IDPA 검색: 외부 ID 공급업체에 대한 연결을 테스트하는 동안 오류가 보고됨

PowerProtect DPSearch 관리 콘솔의 LDAP Options 섹션에서 Test connection 버튼을 사용하면 실패가 보고됩니다. SSL(Secure Socket Layer)필드가 false로 설정된 경우 오류 메시지가 표시되지 않습니다.

/usr/local/search/log/cis 폴더에 있는 cis.log 파일에서 다음과 유사한 오류 메시지를 찾을 수 있습니다.

P7FF0|2021/03/09 13:34:46:765|DEBUG|cislockbox.rb(62)|Parsed body A-OK 
P7FF0|2021/03/09 13:34:46:765|DEBUG|cislockbox.rb(79)|Binding to ldap using: [Server=ldaphost, Port:636, User=ldapuser, Pwd: ********************] 
P7FF0|2021/03/09 13:34:46:768|DEBUG|cisconfigldap.rb(128)|Binding to [ldaphost:636 as ldapuser] 
P7FF0|2021/03/09 13:34:46:780|DEBUG|ldap_internal.rb(645)|Ldap Internal; bind_as: "Connection to ldap server ldaphost failed, ex: SSL_connect returned=1 errno=0 state=error: certificate verify failed." 
P7FF0|2021/03/09 13:34:46:780|DEBUG|ldap_internal.rb(645)|Ldap Internal; bind_as: "bind as result: " 
P7FF0|2021/03/09 13:34:46:780|DEBUG|ldap_provider.rb(317)|Ldap Provider; validate_user: "bind_as user ldapuser failed on LDAP Host ldaphost with #\u003cOpenStruct code=0, message=\"Success\"\u003e" 
P7FF0|2021/03/09 13:34:46:780|DEBUG|ldap_provider.rb(317)|Ldap Provider; validate_user: "validate_user failed. User entry: null" 
P7FF0|2021/03/09 13:34:46:781|ERROR|cisconfigldap.rb(141)|LDAP binding failed. 
P7FF0|2021/03/09 13:34:46:781|ERROR|cislockbox.rb(99)|PUT /cis/lockbox/ldap/_test : LDAP binding failed.  Invalid LDAP parameters.  

DPSearch 호스트에서 ldapsearch 명령은 "-v" 및 "-d1" 스위치를 구성하면 다음과 유사한 정보를 찾을 수 있습니다.  

TLS trace: SSL_connect:before/connect initialization
TLS trace: SSL_connect:SSLv2/v3 write client hello A
TLS trace: SSL_connect:unknown state
TLS certificate verification: depth: 1, err: 20, subject <subject of certificate>, issuer: <issuer details>
TLS certificate verification: Error, unable to get local issuer certificate
TLS trace: SSL3 alert write:fatal:unknown CA
TLS trace: SSL_connect:error in error
TLS trace: SSL_connect:error in error
TLS: cann't connect: error:14090086:SSL routines:ssl3_get_server_certificate:certificate verify failed (unable to get local issuer certificate).
ldap_err2string
ldap_sasl_bind(SIMPLE): Can't contact LDAP server(-1)

루트 인증 기관(rootCA) 및 중간 CA(사용되는 경우) 인증서가 신뢰할 수 있는 인증서 저장소에 없어 인증서 유효성 검사가 실패합니다.

문제 해결 단계:

1. rootCA 및 중간 CA(사용되는 경우)의 복사본을 PEM(Privacy-Enhanced Mail) 형식으로 가져옵니다.
2. 1단계의 PEM 파일을 /etc/pki/trust/anchors/ 폴더로 복사합니다.
3. 루트 계정으로 로그인한 상태에서 다음 명령을 실행합니다.

update-ca-certificates

Microsoft Windows 기반 인증 기관에서 rootCA 인증서를 내보내기 위해 따라야 할 단계:
 

1. 관리자 계정으로 루트 인증 기관 서버에 로그인합니다.
2. 시작으로 이동하고, 실행을 선택하고, cmd를 입력하고, 확인을 선택합니다.
3. 루트 인증 기관 서버를 새 파일 이름으로 내보내려면 다음 명령을 실행합니다.

certutil -ca.cert ca_name.cer

4. 인증서를 DPSearch 서버에 복사합니다.
5. 위의 4단계에서 인증서 파일이 복사된 폴더로 이동하고 openSSL 명령을 실행하여 인증서를 PEM 형식으로 변환합니다. 

   # openssl x509 -in ca_ name.cer -inform der -out ca_name.pem -outform pem

6. ca_name.pem 파일은 위의 해결 방법 섹션에 언급된 단계에 사용할 준비가 되었습니다.

위의 단계에서 ca_name 호스트 이름을 식별하는 데 도움이 되는 이름으로 바꿉니다.