NetWorker:authc_configスクリプトを使用してLDAPS認証を設定する方法

この記事は、次のセクションに分割できます。続行する前に、各セクションを慎重に確認してください。

前提条件：

• どのホストが authc サーバー：これは、大規模なNetWorkerデータゾーンで役立ちます。単一のNetWorkerサーバーを含む小規模なデータゾーンでは、NetWorkerサーバーが認証サーバーになります。 
• 認証サービスに使用するJava Runtime Environmentを決定します。
• NetWorker外部認証によるSSLに使用されるCA証明書のインポートを容易にするために、コマンド ライン変数を設定します。

SSL のセットアップ:

• LDAPS認証に使用する証明書の認証サービスのランタイム環境へのインポート cacerts 鍵ストア

外部認証機関リソースの構成:

• 認証サービスで外部認証機関リソースを作成します。
• NetWorkerで使用する外部ユーザーまたはグループを決定します。
• NetWorker Management Console (NMC)へのアクセス権を持つ外部ユーザーまたはグループを定義します。
• 外部ユーザーおよびグループに付与するNetWorkerサーバー権限を定義します。
• (オプション)外部ユーザーまたはグループのFULL_CONTROLセキュリティ権限を構成します。

前提条件：

LDAPSを使用するには、CA証明書(または証明書チェーン)をLDAPSサーバーからNetWorker認証サーバーのJavaにインポートする必要があります cacerts 鍵ストア

1. NetWorker認証サーバーがどのホストであるかを判断します。これは、NetWorker Management Console (NMC)サーバーの gstd.conf file:

2. NetWorker認証サーバーで、使用されているJavaインスタンスを特定します。

1. 1. 1. E.管理コマンド プロンプトから、上記の手順で決定したJavaインストール パスを指定するコマンドライン変数を設定します。

set JAVA="Path\to\java"

   

Linux：

1. 1. 1. A. [ /nsr/authc/conf/installrc ファイルを使用して、認証サービスの構成時に使用された Java の場所を確認します。

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

        B. ​​​​上記の手順で決定したJavaインストール パスを指定するコマンドライン変数を設定します。

JAVA=/path/to/java

例:

 

Javaを容易にします keytool コマンドを使用して、正しい cacerts CA証明書をインポートします。この変数は、コマンド ライン セッションが終了すると削除され、他のNetWorker操作に干渉しません。

SSLのセットアップ

LDAPSを使用するには、LDAPSサーバーからJAVA信頼キーストアにCA証明書(または証明書チェーン)をインポートする必要があります。これは、次の手順で実行できます。

keytool [option] -keystore "FULL/PATH/TO/CACERTS" -storepass changeit

keytool [OPTION] -cacerts -storepass changeit

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

openssl s_client -showcerts -connect LDAPS_SERVER:636

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
ADBPMRUwEwYKCZImiZPyLGQBGRYFbG9jYWwxFjAUBgoJkiaJk/IsZAEZFgZlbWNs
...
7NZfi9DiEBhpFmbF8xP96qB/kTJC+29t/0VE8Fvlg87fRhs5BceIoX8nUnetNCdm
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 18xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

net stop nsrd
net start nsrd

nsr_shutdown
service networker start

外部機関リソースの構成

このプロセスは、NMC(NetWorker管理コンソール)またはNetWorker Webユーザー インターフェイスから実行できます。

• NetWorker:LDAPS認証を設定する方法
• NetWorker: NetWorker Webユーザー インターフェイス(NWUI)から「AD over SSL」(LDAPS)を構成する方法

この記事のプロセスでは、NetWorkerソフトウェアに付属するスクリプトの使用に重点を置いています。NetWorker認証サーバーには次のものが含まれます authc_config スクリプト テンプレートは次の場所にあります。

必要なテンプレート ファイルのコピーを作成し、 .template ファイル名から。これにより、 .bat または .sh 外部認証機関の詳細を入力した後、コマンド ラインから実行するスクリプト。

authc_config -u administrator -p <password> -e add-config \
-D "config-tenant-id=<tenant_id>" \
-D "config-active-directory=y" \
-D "config-name=<authority_name>" \
-D "config-domain=<domain_name>" \
-D "config-server-address=<protocol>://<hostname_or_ip_address>:<port>/<base_dn>" \
-D "config-user-dn=<user_dn>" \
-D "config-user-dn-password=<user_password>" \
-D "config-user-search-path=<user_search_path>" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=<user_object_class>" \
-D "config-group-search-path=<group_search_path>" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=n" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

次の表に、構成ファイルで定義されているパラメーターの詳細を示します。

authc_config -u administrator -p 'NetWorker_Administrator_Password' -e add-config \
-D "config-tenant-id=1" \
-D "config-active-directory=y" \
-D "config-name=ad" \
-D "config-domain=networker.lan" \
-D "config-server-address=ldaps://dc.networker.lan:636/DC=networker,DC=lan" \
-D "config-user-dn=CN=Administrator,CN=Users,DC=networker,DC=lan" \
-D "config-user-dn-password=XXXXXXXX" \
-D "config-user-search-path=" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=user" \
-D "config-group-search-path=" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=y" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

スクリプトが入力されたら、管理者コマンド プロンプト(Windows)またはroot SSHセッション(Linux)から実行します。

[root@nsr ~]# /opt/nsr/authc-server/scripts/authc-create-ad-config.sh
Configuration ad is created successfully.

外部認証を受け入れるNMCの構成:

1. デフォルトのNetWorker管理者アカウントとしてNMCにログインします。
2. ［Setup］＞［Users and Roles］＞［NMC Roles］の順に移動します。>3.
3. 上記の手順で収集したグループDNを、そのADグループの適切なロールの[外部ロール]フィールドに追加します。フル管理者には、「コンソール アプリケーション管理者」と「コンソール セキュリティ管理者」の役割が必要です。(これらの役割の詳細については、NetWorkerセキュリティ構成ガイドを参照してください)。

 

NetWorkerサーバーの外部ユーザー権限の構成:

1. デフォルトのNetWorker管理者アカウントとして、NetWorkerサーバに接続します。
2. サーバー-->ユーザー グループに移動します。 
3. グループDNを、そのADグループの適切なロールの[外部ロール]フィールドに追加します。フル管理者には、「アプリケーション管理者」と「セキュリティ管理者」のアクセス許可が必要です。

または、 nsraddadmin コマンドをNetWorkerサーバで実行します。

nsraddadmin -e "USER/GROUP_DN"

例:

[root@nsr ~]#  nsraddadmin -e "CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Security Administrators' user group.
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Application Administrators' user group.

NMCにアクセスします。

NMCおよびNetWorkerサーバーへのアクセス権限が付与されている外部ユーザーとの間でアクセスする必要があります。

ログインすると、NMCの右上隅にAD/LDAPユーザー名が表示されます。

追加のセキュリティ権限

(オプション)AD/LDAPグループで外部認証機関を管理できるようにするには、NetWorkerサーバーで次の操作を実行する必要があります。

付与するADグループDNを使用する FULL_CONTROL 実行権限:

authc_config -u Administrator -p 'NetWorker_Administrator_Password' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="AD/LDAP_group_dn"

例:

[root@nsr ~]# authc_config -u Administrator -p '!Password1' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
Permission FULL_CONTROL is created successfully.

nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-permissions
The query returns 2 records.
Permission Id Permission Name Group DN Pattern                Group DN
1             FULL_CONTROL    ^cn=Administrators,cn=Groups.*$
2             FULL_CONTROL                                    CN=NetWorker_Admins,OU=DELL,dc=networ...

「AD/LDAP統合および構成トリアージ ガイド」