKLM:\SOFTWARE\Microsoft\Ole.
Требуется ли перезагрузка сервера после исправления DCOM ACL?
Обычно достаточно перезапустить службу сбойного приложения или службу RPCSS (если применимо).