NetWorker: LDAPS-todennuksen määrittäminen authc_config skriptien avulla

Tämä artikkeli voidaan jakaa seuraaviin osiin. Tarkista jokainen osio huolellisesti ennen jatkamista:

Esitoimenpiteet:

• Selvitä, mikä isäntä on authc server Tästä on hyötyä suuremmissa NetWorker-tietovyöhykkeissä. Pienemmillä tietovyöhykkeillä, joissa on yksi NetWorker-palvelin, NetWorker-palvelin toimii todennuspalvelimena. 
• Määritä, mitä Java Runtime -ympäristöä käytetään todennuspalvelussa.
• Määritä komentorivimuuttujia, jotka helpottavat SSL:ään käytettävien CA-varmenteiden tuontia NetWorkerin ulkoisella todennuksella.

SSL:n määrittäminen:

• LDAPS-todennuksessa käytettävien varmenteiden tuominen autentikointipalvelujen suorituksenaikaiseen ympäristöön cacerts avainsäilytys.

Ulkoisen viranomaisen resurssin määrittäminen:

• Luo ulkoisen myöntäjän resurssi tunnistautumispalveluun.
• NetWorkerissa käytettävien ulkoisten käyttäjien tai ryhmien määrittäminen.
• Määritä, ketkä ulkoiset käyttäjät tai ryhmät voivat käyttää NetWorker Management Consolea (NMC).
• Ulkoisten käyttäjien ja ryhmien NetWorker-palvelimen käyttöoikeuksien määrittäminen
• (Valinnainen) Määritä FULL_CONTROL suojausoikeudet ulkoiselle käyttäjälle tai ryhmälle.

Esitoimenpiteet:

Jos haluat käyttää LDAPS:ää, sinun on tuotava CA-varmenne (tai varmenneketju) LDAPS-palvelimelta NetWorker-autentikointipalvelimen Javaan cacerts avainsäilytys.

1. Määritä, mikä isäntä on NetWorker-todennuspalvelin. Tämän voi tarkistaa NetWorker Management Console (NMC) -palvelimen gstd.conf Tiedosto

2. Tunnista käytetty Java-esiintymä NetWorker-todennuspalvelimessa.

1. 1. 1. E. Määritä järjestelmänvalvojan komentokehotteessa komentorivimuuttujat, jotka määrittävät edellisessä vaiheessa määritetyn Java-asennuspolun:

set JAVA="Path\to\java"

   

Linux:

1. 1. 1. A. Tarkista /nsr/authc/conf/installrc tiedosto, josta näet, mitä Java-sijaintia käytettiin todennuspalvelua määritettäessä:

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

        B. ​​​​Aseta komentorivimuuttujat määrittämällä edellisessä vaiheessa määritetty Java-asennuspolku.

JAVA=/path/to/java

Esimerkki:

 

Helpottaa Javaa keytool komennot SSL: n asettamisessa ja varmistaa oikean cacerts -tiedosto tuo CA-varmenteen. Tämä muuttuja poistetaan, kun komentorivi-istunto suljetaan, eikä se häiritse muita NetWorker-toimintoja.

SSL:n määrittäminen

Jos haluat käyttää LDAPS:ää, sinun on tuotava CA-varmenne (tai varmenneketju) LDAPS-palvelimelta JAVA-luottamusavainsäilöön. Tämä voidaan tehdä seuraavalla menettelyllä:

keytool [option] -keystore "FULL/PATH/TO/CACERTS" -storepass changeit

keytool [OPTION] -cacerts -storepass changeit

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

openssl s_client -showcerts -connect LDAPS_SERVER:636

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
ADBPMRUwEwYKCZImiZPyLGQBGRYFbG9jYWwxFjAUBgoJkiaJk/IsZAEZFgZlbWNs
...
7NZfi9DiEBhpFmbF8xP96qB/kTJC+29t/0VE8Fvlg87fRhs5BceIoX8nUnetNCdm
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 18xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

net stop nsrd
net start nsrd

nsr_shutdown
service networker start

Ulkoisen viranomaisen resurssin määrittäminen

Prosessin voi tehdä NetWorker Management Consolessa (NMC) tai NetWorkerin verkkokäyttöliittymässä:

• NetWorker: LDAPS-todennuksen määrittäminen
• NetWorker: AD over SSL (LDAPS) -sovelluksen määrittäminen NetWorker Web User Interface (NWUI) -käyttöliittymässä

Tässä artikkelissa keskitytään NetWorker-ohjelmiston mukana toimitettujen komentosarjojen käyttämiseen. NetWorker-todennuspalvelimen sisältö: authc_config skriptimallit seuraavassa sijainnissa:

Luo kopio tarvittavasta mallitiedostosta ja poista .template Sisältää tiedostonimen. Tämä jättää sinulle a .bat tai .sh Komentosarja, joka suoritetaan komentoriviltä sen jälkeen, kun siihen on lisätty ulkoisen myöntäjän tiedot.

