ECS：如何在 ECS 上透過 LDAPS 設定和接受憑證

Summary: 如何在 ECS 上透過安全的輕量型目錄存取通訊協定（LDAPS）設定和接受憑證。

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.

Check out other resources

Instructions

LDAPS 又稱為安全通訊端層（SSL）或傳輸層安全性（TLS）上的輕量型目錄存取通訊協定（LDAP），是 Active Directory （AD）或 LDAP 伺服器使用 LDAP 的一種加密流量形式。

LDAPS 取決於有效的 LDAP 連線。檢閱 ECS 管理指南和這篇知識文章 ECS：如何在 UI

中設定 AD 或 LDAP 伺服器連線與 SSL 或 TLS 通訊的關鍵元件是憑證。請確定使用的憑證未過期且有效。這對於完整證書鏈中的所有證書都很重要。
請就此諮詢您的網路團隊。

若要上傳 LDAPS 憑證鏈並啟用 LDAPS，請注意下列步驟。
1.節點管理 IP 位址是上傳 LDAPS 憑證鏈的必要資訊。
2.UI 根使用者必須將 LDAPS 憑證鏈上傳至節點管理 CLI 介面。
3一.XML 有效負載中的 LDAPS 憑證鏈結至節點管理 IP 位址
3B。LDAPS 會在節點管理 IP 位址
4 的 XML 承載中啟用參數設定。在 ECS 驗證提供者頁面中使用 LDAPS，使用完整網域名稱（FQDN），而非 IP 位址。
5.測試網域使用者登入。

在步驟 3 中，
需要 FQDN 而不是 IP 位址，
因為：“使用 SSL 證書時，證書中必須具有主體備用名稱（SAN）才能與要連接的連接匹配，SAN 只會顯示一個 DNS 名稱，以匹配 ECS 上的配置。

因此，請確認伺服器 URL 對話方塊的 ECS 驗證提供者頁面使用的是 FQDN 而非 IP 位址。
例： ldaps://ad-or-ldap-fqdn-domain.com

上述步驟：

節點管理 IP 位址是上傳 LDAPS 憑證鏈的必要資訊。

若要檢查與 LDAPS 憑證設定相關的 ECS 設定，請先取得要使用的節點管理 IP。
如果 UI 管理有網路分隔，則「getrackinfo -n」會顯示「MGMT」值。

使用節點的 MGMT IP 位址。複寫和資料網路分隔與下列步驟無關：

admin@node1:~> getrackinfo -n
Named networks
==============
Node ID       Network          Ip Address        Netmask            Gateway            VLAN               Interface
1            repl              10.xxx.xxx.11     255.255.254.0      xxx.xxx.xxx.xxx    14                 public
1            mgmt              10.xxx.xxx.21     255.255.254.0      xxx.xxx.xxx.xxx    13                 public
1            data              10.xxx.xxx.31     255.255.254.0      xxx.xxx.xxx.xxx    15                 public
2            repl              10.xxx.xxx.12     255.255.254.0      xxx.xxx.xxx.xxx    14                 public
2            mgmt              10.xxx.xxx.22     255.255.254.0      xxx.xxx.xxx.xxx    13                 public
2            data              10.xxx.xxx.32     255.255.254.0      xxx.xxx.xxx.xxx    15                 public
3            repl              10.xxx.xxx.13     255.255.254.0      xxx.xxx.xxx.xxx    14                 public
3            mgmt              10.xxx.xxx.23     255.255.254.0      xxx.xxx.xxx.xxx    13                 public
3            data              10.xxx.xxx.33     255.255.254.0      xxx.xxx.xxx.xxx    15                 public
4            repl              10.xxx.xxx.14     255.255.254.0      xxx.xxx.xxx.xxx    14                 public
4            mgmt              10.xxx.xxx.24     255.255.254.0      xxx.xxx.xxx.xxx    13                 public
4            data              10.xxx.xxx.34     255.255.254.0      xxx.xxx.xxx.xxx    15                 public

