Data Domain: Gli utenti di Active Directory non possono amministrare Data Domain tramite SSH o Enterprise Manager

Gli utenti appartenenti allo stesso dominio Active Directory primario di Data Domain o a un dominio trusted nella stessa foresta non possono accedere al sistema tramite SSH o Enterprise Manager, se il catalogo globale per il dominio radice della foresta è offline o non è possibile accedervi da Data Domain.

 

La prima cosa da verificare consiste nel verificare se agli utenti con un account Active Directory è stata concessa l'autorizzazione per accedere al sistema Data Domain tramite SSH.

A tale scopo, è sufficiente eseguire il comando: # adminaccess autenticazione aggiunta cifs

Se dopo aver inviato il comando precedente gli utenti non riescono ancora ad effettuare l'accesso, è possibile che il catalogo globale per il dominio radice della foresta sia offline o non raggiungibile (protetto da un firewall) dal sistema Data Domain.

Nella nomenclatura Active Directory, una foresta è una raccolta di domini considerati reciprocamente affidabili. Un catalogo globale è un server controller di dominio che mantiene una copia parziale e di sola lettura di ogni dominio nella foresta e viene utilizzato, tra le altre cose, per l'archiviazione universale dei gruppi e l'elaborazione dell'accesso. 

D'altra parte, il primo dominio distribuito in una foresta di Active Directory è denominato dominio radice della foresta.

Questo dominio rimane il dominio radice della foresta per il ciclo di vita della distribuzione di Servizi di dominio Active Directory. Il dominio radice della foresta contiene i gruppi Enterprise Admins e Schema Admins. 

Il motivo per cui Data Domain tenta di contattare il catalogo globale per il dominio radice della foresta è quello di includere le informazioni di appartenenza al gruppo universale nei token utente.

 

Se contattare il server del catalogo globale del dominio radice della foresta da Data Domain rappresenta un problema e non è necessario prendere in considerazione l'appartenenza a gruppi universali, è disponibile un'opzione in DD OS 5.7.4 e DD OS 6.0.1 che disabilita il requisito per poter eseguire query sul catalogo globale del dominio radice della foresta.

Questa opzione è:

 # cifs option set global-catalog-query-disable true
 
È possibile verificare che l'opzione sia impostata correttamente con i comandi:

# cifs option show
 
Dopo aver aggiunto l'opzione, è necessario riavviare cifs con il comando
 
# cifs restart force
 

Questa operazione viene descritta nelle note di rilascio di DD OS 5.7.4.0 qui

165968 Questa versione aggiunge un'opzione per evitare query sul catalogo globale durante l'autenticazione utente. In caso contrario, l'autenticazione utente di Active Directory potrebbe non riuscire se il server del catalogo globale del dominio radice della foresta è offline