NetWorker: Jak pomocí skriptů authc_config nakonfigurovat ověřování LDAPS

Tento článek lze rozdělit do následujících částí. Než budete pokračovat, pečlivě si prohlédněte každou část:

Požadavky:

• Určení, který hostitel je authc server To je užitečné ve větších datových zónách NetWorker. V menších datových zónách s jedním serverem NetWorker je ověřovacím serverem server NetWorker. 
• Určete, které běhové prostředí Java se používá pro ověřovací službu.
• Nastavte proměnné příkazového řádku, které usnadní import certifikátů certifikační autority používaných pro protokol SSL s externím ověřováním NetWorker.

Nastavení protokolu SSL:

• Import certifikátů používaných pro ověřování LDAPS do běhového prostředí ověřovacích služeb cacerts úložiště klíčů.

Konfigurace zdroje externí autority:

• Vytvořte prostředek externí autority v ověřovací službě.
• Určete externí uživatele nebo skupiny, které se mají použít pro NetWorker.
• Definování, kteří externí uživatelé nebo skupiny mají přístup ke konzoli NetWorker Management Console (NMC).
• Definování oprávnění serveru NetWorker, která mají externí uživatelé a skupiny.
• (Volitelné) Konfigurace oprávnění zabezpečení FULL_CONTROL pro externího uživatele nebo skupinu.

Požadavky:

Chcete-li použít protokol LDAPS, je nutné importovat certifikát certifikační autority (nebo řetězec certifikátů) ze serveru LDAPS do prostředí Java ověřovacího serveru NetWorker cacerts úložiště klíčů.

1. Určete, který hostitel je server NetWorker Authentication. To lze ověřit na serveru NetWorker Management Console (NMC) gstd.conf :

2. Na ověřovacím serveru NetWorker identifikujte použitou instanci Java.

1. 1. 1. E. Na příkazovém řádku správce nastavte proměnné příkazového řádku určující instalační cestu Java určenou v předchozím kroku:

set JAVA="Path\to\java"

   

Linux:

1. 1. 1. A. Zkontrolujte /nsr/authc/conf/installrc , abyste zjistili, které umístění Java bylo použito při konfiguraci ověřovací služby:

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

        B. ​​​​Nastavte proměnné příkazového řádku určující instalační cestu Java určenou ve výše uvedeném kroku.

JAVA=/path/to/java

Příklad:

 

Usnadňuje Javu keytool příkazy v Nastavení SSL a zajišťuje správné cacerts importuje certifikát CA. Tato proměnná se po zavření relace příkazového řádku odebere a nenarušuje žádné další operace NetWorker.

Nastavení protokolu SSL

Chcete-li použít protokol LDAPS, je nutné importovat certifikát certifikační autority (nebo řetěz certifikátů) ze serveru LDAPS do úložiště důvěryhodných klíčů JAVA. To lze provést následovně:

keytool [option] -keystore "FULL/PATH/TO/CACERTS" -storepass changeit

keytool [OPTION] -cacerts -storepass changeit

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

openssl s_client -showcerts -connect LDAPS_SERVER:636

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
ADBPMRUwEwYKCZImiZPyLGQBGRYFbG9jYWwxFjAUBgoJkiaJk/IsZAEZFgZlbWNs
...
7NZfi9DiEBhpFmbF8xP96qB/kTJC+29t/0VE8Fvlg87fRhs5BceIoX8nUnetNCdm
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 18xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

net stop nsrd
net start nsrd

nsr_shutdown
service networker start

Konfigurace zdroje externí autority

Tento proces lze provést z konzole NetWorker Management Console (NMC) nebo webového uživatelského rozhraní NetWorker:

• NetWorker: Jak nakonfigurovat ověřování LDAPS
• NetWorker: Jak nakonfigurovat službu "AD přes SSL" (LDAPS) z webového uživatelského rozhraní NetWorker (NWUI)

Proces v tomto článku se zaměřuje na použití skriptů dodávaných se softwarem NetWorker. Ověřovací server NetWorker zahrnuje: authc_config Šablony skriptů v následujícím umístění:

Vytvořte kopii potřebného souboru šablony a odeberte jej .template Obsahuje název souboru. To vám zanechá .bat nebo .sh Skript, který se spustí z příkazového řádku po vyplnění podrobností o externí autoritě.

