استكشاف مشاكل OpenLDAP وإصلاحها

أنت الآن بصدد الاطّلاع على مستندات Apigee Edge.
انتقِل إلىمستندات Apigee X. info

يقدّم هذا القسم معلومات وإرشادات حول تحديد المشاكل في OpenLDAP وحلّها.

تم إيقاف بروتوكول SMTP ويحتاج المستخدمون إلى إعادة ضبط كلمة المرور

المشكلة

عندما لا يتم إعداد بروتوكول SMTP على واجهة مستخدم Edge، يحتاج المستخدمون الجدد الذين تمت إضافتهم إلى Edge إلى طريقة لضبط كلمة مرور.

رسائل الخطأ

Unknown username and password combination.

الأسباب المحتمَلة

لا يمكن للمستخدمين الجدد تلقّي رسالة إلكترونية من الرابط "هل نسيت كلمة المرور؟" لضبط كلمة مرور لأنّه لم يتم إعداد بروتوكول SMTP.

الدقة

يمكنك حلّ هذه المشكلة بإحدى الطريقتَين التاليتَين:

الحلّ رقم 1: إعداد خادم SMTP

يمكنك إعداد خادم SMTP لضبط كلمة مرور جديدة للمستخدم باتّباع التعليمات الواردة في المستندات.

الحلّ رقم 2: استخدام LDAP

إذا لم تتمكّن من إعداد خادم SMTP، استخدِم أوامر LDAP أدناه لضبط الـ كلمة المرور الجديدة لمستخدم:

  1. على مشرف المؤسسة الحالي إضافة مستخدم معيّن من خلال واجهة مستخدم Edge كما هو موضّح أدناه:

  2. استخدِم الأمر ldapsearch للعثور على الاسم المميّز للمستخدم (dn) وأعِد توجيه الناتج إلى ملف: 
    ldapsearch -w Secret123 -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -h localhost -p 10389 > ldap.txt

    في ما يلي مثال على إدخال الاسم المميّز لمستخدم، بالإضافة إلى سمات المستخدم:

    dn:uid=f7a4a4a5-7c43-4168-a47e-6e9a1417cc29,ou=users,ou=global,dc=apigee,dc=com
mail: apigee_validator@apigee.com
userPassword:: e1NTSEF9b0FrMFFXVmFjbWRxM1BVaFZzMnllWGZMdkNvNjMwNTJlUDZYN3c9PQ=
 =
uid: f7a4a4a5-7c43-4168-a47e-6e9a1417cc29
objectClass: inetOrgPerson
sn: Validator
cn: apigee
  3. افتح الملف ldap.txt وابحث عن الاسم المميّز للمستخدم الجديد الذي تمت إضافته استنادًا إلى سمة البريد الإلكتروني للمستخدم الجديد.
  4. نفِّذ الأمر ldappassword لإضافة كلمة مرور للمستخدم الجديد باستخدام الاسم المميّز. في هذا المثال، يتم ضبط كلمة مرور المستخدم على Apigee123: 
    ldappasswd -h localhost -p 10389 -D "cn=manager,dc=apigee,dc=com" -W -s Apigee123
"uid=f7a4a4a5-7c43-4168-a47e-6e9a1417cc29,ou=users,ou=global,dc=apigee,dc=com"
  5. سجِّل الدخول إلى واجهة مستخدم Edge بصفتك المستخدم الجديد باستخدام كلمة المرور المحدّدة في الخطوة السابقة. يمكن للمستخدم ضبط كلمة مرور جديدة بعد تسجيل الدخول إلى واجهة المستخدم.

لا يتم تكرار LDAP

المشكلة

تتضمّن العديد من عمليات تثبيت Edge مراكز بيانات متعدّدة، مثل DC-1 وDC-2. عند تسجيل الدخول إلى واجهة مستخدم Edge في DC-1 بصفتك مشرف مؤسسة، يمكنك الاطّلاع على قائمة المستخدمين، ولكن لا تظهر قائمة المستخدمين نفسها في واجهة مستخدم Edge في DC-2.

