UCSM LDAP のトラブルシューティング ガイド

概要

このドキュメントでは、Unified Computing System Manager(UCSM)でのLightweight Directory Access Protocol(LDAP)設定の検証と、LDAP認証の失敗の問題を調査する手順について説明します。

設定ガイド：

UCSM認証の設定

Active Directory(AD)の設定例

UCSM LDAP設定の確認

有限状態マシン(FSM)のステータスをチェックして、UCSMが設定を正常に展開し、100 %で完了したことを確認します。

UCSMコマンドラインインターフェイス(CLI)コンテキストから

ucs # scope security
ucs /security # scope ldap 
ucs /security/ldap # show configuration
ucs /security/ldap # show fsm status

Nexusオペレーティングシステム(NX-OS)のCLIコンテキストから

ucs # scope security 
ucs(nxos)# show ldap-server
ucs(nxos)# show ldap-server groups

LDAP設定のベストプラクティス

1. 「ネイティブ認証」レルムを変更する代わりに、追加の認証ドメインを作成する

2. 「コンソール認証」には常にローカルレルムを使用します。ユーザーが「ネイティブ認証」を使用できない場合でも、管理者はコンソールからアクセスできます。

3. UCSMは、ログイン試行中に特定のauth-domain内のすべてのサーバが応答しなかった場合は、常にローカル認証に戻りません（test aaaコマンドには適用されません）。

LDAP設定の検証

NX-OSコマンドを使用してLDAP認証をテストします。「test aaa」コマンドは、NX-OS CLIインターフェイスからのみ使用できます。

1. LDAPグループ固有の設定を検証します。

次のコマンドは、設定された順序に基づいて、設定されたすべてのLDAPサーバのリストを調べます。

ucs(nxos)# test aaa group ldap <username> <password>

2.特定のLDAPサーバ設定の検証

ucs(nxos)# test aaa server ldap <LDAP-server-IP-address or FQDN> <username> <password>

注 1：<password>文字列がターミナルに表示されます。

注 2：LDAPサーバのIPまたはFQDNは、設定済みのLDAPプロバイダーと一致している必要があります。

この場合、UCSMは特定のサーバに対して認証をテストし、指定されたLDAPサーバに対してフィルタが設定されていない場合は失敗する可能性があります。

LDAPログイン障害のトラブルシューティング

この項では、LDAP認証の問題の診断について説明します。

問題シナリオ#1 – ログインできない

UCSMのグラフィカルユーザインターフェイス(GUI)とCLIの両方からLDAPユーザとしてログインできない

LDAP認証のテスト中に、「サーバーへの認証エラー」をユーザーが受信しました。

(nxos)# test aaa server ldap <LDAP-server> <user-name> <password>
error authenticating to server
bind failed for <base DN>: Can't contact LDAP server

推奨事項
Internet Control Message Protocol(ICMP)pingによるLDAPサーバとFabric Interconnect(FI)管理インターフェイス間のネットワーク接続の確認、およびローカル管理コンテキストからのTelnet接続の確立

ucs# connect local
ucs-local-mgmt # ping <LDAP server-IP-address OR FQDN>
ucs-local-mgmt # telnet <LDAP-Server-IP-Address OR FQDN> <port-number> 

UCSMがLDAPサーバにpingできない場合、またはLDAPサーバへのTelnetセッションを開けない場合は、インターネットプロトコル(IP)ネットワーク接続を調査します。

ドメインネームサービス(DNS)がLDAPサーバのホスト名に対して正しいIPアドレスをUCSに返すかどうかを確認し、これら2つのデバイス間でLDAPトラフィックがブロックされていないことを確認します。

問題シナリオ#2:GUIにログインでき、SSHにログインできない

LDAPユーザはUCSM GUIからログインできますが、FIへのSSHセッションを開くことはできません。 

推奨事項

LDAPユーザとしてFIへのSSHセッションを確立する場合、UCSMではLDAPドメイン名の前に「ucs – 」を付加する必要があります

* Linux/MACマシンから 

ssh ucs-<domain-name>\\<username>@<UCSM-IP-Address>
ssh -l ucs-<domain-name>\\<username> <UCSM-IP-address>
ssh <UCSM-IP-address> -l ucs-<domain-name>\\<username>

* puttyクライアントから

Login as: ucs-<domain-name>\<username>

注：ドメイン名は大文字と小文字が区別され、UCSMで設定されているドメイン名と一致する必要があります。ユーザ名の最大長は、ドメイン名を含む32文字です。

「ucs-<ドメイン名>\<ユーザ名>」= 32文字。

問題シナリオ#3 – ユーザに読み取り専用権限がある

LDAPユーザはログインできますが、LDAPグループマップがUCSMで正しく設定されている場合でも、読み取り専用権限を持ちます。

推奨事項
LDAPログインプロセス中にロールが取得されなかった場合、リモートユーザはデフォルトロール（読み取り専用アクセス）または拒否されたアクセス（非ログイン）を使用して、リモートログインポリシーに基づいてUCSMにログインできます。

リモートユーザがログインしてユーザに読み取り専用アクセス権が付与された場合、LDAP/ADでユーザグループメンバーシップの詳細を確認します。
たとえば、MS Active DirectoryにADSIEDITユーティリティを使用できます。またはldapserachを使用します。

NX-OSシェルから「test aaa」コマンドを使用して確認することもできます。

問題シナリオ#4 – 「リモート認証」でログインできない

[Native Authentication]がリモート認証メカニズム（ LDAPなど）に変更された場合、ユーザはログインできないか、リモートユーザとしてUCSMに読み取り専用アクセスできます 

