{"id":7191,"date":"2021-05-04T15:43:29","date_gmt":"2021-05-04T13:43:29","guid":{"rendered":"https:\/\/u-labs.de\/portal\/?p=7191"},"modified":"2021-05-05T17:44:43","modified_gmt":"2021-05-05T15:44:43","slug":"ldaps-mit-ssl-in-hcl-connections-tdi-als-quellverzeichnis-verwenden","status":"publish","type":"post","link":"https:\/\/u-labs.de\/portal\/ldaps-mit-ssl-in-hcl-connections-tdi-als-quellverzeichnis-verwenden\/","title":{"rendered":"LDAP mit SSL in HCL Connections TDI als Quellverzeichnis verwenden"},"content":{"rendered":"<p>Der IBM Tivoli Directory Integrator unterst\u00fctzt die Verwendung von SSL Transportverschl\u00fcsselung zum Domaincontroller. Dies ist grunds\u00e4tzlich sinnvoll und sollte einer unverschl\u00fcsselten Verbindung nat\u00fcrlich vorgezogen werden. Folgender Artikel beschreibt, wie der TDI zur Verwendung von SSL konfiguriert werden kann.<\/p>\n<h2 class=\"wp-block-heading\">Aktivieren von SSL im TDI<\/h2>\n<p>In der Datei profiles_tdi.properties m\u00fcssen wir daf\u00fcr SSL aktivieren. Beginnen wir mit der Anpassung des Portes. Standardm\u00e4\u00dfig kommt 389 f\u00fcr unverschl\u00fcsselte LDAP-Anfragen zum Einsatz. Dieser Port ist in <strong>source_ldap_url<\/strong> entsprechend durch 636 zu setzen &#8211; oder eben den jeweiligen SSL-Port, falls er ge\u00e4ndert wurde. Zus\u00e4tzlich die Eigenschaft source_ldap_use_ssl auf true setzen.<\/p>\n<pre class=\"wp-block-prismatic-blocks\"><code class=\"\" data-line=\"\">source_ldap_url=ldap:\/\/ldaphost.internal:636\nsource_ldap_use_ssl=true<\/code><\/pre>\n<p>Da die LDAP-URL von Connections in der PeopleDB gespeichert wird, macht es Sinn, folgende zwei Attribute zu setzen:<\/p>\n<pre class=\"wp-block-prismatic-blocks\"><code class=\"\" data-line=\"\">sync_source_url_enforce=true\nsync_source_url_override=true<\/code><\/pre>\n<p>Dadurch wird die LDAP-URL entsprechend angepasst.<\/p>\n<h2 class=\"wp-block-heading\">Dem Zertifikat im Truststore vertrauen<\/h2>\n<p>Entsprechend dem Funktionsprinzip von SSL muss der Client dem Zertifikat des Servers vertrauen. \u00dcblicherweise kommt eine eigene Zertifizierungsstelle zum Einsatz &#8211; oder ein selbst signiertes Zertifikat f\u00fcr Testumgebungen. In der Konfigurationsdatei <strong>solution.properties<\/strong> wird der verwendete Truststore festgelegt. Auch das dazugeh\u00f6rige Passwort findet sich dort:<\/p>\n<pre class=\"wp-block-prismatic-blocks\"><code class=\"\" data-line=\"\">javax.net.ssl.trustStore=ldap_ssl.jks\njavax.net.ssl.trustStorePassword=1234\njavax.net.ssl.trustStoreType=jks<\/code><\/pre>\n<p>Der Pfad zum Store ist relativ zum tdisol-Verzeichnis. Wenn man erstmalig auf SSL umstellt, muss der Truststore zun\u00e4chst angelegt werden. Anschlie\u00dfend ben\u00f6tigen wir das Zertifikat des LDAP-Servers, damit es im Truststore gespeichert werden kann. <a href=\"https:\/\/github.com\/stoeps13\/ibmcnxscripting\/blob\/master\/TDI\/SSL\/create_cacerts.sh\" target=\"_blank\" rel=\"nofollow\">Zur Vereinfachung hat Christoph St\u00f6ttner ein Shellskript daf\u00fcr geschrieben<\/a>:<\/p>\n<pre class=\"wp-block-prismatic-blocks\"><code class=\"language-bash\" data-line=\"\">.\/create_cacerts.sh -h dc01.internal -p 636 -f ldap_ssl.jks<\/code><\/pre>\n<p>Es legt den mit -f angegebenen Store an, sofern er nicht existiert. Entsprechend muss dort das gleiche Passwort gesetzt werden, wie zuvor in solution.properties angegeben. Nachdem mit <strong>yes<\/strong> best\u00e4tigt wurde dem Zertifikat zu vertrauen, l\u00e4uft der TDI mit SSL. Ein Aufruf von <strong>.\/collect_dns.sh<\/strong> sollte eben so funktionieren wie <strong>.\/sync_all_dns.sh<\/strong> und ohne Timeout durchlaufen.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Der IBM Tivoli Directory Integrator unterst\u00fctzt die Verwendung von SSL Transportverschl\u00fcsselung zum Domaincontroller. Dies ist grunds\u00e4tzlich sinnvoll und sollte einer unverschl\u00fcsselten Verbindung nat\u00fcrlich vorgezogen werden. Folgender Artikel beschreibt, wie der TDI zur Verwendung von SSL konfiguriert werden kann. Aktivieren von SSL im TDI In der Datei profiles_tdi.properties m\u00fcssen wir daf\u00fcr SSL aktivieren. Beginnen wir mit &#8230;<\/p>\n","protected":false},"author":5,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[765],"tags":[760,609,867,796,868],"class_list":["post-7191","post","type-post","status-publish","format-standard","hentry","category-hcl-connections","tag-hcl-connections","tag-ldap","tag-security","tag-tdi","tag-transportverschluesselung"],"_links":{"self":[{"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/posts\/7191","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/comments?post=7191"}],"version-history":[{"count":2,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/posts\/7191\/revisions"}],"predecessor-version":[{"id":7204,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/posts\/7191\/revisions\/7204"}],"wp:attachment":[{"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/media?parent=7191"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/categories?post=7191"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/tags?post=7191"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}