הפעלת LDAPS

בדף הזה מוסבר איך להפעיל LDAP באמצעות SSL/TLS ‏ (LDAPS) בשירות המנוהל ל-Microsoft Active Directory (שירות מנוהל ל-Microsoft AD), כדי להפוך את תעבורת ה-LDAP לחסויה ומאובטחת. כברירת מחדל, התקשורת בין שירות מנוהל ל-Microsoft AD לבין אפליקציות לקוח לא מוצפנת עבור קשירות LDAP פשוטות.

כדי להפעיל LDAPS, צריך אישור. בדף הזה מפורטות גם הדרישות לגבי האישור הנדרש, ומוסבר איך לאמת אותו ולעקוב אחריו.

בקשת אישור

אפשר לבקש אישור מ-Public Certificate Authority (CA), מרשות אישורים ארגונית, מGoogle Cloud Certificate Authority Service או להשתמש באישור בחתימה עצמית. אם משתמשים באישור בחתימה עצמית, צריך לפעול לפי ההוראות במסמכי Microsoft שמקושרים לפקודות PowerShell בקטעים הבאים.

אפשר ליצור אישור בחתימה עצמית באמצעות הפקודה New-SelfSignedCertificate ב-Windows, ב-OpenSSL או ב-MakeCert.

דרישות לאישורים

האישור צריך לעמוד בדרישות הבאות:

  • בטבלה הבאה מפורטות הדרישות ליצירת אישור בחתימה עצמית, ומוצגים הפרמטרים המשויכים שמשמשים בפקודה New-SelfSignedCertificate. שימו לב: שמות הפרמטרים או השדות יכולים להשתנות בהתאם לאופן שבו יצרתם את האישור.
פרמטר תיאור
Subject (שם הנושא) השם צריך להיות שם הדומיין של שירות מנוהל ל-Microsoft AD עם התחילית של התו הכללי, כדי להבטיח שהשירות יישאר זמין במהלך תהליך שדרוג או שחזור. הסיבה לכך היא שבבקרי דומיין נעשה שימוש בשמות אקראיים שמשתנים במהלך תהליך שדרוג או שחזור. לדוגמה, אם שם הדומיין הוא ad.mycompany.com, שם הנושא חייב להיות CN=*.ad.mycompany.com
‫DnsName (שם DNS או שם חלופי של בעלים) היא צריכה לכלול רק את הפרטים הבאים:
  • שם כללי של הדומיין שלכם בשירות מנוהל ל-Microsoft AD
  • שם הדומיין של שירות מנוהל ל-Microsoft AD
    • לדוגמה, "CN=*.ad.mycompany.com","CN=.ad.mycompany.com"
    KeySpec הערך שלו צריך להיות 1, שמציין שאפשר להשתמש בו גם לחתימה דיגיטלית וגם להחלפת מפתחות.
    KeyLength גודל המפתח המינימלי תלוי באלגוריתם ההצפנה.
  • ‫RSA: לפחות 2048 ביט
  • ‫ECDSA: לפחות 256 ביט
  • ‫ED25519: 512 ביטים (אורך קבוע)
    		•
    KeyUsage הוא חייב לכלול את האפשרויות 'חתימות דיגיטליות' ו'הצפנת מפתח'.
    TextExtension או EnhancedKeyUsageExtension האישור צריך לכלול את OID=1.3.6.1.5.5.7.3.1 לצורך אימות שרת.
    NotBefore השעה שבה האישור תקף. האישור צריך להיות בתוקף כשמפעילים LDAPS.
    NotAfter הזמן שאחריו האישור לא תקף. האישור צריך להיות בתוקף כשמפעילים LDAPS.
    ‫KeyAlgorithm (signature algorithm) אלגוריתמים חלשים לחתימה כמו SHA-1, ‏ MD2, ‏ MD5 לא נתמכים.

    • שרשרת הנפקה: צריך להעלות את כל שרשרת האישורים, והיא צריכה להיות תקפה. השרשרת חייבת להיות ליניארית, ולא יכולות להיות כמה שרשרות.

