UCS 4.2.2 kann nicht mehr mit LDAP verbinden

UCS - Univention Corporate Server
#3

Danke für die schnelle Antwort. Hat gut funktioniert, jetzt schmeißt er noch folgendes ins Log:

Traceback (most recent call last):
File “/usr/lib/pymodules/python2.7/univention/management/console/base.py”, line 250, in execute
function.func(self, request, *args, **kwargs)
File “/usr/lib/pymodules/python2.7/univention/management/console/protocol/session.py”, line 964, in _authentication_finished2
self.initalize_processor(request)
File “/usr/lib/pymodules/python2.7/univention/management/console/protocol/session.py”, line 1001, in initalize_processor
self.processor.set_credentials(**self.__credentials)
File “/usr/lib/pymodules/python2.7/univention/management/console/protocol/session.py”, line 171, in set_credentials
self._search_user_dn()
File “/usr/lib/pymodules/python2.7/univention/management/console/protocol/session.py”, line 190, in _search_user_dn
if self.lo and self._username:
File “/usr/lib/pymodules/python2.7/univention/management/console/protocol/session.py”, line 152, in lo
return get_machine_connection(write=False)[0]
File “/usr/lib/pymodules/python2.7/univention/management/console/ldap.py”, line 100, in get_machine_connection
return connection()
File “/usr/lib/pymodules/python2.7/univention/management/console/ldap.py”, line 140, in _decorated
kwargs[loarg], kwargs[poarg] = lo, po = getter()
File “/usr/lib/pymodules/python2.7/univention/management/console/ldap.py”, line 130, in getter
conn = connection()
File “/usr/lib/pymodules/python2.7/univention/management/console/ldap.py”, line 63, in connection
return _getMachineConnection(**kwargs)
File “/usr/lib/pymodules/python2.7/univention/admin/uldap.py”, line 143, in getMachineConnection
lo = univention.uldap.getMachineConnection(start_tls, decode_ignorelist=decode_ignorelist, ldap_master=ldap_master)
File “/usr/lib/pymodules/python2.7/univention/uldap.py”, line 91, in getMachineConnection
return access(host=ucr[‘ldap/server/name’], port=port, base=ucr[‘ldap/base’], binddn=ucr[‘ldap/hostdn’], bindpw=bindpw, start_tls=start_tls, decode_ignorelist=decode_ignorelist, reconnect=reconnect)
File “/usr/lib/pymodules/python2.7/univention/uldap.py”, line 152, in init
self.__open(ca_certfile)
File “/usr/lib/pymodules/python2.7/univention/uldap.py”, line 206, in __open
self.lo.simple_bind_s(self.binddn, self.__encode_pwd(self.bindpw))
File “/usr/lib/python2.7/dist-packages/ldap/ldapobject.py”, line 879, in simple_bind_s
res = self._apply_method_s(SimpleLDAPObject.simple_bind_s,*args,**kwargs)
File “/usr/lib/python2.7/dist-packages/ldap/ldapobject.py”, line 860, in _apply_method_s
return func(self,*args,**kwargs)
File “/usr/lib/python2.7/dist-packages/ldap/ldapobject.py”, line 215, in simple_bind_s
resp_type, resp_data, resp_msgid, resp_ctrls = self.result3(msgid,all=1,timeout=self.timeout)
File “/usr/lib/python2.7/dist-packages/ldap/ldapobject.py”, line 476, in result3
resp_ctrl_classes=resp_ctrl_classes
File “/usr/lib/python2.7/dist-packages/ldap/ldapobject.py”, line 483, in result4
ldap_result = self._ldap_call(self._l.result4,msgid,all,timeout,add_ctrls,add_intermediates,add_extop)
File “/usr/lib/python2.7/dist-packages/ldap/ldapobject.py”, line 106, in _ldap_call
result = func(*args,**kwargs)
INVALID_CREDENTIALS: {‘desc’: ‘Invalid credentials’}

13.11.17 17:27:36.203 MAIN ( PROCESS ) : Connection timed out.
13.11.17 17:27:43.210 MAIN ( PROCESS ) : Connection timed out.
13.11.17 17:27:46.214 MAIN ( PROCESS ) : Connection timed out.
13.11.17 17:27:56.243 AUTH ( WARN ) : Canonicalization of username was not possible: {‘desc’: ‘Invalid credentials’}
13.11.17 17:27:57.676 MODULE ( PROCESS ) : Setting auth type to None
13.11.17 17:27:57.681 MODULE ( PROCESS ) : Die Ausführung des Kommandos ist fehlgeschlagen

Was ist eigentlich WARN ) : Canonicalization of username was not possible: {‘desc’: ‘Invalid credentials’}. ?

