LDAP 整合疑難排解
診斷和解決 IBM Bob 本地部署的常見 LDAP 設定和同步問題。
使用下表診斷和解決常見的 LDAP 設定和同步問題。
疑難排解
| 徵狀 | 可能原因和解決方案 |
|---|---|
LDAPReachable 為 False | 叢集無法連線至 LDAP 伺服器。驗證 connectionUrl 數值，並確認 LDAP 伺服器可從叢集的所需連接埠（LDAP 使用 389，LDAPS 使用 636）存取。檢查網路原則、防火牆和 DNS 解析。 |
LDAPAuthenticated 為 False | 設定的 bindDn 或連結密碼不正確。驗證憑證並重新套用設定。 |
LDAPUserSyncSucceeded 為 False | 使用者同步失敗或逾時。驗證 usersDn 和 customUserSearchFilter 數值。對於大型目錄，增加 BOB_IDP_WAIT_TIMEOUT 數值並重試操作。 |
| 連線 LDAP 伺服器時出現 TLS 錯誤 | CA 憑證遺失、無效或與 LDAP 伺服器憑證不符合。驗證憑證，必要時重新建立 ldapsCACertSecret。 |
| LDAP 使用者可以驗證身分但無法存取 Bob | 使用者角色透過 SCIM 佈建分配。確認登入成功完成，並等待最多五分鐘以完成佈建。 |
| 管理員使用者沒有管理員權限 | 驗證使用者是否屬於透過 groupMapper 對應的 LDAP 管理員群組。或者，在 Keycloak 主控台中手動將使用者新增至 bob-admins 群組。 |
| 直接 Keycloak 使用者無法登入 | 使用者帳戶可能已停用或缺少憑證。在 Keycloak 管理主控台中開啟使用者記錄，驗證帳戶狀態和憑證。 |
| LDAP 群組未出現在 Keycloak 中 | 驗證 groupMapper.groupsDn 是否參照了正確的 LDAP 位置，以及群組項目是否包含已設定的 groupObjectClasses。 |
| 使用者群組成員資格未解析 | 驗證 LDAP 目錄中是否填入了群組成員屬性。根據你的設定，這可能是群組的 member 屬性或使用者的 memberOf 屬性。 |
| 新新增的 LDAP 使用者未出現在 Bob 中 | SCIM 佈建可能失敗。驗證 bob-admin Pod 是否正在運作，確認 BobIDP 資源回報 Ready: True，並讓使用者嘗試初始登入以觸發佈建。 |
| Bob 管理 UI 顯示「找不到用戶端」 | 使用者的電子郵件網域未包含在 BobIDP 資源的 domains 欄位中。更新設定並重新執行 bobctl configure-idp。 |
| 從 LDAP 中移除的使用者仍可存取 Bob | SCIM 取消佈建事件未被處理。檢視 bob-admin 日誌，驗證 Keycloak SCIM 外掛程式是否正常運作，如有必要，在 Keycloak 中從 bob realm 手動刪除使用者。 |
收集診斷資訊
如果你需要執行額外的疑難排解或開立支援案例，請收集提供者狀態和相關日誌。
# IDP CR 狀態
oc get bobidp bob-idp -n <instance-namespace> -o yaml > bobidp-status.yaml
# Operator 日誌
oc logs -n <operator-namespace> deployment/ibm-bob-operator --tail=500 > operator.log
# Keycloak 日誌（LDAP 連線和身分驗證錯誤會顯示在此處）
oc logs -n <instance-namespace> -l app=keycloak --tail=500 > keycloak.log在聯繫支援人員之前，請檢視收集到的檔案中的錯誤，並在任何支援請求中隨附這些檔案，以加快問題解決速度。
這個主題如何？