Der Server Administrator bietet Sicherheit durch rollenbasierte Zugriffsregelung (RBAC), Authentisierung und Verschlüsselung für die Internet-basierte und Befehlszeilen-Schnittstelle.
Rollenbasierte Zugriffsregelung
RBAC verwaltet Sicherheit, indem es die Vorgänge bestimmt, die von Personen in bestimmten Rollen ausgeführt werden können. Jedem Benutzer werden eine oder mehrere Rollen und jeder Rolle ein oder mehrere Benutzerberechtigungen zugewiesen, die Benutzern in der jeweiligen Rolle zustehen. Mit RBAC gleicht die Sicherheits-Administration sehr der Struktur einer Firma.
Benutzerberechtigungen
Der Server Administrator gewährt unterschiedliche Zugriffsrechte, basierend auf den dem Benutzer zugewiesenen Gruppenzugriffsrechten. Die drei Benutzerebenen sind: Benutzer, Hauptbenutzer und
Administrator.
Benutzer können die meisten Informationen anzeigen.
Hauptbenutzer können Warnungsgrenzwerte einstellen
und konfigurieren, welche Warnungsmaßnahmen ausgeführt werden sollen, wenn ein Warnungs- oder Fehlerereignis eintritt.
Administratoren können Maßnahmen zum Herunterfahren konfigurieren und durchführen, automatische Wiederherstellungsmaßnahmen konfigurieren, falls ein Betriebssystem auf einem System nicht mehr reagiert, und Hardware-, Ereignis- und Befehlsprotokolle löschen. Administratoren können das System auch konfigurieren, um E-Mails zu senden.
Der Server Administrator erteilt Nur-Lese-Zugriff an Benutzer, die mit Benutzerberechtigungen angemeldet sind, Lese- und Schreibzugriff an Benutzer mit Hauptbenutzerberechtigungen und Lese-, Schreib- und Admin-Zugriffsrechte an Benutzer, die mit Administratorrechten angemeldet sind. Siehe Tabelle 3-1.
Tabelle 3-1. Benutzerberechtigungen
Benutzerberechtigungen
Zugriffstyp
Admin
Schreiben
Lesen
Benutzer
X
Hauptbenutzer
X
X
Admin
X
X
X
Lesen lässt die Ansicht von vom Server Administrator berichteten Daten zu. Lesezugriff lässt keine Änderung oder Einstellung von Werten auf dem verwalteten System zu.
Schreiben erlaubt Änderungen oder Einstellungen auf dem verwalteten System.
Admin-Zugriff lässt außerdem das Herunterfahren des verwalteten Systems zu.
Berechtigungsebenen für den Zugriff auf Server Administrator-Dienste
In Tabelle 3-2 wird zusammengefasst, welche Benutzerebenen
die Berechtigungen für den Zugriff auf die Server Administrator-Dienste sowie die Verwaltung dieser Dienste besitzen.
Tabelle 3-2. Server Administrator-Benutzerberechtigungsebenen
Dienst
Erforderliche Benutzerberechtigungsebene
Ansicht
Verwaltung
Instrumentation
B, H, A
H, A
Remote-Zugriff
B, H, A
A
Speicherverwaltung
B, H, A
A
In Tabelle 3-3 werden die Abkürzungen der in Tabelle 3-2 verwendeten Benutzerberechtigungsebenen definiert.
Tabelle 3-3. Legende der Server Administrator-Benutzerberechtigungsebenen
B
Benutzer
H
Hauptbenutzer
A
Administrator
nicht zutreffend
Nicht zutreffend
Authentisierung
Das Server Administrator-Authentisierungsschema stellt sicher, dass die richtigen Zugriffstypen den korrekten Benutzerberechtigungen zugewiesen werden. Darüber hinaus validiert das Server Administrator-Authentisierungsschema den Kontext innerhalb dessen des gegenwärtige Verfahrens läuft, wenn die Befehlszeilenschnittstelle aufgerufen wird. Dieses Authentisierungsschema stellt sicher, dass alle Server Administrator-Funktionen, ob auf sie über die Homepage des Server Administrators oder über die CLI zugegriffen wird, korrekt authentisiert werden.
Microsoft Windows Authentisierung
Für unterstützte Microsoft® Windows®-Betriebssysteme verwendet Server Administrator-Authentifizierung integrierte Windows Authentication (früher NTLM genannt) zur Authentisierung. Dieses Authentifizierungssystem ermöglicht die Einschließung der Server Administrator-Sicherheit in ein Gesamtsicherheitsschema für das Netzwerk.
Red Hat® Enterprise Linux und SUSE® LINUX Enterprise Server-Authentifizierung
Für unterstützte Red Hat Enterprise Linux- und SUSE LINUX Enterprise Server-Betriebssysteme basiert die Server Administrator-Authentifizierung auf der Pluggable Authentication Modules-Bibliothek (PAM). Mit dieser dokumentierten Funktionenbibliothek kann ein Administrator feststellen, wie einzelne Anwendungen Benutzer authentisieren.
Verschlüsselung
Zugriff auf den Server Administrator erfolgt über eine sichere HTTPS-Verbindung mittels Secure Socket Layer-Technologie (SSL) zur Sicherung und zum Schutz der Identität des verwalteten Systems. Java Secure Socket Extension (JSSE) wird von unterstützten Microsoft Windows-, Red Hat Enterprise Linux- und SUSE LINUX Enterprise-Betriebssystemen zum Schutz der Benutzeranmeldeinformationen und anderer Daten, die über die Socket-Verbindung übertragen werden, verwendet, wenn ein Benutzer auf die Startseite des Server Administrators zugreift.
Benutzerberechtigungen zuweisen
Allen Benutzern des Server Administrators müssen Benutzerberechtigungen zugewiesen werden, bevor der Server Administrator installiert wird, um die Sicherheit kritischer Systemkomponenten zu gewährleisten.
Die folgenden Verfahren enthalten schrittweise Anleitungen für die Einrichtung von Server Administrator-Benutzern und die Zuweisung von Benutzerrechten für jedes unterstützte Betriebssystem:
HINWEIS: Jedem Benutzerkonto mit Zugriff auf den Server Administrator muss ein Kennwort zugeteilt werden, um den Zugriff auf die kritischen Systemkomponenten zu sichern. Zudem können sich Benutzer auf Grund von Einschränkungen des Betriebssystems ohne zugewiesenes Kennwort nicht am Server Administrator eines Systems anmelden, auf dem Windows Server™ 2003 ausgeführt wird.
