Guía de integración del servidor de directorio de seguridad (SDS) de IBM

Resumen

Esta guía configura IBM Security Directory Server (SDS, anteriormente Tivoli Directory Server) para que el sensor CBOM Secure Discover_LDAP pueda realizar el descubrimiento de solo lectura de los activos criptográficos en el directorio:

  • userCertificate — Certificados X.509 en entradas de usuario/servicio
  • cACertificate — Certificados X.509 en entradas de la Autoridad de Certificación

Requisitos previos

  • IBM SDS 6.3+ instalado y en funcionamiento.
  • Acceso de administrador a la herramienta de administración web (http:// :12100/IDSWebApp).
  • LDAP (389) o LDAPS (636) habilitados y accesibles desde el host del sensor.
  • El DN base del árbol de directorios (por ejemplo, dc=example,dc=com).
  • Acceso a la consola para reiniciar la instancia (ibmdiradm); el certificado/CA del servidor para LDAPS.

Guía paso por paso

Paso 1: Crear la cuenta de enlace CBOM

En la herramienta de administración web → Administración de directorios → Agregar una entrada, cree un inetOrgPerson con RDN cn=cbom-reader dentro de su contenedor de cuentas de servicio, lo que generará cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com. Establezca sn y una contraseña de usuario segura.

Paso 2: Configurar las ACL a nivel de atributo

En Administración de directorios → Listas de control de acceso → Agregar ACL, cree dos entradas con ámbito en el subárbol DN base, con el DN sujeto cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com, otorgando permisos de lectura en userCertificate y cACertificate respectivamente.

Paso 3: Reinicie la instancia de SDS.

ibmdiradm -n # listar instancias ibmdiradm -I dsrdbm01 reiniciar ibmdiradm -I dsrdbm01 estado

Paso 4: (LDAPS) Exportar el certificado del servidor

gsk8capicmd_64 -cert -extract \ -db /opt/IBM/ldap/V6.4/etc/dsrdbm01/ldap.kdb \ -pw \ -etiqueta "Certificado del servidor" \ -destino /tmp/sds-server.crt -formato ascii

Copie el archivo sds-server.crt al host del sensor para la ruta ca_cert_path.

Paso 5: Configurar el sensor de seguridad CBOM

sensores: - nombre: Discover_LDAP habilitado: verdadero etiqueta: "IBM SDS - Directorio de producción" conexión: host: "sds.example.com" puerto: 636 usar_ssl: verdadero verificar_ssl: verdadero ruta_certificado_ca: "/etc/cbom/certs/sds-server.crt" enlace: dn: "cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com" contraseña: "${CBOM_LDAP_BIND_PASSWORD}" descubrimiento: base_dn: "dc=example,dc=com" ámbito: "subtree" filtro: "(|(objectClass=inetOrgPerson)(objectClass=certificationAuthority))" atributos: ["userCertificate", "cACertificate", "dn", "cn", "mail"]

Paso 6: Validar

cbom sensor run --name Discover_LDAP ldapsearch -H ldaps://sds.example.com:636 \ -D "cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com" -w " " -b "dc=example,dc=com" -s sub "(userCertificate=*)" userCertificate cACertificate

Confirme que la última ejecución se realizó correctamente y que se detectaron activos bajo la etiqueta ibm-sds; verifique aleatoriamente el sujeto, la fecha de vencimiento y el emisor de un certificado.

Errores comunes

Error LDAP 49: Credenciales no válidas

Causa: Nombre distintivo/contraseña de enlace incorrectos, o la cuenta se encuentra en un subárbol diferente al configurado.

Solución: Verifique el DN de enlace completo en la herramienta de administración web; restablezca la contraseña si es necesario.

Error LDAP 32: No existe tal objeto.

Causa: El base_dn configurado no existe o el ámbito es demasiado limitado.

Resolución: Confirme el DN base navegando por el árbol; ajuste base_dn/scope y pruebe con ldapsearch -s base.

Falló el protocolo de enlace SSL/verificación del certificado.

Causa: El valor del host no coincide con el CN/SAN del certificado, o el certificado no es de confianza.

Resolución: Haga coincidir el host con el CN/SAN del certificado; vuelva a exportar la cadena completa de CA a ca_cert_path.

Recomendaciones de seguridad

  • Utilice exclusivamente LDAPS; desactive LDAP estándar (389) en producción.
  • Limite las ACL a userCertificate y cACertificate; nunca a userPassword ni a atributos operativos.
  • Rotar la contraseña de enlace según un cronograma a través de un administrador de secretos; inyectar a través de una variable de entorno.
  • Restrinja la cuenta vinculada por IP/hora del día, cuando sea compatible.
  • Habilitar el registro de auditoría SDS para el DN del lector cbom.

Conclusión

Con una cuenta de enlace de solo lectura con ámbito limitado y listas de control de acceso (ACL) a nivel de atributo, el sensor Discover_LDAP realiza un inventario continuo de los certificados X.509 en IBM SDS, haciendo un seguimiento de la caducidad, los algoritmos débiles y la propiedad sin ningún acceso de escritura.