NetWorker: AD- und LDAP-Integration und -Konfiguration (Troubleshooting-Handbuch)

Konfiguration

Die folgenden Artikel können bei der Konfiguration von AD oder LDAP mit NetWorker helfen.

NetWorker Web User Interface (NWUI): So konfigurieren Sie AD/LDAP: NetWorker: Konfigurieren von AD oder LDAP über die NetWorker-Webnutzeroberfläche
Konfigurieren von AD/LDAP: NetWorker: Anleitung zum Einrichten der AD/LDAP-Authentifizierung
Konfigurieren von Secure AD/LDAP (LDAPS): NetWorker: Konfigurieren der LDAPS-Authentifizierung
 

Zu beachtende Informationen:

1. Detaillierte Problembeschreibung

• Fehlermeldung oder Screenshot mit der Fehlermeldung

2. Notieren Sie sich den AUTHC-Server, der von der NetWorker Management Console (NMC) verwendet wird.
   1. Überprüfen Sie auf dem NMC-Server die folgende Datei:

• • • Linux: /opt/lgtonmc/etc/gstd.conf
    • Windows (Standardeinstellung): C:\Programme\EMC NetWorker\Management\etc\gstd.conf

1. 2. Bestätigen Sie die authsvc_hostname ist der korrekte AUTHC-Serverhostname.

3. Details zur Umgebung:

• Vollständige NetWorker-Serverversion, einschließlich der Build-Nummer jedes NetWorker-Hosts (falls unterschiedlich):
  • NetWorker-Server.
  • AUTHC-Server (siehe Schritt 2 oben).
  • NetWorker Management Console (NMC)-Server. 
    • NetWorker: Methoden zur Identifizierung der NetWorker-Softwareversion
• Betriebssystemversion jedes NetWorker-Hosts (falls unterschiedlich):
  • NetWorker-Server.
  • AUTHC-Server (siehe Schritt 2 oben).
  • NetWorker Management Console (NMC)-Server. 
• Verwendeter Verzeichnisdienst: Active Directory- oder LDAP-Server?
• Wird LDAPS (AD oder LDAP over SSL) verwendet?

4. Rufen Sie die Attribute und die Objektklasse vom Active Directory- oder LDAP-Server ab.

• DN (Distinguished Name) des Bindungskontos
• Nutzer- und Gruppensuchpfad (DN)
• Nutzer-ID-Attribut
• Nutzerobjektklasse
• Attribut Gruppenname
• Gruppenobjektklasse
• Attribut Gruppenmitglied

Erfassung von Informationen

1. Wenn während einer Erstkonfiguration oder Aktualisierung ein Problem auftritt, überprüfen Sie, welche der folgenden Methoden verwendet wird, und erfassen Sie die Ausgabe:

• Skript: Es gibt ein Vorlagenskript, das sowohl auf dem Linux- als auch auf dem Windows-NetWorker-Server bereitgestellt wird. Das Skript authc-create-ad-config* wird verwendet, wenn der Authentifizierungsserver Active Directory ist. authc-create-ldap-config* ist für den LDAP-Server.
  • Linux: /opt/nsr/authc-server/scripts/ (authc-create-ad-config.sh.template und authc-create-ldap-config.sh.template)
  • Windows: C:\Programme\EMC NetWorker\nsr\authc-server\scripts\ (authc-create-ad-config.bat und authc-create-ldap-config.bat)
• NMC oder NWUI: Erfassen Sie einen Screenshot der Konfigurationsparameter, die im Assistenten für externe Autoritäten in der NMC festgelegt sind. Stellen Sie sicher, dass Sie "Show advanced options" erweitern. Erfassen Sie einen Screenshot der beobachteten Fehlermeldung. 

