NetWorker: Konfiguration von „AD over SSL“ (LDAPS) über die NetWorker-Webnutzeroberfläche (NWUI)

Um die SSL-Authentifizierung zu konfigurieren, importieren Sie die Stamm-CA (oder die CA-Kette) in die cacerts-Datei, die vom authc-Server von NetWorker verwendet wird. In Umgebungen mit einem einzigen NetWorker-Server ist der Server der Authentifizierungsserver. In größeren Datenzonen kann ein AuthC-Server der primäre Authentifizierungsserver für mehrere Server sein. Anweisungen zur Identifizierung des authc-Servers finden Sie im Feld Zusätzliche Informationen.

Konfigurieren von AUTHC für die Verwendung von SSL

Linux-NetWorker-Server:

1. Öffnen Sie eine SSH-Sitzung zum NetWorker-authc-Server.
2. Wechseln Sie zum Root-Nutzer:

$ sudo su -

3. Verwenden Sie OpenSSL, um das CA-Zertifikat (oder die Zertifikatskette) vom Domainserver abzurufen:

# openssl s_client -connect DOMAIN_SERVER_ADDRESS:636 -showcerts

• Einzelnes Zertifikat: Kopieren Sie das Zertifikat einschließlich -----BEGIN CERTIFICATE----- und -----END CERTIFICATE----- und legen Sie es in einer Datei namens RCAcert.crt an einem Speicherort Ihrer Wahl ab.
• Zertifikatskette: Kopieren Sie jedes Zertifikat (einschließlich der Felder -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----) und fügen Sie sie in einzelne Dateien ein. Beispiel: ICA3cert.crt, ICA2cert.crt, ICA1cert.crt und schließlich RCAcert.crt.

4. Um den Prozess zu vereinfachen, legen Sie die folgenden Befehlszeilenvariablen fest:

# java_bin=<path to java bin dir>
*NOTE* For NetWorker Runtime Environment (NRE) this is /opt/nre/java/latest/bin. If you are using Oracle licensed Java Runtime Environment, specify the path to your JRE bin directory.
# RCAcert=<path to RCAcer.crt>
# ICA1cert=<path to ICA2cert.crt>
*NOTE* Only required if you are using a certificate chain, repeat this for each intermediate cert ICA2cert.crt, ICA3.crt and so forth.

[root@nsr certs]# java_bin=/opt/nre/java/latest/bin
[root@nsr certs]# RCAcert=/root/certs/RCAcert.crt
[root@nsr certs]#

5. Zertifikate importieren:

# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA3cert -storepass changeit
# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA2cert -storepass changeit
# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA1cert -storepass changeit
# $java_bin/keytool -import -alias RCA -keystore $java_bin/../lib/security/cacerts -file $RCAcert -storepass changeit

# $java_bin/keytool -delete -alias ALIAS_NAME -keystore $java_bin/../lib/security/cacerts -storepass changeit

6. Starten Sie die NetWorker-Serverservices neu. Durch den Neustart von Services wird die cacerts-Datei während des authc-Starts neu geladen. Wenn die NetWorker-Services nach dem Importieren der Zertifikate nicht neu gestartet werden, schlägt der Prozess zum Konfigurieren der externen Zertifizierungsstelle in NetWorker mit einem zertifikatbezogenen Fehler fehl.

# nsr_shutdown
# systemctl start networker

Windows-NetWorker-Server:

1. Öffnen Sie eine Administrator-Eingabeaufforderung.
2. Legen Sie die folgenden Variablen fest:

set openssl="<path to openssl.exe file>"
*NOTE* This path can differ depending on how OpenSSL was installed.
set java_bin="<path to java bin directory>"
*NOTE* For NetWorker Runtime Environment (NRE) the default path is "C:\Program Files\NRE\java\jre#.#.#_###\bin". This path includes the NRE version specific Java version and build. When using Oracle licensed Java Runtime Environment, specify the path to the JRE bin directory.

C:\Users\administrator.AMER>set openssl="C:\Program Files\OpenSSL-Win64\bin\openssl.exe"
C:\Users\administrator.AMER>set java_bin="C:\Program Files\NRE\java\jre1.8.0_431\bin"
C:\Users\administrator.AMER>

3. Verwenden Sie OpenSSL, um das CA-Zertifikat (oder die Zertifikatskette) vom Domainserver abzurufen:

%openssl% s_client -connect DOMAIN_SERVER_ADDRESS:636 -showcerts

• Einzelnes Zertifikat: Kopieren Sie das Zertifikat einschließlich -----BEGIN CERTIFICATE----- und -----END CERTIFICATE----- und legen Sie es in einer Datei namens RCAcert.crt an einem Speicherort Ihrer Wahl ab. 
• Zertifikatskette: Kopieren Sie jedes Zertifikat (einschließlich der Felder -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----) und fügen Sie sie in einzelne Dateien ein. Beispiel: ICA3cert.crt, ICA2cert.crt, ICA1cert.crt und schließlich RCAcert.crt. 

