2.1 Instalación de OpenText Identity Console CE 24.4 (v1.9)

2.1.1 Instalación de una instancia independiente de OpenText Identity Console (sin Docker)

Puede instalar OpenText Identity Console de una de las siguientes formas:

NOTA:Para garantizar una funcionalidad adecuada, le recomendamos que instale tanto OpenText Identity Console como OpenText eDirectory en el mismo equipo, que debe tener al menos una instancia de OpenText eDirectory disponible.

Instalación interactiva

En esta sección, se describe cómo instalar OpenText Identity Console de forma independiente mediante el método de instalación interactiva.

  1. Entre al portal Licencia y descarga de software y desplácese a la página Descargas de software.

  2. Seleccione lo siguiente:

    • Producto: OpenText eDirectory

    • Nombre del producto: OpenText eDirectory per User Sub SW E-LTU

    • Versión: 9.2, 9.3

  3. Descargue y extraiga la compilación más reciente de OpenText Identity Console.

  4. Acceda al directorio en el que ha extraído la compilación de OpenText Identity Console > IdentityConsole_<versión>_Linux.

  5. Ejecute el siguiente comando mientras está conectado como usuario root o equivalente:

    ./identityconsole_install

  6. Lea la introducción y haga clic en ENTER.

  7. Escriba "y" para aceptar el Acuerdo de licencia. Esta acción instala todos los RPM necesarios en el sistema.

  8. Introduzca el nombre de host (nombre completo) del servidor de Identity Console o su dirección IP. Por ejemplo, 10.10.33.100

    Si pulsa Intro sin especificar una dirección IP, se utilizará por defecto la dirección IP/nombre de host del sistema.

  9. Introduzca el número de puerto de escucha de Identity Console. El valor por defecto es 9000.

  10. Especifique los hosts de eDirectory a los que conectarse. Puede especificar una dirección IP o un nombre de dominio. Por ejemplo, localhost:636,xx.xx.xx.xx:636 o edir.domain.com:636

  11. (Condicional) Seleccione una de las siguientes opciones según sus necesidades:

    • Si no desea integrar OSP con OpenText Identity Console, seleccione "n" y continúe con Paso 12.

    • Si desea integrar OSP con OpenText Identity Console, seleccione "y" y proporcione la información correspondiente en los siguientes pasos:

      1. Introduzca el nombre de dominio o la dirección IP del servidor del repositorio seguro de identidades/eDirectory con el número de puerto LDAPS.

        Por ejemplo:

        192.168.1.1:636

      2. Introduzca el nombre del repositorio seguro de identidades/eDirectory.

        Ejemplo:

        cn=admin,ou=org_unit,o=org

      3. Introduzca la contraseña del repositorio seguro de identidades/eDirectory.

      4. Vuelva a introducir la contraseña del depósito de identidades/eDirectory para confirmarla.

      5. Introduzca el nombre de dominio o la dirección IP del servidor OSP con el número de puerto SSL del servidor SSO.

      6. Introduzca el ID y la contraseña del cliente OSP.

      7. Introduzca el nombre de árbol del repositorio seguro de identidades/eDirectory.

  12. (Condicional) Seleccione una de las siguientes opciones según sus necesidades:

    • Si desea obtener automáticamente los certificados de CA, introduzca "y" para la obtención automática.

    • Si no desea obtener automáticamente los certificados de CA, introduzca "n" para la obtención automática.

  13. (Condicional) Seleccione una de las siguientes opciones según sus necesidades:

    • Si desea importar el certificado de CA desde el servidor, introduzca "y" y pulse Intro.

      El certificado de CA se copia correctamente en /etc/opt/novell/eDirAPI/cert.

      Para obtener o añadir manualmente el certificado de CA, consulte Generar certificado de CA.

    • Si no desea importar el certificado de CA desde el servidor, introduzca "n" y pulse Intro.

    • Si introduce "q", se cancelará la instalación.

  14. (Condicional) Seleccione una de las opciones siguientes para generar un certificado de servidor:

    • Si desea generar el certificado de servidor, introduzca "y" y pulse Intro. Especifique la información correspondiente en los siguientes pasos:

      1. Introduzca el nombre de usuario de eDirectory. Ejemplo: cn=admin,o=novell.

      2. Introduzca la contraseña de usuario de eDirectory.

      3. Vuelva a introducir la contraseña de usuario de eDirectory.

      4. Introduzca el nombre del certificado del servidor.

        Ejemplo: servercert

      5. Introduzca la contraseña del certificado del servidor.

        Ejemplo: password@123

      6. Vuelva a introducir la contraseña del certificado del servidor.

        Ejemplo: password@123

    • Si ya dispone de un certificado de servidor que desea utilizar, introduzca "n" y pulse Intro. Especifique la información correspondiente en los siguientes pasos:

      1. Especifique manualmente la ubicación de la vía del directorio del certificado de servidor.

        Por ejemplo, /home/cert/keys.pfx.

      2. Introduzca la contraseña del certificado del servidor.

      3. Vuelva a introducir la contraseña del certificado del servidor.

NOTA:

  • Puede encontrar los siguientes archivos de registro en el directorio /var/opt/novell/eDirAPI/log:

    • edirapi.log: este archivo registra los eventos de edirapi y los problemas de depuración.

    • edirapi_audit.log: este archivo registra los eventos de auditoría de edirapi. Los registros siguen el formato de auditoría de CEF.

    • identityconsole_install.log: este archivo registra los eventos de OpenText Identity Console.

  • Puede consultar los registros de las operaciones de inicio y parada de OpenText Identity Console en el archivo /var/log/messages.

  • Si la instalación falla, utilice el siguiente comando para volver a realizar la configuración:

    /usr/bin/identityconsoleConfigure

Utilidades para generar certificados

Tiene la opción de obtener certificados de CA y de servidor para otros árboles mediante las siguientes herramientas o utilidades.

NOTA:Los guiones para el certificado de CA y de servidor están disponibles en la vía opt/novell/eDirAPI/sbin.

Generar certificado de CA

  1. Descargue y extraiga la compilación más reciente de OpenText Identity Console.

  2. Desplácese al directorio /opt/novell/eDirAPI/sbin para obtener o suprimir certificados de CA, o ver una lista de ellos.

