NetWorker: Sådan bruges authc_config scripts til at konfigurere LDAPS-godkendelse

Denne artikel kan opdeles i følgende afsnit. Læs omhyggeligt hvert afsnit, før du fortsætter:

Forudsætninger:

• Find ud af, hvilken vært der er authc server Dette er nyttigt i større NetWorker-datazoner. I mindre datazoner med en enkelt NetWorker-server er NetWorker-serveren godkendelsesserveren. 
• Find ud af, hvilket Java Runtime-miljø der bruges til godkendelsestjenesten.
• Angiv kommandolinjevariabler for at gøre det nemmere at importere de CA-certifikater, der bruges til SSL, med ekstern NetWorker-godkendelse.

Opsætning af SSL:

• Importer de certifikater, der bruges til LDAPS-godkendelse, til kørselsmiljøet for godkendelsestjenester cacerts nøglebutik.

Konfiguration af den eksterne autoritetsressource:

• Opret den eksterne autoritetsressource i godkendelsestjenesten.
• Bestem eksterne brugere eller grupper, der skal bruges til NetWorker.
• Definer, hvilke eksterne brugere eller grupper der har adgang til NetWorker Management Console (NMC).
• Definere de NetWorker-servertilladelser, som eksterne brugere og grupper har.
• (Valgfrit) Konfigurer FULL_CONTROL sikkerhedstilladelser for en ekstern bruger eller gruppe.

Forudsætninger:

Hvis du vil bruge LDAPS, skal du importere CA-certifikatet (eller certifikatkæden) fra LDAPS-serveren til NetWorker-godkendelsesserverens Java cacerts nøglebutik.

1. Find ud af, hvilken vært der er NetWorker-godkendelsesserveren. Dette kan bekræftes i NMC-serverens (NetWorker Management Console) gstd.conf Filer:

2. På NetWorker-godkendelsesserveren skal du identificere den anvendte Java-forekomst.

1. 1. 1. E. Fra en administrativ kommandoprompt skal du indstille kommandolinjevariabler, der angiver java-installationsstien, der er bestemt i ovenstående trin:

set JAVA="Path\to\java"

   

Linux:

1. 1. 1. A. Tjek /nsr/authc/conf/installrc fil for at se, hvilken Java-placering der blev brugt ved konfiguration af godkendelsestjenesten:

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

        B. ​​​​Indstil kommandolinjevariabler, der angiver den java-installationssti, der er bestemt i ovenstående trin.

JAVA=/path/to/java

Eksempel:

 

Letter java keytool kommandoer i Opsætning af SSL og sikrer den korrekte cacerts filen importerer CA-certifikatet. Denne variabel fjernes, når kommandolinjesessionen lukkes, og forstyrrer ikke andre NetWorker-handlinger.

Opsætning af SSL

Hvis du vil bruge LDAPS, skal du importere CA-certifikatet (eller certifikatkæden) fra LDAPS-serveren til JAVA-godkendelsesnøglelageret. Dette kan gøres med følgende procedure:

keytool [option] -keystore "FULL/PATH/TO/CACERTS" -storepass changeit

keytool [OPTION] -cacerts -storepass changeit

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

openssl s_client -showcerts -connect LDAPS_SERVER:636

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
ADBPMRUwEwYKCZImiZPyLGQBGRYFbG9jYWwxFjAUBgoJkiaJk/IsZAEZFgZlbWNs
...
7NZfi9DiEBhpFmbF8xP96qB/kTJC+29t/0VE8Fvlg87fRhs5BceIoX8nUnetNCdm
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 18xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

net stop nsrd
net start nsrd

nsr_shutdown
service networker start

Konfiguration af den eksterne myndighedsressource

Denne proces kan udføres fra NetWorker Management Console (NMC) eller NetWorker-webbrugergrænsefladen:

• NetWorker: Sådan konfigureres LDAPS-godkendelse
• NetWorker: Sådan konfigureres "AD over SSL" (LDAPS) fra NetWorker Web User Interface (NWUI)

Processen i denne artikel fokuserer på brug af scripts, der følger med NetWorker-softwaren. NetWorker-godkendelsesserveren omfatter: authc_config Scriptskabeloner på følgende placering:

Opret en kopi af den nødvendige skabelonfil, og fjern .template fra filnavnet. Dette efterlader dig med en .bat eller .sh script, der skal køres fra kommandolinjen, når det er udfyldt med oplysninger om den eksterne autoritet.

