Auf den beiden DCs (2008 R2) in einer Domain wird alle 5 Minuten der Event 1202 mit dem Text “Security policies were propagated with warning. 0x534 : No mapping between account names and security IDs was done.” im Eventlog eingetragen.

Einige Stunden Recherche haben folgendes ergeben:

KB977695: Der dort verfügbare Hotfix enthält eine Scecli.dll. die älter ist als die bereits installierte Version. Deshalb läßt sich der Hotfix nicht installieren (“The update is not applicable to your computer“).

KB324383: Die dort beschriebene Suche (“find /i “cannot find” %SYSTEMROOT%\security\logs\winlogon.log“) in der winlogon.log liefert “DefaultAppPool” und “Classic .NET AppPool” als die problematischen Account Names.

Mit dem “Resultant Set of Policy” (rsop.msc) findet man unter “Computer Configuration – Windows Settings – Security Settings – Local Policies – User Rights Assignment” einfach heraus, dass die problematischen Account Names in Richtlinien der “Default Domain Controller Policy” stecken.

Das in KB977695 beschriebene Hinzufügen des Präfix “IIS AppPool/” an den entsprechenden Stellen in der Datei “GptTmpl.inf” dieser Policy hat das Problem für “DefaultAppPool” behoben, aber “Classic .NET AppPool” erzeugt immer noch Fehler.

Im “IIS Manager” (Version 7) werden unter “AppPools” nur “ASP.NET v4.0”, “ASP.NET v4.0 Classic” und “DefaultAppPool” aufgelistet, “Classic .NET AppPool” fehlt also.

Ich habe dort dann einen neuen AppPool mit dem Namen “Classic .NET AppPool”, der .NET Version “v2.0” und dem Pipline Mode “Classic” erzeugt. Danach tauchten keine Warnungen mehr im Eventlog auf