  3. Ejecute el siguiente comando mientras está conectado como usuario root o equivalente.

    ./get_cacert fetch <ip address/DNS:ldaps port>

    Por ejemplo:

    ./get_cacert fetch 10.10.10.10:636

  4. Para añadir manualmente el certificado de CA en la carpeta cert, desplácese a /etc/opt/novell/eDirAPI/cert, y copie y pegue el certificado de CA.

    <IP address/DNS_ldaps port.pem>

    Por ejemplo:

    10.10.10.10_636.pem

Generar el certificado del servidor

  1. Descargue y extraiga la compilación más reciente de OpenText Identity Console.

  2. Desplácese al directorio para obtener o suprimir certificados de CA, o ver una lista de ellos > /opt/novell/eDirAPI/sbin.

  3. Ejecute el siguiente comando mientras está conectado como usuario root o equivalente.

    ./get_servercert <eDirectory IP address with LDAPS port number> <eDirectory/Identity Vault username> <userpassword> <server certificate name> <server certificate password>

    Ejemplo:

    ./get_servercert 10.10.10.10:636 cn=admin,ou=org_unit,o=org password keys password

Instalación silenciosa

La instalación silenciosa permite instalar OpenText Identity Console sin ninguna entrada interactiva. Para utilizar este método, debe definir las opciones de instalación de OpenText Identity Console en el archivo silent_properties y, a continuación, ejecutar el proceso de instalación desde la línea de comandos. Después de modificar el archivo de propiedades, el sistema utiliza su información para completar la instalación de forma silenciosa.

Antes de iniciar la instalación silenciosa, asegúrese de que cumple todos los requisitos previos.

Para editar el archivo de propiedades silenciosas:

  1. Acceda al directorio IdentityConsole_<versión>_Linux en la ubicación en la que haya extraído la compilación de OpenText Identity Console.

  2. Abra el archivo silent_properties y modifíquelo en función de sus necesidades:

    • Si "auto fetch" se ha establecido en "Yes",

      1. introduzca los siguientes detalles en el archivo silent_properties:

        export AUTOGENERATE_CACERT="Yes" export AUTOGENERATE_SERVERCERT="Yes" export EDIR_HOST="" export IDC_IP="" export IDC_PORT="9000" export OSP_CLIENT_ID="identityconsole" export OSP_CLIENT_PASSWD="novell" export OSP_IP="" export OSP_MODE="No" export AUTO_FETCH="Yes" export SERVERCERT_NAME="cert" export SERVERCERT_PASSWORD="novell" export SERVERCERT_USERNAME="cn=admin,o=novell" export SERVERCERT_USER_PASSWORD="novell" export TREENAME="my_tree" export VAULT_IP="" export VAULT_USERNAME="cn=admin,o=novell" export VAULT_PASSWD="novell"

      2. Ejecute el siguiente comando para realizar la instalación en el modo silencioso:

        ./identityconsole_install -s silent_properties

    • Si "auto fetch" se ha establecido en "No",

      1. introduzca los siguientes detalles en el archivo silent_properties:

        export AUTOGENERATE_CACERT="No" export AUTOGENERATE_SERVERCERT="No" export EDIR_HOST="" export IDC_IP="" export IDC_PORT="9000" export OSP_CLIENT_ID="identityconsole" export OSP_CLIENT_PASSWD="novell" export OSP_IP="" export OSP_MODE="No" export AUTO_FETCH="No" export SERVERCERT_LOCATION="/etc/opt/novell/eDirAPI/cert/SSCert.pem" export SERVERCERT_NAME="cert" export SERVERCERT_PASSWORD="novell" export SERVERCERT_USERNAME="cn=admin,o=novell" export SERVERCERT_USER_PASSWORD="novell" export TREENAME="my_tree" export VAULT_IP="" export VAULT_USERNAME="cn=admin,o=novell" export VAULT_PASSWD="novell"

      2. Copie manualmente el certificado de CA en la carpeta /etc/opt/novell/eDirAPI/cert/.

      3. Ejecute el siguiente comando para crear el rpm:

        ./identityconsole_rpm_install

      4. Después de instalar rpm, ejecute el siguiente comando para ejecutar el instalador en el modo silencioso:

        ./identityconsoleConfigure -s silent_properties

Encontrará los registros relacionados con la instalación en: instalación de Identity Console > archivo identityconsole_install.log.

Varios árboles con una instancia independiente de OpenText Identity Console

Para conectar OpenText Identity Console con varios árboles de OpenText eDirectory cuando la obtención automática está inhabilitada, debe copiar los certificados de CA de todos los árboles de OpenText eDirectory en el directorio /etc/opt/novell/eDirAPI/cert/.

Copie los certificados de CA de la siguiente forma:

cp /home/user/<ip address1_ldap port.pem> /etc/opt/novell/eDirAPI/cert/<ip address1_ldap port.pem>

cp /home/user/<ip address2_ldap port.pem> /etc/opt/novell/eDirAPI/cert/<ip address2_ldap port.pem>

Para obtener el certificado de CA mediante la utilidad get_cacert, consulte la sección Generar certificado de CA.

Ejecute uno de los siguientes comandos para reiniciar OpenText Identity Console:

  • /usr/bin/identityconsole restart
  • systemctl restart netiq-identityconsole.service

Cuando la obtención automática está habilitada, los certificados de CA se copian automáticamente en la carpeta cert.

