5.2 Procédure de déploiement

La section suivante fournit des instructions pour le déploiement d'OpenText eDirectory sur Microsoft Azure en fonction du système d'exploitation qui s'exécute sur les machines virtuelles.

5.2.1 Déploiement sur une plate-forme Linux

OpenText eDirectory ne doit être déployé que dans un sous-réseau dorsal du service Réseau virtuel Azure. La Figure 5-1 illustre un exemple de déploiement utilisé dans les sections suivantes.

Figure 5-1 Déploiement d'OpenText eDirectory dans Azure

REMARQUE :

  • Un proxy est un hôte bastion du sous-réseau frontal auquel l'administrateur se connecte à l'aide de SSH et se connecte aux autres instances du sous-réseau dorsal à l'aide du réacheminement de l'agent SSH.

  • Les applications qui ont besoin d'accéder à OpenText eDirectory doivent être déployées dans le sous-réseau dorsal. Si ces applications doivent être accessibles à partir d'Internet, configurez un équilibreur de charge Azure dans le sous-réseau frontal pour activer l'accès. Pour plus d'informations, reportez-vous à la section Créer un équilibreur de charge de base public.

  • L'installation hybride, c'est-à-dire l'installation sur site et la réplique maître d'OpenText eDirectory sur la machine virtuelle Azure, et inversement, n'est pas prise en charge.

La procédure de déploiement comporte les étapes suivantes :

Préparation des services Azure

Cette section décrit les étapes générales à suivre pour créer les services Azure à utiliser avec OpenText eDirectory, notamment la création de groupes de ressources, de réseaux virtuels (VNet) et de sous-réseaux.

IMPORTANT :Lors de la création de services (réseau virtuel, groupes de sécurité, machines virtuelles, etc.), veillez à spécifier la même valeur d'emplacement.

Création de groupes de ressources

Un groupe de ressources est un conteneur qui renferme des ressources associées pour une solution Azure. Le groupe de ressources peut comprendre toutes les ressources de la solution ou uniquement celles que vous voulez gérer en tant que groupe. Par exemple, lors du déploiement d'OpenText eDirectory sur Azure, les groupes de ressources doivent contenir des machines virtuelles, un réseau virtuel, des groupes de sécurité d'application, des groupes de sécurité réseau, une adresse IP publique, une interface réseau et des disques. Pour plus d'informations sur la création d'un groupe de ressources, reportez-vous à l'article Gérer des ressources Azure à l'aide du portail Azure.

REMARQUE :les administrateurs peuvent ne pas tous être autorisés à créer un groupe de ressources.

Création d'un réseau virtuel

Le service Réseau virtuel Azure permet à de nombreux types de ressources Azure, comme les machines virtuelles (VM) Azure, de communiquer en toute sécurité entre eux, avec Azure Internet et avec les réseaux locaux. Pour plus d'informations, reportez-vous à l'article Présentation du réseau virtuel Azure.

Dans le cadre de la création d'un réseau virtuel, un sous-réseau est créé par défaut. Si vous souhaitez créer plusieurs sous-réseaux, accédez au nouveau Réseau virtuel > Sous-réseau > Ajouter un sous-réseau.

Configuration de groupes de sécurité d'application (ASG)

Grâce aux groupes de sécurité d'application, vous pouvez configurer la sécurité réseau en tant qu'extension naturelle de la structure d'une application. Vous pouvez également regrouper des machines virtuelles et définir des stratégies de sécurité réseau en fonction de ces groupes. Pour plus d'informations, reportez-vous à la section Groupes de sécurité d'application.

Avant de configurer les groupes de sécurité réseau, vous devez créer les groupes de sécurité d'application suivants :

Tableau 5-1 Groupes de sécurité d'application

Nom

Description

SSH_Proxy

Contient l'interface réseau de la machine virtuelle sur laquelle SSH_Proxy sera configuré.

eDirectory

Contient l'interface réseau de toutes les machines virtuelles sur lesquelles OpenText eDirectory sera configuré.

eDirectory_CA

Contient l'interface réseau de la machine virtuelle sur laquelle le serveur OpenText eDirectory qui héberge l'autorité de certification de l'arborescence sera configuré.

