NetWorker: Så här konfigurerar du LDAPS-autentisering

Den här artikeln kan delas upp i följande avsnitt. Läs igenom varje avsnitt noggrant innan du fortsätter:

Nödvändiga förhandsåtgärder: 

• Ta reda på vilken värd som är authc Server. Detta är användbart i större NetWorker-datazoner. I mindre datazoner med en enda NetWorker-server är NetWorker-servern autentiseringsservern. 
• Ta reda på vilken Java Runtime-miljö som används för autentiseringstjänsten.
• Ange kommandoradsvariabler för att underlätta import av CA-certifikat som används för SSL med NetWorker extern autentisering.

Konfigurera SSL:

• Samla in de certifikat som krävs för SSL-kommunikation med den externa autentiseringsservern.
• Importera certifikaten som används för LDAPS-autentisering till körningsmiljön för autentiseringstjänster cacerts Keystore.

Konfigurera resursen för extern utfärdare:

• Skapa resursen för extern utfärdare i autentiseringstjänsten.
• Bestäm vilka externa användare eller grupper som ska användas för NetWorker.
• Definiera vilka externa användare eller grupper som har åtkomst till NetWorker Management Console (NMC).
• Definiera de NetWorker-serverbehörigheter som externa användare och grupper har.
• (Valfritt) Konfigurera FULL_CONTROL säkerhetsbehörigheter för en extern användare eller grupp.

Nödvändiga förhandsåtgärder:

Om du vill använda LDAPS måste du importera CA-certifikatet (eller certifikatkedjan) från LDAPS-servern till NetWorker-autentiseringsserverns Java cacerts-nyckelarkiv.

1. Ta reda på vilken värd som är NetWorker-autentiseringsservern. Detta kan valideras i NetWorker Management Console-serverns (NMC) gstd.conf-fil:

2. Identifiera den Java-instans som används på NetWorker-autentiseringsservern.

1. 1. E. Från en administrativ kommandotolk anger du kommandoradsvariabler som anger java-installationssökvägen som bestämdes i steget ovan:

set JAVA="Path\to\java"

   

Linux:

A. Kontrollera /nsr/authc/conf/installrc för att se vilken Java-plats som användes när autentiseringstjänsten konfigurerades:

sudo cat /nsr/authc/conf/installrc

[root@nsr ~]# cat /nsr/authc/conf/installrc
JAVA_HOME=/opt/nre/java/latest

B. Ange kommandoradsvariabler som anger java-installationssökvägen som bestämdes i steget ovan.

JAVA=/path/to/java

Exempel:

 

Underlättar java keytool kommandon i Konfigurera SSL och ser till att rätt cacerts importerar CA-certifikatet. Den här variabeln tas bort när kommandoradssessionen stängs och stör inte några andra NetWorker-åtgärder.

Konfigurera SSL

Om du vill använda LDAPS måste du importera CA-certifikatet (eller certifikatkedjan) från LDAPS-servern till JAVA-förtroendenyckelarkivet. Detta kan göras med följande procedur:

Hämta rotcertifikatutfärdarens certifikat (och kedja, om det har konfigurerats) från autentiseringsservern.

Linux:

1. Öppna en upphöjd prompt på AUTHC-servern (NetWorker Authentication).
2. Använd OpenSSL-verktyget för att hämta en kopia av CA-certifikatet från LDAPS-servern.

openssl s_client -showcerts -connect LDAPS_SERVER:636 2>/dev/null </dev/null

• Linux levereras vanligtvis med openssl installerat. Om det finns Linux-servrar i miljön kan du använda openssl för att hämta certifikatfilerna. Dessa kan kopieras till och användas på Windows-skärmen authc Server.
• Om du inte har OpenSSL och det inte kan installeras måste AD-administratören ange ett eller flera certifikat genom att exportera dem som Base-64-kodat x.509-format.
• Ersätta LDAPS_SERVER med LDAPS-serverns värdnamn eller IP-adress.

