Repare el problema ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS de la extracción del grupo del Active Directory en el Identity Services Engine

Introducción

Este documento describe cómo a la solución alternativa el problema con la extracción del grupo del Active Directory (AD) durante la autenticación, mientras que este error se considera en los registros vivos:

ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS

Prerrequisitos

Requisitos

Cisco recomienda que tenga conocimiento sobre estos temas:

• Cisco Identity Services Engine
• Microsoft Active Directory

Componentes Utilizados

Este documento no se restringe a las versiones de software específicas del Identity Services Engine (ISE).

Problema

El problema es que la cuenta de usuario usada para unirse al ISE al AD no tiene privilegios correctos de conseguir los tokenGroups. Esto no sucedería si la cuenta de administración del dominio fue utilizada para unirse al ISE al AD. Para reparar este problema, usted tiene que agregar los nodos ISE a la cuenta de usuario y proporcionar esos permisos a los nodos ISE:

• Contenido de la lista
• Lea todas las propiedades
• Permisos de lectura

Se considera este problema, aunque los permisos para el usuario parecen estar correctos (el control contra las autenticaciones ISE 1.3 AD falla con el error: “Privilegio escaso de traer a los grupos simbólicos”). Esos debugs se ven en ad-agent.log:

28/08/2016 17:23:35,VERBOSE,140693934700288,Error code: 60173 (symbol: LW_ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS),lsass/server/auth-providers/ad-open-provider/provider-main.c:7409
28/08/2016 17:23:35,VERBOSE,140693934700288,Error code: 60173 (symbol: LW_ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS),lsass/server/api/api2.c:2572

Solución

Para proporcionar los permisos requeridos a la cuenta de usuario, realice esos pasos:

1. en el AD navegue a las propiedades para la cuenta de usuario AD:

2. Elija la ficha de seguridad y el tecleo agrega:

3. Seleccione los tipos de objeto:

4. Seleccione las Computadoras y haga clic la AUTORIZACIÓN:

5. Inserte el nombre de host ISE (VCHRENEK-ISE4 en este ejemplo) y haga clic la AUTORIZACIÓN:

6. Seleccione el nodo ISE y haga clic avanzado:

7. De las configuraciones de la Seguridad avanzada seleccione la cuenta de equipo ISE y el tecleo edita:

8. Proporcione esos permisos a la cuenta de equipo ISE y haga clic la AUTORIZACIÓN:

Después de que estos cambios, los grupos AD se deban extraer sin ningunos problemas:

Esto tiene que ser realizada para todos los usuarios y los cambios se deben replicar a todos los controladores de dominio en el dominio.