Если при входе в Windows вы получаете ошибку “Этот метод входа запрещено использовать”, значит результирующие настройки групповых политик на компьютере запрещают локальный вход под этим пользователем. Чаще всего такая ошибка появляется, если вы пытаетесь войти под гостевой учетной записью на обычный компьютер, или под пользователем без прав администратора домена на контроллер домена. Но бывают и другие нюансы.
The sign-in method you're trying to use isn't allowed. For more info, contact your network administrator.
Список пользователей и групп, которым разрешен интерактивный локальный вход на компьютер задается через групповую политику.
- Откройте редактор локальной групповой политики (
gpedit.msc
); - Перейдите в раздел Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> User Rights Assignment;
- Найдите в списке политику Allow log on locally (Локальный вход в систему);
- В этой политике содержится список групп, которым разрешен локальный вход на этот компьютер;
В зависимости от операционной системы и роли компьютера список групп, которым разрешен локальный вход может отличаться.Например, на рабочих станциях с Windows 10 и рядовых серверах на Windows Server 2022,2019,2016 локальный вход разрешен для следующих групп:
- Administrators
- Backup Operators
- Users
На серверах Windows Server с ролью контроллера домена Active Directory интерактивный вход разрешен для таких локальных и доменных групп:
- Account Operators
- Administrators
- Backup Operators
- Print Operators
- Server Operators
- Вы можете разрешить другим пользователям или группам локальный вход в систему. Для этого можно нажать кнопку Add User or Group, и найти нужных пользователей. Также вы можете, например, запретить пользователям без прав администратора вход на это устройство. Для этого просто удалите группу Users из настроек данной политики;
- После внесения изменения изменений нужно обновить настройки локальных политик командой
gpupdate /force
(перезагрузка не понадобится).
Также обратите внимание, что в этой же секции GPO есть еще одна политика, позволяющая принудительно запретить локальный интерактивной вход на консоль Windows. Политика называется Deny log on locally (Запретить локальных вход). В моем случае на компьютер запрещен анонимный локальный вход под учетной записью Гостя.
Вы можете запретить определенной группе (или пользователю) локальный вход на компьютер, добавив группу в эту политику. Т.к. запрещающая политика Deny log on locally имеет более высокий приоритет, чем разрешающая (Allow log on locally), пользователи не смогут зайти на этот компьютер с ошибкой:
Этот метод входа запрещено использовать
Одной из best practice по обеспечению безопасности аккаунтов администраторов в домене Windows является принудительный запрет на локальных вход на рабочие станции и рядовые сервера под администраторами домена. Для этого нужно распространить политику Deny log on locally с группой Domain Admins на все OU, кроме Domain Controllers. Аналогично нужно запретить вход под локальными учетными записями.
В доменной среде на компьютер может действовать несколько GPO. Поэтому, чтобы узнать примененные политики, назначающих права на локальный вход, нужно проверить результирующие настройки политик. Для получения результирующих настроек GPO на компьютере можно использовать консоль
rsop.msc
или утилиту gpresult.
Обратите внимание, что пользователи могут использовать интерактивные RDP сессии для подключения к устройству с Windows (если на нем включен RDP вход) несмотря на запрет локального входа. Список пользователей, которым разрешен вход по RDP задается в этом же разделе GPO с помощью параметра Allow logon through Remote Desktop Services.
Еще одной из причин, из-за которой вы можете встретить ошибку “
The sign-in method you are trying to use isn’t allowed
”, если в атрибуте LogonWorkstations у пользователя в AD задан список компьютеров, на которые ему разрешено входить (подробно описано в статье по ссылке). С помощью PowerShell командлета Get-ADUser вы можете вывести список компьютеров, на которых разрешено логиниться пользователю (по умолчанию список должен быть пустым):
(Get-ADUser kbuldogov -Properties LogonWorkstations).LogonWorkstations
В некоторых случаях (как правило в филиалах) вы можете разрешить определенному пользователю локальный и/или RDP вход на контроллер домена/локальный сервер. Вам достаточно добавить учетную запись пользователя в локальную политику Allow log on locally на сервере. В любом случае это будет лучше, чем добавлять пользователя в группу локальных администраторов. Хотя в целях безопасности еще лучше использовать RODC контроллер домена.
