PowerScale: OneFS: Selektiv godkjenning: ERROR_AUTHENTICATION_FIREWALL_FAILED

Når du prøver å spørre Active Directory-objekter fra et klarert domene, gir en PowerScale-klynge i et klarert domene en feil. Dette kan føre til at du ikke kan legge til brukerobjekter i delingstillatelser, ACLer osv.

Følgende oppføringer vises i lsass-logger:

lsass[85427]: [lsass] Ignoring failure enumerating trusts for forest , <CustomerDomain.com> Error was ERROR_AUTHENTICATION_FIREWALL_FAILED (1935)

Denne feilen kan vises når du kjører kommandoen isi auth mapping token for brukerobjektet i det klarerte domenet:

# isi auth mapping token --user="CustomerDomain.com\\TestUserAccount"
Failed to map user 'CustomerDomain.com\TestUserAccount': No such user

Denne feilen vises i eksemplet med å legge til et brukerobjekt for å dele tillatelser:
 

# isi smb shares permission create --share=ShareName --zone=ZoneName "CustomerDomain.com\\TestUserAccount"
Failed to create persona 'USER:CustomerDomain.com\TestUserAccount'

Pakkeopptakene viser som følger:
 

347 2015-12-02 13:38:59.050609 10.29.1.61 141.119.201.2 KRB5 21 196 KRB Error: KRB5KDC_ERR_POLICY NT Status: Unknown error code 0xc0000413 0.016839

Dette problemet oppstår som et resultat av aktivering av selektiv godkjenning på AD-klareringene. Selektiv godkjenning er en funksjon der domeneadministratoren kan administrere klareringer på en detaljert måte.

Truster kan verifiseres som følger:

https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc753821(v=ws.11)?omdirigertfra=MSDN

Tips: Netdom gir de beste utdataene for å feilsøke dette problemet.

Selektiv godkjenning er aktivert på relevante klareringer i Active Directory-domener og klarerte objekter. Funksjonen er beskrevet i detalj i artiklene nedenfor:

Sikkerhetshensyn for truster:

https://technet.microsoft.com/en-us/library/cc755321%28v=ws.10%29.aspx

Konfigurere innstillinger for selektiv godkjenning:

https://technet.microsoft.com/en-us/library/cc755844%28v=ws.10%29.aspx

Legg til den aktuelle brukeren eller gruppen i tillatelsen til å godkjenne klyngeobjektet, eller fjern selektiv godkjenning per kb nedenfor:

A TGS request for the krbtgt account fails with KDC_ERR_POLICY and an extended status of STATUS_AUTHENTICATION_FIREWALL_FAILED (0xC0000413)

https://support.microsoft.com/en-us/kb/2959395

Gi tillatelsen «Tillatelse til å godkjenne» på datamaskiner i det klarerte domenet eller skogen:

https://technet.microsoft.com/en-us/library/cc816733%28v=ws.10%29.aspx