基本故障排除

Last published : Oct 24, 2026
本主题列出了您在设置或设置 Secure Private Access 后可能遇到的一些错误。
证书错误
数据库创建错误
店面故障
公共网关/回调网关故障
安全私有访问服务器不可达
杂项
Related information
监控和故障排除

证书相关错误

错误消息：无法自动从一个或多个网关服务器获取证书。
当您尝试添加公共 NetScaler® Gateway 地址并且在获取证书时出现问题时，会出现此错误消息。此问题可能在设置 Secure Private Access 时或在设置完成后更新设置时发生。
解决方法：以与 Citrix 虚拟应用和桌面 相同的方式更新网关证书。

数据库创建错误

  • 错误消息：未能创建数据库
    解决方案：对于自动情况 - 计算机必须具有在 SQL Server 上的数据库中创建表的读取、写入、更新权限。
  • 错误消息：创建数据库失败：数据库已存在。
    此错误消息可能出现在以下任何场景中。
    • 如果在配置数据库时选择了自动配置选项。
    • 如果管理员正在创建数据库，则该数据库必须为空。如果数据库为非空数据库，则可能会出现此错误消息。
      解决方案：您必须创建一个空数据库。
    • 您卸载 Secure Private Access 并使用相同的站点名称重试设置。在这种情况下，以前安装的数据库将不会被删除。
      解决方案：您必须手动删除数据库。
    • 您选择通过使用脚本手动设置数据库（通过在“配置数据库”页面中选择“手动配置”），然后更改为“自动配置”选项，但使用相同的站点名称。在这种情况下，运行脚本时已创建同名数据库。
      解决方案：您必须重命名站点，然后再次运行脚本。
    • 计算机没有在 SQL Server 上的数据库中创建表的 READ、WRITE、UPDATE 权限。
      解决方案：在计算机上启用适当的权限。有关详细信息，请参阅设置数据库所需的权限。
  • 错误消息：创建数据库失败：连接失败
    解决方案：
    • 检查计算机与数据库的网络连接。确保防火墙上已打开 SQL Server 端口。
    • 如果使用远程 SQL 服务器，请检查 SQL 服务器是否已使用 Secure Private Access 计算机身份 Domain\hostname$ 创建登录名。
    • 如果使用远程 SQL 服务器，请确认计算机身份已分配正确的角色，即系统管理员角色。
    • 如果使用本地 SQL 服务器（非安装程序自带），请检查 NT AUTHORITY\SYSTEM 用户是否必须创建登录名。

