NetWorker: користувач Active Directory не може увійти в NetWorker, код помилки LDAP 49 Data 52f
Summary: Користувачі Active Directory не можуть увійти в NetWorker та NMC. Виникає помилка — «неправильне ім'я користувача або пароль».
Symptoms
Користувачі Active Directory не можуть логувати автентифікацію у командному рядку або інтерфейсах користувача NetWorker (NetWorker Management Console, NetWorker Web User Interface тощо).
nsrlogin повертає помилку "incorrect username or password"; однак ім'я входу користувача та пароль були введені правильно.
The authc-server.log Записав наступне повідомлення:
Unable to get user by name '<user name>'. Reason: Incorrect result size: expected 1, actual 0 Failed to bind as <Distinguished Name of the user> Users: org.springframework.ldap.AuthenticationException: [LDAP: error code 49 - 80090308: LdapErr: DSID-0C090434, comment: AcceptSecurityContext error, data 52f, v4f7c^@]; nested exception is javax.naming.AuthenticationException: [LDAP: error code 49 - 80090308: LdapErr: DSID-0C090434, comment: AcceptSecurityContext error, data 52f, v4f7c^@]
/nsr/authc/logs/authc-server.log
Windows
C:\Program Files\EMC NetWorker\nsr\authc-server\tomcat\logs\authc-server.log
Те саме повідомлення про помилку з'являється при спробі оновити зовнішній авторитетний ресурс у NetWorker.
Cause
LDAP error code 49 означає помилку автентифікації.
LDAP data error code 52f означає, що обмеження облікових записів забороняють цьому користувачу увійти в систему.
49 52f 1327 ERROR_ACCOUNT_RESTRICTION
У цьому випадку обліковий запис AD, який використовувався для прив'язки NetWorker AUTHC до контролера домену, належав до групи AD «Захищені користувачі».
Resolution
Виконайте одну з наведених нижче дій.
- Видаліть обліковий запис користувача AD з групи захищених користувачів.
- Створіть новий обліковий запис користувача AD, який не входить до групи захищеної безпеки користувачів. Новий користувач AD має бути доданий до групи AD, якій надано ролі користувача NetWorker.
Additional Information
Наступна команда AD PowerShell перелічує, до яких AD-груп належить користувач: Get-ADPrincipalGroupMembership username | Select-Object Name
PS C:\Users\Administrator> Get-ADPrincipalGroupMembership Administrator | Select-Object Name
Name
----
Domain Users
Administrators
Schema Admins
Enterprise Admins
Domain Admins
Group Policy Creator Owners
Protected Users
Organization Management
EMC App Agent Exchange Admin Roles
Для отримання додаткової інформації про захищені групи користувачів див. https://learn.microsoft.com/en-us/windows-server/security/credentials-protection-and-management/protected-users-security-group 
Для додаткової безпеки налаштуйте NetWorker на використання LDAPS замість LDAP.