Hilfe zu SPTimerService (SPTimerV4)

Christian Merkel Als Antwort am 27 Juni 2013 14:26

Was genau ist denn das Problem?

Allgemeines Verständis für den Timer oder was er im Detail macht?

Schieß einfach los und dir kann geholfen werden :)

hoffi- Als Antwort am 27 Juni 2013 15:18

super das geht ja rasch. also SPS 2013 auf windows server 2008R2. nun hab ich den SPS installiert und er zeigt mir den alt bekannten Security Fehler The server farm account should not be used for other services des SPTimerService (SPTimerV4). Darauf hin hab ich einen dedizierten AD-Account für den SPSTimer angelegt und  unter Windows Services SharePoint Timer zugewiesen (hier hab ich einfache Domain-User rechte genutz ... Richtig ?) Darauf konnten die Services Forefront Identity Manager Service + Forefront Identity Manager Synchronization Service nicht mehr starten (welchen Account muss ich hier zuweisen ?) fehler im SharePoint ist immer noch da ...

Vielleicht ist es ja am einfachsten den SPTimer Service neu und richtig anzulegen ... Kannst du dabei helfen ? ist das sinnvoll ? wie machst du das mit dem SPTimer ...

Christian Merkel Als Antwort am 27 Juni 2013 16:10

Du darfst niemals einfach so Accounts ändern, schon garnicht direkt unter Services. Wenn dann musst du die Accounts im SharePoint (Zentraladministration -> Managed Accounts) ändern!!!

Und der Fehler der dir da angezeigt wird betrifft nicht den SPTimerV4, sondern wurde nur durch diesen festgestellt.

Die Fehlermeldung kommt vom SharePoint Health Analyser. Dieser überwacht verschiedene Einstellungen und Werte im SharePoint und gibt dir Empfehlungen zur Verbesserung.

Dein Fehler sagt nur aus, das dein Farm-Account unter welchem du den SharePoint installiert hast, bei anderen Dienstanwendungen ebenfalls benutzt wird. Dies sollte nicht gemacht werden, da der Farm-Account die höchsten Rechte hat! In der "Explanation" stehen die betroffenen Services drin, denen du einen anderen managed account zuweisen solltest.

Bitte schau zunächst ob du deinen SP richtig installiert hast und nach den Best Practices vorgegangen bist. Es gibt diverse Service-Accounts die du bereitstellen musst / solltest...

Z.b: Farm-Account (sp_farm), für die Suche (sp_crawl), für Application-Pools (sp_app) usw...

Mir klingt es sehr danach das die Farm etwas verkonfiguriert wurde. Und das der FIM nicht mehr startet bestätigt mir das. Dies ist oft der Fall wenn falsche Accounts und falsche Berechtigungen genutzt werden. Zusätzlich kommt noch hinzu das du Services manuell geändert hast.

Bitte sei hier vorsichtig und les dir die Empfehlungen auf der MSDN durch!

http://social.technet.microsoft.com/wiki/contents/articles/12438.sharepoint-2013-best-practices.aspx

http://technet.microsoft.com/de-de/library/cc303424.aspx

Viel erfolg! 

hoffi- Als Antwort am 27 Juni 2013 17:47

hallo Christian,

erstmal super Danke das Du Dir die Zeit nimmst mir zu helfen.

Ich hab den Account nicht einfach so geändert ... wie du weist lässt sich der SPTimer nicht über CA des SPS ändern. Ich hab gelesen das man das unter Windows Dienste macht. Wenn das falsch war wie komm ich hier wieder zu meinem Basis wert bzw. Urzustand ?

Ich habe dedizierte Systemaccounts

http://absolute-sharepoint.com/2013/01/sharepoint-2013-service-accounts-best-practices-explained.html

nun prüf ich welcher account in welchem service läuft und schreib dir das morgen.

muss jetzt kurz los. vielen dank bis morgen.

hoffi-

Christian Merkel Als Antwort am 27 Juni 2013 18:46

Oki, sorry. dann hatte ich das falsch verstanden :)

Weil du was von FIM geschrieben hast und das du bei den Services selbst Hand angelegt hast ;)

Schau einfach in die Meldung vom health analyser, er sagt dir welche services ihm nicht gefallen :D

Andi Fandrich Als Antwort am 28 Juni 2013 08:20

Noch zur Ergänzung: den Account des Timerdienstes kann man tatsächlich in der Zentraladministration nicht direkt ändern. Er bekommt immer den Account, der unter Security - Service Accounts als Farm Account eingetragen wird.

hoffi- Als Antwort am 28 Juni 2013 08:38

also wie und was muss ich tun um den Timerdienst richtig einzustellen. welcher account ist hier der Standard oder ist es sinvoll einen eigen Account anzulegen mit welchen Rechten ?

mfg

hoffi-

Christian Merkel Als Antwort am 28 Juni 2013 08:51

Standard ist der Farm-Account und das ist auch sinnvoll!

