NetBackup™ 安全和加密指南

配置 SAML keystore 以及添加并启用 IDP 配置

1. 以 root 或管理员身份登录到主服务器。
2. 运行以下命令。

   对于 IDP 和 NetBackup CA SAML KeyStore 配置：

   nbidpcmd -ac -n IDP configuration name -mxp IDP XML metadata file [-t SAML2] [-e true | false] [-u IDP user field] [-g IDP user group field] [-cCert] [-f] [-M primary server]

   或者，对于 IDP 和 ECA SAML KeyStore 配置：

   根据是要使用配置的 NetBackup ECA KeyStore 配置 SAML ECA KeyStore，还是要提供 ECA 证书链和私钥，请运行以下命令：

   • 使用配置的 NetBackup ECA keystore：

     nbidpcmd -ac -n IDP configuration name -mxp IDP XML metadata file[-t SAML2] [-e true | false] [-u IDP user field] [-g IDP user group field] -cECACert -uECA existing ECA configuration [-f] [-M Primary Server]

   • 使用用户提供的 ECA 证书链和私钥：

     nbidpcmd -ac -n IDP configuration name -mxp IDP XML metadata file[-t SAML2] [-e true | false] [-u IDP user field] [-g IDP user group field] -cECACert -certPEM certificate chain file -privKeyPath private key file [-ksPassPath KeyStore passkey file] [-f] [-M primary server]

   替换如下变量：

   • IDP configuration name 是为 IDP 配置提供的唯一名称。

   • IDP XML metadata file 是 XML 元数据文件的路径，该文件包含 Base64URL 编码格式的 IDP 配置详细信息。

   • -e true | false 会启用或禁用 IDP 配置。必须已添加并启用 IDP 配置，否则用户无法使用单点登录 (SSO) 选项登录。尽管可以在 NetBackup 主服务器上添加多个 IDP 配置，但一次只能启用一个 IDP 配置。

   • SAML 属性名称 IDP user field 和 IDP user group field 用于映射身份提供程序中的用户身份信息和组信息。这些字段是可选字段，如果未提供，默认情况下会将其映射到 userPrincipalName 和 memberOf SAML 属性。

     例如，如果已在身份提供程序中自定义属性映射以使用电子邮件和组等属性，则在配置 SAML 配置时，需要为电子邮件提供 -u 选项，为组提供 -g 选项。

     如果在配置期间未为这些属性提供值，请确保身份提供程序针对 userPrincipalName 和 memberOf 属性返回值。

     例如：

     如果 SAML 响应如下所示：

     saml:AttributeStatement <saml:Attribute Name="userPrincipalName"> <saml:AttributeValue>username@domainname</saml:AttributeValue> </saml:Attribute> <saml:Attribute Name="memberOf"> <saml:AttributeValue>CN=group name, DC=domainname</saml:AttributeValue> </saml:Attribute> </saml:AttributeStatement>

     它意味着需要根据“saml:Attribute Name”字段映射 -u 和 -g 选项。

     注意:

     对于映射到 -u 选项（默认为 userPrincipalName）的字段，请确保以 username@domainname 格式返回 SAML 属性值。如果在返回组信息时包括域名，则该域名应遵循“(CN=group name, DC=domainname)”或“(domainname\groupname)”格式。

     但是，如果以纯文本格式返回组名（不含域信息），则在 SAML RBAC 组中映射该组名时不应包含域名。

   • primary Server 是要添加或修改 IDP 配置的主服务器的主机名或 IP 地址。默认情况下，选择运行命令的 NetBackup 主服务器。

   • Certificate Chain File 是证书链文件路径。该文件必须为 PEM 格式，并且执行配置的主服务器必须可以访问该文件。

     Private Key File 是私钥文件路径。该文件必须为 PEM 格式，并且执行配置的主服务器必须可以访问该文件。

     KeyStore Passkey File 是 KeyStore 密码文件路径，并且执行配置的主服务器必须可以进行访问。

   如果已配置身份提供程序，并且 SAML 属性名称为 userPrincipalName 和 memberOf，则在配置时不需要提供 -u 和 -g 选项。如果使用的是任何其他自定义属性名称，请针对 -u 和 -g 提供这些名称，如下所示：

   例如：

   如果身份提供程序 SAML 属性名称映射为“电子邮件”和“组”，请使用以下命令进行配置：

   nbidpcmd -ac -n veritas_configuration -mxp file.xml -t SAML2 -e true -u email -g groups -cCert -Mprimary_server.abc.com

   -u 和 -g 是可选字段，这取决于身份提供程序配置。确保指定的参数值与配置时提供的参数值相同。