PowerScale OneFS: Nichtverfügbarkeit von Daten nach Rollback auf Versionen vor OneFS 9.5.0

OneFS muss von Versionen vor OneFS 9.5.0 auf Version 9.5.0 oder höher aktualisiert werden.

Nach dem Rollback kommt es zur Nichtverfügbarkeit von authentifizierungsbasierten Daten. Domainnutzer aus dem Cluster können nicht aufgelistet oder angezeigt werden und können Freigaben nicht öffnen.

Das Kennwort für das Maschinenkonto wird vom Cluster bei der Kommunikation mit Domain-Controllern verwendet.

In OneFS Version 9.5.0 und höher wird das Kennwort des Computerkontos im Key Manager gespeichert. Frühere Versionen von OneFS speichern das Kennwort im Pstore. 

Wenn in OneFS 9.5 das Kennwort für das Clustermaschinenkonto basierend auf der Einstellung für die Lebensdauer des Computerkennworts auf dem Provider aktualisiert wird, wird es nur im Key Manager und nicht im Pstore aktualisiert.

Wenn die Version auf eine Version vor OneFS 9.5.0 zurückgesetzt wird, ist das Kennwort des Computerkontos, das den Domain Controllern angezeigt wird, jetzt falsch, da wir gezwungen sind, das Pstore-Kennwort in älteren Versionen zu verwenden.

lsass Protokolle zeigen die folgenden Einträge an, die darauf hinweisen, dass Probleme mit dem Computerkontokennwort vorliegen:

2023-08-10T11:52:23.435858+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [LwKrb5GetTgtImpl /b/mnt/src/isilon/fsp/lwadvapi/threaded/krbtgt.c:247] KRB5 Error code: -1765328360 (Message: Preauthentication failed)
2023-08-10T11:52:23.435899+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Refresh TGT with new password failed
2023-08-10T11:52:23.435907+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Old password expired, not using it
2023-08-10T11:52:23.436381+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Failed to enumerate trusts at domain.com (error 31)
2023-08-10T11:52:23.436452+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Fatal error enumerating trusts for domain domain.com Error was ERROR_GEN_FAILURE (31)

Um festzustellen, wann das Kennwort des Computerkontos zuletzt aktualisiert wurde, aktivieren Sie das dword.UnixLastChangeTime.value Für den Anbieter im Pstore:

/ifs/.ifsvar/pstore.gc

Dies kann auch auf der Seite des Domänencontrollers unter den Eigenschaften des Computerkontos angezeigt werden.

Um dieses Problem zu beheben, entfernen Sie den Cluster aus der Domäne, löschen Sie das Maschinenkonto aus den Domänencontrollern und treten Sie erneut bei. Dadurch wird ein neues Kennwort für das Computerkonto erstellt und der Zugriff wird wiederhergestellt.

Vor dem Verlassen und erneuten Beitritt zur Domain empfiehlt es sich, die Nutzerzuordnungen zu sichern.

isi auth mapping dump --file=/ifs/data/Isilon_Support/mapping_bakup