NetWorker：如何從 NetWorker Web 使用者介面 (NWUI) 設定「AD over SSL」(LDAPS)

若要設定 SSL 驗證，請將根 CA (或 CA 鏈) 匯入 NetWorker 的 authc 伺服器所使用的 cacerts 檔案。在單一 NetWorker 伺服器環境中，伺服器是驗證伺服器；在較大的資料區域中，一部 authc 伺服器可以是多部伺服器的主要驗證伺服器。如需有關識別 authc 伺服器的指示，請參閱其他資訊欄位。

設定 AUTHC 以使用 SSL

Linux NetWorker 伺服器：

1. 將 SSH 工作階段開啟至 NetWorker authc 伺服器。
2. 切換至 root：

$ sudo su -

3. 使用 OpenSSL 從網域伺服器取得 CA 憑證 (或憑證鏈)：

# openssl s_client -connect DOMAIN_SERVER_ADDRESS:636 -showcerts

• 單一憑證：複製包含 -----BEGIN CERTIFICATE----- and -----END CERTIFICATE----- 的憑證，然後將其放入您選擇的位置中名為 RCAcert.crt 的檔案中。
• 憑證鏈：複製每個憑證 (包括其 -----BEGIN CERTIFICATE----- and -----END CERTIFICATE----- 欄位)，並將其放入個別檔案中。例如 ICA3cert.crt、ICA2cert.crt、ICA1cert.crt，最後是 RCAcert.crt。

4. 為了協助簡化該程序，請設定以下命令列變數：

# java_bin=<path to java bin dir>
*NOTE* For NetWorker Runtime Environment (NRE) this is /opt/nre/java/latest/bin. If you are using Oracle licensed Java Runtime Environment, specify the path to your JRE bin directory.
# RCAcert=<path to RCAcer.crt>
# ICA1cert=<path to ICA2cert.crt>
*NOTE* Only required if you are using a certificate chain, repeat this for each intermediate cert ICA2cert.crt, ICA3.crt and so forth.

[root@nsr certs]# java_bin=/opt/nre/java/latest/bin
[root@nsr certs]# RCAcert=/root/certs/RCAcert.crt
[root@nsr certs]#

5. 匯入憑證：

# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA3cert -storepass changeit
# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA2cert -storepass changeit
# $java_bin/keytool -import -alias ICA3 -keystore $java_bin/../lib/security/cacerts -file $ICA1cert -storepass changeit
# $java_bin/keytool -import -alias RCA -keystore $java_bin/../lib/security/cacerts -file $RCAcert -storepass changeit

# $java_bin/keytool -delete -alias ALIAS_NAME -keystore $java_bin/../lib/security/cacerts -storepass changeit

6. 重新啟動 NetWorker 伺服器服務。重新啟動服務會在 authc 啟動期間重新載入 cacerts 檔案。如果 NetWorker 服務在匯入憑證後未重新啟動，則在 NetWorker 中設定外部授權單位的程序會失敗，並顯示憑證相關錯誤。

# nsr_shutdown
# systemctl start networker

Windows NetWorker 伺服器：

1. 開啟系統管理員命令提示字元。
2. 設定下列變數：

set openssl="<path to openssl.exe file>"
*NOTE* This path can differ depending on how OpenSSL was installed.
set java_bin="<path to java bin directory>"
*NOTE* For NetWorker Runtime Environment (NRE) the default path is "C:\Program Files\NRE\java\jre#.#.#_###\bin". This path includes the NRE version specific Java version and build. When using Oracle licensed Java Runtime Environment, specify the path to the JRE bin directory.

C:\Users\administrator.AMER>set openssl="C:\Program Files\OpenSSL-Win64\bin\openssl.exe"
C:\Users\administrator.AMER>set java_bin="C:\Program Files\NRE\java\jre1.8.0_431\bin"
C:\Users\administrator.AMER>

3. 使用 OpenSSL 從網域伺服器取得 CA 憑證 (或憑證鏈)：

%openssl% s_client -connect DOMAIN_SERVER_ADDRESS:636 -showcerts

• 單一憑證：複製包含 -----BEGIN CERTIFICATE----- and -----END CERTIFICATE----- 的憑證，然後將其放入您選擇的位置中名為 RCAcert.crt 的檔案中。 
• 憑證鏈：複製每個憑證 (包括其 -----BEGIN CERTIFICATE----- and -----END CERTIFICATE----- 欄位)，並將其放入個別檔案中。例如 ICA3cert.crt、ICA2cert.crt、ICA1cert.crt，最後是 RCAcert.crt。 

4. 為根 CA 和任何中繼憑證設定命令列變數 (若使用)：

set RCAcert="<path to RCAcert.crt>"
set ICA1cert="<path to ICA1cert.crt>"

C:\Users\administrator.AMER>set RCAcert="C:\tmp\certs\RCAcert.crt"

