View a markdown version of this page

Problembehandlung bei der Mehrbenutzerintegration mit Active Directory - AWS ParallelCluster
Active Directory-spezifische ProblembehandlungDebug-Modus aktivierenWie wechselt man von LDAPS zu LDAPWie deaktiviere ich die Überprüfung des LDAPS-ServerzertifikatsWie melde ich mich mit einem SSH-Schlüssel und nicht mit einem Passwort anWie setze ich ein Benutzerpasswort und abgelaufene Passwörter zurückWie verifiziere ich die beigetretene DomainWie behebt man Probleme mit ZertifikatenWie kann überprüft werden, ob die Integration mit Active Directory funktioniertWie behebe ich Probleme beim Einloggen bei Compute NodesBekannte Probleme mit SimCenter StarCCM+-Aufträgen in einer MehrbenutzerumgebungBekannte Probleme bei der Auflösung von NutzernamenWie löst man Probleme beim Erstellen des Home-Verzeichnisses

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Problembehandlung bei der Mehrbenutzerintegration mit Active Directory

Dieser Abschnitt ist relevant für Cluster, die in ein Active Directory integriert sind.

Wenn die Active Directory-Integrationsfunktion nicht wie erwartet funktioniert, können die SSSD-Protokolle nützliche Diagnoseinformationen liefern. Diese Protokolle befinden sich /var/log/sssd auf den Clusterknoten. Standardmäßig werden sie auch in der CloudWatch Amazon-Protokollgruppe eines Clusters gespeichert.

Active Directory-spezifische Problembehandlung

Dieser Abschnitt ist relevant für die Problembehandlung, die für einen bestimmten Active Directory-Typ spezifisch ist.

Simple AD

  • Der DomainReadOnlyUser Wert muss mit der einfachen AD-Verzeichnis-Basissuche für Benutzer übereinstimmen:

    cn=ReadOnlyUser,cn=Users,dc=corp,dc=example,dc=com

    Hinweis cn fürUsers.

  • Der Standard-Admin-Benutzer istAdministrator.

  • Ldapsearcherfordert den NetBIOS-Namen vor dem Benutzernamen.

    LdapsearchDie Syntax muss wie folgt lauten:

    $ ldapsearch -x -D "corp\\Administrator" -w "Password" -H ldap://192.0.2.103 \
   -b "cn=Users,dc=corp,dc=example,dc=com"

AWS Managed Microsoft AD

  • Der DomainReadOnlyUser Wert muss mit der AWS Managed Microsoft AD Verzeichnis-Basissuche für Benutzer übereinstimmen:

    cn=ReadOnlyUser,ou=Users,ou=CORP,dc=corp,dc=example,dc=com

  • Der Standard-Admin-Benutzer istAdmin.

  • LdapsearchDie Syntax muss wie folgt lauten:

    $ ldapsearch -x -D "Admin" -w "Password" -H ldap://192.0.2.103 \
   -b "ou=Users,ou=CORP,dc=corp,dc=example,dc=com"

Debug-Modus aktivieren

Debug-Protokolle von SSSD können bei der Behebung von Problemen hilfreich sein. Um den Debug-Modus zu aktivieren, müssen Sie den Cluster mit den folgenden Änderungen aktualisieren, die an der Clusterkonfiguration vorgenommen wurden:

DirectoryService:
  AdditionalSssdConfigs:
    debug_level: "0x1ff"

Wie wechselt man von LDAPS zu LDAP

Von der Umstellung von LDAPS (LDAP mit TLS/SSL) auf LDAP wird abgeraten, da LDAP allein keine Verschlüsselung bietet. Dennoch kann es zu Testzwecken und zur Fehlerbehebung nützlich sein.

Sie können die vorherige Konfiguration des Clusters wiederherstellen, indem Sie den Cluster mit der vorherigen Konfigurationsdefinition aktualisieren.

