Поиск IDPA: Сообщение о сбое при тестировании подключения к внешнему поставщику удостоверений

В консоли администрирования PowerProtect DPSearch в разделе «LDAP Options » отображается сообщение о сбое при использовании кнопки Test connection . Сообщение об ошибке не отображается, если для поля Secure Socket Layer (SSL)установлено значение false.

Сообщения об ошибках, подобные следующим, можно найти в файле cis.log , расположенном в папке /usr/local/search/log/cis :

P7FF0|2021/03/09 13:34:46:765|DEBUG|cislockbox.rb(62)|Parsed body A-OK 
P7FF0|2021/03/09 13:34:46:765|DEBUG|cislockbox.rb(79)|Binding to ldap using: [Server=ldaphost, Port:636, User=ldapuser, Pwd: ********************] 
P7FF0|2021/03/09 13:34:46:768|DEBUG|cisconfigldap.rb(128)|Binding to [ldaphost:636 as ldapuser] 
P7FF0|2021/03/09 13:34:46:780|DEBUG|ldap_internal.rb(645)|Ldap Internal; bind_as: "Connection to ldap server ldaphost failed, ex: SSL_connect returned=1 errno=0 state=error: certificate verify failed." 
P7FF0|2021/03/09 13:34:46:780|DEBUG|ldap_internal.rb(645)|Ldap Internal; bind_as: "bind as result: " 
P7FF0|2021/03/09 13:34:46:780|DEBUG|ldap_provider.rb(317)|Ldap Provider; validate_user: "bind_as user ldapuser failed on LDAP Host ldaphost with #\u003cOpenStruct code=0, message=\"Success\"\u003e" 
P7FF0|2021/03/09 13:34:46:780|DEBUG|ldap_provider.rb(317)|Ldap Provider; validate_user: "validate_user failed. User entry: null" 
P7FF0|2021/03/09 13:34:46:781|ERROR|cisconfigldap.rb(141)|LDAP binding failed. 
P7FF0|2021/03/09 13:34:46:781|ERROR|cislockbox.rb(99)|PUT /cis/lockbox/ldap/_test : LDAP binding failed.  Invalid LDAP parameters.  

На хосте DPSearch, если ldapsearch запускается с помощью "-v" и "-d1" коммутаторов, найдена информация, аналогичная следующей:  

TLS trace: SSL_connect:before/connect initialization
TLS trace: SSL_connect:SSLv2/v3 write client hello A
TLS trace: SSL_connect:unknown state
TLS certificate verification: depth: 1, err: 20, subject <subject of certificate>, issuer: <issuer details>
TLS certificate verification: Error, unable to get local issuer certificate
TLS trace: SSL3 alert write:fatal:unknown CA
TLS trace: SSL_connect:error in error
TLS trace: SSL_connect:error in error
TLS: cann't connect: error:14090086:SSL routines:ssl3_get_server_certificate:certificate verify failed (unable to get local issuer certificate).
ldap_err2string
ldap_sasl_bind(SIMPLE): Can't contact LDAP server(-1)

Сертификат корневого центра сертификации (rootCA) и сертификат промежуточного источника сертификатов (если используется) отсутствуют в хранилище доверенных сертификатов, что приводит к сбою проверки сертификата.

Действия по устранению этой проблемы:

1. Получите копию корневого ЦС и промежуточного ЦС (если он используется) в формате Privacy-Enhanced Mail (PEM).
2. Скопируйте файлы PEM из шага 1 в папку /etc/pki/trust/anchors/ .
3. Войдя в систему с учетной записью root, выполните следующую команду:

update-ca-certificates

Шаги, которые необходимо выполнить для экспорта сертификата rootCA из центра сертификации на базе Microsoft Windows:
 

1. Войдите на сервер Корневого ИС с учетной записью администратора.
2. Перейдите в меню Пуск, выберите Выполнить, введите cmd и нажмите OK.
3. Чтобы экспортировать данные корневого сервера ИС в файл с новым именем, выполните следующую команду:

certutil -ca.cert ca_name.cer

4. Скопируйте сертификат на сервер DPSearch.
5. Перейдите в папку, в которую файл сертификата был скопирован на шаге 4 выше, и выполните команду openSSL для преобразования сертификата в формат PEM: 

   # openssl x509 -in ca_ name.cer -inform der -out ca_name.pem -outform pem

6. Файл ca_name.pem готов к использованию для действий, указанных выше в разделе «Решение».

В описанных выше действиях замените ca_name именем, которое помогает идентифицировать имя хоста.