Fixe a edição ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS da recuperação do grupo do diretório ativo no Identity Services Engine

Introdução

Este documento descreve como à ação alternativa o problema com recuperação do grupo do diretório ativo (AD) durante a autenticação, quando este erro for considerado em logs vivos:

ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Cisco Identity Services Engine
• Microsoft ative directory

Componentes Utilizados

Este documento não é restringido às versões de software específicas do Identity Services Engine (ISE).

Problema

O problema é que a conta de usuário usada para se juntar ao ISE ao AD não tem privilégios corretos obter tokenGroups. Isto não aconteceria se a conta admin do domínio foi usada para se juntar ao ISE ao AD. Para fixar esta edição, você tem que adicionar nós ISE à conta de usuário e fornecer aquelas permissões aos nós ISE:

• Índices da lista
• Leia todas as propriedades
• Leia permissões

Esta edição é considerada, mesmo que as permissões para o usuário pareçam estar corretas (a verificação contra autenticações ISE 1.3 AD falha com erro: “Insuficiente privilégio buscar os grupos simbólicos”). Aqueles debugam são vistos em ad-agent.log:

28/08/2016 17:23:35,VERBOSE,140693934700288,Error code: 60173 (symbol: LW_ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS),lsass/server/auth-providers/ad-open-provider/provider-main.c:7409
28/08/2016 17:23:35,VERBOSE,140693934700288,Error code: 60173 (symbol: LW_ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS),lsass/server/api/api2.c:2572

Solução

Para fornecer permissões exigidas à conta de usuário, execute aquelas etapas:

1. no AD navegue às propriedades para a conta de usuário AD:

2. Escolha a ABA de segurança e o clique adiciona:

3. Selecione tipos de objeto:

4. Selecione computadores e clique a APROVAÇÃO:

5. Introduza o hostname ISE (VCHRENEK-ISE4 neste exemplo) e clique a APROVAÇÃO:

6. Selecione o nó ISE e clique avançado:

7. Dos ajustes da segurança avançada selecione a conta de máquina ISE e o clique edita:

8. Forneça aquelas permissões à conta de máquina ISE e clique a APROVAÇÃO:

Depois que estas mudanças, grupos AD devem ser recuperadas sem nenhumas edições:

Isto tem que ser executado para todos os usuários e as mudanças devem ser replicated a todos os controladores de domínio no domínio.