0x80070569 ERROR_LOGON_TYPE_NOT_GRANTED — Code d'erreur Windows

Q: Que signifie le code d'erreur Windows 0x80070569 ?

Il s'agit du code Win32 / NTSTATUS ERROR_LOGON_TYPE_NOT_GRANTED (décimal -2147023255). A user has been refusé the requested connexion type at this machine. Vérifiez local/GPO connexion rights.

Q: Comment décoder 0x80070569 en PowerShell ?

Lancez [ComponentModel.Win32Exception]::new(-2147023255).Message dans n'importe quelle session PowerShell. Pour les codes de type HRESULT, utilisez err.exe du SDK Windows ou la commande !error de WinDbg.

Q: Où Windows journalise-t-il typiquement cette erreur ?

Cela dépend du sous-système d'origine (Windows Update → %WinDir%\WindowsUpdate.log ; AD/Kerberos → journal Sécurité sur le DC ; BSOD → minidump dans C:\Windows\Minidump ; MSI → %TEMP%\msi*.log ; WMI → Microsoft-Windows-WMI-Activity). Croisez toujours l'horodatage et le nom du module avec les journaux Application et Système.

Description

ERROR_LOGON_TYPE_NOT_GRANTED (code hexadécimal 0x80070569, décimal -2147023255) est un code d'erreur Windows de niveau avertissement appartenant à la famille Active Directory et Kerberos. Microsoft remonte ce code via l'API Win32, le runtime CLR, le noyau, le journal d'événements, PowerShell, les outils en ligne de commande (sfc, dism, gpupdate, sc) et les applications Windows telles qu'Outlook, Teams, Office ou System Center.

A user has been denied the requested logon type at this machine. Check local/GPO logon rights.

Cette page documente ce qui déclenche 0x80070569, les scénarios les plus courants où il apparaît, les causes racines probables et un workflow de diagnostic pas-à-pas applicable sur les postes concernés. Elle s'adresse aux administrateurs système, techniciens MSP, ingénieurs helpdesk et à toute personne diagnostiquant le comportement de Windows en environnement managé.

Explication détaillée

Il s'agit d'un code de niveau avertissement. L'opération n'a pas forcément échoué ; Windows a pu la mener à terme avec des effets de bord, des conflits ou un état qui requiert l'attention de l'utilisateur. Une nouvelle tentative est généralement sûre, mais l'incident doit être journalisé pour pouvoir trier les occurrences répétées.

Il fait partie de l'espace d'erreurs Active Directory / Kerberos / SSPI. Ces codes apparaissent typiquement dans le journal Sécurité, côté client via Outlook, RDP, partages de fichiers ou SQL Server, et côté contrôleur de domaine dans Netlogon.log et les traces Kerberos.

Le code peut être recherché par programmation en PowerShell avec [ComponentModel.Win32Exception]::new(-2147023255).Message (pour les codes Win32 / NTSTATUS qui se mappent proprement), ou avec net helpmsg <decimal> pour la plage décimale historique. Pour les codes de type HRESULT, décodez la facility et le code via err.exe du SDK ou la commande !error de WinDbg.

Causes courantes

Décalage horaire entre client et DC supérieur à 5 minutes (limite stricte Kerberos).
SPN (Service Principal Name) manquant ou dupliqué sur le compte de service cible.
Mot de passe de compte ordinateur désynchronisé avec AD — rejoignez le domaine ou exécutez nltest /sc_reset.
Résolution DNS du DC en échec — vérifiez les SRV _kerberos._tcp.<domaine>.
Autorité racine ou intermédiaire de confiance manquante côté client (scénarios carte à puce / PKINIT).

Étapes de diagnostic

Vérifiez la synchronisation horaire avec w32tm /query /status — client et DC doivent être à moins de 5 minutes d'écart.
Vérifiez les SPN : setspn -L <compte> sur le compte de service, et setspn -X sur la forêt pour détecter les doublons.
Réinitialisez le canal sécurisé depuis un membre concerné : nltest /sc_verify:<domaine>, puis nltest /sc_reset:<domaine> si nécessaire.
Validez le DNS : depuis le client, nslookup -type=SRV _kerberos._tcp.<domaine> doit retourner des DC accessibles.
Capturez une trace réseau avec netsh trace ou Wireshark filtrée sur kerberos pour voir le code d'erreur AS/TGS exact.

Décoder en PowerShell

# Decode 0x80070569 (-2147023255) in PowerShell
[ComponentModel.Win32Exception]::new(-2147023255).Message

# Or via WinDbg / err.exe (Windows SDK)
# err 0x80070569

# Or net helpmsg (legacy decimal range only)
# net helpmsg <decimal>

Questions fréquentes

Que signifie le code d'erreur Windows 0x80070569 ?

Il s'agit du code Win32 / NTSTATUS ERROR_LOGON_TYPE_NOT_GRANTED (décimal -2147023255). A user has been refusé the requested connexion type at this machine. Vérifiez local/GPO connexion rights.

Comment décoder 0x80070569 en PowerShell ?

Lancez [ComponentModel.Win32Exception]::new(-2147023255).Message dans n'importe quelle session PowerShell. Pour les codes de type HRESULT, utilisez err.exe du SDK Windows ou la commande !error de WinDbg.

Où Windows journalise-t-il typiquement cette erreur ?

Cela dépend du sous-système d'origine (Windows Update → %WinDir%\WindowsUpdate.log ; AD/Kerberos → journal Sécurité sur le DC ; BSOD → minidump dans C:\Windows\Minidump ; MSI → %TEMP%\msi*.log ; WMI → Microsoft-Windows-WMI-Activity). Croisez toujours l'horodatage et le nom du module avec les journaux Application et Système.

Ce code est-il récupérable ?

Oui — ce code est informatif ou avertissement. L'opération peut normalement être retentée après avoir traité la condition décrite dans le résumé.

Dois-je ouvrir un ticket support Microsoft pour cela ?

Ouvrez un ticket si l'erreur se reproduit après application des étapes de diagnostic, particulièrement si elle bloque des charges de production, se produit sur plusieurs endpoints ou est associée à une frontière de sécurité (récupération BitLocker, échec Kerberos, durcissement DCOM, SmartScreen / WDAC). Préparez un CBS log frais, un minidump ou un export Get-WinEvent avant d'ouvrir le ticket.