基本故障排除

Last published : Oct 24, 2026
本主题列出了您在设置或设置 Secure Private Access 之后可能遇到的一些错误。
证书错误
数据库创建错误
店面故障
公共网关/回调网关故障
安全私有访问服务器不可达
其他
Related information
监控和故障排除

证书相关错误

错误消息：无法自动从一个或多个网关服务器获取证书。
当您尝试添加公共 NetScaler® Gateway 地址并且在获取证书时出现问题时，会出现此错误消息。此问题可能在设置 Secure Private Access 时或设置完成后更新设置时发生。
解决方法：以与 Citrix 虚拟应用和桌面 相同的方式更新网关证书。

数据库创建错误

  • 错误消息：未能创建数据库
    解决方案：对于自动情况 - 计算机必须具有在 SQL 服务器上的数据库中创建表的读取 (READ)、写入 (WRITE)、更新 (UPDATE) 权限。
  • 错误消息：创建数据库失败：数据库已存在。
    此错误消息可能出现在以下任何场景中。
    • 如果在配置数据库时选择了自动配置选项。
    • 如果管理员正在创建数据库，则该数据库必须是空数据库。如果数据库不是空数据库，则可能会出现此错误消息。
      解决方案：您必须创建一个空数据库。
    • 您卸载 Secure Private Access 并使用相同的站点名称重试设置。在这种情况下，之前安装的数据库可能未被删除。
      解决方案：您必须手动删除数据库。
    • 您选择通过脚本手动设置数据库（通过在“配置数据库”页面中选择“手动配置”），然后更改为“自动配置”选项，但使用相同的站点名称。在这种情况下，在运行脚本时，已创建了同名数据库。
      解决方案：您必须重命名站点，然后再次运行脚本。
    • 该计算机没有在 SQL Server 上的数据库中创建表的 READ、WRITE、UPDATE 权限。
      解决方案：在计算机上启用相应的权限。有关详细信息，请参阅设置数据库所需的权限。
  • 错误消息：创建数据库失败：连接失败
    解决方案：
    • 检查您的计算机与数据库的网络连接。确保防火墙上已打开 SQL Server 端口。
    • 如果使用远程 SQL 服务器，请检查 SQL 服务器是否已使用 Secure Private Access 计算机身份 Domain\hostname$ 创建登录名。
    • 如果使用远程 SQL 服务器，请确认计算机身份已分配正确的角色，即系统管理员角色。
    • 如果使用本地 SQL 服务器（非安装程序自带），请检查 NT AUTHORITY\SYSTEM 用户是否必须创建登录名。

