NetWorker: authc_config scripts gebruiken om LDAPS-authenticatie te configureren

Dit artikel kan worden onderverdeeld in de volgende secties. Neem elk gedeelte zorgvuldig door voordat u verder gaat:

Vereisten:

• Bepaal welke host de authc server Dit is handig in grotere NetWorker-datazones. In kleinere datazones met één NetWorker-server is de NetWorker-server de verificatieserver. 
• Bepaal welke Java Runtime Environment wordt gebruikt voor de verificatieservice.
• Stel opdrachtregelvariabelen in om het importeren van de CA-certificaten die worden gebruikt voor SSL met externe NetWorker-authenticatie te vergemakkelijken.

SSL instellen:

• Importeer de certificaten die worden gebruikt voor LDAPS-authenticatie in de Authentication Services runtime-omgeving cacerts keystore.

De externe autoriteitsbron configureren:

• Maak de externe autoriteitsresource in de verificatieservice.
• Bepaal externe gebruikers of groepen die worden gebruikt voor NetWorker.
• Bepaal welke externe gebruikers of groepen toegang hebben tot de NetWorker Management Console (NMC).
• Definieer de NetWorker-servermachtigingen die externe gebruikers en groepen hebben.
• (Optioneel) Configureer FULL_CONTROL beveiligingsmachtigingen voor een externe gebruiker of groep.

Vereisten:

Als u LDAPS wilt gebruiken, moet u het CA-certificaat (of certificaatketen) van de LDAPS-server importeren in de Java van de NetWorker-authenticatieserver cacerts keystore.

1. Bepaal welke host de NetWorker Authentication-server is. Dit kan worden gevalideerd in de NetWorker Management Console (NMC)-server gstd.conf Bestand:

2. Identificeer op de NetWorker-verificatieserver de gebruikte Java-instantie.

1. 1. 1. E. Stel vanuit een beheerdersopdrachtprompt opdrachtregelvariabelen in die het Java-installatiepad specificeren dat in de bovenstaande stap is bepaald:

set JAVA="Path\to\java"

   

Linux:

1. 1. 1. A. Controleer de /nsr/authc/conf/installrc bestand om te zien welke Java-locatie is gebruikt bij het configureren van de authenticatieservice:

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

        B. ​​​​Stel opdrachtregelvariabelen in die het Java-installatiepad specificeren dat in de bovenstaande stap is bepaald.

JAVA=/path/to/java

Voorbeeld:

 

Vergemakkelijkt java keytool opdrachten in SSL instellen en zorgt voor de juiste cacerts bestand importeert het CA-certificaat. Deze variabele wordt verwijderd zodra de opdrachtregelsessie is gesloten en heeft geen invloed op andere NetWorker-bewerkingen.

SSL instellen

Als u LDAPS wilt gebruiken, moet u het CA-certificaat (of certificaatketen) van de LDAPS-server importeren in de JAVA Trust Keystore. Dit kan met de volgende procedure:

keytool [option] -keystore "FULL/PATH/TO/CACERTS" -storepass changeit

keytool [OPTION] -cacerts -storepass changeit

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

openssl s_client -showcerts -connect LDAPS_SERVER:636

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
ADBPMRUwEwYKCZImiZPyLGQBGRYFbG9jYWwxFjAUBgoJkiaJk/IsZAEZFgZlbWNs
...
7NZfi9DiEBhpFmbF8xP96qB/kTJC+29t/0VE8Fvlg87fRhs5BceIoX8nUnetNCdm
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 18xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

net stop nsrd
net start nsrd

nsr_shutdown
service networker start

De externe autoriteitsbron configureren

Dit proces kan worden uitgevoerd vanuit de NetWorker Management Console (NMC) of NetWorker Web User Interface:

• NetWorker: LDAPS-authenticatie configureren
• NetWorker: AD via SSL (LDAPS) configureren vanuit de NetWorker Web User Interface (NWUI)

Het proces in dit artikel is gericht op het gebruik van scripts die bij de NetWorker-software worden geleverd. NetWorker-authenticatieserver omvat: authc_config Scriptsjablonen op de volgende locatie:

Maak een kopie van het benodigde sjabloonbestand en verwijder het .template van de bestandsnaam. Dit laat je achter met een .bat of .sh script dat moet worden uitgevoerd vanaf de opdrachtregel nadat het is ingevuld met de gegevens van de externe instantie.

