Veritas NetBackup™ セキュリティおよび暗号化ガイド

この問題をトラブルシューティングするには

1. 次のエラーが nbatd ログに含まれるかどうか確認します。

   (authldap.cpp) CAuthLDAP::validatePrpl - ldap_simple_bind_s() failed for user 'CN=Test User,OU=VTRSUsers,DC=VRTS,DC=com', error = -1, errmsg = Can't contact LDAP server,9:debugmsgs,1

2. 次のシナリオのいずれかが該当するかを確認し、そのシナリオに示された手順を実行します。

   vssat addldapdomain で指定された LDAP サーバーの URL (-s オプション) が間違っている可能性がある	検証のために次のコマンドを実行します。 ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> 例: ldapsearch -H ldaps://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ******** -d 5 -o nettimeout=60 TLS: can't connect: TLS error -8179:Peer's Certificate issuer is not recognized.ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
   サーバー証明書の発行者が信頼される CA ではない	これは、ldaps オプションが使用されており、ldapsearch コマンドを使用して検証できる場合に該当します。 set env var LDAPTLS_CACERT to cacert.pem ldapsearch -H <LDAPS_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> cacert.pem のファイルのパス: Windows の場合: <Install_path>\NetBackup\var\global\vxss\eab\data\systemprofile\certstore\trusted\pluggins\ldap\cacert.pem UNIX の場合: /usr/openv/var/global/vxss/eab/data/root/.VRTSat/profile/certstore/trusted/pluggins/ldap/cacert.pem 例: ldapsearch -H ldaps://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ******** -d 5 -o nettimeout=60 TLS: can't connect: TLS error -8179:Peer's Certificate issuer is not recognized..ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
   次の認証局 (CA) 以外が、LDAP サーバーのセキュリティ証明書に署名した: CyberTrust DigiCert GeoTrust Certification Services Division VeriSign Trust Network RSA Security Inc. GlobalSign Symantec Corporation	vssat addldapdomain コマンドの -f オプションを使用して、nbatd のトラストストアに CA 証明書を追加します。

この問題をトラブルシューティングするには

1. 次のエラーが nbatd ログに含まれるかどうか確認します。

   CAuthLDAP::validatePrpl - ldap_simple_bind_s() failed for user 'CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com', error = 49, errmsg = Invalid credentials,9:debugmsgs,1

2. 次のシナリオが該当するかを確認し、そのシナリオに示された手順を実行します。

   vssat addldapdomain コマンドを使用して LDAP ドメインを追加しているときに、無効な管理ユーザーの DN またはパスワードが指定された

   検証のために次のコマンドを実行します。 ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> 例: ldapsearch -H ldap://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ******** -d 5 - o nettimeout=60 ldap_bind: Invalid credentials (49)

この問題をトラブルシューティングするには

1. 次のエラーが nbatd ログに含まれるかどうか確認します。

   CAuthLDAP::validatePrpl - ldap_search_s() error = 10, errmsg = Referral,9:debugmsgs,1 CAuthLDAP::validatePrpl - ldap_search_s() error = 34, errmsg = Invalid DN syntax,9:debugmsgs,1

2. ログに含まれるユーザーベース DN (-u オプション) またはグループベース DN (-g オプション) の値が正しくない場合は、エラーが発生する場合があります。

   検証のために次のコマンドを実行します。

   例:

   ldapsearch -H ldap://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ****** -b "OU=VRTSUsers,DC=VRTS,DC=con" "(&(cn=test user)(objectClass=user))"

   ldapsearch -H ldap://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ****** -b "VRTS" "(&(cn=test user)(objectClass=user))"

この問題をトラブルシューティングするには

1. 次のエラーが nbatd ログに含まれるかどうか確認します。

   CAuthLDAP::validateGroup - search returned '2' entries for group name 'team_noone', even with referrals set to OFF,9:debugmsgs,1

2. これは、既存のユーザーベース DN とグループベース DN それぞれについて、ユーザー検索属性 (-a オプション) とグループ検索属性 (-y オプション) に一意の値がない場合に該当します。

   ldapsearch コマンドを使用して、既存のベース DN の一致するエントリの数を検証します。

   ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> -b <BASE_DN> <search_filter>

   例:

この問題をトラブルシューティングするには

1. 次のエラーが nbatd ログに含まれるかどうか確認します。

   CAuthLDAP::validatePrpl - user 'test user' NOT found,9:debugmsgs,4 CAuthLDAP::validateGroup - group 'test group' NOT found,9:debugmsgs,4

2. ユーザーまたはグループが LDAP ドメインに存在していても、vssat validateprpl または vssat validategroup のコマンドがこのエラーで失敗する場合は、次のコマンドを使用して、ユーザーまたはグループが現在のベース DN に存在するかどうかを検証します。

   ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> -b <BASE_DN> <search_filter>