NetWorker: Los inicios de sesión de usuario de AD mediante SSL no funcionan después de agregar/actualizar la autenticación externa en NetWorker 19.11

• La autenticación de AD mediante SSL falla en NetWorker con el mensaje "invalid username or password"

• El uso de comandos de authc_mgmt para comprobar la membresía de usuario/grupo de usuarios de AD informa que no puede encontrar el usuario/grupo.

authc_mgmt -u Administrator -p 'NMC_ADMIN_PASSWORD' -e query-ldap-users-for-group -D query-tenant=TENANT_NAME -D query-domain=DOMAIN_NAME -D group-name=AD_GROUP_NAME

authc_mgmt -u Administrator -p 'NMC_ADMIN_PASSWORD' -e query-groups-for-user -D query-tenant=TENANT_NAME -D query-domain=DOMAIN_NAME -D user-name=AD_USER_NAME

404: Server message: A group/user with the name GROUP/USER_NAME does not exist in authority EXTERNAL_AUTHORITY_RESOURCE_NAME

nve:~ # authc_mgmt -u Administrator -p '!Password1' -e query-ldap-users-for-group -D query-tenant=default -D query-domain=networker.lan -D group-name=NetWorker_Admins
ERROR [main] (DefaultLogger.java:222) - Error while performing Operation:
com.emc.brs.auth.common.exception.BRHttpErrorException: 404 . Server message: A group with the name NetWorker_Admins does not exist in authority LDAPS
        at com.emc.brs.auth.client.template.impl.DefaultBRResponseErrorHandler.handleError(DefaultBRResponseErrorHandler.java:65) ~[auth-cli-with-dependencies.jar:?]
        at org.springframework.web.client.ResponseErrorHandler.handleError(ResponseErrorHandler.java:63) ~[auth-cli-with-dependencies.jar:?]
        at org.springframework.web.client.RestTemplate.handleResponse(RestTemplate.java:825) ~[auth-cli-with-dependencies.jar:?]
        at org.springframework.web.client.RestTemplate.doExecute(RestTemplate.java:783) ~[auth-cli-with-dependencies.jar:?]
        at org.springframework.web.client.RestTemplate.execute(RestTemplate.java:717) ~[auth-cli-with-dependencies.jar:?]
        at org.springframework.web.client.RestTemplate.exchange(RestTemplate.java:637) ~[auth-cli-with-dependencies.jar:?]
        at com.emc.brs.auth.client.service.impl.DefaultBRAdminUserService.getLdapUserListForGroup(DefaultBRAdminUserService.java:239) ~[auth-cli-with-dependencies.jar:?]
        at com.emc.brs.auth.cli.commands.LdapUserGroupCommand.queryUsersForGroup(LdapUserGroupCommand.java:134) ~[auth-cli-with-dependencies.jar:?]
        at com.emc.brs.auth.cli.commands.LdapUserGroupCommand.execute(LdapUserGroupCommand.java:77) ~[auth-cli-with-dependencies.jar:?]
        at com.emc.brs.auth.cli.core.AuthMgmtCmdExecutor.execute(AuthMgmtCmdExecutor.java:142) [auth-cli-with-dependencies.jar:?]
        at com.emc.brs.auth.cli.core.AuthMgmt.executeCommand(AuthMgmt.java:170) [auth-cli-with-dependencies.jar:?]
        at com.emc.brs.auth.cli.core.AuthMgmt.main(AuthMgmt.java:79) [auth-cli-with-dependencies.jar:?]
ERROR [main] (DefaultLogger.java:190) - Error executing command. Failure: 404 . Server message: A group with the name NetWorker_Admins does not exist in authority LDAPS
Error executing command. Failure: 404 . Server message: A group with the name NetWorker_Admins does not exist in authority LDAPS

• AD mediante SSL se integró en 19.11.x a continuación: NetWorker: Cómo configurar "AD mediante SSL" (LDAPS) desde la interfaz de usuario web de NetWorker (NWUI)

Este problema se planteó al equipo de ingeniería de NetWorker.

Active Directory no suele utilizar los parámetros predeterminados que se utilizan en la pestaña Configuración avanzada:

Por lo general, estos valores se utilizan para servidores LDAP (por ejemplo, OpenLDAP). Los valores predeterminados comúnmente utilizados para Microsoft Active Directory son:

Este problema se abordará en las siguientes versiones de NetWorker:

• 19.10.0.7 (enero de 2025)
• 19.11.0.4 (febrero de 2025)

Solución alternativa:

Edite el recurso de autoridad externa desde la interfaz del usuario web de NetWorker (NWUI) para usar los parámetros predeterminados en la pestaña Advanced Configuration:

• Clase de objeto de grupo: group
• Atributo de miembro del grupo: member
• Clase de objeto de usuario: persona o usuario
• Atributo de ID de usuario: sAMAccountName

Guarde los cambios y verifique si la autenticación de AD mediante SSL funciona con las interfaces de NetWorker, como NetWorker Management Console (NMC) o NWUI.
 

La pertenencia a un grupo de AD se puede confirmar en el servidor de dominio mediante los siguientes comandos de PowerShell.

Muestra qué usuarios de AD pertenecen a un grupo.

Get-ADGroupMember -Identity "AD_GROUP_NAME" | Select-Object Name, SamAccountName, ObjectClass, DistinguishedName

Muestre a qué grupos de AD pertenece un usuario:

Get-ADUser -Identity "AD_USER_NAME" -Properties MemberOf | Select-Object -ExpandProperty MemberOf | ForEach-Object { Get-ADGroup $_ | Select-Object Name, ObjectClass, DistinguishedName }