رسائل الخطأ

لا تظهر أي أخطاء، ولا تعرض واجهة مستخدم Edge ببساطة قائمة المستخدمين التي كان من المفترض أن يتم تكرارها على جميع خوادم OpenLDAP.

الأسباب المحتمَلة

عادةً ما يكون سبب هذه المشكلة هو إعداد غير صحيح لتكرار OpenLDAP، وليس عملية التثبيت نفسها. قد يتوقف التكرار أيضًا إذا كانت الشبكة بين خوادم OpenLDAP لا تسمح بمرور حركة البيانات على المنفذ 10389.

التشخيص

اتّبِع الخطوات التالية لتشخيص المشكلة:

  1. تحقَّق مما إذا كان الأمر ldapsearch يعرض بيانات من كل خادم OpenLDAP: 
    ldapsearch -W -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -h <host-ip> -p 10389
  2. تحقَّق مما إذا كان بإمكانك الاتصال بكل عقدة OpenLDAP من عقد OpenLDAP الأخرى على المنفذ 10389. إذا كان برنامج telnet مثبَّتًا، استخدِم الأمر التالي: 
    telnet <OpenLDAP_Peer_IP> 10389
  3. إذا لم يكن برنامج telnet متاحًا، استخدِم netcat للتحقّق من الاتصال على النحو التالي: 

    nc -vz <OpenLDAP_Peer_IP> 10389
  4. تحقَّق من إعداد التكرار في الملف التالي: 
    /opt/apigee/data/apigee-openldap/slapd.d/cn=config/olcDatabase={2}bdb.ldif

    يجب أن يحتوي الملف على إعدادات مشابهة لما يلي:

      olcSyncRepl: rid=001
  provider=ldap://__OTHER_LDAP_SERVER__/
  binddn="cn=manager,dc=apigee,dc=com"
  bindmethod=simple
  credentials=__LDAP_PASSWORD__
  searchbase="dc=apigee,dc=com"
  attrs="*,+"
  type=refreshAndPersist
  retry="60 1 300 12 7200 +"
  timeout=1
  5. تحقَّق أيضًا من الملف نفسه بحثًا عن قيمة السمة olcMirrorMode. يجب ضبطها على القيمة TRUE: 
    grep olcMirrorMode /opt/apigee/data/apigee-openldap/slapd.d/cn=config/olcDatabase={2}bdb.ldif
  6. تحقَّق من قواعد iptables وtcp wrapper. يُرجى إزالة أي قواعد لا تسمح لخوادم OpenLDAP النظيرة بالتواصل مع بعضها البعض. تعاوَن مع مشرف الشبكة لضبط القواعد بشكل مناسب.
  7. تأكَّد من أنّ كلمة مرور نظام OpenLDAP هي نفسها على كل عقدة OpenLDAP.
  8. ابحث عن الأحرف المخفية في ملفات إعداد ldif التي يتم استخدامها لـ إعداد تكرار OpenLDAP متعدد الاتجاهات من خلال تشغيل dos2unix على ملفات ldif التي تم إنشاؤها لتعديل الإعدادات. عادةً ما يؤدي ملف ldif الذي يحتوي على أحرف غير صالحة إلى تعذُّر تشغيل الأمر ldapmodify، وبالتالي قد لا يتم إعداد التكرار. أزِل أي أحرف غير صالحة واحفظ ملفات الإعدادات.

إذا استمرّت المشكلة، تواصَل مع فريق دعم Apigee للحصول على مساعدة في إعداد تكرار OpenLDAP متعدد الاتجاهات.

يتعذّر بدء OpenLDAP

المشكلة

لا يبدأ OpenLDAP.

رسائل الخطأ

SLAPD Dead But Pid File Exists

الأسباب المحتمَلة

تحدث هذه المشكلة عادةً بسبب ملف قفل يتم تركه في نظام الملفات ويجب إزالته.

