NetWorker: Konfigurieren von "AD over SSL" (LDAPS) über die NetWorker-Webnutzeroberfläche (NWUI)

1. Öffnen Sie eine SSH-Sitzung zum NetWorker-AUTHC-Server.
2. Wechseln Sie zum Root-Nutzer:

$ sudo su -

3. Verwenden Sie OpenSSL, um das CA-Zertifikat (oder die Zertifikatskette) vom Domainserver abzurufen:

# openssl s_client -connect DOMAIN_SERVER_ADDRESS:636 -showcerts > /dev/null

• Einzelnes Zertifikat: Kopieren Sie das Zertifikat einschließlich der -----BEGIN CERTIFICATE----- und -----END CERTIFICATE----- und legen Sie sie in einer Datei namens RCAcert.crt an einem Speicherort Ihrer Wahl ab.
• Zertifikatkette: Kopieren Sie jedes Zertifikat (einschließlich ihrer -----BEGIN CERTIFICATE----- und -----END CERTIFICATE----- Felder) und legen Sie sie in einzelne Dateien ein. Beispiel: ICA3cert.crt, ICA2cert.crt, ICA1cert.crt und zuletzt RCAcert.crt.

4. Um den Prozess zu vereinfachen, legen Sie die folgenden Befehlszeilenvariablen fest:

# java_bin=<path to java bin dir>
*NOTE* For NetWorker Runtime Environment (NRE) this is /opt/nre/java/latest/bin. If you are using Oracle licensed Java Runtime Environment, specify the path to your JRE bin directory.
# RCAcert=<path to RCAcer.crt>
# ICA1cert=<path to ICA2cert.crt>
*NOTE* Only required if you are using a certificate chain, repeat this for each intermediate cert ICA2cert.crt, ICA3.crt and so forth.

[root@nsr certs]# java_bin=/opt/nre/java/latest/bin
[root@nsr certs]# RCAcert=/root/certs/RCAcert.crt
[root@nsr certs]#

5. Importieren Sie die Zertifikate:

Für NetWorker 19.12 (und älter):

# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA3cert -storepass changeit
# $java_bin/keytool -import -alias ICA2 -keystore $java_bin/../lib/security/cacerts -file $ICA2cert -storepass changeit
# $java_bin/keytool -import -alias ICA1 -keystore $java_bin/../lib/security/cacerts -file $ICA1cert -storepass changeit
# $java_bin/keytool -import -alias RCA -keystore $java_bin/../lib/security/cacerts -file $RCAcert -storepass changeit

# $java_bin/keytool -delete -alias ALIAS_NAME -keystore $java_bin/../lib/security/cacerts -storepass changeit

Für NetWorker 19.13 (und höher):

# $java_bin/keytool -import -alias ICA3 -cacerts -storepass changeit -file $ICA3cert
# $java_bin/keytool -import -alias ICA2 -cacerts -storepass changeit -file $ICA2cert
# $java_bin/keytool -import -alias ICA1 -cacerts -storepass changeit -file $ICA1cert
# $java_bin/keytool -import -alias RCA -cacerts -storepass changeit -file $RCAcert

# $java_bin/keytool -delete -alias ALIAS_NAME -cacerts -storepass changeit

6. Starten Sie die NetWorker-Serverservices neu. Durch das Neustarten der Services wird die cacerts während des AUTHC-Starts. Wenn die NetWorker-Services nach dem Importieren der Zertifikate nicht neu gestartet werden, schlägt der Prozess zum Konfigurieren der externen Autorität in NetWorker mit einem zertifikatbezogenen Fehler fehl.

