Error unable to bind to the ldap server as the root ldap user

Contents

Contents

  • 1 Upgrade Script Check — Validating LDAP configuration
  • 2 Upgrade Script Check — Validating LDAP configuration
    • 2.1 Workaround
    • 2.2 Identified Support/Known Issues

Upgrade Script Check — Validating LDAP configuration

   KB 21525        Last updated on 2020-03-17  

0.00

(0 votes)

Upgrade Script Check — Validating LDAP configuration

In Zimbra Collaboration 8.6 and above, Zimbra implemented a new Upgrade script to check some important functionalities in our system, one of them is check that the password in the LDAP and in the Zimbra system match, if not we will see an error.

The upgrade process will start: 

root@mail:/home/user/zcs-NETWORK-8.6.0_GA_1153.UBUNTU14_64.20141215151218# ./install.sh

Operations logged to /tmp/install.log.32857
Checking for existing installation...
    zimbra-ldap...FOUND zimbra-ldap-8.5.0.GA.3042.UBUNTU14.64
    zimbra-logger...FOUND zimbra-logger-8.5.0.GA.3042.UBUNTU14.64
    zimbra-mta...FOUND zimbra-mta-8.5.0.GA.3042.UBUNTU14.64
    zimbra-dnscache...NOT FOUND
    zimbra-snmp...FOUND zimbra-snmp-8.5.0.GA.3042.UBUNTU14.64
    zimbra-store...FOUND zimbra-store-8.5.0.GA.3042.UBUNTU14.64
    zimbra-apache...FOUND zimbra-apache-8.5.0.GA.3042.UBUNTU14.64
    zimbra-spell...FOUND zimbra-spell-8.5.0.GA.3042.UBUNTU14.64
    zimbra-convertd...FOUND zimbra-convertd-8.5.0.GA.3042.UBUNTU14.64
    zimbra-memcached...FOUND zimbra-memcached-8.5.0.GA.3042.UBUNTU14.64
    zimbra-proxy...FOUND zimbra-proxy-8.5.0.GA.3042.UBUNTU14.64
    zimbra-archiving...FOUND zimbra-archiving-8.5.0.GA.3042.UBUNTU14.64
    zimbra-core...FOUND zimbra-core-8.5.0.GA.3042.UBUNTU14.64
ZCS upgrade from 8.5.0 to 8.6.0 will be performed.

And then the upgrade script with the checks will fail in the LDAP test: 

Validating existing license is not expired and qualifies for upgrade
License is valid and supports this upgrade.  Continuing.
Validating ldap configuration
Error: Unable to bind to the LDAP server as the root LDAP user.
       This is required to upgrade.

* This error is not related to Zimbra, in some point of the time, the password was changed in a wrong way to do it.

Workaround

Note: Please before do this step, or the upgrade step, be sure that you have a strong backup, is always better have:

  • a) Zimbra Backup
  • b) A snapshot in case that you have Virtual Environment
  • c) A Backup in other Storage of your VM, not just the snapshot.

If we have one of the previous points, or all, please continue with this steps.

Like Zimbra user, please stop all your Zimbra services: 

   zmcontrol stop

Like Zimbra user, please run the next command to check the actual password that is stored in Zimbra: 

   zimbra@zimbra-sn-u14-10:~$ zmlocalconfig -s ldap_root_password
   ldap_root_password = Y0uRP4S5w0Rd

Now generate a new secret hash with the password that you have in Zimbra: 

    /opt/zimbra/openldap/sbin/slappasswd -s Y0uRP4S5w0Rd
    {SSHA}SXzTa82PbLST97854mZOp746PBLA2378

Note: From the starting of ZCS v8.7.x, path of «slappasswd» has been changed from «/opt/zimbra/openldap/sbin/slappasswd» to «/opt/zimbra/common/sbin/slappasswd».

Please update the command accordingly if you are doing this step for a system >= ZCS v8.7.x

Keep in mind the line, we will need it soon.

Move to the next directory: 

   cd /opt/zimbra/data/ldap/config/cn=config

Edit the next file (important, we need to have the LDAP service stopped) 

   vi olcDatabase={0}config.ldif

You will see a line like this, please note that the line have double symbol «::» 

   olcRootPW:: e1NTSEE112123gblVeVJ2UjU3UE1512312366jjkj128080as2bDQ5eVgxNXhWSlFPUWhTQmxhQ1d4L1RaNWdsdVRsWWJyRXJDcTA4V0Y0YVRYOE5ma23451wR3A1QytBZUZocEZ1

Then change it for the next line, please pay attention that now need to have only 1 «:» symbol 

   olcRootPw: {SSHA}SXzTa82PbLST97854mZOp746PBLA2378

You did the trick, now just run Zimbra again: 

   zmcontrol start

Try to run again the Upgrade process.

Identified Support/Known Issues

Try Zimbra

Try Zimbra Collaboration with a 60-day free trial.
Get it now »

Want to get involved?

You can contribute in the Community, Wiki, Code, or development of Zimlets.
Find out more. »

Looking for a Video?

Visit our YouTube channel to get the latest webinars, technology news, product overviews, and so much more.
Go to the YouTube channel »

Источник

Содержание

  1. Error unable to bind to the ldap server as the root ldap user
  2. Upgrade Script Check — Validating LDAP configuration
  3. Contents
  4. Upgrade Script Check — Validating LDAP configuration
  5. Workaround
  6. C. Распространённые ошибки при использовании программного обеспечения OpenLDAP

Error unable to bind to the ldap server as the root ldap user

Post by gman » Sun Jan 20, 2019 4:47 pm

Due to some misconfigurations our Ubuntu 14.04LTS system has been updated to Ubuntu 16.04LTS without updating Zimbra first (current version is 8.6).
Now zimbra throws «Segmentation fault» errors.

