Die Identitätsanwendungen müssen mit den Objekten im Identitätsdepot interagieren können. In einigen Fällen müssen Sie die Authentifizierungsmethoden und Indizes in eDirectory konfigurieren, damit das Identitätsdepot und die Identitätsanwendungen problemlos miteinander kommunizieren.
Um die Leistung der Identitätsanwendungen zu erhöhen, sollte der eDirectory-Administrator jeweils einen Index für die Attribute manager, ismanager und srvprvUUID erstellen. Sind für diese Attribute keine Indizes vorhanden, kann dies insbesondere in einer Cluster-Umgebung eine eingeschränkte Leistung zur Folge haben.
Mit der Option Erweitert > eDirectory-Indizes erstellen im RBPM-Konfigurationsprogramm können Sie diese Indizes automatisch im Rahmen der Installation erstellen lassen. Weitere Informationen zum Erstellen von Indizes mit dem Indexmanager finden Sie im NetIQ eDirectory-Administrationshandbuch.
Die Installationsprogramme für Identity Manager umfassen automatisch diese Konfiguration.
Wenn Sie die Identitätsanwendungen mit anderen von NMAS unterstützten Produkten konfigurieren, müssen Sie diese Konfiguration manuell ausführen. Dieser Vorgang umfasst folgende Schritte:
Wechseln Sie zur Datei nmassaml.zip, und entpacken Sie sie.
Installieren Sie die SAML-Methode mit den folgenden Schritten in den eDirectory-Baum:
Erweitern Sie das in authsaml.sch gespeicherte Schema.
Geben Sie unter Linux beispielsweise den folgenden Befehl ein:
ndssch -h edir_ip edir_admin authsaml.sch
Installieren Sie die SAML-Methode.
Geben Sie unter Linux beispielsweise den folgenden Befehl ein:
nmasinst -addmethod edir_admin tree ./config.txt
Öffnen Sie iManager.
Erweitern Sie den Eintrag Funktionen und Aufgaben > Verzeichnisverwaltung > Objekt erstellen.
Wählen Sie Alle Objektklassen anzeigen.
Erstellen Sie ein neues Objekt der Klasse authsamlAffiliate.
Wählen Sie authsamlAffiliate und klicken Sie auf OK.
Sie können diesem Objekt einen beliebigen gültigen Namen geben.
Wählen Sie das Containerobjekt SAML Assertion.Authorized Login Methods.Security in der Baumstruktur aus, um den Kontext anzugeben, und klicken Sie anschließend auf OK.
Fügen Sie Attribute mit den folgenden Schritten zum Klassenobjekt authsamlAffiliate hinzu:
Klicken Sie in iManager auf Objekte anzeigen > Durchsuchen.
Wechseln Sie zum neuen affiliate-Objekt im SAML-Container „Assertion.Authorized Login Methods.Security“.
Wählen Sie das neue affiliate-Objekt und wählen Sie anschließend Objekt ändern aus.
Fügen Sie ein authsamlProviderID-Attribut zum neuen affiliate-Objekt hinzu.
Dieses Attribut dient der Übereinstimmung einer Assertion mit ihrem Partner. Der Inhalt dieses Attributs muss exakt mit dem Ausstellerattribut übereinstimmen, das von der SAML-Assertion gesendet wurde.
Klicken Sie auf OK.
Fügen Sie die Attribute authsamlValidBefore und authsamlValidAfter zum affiliate-Objekt hinzu.
Diese Attribute definieren die Zeit in Sekunden um ein IssueInstant in einer Assertion, wenn die Assertion als gültig angesehen wird. Der übliche Standardwert ist 180 Sekunden.
Klicken Sie auf OK.
Wählen Sie den Sicherheitscontainer aus.
Erstellen Sie mit Objekt erstellen einen Herkunftsverbürgungscontainer in Ihrem Sicherheitscontainer.
Erstellen Sie Herkunftsverbürgung-Objekte mit den folgenden Schritten im Herkunftsverbürgungscontainer:
Navigieren Sie zu Funktionen und Aufgaben > Verzeichnisadministration, und wählen Sie Objekt erstellen.
Wählen Sie Alle Objektklassen anzeigen.
So erstellen Sie ein Herkunftsverbürgung-Objekt für das Zertifikat, mit dem Ihr Partner die Assertions signiert. Sie benötigen hierzu eine verschlüsselte Kopie des Zertifikats.
Erstellen Sie neue Herkunftsverbürgungsobjekte für jedes Zertifikat in der Kette der unterzeichnenden Zertifikate bis zum Stamm-CA-Zertifikat.
Legen Sie den Kontext auf den zuvor erstellen Herkunftsverbürgungs-Container fest und klicken Sie anschließend auf OK.
Kehren Sie zum Objekt-Viewer zurück.
Fügen Sie ein authsamlTrustedCertDN-Attribut zum affiliate-Objekt hinzu und klicken Sie anschließend auf OK.
Dieses Attribut soll auf das Herkunftsverbürgungsobjekt für das Signierzertifikat zeigen, das Sie im vorherigen Schritt erstellt haben. (Alle Assertions für den Partner müssen von Zertifikaten unterzeichnet werden, auf die dieses Attribut zeigt, sonst werden sie abgewiesen.)
Fügen Sie ein authsamlCertContainerDN-Attribut zum affiliate-Objekt hinzu und klicken Sie anschließend auf OK.
Dieses Attribut soll auf den zuvor erstellten Herkunftsverbürgungscontainer zeigen. (Dieses Attribut dient zur Überprüfung der Zertifikatskette des unterzeichnenden Zertifikats.)