Réparez la question ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS de récupération de groupe de Répertoire actif sur le Cisco Identity Services Engine

Options de téléchargement

PDF (483.2 KB)
Consulter à l'aide d'Adobe Reader sur un grand nombre d'appareils
ePub (509.8 KB)
Consulter à l’aide de différentes applications sur iPhone, iPad, Android ou Windows Phone
Mobi (Kindle) (498.5 KB)
Consulter sur un appareil Kindle ou à l’aide d’une application Kindle sur plusieurs appareils

Mis à jour:24 octobre 2016

ID du document:200780

Langage exempt de préjugés

Dans le cadre de la documentation associée à ce produit, nous nous efforçons d’utiliser un langage exempt de préjugés. Dans cet ensemble de documents, le langage exempt de discrimination renvoie à une langue qui exclut la discrimination en fonction de l’âge, des handicaps, du genre, de l’appartenance raciale de l’identité ethnique, de l’orientation sexuelle, de la situation socio-économique et de l’intersectionnalité. Des exceptions peuvent s’appliquer dans les documents si le langage est codé en dur dans les interfaces utilisateurs du produit logiciel, si le langage utilisé est basé sur la documentation RFP ou si le langage utilisé provient d’un produit tiers référencé. Découvrez comment Cisco utilise le langage inclusif.

À propos de cette traduction

Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.

Contenu

Introduction

Conditions préalables

Conditions requises

Composants utilisés

Problème

Solution

Introduction

Ce document décrit comment au contournement le problème avec la récupération de groupe de Répertoire actif (AD) pendant l'authentification, alors que cette erreur est vue dans les logs vivants :

ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

Logiciel Cisco Identity Services Engine
Microsoft Active Directory

Composants utilisés

Ce document n'est pas limité aux versions de logiciel spécifiques du Cisco Identity Services Engine (ISE).

Problème

Le problème est que le compte utilisateur utilisé pour joindre ISE à l'AD n'a pas des privilèges corrects d'obtenir des tokenGroups. Ceci ne se produirait pas si le compte d'admin de domaine était utilisé pour joindre ISE à l'AD. Pour réparer cette question, vous devez ajouter des noeuds ISE au compte utilisateur et fournir ces autorisations aux noeuds ISE :

Contenu de liste
Lisez toutes les propriétés
Lisez les autorisations

Cette question est vue, quoique les autorisations pour l'utilisateur semble être correctes (le contrôle contre des authentifications d'AD ISE 1.3 échouent avec l'erreur : « Privilège insuffisant de chercher les groupes symboliques »). Ces débogages sont vus dans ad-agent.log :

28/08/2016 17:23:35,VERBOSE,140693934700288,Error code: 60173 (symbol: LW_ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS),lsass/server/auth-providers/ad-open-provider/provider-main.c:7409
28/08/2016 17:23:35,VERBOSE,140693934700288,Error code: 60173 (symbol: LW_ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS),lsass/server/api/api2.c:2572