PowerScale OneFS: Los GID no se asignan correctamente a los tokens de mapeo después de una actualización de OneFS
Сводка: Después de actualizar OneFS a 9.5.1.5, 9.7.1.10, 9.10.1.3 o 9.12+, es posible que no se asigne el GID correcto a los usuarios desde un proveedor que no sea de AD.
Симптомы
Después de las actualizaciones a OneFS, es posible que el GID asignado de un usuario no se asigne correctamente, lo que genera problemas de acceso para los usuarios afectados. En este escenario, se espera que el GID se extraiga de un proveedor que no sea de AD, como LDAP, a través de una regla de asignación. La regla afectada utiliza el operador "insert" para extraer la identidad del grupo principal en el token del usuario de AD.
Por ejemplo, una regla de mapeo como la que se muestra a continuación insertaría un grupo en la identidad del usuario de AD en el token de asignación.
ninetenonethree-1# isi zone zones list -v
Name: System
Path: /ifs
Groupnet: groupnet0
Map Untrusted:
Auth Providers: lsa-ldap-provider:TESTLDAP, lsa-activedirectory-provider:TESTDOMAIN.LOCAL, lsa-local-provider:System, lsa-file-provider:System
NetBIOS Name:
User Mapping Rules: TESTDOMAIN\* &= * [], TESTDOMAIN\* += * [group,break]
Home Directory Umask: 0077
Skeleton Directory: /usr/share/skel
Cache Entry Expiry: 4H
Negative Cache Entry Expiry: 1m
Zone ID: 1
Los administradores observan que el GID para el grupo de LDAP ahora aparece como complementario en el token de asignación. Según la regla de asignación, se espera que sea el grupo principal del usuario.
ninetenonethree-1# isi auth mapping token testdomain\\testuser
User
Name: testuser
UID: 10000
SID: S-1-5-21-2828724323-430878434-1842076698-53601
On Disk: 10000
ZID: 1
Zone: System
Privileges: -
Primary Group
Name: TESTDOMAIN\domain users <<<<<<<<< Primary group is pulled from AD, which is not expected in this scenario
GID: 1000002
SID: S-1-5-21-2828724323-430878434-1842076698-513
On Disk: 1000002
Supplemental Identities
Name: testgroup <<<<<<<<< Per the mapping rules this should be the primary
GID: 3500
SID: S-1-22-2-3500
Name: Users
GID: 1545
SID: S-1-5-32-545
Name: Authenticated Users
SID: S-1-5-11
El proveedor de AD está configurado con assume-default-domain habilitado:
ninetenonethree-1# isi auth ads view TESTDOMAIN.LOCAL -v | grep -i assume Assume Default Domain: Yes
Причина
Mejoras de código para un problema de almacenamiento en caché con nombres de alias mientras assume-default-domain está habilitado se corrigieron en el código afectado. Debido a la LSASS Arquitectura de caché, la corrección dio como resultado que los mapeos de grupos de cuentas que no son de dominio no funcionaran según lo previsto.
Los niveles de código afectados son los siguientes e incluyen todos los parches posteriores a los que se especifican a continuación para esa versión:
- OneFS 9.5.1.5
- OneFS 9.7.1.10
- OneFS 9.10.1.3
- OneFS 12.0.0.0 y todas las versiones posteriores
Para que se produzca este problema, debe ocurrir lo siguiente:
- Un proveedor de Active Directory (AD) está configurado en el clúster, con '
assume-default-domain' habilitado. - Una regla de asignación de usuarios en la zona de acceso con el proveedor de AD se establece con la asignación de grupo "insertar" que hace referencia a un grupo que no es de AD.
Si ambas afirmaciones no son ciertas, entonces se está experimentando un problema diferente y se debe contactar al soporte de Dell para investigarlo.
Разрешение
Los administradores pueden deshabilitar assume-default-domaino ajustar las reglas de mapeo para que tengan el prefijo de dominio adecuado si assume-default-domain debe permanecer activado.
Para realizar ajustes en las reglas de asignación, se debe modificar la asignación 'insertar grupo'.
El prefijo de dominio para los proveedores secundarios es el siguiente, y el nombre del proveedor local de una zona se muestra como se muestra a continuación:
LDAP: LDAP_USERS\ NIS: NIS_USERS\ File: UNIX_USERS\ Local: <local domain>\
Para el ejemplo anterior, modifique la regla de mapeo para destacar explícitamente el dominio del proveedor de LDAP. Se recomienda eliminar las reglas de mapeo antiguas antes de agregar las nuevas.
ninetenonethree-1# isi zone zones modify system --user-mapping-rules="TESTDOMAIN\* &= LDAP_USERS\* []"; isi zone zones modify system --add-user-mapping-rules="TESTDOMAIN\* += LDAP_USERS\* [group]"
Valide los cambios aplicados:
ninetenonethree-1# isi zone zones list -v
Name: System
Path: /ifs
Groupnet: groupnet0
Map Untrusted:
Auth Providers: lsa-ldap-provider:TESTLDAP, lsa-activedirectory-provider:TESTDOMAIN.LOCAL, lsa-local-provider:System, lsa-file-provider:System
NetBIOS Name:
User Mapping Rules: TESTDOMAIN\* &= LDAP_USERS\* [], TESTDOMAIN\* += LDAP_USERS\* [group,break]
Home Directory Umask: 0077
Skeleton Directory: /usr/share/skel
Cache Entry Expiry: 4H
Negative Cache Entry Expiry: 1m
Zone ID: 1
Vacíe la caché de asignación:
ninetenonethree-1# isi auth mapping flush
Puede comprobar el token de asignación del usuario para confirmar si el grupo está mapeado correctamente. El grupo LDAP ahora aparece como el grupo principal para el usuario, lo que muestra que las reglas de mapeo funcionan.
ninetenonethree-1# isi auth mapping token testdomain\\testuser
User
Name: testuser
UID: 10000
SID: S-1-5-21-2828724323-430878434-1842076698-53601
On Disk: 10000
ZID: 1
Zone: System
Privileges: -
Primary Group
Name: testgroup <<<<<<<<< The LDAP group is now properly showing up as the primary group
GID: 3500
SID: S-1-22-2-3500
On Disk: 3500
Supplemental Identities
Name: TESTDOMAIN\domain users <<<<<<<<< No longer listed as primary
GID: 1000002
SID: S-1-5-21-2828724323-430878434-1842076698-513
Name: Users
GID: 1545
SID: S-1-5-32-545
Name: Authenticated Users
SID: S-1-5-11
Дополнительная информация
Para obtener más información sobre la asignación de operadores de reglas, consulte: asignación de usuarios de identidades entre operadores de proveedores de autenticación