I’ve downloaded 8.7 and 8.8 but I can not update the current Zimbra setup due to some LDAP problems.
I’m no expert in Zimbra products, so I’d like to ask for detailed information about how should I try to resolve this issue.

This is the output of install.sh:

# ./install.sh —skip-upgrade-check —force-upgrade

Operations logged to /tmp/install.log.PdZ2TIzw
Checking for existing installation.
zimbra-chat. NOT FOUND
zimbra-drive. NOT FOUND
zimbra-suiteplus. NOT FOUND
zimbra-ldap. NOT FOUND
zimbra-logger. FOUND zimbra-logger-8.6.0.GA.1153.UBUNTU14.64
zimbra-mta. FOUND zimbra-mta-8.6.0.GA.1153.UBUNTU14.64
zimbra-dnscache. FOUND zimbra-dnscache-8.6.0.GA.1153.UBUNTU14.64
zimbra-snmp. FOUND zimbra-snmp-8.6.0.GA.1153.UBUNTU14.64
zimbra-store. FOUND zimbra-store-8.6.0.GA.1153.UBUNTU14.64
zimbra-apache. FOUND zimbra-apache-8.6.0.GA.1153.UBUNTU14.64
zimbra-spell. FOUND zimbra-spell-8.6.0.GA.1153.UBUNTU14.64
zimbra-convertd. NOT FOUND
zimbra-memcached. FOUND zimbra-memcached-1:1.4.37-2.u16
zimbra-proxy. FOUND zimbra-proxy-8.6.0.GA.1153.UBUNTU14.64
zimbra-archiving. NOT FOUND
zimbra-core. FOUND zimbra-core-8.6.0.GA.1153.UBUNTU14.64
ZCS upgrade from 8.6.0 to 8.7.11 will be performed.
Checking for existing proxy service in your environment
Error: Unable to contact the LDAP server.

What should I try to resolve this?
Thanks!

Источник

Upgrade Script Check — Validating LDAP configuration

Contents

Upgrade Script Check — Validating LDAP configuration

In Zimbra Collaboration 8.6 and above, Zimbra implemented a new Upgrade script to check some important functionalities in our system, one of them is check that the password in the LDAP and in the Zimbra system match, if not we will see an error.

The upgrade process will start:

And then the upgrade script with the checks will fail in the LDAP test:

* This error is not related to Zimbra, in some point of the time, the password was changed in a wrong way to do it.

Workaround

Note: Please before do this step, or the upgrade step, be sure that you have a strong backup, is always better have:

  • a) Zimbra Backup
  • b) A snapshot in case that you have Virtual Environment
  • c) A Backup in other Storage of your VM, not just the snapshot.

If we have one of the previous points, or all, please continue with this steps.

Like Zimbra user, please stop all your Zimbra services:

Like Zimbra user, please run the next command to check the actual password that is stored in Zimbra:

Now generate a new secret hash with the password that you have in Zimbra:

Note: From the starting of ZCS v8.7.x, path of «slappasswd» has been changed from «/opt/zimbra/openldap/sbin/slappasswd» to «/opt/zimbra/common/sbin/slappasswd».
Please update the command accordingly if you are doing this step for a system >= ZCS v8.7.x

Keep in mind the line, we will need it soon.

Move to the next directory:

Edit the next file (important, we need to have the LDAP service stopped)

You will see a line like this, please note that the line have double symbol «::»

Then change it for the next line, please pay attention that now need to have only 1 «:» symbol

You did the trick, now just run Zimbra again:

Источник

C. Распространённые ошибки при использовании программного обеспечения OpenLDAP

В следующих подразделах предпринята попытка обобщить наиболее распространённые причины ошибок LDAP при использовании OpenLDAP.

Ошибка Can’t contact LDAP server обычно возвращается, когда к серверу LDAP невозможно подключиться. Такое может произойти по многим причинам:

  • Сервер LDAP не запущен; это можно проверить, запустив, например,

заменяя и именем хоста и портом, на котором сервер должен принимать запросы.

  • клиенту не сообщили, как соединиться с работающим сервером; при использовании инструментов командной строки OpenLDAP это достигается путём предоставления параметра -H, аргумент которого — корректный LDAP url, соответствующий интерфейсу, на котором сервер должен принимать запросы.

Ошибка no such object обычно возвращается, когда невозможно найти целевой DN операции. В этом подразделе описаны причины, общие для всех типов операций. Необходимо также искать частные причины для конкретных типов операций (указанных в сообщении об ошибке).

Наиболее распространённой причиной этой ошибки является то, что объекта с таким именем не существует. Прежде всего, проверьте наличие опечаток.

Также имейте в виду, что по умолчанию вновь созданный сервер каталогов не содержит объектов (за исключением нескольких системных записей). Таким образом, если Вы настроили новый сервер каталогов и получили такое сообщение, то это может попросту означать, что Вы еще не добавили объект, который пытаетесь найти.

Обычно такая ошибка возникает, когда при запросе не указан базовый DN поиска, а значение по умолчанию не было корректно настроено.

Если, например, в slapd.conf Вы определили суффикс

то Вам нужно использовать параметр -b

чтобы указать утилите, где начинать поиск.

Параметр -b должен быть указан для всех команд LDAP, если Вы не настроили значение по умолчанию в ldap.conf (5).

