a8v3.5與ad集成問(wèn)題排查手冊(cè)

目引 文檔目 適用范 A8與AD集成總體介 集成的目 全局排 客戶端排 檢查在IE瀏覽器地址欄中輸入的A8地址是否正 檢查A8登陸頁(yè)面的源文件中authorization的value值是否正 檢查IE瀏覽器配置是否正 檢查能否通AD服務(wù)器的完整計(jì)算機(jī)名 A8服務(wù)器排 檢查能否通AD服務(wù)器的完整計(jì)算機(jī)名 檢查A8域用戶的權(quán)限是否正 檢查A8服務(wù)器的 檢查Apache控制臺(tái)和v3x.log日志是否有異常信 檢查A8應(yīng)用系統(tǒng)中與AD集成相關(guān)的功能的配置是否正 AD服務(wù)器排 檢查A8服務(wù)器的域用戶的SPN是否正 檢查DNS服務(wù)器中A8服務(wù)器、客戶端的計(jì)算機(jī)名稱和IP地址的映射關(guān)系是 A8與AD集成的常見(jiàn)問(wèn) AD服務(wù)器的IP地址發(fā)生變化該怎么辦 在Apache控制臺(tái)或者v3x.log日志中發(fā)現(xiàn)錯(cuò)誤Mechanismlevel:Specifiedversionofkeyisnotavailable Apachev3x.logMechanismlevel:Clockskewtoogreat netconfig 引本文檔主要介紹了在A8與AD集成失敗之后如何、高效地開(kāi)果想要了解A8與AD集成的基礎(chǔ)知識(shí)、集成的過(guò)程請(qǐng)參考其他的本文檔適用于A8V3.5版本。A8AD集成總體介如果沒(méi)有實(shí)現(xiàn)A8與AD集成用域用戶登陸客戶端之后，A8系統(tǒng)時(shí)，還需要再次輸入A8的用戶名、才能登陸系統(tǒng)。實(shí)現(xiàn)A8與AD集成之后，用戶使用域用戶登陸客戶端之后，A8系統(tǒng)時(shí)無(wú)需再次輸入A8用戶名、，直接單擊登陸按鈕進(jìn)入A8統(tǒng)。一、AD服務(wù)

A8AD1、AD服務(wù)器的操作系統(tǒng)一般會(huì)選擇Windows2003或者Windows2、AD服務(wù)器的主要ActiveDirectory用戶和計(jì)算機(jī)、DNS服務(wù)器、Kerberos服務(wù)器（KDC服務(wù)器。ActiveDirectory用戶和計(jì)算機(jī)中了域中所有計(jì)算機(jī)的域用戶、登陸等信息；DNS服務(wù)器中維護(hù)了域中所有計(jì)算機(jī)的IP地址與計(jì)算機(jī)名之間的映射關(guān)系，在計(jì)算機(jī)成功加入域之后，DNS服務(wù)器中會(huì)自動(dòng)添加該計(jì)算機(jī)的IP地址與計(jì)算機(jī)名稱之間的映射關(guān)系；Kerberos服務(wù)器負(fù)責(zé)管理域中所有計(jì)算機(jī)的認(rèn)證，包括AS和TGS兩個(gè)服務(wù)，AS負(fù)責(zé)為計(jì)算機(jī)頒發(fā)，TGS負(fù)責(zé)計(jì)算機(jī)請(qǐng)求的服務(wù)器的服務(wù)頒發(fā)服務(wù)票據(jù)3、AD服務(wù)器負(fù)責(zé)為A8服務(wù)器生成A8Server.keymap文件。二、A8服務(wù)器1、A8服務(wù)器上安裝完A8應(yīng)用系統(tǒng)后，需要將AD服務(wù)器上生成A8Server.keymap文件拷貝到 下2、A8服務(wù)器的DNS必須有一個(gè)是指向AD服務(wù)器的IP地址3A8服務(wù)器的計(jì)算機(jī)名（不包含必須與AD服務(wù)器中的1、IE瀏覽器必須設(shè)置啟用集成Windows驗(yàn)證選項(xiàng)；在本地中加入A8的地址（服務(wù)器的完整計(jì)算機(jī)名稱2、客戶端的DNS必須有一個(gè)是指向AD服務(wù)器的IP地址3、客戶端的計(jì)算機(jī)名稱（不包含）必須與AD服務(wù)器中的客戶排錯(cuò)的基本原1、收集ADA8的運(yùn)行環(huán)境信息，做好記錄2為全局排錯(cuò)->客戶端排錯(cuò)->A8服務(wù)器排錯(cuò)->AD服務(wù)器排錯(cuò)。