PowerScale: OneFS: Selectieve authenticatie: ERROR_AUTHENTICATION_FIREWALL_FAILED

Bij een poging om query's uit te voeren op Active Directory-objecten vanuit een vertrouwd domein, geeft een PowerScale cluster in een vertrouwd domein een foutmelding. Dit kan ertoe leiden dat er geen gebruikersobjecten kunnen worden toegevoegd aan machtigingen voor delen, ACL's, enzovoort.

De volgende vermeldingen worden weergegeven in lsass-logboeken:

lsass[85427]: [lsass] Ignoring failure enumerating trusts for forest , <CustomerDomain.com> Error was ERROR_AUTHENTICATION_FIREWALL_FAILED (1935)

Deze fout kan worden weergegeven tijdens het uitvoeren van de opdracht isi auth mapping token voor het gebruikersobject in het vertrouwde domein:

# isi auth mapping token --user="CustomerDomain.com\\TestUserAccount"
Failed to map user 'CustomerDomain.com\TestUserAccount': No such user

Deze fout treedt op in het voorbeeld van het toevoegen van een gebruikersobject om machtigingen te delen:
 

# isi smb shares permission create --share=ShareName --zone=ZoneName "CustomerDomain.com\\TestUserAccount"
Failed to create persona 'USER:CustomerDomain.com\TestUserAccount'

De packet captures zien er als volgt uit:
 

347 2015-12-02 13:38:59.050609 10.29.1.61 141.119.201.2 KRB5 21 196 KRB Error: KRB5KDC_ERR_POLICY NT Status: Unknown error code 0xc0000413 0.016839

Dit probleem doet zich voor als gevolg van het inschakelen van selectieve verificatie op de AD Trusts. Selectieve verificatie is een functie waarmee de domeinbeheerder vertrouwensrelaties op een granulaire manier kan beheren.

Trusts kunnen als volgt worden geverifieerd:

https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc753821(v=ws.11)?redirectedfrom=MSDN

Tip: Netdom biedt de beste uitvoer om dit probleem op te lossen.

Selectieve verificatie is ingeschakeld voor de relevante vertrouwensrelaties in Active Directory-domeinen en vertrouwensobjecten. De functie wordt in detail beschreven in de onderstaande artikelen:

Beveiligingsoverwegingen voor vertrouwensrelaties:

https://technet.microsoft.com/en-us/library/cc755321%28v=ws.10%29.aspx

Instellingen voor selectieve verificatie configureren:

https://technet.microsoft.com/en-us/library/cc755844%28v=ws.10%29.aspx

Voeg de gebruiker of groep in kwestie toe aan de machtiging Toegestane verificatie voor het clusterobject, of verwijder Selectieve verificatie per KB hieronder:

A TGS request for the krbtgt account fails with KDC_ERR_POLICY and an extended status of STATUS_AUTHENTICATION_FIREWALL_FAILED (0xC0000413)

https://support.microsoft.com/en-us/kb/2959395

Verleen de machtiging "Toegestaan om te verifiëren" op computers in het vertrouwde domein of forest:

https://technet.microsoft.com/en-us/library/cc816733%28v=ws.10%29.aspx