XtremIO: LDAP-konfigurationsfejl ved brug af LDAPS til sikker kanal

Oversigt: Der kan opstå godkendelsesfejl, når LDAP-godkendelse ved hjælp af LDAPS konfigureres til eksterne brugere.

Denne artikel gælder for Denne artikel gælder ikke for Denne artikel er ikke knyttet til et bestemt produkt. Det er ikke alle produktversioner, der er identificeret i denne artikel.
Udforsk andre ressourcer

Symptomer

Baggrund

I nogle tilfælde, når kunden konfigurerer LDAP-godkendelse for eksterne brugere, kan der opstå godkendelsesfejl.

Følgende XtremIO-miljøer kan være berørt af dette problem:

  • Dell EMC-software: XtremIO 6.3.2 og nyere.


Problem

Når kunden konfigurerer LDAP-godkendelse for eksterne brugere, kan der opstå godkendelsesfejl, når alle følgende betingelser er opfyldt:

  1. LDAP-serveren server server via en sikker kanal LDAPS i stedet for ldap
  2. Der findes et konfigurationselement TLS_CIPHER_SUITE ALLE:! ECDHE i /etc/openldap/ldap.conf
  3. Den eksisterende serversidecertificering genereres via chiffer-ECDHE.

I betragtning af ovenstående betingelser returnerer serversiden fejl som,

[root@vxms-xbrick820 tmp]# LDAPTLS_REQCERT=never  ldapsearch '-x' '-H' 'ldaps://10.xx.xxx.xxx' '-s' 'base' '-D' 'CN=Administrator,CN=Users,DC=dts,DC=xio,DC=com' -w ********** '-l' '1500' '-b' 'CN=xioadmins,CN=Users,DC=dts,DC=xio,DC=com' 'member' 'uniquemember' 'memberUid'
ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
 

Årsag

Software problem på grund af inkompatibilitet af TLS_CIPHER_SUITE ALL:! ECDHE med serversidecertificering, der genereres via chiffer-ECDHE

Løsning

For at finde ud af, om LDAP anvendes, skal du køre kommandoen xmcli , show-user-accounts. Egenskaben Ekstern konto er sand, når LDAP bruges: 
 (tech)> show-user-accounts
Name             Index Role          External-Account Inactivity-Timeout
tech              1    technician      False            10
sara              2    admin           True             10


Udfør en af følgende indstillinger for at forhindre, at denne fejl opstår:
  • Regenerer certificeringsfilen sammen med chiffer ud over ECDHE.  Brug openssl-værktøjet til at generere et nyt certifikat uden at bruge ECDHE-krypteringspakken, og kør derefter kommandoen modify-ldap-config i xmcli-konsollen, for eksempel:
xmcli (tech)> modify-ldap-config ldap-config-id=1 ca-cert-data="-----BEGIN CERTIFICATE-----\n\
xmcli (tech)> ...MIIDxzCCAq+gAwIBAgIJAP6+MUDcIYMbMA0GCSqGSIb3DQEBCwUAMHoxCzAJBgNV\n\
xmcli (tech)> ...BAYTAlJVMQwwCgYDVQQIDANTUEIxDDAKBgNVBAcMA1NQQjENMAsGA1UECgwERGVs\n\
...
xmcli (tech)> ...IWm2qx8C+k891uD3kQp3ipG2c4GMp9y/QA2z8bJhYDVkPHj4k404vHO6CBYlgdMP\n\
xmcli (tech)> ...icN8dZwGqgfc58lct2zZORFJUAjduRGzB0rL4YYJwiuPLOqKTSma5cckef7bR4OB\n\
xmcli (tech)> ...dSvHlrWuRrrtDwk=\n\
xmcli (tech)> ...-----END CERTIFICATE-----"
Modified LDAP Configuration [1]
eller
  • Kommenter konfigurationselementet TLS_CIPHER_SUITE ALL:! ECDHE i /etc/openldap/ldap.conf.

Hvis XMS opgraderes til XMS 6.3.2 eller nyere, bør dette udføres efter opgraderingen.

Berørte produkter

XtremIO, XtremIO Family, XtremIO X1, XtremIO X2
Artikelegenskaber
Artikelnummer: 000185589
Artikeltype: Solution
Senest ændret: 09 maj 2026
Version:  12
Find svar på dine spørgsmål fra andre Dell-brugere
Supportservices
Kontrollér, om din enhed er dækket af supportservices.