NetWorker: Så här använder du authc_config skript för att konfigurera LDAPS-autentisering

Den här artikeln kan delas upp i följande avsnitt. Läs igenom varje avsnitt noggrant innan du fortsätter:

Förutsättningar:

• Ta reda på vilken värd som är authc server Detta är användbart i större NetWorker-datazoner. I mindre datazoner med en enda NetWorker-server är NetWorker-servern autentiseringsservern. 
• Ta reda på vilken Java Runtime-miljö som används för autentiseringstjänsten.
• Ange kommandoradsvariabler för att underlätta import av CA-certifikat som används för SSL med NetWorker extern autentisering.

Konfigurera SSL:

• Importera certifikaten som används för LDAPS-autentisering till körningsmiljön för autentiseringstjänster cacerts nyckelbehållare.

Konfigurera resursen för extern utfärdare:

• Skapa resursen för extern utfärdare i autentiseringstjänsten.
• Bestäm vilka externa användare eller grupper som ska användas för NetWorker.
• Definiera vilka externa användare eller grupper som har åtkomst till NetWorker Management Console (NMC).
• Definiera de NetWorker-serverbehörigheter som externa användare och grupper har.
• (Valfritt) Konfigurera FULL_CONTROL säkerhetsbehörigheter för en extern användare eller grupp.

Förutsättningar:

Om du vill använda LDAPS måste du importera CA-certifikatet (eller certifikatkedjan) från LDAPS-servern till NetWorker-autentiseringsserverns Java cacerts nyckelbehållare.

1. Ta reda på vilken värd som är NetWorker-autentiseringsservern. Detta kan valideras i NetWorker Management Console-serverns (NMC) gstd.conf Filer:

2. Identifiera den Java-instans som används på NetWorker-autentiseringsservern.

1. 1. 1. E. Från en administrativ kommandotolk anger du kommandoradsvariabler som anger java-installationssökvägen som bestämdes i steget ovan:

set JAVA="Path\to\java"

   

Linux:

1. 1. 1. A. Kontrollera /nsr/authc/conf/installrc för att se vilken Java-plats som användes när autentiseringstjänsten konfigurerades:

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

        B. ​​​​Ange kommandoradsvariabler som anger java-installationssökvägen som bestämdes i steget ovan.

JAVA=/path/to/java

Exempel:

 

Underlättar java keytool kommandon i Ställa in SSL och ser till att rätt cacerts importerar CA-certifikatet. Den här variabeln tas bort när kommandoradssessionen stängs och stör inte några andra NetWorker-åtgärder.

Konfigurera SSL

Om du vill använda LDAPS måste du importera CA-certifikatet (eller certifikatkedjan) från LDAPS-servern till JAVA-förtroendenyckelarkivet. Detta kan göras med följande procedur:

keytool [option] -keystore "FULL/PATH/TO/CACERTS" -storepass changeit

keytool [OPTION] -cacerts -storepass changeit

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

openssl s_client -showcerts -connect LDAPS_SERVER:636

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
ADBPMRUwEwYKCZImiZPyLGQBGRYFbG9jYWwxFjAUBgoJkiaJk/IsZAEZFgZlbWNs
...
7NZfi9DiEBhpFmbF8xP96qB/kTJC+29t/0VE8Fvlg87fRhs5BceIoX8nUnetNCdm
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 18xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

net stop nsrd
net start nsrd

nsr_shutdown
service networker start

Konfigurera resursen för extern utfärdare

Den här processen kan utföras från NetWorker Management Console (NMC) eller NetWorker-webbanvändargränssnittet:

• NetWorker: Så konfigurerar du LDAPS-autentisering
• NetWorker: Så här konfigurerar du "AD över SSL" (LDAPS) från NetWorker-webbanvändargränssnittet (NWUI)

Processen i den här artikeln fokuserar på att använda skript som medföljer NetWorker-mjukvaran. NetWorker-autentiseringsservern omfattar authc_config Skriptmallar på följande plats:

Skapa en kopia av den mallfil som behövs och ta bort .template från filnamnet. Detta ger dig en .bat eller .sh skript som ska köras från kommandoraden efter att den har fyllts i med information om extern utfärdare.