authc_config -u administrator -p <password> -e add-config \
-D "config-tenant-id=<tenant_id>" \
-D "config-active-directory=y" \
-D "config-name=<authority_name>" \
-D "config-domain=<domain_name>" \
-D "config-server-address=<protocol>://<hostname_or_ip_address>:<port>/<base_dn>" \
-D "config-user-dn=<user_dn>" \
-D "config-user-dn-password=<user_password>" \
-D "config-user-search-path=<user_search_path>" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=<user_object_class>" \
-D "config-group-search-path=<group_search_path>" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=n" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

V následující tabulce jsou uvedeny podrobnosti o parametrech definovaných v konfiguračním souboru.

config-tenant-id	Tenanty je možné použít v prostředích, kde je možné použít více než jednu metodu ověřování nebo když je potřeba nakonfigurovat více oprávnění. Vytvoření tenanta je volitelné. Můžete použít výchozího tenanta, config-tenant-id=1. Pokud používáte výchozího tenanta, můžete se přihlásit k NMC pomocí "domain\user" Pokud se používá tenant (jiný než výchozí), musíte ho zadat během ověřování "tenant\domain\user"
config-active-directory	Pokud používáte server Microsoft Active Directory (AD): y. Jedná se o výchozí nastavení v authc-create-ad-config.x.template.  Používáte-li server LDAP (např. OpenLDAP): n. Toto je výchozí nastavení v authc-create-ldap-config.x.template.
config-name	Tento název představuje pouze identifikátor konfigurace ověřování přidávané do platformy NetWorker.
config-domain	Jedná se o název domény, který se používá pro přihlášení do NetWorker, například: networker.lan. Toto pole by mělo odpovídat hodnotám domény (DC) domény.
config-server-address	<protocol>://<hostname_or_ip_address>:<port>/<base_dn> Protocol: Určuje port ldap při použití komunikace bez protokolu SSL. Určuje port ldaps pokud konfigurujete komunikaci SSL. ldap nebo ldaps musí být malými písmeny. Název hostitele / IP adresa: Zadejte plně přeložitelný název hostitele nebo IP adresu serveru AD nebo LDAP. Port: Pokud používáte protokol LDAP, zadejte port 389. Pokud používáte protokol LDAPS, zadejte port 636. Rozlišující název základny: Zadejte základní rozlišující název (DN), který se skládá z hodnot komponenty domény (DC) vaší domény, například: DC=my,DC=domain,DC=com.
config-user-dn	Zadejte úplný rozlišující název (DN) uživatelského účtu, který má úplný přístup ke čtení adresáře LDAP nebo AD, například: CN=Administrator,CN=Users,DC=my,DC=domain,DC=com.
config-user-dn-password	Zadejte heslo k účtu zadanému v config-user-dn.
config-user-search-path	Toto pole může zůstat prázdné, v takovém případě se authc může dotazovat na celou doménu. Než se tito uživatelé/skupiny budou moci přihlásit k konzoli NMC a spravovat server NetWorker, je nutné udělit oprávnění pro přístup k serveru NMC/NetWorker. Pokud bylo specifikováno Base DN v config-server-addresszadejte relativní cestu (bez základního DN) k doméně.
config-user-id-attr	ID uživatele, které je přidruženo k objektu uživatele v hierarchii LDAP nebo AD. U protokolu LDAP se tento atribut běžně používá uid. U služby AD se tento atribut běžně používá sAMAccountName.
config-user-object-class	Třída objektu, která identifikuje uživatele v hierarchii LDAP nebo AD. Například, inetOrgPerson (LDAP) nebo user AD
config-group-search-path	Líbí se mi config-user-search-path V takovém případě může být toto pole ponecháno prázdné authc je schopen dotazovat se na celou doménu. Pokud bylo specifikováno Base DN v config-server-addresszadejte relativní cestu (bez základního DN) k doméně.
config-group-name-attr	Atribut, který identifikuje název skupiny. Například cn
config-group-object-class	Třída objektu, která identifikuje skupiny v hierarchii LDAP nebo AD. Pro protokol LDAP použijte groupOfUniqueNames nebo groupOfNames POZNÁMKA:: Existují i další třídy skupinových objektů kromě groupOfUniqueNames a groupOfNames.  Použijte libovolnou třídu objektu nakonfigurovanou na serveru LDAP. Pro AD použijte group
config-group-member-attr	Členství uživatele ve skupině Pro LDAP: Je-li třída Group Object groupOfNames, atribut je obvykle member. Je-li třída Group Object groupOfUniqueNames, atribut je obvykle uniquemember.  U AD je hodnota běžně member.
config-user-search-filter	(Volitelné.) Filtr, který může ověřovací služba NetWorker použít k vyhledávání uživatelů v hierarchii LDAP nebo AD. Dokument RFC 2254 Definuje formát filtru.
config-group-search-filter	(Volitelné.) Filtr, který může ověřovací služba NetWorker použít k vyhledávání skupin v hierarchii LDAP nebo AD. Dokument RFC 2254 Definuje formát filtru.
config-search-subtree	(Volitelné.) A: yes nebo no Hodnota, která určuje, zda má externí autorita provádět vyhledávání v podstromu. Výchozí hodnota: no
config-user-group-attr	(Volitelné.) Tato možnost podporuje konfigurace, které identifikují členství uživatele ve skupině v rámci vlastností objektu uživatele. Například pro AD zadejte atribut memberOf.
config-object-class	(Volitelné.) Třída objektu externí ověřovací autority. RFC 4512 Definuje třídu objektu. Výchozí hodnota objectclass.

