Data Domain: LDAP-Leitfaden

Die Informationen und Schritte in diesem Handbuch gelten für DD OS 7.9 und höher

Anzeigen von LDAP-Authentifizierungsinformationen

Im Bereich "LDAP Authentication" werden die LDAP-Konfigurationsparameter angezeigt und es wird angegeben, ob die LDAP-Authentifizierung aktiviert oder deaktiviert ist.
Wenn Sie LDAP** aktivieren**, können Sie einen vorhandenen OpenLDAP-Server oder eine vorhandene OpenLDAP-Bereitstellung für **Nutzerauthentifizierung auf Systemebene**, **NFSv4-ID-Zuordnung** und **NFSv3 oder NFSv4 Kerberos mit LDAP verwenden.

Schritte

1. Wählen Sie Administration > Access > Authentication. Die Ansicht Authentifizierung wird angezeigt.
2. Erweitern Sie den Bereich „LDAP Authentication“.

Aktivieren und Deaktivieren der LDAP-Authentifizierung – Verwenden Sie den Bereich „LDAP Authentication“, um die LDAP-Authentifizierung zu aktivieren, zu deaktivieren oder zurückzusetzen.

Schritte

1. Wählen Sie Administration > Access > Authentication. Die Ansicht Authentifizierung wird angezeigt.
2. Erweitern Sie den Bereich "LDAP authentication".
3. Klicken Sie auf Enable neben LDAP Status, um die LDAP-Authentifizierung zu aktivieren, oder auf Disable, um die LDAP-Authentifizierung zu deaktivieren.
   Das Dialogfeld Enable or Disable LDAP authentication wird angezeigt.
4. Klicken Sie auf OK.

Zurücksetzen der LDAP-Authentifizierung.

Mit der Schaltfläche Reset wird die LDAP-Authentifizierung deaktiviert und die LDAP-Konfigurationsinformationen gelöscht.

Konfigurieren der LDAP-Authentifizierung

Verwenden Sie den Bereich "LDAP authentication", um die LDAP-Authentifizierung zu konfigurieren.

Schritte

1. Wählen Sie Administration > Access > Authentication. Die Ansicht Authentifizierung wird angezeigt.
2. Erweitern Sie den Bereich „LDAP Authentication“.
3. Klicken Sie auf Konfigurieren. Das Dialogfeld Configure LDAP Authentication wird angezeigt.
4. Geben Sie das Basissuffix im Feld Base Suffix an.
5. Geben Sie den Kontonamen, der dem LDAP-Server zugeordnet werden soll, im Feld Bind DN an.
6. Geben Sie das Kennwort für das Konto "Bind DN" in das Feld Bind Password ein.
7. Wählen Sie optional SSL aktivieren aus.
8. Wählen Sie optional Serverzertifikat anfordern aus, damit das Schutzsystem ein CA-Zertifikat vom LDAP-Server importieren muss.
9. Klicken Sie auf OK.
10. Falls später erforderlich, klicken Sie auf Reset , um die LDAP-Konfiguration auf die Standardwerte zurückzusetzen.

Angeben von LDAP-Authentifizierungsservern

Informationen zu diesem Vorgang
Verwenden Sie den Bereich "LDAP authentication", um LDAP-Authentifizierungsserver festzulegen.
Voraussetzungen: Die LDAP-Authentifizierung muss vor der Konfiguration eines LDAP-Servers deaktiviert werden.
 

Schritte

1. Wählen Sie Administration > Access > Authentication. Die Ansicht Authentifizierung wird angezeigt.
2. Erweitern Sie den Bereich "LDAP authentication".
3. Klicken Sie auf die Schaltfläche + , um einen Server hinzuzufügen.
4. Geben Sie den LDAP-Server in einem der folgenden Formate an:
   • IPv4-Adresse: nn.nn.nn.nn
   • IPv6-Adresse: [FF::XXXX:XXXX:XXXX:XXXX]
   • Hostname: myldapserver.FQDN
5. Klicken Sie auf OK.

Konfigurieren von LDAP-Gruppen

Verwenden Sie den Bereich "LDAP authentication", um LDAP-Gruppen zu konfigurieren.

Informationen zu diesem Vorgang
Die LDAP-Gruppenkonfiguration gilt nur, wenn LDAP für die Nutzerauthentifizierung auf dem Schutzsystem verwendet wird.

Schritte

1. Wählen Sie Administration > Access > Authentication. Die Ansicht Authentifizierung wird angezeigt.
2. Erweitern Sie den Bereich "LDAP authentication".
3. Konfigurieren Sie die LDAP-Gruppen in der Tabelle LDAP Group.
   • Um eine LDAP-Gruppe hinzuzufügen, klicken Sie auf die Schaltfläche "Add " (+), geben Sie den LDAP-Gruppennamen und die LDAP-Rolle ein und klicken Sie auf "OK".
   • Um eine LDAP-Gruppe zu ändern, aktivieren Sie das Kontrollkästchen des Gruppennamens in der LDAP-Gruppenliste und klicken Sie auf Edit (Bleistift). Ändern Sie den LDAP-Gruppennamen und klicken Sie auf OK.
   • Um eine LDAP-Gruppe zu entfernen, wählen Sie die LDAP-Gruppe in der Liste aus und klicken Sie auf Delete (X).

Verwenden der CLI zum Konfigurieren der LDAP-Authentifizierung.

Durch die Aktivierung von LDAP** können Sie einen vorhandenen OpenLDAP-Server oder eine vorhandene Bereitstellung konfigurieren** für **Nutzerauthentifizierung auf Systemebene**, **NFSv4-ID-Zuordnung** und **NFSv3 oder NFSv4 Kerberos mit LDAP.

Dies kann nicht konfiguriert werden, wenn die LDAP-Authentifizierung bereits für Active Directory konfiguriert ist.

Konfigurieren der LDAP-Authentifizierung für Active Directory

DDOS unterstützt die Verwendung der LDAP-Authentifizierung für Active Directory.
Die LDAP-Authentifizierung mit Active Directory** schränkt den CIFS-Datenzugriff für Active Directory-Nutzer und -Gruppen ein, sodass nur lokale Nutzer auf CIFS-Freigaben im System zugreifen können.
Nur CLI- und UI-Anmeldungen sind für Active Directory-Nutzer mit dieser Konfiguration zulässig.

Voraussetzungen
Stellen Sie sicher, dass die Umgebung die folgenden Anforderungen erfüllt, um LDAP-Authentifizierung für Active Directory zu konfigurieren:

• TLS/SSL ist für die LDAP-Kommunikation aktiviert.
• Active Directory-Nutzer, die auf das Schutzsystem zugreifen, müssen über gültige UID- und GID-Nummern verfügen.
• Active Directory-Gruppen, die auf das Schutzsystem zugreifen, müssen über eine gültige GID-Nummer verfügen.

Die folgenden Einschränkungen gelten für LDAP für Active Directory:

• Microsoft Active Directory ist der einzige unterstützte Active Directory-Anbieter.
• Active Directory Lightweight Directory Services (LDS) wird nicht unterstützt.
• Das systemeigene Active Directory-Schema für uidNumber und gidNumber Die Bestückung ist das einzige unterstützte Schema. In Active Directory integrierte Tools von Drittanbietern werden nicht unterstützt.

Informationen zu diesem Vorgang
LDAP-Authentifizierung für Active Directory kann nicht mit Active Directory- oder Kerberos-Authentifizierung für CIFS verwendet werden.
Die CLI ist die einzige Möglichkeit, diese Option zu konfigurieren.

Schritte
Führen Sie den Befehl authentication LDAP base set base name type active-directory aus, um die LDAP-Authentifizierung für Active Directory zu aktivieren.

# authentication ldap base set "dc=anvil,dc=team" type active-directory

Konfigurieren von LDAP-Servern

Sie können einen oder mehrere LDAP-Server gleichzeitig konfigurieren. Konfigurieren Sie für minimale Latenz Server an dem Standort, der dem Schutzsystem am nächsten liegt.

Informationen zu dieser Aufgabe

Geben Sie den LDAP-Server in einem der folgenden Formate an:

• IPv4 address—10.<A>.<B>.<C>
• IPv4 address with port number—10.<A>.<B>.<C>:400
• IPv6 address—[::ffff:9.53.96.21]
• IPv6 address with port number—[::ffff:9.53.96.21]:400
• Hostname—myldapserver
• Hostname with port number—myldapserver:400

Bei der Konfiguration mehrerer Server:

• Trennen Sie jeden Server durch ein Leerzeichen.
• Der erste Server, der bei Verwendung des Befehls "authentication LDAP servers add" aufgeführt wird, wird zum primären Server.
• Wenn einer der Server nicht konfiguriert werden kann, schlägt der Befehl für alle aufgeführten Server fehl.

Schritte

1. Fügen Sie einen oder mehrere LDAP-Server hinzu, indem Sie "authentication ldap servers add“ verwendet werden können:

# authentication ldap servers add 10.A.B.C 10.X.Y.Z:400
LDAP server(s) added
LDAP Server(s): 2
# IP Address/Hostname
--- ---------------------
1. 10.A.B.C (primary)
2. 10.X.Y.Z:400
--- ---------------------

2. Entfernen Sie einen oder mehrere LDAP-Server, indem Sie "authentication ldapservers del“ verwendet werden können:

# authentication ldap servers del 10.X.Y.Z:400
LDAP server(s) deleted.
LDAP Servers: 1
# Server
- ------------ ---------
1 10.A.B.C (primary)
- ------------ ---------
3. Remove all LDAP servers by using the authentication ldap servers reset command:
# authentication ldap servers reset
LDAP server list reset to empty.

Konfigurieren Sie das LDAP-Basissuffix.
Das Basissuffix ist der Basis-DN für die Suche. Hier beginnt das LDAP-Verzeichnis zu suchen.

Informationen zu diesem Vorgang
Legen Sie das Basissuffix für OpenLDAP oder Active Directory fest.

Die Nutzeranmeldung ist nur von der primären Active Directory-Domäne aus zulässig. Nutzer und Gruppen aus vertrauenswürdigen Active Directory-Domänen werden nicht unterstützt.
Legen Sie das Basissuffix für OpenLDAP fest.

Schritte
Legen Sie das LDAP-Basissuffix mithilfe des Befehls " festauthentication ldap base set“ verwendet werden können:

# authentication ldap base set "dc=anvil,dc=team"

LDAP base-suffix set to "dc=anvil,dc=team".

Schritte

1. Legen Sie das LDAP-Basissuffix mithilfe des Befehls " festauthentication ldap base set“ verwendet werden können:

# authentication ldap base set "dc=anvil,dc=team" type active-directory

LDAP base-suffix set to "dc=anvil,dc=team".

# authentication ldap groups add dd-admins role admin
LDAP Group Role
---------- -----
dd-admins admin
---------- -----
Reset the LDAP base suffix

Schritte
Setzen Sie das LDAP-Basissuffix mithilfe der Option "authentication ldap base reset“ verwendet werden können:

# authentication ldap base reset

LDAP-Basissuffix wird auf "Empty" zurückgesetzt.

Konfigurieren Sie die LDAP-Clientauthentifizierung.
Konfigurieren Sie das Konto (Bind DN) und das Kennwort (Bind PW), die zur Authentifizierung beim LDAP-Server und zum Durchführen von Abfragen verwendet werden.

Informationen zu diesem Vorgang
Sie sollten immer den Bindungs-DN und das Kennwort konfigurieren. Dabei erfordern LDAP-Server standardmäßig authentifizierte Bindungen. Wenn die client-auth nicht festgelegt ist, wird anonymer Zugriff ohne Namen oder Kennwort angefordert.

Die Ausgabe von "authentication ldap show" lautet wie folgt:

# authentication ldap show

LDAP configuration
 Enabled: yes (*)
 Base-suffix: dc=u2,dc=team
 Binddn: (anonymous)
 Server(s): 1
# Server
- ------------- ---------
1 10.207.86.160 (primary)
- ------------- ---------
Secure LDAP configuration
 SSL Enabled: no
 SSL Method: off
 tls_reqcert: demand

(*) Erfordert einen Neustart des Dateisystems, damit die Konfiguration wirksam wird.

Wenn binddn wird mit client-auth CLI, aber bindpw nicht bereitgestellt wird, wird ein nicht authentifizierter Zugriff angefordert.

# authentication ldap client-auth set binddn "cn=Manager,dc=u2,dc=team"

Eingabetaste bindpw:
** Bindpw ist nicht vorgesehen. Es wird ein nicht authentifizierter Zugriff angefordert.
LDAP-Clientauthentifizierung binddn Festlegen auf "cn=Manager,dc=u2,dc=team".