排錯(cuò)前收集環(huán)境信在排錯(cuò)之前，需要詳細(xì)了解A8與AD集成環(huán)境的詳細(xì)信息，主要包括客戶、AD服務(wù)器、A8服務(wù)器、客戶端的詳細(xì)信息，可按照下表對(duì)上述信息進(jìn)行，在的過(guò)程中一定要認(rèn)真仔細(xì)，此表可以作為續(xù)研發(fā)進(jìn)一步排錯(cuò)的 A8與AD集成環(huán)境信息聯(lián)系人 □可AD服務(wù) □可A8應(yīng)用服務(wù)□可客戶 （□QQ/□其他工具AD服務(wù)□Windows2003□Windows2008□其他 (32/64位IP□是□否AD服務(wù)器域管理員的登陸是否發(fā)生變化ADIP A8服務(wù)□Windows2003□Windows2008□其他 (32/64位IPA8□是□否A8服務(wù)器域用戶的登陸是否發(fā)生變化□Windows □Windows □Windows□Windows2000□Windows2003□Windows□其他 (32/64位IP 備注(除了上述信息以外，到的其他信息在備注中進(jìn)行說(shuō)明人排錯(cuò)的具體步與客戶方的AD管理員確認(rèn)AD服務(wù)器、A8服務(wù)器、客戶端的時(shí)間是否同步，如果不同步，則聯(lián)系客戶方的AD理員將其時(shí)間進(jìn)行同步。以下排錯(cuò)過(guò)程是以操作系統(tǒng)為WindowsXP的客戶端進(jìn)行說(shuō)在操作系統(tǒng)令行中輸入netconfigworkstation（此命令在所有Windows系統(tǒng)中都支持，回車：上圖表示在計(jì)算機(jī)加入域之前使用本地Administrator用戶登陸上圖表示計(jì)算機(jī)使用域用戶登陸計(jì)算機(jī)后，可以在工作站域DNS名稱處看到，例如，檢查是否正確，如果不正確，注銷選擇正確的和域用戶登陸客戶端。檢查在IE瀏覽器地址欄中輸入的A8地址是否正A8AD實(shí)現(xiàn)集成之后，必須使用A8務(wù)器的完整計(jì)算機(jī)名稱A8應(yīng)用系例如A8服務(wù)器的完整計(jì)算機(jī)名在IE瀏覽器的地址欄中應(yīng)該A8authorizationvalue值是注意：如果經(jīng)檢查發(fā)現(xiàn)authorization的value明客戶端已經(jīng)工作正常，無(wú)需再對(duì)客戶端進(jìn)行排錯(cuò)，客戶端的排錯(cuò)工作可到此為止，可繼續(xù)對(duì)A8服務(wù)器或者AD服務(wù)器進(jìn)行排錯(cuò)，找出問(wèn)題的原因。1、在A8登陸頁(yè)面單擊右鍵，彈出右鍵菜單2、在右鍵菜單上，單擊查看3、檢查源文件中的authorization對(duì)應(yīng)的value值authorizationvalue是否正原因分1IE瀏覽器中輸入的地址不正ws驗(yàn)證3A84A8value="NegotiateTlRMTVNTUAA1A82A8value="NegotiateYIIGOQYGKwY aMIIF1qADAgEFoQMCAQ6iBwMFACAADRC5DRUJCQU5LLkNPTaIuMCyg