Avamar: VSS deaktivering af brugerprofilindsamling for Windows-klienter

Windows Sikkerhedslogfiler angiver, at avtar.exe har adgang til hver brugerprofil på en klient.

• For aktive brugerprofiler ser posterne sådan ud:

Log Name:      Security
Source:        Microsoft-Windows-Security-Auditing
Date:          5/27/2017 4:00:07 PM
Event ID:      4648
Task Category: Logon
Level:         Information
Keywords:      Audit Success
User:          N/A
Computer:      CNCSD1C.corp.emc.com
Description:
A logon was attempted using explicit credentials.

Subject:
Security ID: SYSTEM
Account Name: CNCSD1C$
Account Domain: CORP
Logon ID: 0x3e7
Logon GUID: {00000000-0000-0000-0000-000000000000}

Account Whose Credentials Were Used:
Account Name: testuser
Account Domain: CORP
Logon GUID: {1d662ff0-b57a-9c60-620c-b7f5c70ad1df}

Target Server:
Target Server Name: localhost
Additional Information: localhost

Process Information:
Process ID: 0x1544
Process Name: C:\Program Files\avs\bin\avtar.exe 

-----

Log Name:      Security
Source:        Microsoft-Windows-Security-Auditing
Date:          5/27/2017 4:00:07 PM
Event ID:      4624
Task Category: Logon
Level:         Information
Keywords:      Audit Success
User:          N/A
Computer:      CNCSD1C.corp.emc.com
Description:
An account was successfully logged on.
 
Subject:
Security ID: SYSTEM
Account Name: CNCSD1C$
Account Domain: CORP
Logon ID: 0x3e7
 
Logon Type: 3
 
New Logon:
Security ID: CORP\testuser
Account Name: testuser
Account Domain: CORP
Logon ID: 0x8150fc1
Logon GUID: {cac983ee-8bf7-3789-896f-c9be1e852ead}
 
Process Information:
Process ID: 0x1334
Process Name: C:\Program Files\avs\bin\avtar.exe

• For udløbne brugerprofiler ser det sådan ud:
   

Log Name:      Security
Source:        Microsoft-Windows-Security-Auditing
Date:          5/27/2017 12:51:58 PM
Event ID:      4625
Task Category: Logon
Level:         Information
Keywords:      Audit Failure
User:          N/A
Computer:      CNCSD1C.corp.emc.com
Description:
An account failed to log on.

Subject:
Security ID: SYSTEM
Account Name: W8001DB03$
Account Domain: INTERNAL
Logon ID: 0x3e7
 
Logon Type: 3
 
Account For Which Logon Failed:
Security ID: NULL SID
Account Name:                     
Account Domain:                 
 
Failure Information:
Failure Reason: The specified user account has expired.
Status: 0xc0000193
Sub Status: 0xc0000193
 
Process Information:
Caller Process ID:  0xe7c
Caller Process Name: C:\Program Files\avs\bin\avtar.exe

• For deaktiverede brugerprofiler ser det sådan ud:
   

Log Name:      Security
Source:        Microsoft-Windows-Security-Auditing
Date:          5/27/2017 12:51:58 PM
Event ID:      4625
Task Category: Logon
Level:         Information
Keywords:      Audit Failure
User:          N/A
Computer:      CNCSD1C.corp.emc.com
Description:
An account failed to log on. 

Subject:
Security ID: SYSTEM
Account Name: W8001DB03$
Account Domain:  INTERNAL
 Logon ID:  0x3e7
 
Logon Type: 3
 
Account For Which Logon Failed:
Security ID:  NULL SID
Account Name:                     
Account Domain:                 
 
Failure Information:
Failure Reason:  Account currently disabled.
Status: 0xc000006e
Sub Status: 0xc0000072
 
Process Information:
Caller Process ID:  0xe7c
Caller Process Name: C:\Program Files\avs\bin\avtar.exe

• Poster som følgende kan også ses:
   

Log Name:      Security
Source:        Microsoft-Windows-Security-Auditing
Date:          5/27/2017 12:51:58 PM
Event ID:      4625
Task Category: Logon
Level:         Information
Keywords:      Audit Failure
User:          N/A
Computer:      CNCSD1C.corp.emc.com
Description:
An account failed to log on. 

Subject:
Security ID: 
Account Name: testuser
Account Domain: CORP
Logon ID: 0x3e7

Logon Type: 3

Account For Which Logon Failed:
Security ID: NULL SID
Account Name:        
Account Domain:        

Failure Information:
Failure Reason:  Error occured during Logon.
Status: 0xc000018b
Sub Status: 0x0

Process Information:
Caller Process ID: 0x1544
Caller Process Name: C:\Program Files\avs\bin\avtar.exe

• Følgende er en liste over almindelige statusser, der kan opstå:
   

