NetBackup-11-Web-UI-Fehler und RBAC-Fehlschläge

Ein NetBackup-11-Web-UI-Fehler sollte zunächst als Anwendungsfehler oder als Autorisierungsfehler eingestuft werden. Ein „System error occurred"-Banner bei Policies oder Catalog ist nicht dasselbe Problem wie ein Benutzer, der die Web UI erreicht und von RBAC abgewiesen wird, auch wenn beide Fehler in derselben Browser-Oberfläche erscheinen.

Zwei Administratorberichte machen die Unterscheidung deutlich. Eine NetBackup-11.1-Umgebung zeigte nach einem Upgrade beim Öffnen von Policies und Catalog plötzlich „System error occurred" an. Ein anderer Linux-Primary-Server schloss eine NetBackup-11-Installation ab, zeigte in bpps -x laufende Kern-Services, aber die Web UI hatte trotzdem ein RBAC-Autorisierungsproblem. Diese Symptome sollten nicht mit derselben Checkliste angegangen werden.

Ist der Fehler ein Web-UI-Backend-Fehler oder ein RBAC-Fehler?

Der schnellste erste Schritt ist zu ermitteln, ob der authentifizierte Benutzer die Oberfläche betreten kann und welche Seiten fehlschlagen. Wenn sich der Benutzer erfolgreich anmeldet, aber eine Berechtigungs- oder Autorisierungsmeldung sieht, beginnen Sie mit Identität und RBAC. Wenn ein Administrator mit erwartetem Vollzugriff die Oberfläche betreten kann, aber bestimmte Seiten „System error occurred" zurückgeben, beginnen Sie mit der Backend-Anfrage, den Service-Logs, dem Upgrade-Status und der Komponente, die diese Seite ausliefert.

Das klingt offensichtlich, aber Browserfehler verleiten zu breit angelegten Fixes. Administratoren leeren Caches, installieren Pakete neu, starten sämtliche Services neu und ändern Berechtigungen alle auf einmal. Das macht das System schwerer nachvollziehbar.

Im Linux-Installationsfall zeigte bpps -x unter anderem laufende Services wie nbemm, nbjm, nbwebsvc und die PostgreSQL-Datenbank NBDB. Der Administrator hatte bereits eine komplette Neuinstallation mit install_bp durchgeführt. Das Autorisierungsproblem blieb bestehen. Das ist ein nützlicher Beleg, weil es zeigt, dass Service-Start und RBAC-Zugriff getrennte Fragen sind.

Eine gesunde Prozessliste ist notwendig. Sie ist kein Beweis dafür, dass die angemeldete Identität die Berechtigung hat, die Web UI zu nutzen.

Wer erhält vollen Zugriff auf die NetBackup-11-Web-UI?

NetBackup 11 gewährt Root- oder Betriebssystem-Administratoren automatisch vollen Web-UI-Zugriff, sofern dieser automatische Zugriff nicht deaktiviert wurde, und Benutzer mit der RBAC-Rolle Administrator erhalten ebenfalls volle NetBackup-Berechtigungen. Andere Benutzer benötigen eine RBAC-Rolle, die die erforderlichen Bereiche und Aktionen gewährt.

Veritas dokumentiert eine Standardrolle Administrator mit vollen Berechtigungen. Zusätzlich stellt Veritas workload-spezifische Standardrollen und benutzerdefinierte Rollen für engeren Zugriff bereit. Die praktische Konsequenz ist, dass „das Konto existiert" nicht ausreicht. Das Konto muss über eine Identität in NetBackup gelangen, die zur Rollenzuweisung passt, und diese Rolle muss die angeforderten Objekte oder Funktionen abdecken.

Wenn der Login user@example.com lautet, die RBAC-Zuweisung aber für eine andere Benutzernamensform oder Domäne angelegt wurde, kann der Zugriff scheitern, selbst wenn die Authentifizierung selbst erfolgreich ist. Veritas empfiehlt ausdrücklich zu prüfen, ob die Zugangsdaten mit dem in der Rolle des Benutzers hinterlegten Benutzernamen und der Domäne übereinstimmen.

