Die WSUS-Rolle lässt sich unter Windows Server 2012 R2 nicht erfolgreich installieren

Bei dem Versuch auf einem Windows Server 2012 R2 die WSUS-Rolle zu installieren, kann es passieren, das die Installation mit der Meldung „Fehler – Der Server muss neu gestartet werden“ scheitert.

Selbst mehrmalige Neustarts ändern nichts an diesem Umstand. Ein Blick in die Ereignisprotokolle fördert folgende Meldung zu Tage:

Protokollname: System
Quelle:        Service Control Manager
Datum:         22.06.2015 13:08:57
Ereignis-ID:   7041
Aufgabenkategorie:Keine
Ebene:         Fehler
Schlüsselwörter:Klassisch
Benutzer:      Nicht zutreffend
Computer:      srv01.lab.local
Beschreibung:
Der Dienst "MSSQL$MICROSOFT##WID" konnte aufgrund des folgenden Fehlers nicht unter NT SERVICE\MSSQL$MICROSOFT##WID mit dem aktuell konfigurierten Kennwort angemeldet werden: 
Anmeldungsfehler: Dem Benutzer wurde der angeforderte Anmeldungstyp auf diesem Computer nicht zugeteilt.

Dienst: MSSQL$MICROSOFT##WID 
Domäne und Konto: NT SERVICE\MSSQL$MICROSOFT##WID
 
Das Dienstkonto verfügt nicht über das erforderliche Benutzerrecht "Anmeldung als Dienst".
 
Benutzeraktion
 
Teilen Sie dem Dienstkonto "Anmeldung als Dienst" auf diesem Computer zu. Sie können dazu die lokalen Sicherheitseinstellungen (Secpol.msc) verwenden. Stellen Sie sicher, dass dieses Benutzerrecht dem Clusterdienst, auf allen Knoten des Clusters zugewiesen ist, wenn dieser Computer ein Knoten im Cluster ist.
 
Wenn Sie bereits dieses Benutzerrecht dem Dienstkonto zugeteilt haben und es so aussieht, als ob das Benutzerrecht entfernt wurde, dann wenden Sie sich an den Domänenadministrator, um herauszufinden, ob dieses eventuell durch ein Gruppenrichtlinienobjekt, das dem Knoten zugewiesen ist, entfernt wurde.

Kurzum: Es fehlt dem Benutzerkonto ein Recht. Eine kurze Recherche liefert dazu einige Ergebnisse:

WSUS Role failed on Windows server 2012 with error “the operation cannot be completed because the server that you specified requires a restart”

Andere, unter anderem deutschsprachige, Ergebnisse beschreiben das gleiche Vorgehen. Wenn der Server allerdings in deutscher Sprache ist, findet sich kein „NT SERVICE\ALL SERVICES“. Ein Blick ins MCSEboard führt zur passenden Übersetzung:

SBS2003 – neuer DC mit Win2012 – Probleme mit WSUS-Installation

Dem Konto „DIENST“ muss das Recht „Anmelden als Dienst“ gewährt werden. An dieser Stelle darf gerne geschmunzelt werden, was das denn soll, das sich Dienst nicht als Dients anmelden darf.

Soll die WSUS-Rolle auf einen Domänencontroller installiert werden, muss statt der „Default Domain Policy“ die „Default Domain Controllers Policy“ editiert werden. Sobald die Änderung angewandt wurde, lässt sich die Rolle erfolgreich installieren.