NetWorker: Konfiguration von „AD over SSL“ (LDAPS) über die NetWorker-Webnutzeroberfläche (NWUI)

Um die SSL-Authentifizierung zu konfigurieren, importieren Sie die Stamm-CA (oder die CA-Kette) in die Cacerts-Datei, die vom NetWorker-Authentifizierungsserver (AUTHC) verwendet wird. In Umgebungen mit einem einzigen NetWorker-Server ist der NetWorker-Server der Authentifizierungsserver. In größeren Datenzonen kann ein AUTHC-Server der primäre Authentifizierungsserver für mehrere Server sein. Weitere Informationen finden Sie unter: NetWorker: So ermitteln Sie, welcher Server der von NMC und NWUI verwendete Authentifizierungsserver ist

Einrichten des NetWorker-Authentifizierungsservers für die SSL-Authentifizierung bei einer externen Zertifizierungsstelle

Linux-NetWorker-Server:

1. Öffnen Sie eine SSH-Sitzung zum NetWorker-AUTHC-Server.
2. Wechseln Sie zum Root-Nutzer:

$ sudo su -

3. Verwenden Sie OpenSSL, um das CA-Zertifikat (oder die Zertifikatskette) vom Domainserver abzurufen:

# openssl s_client -connect DOMAIN_SERVER_ADDRESS:636 -showcerts > /dev/null

• Einzelnes Zertifikat: Kopieren Sie das Zertifikat einschließlich der -----BEGIN CERTIFICATE----- und -----END CERTIFICATE----- und legen Sie es in einer Datei namens RCAcert.crt an einem Speicherort Ihrer Wahl ab.
• Zertifikatskette: Kopieren Sie jedes Zertifikat (einschließlich seiner -----BEGIN CERTIFICATE----- und -----END CERTIFICATE----- Felder) und legen Sie sie in einzelne Dateien ab. Beispiel: ICA3cert.crt, ICA2cert.crt, ICA1cert.crt und schließlich RCAcert.crt.

4. Um den Prozess zu vereinfachen, legen Sie die folgenden Befehlszeilenvariablen fest:

# java_bin=<path to java bin dir>
*NOTE* For NetWorker Runtime Environment (NRE) this is /opt/nre/java/latest/bin. If you are using Oracle licensed Java Runtime Environment, specify the path to your JRE bin directory.
# RCAcert=<path to RCAcer.crt>
# ICA1cert=<path to ICA2cert.crt>
*NOTE* Only required if you are using a certificate chain, repeat this for each intermediate cert ICA2cert.crt, ICA3.crt and so forth.

[root@nsr certs]# java_bin=/opt/nre/java/latest/bin
[root@nsr certs]# RCAcert=/root/certs/RCAcert.crt
[root@nsr certs]#

5. Zertifikate importieren:

Für NetWorker 19.12 (und älter):

# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA3cert -storepass changeit
# $java_bin/keytool -import -alias ICA2 -keystore $java_bin/../lib/security/cacerts -file $ICA2cert -storepass changeit
# $java_bin/keytool -import -alias ICA1 -keystore $java_bin/../lib/security/cacerts -file $ICA1cert -storepass changeit
# $java_bin/keytool -import -alias RCA -keystore $java_bin/../lib/security/cacerts -file $RCAcert -storepass changeit

# $java_bin/keytool -delete -alias ALIAS_NAME -keystore $java_bin/../lib/security/cacerts -storepass changeit

Für NetWorker 19.13 (und höher):

# $java_bin/keytool -import -alias ICA3 -cacerts -storepass changeit -file $ICA3cert
# $java_bin/keytool -import -alias ICA2 -cacerts -storepass changeit -file $ICA2cert
# $java_bin/keytool -import -alias ICA1 -cacerts -storepass changeit -file $ICA1cert
# $java_bin/keytool -import -alias RCA -cacerts -storepass changeit -file $RCAcert

# $java_bin/keytool -delete -alias ALIAS_NAME -cacerts -storepass changeit

6. Starten Sie die NetWorker-Serverservices neu. Beim Neustart der Services wird die cacerts Datei während des AUTHC-Starts. Wenn die NetWorker-Services nach dem Importieren der Zertifikate nicht neu gestartet werden, schlägt der Prozess zum Konfigurieren der externen Zertifizierungsstelle in NetWorker mit einem zertifikatbezogenen Fehler fehl.

