内容

概要

前提条件

要件

使用するコンポーネント

背景説明

設定

ローカル認証ドメインの作成

LDAPプロバイダーの作成

LDAPグループルールの設定

LDAPプロバイダーグループの作成

LDAPグループマップの作成

LDAP認証ドメインの作成

確認

一般的なLDAPの問題。

トラブルシュート

関連情報

概要

このドキュメントでは、LDAPプロトコルを使用したリモートサーバアクセスの設定について説明します。 Unified Computing System Manager Domain (UCSM).

前提条件

要件

次の項目に関する知識があることが推奨されます。

- Unified Computing System Manager Domain (UCSM)

- ローカルおよびリモート認証

- Lightweight Directory Access Protocol (LDAP)

- Microsoft Active Directory (MS-AD)

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Cisco UCS 6454 Fabric Interconnect

- UCSMバージョン4.0(4k)

- Microsoft Active Directory (MS-AD)

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

Lightweight Directory Access Protocol (LDAP)  は、ユーザとITリソースへのアクセス権を安全に管理するディレクトリサービス向けに開発されたコアプロトコルの1つです。

現在でもほとんどのディレクトリサービスはLDAPを使用していますが、Kerberos、SAML、RADIUS、SMB、Oauthなどの追加プロトコルも使用できます。

設定

はじめに

ログインするCisco UCS Manager GUI管理ユーザとして設定します。

ローカル認証ドメインの作成

ステップ 1： 内 Navigation ペインで、 Admin tab.

ステップ 2： Cisco Unified Communications Manager Admin タブ、展開 All > User Management > Authentication

ステップ 3： 右クリック Authentication Domains を選択し、 Create a Domain.

ステップ 4： の場合 Name フィールド、タイプ Local.

ステップ 5： の場合 Realm,ポリシーの横の [レポート（report）] Local オプションボタンを選択します。

手順 6：クリック OK.

LDAPプロバイダーの作成

この設定例には、SSLを使用してLDAPを設定する手順は含まれていません。

ステップ 1：内 Navigation ペインで、 Admin tab.

ステップ 2： Cisco Unified Communications Manager Admin タブ、展開 All > User Management > LDAP.

ステップ 3： 内 Work ペインで、 General tab.

ステップ 4： 内 Actions エリアを選択し、 Create LDAP Provider

ステップ 5： 内 Create LDAP Provider ウィザードのページで、適切な情報を入力します。

- 内 Hostnameフィールドに、ADサーバのIPアドレスまたはホスト名を入力します。

- 内 Order フィールドに入力し、 lowest-available デフォルトで常に有効になっています。

- 内 BindDN フィールドに入力し、AD設定からBindDNをコピーして貼り付けます。

この設定例では、BindDNの値はCN=ucsbind,OU=CiscoUCS,DC=mxsvlab,DC=comです。

- 内 BaseDN フィールドに入力し、AD設定からBaseDNをコピーして貼り付けます。

この設定例では、BaseDN値はDC=mxsvlab,DC=comです。

- Cisco Unified Communications Managerを Enable SSL チェックボックスをオフにします。

- 内 Port フィールドで、389のデフォルトを受け入れます。

- 内 Filter AD設定からフィルタ属性をコピーして貼り付けます。

Cisco UCSはフィルタ値を使用して、ユーザ名（ログイン画面に表示される）が Cisco UCS Manager)はADにあります。

この設定例では、フィルタ値はsAMAccountName=$useridで、$useridは user name を入力して、 Cisco UCS Manager ログイン画面。

- Cisco Unified Communications Managerを Attribute フィールドが空白です。

- 内 Password フィールドに、ADで設定されたucsbindアカウントのパスワードを入力します。

必要に応じて、 Create LDAP Provider wizard パスワードをリセットするには、パスワードフィールドが空白の場合は警告しません。

「 Set: yes [password]フィールドの横に表示されるメッセージは、パスワードが設定されたことを示します。

- 内 Confirm Password フィールドに、ADで設定されたucsbindアカウントのパスワードを再入力します。

- 内 Timeout フィールドに入力し、 30デフォルト。

- 内 Vendor フィールドで、Microsoft Active DirectoryのMS-ADのオプションボタンを選択します。

手順 6： クリック Next

LDAPグループルールの設定

手順 1. Cisco Unified Communications ManagerLDAP Group Rule ウィザードのページで、次のフィールドに値を入力します。

- の場合 Group Authentication フィールドをクリックし、 Enable オプションボタンを選択します。

- の場合 Group Recursion フィールドをクリックし、 Recursive オプションボタンを選択します。
これにより、ユーザが見つかるまでレベルごとに検索を続行できます。

If the Group Recursion に設定されている Non-Recursiveを使用すると、UCSが第1レベルの検索に限定されます。検索で条件を満たすユーザが見つからない場合でも同様です。

- 内 Target Attribute フィールドに入力し、memberOf デフォルトで常に有効になっています。

ステップ 2： クリックする Finish.

注：実際のシナリオでは、複数のLDAPプロバイダーが存在する可能性が高くなります。複数のLDAPプロバイダーの場合は、各LDAPプロバイダーに対してLDAPグループ規則を設定する手順を繰り返します。ただし、この設定例では、LDAPプロバイダーは1つだけなので、これは必要ありません。

ADサーバのIPアドレスは、ナビゲーションペインの[LDAP] > [LDAP Providers] に表示されます。

LDAPプロバイダーグループの作成

ステップ 1： ナビゲーションペインで右クリックします LDAP Provider Groups を選択し、 Create LDAP Provider Group.

ステップ 2： 内 Create LDAP Provider Group ダイアログボックスで、次の情報を適宜入力します。

- 内 Name フィールドにグループの一意の名前を入力します。たとえば、 LDAP Providers.

- 内 LDAP Providers 表で、ADサーバのIPアドレスを選択します。

- >>ボタンをクリックして、ADサーバを Included Providers テーブル.

ステップ 3： [OK] をクリックします。

プロバイダーグループが LDAP Provider Groups フォルダ。

LDAPグループマップの作成

ステップ 1： ナビゲーションペインで、 Admintab.

ステップ 2： Cisco Unified Communications Manager Admin タブ、展開 All > User Management > LDAP.

ステップ 3： 作業ペインで、[Create]をクリックします LDAP Group Map.

ステップ 4： 内 Create LDAP Group Map ダイアログボックスで、次の情報を適宜入力します。

- 内 LDAP Group DN フィールドに入力し、LDAPグループのADサーバ設定セクションにある値をコピーして貼り付けます。

この手順で要求されるLDAPグループDN値は、UCSグループの下でADで作成した各グループの識別名にマッピングされます。

このため、Cisco UCS Managerに入力するグループDNの値は、ADサーバのグループDNの値と正確に一致する必要があります。

この設定例では、この値はCN=ucsadmin,OU=CiscoUCS,DC=sampledesign,DC=comです。

- 内 Roles テーブルを選択し、 Admin チェックボックスをオンにし、[OK] をクリックします。

ロールのチェックボックスをクリックすると、グループマップに含まれるすべてのユーザに管理者権限を割り当てることが示されます。

ステップ 5： テストするADサーバ内の各残りのロールに対して、新しいLDAPグループマップを作成します（前にADから記録した情報を使用）。

次のトピック:LDAP認証ドメインを作成します。

LDAP認証ドメインの作成

ステップ 1： Cisco Unified Communications Manager [管理（Admin）] タブ、展開 All > User Management > Authentication

ステップ 2： 右クリック [Authentication] Authentication Domains を選択し、 Create a Domain.

ステップ 3：nbsp(&N)Create a Domain ダイアログボックスで、次の手順を実行します。

- 内 Name フィールドに、LDAPなどのドメインの名前を入力します。

- 内 Realm エリアをクリックし、 Ldap オプションボタンを選択します。

- Provider Group ドロップダウンリストから、 LDAP Provider Group 以前に作成したファイルを選択し、OKをクリックします。

認証ドメインは、 Authentication Domains.

確認

Ping to LDAP Provider IP またはFQDN:

NX-OSから認証をテストするには、 test aaa コマンドを使用します（NXOSからのみ使用可能）。

サーバの設定を検証します。

ucs(nxos)# test aaa server ldap <LDAP-server-IP-address or FQDN> <username> <password>

一般的なLDAPの問題。

- 基本設定.

- パスワードが正しくないか、無効な文字です。

- ポートまたはフィルタフィールドが正しくありません。

- ファイアウォールまたはプロキシのルールにより、プロバイダーとの通信が行われない。

- FSMが100 %ではありません。

- 証明書の問題。

トラブルシュート

UCSM LDAP設定を確認します。

UCSMが設定を正常に実装したことを確認する必要があります。これは、 Finite State Machine (FSM) は100%完了として表示されます。

UCSMのコマンドラインから設定を確認するには、次の手順を実行します。

ucs # scope security

ucs /security# scope ldap

ucs /security/ldap# show configuration

ucs /security/ldap# show fsm status

NXOSから設定を確認するには、次の手順を実行します。

ucs# connect nxos

ucs(nxos)# show ldap-server

ucs(nxos)# show ldap-server groups

エラーを確認する最も効果的な方法は、デバッグを有効にすることです。この出力では、グループ、接続、および通信を妨げるエラーメッセージを確認できます。

- SSHセッションをFIに対して開き、ローカルユーザとしてログインし、NX-OS CLIコンテキストに変更して端末モニタを起動します。

ucs # connect nxos

ucs(nxos)# terminal monitor

- デバッグフラグを有効にし、ログファイルへのSSHセッションの出力を確認します。

ucs(nxos)# debug aaa all <<< not required, incase of debugging authentication problems

ucs(nxos)# debug aaa aaa-requests

ucs(nxos)# debug ldap all <<< not required, incase of debugging authentication problems.

ucs(nxos)# debug ldap aaa-request-lowlevel

ucs(nxos)# debug ldap aaa-request

- ここで、新しいGUIまたはCLIセッションを開き、リモート( LDAP )ユーザとしてログインを試みます。

- ログイン失敗メッセージを受信したら、デバッグをオフにします。

関連情報

- テクニカル サポートとドキュメント – Cisco Systems

- UCSM LDAPの設定例

- 『Cisco UCS C Series GUI Configuration Guide』