Data Domain: LDAP Kılavuzu

Bu rehberdeki bilgiler ve adımlar DD OS 7.9 ve üzeri sürümlerde kullanılır

LDAP kimlik doğrulama bilgilerini görüntüleme

LDAP Kimlik Doğrulaması paneli, LDAP yapılandırma parametrelerini ve LDAP kimlik doğrulamasının etkin mi yoksa devre dışı mı olduğunu gösterir.
LDAP'nin** etkinleştirilmesi, **sistem düzeyinde kullanıcı kimlik doğrulaması**, **NFSv4 kimlik eşleme** ve LDAP ile **NFSv3 veya NFSv4 Kerberos için mevcut bir OpenLDAP sunucusunu veya dağıtımını kullanmanıza olanak tanır.

Adım -ları

1. Administration (Yönetim) > Access (Erişim) > Authentication (Kimlik Doğrulama) öğesini seçin. Authentication görünümü görüntülenir.
2. LDAP Authentication (Kimlik Doğrulaması) panelini genişletin.

LDAP kimlik doğrulamasını etkinleştirme ve devre dışı bırakma LDAP kimlik doğrulamasını etkinleştirmek, devre dışı bırakmak veya sıfırlamak için LDAP Authentication (Kimlik Doğrulaması) panelini kullanın.

Adımlar

1. Administration (Yönetim) > Access (Erişim) > Authentication (Kimlik Doğrulama) öğesini seçin. Authentication görünümü görüntülenir.
2. LDAP kimlik doğrulama panelini genişletin.
3. LDAP Kimlik Doğrulamasını etkinleştirmek için LDAP Status öğesinin yanındaki Enable öğesine veya devre dışı bırakmak için Disable öğesine tıklayın.
   Enable or Disable LDAP authentication iletişim kutusu görüntülenir.
4. Tamam öğesine tıklayın.

LDAP kimlik doğrulamasını sıfırlama.

Reset düğmesi, LDAP kimlik doğrulamasını devre dışı bırakır ve LDAP yapılandırma bilgilerini temizler.

LDAP kimlik doğrulaması yapılandırma

LDAP kimlik doğrulamasını yapılandırmak için LDAP kimlik doğrulama panelini kullanın.

Adım -ları

1. Administration (Yönetim) > Access (Erişim) > Authentication (Kimlik Doğrulama) öğesini seçin. Authentication görünümü görüntülenir.
2. LDAP Authentication (Kimlik Doğrulaması) panelini genişletin.
3. Configure (Yapılandır) öğesine tıklayın. Configure LDAP Authentication iletişim kutusu görüntülenir.
4. Base Suffix alanında temel son eki belirtin.
5. Bind DN alanında LDAP sunucusuyla ilişkilendirilecek hesap adını belirtin.
6. Bind Password alanında Bind DN hesabının parolasını belirtin.
7. İsteğe bağlı olarak SSL'yi Etkinleştir'i seçin.
8. İsteğe bağlı olarak, koruma sisteminin LDAP sunucusundan bir CA sertifikası içe aktarmasını zorunlu kılmak için Talep sunucusu sertifikası öğesini seçin.
9. Tamam öğesine tıklayın.
10. Daha sonra gerekirse LDAP yapılandırmasını varsayılan değerlerine döndürmek için Reset öğesine tıklayın.

LDAP kimlik doğrulama sunucularını belirtme

Bu görev
hakkındaLDAP kimlik doğrulama sunucularını belirtmek için LDAP kimlik doğrulama panelini kullanın.
Bir LDAP sunucusu yapılandırılmadan önce LDAP kimlik doğrulaması devre dışı bırakılmalıdır.
 

Adımlar

1. Administration (Yönetim) > Access (Erişim) > Authentication (Kimlik Doğrulama) öğesini seçin. Authentication görünümü görüntülenir.
2. LDAP kimlik doğrulama panelini genişletin.
3. Sunucu eklemek için + düğmesine tıklayın.
4. LDAP sunucusunu aşağıdaki biçimlerden birinde belirtin:
   • IPv4 adresi: nn.nn.nn.nn
   • IPv6 adresi: [FF::XXXX:XXXX:XXXX:XXXX]
   • Ana bilgisayar adı: myldapserver.FQDN
5. Tamam öğesine tıklayın.

LDAP gruplarını yapılandırma

LDAP gruplarını yapılandırmak için LDAP kimlik doğrulama panelini kullanın.

Bu görev
hakkındaLDAP grubu yapılandırması yalnızca koruma sisteminde kullanıcı kimlik doğrulaması için LDAP kullanılırken geçerlidir.

Adım -ları

1. Administration (Yönetim) > Access (Erişim) > Authentication (Kimlik Doğrulama) öğesini seçin. Authentication görünümü görüntülenir.
2. LDAP kimlik doğrulama panelini genişletin.
3. LDAP Group tablosunda LDAP gruplarını yapılandırın.
   • LDAP grubu eklemek için Ekle (+) düğmesine tıklayın, LDAP grup adını ve rolünü girin ve Tamam öğesine tıklayın.
   • Bir LDAP grubunu değiştirmek için LDAP grup listesinde grup adının onay kutusunu işaretleyin ve Edit (pencil) öğesine tıklayın. LDAP grup adını değiştirin ve Tamam öğesine tıklayın.
   • Bir LDAP grubunu kaldırmak için listeden LDAP grubunu seçin ve Delete (X) öğesine tıklayın.

LDAP kimlik doğrulamasını yapılandırmak için CLI kullanma.

LDAP'nin** etkinleştirilmesi, **sistem düzeyinde kullanıcı kimlik doğrulaması**, **NFSv4 kimlik eşleme** ve LDAP ile **NFSv3 veya NFSv4 Kerberos için **mevcut bir OpenLDAP sunucusunu veya dağıtımını yapılandırmanıza** olanak tanır.

Active Directory için LDAP kimlik doğrulaması zaten yapılandırılmışsa bu yapılandırılamaz.

Active Directory için LDAP kimlik doğrulamasını yapılandırma

DDOS, Active Directory için LDAP kimlik doğrulamasını destekler.
Active Directory** ile LDAP kimlik doğrulaması, Active Directory kullanıcıları ve grupları için CIFS veri erişimini kısıtlayarak sistemdeki CIFS paylaşımlarına yalnızca yerel kullanıcıların erişmesine izin verir.
Bu yapılandırmaya sahip Active Directory kullanıcıları için yalnızca CLI ve UI oturum açma işlemlerine izin verilir.

Önkoşullar
Active Directory için LDAP kimlik doğrulamasını yapılandırmak üzere ortamın aşağıdaki gereksinimleri karşıladığından emin olun:

• TLS/SSL, LDAP iletişimi için etkinleştirilir.
• Koruma sistemine erişen Active Directory kullanıcılarının geçerli UID ve GID numaraları olmalıdır.
• Koruma sistemine erişen Active Directory gruplarının geçerli bir GID numarası olmalıdır.

Active Directory için LDAP uygulamasına aşağıdaki sınırlamalar uygulanır:

• Microsoft Active Directory, desteklenen tek Active Directory sağlayıcısıdır.
• Active Directory Basit Dizin Hizmetleri (LDS) desteklenmez.
• Şunun için Active Directory yerel şeması: uidNumber ve gidNumber Population, desteklenen tek şemadır. Active Directory ile entegre edilen üçüncü taraf araçlar desteklenmez.

Bu görev
hakkındaActive Directory için LDAP kimlik doğrulaması, CIFS için Active Directory veya Kerberos kimlik doğrulaması ile birlikte kullanılamaz.
Bu seçeneği yapılandırmanın tek yolu CLI'dır.

Adım -ları
Active Directory için LDAP kimlik doğrulamasını etkinleştirmek üzere kimlik doğrulama LDAP base set base name type active-directory komutunu çalıştırın.

# authentication ldap base set "dc=anvil,dc=team" type active-directory

LDAP sunucularını yapılandırın.

Bir veya daha fazla LDAP sunucusunu aynı anda yapılandırabilirsiniz. Minimum gecikme süresi için koruma sistemine en yakın sitedeki sunucuları yapılandırın.

Bu görev hakkında

LDAP sunucusunu aşağıdaki biçimlerden birinde belirtin:

• IPv4 address—10.<A>.<B>.<C>
• IPv4 address with port number—10.<A>.<B>.<C>:400
• IPv6 address—[::ffff:9.53.96.21]
• IPv6 address with port number—[::ffff:9.53.96.21]:400
• Hostname—myldapserver
• Hostname with port number—myldapserver:400

Birden fazla sunucu yapılandırırken:

• Her sunucuyu boşlukla ayırın.
• Kimlik doğrulama LDAP sunucuları ekleme komutu kullanılırken listelenen ilk sunucu birincil sunucu olur.
• Sunuculardan herhangi biri yapılandırılamazsa komut, listelenen tüm sunucular için başarısız olur.

Adımlar

1. Bir veya daha fazla LDAP sunucusu eklemek için "authentication ldap servers add" komutu:

# authentication ldap servers add 10.A.B.C 10.X.Y.Z:400
LDAP server(s) added
LDAP Server(s): 2
# IP Address/Hostname
--- ---------------------
1. 10.A.B.C (primary)
2. 10.X.Y.Z:400
--- ---------------------

2. Bir veya daha fazla LDAP sunucusunu kaldırmak için "authentication ldapservers del" komutu:

# authentication ldap servers del 10.X.Y.Z:400
LDAP server(s) deleted.
LDAP Servers: 1
# Server
- ------------ ---------
1 10.A.B.C (primary)
- ------------ ---------
3. Remove all LDAP servers by using the authentication ldap servers reset command:
# authentication ldap servers reset
LDAP server list reset to empty.

LDAP temel sonekini yapılandırın.
Temel son ek, aramanın temel DN'sidir ve LDAP dizininin aramaya başladığı yerdir.

Bu görev
hakkındaOpenLDAP veya Active Directory için temel son eki ayarlayın.

Kullanıcı oturum açma işlemine yalnızca birincil Active Directory etki alanından izin verilir. Güvenilen Active Directory etki alanlarındaki kullanıcılar ve gruplar desteklenmez.
OpenLDAP için temel son eki ayarlayın.

Adım -ları
LDAP temel sonekini "authentication ldap base set" komutu:

# authentication ldap base set "dc=anvil,dc=team"

LDAP base-suffix set to "dc=anvil,dc=team".

Adımlar

1. LDAP temel sonekini "authentication ldap base set" komutu:

# authentication ldap base set "dc=anvil,dc=team" type active-directory

LDAP base-suffix set to "dc=anvil,dc=team".

# authentication ldap groups add dd-admins role admin
LDAP Group Role
---------- -----
dd-admins admin
---------- -----
Reset the LDAP base suffix

Adım -ları
LDAP temel sonekini " kullanarak sıfırlayın.authentication ldap base reset" komutu:

# authentication ldap base reset

LDAP temel son eki boş olarak sıfırlanır.

LDAP istemci kimlik doğrulamasını yapılandırın.
LDAP sunucusuyla kimlik doğrulaması yapmak ve sorgu yapmak için kullanılan hesabı (Bind DN) ve parolayı (Bind PW) yapılandırın.

Bu görev
hakkındaBind DN sini ve parolasını her zaman yapılandırmanız gerekir. Bu süreçte, LDAP sunucuları varsayılan olarak kimliği doğrulanmış bağlamalar gerektirir. Eğer client-auth ayarlanmamışsa, ad veya parola sağlanmadan anonim erişim isteniyor.

Çıktı "authentication ldap show" komutu aşağıdaki gibidir:

# authentication ldap show

LDAP configuration
 Enabled: yes (*)
 Base-suffix: dc=u2,dc=team
 Binddn: (anonymous)
 Server(s): 1
# Server
- ------------- ---------
1 10.207.86.160 (primary)
- ------------- ---------
Secure LDAP configuration
 SSL Enabled: no
 SSL Method: off
 tls_reqcert: demand

(*) Yapılandırmanın etkili olması için dosya sisteminin tekrar başlatılması gerekir.

Eğer binddn kullanılarak ayarlanır client-auth CLI, ancak bindpw sağlanmadıysa, kimliği doğrulanmamış erişim talep edildi.

# authentication ldap client-auth set binddn "cn=Manager,dc=u2,dc=team"

Enter bindpw:
** Bindpw sağlanmamaktadır. Kimliği doğrulanmamış erişim talep edilir.
LDAP istemcisi kimlik doğrulaması binddn " olarak ayarlayıncn=Manager,dc=u2,dc=team" dedi.