Sustitución del certificado del servidor en la instancia independiente de OpenText Identity Console

Realice los siguientes pasos para sustituir el certificado del servidor en una instancia independiente de OpenText Identity Console:

  1. Ejecute NLPCERT para almacenar las claves:

    su - nds -c "/opt/novell/eDirAPI/sbin/decryptor /Expiredcert/noexpire/new-keys.pfx novell /etc/opt/novell/eDirAPI/conf/ssl/private/cert.pem"

  2. Reinicie OpenText Identity Console:

    systemctl restart netiq-identityconsole.service

Detención, reinicio y estado de la instancia independiente de OpenText Identity Console

  • Para detener la instancia, ejecute uno de los siguientes comandos:

    /usr/bin/identityconsole stop

    O bien

    systemctl stop netiq-identityconsole.service

  • Para reiniciar la instancia, ejecute uno de los siguientes comandos:

    /usr/bin/identityconsole restart

    O bien

    systemctl restart netiq-identityconsole.service

  • Para comprobar el estado de la instancia, ejecute uno de los siguientes comandos:

    /usr/bin/identityconsole status

    O bien

    systemctl status netiq-identityconsole.service

  • Para iniciar la instancia, ejecute uno de los siguientes comandos:

    /usr/bin/identityconsole start

    O bien

    systemctl start netiq-identityconsole.service

2.1.2 Instalación de OpenText Identity Console Workstation en Windows

OpenText Identity Console se puede iniciar en Windows como estación de trabajo y requiere que se ejecuten los servicios REST. Por lo tanto, al iniciarse, se ejecuta un proceso eDirAPI en el símbolo del sistema de edirapi.exe. Si cierra el terminal de edirapi.exe, OpenText Identity Console ya no funcionará.

En el procedimiento siguiente, se describe cómo ejecutar OpenText Identity Console en Windows.

  1. Entre al portal Licencia y descarga de software y desplácese a la página Descargas de software.

  2. Seleccione lo siguiente:

    • Producto: OpenText eDirectory

    • Nombre del producto: OpenText eDirectory per User Sub SW E-LTU

    • Versión: 9.2, 9.3

  3. Descargue y extraiga IdentityConsole_<versión>_workstation_win_x86_64.zip.

  4. Acceda a la carpeta extraída e instale NICI_wx64.

  5. (Opcional) Abra el archivo edirapi_win.conf y modifique el número de puerto de escucha de OpenText Identity Console.

  6. (Condicional) Si ya dispone de los archivos keys.pfx y SSCert.pem que desea utilizar, cambie el nombre de archivo del certificado de CA por <direcciónIP_ldap>.pem(xx.xx.xx.xxx_636.pem) y, a continuación, copie los archivos manualmente en la carpeta cert ubicada en C:\IdentityConsole_<versión>_workstation_win_x86_64\eDirAPI\cert.

    A continuación, continúe con el paso 9.

  7. (Condicional) Si desea generar el certificado de CA, desplácese a la carpeta eDirAPI, ejecute el archivo binario get_cacert.exe fetch <direcciónIP_puerto.pem> en el símbolo del sistema, ubicado en C:\IdentityConsole_version_workstation_win_x86_64\eDirAPI\cert y especifique el nombre de dominio/dirección IP del servidor del repositorio seguro de identidades/OpenText eDirectory con el número de puerto LDAPS.

    Por ejemplo:

    get_cacert.exe fetch 10.10.10.125:636

    se genera el archivo 10.10.10.125_636.pem.

  8. (Condicional) Si desea generar el certificado del servidor, ejecute el archivo binario get_servercert.exe help mediante el símbolo del sistema, junto con los siguientes detalles:

    • Nombre de dominio o dirección IP del servidor del repositorio seguro de identidades/eDirectory con el número de puerto LDAPS

    • Nombre de usuario del repositorio seguro de identidades/eDirectory

    • Contraseña del repositorio seguro de identidades/eDirectory

    • Nombre del certificado del servidor.

    • Contraseña del certificado del servidor.

    Por ejemplo:

    get_servercert.exe 10.10.10.125:636 cn=admin,o=novell novell keys novell

    Se genera el archivo keys.pfx.

  9. Vaya a la carpeta extraída, haga doble clic en el archivo configure.bat e introduzca la contraseña (keys.pfx) del certificado del servidor en el símbolo del sistema.

    NOTA:Si se cambia el certificado del servidor, vuelva a ejecutar el archivo configure.bat con la contraseña del nuevo certificado.

  10. Desplácese a la carpeta extraída y haga doble clic en el archivo run.bat.

    El terminal de proceso eDirAPI (edirapi.exe) comienza a ejecutarse y aparece la página de entrada a la sesión de OpenText Identity Console.

NOTA:

  • Para las siguientes entradas a la aplicación OpenText Identity Console, haga doble clic en el archivo run.bat. Aparece la página de entrada.

    Si el terminal de proceso eDirAPI (edirapi.exe) ya se está ejecutando, inicie identityconsole.exe desde la carpeta de extracción de la compilación.

  • Los usuarios pueden encontrar los siguientes registros en: \IdentityConsole_<versión>_workstation_win_x86_64\eDirAPI\log

    edirapi.log: se utiliza para registrar diferentes eventos de edirapi y problemas de depuración.

    edirapi_audit.log: se utiliza para registrar eventos de auditoría de edirapi. Los registros siguen el formato de auditoría de CEF.

  • No se admite la entrada a la sesión basada en OSP en el modo de estación de trabajo.

  • Si el número de puerto ya está en uso, edite parámetro listen del archivo edirapi_win.conf con un nuevo número de puerto y haga doble clic en el archivo run.bat para entrar correctamente a OpenText Identity Console.

Utilidades para generar certificados

Tiene la opción de obtener certificados de CA y de servidor para otros árboles de OpenText eDirectory mediante las siguientes utilidades.

NOTA:Los guiones para el certificado de CA y de servidor están disponibles en la vía opt/novell/eDirAPI/sbin.

Generar certificado de CA

  1. Descargue y extraiga la compilación más reciente de OpenText Identity Console.

  2. Desplácese al directorio en el que ha extraído la compilación de OpenText Identity Console. Ejemplo: C:\IdentityConsole_<versión>_workstation_win_x86_64\eDirAPI

  3. Ejecute el siguiente archivo binario mediante el símbolo del sistema.

    get_cacert.exe fetch <ip address:port>

    Especifique la dirección IP y el número de puerto LDAPS de OpenText eDirectory.

    Ejemplo: get_cacert.exe fetch 10.10.10.125:636

    Se genera el archivo 10.10.10.125_636.pem y se copia en la carpeta cert.

Generar el certificado del servidor

  1. Desplácese a la carpeta en la que ha extraído la compilación de OpenText Identity Console.

    Ejemplo: IdentityConsole_<versión>_win

  2. Ejecute get_servercert.exe help para obtener más opciones de ayuda mediante el símbolo del sistema.

    • Nombre de dominio o dirección IP del servidor del repositorio seguro de identidades/eDirectory con el número de puerto LDAPS

    • Nombre de usuario del repositorio seguro de identidades/eDirectory

    • Contraseña del repositorio seguro de identidades/eDirectory

    • Nombre del certificado del servidor.