authc_config -u administrator -p <password> -e add-config \
-D "config-tenant-id=<tenant_id>" \
-D "config-active-directory=y" \
-D "config-name=<authority_name>" \
-D "config-domain=<domain_name>" \
-D "config-server-address=<protocol>://<hostname_or_ip_address>:<port>/<base_dn>" \
-D "config-user-dn=<user_dn>" \
-D "config-user-dn-password=<user_password>" \
-D "config-user-search-path=<user_search_path>" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=<user_object_class>" \
-D "config-group-search-path=<group_search_path>" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=n" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

De volgende tabel beschrijft de parameters die in het configuratiebestand zijn gedefinieerd.

config-tenant-id	Tenants kunnen worden gebruikt in omgevingen waar meer dan één verificatiemethode kan worden gebruikt of wanneer meerdere bevoegdheden moeten worden geconfigureerd. Het maken van een tenant is optioneel. U kunt de standaardtenant gebruiken, config-tenant-id=1. Wanneer de standaard tenant wordt gebruikt, kunt u inloggen bij de NMC met "domain\user" Wanneer een tenant (anders dan standaard wordt gebruikt), moet u deze tijdens de authenticatie "tenant\domain\user" opgeven
config-active-directory	Als u een Microsoft Active Directory (AD)-server gebruikt: y. Dit is de standaardinstelling in de authc-create-ad-config.x.template.  Als u een LDAP-server gebruikt (bijv. OpenLDAP): n. Dit is de standaardinstelling in de authc-create-ldap-config.x.template.
config-name	Deze naam is slechts een id voor de authenticatieconfiguratie die wordt toegevoegd aan NetWorker.
config-domain	Dit is de domeinnaam die wordt gebruikt om in te loggen op NetWorker, bijvoorbeeld: networker.lan. Dit veld moet overeenkomen met de Domain Component (DC)-waarden van het domein.
config-server-address	<protocol>://<hostname_or_ip_address>:<port>/<base_dn> Protocol Specificeren ldap als er niet-SSL-communicatie wordt gebruikt. Specificeren ldaps als u SSL-communicatie configureert. ldap of ldaps moet kleine letters zijn. Hostnaam/IP-adres: Geef de volledig oplosbare hostnaam of het IP-adres van uw AD- of LDAP-server op. Poort Als u LDAP gebruikt, geeft u poort 389 op. Als u LDAPS gebruikt, geeft u poort 636 op. Basis-DN: Geef uw DN (Base Distinguished Name) op, die bestaat uit de DC-waarden (Domain Component) van uw domein, bijvoorbeeld: DC=my,DC=domain,DC=com.
config-user-dn	Geef de volledige DN (Distinguished Name) op van een gebruikersaccount dat volledige leestoegang heeft tot de LDAP- of AD-directory, bijvoorbeeld: CN=Administrator,CN=Users,DC=my,DC=domain,DC=com.
config-user-dn-password	Geef het wachtwoord op voor het account dat is opgegeven in de config-user-dn.
config-user-search-path	Dit veld kan leeg worden gelaten, in welk geval authc het volledige domein kan opvragen. Er moeten machtigingen worden verleend voor NMC/NetWorker-servertoegang voordat deze gebruikers/groepen zich kunnen aanmelden bij NMC en de NetWorker-server kunnen beheren. Als er een basis-DN is opgegeven in de config-server-address, specificeert u het relatieve pad (exclusief de basis-DN) naar het domein.
config-user-id-attr	De gebruikers-ID die is gekoppeld aan het gebruikersobject in de LDAP- of AD-hiërarchie. Voor LDAP is dit kenmerk vaak uid. Voor AD is dit kenmerk vaak sAMAccountName.
config-user-object-class	De objectklasse die de gebruikers in de LDAP- of AD-hiërarchie identificeert. Bijvoorbeeld: inetOrgPerson (LDAP) of user - Toegevoegd.
config-group-search-path	Vind ik leuk config-user-search-path Dit veld kan in dat geval leeg worden gelaten authc is in staat om het volledige domein te doorzoeken. Als er een basis-DN is opgegeven in de config-server-address, specificeert u het relatieve pad (exclusief de basis-DN) naar het domein.
config-group-name-attr	Het kenmerk dat de groepsnaam identificeert. Bijvoorbeeld, cn
config-group-object-class	De objectklasse die groepen in de LDAP- of AD-hiërarchie identificeert. Gebruik voor LDAP groupOfUniqueNames of groupOfNames OPMERKING: Er zijn nog andere groepsobjectklassen naast groupOfUniqueNames en groupOfNames.  Gebruik de objectklasse die is geconfigureerd in de LDAP-server. Voor AD gebruikt u group
config-group-member-attr	Het groepslidmaatschap van de gebruiker binnen een groep Voor LDAP: Wanneer de groepsobjectklasse groupOfNames, wordt het kenmerk vaak member. Wanneer de groepsobjectklasse groupOfUniqueNames, wordt het kenmerk vaak uniquemember.  Voor AD is de waarde gewoonlijk member.
config-user-search-filter	Optioneel Het filter dat de NetWorker Authentication Service kan gebruiken om gebruikerszoekopdrachten uit te voeren in de LDAP- of AD-hiërarchie. RFC 2254 Definieert de filterindeling.
config-group-search-filter	Optioneel Het filter dat de NetWorker Authentication Service kan gebruiken om groepszoekopdrachten uit te voeren in de LDAP- of AD-hiërarchie. RFC 2254 Definieert de filterindeling.
config-search-subtree	Optioneel A yes of no waarde die aangeeft of de externe autoriteit subboomzoekopdrachten moet uitvoeren. Standaardwaarde: no
config-user-group-attr	Optioneel Deze optie ondersteunt configuraties die het groepslidmaatschap voor een gebruiker identificeren binnen de eigenschappen van het gebruikersobject. Geef bijvoorbeeld voor AD het kenmerk op memberOf.
config-object-class	Optioneel De objectklasse van de externe verificatie-instantie. Bekijk materiaal RFC 4512 Definieert de objectklasse. Standaardwaarde objectclass.

