39.6 Konfigurieren der „Passwort vergessen“-Verwaltung

Die Identity Manager-Installation umfasst eine Funktion zum Zurücksetzen von Passwörtern per Selbstbedienung, sodass Sie ein vergessenes Passwort schnell und einfach zurücksetzen können. Alternativ können Sie ein externes Passwortverwaltungssystem nutzen.

39.6.1 Verwenden der Funktion zum Zurücksetzen von Passwörtern per Selbstbedienung für die „Passwort vergessen“-Verwaltung

In der Regel wird die „Passwort vergessen“-Verwaltungsfunktion beim Installieren von SSPR und der Identitätsanwendungen aktiviert. Ggf. haben Sie dabei nicht die URL der Portalseite für die Identitätsanwendungen angegeben, an die SSPR die Benutzer nach einer Änderung des Passworts weiterleiten soll. Unter Umständen müssen Sie die „Passwort vergessen“-Verwaltung aktivieren. Dieser Abschnitt enthält die folgenden Informationen:

Konfigurieren von Identity Manager für die Verwendung der Funktion zum Zurücksetzen von Passwörtern per Selbstbedienung

In diesem Abschnitt wird beschrieben, wie Sie Identity Manager für die Verwendung von SSPR konfigurieren.

  1. Melden Sie sich bei dem Server an, auf dem Sie die Identitätsanwendungen installiert haben.

  2. Führen Sie das RBPM-Konfigurationsprogramm aus. Weitere Informationen finden Sie in Abschnitt 40.1, Ausführen des Konfigurationsprogramms der Identitätsanwendungen.

  3. Navigieren Sie im Dienstprogramm zu Authentifizierung > Passwortverwaltung.

  4. Wählen Sie unter Passwortverwaltungsanbieter die Option SSPR.

  5. Wählen Sie Passwort vergessen.

  6. Navigieren Sie zu SSO Clients > Zurücksetzen von Passwörtern per Selbstbedienung.

  7. Geben Sie unter OSP-Client-ID den Namen an, mit dem sich der Single-Sign-On-Client für SSPR beim Authentifizierungsserver anmelden soll. Der Standardwert lautet sspr.

  8. Geben Sie unter OSP-Client-Geheimnis das Passwort des Single-Sign-On-Clients für SSPR an.

  9. Geben Sie unter URL für die OSP-Umleitung die absolute URL an, zur der der Authentifizierungsserver einen Browser-Client nach erfolgter Authentifizierung weiterleiten soll.

    Verwenden Sie das folgende Format: protocol://server:port/path. Beispiel: http://10.10.10.48:8180/sspr/public/oauth.

  10. Speichern Sie die Änderungen, und schließen Sie das Dienstprogramm.

Konfigurieren der Funktion zum Zurücksetzen von Passwörtern per Selbstbedienung für Identity Manager

In diesem Abschnitt wird beschrieben, wie Sie SSPR für die Verwendung mit Identity Manager konfigurieren. Beispielsweise können Sie die Passwortrichtlinien und die Challenge-Response-Fragen bearbeiten.

Wenn Sie SSPR mit Identity Manager installiert haben, haben Sie ein Passwort angegeben, mit dem ein Administrator die Anwendung konfigurieren kann. NetIQ empfiehlt, die SSPR-Einstellungen zu bearbeiten und dann ein Administratorkonto oder eine Gruppe festzulegen, die SSPR konfigurieren soll. Weitere Informationen zum Konfigurationspasswort finden Sie in Abschnitt 32.0, Installieren der Passwortverwaltung für Identity Manager.

  1. Melden Sie sich mit dem Konfigurationspasswort, das Sie während der Installation angegeben haben, bei SSPR an.

  2. Bearbeiten Sie auf der Seite „Einstellungen“ die Einstellungen für die Passwortrichtlinie und die Challenge-Response-Fragen. Weitere Informationen zum Konfigurieren der Standardwerte für SSPR-Einstellungen finden Sie unter Configuring Self Service Password Reset (Konfigurieren der Funktion zum Zurücksetzen von Passwörtern per Selbstbedienung) im NetIQ Self Service Password Reset Administration Guide (NetIQ-Administrationshandbuch für die Funktion zum Zurücksetzen von Passwörtern per Selbstbedienung).

  3. Sperren Sie die SSPR-Konfigurationsdatei (SSPRConfiguration.xml). Weitere Informationen zum Sperren der Konfigurationsdatei finden Sie in Sperren der SSPR-Konfiguration.