    • Contraseña del certificado del servidor.

      Para generar el certificado del servidor, ejecute el siguiente comando mediante el símbolo del sistema:

      Ejemplo:

      get_servercert.exe 10.10.10.125:636 cn=admin,o=novell novell keys novell

      Se genera el archivo keys.pfx y se copia en la carpeta cert.

Varios árboles con OpenText Identity Console como estación de trabajo

OpenText Identity Console permite al usuario conectarse a varios árboles mediante la introducción de la dirección IP en la página de entrada.

Cierre y reinicio de OpenText Identity Console Workstation

Para cerrar la aplicación y el proceso:

  1. Cierre la aplicación de escritorio para Windows de OpenText Identity Console.

  2. Detenga el proceso eDirAPI. Para ello, cierre el terminal de proceso eDirAPI.

Para reiniciar OpenText Identity Console Workstation, acceda a la carpeta en la que ha extraído la compilación y haga doble clic en el archivo run.bat (archivo por lotes de Windows).

NOTA:Si el terminal de proceso eDirAPI ya se está ejecutando, inicie identityconsole.exe desde la carpeta de extracción de la compilación para reiniciar OpenText Identity Console Workstation.

2.1.3 Instalación de OpenText Identity Console como contenedor de Docker

En esta sección, se incluyen los procedimientos siguientes:

Recomendaciones de seguridad

  • Los contenedores de Docker no presentan ninguna restricción de recursos por defecto. Esto brinda a todos los contenedores acceso a todos los recursos de CPU y memoria proporcionados por el kernel del host. También debe asegurarse de que un único contenedor en ejecución no consuma más recursos y prive de ellos a otros contenedores en ejecución. Para ello, establezca límites en cuanto a la cantidad de recursos que puede utilizar un contenedor.

    • El contenedor de Docker debe garantizar que se haya aplicado un límite rígido para la memoria utilizada por el contenedor mediante el uso del indicador --memory del comando de ejecución de Docker.

    • El contenedor de Docker debe garantizar que se haya aplicado un límite a la cantidad de CPU utilizada por un contenedor en ejecución mediante el uso del indicador --cpuset-cpus del comando de ejecución de Docker.

  • --pids-limit debería establecerse en 300 para restringir los subprocesos del kernel generados en el contenedor en cualquier momento específico. Esto impide los ataques de DoS.

  • Debe establecer la directiva de reinicio del contenedor en caso de error en 5 mediante el indicador --restart del comando de ejecución de Docker.

  • Solo debe utilizar el contenedor cuando el estado de actividad se muestre como Healthy (En buen estado) después de que aparezca el contenedor. Para comprobar el estado de actividad del contenedor, ejecute el comando siguiente:

    docker ps <container_name/ID>

  • El contenedor de Docker siempre se iniciará como un usuario no root (nds). Como medida de seguridad adicional, habilite la nueva asignación de espacio de nombres de usuario en el daemon para evitar ataques de derivación de privilegios desde el contenedor. Para obtener más información sobre la nueva asignación de espacio de nombres de usuario, consulte Isolate containers with a user namespace (Aislar contenedores con un espacio de nombres de usuario).

Instalación de OpenText Identity Console como contenedor de Docker

NOTA:OpenText Identity Console se puede configurar con o sin OSP. Si decide configurarlo con OSP, primero debe distribuir el contenedor de OSP y, a continuación, el contenedor de OpenText Identity Console. Asegúrese de modificar el archivo edirapi.conf para incluir los valores deseados para la distribución.

Para instalar OpenText Identity Console como contenedor de Docker:

Los parámetros de configuración, los valores de muestra y los ejemplos mencionados en este procedimiento se proporcionan solo como referencia. Debe asegurarse de no utilizarlos directamente en el entorno de producción.

  1. Entre al portal Licencia y descarga de software y desplácese a la página Descargas de software.

  2. Seleccione lo siguiente:

    • Producto: OpenText eDirectory

    • Nombre del producto: OpenText eDirectory per User Sub SW E-LTU

    • Versión: 9.2, 9.3

  3. Descargue el archivo IdentityConsole_<versión>_Container.tar.zip.

  4. La imagen debe cargarse en el registro local de Docker. Extraiga y cargue el archivo IdentityConsole_<versión>_Containers.tar.gz mediante los siguientes comandos:

    tar -xvf IdentityConsole_version_Containers.tar.gz              
    docker load --input identityconsole.tar.gz

  5. Cree el contenedor de Docker para OpenText Identity Console mediante el siguiente comando:

    docker create --name identityconsole-container-name --env ACCEPT_EULA=Y --network=network-type --volume volume-name:/config/ identityconsole:version

    Por ejemplo:

    docker create --name identityconsole-container-1 --env ACCEPT_EULA=Y --network=host --volume IDConsole-volume:/config/ identityconsole:version

    NOTA:

    • Puede aceptar el CLUF. Para ello, establezca la variable de entorno ACCEPT_EULA en Y. También puede aceptar el CLUF en las instrucciones en pantalla mientras inicia el contenedor utilizando la opción -it del comando create de Docker y acceder al modo interactivo.

    • El parámetro --volume del comando anterior creará un volumen para almacenar los datos de configuración y registro. En este caso, hemos creado un volumen de ejemplo denominado IDConsole-volume.

  6. Copie el archivo de certificado de servidor del sistema de archivos local en el contenedor como /etc/opt/novell/eDirAPI/cert/keys.pfx mediante el siguiente comando. Para obtener más información sobre cómo crear el certificado de servidor, consulte Requisitos previos:

    docker cp <absolute path of server certificate file> <identityconsole-container-name>:/etc/opt/novell/eDirAPI/cert/keys.pfx

    Por ejemplo:

    docker cp /home/user/keys.pfx identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/keys.pfx

    Al conectarse a varios árboles de OpenText eDirectory, debe asegurarse de obtener al menos un certificado de servidor keys.pfx para todos los árboles conectados.