Подробнее об этом смотрите в ldapsearch (1), ldapmodify (1).

Кроме того, slapadd (8) и её вспомогательные команды очень строго относятся к синтаксису файла LDIF.

Если в файле LDIF допущены некоторые вольности, то в результате его обработки может создаться видимость успешного создания базы данных, однако доступ к некотором частям этой базы может быть затруднён.

Одна из известнейших распространённых ошибок при создании базы данных — помещение пустой строки перед первой записью в файле LDIF. В начале файла LDIF не должно быть пустых строк.

При добавлении новых записей в каталог в общем случае рекомендуется использовать ldapadd (1) вместо slapadd (8). slapadd (8) нужно использовать для загрузки большого количества записей достоверно правильного формата.

Другой причиной появления этого сообщения может быть запись referral (смотрите Построение распределённой службы каталогов), ссылающаяся на незаполненный каталог.

В таком случае либо удалите эту запись referral, либо добавьте одну запись с базовым DN, на который ссылается referral, в пустой каталог.

Также данная ошибка может возникнуть, если slapd не может получить доступ к своим базам данных из-за проблем с правами на файлы. Например, в системе Red Hat Linux slapd запускается от имени пользователя ‘ldap’. Если при создании базы данных с нуля slapadd был запущен от root, файлы в директории /var/lib/ldap будет созданы с владельцем и группой root и правами 600, делая тем самым содержимое каталога недоступным для сервера slapd.

Причиной этого является строка

в slapd.conf . В оригинальном файле данная строка помещена как пример использования объектов referrals. Однако, если Ваша машина не подключена к Internet постоянно, она не сможет найти этот сервер, и, как следствие, выводит данное сообщение об ошибке.

Чтобы решить эту проблему, просто поместите # в начало данной строки и перезапустите slapd, либо направьте его на доступный сервер LDAP.

Смотрите также ldapadd (1), ldapmodify (1) и slapd.conf (5)

slapd вернёт ошибку unwilling to perform, если механизм манипуляции данными, содержащий целевую запись, не поддерживает запрошенную операцию.

Механизм манипуляции данными password может выполнять только поиски. Он будет возвращать ошибку unwilling to perform для всех остальных операций.

Механизм манипуляции данными shell является настраиваемым и может поддерживать ограниченное подмножество операций. Проверьте также другие ошибки, свидетельствующие о нехватке ресурсов, необходимых для сервера каталогов, например, у Вас может быть переполнен диск и т.п.

Эта ошибка возникает, когда сервер запрещает операцию из-за недостаточных прав доступа. Обычно это происходит из-за подключения от имени DN, не обладающего достаточными привилегиями для выполнения операции (либо анонимного подключения).

Для получения полного доступа Вы можете подсоединиться от имени rootdn/rootpw, указанных в slapd.conf (5). В противном случае, Вы должны выполнять подключение от имени записи, которой предоставлены соответствующие права при настройке контроля доступа.

Целевой (или другой) DN операции является неверным. Это означает, что либо строковое представление DN не соответствует требуемой форме, один из типов в утверждениях значений атрибута не определён, либо одно из значений в утверждениях значений атрибута не соответствует требуемому синтаксису.

Обычно эта ошибка возникает, когда клиент переходит по ссылке на сервер, который в свою очередь возвращает ему ссылку обратно на тот сервер, с которым он уже связывался. Этот сервер вновь отвечает также, как и в прошлый раз, и клиент зацикливается. Зацикливание обнаруживается, когда превышается лимит переходов.

Чаще всего причиной этого является неправильная настройка ссылки по умолчанию сервера. Ссылка по умолчанию не должна указывать на сам сервер, то есть на сервере ldap://myldap/ ссылка по умолчанию не должна указывать на ldap://myldap/ (или любое имя хоста/ip-адрес, эквивалентный myldap).

В некоторых версиях slapd (8), ошибка operationsError выдавалась вместо других.

В результате выполнения операции был возвращен нестандартный код неудачного завершения, свидетельствующий о внутренней ошибке. Возможно, проблему прояснит дополнительная информация, предоставляемая с кодом возврата, однако, скорее всего, придётся просматривать файлы журнала сервера.

Сообщение об этой ошибке поступает, когда значение атрибута не соответствует ограничениям синтаксиса. Обычно в сопутствующей дополнительной информации даётся указание, какое значение и какого именно атрибута определено как неверное. Дважды проверьте это значение и другие значения, поскольку сервер выдаёт сообщение только о первой найденной им ошибке.

Типичные причины возникновения:

  • посторонние пробелы (особенно конечные пробелы);
  • символы в неправильной кодировке (LDAPv3 использует кодировку Unicode UTF-8);
  • пустые значения (лишь немногие синтаксисы позволяют оставлять значения пустыми).

Для некоторых синтаксисов, таких как OBJECT IDENTIFIER (OID), данная ошибка свидетельствует о том, что предоставленный дескриптор («короткое название») OID не распознан. Например, данная ошибка возвращается, если предоставленное значение objectClass не распознано.

Данная ошибка возвращается, когда добавляемая или изменяемая запись нарушает правила схемы объектного класса. Обычно в сопутствующей дополнительной информации данное нарушение детализируется. Ниже приведены некоторые информационные сообщения и описание причин их появления.

Нарушения, связанные с атрибутами записей:

Предоставленный атрибут не разрешён объектным классом (классами) записи.

Атрибут, обязательный для объектного класса (классов) записи, не был предоставлен.

Нарушения, связанные с классом (классами) записи:

В записи не указано, к какому объектному классу она принадлежит.

