Discussion :

[Chipniz]

Bonjour,

J'essaye d'enregistrer des nouveaux utilisateurs (création d'une personne). Mais quand j'essaye d'enregistrer j'ai le message d'erreur suivant : "ID Upload to the Notes ID Vault failed". je suis connecté en tant qu'Administrateur sur un poste client qui exécute Domino Administrator. Aupravant je n'avais pas ce problème. Ci joint copie d'écran.



Cordialement.

[Jérôme Deniau]

Cela peut venir des points suivants:
- l’utilisateur est dans un groupe de type ´interdits’: le retirer du groupe si nécessaire
- l’utilisateur existe déjà dans le coffre (stagiaire/ intérimaire etc... son compte a été supprimé mais pas son is dans le coffre): supprimer l’ID dans le coffre (il sera remis à la prochaine connexion notes ou manuellement via inotes)
- compte précédent qui utilisait SAML mais plus maintenant

Généralement le message est informatif (si le nouveau fichier is est bien créé)

[Chipniz]

Cela peut venir des points suivants:
- l’utilisateur est dans un groupe de type ´interdits’: le retirer du groupe si nécessaire
- l’utilisateur existe déjà dans le coffre (stagiaire/ intérimaire etc... son compte a été supprimé mais pas son is dans le coffre): supprimer l’ID dans le coffre (il sera remis à la prochaine connexion notes ou manuellement via inotes)
- compte précédent qui utilisait SAML mais plus maintenant

Généralement le message est informatif (si le nouveau fichier is est bien créé)

C'est un nouvel utilisateur il n'avait jamais eu de compte Lotus auparavant. J'ai vérifié qu'il n'est pas dans le Groupe de listes d'intrus : #NotAccessServer. C'est vrai que sa boîte mail et son ID son bien créé. Il faut alors ouvrir un client notes, lui entrer l'ID copié en local et l'ID remonte alors dans l'ID Vault. Mais bon c'est anormal d'avoir ce message tout de même.

[Jérôme Deniau]

Il faut voir si c’est un problème entre le client admin et le serveur (delai etc)
Regarder dans le log s’il y a un message d’erreur ou pas

Il y a une variable à mettre sur le poste client admin:
ADMIN_IDVUPLOAD_WAIT_INTERVAL=
Comme valeur commencer par 60000 puis monter s’jusqu’a 120000 si nécessaire

[Chipniz]

Il faut voir si c’est un problème entre le client admin et le serveur (delai etc)
Regarder dans le log s’il y a un message d’erreur ou pas

Quel est le nom de ce log ? il est sur le serveur ?

Il y a une variable à mettre sur le poste client admin:
ADMIN_IDVUPLOAD_WAIT_INTERVAL=
Comme valeur commencer par 60000 puis monter s’jusqu’a 120000 si nécessaire

J'ai mis 120000 dans le notes.ini de mon poste client (Adminstrator est exécuté sur mon poste client et non pas sur le serveur). Sans résultat.

[Fabrice Papirnyk]

Est-ce que le problème se déclenche juste pour cet utilisateur ou pour toutes les créations de comptes ?

[Chipniz]

Est-ce que le problème se déclenche juste pour cet utilisateur ou pour toutes les créations de comptes ?

Pour toutes les créations de comptes.

[Fabrice Papirnyk]

Vérifie si le compte admin courant peut ouvrir l'IDvault, et s'il a les droits qui vont bien, et si le coffre fonctionne bien par ailleurs ?

[Chipniz]

Vérifie si le compte admin courant peut ouvrir l'IDvault, et s'il a les droits qui vont bien, et si le coffre fonctionne bien par ailleurs ?

Es-ce que c'est bien ici qu'il faut modifier :

[Fabrice Papirnyk]

C'est plutôt la LCA de la base idvault qui donne l'info.
Il y a aussi des menus dédiés dans le client admin pour modifier les accès au coffre.

[Chipniz]

C'est plutôt la LCA de la base idvault qui donne l'info.
Il y a aussi des menus dédiés dans le client admin pour modifier les accès au coffre.

Dans l'ID Vault (Coffre des ID), j'ai trouvé mon nom et les admins comme gestionnaire. J'ai vu dans les menus dédiés pour modifier les accès au coffre que j'y avais bien accès comme gestionnaire. de toutes manières, même si je prend l'ID d'administrateur, c'est la même erreur.

[Fabrice Papirnyk]

La base IDvault n'aurait pas un pb , genre corruption ou autre ? Tu peux consulter dedans ? il y a des erreurs dans la log sur elle ? Tu peux faire d'autres manips dedans genre réinitialiser un MDP, etc ?
Tu peux tenter aussi depuis un autre poste admin pour être sûr que ça n'est pas un pb local au poste.
Et dans l'erreur envoyée, si tu défiles l'ascenseur à droite, tu vois autre chose ?

[Chipniz]

La base IDvault n'aurait pas un pb , genre corruption ou autre ? Tu peux consulter dedans ? il y a des erreurs dans la log sur elle ? Tu peux faire d'autres manips dedans genre réinitialiser un MDP, etc ?
Tu peux tenter aussi depuis un autre poste admin pour être sûr que ça n'est pas un pb local au poste.
Et dans l'erreur envoyée, si tu défiles l'ascenseur à droite, tu vois autre chose ?