التشخيص

اتّبِع الخطوات التالية لتشخيص هذه المشكلة:

  1. ابحث عن ملف قفل أو ملف رقم تعريف عملية (PID) لعملية OpenLDAP slapd في الموقع الجغرافي التالي: 
    /opt/apigee/var/run/apigee-openldap/apigee-openldap.lock
/opt/apigee/var/run/apigee-openldap/apigee-openldap.pid
  2. احذف ملف القفل وملف رقم تعريف العملية (PID)، إذا تم العثور عليهما، وحاوِل إعادة تشغيل openldap. 
     rm /opt/apigee/var/run/apigee-openldap/apigee-openldap.lock
 rm /opt/apigee/var/run/apigee-openldap/apigee-openldap.pid
  3. إذا بدأت عملية OpenLDAP slapd، يمكنك تخطّي الخطوات أدناه.
  4. إذا لم تبدأ عملية OpenLDAP slapd، حاوِل تشغيل slapd في وضع تصحيح الأخطاء وابحث عن أي أخطاء: 
    slapd -h ldap://:10389/ -u apigee -F /opt/apigee/data/apigee-openldap/slapd.d -d 255
  5. قد تشير الأخطاء إلى مشاكل في الموارد. تحقَّق من استخدام الذاكرة ووحدة المعالجة المركزية على النظام.
  6. تحقَّق من إصدار OpenLDAP وقم بترقيته إذا كان قديمًا. ابحث عن الإصدارات المتوافقة من OpenLDAP في مستند البرامج المتوافقة. 
    slapd -V
  7. استخدِم strace لتحديد المشاكل في عملية slapd وحلّها، ولتقديم ناتج strace إلى فريق دعم Apigee: 
    strace -tt -T -f -F -i -v -e read=all -s 8192 -e write=all -o /tmp/strace.out -p <pid>

تلف بيانات OpenLDAP

المشكلة

لم يعُد بإمكان المستخدمين تشغيل طلبات الإدارة أو تسجيل الدخول إلى واجهة مستخدم Edge. قد يشير استخدام أداة ldapsearch للاستعلام عن المستخدمين إلى أنّ المستخدم موجود في مخزن بيانات LDAP، أو قد تحدّد الأداة المستخدمين أو الأدوار المحتمَلة غير المتوفّرة.

رسائل الخطأ

Unknown username and password combination.

الأسباب المحتمَلة

عادةً ما تحدث هذه المشكلة بسبب تلف بيانات OpenLDAP. لا تتلف بيانات OpenLDAP عادةً. ولكن في الحالات النادرة، قد يكون التلف ناتجًا عن عطل في قرص النظام أو مشاكل في مساحة القرص.

التشخيص

  1. تحقَّق من مساحة القرص على النظام الذي تم تثبيت OpenLDAP عليه باستخدام الأمر أدناه: 
    du -m /opt
  2. إذا ظهر لك أنّ مساحة القرص المستخدَمة قريبة جدًا من %100، يشير ذلك إلى أنّ سبب هذه المشكلة هو نفاد مساحة القرص على نظامك.
  3. تحقَّق من اتّساق البيانات على جميع عقد LDAP:
    1. قارِن عدد المستخدمين والأدوار على كل عقدة LDAP. شغِّل الأوامر التالية وقارِن النتائج. 
      ldapsearch -o ldif-wrap=no -b "ou=users,ou=global,dc=apigee,dc=com" -D "cn=manager,dc=apigee,dc=com" -H ldap://:10389 -LLL -x -w PASSWORD|wc -l
ldapsearch -o ldif-wrap=no -b "ou=resources,ou=global,dc=apigee,dc=com" -D "cn=manager,dc=apigee,dc=com" -H ldap://:10389 -LLL -x -w PASSWORD|wc -l
      يشير التباين في العدد بين العُقد إلى احتمال تلف البيانات.
    2. تحقَّق من حالة تكرار LDAP. شغِّل الأمر التالي على كل عقدة LDAP. 
        ldapsearch -x -LLL -H ldap://ldap_ip:10389 -s base -b 'dc=apigee,dc=com' contextCSN dn: dc=apigee,dc=com -D "cn=manager,dc=apigee,dc=com" -w PASSWORD dn: dc=apigee,dc=com
      إذا كانت قيمة contextCSN متطابقة على جميع العُقد، يعني ذلك أنّ عملية تكرار LDAP تعمل بشكلٍ صحيح.

