NetWorker: Cómo configurar la autenticación de LDAPS
Summary: Descripción general de la configuración de AD o Secure Lightweight Directory Access Protocol (LDAPS) con NetWorker mediante el asistente de autoridad externa de NMC. Este artículo de la base de conocimientos también se puede utilizar para obtener instrucciones sobre cómo actualizar una configuración de autoridad externa existente. ...
Instructions
Este artículo se puede dividir en las siguientes secciones. Revise cuidadosamente cada sección antes de continuar:
Requisitos previos:
- Determine qué host es el servidor
authc. Esto es útil en zonas de datos de NetWorker más grandes. En zonas de datos más pequeñas con un solo servidor de NetWorker, este es el servidor de autenticación. - Determine qué entorno de tiempo de ejecución de Java se utiliza para el servicio de autenticación.
- Configure variables de línea de comandos para facilitar la importación de los certificados de CA utilizados para SSL con la autenticación externa de NetWorker.
Configuración de SSL:
- Importe los certificados utilizados para la autenticación de LDAPS en el almacén de claves
cacertsdel entorno de tiempo de ejecución de los servicios de autenticación.
Configuración del recurso de autoridad externa:
- Cree el recurso de autoridad externa en el servicio de autenticación.
- Determine los usuarios o grupos externos que se utilizarán para NetWorker.
- Defina qué usuarios o grupos externos tienen acceso a NetWorker Management Console (NMC).
- Defina los permisos de servidor de NetWorker que tienen los usuarios y grupos externos.
- (Opcional) configure los permisos de seguridad FULL_CONTROL para un usuario o grupo externo.
Requisitos previos:
Para utilizar LDAPS, debe importar el certificado de CA (o la cadena de certificados) desde el servidor LDAPS en el almacén de claves cacerts de Java del servidor de autenticación de NetWorker.
- Determine qué host es el servidor de autenticación de NetWorker. Esto se puede validar en el archivo gstd.conf del servidor de NetWorker Management Console (NMC):
/opt/lgtonmc/etc/gstd.conf
Windows:
C:\Program Files\EMC NetWorker\Management\GST\etc\gstd.conf
gstd.conf contiene una cadena authsvc_hostname que define el servidor de autenticación que se utiliza para procesar las solicitudes de inicio de sesión para NetWorker Management Console (NMC).
- En el servidor de autenticación de NetWorker, identifique la instancia de Java utilizada.
B. En Acerca de, haga clic en Configuración avanzada del sistema.
C. En Propiedades del sistema, haga clic en Variables de entorno.
D. La variable
NSR_JAVA_HOME define la ruta del entorno de tiempo de ejecución de Java que utiliza NetWorker authc:

-
- E. En un símbolo del sistema administrativo, configure variables de línea de comandos que especifiquen la ruta de instalación de Java determinada en el paso anterior:
set JAVA="Path\to\java"
keytool de java en la configuración de SSL y garantiza que el archivo cacerts correcto importe el certificado de CA. Esta variable se elimina una vez que se cierra la sesión de la línea de comandos y no interfiere en ninguna otra operación de NetWorker.
Linux:
A. Compruebe el archivo /nsr/authc/conf/installrc para saber qué ubicación de Java se utilizó al configurar el servicio de autenticación:
sudo cat /nsr/authc/conf/installrc
[root@nsr ~]# cat /nsr/authc/conf/installrc JAVA_HOME=/opt/nre/java/latest
echo $JAVA_HOME devuelva una ruta diferente; por ejemplo, si también está instalado Oracle Java Runtime Environment (JRE). En el siguiente paso, es importante usar la ruta $JAVA_HOME como se define en el archivo /nsr/authc/conf/installrc de NetWorker.
B. Configure variables de línea de comandos que especifiquen la ruta de instalación de Java determinada en el paso anterior.
JAVA=/path/to/java
keytool de java en la configuración de SSL y garantiza que el archivo cacerts correcto importe el certificado de CA. Esta variable se elimina una vez que se cierra la sesión de la línea de comandos y no interfiere en ninguna otra operación de NetWorker.
