PowerScale: OneFS: Ontbrekende SPN-meldingen zonder overeenkomende SmartConnect Zonenaam (SCZN)
Summary: Clusters melden dat de AD-server de benodigde SPN's mist na een Superna Failover of Failback for Service Principle Names (SPN) die overeenkomen met een SmartConnect-zonenaam van het cluster. ...
Symptoms
Nadat een Superna Failover/failback-proces is uitgevoerd om het primaire PowerScale cluster aan te wijzen, ziet u mogelijk de volgende fouten op het secundaire cluster.
2.365102 10/21 09:26 I 0 729106 AD server missing needed SPN(s) HOST/eyeglasstest.example.org, HOST/eyeglasstest, nfs/eyeglasstest.example.org, nfs/eyeglasstest; try 'isi auth ads spn check EXAMPLE.ORG' 2.365089 10/21 09:11 I 0 729106 AD server missing needed SPN(s) HOST/eyeglasstest.example.org, HOST/eyeglasstest, nfs/eyeglasstest.example.org, nfs/eyeglasstest; try 'isi auth ads spn check EXAMPLE.ORG'
Na onderzoek kunt u ontdekken dat de ontbrekende SPN's niet dezelfde naam hebben als de namen van de netwerkgroepen in het secundaire cluster.
Als PowerScale clusterA bijvoorbeeld de ontbrekende SPN-waarschuwingen toont:
CLUSTERNAAM: clusterA
SPN-controle rapporteert de ontbrekende SPN's:
clusterA-1# isi auth ads spn check EXAMPLE.ORG Possible missing SPNs: HOST/eyeglasstest.example.org HOST/eyeglasstest nfs/eyeglasstest.example.org nfs/eyeglasstest Possible extra SPNs: nfs/igls-original-eyeglasstest
Geen van de namen van de netwerkgroepen komt overeen, weergegeven door "isi network pools list -v." De ontbrekende SPN- en netwerkgroepnaam moeten exact overeenkomen. Andere niet-gerelateerde, vergelijkbare namen die een deel van de ontbrekende SPN bevatten, tellen niet mee.
Netwerkgroepen van clusterA:
clusterA-1# isi network pools list -v ID: groupnet0.subnet0.pool0 Groupnet: groupnet0 Subnet: subnet0 Name: pool0 Rules: rule0 Access Zone: System Allocation Method: static Aggregation Mode: lacp Description: Initial 10gige-1 pool Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1, 2:10gige-agg-1, 3:10gige-agg-1, 4:10gige-agg-1, 5:10gige-agg-1, 6:10gige-agg-1 IP Ranges: 172.20.14.41-172.20.14.46 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: d8fs14.example.org SC DNS Zone Aliases: igls-ignore-vlan14.example.org SC Subnet: subnet0 SC TTL: 0 -------------------------------------------------------------------------------- ID: groupnet0.subnet1.Eyeglass_Pool Groupnet: groupnet0 Subnet: subnet1 Name: Eyeglass_Pool Rules: - Access Zone: EyeglassRunbookRobot Allocation Method: static Aggregation Mode: lacp Description: Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1 IP Ranges: 172.20.15.6-172.20.15.6 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: igls-original-eyeglasstest.example.org SC DNS Zone Aliases: igls-robot-oco.example.org SC Subnet: subnet1 SC TTL: 0 -------------------------------------------------------------------------------- ID: groupnet0.subnet1.pool0 Groupnet: groupnet0 Subnet: subnet1 Name: pool0 Rules: - Access Zone: prod Allocation Method: static Aggregation Mode: lacp Description: Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1, 2:10gige-agg-1, 3:10gige-agg-1, 4:10gige-agg-1, 5:10gige-agg-1, 6:10gige-agg-1 IP Ranges: 172.20.15.41-172.20.15.46 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: igls-original.example.org SC DNS Zone Aliases: igls-prod.example.org SC Subnet: subnet1 SC TTL: 0
Bij het controleren van het nieuwe primaire cluster, clusterB, kunt u de SmartConnect groepsnaam vinden die overeenkomt met de ontbrekende SPN. Dit is de SPN waarnaar wordt verwezen in de waarschuwing voor het secundaire cluster, clusterA.
CLUSTERNAAM: clusterB
Productiecluster met die SPN + groepsnaam erop:
clusterB-1# isi auth ads spn list EXAMPLE.ORG | grep -i eyeglasstest SPN ---------------------------------------------------- nfs/eyeglasstest nfs/eyeglasstest.example.org HOST/eyeglasstest HOST/eyeglasstest.example.org
De naam van de netwerkgroep van het primaire cluster
clusterB-1# isi network pools list -v ID: groupnet0.subnet1.Eyeglass_Pool Groupnet: groupnet0 Subnet: subnet1 Name: Eyeglass_Pool Rules: - Access Zone: EyeglassRunbookRobot Allocation Method: static Aggregation Mode: lacp Description: Used for Eyeglass test failover Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1 IP Ranges: 172.29.28.5-172.29.28.5 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: eyeglasstest.example.org <<<<<<<<<<<<<<<<<<< SC DNS Zone Aliases: igls-robot-rco.example.org SC Subnet: subnet1 SC TTL: 0
Cause
Superna gebruikt de volgende opdracht om SPN's toe te voegen en te verwijderen. Ze geven ook het machineaccount op dat is gekoppeld aan de SPN in het AD-domein.
2025-02-04T09:33:03,953 SSH /172.20.14.37 echo '[REDACTED]' | sudo -S -k -p "" isi auth ads spn delete EXAMPLE.ORG HOST/eyeglasstest.example.org --machine-account clusterA$ 2>&1;echo 0 2025-02-04T09:33:05,568 SSH /172.20.14.37 echo '[REDACTED]' | sudo -S -k -p "" isi auth ads spn delete EXAMPLE.ORG HOST/eyeglasstest --machine-account clusterA$ 2>&1;echo 0 2025-02-04T09:33:07,180 SSH /172.20.14.37 echo '[REDACTED]' | sudo -S -k -p "" isi auth ads spn delete EXAMPLE.ORG nfs/eyeglasstest.example.org --machine-account clusterA$ 2>&1;echo 0
De optie "--machine-account" van de opdracht "isi auth ads spn create/delete", geïntroduceerd in OneFS 9.5.1.1, werkt niet zoals bedoeld. Een opdracht met de markering ingesteld verwijdert de extra SPN's niet uit het secundaire cluster wanneer deze wordt gebruikt.
Resolution
De tijdelijke oplossing is om de SPN's handmatig te verwijderen uit het tweede getroffen cluster met behulp van de CLI van dat cluster. Dit moet worden gedaan zonder de optie "--machine-account" na Superna Failover/failback. De berichten kunnen ook veilig worden genegeerd, omdat de ontbrekende SPN op het secundaire cluster niet nodig is zonder een bijbehorende SmartConnect-groepsnaam.
# isi auth ads spn delete <SPN name> --zone=<zone name>