NWUI: AD/LDAP-brugere, der ikke er defineret i NetWorker, kan gennemse dashboardet.
Summary: Ekstern godkendelse (AD/LDAP) er blevet integreret med NetWorker. AD/LDAP-brugere eller -grupper er blevet integrerede NetWorker-roller. En ekstern bruger, der ikke har fået nogen tilladelser i NetWorker, kan dog logge på NWUI og gennemse dashboardet. ...
Symptoms
AD/LDAP er integreret med NetWorker. NetWorkers eksterne autoritetsintegration har ikke en brugersøgesti eller gruppesøgesti angivet (global læseadgang):
AD/LDAP-brugere eller -grupper er blevet føjet til felterne eksterne roller i Server-brugergrupper>. En AD/LDAP-bruger tilhører ikke nogen af de grupper, der er defineret i NetWorker, og brugeren er ikke defineret i nogen af NSR-brugergrupperne.
AD/LDAP-brugeren kan logge på NetWorker Web User Interface (NWUI) og se fanerne Dashboard og Overvågning:
Brugeren kan ikke gennemse eller ændre NetWorker-konfigurationen. De kan dog få adgang til oplysninger om fuldførte eller kørende job på NetWorker-serveren:
Cause
Dette spørgsmål er blevet rejst over for NetWorker-teknik. NetWorker virker efter hensigten. Hvis der ikke er angivet en brugersøgesti eller gruppesøgesti , har NetWorker-authc global læseadgang til hele AD/LDAP-strukturen.
Dette kan også observeres, hvis der er indstillet en brugersøgesti og/eller gruppesøgesti, men den er indstillet til lav inden for AD/LDAP-strukturen, hvilket gør det muligt for undertræssøgning at hente brugere/grupper under den indstillede sti.
Resolution
Begræns NetWorkers synlighed af AD/LDAP-organisationen til kun brugere/grupper, som bør have adgang til NetWorker. Dette kan gøres ved hjælp af felterne brugersøgesti og gruppesøgesti i NetWorkers eksterne autoritetsressource.
- I AD/LDAP-miljøet skal du identificere entydigt navn (DN) på den overordnede container (CN) eller organisationsenhed (OU), der kræver NetWorker-adgang.
For eksempel, Følgende PowerShell-kommando kan bruges til at identificere placeringen af en gruppe i Microsoft AD:
Get-ADGroup -Identity "GROUP_NAME" | Select-Object -Property Name,ObjectClass,DistinguishedName
PS C:\Users\Administrator> Get-ADGroup -Identity "NetWorker_Admins" | Select-Object -Property Name,ObjectClass,DistinguishedName Name ObjectClass DistinguishedName ---- ----------- ----------------- NetWorker_Admins group CN=NetWorker_Admins,OU=DELL,DC=networker,DC=lan
I dette eksempel kan vi se, at gruppen hører under Organisationsenhed (OU) OU=DELL,DC=networker,DC=lan. Gruppens OU/CN kan bruges som gruppesøgesti.
Følgende PowerShell-kommando kan bruges til at hente placeringen af Microsoft AD-brugere i en AD-gruppe:
Get-ADGroupMember -Identity "GROUP_NAME" | Select-Object Name, SamAccountName, ObjectClass, DistinguishedName
Eksempel:
PS C:\Users\Administrator> Get-ADGroupMember -Identity "NetWorker_Admins" | Select-Object Name, SamAccountName, ObjectClass, DistinguishedName Name SamAccountName ObjectClass DistinguishedName ---- -------------- ----------- ----------------- NetWorker Engineering nwree user CN=NetWorker Engineering,OU=DELL,DC=networker,DC=lan Backup Administrator bkupadmin user CN=Backup Administrator,OU=Support_Services,OU=DELL,DC=networker,DC=lan
BEMÆRK: Du skal overveje subtree-ressourcer. Hvis der f.eks. er andre OU/CN under den valgte sti, vil de også være synlige for NetWorker. Dette kan bruges til at give tilladelser til brugere/grupper under en bestemt sti; Omvendt åbner det også adgang til grupper / ressourcer under en bestemt sti. Kontakt din domæneadministrator for at få hjælp til at finde de relevante bruger- og gruppesøgestier.
- Log på NetWorker Web User Interface (NWUI) med NetWorker-administratorkontoen.
- Gå til Godkendelsesserver ->Ekstern myndighed.
- Vælg den eksterne myndighedsressource, og klik på REDIGER.
- Fra de eksterne ressourceegenskaber skal du gå til fanen AVANCERET KONFIGURATION.
- Opdater felterne Gruppesøgesti og Brugersøgesti, så de medtager OU/CN-stien (eksklusive DC-værdier) til den overordnede OU/CN-ressource, som NetWorker-authc skal have læseadgang til.
- Gå til fanen GRUNDLÆGGENDE KONFIGURATION .
- I feltet Bruger-DN-adgangskode skal du indtaste adgangskoden til Bruger-DN-kontoen.
- Klik på GEM. Ressourcen rapporterer, hvis den opdateres korrekt:
Brugere/grupper, der bor under den angivne gruppesøgesti og brugersøgesti, vil stadig kunne logge ind på NWUI; brugere, der bor uden for disse stier, vil dog ikke få NWUI-adgang.
Additional Information
På NetWorker-serveren skal du kontrollere, hvilke eksterne brugere/grupper der er defineret i NetWorker-brugergrupper:
nsradmin show name; external roles print type: nsr usergroup
En ekstern bruger kan findes af authc; dog ikke er medlem af nogen af de grupper, der er defineret i NSR-brugergruppens eksterne rollefelter; Det brugerdefinerede er heller ikke defineret inden for nogen af disse felter:
På NetWorker-godkendelsesserveren skal du kontrollere de AD/LDAP-grupper, som en bruger tilhører.
authc_mgmt -u Administrator -p 'NETWORKER_ADMINISTRATOR_PASSWORD' -e query-ldap-groups-for-user -D query-tenant=TENANT_NAME -D query-domain=DOMAIN_NAME -D user-name=USER_NAME
I dette tilfælde er brugeren testuser2 ikke en del af den NetWorker_Admins AD-gruppe, der er angivet i NSR-brugergruppens eksterne rollefelter, og brugerens DN er heller ikke defineret i felterne eksterne roller.