Guide de l’utilisateur de Integrated Dell Remote Access Controller 9 version 3.31.31.31

Active Directory

Échec de la connexion à Active Directory Comment résoudre ce problème ?

Pour identifier la cause du problème, dans la page Active Directory Configuration and Management (Configuration et gestion d’Active Directory), cliquez sur Test Settings (Paramètres de test). Consultez les résultats du test et corrigez le problème. Modifiez la configuration et exécutez le test jusqu’à obtenir l’autorisation.

En général, vérifiez les éléments suivants :

Lors de la connexion, veillez à utiliser le nom de domaine utilisateur approprié et non le nom NetBIOS. Si vous disposez d’un compte utilisateur iDRAC local, connectez-vous à l’iDRAC avec les informations d’identification locales. Après la connexion, vérifiez les points suivants :
- L'option Activation Active Directory est sélectionnée dans la page Configuration et gestion d'Active Directory.
- Le paramètre DNS est correct dans la page Configuration réseau iDRAC .
- Le certificat CA racine Active Directory correct est téléversé vers iDRAC si la validation de certificat a été activée.
- Le nom iDRAC et le nom de domaine iDRAC correspondent à la configuration de l'environnement Active Directory si vous utilisez le schéma étendu.
- Le nom de groupe et le nom de domaine correspondent à la configuration Active Directory si vous utilisez le schéma standard.
- Si l’utilisateur et l’objet iDRAC se trouvent dans des domaines différents, ne sélectionnez pas l’option User Domain from Login (Domaine utilisateur de connexion). Sélectionnez Specify a Domain (Définir un domaine) et entrez le nom du domaine sur lequel se trouve l’objet iDRAC.
Vérifiez les certificats SSL des contrôleurs de domaine pour vous assurer que l'heure iDRAC est comprise dans la période de validité du certificat.

La connexion à Active Directory échoue si la validation de certificat est activée. Les résultats du test indiquent le message d’erreur suivant : Quelle est la cause de ce problème, et comment le résoudre ?

ERROR: Can't contact LDAP server, error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed: Please check the correct Certificate Authority (CA) certificate has been uploaded to iDRAC. Please also check if the iDRAC date is within the valid period of the certificates and if the Domain Controller Address configured in iDRAC matches the subject of the Directory Server Certificate.

Si la validation de certificat est activée, lorsque le contrôleur iDRAC établit la connexion SSL avec le serveur d’annuaire, il utilise le certificat CA émis pour vérifier le certificat du serveur d’annuaire. Les principales causes de l’échec de la validation de certificat sont les suivantes :

La date de l’iDRAC n’est pas dans la période de validité du certificat du serveur ou du certificat CA. Vérifiez l’heure de l’iDRAC et la période de validité de votre certificat.
Les adresses des contrôleurs de domaine définies dans l’iDRAC ne correspondent pas au champ Subject (Objet) ou Subject Alternative Name (Autre nom de l’objet) du certificat du serveur d’annuaire. Si vous utilisez une adresse IP, consultez la question suivante. Si vous utilisez le nom FQDN (nom de domaine complet qualifié, veillez à utiliser le nom FQDN du contrôleur de domaine et non pas le domaine. Par exemple, nomserveur.exemple.com au lieu de exemple.com.

La validation de certificat échoue si l’adresse IP est utilisée pour l’adresse du contrôleur de domaine. Comment résoudre ce problème ?

Vérifiez le champ Subject (Objet) ou Subject Alternative Name (Autre nom de l’objet) dans le certificat du contrôleur de domaine. Normalement, Active Directory utilise le nom d’hôte et non pas l’adresse IP du contrôleur de domaine dans le champ Subject (Objet) ou Subject Alternative Name (Autre nom de l’objet) du certificat du contrôleur de domaine. Pour résoudre ce problème, effectuez l’une des actions suivantes :

Définissez le nom d'hôte (nom de domaine complet qualifié) du contrôleur de domaine comme adresse(s) de contrôleur de domaine dans iDRAC pour qu'il corresponde au champ Objet ou Autre nom de l'objet dans le certificat du serveur.
Réémettez le certificat de serveur pour utiliser une adresse IP dans le champ Objet ou Autre nom de l'objet pour qu'il corresponde à l'adresse IP définie dans iDRAC.
Désactivez la validation de certificat si vous choisissez de faire confiance à ce contrôleur de domaine sans validation de certificat los de l'établissement de liaisons SSL.

