Dell Unity:16 KBを超えるKerberosトークンを使用するとSMB/CIFS共有アクセスが失敗する
Summary: Unity OE 5.2.0.0.5.173では、16 KBを超えるKerberosトークンを持つユーザーが、Unity NASサーバーでホストされているSMB/CIFS共有にアクセスできない場合があります。この問題は、SMB認証でKerberosが使用されている場合に発生します。SMBセッション セットアップ プロセスの欠陥が原因で、大規模なKerberosトークンに対してSTATUS_INVALID_PARAMETERエラーが誤って返されます。この問題は、Unity OE 5.2.1.0.5.013 (5.2 SP1)で解決されています。アップグレードを実行できるようになるまで、影響を受けるユーザーはKerberosトークンのサイズを減らすか、NTLM認証を使用するか、Unity OE 5.1.xアレイ(使用可能な場合)にフェールオーバーする可能性があります。 ...
Symptoms
Unityシステムを OE 5.2.0.0.5.173にアップグレードした後、 16 KBを超えるKerberos認証トークン を持つユーザーが、Unity NASサーバーでホストされているSMB/CIFS共有にアクセスできなくなる場合があります。共有に接続しようとすると、NASサーバーと共有が使用可能であっても、ネットワーク パスにアクセスできないことを示すWindowsエラーが表示されることがあります。
エラーの例：
Windows cannot access \\nasservername\share
Check the spelling of the name. Otherwise, there might be a problem with your network.
To try to identify and resolve network problems, click Diagnose.Cause
この問題は、次の 条件がすべて 満たされている場合にのみ発生します。
- Unityアレイが実行中です
Unity OE 5.2.0.0.5.173. - SMBファイル アクセスは、 Kerberos認証を使用するように構成されています。
- 影響を受けるユーザーは、 16 KBを超えるKerberosトークンを持っています。
この問題は、SMBセッション セットアップの処理に影響を与えるUnity OE 5.2.0.0.5.173で導入されたコード変更が原因で発生します。認証中に、Kerberosトークンが16 KBを超えると、Unityは誤って STATUS_INVALID_PARAMETER エラー。
このリリースで追加された追加の検証チェックでは、Kerberosトークンを複数のセッション セットアップ リクエストで処理する必要があるかどうかを判断する前に、パラメーターの検証が実行されます。その結果、大きすぎるKerberosトークンは途中で拒否され、SMB認証が失敗し、共有にアクセスできなくなります。
Resolution
解決策
この問題は、 Unity OE 5.2.1.0.5.013で解決されています。このリリース以降のバージョンにアップグレードすると、この問題に恒久的に対処できます。
解決策
即時アップグレードが不可能な場合は、次のいずれかの回避策を検討してください。
- 不要なActive Directoryグループ メンバーシップを削除し、未使用のSIDHistoryエントリーをクリーンアップして、Kerberosトークンのサイズを小さくします。
- SMBアクセスにNTLM認証を使用します。たとえば、IPアドレスを使用してSMBサーバーに接続します。
- Unity OE 5.1.xを実行しているディザスター リカバリー(DR)アレイにフェールオーバーします(そのような環境が使用可能な場合)。
これらの回避策は、アレイを固定済みのUnity OEリリースにアップグレードできるようになるまで、SMB共有アクセスをリストアするのに役立ちます。