Users Guide

Die Anmeldung bei Active Directory schlägt selbst dann fehl, wenn die Zertikatüberprüfung aktiviert ist. Die Testergebnisse
zeigen die folgende Fehlermeldung an. Warum tritt dieses Verhalten auf, und wie kann es gelöst werden?
ERROR: Can't contact LDAP server, error:14090086:SSL
routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed: Please check the correct
Certificate Authority (CA) certificate has been uploaded to iDRAC. Please also check if the
iDRAC date is within the valid period of the certificates and if the Domain Controller
Address configured in iDRAC matches the subject of the Directory Server Certificate.
Wenn die Zertikatsüberprüfung aktiviert ist, sobald der iDRAC die SSL-Verbindung zum Verzeichnisserver herstellt, verwendet
iDRAC das hochgeladene Zertizierungsstellenzertikat, um das Zertikat des Verzeichnisservers zu überprüfen. Die häugsten
Gründe für eine fehlgeschlagene Zertikatsüberprüfung sind Folgende:
• Das Gültigkeitsdatum des iDRAC liegt nicht innerhalb des Gültigkeitszeitraums des Serverzertikats oder des
Zertizierungsstellenzertikats. Überprüfen Sie die Gültigkeit des iDRAC-Zertikats und Ihres Zertikats.
• Die in iDRAC kongurierten Domänen-Controller-Adressen stimmen nicht mit dem Servernamen oder alternativen Servernamen
im Directory-Server-Zertikat überein. Falls Sie eine IP-Adresse verwenden, lesen Sie bitte die folgende Frage. Wenn Sie einen
FQDN verwenden, stellen Sie bitte sicher, dass Sie den FQDN des Domänen-Controllers verwenden und nicht den der Domäne
selbst, zum Beispiel servername.example.com anstelle von example.com.
Die Zertikatüberprüfung schlägt fehl, auch wenn die IP-Adresse als Domänen-Controller-Adresse verwendet wird. Wie kann
dieses Verhalten gelöst werden?
Prüfen Sie das Feld Servername oder alternativer Servername Ihres Domänen-Controller-Zertikats. Normalerweise verwendet
Active Directory den Host-Namen und nicht die IP-Adresse des Domänen-Controllers im Feld Servername oder alternativer
Servername des Domänen-Controller-Zertikats. Um das Problem zu lösen, führen Sie einen der folgenden Schritte aus:
• Kongurieren Sie den Hostnamen (FQDN) des Domänen-Controllers als Adresse(n) des Domänen-Controllers auf dem iDRAC,
damit er mit dem Servernamen oder alternativen Servernamen des Server-Zertikats übereinstimmt.
• Erstellen Sie das Server-Zertikat erneut, damit im Feld "Servername" oder "Alternativer Servername" eine IP-Adresse verwendet
wird, die auf dem iDRAC konguriert ist.
• Deaktivieren Sie die Überprüfung des Zertikats, wenn Sie dem Domänen-Controller beim SSL-Handshake ohne diese
Überprüfung vertrauen.
Wie werden die Domänen-Controller-Adressen konguriert, wenn das erweiterte Schema in einer Umgebung mit mehreren
Domänen verwendet wird?
Es musste der Host-Name (FQDN) oder die IP-Adresse des Domänen-Controllers sein, der die Domäne bedient, in der sich das
iDRAC-Objekt bendet.
Wann muss ich Adressen des globalen Katalogs kongurieren?
Wenn Sie das Standardschema verwenden und die Benutzer und Rollengruppen verschiedenen Domänen angehören, sind Adressen
des globalen Katalogs erforderlich. In diesem Fall können Sie nur die Universalgruppe benutzen.
Wenn Sie das Standardschema verwenden und alle Benutzer und Rollengruppen derselben Domäne angehören, sind keine Adressen
des globalen Katalogs erforderlich.
Wenn Sie ein erweitertes Schema verwenden, wird die Adresse des globalen Katalogs nicht verwendet.
Wie funktioniert die Abfrage im Standardschema?
iDRAC verbindet sich zuerst mit den kongurierten Domänen-Controller-Adressen, wenn sich die Benutzer und Rollengruppen in
dieser Domäne benden. Die Berechtigungen werden gespeichert.
Wenn Global Controller-Adressen konguriert werden, fragt iDRAC6 weiterhin den Global Catalog ab. Wenn zusätzliche
Berechtigungen vom Global Catalog erfasst werden, werden diese Berechtigungen aufgespeichert.
Verwendet iDRAC immer LDAP über SSL?
319