Um von LDAPS zu LDAP zu wechseln, müssen Sie den Cluster mit den folgenden Änderungen in der Clusterkonfiguration aktualisieren:

DirectoryService:
  LdapTlsReqCert: never
  AdditionalSssdConfigs:
    ldap_auth_disable_tls_never_use_in_production: True

Wie deaktiviere ich die Überprüfung des LDAPS-Serverzertifikats

Zu Test- oder Problembehandlungszwecken kann es nützlich sein, die Überprüfung des LDAPS-Serverzertifikats auf dem Hauptknoten vorübergehend zu deaktivieren.

Sie können die vorherige Konfiguration des Clusters wiederherstellen, indem Sie den Cluster mit der vorherigen Konfigurationsdefinition aktualisieren.

Um die Überprüfung des LDAPS-Serverzertifikats zu deaktivieren, müssen Sie den Cluster mit den folgenden Änderungen in der Clusterkonfiguration aktualisieren:

DirectoryService:
  LdapTlsReqCert: never

Wie melde ich mich mit einem SSH-Schlüssel und nicht mit einem Passwort an

Der SSH-Schlüssel wird erstellt, /home/$user/.ssh/id_rsa nachdem Sie sich zum ersten Mal mit einem Passwort angemeldet haben. Um sich mit dem SSH-Schlüssel anzumelden, müssen Sie sich mit Ihrem Passwort anmelden, den SSH-Schlüssel lokal kopieren und ihn dann wie gewohnt verwenden, um passwortlos zu SSH:

$ ssh -i $LOCAL_PATH_TO_SSH_KEY $username@$head_node_ip

Wie setze ich ein Benutzerpasswort und abgelaufene Passwörter zurück

Wenn ein Benutzer den Zugriff auf einen Cluster verliert, ist sein AWS Managed Microsoft AD Passwort möglicherweise abgelaufen.

Um das Passwort zurückzusetzen, führen Sie den folgenden Befehl mit einem Benutzer und einer Rolle aus, die Schreibberechtigungen für das Verzeichnis haben:

$ aws ds reset-user-password \
  --directory-id "d-abcdef01234567890" \
  --user-name "USER_NAME" \
  --new-password "NEW_PASSWORD" \
  --region "region-id"

Wenn Sie das Passwort für DirectoryService/zurücksetzen DomainReadOnlyUser:

  1. Achten Sie darauf, den PasswordSecretArn Schlüssel DirectoryService/mit dem neuen Passwort zu aktualisieren.

  2. Aktualisieren Sie den Cluster für den neuen Geheimwert:

    1. Stoppen Sie die Rechenflotte mit dem pcluster update-compute-fleet Befehl.

    2. Führen Sie den folgenden Befehl vom Cluster-Hauptknoten aus.

      $ sudo /opt/parallelcluster/scripts/directory_service/update_directory_service_password.sh

Nach dem Zurücksetzen des Kennworts und dem Cluster-Update sollte der Cluster-Zugriff des Benutzers wiederhergestellt werden.

Weitere Informationen finden Sie im Directory Service Administratorhandbuch unter Zurücksetzen eines Benutzerkennworts.

Wie verifiziere ich die beigetretene Domain

Der folgende Befehl muss von einer Instanz ausgeführt werden, die der Domäne beigetreten ist, nicht vom Hauptknoten.

$ realm list corp.example.com \
  type: kerberos \
  realm-name: CORP.EXAMPLE.COM \
  domain-name: corp.example.com \
  configured: kerberos-member \
  server-software: active-directory \
  client-software: sssd \
  required-package: oddjob \
  required-package: oddjob-mkhomedir \
  required-package: sssd \
  required-package: adcli \
  required-package: samba-common-tools \
  login-formats: %U \
  login-policy: allow-realm-logins

Wie behebt man Probleme mit Zertifikaten

Wenn die LDAPS-Kommunikation nicht funktioniert, kann dies an Fehlern in der TLS-Kommunikation liegen, die wiederum auf Probleme mit Zertifikaten zurückzuführen sein können.

