Isilon：FQDNを介した認証が失敗し、エラー「KRB5KRB_AP_ERR_MODIFIED」

FQDNを介した認証が失敗し、次のエラー メッセージが表示される lsassd.log:
 

このメッセージは、次のことを示しています。Isilonは、Isilonが提供する必要があるサービスの1つを要求しているクライアントを認識できません。これにより、クライアントはIsilonが認識して暗号解除できる有効なチケットを持たないため、認証がKerberosにフェールオーバーされます。

Isilon [10.17.0.154]がセッション セットアップ リクエストのためにクライアント[10.106.12.162]に「KRB5KRB_AP_ERR_MODIFIED」パケットを送り返している場合は、ネットワーク トレースを介して同じメッセージを解釈できます。


 

これにはいくつかの理由が考えられますが、最も一般的なものを以下に示します。

• フォレスト内に同じSPNを持つアカウントがあります。KDCからKRB_S_PRINCIPAL_UNKNOWNのエラーが返されることもありますが、サービス(この場合はIsilon)が暗号を解除できないため、KRB5KRB_AP_ERR_MODIFIEDを取得するKerberosチケットが返される場合があります。

• サービス プリンシパル名が間違ったActive Directoryアカウント(コンピューターまたはユーザー)にあります。これもSPNが重複している場合です。

• サービスを実行しているActive Directoryアカウントがパスワードを更新/変更し、Active Directoryレプリケーションの遅延またはActive Directoryレプリケーションの問題が原因で問題が発生しています。

ここでクライアントはFQDN「mixed.isilon.com".

次に、この試行のネットワーク トレースを見てみましょう。





1.「mixed.isilon.com」に対する適切な名前解決と、IP アドレス 10.17.0.156 (フレーム 5042 & 5049)

2 の DNS サーバーの応答が返されます。次に、マシンはドメイン コントローラーから TGT を取得します (AS-REQ と AS-REP を参照) (フレーム 5082 & 5093)

3。次に、マシンは「mixed.isilon.com」(フレーム5101および5104)のサービスチケットを要求して取得します。以下に示すように、マシンは「mixed.isilon.com」のKerberosチケットを要求していました


CNameはクライアント名を表し、SNameはサービス名

 


4を表します。その後、マシンはIsilonに戻り、ドメイン コントローラーから取得したKerberosチケット(フレーム5107および5111)を使用して認証を試みます。認証中に、IsilonはKRB5KRB_AP_ERR_MODIFIED(フレーム5111)で応答します。


手順3で確認できた場合、クライアントはレルム「ISILON.COM」からKerberosチケットを取得していますが、このシナリオではクラスターは信頼されたドメインに「CORP.COM」に結合されています。これは、ISILON.COM に登録されているSPNが重複していることを意味し 、 クラスターは 認証に CORP.COM を使用するため、Isilonはクライアントによって提示されたチケットを暗号解除できません。これにより、認証が失敗します。

重複SPN:

SPNが ISILON.COM と CORP.COM にそれぞれリストされている例 
 

信頼できるドメインと、Isilonが参加しているドメインと信頼されるドメイン上の重複SPNを確認します。

- 信頼できるドメインを確認するには、次の手順を実行します。

# isi auth ads trusts list --provider-name=<Domain name cluster is joined to>

- ドメインに存在する SPN を一覧表示するには、次のようにします。
 

重複するSPNが存在し、プライマリー ドメインのみが認証に使用されている場合は、次のKB OneFSに従ってSPNを削除します。SMBクライアントのクラスターへの認証を妨げているActive Directoryで重複するサービス プリンシパル名(SPN)を見つける方法。