PowerScale OneFS: Nedostupnost dat po vrácení na verzi starší než OneFS 9.5.0

Systém OneFS je nutné upgradovat z verze starší než OneFS 9.5.0 na verzi 9.5.0 nebo novější.

Po rollbacku dojde k nedostupnosti dat na základě ověřování. Nelze zobrazit nebo zobrazit uživatele domény z clusteru a uživatelé nemohou otevřít sdílené složky.

Heslo účtu počítače je to, co cluster používá při komunikaci s řadiči domény.

U systému OneFS verze 9.5.0 a novější je heslo účtu počítače uloženo v nástroji Key Manager, předchozí verze systému OneFS ukládají heslo do úložiště pstore. 

Pokud je v systému OneFS 9.5 heslo účtu počítače clusteru aktualizováno na základě nastavení životnosti hesla počítače u poskytovatele, dojde k aktualizaci pouze ve Správci klíčů, nikoli v úložišti pstore.

Pokud se verze vrátí zpět na verzi starší než OneFS 9.5.0, heslo účtu počítače prezentované řadičům domény je nyní nesprávné, protože jsme nuceni použít heslo pstore ve starších verzích.

lsass V protokolech se zobrazují následující položky, které značí, že došlo k problémům s heslem účtu počítače:

2023-08-10T11:52:23.435858+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [LwKrb5GetTgtImpl /b/mnt/src/isilon/fsp/lwadvapi/threaded/krbtgt.c:247] KRB5 Error code: -1765328360 (Message: Preauthentication failed)
2023-08-10T11:52:23.435899+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Refresh TGT with new password failed
2023-08-10T11:52:23.435907+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Old password expired, not using it
2023-08-10T11:52:23.436381+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Failed to enumerate trusts at domain.com (error 31)
2023-08-10T11:52:23.436452+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Fatal error enumerating trusts for domain domain.com Error was ERROR_GEN_FAILURE (31)

Chcete-li zjistit, kdy bylo heslo účtu počítače naposledy aktualizováno, zkontrolujte dword.UnixLastChangeTime.value Pro poskytovatele v pStore:

/ifs/.ifsvar/pstore.gc

To lze také zobrazit na straně řadiče domény ve vlastnostech účtu počítače.

Chcete-li tento problém vyřešit, odeberte cluster z domény, odstraňte účet počítače z řadičů domény a znovu se připojte. Tím se vytvoří nové heslo účtu počítače a obnoví se přístup.

Před opuštěním domény a opětovným připojením k ní je vhodné zálohovat mapování uživatelů.

isi auth mapping dump --file=/ifs/data/Isilon_Support/mapping_bakup