E.3 Conditions préalables à la configuration de GSSAPI

La configuration de GSSAPI implique d'effectuer préalablement les opérations suivantes :

Méthode SASL-GSSAPI : installez la méthode SASL-GSSAPI. Reportez-vous à la section Installing a Login Method (Installation d'une méthode de connexion) du manuel Modular Authentication Services (Services d'authentification modulaire) (Fonctionnalités de NMAS).

REMARQUE :la méthode SASL-GSSAPI d'OpenText eDirectory ne fonctionne pas sur les installations d'Open Enterprise Server (OES) version 2 ou 11 dotées des services de domaine pour Windows.

Pour vérifier que SASL-GSSAPI est installé sur votre machine, entrez la commande suivante :

ldapsearch -x -h osg-dt-srv9 -b " " -s base | grep -i sasl

Si SASL-GSSAPI est installé, la commande donne un résultat similaire à celui-ci :
```
supportedSASLMechanisms: NMAS_LOGIN
```
```
supportedSASLMechanisms: GSSAPI
```
KDC (Key Distribution Center) : installez le centre de distribution de clés KDC Kerberos (MIT, Active Directory) sur le réseau.

Les outils Kerberos doivent être installés pour le KDC Microsoft (Active Directory). Ces outils font partie de l'installation de Windows et peuvent être installés à partir des fichiers \support\tools\setup.exe (Windows XP) et \support\tools\suptools.msi (Windows 2003) disponibles sur le CD d'installation Windows.
Synchronisation horaire: pour que cette méthode fonctionne, synchronisez l'heure du poste client NMAS, du serveur NMAS et de la machine KDC. Pour plus d'informations sur la synchronisation de l'heure réseau, reportez-vous à la section Synchronisation des heures réseau.
Extensions LDAP Kerberos : ajoutez les extensions LDAP Kerberos. Pour plus d'informations, reportez-vous à la section Ajout d'extensions LDAP Kerberos.
IMPORTANT :
- Sous Open Enterprise Server, n'ajoutez pas les extensions LDAP Kerberos sur les serveurs sur lesquels les services de domaine pour Windows ou les services DNS sont configurés.
- toutes les informations Kerberos collectées auprès de votre système d'administration Kerberos tiennent compte de la casse et doivent la respecter.

E.3.1 Hypothèses concernant les caractéristiques réseau

Le mécanisme SASL-GSSAPI se base sur les hypothèses suivantes :

La synchronisation horaire de toutes les machines du réseau présente une souplesse relative, ce qui signifie que les heures des différentes machines diffèrent tout au plus de plus de cinq minutes.
Le mécanisme SASL-GSSAPI est censé être utilisé principalement dans un environnement LAN vu la difficulté à respecter l'exigence de synchronisation horaire, mentionnée ci-dessus, dans des environnements MAN et/ou WAN. Ce mécanisme ne se limite toutefois pas au LAN.
Vous faites entièrement et systématiquement confiance aux serveurs et administrateurs Kerberos.
Une attaque de refus de service n'est pas contrée. Pour plus d'informations, reportez-vous au fichier RFC 1510.

E.3.2 Ajout d'extensions LDAP Kerberos

Les extensions LDAP Kerberos permettent de gérer les clés Kerberos.

L'utilisation des extensions LDAP Kerberos nécessite l'installation de LDAP Libraries for C. Pour plus d'informations, consultez la documentation LDAP Libraries for C.

Pour ajouter ou supprimer les extensions LDAP Kerberos, employez l'utilitaire krbLdapConfig. Lorsque le paquetage OpenText eDirectory autonome est extrait dans un répertoire, le chemin d'accès de ce fichier est dossier_extraction/nmas/NmasMethods/Novell/GSSAPI/extensions_LDAP_Kerberos/Linux/krbLdapConfig.

Par exemple : /misc/eDir88/Linux/nmas/NmasMethods/Novell/GSSAPI/extensions_LDAP_Kerberos/Linux/krbLdapConfig.

Pour ajouter les extensions LDAP Kerberos, utilisez la syntaxe suivante :

krbldapconfig {-i | -u} -D bind_DN [-w bind_DN_password] [-H ldap://[ldap host ip]:[ldap-port] [-e trusted_root_cert]

Le tableau suivant décrit les paramètres de l'utilitaire krbldapconfig :

Paramètre	Description
-i	Ajoute les extensions LDAP Kerberos à OpenText eDirectory.
-u	Supprime les extensions LDAP Kerberos d'OpenText eDirectory.
-D FDN_liaison	Indique le FDN de l'administrateur ou de l'utilisateur disposant de droits équivalents. Il doit avoir le format cn=admin,o=org.
-w mot_de_passe_FDN_liaison	Indique le mot de passe du FDN de liaison (FDN_liaison).
-h serveur_LDAP	Indique le nom d'hôte ou l'adresse IP du serveur LDAP où doivent être installées les extensions LDAP Kerberos.
-p port	Indique le port sur lequel est exécuté le serveur LDAP.
-e fichier_racine_approuvée	Indique le nom du fichier de certificat de racine approuvée pour la liaison SSL. Si vous utilisez un port SSL, spécifiez l'option -e. Pour plus d'informations, reportez-vous à la section Exportation du certificat de racine approuvée.

REMARQUE :si l'option -h n'est pas spécifiée, le nom de l'hôte local à partir duquel le fichier krbldapconfig est appelé est utilisé par défaut.

Si aucun port de serveur LDAP ni certificat de racine approuvée ne sont spécifiés, le port 389 est utilisé par défaut.

Si aucun port de serveur LDAP n'est spécifié, mais qu'un certificat de racine approuvée est indiqué, le port 636 est utilisé par défaut.

Par exemple, entrez la commande suivante pour ajouter les extensions :

krbldapconfig -i -D cn=admin,o=org -w password -h ldapserver -p 389

Entrez la commande suivante pour supprimer des extensions :

krbldapconfig -u -D cn=admin,o=org -w password -h ldapserver -p 389

IMPORTANT :le serveur LDAP doit être actualisé manuellement pour que les modifications apportées à l'installation soient prises en compte. Pour plus d'informations, reportez-vous à la section Rafraîchissement du serveur LDAP.

E.3.3 Exportation du certificat de racine approuvée

Sur la page d'accueil d'OpenText Identity Console, cliquez sur la vignette Gestion des certificats, puis sur Gestion des racines approuvées pour ouvrir la page Modifier l'objet.
Cliquez sur l'onglet Racines approuvées, puis sélectionnez Certificat racine approuvé pour afficher les informations relatives au certificat.
Cliquez sur Export (Exporter).
Spécifiez si vous souhaitez ou non exporter la clé privée. Si vous souhaitez exporter la clé privée, vous devrez peut-être spécifier un mot de passe pour protéger cette dernière.
Cliquez sur OK.
Cliquez sur Save the exported certificate (Enregistrer le certificat exporté).
Cliquez sur Save File (Enregistrer le fichier).
Cliquez sur Fermer.