Integratiehandleiding voor NetIQ eDirectory

Overzicht

Deze handleiding configureert NetIQ eDirectory als bron voor de CBOM Secure Discover_LDAP-sensor, die verbinding maakt via LDAPS (poort 636) en een alleen-lezen opsomming uitvoert van cryptografische assets in de directorystructuur:

  • ndspkiPublicKey – openbare sleutels op gebruikers- en serverobjecten beheerd door Novell PKI Services
  • ndspkiCertificateChain – volledige certificaatketens op PKI-compatibele objecten
  • userCertificate – X.509-certificaten op gebruikersobjecten
  • cACertificate – CA-certificaten voor organisatie- of containerobjecten

Voorwaarden

  1. NetIQ eDirectory 9.x of later, operationeel.
  2. LDAP-services zijn ingeschakeld en luisteren op poort 636 (LDAPS), met een geldig TLS-certificaat en een exporteerbare CA.
  3. iManager-toegang (https:// /nps/iManager.html) met een beheerdersaccount.
  4. Netwerktoegang van de sensorhost tot eDirectory via TCP-poort 636.
  5. Het CBOM-platform is geïnstalleerd met de Discover_LDAP-module.
  6. De doelboom en de basis-DN zijn bekend (bijv. o=corp).

Stapsgewijze handleiding

Stap 1: Maak een alleen-lezen serviceaccount aan in iManager

Meld u aan bij iManager als beheerder. Ga naar Gebruikers -> Gebruiker aanmaken en maak een account aan met de naam cn=cbom-reader,o=corp (Voornaam cbom, Achternaam reader, Context o=corp) met een sterk, willekeurig wachtwoord dat is opgeslagen in uw geheimenbeheerder. Wijs dit account niet toe aan rolgroepen. Gebruik geen bestaand beheerdersaccount opnieuw.

Stap 2: Verleen beheerdersrechten op attribuutniveau

Navigeer naar Directory Administration -> Modify Object voor de doelcontainer (bijv. o=corp) -> NDS Rights -> Trustees van dit object -> Add Trustee en voeg cn=cbom-reader,o=corp toe. Voeg onder Assigned Rights -> Attribute Rights elk doelattribuut toe met Read en Compare aangevinkt (Write en Add Self uitgevinkt): ndspkiPublicKey, ndspkiCertificateChain, userCertificate, cACertificate. Vink Inherit aan zodat rechten worden doorgegeven aan onderliggende containers en bladobjecten en sla vervolgens op.

Controleer dit via Rechten -> Effectieve rechten bekijken op een voorbeeldgebruikersobject: Leesrechten moeten voor alle vier de attributen worden weergegeven en Schrijfrechten mogen niet worden toegekend.

Stap 3: Exporteer het eDirectory CA-certificaat

Exporteer in iManager onder NetIQ Certificate Server -> Servercertificaten de tree CA (of het LDAP-servicecertificaat) als PEM naar /etc/cbom/certs/edirectory-ca.pem. Of exporteer het rechtstreeks vanaf de sensorhost:

openssl s_client -connect edirectory.corp.example.com:636 -showcerts /dev/null\ | openssl x509 -outform PEM > /etc/cbom/certs/edirectory-ca.pem

Stap 4: Valideer de LDAP-verbinding

ldapsearch \ -H ldaps://edirectory.corp.example.com:636 \ -D "cn=cbom-reader,o=corp" -W \ -b "o=corp" -s sub "(objectClass=*)" \ userCertificate ndspkiPublicKey ndspkiCertificateChain cACertificate

Een resultaatset met de doelkenmerken in Base64 bevestigt dat het account en de rechten correct zijn geconfigureerd.