   
  Status Code	Description
  0XC000005E	There are currently no logon servers available to service the logon request.
  0xC0000064	User logon with misspelled or bad user account
  0xC000006A	User logon with misspelled or bad password
  0XC000006D	This is either due to a bad username or authentication information
  0XC000006E	Unknown user name or bad password.
  0xC000006F	User logon outside authorized hours
  0xC0000070	User logon from unauthorized workstation
  0xC0000071	User logon with expired password
  0xC0000072	User logon to account disabled by administrator
  0XC00000DC	Indicates the Sam Server was in the wrong state to perform the desired operation.
  0XC0000133	Clocks between DC and other computer too far out of sync
  0XC000015B	The user has not been granted the requested logon type (aka logon right) at this machine
  0XC000018C	The logon request failed because the trust relationship between the primary domain and the trusted domain failed.
  0XC0000192	An attempt was made to logon, but the Netlogon service was not started.
  0xC0000193	User logon with expired account
  0XC0000224	User is required to change password at next logon
  0XC0000225	Evidently a bug in Windows and not a risk
  0xC0000234	User logon with account locked
  0XC00002EE	Failure Reason: An Error occurred during Logon
  0XC0000413	Logon Failure: The machine you are logging onto is protected by an authentication firewall. The specified account is not allowed to authenticate to the machine.
  
  

Du kan finde en komplet liste under Error ode ntstatus.h (Eksternt link)
Disse poster findes i sikkerhedsloggen for hver brugerprofil på klientcomputeren, hver gang sikkerhedskopien køres.

I slutningen af hver sikkerhedskopi indsamler Plugin skabt avtar-processen oplysninger for hver brugerprofil på klienten.

• I avtar-loggen findes følgende linje (bemærk, antallet varierer afhængigt af antallet af profiler):

avtar Info <11035>: Reading 14 user profiles
avtar Info <11036>: Done reading user profiles

• Denne indsamling af profiler sker i slutningen af hver avtar-session på en Windows-maskine. Det sker ikke kun i slutningen af en Windows File System-sikkerhedskopi (avtar), men også hver gang et andet plug-in som avexvss (Exchange), avsql (SQL), avvss (VSS) gyder en avtar.exe proces.
•  Hvis en Windows VSS-sikkerhedskopi gyder tre avtar-processer til sikkerhedskopiering af forskellige diskenheder, samles profilerne tre gange og tilføjer de faste tider.
• Selvom indsamling af brugerprofiler skal være en hurtig proces, tager det i sjældne tilfælde, f.eks. SID-poster (Orphaned Security Identifier), lang tid at påvirke Avamars ydeevne. Eksempel på en sådan logget post:

2017-05-25 04:34:18 avtar Info : Reading 37 user profiles

Efterfulgt over to timer senere af:

2017-05-25 06:50:34 avtar Info : Done reading user profiles

• Profilindsamling i slutningen af sikkerhedskopieringen kan endda mislykkes, når "AuthzInitializeContextFromSid" aktiveres:

2023-10-13 09:51:21 avtar Warning <16147>: AuthzInitializeContextFromSid failed: 2

Du kan finde flere oplysninger om brugen af denne API i profilindsamling på:

https://learn.microsoft.com/en-us/troubleshoot/sql/reporting-services/call-authzinitializecontextfromsid-api-fails

I sådanne tilfælde manglede nogle SID'er de tilsvarende brugernavnsposter, og avtar sad fast eller mislykkede behandling af disse forældreløse SID'er. Dette kan ske, når du sletter brugerkonti, men ikke sletter den tilsvarende brugers hjemmemappe.

Denne profilindsamling er som standard slået til, men bruges kun til gendannelse af stationære eller bærbare computere (DTLT). For hver brugerprofil henter avtar alle grupper, som brugeren tilhører, for at afgøre, om brugeren er lokal administrator. Disse oplysninger bruges til at bestemme, hvilke filer, den bruger, der er logget på, kan se, og gendanne vha. DTLT-webgrænsefladen.

Selvom disse sikkerhedsposter sagtens kan ignoreres, kan profilsamlingen deaktiveres på Windows Server-klienter. Den bør ikke deaktiveres på stationære eller bærbare pc'er, hvis DTLT-webgrænsefladen anvendes. Hvis du vil deaktivere indsamling af brugerprofiler, skal du tilføje følgende avtar-flag i avtar.cmd filen på klienten eller det tilknyttede datasæt.

--x05=65536 

Deaktivering af profilindsamling kan håndteres på to måder.

1. For en enkelt klient:
   1. Opret en tekstfil i C: \ Program Files \ avs \ var kaldet avtar.cmd
   2. Tilføj følgende flag i den avtar.cmd fil:

   3. --x05=65536

   4. Dette påvirker alle sikkerhedskopier på klienten, da avtar bruger det hver gang det startes.
2. For flere klienter, der bruger et datasæt:
   1. I datasættet skal du gå til fanen "Indstillinger"
   2. Vælg den relevante plugintype på rullelisten
   3. Klik på knappen 'Mere'.
      1. For sikkerhedskopier af Windows-filsystem:
         1.  Under "Indtast attribut": Indtast x05
         2. Under "Indtast attributværdi" skal du indtaste 65536
         3. Klik derefter på knappen +
      2.  For alle andre Windows-plugins:
         1. Under 'Indtast attribut:' Indtast [avtar]x05
         2. Under "Indtast attributværdi" skal du indtaste 65536
         3. Klik derefter på knappen +
   4. Dette skal gøres for hver plug-in-type, der er en del af datasættet, og for hvert datasæt, der er tildelt til en gruppe, som klienten er medlem af.