PowerScale OneFS: Niet-beschikbaarheid van data na terugdraaien naar eerdere versies dan OneFS 9.5.0

OneFS moet worden geüpgraded van eerdere versies dan OneFS 9.5.0 naar versie 9.5.0 of hoger.

Na het terugdraaien is er op authenticatie gebaseerde niet-beschikbaarheid van data; kan geen domeingebruikers uit het cluster weergeven of weergeven en gebruikers kunnen geen shares openen.

Het wachtwoord van het machineaccount wordt door het cluster gebruikt bij de communicatie met domeincontrollers.

Op OneFS versie 9.5.0 en hoger wordt het wachtwoord van het machineaccount opgeslagen in Key Manager, eerdere versies van OneFS slaan het wachtwoord op in de pstore. 

Als in OneFS 9.5 het wachtwoord van het clustermachineaccount wordt bijgewerkt op basis van de instelling Levensduur machinewachtwoord op de provider, wordt het alleen bijgewerkt in Key Manager en niet in de pstore.

Als de versie wordt teruggedraaid naar een versie vóór OneFS 9.5.0, is het wachtwoord voor het machineaccount dat aan de domeincontrollers wordt getoond nu onjuist omdat we gedwongen zijn het pstore-wachtwoord op oudere versies te gebruiken.

lsass Logboeken tonen de volgende vermeldingen die aangeven dat er problemen zijn met het wachtwoord van het computeraccount:

2023-08-10T11:52:23.435858+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [LwKrb5GetTgtImpl /b/mnt/src/isilon/fsp/lwadvapi/threaded/krbtgt.c:247] KRB5 Error code: -1765328360 (Message: Preauthentication failed)
2023-08-10T11:52:23.435899+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Refresh TGT with new password failed
2023-08-10T11:52:23.435907+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Old password expired, not using it
2023-08-10T11:52:23.436381+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Failed to enumerate trusts at domain.com (error 31)
2023-08-10T11:52:23.436452+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Fatal error enumerating trusts for domain domain.com Error was ERROR_GEN_FAILURE (31)

Als u wilt zien wanneer het wachtwoord van het apparaataccount voor het laatst is bijgewerkt, controleert u de dword.UnixLastChangeTime.value Voor de aanbieder in de pStore:

/ifs/.ifsvar/pstore.gc

Dit kan ook worden bekeken aan de kant van de domeincontroller onder de eigenschappen van het machineaccount.

U kunt dit probleem verhelpen door het cluster uit het domein te verwijderen, het machineaccount van de domeincontrollers te verwijderen en vervolgens weer deel te nemen. Hiermee wordt een nieuw wachtwoord voor het machine-account gemaakt en wordt de toegang hersteld.

Voordat u het domein verlaat en er weer lid van wordt, is het een goede gewoonte om een back-up te maken van de gebruikerstoewijzingen.

isi auth mapping dump --file=/ifs/data/Isilon_Support/mapping_bakup