PowerScale: OneFS: Chybějící výstrahy hlavního názvu služby (SPN) bez odpovídajícího názvu zóny SmartConnect (SCZN)
Summary: Clustery hlásí, že po převzetí služeb při selhání Superna nebo navrácení služeb po obnovení pro hlavní názvy služby (SPN), které se shodují s názvem zóny SmartConnect clusteru, chybí potřebné hlavní názvy služeb (SPN) serveru AD. ...
Symptoms
Po provedení procesu převzetí služeb při selhání / navrácení služeb Superna za účelem určení primárního clusteru PowerScale se mohou v sekundárním clusteru zobrazit následující chyby.
2.365102 10/21 09:26 I 0 729106 AD server missing needed SPN(s) HOST/eyeglasstest.example.org, HOST/eyeglasstest, nfs/eyeglasstest.example.org, nfs/eyeglasstest; try 'isi auth ads spn check EXAMPLE.ORG' 2.365089 10/21 09:11 I 0 729106 AD server missing needed SPN(s) HOST/eyeglasstest.example.org, HOST/eyeglasstest, nfs/eyeglasstest.example.org, nfs/eyeglasstest; try 'isi auth ads spn check EXAMPLE.ORG'
Po prošetření můžete zjistit, že chybějící názvy SPN nemají stejný název jako žádný z názvů síťového fondu v sekundárním clusteru.
Pokud například cluster PowerScale A zobrazuje chybějící výstrahy hlavního názvu služby (SPN):
NÁZEV CLUSTERU: clusterA
Kontrola hlavního názvu služby hlásí chybějící hlavní názvy SPN:
clusterA-1# isi auth ads spn check EXAMPLE.ORG Possible missing SPNs: HOST/eyeglasstest.example.org HOST/eyeglasstest nfs/eyeglasstest.example.org nfs/eyeglasstest Possible extra SPNs: nfs/igls-original-eyeglasstest
Žádný z názvů síťových fondů se neshoduje, jak ukazuje "isi network pools list -v". Chybějící hlavní název služby (SPN) a název síťového fondu se musí přesně shodovat. Jiné nesouvisející podobné názvy, které obsahují část chybějícího hlavního názvu služby (SPN), se nepočítají.
Síťové fondy clusteru A:
clusterA-1# isi network pools list -v ID: groupnet0.subnet0.pool0 Groupnet: groupnet0 Subnet: subnet0 Name: pool0 Rules: rule0 Access Zone: System Allocation Method: static Aggregation Mode: lacp Description: Initial 10gige-1 pool Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1, 2:10gige-agg-1, 3:10gige-agg-1, 4:10gige-agg-1, 5:10gige-agg-1, 6:10gige-agg-1 IP Ranges: 172.20.14.41-172.20.14.46 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: d8fs14.example.org SC DNS Zone Aliases: igls-ignore-vlan14.example.org SC Subnet: subnet0 SC TTL: 0 -------------------------------------------------------------------------------- ID: groupnet0.subnet1.Eyeglass_Pool Groupnet: groupnet0 Subnet: subnet1 Name: Eyeglass_Pool Rules: - Access Zone: EyeglassRunbookRobot Allocation Method: static Aggregation Mode: lacp Description: Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1 IP Ranges: 172.20.15.6-172.20.15.6 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: igls-original-eyeglasstest.example.org SC DNS Zone Aliases: igls-robot-oco.example.org SC Subnet: subnet1 SC TTL: 0 -------------------------------------------------------------------------------- ID: groupnet0.subnet1.pool0 Groupnet: groupnet0 Subnet: subnet1 Name: pool0 Rules: - Access Zone: prod Allocation Method: static Aggregation Mode: lacp Description: Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1, 2:10gige-agg-1, 3:10gige-agg-1, 4:10gige-agg-1, 5:10gige-agg-1, 6:10gige-agg-1 IP Ranges: 172.20.15.41-172.20.15.46 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: igls-original.example.org SC DNS Zone Aliases: igls-prod.example.org SC Subnet: subnet1 SC TTL: 0
Při kontrole nového primárního clusteru clusterB můžete najít název fondu SmartConnect, který odpovídá chybějícímu hlavnímu názvu služby (SPN). Jedná se o hlavní název služby (SPN), na který odkazuje výstraha v sekundárním clusteru clusterA.
NÁZEV CLUSTERU: clusterB
Produkční cluster s tímto hlavním názvem služby (SPN) + názvem fondu:
clusterB-1# isi auth ads spn list EXAMPLE.ORG | grep -i eyeglasstest SPN ---------------------------------------------------- nfs/eyeglasstest nfs/eyeglasstest.example.org HOST/eyeglasstest HOST/eyeglasstest.example.org
Název síťového fondu primárního clusteru
clusterB-1# isi network pools list -v ID: groupnet0.subnet1.Eyeglass_Pool Groupnet: groupnet0 Subnet: subnet1 Name: Eyeglass_Pool Rules: - Access Zone: EyeglassRunbookRobot Allocation Method: static Aggregation Mode: lacp Description: Used for Eyeglass test failover Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1 IP Ranges: 172.29.28.5-172.29.28.5 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: eyeglasstest.example.org <<<<<<<<<<<<<<<<<<< SC DNS Zone Aliases: igls-robot-rco.example.org SC Subnet: subnet1 SC TTL: 0
Cause
Superna používá k přidání nebo odebrání hlavních názvů služby (SPN) následující příkaz. Určují také účet počítače přidružený k hlavnímu názvu služby (SPN) v doméně AD.
2025-02-04T09:33:03,953 SSH /172.20.14.37 echo '[REDACTED]' | sudo -S -k -p "" isi auth ads spn delete EXAMPLE.ORG HOST/eyeglasstest.example.org --machine-account clusterA$ 2>&1;echo 0 2025-02-04T09:33:05,568 SSH /172.20.14.37 echo '[REDACTED]' | sudo -S -k -p "" isi auth ads spn delete EXAMPLE.ORG HOST/eyeglasstest --machine-account clusterA$ 2>&1;echo 0 2025-02-04T09:33:07,180 SSH /172.20.14.37 echo '[REDACTED]' | sudo -S -k -p "" isi auth ads spn delete EXAMPLE.ORG nfs/eyeglasstest.example.org --machine-account clusterA$ 2>&1;echo 0
Ve verzi OneFS 9.5.1.1 možnost "--machine-account" v příkazu "isi auth ads spn create/delete" nefunguje očekávaným způsobem. Příkaz s nastaveným příznakem při použití neodebere další hlavní názvy služby (SPN) ze sekundárního clusteru.
Resolution
Alternativním řešením je ruční odstranění názvů služby (SPN) z druhého clusteru, který je ovlivněn, pomocí rozhraní příkazového řádku tohoto clusteru. To je nutné provést bez možnosti "--machine-account" po převzetí služeb při selhání/navrácení služeb po obnovení Superna. Zprávy lze také bezpečně ignorovat, protože bez přiřazeného názvu fondu SmartConnect není v sekundárním clusteru potřeba chybějící hlavní název služby (SPN).
# isi auth ads spn delete <název> hlavního názvu služby --zone=<název zóny>