Pokud tuto úlohu nevidíte, nejste oprávněný uživatel. Viz Oprávnění uživatelé a skupiny. Toto téma obsahuje následující postupy:
Soubor config.xml obsahuje tři nastavení, která řídí zabezpečení a certifikáty používané aplikací iManager při vytváření připojení LDAP s využitím protokolu SSL:
Security.Keystore.AutoUpdate: Pokud má parametr AutoUpdate hodnotu True a uživatel se úspěšně přihlásí k aplikaci iManager, může být certifikát z daného serveru služby eDirectory automaticky importován do konkrétního úložiště klíčů aplikace iManager. Vyberte nastavení Certifikát pro automatický import stromu pro zabezpečený protokol LDAP (Konfigurovat aplikaci iManager > Zabezpečení).
Security.Keystore.UpdateAllowAll: Pokud má parametr UpdateAllowAll hodnotu True, importuje se po úspěšném přihlášení uživatele certifikát do úložiště klíčů s certifikáty aplikace iManager nebo se v něm aktualizuje. Pokud je nastavena hodnota False, importují/aktualizují se certifikáty jen při přihlášení oprávněného uživatele.
Security.Keystore.Priority: Nastavení priority obsahuje dva výrazy, které definují pořadí hledání certifikátů při připojení: system a imanager.Výraz system používá k nalezení certifikátů při vytvoření kontextu SSL výchozí úložiště klíčů JVM*. Není-li akce úspěšná, hledá dál v úložišti klíčů aplikace iManager.
Pořadí hledání v úložištích system a iManager můžete změnit, když ze zápisu odeberete jedno ze slov.
Pokud chcete zvýšit zabezpečení, nezapínejte možnost AutoUpdate, ale používejte místo ní úložiště klíčů system. Pokud to uděláte, musíte ručně importovat certifikáty, které chcete uchovávat ve výchozím úložišti klíčů system. Použijte k tomu nástroje, které jsou součástí prostředí Java. Pokud parametr UpdateAllowAll zakážete, bude import certifikátů probíhat jen při úspěšném přihlášení oprávněného uživatele do aplikace iManager.
Tato nastavení ovlivňují konfiguraci celého webového serveru a ukládají se do souboru config.xml. Změny můžete ukládat průběžně nebo proveďte všechny změny a potom klikněte na tlačítko Uložit.
Vyberte tuto možnost, pokud chcete, aby se uživatelům, kteří mezi webovým prohlížečem a webovým serverem nemají zabezpečené připojení, zobrazovalo následující upozornění: Používáte nezabezpečené připojení..
Zkontrolujte, zda jste splnili předpoklady auditu. Vyberte možnost Enable Novell Audit (Zapnout audit Novell), vyberte konkrétní události protokolování a potom klikněte na tlačítko Uložit.
Zabezpečená připojení protokolem LDAP vyžadují certifikát. Pokud vyberete tuto funkci, systém automaticky importuje veřejný certifikát stromu pro zabezpečený protokol LDAP.
Aplikace iManager umožňuje oprávněným uživatelům a skupinám vykonávat různé úlohy správy. Data o oprávněných uživatelích se ukládají do složky TOMCAT_HOME\webapps\nps\WEB-INF\configiman.properties. Instalační postup aplikace iManager vytvoří tento soubor jen tehdy, když poskytnete informace o oprávněném uživateli nebo skupině. Poskytnutí informací ale není povinné. Pokud tyto informace neposkytnete, umožní aplikace iManager jakémukoli uživateli, aby si nainstaloval moduly plug-in této aplikace a změnil nastavení jejího serveru (dlouhodobě se nedoporučuje).
Když do tohoto seznamu přidáte skupinu nebo organizační roli, stanou se všichni členové skupiny nebo organizační role oprávněnými uživateli. Pokud přidáte vnořenou skupinu, jsou podporováni jen členové první úrovně. Přidání dynamické skupiny ale podporováno není, protože může mít za členy jakýkoli typ objektů.
Po nainstalování aplikace iManager můžete přidat oprávněného uživatele, skupinu nebo organizační roli tím, že ho zadáte nebo ho vyhledáte pomocí ikony selektoru objektů, která je vedle seznamu Ověření uživatelé a skupiny. Tato akce změní soubor configiman.properties.
