PowerScale OneFS: LDAP офлайн на всіх вузлах при оновленні з pre-OneFS 9.5 до 9.5
Summary: При оновленні з OneFS 9.4 або раніше до OneFS 9.5 Lightweight Directory Access Protocol (LDAP) може відображатися як офлайн, а обліковий запис, що використовується для BIND, відображається як заблокований. ...
Symptoms
При оновленні з OneFS 9.4 або раніше до OneFS 9.5 існує ймовірність, що LDAP може відображатися офлайн для всіх вузлів.
Подібні повідомлення можна побачити у /var/log/lsassd.log на заданому вузлі:
ClusterName-2(id2) lsass[6461]: [lsass] Failed to bind to LDAP server as 'BindAccount', [Error 49, Invalid credentials] ClusterName-2(id2) lsass[6461]: [lsass] Failed connect to ldap server: ldap://LDAPFQDN. Error code: 40330 (symbol: LW_ERROR_LDAP_INVALID_CREDENTIALS). Marking server as denylist.
При перевірці на стороні LDAP акаунт, що використовується для BIND, показує заблокування через надто багато невдалих спроб пароля.
Cause
У OneFS 9.5 пароль, який використовується для BIND переміщується з gconfig Ключовому менеджеру. Однак LSASS може завершити завантаження до завершення міграції, що призводить до NULL зберігається для BindPW у ключовому менеджері. Потім кластер намагається BIND до LDAP-сервера за допомогою NULL пароль.
Resolution
Розблокування акаунта на стороні LDAP, який використовується для BIND, відновлює доступ. Ця проблема не повинна впливати на майбутні оновлення коду, оскільки пароль успішно зчитується з менеджера ключів після оновлення lsass.
Оновлення до будь-якої з наступних версій OneFS має уникнути цієї проблеми, оскільки при незчитуванні з Менеджера ключів було введено аварійне повернення:
- OneFS 9.5.1.0
- OneFS 9.7.1.1
- OneFS 9.8.0.1