Server Administrator-Benutzer für unterstützte Microsoft Windows-Betriebssysteme erstellen
ANMERKUNG: Für diese Verfahren müssen Sie mit Admin-Zugriffsrechten angemeldet sein.
Benutzer erstellen und Benutzerberechtigungen zuweisen in unterstützten Windows Server 2003-Betriebssystemen
ANMERKUNG: Bei Fragen über das Erstellen von Benutzern und Zuweisen von Benutzergruppenzugriffsrechten oder für detailliertere Anleitungen, lesen Sie die Dokumentation für das jeweilige Betriebssystem.
Klicken Sie auf die Schaltfläche Start, klicken Sie mit der rechten Maustaste auf Arbeitsplatz und zeigen Sie auf Verwalten.
Erweitern Sie in der Konsolenstruktur Lokale Benutzer und Gruppen und klicken Sie auf Benutzer.
Klicken Sie auf Maßnahme und dann auf Neuer Benutzer.
Geben Sie die entsprechenden Informationen in das Dialogfeld ein, wählen Sie die entsprechenden Kontrollkästchen aus oder entfernen Sie die Häkchen wieder und klicken Sie auf Erstellen.
HINWEIS: Jedem Benutzerkonto mit Zugriff auf den Server Administrator muss ein Kennwort zugeteilt werden, um den Zugriff auf die kritischen Systemkomponenten zu sichern. Zudem können sich Benutzer auf Grund von Einschränkungen des Betriebssystems ohne zugewiesenes Kennwort nicht am Server Administrator eines Systems anmelden, auf dem Windows Server 2003 ausgeführt wird.
Klicken Sie in der Konsolenstruktur unter Lokale Benutzer und Gruppen auf Gruppen.
Klicken Sie auf die Gruppe, der der neue Benutzer hinzugefügt werden soll: Benutzer, Hauptbenutzer oder Administrator.
Klicken Sie auf Maßnahme und dann auf Eigenschaften.
Klicken Sie auf Hinzufügen.
Klicken Sie auf Namen prüfen, um den Benutzernamen, den Sie hinzufügen, zu bestätigen.
Klicken Sie auf OK.
Neue Benutzer können sich bei Server Administrator mit den Benutzerberechtigungen für ihre zugewiesene Gruppe anmelden.
Benutzer erstellen und Benutzerberechtigungen zuweisen in unterstützten Windows 2000-Betriebssystemen
ANMERKUNG: Bei Fragen über das Erstellen von Benutzern und Zuweisen von Benutzergruppenzugriffsrechten oder für detailliertere Anleitungen, lesen Sie die Dokumentation für das jeweilige Betriebssystem.
Klicken Sie mit der rechten Maustaste auf Arbeitsplatz und zeigen Sie auf Verwalten.
Erweitern Sie in der Konsolenstruktur Lokale Benutzer und Gruppen und klicken Sie auf Benutzer.
Klicken Sie auf Maßnahme und dann auf Neuer Benutzer.
Geben Sie die entsprechenden Informationen in das Dialogfeld ein, wählen Sie die entsprechenden Kontrollkästchen aus oder entfernen Sie die Häkchen wieder und klicken Sie auf Erstellen.
HINWEIS: Jedem Benutzerkonto mit Zugriff auf den Server Administrator muss ein Kennwort zugeteilt werden, um den Zugriff auf die kritischen Systemkomponenten zu sichern. Zudem können sich Benutzer auf Grund von Einschränkungen des Betriebssystems ohne zugewiesenes Kennwort nicht am Server Administrator eines Systems anmelden, auf dem Windows Server 2003 ausgeführt wird.
Klicken Sie in der Konsolenstruktur unter Lokale Benutzer und Gruppen auf Gruppen.
Klicken Sie auf die Gruppe, der der neue Benutzer hinzugefügt werden soll: Benutzer, Hauptbenutzer oder Administrator.
Klicken Sie auf Maßnahme und dann auf Eigenschaften.
Klicken Sie auf Hinzufügen.
Klicken Sie auf den Namen des hinzuzufügenden Benutzers und klicken Sie auf Hinzufügen.
Klicken Sie auf Namen prüfen, um den Benutzernamen, den Sie hinzufügen, zu bestätigen.
Klicken Sie auf OK.
Neue Benutzer können sich bei Server Administrator mit den Benutzerberechtigungen für ihre zugewiesene Gruppe anmelden.
Benutzer zu einer Domäne hinzufügen
ANMERKUNG: Um Informationen über das Erstellen von Benutzern und Zuweisen von Benutzer-Gruppenzugriffsberechtigungen zu erhalten oder um weitere detaillierte Anleitungen zu erhalten, lesen Sie die Dokumentation für das jeweilige Betriebssystem.
ANMERKUNG: Für die Durchführung der folgenden Verfahren muss Microsoft® Active Directory® auf dem System installiert sein.
Klicken Sie auf die Schaltfläche Start und gehen Sie dann auf Systemsteuerung®Verwaltung®Active Directory Benutzer und Computer.
In der Konsolenstruktur klicken Sie mit der rechten Maustaste auf Benutzer, oder Sie klicken mit der rechten Maustaste auf den Container, dem Sie den neuen Benutzer hinzufügen möchten, dann gehen Sie auf Neuer®Benutzer.
Geben Sie die entsprechenden Benutzernameninformationen in das Dialogfeld ein und klicken Sie auf Weiter.
HINWEIS: Jedem Benutzerkonto mit Zugriff auf den Server Administrator muss ein Kennwort zugeteilt werden, um den Zugriff auf die kritischen Systemkomponenten zu sichern. Zudem können sich Benutzer auf Grund von Einschränkungen des Betriebssystems ohne zugewiesenes Kennwort nicht am Server Administrator eines Systems anmelden, auf dem Windows Server 2003 ausgeführt wird.
Klicken Sie auf Weiter und dann auf Fertig stellen.
