NetWorker: authc_config 스크립트를 사용하여 LDAPS 인증을 구성하는 방법

이 문서는 다음 섹션으로 나눌 수 있습니다. 계속하기 전에 각 섹션을 주의 깊게 검토하십시오.

사전 구성 요소:

• 어떤 호스트가 authc 서버 이는 더 큰 NetWorker 데이터 영역에서 유용합니다. 단일 NetWorker Server를 사용하는 소규모 데이터 존에서는 NetWorker Server가 인증 서버입니다. 
• 인증 서비스에 사용되는 Java Runtime Environment를 확인합니다.
• 명령줄 변수를 설정하면 NetWorker 외부 인증을 사용하는 SSL에 사용되는 CA 인증서를 쉽게 가져올 수 있습니다.

SSL 설정:

• LDAPS 인증에 사용되는 인증서를 인증 서비스 런타임 환경으로 가져오기 cacerts keystore

외부 인증 기관 리소스 구성:

• 인증 서비스에 외부 기관 리소스를 생성합니다.
• NetWorker에 사용할 외부 사용자 또는 그룹을 결정합니다.
• NMC(NetWorker Management Console)에 액세스할 수 있는 외부 사용자 또는 그룹을 정의합니다.
• 외부 사용자 및 그룹이 갖는 NetWorker Server 사용 권한을 정의합니다.
• (선택 사항) 외부 사용자 또는 그룹에 대한 FULL_CONTROL 보안 권한을 구성합니다.

사전 구성 요소:

LDAPS를 사용하려면 CA 인증서(또는 인증서 체인)를 LDAPS 서버에서 NetWorker Authentication Server의 Java로 가져와야 합니다 cacerts keystore

1. 어느 호스트가 NetWorker Authentication 서버인지 확인합니다. 이는 NMC(NetWorker Management Console) 서버의 gstd.conf file:

2. NetWorker Authentication Server에서 사용된 Java 인스턴스를 식별합니다.

1. 1. 1. E. 관리 명령 프롬프트에서 위 단계에서 결정된 Java 설치 경로를 지정하는 명령줄 변수를 설정합니다.

set JAVA="Path\to\java"

   

Linux:

1. 1. 1. A. 확인 /nsr/authc/conf/installrc 인증 서비스를 구성할 때 사용된 Java 위치를 확인하는 파일:

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

        B. ​​​​위 단계에서 결정된 Java 설치 경로를 지정하는 명령줄 변수를 설정합니다.

JAVA=/path/to/java

예:

 

Java 촉진 keytool SSL 설정의 명령을 실행하고 올바른 cacerts CA 인증서를 가져옵니다. 명령줄 세션이 닫히면 이 변수가 제거되고 다른 NetWorker 작업에 방해가 되지 않습니다.

SSL 설정

LDAPS를 사용하려면 CA 인증서(또는 인증서 체인)를 LDAPS 서버에서 JAVA 신뢰 키 저장소로 가져와야 합니다. 이 작업은 다음 절차에 따라 수행할 수 있습니다.

keytool [option] -keystore "FULL/PATH/TO/CACERTS" -storepass changeit

keytool [OPTION] -cacerts -storepass changeit

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

openssl s_client -showcerts -connect LDAPS_SERVER:636

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
ADBPMRUwEwYKCZImiZPyLGQBGRYFbG9jYWwxFjAUBgoJkiaJk/IsZAEZFgZlbWNs
...
7NZfi9DiEBhpFmbF8xP96qB/kTJC+29t/0VE8Fvlg87fRhs5BceIoX8nUnetNCdm
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 18xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

net stop nsrd
net start nsrd

nsr_shutdown
service networker start

외부 기관 자원 구성

이 프로세스는 NMC(NetWorker Management Console) 또는 NetWorker 웹 사용자 인터페이스에서 수행할 수 있습니다.

