Como OpenText Identity Console se puede ejecutar como un contenedor de Docker, para obtener más información sobre los requisitos del sistema y las plataformas compatibles para la instalación de OpenText Identity Console, consulte la documentación de Docker.
Instale Docker 20.10.9-ce o posterior. Para obtener más información sobre cómo instalar Docker en función de su plataforma, consulte Instalación de Docker.
Debe obtener un certificado de servidor pkcs12 con la clave privada para cifrar o descifrar el intercambio de datos entre el servidor de OpenText Identity Console y el servidor back-end. Este certificado de servidor se utiliza para proteger la conexión HTTP. Puede utilizar certificados de servidor generados por una CA externa. Para obtener más información, consulte Creación de un objeto Certificado de servidor. El certificado del servidor debería contener el nombre alternativo del sujeto con la dirección IP y el DNS del servidor de OpenText Identity Console. Una vez creado el objeto Certificado de servidor, debe exportarlo en formato .pfx.
Debe obtener un certificado de CA para todos los árboles en formato .pem a fin de validar la firma de CA de los certificados de servidor obtenidos en el paso anterior. Este certificado de CA raíz también garantiza el establecimiento de una comunicación LDAP protegida entre el cliente y el servidor de OpenText Identity Console. Por ejemplo, puede obtener el certificado de CA de OpenText eDirectory (SSCert.pem) desde /var/opt/novell/eDirectory/data/SSCert.pem.
(Opcional) Con One SSO Provider (OSP), puede habilitar la autenticación de firma única para los usuarios en el portal de OpenText Identity Console. Debe instalar OSP antes de la instalación de OpenText Identity Console. Para configurar OSP para OpenText Identity Console, siga las instrucciones que aparecen en la pantalla y proporcione los valores necesarios para los parámetros de configuración. Para registrar OpenText Identity Console en el servidor OSP existente, debe añadir manualmente lo siguiente al archivo ism-configuration.properties en la carpeta /opt/netiq/idm/apps/tomcat/conf/:
com.netiq.edirapi.clientID = identityconsole com.netiq.edirapi.redirect.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/authcoderedirect com.netiq.edirapi.logout.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/logoutredirect com.netiq.edirapi.logout.return-param-name = logoutURL com.netiq.edirapi.response-types = code,token com.netiq.edirapi.clientPass._attr_obscurity = NONE com.netiq.edirapi.clientPass = novell
NOTA:
Con OSP, solo puede conectarse a un único árbol de OpenText eDirectory, ya que este no admite el uso de varios.
OpenText Identity Console no admite el OSP de terceros.
En un entorno integrado de NAM, no se admite actualmente OpenText Identity Console con OSP.
Asegúrese de que dispone de una entrada de DNS adecuada disponible para el equipo host en /etc/hosts con un nombre completo del host.
Si desea utilizar OpenText Identity Console en el navegador Edge, debe descargar la versión más reciente de Microsoft Edge para obtener todas las funciones.
NOTA:Al utilizar OpenText Identity Console en Mozilla Firefox, la operación puede fallar con el mensaje de error Origin Mismatch (Error de coincidencia de origen). Para solucionar los problemas, realice los siguientes pasos:
Actualice Firefox a la versión más reciente.
Especifique about:config en el campo URL de Firefox y pulse Intro.
Busque Origen.
Haga doble clic en network.http.SendOriginHeader y cambie su valor a 1.
Es posible que deba crear un archivo de configuración que contenga determinados parámetros. Si desea configurar OpenText Identity Console con OSP, debe especificar los parámetros específicos del OSP en el archivo de configuración. Por ejemplo, cree el archivo edirapi.conf que aparece a continuación con los parámetros de OSP:
NOTA:Debe proporcionar el nombre del árbol de OpenText eDirectory en el campo osp-redirect-url.
listen = ":9000" ldapserver = "192.168.1.1:636" ldapuser = "cn=admin,ou=sa,o=system" ldappassword = "novell" pfxpassword = "novell" ospmode = "true" osp-token-endpoint = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/getattributes" osp-authorize-url = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/grant" osp-logout-url = "https://10.10.10.10:8543/osp/a/idm/auth/app/logout" osp-redirect-url = "https://10.10.10.10:9000/eDirAPI/v1/edirtree/authcoderedirect" osp-client-id = "identityconsole" ospclientpass = "novell" ospcert = "/etc/opt/novell/eDirAPI/cert/SSCert.pem" bcert = "/etc/opt/novell/eDirAPI/cert/" loglevel = "error" check-origin = "true" origin = "https://10.10.10.10:9000,https://192.168.1.1:8543"
Si desea configurar OpenText Identity Console sin OSP, cree un archivo de configuración, como se muestra a continuación, sin los parámetros de OSP:
[OpenText Identity Console 1.9]
listen = ":9000" pfxpassword = "novell" ospmode = "false" bcert = "/etc/opt/novell/eDirAPI/cert/" auto-fetch = false
NOTA:
Elimine el parámetro edir-hosts del archivo de configuración y añada el parámetro auto-fetch.
Si auto-fetch = false, debe copiar manualmente el certificado de CA en la carpeta cert.
