NetWorker: Як використовувати скрипти authc_config для налаштування автентифікації LDAPS

Цю статтю можна розділити на такі розділи. Уважно ознайомтеся з кожним розділом перед тим, як рухатися далі:

Підготовчі дії

• Визначте, який хост є authc Сервер Це корисно у великих датазонах NetWorker. У менших дата-зонах з одним сервером NetWorker сервер NetWorker є сервером автентифікації. 
• Визначте, яке середовище виконання Java використовується для сервісу автентифікації.
• Встановіть змінні командного рядка для полегшення імпорту сертифікатів CA, що використовуються для SSL, з зовнішньою автентифікацією NetWorker.

Налаштування SSL:

• Імпортуйте сертифікати, що використовуються для автентифікації LDAPS, у середовище виконання сервісів автентифікації cacerts Ключ-магазин.

Налаштування ресурсу зовнішнього авторитету:

• Створіть зовнішній авторитетний ресурс у сервісі автентифікації.
• Визначте зовнішніх користувачів або групи, які використовуються для NetWorker.
• Визначте, які зовнішні користувачі або групи мають доступ до NetWorker Management Console (NMC).
• Визначте дозволи сервера NetWorker, які мають зовнішні користувачі та групи.
• (За бажанням) Налаштуйте FULL_CONTROL права безпеки для зовнішнього користувача або групи.

Підготовчі дії

Щоб використовувати LDAPS, потрібно імпортувати сертифікат CA (або ланцюжок сертифікатів) із сервера LDAPS у Java сервера автентифікації NetWorker cacerts Ключ-магазин.

1. Визначте, який хост є сервером автентифікації NetWorker. Це можна перевірити на сервері NetWorker Management Console (NMC) gstd.conf Файл:

2. На сервері автентифікації NetWorker ідентифікуйте використаний екземпляр Java.

1. 1. 1. E. З адміністративного рядка встановіть командні змінні, які вказують шлях встановлення java, визначений на вище кроці:

set JAVA="Path\to\java"

   

Linux

1. 1. 1. A. Перевірте /nsr/authc/conf/installrc щоб побачити, яке Java-розташування використовувалося при налаштування сервісу автентифікації:

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

        B. ​​​​Встановіть змінні командного рядка, які вказують шлях встановлення Java, визначений на кроці вище.

JAVA=/path/to/java

Приклад:

 

Полегшує java keytool команд у «Налаштування SSL» і забезпечує правильне виконання cacerts файл імпортує сертифікат CA. Ця змінна видаляється після закриття сесії командного рядка і не заважає жодній іншій операції NetWorker.

Налаштування SSL

Щоб використовувати LDAPS, потрібно імпортувати сертифікат CA (або ланцюг сертифікатів) з сервера LDAPS у довірчий сховище ключів JAVA. Це можна зробити за допомогою наступної процедури:

keytool [option] -keystore "FULL/PATH/TO/CACERTS" -storepass changeit

keytool [OPTION] -cacerts -storepass changeit

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

openssl s_client -showcerts -connect LDAPS_SERVER:636

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
ADBPMRUwEwYKCZImiZPyLGQBGRYFbG9jYWwxFjAUBgoJkiaJk/IsZAEZFgZlbWNs
...
7NZfi9DiEBhpFmbF8xP96qB/kTJC+29t/0VE8Fvlg87fRhs5BceIoX8nUnetNCdm
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 18xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

net stop nsrd
net start nsrd

nsr_shutdown
service networker start

Налаштування ресурсу зовнішнього авторитету

Цей процес можна виконувати через NetWorker Management Console (NMC) або веб-інтерфейс користувача NetWorker:

• NetWorker: Як налаштувати автентифікацію LDAPS
• NetWorker: Як налаштувати «AD over SSL» (LDAPS) з веб-інтерфейсу користувача NetWorker (NWUI)

Процес у цій статті зосереджений на використанні скриптів, наданих у програмному забезпеченні NetWorker. Сервер автентифікації NetWorker включає authc_config Шаблони сценаріїв у наступному місці:

Створіть копію потрібного шаблону і видаліть .template з назви файлу. Це залишає вас із .bat або .sh скрипт, який запускається з командного рядка після заповнення його зовнішніми деталями авторитету.

authc_config -u administrator -p <password> -e add-config \
-D "config-tenant-id=<tenant_id>" \
-D "config-active-directory=y" \
-D "config-name=<authority_name>" \
-D "config-domain=<domain_name>" \
-D "config-server-address=<protocol>://<hostname_or_ip_address>:<port>/<base_dn>" \
-D "config-user-dn=<user_dn>" \
-D "config-user-dn-password=<user_password>" \
-D "config-user-search-path=<user_search_path>" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=<user_object_class>" \
-D "config-group-search-path=<group_search_path>" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=n" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