Pokud chcete všechny uživatele stromu označit jako oprávněné uživatele, zadejte hodnotu AllUsers.
POZNÁMKA:Do seznamu Ověření uživatelé a skupiny můžete přidávat a ukládat do něj jen platné uživatele. Pokud přidáte neplatné uživatele a kliknete na tlačítko Uložit, zobrazí se chybová zpráva, že objekt nebyl nalezen. Pokud do seznamu přidáte pouze neplatné uživatele a kliknete na tlačítko Uložit, zobrazí se chybová zpráva a seznam neplatných uživatelů bude automaticky nahrazen hodnotou AllUsers. Pokud nechcete, aby byli všichni uživatelé stromu oprávněni, odeberte ze seznamu hodnotu AllUsers, přidejte do něj požadované platné uživatele a klikněte na tlačítko Uložit.
DŮLEŽITÉ:Pokud máte aplikaci iManager nainstalovanou poprvé, bude seznam oprávněných uživatelů a skupin prázdný. Jako uživatel admin musíte okamžitě přidat do seznamu uživatele a skupiny, abyste je tak ověřili a získali práva ke změně seznamu. V opačném případě by mohl uživatele a skupiny do seznamu přidat uživatel, který není admin, čímž by získal práva ke změně seznamu. Vy (jako uživatel admin) byste práva ke změně seznamu ztratili.
Informace o souboru configiman.properties, které se týkají zabezpečení, naleznete v části Oprávnění uživatelé a skupiny aplikace iManager.
Karta Vzhled a chování umožňuje přizpůsobit vzhled rozhraní aplikace iManager. Tyto informace se ukládají do souboru TOMCAT_HOME\webapps\nps\WEB-INF\config.xml.
Do tohoto textového pole zadejte název organizace. Název se zobrazí v záhlaví webového prohlížeče místo výchozího textu (NetIQ iManager).
Záhlaví obsahuje tři obrázky: obrázek pozadí, obrázek výplně a obrázek značky. Vaše obrázky musí odpovídat rozměrům uvedeným v rozhraní.
Tyto soubory uložte do složky nps/portal/modules/fw/images. Do příslušných textových polí zadejte cestu k jednotlivým obrázkům.
Můžete si přizpůsobit barvu hlavičky nabídky a pozadí navigační nabídky na levé straně.
Můžete zadat název barvy nebo odpovídající šestnáctkovou hodnotu. Při zápisu nemusíte rozlišovat velká a malá písmena. Kliknutím na tlačítko Resetovat vrátíte výchozí barvy a obrázky. Kliknutím na tlačítko Uložit nastavení uložíte do souboru config.xml.
Na kartě Události protokolování můžete konfigurovat prostředí protokolování aplikace iManager. Existují dvě nastavení protokolování:
Úroveň protokolování: Vyberte typy zpráv, které chcete protokolovat. Nabízejí se čtyři možnosti: Bez protokolování, Pouze chyby, Chyby a upozornění a Chyby, upozornění a informační zprávy ladění.
Vyberte, jaký výstup se zapisuje do protokolů.
Výstup protokolování: Vyberte cíl zpráv zapisovaných do protokolu. Můžete si vybrat ze tří možností: Odeslat výstup protokolu do standardního chybového zařízení, Odeslat výstup protokolu do standardního výstupního zařízení a Odeslat výstup protokolu do souboru Debug.html.
Na této stránce se zobrazuje cesta k souboru protokolu a jeho velikost. Výběrem možnosti Zobrazit zobrazíte aktuální soubor protokolu ve formátu HTML. Pokud chcete aktuální soubor protokolu vymazat a obnovit ho, aby měl velikost 0 (nula) bajtů, vyberte možnost Vymazat.
Výběrem možnosti Po odhlášení provést přesměrování můžete zadat adresu URL, na kterou chcete být přesměrováni po odhlášení z aplikace iManager. Pokud tuto možnost nevyberete, budete po kliknutí na tlačítko Ukončit odhlášeni z aplikace iManager. Ve výchozím nastavení se zobrazí stránka pro přihlášení.
Zapnutí: Výběrem této možnosti povolíte funkci Přesměrování po odhlášení.
URL adresa: Zadejte adresu URL, na kterou budete přesměrováni po odhlášení z aplikace iManager.
