Konnektivität für Secure LDAP testen

Verwenden Sie das Dienstprogramm ldapsearch über eine Befehlszeile, um eine einfache LDAP-Abfrage zu stellen. Ist sie erfolgreich und liefert ein Ergebnis, wissen Sie, dass der LDAP-Client und die zugrunde liegenden TLS-Sitzungen und TCP-Verbindungen wie vorgesehen funktionieren.

So testen Sie die Verbindung mit ldapsearch:

1. Erstellen Sie eine LDAP-Konfiguration und laden Sie das Zertifikat herunter. Folgen Sie dazu der Anleitung unter LDAP-Clients hinzufügen.

   Hinweis:Um die Testumgebung zu vereinfachen, sollte sich mindestens ein Nutzer in der Organisationseinheit befinden, für die Sie den LDAP-Clientzugriff autorisieren.

2. Führen Sie eine LDAP-Abfrage aus. In diesem Beispiel wird ein bestimmter Nutzer abgefragt. Weitere Informationen finden Sie unter OpenLDAP ldapsearch.

   LDAPTLS_CERT={crt_file} LDAPTLS_KEY={key_file} ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} '(mail={user_email})'

   Ersetzen Sie die Platzhalter wie folgt:

   • {crt_file}: Der Name der CRT-Datei
   • {key_file}: Der Dateiname der .key-Datei
   • {domain}: Jeder Teil des Domainnamens, z. B. „beispiel.de“ wird zu „dc=beispiel,dc=de“.
   • {user_email}: Primäre E‑Mail-Adresse eines Nutzers in der Domain.

Hinweise zur Verwendung von ldapsearch

• Wenn kein BindDN-Wert angegeben ist, verwendet ldapsearch den Schlüssel und das Zertifikat, um die Suche zu autorisieren.
• Wenn der BindDN-Wert ein LDAP-Nutzername ist, den Sie in der Admin-Konsole generiert haben, verwendet ldapsearch die Berechtigungen des LDAP-Clients, wie in der Admin-Konsole konfiguriert.

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {ldap_access_credentials_username} -W '(mail={user_email})

• Wenn der BindDN-Wert eine E-Mail-Adresse oder ein LDAP-DN eines Workspace-Nutzers ist, verwendet „ldapsearch“ die Anmeldedaten dieses Nutzers, um basierend auf seinen Berechtigungen zu suchen.

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {workspace_username@domain} -W '(mail={user_email})'

ldapsearch mit stunnel verwenden

Wenn für Ihr Deployment stunnel erforderlich ist, gehen Sie so vor:

1. Generieren Sie in der Admin-Konsole Anmeldedaten, um den Nutzernamen und das Passwort zu erhalten, die für „ldapsearch“ erforderlich sind.
2. Verwenden Sie den folgenden Befehl:

   ldapsearch -x -D "{username}" -w {password} -H ldap://{stunnel_host}:{stunnel_port} -b dc={domain},dc={domain} '(mail={user_email})'

   Ersetzen Sie die Platzhalter so:

   • {username}: Nutzername aus den generierten Anmeldedaten in der Admin-Konsole
   • {password}: Passwort aus den generierten Anmeldedaten in der Admin-Konsole
   • {stunnel_host}: IP-Adresse oder Hostname des Computers, auf dem stunnel in Ihrem Netzwerk ausgeführt wird.
   • {stunnel_port}: Port, an dem Stunnel ausgeführt wird. Überprüfen Sie Ihre Stunnel-Konfiguration.
   • {user_email}: primäre E-Mail-Adresse eines Nutzers in der Domain

Erfolgreiches Szenario des Befehls „ldapsearch“

Bei einer erfolgreichen Ausgabe des Befehls ldapsearch wird der Nutzer mit der E-Mail-Adresse (wie beim Erstellen des LDAP-Clients angegeben) im LDIF-Format aufgeführt.

Beispiel:

# extended LDIF
#
# LDAPv3
# base <dc=example,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# example.com
dn: dc=example,dc=com
objectClass: top
objectClass: domain
objectClass: dcObject
dc: example

# admin-group, Groups, example.com
dn: cn=admin-group,ou=Groups,dc=example,dc=com
objectClass: top
objectClass: groupOfNames
objectClass: posixGroup
cn: admin-group
displayName: admin-group
description:
gidNumber: 12345
member: uid=admin,ou=Users,dc=example,dc=com
memberUid: admin
googleAdminCreated: FALSE

# example-user, Users, example.com
dn: uid=example-user,ou=Users,dc=example,dc=com
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
uid: example-user
googleUid: example-user
posixUid: example-user
cn: example-user
cn: FirstName LastName
sn: FirstName
displayName: FirstName LastName
givenName: FirstName
mail: example-user@example.com
uidNumber: 12345
gidNumber: 12345
homeDirectory: /home/example-user
loginShell: /bin/bash
gecos:

Mögliche Fehler

• OpenLDAP-Client und/oder -Bibliothek werden ohne SNI-Unterstützung kompiliert
  
  SNI (Server Name Indication) muss vom LDAP-Client (in diesem Fall OpenLDAP) unterstützt werden. Wenn SNI nicht verfügbar ist, wird möglicherweise ein Fehler wie der folgende angezeigt:
  
  SASL/EXTERNAL authentication started

ldap_sasl_interactive_bind_s: Unknown authentication method (-6)
additional info: SASL(-4): no mechanism available:
  
  Empfehlung:
  • Wenn Sie MacOS verwenden, ist SASL standardmäßig aktiviert und kann mit der Option „-x“ umgangen werden.
  • Fügen Sie die Option -d5 zu ldapsearch hinzu und prüfen Sie die Ausgabe auf die folgende Zeile:
    
    TLS certificate verification: depth: 0, err: 18, subject: /OU=No SNI provided; please fix your client.
    

• ldapsearch gibt den Status 0 (Erfolg) zurück, aber es werden keine Nutzer ausgegeben
  
  Wenn Sie die ldapsearch-Option -x (SASL-Authentifizierung verwenden) mit Clientzertifikaten angeben, wird die Authentifizierung erfolgreich durchgeführt, aber es werden keine Nutzer in der Domain aufgeführt.
  
  Empfehlung:Entfernen Sie die Option -x und versuchen Sie es noch einmal.

1. Folgen Sie der Anleitung unter ldp.exe (Windows), um die Clientzertifikate zu installieren.
2. Gehen Sie zu Action > Connect to… (Aktion > Verbinden mit…).
3. Geben Sie die folgenden Verbindungseinstellungen ein:
   
   Name:Geben Sie einen Namen für die Verbindung ein, z. B. Google LDAP.
   Connection Point (Verbindungspunkt): „Select or type a Distinguished Name or Naming Context“ (Wählen Sie einen Distinguished Name oder Naming Context aus oder geben Sie ihn ein)
   Geben Sie Ihren Domainnamen im DN-Format ein, z. B. dc=beispiel,dc=de für beispiel.de.
   
   Computer (Computer): „Select or type a domain or server“ (Wählen Sie eine Domain oder einen Server aus oder geben Sie sie ein)
   ldap.google.com
   
   Use SSL-based Encryption (SSL-basierte Verschlüsselung verwenden): Aktiviert
   
4. Klicken Sie auf Erweitert… und geben Sie die folgenden Details ein:
   
   Anmeldedaten angeben:Aktiviert
   Nutzername:Der Nutzername der Anmeldedaten aus der Admin-Konsole
   Passwort:Das Passwort der Anmeldedaten aus der Admin-Konsole
   Portnummer:636
   Protokoll:LDAP
   Einfache Bindungsauthentifizierung:Aktiviert
   
5. Klicken Sie auf OK und dann noch einmal auf OK.
6. Wenn die Verbindung erfolgreich war, werden im rechten Fensterbereich die Inhalte des Verzeichnisses im Basis-DN angezeigt.

1. Installieren Sie OpenSSL.
2. Konvertieren Sie die Zertifikats- und Schlüsseldateien in eine Datei im PKCS12-Format. Geben Sie an der Eingabeaufforderung Folgendes ein:
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   Geben Sie ein Passwort zum Verschlüsseln der Ausgabedatei ein.
   
3. Gehen Sie zum Steuerfeld.
4. Suchen Sie im Suchfeld nach „Zertifikat“ und klicken Sie auf Nutzerzertifikate verwalten.
5. Gehen Sie zu Action > All Tasks > Import… (Aktion > Alle Aufgaben > Importieren…).
6. Wählen Sie Current User (Aktueller Nutzer) aus und klicken Sie auf Next (Weiter).
7. Klicken Sie auf Browse… (Durchsuchen…).
8. Wählen Sie rechts unten im Dialogfeld über die Drop-down-Liste file type (Dateityp) die Option Personal Information Exchange (*.pfx;*.p12) (Austausch personenbezogener Daten (*.pfx;*.p12)) aus.
9. Wählen Sie die Datei ldap-client.p12 aus Schritt 2 aus, klicken Sie auf Öffnen und dann auf Weiter.
10. Geben Sie das Passwort aus Schritt 2 ein und klicken Sie auf Next (Weiter).
11. Wählen Sie den Zertifikatspeicher Persönlich aus, klicken Sie auf Weiter und dann auf Fertigstellen.
12. Führen Sie Ldp.exe aus.
13. Klicken Sie auf Verbindung > Verbinden…
14. Geben Sie die folgenden Verbindungsdetails ein:
    
    Server:ldap.google.com
    Port:636
    Verbindungslos:Nicht aktiviert
    SSL:Aktiviert
    
15. Klicken Sie auf OK.
16. Gehen Sie zu View > Tree (Ansicht > Baum).
17. Geben Sie den Basis-DN ein. Dies ist Ihr Domainname im DN-Format, z. B. dc=beispiel,dc=de für beispiel.de.
18. Klicken Sie auf OK.
19. Wenn die Verbindung erfolgreich war, werden im rechten Fensterbereich die Inhalte des Verzeichnisses im Basis-DN angezeigt.