QEoAMC（value長(zhǎng)度會(huì)比較長(zhǎng)，只通過(guò)長(zhǎng)度即可判斷valueDvsdcthaMoEYZxY720+qDrl6wSUUAgm2Ym/tnrZbwW0/tZVnJMzGdwLFhCUZtZ1R6Ns9T9WTmf8orJM+/XSF0+yYpjN1qWCDoNtADxAKBkPDDf3tiIAX6jN/Alz9sJd4bCC7ukm1e0IU+FEX7wZp0La3BUuh6Q85CAQerTePi6Dn55LIGzqY5/25AozO+7ZtXj11+VYarzDmkggFgMIIw8VDqGzThxj/7iby+Zb7GK1GJuh6eM2n3O+rm19UgJOza13AP4gHvjQj+BJjt8KZ+gAHZI7YilZ+9DvW1pqNmtYaQlgywkMVgR98F3N6SjC+CUUn2jQQC8HkkZFVKSgAs8A6CqmQtvt617A5p/K95d+n2kKYivtKkR3mybwLrSKir6SfX6JymqCdB8CVf/236R5IE以下內(nèi)容是以IE6.0行說(shuō)1、單擊工具菜單-Internet選項(xiàng)，彈出Internet選項(xiàng)窗口2、單擊[安全]選項(xiàng)卡3、選中本地Intranet，單擊站4、單擊高級(jí)按檢查下方的是否存在A8應(yīng)用系統(tǒng) 地址，如果不存在，理過(guò)程如下在“將該添加到區(qū)域中”下方的輸入框中輸入A8應(yīng)用系統(tǒng)的訪問(wèn)地址，例如 單擊添加按鈕單擊確定按（所有窗口上都要單擊確定按鈕（https:5、單擊[高級(jí)]選項(xiàng)卡檢查是否選中“啟用集成Windows驗(yàn)證（需要重啟動(dòng)，設(shè)置完成后，需要重新打開(kāi)新的IE覽器才能生效。檢查能否通AD服務(wù)器的完整計(jì)算機(jī)名在命令行中執(zhí)行命令注意：必須AD服務(wù)器的完整計(jì)算機(jī)名稱，例如。能夠通AD服務(wù)無(wú)法通AD服務(wù)如果發(fā)現(xiàn)無(wú)法通AD服務(wù)器，是由于客戶端的DNS中沒(méi)有指AD服務(wù)器的IP。處理過(guò)程如下1、在桌面的“網(wǎng)上鄰居”上右鍵屬2、在本地連接上右鍵單擊屬3、選擇Internet（TCP/IP，單擊屬性在“使用下面的DNS務(wù)器地址”中增AD服務(wù)器的IP如果DNS配置正確后，仍然無(wú)法通，則說(shuō)明：1、可能是由于客戶端和AD服務(wù)器之間的網(wǎng)絡(luò)故障引2、客戶端調(diào)整過(guò)IP址，導(dǎo)致AD器的DNS務(wù)器中的客戶端計(jì)算機(jī)名稱與IP地址之間的映射關(guān)系錯(cuò)誤（參見(jiàn)AD服務(wù)器排錯(cuò)章節(jié)）導(dǎo)致A8服務(wù)器沒(méi)有成功加入域的原因有很多，例如A8服務(wù)器與AD服務(wù)器之間的網(wǎng)絡(luò)連接出現(xiàn)故障、AD服務(wù)器的Kerberos認(rèn)證服務(wù)可通A8服務(wù)器上通過(guò)執(zhí)行klist命令A(yù)8服務(wù)器是否加入1、以管理員運(yùn)行cmd，打開(kāi)命令行工具，執(zhí)行klist命令，如如果A8服務(wù)器或者客戶端沒(méi)有加入域，聯(lián)系客戶方的AD管理員檢A8務(wù)器沒(méi)有成功加入域的原因并解決此問(wèn)題。A8A8在操作系統(tǒng)令行中輸入netconfigworkstation（此命令在所有Windows系統(tǒng)中都支持，回車：上圖表示在計(jì)算機(jī)加入域之前使用本地Administrator用戶登陸上圖表示計(jì)算機(jī)名稱改為server2后，并且使用server2域用戶加計(jì)算機(jī)全名用戶名工作站域DNS稱可以根據(jù)以下公式進(jìn)行判斷計(jì)算機(jī)戶名.