Na kartě Ověřování můžete konfigurovat přihlašovací stránku aplikace iManager. Karta obsahuje následující možnosti:
Zapamatovat pověření pro přihlášení: Pokud vyberete tuto možnost, musí uživatelé při přihlášení zadat jen heslo.
Používat zabezpečený protokol LDAP pro automatické připojení: Pokud vyberete tuto možnost, používá aplikace iManager ke komunikaci přes LDAP protokol SSL. Některé moduly plug-in jako Dynamické skupiny a NMAS nefungují, pokud není tato možnost vybrána. Toto nastavení se projeví až po odhlášení z aplikace iManager.
Skrýt důvod neúspěšného přihlášení: Pokud vyberete tuto možnost, aplikace iManager nahradí zprávy služby eDirectory o ověřování obecnou chybovou zprávou: Chyba přihlášení. Neplatné uživatelské jméno nebo heslo. Další informace naleznete v části Zabránění zjištění uživatelského jména.
Povolit výběr stromu na stránce Přihlášení: Pokud vyberete tuto možnost, zobrazí se na přihlašovací stránce aplikace iManager pole Strom. Pokud tuto možnost nevyberete, je nutné zadat výchozí název stromu, jinak se nebudete moci přihlásit.
Bezkontextové přihlášení: Bezkontextové přihlášení umožňuje uživatelům přihlásit se pouze pomocí uživatelského jména a hesla, aniž by museli znát celý kontext objektu uživatele. Příklad: .admin.support.sales.netiq.
Pokud je ve stromu více uživatelů se stejným uživatelským jménem, umožňuje bezkontextové přihlášení použít první nalezený uživatelský účet se zadaným heslem v rámci seznamu pořadí kontejnerů, který uživatel zadal. Uživatel může seznam uspořádat jinak a nastavit pořadí seznamu kontejnerů.
Pokud je ve stromu více uživatelů se stejným uživatelským jménem a uživatel se chce přihlásit pod konkrétním uživatelským jménem, musí při přihlášení zadat celý kontext nebo omezit hledané kontejnery, které bezkontextové přihlášení prohledává.
Pokud chcete hledat uživatele v kořenu adresářového stromu, vyberte možnost Hledat od kořene. Pokud chcete zadat jeden nebo několik kontejnerů, ve kterých lze najít objekty uživatelů, vyberte možnost Hledat kontejnery.
Ve výchozím nastavení se aplikace iManager připojuje veřejně a nevyžaduje žádná specifická pověření. Pokud chcete použít bezkontextové vyhledávání, zadejte uživatele s konkrétním pověřením. Pokud nezadáte uživatele, použije se veřejný uživatel aplikace iManager.
DŮLEŽITÉ:Zadáte-li veřejného uživatele, pečlivě zvažte důsledky nastavení vypršení platnosti hesla. Pokud je u veřejného uživatele nastaveno vypršení platnosti hesla, nebudete mít po vypršení platnosti příležitost změnit při přihlášení heslo.
Nastavení časového limitu serveru iManager: Chcete-li nastavit určitý časový limit serveru aplikace iManager, zadejte na stránce Ověřování do příslušných polí počet dnů, hodin a minut.
Chcete-li, aby nikdy nedošlo k vypršení časového limitu serveru, vyberte možnost Nikdy nevyčerpat časový limit.
Přesměrování po odhlášení: Tuto možnost můžete zapnout na stránce Ověřování, pokud chcete být po odhlášení z aplikace iManager přesměrováni na požadovanou stránku. Požadovanou adresu URL je nutné zadat do pole Adresa URL. Pokud adresu URL nezadáte, budete po kliknutí na tlačítko Ukončit odhlášeni z aplikace iManager. Ve výchozím nastavení se zobrazí stránka pro přihlášení.
Systém Služby založené na rolích přiřazuje v rámci služby eDirectory práva k provádění úloh. Pokud uživateli přiřadíte roli, systém Služby založené na rolích automaticky přiřadí práva potřebná k plnění úloh této role.
Na kartě Systém Služby založené na rolích můžete konfigurovat následující nastavení:
Zapnout dynamické skupiny: Pokud tuto možnost vyberete, umožní systém Služby založené na rolích dynamickým skupinám, aby byly členy role. Další informace o dynamických skupinách naleznete v příručce NetIQ eDirectory Administration Guide (Příručka pro správce služby NetIQ eDirectory.
