Des problèmes peuvent se produire lorsque vous configurez Certificat sur-Kerberos ou SAML sur Kerberos dans votre environnement. Vous pouvez utiliser diverses procédures pour diagnostiquer et corriger ces problèmes.
Surveillance de la santé du serveur KDC et du serveur d'applications principal.
Vous pouvez voir rapidement que les services que vous avez déployés sont configurés, actifs et en cours d'exécution à partir de l'interface utilisateur d'administration des paramètres Edge.
Figure 1. Contrôle de santé : paramètres de proxy inverse
Un cercle s'affiche devant le service. Le code couleur est le suivant.
Cercle rouge : si l'état est rouge, cela peut impliquer un des problèmes suivants.
Problèmes de connectivité entre Unified Access Gateway et Active Directory
Problèmes de blocage de ports entre Unified Access Gateway et Active Directory.
Note : Assurez-vous que le port 88 TCP et UDP est ouvert dans la machine exécutant Active Directory.
Il est possible que le nom et les informations d'identification du serveur principal soient incorrectes dans le fichier keytab téléchargé.
Cercle vert : si l'état est vert, cela implique qu'Unified Access Gateway peut se connecter à Active Directory avec les informations d'identification fournies dans le fichier keytab.
Erreur lors de la création du contexte Kerberos : variation d'horloge trop importante
Ce message d'erreur :
ERROR:"wsportal.WsPortalEdgeService[createKerberosLoginContext: 119][39071f3d-9363-4e22-a8d9-5e288ac800fe]: Error creating kerberos context.
Identity bridging may not work
javax.security.auth.login.LoginException: Clock skew too great"
s'affiche lorsque l'heure d'Unified Access Gateway et l'heure du serveur AD sont considérablement désynchronisées. Réinitialisez l'heure sur le serveur AD pour qu'elle corresponde à l'heure UTC exacte d'Unified Access Gateway.
Erreur lors de la création du contexte Kerberos : nom ou service inconnu
Ce message d'erreur :
wsportal.WsPortalEdgeService[createKerberosLoginContext: 133][]: Error creating kerberos context.
Identity bridging may not work
javax.security.auth.login.LoginException: Name or service not known
s'affiche lorsque
Unified Access Gateway ne peut pas joindre le domaine configuré ou ne peut pas se connecter à KDC avec les détails utilisateur dans le fichier keytab. Vérifiez ce qui suit :
le fichier keytab est généré avec le mot de passe correct du compte utilisateur SPN et téléchargé sur Unified Access Gateway
le nom d'hôte et l'adresse IP de l'application principale sont ajoutés correctement dans les entrées de l'hôte.
Erreur lors de la réception du jeton Kerberos pour l’utilisateur : [email protected], erreur : erreur de délégation Kerberos : nom de la méthode : gss_acquire_cred_impersonate_name : échec GSS non spécifié. Un code mineur peut fournir plus d’informations
"Kerberos Delegation Error: Method name: gss_acquire_cred_impersonate_name: Server not found in Kerberos database"
Si ce message s’affiche, vérifiez si :
La relation de confiance entre les domaines fonctionne.
