Folgendes Szenario:
SharePoint 2010 Std. wurde neu installiert auf einem Windows Server 2008 Deutsch. Zur Installation wurden PowerShell Scripts genutzt. Es wurden Inhalte eingestellt und der Suchindexer konnte diese auch erfolgreich indizieren. In der Search Service Application waren einige “Searchable items” enthalten.
Wenn der User eine Suche ausführt, erscheinen keine Treffer mit dem Hinweis “Es wurden keine Ergebnisse gefunden für …”
Dies obwohl Inhalte mit diesem Suchbegriff auf jeden Fall im Index waren, was auch in die Crawl History nachzuvollziehen war.
Nach Durchforsten der ULS Logs sind folgende Fehlermeldung – leider nur als “High” gekennzeichnet – aufgefallen:
AuthzInitializeContextFromSid failed with ERROR_ACCESS_DENIED. This error indicates that the account under which this process is executing may not have read access to the tokenGroupsGlobalAndUniversal attribute on the querying user’s Active Directory object. Query results which require non-Claims Windows authorization will not be returned to this querying user.
Die Lösung des Problems ist, den Search Query Account in die Domaingruppe “Windows Authorization Access Group” aufzunehmen. Der Search Query Account ist der Account des Application Pools indem der Query Dienst läuft. Herauszufinden über:
–> Manage Service Applications –> Search Service Application (nur selektieren) –> oben auf Properties
Dann weiter runter scrollen und dort den markierten Account in die o.g. Gruppe aufnehmen. Zur Sicherheit nochmal im IIS schauen, welcher Account zugeordnet ist.
Das Problem trat bisher bei mir nicht auf, da in vielen Fällen Kunden noch Active Directories im Einsatz haben die vor Window Server 2008 ADS sind. Die Gruppe “Windows Authorization Access Group” gibt es wohl erst ab ADS 2008.
Weitere Erklärungen gibt es hier:
und hier: