NetBackup ™ セキュリティおよび暗号化ガイド

この問題をトラブルシューティングするには

1. 次のエラーが nbatd ログに含まれるかどうか確認します。

   (authldap.cpp) CAuthLDAP::validatePrpl - ldap_simple_bind_s() failed for user 'CN=Test User,OU=VTRSUsers,DC=VRTS,DC=com', error = -1, errmsg = Can't contact LDAP server,9:debugmsgs,1

2. 次のシナリオのいずれかが該当するかを確認し、そのシナリオに示された手順を実行します。

   vssat addldapdomain で指定された LDAP サーバーの URL (-s オプション) が間違っている可能性がある	検証のために次のコマンドを実行します。 ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> 例: ldapsearch -H ldaps://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ******** -d 5 -o nettimeout=60 TLS: can't connect: TLS error -8179:Peer's Certificate issuer is not recognized. ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
   サーバー証明書の発行者が信頼される CA ではない	これは、ldaps オプションが使用されており、ldapsearch コマンドを使用して検証できる場合に該当します。 set env var LDAPTLS_CACERT to cacert.pem ldapsearch -H <LDAPS_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> cacert.pem のファイルのパス: Windows の場合: <Install_path>\NetBackup\var\global\vxss\eab\data\systemprofile\certstore\trusted\pluggins\ldap\cacert.pem UNIX の場合: /usr/openv/var/global/vxss/eab/data/root/.VRTSat/profile/certstore/trusted/pluggins/ldap/cacert.pem 例: ldapsearch -H ldaps://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ******** -d 5 -o nettimeout=60 TLS: can't connect: TLS error -8179:Peer's Certificate issuer is not recognized.. ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
   NetBackup Authentication Service (nbatd) は、LDAP サーバーのセキュリティ証明書に署名した認証局を信頼しません NetBackup Authentication Service で信頼する認証局を参照してください。	vssat addldapdomain コマンドの -f オプションを使用して、認証サービス (nbatd) のトラストストアに CA 証明書を追加します。
   LDAP サーバーに提供されている TLS 暗号スイートのリストが間違っている可能性がある	デフォルトでは、NetBackup 認証サービスは次の暗号スイートリストを使用して LDAP サーバーと通信します。 "ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384: ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA" 次のコマンドを実行して、LDAP サーバーに提供されている TLS 暗号スイートのリストを表示します。 UNIX の場合: /usr/openv/netbackup/sec/at/bin/vssat listldapdomains Windows の場合: Install_path\NetBackup\sec\at\bin\vssat listldapdomains sslscan などの任意のユーティリティを使用して、LDAP サーバーがサポートする暗号スイートを見つけます。 次のコマンドを実行して、LDAP サーバーの要件に合わせて TLS 暗号スイートリストの値を変更します。 UNIX の場合: /usr/openv/netbackup/sec/at/bin/vssregctl -s -f /usr/openv/var/global/vxss/eab/data/root/.VRTSat/profile/VRTSatlocal.conf -b "Security\Authentication\Authentication Broker\AtPlugins\ldap\ServerInfos\LDAP_server_name" -k "SSLCipherSuite" -t string -v LDAP_server_supported_cipher_suites Windows の場合: Install_path\NetBackup\sec\at\bin\vssregctl -s -f Install_path\NetBackup\var\global\vxss\eab\data\systemprofile\VRTSatlocal.conf -b "Security\Authentication\Authentication Broker\AtPlugins\ldap\ServerInfos\LDAP_server_name" -k "SSLCipherSuite" -t string -v LDAP_server_supported_cipher_suites 例: /usr/openv/netbackup/sec/at/bin/vssregctl -s -f /usr/openv/var/global/vxss/eab/data/root/.VRTSat/profile/VRTSatlocal.conf -b "Security\Authentication\Authentication Broker\AtPlugins\ldap\ServerInfos\example.veritas.com" -k "SSLCipherSuite" -t string -v "DHE-RSA-AES256-SHA:AES256-GCM-SHA384"
   LDAP サーバーで無効化された TLS プロトコルのバージョンが間違っている可能性がある	デフォルトでは、NetBackup 認証サービスは TLS 1.2 以降のプロトコルを使用して LDAP サーバーと通信します。1.2 より前のバージョンの TLS プロトコルは無効化されています。 次のコマンドを実行して、LDAP サーバーで無効化されている TLS プロトコルのバージョンを表示します。 UNIX の場合: /usr/openv/netbackup/sec/at/bin/vssat listldapdomains Windows の場合: Install_path\NetBackup\sec\at\bin\vssat listldapdomains 指定したコマンドを使用して、LDAP サーバーで無効になっている TLS プロトコルバージョンの値を変更します。指定したバージョンとそれ以前のすべてのバージョンの TLS プロトコルが無効化されます。サポートされる値は、「SSLv2」、「SSLv3」、「TLSv1」、「TLSv1.1」です。 次のコマンドを実行します。 UNIX の場合: /usr/openv/netbackup/sec/at/bin/vssregctl -s -f /usr/openv/var/global/vxss/eab/data/root/.VRTSat/profile/VRTSatlocal.conf -b "Security\Authentication\Authentication Broker\AtPlugins\ldap\ServerInfos\LDAP_server_name" -k "DisableTLSProtocol" -t string -v TLS_protocol_version_to_be_disabled Windows の場合: Install_path\NetBackup\sec\at\bin\vssregctl -s -f Install_path\NetBackup\var\global\vxss\eab\data\systemprofile\VRTSatlocal.conf -b "Security\Authentication\Authentication Broker\AtPlugins\ldap\ServerInfos\LDAP_server_name" -k "DisableTLSProtocol" -t string -v TLS_protocol_version_to_be_disabled 例: /usr/openv/netbackup/sec/at/bin/vssregctl -s -f /usr/openv/var/global/vxss/eab/data/root/.VRTSat/profile/VRTSatlocal.conf -b "Security\Authentication\Authentication Broker\AtPlugins\ldap\ServerInfos\example.veritas.com" -k "DisableTLSProtocol" -t string -v "TLSv1"