Schritte

1. Legen Sie den Bindungs-DN und das Kennwort mithilfe der "authentication ldap client-auth set binddn“ verwendet werden können:

# authentication ldap client-auth set binddn "cn=Administrator,cn=Users,dc=anvil,dc=team"

Eingabetaste bindpw:
LDAP-Client-Authentifizierung binddn ist eingestellt auf:
"cn=Administrator,cn=Users,dc=anvil,dc=team“

2. Setzen Sie den Bindungs-DN und das Kennwort mithilfe der "authentication ldap client-auth reset“ verwendet werden können:

# authentication ldap client-auth reset

LDAP-Clientauthentifizierungskonfiguration auf "Empty" zurückgesetzt.

Aktivieren Sie LDAP.

Voraussetzungen
Vor der Aktivierung von LDAP muss eine LDAP-Konfiguration vorhanden sein.
Außerdem müssen Sie NIS deaktivieren, sicherstellen, dass der LDAP-Server erreichbar ist und in der Lage sein, die Stamm-DSE des LDAP-Servers abzufragen.

Schritte

1. Aktivieren Sie LDAP, indem Sie "authentication ldap enable“ verwendet werden können:

# authentication ldap enable

Die Details der LDAP-Konfiguration werden Ihnen zur Bestätigung angezeigt, bevor Sie fortfahren. Um fortzufahren, geben Sie Yes ein und starten Sie das Dateisystem neu, damit die LDAP-Konfiguration wirksam wird.

Zeigen Sie die aktuelle LDAP-Konfiguration mithilfe der Schaltfläche "authentication ldap show“ verwendet werden können:

# authentication ldap show
LDAP configuration
 Enabled: no
 Base-suffix: dc=anvil,dc=team
 Binddn: cn=Administrator,cn=Users,dc=anvil,dc=team
 Server(s): 2
# Server
- ---------------- ---------
1 10.26.16.250 (primary)
2 10.26.16.251:400
- ---------------- ---------
Secure LDAP configuration
 SSL Enabled: no
 SSL Method: off
 tls_reqcert: demand

Konfigurationsdetails zu Basic LDAP und Secure LDAP werden angezeigt.

3. View the current LDAP status by using the authentication ldap status command:
# authentication ldap status
The LDAP status is displayed. If the LDAP status is not good, the problem is identified in the output.
For example:
# authentication ldap status
Status:invalid credentials
or
# authentication ldap status
Status: invalid DN syntax
4. Disable LDAP by using the authentication ldap disable command:
# authentication ldap disable LDAP is disabled.

Aktivieren Sie sicheres LDAP.

Sie können DDR für die Verwendung von sicherem LDAP konfigurieren, indem Sie SSL aktivieren.
Konfigurieren Sie für LDAP für Active Directory sicheres LDAP mit SSL/TLS-Optionen.
Voraussetzungen: Wenn kein LDAP-CA-Zertifikat vorhanden ist und tls_reqcert auf demand festgelegt ist, schlägt der Vorgang fehl.
Importieren Sie ein LDAP-CA-Zertifikat und versuchen Sie es erneut. Wenn die tls_reqcert auf "never" festgelegt ist, ist kein LDAP-CA-Zertifikat erforderlich.

Schritte

1. Aktivieren Sie SSL, indem Sie "authentication ldap ssl enable“ verwendet werden können:

# authentication ldap ssl enable

Secure LDAP ist mit "ldaps"-Methode.

Die Standardmethode ist sicheres LDAP oder LDAP. Sie können andere Methoden angeben, z. B. TLS:

# authentication ldap ssl enable method start_tls

Secure LDAP ist mit "start_tls"-Methode.

2. Deaktivieren Sie SSL mithilfe der Option "authentication ldap ssl disable“ verwendet werden können:

# authentication ldap ssl disable Secure LDAP is disabled.

Konfigurieren Sie die LDAP-Serverzertifikatverifizierung mit importierten CA-Zertifikaten.

Sie können das Verhalten des TLS-Anforderungszertifikats ändern.

Schritte

1. Ändern Sie das Zertifikatverhalten der TLS-Anforderung, indem Sie "authentication ldap ssl set tls_reqcert"-Befehl.