OpenText Identity Console

Contient l'interface réseau de la machine virtuelle sur laquelle OpenText Identity Console sera configuré.

Configuration de groupes de sécurité réseau (NSG) pour les sous-réseaux

Vous pouvez filtrer le trafic réseau entrant et sortant pour un sous-réseau à l'aide d'un groupe de sécurité réseau (NSG). Les NSG contiennent des règles de sécurité qui filtrent le trafic réseau par adresse IP, port et protocole.

Cette section décrit les règles qui permettent de créer un NSG pour le sous-réseau frontal. Configurez les règles suivantes sur les règles de sécurité par défaut :

  • Règles entrantes :

    Tableau 5-2 Règles entrantes pour le sous-réseau frontal

    Priorité

    Nom

    Plage de ports

    Source

    Destination

    Opération

    Description

    100

    SSH

    TCP 22

    N'importe laquelle

    SSH_Proxy (ASG)

    ALLOW

    Autorise la connexion SSH au serveur proxy à partir d'Internet.

    110

    Allow Subnet Traffic (Autoriser le trafic de sous-réseau)

    N'importe laquelle

    Tout

    Sous-réseau frontal

    ALLOW

    (Conditionnel) Autorise tout le trafic intra-sous-réseau.

    REMARQUE :Ne définissez cette règle que si d'autres machines virtuelles du sous-réseau frontal doivent communiquer entre eux.

    120

    All Traffic (Tout le trafic)

    Toutes

    Tout

    Tout

    DENY

    Refuse tout le trafic entrant qui n'est pas géré par une règle précédente.

Cette section décrit les règles qui permettent de créer des NSG dans le sous-réseau dorsal. Configurez les règles suivantes pour les groupes de sécurité réseau :

  • Règles entrantes :

    Tableau 5-3 Règles entrantes pour le sous-réseau dorsal

    Priorité

    Nom

    Plage de ports

    Source

    Destination

    Opération

    Description

    100

    SSH

    TCP 22

    Proxy (ASG)

    Sous-réseau dorsal

    ALLOW

    Autorise le trafic SSH entrant depuis le proxy SSH.

    110

    Identity Console

    TCP 9000

    Proxy (ASG)

    OpenText Identity Console (ASG)

    ALLOW

    Autorise le trafic HTTPS pour accéder à OpenText Identity Console à partir du proxy SSH

    120

    HTTP CRL

    TCP 8028

    Réseau virtuel

    eDirectory_CA (ASG)

    ALLOW

    Nécessaire pour accéder à la liste de révocation de certificats (CRL) de l'arborescence OpenText eDirectory à partir du réseau virtuel lorsque des services du réseau virtuel sont configurés avec des certificats émis par l'autorité de certification de l'arborescence.

    130

    Allow Subnet Traffic (Autoriser le trafic de sous-réseau)

    N'importe laquelle

    Sous-réseau dorsal

    Sous-réseau dorsal

    ALLOW

    Autorise tout le trafic intra-sous-réseau.

    140

    All Traffic (Tout le trafic)

    Toutes

    Tout

    Tout

    DENY

    Refuse tout le trafic entrant.

Configuration de groupes de sécurité réseau pour une machine virtuelle

Un groupe de sécurité est un ensemble de règles de pare-feu virtuel qui peuvent être assignées à une ou plusieurs machines virtuelles du réseau virtuel.

Par défaut, un nouveau groupe de sécurité autorise uniquement le trafic entrant sur le port 22, ce qui ne vous permet de vous connecter à l'instance qu'à l'aide de SSH.

Pour plus d'informations, reportez-vous à l'article Groupes de sécurité.

Pour déployer OpenText eDirectory dans Azure, créez les groupes de sécurité réseau suivants : eDirectory_NSG_1, eDirectory_NSG_2 et IdentityConsole_NSG. Créez ces groupes de sécurité à l'aide des règles de port suivantes sur les règles de sécurité par défaut :

  1. eDirectory_NSG_1 : ce groupe NSG doit être associé à la machine virtuelle qui héberge l'autorité de certification de l'arborescence eDirectory.