Одно (или несколько) из перечисленных значений атрибута objectClass не распознано.

Ни одно из перечисленных значений атрибута objectClass не является структурным объектным классом.

Два или более структурных объектных класса в значениях атрибута objectClass не принадлежат одной и той же цепочке структурного объектного класса.

Попытка изменить структурный объектный класс записи в ходе операции модификации.

Абстрактный класс не подчиняется ни одному из перечисленных структурных или вспомогательных классов.

Другая проблема со структурным объектным классом.

Данное сообщение обычно возвращается, когда теневой сервер предоставляет запись, не содержащую операционного атрибута structuralObjectClass.

Имейте в виду, что приведённые выше сообщения об ошибке и их описания предполагают наличие базовых знаний о схемах LDAP/X.500.

Ошибка «ldap_add: No such object» обычно возвращается, когда не существует родительской записи для той записи, которую хотят добавить. Сначала добавьте родительскую запись.

Например, если при добавлении «cn=bob,dc=domain,dc=com» Вы получаете:

похоже, что запись «dc=domain,dc=com» не существует. Проверьте, существует ли она, с помощью ldapsearch:

Если нет, добавьте её. Если нужна помощь, обратитесь к Руководству по быстрому развёртыванию и началу работы.

Примечание: если добавляемая запись совпадает с суффиксом базы данных, наличие родительской записи не требуется. Например, если Ваш суффикс — «dc=domain,dc=com», для добавления «dc=domain,dc=com» не требуется наличия «dc=com».

Также данная ошибка возникает, когда Вы пытаетесь добавить какую-либо запись, на хранение которой Ваш сервер не сконфигурирован.

Например, если суффикс Вашей базы данных — «dc=domain,dc=com» и Вы попытаетесь добавить «dc=domain2,dc=com», «dc=com», «dc=domain,dc=org», «o=domain,c=us», или какой либо другой DN в поддереве «dc=domain,dc=com» (не добавив предварительно саму эту запись), сервер вернёт ошибку «No such object» (либо отсылку).

slapd (8) обычно возвращает «no global superior knowledge» в качестве дополнительной информации, указывая, почему он вернул noSuchObject вместо отсылки. То есть в настройках сервера не было дано информации о глобальном вышестоящем сервере.

Данная ошибка относится к правилу о СТРУКТУРНЫХ объектных классах, которое утверждает, что объект может иметь только один СТРУКТУРНЫЙ класс, структурный класс данного объекта. Говорят, что объект принадлежит этому классу, нулю или более вспомогательным классам и их суперклассам.

Хотя все эти классы обычно перечислены в атрибуте objectClass записи, один из этих классов является структурным объектным классом записи. Таким образом, считается нормальным для атрибута objectClass иметь значения inetOrgPerson, organizationalPerson и person, поскольку они наследуются один от другого в форме одной цепочки суперкласса. То есть, inetOrgPerson наследуется от organizationPerson, который в свою очередь наследуется от person. С другой стороны, неверным будет перечислить в атрибуте objectClass сразу inetOrgPerson и account, поскольку inetOrgPerson и account не являются частью одной и той же цепочки суперкласса (если только вместе с ними не перечислен какой-то другой класс, являющийся подклассом от обоих).

Для решения этой проблемы необходимо определить, какой из классов будет лучше использовать в качестве структурного объектного класса для данной записи, добавить этот класс в атрибут objectClass (если он ещё не добавлен), и убрать из атрибута objectClass записи все остальные структурные классы, не являющиеся суперклассом для данного структурного объектного класса.

Какой объектный класс лучше использовать, зависит от конкретной ситуации. В общем случае, нужно проконсультироваться с документацией по тому приложению, которое использует данный объект из Вашего каталога. Скорее всего, это поможет сделать выбор.

ldapadd(1) может выдать ошибку:

если slapd(8) не может определить на основании содержимого атрибута objectClass, какой должен быть структурный объектный класс.

OpenLDAP slapd проверяет целостность атрибутов именования и отличительных значений в соответствии с RFC4512 (рус.) .

Атрибуты именования — это атрибуты тех типов, которые присутствуют в RDN записи; отличительные значения — это значения атрибутов именования, которые присутствуют в RDN записи, например, в записи

атрибуты именования — cn и mail, а отличительные значения — Someone и someone@example.com.

OpenLDAP slapd проверяет целостность когда:

  • добавляется запись;
  • изменяется запись, если при этом изменяются значения атрибутов именования;
  • переименовывается запись, если при этом изменяется RDN записи.

Возможные причины появления ошибки:

  • атрибуты именования не присутствуют в записи, например:

  • атрибуты именования присутствуют в записи, но те типы атрибутов, которыми они определены, помечены как:
    • коллективные;
    • операционные;
    • устаревшие.
  • атрибуты именования присутствуют в записи, а отличительные значения — нет, например:

  • атрибуты именования присутствуют в записи вместе с отличительными значениями, но атрибуты именования:
    • не имеют поля равенства (equality field), вследствие чего невозможно утверждать равенство;
    • не поддерживают правило соответствия (возможно, пока);
    • не удовлетворяют правилу соответствия.
  • предоставленные отличительные значения не соответствуют установленному для них синтаксису.
  • другие ошибки, возникающие в процессе проверки/нормализации/сравнения; даже если Вам не подошел ни один из описанных выше вариантов, ситуация может проясниться при просмотре файлов журнала.

В любом случае, убедитесь, что определение типа атрибута для атрибута именования содержит соответствующее поле EQUALITY; либо же поле EQUALITY содержит вышестоящий тип атрибута, если определение данного типа атрибута основано на вышестоящем типе (смотрите поле SUP). Подробности можно найти в RFC4512 (рус.) .

