Vyhledávání IDPA: Při testování připojení k externímu poskytovateli identity došlo k chybě.

V konzoli pro správu PowerProtect DPSearch v části Možnosti LDAP je při použití tlačítka Test připojení hlášeno selhání. Chybová zpráva se nezobrazí, pokud je pole SSL (Secure Socket Layer)nastaveno na hodnotu false.

V souboru cis.log umístěném ve složce /usr/local/search/log/cis se nacházejí chybové zprávy podobné těm následujícím:

P7FF0|2021/03/09 13:34:46:765|DEBUG|cislockbox.rb(62)|Parsed body A-OK 
P7FF0|2021/03/09 13:34:46:765|DEBUG|cislockbox.rb(79)|Binding to ldap using: [Server=ldaphost, Port:636, User=ldapuser, Pwd: ********************] 
P7FF0|2021/03/09 13:34:46:768|DEBUG|cisconfigldap.rb(128)|Binding to [ldaphost:636 as ldapuser] 
P7FF0|2021/03/09 13:34:46:780|DEBUG|ldap_internal.rb(645)|Ldap Internal; bind_as: "Connection to ldap server ldaphost failed, ex: SSL_connect returned=1 errno=0 state=error: certificate verify failed." 
P7FF0|2021/03/09 13:34:46:780|DEBUG|ldap_internal.rb(645)|Ldap Internal; bind_as: "bind as result: " 
P7FF0|2021/03/09 13:34:46:780|DEBUG|ldap_provider.rb(317)|Ldap Provider; validate_user: "bind_as user ldapuser failed on LDAP Host ldaphost with #\u003cOpenStruct code=0, message=\"Success\"\u003e" 
P7FF0|2021/03/09 13:34:46:780|DEBUG|ldap_provider.rb(317)|Ldap Provider; validate_user: "validate_user failed. User entry: null" 
P7FF0|2021/03/09 13:34:46:781|ERROR|cisconfigldap.rb(141)|LDAP binding failed. 
P7FF0|2021/03/09 13:34:46:781|ERROR|cislockbox.rb(99)|PUT /cis/lockbox/ldap/_test : LDAP binding failed.  Invalid LDAP parameters.  

Pokud je v hostiteli DPSearch ldapsearch Příkaz je spuštěn s "-v" a "-d1" přepínače, byly nalezeny informace podobné následujícím:  

TLS trace: SSL_connect:before/connect initialization
TLS trace: SSL_connect:SSLv2/v3 write client hello A
TLS trace: SSL_connect:unknown state
TLS certificate verification: depth: 1, err: 20, subject <subject of certificate>, issuer: <issuer details>
TLS certificate verification: Error, unable to get local issuer certificate
TLS trace: SSL3 alert write:fatal:unknown CA
TLS trace: SSL_connect:error in error
TLS trace: SSL_connect:error in error
TLS: cann't connect: error:14090086:SSL routines:ssl3_get_server_certificate:certificate verify failed (unable to get local issuer certificate).
ldap_err2string
ldap_sasl_bind(SIMPLE): Can't contact LDAP server(-1)

Certifikáty kořenové certifikační autority (rootCA) a zprostředkující certifikační autority (pokud se používají) nejsou v úložišti důvěryhodných certifikátů, což způsobuje selhání ověření certifikátu.

Kroky k vyřešení problému:

1. Získejte kopii kořenové certifikační autority a zprostředkující certifikační autority (pokud se používá) ve formátu PEM (Privacy-Enhanced Mail).
2. Zkopírujte soubory PEM z kroku 1 do složky /etc/pki/trust/anchors/ .
3. Přihlaste se jako uživatel root a spusťte následující příkaz:

update-ca-certificates

Postup při exportu certifikátu rootCA od certifikační autority se systémem Microsoft Windows:
 

1. Přihlaste se k serveru kořenové certifikační autority pomocí účtu správce.
2. Přejděte na Start, vyberte možnost Spustit, zadejte příkaz cmd a vyberte možnost OK.
3. Chcete-li exportovat server kořenové certifikační autority do nového souboru, spusťte následující příkaz:

certutil -ca.cert ca_name.cer

4. Zkopírujte certifikát na server DPSearch.
5. Přejděte do složky, do které byl zkopírován soubor certifikátu v kroku 4 výše, a spuštěním příkazu openSSL převeďte certifikát do formátu PEM: 

   # openssl x509 -in ca_ name.cer -inform der -out ca_name.pem -outform pem

6. Soubor ca_name.pem je připraven k použití pro kroky uvedené v části Řešení výše.

Ve výše uvedených krocích nahraďte ca_name názvem, který pomáhá identifikovat název hostitele.