# nsr_shutdown
# systemctl start networker

7. Navigieren Sie zu Erstellen einer externen Autoritätsressource "AD over SSL" über NWUI.

Windows-NetWorker-Server:

Unter Windows ist OpenSSL standardmäßig nicht installiert. Wenn es auf Ihrem System installiert ist, können Sie die gleichen Anweisungen wie im obigen Linux-Abschnitt befolgen. Wenn es nicht installiert ist, können Sie es von einer Drittanbieterplattform installieren oder die folgenden Schritte ausführen, um das Zertifikat ohne OpenSSL zu erfassen.

1. Öffnen Sie eine PowerShell-Eingabeaufforderung mit erhöhten Rechten auf dem NetWorker Authentication (AUTHC)-Server.
2. Führen Sie das folgende Skript aus und ersetzen Sie EXTERNAL_AUTH_SERVER_ADDRESS mit Ihrem LDAP- oder Active Directory (AD)-Hostnamen oder Ihrer IP:

$server = "EXTERNAL_AUTH_SERVER_ADDRESS"
$port   = 636

$tcp = New-Object System.Net.Sockets.TcpClient
$tcp.Connect($server, $port)

$ssl = New-Object System.Net.Security.SslStream(
    $tcp.GetStream(),
    $false,
    { param($sender,$cert,$chain,$errors) $true }
)

try {
    $ssl.AuthenticateAsClient($server)

    "=== Protocol ==="
    $ssl.SslProtocol
    "=== Cipher ==="
    "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
    ""
    "=== Server Certificate ==="

    $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)

    "Subject  : $($remoteCert.Subject)"
    "Issuer   : $($remoteCert.Issuer)"
    "NotBefore: $($remoteCert.NotBefore)"
    "NotAfter : $($remoteCert.NotAfter)"
    ""

    $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
    "-----BEGIN CERTIFICATE-----"
    $b64
    "-----END CERTIFICATE-----"
}
finally {
    $ssl.Dispose()
    $tcp.Dispose()
}

PS C:\Users\administrator.AMER> $server = "dc.amer.lan"
PS C:\Users\administrator.AMER> $port   = 636
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $tcp = New-Object System.Net.Sockets.TcpClient
PS C:\Users\administrator.AMER> $tcp.Connect($server, $port)
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $ssl = New-Object System.Net.Security.SslStream(
>>     $tcp.GetStream(),
>>     $false,
>>     { param($sender,$cert,$chain,$errors) $true }
>> )
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> try {
>>     $ssl.AuthenticateAsClient($server)
>>
>>     "=== Protocol ==="
>>     $ssl.SslProtocol
>>     "=== Cipher ==="
>>     "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
>>     ""
>>     "=== Server Certificate (exactly what the DC sends) ==="
>>
>>     $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)
>>
>>     "Subject  : $($remoteCert.Subject)"
>>     "Issuer   : $($remoteCert.Issuer)"
>>     "NotBefore: $($remoteCert.NotBefore)"
>>     "NotAfter : $($remoteCert.NotAfter)"
>>     ""
>>
>>     $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
>>     "-----BEGIN CERTIFICATE-----"
>>     $b64
>>     "-----END CERTIFICATE-----"
>> }
>> finally {
>>     $ssl.Dispose()
>>     $tcp.Dispose()
>> }
=== Protocol ===
Tls13
=== Cipher ===
Aes256 (256-bit)

=== Server Certificate ===
Subject  : CN=DC.amer.lan
Issuer   : CN=amer-DC-CA, DC=amer, DC=lan
NotBefore: 11/29/2025 01:17:22
NotAfter : 11/29/2026 01:17:22

-----BEGIN CERTIFICATE-----
MIIGDDCCBPSgAwIBAgITNAAAAAT93FoJVZwLkQAAAAAABDANBgkqhkiG9w0BAQsFADBAMRMwEQYK
...REMOVED FOR BREVITY...
c1HhZw24yOwFSOtTQg==
-----END CERTIFICATE-----

3. Kopieren Sie das Zertifikat beginnend mit ---BEGIN CERTIFICATE--- und endend mit ---END CERTIFICATE--- und fügen Sie es in eine neue Datei ein. Wenn eine Kette von Zertifikaten vorhanden ist, müssen Sie dies mit jedem Zertifikat tun.
4. Legen Sie Befehlszeilenvariablen für die Stammzertifizierungsstelle und alle Zwischenzertifikate fest (falls verwendet):