工作站域DNS1戶重新選擇正確的域用戶登陸到A8服務(wù)器；2、選擇了錯(cuò)誤的域用戶登陸到系統(tǒng)中，必須選擇與A8服務(wù)器計(jì)算檢查能否通AD服務(wù)器的完整計(jì)算機(jī)名目的就是檢查A8服務(wù)器的DNS配置是否正確，具體操作過(guò)5.2.5檢查能否通AD服務(wù)器的完整計(jì)算機(jī)名稱A8與客戶方的AD管理員確認(rèn)A8域用戶是否具備管理員權(quán)限，如果沒(méi)有此權(quán)限則聯(lián)系客戶AD管理員將A8域用戶加入管理員權(quán)限組中。如果A8用戶沒(méi)有管理員權(quán)限，可能會(huì)導(dǎo)致使用A8戶登陸A8服務(wù)器后，無(wú)法安裝或運(yùn)行A8應(yīng)用系統(tǒng)檢查A8服務(wù)器的 下是否存此文件是由AD服務(wù)器執(zhí)行ktpass命令生成，拷貝到A8服務(wù)器的A 如果存在此文件，則還應(yīng)該檢查A8Server.keymap文件的創(chuàng)建時(shí)間如果不存在此文件，則需要在AD服務(wù)器中執(zhí)行ktpass命令重新生keymap件。Apachev3x.log如果有異常信息，首先按照本文檔中提到的異常的解決辦法進(jìn)行處理，如果是新發(fā)現(xiàn)的異常，則需要做好日志的備份和記錄，以便提交給開(kāi)發(fā)部進(jìn)行問(wèn)題確認(rèn)和。A8AD集成相關(guān)的功能的配置是否具體的檢查步驟如下1、系統(tǒng)管理員登陸，檢查基礎(chǔ)設(shè)置 服務(wù)配置是否正確2、管理員登陸，檢查單位管理中單位綁定AD的組織單元是否3、單位管理員登陸，檢查單位中人員綁定AD的域用戶是否正A8ADADA8與AD集成出現(xiàn)問(wèn)題。通過(guò)在A8服務(wù)器上通過(guò)執(zhí)行klist命令進(jìn)行檢查，具體步驟如下1、以管理員運(yùn)行cmd，打開(kāi)命令行工具，執(zhí)行klist命令，如如果A8服務(wù)器在域環(huán)境中出現(xiàn)了故障，很可能是由于AD服務(wù)器出現(xiàn)了問(wèn)題，聯(lián)系客戶方的AD理員AD務(wù)器工作是否正常。ADA8SPN檢查SPN置的是否正確，具體操作如下：1、以管理員打開(kāi)cmd命令行2、在命令行中執(zhí)行以下命令，檢查SPN是否存在重名的情況setspn-執(zhí)行結(jié)果如下如果查詢的結(jié)果為0個(gè)重復(fù)，就說(shuō)明是正常的，否則說(shuō)明SPN出現(xiàn)如果發(fā)現(xiàn)SPN要聯(lián)系A(chǔ)D員將重復(fù)的域用戶的SPN除3、在命令行中執(zhí)行以下命令，檢查SPN是否存setspnulA8器的域用戶名稱例如：setspn–ulserver2執(zhí)行結(jié)果如下如果能夠查詢到HTT （server2是A8服務(wù)器域用戶名，是，則說(shuō)明在AD服務(wù)器上曾經(jīng)使用ktpass命令生成過(guò)keymap文件。第一個(gè)原因：SPN創(chuàng)建；第二個(gè)原因：SPN曾將創(chuàng)建過(guò)，后來(lái)又被刪除如果SPN在，最好的辦法就是在AD服務(wù)器上刪除A8服務(wù)域用戶，重建創(chuàng)建新的A8服務(wù)器的域用戶，重新執(zhí)行ktpass命令生成新的A8Server.keymap將新keymap文件拷貝到A8務(wù)器上。重新生成keymap時(shí)一定要注意vno問(wèn)題。注意：Windows2003操作系統(tǒng)上默認(rèn)是沒(méi)有setspn命令的，雖然也沒(méi)有檢查域用戶的SPN，只能檢查計(jì)算機(jī)的SPN。如果是Windows2003操作系統(tǒng)，就無(wú)法使用setspn命令進(jìn)行檢查，那么在排除了客戶端、A8務(wù)器、AD務(wù)器的問(wèn)題之后，還沒(méi)有找到具體原因，就可以采用上述SPN處理辦法，刪除A8務(wù)器的域用戶并重建。