PowerStore: Modifica della sicurezza per l'accesso utente LDAP alla versione 3.5

Il cliente non è in grado di effettuare l'accesso con l'utente LDAP sull'array versione 3.5. Lo stesso utente LDAP continua a lavorare su altri array in esecuzione nella versione 3.2.

LDAP è configurato con la porta predefinita 389 su tutti gli array, Bind DN è impostato correttamente e la verifica è buona.

Sono presenti modifiche nella release 3.5. Un nome breve non funziona, è necessario l'FQDN completo per accedere.

Per esempio:

• L'utente ottiene una foresta AD, un nome di dominio figlio aisa.nsroot.com e americ.nsroot.com
• Il dominio LDAP è configurato come "nsroot.com" e bindDN è bind_user@aisa.nsroot.com
• L'utente effettua l'accesso con admin_pst@aisa (nome breve) per l'accesso a PowerStore Manager. ( FQDN=admin_pst@aisa.nsroot.com completa)

Nella versione 3.2, la ricerca LDAP funziona con la porta 389:

Aug 08 06:10:12.032199 DE404123456739-B control-path[40711]: 2023-08-08 06:10:12.032 [] [INFO] [com.emc.cyclone.contexts.security.authn.impl.CycShiroAuthProviderImpl|vert.x-worker-thread-4] [CycShiroAuthProviderImpl] LDAP authentication used url is: ldap://10.XX.XX.XX:389   <<<
Aug 08 06:10:12.032281 DE404123456739-B control-path[40711]: 2023-08-08 06:10:12.032 [] [INFO] [com.emc.cyclone.contexts.security.ldap.utils.LdapAuthUtil|vert.x-worker-thread-4] [CycLdapAuthUtil] create an LDAP Realm with domain name is:nsroot.com
Aug 08 06:10:25.733020 DE4041123456739-B control-path[40711]: 2023-08-08 06:10:25.732 [] [INFO] [com.emc.cyclone.contexts.security.ldap.utils.LdapAuthUtil|vert.x-worker-thread-4]  The number of groups this LDAP account belongs to is : 184
Aug 08 06:10:25.733147 DE404123456739-B control-path[40711]: 2023-08-08 06:10:25.733 [] [INFO] [com.emc.cyclone.contexts.security.authn.impl.CycShiroAuthProviderImpl|vert.x-worker-thread-4] [CycShiroAuthProviderImpl] LDAP account authentication with remote server succeed, user is admin_pst   <<<<
Aug 08 06:10:25.734903 DE404123456739-B control-path[40711]: 2023-08-08 06:10:25.734 [] [INFO] [com.emc.cyclone.contexts.security.authn.impl.CycShiroAuthProviderImpl|vert.x-eventloop-thread-2] [CycShiroAuthProviderImpl] No role is mapped to LDAP account: admin_pst@asia and start check group role
Aug 08 06:10:25.753220 DE404123456739-B control-path[40711]: 2023-08-08 06:10:25.753 [] [INFO] [com.emc.cyclone.contexts.security.ldap.utils.LdapAuthUtil|vert.x-eventloop-thread-2] [CycLdapAuthUtil] the number of group roles this LDAP account has: 1
Aug 08 06:10:25.754623 DE404123456739-B control-path[40711]: 2023-08-08 06:10:25.754 [] [INFO] [com.emc.cyclone.contexts.security.authn.impl.CycShiroAuthProviderImpl|vert.x-eventloop-thread-2] [CycShiroAuthProviderImpl] LDAP account:admin_pst@asia has roles as: [Operator]

Nella versione 3.5, l'array riporta "LDAP domain name mismatch".

Aug 08 06:10:42.363468 DE412123456722-A control-path[105947]: 2023-08-08 06:10:42.363 [] [ERROR] [com.emc.cyclone.contexts.security.authn.authProvider.CycShiroAuthProviderImpl|vert.x-eventloop-thread-2] [CycShiroAuthProviderImpl] LDAP domain name mismatch: user id attribute=sAMAccountName; domain from user input=asia; LDAP config=nsroot.com

Se l'utente modifica il nome utente di accesso per utilizzare l'FQDN completo, l'accesso continua a non riuscire poiché input=aisa.nsroot.com e LDAP config=nsroot.com, i nomi di dominio non corrispondono.

L'accesso con il nome breve continua a lamentarsi del fatto che "account is not found" dopo l'abilitazione della porta 3268:

Aug 08 06:13:12.932785 DE412123456722-A control-path[105947]: 2023-08-08 06:13:12.932 [] [ERROR] [com.emc.cyclone.contexts.security.authn.authProvider.CycShiroAuthProviderImpl|vert.x-worker-thread-3] [CycShiroAuthProviderImpl] LDAP account authentication failed for user: admin_pst@asia url:ldap://10.XX.XX.XX:3268  search exception:Ldap search error: account not found
Aug 08 06:13:12.935176 DE412123456722-A control-path[105947]: 2023-08-08 06:13:12.935 [] [ERROR] [com.emc.cyclone.contexts.security.authn.authProvider.CycShiroAuthProviderImpl|vert.x-eventloop-thread-2]  LDAP account authentication failed for user: admin_pst, error:Ldap search error: account not found

Poiché AD dell'utente è in esecuzione a livello di foresta, è necessario abilitare la porta 3268 del catalogo globale per consentire al sistema di eseguire la ricerca LDAP in nomi di dominio diversi.

L'utente può continuare a utilizzare lo stesso dominio BindDN e LDAP.
Il dominio LDAP è configurato come "nsroot.com" e bindDN è bind_user@aisa.nsroot.com.

Il catalogo globale deve essere controllato nella configurazione LDAP.
L'utente LDAP per accedere a Pst Manager deve essere aggiunto in Settings > Users > LDAP (Full FQDN format admin_pst@aisa.nsroot.com)

È possibile utilizzare il nome utente nel formato FQDN completo per accedere alla gestione PST.
  Se AD del cliente non è in esecuzione come foresta, utilizzare la porta predefinita 389 ed effettuare l'accesso con il nome di dominio completo.