Guide de sécurité et de chiffrement NetBackup™

Pour configurer le keystore SAML et ajouter et activer une configuration du fournisseur d'identité

1. Connectez-vous au serveur principal en tant qu'utilisateur racine ou administrateur.
2. Exécutez la commande suivante.

   Pour la configuration du fournisseur d'identité et du keystore SAML de l'autorité de certification NetBackup :

   nbidpcmd -ac -n IDP configuration name -mxp IDP XML metadata file [-t SAML2] [-e true | false] [-u IDP user field] [-g IDP user group field] [-cCert] [-f] [-M primary server]

   D'autre part, pour la configuration du fournisseur d'identité et du keystore SAML de l'autorité de certification externe :

   Vous pouvez configurer le keystore de l'autorité de certification externe SAML de deux façons, avec le keystore configuré de l'autorité de certification externe NetBackup ou en fournissant la chaîne de certificats de l'autorité de certification externe et la clé privée. Exécutez les commandes suivantes selon la configuration recherchée :

   • Utilisation du keystore configuré par l'autorité de certification externe de NetBackup :

     nbidpcmd -ac -n IDP configuration name -mxp IDP XML metadata file[-t SAML2] [-e true | false] [-u IDP user field] [-g IDP user group field] -cECACert -uECA existing ECA configuration [-f] [-M Primary Server]

   • Utilisation de la chaîne de certificats de l'autorité de certification externe et de la clé privée fournie par l'utilisateur :

     nbidpcmd -ac -n IDP configuration name -mxp IDP XML metadata file[-t SAML2] [-e true | false] [-u IDP user field] [-g IDP user group field] -cECACert -certPEM certificate chain file -privKeyPath private key file [-ksPassPath KeyStore passkey file] [-f] [-M primary server]

   Remplacez les variables comme suit :

   • IDP configuration name est un nom unique attribué à la configuration du fournisseur d'identité.

   • IDP XML metadata file est le chemin d'accès au fichier XML de métadonnées, qui contient les détails de la configuration du fournisseur d'identité codés au format Base64URL.

   • -e true | false active ou désactive la configuration du fournisseur d'identité. La configuration d'un fournisseur d'identité doit être ajoutée et activée, sans quoi, les utilisateurs ne pourront pas se connecter à l'aide de l'option Authentification unique (SSO). Il est possible d'ajouter plusieurs configurations de fournisseur d'identité sur un serveur principal NetBackup, mais vous ne pouvez en activer qu'une à la fois.

   • Les noms d'attribut SAML champ utilisateur du fournisseur d'identité et champ groupe d'utilisateurs du fournisseur d'identité sont utilisés pour mapper les informations d'identité des utilisateurs et les informations de groupe dans le fournisseur d'identité. Ces champs sont facultatifs et, s'ils ne sont pas renseignés, ils sont mappés aux attributs SAML userPrincipalName et memberOf par défaut.

     Par exemple, si vous avez personnalisé le mappage d'attributs dans le fournisseur d'identité pour utiliser des attributs tels que courrier électronique et groupes, renseignez l'option -u pour le courrier électronique et l'option -g pour les groupes lors de la configuration des paramètres SAML.

     Si vous n'avez fourni aucune valeur pour ces attributs pendant la configuration, assurez-vous que le fournisseur d'identité renvoie les valeurs par rapport aux attributs userPrincipalName et memberOf.

     Par exemple :

     Si la réponse SAML se présente comme suit :

     saml:AttributeStatement <saml:Attribute Name="userPrincipalName"> <saml:AttributeValue>username@domainname</saml:AttributeValue> </saml:Attribute> <saml:Attribute Name="memberOf"> <saml:AttributeValue>CN=group name, DC=domainname</saml:AttributeValue> </saml:Attribute> </saml:AttributeStatement>

     Vous devez alors mapper les options -u et -g par rapport aux champs saml:Attribute Name.

     Remarque :

     Assurez-vous que les valeurs d'attribut SAML sont renvoyées au format nom_utilisateur@nom_domaine pour le champ mappé à l'option -u définie par défaut sur userPrincipalName. Si vous incluez le nom de domaine lors du renvoi des informations de groupe, il doit suivre le format (CN=nom du groupe, DC=nom_domaine) ou (nom_domaine\nom_groupe).

     Cependant, si vous renvoyez le nom de groupe en texte seul sans informations de domaine, il doit être mappé sans nom de domaine dans le groupe RBAC SAML.

   • primary Server est le nom d'hôte ou l'adresse IP du serveur principal pour lequel vous voulez ajouter ou modifier la configuration du fournisseur d'identité. Le serveur principal NetBackup sur lequel vous exécutez la commande est sélectionné par défaut.

   • Certificate Chain File correspond au chemin d'accès du fichier de chaîne de certificats. Ce fichier doit être au format PEM et accessible par le serveur principal servant à la configuration.

     Private Key File désigne le chemin d'accès au fichier de clé privée. Ce fichier doit être au format PEM et accessible par le serveur principal servant à la configuration.

     KeyStore Passkey File spécifie le chemin du fichier de mot de passe du keystore et doit être accessible par le serveur principal servant à la configuration.

   Si votre fournisseur d'identité est déjà configuré avec des noms d'attribut SAML comme userPrincipalName et memberOf, il n'est pas nécessaire de fournir les options -u et -g lors de la configuration. Si vous utilisez un autre nom d'attribut personnalisé, fournissez ces noms au niveau de -u et -g comme suit :

   Exemple :

   Si les noms d'attribut SAML du fournisseur d'identité sont mappés en tant que « courrier électronique » et « groupes », utilisez la commande suivante pour la configuration :

   nbidpcmd -ac -n veritas_configuration -mxp file.xml -t SAML2 -e true -u email -g groups -cCert -Mprimary_server.abc.com

   -u et -g sont facultatifs et dépendent de la configuration du fournisseur d'identité. Assurez-vous de spécifier les mêmes valeurs de paramètre que celles que vous avez fournies lors de la configuration.