本文提供故障排除指导，帮助你解决已混合加入 Microsoft Entra 的 Windows 设备可能出现的问题，这些设备会在用户尝试登录或解锁时，间歇性收到 STATUS_ACCOUNT_DISABLED 错误。
症状
在Microsoft Entra混合加入环境中，尝试登录或解锁设备时，有时可能会收到错误消息STATUS_ACCOUNT_DISABLED（“用户已禁用”。
但是，未禁用有关用户帐户。
此问题通常会在等待几分钟后再次尝试解锁、重新启动，或不要尝试解锁而是先完全退出登录再重新登录后自行解决。
此外，还会在事件日志中看到以下事件：
Log: Microsoft-Windows-AAD/Operational
Event ID 1081
Level: Error
OAuth response error: invalid_grant
Error description: AADSTS50034: The user account {user} does not exist in the
{guid} directory. To sign into this application, the account
must be added to the directory.
Log: Microsoft-Windows-Hello-for-Business/Operational
Event ID 7001
A user failed to sign into the device with the following information:
Username: SYSTEM User SID: S-1-5-18
Credential Type: Software Key Deployment Type: Cloud Trust
Software Lockout Counter: 0
Authentication Error Status: 0xC000006D Authentication Error Substatus: 0xC0000072
0xC000006D / 0xC0000072 = STATUS_LOGON_FAILURE / STATUS_ACCOUNT_DISABLED.
该问题不会在 Entra 原生部署环境中出现。
原因
Microsoft Entra混合联接在 Windows 客户端本地缓存某些用户数据。 主刷新令牌（PRT）过期和 VSM 会话密钥滚动更新等事件会使此缓存过时。 重新生成缓存需要与本地 Active Directory域控制器通信。 该通信在以下情况下可能会失败：
- 计算机最近从休眠状态恢复。
- 计算机最近从深度睡眠状态恢复。
- 当客户端尝试与本地域控制器通信时，虚拟专用网络（VPN）或网络适配器连接尚未准备就绪。
- VPN 要求用户在连接之前登录，例如使用用户 VPN 而不是设备 VPN 时。
当此通信失败时，Windows 客户端会向 Microsoft Entra ID 发送用户的安全帐户管理器 (SAM) 帐户名，而不是完整的用户主体名称 (UPN)。 Microsoft Entra ID 无法识别未包含域的 SAM 帐户名，因此登录尝试会失败。 随后，Windows 客户端会将 Microsoft Entra 错误 AADSTS50034（找不到用户）映射为 STATUS_ACCOUNT_DISABLED，这可能造成混淆。
尽管微软可能会在未来的更新中改进此行为，但目前这被视为设计使然。 Microsoft 建议今后的所有部署都采用原生 Entra 部署方式，这样就不会出现此问题。
相关内容
Windows Hello 企业版云 Kerberos 信任常见问题解答