20.5 Activation de la communication SSL entre les composants Sentinel et Identity Manager

Vous pouvez créer et exporter un certificat de serveur auto-signé pour garantir une communication sécurisée entre les composants Sentinel et Identity Manager. Utilisez un certificat signé émis par une autorité de certification valide.

20.5.1 Activation de la communication SSL entre Sentinel et le moteur/chargeur distant Identity Manager

  1. Pour créer un nouveau certificat, procédez comme suit :

    1. Connectez-vous à iManager.

    2. Cliquez sur NetIQ Certificate Server (Serveur de certificats NetIQ) > Create Server Certificate (Créer un certificat de serveur).

    3. Sélectionnez le serveur approprié.

    4. Indiquez un alias pour le serveur.

    5. Acceptez les autres paramètres par défaut du certificat.

  2. Pour exporter le certificat de serveur au format .pfx, procédez comme suit :

    1. Dans iManager, sélectionnez Directory Administration (Administration des répertoires) > Modify Object (Modifier l'objet).

    2. Recherchez et sélectionnez l'objet KMO (Key Material Object).

    3. Cliquez sur Certificates (Certificats) > Export (Exporter).

    4. Spécifiez un mot de passe.

    5. Enregistrez le certificat de serveur en tant que PKCS#12. Par exemple, certificat.pfx.

  3. Extrayez la clé privée du certificat exporté dans le fichier dxipkey.pem à l'aide de la commande suivante :

    openssl pkcs12 -in certificate.pfx -nocerts -out dxipkey.pem –nodes

  4. Extrayez le certificat dans le fichier dxicert.pem.

    openssl pkcs12 -in certificate.pfx -nokeys -out dxicert.pem

  5. Pour exporter le certificat de l'autorité de certification du serveur eDirectory créé à l'Étape 1 au format Base64, procédez comme suit :

    1. Dans iManager, accédez à Rôles et tâches > NetIQ Certificate Access (Accès aux certificats NetIQ) > User Certificates (Certificats de l'utilisateur).

    2. Recherchez et sélectionnez le certificat créé.

    3. Cliquez sur Exporter.

    4. Dans le menu déroulant, sélectionnez OU=organizationCA.O=TREENAME comme certificat d'autorité de certification.

    5. Comme format d'exportation, sélectionnez BASE64 dans le menu déroulant.

    6. Cliquez sur Next (Suivant) et enregistrez le certificat. Par exemple, cacert.b64.

  6. Importez le certificat de l'autorité de certification dans un fichier Keystore à l'aide de la commande suivante :

    keytool -import -alias <nom_alias> -file <fichier_b64> -keystore <fichier_keystore> –noprompt

    Exemples :

    keytool -import -alias trustedroot -file cacert.b64 -keystore idmKeystore.ks –noprompt

  7. Pour importer le certificat dans le Truststore du connecteur d'audit, procédez comme suit :

    1. Connectez-vous à l'interface principale de Sentinel en tant qu'administrateur.

    2. Dans l'écran principal d'ESM, recherchez le serveur d'audit.

    3. Cliquez avec le bouton droit de la souris sur le serveur d'audit, puis cliquez sur Éditer.

    4. Sous l'onglet Sécurité, sélectionnez Strict.

      REMARQUE :par défaut, le système est configuré pour utiliser le mode Ouvert (non sécurisé) pour permettre la connectivité initiale. Toutefois, si vous travaillez dans un environnement de production, veillez à définir le mode sur Strict.

    5. Cliquez sur Importer et recherchez le certificat que vous avez créé à l'Étape 6. Par exemple, idmkeystore.ks.

    6. Cliquez sur Ouvrir, puis sur Enregistrer.

    7. Redémarrez le serveur d'audit.

  8. Redémarrez les services Identity Manager.

20.5.2 Activation de la communication SSL entre Sentinel et l'application utilisateur

  1. Pour créer un nouveau certificat, procédez comme suit :

    1. Connectez-vous à iManager.

    2. Cliquez sur NetIQ Certificate Server (Serveur de certificats NetIQ) > Create User Certificate (Créer un certificat utilisateur).

