修复身份服务引擎上的Active Directory组检索问题ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS
简介
本文档介绍如何在身份验证期间解决Active Directory (AD)组检索问题，而实时日志中会出现此错误：
ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS
先决条件
要求
Cisco 建议您了解以下主题：
- 思科身份服务引擎
- Microsoft Active Directory
使用的组件
本文档不限于身份服务引擎(ISE)的特定软件版本。
问题
问题是用于将ISE加入AD的用户帐户没有获取tokenGroups的正确权限。如果域管理员帐户用于将ISE加入AD，则不会发生这种情况。要解决此问题，必须将ISE节点添加到用户帐户并为ISE节点提供这些权限：
- 列出内容
- 读取所有属性
- 读取权限
即使用户的权限似乎正确无误(请检查ISE 1.3 AD身份验证失败并出现错误：“Insufficient Privilege to Fetch Token Groups”)，也会出现此问题。这些调试在ad-agent.log中可见：
28/08/2016 17:23:35,VERBOSE,140693934700288,Error code: 60173 (symbol: LW_ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS),lsass/server/auth-providers/ad-open-provider/provider-main.c:7409 28/08/2016 17:23:35,VERBOSE,140693934700288,Error code: 60173 (symbol: LW_ERROR_TOKEN_GROUPS_INSUFFICIENT_PERMISSIONS),lsass/server/api/api2.c:2572
解决方案
要为用户帐户提供所需权限，请执行以下步骤：
1. 在AD上，导航到AD用户帐户的属性：
2. 选择安全性选项卡，然后单击添加：
3. 选择对象类型：
4. 选择计算机，然后单击确定：
5. 插入ISE主机名（本示例中为VCHRENEK-ISE4），然后单击OK：
6. 选择ISE节点，然后单击Advanced：
7. 从“高级安全设置”中选择ISE计算机帐户，然后单击编辑：
8. 向ISE计算机帐户提供这些权限，然后单击OK：
进行这些更改后，应该可以毫无问题地检索AD组：
必须对所有用户执行此操作，并且应将更改复制到域中的所有域控制器。
修订历史记录
| 版本 | 发布日期 | 备注 |
|---|---|---|
1.0 |
24-Oct-2016 |
初始版本 |
反馈