Skip to main content
AI Data Engine
본 한국어 번역은 사용자 편의를 위해 제공되는 기계 번역입니다. 영어 버전과 한국어 버전이 서로 어긋나는 경우에는 언제나 영어 버전이 우선합니다.

다중 노드 AI Data Engine 배포 환경에서 SMB/CIFS 공유에 대한 Kerberos를 구성합니다.

기여자 netapp-dbagwell
PDF

데이터 소스에 암호가 저장되지 않도록 Kerberos 인증을 사용하여 다중 노드 AI Data Engine(AIDE) 배포에서 SMB/CIFS 공유를 스캔합니다. 모든 노드는 동일한 Kerberos 구성을 사용하며, AI Data Engine은 Kerberos 티켓을 자동으로 갱신합니다.

단일 노드 배포 환경인 경우 "단일 노드 AI Data Engine 배포 환경에서 SMB/CIFS 공유에 대한 Kerberos 구성"을 참조하십시오.

시작하기 전에

권한 및 액세스

  • 귀하는 AI Data Engine 관리자 권한을 가지고 있습니다.

  • 모든 노드와 관리 호스트에 대한 루트 액세스가 있습니다. 관리 호스트는 NFS 내보내기를 마운트하고 키탭을 생성하는 호스트입니다. 노드 중 하나일 수 있습니다.

  • 관리 호스트에서 Kubernetes 클러스터에 대한 cluster-admin 권한이 있는 kubectl 액세스 권한이 있습니다. kubeconfig 파일을 사용하는 경우, KUBECONFIG 환경 변수를 해당 파일의 경로로 설정하십시오.

네트워크 및 시간 동기화

  • 시간 동기화 및 DNS를 포함하여 "네트워킹 요구 사항" 및 "Kerberos 및 Active Directory 요구 사항"를 검토했습니다.

  • 모든 노드가 TCP 포트 2049의 NFS 서버, 포트 88의 KDC, 포트 445의 파일 서버 및 포트 53의 DNS 서버에 연결할 수 있음을 확인했습니다.

  • 모든 노드에서 NTP가 활성화되어 있고 각 시계가 도메인 컨트롤러와 동기화되어 있는지 확인했습니다. 확인하려면 `timedatectl`을(를) 실행하십시오.

Active Directory

  • Active Directory에 스캔하려는 SMB/CIFS 공유에 대한 읽기 권한이 있는 스캔 서비스 계정이 있습니다. 이 계정은 AES256 암호화를 지원해야 합니다.

수집할 정보

  • 다음과 같은 정보가 있습니다:

    항목 설명 예

    KDC IP 주소

    Kerberos 키 배포 센터(KDC) 역할을 하는 도메인 컨트롤러의 IP 주소

    10.0.1.50

    KDC FQDN

    동일한 도메인 컨트롤러의 정규화된 도메인 이름(FQDN)

    dc.corp.example.com

    도메인

    Active Directory 도메인, 소문자

    corp.example.com

    영역

    대문자로 표기된 도메인인 Kerberos 영역

    CORP.EXAMPLE.COM

    스캔 사용자

    공유에 대한 읽기 액세스 권한이 있는 서비스 계정

    svc-aide

    스캔 비밀번호

    스캔 사용자 비밀번호입니다. 키탭을 생성할 때만 입력합니다.

    해당 사항 없음

    파일 서버 FQDN

    공유를 호스팅하는 파일 서버의 FQDN. IP 주소를 사용하지 마십시오.

    filer.corp.example.com

    공유 이름

    SMB/CIFS 공유 이름

    sharename

AI Data Engine이 사용하는 케르베로스 파일

AI Data Engine 구성을 포함하는 NFS 내보내기에 다음 파일을 생성합니다. 다음 표에서 `<export>`은(는) 해당 내보내기의 루트입니다.

