NetWorker: LDAPS Kimlik Doğrulamasını yapılandırma

LDAPS'yi kullanmak için CA sertifikasını (veya sertifika zincirini) LDAPS sunucusundan NetWorker kimlik doğrulama sunucusunun Java cacerts anahtar deposuna aktarmanız gerekir.

1. NetWorker Kimlik Doğrulama sunucusunun hangi ana bilgisayar olduğunu belirleyin. Bu, NetWorker Management Console (NMC) sunucusunun gstd.conf dosyasında doğrulanabilir:

2. NetWorker kimlik doğrulama sunucusunda kullanılan Java örneğini belirleyin.

1. 1. E. Yönetici komut isteminden, yukarıdaki adımda belirlenen java yükleme yolunu belirterek komut satırı değişkenlerini ayarlayın:

set JAVA="Path\to\java"

   

Linux:

A. Kontrol edin /nsr/authc/conf/installrc dosyasında, kimlik doğrulama hizmetini yapılandırırken hangi Java konumunun kullanıldığını görebilirsiniz:

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

B. Yukarıdaki adımda belirlenen java yükleme yolunu belirterek komut satırı değişkenlerini ayarlayın.

JAVA=/path/to/java

Örnek:

 

Java'yı kolaylaştırır keytool SSL Kurulumu'ndaki komutlar ve doğru cacerts dosyası CA sertifikasını içe aktarır. Bu değişken, komut satırı oturumu kapatıldıktan sonra kaldırılır ve diğer NetWorker işlemlerini engellemez.

LDAPS'yi kullanmak için CA sertifikasını (veya sertifika zincirini) LDAPS sunucusundan JAVA güven anahtar deposuna aktarmanız gerekir. Bu, aşağıdaki prosedürle yapılabilir:

Kimlik doğrulama sunucusundan kök CA sertifikasını (ve yapılandırılmışsa zinciri) alın.

Linux:

1. NetWorker Kimlik Doğrulaması (AUTHC) sunucusunda yükseltilmiş bir istem açın.
2. LDAPS sunucusundan CA sertifikasının bir kopyasını almak için OpenSSL aracını kullanın.

openssl s_client -showcerts -connect LDAPS_SERVER:636 2>/dev/null </dev/null

• Linux tipik olarak şunlarla birlikte gelir: openssl kontrol edin. Ortamda Linux sunucusu varsa, kullanabilirsiniz openssl Sertifika dosyalarını toplamak için orada. Bunlar Windows'a kopyalanabilir ve Windows'ta kullanılabilir authc sunucu.
• OpenSSL'niz yoksa ve yüklenemiyorsa, AD yöneticinizin Base-64 kodlu x.509 biçiminde dışa aktararak bir veya daha fazla sertifika sağlamasını sağlayın.
• Değiştir LDAPS_SERVER LDAPS sunucunuzun ana bilgisayar adı veya IP adresi ile.

3. Yukarıdaki komut, CA sertifikasını veya bir sertifika zincirini Privacy Enhanced Mail (PEM) biçiminde verir. Ör.

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
...REMOVED FOR BREVITY...
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

$server = "EXTERNAL_AUTH_SERVER_ADDRESS"
$port   = 636

$tcp = New-Object System.Net.Sockets.TcpClient
$tcp.Connect($server, $port)

$ssl = New-Object System.Net.Security.SslStream(
    $tcp.GetStream(),
    $false,
    { param($sender,$cert,$chain,$errors) $true }
)

try {
    $ssl.AuthenticateAsClient($server)

    "=== Protocol ==="
    $ssl.SslProtocol
    "=== Cipher ==="
    "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
    ""
    "=== Server Certificate ==="

    $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)

    "Subject  : $($remoteCert.Subject)"
    "Issuer   : $($remoteCert.Issuer)"
    "NotBefore: $($remoteCert.NotBefore)"
    "NotAfter : $($remoteCert.NotAfter)"
    ""

    $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
    "-----BEGIN CERTIFICATE-----"
    $b64
    "-----END CERTIFICATE-----"
}
finally {
    $ssl.Dispose()
    $tcp.Dispose()
}

PS C:\Users\administrator.AMER> $server = "dc.amer.lan"
PS C:\Users\administrator.AMER> $port   = 636
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $tcp = New-Object System.Net.Sockets.TcpClient
PS C:\Users\administrator.AMER> $tcp.Connect($server, $port)
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $ssl = New-Object System.Net.Security.SslStream(
>>     $tcp.GetStream(),
>>     $false,
>>     { param($sender,$cert,$chain,$errors) $true }
>> )
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> try {
>>     $ssl.AuthenticateAsClient($server)
>>
>>     "=== Protocol ==="
>>     $ssl.SslProtocol
>>     "=== Cipher ==="
>>     "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
>>     ""
>>     "=== Server Certificate (exactly what the DC sends) ==="
>>
>>     $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)
>>
>>     "Subject  : $($remoteCert.Subject)"
>>     "Issuer   : $($remoteCert.Issuer)"
>>     "NotBefore: $($remoteCert.NotBefore)"
>>     "NotAfter : $($remoteCert.NotAfter)"
>>     ""
>>
>>     $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
>>     "-----BEGIN CERTIFICATE-----"
>>     $b64
>>     "-----END CERTIFICATE-----"
>> }
>> finally {
>>     $ssl.Dispose()
>>     $tcp.Dispose()
>> }
=== Protocol ===
Tls13
=== Cipher ===
Aes256 (256-bit)

=== Server Certificate ===
Subject  : CN=DC.amer.lan
Issuer   : CN=amer-DC-CA, DC=amer, DC=lan
NotBefore: 11/29/2025 01:17:22
NotAfter : 11/29/2026 01:17:22

-----BEGIN CERTIFICATE-----
MIIGDDCCBPSgAwIBAgITNAAAAAT93FoJVZwLkQAAAAAABDANBgkqhkiG9w0BAQsFADBAMRMwEQYK
...REMOVED FOR BREVITY...
c1HhZw24yOwFSOtTQg==
-----END CERTIFICATE-----

3. Sertifikayı şuradan başlayarak kopyalayın: ---BEGIN CERTIFICATE--- ve ile biten ---END CERTIFICATE--- tıklayın ve yeni bir dosyaya yapıştırın. Bir sertifika zinciri varsa, bunu her sertifikada yapmanız gerekir.
4. Sertifikaları içe aktarma bölümüne gidin.

Sertifikaları İçe Aktarma:

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -list -cacerts -storepass changeit

$JAVA/bin/keytool -list -cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -cacerts -storepass changeit

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

%JAVA%\bin\keytool -import -alias ALIAS_NAME -cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -cacerts -storepass changeit -file /PATH_TO/CERT_FILE

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 183db0ae21d3108244254c8aad129ecd
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

net stop nsrd
net start nsrd

nsr_shutdown
service networker start