StoreFront™ failures

  • 错误消息：未能为 <Store URL> 创建 StoreFront 条目
    如果 StoreFront 条目不可见，请从“设置”选项卡更新它们。使用向导设置 Secure Private Access 后，您可以从“设置”选项卡编辑 StoreFront 条目。记下发生此错误的 StoreFront 商店 URL。
    解决方案：
    1. 单击“设置”，然后单击“集成”选项卡。
    2. In StoreFront Store URL, add the StoreFront entry if it is not visible.
  • 错误消息：未能为 <Store URL> 配置 StoreFront 条目
    解决方案：
    1. 可能存在 PowerShell 执行策略限制。运行 PowerShell 脚本命令 Get-ExecutionPolicy 以获取详细信息。
    2. 如果受到限制，您必须绕过此限制并手动运行 StoreFront 配置脚本。
    3. 单击“设置”，然后单击“集成”选项卡。
    4. 在 StoreFront 应用商店 URL 中，找到出现错误的 StoreFront 应用商店 URL 条目。
    5. 单击此商店 URL 旁边的“下载脚本”按钮，并在安装了相应 StoreFront 的计算机上以管理员权限运行此 PowerShell 脚本。此脚本必须在所有 StoreFront 计算机上运行。
    注意：
    如果您在卸载后重试安装，请确保 StoreFront 配置中没有名为“安全私有访问”的条目 (StoreFront > 应用商店 > Delivery Controller™ -> 安全私有访问)。如果存在安全私有访问，请删除此条目。请从“设置”>“集成”页面手动下载并运行脚本。
  • 错误消息：StoreFront 配置不是本地的，适用于：<Store URL>
    使用向导设置 Secure Private Access 后，您可以从“设置”选项卡编辑网关条目。记下发生此错误的 StoreFront 商店 URL。
    解决方案：
    如果 StoreFront 未与 Secure Private Access 安装在同一台计算机上，则会出现此问题。您必须在安装了 StoreFront 的计算机上手动运行 StoreFront 配置。
    1. 单击“设置”，然后单击“集成”选项卡。
    2. 在 StoreFront 商店网址 中，找到发生错误的 StoreFront 网址条目。
    3. 单击此商店 URL 旁边的“下载脚本”按钮，并在安装了相应 StoreFront 的计算机上以管理员权限运行此 PowerShell 脚本。此脚本必须在所有 StoreFront 计算机上运行。
    注意：
    To run the StoreFront PowerShell script, open the Windows x64 compatible PowerShell window with admin privileges and then run ConfigureStorefront.ps1. StoreFront script is not compatible with Windows PowerShell (x86).
  • Error message: "Get-STFStoreService : Exception of type 'Citrix.DeliveryServices.Framework.Feature.Exceptions.RegistryKeyNotFoundException' was thrown." while running StoreFront script using PowerShell.
    当 StoreFront 脚本在 x86 兼容的 PowerShell 窗口中运行时，会出现此错误。
    解决方案：
    To run the StoreFront PowerShell script, open the Windows x64 compatible PowerShell window with admin privileges and then run ConfigureStorefront.ps1.

公共网关/回调网关故障

错误消息: 无法为以下对象创建网关条目: <Gateway URL> 或 无法为以下对象创建回调网关条目: <Callback Gateway URL>
解决方案:
记下发生故障的公共网关或回调网关 URL。使用向导设置 Secure Private Access 后，您可以从“设置”选项卡编辑网关条目。
  1. 单击“设置”，然后单击“集成”选项卡。
  2. 更新公共网关地址或回调网关地址以及发生故障的虚拟 IP 地址。

安全私有访问服务器无法访问

错误消息: 无法更新 IIS 池。无法重新启动 IIS 池
解决方案:
转到 Internet Information Services (IIS) 中的应用程序池，并检查以下应用程序池是否已启动并正在运行:
  • 安全私有访问运行时池
  • 安全私有访问管理池
另请检查默认 IIS 站点 "Default Web Site" 是否已启动并正在运行。

数据库连接检查故障

错误消息: 连接检查失败
数据库连接检查失败可能有多种原因：
  • 由于防火墙，Secure Private Access 插件主机无法访问数据库服务器。
    解决方案： 检查防火墙上是否打开了数据库端口（默认端口 1433）。
  • Secure Private Access 插件主机没有连接到数据库的权限。
    解决方案： 请参阅 安全专用访问的 SQL 数据库权限。

网关连接性检查失败，未能获取公共证书

错误消息： 安装后配置失败，并显示错误“网关连接检查失败。无法获取公共证书…。”
解决方案：
  • 使用配置工具手动将网关公共证书上传到 Secure Private Access 数据库。
  • 以管理员权限打开 PowerShell 或命令提示符窗口。
  • Change the directory to the Admin\AdminConfigTool folder under the Secure Private Access installation folder (for example, cd "C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool")
  • 运行以下命令：
    .\AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>

应用程序枚举失败

如果 StoreFront 地址或 NetScaler Gateway 地址包含尾部斜杠（/），则应用程序枚举会中断。
解决方案：
删除 StoreFront 商店地址或 NetScaler Gateway 地址中的尾部斜杠。有关详细信息，请参阅设置后更新 StoreFront 或 NetScaler Gateway 服务器详细信息。