Если имя целевой записи указывает, что она должна быть размещена в поддереве, на обслуживание которого не настроена ни одна из баз данных сервера, и, при этом, у сервера нет сведений о глобальной вышестоящей части дерева, сервер покажет, что он не желает выполнять операцию и выдаст «no global superior knowledge» в качестве дополнительного текста.

Возможно, допущена ошибка в имени записи, либо сервер должен хранить записи с таким именем, но был неверно настроен, либо, если каталог распределённый, не была настроена отсылка по умолчанию.

В текущих версиях slapd(8) перед тем, как допустить клиентов к выполнению операции подключения, требуется, чтобы у них были права на аутентификацию к тем типам атрибутов, которые используются в целях аутентификации. Поскольку все операции подключения выполняются анонимно (независимо от предыдущих успешных подключений), пользователю anonymous должны быть предоставлены права доступа auth.

В приведённом ниже примере ACL предоставляются следующие права доступа:

  • анонимным пользователям:
    • права на прохождение аутентификации с использованием значений атрибута userPassword
  • аутентифицированным пользователям:
    • права на обновление (но не чтение) своих собственных значений атрибута userPassword
    • права на чтение любого объекта, за исключением значений атрибута userPassword

Весь остальной доступ запрещён.

Данная ошибка обычно возникает, когда предоставленные учётные данные (пароль) не совпадают с хранимыми в атрибуте userPassword той записи, от имени которой Вы пытаетесь подключиться.

Также данная ошибка может возникнуть, когда указанный при подключении DN неизвестен тому серверу, к которому Вы пытаетесь подключиться.

Проверьте и то, и другое! Кроме двух вышеуказанных причин, проверьте также, не запрещён ли доступ к атрибутам userPassword в выбранной части каталога. Фактически, slapd всегда возвращает «Invalid credentials» в случае неудачной попытки подключения, независимо от причины неудачи, поскольку другие коды возврата могут помочь злоумышленнику выяснить, правильное ли имя пользователя он предоставляет.

Для отладки правил доступа, определённых в slapd.conf, добавьте уровень журналирования «ACL».

Данная ошибка обычно возникает, когда запрашиваемая клиентом версия LDAP не поддерживается сервером.

Сервер OpenLDAP 2.x по умолчанию принимает запросы на подсоединение только LDAP версии 3, но может быть настроен для приёма запросов на подсоединение LDAP версии 2.

Примечание: если клиент запрашивает 3-ю версию протокола, сервер OpenLDAP 2.x ожидает, что будет использоваться LDAPv3 [RFC4510], если же запрашивается 2-я версия протокола, сервер ожидает, что будет использоваться ограниченный вариант LDAPv3 (в основном, синтаксис и семантика LDAPv3 в PDU LDAPv2).

Данный вариант также иногда называется LDAPv2+. Он отличается от U-Mich варианта LDAP в ряде направлений.

Данное сообщение обычно возвращается, когда предпринята попытка изменения атрибута objectClass способом, несовместимым с информационной моделью LDAP/X.500. На практике, такая ошибка обычно возникает, когда кто-то пытается изменить структуру объекта с одного класса на другой, например, пытается поменять ‘яблоко’ на ‘грушу’ или ‘фрукт’ на ‘грушу’.

slapd(8) не допускает такие изменения в соответствии с ограничениями LDAP и X.500.

Если Вы хотели подсоединиться, используя DN и пароль, и получили ошибку из семейства ldap_sasl_interactive_bind_s, возможно, Вы просто забыли указать команде аргумент ‘-x’. По умолчанию используется SASL-аутентификация. Для выбора простой («simple») аутентификации требуется аргумент ‘-x’.

Данное сообщение указывает на то, что функция SASL-аутентификации LDAP не может прочитать Root DSE. Эта ошибка возникает, когда сервер не предоставляет root DSE. Такое может происходить из-за ограничений контроля доступа.

Данное сообщение указывает на то, что функция SASL-аутентификации LDAP может прочитать Root DSE, но эта запись не содержит атрибута supportedSASLMechanism.

В атрибуте supportedSASLmechanism перечисляются механизмы, доступные в настоящее время. Данный список может быть пустым, если ни один из поддерживаемых механизмов в данный момент не доступен. Например, EXTERNAL перечисляется, только если клиент установил свою идентичность с помощью аутентификации на более низком уровне (например, TLS).

Примечание: данный атрибут может быть невидим из-за ограничений контроля доступа

Примечание: подсоединение с использованием SASL применяется по умолчанию для всех инструментов OpenLDAP, таких как ldapsearch(1), ldapmodify(1). Чтобы принудительно использовать подсоединение «simple», воспользуйтесь аргументом «-x». Использование подсоединения «simple» не рекомендовано, если не предприняты адекватные меры по защите конфиденциальности (такие, как TLS/SSL, IPSEC).

Данное сообщение указывает, что ни один из поддерживаемых сервером механизмов аутентификации SASL не поддерживается клиентом, либо они слишком слабы, либо по иной причине не подходят для использования клиентом. Имейте в виду, что параметры безопасности по умолчанию запрещают использование определённых механизмов, таких как ANONYMOUS и PLAIN (без TLS).

Примечание: подсоединение с использованием SASL применяется по умолчанию для всех инструментов OpenLDAP, таких как ldapsearch(1), ldapmodify(1). Чтобы принудительно использовать подсоединение «simple», воспользуйтесь аргументом «-x». Использование подсоединения «simple» не рекомендовано, если не предприняты адекватные меры по защите конфиденциальности (такие, как TLS/SSL, IPSEC).