Adım -ları

1. Bind DN sini ve parolayı kullanarak ayarlayın.authentication ldap client-auth set binddn" komutu:

# authentication ldap client-auth set binddn "cn=Administrator,cn=Users,dc=anvil,dc=team"

Enter bindpw:
LDAP istemci kimlik doğrulaması binddn şu şekilde ayarlanır:
"cn=Administrator,cn=Users,dc=anvil,dc=team)

2. Bind DN sini ve parolayı " komutunu kullanarak sıfırlayın.authentication ldap client-auth reset" komutu:

# authentication ldap client-auth reset

LDAP istemci kimlik doğrulama yapılandırması boş olarak sıfırlandı.

LDAP'yi etkinleştirin.

Önkoşullar
LDAP'yi etkinleştirmeden önce bir LDAP yapılandırması mevcut olmalıdır.
Ayrıca NIS'yi devre dışı bırakmanız, LDAP sunucusunun erişilebilir olduğundan emin olmanız ve LDAP sunucusunun kök DSE'sini sorgulayabilmeniz gerekir.

Adım -ları

1. " komutunu kullanarak LDAP'yi etkinleştirinauthentication ldap enable" komutu:

# authentication ldap enable

Devam etmeden önce, onaylamanız için LDAP yapılandırmasının ayrıntıları görüntülenir. Devam etmek için Yes yazın ve LDAP yapılandırmasının geçerli olması için dosya sistemini tekrar başlatın.

Geçerli LDAP yapılandırmasını kullanarak görüntüleyin "authentication ldap show" komutu:

# authentication ldap show
LDAP configuration
 Enabled: no
 Base-suffix: dc=anvil,dc=team
 Binddn: cn=Administrator,cn=Users,dc=anvil,dc=team
 Server(s): 2
# Server
- ---------------- ---------
1 10.26.16.250 (primary)
2 10.26.16.251:400
- ---------------- ---------
Secure LDAP configuration
 SSL Enabled: no
 SSL Method: off
 tls_reqcert: demand

Temel LDAP ve güvenli LDAP'nin yapılandırma ayrıntıları görüntülenir.

3. View the current LDAP status by using the authentication ldap status command:
# authentication ldap status
The LDAP status is displayed. If the LDAP status is not good, the problem is identified in the output.
For example:
# authentication ldap status
Status:invalid credentials
or
# authentication ldap status
Status: invalid DN syntax
4. Disable LDAP by using the authentication ldap disable command:
# authentication ldap disable LDAP is disabled.

Güvenli LDAP'yi etkinleştirin.

SSL'yi etkinleştirerek DDR'yi güvenli LDAP kullanacak şekilde yapılandırabilirsiniz.
Active Directory için LDAP'yi SSL/TLS seçenekleriyle güvenli LDAP'yi yapılandırın.
Önkoşullar: LDAP CA sertifikası yoksa ve tls_reqcert Talep olarak ayarlanırsa, işlem başarısız olur.
Bir LDAP CA sertifikasını içe aktarın ve yeniden deneyin. Eğer tls_reqcert hiçbir zaman olarak ayarlanmışsa, LDAP CA sertifikası gerekli değildir.

Adım -ları

1. SSL'yi etkinleştirmek için "authentication ldap ssl enable" komutu:

# authentication ldap ssl enable

Güvenli LDAP, " ile etkinleştirilirldaps" yöntemini kullanın.

Varsayılan yöntem güvenli LDAP veya LDAP'dir. TLS gibi başka yöntemleri de belirtebilirsiniz:

# authentication ldap ssl enable method start_tls

Güvenli LDAP, " ile etkinleştirilirstart_tls" yöntemini kullanın.

2. SSL'yi " kullanarak devre dışı bırakınauthentication ldap ssl disable" komutu:

# authentication ldap ssl disable Secure LDAP is disabled.

LDAP sunucu sertifikası doğrulamasını içe aktarılan CA sertifikaları ile yapılandırın.

TLS istek sertifikası davranışını değiştirebilirsiniz.