Comment configurer l'adresse (ou les adresses) de contrôleur de domaine en utilisant le schéma étendu dans un environnement multi-domaine ?

Il doit s'agir du nom d'hôte (nom de domaine complet qualifié) ou de l'adresse IP du (ou des) contrôleur(s) de domaine qui gère(nt) le domaine dans lequel l'objet iDRAC réside.

Quand faut-il définir une adresse (ou des adresses) de catalogue global ?

Si vous utilisez le schéma standard et que tous les utilisateurs et les groupes de rôles proviennent de différents domaines, une ou des adresses du catalogue global sont requises. Dans ce cas, vous pouvez utiliser uniquement le groupe universel.

Si vous utilisez le schéma standard et que tous les utilisateurs et groupes de rôles proviennent du même domaine, une ou des adresses du catalogue global ne sont pas requises.

Si vous utilisez le schéma étendu, l'adresse du catalogue global n'est pas utilisée.

Comment fonctionne la requête de schéma standard ?

iDRAC se connecte tout d’abord à l’adresse ou aux adresses configurées pour le contrôleur de domaine. Si l’utilisateur et les groupes de rôles se trouvent dans ce domaine, les privilèges sont enregistrés.

Si une adresse ou des adresses de contrôleur global sont configurées, l’iDRAC continue d’interroger le catalogue global. Si des privilèges supplémentaires sont extraits du catalogue global, ces privilèges sont cumulés.

iDRAC utilise-t-il toujours LDAP sur SSL ?

Oui. Tous les transferts sont effectués via le port sécurisé 636 et/ou 3269. Lors du test, l’iDRAC exécute LDAP CONNECT uniquement pour isoler le problème, mais il n’exécute pas LDAP BIND sur une connexion non protégée.

Pourquoi iDRAC active-t-il par défaut la validation de certificat ?

L’iDRAC applique une sécurité stricte pour garantir l’identité du contrôleur de domaine auquel l’iDRAC se connecte. Sans la validation de certificat, un pirate peut usurper l’identité d’un contrôleur de domaine et détourner la connexion SSL. Si vous faites confiance à tous les contrôleurs de domaine de votre zone de sécurité sans validation de certificat, vous pouvez la désactiver via l’interface Web ou l’interface RACADM.

iDRAC prend-il en charge le nom NetBIOS ?

Pas dans cette version.

Pourquoi l'ouverture de session dans iDRAC par carte à puce ou connexion directe (SSO) Active Directory prend-elle jusqu'à quatre minutes ?

L’authentification unique (SSO) ou la connexion par carte à puce à Active Directory est en principe établie en moins de 10 secondes, mais elle peut tarder jusqu’à 4 minutes si vous avez défini le serveur DNS préféré et le serveur DNS secondaire et que le serveur DNS préféré est défaillant. L’arrêt d’un serveur DNS entraîne des expirations de délai DNS. iDRAC vous connecte en utilisant le serveur DNS secondaire.

Active Directory est configuré pour un domaine présent dans Windows Server 2008 Active Directory. Un domaine enfant ou un sous-domaine du domaine est présent, l’utilisateur et le groupe sont présents dans le même domaine enfant et l’utilisateur est membre du groupe. Lors de la connexion à l’iDRAC avec le nom d’utilisateur présent dans le domaine enfant, l’authentification unique (SSO) sur Active Directory échoue.

Ce problème peut être provoqué par un type de groupe incorrect. Le serveur Active Directory comporte deux types de groupe :

Sécurité : les groupes de sécurité permettent de gérer l'accès des utilisateurs et des ordinateurs aux ressources partagées et de filtrer les paramètres de stratégies de groupe.
Distribution : les groupes de distribution servent exclusivement de listes de distribution par e-mail.

Veillez à toujours utiliser le type de groupe Security (Sécurité). Vous ne pouvez pas utiliser les groupes de distribution pour attribuer des droits à un objet. Utilisez-les pour filtrer les paramètres de stratégie de groupe.

Welcome

Welcome to Dell

Guide de l’utilisateur de Integrated Dell Remote Access Controller 9 version 3.31.31.31

Active Directory

Rate this content