Diese Grenze ähnelt anderen Infrastruktur-Control-Planes. Mr.PlanBs Proxmox-Backup-Vergleich konzentriert sich auf Recovery-Tooling, aber jede Management-Ebene hat trotzdem eine Identitätsschicht, deren Gesundheit von den Backup-Daten getrennt ist, die sie steuert.

Was sollte geprüft werden, wenn die RBAC-Autorisierung fehlschlägt?

RBAC-Troubleshooting sollte unter Security > RBAC mit genau der Identität beginnen, die sich anmeldet. Bestätigen Sie, dass der Benutzer oder die Gruppe der beabsichtigten Standard- oder benutzerdefinierten Rolle zugewiesen ist. Bestätigen Sie, dass die Rolle die Berechtigungen und den Objektumfang enthält, die für die aufgerufene Seite oder Workload benötigt werden.

Melden Sie sich anschließend ab und wieder an. Veritas weist darauf hin, dass Änderungen an den Rollen eines Benutzers sich nicht sofort in einer aktiven Web-UI-Sitzung widerspiegeln. Eine Rolle kann auf dem Server korrekt sein, während die Browser-Sitzung noch den alten Autorisierungszustand trägt.

Änderungen am Identity Provider verdienen besondere Aufmerksamkeit. Veritas weist auch darauf hin, dass Kontoänderungen beim Identity Provider nicht automatisch in bestehende Rollenzuweisungen synchronisiert werden. Wenn sich ein Benutzername oder eine Kontozuordnung ändert, muss der Administrator möglicherweise das alte Konto aus der Rolle entfernen und das neue Konto hinzufügen.

Verwenden Sie bei einem neu installierten Linux-Primary-Server ein Root-Konto oder ein ordnungsgemäß autorisiertes Betriebssystem-Administratorkonto, um festzustellen, ob die Web UI selbst funktionsfähig ist. Wenn dieses Konto funktioniert und ein gewöhnliches Konto nicht, liegt das Problem viel wahrscheinlicher in RBAC oder im Identity-Mapping als im Start von nbwebsvc.

Vermeiden Sie es, zusätzliche Administratorkonten anzulegen, nur damit der Fehler verschwindet. Belegen Sie zuerst, welche Identität NetBackup als angemeldet betrachtet.

Was bedeutet „System error occurred" nach einem Upgrade?

„System error occurred" ist ein Symptom, keine Diagnose. Im gemeldeten NetBackup-11.1-Fall trat der Fehler konkret beim Öffnen von Policies und Catalog nach einem Upgrade auf, aber die Diskussion belegt keine verifizierte Grundursache.

Das bedeutet, dass ein verantwortungsvoller Troubleshooting-Artikel keine erfindet. Erfassen Sie das Timing der Browser-Anfragen, die serverseitigen Web-UI-Logs, die NetBackup-Service-Logs, den Zustand von Catalog und Datenbank sowie den genauen Upgrade-Pfad. Testen Sie, ob andere Web-UI-Bereiche funktionieren. Prüfen Sie, ob die Java-Administrationsoberflächen oder Kommandozeilen-Tools dieselben zugrunde liegenden Objekte abfragen können.

Wenn Policies über Kommandozeilen-Tools sichtbar sind, die Web-UI-Seite aber fehlschlägt, liegt das Problem eher im Web-UI- oder API-Pfad als in der Existenz der Policies selbst. Wenn Catalog-Abfragen auch außerhalb des Browsers fehlschlagen, weiten Sie die Untersuchung auf Catalog-Services und Datenbankzustand aus.

Versionsspezifische Defekte sollten gegen Release Notes und Support-Fälle abgeglichen werden. Ein Upgrade ändert mehr als nur Seiten-Assets. Es kann APIs, Datenbankschema, Services, Berechtigungen und mitgelieferte Komponenten verändern. Behandeln Sie die genaue Build-Nummer als Beleg.

Sollten Services neu gestartet werden, wenn die Web UI fehlschlägt?