3. Ovanstående kommando matar ut CA-certifikatet eller en certifikatkedja i PEM-format (Privacy Enhanced Mail), t.ex.:

-----BEGIN CERTIFICATE-----
MIIGQDCCBSigAwIBAgITbgAAAAiwkngyAQWDwwACAAAACDANBgkqhkiG9w0BAQsF
...REMOVED FOR BREVITY...
m4mGyefXz4TBTwD06opJf4NQIDo=
-----END CERTIFICATE-----

$server = "EXTERNAL_AUTH_SERVER_ADDRESS"
$port   = 636

$tcp = New-Object System.Net.Sockets.TcpClient
$tcp.Connect($server, $port)

$ssl = New-Object System.Net.Security.SslStream(
    $tcp.GetStream(),
    $false,
    { param($sender,$cert,$chain,$errors) $true }
)

try {
    $ssl.AuthenticateAsClient($server)

    "=== Protocol ==="
    $ssl.SslProtocol
    "=== Cipher ==="
    "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
    ""
    "=== Server Certificate ==="

    $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)

    "Subject  : $($remoteCert.Subject)"
    "Issuer   : $($remoteCert.Issuer)"
    "NotBefore: $($remoteCert.NotBefore)"
    "NotAfter : $($remoteCert.NotAfter)"
    ""

    $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
    "-----BEGIN CERTIFICATE-----"
    $b64
    "-----END CERTIFICATE-----"
}
finally {
    $ssl.Dispose()
    $tcp.Dispose()
}

PS C:\Users\administrator.AMER> $server = "dc.amer.lan"
PS C:\Users\administrator.AMER> $port   = 636
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $tcp = New-Object System.Net.Sockets.TcpClient
PS C:\Users\administrator.AMER> $tcp.Connect($server, $port)
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> $ssl = New-Object System.Net.Security.SslStream(
>>     $tcp.GetStream(),
>>     $false,
>>     { param($sender,$cert,$chain,$errors) $true }
>> )
PS C:\Users\administrator.AMER>
PS C:\Users\administrator.AMER> try {
>>     $ssl.AuthenticateAsClient($server)
>>
>>     "=== Protocol ==="
>>     $ssl.SslProtocol
>>     "=== Cipher ==="
>>     "$($ssl.CipherAlgorithm) ($($ssl.CipherStrength)-bit)"
>>     ""
>>     "=== Server Certificate (exactly what the DC sends) ==="
>>
>>     $remoteCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)
>>
>>     "Subject  : $($remoteCert.Subject)"
>>     "Issuer   : $($remoteCert.Issuer)"
>>     "NotBefore: $($remoteCert.NotBefore)"
>>     "NotAfter : $($remoteCert.NotAfter)"
>>     ""
>>
>>     $b64 = [Convert]::ToBase64String($remoteCert.RawData, [Base64FormattingOptions]::InsertLineBreaks)
>>     "-----BEGIN CERTIFICATE-----"
>>     $b64
>>     "-----END CERTIFICATE-----"
>> }
>> finally {
>>     $ssl.Dispose()
>>     $tcp.Dispose()
>> }
=== Protocol ===
Tls13
=== Cipher ===
Aes256 (256-bit)

=== Server Certificate ===
Subject  : CN=DC.amer.lan
Issuer   : CN=amer-DC-CA, DC=amer, DC=lan
NotBefore: 11/29/2025 01:17:22
NotAfter : 11/29/2026 01:17:22

-----BEGIN CERTIFICATE-----
MIIGDDCCBPSgAwIBAgITNAAAAAT93FoJVZwLkQAAAAAABDANBgkqhkiG9w0BAQsFADBAMRMwEQYK
...REMOVED FOR BREVITY...
c1HhZw24yOwFSOtTQg==
-----END CERTIFICATE-----

3. Kopiera certifikatet från och med ---BEGIN CERTIFICATE--- och slutar med ---END CERTIFICATE--- och klistra in den i en ny fil. Om det finns en certifikatkedja måste du göra detta med varje certifikat.
4. Gå till Importera certifikat.

Importera certifikat:

%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit

$JAVA/bin/keytool -list -keystore $JAVA/lib/security/cacerts -storepass changeit

%JAVA%\bin\keytool -list -cacerts -storepass changeit

$JAVA/bin/keytool -list -cacerts -storepass changeit

3. Granska listan för att se om det finns ett alias som matchar LDAPS-servern (den kanske inte finns). Du kan använda operativsystemet grep eller findstr kommandon med kommandot ovan för att begränsa sökningen. Om det finns ett föråldrat eller befintligt CA-certifikat från LDAPS-servern tar du bort det med följande kommando:

• För NetWorker 19.12.x (JRE 8.x) och tidigare:

Windows: 

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit

Linux:

$JAVA/bin/keytool -delete -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit

• För NetWorker 19.13 (JDK 17.x) och senare:

Windows:

%JAVA%\bin\keytool -delete -alias ALIAS_NAME -cacerts -storepass changeit

Linux: 

$JAVA/bin/keytool -delete -alias ALIAS_NAME -cacerts -storepass changeit

Obs! Ersätt ALIAS_NAME med aliasnamnet för de gamla eller utgångna certifikaten från steg 2.

7. Importera certifikatet eller certifikatfilerna som skapats till JAVA-förtroendenyckelarkivet:

• För NetWorker 19.12.x (JRE 8.x) och tidigare:

Windows: 

%JAVA%\bin\keytool -import -alias ALIAS_NAME -keystore %JAVA%\lib\security\cacerts -storepass changeit -file \PATH_TO\CERT_FILE

Linux:

$JAVA/bin/keytool -import -alias ALIAS_NAME -keystore $JAVA/lib/security/cacerts -storepass changeit -file /PATH_TO/CERT_FILE

• För NetWorker 19.13 (JDK 17.x) och senare:

Windows:

%JAVA%\bin\keytool -import -alias ALIAS_NAME -cacerts -storepass changeit -file \PATH_TO\CERT_FILE

Linux: 

$JAVA/bin/keytool -import -alias ALIAS_NAME -cacerts -storepass changeit -file /PATH_TO/CERT_FILE

• Ersätt ALIAS_NAME med ett alias för det importerade certifikatet (till exempel RCA (rotcertifikatutfärdare)). När du importerar flera certifikat för en certifikatkedja måste varje certifikat ha ett annat ALIAS-namn och importeras separat. Certifikatkedjan måste också importeras i ordning från steg 5 (uppifrån och ner).
• Ersätt PATH_TO\CERT_FILE med platsen för certifikatfilen som du skapade i steg 6.

8. Du uppmanas att importera certifikatet, skriv yes Och tryck på Enter.

C:\Users\administrator>%JAVA%\bin\keytool -import -alias RCA -keystore %JAVA%\lib\security\cacerts -storepass changeit -file C:\root-ca.cer
Owner: CN=networker-DC-CA, DC=networker, DC=lan
Issuer: CN=networker-DC-CA, DC=networker, DC=lan
Serial number: 183db0ae21d3108244254c8aad129ecd
...
...
...

Trust this certificate? [no]:  yes
Certificate was added to keystore

9. Bekräfta att certifikatet visas i nyckelbehållaren (samma kommandon som i steg 2).

Obs! Rör (|) operativsystemet grep eller findstr kommandot till ovanstående för att begränsa resultatet.

C:\Users\administrator>%JAVA%\bin\keytool -list -keystore %JAVA%\lib\security\cacerts -storepass changeit | findstr RCA
RCA, Jan 15, 2025, trustedCertEntry,

10. Starta om NetWorker-servertjänsterna. 

Windows: 

net stop nsrd
net start nsrd

Linux: 

nsr_shutdown
service networker start

Obs! Starta om NetWorker-servertjänsterna för att säkerställa att AUTHC läser cacerts-filen och identifierar importerade certifikat för SSL-kommunikation med LDAP-servern.

 

---

Konfigurera resursen för extern utfärdare

Denna kunskapsbasartikel fokuserar på att använda NetWorker Management Console (NMC) för att konfigurera LDAP över SSL. När du konfigurerar AD över SSLrekommenderar vi att du använder NetWorker-webbanvändargränssnittet (NWUI). Den här processen beskrivs i:

• NetWorker: Så här konfigurerar du "AD over SSL" (LDAPS) från NetWorker-webbanvändargränssnittet (NWUI)

Alternativt kan du använda authc_config Skriptmetod:

• NetWorker: Så här använder du authc_config-skript för att konfigurera LDAPS-autentisering

Om någon av artiklarna följs kan du gå till den del där den externa auktoritetsresursen skapas, det är inte nödvändigt att upprepa proceduren för import av certifikat.

Obs! Denna KB kan följas när AD konfigureras över SSL. Ytterligare steg krävs dock. Dessa steg beskrivs nedan.

1. Logga in på NetWorker Management Console (NMC) med ditt NetWorker-administratörskonto. Välj Konfiguration–> Användare och roller –> Extern utfärdare.