4. Legen Sie Befehlszeilenvariablen für die Stammzertifizierungsstelle und alle Zwischenzertifikate fest (falls verwendet):

set RCAcert="<path to RCAcert.crt>"
set ICA1cert="<path to ICA1cert.crt>"

C:\Users\administrator.AMER>set RCAcert="C:\tmp\certs\RCAcert.crt"

5. Zertifikate importieren:

%java_bin%\keytool -import -alias ICA3 -keystore %java_bin%\..\lib\security\cacerts -file %ICA3cert% -storepass changeit
%java_bin%\keytool -import -alias ICA2 -keystore %java_bin%\..\lib\security\cacerts -file %ICA2cert% -storepass changeit
%java_bin%\keytool -import -alias ICA1 -keystore %java_bin%\..\lib\security\cacerts -file %ICA1cert% -storepass changeit
%java_bin%\keytool -import -alias RCA -keystore %java_bin%\..\lib\security\cacerts -file %RCAcert% -storepass changeit

%java_bin%\keytool -delete -alias ALIAS_NAME -keystore %java_bin%\..\lib\security\cacerts -storepass changeit

6. Starten Sie die NetWorker-Serverservices neu. Durch den Neustart von Services wird die cacerts-Datei während des authc-Starts neu geladen. Wenn die NetWorker-Services nach dem Importieren der Zertifikate nicht neu gestartet werden, schlägt der Prozess zum Konfigurieren der externen Zertifizierungsstelle in NetWorker mit einem zertifikatbezogenen Fehler fehl.

net stop nsrd
net start nsrd

Erstellen einer externen Autoritätsressource „AD over SSL“ über NWUI.

1. Greifen Sie über einen Webbrowser auf den NWUI-Server zu: https://nwui-server-name:9090/nwui
2. Melden Sie sich mit dem NetWorker-Administratorkonto an.
3. Erweitern Sie im Menü die Option Authentifizierungsserver und klicken Sie auf Externe Zertifizierungsstellen.
4. Klicken Sie unter „Externe Zertifizierungsstellen“ auf Hinzufügen+.
5. Füllen Sie die Konfigurationsfelder aus:

6. Wenn Sie fertig sind, klicken Sie auf Speichern.
7. Eine Zusammenfassung der konfigurierten externen Autoritätsressource sollte nun angezeigt werden:

8. Bearbeiten Sie im Menü Server > Benutzergruppen die Benutzergruppen, die die Rechte enthalten, die Sie an AD-/LDAP-Gruppen oder ‑NutzerInnen übertragen möchten. Um beispielsweise vollständige Administratorrechte zu gewähren, muss der AD-Gruppen-/Nutzer-DN im Feld „Externe Rollen“ der Rollen Application Administrators und Security Administrators angegeben werden.

Beispiel: CN=NetWorker_Admins,DC=amer,DC=lan

Dies kann auch über die Befehlszeile erfolgen:

nsraddadmin -e "Distinguished_Name"

nsr:~ # nsraddadmin -e "CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan"
134751:nsraddadmin: Added role 'CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan' to the 'Security Administrators' user group.
134751:nsraddadmin: Added role 'CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan' to the 'Application Administrators' user group.

9. Sobald die AD-Gruppen- und/oder Nutzer-DNs angegeben wurden, klicken Sie auf Speichern. 
10. Melden Sie sich von der NWUI-Schnittstelle ab und melden Sie sich mit dem AD-Konto wieder an:

11. Das Nutzersymbol in der oberen rechten Ecke zeigt an, welches Nutzerkonto angemeldet ist.

Bestätigen des für die NetWorker-Authentifizierung verwendeten AUTHC-Servers
Die Datei gstd.conf des NMC-Servers (NetWorker Management Console) zeigt an, welcher Host zum Verarbeiten von Anmeldeanforderungen verwendet wird:

Linux: /opt/lgtonmc/etc/gstd.conf
Windows: C:\Program Files\EMC NetWorker\Management\GST\etc\gstd.conf

Überprüfen Sie die Datei auf den Wert authsvc_hostname. Der authsvc_hostname ist der authc-Server (Authentifizierungsserver).

So überprüfen Sie die AD-Gruppenmitgliedschaft und rufen die DN-Werte (Distinguished Name) ab, die für NetWorker-Berechtigungen erforderlich sind:
Sie können den Befehl authcmgmt auf dem NetWorker-Server verwenden, um zu bestätigen, dass die AD/LDAP-Gruppen/‑NutzerInnen sichtbar sind:

authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-users -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups-for-user -D query-tenant=tenant_name -D query-domain=domain_name -D user-name=ad_username

Beispiel:

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-users -D query-tenant=default -D query-domain=amer.lan
The query returns 47 records.
User Name            Full Dn Name
Administrator        CN=Administrator,CN=Users,dc=amer,dc=lan
...
bkupadmin            CN=Backup Administrator,CN=Users,dc=amer,dc=lan

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups -D query-tenant=default -D query-domain=amer.lan
The query returns 72 records.
Group Name                              Full Dn Name
Administrators                          CN=Administrators,CN=Builtin,dc=amer,dc=lan
...
NetWorker_Admins                        CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups-for-user -D query-tenant=default -D query-domain=amer.lan -D user-name=bkupadmin
The query returns 1 records.
Group Name       Full Dn Name
NetWorker_Admins CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan

• NetWorker: Einrichten von LDAP/AD mithilfe der authc_config-Skripte
• NetWorker: Einrichten der AD/LDAP-Authentifizierung
• NetWorker: Zurücksetzen des Administratorkennworts
• NetWorker: Die LDAPS-Integration schlägt fehl mit der Meldung „Beim Versuch, eine Verbindung zum LDAPS-Server herzustellen, ist ein SSL-Handshake-Fehler aufgetreten: Es konnte kein gültiger Zertifizierungspfad zum angeforderten Ziel gefunden werden.“
• NetWorker: Importieren oder Ersetzen von durch die Zertifizierungsstelle signierten Zertifikaten für „Authc“ und „NWUI“ (Linux)
• NetWorker: Importieren oder Ersetzen von durch die Zertifizierungsstelle signierten Zertifikaten für „Authc“ und „NWUI“ (Windows)