PowerScale: Autentikointipyyntöä ei voitu käsitellä -virhe Centrify LDAP:ssä

Esimerkkejä:

# isi auth groups members list dellgroup --zone dellzone --provider="lsa-ldap-provider:Centrify LDAP Proxies"
Failed to get members for group GROUP:dellgroup: The authentication request could not be handled

TAI

isi auth groups members list --gid 30118 
Failed to get members for group GID:30118: The authentication request could not be handled

Dell Technologies havaitsee pakettisieppauksissa seuraavat virheet:
 

errorMessage: cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter

Täydellinen esimerkki pakettien sieppauksesta:

# tshark -r file.cap

1060 736.218674 10.193.45.68 â 10.193.3.52  LDAP 1194 searchRequest(4) "ou=North America,dc=acf,dc=dell,dc=com" wholeSubtree
1061 736.218828  10.193.3.52 â 10.193.45.68 TCP 66 389 â 15206 [ACK] Seq=3557 Ack=1413 Win=261656 Len=0 TSval=1645667785 TSecr=662636581
1062 736.258022  10.193.3.52 â 10.193.45.68 LDAP 175 searchResDone(4) other (cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter)  [2 results]
1063 736.258142  10.193.3.52 â 10.193.45.68 LDAP 175 searchResDone(4) other (cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter)  [2 results]
1064 736.258150 10.193.45.68 â 10.193.3.52  TCP 66 15206 â 389 [ACK] Seq=1413 Ack=3775 Win=131648 Len=0 TSval=662641755 TSecr=1645667785
1065 736.261570 10.193.45.68 â 10.193.3.52  LDAP 73 unbindRequest(5)

Tuki näkee kehyksen sisällä seuraavat tiedot:
 

Lightweight Directory Access Protocol
    LDAPMessage searchResDone(4) other (cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter) [2 results]
        messageID: 4
        protocolOp: searchResDone (5)
            searchResDone
                resultCode: other (80)
                matchedDN:
                errorMessage: cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter
        [Response To: 1060]
        [Time: 0.039348000 seconds]

OneFS-versiosta 8.2.2.0 alkaen LDAP-jäsenten luettelointipyynnöt ryhmittelevät kyselyt tarkoituksella vastausaikojen lyhentämiseksi. OneFS muuttui iteratiivisesta UID-kyselystä käyttäjäkohtaisesti eräkyselyksi suorituskykysyistä. 
Papa-virhe viittaa siihen, että välityspalvelin ei tue useita uid-merkintöjä hakusuodattimessa. Jos välityspalvelin ei tue useita uid-merkintöjä, tuki tarvitsee välityspalvelimen toimittajan (ts. Centrify) korjataksesi tämän ongelman.

Välityspalvelin ei näytä pitävän OneFS:n langan kautta lähettämistä lähetyksistä, jotka ovat muodossa (&(objectClass=posixAccount)(|( uid=user1)(uid=user2)(uid=user3))) ratkaistaksesi ryhmän memberUid-kyselyn käyttäjäjäsenet, jotta tarjouksen>nimi ja jäsenet, nimet>uid voidaan ratkaista kokonaan.

Lisäksi Centrify on myöntänyt, että käyttäytymisemme muuttui jossain vaiheessa iteratiivisesta uid-kyselystä käyttäjäkohtaisesti eräkyselyyn, kuten edellä. Centrify-tietokannan artikkeleiden ja dokumentaation mukaan virhe viittaa siihen, että välityspalvelin ei tue useita uid-merkintöjä hakusuodattimessa.

Centrify on myöntänyt, että PowerScalen nyt käyttämää syntaksia ei tueta. On olemassa Request for Enhancement (RFE) lisätä tämä Centrifyyn, ja nimemme on lisätty RFE: hen.

Koska hakusuodattimessa ei ole mitään vikaa, eikä ohjelmistokoodimme palaa takaisin nonbatched kysely (suorituskykysyistä), Centrifyn on sovitettava kelvollinen hakukyselysuodatin, joka kyselee useita käyttäjiä uidNumber.

Ota yhteyttä myyjään (Centrify) ratkaisun löytämiseksi. 

Dell Technologies -tuki voi myös tarkistaa, ilmeneekö ongelma asiakkaalla, keräämällä pakettisieppauksia virheen toistamisen aikana:

Pakettien sieppauksen vaiheet:


1. Luo luettelo PowerScale-klusteriin määritetyistä LDAP-palvelimista:
 

# isi auth ldap ls
Name  Base DN       Server Uris         Status
-----------------------------------------------
LDAP  DC=amd,DC=com ldap://isilon02 online
                    ldap://isilon0404

2. Selvitä kunkin yllä olevan LDAP-palvelimen IP-osoitteet.
 

#nslookup <ldap host>

Merkitse muistiin LDAP-IP-osoitteet tukea varten.

Esimerkiksi:
 

powerscale-2-1# nslookup isilon02
Server:         127.42.0.1
Address:        127.42.0.1#53

Non-authoritative answer:
Name:   isilon02.dell.com
Address: 10.178.35.1

3.  Luo hakemisto, joka sisältää pakettien sieppaustiedot: 
 

# mkdir -p /ifs/data/Isilon_Support/<SR number>

Korvaa yllä oleva SR-numero oikealla PowerScale-tukipalvelun pyyntönumerolla, esimerkiksi palvelupyynnön numerolla 1234567:
 

# mkdir -p /ifs/data/Isilon_Support/1234567

4. Muodosta SSH-yhteys solmuun pääkäyttäjänä.

5. Aloita solmupaketin sieppaukset:

eli palvelupyynnölle # 1234567 komento olisi seuraava:
 

# for i in $(ifconfig | grep flags= | cut -f1 -d':'|egrep -v "ib0|ib1|lo0"); do tcpdump -i ${i} -s0 -C 200 -W 3 -w /ifs/data/Isilon_Support/1234567/${HOST}_${i}.pcap port 389 &; done

Kirjoita Ctrl-C murtautuaksesi ulos ja anna tcpdump Suorita taustalla.

6. Luo seuraavaksi ongelma/virhe solmussa uudelleen.
7. Kun olet toistanut ongelman/virheen, pysäytä pcap:
 

# pkill -9 tcpdump

Varmista, että pcaket Sieppaus ei ole enää käynnissä:
 

# ps -auxwww|grep tcpdump

Sinun pitäisi nähdä ei tcpdump käynnissä olevat prosessit.

8. Lataa pcaps kohtaan Tuki tarkistusta varten.