NetWorker: Jak nastavit protokol LDAP/AD pomocí skriptů authc_config
Summary: Tento článek databáze znalostí poskytuje základní přehled o tom, jak přidat ověřování LDAP/AD pomocí šablony skriptu authc_config. Ověřování LDAP služby Active Directory (AD) nebo Linux lze použít společně s výchozím účtem NetWorker Administrator nebo jinými místními účty NetWorker Management Console (NMC). ...
This article applies to
This article does not apply to
Instructions
Následující proces popisuje, jak do nástroje NetWorker přidat ověřování AD nebo LDAP pomocí skriptů. Další metody jsou k dispozici v části Další informace v tomto článku databáze znalostí.
Můžete použít šablony skriptů, které se nacházejí na serveru NetWorker pod následujícími cestami:
Syntax:
Po zadání skriptu jej můžete spustit z příkazového řádku na serveru NetWorker. Po úspěšném provedení skriptu můžete potvrdit, že server NetWorker může provést ověření pomocí služby AD, pomocí následujícího příkazu:
Můžete použít šablony skriptů, které se nacházejí na serveru NetWorker pod následujícími cestami:
Windows: C:\Program Files\EMC NetWorker\nsr\authc-server\scripts\
Linux: /opt/nsr/authc-server/scripts/
POZNÁMKA: Skript ad se používá, když se k ověřování používá řadič Windows AD, skript ldap je určen pro ověřování linux/unix. Před spuštěním je nutné odebrat šablonu .template z názvu souboru. Pokud tyto skripty neexistují, je možné vytvořit soubor .sh (Linux) nebo .bat (Windows) s následujícími informacemi.
Syntax:
call authc_config.bat -u administrator -p <nmc_admin_password> -e add-config ^
-D "config-tenant-id=<tenant_id>" ^
-D "config-active-directory=y" ^
-D "config-name=<authority_name>" ^
-D "config-domain=<domain_name>" ^
-D "config-server-address=<protocol>://<hostname_or_ip_address>:<port>/<base_dn>" ^
-D "config-user-dn=<user_dn>" ^
-D "config-user-dn-password=<user_password>" ^
-D "config-user-search-path=<user_search_path>" ^
-D "config-user-id-attr=sAMAccountName" ^
-D "config-user-object-class=<user_object_class>" ^
-D "config-group-search-path=<group_search_path>" ^
-D "config-group-name-attr=cn" ^
-D "config-group-object-class=group" ^
-D "config-group-member-attr=member" ^
-D "config-user-search-filter=" ^
-D "config-group-search-filter=" ^
-D "config-search-subtree=n" ^
-D "config-user-group-attr=memberOf" ^
-D "config-object-class=objectClass"
POZNÁMKA: Jakákoli hodnota ve skriptu uvnitř <> musí být změněna. Hodnoty, které nejsou uvnitř <> , mohou být ponechány tak, jak jsou.