# nsr_shutdown
# systemctl start networker

7. Navigieren Sie über die NWUI zu Erstellen der Ressource "AD over SSL".

1. Öffnen Sie eine PowerShell-Eingabeaufforderung mit erhöhten Rechten auf dem NetWorker-Authentifizierungsserver (AUTHC).
2. Führen Sie das folgende Skript aus und ersetzen Sie EXTERNAL_AUTH_SERVER_ADDRESS mit Ihrem LDAP- oder Active Directory (AD)-Hostnamen oder Ihrer IP:

$server = "EXTERNAL_AUTH_SERVER_ADDRESS"
$port   = 636

$tcp = New-Object System.Net.Sockets.TcpClient
$tcp.Connect($server, $port)

$ssl = New-Object System.Net.Security.SslStream(
    $tcp.GetStream(),
    $false,
    { param($sender,$cert,$chain,$errors) $true }
)

try {
    $ssl.AuthenticateAsClient($server)

    "=== Protocol ==="
    $ssl.SslProtocol
    "=== Cipher ==="
    "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
    ""
    "=== Server Certificate ==="

    $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)

    "Subject  : $($remoteCert.Subject)"
    "Issuer   : $($remoteCert.Issuer)"
    "NotBefore: $($remoteCert.NotBefore)"
    "NotAfter : $($remoteCert.NotAfter)"
    ""

    $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
    "-----BEGIN CERTIFICATE-----"
    $b64
    "-----END CERTIFICATE-----"
}
finally {
    $ssl.Dispose()
    $tcp.Dispose()
}

PS C:\Users\administrator.AMER> $server = "dc.amer.lan"
PS C:\Users\administrator.AMER> $port   = 636
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $tcp = New-Object System.Net.Sockets.TcpClient
PS C:\Users\administrator.AMER> $tcp.Connect($server, $port)
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $ssl = New-Object System.Net.Security.SslStream(
>>     $tcp.GetStream(),
>>     $false,
>>     { param($sender,$cert,$chain,$errors) $true }
>> )
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> try {
>>     $ssl.AuthenticateAsClient($server)
>>
>>     "=== Protocol ==="
>>     $ssl.SslProtocol
>>     "=== Cipher ==="
>>     "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
>>     ""
>>     "=== Server Certificate (exactly what the DC sends) ==="
>>
>>     $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)
>>
>>     "Subject  : $($remoteCert.Subject)"
>>     "Issuer   : $($remoteCert.Issuer)"
>>     "NotBefore: $($remoteCert.NotBefore)"
>>     "NotAfter : $($remoteCert.NotAfter)"
>>     ""
>>
>>     $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
>>     "-----BEGIN CERTIFICATE-----"
>>     $b64
>>     "-----END CERTIFICATE-----"
>> }
>> finally {
>>     $ssl.Dispose()
>>     $tcp.Dispose()
>> }
=== Protocol ===
Tls13
=== Cipher ===
Aes256 (256-bit)

=== Server Certificate ===
Subject  : CN=DC.amer.lan
Issuer   : CN=amer-DC-CA, DC=amer, DC=lan
NotBefore: 11/29/2025 01:17:22
NotAfter : 11/29/2026 01:17:22

-----BEGIN CERTIFICATE-----
MIIGDDCCBPSgAwIBAgITNAAAAAT93FoJVZwLkQAAAAAABDANBgkqhkiG9w0BAQsFADBAMRMwEQYK
...REMOVED FOR BREVITY...
c1HhZw24yOwFSOtTQg==
-----END CERTIFICATE-----

3. Kopieren Sie das Zertifikat beginnend ab ---BEGIN CERTIFICATE--- und endet mit ---END CERTIFICATE--- und fügen Sie sie in eine neue Datei ein. Wenn eine Zertifikatkette vorhanden ist, müssen Sie dies mit jedem Zertifikat tun.
4. Legen Sie Befehlszeilenvariablen für die Stammzertifizierungsstelle und alle Zwischenzertifikate fest (falls verwendet):

$RCAcert = "<path to RCAcert.crt>"
$ICA1cert = "<path to ICA1cert.crt>"
$JAVA_BIN = "<path to NetWorker's JAVA bin directory>"

PS C:\Users\Administrator> $RCAcert = "C:\tmp\certs\RCAcert.crt"
PS C:\Users\Administrator> $JAVA_BIN = "C:\Program Files\NRE\java\jdk-17.0.17\bin"

5. Importieren der Zertifikate:
   
   Für NetWorker 19.12 (und älter):