    Priorité

    Nom

    Plage de ports

    Source

    Destination

    Opération

    Description

    100

    SSH

    TCP 22

    SSH Proxy (ASG)

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic SSH depuis le proxy SSH.

    110

    NCP

    TCP 524

    Sous-réseau dorsal

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic NCP pour OpenText eDirectory dans le sous-réseau dorsal.

    120

    HTTP CRL

    TCP 8028

    Réseau virtuel

    eDirectory_CA (ASG)

    ALLOW

    Nécessaire pour accéder à la liste de révocation de certificats (CRL) de l'arborescence OpenText eDirectory à partir du réseau virtuel lorsque des services du réseau virtuel sont configurés avec des certificats émis par l'autorité de certification de l'arborescence.

    130

    LDAPS

    TCP 636

    Sous-réseau dorsal

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic LDAP sécurisé dans le sous-réseau dorsal.

    140

    SLP

    N'importe laquelle (427)

    Sous-réseau dorsal

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic SLP dans le sous-réseau dorsal.

    150

    All Traffic (Tout le trafic)

    Toutes

    Tout

    Tout

    DENY

    Refuse tout le trafic entrant.

    REMARQUE :Les serveurs OpenText eDirectory ne doivent pas être configurés pour écouter le port LDAP 389 et l'accès au port 389 ne doit pas être autorisé dans le groupe de sécurité assigné à OpenText eDirectory. En outre, l'accès au port HTTP doit uniquement être autorisé dans le groupe de sécurité assigné au serveur OpenText eDirectory qui héberge l'autorité de certification de l'arborescence.

  2. eDirectory_NSG_2 : ce groupe NSG doit être associé à toutes les machines virtuelles qui hébergent des serveurs OpenText eDirectory autres que l'autorité de certification de l'arborescence OpenText eDirectory.

    Priorité

    Nom

    Plage de ports

    Source

    Destination

    Opération

    Description

    100

    SSH

    TCP 22

    SSH Proxy (ASG)

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic SSH depuis le proxy SSH.

    110

    NCP

    TCP 524

    Sous-réseau dorsal

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic NCP pour OpenText eDirectory dans le sous-réseau dorsal.

    120

    LDAPS

    TCP 636

    Sous-réseau dorsal

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic LDAP sécurisé dans le sous-réseau dorsal.

    130

    SLP

    N'importe laquelle (427)

    Sous-réseau dorsal

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic SLP dans le sous-réseau dorsal.

    140

    All Traffic (Tout le trafic)

    Toutes

    Tout

    Tout

    DENY

    Refuse tout le trafic entrant.

  3. IdentityConsole_NSG : ce groupe NSG doit être associé à la machine virtuelle qui héberge Identity Console. Les règles NSG suivantes autorisent l'accès au serveur Identity Console à partir du serveur proxy uniquement.

    Priorité

    Nom

    Plage de ports

    Source

    Destination

    Opération

    Description

    100

    SSH

    TCP 22

    SSH Proxy (ASG)

    OpenText Identity Console (ASG)

    ALLOW

    Autorise le trafic SSH depuis le proxy.

    110

    HTTPS

    TCP 9000

    SSH Proxy (ASG)

    OpenText Identity Console (ASG)

    ALLOW

    Autorise le trafic HTTP sécurisé pour l'accès à Identity Console à partir du proxy.

    120

    All Traffic (Tout le trafic)

    Toutes

    Tout

    Tout

    DENY

    Refuse tout le trafic entrant.

Création d'une paire de clés SSH

Vous devez créer une paire de clés SSH avant de configurer les machines virtuelles Azure. Pour créer une paire de clés, procédez comme suit :

  1. Créez une paire de clés SSH RSA 4 096 bits sur le client à l'aide de la commande suivante :

    ssh-keygen -t rsa -b 4096

    ssh-keygen place la nouvelle clé publique dans ~/.ssh/id_rsa.pub.

  2. Fournissez la clé publique SSH ci-dessus à votre compte Azure. Pour plus d'informations, reportez-vous à la section Fournir une clé publique SSH.