$RCAcert = "<path to RCAcert.crt>"
$ICA1cert = "<path to ICA1cert.crt>"
$JAVA_BIN = "<path to NetWorker's JAVA bin directory>"

PS C:\Users\Administrator> $RCAcert = "C:\tmp\certs\RCAcert.crt"
PS C:\Users\Administrator> $JAVA_BIN = "C:\Program Files\NRE\java\jdk-17.0.17\bin"

5. Importieren Sie die Zertifikate:
   
   Für NetWorker 19.12 (und älter):

& $JAVA_BIN\keytool.exe -import -alias ICA3 -keystore $JAVA_BIN\..\lib\security\cacerts -file $ICA3cert -storepass changeit
& $JAVA_BIN\keytool.exe -import -alias ICA2 -keystore $JAVA_BIN\..\lib\security\cacerts -file $ICA2cert -storepass changeit
& $JAVA_BIN\keytool.exe -import -alias ICA1 -keystore $JAVA_BIN\..\lib\security\cacerts -file $ICA1cert -storepass changeit
& $JAVA_BIN\keytool.exe -import -alias RCA -keystore $JAVA_BIN\..\lib\security\cacerts -file $RCAcert -storepass changeit

& $JAVA_BIN\keytool.exe -delete -alias ALIAS_NAME -keystore $JAVA_BIN\..\lib\security\cacerts -storepass changeit

Für NetWorker 19.13 (und höher):
 

& $JAVA_BIN\keytool.exe -import -alias ICA3 -cacerts -storepass changeit -file $ICA3cert
& $JAVA_BIN\keytool.exe -import -alias ICA2 -cacerts -storepass changeit -file $ICA2cert
& $JAVA_BIN\keytool.exe -import -alias ICA1 -cacerts -storepass changeit -file $ICA1cert
& $JAVA_BIN\keytool.exe -import -alias RCA -cacerts -storepass changeit -file $RCAcert

& $JAVA_BIN\keytool.exe -delete -alias ALIAS_NAME -cacerts -storepass changeit

6. Starten Sie die NetWorker-Serverservices neu. Beim Neustart der Services wird die Cacerts-Datei während des AUTHC-Starts neu geladen. Wenn die NetWorker-Services nach dem Importieren der Zertifikate nicht neu gestartet werden, schlägt der Prozess zum Konfigurieren der externen Zertifizierungsstelle in NetWorker mit einem zertifikatbezogenen Fehler fehl.

net stop nsrd
net start nsrd

Erstellen einer externen Autoritätsressource „AD over SSL“ über NWUI.

1. Greifen Sie über einen Webbrowser auf den NWUI-Server zu: https://nwui-server-name:9090/nwui
2. Melden Sie sich mit dem NetWorker-Administratorkonto an.
3. Erweitern Sie im Menü die Option Authentifizierungsserver und klicken Sie auf Externe Zertifizierungsstellen.
4. Klicken Sie unter „Externe Zertifizierungsstellen“ auf Hinzufügen+.
5. Füllen Sie die Konfigurationsfelder aus:

Feld	Wert
Name	Ein beschreibender Name ohne Leerzeichen für die LDAP- oder AD-Konfiguration. Die maximale Anzahl von Zeichen beträgt 256. Geben Sie ASCII-Zeichen nur im Konfigurationsnamen an.
Servertyp	AD over SSL
Anbieter-Servername	Gibt den Hostnamen oder die IP-Adresse des Active Directory-Servers an.
Schnittstelle	Port 636 wird für SSL verwendet. Dieses Feld sollte automatisch ausgefüllt werden, wenn „AD over SSL“ ausgewählt ist.
Mandant	Wählen Sie den Mandanten aus, sofern konfiguriert. Wenn kein Mandant konfiguriert oder erforderlich ist, können Sie die Option „default“ verwenden.  Die Konfiguration eines Mandanten erfordert die folgende Anmeldesyntax "tenant_name\domain_name\user_name" Wenn der Standardmandant verwendet wird (üblich), dann lautet die Anmeldesyntax "domain_name\user_name" Mandant – Organisationscontainer der obersten Ebene für den NetWorker-Authentifizierungsservice. Jede externe Authentifizierungsstelle in der lokalen Datenbank wird einem Mandanten zugewiesen. Ein Mandant kann eine oder mehrere Domains enthalten, aber die Domainnamen müssen innerhalb des Mandanten eindeutig sein. Der NetWorker-Authentifizierungsservice erstellt den integrierten Mandantennamen „Default“, der die Standarddomain enthält. Das Erstellen mehrerer Mandanten erleichtert Ihnen die Verwaltung komplexer Konfigurationen. Beispielsweise können Serviceanbieter mit eingeschränkten Datenzonen (RDZ) mehrere Mandanten erstellen, um isolierte Data-Protection-Services für MandantennutzerInnen bereitzustellen.
Domäne	Der vollständige Domänenname einschließlich aller DC-Werte; Zum Beispiel: example.com
Nutzer-DN	Gibt den vollständigen Distinguished Name (DN) eines Nutzerkontos an, das vollständigen Lesezugriff auf das AD-Verzeichnis hat. Zum Beispiel: CN=Administrator,CN=Users,DC=example,DC=com.
Nutzer-DN-Kennwort	Gibt das Kennwort des Nutzerkontos an, das für den Zugriff auf und das Lesen von AD Direct verwendet wird.

