XtremIO. Ошибка конфигурации LDAP при использовании защищенных каналов LDAPS

Summary: Ошибки проверки подлинности могут возникать, если проверка подлинности LDAP с помощью LDAPS настроена для внешних пользователей.

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Symptoms

Предпосылка

В некоторых случаях, когда заказчик настраивает проверку подлинности LDAP для внешних пользователей, могут возникать ошибки проверки подлинности.

Эта проблема может повлиять на следующие инфраструктуры XtremIO.

  • Программное обеспечение Dell EMC: XtremIO 6.3.2 и более поздней версии.


Проблема

Когда заказчик настраивает проверку подлинности LDAP для внешних пользователей, ошибки проверки подлинности могут возникать при наличии всех следующих условий.

  1. Сервер LDAP работает через защищенные каналы LDAPS вместо LDAP
  2. Существует элемент конфигурации TLS_CIPHER_SUITE ALL:!ECDHE в /etc/openldap/ldap.conf
  3. Существующий сертификат на стороне сервера создается с помощью шифра ECDHE.

При указанных выше условиях на стороне сервера будет отображаться следующая ошибка:

[root@vxms-xbrick820 tmp]# LDAPTLS_REQCERT=never  ldapsearch '-x' '-H' 'ldaps://10.xx.xxx.xxx' '-s' 'base' '-D' 'CN=Administrator,CN=Users,DC=dts,DC=xio,DC=com' -w ********** '-l' '1500' '-b' 'CN=xioadmins,CN=Users,DC=dts,DC=xio,DC=com' 'member' 'uniquemember' 'memberUid'
ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
 

Cause

Проблема с программным обеспечением из-за несовместимости TLS_CIPHER_SUITE ALL:!ECDHE с сертификатом на стороне сервера, генерируемом шифром ECDHE

Resolution

Чтобы определить, используется ли LDAP, выполните команду xmcli show-user-accounts. Свойство External-Account имеет значение «True» при использовании LDAP: 
 (tech)> show-user-accounts
Name             Index Role          External-Account Inactivity-Timeout
tech              1    technician      False            10
sara              2    admin           True             10


Чтобы предотвратить возникновение этой ошибки, выполните одно из следующих действий.
  • Повторно создайте файл сертификата с шифром за пределами ECDHE.  Используйте инструмент openssl для создания нового сертификата без использования набора шифров ECDHE, а затем выполните команду modify-ldap-config в консоли xmcli, например:
xmcli (tech)> modify-ldap-config ldap-config-id=1 ca-cert-data="-----BEGIN CERTIFICATE-----\n\
xmcli (tech)> ...MIIDxzCCAq+gAwIBAgIJAP6+MUDcIYMbMA0GCSqGSIb3DQEBCwUAMHoxCzAJBgNV\n\
xmcli (tech)> ...BAYTAlJVMQwwCgYDVQQIDANTUEIxDDAKBgNVBAcMA1NQQjENMAsGA1UECgwERGVs\n\
...
xmcli (tech)> ...IWm2qx8C+k891uD3kQp3ipG2c4GMp9y/QA2z8bJhYDVkPHj4k404vHO6CBYlgdMP\n\
xmcli (tech)> ...icN8dZwGqgfc58lct2zZORFJUAjduRGzB0rL4YYJwiuPLOqKTSma5cckef7bR4OB\n\
xmcli (tech)> ...dSvHlrWuRrrtDwk=\n\
xmcli (tech)> ...-----END CERTIFICATE-----"
Modified LDAP Configuration [1]
или
  • Добавьте комментарий к элементу конфигурации TLS_CIPHER_SUITE ALL:!ECDHE в /etc/openldap/ldap.conf.

Если выполняется модернизация XMS до XMS 6.3.2 или более поздней версии, это необходимо сделать после завершения процесса.

Affected Products

XtremIO, XtremIO Family, XtremIO X1, XtremIO X2
Article Properties
Article Number: 000185589
Article Type: Solution
Last Modified: 19 Sep 2025
Version:  11
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.