這種方式是安全的，假如A8務(wù)器已經(jīng)加入域中并且正在運(yùn)行，此AD務(wù)器上刪除A8的域用戶并重建是允許的，不會(huì)影響到A8務(wù)器的正常運(yùn)行，A8器也無(wú)需重啟。DNSA8Windows2008為例進(jìn)行說(shuō)1、單擊開(kāi)始菜單>管理工具2、在上圖中的左側(cè)窗口中，單擊，例如，在右側(cè)窗口中會(huì)顯示出此域中的所有計(jì)算機(jī)的名稱與IP地址的映示的是計(jì)算機(jī)名稱，例如server1，數(shù)據(jù)列顯示的是計(jì)算機(jī)對(duì)應(yīng)的IP地址，例如。在上圖中檢查計(jì)算機(jī)名稱與IP地址的映射關(guān)系是否正況下在右側(cè)窗口中能夠查看到AD服務(wù)器、A8服務(wù)器以及所有客戶端的計(jì)算機(jī)名稱和IP地址的映射關(guān)系。如果不正確或者沒(méi)有，可以手工進(jìn)行添加計(jì)算機(jī)名稱與IP的映射關(guān)系單擊新建主機(jī)在名稱下方的輸入框中輸入計(jì)算機(jī)名稱，例如在IP地址下方的輸入框中輸入計(jì)算機(jī)對(duì)應(yīng)的IP地址，例如192.16最后，單擊添加主機(jī)按鈕修改計(jì)算機(jī)名稱與IP的映射關(guān)如果發(fā)現(xiàn)計(jì)算機(jī)名稱對(duì)應(yīng)的IP地址不正在右側(cè)窗口上選中要IP地址下方輸入框中的IP地址修改為正確的IP擊確定A8AD集成的常見(jiàn)問(wèn)AD服務(wù)器域管理員的登陸發(fā)生變化該怎么辦系統(tǒng)管理員登陸A8系統(tǒng)，在基礎(chǔ)設(shè)置 服務(wù)配置中修改管理，保存設(shè)A8服務(wù)器的域用戶的登陸發(fā)生變化怎么辦在AD服務(wù)器令行中執(zhí)行ktpass命令重新生成keymap文件將新的keymap拷貝到A8務(wù)器上。注意vno版本不一致的問(wèn)題ADIP1、檢查A8服務(wù)器、客戶DNS是否設(shè)置為AD務(wù)器IP址2、系統(tǒng)管理員登陸A8系統(tǒng)，在基礎(chǔ)設(shè)置 服務(wù)配置中修改地址，保存設(shè)部分客戶端能夠成功登陸A8，還有一部分客戶端不能成功此問(wèn)題很可能是因?yàn)榭蛻舳伺cAD服務(wù)器的時(shí)間未同步造成的AD理員檢查時(shí)間是否同步。Apachev3x.log日志中發(fā)現(xiàn)錯(cuò)誤Mechanismlevel:Specifiedversionofkeyisnot錯(cuò)誤的詳細(xì)異常信息如下level:level:SpecifiedversionofkeyisnotavailableGSSException:FailureunspecifiedatGSS-APIlevel在AD服務(wù)器令行中每次執(zhí)行ktpass命令生成A8Server.keymap文件時(shí)，keymap文件中的vno會(huì)自動(dòng)+1，再將此keymap文件拷貝到A8服務(wù)器之后，會(huì)造成客戶端和A8服務(wù)器之間的vno版本號(hào)不致的問(wèn)解決辦法是讓AD管理員在AD服務(wù)器中刪除并重建A8服務(wù)器的域用戶，重新在AD務(wù)器上執(zhí)行ktpass命令生成新的keymap再將新的keymap拷貝到A8務(wù)器上，A8務(wù)無(wú)需重啟。