NetWorker: LDAPS Kimlik Doğrulamasını yapılandırmak için authc_config komut dosyalarını kullanma

Bu makale aşağıdaki bölümlere ayrılabilir. Devam etmeden önce her bölümü dikkatlice inceleyin:

Önkoşullar:

• Ana bilgisayarın hangi ana bilgisayar olduğunu belirleyin authc Sunucular Bu, daha büyük NetWorker verizonlarında faydalıdır. Tek bir NetWorker sunucusu bulunan daha küçük veri bölgelerinde, NetWorker sunucusu kimlik doğrulama sunucusudur. 
• Kimlik doğrulama hizmeti için hangi Java Çalışma Ortamının kullanıldığını belirleyin.
• NetWorker harici kimlik doğrulaması ile SSL için kullanılan CA sertifikalarının içe aktarılmasını kolaylaştırmaya yardımcı olmak için komut satırı değişkenlerini ayarlayın.

SSL'yi Kurma:

• LDAPS kimlik doğrulaması için kullanılan sertifikaları kimlik doğrulama hizmetleri çalışma zamanı ortamına aktarma cacerts Anahtar depoları

Dış Otorite Kaynağının Yapılandırılması:

• Kimlik doğrulama hizmetinde dış yetkili kaynağını oluşturun.
• NetWorker için kullanılacak harici kullanıcıları veya grupları belirleyin.
• NetWorker Management Console a (NMC) hangi harici kullanıcıların veya grupların erişimi olduğunu tanımlayın.
• Harici kullanıcıların ve grupların sahip olduğu NetWorker sunucu izinlerini tanımlayın.
• (İsteğe bağlı) Harici bir kullanıcı veya grup için FULL_CONTROL güvenlik izinlerini yapılandırın.

Önkoşullar:

LDAPS'yi kullanmak için CA sertifikasını (veya sertifika zincirini) LDAPS sunucusundan NetWorker kimlik doğrulama sunucusunun Java sına içe aktarmanız gerekir cacerts Anahtar depoları

1. NetWorker Kimlik Doğrulama sunucusunun hangi ana bilgisayar olduğunu belirleyin. Bu, NetWorker Management Console (NMC) sunucusunda doğrulanabilir gstd.conf :

2. NetWorker kimlik doğrulama sunucusunda kullanılan Java örneğini belirleyin.

1. 1. 1. E. Yönetici komut isteminden, yukarıdaki adımda belirlenen java yükleme yolunu belirterek komut satırı değişkenlerini ayarlayın:

set JAVA="Path\to\java"

   

Linux:

1. 1. 1. A. Kontrol edin /nsr/authc/conf/installrc dosyasında, kimlik doğrulama hizmetini yapılandırırken hangi Java konumunun kullanıldığını görebilirsiniz:

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

        B. ​​​​Yukarıdaki adımda belirlenen java yükleme yolunu belirterek komut satırı değişkenlerini ayarlayın.

JAVA=/path/to/java

Örnek:

 

Java'yı kolaylaştırır keytool SSL Kurulumu'ndaki komutlar ve doğru cacerts CA sertifikasını içe aktarın. Bu değişken, komut satırı oturumu kapatıldıktan sonra kaldırılır ve diğer NetWorker işlemlerini engellemez.

SSL'yi kurma

LDAPS'yi kullanmak için CA sertifikasını (veya sertifika zincirini) LDAPS sunucusundan JAVA güven anahtar deposuna aktarmanız gerekir. Bu, aşağıdaki prosedürle yapılabilir:

keytool [option] -keystore "FULL/PATH/TO/CACERTS" -storepass changeit

keytool [OPTION] -cacerts -storepass changeit

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

openssl s_client -showcerts -connect LDAPS_SERVER:636

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
ADBPMRUwEwYKCZImiZPyLGQBGRYFbG9jYWwxFjAUBgoJkiaJk/IsZAEZFgZlbWNs
...
7NZfi9DiEBhpFmbF8xP96qB/kTJC+29t/0VE8Fvlg87fRhs5BceIoX8nUnetNCdm
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 18xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

net stop nsrd
net start nsrd

nsr_shutdown
service networker start

Dış Otorite Kaynağını Yapılandırma

Bu işlem, NetWorker Management Console (NMC) veya NetWorker Web Kullanıcı Arayüzü üzerinden gerçekleştirilebilir:

• NetWorker: LDAPS Kimlik Doğrulamasını yapılandırma
• NetWorker: NetWorker Web Kullanıcı Arabirimi'nden (NWUI) "SSL üzerinden AD" (LDAPS) yapılandırma

Bu makaledeki süreç, NetWorker yazılımıyla birlikte verilen komut dosyalarını kullanmaya odaklanmıştır. NetWorker kimlik doğrulama sunucusu şunları içerir: authc_config Aşağıdaki konumdaki komut dosyası şablonları:

