PowerScale OneFS: Niedostępność danych po przywróceniu wersji wcześniejszych niż OneFS 9.5.0

OneFS należy uaktualnić z wersji wcześniejszych niż OneFS 9.5.0 do wersji 9.5.0 lub nowszej.

Po wycofaniu występuje niedostępność danych oparta na uwierzytelnieniu; Nie można wyświetlić listy użytkowników domeny z klastra, a użytkownicy nie mogą otworzyć udziałów.

Hasło konta komputera jest używane przez klaster podczas komunikowania się z kontrolerami domeny.

W OneFS w wersji 9.5.0 i nowszych hasło konta komputera jest przechowywane w Menedżerze kluczy, poprzednie wersje OneFS przechowują hasło w pstore. 

W OneFS 9.5, jeśli hasło do konta komputera klastra jest aktualizowane na podstawie ustawienia żywotności hasła komputera dostawcy, jest ono aktualizowane tylko w menedżerze kluczy, a nie w pstore.

Jeśli wersja zostanie przywrócona do wersji wcześniejszej niż OneFS 9.5.0, hasło konta komputera wyświetlane kontrolerom domeny będzie teraz nieprawidłowe, ponieważ jesteśmy zmuszeni do używania hasła pstore w starszych wersjach.

lsass Dzienniki zawierają następujące wpisy wskazujące, że występują problemy z hasłem do konta komputera:

2023-08-10T11:52:23.435858+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [LwKrb5GetTgtImpl /b/mnt/src/isilon/fsp/lwadvapi/threaded/krbtgt.c:247] KRB5 Error code: -1765328360 (Message: Preauthentication failed)
2023-08-10T11:52:23.435899+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Refresh TGT with new password failed
2023-08-10T11:52:23.435907+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Old password expired, not using it
2023-08-10T11:52:23.436381+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Failed to enumerate trusts at domain.com (error 31)
2023-08-10T11:52:23.436452+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Fatal error enumerating trusts for domain domain.com Error was ERROR_GEN_FAILURE (31)

Aby sprawdzić, kiedy hasło do konta komputera zostało ostatnio zaktualizowane, sprawdź dword.UnixLastChangeTime.value Dla dostawcy w sklepie:

/ifs/.ifsvar/pstore.gc

Można to również wyświetlić po stronie kontrolera domeny we właściwościach konta maszyny.

Aby rozwiązać ten problem, usuń klaster z domeny, usuń konto komputera z kontrolerów domeny i ponownie dołącz. Spowoduje to utworzenie nowego hasła do konta komputera i przywrócenie dostępu.

Przed opuszczeniem domeny i ponownym dołączeniem do niej dobrym rozwiązaniem jest utworzenie kopii zapasowej mapowań użytkowników.

isi auth mapping dump --file=/ifs/data/Isilon_Support/mapping_bakup