切記客戶端需注銷重新登錄或在 控制臺(tái)或者 日志中發(fā)現(xiàn)錯(cuò)Mechanismlevel:Clockskewtoo錯(cuò)誤的詳細(xì)異常信息如下GSSException:GSSException:FailureunspecifiedatGSS-APIlevellevel:Clockskewtoogreat客戶端時(shí)間與AD域控制器不同步，解決辦法是讓AD域管理員同步時(shí)間，也可以檢查一下KerberosAD1000如果AD服務(wù)器中的域用戶數(shù)量達(dá)到1000個(gè)左右，會(huì)導(dǎo)致管理員在A8系統(tǒng)中為單位綁定節(jié)點(diǎn)時(shí)的彈出窗口中顯示的節(jié)點(diǎn)可能不全或這是因?yàn)锳D器的默認(rèn)允許A8LDAP接口獲取的節(jié)點(diǎn)數(shù)為1000，在AD務(wù)器中將此參數(shù)調(diào)大就可以了。具體如何在AD服務(wù)器上調(diào)整這個(gè)操作系統(tǒng)的參登陸公司協(xié)->產(chǎn)品FAQ->ALL，如下圖所示找到標(biāo)題為“AD對(duì)通過(guò)LDAP接口取用戶數(shù)的擊此標(biāo)題查附件1：命令行常用命1、命令作用在域用戶登陸計(jì)算機(jī)之后，檢查域用戶的和服務(wù)票據(jù)。一般用此方法檢查域用戶是否成功加入到域中，或者在域環(huán)境中運(yùn)行是否正常。一般僅在支持此命令的A8服務(wù)器上執(zhí)行此命令進(jìn)行檢2、命令用法klist查詢出所有的票據(jù)，包括、服務(wù)票據(jù)klist查詢信息klist清空內(nèi)存中的所有票1、命令作用在AD服務(wù)器中令行中使用此命令可以為A8應(yīng)用系統(tǒng)生成keymap件。注意：僅在AD服務(wù)器中運(yùn)行此命令2、命令用法 KTPASS/princ /Pass /out -ptype：A8服務(wù)器的域用戶.，上述命令中A8服務(wù)器的域用戶為s：，上述命令中：A8服務(wù)器的域用：A8服務(wù)器的域用戶的登陸，上述命令中為：生成的A8Server.keymap文件的路徑，上述命令中為c:\注意生成的文件名必須為A8Server.keymap，路徑可以隨意指定1、命令作用此命令位于A8安 的 下在命令行中定位到j(luò)dk/bin 注意：此命令僅在A8服務(wù)器中運(yùn)行。2、命令用法keytool-import-aliasA8_cacert-file-keystore"C:/A8Server/ -storepass：的別名，可以默認(rèn)為A8_cacert，也可以自定義：在A8服務(wù)器上存放從AD服務(wù)器上生成的的文件路徑。上述命令中為C:/certnew.cer，certnew.cer文件是在AD服務(wù)器上通過(guò)IIS成并拷貝到A8務(wù)器的C:/根下。：A8AD服務(wù)器上生成的的文件路徑必須設(shè)置為A8裝中的jdk/jre/lib/security/cacerts件。上述命令中為C:/A8Server/1/jdk/jre/lib/security/cacerts，其中C:/A8Server/domain1/為A8安裝。如果在執(zhí)行此命令之前在jdk/jre/lib/security文件夾已經(jīng)存在cacerts文件要先刪除此文件再執(zhí)行此命令，A8AD服務(wù)器上生成的的此可以自行設(shè)定，沒(méi)有特別要求，但是必須要記住，最好能夠記錄在相關(guān)的文檔中。因?yàn)槿绻驗(yàn)槲④浐蚃DK不兼容的問(wèn)題安裝不成功，在執(zhí)行rebuildCA.bat批處理命令重新格式化時(shí)，需要提供此才能到的1、命令作用在命令行中執(zhí)行此命令，檢查網(wǎng)絡(luò)是否正常2、命令用法 說(shuō)明本地計(jì)算機(jī)的DNS配置是正確的，否則需要檢查本地的DNS是否包含域服務(wù)器的IP地址。1、命令作用在命令行中執(zhí)行此命令，檢查本地IP地址、DNS配置等信2、命令用法查看本地計(jì)算機(jī)所有網(wǎng)卡的