PowerScale OneFS：同じドメインへの参加を試行した後にActive Directoryプロバイダーが見つからない

クラスターがすでに参加しているADプロバイダーと同じ名前でAD参加を実行した後、プロバイダーが見つからない場合があります。管理者には、参加の試行に関連するエラーが表示される場合がありますが、このエラーは原因によって異なる場合があります

以下の例では、プロバイダーの問題を再現します TESTDOMAIN.LOCAL 誤ったアカウントを使用して参加を容易にする。

出力元 isi auth status と isi auth ads list -v コマンドを実行する前に、プロバイダーが存在することを示します。

corebuddy-1# isi auth status
ID                                            Active Server                Status
----------------------------------------------------------------------------------
lsa-activedirectory-provider:TESTDOMAIN.LOCAL winserv2019.testdomain.local online
lsa-activedirectory-provider:DOMAIN2.LOCAL    domain2DC1.domain2.local     online
lsa-local-provider:System                     -                            active
lsa-local-provider:test                       -                            active
lsa-local-provider:domain2                    -                            active
lsa-file-provider:System                      -                            active
----------------------------------------------------------------------------------
Total: 6

corebuddy-1# isi auth ads list -v | grep -i testdomain
                     Name: TESTDOMAIN.LOCAL
           Primary Domain: TESTDOMAIN.LOCAL
                   Forest: testdomain.local
           NetBIOS Domain: TESTDOMAIN
                 Hostname: corebuddy.testdomain.local

以下では、コマンドを実行します。誤ったユーザー名が表示されています(この例では、管理者アカウントではなく「Administrators」のグループ名を使用しています)。

corebuddy-1# isi auth ads create --name=TESTDOMAIN.LOCAL --user=administrators
password:
Failed to join domain 'TESTDOMAIN.LOCAL' account 'corebuddy' user 'administrators@TESTDOMAIN.LOCAL': (LW_ERROR_KRB5KDC_ERR_C_PRINCIPAL_UNKNOWN) Client not found in Kerberos database

現在、プロバイダーが見つかりません。WebUIでは、これはスタイルなしとして表示される場合がありますが、CLIでは isi auth statusの詳細を確認してください。

orebuddy-1# isi auth status
ID                                         Active Server            Status
---------------------------------------------------------------------------
lsa-activedirectory-provider:DOMAIN2.LOCAL domain2DC1.domain2.local online
lsa-local-provider:System                  -                        active
lsa-local-provider:test                    -                        active
lsa-local-provider:domain2                 -                        active
lsa-file-provider:System                   -                        active
---------------------------------------------------------------------------
Total: 5

isi auth statusは他の理由でプロバイダーが見つからないことを示している可能性があるため、これをさらに検証する必要があります。コマンド isi auth ads list -v プロバイダーに一致する出力が表示されません TESTDOMAIN.LOCAL を参照してください。これは、欠落しているドメインに一致するエントリーが設定に含まれていないことを意味します。

corebuddy-1# isi auth ads list -v |grep -i test
corebuddy-1#

LSASSログには、初期コマンドの実行時に発生した同様のエラーが表示されます。

2024-06-11T21:25:21.298318+00:00 <30.4> corebuddy-1(id1) lsass[5467]: [LwKrb5GetTgtImpl /b/mnt/src/isilon/fsp/lwadvapi/threaded/krbtgt.c:247] KRB5 Error code: -1765328378 (Message: Client 'administrators@TESTDOMAIN.LOCAL' not found in Kerberos database)
2024-06-11T21:25:21.299207+00:00 <30.4> corebuddy-1(id1) lsass[5467]: [lsass] Error occurred while joining domain: Error code: 41737 (symbol: LW_ERROR_KRB5KDC_ERR_C_PRINCIPAL_UNKNOWN)

上記のシナリオは、誤った認証情報の使用に限定されません。ADプロバイダーへの参加に失敗する原因となる条件が存在する場合、障害によってプロバイダーが削除されます。たとえば、コンピューター アカウントに同じ名前がフォレスト内の他の場所または信頼されたドメインで使用されている場合、エラーが発生します。唯一の違いは、表示されるエラーです。

すでに参加しているドメインに対してAD参加を実行すると、失敗を誘発する条件が存在すると、ADプロバイダーが削除されます。これは設計によるもので、OneFSはこれを「再参加」の試行として扱います。障害が発生すると、指定された認証プロバイダーに関連する構成がすべて削除されます。

corebuddy-1# isi auth status
ID                                         Active Server            Status
---------------------------------------------------------------------------
lsa-activedirectory-provider:DOMAIN2.LOCAL domain2DC1.domain2.local online
lsa-local-provider:System                  -                        active
lsa-local-provider:test                    -                        active
lsa-local-provider:domain2                 -                        active
lsa-file-provider:System                   -                        active
---------------------------------------------------------------------------
Total: 5

認証プロバイダーの名前はグローバルであるため、同じ名前のプロバイダーを 2 つ持つことはサポートされていません。参加操作を妨げるような未解決の条件が他に存在しない場合は、ドメインに再参加することで問題が解決します

別のマシン アカウントを使用して同じ AD ドメイン プロバイダーに参加する必要がある場合は、マルチインスタンス化機能を使用する必要があります。これについては、OneFS管理ガイドの「ゾーン固有の認証プロバイダー」セクションで詳しく説明します。アクセスをリストアするためには、再度参加したADプロバイダーを以前にそのプロバイダーがあったアクセス ゾーンに追加し直す必要があることに注意してください

OneFSのバージョンに関するドキュメントについては、記事「PowerScale OneFS情報ハブ 」を参照してください。