Устранение ошибок, связанных с томами в Azure NetApp Files

Если операция создания-чтения-обновления-удаления (CRUD) выполняется на томе, который не находится в финальном состоянии, операция будет неуспешной. Рабочие процессы автоматизации и пользователи портала должны проверить конечное состояние тома перед выполнением последующих асинхронных операций на томе.

Ошибки для томов SMB и двух протоколов

Условия ошибок Резолюции
Создание тома SMB или с двойным протоколом вызывает следующую ошибку:
{"code":"DeploymentFailed","message":"At least one resource deployment operation failed. Please list deployment operations for details. Please see https://aka.ms/DeployOperations for usage details.","details":[{"code":"InternalServerError", "message":"Error when creating - Could not query DNS server. Verify that the network configuration is correct and that DNS servers are available."}]}		 Эта ошибка означает, что DNS недоступен.
Рассмотрим следующие решения:
  • Если вы используете базовые сетевые функции, проверьте, развертываются ли службы доменных имён Active Directory (AD DS) и том в одном регионе.
  • Проверьте, находятся ли AD DS и том в одной виртуальной сети (VNet). Если они используют разные виртуальные сети, убедитесь, что виртуальные сети пиринговые между собой. См. Рекомендации по сетевому планированию для файлов Azure NetApp.
  • К DNS-серверу могут быть применены группы безопасности сети (NSG). Таким образом, он блокирует трафик. Чтобы подключиться к различным портам, откройте сетевые группы безопасности для DNS или AD. Требования к портам описаны в разделе требования к подключениям Active Directory.