  7. Copie el archivo de certificado de CA (.pem) del sistema de archivos local en el contenedor como /etc/opt/novell/eDirAPI/cert/SSCert.pem mediante el siguiente comando. Para obtener más información sobre cómo obtener el certificado de CA, consulte Requisitos previos:

    docker cp absolute path of CA certificate file identityconsole-container-name:/etc/opt/novell/eDirAPI/cert/SSCert.pem

    Por ejemplo:

    docker cp /home/user/SSCert.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert.pem

    Si el usuario necesita conectarse a varios árboles de OpenText eDirectory, consulte la sección: Varios árboles con OpenText Identity Console como Docker.

  8. En función de si desea configurar OpenText Identity Console con o sin OSP, modifique el archivo de configuración edirapi.conf según sea necesario. A continuación, utilice el siguiente comando para copiarlo del sistema de archivos local al contenedor en /etc/opt/novell/eDirAPI/conf/edirapi.conf:

    docker cp absolute path of configuration file identityconsole-container-name:/etc/opt/novell/eDirAPI/conf/edirapi.conf

    Por ejemplo:

    docker cp /home/user/edirapi.conf identityconsole-container-1:/etc/opt/novell/eDirAPI/conf/edirapi.conf

    A continuación, se muestra un archivo de configuración de ejemplo (OpenText Identity Console 1.9 y versiones posteriores):

    listen = ":9000" pfxpassword = "novell" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=false auto-fetch=false

    A continuación, se muestra un archivo de configuración de ejemplo (Identity Console 1.8 y versiones anteriores):

    listen = ":9000" pfxpassword = "novell" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=false edir-hosts = "<ip_address>:636"

    NOTA:Para acceder a OpenText eDirectory a través de OpenText Identity Console, es necesario añadir edir-hosts="x.x.x.x:puerto_ldaps en el archivo edirapi.conf.

    Ejemplo: edir-hosts="10.10.10.10:636"

    Si se establece auto-fetch=true, será necesario copiar inicialmente el certificado de CA en el contenedor, tal y como se describe en el paso 7. A continuación, el certificado de CA se obtiene automáticamente en las sesiones de entrada posteriores.

    A continuación, se muestra un archivo de configuración de ejemplo al configurar OpenText Identity Console con OSP:

    listen = ":9000" ldapserver = "10.71.39.15:636" ldapuser = "cn=admin,o=novell" ldappassword = "novell" pfxpassword = "novell" osp-token-endpoint = "https://<dirección_ip_osp>:8543/osp/a/idm/auth/oauth2/getattributes" osp-authorize-url = "https://<dirección_ip_osp>:8543/osp/a/idm/auth/oauth2/grant" osp-logout-url = "https://<dirección_ip_osp>:8543/osp/a/idm/auth/app/logout" osp-redirect-url = "https://<dirección_ip de_identity_console>:9000/eDirAPI/v1/t/authcoderedirect" osp-client-id = "identityconsole" ospclientpass = "novell" ospcert = "/etc/opt/novell/eDirAPI/cert/SSCert.pem" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=true check-origin =true origin = "https://<dirección_ip de_identity_console>:9000"

  9. Inicie el contenedor de Docker mediante el siguiente comando:

    docker start identityconsole-container-name

    Por ejemplo:

    docker start identityconsole-container-1

NOTA:Puede encontrar los siguientes archivos de registro en el directorio /var/lib/docker/volumes/<nombre_volumen>/_data/eDirAPI/var/log:

  • edirapi.log: se utiliza para registrar diferentes eventos de edirapi y problemas de depuración.

  • edirapi_audit.log: se utiliza para registrar eventos de auditoría de edirapi. Los registros siguen el formato de auditoría de CEF.

  • container-startup.log: se utiliza para capturar registros de instalación del contenedor de Docker para OpenText Identity Console.

Varios árboles con OpenText Identity Console como Docker

Para conectar OpenText Identity Console 1.9 con varios árboles de OpenText eDirectory cuando la obtención automática está inhabilitada, debe copiar los certificados de CA de todos los árboles de OpenText eDirectory en el directorio /etc/opt/novell/eDirAPI/cert/.

OpenText Identity Console 1.8 permite al usuario conectarse a varios árboles mediante la obtención de un certificado de CA individual del árbol.

Por ejemplo, si se conecta a tres árboles de OpenText eDirectory, debe copiar los tres certificados de CA en el contenedor de Docker:

docker cp /home/user/SSCert1.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert1.pem
docker cp /home/user/SSCert2.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert2.pem
docker cp /home/user/SSCert3.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert3.pem

Ejecute los siguientes comandos para reiniciar OpenText Identity Console:

docker restart <identityconsole-container-name>

Ejemplo:

docker restart identityconsole-container-1

Distribución del contenedor OSP

Lleve a cabo los pasos siguientes para distribuir el contenedor OSP:

  1. Entre al portal Licencia y descarga de software y desplácese a la página Descargas de software.

  2. Seleccione lo siguiente:

    • Producto: OpenText eDirectory

    • Nombre del producto: OpenText eDirectory per User Sub SW E-LTU

    • Versión: 9.2

    • OpenText Identity Console Standalone

  3. Descargue y extraiga el archivo IdentityConsole_<version>_Containers_tar.zip.

  4. Para instalar OpenText Identity Console en el contenedor OSP, se requiere un almacén de claves (tomcat.ks).

    Lleve a cabo los pasos siguientes para generar el almacén de claves:

    1. Cree una carpeta certs en el directorio /opt/.

    2. Ejecute el siguiente comando para crear un almacén de claves (tomcat.ks):

      keytool -genkey -alias osp -keyalg RSA -storetype pkcs12 -keystore /opt/certs/tomcat.ks -validity 3650 -keysize 2048 -dname "CN=blr-osp48-demo.labs.blr.novell.com" -keypass novell -storepass novell

      NOTA:Asegúrese de que a la dirección IP del equipo se le asigna un nombre CN o un nombre de host completo. Por ejemplo: CN=xx.xx.xx.xx

    3. Ejecute el siguiente comando para crear una petición de firma de certificado. Por ejemplo: cert.csr.

      keytool -certreq -v -alias osp -file /opt/certs/cert.csr -keypass novell -keystore /opt/certs/tomcat.ks -storepass novell

    4. Transfiera el archivo cert.csr creado a Identity Console y obtenga el archivo cert.der como se ha explicado:

      1. Lance OpenText Identity Console como administrador.

      2. Haga clic en Gestión de certificados > Emitir certificado y seleccione el archivo.

      3. Vaya a Especificaciones de uso clave > Tipo de clave > seleccione el botón de opción Personalizado.

      4. Haga clic en Uso de clave y marque las siguientes casillas:

        • Cifrado de datos

        • Cifrado de claves

        • Firma digital

      5. Haga clic en Parámetros del certificado > haga clic en Nombres alternativos del sujeto > dirección IP o nombre DNS del servidor OSP > Siguiente > Aceptar.

