Guide de sécurité et de chiffrement NetBackup™

Pour résoudre le problème

1. Vérifiez si les journaux nbatd contiennent l'erreur suivante :

   (authldap.cpp) CAuthLDAP::validatePrpl - ldap_simple_bind_s() failed for user 'CN=Test User,OU=VTRSUsers,DC=VRTS,DC=com', error = -1, errmsg = Can't contact LDAP server,9:debugmsgs,1

2. Vérifiez si l'un des scénarios suivants est vrai et réalisez les étapes fournies pour ce scénario.

   L'URL du serveur LDAP (option -s) qui est fournie avec vssat addldapdomain peut être incorrecte	Exécutez la commande suivante pour vérifier : ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> Exemple : ldapsearch -H ldaps://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ******** -d 5 -o nettimeout=60 TLS: can't connect: TLS error -8179:Peer's Certificate issuer is not recognized. ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
   L'émetteur de certificat du serveur n'est pas une autorité de certification approuvée	Ceci s'applique si l'option ldaps est utilisée et peut être validée à l'aide de la commande ldapsearch : set env var LDAPTLS_CACERT to cacert.pem ldapsearch -H <LDAPS_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> Chemin d'accès au fichier pour cacert.pem : Windows : <Install_path>\NetBackup\var\global\vxss\eab\data\systemprofile\certstore\trusted\pluggins\ldap\cacert.pem Sous UNIX : /usr/openv/var/global/vxss/eab/data/root/.VRTSat/profile/certstore/trusted/pluggins/ldap/cacert.pem Exemple : ldapsearch -H ldaps://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ******** -d 5 -o nettimeout=60 TLS: can't connect: TLS error -8179:Peer's Certificate issuer is not recognized.. ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
   NetBackup Authentication Service (nbatd) n'approuve pas l'autorité de certification qui a signé le certificat de sécurité du serveur LDAP Se reporter à Autorités de certification approuvées par NetBackup Authentication Service.	Utilisez l'option -f de la commande vssat addldapdomain pour ajouter le certificat d'autorité de certification dans le référentiel approuvé du service d'authentification (nbatd).

Pour résoudre le problème

1. Vérifiez si les journaux nbatd contiennent l'erreur suivante :

   CAuthLDAP::validatePrpl - ldap_simple_bind_s() failed for user 'CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com', error = 49, errmsg = Invalid credentials,9:debugmsgs,1

2. Vérifiez si le scénario suivant est vrai et réalisez les étapes fournies pour le scénario.

   Nom unique de l'utilisateur admin ou mot de passe non valide fourni lors de l'ajout d'un domaine LDAP à l'aide de la commande vssat addldapdomain

   Exécutez la commande suivante pour vérifier : ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> Exemple : ldapsearch -H ldap://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ******** -d 5 - o nettimeout=60 ldap_bind: Invalid credentials (49)

Pour résoudre le problème

1. Vérifiez si les journaux nbatd contiennent l'erreur suivante :

   CAuthLDAP::validatePrpl - ldap_search_s() error = 10, errmsg = Referral,9:debugmsgs,1 CAuthLDAP::validatePrpl - ldap_search_s() error = 34, errmsg = Invalid DN syntax,9:debugmsgs,1

2. Vous pouvez voir les erreurs dans les journaux si la valeur du nom unique de base de l'utilisateur (option -u) ou du nom unique de base du groupe (option -g) est incorrecte.

   Exécutez la commande suivante pour vérifier :

   Exemple :

   ldapsearch -H ldap://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ****** -b "OU=VRTSUsers,DC=VRTS,DC=con" "(&(cn=test user)(objectClass=user))"

   ldapsearch -H ldap://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ****** -b "VRTS" "(&(cn=test user)(objectClass=user))"

Pour résoudre le problème

1. Vérifiez si les journaux nbatd contiennent l'erreur suivante :

   CAuthLDAP::validateGroup - search returned '2' entries for group name 'team_noone', even with referrals set to OFF,9:debugmsgs,1

2. Ceci s'applique si l'attribut de recherche d'utilisateur (option -a) et l'attribut de recherche de groupe (option -y) n'ont pas de valeurs uniques pour le nom unique de base de l'utilisateur et le nom unique de base du groupe, respectivement.

   Validez le nombre d'entrées correspondantes pour le nom unique de base existant à l'aide de la commande ldapsearch.

   ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> -b <BASE_DN> <search_filter>

   Exemple :

Pour résoudre le problème

1. Vérifiez si les journaux nbatd contiennent l'erreur suivante :

   CAuthLDAP::validatePrpl - user 'test user' NOT found,9:debugmsgs,4 CAuthLDAP::validateGroup - group 'test group' NOT found,9:debugmsgs,4

2. Si un utilisateur ou groupe existe dans le domaine LDAP, mais que la commande vssat validateprpl ou vssat validategroup échoue avec cette erreur, vérifiez que l'utilisateur ou le groupe existe dans le nom de base actuel (options -u et -g) à l'aide de la commande suivante.

   ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> -b <BASE_DN> <search_filter>