CSM-Services können nach einem Upgrade auf Version 4.8 oder höher nicht gestartet werden.

Einführung

In diesem Dokument werden die Verhaltensänderungen in Cisco Security Manager (CSM)-Diensten und die erforderlichen Berechtigungen zur Ausführung dieser Dienste auf CSM 4.8 oder höheren Versionen beschrieben.

Voraussetzungen

Anforderungen

Für dieses Dokument bestehen keine speziellen Anforderungen.

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardwareversionen beschränkt.

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Problem: Nur wenige CSM-Dienste können nicht automatisch gestartet werden, wenn ein Upgrade auf Version 4.8 oder höher durchgeführt wird.

Symptome

1. Melden Sie sich bei Configuration Manager an, wird unter der Registerkarte "Geräteansicht" nur eine leere Seite angezeigt, und keines der Geräte wird angezeigt, wie im Bild gezeigt.

2. Nur wenige Dienste zeigen ./casuser in der Spalte Anmelden als an, entsprechend der Ausgabe von services.msc, wie im Bild gezeigt.

Dienste, die nicht starten:

CMFDbEngine, rptDbEngine, AusDbEngine und vmsDbEngine

Hinweis: casuser (casuer-user): Das Benutzerkonto entspricht einem Windows-Administrator und bietet Zugriff auf alle allgemeinen Dienste und Sicherheitsmanager-Aufgaben. Normalerweise verwenden Sie dieses Konto nicht direkt. 

3. Windows-Ereignisprotokoll:

Navigieren Sie zu Ereignisanzeige > Windows-Protokolle > System (suchen Sie nach der Fehlerebene).

The vmsDbEngine service was unable to log on as .\casuser with the currently configured password due to the following error: 
Logon failure: the user has not been granted the requested logon type at this computer.
 

Service

: vmsDbEngine 

Domain and account

: .\casuser
 
This service account does not have the required user right "Log on as a service."
 

User Action

 
Assign "Log on as a service" to the service account on this computer. You can use Local Security Settings (Secpol.msc) to do this. If this computer is a node in a cluster, check that this user right is assigned to the Cluster service account on all nodes in the cluster.
 
If you have already assigned this user right to the service account, and the user right appears to be removed, check with your domain administrator to find out if a Group Policy object associated with this node might be removing the right.

Ähnliche Ereignisse wurden für den Service CMFDbEngine, rptDbEngine und AusDbEngine beobachtet.

Ab CSM 4.8 werden nur noch wenige CSM-Dienste von einem Casuser ausgeführt, und dies ist ein erwartetes Verhalten.

Nachfolgend sind einige der Dienste aufgeführt, die von casuser ausgeführt werden:

CmfDbEngine, rptDbEngine, AusDbEngine and vmsDbEngine

Casuser erfordert die Berechtigung zum Ausführen der oben genannten Dienste. Daher muss es für diese Richtlinien festgelegt werden:

Log on as a service

Berechtigungsänderungen anzeigen

Bei der neuen Installation oder dem Upgrade auf 4.8 wird Casuser automatisch für die Anmeldung als Service Policy festgelegt.

Navigieren Sie zu Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Zuweisung von Benutzerrechten.

1) Aktivieren Sie für einen Server, auf dem ein externes Group Policy Object (GPO) festgelegt ist, das Kontrollkästchen Resultant Set of Policy (rsop.msc).

2) Für einen Server mit lokalen Richtlinien zeigt gpedit.msc die Änderung an.

Auslöser des Problems

Dieses Problem tritt in der Regel auf einem Server auf, der Teil der Domänengruppe ist und auf dem ein externer GPO angewendet wird.

Nach einer regelmäßigen Aktualisierung der Gruppenrichtlinien auf dem Server wird der Casuser möglicherweise aus der Anmeldung bei einer Dienstrichtlinie (die nach der Neuinstallation oder Aktualisierung von CSM 4.8 festgelegt wird) entfernt, wenn die externe GPO möglicherweise nicht von dieser Richtlinie ausgenommen ist.

Casuser wird nicht aus einer Dienstrichtlinie entfernt, bis die CSM-Dienste aufgrund einer der folgenden Bedingungen neu gestartet wurden:

• Nach einem Neustart des Servers
• Nach einer DB-Sicherung
• Jederzeit wird der Daemon Manager neu gestartet.

Wenn Casuser aus der Anmeldung als Service Policy entfernt wird, können die zuvor genannten vier Services (CmfDbEngine, rptDbEngine, AusDbEngine und vmsDbEngine) nicht gestartet werden, da der Casuser nicht über die Berechtigung verfügt, sich anzumelden oder eine von ihnen zu starten.

Lösung

Überprüfen Sie, ob ein Casuser-Konto für die Anmeldung als Service enthalten ist.

1) Öffnen Sie rsop.msc, und navigieren Sie zu Computerkonfiguration > Windows Settings > Security Settings > Local Policies > User Rights Assignment.

Wie im Bild gezeigt,

2) Wenn Casuser nicht für die Anmeldung als Dienst vorhanden ist, fügen Sie Casuser explizit für die Anmeldung als Dienst auf dem RZ hinzu, d. h. Domänencontroller.

Wie im Bild gezeigt,

Der GPO wird als reguläres Update weitergeleitet. Wenn er auf den Server angewendet wird, überprüfen Sie die Services erneut.

Eine manuelle Gruppenrichtlinienaktualisierung kann auch auf dem Server erzwungen werden.

Starten Sie den Daemon Manager neu, und überprüfen Sie die Behebung. Stellen Sie sicher, dass die zuvor genannten vier Services (CMFDbEngine, rptDbEngine, AusDbEngine und vmsDbEngine) in Betrieb sind und ordnungsgemäß funktionieren.

Weitere Informationen

• Casuser-Konto
• Für kaskadierte Benutzer erforderliche Berechtigungen
• Grundlagen von Gruppenrichtlinienobjekten
• Melden Sie sich als Service an.
• Technischer Support und Dokumentation - Cisco Systems