PowerScale: OneFS: Selektiv godkendelse: ERROR_AUTHENTICATION_FIREWALL_FAILED

Når du forsøger at forespørge på Active Directory-objekter fra et domæne, der er tillid til, opstår der en fejl i en PowerScale-klynge i et domæne, der er tillid til. Dette kan resultere i, at du ikke kan føje brugerobjekter til delingstilladelser, ACL er osv.

Følgende poster vises i lsass-logfiler:

lsass[85427]: [lsass] Ignoring failure enumerating trusts for forest , <CustomerDomain.com> Error was ERROR_AUTHENTICATION_FIREWALL_FAILED (1935)

Denne fejl vises muligvis, når du kører kommandoen isi auth mapping token for brugerobjektet i det domæne, der er tillid til:

# isi auth mapping token --user="CustomerDomain.com\\TestUserAccount"
Failed to map user 'CustomerDomain.com\TestUserAccount': No such user

Denne fejl vises i eksemplet med tilføjelse af et brugerobjekt til delingstilladelser:
 

# isi smb shares permission create --share=ShareName --zone=ZoneName "CustomerDomain.com\\TestUserAccount"
Failed to create persona 'USER:CustomerDomain.com\TestUserAccount'

Pakkeoptagelserne viser som følger:
 

347 2015-12-02 13:38:59.050609 10.29.1.61 141.119.201.2 KRB5 21 196 KRB Error: KRB5KDC_ERR_POLICY NT Status: Unknown error code 0xc0000413 0.016839

Dette problem opstår som følge af aktivering af selektiv godkendelse på AD Trusts. Selektiv godkendelse er en funktion, hvorved domæneadministratoren kan administrere trusts på en detaljeret måde.

Trusts kan verificeres som følger:

https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc753821(v=ws.11)?redirectedfrom=MSDN

Tip: Netdom leverer det bedste output til fejlfinding af dette problem.

Selektiv godkendelse er aktiveret på de relevante tillidspunkter i Active Directory-domæner og -tillidsobjekter. Funktionen er beskrevet detaljeret i artiklerne nedenfor:

Overvejelser omkring sikkerhed i forbindelse med tillid:

https://technet.microsoft.com/en-us/library/cc755321%28v=ws.10%29.aspx

Konfiguration af indstillinger for selektiv godkendelse:

https://technet.microsoft.com/en-us/library/cc755844%28v=ws.10%29.aspx

Føj den pågældende bruger eller gruppe til tilladelsen Tilladelse til at godkende klyngeobjektet, eller fjern Selektiv godkendelse pr. KB er nedenfor:

A TGS request for the krbtgt account fails with KDC_ERR_POLICY and an extended status of STATUS_AUTHENTICATION_FIREWALL_FAILED (0xC0000413)

https://support.microsoft.com/en-us/kb/2959395

Giv tilladelsen "Tilladt at godkende" på computere i det domæne, der er tillid til, eller i skoven:

https://technet.microsoft.com/en-us/library/cc816733%28v=ws.10%29.aspx