IBM Security Directory Server (SDS) integrationsguide

Översikt

Den här guiden konfigurerar IBM Security Directory Server (SDS, tidigare Tivoli Directory Server) så att CBOM Secure Discover_LDAP-sensorn kan utföra skrivskyddad identifiering av kryptografiska tillgångar i katalogen:

  • userCertificate — X.509-certifikat för användar-/tjänstposter
  • cACertificate — X.509-certifikat på certifikatutfärdarposter

Förutsättningar

  • IBM SDS 6.3+ installerat och körs.
  • Administratörsåtkomst till webbadministrationsverktyget (http:// :12100/IDSWebApp).
  • LDAP (389) eller LDAPS (636) aktiverat och nåbart från sensorvärden.
  • Bas-DN för katalogträdet (t.ex. dc=example,dc=com).
  • Shell-åtkomst för att starta om instansen (ibmdiradm); servercertifikatet/CA:n för LDAPS.

Steg-för-steg-guide

Steg 1: Skapa CBOM Bind-kontot

I webbadministrationsverktyget → Kataloghantering → Lägg till en post, skapa en inetOrgPerson med RDN cn=cbom-reader under din service-account-behållare, vilket genererar cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com. Ange sn och ett starkt användarlösenord.

Steg 2: Konfigurera ACL:er på attributnivå

Under Kataloghantering → Åtkomstkontrollistor → Lägg till ACL, skapa två poster som är kopplade till bas-DN-underträdet, med ämnes-DN cn=cbom-reader,ou=serviceaccounts,dc=example,dc=com, och bevilja Läs på userCertificate respektive cACertificate.

Steg 3: Starta om SDS-instansen

ibmdiradm -n # lista instanser ibmdiradm -I dsrdbm01 starta om ibmdiradm -I dsrdbm01 status

Steg 4: (LDAPS) Exportera servercertifikatet

gsk8capicmd_64 -cert -extract \ -db /opt/IBM/ldap/V6.4/etc/dsrdbm01/ldap.kdb \ -pw \ -label "Servercertifikat" \ -target /tmp/sds-server.crt -format ascii

Kopiera sds-server.crt till sensorvärden för ca_cert_path.

Steg 5: Konfigurera CBOM Secure Sensor

sensorer: - namn: Discover_LDAP aktiverad: sant etikett: "IBM SDS - Produktionskatalog" anslutning: värd: "sds.example.com" port: 636 use_ssl: sant verify_ssl: sant ca_cert_path: "/etc/cbom/certs/sds-server.crt" bind: dn: "cn=cbom-läsare,ou=serviceaccounts,dc=example,dc=com" lösenord: "${CBOM_LDAP_BIND_LÖSENORD}" discovery: base_dn: "dc=example,dc=com" omfattning: "underträd" filter: "(|(objectClass=inetOrgPerson)(objectClass=certificationAuthority))" attribut: ["användarcertifikat", "cACertificate", "dn", "cn", "post"]

Steg 6: Validera

cbom-sensorkörning --namn Discover_LDAP ldapsearch -H ldaps://sds.example.com:636 \ -D "cn=cbom-läsare,ou=servicekonton,dc=example,dc=com" -w " " \ -b "dc=example,dc=com" -s sub "(användarcertifikat=*)" användarcertifikat cACertifikat

Bekräfta en lyckad senaste körning och upptäckta resurser under ibm-sds-taggen; stickprovskontrollera ett certifikats ämne, utgångsdatum och utfärdare.

Vanliga fel

LDAP-fel 49 — Ogiltiga inloggningsuppgifter

Orsak: Felaktigt bindnings-DN/lösenord, eller så finns kontot i ett annat underträd än det konfigurerade.

Lösning: Verifiera det fullständiga bindnings-DN:et i webbadministrationsverktyget; återställ lösenordet om det behövs.

LDAP-fel 32 — Inget sådant objekt

Orsak: Den konfigurerade base_dn-filen finns inte eller så är omfånget för smalt.

Lösning: Bekräfta bas-DN genom att bläddra i trädet; justera base_dn/scope och testa med ldapsearch -s base.

SSL-handskakning/certifikatverifiering misslyckades

Orsak: Värdvärdet matchar inte certifikatets CN/SAN, eller så är certifikatet inte betrott.

Lösning: Matcha värden med certifikatets CN/SAN; exportera hela CA-kedjan till ca_cert_path igen.

Säkerhetsrekommendationer

  • Använd endast LDAPS; inaktivera vanlig LDAP (389) i produktion.
  • Begränsa ACL:er till userCertificate och cACertificate — aldrig userPassword eller operativa attribut.
  • Rotera bindningslösenordet enligt schema via en hemlighetshanterare; injicera via env var.
  • Begränsa bindningskontot efter IP/tid på dagen där det stöds.
  • Aktivera SDS-granskningsloggning för cbom-läsarens DN.

Slutsats

Med ett begränsat skrivskyddat bindningskonto och ACL:er på attributnivå inventerar Discover_LDAP-sensorn kontinuerligt X.509-certifikat i IBM SDS – och spårar utgångsdatum, svaga algoritmer och ägarskap utan skrivåtkomst.