CSM-services niet starten na een upgrade naar 4.8 of latere releases

Inleiding

Dit document beschrijft de gedragsverandering in de services van Cisco Security Manager (CSM) en de vereiste rechten om ze uit te voeren op CSM 4.8 of later releases.

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Probleem: Weinigen CSM-services starten niet automatisch wanneer ze worden bijgewerkt naar 4.8 of hoger.

Symptomen

1. Meld u aan bij Configuration Manager, dan geeft u alleen een lege pagina weer onder het tabblad Apparaatweergave, terwijl er geen van de apparaten zichtbaar is, zoals in de afbeelding.

2. Er zijn weinig services../casuser onder Log in als kolom, per uitvoer van services.msc, zoals in de afbeelding wordt weergegeven.

Diensten die niet starten:

ComboEngine, rptDBEngine, AusDBEngine en VmsDBEngine

Opmerking: casuser-de casu-gebruikersaccount is gelijk aan een Windows-beheerder en geeft toegang tot alle gebruikelijke services en security Manager taken. Meestal gebruik u deze account niet rechtstreeks. 

3. Windows Event-logbestand:

Navigeren in het venster Event > Windows Logs > System (op foutenniveau zoeken)

The vmsDbEngine service was unable to log on as .\casuser with the currently configured password due to the following error: 
Logon failure: the user has not been granted the requested logon type at this computer.
 

Service

: vmsDbEngine 

Domain and account

: .\casuser
 
This service account does not have the required user right "Log on as a service."
 

User Action

 
Assign "Log on as a service" to the service account on this computer. You can use Local Security Settings (Secpol.msc) to do this. If this computer is a node in a cluster, check that this user right is assigned to the Cluster service account on all nodes in the cluster.
 
If you have already assigned this user right to the service account, and the user right appears to be removed, check with your domain administrator to find out if a Group Policy object associated with this node might be removing the right.

Soortgelijke gebeurtenissen zijn waargenomen voor CmfDbEngine, rptDbEngine en AusDbEngine.

Vanaf CSM 4.8, worden er weinig CSM-services uitgevoerd door casuser en het is een verwacht gedrag.

Dit zijn maar weinig diensten die door de casneur worden beheerd:

CmfDbEngine, rptDbEngine, AusDbEngine and vmsDbEngine

Casuser heeft toestemming nodig om de hierboven genoemde diensten te mogen exploiteren. Daarom moet er voor dit beleid een regeling komen:

Log on as a service

Wijzigingen in toegangsrechten bekijken

Met de nieuwe installatie of de upgrade naar 4.8 wordt automatisch de gebruiker voor inloggen als servicebeleid ingesteld.

Navigeer naar computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Lokaal beleid > toewijzing van gebruikersrechten.

1) Controleer de resulterende reeks beleid (rsop.msc) voor een server met extern groepsobject (GPO).

2) Voor een server met lokaal beleid, toont gpedit.msc de verandering.

Proces van de zaak

Dit probleem wordt meestal gezien op een server die deel uitmaakt van de Domain Group en er is een externe GPO op van toepassing.

Na een regelmatige update van het Groepsbeleid op de server, zou de casuser uit Log op een servicebeleid kunnen worden verwijderd (ingesteld na de nieuwe installatie of upgrade van CSM 4.8) als de externe GPO mogelijk geen vrijstelling voor dit beleid heeft.

Casuser wordt niet verwijderd uit Log op een servicebeleid totdat de CSM services herstart zijn vanwege een van de volgende voorwaarden:

• Nadat een server opnieuw is opgestart
• Na een DB back-up
• Telkens wanneer de Daemon Manager opnieuw gestart is

Als casuser wordt verwijderd uit Log in als service beleid, dan starten de genoemde vier services (CMFDbEngine, rptDbEngine, AusDbEngine en vmsDbEngine) niet, omdat de casusgebruiker niet de toestemming heeft om een van deze diensten in te loggen of te starten.

Oplossing

Controleer of de casuser account is opgenomen voor Log in als service.

1) Open rsop.msc en navigeer naar Computer Configuration >Windows Instellingen > Beveiligingsinstellingen > Plaatselijk beleid > Toewijzing van gebruikersrechten.

Zoals in de afbeelding wordt weergegeven,

2) Als casuser niet aanwezig is voor Log in als service, voeg dan casuser expliciet toe voor Log in als service op de DC, d.w.z. Domain Controller.

Zoals in de afbeelding wordt weergegeven,

De GPO wordt als regelmatige update geduwd, zodra het op de server wordt toegepast, verifieert de services opnieuw.

Een handmatige groepsbeleidsvernieuwing kan ook op de server gedwongen worden.

Start de Daemon Manager en controleer de oplossing. Zorg ervoor dat de bovengenoemde vier diensten (CMFDbEngine, rptDbEngine, AusDbEngine en vmsDbEngine) goed functioneren.

Verwante informatie

• kasrekening
• Vereiste toegangsrechten voor casusgebruikers
• Grondbeginselen van groepsbeleidsobjecten
• Log in als service
• Technische ondersteuning en documentatie – Cisco Systems