  4. (Optional) Sollen die SSPR-Einstellungen nach dem Sperren der Konfiguration bearbeitet werden, müssen Sie die Einstellung configIsEditable in der Datei SSPRConfiguration.xml auf true setzen.

  5. Melden Sie sich bei SSPR ab.

  6. Starten Sie Tomcat neu, damit die Änderungen in Kraft treten.

Sperren der SSPR-Konfiguration

  1. Gehen Sie zu der Adresse http://<IP/DNS-Name>:<Port>/sspr. Mit diesem Link gelangen Sie zum SSPR-Portal.

  2. Melden Sie sich mit einem Administratorkonto oder mit Ihrer vorhandenen Anmeldeberechtigung bei Identity Manager an.

  3. Klicken Sie oben auf der Seite auf Konfigurationsmanager, und geben Sie das Konfigurationspasswort an, das Sie während der Installation festgelegt haben.

  4. Klicken Sie auf Konfigurationseditor, und navigieren Sie zu Einstellungen > LDAP-Einstellungen.

  5. Sperren Sie die SSPR-Konfigurationsdatei (SSPRConfiguration.xml).

    1. Definieren Sie im Bereich der Administratorberechtigungen einen Filter im LDAP-Format für einen Benutzer oder eine Gruppe, die über Administratorrechte auf SSPR im Identitätsdepot verfügt. Standardmäßig ist der Filter aufgroupMembership=cn=Admins,ou=Groups,o=example eingestellt.

      Für den Benutzeranwendungsadministrator geben Sie hier beispielsweise uaadmin (cn=uaadmin) an.

      Damit wird verhindert, dass die Benutzer die Konfiguration in SSPR verändern; dies kann nur der SSPR-Admin-Benutzer erledigen, der die uneingeschränkten Rechte zum Bearbeiten der Einstellungen besitzt.

    2. Überprüfen Sie, ob die LDAP-Abfrage tatsächlich Ergebnisse zurückgibt. Klicken Sie hierzu auf Übereinstimmungen anzeigen.

      Falls die Einstellung fehlerhaft ist, können Sie nicht mit der nächsten Konfigurationsoption fortfahren. Anhand der Fehlerdetails in SSPR können Sie die Fehlersuche vornehmen.

    3. Klicken Sie auf Speichern.

    4. Klicken Sie im Bestätigungsfenster auf OK.

      Wenn SSPR gesperrt ist, stehen dem Admin-Benutzer zusätzliche Optionen in der Administrationsoberfläche zur Verfügung (z. B. Dashboard, Benutzeraktivität oder Datenanalyse), die vor dem Sperren von SSPR nicht verfügbar waren.

  6. (Optional) Sollen die SSPR-Einstellungen nach dem Sperren der Konfiguration bearbeitet werden, müssen Sie die Einstellung configIsEditable in der Datei SSPRConfiguration.xml auf true setzen.

  7. Melden Sie sich bei SSPR ab.

  8. Melden Sie sich als der Admin-Benutzer, den Sie in Schritt 3 definiert haben, wieder bei SSPR an.

  9. Klicken Sie auf Konfiguration schließen, und dann zum Bestätigen auf OK.

  10. Starten Sie Tomcat neu, damit die Änderungen in Kraft treten.

39.6.2 Verwenden des bisherigen Anbieters für die „Passwort vergessen“-Verwaltung

Statt SSPR können Sie in Identity Manager auch den bisherigen Anbieter für die „Passwort vergessen“-Verwaltungsfunktion heranziehen. Wenn Sie sich für den bisherigen Anbieter entscheiden, entfällt die Installation von SSPR. In diesem Fall müssen Sie jedoch die Zugriffsrechte der Benutzer auf die freigegebenen Seiten für die Passwortverwaltung neu zuweisen. In diesem Abschnitt finden Sie die zugehörigen Schritte:

Weitere Informationen zum bisherigen Anbieter finden Sie in Abschnitt 4.4.2, Erläuterungen zum bisherigen Anbieter für die Passwortverwaltung. Weitere Informationen zu freigegebenen Seiten und Berechtigungen finden Sie unter Seitenverwaltung im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.

Konfigurieren des bisherigen Anbieters für die „Passwort vergessen“-Verwaltung

  1. Melden Sie sich bei dem Server an, auf dem Sie die Identitätsanwendungen installiert haben.

  2. Führen Sie das RBPM-Konfigurationsprogramm aus. Weitere Informationen finden Sie in Abschnitt 40.1, Ausführen des Konfigurationsprogramms der Identitätsanwendungen.