如果 VDC 上沒有網路 MGMT 分隔，請改用節點的公共 IP 位址。

注意：如果管理網路存在，網路分隔優先。

在下列範例中，沒有 MGMT 存在於 "getrackinfo -n";因此，請在以下位置使用公共IP位址 getrackinfo 作為後續步驟的管理IP位址。

admin@node1:~> getrackinfo -n 
Named networks 
============== 
Node ID       Network          Ip Address        Netmask            Gateway            VLAN               Interface admin@node1:~>


admin@node1:~> getrackinfo
Node private      Node              Public                                  BMC
Ip Address        Id       Status   Mac                 Ip Address          Mac                 Ip Address          Node Name
===============   ======   ======   =================   =================   =================   =================   =========
192.1XX.2XX.1     1        MA       a4:bf:xx:xx:xx:74   10.xx.xx.1          a4:bf:xx:xx:xx      192.1XX.2XX.101     provo-red
192.1XX.2XX.2     2        SA       a4:bf:xx:xx:xx:c8   10.xx.xx.2          a4:bf:xx:xx:xx      192.1XX.2XX.102     sandy-red
192.1XX.2XX.3     3        SA       a4:bf:xx:xx:xx:e0   10.xx.xx.3          a4:bf:xx:xx:xx      192.1XX.2XX.103     orem-red
192.1XX.2XX.4     4        SA       a4:bf:xx:xx:xx:56   10.xx.xx.4          a4:bf:xx:xx:xx      192.168.219.104     ogden-red

2.UI 根使用者必須將 LDAPS 憑證鏈上傳至節點管理 CLI 介面。

使用取得的管理 IP 位址取得根使用者權杖。需要根使用者密碼（或具有 UI 管理員權限的 UI 使用者）：

curl -s -k -v -u <user> https://<NodeManagementIP>:4443/login 2>&1

範例：

# curl -s -k -v -u root https://10.xxx.xxx.21:4443/login 2>&1
Enter host password for user 'root':
......

< HTTP/1.1 200 OK
< Date: Thu, 14 Jan 2021 13:51:24 GMT
< Content-Type: application/xml
< Content-Length: 93
< Connection: keep-alive
< X-SDS-AUTH-TOKEN: BAAcdWhGbnVRVjd1WlpmR0xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxAgAC0A8=
< X-SDS-AUTH-USERNAME: root
< X-SDS-AUTH-MAX-AGE: 28800
<
* Connection #0 to host 10.xxx.xxx.21 left intact
<?xml version="1.0" encoding="UTF-8" standalone="yes"?><loggedIn><user>root</user></loggedIn>

如果輸出不是「HTTP/1.1 200 OK」，請檢查密碼和 IP 位址，若 UI 管理網路與「getrackinfo -n.」命令存在分隔。

使用根使用者權杖建立權杖變數。

注意：如果是在新的 CLI 工作階段中，則可能需要更新有效的權杖：

# export TOKEN='X-SDS-AUTH-TOKEN: BAAcdWhGbnVRVjd1WlpmR0xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxAgAC0A8='
若要測試權杖值，請執行 curl 檢查容量的命令：

# curl -k -X GET -H "$TOKEN" https://10.xxx.xxx.21:4443/object/capacity | xmllint --format -        
% Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                               Dload  Upload   Total   Spent    Left  Speed
100   176  100   176    0     0    249      0 --:--:-- --:--:-- --:--:--   250

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<cluster_capacity>
  <totalFree_gb>100657</totalFree_gb>
  <totalProvisioned_gb>447005</totalProvisioned_gb>
</cluster_capacity>

3一.XML 有效負載中的 LDAPS 憑證鏈結至節點管理 IP 位址

3B。LDAPS 會啟用參數設定。接受節點管理 IP 位址的 XML 裝載中的 LDAPS 參數。

以上使用根使用者權杖取得 ECS UI 信任存放區的 curl 存取權，您可以在其中上傳 LDAPS 憑證。
如需「新增自訂 LDAP 憑證」的詳細資訊，請參閱 ECS 管理員指南。

