Samba4 Active Directory Integrationsleitfaden

Übersicht

Diese Anleitung konfiguriert einen Samba4 Active Directory-Domänencontroller so, dass der CBOM Secure Discover_LDAP-Sensor die LDAPS-Erkennung im Lesemodus durchführen kann:

  • Benutzerzertifikat – X.509-Zertifikate für Benutzer- und Computerobjekte
  • cACertificate — CA-Zertifikate für Zertifizierungsstellenobjekte
  • altSecurityIdentities – Zuordnungen von öffentlichen SSH-Schlüsseln und Kerberos-Prinzipalen

Samba4 implementiert das vollständige AD LDAP-Schema und ist vollständig kompatibel mit dem LDAP-Sensor.

Voraussetzungen:

  • Ein laufender Samba4 AD-Domänencontroller (4.14+ empfohlen).
  • Administratorzugriff zum Ausführen von samba-tool; der Domänen-DNS-Name und der Basis-DN.
  • LDAPS (636) aktiviert oder LDAP mit STARTTLS; Konnektivität vom Sensorhost.
  • Der Discover_LDAP-Sensor ist verfügbar; Python 3.8+ mit ldap3 für die Python-Variante.

Schritt-für-Schritt-Anleitung

Schritt 1: Erstellen Sie ein schreibgeschütztes Dienstkonto

samba-tool user create cbom-reader --random-password samba-tool user setpassword cbom-reader --newpassword='ReplaceWithStrongPassword!' samba-tool user show cbom-reader

Schritt 2: Erstellen einer Delegationsgruppe (optional)

samba-tool group add CbomReaders samba-tool group addmembers CbomReaders cbom-reader

Beachten Sie, dass das Standard-AD-ACL-Modell von Samba4 authentifizierten Benutzern Lesezugriff auf userCertificate, cACertificate und altSecurityIdentities gewährt. Eine zusätzliche Delegierung ist nur erforderlich, wenn benutzerdefinierte LDB-ACLs die Sichtbarkeit von Attributen einschränken.

Schritt 3: LDAPS bestätigen und Bindung testen

Samba4 generiert automatisch ein selbstsigniertes TLS-Zertifikat unter /var/lib/samba/private/tls/ (für den Produktivbetrieb durch ein Zertifikat einer internen Zertifizierungsstelle ersetzen). Testen Sie die Konnektivität und eine authentifizierte Bindung:

openssl s_client -connect dc1.corp.example.com:636 -showcerts ldapsearch -H ldaps://dc1.corp.example.com:636 \ -D "CN=cbom-reader,CN=Users,DC=corp,DC=example,DC=com" \ -w 'ReplaceWithStrongPassword!' \ -b "DC=corp,DC=example,DC=com" -s sub \ "(objectClass=user)" userCertificate altSecurityIdentities

Schritt 4: Konfigurieren Sie den CBOM-Sicherheitssensor

Sensor: Name: Discover_LDAP aktiviert: true Zeitplan: "0 2 * * *" Verbindung: Host: dc1.corp.example.com Port: 636 SSL verwenden: true SSL verifizieren: true CA-Zertifikatspfad: /etc/cbom/certs/samba4-ca.pem Bindung: DN: "CN=cbom-reader,CN=Users,DC=corp,DC=example,DC=com" Passwort: "${CBOM_LDAP_PASSWORD}" Erkennung: Basis-DN: "DC=corp,DC=example,DC=com" Bereich: Unterbaum Seitengröße: 500 Attribute: [userCertificate, cACertificate, altSecurityIdentities, distinguishedName, sAMAccountName, objectClass] Objektklassenfilter: [user, computer, certificationAuthority, pKIEnrollmentService] Ausgabe: Format: cbom_json Plattform-URL: https://cbom.corp.example.com

Schritt 5: Validieren

cbom-sensor start --config /etc/cbom/sensors/samba4-ldap.yaml --log-level debug

Bestätigen Sie die erfolgreiche Bindung, die Suche im Unterverzeichnis und die Anzahl der gefundenen Zertifikate/SSH-Schlüssel; überprüfen Sie die Assets unter Inventar → Verzeichnisdienste. Führen Sie den Vorgang erneut aus, um die Idempotenz zu bestätigen.

Häufige Fehler

ldap_bind: Ungültige Anmeldeinformationen (49)

Ursache: Das Passwort stimmt nicht überein oder das Konto ist gesperrt/abgelaufen.

Lösung: Mit samba-tool user setpassword zurücksetzen; Ablaufdatum mit –noexpiry löschen; sicherstellen, dass CBOM_LDAP_PASSWORD eingefügt wurde.

SSL: Zertifikatsprüfung fehlgeschlagen

Ursache: Die TLS-Zertifizierungsstelle des Domänencontrollers wird vom Sensorhost nicht als vertrauenswürdig eingestuft.

Lösung: Kopieren Sie /var/lib/samba/private/tls/ca.pem nach ca_cert_path oder fügen Sie es dem System-Truststore hinzu.

Größenbeschränkung überschritten (4)

Ursache: Die Suche überschreitet die serverseitige Größenbeschränkung ohne korrekte Paginierung.

Lösung: Stellen Sie page_size auf 500 oder niedriger ein und vergewissern Sie sich, dass der Sensor die in RFC 2696 festgelegten Seitenwerte verwendet.

Sicherheitsempfehlungen

  • Verwenden Sie ausschließlich LDAPS (636) oder STARTTLS. Setzen Sie niemals unverschlüsseltes LDAP in der Produktion ein.
  • Das Passwort für den cbom-reader sollte alle 90 Tage über einen Passwortmanager geändert werden.
  • Beschränken Sie cbom-reader auf LDAP-Bindung; blockieren Sie interaktive Anmeldung über Richtlinien.
  • Aktivieren Sie die Samba4 LDAP-Zugriffsprotokollierung und geben Sie eine Warnung bei Bindungen außerhalb des Scanfensters aus.
  • Die Firewall soll den Sensorhost so konfigurieren, dass er nur Port 636 auf Domänencontrollern erreichen kann.

Fazit

Mit einem dedizierten Nur-Lese-Konto und einer LDAPS-Verbindung inventarisiert der Discover_LDAP-Sensor kontinuierlich Zertifikate, CA-Zertifikate und SSH-Schlüsselzuordnungen in Samba4 AD mit minimalen Berechtigungen und ohne Auswirkungen auf die Produktion.