Data Domain: Os usuários do Active Directory não podem administrar o Data Domain via SSH ou pelo Enterprise Manager

Os usuários que pertencem ao mesmo domínio primário do Active Directory que o Data Domain ou que pertencem a um domínio confiável na mesma floresta não podem acessar o sistema via SSH ou Enterprise Manager, se o catálogo global do domínio raiz da floresta estiver off-line ou não puder ser acessado a partir do Data Domain.

 

A primeira coisa a ser verificada seria verificar se os usuários com uma conta do Active Directory receberam permissão para acessar o sistema Data Domain via SSH.

Isso é feito executando-se o comando: # adminaccess autenticação adicionar cifs

Se, depois de emitirem o comando acima, os usuários ainda não puderem fazer log-in, pode ser que o catálogo global do domínio raiz da floresta esteja off-line ou não possa ser acessado (atrás de um firewall) a partir do sistema Data Domain.

Na nomenclatura do Active Directory, uma floresta é uma coleção de domínios que confiam uns nos outros. Um Catálogo Global é um servidor de Controlador de Domínio que mantém uma cópia parcial e somente leitura de todos os domínios da floresta e é usado para armazenamento de grupo universal e processamento de logon, entre outras coisas. 

Por outro lado, o primeiro domínio que você implanta em uma floresta do Active Directory é chamado de domínio raiz da floresta.

Este domínio continua a ser o domínio raiz da floresta durante o ciclo de vida da implementação do AD DS. O domínio raiz da floresta contém os grupos Administradores de Empresa e Administradores de Esquema. 

O motivo pelo qual o Data Domain tenta entrar em contato com o catálogo global para o domínio raiz da floresta é incluir as informações de associação do grupo Universal nos tokens de usuário.

 

Se o contato com o servidor de catálogo global do domínio raiz da floresta a partir do Data Domain for um problema e não houver associações de grupos universais que precisem ser consideradas, há uma opção no DD OS 5.7.4 e no DD OS 6.0.1 que desabilita o requisito para poder consultar o catálogo global do domínio raiz da floresta.

Esta opção é:

 # cifs option set global-catalog-query-disable true
 
Você pode confirmar se a opção está definida corretamente com os comandos:

# cifs option show
 
Depois de adicionar a opção, você precisa reiniciar o cifs com o comando
 
# cifs restart force
 

Isso é abordado nas notas da versão do DD OS 5.7.4.0 aqui

165968 Essa versão adiciona uma opção para evitar a consulta ao catálogo global durante a autenticação do usuário. Caso contrário, a autenticação de usuário do Active Directory poderá falhar se o servidor de catálogo global do domínio raiz da floresta estiver offline