Также вы можете предоставить права на локальный вход с помощью утилиты ntrights (утилита входила в какую-то древнюю версию Admin Pack). Например, чтобы разрешить локальный вход, выполните команду:
ntrights +r SeInteractiveLogonRight -u "GroupName"
Чтобы запретить вход:
ntrights -r SeInteractiveLogonRight -u "UserName"
If you are encountering the “The sign-in method you’re trying to use isn’t allowed” on a computer, a system administrator has likely prevented you from accessing that particular PC. They may have their reasons for it, but now how do you sign into it?
The mentioned error message can occur when attempting one of the two sign-in scenarios:
- You’re trying to log in with a Guest account on a Windows 11 or Windows 10 PC.
- You’re trying to log in on a Windows Server with an account that is not a domain administrator.
The error message that you may come across is:
The sign-in method you are trying to use isn’t allowed. Try a different sign-in method or contact your system or network administrator.
In this article, we show you how to bypass this error message simply by making changes to certain Group Policies.
Table of Contents
Why the Error Occurs
“The sign-in method you’re trying to use isn’t allowed” error occurs when a sysadmin has restricted a specific user or an entire user group from accessing a computer. This policy can be applied on individual computers, as well as the computer that has been joined to a domain.
Two policies control sign-in behavior:
- Allow log on locally
- Deny log on locally
In both of these Group Policies, the user or group is defined that should be allowed to log on, or restricted. Note that the “Deny log on locally” policy has precedence over the “Allow log on locally” policy. Therefore, if a user account has been added to both policies, the user won’t be allowed to sign in, and you will see the aforementioned error message.
Further ahead in this article, we are going to show you how to modify both of these policies to gain access to the computer. Note that these methods will only work if you have access to the local administrator account (on a Windows client PC) or the Domain Controller (in the case of Windows Server). Otherwise, you may want to connect with your domain administrator.
Fix the Disallowed Sign-In Method Error
Allow User to Log On Locally
The first thing you must do is add the user to the Group Policy “Allow log on locally.” The methods for this are slightly different on a Windows client computer and a Windows Server.
Allow User to Log On Locally on Windows 10, 11
Use the following steps to allow the user to successfully sign in on a Windows client computer:
-
Open the Group Policy Editor by typing in “gpedit.msc” in the Run Command box.
Open the Group Policy Editor -
Navigate to the following from the left pane:
Computer Configuration >> Windows Settings >> Security Settings >> Local Policies >> User Rights Assignment
-
Open the policy “Allow log on locally.”
Allow log on locally group policy Here, you will find all the users and groups that are allowed to log in to the computer.
-
If you find that your user account is not added, click “Add User or Group.”
Add user to allow access -
In the popup window, click Advanced.
Open advanced user-finding options -
Now click “Find Now.”
This will populate all of the users and groups in the list below.
Find and populate all users and groups -
Double-click the user/group you want to add, and then click “Ok” on the remaining windows.
This will add the selected user or group to the “allow” list.
A user has been allowed to sign in locally -
Close the Group Policy Editor and run the following command in an elevated Command Prompt to enforce the policy changes:
GPUpdate /Force
Enforce policy changes Alternatively, you can restart the computer instead.
Allow User to Log On Locally on Windows Server
-
Open the Group Policy Management Console (GPMC) by typing in “gpmc.msc” in the Run Command box.
Open the Group Policy Management Console -
Navigate to the following from the left pane:
Forest: [ForestName] >> Domains >> [DomainName] >> Group Policy Objects
-
Here, right-click “Default Domain Controllers Policy” and then click “Edit” from the context menu.
Edit Domain Controller policies The Group Policy Editor will now open.
-
Navigate to the following from the left pane:
Computer Configuration >> Policies >> windows Settings >> Security Settings >> Local Policies >> User Rights Management
-
Open the policy “Allow log on locally.”
In this window, you will find all the users and groups that are allowed to log in to the server.
-
If you find that your user account is not added, click “Add User or Group.”
Add user to allow access on server -
Click “Browse” and then click “Advanced.”
Open advanced user-finding options -
Now click “Find Now.”
This will populate all of the users and groups in the list below
Find and populate all users and groups -
Double-click the user/account that you want to allow to sign into the Server, and then continue to click “Ok” on all the windows to save the changes.
-
Close the Group Policy Editor and the Group Policy Management Console, and run the following command in an elevated Command Prompt to enforce the policy changes:
GPUpdate /Force
Enforce updated group policies
This covers adding the user to the allowed list. However, we still have to check and ensure that the user is not on the deny list.