其他事项

首次设置无法成功完成

如果 Director 配置在首次设置期间失败，您可能无法重新配置许可证服务器。
解决方案：
手动清理许可证服务器表。

创建安全私有访问诊断支持捆绑包

执行以下步骤以创建 Secure Private Access 诊断支持包：
  • 以管理员权限打开 PowerShell 或命令提示符窗口。
  • Change the directory to the Admin\AdminConfigTool folder under the Secure Private Access installation folder (for example, cd "C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool").
  • 运行以下命令：
    .\AdminConfigTool.exe /SUPPORTBUNDLE <output folder>

安全私有访问的 SQL 数据库权限

对于自动数据库创建，Secure Private Access 插件主机必须具有连接到数据库并创建数据库架构的权限。
远程数据库：
请执行以下步骤，以设置远程数据库的权限。
  1. 使用名称语法 CitrixAccessSecurity<Site Name> 创建一个空数据库。其中 <Site Name> 是 Secure Private Access 站点名称。（例如，站点名称可以是 CitrixAccessSecuritySPA）。
    CREATE DATABASE CitrixAccessSecurity<SiteName>
  2. 为 Secure Private Access 虚拟机创建计算机身份的 SQL 服务器登录。例如，如果您的 Secure Private Access 代理计算机名称是 HOST1，计算机域是 DOMAIN1，则计算机身份是“DOMAIN1\HOST1$”。如果登录已创建，则可以忽略此步骤。
    USE CitrixAccessSecurity<SiteName>
    CREATE LOGIN [DOMAIN1\HOST1$] FROM WINDOWS
    可以使用以下查询找到域名：
    SELECT DEFAULT_DOMAIN()[DomainName]
  3. 将 db_owner 角色分配给计算机身份。
    USE CitrixAccessSecurity<SiteName>
    EXEC sys.sp_addrolemember [db_owner], 'DOMAIN1\HOST1$'
    ALTER USER [DOMAIN1\HOST1$] WITH DEFAULT_SCHEMA = dbo;
本地数据库：
请执行以下步骤，以设置本地数据库的权限。
  1. 使用名称语法 CitrixAccessSecurity<Site Name> 创建一个空数据库。其中 <Site Name> 是 Secure Private Access 站点名称。（例如，站点名称可以是 CitrixAccessSecuritySPA）。
    CREATE DATABASE CitrixAccessSecurity<SiteName>
  2. 为 NT AUTHORITY\SYSTEM 用户创建 SQL Server 登录名。如果登录名已创建，则可以忽略此步骤。
    USE CitrixAccessSecurity<SiteName>
    CREATE LOGIN [NT AUTHORITY\SYSTEM] FROM WINDOWS
  3. Assign the db_owner role to the “NT AUTHORITY\SYSTEM” user.
    USE CitrixAccessSecurity<SiteName>
    EXEC sys.sp_addrolemember [db_owner], 'NT AUTHORITY\SYSTEM'
    ALTER USER [NT AUTHORITY\SYSTEM] WITH DEFAULT_SCHEMA = dbo;
当您手动创建数据库时，下载的数据库脚本会将权限添加到计算机标识。

更改故障排除日志的日志级别

故障排除日志是默认的错误日志级别。
To change the log level for the troubleshooting logs, in the runtime service appsettings.json (C:\Program Files\Citrix\Citrix Access Security\Runtime\RuntimeService) update restrictedToMinimumLevel for TroubleshootingSql to one of the following values:
-  Information
-  Debug
-  Warning
-  Error

"TroubleshootingSql": {
  "restrictedToMinimumLevel": "Error",
  "batchPostingLimit": 50,
  "batchPeriod": "00:00:05" // 5 seconds
}

应用程序启动 / Citrix 安全访问 登录失败

如果 NetScaler 网关证书轮换，应用程序启动或思杰安全访问登录会失败。
解决方案： 在 Secure Private Access 管理控制台中刷新证书。
  1. 导航到 设置 > 集成。
  2. 在 公共 NetScaler Gateway 地址部分中，单击 刷新证书。
    刷新可能需要花费几分钟的时间才能完成。
有关详细信息，请参阅 修改集成设置。