Beim SAML-Modul bleibt er hier immer hängen siehe hier:

image

#4

Der Login als Administrator funtioniert also wieder? Wenn ja, vielleicht einfach mal den ganzen Server neustarten.

#5

Nein, leider nicht war noch gechached, login funzt leider immer noch nicht

reboot brachte auch nix

#6

Funktioniert der Bind als Administrator auf dem Master?

univention-ldapsearch '(uid=Administrator)' -x -D uid=Administrator,cn=users,$(ucr get ldap/base) -W
#7

das hat mit unserem Kennwort funktioniert…

#8 
univention-ldapsearch '(uid=Administrator)'

funktioniert nehm ich an nicht?

#9

univention-ldapsearch ‘(uid=Administrator)’
funktioniert leider nicht. Hilft der Output von dem Befehl zuvor weiter?

#10

Nein ich denke nicht. Aber es kann nicht schaden, wenn du immer die Ausgabe postest. Funktioniert

univention-s4search '(uid=Administrator)'

Gab es irgendwelche Meldungen beim Paßwortwechsel?

#11

der letzte Befehl hat auch funktioniert. wie kann ich dir am besten den output zukommen lassen, ohne dass ich hier zu sensible Daten poste. bin da nicht so der profi :slight_smile:

Auf welchen Passwortwechsel beziehst Du Dich? (sorry wenn ich nachfragen muss)

Und vielen Dank nochmal für Deine Unterstützung! :slight_smile:

#12

Sonderlich sensibel sind die Daten eigentlich bis auf die BaseDN und die SID vielleicht. Aber sowas kannst du im Zweifel auch per PN schicken. Aber ich nehme an, daß der Befehl schon funktioniert hat, demnach brauche ich die Ausgabe des Befehls nicht.

Auf welchen Passwortwechsel beziehst Du Dich? (sorry wenn ich nachfragen muss)

Auf den des Maschinenkontos.

Und vielen Dank nochmal für Deine Unterstützung!

Kein Problem :slight_smile:

#13

seltsamer weise funktioniert plötzlich auch:

univention-s4search ‘(uid=Administrator)’

jetzt geht nur der login auf der webui nicht…

#14

Hallo,

nochmal danke für die Hilfe. Beim Passwortwechsel gab es keine keine Meldung. (successful) Der Bind funktioniert, er gibt das das Administratorobjekt des Ldaps aus

univention-ldapsearch ‘(uid=Administrator)’ -x -D uid=Administrator,cn=users,$(ucr get ldap/base) -W

extended LDIF

LDAPv3

filter: (uid=Administrator)

requesting: ALL

Administrator, users, huf.intranet

dn: uid=Administrator,cn=users,dc=xx,dc=intranet
uid: Administrator
krb5PrincipalName: Administrator@xx.INTRANET
uidNumber: 2002
krb5MaxLife: 86400
cn: Administrator
krb5MaxRenew: 604800
loginShell: /bin/bash
univentionObjectType: users/user
displayName: Administrator
sambaSID:
gecos: Administrator
sn: Administrator
pwhistory:
homeDirectory: /home/Administrator
gidNumber: 5000
sambaPrimaryGroupSID:
univentionPolicyReference: cn=default-admins,cn=admin-settings,cn=users,cn=pol
icies,dc=huf,dc=intranet
description: Built-in account for administering the computer/domain
postalCode:
o::
street:
st: DE
l::
enabledServiceProviderIdentifier: SAMLServiceProviderIdentifier=https://xxx.hu
f.intranet/univention-management-console/saml/metadata,cn=saml-serviceprovide
r,cn=univention,dc=huf,dc=intranet
enabledServiceProviderIdentifier: SAMLServiceProviderIdentifier=https://xxx.
huf.intranet/univention-management-console/saml/metadata,cn=saml-serviceprovi
der,cn=univention,dc=huf,dc=intranet
enabledServiceProviderIdentifier: SAMLServiceProviderIdentifier=https://xxx
.huf.intranet/univention-management-console/saml/metadata,cn=saml-serviceprov
ider,cn=univention,dc=huf,dc=intranet
enabledServiceProviderIdentifier: SAMLServiceProviderIdentifier=https://xx.hu
f.intranet/univention-management-console/saml/metadata,cn=saml-serviceprovide
r,cn=univention,dc=huf,dc=intranet
enabledServiceProviderIdentifier: SAMLServiceProviderIdentifier=https://xxx.hu
f.intranet/univention-management-console/saml/metadata,cn=saml-serviceprovide
r,cn=univention,dc=huf,dc=intranet
sambaPasswordHistory:

univention-s4search ‘(uid=Administrator)’