Doppelklicken Sie auf das Symbol für den eben erstellten Benutzer.
Klicken Sie auf das Register Mitglied von.
Klicken Sie auf Hinzufügen.
Wählen Sie die entsprechende Gruppe und klicken Sie auf Hinzufügen.
Klicken Sie zweimal hintereinander auf OK.
Neue Benutzer können sich am Server Administrator mit den Benutzerberechtigungen für ihre zugewiesene Gruppe und Domäne anmelden.
HINWEIS: Mit Active Directory müssen Sie, wenn Sie universelle Gruppen von getrennten Domänen hinzufügen, ein Zuordnungsobjekt mit universeller Reichweite erstellen. Die vom Dienstprogramm Dell Schema Extender erstellten Standardeinstellungszuordnungsobjekte sind lokale Domänenguppen und funktionieren nicht mit universellen Gruppen von anderen Domänen.
Server Administrator-Benutzer für unterstützte Red Hat Enterprise Linux und SUSE LINUX Enterprise Server-Betriebssysteme erstellen
Admin-Zugriffsrechte werden dem als root angemeldeten Benutzer zugewiesen. Zum Erstellen von Benutzern mit Benutzer- und Hauptbenutzerberechtigungen führen Sie folgende Schritte durch.
ANMERKUNG: Zur Durchführung dieser Verfahren müssen Sie als root angemeldet sein.
ANMERKUNG: Für die Durchführung dieser Verfahren muss das Dienstprogramm useradd auf dem System installiert sein.
Benutzer erstellen
ANMERKUNG: Um Informationen über das Erstellen von Benutzern und Zuweisen von Benutzer-Gruppenzugriffsberechtigungen zu erhalten oder um weitere detaillierte Anleitungen zu erhalten, lesen Sie die Dokumentation für das jeweilige Betriebssystem.
Benutzer mit Benutzerberechtigungen erstellen
Führen Sie den folgenden Befehl von der Befehlszeile aus durch:
ANMERKUNG: Wenn die <Gruppe> nicht existiert, muss sie mit dem Befehl
groupadd
erstellt werden.
Geben Sie passwd<Benutzername> ein und drücken Sie <Eingabe>.
Wenn Sie dazu aufgefordert werden, geben Sie ein Kennwort für den neuen Benutzer ein.
HINWEIS: Jedem Benutzerkonto mit Zugriff auf den Server Administrator muss ein Kennwort zugeteilt werden, um den Zugriff auf die kritischen Systemkomponenten zu sichern.
Der neue Benutzer kann sich jetzt mit Benutzergruppen-Zugriffsrechten bei Server Administrator anmelden.
Benutzer mit Hauptbenutzerberechtigungen erstellen
Führen Sie den folgenden Befehl von der Befehlszeile aus durch:
ANMERKUNG: Sie müssen
root
als die primäre Gruppe setzen.
Geben Sie passwd<Benutzername> ein und drücken Sie <Eingabe>.
Wenn Sie dazu aufgefordert werden, geben Sie ein Kennwort für den neuen Benutzer ein.
HINWEIS: Jedem Benutzerkonto mit Zugriff auf den Server Administrator muss ein Kennwort zugeteilt werden, um den Zugriff auf die kritischen Systemkomponenten zu sichern.
Der neue Benutzer kann sich jetzt mit Hauptbenutzergruppen-Zugriffsrechten bei Server Administrator anmelden.
Gastkonten und anonyme Konten in unterstützten Windows-Betriebssystemen deaktivieren
ANMERKUNG: Für dieses Verfahren müssen Sie mit Admin-Zugriffsrechten angemeldet sein.
Wenn auf dem System Windows Server 2003 ausgeführt wird, klicken Sie auf die Schaltfläche Start, klicken Sie mit der rechten Maustaste auf Arbeitsplatz und zeigen Sie auf Verwalten. Wenn auf dem System Windows 2000 ausgeführt wird, klicken Sie mit der rechten Maustaste auf Arbeitsplatz und zeigen Sie auf Verwalten.
Erweitern Sie in der Konsolenstruktur Lokale Benutzer und Gruppen und klicken Sie auf Benutzer.
Klicken Sie auf das Systemnamenbenutzerkonto Gast oder IUSR_.
Klicken Sie auf Maßnahme und zeigen Sie auf Eigenschaften.
Wählen Sie Konto ist deaktiviert und klicken Sie auf OK.
Ein roter Kreis mit einem X wird über dem Benutzernamen dargestellt. Das Konto ist deaktiviert.
SNMP-Agenten konfigurieren
Der Server Administrator unterstützt die Systemverwaltungsnorm einfaches Netzwerkverwaltungsprotokoll (SNMP) auf allen unterstützten Betriebssystemen. Der SNMP-Support ist abhängig von Ihrem Betriebssystem und wie das Betriebssystem installiert wurde installiert/nicht. In den meisten FäIlen wird SNMP als Teil der Betriebssysteminstallation installiert. Ein installierter unterstützter Systemverwaltungsprotokoll-Standard, z. B. SNMP, ist vor der Installation von Server Administrator erforderlich. Weitere Informationen finden Sie unter "Installationsvoraussetzungen".
Sie können den SNMP-Agenten zur Änderung des Community-Namens, Aktivierung von Set-Vorgängen und Senden von Traps an eine Verwaltungsstation konfigurieren. Zur Konfiguration des SNMP-Agenten für die korrekte Interaktion mit Verwaltungsanwendungen, wie z. B. dem Dell OpenManage™ IT
Assistant, führen Sie die im Folgenden beschriebenen Verfahren aus.
ANMERKUNG: Damit IT Assistant Verwaltungsinformationen von einem System abrufen kann, auf dem Server Administrator
ausgeführt wird, muss der durch IT Assistant verwendete Community-Name mit einem
Community-Namen auf dem System übereinstimmen, auf dem Server Administrator ausgeführt wird. Damit IT Assistant Informationen oder durchgeführte Maßnahmen auf einem System ändern kann, auf dem Server Administrator
ausgeführt wird, muss der durch IT Assistant verwendete Community-Name mit einem zum Einstellen von Vorgängen berechtigenden
Community-Namen auf dem System übereinstimmen, auf dem Server Administrator ausgeführt wird. Damit IT Assistant Traps (asynchrone Ereignisbenachrichtigungen) von einem System empfangen kann,
auf dem Server Administrator ausgeführt wird, muss das Server Administrator ausführende System so konfiguriert sein,
dass es Traps an das System sendet, auf dem IT Assistant ausgeführt wird.
