NetWorker: El inicio de sesión de NMC falla para un usuario de AD o LDAP con el mensaje "No tiene privilegios para usar NMC"

• Aparece el siguiente error cuando se intenta iniciar sesión en NMC como un usuario externo (AD o LDAP):

• Este mismo usuario de AD puede iniciar sesión mediante el nsrlogin Opción de línea de comandos.
• La autenticación se realiza correctamente para la cuenta de administrador predeterminada de NetWorker.
• En algunas situaciones, es posible que este error solo afecte a usuarios específicos.

nsrlogin

nsrlogin -t tenant_name -t domain -u username
nsrlogout

• Tenant_name: En la mayoría de las configuraciones, este valor es el predeterminado; de lo contrario, es el nombre de grupo de usuarios configurado por el administrador de NetWorker.
• Dominio: El valor de prefijo de dominio que se utiliza al iniciar sesión en NMC
• Nombre de usuario: Nombre de usuario de AD o LDAP sin prefijo de dominio

1. Inicie sesión en NetWorker Management Console (NMC) como la cuenta predeterminada de administrador de NetWorker.
2. Vaya a Configurar > usuarios y funciones > Funciones de NMC.
3. Revise las funciones de Console Users y Application Administrators. Los campos de funciones de External Roles deben contener el nombre distintivo (DN) (ruta completa) de un grupo de AD al que pertenece el usuario; de manera opcional, se puede configurar la ruta de un solo usuario. 

Por ejemplo:

4. Después de agregar el DN del grupo de AD a las funciones de NMC adecuadas para el usuario, pruebe iniciar sesión en NMC con ese usuario de AD.

Si el problema persiste, puede verificar la membresía del grupo de AD o LDAP con las siguientes opciones:

Windows Powershell:

Desde un sistema Windows en el mismo dominio, ejecute el siguiente comando de PowerShell:

Get-ADPrincipalGroupMembership -Identity USERNAME

Ejemplo:

PS C:\Users\Administrator.EMCLAB> Get-ADPrincipalGroupMembership -Identity bkupadmin

...
...

distinguishedName : CN=NetWorker_Admins,CN=Users,DC=emclab,DC=local
GroupCategory     : Security
GroupScope        : Global
name              : NetWorker_Admins
objectClass       : group
objectGUID        : 058495c7-71c7-42c6-be92-2d8f96a5c2aa
SamAccountName    : NetWorker_Admins
SID               : S-1-5-21-4085282181-485696706-820049737-1104

La variable distinguishedName generado por el comando se puede utilizar en NetWorker para otorgar acceso de usuario de AD a NMC.

Para obtener más información sobre este comando, consulte el artículo de Microsoft Get-ADPrincipalGroupMembership 

NetWorker authc_mgmt Comando:

Puede utilizar el comando authc_mgmt para consultar la pertenencia a un usuario o grupo de AD o LDAP. En el servidor de NetWorker, abra un símbolo del sistema (o sesión SSH) y ejecute la siguiente sintaxis de comando:

authc_mgmt -u Administrator -e query-ldap-groups-for-user -D query-tenant=TENANT_NAME -D query-domain=DOMAIN_NAME -D user-name=USER_NAME

PS C:\> authc_mgmt -u Administrator -e query-ldap-groups-for-user -D query-tenant=default -D query-domain=emclab.local -D user-name=bkupadmin
Enter password:
The query returns 2 records.
Group Name           Full Dn Name
Remote Desktop Users CN=Remote Desktop Users,CN=Builtin,dc=emclab,dc=local
NetWorker_Admins     CN=NetWorker_Admins,CN=Users,dc=emclab,dc=local

La variable Full Dn Name de uno de los grupos se puede utilizar para otorgar a este usuario de AD acceso a NMC.

La configuración y los valores que se necesitan para authc_mgmt Los comandos se pueden recopilar mediante la ejecución de lo siguiente:

authc_config -u Administrator -e find-all-configs
authc_config -u Administrator -e find-config -D config-id=CONFIG_ID
authc_config -u Administrator -e find-all-tenants

Consulte: NetWorker: Cómo configurar la autenticación de AD o LDAP