PowerScale OneFS: Indisponibilidade de dados após reversão para versões anteriores ao OneFS 9.5.0

O OneFS deve receber upgrade de versões anteriores ao OneFS 9.5.0 para as versões 9.5.0 ou posteriores.

Após a reversão, há indisponibilidade de dados baseada em autenticação; não é possível listar nem visualizar os usuários de domínio do cluster e os usuários não conseguem abrir compartilhamentos.

A senha da conta da máquina é o que o cluster usa ao se comunicar com os controladores de domínio.

No OneFS versão 9.5.0 e posterior, a senha da conta da máquina é armazenada no Key Manager, e versões anteriores do OneFS armazenam a senha no pstore. 

No OneFS 9.5, se a senha da conta da máquina do cluster for atualizada com base na configuração de vida útil da senha da máquina do provedor, ela só será atualizada no Key Manager, e não no pstore.

Se a versão for revertida para uma versão anterior ao OneFS 9.5.0, a senha da conta da máquina apresentada aos controladores de domínio está incorreta, pois seremos forçados a usar a senha pstore em versões mais antigas.

lsass Os logs mostram as seguintes entradas indicando que há problemas com a senha da conta da máquina:

2023-08-10T11:52:23.435858+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [LwKrb5GetTgtImpl /b/mnt/src/isilon/fsp/lwadvapi/threaded/krbtgt.c:247] KRB5 Error code: -1765328360 (Message: Preauthentication failed)
2023-08-10T11:52:23.435899+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Refresh TGT with new password failed
2023-08-10T11:52:23.435907+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Old password expired, not using it
2023-08-10T11:52:23.436381+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Failed to enumerate trusts at domain.com (error 31)
2023-08-10T11:52:23.436452+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Fatal error enumerating trusts for domain domain.com Error was ERROR_GEN_FAILURE (31)

Para ver quando a senha da conta da máquina foi atualizada pela última vez, verifique o dword.UnixLastChangeTime.value Para o provedor na pstore:

/ifs/.ifsvar/pstore.gc

Isso também pode ser visualizado no lado do controlador de domínio, nas propriedades da conta da máquina.

Para resolver esse problema, remova o cluster do domínio, exclua a conta da máquina dos controladores de domínio e ingresse novamente. Isso cria uma nova senha de conta de máquina e o acesso é restaurado.

Antes de sair e ingressar novamente no domínio, é uma boa prática fazer backup dos mapeamentos de usuário.

isi auth mapping dump --file=/ifs/data/Isilon_Support/mapping_bakup