Hartnäckiges HyperV Prüfpunktproblem

[Michi777]

@ayngush:
Hab die Anmeldedaten vom Domänenadministrator gleich hinterlegt beim Installieren von VEEAM und gerade geprüft.
Den 2012er Server schafft er erfolgreich zu sichern und HyperV Produktionsprüfpunkte (außerhalb VEEAM) reagieren gleich.
Also das ists leider nicht.

 

[Michi777]

VEEAM Sicherung und automatische Transformation der .AVHDX Dateien funktioniert nun einwandfrei seit Tagen.
Das Hauptproblem dass Produktionsprüfpunkte nicht erstellt werden können (ApplicationAware in VEEAM für DB-Server gewünscht) besteht noch und ist nach 3H Veeam, 6H Microsoft Technikerhilfe noch immer da.

Erkenntnisse aus bereits versucht und VEEAM\Microsoft Ticket:

• 2012er VM kann problemlos mit Produktionsprüfpunkten sowie Veeam Application Aware gesichert werden, die 2019er VM’s nicht.
• Betroffene VM importiert, sowie auch kopiert und neu angelegt auf anderem Server 2019 Host – gleiches Problem
• Neu aufgesetzte VM (Server 2019) konnte korrekt mit Produktionsprüfpunkten am selben Bestandshost gesichert werden
• Testhost mit Server 2016 versucht - keine Besserung
• VSS Writer Status auf Host sowie VM’s korrekt
• Hostserver aus Domäne genommen
• HyperV Verzeichnisse von Standard auf G:\HyperV_Machines geändert, sodass alles in einem VZ – keine Besserung
• Berechtigung für Dienste Virtual Machines mit Befehl „icacls <Folder with VHDS> /grant "NT VIRTUAL MACHINE\<VM GUID>"OI)F" versucht – keine Besserung
• Ähnliche Serverumgebung (vor 1 Monat in Büro 2 aufgesetzt) funktioniert (obwohl alle inkl. Host in Domäne) und sogar kein Virtual Machines Diensteintrag in NTFS Berechtigungen steht
• Sämtliche Microsoft sowie VEEAM Updates durchgeführt

Es wirkt als wäre nicht HOST, sonder VM Schuld, wobei Diese doch nicht viel mitspielt bei ihrer eigenen Sicherung am Host.

Die 2 relevanten Screenshots dazu im Anhang.

Habt ihr noch Ideen?

 

[Michi777]

Die ganzen Erkenntnisse aus den langen Sitzungen hat ja die Schuld auf die VM's (2019er) geschoben.
Daher haben wir heute Tests auf Diesen gemacht und sind draufgekommen, dass der hyper-v-volumeschattenkopie-anforderer auf den betroffenen virtuellen Servern sich nicht starten lässt (Meldung siehe Anhang).
Anhand des Powershellbefehls Get-VMIntegrationService kommt unter VSS - kein Kontakt.

Ab 2016 sind die Integrationsdienste ja bereits integriert und können gar nicht selbst re\installiert oder upgedatet werden...

Ich habe dann die GPO zu Anmelden als Dienst abgehakt, damit lokal veränderbar und habe durch den Hinweis einer Fehlermeldung (siehe Anhang) versucht die Services "NT Virtual Machines" (auch deutsch geschrieben) versucht unter Anmelden als Dienst lokal hinzuzufügen und sie werden wie gewohnt nicht gefunden oder angezeigt, als wären sie unsichtbare\geheim\ohnehin aktiv (wie ich auch wo in Forum gelesen habe).

