Chapitre 4.
Itinérance des accréditations CSS
La fonction d’itinérance des accréditations du logiciel IBM Client Security permet d’utiliser les accréditations d’un utilisateur UVM sur tous les ordinateurs compatibles ESS d’un réseau.
Ce réseau, appelé réseau itinérant, améliore la souplesse de travail des utilisateurs et augmente la disponibilité des applications en permettant aux utilisateurs de travailler facilement à partir de n’importe quel ordinateur du réseau.
Itinérance des accréditations CSS Configuration requise
un réseau itinérant d’accréditation CSS se compose des éléments suivants : v
Serveur itinérant v Clients itinérants v
Unité réseau mappée partagée destinée au stockage des archives utilisateur
UVM
Remarque :
Le serveur itinérant et les clients itinérants autorisés sont simplement des ordinateurs compatibles ESS, dotés de mots de passe administrateur établis, et sur lesquels est installé le logiciel IBM Client Security 5.1
ou suivant.
Configuration d’un serveur itinérant
Pour configurer un réseau itinérant d’accréditation CSS, vous devez désigner un ordinateur comme le
serveur
itinérant (qui est appelé système A).
Une fois enregistrés par le serveur itinérant, les autres ordinateurs deviennent des
clients
autorisés enregistrés dans CSS.
(Le premier client enregistré est appelé système B.)
Il n’y a pas d’exigence spéciale concernant l’ordinateur qui est désigné comme serveur itinérant.
Vous pouvez utiliser n’importe quel ordinateur qui fera partie du réseau itinérant.
Le serveur itinérant est simplement l’ordinateur désigné pour
établir quels sont les ordinateurs
″sécurisés″ vis-à-vis du réseau itinérant.
Une fois qu’un ordinateur est enregistré dans le réseau itinérant, il est considéré par tous les autres ordinateurs du réseau comme étant sécurisé.
La configuration d’un réseau itinérant s’effectue en deux étapes :
1.
Configuration du serveur itinérant en définissant les clés, les archives et les utilisateurs itinérants.
2.
Enregistrement d’un client initial (système B) et de tous les autres ordinateurs en tant que clients itinérants dans le réseau itinérant.
Le serveur itinérant définit le réseau itinérant et lance l’enregistrement des clients itinérants, mais le point central de ce type de réseau est l’unité réseau mappée sur laquelle les archives utilisateur sont stockées.
C’est dans cette archive que sont stockées toutes les mises à jour des accréditations des utilisateurs.
Cette archive ne doit
en aucun cas
être placée sur le serveur itinérant ou sur l’un des clients itinérants.
Après avoir initialisé les clients CSS, le serveur itinérant se comporte comme n’importe quel autre client enregistré dans CSS.
© Copyright IBM Corp.
2004
25
Configuration d’un serveur itinérant
Pour configurer un serveur itinérant, procédez comme suit :
1.
Sur l’ordinateur désigné, démarrez la console d’administration et cliquez sur
Configuration de l’itinérance des accréditations
.
Ou, si l’ordinateur est déjà configuré pour l’itinérance, sélectionnez
Reconfigurer ce système en tant que serveur itinérant CSS
et cliquez sur
Suivant
.
2.
Créez le dossier c:\roaming sur l’ordinateur désigné comme serveur itinérant.
3.
Démarrez la console d’administration et cliquez sur
Configuration de l’itinérance des accréditations
.
4.
Sélectionnez
Configurer ce système en tant que serveur itinérant CSS
et cliquez sur
Suivant
.
5.
Cliquez sur
Configurer
.
6.
Sélectionnez
Créer de nouvelles clés d’archive
et tapez un nom dans la zone
Dossier des clés d’archive correspondant au dossier stocké dans c:\roaming
.
7.
Choisissez d’utiliser une paire de clés existante ou de créer une nouvelle paire de clés, puis cliquez sur
Suivant
.
8.
Entrez le nom du dossier d’archive, puis cliquez sur
Suivant
.
Remarque :
Le dossier d’archive et le dossier des clés doivent être accessibles aux autres ordinateurs enregistrés pour l’itinérance (clients itinérants).