取得信任存放區設定 curl GET 命令：

curl -s -k -X GET -H Content-Type:application/xml -H "$TOKEN" -H ACCEPT:application/xml https://<NodeManagementIP>:4443/vdc/truststore/settings | xmllint --format -

範例：

curl -s -k -X GET -H Content-Type:application/xml -H "$TOKEN" -H ACCEPT:application/xml https://10.xxx.xxx.21:4443/vdc/truststore/settings | xmllint --format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<truststore_settings>
  <accept_all_certificates>false</accept_all_certificates>
</truststore_settings>

在上面的例子中，信任庫 "accept_all_certificates" 設置為 false。這表示沒有 LDAPS 憑證受到信任。

這 "accept_all_certificates" 詞彙可能不明確，但它是 ECS 持續使用的旗標，以判斷是否要使用 LDAPS 憑證。
使用者可能希望將此設置為 true 或 false，具體取決於他們的需要。若要測試 LDAPS 連線，將其設為 true 並測試使用者的登入，可以驗證 LDAPS 連線。

注意：每次從信任存放區上傳或移除 LDAPS 憑證時， "accept_all_certificates" 變回假。因此，如果您編輯信任庫，則必須將 "accept_all_certificates" 之後回到真實。

使用具有 xml 裝載的 curl 命令建立 xml 檔案以變更信任存放區設定：

# sudo vi truststoresettings.xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<truststore_settings_changes>
<accept_all_certificates>true</accept_all_certificates>
</truststore_settings_changes>


# cat truststoresettings.xml | xmllint --format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<truststore_settings_changes>
  <accept_all_certificates>true</accept_all_certificates>
</truststore_settings_changes>

要將accept_all_certificates設置為 false，請將有效負載檔編輯為 false 而不是 true，然後使用有效負載檔運行 PUT 命令。

使用 curl PUT 命令，以 xml 檔案作為裝載執行 curl 命令：

# curl -s -k -X PUT -H Content-Type:application/xml -H "$TOKEN" -H ACCEPT:application/xml https://<NodeManagementIP>:4443/vdc/truststore/settings --data-binary @truststoresettings.xml

若要檢查「accept_all_certificates」是否已更新，請執行 curl GET 命令：

# curl -s -k -X GET -H Content-Type:application/xml -H "$TOKEN" -H ACCEPT:application/xml https://10.xxx.xxx.21:4443/vdc/truststore/settings  | xmllint --format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<truststore_settings_changes>
  <accept_all_certificates>true</accept_all_certificates>
</truststore_settings_changes>

要檢查信任庫，而不僅僅是信任庫設置，請執行以下操作：

# curl -s -k -X GET -H Content-Type:application/xml -H "$TOKEN" -H ACCEPT:application/xml https://<NodeManagementIP>:4443/vdc/truststore | xmllint --format -

空白的 LDAP 憑證信任存放區範例：

# curl -s -k -X GET -H Content-Type:application/xml -H "$TOKEN" -H ACCEPT:application/xml https://<NodeManagementIP>:4443/vdc/truststore | xmllint --format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<trusted_certificates/>

可能需要多個憑證，因為 ECS 需要整個憑證鏈結、根憑證、CA 憑證、主機憑證等。
若要將憑證新增至信任存放區，請建立使用者擁有的憑證 xml 檔案。憑證可能是 .pem、.crt、.cer 等檔案類型。