Remove User from the Deny Logon List
Remove User from Deny Log on Locally on Windows 10, 11
-
Open the Group Policy Editor by typing in “gpedit.msc” in the Run Command box.
Open the Group Policy Editor -
Navigate to the following from the left pane:
Computer Configuration >> Windows Settings >> Security Settings >> Local Policies >> User Rights Assignment
-
Open the policy “Deny log on locally.”
Deny log on locally group policy Here, you will find all the users and groups that are denied logging in to the computer.
-
If you find that your user account is listed, select it and then click “Remove.”
Remove user from deny login list As you can see from the image above, the “Guest” account is denied access to log into the computer. This is the default Windows 10/11 setting.
-
Now click Apply and Ok.
-
Close the Group Policy Editor and run the following command in an elevated Command Prompt to enforce the policy changes:
GPUpdate /Force
Enforce policy changes Alternatively, you can restart the computer instead.
Remove User from Deny Log on Locally on Windows Server
-
Open the Group Policy Management Console (GPMC) by typing in “gpmc.msc” in the Run Command box.
Open the Group Policy Management Console -
Navigate to the following from the left pane:
Forest: [ForestName] >> Domains >> [DomainName] >> Group Policy Objects
-
Here, right-click “Default Domain Controllers Policy” and then click “Edit” from the context menu.
Edit Domain Controller policies The Group Policy Editor will now open.
-
Navigate to the following from the left pane:
Computer Configuration >> Policies >> windows Settings >> Security Settings >> Local Policies >> User Rights Management
-
Open the policy “Deny log on locally.”
In this window, you will find all the users and groups that are denied access to log in to the server.
-
If you find that your user account is mentioned in the list, select it and then click “Remove.”
Remove user from deny login list on Server -
Click Apply and Ok.
-
Close the Group Policy Editor and the Group Policy Management Console, and run the following command in an elevated Command Prompt to enforce the policy changes:
GPUpdate /Force
Enforce group policies
Performing the given steps above, whether on a Windows 10/11 PC or a Windows Server, you should now be able to sign into the account without encountering the “The sign-in method you’re trying to use isn’t allowed” error message.
However, if these didn’t work, there are a few other things you may want to consider to fix the issue.
Disable Antivirus Software
Antivirus can block a user from signing in, especially if the computer is connected to a domain. In such an instance, you need to disable this antivirus software and check if it fixes the issue.
Learn how to disable Windows Defender (Windows Security).
Closing Thoughts
The error “The sign-in method you are trying to use isn’t allowed” is encountered when trying to log in using a Guest account on a Windows client PC, or attempting to sign in on a Domain Controller with an account without domain administrative privileges. Regardless, you can still sign into the PCusin the very same account by making changes to the Group Policies, as discussed in this post.
In this article, we have shown how to allow a user to sign into a PC if they are restricted, on both Windows 10/11 PCs and Windows Servers.
Все способы:
- Способ 1: Другая учетная запись
- Способ 2: Активация встроенного Администратора
- Способ 3: Сброс пароля
- Способ 4: Восстановление системы
- Вопросы и ответы: 0
Способ 1: Другая учетная запись
Если на компьютере имеется другая учетная запись администратора, используйте ее для доступа к настройкам входа в систему. Это самое простое и эффективное решение.
- Войдите в систему, используя другую учетную запись администратора. Учетная запись обычного пользователя не подойдет, и для решения проблемы придется использовать другой способ.
- Откройте оснастку «Локальные политики безопасности» командой
secpol.msc, выполненной в диалоговом окошке быстрого запуска. Чтобы его открыть, нажмите на клавиатуре комбинацию «Win + R». - Перейдите в раздел «Параметры безопасности» → «Локальные политики» → «Назначение прав пользователей», отыщите справа политику «Запретить локальный вход» и откройте ее «Свойства» двойным по ней кликом.
- В списке групп и пользователей этой политики должна присутствовать только одна группа — «Гость». Если в списке присутствуют другие пользователи или группы, удалите их и сохраните настройки.
- Затем перейдите к политике «Локальный вход в систему» и точно так же откройте ее «Свойства».
- В списке пользователей и групп политики должны присутствовать «Администраторы», «Гость», «Операторы архива» и «Пользователи». Если какая-то из записей, главным образом «Администраторы» и «Пользователи», отсутствует, добавьте ее. Нажмите кнопку «Добавить пользователя или группу…».