파일 엑스포트 위치

Kerberos 구성

<export>/kerberos/krb5.conf

키탭

<export>/kerberos/kerberos_refresher/datasense.keytab

주요 파일

<export>/kerberos/kerberos_refresher/kerberos_creds.env

티켓 캐시 디렉토리

<export>/kerberos/kerberos_ccache

필요한 패키지를 설치합니다

`cifs-utils`이(가) 없는 노드에서는 SMB/CIFS 공유의 Kerberos 스캔이 실패합니다. SMB/CIFS 마운트는 AI Data Engine 내부에서 실행되지만, 노드의 운영 체제는 Kerberos 세션을 설정하기 위해  `cifs-utils` 구성 요소를 호출합니다. 관리 호스트에만 패키지를 설치하는 것으로는 충분하지 않습니다.
패키지 관리 호스트 모든 노드

krb5-user (Ubuntu 또는 Debian) 또는 krb5-workstation (RHEL, CentOS 또는 Rocky Linux)

필수

필수 아님

cifs-utils

필수

필수

Kerberos 클라이언트 툴은 키탭을 생성하고 테스트하는 데 사용하는 ktutil, kinit 및 klist 명령을 제공합니다.

단계

  1. 관리 호스트에서 Kerberos 클라이언트 툴 및 `cifs-utils`을(를) 설치합니다.

    1. Ubuntu 또는 Debian에서 다음 명령을 실행하십시오.

      apt-get update -qq
apt-get install -y krb5-user cifs-utils

    2. RHEL, CentOS 또는 Rocky Linux에서 다음 명령을 실행하십시오.

      dnf -y install krb5-workstation cifs-utils

  2. 다른 모든 노드에 설치하십시오 cifs-utils.

    1. Ubuntu 또는 Debian에서 다음 명령을 실행하십시오.

      apt-get update -qq
apt-get install -y cifs-utils

    2. RHEL, CentOS 또는 Rocky Linux에서 다음 명령을 실행하십시오.

      dnf -y install cifs-utils

  3. 각 노드에서 설치를 확인하십시오.

    which cifs.upcall

관리 호스트에 NFS 엑스포트를 마운트합니다.

관리 호스트에서 공유 구성 엑스포트에 액세스하여 모든 노드가 읽을 수 있는 위치에 Kerberos 파일을 생성하십시오.

단계

  1. AI Data Engine이 실행되는 네임스페이스를 설정하고 구성 볼륨 클레임이 바인딩되었는지 확인합니다. 기본 네임스페이스는 `aide`입니다.

    export NAMESPACE="<namespace>"
kubectl -n "${NAMESPACE}" get pvc aide-config-pvc

    상태는 `Bound`이어야 합니다.

  2. NFS 서버와 구성 볼륨의 내보내기 경로를 확인하십시오. AI Data Engine을 배포할 때 이러한 값을 지정했습니다.

    kubectl get pv aide-config-pv -o jsonpath='NFS server: {.spec.nfs.server}{"\n"}Export path: {.spec.nfs.path}{"\n"}'

  3. 내보내기를 마운트합니다. <nfs_server> 및 `<export_path>`를 이전 단계의 값으로 바꿉니다. 명령은 `/mnt/aide-config`을(를) 마운트 지점으로 사용합니다. 비어 있는 디렉터리는 모두 사용할 수 있습니다.

    mkdir -p /mnt/aide-config
mount -t nfs <nfs_server>:<export_path> /mnt/aide-config

  4. Kerberos 디렉터리를 생성합니다.

    export AIDE_CONFIG_ROOT="/mnt/aide-config"
mkdir -p "${AIDE_CONFIG_ROOT}/kerberos/kerberos_refresher"
mkdir -p "${AIDE_CONFIG_ROOT}/kerberos/kerberos_ccache"

Kerberos 파일을 생성합니다

AI Data Engine에 스캔 서비스 계정에 대한 Kerberos 티켓을 얻는 데 필요한 구성 및 자격 증명을 제공하십시오. 관리 호스트에서 다음 단계를 실행하십시오.