authc_config -u administrator -p <password> -e add-config \
-D "config-tenant-id=<tenant_id>" \
-D "config-active-directory=y" \
-D "config-name=<authority_name>" \
-D "config-domain=<domain_name>" \
-D "config-server-address=<protocol>://<hostname_or_ip_address>:<port>/<base_dn>" \
-D "config-user-dn=<user_dn>" \
-D "config-user-dn-password=<user_password>" \
-D "config-user-search-path=<user_search_path>" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=<user_object_class>" \
-D "config-group-search-path=<group_search_path>" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=n" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

Seuraavassa taulukossa kuvataan määritystiedostossa määritetyt parametrit.

config-tenant-id	Vuokraajia voidaan käyttää ympäristöissä, joissa voidaan käyttää useampaa kuin yhtä todennusmenetelmää tai joissa on määritettävä useita valtuuksia. Vuokraajan luominen on vapaaehtoista. Voit käyttää oletusvuokraajaa, config-tenant-id=1. Kun käytetään oletusvuokraajaa, voit kirjautua NMC:hen verkkotunnuksella domain\user Kun käytetään vuokraajaa (muuta kuin oletusvuokraajaa), se on määritettävä todennuksen aikana "tenant\domain\user"
config-active-directory	Jos käytät Microsoft Active Directory (AD) -palvelinta: y. Tämä on oletusasetus kohdassa authc-create-ad-config.x.template.  Jos käytät LDAP-palvelinta (esim. OpenLDAP): n. Tämä on oletusasetus authc-create-ldap-config.x.template.
config-name	Tämä nimi on ainoastaan NetWorkeriin lisättävän todennusmäärityksen tunniste.
config-domain	Tämä on toimialuenimi, jota käytetään kirjauduttaessa NetWorkeriin, esimerkiksi: networker.lan. Tämän kentän tulee vastata toimialueen Domain Component (DC) -arvoja.
config-server-address	<protocol>://<hostname_or_ip_address>:<port>/<base_dn> Protocol : Määritä ldap jos käytetään muuta kuin SSL-tiedonsiirtoa. Määritä ldaps jos olet määrittämässä SSL-yhteyttä. ldap tai ldaps on kirjoitettava pienillä kirjaimilla. Isäntänimi/IP-osoite: Määritä AD- tai LDAP-palvelimen täysin ratkaistavissa oleva isäntänimi tai IP-osoite. Portit Jos käytät LDAPia, määritä portti 389. Jos käytät LDAPS:ää, määritä portti 636. Base-DN: Määritä DN (Base Distinguished Name), joka koostuu toimialueesi Domain Component (DC) -arvoista, esimerkiksi: DC=my,DC=domain,DC=com.
config-user-dn	Määritä sellaisen käyttäjätilin täydellinen yksilöivä nimi (DN), jolla on täydet lukuoikeudet LDAP- tai AD-hakemistoon, esimerkiksi: CN=Administrator,CN=Users,DC=my,DC=domain,DC=com.
config-user-dn-password	Määritä config-user-dn:ssä määritetyn tilin salasana.
config-user-search-path	Tämä kenttä voidaan jättää tyhjäksi, jolloin authc voi tehdä kyselyn koko toimialueelle. NMC-/NetWorker-palvelimen käyttöoikeudet on myönnettävä, ennen kuin nämä käyttäjät/ryhmät voivat kirjautua NMC:hen ja hallita NetWorker-palvelinta. Jos perus-DN on määritetty kohdassa config-server-address, määritä toimialueen suhteellinen polku (lukuun ottamatta DN-perusnumeroa).
config-user-id-attr	Käyttäjätunnus, joka liittyy käyttäjäobjektiin LDAP- tai AD-hierarkiassa. LDAP:lle tämä määrite on yleinen uid. AD: lle tämä määrite on yleensä sAMAccountName.
config-user-object-class	Objektiluokka, joka tunnistaa käyttäjät LDAP- tai AD-hierarkiassa. Esimerkiksi, inetOrgPerson (LDAP) tai user AD
config-group-search-path	Kuten config-user-search-path Tämä kenttä voidaan jättää tyhjäksi, jolloin authc pystyy tekemään kyselyn koko verkkotunnuksesta. Jos perus-DN on määritetty kohdassa config-server-address, määritä toimialueen suhteellinen polku (lukuun ottamatta DN-perusnumeroa).
config-group-name-attr	Määrite, joka yksilöi ryhmän nimen. Esim. cn
config-group-object-class	Objektiluokka, joka tunnistaa LDAP- tai AD-hierarkian ryhmät. Jos käytät LDAP:tä, käytä groupOfUniqueNames tai groupOfNames HUOMAUTUS: On muitakin ryhmäobjektiluokkia kuin groupOfUniqueNames ja groupOfNames.  Käytä LDAP-palvelimessa määritettyä objektiluokkaa. Käytä AD: ssä group
config-group-member-attr	Käyttäjän ryhmän jäsenyys ryhmässä For LDAP: Kun ryhmäobjektiluokka on groupOfNames, määrite on yleinen member. Kun ryhmäobjektiluokka on groupOfUniqueNames, määrite on yleinen uniquemember.  AD:n arvo on yleensä member.
config-user-search-filter	Vaihtoehdot Suodatin, jota NetWorker-todennuspalvelu voi käyttää käyttäjien hakujen suorittamiseen LDAP- tai AD-hierarkiassa. RFC 2254 Määrittää suodattimen muodon.
config-group-search-filter	Vaihtoehdot Suodatin, jota NetWorker-todennuspalvelu voi käyttää ryhmähakujen suorittamiseen LDAP- tai AD-hierarkiassa. RFC 2254 Määrittää suodattimen muodon.
config-search-subtree	Vaihtoehdot A yes tai no Arvo, joka määrittää, suorittaako ulkoinen myöntäjä alipuuhakuja. Oletusarvo: no
config-user-group-attr	Vaihtoehdot Tämä vaihtoehto tukee määrityksiä, jotka tunnistavat käyttäjän ryhmän jäsenyyden käyttäjäobjektin ominaisuuksista. Määritä esimerkiksi AD:lle määrite memberOf.
config-object-class	Vaihtoehdot Ulkoisen todennusviranomaisen objektiluokka. RFC 4512 Määrittää objektiluokan. Oletusarvo objectclass.