Processing section “[netlogon]”
Processing section “[sysvol]”
Processing section “[homes]”
Processing section “[printers]”
Processing section “[print$]”
Processing section “[print1]”
pm_process() returned Yes
GENSEC backend ‘gssapi_spnego’ registered
GENSEC backend ‘gssapi_krb5’ registered
GENSEC backend ‘gssapi_krb5_sasl’ registered
GENSEC backend ‘spnego’ registered
GENSEC backend ‘schannel’ registered
GENSEC backend ‘naclrpc_as_system’ registered
GENSEC backend ‘sasl-EXTERNAL’ registered
GENSEC backend ‘ntlmssp’ registered
GENSEC backend ‘ntlmssp_resume_ccache’ registered
GENSEC backend ‘http_basic’ registered
GENSEC backend ‘http_ntlm’ registered
GENSEC backend ‘krb5’ registered
GENSEC backend ‘fake_gssapi_krb5’ registered

Received smb_krb5 packet of length 283
Received smb_krb5 packet of length 1367

#15

Klar der Bind mit dem Administrator funktioniert. Die Frage ist wieso es mit dem Maschinenkonto nicht klappt, trotz Paßwort-Wechsel. Leider habe ich momentan keine Idee.

#16

Ich glaube das liegt an diesem Single-SigOn Modul das immer nen Fehler in Log schmeisst.
evtl liegt da der Fehler:

management-console-server.log:

result = func(*args,**kwargs)

INVALID_CREDENTIALS: {‘desc’: ‘Invalid credentials’}

14.11.17 10:44:44.036 MAIN ( PROCESS ) : Connection timed out.
14.11.17 10:44:47.050 MAIN ( PROCESS ) : Connection timed out.
14.11.17 10:44:50.370 MAIN ( PROCESS ) : Connection timed out.
14.11.17 10:44:57.309 MAIN ( PROCESS ) : Connection timed out.
14.11.17 10:44:57.309 MAIN ( PROCESS ) : Processor: dying
14.11.17 10:44:57.309 MAIN ( PROCESS ) : Processor: dying

was beutetet eigentlich : INVALID_CREDENTIALS: {‘desc’: ‘Invalid credentials’} ?

Da stimmt doch irgendwo ein Password noch nicht. Müssen die Secrets auf dem pdc und bdc eigentlich gleich sein ?

Ausserdem hab ich gesehen das auf dem bdc die SSH Verbindungen nicht mehr funktionieren:

SSH-Verbindung zum UCS-Server fehlgeschlagen :

Traceback (most recent call last):
File “/usr/lib/pymodules/python2.7/univention/management/console/modules/diagnostic/init.py”, line 263, in execute
result = execute(umc_module, **kwargs)
File “/usr/lib/pymodules/python2.7/univention/management/console/modules/diagnostic/plugins/01_ssh_connection.py”, line 41, in run
modules.init(lo, position, udm_obj)
File “/usr/lib/pymodules/python2.7/univention/admin/modules.py”, line 120, in init
univention.admin.ucr_overwrite_properties(module, lo)
File “/usr/lib/pymodules/python2.7/univention/admin/init.py”, line 60, in ucr_overwrite_properties
ucr_prefix = ucr_property_prefix % module.module
AttributeError: ‘NoneType’ object has no attribute ‘module’

#17

Hallo,

irgendwie hat sich der Server nach zwei Tagen wieder von selbst “regeneriert” , auf alle Fälle geht jetzt wieder alles. Vielen Dank an SirTux für den tollen Support. :star_struck::star_struck:

#18

Freut mich, daß es wieder geht :slight_smile: Auch wenn ich nicht verstehe warum

#19

Evtl. weil der tägliche Passwortwechsel automatisch gelaufen ist und dann das Passwort auch in den angeschlossenen Diensten ausgetauscht wurde.
Das Problem hatte ich bei mir auch. Nur das Passwort manuell im Computerkonto und und in /etc/machine.secret zu setzen reicht nicht. Danach muss man noch einmal den vollständigen Passwortwechsel manuell antriggern.

#20

Ok jetzt wo du es sagst, das macht Sinn. Das Paßwort steht ja durchaus in so manchen Dateien direkt drin.

#21

Wie kann man das den manuell Triggern ?

#22

Das war auch in dem von verlinkten Thread verlinkt:
https://help.univention.com/t/manually-trigger-server-password-change/6376

Mastodon