Dépannage de l'intégration LDAP
Diagnostiquez et résolvez les problèmes courants de configuration et de synchronisation LDAP pour IBM Bob on-premises.
Utilisez le tableau suivant pour diagnostiquer et résoudre les problèmes courants de configuration et de synchronisation LDAP.
Dépannage
| Symptôme | Cause possible et résolution |
|---|---|
LDAPReachable est False | Le cluster ne peut pas se connecter au serveur LDAP. Vérifiez la valeur de connectionUrl et confirmez que le serveur LDAP est accessible depuis le cluster sur le port requis (389 pour LDAP ou 636 pour LDAPS). Vérifiez les NetworkPolicies, les pare-feu et la résolution DNS. |
LDAPAuthenticated est False | Le bindDn ou le mot de passe de liaison configuré est incorrect. Vérifiez les identifiants et réappliquez la configuration. |
LDAPUserSyncSucceeded est False | La synchronisation des utilisateurs a échoué ou a dépassé le délai d'attente. Vérifiez les valeurs usersDn et customUserSearchFilter. Pour les annuaires volumineux, augmentez la valeur BOB_IDP_WAIT_TIMEOUT et réessayez l'opération. |
| Erreurs TLS lors de la connexion au serveur LDAP | Le certificat CA est manquant, invalide ou ne correspond pas au certificat du serveur LDAP. Vérifiez le certificat et recréez le ldapsCACertSecret si nécessaire. |
| Les utilisateurs LDAP peuvent s'authentifier mais ne peuvent pas accéder à Bob | Les rôles utilisateur sont attribués via le provisionnement SCIM. Confirmez que la connexion s'est terminée avec succès et attendez jusqu'à cinq minutes que le provisionnement se termine. |
| L'utilisateur administrateur ne dispose pas des privilèges d'administrateur | Vérifiez que l'utilisateur appartient au groupe d'administrateurs LDAP mappé via groupMapper. Vous pouvez également ajouter l'utilisateur manuellement au groupe bob-admins dans la console Keycloak. |
| Les utilisateurs Keycloak directs ne peuvent pas se connecter | Le compte utilisateur est peut-être désactivé ou ne dispose pas d'identifiants. Ouvrez la fiche de l'utilisateur dans la console d'administration Keycloak et vérifiez l'état du compte ainsi que les identifiants. |
| Les groupes LDAP n'apparaissent pas dans Keycloak | Vérifiez que groupMapper.groupsDn fait référence au bon emplacement LDAP et que les entrées de groupe contiennent les groupObjectClasses configurées. |
| Les appartenances aux groupes des utilisateurs ne sont pas résolues | Vérifiez que les attributs d'appartenance aux groupes sont renseignés dans l'annuaire LDAP. Selon votre configuration, il peut s'agir de l'attribut member du groupe ou de l'attribut memberOf de l'utilisateur. |
| Un utilisateur LDAP nouvellement ajouté n'apparaît pas dans Bob | Le provisionnement SCIM a peut-être échoué. Vérifiez que les pods bob-admin sont en cours d'exécution, confirmez que la ressource BobIDP indique Ready: True, et demandez à l'utilisateur de tenter une première connexion pour déclencher le provisionnement. |
| L'interface d'administration de Bob affiche "Client not found" | Le domaine de messagerie de l'utilisateur n'est pas inclus dans le champ domains de la ressource BobIDP. Mettez à jour la configuration et réexécutez bobctl configure-idp. |
| Un utilisateur supprimé du LDAP a toujours accès à Bob | L'événement de déprovisionnement SCIM n'a pas été traité. Examinez les journaux de bob-admin, vérifiez que le plugin SCIM de Keycloak fonctionne correctement et, si nécessaire, supprimez manuellement l'utilisateur du realm bob dans Keycloak. |
Collecte d'informations de diagnostic
Si vous devez effectuer des dépannages supplémentaires ou ouvrir un dossier de support, collectez l'état du fournisseur et les journaux pertinents.
# Statut de la CR IDP
oc get bobidp bob-idp -n <instance-namespace> -o yaml > bobidp-status.yaml
# Journaux de l'opérateur
oc logs -n <operator-namespace> deployment/ibm-bob-operator --tail=500 > operator.log
# Journaux Keycloak (les erreurs de connexion et d'authentification LDAP apparaissent ici)
oc logs -n <instance-namespace> -l app=keycloak --tail=500 > keycloak.logExaminez les fichiers collectés pour identifier d'éventuelles erreurs avant de contacter le support, et joignez-les à toute demande de support pour accélérer la résolution du problème.
Comment trouvez-vous ce sujet ?