Avamar: Falha na autenticação de token do Data Domain com erro de direitos de acesso insuficientes

Falhas de backup ao usar a autenticação baseada em token do Data Domain Boost

Comportamento observado

• O Avamar Client tenta se conectar ao sistema Data Domain usando um token.
• A conexão parece estar estabelecida, mas o backup é encerrado quase imediatamente.
• O log do client contém uma advertência com o código de resultado 5075 e a mensagem "the user has insufficient access rights."
• O backup relata um problema ausente /ddr_files.xml e é marcado como incompleto.
• O problema pode afetar apenas um subconjunto de clients; Se cada cliente falhar, o problema pode ser diferente.

Exemplos de trechos de log de um client com falha:

avtar Info <41236>: - Connecting to Data Domain Server name "test-dd-lab3.emc.com" with token:cc343af1edf716d3de8af0ede44cc9ab2285ebce
avtar Info <19156>: - Establishing a connection via token to the Data Domain system with encryption (Connection mode: A:3 E:2)

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10542>: Data Domain server "test-dd-lab3.emc.com" open failed DDR result code: 5075, desc: the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10509>: Problem logging into the DDR server:'', only GSAN communication was enabled.
2018-02-05 08:55:44 avtar FATAL <17964>: Backup is incomplete because file "/ddr_files.xml" is missing

Falha na autenticação baseada em token devido a problemas de DNS ou de conversão de endereços de rede

Principais condições que acionam o erro

• A versão 5.7.1.x ou posterior do sistema operacional Data Domain é necessária para autenticação de token.
• O client de backup deve usar um nome de domínio totalmente qualificado (FQDN) que possa ser resolvido.
• As pesquisas de DNS direta (nome do host → IP) e inversa (IP → nome do host) para o client devem retornar resultados idênticos no client, no Avamar Server e no sistema Data Domain.
• Se qualquer pesquisa for diferente ou falhar, o client retornará à autenticação tradicional; Em seguida, a autenticação baseada em token falha com error code 5075 ("the user has insufficient access rights").
• Os clients localizados atrás de um dispositivo NAT que regrava o endereço IP de origem quebram a consistência do DNS, causando o mesmo erro de acesso insuficiente.

Indicador de erro relevante

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights

Fixação "the user has insufficient access rights" Erro para autenticação baseada em token.

Resolução passo a passo

Siga estas etapas para garantir que a autenticação baseada em token funcione entre o Avamar e o Data Domain.

• Confirme se o client de backup, o Avamar Server e o sistema Data Domain podem resolver o FQDN (Fully Qualified Domain Name, nome de domínio totalmente qualificado) do client e se as pesquisas direta e inversa retornam resultados idênticos.
• Se alguma pesquisa for diferente, corrija as entradas do DNS ou adicione registros /etc/hosts apropriados nos hosts afetados.
• Verifique se o client não está atrás de um dispositivo NAT que regrava seu endereço IP de origem.
• Depois que o DNS for corrigido, execute novamente um backup para confirmar se a autenticação do token foi bem-sucedida.
• Se o problema persistir, abra um chamado junto ao Suporte Dell e consulte este artigo da KB.

Nslookup da máquina client: 
 

@linux-testvm1 ~]$ nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Nslookup do Avamar Server: 
 

admin@test-av1:~#: nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Nslookup do sistema Data Domain: 
 

SE@test-dd-lab3## net lookup linux-testvm1
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup linux-testvm1.emc.com
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup 10.46.18.11
151.18.167.136.in-addr.arpa domain name pointer linux-testvm1.emc.com.