Die folgenden Verfahren enthalten schrittweise Anleitungen für die Konfiguration des SNMP-Agenten für jedes unterstützte Betriebssystem.
SNMP-Agenten für Systeme konfigurieren, auf denen unterstützte Windows-Betriebssysteme ausgeführt werden
Der Server Administrator verwendet die SNMP-Dienste, die vom Windows SNMP-Agenten bereitgestellt werden. Sie können den SNMP-Agenten zur Änderung des Community-Namens, Aktivierung von Set-Vorgängen und Senden von Traps an eine Verwaltungsstation konfigurieren. Zur Konfiguration des SNMP-Agenten für die korrekte Interaktion mit Verwaltungsanwendungen wie dem IT
Assistant führen Sie die im folgenden beschriebenen Verfahren aus.
ANMERKUNG: Konsultieren Sie die Dokumentation des Betriebssystems für zusätzliche Details über die SNMP-Konfiguration.
SNMP-Zugriff durch Remote Hosts aktivieren
Standardmäßig nimmt der Windows Server 2003 keine SNMP-Pakete von Remote Hosts an. Für Systeme mit Windows Server 2003 muss der SNMP-Dienst so konfiguriert werden, dass er SNMP-Pakete von Remote Hosts annimmt, wenn geplant ist, das System von Remote Hosts aus über SNMP-Verwaltungsanwendungen zu verwalten.
Damit ein System mit einem Windows Server 2003-Betriebssystem SNMP-Pakete von Remote Hosts empfangen kann, führen Sie folgende Schritte aus:
Klicken Sie auf die Schaltfläche Start, klicken Sie mit der rechten Maustaste auf Arbeitsplatz und zeigen Sie auf Verwalten.
Das Fenster Computerverwaltung wird angezeigt.
Erweitern Sie das Symbol Computerverwaltung im Fenster, falls erforderlich.
Erweitern Sie das Symbol Dienste und Anwendungen und klicken Sie auf Dienste.
Rollen Sie durch die Liste der Dienste, bis Sie SNMP-Dienste finden, klicken Sie mit der rechten Maustaste auf SNMP-Dienst und dann auf Eigenschaften.
Das Fenster Eigenschaften von SNMP-Dienst wird angezeigt.
Klicken Sie auf das Register Sicherheit.
Wählen Sie SNMP-Pakete von jedem Host annehmen oder fügen Sie den Remote-Host der Liste SNMP-Pakete von diesen Hosts annehmen hinzu.
SNMP-Community-Namen ändern
Die Konfiguration der SNMP-Community-Namens bestimmt, welche Systeme das System über SNMP verwalten kann. Der von Verwaltungsanwendungen verwendete SNMP-Community-Name muss mit einem SNMP-Community-Namen übereinstimmen, der auf dem Server Administrator-System konfiguriert wurde, so dass die Verwaltungsanwendungen Verwaltungsinformationen vom Server Administrator abrufen können.
Wenn auf dem System Windows Server 2003 ausgeführt wird, klicken Sie auf die Schaltfläche Start, klicken Sie mit der rechten Maustaste auf Arbeitsplatz und zeigen Sie auf Verwalten. Wenn auf dem System Windows 2000 ausgeführt wird, klicken Sie mit der rechten Maustaste auf Arbeitsplatz und zeigen Sie auf Verwalten.
Das Fenster Computerverwaltung wird angezeigt.
Erweitern Sie das Symbol Computerverwaltung im Fenster, falls erforderlich.
Erweitern Sie das Symbol Dienste und Anwendungen und klicken Sie auf Dienste.
Rollen Sie durch die Liste der Dienste, bis Sie SNMP-Dienste finden, klicken Sie mit der rechten Maustaste auf SNMP-Dienst und dann auf Eigenschaften.
Das Fenster Eigenschaften von SNMP-Dienst wird angezeigt.
Klicken Sie auf das Register Sicherheit, um einen Community-Namen hinzuzufügen oder zu ändern.
Um einen Community-Namen hinzuzufügen, klicken Sie auf Hinzufügen unter der Liste Akzeptierte Community-Namen.
Das Fenster Konfiguration von SNMP-Dienst wird angezeigt.
Geben Sie in das Textfeld Community-Name den Community-Namen eines Systems ein, das das System verwalten können (die Standardeinstellung ist public) und klicken Sie auf Hinzufügen.
Das Fenster Eigenschaften von SNMP-Dienst wird angezeigt.
Zum Ändern eines Community-Namens wählen Sie einen Community-Namen aus der Liste Akzeptierte Community-Namen aus und
klicken Sie auf Bearbeiten.
Das Fenster Konfiguration von SNMP-Dienst wird angezeigt.
Nehmen Sie alle erforderlichen Änderungen am Community-Namen des Systems, das das System verwalten kann, im Textfeld Community-Name vor und klicken Sie auf OK.
Das FensterEigenschaften von SNMP-Dienst wird angezeigt.
Klicken Sie auf OK zum Speichern der Änderung.
SNMP-Set-Vorgänge aktivieren
SNMP-Set-Vorgänge müssen auf dem Server Administrator-System aktiviert sein, damit Server Administrator-Attribute mittels IT Assistant geändert werden können.
Wenn auf dem System Windows Server 2003 ausgeführt wird, klicken Sie auf die Schaltfläche Start, klicken Sie mit der rechten Maustaste auf Arbeitsplatz und zeigen Sie auf Verwalten. Wenn auf dem System Windows 2000 ausgeführt wird, klicken Sie mit der rechten Maustaste auf Arbeitsplatz und zeigen Sie auf Verwalten.
Das Fenster Computerverwaltung wird angezeigt.
Erweitern Sie das Symbol Computerverwaltung im Fenster, falls erforderlich.
Erweitern Sie das Symbol Dienste und Anwendungen und klicken Sie dann auf Dienste.