Наступна таблиця детально описує параметри, визначені у файлі конфігурації.

config-tenant-id	Орендарі можуть використовуватися в середовищах, де може застосовуватися більше одного методу автентифікації або де потрібно налаштувати кілька авторитетів. Створення орендаря є необов'язковим. Ви можете використовувати стандартний орендар, config-tenant-id=1. Коли використовується стандартний орендар, ви можете увійти до NMC за допомогою «domain\user» Коли використовується орендар (окрім стандарту), ви повинні вказати його під час автентифікації як «tenant\domain\user»
config-active-directory	Якщо ви використовуєте сервер Microsoft Active Directory (AD): y. Це налаштування за замовчуванням у authc-create-ad-config.x.template.  Якщо ви використовуєте LDAP-сервер (наприклад, OpenLDAP): n. Це налаштування за замовчуванням у authc-create-ldap-config.x.template.
config-name	Ця назва є лише ідентифікатором конфігурації автентифікації, доданої до NetWorker.
config-domain	Це доменне ім'я, яке використовується для входу в NetWorker, наприклад: networker.lan. Це поле має відповідати значенням компонента домену (DC) домену.
config-server-address	<protocol>://<hostname_or_ip_address>:<port>/<base_dn> Протоколи Вкажіть ldap якщо використовується не-SSL-комунікація. Вкажіть ldaps якщо ви налаштовуєте SSL-комунікацію. ldap або ldaps мабуть, малі літери. Ім'я хоста/IP-адреса: Вкажіть повністю розв'язуваний ім'я хоста або IP-адресу вашого сервера AD або LDAP. Port (Порт) Якщо ви використовуєте LDAP, вкажіть порт 389. Якщо ви використовуєте LDAPS, вкажіть порт 636. Base-DN: Вкажіть своє базове відзначене ім'я (DN), яке складається зі значень компонента домену (DC) домену, наприклад: DC=my,DC=domain,DC=com.
config-user-dn	Вкажіть повне Distinguished Name (DN) облікового запису, який має повний доступ до каталогу LDAP або AD, наприклад: CN=Administrator,CN=Users,DC=my,DC=domain,DC=com.
config-user-dn-password	Вкажіть пароль для облікового запису, вказаного в config-user-dn.
config-user-search-path	Це поле можна залишити порожнім, у такому разі authc може запитувати повний домен. Для доступу до сервера NMC/NetWorker необхідно надати дозволи, перш ніж ці користувачі/групи зможуть увійти в NMC і керувати сервером NetWorker. Якщо базовий DN був вказаний у config-server-address, вказує відносний шлях (за винятком базового DN) до домену.
config-user-id-attr	Ідентифікатор користувача, пов'язаний із об'єктом користувача в ієрархії LDAP або AD. Для LDAP ця характеристика зазвичай є uid. Для AD ця характеристика зазвичай є sAMAccountName.
config-user-object-class	Клас об'єкта, який ідентифікує користувачів у ієрархії LDAP або AD. Наприклад, inetOrgPerson (LDAP) або user (AD)
config-group-search-path	Наприклад, config-user-search-path У такому випадку це поле можна залишити порожнім authc здатний робити запити до повного домену. Якщо базовий DN був вказаний у config-server-address, вказує відносний шлях (за винятком базового DN) до домену.
config-group-name-attr	Атрибут, що ідентифікує назву групи. Приклад: cn
config-group-object-class	Клас об'єктів, який ідентифікує групи в ієрархії LDAP або AD. Для LDAP використовуйте groupOfUniqueNames або groupOfNames ПРИМІТКА:: Існують й інші класи групових об'єктів, окрім groupOfUniqueNames та groupOfNames.  Використовуйте будь-який клас об'єктів, налаштований на LDAP-сервері. Для AD, використання group
config-group-member-attr	Членство користувача в групі Щодо LDAP: Коли клас об'єкта групи — groupOfNames, атрибут зазвичай є member. Коли клас об'єкта групи — groupOfUniqueNames, атрибут зазвичай є uniquemember.  Для AD значення зазвичай є member.
config-user-search-filter	Додатково Фільтр, який сервіс автентифікації NetWorker може використовувати для виконання пошуку користувачів у ієрархії LDAP або AD. RFC 2254 Визначає формат фільтра.
config-group-search-filter	Додатково Фільтр, який сервіс аутентифікації NetWorker може використовувати для виконання групового пошуку в ієрархії LDAP або AD. RFC 2254 Визначає формат фільтра.
config-search-subtree	Додатково A yes або no значення, яке визначає, чи повинен зовнішній орган виконувати пошук у піддеревах. Значення за замовчуванням: no
config-user-group-attr	Додатково Ця опція підтримує конфігурації, які ідентифікують групове членство користувача в властивостях об'єкта користувача. Наприклад, для AD вкажіть атрибут memberOf.
config-object-class	Додатково Клас об'єктів зовнішнього органу автентифікації. RFC 4512 визначає клас об'єкта. Значення за замовчуванням objectclass.