    • פורמט האישור: הפורמט צריך לעמוד בתקן Public-Key Cryptography Standards (PKCS) #12. חובה להשתמש בקובץ PFX.

    בקשה מ-CA ציבורי או מ-CA ארגוני

    כדי לבקש אישור מרשות אישורים ציבורית או מרשות אישורים ארגונית, פועלים לפי השלבים האלה.

    מאשרים את האישור באותה מכונה וירטואלית שבה נוצרה הבקשה.

    ייצוא האישור בפורמט PKCS #12

    כדי לייצא את האישור בפורמט PKCS #12 (כקובץ PFX), מבצעים את השלבים הבאים:

    1. ב-Windows, עוברים לאישורים ב-Microsoft Management Console (MMC).

    2. מרחיבים את Local Computer Certificates (אישורים במחשב המקומי) ועוברים אל Personal > Certificates (אישי > אישורים).

    3. לוחצים לחיצה ימנית על האישור שיצרתם כדי להפעיל LDAPS, ובוחרים באפשרות כל המשימות > ייצוא.

    4. בתיבת הדו-שיח אשף ייצוא האישורים שמופיעה, לוחצים על הבא.

    5. בדף Export Private Key (ייצוא מפתח פרטי), בוחרים באפשרות Yes (כן) כדי לייצא את המפתח הפרטי.

    6. בדף Export File Format (ייצוא פורמט קובץ), בוחרים באפשרות Personal Information Exchange - PKCS #12 (.PFX) (החלפת מידע אישי – PKCS #12 (.PFX)) ובתיבת הסימון Include all certificates in the certification path if possible (הכללת כל האישורים בנתיב האישור אם אפשר). לוחצים על Next.

    7. בדף אבטחה, מסמנים את תיבת הסימון סיסמה ומזינים סיסמה חזקה כדי להגן על האישור. לוחצים על הבא. הסיסמה הזו נדרשת כשמגדירים LDAPS בדומיין שירות מנוהל ל-Microsoft AD.

    8. בדף File to Export (קובץ לייצוא), מזינים את שם היעד ואת הנתיב של קובץ ה-PFX לייצוא. לוחצים על Next.

    9. לוחצים על סיום.

    כדי לייצא אישור עם חתימה עצמית עם המפתח הפרטי בפורמט PKCS #12 כקובץ PFX, משתמשים בפקודה Export-PfxCertificate. כדי לייצא אישור עם חתימה עצמית כקובץ PEM, משתמשים בפקודה Export-Certificate.

    הפצה של שרשרת הגורם המנפיק למחשבי לקוח

    כדי ש-LDAPS יפעל, כל מחשבי הלקוח צריכים לתת אמון למוציא האישור של LDAPS. במקרה של רשות אישורים ציבורית מוכרת, יכול להיות שהמחשבים של הלקוחות כבר נותנים אמון בשרשרת המנפיק. אם השרשרת לא מהימנה, צריך לבצע את השלבים הבאים כדי לייצא את שרשרת המנפיק:

    1. ב-Windows, עוברים לאישורים ב-Microsoft Management Console (MMC).

    2. מרחיבים את Local Computer Certificates (אישורים במחשב המקומי) ועוברים אל Personal > Certificates (אישי > אישורים). לוחצים לחיצה כפולה על אישור ה-LDAPS.

    3. בחלון אישור, לוחצים על הכרטיסייה נתיב אישור.

    4. בכרטיסייה נתיב האישור, בוחרים את אישור הבסיס בנתיב.

    5. לוחצים על הצגת האישור.

    6. לוחצים על הכרטיסייה פרטים ואז על העתקה לקובץ...

    7. בתיבת הדו-שיח אשף ייצוא האישורים שמופיעה, בוחרים באפשרות Base-64 encoded X.509 (אישור X.509 בקידוד Base64) ולוחצים על הבא.

    8. בוחרים את שם הקובץ והמיקום של שרשרת האישורים ולוחצים על סיום.

    9. כדי להעתיק את האישור למחשב הלקוח שיוצר חיבור LDAPS, משתמשים בתיבת הדו-שיח אשף ייבוא האישורים כדי לייבא את האישור למאגר 'מחשב מקומי'. אפשר גם להפיץ את שרשרת האישורים של רשויות ההנפקה אל מחשבי הלקוח באמצעות מדיניות קבוצתית ב-Windows.

