LDAPS konfigurieren

Sicheres LDAP (LDAPS) ermöglicht es Ihnen, das Secure Lightweight Directory Access Protocol für Ihre von Active Directory verwalteten Domänen zu aktivieren, um die Kommunikation über SSL (Secure Socket Layer)/TLS (Transport Layer Security) bereitzustellen.

• Standardmäßig sind LDAP-Kommunikationen zwischen Client- und Serveranwendungen nicht verschlüsselt. LDAP mit SSL/TLS (LDAPS) ermöglicht es Ihnen, den Inhalt von LDAP-Abfragen zwischen Linux VDA und LDAP-Servern zu schützen.

Die folgenden Linux VDA-Komponenten sind von LDAPS abhängig:

• Broker-Agent: Linux VDA-Registrierung beim Delivery Controller™

• Richtliniendienst: Richtlinienauswertung

• Die Konfiguration von LDAPS umfasst:

• LDAPS auf dem Active Directory (AD)/LDAP-Server aktivieren
• Die Stammzertifizierungsstelle für die Client-Nutzung exportieren
• LDAPS auf dem Linux VDA aktivieren/deaktivieren
• LDAPS für Drittanbieterplattformen konfigurieren
• SSSD konfigurieren
• Winbind konfigurieren
• Centrify konfigurieren
• Quest konfigurieren

LDAPS auf dem AD/LDAP-Server aktivieren

Sie können LDAP über SSL (LDAPS) aktivieren, indem Sie ein ordnungsgemäß formatiertes Zertifikat von einer Microsoft-Zertifizierungsstelle (CA) oder einer Nicht-Microsoft-CA installieren.

Tipp:

LDAP über SSL/TLS (LDAPS) wird automatisch aktiviert, wenn Sie eine Enterprise-Stammzertifizierungsstelle auf einem Domänencontroller installieren.

Weitere Informationen zur Installation des Zertifikats und zur Überprüfung der LDAPS-Verbindung finden Sie unter How to enable LDAP over SSL with a third-party certification authority auf der Microsoft Support-Website.

Wenn Sie eine mehrstufige (z. B. zwei- oder dreistufige) Zertifizierungsstellenhierarchie haben, verfügen Sie nicht automatisch über das entsprechende Zertifikat für die LDAPS-Authentifizierung auf dem Domänencontroller.

Informationen zum Aktivieren von LDAPS für Domänencontroller, die eine mehrstufige Zertifizierungsstellenhierarchie verwenden, finden Sie im Artikel LDAP over SSL (LDAPS) Certificate auf der Microsoft TechNet-Website.

Stammzertifizierungsstelle für die Client-Nutzung aktivieren

Der Client muss ein Zertifikat von einer Zertifizierungsstelle verwenden, der der LDAP-Server vertraut. Um die LDAPS-Authentifizierung für den Client zu aktivieren, importieren Sie das Stammzertifizierungsstellenzertifikat in den Vertrauens-Keystore.

Weitere Informationen zum Exportieren der Stammzertifizierungsstelle finden Sie unter How to export Root Certification Authority Certificate auf der Microsoft Support-Website.

LDAPS auf dem Linux VDA aktivieren oder deaktivieren

Um LDAPS für den Linux VDA zu aktivieren oder zu deaktivieren, führen Sie das folgende Skript aus (als Administrator angemeldet):

Die Syntax für diesen Befehl umfasst Folgendes:

• LDAP über SSL/TLS mit dem bereitgestellten Stammzertifizierungsstellenzertifikat aktivieren:

/opt/Citrix/VDA/sbin/enable_ldaps.sh -Enable pathToRootCA
<!--NeedCopy-->

• Auf LDAP ohne SSL/TLS zurückgreifen

/opt/Citrix/VDA/sbin/enable_ldaps.sh -Disable
<!--NeedCopy-->

Der für LDAPS dedizierte Java-Keystore befindet sich unter /etc/xdl/.keystore. Betroffene Registrierungsschlüssel sind:

HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServers

HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServersForPolicy

HKLM\Software\Citrix\VirtualDesktopAgent\UseLDAPS

HKLM\Software\Policies\Citrix\VirtualDesktopAgent\Keystore
<!--NeedCopy-->

LDAPS für Drittanbieterplattformen konfigurieren

• Neben den Linux VDA-Komponenten benötigen auch mehrere Drittanbieter-Softwarekomponenten, die dem VDA entsprechen, möglicherweise sicheres LDAP, wie SSSD, Winbind, Centrify und Quest. Die folgenden Abschnitte beschreiben, wie sicheres LDAP mit LDAPS, STARTTLS oder SASL Signatur und Versiegelung konfiguriert wird.

