Dépannage des scripts d'action dans Devolutions Server

Lorsque les scripts d'action échouent dans les fournisseurs PAM personnalisés, il est essentiel de comprendre comment identifier et dépanner le problème. De multiples problèmes peuvent survenir avec un fournisseur PAM personnalisé en raison des différentes étapes impliquées. De plus, les fournisseurs PAM personnalisés dépendent fortement des scripts d'action pour leur fonctionnalité et, selon la complexité du fournisseur d'identité, ces scripts d'action peuvent devenir complexes.

Des problèmes peuvent survenir si le fournisseur n'a pas été testé en profondeur au préalable. Les directives suivantes aideront à identifier les problèmes potentiels et fourniront les étapes de dépannage.

1. Identifier le problème

Le problème n'est pas toujours immédiatement apparent. Bien que les scripts d'action puissent fonctionner correctement de façon isolée, les fournisseurs PAM personnalisés peuvent ne pas appliquer les changements de mot de passe comme prévu. Par exemple, si les scripts d'action sont mal construits et retournent des informations inexactes, les fournisseurs PAM personnalisés peuvent utiliser ces informations pour prendre des décisions, en supposant que tout fonctionne correctement alors que ce n'est pas le cas.

Dans certains cas, le problème peut être plus évident, comme l'affichage d'un message d'avertissement « Désynchronisé » pour l'utilisateur dans le coffre Devolutions PAM ou la constatation d'un problème dans les journaux PAM.

2. Identifier le script d'action impliqué

Puisque les fournisseurs PAM personnalisés fonctionnent principalement comme un orchestrateur de scripts, la majorité de leur fonctionnalité dépend des scripts d'action. Si une erreur apparaît dans la console Devolutions Server, il est important d'identifier d'abord quel script d'action est impliqué. Cela nécessite de comprendre comment les fournisseurs PAM personnalisés associent la fonctionnalité aux scripts d'action au moyen de leur terminologie.

• Configuration de détection de compte : les configurations de détection de compte utilisent le script d'action de détection de compte.
• Synchronisation : les fournisseurs PAM personnalisés utilisent le terme « synchronisation » pour désigner l'exécution du script d'action de battement de coeur.
• Réinitialisation de mot de passe : le lancement d'une réinitialisation de mot de passe dans les fournisseurs PAM personnalisés implique à la fois les scripts d'action de rotation de mot de passe et de battement de coeur.

3. Tester les scripts d'action à l'extérieur des fournisseurs PAM personnalisés.

Après avoir identifié les scripts d'action impliqués, il est recommandé de les tester à l'extérieur des fournisseurs PAM personnalisés afin de s'assurer que le problème ne provient pas du script d'action lui-même. Les mêmes paramètres définis au moyen des Paramètres de script lors de la création du modèle doivent être passés au script. Il est crucial de vérifier que le script PowerShell retourne les résultats attendus pour les fournisseurs PAM personnalisés :

• Détection de compte : devrait retourner au moins un objet pscustomobject avec les propriétés id, username et secret.
• Battement de coeur : devrait avoir les paramètres username et secret et retourner une seule valeur booléenne, soit $true ou $false.
• Rotation de mot de passe : devrait inclure des paramètres pour le terminal du fournisseur d'identité, le nom d'utilisateur du terminal, le mot de passe du terminal et un paramètre nommé spécifiquement NewPassword.