2 Importez les certificats dans la zone de stockage de clés WebSphere. Pour cela, utilisez la console de l'administrateur WebSphere (
).
3 Après avoir importé les certificats, passez à
Section 5.3, « Déploiement du fichier WAR », page 48 .
Importation de certificats avec la console de l'administrateur WebSphere
1 Loguez-vous à la console d'administration WebSphere en tant qu'utilisateur administrateur.
2 Dans le tableau de bord de gauche, accédez à Sécurité > Gestion des certificats SSL et des clés
3 Dans la liste des paramètres de droite, accédez à Zone se stockage des clés et des certificats sous Propriétés supplémentaires.
4 Sélectionnez NodeDefaultTrustStore (ou la zone de stockage fiable que vous utilisez).
5 Sous Propriétés supplémentaires, sur la droite, sélectionnez Certificats du signataire.
6 Cliquez sur Ajouter.
7 Saisissez le nom de l'alias et le chemin d'accès complet au fichier de certificat.
8 Modifiez le type de donnée dans la liste déroulante en sélectionnant Données DER binaires.
9 Cliquez sur OK. À présent, le certificat doit apparaître dans la liste des certificats du signataire.
Importation de certificats avec la ligne de commande
Dans la ligne de commande de la machine qui héberge le serveur WebSphere, exécutez l'outil clé pour importer le certificat dans la zone de stockage de clés de WebSphere.
Remarque : vous devez utiliser l'outil clé de WebSphere pour que cela fonctionne. Vérifiez en outre que la zone de stockage est de type PKCS12.
L'outil clé WebSphere se trouve dans /IBM/WebSphere/AppServer/java/bin.
Exemple de commande d'outil clé : keytool -import -trustcacerts -file servercert.der -alias myserveralias -keystore trust.p12 -storetype PKCS12
Si votre système contient plusieurs fichiers trust.p12, il se peut que vous deviez indiquer le chemin complet du fichier.
5.3 Déploiement du fichier WAR
Déployez le fichier WAR via les outils de déploiement WebSphere.
5.4 Démarrage et accès à l'application utilisateur
Pour démarrer l'application utilisateur :
1 Loguez-vous à la console d'administrateur WebSphere en tant qu'utilisateur administrateur.
48
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
2 Dans le panneau de gauche, accédez à Applications > Applications d'entreprise.
3 Cochez la case en regard de l'application que vous voulez démarrer, puis cliquez sur Démarrer.
Une fois l'application démarrée, la colonne État de l'application affiche une flèche verte.
Accès à l'application utilisateur
1 Accédez au portail en utilisant le contexte que vous avez spécifié au cours du déploiement.
Le port par défaut du conteneur Web sur WebSphere est 9080 ou 9443 pour le port sécurisé. Le format de l'URL est le suivant : http://<serveur>:9080/IDMProv
Installation sur un serveur d'applications WebSphere à l'aide du programme d'installation de l'interface graphique
49
50
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Installation sur un serveur d'applications WebSphere à l'aide du programme d'installation de l'interface graphique
Le programme d'installation de l'interface graphique configure le fichier WAR de l'application utilisateur en fonction des informations que vous fournissez. Cette section contient des informations sur :
Section 6.1, « Liste de contrôle de l'installation de WebLogic », page 51
Section 6.2, « Installation et configuration du fichier WAR de l'application utilisateur », page 52
Section 6.3, « Préparation de l'environnement WebLogic », page 56
Section 6.4, « Déploiement du fichier WAR de l'application utilisateur », page 58
Section 6.5, « Accès à l'application utilisateur », page 58
Pour en savoir plus sur l'installation avec une interface utilisateur non graphique, reportez-vous à
Chapitre 7, « Installation depuis la console ou à l'aide d'une commande unique », page 59
.
Exécutez le programme d'installation en tant qu'utilisateur non root.
6.1 Liste de contrôle de l'installation de
WebLogic
Créez un fichier WAR compatible avec WebLogic.
Utilisez le programme d'installation de l'application utilisateur Identity Manager pour réaliser
Préparez l'environnement WebLogic afin de déployer le fichier WAR en copiant les fichiers de configuration aux emplacements WebLogic appropriés.
Reportez-vous à Section 6.3, « Préparation de l'environnement WebLogic », page 56
.
Déployez le fichier WAR.
Reportez-vous à Section 6.4, « Déploiement du fichier WAR de l'application utilisateur », page 58 .
6
Installation sur un serveur d'applications WebSphere à l'aide du programme d'installation de l'interface graphique
51
6.2 Installation et configuration du fichier WAR de l'application utilisateur
Remarque : le programme d'installation requiert au moins la version 1.5 du kit de développement de la plate-forme Java 2, Standard Edition. Si vous utilisez une version antérieure, la procédure d'installation ne configurera pas correctement le fichier WAR de l'application utilisateur.
L'installation semblera réussir, mais vous rencontrerez des erreurs lorsque vous tenterez de démarrer l'application utilisateur.
1 Naviguez jusqu'au répertoire contenant vos fichiers d'installation.
2 Lancez le programme d'installation correspondant à votre plate-forme à partir de la ligne de commande :
java -jar IdmUserApp.jar.
Lors du lancement du programme d'installation, le programme vous invite à indiquez la langue
à utiliser.
3 Utilisez les informations suivantes, ainsi que les instructions qui figurent sur chaque volet d'installation, pour terminer l'installation :
52
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Écran d'installation
Novell Identity Manager
Accord de licence
Description
Sélectionnez la langue du programme d'installation. La valeur par défaut est Français.
Lisez l'accord de licence, puis sélectionnez J'accepte les termes de
l'accord de licence.
Sélectionnez WebLogic pour le serveur d'applications. Plate-forme du serveur d'applications
Standard ou Provisioning
Migration de données
Où est le fichier WAR ?
Sélectionnez le dossier d'installation
Plate-forme de la base de données
Installation de Java
Configuration d'IDM
Consignation Audit
Standard : sélectionnez cette option si vous installez l'édition standard de l'application utilisateur.
Provisioning basé sur les rôles : sélectionnez cette option si vous installez le module de provisioning basé sur les rôles.
Acceptez la valeur par défaut (vérifiez que Oui n'est pas sélectionné).
Avertissement : ne sélectionnez pas Oui. Si Oui est sélectionné, des problèmes risquent de se produire au démarrage de l'application utilisateur.
Pour en savoir plus sur la migration, reportez-vous au
Guide de
migration de l'application utilisateur (http://www.novell.com/ documentation/idmrbpm361/index.html) .
Si le fichier WAR de l'application utilisateur Identity Manager est dans un répertoire différent du programme d'installation, ce dernier vous invite à saisir le chemin d'accès au WAR.
Indiquez l'emplacement auquel le programme d'installation doit mette les fichiers.
Sélectionnez la plate-forme de la base de données. Vous devez avoir installé la base de données et le pilote JDBC. Les options disponibles sont les suivantes :
Oracle (le programme vous demande la version Oracle)
Serveur MS SQL
Indiquez le dossier d'installation racine de Java.
Indiquez le contexte d'application. Celui-ci fera partie de l'URL lorsque vous démarrerez l'application utilisateur depuis un navigateur.
Pour activer la consignation, cliquez sur Oui. Le tableau de bord suivant vous invite à indiquer le type de consignation. Choisissez parmi les options suivantes :
Novell Audit : active la consignation Novell l'application utilisateur.
®
Audit pour
OpenXDAS : les événements sont consignés sur votre serveur de consignation OpenXDAS.
Pour plus d'informations sur la configuration de la consignation
Novell Audit ou OpenXDAS, reportez-vous au Guide
d'administration de l'application utilisateur.
Installation sur un serveur d'applications WebSphere à l'aide du programme d'installation de l'interface graphique
53
Écran d'installation
Novell Audit
Sécurité : clé principale
Description
Serveur : si vous activez la consignation Novell Audit, indiquez le nom d'hôte ou l'adresse IP du serveur Novell Audit. Si vous désactivez la consignation, cette valeur est ignorée.
Dossier de cache des journaux : indiquez le répertoire du cache de consignation.
Oui : vous permet d'importer une clé principale existante. Si vous choisissez d'importer une clé maîtresse codée existante, coupez et collez la clé dans la fenêtre de procédure d'installation.
Non : crée une clé principale. Une fois l'installation terminée, vous devez enregistrer manuellement la clé maîtresse tel que décrit dans
Section 8.1, « Enregistrement de la clé maîtresse », page 71 .
La procédure d'installation inscrit la clé maîtresse codée dans le fichier master-key.txt dans le répertoire d'installation.
Voici des raisons d'importer une clé principale existante :
Vous déplacez votre installation d'un système provisoire à un système de production et vous souhaitez conserver l'accès à la base de données que vous avez utilisée avec le système provisoire.
Vous avez installé l'application utilisateur sur le premier membre d'une grappe JBoss et vous l'installez maintenant sur de nouveaux membres de la grappe (qui requièrent la même clé maîtresse).
En raison d'un disque défectueux, vous devez restaurer votre application utilisateur. Vous devez réinstaller l'application utilisateur et indiquer la même clé maîtresse codée que celle qu'utilisait l'installation précédente. Cela vous donne accès aux données codées stockées précédemment.
4 Le programme d'installation vous invite à saisir les informations qu'il utilise pour configurer le fichier WAR de l'application utilisateur. (Si le programme ne vous invite pas à saisir ces
informations, vous n'avez peut-être pas suivi toutes les étapes définies dans Section 2.5,
« Installation du kit de développement Java », page 23
.
54
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Écran d'installation Description
Configuration de l'application utilisateur
Le programme d'installation de l'application utilisateur permet de configurer les paramètres de configuration de l'application utilisateur. La plupart de ces paramètres sont également éditables avec configupdate.sh ou configupdate.bat après l'installation ; les exceptions sont notées dans les descriptions des paramètres.
Résumé pré-installation
Lisez la page de résumé de la pré-installation pour vérifier vos paramètres d'installation.
Installation terminée
Si nécessaire, utilisez Retour pour retourner aux pages d'installation précédentes et modifier les paramètres d'installation.
La page de configuration de l'application utilisateur ne sauvegarde pas de valeur. Une fois les pages précédentes de l'installation à nouveau spécifiées, vous devez saisir à nouveau les valeurs de configuration de l'application utilisateur. Lorsque vous êtes satisfait de vos paramètres d'installation et de configuration, retournez à la page Résumé avant installation, puis cliquez sur Installer.
Indique que l'installation est terminée.
Installation sur un serveur d'applications WebSphere à l'aide du programme d'installation de l'interface graphique
55
6.2.1 Affichage des fichiers journaux et d'installation
Si votre installation s'est terminée sans erreur, passez à
Préparation de l'environnement WebLogic .
Si l'installation a émis des messages d'erreur ou d'avertissement, examinez les fichiers journaux pour déterminer les problèmes :
Identity_Manager_User_Application_InstallLog.log contient les résultats des tâches d'installation de base
Novell-Custom-Install.log contient des informations sur la configuration de l'application utilisateur effectuée lors de l'installation.
