14.14 Contrôle de l'autorisation par proxy

OpenText eDirectory offre la flexibilité de contrôler l'autorisation par proxy par le biais du protocole LDAP comme spécifié dans le fichier RFC 4370. Le contrôle de l'autorisation par proxy permet à un client de demander qu'une opération soit traitée avec une identité d'autorisation fournie au lieu de l'identité d'autorisation actuelle associée à la connexion. Cette fonction propose un mécanisme permettant de spécifier une identité d'autorisation pour chaque opération, ce qui est utile pour les clients qui doivent effectuer plusieurs opérations pour le compte de plusieurs utilisateurs.

Pour s'authentifier auprès du serveur OpenText eDirectory, un administrateur doit fournir le contrôle d'autorisation par proxy OID 2.16.840.1.113730.3.4.18 dans la requête cliente. Pour utiliser le contrôle d'autorisation par proxy, l'utilisateur authentifié doit disposer de droits Superviseur sur l'utilisateur représenté.

  1. Créez une arborescence OpenText eDirectory et ajoutez-lui des objets Utilisateur.

  2. Sur la page d'accueil d'OpenText Identity Console, cliquez sur la vignette Gestion des droits.

  3. Cliquez sur Ayants droit.

  4. Cliquez sur Rechercher un objet et sélectionnez l'utilisateur dans la liste.

  5. Dans l'écran Parcoureur de contexte, sélectionnez l'utilisateur souhaité, puis cliquez sur OK.

  6. Cliquez sur Droits assignés, sélectionnez les droits assignés pour l'utilisateur sélectionné. Exemple : lecture, écriture ou imbriqué.

  7. Cliquez sur Terminé, puis sur Appliquer.

Pour effectuer l'autorisation par proxy pour ldapsearch, utilisez la commande suivante :

ldapsearch -x -H ldap://[ldap host ip]:[ldap-port] -D <Admin DN> -w <Password> -e '!authzid=dn:<Impersonate user> -b o=novell -s one

Pour effectuer d'autres opérations LDAP à l'aide du contrôle d'autorisation par proxy, indiquez l'OID 2.16.840.1.113730.3.4.18 dans la requête LDAP.

Audit des opérations d'autorisation par proxy

Pour auditer les opérations d'autorisation par proxy, OpenText eDirectory propose un nouvel événement appelé DSE_IMPERSONATE.