修正Identity Services引擎上的Active Directory群組擷取問題ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS
簡介
本文檔介紹如何在身份驗證期間解決Active Directory (AD)組檢索問題，而即時日誌中會顯示此錯誤：
ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS
必要條件
需求
思科建議您瞭解以下主題：
- 思科身分辨識服務引擎
- Microsoft Active Directory
採用元件
本文檔不限於身份服務引擎(ISE)的特定軟體版本。
問題
問題在於用於將ISE加入AD的使用者帳戶沒有獲取tokenGroups的正確許可權。如果使用域管理員帳戶將ISE加入AD，則不會發生這種情況。若要解決此問題，您必須將ISE節點增加到使用者帳戶，並將這些許可權提供給ISE節點：
- 清單內容
- 讀取所有屬性
- 讀取許可權
即使使用者的許可權似乎正確(請檢查ISE 1.3 AD身份驗證失敗並出現錯誤：「Insufficient Privilege to Fetch Token Groups」)，也會出現此問題。這些調試在ad-agent.log中顯示：
28/08/2016 17:23:35,VERBOSE,140693934700288,Error code: 60173 (symbol: LW_ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS),lsass/server/auth-providers/ad-open-provider/provider-main.c:7409 28/08/2016 17:23:35,VERBOSE,140693934700288,Error code: 60173 (symbol: LW_ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS),lsass/server/api/api2.c:2572
解決方案
若要提供使用者帳戶的必要許可權，請執行下列步驟：
1. 在AD上，導航到AD使用者帳戶的屬性：
2. 選擇安全性標籤，然後按一下增加：
3. 選取物件型別：
4. 選擇電腦，然後按一下確定：
5. 插入ISE主機名（在本示例中為VCHRENEK-ISE4）並按一下OK：
6. 選擇ISE節點並按一下Advanced：
7. 從「高級安全設定」中選擇ISE電腦帳戶並按一下編輯：
8. 向ISE電腦帳戶提供這些許可權，然後按一下OK：
完成這些變更後，應擷取AD群組而不會有任何問題：
必須對所有使用者執行此操作，並且應將更改複製到域中的所有域控制器。
修訂記錄
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
1.0 |
24-Oct-2016 |
初始版本 |
意見