Le répertoire c:\roaming doit être une unité réseau mappée.
Si l’archive contient des fichiers, la page suivante de l’assistant vous invite à indiquer la façon dont les fichiers devront être gérés.
9.
Cliquez sur
Terminer
.
Enregistrement de clients sur le serveur itinérant
Pour enregistrer un client itinérant sur le serveur itinérant, procédez comme suit :
1.
Une fois la configuration du serveur itinérant terminée, l’écran Configuration du réseau itinérant d’accréditation s’affiche.
Sélectionnez
Activer l’enregistrement du client
, puis cliquez sur
Suivant
.
2.
Indiquez le nom de l’utilisateur du système B possédant les droits d’administrateur qui effectuera l’enregistrement du client.
3.
Tapez le mot de passe qui devra être utilisé par cet utilisateur, puis confirmez-le.
(Ne confondez pas cette procédure avec l’accord du droit d’utilisation d’UVM à un utilisateur, procédure qui a lieu ultérieurement).
4.
Pour pouvoir enregistrer le client via l’utilitaire de configuration utilisateur, vous devez créer un fichier de configuration administrateur pour cet utilisateur.
Cette procédure génère un fichier qui est unique pour cet utilisateur.
Stockez-le dans un emplacement accessible à cet utilisateur et au système B.
Remarque :
Il n’est pas nécessaire de générer ce fichier si vous enregistrez un client via l’utilitaire d’administration.
5.
Cliquez sur
Suivant
.
6.
Si vous avez créé un fichier de configuration administrateur, enregistrez-le dans un emplacement accessible à l’utilisateur et au système B.
Une fois que vous avez exécuté les procédures indiquées précédemment, votre serveur itinérant est configuré.
Avant de pouvoir utiliser le réseau itinérant, vous devez avoir exécuté et terminé l’enregistrement sur chaque client itinérant.
26
Logiciel Client Security version 5.4
Guide d’administration et d’utilisation
Fin du processus d’enregistrement de client itinérant
Une fois que la liste des systèmes sécurisés a été enregistrée sur le serveur itinérant, vous devez exécuter l’une des procédures ci-après sur les systèmes client.
Pour qu’un client itinérant puisse être enregistré, vous devez avoir démarré le serveur itinérant et avoir établi une connexion à l’archive.
Enregistrement d’un client itinérant via l’utilitaire d’administration
Pour enregistrer un client itinérant via l’utilitaire d’administration, procédez comme suit :
1.
Cliquez sur
Configuration de clé
.
2.
Cliquez sur
Non
lorsque le système vous demande si vous souhaitez restaurer les clés à partir de l’archive.
3.
Sélectionnez Enregistrer ce système auprès d’un serveur itinérant CSS et cliquez sur
Suivant
.
4.
Indiquez l’emplacement d’archive créé par le système A, tapez le mot de passe d’enregistrement système défini pour cet utilisateur sur le système A et cliquez sur
Suivant
.
La procédure d’enregistrement dure environ une minute.
Enregistrement d’un client itinérant via l’utilitaire de configuration utilisateur
Pour enregistrer un client itinérant via l’utilitaire de configuration utilisateur, procédez comme suit :
1.
Sous l’onglet Configuration utilisateur, cliquez sur
Enregistrement auprès d’un serveur itinérant CSS
.
2.
Sélectionnez le fichier de configuration administrateur généré sur le système A, tapez le mot de passe d’enregistrement système défini pour cet utilisateur sur le système A et cliquez sur
Suivant
.
3.
Indiquez l’emplacement d’archive créé par le système A et cliquez sur
Suivant
.
La procédure d’enregistrement dure environ une minute.
Enregistrement d’un client itinérant par déploiement global
(mode automatique)
Pour enregistrer un client itinérant en mode automatique par déploiement global, procédez comme suit :
1.
Créez le fichier csec.ini
.
Pour en savoir plus sur la création d’un fichier CSS
.ini, consultez le manuelLogiciel
Client Security Guide
d’installation.
2.
Ajoutez
"enableroaming=1" dans la section csssetup du fichier.
Vous indiquez ainsi que l’ordinateur doit être enregistré comme client itinérant.
