PowerScale:OneFS:不要な外部SIDクエリーによる認証レイテンシー
Summary: OneFS 9.12以降では、複数の認証プロバイダーが構成されているクラスターでは、プロトコルによる認証中にレイテンシーが観察される場合があります。これは、外部ソースの SID のユーザー メンバーシップ情報に対する不必要でコストのかかる呼び出しの結果です。
Symptoms
影響を受けるクラスターでは、次の現象が発生する可能性がありますが、現象の範囲と強度は個々のワークフローと構成によって異なる場合があります。
- SMBセッションのセットアップ中に、NTLMまたはKerberos認証が完了するまでに10秒から30秒かかる場合があり、場合によってはそれ以上かかる場合があります。
- NFSワークフローでは、認証中にファイル アクセスが長時間ハングまたは停止することがあります。
- 認証の遅延によって引き起こされるタイムアウトにより、アプリケーションは接続タイムアウトまたは「サーバーが応答していません」エラーを報告する場合があります。
- ビジー状態のワークフローでは、複合的な認証レイテンシーによってLSASSスレッドが使い果たされる可能性があります。これにより、LSASS に依存する他の操作は、LSASS が要求を処理するのを待っている間、潜在状態になります。
- ユーザーのマッピング トークンを表示すると、異常な程度の遅延が示されます。
次のログ メッセージも表示される場合がありますが、問題の存在のみを示しているわけではありません。上記のレイテンシーが存在する場合は、疑わしい存在になる可能性があります。これらのメッセージは、ノードの/var/log/lsassd.logに存在します。
Unknown SID <SID> in file provider, trying to resolve as name
Unknown SID <SID> in NIS provider, trying to resolve as name
Unknown SID in LDAP provider, trying to resolve as name
また、管理者は、Active Directoryドメイン コントローラーへのアウトバウンドLDAPクエリーが通常よりも高くなる場合があります。
Cause
9.12+ のコード拡張機能により、ユーザーのローカル以外のグループ メンバーシップに対して不要な検索が追加され、検索ごとに意図せずに 5 秒から 15 秒の遅延が追加されました。これは、SID 履歴からのものを含め、多数のメンバーシップを持つユーザーのグループ メンバーシップを確認する場合に、より顕著になります。
次の条件に該当する場合、クラスターでこの問題のリスクが発生する可能性があります。
- クラスターはOneFS 9.12以降を実行している。
- 複数の認証プロバイダーが存在します。
- 影響を受けるノードの/var/log/lsassd.logに、外部SIDを名前として解決しようとするメッセージの数が多すぎます。
- ユーザーのマッピング トークンの表示には 5 秒以上かかります。
クラスターが問題に遭遇するリスクがあるかどうかを明確に知る方法はありません。これは個々の外部認証環境の主観的なものです。つまり、影響を受けるコード レベルであるため、上記の他の項目に加えて、クラスターがこの問題のリスクにさらされます。
Resolution
この修正は、
OneFS 9.15 - 2026年8月中旬/下旬にリリース予定
OneFS 9.13.1.1 - 2026年8月リリース
OneFS 9.14.0.1 - 現在利用可能
レイテンシーを完全には排除できないものの、低減する手段は、負のキャッシュTTLとヒット カウントを減らすことです。Memcacheは、グループSIDの失敗したルックアップをユーザーとしてキャッシュしますが、5回試行するまでは負のエントリーとしてリストされません。<Zone>は、関連するコマンドを使用して、これらの変更を適用する該当するアクセス ゾーンに対して定義する必要があることに注意してください。
メモ:変更 する予定のシステム構成またはグローバル構成は、クラスターによって異なる可能性があるため、変更する前に必ずデフォルト値を収集してください。
ネガティブ キャッシュへのエントリーの書き込みに要する、失敗したルックアップの数を、指定したアクセス ゾーンの1に変更するには、次のコマンドを実行します。
# isi_gconfig registry.Services.lsass.Parameters.Zones.<zone>.NegCacheHitsThreshold=1
上記のパラメーターが個々のアクセス ゾーンに存在しない場合は、同じ値をグローバルに変更することもできます。
isi_gconfig registry.Services.lsass.Parameters.NegCacheHitsThreshold=1
ネガティブ キャッシュ エントリーのTTL/有効期間を4時間に延長し、クエリーの頻度を減らすには、次のようにします。
# isi zone zones modify <Zone> --negative-cache-entry-expiry=4H
問題が完全に解消されるわけではありませんが、上記の値の構成が変更され、潜在的なレイテンシーの頻度が4時間に1回に減少します。適切なコードレベルの修正を含むパッチをインストールした後、クラスタ管理者は上記の設定の値を以前の設定に戻すことができます。