- В открывшемся диалоговом окошке нажмите «Типы объектов».
- Отметьте все типы объектов и нажмите «ОК».
- В диалоговом окошке выбора пользователей и групп введите название отсутствующей группы, например «Администраторы», нажмите «Проверить имена», а затем «ОК».
- Сохраните настройки.
Готово, можно перезагружать компьютер и пробовать входить с учетной записью, при попытке входа в которую появлялось сообщение «Этот метод входа запрещено использовать».
Способ 2: Активация встроенного Администратора
К этому методу можно прибегнуть в случае отсутствия на компьютере второй учетной записи администратора.
- Перезагрузите компьютер с экрана входа в систему с зажатой клавишей Shift.
- Оказавшись в среде восстановления, перейдите в раздел «Поиск и устранение неисправностей» → «Дополнительные параметры» и нажмите «Командная строка».
- Выполните команду
net user Администратор /active:yes, а затем перезагрузите компьютер в штатном режиме. - На экране входа в систему должна появиться новая учетная запись «Администратор». Используйте ее для входа в систему. По умолчанию она не имеет пароля.
- Произведите указанные в Способе 1 действия, начиная со второго шага.
Как вариант, из-под встроенной учетной записи «Администратор» можно создать другую учетную запись (Microsoft или локальную) и перенести в нее личные файлы из профиля, в который не удается войти. Прибегнуть к такому решению можно в том случае, если восстановить доступ к учетной записи Windows 10 не удается.
Способ 3: Сброс пароля
Попробуйте сбросить пароль входа в учетную запись, используя стороннюю утилиту PCUnlocker. Она хороша тем, что не только удаляет пароль, но и запрет локального входа для этой учетной записи при условии, что этот запрет не распространяется на всю группу администраторов или пользователей. Утилита входит в состав спасательного диска WinPE 11-10-8 Sergei Strelec.
Скачать WinPE 11-10-8 Sergei Strelec с официального сайта
- Скачайте образ WinPE 11-10-8 Sergei Strelec, запишите его на флешку средствами Rufus или аналогичной программы и загрузите с накопителя компьютер.
Читайте также: Гайд по записи ISO образа на flash-накопитель
- В меню «Пуск» выберите «Программы WinPE» → «Утилиты для сброса паролей» → «PCUnlocker».
- В открывшемся окне утилиты выберите учетную запись, для которой хотите сбросить пароль, и нажмите кнопку «Сбросить пароль».
Готово, можно перезагружать компьютер в обычном режиме.
Способ 4: Восстановление системы
Откат к точке восстановления является более жестким, но достаточно эффективным решением. Используйте его, если наиболее вероятной причиной неполадки видите повреждение системы или ее настроек.
- Зайдите в среду восстановления, перезагрузив компьютер с зажатой клавишей Shift, как было показано в Способе 2.
- Перейдите в раздел «Поиск и устранение неисправностей» → «Дополнительные параметры» и нажмите «Восстановление системы».
- Запустится мастер восстановления. Выберите в нем бэкап, на дату и время создания которого в системе не наблюдалось проблем, и выполните откат, руководствуясь подсказками мастера.
Что касается ошибки входа «Этот метод входа запрещено использовать» на корпоративных, присоединенных к домену компьютерах, возможно, наилучшим решением в таких случаях станет обращение к администратору локальной сети.
Наша группа в TelegramПолезные советы и помощь
Привет. Имея контроллер домена (КД), под управление вин 2012 р2 Мне нужно было разрешить одному из созданных на КД пользователей (назвал я его rds1) вход на этот же КД (локальный вход).
Выйдя с учетной записи администратора КД пытаюсь войти под rds1 и получаю «Этот метод входа запрещено использовать».
Это все сделано продумано корпорацией MS, потому как, для чего обычному пользователю входить на КД?! Обычный пользователь без проблем может зайти и под TS ролями или RDS службой, а локальный вход по умолчанию для простых пользователей запрещен.
