PowerScale: OneFS: Latenz bei der Authentifizierung aufgrund unnötiger externer SID-Abfragen

In betroffenen Clustern kann Folgendes beobachtet werden, wobei Umfang und Intensivierung der Symptome je nach individuellen Workflows und Konfiguration variieren können:

• Während der Einrichtung der SMB-Sitzung kann die NTLM- oder Kerberos-Authentifizierung 10 bis 30 Sekunden dauern, manchmal sogar länger.
• Bei NFS-Workflows kann es für längere Zeit während der Authentifizierung zu Verzögerungen oder Stillständen des Dateizugriffs kommen.
• Aufgrund von Timeouts, die durch Authentifizierungsverzögerungen verursacht werden, melden Anwendungen möglicherweise Verbindungs-Timeouts oder Server-nicht-reagieren-Fehler.
• In ausgelasteten Workflows können die kumulierenden Authentifizierungslatenzen LSASS-Threads erschöpfen. Dies wiederum führt dazu, dass andere Vorgänge, die sich auf LSASS verlassen, latent werden, während sie darauf warten, dass LSASS ihre Anfragen verarbeitet.
• Das Anzeigen eines Zuordnungstokens für einen Nutzer weist eine ungewöhnliche Latenz auf.

Die folgenden Protokollmeldungen können ebenfalls vorhanden sein, obwohl sie nicht ausschließlich auf das vorliegende Problem hinweisen. Wenn die oben genannte Latenz vorhanden ist, können sie verdächtig werden. Diese Meldungen sind in /var/log/lsassd.log auf einem Node vorhanden.

Unknown SID <SID> in file provider, trying to resolve as name
Unknown SID <SID> in NIS provider, trying to resolve as name
Unknown SID in LDAP provider, trying to resolve as name

Administratoren können auch mehr ausgehende LDAP-Abfragen an Active Directory Domain Controller als üblich beobachten.

Codeverbesserungen in 9.12+ führten zusätzliche unnötige Suchen für nicht-lokale Gruppenmitgliedschaften von Benutzern ein, die unbeabsichtigt 5-15 Sekunden Latenz pro Suche hinzufügten. Dies ist in Fällen ausgeprägter, in denen die Gruppenmitgliedschaft eines Nutzers betrachtet wird, der über eine große Anzahl von Mitgliedschaften verfügt, einschließlich derjenigen aus dem SID-Verlauf.

Ein Cluster ist möglicherweise von dem Problem bedroht, wenn die folgenden Bedingungen zutreffen:

1. Auf dem Cluster wird OneFS 9.12 oder höher ausgeführt.
2. Es sind mehrere Authentifizierungsanbieter vorhanden.
3. Es gibt eine übermäßige Anzahl von Meldungen in /var/log/lsassd.log auf betroffenen Nodes, die versuchen, externe SIDs als Namen aufzulösen.
4. Das Anzeigen eines Zuordnungstokens eines Nutzers dauert mindestens fünf Sekunden.

Es lässt sich nicht definitiv feststellen, ob das Problem bei einem Cluster auftreten kann, da dies von jeder einzelnen externen Authentifizierungsumgebung abhängt. Wenn Sie sich jedoch auf der betroffenen Codeebene befinden, ist ein Cluster zusätzlich zu den anderen oben aufgeführten Elementen einem erheblichen Risiko des Problems ausgesetzt.

Die Korrektur wird voraussichtlich veröffentlicht in:
OneFS 9.15 – Version Mitte/Ende August 2026
OneFS 9.13.1.1 – Veröffentlichung August 2026
OneFS 9.14.0.1 – derzeit verfügbar

Eine Möglichkeit, die Latenz zu reduzieren, aber nicht vollständig zu entfernen, wäre, die negative Cache-TTL und die Trefferanzahl zu reduzieren. Memcache speichert die fehlgeschlagenen Suchen für die Gruppen-SID als Nutzer zwischen, aber das wird erst nach fünf Versuchen als negativer Eintrag aufgeführt. Beachten Sie, dass die Zone> für die entsprechende Zugriffszone definiert werden muss, <auf die Sie diese Änderungen mit den entsprechenden Befehlen anwenden möchten.

HINWEIS: Stellen Sie immer sicher, dass Sie die Standardwerte für alle System- oder globalen Konfigurationen erfassen, die Sie ändern möchten, bevor Sie sie ändern, da sie je nach Cluster variieren können.

So ändern Sie die Anzahl fehlgeschlagener Lookups, die erforderlich sind, um einen Eintrag in den negativen Cache für eine bestimmte Zugriffszone zu schreiben:

# isi_gconfig registry.Services.lsass.Parameters.Zones.<zone>.NegCacheHitsThreshold=1

Wenn der obige Parameter nicht für einzelne Zugriffszonen vorhanden ist, kann derselbe Wert auch global geändert werden.

isi_gconfig registry.Services.lsass.Parameters.NegCacheHitsThreshold=1

So verlängern Sie die TTL/Lebensdauer des negativen Cacheeintrags auf vier Stunden und reduzieren so die Häufigkeit von Abfragen:

# isi zone zones modify <Zone> --negative-cache-entry-expiry=4H

Das Problem wird zwar nicht vollständig behoben, aber die oben genannten Werte, auf die die Konfiguration geändert wird, reduzieren die Häufigkeit der potenziellen Latenz auf einmal alle vier Stunden. Nach der Installation des Patches mit dem Fix für die entsprechende Codeebene können Clusteradministratoren die Werte für die oben genannten Einstellungen wieder auf die Werte zurücksetzen, die zuvor festgelegt waren.