تكوين MDS LDAP

المقدمة

يقدم هذا المستند نموذجا لتكوين LDAP الأساسي (البروتوكول الخفيف للوصول للدليل) على محولات البيانات متعددة الطبقات (MDS). كما يتم سرد بعض الأوامر لإظهار كيفية إختبار التكوين والتحقق من صحته على محولات MDS التي تعمل بنظام التشغيل NX-OS.  

يوفر LDAP التحقق المركزي من صحة المستخدمين الذين يحاولون الوصول إلى جهاز Cisco MDS. يتم الاحتفاظ بخدمات LDAP في قاعدة بيانات على برنامج LDAP يتم تشغيله عادة على محطة عمل UNIX أو Windows NT. يجب أن يكون لديك حق الوصول إلى خادم LDAP ويجب أن تقوم بتكوينه قبل أن تتوفر ميزات LDAP التي تم تكوينها على جهاز Cisco MDS لديك.

يوفر بروتوكول الوصول الخفيف لتغيير بيانات الدليل (LDAP) تسهيلات منفصلة للمصادقة والتفويض. يسمح LDAP بخادم تحكم في الوصول واحد (برنامج LDAP الخفيف) لتوفير كل مصادقة خدمة وتفويض بشكل مستقل. يمكن ربط كل خدمة في قاعدة البيانات الخاصة بها للاستفادة من الخدمات الأخرى المتوفرة على هذا الخادم أو على الشبكة، وذلك وفقا لإمكانات برنامج التشغيل Daemon.

يستخدم بروتوكول عميل/خادم LDAP بروتوكول TCP (منفذ TCP 389) لمتطلبات النقل. توفر أجهزة Cisco MDS مصادقة مركزية باستخدام بروتوكول LDAP.

المتطلبات الأساسية

المتطلبات

تذكر Cisco أنه يجب تكوين حساب مستخدم Active Directory (AD) والتحقق من صحته. حاليا، يدعم Cisco MDS أسماء سمات الوصف وعضوة As. قم بتكوين دور المستخدم باستخدام هذه السمات في خادم LDAP.

المكونات المستخدمة

تم إختبار المعلومات الواردة في هذا المستند على MDS 9148 الذي يشغل الإصدار 6.2(7) من NX-OS. يجب أن تعمل نفس التهيئة مع أنظمة MDS الأساسية الأخرى بالإضافة إلى إصدارات NX-OS. يوجد خادم LDAP للاختبار في 10.2.3.7.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.

التكوين

دخلت هذا أمر على ال MDS مفتاح in order to تأكدت أنت تتلقى وحدة طرفية للتحكم منفذ داخل المفتاح ل إستعادة:

aaa authentication login console local

قم بتمكين ميزة LDAP وقم بإنشاء مستخدم سيتم إستخدامه للربط الجذر. يتم إستخدام "admin" في هذا المثال:

feature ldap
ldap-server host 10.2.3.7 rootDN "cn=Admin,cn=Users,dc=ciscoprod,dc=com"
 password  fewhg port 389

عند هذه النقطة على خادم LDAP، يجب إنشاء مستخدم (مثل cpam). في سمة الوصف أضف هذا الإدخال:

shell:roles="network-admin"

بعد ذلك، في المحول، تحتاج إلى إنشاء خريطة بحث. تظهر هذه الأمثلة الوصف و MemberOf كاسم السمة:

للوصف:

ldap search-map s1
  
   userprofile attribute-name "description" search-filter "cn=$userid"
 base-DN "dc=ciscoprod,dc=com"

بالنسبة إلى الأعضاء:

ldap search-map s2

  userprofile attribute-name "memberOf" search-filter "cn=$userid"
 base-DN "dc=ciscoprod,dc=com"

على سبيل المثال، إذا كان هؤلاء المستخدمين الثلاثة أعضاء في مجموعة abc في خادم AD، فيجب أن يكون لدى محول MDS اسم الدور الذي تم إنشاؤه بأذونات مطلوبة.

User1 - عضو في المجموعة abc
User2 - عضو في المجموعة abc
User3 - عضو في المجموعة abc

role name abc
   rule 1 permit clear
   rule 2 permit config
   rule 3 permit debug 
   rule 4 permit exec 
   rule 5 permit show

الآن، إذا سجل User1 الدخول إلى المحول وتم تكوين السمة memberOf ل LDAP، بعد ذلك يعين User1 الدور abc الذي يحتوي على جميع حقوق المسؤول.

هناك أيضا متطلبان عند تكوين السمة memberOf.

1. يجب أن يتطابق اسم دور المحول مع اسم مجموعة خادم AD، أو
2. قم بإنشاء مجموعة على خادم AD تحمل اسم "network-admin" وتكوين جميع المستخدمين المطلوبين كعضو في مجموعة مسؤول الشبكة.

ملاحظات: 
-يعرض الأمر سمة memberOf معتمدة فقط من قبل خادم Windows AD LDAP. لن يدعم خادم OpenLDAP السمة memberOf.
- يتم دعم التكوين الخاص بعضو نظام التشغيل NX-OS 6.2(1) والإصدارات الأحدث فقط.

بعد ذلك، قم بإنشاء مجموعة المصادقة والتفويض والمحاسبة (AAA) باسم مناسب وأربط خريطة بحث LDAP التي تم إنشاؤها مسبقا. كما تمت الإشارة مسبقا، يمكنك إستخدام إما الوصف أو MemberOf بناء على تفضيلاتك. في المثال الموضح هنا، يتم إستخدام S1 للوصف الخاص بمصادقة المستخدم. إذا كان يجب إكمال المصادقة باستخدام MemberOf، يمكن إستخدام s2 بدلا من ذلك.

aaa group server ldap ldap2
  server 10.2.3.7
  ldap-search-map s1

aaa authentication login default group ldap2

أيضا، سيقوم هذا التكوين بإعادة المصادقة إلى المصادقة المحلية في حالة عدم إمكانية الوصول إلى خادم LDAP. هذا تكوين إختياري:

aaa authentication login default fallback error local

التحقق من الصحة

استخدم هذا القسم لتأكيد عمل التكوين بشكل صحيح.

للتحقق من عمل LDAP بشكل صحيح من محول MDS نفسه، أستخدم هذا الاختبار:

MDSA# test aaa group ldap2 cpam Cisco_123
user has been authenticated

MDSA#

استكشاف الأخطاء وإصلاحها

يوفر هذا القسم معلومات يمكنك إستخدامها لاستكشاف أخطاء التكوين وإصلاحها.

يدعم Cisco CLI Analyzer (محلل واجهة سطر الأوامر من Cisco) (للعملاء المسجلين فقط) أوامر show معينة. استخدم Cisco CLI Analyzer (محلل واجهة سطر الأوامر من Cisco) لعرض تحليل لمُخرَج الأمر show.

يتم عرض بعض الأوامر المفيدة لاستخدامها لاستكشاف المشاكل وإصلاحها هنا:

• show ldap-server
• عرض مجموعات خادم ldap
• show ldap-server statistics 10.2.3.7
• إظهار مصادقة AAA

MDSA# show ldap-server
 timeout : 5
 port : 389
 deadtime : 0
total number of servers : 1

following LDAP servers are configured:
 10.2.3.7:
 idle time:0
 test user:test
 test password:********
 test DN:dc=test,dc=com
 timeout: 5 port: 389 rootDN: cn=Admin,cn=Users,dc=ciscoprod,dc=com
 enable-ssl: false

MDSA# show ldap-server groups
total number of groups: 1

following LDAP server groups are configured:
 group ldap2:
 Mode: UnSecure
 Authentication: Search and Bind
 Bind and Search : append with basedn (cn=$userid)
 Authentication: Do bind instead of compare
 Bind and Search : compare passwd attribute userPassword
 Authentication Mech: Default(PLAIN)
 server: 10.2.3.7 port: 389 timeout: 5
 Search map: s1

MDSA# show ldap-server statistics 10.2.3.7
Server is not monitored

Authentication Statistics
 failed transactions: 2
 successful transactions: 11
 requests sent: 36
 requests timed out: 0
 responses with no matching requests: 0
 responses not processed: 0
 responses containing errors: 0
MDSA# show ldap-search-map
total number of search maps : 1

following LDAP search maps are configured:
 SEARCH MAP s1:
 User Profile:
 BaseDN: dc=ciscoprod,dc=com
 Attribute Name: description
 Search Filter: cn=$userid

MDSA# show aaa authentication
 default: group ldap2 
 console: local 
 dhchap: local
 iscsi: local 
MDSA#

معلومات ذات صلة

• دليل تكوين أمان Cisco MDS 9000 Family NX-OS - تكوين LDAP
• الدعم التقني والمستندات - Cisco Systems