提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

域用户关联不上策略常见案例

|

问题描述

域用户关联不上策略常见案例

解决方案

案例1:TD23906  
问题描述:反馈域用户 yuml 没有关联 企业QQ邮箱 这个策略, 但是, 在域用户看到有关联上这条策略。

排查过程:后台 catkv 命令看了,也能同步到这个用户。这个用户当前所属OU为 董事会办公室。在排查过程中发现这个用户在其他策略里做过排除,显示排除的OU并非目前用户所在的OU而是 战略规划部。询问得知是客户的域里用户所属OU发生了变化

问题分析:使用对象为 所有用户 其实是配置在根组上的策略,而域用户是从其父组继承策略。所有用户的策略,会从上一直往下继承。但是,当ou不正确后,该用户获取不到其父组策略,从而继承不了所有用户的策略。
修复方法:重新配置一下策略是适用对象即可。修正该域用户的ou即可

案例2:TD39508
问题描述:组织结构和上网策略没办法显示OU,导致没办法关联策略
问题原因:客户在修改BaseDN的值时,把OU写成了ou小写的,导致CGI权限比较时字符串比较失败。 修复方法:调整配置,建议baseDN不要手动配置,搜索选中即可

案例3:TD34639
问题描述:客户反馈一个域用户隶属于IT sec这个小组,IT sec这个小组,隶属于Network device那个大组,但是对IT sec和Network device做了策略,在这个用户的策略列表里面没有看到
问题原因:当前用户在上网策略的适用对象选择的是安全组,其中用户forrest.ren的路径为hc.cn/HC_Users/HC_Location/TianJin/IT其所属的安全组路径为hc.cn/HC_Groups/Security_Groups/TianJin/Deny_Access_NetworkDrive_subgroup/Deny_Access_NetworkDrive_IT Sec,
但是原来的LDAP服务器同步时选择的OU路径为hc.cn/HC_Groups/Security_Groups/TianJin/,此路径并不包含用户的路径
修复方法:调整配置,将LDAP服务器的同步路径修改为hc.cn后,用户关联的策略显示正常了

案例4:TD29056
问题描述:上网策略不生效,关联的域用户ou组,但是发现在线的用户不是以这个组在线,是以本地在线的。并且在线列表中,这个ou都不存在
排查过程:从描述的问题现象看, 应该是域用户没有成功同步。检查系统日志发现,ou已经达到上限4500;将ou的上限调整到45000 发现,还是不够, 如果还往上调试对AC的性能会产生影响。 所以要从别的方面着手解决:可以根据客户的需要, 将AD域同步策略 拆分成多个
问题原因:客户域太大, AC同步不过来
修复方法:调整配置,少同步一些用户过来

案例5:201911150145
问题描述:策略有关联域用户,但是在域用户上看到没有应用到这个策略
排查过程:域用户有同步过来,但是就是关联不上。查看发现OU的名称带有特殊符号“+”
在CTI搭环境重现了,确认是不支持“+”号


解决方案:修改OU名称解决


案例6:  (20200512更新)
问题描述:同步ldap用户到域用户不成功,策略应用对象不能选域用户
排查过程:
1、ldap服务器类型为openldap,核对用户过滤属性,组织单位过滤属性都没有问题
2、后台查看域用户缓存文件,以及用catkv命令查看,发现也是通读取到数据的。

3、baseDN搜索,也是可以看到OU信息的。但是域用户没有显示,策略处也不能选域用户


4、通过排查,发现是客户的域架构有两级DC,而baseDN 只填了一层,导致设备解析失败。

解决方案:修改baseDN 设置后问题解决。

案例七:(20200927更新)
问题描述:上网策略关联给了domain user,但是大部分用户都没有关联上这条策略
排查
1、ldap同步没有问题,不存在用户组,OU超限的问题
2、打同步调试日志,发现domain user 组只同步到了5个用户
3、使用第三方的ldap软件,取域用户属性,发现也只有5个
4、根据用户查隶属组,与AD域上的对比
发现也是没有同步到domain user 组的
5、最终排查,定位到是设置了主要组导致。主要组是不带memberof值的
修改主要组为非domain user 后,就能同步到了。
结论:主要组在用户属性里面是不会表现为memberof。所以同步不了

案例八:事件号202010121020
问题:某个OU下的安全组同步不过来
1、查看配置没有问题。打同步日志,显示的确没有同步
2、检查域控的配置,确认OU目录下是有安全组的。
3、重新选择baseDN后,再同步就正常了。
4、对比前后的配置,发现是baseDN填写的大小写不对导致。
OU=mail 这个应该是小写。而先前写成了OU=Mail


案例10:openldap同步用户不成功
1、系统日志提示can not search ldap。sync all ldap policy is error ret=-1
2、安装第三方软件读取域用户属性与过滤 参数对比,未发现有异常
3、打同步调试日志,提示sizelimit exceeded
4、此限制是openldap服务器的限制,需要修改openldap服务器配置解决。如客户不知道怎么改,可以参考下面文档  

案例11:域用户上线到本地组
1、认证策略是单点登录/密码认证,非本地/域用户上线到本地组并录入登录成功的用户。且同时勾选了附加域名后缀为用户名
2、确认域用户已同步到域缓存,但是用户还是上线到了本地组

3、排查发现是客户的域名是大写的,如下图。但是用户上线的用户名带的后缀又是小写。导致匹配不上
【解决方案】
先打KB-AC-20200318-601-001,再打KB-AC-20200318-601-003

案例12:策略关联给域用户,域用户所属OU发生变化后,策略失效
1、确认ldap同步是OK的。设备版本是12.0.40,是支持自动修改OU架构的
2、后台查看日志  /ac/var/log/ldap_policy_check.log  发现有报错

【解决方案】
【KB for 12.0.27】KB-AC-20201205-333-01
【KB for 12.0.13】KB-AC-20201205-333-02
【KB for 12.0.40】KB-AC-20201205-333-03

我要分享
文档编号: 219513
作者: admin
更新时间: 2023-01-05 17:29
适用版本: