IBM Security Directory Server (SDS) Integrationsleitfaden

Übersicht

Diese Anleitung konfiguriert IBM Security Directory Server (SDS, ehemals Tivoli Directory Server) so, dass der CBOM Secure Discover_LDAP-Sensor kryptografische Assets im Verzeichnis nur lesend ermitteln kann:

  • Benutzerzertifikat – X.509-Zertifikate für Benutzer-/Diensteinträge
  • cACertificate — X.509-Zertifikate auf Zertifizierungsstelleneinträgen

Voraussetzungen:

  • IBM SDS 6.3+ ist installiert und läuft.
  • Administratorzugriff auf das Web-Administrationstool (http:// :12100/IDSWebApp).
  • LDAP (389) oder LDAPS (636) aktiviert und vom Sensor-Host aus erreichbar.
  • Der Basis-DN des Verzeichnisbaums (z. B. dc=example,dc=com).
  • Shell-Zugriff zum Neustart der Instanz (ibmdiradm); das Serverzertifikat/die Zertifizierungsstelle für LDAPS.

Schritt-für-Schritt-Anleitung

Schritt 1: CBOM-Bindungskonto erstellen

Im Web-Administrationstool → Verzeichnisverwaltung → Eintrag hinzufügen erstellen Sie unter Ihrem Service-Account-Container eine inetOrgPerson mit dem RDN cn=cbom-reader, sodass die Konfiguration cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com lautet. Legen Sie eine Seriennummer (sn) und ein sicheres Benutzerpasswort fest.

Schritt 2: Konfigurieren von ACLs auf Attributebene

Unter Verzeichnisverwaltung → Zugriffskontrolllisten → ACL hinzufügen, erstellen Sie zwei Einträge, die auf den Basis-DN-Teilbaum beschränkt sind, mit dem Subjekt-DN cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com, die jeweils Leseberechtigung für userCertificate und cACertificate gewähren.

Schritt 3: Starten Sie die SDS-Instanz neu.

ibmdiradm -n # Instanzen auflisten ibmdiradm -I dsrdbm01 restart ibmdiradm -I dsrdbm01 status

Schritt 4: (LDAPS) Serverzertifikat exportieren

gsk8capicmd_64 -cert -extract \ -db /opt/IBM/ldap/V6.4/etc/dsrdbm01/ldap.kdb \ -pw \ -label "Serverzertifikat" \ -target /tmp/sds-server.crt -format ascii

Kopieren Sie sds-server.crt auf den Sensor-Host für den ca_cert_path.

Schritt 5: Konfigurieren Sie den CBOM-Sicherheitssensor

Sensoren: - Name: Discover_LDAP aktiviert: true Bezeichnung: "IBM SDS - Produktionsverzeichnis" Verbindung: Host: "sds.example.com" Port: 636 SSL verwenden: true SSL überprüfen: true CA-Zertifikatspfad: "/etc/cbom/certs/sds-server.crt" Bindung: DN: "cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com" Passwort: "${CBOM_LDAP_BIND_PASSWORD}" Erkennung: Basis-DN: "dc=example,dc=com" Bereich: "Unterbaum" Filter: "(|(objectClass=inetOrgPerson)(objectClass=certificationAuthority))" Attribute: ["userCertificate", "cACertificate", "dn", "cn", "mail"]

Schritt 6: Validieren

cbom sensor run --name Discover_LDAP ldapsearch -H ldaps://sds.example.com:636 \ -D "cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com" -w " " \ -b "dc=example,dc=com" -s sub "(userCertificate=*)" userCertificate cACertificate

Bestätigen Sie einen erfolgreichen letzten Durchlauf und die unter dem Tag ibm-sds gefundenen Assets; überprüfen Sie stichprobenartig Betreff, Ablaufdatum und Aussteller eines Zertifikats.

Häufige Fehler

LDAP-Fehler 49 – Ungültige Anmeldeinformationen

Ursache: Falscher Bind-DN/falsches Passwort oder das Konto befindet sich in einem anderen Unterbaum als konfiguriert.

Lösung: Überprüfen Sie den vollständigen Bind-DN ​​im Web-Admin-Tool; setzen Sie gegebenenfalls das Passwort zurück.

LDAP-Fehler 32 – Objekt nicht gefunden

Ursache: Der konfigurierte base_dn existiert nicht oder der Gültigkeitsbereich ist zu eng.

Lösung: Bestätigen Sie den Basis-DN durch Durchsuchen des Baums; passen Sie base_dn/scope an und testen Sie mit ldapsearch -s base.

SSL-Handshake / Zertifikatsprüfung fehlgeschlagen

Ursache: Der Hostwert stimmt nicht mit dem Zertifikats-CN/SAN überein, oder das Zertifikat ist nicht vertrauenswürdig.

Lösung: Host dem Zertifikats-CN/SAN zuordnen; die vollständige CA-Kette erneut nach ca_cert_path exportieren.

Sicherheitsempfehlungen

  • Verwenden Sie ausschließlich LDAPS; deaktivieren Sie normales LDAP (389) im Produktivbetrieb.
  • Beschränken Sie die ACLs auf userCertificate und cACertificate – niemals auf userPassword oder Betriebsattribute.
  • Das Bind-Passwort wird regelmäßig über einen Secrets Manager geändert; die Eingabe erfolgt über eine Umgebungsvariable.
  • Beschränken Sie die Kontobindung nach IP-Adresse/Tageszeit, sofern dies unterstützt wird.
  • Aktivieren Sie die SDS-Audit-Protokollierung für den cbom-reader DN.

Fazit

Mit einem schreibgeschützten Bind-Konto und ACLs auf Attributebene inventarisiert der Discover_LDAP-Sensor kontinuierlich X.509-Zertifikate in IBM SDS – er verfolgt Ablaufdatum, schwache Algorithmen und Eigentumsverhältnisse ohne Schreibzugriff.