PowerScale OneFS: Falta de disponibilidad de datos después de la reversión a versiones anteriores a OneFS 9.5.0

OneFS se debe actualizar desde versiones anteriores a OneFS 9.5.0 a las versiones 9.5.0 o posteriores.

Después de la reversión, hay una falta de disponibilidad de datos basada en la autenticación; No se pueden enumerar ni ver los usuarios de dominio del clúster y los usuarios no pueden abrir recursos compartidos.

La contraseña de la cuenta de máquina es la que utiliza el clúster cuando se comunica con las controladoras de dominio.

En OneFS 9.5.0 y versiones posteriores, la contraseña de la cuenta de máquina se almacena en el administrador de claves. Las versiones anteriores de OneFS almacenan la contraseña en pstore. 

En OneFS 9.5, si la contraseña de la cuenta de máquina del clúster se actualiza en función de la configuración de Vida útil de la contraseña de máquina del proveedor, solo se actualiza en el administrador de claves y no en pstore.

Si la versión se revierte a una versión anterior a OneFS 9.5.0, la contraseña de la cuenta de máquina que se presenta a las controladoras de dominio ahora es incorrecta, ya que estamos obligados a usar la contraseña pstore en versiones anteriores.

lsass Los registros muestran las siguientes entradas que indican que hay problemas con la contraseña de la cuenta de máquina:

2023-08-10T11:52:23.435858+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [LwKrb5GetTgtImpl /b/mnt/src/isilon/fsp/lwadvapi/threaded/krbtgt.c:247] KRB5 Error code: -1765328360 (Message: Preauthentication failed)
2023-08-10T11:52:23.435899+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Refresh TGT with new password failed
2023-08-10T11:52:23.435907+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Old password expired, not using it
2023-08-10T11:52:23.436381+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Failed to enumerate trusts at domain.com (error 31)
2023-08-10T11:52:23.436452+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Fatal error enumerating trusts for domain domain.com Error was ERROR_GEN_FAILURE (31)

Para ver cuándo se actualizó por última vez la contraseña de la cuenta de equipo, compruebe el dword.UnixLastChangeTime.value Para el proveedor en el pstore:

/ifs/.ifsvar/pstore.gc

Esto también se puede ver en el lado de la controladora de dominio en las propiedades de la cuenta de máquina.

Para solucionar este problema, elimine el clúster del dominio, elimine la cuenta de máquina de las controladoras de dominio y vuelva a incorporarse. Esto crea una nueva contraseña de cuenta de máquina y se restaura el acceso.

Antes de salir del dominio y volver a unirlo, se recomienda respaldar los mapeos de usuarios.

isi auth mapping dump --file=/ifs/data/Isilon_Support/mapping_bakup