Покажу как разрешить вход локального пользователя;
· Открыл gpmc.msc после чего выбрал Объекты групповой политики
· Выбирал политику Default Domain Controllers Policy и нажал Изменить
· Перешел по пути Конфигурация компостера – политики – конфигурация windows –параметры безопасности — локальные политики – назначение прав пользователя – открыл параметр локальный вход в систему
· Добавил пользователя rds1 в разрешение локального входа
· Сделал gpupdate /force в cmd
Теперь могу делать win+l на кд и входить под rds1
Оригинал
Symptom: When trying to logon a computer using non administrator ID, you may receive this message: «You cannot log on because the logon method you are using is not allowed on this computer. Please see you network administrator for more details.»
Case 1: Group Policy’ «Allow log on locally» was not setup to allow users or domain users. To setup allow users or domain users to logon the computer or domain, you need to add the users or domain users to the «Allow log on locally». Please follow these steps to add the users.
1. Run gpedit.msc.
2. Expand Computer Configuration\Windows Settings\Security Settings\Local Policies
3. Click on User Rights Assignment
4. Ensure that «Allow log on locally» includes Administrators, Backup
Operators, Domain Users or Users.
Case 2: Group Policy’ «Deny log on locally» was setup to deny users or domain users. To setup allow users or domain users to logon the computer or domain locally, «Deny log on locally» should be empty or no users or domain users in the list. Please follow these steps to remove the users or domain users from the «Deny log on locally».
1. Run gpedit.msc.
2. Expand Windows Settings\Security Settings\Local Policies
3. Click on User Rights Assignment
4. Ensure that «Deny log on locally» is empty.
Case 3: The local group policy allow user to logon. However, domain group policy which overrides local policy doesn’t allow users to logon locally. The resolution is modify the domain policy to allow users to logon locally.
Case 4: The domain policy allows domain users to logon locally, but the local policy doesn’t and the domain policy doesn’t apply to the computer. The fix is running gpupdate to force to update the domain policy.
Case 5: Norton Firewall blocks the communication between the client and domain controller. The solution is disabling Norton firewall or re-configuring it to allow to access the domain controller.
Hope It helps!
Insaf Muhammed
Перевод
Симптом: при попытке войти в систему с помощью компьютера без идентификатора администратора может появиться следующее сообщение: «Вы не можете войти в систему, поскольку используемый вами метод входа не разрешен на этом компьютере. За дополнительной информацией обращайтесь к сетевому администратору».
Случай 1: групповая политика «Разрешить локальный вход в систему» не была настроена для разрешения пользователей или пользователей домена. Чтобы разрешить пользователям или пользователям домена входить в систему на компьютере или в домене, необходимо добавить пользователей или пользователей домена в «Разрешить локальный вход в систему». Пожалуйста, следуйте этим шагам, чтобы добавить пользователей.
1. Запустите gpedit.msc.
2. Разверните Конфигурация компьютера \ Параметры Windows \ Параметры безопасности \ Локальные политики
3. Нажмите на Назначение прав пользователя
4. Убедитесь, что «Разрешить вход в систему локально» включает в себя администраторы, резервное копирование
Операторы, Пользователи домена или Пользователи.
Случай 2: групповая политика «Запретить локальный вход в систему» была настроена для запрета пользователей или пользователей домена. Чтобы настройка позволяла пользователям или пользователям домена входить в систему компьютера или домена локально, «Запретить вход в систему локально» должен быть пустым или в списке не должно быть ни пользователей, ни пользователей домена. Выполните следующие действия, чтобы удалить пользователей или пользователей домена из «Запретить локальный вход в систему».
1. Запустите gpedit.msc.
2. Разверните Параметры Windows \ Параметры безопасности \ Локальные политики
3. Нажмите на Назначение прав пользователя
4. Убедитесь, что «Запретить локальный вход в систему» пуст.
Случай 3: локальная групповая политика позволяет пользователю войти в систему. Однако групповая политика домена, которая переопределяет локальную политику, не позволяет пользователям входить в систему локально. Решение состоит в том, чтобы изменить политику домена, чтобы позволить пользователям входить в систему локально.
Случай 4. Политика домена позволяет пользователям домена входить в систему локально, но локальная политика этого не делает, и политика домена не применяется к компьютеру. Исправление запускает gpupdate, чтобы принудительно обновить политику домена.
Случай 5: Norton Firewall блокирует связь между клиентом и контроллером домена. Решением является отключение брандмауэра Norton или его повторная настройка, чтобы разрешить доступ к контроллеру домена.
Надеюсь, поможет!
Инсаф Мухаммед
Переведено посредством Google Переводчик