    3. Sélectionnez l'utilisateur approprié.

    4. Indiquez un surnom pour l'utilisateur.

    5. Dans Creation Method (Méthode de création), sélectionnez Custom (Personnalisée).

    6. Acceptez les autres paramètres par défaut du certificat.

    7. Cliquez sur Suivant.

    8. Dans Custom Extensions (Extensions personnalisées-, sélectionnez New DER Encoded Extensions (Nouvelles extensions chiffrées au format DER).

    9. Accédez à l'extension personnalisée \products\RBPM\ext.der.

    10. (Facultatif) Spécifiez l'adresse électronique.

    11. Passez en revue les paramètres de certificat, puis cliquez sur Terminer.

  2. Pour exporter le certificat utilisateur, procédez comme suit :

    1. Cliquez sur NetIQ Certificate Access (Accès au certificat NetIQ) > User Certificates (Certificats utilisateur).

    2. Sélectionnez le certificat utilisateur importé à l'Étape 1.

    3. Sélectionnez le certificat utilisateur valide et cliquez sur Exporter.

    4. Spécifiez un mot de passe.

    5. Enregistrez le certificat utilisateur en tant que PKCS #12. Par exemple, certificat.pfx.

  3. Extrayez la clé privée du certificat exporté dans le fichier key.pem à l'aide de la commande suivante :

    openssl pkcs12 -in certificate.pfx -nocerts -out key.pem –nodes

  4. Extrayez le certificat dans le fichier cert.pem.

    openssl pkcs12 -in certificate.pfx -nokeys -out cert.pem

  5. Arrêtez l'application utilisateur.

  6. Ajoutez la clé privée et le certificat à l'utilitaire configupdate.

    1. Ouvrez l'utilitaire configupdate.

    2. Cliquez sur Afficher les options avancées.

    3. Dans le champ Certificat de signature numérique de NetIQ Sentinel, copiez le fichier cert.pem.

    4. Dans le champ Clé privée de signature numérique de NetIQ Sentinel, naviguez jusqu'à l'emplacement où vous avez extrait la clé privée (key.pem) et importez la clé.

    5. Enregistrez les modifications apportées à l'utilitaire configupdate.

  7. Redémarrez les applications utilisateur.

  8. Pour exporter le certificat de l'autorité de certification du serveur eDirectory créé à l'Étape 1 au format Base64, procédez comme suit :

    1. Dans iManager, accédez à Rôles et tâches > NetIQ Certificate Access (Accès aux certificats NetIQ) > User Certificates (Certificats de l'utilisateur).

    2. Sélectionnez le certificat créé.

    3. Cliquez sur Exporter et désactivez la case à cocher Export private key (Exporter la clé privée).

    4. Comme format d'exportation, sélectionnez BASE64 dans le menu déroulant.

    5. Cliquez sur Next (Suivant) et enregistrez le certificat. Par exemple, cacert.b64.

  9. Importez le certificat de l'autorité de certification dans un fichier Keystore à l'aide de la commande suivante :

    keytool -import -alias <nom_alias> -file cacert.b64 -keystore <fichier_keystore> –noprompt

    Exemples :

    keytool -import -alias trustedroot -file cacert.b64 -keystore idmKeystore.ks –noprompt

  10. Pour importer le certificat dans le Truststore du connecteur d'audit, procédez comme suit :

    1. Connectez-vous à l'interface principale de Sentinel en tant qu'administrateur.

    2. Dans l'écran principal d'ESM, recherchez le serveur d'audit.

    3. Cliquez avec le bouton droit de la souris sur le serveur d'audit, puis cliquez sur Éditer.

    4. Sous l'onglet Sécurité, sélectionnez Strict.

      REMARQUE :par défaut, le système est configuré pour utiliser le mode Ouvert (non sécurisé) pour permettre la connectivité initiale. Toutefois, si vous travaillez dans un environnement de production, veillez à définir le mode sur Strict.

    5. Cliquez sur Importer et recherchez le certificat que vous avez créé à l'Étape 9. Par exemple, idmKeystore.ks.

    6. Cliquez sur Ouvrir, puis sur Enregistrer.

    7. Redémarrez le serveur d'audit.

  11. Redémarrez les applications utilisateur.