Те же решения применяются к доменным службам Microsoft Entra. Доменные службы Microsoft Entra должны быть развернуты в одном регионе. Виртуальная сеть должна находиться в том же регионе или быть соединена с той, которая используется томом.
Создание тома SMB или с двойным протоколом вызывает следующую ошибку:
{"code":"DeploymentFailed","message":"At least one resource deployment operation failed. Please list deployment operations for details. Please see https://aka.ms/DeployOperations for usage details.","details":[{"code":"InternalServerError", "message":"Error when creating - Failed to create the Active Directory machine account \"SMBTESTAD-C1C8\". Reason: Kerberos Error: Invalid credentials were given Details: Error: Machine account creation procedure failed\n [ 563] Loaded the preliminary configuration.\n**[ 670] FAILURE: Could not authenticate as 'test@contoso.com':\n** Unknown user (KRB5KDC_ERR_C_PRINCIPAL_UNKNOWN)\n. "}]}
  • Следует убедиться, что правильно указано имя пользователя.
  • Следует убедиться, что пользователь входит в группу администраторов, у которой есть право создавать учетные записи компьютеров.
  • Если вы используете доменные службы Microsoft Entra, убедитесь, что пользователь входит в группу Azure AD DC AdministratorsMicrosoft Entra.
Создание тома SMB или с двойным протоколом вызывает следующую ошибку:
{"code":"DeploymentFailed","message":"At least one resource deployment operation failed. Please list deployment operations for details. Please see https://aka.ms/DeployOperations for usage details.","details":[{"code":"InternalServerError", "message":"Error when creating - Failed to create the Active Directory machine account \"SMBTESTAD-A452\". Reason: Kerberos Error: Pre-authentication information was invalid Details: Error: Machine account creation procedure failed\n [ 567] Loaded the preliminary configuration.\n [ 671] Successfully connected to ip 10.x.x.x, port 88 using TCP\n**[ 1099] FAILURE: Could not authenticate as\n** 'user@contoso.com': CIFS server account password does\n** not match password stored in Active Directory\n** (KRB5KDC_ERR_PREAUTH_FAILED)\n. "}]}		 Следует убедиться, что правильно указан пароль для соединения с AD.
Создание тома SMB или с двойным протоколом вызывает следующую ошибку:
{"code":"DeploymentFailed","message":"At least one resource deployment operation failed. Please list deployment operations for details. Please see https://aka.ms/DeployOperations for usage details.","details":[{"code":"InternalServerError","message":"Error when creating - Failed to create the Active Directory machine account \"SMBTESTAD-D9A2\". Reason: SecD Error: ou not found Details: Error: Machine account creation procedure failed\n [ 561] Loaded the preliminary configuration.\n [ 665] Successfully connected to ip 10.x.x.x, port 88 using TCP\n [ 1039] Successfully connected to ip 10.x.x.x, port 389 using TCP\n**[ 1147] FAILURE: Specified OU 'OU=AADDC Com' does not exist in\n** contoso.com\n. "}]}		 Необходимо убедиться, что путь к организационной единице, указанный для присоединения к Active Directory, правильный. Если вы используете доменные службы Microsoft Entra, убедитесь, что путь к организационному подразделению равен OU=AADDC Computers.
Создание тома SMB или с двойным протоколом вызывает следующую ошибку:
Failed to create the Active Directory machine account \"SMB-ANF-VOL. Reason: LDAP Error: Local error occurred Details: Error: Machine account creation procedure failed. [nnn] Loaded the preliminary configuration. [nnn] Successfully connected to ip 10.x.x.x, port 88 using TCP [nnn] Successfully connected to ip 10.x.x.x, port 389 using [nnn] Entry for host-address: 10.x.x.x not found in the current source: FILES. Ignoring and trying next available source [nnn] Source: DNS unavailable. Entry for host-address:10.x.x.x found in any of the available sources\n*[nnn] FAILURE: Unable to SASL bind to LDAP server using GSSAPI: local error [nnn] Additional info: SASL(-1): generic failure: GSSAPI Error: Unspecified GSS failure. Minor code may provide more information (Cannot determine realm for numeric host address) [nnn] Unable to connect to LDAP (Active Directory) service on contoso.com (Error: Local error) [nnn] Unable to make a connection (LDAP (Active Directory):contosa.com, result: 7643. 		Запись указателя (PTR) хост-компьютера AD может отсутствовать на DNS-сервере. Необходимо создать зону обратного просмотра на DNS-сервере, а затем добавить запись типа PTR для компьютера узла AD в эту зону обратного просмотра.
Создание тома SMB или с двойным протоколом вызывает следующую ошибку:
Failed to create the Active Directory machine account \"SMB-ANF-VOL\". Reason: Kerberos Error: KDC has no support for encryption type Details: Error: Machine account creation procedure failed [nnn]Loaded the preliminary configuration. [nnn]Successfully connected to ip 10.x.x.x, port 88 using TCP [nnn]FAILURE: Could not authenticate as 'contosa.com': KDC has no support for encryption type (KRB5KDC_ERR_ETYPE_NOSUPP) 		Убедитесь, что для подключения Active Directory и учетной записи службы включено шифрование AES.
Создание тома SMB или с двойным протоколом вызывает следующую ошибку:
Failed to create the Active Directory machine account \"SMB-NTAP-VOL\". Reason: LDAP Error: Strong authentication is required Details: Error: Machine account creation procedure failed\n [ 338] Loaded the preliminary configuration.\n [ nnn] Successfully connected to ip 10.x.x.x, port 88 using TCP\n [ nnn ] Successfully connected to ip 10.x.x.x, port 389 using TCP\n [ 765] Unable to connect to LDAP (Active Directory) service on\n dc51.area51.com (Error: Strong(er) authentication\n required)\n*[ nnn] FAILURE: Unable to make a connection (LDAP (Active\n* Directory):contoso.com), result: 7609\n. "		 Параметр подписывания LDAP не выбран, но клиент AD имеет подпись LDAP. Включить подписку LDAP и повторить попытку.
Создание тома SMB не удаётся со следующей ошибкой:
Failed to create the Active Directory machine account. Reason: LDAP Error: Initialization of LDAP library failed Details: Error: Machine account creation procedure failed		 Эта ошибка возникает из-за того, что учетная запись службы или пользователя, используемая в подключениях Azure NetApp Files Active Directory, не имеет достаточных привилегий для создания объектов компьютера или внесения изменений в созданный объект компьютера.
Чтобы устранить проблему, предоставьте учетной записи более высокую привилегию. Вы можете применить роль по умолчанию с достаточными привилегиями или делегировать больше привилегий пользователю, учетной записи службы или группе, из которой эта учетная запись является членом.