3.
Dans la même section, ajoutez l’entrée "username=OPTION" .
Trois options sont possibles pour cette valeur : v
Option 1 : La chaîne "[promptcurrent]" crochets inclus.
Cette désignation doit être utilisée si un fichier .dat
pour l’utilisateur actuellement connecté a
été généré sur le serveur itinérant et si cet utilisateur connaît le mot de passe d’enregistrement système.
Cette option provoque l’affichage d’une fenêtre en incrustation qui invite l’utilisateur à taper le mot de passe d’enregistrement système (sysregpwd) avant le déploiement.
Chapitre 4.
Itinérance des accréditations CSS
27
v
Option 2 : La chaîne "[current]" crochets inclus.
Cette désignation doit
être utilisée si un fichier .dat
pour le client actuellement connecté a été généré sur le serveur.
La gestion du paramètre sysregpwd s’effectue comme indiqué dans l’étape suivante.
v
Option 3 : Un nom d’utilisateur réel tel que
"joseph"
.
Si un nom d’utilisateur désigné de ce type est utilisé, le fichier
"joseph.dat" doit avoir
été préalablement généré par le serveur itinérant.
Dans ce cas, la gestion du paramètre sysregpwd sera effectuée comme indiqué dans l’étape suivante.
4.
Si les options deux ou trois ci-dessus sont utilisées, une autre entrée
"sysregpwd=SYSREGPW" doit être fournie.
Il s’agit d’un mot de passe d’enregistrement système associé à l’utilisateur en cours (si l’option deux est mise en oeuvre) ou à l’utilisateur désigné (si l’option trois est mise en oeuvre).
5.
Pour terminer l’enregistrement du client, connectez l’ordinateur à l’archive définie par le serveur itinérant.
Cette archive est désignée dans le fichier csec.ini
.
Le dossier de clés qui a été défini sur le serveur itinérant CSS est
également mentionné dans le fichier csec.ini
.
6.
Chiffrez le fichier csec.ini
à l’aide de la console d’administration.
Exemples de fichier csec.ini
Les exemples ci-après représentent un échantillon de fichier csec.ini
, et illustrent la façon dont ce fichier change en fonction de l’option d’itinérance d’accréditation sélectionnée.
Ces options sont les suivantes : v
Aucune valeur d’itinérance.
Ce fichier de base n’est pas activé pour l’itinérance des accréditations.
v
Itinérance option 1.
Ce fichier est activé pour l’itinérance à l’aide de l’option 1 pour l’enregistrement client.
L’utilisateur en cours doit taper le mot de passe d’enregistrement système avant le déploiement.
v
Itinérance option 2.
Ce fichier est activé pour l’itinérance à l’aide de l’option 2 pour l’enregistrement client.
L’utilisateur en cours doit indiquer l’ID utilisateur et le mot de passe d’enregistrement système spécifiés dans le fichier .ini.
v
Itinérance option 3.
Ce fichier est activé pour l’itinérance à l’aide de l’option 3 pour l’enregistrement client.
L’utilisateur est mentionné dans le fichier .ini.
Le mot de passe d’enregistrement système pour l’utilisateur désigné doit être indiqué dans le fichier .ini.