• NetWorker: LDAPS 인증을 구성하는 방법
• NetWorker: NWUI(NetWorker Web User Interface)에서 LDAPS("AD over SSL")를 구성하는 방법

이 문서에서는 NetWorker 소프트웨어와 함께 제공되는 스크립트를 중점적으로 사용합니다. NetWorker 인증 서버에는 다음이 포함됩니다 authc_config 다음 위치에 있는 스크립트 템플릿:

필요한 템플릿 파일의 복사본을 만들고 제거합니다. .template 파일명을 포함합니다. 이렇게 하면 .bat 또는 .sh 외부 인증 기관 세부 정보로 채운 후 명령줄에서 실행할 스크립트입니다.

authc_config -u administrator -p <password> -e add-config \
-D "config-tenant-id=<tenant_id>" \
-D "config-active-directory=y" \
-D "config-name=<authority_name>" \
-D "config-domain=<domain_name>" \
-D "config-server-address=<protocol>://<hostname_or_ip_address>:<port>/<base_dn>" \
-D "config-user-dn=<user_dn>" \
-D "config-user-dn-password=<user_password>" \
-D "config-user-search-path=<user_search_path>" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=<user_object_class>" \
-D "config-group-search-path=<group_search_path>" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=n" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

다음 표에는 구성 파일에 정의된 매개변수가 자세히 나와 있습니다.

authc_config -u administrator -p 'NetWorker_Administrator_Password' -e add-config \
-D "config-tenant-id=1" \
-D "config-active-directory=y" \
-D "config-name=ad" \
-D "config-domain=networker.lan" \
-D "config-server-address=ldaps://dc.networker.lan:636/DC=networker,DC=lan" \
-D "config-user-dn=CN=Administrator,CN=Users,DC=networker,DC=lan" \
-D "config-user-dn-password=XXXXXXXX" \
-D "config-user-search-path=" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=user" \
-D "config-group-search-path=" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=y" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

스크립트가 채워지면 관리자 명령 프롬프트(Windows) 또는 루트 SSH 세션(Linux)에서 스크립트를 실행합니다.

[root@nsr ~]# /opt/nsr/authc-server/scripts/authc-create-ad-config.sh
Configuration ad is created successfully.

외부 인증을 허용하도록 NMC 구성:

1. 관리자 계정으로 NMC 서버에 로그인합니다.
2. Setup->Users and Roles->NMC Roles로 이동합니다.>3.
3. 위 단계에서 수집한 그룹 DN을 해당 AD 그룹에 적합한 역할의 "외부 역할" 필드에 추가합니다. 전체 관리자에게는 "콘솔 애플리케이션 관리자" 및 "콘솔 보안 관리자" 역할이 있어야 합니다. (이러한 역할에 대한 자세한 내용은 NetWorker 보안 구성 가이드를 참조하십시오.)

 

NetWorker Server 외부 사용자 권한 구성:

1. 기본 NetWorker 관리자 계정으로 NetWorker Server에 연결합니다.
2. 서버-->사용자 그룹으로 이동합니다. 
3. 그룹 DN을 해당 AD 그룹에 적합한 역할의 "외부 역할" 필드에 추가합니다. 전체 관리자에게는 "애플리케이션 관리자" 및 "보안 관리자" 권한이 있어야 합니다.

또는 다음을 사용하여 이 작업을 수행할 수 있습니다. nsraddadmin NetWorker Server에서 실행되는 명령:

nsraddadmin -e "USER/GROUP_DN"

예:

[root@nsr ~]#  nsraddadmin -e "CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Security Administrators' user group.
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Application Administrators' user group.

NMC에 액세스합니다.

NMC 및 NetWorker Server에 대한 액세스 권한이 부여된 외부 사용자로 권한이 있어야 합니다.

로그인하면 AD/LDAP 사용자 이름이 NMC의 오른쪽 상단에 나타납니다.

추가 보안 권한

(선택 사항) AD/LDAP 그룹이 외부 인증 기관을 관리할 수 있도록 하려면 NetWorker Server에서 다음을 수행해야 합니다.
 
권한을 부여하려는 AD 그룹 DN 사용 FULL_CONTROL 실행 권한:

authc_config -u Administrator -p 'NetWorker_Administrator_Password' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="AD/LDAP_group_dn"

예:

[root@nsr ~]# authc_config -u Administrator -p '!Password1' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
Permission FULL_CONTROL is created successfully.

nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-permissions
The query returns 2 records.
Permission Id Permission Name Group DN Pattern                Group DN
1             FULL_CONTROL    ^cn=Administrators,cn=Groups.*$
2             FULL_CONTROL                                    CN=NetWorker_Admins,OU=DELL,dc=networ...

AD 및 LDAP 통합 및 구성 분류 가이드