NetWorker: Logowanie do NMC kończy się niepowodzeniem dla użytkownika AD lub LDAP z komunikatem "Nie masz uprawnień do korzystania z NMC"

• Podczas próby zalogowania się do NMC jako użytkownik zewnętrzny (AD lub LDAP) pojawia się następujący błąd:

• Ten sam użytkownik AD może zalogować się za pomocą nsrlogin opcja wiersza poleceń.
• Uwierzytelnianie działa pomyślnie w przypadku domyślnego konta administratora NetWorker.
• W niektórych sytuacjach ten błąd może dotyczyć tylko określonych użytkowników.

nsrlogin

nsrlogin -t tenant_name -t domain -u username
nsrlogout

• Tenant_name: W większości konfiguracji ta wartość jest domyślna; w przeciwnym razie jest to nazwa dzierżawcy skonfigurowana przez administratora NetWorker.
• Domena: Wartość prefiksu domeny używana podczas logowania do NMC
• Username (Nazwa użytkownika): Nazwa użytkownika AD lub LDAP bez prefiksu domeny

1. Zaloguj się do konsoli NetWorker Management Console (NMC) jako domyślnego konta administratora NetWorker.
2. Przejdź do opcji Konfiguracja > użytkowników i ról > NMC Roles.
3. Zapoznaj się rolami Console Users i Application Administrators. Pola ról ról zewnętrznych powinny zawierać nazwę wyróżniającą (DN) (pełną ścieżkę) grupy AD, do której należy użytkownik; opcjonalnie można ustawić ścieżkę pojedynczego użytkownika. 

Na przykład:

4. Po dodaniu nazwy wyróżniającej grupy AD do odpowiednich ról NMC dla użytkownika przetestuj logowanie się do NMC za pomocą tego użytkownika AD.

Jeśli problem nie ustąpi, możesz zweryfikować członkostwo w grupie AD lub LDAP za pomocą następujących opcji:

Windows Powershell:

W systemie Windows w tej samej domenie uruchom następujące polecenie PowerShell:

Get-ADPrincipalGroupMembership -Identity USERNAME

Przykład:

PS C:\Users\Administrator.EMCLAB> Get-ADPrincipalGroupMembership -Identity bkupadmin

...
...

distinguishedName : CN=NetWorker_Admins,CN=Users,DC=emclab,DC=local
GroupCategory     : Security
GroupScope        : Global
name              : NetWorker_Admins
objectClass       : group
objectGUID        : 058495c7-71c7-42c6-be92-2d8f96a5c2aa
SamAccountName    : NetWorker_Admins
SID               : S-1-5-21-4085282181-485696706-820049737-1104

Plik distinguishedName dane wyjściowe polecenia mogą być użyte w NetWorker do udzielenia użytkownikowi AD dostępu do NMC.

Aby uzyskać więcej informacji na temat tego polecenia, zobacz artykuł firmy Microsoft Get-ADPrincipalGroupMembership 

NetWorker authc_mgmt Polecenie:

Możesz użyć polecenia authc_mgmt , aby zapytać o członkostwo w użytkownikach lub grupach AD lub LDAP. Na serwerze NetWorker otwórz wiersz polecenia (lub sesję SSH) i uruchom następującą składnię polecenia:

authc_mgmt -u Administrator -e query-ldap-groups-for-user -D query-tenant=TENANT_NAME -D query-domain=DOMAIN_NAME -D user-name=USER_NAME

PS C:\> authc_mgmt -u Administrator -e query-ldap-groups-for-user -D query-tenant=default -D query-domain=emclab.local -D user-name=bkupadmin
Enter password:
The query returns 2 records.
Group Name           Full Dn Name
Remote Desktop Users CN=Remote Desktop Users,CN=Builtin,dc=emclab,dc=local
NetWorker_Admins     CN=NetWorker_Admins,CN=Users,dc=emclab,dc=local

Plik Full Dn Name jednej z grup może być użyta do udzielenia temu użytkownikowi AD dostępu do NMC.

Konfiguracja i wartości potrzebne do authc_mgmt Polecenia można zbierać, uruchamiając:

authc_config -u Administrator -e find-all-configs
authc_config -u Administrator -e find-config -D config-id=CONFIG_ID
authc_config -u Administrator -e find-all-tenants

Patrz: NetWorker: Konfigurowanie uwierzytelniania AD lub LDAP