NetIQ eDirectory-integrationsguide

Översikt

Den här guiden konfigurerar NetIQ eDirectory som en källa för CBOM Secure Discover_LDAP-sensorn, som ansluter via LDAPS (port 636) och utför skrivskyddad uppräkning av kryptografiska tillgångar i katalogträdet:

  • ndspkiPublicKey – publika nycklar på användar- och serverobjekt som hanteras av Novell PKI Services
  • ndspkiCertificateChain – fullständiga certifikatkedjor på PKI-aktiverade objekt
  • userCertificate – X.509-certifikat på användarobjekt
  • cACertificate – CA-certifikat på organisations- eller containerobjekt

Förutsättningar

  1. NetIQ eDirectory 9.x eller senare, i drift.
  2. LDAP-tjänster aktiverade och lyssnar på port 636 (LDAPS), med ett giltigt TLS-certifikat bundet och dess exporterbara certifikatutfärdare.
  3. iManager-åtkomst (https:// /nps/iManager.html) med ett administratörskonto.
  4. Nätverksåtkomst från sensorvärden till eDirectory på TCP 636.
  5. CBOM-plattformen installerad med Discover_LDAP-modulen.
  6. Målträdet och bas-DN är känt (t.ex. o=corp).

Steg-för-steg-guide

Steg 1: Skapa ett skrivskyddat tjänstkonto i iManager

Logga in på iManager som administratör. Under Användare -> Skapa användare, skapa cn=cbom-reader,o=corp (Förnamn cbom, Efternamn reader, Kontext o=corp) med ett starkt slumpmässigt lösenord som lagrats i din hemlighetshanterare. Tilldela det inte till några rollgrupper. Återanvänd inte ett administratörskonto.

Steg 2: Bevilja förvaltarrättigheter på attributnivå

Bläddra till Katalogadministration -> Ändra objekt för målbehållaren (t.ex. o=corp) -> NDS-rättigheter -> Förvaltare av detta objekt -> Lägg till förvaltare och lägg till cn=cbom-reader,o=corp. Under Tilldelade rättigheter -> Attributrättigheter, lägg till varje målattribut med Läs och Jämför markerade (Skriv och Lägg till sig själv avmarkerade): ndspkiPublicKey, ndspkiCertificateChain, userCertificate, cACertificate. Markera Ärv så att rättigheterna sprids till underbehållare och lövobjekt och spara sedan.

Verifiera via Rättigheter -> Visa giltiga rättigheter för ett exempelanvändarobjekt: Läsning ska listas för alla fyra attribut och Skrivning ska inte beviljas.

Steg 3: Exportera eDirectory CA-certifikatet

I iManager under NetIQ Certificate Server -> Server Certificates, exportera träd-CA:n (eller LDAP-tjänstcertifikatet) som PEM till /etc/cbom/certs/edirectory-ca.pem. Eller exportera det direkt från sensorvärden:

openssl s_client -connect edirectory.corp.example.com:636 -showcerts /dev/null \ | openssl x509 -outform PEM > /etc/cbom/certs/edirectory-ca.pem

Steg 4: Validera LDAP-anslutning

ldapsearch \ -H ldaps://edirectory.corp.example.com:636 \ -D "cn=cbom-läsare,o=corp" -W \ -b "o=corp" -s sub "(objektklass=*)" \ användarcertifikat ndspkiPublicKey ndspkiCertificateChain cACertificate

En resultatuppsättning som innehåller målattributen i Base64 bekräftar att kontot och rättigheterna är korrekt konfigurerade.

Steg 5: Konfigurera CBOM Secure Sensor

sensor: name: Discover_LDAP display_name: "NetIQ eDirectory - LDAP Crypto Discovery" enabled: true schedule: "0 2 * * *" connection: host: edirectory.corp.example.com port: 636 use_tls: true tls_mode: ldaps ca_cert: /etc/cbom/certs/edirectory-ca.pem verify_cert: true bind: dn: "cn=cbom-reader,o=corp" password_env: CBOM_LDAP_BIND_PASSWORD search: base_dn: "o=corp" scope: sub filter: "(objectClass=*)" page_size: 500 attributes: [ndspkiPublicKey, ndspkiCertificateChain, userCertificate, cACertificate] discovery: parse_certificates: true include_expired: true min_key_size_rsa: 2048 output: tags: { directory_vendor: netiq-ekatalog, sensortyp: ldap }

Ställ in bindningslösenordet via CBOM_LDAP_BIND_PASSWORD (eller en systemd EnvironmentFile) som kommer från en hemlighetshanterare.

Steg 6: Validera

systemctl starta om cbom-sensor journalctl -u cbom-sensor -f cbom-ctl scan run --sensor Discover_LDAP

Bekräfta en lyckad bindning (cn=cbom-reader,o=corp) och en slutförd sökning med ett antal kryptotillgångar. I instrumentpanelen, filtrera Tillgångar -> Certifikat efter directory_vendor: netiq-edirectory och bekräfta metadata för ämne/utgångsdatum/nyckel. Granska eDirectorys granskningslogg för att bekräfta att inga skrivåtgärder har inträffat.

Vanliga fel

LDAP-bindningsfel – Ogiltiga inloggningsuppgifter (49)

Orsak: Fel lösenord, ett låst konto eller ett utgånget lösenord (NDS-fel -669).

Lösning: Återställ lösenordet i iManager, se till att CBOM_LDAP_BIND_PASSWORD matchar exakt och ange Lösenordet upphör aldrig att gälla för serviceobjektet om en policy gäller.

TLS-handskakningsfel – certifikatverifieringsfel

Orsak: Sensorvärden litar inte på eDirectory LDAP-certifikatutfärdaren, eller så är den exporterade certifikatutfärdaren felaktigt formaterad.

Lösning: Exportera CA:n igen (openssl x509 -noout -subject -dates för att validera), bekräfta sökvägen till ca_cert och lägg till eventuella mellanliggande CA:er i samma PEM.

Attribut returneras inte trots att de är inställda

Orsak: Förvaltarrättigheterna sparades inte med Inherit, eller tilldelades i fel omfattning.

Lösning: Bekräfta att cbom-reader har Läs på de fyra attributen med Ärv markerat; använd Visa effektiva rättigheter på ett lövobjekt innan du kör om.

Säkerhetsrekommendationer

  • Använd ett dedikerat konto utan privilegier – aldrig trädadministratören eller ett övervakningsobjekt.
  • Ge endast rättigheter till de fyra målattributen; undvik [Rättigheter för alla attribut].
  • Lagra bindningslösenordet i en hemlighetshanterare via password_env – använd aldrig YAML i klartext.
  • Tillämpa endast LDAPS (inaktivera/brandväggsport 389); behåll verify_cert: sant i produktion.
  • Aktivera eDirectory-granskning och varna vid bindningar/sökningar från cbom-reader utanför skanningsfönstren.

Slutsats

Med ett begränsat skrivskyddat tjänstkonto i iManager och förvaltarrättigheter på attributnivå räknar Discover_LDAP-sensorn upp PKI-publika nycklar, certifikatkedjor och CA-certifikat i eDirectory-trädet enligt schema – vilket ger CBOM Secure kontinuerlig, skrivskyddad insyn i katalogbaserade kryptografiska tillgångar.