Возможная причина возникновения этой ошибки — отсутствие прямой и обратной записи DNS для сервера LDAP.

Данная ошибка возвращается, если при ответе на поисковый запрос LDAPv2 сервер возвращает сразу и результаты (ноль или более совпавших записей), и ссылки (отсылки на другие серверы). Смотрите также ldapsearch(1).

Если при операции обновления реплики на ней не существует записи, которую требуется обновить (updatedn), будет возвращена отсылка. Также это может произойти, если ACL требует корректировки.

ldapsearch(1) и другие инструменты возвращают

когда пользователь (с помощью аргументов командной строки и/или файла ldap.conf(5)) запрашивает второй раз запустить TLS (SSL). Например, когда указываются сразу и «-H ldaps://server.do.main» и «-ZZ».

Данная ошибка slapd обычно указывает на то, что клиент отправил сообщение, превысившее административное ограничение. Смотрите директивы конфигурации sockbuf_max_incoming и sockbuf_max_incoming_auth в slapd.conf(5).

Это сообщение не указывает на ненормальное поведение или ошибку. Оно просто означает, что ожидаемые данные еще не доступны из запрошенного ресурса, в запрошенном контексте, либо из запрошенного сетевого сокета. slapd(8) обработает данные, как только они станут доступны.

Это сообщение указывает на то, что операционная система не поддерживает одно из семейств адресов (протоколов), на поддержку которого настроен slapd(8). Чаще всего это происходит, когда slapd(8) настраивался на поддержку IPv6, а ядро операционной системы — нет. В таких случаях данное сообщение можно проигнорировать.

Это сообщение означает, что slapd был запущен не с правами root, и поэтому не может получить свой ключ Kerberos 5 из keytab, обычно файл /etc/krb5.keytab.

Файл keytab используется для хранения ключей, которые требуются сервисам и демонам, запускающимся во время загрузки. Очень важно хранить эти секретные сведения вне досягаемости злоумышленников.

Поэтому по умолчанию владельцем файла keytab является root, а для всех остальных чтение этого файла не разрешено. Не следует ослаблять эти ограничения на права. Вместо этого создайте другой файл keytab для slapd и убедитесь, что владельцем его является тот пользователь, с правами которого запускается slapd.

Чтобы это сделать, запустите kadmin и введите следующие команды:

Затем, перейдя в оболочку, сделайте:

Теперь нужно сообщить slapd (ну, на самом деле сообщить библиотеке gssapi Kerberos 5, вызываемой Cyrus SASL), где найти новый keytab. Сделайте это путём задания переменной окружения KRB5_KTNAME примерно так:

Задайте эту переменную окружения в скрипте запуска slapd (на Red Hat лучше задать её в более подходящем месте /etc/sysconfig/ldap).

Всё это работает, только если Вы используете MIT kerberos. Это не будет работать, к примеру, с Heimdal.

В Heimdal есть функция gsskrb5_register_acceptor_identity(), устанавливающая путь к файлу keytab, который Вы хотите использовать. В Cyrus SASL 2 для использования данной функции Вы можете добавить

в конфигурационный файл SASL Вашего приложения. Это работает только с Heimdal.

Появление сообщения «access from unknown denied» в файле журнала связано с TCP wrappers. Дополнительную информацию смотрите в hosts_access(5). Чтобы избавиться от этой ошибки, Вы можете, например, добавить строку «slapd: .hosts.you.want.to.allow» в /etc/hosts.allow.

Появление данного сообщения является нормальным. Это означает, что необходимые данные еще не доступны из запрошенного ресурса, либо из запрошенного сетевого сокета. slapd(8) обработает данные, как только они станут доступны.

Иногда `make test’ завершается неудачей на самых ранних тестах с невразумительным сообщением вроде такого:

Обычно, пять строк:

Waiting 5 seconds for slapd to start.

указывают на то, что slapd вообще не запустился.

В tests/testrun/slapd.1.log есть полный отчёт о том, что выдавал slapd во время попыток запуска. Уровень журналирования может быть повышен путём задания переменной окружения SLAPD_DEBUG в соответствующее значение; о том, что означают различные уровни журналирования, смотрите loglevel в slapd.conf(5).

Типичная причина такого поведения — проблема компоновки времени исполнения, то есть slapd не может найти некоторые динамические библиотеки, для работы с которыми он скомпонован. Попробуйте запустить ldd(1) на slapd (для тех архитектур, которые поддерживают компоновку времени исполнения).

Также могут быть и другие причины; содержимое файла журнала должно прояснить их.

Тесты, запускающие сразу несколько экземпляров slapd обычно помещают отчёты в tests/testrun/slapd. .log, с различным для каждого экземпляра slapd; такие тесты просматривают tests/testrun/ для назначения возможного значения .

Возможно, это связано с неправильной принадлежностью директории BDB (/var/lib/ldap) и файлов в ней. Эти файлы должны принадлежать пользователю, с правами которого запускается slapd.

устраняет данную ошибку в Debian.

При использовании SASL, когда клиент соединяется с сервером LDAP, сервис slapd немедленно аварийно завершает работу и клиент получает сообщение об ошибке:

Если проверить сервис slapd, он окажется остановленным.

Это может произойти из-за использования различных несовместимых между собой версий BerkeleyDB при установке SASL и установке OpenLDAP. Проблема возникает при использовании нескольких версий BerkeleyDB. Решение: проверьте, какая версия BerkeleyDB использовалась при установке Cyrus SASL.