6.3 Préparation de l'environnement WebLogic
Section 6.3.1, « Configurez la réserve de connexions », page 56
Section 6.3.3, « Plug-in de workflow et configuration de WebLogic », page 58
6.3.1 Configurez la réserve de connexions
Copiez les fichiers JAR du pilote de votre base de données vers le domaine où vous déploierez l'application utilisateur.
Créez votre source de données.
Suivez les instructions permettant de créer une source de données dans la documentation
WebLogic.
Le nom JNDI de la source de données doit être identique à celui de la base de données que vous avez indiquée pendant la création du fichier WAR de l'application utilisateur (exemple : jdbc/IDMUADataSource).
Copiez antlr-2.7.6.jar depuis le répertoire d'installation de l'application utilisateur vers le dossier de la bibliothèque de domaine.
6.3.2 Indiquez l'emplacement des fichiers de configuration de l'application utilisateur.
L'application utilisateur WebLogic doit pouvoir localiser le fichier sys-configurationxmldata.xml et le fichier idmuserapp_logging.xml. Pour ce faire, ajoutez l'emplacement des fichiers dans le fichier setDomainEnv.cmd.
Pour les rendre disponibles pour le serveur d'applications, indiquez l'emplacement dans le fichier setDomainEnv.cmd ou setDomainEnv.sh :
1 Ouvrez le fichier setDomainEnv.cmd ou setDomainEnv.sh.
2 Localisez la ligne qui ressemble à ce qui suit : set JAVA_PROPERTIES export JAVA_PROPERTIES
56
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
3 Sous l'entrée JAVA_PROPERTIES, ajoutez des entrées des éléments suivants :
-Dextend.local.config.dir : indiquez le dossier (et non le fichier lui-même) qui contient le fichier sys-configuration.xml.
-Didmuserapp.logging.config.dir : indiquez le dossier (et non le fichier luimême) qui contient le fichier idmuserapp_logging.xml.
Par exemple, sous Windows : set JAVA_OPTIONS=-Dextend.local.config.dir=c:/bea/user_projects/domains/ base_domain/idm.local.config.dir
-Didmuserapp.logging.config.dir=c:/bea/user_projects/domains/base_domain/ idm.local.config.dir
4 Définissez la variable d'environnement EXT_PRE_CLASSPATH de façon à ce qu'elle pointe vers le fichier antlr.jar.
4a Recherchez cette ligne :
ADD EXTENSIONS TO CLASSPATH
4b Ajoutez EXT_PRE_CLASSPATH en dessous. Par exemple, sous Windows : set EXT_PRE_CLASSPATH=C:\bea\user_projects\domains\base_domain\lib\antlr-
2.7.6.jar
Par exemple, sous Linux : export EXT_PRE_CLASSPATH=/opt/bea/user_projects/domains/base_domain/lib/ antlr-2.7.6.jar
5 Enregistrez le fichier et quittez l'application.
Les fichiers XML sont également utilisés par l'utilitaire de mise à jour de la configuration ; par conséquent, vous devez modifier les fichiers configupdate.bat ou configupdate.sh comme suit :
1 Ouvrez configupdate.bat ou configupdate.sh.
2 Repérez la ligne suivante :
-Duser.language=en -Duser.region="
3 Ajoutez l'entrée suivante en dessous :
Add -Dextend.local.config.dir=<directory-path>\extend.local.config.dir
4 Enregistrez et fermez le fichier.
5 Exécutez l'utilitaire de mise à jour de la configuration pour installer le certificat dans le keystore du JDK sous BEA_HOME.
Lorsque vous exécutez une mise à jour de la configuration, le programme vous invite à indiquer le fichier cacerts sous le JDK que vous utilisez. Si vous n'utilisez pas le
JDK que vous avez indiqué pendant l'installation, vous devez exécuter la mise à jour de la configuration sur le fichier WAR. Soyez attentif au JDK indiqué, car cette entrée doit pointer vers le JDK utilisé par WebLogic. Ceci sert à importer un fichier de certificat pour la connexion au coffre-fort d'identité. L'objectif est d'importer un certificat pour la connexion à eDirectory.
Installation sur un serveur d'applications WebSphere à l'aide du programme d'installation de l'interface graphique
57
6.3.3 Plug-in de workflow et configuration de WebLogic
Le plug-in Administration du workflow d'iManager ne peut pas se connecter au pilote de l'application utilisateur en cours d'exécution sur WebLogic si enforce-valid-basic-authcredentials est défini sur vrai. Pour que la connexion réussisse, vous devez désactiver le drapeau.
Pour désactiver enforce-valid-basic-auth-credentials, procédez comme suit :
1 Ouvrez le fichier Config.xml dans le dossier <WLHome>/user_projects/domains/ base_domain/config/ .
2 Ajoutez la ligne suivante à la section <security-configuration> :
<enforce-valid-basic-auth-credentials>false</enforce-valid-basic-authcredentials>
3 Enregistrez le fichier et redémarrez le serveur.
Une fois cette modification effectuée, vous devriez être en mesure de vous loguer au plug-in
Administration du workflow.
6.4 Déploiement du fichier WAR de l'application utilisateur
Déployez le fichier jsf-ri-1.1.1.war comme bibliothèque.
Copiez le fichier WAR mis à jour de l'application utilisateur depuis le répertoire d'installation
(en général Novell\IDM vers le domaine d'application. Par exemple :
bea\user_projects\domains\base_domain\servers\AdminServer\upload
Déploie le fichier WAR de l'application utilisateur à l'aide de la procédure de déploiement
WebLogic standard.
6.5 Accès à l'application utilisateur
Naviguez vers l'URL de l'application utilisateur : http://application-server-host:port/application-context
Par exemple : http://localhost:8080/IDMProv
58
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Installation depuis la console ou à l'aide d'une commande unique
Cette section décrit les méthodes d'installation dont vous disposez si vous ne souhaitez pas utiliser l'interface graphique décrite au
Section 7.1, « Installation de l'application utilisateur à partir de la console », page 59
Section 7.2, « Installation de l'application utilisateur avec une seule commande », page 60
7.1 Installation de l'application utilisateur à partir de la console
Cette section décrit l'installation de l'application utilisateur Identity Manager à l'aide de la console
(ligne de commande) du programme d'installation.
Remarque : le programme d'installation requiert au moins la version 1.5 du kit de développement de la plate-forme Java 2, Standard Edition. Si vous utilisez une version antérieure, la procédure d'installation ne configurera pas correctement le fichier WAR de l'application utilisateur.
L'installation semblera réussir, mais vous rencontrerez des erreurs lorsque vous tenterez de démarrer l'application utilisateur.
1 Une fois que vous êtes en possession des fichiers d'installation décrits dans
Tableau 2-2 page 18 , connectez-vous et ouvrez une session de terminal.
2 Lancez le programme d'installation correspondant à votre plate-forme avec Java en utilisant la commande suivante : java -jar IdmUserApp.jar -i console
3 Suivez les mêmes étapes que pour l'interface utilisateur graphique sous Chapitre 4,
« Installation sur JBoss à l'aide du programme d'installation de l'interface graphique », page 33
: lisez les invites sur la ligne de commande et saisissez les réponses sur la ligne de commande, grâce aux étapes d'importation ou de création de la clé maîtresse.
4 Pour définir les paramètres de configuration de l'application utilisateur, lancez manuellement l'utilitaire configupdate. Sur une ligne de commande, saisissez configupdate.sh (Linux ou Solaris) ou configupdate.bat (Windows), puis renseignez les valeurs telles que
5 Si vous utilisez un WAR·de gestion des mots de passe externe, copiez-le manuellement dans le répertoire d'installation et dans le répertoire de déploiement du serveur distant JBoss qui exécute la fonction WAR de mot de passe externe.
Chapitre 8, « Tâches post-installation », page 71
.
7
Installation depuis la console ou à l'aide d'une commande unique
59
7.2 Installation de l'application utilisateur avec une seule commande
Cette section décrit l'installation en mode silencieux. Une installation en mode silencieux ne requiert aucune interaction lors de l'installation et peut faire gagner du temps, en particulier lors d'une installation sur plusieurs systèmes. L'installation en mode silencieux est prise en charge sous Linux et Solaris.
1 Obtenez les fichiers d'installation appropriés indiqués dans le Tableau 2-2 page 18 .
2 Loguez-vous et ouvrez une session de terminal.
3 Recherchez le fichier de propriétés Identity Manager, silent.properties, qui se trouve avec le s fichiers d'installation. Si vous travaillez à partir d'un CD, faites une copie locale de ce fichier.
4 Modifiez silent.properties pour fournir vos paramètres d'installation et les paramètres de configuration de l'application utilisateur.
Reportez-vous au fichier silent.properties pour afficher un exemple de chaque paramètre d'installation. Les paramètres d'installation correspondent aux paramètres d'installation que vous avez configurés dans les procédures d'installation de l'interface utilisateur graphique ou de la console.
Reportez-vous au Tableau 7-1 pour obtenir une description de chaque paramètre de
configuration de l'application utilisateur. Les paramètres de configuration de l'application utilisateur sont les mêmes que ceux que vous pouvez configurer dans les procédures d'installation de l'interface utilisateur graphique ou de la console ou avec l'utilitaire configupdate.
5 Lancez l'installation silencieuse de la façon suivante : java -jar IdmUserApp.jar -i silent -f / yourdirectorypath/ silent.properties
Saisissez le chemin d'accès complet à silent.properties si ce fichier est dans un répertoire différent du script du programme d'installation. Le script décondense les fichiers nécessaires vers un répertoire temporaire et lance l'installation en mode silencieux.
Tableau 7-1
Paramètres de configuration de l'application utilisateur pour l'installation en mode silencieux
Nom du paramètre de l'application utilisateur dans silent.properties
NOVL_CONFIG_LDAPHOST=
Nom du paramètre équivalent dans le fichier des paramètres de configuration de l'application utilisateur
Paramètres de connexion à eDirectory TM hôte LDAP.
:
Indiquez le nom d'hôte ou l'adresse IP de votre serveur LDAP.
60
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Nom du paramètre de l'application utilisateur dans silent.properties
NOVL_CONFIG_LDAPADMIN=
NOVL_CONFIG_LDAPADMINPASS=
NOVL_CONFIG_ROOTCONTAINERNAME=
NOVL_CONFIG_PROVISIONROOT=
Nom du paramètre équivalent dans le fichier des paramètres de configuration de l'application utilisateur
Paramètres de login eDirectory : administrateur LDAP.
Indiquez les références de l'administrateur
LDAP. Cet utilisateur doit déjà exister.
L'application utilisateur utilise ce compte pour effectuer une connexion administrative au coffre-fort d'identité. Cette valeur est codée, en fonction de la clé maîtresse.
Paramètres de login eDirectory : mot de passe administrateur LDAP.
Indiquez le mot de passe administrateur
LDAP. Ce mot de passe est codé, en fonction de la clé maîtresse.
DN eDirectory : DN du conteneur racine.
