Dépannage de l'identité

Chaque entrée nomme un symptôme, sa cause et ce qu'il faut faire. Les identifiants de message renvoient à l'entrée des codes d'erreur.

Connexion refusée

Cause. Kyvernon donne une seule réponse, error.auth.invalid_credentials, pour toutes les raisons : l'utilisateur n'existe pas, le mot de passe est faux, le compte est désactivé ou verrouillé, ou la politique de connexion a refusé le compte. Après dix échecs en 15 minutes, le compte est verrouillé pour 15 minutes. La console indique alors combien de temps attendre.

Solution.

1. Vérifiez le nom d'utilisateur et le mot de passe.
2. Un administrateur lit le compte avec kyvernon users get <username> : enabled, locked et lockedUntil.
3. Activez le compte avec kyvernon users enable <username>, ou levez le verrouillage avec kyvernon users unlock <username>.
4. Le journal d'audit contient la vraie raison : kyvernon audit list.

Trop de tentatives

Cause. Une adresse, ou un nom d'utilisateur depuis une adresse, a échoué plusieurs fois, et Kyvernon retarde les tentatives suivantes (error.auth.rate_limited). Le délai croît jusqu'à 15 minutes. Les utilisateurs derrière un même proxy partagent l'adresse que voit le contrôleur.

Solution. Attendez le délai indiqué dans le message. Quand des utilisateurs partagent un proxy, un administrateur le liste dans trusted_proxies dans la section [http] de la configuration du contrôleur pour que la vraie adresse du client soit utilisée.

Code de vérification non accepté

Cause. Le code a expiré ou a déjà été utilisé, ou l'horloge du téléphone est décalée (error.auth.invalid_code). La connexion peut aussi avoir attendu trop longtemps le code (error.auth.mfa_expired) : la première étape est valable 5 minutes.

Solution.

1. Attendez le code suivant et saisissez-le. Vérifiez l'horloge du téléphone.
2. Utilisez un code de récupération quand le téléphone est perdu. Chacun ne fonctionne qu'une fois.
3. Un administrateur supprime l'enrôlement avec kyvernon users reset-mfa <username> quand le téléphone et les codes sont perdus. L'utilisateur configure de nouveau la validation à la prochaine connexion.

Session terminée

Cause. La session a atteint sa durée de vie, est restée inactive 15 minutes, ou a été terminée par un administrateur (error.auth.session_expired). Un jeton de renouvellement utilisé deux fois met fin à toute la session par précaution (error.auth.refresh_reuse).

Solution. Connectez-vous de nouveau ; la console conserve le travail non enregistré de la page. Quand des sessions se terminent plus tôt que ne le disent les paramètres, un administrateur lit kyvernon sessions list et le journal d'audit, et vérifie session_idle dans Sécurité de la connexion.

Autorisation refusée

Cause. L'utilisateur n'a pas un privilège sur l'objet (error.permission_denied). Les raisons : aucune autorisation sur l'objet ni au-dessus, un rôle sans le privilège, une autorisation avec le rôle No access sur un enfant qui l'emporte sur un accès accordé plus haut, une autorisation qui ne se propage pas, ou un utilisateur d'un locataire hors des dossiers du locataire.

Solution.

1. Trouvez le privilège dans la référence : Privilèges.
2. Vérifiez-le pour l'utilisateur connecté : kyvernon privileges check <entity> <privilege>.
3. Lisez les autorisations de l'objet et de ses parents : kyvernon permissions list <entity>, ou l'onglet Autorisations.
4. Donnez un rôle qui contient le privilège, voir Rôles et autorisations.

Objet introuvable

Cause. L'objet n'existe pas, ou l'utilisateur n'a pas le droit de le voir. Kyvernon répond aux deux cas par error.not_found, pour que la réponse ne révèle pas ce qui existe.

Solution. Vérifiez l'identifiant. Quand l'objet existe, demandez à un administrateur un rôle qui accorde System.View dessus.

Requête rejetée comme conflit

Cause. La requête utilisait une ancienne version de l'objet (error.conflict), ou le nom existe déjà (error.already_exists). Un utilisateur fédéré dont le nom est celui d'un utilisateur local est refusé pour la même raison.

Solution. Lisez de nouveau l'objet et répétez la modification avec sa version actuelle, ou choisissez un autre nom.

La connexion avec le fournisseur échoue

Cause. Le fournisseur a refusé ou n'a pas répondu, la connexion a pris plus de temps que sa validité (10 minutes), ou le fournisseur n'a envoyé aucun nom d'utilisateur utilisable. La console indique que la connexion avec l'organisation n'a pas abouti.

Solution. Réessayez ou utilisez un compte local. Un administrateur vérifie kyvernon auth config, l'émetteur, le fichier du secret du client et l'adresse de redirection dans la section [oidc]. Voir Authentification unique.

Automatisation refusée

Cause. Le jeton a expiré ou a été révoqué, l'utilisateur est désactivé, ou le point de terminaison n'accepte pas le mot de passe du compte (error.unauthenticated). Sur les points de terminaison vSphere, le paramètre facade_login peut n'autoriser que les jetons.

Solution. Créez un nouveau jeton avec kyvernon auth api-tokens create <name> ; voir Jetons d'API. Transmettez le jeton avec --token-file ou dans le champ du mot de passe.

Voir aussi

• Sécurité de la connexion
• Sessions et audit