Ошибки для томов с двумя протоколами

Условия ошибок Резолюции
Включен LDAP через TLS, и создание тома с поддержкой обоих протоколов завершается с ошибкой This Active Directory has no Server root CA Certificate. Если эта ошибка возникает при создании тома с использованием двух протоколов, убедитесь, что корневой сертификат ЦС загружен в вашу учетную запись NetApp.
Создание тома с двойным протоколом завершается с ошибкой Failed to validate LDAP configuration, try again after correcting LDAP configuration. Запись указателя (PTR) хост-компьютера Active Directory (AD) может быть отсутствует на DNS-сервере. Необходимо создать зону обратного просмотра на DNS-сервере, а затем добавить запись типа PTR для компьютера узла AD в эту зону обратного просмотра.
Например, предположим, что IP-адрес компьютера AD — это 10.x.x.x, имя узла (найденное с помощью команды hostname) — AD1, а именем домена является contoso.com. Запись PTR, добавленная в зону обратного поиска, должна быть 10.x.x.x ->contoso.com.
Создание тома с двойным протоколом завершается с ошибкой Failed to create the Active Directory machine account \\\"TESTAD-C8DD\\\". Reason: Kerberos Error: Pre-authentication information was invalid Details: Error: Machine account creation procedure failed\\n [ 434] Loaded the preliminary configuration.\\n [ 537] Successfully connected to ip 10.x.x.x, port 88 using TCP\\n**[ 950] FAILURE. Эта ошибка указывает на то, что при присоединении Active Directory к учетной записи NetApp пароль AD неверен. Следует обновить подключение AD, указав правильный пароль, и повторить попытку.
Создание тома с двойным протоколом завершается с ошибкой Could not query DNS server. Verify that the network configuration is correct and that DNS servers are available. Эта ошибка означает, что DNS недоступен. Первопричин может включать неправильный IP-адрес DNS или проблему сети. Проверьте DNS-IP-адрес, введенный в подключение AD, и убедитесь, что IP-адрес правильный.
Если вы используете базовые сетевые функции, убедитесь, что конфигурация AD и том находятся в одном регионе и в одной виртуальной сети. Если они в разных VNet, убедитесь, что пиринг между двумя VNet установлен.
Дополнительные сведения см. в статье Рекомендации по планированию сети для Azure NetApp Files.
Ошибка "В разрешении отказано" при подключении тома с двумя протоколами. Том с двойным протоколом поддерживает протоколы NFS и SMB. При попытке доступа к подключенному тому в системе UNIX, система пытается сопоставить пользователя UNIX, которого вы используете, с пользователем Windows.
Убедитесь, что POSIX атрибуты правильно заданы в объекте пользователя AD DS.

