Asunto:
Consejos para configurar la integración de Active Directory en InfraStruXure Central / StruxureWare DCE

Línea de productos
StruxureWare Data Center Expert (DCE) StruxureWare Central (SWC)
InfraStruXure Central (ISXC)

Entorno:
Integración de directorio activo.

Causa:
La integración de directorio activo puede tener algunas opciones de configuración que pueden o no funcionar bien con Data Center Expert. La siguiente información son algunos ejemplos de cómo DCE y el directorio activo pueden trabajar mejor juntos.

Resolución:

Data Center Expert soporta oficialmente dos suites de software para la autenticación remota: Active Directory y OpenLDAP. Aunque otras suites de autenticación remota basadas en LDAP pueden funcionar, APC no las prueba ni las admite.Se espera que el usuario final comprenda las metodologías y matices del protocolo de conexión dentro de su red. Schneider Electric sólo puede proporcionar información que indique que el protocolo ha sido verificado y probado utilizando Active Directory y OpenLDAP sin problemas.

1. Base de búsqueda demasiado grande:

Síntoma: Sólo algunos de los usuarios seleccionados pueden iniciar sesión, o la vinculación durante la configuración tarda demasiado y produce un error / pantalla de selección en blanco. Pueden aparecer mensajes de error relacionados en el archivo nbc.xml.

Síntoma: La base de búsqueda es demasiado grande.

Hacemos pruebas con bases de búsqueda de Active Directory de hasta 10.000 objetos (incluyendo usuarios, grupos, etc...). Si su base de búsqueda excede esto, usted max experimenta los síntomas antedichos. En general, recomendamos la creación de bases de búsqueda más pequeñas y mejor definidas. Múltiples entradas de enlace pueden ser configuradas en ISX Central, cada entrada enlazando a una base de búsqueda completamente diferente pero aislada. Es común crear una instancia de enlace para sus cuentas de administrador, y otra para sus usuarios generales, ya que estos dos tipos diferentes de cuentas de usuario es probable que existan en muy diferentes ubicaciones jerárquicas dentro de Active Directory.

2. Sintaxis:

El DN de usuario vinculado, la contraseña vinculada y la base de búsqueda deben introducirse con la sintaxis adecuada. Estos campos distinguen entre mayúsculas y minúsculas y deben coincidir con la forma en que se creó la estructura de Active Directory. Los siguientes son ejemplos de la sintaxis y estructura adecuadas. Tenga en cuenta que Bind User DN es el usuario real (bind-user) que puede buscar en la base de datos y el resto de la ruta es donde se le puede encontrar. Bind password es la contraseña de ese usuario. Search Base es donde residen los usuarios que quieres añadir :

DN de Usuario Bind: cn=bind-user,cn=Users,dc=techlab,dc=apcc,dc=com

Base de Busqueda: dc=techlab,dc=apcc,dc=com

Si utiliza Active Directory en un servidor Windows 2003 o posterior, debería poder hacer clic con el botón derecho del ratón en la OU para la que desea la sintaxis y, a continuación, seleccionar 'Todas las tareas', seguido de 'Conjunto resultante de directivas.

Esto no funciona con todas las versiones de Active Directory.

NOTA: Similar al problema #1 de tener una base de búsqueda demasiado grande, el subdominio 'techlab' es un grupo muy pequeño de usuarios. Si fuéramos a enlazar a todo el dominio apcc.com, nos encontraríamos con problemas con una base de búsqueda que es demasiado grande.

3. Nombre de usuario anterior a Windows 2000:

Asegúrese de que está utilizando el nombre de usuario pre-Windows 2000 (que se encuentra en las propiedades del objeto de usuario dentro de Active Directory), que puede ser ligeramente diferente sintaxis que el nombre de usuario estándar que se utiliza para iniciar sesión en un sistema Windows sobre una base diaria. Data Center Expert también distingue entre mayúsculas y minúsculas en lo que respecta a su nombre de usuario, a diferencia de Windows que normalmente ignora las mayúsculas en un nombre de usuario. Además, si hay un espacio en un nombre de usuario, es posible que desee probar a introducir ese nombre entre comillas. Por ejemplo, en lugar de John Smith, utilice "John Smith".

4. Tipo de grupo:

Si añade grupos de usuarios desde Active Directory en lugar de objetos de usuario individuales, asegúrese de que el grupo de Active Directory NO es un grupo global. Los miembros de grupos globales no pueden iniciar sesión en Data Center Expert. Cambiar el tipo de grupo en Active Directory a Universal resolverá este problema. Más específicamente, si el usuario y el grupo no residen en la misma base de búsqueda, Data Center Expert no verá al usuario.

5. Caracteres especiales:

Hemos visto que los objetos de Active Directory que comienzan con # pueden causar problemas con Data Center Expert para analizar la base de búsqueda de AD. Si esto ocurre, verá un error que indica 'Atributo no válido.' Normalmente, la vinculación a una Base de Búsqueda de un contenedor superior al que contiene el objeto que empieza por '#' resolverá este problema. Sin embargo, no podrá seleccionar ningún objeto AD dentro del contenedor que también contiene el objeto '#'.

6: Usuarios protegidos:

Windows 8.1 y Windows Server 2012 R2 tienen un grupo llamado "Usuarios protegidos". A partir de StruxureWare DCE 7.4.1, si se añade un usuario que también es miembro de este grupo, la autenticación fallará. Estamos estudiando esta posibilidad para una futura versión, pero actualmente, un usuario añadido a DCE no puede ser miembro de este grupo.

7. LDAP seguro sobre SSL o LDAPS

DCE NO admite certificados comodín.

Al realizar modificaciones en el enlace, se recomienda eliminar toda la entrada en servidores de autenticación y volver a crearla en lugar de editar un enlace existente.

Asegúrese de que el nombre de host de Data Center Expert coincide completamente con el nombre común del certificado. Si no coinciden en ningún aspecto, el enlace fallará.

Asegúrese de descargar e importar una versión base64 del certificado del controlador de dominio.

Asegúrese de que los usuarios de DCE remoto inician sesión con la distinción entre mayúsculas y minúsculas que se muestra en sus objetos AD/LDAP.

Asegúrese de que los usuarios de DCE remoto inician sesión con la distinción entre mayúsculas y minúsculas que se muestra en sus objetos AD/LDAP.

Publicado para: Schneider Electric Mexico