PowerScale: 'Godkjenningsforespørselen kunne ikke håndteres' feil med Centrify LDAP

Eksempler:

# isi auth groups members list dellgroup --zone dellzone --provider="lsa-ldap-provider:Centrify LDAP Proxies"
Failed to get members for group GROUP:dellgroup: The authentication request could not be handled

ELLER

isi auth groups members list --gid 30118 
Failed to get members for group GID:30118: The authentication request could not be handled

I pakkeregistrering ser Dell Technologies følgende feil:
 

errorMessage: cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter

Fullstendig eksempel på pakkefangst:

# tshark -r file.cap

1060 736.218674 10.193.45.68 â 10.193.3.52  LDAP 1194 searchRequest(4) "ou=North America,dc=acf,dc=dell,dc=com" wholeSubtree
1061 736.218828  10.193.3.52 â 10.193.45.68 TCP 66 389 â 15206 [ACK] Seq=3557 Ack=1413 Win=261656 Len=0 TSval=1645667785 TSecr=662636581
1062 736.258022  10.193.3.52 â 10.193.45.68 LDAP 175 searchResDone(4) other (cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter)  [2 results]
1063 736.258142  10.193.3.52 â 10.193.45.68 LDAP 175 searchResDone(4) other (cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter)  [2 results]
1064 736.258150 10.193.45.68 â 10.193.3.52  TCP 66 15206 â 389 [ACK] Seq=1413 Ack=3775 Win=131648 Len=0 TSval=662641755 TSecr=1645667785
1065 736.261570 10.193.45.68 â 10.193.3.52  LDAP 73 unbindRequest(5)

Innenfor rammen kan Support se følgende:
 

Lightweight Directory Access Protocol
    LDAPMessage searchResDone(4) other (cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter) [2 results]
        messageID: 4
        protocolOp: searchResDone (5)
            searchResDone
                resultCode: other (80)
                matchedDN:
                errorMessage: cdcLdapSearch :Bad parameter (cdcRC=4), errSystem=Ldap, errCode=-7, errString=Bad search filter
        [Response To: 1060]
        [Time: 0.039348000 seconds]

Fra og med OneFS versjon 8.2.2.0 grupperer forespørsler om opplisting av LDAP-medlemmer med hensikt spørringene for å forbedre svartidene. OneFS endret fra en iterativ UID-spørring, bruker etter bruker, til en satsvis spørring, av ytelsesgrunner. 
Feilen i paps antyder at proxyen ikke støtter flere 'uid' oppføringer i et søkefilter. Hvis proxyen ikke støtter flere UID-oppføringer, trenger kundestøtte proxy-leverandøren (det vil si. Centrify) for å løse dette problemet.

Proxyen ser ikke ut til å like det OneFS sender over ledningen, som er i form av (&(objectClass=posixAccount)(|( uid=user1)(uid=user2)(uid=user3))) for å løse brukermedlemmene fra memberUid-spørringen for gruppen for å løse budnavnet>og medlemmene, navnene>uid.

I tillegg har Centrify erkjent at atferden vår endret seg på et tidspunkt, fra en iterativ UID-spørring, bruker for bruker, til en satsvis spørring, som ovenfor. I følge Centrify-kunnskapsbaseartikler og dokumentasjon antyder feilen at proxyen ikke støtter flere 'UID'-oppføringer i et søkefilter.

Centrify har bekreftet at syntaksen PowerScale nå bruker, ikke støttes. Det er en forespørsel om forbedring (RFE) for å legge dette til Centrify, og navnet vårt er lagt til den RFE.

Siden det ikke er noe galt med søkefilteret, og programvarekoden vår ikke går tilbake til et nonbatched spørring (av ytelsesgrunner), må Centrify imøtekomme vårt gyldige søkefilterfilter som spør flere brukere etter uidNumber.

Kontakt leverandøren (Centrify) for løsning. 

For å bekrefte om en kunde opplever problemet, kan Dell Technologies-kundestøtte også samle inn pakkeopptak mens de replikerer feilen:

Her er trinnene for pakkeregistrering:


1. Generer en liste over LDAP-servere som er konfigurert på PowerScale-klyngen:
 

# isi auth ldap ls
Name  Base DN       Server Uris         Status
-----------------------------------------------
LDAP  DC=amd,DC=com ldap://isilon02 online
                    ldap://isilon0404

2. Løs IP-adressene til hver av LDAP-tjenerne ovenfor.
 

#nslookup <ldap host>

Noter deg LDAP IP-adressene for støtte.

For eksempel:
 

powerscale-2-1# nslookup isilon02
Server:         127.42.0.1
Address:        127.42.0.1#53

Non-authoritative answer:
Name:   isilon02.dell.com
Address: 10.178.35.1

3.  Opprett en katalog som skal inneholde pakkefangstdataene: 
 

# mkdir -p /ifs/data/Isilon_Support/<SR number>

Bytt ut SR-nummeret ovenfor med riktig forespørselsnummer for PowerScale-støtteservice, for eksempel med serviceforespørselsnummer 1234567:
 

# mkdir -p /ifs/data/Isilon_Support/1234567

4. Ssh til en node som 'root' bruker.

5. Start nodepakkeregistrering:

dvs. for serviceforespørsel # 1234567 vil kommandoen være som følger:
 

# for i in $(ifconfig | grep flags= | cut -f1 -d':'|egrep -v "ib0|ib1|lo0"); do tcpdump -i ${i} -s0 -C 200 -W 3 -w /ifs/data/Isilon_Support/1234567/${HOST}_${i}.pcap port 389 &; done

Skriv Ctrl-C for å bryte ut og la tcpdump Kjør i bakgrunnen.

6. Deretter oppretter du problemet/feilen på noden på nytt.
7. Når du har gjenskapt problemet/feilen, stopper du pcap:
 

# pkill -9 tcpdump

Sørg for at pcaket Capture kjører ikke lenger:
 

# ps -auxwww|grep tcpdump

Du skal ikke se noe tcpdump prosesser som kjører.

8. Last opp pcaps til Støtte for gjennomgang.