NetIQ eDirectory Integrationsleitfaden

Übersicht

Dieser Leitfaden konfiguriert NetIQ eDirectory als Quelle für den CBOM Secure Discover_LDAP-Sensor, der über LDAPS (Port 636) eine Verbindung herstellt und eine schreibgeschützte Aufzählung kryptografischer Assets im Verzeichnisbaum durchführt:

  • ndspkiPublicKey – öffentliche Schlüssel für Benutzer- und Serverobjekte, die von Novell PKI Services verwaltet werden
  • ndspkiCertificateChain – vollständige Zertifikatsketten auf PKI-fähigen Objekten
  • Benutzerzertifikat – X.509-Zertifikate für Benutzerobjekte
  • cACertificate – CA-Zertifikate für Organisations- oder Containerobjekte

Voraussetzungen:

  1. NetIQ eDirectory 9.x oder höher, betriebsbereit.
  2. LDAP-Dienste sind aktiviert und lauschen auf Port 636 (LDAPS). Ein gültiges TLS-Zertifikat ist gebunden und dessen Zertifizierungsstelle kann exportiert werden.
  3. iManager-Zugriff (https:// /nps/iManager.html) mit einem Administratorkonto.
  4. Netzwerkzugriff vom Sensor-Host auf eDirectory über TCP 636.
  5. Die CBOM-Plattform wurde mit dem Discover_LDAP-Modul installiert.
  6. Der Zielbaum und die Basis-DN sind bekannt (z. B. o=corp).

Schritt-für-Schritt-Anleitung

Schritt 1: Erstellen Sie ein schreibgeschütztes Dienstkonto in iManager.

Melden Sie sich als Administrator bei iManager an. Erstellen Sie unter „Benutzer“ → „Benutzer erstellen“ den Benutzer cn=cbom-reader,o=corp (Vorname cbom, Nachname reader, Kontext o=corp) mit einem sicheren, zufällig generierten Passwort, das in Ihrem Geheimnismanager gespeichert wird. Weisen Sie diesen Benutzer keiner Rollengruppe zu. Verwenden Sie kein Administratorkonto erneut.

Schritt 2: Gewährung von Treuhänderrechten auf Attributebene

Navigieren Sie zu Verzeichnisverwaltung -> Objekt bearbeiten für den Zielcontainer (z. B. o=corp) -> NDS-Rechte -> Treuhänder dieses Objekts -> Treuhänder hinzufügen und fügen Sie cn=cbom-reader,o=corp hinzu. Fügen Sie unter Zugewiesene Rechte -> Attributrechte jedes Zielattribut mit aktiviertem Lesen und Vergleichen hinzu (Schreiben und Selbst hinzufügen sind deaktiviert): ndspkiPublicKey, ndspkiCertificateChain, userCertificate, cACertificate. Aktivieren Sie Vererbung, damit die Rechte an untergeordnete Container und Blattobjekte weitergegeben werden, und speichern Sie die Änderungen.

Überprüfen Sie dies über Rechte -> Effektive Rechte anzeigen an einem Beispielbenutzerobjekt: Für alle vier Attribute sollte die Berechtigung „Lesen“ aufgeführt sein, die Berechtigung „Schreiben“ sollte jedoch nicht erteilt sein.

Schritt 3: Exportieren Sie das eDirectory-CA-Zertifikat

Exportieren Sie in iManager unter NetIQ Certificate Server -> Server Certificates die Baum-CA (oder das LDAP-Dienstzertifikat) als PEM nach /etc/cbom/certs/edirectory-ca.pem. Alternativ können Sie sie direkt vom Sensor-Host exportieren:

openssl s_client -connect edirectory.corp.example.com:636 -showcerts /dev/null \ | openssl x509 -outform PEM > /etc/cbom/certs/edirectory-ca.pem

Schritt 4: LDAP-Konnektivität überprüfen

ldapsearch \ -H ldaps://edirectory.corp.example.com:636 \ -D "cn=cbom-reader,o=corp" -W \ -b "o=corp" -s sub "(objectClass=*)" \ userCertificate ndspkiPublicKey ndspkiCertificateChain cACertificate

Ein Resultset, das die Zielattribute in Base64 enthält, bestätigt, dass Konto und Rechte korrekt konfiguriert sind.