Configuración de SSL
Para usar LDAPS, debe importar el certificado de CA (o la cadena de certificados) desde el servidor LDAPS en el almacén de claves de confianza de JAVA. Esto se puede lograr con el siguiente procedimiento:
2. Muestre una lista de certificados de confianza actuales en el almacén de confianza.
%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit
$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit
grep o findstr del sistema operativo con el comando anterior para limitar la búsqueda. Si hay un certificado de CA obsoleto o existente del servidor LDAPS, elimínelo con el siguiente comando:
Windows:
%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit
$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit
openssl s_client -showcerts -connect LDAPS_SERVER:636
- De manera predeterminada, los hosts de Windows no incluyen el programa
openssl. Si no es posible instalar OpenSSL en el servidor de NetWorker, los certificados se pueden exportar directamente desde el servidor LDAPS; sin embargo, es muy recomendable usar la utilidad OpenSSL. - Por lo general, Linux viene con
opensslinstalado. Si los servidores Linux existen en el entorno, puede usaropensslpara recopilar los archivos de certificado. Estos se pueden copiar y utilizar en el servidorauthcde Windows. - Si no tiene OpenSSL y no se puede instalar, pídale al administrador de AD que proporcione uno o más certificados exportándolos en formato x.509 codificado en Base-64.
- Reemplace LDAPS_SERVER por el nombre de host o la dirección IP del servidor LDAPS.
-----BEGIN CERTIFICATE----- MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF ADBPMRUwEwYKCZImiZPyLGQBGRYFbG9jYWwxFjAUBgoJkiaJk/IsZAEZFgZlbWNs ... 7NZfi9DiEBhpFmbF8xP96qB/kTJC+29t/0VE8Fvlg87fRhs5BceIoX8nUnetNCdm m4mGyefXz4TBTwD06opJf4NQIDo= -----END CERTIFICATE-----
---BEGIN CERTIFICATE--- y terminando con ---END CERTIFICATE--- , y péguelo en un archivo nuevo. Si hay una cadena de certificados, debe hacerlo con cada certificado.
7. Importe el certificado o los archivos de certificados creados en el almacén de claves de confianza de JAVA:
%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE
Linux:
$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE
- Reemplace ALIAS_NAME por un alias para el certificado importado (por ejemplo, RCA [CA raíz]). Cuando se importan varios certificados para una cadena de certificados, cada uno debe tener un nombre de alias diferente e importarse por separado. La cadena de certificados también se debe importar en orden desde el paso 5 (de arriba abajo).
- Reemplace PATH_TO\CERT_FILE por la ubicación del archivo de certificado que creó en el paso 6.
yes y presione Intro.
C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer Owner: CN=networker-DC-CA, DC=networker, DC=lan Issuer: CN=networker-DC-CA, DC=networker, DC=lan Serial number: 183db0ae21d3108244254c8aad129ecd ... ... ... Trust this certificate? [no]: yes Certificate was added to keystore
%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit
Linux:
$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit
|) en los comandos grep o findstr del sistema operativo según lo anterior para acotar el resultado.
C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA RCA, Jan 15, 2025, trustedCertEntry,
net stop nsrd net start nsrd
nsr_shutdown service networker start
Configuración del recurso de autoridad externa
Como alternativa, puede usar el método de script authc_config :
Si se sigue alguno de estos artículos, puede ir directamente a la parte donde se crea el recurso de autoridad externa; no es necesario repetir el procedimiento de importación del certificado.
1. Inicie sesión en NetWorker Management Console (NMC) con la cuenta de administrador de NetWorker. Seleccione Setup-->Users and Roles-->External Authority.
Para Active Directory mediante SSL:
A. Obtenga los detalles del ID de configuración:
authc_config -u Administrator -p 'NetWorker_AdminPass' -e find-all-configs authc_config -u Administrator -p 'NetWorker_AdminPass' -e find-config -D config-id=CONFIG_ID#
Ejemplo:
nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-configs
The query returns 1 records.
Config Id Config Name
1 AD
nve:~ # authc_config -u Administrator -p '!Password1' -e find-config -D config-id=1
Config Id : 1
Config Tenant Id : 1
Config Name : AD
Config Domain : networker.lan
Config Server Address : ldaps://dc.networker.lan:636/dc=networker,dc=lan
Config User DN : cn=nw authadmin,ou=dell,dc=networker,dc=lan
Config User Group Attribute :
Config User ID Attribute : sAMAccountName
Config User Object Class : person
Config User Search Filter :
Config User Search Path :
Config Group Member Attribute: member
Config Group Name Attribute : cn
Config Group Object Class : group
Config Group Search Filter :
Config Group Search Path :
Config Object Class : objectclass
Is Active Directory : false
Config Search Subtree : true
authc_config para configurar is-active-directory=y:
authc_config -u Administrator -p 'NETWORKER_ADMIN_PASSWORD' -e update-config -D config-id=CONFIG_ID# -D config-server-address="ldaps://DOMAIN_SERVER:636/BASE_DN" -D config-user-dn="CONFIG_USER_DN" -D config-user-dn-password='CONFIG_USER_PASSWORD' -D config-active-directory=y
nve:~ # authc_config -u Administrator -p '!Password1' -e update-config -D config-id=1 -D config-server-address="ldaps://dc.networker.lan:636/dc=networker,dc=lan" -D config-user-dn="cn=nw authadmin,ou=dell,dc=networker,dc=lan" -D config-user-dn-password='PASSWORD' -D config-active-directory=y
Configuration AD is updated successfully.
nve:~ #
nve:~ # authc_config -u Administrator -p '!Password1' -e find-config -D config-id=1
Config Id : 1
Config Tenant Id : 1
Config Name : AD
Config Domain : networker.lan
Config Server Address : ldaps://dc.networker.lan:636/dc=networker,dc=lan
Config User DN : cn=nw authadmin,ou=dell,dc=networker,dc=lan
Config User Group Attribute :
Config User ID Attribute : sAMAccountName
Config User Object Class : person
Config User Search Filter :
Config User Search Path :
Config Group Member Attribute: member
Config Group Name Attribute : cn
Config Group Object Class : group
Config Group Search Filter :
Config Group Search Path :
Config Object Class : objectclass
Is Active Directory : true
Config Search Subtree : true
El recurso de autoridad externa ahora está configurado correctamente para Microsoft Active Directory.
authc_mgmt en el servidor de NetWorker para confirmar que los usuarios/grupos de AD/LDAP estén visibles:
authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-users -D query-tenant=tenant_name -D query-domain=domain_name authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups -D query-tenant=tenant_name -D query-domain=domain_name authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups-for-user -D query-tenant=tenant_name -D query-domain=domain_name -D user-name=ad/ldap_username
nve:~ # authc_mgmt -u Administrator -p '!Password1' -e query-ldap-users -D query-tenant=default -D query-domain=networker.lan The query returns 40 records. User Name Full Dn Name ... ... bkupadmin CN=Backup Administrator,OU=Support_Services,OU=DELL,dc=networker,dc=lan nve:~ # authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups -D query-tenant=default -D query-domain=networker.lan The query returns 71 records. Group Name Full Dn Name ... ... NetWorker_Admins CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan nve:~ # authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups-for-user -D query-tenant=default -D query-domain=networker.lan -D user-name=bkupadmin The query returns 1 records. Group Name Full Dn Name NetWorker_Admins CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan
authc comandos pueden fallar con un error de "contraseña incorrecta", incluso cuando se proporciona la contraseña correcta. Esto se debe a que la contraseña se especifica como texto visible con la opción “-p”. Si se le presenta esta situación, elimine “-p password” de los comandos. Se le solicitará que ingrese la contraseña oculta después de ejecutar el comando.
Configuración de NMC para aceptar la autenticación externa:
Configuración de los permisos de usuario externo del servidor de NetWorker:
nsraddadmin con el objetivo de lograr esto para los usuarios/grupos externos que deben tener derechos de administrador completos de NetWorker:
nsraddadmin -e "USER/GROUP_DN"Ejemplo:
nve:~ # nsraddadmin -e "CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan" 134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Security Administrators' user group. 134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Application Administrators' user group.