Ich habe dann halt ohne Überprüfung und NT Kürzel Virtual Machines \ Virtuelle Maschinen geschrieben, weiß aber nicht ob das was hilft oder greift.
Auffällig ist auch dass am funktionierenden 2012er Server auch kein Eintrag dazu zu finden ist unter Anmelden als GPO, ebenso in der fast identischen neuen Umgebung im Büro 2 und es funktionier.t

VEEAM Support der auch dabei war schließte nach Analyse so ab:
Please see warning from application journal in DC01: id 1202 SceCli.
Actually this is the reason why NT Virtual Machines are missing from Log on as service policy. Domain GPO overwrite local policy on HV host and as as a consequence checkpoint could not be created:
[20.11.2019 11:57:09] <37> Error [RTS] Failed to update snapshot's state
[20.11.2019 11:57:09] <37> Error Job failed ('Fehler beim Prüfpunktvorgang für "_(DC\AD\DHCP\DNS)". (ID des virtuellen Computers: B83E7D35-7A7C-4CA0-ADD5-D8DF2575E250)
[20.11.2019 11:57:09] <37> Error Für "_ (DC\AD\DHCP\DNS)" können keine Produktionsprüfpunkte erstellt werden. (ID des virtuellen Computers: B83E7D35-7A7C-4CA0-ADD5-D8DF2575E250)'). Error code: '32770'.

Please check this kb: https://support.microsoft.com/en-us...g-hyper-v-virtual-machines-may-fail-with-erro

It is applicable in our case. You need to make sure that NT Virtual Machine\Virtual Machines is added to domain policies regarding users allowed to log on as service. Please notify upon results.

Zu ApplicationAware\Produktionsprüfpunkten durch VEEAM Technikergespräch:
Es ist dazu da, dass Datenbankdaten sowie Transaktionslogs, welche gerade im RAM zwischengespeichert sind auch in die Sicherung mit in das Backup einfließen.
Crash Consistent erfüllt die andere Option in VEEAM, was ja das Wichtigste ist.
Somit verliert man je nach Datenbanksystem 1h-1Tag an Daten im schlimmmsten Fall und hat aber ohnehin eigene Backups der Datenbanken automatisiert exportiert und gesichert d.h. es ist nicht so schlimm kein appl.aware nutzen zu können.

Fragen:
1)Was kann es da haben dass der Anfordererdienst nicht starten mag?
2)Was hat es auf sich dass man bei Servern die in Domäne sind (und vl. ab 2016 Server) die NT Virtual Machine Einträge nicht finden kann (lokal auch versucht)?

 

[Evil E-Lex]

hyper-v-volumeschattenkopie-anforderer auf den betroffenen virtuellen Servern sich nicht starten lässt (Meldung siehe Anhang).

Auch nicht wenn du die VM rebootest und den VMMS-Dienst auf dem Host neu startest? Es kann zudem nicht schaden, eine Test-VM aufzusetzten und dort zu prüfen.

Please see warning from application journal in DC01: id 1202 SceCli.
Actually this is the reason why NT Virtual Machines are missing from Log on as service policy. Domain GPO overwrite local policy on HV host

Die SceCli-Fehler deuten darauf hin, dass die Dienstkonten immer noch falsch konfiguriert sind. Ich wiederhole mich: Prüfen mit gpresult!

Was hat es auf sich dass man bei Servern die in Domäne sind (und vl. ab 2016 Server) die NT Virtual Machine Einträge nicht finden kann (lokal auch versucht)?

Richtig tippen wäre ein Anfang. NT VIRTUAL NACHINE gibt es nicht!

Ich hab noch einen schmutzigen Workaround im Angebot.
Hinweis vorab: Ob das auch Domänenweit funktioniert, kann ich hier mangels Domäne nicht testen.

Lade dir psgetsid oder gleich die komplette Sysinternals Suite runter. Dann kann du prüfen, ob die Gruppe mit der SID S-1-5-83-0 vorhanden ist und wie sie heißt. Lege anschließend eine neue lokale Gruppe an (Name ist egal, in meinen Beispiel heißt sie "Bratwurst"). Füge nun dieser Gruppe die Gruppe mit der SID S-1-5-83-0 hinzu.

Beispiel:

Nun kannst du dir die Gruppe in "Lokale Benutzer und Gruppen" anschauen:

Zu guter Letzt kannst du nun die neu erstellte Gruppe bei "Anmelden als Dienst" hinzufügen:

Ist der Name nach Klick auf "Namen überprüfen" im Eingabefeld unterstrichen, passt alles: