NetWorker: LDAPS 인증을 구성하는 방법

LDAPS를 사용하려면 CA 인증서(또는 인증서 체인)를 LDAPS 서버에서 NetWorker 인증 서버의 Java cacerts 키 저장소로 가져와야 합니다.

1. 어느 호스트가 NetWorker Authentication 서버인지 확인합니다. 이는 NMC(NetWorker Management Console) 서버의 gstd.conf 파일에서 확인할 수 있습니다.

2. NetWorker Authentication Server에서 사용된 Java 인스턴스를 식별합니다.

1. 1. E. 관리 명령 프롬프트에서 위 단계에서 결정된 Java 설치 경로를 지정하는 명령줄 변수를 설정합니다.

set JAVA="Path\to\java"

   

Linux:

A. 확인 /nsr/authc/conf/installrc 인증 서비스를 구성할 때 사용된 Java 위치를 확인하는 파일:

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

B. 위 단계에서 결정된 Java 설치 경로를 지정하는 명령줄 변수를 설정합니다.

JAVA=/path/to/java

예:

 

Java 촉진 keytool SSL 설정의 명령을 실행하고 올바른 cacerts file은 CA 인증서를 가져옵니다. 명령줄 세션이 닫히면 이 변수가 제거되고 다른 NetWorker 작업에 방해가 되지 않습니다.

LDAPS를 사용하려면 CA 인증서(또는 인증서 체인)를 LDAPS 서버에서 JAVA 신뢰 키 저장소로 가져와야 합니다. 이 작업은 다음 절차에 따라 수행할 수 있습니다.

인증 서버에서 루트 CA 인증서(및 구성된 경우 체인)를 가져옵니다.

Linux:

1. AUTHC(NetWorker Authentication) 서버에서 관리자 권한 프롬프트를 엽니다.
2. OpenSSL 툴을 사용하여 LDAPS 서버에서 CA 인증서의 복제본을 가져옵니다.

openssl s_client -showcerts -connect LDAPS_SERVER:636 2>/dev/null </dev/null

• Linux는 일반적으로 다음과 함께 제공됩니다. openssl 확인합니다. 환경에 Linux 서버가 있는 경우 다음을 사용할 수 있습니다. openssl 인증서 파일을 수집합니다. Windows에 복사하여 사용할 수 있습니다. authc 섬기는 사람.
• OpenSSL이 없고 설치할 수 없는 경우 AD 관리자에게 Base-64로 인코딩된 x.509 형식으로 내보내 하나 이상의 인증서를 제공하도록 요청합니다.
• 바꾸기 LDAPS_SERVER 을 LDAPS 서버의 호스트 이름 또는 IP 주소로 바꿉니다.

3. 위의 명령은 CA 인증서 또는 인증서 체인을 PEM(Privacy Enhanced Mail) 형식으로 출력합니다. 예:

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
...REMOVED FOR BREVITY...
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

$server = "EXTERNAL_AUTH_SERVER_ADDRESS"
$port   = 636

$tcp = New-Object System.Net.Sockets.TcpClient
$tcp.Connect($server, $port)

$ssl = New-Object System.Net.Security.SslStream(
    $tcp.GetStream(),
    $false,
    { param($sender,$cert,$chain,$errors) $true }
)

try {
    $ssl.AuthenticateAsClient($server)

    "=== Protocol ==="
    $ssl.SslProtocol
    "=== Cipher ==="
    "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
    ""
    "=== Server Certificate ==="

    $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)

    "Subject  : $($remoteCert.Subject)"
    "Issuer   : $($remoteCert.Issuer)"
    "NotBefore: $($remoteCert.NotBefore)"
    "NotAfter : $($remoteCert.NotAfter)"
    ""

    $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
    "-----BEGIN CERTIFICATE-----"
    $b64
    "-----END CERTIFICATE-----"
}
finally {
    $ssl.Dispose()
    $tcp.Dispose()
}

PS C:\Users\administrator.AMER> $server = "dc.amer.lan"
PS C:\Users\administrator.AMER> $port   = 636
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $tcp = New-Object System.Net.Sockets.TcpClient
PS C:\Users\administrator.AMER> $tcp.Connect($server, $port)
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $ssl = New-Object System.Net.Security.SslStream(
>>     $tcp.GetStream(),
>>     $false,
>>     { param($sender,$cert,$chain,$errors) $true }
>> )
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> try {
>>     $ssl.AuthenticateAsClient($server)
>>
>>     "=== Protocol ==="
>>     $ssl.SslProtocol
>>     "=== Cipher ==="
>>     "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
>>     ""
>>     "=== Server Certificate (exactly what the DC sends) ==="
>>
>>     $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)
>>
>>     "Subject  : $($remoteCert.Subject)"
>>     "Issuer   : $($remoteCert.Issuer)"
>>     "NotBefore: $($remoteCert.NotBefore)"
>>     "NotAfter : $($remoteCert.NotAfter)"
>>     ""
>>
>>     $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
>>     "-----BEGIN CERTIFICATE-----"
>>     $b64
>>     "-----END CERTIFICATE-----"
>> }
>> finally {
>>     $ssl.Dispose()
>>     $tcp.Dispose()
>> }
=== Protocol ===
Tls13
=== Cipher ===
Aes256 (256-bit)

=== Server Certificate ===
Subject  : CN=DC.amer.lan
Issuer   : CN=amer-DC-CA, DC=amer, DC=lan
NotBefore: 11/29/2025 01:17:22
NotAfter : 11/29/2026 01:17:22

-----BEGIN CERTIFICATE-----
MIIGDDCCBPSgAwIBAgITNAAAAAT93FoJVZwLkQAAAAAABDANBgkqhkiG9w0BAQsFADBAMRMwEQYK
...REMOVED FOR BREVITY...
c1HhZw24yOwFSOtTQg==
-----END CERTIFICATE-----

3. 시작 인증서를 복사합니다. ---BEGIN CERTIFICATE--- 로 끝남 ---END CERTIFICATE--- 을 클릭하고 새 파일에 붙여넣습니다. 인증서 체인이 있는 경우 각 인증서에 대해 이 작업을 수행해야 합니다.
4. 인증서 가져오기로 이동합니다.

인증서 가져오기:

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -list -cacerts -storepass changeit

$JAVA/bin/keytool -list -cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -cacerts -storepass changeit

$JAVA/bin/keytool -delete -alias ALIAS_NAME -cacerts -storepass changeit

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

%JAVA%\bin\keytool -import -alias ALIAS_NAME -cacerts -storepass changeit -file \PATH_TO\CERT_FILE

$JAVA/bin/keytool -import -alias ALIAS_NAME -cacerts -storepass changeit -file /PATH_TO/CERT_FILE

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 183db0ae21d3108244254c8aad129ecd
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

net stop nsrd
net start nsrd

nsr_shutdown
service networker start