Indiquez le nom distinctif LDAP du conteneur racine. Celui-ci est utilisé comme racine de recherche de définition d'entité par défaut lorsqu'aucune racine n'est indiquée dans la couche d'abstraction d'annuaire.
DN eDirectory : DN du pilote de provisioning.
Indiquez le nom distinctif du pilote de l'application utilisateur que vous avez créé
pilote est UserApplicationDriver et si votre ensemble de pilotes est appelé myDriverSet, et si l'ensemble de pilotes est dans un contexte de o=myCompany, vous saisissez une valeur de : cn=UserApplicationDriver,cn=myDrive rSet,o=myCompany
Installation depuis la console ou à l'aide d'une commande unique
61
Nom du paramètre de l'application utilisateur dans silent.properties
NOVL_CONFIG_LOCKSMITH=
NOVL_CONFIG_PROVLOCKSMITH=
Nom du paramètre équivalent dans le fichier des paramètres de configuration de l'application utilisateur
DN eDirectory : admin. de l'application utilisateur.
Un utilisateur existant dans le coffre-fort d'identité qui dispose des droits pour effectuer des tâches administratives pour le conteneur d'utilisateurs de l'application utilisateur spécifié. Cet utilisateur peut utiliser l'onglet
Administration de l'application utilisateur pour administrer le portail.
Si l'administrateur de l'application utilisateur participe aux tâches d'administration du workflow exposées dans iManager, le concepteur Novell pour Identity Manager ou l'application utilisateur (onglet Requêtes et
approbations), vous devez accorder à cet administrateur des droits d'ayant droit sur les instances d'objets contenues dans le pilote de l'application utilisateur. Reportez-vous au
Guide d'administration de l'application
utilisateur pour en savoir plus.
Pour modifier cette assignation après avoir déployé l'application utilisateur, vous devez utiliser les pages Administration > Sécurité de l'application utilisateur.
DN eDirectory : administrateur de l'application de provisioning.
Ce rôle est disponible dans la version de provisioning d'Identity Manager .
L'administrateur de l'application de provisioning utilise l'onglet Provisioning (sous l'onglet Administration) pour gérer les fonctions de workflow du provisioning. Ces fonctions sont accessibles aux utilisateurs en passant par l'onglet Requêtes et approbations de l'application utilisateur. Cet utilisateur doit exister dans le coffre-fort d'identité avant d'être désigné administrateur de l'application
Provisioning.
Pour modifier cette assignation après avoir déployé l'application utilisateur, vous devez utiliser les pages Administration > Sécurité de l'application utilisateur.
62
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Nom du paramètre de l'application utilisateur dans silent.properties
NOVL_CONFIG_ROLECONTAINERDN=
NOVL_CONFIG_COMPLIANCECONTAINERDN
NOVL_CONFIG_USERCONTAINERDN=
NOVL_CONFIG_GROUPCONTAINERDN=
Nom du paramètre équivalent dans le fichier des paramètres de configuration de l'application utilisateur
Ce rôle est disponible dans le module de provisioning basé sur les rôles de Novell d'Identity Manager. Il permet aux membres de créer, de supprimer ou de modifier l'ensemble des rôles, ainsi que de révoquer les assignations de rôles des utilisateurs, des groupes ou des conteneurs. Il permet
également à ses membres d'exécuter des rapports pour n'importe quel utilisateur. Par défaut, ce rôle est assigné à l'administrateur de l'application utilisateur.
Pour modifier cette assignation après avoir déployé l'application utilisateur, utilisez la page Rôles > Assignations de rôles de l'application utilisateur.
L'administrateur du module de conformité est un rôle système qui permet aux membres d'exécuter toutes les fonctions de l'onglet
Conformité. Cet utilisateur doit exister dans le coffre-fort d'identité avant d'être désigné comme administrateur du module de conformité.
Identité utilisateur du méta-annuaire : DN du conteneur utilisateur.
Indiquez le nom distinctif (DN) LDAP ou le nom LDAP complet du conteneur utilisateur.
Cela définit l'étendue de recherche d'utilisateurs et de groupes. Les utilisateurs de ce conteneur (et en dessous) sont autorisés à se loguer à l'application utilisateur.
Important : vérifiez que l'administrateur de l'application utilisateur indiqué lors de la configuration des pilotes de l'application utilisateur existe dans ce conteneur si vous souhaitez que cet utilisateur soit en mesure d'exécuter les workflows.
Groupes d'utilisateurs du méta-annuaire : DN du conteneur de groupes.
Indiquez le nom distinctif (DN) LDAP ou le nom LDAP complet du conteneur de groupes.
Utilisé par les définitions d'entités au sein de la couche d'abstraction d'annuaire.
Installation depuis la console ou à l'aide d'une commande unique
63
Nom du paramètre de l'application utilisateur dans silent.properties
NOVL_CONFIG_KEYSTOREPATH=
NOVL_CONFIG_KEYSTOREPASSWORD=
NOVL_CONFIG_SECUREADMINCONNECTION=
NOVL_CONFIG_SECUREUSERCONNECTION=
NOVL_CONFIG_SESSIONTIMEOUT=
NOVL_CONFIG_LDAPPLAINPORT=
Nom du paramètre équivalent dans le fichier des paramètres de configuration de l'application utilisateur
Certificats eDirectory : chemin d'accès au keystore. Requis.
Indiquez le chemin d'accès complet au fichier
(cacerts) de votre keystore du JRE que le serveur d'applications utilise. L'installation de l'application utilisateur modifie le fichier keystore. Sous Linux ou Solaris, l'utilisateur doit avoir une autorisation pour écrire sur ce fichier.
Certificats eDirectory : mot de passe du keystore.
Indiquez le mot de passe cacerts. L'unité par défaut est changeit.
Paramètres de connexion eDirectory : connexion d'admin. sécurisée.
Requis. Indiquez Vrai pour que toutes les communications utilisant le compte administrateur soient effectuées à l'aide d'un socket sécurisé (cette option peut nuire aux performances). Cette configuration permet
également d'exécuter des opérations qui ne nécessitent pas SSL.
Indiquez Faux si le compte administrateur n'utilise pas de communication à socket sécurisé.
Paramètres de connexion eDirectory : connexion utilisateur sécurisée.
Requis. Indiquez Vrai pour que toutes les communications sur le compte de l'utilisateur logué soient effectuées via un socket sécurisé
(cette option peut nuire fortement aux performances). Cette configuration permet
également d'exécuter des opérations qui ne nécessitent pas SSL.
Indiquez Faux si le compte utilisateur n'utilise pas de communication par socket sécurisé.
Divers : timeout de session.
Requis. Indiquez un intervalle de timeout de session d'application.
Paramètres de connexion eDirectory : port non sécurisé LDAP.
Requis. Indiquez le port non sécurisé de votre serveur LDAP, par exemple 389.
64
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Nom du paramètre de l'application utilisateur dans silent.properties
NOVL_CONFIG_LDAPSECUREPORT=
NOVL_CONFIG_ANONYMOUS=
NOVL_CONFIG_GUEST=
NOVL_CONFIG_GUESTPASS=
NOVL_CONFIG_EMAILNOTIFYHOST=
NOVL_CONFIG_EMAILNOTIFYPORT=
Nom du paramètre équivalent dans le fichier des paramètres de configuration de l'application utilisateur
Paramètres de connexion eDirectory : port sécurisé LDAP.
Requis. Indiquez le port sécurisé de votre serveur LDAP, par exemple 636.
Paramètres de connexion eDirectory : utiliser un compte anonyme public.
Requis. Indiquez Vrai pour permettre aux utilisateurs non logués d'accéder au compte anonyme public LDAP.
Indiquez Faux si vous préférez activer
NOVL_CONFIG_GUEST.
Paramètres de login eDirectory : invité LDAP.
Permet aux utilisateurs non logués d'accéder
à des portlets autorisés. Vous devez
également désélectionner Utiliser un compte
anonyme public. Le compte utilisateur Guest doit déjà exister dans le coffre-fort d'identité.
Pour désactiver l'utilisateur Guest, sélectionnez Utiliser un compte anonyme
public.
Paramètres de connexion eDirectory : mot de passe Guest LDAP.
Courrier électronique : jeton HÔTE du modèle de notification.
Indiquez le serveur d'applications hébergeant l'application utilisateur Identity Manager. Par exemple : myapplication serverServer
Cette valeur remplace le jeton $HOST$ des modèles de courrier électronique. L'URL construite est la liaison aux tâches de requête de provisioning et aux notifications d'approbation.
Courrier électronique : jeton du port du modèle de notification.
Utilisé pour remplacer le jeton $PORT$ des modèles de courrier électronique utilisés dans les tâches de requête de provisioning et les notifications d'approbation.
Installation depuis la console ou à l'aide d'une commande unique
65
Nom du paramètre de l'application utilisateur dans silent.properties
NOVL_CONFIG_EMAILNOTIFYSECUREPORT=
NOVL_CONFIG_NOTFSMTPEMAILFROM=
NOVL_CONFIG_NOTFSMTPEMAILHOST=
NOVL_CONFIG_USEEXTPWDWAR=
NOVL_CONFIG_EXTPWDWARPATH=
Nom du paramètre équivalent dans le fichier des paramètres de configuration de l'application utilisateur
Courrier électronique : jeton du port sécurisé du modèle de notification.
Utilisé pour remplacer le jeton
$SECURE_PORT$ des modèles de courrier
électronique utilisés dans les tâches de requête de provisioning et les notifications d'approbation
Courrier électronique : notification SMTP - expéditeur du courrier électronique.
Requis. Indiquez l'utilisateur expéditeur du courrier électronique dans le message de provisioning.
Courrier électronique : notification SMTP - destinataire du courrier électronique.
Requis. Indiquez l'utilisateur destinataire du courrier électronique dans le message de provisioning. Il peut s'agir d'une adresse IP ou d'un nom DNS.
Gestion des mots de passe : utiliser un WAR de mots de passe externe.
Indiquez Vrai si vous utilisez un WAR de gestion de mots de passe externe. Si vous indiquez Vrai, vous devez également fournir des valeurs pour
NOVL_CONFIG_EXTPWDWARPTH et
NOVL_CONFIG_EXTPWDWARRTNPATH.
Indiquez Faux pour utiliser la fonction de gestion des mots de passe interne par défaut.
/jsps/pwdmgt/ForgotPassword.jsf
(sans le protocole http(s) au début). Cela redirige l'utilisateur vers la fonction Mot de passe oublié intégrée à l'application utilisateur, plutôt que vers un WAR externe.
Gestion des mots de passe : liaison Mot de passe oublié.
Indiquez l'URL de la page de la fonction Mot de passe oublié, ForgotPassword.jsf, dans un WAR de gestion de mots de passe externe ou interne. Vous pouvez également accepter le WAR de gestion des mots de passe interne par défaut. Pour plus de détails,
reportez-vous au « Configuration de la gestion de mots de passe externe » page 74
.
