Recherche dans <book_title>…

Guide de sécurité et de chiffrement de Veritas NetBackup™

Last Published: 2018-10-19

Product(s): NetBackup & Alta Data Protection (8.1.2)

Dépannage des problèmes de configuration de domaine AD ou LDAP

Une fois que vous avez ajouté une configuration de domaine AD ou LDAP, vérifiez la configuration à l'aide des commandes vssat validateprpl et vssat validategroup. Les commandes valident l'utilisateur et le groupe AD / LDAP existants, respectivement.

Si les commandes vssat validateprpl et vssat validategroup sont exécutées avec succès, le domaine AD ou LDAP associé est correctement ajouté.

Pour plus d'informations sur ces commandes, consultez le Guide de référence des commandes NetBackup.

Si les commandes échouent, le message d'erreur suivant s'affiche :

The principal or group does not exist.

La validation du domaine AD ou LDAP peut échouer pour l'une des raisons suivantes :

Impossible d'établir la connexion avec le serveur AD ou LDAP
Informations d'authentification utilisateur non valides
Nom unique de base du groupe ou de l'utilisateur non valide
Plusieurs utilisateurs ou groupes existent avec le même nom sous le nom unique de base du groupe ou le nom unique de base de l'utilisateur
L'utilisateur ou le groupe n'existe pas

Impossible d'établir la connexion avec le serveur AD ou LDAP

Pour résoudre le problème

Vérifiez si les journaux nbatd contiennent l'erreur suivante :
(authldap.cpp) CAuthLDAP::validatePrpl - ldap_simple_bind_s() failed for user 'CN=Test User,OU=VTRSUsers,DC=VRTS,DC=com', error = -1, errmsg = Can't contact LDAP server,9:debugmsgs,1

Vérifiez si l'un des scénarios suivants est vrai et réalisez les étapes fournies pour ce scénario.

L'URL du serveur LDAP (option -s) qui est fournie avec vssat addldapdomain peut être incorrecte

Exécutez la commande suivante pour vérifier :

ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds>

Exemple :

ldapsearch -H ldaps://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ******** -d 5 -o nettimeout=60

TLS: can't connect: TLS error -8179:Peer's Certificate issuer is not recognized. ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)

L'émetteur de certificat du serveur n'est pas une autorité de certification approuvée

Ceci s'applique si l'option ldaps est utilisée et peut être validée à l'aide de la commande ldapsearch :

set env var LDAPTLS_CACERT to cacert.pem

ldapsearch -H <LDAPS_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds>

Chemin d'accès au fichier pour cacert.pem :

Sous Windows :

<Install_path>\NetBackup\var\global\vxss\eab\data\systemprofile\certstore\trusted\pluggins\ldap\cacert.pem

Sous UNIX :

/usr/openv/var/global/vxss/eab/data/root/.VRTSat/profile/certstore/trusted/pluggins/ldap/cacert.pem

Exemple :

ldapsearch -H ldaps://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ******** -d 5 -o nettimeout=60

TLS: can't connect: TLS error -8179:Peer's Certificate issuer is not recognized. ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)

L'autorité de certification (CA) qui a signé le certificat de sécurité du serveur LDAP n'est pas répertoriée ci-dessous :

CyberTrust
DigiCert
GeoTrust
Certification Services Division
VeriSign Trust Network
RSA Security Inc.
GlobalSign
Veritas Corporation

Utilisez l'option -f de la commande vssat addldapdomain pour ajouter le certificat d'autorité de certification dans le référentiel approuvé de nbatd.

Informations d'authentification utilisateur non valides

Pour résoudre le problème

Vérifiez si les journaux nbatd contiennent l'erreur suivante :
CAuthLDAP::validatePrpl - ldap_simple_bind_s() failed for user 'CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com', error = 49, errmsg = Invalid credentials,9:debugmsgs,1

Vérifiez si le scénario suivant est vrai et réalisez les étapes fournies pour le scénario.

Nom unique de l'utilisateur admin ou mot de passe non valide fourni lors de l'ajout d'un domaine LDAP à l'aide de la commande vssat addldapdomain

Exécutez la commande suivante pour vérifier :

ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds>

Exemple :

ldapsearch -H ldap://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ******** -d 5 - o nettimeout=60 ldap_bind: Invalid credentials (49)

Nom unique de base du groupe ou de l'utilisateur non valide

Pour résoudre le problème

Vérifiez si les journaux nbatd contiennent l'erreur suivante :
CAuthLDAP::validatePrpl - ldap_search_s() error = 10, errmsg = Referral,9:debugmsgs,1 CAuthLDAP::validatePrpl - ldap_search_s() error = 34, errmsg = Invalid DN syntax,9:debugmsgs,1
Vous pouvez voir les erreurs dans les journaux si la valeur du nom unique de base de l'utilisateur (option -u) ou du nom unique de base du groupe (option -g) est incorrecte.
Exécutez la commande suivante pour vérifier :
Exemple :
ldapsearch -H ldap://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ****** -b "OU=VRTSUsers,DC=VRTS,DC=con" "(&(cn=test user)(objectClass=user))"
ldapsearch -H ldap://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ****** -b "VRTS" "(&(cn=test user)(objectClass=user))"

Plusieurs utilisateurs ou groupes existent avec le même nom sous le nom unique de base de l'utilisateur ou le nom unique de base du groupe

Pour résoudre le problème

Vérifiez si les journaux nbatd contiennent l'erreur suivante :
CAuthLDAP::validateGroup - search returned '2' entries for group name 'team_noone', even with referrals set to OFF,9:debugmsgs,1
Ceci s'applique si l'attribut de recherche d'utilisateur (option -a) et l'attribut de recherche de groupe (option -y) n'ont pas de valeurs uniques pour le nom unique de base de l'utilisateur et le nom unique de base du groupe, respectivement.

Validez le nombre d'entrées correspondantes pour le nom unique de base existant à l'aide de la commande ldapsearch.
ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> -b <BASE_DN> <search_filter>
Exemple :

ldapsearch -H ldap://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ****** -b "DC=VRTS,DC=com" "(&(cn=test user)(objectClass=user))" # LDAPv3 # base <DC=VRTS,DC=com> with scope subtree # filter: (cn=Test User) # requesting: ALL # Test User, VRTSUsers, VRTS.com dn: CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com # Test User, RsvUsers, VRTS.com dn: CN=Test User,OU=RsvUsers,DC=VRTS,DC=com # numEntries: 2

L'utilisateur ou le groupe n'existe pas

Pour résoudre le problème

Vérifiez si les journaux nbatd contiennent l'erreur suivante :
CAuthLDAP::validatePrpl - user 'test user' NOT found,9:debugmsgs,4 CAuthLDAP::validateGroup - group 'test group' NOT found,9:debugmsgs,4
Si un utilisateur ou groupe existe dans le domaine LDAP, mais que la commande vssat validateprpl ou vssat validategroup échoue avec cette erreur, vérifiez que l'utilisateur ou le groupe existe dans le nom de base actuel (options -u et -g) à l'aide de la commande suivante.
ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> -b <BASE_DN> <search_filter>