Rollen Sie durch die Liste der Dienste, bis Sie SNMP-Dienste finden, klicken Sie mit der rechten Maustaste auf SNMP-Dienst und dann auf Eigenschaften.
Das Fenster Eigenschaften von SNMP-Dienst wird angezeigt.
Klicken Sie auf das Register Sicherheit, um die Zugriffsrechte für eine Community zu ändern.
Wählen Sie einen Community-Namen aus der Liste Akzeptierte Community-Namen und klicken Sie auf Bearbeiten.
Das Fenster Konfiguration von SNMP-Dienst wird angezeigt.
Legen Sie für die Community-RechteLESEN SCHREIBEN oder LESEN ERSTELLEN fest und klicken Sie auf OK.
Das Fenster Eigenschaften von SNMP-Dienst wird angezeigt.
Klicken Sie auf OK zum Speichern der Änderung.
Das System auf das Senden von SNMP-Traps an eine Verwaltungsstation konfigurieren
Der Server Administrator erzeugt SNMP-Traps als Reaktion auf Änderungen im Status von Sensoren und anderen überwachten Parametern. Sie müssen ein oder mehrere Trap-Ziele auf dem Server Administrator-System konfigurieren, damit SNMP-Traps an eine Verwaltungsstation gesendet werden können.
Wenn auf dem System Windows Server 2003 ausgeführt wird, klicken Sie auf die Schaltfläche Start, klicken Sie mit der rechten Maustaste auf Arbeitsplatz und zeigen Sie auf Verwalten. Wenn auf dem System Windows 2000 ausgeführt wird, klicken Sie mit der rechten Maustaste auf Arbeitsplatz und zeigen Sie auf Verwalten.
Das Fenster Computerverwaltung wird angezeigt.
Erweitern Sie das Symbol Computerverwaltung im Fenster, falls erforderlich.
Erweitern Sie das Symbol Dienste und Anwendungen und klicken Sie auf Dienste.
Rollen Sie durch die Liste der Dienste, bis Sie SNMP-Dienste finden, klicken Sie mit der rechten Maustaste auf SNMP-Dienst und dann auf Eigenschaften.
Das Fenster Eigenschaften von SNMP-Dienst wird angezeigt.
Klicken Sie auf das Register Traps, um eine Community für Traps hinzuzufügen oder um ein Trap-Ziel für eine Trap-Community hinzuzufügen.
Zur Hinzufügung einer Community für Traps geben Sie den Community-Namen im Feld Community-Name ein und klicken dann auf Add to list (Zur Liste hinzufügen) gleich neben dem Feld Community-Name.
Zur Hinzufügung eines Trap-Ziels für eine Trap-Community wählen Sie den Community-Namen aus dem Drop-Down-Feld Community-Name und klicken Sie auf Hinzufügen unter dem Feld Trap-Ziele.
Das Fenster Konfiguration von SNMP-Dienst wird angezeigt.
Geben Sie das Trap-Ziel ein und klicken Sie auf Hinzufügen.
Das Fenster Eigenschaften von SNMP-Dienst wird angezeigt.
Klicken Sie auf OK zum Speichern der Änderung.
SNMP-Agenten auf Systemen konfigurieren, auf denen unterstützte Red Hat Enterprise Linux-Betriebssysteme ausgeführt werden
Der Server Administrator verwendet die SNMP-Dienste, die vom ucd-snmp- oder net-snmp-SNMP-Agenten bereitgestellt werden. Sie können den SNMP-Agenten zur Änderung des Community-Namens, Aktivierung von Set-Vorgängen und Senden von Traps an eine Verwaltungsstation konfigurieren. Zur Konfiguration des SNMP-Agenten für die korrekte Interaktion mit Verwaltungsanwendungen wie dem IT
Assistant führen Sie die im folgenden beschriebenen Verfahren aus.
ANMERKUNG: Konsultieren Sie die Dokumentation des Betriebssystems für zusätzliche Details über die SNMP-Konfiguration.
SNMP-Agent Access Control Konfiguration
Der Zweig der Verwaltungsinformationsbasis (MIB) der vom Server Administrator implementiert wird, wird mit dem OID 1.3.6.1.4.1.674 gekennzeichnet. Verwaltungsanwendungen müssen Zugriff auf diesen Zweig der MIB-Struktur besitzen, um Systeme verwalten zu können, die den Server Administrator ausführen.
Bei Red Hat Enterprise Linux-Betriebssystemen erlaubt die standardmäßige SNMP-Agent-Konfiguration lediglich einen Lesezugriff für die "öffentliche" Community, nur für den "System"-Zweig MIB-II (gekennzeichnet mit dem OID 1.3.6.1.2.1.1) der MIB-Struktur. Diese Konfiguration erlaubt es nicht, dass Verwaltungsanwendungen Informationen vom Server Administrator oder andere Systems Management-Informationen außerhalb des "System"-Zweigs MIB-II abrufen oder ändern.
Server Administrator SNMP Agent - Installationsmaßnahmen
Wenn der Server Administrator diese Standard-SNMP-Konfiguration während der Installation entdeckt, versucht er die SNMP-Agent-Konfiguration so zu ändern, dass die "öffentliche" Community einen Lesezugriff für die gesamte MIB- Struktur bekommt. Dazu ändert der Server Administrator die SNMP-Agent-Konfigurationsdatei /etc/snmp/snmpd.conf an zwei Stellen.
Mit der ersten Änderung wird die Ansicht auf die gesamte MIB-Struktur freigegeben, und zwar durch Hinzufügen der folgenden Zeile, falls diese noch nicht existiert:
view all included .1
Mit der zweiten Änderung wird die Zeile für den Standard-"Zugriff" abgeändert, so dass die "öffentliche Community Lesezugriff auf die gesamte MIB-Struktur erhält. Der Server Administrator sucht folgende Zeile:
access notConfigGroup "" any noauth exact systemview none none
Wenn der Server Administrator die obenstehende Zeile findet, dann ändert er sie folgendermaßen ab:
access notConfigGroup "" any noauth exact all none none
Diese Änderungen an der standardmäßigen SNMP-Agent-Konfiguration erlauben der "öffentlichen" Community den Lesezugriff auf die gesamte MIB-Struktur.
