NetWorker : Les connexions utilisateur AD sur SSL ne fonctionnent pas après l’ajout/la mise à jour de l’authentification externe dans NetWorker 19.11

• Échec de l’authentification AD sur SSL dans NetWorker avec « nom d’utilisateur ou mot de passe non valide »

• L’utilisation de authc_mgmt commandes pour vérifier l’appartenance d’un utilisateur/groupe d’utilisateurs AD signale qu’il ne peut pas trouver l’utilisateur/le groupe.

authc_mgmt -u Administrator -p 'NMC_ADMIN_PASSWORD' -e query-ldap-users-for-group -D query-tenant=TENANT_NAME -D query-domain=DOMAIN_NAME -D group-name=AD_GROUP_NAME

authc_mgmt -u Administrator -p 'NMC_ADMIN_PASSWORD' -e query-groups-for-user -D query-tenant=TENANT_NAME -D query-domain=DOMAIN_NAME -D user-name=AD_USER_NAME

404: Server message: A group/user with the name GROUP/USER_NAME does not exist in authority EXTERNAL_AUTHORITY_RESOURCE_NAME

nve:~ # authc_mgmt -u Administrator -p '!Password1' -e query-ldap-users-for-group -D query-tenant=default -D query-domain=networker.lan -D group-name=NetWorker_Admins
ERROR [main] (DefaultLogger.java:222) - Error while performing Operation:
com.emc.brs.auth.common.exception.BRHttpErrorException: 404 . Server message: A group with the name NetWorker_Admins does not exist in authority LDAPS
        at com.emc.brs.auth.client.template.impl.DefaultBRResponseErrorHandler.handleError(DefaultBRResponseErrorHandler.java:65) ~[auth-cli-with-dependencies.jar:?]
        at org.springframework.web.client.ResponseErrorHandler.handleError(ResponseErrorHandler.java:63) ~[auth-cli-with-dependencies.jar:?]
        at org.springframework.web.client.RestTemplate.handleResponse(RestTemplate.java:825) ~[auth-cli-with-dependencies.jar:?]
        at org.springframework.web.client.RestTemplate.doExecute(RestTemplate.java:783) ~[auth-cli-with-dependencies.jar:?]
        at org.springframework.web.client.RestTemplate.execute(RestTemplate.java:717) ~[auth-cli-with-dependencies.jar:?]
        at org.springframework.web.client.RestTemplate.exchange(RestTemplate.java:637) ~[auth-cli-with-dependencies.jar:?]
        at com.emc.brs.auth.client.service.impl.DefaultBRAdminUserService.getLdapUserListForGroup(DefaultBRAdminUserService.java:239) ~[auth-cli-with-dependencies.jar:?]
        at com.emc.brs.auth.cli.commands.LdapUserGroupCommand.queryUsersForGroup(LdapUserGroupCommand.java:134) ~[auth-cli-with-dependencies.jar:?]
        at com.emc.brs.auth.cli.commands.LdapUserGroupCommand.execute(LdapUserGroupCommand.java:77) ~[auth-cli-with-dependencies.jar:?]
        at com.emc.brs.auth.cli.core.AuthMgmtCmdExecutor.execute(AuthMgmtCmdExecutor.java:142) [auth-cli-with-dependencies.jar:?]
        at com.emc.brs.auth.cli.core.AuthMgmt.executeCommand(AuthMgmt.java:170) [auth-cli-with-dependencies.jar:?]
        at com.emc.brs.auth.cli.core.AuthMgmt.main(AuthMgmt.java:79) [auth-cli-with-dependencies.jar:?]
ERROR [main] (DefaultLogger.java:190) - Error executing command. Failure: 404 . Server message: A group with the name NetWorker_Admins does not exist in authority LDAPS
Error executing command. Failure: 404 . Server message: A group with the name NetWorker_Admins does not exist in authority LDAPS

• AD sur SSL a été intégré dans la version 19.11.x comme suit : NetWorker : Configuration d’AD over SSL (LDAPS) à partir de NetWorker Web User Interface (NWUI)

Ce problème a été signalé aux ingénieurs NetWorker.

Les paramètres par défaut utilisés dans l’onglet Configuration avancée ne sont généralement pas utilisés par Active Directory :

Ces valeurs sont généralement utilisées pour les serveurs LDAP (par exemple, OpenLDAP). Les valeurs par défaut couramment utilisées pour Microsoft Active Directory sont les suivantes :

Ce problème sera résolu dans les versions suivantes de NetWorker :

• 19.10.0.7 (janvier 2025)
• 19.11.0.4 (février 2025)

Solution de contournement :

Modifiez la ressource d’autorité externe à partir de NetWorker Web User Interface (NWUI) pour utiliser les paramètres par défaut dans l’onglet Advanced Configuration :

• Group Object Class : group
• Group Member Attribute : member
• Classe d’objets utilisateur : personne ou utilisateur
• Attribut d’ID utilisateur : sAMAccountName

Enregistrez les modifications et vérifiez si l’authentification AD over SSL fonctionne avec les interfaces NetWorker telles que NetWorker Management Console (NMC) ou NWUI.
 

L’appartenance au groupe AD peut être confirmée sur le serveur de domaine à l’aide des commandes PowerShell suivantes.

Affichez les utilisateurs AD appartenant à un groupe.

Get-ADGroupMember -Identity "AD_GROUP_NAME" | Select-Object Name, SamAccountName, ObjectClass, DistinguishedName

Afficher les groupes AD auxquels un utilisateur appartient :

Get-ADUser -Identity "AD_USER_NAME" -Properties MemberOf | Select-Object -ExpandProperty MemberOf | ForEach-Object { Get-ADGroup $_ | Select-Object Name, ObjectClass, DistinguishedName }