思杰店面故障

  • 错误消息：未能为 <Store URL> 创建 StoreFront 条目
    如果 StoreFront 条目不可见，请从设置选项卡更新它们。使用向导设置 Secure Private Access 后，您可以从设置选项卡编辑 StoreFront 条目。记下发生此错误的 StoreFront 商店 URL。
    解决方案：
    1. 单击设置，然后单击集成选项卡。
    2. 在StoreFront 商店 URL中，如果 StoreFront 条目不可见，请添加该条目。
  • 错误消息：未能为 <Store URL> 配置 StoreFront 条目
    解决方案：
    1. 可能存在 PowerShell 执行策略限制。运行 PowerShell 脚本命令 Get-ExecutionPolicy 以获取详细信息。
    2. 如果受到限制，您必须绕过此限制并手动运行 StoreFront 配置脚本。
    3. 单击设置，然后单击集成选项卡。
    4. 在思杰店面商店 URL中，识别发生错误的思杰店面 URL 条目。
    5. 单击此商店 URL 旁边的下载脚本按钮，并在安装了相应 StoreFront 的计算机上以管理员权限运行此 PowerShell 脚本。此脚本必须在所有 StoreFront 计算机上运行。
    注意：
    If you are retrying the installation after uninstalling, ensure that you don't have an entry with the name "Secure Private Access" in the StoreFront configuration (StoreFront > store> Delivery Controller™ -> Secure Private Access). If Secure Private Access is present, delete this entry. Manually download and run the script from the Settings > Integrations page.
  • 错误消息：StoreFront 配置不是本地的：<Store URL>
    使用向导设置 Secure Private Access 后，您可以从“设置”选项卡编辑网关条目。记下发生此错误的 StoreFront 商店 URL。
    解决方案：
    如果 StoreFront 未与 Secure Private Access 安装在同一台计算机上，则会出现此问题。您必须在安装 StoreFront 的计算机上手动运行 StoreFront 配置。
    1. 单击“设置”，然后单击“集成”选项卡。
    2. In StoreFront Store URL, identify the StoreFront URL entry for which the error occurred.
    3. 单击此商店 URL 旁边的“下载脚本”按钮，并在安装了相应 StoreFront 的计算机上以管理员权限运行此 PowerShell 脚本。此脚本必须在所有 StoreFront 计算机上运行。
    注意：
    To run the StoreFront PowerShell script, open the Windows x64 compatible PowerShell window with admin privileges and then run ConfigureStorefront.ps1. StoreFront script is not compatible with Windows PowerShell (x86).
  • Error message: "Get-STFStoreService : Exception of type 'Citrix.DeliveryServices.Framework.Feature.Exceptions.RegistryKeyNotFoundException' was thrown." while running StoreFront script using PowerShell.
    当在 x86 兼容的 PowerShell 窗口中运行 StoreFront 脚本时，会出现此错误。
    解决方案：
    若要运行 StoreFront PowerShell 脚本，您需要以管理员权限打开兼容 Windows x64 的 PowerShell 窗口，然后执行 ConfigureStorefront.ps1。

公共网关/回调网关故障

错误消息：未能为 <Gateway URL> 创建网关条目 或 未能为 <Callback Gateway URL> 创建回调网关条目
解决方案：
记下发生故障的公共网关或回调网关 URL。使用向导设置 Secure Private Access 后，您可以从“设置”选项卡编辑网关条目。
  1. 单击“设置”，然后单击“集成”选项卡。
  2. 更新发生故障的公共网关地址或回调网关地址以及虚拟 IP 地址。

安全私有访问服务器不可访问

错误消息：未能更新 IIS 池。未能重新启动 IIS 池
解决方案：
转到 Internet Information Services (IIS) 中的应用程序池，并检查以下应用程序池是否已启动并正在运行：
  • 安全私有访问运行时池
  • 安全私有访问管理员池
另请检查默认 IIS 站点 "Default Web Site" 是否已启动并正在运行。

数据库连接检查失败

错误消息： 连接检查失败
数据库连接检查失败可能有多种原因：
  • 由于防火墙，Secure Private Access 插件主机无法访问数据库服务器。
    解决方案： 检查防火墙上是否打开了数据库端口（默认端口 1433）。
  • Secure Private Access 插件主机没有连接到数据库的权限。
    解决方案： 请参阅 安全私有访问的 SQL 数据库权限。

网关连接性检查失败。未能成功获取公共证书

错误消息： 安装后配置失败，并显示错误“网关连接检查失败。无法获取公共证书…。”
解决方案：
  • 使用配置工具手动将网关公共证书上传到 Secure Private Access 数据库。
  • 以管理员权限打开 PowerShell 或命令提示符窗口。
  • Change the directory to the Admin\AdminConfigTool folder under the Secure Private Access installation folder (for example, cd "C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool")
  • 运行以下命令：
    .\AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>

应用程序枚举失败

如果 StoreFront URL 或 NetScaler Gateway URL 包含尾部斜杠 (/)，则应用程序的枚举功能将无法正常工作。
解决方案：
删除 StoreFront 商店网址或 NetScaler Gateway 网址中的尾部斜杠。有关详细信息，请参阅 设置后更新 StoreFront 或 NetScaler Gateway 服务器详细信息。