| config-tenant-id | Nájemce lze použít v prostředích, kde lze použít více než jednu metodu ověřování, nebo když je potřeba nakonfigurovat více autorit. Pokud používáte pouze jeden server AD/LDAP, není nutné vytvářet nájemce. Můžete použít výchozího nájemce config-tenant-id=1. Je důležité si uvědomit, že použití nájemců mění metodu přihlášení. Při použití výchozího nájemce se můžete přihlásit do konzole NMC pomocí příkazu "domain\user", pokud se používá jiný nájemce než výchozí klient, je nutné při přihlašování do konzole NMC zadat "tenant-name\domain\user". |
| config-active-directory | Používáte-li server Microsoft Active Directory (AD): y Pokud používáte server LDAP (např.: OpenLDAP: N Poznámka: Existují dvě různé šablony skriptů "authc-create-ad-config" a "authc-create-ldap-config". Ujistěte se, že používáte správnou šablonu pro použí danou platformu ověřování. |
| config-name | Tento název představuje pouze identifikátor konfigurace ověřování, kterou do nástroje NetWorker přidáváte. |
| config-domain | Toto je název domény, který se používá pro přihlášení do nástroje NetWorker. Například "emclab.local" lze nastavit na "emclab". To lze nastavit tak, aby odpovídalo způsobu přihlášení k pracovní stanicím a systémům integrovaným do protokolu AD/LDAP. |
| config-server-address | <protocol>://<hostname_or_ip_address>:<port>/<base_dn> Protocol:
Název hostitele/IP adresa:
|
| config-user-dn | Zadejte celý rozlišující název (DN) uživatelského účtu, který má plný přístup pro čtení k adresáři LDAP nebo AD, např.: CN=Administrator,CN=Users,DC=my,DC=domain,DC=com. |
| config-user-dn-password | Zadejte heslo k účtu zadanému v souboru config-user-dn. |
| config-user-search-path | Toto pole lze ponechat prázdné. V takovém případě může funkce authc dotázat se na celou doménu. Před přihlášením těchto uživatelů/skupin k nmc a správě serveru NetWorker je stále nutné udělit oprávnění pro přístup k serveru NMC/NetWorker. Pokud byla v adrese config-server-address zadána základní dn, zadejte relativní cestu (s výjimkou základního DN) k doméně. |
| config-user-id-attr | ID uživatele, které je spojeno s objektem uživatele v hierarchii LDAP nebo AD.
|
| config-user-object-class | Třída objektu, která identifikuje uživatele v hierarchii LDAP nebo AD. Například inetOrgPerson (LDAP) nebo uživatel (AD) |
| config-group-search-path | Stejně jako v případě cesty config-user-search-path lze toto pole ponechat prázdné, v takovém případě je authc schopné dotazovat se na celou doménu. Pokud byla v adrese config-server-address zadána základní dn, zadejte relativní cestu (s výjimkou základního DN) k doméně. |
| config-group-name-attr | Atribut, který identifikuje název skupiny. Například cn |
| config-group-object-class | Třída objektu, která identifikuje skupiny v hierarchii LDAP nebo AD.
|
| config-group-member-attr | Členství ve skupině uživatele ve skupině.
|
| config-user-search-filter | (Volitelně.) Filtr, který může služba NetWorker Authentication použít k vyhledávání uživatelů v hierarchii LDAP nebo AD. Rfc 2254 definuje formát filtru. |
| config-group-search-filter | (Volitelně.) Filtr, který může služba NetWorker Authentication použít k provádění skupinového vyhledávání v hierarchii LDAP nebo AD. Rfc 2254 definuje formát filtru. |
| config-search-subtree | (Volitelně.) Hodnota yes nebo no , která určuje, zda má externí autorita prohledávat podstrom. Výchozí hodnota: Ne |
| config-user-group-attr | (Volitelně.) Tato možnost podporuje konfigurace, které identifikují členství ve skupině pro uživatele ve vlastnostech objektu uživatele. Například pro službu AD specifikujte člena atributuOf. |
| config-object-class | (Volitelně.) Třída objektu externí ověřovací autority. Rfc 4512 definuje třídu objektu. Výchozí hodnota: třída objektu. |
Příklad:
call "C:\Program Files\EMC NetWorker\nsr\authc-server\bin\authc_config.bat" -u administrator -p Pa$$w0rd04 -e add-config ^
-D "config-tenant-id=1" ^
-D "config-active-directory=y" ^
-D "config-name=ad" ^
-D "config-domain=emclab" ^
-D "config-server-address=ldap://winsrvr2k12.emclab.local:389/DC=emclab,DC=local" ^
-D "config-user-dn=CN=Administrator,CN=Users,DC=emclab,DC=local" ^
-D "config-user-dn-password=XXXXXXXX" ^
-D "config-user-search-path=CN=Users" ^
-D "config-user-id-attr=sAMAccountName" ^
-D "config-user-object-class=user" ^
-D "config-group-search-path=CN=NetWorker_Admins,CN=Users" ^
-D "config-group-name-attr=cn" ^
-D "config-group-object-class=group" ^
-D "config-group-member-attr=member" ^
-D "config-user-search-filter=" ^
-D "config-group-search-filter=" ^
-D "config-search-subtree=y" ^
-D "config-user-group-attr=memberOf" ^
-D "config-object-class=objectClass"
Po zadání skriptu jej můžete spustit z příkazového řádku na serveru NetWorker.
