Identity Services EngineのActive Directoryグループの取得問題ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONSを修正します

はじめに

このドキュメントでは、ライブログに次のエラーが記録されている場合に、認証中のActive Directory(AD)グループ取得の問題を回避する方法について説明します。

ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS

前提条件

要件

次の項目に関する知識があることが推奨されます。

• Cisco Identity Services Engine
• Microsoft Active Directory

使用するコンポーネント

このドキュメントは、Identity Services Engine(ISE)の特定のソフトウェアバージョンに限定されるものではありません。

問題

問題は、ISEをADに参加させるために使用されるユーザアカウントに、tokenGroupsを取得するための正しい権限がないことです。これは、ISEをADに参加させるためにドメイン管理者アカウントを使用した場合には発生しません。この問題を解決するには、ISEノードをユーザアカウントに追加し、ISEノードにこれらの権限を付与する必要があります。

• リストの内容
• すべてのプロパティの読み取り
• 読み取りアクセス許可

この問題は、ユーザの権限が正しいと思われる場合(ISE 1.3 AD認証に対するチェックが「Insufficient privilege to fetch Token Groups」エラーで失敗する場合)でも発生します。これらのデバッグはad-agent.logに記録されます。

28/08/2016 17:23:35,VERBOSE,140693934700288,Error code: 60173 (symbol: LW_ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS),lsass/server/auth-providers/ad-open-provider/provider-main.c:7409
28/08/2016 17:23:35,VERBOSE,140693934700288,Error code: 60173 (symbol: LW_ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS),lsass/server/api/api2.c:2572

解決方法

ユーザアカウントに必要な権限を付与するには、次の手順を実行します。

1. ADで、ADユーザアカウントのプロパティに移動します。

2. Securityタブを選択して、Addをクリックします。

3.オブジェクト・タイプの選択:

4. Computersを選択して、OKをクリックします。

5. ISEホスト名（この例ではVCHRENEK-ISE4）を挿入し、OKをクリックします。

6. ISEノードを選択し、Advancedをクリックします。

7. [Advanced Security Settings]からISEマシンアカウントを選択し、[Edit]をクリックします。

8. ISEマシンアカウントにこれらの権限を提供し、OKをクリックします。

これらの変更後、ADグループは問題なく取得されます。

これは、すべてのユーザに対して実行する必要があり、変更はドメイン内のすべてのドメインコントローラに複製する必要があります。