IMPORTANT :vous pouvez vous connecter à vos machines virtuelles et les gérer uniquement à l'aide de la clé privée SSH. Par conséquent, veillez à ne pas perdre la clé privée SSH.

Création et déploiement de machines virtuelles

Créez et lancez vos machines virtuelles (VM) sur l'une des plates-formes prises en charge. Pour plus d'informations sur la création et sur le lancement de machines virtuelles, reportez-vous à la section Créer et lancer votre machine virtuelle Linux. Dans le cadre de la création et du lancement des instances, vous devez également effectuer les étapes suivantes :

  1. Associez eDirectory_NSG_1 aux machines virtuelles sur lesquelles le premier serveur OpenText eDirectory sera configuré, eDirectory_NSG_2 à la machine virtuelle sur laquelle tous les autres serveurs OpenText eDirectory seront configurés et IdentityConsole_NSG avec la machine virtuelle sur laquelle Identity Console sera configuré. Pour plus d'informations sur les groupes de sécurité, reportez-vous à la section Configuration de groupes de sécurité réseau pour une machine virtuelle.

  2. Associez la clé publique créée à la section Création d'une paire de clés SSH à vos instances.

REMARQUE :Lorsque plusieurs zones de disponibilité sont disponibles pour l'emplacement Azure sélectionné, les serveurs de répliques ne doivent pas être déployés dans la même zone de disponibilité que le serveur OpenText eDirectory maître.

Configuration d'un disque de données pour le stockage des données OpenText eDirectory

La configuration d'un disque de données est nécessaire pour éviter la perte des données et de la configuration d'OpenText eDirectory en cas de crash de la machine virtuelle Azure. Pour plus d'informations sur la récupération des données et de la configuration d'OpenText eDirectory, reportez-vous à la section Reprise après sinistre. Une fois la machine virtuelle créée, procédez comme suit pour préparer la machine virtuelle pour le déploiement d'OpenText eDirectory :

  1. Créez et attachez un disque de données. Pour cela, suivez la procédure décrite dans l'article Utiliser le portail pour attacher un disque de données à une machine virtuelle Linux.

  2. Connectez-vous à la machine virtuelle, formatez le disque de données avec le système de fichiers ext4, puis montez ce disque. Pour plus d'informations sur le formatage et sur le montage du disque de données, reportez-vous à la section Se connecter à la machine virtuelle Linux afin de monter le nouveau disque.

  3. Effectuez un montage de liaison des répertoires du disque de données vers les répertoires de données OpenText eDirectory/NICI. Procédez comme suit en tant qu'utilisateur root pour effectuer le montage de liaison :

    1. Créez le répertoire de données OpenText eDirectory à l'aide de la commande suivante :

      mkdir <mount_point>/eDirectory_data

    2. Créez le répertoire de données NICI à l'aide de la commande suivante :

      mkdir <mount_point>/nici_data

    3. Créez les répertoires de configuration NICI et OpenText eDirectory à l'aide de la commande suivante :

      mkdir <mount_point>/eDirectory_nici_conf

    4. Créez les répertoires nécessaires pour OpenText eDirectory à l'aide des commandes suivantes :

      mkdir --parents /var/opt/novell/eDirectory
mkdir –-parents /var/opt/novell/nici
mkdir –-parents /etc/opt/novell/eDirectory

    5. Pour effectuer le montage de liaison des répertoires, ajoutez les éléments suivants à /etc/fstab :

      <mount_point>/eDirectory_data /var/opt/novell/eDirectory none defaults,bind 0 0
      <mount_point>/nici_data /var/opt/novell/nici none defaults,bind 0 0
      <mount_point>/eDirectory_nici_conf /etc/opt/novell/eDirectory none defaults,bind 0 0

    REMARQUE :toutes les opérations dans la machine virtuelle doivent être effectuées en tant qu'utilisateur root.

Installation d'OpenText eDirectory et d'OpenText Identity Console

Conditions préalables

  • Veillez à respecter la configuration requise indiquée à la section Configuration système requise.

  • Créez des groupes de sécurité comme indiqué à la section Configuration de groupes de sécurité réseau pour une machine virtuelle.