        Aparece el mensaje El certificado se ha generado correctamente.

      6. Haga clic en Aceptar.

      7. Descargue el certificado emitido cert.der y cópielo en /opt/certs/.

    5. Copie el archivo SSCert.der de OpenText eDirectory en /opt/certs.

    6. Ejecute los siguientes comandos para importar el certificado de CA (SSCert.der) y el certificado de servidor (cert.der) en el almacén de claves tomcat.ks.

      keytool -import -trustcacerts -alias root -keystore /opt/certs/tomcat.ks -file /opt/certs/SSCert.der -storepass novell -noprompt
      keytool -import -alias osp -keystore /opt/certs/tomcat.ks -file /opt/certs/cert.der -storepass novell -noprompt

  5. Cree una nueva carpeta como /data.

  6. Copie el archivo tomcat.ks de /opt/certs y péguelo en la carpeta data.

  7. Desde la compilación del contenedor de OpenText Identity Console que se ha extraído, copie los archivos osp-edirapi-silent.properties en la carpeta data.

  8. Modifique el archivo de propiedades osp edirapi silent según sus necesidades. A continuación, se muestra un ejemplo de archivo de propiedades silencioso:

    # Silent file for osp with edirapi
## Static contents Do not edit - starts 
INSTALL_OSP=true
DOCKER_CONTAINER=y
EDIRAPI_PROMPT_NEEDED=y
UA_PROMPT_NEEDED=n
SSPR_PROMPT_NEEDED=n
RPT_PROMPT_NEEDED=n
CUSTOM_OSP_CERTIFICATE=y
## Static contents Do not edit - ends

# OSP Details
SSO_SERVER_HOST=osp.example.com (osp confiugred serevr IP address)
SSO_SERVER_SSL_PORT=8543
OSP_COMM_TOMCAT_KEYSTORE_FILE=/config/tomcat.ks
OSP_COMM_TOMCAT_KEYSTORE_PWD=novell
SSO_SERVICE_PWD=novell
OSP_KEYSTORE_PWD=novell
IDM_KEYSTORE_PWD=novell
OSP_CUSTOM_NAME="Identity Console"
USER_CONTAINER="o=novell"
ADMIN_CONTAINER="o=novell"
MASTER_KEYSTORE_PWD=novell

# IDConsole Details 
IDCONSOLE_HOST=192.168.1.1 (IdentityConsole confiugred serevr IP address)
IDCONSOLE_PORT=9000
EDIRAPI_TREENAME=ed913 (Tree name should be in lowercase)

#If ENABLE_CUSTOM_CONTAINER_CREATION is set to y
#ie., when you have user and admin container different from o=data
#    and they need to be created in eDir
#then CUSTOM_CONTAINER_LDIF_PATH should be entered as well
ENABLE_CUSTOM_CONTAINER_CREATION=n
#ENABLE_CUSTOM_CONTAINER_CREATION=y
#CUSTOM_CONTAINER_LDIF_PATH=/config/custom-osp.ldif

# eDir Details
ID_VAULT_HOST=192.168.1.1 (eDir/ID_Vault confiugred serevr IP address)
ID_VAULT_LDAPS_PORT=636
ID_VAULT_ADMIN_LDAP="cn=admin,o=novell"
ID_VAULT_PASSWORD=novell

    NOTA:Para evitar restricciones de espacio mientras utiliza el archivo de propiedades silenciosas (texto DOS), debe convertir el archivo de texto DOS al formato UNIX mediante la herramienta dos2unix. Ejecute el siguiente comando para convertir un archivo de texto de finales de línea DOS a finales de línea Unix:

    dos2unix nombre_archivo

    Por ejemplo:

    dos2unix archivo_ejemplo

  9. Ejecute el siguiente comando para cargar la imagen de OSP:

    docker load --input osp.tar.gz

  10. Distribuya el contenedor mediante el siguiente comando:

    docker run -d --name OSP_Container --network=host -e SILENT_INSTALL_FILE=/config/osp-edirapi-silent.properties -v /data:/config osp:<version>

    Por ejemplo:

    docker run -d --name OSP_Container --network=host -e SILENT_INSTALL_FILE=/config/osp-edirapi-silent.properties -v /data:/config osp:6.6.6

    NOTA:Después de distribuir el contenedor de OSP, instale y configure OpenText Identity Console con la información del servidor OSP.

Cómo detener y reiniciar OpenText Identity Console como contenedor de Docker

Para detenerlo, ejecute el siguiente comando:

docker stop identityconsole-container-name

Para reiniciarlo, ejecute el siguiente comando:

docker restart identityconsole-container-name

Para iniciarlo, ejecute el siguiente comando:

docker start identityconsole-container-name

Gestión de la persistencia de datos

Junto con los contenedores de OpenText Identity Console, también se crean volúmenes para la persistencia de datos. Para utilizar los parámetros de configuración de un contenedor anterior mediante los volúmenes, realice los siguientes pasos:

  1. Detenga el contenedor de Docker actual mediante el siguiente comando:

    docker stop identityconsole-container-name

    Ejemplo:

    docker stop identityconsole-container-1

  2. Cree el segundo contenedor mediante los datos de la aplicación del contenedor anterior almacenado en el volumen de Docker (IDConsole-volume-1).

    docker create --name identityconsole-container-name --network=host --volume IDConsole-volume-1:/config/ identityconsole:< version >

    Ejemplo:

    docker create --name identityconsole-container-2 --network=host --volume IDConsole-volume-1:/config/ identityconsole:<version>

