Conditions préalables

La configuration de GSSAPI implique d'effectuer préalablement les opérations suivantes :


Hypothèses concernant les caractéristiques réseau

Le mécanisme SASL-GSSAPI se base sur les hypothèses suivantes :


Installation du plug-in Kerberos pour iManager.

  1. Ouvrez le navigateur.

  2. Saisissez l'URL suivante dans le champ Adresse de la fenêtre du navigateur :

    http://nom_hôte/nps/iManager.html

    où nom_hôte est le nom ou l'adresse IP du serveur iManager sur lequel installer le plug-in iManager pour SASL-GSSAPI.

    NOTE:  en cas de problèmes, vérifiez que les serveurs Web et Tomcat sont configurés correctement. Pour plus d'informations, consultez le manuel iManager 2.5 Administration Guide (Guide d'administration de iManager 2.5).

  3. Indiquez un nom d'utilisateur et un mot de passe pour vous loguer à eDirectory, puis cliquez sur Login.

  4. Cliquez sur le bouton Configurer Configurer dans la barre d'outils de iManager.

  5. Dans le volet gauche, cliquez sur Configuration du module > Installer le progiciel du module.

  6. Indiquez l'emplacement du fichier kerberosPlugin.npm ou cliquez sur Parcourir pour le sélectionner.

    L'ensemble des plug-ins se trouve à l'emplacement suivant :

    dossier_extrait/<plate-forme(Linux, Solaris)>/nmas/NmasMethods/Novell/GSSAPI/plugins/, où dossier_extrait est le répertoire où vous avez extrait le fichier edir88.zip. Si vous avez déplacé le fichier kerberosPlugin.npm, accédez à son nouvel emplacement et sélectionnez le fichier.

  7. Cliquez sur Installer.

    Cette installation prendra quelques minutes.

    NOTE:  il se peut que le message d'erreur « Unexpected end of part » (Fin de partie inattendue) s'affiche pendant l'installation du progiciel du module si vous exécutez iManager sur un serveur Web IIS Windows avec Tomcat. Cela est dû à un problème connu lié au téléchargement de fichiers via le redirecteur Tomcat pour IIS. Pour effectuer correctement l'installation d'un progiciel de module, connectez-vous à iManager directement via Tomcat (par exemple, via le port 8080).

    Par exemple, http://nom_hôte:8080/nps/iManager.html

    Pour plus d'informations, consultez le manuel iManager 2.5 Administration Guide (Guide d'administration de iManager 2.5).

  8. Redémarrez le serveur iManager après avoir reçu un message indiquant la réussite de l'enregistrement du module.

    Si vous exécutez iManager en mode Accès illimité (aucune collection RBS dans l'arborescence), ignorez les étapes 9 à 15.

    NOTE:  pour plus d'informations sur le redémarrage du serveur iManager, consultez le manuel iManager 2.5 Administration Guide (Guide d'administration de iManager 2.5).

  9. Loguez-vous à iManager, puis cliquez sur le bouton Configurer Configurer.

  10. Dans le volet gauche, cliquez sur Configuration RBS > Configurer iManager.

  11. (Conditionnel) Si vous avez déjà créé une collection RBS, sélectionnez Mettre à niveau des collections, puis cliquez sur Suivant > Suivant.

  12. (Conditionnel) Si vous n'avez pas de collection RBS, procédez comme suit :

    1. Sélectionnez Créer une nouvelle collection, puis cliquez sur Suivant.

    2. Sélectionnez le conteneur dans lequel vous souhaitez créer les services basés sur le rôle, puis cliquez sur Suivant.

  13. Sélectionnez le plug-in Kerberos Novell, assignez une étendue (nom d'arborescence ou n'importe quel conteneur), puis cliquez sur Démarrer pour terminer l'installation du plug-in iManager pour la configuration Kerberos.

    NOTE:  cette opération conférera des droits Superviseur à l'étendue sélectionnée pour le rôle Kerberos Management (Gestion Kerberos).