66
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Nom du paramètre de l'application utilisateur dans silent.properties
Nom du paramètre équivalent dans le fichier des paramètres de configuration de l'application utilisateur
NOVL_CONFIG_EXTPWDWARRTNPATH=
NOVL_CONFIG_USEROBJECTATTRIBUTE=
NOVL_CONFIG_LOGINATTRIBUTE=
NOVL_CONFIG_NAMINGATTRIBUTE=
NOVL_CONFIG_USERMEMBERSHIPATTRIBUTE=
NOVL_CONFIG_GROUPOBJECTATTRIBUTE=
Gestion des mots de passe : liaison de retour
Mot de passe oublié.
Si vous utilisez un WAR de gestion des mots de passe externe, indiquez le chemin d'accès que le WAR de gestion des mots de passe externe utilise pour rappeler l'application utilisateur par des services Web, par exemple https://idmhost:sslport/idm.
Identité utilisateur du méta-annuaire : classe d'objets utilisateur.
Requis. La classe d'objets utilisateur LDAP
(généralement inetOrgPerson).
Identité utilisateur du méta-annuaire : attribut de login.
Requis. L'attribut LDAP (par exemple, CN) qui représente le nom de login de l'utilisateur.
Identité utilisateur du méta-annuaire : attribut d'assignation de nom.
Requis. L'attribut LDAP utilisé comme identifiant lors de la consultation d'utilisateurs ou de groupes. Il est différent de l'attribut de login, qui n'est utilisé que lors du login, et non pas lors des recherches d'utilisateurs/de groupes.
Identité utilisateur du méta-annuaire : attribut d'adhésion utilisateur. Facultatif.
Requis. L'attribut LDAP qui représente l'adhésion à un groupe de l'utilisateur.
N'utilisez pas d'espace pour ce nom.
Groupes d'utilisateurs du méta-annuaire : classe d'objets Groupe.
Requis. La classe d'objets Groupe LDAP
(généralement groupofNames).
NOVL_CONFIG_GROUPMEMBERSHIPATTRIBUTE= Groupes d'utilisateurs du méta-annuaire : attribut d'adhésion à un groupe.
NOVL_CONFIG_USEDYNAMICGROUPS=
Requis. Indiquez l'attribut représentant l'adhésion à un groupe de l'utilisateur.
N'utilisez pas d'espace pour ce nom.
Groupes d'utilisateurs du méta-annuaire : utiliser des groupes dynamiques.
Requis. Indiquez Vrai si vous souhaitez utiliser les groupes dynamiques. Indiquez
Faux dans le cas contraire.
Installation depuis la console ou à l'aide d'une commande unique
67
Nom du paramètre de l'application utilisateur dans silent.properties
NOVL_CONFIG_DYNAMICGROUPOBJECTCLASS=
NOVL_CONFIG_PRIVATESTOREPATH=
NOVL_CONFIG_PRIVATESTOREPASSWORD=
NOVL_CONFIG_PRIVATEKEYALIAS=
NOVL_CONFIG_PRIVATEKEYPASSWORD=
NOVL_CONFIG_TRUSTEDSTOREPATH=
NOVL_CONFIG_TRUSTEDSTOREPASSWORD=
NOVL_CONFIG_AUDITCERT=
NOVL_CONFIG_AUDITKEYFILEPATH=
Nom du paramètre équivalent dans le fichier des paramètres de configuration de l'application utilisateur
Groupes d'utilisateurs du méta-annuaire : classe d'objets de groupe dynamique.
Requis. Indiquez la classe d'objets de groupe dynamique LDAP (généralement dynamicGroup).
Keystore privé : chemin du keystore privé.
Indiquez le chemin d'accès au keystore privé qui contient la clé privée et les certificats de l'application utilisateur. Réservé. Si vous laissez ce champ vierge, ce chemin d'accès est /jre/lib/security/cacerts par défaut.
Keystore privé : mot de passe du keystore privé.
Keystore privé : alias de clé privée.
Cet alias est novellIDMUserApp à moins d'indication contraire.
Keystore privé : mot de passe de clé privée.
Keystore approuvé : chemin de keystore approuvé.
Le keystore approuvé contient tous les certificats approuvés des signataires utilisés pour valider les signatures numériques. Si ce chemin est vide, l'application utilisateur obtient le chemin à partir de la propriété
Système javax.net.ssl.trustStore. Si le chemin n'y est pas, il est supposé être jre/lib/security/cacerts.
Keystore approuvé : mot de passe du keystore approuvé.
Certificat de signature numérique Novell Audit
Chemin de fichier du keystore privé de signatures numériques Novell Audit.
68
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Nom du paramètre de l'application utilisateur dans silent.properties
Nom du paramètre équivalent dans le fichier des paramètres de configuration de l'application utilisateur
NOVL_CONFIG_ICSLOGOUTENABLED=
NOVL_CONFIG_ICSLOGOUTPAGE=
Paramètres Access Manager et IChain : logout simultané activé
Indiquez Vrai pour activer le logout simultané de l'application utilisateur et de Novell Access
Manager ou d'iChain
®
. L'application utilisateur vérifie la présence du cookie Novell Access
Manager ou iChain durant le logout ; s'il est présent, l'utilisateur est renvoyé à la page de logout simultané.
Indiquez Faux pour désactiver le logout simultané.
Paramètres Access Manager et IChain : page de logout simultané
NOVL_CONFIG_EMAILNOTIFYPROTOCOL=
Indiquez l'URL pointant vers la page de logout de Novell Access Manager ou iChain (il doit s'agir d'un nom d'hôte attendu par Novell
Access Manager ou iChain). Si la connexion à
ICS est activée et si un utilisateur se délogue de l'application utilisateur, il est réacheminé vers cette page.
Courrier électronique : jeton PROTOCOLE du modèle de notification.
Se rapporte à un protocole non sécurisé,
HTTP. Utilisé pour remplacer le jeton
$PROTOCOL$ des modèles de courrier
électronique utilisés dans les tâches de requête de provisioning et les notifications d'approbation.
NOVL_CONFIG_EMAILNOTIFYSECUREPROTOCOL= Courrier électronique : jeton du port sécurisé du modèle de notification.
NOVL_CONFIG_OCSPURI= Divers : OCSP URI.
NOVL_CONFIG_AUTHCONFIGPATH=
Si l'installation client utilise le protocole OCSP
(protocole de propriété d'état de certificat en ligne), fournissez un identificateur de ressource uniforme (URI). Par exemple, le format est http://hstport/ocspLocal. L'URI
OCSP met à jour le statut des certificats approuvés en ligne.
Divers : chemin de configuration d'autorisation.
Le nom complet du fichier de configuration de l'autorisation.
Installation depuis la console ou à l'aide d'une commande unique
69
Nom du paramètre de l'application utilisateur dans silent.properties
NOVL_CONFIG_CREATEDIRECTORYINDEX
NOVL_CONFIG_REMOVEDIRECTORYINDEX
NOVL_CONFIG_SERVERDN
Nom du paramètre équivalent dans le fichier des paramètres de configuration de l'application utilisateur
Divers : créer un index eDirectory
Indiquez Vrai si vous souhaitez que le programme d'installation silencieux crée des index sur les attributs manager, ismanager et srvprvUUID sur le serveur eDirectory indiqué dans NOVL_CONFIG_SERVERDN. Si ce paramètre est défini sur Vrai,
NOVL_CONFIG_REMOVEEDIRECTORYIND
EX ne peut pas être Vrai.
Pour que les performances soient optimales, la création de l'index doit être terminée. Les index doivent être en mode En ligne pour que vous puissiez rendre l'Application utilisateur disponible.
Divers : supprimer un index eDirectory
Indiquez Vrai si vous souhaitez que le programme d'installation silencieux supprime des index sur le serveur indiqué dans
NOVL_CONFIG_SERVERDN. Si ce paramètre est défini sur Vrai,
NOVL_CONFIG_CREATEEDIRECTORYIND
EX ne peut pas être Vrai.
Divers : DN de serveur
Indiquez le serveur eDirectory sur lequel les index doivent être créés ou duquel ils doivent
être supprimés.
70
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Tâches post-installation
La présente section présente les tâches de post-installation. Les rubriques sont les suivantes :
Section 8.1, « Enregistrement de la clé maîtresse », page 71
Section 8.2, « Configuration de l'application utilisateur », page 71
Section 8.3, « Configuration d'eDirectory », page 72
Section 8.5, « Configuration de la gestion de mots de passe externe », page 74
Section 8.6, « Mise à jour des paramètres Mot de passe oublié », page 75
Section 8.7, « dépannage », page 76
8.1 Enregistrement de la clé maîtresse
Immédiatement après l'installation, copiez la clé maîtresse codée et enregistrez-la en lieu sûr.
1 Ouvrez le fichier master-key.txt dans le répertoire d'installation.
2 Copiez la clé maîtresse codée dans un emplacement sûr accessible en cas de défaillance système.
Avertissement : conservez toujours une copie de la clé maîtresse codée. Vous avez besoin de la clé maîtresse codée pour accéder à nouveau aux données codées en cas de perte de la clé maîtresse, par exemple en raison d'une défaillance de l'équipement.
Si cette installation est sur le premier membre d'une grappe, utilisez cette clé maîtresse codée lors de l'installation de l'application utilisateur sur d'autres membres de la grappe.
8.2 Configuration de l'application utilisateur
Pour obtenir des informations sur la post-installation afin de configurer l'application utilisateur
Identity Manager et le sous-système des rôles, reportez-vous aux documents suivants :
La section « Configuring the User Application Environment » (Configuration de l'environnement de l'application utilisateur) du manuel Novell IDM Roles Based Provisioning
Module 3.6.1 Administration Guide (Guide d'administration de Novell IDM Roles Based
Provisioning Module 3.6).
Le manuel Novell IDM Roles Based Provisioning Module 3.6.1 Design Guide (Guide de
conception de Novell IDM Roles Based Provisioning Module 3.6)
8.2.1 Configuration de Novell Audit
Copiez le fichier dirxml.lsc (situé dans le fichier prerequisites.zip) sur le serveur Audit en suivant les instructions de la section intitulée « Configuration de la consignation » du Guide d'administration de l'application utilisateur (http://www.novell.com/documentation/idmrbpm361/ index.html) .
8
Tâches post-installation
71
8.3 Configuration d'eDirectory
Section 8.3.1, « Création d'index dans eDirectory », page 72
Section 8.3.2, « Installation et configuration de la méthode d'authentification SAML », page 72
8.3.1 Création d'index dans eDirectory
Pour améliorer les performances de l'application utilisateur, l'administrateur d'eDirectory
TM
doit créer des index pour les attributs manager, ismanager et srvprvUUID. Sans index sur ces attributs, les performances de l'application utilisateur peuvent être réduites, en particulier dans les environnements en grappes.
Ces index peuvent être créés automatiquement pendant l'installation si vous sélectionnez Créer des
index eDirectory sous l'onglet Avancé du tableau de bord Configuration de l'application utilisateur
(décrit dans
). Reportez-vous au Guide d'administration de Novell eDirectory pour obtenir des instructions sur l'utilisation du gestionnaire d'index en vue de créer des index.