6. Wenn Sie fertig sind, klicken Sie auf Speichern.
7. Eine Zusammenfassung der konfigurierten externen Autoritätsressource sollte nun angezeigt werden:

8. Bearbeiten Sie im Menü Server > Benutzergruppen die Benutzergruppen, die die Rechte enthalten, die Sie an AD-/LDAP-Gruppen oder ‑NutzerInnen übertragen möchten. Um beispielsweise vollständige Administratorrechte zu gewähren, muss der AD-Gruppen-/Nutzer-DN im Feld „Externe Rollen“ der Rollen Application Administrators und Security Administrators angegeben werden.

Zum Beispiel: CN=NetWorker_Admins,DC=amer,DC=lan

Dies kann auch über die Befehlszeile erfolgen:

nsraddadmin -e "Distinguished_Name"

nsr:~ # nsraddadmin -e "CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan"
134751:nsraddadmin: Added role 'CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan' to the 'Security Administrators' user group.
134751:nsraddadmin: Added role 'CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan' to the 'Application Administrators' user group.

9. Sobald die AD-Gruppen- und/oder Nutzer-DNs angegeben wurden, klicken Sie auf Speichern. 
10. Melden Sie sich von der NWUI-Schnittstelle ab und melden Sie sich mit dem AD-Konto wieder an:

11. Das Nutzersymbol in der oberen rechten Ecke zeigt an, welches Nutzerkonto angemeldet ist.

So überprüfen Sie die AD-Gruppenmitgliedschaft und rufen die DN-Werte (Distinguished Name) ab, die für NetWorker-Berechtigungen erforderlich sind:
Sie können die Funktion authcmgmt auf dem NetWorker-Server verwenden, um zu bestätigen, dass die AD/LDAP-Gruppen/‑NutzerInnen sichtbar sind:

authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-users -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups-for-user -D query-tenant=tenant_name -D query-domain=domain_name -D user-name=ad_username

Beispiel:

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-users -D query-tenant=default -D query-domain=amer.lan
The query returns 47 records.
User Name            Full Dn Name
Administrator        CN=Administrator,CN=Users,dc=amer,dc=lan
...
bkupadmin            CN=Backup Administrator,CN=Users,dc=amer,dc=lan

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups -D query-tenant=default -D query-domain=amer.lan
The query returns 72 records.
Group Name                              Full Dn Name
Administrators                          CN=Administrators,CN=Builtin,dc=amer,dc=lan
...
NetWorker_Admins                        CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups-for-user -D query-tenant=default -D query-domain=amer.lan -D user-name=bkupadmin
The query returns 1 records.
Group Name       Full Dn Name
NetWorker_Admins CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan

• NetWorker: Einrichten von LDAP/AD mithilfe der authc_config-Skripte
• NetWorker: Einrichten der AD/LDAP-Authentifizierung
• NetWorker: Zurücksetzen des Administratorkennworts
• NetWorker: Die LDAPS-Integration schlägt fehl mit der Meldung „Beim Versuch, eine Verbindung zum LDAPS-Server herzustellen, ist ein SSL-Handshake-Fehler aufgetreten: Es konnte kein gültiger Zertifizierungspfad zum angeforderten Ziel gefunden werden.“
• NetWorker: Importieren oder Ersetzen von durch die Zertifizierungsstelle signierten Zertifikaten für „AUTHC“ und „NWUI“ (Linux)
• NetWorker: Importieren oder Ersetzen von durch die Zertifizierungsstelle signierten Zertifikaten für „AUTHC“ und „NWUI“ (Windows)