Isilon: Ověřování přes plně kvalifikovaný název domény se nezdaří, chyba "KRB5KRB_AP_ERR_MODIFIED"

Ověřování přes plně kvalifikovaný název domény se nezdaří a zobrazí se následující chybová zpráva v lsassd.log:
 

Tato zpráva označuje, že; Společnost Isilon nerozpozná klienta, který požaduje některou ze služeb, které Isilon nabízí. To způsobí, že ověřování bude převzato protokolem Kerberos při selhání, protože klient neobdrží platný tiket, který by řešení Isilon dokázalo rozpoznat a dešifrovat. 

Stejnou zprávu lze interpretovat přes trasování sítě, když vidíte, že řešení Isilon [10.17.0.154] odesílá paket "KRB5KRB_AP_ERR_MODIFIED" zpět klientovi [10.106.12.162] pro požadavek na nastavení relace:


 

K tomu může dojít z několika důvodů, ale nejčastější jsou uvedeny níže:

• V doménové struktuře existuje účet se stejným hlavním názvem služby (SPN). Někdy vám KDC vrátí chybu KRB_S_PRINCIPAL_UNKNOWN, ale existují případy, kdy vydá lístek Kerberos, že služba [v našem případě je to Isilon] nemůže dešifrovat, a proto získá KRB5KRB_AP_ERR_MODIFIED.

• Hlavní název služby je na nesprávném účtu služby Active Directory (počítač nebo uživatel). Opět se jedná o duplicitní hlavní název služby (SPN).

• Účet služby Active Directory, na kterém je služba spuštěna, aktualizoval/změnil své heslo a k problému dochází kvůli problému s latencí replikace služby Active Directory nebo replikací služby Active Directory.

Zde se klient pokouší o přístup ke sdílené složce Isilon pomocí názvu FQDN "mixed.isilon.com".

Nyní se podívejme na trasování sítě tohoto pokusu.


 


1. Vidíme správný překlad názvů pro "mixed.isilon.com" a odpověď serveru DNS zpět s IP adresou 10.17.0.156 (rámce 5042 a 5049)

2. Počítač pak získá TGT z řadiče domény (viz AS-REQ a AS-REP) (rámce 5082 a 5093)

3. Stroj si poté vyžádá a obdrží servisní lístek pro "mixed.isilon.com" (snímky 5101 a 5104). Jak můžete vidět níže, počítač žádal o lístek Kerberos "mixed.isilon.com"


CName je název klienta a SName je název služby




4.  Zařízení se poté vrátí do řešení Isilon a pokusí se ověřit pomocí lístku Kerberos, který právě získalo z řadiče domény (rámce 5107 a 5111). Během ověřování systém Isilon odpoví KRB5KRB_AP_ERR_MODIFIED (rámec 5111).


Pokud se zobrazí krok 3, klient získává lístek protokolu Kerberos z sféry "ISILON.COM", když je cluster připojený ke své důvěryhodné doméně, v tomto scénáři do "CORP.COM". To znamená, že v ISILON.COM je zaregistrován duplicitní hlavní název služby (SPN) a Isilon nemůže dešifrovat lístek prezentovaný klientem, protože cluster používá k ověření CORP.COM . To způsobí selhání ověřování.

Příklad přítomnosti duplicitních hlavních čísel služby (SPN)

uvedených v ISILON.COM a CORP.COM v uvedeném pořadí. 
 

Zkontrolujte důvěryhodné domény a duplicitní hlavní názvy služby v doméně, ke které je systém Isilon připojen, a v důvěryhodné doméně:

Kontrola důvěryhodných domén:

# isi auth ads trusts list --provider-name=<Domain name cluster is joined to>

- Zobrazení seznamu hlavních názvů (SPN) přítomných v doméně:
 

Pokud jsou k dispozici duplicitní hlavní názvy služeb (SPN) a k ověřování se používá pouze primární doména, odstraňte hlavní název služby (SPN) podle článku znalostní databáze OneFS: Jak najít duplicitní hlavní názvy služeb (SPN) ve službě Active Directory, které brání klientům SMB v ověřování v clusteru.