Domino Service mit -jc -c nicht mehr unter LocalSystemAccount

[Pfefferminz-T]

Moin,
haben nach einem Windows Update auf vier Domino Servern das Problem, dass sich der Domino Service unter dem Standard LocalSystemAccount nicht mehr starten lässt. Das Windows Update lief noch auf ca. 30-40 weiteren Servern problemlos. Entferne ich -jc -c aus den Startparametern oder starte ich den Service mit meinem Admin-Account, dann läuft der Server problemlos hoch.

Domino 11.0.1FP3

[m3]

Domino Server may not start as a Windows Service on Windows Server post an installation or upgradation sometimes.
https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0086925

Und nein, ich bin nicht für "upgradation" verantwortlich

[Pfefferminz-T]

Hallo Martin,

lange nichts mehr von Dir gehört :-)
Danke für den Link, den hatte ich tatsächlich noch nicht gefunden aber "leider" passen die Einstellungen bei uns und sind auf 80 anderen Servern auch aktiv. Unser Ticket bei HCL brachte bisher keine Lösung. Wenn man mit psexec -s -i cmd im Kontext des SystemAccounts die scontroller.exe startet (mit oder ohne -c) dann läuft der Controller und der Server problemlos mit dem Systemaccount hoch. Irgendwo scheint sich etwas mit der nservice.exe und dem Windows Server Controller verhakt zu haben.

[m3]

Bei 11.0.3 gab es eine Security-Verbesserung, die Dir ev. reinpfuschen könnte. Probiers mal mit
SharedMemoryAllowOnly=0
in der notes.ini.
(da ist aber nur ein Workaround, der in der Zukunft deaktiivert wird).

https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0090343
https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0090221

[DomAdm]

Hallo,

im Data gibt es dcntrlr*.out Dateien, prüfe die mal, da schreibt der Domino Controller rein was er beim Start macht.

[Pfefferminz-T]

Guten Morgen Jacob,
beim Start wird leider gar keine dc*.out erstellt, im console log selbst kommt auch nur das Datum. Parameter um diesen Startteil zu debuggen kenne ich leider keine.

[Ralf_B]

Schau mal ob das nicht hilft:
http://blog.theozzyblogger.com/2010/10/issues-with-windows-server-2008-and.html

[Pfefferminz-T]

SharedMemoryAllowOnly=1 hat nicht geholfen, war eine Möglichkeit die ich noch nicht getestet habe, da beides ja im LocalSystemAccount gestartet wird. Aber trotzdem danke für den Hinweis!

Bzgl. TCPIP_ControllerTcpIpAddress=x.x.x.x:2050 hatte ich auch mit der richtigen IP, dem Domino-Namen und dem localhost getestet, keine Besserung. Im Serverdokument ist da auch nichts eingetragen. Nachdem wir nach einem Move von W2008 nach W2016 da bei mehreren Servern aufgelaufen sind.

[Patrick Schneider]

Hallo,

ich werfe mal noch die dcontroller.ini in die Runde. Falls da ein Hostname enthalten ist, muss der auch dem lokalen System zugewiesen sein, da sich der Controller daran binden möchte.
Ansonsten gab es noch die Option, in der Windows-Service Definition im "ImagePath" per Parameter -ip die vom Server Controller zu nutzenden IP-Adresse mitzugeben.
Siehe auch
https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0035418

Viele Grüße,
Patrick

[Pfefferminz-T]

Guten Morgen, dcontroller.ini habe ich mehrfach bereinigt, Inhalt ist auch ok bzw. auch mit verschiedenen Varianten durchgespielt. Wir haben hier ca. 130 Dominos, alle bzgl. dieser Einstellungen "gleich" aufgebaut und vier zicken nach dem letzten Windows-Update rum. Ich glaube aber nicht, dass es ein bestimmer Patch von Windows ist, der das verursacht weil 40 andere Server dieselben Patches bekommen haben.

Wir haben nun auch auf VM-Basis einen Clone von dem System erstellt, da lässt sich der Dienst problemlos starten.

[DomAdm]

Hallo,
wenn keine dcntrlr*.out erstellt wird dann startet der Controller nicht.
Prüfe bitte in den Windows Events ob es ein Problem mit dem Start der scontroller.exe gibt.

[Pfefferminz-T]

Hallo Jacob, hatten wir gemacht, es gibt keinerlei Hinweise im EventViewer auf Fehler. Nur den Hinweis, dass der Domino beendet wurde (ohne Meldung, dass er überhaupt gestartet wurde). Mittlerweile sind die Kollegen unserer Windows/VM-Fraktion dem ganzen aber etwas näher gekommen:

Die haben den Server geclont und vmware-seitig bei der Clone-VM das Netzwerk-Interface einer Quarantäne-Umgebung zugeordnet. Der Server ist dann nur noch über vsphere console erreichbar und nicht in ein Netzwerk eingebunden. Danach ein Windows-Neustart, Domino Dienst startet mit Controller roblemlos.
Bei einem der betroffenen produktiven Server wurde das dann auch mit der produktiven VM gemacht, ohne Clone. Dienst startet nun wieder mit dem Controller.

Demnach also kein Problem im Domino, bin gespannt ob wir noch eine Ursache dafür finden.

[Pfefferminz-T]

Wir haben letztendlich über langes "Reverse Engineering" mit dem Process Explorer herausgefunden, dass eine einzelne Datei die Ursache war. Im Ordner C:\windows\System32\config\systemprofile\AppData\local\javasharedresources befindet sich eine Java-Cache-Datei, die ich noch nie zuvor gesehen habe. Server runter, Datei löschen, Server startet über Dienst wieder mit -jc -c