C:\Program Files\EMC NetWorker\nsr\authc-server\scripts>authc-create-ad-config.bat
Configuration ad is created successfully.
Syntaxe: nsrlogin -t tenant -d domain -u user
Příklad:
nsrlogin -t default -d emclab -u bkupadmin
130136:nsrlogin: Please enter password:
Authentication succeeded
Pokud ověření proběhne úspěšně, shromážděte rozlišující název
(DN) vaší skupiny správců netWorker/zálohování AD spuštěním následujícího příkazu na serveru NetWorker:
(DN) vaší skupiny správců netWorker/zálohování AD spuštěním následujícího příkazu na serveru NetWorker:
Syntax:
authc_mgmt -u administrator -p nmc_admin_password -e query-ldap-groups-for-user -D query-tenant=tenant-name -D query-domain=domain_name -D user-name=ad_user_name
Příklad:
authc_mgmt -u Administrator -p Pa$$w0rd04 -e query-ldap-groups-for-user -D query-tenant=default -D query-domain=emclab -D user-name=bkupadmin
The query returns 1 records.
Group Name Full Dn Name
NetWorker_Admins cn=NetWorker_Admins,cn=Users,dc=emclab,dc=local
Shromážděte DN skupiny správce netWorker/backup.
Přihlaste se do konzole NMC jako výchozí účet netWorker Administrator. V části Setup –> Users and Roles –>NMC Roles přidejte skupinu DN shromážděnou z výše uvedeného kroku do pole "External Roles" příslušných rolí pro danou skupinu AD. Kompletní správci by měli mít role "Správce aplikace konzole" a "Správce zabezpečení konzole". (Další informace o těchto rolích naleznete v příručce konfigurace zabezpečení netWorker.)
Přihlaste se do konzole NMC jako výchozí účet netWorker Administrator. V části Setup –> Users and Roles –>NMC Roles přidejte skupinu DN shromážděnou z výše uvedeného kroku do pole "External Roles" příslušných rolí pro danou skupinu AD. Kompletní správci by měli mít role "Správce aplikace konzole" a "Správce zabezpečení konzole". (Další informace o těchto rolích naleznete v příručce konfigurace zabezpečení netWorker.)
Díky tomu se vaši uživatelé služby AD mohou přihlásit ke konzoli NMC a spravovat ji. nicméně musíte těmto uživatelům poskytnout oprávnění na serveru NetWorker. Výchozí účet NetWorker Administrator se připojuje k serveru NetWorker. V části Server –> User Groups přidejte skupinu DN do pole "External Roles" příslušných rolí pro danou skupinu AD. Kompletní správci by měli mít oprávnění "Application Administrators" a "Security Administrators".
Po přidání skupin AD do polí External Roles na serveru NMC i NetWorker se pokuste přihlásit do konzole NMC pomocí svého účtu AD.
Po přihlášení do uživatelského jména AD/LDAP se zobrazí v pravém horním rohu konzole NMC:
Additional Information
NetWorker: Jak nastavit ověřování
AD/LDAPNetWorker NWUI: Jak nakonfigurovat server AD/LDAP z webového uživatelského rozhraní NetWorker
AD/LDAPNetWorker NWUI: Jak nakonfigurovat server AD/LDAP z webového uživatelského rozhraní NetWorker