Zobrazit role ve vlastněných kolekcích: Pokud tuto možnost vyberete, uvidí vlastníci kolekce všechny role a úlohy bez ohledu na to, jestli jsou nebo nejsou jejich členy. Pokud chcete, aby vlastníci kolekce viděli jenom svoje přiřazené role, zrušte zaškrtnutí této možnosti.
Doména zjišťování rolí: Určuje, kde ve stromu má aplikace iManager hledat role přiřazené určitému členovi.
Nadřazený: Aplikace iManager hledá dynamické skupiny v nadřazeném kontejneru.
Oddíl: Aplikace iManager hledá dynamické skupiny v prvním oddílu služby eDirectory.
Kořen: Aplikace iManager hledá dynamické skupiny v celém stromu.
Doména zjišťování dynamických skupin: Určuje, kde ve stromu má aplikace iManager hledat členství v dynamické skupině. Členství rolí se následně kontroluje v nalezených dynamických skupinách.
Nadřazený: Aplikace iManager hledá role v nadřazeném kontejneru uživatele.
Oddíl: Aplikace iManager hledá role v prvním oddílu služby eDirectory.
Kořen: Aplikace iManager hledá role v celém stromu.
Typ vyhledávání dynamických skupin: Vyberte, jaký typ dynamických skupin se má hledat u členství rolí.
Pouze dynamické skupiny: Najde objekty s typem třídy Dynamická skupina.
Objekty dynamických skupin a pomocné třídy: Hledá objekty s typem třídy dynamicGroup nebo objekty rozšířené třídou dynamicGroupAux. Patří k nim i objekty skupin, které byly převedeny na dynamické skupiny později.
Seznam stromu systému Služby založené na rolích: Pokud se přihlásí vlastník kolekce nebo člen role, doplní se název stromu služby eDirectory automaticky. Pokud jsou služby založené na rolích ze stromu služby eDirectory odebrány, odeberte položku tohoto stromu z tohoto seznamu. Přejde tak do režimu Nepřiřazený přístup.
Na kartě Stažení modulu plug-in můžete konfigurovat následující nastavení:
Vyhledat server společnosti Novell se soubory nových modulů NPM (NetIQ Plug-in Module) ke stažení: Určuje, že server aplikace iManager bude na webu společnosti NetIQ pro stahování zjišťovat nové moduly plug-in (NPM).
Oba přepínače umožňují konfigurovat buď zjišťování všech dostupných modulů plug-in, nebo pouze zjišťování aktualizací již nainstalovaných modulů plug-in.
Stahování modulů plug-in z vlastního webu: Pokud na stránce Stažení modulu plug-in zadáte do pole Adresa URL ke stahování adresu URL, můžete moduly plug-in stahovat z vlastního webu.
Stahování modulů plug-in prostřednictvím serveru proxy: Pokud jsou servery iManager spuštěny za serverem proxy brány firewall, může klient získat přístup k Internetu prostřednictvím serveru proxy. Je podporován pouze server proxy HTTP. Jde o webový server proxy HTTP. Pokud chce uživatel stahovat moduly plug-in, musí na stránce Stažení modulu plug-in provést následující kroky:
Vyberte možnost Povolit proxy.
Vyplňte následující pole:
Hostitel proxy: Do tohoto pole zadejte adresu IP hostitele proxy.
Port proxy: Do tohoto pole zadejte číslo portu proxy.
Uživatelské jméno: Do tohoto pole zadejte uživatelské jméno.
Heslo: Do tohoto pole zadejte heslo.
Znovu zadejte heslo: Do tohoto pole znovu zadejte heslo, které jste zadali do pole Heslo.
DŮLEŽITÉ:Moduly plug-in aplikace iManager nejsou kompatibilní s předchozími verzemi aplikace iManager. Dále platí, že jakýkoli vlastní modul plug-in, který chcete používat s aplikací iManager, musí být znovu kompilován v prostředí aplikace iManager.
Na kartě Různé můžete konfigurovat následující nastavení:
Povolit [toto]: Tuto možnost můžete ignorovat. Možnost Povolit [toto] byla přidána do aplikace iManager, aby umožňovala interním týmům upravovat vlastní objekty. [toto] je atribut stromu, který umožňuje specifické funkce samostatné správy. Je-li položka [toto] povolena, musí všechny servery služby eDirectory ve stromu používat verzi 8.6.2 nebo novější.