  • La machine virtuelle proxy doit être un serveur renforcé et sécurisé. La clé privée SSH requise pour accéder aux machines virtuelles du sous-réseau dorsal et à la machine virtuelle proxy ne doit pas être stockée sur le réseau virtuel, mais uniquement sur le client. Choisissez une taille de machine virtuelle dont les performances et la mémoire sont adaptées à cette instance.

  • Créez une interface réseau supplémentaire pour la machine virtuelle proxy et assignez une adresse IP publique statique à cette interface.

  • Configurez le serveur VNC dans la machine virtuelle proxy. Le serveur VNC doit être renforcé par un mot de passe fort adapté. Connectez-vous au serveur VNC via un tunnel SSH afin de permettre des communications sécurisées. Le serveur VNC doit être configuré pour écouter uniquement les connexions depuis l'hôte local. Désactivez le verrouillage de l'écran pour éviter le verrouillage de la session. Après avoir utilisé le serveur VNC, mettez fin à la session.

  • Mettez à jour manuellement le fichier /etc/hosts des machines virtuelles avec l'entrée IP-Address Full-Qualified-Hostname Short-Hostname. Cette mise à jour permet de contourner la limitation liée à Azure pour effectuer une recherche DNS inverse.

  • Connectez-vous à la machine virtuelle du sous-réseau dorsal sur laquelle OpenText eDirectory/OpenText Identity Console sera configuré à l'aide du proxy SSH :

    ssh -i edir_key.pem -A -J azureuser@<ssh_proxy_ip> azureuser@<instance_private_ip>

    REMARQUE :

    • Dans les exemples de commandes ci-dessus, edir_key.pem correspond à un exemple de nom de fichier contenant la clé de serveur.

    • Vous pouvez également ajouter le fichier d'identité dans l'agent à l'aide de la commande SSH-Add pour éviter d'utiliser le fichier d'identité à chaque connexion.

    Pour afficher l'adresse IP privée d'une machine virtuelle, cliquez sur Instances > [instance] > Description.

  • Configurez un serveur Agent Annuaire (DA) SLP dans une machine virtuelle du sous-réseau dorsal. Ouvrez le port 427 dans la règle entrante du groupe NSG pour la machine virtuelle sur laquelle le DA SLP est déployé. Activez l'opération DA en éditant le fichier slp.conf. Pour plus d'informations, consultez Configuration d'OpenSLP pour OpenText eDirectory dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3).

Procédure d'installation et de configuration

Cette section fournit les instructions détaillées à suivre pour installer et configurer OpenText eDirectory et OpenText Identity Console dans un environnement Azure. Une fois OpenText eDirectory installé, assurez-vous que les conditions suivantes sont respectées :

  • EBA est activé.

  • SNMP est désactivé.

  • OpenText eDirectory n'écoute pas le port 389.

  • Les services LDAP et HTTP sont configurés pour utiliser les certificats ECDSA uniquement.

  • L'accès au port SSH des machines virtuelles Azure du sous-réseau dorsal doit être désactivé lorsqu'il n'est pas utilisé.

  • Désactivez les modules OpenText iMonitor, eMBox et DHost afin de renforcer la sécurité. Une fois qu'ils sont désactivés, toutes les activités impliquant ces modules doivent être effectuées à l'aide des utilitaires NDS uniquement.

Installation et configuration d'OpenText eDirectory

  1. Copiez le fichier eDirectory_<version>_Linux_x86_64.tar.gz à l'aide de Secure Copy (scp) vers la machine virtuelle du sous-réseau dorsal sur laquelle OpenText eDirectory sera configuré à l'aide du proxy SSH :

    scp -i <keyname> -o ProxyJump=vm-user@<ssh_proxy_ip> eDirectory_<version>_Linux_x86_64.tar.gz vm-user@<instance_ip>:/<directory>

  2. Installez OpenText eDirectory. Pour plus d'informations, reportez-vous à la section Exécution de l'utilitaire nds-install pour installer des composants OpenText eDirectory.