authc_config -u administrator -p <password> -e add-config \
-D "config-tenant-id=<tenant_id>" \
-D "config-active-directory=y" \
-D "config-name=<authority_name>" \
-D "config-domain=<domain_name>" \
-D "config-server-address=<protocol>://<hostname_or_ip_address>:<port>/<base_dn>" \
-D "config-user-dn=<user_dn>" \
-D "config-user-dn-password=<user_password>" \
-D "config-user-search-path=<user_search_path>" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=<user_object_class>" \
-D "config-group-search-path=<group_search_path>" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=n" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

I följande tabell beskrivs de parametrar som definierats i konfigurationsfilen.

config-tenant-id	Klienter kan användas i miljöer där mer än en autentiseringsmetod kan användas eller när flera myndigheter måste konfigureras. Det är valfritt att skapa en klientorganisation. Du kan använda standardklientorganisationen, config-tenant-id=1. När standardklienten används kan du logga in på NMC med hjälp av "domän\användare" När en klientorganisation (annan än standard används) måste du ange den under autentiseringen "klientorganisation\domän\användare"
config-active-directory	Om du använder en Microsoft Active Directory-server (AD): y. Det här är standardinställningen i authc-create-ad-config.x.template.  Om du använder en LDAP-server (t.ex. OpenLDAP): n. Det här är standardinställningen i authc-create-ldap-config.x.template.
config-name	Det här namnet är bara en identifierare för den autentiseringskonfiguration som läggs till i NetWorker.
config-domain	Detta är det domännamn som används för att logga in på NetWorker, till exempel: networker.lan. Det här fältet ska matcha domänkomponentens (DC) värden.
config-server-address	<protocol>://<hostname_or_ip_address>:<port>/<base_dn> Protokoll Specificera ldap om icke-SSL-kommunikation används. Specificera ldaps om du konfigurerar SSL-kommunikation. ldap eller ldaps Måste skrivas med gemener. Värdnamn/IP-adress: Ange det helt matchningsbara värdnamnet eller IP-adressen för AD- eller LDAP-servern. Port Om du använder LDAP anger du port 389. Om du använder LDAPS anger du port 636. Bas-DN: Ange ditt unika basnamn (DN) som består av domänkomponentvärdena (DC) för din domän, till exempel: DC=my,DC=domain,DC=com.
config-user-dn	Ange det fullständiga unika namnet (DN) för ett användarkonto som har fullständig läsbehörighet till LDAP- eller AD-katalogen, till exempel: CN=Administrator,CN=Users,DC=my,DC=domain,DC=com.
config-user-dn-password	Ange lösenordet för det konto som anges i config-user-dn.
config-user-search-path	Det här fältet kan lämnas tomt, i vilket fall authc kan fråga hela domänen. Behörigheter måste beviljas för NMC/NetWorker-serveråtkomst innan dessa användare/grupper kan logga in på NMC och hantera NetWorker-servern. Om ett bas-DN angavs i config-server-addressanger du den relativa sökvägen (exklusive bas-DN) till domänen.
config-user-id-attr	Det användar-ID som är associerat med användarobjektet i LDAP- eller AD-hierarkin. För LDAP är det här attributet ofta uid. För AD är det här attributet ofta sAMAccountName.
config-user-object-class	Objektklassen som identifierar användarna i LDAP- eller AD-hierarkin. Till exempel, inetOrgPerson (LDAP) eller user Tillagt:
config-group-search-path	Gilla config-user-search-path Detta fält kan lämnas tomt, i vilket fall authc kan fråga den fullständiga domänen. Om ett bas-DN angavs i config-server-addressanger du den relativa sökvägen (exklusive bas-DN) till domänen.
config-group-name-attr	Attributet som identifierar gruppnamnet. Till exempel, cn
config-group-object-class	Objektklassen som identifierar grupper i LDAP- eller AD-hierarkin. För LDAP använder du groupOfUniqueNames eller groupOfNames Det finns andra gruppobjektklasser förutom groupOfUniqueNames och groupOfNames.  Använd den objektklass som är konfigurerad på LDAP-servern. För AD använder du group
config-group-member-attr	Gruppmedlemskapet för användaren i en grupp För LDAP: När gruppobjektklassen är groupOfNamesär attributet vanligen member. När gruppobjektklassen är groupOfUniqueNamesär attributet vanligen uniquemember.  För AD är värdet vanligtvis member.
config-user-search-filter	(tillval) Det filter som NetWorker-autentiseringstjänsten kan använda för att utföra användarsökningar i LDAP- eller AD-hierarkin. RFC 2254 Definierar filterformatet.
config-group-search-filter	(tillval) Det filter som NetWorker-autentiseringstjänsten kan använda för att utföra gruppsökningar i LDAP- eller AD-hierarkin. RFC 2254 Definierar filterformatet.
config-search-subtree	(tillval) A yes eller no som anger om den externa utfärdaren ska utföra underträdssökningar. Standardvärde: no
config-user-group-attr	(tillval) Det här alternativet stöder konfigurationer som identifierar gruppmedlemskapet för en användare i egenskaperna för användarobjektet. För AD anger du till exempel attributet memberOf.
config-object-class	(tillval) Objektklassen för den externa autentiseringsutfärdaren. RFC 4512 Definierar klassen Object. Standardvärde objectclass.