若要將憑證上傳至 ECS，憑證應採用 xml 格式，以作為 xml 裝載。

憑證的非 xml 格式檔案：

# cat cert.crt
-----BEGIN CERTIFICATE-----
MIIF1DCCA7ygAwIBAgIUdK2Ao2/45jYdQP0q6Dr1/ULmnc8wDQYJKoZIhvcNAQEL
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
HhrV5ezjYHY=
-----END CERTIFICATE-----

curl add 命令的 xml 格式：

# cat cert.xml | xmllint --format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<trusted_certificate_changes>
  <add>
    <certificate>-----BEGIN CERTIFICATE-----
MIIG2TCCBMGgAwIBAgITMQAAAATxxxxxxxxxxxxxxxxxxxxxxxxxhkiG9w0BAQsF
ADBbMRIwEAYKCZImiZPyLGQBGRYxxxxxxxxxxxxxxxxxxxxxxxxxFgR2aXRjMRMw
.......................
pkHgxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxzxhlGh2TaTC
xqz4T/sO4ggWs0Yz5nBmCZMDn6nxxxxxxrjX+ahXI=
-----END CERTIFICATE-----</certificate>
  <certificate>-----BEGIN CERTIFICATE-----
MIIG2TCCBMGgAwIBAgxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxqhkiG9w0BAQsF
ADBbMRIwEAYKCZImiZxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxZFgR2aXRjMRMw
EQYKCZImiZPyLGQBGRxxxxxxxxxxxxxxxxxxxxxxxxxxRW50ZXJwcmlzZS1DQTAe
Fw0yMDA2MDgwNzQwxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxIiMA0GCSqGSIb3DQEB
..........................
8wYIKWr2AqSKKxcBHxxxxxxxxxxxxxxxxxxxxxxxxxxxxx3ykeRMZJk7VpQDQDLN
feFI4rHZ4JOqDWttiHxxxxxxxxxxxxxxxxxxxxxxxxxxxhpXsxyjQIRvrtaCZVXz
GR7Na7Ah1o+9MWenMExxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxGQlsQ47nZE2YgV
-----END CERTIFICATE-----</certificate>
  </add>
</trusted_certificate_changes>

上傳憑證裝載 xml 格式：

curl -i -s -k -X PUT -H Content-Type:application/xml -H "$TOKEN" -H ACCEPT:application/xml https://10.xxx.xxx.21:4443/vdc/truststore --data-binary @cert.xml

若要檢查憑證是否已上傳，請執行 GET 命令，ECS 信任存放區中的結尾行字元為「.」

# curl -s -k -X GET -H Content-Type:application/xml -H "$TOKEN" -H ACCEPT:application/xml https://10.xxx.xxx.21:4443/vdc/truststore | xmllint --format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<trusted_certificates>
  <certificate>-----BEGIN CERTIFICATE-----
MIIG2TCCBMGgAwIBAgITMQAAAATxxxxxxxxxxxxxxxxxxxxxxxxxhkiG9w0BAQsF
ADBbMRIwEAYKCZImiZPyLGQBGRYxxxxxxxxxxxxxxxxxxxxxxxxxFgR2aXRjMRMw
.......................
pkHgxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxzxhlGh2TaTC
xqz4T/sO4ggWs0Yz5nBmCZMDn6nxxxxxxrjX+ahXI=
-----END CERTIFICATE-----</certificate>
  <certificate>-----BEGIN CERTIFICATE-----
MIIG2TCCBMGgAwIBAgxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxqhkiG9w0BAQsF
ADBbMRIwEAYKCZImiZxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxZFgR2aXRjMRMw
EQYKCZImiZPyLGQBGRxxxxxxxxxxxxxxxxxxxxxxxxxxRW50ZXJwcmlzZS1DQTAe
Fw0yMDA2MDgwNzQwxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxIiMA0GCSqGSIb3DQEB
..........................
8wYIKWr2AqSKKxcBHxxxxxxxxxxxxxxxxxxxxxxxxxxxxx3ykeRMZJk7VpQDQDLN
feFI4rHZ4JOqDWttiHxxxxxxxxxxxxxxxxxxxxxxxxxxxhpXsxyjQIRvrtaCZVXz
GR7Na7Ah1o+9MWenMExxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxGQlsQ47nZE2YgV
-----END CERTIFICATE-----</certificate>
</trusted_certificates>