ANMERKUNG: Damit sicher gestellt ist, dass der Server Administrator die SNMP-Agent-Konfiguration ändern kann, um einen korrekten Zugriff auf die Systems Management-Daten zu geben, wird empfohlen, etwaige andere SNMP-Agent-Konfigurationsänderungen erst nach Installation von Server Administrator vorzunehmen.
Server Administrator SNMP kommuniziert mithilfe des SNMP Multiplexing (SMUX)-Protokolls mit dem SNMP-Agenten. Wenn Server Administrator SNMP eine Verbindung mit dem SNMP-Agenten herstellt, sendet es einen Objekt-Bezeichner an den SNMP Agenten, um sich als ein SMUX-Peer zu identifizieren. Weil dieser Objekt-Bezeichner mit dem SNMP Agenten konfiguriert werden muss, fügt Server Administrator die folgende Zeile zur SNMP Agent-Konfigurationsdatei /etc/snmp/snmpd.conf während der Installation hinzu, falls diese noch nicht vorhanden ist:
smuxpeer .1.3.6.1.4.1.674.10892.1
SNMP-Community-Namen ändern
Die Konfiguration der SNMP-Community-Namens bestimmt, welche Systeme das System über SNMP verwalten kann. Der von Verwaltungsanwendungen verwendete SNMP-Community-Name muss mit einem SNMP-Community-Namen übereinstimmen, der auf dem Server Administrator-System konfiguriert wurde, so dass die Verwaltungsanwendungen Verwaltungsinformationen vom Server Administrator abrufen können.
Zum Ändern des SNMP-Community-Namens, der zum Abrufen von Verwaltungsinformationen von einem Server Administrator ausführenden System verwendet wird, bearbeiten Sie die SNMP-Agentenkonfigurationsdatei /etc/snmp/snmpd.conf und führen Sie folgende Schritte durch:
Suchen Sie die folgende Zeile:
com2sec publicsec default public
oder
com2sec notConfigUser default public
Bearbeiten Sie diese Zeile und ersetzen Sie public durch den neuen SNMP-Community-Namen. Nach der Bearbeitung muss die Zeile wie folgt aussehen:
com2sec publicsec default Community-Name
oder
com2sec notConfigUser defaultCommunity-Name
Zur Aktivierung von Änderungen an der SNMP-Konfiguration starten Sie den SNMP-Agenten neu durch Eingabe von:
service snmpd restart
SNMP-Set-Vorgänge aktivieren
SNMP-Set-Vorgänge müssen auf dem System aktiviert sein, auf dem Server Administrator ausgeführt wird, damit Server Administrator-Attribute mittels IT Assistant geändert werden können.
Zur Aktivierung von SNMP-Set-Vorgängen auf dem System, auf dem Server Administrator ausgeführt wird, bearbeiten Sie die SNMP-Agentenkonfigurationsdatei /etc/snmp/snmpd.conf und führen Sie folgende Schritte durch:
Suchen Sie die folgende Zeile:
access publicgroup "" any noauth exact all none none
oder
access notConfigGroup "" any noauth exact all none none
Bearbeiten Sie diese Zeile und ersetzen Sie das erste none durch all. Nach der Bearbeitung muss die Zeile wie folgt aussehen:
access publicgroup "" any noauth exact all all none
oder
access notConfigGroup "" any noauth exact all all none
Zur Aktivierung von Änderungen an der SNMP-Konfiguration starten Sie den SNMP-Agenten neu durch Eingabe von:
service snmpd restart
Das System auf das Senden von Traps an eine Verwaltungsstation konfigurieren
Der Server Administrator erzeugt SNMP-Traps als Reaktion auf Änderungen im Status von Sensoren und anderen überwachten Parametern. Sie müssen ein oder mehrere Trap-Ziele auf dem System konfigurieren, auf dem Server Administrator ausgeführt wird, damit SNMP-Traps an eine Verwaltungsstation gesendet werden können.
Zur Konfiguration des Systems, das Server Administrator ausführt, um Traps an eine Verwaltungsstation zu senden, bearbeiten Sie die SNMP-Agentenkonfigurationsdatei /etc/snmp/snmpd.conf und führen Sie folgende Schritte durch:
Fügen Sie der Datei die folgende Zeile hinzu:
trapsinkIP_Adresse Community-Name
wobei IP_Adresse die IP-Adresse der Verwaltungsstation ist und Community-Name der SNMP-Community-Name
Zur Aktivierung von Änderungen an der SNMP-Konfiguration starten Sie den SNMP-Agenten neu durch Eingabe von:
service snmpd restart
SNMP-Agenten auf Systemen konfigurieren, auf denen unterstützte Red Hat Enterprise SUSE LINUX-Server-Betriebssysteme ausgeführt werden
Der Server Administrator verwendet die SNMP-Dienste, die vom ucd-snmp- oder net-snmp-Agenten bereitgestellt werden. Sie können den SNMP Agenten konfigurieren, um SNMP-Zugriff von Remote-Hosts zu aktivieren, den Community-Namen zu ändern, Set-Vorgänge zu aktivieren und Traps an eine Verwaltungsstation zu senden. Zur Konfiguration des SNMP-Agenten für die korrekte Interaktion mit Verwaltungsanwendungen wie dem IT
Assistant führen Sie die im folgenden beschriebenen Verfahren aus.
ANMERKUNG: Beim SUSE Linux Enterprise Server (Version 9) befindet sich die SNMP-Agenten-Konfigurationsdatei unter /etc/snmpd.conf. Beim SUSE Linux Enterprise Server (Version 10) befindet sich die SNMP-Agenten-Konfigurationsdatei unter /etc/snmp.conf.
ANMERKUNG: Konsultieren Sie die Dokumentation des Betriebssystems für zusätzliche Details über die SNMP-Konfiguration.