• Tipp:

• Nicht alle dieser Softwarekomponenten bevorzugen die Verwendung von SSL-Port 636, um sicheres LDAP zu gewährleisten. Und meistens kann LDAPS (LDAP über SSL auf Port 636) nicht mit STARTTLS auf Port 389 koexistieren.

• SSSD

• Konfigurieren Sie den sicheren SSSD-LDAP-Verkehr auf Port 636 oder 389 gemäß den Optionen. Weitere Informationen finden Sie auf der SSSD LDAP Linux Manpage.

• Winbind

• Die Winbind-LDAP-Abfrage verwendet die ADS-Methode. Winbind unterstützt nur die StartTLS-Methode auf Port 389. Betroffene Konfigurationsdateien sind ldap.conf und smb.conf. Ändern Sie die Dateien wie folgt:

ldap.conf:

TLS_REQCERT never

smb.conf:

ldap ssl = start tls

ldap ssl ads = yes

client ldap sasl wrapping = plain
<!--NeedCopy-->

Alternativ kann sicheres LDAP durch SASL GSSAPI Signatur und Versiegelung konfiguriert werden, dies kann jedoch nicht mit TLS/SSL koexistieren. Um die SASL-Verschlüsselung zu verwenden, ändern Sie die Konfiguration von smb.conf:

smb.conf:

ldap ssl = off

ldap ssl ads = no

client ldap sasl wrapping = seal
<!--NeedCopy-->

Centrify

Centrify unterstützt LDAPS auf Port 636 nicht. Es bietet jedoch eine sichere Verschlüsselung auf Port 389. Weitere Informationen finden Sie auf der Centrify-Website.

Quest

Quest Authentication Service unterstützt LDAPS auf Port 636 nicht, bietet aber eine sichere Verschlüsselung auf Port 389 mit einer anderen Methode.

Fehlerbehebung

Die folgenden Probleme können bei der Verwendung dieser Funktion auftreten:

• Verfügbarkeit des LDAPS-Dienstes

  Stellen Sie sicher, dass die LDAPS-Verbindung auf dem AD/LDAP-Server verfügbar ist. Der Standardport ist 636.

• Linux VDA-Registrierung fehlgeschlagen, wenn LDAPS aktiviert ist

  Stellen Sie sicher, dass der LDAP-Server und die Ports korrekt konfiguriert sind. Überprüfen Sie zuerst das Stammzertifizierungsstellenzertifikat und stellen Sie sicher, dass es mit dem AD/LDAP-Server übereinstimmt.

• Versehentliche falsche Registrierungsänderung

  Wenn die LDAPS-bezogenen Schlüssel versehentlich ohne Verwendung von enable_ldaps.sh aktualisiert wurden, kann dies die Abhängigkeit von LDAPS-Komponenten beeinträchtigen.

• LDAP-Verkehr wird nicht über SSL/TLS von Wireshark oder anderen Netzwerküberwachungstools verschlüsselt

  Standardmäßig ist LDAPS deaktiviert. Führen Sie /opt/Citrix/VDA/sbin/enable_ldaps.sh aus, um es zu erzwingen.

• Es gibt keinen LDAPS-Verkehr von Wireshark oder anderen Netzwerküberwachungstools

  LDAP/LDAPS-Verkehr tritt bei der Linux VDA-Registrierung und der Auswertung von Gruppenrichtlinien auf.

• Fehler beim Überprüfen der LDAPS-Verfügbarkeit durch Ausführen von ldp connect auf dem AD-Server

  Verwenden Sie den AD-FQDN anstelle der IP-Adresse.

• Fehler beim Importieren des Stammzertifizierungsstellenzertifikats durch Ausführen des Skripts /opt/Citrix/VDA/sbin/enable_ldaps.sh

  Geben Sie den vollständigen Pfad des CA-Zertifikats an und stellen Sie sicher, dass das Stammzertifizierungsstellenzertifikat vom richtigen Typ ist. Im Allgemeinen sollte es mit den meisten unterstützten Java Keytool-Typen kompatibel sein. Wenn es nicht in der Supportliste aufgeführt ist, können Sie den Typ zuerst konvertieren. Citrix® empfiehlt das base64-kodierte PEM-Format, wenn Sie ein Problem mit dem Zertifikatsformat haben.

• Fehler beim Anzeigen des Stammzertifizierungsstellenzertifikats mit Keytool -list

  Wenn Sie LDAPS durch Ausführen von /opt/Citrix/VDA/sbin/enable_ldaps.sh aktivieren, wird das Zertifikat in /etc/xdl/.keystore importiert und das Kennwort zum Schutz des Keystores festgelegt. Wenn Sie das Kennwort vergessen, können Sie das Skript erneut ausführen, um einen Keystore zu erstellen.