若要檢查 LDAPS 設定是否未還原，請執行 curl GET 命令：

# curl -s -k -X GET -H Content-Type:application/xml -H "$TOKEN" -H ACCEPT:application/xml https://10.xxx.xxx.21:4443/vdc/truststore/settings | xmllint --format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<truststore_settings>
  <accept_all_certificates>false</accept_all_certificates>
</truststore_settings>

如果它恢復為 false，請將其設置回 true，
因為當信任庫發生更改時，設置可能會將其自身設置為“false”。

使用 curl PUT 命令，以 xml 檔案作為裝載執行 curl 命令：

# curl -s -k -X PUT -H Content-Type:application/xml -H "$TOKEN" -H ACCEPT:application/xml https://<NodeManagementIP>:4443/vdc/truststore/settings --data-binary @truststoresettings.xml

若要檢查 LDAPS 設定：

# curl -s -k -X GET -H Content-Type:application/xml -H "$TOKEN" -H ACCEPT:application/xml https://10.xxx.xxx.21:4443/vdc/truststore/settings | xmllint --format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<truststore_settings>
  <accept_all_certificates>true</accept_all_certificates>
</truststore_settings>

注意：信任存放區中可能有多個憑證。請記住，可能需要整個證書鏈。

4.在 ECS 驗證提供者頁面中使用 LDAPS，搭配 FQDN 而非 IP 位址。

隨著 LDAPS 憑證鏈已上傳至 ECS 信任存放區，以及 accept_all_certificates 旗標設為 true，請前往 ECS UI 驗證提供者頁面，並從以下位置變更伺服器 URL。
< ldap://網域控制站 IP 或 FQDN>
至
ldaps://< 網域控制站 FQDN>

也就是說：

FQDN 與 LDAPS 通訊協定

這必須是 LDAPS 用量的 FQDN。

需要 FQDN 而不是 IP 位址，因為：「
使用 SSL 憑證時，憑證中必須有主體別名（SAN）才能與要連接的連線相符，SAN 只會顯示與 ECS 組態相符的 DNS 名稱。」

因此，請確認伺服器 URL 對話方塊的 ECS 驗證提供者頁面使用的是 FQDN 而非 IP 位址。
即：
ldaps://fqdn-domain-of-the-ad-or-ldap-server.com

注意：如果使用預設埠，則可以省略該埠。

連接埠：
LDAP 的預設連接埠號碼為 389。
LDAPS 的預設連接埠號碼為 636。

非預設連接埠則為 URL 格式：
< ldap://網域控制器 IP 或 FQDN>：<連接埠>或網域控制器 ldaps://< FQDN>：<連接埠>

5。測試網域使用者登入。

接著，當使用 LDAPS 通訊協定測試網域使用者登入時，如果網域使用者可以透過 LDAPS 成功登入。

因此，ECS-LDAPS 通訊協定連線便正常運作。

其他資訊：

如有需要：
要從信任庫中刪除證書，請創建一個與要刪除的證書匹配的 xml 檔，而不是 "add" 作為有效負載，使用 "remove"：

# cat cert_remove.xml | xmllint --format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<trusted_certificate_changes>
  <remove>
    <certificate>-----BEGIN CERTIFICATE-----
MIIG2TCCBMGgAwIBAgITMQAAAATxxxxxxxxxxxxxxxxxxxxxxxxxhkiG9w0BAQsF
ADBbMRIwEAYKCZImiZPyLGQBGRYxxxxxxxxxxxxxxxxxxxxxxxxxFgR2aXRjMRMw
.......................
pkHgxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxzxhlGh2TaTC
xqz4T/sO4ggWs0Yz5nBmCZMDn6nxxxxxxrjX+ahXI=
-----END CERTIFICATE-----</certificate>
  <certificate>-----BEGIN CERTIFICATE-----
MIIG2TCCBMGgAwIBAgxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxqhkiG9w0BAQsF
ADBbMRIwEAYKCZImiZxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxZFgR2aXRjMRMw
EQYKCZImiZPyLGQBGRxxxxxxxxxxxxxxxxxxxxxxxxxxRW50ZXJwcmlzZS1DQTAe
Fw0yMDA2MDgwNzQwxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxIiMA0GCSqGSIb3DQEB
..........................
8wYIKWr2AqSKKxcBHxxxxxxxxxxxxxxxxxxxxxxxxxxxxx3ykeRMZJk7VpQDQDLN
feFI4rHZ4JOqDWttiHxxxxxxxxxxxxxxxxxxxxxxxxxxxhpXsxyjQIRvrtaCZVXz
GR7Na7Ah1o+9MWenMExxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxGQlsQ47nZE2YgV
-----END CERTIFICATE-----</certificate>
  </remove>
</trusted_certificate_changes>