Server Administrator SNMP - Installationsmaßnahmen
Server Administrator SNMP kommuniziert mithilfe des SNMP Multiplexing (SMUX)-Protokolls mit dem SNMP-Agenten. Wenn Server Administrator SNMP eine Verbindung mit dem SNMP-Agenten herstellt, sendet es einen Objekt-Bezeichner an den SNMP Agenten, um sich als ein SMUX-Peer zu identifizieren. Dieser Objekt-Bezeichner muss mit dem SNMP Agenten konfiguriert werden, deshalb fügt Server Administrator während der Installation die folgende Zeile zur SNMP-Agenten-Konfigurationsdatei (/etc/snmpd.conf oder/etc/snmp/snmpd.conf) hinzu, falls diese noch nicht vorhanden ist:
smuxpeer .1.3.6.1.4.1.674.10892.1
SNMP-Zugriff von Remote Hosts aktivieren
Die Standard-SNMP Agent-Konfiguration auf SUSE LINUX Enterprise Server-Betriebssystemen gibt nur schreibgeschützten Zugriff auf die komplette MIB-Struktur an die "public" Community vom lokalen Host. Mit dieser Konfiguration können SNMP Verwaltungsanwendungen wie IT Assistant, die auf anderen Hosts ausgeführt werden, Server Administrator-Systeme nicht richtig ermitteln und verwalten. Wenn Server Administrator diese Konfiguration während der Installation feststellt, protokolliert es eine Nachricht an die Betriebssystem-Protokolldatei /var/log/messages, um anzuzeigen, dass der SNMP-Zugriff zum lokalen Host eingeschränkt wird. Sie müssen den SNMP Agenten konfigurieren, um SNMP-Zugriff von Remote Hosts zu aktivieren, wenn Sie planen, das System mithilfe von SNMP-Verwaltungsanwendungen von Remote-Hosts zu verwalten.
ANMERKUNG: Aus Sicherheitsgründen ist es ratsam, den SNMP-Zugriff auf bestimmte Remote-Hosts soweit wie möglich einzuschränken.
Um den SNMP- Zugang von einem bestimmten Remote-Host zu einem System zu aktivieren, das Server Administrator ausführt, bearbeiten Sie die SNMP-Agenten-Konfigurationsdatei /etc/snmpd.conf oder /etc/snmp/snmpd.conf und führen folgende Schritte durch:
Suchen Sie die folgende Zeile:
rocommunity public 127.0.0.1
Bearbeiten oder kopieren Sie diese Zeile, indem Sie 127.0.0.1 mit der Remote-Host-IP-Adresse ersetzen. Nach der Bearbeitung muss die Zeile wie folgt aussehen:
rocommunity public IP_Adresse
ANMERKUNG: Sie können SNMP-Zugriff von mehrfachen spezifischen Remote-Hosts aktivieren, indem Sie eine rocommunity-Direktive für jeden Remote-Host hinzufügen.
Zur Aktivierung von Änderungen an der SNMP-Konfiguration starten Sie den SNMP-Agenten neu durch Eingabe von:
/etc/init.d/snmpd restart
Um den SNMP- Zugang von allen Remote-Hosts zu einem System zu aktivieren, das Server Administrator ausführt, bearbeiten Sie die SNMP-Agenten-Konfigurationsdatei /etc/snmpd.conf oder /etc/snmp/snmpd.conf und führen folgende Schritte durch:
Suchen Sie die folgende Zeile:
rocommunity public 127.0.0.1
Bearbeiten Sie diese Zeile indem Sie 127.0.0.1 löschen. Nach der Bearbeitung muss die Zeile wie folgt aussehen:
rocommunity public
Zur Aktivierung von Änderungen an der SNMP-Konfiguration starten Sie den SNMP-Agenten neu durch Eingabe von:
/etc/init.d/snmpd restart
SNMP-Community-Namen ändern
Die Konfiguration des SNMP-Community-Namens bestimmt, welche Management Stations das System über SNMP verwalten kann. Der von Verwaltungsanwendungen verwendete SNMP-Community-Name muss mit einem SNMP-Community-Namen übereinstimmen, der auf dem Server Administrator-System konfiguriert wurde, so dass die Verwaltungsanwendungen Verwaltungsinformationen vom Server Administrator abrufen können.
Zum Ändern des Standard-SNMP-Community-Namens, der zum Abrufen von Verwaltungsinformationen von einem Server Administrator ausführenden System verwendet wird, bearbeiten Sie die SNMP-Agentenkonfigurationsdatei /etc/snmpd.conf oder /etc/snmp/snmpd.confund führen Sie folgende Schritte aus:
Suchen Sie die folgende Zeile:
rocommunity public 127.0.0.1
Bearbeiten Sie diese Zeile indem Sie public durch den neuen SNMP-Community-Namen ersetzen. Nach der Bearbeitung muss die Zeile wie folgt aussehen:
rocommunity community_name 127.0.0.1
Zur Aktivierung von Änderungen an der SNMP-Konfiguration starten Sie den SNMP-Agenten neu durch Eingabe von:
/etc/init.d/snmpd restart
SNMP-Set-Vorgänge aktivieren
SNMP-Set-Vorgänge müssen auf dem System aktiviert sein, auf dem Server Administrator ausgeführt wird, damit Server Administrator-Attribute mittels IT Assistant geändert werden können. Um Remote-Herunterfahren eines Systems von IT Assistant zu aktivieren, müssen SNMP Set-Vorgänge aktiviert sein.
ANMERKUNG: Für den Neustart des Systems sind für die Änderungsverwaltungsfunktionalität keine SNMP-Satz-Vorgänge erforderlich.
Um SNMP Set-Vorgänge in einem System zu aktivieren, das Server Administrator ausführt, bearbeiten Sie die SNMP-Agenten-Konfigurationsdatei /etc/snmpd.conf oder /etc/snmp/snmpd.conf und führen folgende Schritte durch:
Suchen Sie die folgende Zeile:
rocommunity public 127.0.0.1
Bearbeiten Sie diese Zeile indem Sie rocommunity mit rwcommunity ersetzen. Nach der Bearbeitung muss die Zeile wie folgt aussehen:
rwcommunity public 127.0.0.1
Zur Aktivierung von Änderungen an der SNMP-Konfiguration starten Sie den SNMP-Agenten neu durch Eingabe von:
/etc/init.d/snmpd restart
Das System auf das Senden von Traps an eine Verwaltungsstation konfigurieren
Der Server Administrator erzeugt SNMP-Traps als Reaktion auf Änderungen im Status von Sensoren und anderen überwachten Parametern. Sie müssen ein oder mehrere Trap-Ziele auf dem System konfigurieren, auf dem Server Administrator ausgeführt wird, damit SNMP-Traps an eine Verwaltungsstation gesendet werden können.