この問題をトラブルシューティングするには

1. 次のエラーが nbatd ログに含まれるかどうか確認します。

   CAuthLDAP::validatePrpl - ldap_simple_bind_s() failed for user 'CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com', error = 49, errmsg = Invalid credentials,9:debugmsgs,1

2. 次のシナリオが該当するかを確認し、そのシナリオに示された手順を実行します。

   vssat addldapdomain コマンドを使用して LDAP ドメインを追加しているときに、無効な管理ユーザーの DN またはパスワードが指定された

   検証のために次のコマンドを実行します。 ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> 例: ldapsearch -H ldap://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ******** -d 5 - o nettimeout=60 ldap_bind: Invalid credentials (49)

この問題をトラブルシューティングするには

1. 次のエラーが nbatd ログに含まれるかどうか確認します。

   CAuthLDAP::validatePrpl - ldap_search_s() error = 10, errmsg = Referral,9:debugmsgs,1 CAuthLDAP::validatePrpl - ldap_search_s() error = 34, errmsg = Invalid DN syntax,9:debugmsgs,1

2. ログに含まれるユーザーベース DN (-u オプション) またはグループベース DN (-g オプション) の値が正しくない場合は、エラーが発生する場合があります。

   検証のために次のコマンドを実行します。

   例:

   ldapsearch -H ldap://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ****** -b "OU=VRTSUsers,DC=VRTS,DC=con" "(&(cn=test user)(objectClass=user))"

   ldapsearch -H ldap://example.veritas.com:389 -D "CN=Test User,OU=VRTSUsers,DC=VRTS,DC=com" -w ****** -b "VRTS" "(&(cn=test user)(objectClass=user))"

この問題をトラブルシューティングするには

1. 次のエラーが nbatd ログに含まれるかどうか確認します。

   CAuthLDAP::validateGroup - search returned '2' entries for group name 'team_noone', even with referrals set to OFF,9:debugmsgs,1

2. これは、既存のユーザーベース DN とグループベース DN それぞれについて、ユーザー検索属性 (-a オプション) とグループ検索属性 (-y オプション) に一意の値がない場合に該当します。

   ldapsearch コマンドを使用して、既存のベース DN の一致するエントリの数を検証します。

   ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> -b <BASE_DN> <search_filter>

   例:

この問題をトラブルシューティングするには

1. 次のエラーが nbatd ログに含まれるかどうか確認します。

   CAuthLDAP::validatePrpl - user 'test user' NOT found,9:debugmsgs,4 CAuthLDAP::validateGroup - group 'test group' NOT found,9:debugmsgs,4

2. ユーザーまたはグループが LDAP ドメインに存在していても、vssat validateprpl または vssat validategroup のコマンドがこのエラーで失敗する場合は、次のコマンドを使用して、ユーザーまたはグループが現在のベース DN に存在するかどうかを検証します。

   ldapsearch -H <LDAP_URI> -D "<admin_user_DN>" -w <passwd> -d <debug_level> -o nettimeout=<seconds> -b <BASE_DN> <search_filter>