若要使用新增或移除的有效負載檔案，請使用此命令：

# curl -s -k -X PUT -H Content-Type:application/xml-H "$TOKEN" -H ACCEPT:application/xml https://10.xxx.xxx.21:4443/vdc/truststore --data-binary @cert_remove.xml

若要檢查裝載是否成功，請執行 GET 命令：

# curl -s -k -X GET -H Content-Type:application/xml -H "$TOKEN" -H ACCEPT:application/xml https://10.xxx.xxx.21:4443/vdc/truststore | xmllint --format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<trusted_certificates/>

如果您不確定 LDAPS 伺服器與提供的證書不匹配，請運行以下命令以檢查 LDAPS 伺服器請求對匹配證書的預期回復。

注意：它要求整個鏈條 "verify error:num=21:unable to verify the first certificate"。

在此範例中，LDAPS 伺服器是自我簽署憑證，而非第三方憑證，因此可能會產生額外的警告，指出其為自我簽署：

# sudo openssl s_client -connect LDAPS_server_IP:636 < /dev/null
CONNECTED(00000003)
depth=0 CN = 
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=0 CN = 
verify error:num=21:unable to verify the first certificate
verify return:1
---
Certificate chain
........
---
Server certificate
-----BEGIN CERTIFICATE-----
.......
A cert that it expects.
.......
-----END CERTIFICATE-----
No client certificate CA names sent
Client Certificate Types: RSA sign, DSA sign, ECDSA sign
Requested Signature Algorithms: RSA+SHA512:ECDSA+SHA512:RSA+SHA256:RSA+SHA384:RSA+SHA1:ECDSA+SHA256:ECDSA+SHA384:ECDSA+SHA1:DSA+SHA1
Shared Requested Signature Algorithms: RSA+SHA512:ECDSA+SHA512:RSA+SHA256:RSA+SHA384:RSA+SHA1:ECDSA+SHA256:ECDSA+SHA384:ECDSA+SHA1:DSA+SHA1
Peer signing digest: SHA1
Server Temp Key: ECDH, P-256, 256 bits
---
SSL handshake has read 2223 bytes and written 487 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-SHA384
Server public key is 4096 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.2
.......................
    SRP username: None
    Start Time: 1610452553
    Timeout   : 300 (sec)
    Verify return code: 21 (unable to verify the first certificate)
---
DONE

檢查連線到 LDAPS 伺服器的認證檔案，如果有相符的憑證可供使用，即驗證返回代碼：0 (ok):

# openssl s_client -connect LDAPS_server_IP:636 -CAfile /home/admin/cert_file_to_be_used.crt
CONNECTED(00000003)
.......
---
Server certificate
-----BEGIN CERTIFICATE-----
.....
.....
-----END CERTIFICATE-----
.......
---
No client certificate CA names sent
Client Certificate Types: RSA sign, DSA sign, ECDSA sign
Requested Signature Algorithms: RSA+SHA512:ECDSA+SHA512:RSA+SHA256:RSA+SHA384:RSA+SHA1:ECDSA+SHA256:ECDSA+SHA384:ECDSA+SHA1:DSA+SHA1
Shared Requested Signature Algorithms: RSA+SHA512:ECDSA+SHA512:RSA+SHA256:RSA+SHA384:RSA+SHA1:ECDSA+SHA256:ECDSA+SHA384:ECDSA+SHA1:DSA+SHA1
Peer signing digest: SHA1
Server Temp Key: ECDH, P-256, 256 bits
---
SSL handshake has read 2223 bytes and written 487 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-SHA384
Server public key is 4096 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.2
 .........
    Verify return code: 0 (ok)
---

