搜索 <book_title>...

Veritas NetBackup™ 版本说明

Last Published: 2021-09-16

Product(s): NetBackup (9.1.0.1)

如果在启用 NBAC 的设置中执行安装或升级之后更改用户，授权检查将失败

如果在启用 NBAC 的设置中执行 NetBackup 安装或升级之后更改用户，授权检查将失败。

有关服务用户（非特权用户或非 root 用户）的更多信息，请参考 NetBackup 安全和加密指南。

安装或升级期间会显示以下错误消息：

bprd failed to grant authorization check permission to host
 'host1'
118-VxSS authorization failed: Please make sure NBAC-Authorization
 is properly configured and running and you have necessary
 permissions to do these operations.

出现此问题的原因是新服务用户不属于安全管理员组。

解决方法：

要解决此问题，应使用以下方案之一将新服务用户添加到安全管理员组（或删除较旧的服务用户）。

方案 1

在下列其中一种情况下，授权检查将失败：

root (UNIX) 或本地系统 (Windows) 用户通过 nbserviceusercmd -changeUser 命令更改为新服务用户。
使用 root 用户或本地系统用户之外的服务用户执行 NetBackup 9.1.0.1 升级。

要解决授权检查失败，请执行以下操作：

更改用户后，确保所有 NetBackup 服务已启动且正在运行。
运行以下命令，将新服务用户添加到安全管理员组：
vssaz addazgrpmember --azgrpname "Security Administrators" --prplinfo ATP,atdomain,new service user
vssaz 命令的目录路径如下：
在 UNIX 上：/usr/openv/netbackup/sec/az/bin
在 Windows 上：<install_path>\sec\az\bin

方案 2

使用 nbserviceusercmd -changeUser 命令将一个服务用户更改为另一服务用户时，授权检查失败。

要解决授权检查失败，请执行以下操作：

更改用户后，确保所有 NetBackup 服务已启动且正在运行。
运行以下命令，将较旧的服务用户主体从全局安全管理员组中删除。
vssaz removeazgrpmember --azgrpname "Security Administrators" --prplinfo ATP,atdomain,older user
运行以下命令，将新服务用户添加到安全管理员组：
vssaz addazgrpmember --azgrpname "Security Administrators" --prplinfo ATP,atdomain,new service user

vssaz 命令的目录路径如下：

在 UNIX 上：/usr/openv/netbackup/sec/az/bin

在 Windows 上：<install_path>\sec\az\bin

方案 3

如果使用 nbserviceusercmd -changeUser 命令将服务用户更改为 root (UNIX) 或本地系统 (Windows) 用户，例如，在 NetBackup 9.1 全新安装之后。建议从安全管理员组中删除旧服务用户，以增加安全性。

要消除由于组中旧服务用户的条目失效而可能引入的安全漏洞，请执行以下操作：

更改用户后，确保所有 NetBackup 服务已启动且正在运行。
运行以下命令，将较旧的服务用户主体从全局安全管理员组中删除。
vssaz removeazgrpmember --azgrpname "Security Administrators" --prplinfo ATP,atdomain,older user