Я установил кластер GPFS / Spectrum Scale на 2 узлах RHEL7. В этом кластере я создал файловую систему. Я хочу включить аутентификацию на основе LDAP с помощью kerberos, чтобы я мог использовать списки ACL NFSv4 для управления доступом
На управляющем узле кластера GPFS / Spectrum Scale я запускаю следующую команду:
mmuserauth service create --type ldap --data-access-method file --servers 9.xxx.xxx.xxx --base-dn dc=test,dc=sub,dc=domain,dc=com --user-name cn=bind,dc=test,dc=sub,dc=domain,dc=com --password xxxxxxx --netbios-name host1 --enable-kerberos --kerberos-server 9.xxx.xxx.xxx --kerberos-realm test.sub.domain.com
Я получаю следующую ошибку:
Either failed to create a samba domain entry on LDAP server if not present or could not read the already existing samba domain entry from the
Detailed message:smbldap_search_domain_info: Adding domain info for host1 failed with NT_STATUS_UNSUCCESSFUL
pdb_init_ldapsam: WARNING: Could not get domain info, nor add one to the domain. We cannot work reliably without it.
pdb backend ldapsam:ldap://9.xxx.xxx.xxx did not correctly init (error was NT_STATUS_CANT_ACCESS_DOMAIN_INFO)
WARNING: Could not open passdb
File authentication configuration failed.
mmuserauth service create: Command failed. Examine previous error messages to determine cause.
Я искал в Google, пытаясь найти исправление, но не смог. На сервере Active Directory, к которому он пытается подключиться, установлены расширения LDAP Unix, позволяющие включить аутентификацию LDAP на клиентах, которые его используют.
GPFS позволяет включать керберос только при использовании LDAP для аутентификации. Когда AD используется для аутентификации, опция Kerberos не может быть включена.
К сожалению для меня, для правильной работы списков ACL NFSv4 мне нужно, чтобы керберос работал.
Поскольку вы используете Active Directory в своей инфраструктуре, вам следует интегрировать Spectrum Scale с Active Directory с помощью --type ad вариант "создание службы mmuserauth" команда. Кроме того, поскольку расширения UNIX заполняются в Active Directory, вы также должны передать "--unixmap-domains" Параметр CLI, помогающий извлечь UID / GID из атрибутов UNIX.
Spectrum Scale 4.2 также поддерживает Kerberized NFSv4. Матрица поддержки -> https://www.ibm.com/support/knowledgecenter/STXKQY_4.2.0/com.ibm.spectrum.scale.v4r2.ins.doc/bl1ins_authconcept.htm
Поскольку файловая система GPFS была настроена для ACL NFSv4, она будет отображать все ACL в стиле NFSv4. Керберизованная NFS не нужна для использования этой возможности.