Samba4 Active Directory-integrationsguide

Översikt

Den här guiden konfigurerar en Samba4 Active Directory-domänkontrollant så att CBOM Secure Discover_LDAP-sensorn kan utföra skrivskyddad identifiering över LDAPS:

  • userCertificate — X.509-certifikat pÃ¥ användar- och datorobjekt
  • cACertificate — CA-certifikat pÃ¥ certifieringsutfärdarobjekt
  • altSecurityIdentities — SSH-publika nycklar och Kerberos-principalmappningar

Samba4 implementerar hela AD LDAP-schemat och är helt kompatibelt med LDAP-sensorn.

Förutsättningar

  • En aktiv Samba4 AD-domänkontrollant (4.14+ rekommenderas).
  • AdministratörsÃ¥tkomst för att köra samba-tool; domänens DNS-namn och bas-DN.
  • LDAPS (636) aktiverad, eller LDAP med STARTTLS; anslutning frÃ¥n sensorvärden.
  • Discover_LDAP-sensorn finns tillgänglig; Python 3.8+ med ldap3 för Python-varianten.

Steg-för-steg-guide

Steg 1: Skapa ett skrivskyddat tjänstkonto

samba-tool användare skapa cbom-läsare --slumpmässigt-lösenord samba-tool användare setlösenord cbom-läsare --newpassword='ErsättMedStarktLösenord!' samba-tool användare visa cbom-läsare

Steg 2: Skapa en delegeringsgrupp (valfritt)

samba-tool-grupp lägg till CbomReaders samba-tool-grupp lägg till medlemmar CbomReaders cbom-läsare

Observera att Samba4:s standardmodell för AD ACL ger autentiserade användare läsåtkomst till userCertificate, cACertificate och altSecurityIdentities. Ingen extra delegering behövs om inte anpassade ldb-ACL:er begränsar attributsynligheten.

Steg 3: Bekräfta LDAPS och testa en bindning

Samba4 genererar automatiskt ett självsignerat TLS-certifikat på /var/lib/samba/private/tls/ (ersätt med ett internt CA-certifikat för produktion). Testa anslutning och en autentiserad bindning:

openssl s_client -connect dc1.corp.example.com:636 -showcerts ldapsearch -H ldaps://dc1.corp.example.com:636 \ -D "CN=cbom-reader,CN=Användare,DC=corp,DC=example,DC=com" \ -w 'ErsättMedStrongPassword!' \ -b "DC=corp,DC=example,DC=com" -s sub \ "(objectClass=användare)" userCertificate altSecurityIdentities

Steg 4: Konfigurera CBOM Secure Sensor

sensor: namn: Discover_LDAP aktiverad: sant schema: "0 2 * * *" anslutning: värd: dc1.corp.example.com port: 636 use_ssl: sant verify_ssl: sant ca_cert_path: /etc/cbom/certs/samba4-ca.pem bind: dn: "CN=cbom-läsare,CN=Användare,DC=corp,DC=example,DC=com" lösenord: "${CBOM_LDAP_LÖSENORD}" discovery: base_dn: "DC=corp,DC=example,DC=com" omfattning: underträd sidstorlek: 500 attribut: [användarcertifikat, cACertifikat, altSäkerhetsIdentiteter, distinguishedName, sAMAccountName, objektklass] objektklassfilter: [användare, dator, certifieringsmyndighet, pKIEnrollmentService] output: format: cbom_json plattformsurl: https://cbom.corp.example.com

Steg 5: Validera

cbom-sensor start --config /etc/cbom/sensors/samba4-ldap.yaml --log-level debug

Bekräfta en lyckad bindning, underträdssökning och upptäckta certifikat-/SSH-nycklar; verifiera resurser under Inventering → Katalogtjänster. Kör igen för att bekräfta idempotens.

Vanliga fel

ldap_bind: Ogiltiga inloggningsuppgifter (49)

Orsak: Lösenordet matchar inte, eller så är kontot låst/har löpt ut.

Lösning: Återställ med Samba-tool användaren setpassword; rensa expiry med –noexpiry; bekräfta att CBOM_LDAP_PASSWORD har injicerats.

SSL: CERTIFICATE_VERIFY_FAILED

Orsak: DC:s TLS CA är inte betrodd av sensorvärden.

Lösning: Kopiera /var/lib/samba/private/tls/ca.pem till ca_cert_path, eller lägg till den i systemets förtroendearkiv.

Storleksgränsen har överskridits (4)

Orsak: Sökningen överskrider serversidans storleksgräns utan korrekt paginering.

Upplösning: Ställ in page_size till 500 eller lägre och bekräfta att sensorn använder RFC 2696-sidade resultat.

Säkerhetsrekommendationer

  • Använd endast LDAPS (636) eller STARTTLS. Använd aldrig vanlig LDAP i produktion.
  • Rotera cbom-läsarens lösenord var 90:e dag via en hemlighetshanterare.
  • Begränsa cbom-läsaren endast till LDAP-bindning; blockera interaktiv inloggning via policy.
  • Aktivera Samba4 LDAP-Ã¥tkomstloggning och varningar vid bindningar utanför skanningsfönstret.
  • Brandvägg sensorvärden sÃ¥ att den endast nÃ¥r port 636 pÃ¥ domänkontrollanter.

Slutsats

Med ett dedikerat skrivskyddat konto och en LDAPS-anslutning inventerar Discover_LDAP-sensorn kontinuerligt certifikat, CA-certifikat och SSH-nyckelmappningar i Samba4 AD med minimal behörighet och utan påverkan på produktionen.