  3. Navigieren Sie im Dienstprogramm zu Authentifizierung > Passwortverwaltung.

  4. Wählen Sie unter Passwortverwaltungsanbieter die Option Benutzeranwendung (alt).

  5. Wählen Sie unter Passwort vergessen die Option Intern

  6. Navigieren Sie zu SSO Clients > Zurücksetzen von Passwörtern per Selbstbedienung.

  7. Für die USP für die OSP-Umleitung sollte die Einstellung leer sein.

  8. Speichern Sie die Änderungen, und schließen Sie das Dienstprogramm.

Neuzuweisen der Berechtigungen für die Passwortverwaltungsseiten

Die Einstellungen für die Identitätsanwendungen werden während der Installation standardmäßig auf SSPR festgelegt. Sie müssen den Benutzern, Gruppen oder Containern, die auf die freigegebenen Seiten für die Passwort-Verwaltung zugreifen sollen, die entsprechenden Berechtigungen zuweisen oder neu zuweisen. Wenn Sie Benutzern die Berechtigung Anzeigen für eine Containerseite oder eine freigegebene Seite zuweisen, können sie auf diese Seite zugreifen, und die Seite wird in einer Liste der verfügbaren Seiten aufgeführt.

  1. Stellen Sie sicher, dass Identity Manager den bisherigen Anbieter verwendet. Weitere Informationen finden Sie in Konfigurieren des bisherigen Anbieters für die „Passwort vergessen“-Verwaltung.

  2. Melden Sie sich bei der Benutzeranwendung als Anwendungsadministrator an. Melden Sie sich beispielsweise als uaadmin an.

  3. Navigieren Sie zu Administration > Seitenadministration.

  4. Navigieren Sie in der Kontrollleiste Freigegebene Seiten zu Passwortverwaltung.

  5. Wählen Sie die Seite aus, für die die Berechtigungen definiert werden sollen. Beispiel: „Passwort ändern“ oder „Herausforderung/Antwort für Passwort“.

  6. Klicken Sie im rechten Bereich auf Berechtigungen zuweisen.

  7. Wählen Sie unter Anzeigen die Benutzer, Gruppen oder Container aus, die der Seite zugewiesen werden sollen.

  8. (Optional) Damit nur ein Anwendungsadministrator auf die angegebene Seite zugreifen kann, wählen Sie Anzeigeberechtigung ist nur für Admin eingestellt.

  9. Klicken Sie auf Speichern.

  10. Wiederholen Sie Schritt 5 bis Schritt 9 für jede zu konfigurierende Seite.

  11. Wählen Sie das Start-Symbol, um zum Dashboard zurückzukehren.

  12. Navigieren Sie zu Anwendungen und wählen Sie anschließend aus.

  13. Ersetzen Sie auf der Seite Anwendungen verwalten den Link zum SSPR durch den Link für UserApp PwdMgt.

    Weitere Informationen finden Sie in Abschnitt 39.6.4, Aktualisieren der SSPR-Links im Dashboard für eine dezentrale Umgebung oder eine Cluster-Umgebung und in der Hilfe zu den Identitätsanwendungen.

  14. Melden Sie sich ab und starten Sie Tomcat neu.

39.6.3 Verwenden eines externen Systems für die „Passwort vergessen“-Verwaltung

Soll ein externes System verwendet werden, müssen Sie den Speicherort einer WAR-Datei mit der „Passwort vergessen“-Funktion angeben. Dieser Vorgang umfasst folgende Schritte:

Angeben einer externen WAR-Datei für die „Passwort vergessen“-Verwaltung

Wenn Sie diese Werte nicht während der Installation angegeben haben und nun die Einstellungen bearbeiten möchten, verwenden Sie wahlweise das RBPM-Konfigurationsprogramm, oder nehmen Sie die Änderungen als Administrator in der Benutzeranwendung vor.

  1. (Bedingt) Sollen die Einstellungen im RBPM-Konfigurationsprogramm bearbeitet werden, führen Sie die folgenden Schritte aus:

    1. Melden Sie sich bei dem Server an, auf dem Sie die Identitätsanwendungen installiert haben.

    2. Führen Sie das RBPM-Konfigurationsprogramm aus. Weitere Informationen finden Sie in Abschnitt 40.1, Ausführen des Konfigurationsprogramms der Identitätsanwendungen.

