Identiteitsproblemen oplossen

Elk onderdeel noemt een symptoom, de oorzaak en wat u moet doen. Bericht-id's verwijzen naar het onderdeel in de foutcodes.

Aanmelding geweigerd

Oorzaak. Kyvernon geeft één antwoord, error.auth.invalid_credentials, voor elke reden: de gebruiker bestaat niet, het wachtwoord is fout, het account is uitgeschakeld of geblokkeerd, of het aanmeldbeleid heeft het account geweigerd. Na tien mislukte pogingen binnen 15 minuten is het account 15 minuten geblokkeerd. De console zegt dan hoelang u moet wachten.

Oplossing.

1. Controleer de gebruikersnaam en het wachtwoord.
2. Een beheerder leest het account met kyvernon users get <username>: enabled, locked en lockedUntil.
3. Schakel het account in met kyvernon users enable <username>, of hef de blokkering op met kyvernon users unlock <username>.
4. Het auditlogboek bevat de echte reden: kyvernon audit list.

Te veel pogingen

Oorzaak. Eén adres, of één gebruikersnaam vanaf één adres, is meerdere keren mislukt, en Kyvernon vertraagt verdere pogingen (error.auth.rate_limited). De vertraging loopt op tot 15 minuten. Gebruikers achter één proxy delen het adres dat de controller ziet.

Oplossing. Wacht de tijd uit het bericht af. Als gebruikers een proxy delen, zet een beheerder de proxy in trusted_proxies in de sectie [http] van de controllerconfiguratie, zodat het echte clientadres wordt gebruikt.

Verificatiecode niet geaccepteerd

Oorzaak. De code is verlopen of al gebruikt, of de klok van de telefoon loopt niet gelijk (error.auth.invalid_code). De aanmelding kan ook te lang op de code hebben gewacht (error.auth.mfa_expired): de eerste stap is 5 minuten geldig.

Oplossing.

1. Wacht op de volgende code en vul die in. Controleer de klok van de telefoon.
2. Gebruik een herstelcode als de telefoon kwijt is. Elke code werkt één keer.
3. Een beheerder verwijdert de inschrijving met kyvernon users reset-mfa <username> als de telefoon en de codes kwijt zijn. De gebruiker stelt de verificatie bij de volgende aanmelding opnieuw in.

Sessie beëindigd

Oorzaak. De sessie heeft haar levensduur bereikt, was 15 minuten inactief of is door een beheerder beëindigd (error.auth.session_expired). Een vernieuwingstoken dat twee keer wordt gebruikt, beëindigt voor de zekerheid de hele sessie (error.auth.refresh_reuse).

Oplossing. Meld u opnieuw aan; de console bewaart het niet-opgeslagen werk van de pagina. Als sessies eerder eindigen dan de instellingen zeggen, leest een beheerder kyvernon sessions list en het auditlogboek, en controleert session_idle in Aanmeldbeveiliging.

Machtiging geweigerd

Oorzaak. De gebruiker mist een bevoegdheid op het object (error.permission_denied). De redenen: geen machtiging op het object of erboven, een rol zonder de bevoegdheid, een machtiging met de rol No access op een kind die een hoger gegeven toegang overschrijft, een machtiging die niet doorwerkt, of een tenantgebruiker buiten de mappen van de tenant.

Oplossing.

1. Zoek de bevoegdheid in de referentie: Bevoegdheden.
2. Controleer haar voor de aangemelde gebruiker: kyvernon privileges check <entity> <privilege>.
3. Lees de machtigingen van het object en van zijn ouders: kyvernon permissions list <entity>, of het tabblad Machtigingen.
4. Geef een rol die de bevoegdheid bevat, zie Rollen en machtigingen.

Object niet gevonden

Oorzaak. Het object bestaat niet, of de gebruiker mag het niet zien. Kyvernon antwoordt in beide gevallen met error.not_found, zodat het antwoord niet onthult wat er bestaat.

Oplossing. Controleer het id. Als het object bestaat, vraag een beheerder om een rol die System.View erop geeft.

Verzoek afgewezen als conflict

Oorzaak. Het verzoek gebruikte een oude versie van het object (error.conflict), of de naam bestaat al (error.already_exists). Een federatieve gebruiker met dezelfde naam als een lokale gebruiker wordt om dezelfde reden geweigerd.

Oplossing. Lees het object opnieuw en herhaal de wijziging met de huidige versie, of kies een andere naam.

Aanmelden bij de provider mislukt

Oorzaak. De provider weigerde of antwoordde niet, de aanmeldpoging duurde langer dan de geldigheidsduur (10 minuten), of de provider stuurde geen bruikbare gebruikersnaam mee. De console meldt dat aanmelden met de organisatie niet is voltooid.

Oplossing. Probeer het opnieuw of gebruik een lokaal account. Een beheerder controleert kyvernon auth config, de issuer, het bestand met het clientgeheim en het redirectadres in de sectie [oidc]. Zie Single sign-on.

Automatisering geweigerd

Oorzaak. Het token is verlopen of ingetrokken, de gebruiker is uitgeschakeld, of het endpoint accepteert het wachtwoord van het account niet (error.unauthenticated). Op de vSphere-endpoints kan de instelling facade_login alleen tokens toestaan.

Oplossing. Maak een nieuw token met kyvernon auth api-tokens create <name>; zie API-tokens. Geef het token mee met --token-file of in het wachtwoordveld.

Zie ook

• Aanmeldbeveiliging
• Sessies en audit