其他事项

首次设置未能成功完成

如果 Director 配置在首次设置期间失败，您可能无法重新配置许可证服务器。
解决方案：
手动清理 license_server 表中的数据。

创建安全私有访问诊断支持捆绑包

执行以下步骤以创建 Secure Private Access 诊断支持包：
  • 以管理员权限打开 PowerShell 或命令提示符窗口。
  • Change the directory to the Admin\AdminConfigTool folder under the Secure Private Access installation folder (for example, cd "C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool").
  • 运行以下命令：
    .\AdminConfigTool.exe /SUPPORTBUNDLE <output folder>

安全私有访问的 SQL 数据库权限

对于自动数据库创建，Secure Private Access 插件主机必须具有连接到数据库并创建数据库架构的权限。
远程数据库：
要设置远程数据库的权限，请执行以下步骤。
  1. 使用名称语法 CitrixAccessSecurity<Site Name> 创建一个空数据库。其中 <Site Name> 是安全私有访问站点名称。（例如：CitrixAccessSecuritySPA）。
    CREATE DATABASE CitrixAccessSecurity<SiteName>
  2. 为 Secure Private Access 虚拟机的计算机标识创建 SQL Server 登录名。例如，如果您的 Secure Private Access 代理计算机名称为 HOST1 且计算机域为 DOMAIN1，则计算机标识为“DOMAIN1\HOST1$”。如果已创建登录名，则可以忽略此步骤。
    USE CitrixAccessSecurity<SiteName>
    CREATE LOGIN [DOMAIN1\HOST1$] FROM WINDOWS
    可以使用以下查询找到域名：
    SELECT DEFAULT_DOMAIN()[DomainName]
  3. 将 db_owner 角色分配给计算机标识。
    USE CitrixAccessSecurity<SiteName>
    EXEC sys.sp_addrolemember [db_owner], 'DOMAIN1\HOST1$'
    ALTER USER [DOMAIN1\HOST1$] WITH DEFAULT_SCHEMA = dbo;
本地数据库：
要设置本地数据库的权限，请执行以下步骤。
  1. 创建一个空数据库，其命名语法为 CitrixAccessSecurity<Site Name>。其中 <Site Name> 是 安全私有访问 站点名称。（例如，CitrixAccessSecuritySPA）。
    CREATE DATABASE CitrixAccessSecurity<SiteName>
  2. 为 NT AUTHORITY\SYSTEM 用户创建 SQL Server 登录。如果登录已创建，则可以忽略此步骤。
    USE CitrixAccessSecurity<SiteName>
    CREATE LOGIN [NT AUTHORITY\SYSTEM] FROM WINDOWS
  3. 将数据库所有者角色分配给“NT AUTHORITY\SYSTEM”用户。
    USE CitrixAccessSecurity<SiteName>
    EXEC sys.sp_addrolemember [db_owner], 'NT AUTHORITY\SYSTEM'
    ALTER USER [NT AUTHORITY\SYSTEM] WITH DEFAULT_SCHEMA = dbo;
当您手动创建数据库时，下载的数据库脚本会将权限添加到计算机标识。

更改故障排除日志的日志级别

故障排除日志是默认的错误日志级别。
To change the log level for the troubleshooting logs, in the runtime service appsettings.json (C:\Program Files\Citrix\Citrix Access Security\Runtime\RuntimeService) update restrictedToMinimumLevel for TroubleshootingSql to one of the following values:
-  Information
-  Debug
-  Warning
-  Error

"TroubleshootingSql": {
  "restrictedToMinimumLevel": "Error",
  "batchPostingLimit": 50,
  "batchPeriod": "00:00:05" // 5 seconds
}

应用程序启动问题或 Citrix Secure Access 登录失败

如果 Netscaler Gateway 证书轮换，则应用程序的启动或 Citrix Secure Access 的登录将无法进行。
解决方案： 在 Secure Private Access 管理控制台中刷新证书。
  1. 导航到 设置 > 集成。
  2. 在 公共 NetScaler Gateway 地址部分中，单击 刷新证书。
    刷新过程可能需要几分钟才能完成。
有关详细信息，请参阅修改集成设置。