authc_config -u administrator -p <password> -e add-config \
-D "config-tenant-id=<tenant_id>" \
-D "config-active-directory=y" \
-D "config-name=<authority_name>" \
-D "config-domain=<domain_name>" \
-D "config-server-address=<protocol>://<hostname_or_ip_address>:<port>/<base_dn>" \
-D "config-user-dn=<user_dn>" \
-D "config-user-dn-password=<user_password>" \
-D "config-user-search-path=<user_search_path>" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=<user_object_class>" \
-D "config-group-search-path=<group_search_path>" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=n" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

Følgende tabel angiver de parametre, der er defineret i konfigurationsfilen.

config-tenant-id	Lejere kan bruges i miljøer, hvor der kan bruges mere end én godkendelsesmetode, eller hvor der skal konfigureres flere myndigheder. Det er valgfrit at oprette en lejer. Du kan bruge standardlejeren, config-tenant-id=1. Når standardlejeren bruges, kan du logge på NMC ved hjælp af "domain\user" Når en lejer (andet end standard bruges), skal du angive den under godkendelsen "tenant\domain\user"
config-active-directory	Hvis du bruger en Microsoft Active Directory-server (AD): y. Dette er standardindstillingen i authc-create-ad-config.x.template.  Hvis du bruger en LDAP-server (f.eks.: OpenLDAP): n. Dette er standardindstillingen i authc-create-ldap-config.x.template.
config-name	Dette navn er kun et id for den godkendelseskonfiguration, der føjes til NetWorker.
config-domain	Dette er det domænenavn, der bruges til at logge ind på NetWorker, for eksempel: networker.lan. Dette felt skal stemme overens med værdierne for domænets domænekomponent (DC).
config-server-address	<protocol>://<hostname_or_ip_address>:<port>/<base_dn> Protokol Angiv ldap hvis der anvendes ikke-SSL-kommunikation. Angiv ldaps hvis du konfigurerer SSL-kommunikation. ldap eller ldaps skal være små bogstaver. Værtsnavn/IP-adresse: Angiv det fuldt opløselige værtsnavn eller IP-adressen på din AD- eller LDAP-server. Havn: Hvis du bruger LDAP, skal du angive port 389. Hvis du bruger LDAPS, skal du angive port 636. Base-DN: Angiv dit Base Distinguished Name (DN), som består af dine domænekomponentværdier (DC) for dit domæne, f.eks.: DC=my,DC=domain,DC=com.
config-user-dn	Angiv det fulde entydige navn (DN) på en brugerkonto, der har fuld læseadgang til LDAP- eller AD-biblioteket, f.eks.: CN=Administrator,CN=Users,DC=my,DC=domain,DC=com.
config-user-dn-password	Angiv adgangskoden for den konto, der er angivet i config-user-dn.
config-user-search-path	Dette felt kan efterlades tomt, i hvilket tilfælde authc kan forespørge på hele domænet. Der skal gives tilladelse til NMC/NetWorker-serveradgang, før disse brugere/grupper kan logge på NMC og administrere NetWorker-serveren. Hvis der er angivet et basis-DN i config-server-address, skal du angive den relative sti (eksklusive basis-DN) til domænet.
config-user-id-attr	Det bruger-id, der er knyttet til brugerobjektet i LDAP- eller AD-hierarkiet. For LDAP er denne egenskab almindelig uid. For AD er denne attribut almindeligt sAMAccountName.
config-user-object-class	Den objektklasse, der identificerer brugerne i LDAP- eller AD-hierarkiet. For eksempel, inetOrgPerson (LDAP) eller user Tilføjet:
config-group-search-path	Synes godt om config-user-search-path Dette felt kan efterlades tomt, i hvilket tilfælde authc er i stand til at forespørge på hele domænet. Hvis der er angivet et basis-DN i config-server-address, skal du angive den relative sti (eksklusive basis-DN) til domænet.
config-group-name-attr	Den attribut, der identificerer gruppenavnet. Eksempel: cn
config-group-object-class	Den objektklasse, der identificerer grupper i LDAP- eller AD-hierarkiet. Til LDAP skal du bruge groupOfUniqueNames eller groupOfNames BEMÆRK:: Der er andre gruppeobjektklasser bortset fra groupOfUniqueNames og groupOfNames.  Brug den objektklasse, der er konfigureret på LDAP-serveren. Til AD skal du bruge group
config-group-member-attr	Gruppemedlemskabet for brugeren i en gruppe For LDAP: Når gruppeobjektklassen er groupOfNames, er attributten almindeligt member. Når gruppeobjektklassen er groupOfUniqueNames, er attributten almindeligt uniquemember.  For AD er værdien almindeligvis member.
config-user-search-filter	Valgfri Det filter, som NetWorker-godkendelsestjenesten kan bruge til at udføre brugersøgninger i LDAP- eller AD-hierarkiet. RFC 2254 Definerer filterformatet.
config-group-search-filter	Valgfri Det filter, som NetWorker-godkendelsestjenesten kan bruge til at udføre gruppesøgninger i LDAP- eller AD-hierarkiet. RFC 2254 Definerer filterformatet.
config-search-subtree	Valgfri A yes eller no værdi, der angiver, om den eksterne myndighed skal udføre undertræsøgninger. Standardværdi: no
config-user-group-attr	Valgfri Denne indstilling understøtter konfigurationer, der identificerer gruppemedlemskabet for en bruger i egenskaberne for brugerobjektet. For eksempel for AD skal du angive attributten memberOf.
config-object-class	Valgfri Objektklassen for den eksterne godkendelsesmyndighed. RFC 4512 Definerer objektklassen. Standardværdi objectclass.