authc_config -u administrator -p 'NetWorker_Administrator_Password' -e add-config \
-D "config-tenant-id=1" \
-D "config-active-directory=y" \
-D "config-name=ad" \
-D "config-domain=networker.lan" \
-D "config-server-address=ldaps://dc.networker.lan:636/DC=networker,DC=lan" \
-D "config-user-dn=CN=Administrator,CN=Users,DC=networker,DC=lan" \
-D "config-user-dn-password=XXXXXXXX" \
-D "config-user-search-path=" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=user" \
-D "config-group-search-path=" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=y" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

När skriptet har fyllts i kör du det från en kommandotolk (Windows) eller SSH-rotsession (Linux).

[root@nsr ~]# /opt/nsr/authc-server/scripts/authc-create-ad-config.sh
Configuration ad is created successfully.

Konfigurera NMC att acceptera extern autentisering:

1. Logga in på NMC som NetWorker-standardadministratörskonto.
2. Gå till Konfiguration –> Användare och roller –> NMC-roller.
3. Lägg till grupp-DN som samlats in från steget ovan i fältet "Externa roller" för lämpliga roller för den AD-gruppen. Fullständiga administratörer ska ha rollerna "Konsolprogramadministratör" och "Konsolsäkerhetsadministratör". (Mer information om dessa roller finns i NetWorker Security Configuration Guide.)

 

Konfigurera externa användarbehörigheter för NetWorker-servern:

1. Som NetWorker-administratörskonto ansluter du till NetWorker-servern.
2. Gå till Server –> User Groups. 
3. Lägg till gruppens DN i fältet "Externa roller" för lämpliga roller för den AD-gruppen. Fullständiga administratörer ska ha behörigheterna "Programadministratörer" och "Säkerhetsadministratörer".

Alternativt kan detta åstadkommas med hjälp av nsraddadmin kommandot på NetWorker-servern:

nsraddadmin -e "USER/GROUP_DN"

Exempel:

[root@nsr ~]#  nsraddadmin -e "CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Security Administrators' user group.
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Application Administrators' user group.

Få åtkomst till NMC:

Du bör ha åtkomst till NMC- och NetWorker-servern med de externa användare som har beviljats behörighet att göra det.

När du har loggat in visas AD/LDAP-användarnamnet i det övre högra hörnet av NMC:

Extra säkerhetsbehörigheter

(VALFRITT) Om du vill att en AD/LDAP-grupp ska kunna hantera externa utfärdare måste du göra följande på NetWorker-servern.
 
Använda det AD-grupp-DN som du vill bevilja FULL_CONTROL Behörighet att köra:

authc_config -u Administrator -p 'NetWorker_Administrator_Password' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="AD/LDAP_group_dn"

Exempel:

[root@nsr ~]# authc_config -u Administrator -p '!Password1' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
Permission FULL_CONTROL is created successfully.

nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-permissions
The query returns 2 records.
Permission Id Permission Name Group DN Pattern                Group DN
1             FULL_CONTROL    ^cn=Administrators,cn=Groups.*$
2             FULL_CONTROL                                    CN=NetWorker_Admins,OU=DELL,dc=networ...

Prioriteringsmanual för integrering och konfiguration av AD och LDAP