(http://www.novell.com/documentation)
8.3.2 Installation et configuration de la méthode d'authentification SAML
Cette configuration est nécessaire uniquement si vous souhaitez utiliser la méthode d'authentification SAML et que vous n'utilisez pas Access Manager. Si vous utilisez Access
Manager, votre arborescence eDirectory comprend déjà la méthode. La procédure comprend :
L'installation de la méthode SAML dans l'arborescence eDirectory.
La modification des attributs eDirectory à l'aide d'iManager.
L'installation de la méthode SAML dans l'arborescence eDirectory.
1 Localisez le fichier nmassaml.zip du fichier .iso puis dézippez-le.
2 Installez la méthode SAML dans votre arborescence eDirectory.
2a Étendez le schéma stocké dans le fichier authsaml.sch
L'exemple suivant montre comment procéder sous Linux : ndssch -h <edir_ip> <edir_admin> authsaml.sch
2b Installez la méthode SAML.
L'exemple suivant montre comment procéder sous Linux : nmasinst -addmethod <edir_admin> <tree> ./config.txt
Modification des attributs eDirectory
1 Ouvrez iManager et allez à Rôles et tâches > Administration de répertoire > Créer un objet.
2 Sélectionnez Afficher toutes les classes d'objets.
3 Créez un objet de la classe authsamlAffiliate.
4 Sélectionnez authsamlAffiliate, puis cliquez sur OK. (Vous pouvez attribuer tout nom valide à cet objet.)
72
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
5 Pour préciser le contexte, sélectionnez l'objet du conteneur SAML Assertion.Authorized Login
Methods.Security dans l'arborescence, puis cliquez sur OK.
6 Vous devez ajouter des attributs à l'objet de la classe authsamlAffiliate.
6a Allez dans l'onglet iManager Afficher les objets > Parcourir et cherchez votre nouvel objet affilié dans le conteneur SAML Assertion.Authorized Login Methods.Security.
6b Sélectionnez le nouvel objet affilié, puis sélectionnez Modifier l'objet.
6c Ajoutez l'attribut authsamlProviderID au nouvel objet affilié. Cet attribut permet d'associer une assertion à son affilié. Le contenu de cet attribut doit correspondre exactement à l'attribut Issuer (émetteur) envoyé par l'assertion SAML.
6d Cliquez sur OK.
6e Ajoutez les attributs authsamlValidBefore et authsamlValidAfter à l'objet affilié. Ces attributs définissent la durée (en secondes) autour d'IssueInstant (instant d'émission) dans une assertion considérée comme valide. Une valeur par défaut classique est 180 secondes.
6f Cliquez sur OK.
7 Sélectionnez le conteneur Sécurité, puis sélectionnez Créer un objet pour créer un Conteneur
de racine approuvée dans votre conteneur Sécurité.
8 Créez des objets de racine approuvée dans le conteneur racine approuvée.
8a Revenez à Rôles et tâches > Gestion d'annuaire, puis sélectionnez Créer un objet.
8b Sélectionnez de nouveau Afficher toutes les classes d'objets.
8c Création d'un objet de racine approuvée pour le certificat que votre affilié utilisera pour signer des assertions. Pour ce faire, vous devez avoir une copie codée der du certificat.
8d Créez de nouveaux objets de racine approuvée pour chaque certificat de la chaîne des certificats de signature jusqu'au certificat CA racine.
8e Définissez le contexte sur le conteneur de racine approuvée créé ci-dessus, puis cliquez sur OK.
9 Retournez à la visionneuse d'objets.
10 Ajoutez un attribut authsamlTrustedCertDN à votre objet affilié, puis cliquez sur OK.
Cet attribut doit pointer vers « l'objet de racine approuvée » du certificat de signature que vous avez créé à l'étape précédente. (Toutes les assertions de l'affilié doivent être signées par des certificats pointés par cet attribut, sinon elles seront rejetées.)
11 Ajoutez un attribut authsamlCertContainerDN à votre objet affilié, puis cliquez sur OK.
Cet attribut doit pointer vers le « conteneur de racine approuvée » que vous avez créé auparavant. (Cet attribut permet de vérifier la chaîne du certificat de signature.)
8.4 Reconfiguration du fichier WAR de l'application utilisateur après l'installation
Pour mettre votre fichier WAR à jour, vous devez exécuter l'utilitaire de mise à jour de la configuration comme suit :
1 Exécutez l'utilitaire ConfigUpdate dans le répertoire d'installation de l'application utilisateur via configupdate.sh ou configupdate.bat. Cela permet de mettre à jour le fichier
WAR dans le répertoire d'installation.
Tâches post-installation
73
Pour plus d'information sur les paramètres de l'utilitaire ConfigUpdate, reportez-vous à
Section A.1, « Configuration de l'application utilisateur : paramètres de base », page 79 ,
.
2 Déployez le nouveau fichier WAR sur votre serveur d'applications.
Dans le cas de WebLogic et WebSphere, redéployez le fichier WAR sur le serveur d'applications. Dans le cas d'un serveur JBoss unique, les modifications sont appliquées au fichier WAR déployé. Si vous l'exécutez dans une grappe JBoss, le fichier WAR doit être mis à jour sur chaque serveur JBoss de la grappe.
8.5 Configuration de la gestion de mots de passe externe
Utilisez le paramètre de configuration Liaison Mot de passe oublié pour indiquer l'emplacement d'un
WAR contenant la fonction Mot de passe oublié. Vous pouvez indiquer un WAR qui est externe ou interne à l'application utilisateur.
Section 8.5.1, « Spécification d'un WAR de gestion des mots de passe externe », page 74
Section 8.5.2, « Spécification d'un WAR de mot de passe interne », page 75
Section 8.5.3, « Essai de la configuration du fichier WAR de mots de passe externe », page 75
Section 8.5.4, « Configuration de la communication SSL entre serveurs JBoss », page 75
8.5.1 Spécification d'un WAR de gestion des mots de passe externe
1 Utilisez la procédure d'installation ou l'utilitaire configupdate.
2 Dans les paramètres de configuration de l'application utilisateur, cochez la case du paramètre de configuration Utiliser le WAR de mot de passe externe.
3 Pour le paramètre de configuration Liaison Mot de passe oublié, indiquez l'emplacement du
WAR de mots de passe externe.
Indiquez l'hôte et le port, par exemple http://localhost:8080/ExternalPwd/ jsps/pwdmgt/ForgotPassword.jsf. Un WAR de mots de passe externe peut être en dehors du pare-feu qui protège l'application utilisateur.
4 Pour le Lien Retour mot de passe oublié, indiquez le chemin d'accès que WAR de gestion des mots de passe externe utilise pour rappeler l'application utilisateur grâce à des services Web, par exemple https://idmhost:sslport/idm.
La liaison de retour doit utiliser SSL pour assurer une communication sécurisée des services
Web vers l'application utilisateur. Reportez-vous également à
Section 8.5.4, « Configuration de la communication SSL entre serveurs JBoss », page 75
.
5 Effectuez l'une des opérations suivantes :
Si vous utilisez le programme d'installation, lisez les informations de cette étape, puis
Si vous utilisez l'utilitaire configupdate pour mettre à jour le WAR de mots de passe externe dans le répertoire racine d'installation, lisez cette étape et renommez manuellement le WAR comme le premier répertoire que vous avez indiqué dans Liaison
Mot de passe oublié. Passez ensuite à
.
74
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Avant la fin de l'installation, le programme d'installation renomme IDMPwdMgt.war
(regroupé avec le programme d'installation) et lui donne le nom du premier répertoire que vous avez indiqué. Le fichier renommé IDMPwdMgt.war devient votre WAR de mots de passe externe. Par exemple, si vous indiquez http://www.idmpwdmgthost.com/
ExternalPwd/jsps/pwdmgt/ForgotPassword.jsf, le programme d'installation renomme IDMPwdMgt.war qui devient ExternalPwd.war. Le programme d'installation déplace le WAR renommé dans le répertoire racine d'installation.
6 Copiez manuellement ExternalPwd.war dans le répertoire de déploiement du serveur distant JBoss qui exécute la fonction WAR de mots de passe externe.
8.5.2 Spécification d'un WAR de mot de passe interne
1 Dans les paramètres de configuration de l'application utilisateur, ne cochez pas la case Utiliser
le WAR de mot de passe externe.
2 Acceptez l'emplacement par défaut de la liaison Mot de passe oublié ou fournissez une URL pour un autre WAR de mots de passe.
3 Acceptez la valeur par défaut de la liaison de retour Mot de passe oublié.
8.5.3 Essai de la configuration du fichier WAR de mots de passe externe
Si vous disposez d'un fichier WAR de mots de passe externe et souhaitez y accéder pour tester la fonction Mot de passe oublié, vous le trouverez à l'emplacement suivant :
Directement, dans un navigateur. Allez sur la page Mot de passe oublié dans le WAR de mots de passe externe, par exemple http://localhost:8080/ExternalPwd/jsps/ pwdmgt/ForgotPassword.jsf.
Dans la page de login de l'application utilisateur, cliquez sur le lien Mot de passe oublié.
8.5.4 Configuration de la communication SSL entre serveurs
JBoss
Si vous sélectionnez Utiliser le WAR de mot de passe externe dans le fichier de configuration de l'application utilisateur lors de l'installation, vous devez configurer la communication SSL entre les serveurs JBoss sur lesquels vous déployez le WAR de l'application utilisateur et le fichier
IDMPwdMgt.war. Reportez-vous à votre documentation JBoss pour obtenir des directives.
8.6 Mise à jour des paramètres Mot de passe oublié
Vous pouvez modifier les valeurs de la liaison Mot de passe oublié et de la liaison retour Mot de
passe oublié après l'installation. Utilisez l'utilitaire configupdate ou l'application utilisateur.
Utilisation de l'utilitaire configupdate. Sur une ligne de commande, naviguez jusqu'au répertoire d'installation et saisissez configupdate.sh (Linux ou Solaris) ou configupdate.bat
(Windows). Si vous créez ou modifiez un WAR de gestion de mots de passe externe, vous devez alors renommer manuellement le WAR avant de le copier sur le serveur distant JBoss.
Tâches post-installation
75
Utilisation de l'application utilisateur. Loguez-vous en tant qu'administrateur de l'application utilisateur et allez dans Administration > Configuration application > Configuration module mot de
passe > Login. Modifiez les champs suivants :
Liaison Mot de passe oublié (par exemple : http://localhost:8080/ExternalPwd/ jsps/pwdmgt/ForgotPassword.jsf)
Liaison retour Mot de passe oublié (par exemple : https://idmhost:sslport/idm)
8.7 dépannage
Votre représentant Novell
®
passera en revue tout problème d'installation et de configuration avec vous. En attendant, voici quelques points à vérifier en cas de problème.
Point Actions suggérées
Vous souhaitez modifier les paramètres de configuration de l'application utilisateur définis lors de l'installation. Cela comprend la configuration des
éléments suivants par exemple :
Exécutez l'utilitaire de configuration indépendamment du programme d'installation.
