配置ldap
安全LDAP(LDAPS)允许您为Active Directory管理的域启用安全轻量级目录访问协议,以通过SSL(安全套接字层)/TLS(传输层安全)提供通信。
默认情况下,客户端和服务器应用程序之间的LDAP通信不加密。使用LDAPS (SSL/TLS)的LDAP协议,可以保护Linux VDA与LDAP服务器之间的LDAP查询内容。
以下Linux VDA组件对LDAPS有依赖关系:
- 代理代理:在交付控制器上注册Linux VDA
- 政策服务:政策评估
配置LDAP包括:
- 在Active Directory(AD)/ LDAP服务器上启用LDAP
- 导出根CA供客户端使用
- 在Linux VDA上启用/禁用LDAPS
- 为第三方平台配置LDAPS
- 配置SSSD
- 配置Winbind
- 配置中心化
- 配置任务
注:
您可以运行以下命令来设置LDAP服务器的监视周期。默认值为15分钟。将其设置为至少10分钟。
/ opt / citrix / vda / bin / ctxreg create -k“hklm \ software \ citrix \ virtualdesktopagent”-v“listofldapservers moniterperoid”-t“reg_dword”-d“0x0000000f”--force <! - caltcopy - >
在AD/LDAP服务器上启用LDAP
您可以通过安装来自Microsoft证书颁发机构(CA)或非Microsoft CA的格式化正确的证书来启用LDAP over SSL (LDAPS)。
提示:
LDAP over SSL/TLS (LDAP over SSL/TLS)是在域控制器上安装Enterprise根CA时自动启用的。
有关如何安装证书和验证LDAPS连接的更多信息,请参阅如何使用第三方证书颁发机构启用SSL的LDAP在微软支持网站上。
当您有一个多层(如双层或三层)证书颁发机构层次结构时,您不会在域控制器上自动具有适当的LDAPA身份验证证书。
有关如何使用多层证书颁发机构层次结构为域控制器启用LDAP的信息,请参阅LDAP over SSL(LDAPS)证书关于Microsoft TechNet站点的文章。
启用客户端使用的根证书颁发机构
客户必须使用LDAP服务器信任的CA中使用证书。要使客户端启用LDAPA身份验证,请将根CA证书导入受信任的密钥库。
有关如何导出根CA的详细信息,请参见如何导出根证书颁发机构证书在微软支持网站上。
在Linux VDA中启用/禁用LDAPS
要在Linux VDA上启用或禁用LDAP,请运行以下脚本(以管理员身份登录):
此命令的语法包括以下内容:
使用提供的根CA证书启用LDAP over SSL/TLS:
/opt/Citrix/VDA/sbin/enable_ldaps.sh-enable pathToRootCA<--需要复制-->
启用通道绑定的LDAP over SSL/TLS:
/opt/Citrix/VDA/sbin/enable_ldaps.sh-Enablecb pathToRootCA<--需要复制-->
注:
通道绑定的根CA证书必须以PEM格式为单位。如果启用LDAPS未成功创建Python3虚拟环境,请按照说明手动创建它创建Python3虚拟环境.
要解决使用pip工具时可能遇到的SSL连接错误,请考虑将以下可信主机添加到/etc/pip.conf文件中:
[全球]
可信主机=
pypi.org
files.pythonhosted.org
退回到不使用SSL/TLS的LDAP
/opt/Citrix/VDA/sbin/enable_ldaps.sh-Disable<--需要复制-->
LDAPS专用的Java密钥存储位于/etc/xdl/keystore..受影响的注册表项包括:
HKLM\Software\Citrix\VirtualDesktopAgent\ listfldapservers HKLM\Software\Citrix\VirtualDesktopAgent\ listfldapservers forpolicy HKLM\Software\Citrix\VirtualDesktopAgent\UseLDAPS HKLM\Software\Policies\Citrix\VirtualDesktopAgent\Keystore HKLM\Software\Citrix\VirtualDesktopAgent\EnableChannelBinding
为第三方平台配置LDAP
除了Linux VDA组件之外,一些遵守VDA的第三方软件组件也可能需要安全LDAP,如SSSD、Winbind、Centrify和Quest。以下各节介绍如何使用LDAP、STARTTLS或SASL签名和盖章配置安全LDAP。
提示:
并非所有这些软件组件都喜欢使用SSL端口636来确保LDAP的安全性。大多数时候,LDAPS(端口636上的SSL LDAP)不能与端口389上的STARTTLS共存。
SSSD
根据选项在端口636或389上配置SSSD安全LDAP流量。有关更多信息,请参见SSSD LDAP Linux手册页.
温宾德
Winbind LDAP查询使用ADS方法。Winbind仅支持端口389上的StartTLS方法。受影响的配置文件是/etc/samba/smb.conf和/etc/openldap/ldap.conf(RHEL)或/etc/ldap/ldap.conf(对于Ubuntu)。按如下方式更改文件:
smb.conf
ldap ssl=启动tls
LDAP SSL ADS = YES
客户端LDAP SASL包装=平原
ldap.conf
TLS_REQCERT永远不会
另外,可以通过SASL GSSAPI签名和密封配置安全LDAP,但它不能与TLS/SSL共存。如果要使用SASL加密,请修改smb.conf配置:
Ldap SSL =关闭
Ldap SSL ads = no
客户端ldap sasl包装=密封
居中
Centrify不支持端口636上的LDAPS。但是,它确实在端口389上提供安全的加密。有关更多信息,请参阅点心网站.
探索
Quest身份验证服务不支持端口636上的LDAP,但它使用不同的方法在端口389上提供安全加密。
故障排除
当您使用此特性时,可能会出现以下问题:
LDAPS服务可用性
检查AD/LDAP服务器上的LDAPS连接是否可用。默认端口为636。
启用LDAP时,Linux VDA注册失败
验证是否正确配置了LDAP服务器和端口。首先检查根CA证书,并确保它与AD / LDAP服务器匹配。
不正确的注册表更改
如果不小心更新了LDAPS相关的密钥而没有使用enable_ldaps.sh,可能会破坏LDAPS组件的依赖关系。
LDAP流量没有通过Wireshark或其他网络监控工具使用SSL/TLS加密
默认情况下,LDAPS处于禁用状态。跑/opt/citrix/vda/sbin/enable_ldaps.sh.强迫它。
没有来自Wireshark或任何其他网络监控工具的LDAPS流量
当Linux VDA注册和组策略评估发生时,会发生LDAP / LDAPS流量。
通过在AD服务器上运行LDP Connect无法验证LDAPS可用性
使用AD FQDN而不是IP地址。
执行/opt/Citrix/VDA/sbin/enable_ldaps.sh脚本导入根CA证书失败
提供CA证书的完整路径,并验证根CA证书的类型是否正确。它应该与支持的大多数Java键工具类型兼容。如果未在支持列表中列出,则可以先转换类型。如果遇到证书格式问题,建议使用base64编码的PEM格式。
使用Keytool -list显示根CA证书失败
当您通过运行
/opt/citrix/vda/sbin/enable_ldaps.sh.
,则证书导入到/etc/xdl/。密钥库,密码设置为保护密钥库。如果忘记了密码,可以重新运行脚本来创建密钥存储库。