NetWorker: konfigurowanie uwierzytelniania LDAPS

Aby korzystać z protokołu LDAPS, należy zaimportować certyfikat CA (lub łańcuch certyfikatów) z serwera LDAPS do magazynu kluczy Java cacerts serwera uwierzytelniania NetWorker.

1. Określ, który host jest serwerem uwierzytelniania NetWorker. Można to sprawdzić w pliku gstd.conf serwera NetWorker Management Console (NMC):

2. Na serwerze uwierzytelniania NetWorker zidentyfikuj używaną instancję Java.

1. 1. E. W wierszu poleceń administratora ustaw zmienne wiersza poleceń określające ścieżkę instalacji java określoną w powyższym kroku:

set JAVA="Path\to\java"

   

Linux:

A. Zaznacz pole wyboru /nsr/authc/conf/installrc , aby zobaczyć, która lokalizacja Java została użyta podczas konfigurowania usługi uwierzytelniania:

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

B. Ustaw zmienne wiersza poleceń określające ścieżkę instalacji java określoną w powyższym kroku.

JAVA=/path/to/java

Example:

 

Ułatwia java keytool w Konfigurowanie SSL i zapewnia poprawne cacerts importuje certyfikat urzędu certyfikacji. Ta zmienna jest usuwana po zamknięciu sesji wiersza poleceń i nie zakłóca żadnych innych operacji NetWorker.

Aby korzystać z protokołu LDAPS, należy zaimportować certyfikat CA (lub łańcuch certyfikatów) z serwera LDAPS do magazynu kluczy zaufania JAVA. Można to zrobić za pomocą następującej procedury:

Pobierz certyfikat głównego urzędu certyfikacji (i łańcuch, jeśli jest skonfigurowany) z serwera uwierzytelniania.

Linux:

1. Uruchom monit z podwyższonym poziomem uprawnień na serwerze uwierzytelniania NetWorker (AUTHC).
2. Użyj narzędzia OpenSSL, aby uzyskać kopię certyfikatu CA z serwera LDAPS.

openssl s_client -showcerts -connect LDAPS_SERVER:636 2>/dev/null </dev/null

• Linux zazwyczaj jest dostarczany z openssl zainstalowany. Jeśli w środowisku istnieją serwery Linux, możesz użyć openssl w celu zebrania plików certyfikatów. Można je kopiować i używać w systemie Windows authc serwera.
• Jeśli nie masz OpenSSL i nie można go zainstalować, poproś administratora usługi AD o dostarczenie co najmniej jednego certyfikatu, eksportując go w formacie x.509 zakodowanym w formacie Base-64.
• Zastąp LDAPS_SERVER z nazwą hosta lub adresem IP serwera LDAPS

3. Powyższe polecenie powoduje wyświetlenie certyfikatu CA lub łańcucha certyfikatów w formacie Privacy Enhanced Mail (PEM), np.:

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
...REMOVED FOR BREVITY...
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

$server = "EXTERNAL_AUTH_SERVER_ADDRESS"
$port   = 636

$tcp = New-Object System.Net.Sockets.TcpClient
$tcp.Connect($server, $port)

$ssl = New-Object System.Net.Security.SslStream(
    $tcp.GetStream(),
    $false,
    { param($sender,$cert,$chain,$errors) $true }
)

try {
    $ssl.AuthenticateAsClient($server)

    "=== Protocol ==="
    $ssl.SslProtocol
    "=== Cipher ==="
    "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
    ""
    "=== Server Certificate ==="

    $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)

    "Subject  : $($remoteCert.Subject)"
    "Issuer   : $($remoteCert.Issuer)"
    "NotBefore: $($remoteCert.NotBefore)"
    "NotAfter : $($remoteCert.NotAfter)"
    ""

    $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
    "-----BEGIN CERTIFICATE-----"
    $b64
    "-----END CERTIFICATE-----"
}
finally {
    $ssl.Dispose()
    $tcp.Dispose()
}

PS C:\Users\administrator.AMER> $server = "dc.amer.lan"
PS C:\Users\administrator.AMER> $port   = 636
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $tcp = New-Object System.Net.Sockets.TcpClient
PS C:\Users\administrator.AMER> $tcp.Connect($server, $port)
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $ssl = New-Object System.Net.Security.SslStream(
>>     $tcp.GetStream(),
>>     $false,
>>     { param($sender,$cert,$chain,$errors) $true }
>> )
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> try {
>>     $ssl.AuthenticateAsClient($server)
>>
>>     "=== Protocol ==="
>>     $ssl.SslProtocol
>>     "=== Cipher ==="
>>     "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
>>     ""
>>     "=== Server Certificate (exactly what the DC sends) ==="
>>
>>     $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)
>>
>>     "Subject  : $($remoteCert.Subject)"
>>     "Issuer   : $($remoteCert.Issuer)"
>>     "NotBefore: $($remoteCert.NotBefore)"
>>     "NotAfter : $($remoteCert.NotAfter)"
>>     ""
>>
>>     $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
>>     "-----BEGIN CERTIFICATE-----"
>>     $b64
>>     "-----END CERTIFICATE-----"
>> }
>> finally {
>>     $ssl.Dispose()
>>     $tcp.Dispose()
>> }
=== Protocol ===
Tls13
=== Cipher ===
Aes256 (256-bit)

=== Server Certificate ===
Subject  : CN=DC.amer.lan
Issuer   : CN=amer-DC-CA, DC=amer, DC=lan
NotBefore: 11/29/2025 01:17:22
NotAfter : 11/29/2026 01:17:22

-----BEGIN CERTIFICATE-----
MIIGDDCCBPSgAwIBAgITNAAAAAT93FoJVZwLkQAAAAAABDANBgkqhkiG9w0BAQsFADBAMRMwEQYK
...REMOVED FOR BREVITY...
c1HhZw24yOwFSOtTQg==
-----END CERTIFICATE-----

3. Skopiuj certyfikat, zaczynając od ---BEGIN CERTIFICATE--- i kończące się na ---END CERTIFICATE--- i wklej go do nowego pliku. Jeśli istnieje łańcuch certyfikatów, należy to zrobić dla każdego certyfikatu.
4. Przejdź do sekcji Importowanie certyfikatów.

Importowanie certyfikatów:

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -list -cacerts -storepass changeit

$JAVA/bin/keytool -list -cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -cacerts -storepass changeit

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

%JAVA%\bin\keytool -import -alias ALIAS_NAME -cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -cacerts -storepass changeit -file /PATH_TO/CERT_FILE

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 183db0ae21d3108244254c8aad129ecd
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

net stop nsrd
net start nsrd

nsr_shutdown
service networker start