Sous Linux et Solaris, exécutez la commande suivante depuis le répertoire d'installation (par défaut, /opt/novell/idm) :
Connexions et certificats du coffre-fort d'identité
Paramètres de messagerie électronique
Identité utilisateur du méta-annuaire, groupes d'utilisateurs
Paramètres Access Manager et iChain
® configupdate.sh
Sous Windows, exécutez la commande suivante depuis le répertoire d'installation (par défaut, c:\opt\novell\idm) : configupdate.bat
Des exceptions apparaissent lorsque le serveur d'application démarre, avec un message de journal port 8080 déjà en cours d'utilisation.
Arrêter toute instance de Tomcat (ou autre logiciel de serveur) qui pourrait déjà être en cours d'exécution. Si vous décidez de reconfigurer le serveur d'applications de façon à ce qu'il utilise un port autre que 8080, n'oubliez pas de modifier les paramètres config pour le pilote de l'application utilisateur dans iManager.
Au démarrage du serveur d'applications, un message s'affiche indiquant qu'aucun certificat approuvé n'a été trouvé.
Vous ne pouvez pas vous loguer à la page d'administration du portail.
Veillez à démarrer le serveur d'applications en utilisant le JDK indiqué pendant l'installation de l'application utilisateur.
Assurez-vous que le compte administrateur de l'application utilisateur existe. Ne le confondez pas avec votre compte administrateur iManager. Il s'agit de deux objets admin. différents (normalement).
Vous pouvez vous loguer en tant qu'administrateur, mais vous ne pouvez pas créer de nouveaux utilisateurs.
L'administrateur de l'application utilisateur doit être un ayant droit du conteneur maître et doit avoir des droits de superviseur. En attendant, vous pouvez essayer de configurer les droits administrateur de l'application utilisateur équivalents aux droits administrateur LDAP (via iManager).
76
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Point Actions suggérées
Au démarrage du serveur d'applications, il y a des erreurs de connexion à MySQL.
N'exécutez rien en tant qu'utilisateur root. (La survenue de ce problème est cependant peu probable si vous exécutez la version de MySQL fournie avec Identity Manager.)
Vous rencontrez des erreurs de keystore lors du démarrage du serveur d'applications.
Assurez-vous que MySQL fonctionne (et que la copie correcte est exécutée). Détruisez toute autre instance de MySQL. Exécutez /idm/mysql/ start-mysql.sh, puis /idm/start-jboss.sh.
Examinez /idm/mysql/setup-mysql.sh dans un éditeur de texte et corrigez toute valeur qui semble suspecte. Exécutez ensuite le script, puis / idm/start-jboss.sh.
Votre serveur d'applications n'exécute pas le JDK spécifié à l'installation de l'application utilisateur.
Utilisez la commande keytool pour importer le fichier de certificat :
Aucune notification n'a été envoyée par courrier
électronique.
keytool -import -trustcacerts -alias
aliasName -file certFile -keystore
..\lib\security\cacerts -storepass changeit
Remplacez aliasName par un nom unique de votre choix pour ce certificat.
Remplacez certFile par le chemin complet et le nom de votre fichier de certificat.
Le mot de passe du keystore par défaut est changeit (si vous avez un mot de passe différent, indiquez-le).
Exécutez l'utilitaire configupdate pour vérifier que vous avez fourni les valeurs des paramètres de configuration de l'application utilisateur suivants :
Message électronique de et Message électronique
à.
Sous Linux ou Solaris, exécutez cette commande depuis le répertoire d'installation (par défaut, / opt/novell/idm) : configupdate.sh
Sous Windows, exécutez la commande suivante depuis le répertoire d'installation (par défaut, c:\opt\novell\idm) : configupdate.bat
Tâches post-installation
77
78
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Référence de configuration de l'application utilisateur IDM
Cette section décrit les options destinées à fournir des valeurs lors des mises à jour de la configuration ou de l'installation de l'application utilisateur.
Section A.1, « Configuration de l'application utilisateur : paramètres de base », page 79
Section A.2, « Configuration de l'application utilisateur : tous les paramètres », page 84
A.1 Configuration de l'application utilisateur : paramètres de base
Figure A-1
Options de base de configuration de l'application utilisateur
A
Référence de configuration de l'application utilisateur IDM
79
Tableau A-1
Options de base de configuration de l'application utilisateur
Type de paramètre
Paramètres de connexion à eDirectory
®
Option
Hôte LDAP
Description
Requis. Indiquez le nom d'hôte ou l'adresse IP de votre serveur LDAP et son port sécurisé. Par exemple :
Port non sécurisé
LDAP myLDAPhost
Indiquez le port non sécurisé de votre serveur LDAP. Par exemple : 389.
Port sécurisé LDAP Indiquez le port sécurisé de votre serveur LDAP. Par exemple : 636.
Administrateur
LDAP
Requis. Indiquez les références de l'administrateur LDAP.
Cet utilisateur doit déjà exister. L'application utilisateur utilise ce compte pour effectuer une connexion administrative au coffre-fort d'identité. Cette valeur est codée, en fonction de la clé maîtresse.
Utilisez l'utilitaire ConfigUpdate pour modifier ce paramètre,
à condition de ne pas l'avoir modifié à l'aide de l'onglet
Administration de l'application utilisateur.
Mot de passe administrateur
LDAP
Requis. Indiquez le mot de passe administrateur LDAP. Ce mot de passe est codé, en fonction de la clé maîtresse.
Utiliser le compte
anonyme public
Guest LDAP
Utilisez l'utilitaire ConfigUpdate pour modifier ce paramètre,
à condition de ne pas l'avoir modifié à l'aide de l'onglet
Administration de l'application utilisateur.
Permet aux utilisateurs non logués d'accéder au compte anonyme public LDAP.
Mot de passe Guest
LDAP
Indiquez le mot de passe Guest LDAP.
Connexion admin.
sécurisée
Permet aux utilisateurs non logués d'accéder à des portlets autorisés. Ce compte utilisateur doit déjà exister dans le coffre-fort d'identité. Pour activer l'invité LDAP, vous devez désactiver Utiliser un compte anonyme public. Pour désactiver l'utilisateur invité, sélectionnez Utiliser un compte
anonyme public.
Login utilisateur
sécurisé
Sélectionnez cette option pour que toutes les communications utilisant le compte administrateur soient effectuées à l'aide d'un socket sécurisé (cette option peut nuire aux performances). Cette configuration permet
également d'exécuter des opérations qui ne nécessitent pas
SSL.
Sélectionnez cette option pour que toutes les communications utilisant le compte de l'utilisateur logué soient effectuées à l'aide d'un socket sécurisé (cette option peut nuire aux performances). Cette configuration permet
également d'exécuter des opérations qui ne nécessitent pas
SSL.
80
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Type de paramètre
DN eDirectory
Option
DN du conteneur
racine
DN du pilote de
provisioning
Description
Requis. Indiquez le nom distinctif LDAP du conteneur racine.
Celui-ci est utilisé comme racine de recherche de définition d'entité par défaut lorsqu'aucune racine n'est indiquée dans la couche d'abstraction d'annuaire.
Requis. Indiquez le nom distinctif du pilote de l'application utilisateur (décrit dans
Section 3.1, « Création du pilote d'application utilisateur dans iManager », page 27
). Par exemple, si votre pilote est UserApplicationDriver et si votre ensemble de pilotes est appelé myDriverSet, et si l'ensemble de pilotes est dans un contexte de o=myCompany, vous saisiriez une valeur de :
Admin. application
utilisateur
Admin de l'application de
provisioning cn=UserApplicationDriver,cn=myDriverSet,o=myCom pany
Requis. Un utilisateur existant dans le coffre-fort d'identité qui dispose des droits pour effectuer des tâches administratives pour le conteneur d'utilisateurs de l'application utilisateur spécifié. Cet utilisateur peut utiliser l'onglet Administration de l'application utilisateur pour administrer le portail.
Si l'administrateur de l'application utilisateur participe aux tâches d'administration du workflow exposées dans iManager, le concepteur Novell pour Identity Manager ou l'application utilisateur (onglet Requêtes et approbations), vous devez accorder à cet administrateur des droits d'ayant droit sur les instances d'objets contenues dans le pilote de l'application utilisateur. Reportez-vous au Guide
d'administration de l'application utilisateur pour en savoir plus.
Pour modifier cette assignation après avoir déployé l'application utilisateur, vous devez utiliser les pages
Administration > Sécurité de l'application utilisateur.
Vous ne pouvez pas modifier ce paramètre via ConfigUpdate si vous avez démarré le serveur d'applications qui héberge l'application utilisateur.
L'administrateur de l'application de provisioning utilise l'onglet Provisioning (sous l'onglet Administration) pour gérer les fonctions de workflow du provisioning. Ces fonctions sont accessibles aux utilisateurs en passant par l'onglet Requêtes
et approbations de l'application utilisateur. Cet utilisateur doit exister dans le coffre-fort d'identité avant d'être désigné administrateur de l'application Provisioning.
Pour modifier cette assignation après avoir déployé l'application utilisateur, vous devez utiliser les pages
Administration > Sécurité de l'application utilisateur.
Référence de configuration de l'application utilisateur IDM
81
Type de paramètre
DN eDirectory
(suite)
Option Description
Admin de conformité L'administrateur du module de conformité est un rôle système qui permet aux membres d'exécuter toutes les fonctions de l'onglet Conformité. Cet utilisateur doit exister dans le coffre-fort d'identité avant d'être désigné comme administrateur du module de conformité.
Lors des mises à jour de la configuration, les modifications apportées à cette valeur prennent effet uniquement si vous n'avez pas d'administrateur de module de conformité valide attribué. Si un administrateur de module de conformité valide existe, vos modifications ne sont pas enregistrées.
Administrateur de
rôles
Pour modifier cette assignation après avoir déployé l'application utilisateur, utilisez la page Rôles > Assignations
de rôles de l'application utilisateur.
Ce rôle est disponible dans le module de provisioning basé sur les rôles de Novell d'Identity Manager. Il permet aux membres de créer, de supprimer ou de modifier l'ensemble des rôles, ainsi que de révoquer les assignations de rôles des utilisateurs, des groupes ou des conteneurs. Il permet
également à ses membres d'exécuter des rapports pour n'importe quel utilisateur. Par défaut, ce rôle est assigné à l'administrateur de l'application utilisateur.
Pour modifier cette assignation après avoir déployé l'application utilisateur, utilisez la page Rôles > Assignations
de rôles de l'application utilisateur.
DN du conteneur
d'utilisateurs
Lors des mises à jour de la configuration, les modifications apportées à cette valeur prennent effet uniquement si vous n'avez pas d'administrateur de module de conformité valide attribué. Si un administrateur de rôles valide existe, vos modifications ne sont pas enregistrées.
Requis. Indiquez le nom distinctif (DN) LDAP ou le nom
LDAP complet du conteneur utilisateur. Cela définit l'étendue de recherche d'utilisateurs et de groupes. Les utilisateurs de ce conteneur (et en dessous) sont autorisés à se loguer à l'application utilisateur.
