11.2 Réplication codée

OpenText eDirectory vous permet de chiffrer les données transmises entre des serveurs OpenText eDirectory. Cette option offre ainsi un niveau de sécurité élevé pendant la réplication puisque les données ne circulent pas en texte clair.

REMARQUE :Nous avons supprimé la prise en charge de la réplication chiffrée dans la version 9.2.7 d'OpenText eDirectory.

Figure 11-3 Réplication codée

Sur la Figure 11-3, « finance » et « library » sont les partitions de l'arborescence. Il se peut que « finance » contienne des données sensibles à chiffrer lors de la réplication. Vous pouvez dès lors activer la partition « finance » pour la réplication codée. Il est, par contre, inutile d'activer la réplication codée de partitions telles que « library », car elles ne contiennent pas nécessairement de données sensibles.

IMPORTANT :activer la réplication codée pour une partition peut ralentir le processus de réplication. Vous pouvez activer ou désactiver la réplication chiffrée à l'aide d'OpenText Identity Console.

Cette section contient les informations suivantes :

11.2.1 Avantage de la réplication codée

Avant OpenText eDirectory 8.8, les données étaient transmises sur le réseau pendant la réplication en texte clair. Il convenait alors de protéger les données confidentielles sur le réseau en les codant, surtout si les répliques étaient séparées géographiquement et connectées via Internet.

Cette fonction peut être utilisée dans les scénarios suivants :

Si les serveurs d'annuaire sont répartis sur différents sites géographiques via WAN et Internet et qu'il est nécessaire de coder les données sensibles sur le réseau.
Si vous ne souhaitez protéger que certaines partitions de votre arborescence, vous pouvez sélectionner les partitions contenant les données sensibles à coder pour la réplication.
Si vous avez besoin d'une réplication codée entre certaines répliques d'une partition qui contiennent des données sensibles.
Si vous pensez que le réseau de votre installation est hostile, vous pouvez protéger les données sensibles pendant la réplication.

11.2.2 Activation de la réplication codée

Pour activer la réplication codée, vous devez lui configurer une partition. Les paramètres de configuration sont stockés dans l'objet Racine de la partition.

Vous pouvez choisir d'activer la réplication codée au niveau de la partition ou de la réplique.

Les configurations au niveau de la réplique priment sur celles au niveau de la partition. Cela signifie que si la réplication codée est :

activée au niveau de la partition et désactivée pour des répliques spécifiques, la réplication entre les répliques spécifiques s'effectue en texte clair ;
désactivée au niveau de la partition et activée pour des répliques spécifiques, la réplication entre les répliques spécifiques s'effectue sous forme codée ;

Tableau 11-1 Remplacement de la configuration de la réplication codée au niveau de la partition

Niveau de la partition	Niveau de la réplique	Réplication
Activé	Désactivé	Non codés
Désactivé	Activé	Codée

Il se compose des sections suivantes :

Activation de la réplication codée au niveau de la partition

Lorsque vous activez la réplication codée au niveau d'une partition, la réplication entre toutes les répliques hébergeant la partition est codée. Imaginons, par exemple, que la partition P1 comporte les répliques R1, R2, R3 et R4. Vous pouvez coder la réplication entre toutes les répliques ; toutes les réplications, entrantes et sortantes, seront codées pour ces répliques.

pour activer une partition pour la réplication chiffrée, tous les serveurs hébergeant cette partition doivent exécuter OpenText eDirectory 8.8 ou une version ultérieure.

Figure 11-4 Réplication codée

Les configurations pour la réplication codée au niveau de la partition sont ignorées si vous disposez de configurations de ce type au niveau de la réplique. Reportez-vous au Tableau 11-1.

La compatibilité avec les versions précédentes dépend de l'activation/la désactivation de la réplication codée au niveau de la partition. Reportez-vous à la section Ajout d'une nouvelle réplique à un anneau de répliques pour plus d'informations.

Vous pouvez activer la réplication chiffrée au niveau de la partition à l'aide d'OpenText Identity Console ou de LDAP, comme expliqué dans les sections suivantes :

Activation de la réplication chiffrée au niveau de la partition à l'aide d'OpenText Identity Console

Sur la page d'accueil d'OpenText Identity Console, cliquez sur la vignette Réplication chiffrée.
Sur la page Réplication chiffrée, cliquez sur Rechercher une partition .
Sélectionnez l'arborescence ou le conteneur.
Cochez la case Activer la réplication chiffrée, cliquez sur Terminer.

REMARQUE :Pour désactiver la réplication chiffrée au niveau de la partition, désélectionnez la case Activer la réplication chiffrée.
Le message Réplication chiffrée activée avec succès s'affiche.

Cliquez sur OK.

