PowerScale OneFS. Недоступность данных после отката к версиям, предшествующим OneFS 9.5.0

OneFS необходимо модернизировать с версий, предшествующих OneFS 9.5.0, до версии 9.5.0 или более поздней.

После отката возникает недоступность данных на основе аутентификации; не удается перечислить или просмотреть пользователей домена в кластере, и пользователи не могут открыть общие ресурсы.

Пароль учетной записи компьютера — это пароль, который кластер использует при обмене данными с контроллерами домена.

В OneFS версии 9.5.0 и выше пароль учетной записи компьютера хранится в диспетчере ключей, в предыдущих версиях OneFS пароль хранился в pstore. 

Если в OneFS 9.5 пароль учетной записи компьютера кластера обновляется на основе параметра Срок жизни пароли компьютера поставщика, он обновляется только в диспетчере ключей, а не в pstore.

При откате к версии, предшествующей OneFS 9.5.0, пароль учетной записи компьютера, представленный контроллерам домена, теперь неверен, так как мы вынуждены использовать пароль pstore в более ранних версиях.

lsass В журналах имеются следующие записи, указывающие на наличие проблем с паролем учетной записи компьютера:

2023-08-10T11:52:23.435858+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [LwKrb5GetTgtImpl /b/mnt/src/isilon/fsp/lwadvapi/threaded/krbtgt.c:247] KRB5 Error code: -1765328360 (Message: Preauthentication failed)
2023-08-10T11:52:23.435899+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Refresh TGT with new password failed
2023-08-10T11:52:23.435907+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Old password expired, not using it
2023-08-10T11:52:23.436381+00:00 <30.4> CVSISILON1-1(id1) lsass[39396]: [lsass] Failed to enumerate trusts at domain.com (error 31)
2023-08-10T11:52:23.436452+00:00 <30.3> CVSISILON1-1(id1) lsass[39396]: [lsass] Fatal error enumerating trusts for domain domain.com Error was ERROR_GEN_FAILURE (31)

Чтобы узнать, когда пароль учетной записи компьютера был обновлен в последний раз, проверьте dword.UnixLastChangeTime.value Для провайдера в pstore:

/ifs/.ifsvar/pstore.gc

Его также можно просмотреть на стороне контроллера домена в свойствах учетной записи компьютера.

Для решения этой проблемы удалите кластер из домена, удалите учетную запись компьютера с контроллеров домена и повторно присоединитесь. При этом создается новый пароль учетной записи компьютера, и доступ восстанавливается.

Перед выходом из домена и повторным присоединением к нему рекомендуется выполнить резервное копирование сопоставлений пользователей.

isi auth mapping dump --file=/ifs/data/Isilon_Support/mapping_bakup