Important : vérifiez que l'administrateur de l'application utilisateur indiqué lors de la configuration des pilotes de l'application utilisateur existe dans ce conteneur si vous souhaitez que cet utilisateur soit en mesure d'exécuter les workflows.
Vous ne pouvez pas modifier ce paramètre via ConfigUpdate si vous avez démarré le serveur d'applications qui héberge l'application utilisateur.
82
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Type de paramètre
Certificats eDirectory
Option Description
DN de conteneur de
groupes
Requis. Indiquez le nom distinctif (DN) LDAP ou le nom
LDAP complet du conteneur de groupes.
Utilisé par les définitions d'entités au sein de la couche d'abstraction d'annuaire.
Chemin d'accès au
Keystore
Vous ne pouvez pas modifier ce paramètre via ConfigUpdate si vous avez démarré le serveur d'applications qui héberge l'application utilisateur.
Requis. Indiquez le chemin d'accès complet au fichier
(cacerts) de votre keystore du JDK que le serveur d'applications utilise pour fonctionner ou cliquez sur le petit bouton du navigateur pour trouver le fichier cacerts .
Sous Linux ou Solaris, l'utilisateur doit avoir une autorisation pour écrire sur ce fichier.
Mot de passe
Keystore/Confirmer mot de passe
Keystore
Requis. Indiquez le mot de passe cacerts. L'unité par défaut est changeit.
Jeton de l'hôte du modèle de
notification
Indiquez le serveur d'applications hébergeant l'application utilisateur Identity Manager. Par exemple : myapplication serverServer
Cette valeur remplace le jeton $HOST$ des modèles de courrier électronique. L'URL construite est la liaison aux tâches de requête de provisioning et aux notifications d'approbation.
Jeton du port du modèle de
notification
Utilisé pour remplacer le jeton $PORT$ des modèles de courrier électronique utilisés dans les tâches de requête de provisioning et les notifications d'approbation.
Jeton du port sécurisé du modèle
de notification
Utilisé pour remplacer le jeton $SECURE_PORT$ des modèles de courrier électronique utilisés dans les tâches de requête de provisioning et les notifications d'approbation.
Notification SMTP - expéditeur du
courrier électronique
Indiquez l'utilisateur expéditeur du courrier électronique dans le message de provisioning.
Notification SMTP - destinataire du
courrier électronique
Indiquez l'utilisateur destinataire du courrier électronique dans le message de provisioning. Il peut s'agir d'une adresse IP ou d'un nom DNS.
Référence de configuration de l'application utilisateur IDM
83
Type de paramètre
Gestion des mots de passe
Option Description
Utiliser le WAR de mots de passe
externe
Liaison Mot de
passe oublié
Cette fonction permet d'indiquer une page Mot de passe oublié qui réside dans un WAR Mot de passe oublié externe et une URL que le WAR Mot de passe oublié externe utilise pour rappeler l'application utilisateur grâce à un service Web.
Si vous sélectionnez Utiliser le WAR de mot de passe
externe, vous devez fournir des valeurs pour Lien Mot de
passe oublié et Lien Retour mot de passe oublié.
Si vous ne sélectionnez pas Utiliser le WAR de mot de passe
externe, IDM utilise la fonction de gestion des mots de passe interne par défaut. /jsps/pwdmgt/ForgotPassword.jsf
(sans le protocole http(s) au début). Cela redirige l'utilisateur vers la fonction Mot de passe oublié intégrée à l'application utilisateur, plutôt que vers un WAR externe.
Cette URL pointe vers la page de fonction Mot de passe oublié. Indiquez un fichier ForgotPassword.jsf dans un
WAR de gestion des mots de passe externe ou interne. Pour
plus de détails, reportez-vous à « Configuration de la gestion de mots de passe externe » page 74 .
Liaison de retour
Mot de passe oublié
Si vous utilisez un WAR de gestion des mots de passe externe, indiquez le chemin d'accès que le WAR de gestion des mots de passe externe utilise pour rappeler l'application utilisateur par des services Web, par exemple https://
idmhost:sslport/idm.
Remarque : vous pouvez modifier la plupart des paramètres de ce fichier après l'installation. Pour ce faire, exécutez le script configupdate.sh ou le fichier Windows configupdate.bat qui se trouve dans votre sous-répertoire d'installation. N'oubliez pas que dans une grappe, les paramètres de ce fichier doivent être identiques pour tous les membres de la grappe.
A.2 Configuration de l'application utilisateur : tous les paramètres
Ce tableau indique les paramètres de configuration disponibles lorsque vous cliquez sur Afficher les
options avancées.
84
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Tableau A-2
Configuration de l'application utilisateur : toutes les options
Type de paramètre Option Description
Paramètres de connexion eDirectory
Hôte LDAP
Port non
sécurisé LDAP
Port sécurisé
LDAP
Administrateur
LDAP
Requis. Indiquez le nom d'hôte ou l'adresse IP de votre serveur
LDAP. Par exemple : myLDAPhost
Indiquez le port non sécurisé de votre serveur LDAP. Par exemple : 389.
Indiquez le port sécurisé de votre serveur LDAP. Par exemple : 636.
Requis. Indiquez les références de l'administrateur LDAP. Cet utilisateur doit déjà exister. L'application utilisateur utilise ce compte pour effectuer une connexion administrative au coffrefort d'identité. Cette valeur est codée, en fonction de la clé maîtresse.
Mot de passe administrateur
LDAP
Requis. Indiquez le mot de passe administrateur LDAP. Ce mot de passe est codé, en fonction de la clé maîtresse.
Utiliser le compte
anonyme public
Permet aux utilisateurs non logués d'accéder au compte anonyme public LDAP.
Guest LDAP
Mot de passe
Guest LDAP
Permet aux utilisateurs non logués d'accéder à des portlets autorisés. Ce compte utilisateur doit déjà exister dans le coffrefort d'identité. Pour activer Guest LDAP, vous devez désélectionner Utiliser le compte anonyme public. Pour désactiver l'utilisateur Guest, sélectionnez Utiliser le compte
anonyme public.
Indiquez le mot de passe Guest LDAP.
Connexion admin.
sécurisée
Sélectionnez cette option pour que toutes les communications utilisant le compte administrateur soient effectuées à l'aide d'un socket sécurisé (cette option peut nuire aux performances).
Cette configuration permet également d'exécuter des opérations qui ne nécessitent pas SSL.
Login utilisateur
sécurisé
Sélectionnez cette option pour que toutes les communications sur le compte de l'utilisateur logué soient effectuées à l'aide d'un socket sécurisé (cette option peut nuire aux performances). Cette configuration permet également d'exécuter des opérations qui ne nécessitent pas SSL.
Référence de configuration de l'application utilisateur IDM
85
Type de paramètre
DN eDirectory
Option Description
DN du conteneur
racine
Requis. Indiquez le nom distinctif LDAP du conteneur racine.
Celui-ci est utilisé comme racine de recherche de définition d'entité par défaut lorsqu'aucune racine n'est indiquée dans la couche d'abstraction d'annuaire.
DN du pilote de
provisioning
Requis. Indiquez le nom distinctif du pilote de l'application
exemple, si votre pilote est UserApplicationDriver et si votre ensemble de pilotes est appelé myDriverSet, et si l'ensemble de pilotes est dans un contexte de o=myCompany, vous saisissez une valeur de :
Admin. application
utilisateur
Admin de l'application de
provisioning cn=UserApplicationDriver,cn=myDriverSet,o=myComp any
Requis. Un utilisateur existant dans le coffre-fort d'identité qui dispose des droits pour effectuer des tâches administratives pour le conteneur d'utilisateurs de l'application utilisateur spécifié. Cet utilisateur peut utiliser l'onglet Administration de l'application utilisateur pour administrer le portail.
Si l'administrateur de l'application utilisateur participe aux tâches d'administration du workflow exposées dans iManager, le concepteur Novell pour Identity Manager ou l'application utilisateur (onglet Requêtes et approbations), vous devez accorder à cet administrateur des droits d'ayant droit sur les instances d'objets contenues dans le pilote de l'application utilisateur. Reportez-vous au Guide d'administration de
l'application utilisateur pour en savoir plus.
Pour modifier cette assignation après avoir déployé l'application utilisateur, vous devez utiliser les pages
Administration > Sécurité de l'application utilisateur.
Vous ne pouvez pas modifier ce paramètre via ConfigUpdate si vous avez démarré le serveur d'applications qui héberge l'application utilisateur.
L'administration de l'application de provisioning gère les fonctions de workflow du provisioning accessibles par l'onglet
Requêtes et approbations de l'application utilisateur. Cet utilisateur doit exister dans le coffre-fort d'identité avant d'être désigné administrateur de l'application Provisioning.
Pour modifier cette assignation après avoir déployé l'application utilisateur, vous devez utiliser les pages
Administration > Sécurité de l'application utilisateur.
86
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Type de paramètre Option Description
Admin de
conformité
Administrateur
de rôles
L'administrateur du module de conformité est un rôle système qui permet aux membres d'exécuter toutes les fonctions de l'onglet Conformité. Cet utilisateur doit exister dans le coffrefort d'identité avant d'être désigné comme administrateur du module de conformité.
Lors des mises à jour de la configuration, les modifications apportées à cette valeur prennent effet uniquement si vous n'avez pas d'administrateur de module de conformité valide attribué. Si un administrateur de module de conformité valide existe, vos modifications ne sont pas enregistrées.
Pour modifier cette assignation après avoir déployé l'application utilisateur, utilisez la page Rôles > Assignations de
rôles de l'application utilisateur.
Ce rôle est disponible dans le module de provisioning basé sur les rôles de Novell d'Identity Manager. Il permet aux membres de créer, de supprimer ou de modifier l'ensemble des rôles, ainsi que de révoquer les assignations de rôles des utilisateurs, des groupes ou des conteneurs. Il permet également à ses membres d'exécuter des rapports pour n'importe quel utilisateur. Par défaut, ce rôle est assigné à l'administrateur de l'application utilisateur.
Pour modifier cette assignation après avoir déployé l'application utilisateur, utilisez la page Rôles > Assignations de
rôles de l'application utilisateur.
Lors des mises à jour de la configuration, les modifications apportées à cette valeur prennent effet uniquement si vous n'avez pas d'administrateur de module de conformité valide attribué. Si un administrateur de rôles valide existe, vos modifications ne sont pas enregistrées.
Référence de configuration de l'application utilisateur IDM
87
Type de paramètre Option
Identité utilisateur du méta-annuaire
DN du conteneur
d'utilisateurs
Description
Requis. Indiquez le nom distinctif (DN) LDAP ou le nom LDAP complet du conteneur d'utilisateurs.
Les utilisateurs de ce conteneur (et en dessous) sont autorisés
à se loguer à l'application utilisateur.
Vous ne pouvez pas modifier ce paramètre via ConfigUpdate si vous avez démarré le serveur d'applications qui héberge l'application utilisateur.