الدقة

إذا نفدت مساحة القرص على نظامك أو أوشكت على النفاد، أضِف مساحة قرص إضافية لضمان توفّر مساحة كافية.

بعد توفّر مساحة كافية على القرص، استخدِم أحد الحلول التالية لمعالجة مشكلة تلف بيانات LDAP:

  1. استعِد بيانات OpenLDAP من النسخة الاحتياطية.
  2. نظِّف قاعدة بيانات OpenLDAP باتّباع الخطوات التالية:
    1. أوقِف خادم الإدارة 2 وLDAP2.
    2. استعِد LDAP1 من نسخة احتياطية للجهاز الظاهري (أو نسخة احتياطية من Apigee).
    3. تحقَّق من خادم الإدارة 1 بحثًا عن مشاكل في بدء التشغيل والاسترداد.
    4. بعد أن يعمل خادم الإدارة 1 وLDAP1 بشكلٍ صحيح، أعِد تثبيت LDAP2 من البداية (إنشاء مساحة فارغة تمامًا).
    5. اضبط LDAP2 في وضع القراءة فقط، ما يسمح لـ LDAP1 بتكرار البيانات إلى LDAP2.
    6. استخدِم ldapsearch للتأكّد من أنّ عدد الأسطر في LDAP1 وLDAP2 متطابق.
    7. أعِد تشغيل خادم الإدارة 2 وواجهة المستخدم 2 ، وتأكَّد من بدء تشغيلهما بنجاح.

للحصول على تعليمات مفصّلة، يُرجى الاطّلاع على أداة تتبُّع المشاكل العامة.

الحلّ رقم 1: استعادة بيانات LDAP من النسخة الاحتياطية

على عقدة OpenLDAP تعمل بشكلٍ صحيح، أنشِئ نسخة احتياطية. يجب إجراء النسخة الاحتياطية بانتظام. يُرجى الاطّلاع على دليل عمليات Apigee Private Cloud للحصول على أفضل الممارسات المتعلّقة بالنسخ الاحتياطية:

slapcat -F /opt/apigee/data/apigee-openldap/slapd.d -l /tmp/ldap-backup.ldif

يمكنك اتّباع الخطوات التالية لاستعادة بيانات OpenLDAP من نسخة احتياطية جيدة.

  1. أوقِف عقدة OpenLDAP التي يجب استعادة البيانات لها: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap stop
  2. غيِّر الدليل إلى دليل بيانات OpenLDAP: 
    cd /opt/apigee/data/apigee-openldap
  3. احتفِظ بنسخة احتياطية من بيانات OpenLDAP الحالية باستخدام الأمر move: 
    mv ldap ldap_orig
  4. بدِّل إلى مستخدم apigee: 
    su apigee
  5. من الدليل /opt/apigee/data/apigee-openldap، أنشِئ دليل بيانات OpenLDAP جديدًا بالاسم الأصلي: 
    mkdir ldap
  6. احتفِظ بنسخة احتياطية من الدليل الفرعي ldap_orig/DB_CONFIG من الخطوة 3، وانسخها إلى دليل openldap. 
    cp ldap_orig/DB_CONFIG ldap
  7. لاستعادة البيانات من نسخة احتياطية تم إنشاؤها باستخدام slapcat، استخدِم slapadd لاستيراد ملف ldif الذي يحتوي على البيانات الجيدة: 
    slapadd -F /opt/apigee/data/apigee-openldap/slapd.d -l /tmp/ldap-backup.ldif
  8. ابدأ عملية OpenLDAP: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap start

الحلّ رقم 2: تنظيف قاعدة بيانات LDAP

تؤدي الخطوات التالية إلى محو قاعدة بيانات OpenLDAP لتوفير بداية جديدة. يمكن استخدام هذا الحلّ إذا لم تكن هناك نسخة احتياطية من البيانات للحالة الأخيرة التي كانت تعمل فيها بيانات OpenLDAP.

