Avamar: Ověřování tokenu systému Data Domain selže s chybou nedostatečných přístupových práv

Selhání zálohování při použití ověřování založeného na tokenech Data Domain Boost

Pozorované chování

• Klient Avamar se pokusí připojit k systému Data Domain pomocí tokenu.
• Připojení se zdá být navázáno, ale zálohování se téměř okamžitě ukončí.
• Protokol klienta obsahuje varování s kódem výsledku 5075 a zprávou "the user has insufficient access rights."
• Záloha hlásí chybějící /ddr_files.xml a je označen jako neúplný.
• Problém se může týkat pouze podmnožiny klientů. Pokud selže každý klient, problém může být jiný.

Příklady výňatků z klienta, který selhal:

avtar Info <41236>: - Connecting to Data Domain Server name "test-dd-lab3.emc.com" with token:cc343af1edf716d3de8af0ede44cc9ab2285ebce
avtar Info <19156>: - Establishing a connection via token to the Data Domain system with encryption (Connection mode: A:3 E:2)

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10542>: Data Domain server "test-dd-lab3.emc.com" open failed DDR result code: 5075, desc: the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10509>: Problem logging into the DDR server:'', only GSAN communication was enabled.
2018-02-05 08:55:44 avtar FATAL <17964>: Backup is incomplete because file "/ddr_files.xml" is missing

Selhání ověřování na základě tokenů kvůli problémům s překladem DNS nebo síťových adres

Klíčové podmínky spouštějící chybu

• K ověření tokenu je vyžadován operační systém systému Data Domain verze 5.7.1.x nebo novější.
• Klient zálohování musí používat plně kvalifikovaný název domény (FQDN) s možností překladu.
• Dopředné (název hostitele → IP adresa) a zpětné (IP → název hostitele) vyhledávání DNS pro klienta musí vracet identické výsledky na klientovi, serveru Avamar a systému Data Domain.
• Pokud se některé vyhledávání liší nebo selže, klient se vrátí k tradičnímu ověřování. Ověřování na základě tokenů pak selže s error code 5075 ("the user has insufficient access rights").
• Klienti umístění za zařízením NAT, které přepisuje zdrojovou IP adresu, narušují konzistenci DNS, což způsobuje stejnou chybu nedostatečného přístupu.

Příslušný indikátor chyby

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights

Stanovení "the user has insufficient access rights" Chyba pro ověřování na základě tokenů.

Řešení krok za krokem

Pomocí těchto kroků zajistíte, že ověřování na základě tokenů mezi softwarem Avamar a systémem Data Domain funguje.

• Ověřte, že klient zálohování, server Avamar a systém Data Domain dokážou přeložit plně kvalifikovaný název domény (FQDN) klienta a že dopředné a zpětné vyhledávání vrací stejné výsledky.
• Pokud se vyhledávání liší, opravte položky DNS nebo přidejte příslušné záznamy /etc/hosts na dotčených počítačích.
• Ověřte, zda klient není za zařízením NAT, které přepíše jeho zdrojovou IP adresu.
• Po opravě DNS znovu spusťte zálohování, abyste potvrdili, že ověření tokenu proběhlo úspěšně.
• Pokud problém přetrvává, otevřete servisní požadavek u podpory společnosti Dell a odkažte se na tento článek znalostní databáze.

Nslookup z klientského počítače: 
 

@linux-testvm1 ~]$ nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Funkce Nslookup ze serveru Avamar: 
 

admin@test-av1:~#: nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Funkce Nslookup ze systému Data Domain: 
 

SE@test-dd-lab3## net lookup linux-testvm1
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup linux-testvm1.emc.com
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup 10.46.18.11
151.18.167.136.in-addr.arpa domain name pointer linux-testvm1.emc.com.