NetWorker: Einrichten der AD/LDAP-Authentifizierung
Summary: Dieser Wissensdatenbank-Artikel bietet eine Übersicht darüber, wie Sie netWorker mithilfe des Assistenten für externe Autoritäten der NetWorker Management Console (NMC) externe Autorität hinzufügen können. Active Directory (AD) oder Linux LDAP-Authentifizierung kann zusammen mit dem Standardmäßigen NetWorker-Administratorkonto oder anderen lokalen NMC-Konten verwendet werden. ...
This article applies to
This article does not apply to
Instructions
HINWEIS: Für AD-over-SSL-Integrationen sollte die NetWorker-Webbenutzeroberfläche verwendet werden, um die externe Autorität zu konfigurieren. Siehe NetWorker: Konfigurieren von "AD over SSL" (LDAPS) über die NetWorker Web User Interface (NWUI).
Melden Sie sich bei der NetWorker Management Console (NMC) mit dem Standardmäßigen NetWorker-Administratorkonto an. Auf der Registerkarte Setup –> Benutzer und Rollen gibt es eine neue Option für externe Autorität.
Sie können weiterhin die Befehle authc_config und authc_mgmt für die Abfrage von Konfigurationen und AD/LDAP-Benutzern und -Gruppen verwenden. es wird jedoch empfohlen, nmC zu verwenden, um AD/LDAP zu NetWorker hinzuzufügen.
1) Um eine neue Autoritäthinzuzufügen, klicken Sie mit der rechten Maustaste im Fenster Externe Autorität und wählen Sie Neu aus.
2) Im Feld Externe Authentifizierungsstelle müssen Sie die erforderlichen Felder mit Ihren AD-/LDAP-Informationen ausfüllen.
3) Aktivieren Sie das Kontrollkästchen "Show Advanced Options", um alle Felder anzuzeigen.
| Servertyp | Wählen Sie LDAP aus, wenn der Authentifizierungsserver ein Linux/UNIX-LDAP-Server ist, Active Directory, wenn Sie einen Microsoft Active Directory-Server verwenden. |
| Name der Zertifizierungsstelle | Geben Sie einen Namen für diese externe Authentifizierungsstelle an. Dieser Name kann beliebig sein, er ist nur zwischen anderen Autoritäten zu unterscheiden, wenn mehrere konfiguriert sind. |
| Name des Anbieterservers | Dieses Feld sollte den vollständig qualifizierten Domainnamen (FQDN) Ihres AD- oder LDAP-Servers enthalten. |
| Mieter | Mandanten können in Umgebungen verwendet werden, in denen mehr als eine Authentifizierungsmethode verwendet werden kann und/oder wenn mehrere Zertifizierungsstellen konfiguriert werden müssen. Standardmäßig ist der Mandant "Default" ausgewählt. Die Verwendung von Mandanten ändert Ihre Anmeldemethode. Wenn der Standardmandant verwendet wird, können Sie sich mit "domain\user" beim NMC anmelden, wenn ein anderer Mandant als der Standardmandant verwendet wird, müssen Sie bei der Anmeldung bei NMC "tenant\domain\user" angeben. |
| Domäne | Geben Sie Ihren vollständigen Domainnamen an (mit Ausnahme eines Hostnamens). In der Regel handelt es sich hierbei um Ihren Basis-DN, der aus Den Domain Component (DC)-Werten Ihrer Domain besteht. |
| Portnummer | Verwenden Sie für die LDAP- und AD-Integration Port 389. Verwenden Sie für LDAP über SSL Port 636. Diese Ports sind Nicht-NetWorker-Standardports auf dem AD/LDAP-Server. |
| Nutzer-DN | Geben Sie den Distinguished Name (DN) eines Benutzerkontos an, das uneingeschränkten Lesezugriff auf das LDAP- oder AD-Verzeichnis hat.Geben Sie den relativen DN des Benutzerkontos oder den vollständigen DN an, wenn der im Feld Domain festgelegte Wert überschrieben wird. |
| Nutzer-DN-Kennwort | Geben Sie das Passwort des angegebenen Benutzerkontos an. |
| Gruppenobjektklasse | Die Objektklasse, die Gruppen in der LDAP- oder AD-Hierarchie identifiziert.
|
| Gruppensuchpfad | Dieses Feld kann leer gelassen werden, in diesem Fall kann authc die gesamte Domain abfragen. Berechtigungen müssen für den NMC-/NetWorker-Serverzugriff gewährt werden, bevor diese Benutzer/Gruppen sich beim NMC anmelden und den NetWorker-Server managen können. Geben Sie den relativen Pfad zur Domain anstelle des vollständigen DN an. |
| Attribut "Gruppenname" | Das Attribut, das den Gruppennamen identifiziert. Beispiel: cn. |
| Gruppenmitgliedsattribut | Die Gruppenmitgliedschaft des Benutzers innerhalb einer Gruppe.
|
| Benutzerobjektklasse | Die Objektklasse, die die Benutzer in der LDAP- oder AD-Hierarchie identifiziert. Beispiel: inetOrgPerson oder User |
| Benutzersuchpfad | Wie beim Gruppensuchpfad kann dieses Feld leer gelassen werden, in diesem Fall kann authc die vollständige Domain abfragen. Geben Sie den relativen Pfad zur Domain anstelle des vollständigen DN an. |
| Benutzer-ID-Attribut | Die Benutzer-ID, die dem Benutzerobjekt in der LDAP- oder AD-Hierarchie zugeordnet ist.
|
Beispiel: Active Directory-Integration:
HINWEIS: Wenden Sie sich an Ihren AD/LDAP-Administrator, um zu bestätigen, welche AD-/LDAP-spezifischen Felder für Ihre Umgebung erforderlich sind.
4) Sobald alle Felder ausgefüllt sind, klicken Sie auf OK, um die neue Autorität hinzuzufügen.
5) Sie können den Befehl authc_mgmt auf Ihrem NetWorker-Server verwenden, um zu bestätigen, dass die AD-/LDAP-Gruppen/-Benutzer sichtbar sind:
authc_mgmt -u Administrator -p NetWorker_Admin_Pass -e query-ldap-users -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p NetWorker_Admin_Pass -e query-ldap-groups -D query-tenant=tenant_name -D query-domain=domain_name
authc_mgmt -u Administrator -p NetWorker_Admin_Pass -e query-ldap-groups-for-user -D query-tenant=tenant_name -D query-domain=domain_name -D user-name=ad/ldap_username
Z. B.:
authc_mgmt -u Administrator -p Pa$$w0rd01 -e query-ldap-users -D query-tenant=default -D query-domain=lab.emc.com
The query returns 21 records.
User Name Full Dn Name
Administrator cn=Administrator,cn=Users,dc=lab,dc=emc,dc=com
Guest cn=Guest,cn=Users,dc=lab,dc=emc,dc=com
...
...
authc_mgmt -u Administrator -p Pa$$w0rd01 -e query-ldap-groups -D query-tenant=default -D query-domain=lab.emc.com
The query returns 55 records.
Group Name Full Dn Name
Administrators cn=Administrators,cn=Builtin,dc=lab,dc=emc,dc=com
NetWorker_Admins cn=NetWorker_Admins,cn=Users,dc=lab,dc=emc,dc=com
...
...
authc_mgmt -u Administrator -p Pa$$w0rd01 -e query-ldap-groups-for-user -D query-tenant=default -D query-domain=lab.emc.com -D user-name=bkupadmin
The query returns 5 records.
Group Name Full Dn Name
Domain Admins cn=Domain Admins,cn=Users,dc=lab,dc=emc,dc=com
NetWorker_Admins cn=NetWorker_Admins,cn=Users,dc=lab,dc=emc,dc=com
...
...
HINWEIS: Auf einigen Systemen können die authc-Befehle mit einem Fehler "incorrect password" fehlschlagen, selbst wenn das richtige Passwort angegeben wird. Dies liegt daran, dass das Passwort als sichtbarer Text mit der Option "-p" angegeben wird. Wenn dies auftritt, entfernen Sie "-p password" aus den Befehlen. Sie werden aufgefordert, das kennwort einzugeben, das nach dem Ausführen des Befehls ausgeblendet wurde.
(DN) einer AD/LDAP-Gruppe (erfasst in Schritt 5) in das Feld externe Rollen ein. Für Benutzer, die dieselben Berechtigungen wie das Standardmäßige NetWorker-Administratorkonto benötigen, müssen Sie auch den AD/LDAP-Gruppen-DN in der Rolle "Console Security Administrators" angeben. Fügen Sie für Benutzer/Gruppen, die keine Administratorrechte für die NMC-Konsole benötigen, ihren vollständigen DN in den externen Rollen "Console User" hinzu.
HINWEIS: Standardmäßig ist bereits der DN der lokalen Administratorgruppe des NetWorker-Servers vorhanden. Löschen Sie diesen NICHT.
7) Zugriffsberechtigungen müssen auch pro NetWorker-Server angewendet werden, der in NMC konfiguriert ist. Dies kann auf eine von zwei Arten erfolgen:
Option 1)
Verbinden Sie den NetWorker-Server über die NMC, öffnen Sie Server –> Benutzergruppen. Öffnen Sie die Eigenschaften der Rolle "Anwendungsadministratoren" und geben Sie den Distinguished Name
(DN) einer AD/LDAP-Gruppe (erfasst in Schritt 5) in das Feld externe Rollen ein. Für Benutzer, die dieselben Berechtigungen wie das Standardmäßige NetWorker-Administratorkonto benötigen, müssen Sie den AD/LDAP-Gruppen-DN in der Rolle "Security Administrators" angeben.
(DN) einer AD/LDAP-Gruppe (erfasst in Schritt 5) in das Feld externe Rollen ein. Für Benutzer, die dieselben Berechtigungen wie das Standardmäßige NetWorker-Administratorkonto benötigen, müssen Sie den AD/LDAP-Gruppen-DN in der Rolle "Security Administrators" angeben.
HINWEIS: Standardmäßig ist bereits der DN der lokalen Administratorgruppe des NetWorker-Servers vorhanden. Löschen Sie diesen NICHT.
Option 2)
Für AD-Benutzer/-Gruppen, die Administratorrechte für den Befehl nsraddadmin gewähren möchten, kann über eine Administrator- oder Root-Eingabeaufforderung auf dem NetWorker-Server ausgeführt werden:
nsraddadmin -e "OU=group,CN=you,CN=want,CN=to,CN=add,DC=domain,DC=local" Beispiel:
nsraddadmin -e "CN=NetWorker_Admins,CN=Users,DC=lab,DC=emc,DC=com"
8) Melden Sie sich mit Ihrem AD/LDAP-Konto beim NMC an (z. B. domain\user):
Wenn ein anderer Mandant als der Standardmandant verwendet wurde, müssen Sie ihn vor der Domain angeben, z. B.: tenant\domain\user.
Das verwendete Konto wird in der oberen rechten Ecke angezeigt. Der Benutzer kann Aktionen basierend auf den in NetWorker zugewiesenen Rollen durchführen.
9) Wenn Sie möchten, dass eine AD-/LDAP-Gruppe externe Zertifizierungsstellen managen kann, müssen Sie auf dem NetWorker-Server Folgendes ausführen.
9) Wenn Sie möchten, dass eine AD-/LDAP-Gruppe externe Zertifizierungsstellen managen kann, müssen Sie auf dem NetWorker-Server Folgendes ausführen.
a) Öffnen Sie eine Administrative/Root-Eingabeaufforderung.
b) Mithilfe des (in Schritt 5 erfassten) AD-Gruppen-DN möchten Sie FULL_CONTROL Ausführungsberechtigung erteilen:
authc_config -u Administrator -p NetWorker_Admin_Pass -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="AD/LDAP_group_dn" Z. B.:
authc_config -u Administrator -p Pa$$w0rd01 -e add-permission -D permission-name=FULL_CONTROL -D permission-group-dn="cn=NetWorker_Admins,cn=Users,dc=lab,dc=emc,dc=com"
Permission FULL_CONTROL is created successfully.
authc_config -u Administrator -p Pa$$w0rd01 -e find-all-permissions
The query returns 2 records.
Permission Id Permission Name Group DN Pattern Group DN
1 FULL_CONTROL ^cn=Administrators,cn=Groups.*$
2 FULL_CONTROL cn=NetWorker_Admins,cn=Users,dc=lab,...
Additional Information
NetWorker NWUI: Konfigurieren von AD/LDAP über die NetWorker-Webbenutzeroberfläche
Networker: Einrichten von LDAP/AD mithilfe von authc_config-Skripten
Networker: Konfigurieren der LDAPS-Authentifizierung
Networker: Einrichten von LDAP/AD mithilfe von authc_config-Skripten
Networker: Konfigurieren der LDAPS-Authentifizierung