Schritt 5: Konfigurieren Sie den CBOM-Sicherheitssensor

sensor: name: Discover_LDAP display_name: "NetIQ eDirectory - LDAP Crypto Discovery" enabled: true schedule: "0 2 * * *" connection: host: edirectory.corp.example.com port: 636 use_tls: true tls_mode: ldaps ca_cert: /etc/cbom/certs/edirectory-ca.pem verify_cert: true bind: dn: "cn=cbom-reader,o=corp" password_env: CBOM_LDAP_BIND_PASSWORD search: base_dn: "o=corp" scope: sub filter: "(objectClass=*)" page_size: 500 attributes: [ndspkiPublicKey, ndspkiCertificateChain, userCertificate, cACertificate] discovery: parse_certificates: true include_expired: true min_key_size_rsa: 2048 output: tags: { directory_vendor: netiq-edirectory, sensor_type: ldap }

Setzen Sie das Bindungspasswort über CBOM_LDAP_BIND_PASSWORD (oder eine systemd EnvironmentFile), die von einem Secrets Manager bezogen wird.

Schritt 6: Validieren

systemctl restart cbom-sensor journalistctl -u cbom-sensor -f cbom-ctl scan run --sensor Discover_LDAP

Bestätigen Sie eine erfolgreiche Bindung (cn=cbom-reader,o=corp) und eine abgeschlossene Suche mit der Anzahl der Krypto-Assets. Filtern Sie im Dashboard „Assets“ → „Zertifikate“ nach „directory_vendor: netiq-edirectory“ und überprüfen Sie die Metadaten zu Betreff, Ablaufdatum und Schlüssel. Prüfen Sie das eDirectory-Audit-Log, um sicherzustellen, dass keine Schreibvorgänge stattgefunden haben.

Häufige Fehler

LDAP-Bindungsfehler – Ungültige Anmeldeinformationen (49)

Ursache: Falsches Passwort, gesperrtes Konto oder abgelaufenes Passwort (NDS-Fehler -669).

Lösung: Setzen Sie das Passwort in iManager zurück, stellen Sie sicher, dass CBOM_LDAP_BIND_PASSWORD exakt übereinstimmt, und aktivieren Sie die Option "Passwort läuft nie ab" für das Dienstobjekt, falls eine entsprechende Richtlinie zutrifft.

TLS-Handshake fehlgeschlagen – Zertifikatsprüfungsfehler

Ursache: Der Sensorhost vertraut der eDirectory LDAP-Zertifizierungsstelle nicht, oder die exportierte Zertifizierungsstelle ist fehlerhaft.

Lösung: Exportieren Sie die Zertifizierungsstelle erneut (openssl x509 -noout -subject -dates to validate), bestätigen Sie den Pfad der Zertifizierungsstelle (ca_cert) und fügen Sie alle Zwischenzertifizierungsstellen derselben PEM-Datei hinzu.

Attribute werden trotz Festlegung nicht zurückgegeben.

Ursache: Die Treuhänderrechte wurden mit Inherit nicht gesichert oder im falschen Umfang zugewiesen.

Lösung: Stellen Sie sicher, dass cbom-reader Leserechte für die vier Attribute mit aktiviertem Inherit besitzt; verwenden Sie View Effective Rights für ein Blattobjekt, bevor Sie es erneut ausführen.

Sicherheitsempfehlungen

  • Verwenden Sie ein separates, nicht privilegiertes Konto – niemals das des Baumadministrators oder eines übergeordneten Objekts.
  • Gewähren Sie Rechte nur für die vier Zielattribute; vermeiden Sie [Rechte für alle Attribute].
  • Speichern Sie das Bind-Passwort in einem Geheimnismanager über password_env – niemals im Klartext-YAML.
  • Nur LDAPS erzwingen (Port 389 deaktivieren/durch die Firewall blockieren); verify_cert: true im Produktivbetrieb beibehalten.
  • Aktivieren Sie die eDirectory-Überwachung und lassen Sie sich bei Bindungen/Suchvorgängen von cbom-reader außerhalb der Scanfenster warnen.

Fazit

Mit einem eingeschränkten, schreibgeschützten Dienstkonto in iManager und Treuhänderrechten auf Attributebene listet der Discover_LDAP-Sensor planmäßig PKI-öffentliche Schlüssel, Zertifikatsketten und CA-Zertifikate im gesamten eDirectory-Baum auf – und ermöglicht CBOM Secure so eine kontinuierliche, schreibgeschützte Transparenz der verzeichnisbasierten kryptografischen Assets.