NetWorker: NMC-Anmeldung schlägt für AD- oder LDAP-Nutzer fehl mit der Meldung "Sie haben keine Berechtigungen zur Verwendung von NMC"

• Der folgende Fehler wird angezeigt, wenn Sie versuchen, sich bei NMC als externer Nutzer (AD oder LDAP) anzumelden:

• Derselbe AD-Nutzer kann sich mit dem Befehl nsrlogin Befehlszeilenoption.
• Die Authentifizierung für das standardmäßige NetWorker-Administratorkonto ist erfolgreich.
• In einigen Situationen kann sich dieser Fehler nur auf bestimmte Nutzer auswirken.

nsrlogin

nsrlogin -t tenant_name -t domain -u username
nsrlogout

• Tenant_name: In den meisten Konfigurationen ist dies der Standardwert. andernfalls ist dies der vom NetWorker-Administrator konfigurierte Mandantenname.
• Domain: Der Domainpräfixwert, der bei der Anmeldung bei NMC verwendet wird
• Nutzername: AD- oder LDAP-Nutzername ohne Domainpräfix

1. Melden Sie sich bei der NetWorker Management Console (NMC) als NetWorker-Administratorkonto an.
2. Navigieren Sie zu Setup > Nutzer und Rollen > NMC-Rollen.
3. Überprüfen Sie die Rollen Console Users (Konsolennutzer) und Application Administrators (Anwendungsadministratoren). Die Rollenfelder für externe Rollen sollten den Distinguished Name (DN) (vollständiger Pfad) einer AD-Gruppe enthalten, der der Nutzer angehört. Optional kann der Pfad eines einzelnen Nutzers festgelegt werden. 

Zum Beispiel:

4. Nachdem Sie den AD-Gruppen-DN zu den entsprechenden NMC-Rollen für den Nutzer hinzugefügt haben, testen Sie die Anmeldung beim NMC mit diesem AD-Nutzer.

Wenn das Problem weiterhin besteht, können Sie die AD- oder LDAP-Gruppenmitgliedschaft mit den folgenden Optionen überprüfen:

Windows PowerShell:

Führen Sie auf einem Windows-System in derselben Domäne den folgenden PowerShell-Befehl aus:

Get-ADPrincipalGroupMembership -Identity USERNAME

Beispiel:

PS C:\Users\Administrator.EMCLAB> Get-ADPrincipalGroupMembership -Identity bkupadmin

...
...

distinguishedName : CN=NetWorker_Admins,CN=Users,DC=emclab,DC=local
GroupCategory     : Security
GroupScope        : Global
name              : NetWorker_Admins
objectClass       : group
objectGUID        : 058495c7-71c7-42c6-be92-2d8f96a5c2aa
SamAccountName    : NetWorker_Admins
SID               : S-1-5-21-4085282181-485696706-820049737-1104

Die Datei distinguishedName Die vom Befehl ausgegebenen Daten können in NetWorker verwendet werden, um dem AD-Nutzer Zugriff auf die NMC zu gewähren.

Weitere Informationen zu diesem Befehl finden Sie im Microsoft-Artikel Get-ADPrincipalGroupMembership 

NetWorker authc_mgmt Befehl:

Sie können den Befehl authc_mgmt Befehl zum Abfragen der AD- oder LDAP-Nutzer- oder Gruppenmitgliedschaft. Öffnen Sie auf dem NetWorker-Server eine Eingabeaufforderung (oder SSH-Sitzung) und führen Sie die folgende Befehlssyntax aus:

authc_mgmt -u Administrator -e query-ldap-groups-for-user -D query-tenant=TENANT_NAME -D query-domain=DOMAIN_NAME -D user-name=USER_NAME

PS C:\> authc_mgmt -u Administrator -e query-ldap-groups-for-user -D query-tenant=default -D query-domain=emclab.local -D user-name=bkupadmin
Enter password:
The query returns 2 records.
Group Name           Full Dn Name
Remote Desktop Users CN=Remote Desktop Users,CN=Builtin,dc=emclab,dc=local
NetWorker_Admins     CN=NetWorker_Admins,CN=Users,dc=emclab,dc=local

Die Datei Full Dn Name einer der Gruppen kann verwendet werden, um diesem AD-Benutzer Zugriff auf die NMC zu gewähren.

Die Konfiguration und die Werte, die erforderlich sind für authc_mgmt Befehle können erfasst werden, indem Sie Folgendes ausführen:

authc_config -u Administrator -e find-all-configs
authc_config -u Administrator -e find-config -D config-id=CONFIG_ID
authc_config -u Administrator -e find-all-tenants

Siehe: NetWorker: Einrichten der AD- oder LDAP-Authentifizierung