authc_config -u administrator -p 'NetWorker_Administrator_Password' -e add-config \
-D "config-tenant-id=1" \
-D "config-active-directory=y" \
-D "config-name=ad" \
-D "config-domain=networker.lan" \
-D "config-server-address=ldaps://dc.networker.lan:636/DC=networker,DC=lan" \
-D "config-user-dn=CN=Administrator,CN=Users,DC=networker,DC=lan" \
-D "config-user-dn-password=XXXXXXXX" \
-D "config-user-search-path=" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=user" \
-D "config-group-search-path=" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=y" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

Jakmile je skript naplněn, spusťte jej z příkazového řádku správce (Windows) nebo z kořenové relace SSH (Linux).

[root@nsr ~]# /opt/nsr/authc-server/scripts/authc-create-ad-config.sh
Configuration ad is created successfully.

Konfigurace konzole NMC pro přijetí externího ověřování:

1. Přihlaste se k konzoli NMC jako výchozí účet správce NetWorker.
2. Přejděte do nabídky Setup -> Users and Roles -> NMC Roles.>3.
3. Přidejte rozlišující název skupiny shromážděný z výše uvedeného kroku do pole "External Roles" příslušných rolí pro danou skupinu AD. Správci s úplnými oprávněními by měli mít role "Správce konzolových aplikací" a "Správce zabezpečení konzoly". (Další informace o těchto rolích naleznete v příručce NetWorker Security Configuration Guide.)

 

Konfigurace oprávnění externího uživatele serveru NetWorker:

1. Jako výchozí účet správce NetWorker se připojte k serveru NetWorker.
2. Přejděte do části Server –> User Groups. 
3. Přidejte DN skupiny do pole "External Roles" příslušných rolí pro danou skupinu AD. Správci s úplnými oprávněními by měli mít oprávnění "Správci aplikací" a "Správci zabezpečení".

Případně to lze provést pomocí příkazu nsraddadmin na serveru NetWorker:

nsraddadmin -e "USER/GROUP_DN"

Příklad:

[root@nsr ~]#  nsraddadmin -e "CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Security Administrators' user group.
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Application Administrators' user group.

Přístup k centru NMC:

Měli byste mít přístup k serveru NMC a NetWorker s externími uživateli, kterým byla udělena oprávnění.

Po přihlášení se v pravém horním rohu konzole NMC zobrazí uživatelské jméno AD/LDAP:

Dodatečná bezpečnostní oprávnění

(VOLITELNÉ) Chcete-li, aby skupina AD/LDAP mohla spravovat externí autority, je nutné na serveru NetWorker provést následující akce.
 
Pomocí rozlišujícího jména skupiny AD, které chcete udělit. FULL_CONTROL Povolení ke spuštění:

authc_config -u Administrator -p 'NetWorker_Administrator_Password' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="AD/LDAP_group_dn"

Příklad:

[root@nsr ~]# authc_config -u Administrator -p '!Password1' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
Permission FULL_CONTROL is created successfully.

nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-permissions
The query returns 2 records.
Permission Id Permission Name Group DN Pattern                Group DN
1             FULL_CONTROL    ^cn=Administrators,cn=Groups.*$
2             FULL_CONTROL                                    CN=NetWorker_Admins,OU=DELL,dc=networ...

Průvodce posouzením problémů s integrací a konfigurací AD a LDAP