Adresa URL aplikace eGuide: Určuje adresu URL aplikace eGuide. Tato adresa je použita u tlačítka pro spuštění aplikace eGuide v záhlaví a v roli aplikace eGuide a úlohách pro správu úloh. Musí se jednat o úplnou adresu URL, například https://my.dns.name/eGuide/servlet/eGuide, nebo o klíčové slovo EMFRAME_SERVER. Při použití klíčového slova EMFRAME_SERVER bude modul eMFrame vyhledávat aplikaci eGuide na stejném serveru, na kterém je umístěn modul eMFrame.
Další informace o aplikaci eGuide naleznete na webovém serveru s dokumentací k aplikaci Novell eGuide.
Chcete-li zvolit úroveň šifrování, aby odpovídala vašim požadavkům na zabezpečení, použijte kartu Certifikát. V aplikaci iManager máte na výběr následující certifikáty:
RSA: Certifikát používá 2048bitový pár klíčů RSA. Pro klíče RSA nabízí aplikace iManager následující úrovně šifrování:
ŽÁDNÁ:Umožňuje použít jakékoli šifrování.
NÍZKÁ: Umožňuje 56bitové nebo 64bitové šifrování.
STŘEDNÍ: Umožňuje 128bitové šifrování.
VYSOKÁ: Umožňuje vyšší než 128bitové šifrování.
ECDSA 256: Certifikát používá pár klíčů ECDSA s křivkou secp256r1. Pro certifikát ECDSA 256 nabízí aplikace iManager jen jednu úroveň šifrování:
POUZE SUITEB 128: Umožňuje jakýkoli typ šifrování.
ECDSA 384: Certifikát používá pár klíčů ECDSA s křivkou secp384r1.
SUITEB 128: Umožňuje jakýkoli typ šifrování.
SUITEB 192: Umožňuje 56bitové nebo 64bitové šifrování.
Ve výchozím nastavení je vybráno šifrování RSA a úroveň šifrování je nastavena na hodnotu ŽÁDNÁ. Pro certifikáty ECDSA aplikace iManager umožňuje pouze šifry sady Suite B. Jestliže změníte certifikát, zajistěte restartování serveru Tomcat, aby změny začaly platit.
DŮLEŽITÉ:Aplikace Firefox ve výchozím nastavení nedovoluje použít NÍZKOU úroveň šifrování.
Zapnutí algoritmu NÍZKÉ úrovně šifrování v prohlížeči Firefox:
Otevřete prohlížeč Firefox, zadejte na panelu umístění příkaz about:config a stiskněte Enter.
(Volitelné) Pokud se zobrazí zpráva, klikněte na tlačítkoBudu opatrný, slibuji! a pokračujte na stránku about:config.
Na stránce about:config v seznamu Preference Name (Název předvolby) dvakrát klikněte na předvolbu security.ssl3.rsa_rc4_128_md5, aby se hodnota změnila na True.
Tím v prohlížeči Firefox zapnete algoritmus NÍZKÉHO šifrování.
V původním návrhu není karta Certifikát na serveru OES dostupná. Úroveň šifrování je potřeba změnit ručně v souboru vhost-ssl.conf.
Přejděte do souboru /etc/apache2/vhosts.d/vhost-ssl.conf a změňte parametr SSLCipherSuite podle podporované úrovně šifrování.
Pokud chcete konfigurovat jen VYSOKOU úroveň šifrování, změňte parametr SSLCipherSuite takto:
<VirtualHost _default_:443>
--------------
----------------
SSLCipherSuite ALL:ADH:EXPORT56:RC4+RSA:+HIGH:!MEDIUM:!LOW:+SSLv2:+EXP:+eNULL
-------------
---------------
<VirtualHost>
Ke změně úrovní šifrování můžete použít následující předpony:
+ : Přidá šifry do seznamu šifer a vloží je na aktuální místo v seznamu.
- : Odebere šifru ze seznamu (lze ji později přidat znovu).
! : Trvale odebere šifru ze seznamu (nelze ji znovu přidat).
Další informace naleznete v dokumentaci k modulu Apache mod_ssl.