단계

  1. 다음 명령에서 사용할 변수를 설정하십시오. 꺾쇠괄호 안의 각 값을 원하는 값으로 바꾸고, 꺾쇠괄호는 포함하지 마십시오. 영역은 대문자로, 도메인은 소문자로 입력하십시오.

    export KDC_IP="<kdc_ip>"
export KDC_FQDN="<kdc_fqdn>"
export AD_DOMAIN="<domain>"
export REALM="<REALM>"
export SCAN_USER="<scan_user>"
export FILE_SERVER_FQDN="<file_server_fqdn>"
export SHARE_NAME="<share_name>"
export KRB5_CONF_SOURCE="${AIDE_CONFIG_ROOT}/kerberos/krb5.conf"
export KRB5_KEYTAB="${AIDE_CONFIG_ROOT}/kerberos/kerberos_refresher/datasense.keytab"
export KRB5_CREDS="${AIDE_CONFIG_ROOT}/kerberos/kerberos_refresher/kerberos_creds.env"

    1. 변수가 설정되었는지 확인하십시오.

      echo "NAMESPACE=[${NAMESPACE}] AIDE_CONFIG_ROOT=[${AIDE_CONFIG_ROOT}] KDC_IP=[${KDC_IP}] REALM=[${REALM}] SCAN_USER=[${SCAN_USER}]"
      참고 이 변수들은 현재 셸 세션에서만 존재합니다. 새 셸을 열면 변수를 다시 설정해야 합니다.

  2. NFS 내보내기에 Kerberos 구성 파일을 생성하십시오. AI Data Engine은 내보내기에서 이 파일을 읽습니다. 노드의 `/etc/krb5.conf`에 생성하지 마십시오.

    tee "${KRB5_CONF_SOURCE}" >/dev/null <<EOF
[libdefaults]
    default_realm = ${REALM}
    dns_lookup_realm = false
    dns_lookup_kdc = false
    rdns = false
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true

[realms]
    ${REALM} = {
        kdc = ${KDC_IP}:88
        admin_server = ${KDC_IP}:749
    }

[domain_realm]
    .${AD_DOMAIN} = ${REALM}
    ${AD_DOMAIN} = ${REALM}
EOF
chmod 644 "${KRB5_CONF_SOURCE}"

    해당 파일은 Kerberos 인증이 DNS에 의존하지 않도록 KDC IP 주소를 사용합니다.

  3. 스캔 서비스 계정에 대한 키탭을 생성합니다.

    1. 실행하십시오 ktutil.

    2. ktutil 프롬프트에서 다음 명령을 입력합니다. <scan_user> 및 <REALM>`을(를) 사용자의 값으로 바꿉니다. `ktutil 프롬프트는 셸 변수를 사용하지 않습니다.

      addent -password -p <scan_user>@<REALM> -k 1 -e aes256-cts-hmac-sha1-96

    3. `ktutil`에서 암호를 입력하라는 메시지가 나타나면 스캔 사용자의 암호를 입력하십시오.

    4. ktutil 프롬프트에서 다음 명령을 입력하십시오.

      wkt /tmp/krb5.keytab
quit

  4. 키탭을 테스트합니다. KRB5_CONFIG 변수는 Kerberos 툴이 내보내기에 있는 파일을 가리키도록 합니다.

    export KRB5_CONFIG="${KRB5_CONF_SOURCE}"
klist -kt /tmp/krb5.keytab
kinit -kt /tmp/krb5.keytab "${SCAN_USER}@${REALM}"
klist
kdestroy

    두 번째 klist 명령은 스캔 사용자에 대한 유효한 티켓을 표시해야 합니다. 티켓은 키탭과 KDC 연결이 작동하는지 확인합니다. `kinit`이(가) 실패할 경우 Kerberos 인증 문제 해결을(를) 참조하십시오.

  5. 키탭을 설치한 다음 임시 복사본을 삭제하십시오.

    install -m 640 -g 4321 /tmp/krb5.keytab "${KRB5_KEYTAB}"
rm -f /tmp/krb5.keytab

  6. 티켓 리프레셔가 티켓 캐시 디렉토리에 쓰기 권한을 갖도록 설정하세요.

    chown root:4321 "${AIDE_CONFIG_ROOT}/kerberos/kerberos_ccache"
chmod 770 "${AIDE_CONFIG_ROOT}/kerberos/kerberos_ccache"

    티켓 갱신 프로그램은 그룹 ID가 4321인 루트 사용자로 실행됩니다. 키탭 및 주체 파일을 읽을 수 있어야 하며, 티켓 캐시 디렉터리에 쓸 수 있어야 합니다.

