Integratiehandleiding voor IBM Security Directory Server (SDS)

Overzicht

Deze handleiding configureert IBM Security Directory Server (SDS, voorheen Tivoli Directory Server) zodat de CBOM Secure Discover_LDAP-sensor alleen-lezen ontdekking kan uitvoeren van cryptografische assets in de directory:

  • userCertificate — X.509-certificaten op gebruikers-/service-items
  • cACertificate — X.509-certificaten op vermeldingen van certificeringsinstanties

Voorwaarden

  • IBM SDS 6.3+ is geïnstalleerd en actief.
  • Beheerderstoegang tot de webbeheertool (http:// :12100/IDSWebApp).
  • LDAP (poort 389) of LDAPS (poort 636) is ingeschakeld en bereikbaar vanaf de sensorhost.
  • De basis-DN van de directorystructuur (bijv. dc=example,dc=com).
  • Shelltoegang om het exemplaar opnieuw te starten (ibmdiradm); het servercertificaat/CA voor LDAPS.

Stapsgewijze handleiding

Stap 1: Maak het CBOM Bind-account aan.

Ga in de webbeheeromgeving naar Directory Management → Een item toevoegen en maak een inetOrgPerson aan met RDN cn=cbom-reader onder uw service-accountcontainer, zodat de volgende URL ontstaat: cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com. Stel sn en een sterk gebruikerswachtwoord in.

Stap 2: ACL's op attribuutniveau configureren

Ga naar Directory Management → Access Control Lists → Add ACL en maak twee vermeldingen aan die zijn gekoppeld aan de basis-DN-substructuur, met onderwerp-DN cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com, en verleen respectievelijk leesrechten op userCertificate en cACertificate.

Stap 3: Start het SDS-exemplaar opnieuw op.

ibmdiradm -n # lijst instanties ibmdiradm -I dsrdbm01 restart ibmdiradm -I dsrdbm01 status

Stap 4: (LDAPS) Exporteer het servercertificaat

gsk8capicmd_64 -cert -extract \ -db /opt/IBM/ldap/V6.4/etc/dsrdbm01/ldap.kdb \ -pw \ -label "Servercertificaat" \ -target /tmp/sds-server.crt -format ascii

Kopieer sds-server.crt naar de sensorhost voor het ca_cert_path.

Stap 5: Configureer de CBOM Secure Sensor

Sensoren: - naam: Discover_LDAP ingeschakeld: true label: "IBM SDS - Productiedirectory" verbinding: host: "sds.example.com" poort: 636 use_ssl: true verify_ssl: true ca_cert_path: "/etc/cbom/certs/sds-server.crt" bind: dn: "cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com" wachtwoord: "${CBOM_LDAP_BIND_PASSWORD}" ontdekking: base_dn: "dc=example,dc=com" scope: "subtree" filter: "(|(objectClass=inetOrgPerson)(objectClass=certificationAuthority))" attributen: ["userCertificate", "cACertificate", "dn", "cn", "mail"]

Stap 6: Valideren

cbom sensor run --name Discover_LDAP ldapsearch -H ldaps://sds.example.com:636 \ -D "cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com" -w " " \ -b "dc=example,dc=com" -s sub "(userCertificate=*)" userCertificate cACertificate

Bevestig dat de laatste run succesvol is verlopen en dat er activa onder de tag ibm-sds zijn gevonden; controleer steekproefsgewijs het onderwerp, de vervaldatum en de uitgever van een certificaat.

Veel voorkomende fouten

LDAP-fout 49 — Ongeldige referenties

Oorzaak: Onjuiste bind-DN/wachtwoord, of het account bevindt zich in een andere substructuur dan geconfigureerd.

Oplossing: Controleer de volledige bind DN in de webbeheertool; stel het wachtwoord indien nodig opnieuw in.

LDAP-fout 32 — Object bestaat niet

Oorzaak: De geconfigureerde base_dn bestaat niet of het bereik is te beperkt.

Oplossing: Bevestig de basis-DN door de boomstructuur te bekijken; pas base_dn/scope aan en test met ldapsearch -s base.

SSL-handshake/certificaatverificatie mislukt

Oorzaak: De hostwaarde komt niet overeen met de CN/SAN van het certificaat, of het certificaat wordt niet vertrouwd.

Oplossing: Koppel de host aan de CN/SAN van het certificaat; exporteer de volledige CA-keten opnieuw naar ca_cert_path.

Beveiligingsaanbevelingen

  • Gebruik uitsluitend LDAPS; schakel plain LDAP (389) uit in productieomgevingen.
  • Beperk ACL's tot userCertificate en cACertificate — nooit userPassword of operationele attributen.
  • Wijzig het bind-wachtwoord volgens een schema met behulp van een secrets manager; voeg dit toe via een omgevingsvariabele.
  • Beperk de toegang tot het bind-account op basis van IP-adres/tijdstip, indien ondersteund.
  • Schakel SDS-auditregistratie in voor de cbom-reader DN.

Conclusie

Met een beperkt, alleen-lezen bind-account en ACL's op attribuutniveau inventariseert de Discover_LDAP-sensor continu X.509-certificaten in IBM SDS, waarbij vervaldatum, zwakke algoritmen en eigendom worden bijgehouden zonder schrijftoegang.