Überprüfen Sie das Zertifikat nicht:

# authentication ldap ssl set tls_reqcert never “tls_reqcert” set to "never".

LDAP-Serverzertifikat wurde nicht überprüft.

Überprüfen Sie das Zertifikat:

# authentication ldap ssl set tls_reqcert demand

“tls_reqcert" auf "Nachfrage" eingestellt. LDAP-Serverzertifikat wird überprüft.

2. Setzen Sie das Verhalten des TLS-Anforderungszertifikats zurück, indem Sie "authentication ldap ssl reset tls_reqcert"-Befehl.

Das Standardverhalten ist demand:

# authentication ldap ssl reset tls_reqcert

“tls_reqcert" wurde auf "Nachfrage" eingestellt. Das LDAP-Serverzertifikat wird mit einem importierten CA-Zertifikat verifiziert. Verwenden Sie "adminaccess" CLI zum Importieren des CA-Zertifikats.

Managen von CA-Zertifikaten für LDAP

Sie können Zertifikate importieren oder löschen und aktuelle Zertifikatinformationen anzeigen.

Schritte

1. Importieren Sie ein CA-Zertifikat für die LDAP-Serverzertifikatsüberprüfung mithilfe von "adminaccess certificate import"-Befehl.

Geben Sie LDAP für die CA-Anwendung an:

# adminaccess certificate import {host application {all | aws-federal | ddboost | https | keysecure | dsm | ciphertrust | gklm | } | ca application {all | cloud | ddboost | ldap | login-auth | keysecure | dsm | rsa-securid | ciphertrust | gklm | }} [file ]

2. Löschen Sie ein CA-Zertifikat für die LDAP-Serverzertifikatsüberprüfung mithilfe der Option "adminaccess"-Befehl zum Löschen des Zertifikats. Geben Sie LDAP für die Anwendung an:

# adminaccess certificate delete {subject | fingerprint } [application {all | aws-federal | cloud | ddboost | ldap | login-auth | https | keysecure | dsm | ciphertrust | gklm | support | }]

3. Zeigen Sie die aktuellen CA-Zertifikatinformationen für die LDAP-Serverzertifikatüberprüfung mithilfe der Option "adminaccess certificate show“ verwendet werden können:

# adminaccess certificate show imported-ca application ldap

Ports für Active Directory

DAP

Wenn FIPS (Federal Information Processing Standards) aktiviert ist, muss der LDAP-Client, der auf einem System oder einer DDVE ausgeführt wird, TLS verwenden.

# authentication ldap ssl enable method start_tls Otherwise, enabling FIPS compliance mode fails.

Bei einer Neuinstallation und einem Upgrade werden LDAP-SSL-Verschlüsselungen nicht explizit festgelegt.
Wenn der FIPS-Compliancemodus aktiviert ist, werden die LDAP-SSL-Verschlüsselungen wie folgt festgelegt:

• ECDHE-RSA-AES256-GCM-SHA384
• ECDHE-RSA-AES256-SHA384
• DHE-RSA-AES256-GCM-SHA384
• DHE-RSA-AES256-SHA256
• AES256-GCM-SHA384
• AES256-SHA256
• ECDHE-RSA-AES128-GCM-SHA256
• ECDHE-RSA-AES128-SHA256
• DHE-RSA-AES128-GCM-SHA256
• DHE-RSA-AES128-SHA256
• AES128-GCM-SHA256
• AES128-SHA256

Die konfigurierte Chiffrenliste sollte wie folgt aussehen: ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSAAES256-SHA256:AES256-GCM-SHA384:AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSAAES128-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:AES128-GCM-SHA256:AES128- SHA256

Wenn FIPS deaktiviert ist, wird es auf "", eine leere Zeichenfolge, festgelegt.

LDAP für NFS (Network File System)-ID-Zuordnung

Data Domain- und PowerProtect-Systeme können LDAP für die NFSv4-ID-Zuordnung und NFSv3- oder NFSv4-Kerberos mit LDAP verwenden. Der Nutzer kann Secure LDAP auch entweder mit LDAPS oder "start_TLS"-Methode. Die LDAP-Clientauthentifizierung kann Bindungs-DN oder Bindungs-PW verwenden, Systeme unterstützen jedoch keine zertifikatbasierte LDAP-Client-Authentifizierung.