  7. 주 파일을 생성합니다. KRB5_RENEW_INTERVAL_H 값은 티켓 갱신 간격(시간)입니다.

    tee "${KRB5_CREDS}" >/dev/null <<EOF
KRB5_USER=${SCAN_USER}
KRB5_REALM=${REALM}
KRB5_RENEW_INTERVAL_H=3
EOF
chmod 640 "${KRB5_CREDS}"
chgrp 4321 "${KRB5_CREDS}"

  8. 파일이 제 위치에 있는지 확인하십시오.

    ls -l "${KRB5_CONF_SOURCE}" "${KRB5_KEYTAB}" "${KRB5_CREDS}"

이름 풀이 확인

AI Data Engine은 각 노드의 DNS 설정을 사용하여 파일 서버와 KDC를 확인합니다. 먼저 이름 확인을 검증하고, 노드에서 이름이 확인되지 않는 경우에만 DNS 설정을 변경하십시오.

단계

  1. 각 노드에서 파일 서버와 KDC가 FQDN으로 확인되는지 확인하십시오. 해당 값을 실제 파일 서버 FQDN과 KDC FQDN으로 바꾸십시오.

    nslookup <file_server_fqdn>
nslookup <kdc_fqdn>

  2. 결과를 확인하십시오.

    1. 두 이름 모두 모든 노드에서 올바른 IP 주소로 확인되면 첫 번째 티켓 새로 고침을 시작하십시오(으)로 계속 진행합니다.

    2. 어떤 노드에서도 이름이 확인되지 않으면, 이름 확인 문제 해결을(를) 완료한 다음 이 절차로 돌아오십시오.

첫 번째 티켓 새로 고침을 시작하십시오

AI Data Engine은 스캔 서비스 계정에 대한 Kerberos 티켓을 3시간마다 갱신합니다. 공유를 즉시 스캔할 수 있도록 첫 번째 갱신을 시작하십시오.

참고 호스트 crontab에 kinit 항목을 추가하지 마십시오. AI Data Engine은 티켓을 자동으로 새로 고칩니다.
단계

  1. 관리 호스트에서 새로 고침 작업을 시작하고, 완료될 때까지 기다린 후 로그를 표시합니다.

    JOB="kerberos-refresh-$(date +%s)"
kubectl -n "${NAMESPACE}" create job "${JOB}" --from=cronjob/ds-krb5-ticket-refresher
kubectl -n "${NAMESPACE}" wait --for=condition=complete "job/${JOB}" --timeout=120s
kubectl -n "${NAMESPACE}" logs "job/${JOB}"

  2. 공유 티켓 캐시가 존재하고 최신 타임스탬프를 가지고 있는지 확인하십시오.

    ls -l "${AIDE_CONFIG_ROOT}/kerberos/kerberos_ccache/krb5cc_shared"
결과

작업 로그에 따르면 스캔 사용자에게 티켓이 발급되었습니다.

Kerberos 구성 확인

공유를 추가하기 전에 AI Data Engine이 Kerberos 파일을 사용하고 이름을 확인할 수 있는지 확인하십시오. 마운트 서비스는 여러 노드에서 실행될 수 있으므로 각 노드의 Pod에 대해 검사를 반복하십시오. 새 셸을 열었다면 NAMESPACE, FILE_SERVER_FQDN 및 SHARE_NAME 변수를 다시 설정하십시오.

단계

  1. 마운트 서비스 파드와 해당 파드가 실행되는 노드를 나열합니다.

    kubectl -n "${NAMESPACE}" get pods -l app.kubernetes.io/name=ds-mount-server -o wide

  2. 각 파드에 대해 다음 명령을 실행하십시오. `<pod_name>`을(를) 파드의 이름으로 바꾸십시오.

    POD=<pod_name>
kubectl -n "${NAMESPACE}" exec "${POD}" -- nslookup "${FILE_SERVER_FQDN}"
kubectl -n "${NAMESPACE}" exec "${POD}" -- klist
kubectl -n "${NAMESPACE}" exec "${POD}" -- cat /etc/krb5.conf

  3. (선택 사항) Kerberos를 사용하여 공유 마운트를 테스트합니다.

    kubectl -n "${NAMESPACE}" exec "${POD}" -- sh -c "mount -t cifs -o sec=krb5,multiuser //${FILE_SERVER_FQDN}/${SHARE_NAME} /mnt && ls -l /mnt && umount /mnt"
결과

모든 노드에서 파일 서버가 올바른 IP 주소로 확인되고, `klist`은(는) 스캔 사용자에 대한 티켓을 표시하며, 그리고 `/etc/krb5.conf`은(는) Kerberos 구성 파일의 내용을 표시합니다.