& $JAVA_BIN\keytool.exe -import -alias ICA3 -keystore $JAVA_BIN\..\lib\security\cacerts -file $ICA3cert -storepass changeit
& $JAVA_BIN\keytool.exe -import -alias ICA2 -keystore $JAVA_BIN\..\lib\security\cacerts -file $ICA2cert -storepass changeit
& $JAVA_BIN\keytool.exe -import -alias ICA1 -keystore $JAVA_BIN\..\lib\security\cacerts -file $ICA1cert -storepass changeit
& $JAVA_BIN\keytool.exe -import -alias RCA -keystore $JAVA_BIN\..\lib\security\cacerts -file $RCAcert -storepass changeit

& $JAVA_BIN\keytool.exe -delete -alias ALIAS_NAME -keystore $JAVA_BIN\..\lib\security\cacerts -storepass changeit

Für NetWorker 19.13 (und höher):
 

& $JAVA_BIN\keytool.exe -import -alias ICA3 -cacerts -storepass changeit -file $ICA3cert
& $JAVA_BIN\keytool.exe -import -alias ICA2 -cacerts -storepass changeit -file $ICA2cert
& $JAVA_BIN\keytool.exe -import -alias ICA1 -cacerts -storepass changeit -file $ICA1cert
& $JAVA_BIN\keytool.exe -import -alias RCA -cacerts -storepass changeit -file $RCAcert

& $JAVA_BIN\keytool.exe -delete -alias ALIAS_NAME -cacerts -storepass changeit

6. Starten Sie die NetWorker-Serverservices neu. Beim Neustart von Services wird die Cacerts-Datei während des AUTHC-Starts neu geladen. Wenn die NetWorker-Services nach dem Importieren der Zertifikate nicht neu gestartet werden, schlägt der Prozess zum Konfigurieren der externen Autorität in NetWorker mit einem zertifikatbezogenen Fehler fehl.

net stop nsrd
net start nsrd

7. Navigieren Sie im Abschnitt NWUI zu Erstellen einer Ressource für externe Zertifizierungsstelle "AD over SSL".

1. Greifen Sie über einen Webbrowser auf den NWUI-Server zu: https:// nwui-server-name:9090/nwui
2. Melden Sie sich mit dem NetWorker-Administratorkonto an.
3. Erweitern Sie im Menü Authentication Server und klicken Sie auf External Authorities.
4. Klicken Sie unter "Externe Behörden" auf "Add+".
5. Füllen Sie die Konfigurationsfelder aus:

Feld	Wert
Name	Ein beschreibender Name ohne Leerzeichen für die LDAP- oder AD-Konfiguration. Die maximale Anzahl von Zeichen ist 256. Geben Sie ASCII-Zeichen nur im Konfigurationsnamen an.
Servertyp	AD over SSL
Name des Anbieterservers	Gibt den Hostnamen oder die IP-Adresse des Active Directory-Servers an.
Port	Port 636 wird für SSL verwendet. Dieses Feld sollte automatisch ausgefüllt werden, wenn "AD over SSL" ausgewählt ist.
Tenant	Wählen Sie den Mandanten aus, falls konfiguriert. Wenn kein Mandant konfiguriert oder erforderlich ist, können Sie die Standardeinstellung verwenden.  Die Konfiguration eines Mandanten erfordert die folgende Anmeldesyntax "tenant_name\domain_name\user_name" Wenn der Standardmandant verwendet wird (common), lautet die Anmeldesyntax "domain_name\user_name " Mandant: Organisationscontainer der obersten Ebene für den NetWorker-Authentifizierungsservice. Jede externe Authentifizierungsstelle in der lokalen Datenbank wird einem Mandanten zugewiesen. Ein Mandant kann eine oder mehrere Domains enthalten, die Domain-Namen müssen jedoch innerhalb des Mandanten eindeutig sein. Der NetWorker-Authentifizierungsservice erstellt einen integrierten Mandantennamen Standard, der die Standarddomain enthält. Das Erstellen mehrerer Mandanten vereinfacht das Managen komplexer Konfigurationen. Beispielsweise können Serviceprovider mit eingeschränkten Datenzonen (RDZ) mehrere Mandanten erstellen, um isolierte Datenschutzservices für Mandantenbenutzer bereitzustellen.
Domäne	Der vollständige Domainname einschließlich aller DC-Werte; Zum Beispiel: example.com
Nutzer-DN	Gibt den vollständigen Distinguished Name (DN) eines Nutzerkontos an, das über vollständigen Lesezugriff auf das AD-Verzeichnis verfügt. Zum Beispiel: CN=Administrator,CN=Users,DC=example,DC=com.
Nutzer-DN-Kennwort	Gibt das Kennwort des Nutzerkontos an, das für den Zugriff auf und das Lesen von AD Direct verwendet wird.