  1. أوقِف خدمة OpenLDAP: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap stop
  2. غيِّر الدليل إلى دليل بيانات OpenLDAP: 
    cd /opt/apigee/data/apigee-openldap
  3. احتفِظ بنسخة احتياطية من بيانات OpenLDAP الحالية باستخدام الأمر move: 
    mv ldap ldap_orig
  4. بدِّل إلى مستخدم apigee: 
    su apigee
  5. أنشِئ دليل بيانات OpenLDAP جديدًا بالاسم الأصلي: 
    mkdir ldap
  6. احتفِظ بنسخة احتياطية من الدليل الفرعي ldap_orig/DB_CONFIG من الخطوة 3، وانسخها إلى دليل openldap directory: 
    cp ldap_orig/DB_CONFIG ldap
  7. أعِد تشغيل عملية OpenLDAP: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap start
  8. أعِد تشغيل خادم الإدارة لفرض إعادة تحميل الاتصالات بـ OpenLDAP: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

الحلّ رقم 3: إعادة ضبط OpenLDAP على عملية تثبيت أساسية

إذا لم يؤدِّ الحلّ رقم 2 إلى حلّ المشكلة، يمكنك إعادة ضبط OpenLDAP على عملية تثبيت أساسية، كما هو موضّح في هذا القسم.

المتطلبات الأساسية

لإعادة ضبط OpenLDAP، يجب استيفاء المتطلبات الأساسية التالية:

  • القدرة على تشغيل الإعداد باستخدام بيانات اعتماد مشرف النظام وLDAP الجذر.
  • الوصول إلى أداة ldapadd.
  • ملف الإعداد الصامت الأصلي المحفوظ لعقدة الإدارة/LDAP.

لإعادة ضبط OpenLDAP، اتّبِع الخطوات التالية:

  1. أعِد تثبيت OpenLDAP وخادم الإدارة.
    1. أوقِف خادم openldap: 
      apigee-service apigee-openldap stop
    2. احذف مجلد بيانات openldap التالف: 
      rm -rf /opt/apigee/data/apigee-openldap
    3. ألغِ تثبيت مكوّن openldap: 
      apigee-service apigee-openldap uninstall
    4. أعِد تثبيت مكوّن openldap باستخدام ملف الإعداد نفسه الذي تم استخدامه في عملية التثبيت الأولية: 
      /opt/apigee/apigee-setup/bin/setup.sh -p ld -f configfile
       حيث configfile هو اسم ملف الإعداد.
    5. أعِد تثبيت خادم الإدارة باستخدام ملف الإعداد الأصلي: 
      /opt/apigee/apigee-setup/bin/setup.sh -p ms -f configfile

    After doing these steps, Management API calls should work again using the sysadmin account only. However, it will not be possible to log into the Edge UI, and Management API calls with any other users will not work.