Ошибки в томах Kerberos для NFSv4.1

Условия ошибок Резолюции
Error allocating volume - Export policy rules does not match kerberosEnabled flag Azure NetApp Files не поддерживает Kerberos для томов NFSv3. Протокол Kerberos поддерживается только для протокола NFS 4.1.
This NetApp account has no configured Active Directory connections Настройте Active Directory для учетной записи NetApp, заполнив поля IP-адрес KDC и Имя сервера AD. Инструкции см. в разделе Настройка портала Azure.
Mismatch between KerberosEnabled flag value and ExportPolicyRule's access type parameter values. Azure NetApp Files не поддерживает преобразование обычного тома NFSv4.1 в том Kerberos NFSv4.1 и наоборот.
mount.nfs: access denied by server when mounting volume <SMB_SERVER_NAME-XXX.DOMAIN_NAME>/<VOLUME_NAME>
Пример: smb-test-64d9.contoso.com:/nfs41-vol101
  1. Убедитесь в том, что записи A/PTR правильно настроены и существуют в Active Directory для имени сервера smb-test-64d9.contoso.com.
    В клиенте NFS, если nslookup из smb-test-64d9.contoso.com разрешается в IP-адрес IP1 (то есть, 10.1.1.68), nslookup из IP1 должен разрешаться только в одну запись (то есть, smb-test-64d9.contoso.com). nslookup IP1 не должен разрешаться в нескольких именах.
  2. Задайте AES-256 для учетной записи компьютера NFS типа NFS-<Smb NETBIOS NAME>-<few random characters> в AD с помощью PowerShell или пользовательского интерфейса.
    Примеры команд:
    • Set-ADComputer <NFS_MACHINE_ACCOUNT_NAME> -KerberosEncryptionType AES256
    • Set-ADComputer NFS-SMB-TEST-64 -KerberosEncryptionType AES256
  3. Убедитесь в том, что время программного обеспечения хранилища клиента NFS, AD и Azure NetApp Files синхронизировано друг с другом и находится в пределах пятиминутного диапазона отклонения.
  4. Получите билет Kerberos на клиенте NFS с помощью команды kinit <administrator>.
  5. Уменьшите имя узла клиента NFS до 14 символов и повторите подключение к домену.
  6. Перезапустите клиент NFS и службу rpc-gssd, как показано ниже. Точные имена служб могут отличаться в некоторых дистрибутивах Linux.
    Большинство текущих дистрибутивов используют те же имена служб. Выполните следующие действия от имени администратора или с помощью sudo
    systemctl enable nfs-client.target && systemctl start nfs-client.target
    (Перезапустите rpc-gssd службу.)
    systemctl restart rpc-gssd.service
mount.nfs: an incorrect mount option was specified Эта ошибка может быть связана с проблемой клиента NFS. Перезагрузите клиент NFS.
Hostname lookup failed Необходимо создать зону обратного просмотра на DNS-сервере, а затем добавить запись типа PTR для компьютера узла AD в эту зону обратного просмотра.
Например, предположим, что IP-адрес компьютера AD — это 10.1.1.4, имя узла виртуально машины (найденное с помощью команды "имя узла") — AD1, а именем домена является contoso.com. Запись типа PTR, добавленная в зону обратного просмотра, должна иметь вид 10.1.1.4 -> AD1.contoso.com.
Volume creation fails due to unreachable DNS server Доступны два возможных решения:
  • Эта ошибка означает, что DNS недоступен. Причиной может быть неправильный IP-адрес DNS или проблема с сетью. Проверьте DNS-IP-адрес, введенный в подключение AD, и убедитесь, что IP-адрес указан правильно.
  • Если вы используете базовые сетевые функции, убедитесь, что AD и том находятся в одном регионе и в одной виртуальной сети (VNet). Если они находятся в разных виртуальных сетях, необходимо убедиться, что между двумя виртуальными сетями установлена одноранговая связь VNet.
    Дополнительные сведения см. в статье Рекомендации по планированию сети для Azure NetApp Files.
Создание тома Kerberos NFSv4.1 завершается ошибкой, аналогичной следующему примеру:
Failed to enable NFS Kerberos on LIF "svm_e719cde8d6d0413fbd6adac0636cdecb_7ad0b82e_73349613". Failed to bind service principal name on LIF "svm_e719cde8d6d0413fbd6adac0636cdecb_7ad0b82e_73349613". SecD Error: server create fail join user auth.		 IP-адрес KDC неверен, и создан том Kerberos. Обновите IP-адрес KDC с помощью правильного адреса.
Необходимо повторно создать том.
The KDC IP or AD Name operation fails because the Service Principal Name (SPN) already exists
  1. Перейдите к пользователям и компьютерам Active Directory из диспетчера серверов.
  2. Удалите учетную запись компьютера NFS и измените IP-адрес KDC.
    Для этого тома необходимую учетную запись машины NFS можно найти в инструкциях по монтированию, где указан путь монтирования.
    Пример инструкции подключения: sudo mount -vvv -t nfs -o sec=krb5,rw,hard,rsize=262144,wsize=262144,vers=4.1,tcp DHR-4EC7.contoso.com:/kerb-vol kerb-vol
    В этом примере имя учетной записи компьютера — NFS-DHR-4EC7.

Ошибки томов LDAP

Условия ошибок Резолюции
Ошибка при создании тома SMB с включенным протоколом LDAP как true:
Error Message: ldapEnabled option is only supported with NFS protocol volume. 		Невозможно создать том SMB с включенным протоколом LDAP.
Создайте том SMB с отключенным LDAP.
Ошибка при обновлении значения параметра ldapEnabled для существующего тома:
Error Message: ldapEnabled parameter is not allowed to update		 Вы не можете изменить параметр LDAP после создания тома.
Не обновляйте параметр LDAP после создания тома. Дополнительные сведения см. в статье "Настройка LDAP AD DS с расширенными группами для доступа к томам NFS".
Ошибка при создании тома NFS с поддержкой LDAP:
Could not query DNS server
Sample error message:
"log": time="2020-10-21 05:04:04.300" level=info msg=Res method=GET url=/v2/Volumes/070d0d72-d82c-c893-8ce3-17894e56cea3 x-correlation-id=aaaa0000-bb11-2222-33cc-444444dddddd x-request-id=bbbb1111-cc22-3333-44dd-555555eeeeee xresp="200: {\"created\":\"2020-10-21T05:02:55.000Z\",\"lifeCycleState\":\"error\",\"lifeCycleStateDetails\":\"Error when creating - Could not query DNS server. Verify that the network configuration is correct and that DNS servers are available.\",\"name\":\"smb1\",\"ownerId\ \":\"cccc2222-dd33-4444-55ee-666666ffffff\",\"region\":\"westus2stage\",\"volumeId\":\"070d0d72-d82c-c893-8ce3-		 Эта ошибка возникает из-за недоступности DNS.
  • Проверьте, настроен ли правильный сайт (области сайта) для Azure NetApp Files.
  • Причиной недоступности DNS может быть неверный IP-адрес DNS или проблема с сетью. Проверьте DNS-IP-адрес, введенный в подключении AD, чтобы убедиться, что это правильно.
  • Если вы используете базовые сетевые функции, убедитесь, что AD и том находятся в одном регионе и одной виртуальной сети. Если они находятся в разных виртуальных сетях, необходимо убедиться, что между двумя виртуальными сетями установлена одноранговая связь VNet.
    Дополнительные сведения см. в статье Рекомендации по планированию сети для Azure NetApp Files.
Ошибка при создании тома из моментального снимка:
Aggregate does not exist		 Azure NetApp Files не поддерживает создание нового тома с включенной поддержкой LDAP из моментального снимка тома, в котором LDAP отключен.
Попробуйте создать новый том с отключенным протоколом LDAP из заданного моментального снимка.
Когда отображаются только идентификаторы основной группы, а пользователь принадлежит вспомогательным группам. Это вызвано временем ожидания запроса:
—Используйте параметр области поиска LDAP.
—Используйте предпочтительный сервер Active Directory для клиента LDAP.
Error describing volume - Entry doesn't exist for username: <username>, please try with a valid username -Проверьте, присутствует ли пользователь на сервере LDAP.
-Проверьте работоспособность сервера LDAP.

