Домен даних: LDAP з Active Directory вмикають помилку з помилкою «Помилка перевірки»

Summary: Протокол легкого доступу до каталогів (LDAP) з увімкненою функцією Active Directory завершується помилкою.

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Symptoms

LDAP з увімкненим Active Directory може завершитися помилкою, якщо в систему Data Domain імпортовано неправильний сертифікат.

Приклад:   
sysadmin@dd01# authentication ldap show
LDAP configuration
        Enabled:         no
        Base-suffix:     dc=lab,dc=example,dc=com
        Server Type:     Active Directory
        Binddn:          administrator@lab.example.com
        Server(s):       1
#   Server
-   ------------------------   ---------
1   MYADSERV.com.example.com   (primary)
-   ------------------------   ---------

Secure LDAP configuration
        SSL Enabled:     yes
        SSL Method:      ldaps
        tls_reqcert:     demand
sysadmin@dd01# authentication ldap enable
LDAP configuration
        Enabled:         no
        Base-suffix:     dc=lab,dc=example,dc=com
        Server Type:     Active Directory
        Binddn:          administrator@lab.example.com
        Server(s):       1
#   Server
-   ------------------------   ---------
1   MYADSERV.com.example.com   (primary)
-   ------------------------   ---------


Secure LDAP configuration
        SSL Enabled:     yes
        SSL Method:      ldaps
        tls_reqcert:     demand

LDAP will be enabled with the above configuration.
        Do you want to continue? (yes|no) [no]: yes

**** Failed to enable: validation failed. Error while performing ldap query.


Aug 16 22:07:20 dd01 sms: NOTICE: Run: timeout 60 /bin/ldapsearch -x -H ldaps://MYADSERV.lab.example.com/ -b 'dc=lab,dc=example,dc=lab' -s base -LLL -D 'administrator@lab.example.com' -y /etc/openldap/bindpw_file 2>&1
Aug 16 22:07:20 dd01 sms: NOTICE: Output: ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
Aug 16 22:07:20 dd01 sms: NOTICE: ldapsearch error:255
Aug 16 22:07:20 dd01 sms: ERROR: _check_ldap_status: Failed to run ldapsearch query: **** An error occurred while running an internal command.
Aug 16 22:07:20 dd01 sms: INFO: _sms_ldap_get_status:1183: LDAP server MYADSERV.lab.example.com has an error: validation failed. Error while performing ldap query.
Aug 16 22:07:20 dd01 sms: ERROR: _validate_ldap_status_during_enable:1380: validation failed. Error while performing ldap query.
Aug 16 22:07:20 dd01 sms: ERROR: sms_ldap_setup_config_job:2253: **** Failed to enable: validation failed. Error while performing ldap query.
Aug 16 22:07:20 dd01 -ddsh: NOTICE: MSG-DDSH-00017: (tty=pts/2, session=15211) sysadmin: command "authentication ldap enable" exited with code: 33
Aug 16 22:07:44 dd01 sms: INFO: Map MG/DG UUID into volume UUID and Name

Cause

Для інтеграції LDAP з Active Directory системі потрібен сертифікат LDAP з FDQN.

sysadmin@dd01# adminaccess certificate show
Subject               Type          Application   Valid From                 Valid Until                Fingerprint
-------------------   -----------   -----------   ------------------------   ------------------------   -----------------------------------------------------------
dd01.lab.example.com   host          https         Sat Aug 15 09:14:31 2020   Tue Aug 15 16:14:31 2023   D3:B6:F8:B6:3C:91:DA:B8:BB:96:44:38:3F:85:10:BD:A9:23:9E:D9
lab-MYADSERV-CA        imported-ca   ldap          Mon Aug 16 21:51:24 2021   Sun Aug 16 22:01:23 2026   B7:40:A1:FA:7D:19:B6:D0:EB:FF:5D:72:70:64:43:E1:6B:70:5E:75
-------------------   -----------   -----------   ------------------------   ------------------------   -----------------------------------------------------------

Майте на увазі, що AD LDAP не підтримується в DDMC.