Ein Neustart kann eine diagnostische Maßnahme sein, sollte aber das Sammeln von Belegen nicht ersetzen. Dokumentieren Sie vor dem Neustart den Service-Zustand und sichern Sie die Logs rund um den Fehler. Andernfalls können die nützlichsten Zeitstempel überschrieben oder von der Bedingung getrennt werden, die den Fehler verursacht hat.

Verifizieren Sie bei einer neuen Installation, dass nbwebsvc und die unterstützenden NetBackup-Services laufen. Vergleichen Sie in einer aktualisierten Umgebung den Service-Status mit der Baseline vor dem Upgrade. Prüfen Sie Festplattenspeicher, Zertifikatsstatus, Hostname-Auflösung und Datenbankkonnektivität, wenn die Logs in diese Richtungen weisen.

Wenn nur ein Benutzer scheitert, während ein anderer autorisierter Administrator dieselben Seiten nutzen kann, ist ein Neustart der Backend-Services wahrscheinlich nicht der erste sinnvolle Schritt. Wenn jeder Administrator auf derselben Seite dasselbe „System error occurred" sieht, wird RBAC als Erklärung schwächer.

Das ist der Wert des Testens mit zwei Identitäten. Es trennt Benutzerumfang schnell von Systemumfang.

Wie sollten Zugriffsänderungen sicher getestet werden?

Zugriffsänderungen sollten mit der kleinstmöglichen Berechtigungsänderung getestet werden, die die Hypothese belegen kann. Weisen Sie einem bekannten Testkonto eine passende Standardrolle zu, melden Sie sich vollständig ab, melden Sie sich wieder an und prüfen Sie einen betroffenen Bereich. Wenn das funktioniert, grenzen Sie die benutzerdefinierte Rolle weiter ein, statt das Konto als vollen Administrator zu belassen.

NetBackup schützt die RBAC-Konfiguration im Catalog, sodass das Rollendesign Teil der Control Plane ist, die in die Recovery-Planung einbezogen werden sollte. Der Proxmox-Backup-Server-Guide beschreibt einen anderen Backup-Stack, aber dasselbe operative Prinzip gilt: Das Daten-Repository und der administrative Zugriffspfad sind unterschiedliche Abhängigkeiten. Die Recovery-Planung braucht beide.

Halten Sie für die Produktion einen dokumentierten Break-Glass-Administrationspfad bereit. Wenn die Verzeichnisintegration oder ein benutzerdefiniertes RBAC-Design während eines Incidents ausfällt, braucht das Team trotzdem einen unterstützten Weg, um Backups und Restores zu administrieren.

Das Break-Glass-Konto sollte geschützt, überwacht und getestet werden. Ein Notfall-Credential, das noch niemand erfolgreich benutzt hat, ist nur eine Theorie.

Was würde ich bei diesen beiden NetBackup-11-Symptomen tun?

Beim RBAC-Fall würde ich mit Neuinstallationen aufhören, sobald die Kern-Services gesund sind. Ich würde mich mit einer autorisierten Betriebssystem-Administrator- oder Root-Identität anmelden, Security > RBAC prüfen, das genaue Mapping von Benutzername und Domäne bestätigen, die erforderliche Rolle zuweisen und nach jeder Berechtigungsänderung eine neue Sitzung erzwingen.

Beim „System error occurred"-Fall nach dem Upgrade würde ich ihn als Backend- oder seitenspezifisches Problem behandeln, bis Belege etwas anderes zeigen. Ich würde ihn mit einem Administrator reproduzieren, Server- und Browser-Timing erfassen, das Verhalten von Policies und Catalog mit dem Kommandozeilenzugriff vergleichen, den genauen 11.1-Build und Upgrade-Pfad bestätigen und dann Release Notes oder Hersteller-Support für diesen Build prüfen.

Der wichtige Schritt ist die Klassifizierung. „Die Web UI ist kaputt" ist zu vage für Troubleshooting. Entscheiden Sie, ob NetBackup den Benutzer abgewiesen hat oder die angeforderte Funktion nicht bereitstellen konnte. Sobald diese Grenze klar ist, wird der Suchraum deutlich kleiner.