    3. Navigieren Sie im Dienstprogramm zu Authentifizierung > Passwortverwaltung.

    4. Wählen Sie unter Passwortverwaltungsanbieter die Option Benutzeranwendung (alt).

  2. (Bedingt) Sollen die Einstellungen in der Benutzeranwendung bearbeitet werden, führen Sie die folgenden Schritte aus:

    1. Melden Sie sich als Benutzeranwendungsadministrator an.

    2. Navigieren Sie zu Administration > Anwendungskonfiguration > Setup des Passwortmoduls > Anmelden.

  3. Wählen Sie unter Passwort vergessen die Option Extern

  4. Geben Sie unter 'Passwort vergessen'-Link den Link an, der angezeigt werden soll, wenn der Benutzer auf der Anmeldeseite auf Passwort vergessen klickt. Sobald der Benutzer auf diesen Link klickt, leitet die Anwendung den Benutzer zum externen Passwortverwaltungssystem weiter. Beispiel:

    http://localhost:8180/ExternalPwd/jsps/pwdmgt/ForgotPassword.jsp

  5. Geben Sie unter Link zurück zu 'Passwort vergessen' den Link an, der angezeigt werden soll, wenn der Benutzer das „Passwort vergessen“-Verfahren abgeschlossen hat. Wenn der Benutzer auf diesen Link klickt, wird er auf den angegebenen Link umgeleitet. Beispiel:

    http://localhost/IDMProv

  6. Geben Sie unter Webservice-URL zu 'Passwort vergessen' die URL für den Webservice an, mit der die externe WAR-Datei für „Passwort vergessen“ die Identitätsanwendungen aufruft. Verwenden Sie das folgende Format: 

    https://idmhost:sslport/idm/pwdmgt/service

    Der Link zurück zu 'Passwort vergessen' muss SSL verwenden, sodass eine sichere Web-Service-Kommunikation mit den Identitätsanwendungen gewährleistet ist. Weitere Informationen finden Sie in Konfigurieren der SSL-Kommunikation zwischen Anwendungsservern.

  7. Kopieren Sie ExternalPwd.war manuell in den Bereitstellungsordner des Remote-JBoss-Servers, auf dem die Funktionalität der externen Passwort-WAR ausgeführt wird.

Testen der externen „Passwort vergessen“-Konfiguration

Wenn Sie eine externe Passwort-WAR-Datei verwenden und die „Passwort vergessen“-Funktion testen möchten, können Sie wie folgt auf sie zugreifen:

  • Direkt, in einem Browser. Gehen Sie zu der Seite „Passwort vergessen“ in der externen Passwort-WAR-Datei. Beispiel: http://localhost:8180/ExternalPwd/jsps/pwdmgt/ForgotPassword.jsp.

  • Klicken Sie auf der Anmeldeseite der Benutzeranwendung auf den Link Passwort vergessen.

Konfigurieren der SSL-Kommunikation zwischen Anwendungsservern

Wenn Sie mit einem externen Passwortverwaltungssystem arbeiten, müssen Sie die SSL-Kommunikation zwischen den Tomcat-Instanzen konfigurieren, auf denen Sie die Identitätsanwendungen und die externe WAR-Datei für die „Passwort vergessen“-Verwaltung bereitstellen. Weitere Informationen finden Sie in der Tomcat-Dokumentation.

39.6.4 Aktualisieren der SSPR-Links im Dashboard für eine dezentrale Umgebung oder eine Cluster-Umgebung

Der Installationsvorgang setzt voraus, dass Sie SSPR auf demselben Anwendungsserver wie die Identitätsanwendungen und die Identitätsberichterstellung bereitstellen. Standardmäßig gilt für die integrierten Links auf der Seite Anwendungen im Dashboard ein relatives URL-Format, das auf SSPR auf dem lokalen System verweist. Beispiel: /sspr/private/changepassword. Wenn Sie die Anwendungen in einer dezentralen Umgebung oder einer Cluster-Umgebung installieren, müssen Sie die URLs für die SSPR-Links entsprechend aktualisieren.

Weitere Informationen finden Sie in der Hilfe zu den Identitätsanwendungen.

  1. Melden Sie sich beim Dashboard als Administrator an. Melden Sie sich beispielsweise als uaadmin an.

  2. Klicken Sie auf Bearbeiten.

  3. Zeigen Sie auf der Seite „Startseitenelemente bearbeiten“ auf das zu aktualisierende Element, und klicken Sie auf das Bearbeitungssymbol. Wählen Sie beispielsweise Passwort ändern.

  4. Geben Sie unter Link die absolute URL an. Beispiel: http://10.10.10.48:8180/sspr/changepassword.

  5. Klicken Sie auf Speichern.

  6. Wiederholen Sie diesen Vorgang für alle zu aktualisierenden SSPR-Links.

  7. Klicken Sie abschließend auf Fertig.

  8. Melden Sie sich ab, melden Sie sich dann als normaler Benutzer wieder an, und testen Sie die Änderungen.