注意：憑證可能會到期，如果未更新，可能會影響連線。

若要檢查此項目，請使用此命令：

# cat /home/admin/cert.crt | openssl x509 -dates -noout
notBefore=Jan 12 13:43:52 2021 GMT
notAfter=Jan 12 13:43:52 2022 GMT

命令範例的 JSON 版本。
如果不使用上述 XML 命令（注意，偏好使用 XML）：

curl -s -k -X GET -H Content-Type:application/json -H "$TOKEN" -H ACCEPT:application/json https://<NodeManagementIP>:4443/vdc/truststore/settings

範例：

curl -s -k -X GET -H Content-Type:application/json -H "$TOKEN" -H ACCEPT:application/json https://10.xxx.xxx.21:4443/vdc/truststore/settings
{"accept_all_certificates":false}

使用具有 JSON 裝載的 curl 命令建立 JSON 檔案以變更信任儲存區設定：

# sudo vi truststoresettings.json
# sudo cat truststoresettings.json
{"accept_all_certificates": "true"}

可利用 python 上的 json.tool 模組驗證 JSON 檔案格式。如果出現錯誤，該檔可能不是 JSON 檔。在此範例中，沒有錯誤並輸出檔案，因此它是已格式化的 JSON 檔案：

# python -m json.tool truststoresettings.json
{
    "accept_all_certificates": "true"
}

使用 curl PUT 命令，以裝載 JSON 檔案的狀況執行 curl 命令：

# curl -s -k -X PUT -H Content-Type:application/json -H "$TOKEN" -H ACCEPT:application/json https://<NodeManagementIP>:4443/vdc/truststore/settings -d @truststoresettings.json

便條：
XML payload PUT 在 curl 命令中使用 --data-binary，而 JSON payload PUT 使用 -d 在 curl 命令中：
--data-binary

（HTTP）這將完全按照指定發佈數據，無需額外處理：
--data-ascii aka -d
（HTTP）此為的別名 -d小 --data。

若要檢查其是否已更新，請執行 curl GET 命令：

# curl -s -k -X GET -H Content-Type:application/json -H "$TOKEN" -H ACCEPT:application/json https://10.xxx.xxx.21:4443/vdc/truststore/settings
{"accept_all_certificates":true}

現在允許使用 LDAPS 憑證，測試網域使用者在 ECS UI 上的登入。

若要檢查信任存放區：

# curl -s -k -X GET -H Content-Type:application/json -H "$TOKEN" -H ACCEPT:application/json https://<NodeManagementIP>:4443/vdc/truststore

空白的 LDAP 憑證信任存放區範例：

# curl -s -k -X GET -H Content-Type:application/json -H "$TOKEN" -H ACCEPT:application/json https://10.xxx.xxx.xxx.21:4443/vdc/truststore
{"certificate":[]}

curl add 命令的 JSON 格式，一個單行檔，其中換行符替換為 \n 和 \r\n：

範例： {"add":["-----BEGIN CERTIFICATE-----\nxxxxx\r\n---END CERTIFICATE-----"]}

# cat cert.json
{"add":["-----BEGIN CERTIFICATE-----\nMIIF1DCCA7ygAwIBAgIUdK2Ao2/45jYdQP0q6Dr1/ULmnc8wDQYJKoZIhvcNAQEL\r\nxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\r\nxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\r\nxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\r\nxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\r\nHhrV5ezjYHY=\r\n---END CERTIFICATE-----"]}

