Avamar: Data Domain 토큰 인증이 실패하고 액세스 권한 부족 오류 발생

Data Domain Boost 토큰 기반 인증 사용 시 백업 실패

관찰된 행동

• Avamar Client는 토큰을 사용하여 Data Domain 시스템에 연결을 시도합니다.
• 연결이 설정된 것으로 나타나지만 백업이 거의 즉시 종료됩니다.
• 클라이언트 로그에는 결과 코드 5075와 함께 경고와 "the user has insufficient access rights."
• 백업에서 누락을 보고함 /ddr_files.xml 파일로 표시되며 불완전한 것으로 표시됩니다.
• 이 문제는 일부 클라이언트에만 영향을 줄 수 있습니다. 모든 클라이언트가 실패하는 경우 문제가 다를 수 있습니다.

실패한 클라이언트에서 발췌한 로그 예:

avtar Info <41236>: - Connecting to Data Domain Server name "test-dd-lab3.emc.com" with token:cc343af1edf716d3de8af0ede44cc9ab2285ebce
avtar Info <19156>: - Establishing a connection via token to the Data Domain system with encryption (Connection mode: A:3 E:2)

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10542>: Data Domain server "test-dd-lab3.emc.com" open failed DDR result code: 5075, desc: the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10509>: Problem logging into the DDR server:'', only GSAN communication was enabled.
2018-02-05 08:55:44 avtar FATAL <17964>: Backup is incomplete because file "/ddr_files.xml" is missing

DNS 또는 네트워크 주소 변환 문제로 인한 토큰 기반 인증 실패

오류를 유발하는 주요 조건

• 토큰 인증에는 Data Domain OS 버전 5.7.1.x 이상이 필요합니다.
• 백업 클라이언트는 확인 가능한 FQDN(Fully Qualified Domain Name)을 사용해야 합니다.
• 정방향(호스트 이름 → IP) 및 역방향(IP → 호스트 이름) 클라이언트의 DNS 조회는 클라이언트, Avamar Server 및 Data Domain 시스템에서 동일한 결과를 반환해야 합니다.
• 조회가 다르거나 실패하면 클라이언트는 기존 인증으로 대체됩니다. 그러면 토큰 기반 인증이 실패하고 error code 5075 ("the user has insufficient access rights").
• 소스 IP 주소를 재작성하는 NAT 디바이스 뒤에 있는 클라이언트는 DNS 일관성을 깨뜨려 동일한 불충분한 액세스 오류를 일으킵니다.

관련 오류 표시기

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights

설정 "the user has insufficient access rights" 토큰 기반 인증의 경우 오류가 발생했습니다.

단계별 해결

Avamar와 Data Domain 간에 토큰 기반 인증이 작동하는지 확인하려면 다음 단계를 따르십시오.

• 백업 클라이언트, Avamar Server 및 Data Domain 시스템이 클라이언트의 FQDN(Fully Qualified Domain Name)을 확인할 수 있고 정방향 및 역방향 조회에서 동일한 결과가 반환되는지 확인합니다.
• 조회가 다른 경우 DNS 항목을 수정하거나 영향을 받는 호스트에 적절한 /etc/hosts 레코드를 추가합니다.
• 클라이언트가 소스 IP 주소를 재작성하는 NAT 디바이스 뒤에 있지 않은지 확인합니다.
• DNS를 수정한 후 백업을 다시 실행하여 토큰 인증이 성공했는지 확인합니다.
• 문제가 계속되면 Dell 지원을 통해 서비스 요청을 열고 이 KB를 참조하십시오.

클라이언트 시스템의 Nslookup: 
 

@linux-testvm1 ~]$ nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Avamar Server의 Nslookup: 
 

admin@test-av1:~#: nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Data Domain 시스템에서 nslookup: 
 

SE@test-dd-lab3## net lookup linux-testvm1
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup linux-testvm1.emc.com
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup 10.46.18.11
151.18.167.136.in-addr.arpa domain name pointer linux-testvm1.emc.com.