Ошибки выделения томов

При создании нового тома или изменении размера существующего тома в Azure NetApp Files Microsoft Azure выделяет ресурсы хранилища и сетевые ресурсы для подписки. Иногда возникают сбои выделения ресурсов из-за беспрецедентного роста спроса на службы Azure в определенных регионах.

В этом разделе описываются причины некоторых распространенных сбоев выделения и предлагаются возможные средства правовой защиты.

Условия ошибок Резолюции
Ошибка при создании новых томов или изменении размера существующих томов.
Сообщение об ошибке: There was a problem locating [or extending] storage for the volume. Please retry the operation. If the problem persists, contact Support.		 Ошибка указывает, что служба столкнулась с ошибкой при попытке выделить ресурсы для этого запроса.
Повторите операцию через некоторое время. Обратитесь в службу поддержки, если проблема сохраняется.
Недостаточно емкости хранилища или сети в регионе для обычных томов.
Сообщение об ошибке: There are currently insufficient resources available to create [or extend] a volume in this region. Please retry the operation. If the problem persists, contact Support.		 Ошибка указывает на недостаток ресурсов в регионе для создания томов или изменения их размера.
Попробуйте одно из следующих обходных решений:
  • Создайте том в новой виртуальной сети (VNet), чтобы избежать ограничения ресурсов, связанных с сетью.
  • Повторите попытку через некоторое время. Ресурсы, возможно, были освобождены в кластере, регионе или зоне в промежуточном периоде.
Недостаточно емкости хранилища при создании тома с установленными сетевыми функциями Standard.
Сообщение об ошибке: No storage available with Standard network features, for the provided VNet.		 Ошибка указывает, что в регионе недостаточно ресурсов для создания томов с сетевыми Standard функциями.
Попробуйте одно из следующих обходных решений:
  • Если Standard сетевые функции не требуются, создайте том с включёнными сетевыми Basic функциями.
  • Попробуйте создать том данных в новой виртуальной сети, чтобы избежать превышения лимитов ресурсов, связанных с сетью.
  • Повторите попытку через некоторое время. Ресурсы, возможно, были освобождены в кластере, регионе или зоне в промежуточном периоде.

Ошибки для списка управления доступом

Условия ошибок Резолюции
Ошибка при попытке задать списки управления доступом NTFS на вкладке "Безопасность Windows".
Сообщение об ошибке: The program cannot open the required dialogue box because it cannot determine whether the computer is joined to a domain.		 Эта ошибка означает, что сервер ANF не может получить сведения о домене из контроллеров домена из-за отсутствия синхронизации SYSVOL между контроллерами домена. Чтобы устранить эту проблему, выполните неавторитетную синхронизацию SYSVOL, реплицируемого посредством DFSR

Предупреждения журнала действий для томов

Предупреждения Резолюции
В Microsoft.NetApp/netAppAccounts/capacityPools/volumes/ScaleUp операции отображается предупреждение:
Percentage Volume Consumed Size reached 90%		 Используемый размер тома Azure NetApp Files достиг 90 % квоты тома. Вы должны изменить размер тома в ближайшее время.

Следующие шаги

  • Last updated on