authc_config -u administrator -p 'NetWorker_Administrator_Password' -e add-config \
-D "config-tenant-id=1" \
-D "config-active-directory=y" \
-D "config-name=ad" \
-D "config-domain=networker.lan" \
-D "config-server-address=ldaps://dc.networker.lan:636/DC=networker,DC=lan" \
-D "config-user-dn=CN=Administrator,CN=Users,DC=networker,DC=lan" \
-D "config-user-dn-password=XXXXXXXX" \
-D "config-user-search-path=" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=user" \
-D "config-group-search-path=" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=y" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

Kun komentosarja on täytetty, suorita se järjestelmänvalvojan komentokehotteessa (Windows) tai SSH-juuriistunnossa (Linux).

[root@nsr ~]# /opt/nsr/authc-server/scripts/authc-create-ad-config.sh
Configuration ad is created successfully.

NMC:n määrittäminen hyväksymään ulkoinen todennus:

1. Kirjaudu NMC:hen NetWorker Administrator -oletustilinä.
2. Valitse Setup --Users> and Roles--NMC> Roles.
3. Lisää yllä olevasta vaiheesta kerätty DN-ryhmä kyseisen AD-ryhmän roolien Ulkoiset roolit -kenttään. Täysivaltaisilla järjestelmänvalvojilla on oltava konsolisovelluksen järjestelmänvalvojan ja konsolin suojauksen järjestelmänvalvojan roolit. (Lisätietoja näistä rooleista on NetWorker Security Configuration Guide -oppaassa.)

 

NetWorker-palvelimen ulkoisten käyttöoikeuksien määrittäminen:

1. Jos olet NetWorker Administrator -oletustili, muodosta yhteys NetWorker-palvelimeen.
2. Siirry kohtaan Palvelin –> käyttäjäryhmät. 
3. Lisää ryhmän DN kyseisen AD-ryhmän asianmukaisten roolien Ulkoiset roolit -kenttään. Täysivaltaisilla järjestelmänvalvojilla on oltava Application Administrators- ja Security Administrators -oikeudet.

Vaihtoehtoisesti tämä voidaan tehdä käyttämällä nsraddadmin NetWorker-palvelimen komento:

nsraddadmin -e "USER/GROUP_DN"

Esimerkki:

[root@nsr ~]#  nsraddadmin -e "CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Security Administrators' user group.
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Application Administrators' user group.

Avaa NMC:

Sinulla pitäisi olla NMC- ja NetWorker-palvelinten käyttöoikeus niiden ulkoisten käyttäjien kanssa, joille on myönnetty siihen käyttöoikeus.

Kun olet kirjautunut sisään, AD/LDAP-käyttäjänimi näkyy NMC:n oikeassa yläkulmassa:

Ylimääräiset suojausoikeudet

(VALINNAINEN) Jos haluat, että AD/LDAP-ryhmä voi hallita ulkoisia auktoriteetteja, sinun on tehtävä seuraavat toimet NetWorker-palvelimessa.
 
Myönnettävän AD-ryhmän DN:n käyttäminen FULL_CONTROL Lupa suorittaa:

authc_config -u Administrator -p 'NetWorker_Administrator_Password' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="AD/LDAP_group_dn"

Esimerkki:

[root@nsr ~]# authc_config -u Administrator -p '!Password1' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
Permission FULL_CONTROL is created successfully.

nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-permissions
The query returns 2 records.
Permission Id Permission Name Group DN Pattern                Group DN
1             FULL_CONTROL    ^cn=Administrators,cn=Groups.*$
2             FULL_CONTROL                                    CN=NetWorker_Admins,OU=DELL,dc=networ...

AD- ja LDAP-integroinnin ja -määrityksen luokitteluopas