PowerScale: OneFS: Valikoiva todennus: ERROR_AUTHENTICATION_FIREWALL_FAILED
Resumen: Todennus epäonnistuu valikoivan todennuksen vuoksi ja ilmoittaa virheestä: ERROR_AUTHENTICATION_FIREWALL_FAILED
Síntomas
Kun Active Directory -objekteja yritetään kysellä luotetulta toimialueelta, luotettavan toimialueen PowerScale-klusteri tuottaa virheen. Tämä voi johtaa siihen, että esimerkiksi jako-oikeuksiin ja käyttöoikeusluetteloihin ei voi lisätä käyttäjäobjekteja.
Seuraavat merkinnät näkyvät lsass-lokeissa:
lsass[85427]: [lsass] Ignoring failure enumerating trusts for forest , <CustomerDomain.com> Error was ERROR_AUTHENTICATION_FIREWALL_FAILED (1935)
Tämä virhe saattaa tulla näkyviin, kun suoritat komennon isi auth mapping token käyttäjäobjektille luotetulla toimialueella:
# isi auth mapping token --user="CustomerDomain.com\\TestUserAccount"
Failed to map user 'CustomerDomain.com\TestUserAccount': No such user
Tämä virhe näkyy esimerkissä käyttäjäobjektin lisäämisestä jakamisoikeuksiin:
# isi smb shares permission create --share=ShareName --zone=ZoneName "CustomerDomain.com\\TestUserAccount"
Failed to create persona 'USER:CustomerDomain.com\TestUserAccount'
Pakettisieppaukset näkyvät seuraavasti:
347 2015-12-02 13:38:59.050609 10.29.1.61 141.119.201.2 KRB5 21 196 KRB Error: KRB5KDC_ERR_POLICY NT Status: Unknown error code 0xc0000413 0.016839
Tämä ongelma ilmenee, kun valikoiva todennus on otettu käyttöön AD-luottamussuhteissa. Valikoiva todennus on ominaisuus, jonka avulla verkkotunnuksen järjestelmänvalvoja voi hallita luottamussuhteita yksityiskohtaisesti.
Trustit voidaan todentaa seuraavasti:
https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc753821(v=ws.11)?redirectedfrom=MSDN
Vihje: Netdom tarjoaa parhaan tuloksen tämän ongelman vianmääritykseen.
Causa
Valikoiva todennus on käytössä Active Directory -toimialueiden ja luottamusobjektien asiaankuuluvissa luottamussuhteissa. Ominaisuus on kuvattu yksityiskohtaisesti alla olevissa artikkeleissa:
Trustien tietoturvanäkökohdat:
https://technet.microsoft.com/en-us/library/cc755321%28v=ws.10%29.aspx
Valikoivan todennuksen asetusten määrittäminen:
https://technet.microsoft.com/en-us/library/cc755844%28v=ws.10%29.aspx
Resolución
Lisää kyseinen käyttäjä tai ryhmä kohtaan Sallittu todentaa klusteriobjektin käyttöoikeus tai poista valikoiva todennus alla olevien kilotavujen ohjeiden mukaisesti:
A TGS request for the krbtgt account fails with KDC_ERR_POLICY and an extended status of STATUS_AUTHENTICATION_FIREWALL_FAILED (0xC0000413)https://support.microsoft.com/en-us/kb/2959395
Salli todentaa -oikeus luotettavan toimialueen tai toimialuepuuryhmän tietokoneissa:
https://technet.microsoft.com/en-us/library/cc816733%28v=ws.10%29.aspx