Sur la page Réplication chiffrée, si vous activez la réplication chiffrée pour toute la partition, vous pouvez la désactiver pour des répliques spécifiques. Ces répliques ne recevront et n'enverront pas de données sous forme codée. Vous pouvez également désactiver le chiffrement de l'ensemble de la partition en désélectionnant Activer la réplication chiffrée.

Activation de la réplication chiffrée au niveau de la partition avec LDAP

IMPORTANT :il est vivement recommandé d'utiliser OpenText Identity Console pour activer la réplication chiffrée.

Pour coder la réplication, vous devez utiliser l'attribut dsEncryptedReplicationConfig. La syntaxe est :

enable/disable flag#destination replica number#source replica number

Remplacez par l'un de ces drapeaux :

0 : désactive la réplication codée
1 : active la réplication codée

Les numéros de réplique source et cible représentent les numéros de réplique source et cible d'une partition. Ces numéros peuvent être spécifiés dans n'importe quel ordre, car si la réplication de A vers B est codée, celle de B vers A l'est également.

REMARQUE :si les numéros de réplique source et cible au niveau de la partition sont 0 et si le drapeau est 1, toutes les répliques sont considérées comme activées pour la réplication codée.

Pour activer la réplication codée au niveau de la partition, la valeur de l'attribut dsEncryptedReplicationConfig doit être 1#0#0.

Voici un exemple de fichier LDIF pour l'activation de la réplication codée au niveau de la partition :

dn: o=ou
changetype:modify
replace: dsEncryptedReplicationConfig
dsEncryptedReplicationConfig:1#0#0

Ces configurations au niveau de la réplique priment sur celles au niveau de la partition. Reportez-vous à la section Activation de la réplication chiffrée au niveau de la réplique avec LDAP pour plus d'informations.

Activation de la réplication codée au niveau de la réplique

Lorsque vous activez la réplication codée au niveau de la réplique, la réplication, tant entrante que sortante, entre des répliques spécifiques est codée.

Imaginons, par exemple, que la partition P1 comporte les répliques R1, R2, R3 et R4. Vous pouvez coder la réplication entre les répliques R1 et R2 ou entre R2 et R4.

Si vous avez activé la réplication codée pour une réplique, cela signifie que :

la synchronisation entrante d'un serveur vers cette réplique et
la synchronisation sortante de cette réplique vers un autre serveur sont codées.

Les répliques pour lesquelles la réplication chiffrée est activée doivent être situées sur des serveurs OpenText eDirectory 8.8 ou version ultérieure. Les autres répliques de l'anneau, pour lesquelles la réplication chiffrée n'est pas activée, peuvent se trouver sur des serveurs exécutant des versions antérieures d'OpenText eDirectory.

Pour désactiver la réplication chiffrée au niveau de la réplique, vous devez désactiver Chiffrer le lien pour les répliques spécifiques à l'aide de la page de configuration de la réplication chiffrée dans OpenText Identity Console.

Vous pouvez activer la réplication chiffrée au niveau de la réplique à l'aide de LDAP, comme expliqué dans la section suivante :

Activation de la réplication chiffrée au niveau de la réplique avec LDAP

Activation de la réplication chiffrée au niveau de la réplique avec LDAP

IMPORTANT :il est vivement recommandé d'utiliser OpenText Identity Console pour activer la réplication chiffrée.

Pour chiffrer la réplication, vous devez utiliser l'attribut dsEncryptedReplicationConfig. La syntaxe est :

enable/disable flag#destination replica number#source replica number

Pour plus d'informations sur la syntaxe, reportez‑vous à la section Activation de la réplication chiffrée au niveau de la partition avec LDAP.

Lorsque vous spécifiez les numéros des répliques dans la syntaxe ci-dessus, vous activez la réplication codée entre celles-ci. Exemples de syntaxe :

1#0#1 : la réplication codée est activée à partir de et vers la réplique 1, ainsi que vers et à partir de toutes les autres répliques de la partition.
0#3#1 : la réplication codée est désactivée entre les répliques 1 et 3.
0#1#1 : la réplication codée est désactivée pour la réplique 1.

Voici un exemple de fichier LDIF qui désactive la réplication codée entre les répliques 1 et 3 :

dn: o=ou
changetype: modify
replace: dsEncryptedReplicationConfig
dsEncryptedReplicationConfig: 0#3#1

Opérations de partition

Lorsque vous divisez une partition, la configuration de la réplication codée pour la partition parent est héritée par la partition enfant. Lorsque vous fusionnez une partition, cette configuration est conservée pour la partition résultante.

11.2.3 Ajout d'une nouvelle réplique à un anneau de répliques

L'ajout d'une nouvelle réplique à un anneau dépend de l'activation/la désactivation de la réplication codée pour la partition au niveau de cette dernière et de la réplique.