5. 匯入憑證：

%java_bin%\keytool -import -alias ICA3 -keystore %java_bin%\..\lib\security\cacerts -file %ICA3cert% -storepass changeit
%java_bin%\keytool -import -alias ICA2 -keystore %java_bin%\..\lib\security\cacerts -file %ICA2cert% -storepass changeit
%java_bin%\keytool -import -alias ICA1 -keystore %java_bin%\..\lib\security\cacerts -file %ICA1cert% -storepass changeit
%java_bin%\keytool -import -alias RCA -keystore %java_bin%\..\lib\security\cacerts -file %RCAcert% -storepass changeit

%java_bin%\keytool -delete -alias ALIAS_NAME -keystore %java_bin%\..\lib\security\cacerts -storepass changeit

6. 重新啟動 NetWorker 伺服器服務。重新啟動服務會在 authc 啟動期間重新載入 cacerts 檔案。如果 NetWorker 服務在匯入憑證後未重新啟動，則在 NetWorker 中設定外部授權單位的程序會失敗，並顯示憑證相關錯誤。

net stop nsrd
net start nsrd

從 NWUI 建立「AD over SSL」外部授權單位資源。

1. 從網頁瀏覽器存取 NWUI 伺服器：https://nwui-server-name:9090/nwui
2. 使用 NetWorker 系統管理員帳戶登入。
3. 從功能表中展開驗證伺服器，然後按一下外部授權單位。
4. 在「外部授權單位」中，按一下新增+。
5. 填入組態欄位：

6. 完成後，按一下儲存。
7. 現在應會出現所設定的外部授權單位資源摘要：

8. 從伺服器 > 使用者群組功能表中，編輯包含您要委派給 AD/LDAP 群組或使用者之權限的使用者群組。例如，若要授予完整的系統管理員權限，請在應用程式管理員和安全性管理員角色的「外部角色」欄位中指定 AD 群組/使用者 DN。

例如，CN=NetWorker_Admins,DC=amer,DC=lan

這也可以從命令列完成：

nsraddadmin -e "Distinguished_Name"

nsr:~ # nsraddadmin -e "CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan"
134751:nsraddadmin: Added role 'CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan' to the 'Security Administrators' user group.
134751:nsraddadmin: Added role 'CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan' to the 'Application Administrators' user group.

9. 指定 AD 群組或使用者 DN 後，按一下儲存。 
10. 登出 NWUI 介面，然後使用 AD 帳戶重新登入：

11. 右上角的使用者圖示指示已登入哪個使用者帳戶。

確認用於 NetWorker 驗證的 AUTHC 伺服器
NetWorker Management Console (NMC) 伺服器的 gstd.conf 檔案會顯示用於處理登入要求的主機：

Linux： /opt/lgtonmc/etc/gstd.conf
Windows： C:\Program Files\EMC NetWorker\Management\GST\etc\gstd.conf

檢查檔案的 authsvc_hostname 值。authsvc_hostname 是 authc (驗證) 伺服器。

如何檢查 AD 群組成員資格並取得 NetWorker 權限所需的辨別名稱 (DN) 值：
您可以在 NetWorker 伺服器上使用 authcmgmt 命令，以確認可以看到 AD/LDAP 群組/使用者：

authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-users -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups-for-user -D query-tenant=tenant_name -D query-domain=domain_name -D user-name=ad_username

範例：

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-users -D query-tenant=default -D query-domain=amer.lan
The query returns 47 records.
User Name            Full Dn Name
Administrator        CN=Administrator,CN=Users,dc=amer,dc=lan
...
bkupadmin            CN=Backup Administrator,CN=Users,dc=amer,dc=lan

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups -D query-tenant=default -D query-domain=amer.lan
The query returns 72 records.
Group Name                              Full Dn Name
Administrators                          CN=Administrators,CN=Builtin,dc=amer,dc=lan
...
NetWorker_Admins                        CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan

[root@nsr ~]# authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups-for-user -D query-tenant=default -D query-domain=amer.lan -D user-name=bkupadmin
The query returns 1 records.
Group Name       Full Dn Name
NetWorker_Admins CN=NetWorker_Admins,OU=Groups,dc=amer,dc=lan

• NetWorker：如何使用 authc_config 指令檔設定 LDAP/AD
• NetWorker：如何設定 AD/LDAP 驗證
• NetWorker：如何重設系統管理員密碼
• NetWorker：LDAPS 整合失敗，並顯示「嘗試連線至 LDAPS 伺服器時發生 SSL 交握錯誤：找不到連至要求目標的有效憑證路徑」
• NetWorker：如何匯入或更換「Authc」和「NWUI」的認證授權單位簽署憑證 (Linux)
• NetWorker：如何匯入或更換「Authc」和「NWUI」的認證授權單位簽署憑證 (Windows)