Important : vérifiez que l'administrateur de l'application utilisateur indiqué lors de la configuration des pilotes de l'application utilisateur existe dans ce conteneur si vous souhaitez que cet utilisateur soit en mesure d'exécuter les workflows.
Étendue du conteneur d'utilisateurs
Cela définit l'étendue de recherche d'utilisateurs.
Classe d'objets
Utilisateur
La classe d'objets utilisateur LDAP (généralement inetOrgPerson).
Attribut de login L'attribut LDAP (par exemple, CN) qui représente le nom de login de l'utilisateur.
Attribut de l'adhésion
utilisateur d'utilisateurs ou de groupes. Il est différent de l'attribut de login, qui n'est utilisé que lors du login, et non pas lors des recherches d'utilisateurs/de groupes.
Facultatif. L'attribut LDAP qui représente l'adhésion à un groupe de l'utilisateur. N'utilisez pas d'espace pour ce nom.
88
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Type de paramètre Option Description
Groupes d'utilisateurs du méta-annuaire
DN de conteneur de
groupes
Requis. Indiquez le nom distinctif (DN) LDAP ou le nom LDAP complet du conteneur de groupes. Utilisé par les définitions d'entités au sein de la couche d'abstraction d'annuaire.
Vous ne pouvez pas modifier ce paramètre via ConfigUpdate si vous avez démarré le serveur d'applications qui héberge l'application utilisateur.
Étendue du conteneur de
groupes
Cela définit l'étendue de recherche des groupes.
Classe d'objets
Groupe
La classe d'objets Groupe LDAP (généralement groupofNames).
Attribut d'adhésion à un
groupe
L'attribut qui représente l'adhésion d'un utilisateur à un groupe.
N'utilisez pas d'espaces pour le nom.
Utiliser des groupes
dynamiques
Classe d'objets
Groupe
dynamique
Sélectionnez cette option si vous souhaitez utiliser des groupes dynamiques.
La classe d'objets Groupe dynamique LDAP (généralement dynamicGroup).
Certificats eDirectory Chemin d'accès
au Keystore
Requis. Indiquez le chemin d'accès complet au fichier
(cacerts) de votre keystore du JRE que le serveur d'applications utilise pour fonctionner ou cliquez sur le petit bouton du navigateur pour trouver le fichier cacerts .
Mot de passe
Keystore
Confirmer le mot de passe
Keystore
L'installation de l'application utilisateur modifie le fichier keystore. Sous Linux ou Solaris, l'utilisateur doit avoir une autorisation pour écrire sur ce fichier.
Requis. Indiquez le mot de passe cacerts. L'unité par défaut est changeit.
Keystore privé
Chemin d'accès au keystore
privé
Le keystore privé contient la clé privée et les certificats de l'application utilisateur. Réservé. Si vous laissez ce champ vierge, ce chemin d'accès est /jre/lib/security/ cacerts par défaut.
Mot de passe
Keystore privé
Ce mot de passe est changeit, à moins d'indication contraire.
Ce mot de passe est codé, en fonction de la clé maîtresse.
Alias de clé
privée
Cet alias est novellIDMUserApp, à moins d'indication contraire.
Mot de passe
de la clé privée
Ce mot de passe est nove1lIDM, à moins d'indication contraire. Ce mot de passe est codé, en fonction de la clé maîtresse.
Référence de configuration de l'application utilisateur IDM
89
Type de paramètre Option Description
Banque de clés approuvée
Clé de certificat et signature numérique
Novell Audit
Chemin d'accès
à la banque
approuvée
La banque de clés approuvées contient tous les certificats approuvés des signataires utilisés pour valider les signatures numériques. Si ce chemin est vide, l'application utilisateur obtient le chemin à partir de la propriété Système javax.net.ssl.trustStore. Si le chemin n'y est pas, il est supposé être jre/lib/security/cacerts.
Mot de passe de la banque
approuvée
Si ce champ est vierge, l'application utilisateur obtient le mot de passe à partir de la propriété système javax.net.ssl.trustStorePassword. S'il n'y a aucune valeur, changeit est utilisé. Ce mot de passe est codé, en fonction de la clé maîtresse.
Contient le certificat et la clé de signature numérique Novell
Audit.
Affiche le certificat de signature numérique.
Certificat de signature numérique
Novell Audit
Clé privée de signature numérique
Novell Audit
Affiche la clé privée de signature numérique. Cette clé est codée, en fonction de la clé maîtresse.
Paramètres Access
Manager et iChain
Logout
simultané activé
Si cette option est activée, l'application utilisateur prend en charge le logout simultané de l'application utilisateur et de
Novell Access Manager ou d'iChain. L'application utilisateur vérifie la présence du cookie Novell Access Manager ou iChain durant le logout ; s'il est présent, l'utilisateur est renvoyé à la page de logout simultané.
Page de Logout
simultané
L'URL pointant vers la page de logout de Novell Access
Manager ou iChain, lorsque l'URL est un nom d'hôte attendu par Novell Access Manager ou iChain. Si la connexion à ICS est activée et si un utilisateur se délogue de l'application utilisateur, il est redirigé vers cette page.
90
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Type de paramètre Option Description
Courrier électronique Jeton de l'hôte
du modèle de
notification
Indiquez le serveur d'applications hébergeant l'application utilisateur Identity Manager. Par exemple : myapplication serverServer
Cette valeur remplace le jeton $HOST$ des modèles de courrier électronique. L'URL construite est la liaison aux tâches de requête de provisioning et aux notifications d'approbation.
Jeton du port du modèle de
notification
Utilisé pour remplacer le jeton $PORT$ des modèles de courrier électronique utilisés dans les tâches de requête de provisioning et les notifications d'approbation.
Jeton du port sécurisé du modèle de
notification
Jeton du protocole du modèle de
notification
Utilisé pour remplacer le jeton $SECURE_PORT$ des modèles de courrier électronique utilisés dans les tâches de requête de provisioning et les notifications d'approbation.
Se rapporte à un protocole non sécurisé, HTTP. Utilisé pour remplacer le jeton $PROTOCOL$ des modèles de courrier
électronique utilisés dans les tâches de requête de provisioning et les notifications d'approbation.
Se rapporte à un protocole sécurisé, HTTPS. Utilisé pour remplacer le jeton $SECURE_PROTOCOL$ des modèles de courrier électronique utilisés dans les tâches de requête de provisioning et les notifications d'approbation.
Jeton du protocole sécurisé du modèle de
notification
Notification
SMTP - expéditeur du courrier
électronique
Notification
SMTP - destinataire du courrier
électronique
Indiquez l'utilisateur expéditeur du courrier électronique dans le message de provisioning.
Indiquez l'utilisateur destinataire du courrier électronique dans le message de provisioning. Il peut s'agir d'une adresse IP ou d'un nom DNS.
Référence de configuration de l'application utilisateur IDM
91
Type de paramètre Option Description
Gestion des mots de passe
Utiliser le WAR de mots de
passe externe
Cette fonction permet d'indiquer une page Mot de passe oublié qui réside dans un WAR Mot de passe oublié externe et une
URL que le WAR Mot de passe oublié externe utilise pour rappeler l'application utilisateur grâce à un service Web.
Si vous sélectionnez Utiliser le WAR de mot de passe externe, vous devez fournir des valeurs pour Lien Mot de passe oublié et Lien Retour mot de passe oublié.
Divers
Liaison Mot de
passe oublié
Liaison de retour Mot de
passe oublié
Si vous ne sélectionnez pas Utiliser le WAR de mot de passe
externe, IDM utilise la fonction de gestion des mots de passe interne par défaut. /jsps/pwdmgt/ForgotPassword.jsf
(sans le protocole http(s) au début). Cela redirige l'utilisateur vers la fonction Mot de passe oublié intégrée à l'application utilisateur, plutôt que vers un WAR externe.
Cette URL pointe vers la page de fonction Mot de passe oublié.
Indiquez un fichier ForgotPassword.jsf dans un WAR de gestion des mots de passe externe ou interne.
Si vous utilisez un WAR de gestion des mots de passe externe, indiquez le chemin d'accès que le WAR de gestion des mots de passe externe utilise pour rappeler l'application utilisateur par des services Web, par exemple https://
idmhost:sslport/idm.
Le timeout de session de l'application.
Timeout de
session
OCSP URI Si l'installation client utilise le protocole OCSP (protocole de propriété d'état de certificat en ligne), fournissez un identificateur de ressource uniforme (URI). Par exemple, le format est http://host:port/ocspLocal. L'URI OCSP met à jour le statut des certificats approuvés en ligne.
Nom complet du fichier de configuration de l'autorisation.
Chemin de configuration
d'autorisation
Créer un index
eDirectory
Cochez cette case si vous souhaitez que l'utilitaire d'installation crée des index sur les attributs manager, ismanager et srvprvUUID. Sans index pour ces attributs, les utilisateurs de l'application utilisateur peuvent connaître la performance de l'application utilisateur se réduire, en particulier dans un environnement à grappes. Vous pouvez créer ces index manuellement en utilisant iManager après avoir installé l'application utilisateur. Reportez-vous à
« Création d'index dans eDirectory », page 72
.
Pour que les performances soient optimales, la création de l'index doit être terminée. Les index doivent être en mode En ligne pour que vous puissiez rendre l'Application utilisateur disponible.
Supprimer un
index eDirectory
Supprime des index des attributs manager, ismanager et srvprvUUID.
92
Guide d'installation de l'application utilisateur, module de provisioning basé sur les rôles d'Identity Manager
Type de paramètre
Objet Conteneur
Option Description
DN du serveur Sélectionnez le serveur eDirectory sur lequel les index doivent
être créés ou duquel ils doivent être supprimés.
Remarque : pour configurer des index sur plusieurs serveurs eDirectory, vous devez exécuter l'utilitaire ConfigUpdate plusieurs fois. Vous ne pouvez indiquer qu'un seul serveur à la fois.
Sélectionné
Type d'objet
Conteneur
Sélectionnez chaque type d'objet Conteneur à utiliser.
Sélectionnez parmi les conteneurs standard suivants : lieu, pays, unité organisationnelle, organisation et domaine. Vous pouvez également définir vos propres conteneurs dans iManager et les ajouter sous Ajouter un nouvel objet
Conteneur.
Nom de l'attribut
Conteneur
Indique le nom de type d'attribut associé au type d'objet
Conteneur.
Ajouter un nouvel objet
Conteneur : type d'objet
Conteneur
Indiquez le nom LDAP d'une classe d'objets du coffre-fort d'identité pouvant servir de conteneur.
Pour plus d'informations sur les conteneurs, reportez-vous au
Guide d'administration de Novell iManager 2.6 (http:// www.novell.com/documentation/imanager26/pdfdoc/ imanager_admin_26/imanager_admin_26.pdf)
.
Donnez le nom d'attribut de l'objet Conteneur.
Ajouter un nouvel objet
Conteneur : nom d'attribut
Conteneur
Référence de configuration de l'application utilisateur IDM
93
公開リンクが更新されました
あなたのチャットの公開リンクが更新されました。