NetWorker: Konfigurieren der LDAPS-Authentifizierung

Um LDAPS zu verwenden, müssen Sie das CA-Zertifikat (oder die Zertifikatskette) vom LDAPS-Server in den Java cacerts-Keystore des NetWorker-Authentifizierungsservers importieren.

1. Bestimmen Sie, welcher Host der NetWorker-Authentifizierungsserver ist. Dies kann in der Datei gstd.conf des NetWorker Management Console(NMC)-Servers validiert werden:

2. Identifizieren Sie auf dem NetWorker-Authentifizierungsserver die verwendete Java-Instanz.

1. 1. E. Legen Sie über eine Eingabeaufforderung mit Administratorrechten Befehlszeilenvariablen Befehlszeilenvariablen fest, die den im obigen Schritt festgelegten Java-Installationspfad angeben:

set JAVA="Path\to\java"

   

Linux:

A. Überprüfen Sie die /nsr/authc/conf/installrc -Datei, um zu sehen, welcher Java-Speicherort bei der Konfiguration des Authentifizierungsservice verwendet wurde:

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

B. Legen Sie Befehlszeilenvariablen fest und geben Sie den im obigen Schritt festgelegten Java-Installationspfad an.

JAVA=/path/to/java

Beispiel:

 

Erleichtert Java keytool Befehle beim Einrichten von SSL und stellt sicher, dass die korrekte cacerts -Datei importiert das CA-Zertifikat. Diese Variable wird entfernt, sobald die Befehlszeilensitzung geschlossen wird, und beeinträchtigt keine anderen NetWorker-Vorgänge.

Um LDAPS zu verwenden, müssen Sie das CA-Zertifikat (oder die Zertifikatskette) vom LDAPS-Server in den JAVA-Trust-Keystore importieren. Dies kann mit dem folgenden Verfahren erfolgen:

Rufen Sie das CA-Stammzertifikat (und die Kette, falls konfiguriert) vom Authentifizierungsserver ab.

Linux:

1. Öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten auf dem NetWorker-Authentifizierungsserver (AUTHC).
2. Verwenden Sie das OpenSSL-Tool, um eine Kopie des CA-Zertifikats vom LDAPS-Server abzurufen.

openssl s_client -showcerts -connect LDAPS_SERVER:636 2>/dev/null </dev/null

• Linux wird in der Regel mit openssl installiert. Wenn Linux-Server in der Umgebung vorhanden sind, können Sie openssl Dort werden die Zertifikatdateien gesammelt. Diese können kopiert und auf dem Windows authc Server.
• Wenn Sie kein OpenSSL haben und es nicht installiert werden kann, lassen Sie ein oder mehrere Zertifikate von Ihrem AD-Administrator bereitstellen, indem Sie sie im Base-64-codierten x.509-Format exportieren.
• Ersetzen LDAPS_SERVER durch den Hostnamen oder die IP-Adresse Ihres LDAPS-Servers.

3. Mit dem obigen Befehl wird das CA-Zertifikat oder eine Zertifikatkette im Format Privacy Enhanced Mail (PEM) ausgegeben, z. B.:

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
...REMOVED FOR BREVITY...
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

$server = "EXTERNAL_AUTH_SERVER_ADDRESS"
$port   = 636

$tcp = New-Object System.Net.Sockets.TcpClient
$tcp.Connect($server, $port)

$ssl = New-Object System.Net.Security.SslStream(
    $tcp.GetStream(),
    $false,
    { param($sender,$cert,$chain,$errors) $true }
)

try {
    $ssl.AuthenticateAsClient($server)

    "=== Protocol ==="
    $ssl.SslProtocol
    "=== Cipher ==="
    "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
    ""
    "=== Server Certificate ==="

    $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)

    "Subject  : $($remoteCert.Subject)"
    "Issuer   : $($remoteCert.Issuer)"
    "NotBefore: $($remoteCert.NotBefore)"
    "NotAfter : $($remoteCert.NotAfter)"
    ""

    $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
    "-----BEGIN CERTIFICATE-----"
    $b64
    "-----END CERTIFICATE-----"
}
finally {
    $ssl.Dispose()
    $tcp.Dispose()
}

PS C:\Users\administrator.AMER> $server = "dc.amer.lan"
PS C:\Users\administrator.AMER> $port   = 636
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $tcp = New-Object System.Net.Sockets.TcpClient
PS C:\Users\administrator.AMER> $tcp.Connect($server, $port)
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $ssl = New-Object System.Net.Security.SslStream(
>>     $tcp.GetStream(),
>>     $false,
>>     { param($sender,$cert,$chain,$errors) $true }
>> )
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> try {
>>     $ssl.AuthenticateAsClient($server)
>>
>>     "=== Protocol ==="
>>     $ssl.SslProtocol
>>     "=== Cipher ==="
>>     "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
>>     ""
>>     "=== Server Certificate (exactly what the DC sends) ==="
>>
>>     $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)
>>
>>     "Subject  : $($remoteCert.Subject)"
>>     "Issuer   : $($remoteCert.Issuer)"
>>     "NotBefore: $($remoteCert.NotBefore)"
>>     "NotAfter : $($remoteCert.NotAfter)"
>>     ""
>>
>>     $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
>>     "-----BEGIN CERTIFICATE-----"
>>     $b64
>>     "-----END CERTIFICATE-----"
>> }
>> finally {
>>     $ssl.Dispose()
>>     $tcp.Dispose()
>> }
=== Protocol ===
Tls13
=== Cipher ===
Aes256 (256-bit)

=== Server Certificate ===
Subject  : CN=DC.amer.lan
Issuer   : CN=amer-DC-CA, DC=amer, DC=lan
NotBefore: 11/29/2025 01:17:22
NotAfter : 11/29/2026 01:17:22

-----BEGIN CERTIFICATE-----
MIIGDDCCBPSgAwIBAgITNAAAAAT93FoJVZwLkQAAAAAABDANBgkqhkiG9w0BAQsFADBAMRMwEQYK
...REMOVED FOR BREVITY...
c1HhZw24yOwFSOtTQg==
-----END CERTIFICATE-----

3. Kopieren Sie das Zertifikat beginnend ab ---BEGIN CERTIFICATE--- und endet mit ---END CERTIFICATE--- und fügen Sie sie in eine neue Datei ein. Wenn eine Zertifikatkette vorhanden ist, müssen Sie dies mit jedem Zertifikat tun.
4. Navigieren Sie zu Importieren von Zertifikaten.

Importieren von Zertifikaten:

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -list -cacerts -storepass changeit

$JAVA/bin/keytool -list -cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -cacerts -storepass changeit

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

%JAVA%\bin\keytool -import -alias ALIAS_NAME -cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -cacerts -storepass changeit -file /PATH_TO/CERT_FILE

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 183db0ae21d3108244254c8aad129ecd
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

net stop nsrd
net start nsrd

nsr_shutdown
service networker start