NetWorker: Jak skonfigurować „AD przez SSL” (LDAPS) z poziomu sieciowego interfejsu użytkownika NetWorker (NWUI)

Aby skonfigurować uwierzytelnianie SSL, zaimportuj główny urząd certyfikacji (lub łańcuch urzędów certyfikacji) do pliku cacerts używanego przez serwer uwierzytelniania NetWorker. W środowiskach z jednym serwerem NetWorker jest on jednocześnie serwerem uwierzytelniania; w większych strefach danych jeden z serwerów uwierzytelniania może być głównym serwerem uwierzytelniania dla wielu serwerów. Zapoznaj się z polem Additional Info, aby uzyskać instrukcje identyfikacji serwera uwierzytelniania.

Konfigurowanie serwera AUTHC do korzystania z protokołu SSL

Serwery NetWorker systemu Linux:

1. Otwórz sesję SSH na serwerze uwierzytelniania NetWorker.
2. Przełącz się do katalogu głównego:

$ sudo su -

3. Użyj protokołu OpenSSL, aby uzyskać certyfikat urzędu certyfikacji (lub łańcuch certyfikatów) z serwera domeny:

# openssl s_client -connect DOMAIN_SERVER_ADDRESS:636 -showcerts

• Pojedynczy certyfikat: Skopiuj certyfikat wraz z wpisami -----BEGIN CERTIFICATE----- i -----END CERTIFICATE----- i umieść go w pliku o nazwie RCAcert.crt w wybranej lokalizacji.
• Łańcuch certyfikatów: Skopiuj poszczególne certyfikaty (wraz z polami -----BEGIN CERTIFICATE----- i -----END CERTIFICATE-----) i umieść je w osobnych plikach. Na przykład ICA3cert.crt, ICA2cert.crt, ICA1cert.crt i na końcu RCAcert.crt.

4. Aby ułatwić ten proces, ustaw następujące zmienne wiersza polecenia:

# java_bin=<path to java bin dir>
*NOTE* For NetWorker Runtime Environment (NRE) this is /opt/nre/java/latest/bin. If you are using Oracle licensed Java Runtime Environment, specify the path to your JRE bin directory.
# RCAcert=<path to RCAcer.crt>
# ICA1cert=<path to ICA2cert.crt>
*NOTE* Only required if you are using a certificate chain, repeat this for each intermediate cert ICA2cert.crt, ICA3.crt and so forth.

[root@nsr certs]# java_bin=/opt/nre/java/latest/bin
[root@nsr certs]# RCAcert=/root/certs/RCAcert.crt
[root@nsr certs]#

5. Importowanie certyfikatów:

# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA3cert -storepass changeit
# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA2cert -storepass changeit
# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA1cert -storepass changeit
# $java_bin/keytool -import -alias RCA -keystore $java_bin/../lib/security/cacerts -file $RCAcert -storepass changeit

# $java_bin/keytool -delete -alias ALIAS_NAME -keystore $java_bin/../lib/security/cacerts -storepass changeit

6. Uruchom ponownie usługi serwera NetWorker. Ponowne uruchomienie usług powoduje ponowne załadowanie pliku cacerts podczas uruchamiania serwera uwierzytelniania. Jeśli usługi NetWorker nie zostaną ponownie uruchomione po zaimportowaniu certyfikatów, proces konfiguracji urzędu zewnętrznego w rozwiązaniu NetWorker zakończy się niepowodzeniem z powodu błędu związanego z certyfikatem.

# nsr_shutdown
# systemctl start networker

Serwery NetWorker systemu Windows:

1. Zaloguj się jako administrator i uruchom wiersz polecenia.
2. Ustaw następujące zmienne:

set openssl="<path to openssl.exe file>"
*NOTE* This path can differ depending on how OpenSSL was installed.
set java_bin="<path to java bin directory>"
*NOTE* For NetWorker Runtime Environment (NRE) the default path is "C:\Program Files\NRE\java\jre#.#.#_###\bin". This path includes the NRE version specific Java version and build. When using Oracle licensed Java Runtime Environment, specify the path to the JRE bin directory.

C:\Users\administrator.AMER>set openssl="C:\Program Files\OpenSSL-Win64\bin\openssl.exe"
C:\Users\administrator.AMER>set java_bin="C:\Program Files\NRE\java\jre1.8.0_431\bin"
C:\Users\administrator.AMER>

3. Użyj protokołu OpenSSL, aby uzyskać certyfikat urzędu certyfikacji (lub łańcuch certyfikatów) z serwera domeny:

%openssl% s_client -connect DOMAIN_SERVER_ADDRESS:636 -showcerts

• Pojedynczy certyfikat: Skopiuj certyfikat wraz z wpisami -----BEGIN CERTIFICATE----- i -----END CERTIFICATE----- i umieść go w pliku o nazwie RCAcert.crt w wybranej lokalizacji. 
• Łańcuch certyfikatów: Skopiuj poszczególne certyfikaty (wraz z polami -----BEGIN CERTIFICATE----- i -----END CERTIFICATE-----) i umieść je w osobnych plikach. Na przykład ICA3cert.crt, ICA2cert.crt, ICA1cert.crt i na końcu RCAcert.crt. 