J'ai ouvert la base ID Vault sans problèmes. Je peux consulter dedans. Je ne sais pas comment faire pour identifier son log. Il y a bien le log du serveur mais il y a tellement d'entrées que c'est difficile à y voir une erreur. Dans l'erreur renvoyée, en allant à droite il n'y a rien d'autre.

[Jérôme Deniau]

Quelle version de domino? L’authentification domino utilise SAML ou pas?

[Jérôme Deniau]

Log.nsf -> vue événements de sécurité

Sinon variables de debug de l’ID vault

[Chipniz]

Quelle version de domino? L’authentification domino utilise SAML ou pas?

C'est l'Edition 9.0.1 Révision 20131022.0932 (Release 9.0.1). SAML n'est pas utilisé.

[Chipniz]

Log.nsf -> vue événements de sécurité

Sinon variables de debug de l’ID vault

Je n'ai rien vu de particulier ici.

[Jérôme Deniau]

Bon faisons le tour,

/0 vérifier la config du coffre:
sh idvault
(sur la console et valider que tout est ok)


Lors de la création d'un compte le client admin créé le fichier dans le répertoire temporaire du poste avant de l'envoyer dans le coffre, exemple

1/ donc vérifier l'accès au répertoire temp

Ensuite
2/ vérifier le fichier notes.ini il doit y avoir ces variables
KeyFileName_Owner=CN=....
KeyFileName=xxx.id

Les deux doivent correspondre (le nom contenu dans le fichier xxx.id et le nom CN= affiché)
le mythe: il faut que le xxx.id soit user.id (jamais confirmé, j'ai admin.id et cela fonctionne ;-) )

3/ ne pas utiliser le CA process (choisir le cert.id sur disque local (et pas en réseau non plus))

4/ S'assurer que le compte utilisé pour créer les comptes Notes a bien la politique appliquée et qu'elle est bien présente dans le names.nsf local du poste et signée par un admin ou un compte qui a bien accès au niveau Editeur au names.nsf du serveur.

5/ Ouvrir le log.nsf LOCAL (du poste qui a créé les compte, dans la vue 'Security Events' qu'y a t'il dans les documents concernant les créations en erreur?

Exemple si ok

16/01/2020 13:04:37 ID 'C:\Users\JDeniau\AppData\Local\Temp\notes1DF6D5\25738280.id' successfully uploaded/synchronized to vault 'O=DTMVault' on server 'CN=antalya/O=DTM' by 'First4 Las3/Developpers/DTM'.


6/ Verifier dans le notes.ini du client le IDVaultLastServer=... s'assurer que c'est bien le serveur d'administration du coffre des IDs.

7/ Debug

Ajouter les variables de debug sur le poste qui créé les comptes:
DEBUG_IDV_TRACE=1
Debug_IDV_TrustCert=1
DEBUG_IDV_UPDATE=1
DEBUG_IDVAULT_SERVER_SELECTION=1
Debug_Namelookup=1

pour qu'on ait des billes ;-)

[Chipniz]

Bon faisons le tour,


Ensuite
2/ vérifier le fichier notes.ini il doit y avoir ces variables
KeyFileName_Owner=CN=....
KeyFileName=xxx.id

Les deux doivent correspondre (le nom contenu dans le fichier xxx.id et le nom CN= affiché)
le mythe: il faut que le xxx.id soit user.id (jamais confirmé, j'ai admin.id et cela fonctionne ;-) )

Moi j'ai "KeyFileName_Owner=CN=sivoa_servnt/O=Sivoa/C=fr" et "KeyFilename=server.id". Les deux ne correspondent pas est-ce de cela que vient l'erreur ? Ce qui est bizarre c'est que "avant" cela marchait bien.

[Chipniz]

Dans le log local j'ai des messageurs d'erreur liés à la sécurité :

09/01/2020 16:37:23 Chaîne de certificat d'accréditation du coffre non valide de '/Sivoa/fr' à '/SIVOACOFFRE': Le Carnet d'adresses ne contient aucune certification croisée permettant de valider la clé publique.
09/01/2020 16:37:23 Echec de chargement de l'ID 'Z:\jkozera.id' dans le coffre 'O=SIVOACOFFRE' sur le serveur 'CN=sivoa_servnt/O=Sivoa/C=fr'. Demandeur : 'Jérôme Kozera/Sivoa/fr'. Erreur: Chaîne de certificat d'accréditation du coffre non valide. Consultez le journal pour plus de détails.
09/01/2020 16:37:23 Echec de chargement de l'ID 'Z:\jkozera.id' dans le coffre '' sur le serveur 'CN=sivoa_servnt/O=Sivoa/C=fr'. Demandeur : 'Admin/Sivoa/fr'. Erreur: Chaîne de certificat d'accréditation du coffre non valide. Consultez le journal pour plus de détails.

Quel journal faut-il consulter ?