Exemples de quatre fichiers CSEC.INI
distincts :
[CSSSetup] suppw=bootup hwpw=11111111 newkp=1 keysplit=1 kpl=c:\jgk
Option 1
[CSSSetup] suppw=bootup hwpw=11111111 newkp=1 keysplit=1 kpl=c:\\computer name\jgk, où la paire de clés a été placée sur le serveur itinérant par l’ordinateur
Option 2
[CSSSetup] suppw=bootup hwpw=11111111 newkp=1 keysplit=1 kpl=c:\\computer name\jgk, où la paire de clés a été placée sur le serveur itinérant par l’ordinateur
Option 3
[CSSSetup] suppw=bootup hwpw=11111111 newkp=1 keysplit=1 kpl=c:\\computer name\jgk, où la paire de clés a été placée sur le serveur itinérant par l’ordinateur
28
Logiciel Client Security version 5.4
Guide d’administration et d’utilisation
kal=c:\jgk\archive pub= c:\jk\admin.key
pri= c:\jk\private1.key
wiz=0 clean=0 kal=c:\\computer name\archive, où l’archive a été placée sur le serveur itinérant par l’ordinateur pub= c:\jk\admin.key
pri= c:\jk\private1.key
wiz=0
enableroaming=1 username=
[promptcurrent]
clean=0 kal=c:\\computer name\archive, où l’archive a été placée sur le serveur itinérant par l’ordinateur pub= c:\jk\admin.key
pri= c:\jk\private1.key
wiz=0 kal=c:\\computer name\archive, où l’archive a été placée sur le serveur itinérant par l’ordinateur pub= c:\jk\admin.key
pri= c:\jk\private1.key
wiz=0
enableroaming=1 username=
[current] enableroaming=1 username= joseph sysregpwd=12345678 sysregpwd=12345678
clean=0 clean=0
[UVMEnrollment] [UVMEnrollment] enrollall=0 enrollall=0 enrollusers=1 user1=joseph user1uvmpw= q1234r enrollusers=1 user1=joseph user1uvmpw=q1234r
[UVMEnrollment] enrollall=0 enrollusers=1 user1=joseph user1uvmpw=q1234r
[UVMEnrollment] enrollall=0 enrollusers=1 user1=joseph user1uvmpw=q1234r user1winpw= user1domain=0 user1ppchange=0 user1ppchange=0 user1ppchange=0 user1ppexppolicy=0 user1ppexppolicy=0 user1ppexppolicy=0 user1ppexpdays=
184 user1winpw= user1domain=0 user1winpw= user1domain=0 user1winpw= user1domain=0 user1ppchange=0 user1ppexppolicy=0 user1ppexpdays=184 user1ppexpdays=184 user1ppexpdays=184
[UVMAppConfig] [UVMAppConfig] uvmlogon=0 uvmlogon=0 entrust=0 notes=0 netscape=0 passman=0 entrust=0 notes=0 netscape=0 passman=0 folderprotect=0 autoprotect=0 folderprotect=0 autoprotect=0
[UVMAppConfig] uvmlogon=0 entrust=0 notes=0 netscape=0 passman=0 folderprotect=0 autoprotect=0
[UVMAppConfig] uvmlogon=0 entrust=0 notes=0 netscape=0 passman=0 folderprotect=0 autoprotect=0
Gestion d’un réseau itinérant
L’administrateur réseau d’un réseau itinérant doit autoriser les utilisateurs et gérer les accès client et utilisateur au réseau.
Cela peut donner lieu à des opérations d’importation d’un profil utilisateur, de synchronisation de données utilisateur ou d’ajout et de retrait d’utilisateurs facilement et rapidement sur un réseau itinérant
CSS.
Cela peut également impliquer de restaurer le réseau itinérant, modifier la paire de clés administrateur ou modifier l’emplacement de l’archive.
Autorisation d’utilisateurs
Une fois les procédures indiquées précédemment terminées, le réseau itinérant d’accréditation CSS est configuré et les clients itinérants sont enregistrés pour l’itinérance.
Il est à présent possible d’autoriser les utilisateurs via l’utilitaire d’administration.
Chapitre 4.
Itinérance des accréditations CSS
29
Synchronisation des données utilisateur
Les données de chaque utilisateur sont stockées dans l’emplacement de l’archive.
Une copie de ces données est également stockée localement sur chaque ordinateur utilisé par l’utilisateur.
En cas de modifications (telles que l’obtention d’un certificat ou la modification d’un mot de passe composé), les données locales sont mises à jour.
Si l’ordinateur est connecté à l’archive, les données de l’utilisateur sont également mises à jour.
Lorsque l’utilisateur ouvre une session sur un autre ordinateur, les mises à jour sont automatiquement téléchargées vers cet ordinateur,
à condition que ce dernier soit connecté à l’archive.
La connexion à l’archive n’est pas toujours garantie.
Par conséquent, il arrive que les données utilisateur soient incohérentes entre un ordinateur du réseau et l’archive.
