Livemigration bei einem Hyper Failover Cluster funktioniert nicht: Vorgang wurde für die Ressource "Virtueller Computer "VM1" nicht abgeschlossen

[illuminaten 13]

Hallo,

wir haben ein MS HyperV Failvover Cluster eingerichtet.

Hierbei haben wir das Problem, dass die Livemigration nicht funktioniert.

Es wird die Meldung: Der Vorgang wurde für die Ressource "Virtueller Computer "VM1" nicht abgeschlossen. Wählen Sie die Aktion "Informationsdetails" aus, damit die Ereignisse für die Ressource angezeigt werden.

Die Informationsdetails sind leer.

Im Ereignisprotokoll System bekommen wir diese Meldung:

Der Kerberos-Client hat einen KRB_AP_ERR_MODIFIED-Fehler von Server "hyperv04-001$" empfangen. Der verwendete Zielname war HTTP/Cluster01-kdm.domain.de. Dies deutet darauf hin, dass der Zielserver das vom Client bereitgestellte Token nicht entschlüsseln konnte. Dies kann auftreten, wenn der Ziel-Serverprinzipalname (SPN) nicht bei dem Konto registriert ist, das der Zieldienst verwendet. Stellen Sie sicher, dass der Ziel-SPN nur bei dem Konto registriert ist, das vom Server verwendet wird. Dieser Fehler kann auch auftreten, wenn das Kennwort für das Zieldienstkonto nicht mit dem Kennwort übereinstimmt, das im Kerberos-KDC (Key Distribution Center) für den Zieldienst konfiguriert ist. Stellen Sie sicher, dass der Dienst auf dem Server und im KDC beide für die Verwendung des gleichen Kennworts konfiguriert sind. Wenn der Servername nicht vollqualifiziert ist und sich die Zieldomäne (domain.de) von der Clientdomäne (doamin.de) unterscheidet, prüfen Sie, ob sich in diesen beiden Domänen Serverkonten mit gleichem Namen befinden, oder verwenden Sie den vollqualifizierten Namen, um den Server zu identifizieren.

 

Die Schnellmigration funktioniert in beide Richtungen.

 

Kennt jemand das Problem und weiß eine Lösung.

Für Eure Unterstützung bedanke ich mich im Voraus

 

[testperson 1.866]

Hi,

 

die Constrained Delegation für CIFS / Live Migration (Set up hosts for live migration without Failover Clustering | Microsoft Learn) hast du gesetzt für alle Hosts?

 

Funktioniert die Livemigration denn generell, wenn du es per CredSSP und TCP/IP oder Compression machst?

 

Gruß

Jan

[NilsK 3.052]

Moin,

 

habt ihr Domänencontroller unter Windows Server 2025? Wenn ja, sind die auf dem aktuellsten Patchlevel?

Gibt es darüber hinaus im Netzwerk Anmeldeprobleme oder Zugriffsprobleme auf Windows-Ressourcen?

Hat sich an dem Aufbau des Clusters oder eines der Hosts kürzlich etwas geändert? Ist z.B. einer der Hosts aus einem Backup wiederhergestellt worden?

 

Gruß, Nils

 

[illuminaten 13]

Hallo Nils,

 

es sind Windows 2022 Server.

Patchlevel ist gleich.

Ansonsten gibt es keine Zugriffsprobleme auf Windows - Ressourcen.

Es wurde auch kein Host aus einem Backup wiederhergestellt.

Gruß

[NilsK 3.052]

Moin,

 

ich meinte, ob einer eurer Domänencontroller unter 2025 läuft. Da gab es bis zum Sommer Probleme mit gesperrten Konten.

 

Gruß, Nils

 

[Dukel 468]

vor 6 Stunden schrieb illuminaten:

Hallo Nils,

 

es sind Windows 2022 Server.

Patchlevel ist gleich.

Ansonsten gibt es keine Zugriffsprobleme auf Windows - Ressourcen.

Es wurde auch kein Host aus einem Backup wiederhergestellt.

Gruß

Die Hyper-V Hosts sind im AD integriert?

[Nobbyaushb 1.598]

vor 11 Minuten schrieb Dukel:

Die Hyper-V Hosts sind im AD integriert?

Ich dachte das ist Standard bei einem Cluster?

[NorbertFe 2.294]

vor 21 Minuten schrieb Nobbyaushb:

Ich dachte das ist Standard bei einem Cluster?

Naja gibt neuerdings auch Workgroup Cluster. Gabs hier neulich ne längere Diskussion zu.

[Dukel 468]

Nein. Man kann auch einen Cluster ohne AD bauen.

[Nobbyaushb 1.598]

vor 2 Minuten schrieb NorbertFe:

Naja gibt neuerdings auch Workgroup Cluster. Gabs hier neulich ne längere Diskussion zu.

Ist an mir vorbeigegangen...

vor 2 Minuten schrieb Dukel:

Nein. Man kann auch einen Cluster ohne AD bauen.

Gut, würde ich nicht machen aber das ist eine andere Geschichte

Also fehlt diese Info noch...

[cj_berlin 1.509]

vor 9 Minuten schrieb Nobbyaushb:

Also fehlt diese Info noch...

Nee, die fehlt nicht, denn Nicht-Domainmember sprechen bis heute kein Kerberos miteinander, auch wenn das versprochen wurde.

[Nobbyaushb 1.598]

vor 3 Minuten schrieb cj_berlin:

Nee, die fehlt nicht, denn Nicht-Domainmember sprechen bis heute kein Kerberos miteinander, auch wenn das versprochen wurde.

Ich meinte damit das die Info fehlt ob die beiden Cluster-Nodes Domain-Member sind oder nicht, ich habe das jedenfalls nicht herauslesen können...

[cj_berlin 1.509]

Gerade eben schrieb Nobbyaushb:

Ich meinte damit das die Info fehlt ob die beiden Cluster-Nodes Domain-Member sind oder nicht, ich habe das jedenfalls nicht herauslesen können...

Das meinte ich auch. Im OP wird die Kerberos-Fehlermeldung zitiert. Diese kann nur auftreten, wenn die Knoten im AD Mitglied sind.

[Nobbyaushb 1.598]

vor 2 Minuten schrieb cj_berlin:

Das meinte ich auch. ...

Ah, ok - danke fürs Brett wegnehmen...