4. Ustaw zmienne wiersza poleceń dla głównego urzędu certyfikacji i wszelkich certyfikatów pośrednich (jeśli są używane):

set RCAcert="<path to RCAcert.crt>"
set ICA1cert="<path to ICA1cert.crt>"

C:\Users\administrator.AMER>set RCAcert="C:\tmp\certs\RCAcert.crt"

5. Importowanie certyfikatów:

%java_bin%\keytool -import -alias ICA3 -keystore %java_bin%\..\lib\security\cacerts -file %ICA3cert% -storepass changeit
%java_bin%\keytool -import -alias ICA2 -keystore %java_bin%\..\lib\security\cacerts -file %ICA2cert% -storepass changeit
%java_bin%\keytool -import -alias ICA1 -keystore %java_bin%\..\lib\security\cacerts -file %ICA1cert% -storepass changeit
%java_bin%\keytool -import -alias RCA -keystore %java_bin%\..\lib\security\cacerts -file %RCAcert% -storepass changeit

%java_bin%\keytool -delete -alias ALIAS_NAME -keystore %java_bin%\..\lib\security\cacerts -storepass changeit

6. Uruchom ponownie usługi serwera NetWorker. Ponowne uruchomienie usług powoduje ponowne załadowanie pliku cacerts podczas uruchamiania serwera uwierzytelniania. Jeśli usługi NetWorker nie zostaną ponownie uruchomione po zaimportowaniu certyfikatów, proces konfiguracji urzędu zewnętrznego w rozwiązaniu NetWorker zakończy się niepowodzeniem z powodu błędu związanego z certyfikatem.

net stop nsrd
net start nsrd

Tworzenie zasobu urzędu zewnętrznego „AD przez SSL” za pomocą NWUI.

1. Z poziomu przeglądarki internetowej uzyskaj dostęp do serwera NWUI: https://nazwa_serwera_nwui:9090/nwui
2. Zaloguj się przy użyciu konta administratora NetWorker.
3. W menu rozwiń pozycję Authentication Server i kliknij opcję External Authorities.
4. W sekcji External Authorities kliknij przycisk Add+.
5. Wypełnij pola konfiguracyjne:

6. Po zakończeniu kliknij save.
7. Powinno zostać wyświetlone podsumowanie skonfigurowanego zasobu urzędu zewnętrznego:

8. W menu Server > User Groups edytuj grupy użytkowników zawierające uprawnienia, które mają być delegowane do grup lub użytkowników AD/LDAP. Aby przyznać pełne uprawnienia administratora, określ nazwę wyróżniającą grupy/użytkownika AD w polu External Roles dla ról Application Administrators and Security Administrators.

na przykład: CN=NetWorker_Admins,DC=amer,DC=lan

Można to zrobić także z poziomu wiersza poleceń:

nsraddadmin -e "Distinguished_Name"

nsr:~ # nsraddadmin -e "CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan"
134751:nsraddadmin: Added role 'CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan' to the 'Security Administrators' user group.
134751:nsraddadmin: Added role 'CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan' to the 'Application Administrators' user group.

9. Po określeniu nazw wyróżniających grup lub użytkowników AD kliknij przycisk Save. 
10. Wyloguj się z interfejsu NWUI i zaloguj się ponownie przy użyciu konta AD:

11. Ikona użytkownika w prawym górnym rogu wskazuje, który użytkownik jest zalogowany.

Potwierdzanie serwera AUTHC używanego do uwierzytelniania rozwiązania NetWorker
Plik gstd.conf serwera NetWorker Management Console (NMC) pokazuje, który host jest używany do przetwarzania żądań logowania:

Linux: /opt/lgtonmc/etc/gstd.conf
Windows: C:\Program Files\EMC NetWorker\Management\GST\etc\gstd.conf

Sprawdź w pliku wartość authsvc_hostname. Wartość authsvc_hostname określa serwer authc (uwierzytelniania).

Sprawdzanie przynależności do grupy AD i uzyskiwanie wartości nazwy wyróżniającej (DN) wymaganych dla uprawnień NetWorker:
Można użyć polecenia authcmgmt na serwerze NetWorker, aby potwierdzić widoczność grup/użytkowników AD/LDAP:

authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-users -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups-for-user -D query-tenant=tenant_name -D query-domain=domain_name -D user-name=ad_username

Przykład:

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-users -D query-tenant=default -D query-domain=amer.lan
The query returns 47 records.
User Name            Full Dn Name
Administrator        CN=Administrator,CN=Users,dc=amer,dc=lan
...
bkupadmin            CN=Backup Administrator,CN=Users,dc=amer,dc=lan

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups -D query-tenant=default -D query-domain=amer.lan
The query returns 72 records.
Group Name                              Full Dn Name
Administrators                          CN=Administrators,CN=Builtin,dc=amer,dc=lan
...
NetWorker_Admins                        CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups-for-user -D query-tenant=default -D query-domain=amer.lan -D user-name=bkupadmin
The query returns 1 records.
Group Name       Full Dn Name
NetWorker_Admins CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan

• NetWorker: Konfigurowanie uwierzytelniania LDAP/AD przy użyciu skryptów authc_config
• NetWorker: Konfigurowanie uwierzytelniania AD/LDAP
• NetWorker: Resetowanie hasła administratora
• NetWorker: Integracja LDAPS kończy się niepowodzeniem z komunikatem „An SSL handshake error occurred while attempt to connect to LDAPS server: Unable to find valid certification path to requested target”
• NetWorker: Jak zaimportować lub zastąpić certyfikaty podpisane przez urząd certyfikacji dla „Authc” i „NWUI” (Linux)
• NetWorker: Jak zaimportować lub zastąpić certyfikaty podpisane przez urząd certyfikacji dla „Authc” i „NWUI” (Windows)