Kerberos를 사용하는 SMB/CIFS 데이터 소스를 추가합니다

공유를 데이터 소스로 추가하고 스캔을 시작하여 AI Data Engine이 데이터 분석을 시작할 수 있도록 하십시오.

단계

  1. AI Data Engine UI에서 *구성*을 선택합니다.

  2. 스캔된 시스템 탭에서 *시스템 추가*를 선택합니다.

  3. *파일 공유 그룹*을 선택하세요.

  4. 그룹 이름을 입력하세요.

  5. <file_server_fqdn>/<share_name> 형식으로 공유 경로를 입력하십시오. 자리 표시자를 실제 값으로 바꾸십시오. IP 주소를 사용하지 마십시오.

  6. 인증 방법으로 *Kerberos*를 선택하십시오. 사용자 이름과 비밀번호 필드는 비워 두십시오.

  7. 선택 사항을 검토하고 *확인*을 선택하십시오.

  8. 새 시스템에 대해 *스캔 활성화*를 선택하십시오.

데이터 소스 연결에 대한 자세한 내용은 "데이터 소스를 AI Data Engine에 연결합니다"을(를) 참조하십시오.

이름 확인 문제 해결

파일 서버 또는 KDC가 노드에서 FQDN으로 확인되지 않는 경우에만 이 절차를 완료하십시오. 이 절차는 모든 노드에서 Active Directory DNS 서버를 유일한 네임 서버로 설정합니다.

주의 모든 노드에서 Active Directory DNS 서버를 유일한 네임 서버로 설정하십시오. 클러스터는 나열된 네임 서버 중 하나를 무작위로 선택하므로 Active Directory 이름을 확인할 수 없는 네임 서버는 간헐적인 오류를 발생시킵니다.
단계

  1. Active Directory DNS 서버가 외부 이름도 확인하는지 확인하십시오.

    1. 다음 명령을 실행하십시오. `<external_fqdn>`을(를) AI Data Engine이 도달해야 하는 도메인 외부의 이름으로 바꾸십시오. 예를 들어, "아웃바운드 인터넷 액세스"에 나열된 엔드포인트를 사용하십시오.

      nslookup <external_fqdn> "${KDC_IP}"

    2. 명령이 실패하면 Active Directory 관리자에게 DNS 포워딩을 활성화하도록 요청한 다음 이 단계를 반복하십시오.

  2. 모든 노드에서 /etc/resolv.conf`을(를) 백업하고 Active Directory DNS 서버를 유일한 네임 서버로 설정하십시오. 노드에서 새 셸을 여는 경우 `KDC_IP 변수를 다시 설정하십시오.

    export KDC_IP="<kdc_ip>"
cp /etc/resolv.conf /etc/resolv.conf.bak
ORIG_SEARCH=$(grep '^search' /etc/resolv.conf.bak | head -1 | cut -d' ' -f2-)
printf 'search %s\nnameserver %s\n' "${ORIG_SEARCH}" "${KDC_IP}" > /etc/resolv.conf

  3. 모든 노드에서 네트워크 관리자가 재시작 후 DNS 설정을 덮어쓰지 않도록 하십시오.

