PowerScale: OneFS: Sådan oprettes SPN-konti for at tillade Kerberos-godkendelse ved hjælp af SmartConnect DNS-poster

Procedure

Hvis du vil understøtte flere Kerberos-billetter, skal du registrere yderligere SPN-konti (tjenestens hovednavn) for klyngecomputeren på Active Directory-domænet. Du kan gøre dette ved hjælp af kommandoen isi auth . Denne handling udføres ikke automatisk, da det kræver en administratorkonto på Active Directory-domænet.

For hvert DNS-navn skal der oprettes to SPN-poster.

Sådan registreres SPN-konti:

1. Kør følgende kommando fra kommandolinjen for at få vist en liste over SmartConnect-zoner, der er konfigureret på klyngen:

   isi networks list pools

2. Kør følgende kommando for at få vist de SPN-navne, der er registreret, og erstat <DNS-domænet> med det fulde domænenavn på DNS-domænet:

   isi auth ads spn list --domain=<DNS domain>

3. Sammenlign listen over SmartConnect-zoner med listen over SPN-navne for at bestemme, hvilke SPN-konti der skal registreres.
    

   Hvis du f.eks. har en SmartConnect-zone med navnet dnsnl.domain.local, skal du kontrollere SPN-listen for at se, om der er poster for det pågældende DNS-navn. Der skal være to poster for hver SPN-konto, der er registreret i Active Directory-domænet

4. Hvis de påkrævede SPN-kontoposter ikke findes, skal du køre følgende kommandoer for at tilføje dem. Hvor< Administrator> er en brugerkonto, der har administratorrettigheder til domænet, er cluster.domain.local> det DNS-navn, der bruges til at oprette forbindelse til klyngen,< og <domænenavnet> er den fuldt kvalificerede DNS-server:

   isi auth ads spn create --user=<Administrator> --spn=cifs/<cluster.domain.local> --domain=<domain name>
   isi auth ads spn create --user=<Administrator> --spn=host/<cluster.domain.local> --domain=<domain name>

    

   VIGTIG!
   Du skal angive et AD-administratorbrugernavn, når du tilføjer SPN'erne. Hvis du ikke gør det, vil du modtage følgende fejl:

   Ldap-fejl: Attributten kunne ikke ændres[19]

   Når du har kørt kommandoen, bliver du bedt om at indtaste administratoradgangskoden.
   
   

5. Kør følgende kommando for at bekræfte, at de SPN-konti, du har oprettet, nu vises:

   isi auth ads spn list --domain=<DNS domain>

Yderligere oplysninger

Du kan også fjerne eksisterende SPN-konti ved hjælp af kommandoen isi auth .

Hvis du vil fjerne SPN-konti, skal du køre følgende kommandoer, erstatte <Administrator> med en brugerkonto, der har administratorrettigheder til domænet, og erstatte <cluster.domain.local> med DNS-navnet med det navn, du vil fjerne:

isi auth ads spn delete --user=<Administrator> --spn=cifs/<cluster.domain.local>
isi auth ads spn delete --user=<Administrator> --spn=host/<cluster.domain.local>