PowerScale: OneFS: Manglende SPN-advarsler uden matchende SmartConnect-zonenavn (SCZN)
Summary: Klynger rapporterer, at AD-serveren mangler nødvendige SPN'er efter en Superna Failover eller Failback for Service Principle Names (SPN), der matcher ethvert klynge SmartConnect-zonenavn. ...
Symptoms
Når en Superna failover-/failback-proces er udført for at udpege den primære PowerScale-klynge, kan du få vist følgende fejl på den sekundære klynge.
2.365102 10/21 09:26 I 0 729106 AD server missing needed SPN(s) HOST/eyeglasstest.example.org, HOST/eyeglasstest, nfs/eyeglasstest.example.org, nfs/eyeglasstest; try 'isi auth ads spn check EXAMPLE.ORG' 2.365089 10/21 09:11 I 0 729106 AD server missing needed SPN(s) HOST/eyeglasstest.example.org, HOST/eyeglasstest, nfs/eyeglasstest.example.org, nfs/eyeglasstest; try 'isi auth ads spn check EXAMPLE.ORG'
Ved en undersøgelse kan du opdage, at de manglende SPN'er ikke er det samme navn som nogen af netværkspuljenavnene på den sekundære klynge.
Hvis PowerScale clusterA f.eks. viser de manglende SPN-advarsler:
KLYNGENAVN: clusterA
SPN-kontrol rapporterer de manglende SPN'er:
clusterA-1# isi auth ads spn check EXAMPLE.ORG Possible missing SPNs: HOST/eyeglasstest.example.org HOST/eyeglasstest nfs/eyeglasstest.example.org nfs/eyeglasstest Possible extra SPNs: nfs/igls-original-eyeglasstest
Ingen af netværkspuljenavnene stemmer overens, vist med "isi network pools list -v." Det manglende SPN- og netværkspuljenavn skal være nøjagtigt matchende. Andre ikke-relaterede, lignende navne, der indeholder en del af det manglende SPN, tæller ikke med.
Netværkspuljer i klyngeA:
clusterA-1# isi network pools list -v ID: groupnet0.subnet0.pool0 Groupnet: groupnet0 Subnet: subnet0 Name: pool0 Rules: rule0 Access Zone: System Allocation Method: static Aggregation Mode: lacp Description: Initial 10gige-1 pool Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1, 2:10gige-agg-1, 3:10gige-agg-1, 4:10gige-agg-1, 5:10gige-agg-1, 6:10gige-agg-1 IP Ranges: 172.20.14.41-172.20.14.46 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: d8fs14.example.org SC DNS Zone Aliases: igls-ignore-vlan14.example.org SC Subnet: subnet0 SC TTL: 0 -------------------------------------------------------------------------------- ID: groupnet0.subnet1.Eyeglass_Pool Groupnet: groupnet0 Subnet: subnet1 Name: Eyeglass_Pool Rules: - Access Zone: EyeglassRunbookRobot Allocation Method: static Aggregation Mode: lacp Description: Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1 IP Ranges: 172.20.15.6-172.20.15.6 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: igls-original-eyeglasstest.example.org SC DNS Zone Aliases: igls-robot-oco.example.org SC Subnet: subnet1 SC TTL: 0 -------------------------------------------------------------------------------- ID: groupnet0.subnet1.pool0 Groupnet: groupnet0 Subnet: subnet1 Name: pool0 Rules: - Access Zone: prod Allocation Method: static Aggregation Mode: lacp Description: Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1, 2:10gige-agg-1, 3:10gige-agg-1, 4:10gige-agg-1, 5:10gige-agg-1, 6:10gige-agg-1 IP Ranges: 172.20.15.41-172.20.15.46 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: igls-original.example.org SC DNS Zone Aliases: igls-prod.example.org SC Subnet: subnet1 SC TTL: 0
Når du kontrollerer den nye primære klynge, klyngeB, kan du finde navnet på SmartConnect-puljen, der svarer til det manglende SPN. Dette er det SPN, der refereres til i advarslen om den sekundære klynge, klyngeA.
KLYNGENAVN: clusterB
Produktionsklynge, der indeholder SPN + puljenavnet:
clusterB-1# isi auth ads spn list EXAMPLE.ORG | grep -i eyeglasstest SPN ---------------------------------------------------- nfs/eyeglasstest nfs/eyeglasstest.example.org HOST/eyeglasstest HOST/eyeglasstest.example.org
Navnet på den primære klynges netværkspulje
clusterB-1# isi network pools list -v ID: groupnet0.subnet1.Eyeglass_Pool Groupnet: groupnet0 Subnet: subnet1 Name: Eyeglass_Pool Rules: - Access Zone: EyeglassRunbookRobot Allocation Method: static Aggregation Mode: lacp Description: Used for Eyeglass test failover Firewall Policy: default_pools_policy Ifaces: 1:10gige-agg-1 IP Ranges: 172.29.28.5-172.29.28.5 IPv6 Perform DAD: No Rebalance Policy: auto SC Failover Policy: round_robin Static Routes: - NFSv3 RDMA RRoCE only: No SC Suspended Nodes: - SC Connect Policy: round_robin SC Zone: eyeglasstest.example.org <<<<<<<<<<<<<<<<<<< SC DNS Zone Aliases: igls-robot-rco.example.org SC Subnet: subnet1 SC TTL: 0
Cause
Superna bruger følgende kommando til at tilføje og fjerne SPN er. De angiver også den computerkonto, der er knyttet til SPN i AD-domænet.
2025-02-04T09:33:03,953 SSH /172.20.14.37 echo '[REDACTED]' | sudo -S -k -p "" isi auth ads spn delete EXAMPLE.ORG HOST/eyeglasstest.example.org --machine-account clusterA$ 2>&1;echo 0 2025-02-04T09:33:05,568 SSH /172.20.14.37 echo '[REDACTED]' | sudo -S -k -p "" isi auth ads spn delete EXAMPLE.ORG HOST/eyeglasstest --machine-account clusterA$ 2>&1;echo 0 2025-02-04T09:33:07,180 SSH /172.20.14.37 echo '[REDACTED]' | sudo -S -k -p "" isi auth ads spn delete EXAMPLE.ORG nfs/eyeglasstest.example.org --machine-account clusterA$ 2>&1;echo 0
Indstillingen "--machine-account", der blev introduceret i OneFS 9.5.1.1, fra kommandoen "isi auth ads spn create/delete" virker ikke efter hensigten. En kommando med flaget indstillet fjerner ikke de ekstra SPN er fra den sekundære klynge, når den bruges.
Resolution
Løsningen er manuelt at slette SPN'erne fra den anden klynge, der påvirkes ved hjælp af klyngens CLI. Dette skal gøres uden indstillingen "--machine-account" efter Superna Failover/Failback. Meddelelserne kan også ignoreres sikkert, da der ikke er behov for det manglende SPN på den sekundære klynge uden et tilknyttet SmartConnect-gruppenavn.
# isi auth ads spn slette <SPN navn> --zone =< zone navn>