6. Wenn Sie fertig sind, klicken Sie auf "Speichern".
7. Eine Zusammenfassung der konfigurierten Ressource für externe Autoritäten sollte jetzt angezeigt werden:

8. Bearbeiten Sie im Menü Server > User Groups die User Groups, die die Rechte enthalten, die Sie an AD/LDAP-Gruppen oder -Nutzer delegieren möchten. Um vollständige Administratorrechte zu gewähren, geben Sie die AD-Gruppe/den AD-Nutzer-DN im Feld External Roles der Rollen Application Administrators und Security Administrators an.

Beispiel: CN=NetWorker_Admins,DC=amer,DC=lan

Dies kann auch über die Befehlszeile erfolgen:

nsraddadmin -e "Distinguished_Name"

nsr:~ # nsraddadmin -e "CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan"
134751:nsraddadmin: Added role 'CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan' to the 'Security Administrators' user group.
134751:nsraddadmin: Added role 'CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan' to the 'Application Administrators' user group.

9. Sobald die AD-Gruppe oder die Nutzer-DNs angegeben wurden, klicken Sie auf Save. 

1. Melden Sie sich mit dem Standardadministratorkonto bei der NMC an.
2. Navigieren Sie zu Setup -> Nutzer und Rollen -> NMC-Rollen.
3. Fügen Sie den AD-Nutzer oder den Gruppen-DN zu den externen Rollenfeldern der entsprechenden Anwendungsadministratoren, Sicherheitsadministratoren und Konsolennutzer hinzu. 
    
   

Dies ist eine optionale Konfigurationseinstellung. Dieser Parameter gewährt externen Nutzern vollständigen Sicherheitszugriff auf NetWorker. Insbesondere gewährt es einem externen Nutzer die Möglichkeit, die folgenden Aktionen durchzuführen:

• Verwalten von Nutzern und Gruppen des NetWorker-Authentifizierungsservers
• Verwalten Sie die externe Autoritätsressource, die in NetWorker konfiguriert ist.

Ohne diese Berechtigungen werden Fehler wie "Zugriff verweigert" angezeigt, wenn Sie versuchen, als externer Nutzer auf diese Einstellungen zuzugreifen.

Standardmäßig sind diese Einstellungen nur für das Standard-NetWorker-Administratorkonto zugänglich.

Führen Sie die folgenden Schritte aus, um FULL_CONTROL Berechtigungen zu konfigurieren:

1. Öffnen Sie eine Administrator-/Root-Eingabeaufforderung.
2. Verwenden des AD-Gruppen-DN, den Sie gewähren möchten FULL_CONTROL Berechtigung zur Ausführung:
   

   authc_config -u Administrator -p 'NetWorker_Admin_Pass' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="AD/LDAP_group_dn"

   
   Beispiel:
   

   nve:~ # authc_config -u Administrator -p '!Password1' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="CN=NetWorker_Admins,OU=DELL,dc=amer,dc=lan"
   Permission FULL_CONTROL is created successfully.
   nve:~ #
   nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-permissions
   The query returns 2 records.
   Permission Id Permission Name Group DN Pattern                Group DN
   1             FULL_CONTROL    ^cn=Administrators,cn=Groups.*$
   2             FULL_CONTROL                                    CN=NetWorker_Admins,OU=DELL,dc=amer,dc=lan

1. Greifen Sie über einen Webbrowser auf die NWUI zu: https://NETWORKER-SERVER-ADDRESS:9090/nwui
2. Melden Sie sich von der NWUI-Schnittstelle ab und melden Sie sich mit dem AD-Konto wieder an:

3. Das Nutzersymbol in der oberen rechten Ecke zeigt an, welches Nutzerkonto angemeldet ist.