Resolution

  1. Клієнт для створення нового сертифіката LDAP за допомогою FDQN.
  2. Встановіть новий сертифікат за допомогою FDQN і увімкніть LDAP.
Приклад:
Сертифікат LDPA з FDQN  
sysadmin@dd01# adminaccess certificate show
Subject                       Type          Application   Valid From                 Valid Until                Fingerprint
-----------------------     -----------   -----------   ------------------------   ------------------------   -----------------------------------------------------------
dd01.lab.example.com          host          https         Sat Aug 15 09:14:31 2020   Tue Aug 15 16:14:31 2023   D3:B6:F8:B6:3C:91:DA:B8:BB:96:44:38:3F:85:10:BD:A9:23:9E:D9
lab-MYADSERV-CA             imported-ca   ldap          Mon Aug 16 21:51:24 2021   Sun Aug 16 22:01:23 2026   B7:40:A1:FA:7D:19:B6:D0:EB:FF:5D:72:70:64:43:E1:6B:70:5E:75
MYADSERV.lab.example.com    imported-ca   ldap          Mon Aug 16 22:05:09 2021   Sat Aug 16 22:15:08 2031   2F:82:C5:C1:0A:DF:26:A2:97:63:9B:74:3E:AC:D8:39:5E:0E:08:B9
------------------------      ----------   -----------   ------------------------   ------------------------   -----------------------------------------------------------

sysadmin@dd01# authentication ldap enable
LDAP configuration
        Enabled:         no
        Base-suffix:     dc=lab,dc=example,dc=com
        Server Type:     Active Directory
        Binddn:          administrator@lab.example.com
        Server(s):       1
#   Server
-   ------------------------   ---------
1   MYADSERV.com.example.com   (primary)
-   ------------------------   ---------

Secure LDAP configuration
        SSL Enabled:     yes
        SSL Method:      ldaps
        tls_reqcert:     demand

LDAP will be enabled with the above configuration.
        Do you want to continue? (yes|no) [no]: y

LDAP is enabled.

Additional Information

Нижче наведено вимоги для завершення конфігурації LDAP за допомогою AD для користувачів і груп.
  1. Налаштуйте групу для користувачів домену даних на AD та встановіть ідентифікатор GID для цієї групи.
  2. Кожен користувач AD повинен мати набір UID та GID.
Приклад: 
На ДД: 
# authentication ldap groups show
LDAP Group   Role
----------   -----
myadmins     admin
----------   -----
На сервері AD: 
#  get-adgroup myadmins -properties * |findstr gidNumber
gidNumber                       : 200

# get-aduser test -properties * |findstr uidNumber
uidNumber                            : 600

#get-aduser test  -properties * |findstr gidNumber
gidNumber                            : 200
Підключення по SSH 
$ ssh  test@ddve
EMC Data Domain Virtual Edition
Password:
Last login: Thu Aug 19 17:25:23 PDT 2021 from xx.xx.xx.xx on gui


Welcome to Data Domain OS 7.6.0.5-685135
----------------------------------------

test@ddve4#


Настроювання зіставлень ідентифікаторів у користувачах і комп'ютерах Active Directory для Windows Server 2016 (і наступних версій):
На контролері домену:

  1. Натисніть «Адміністративні інструменти» 
  2. Запустіть програму Active Directory Users and Computers (ADUC).
  3. Увімкніть «Додаткові функції» в меню «Вигляд».
  4. Перейдіть до конкретного об'єкта користувача в розділі Користувачі
  5. Клацніть правою кнопкою миші об'єкт користувача, щоб відкрити меню «Властивості»,
  6. Перейдіть на вкладку Редактор атрибутів.
  7. Для Users вкажіть uidNumber. У полі «Групи» вкажіть gidNumber.

Affected Products

Data Domain
Article Properties
Article Number: 000190700
Article Type: Solution
Last Modified: 20 Aug 2025
Version:  3
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.