請參閱 ECS 管理指南的「新增自訂 LDAP 憑證」。使用此命令新增或移除：

# curl -s -k -X PUT -H Content-Type:application/json -H "$TOKEN" -H ACCEPT:application/json https://10.xxx.xxx.21:4443/vdc/truststore -d @cert.json

若要檢查上傳：

# curl -s -k -X GET -H Content-Type:application/json -H "$TOKEN" -H ACCEPT:application/json https://10.xxx.xxx.xxx.21:4443/vdc/truststore
{"certificate":["-----BEGIN CERTIFICATE-----\nMIIF1DCCA7ygAwIBAgIUdK2Ao2/45jYdQP0q6Dr1/ULmnc8wDQYJKoZIhvcNAQEL\r\nxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\r\nxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\r\nxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\r\nxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\r\nHhrV5ezjYHY=\r\n---END CERTIFICATE-----"]}

若要檢查 LDAPS 設定是否未還原，請執行 curl GET 命令：

# curl -s -k -X GET -H Content-Type:application/json -H "$TOKEN" -H ACCEPT:application/json https://10.xxx.xxx.21:4443/vdc/truststore/settings
{"accept_all_certificates":false}

如果還原為 false，請將其設定回 true。當信任庫發生更改時，該設置可能會將其自身設置為“false”。

使用 curl PUT 命令，以裝載 JSON 檔案的狀況執行 curl 命令：

# curl -s -k -X PUT -H Content-Type:application/json -H "$TOKEN" -H ACCEPT:application/json https://<NodeManagementIP>:4443/vdc/truststore/settings -d @truststoresettings.json

若要檢查 LDAPS 設定：

# curl -s -k -X GET -H Content-Type:application/json -H "$TOKEN" -H ACCEPT:application/json https://10.xxx.xxx.21:4443/vdc/truststore/settings
{"accept_all_certificates":true}

注意：信任存放區中可能有多個憑證。請記住，可能需要整個證書鏈。

要從信任庫中刪除證書，請創建一個與要刪除的證書匹配的 JSON 檔，但不是“添加”作為有效負載，而是使用 "remove"：

# cat cert.json
{"remove":["-----BEGIN CERTIFICATE-----\nMIIF1DCCA7ygAwIBAgIUdK2Ao2/45jYdQP0q6Dr1/ULmnc8wDQYJKoZIhvcNAQEL\r\nxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\r\nxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\r\nxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\r\nxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\r\nHhrV5ezjYHY=\r\n---END CERTIFICATE-----"]}

若要新增或移除，請使用此命令：

# curl -s -k -X PUT -H Content-Type:application/json -H "$TOKEN" -H ACCEPT:application/json https://10.xxx.xxx.21:4443/vdc/truststore -d @cert.json

若要檢查上傳：

# curl -s -k -X GET -H Content-Type:application/json -H "$TOKEN" -H ACCEPT:application/json https://10.xxx.xxx.xxx.21:4443/vdc/truststore
{"certificate":[]}

Affected Products

ECS Appliance

Article Number: 000183654

Article Type: How To

Last Modified: 04 Nov 2025

Version: 11

Check if your device is covered by Support Services.

ECS：如何在 ECS 上透過 LDAPS 設定和接受憑證

Summary: 如何在 ECS 上透過安全的輕量型目錄存取通訊協定（LDAPS）設定和接受憑證。

Instructions

Affected Products

Article Properties

Find answers to your questions from other Dell users

Support Services

Article Properties

Find answers to your questions from other Dell users

Support Services

ECS：如何在 ECS 上透過 LDAPS 設定和接受憑證

Summary: 如何在 ECS 上透過安全的輕量型目錄存取通訊協定 （LDAPS） 設定和接受憑證。

Detailed Article

Instructions

Affected Products

Instructions

Affected Products

Article Properties

Find answers to your questions from other Dell users

Support Services

Article Properties

Find answers to your questions from other Dell users

Support Services

Summary: 如何在 ECS 上透過安全的輕量型目錄存取通訊協定（LDAPS）設定和接受憑證。