Adım -ları

1. TLS istek sertifikası davranışını değiştirmek için "authentication ldap ssl set tls_reqcert" komutunu kullanın.

Sertifikayı doğrulama:

# authentication ldap ssl set tls_reqcert never “tls_reqcert” set to "never".

LDAP sunucu sertifikası doğrulanmadı.

Sertifikayı doğrulayın:

# authentication ldap ssl set tls_reqcert demand

)tls_reqcert" "Talep" olarak ayarlayın. LDAP sunucusu sertifikası doğrulandı.

2. TLS istek sertifikası davranışını " komutunu kullanarak sıfırlayın.authentication ldap ssl reset tls_reqcert" komutunu kullanın.

Varsayılan davranış taleptir:

# authentication ldap ssl reset tls_reqcert

)tls_reqcert", "talep" olarak ayarlanmıştır. LDAP Sunucusu sertifikası, içe aktarılan bir CA sertifikasıyla doğrulanır. Kullan »adminaccess" CA sertifikasını içe aktarmak için CLI.

LDAP için CA sertifikalarını yönetin.

Sertifikaları içe aktarabilir veya silebilir ve geçerli sertifika bilgilerini görüntüleyebilirsiniz.

Adım -ları

1. LDAP sunucu sertifikası doğrulaması için bir CA sertifikasını " kullanarak içe aktarınadminaccess certificate import" komutunu kullanın.

CA uygulaması için LDAP belirtin:

# adminaccess certificate import {host application {all | aws-federal | ddboost | https | keysecure | dsm | ciphertrust | gklm | } | ca application {all | cloud | ddboost | ldap | login-auth | keysecure | dsm | rsa-securid | ciphertrust | gklm | }} [file ]

2. LDAP sunucu sertifikası doğrulaması için bir CA sertifikasını silmek için "adminaccess" sertifika silme komutu. Uygulama için LDAP belirtin:

# adminaccess certificate delete {subject | fingerprint } [application {all | aws-federal | cloud | ddboost | ldap | login-auth | https | keysecure | dsm | ciphertrust | gklm | support | }]

3. LDAP sunucu sertifikası doğrulaması için geçerli CA sertifika bilgilerini göstermek için "adminaccess certificate show" komutu:

# adminaccess certificate show imported-ca application ldap

Active Directory için bağlantı noktaları

LDAP

Federal Bilgi İşleme Standartları (FIPS) etkinleştirildiğinde, bir sistemde veya DDVE'de çalışan LDAP istemcisi TLS kullanmalıdır.

# authentication ldap ssl enable method start_tls Otherwise, enabling FIPS compliance mode fails.

Yeni yükleme ve yükseltme işlemlerinde LDAP SSL şifreleri açıkça ayarlanmaz.
FIPS uyumluluk modu etkinleştirildiğinde, LDAP SSL şifreleri aşağıdaki gibi ayarlanır:

• ECDHE-RSA-AES256-GCM-SHA384
• ECDHE-RSA-AES256-SHA384
• DHE-RSA-AES256-GCM-SHA384
• DHE-RSA-AES256-SHA256
• AES256-GCM-SHA384
• AES256-SHA256
• ECDHE-RSA-AES128-GCM-SHA256
• ECDHE-RSA-AES128-SHA256
• DHE-RSA-AES128-GCM-SHA256
• DHE-RSA-AES128-SHA256
• AES128-GCM-SHA256
• AES128-SHA256

Yapılandırılan şifre listesi şu şekilde olmalıdır: ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSAAES256-SHA256:AES256-GCM-SHA384:AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSAAES128-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:AES128-GCM-SHA256:AES128- SHA256

FIPS devre dışı bırakıldığında, boş bir dize olan "" olarak ayarlanır.

Ağ Dosya Sistemi (NFS) kimlik eşlemesi için LDAP

Data Domain ve PowerProtect sistemleri, NFSv4 kimlik eşlemesi için LDAP'yi ve LDAP ile NFSv3 veya NFSv4 Kerberos'u kullanabilir. Kullanıcı ayrıca Güvenli LDAP'yi LDAPS veya "start_TLS" yöntemini kullanın. LDAP istemci kimlik doğrulaması, Bind DN veya Bind PW'yi kullanabilir ancak sistemler sertifika tabanlı LDAP istemci kimlik doğrulamasını desteklemez.