    כדי לייבא אישור עם חתימה עצמית אל מאגר הבסיס המהימן של המחשב המקומי, משתמשים בפקודה Import-Certificate.

    הפעלת LDAPS בדומיין של שירות מנוהל ל-Microsoft AD

    לפני שמפעילים LDAPS בדומיין שירות מנוהל ל-Microsoft AD, צריך לבצע את הפעולות הבאות:

    1. מוודאים שיש לכם אחד מהתפקידים הבאים ב-IAM:

      • Google Cloud אדמין של זהויות מנוהלות (roles/managedidentities.admin)
      • Google Cloud אדמין בדומיין של זהויות מנוהלות (roles/managedidentities.domainAdmin)

      מידע נוסף על תפקידי IAM בשירות מנוהל ל-Microsoft AD זמין במאמר בקרת גישה.

    כדי להפעיל LDAPS בדומיין שירות מנוהל ל-Microsoft AD, צריך לבצע את השלבים הבאים:

    המסוף

    1. במסוף Google Cloud , עוברים לדף שירות מנוהל ל-Microsoft AD.
      מעבר לשירות מנוהל ל-Microsoft AD
    2. בדף Domains (דומיינים), בוחרים דומיין מרשימת המקרים כדי להפעיל LDAPS.
    3. בקטע LDAPS בדף פרטי הדומיין, לוחצים על הגדרת LDAPS.
    4. בחלונית Configure LDAPS, מזינים את המיקום של קובץ ה-PFX ואת הסיסמה שבה השתמשתם כדי לייצא את האישור בפורמט PKCS #12, ואז לוחצים על Configure LDAPS.

    gcloud

    מריצים ב-CLI של gcloud את הפקודה הבאה:

    gcloud active-directory domains update-ldaps-settings DOMAIN_NAME \
    --certificate-pfx-file=PFX_FILENAME \
    --certificate-password=PASSWORD

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫DOMAIN_NAME: שם המשאב המלא של הדומיין שלכם ב-Managed Microsoft AD. פורמט השם המלא של המשאב: projects/PROJECT_ID/locations/global/domains/DOMAIN_NAME.
    • ‫PFX_FILENAME: קובץ ה-PFX בפורמט PKCS #12 שמציין את שרשרת האישורים שמשמשת להגדרת LDAPS.
    • ‫PASSWORD: הסיסמה שמשמשת להצפנת אישור PKCS #12. אם לא מציינים את הסיסמה, תופיע בקשה להזנת הסיסמה בזמן הפעלת הפקודה.

    הפעולה הזו יכולה להימשך עד 20 דקות. כדי לעדכן את האישור, חוזרים על השלבים האלה עם קובץ ה-PFX המעודכן.

    אימות LDAPS

    כדי לוודא ש-LDAPS מופעל, מבצעים LDAPS bind. התהליך הזה משתמש ב-LDP.exe, שהוא אחד מהכלים של RSAT שמותקנים כשמצטרפים למכונה וירטואלית לדומיין.

    ב-VM של Windows שמצורף לדומיין Google Cloud , מבצעים את השלבים הבאים ב-PowerShell:

    1. ב-PowerShell, מפעילים את LDP.exe ועוברים אל Connection > Connect (חיבור > התחברות).

    2. בתיבת הדו-שיח Connect, מבצעים את הפעולות הבאות:

      1. בשדה Server, מזינים את שם הדומיין.
      2. בשדה יציאה, מזינים 636.
      3. מסמנים את תיבת הסימון SSL.
      4. לוחצים על OK.

      אם LDAPS מופעל בצורה תקינה, החיבור יצליח.

    מעקב אחרי אישור

    אפשר לראות את הזמן לחיות (TTL) של שרשרת אישורים ב-Cloud Monitoring. המדד cert_ttl מציג את מספר הימים שנותרו לתוקף של האישור בשרשרת עם תאריך התפוגה המוקדם ביותר.