推奨事項
UCSMがリモート認証サーバに到達できない場合に、コンソールアクセス用のローカル認証にフォールバックするため、次の手順に従ってサーバを回復できます。

1.プライマリFIの管理インターフェイスケーブルを取り外します（show cluster stateは、どちらがプライマリとして機能するかを示します）。
2.プライマリFIのコンソールに接続する
3.次のコマンドを実行して、ネイティブ認証を変更します

scope security
show authentication
set authentication console local
set authentication default local
commit-buffer

4.管理インターフェイスケーブルを接続する
5.ローカルアカウントを使用してUCSM経由でログインし、リモート認証（LDAPなど）グループの認証ドメインを作成します。
注：管理インターフェイスを切断しても、データプレーントラフィックには影響しません。

問題シナリオ#4:LDAP認証は機能するが、SSLが有効になっていない

LDAP認証はSecure Socket Layer(SSL)なしで正常に動作しますが、SSLオプションが有効な場合は失敗します。

推奨事項
UCSM LDAPクライアントは、SSL接続の確立中に、設定されたトラストポイント(認証局(CA)証明書)を使用します。

1.トラストポイントが正しく設定されていることを確認します。

2.証明書の識別フィールドは、LDAPサーバの「ホスト名」である必要があります。UCSMで設定されているホスト名が、証明書に存在するホスト名と一致し、有効であることを確認します。

3. UCSMがLDAPサーバの「ipアドレス」ではなく「ホスト名」で設定されており、ローカル管理インターフェイスから再チェックできることを確認します。

問題シナリオ#5:LDAPプロバイダーの変更後に認証が失敗する

古いLDAPサーバを削除して新しいLDAPサーバを追加すると、認証が失敗する 

推奨事項
LDAPが認証レルムで使用されている場合、新しいサーバの削除と追加は許可されません。UCSM 2.1バージョンから、FSMの障害が発生します。

同じトランザクションで新しいサーバを削除または追加する場合の手順は次のとおりです

1. ldapを使用するすべての認証レルムがローカルに変更され、設定が保存されていることを確認します。
2. LDAPサーバを更新し、FSMステータスが正常に完了したことを確認します。
3.手順1で変更したドメインの認証レルムをLDAPに変更します。

他のすべての問題シナリオの場合：LDAPのデバッグ

デバッグをオンにして、LDAPユーザとしてログインし、失敗したログインイベントをキャプチャするUCSM techsupportとともに次のログを収集します。

1) FIへのSSHセッションを開き、ローカルユーザとしてログインし、NX-OS CLIコンテキストに変更します。

ucs # connect nxos 

2)次のデバッグフラグを有効にし、SSHセッションの出力をログファイルに保存します。

ucs(nxos)# debug aaa all <<< not required, incase of debugging authentication problems.
ucs(nxos)# debug aaa aaa-requests

ucs(nxos)# debug ldap all <<< not required, incase of debugging authentication problems.
ucs(nxos)# debug ldap aaa-request-lowlevel
ucs(nxos)# debug ldap aaa-request

3)新しいGUIまたはCLIセッションを開き、リモート( LDAP )ユーザとしてログインを試みます
4)ログイン失敗メッセージを受信したら、デバッグをオフにします。

ucs(nxos)# undebug all

LDAPトラフィックのパケットキャプチャ

パケットキャプチャが必要なシナリオでは、Ethanalyzerを使用してFIとLDAPサーバ間のLDAPトラフィックをキャプチャできます。

ucs(nxos)# ethanalyzer local interface mgmt capture-filter "host 
     
     
       " detail limit-captured-frames 0 write /bootflash/sysdebug/diagnostics/test-ldap.pcap 
     

上記のコマンドでは、pcapファイルは/workspace/diagnosticsディレクトリに保存され、local-mgmt CLIコンテキストを介してFIから取得できます

上記のコマンドは、リモート( LDAP 、 TACACS 、 RADIUS )認証トラフィックのパケットをキャプチャするために使用できます。
5. UCSM techsupportバンドルの関連ログ

UCSM techsupportでは、関連するログは<FI>/var/sysmgr/sam_logsディレクトリにあります

httpd.log
svc_sam_dcosAG
svc_sam_pamProxy.log 

NX-OS commands or from <FI>/sw_techsupport log file

ucs-(nxos)# show system internal ldap event-history errors 
ucs-(nxos)# show system internal ldap event-history msgs 
ucs-(nxos)# show log

既知の警告

CSCth96721
samのldapサーバのrootdnは128文字を超える必要があります

2.1より前のUCSMバージョンでは、ベースDN/バインドDN文字列に127文字の制限があります。

http://www.cisco.com/en/US/docs/unified_computing/ucs/sw/cli/config/guide/2.0/b_UCSM_CLI_Configuration_Guide_2_0_chapter_0111.html#task_0FC4E8245C6D4A64B5A1F575DAEC6127

---------以下省略----------
リモートユーザがログインし、システムがユーザ名に基づいてユーザのDNを取得しようとするときに、サーバが検索を開始するLDAP階層内の特定の識別名。サポートされる文字列の最大長は127文字です。
—

この問題は2.1.1以降のリリースで修正されています


CSCuf19514
LDAPデーモンのクラッシュ

ldap_start_tls_sコールが初期化を完了するのに60秒以上かかる場合、sslライブラリの初期化中にLDAPクライアントがクラッシュする可能性があります。これは、無効なDNSエントリ/DNS解決の遅延の場合にのみ発生します。

DNS解決の遅延とエラーに対処するための手順を実行します。