PowerScale: OneFS: Valikoiva todennus: ERROR_AUTHENTICATION_FIREWALL_FAILED

Kun Active Directory -objekteja yritetään kysellä luotetulta toimialueelta, luotettavan toimialueen PowerScale-klusteri tuottaa virheen. Tämä voi johtaa siihen, että esimerkiksi jako-oikeuksiin ja käyttöoikeusluetteloihin ei voi lisätä käyttäjäobjekteja.

Seuraavat merkinnät näkyvät lsass-lokeissa:

lsass[85427]: [lsass] Ignoring failure enumerating trusts for forest , <CustomerDomain.com> Error was ERROR_AUTHENTICATION_FIREWALL_FAILED (1935)

Tämä virhe saattaa tulla näkyviin, kun suoritat komennon isi auth mapping token käyttäjäobjektille luotetulla toimialueella:

# isi auth mapping token --user="CustomerDomain.com\\TestUserAccount"
Failed to map user 'CustomerDomain.com\TestUserAccount': No such user

Tämä virhe näkyy esimerkissä käyttäjäobjektin lisäämisestä jakamisoikeuksiin:
 

# isi smb shares permission create --share=ShareName --zone=ZoneName "CustomerDomain.com\\TestUserAccount"
Failed to create persona 'USER:CustomerDomain.com\TestUserAccount'

Pakettisieppaukset näkyvät seuraavasti:
 

347 2015-12-02 13:38:59.050609 10.29.1.61 141.119.201.2 KRB5 21 196 KRB Error: KRB5KDC_ERR_POLICY NT Status: Unknown error code 0xc0000413 0.016839

Tämä ongelma ilmenee, kun valikoiva todennus on otettu käyttöön AD-luottamussuhteissa. Valikoiva todennus on ominaisuus, jonka avulla verkkotunnuksen järjestelmänvalvoja voi hallita luottamussuhteita yksityiskohtaisesti.

Trustit voidaan todentaa seuraavasti:

https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc753821(v=ws.11)?redirectedfrom=MSDN

Vihje: Netdom tarjoaa parhaan tuloksen tämän ongelman vianmääritykseen.

Valikoiva todennus on käytössä Active Directory -toimialueiden ja luottamusobjektien asiaankuuluvissa luottamussuhteissa. Ominaisuus on kuvattu yksityiskohtaisesti alla olevissa artikkeleissa:

Trustien tietoturvanäkökohdat:

https://technet.microsoft.com/en-us/library/cc755321%28v=ws.10%29.aspx

Valikoivan todennuksen asetusten määrittäminen:

https://technet.microsoft.com/en-us/library/cc755844%28v=ws.10%29.aspx

Lisää kyseinen käyttäjä tai ryhmä kohtaan Sallittu todentaa klusteriobjektin käyttöoikeus tai poista valikoiva todennus alla olevien kilotavujen ohjeiden mukaisesti:

A TGS request for the krbtgt account fails with KDC_ERR_POLICY and an extended status of STATUS_AUTHENTICATION_FIREWALL_FAILED (0xC0000413)

https://support.microsoft.com/en-us/kb/2959395

Salli todentaa -oikeus luotettavan toimialueen tai toimialuepuuryhmän tietokoneissa:

https://technet.microsoft.com/en-us/library/cc816733%28v=ws.10%29.aspx