NetWorker: AUTHC schlägt mit "Unable to find valid certification path to requested target" in der Round-Robin-DC-Umgebung fehl.

• Sie versuchen, AD over SSL (LDAPS) in NetWorker AUTHC zu integrieren.
• Der Prozess von KB NetWorker: Anleitung zum Konfigurieren der LDAPS-Authentifizierung wurde befolgt

• Die Konfiguration schlägt fehl mit:

ERROR [main] (DefaultLogger.java:222) - Error while performing Operation:
com.emc.brs.auth.common.exception.BRHttpErrorException: 400 . Server message: Failed to verify configuration CONFIG_NAME An SSL handshake error occurred while attempting to connect to LDAPS server: unable to find valid certification path to requested target

• Sie verwenden einen "Alias" für den AD-Server, der in einer Round-Robin-Konfiguration eine Verbindung zu verschiedenen DCs herstellt. 

Das importierte Zertifikat ist mit dem Round-Robin-Alias-FQDN verknüpft. Die Konfiguration versucht jedoch, eine SSL-Bindung an einen bestimmten Server in der Round-Robin-Konfiguration durchzuführen. 
Beispiel: "ad-ldap.emclab.local" wird im DNS als Round-Robin-Alias konfiguriert, der auf mehrere DC-Hosts in der Umgebung verweist. Durch das Erfassen des Zertifikats mit openssl während der Verwendung des Alias wird das Zertifikat für einen der Hosts ("dc1.emclab.local") zurückgegeben, die über Round Robin verfügbar sind.

[root@nsrserver: ~]# openssl s_client -showcerts -connect ad-ldap.emclab.local:636
Certificate chain
0 s:/CN=dc1.emclab.local
   i:/DC=local/DC=emclab/CN=AUTH-CA01
-----BEGIN CERTIFICATE-----
**REMOVED**
-----END CERTIFICATE-----
---
Server certificate
subject=/CN=dc1.emclab.local
issuer=/DC=local/DC=emclab/CN=AUTH-CA01

Wenn das Zertifikat mit dem Round-Robin-Alias "ad-ldap.emclab.local" in den JRE/NRE-Cacerts-Keystore importiert wird, kann die Konfiguration aufgrund der Nichtübereinstimmung des Namens nicht mit dem "dc1.emclab.local" oder einem anderen Server in der Round-Robin-Konfiguration übereinstimmen.

Sie können einen Round-Robin-Alias in Nicht-SSL-Verbindungen (LDAP) verwenden, da dies keine Zertifikate verwendet und nicht zu einem SSL-Fehler führt.
 
Um die SSL-Authentifizierung zu nutzen, muss der Zertifikatalias mit dem Host übereinstimmen, mit dem er eine Verbindung herstellt. Importieren Sie das CA-Zertifikat für einen der spezifischen DC-Hosts in der Round-Robin-Konfiguration und konfigurieren Sie NetWorker authc so, dass es nur auf diesen DC für Authentifizierungsanforderungen verweist. optional können Sie die Zertifikate für jeden Host in der Round-Robin-DC-Konfiguration importieren. Falls ein Problem mit dem anfänglich konfigurierten Host auftritt, können Sie die Konfiguration aktualisieren, um auf den anderen DC-Server zu verweisen, für den das Zertifikat bereits importiert wurde.

Siehe: NetWorker: Konfigurieren von "AD over SSL" (LDAPS) über die NetWorker-Webbenutzeroberfläche (NWUI)