Hinweise zu Zertifikaten:

  • Bei dem in der Clusterkonfiguration angegebenen Zertifikat LdapTlsCaCert muss es sich um ein Paket von PEM-Zertifikaten handeln, das die Zertifikate für die gesamte Zertifizierungskette (CA) enthält, die Zertifikate für die Domänencontroller ausgestellt hat.

  • Ein Paket von PEM-Zertifikaten ist eine Datei, die aus der Verkettung von PEM-Zertifikaten besteht.

  • Ein Zertifikat im PEM-Format (normalerweise unter Linux verwendet) entspricht einem Zertifikat im Base64-DER-Format (normalerweise von Windows exportiert).

  • Wenn das Zertifikat für Domänencontroller von einer untergeordneten Zertifizierungsstelle ausgestellt wird, muss das Zertifikatspaket das Zertifikat sowohl der untergeordneten Zertifizierungsstelle als auch der Stammzertifizierungsstelle enthalten.

Schritte zur Fehlerbehebung bei der Überprüfung:

Bei den folgenden Überprüfungsschritten wird davon ausgegangen, dass die Befehle vom Cluster-Hauptknoten aus ausgeführt werden und dass der Domänencontroller unter erreichbar istSERVER:PORT.

Gehen Sie folgendermaßen vor, um ein Problem im Zusammenhang mit Zertifikaten zu beheben:

Schritte zur Überprüfung:

  1. Überprüfen Sie die Verbindung zu den Active Directory-Domänencontrollern:

    Stellen Sie sicher, dass Sie eine Verbindung zu einem Domänencontroller herstellen können. Wenn dieser Schritt erfolgreich ist, ist die SSL-Verbindung zum Domänencontroller erfolgreich und das Zertifikat wird verifiziert. Ihr Problem bezieht sich nicht auf Zertifikate.

    Wenn dieser Schritt fehlschlägt, fahren Sie mit der nächsten Überprüfung fort.

    $ openssl s_client -connect SERVER:PORT -CAfile PATH_TO_CA_BUNDLE_CERTIFICATE

  2. Überprüfen Sie die Überprüfung des Zertifikats:

    Stellen Sie sicher, dass das lokale CA-Zertifikatspaket das vom Domänencontroller bereitgestellte Zertifikat validieren kann. Wenn dieser Schritt erfolgreich ist, bezieht sich Ihr Problem nicht auf Zertifikate, sondern auf andere Netzwerkprobleme.

    Wenn dieser Schritt fehlschlägt, fahren Sie mit der nächsten Überprüfung fort.

    $ openssl verify -verbose -CAfile PATH_TO_CA_BUNDLE_CERTIFICATE PATH_TO_A_SERVER_CERTIFICATE

  3. Überprüfen Sie das von den Active Directory-Domänencontrollern bereitgestellte Zertifikat:

    Stellen Sie sicher, dass der Inhalt des von den Domänencontrollern bereitgestellten Zertifikats den Erwartungen entspricht. Wenn dieser Schritt erfolgreich ist, haben Sie wahrscheinlich Probleme mit dem CA-Zertifikat, das zur Überprüfung der Controller verwendet wird. Fahren Sie mit dem nächsten Schritt zur Problembehandlung fort.

    Schlägt dieser Schritt fehl, müssen Sie das für die Domänencontroller ausgestellte Zertifikat korrigieren und die Schritte zur Problembehandlung erneut ausführen.

    $ openssl s_client -connect SERVER:PORT -showcerts

  4. Überprüfen Sie den Inhalt eines Zertifikats:

    Stellen Sie sicher, dass der Inhalt des von den Domänencontrollern bereitgestellten Zertifikats den Erwartungen entspricht. Wenn dieser Schritt erfolgreich ist, haben Sie wahrscheinlich Probleme mit dem CA-Zertifikat, das zur Überprüfung des Controllers verwendet wird. Fahren Sie mit dem nächsten Schritt zur Problembehandlung fort.

    Wenn dieser Schritt fehlschlägt, müssen Sie das für die Domänencontroller ausgestellte Zertifikat korrigieren und die Schritte zur Problembehandlung erneut ausführen.