[OpenText Identity Console 1.8 y versiones anteriores]
listen = ":9000" pfxpassword = "novell" ospmode = "false" bcert = "/etc/opt/novell/eDirAPI/cert/" edir-hosts = "<ip_address-1>:636,<ip_address-2>:636"
NOTA:Si desea configurar OpenText Identity Console con varios árboles de OpenText eDirectory, puede omitir los parámetros "ldapserver", "ldapuser" y "ldappassword", y crear el archivo de configuración.
Tabla 1-1 Descripción de los parámetros de configuración del archivo de configuración
|
Parámetros de configuración |
Descripción |
|---|---|
|
listen |
Especifique 9000 como el puerto de escucha del servidor de OpenText Identity Console en el contenedor. |
|
ldapserver |
Especifique la dirección IP y el número de puerto del servidor host de OpenText eDirectory. |
|
ldapuser |
Especifique el nombre del usuario de OpenText eDirectory. Este parámetro se utiliza como credencial para iniciar las llamadas de LDAP a OpenText eDirectory mediante el control de autorización proxy en el caso de la entrada a OSP. El usuario LDAP debe tener derechos de supervisor en el árbol de OpenText eDirectory. |
|
ldappassword |
Especifique la contraseña del usuario LDAP. |
|
pfxpassword |
Especifique la contraseña del archivo de certificado de servidor pkcs12. |
|
ospmode |
Especifique true (verdadero) para integrar OSP con OpenText Identity Console. Si establece el valor en false (falso), OpenText Identity Console utilizará la entrada LDAP. |
|
osp-token-endpoint |
Esta dirección URL permite obtener determinados atributos del servidor OSP a fin de verificar la validez del testigo de autenticación.. |
|
osp-authorize-url |
El usuario utiliza esta dirección URL para proporcionar las credenciales a fin de obtener un testigo de autenticación.. |
|
osp-logout-url |
Utilice esta dirección URL para finalizar la sesión entre el usuario y el servidor OSP.. |
|
osp-redirect-url |
El servidor OSP redirige al usuario a esta dirección URL después de otorgar el testigo de autenticación.. NOTA:Asegúrese de especificar el nombre del árbol de OpenText eDirectory en minúsculas al configurar OpenText Identity Console. Si el nombre del árbol no se especifica en minúsculas, es posible que falle la entrada al servidor de OpenText Identity Console. |
|
osp-client-id |
Especifique el ID de cliente de OSP que se proporcionó durante el registro de OpenText Identity Console en OSP. |
|
ospclientpass |
Especifique la contraseña de OSP que se proporcionó durante el registro de OpenText Identity Console en OSP. |
|
ospcert |
Especifique la ubicación del certificado de CA del servidor OSP.. |
|
bcert |
Especifique la ubicación del certificado de CA de OpenText Identity Console. |
|
loglevel |
Especifique los niveles de registro que desea incluir en el archivo de registro. Este parámetro se puede definir como "fatal", "error", "warn" o "info". |
|
check-origin |
Si se ha establecido en true (verdadero), el servidor de OpenText Identity Console compara el valor de origen de las peticiones. Las opciones disponibles son true (verdadero) o false (falso). El parámetro origin (origen) es obligatorio, incluso aunque el valor del parámetro check-origin se haya establecido en false (falso) cuando se utiliza la configuración de DNS. |
|
origin |
OpenText Identity Console compara el valor de origen de las peticiones con los valores especificados en este campo. NOTA:A partir de OpenText Identity Console 1.4, este parámetro es independiente del parámetro check-origin y es obligatorio si se utiliza la configuración de DNS. |
|
maxclients |
Número máximo de clientes simultáneos que pueden acceder a IDConsole. Cualquier cliente adicional que supere este límite tendrá que esperar en la cola. |
|
auto-fetch |
A partir de OpenText Identity Console 1.9, puede optar por obtener automáticamente el certificado de CA. |
|
edir-hosts (1.8 y versiones anteriores) |
edir-host es un parámetro que contiene las direcciones IP de OpenText eDirectory a las que desea conectarse a través de OpenText Identity Console. |
NOTA:
El parámetro de configuración ospmode solo debe utilizarse si tiene previsto integrar OSP junto con OpenText Identity Console.
Si Identity Applications (Identity Apps) se ha establecido en modo de clúster en la configuración de OpenText Identity Manager, debe proporcionar el nombre DNS del servidor del equilibrador de carga en los campos osp-token-endpoint, osp-authorize-url y osp-logout-url del archivo de configuración. Si especifica los detalles del servidor OSP en estos campos, fallará la entrada a OpenText Identity Console.
Si OpenText Identity Console se ha configurado con la misma instancia de OSP que Identity Apps y OpenText Identity Reporting, la entrada única (servicio de autenticación) se aplicará cuando entre al portal de OpenText Identity Console.
La dirección URL HTTPS de OSP debe validarse con certificados que contengan una clave de 2048 bits o superior a partir de OpenText Identity Console 1.4.
Si desea restringir el acceso al portal de OpenText Identity Console desde diferentes dominios, establezca el parámetro samesitecookie en strict. Si desea permitir el acceso al portal de OpenText Identity Console desde diferentes dominios, establezca el parámetro samesitecookie en lax. Si no se especifica el parámetro durante la configuración, los ajustes del navegador se respetarán por defecto.
Una vez que haya completado la creación del archivo de configuración, continúe con la distribución del contenedor. Para obtener más información, consulte Instalación de OpenText Identity Console como contenedor de Docker.