Avamar: Data Domain-Tokenauthentifizierung schlägt mit einem Fehler wegen unzureichender Zugriffsrechte fehl

Backupfehler bei Verwendung der tokenbasierten Data Domain Boost-Authentifizierung

Beobachtetes Verhalten

• Der Avamar Client versucht, mithilfe eines Tokens eine Verbindung zum Data Domain-System herzustellen.
• Die Verbindung scheint hergestellt zu sein, aber das Backup wird fast sofort beendet.
• Das Client-Protokoll enthält eine Warnung mit Ergebniscode 5075 und die folgende Meldung: "the user has insufficient access rights."
• Das Backup meldet einen fehlenden /ddr_files.xml und wird als unvollständig markiert.
• Das Problem betrifft möglicherweise nur eine Teilmenge der Clients. Wenn jeder Client ausfällt, könnte das Problem anders sein.

Beispielprotokollauszüge von einem fehlerhaften Client:

avtar Info <41236>: - Connecting to Data Domain Server name "test-dd-lab3.emc.com" with token:cc343af1edf716d3de8af0ede44cc9ab2285ebce
avtar Info <19156>: - Establishing a connection via token to the Data Domain system with encryption (Connection mode: A:3 E:2)

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10542>: Data Domain server "test-dd-lab3.emc.com" open failed DDR result code: 5075, desc: the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10509>: Problem logging into the DDR server:'', only GSAN communication was enabled.
2018-02-05 08:55:44 avtar FATAL <17964>: Backup is incomplete because file "/ddr_files.xml" is missing

Fehler bei der tokenbasierten Authentifizierung aufgrund von Problemen mit der DNS- oder Netzwerkadressenübersetzung

Schlüsselbedingungen, die den Fehler auslösen

• Data Domain OS Version 5.7.1.x oder höher ist für die Tokenauthentifizierung erforderlich.
• Der Backupclient muss einen auflösbaren vollständig qualifizierten Domainnamen (FQDN) verwenden.
• Vorwärts- (Hostname → IP) und umgekehrte (IP → Hostname) DNS-Suchen für den Client müssen identische Ergebnisse auf dem Client, dem Avamar Server und dem Data Domain-System zurückgeben.
• Wenn eine Suche unterschiedlich ist oder fehlschlägt, greift der Client auf die herkömmliche Authentifizierung zurück. Die tokenbasierte Authentifizierung schlägt dann fehl mit error code 5075 ("the user has insufficient access rights").
• Clients, die sich hinter einem NAT-Gerät befinden, das die Quell-IP-Adresse umschreibt, unterbrechen die DNS-Konsistenz und verursachen denselben Fehler bei unzureichendem Zugriff.

Relevante Fehleranzeige

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights

Befestigend "the user has insufficient access rights" Fehler bei der tokenbasierten Authentifizierung.

Schritt-für-Schritt-Lösung

Führen Sie die folgenden Schritte aus, um sicherzustellen, dass die tokenbasierte Authentifizierung zwischen Avamar und Data Domain funktioniert.

• Vergewissern Sie sich, dass der Backupclient, der Avamar-Server und das Data Domain-System den vollständig qualifizierten Domainnamen (FQDN) des Clients auflösen können und dass Forward- und Reverse-Lookups identische Ergebnisse zurückgeben.
• Wenn eine Suche abweicht, korrigieren Sie die DNS-Einträge oder fügen Sie entsprechende /etc/hosts-Einträge auf den betroffenen Hosts hinzu.
• Stellen Sie sicher, dass sich der Client nicht hinter einem NAT-Gerät befindet, das seine Quell-IP-Adresse umschreibt.
• Nachdem DNS repariert wurde, führen Sie erneut ein Backup aus, um zu bestätigen, dass die Tokenauthentifizierung erfolgreich ist.
• Wenn das Problem weiterhin besteht, öffnen Sie einen Service-Request beim Dell Support und lesen Sie diesen Wissensdatenbank-Artikel.

Nslookup vom Clientcomputer: 
 

@linux-testvm1 ~]$ nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Nslookup vom Avamar-Server: 
 

admin@test-av1:~#: nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Nslookup vom Data Domain-System: 
 

SE@test-dd-lab3## net lookup linux-testvm1
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup linux-testvm1.emc.com
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup 10.46.18.11
151.18.167.136.in-addr.arpa domain name pointer linux-testvm1.emc.com.