NetWorker: utente Active Directory impossibile accedere a NetWorker, codice errore LDAP 49 Data 52f
Summary: Gli utenti Active Directory non possono accedere a NetWorker e a NMC. L'errore generato è "nome utente o password errati".
Symptoms
Gli utenti di Active Directory non possono eseguire l'autenticazione nella riga di comando o nelle interfacce utente di NetWorker (NetWorker Management Console, NetWorker Web User Interface e così via).
nsrlogin Restituisce l'errore "incorrect username or password"; Tuttavia, il nome di accesso e la password dell'utente sono stati immessi correttamente.
L'opzione authc-server.log Registrato il seguente messaggio:
Unable to get user by name '<user name>'. Reason: Incorrect result size: expected 1, actual 0 Failed to bind as <Distinguished Name of the user> Users: org.springframework.ldap.AuthenticationException: [LDAP: error code 49 - 80090308: LdapErr: DSID-0C090434, comment: AcceptSecurityContext error, data 52f, v4f7c^@]; nested exception is javax.naming.AuthenticationException: [LDAP: error code 49 - 80090308: LdapErr: DSID-0C090434, comment: AcceptSecurityContext error, data 52f, v4f7c^@]
/nsr/authc/logs/authc-server.log
Windows:
C:\Program Files\EMC NetWorker\nsr\authc-server\tomcat\logs\authc-server.log
Lo stesso messaggio di errore viene visualizzato quando si tenta di aggiornare la risorsa dell'autorità esterna in NetWorker.
Cause
LDAP error code 49 indica un errore di autenticazione.
LDAP data error code 52f significa che le restrizioni dell'account impediscono a questo utente di accedere.
49 52f 1327 ERROR_ACCOUNT_RESTRICTION
In questo scenario, l'account utente AD utilizzato per associare NetWorker AUTHC al controller di dominio apparteneva al gruppo AD "Protected Users".
Resolution
Effettuare una delle seguenti operazioni:
- Rimuovere l'account utente AD dal gruppo Utenti protetti.
- Creare un nuovo account utente AD che non faccia parte del gruppo di sicurezza Utente protetto. Il nuovo utente AD deve essere aggiunto a un gruppo AD a cui sono stati assegnati i ruoli utente NetWorker.
Additional Information
Il seguente comando AD PowerShell elenca i gruppi AD a cui appartiene l'utente: Get-ADPrincipalGroupMembership username | Select-Object Name
PS C:\Users\Administrator> Get-ADPrincipalGroupMembership Administrator | Select-Object Name
Name
----
Domain Users
Administrators
Schema Admins
Enterprise Admins
Domain Admins
Group Policy Creator Owners
Protected Users
Organization Management
EMC App Agent Exchange Admin Roles
Per ulteriori informazioni sui gruppi di utenti protetti, consultare https://learn.microsoft.com/en-us/windows-server/security/credentials-protection-and-management/protected-users-security-group 
Per una maggiore sicurezza, configurare NetWorker in modo che utilizzi LDAPS anziché LDAP.