Stap 5: Configureer de CBOM Secure Sensor

sensor: naam: Discover_LDAP weergavenaam: "NetIQ eDirectory - LDAP Crypto Discovery" ingeschakeld: true schema: "0 2 * * *" verbinding: host: edirectory.corp.example.com poort: 636 use_tls: true tls_modus: ldaps ca_cert: /etc/cbom/certs/edirectory-ca.pem verify_cert: true bind: dn: "cn=cbom-reader,o=corp" password_env: CBOM_LDAP_BIND_PASSWORD zoeken: base_dn: "o=corp" scope: sub filter: "(objectClass=*)" page_size: 500 attributen: [ndspkiPublicKey, ndspkiCertificateChain, userCertificate, cACertificate] discovery: parse_certificates: true include_expired: true min_key_size_rsa: 2048 output: tags: { directory_vendor: netiq-edirectory, sensor_type: ldap }

Stel het bind-wachtwoord in via CBOM_LDAP_BIND_PASSWORD (of een systemd EnvironmentFile) afkomstig van een secrets manager.

Stap 6: Valideren

systemctl herstart cbom-sensor journalctl -u cbom-sensor -f cbom-ctl scan run --sensor Discover_LDAP

Bevestig een succesvolle binding (cn=cbom-reader,o=corp) en een voltooide zoekopdracht met een telling van crypto-activa. Filter in het dashboard Activa -> Certificaten op directory_vendor: netiq-eDirectory en bevestig de metadata van onderwerp/vervaldatum/sleutel. Controleer het eDirectory-auditlogboek om te bevestigen dat er geen schrijfbewerkingen hebben plaatsgevonden.

Veel voorkomende fouten

LDAP-bindfout – Ongeldige referenties (49)

Oorzaak: Onjuist wachtwoord, een geblokkeerd account of een verlopen wachtwoord (NDS-fout -669).

Oplossing: Stel het wachtwoord opnieuw in in iManager, zorg ervoor dat CBOM_LDAP_BIND_PASSWORD exact overeenkomt en stel 'Wachtwoord verloopt nooit' in op het serviceobject als er een beleid van toepassing is.

TLS-handshake mislukt – certificaatverificatiefout

Oorzaak: De sensorhost vertrouwt de eDirectory LDAP CA niet, of de geëxporteerde CA is onjuist geformuleerd.

Oplossing: Exporteer de CA opnieuw (openssl x509 -noout -subject -dates to validate), controleer het pad naar het ca_cert en voeg eventuele tussenliggende CA's toe aan hetzelfde PEM-bestand.

Attributen worden niet geretourneerd ondanks dat ze zijn ingesteld.

Oorzaak: De beheerdersrechten zijn niet opgeslagen met Inherit, of zijn toegewezen op het verkeerde niveau.

Oplossing: Controleer of cbom-reader leesrechten heeft voor de vier attributen met de optie 'Overnemen' aangevinkt; gebruik 'Effectieve rechten bekijken' op een bladobject voordat u het programma opnieuw uitvoert.

Beveiligingsaanbevelingen

  • Gebruik een speciaal daarvoor bestemd account zonder speciale privileges – nooit het account van de boomstructuurbeheerder of een account van een toezichthoudend object.
  • Verleen alleen rechten op de vier beoogde attributen; vermijd [Rechten op alle attributen].
  • Bewaar het bind-wachtwoord in een secrets manager via password_env – nooit in platte tekst in YAML.
  • Dwing alleen LDAPS af (schakel poort 389 uit/blokkeer deze via de firewall); behoud verify_cert: true in productie.
  • Schakel eDirectory-auditing en waarschuwingen in voor bindingen/zoekopdrachten van cbom-reader buiten scanvensters.

Conclusie

Met een afgebakend, alleen-lezen serviceaccount in iManager en trustee-rechten op attribuutniveau inventariseert de Discover_LDAP-sensor op een vast schema openbare PKI-sleutels, certificaatketens en CA-certificaten in de eDirectory-structuur. Dit geeft CBOM Secure continu, alleen-lezen inzicht in de op directory's gebaseerde cryptografische activa.