Handleiding voor Samba4 Active Directory-integratie

Overzicht

Deze handleiding beschrijft hoe u een Samba4 Active Directory-domeincontroller configureert, zodat de CBOM Secure Discover_LDAP-sensor alleen-lezen ontdekking via LDAPS kan uitvoeren:

  • userCertificate — X.509-certificaten op gebruikers- en computerobjecten
  • cACertificate — CA-certificaten voor objecten van certificeringsinstanties
  • altSecurityIdentities — SSH-publieke sleutels en Kerberos-principaltoewijzingen

Samba4 implementeert het volledige AD LDAP-schema en is volledig compatibel met de LDAP-sensor.

Voorwaarden

  • Een werkende Samba4 AD-domeincontroller (versie 4.14 of hoger aanbevolen).
  • Beheerdersrechten om samba-tool uit te voeren; de DNS-naam van het domein en de basis-DN.
  • LDAPS (636) ingeschakeld, of LDAP met STARTTLS; connectiviteit vanaf de sensorhost.
  • De Discover_LDAP-sensor is beschikbaar; Python 3.8 of hoger met ldap3 voor de Python-variant.

Stapsgewijze handleiding

Stap 1: Een serviceaccount met alleen-leestoegang aanmaken

samba-tool user create cbom-reader --random-password samba-tool user setpassword cbom-reader --newpassword='ReplaceWithStrongPassword!' samba-tool user show cbom-reader

Stap 2: Een delegatiegroep aanmaken (optioneel)

samba-tool group add CbomReaders samba-tool group addmembers CbomReaders cbom-reader

Houd er rekening mee dat het standaard AD ACL-model van Samba4 geauthenticeerde gebruikers leesrechten verleent voor userCertificate, cACertificate en altSecurityIdentities. Extra delegatie is niet nodig, tenzij aangepaste ldb ACL's de zichtbaarheid van attributen beperken.

Stap 3: Bevestig LDAPS en test een binding

Samba4 genereert automatisch een zelfondertekend TLS-certificaat op /var/lib/samba/private/tls/ (vervang dit door een intern CA-certificaat voor productieomgevingen). Test de connectiviteit en een geauthenticeerde binding:

openssl s_client -connect dc1.corp.example.com:636 -showcerts ldapsearch -H ldaps://dc1.corp.example.com:636 \ -D "CN=cbom-reader,CN=Users,DC=corp,DC=example,DC=com" \ -w 'ReplaceWithStrongPassword!' \ -b "DC=corp,DC=example,DC=com" -s sub \ "(objectClass=user)" userCertificate altSecurityIdentities

Stap 4: Configureer de CBOM Secure Sensor

sensor: naam: Discover_LDAP ingeschakeld: true schema: "0 2 * * *" verbinding: host: dc1.corp.example.com poort: 636 use_ssl: true verify_ssl: true ca_cert_path: /etc/cbom/certs/samba4-ca.pem bind: dn: "CN=cbom-reader,CN=Users,DC=corp,DC=example,DC=com" wachtwoord: "${CBOM_LDAP_PASSWORD}" discovery: base_dn: "DC=corp,DC=example,DC=com" scope: subtree page_size: 500 attributen: [userCertificate, cACertificate, altSecurityIdentities, distinguishedName, sAMAccountName, objectClass] object_class_filters: [user, computer, certificationAuthority, pKIEnrollmentService] output: formaat: cbom_json platform_url: https://cbom.corp.example.com

Stap 5: Valideren

cbom-sensor start --config /etc/cbom/sensors/samba4-ldap.yaml --log-level debug

Bevestig een succesvolle binding, een succesvolle zoekopdracht in de substructuur en het aantal gevonden certificaten/SSH-sleutels; controleer de assets onder Inventaris → Directory Services. Voer de procedure opnieuw uit om de idempotentie te bevestigen.

Veel voorkomende fouten

ldap_bind: Ongeldige referenties (49)

Oorzaak: Het wachtwoord komt niet overeen, of het account is geblokkeerd/verlopen.

Oplossing: Reset met samba-tool user setpassword; wis de vervaldatum met –noexpiry; bevestig dat CBOM_LDAP_PASSWORD is geïnjecteerd.

SSL: CERTIFICATE_VERIFY_FAILED

Oorzaak: De TLS CA van het datacenter wordt niet vertrouwd door de sensorhost.

Oplossing: Kopieer /var/lib/samba/private/tls/ca.pem naar ca_cert_path of voeg het toe aan de vertrouwensarchief van het systeem.

Groottelimiet overschreden (4)

Oorzaak: De zoekopdracht overschrijdt de serverlimiet voor de maximale grootte zonder correcte paginering.

Oplossing: Stel page_size in op 500 of lager en controleer of de sensor gebruikmaakt van gepagineerde resultaten volgens RFC 2696.

Beveiligingsaanbevelingen

  • Gebruik uitsluitend LDAPS (636) of STARTTLS. Nooit plain LDAP in een productieomgeving.
  • Wijzig het cbom-reader-wachtwoord elke 90 dagen via een geheimenbeheerder.
  • Beperk cbom-reader tot alleen LDAP-binding; blokkeer interactieve aanmelding via beleid.
  • Schakel logboekregistratie en waarschuwingen in voor Samba4 LDAP-toegang buiten het scanvenster.
  • Beveilig de sensorhost met een firewall zodat deze alleen poort 636 op de domeincontrollers kan bereiken.

Conclusie

Met een speciaal, alleen-lezen account en een LDAPS-verbinding inventariseert de Discover_LDAP-sensor continu certificaten, CA-certificaten en SSH-sleuteltoewijzingen in Samba4 AD met minimale privileges en zonder impact op de productieomgeving.