authc_config -u administrator -p 'NetWorker_Administrator_Password' -e add-config \
-D "config-tenant-id=1" \
-D "config-active-directory=y" \
-D "config-name=ad" \
-D "config-domain=networker.lan" \
-D "config-server-address=ldaps://dc.networker.lan:636/DC=networker,DC=lan" \
-D "config-user-dn=CN=Administrator,CN=Users,DC=networker,DC=lan" \
-D "config-user-dn-password=XXXXXXXX" \
-D "config-user-search-path=" \
-D "config-user-id-attr=sAMAccountName" \
-D "config-user-object-class=user" \
-D "config-group-search-path=" \
-D "config-group-name-attr=cn" \
-D "config-group-object-class=group" \
-D "config-group-member-attr=member" \
-D "config-user-search-filter=" \
-D "config-group-search-filter=" \
-D "config-search-subtree=y" \
-D "config-user-group-attr=memberOf" \
-D "config-object-class=objectClass"

Після заповнення скрипта запускайте його з командного рядка адміністратора (Windows) або кореневої SSH-сесії (Linux).

[root@nsr ~]# /opt/nsr/authc-server/scripts/authc-create-ad-config.sh
Configuration ad is created successfully.

Налаштування NMC для прийому зовнішньої автентифікації:

1. Увійдіть у NMC як стандартний обліковий запис адміністратора NetWorker.
2. Перейдіть у розділ Налаштування — Користувачі> та Ролі —> Ролі NMC.
3. Додайте груповий DN, зібраний із наведеного вище кроку, до поля «Зовнішні ролі» відповідних ролей для цієї групи AD. Повні адміністратори повинні мати ролі «Адміністратор консольного додатку» та «Адміністратор безпеки консолі». (Див. Посібник з конфігурації безпеки NetWorker для отримання додаткової інформації про ці ролі.)

 

Налаштування зовнішніх прав користувача сервера NetWorker:

1. Як стандартний обліковий запис адміністратора NetWorker, підключайтеся до сервера NetWorker.
2. Перейдіть на сервер —> групи користувачів. 
3. Додайте DN групи до поля «Зовнішні ролі» відповідних ролей для цієї групи AD. Повні адміністратори повинні мати права «Адміністратори додатків» та «Адміністратори безпеки».

Альтернативно, це можна зробити за допомогою nsraddadmin на сервері NetWorker:

nsraddadmin -e "USER/GROUP_DN"

Приклад:

[root@nsr ~]#  nsraddadmin -e "CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Security Administrators' user group.
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Application Administrators' user group.

Доступ до NMC:

Ви повинні мати доступ до сервера NMC і NetWorker разом із зовнішніми користувачами, яким було надано на це дозвіл.

Після входу ім'я користувача AD/LDAP з'являється у верхньому правому куті NMC:

Додаткові дозволи безпеки

(ЗА БАЖАННЯМ) Якщо ви хочете, щоб група AD/LDAP могла керувати зовнішніми авторитетами, потрібно виконати наступне на сервері NetWorker.
 
Використовуючи DN групи AD, яку ви хочете надати FULL_CONTROL Дозвіл на запуск:

authc_config -u Administrator -p 'NetWorker_Administrator_Password' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="AD/LDAP_group_dn"

Приклад:

[root@nsr ~]# authc_config -u Administrator -p '!Password1' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
Permission FULL_CONTROL is created successfully.

nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-permissions
The query returns 2 records.
Permission Id Permission Name Group DN Pattern                Group DN
1             FULL_CONTROL    ^cn=Administrators,cn=Groups.*$
2             FULL_CONTROL                                    CN=NetWorker_Admins,OU=DELL,dc=networ...

NetWorker: інтеграція та налаштування AD та LDAP (Посібник з усунення несправностей)