[Bug/Help] users report "Invalid account or account/partition specified combination" when everything seems all right

[link89]

是否已有关于该错误的issue或讨论？ | Is there an existing issue / discussion for this?

• 我已经搜索过已有的issues和讨论 | I have searched the existing issues / discussions

发生了什么 | What happened

我们目前使用的是 v1.6.3
scow 有时会出现账户错误地变成欠费的状态。
我发现这个问题经常出现在我们导入新账户/用户之后。

因为我们在创建用户时需要为用户设置 quota, 生成密码，证书，发送邮件等工作，
因此无法直接在 SCOW 上创建用户。
目前我们的流程是，用命令行创建好账户/用户后，
再通过 scow 的页面导入这个用户，导入时不加入白名单。

此时就有一定概率会出现上述问题，
此时账户余额充足，并且也没有处于被封锁状态，用户也没有被限额，
但就是无法提交作业。

目前找到的规避方案是先将问题账户添加白名单再移出。

期望结果 | What did you expect to happen

No response

之前运行正常吗？ | Did this work before?

No response

复现方法 | Steps To Reproduce

No response

运行环境 | Environment

- OS:
- Scheduler:
- Docker:
- Docker-compose:
- SCOW cli:
- SCOW:
- Adapter:

备注 | Anything else?

No response

[piccaSun]

您好，目前我们没有复现上述问题，跟您确认以下问题方便我们继续排查

1. 账户被错误的判断为欠费状态
我发现您上面提到过两种情况，1是导入新账户，2是导入新用户

两种情况都出现了账户状态错误判断为欠费吗？欠费是指页面上账户状态变更为欠费状态了吗？
另外，导入一个新账户时会判断当前租户阈值是否大于等于0，如果大于等于0，会主动触发账户为欠费

2. 用命令行创建好账户/用户
您提到用命令行创建账户用户，如果方便能否提供一下使用的具体创建命令，帮助我们复现问题
创建时是否同时已正确配置相关数据的分区及Qos？

导入用户时如果不选择添加白名单，OpenSCOW会向数据库记入当前账户在集群的状态，但是不会主动触发一次账户的解封，只会通过判断租户封锁阈值来确认是否需要主动封锁

3. 可以使用OpenSCOW Hook
上述问题如果通过OpenScow创建时没有发生，
您提到因为创建用户时需要为用户设置 quota, 生成密码，证书，发送邮件等工作，我们也同时建议您可以使用OpenScow HOOK来进行后续自主处理，我们当前已提供创建账户及创建用户相关的Hook。
https://pkuhpc.github.io/OpenSCOW/docs/integration/scow-api-hook/hook

[link89]

您好，目前我们没有复现上述问题，跟您确认以下问题方便我们继续排查

1. 账户被错误的判断为欠费状态 我发现您上面提到过两种情况，1是导入新账户，2是导入新用户

两种情况都出现了账户状态错误判断为欠费吗？欠费是指页面上账户状态变更为欠费状态了吗？ 另外，导入一个新账户时会判断当前租户阈值是否大于等于0，如果大于等于0，会主动触发账户为欠费

页面上并没有显示异常，只是用户无法提交作业，需要重新添加/删除白名单解除。

2. 用命令行创建好账户/用户 您提到用命令行创建账户用户，如果方便能否提供一下使用的具体创建命令，帮助我们复现问题 创建时是否同时已正确配置相关数据的分区及Qos？

导入用户时如果不选择添加白名单，OpenSCOW会向数据库记入当前账户在集群的状态，但是不会主动触发一次账户的解封，只会通过判断租户封锁阈值来确认是否需要主动封锁

哈，我想我理解发生什么了。确实我们在用户创建时只关联了账户，但没有关联 QoS。SCOW在导入账户时或许没有为其设置QoS, 或许重新添加/删除白名单可以触发对应的逻辑导致问题消失。而部分旧的账户由于在导入时误设置为白名单账户后解除，所以造成新账户异常需要重新添加白名单再解除，但旧账户添加用户表现正常的情况。

3. 可以使用OpenSCOW Hook 上述问题如果通过OpenScow创建时没有发生， 您提到因为创建用户时需要为用户设置 quota, 生成密码，证书，发送邮件等工作，我们也同时建议您可以使用OpenScow HOOK来进行后续自主处理，我们当前已提供创建账户及创建用户相关的Hook。 https://pkuhpc.github.io/OpenSCOW/docs/integration/scow-api-hook/hook

相比于SCOW hook, 我认为更理想的方式是让用户可以直接覆盖 SCOW内置的创建用户流程。因为用户所用的环境有所不同，例如我们这边的一些存量集群使用的是 nss 而非 ldap。 我在另一个issue中有表达这个想法：#1453

我认为scow可以提供一组默认的配置，但也同时允许用户自定义自己的逻辑。这实际上是可以极大简化 scow 设计并增加其适用范围，目前的 scow 需要区分 ssh 和 ldap 两种模式，如果采用基于模板驱动的配置设计实际上就无需进行区分。

[piccaSun]

结合1和2您的回复，暂时推测可能是因为使用创建命令时没有完整的账户/用户下分区或Qos的关联。
如果您方便请您继续验证是否确实是由此引起的问题。🙇‍

因为导入用户的逻辑理论上是将集群账户/用户导入OpenScow中，实际上除了添加白名单会去主动解封，判断阈值是否要主动封锁，其他没有任何触发集群操作的逻辑了。
如果在这之前集群下缺失了一些数据，我们暂时没有特殊的补全处理。
但是我们最近有进一步梳理集群下的必要关联数据的一些规划。

关于第三点，在开源版本项目中当前暂时没有涵盖到这方面的优化，我们非常鼓励社区开发者积极进行代码贡献~🙇‍

[auroraustc]

相比于SCOW hook, 我认为更理想的方式是让用户可以直接覆盖 SCOW内置的创建用户流程。因为用户所用的环境有所不同，例如我们这边的一些存量集群使用的是 nss 而非 ldap。

我在组里的集群部署的时候也碰到用户认证方面的问题，组里有的集群不是用ldap的，所以用了个邪修的方法：运行一个docker，里面运行着一个独立的OpenLDAP服务，然后：

1. 监控本地的用户变化，比如files就监控passwd, group, shadow，发生变化就copy到容器里面，提取用户名、分组、密码，手动加到容器内的LDAP里。
2. OpenSCOW用容器里运行的那个LDAP作为认证

都用ssh的话其实会有二次验证码的问题，而且还可能会因为pam里面的语句顺序，导致不一定是先进行二次验证码校验还是先进行密码校验