    $ openssl s_client -connect SERVER:PORT -showcerts

  5. Überprüfen Sie den Inhalt des lokalen CA-Zertifikatspakets:

    Stellen Sie sicher, dass der Inhalt des lokalen CA-Zertifikatspakets, das zur Validierung des Domänencontroller-Zertifikats verwendet wird, den Erwartungen entspricht. Wenn dieser Schritt erfolgreich ist, haben Sie wahrscheinlich Probleme mit dem Zertifikat, das von den Domänencontrollern bereitgestellt wird.

    Schlägt dieser Schritt fehl, müssen Sie das für die Domänencontroller ausgestellte CA-Zertifikatspaket korrigieren und die Schritte zur Problembehandlung erneut ausführen.

    $ openssl x509 -in PATH_TO_A_CERTIFICATE -text

Wie kann überprüft werden, ob die Integration mit Active Directory funktioniert

Wenn die folgenden beiden Überprüfungen erfolgreich sind, funktioniert die Integration mit dem Active Directory.

Überprüft:

  1. Sie können Benutzer finden, die im Verzeichnis definiert sind:

    Innerhalb des Cluster-Kopfknotens alsec2-user:

    $ getent passwd $ANY_AD_USER

  2. Sie können sich per SSH in den Hauptknoten einloggen und dabei das Benutzerkennwort angeben: 

    $ ssh $ANY_AD_USER@$HEAD_NODE_IP

Wenn Prüfung eins fehlschlägt, erwarten wir, dass auch Prüfung zwei fehlschlägt.

Zusätzliche Überprüfungen zur Fehlerbehebung:

  • Stellen Sie sicher, dass der Benutzer im Verzeichnis existiert.

  • Aktivieren Sie die Debug-Protokollierung.

  • Erwägen Sie, die Verschlüsselung vorübergehend zu deaktivieren, indem Sie von LDAPS zu LDAP wechseln, um LDAPS-Probleme auszuschließen.

Wie behebe ich Probleme beim Einloggen bei Compute Nodes

Dieser Abschnitt ist relevant für die Anmeldung bei Rechenknoten in Clustern, die in Active Directory integriert sind.

Mit AWS ParallelCluster sind Kennwortanmeldungen an Cluster-Rechenknoten standardmäßig deaktiviert.

Alle Benutzer müssen ihren eigenen SSH-Schlüssel verwenden, um sich bei Rechenknoten anzumelden.

Benutzer können ihren SSH-Schlüssel nach der ersten Authentifizierung (z. B. Anmeldung) im Hauptknoten abrufen, sofern er in der Cluster-Konfiguration aktiviert GenerateSshKeysForUsers ist.

Wenn sich Benutzer zum ersten Mal auf dem Hauptknoten authentifizieren, können sie SSH-Schlüssel abrufen, die automatisch für sie als Verzeichnisbenutzer generiert werden. Home-Verzeichnisse für den Benutzer werden ebenfalls erstellt. Dies kann auch passieren, wenn ein Sudo-Benutzer zum ersten Mal zu einem Benutzer im Kopfknoten wechselt.

Wenn sich ein Benutzer nicht am Head-Node angemeldet hat, werden keine SSH-Schlüssel generiert und der Benutzer kann sich nicht bei Compute Nodes anmelden.

Bekannte Probleme mit SimCenter StarCCM+-Aufträgen in einer Mehrbenutzerumgebung

Dieser Abschnitt ist relevant für Jobs, die in einer Mehrbenutzerumgebung mit der Simcenter StarCCM+ Software für numerische Strömungsdynamik von Siemens gestartet wurden.

Wenn Sie StarCCM+ v16-Jobs ausführen, die für die Verwendung des eingebetteten IntelMPI konfiguriert sind, werden die MPI-Prozesse standardmäßig mit SSH gebootet.

Aufgrund eines bekannten Slurm Fehlers, der dazu führt, dass die Benutzernamenauflösung falsch ist, schlagen Aufträge möglicherweise mit einer Fehlermeldung wie fehl. error setting up the bootstrap proxies Dieser Fehler betrifft nur die AWS ParallelCluster Versionen 3.1.1 und 3.1.2.

