isi_auth_expert для проверки среды аутентификации кластера PowerScale OneFS. Это поможет убедиться, что он правильно настроен, и определить условия, которые могут вызвать задержку доступа к данным в результате проблем аутентификации.
isi_auth_expert Команда выполняет ряд тестов, включая возможность подключения к сети и портам, а также задержку, привязку и смещение часов. Эти результаты можно использовать для выявления проблемной конфигурации или сетевого пути, вызывающего проблемы с доступом к данным.
isi_auth_expert в OneFS 7.2.1.5. Дополнительные сведения см. в разделе Дополнительные проверки и параметры в OneFS 7.2.1.5 и более поздних версиях этой статьи.
isi_auth_expert выполните следующие действия:
isi_auth_expertОтдельные пользователи также могут выполнить команду с одним или несколькими из параметров, перечисленных в таблице ниже:
| Параметр | Пояснение |
-h, --help |
Показать синтаксис этой команды |
-h, --debug |
Отображение сообщений отладки |
-v, --verbose |
Включить подробный (более надежный) вывод |
--no-color |
Отключение цветного вывода |
wcvirt1-1# isi_auth_expert Checking authentication process health ... done Checking LDAP provider 'ldaptest' server connectivity ... done Checking LDAP provider 'ldaptest' base dn ... done Checking LDAP provider 'ldaptest' object enumeration support ... done Checking LDAP provider 'ldaptest' group base dn ... done Checking LDAP provider 'ldaptest' user base dn ... done [ERROR] The configured base user dn 'ou=dne,dc=isilon,dc=com' in LDAP provider 'ldaptest' was not found on LDAP server ldaptest.west.isilon.com. Checking AD provider 'WMC-ADA.WEST.ISILON.COM' DC connectivity ... done Checking AD provider 'WMC-ADA.WEST.ISILON.COM' auth related ports ... done [ERROR] Failed to establish a connection to the AD domain controller wmc-ada-dc1 .wmc-ada.west.isilon.com on port 3268.
При запуске isi_auth_expert выполняются следующие проверки:
В следующем разделе описываются тесты, которые isi_auth_expert выполняется для каждого поставщика Active Directory (AD).
Проверка возможности
подключения контроллера домена Определите, имеет ли кластер базовое сетевое подключение хотя бы к одному контроллеру домена (DC) в домене AD.
Проверьте порты
постоянного токаУбедитесь, что для каждого контроллера домена кластер может подключаться к портам, связанным с AD, и что порты принимают подключения.
| Порт | Пояснение | Использование AD | Тип трафика |
|---|---|---|---|
| 88 | Порт 88 используется для трафика аутентификации Kerberos. | Аутентификация пользователей и компьютеров, тресты на уровне леса | Kerberos |
| 139 | Порт 139 используется для трафика NetBIOS и NetLogon. | Аутентификация пользователей и компьютеров, репликация | DFSN, NetBIOS Session Service, NetLogon |
| 389 | Порт 389 используется для запросов LDAP. | Каталоги, репликация, аутентификация пользователей и компьютеров, групповая политика, доверие | LDAP |
| 445 | Для репликации используется порт 445. | Репликация, аутентификация пользователей и компьютеров, групповая политика, доверие. | SMB, CIFS, SMB2, DFSN, LSARPC, NbtSS, NetLogonR, SamR, SrvSvc |
| 3268 | Порт 3268 используется для запросов к глобальному каталогу к протоколу LDAP. (используется, если в поставщике AD включен глобальный каталог) | Каталоги, репликация, аутентификация пользователей и компьютеров, групповая политика, доверие | LDAP GC |
isi_auth_expert выполняется для каждого поставщика LDAP.
Возможности подключения по протоколу LDAP
Поддержка перечисленных объектов LDAP
Проверить настроенное base-dn
Проверить настроенное имя с базы данных пользователя
Проверить настроенное базовое-доменное имя группы
Следующие проверки были добавлены в OneFS 7.2.1.5.
Active Directory
isi_auth_expert Команда может вычислять два типа задержек: Задержка проверки связи и задержки LDAP для всех контроллеров домена. Если разность часов составляет менее пяти минут, команда возвращает: «Разница между поставщиком AD и вашим компьютером минимальна или отсутствует».
| Параметр | Пояснение |
|---|---|
--ldap-user |
Проверяет поставщик LDAP для указанного пользователя |
--sfu-user |
Проверяет наличие определенного пользователя в глобальном каталоге Active Directory |
--admin-creds |
Введите учетные данные, необходимые при проверке глобального каталога Active Directory. |
isi_auth_expert с помощью команды --ldap-user=<user> где <user> — это пользователь, которого вы хотите проверить. Для работы поиска имя пользователя должно иметь форму "plain name". При проверке атрибутов пользователя LDAP устанавливается соединение с сервером LDAP и запрашивается у него сведения об указанном пользователе. Затем мы можем проверить результаты запроса, чтобы убедиться, что у пользователя есть все необходимые атрибуты, необходимые для аутентификации в любом домене.
isi_auth_expert с помощью команды --sfu-user=<user> и --admin-creds="[('<Domain>', '<User>', '<password>')]" параметры, где <user> — это пользователь SFU, которого вы хотите проверить, а "[('<Domain>', '<User>', '<password>')]" - это учетные данные isi_auth_expert команда должна обеспечивать выполнение поиска по глобальному каталогу в контроллере домена. При проверке глобального каталога действует следующее ограничение: Необходимо указать учетные данные администратора.
isi_auth_expert определяет, являются ли SPN отсутствующими, устаревшими или неправильными. Эта функция запускается автоматически каждый раз, когда isi_auth_expert Выполняется команда.
isi auth ads spn или isi auth krb5 spn команды для перечисления, проверки или исправления отсутствующих имен SPN.