Si les données d’un utilisateur sont modifiées sur un ordinateur qui n’est pas connecté à l’archive, ces modifications ne sont pas prises en compte dans l’archive et, par conséquent, ne le sont pas non plus sur les autres ordinateurs.
Une fois que l’ordinateur est connecté à l’archive, les modifications sont transmises à l’archive et à tous les autres ordinateurs connectés.
Cependant, si des modifications sont effectuées sur un autre ordinateur qui était connecté à l’archive avant que le premier ordinateur contenant les modifications ne le soit lui-même, des incohérences de données non rectifiables interviennent.
Les données de l’archive contiennent des modifications qui sont absentes sur le premier ordinateur, alors que ce dernier contient des modifications qui sont elles-même absentes de l’archive.
Dans ce cas, l’utilisateur est averti des deux différentes configurations et est invité à choisir la configuration qu’il souhaite conserver (configuration locale ou configuration de l’archive).
Les modifications de configuration qui ne sont pas sélectionnées sont perdues.
Il est donc important de s’assurer que toutes les modifications apportées à une configuration utilisateur sont retransmises à l’archive avant d’effectuer des modifications sur tout autre ordinateur.
Récupération d’un mot de passe composé perdu dans un environnement itinérant
Lorsqu’un mot de passe composé est perdu ou oublié, l’administrateur peut réinitialiser le mot de passe composé utilisateur sur le serveur itinérant ou sur n’importe quel client enregistré.
Cette modification est mise à jour sur tous les systèmes du réseau,
sauf
sur ceux dotés de la protection de connexion UVM sécurisée et sur lesquels l’utilisateur a procédé à des importations.
Dans ces cas-là, la mise à jour du mot de passe composé n’est
pas
prise en compte sur l’ordinateur.
Pour accéder à l’ordinateur, l’utilisateur doit alors disposer d’un fichier de remplacement de mot de passe et exécuter la procédure de remplacement de mot de passe.
Importation d’un profil utilisateur
Vous pouvez importer un profil utilisateur sur un autre ordinateur du réseau itinérant via l’utilitaire d’administration, l’utilitaire de configuration utilisateur ou l’interface de connexion UVM.
Si vous souhaitez importer un utilisateur qui ne dispose d’aucun compte utilisateur sur l’autre ordinateur, vous devez créer un compte utilisateur Windows via le panneau de configuration Windows.
Remarque :
Pour pouvoir importer un utilisateur sur un réseau itinérant, l’utilisateur doit être autorisé sur un autre ordinateur du réseau itinérant.
30
Logiciel Client Security version 5.4
Guide d’administration et d’utilisation
Importation d’un profil utilisateur via l’utilitaire de configuration utilisateur
Pour importer un profil utilisateur sur un autre ordinateur du réseau itinérant à l’aide de l’utilitaire de configuration utilisateur, connectez-vous au système à l’aide de l’ID utilisateur que vous souhaitez importer, puis cliquez sur
Démarrer >
Programmes > Access IBM > Logiciel IBM Client Security > Modification des paramètres de sécurité
, puis sur
Importation d’une configuration existante à partir d’une archive
sous l’onglet Configuration utilisateur.
Importation d’un profil utilisateur via l’utilitaire d’administration
Pour importer un profil utilisateur sur un autre ordinateur du réseau itinérant via l’utilitaire d’administration, sélectionnez l’utilisateur et cliquez sur
Autorisation
.
Cliquez sur
Oui
lorsque les système vous demande si vous souhaitez importer l’utilisateur à partir de l’archive.
Importation d’un profil utilisateur via l’interface de connexion
UVM
Vous pouvez importer un profil utilisateur sur un autre ordinateur du réseau itinérant via l’interface de connexion UVM.
Cette procédure commence à partir de l’écran de connexion UVM.
Si un utilisateur n’est pas encore autorisé à utiliser
UVM sur un système donné du réseau, une boîte de message s’affiche pour demander à l’utilisateur s’il souhaite être importé à partir de l’archive.
Remarques :
1.
Si vous souhaitez importer un utilisateur qui ne dispose d’aucun compte utilisateur sur l’autre ordinateur, vous devez créer un compte utilisateur
Windows via le panneau de configuration Windows avant de pouvoir poursuivre.
2.
