Pemecahan masalah integrasi LDAP
Diagnosa dan selesaikan masalah konfigurasi dan sinkronisasi LDAP yang umum untuk IBM Bob self-hosted.
Gunakan tabel berikut untuk mendiagnosis dan menyelesaikan masalah konfigurasi dan sinkronisasi LDAP yang umum.
Pemecahan masalah
| Gejala | Kemungkinan penyebab dan solusi |
|---|---|
LDAPReachable bernilai False | Cluster tidak dapat terhubung ke server LDAP. Verifikasi nilai connectionUrl dan konfirmasi bahwa server LDAP dapat dijangkau dari cluster pada port yang diperlukan (389 untuk LDAP atau 636 untuk LDAPS). Periksa network policy, firewall, dan resolusi DNS. |
LDAPAuthenticated bernilai False | bindDn yang dikonfigurasi atau kata sandi bind tidak benar. Verifikasi kredensial dan terapkan ulang konfigurasi. |
LDAPUserSyncSucceeded bernilai False | Sinkronisasi pengguna gagal atau timeout. Verifikasi nilai usersDn dan customUserSearchFilter. Untuk direktori besar, tingkatkan nilai BOB_IDP_WAIT_TIMEOUT dan coba lagi operasi. |
| Error TLS saat terhubung ke server LDAP | Sertifikat CA hilang, tidak valid, atau tidak cocok dengan sertifikat server LDAP. Verifikasi sertifikat dan buat ulang ldapsCACertSecret jika perlu. |
| Pengguna LDAP dapat mengautentikasi tetapi tidak dapat mengakses Bob | Peran pengguna ditetapkan melalui provisioning SCIM. Konfirmasi bahwa login berhasil diselesaikan dan tunggu hingga lima menit agar provisioning selesai. |
| Pengguna administrator tidak memiliki hak istimewa administrator | Verifikasi bahwa pengguna termasuk dalam grup administrator LDAP yang dipetakan melalui groupMapper. Alternatifnya, tambahkan pengguna secara manual ke grup bob-admins di konsol Keycloak. |
| Pengguna Keycloak langsung tidak dapat masuk | Akun pengguna mungkin dinonaktifkan atau tidak memiliki kredensial. Buka record pengguna di konsol administrasi Keycloak dan verifikasi status akun dan kredensial. |
| Grup LDAP tidak muncul di Keycloak | Verifikasi bahwa groupMapper.groupsDn mereferensikan lokasi LDAP yang benar dan bahwa entri grup berisi groupObjectClasses yang dikonfigurasi. |
| Keanggotaan grup pengguna tidak terselesaikan | Verifikasi bahwa atribut keanggotaan grup diisi dalam direktori LDAP. Tergantung pada konfigurasi, ini mungkin atribut member pada grup atau atribut memberOf pada pengguna. |
| Pengguna LDAP yang baru ditambahkan tidak muncul di Bob | Provisioning SCIM mungkin gagal. Verifikasi bahwa pod bob-admin berjalan, konfirmasi bahwa resource BobIDP melaporkan Ready: True, dan minta pengguna untuk mencoba login awal guna memicu provisioning. |
| UI administrasi Bob menampilkan "Client not found" | Domain email pengguna tidak disertakan dalam field domains dari resource BobIDP. Perbarui konfigurasi dan jalankan ulang bobctl configure-idp. |
| Pengguna yang dihapus dari LDAP masih memiliki akses ke Bob | Event deprovisioning SCIM tidak diproses. Tinjau log bob-admin, verifikasi bahwa plugin SCIM Keycloak berfungsi dengan benar, dan jika diperlukan, hapus pengguna secara manual dari realm bob di Keycloak. |
Mengumpulkan informasi diagnostik
Jika perlu melakukan pemecahan masalah tambahan atau membuka kasus dukungan, kumpulkan status provider dan log yang relevan.
# Status IDP CR
oc get bobidp bob-idp -n <instance-namespace> -o yaml > bobidp-status.yaml
# Log operator
oc logs -n <operator-namespace> deployment/ibm-bob-operator --tail=500 > operator.log
# Log Keycloak (error koneksi dan autentikasi LDAP muncul di sini)
oc logs -n <instance-namespace> -l app=keycloak --tail=500 > keycloak.logTinjau file yang dikumpulkan untuk error sebelum menghubungi dukungan, dan sertakan bersama permintaan dukungan apa pun untuk membantu mempercepat penyelesaian masalah.
Bagaimana topik ini?