Переустановите OpenLDAP с нужной версией BerkeleyDB.

Источник

Adblock
detector

KB 21525 Last updated on 2020-03-17 Last updated by Heera Singh Koranga
Источник

  1. Angry Difficulties installing zimbra open source onto 14.04

    Hey guys, last night, I was installing zimbra open source onto ubuntu 14.04. I was doing the install, then realized I forgot to set something that was required, so I ctrl-C’d out of the install, fixed it, uninstalled the packages that had been installed (just zimbra-core at that point), and then ran the install again. This time, though, when I run the install, I get this:

    sudo ./install.sh

    Operations logged to /tmp/install.log.1262
    Checking for existing installation…
    zimbra-ldap…NOT FOUND
    zimbra-logger…NOT FOUND
    zimbra-mta…NOT FOUND
    zimbra-dnscache…NOT FOUND
    zimbra-snmp…NOT FOUND
    zimbra-store…NOT FOUND
    zimbra-apache…NOT FOUND
    zimbra-spell…NOT FOUND
    zimbra-convertd…NOT FOUND
    zimbra-memcached…NOT FOUND
    zimbra-proxy…NOT FOUND
    zimbra-archiving…NOT FOUND
    zimbra-core…FOUND zimbra-core-8.6.0.GA.1153.UBUNTU14.64
    ZCS upgrade from 8.6.0 to 8.6.0 will be performed.
    Validating ldap configuration
    Can’t locate Net/LDAP.pm in @INC (you may need to install the Net::LDAP module) (@INC contains: /opt/zimbra/zimbramon/lib /etc/perl /usr/local/lib/perl/5.18.2 /usr/local/share/perl/5.18.2 /usr/lib/perl5 /usr/share/perl5 /usr/lib/perl/5.18 /usr/share/perl/5.18 /usr/local/lib/site_perl .) at bin/zmValidateLdap.pl line 23.
    BEGIN failed—compilation aborted at bin/zmValidateLdap.pl line 23.
    Error: Unable to bind to the LDAP server as the root LDAP user.
    This is required to upgrade.
    gabriel@gabriel-desktop:~/Desktop/zc…GA_1153.UBUNTU14_64.20141215151116$ sudo ./install.sh -u

    Operations logged to /tmp/install.log.1398
    Checking for existing installation…
    zimbra-ldap…NOT FOUND
    zimbra-logger…NOT FOUND
    zimbra-mta…NOT FOUND
    zimbra-dnscache…NOT FOUND
    zimbra-snmp…NOT FOUND
    zimbra-store…NOT FOUND
    zimbra-apache…NOT FOUND
    zimbra-spell…NOT FOUND
    zimbra-convertd…NOT FOUND
    zimbra-memcached…NOT FOUND
    zimbra-proxy…NOT FOUND
    zimbra-archiving…NOT FOUND
    zimbra-core…FOUND zimbra-core-8.6.0.GA.1153.UBUNTU14.64

    Saving existing configuration file to /opt/zimbra/.saveconfig

    Completely remove existing installation? [N] y

    Shutting down zimbra mail

    Removing existing packages

    zimbra-core…done

    Removing deployed webapp directories

    Removing /opt/zimbra
    Removing zimbra crontab entry…done.
    Cleaning up zimbra init scripts…done.
    Cleaning up /etc/ld.so.conf…done.
    Cleaning up /etc/security/limits.conf…done.

    Finished removing Zimbra Collaboration Server.

    gabriel@gabriel-desktop:~/Desktop/zc…GA_1153.UBUNTU14_64.20141215151116$ sudo ./install.sh

    Operations logged to /tmp/install.log.1557
    Checking for existing installation…
    zimbra-ldap…NOT FOUND
    zimbra-logger…NOT FOUND
    zimbra-mta…NOT FOUND
    zimbra-dnscache…NOT FOUND
    zimbra-snmp…NOT FOUND
    zimbra-store…NOT FOUND
    zimbra-apache…NOT FOUND
    zimbra-spell…NOT FOUND
    zimbra-convertd…NOT FOUND
    zimbra-memcached…NOT FOUND
    zimbra-proxy…NOT FOUND
    zimbra-archiving…NOT FOUND
    zimbra-core…FOUND zimbra-core-8.6.0.GA.1153.UBUNTU14.64
    ZCS upgrade from 8.6.0 to 8.6.0 will be performed.
    Validating ldap configuration
    Can’t locate Net/LDAP.pm in @INC (you may need to install the Net::LDAP module) (@INC contains: /opt/zimbra/zimbramon/lib /etc/perl /usr/local/lib/perl/5.18.2 /usr/local/share/perl/5.18.2 /usr/lib/perl5 /usr/share/perl5 /usr/lib/perl/5.18 /usr/share/perl/5.18 /usr/local/lib/site_perl .) at bin/zmValidateLdap.pl line 23.
    BEGIN failed—compilation aborted at bin/zmValidateLdap.pl line 23.
    Error: Unable to bind to the LDAP server as the root LDAP user.
    This is required to upgrade.