authc_config -u administrator -p 'NetWorker_Administrator_Password' -e add-config \
-D "config-tenant-id=1" \
-D "config-active-directory=y" \
-D "config-name=ad" \
-D "config-domain=networker.lan" \
-D "config-server-address=ldaps://dc.networker.lan:636/DC=networker,DC=lan" \
-D "config-user-dn=CN=Administrator,CN=Users,DC=networker,DC=lan" \
-D "config-user-dn-password=XXXXXXXX" \
-D "config-user-search-path=" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=user" \
-D "config-group-search-path=" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=y" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

Når scriptet er udfyldt, skal du køre det fra en administratorkommandoprompt (Windows) eller en SSH-rodsession (Linux).

[root@nsr ~]# /opt/nsr/authc-server/scripts/authc-create-ad-config.sh
Configuration ad is created successfully.

Konfiguration af NMC til at acceptere ekstern godkendelse:

1. Log på NMC som standard NetWorker-administratorkonto.
2. Gå til Opsætning -> Brugere og roller - NMC-roller>.
3. Føj det gruppe-DN, der er indsamlet fra ovenstående trin, til feltet "Eksterne roller" for de relevante roller for den pågældende AD-gruppe. Fuldgyldige administratorer skal have rollerne "Console Application Administrator" og "Console Security Administrator". (Se NetWorker-sikkerhedskonfigurationsvejledningen for at få flere oplysninger om disse roller).

 

Konfiguration af NetWorker-serverens eksterne brugertilladelser:

1. Som NetWorker-administratorkonto skal du oprette forbindelse til NetWorker-serveren.
2. Gå til Server -> Brugergrupper. 
3. Føj gruppe-DN til feltet "Eksterne roller" for de relevante roller for den pågældende AD-gruppe. Fuldgyldige administratorer skal have tilladelserne "Programadministratorer" og "Sikkerhedsadministratorer".

Alternativt kan dette gøres ved hjælp af nsraddadmin kommando på NetWorker-serveren:

nsraddadmin -e "USER/GROUP_DN"

Eksempel:

[root@nsr ~]#  nsraddadmin -e "CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Security Administrators' user group.
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Application Administrators' user group.

Få adgang til NMC:

Du skal have adgang til NMC- og NetWorker-serveren med de eksterne brugere, der har fået tilladelse til det.

Når du er logget ind, vises AD/LDAP-brugernavnet i øverste højre hjørne af NMC:

Ekstra sikkerhedstilladelser

(VALGFRIT) Hvis du ønsker, at en AD/LDAP-gruppe skal kunne administrere eksterne myndigheder, skal du udføre følgende på NetWorker-serveren.
 
Brug af AD-gruppe-DN, du vil tildele FULL_CONTROL Tilladelse til at køre:

authc_config -u Administrator -p 'NetWorker_Administrator_Password' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="AD/LDAP_group_dn"

Eksempel:

[root@nsr ~]# authc_config -u Administrator -p '!Password1' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
Permission FULL_CONTROL is created successfully.

nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-permissions
The query returns 2 records.
Permission Id Permission Name Group DN Pattern                Group DN
1             FULL_CONTROL    ^cn=Administrators,cn=Groups.*$
2             FULL_CONTROL                                    CN=NetWorker_Admins,OU=DELL,dc=networ...

AD- og LDAP-integration og Configuration Triage-vejledning