Um dies zu verhindern, zwingen Sie IntelMPI, Slurm als MPI-Bootstrap-Methode zu verwenden. Exportieren Sie die Umgebungsvariable I_MPI_HYDRA_BOOTSTRAP=slurm in das Job-Skript, das StarCCM+ startet, wie in der offiziellen IntelMPI-Dokumentation beschrieben. https://www.intel.com/content/www/us/en/develop/documentation/mpi-developer-reference-linux/top/environment-variable-reference/hydra-environment-variables.html

Bekannte Probleme bei der Auflösung von Nutzernamen

Dieser Abschnitt ist relevant für das Abrufen von Benutzernamen innerhalb von Jobs.

Aufgrund eines bekannten Fehlers in Slurm könnte der innerhalb eines Jobprozesses abgerufene Benutzername so lauten, nobody wenn Sie einen Job ohne ausführen. srun Dieser Fehler betrifft nur die AWS ParallelCluster Versionen 3.1.1 und 3.1.2.

Wenn Sie den Befehl beispielsweise sbatch --wrap 'srun id' als Verzeichnisbenutzer ausführen, wird der richtige Benutzername zurückgegeben. Wenn Sie den jedoch sbatch --wrap 'id' als Verzeichnisbenutzer ausführen, wird er nobody möglicherweise als Benutzername zurückgegeben.

Sie können die folgenden Problemumgehungen verwenden.

  1. Starten Sie Ihren Job mit 'srun' statt mit'sbatch', wenn möglich.

  2. Aktivieren Sie die SSSD-Enumeration, indem Sie die AdditionalSssdConfigs Cluster-Konfiguration wie folgt festlegen.

    AdditionalSssdConfigs:
  enumerate: true

Wie löst man Probleme beim Erstellen des Home-Verzeichnisses

Dieser Abschnitt ist relevant für Probleme beim Erstellen des Basisverzeichnisses.

Wenn Sie Fehler wie den im folgenden Beispiel gezeigten sehen, wurde kein Home-Verzeichnis für Sie erstellt, als Sie sich zum ersten Mal am Hauptknoten angemeldet haben. Oder es wurde kein Basisverzeichnis für Sie erstellt, als Sie zum ersten Mal von einem Sudoer- zu einem Active Directory-Benutzer im Hauptknoten wechselten.

$ ssh AD_USER@$HEAD_NODE_IP
/opt/parallelcluster/scripts/generate_ssh_key.sh failed: exit code 1

Operating system login banner
Could not chdir to home directory /home/PclusterUser85: No such file or directory

Der Fehler beim Erstellen des Basisverzeichnisses kann durch die oddjob-mkhomedir Pakete oddjob und verursacht werden, die auf dem Cluster-Hauptknoten installiert sind.

Ohne ein Basisverzeichnis und einen SSH-Schlüssel kann der Benutzer keine Jobs oder SSH an die Clusterknoten senden.

Wenn Sie die oddjob Pakete in Ihrem System benötigen, stellen Sie sicher, dass der oddjobd Dienst ausgeführt wird, und aktualisieren Sie die PAM-Konfigurationsdateien, um sicherzustellen, dass das Home-Verzeichnis erstellt wird. Führen Sie dazu die Befehle im Kopfknoten aus, wie im folgenden Beispiel gezeigt.

sudo systemctl start oddjobd
sudo authconfig --enablemkhomedir --updateall

Wenn Sie die oddjob Pakete in Ihrem System nicht benötigen, deinstallieren Sie sie und aktualisieren Sie die PAM-Konfigurationsdateien, um sicherzustellen, dass das Home-Verzeichnis erstellt wird. Führen Sie dazu die Befehle im Kopfknoten aus, wie im folgenden Beispiel gezeigt.

sudo yum remove -y oddjob oddjob-mkhomedir
sudo authconfig --enablemkhomedir --updateall