authc_config -u administrator -p 'NetWorker_Administrator_Password' -e add-config \
-D "config-tenant-id=1" \
-D "config-active-directory=y" \
-D "config-name=ad" \
-D "config-domain=networker.lan" \
-D "config-server-address=ldaps://dc.networker.lan:636/DC=networker,DC=lan" \
-D "config-user-dn=CN=Administrator,CN=Users,DC=networker,DC=lan" \
-D "config-user-dn-password=XXXXXXXX" \
-D "config-user-search-path=" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=user" \
-D "config-group-search-path=" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=y" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

Zodra het script is ingevuld, voert u het uit vanaf een beheerdersopdrachtprompt (Windows) of SSH-rootsessie (Linux).

[root@nsr ~]# /opt/nsr/authc-server/scripts/authc-create-ad-config.sh
Configuration ad is created successfully.

NMC configureren om externe authenticatie te accepteren:

1. Meld u aan bij NMC als het standaard NetWorker Administrator-account.
2. Ga naar Setup-->Users and Roles-->NMC Roles.
3. Voeg de groeps-DN die in de bovenstaande stap is verzameld toe aan het veld "Externe rollen" van de juiste rollen voor die AD-groep. Volledige beheerders moeten de rollen Console Application Administrator en Console Security Administrator hebben. (Zie de NetWorker Security Configuration Guide voor meer informatie over deze rollen.)

 

De machtigingen voor externe gebruikers van de NetWorker-server configureren:

1. Maak verbinding met de NetWorker-server als het standaard NetWorker Administrator-account.
2. Ga naar Server-->User Groups. 
3. Voeg de groeps-DN toe aan het veld "Externe rollen" van de juiste rollen voor die AD-groep. Volledige beheerders moeten de machtigingen "Application Administrators" en "Security Administrators" hebben.

Als alternatief kan dit worden bereikt met behulp van de nsraddadmin opdracht op de NetWorker-server:

nsraddadmin -e "USER/GROUP_DN"

Voorbeeld:

[root@nsr ~]#  nsraddadmin -e "CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Security Administrators' user group.
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Application Administrators' user group.

Toegang tot het NMC:

U moet toegang hebben tot de NMC en NetWorker-server met de externe gebruikers die hiervoor toestemming hebben gekregen.

Na het inloggen verschijnt de AD/LDAP-gebruikersnaam in de rechterbovenhoek van de NMC:

Extra beveiligingsmachtigingen

(OPTIONEEL) Als u wilt dat een AD/LDAP-groep externe instanties kan beheren, moet u het volgende doen op de NetWorker-server.
 
Met behulp van de AD-groep DN die u wilt verlenen FULL_CONTROL Toestemming om uit te voeren:

authc_config -u Administrator -p 'NetWorker_Administrator_Password' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="AD/LDAP_group_dn"

Voorbeeld:

[root@nsr ~]# authc_config -u Administrator -p '!Password1' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
Permission FULL_CONTROL is created successfully.

nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-permissions
The query returns 2 records.
Permission Id Permission Name Group DN Pattern                Group DN
1             FULL_CONTROL    ^cn=Administrators,cn=Groups.*$
2             FULL_CONTROL                                    CN=NetWorker_Admins,OU=DELL,dc=networ...

AD and LDAP Integration and Configuration Triage Guide