  3. Configurez OpenText eDirectory. Pour plus d'informations, reportez-vous à la section Exécution de l'utilitaire ndsconfig pour ajouter ou supprimer le serveur de répliques OpenText eDirectory. Voici un exemple de commande qui permet d'installer et de configurer OpenText eDirectory :

    ndsconfig  new [-t <tree_name>] [-n <server context>] -a <admin FDN> [-w <admin password>] -P ldaps://<instance_ip> --configure-eba-now yes

  4. Installez openslp-server, puis démarrez le service SLPD.

Installation et configuration d'Identity Console

Grâce à Identity Console, vous pouvez gérer les opérations OpenText eDirectory dans votre environnement Azure. OpenText Identity Console doit être installé sur votre machine virtuelle Azure après avoir installé OpenText eDirectory.

  1. Copiez le fichier IdentityConsole_170_Containers.tar.gz à l'aide de Secure Copy (scp) vers l'instance du sous-réseau dorsal sur laquelle OpenText Identity Console sera configuré à l'aide du proxy SSH :

    scp -i <keyname> -o ProxyJump=vm-user@<ssh_proxy_ip> IdentityConsole_170_Containers.tar.gz vm-user@<instance_ip>:/<directory>

  2. Installez et configurez OpenText Identity Console. Pour plus d'informations, voir Installation du poste de travail OpenText Identity Console sous Windows. Avant d'installer OpenText Identity Console, consultez la section Configuration système requise et conditions préalables concernant l'installation en mode Poste de travail du Guide d'installation d'OpenText™ Identity Console.

  3. Remplacez les certificats auto-signés dans la machine virtuelle exécutant Identity Console par des certificats signés par une autorité de certification sécurisée. Pour plus d'informations, reportez-vous à la section Remplacement des certificats auto-signés temporaires pour OpenText iManager.

Lancement d'OpenText Identity Console

Pour lancer OpenText Identity Console, procédez comme suit :

  1. Connectez-vous au serveur VNC exécuté sur l'hôte local de la machine virtuelle proxy via le tunnel SSH.

  2. Installez et lancez un navigateur dans la même instance.

  3. Lancez et connectez-vous à l'arborescence OpenText eDirectory à l'aide de l'adresse IP ou du nom de l'arborescence.

Tâches de post-configuration

  1. Pour vérifier si EBA est activé, reportez-vous à la section Affichage des informations relatives à l'authentification EBA dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3).

  2. Activez SuiteB dans Certificate Server. Pour plus d'informations, reportez-vous à la section Activation de SuiteB dans Certificate Server dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3).

  3. Configurez la clé d'arborescence AES 256 bits pour le premier serveur OpenText eDirectory. Pour plus d'informations, reportez-vous à la section Creating an AES 256-Bit Tree Key (Création d'une clé d'arborescence AES 256 bits) dans le document NICI Administration Guide (Guide d'administration de NICI).

  4. Supprimez les points de distribution CRL sur le premier serveur OpenText eDirectory. L'accès LDAP non sécurisé sur le port 389 étant désactivé sur tous les serveurs OpenText eDirectory, la CRL pour l'autorité de certification de l'arborescence devrait être disponible au téléchargement par HTTP uniquement. Procédez comme suit pour supprimer les points de distribution CRL :

    1. Connectez-vous à OpenText Identity Console en tant qu'administrateur.

    2. Accédez à Gestion des certificats > Gestion des AC > CRL > Créer les CRL.

    3. Cliquez sur One. Sélectionnez et supprimez tous les points de distribution CRL, à l'exception du point de distribution CRL HTTP (http://<IP_instance>:8028/crl/one.crl).

    4. Cliquez sur Appliquer, puis sur Fermer.

    5. Cliquez sur OneEC. Sélectionnez et supprimez tous les points de distribution CRL, à l'exception du point de distribution CRL HTTP (http://<IP_instance>:8028/crl/oneec.crl).