  2. Add missing openldap entries for orgs that existed prior to the corruption.

    After the above step is completed, openldap will be missing entries for orgs that existed when the corruption occurred. The majority of the actual org data such as proxy bundles is stored in Cassandra or Zookeeper is not lost. However, running the setup-org script will not automatically add the openldap data for the orgs that already exist in Cassandra, and Zookeeper. This data has to be added manually for every org that existed prior to the corruption using the following steps:

    1. Create an ldif file called missingLDAP.ldif with the following content: 
      # orgname, organizations, apigee.com
dn: o=orgname,ou=organizations,dc=apigee,dc=com
objectClass: organization
O: orgname

# userroles, orgname, organizations, apigee.com
dn: ou=userroles,o=orgname,ou=organizations,dc=apigee,dc=com
ou: userroles
objectClass: organizationalUnit

# orgadmin, userroles, orgname, organizations, apigee.com
dn: cn=orgadmin,ou=userroles,o=orgname,ou=organizations,dc=apigee,dc=com
objectClass: organizationalRole
cn: orgadmin
roleOccupant: uid=admin,ou=users,ou=global,dc=apigee,dc=com

# resources, orgadmin, userroles, orgname, organizations, apigee.com
dn: ou=resources,cn=orgadmin,ou=userroles,o=orgname,ou=organizations,dc=apigee,dc=com
ou: resources
objectClass: organizationalUnit

# @@@, resources, orgadmin, userroles, orgname, organizations, apigee.com
dn: cn=@@@,ou=resources,cn=orgadmin,ou=userroles,o=orgname,ou=organizations,dc=apigee,dc=com
roleOccupant: ou=delete,ou=permissions,dc=apigee,dc=com
roleOccupant: ou=get,ou=permissions,dc=apigee,dc=com
roleOccupant: ou=put,ou=permissions,dc=apigee,dc=com
labeledURI: /
objectClass: organizationalRole
objectClass: labeledURIObject
cn: @@@

      حيث orgname هو المؤسسة التي تحاول إعادة إنشائها.

    2. أضِف كيانات LDAP غير المتوفّرة باستخدام الأمر التالي: 
      ldapadd -x -w  -D "cn=manager,dc=apigee,dc=com" -H ldap://localhost:10389 -f missingLDAP.ldif

    ستؤدي الخطوات أعلاه إلى إنشاء الإدخالات غير المتوفّرة لمؤسسة حالية، وأذونات orgadmin لهذه المؤسسة. كرِّر الخطوات لكل مؤسسة يجب إعادة إنشائها. في هذه المرحلة، يمكنك إضافة مستخدمين orgadmin إلى مؤسسة، ولكن الأدوار التلقائية الأخرى غير متوفّرة بعد، لذا عليك إضافتها باستخدام الخطوة التالية.

  3. أضِف الأدوار والأذونات التلقائية غير المتوفّرة إلى مؤسسة حالية.

    باستخدام ملف الإعداد نفسه الذي تم استخدامه في البداية لإعداد أي من المؤسسات الحالية، شغِّل الأمر التالي:

    /opt/apigee/apigee-service/bin/apigee-service apigee-provision create-roles -f configfile

    4. بعد اتّباع هذا الإجراء، عليك تنفيذ ما يلي يدويًا:

    • أضِف أي أدوار مخصّصة كانت متوفّرة قبل التلف باستخدام واجهة المستخدم أو واجهة برمجة تطبيقات الإدارة،
    • أضِف أي مستخدمين إلى أدوار المستخدمين ذات الصلة.

  4. (اختياري) أعِد إنشاء إعداد المصادقة الخارجية على الإدارة.

    استعِد الملف /opt/apigee/customer/application/management-server.properties إذا لم يتم تغيير الإعدادات. بما أنّه لم تتم إعادة تثبيت واجهة المستخدم، يجب أن يظلّ الملف /opt/apigee/customer/application/ui.properties كما هو، علمًا أنّه تم استعادة بيانات اعتماد مشرف النظام باستخدام عملية التثبيت الجديدة للإدارة.

  5. (اختياري) أعِد تثبيت Apigee mTLS على عقدة الإدارة.

    إذا تم تثبيت Apigee mTLS سابقًا، اتّبِع دليل تثبيت Apigee mTLS لإعادة تثبيته على عقدة خادم الإدارة.

إذا استمرّت المشكلة، تواصَل مع فريق دعم Apigee للحصول على مزيد من المساعدة.