Guía del usuario de IDRAC 8/7 v2.30.30.30

Active Directory

Error de inicio de sesión de Active Directory. ¿Cómo se resuelve este problema?

Para diagnosticar el problema, en la página Configuración y administración de Active Directory, haga clic en Probar configuración. Revise los resultados de la prueba y corrija el problema. Cambie la configuración y ejecute la prueba hasta que el usuario supere el paso de autorización.

En general, compruebe lo siguiente:

Al iniciar sesión, asegúrese de usar el nombre de dominio de usuario correcto y no el nombre de NetBIOS. Si tiene una cuenta de usuario de iDRAC local, inicie sesión en iDRAC mediante las credenciales locales. Tras iniciar sesión, compruebe lo siguiente:
- La opción Active Directory activado está seleccionada en la página Configuración y administración de Active Directory.
- La configuración de DNS se ha configurado correctamente en la página Configuración de redes iDRAC.
- Se ha cargado el certificado de CA raíz de Active Directory correcto en iDRAC si se ha activado la validación de certificados.
- El nombre de iDRAC y el nombre de dominio de iDRAC coinciden con la configuración del entorno de Active Directory si utiliza el esquema extendido.
- El nombre de grupo y el nombre de dominio de grupo coinciden con la configuración del entorno de Active Directory si utiliza el esquema estándar.
- Si el usuario y el objeto iDRAC se encuentran en un dominio diferente, no seleccione la opción Dominio de usuario desde inicio de sesión. En su lugar, seleccione la opción Especificar un dominio e introduzca el nombre del dominio en el que reside el objeto de iDRAC.
Verifique los certificados SSL de la controladora de dominio para asegurarse de que la hora de iDRAC se encuentre en el plazo de vigencia del certificado.

El inicio de sesión de Active Directory falla incluso si la validación de certificados está activada. Los resultados de la prueba muestran el siguiente mensaje de error. ¿Por qué sucede esto y cómo se resuelve?

ERROR: Can't contact LDAP server, error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed: Please
                                 check the correct Certificate Authority (CA) certificate has been uploaded to iDRAC. Please also check if the iDRAC date is
                                 within the valid period of the certificates and if the Domain Controller Address configured in iDRAC matches the subject of
                                 the Directory Server Certificate.

Si se ha activado la validación de certificados, cuando iDRAC establece la conexión SSL con el servidor de directorios, iDRAC utiliza el certificado de CA cargado para verificar el certificado de servidor de directorios. Los motivos más comunes del fallo de esta validación son los siguientes:

La fecha de iDRAC no se encuentra en el período de validación del certificado de servidor o de CA. Compruebe la hora de iDRAC y el período de validación del certificado.
Las direcciones de controladora de dominio configuradas en iDRAC no coinciden con el asunto o el nombre alternativo del asunto del certificado de servidor de directorios. Si utiliza una dirección IP, lea la pregunta siguiente. Si utiliza FQDN, asegúrese de utilizar el FQDN de la controladora de dominio y no el dominio. Por ejemplo, nombreservidor.ejemplo.com en lugar de ejemplo.com.

La validación de certificados falla incluso si la dirección IP se utiliza como dirección de la controladora de dominio. ¿Cómo se resuelve esto?

Compruebe el campo Asunto o Nombre alternativo del asunto del certificado de controladora de dominio. Normalmente, Active Directory utiliza el nombre de host y no la dirección IP de la controladora de dominio en el campo Asunto o Nombre alternativo del asunto del certificado de controladora de dominio. Para resolver esto, realice cualquiera de las acciones siguientes:

Configure el nombre del host (FQDN) de la controladora de dominio como las direcciones de controladora de dominio en iDRAC para que coincidan con el Asunto o el Nombre alternativo del asunto del certificado del servidor.
Vuelva a emitir el certificado del servidor de modo que use una dirección IP en el campo Asunto o Nombre alternativo del asunto y que coincida con la dirección IP configurada en iDRAC.
Desactive la validación de certificados si prefiere confiar en esta controladora de dominio sin validación de certificados durante el protocolo de enlace SSL.

