NetWorker：使用“您没有使用 NetWorker Management Console 的权限”的 AD 或 LDAP 用户的 NMC 登录失败。

• 尝试以外部 （AD/LDAP） 用户身份登录 NMC 时，将显示以下错误：

• 同一 AD 用户可以使用 nsrlogin 命令行选项登录。
• 默认 NetWorker 管理员帐户的身份验证成功。
• 在某些情况下，此错误可能仅影响特定用户。

nsrlogin

nsrlogin -t tenant_name -t domain -u username

• tenant_name：在大多数配置中，此值将是 默认值;否则，它将是由 NetWorker 管理员配置的租户名称。
• domain ：登录 NMC 时通常使用的域值。
• username：不带域前缀的 AD/LDAP 用户名

1.以默认 NetWorker 管理员帐户身份登录 NetWorker Management Console （NMC）。
2.转至 Setup->Users and Roles->NMC Roles 。
3.查看 Console Users 和 Application Administrators 角色。外部角色角色字段应包含用户所属的 AD 组的可分辨名称（完整路径）;可选择设置单个用户的路径。  
例如：

4.将 AD 用户的 AD 组 DN 添加到该用户的相应 NMC 角色后，使用该 AD 用户测试登录 NMC。
 

如果问题仍然存在，您可以使用以下选项验证 AD/LDAP 组成员身份：
 

Windows Powershell：

从相同域上的 Windows 系统中，运行以下 Powershell 命令：

Get-ADPrincipalGroupMembership -Identity USERNAME

例如：

PS C:\Users\Administrator.EMCLAB> Get-ADPrincipalGroupMembership -Identity bkupadmin

...
...

distinguishedName : CN=NetWorker_Admins,CN=Users,DC=emclab,DC=local
GroupCategory     : Security
GroupScope        : Global
name              : NetWorker_Admins
objectClass       : group
objectGUID        : 058495c7-71c7-42c6-be92-2d8f96a5c2aa
SamAccountName    : NetWorker_Admins
SID               : S-1-5-21-4085282181-485696706-820049737-1104

命令输出的 distinguishedName 可在 NetWorker 中使用，以授予 AD 用户对 NMC 的访问权限。

有关此命令的更多信息，请参阅： https://docs.microsoft.com/en-us/powershell/module/activedirectory/get-adprincipalgroupmembership?view=windowsserver2022-ps

NetWorker authc_mgmt 命令：

您可以使用 authc_mgmt 命令查询 AD/LDAP 用户/组成员身份。在 NetWorker 服务器上，打开命令提示符（或 SSH 会话），然后运行以下命令语法：

authc_mgmt -u Administrator -e query-ldap-groups-for-user -D query-tenant=TENANT_NAME -D query-domain=DOMAIN_NAME -D user-name=USER_NAME

PS C:\> authc_mgmt -u Administrator -e query-ldap-groups-for-user -D query-tenant=default -D query-domain=emclab.local -D user-name=bkupadmin
Enter password:
The query returns 2 records.
Group Name           Full Dn Name
Remote Desktop Users CN=Remote Desktop Users,CN=Builtin,dc=emclab,dc=local
NetWorker_Admins     CN=NetWorker_Admins,CN=Users,dc=emclab,dc=local

其中一个组的完整 Dn 名称可用于授予此 AD 用户对 NMC 的访问权限。
通过运行以下命令，可以收集authc_mgmt命令所需的配置和值：
 

authc_config -u Administrator -e find-all-configs
authc_config -u Administrator -e find-config -D config-id=CONFIG_ID
authc_config -u Administrator -e find-all-tenants