NetWorker: el usuario de Active Directory no puede iniciar sesión en NetWorker, código de error de LDAP 49 Data 52f
Summary: Los usuarios de Active Directory no pueden iniciar sesión en NetWorker ni en NMC. El error generado es "nombre de usuario o contraseña incorrectos".
Symptoms
Los usuarios de Active Directory no pueden autenticar registros en la línea de comandos ni en las interfaces de usuario de NetWorker (NetWorker Management Console, NetWorker Web User Interface, etc.).
nsrlogin Devuelve el error "incorrect username or password"; Sin embargo, el nombre de inicio de sesión y la contraseña del usuario se ingresaron correctamente.
El authc-server.log Se registró el siguiente mensaje:
Unable to get user by name '<user name>'. Reason: Incorrect result size: expected 1, actual 0 Failed to bind as <Distinguished Name of the user> Users: org.springframework.ldap.AuthenticationException: [LDAP: error code 49 - 80090308: LdapErr: DSID-0C090434, comment: AcceptSecurityContext error, data 52f, v4f7c^@]; nested exception is javax.naming.AuthenticationException: [LDAP: error code 49 - 80090308: LdapErr: DSID-0C090434, comment: AcceptSecurityContext error, data 52f, v4f7c^@]
/nsr/authc/logs/authc-server.log
Windows:
C:\Program Files\EMC NetWorker\nsr\authc-server\tomcat\logs\authc-server.log
El mismo mensaje de error aparece cuando se intenta actualizar el recurso de autoridad externa en NetWorker.
Cause
LDAP error code 49 significa error de autenticación.
LDAP data error code 52f significa que las restricciones de la cuenta impiden que este usuario inicie sesión.
49 52f 1327 ERROR_ACCOUNT_RESTRICTION
En este escenario, la cuenta de usuario de AD utilizada para vincular NetWorker AUTHC a la controladora de dominio pertenecía al grupo de AD "Protected Users".
Resolution
Realice una de las siguientes acciones:
- Elimine la cuenta de usuario de AD del grupo de usuarios protegidos.
- Cree una nueva cuenta de usuario de AD que no forme parte del grupo de seguridad de usuario protegido. El nuevo usuario de AD se debe agregar a un grupo de AD al que se le hayan otorgado funciones de usuario de NetWorker.
Additional Information
El siguiente comando de PowerShell de AD enumera a qué grupos de AD pertenece el usuario: Get-ADPrincipalGroupMembership username | Select-Object Name
PS C:\Users\Administrator> Get-ADPrincipalGroupMembership Administrator | Select-Object Name
Name
----
Domain Users
Administrators
Schema Admins
Enterprise Admins
Domain Admins
Group Policy Creator Owners
Protected Users
Organization Management
EMC App Agent Exchange Admin Roles
Para obtener más información sobre los grupos de usuarios protegidos, consulte https://learn.microsoft.com/en-us/windows-server/security/credentials-protection-and-management/protected-users-security-group 
Para mayor seguridad, configure NetWorker para usar LDAPS en lugar de LDAP.