VNX: LDAP Ayarları DOSYA Tarafından Başarıyla Yüklenmedi

Müşteri, VNX dizisinde Unisphere oturum açmak için ldaps'yi yapılandırır.

Müşteri, VNX dizisinde Unisphere oturum açma için LDAPS'yi yapılandırdı. Bundan sonra müşteri, LDAPS kullanarak Unisphere'e giriş yapabilir; LDAPS sunucusu Windows AD olmalıdır. Ancak Unisphere alarm sayfasında bir Hata mesajı var.

[nasadmin@XXX-VNX5400-CS0 log]$ nas_logviewer sys_log|grep -i 748f
Aug 18 10:31:39 2016:CS_PLATFORM:NaviEventMonitor:ERROR:3:::::VNX Storage Array event number 0x748f Host XXX-VNX5400-SPA Storage Array N/A SP N/A SoftwareRev 7.33.8 (3.7) BaseRev 05.33.008.5.119 Description The LDAP settings were not successfully installed on the File side of the VNX.

Sertifikaların kodunu openssl üzerinden çözemiyoruz.

[root@5700CS139 ldap]# openssl x509 -in /nas/http/domain/ldap/apacheDomain.primary_ldap_certificate.crt -text
unable to load certificate
2550:error:0906D064:PEM routines:PEM_read_bio:bad base64 decode:pem_lib.c:756:
[root@5700CS139 ldap]# openssl x509 -in /nas/http/domain/ldap/apacheDomain.backup_ldap_certificate.crt -text
unable to load certificate
2668:error:0906D064:PEM routines:PEM_read_bio:bad base64 decode:pem_lib.c:756:

Müşteri, VNX dizisinde iki ldaps sunucusu yapılandırdıktan sonra iki sertifika SP'den kontrol istasyonuna gönderilir.
/nas/http/domain/ldap/apacheDomain.backup_ldap_certificate.crt
/nas/http/domain/ldap/apacheDomain.primary_ldap_certificate.crt

Kontrol istasyonunda, kodunu çözmek için openssl kullanamayız, sertifika geçerli bir Base-64 kodlama X.509 sertifikası değildir.

Bu sorunu çözmek için:

1. Sertifikanın geçerli olduğunu onaylayın.

1. Kullanıcı, LDAP Sunucusu için sertifikayı (veya sertifika zincirini) doğrulamalıdır.

2. Doğrulamanın kolay bir yolu, sertifika dosyasını bir metin düzenleyicide açmaktır. --BEGIN CERTIFICATE---" ve "---END CERTIFICATE----" içeren metinler görüntülüyorsa bu doğru biçimdir. Sertifika ikili karakterlerden oluşuyorsa, sertifika sıkıştırılır ve şifrelenir, bu nedenle kontrol istasyonu bunu düzgün bir şekilde alamaz.

3. Kullanıcı, bir Windows klasörüne kopyalayıp sağ tıklayıp Aç seçeneğine tıklayarak Windows'ta sertifika zincirini (genellikle .p7b biçiminde) açabilir. "Ayrıntılar" sekmesi altında -> "Dosyaya Kopyala", sertifikayı "Base-64 kodlu X.509 (. CER)" biçimi, geçerli bir biçimdir.

4. Sertifikanın içinde çok sayıda sertifika varsa her sertifikanın yukarıdaki adım kullanılarak dışa aktarılması gerekir. Örneğin, "cert1.cer", "cert2.cer" vb.

5. Unisphere'de oturum açın ve bu sertifikaları Unisphere'e yeniden aktarın.
   Herhangi bir genel yöneticiyi (sistem yöneticisi/genel kapsam gibi)
   kullanarak Unisphere'de oturum açın Etki Alanı -> LDAP ayarlarını yönetme sayfasına > gidin Birincil > Değiştirme Sertifikayı > değiştir -> "Metin Olarak Kopyala"
   Önceden dönüştürülmüş sertifikaları not defterinde açın ve BEGIN ve END Sertifika satırları dahil her şeyi kopyalayıp yapıştırın. Bir zincirdeki her sertifikayı kopyalayıp diğerinin END SERTİFİKASI'nın altına yapıştırmanız gerekir.
   Tüm kopyala ve yapıştır işlemlerinden sonra Tamam'a basın ve tam bir zincirimiz varsa Unisphere hatasız kabul eder. Değilse, dönüşümün ve zincirdeki tüm sertifikaların alındığından emin olun. Gerekirse Windows/Sertifika Yöneticilerinizi dahil edin.
   Yapılandırılmışsa aynı işlemi Backup LDAP sunucusu için tekrarlayın.

2. Control Station'dan doğrulama:

1. Yeniden yenilemek için aşağıdakileri çalıştırın

   /nas/http/webui/bin/update_domain_directory.pl

2. Sertifikanın openssl ile çözülebildiğinden emin olmak için aşağıdakileri çalıştırın.

   openssl x509 -in /nas/http/domain/ldap/apacheDomain.primary_ldap_certificate.crt -text

   openssl x509 -in /nas/http/domain/ldap/apacheDomain.backup_ldap_certificate.crt -text

   Sertifika:

   Data:
       Version: 3 (0x2)
       Serial Number:
           1c:03:b6:a7:e9:3f:9e:ac:4e:88:39:91:b9:f8:4e:2d
       Signature Algorithm: sha256WithRSAEncryption
       Issuer: DC=com, DC=vnx, CN=vnx-DC0-CA

3. Aşağıdakileri çalıştırın ve hata olmadığından emin olun.

   /nas/sbin/cstadmin validate-config LDAP 'LDAP PRIMARY' -cstdir=/nas/site/cst -passphrase=$(/nas/sbin/cst_setup -getKey cst)

4. Yukarıdaki komutta herhangi bir hata yoksa Unisphere'de LDAP oturum açma işlemi başarıyla çalışmalıdır

5. LDAP Server is down" gibi bir hata bildirilirse "server name" değerinin sertifikadakiyle eşleştiğinden emin olun. Bir IP adresi tanımlarsak ancak sertifika "name" değerini alırsa LDAP Ayarını IP adresi yerine ana bilgisayar adı olarak güncellememiz gerekir. Ana bilgisayar adını doğru şekilde çözümlemek için DNS'nin "nas_cs -set" kullanılarak yapılandırılması gerekir.

6. Ayrıca, etki alanı kullanıcısının Rol Eşleme'de tanımlanan grubun doğrudan üyesi olduğundan emin olun.

Bu sorunu iletmek için (gerekirse) aşağıdaki bilgileri sağlamanız gerekir:

1. LDAP ayarları ayrıntıları (Bağlama kullanıcısı oturum açma adı ve parolası).
2. LDAPS için kullanılacak sertifika.
3. Test edilecek Windows kullanıcı oturum açma ve parola ayrıntıları.

Yukarıdaki bilgiler Teknik Destek tarafından sorun giderme (WebEx kullanılarak) için gereklidir ve bu makaleden alıntılar yapılmıştır.