Pour plus d'informations sur l'ajout d'une réplique à un anneau de répliques, reportez-vous à la section Gestion des répliques.

À chacun de ces niveaux, vous disposez de scénarios différents selon la version du serveur OpenText eDirectory à ajouter à l'anneau de répliques, comme expliqué dans les sections suivantes :

Activation de la réplication chiffrée au niveau de la partition

Les scénarios varient en fonction de la version du serveur OpenText eDirectory à ajouter.

Scénario	Chiffrement de données
Ajout d'un serveur OpenText eDirectory 9.1 ou version ultérieure sans EBA et avec la réplication chiffrée désactivée	Les données sont transférées en texte clair.
Ajout d'un serveur OpenText eDirectory 9.1 ou version ultérieure avec la réplication chiffrée et sans EBA	OpenText eDirectory chiffre les données en fonction des stratégies de réplication chiffrée.
Ajout d'un serveur OpenText eDirectory 9.1 ou version ultérieure avec EBA	Le chiffrement EBA a la priorité sur la réplication codée.

Activation de la réplication codée au niveau de la réplique

Si la réplication chiffrée est activée entre une réplique source et des répliques cibles spécifiques, vous pouvez ajouter un serveur OpenText eDirectory 8.8 ou version ultérieure à l'anneau de répliques.

Les scénarios varient si la réplication codée est activée entre une réplique source et toutes les autres répliques de l'anneau. C'est alors une situation similaire à l'ajout de répliques à un anneau pour lequel la réplication codée est activée ou désactivée au niveau de la partition. Reportez-vous à la section Activation de la réplication chiffrée au niveau de la partition pour plus d'informations.

Activation de la réplication codée pour le serveur à ajouter

Si le serveur à ajouter fonctionne sous Linux, vous pouvez utiliser l'option ndsconfig -E pour activer la réplication codée sur ce serveur. Pour plus d'informations, reportez-vous aux pages du manuel ndsconfig.

Si le serveur à ajouter fonctionne sous Windows, vous pouvez sélectionner l'option Activer la réplication chiffrée sur la page d'installation.

Si le serveur à ajouter se trouve sur des plates-formes autres que Linux, vous pouvez activer la réplication chiffrée à l'aide d'OpenText Identity Console ou de LDAP. Reportez-vous à la section Activation de la réplication codée pour plus d'informations.

11.2.4 Synchronisation et réplication codée

Si une réplique est activée pour la réplication codée et que les changements de configuration ne sont pas synchronisés avec les autres serveurs, la réplication entre les répliques s'effectue sous forme codée. Celles qui ne sont pas synchronisées avec les changements de configuration pour la réplication codée continuent la synchronisation en texte clair.

Même si la configuration de la réplication codée n'a pas été synchronisée entre les répliques, la réplication entre ces dernières aura lieu sous forme codée.

11.2.5 Affichage de l'état de la réplication codée

Vous pouvez afficher l'état de la réplication chiffrée via OpenText iMonitor de la manière suivante :

Dans OpenText iMonitor, cliquez sur Synchronisation de l'agent dans le cadre de l'Assistant.
Cliquez sur Synchronisation de réplique pour la partition à afficher.

Les informations relatives à l'état des répliques s'affichent. Le champ État de codage indique si le lien de la réplique à laquelle vous êtes actuellement connecté est chiffré ou non.

En fait, la réplication codée (RC) comporte trois scénarios :
- RC activée au niveau de la partition : La réplique à laquelle vous êtes connecté indique que l'État de codage est activé.
  
  Pour déterminer la réplique à laquelle vous êtes connecté, vous devez rechercher dans le cadre de la réplique celle qui n'a pas de lien hypertexte. Si vous parcourez les autres répliques, vous constatez que l'État de codage est également marqué comme activé.
- RC activée au niveau de la réplique : vous avez activé la RC pour toutes les répliques à partir d'une réplique spécifique (autrement dit, une vers toutes). Dans ce cas, lorsque vous êtes connecté à cette réplique, son État de codage est marqué comme activé.
- RC activée/désactivée pour une combinaison de répliques : RC activée/désactivée pour une combinaison de répliques - vous avez activé la RC pour l'ensemble de la partition, mais pas pour un groupe sélectionné de serveurs, ou inversement.
  
  Par exemple, vous avez activé la RC pour la partition A qui compte trois répliques (1, 2 et 3) et l'avez désactivée pour 1 <--> 3. Dans ce cas, si vous êtes connecté à la réplique 1, l'État de codage apparaît comme suit :
  
  Serveur 1 Activé
  
  Serveur 2
  
  Serveur 3 Désactivé
  
  Ce qui signifie que le serveur 1 est activé pour la réplication codée vers tous les serveurs de l'anneau de répliques, mais que 1<-->3 est désactivé par l'administrateur.