PowerScale. Ошибка «Запрос на аутентификацию не удалось обработать» в Centrify LDAP

Примеры:

# isi auth groups members list dellgroup --zone dellzone --provider="lsa-ldap-provider:Centrify LDAP Proxies"
Failed to get members for group GROUP:dellgroup: The authentication request could not be handled

ИЛИ

isi auth groups members list --gid 30118 
Failed to get members for group GID:30118: The authentication request could not be handled

При захвате пакетов Dell Technologies видит следующие ошибки:
 

errorMessage: cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter

Полный пример захвата пакетов:

# tshark -r file.cap

1060 736.218674 10.193.45.68 â 10.193.3.52  LDAP 1194 searchRequest(4) "ou=North America,dc=acf,dc=dell,dc=com" wholeSubtree
1061 736.218828  10.193.3.52 â 10.193.45.68 TCP 66 389 â 15206 [ACK] Seq=3557 Ack=1413 Win=261656 Len=0 TSval=1645667785 TSecr=662636581
1062 736.258022  10.193.3.52 â 10.193.45.68 LDAP 175 searchResDone(4) other (cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter)  [2 results]
1063 736.258142  10.193.3.52 â 10.193.45.68 LDAP 175 searchResDone(4) other (cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter)  [2 results]
1064 736.258150 10.193.45.68 â 10.193.3.52  TCP 66 15206 â 389 [ACK] Seq=1413 Ack=3775 Win=131648 Len=0 TSval=662641755 TSecr=1645667785
1065 736.261570 10.193.45.68 â 10.193.3.52  LDAP 73 unbindRequest(5)

В этой рамке служба поддержки может увидеть следующее:
 

Lightweight Directory Access Protocol
    LDAPMessage searchResDone(4) other (cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter) [2 results]
        messageID: 4
        protocolOp: searchResDone (5)
            searchResDone
                resultCode: other (80)
                matchedDN:
                errorMessage: cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter
        [Response To: 1060]
        [Time: 0.039348000 seconds]

Начиная с OneFS версии 8.2.2.0, запросы на перечисление членов LDAP намеренно группируют запросы, чтобы сократить время отклика. По соображениям производительности OneFS изменена с итеративного запроса UID от пользователя к пакетному запросу. 
Ошибка в папах предполагает, что прокси-сервер не поддерживает несколько записей 'uid' в фильтре поиска. Если прокси-сервер не поддерживает несколько записей 'uid', службе поддержки требуется поставщик прокси-сервера (то есть. Centrify), чтобы решить эту проблему.

Похоже, прокси-серверу не нравится то, что OneFS отправляет по сети, что имеет форму (&(objectClass=posixAccount)(|( uid=user1)(uid=user2)(uid=user3))) для разрешения членов пользователя из запроса memberUid, чтобы группа полностью разрешила имя bid>и имена участников, uid>.

Кроме того, Centrify признал, что наше поведение в какой-то момент изменилось, перейдя от итеративного запроса uid к пакетному запросу, как указано выше. Согласно статьям базы знаний и документации Centrify, ошибка предполагает, что прокси-сервер не поддерживает несколько записей 'uid' в фильтре поиска.

В Centrify признали, что синтаксис, который сейчас использует PowerScale, не поддерживается. Есть запрос на улучшение (RFE), чтобы добавить его в Centrify, и наше имя было добавлено в этот RFE.

Так как с фильтром поиска все в порядке, и наш программный код не возвращается к nonbatched (из соображений производительности), Centrify должен соответствовать нашему действительному фильтру поисковых запросов, запрашивающему нескольких пользователей для uidNumber.

Обратитесь к поставщику (Centrify) для решения проблемы. 

Чтобы проверить, столкнулся ли заказчик с проблемой, служба поддержки Dell Technologies также может собирать записи пакетов во время репликации ошибки.Ниже

приведены действия для захвата пакетов:


1. Создайте список серверов LDAP, настроенных в кластере PowerScale:
 

# isi auth ldap ls
Name  Base DN       Server Uris         Status
-----------------------------------------------
LDAP  DC=amd,DC=com ldap://isilon02 online
                    ldap://isilon0404

2. Разрешите IP-адреса каждого из серверов LDAP, как указано выше.
 

#nslookup <ldap host>

Запишите IP-адреса LDAP для службы поддержки.

Например:
 

powerscale-2-1# nslookup isilon02
Server:         127.42.0.1
Address:        127.42.0.1#53

Non-authoritative answer:
Name:   isilon02.dell.com
Address: 10.178.35.1

3.  Создайте каталог, в котором будут содержаться данные захвата пакетов: 
 

# mkdir -p /ifs/data/Isilon_Support/<SR number>

Замените приведенный выше номер сервисной заявки на правильный номер сервисной заявки на обслуживание PowerScale, например для номера сервисной заявки 1234567:
 

# mkdir -p /ifs/data/Isilon_Support/1234567

4. Подключитесь по SSH к узлу в качестве пользователя root.

5. Запуск захвата пакетов узла:

т.е. для сервисного запроса # 1234567 команда будет выглядеть следующим образом:
 

# for i in $(ifconfig | grep flags= | cut -f1 -d':'|egrep -v "ib0|ib1|lo0"); do tcpdump -i ${i} -s0 -C 200 -W 3 -w /ifs/data/Isilon_Support/1234567/${HOST}_${i}.pcap port 389 &; done

Введите Ctrl-C, чтобы выйти и позволить tcpdump Работа в фоновом режиме.

6. Затем повторно создайте проблему/ошибку на узле.
7. После воспроизведения проблемы/ошибки остановите pcap.
 

# pkill -9 tcpdump

Убедитесь, что pcaket Захват больше не выполняется:
 

# ps -auxwww|grep tcpdump

Вы не должны увидеть tcpdump Запущенные процессы.

8. Загрузите файл pcaps в службу поддержки для проверки.