    1. NetworkManager가 있는 RHEL에서 다음 명령을 실행하십시오.

      mkdir -p /etc/NetworkManager/conf.d
printf '[main]\ndns=none\n' > /etc/NetworkManager/conf.d/90-dns-none.conf
systemctl reload NetworkManager

    2. systemd-resolved가 설치된 Ubuntu에서는 다음 명령을 실행하십시오. `<domain>`을(를) 사용자 도메인으로 바꾸십시오.

      export AD_DOMAIN="<domain>"
mkdir -p /etc/systemd/resolved.conf.d
printf '[Resolve]\nDNS=%s\nDomains=%s\n' "${KDC_IP}" "${AD_DOMAIN}" > /etc/systemd/resolved.conf.d/ad-dns.conf
systemctl restart systemd-resolved

  4. 관리 호스트에서 CoreDNS를 재시작하여 AI Data Engine이 새 DNS 설정을 사용하도록 하십시오. 이 단계는 클러스터에 대해 한 번만 실행하면 됩니다. CoreDNS는 클러스터 외부의 이름에 대한 쿼리를 노드의 /etc/resolv.conf 파일에 있는 네임 서버로 전달하므로 변경 사항을 적용하려면 재시작해야 합니다.

    1. CoreDNS 배포를 찾으십시오.

      kubectl -n kube-system get deployments | grep -i coredns

    2. 배포를 다시 시작하십시오. `<coredns_deployment>`을(를) 이전 명령의 이름으로 바꾸십시오.

      kubectl -n kube-system rollout restart deployment <coredns_deployment>
kubectl -n kube-system rollout status deployment <coredns_deployment> --timeout=120s

  5. 이름 확인을 다시 확인하십시오. 이름 풀이 확인을(를) 참조하십시오.

Kerberos 구성 파일 업데이트

설정 후 NFS 내보내기에서 `krb5.conf`을(를) 교체하는 경우(예: 새 파일을 복사하여 덮어쓰는 경우), AI Data Engine은 영향을 받는 서비스를 다시 시작할 때까지 이전 파일을 계속 사용합니다.

단계

  1. 관리 호스트에서 마운트 서비스를 재시작하고 이전 티켓 새로 고침 작업을 삭제하십시오.

    kubectl -n "${NAMESPACE}" rollout restart daemonset ds-mount-server
kubectl -n "${NAMESPACE}" delete job -l app.kubernetes.io/name=ds-krb5-ticket-refresher --ignore-not-found

  2. 새 티켓 갱신을 시작하십시오. 첫 번째 티켓 새로 고침을 시작하십시오을(를) 참조하십시오.

Kerberos 인증 문제 해결

Kerberos 오류의 원인을 찾아 SMB/CIFS 공유 스캔을 복원하십시오.

징후 가능한 원인 해결

공유를 추가할 때 *Kerberos에서 IP가 허용되지 않습니다*라는 오류가 나타납니다.

공유 경로는 IP 주소를 사용합니다.

공유 경로를 FQDN으로 입력하십시오.

키탭을 테스트할 때 `kinit`이(가) 실패하거나 티켓이 발급되지 않습니다.

암호 또는 영역이 잘못되었거나, 영역이 대문자가 아니거나, 스캔 계정이 AES256 암호화를 지원하지 않거나, 관리 호스트 또는 노드가 88번 포트에서 KDC에 연결할 수 없거나, 노드의 시계가 KDC와 허용된 편차 이상으로 차이가 납니다.

암호와 영역을 확인하고 계정이 AES256 암호화를 지원하는지 확인하십시오. KDC에 대한 88번 포트를 열고 모든 노드에서 NTP가 활성화되어 있는지 확인하십시오. 그런 다음 키탭을 다시 생성하십시오.

티켓 새로 고침 작업이 실패하거나 티켓 캐시가 생성되지 않습니다.

키탭, principal 파일 또는 `krb5.conf`이(가) 없거나 비어 있거나, 그룹 소유권 및 권한이 올바르지 않습니다.

AI Data Engine이 사용하는 케르베로스 파일에 나열된 위치에 파일이 있는지 확인하십시오. keytab 및 principal 파일의 모드가 640이고 그룹이 4321인지 확인하십시오. 티켓 캐시 디렉터리의 소유자가 `root:4321`이고 모드가 770인지 확인하십시오.

이름이 간헐적으로 확인되지 않거나, 노드에서는 확인되지만 AI Data Engine 내에서는 확인되지 않습니다.

노드에 둘 이상의 네임 서버가 나열되어 있고 그 중 하나가 Active Directory 이름을 확인할 수 없거나, `/etc/resolv.conf`을(를) 변경한 후 CoreDNS가 다시 시작되지 않았습니다.

