50.2 Konfigurieren des Identitätsanwendungsservers

Sie müssen den Identitätsanwendungsserver für die Verwendung der Kerberos-Keytab-Datei und des Benutzerkontos konfigurieren, das Sie in Active Directory erstellt haben. Führen Sie zunächst die Anweisungen in Abschnitt 50.1, Konfigurieren des Kerberos-Benutzerkontos in Active Directory aus, bevor Sie den Vorgang fortsetzen.

HINWEIS:Geben Sie Domänen oder Bereiche in Großbuchstaben an. Beispiel: @MEINEFIRMA.COM.

Führen Sie die folgenden Schritte durch, um die Betriebssystemeinstellungen für die Kerberos-Konfiguration zu definieren:

Öffnen Sie die KRB5-Datei in einem Texteditor auf dem Server, der die Identitätsanwendungen hostet.

Linux: /etc/krb5.conf

Windows: C:\Windows\krb5.ini

UNIX: /etc/krb5/krb5.conf

Fügen Sie der KRB5-Datei die folgenden Informationen hinzu:

[libdefaults]
    default_realm = WINDOWS-DOMAIN
    kdc_timesync = 0
    forwardable = true
    proxiable = false
[realms]
    WINDOWS-DOMAIN = {
         kdc = FQDN Active Directory Server
         admin_server = FQDN Active  Directory Server
    }
[domain_realm]
    .your.domain = WINDOWS-DOMAIN
    your.domain = WINDOWS-DOMAIN

Beispiel:

[libdefaults]
    default_realm = MYCOMPANY.COM
    kdc_timesync = 0
    forwardable = true
    proxiable = false
[realms]
    MYCOMPANY.COM = {
         kdc = myadserver.mycompany.com
         admin_server = myadserver.mycompany.com
    }
[domain_realm]
    .mycompany.com = MYCOMPANY.COM
    mycompany.com = MYCOMPANY.COM

Speichern Sie die Änderungen, und schließen Sie die krb5-Datei.

(Bedingt) Führen Sie die folgenden Schritte durch, um die Kerberos-Konfigurationsinformationen für Tomcat zu definieren:
1. Erstellen Sie auf dem Tomcat-Anwendungsserver eine Beispieldatei Kerberos_login.config mit dem folgenden Inhalt:
  
  HINWEIS:Der novlua-Benutzer benötigt Berechtigungen zur Erstellung der Datei Kerberos_login.config.
```
com.sun.security.jgss.krb5.accept {
		    com.sun.security.auth.module.Krb5LoginModule required
    debug="true"
		    refreshKrb5Config="true"
    useTicketCache="true"
		    ticketCache="/opt/netiq/idm/apps/tomcat/kerberos/spnegoTicket.cache"
    doNotPrompt="true"
		    principal="HTTP/DNS_Identity_Applications_server@WINDOWS-DOMAIN"
    useKeyTab="true"
        keyTab="/absolute_path/filename.keytab"
    storeKey="true";
    };
```
  Beispiel auf einem Windows-Server:
```
keyTab="c:\\NetIQ\\IdentityManager\\apps\\tomcat\kerberos\\rbpm.keytab"
```
2. Geben Sie in der Datei Werte für principal und keyTab an. Beispiel:
```
principal="HTTP/rbpm.mycompany.com@MYCOMPANY.COM"
keyTab="/home/usr/rbpm.keytab"
```
  - Der Wert für principal muss identisch sein mit dem Wert, den Sie für Kerberos angegeben haben. Weitere Informationen finden Sie unter Schritt 3.
  - Geben Sie den absoluten Pfad der keytab-Datei auf Ihrem Identitätsanwendungsserver an. Die Datei muss sich nicht im Standardverzeichnis für die Identitätsanwendungen befinden.
3. Verweisen Sie mit der folgenden Zeile auf die Datei Kerberos_login.config in der JVM-Datei java.security:
```
login.config.url.1=file:/opt/netiq/idm/apps/tomcat/kerberos/Kerberos_login.config
```
  Der angegebene Pfad ist der standardmäßige Installationsspeicherort für einen Linux-Server.
  
  Beispiel einer java.security-Datei auf einem Windows-Server:
```
login.config.url.1=file:c:/NetIQ/IdentityManager/apps/tomcat/kerberos/Kerberos_login.config
```
Führen Sie die folgenden Schritte durch, um die Authentifizierungsmethode im RBPM-Konfigurationsprogramm anzugeben:
1. Öffnen Sie das configupdate-Dienstprogramm.
2. Klicken Sie auf die Registerkarte Authentifizierung.
3. Blättern Sie nach unten zum Abschnitt Authentifizierungsmethode.
4. Wählen Sie im Feld Methode die Option Kerberos.
5. Wählen Sie im Feld Zuordnungsattributname die Option cn.
HINWEIS:Weitere Informationen zum RBPM-Konfigurationsprogramm finden Sie in Abschnitt 40.0, Konfigurieren der Einstellungen für die Identitätsanwendungen.
(Optional) Wiederholen Sie diese Schritte für die Identitätsberichterstellung, wenn Sie die Berichterstellungskomponente auf einem separaten Server installiert haben.
Konfigurieren Sie die Browser, über die Endbenutzer auf die Identitätsanwendungen zugreifen. Weitere Informationen finden Sie unter Abschnitt 50.3, Konfigurieren der Endbenutzer-Browser für die Verwendung der integrierten Windows-Authentifizierung.