Der SPtimerV4 ist der zentrale "Herzschlag" des Servers. Er triggert alles andere. Daher macht es wenig sinn ihm einen anderen account zu geben.

Hier eine Anleitung wie du es per PowerShell lösen könntest:

http://www.techtask.com/sharepoint2010/managed-account-des-sptimerservice-sptimerv4-anpassen/

Bei mir läuft der Timer-Services auch unter dem Farm-Account und der Health-Analyser meckert rum das der Farm-Account auch für andere Services genutzt wird:

 The server farm account should not be used for other services.  SPTimerService (SPTimerV4) 

Bei mir betrifft es folgende Services:

Explanation 

SPS2013\spfarm, the account used for the SharePoint timer service and the central administration site, is highly privileged and should not be used for any other services on any machines in the server farm.  The following services were found to use this account:
Distributed Cache Service(Windows Service)
Claims to Windows Token Service(Windows Service)
SPSearchHostController(Windows Service) 

Das ist aber nur eine Spiel-Umgebung, daher mach ich mir da jetzt keine großen Gedanken. In einer produktiven Umgebung sollte man die 3 Services noch auslagern ;)

hoffi- Als Antwort am 28 Juni 2013 11:28

Hallo Christian,

ich hab wie beschrieben den Timer-Service via Powershell auf den Farm-Account gesetzt (http://www.techtask.com/sharepoint2010/managed-account-des-sptimerservice-sptimerv4-anpassen/) sehe ich die änderung auch unter Windows > Dienste >  SharePoint Timer Service ?? Hier steht immer noch ein anderer Account. wie bekomme ich es hin das hier alles gleich ist ? Neustrart ?

mfg

Hoffi-

Christian Merkel Als Antwort am 28 Juni 2013 11:54

Unter den Services im Windows sollte auch der korrekte Account stehen! Wenn das nicht der Fall ist einfach restart ;) 

Reboot-tut-gut

Ich weis nicht ob ein IIS reset ausreichend ist... Das kannst du ja zuerst versuchen.

Wenn du in der CA die Änderung vornimmst, wird es ja auch gleich sichtbar.

hoffi- Als Antwort am 1 Juli 2013 16:29

Hallo Christian,

ich hab mal am wochenende den Server neu aufgesetzt nun sind keine Fehler zusehen (Logisch ... die Dienste auf dem Server laufen ja auch noch nicht)

wie geht man nun am besten vor. Dienstkonten konfigurieren und dann die Dienste starten ? oder wie geht man bestens vor ...

mfg

hoffi-

Christian Merkel Als Antwort am 1 Juli 2013 17:40

Genau. Im AD sollte es je nach euren Anforderungen die unterschiedlichen Dienstkonten geben (z.B. für Suche, BDC, WebApp, etc....).

Diese hinterlegst du als Managed Accounts im SP.

Dann erzeugst du die Dienste bzw. die Service-Applications. Je nachdem welche Service-Applikations du isoliert haben willst kannst du einen oder mehrere Applikation-Pools erstellen (hier wird pro App-Pool ein Account benötigt -> darunter laufen dann z.B. die Dienste). 

Manche Dienste benötigen keine Service-Application und können direkt unter "Manage services on server" gestartet werden -> dann wird hier oft ein Account fällig.

Bitte schau dir an welche Dienste ihr benötigt, wie ihr diese aufteilen wollt und welche Accounts ihr verwenden wollt. Das ganze von der Ferne zu beschreiben und "korrekt" wiederzugeben ist zu komplex  :(

Grundsätzlich kann ich nur empfehlen: nicht den Farm Configuration Wizard nutzen. Lieber manuel konfigurieren oder noch besser: Scripting. Da kannst du sowohl die Test- als auch Produktiv-Farm gleich ausrollen, ohne groß Aufwand zu haben :)

Ich hoffe das hilft dir schon einmal weiter.