PowerScale OneFS: Non disponibilità dei dati in seguito al rollback a versioni precedenti a OneFS 9.5.0

OneFS deve essere aggiornato dalle versioni precedenti a OneFS 9.5.0 alle versioni 9.5.0 o successive.

Dopo il rollback, si verifica la non disponibilità dei dati basata sull'autenticazione. Impossibile elencare o visualizzare gli utenti di dominio dal cluster e gli utenti non sono in grado di aprire le condivisioni.

La password dell'account del computer è ciò che il cluster utilizza quando comunica con i controller di dominio.

In OneFS versione 9.5.0 e successive, la password dell'account del computer viene archiviata in Key Manager; le versioni precedenti di OneFS memorizzano la password in pstore. 

In OneFS 9.5, se la password dell'account del computer cluster viene aggiornata in base all'impostazione Machine Password Lifespan del provider, viene aggiornata solo in Key Manager e non in pstore.

Se viene eseguito il rollback della versione a una versione precedente a OneFS 9.5.0, la password dell'account del computer presentata ai controller di dominio non è corretta, in quanto si è costretti a utilizzare la password pstore nelle versioni precedenti.

lsass I registri mostrano le seguenti voci che indicano che si sono verificati problemi con la password dell'account computer:

2023-08-10T11:52:23.435858+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [LwKrb5GetTgtImpl /b/mnt/src/isilon/fsp/lwadvapi/threaded/krbtgt.c:247] KRB5 Error code: -1765328360 (Message: Preauthentication failed)
2023-08-10T11:52:23.435899+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Refresh TGT with new password failed
2023-08-10T11:52:23.435907+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Old password expired, not using it
2023-08-10T11:52:23.436381+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Failed to enumerate trusts at domain.com (error 31)
2023-08-10T11:52:23.436452+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Fatal error enumerating trusts for domain domain.com Error was ERROR_GEN_FAILURE (31)

Per vedere quando è stato aggiornato l'ultima volta la password dell'account del computer, controllare il dword.UnixLastChangeTime.value Per il provider in PSarestore:

/ifs/.ifsvar/pstore.gc

È possibile visualizzarlo anche sul lato controller di dominio nelle proprietà dell'account computer.

Per risolvere questo problema, rimuovere il cluster dal dominio, eliminare l'account computer dai controller di dominio e ricongiungerlo. In questo modo viene creata una nuova password dell'account del computer e l'accesso viene ripristinato.

Prima di uscire e ricongiungersi al dominio, è buona norma eseguire il backup delle mappature degli utenti.

isi auth mapping dump --file=/ifs/data/Isilon_Support/mapping_bakup