Le répertoire doit être une unité réseau mappée pour que vous puissiez accéder
à l’archive sur le serveur itinérant.
Pour importer un profil utilisateur sur un autre ordinateur du réseau itinérant
(doté de Windows 2000) via la GINA UVM, procédez comme suit :
1.
Entrez le nom utilisateur et le mot de passe composé UVM de l’utilisateur que vous souhaitez importer.
Un message vous invite à indiquer si vous voulez importer le profil utilisateur à partir de l’archive.
2.
Répondez
Oui
, puis cliquez sur
OK
.
3.
Si l’emplacement de l’archive se trouve sur une unité réseau, répondez
Oui
à l’invite spécifiant qu’un partage réseau doit être spécifié.
4.
Entrez votre mot de passe Windows à l’écran de connexion Windows.
Le système vous invite à indiquer le chemin de l’archive.
5.
Entrez le chemin d’accès à l’archive.
6.
Entrez le nom utilisateur et le mot de passe appropriés.
7.
Cliquez sur
OK
.
Si l’opération aboutit, un message vous indique que le profil a été importé.
Pour importer un profil utilisateur sur un autre ordinateur du réseau itinérant
(doté de Windows XP) via la GINA UVM, procédez comme suit :
1.
Entrez le nom utilisateur et le mot de passe composé UVM de l’utilisateur que vous souhaitez importer.
Un message vous invite à indiquer si vous voulez importer le profil utilisateur à partir de l’archive.
2.
Répondez
Oui
, puis cliquez sur
OK
.
Chapitre 4.
Itinérance des accréditations CSS
31
3.
Si l’emplacement de l’archive se trouve sur une unité réseau, répondez
Oui
à l’invite spécifiant qu’un partage réseau doit être spécifié.
4.
A l’invite de mappage d’unité réseau Windows, entrez le chemin d’accès à l’archive.
5.
Cliquez sur
Terminer
.
6.
Entrez le nom utilisateur et le mot de passe appropriés et cliquez sur
OK
.
Si l’opération aboutit, un message vous indique que le profil a été importé.
Remarque :
Pour pouvoir importer un utilisateur sur un réseau itinérant, l’utilisateur doit être autorisé sur un autre ordinateur du réseau itinérant.
Une fois le profil utilisateur importé, l’authentification auprès d’UVM est basée sur la stratégie de sécurité de l’ordinateur.
Les conditions de sécurité requises pour cet ordinateur doivent être remplies pour que cet utilisateur puisse se connecter.
Retrait et réintégration d’utilisateurs dans un réseau itinérant
Pour retirer un utilisateur d’un serveur itinérant, l’administrateur réseau doit exécuter la procédure suivante à partir de la console d’administration :
1.
Démarrer l’utilitaire de console d’administration et entrer le mot de passe administrateur.
2.
Cliquer sur
Configuration de l’itinérance des accréditations
.
3.
Sélectionner
Supprimer des utilisateurs du gestionnaire UVM et du réseau itinérant d’accréditation
, puis cliquer sur
Suivant
.
Répéter cette opération autant de fois que nécessaire.
4.
Sélectionner l’utilisateur à retirer et cliquer sur
Supprimer
.
Remarque :
La suppression d’un utilisateur sur le réseau entraîne la perte irréversible de toutes les accréditations qui lui sont associées.
Les utilisateurs supprimés ne peuvent pas être autorisés à utiliser UVM et le réseau itinérant tant qu’ils ne sont pas réintégrés par le réseau administrateur.
Pour réintégrer un utilisateur sur un serveur itinérant, l’administrateur réseau doit exécuter la procédure suivante à partir de la console d’administration :
1.
Démarrer l’utilitaire de console et entrer le mot de passe administrateur.
2.
Cliquer sur
Configuration de l’itinérance des accréditations
.
3.
Sélectionner
Réintégrer des utilisateurs supprimés
et cliquer sur
Suivant
.
4.
Sélectionner l’utilisateur à réintégrer et cliquer sur
Réintégrer
.
Répéter cette opération autant de fois que nécessaire.
Une fois que l’utilisateur est réintégré, il peut être de nouveau autorisé à utiliser UVM.
