Avamar: Data Domain Token-autentisering misslyckas med otillräcklig åtkomstbehörighet fel

Säkerhetskopieringsfel vid användning av Data Domain Boost-tokenbaserad autentisering

Observerat beteende

• Avamar-klienten försöker ansluta till Data Domain-systemet med hjälp av en token.
• Anslutningen verkar vara upprättad, men säkerhetskopieringen avslutas nästan omedelbart.
• Klientloggen innehåller en varning med resultatkod 5075 och meddelandet "the user has insufficient access rights."
• Säkerhetskopian rapporterar en saknad /ddr_files.xml och är markerad som ofullständig.
• Problemet kan endast påverka en delmängd av klienterna. Om alla klienter misslyckas kan problemet vara annorlunda.

Exempel på loggutdrag från en misslyckad klient:

avtar Info <41236>: - Connecting to Data Domain Server name "test-dd-lab3.emc.com" with token:cc343af1edf716d3de8af0ede44cc9ab2285ebce
avtar Info <19156>: - Establishing a connection via token to the Data Domain system with encryption (Connection mode: A:3 E:2)

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10542>: Data Domain server "test-dd-lab3.emc.com" open failed DDR result code: 5075, desc: the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10509>: Problem logging into the DDR server:'', only GSAN communication was enabled.
2018-02-05 08:55:44 avtar FATAL <17964>: Backup is incomplete because file "/ddr_files.xml" is missing

Tokenbaserat autentiseringsfel på grund av problem med DNS- eller nätverksadressöversättning

Viktiga villkor som utlöser felet

• Data Domain OS version 5.7.1.x eller senare krävs för tokenautentisering.
• Säkerhetskopieringsklienten måste använda ett matchningsbart fullständigt kvalificerat domännamn (FQDN).
• DNS-sökningar för vidarebefordran (värdnamn → IP) och bakåt (IP → värdnamn) för klienten måste returnera identiska resultat på klienten, Avamar-servern och Data Domain-systemet.
• Om någon sökning skiljer sig åt eller misslyckas återgår klienten till traditionell autentisering. Tokenbaserad autentisering misslyckas sedan med error code 5075 ("the user has insufficient access rights").
• Klienter som finns bakom en NAT-enhet som skriver om källans IP-adress bryter DNS-konsekvensen, vilket orsakar samma fel med otillräcklig åtkomst.

Relevant felindikator

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights

Fastställande "the user has insufficient access rights" Fel för tokenbaserad autentisering.

Steg-för-steg-lösning

Följ dessa steg för att säkerställa att tokenbaserad autentisering fungerar mellan Avamar och Data Domain.

• Bekräfta att säkerhetskopieringsklienten, Avamar-servern och Data Domain-systemet kan matcha klientens fullständigt kvalificerade domännamn (FQDN) och att vanlig och omvänd sökning returnerar identiska resultat.
• Om någon sökning skiljer sig åt korrigerar du DNS-posterna eller lägger till lämpliga /etc/hosts-poster på de berörda värdarna.
• Kontrollera att klienten inte finns bakom en NAT-enhet som skriver om källans IP-adress.
• När DNS har åtgärdats kör du en säkerhetskopia igen för att bekräfta att tokenautentiseringen lyckas.
• Om problemet kvarstår öppnar du en tjänstebegäran hos Dells support och läser denna KB.

Nslookup från klientdatorn: 
 

@linux-testvm1 ~]$ nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Nslookup från Avamar-servern: 
 

admin@test-av1:~#: nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Nslookup från Data Domain-systemet: 
 

SE@test-dd-lab3## net lookup linux-testvm1
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup linux-testvm1.emc.com
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup 10.46.18.11
151.18.167.136.in-addr.arpa domain name pointer linux-testvm1.emc.com.