PowerScale: OneFS: Manglende SPN-varsler uten samsvarende SmartConnect-sonenavn (SCZN)
Summary: Klynger rapporterer at AD-serveren mangler nødvendige SPN-er etter en Superna-failover eller tilbakeføring for tjenesteprinsippnavn (SPN) som samsvarer med et hvilket som helst SmartConnect-sonenavn for klynge. ...
Symptoms
Når en Superna failover/failback-prosess er utført for å angi den primære PowerScale-klyngen, kan du se følgende feil på den sekundære klyngen.
2.365102 10/21 09:26 I 0 729106 AD server missing needed SPN(s) HOST/eyeglasstest.example.org, HOST/eyeglasstest, nfs/eyeglasstest.example.org, nfs/eyeglasstest; try 'isi auth ads spn check EXAMPLE.ORG' 2.365089 10/21 09:11 I 0 729106 AD server missing needed SPN(s) HOST/eyeglasstest.example.org, HOST/eyeglasstest, nfs/eyeglasstest.example.org, nfs/eyeglasstest; try 'isi auth ads spn check EXAMPLE.ORG'
Ved undersøkelse kan det hende at de manglende SPN-ene ikke har samme navn som noen av nettverkspoolnavnene på den sekundære klyngen.
Hvis for eksempel PowerScale-klynge A viser manglende SPN-varsler:
NAVN PÅ KLYNGE: CLUSTERA
SPN-sjekk rapporterer de manglende SPN-ene:
clusterA-1# isi auth ads spn check EXAMPLE.ORG Possible missing SPNs: HOST/eyeglasstest.example.org HOST/eyeglasstest nfs/eyeglasstest.example.org nfs/eyeglasstest Possible extra SPNs: nfs/igls-original-eyeglasstest
Ingen av navnene på nettverksutvalget samsvarer, vist ved "isi network pools list -v." Det manglende navnet på SPN og nettverksutvalget må samsvare nøyaktig. Andre ubeslektede, lignende navn som inneholder en del av den manglende SPN-en, teller ikke.
Nettverksutvalg av klyngerA:
clusterA-1# isi network pools list -v ID: groupnet0.subnet0.pool0 Groupnet: groupnet0 Subnet: subnet0 Name: pool0 Rules: rule0 Access Zone: System Allocation Method: static Aggregation Mode: lacp Description: Initial 10gige-1 pool Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1, 2:10gige-agg-1, 3:10gige-agg-1, 4:10gige-agg-1, 5:10gige-agg-1, 6:10gige-agg-1 IP Ranges: 172.20.14.41-172.20.14.46 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: d8fs14.example.org SC DNS Zone Aliases: igls-ignore-vlan14.example.org SC Subnet: subnet0 SC TTL: 0 -------------------------------------------------------------------------------- ID: groupnet0.subnet1.Eyeglass_Pool Groupnet: groupnet0 Subnet: subnet1 Name: Eyeglass_Pool Rules: - Access Zone: EyeglassRunbookRobot Allocation Method: static Aggregation Mode: lacp Description: Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1 IP Ranges: 172.20.15.6-172.20.15.6 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: igls-original-eyeglasstest.example.org SC DNS Zone Aliases: igls-robot-oco.example.org SC Subnet: subnet1 SC TTL: 0 -------------------------------------------------------------------------------- ID: groupnet0.subnet1.pool0 Groupnet: groupnet0 Subnet: subnet1 Name: pool0 Rules: - Access Zone: prod Allocation Method: static Aggregation Mode: lacp Description: Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1, 2:10gige-agg-1, 3:10gige-agg-1, 4:10gige-agg-1, 5:10gige-agg-1, 6:10gige-agg-1 IP Ranges: 172.20.15.41-172.20.15.46 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: igls-original.example.org SC DNS Zone Aliases: igls-prod.example.org SC Subnet: subnet1 SC TTL: 0
Når du kontrollerer den nye primærklyngen, clusterB, kan du finne navnet på SmartConnect-utvalget som samsvarer med den manglende SPN-en. Dette er SPN-en det refereres til i varselet på den sekundære klyngen, clusterA.
KLYNGENAVN: klynge B
Produksjonsklynge som har SPN + bassengnavn:
clusterB-1# isi auth ads spn list EXAMPLE.ORG | grep -i eyeglasstest SPN ---------------------------------------------------- nfs/eyeglasstest nfs/eyeglasstest.example.org HOST/eyeglasstest HOST/eyeglasstest.example.org
Navnet på nettverksutvalget til primærklyngen
clusterB-1# isi network pools list -v ID: groupnet0.subnet1.Eyeglass_Pool Groupnet: groupnet0 Subnet: subnet1 Name: Eyeglass_Pool Rules: - Access Zone: EyeglassRunbookRobot Allocation Method: static Aggregation Mode: lacp Description: Used for Eyeglass test failover Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1 IP Ranges: 172.29.28.5-172.29.28.5 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: eyeglasstest.example.org <<<<<<<<<<<<<<<<<<< SC DNS Zone Aliases: igls-robot-rco.example.org SC Subnet: subnet1 SC TTL: 0
Cause
Superna bruker følgende kommando til å legge til og fjerne SPN-er. De angir også maskinkontoen som er knyttet til SPN-en i AD-domenet.
2025-02-04T09:33:03,953 SSH /172.20.14.37 echo '[REDACTED]' | sudo -S -k -p "" isi auth ads spn delete EXAMPLE.ORG HOST/eyeglasstest.example.org --machine-account clusterA$ 2>&1;echo 0 2025-02-04T09:33:05,568 SSH /172.20.14.37 echo '[REDACTED]' | sudo -S -k -p "" isi auth ads spn delete EXAMPLE.ORG HOST/eyeglasstest --machine-account clusterA$ 2>&1;echo 0 2025-02-04T09:33:07,180 SSH /172.20.14.37 echo '[REDACTED]' | sudo -S -k -p "" isi auth ads spn delete EXAMPLE.ORG nfs/eyeglasstest.example.org --machine-account clusterA$ 2>&1;echo 0
Alternativet "--machine-account" fra kommandoen "isi auth ads spn create/delete", som ble introdusert i OneFS 9.5.1.1, fungerer ikke som det skal. En kommando med flaggsettet fjerner ikke de ekstra SPN-ene fra den sekundære klyngen når den brukes.
Resolution
Den midlertidige løsningen er å slette SPN-ene manuelt fra den andre klyngen som berøres ved hjelp av klyngens CLI. Dette må gjøres uten alternativet "--machine-account" etter Superna failover/failback. Meldingene kan også ignoreres på en sikker måte, siden det ikke er behov for den manglende SPN-en på den sekundære klyngen uten et tilknyttet SmartConnect-utvalgsnavn.
# isi auth ads spn delete <SPN name> --zone=<zone name>