ntuser.dat wird von anderem Prozess gesperrt

[groszmann 10]

Hallo,

seit kurzem habe ich auf einem win2k3-server standard Probleme mit der Anmeldung einzelner Benutzer:

-1. Meldung an den einloggenden User (sinngemäß): das lokale Profil kann nicht verwendet werden, die Datei wird von einem anderen Prozess benutzt.

-2. Meldung an den einloggenden User (sinngemäß): Sie werden mit einem temporären Profil angemeldet . . .

Anmeldung dann mit einem leeren Profil mit Standardeinstellungen.

Starte ich den Server neu, so ist das Profil wieder verfügbar (das ist in einer Produktivumgebung aber keine Lösung des Problems), aber nach einiger Zeit ist das Phänomen wieder da.

 

Ich habe die Sache so weit verfolgt, das es die ntuser.dat ist, die nicht zugreifbar ist, auch wenn ich als admin den Besitz übernehme, kann ich auf diese nicht zugreifen, es ist dann also auch kein Überschreiben der ntuser.dat aus einer Sicherung möglich. Ich hatte vermutet, das der Virenscanner (NAI-Virusscan) diese sperrt, da ich beim ersten Runterfahren einen bluescreen mit Hinweis auf eine Virenscanner-Datei hatte.

Aber auch mit deaktiviertem Virenscanner tritt das Phänomen einige Zeit nach Neustart wieder auf.

 

Gibt es eine Möglichkeit, herauszufinden welcher Prozess auf diese Systemdateien zugreift und den Zugriff zu deaktivieren?

 

Vielen dank für jegliche Hilfe

 

 

Hans Georg Groszmann

[Finanzamt 73]

Hi!

Ohne daß ich einen vergleichbaren Fall im Hinterkopf hätte, vermute ich, daß die Datei Ntuser.dat bzw. der NTFS-Eintrag korrupt ist. Vor allem das 'gesperrt' ist mir total suspekt. Bei einer Anmeldung wird sie ja nur gelesen und nicht gesperrt (siehe Mehrfachanmeldungen). Anwendungen, die in den Hive schreiben, tun das ja in der lokalen Kopie. Kannst Du denn die NTUSER.DAT kopieren? Dann könntest Du sie in den RegEditor importieren und näher in Augenschein nehmen.

Aber ganz praktisch würde ich dem User ein neues Profil verpassen. Wenn das Phänomen dann nach einiger Zeit wieder auftauchen sollte, stünde eine Anwendung in Verdacht, Amok zu laufen.

Gegrüßt!

[Velius 10]

Versuch's mal damit:http://www.mcseboard.de/showpost.php?p=309863&postcount=4

 

Virenscanner sind die häufigsten übeltäter.

[groszmann 10]

@velius

Ich habe uphclean installiert, es schien auch zu funktionieren, bis das Phänomen heute (nach 2 oder 3 Tagen) erneut auftritt. Auch ein Neustart des UPH-Dienstes ändert nichts.

 

@Finanzamt

Die ntuser.dat und die ntuser.dat.log sind nicht im Zugriff, d.h. sie lassen sich weder kopieren, umbennen, löschen noch im Viewer anschauen. Ein neues Profil kann nicht die Lösung sein, da

1. die User-Profile recht komplex sind und ich zwei bis drei Stunden mit einem Profil beschäftigt bin

2. das vorhandene Profil ja nicht gelöscht werden kann, wegen fehlendem Zugriff auf die o.g. Dateien

 

Ich muss rausfinden, welcher Prozess hier exklusiv zugreift und den Zugriff unterbinden. Der Virenscanner (NAI-Virusscan) scheidet wohl aus, da das Problem auch bei deaktiviertem Scanner auftritt. Daher nochmal die Frage: gibt es eine Möglichkeit rauszufinden welcher Prozess zugreift? filemon habe ich schon probiert, das zeigt aber offensichtlich nur akute Zugriffe an, und da an den Dateien aktuell ja nichts mehr geschieht, nützt es mir nichts.

Als Hinweis hier typische Einträge aus der Ereignisanzeige (die ich leider nicht zu deuten vermag):

 

09:41:59

Die Registrierung konnte nicht geladen werden. Dies wird oft durch zuwenig Arbeitsspeicher oder nicht ausreichende Sicherheitsberechtigungen verursacht.

 

Details - Der Prozess kann nicht auf die Datei zugreifen, da sie von einem anderen Prozess verwendet wird. for E:\Profiles\hovestadt.KOELN\ntuser.dat

 

09:42:03

Das lokal gespeicherte Profil kann nicht geladen werden. Mögliche Fehlerursachen sind nicht ausreichende Sicherheitsrechte oder ein beschädigter lokales Profil. Wenden Sie sich an den Netzwerkadministrator, wenn das Problem weiterhin besteht.

 

Details - Der Prozess kann nicht auf die Datei zugreifen, da sie von einem anderen Prozess verwendet wird.

 

09:42:03

Dieses Benutzerprofil wurde gesichert. Bei der nächsten Anmeldung dieses Benutzers wird automatisch versucht, dieses gesicherte Profil zu verwenden.

[mbrock 10]

Hi groszman,

 

hast Du schon mal nach der Registrygröße geschaut?

Properties von My Computer - Advanced - Performance Options - Change

Im unteren Bereich gibts die Current registry size und die Maximum registry size.

ggf. kannst du die maximale registry size anpassen.

 

Mit roaming profiles hatte ich auch schon das Problem, dass im profil einihe TMP- dateien lagen die nicht kopiert werden konnten.

Aber wie gesagt waren das roaming profiles. ;)

 

Ein tool um zu sehen welches Programm gerade zugreift kann ich jetzt aus dem Stehgreif leider nicht nennen. :(

[Finanzamt 73]

Hi!

Sorry, das mit dem Nicht-Überschreiben hatte ich glatt überlesen. Hast Du schon den Zugriff via Knoppix versucht? Eventuell bekommst Du sie verschoben und kannst sie weiter untersuchen?

Gegrüßt!