¿Cómo se configuran las direcciones de controladora de dominio cuando se utiliza el esquema extendido en un entorno de varios dominios?

Debe usar el nombre del host (FQDN) o la dirección IP de las controladoras de dominio que sirven al dominio donde reside el objeto iDRAC.

¿Cuándo deben configurarse las direcciones del catálogo global?

Si utiliza el esquema estándar y los usuarios y grupos de roles son de dominios diferentes, se requieren direcciones de catálogo global. En este caso, solo puede utilizar el grupo universal.

Si está utilizando un esquema estándar y todos los usuarios y grupos de roles se encuentran en el mismo dominio, no son necesarias las direcciones de catálogo global.

Si utiliza un esquema extendido, no se utiliza la dirección de catálogo global.

¿Cómo funciona la consulta del esquema estándar?

iDRAC primero se conecta a las direcciones de la controladora de dominio configuradas; si el usuario y los grupos de roles están en el dominio, se guardarán los privilegios.

Si existen direcciones de controladora global configuradas, iDRAC sigue consultando el catálogo global. Si se recuperan privilegios adicionales desde el catálogo global, estos privilegios se acumulan.

¿iDRAC siempre usa LDAP a través de SSL?

Sí. Todo el transporte se realiza a través del puerto seguro 636 o 3269. Durante la prueba de la configuración, iDRAC realiza una conexión LDAP para aislar el problema, pero no realiza un enlace LDAP en una conexión no segura.

¿Por qué iDRAC activa la validación de certificados de manera predeterminada?

iDRAC aplica una seguridad fuerte para garantizar la identidad de la controladora de dominio a la que se conecta. Sin la validación de certificados, un pirata informático puede suplantar una controladora de dominio y tomar el control de la conexión SSL. Si opta por confiar en todas las controladoras de dominio en el límite de seguridad sin activar la validación de certificados, puede desactivarla a través de la interfaz web o RACADM.

¿Admite iDRAC el nombre NetBIOS?

No en esta versión.

¿Por qué se demora hasta cuatro minutos para iniciar sesión en iDRAC mediante el inicio de sesión único de Active Directory o mediante tarjeta inteligente?

El inicio de sesión único de Active Directory o mediante tarjeta inteligente suele tardar menos de 10 segundos. Sin embargo, puede tardar hasta cuatro minutos si ha especificado el servidor DNS preferido y el servidor DNS alternativo y el primero ha fallado. Se espera que se produzcan tiempos de espera DNS cuando un servidor DNS está fuera de servicio. iDRAC le inicia la sesión mediante el servidor DNS alternativo.

Active Directory está configurado para un dominio presente en Windows Server 2008 Active Directory. Hay un dominio secundario o un subdominio presente para el dominio, el usuario y grupo está presente en el mismo dominio secundario y el usuario es miembro de este grupo. Al intentar iniciar sesión en iDRAC mediante el usuario presente en el dominio secundario, falla el inicio de sesión único de Active Directory.

Esto puede deberse a un tipo de grupo incorrecto. Hay dos tipos de grupo en el servidor de Active Directory:

Seguridad: los grupos de seguridad permiten administrar el acceso de usuarios y equipos a los recursos compartidos y filtrar la configuración de la política de grupo.
Distribución: los grupos de distribución tienen la finalidad de utilizarse solo como listas de distribución por correo electrónico.

Asegúrese siempre que el tipo de grupo sea Seguridad. No puede utilizar grupos de distribución para asignar permisos a objetos. Sin embargo, puede usarlos para filtrar la configuración de la política de grupo.

Bienvenido

Bienvenido a Dell

Guía del usuario de IDRAC 8/7 v2.30.30.30

Active Directory

Califique este contenido