Avamar : Échec de l’authentification par jeton Data Domain avec erreur de droits d’accès insuffisants

Échecs de sauvegarde lors de l’utilisation de l’authentification par jeton Data Domain Boost

Comportement observé

• Le client Avamar tente de se connecter au système Data Domain à l’aide d’un jeton.
• La connexion semble établie, mais la sauvegarde s’arrête presque immédiatement.
• Le journal client contient un avertissement avec le code de résultat 5075 et le message suivant : "the user has insufficient access rights."
• La sauvegarde signale une valeur manquante /ddr_files.xml et est marqué comme incomplet.
• Le problème peut n’affecter qu’un sous-ensemble de clients ; Si chaque client tombe en panne, le problème peut être différent.

Exemples d’extraits de log d’un client défaillant :

avtar Info <41236>: - Connecting to Data Domain Server name "test-dd-lab3.emc.com" with token:cc343af1edf716d3de8af0ede44cc9ab2285ebce
avtar Info <19156>: - Establishing a connection via token to the Data Domain system with encryption (Connection mode: A:3 E:2)

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10542>: Data Domain server "test-dd-lab3.emc.com" open failed DDR result code: 5075, desc: the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10509>: Problem logging into the DDR server:'', only GSAN communication was enabled.
2018-02-05 08:55:44 avtar FATAL <17964>: Backup is incomplete because file "/ddr_files.xml" is missing

Échec de l’authentification par jeton en raison de problèmes de traduction d’adresses DNS ou réseau

Principales conditions déclenchant l’erreur

• Data Domain OS version 5.7.1.x ou ultérieure est requis pour l’authentification par jeton.
• Le client de sauvegarde doit utiliser un nom de domaine complet (FQDN) pouvant être résolu.
• Les recherches DNS directes (nom d’hôte → adresse IP) et inverses (adresse IP → nom d’hôte) du client doivent renvoyer des résultats identiques sur le client, l’instance d’Avamar Server et le système Data Domain.
• Si une recherche diffère ou échoue, le client revient à l’authentification traditionnelle ; L’authentification basée sur des jetons échoue ensuite avec error code 5075 ("the user has insufficient access rights").
• Les clients situés derrière un périphérique NAT qui réécrit l’adresse IP source rompent la cohérence DNS, provoquant la même erreur d’accès insuffisant.

Indicateur d’erreur pertinent

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights

Fixage "the user has insufficient access rights" Erreur pour l’authentification basée sur un jeton.

Résolution étape par étape

Suivez ces étapes pour vous assurer que l’authentification basée sur des jetons fonctionne entre Avamar et Data Domain.

• Vérifiez que le client de sauvegarde, Avamar Server et le système Data Domain peuvent résoudre le nom de domaine complet (FQDN) du client et que les recherches directes et inversées renvoient des résultats identiques.
• Si les recherches diffèrent, corrigez les entrées DNS ou ajoutez les enregistrements /etc/hosts appropriés sur les hôtes concernés.
• Vérifiez que le client ne se trouve pas derrière un périphérique NAT qui réécrit son adresse IP source.
• Une fois le DNS corrigé, exécutez à nouveau une sauvegarde pour confirmer que l’authentification par jeton réussit.
• Si le problème persiste, ouvrez une demande de service auprès du support Dell et consultez cet article de la base de connaissances.

Nslookup à partir de la machine client : 
 

@linux-testvm1 ~]$ nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Nslookup à partir d’Avamar Server : 
 

admin@test-av1:~#: nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Nslookup à partir du système Data Domain : 
 

SE@test-dd-lab3## net lookup linux-testvm1
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup linux-testvm1.emc.com
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup 10.46.18.11
151.18.167.136.in-addr.arpa domain name pointer linux-testvm1.emc.com.