VC6.5升级6.7后，躺坑一： 域用户无法登录，提示凭据无效

前话：做了VCSA的升级后，无法使用域用户登录VC，遇到一个大坑。做如下操作前，还是第一要求，备份，快照。。生产运维第一要求：降低风险，要有回滚计划。谨记。。

 

一、环境介绍：

 升级前VC版本：VCSA6.5U2  ，升级后VC版本：VCSA：6.7U3f

二、问题描述：

1、VC 6.5 u2升级6.7U3 后,域用户无法登陆，提示凭据无效

2、退域发生报错："There is already a native AD IDS or LDAP AD IDS registered"

三、解决过程：

故障分析：

此现象是由于升级VCSA版本之后，导致AD认证信息不能正常同步导致。

升级主机之后，/etc/resolv.conf 中127.0.0.1条目干扰了DNS的正反向解析；

 

解决方案：

1、通过命令行对VCSA执行退域操作：

• 删除标识源 - IWA（Active Directory Integrated Windows 身份验证，访问路径为 WebClient -> 管理 -> 配置 -> 标识源）。

• 以 root 身份登录到 Platform Services Controller 设备并激活 bash shell。

• 运行如下的 domainjoin-cli leaave 命令，退出该域：/opt/likewise/bin/domainjoin-cli leave

• 重新引导设备。

• 删除 全局权限中 Active Directory 上的计算机帐户。

2、修正/etc/resolv.conf 配置信息，重启VCSA，重启操作可以放到一起执行。

 

3、可以通过命令加入域：

• 再次登录到设备并启用 bash shell。

• 运行以下命令 /opt/likewise/bin/domainjoin-cli join domain-name domain_admin_user.，加入该域。

• 示例：/opt/likewise/bin/domainjoin-cli join vmware.com administrator

• 重新引导设备。

• 重新创建标识源（访问路径为 WebClient -> 管理 -> 配置 -> 标识源）。

 

4、如果使用的域账号权限不足，可以使用VCSA自己的账号添加身份标识源即可。