2. Skapa eller ändra din befintliga externa utfärdarkonfiguration, välj LDAP över SSL i listrutan Servertyp. Då ändras porten automatiskt från 389 till 636:

Obs! Expandera fältet Visa avancerade alternativ och se till att rätt värden har angetts för autentiseringsservern. I fältet Ytterligare information i denna KB finns en tabell som förklarar fälten och värdena.

För Active Directory över SSL:

VARNING! Med hjälp av NMC-inställningen "LDAP over SSL" med Microsoft Active Directory ställs den interna konfigurationsparametern "is active directory" in på "false". Detta förhindrar lyckad AD-autentisering i NetWorker. Följande steg kan användas för att korrigera detta.

A. Hämta information om konfigurations-ID:

authc_config -u Administrator -p 'NetWorker_AdminPass' -e find-all-configs
authc_config -u Administrator -p 'NetWorker_AdminPass' -e find-config -D config-id=CONFIG_ID#

Exempel:

nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-configs
The query returns 1 records.
Config Id Config Name
1         AD

nve:~ # authc_config -u Administrator -p '!Password1' -e find-config -D config-id=1
Config Id                    : 1
Config Tenant Id             : 1
Config Name                  : AD
Config Domain                : networker.lan
Config Server Address        : ldaps://dc.networker.lan:636/dc=networker,dc=lan
Config User DN               : cn=nw authadmin,ou=dell,dc=networker,dc=lan
Config User Group Attribute  :
Config User ID Attribute     : sAMAccountName
Config User Object Class     : person
Config User Search Filter    :
Config User Search Path      :
Config Group Member Attribute: member
Config Group Name Attribute  : cn
Config Group Object Class    : group
Config Group Search Filter   :
Config Group Search Path     :
Config Object Class          : objectclass
Is Active Directory          : false
Config Search Subtree        : true

B. Använd authc_config Kommando för att ställa in is-active-directory=y:

authc_config -u Administrator -p 'NETWORKER_ADMIN_PASSWORD' -e update-config -D config-id=CONFIG_ID# -D config-server-address="ldaps://DOMAIN_SERVER:636/BASE_DN" -D config-user-dn="CONFIG_USER_DN" -D config-user-dn-password='CONFIG_USER_PASSWORD' -D config-active-directory=y

Obs! De värden som krävs för dessa fält kan erhållas från steg A.

 

Exempel:

nve:~ # authc_config -u Administrator -p '!Password1' -e update-config -D config-id=1 -D config-server-address="ldaps://dc.networker.lan:636/dc=networker,dc=lan" -D config-user-dn="cn=nw authadmin,ou=dell,dc=networker,dc=lan" -D config-user-dn-password='PASSWORD' -D config-active-directory=y
Configuration AD is updated successfully.
nve:~ #
nve:~ # authc_config -u Administrator -p '!Password1' -e find-config -D config-id=1
Config Id                    : 1
Config Tenant Id             : 1
Config Name                  : AD
Config Domain                : networker.lan
Config Server Address        : ldaps://dc.networker.lan:636/dc=networker,dc=lan
Config User DN               : cn=nw authadmin,ou=dell,dc=networker,dc=lan
Config User Group Attribute  :
Config User ID Attribute     : sAMAccountName
Config User Object Class     : person
Config User Search Filter    :
Config User Search Path      :
Config Group Member Attribute: member
Config Group Name Attribute  : cn
Config Group Object Class    : group
Config Group Search Filter   :
Config Group Search Path     :
Config Object Class          : objectclass
Is Active Directory          : true
Config Search Subtree        : true

Resursen för extern utfärdare är nu korrekt konfigurerad för Microsoft Active Directory.

 

3. Du kan använda authc_mgmt på NetWorker-servern för att bekräfta att AD-/LDAP-grupperna/-användarna är synliga:

authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-users -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p 'NetWorker_Admin_Pass' -e query-ldap-groups-for-user -D query-tenant=tenant_name -D query-domain=domain_name -D user-name=ad/ldap_username

Exempel:

nve:~ # authc_mgmt -u Administrator -p '!Password1' -e query-ldap-users -D query-tenant=default -D query-domain=networker.lan
The query returns 40 records.
User Name            Full Dn Name
...
...
bkupadmin            CN=Backup Administrator,OU=Support_Services,OU=DELL,dc=networker,dc=lan


nve:~ # authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups -D query-tenant=default -D query-domain=networker.lan
The query returns 71 records.
Group Name                              Full Dn Name
...
...
NetWorker_Admins                        CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan

nve:~ # authc_mgmt -u Administrator -p '!Password1' -e query-ldap-groups-for-user -D query-tenant=default -D query-domain=networker.lan -D user-name=bkupadmin
The query returns 1 records.
Group Name       Full Dn Name
NetWorker_Admins CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan

Obs! På vissa system kan authc Kommandon kan misslyckas med felmeddelandet "Felaktigt lösenord" även när rätt lösenord har angetts. Detta beror på att lösenordet anges som synlig text med "-p"-alternativet. Om du stöter på detta, ta bort "-p password" från kommandona. Du kommer att bli ombedd att ange lösenordet dolt efter att du har kört kommandot.

 

Konfigurera NMC att acceptera extern autentisering:

4. När du är inloggad på NMC som NetWorker-administratörskonto öppnar du Inställningar--Användare> och roller--NMC-roller>. Öppna egenskaperna för rollen Konsolprogramadministratörer och ange det unika namnet  (DN) för en AD/LDAP-grupp i fältet externa roller . För användare som behöver behörigheter på samma nivå som NetWorker-standardadministratörskontot anger du AD/LDAP-gruppens DN i rollen Konsolsäkerhetsadministratörer . För AD-användare eller grupper som inte behöver administratörsbehörighet till NMC-konsolen lägger du till deras fullständiga DN i konsolanvändarens externa roller.

 

Obs! Som standard finns redan DN för NetWorker-serverns grupp LOCAL Administrators. Ta inte bort den.

 

Konfigurera externa användarbehörigheter för NetWorker-servern:

5. Anslut NetWorker-servern från NMC och öppna Server-->User Groups. Ange det unika namnet (DN) för en AD/LDAP-grupp i fältet externa roller i rollegenskaperna Programadministratörer . För användare som behöver behörigheter på samma nivå som standardkontot NetWorker-administratör måste du ange AD/LDAP-gruppens DN i rollen Säkerhetsadministratörer.

Obs! Som standard finns redan DN för NetWorker-serverns grupp LOCAL Administrators. Ta inte bort den.

 

Alternativt kan du använda nsraddadmin Så här uppnår du detta för externa användare/grupper som ska ha fullständiga NetWorker-administratörsrättigheter:

nsraddadmin -e "USER/GROUP_DN"

Exempel:

nve:~ # nsraddadmin -e "CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Security Administrators' user group.
134749:nsraddadmin: 'CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan' added to the 'external roles' list of 'Application Administrators' user group.

Få åtkomst till NMC:

Du bör ha åtkomst till NMC- och NetWorker-servern med de externa användare som har beviljats behörighet att göra det.

När användaren är inloggad visas han eller hon i det övre högra hörnet av NMC:

Extra säkerhetsbehörigheter

6. (VALFRITT) Om du vill att en AD/LDAP-grupp ska kunna hantera externa myndigheter måste du göra följande på NetWorker-servern.

 

A. Öppna en administrativ/rotkommandotolk.
B. Med hjälp av AD-gruppens DN som du vill ge FULL_CONTROL behörighet att köra:

authc_config -u Administrator -p 'NetWorker_Admin_Pass' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="AD/LDAP_group_dn"

Exempel:

nve:~ # authc_config -u Administrator -p '!Password1' -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="CN=NetWorker_Admins,OU=DELL,dc=networker,dc=lan"
Permission FULL_CONTROL is created successfully.
nve:~ #
nve:~ # authc_config -u Administrator -p '!Password1' -e find-all-permissions
The query returns 2 records.
Permission Id Permission Name Group DN Pattern                Group DN
1             FULL_CONTROL    ^cn=Administrators,cn=Groups.*$
2             FULL_CONTROL                                    CN=NetWorker_Admins,OU=DELL,dc=networ...

Mer information finns i NetWorker Security Configuration Guide som finns på: https://www.dell.com/support/home/product-support/product/networker/docs

konfigurationsvärden:

Andra relevanta artiklar:

• NetWorker: Så här importerar eller ersätter du signerade certifikat från certifikatutfärdare för "AUTHC" och "NWUI" (Linux)
• NetWorker: Så här importerar eller ersätter du certifikat signerade av certifikatutfärdare för "AUTHC" och "NWUI" (Windows)
• NetWorker: Så här importerar eller ersätter du signerade certifikat från certifikatutfärdare för NMC
• NetWorker: AD- och LDAP-integrering och konfiguration (felsökningsguide)