Fehlerbehebung bei Aktionsskripten in Devolutions Server

Wenn Aktionsskripte innerhalb benutzerdefinierter PAM-Anbieter fehlschlagen, ist es wichtig zu verstehen, wie das Problem identifiziert und behoben werden kann. Aufgrund der verschiedenen beteiligten Schritte können bei einem benutzerdefinierten PAM-Anbieter mehrere Probleme auftreten. Zudem verlassen sich benutzerdefinierte PAM-Anbieter für ihre Funktionalität stark auf Aktionsskripte, und je nach Komplexität des Identitätsanbieters können diese Aktionsskripte sehr komplex werden.

Probleme können auftreten, wenn der Anbieter nicht vorher gründlich getestet wurde. Die folgenden Richtlinien helfen dabei, mögliche Probleme zu identifizieren, und bieten Schritte zur Fehlerbehebung.

1. Das Problem identifizieren

Das Problem ist nicht immer sofort ersichtlich. Während die Aktionsskripte isoliert betrachtet korrekt funktionieren können, wenden benutzerdefinierte PAM-Anbieter Passwortänderungen möglicherweise nicht wie erwartet an. Wenn die Aktionsskripte beispielsweise falsch aufgebaut sind und ungenaue Informationen zurückgeben, verwenden benutzerdefinierte PAM-Anbieter diese Informationen möglicherweise, um Entscheidungen zu treffen, und gehen davon aus, dass alles ordnungsgemäß funktioniert, obwohl dies nicht der Fall ist.

In manchen Fällen ist das Problem offensichtlicher, etwa wenn eine Warnmeldung "Out of sync" für den Benutzer im Devolutions PAM-Tresor erscheint oder ein Problem in den PAM-Protokollen auffällt.

2. Das beteiligte Aktionsskript identifizieren

Da benutzerdefinierte PAM-Anbieter hauptsächlich als Skript-Orchestrator arbeiten, hängt der Großteil ihrer Funktionalität von den Aktionsskripten ab. Wenn in der Devolutions Server-Konsole ein Fehler erscheint, ist es wichtig, zuerst zu identifizieren, welches Aktionsskript beteiligt ist. Dazu muss man verstehen, wie benutzerdefinierte PAM-Anbieter Funktionalität über ihre Terminologie den Aktionsskripten zuordnen.

• Konfiguration der Kontoerkennung: Konfigurationen der Kontoerkennung verwenden das Aktionsskript für die Kontoerkennung.
• Synchronisierung: Benutzerdefinierte PAM-Anbieter verwenden den Begriff "Synchronisierung", um auf die Ausführung des Heartbeat-Aktionsskripts zu verweisen.
• Passwort-Zurücksetzung: Das Initiieren einer Passwort-Zurücksetzung in benutzerdefinierten PAM-Anbietern umfasst sowohl das Aktionsskript für die Passwortrotation als auch das Heartbeat-Aktionsskript.

3. Aktionsskripte außerhalb benutzerdefinierter PAM-Anbieter testen.

Nachdem die beteiligten Aktionsskripte identifiziert wurden, ist es ratsam, sie außerhalb benutzerdefinierter PAM-Anbieter zu testen, um sicherzustellen, dass das Problem nicht vom Aktionsskript selbst ausgeht. Dieselben Parameter, die beim Erstellen der Vorlage über Skriptparameter definiert wurden, sollten an das Skript übergeben werden. Es ist entscheidend zu überprüfen, ob das PowerShell-Skript die von benutzerdefinierten PAM-Anbietern erwarteten Ergebnisse zurückgibt:

• Kontoerkennung: Sollte mindestens ein pscustomobject-Objekt mit den Eigenschaften id, username und secret ausgeben.
• Heartbeat: Sollte die Parameter username und secret haben und einen einzelnen booleschen Wert zurückgeben, entweder $true oder $false.
• Passwortrotation: Sollte Parameter für den Endpunkt des Identitätsanbieters, den Endpunkt-Benutzernamen, das Endpunkt-Passwort und einen speziell benannten Parameter namens NewPassword enthalten.