    So it looks like zimbra core hasn’t been installed, so I ran ./install.sh -u, and I get this every time I do:

    sudo ./install.sh -u

    Operations logged to /tmp/install.log.2450
    Checking for existing installation…
    zimbra-ldap…NOT FOUND
    zimbra-logger…NOT FOUND
    zimbra-mta…NOT FOUND
    zimbra-dnscache…NOT FOUND
    zimbra-snmp…NOT FOUND
    zimbra-store…NOT FOUND
    zimbra-apache…NOT FOUND
    zimbra-spell…NOT FOUND
    zimbra-convertd…NOT FOUND
    zimbra-memcached…NOT FOUND
    zimbra-proxy…NOT FOUND
    zimbra-archiving…NOT FOUND
    zimbra-core…FOUND zimbra-core-8.6.0.GA.1153.UBUNTU14.64

    Saving existing configuration file to /opt/zimbra/.saveconfig

    Completely remove existing installation? [N] y

    Shutting down zimbra mail

    Removing existing packages

    zimbra-core…done

    Removing deployed webapp directories

    Removing /opt/zimbra
    Removing zimbra crontab entry…done.
    Cleaning up zimbra init scripts…done.
    Cleaning up /etc/ld.so.conf…done.
    Cleaning up /etc/security/limits.conf…done.

    Finished removing Zimbra Collaboration Server.

    So, it looks like it either won’t uninstall correctly, or it thinks that core is still installed when it isn’t……

    Any help with this is much appreciated!!

    (Also, I’m new to this site, so if this is in the wrong place, sorry!)

    Last edited by gabriel64; January 12th, 2016 at 04:58 PM.

    Reason: Edit: I fixed the issue! I just had to force reinstall it from dpkg

Источник

Website Documentation for your KeePass client and Pleasant Password Server

(Version 7+)

Problems Binding to the Directory Server or Logging in with a Directory user.

Summary

Most often the problem is with the credential’s username/password or the account used to connect to the LDAP/AD directory. However, other aspects involved in creating a connection are:

  • Username/Password, account problems
  • Network/Port problems
  • Domain Controller connection problems
  • Restarting Service / Server
  • Certificate problems

Troubleshooting steps

  1. Increase Logging details

    • Follow instructions for viewing logs (Server & Web) here: increase logging details

      • What is showing in your logs after increasing the logging detail and trying again?

      • Don’t forget to change the logging levels back again once you are done Troubleshooting

  2. Directory Credentials are Not Valid

    • Check the accounts used to A) Connect to the Directory Server, or, B) Run the Password Server service.
      • It may be helpful to reset the password and unlock the account.
      • Other checks:
        • Was the account/password modified?
        • Has the account locked, expired? Is it active?

        • Were privileges of the account changed?

    • Use an administrative account that has sufficient privileges needed for importing users and has access to all the groups Password Server uses

    • Also try another tool to test your Directory Credentials (step 7)
       
  3. Reboot Domain Controllers

  4. Username Format

    • Double-check the possible formats available on the import / login pages. Some formats may not be available to your directory type. Attempt to connect with different username format.

  5. Restart Pleasant Password Server Service

    • Sometimes just restarting the Pleasant Password Server Service may be all that’s needed:

  6. (LDAP) Unique Directory Id

    • This attribute should match what is found on the LDAP Directory Server

  7. Change the Directory Host

    • There may be problems connecting to a domain controller
    • Try changing the Directory Host, for example, to: «YourDomain.com» (preferred method)
      • This allows the Domain Controllers to failover, and direct traffic to a controller that is not busy.
    • You can also try to use:
      • address of the primary controller / global catalog
      • IP Address
      • Hostname

    • (see also step 7 — DCdiag tool)

  8. Certificate Problems

    • There may be a problem with the certificate, certificate chain, or the trust of the certificate(s).

      • Test by unchecking «Use SSL» on settings for your directory. If you are able to connect, there is likely a problem with the certificate.
      • Make sure the Host name set in Password Server exactly matches the corresponding string in the Certificate
      • If you are using a self-signed Certificate for AD/LDAP, add this certificate into the Password Server’s «Trusted Root Authorities» on the Local Computer certificate store.
      • Install the Intermediate and/or Root certificate for the Password Server machine onto AD/LDAP machine(s). This allows AD/LDAP to trust the connection.
      • Check for other Certificate Problems
      • (Azure AD) Hosting AD on Azure: only supports LDAPS on port 636
      • (LDAP) Try binding with the LDAP Admin tool on your Password Server machine, which returns comprehensive certificate warnings and errors.

  9. Test LDAP/AD Connection with another Tool

    • Can you see your AD/LDAP server from the Password Server?

      • A) Test connections to each Domain Controller with a ping

      • B) Ensure Directory services are started

      • C) Test connection with a tool such as: LDP, Softerra LDAP Browser, LDAP Admin, PortQry, or Active Directory (AD) Explorer 

        • https://petri.com/test-connectivity-to-an-active-directory-domain-controller-from-pc

        • This can let you know if it is a problem with A) your network, B) with AD/LDAP, C) with your username/pwd, or D) with your Password Server configuration, or E) with a Domain Controller

      • D) Diagnose DNS Health with the DCdiag tool:

        •  For all DNS Servers (verbose)

          • DCdiag /Test:DNS /e /v > DNShealth.txt

        • On only a selected Domain (verbose)

          •  DCdiag /Test:DNS /e /v /S:yourdomain> DNShealth.txt

        • Read the output file from the bottom up, checking for failures

        • Also see: more advanced diagnostics

  10. Administrative checks
    • Restart services and server
    • Reboot Domain Controller

    • Check correct server date/time

Otherwise, if you are still experiencing problems, please forward your detailed logs to us at Support.

Источник

Понравилась статья? Поделить с друзьями:
  • Error unable to access steam workshop tmodloader
  • Error unable to access jarfile перевод
  • Error unable to access jarfile zenzefi jar
  • Error unable to access jarfile vimeworld
  • Error unable to access jarfile unluac jar