  3. Inicie el segundo contenedor mediante el siguiente comando:

    docker start identityconsole-container-name

    Ejemplo:

    docker start identityconsole-container-2

  4. (Opcional) El primer contenedor se puede eliminar mediante el siguiente comando:

    docker rm identityconsole-container-name

    Ejemplo:

    docker rm identityconsole-container-1

Sustitución del certificado del servidor en el contenedor de Docker

Lleve a cabo los pasos siguientes para reemplazar el certificado del servidor en el contenedor de Docker:

  1. Ejecute el siguiente comando para copiar el nuevo certificado de servidor en cualquier ubicación del contenedor.

    Ejemplo:

    docker cp /path/to/new-keys.pfx <container_id/name>:/tmp/new-keys.pfx

  2. Entre al contenedor mediante el siguiente comando:

    docker exec -it container_name bash

  3. Ejecute NLPCERT para almacenar las claves como pseudousuario:

    LD_LIBRARY_PATH=/opt/novell/lib64/:/opt/novell/eDirectory/lib64/:/opt/netiq/common/openssl/lib64/ /opt/novell/eDirAPI/sbin/nlpcert -i /tmp/new-keys.pfx -o /etc/opt/novell/eDirAPI/conf/ssl/private/cert.pem

  4. Salga de la consola del contenedor mediante el siguiente comando:

    exit

  5. Reinicie el contenedor. Para ello, introduzca:

    docker restart container name

2.1.4 Instalación de OpenText Identity Console en Azure Kubernetes Service

Azure Kubernetes Service (AKS) es un servicio administrado de Kubernetes que le permite instalar y gestionar clústeres. En esta sección, se incluyen los procedimientos siguientes:

Instalación de OpenText Identity Console en un clúster de AKS

En esta sección, se describen los siguientes procedimientos para instalar OpenText Identity Console en un clúster de AKS:

Creación de un registro de contenedor de Azure (ACR)

Un registro de contenedor de Azure (ACR) es un registro privado basado en Azure para las imágenes del contenedor de Docker.

Para obtener más información, consulte Create an Azure container registry using the Azure portal (Crear un registro de contenedor de Azure mediante el portal de Azure) en la sección "Create container registry - Portal" (Crear registro de contenedor - Portal) o realice los siguientes pasos para crear un registro de contenedor de Azure (ACR):

  1. Inicie sesión en el portal de Azure.

  2. Vaya a Crear un recurso > Contenedores > Registro de contenedor.

  3. En la pestaña Básico, especifique los valores de Grupo de recursos y Nombre del registro. El nombre del registro debe ser exclusivo en Azure y contener un mínimo de 5 caracteres alfanuméricos y un máximo de 50.

    Acepte los valores por defecto para los ajustes restantes.

  4. Haga clic en Revisar y crear.

  5. Haga clic en Crear.

  6. Entre en la CLI de Azure y ejecute el comando siguiente para entrar en el registro de contenedor de Azure..

    az acr login --name registryname

    Ejemplo:

    az acr login --name < idconsole >

  7. Recupere el servidor de entrada a la sesión del registro de contenedor de Azure mediante el siguiente comando:

    az acr show --name registryname --query loginServer --output table

    Ejemplo:

    az acr show --name < idconsole > --query loginServer --output table

  8. Etiquete la imagen local de OpenText Identity Console con el nombre del servidor de entrada a la sesión de ACR (registryname.azureacr.io) mediante el siguiente comando:

    docker tag idconsole-image <login server>/idconsole-image

    Ejemplo:

    docker tag identityconsole:<version> registryname.azurecr.io/identityconsole:<version>

  9. Envíe la imagen etiquetada al registro.

    docker push <login server>/idconsole: <version>

    Ejemplo:

    docker push registryname.azurecr.io/identityconsole:<version>

  10. Recupere la lista de imágenes del registro mediante el siguiente comando:

    az acr show --name registryname --query loginServer --output table

Configuración de un clúster de Kubernetes

Cree un recurso de servicio de Kubernetes mediante el portal o la CLI de Azure.

Para obtener pasos más detallados para la creación de un recurso de servicio de Kubernetes en Azure con un nodo, consulte Create an AKS Cluster (Crear un clúster de AKS) en Azure Quickstart.

NOTA:

  • Asegúrese de seleccionar Azure CNI como red.

  • Seleccione la red virtual existente (en la que se ha instalado el servidor de OpenText eDirectory en la subred).

  • Seleccione el registro de contenedor existente en el que está disponible la imagen de OpenText Identity Console.

Creación de una dirección IP pública de SKU estándar

Un recurso de dirección IP pública en el grupo de recursos del clúster de Kubernetes actúa como IP del equilibrador de carga para la aplicación.

Para ver los pasos detallados, consulte la sección Create a public IP address using the Azure portal (Crear una dirección IP pública mediante el portal de Azure) en "Create public IP address – Portal" (Crear dirección IP pública - Portal).

Configuración de Cloud Shell y conexión al clúster de Kubernetes

Utilice Cloud Shell, disponible en el portal de Azure, para todas las operaciones.

Para iniciar Cloud Shell en el portal de Azure, consulte Start Cloud Shell (Iniciar Cloud Shell) en Bash – Quickstart o lleve a cabo los siguientes pasos para configurar Cloud Shell y conectarse al clúster de Kubernetes:

  1. En el portal de Azure, haga clic en el botón para abrir Cloud Shell.

    NOTA:Para gestionar un clúster de Kubernetes, utilice el cliente de línea de comandos de Kubernetes, kubectl. Si se utiliza Azure Cloud Shell, kubectl ya estará instalado.

  2. Configure kubectl para conectarse al clúster de Kubernetes mediante el siguiente comando:

    az aks get-credentials --resource-group "resource group name" --name "Kubernetes cluster name"

    Ejemplo:

    az aks get-credentials --resource-group myResourceGroup --name myAKSCluster

  3. Compruebe la lista de nodos del clúster mediante el siguiente comando:

    kubectl get nodes

Distribución de la aplicación

Para distribuir OpenText Identity Console, puede utilizar los archivos de ejemplo idc-services.yaml, idc-statefulset.yaml, idc-storageclass.yaml e idc-pvc.yaml.

También puede crear sus propios archivos yaml según sea necesario.