모든 노드에서 Active Directory DNS 서버를 제외한 모든 네임 서버를 제거하고 CoreDNS를 다시 시작하십시오. 이름 확인 문제 해결을(를) 참조하십시오.

Active Directory DNS 서버를 설정한 후 AI Data Engine 내에서 외부 이름이 확인되지 않습니다.

Active Directory DNS 서버는 외부 쿼리를 전달하지 않습니다.

nslookup <external_fqdn> "${KDC_IP}" 결과가 반환되는지 확인하십시오. 결과가 반환되지 않으면 Active Directory 관리자에게 DNS 포워딩을 활성화하도록 요청하십시오.

Kerberos 스캔은 한 노드에서는 작동하지만 다른 노드에서는 실패합니다. mount error(2) 오류가 나타나고 노드의 `dmesg`에는 *failed to create a new SMB session with Kerberos*가 표시됩니다.

cifs-utils 모든 노드에 설치되어 있는 것은 아닙니다.

모든 노드에 `cifs-utils`를 설치하십시오. 설치를 확인하려면 `which cifs.upcall`를 실행하십시오.

mount error(126) 오류가 나타납니다.

AI Data Engine은 NFS 내보내기에서 읽을 krb5.conf 수 없습니다.

`<export>/kerberos/krb5.conf`이(가) 존재하는지, 그리고 `kubectl -n "${NAMESPACE}" exec <pod_name> -- cat /etc/krb5.conf`이(가) 그 내용을 표시하는지 확인하십시오.

`krb5.conf`에 대한 변경 사항이 적용되지 않습니다.

설정 후 파일이 교체되었으며, AI Data Engine은 여전히 이전 파일을 사용합니다.

Kerberos 구성 파일 업데이트을(를) 참조하십시오.

ktutil, kinit 또는 klist 명령어를 찾을 수 없습니다.

Kerberos 클라이언트 툴이 관리 호스트에 설치되어 있지 않습니다.

Kerberos 클라이언트 툴을 설치합니다. 필요한 패키지를 설치합니다을(를) 참조하십시오.

노드의 /etc/resolv.conf 파일은 재시작 후 이전 설정으로 되돌아갑니다.

네트워크 관리자가 파일을 덮어씁니다.

네트워크 관리자가 DNS 설정을 덮어쓰지 못하도록 방지하십시오. 이름 확인 문제 해결를 참조하십시오.

Kerberos 구성 제거

더 이상 Kerberos를 사용하여 SMB/CIFS 공유를 스캔하지 않는 경우 데이터 소스와 Kerberos 파일을 제거하십시오.

단계

  1. AI Data Engine UI에서 Kerberos를 사용하는 SMB/CIFS 데이터 소스를 삭제합니다.

  2. 관리 호스트에서 NFS 내보내기가 `/mnt/aide-config`에 마운트된 상태로 Kerberos 파일을 삭제합니다.

    rm -f /mnt/aide-config/kerberos/kerberos_refresher/datasense.keytab
rm -f /mnt/aide-config/kerberos/kerberos_refresher/kerberos_creds.env
rm -f /mnt/aide-config/kerberos/krb5.conf
rm -f /mnt/aide-config/kerberos/kerberos_ccache/krb5cc_shared
umount /mnt/aide-config

  3. DNS 설정을 변경했다면 원래 설정으로 복원하십시오.

    1. 모든 노드에서 `/etc/resolv.conf`의 백업을 복원하십시오.

      cp /etc/resolv.conf.bak /etc/resolv.conf

    2. NetworkManager 구성을 추가한 RHEL 노드에서 해당 구성을 제거하십시오.

      rm -f /etc/NetworkManager/conf.d/90-dns-none.conf
systemctl reload NetworkManager

    3. systemd-resolved 구성을 추가한 Ubuntu 노드에서 해당 구성을 제거하십시오.

      rm -f /etc/systemd/resolved.conf.d/ad-dns.conf
systemctl restart systemd-resolved

    4. 관리 호스트에서 CoreDNS를 다시 시작하십시오. `<coredns_deployment>`을(를) CoreDNS 배포 이름으로 바꾸십시오.

      kubectl -n kube-system rollout restart deployment <coredns_deployment>