Permisos de seguridad adicionales
B. Mediante el DN del grupo de AD al que desea conceder permiso FULL_CONTROL, ejecute:
authc_config -u Administrator -p 'NetWorker_Admin_Pass' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="AD/LDAP_group_dn"
nve:~ # authc_config -u Administrator -p '!Password1' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan" Permission FULL_CONTROL is created successfully. nve:~ # nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-permissions The query returns 2 records. Permission Id Permission Name Group DN Pattern Group DN 1 FULL_CONTROL ^cn=Administrators,cn=Groups.*$ 2 FULL_CONTROL CN=NetWorker_Admins,OU=DELL,dc=networ...
Additional Information
Para obtener información adicional, consulte la Guía de configuración de seguridad de NetWorker, disponible en: https://www.dell.com/support/home/product-support/product/networker/docs
Valores de configuración:
| Tipo de servidor | Seleccione LDAP si el servidor de autenticación es un servidor LDAP de Linux/UNIX y seleccione Active Directory si utiliza un servidor de Microsoft Active Directory. |
| Nombre de la autoridad | Proporcione un nombre para esta autoridad de autenticación externa. Este nombre puede ser el que usted quiera, es solo para diferenciar entre otras autoridades cuando se configuran varias. |
| Nombre del servidor del proveedor | Este campo debe contener el nombre de dominio completo (FQDN) del servidor AD o LDAP. |
| Grupo de usuarios | Los grupos de usuarios se pueden utilizar en entornos donde se puede usar más de un método de autenticación o cuando se deben configurar varias autoridades. Se selecciona el grupo de usuarios “predeterminado”. El uso de grupos de usuarios modifica el método de inicio de sesión. Inicie sesión en NMC con “domain\user” para el grupo de usuarios predeterminado o “tenant\domain\user” para otros grupos de usuarios. |
| Dominio | Especifique su nombre de dominio completo (sin incluir un nombre de host). Por lo general, este es el DN base, que consta de los valores de los componentes de dominio (DC) de su dominio. |
| Número de puerto | Para la integración de LDAP y AD, utilice el puerto 389. Para LDAP mediante SSL, utilice el puerto 636. Estos son puertos predeterminados que no son de NetWorker en el servidor AD/LDAP. |
| DN de Usuario | Especifique el nombre distintivo (DN) de una cuenta de usuario que tenga acceso de lectura completo en el directorio de LDAP o AD. Especifique el DN relativo de la cuenta de usuario o el DN completo si reemplaza el valor establecido en el campo Dominio. |
| Contraseña de DN de usuario | Especifique la contraseña de la cuenta de usuario especificada. |
| Clase de objeto de grupo | La clase de objeto que identifica a los grupos en la jerarquía de LDAP o AD.
|
| Ruta de búsqueda de grupo | Este campo se puede dejar en blanco, en cuyo caso authc es capaz de consultar el dominio completo. Se deben otorgar permisos para el acceso al servidor de NMC/NetWorker antes de que estos usuarios/grupos puedan iniciar sesión en NMC y administrar el servidor de NetWorker. Especifique la ruta relativa al dominio en lugar del DN completo. |
| Atributo de nombre de grupo | El atributo que identifica el nombre del grupo. Por ejemplo: cn |
| Atributo de miembro del grupo | La membresía de grupo del usuario dentro de un grupo
|
| Clase de objeto de usuario | La clase de objeto que identifica a los usuarios en la jerarquía de LDAP o AD. Por ejemplo, inetOrgPerson o user |
| Ruta de búsqueda de usuario | Al igual que la ruta de búsqueda de grupo, este campo se puede dejar en blanco, en cuyo caso authc es capaz de consultar el dominio completo. Especifique la ruta relativa al dominio en lugar del DN completo. |
| Atributo de ID de usuario | El ID de usuario asociado con el objeto de usuario en la jerarquía de LDAP o AD.
|
Otros artículos relevantes:
- NetWorker: Cómo importar o reemplazar certificados firmados por una autoridad de certificación para "Authc" y "NWUI" (Linux)
- NetWorker: Cómo importar o reemplazar certificados firmados por una autoridad de certificación para "Authc" y "NWUI" (Windows)
- NetWorker: Cómo importar o reemplazar certificados firmados por una autoridad de certificación para NMC
- NetWorker: Integración y configuración de AD y LDAP (Guía de solución de problemas)