2. Wenn die AD/LDAP-Konfiguration erfolgreich war, aber während der Anmeldung ein Problem auftritt, führen Sie Folgendes auf dem NetWorker-Server aus:

authc_config -u Administrator -e find-all-configs 
authc_config -u Administrator -e find-config -D config-id=config-id_from_above_command

• In welchen AD-/LDAP-Gruppen- oder Nutzer-DNs festgelegt sind:
  • NMC: NMC –> Einrichtung –> Nutzer und Rollen –> NMC-Rollen:

• NetWorker-Server: Server –> Nutzergruppen:

3. Fragt NetWorker die AD-/LDAP-Gruppen und -Nutzer korrekt ab:

authc_mgmt -u Administrator -e query-ldap-users -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -e query-ldap-groups -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -e query-ldap-groups-for-user -D query-tenant=tenant_name -D query-domain=domain_name -D user-name=external_username

4. Können Sie AD-/LDAP-Nutzer außerhalb der NMC authentifizieren? Führen Sie auf dem NetWorker-Server Folgendes aus:

nsrlogin -t tenant_name -d domain_name -u external_username

nsrlogout

Zusätzliche Ressourcen

• NetWorker-Sicherheitskonfigurationsleitfaden: https://www.dell.com/support/product-details/product/networker/docs (Sie müssen bei der Supportwebsite angemeldet sein, damit der Link funktioniert).
• NetWorker: Integration der externen AD- oder LDAP-Authentifizierung – Troubleshooting von Anmeldeproblemen oder fehlenden Informationen
• Active Directory verfügt über ein Tool namens ADSI Edit, mit dem der DN, Attribute und Objektklassen abgefragt werden können, sowie die Dienstprogramme dsget und dsquery.
• Verwenden Sie auf einem LDAP-Server den Befehl ldapsearch oder ein gleichwertiges Tool.
• Microsoft: Abrufen der AD-Nutzergruppenmitgliedschaft mithilfe von PowerShell: Get-ADPrincipalGroupMembership

• authc_config Optionen:

usage: authc_config
 -d <logindomain>               The domain name to use when connecting to
                                service.
 -D,--define <property=value>   Set value for given configuration property.
                                (e.g. -D config-domain=foo or --define
                                config-domain=foo)
                                Available property names:
                                tenant-id, tenant-name, tenant-alias,
                                tenant-details, config-id, config-tenant-id,
                                config-name, config-domain,
                                config-server-address, config-user-dn,
                                config-user-dn-password, config-user-group-attr,
                                config-user-id-attr, config-user-object-class,
                                config-user-search-filter,
                                config-user-search-path,
                                config-group-member-attr,
                                config-group-name-attr,
                                config-group-object-class,
                                config-group-search-filter,
                                config-group-search-path, config-object-class,
                                config-active-directory, config-search-subtree,
                                permission-id, permission-name,
                                permission-group-dn,
                                permission-group-dn-pattern, option-id,
                                option-name, option-value
 -e <operation>                 Specify an operation to execute.
                                Available operations:
                                find-all-tenants, find-tenant, add-tenant,
                                update-tenant, remove-tenant, find-all-configs,
                                find-config, add-config, update-config,
                                remove-config, find-all-permissions,
                                find-permission, add-permission,
                                update-permission, remove-permission,
                                find-all-options, find-option, add-option,
                                update-option, remove-option,
                                query-api-versions, query-cert-pem,
                                query-cert-pemtext, query-server-info
 -H,--help                      Print help information
 -p <loginpassword>             The password to use when connecting to service.
 -t <logintenant>               The tenant name to use when connecting to
                                service.
 -u <loginuser>                 The user name to use when connecting to service.

• authc_mgmt Optionen:

usage: authc_mgmt
 -d <logindomain>               The domain name to use when connecting to
                                service.
 -D,--define <property=value>   Set value for given management property.
                                (e.g. -D user-name=foo or --define
                                user-name=foo)
                                Available property names:
                                user-id, user-name, user-domain, user-password,
                                user-first-name, user-last-name, user-email,
                                user-details, user-enabled, user-groups (csv
                                format), group-id, group-name, group-details,
                                group-users (csv format), query-tenant,
                                query-domain, password-new-value,
                                user-options-id, user-options-user-id,
                                user-options-password-must-change,
                                user-options-password-never-expires
 -e <operation>                 Specify an operation to execute.
                                Available operations:
                                find-all-users, find-user, add-user,
                                update-user, remove-user, update-password,
                                find-all-user-options, find-user-options,
                                update-user-options, find-all-groups,
                                find-group, add-group, update-group,
                                remove-group, query-ldap-users,
                                query-ldap-groups, query-ldap-users-for-group,
                                query-ldap-groups-for-user
 -H,--help                      Print help information
 -p <loginpassword>             The password to use when connecting to service.
 -t <logintenant>               The tenant name to use when connecting to
                                service.
 -u <loginuser>                 The user name to use when connecting to service.