Um Ihr System, das Server Administrator ausführt, so zu konfigurieren, dass Traps an eine Management Station gesendet werden, bearbeiten Sie die SNMP-Agenten-Konfigurationsdatei /etc/snmpd.conf oder /etc/snmp/snmpd.conf und führen folgende Schritte durch:
Fügen Sie der Datei die folgende Zeile hinzu:
trapsink IP_Adresse Community-Name
wobei IP_Adresse die IP-Adresse der Verwaltungsstation ist und Community-Name der SNMP-Community-Name
Zur Aktivierung von Änderungen an der SNMP-Konfiguration starten Sie den SNMP-Agenten neu durch Eingabe von:
/etc/init.d/snmpd restart
X.509-Zertifikatsverwaltung - Voraussetzungen
Web-Zertifikate sind erforderlich, um die Identität eines entfernten Systems sicherzustellen und zu gewährleisten, dass mit dem entfernten System ausgetauschte Informationen von anderen weder angezeigt noch geändert werden können.
In diesem Abschnitt werden die Verwaltungsvoraussetzungen zur Sicherstellung der Fähigkeit, auf jedem unterstützten Betriebssystem ein neues X.509-Zertifikat zu erstellen, ein bestehendes X.506-Zertifikat weiter zu verwenden oder ein root-Zertifikat oder eine Zertifikatskette von Certification Authority (CA) zu importieren, erklärt.
Die X.509-Zertifikatsverwaltung erfolgt über die Server Administrator-Homepage für alle unterstützten Betriebssysteme, außer NetWare 5.1.
Firewall auf Systemen konfigurieren, auf denen unterstützte Red Hat Enterprise Linux-Betriebssysteme ausgeführt werden.
Wenn beim Installieren von Red Hat Enterprise Linux die Firewall-Sicherheit aktiviert wird, dann wird die SNMP-Schnittstelle an allen externen Netzwerk-Schnittstellen standardmäßig geschlossen. Damit SNMP-Verwaltungsanwendungen, wie z. B. IT Assistant, Informationen vom Server Administrator ermitteln und empfangen können, muss der SNMP-Anschluss auf mindestens einer
externen Netzwerkschnittstelle geöffnet sein. Wenn der Server Administrator ermittelt, dass kein SNMP-Anschluss der Firewall aller externen Netzwerkschnittstellen geöffnet ist, zeigt der Server Administrator eine Warnmeldung an und trägt eine
Meldung im System-Protokoll ein.
Um den SNMP-Anschluss zu öffnen, muss die Firewall deaktiviert, eine gesamte
externe Netzwerkschnittstelle der Firewall geöffnet oder der SNMP-Anschluss von mindestens einer externen Netzwerkschnittstelle der Firewall geöffnet werden. Diese
Maßnahme kann vor oder nach dem Start des Server Administrators durchgeführt werden.
Um den SNMP-Anschluss mittels einer der zuvor beschriebenen Methoden zu öffnen, führen Sie folgende Schritte durch:
Geben Sie an der von Befehlsaufforderung von Red Hat Enterprise Linux den Befehl setup ein und drücken Sie <Eingabe>, um das Textmodus-Setup-Dienstprogramm zu starten.
ANMERKUNG: Dieser Befehl steht nur dann zur Verfügung, wenn das Betriebssystem mit Standardeinstellungen installiert worden ist.
Das Menü Hilfsprogramm auswählen wird eingeblendet.
Wählen Sie Firewall-Konfiguration mit dem Nach-Unten-Pfeil aus und drücken Sie <Eingabe>.
Der Bildschirm Firewall-Konfiguration wird angezeigt.
Drücken Sie <Tab>, um Sicherheitsstufe auszuwählen und drücken Sie auf die Leertaste um die Sicherheitsstufe auszuwählen, die Sie einstellen möchten. Die ausgewählte Sicherheitsstufe wird mit einem
Sternchen markiert.
ANMERKUNG: Drücken Sie die Taste <F1>, um weitere Informationen über
die Sicherheitsstufen der Firewall zu erhalten. Die Standard-SNMP-Anschlussnummer ist 161. Wenn Sie die graphische Benutzeroberfläche von X Window System verwenden, dann kann es sein, dass bei neueren Versionen von Red Hat Enterprise Linux durch Drücken von <F1> nicht die Informationen über die Firewall-Sicherheitsstufen angezeigt werden.
Zur Deaktivierung der Firewall wählen Sie No firewall (keine Firewall) oder Deaktiviert aus und gehen dann zu Schritt 7 weiter.
Zum Öffnen einer ganzen Netzwerk-Schnittstelle oder der SNMP-Schnittstelle wählen Sie Hoch, Mittel oder
Aktiviert und fahren mit Schritt 4 fort.
Drücken Sie <Tab>, um zu An die eigenen Bedürfnisse anpassen zu wechseln und drücken Sie auf <Eingabe>.
Der Bildschirm Firewall-Konfiguration - Anpassen wird eingeblendet.
Wählen Sie aus, ob eine gesamte Netzwerkschnittstelle oder nur ein SNMP-Anschluss jeder Netzwerkschnittstelle geöffnet werden soll.
Um eine gesamte Netzwerkschnittstelle zu öffnen, wechseln Sie mit der Tabulatortaste zu einem der vertrauenswürdigen Komponenten und drücken Sie die Leertaste. Ein Sternchen im Feld links neben dem Komponentennamen zeigt an,
dass die gesamte Schnittstelle geöffnet wird.
Um einen SNMP-Anschluss jeder Netzwerkschnittstelle zu öffnen, wechseln Sie mit der Tabulatortaste zu Weitere Schnittstellen und geben Sie snmp:udp ein.
Drücken Sie auf <Tab>, um OK auszuwählen und drücken Sie auf <Eingabe>.
Der Bildschirm Firewall-Konfiguration wird angezeigt.
Drücken Sie auf <Tab>, um OK auszuwählen und drücken Sie auf <Eingabe>.
Das Menü Hilfsprogramm auswählen wird eingeblendet.
Drücken Sie auf <Tab>, um Beenden auszuwählen und drücken Sie auf <Eingabe>.