  14. Lorsque le message Terminé s'affiche, cliquez sur Fermer.

  15. Rafraîchissez la page.

    Le rôle Kerberos Management s'affiche dans le volet gauche.

    Si ce n'est pas le cas, redémarrez le serveur iManager comme indiqué à l'étape 8 ci-dessus.

    NOTE:  si le serveur iManager est exécuté sur les services Web Windows (IIS), une collection RBS doit être créée avant d'installer le plug-in iManager pour Kerberos NMAS.


Ajout d'extensions LDAP Kerberos

Les extensions LDAP Kerberos permettent de gérer les clés Kerberos.

L'utilisation des extensions LDAP Kerberos nécessite l'installation de LDAP libraries for C. Pour plus d'informations, consultez le site Web LDAP Libraries for C.

Pour ajouter ou supprimer des extensions LDAP Kerberos, employez l'utilitaire krbldapconfig disponible aux emplacements suivants :

Pour ajouter les extensions LDAP Kerberos, utilisez la syntaxe suivante :

krbldapconfig {-i | -u} -D DN_liaison [-w mot_de_passe_DN_liaison] [-h hôte_ldap] [-p port_ldap] [-e certificat_racine_approuvée]

Le tableau suivant décrit les paramètres de l'utilitaire krbldapconfig :

Paramètre Description

-i

Ajoute les extensions LDAP Kerberos à eDirectory.

-u

Supprime les extensions LDAP Kerberos de eDirectory.

-D FDN_liaison

Indique le FDN de l'administrateur ou de l'utilisateur disposant de droits équivalents.

Il doit avoir le format suivant cn=admin,o=org.

-w mot_de_passe_FDN_liaison

Indique le mot de passe du FDN de liaison (FDN_liaison).

-h serveur_ldap

Indique le nom d'hôte ou l'adresse IP du serveur LDAP où doivent être installées les extensions LDAP Kerberos.

-p port

Indique le port sur lequel est exécuté le serveur LDAP.

-e fichier_racine_approuvée

Indique le nom du fichier de certificat de racine approuvée pour la liaison SSL.

Si vous utilisez un port SSL, spécifiez l'option -e.

Pour plus d'informations, reportez-vous à la section Exportation du certificat de racine approuvée.

NOTE:  si l'option -h n'est pas spécifiée, le nom de l'hôte local à partir duquel le fichier krbldapconfig est appelé est utilisé par défaut.

Si aucun port de serveur LDAP ni certificat de racine approuvée ne sont spécifiés, le port 389 est utilisé par défaut.

Si aucun port de serveur LDAP n'est spécifié, mais qu'un certificat de racine approuvée est indiqué, le port 636 est utilisé par défaut.

Par exemple, entrez la commande suivante pour ajouter les extensions :

krbldapconfig -i -D cn=admin,o=org -w mot_de_passe -h serveur_ldap -p 389

Entrez la commande suivante pour supprimer des extensions :

krbldapconfig -u -D cn=admin,o=org -w mot_de_passe -h serveur_ldap -p 389

IMPORTANT:  le serveur LDAP doit être actualisé manuellement pour que les modifications apportées à l'installation soient prises en compte. Pour plus d'informations, reportez-vous à la section Rafraîchissement du serveur LDAP.


Exportation du certificat de racine approuvée

  1. Dans iManager, cliquez sur Administration de eDirectory > Modifier un objet pour ouvrir la page correspondante.

  2. Cliquez sur Objet unique, puis sélectionnez l'objet Certificat de serveur du serveur.

  3. Cliquez sur OK.

  4. Cliquez sur l'onglet Certificats, puis sélectionnez Certificat de racine approuvée pour afficher les informations relatives au certificat.

  5. Cliquez sur Exporter pour lancer l'Assistant d'exportation du certificat.

  6. Indiquez si vous souhaitez ou non exporter la clé privée, puis cliquez sur Suivant.

  7. Sélectionnez Fichier au format DER binaire, puis cliquez sur Suivant.

  8. Cliquez sur Enregistrer le certificat exporté dans un fichier.

  9. Cliquez sur Fermer.