Le fait de réintégrer un utilisateur n’entraîne pas d’autorisation automatique pour l’utilisation d’UVM.
Suppression et réintégration de clients enregistrés dans un réseau itinérant
Pour supprimer un client enregistré d’un serveur itinérant, l’administrateur réseau doit exécuter la procédure suivante à partir de la console d’administration :
1.
Démarrer l’utilitaire de console et entrer le mot de passe administrateur.
2.
Cliquer sur
Configuration de l’itinérance des accréditations
.
3.
Sélectionner
Supprimer des clients enregistrés du réseau itinérant d’accréditation
, puis cliquer sur
Suivant
.
32
Logiciel Client Security version 5.4
Guide d’administration et d’utilisation
4.
Sélectionner le système à retirer et cliquer sur
Supprimer
.
Répéter cette opération autant de fois que nécessaire.
Remarque :
La suppression d’un client sur le réseau entraîne la perte irréversible de toutes les accréditations basées machine qui lui sont associées.
Les clients supprimés ne peuvent pas être enregistrés avec le serveur itinérant du réseau tant qu’ils ne sont pas réintégrés par l’administrateur réseau.
Pour réintégrer un client enregistré sur un réseau itinérant, l’administrateur réseau doit exécuter la procédure suivante à partir de la console d’administration :
1.
Démarrer l’utilitaire de console et entrer le mot de passe administrateur.
2.
Cliquer sur
Configuration de l’itinérance des accréditations
.
3.
Sélectionner
Réintégrer des clients supprimés
et cliquer sur
Suivant
.
4.
Sélectionner le client à réintégrer et cliquer sur
Réintégrer
.
Répéter cette opération autant de fois que nécessaire.
Une fois que le client est réintégré, il peut être à nouveau enregistré sur le serveur itinérant.
Le fait de réintégrer un client n’entraîne pas son ré-enregistrement automatique.
Remarque :
Il se peut que les utilisateurs dont les accréditations figuraient sur le système au moment de la suppression du client doivent importer à nouveau leurs accréditations.
Restriction de l’accès aux clients enregistrés dans un réseau itinérant
Il peut arriver qu’un administrateur réseau souhaite permettre à certains utilisateurs d’accéder à un client enregistré spécifique tout en interdisant cet accès
à d’autres utilisateurs.
Pour gérer les droits d’accès des utilisateurs, l’administrateur réseau doit exécuter la procédure suivante à partir de la console d’administration :
1.
Démarrer l’utilitaire de console et entrer le mot de passe administrateur.
2.
Cliquer sur
Configuration de l’itinérance des accréditations
.
3.
Sélectionner
Gérer les accès utilisateur aux clients enregistrés
et cliquer sur
Suivant
.
4.
Sélectionner le client enregistré à gérer dans la zone
Sélection d’un système du réseau itinérant CSS
.
Les utilisateurs autorisés et non autorisés figurent dans les deux boîtes à liste.
5.
Exécutez l’une des opérations suivantes : v Pour restreindre l’accès d’un utilisateur, sélectionnez celui-ci dans la liste
Utilisateurs autorisés
et cliquez sur
Restreindre
.
Répétez cette opération autant de fois que nécessaire.
v
Pour accorder l’accès à un utilisateur, sélectionnez celui-ci dans la liste
Utilisateurs non autorisés
et cliquez sur
Autoriser
.
Répétez cette opération autant de fois que nécessaire.
Les fonctions de gestion des accès du réseau itinérant requièrent la création d’un nouveau dossier dans l’archive.
Le nouveau dossier, appelé Protected, doit être accessible en écriture par l’administrateur réseau et accessible en lecture seulement
Chapitre 4.
Itinérance des accréditations CSS
33
par les autres utilisateurs.
Si des utilisateurs disposent d’un accès en écriture sur ce dossier, ils peuvent manuellement réintégrer leurs systèmes ou se réintégrer eux-mêmes.
Restauration d’un réseau itinérant
En cas de défaillance logicielle ou matérielle, il peut être nécessaire d’effectuer une restauration du réseau itinérant.
