Dépannage des scripts d'action dans Devolutions Server

Lorsque des scripts d'action échouent au sein de fournisseurs PAM personnalisés, il est essentiel de savoir comment identifier et résoudre le problème. Plusieurs problèmes peuvent survenir avec un fournisseur PAM personnalisé en raison des différentes étapes impliquées. De plus, les fournisseurs PAM personnalisés s'appuient fortement sur les scripts d'action pour leur fonctionnement, et selon la complexité du fournisseur d'identité, ces scripts d'action peuvent devenir complexes.

Des problèmes peuvent survenir si le fournisseur n'est pas soigneusement testé au préalable. Les lignes directrices suivantes aideront à identifier les problèmes potentiels et à fournir des étapes de dépannage.

1. Identifier le problème

Le problème n'est pas toujours immédiatement apparent. Bien que les scripts d'action puissent fonctionner correctement de manière isolée, il est possible que les fournisseurs PAM personnalisés n'appliquent pas les changements de mot de passe comme prévu. Par exemple, si les scripts d'action sont incorrectement construits et retournent des informations inexactes, les fournisseurs PAM personnalisés peuvent utiliser ces informations pour prendre des décisions, en supposant que tout fonctionne correctement alors que ce n'est pas le cas.

Dans certains cas, le problème peut être plus évident, comme voir un message d'avertissement « Out of sync » pour l'utilisateur dans le coffre Devolutions PAM ou remarquer un problème dans les journaux PAM.

2. Identifier le script d'action impliqué

Étant donné que les fournisseurs PAM personnalisés fonctionnent principalement comme un orchestrateur de scripts, la majorité de leurs fonctionnalités dépendent des scripts d'action. Si une erreur apparaît dans la console Devolutions Server, il est important d'identifier d'abord quel script d'action est impliqué. Cela nécessite une compréhension de la façon dont les fournisseurs PAM personnalisés associent les fonctionnalités aux scripts d'action à travers leur terminologie.

• Configuration de découverte de comptes : Les configurations de découverte de comptes utilisent le script d'action de découverte de comptes.
• Synchronisation : Les fournisseurs PAM personnalisés utilisent le terme « synchronisation » pour désigner l'exécution du script d'action de pulsation.
• Réinitialisation du mot de passe : L'initiation d'une réinitialisation de mot de passe dans les fournisseurs PAM personnalisés implique à la fois les scripts d'action de rotation des mots de passe et de pulsation.

3. Tester les scripts d'action en dehors des fournisseurs PAM personnalisés.

Après avoir identifié les scripts d'action impliqués, il est conseillé de les tester en dehors des fournisseurs PAM personnalisés pour s'assurer que le problème ne provient pas du script d'action lui-même. Les mêmes paramètres définis via les paramètres de script lors de la création du modèle doivent être transmis au script. Il est crucial de vérifier que le script PowerShell retourne les résultats attendus pour les fournisseurs PAM personnalisés :

• Découverte de comptes : Doit produire au moins un objet pscustomobject avec les propriétés id, username et secret.
• Pulsation : Doit avoir les paramètres username et secret et retourner une valeur booléenne unique, soit $true soit $false.
• Rotation des mots de passe : Doit inclure des paramètres pour le point de terminaison du fournisseur d'identité, le nom d'utilisateur du point de terminaison, le mot de passe du point de terminaison, et un paramètre spécifiquement nommé NewPassword.