Gerekli şablon dosyasının bir kopyasını oluşturun ve kaldırın .template dosya adından. Bu size bir .bat veya .sh Komut dosyasını, harici yetki ayrıntılarıyla doldurulduktan sonra komut satırından çalıştırılır.

authc_config -u administrator -p <password> -e add-config \
-D "config-tenant-id=<tenant_id>" \
-D "config-active-directory=y" \
-D "config-name=<authority_name>" \
-D "config-domain=<domain_name>" \
-D "config-server-address=<protocol>://<hostname_or_ip_address>:<port>/<base_dn>" \
-D "config-user-dn=<user_dn>" \
-D "config-user-dn-password=<user_password>" \
-D "config-user-search-path=<user_search_path>" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=<user_object_class>" \
-D "config-group-search-path=<group_search_path>" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=n" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

Aşağıdaki tabloda, yapılandırma dosyasında tanımlanan parametrelerin ayrıntıları verilmektedir.

authc_config -u administrator -p 'NetWorker_Administrator_Password' -e add-config \
-D "config-tenant-id=1" \
-D "config-active-directory=y" \
-D "config-name=ad" \
-D "config-domain=networker.lan" \
-D "config-server-address=ldaps://dc.networker.lan:636/DC=networker,DC=lan" \
-D "config-user-dn=CN=Administrator,CN=Users,DC=networker,DC=lan" \
-D "config-user-dn-password=XXXXXXXX" \
-D "config-user-search-path=" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=user" \
-D "config-group-search-path=" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=y" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

Komut dosyası doldurulduktan sonra Yönetici komut isteminden (Windows) veya kök SSH oturumundan (Linux) çalıştırın.

[root@nsr ~]# /opt/nsr/authc-server/scripts/authc-create-ad-config.sh
Configuration ad is created successfully.

NMC'yi harici kimlik doğrulamayı kabul edecek şekilde yapılandırma:

1. NMC Server'a yönetici hesabı ile giriş yapın.
2. Setup->Users and Roles->NMC Roles (Kurulum->Kullanıcılar ve Roller->NMC Rolleri) kısmına gidin.>3.
3. Yukarıdaki adımda toplanan grup DN'sini, söz konusu AD grubu için uygun rollerin "External Roles" alanına ekleyin. Tam Yöneticilerin "Konsol Uygulama Yöneticisi" ve "Konsol Güvenlik Yöneticisi" rollerine sahip olması gerekir. (Bu roller hakkında daha fazla bilgi için NetWorker Güvenlik Yapılandırma Kılavuzu'na bakın.)

 

NetWorker sunucusu harici kullanıcı izinlerini yapılandırma:

1. Varsayılan NetWorker Yönetici hesabı olarak NetWorker sunucusuna bağlanın.
2. Server-->User Groups öğesine gidin. 
3. Grup DN'sini, ilgili AD grubu için uygun rollerin "Harici Roller" alanına ekleyin. Tam Yöneticiler "Uygulama Yöneticileri" ve "Güvenlik Yöneticileri" izinlerine sahip olmalıdır.

Alternatif olarak, bu kullanılarak gerçekleştirilebilir. nsraddadmin NetWorker sunucusundaki komutu:

nsraddadmin -e "USER/GROUP_DN"

Örnek:

[root@nsr ~]#  nsraddadmin -e "CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Security Administrators' user group.
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Application Administrators' user group.

NMC'ye şuraya erişin:

Bu işlem için izin verilen harici kullanıcılarla NMC ve NetWorker sunucusuna erişiminiz olmalıdır.

Oturum açtıktan sonra, NMC'nin sağ üst köşesinde AD/LDAP kullanıcı adı görünür:

Ek Güvenlik İzinleri

(İSTEĞE BAĞLI) Bir AD/LDAP grubunun Dış Yetkilileri yönetebilmesini istiyorsanız NetWorker sunucusunda aşağıdakileri gerçekleştirmelisiniz.
 
Vermek istediğiniz AD grubu DN'sini kullanarak FULL_CONTROL Çalıştırma izni:

authc_config -u Administrator -p 'NetWorker_Administrator_Password' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="AD/LDAP_group_dn"

Örnek:

[root@nsr ~]# authc_config -u Administrator -p '!Password1' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
Permission FULL_CONTROL is created successfully.

nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-permissions
The query returns 2 records.
Permission Id Permission Name Group DN Pattern                Group DN
1             FULL_CONTROL    ^cn=Administrators,cn=Groups.*$
2             FULL_CONTROL                                    CN=NetWorker_Admins,OU=DELL,dc=networ...

AD ve LDAP Entegrasyonu ve Yapılandırma Önceliklendirmesi Rehberi