  1. Cree un recurso de clase de almacenamiento mediante el comando siguiente:

    kubectl apply -f <location of the YAML file>

    Ejemplo:

    kubectl apply -f idc-storageclass.yaml

    (Opcional) Para obtener más información sobre cómo crear y utilizar dinámicamente un volumen persistente con un recurso compartido de archivos de Azure, consulte Dynamically create and use a persistent volume with Azure Files in Azure Kubernetes Service (AKS) (Crear y utilizar dinámicamente un volumen persistente con archivos de Azure en Azure Kubernetes Service).

    A continuación, se muestra un archivo de recursos de clase de almacenamiento de ejemplo:

    kind: StorageClass
apiVersion: storage.k8s.io/v1
metadata:
  name: azurefilesc
provisioner: kubernetes.io/azure-file
mountOptions:
  - dir_mode=0777
  - file_mode=0777
  - uid=0
  - gid=0
  - mfsymlinks
  - cache=strict
  - actimeo=30
parameters:
  skuName: Standard_LRS
  shareName: fileshare
~

    Un recurso de clase de almacenamiento permite el aprovisionamiento dinámico de almacenamiento. Se utiliza para definir cómo se crea un recurso compartido de archivo de Azure.

  2. Consulte la información de la clase de almacenamiento mediante el comando siguiente:

    kubectl get sc

  3. Cree un recurso de PVC mediante el archivo idc-pvc.yaml:

    kubectl apply -f <location of the YAML file>

    Ejemplo:

    kubectl apply -f idc.pvc.yaml

    A continuación, se muestra un archivo de recursos de PVC de ejemplo:

    apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: pvcforsc
spec:
  accessModes:
    - ReadWriteMany
  storageClassName: azurefilesc
  resources:
    requests:
      storage: 5Gi

    Un recurso de reclamación de volumen persistente crea el recurso compartido de archivo. Una reclamación de volumen persistente (PVC) utiliza el objeto de clase de almacenamiento para aprovisionar dinámicamente un recurso compartido de archivo de Azure.

  4. Cargue el archivo edirapi.conf, el certificado de CA y el certificado del servidor en Cloud Shell.

    Haga clic en el icono del botón para cargar/descargar archivos en Cloud Shell y cargue los archivos edirapi.conf, SSCert.pem y keys.pfx.

    NOTA:edirapi.conf presenta un parámetro "origin" (origen). Aquí es necesario proporcionar la dirección IP con la que se accederá a la aplicación OpenText Identity Console. (Utilice la dirección IP creada en la sección Creación de una dirección IP pública de SKU estándar).

    La distribución de OpenText Identity Console requiere el certificado del servidor (keys.pfx).

    Al crear el certificado de servidor, asegúrese de proporcionar un nombre DNS válido en el nombre alternativo del sujeto.

    Pasos para crear un nombre DNS válido:

    Un pod típico distribuido mediante StatefulSet presenta un nombre DNS como el siguiente: {statefulsetname}-{ordinal}.{servicename}.{namespace}.svc.cluster.local

    • Si el nombre de StatefulSet del archivo "idconsole-statefulset.yaml" es "idconsole-app", "statefulsetname" es igual a "idconsole-app".

    • Si es el primer pod, "ordinal" es igual a 0.

    • Si se define serviceName en el archivo "idconsole -statefulset.yaml" como "idconsole", serviceName es igual a "idconsole".

    • Si es el espacio de nombres por defecto, "namespace" es igual a "default".

    Salida: idconsole-app-0.idcosole.default.svc.cluster.local

  5. Cree un recurso configmap en el clúster de Kubernetes que almacenará los archivos de configuración junto con los certificados.

    Antes de ejecutar el comando, asegúrese de que los archivos (edirapi.conf, SSCert.pem y keys.pfx) estén presentes en el directorio.

    kubectl create configmap <confgimapName> --from-file= "path where the files are present"

    Ejemplo:

    kubectl create configmap config-data --from-file=/data

  6. Vea los detalles del objeto configmap mediante el comando kubectl describe:

    kubectl describe configmap <configmapName>

    Ejemplo:

    kubectl describe configmap confg-data

  7. Cree un recurso StatefulSet para distribuir el contenedor.

    Ejecute el siguiente comando para distribuir el contenedor:

    kubectl apply -f <location of the YAML file>

    Ejemplo:

    kubectl apply -f idc-statefulset.yaml

    A continuación, se muestra un archivo de recursos StatefulSet de ejemplo:

    apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: idconsole-app
spec:
  serviceName: idconsole
  selector:
    matchLabels:
      app: idconsole
  replicas: 1
  template:
    metadata:
      labels:
        app: idconsole
    spec:
      containers:
      - name: idconsole-container
        image: registryname.azurecr.io/identityconsole:<version>
        env:
        - name: ACCEPT_EULA
          value: "Y"
        ports:
        - containerPort: 9000
        volumeMounts:
          - name: configfiles
            mountPath: /config/data
          - name: datapersistenceandlog
            mountPath: /config
            subPath: log
      volumes:
        - name: configfiles
          configMap:
            name: config-data
        - name: datapersistenceandlog
          persistentVolumeClaim:
            claimName: pvcforsc

  8. Ejecute el siguiente comando para verificar el estado del pod distribuido:

    kubectl get pods -o wide

  9. Cree un recurso de servicio de tipo loadBalancer.

    El tipo de servicio especificado en el archivo yaml es loadBalancer.

    Cree un recurso de servicio mediante el siguiente comando:

    kubectl apply -f <location of the YAML file>

    Ejemplo:

    kubectl apply -f ids-service.yaml

    A continuación, se muestra un archivo de recursos de servicio de ejemplo:

    apiVersion: v1
kind: Service
metadata:
  name: idconsole-service
  labels:
    run: idconsole-service
spec:
  type: LoadBalancer
  loadBalancerIP: xx.xx.xx.xx
  selector:
    app: idconsole
  ports:
   - port: 9000
     targetPort: 9000
     protocol: TCP

    Compruebe la dirección EXTERNAL-IP (o loadBalancerIP) mediante el siguiente comando:

    kubectl get svc -o wide

  10. Inicie la dirección URL mediante EXTERNAL-IP (o la dirección de loadBalancerIP).

    Ejemplo:

    https://<EXTERNAL-IP>:9000/identityconsole