4.X - Impossible d’ajouter un groupe LDAP
Summary: 4.X - Impossible d’ajouter un groupe LDAP
Symptoms
Description du problème
La tentative d’ajout d’un groupe LDAP échoue dans l’interface utilisateur de PFxM.
Symptômes
Les journaux SSO indiquent qu’il est impossible de trouver le groupe de sécurité PF_Admins dans LDAP :
2023-09-07T13:30:38.536385897-05:00 stdout F 2023-09-07 18:30:38.536 INFO 1 --- [nio-8083-exec-8] c.dell.sso.controllers.GroupsController : Received add group request 2023-09-07T13:30:38.550680368-05:00 stdout F 2023-09-07 18:30:38.550 ERROR 1 --- [nio-8083-exec-8] c.dell.sso.controllers.GroupsController : Failed to add group request: Failed to find request group PF_Admins 2023-09-07T13:30:38.550719535-05:00 stdout F com.dell.sso.exceptions.KeycloakException: Failed to find request group PF_Admins
La configuration Active Directory montre que le groupe de sécurité PF_Admins existe.
Impact
Impossible d’ajouter des groupes LDAP.
Cause
Il existe une limitation du code logiciel selon laquelle les informations Active Directory ne sont mises en cache qu’au moment de la connexion initiale au serveur LDAP et n’extraient que 10 secondes d’informations. Lorsqu’un administrateur tente d’ajouter un groupe LDAP dans l’interface utilisateur de PFxM et que le groupe de sécurité sur le serveur LDAP a été créé après la connexion initiale au serveur Active Directory, ce groupe n’est pas stocké dans le cache initial et le groupe LDAP ajouté échoue. Lorsque l’administrateur tente d’ajouter le groupe LDAP, le logiciel ne se connecte pas et extrait une nouvelle liste Active Directory. Au lieu de cela, il utilise uniquement le cache initial de la première connexion LDAP.
Resolution
Solution
PowerFlex Manager versions 4.5 et antérieures doit appliquer la solution de contournement suivante :
Supprimez la connexion au serveur LDAP, puis reconnectez le PFxM au serveur LDAP.
*Parfois, cette opération doit être effectuée plusieurs fois afin de trouver correctement le groupe LDAP.
PowerFlex Manager 4.5.1 et versions ultérieures peuvent appliquer la solution de contournement suivante :
À partir de PFMP, procédez comme suit pour définir les variables système :
#SSO variable
SSO_IP=`kubectl get svc -A | grep "sso " | awk '{print $4}'`
#Platform Manager Token
PM_TOKEN=`curl -k --location --request POST "https://${SSO_IP}:8080/rest/auth/login" --header 'Accept: application/json' --header 'Content-Type: application/json' --data '{"username": "admin","password": "Scaleio123!" }' | jq -r .access_token`
#Change the password to the password used to login to the PFxM UI
#Ingress IP
INGRESS_IP=$(kubectl get svc -A | grep -i rke2-ingress-nginx-controller | awk 'NR==1{print $5}')
#LDAP ID
LDAP_ID=$(curl -k https://${INGRESS_IP}/rest/v1/directory-services --header 'Accept: application/json' --header 'Content-Type: application/json' --header "Authorization: Bearer ${PM_TOKEN}" | jq -r '.[0].id')
Démarrez la synchronisation à partir de PFMP sur le serveur LDAP :
curl -k -X POST https://${INGRESS_IP}/rest/v1/directory-services/${LDAP_ID}/sync --header "Authorization: Bearer ${PM_TOKEN}" --header 'Accept: application/json' --header 'Content-Type: application/json'
La commande ci-dessus ne devrait rien renvoyer à l’écran en cas de réussite.
Patientez jusqu’à 15 minutes, puis réessayez d’ajouter un utilisateur ou un groupe.
Versions affectées
PowerFlex Manager 4.x
Problème résolu dans la version
PowerFlex Manager 4.5.1