    המסוף

    כדי לראות את המדדים של משאבים שבמעקב באמצעות Metrics Explorer:

    1. נכנסים לדף  Metrics explorer במסוף Google Cloud :

      כניסה אל Metrics Explorer

      אם משתמשים בסרגל החיפוש כדי למצוא את הדף הזה, בוחרים בתוצאה שבה הכותרת המשנית היא Monitoring.

    2. בסרגל הכלים של מסוף Google Cloud , בוחרים את Google Cloud הפרויקט. בהגדרות של מרכז האפליקציות, בוחרים את הפרויקט המארח של מרכז האפליקציות או את פרויקט הניהול של התיקייה לניהול אפליקציות.
    3. ברכיב Metric, מרחיבים את התפריט Select a metric, כותבים LDAPS Certificate TTL בשורת הסינון ומשתמשים בתפריטי המשנה כדי לבחור סוג ספציפי של משאב ומדד:
      1. בתפריט Active resources בוחרים באפשרות Microsoft Active Directory Domain.
      2. בתפריט Active metric categories בוחרים באפשרות Microsoft_ad.
      3. בתפריט Active metrics בוחרים באפשרות LDAPS Certificate TTL.
      4. לוחצים על אישור.

    4. כדי להוסיף מסננים שמסירים סדרות זמן מתוצאות השאילתה, משתמשים ברכיב Filter.

    5. כדי לשלב סדרות עיתיות, משתמשים בתפריטים ברכיב Aggregation. לדוגמה, כדי להציג את ניצול המעבד של המכונות הווירטואליות לפי האזור שלהן, מגדירים את התפריט הראשון ל-Mean ואת התפריט השני ל-zone.

      כל סדרות הזמן מוצגות כשהתפריט הראשון של רכיב הצבירה מוגדר לללא צבירה. הגדרות ברירת המחדל של הרכיב צבירה נקבעות לפי סוג המדד שבחרתם.

    6. כדי לראות מכסות ומדדים אחרים שמדווחים על דגימה אחת ליום:
      1. בחלונית Display, מגדירים את Widget type לאפשרות תרשים עמודות אופקי מוערם.
      2. מגדירים את התקופה לשבוע אחד לפחות.

    אפשר גם ללחוץ על Monitoring (מעקב) בקטע LDAPS בדף פרטי הדומיין כדי לעבור אל Metrics Explorer (כלי לבדיקת מדדים).

    אפשר גם להשתמש בכלי לעריכת קוד PromQL כדי למצוא את המדדים האלה.

    1. בכרטיסייה מדד, בוחרים באפשרות עורך שאילתות.

    2. בשדה הטקסט של עורך השאילתות, מזינים את שאילתת PromQL הבאה ובוחרים באפשרות הפעלת השאילתה.

    sum by (fqdn) (
  avg_over_time({
    "__name__"="managedidentities.googleapis.com/microsoft_ad/domain/ldaps/cert_ttl",
    "monitored_resource"="microsoft_ad_domain",
  }[${__interval}])
)

    השבתת LDAPS

    כדי להשבית את LDAPS, מבצעים את השלבים הבאים:

    המסוף

    1. במסוף Google Cloud , עוברים לדף שירות מנוהל ל-Microsoft AD.
      מעבר אל שירות מנוהל ל-Microsoft AD
    2. בדף Domains (דומיינים), בוחרים את הדומיין מתוך רשימת המקרים שרוצים להשבית עבורם את האישור.
    3. בקטע LDAPS בדף פרטי הדומיין, לוחצים על השבתה.

    gcloud

    מריצים ב-CLI של gcloud את הפקודה הבאה:

    gcloud active-directory domains update-ldaps-settings DOMAIN_NAME \
    --clear-ldaps-certificate

    מחליפים את DOMAIN_NAME בשם המשאב המלא של הדומיין שלכם ב-Managed Microsoft AD. פורמט השם המלא של המשאב: projects/PROJECT_ID/locations/global/domains/DOMAIN_NAME.

    הפעולה הזו יכולה להימשך עד 20 דקות. כדי להפעיל מחדש את LDAPS, צריך להעלות מחדש את האישורים.

    המאמרים הבאים