Si le serveur itinérant est endommagé ou que les données utilisées par CSS sont endommagées sur un client enregistré, vous devez restaurer les données via l’utilitaire d’administration de la même manière que vous le feriez dans un environnement non itinérant.
Si le sous-système de sécurité intégré IBM d’un client enregistré est défectueux ou vidé, vous devez enregistrer de nouveau le client sur le serveur itinérant.
Aucune autre action n’est requise.
Modification de la paire de clés administrateur
Il n’est pas recommandé de modifier la paire de clés administrateur dans un réseau itinérant, car cela implique le ré-enregistrement de chaque client auprès du serveur itinérant.
Cependant, si vous êtes amené à modifier la paire de clés administrateur dans un réseau itinérant, vous devez exécuter les étapes suivantes pour que cette modification soit prise en compte sur tous les ordinateurs du réseau.
1.
Sur le serveur itinérant, modifiez la paire de clés administrateur via l’utilitaire d’administration.
2.
Enregistrez de nouveau tous les clients du réseau.
3.
Choisissez de conserver les fichiers existants chaque fois que le système vous demande si vous souhaitez les conserver.
Modification du dossier d’archive
La méthode utilisée pour modifier le dossier d’archive dans un environnement itinérant est légèrement différente de celle utilisée dans un environnement non itinérant car chaque ordinateur du réseau accède au même emplacement d’archive.
Pour modifier le dossier d’archive dans un réseau itinérant, procédez comme suit :
1.
Copiez les fichiers de l’ancien dossier d’archive vers le nouveau en procédant comme suit : a.
Démarrez l’utilitaire d’administration et entrez le mot de passe administrateur.
b.
Cliquez sur
Configuration de clé
.
c.
Sélectionnez Modification de l’emplacement d’une archive et cliquez sur
Suivant
.
d.
Indiquez le nouveau dossier de l’archive, puis cliquez sur
Suivant
.
e.
Cliquez sur
Oui
lorsque vous êtes invité à copier tous les fichiers de l’ancien dossier dans le nouveau dossier.
2.
Effectuez la mise à jour de tous les autres ordinateurs du réseau afin qu’ils utilisent le nouveau dossier d’archive, en procédant comme suit : a.
Démarrez l’utilitaire d’administration et entrez le mot de passe administrateur.
b.
Cliquez sur
Configuration de clé
.
c.
Sélectionnez Modification de l’emplacement d’une archive et cliquez sur
Suivant
.
d.
Indiquez le nouveau dossier de l’archive, puis cliquez sur
Suivant
.
34
Logiciel Client Security version 5.4
Guide d’administration et d’utilisation
e.
Cliquez sur
Non
lorsque vous êtes invité à copier tous les fichiers de l’ancien dossier vers le nouveau dossier.
Utilitaire de chiffrement de fichiers et de dossiers (FFE)
L’utilitaire de chiffrement de fichiers et de dossiers n’est pas affecté par l’environnement itinérant.
Cependant, les dossiers protégés sont gérés ordinateur par ordinateur.
Ainsi, si un dossier est protégé par l’utilisateur A sur un système A, un dossier portant le même nom sur le système B (le cas échéant) n’est pas protégé si l’utilisateur ne le protège pas de façon effective sur le système B.
IBM Password Manager
Tous les mots de passe protégés via IBM Password Manager sont disponibles sur tous les ordinateurs du réseau itinérant.
Termes et définitions relatifs à l’itinérance
Il est utile de connaître les termes suivants lorsque l’on aborde les concepts et procédures de configuration d’un réseau itinérant :
enregistrement de client itinérant
Procédure consistant à enregistrer un ordinateur auprès du serveur itinérant.
clients itinérants
Tous les ordinateurs sécurisés du réseau itinérant.
Serveur itinérant
Ordinateur ESS utilisé pour initier le réseau itinérant.
mot de passe d’enregistrement de client itinérant
Mot de passe utilisé pour enregistrer l’ordinateur auprès du serveur itinérant.
Chapitre 4.
Itinérance des accréditations CSS
35
36
Logiciel Client Security version 5.4
Guide d’administration et d’utilisation
Enlace público actualizado
El enlace público a tu chat ha sido actualizado.