PowerScale : L’heure sur le cluster n’est pas synchronisée avec Active Directory

• Les clients Windows ne peuvent pas s’authentifier auprès du cluster.
• Des alertes concernant les erreurs de synchronisation horaire sont envoyées.
• La commande /var/log/messages Le fichier contient des entrées semblables à ce qui suit :
   

  2014-04-07T04:15:01-03:00 <4.5> example-1(id1) lsass[60726]: GSSAPI Error: Unspecified GSS failure. Minor code may provide more information (Clock skew too great)
  2014-04-07T07:41:28-03:00 <30.3> example-3(id3) lsass[59264]: [lsass] Resetting schannel due to status STATUS_TIME_DIFFERENCE_AT_DC (0xc0000133) while authenticating user 'LAB\jdoe'
  2014-04-07T07:41:28-03:00 <30.3> example-3(id3) lsass[59264]: [lsass] AD_NetrlogonOpenSchannel(dc1.example.com) failed with 3221225779 (0xc0000133) (symbol: 'STATUS_TIME_DIFFERENCE_AT_DC')
  2014-04-07T07:41:28-03:00 <30.3> example-3(id3) lsass[59264]: [lsass] Network error connecting to EXAMPLE.COM. Error code: 40134 (symbol: LW_ERROR_RPC_ERROR)
  2014-04-07T07:41:28-03:00 <30.5> example-3(id3) lsass[59264]: [lsass] Domain 'example.com' is now offline

Dans OneFS, la synchronisation horaire est gérée de deux façons :

• Synchronisation de l’heure interne (au sein des nœuds de cluster)

• Synchronisation de l’heure externe (en dehors du cluster)

Lorsqu’un cluster rejoint un domaine AD, il utilise Server Messenger Block (SMB) pour la synchronisation de l’heure externe par défaut, à la seconde près. En interne, le protocole NTP (Network Time Protocol) gère la synchronisation de l’heure avec une précision de l’ordre de la milliseconde.

Pour éviter des corrections temporelles importantes lors de la synchronisation avec un contrôleur de domaine AD, configurez le contrôleur afin qu’il utilise NTP au lieu de SMB pour une plus grande précision. Des ajustements importants peuvent entraîner des problèmes de performances, tels que des tickets Kerberos qui semblent expirés et déclenchent des erreurs d’authentification.

Vérifiez l’écart d’heure entre le cluster et les domaines :

Exécutez les commandes ci-dessous pour vérifier la date et l’heure sur les nœuds et les contrôleurs de domaine :

Vérifiez que la synchronisation horaire est correctement configurée :

Effectuez toutes les étapes ci-dessous pour configurer les contrôleurs de domaine AD et vous assurer que le cluster se synchronise correctement avec les contrôleurs AD.

Configurez NTP sur les serveurs Active Directory :

Pour Windows 2003 - 2012 Server, configurez NTP pour qu’il pointe vers vos serveurs NTP. Pour plus d’informations, reportez-vous à la page Outils et paramètres des services de temps Windows sur le site Web Microsoft TechNet.

NOTE
Assurez-vous que deux contrôleurs de domaine AD sont disponibles pour la redondance si l’un d’eux devient inaccessible. L’heure doit suivre une hiérarchie précise, provenant soit de serveurs NTP publics, soit d’une source interne telle qu’un système équipé d’un GPS.

Vérifiez que les contrôleurs de domaine AD prennent en charge NTP et que NTP n’est pas bloqué par un pare-feu ou d’autres paramètres :

1. Ouvrez une connexion SSH sur n’importe quel nœud du cluster et connectez-vous à l’aide du compte « root ».

2. Exécutez les commandes suivantes, où <ipaddr1> et <ipaddr2> sont les adresses IP des premier et deuxième contrôleurs de domaine AD :

Si les contrôleurs de domaine AD prennent en charge NTP, le résultat de chaque commande ressemble à ce qui suit :

Si les contrôleurs de domaine AD ne prennent pas en charge le protocole NTP, le résultat ressemble à ce qui suit. Dans ce cas, vous devez contacter l’administrateur de domaine pour obtenir de l’aide.

Définissez l’heure sur le cluster pour qu’elle corresponde à l’heure sur le contrôleur de domaine AD :

1. Ouvrez une connexion SSH sur n’importe quel nœud du cluster et connectez-vous à l’aide du compte « root ».
2. Exécutez la commande suivante, dans laquelle <ippaddr1> est l’adresse IP du contrôleur de domaine AD avec lequel vous souhaitez que le cluster se synchronise :

Le résultat ressemble à ce qui suit :

Supprimez le fichier ntp.drift :

La commande ntp.drift file est un enregistrement de la dérive de l’horloge de l’horloge système. Le système recrée ce fichier une fois qu’il a accumulé suffisamment de données.

1. Ouvrez une connexion SSH sur n’importe quel nœud du cluster et connectez-vous à l’aide du compte « root ».

2. Exécutez l’une des commandes suivantes à partir de la ligne de commande, en fonction de la version de OneFS que vous exécutez :

Configurez le cluster pour utiliser les contrôleurs de domaine AD en tant que serveurs NTP :

1. Ouvrez l’interface d’administration Web de OneFS et effectuez l’une des opérations suivantes :

• Dans OneFS 7.0 et versions ultérieures, cliquez sur l’onglet Cluster Management > General Settings > NTP .

• Pour chaque contrôleur de domaine AD, saisissez l’adresse IP dans la zone Adresse IP ou nom d’hôte du serveur , puis cliquez sur Ajouter.

2. Cliquez sur Submit (Soumettre).

Vous pouvez également effectuer cette tâche à partir de l’invite de commande :

1. Ouvrez une connexion SSH sur n’importe quel nœud du cluster et connectez-vous à l’aide du compte « root ».

2. Exécutez la commande suivante, dans laquelle <ipaddr1> et <ipaddr2> sont les adresses IP des premier et deuxième contrôleurs de domaine AD :