    6. Cliquez sur Appliquer, puis sur OK.

  5. Réparez les certificats par défaut du serveur à l'aide du gestionnaire de certificats OpenText Identity Console. Pour cela, procédez comme suit :

    1. Connectez-vous à OpenText Identity Console en tant qu'administrateur.

    2. Accédez à Gestion des certificats > > Certificat par défaut.

    3. Sélectionnez le ou les serveurs qui possèdent les certificats, puis cliquez sur Suivant.

    4. Sélectionnez Tous les certificats par défaut sont écrasés, puis cliquez sur Suivant.

    5. Examinez les tâches à effectuer, puis cliquez sur Terminer > OK.

  6. Configurez les services LDAP et HTTP pour qu'ils utilisent les certificats ECDSA et les Ciphers SuiteB. Pour plus d'informations, reportez-vous à la section Configuration des services LDAP et HTTP pour qu'ils utilisent les certificats ECDSA et les Ciphers Suite B dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3). Une fois l'opération terminée, redémarrez OpenText eDirectory.

  7. Pour plus d'informations pour vérifier si le sous-agent SNMP est déchargé, reportez-vous à la section Chargement et déchargement du module serveur SNMP dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3).

  8. Assurez-vous qu'OpenText eDirectory n'écoute pas le port 389.

  9. Désactivez OpenText iMonitor, eMBox, DHost et la pile HTTP.

    1. Procédez comme suit pour désactiver iMonitor, eMBox et DHost sur le serveur OpenText eDirectory qui héberge l'autorité de certification de l'arborescence :

      1. Éditez le fichier ndsmodules.conf en commentant hconserv, imon et embox.

      2. Redémarrez OpenText eDirectory.

    2. Procédez comme suit pour désactiver la pile HTTP dans les serveurs de répliques OpenText eDirectory :

      1. Éditez le fichier ndsmodules.conf en commentant httpstk, hconserv, imon et embox.

      2. Redémarrez eDirectory.

        REMARQUE :httpstk doit être placé au-dessus de nds dans le fichier ndsmodules.conf avant les commentaires. Le module nds cesse alors d'activer la pile HTTP.

  10. Configurez SLP pour forcer OpenText eDirectory à utiliser la monodiffusion comme méthode d'annonce. Éditez le fichier slp.conf en indiquant l'adresse IP du serveur DA dans le sous-réseau dorsal. Pour plus d'informations, consultez Paramètres de configuration dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3).

REMARQUE :après avoir configuré toutes les machines virtuelles OpenText eDirectory et OpenText Identity Console, configurez les règles de sécurité du sous-réseau dorsal Azure pour interdire l'accès au port SSH et l'autoriser uniquement si nécessaire.

Déploiement des services d'audit

Vous pouvez déployer le service d'audit Common Event Format (CEF) sur Azure pour auditer divers événements OpenText eDirectory. Procédez comme suit pour déployer les services d'audit CEF :

  1. Installez un serveur d'audit dans le réseau virtuel.

  2. Configurez le serveur d'audit pour qu'il écoute un port.

    REMARQUE :il est recommandé d'utiliser Sentinel comme serveur d'audit.

  3. Créez une règle de groupe de sécurité réseau dans le sous-réseau frontal avec la configuration suivante et associez-la à la machine virtuelle sur laquelle le serveur d'audit s'exécute :

    Nom

    Port

    Source

    Destination

    Description

    Port du serveur d'audit

    TCP (port du serveur d'audit)

    Sous-réseau dorsal

    IP du serveur d'audit

    Autorise la réception des événements provenant des serveurs OpenText eDirectory.

  4. Mettez à jour les éléments suivants dans le fichier /etc/opt/novell/eDirectory/conf/auditlogconfig.properties sur toutes les instances d'OpenText eDirectory :

    log4j.appender.S.Host=<Auditing server ip>
log4j.appender.S.Port=<auditing server port>

  5. Activez les événements CEF correspondants à partir d'OpenText Identity Console. Pour plus d'informations, reportez-vous à la section Configuration des événements CEF pour l'audit. Les événements activés sont transmis au serveur d'audit.

Reprise après sinistre

La reprise après sinistre est effectuée en cas de crash d'une machine virtuelle sur laquelle OpenText eDirectory était exécuté. Procédez comme suit pour effectuer une reprise après sinistre :

  1. Arrêtez la machine virtuelle qui a subi un crash et dissociez le disque de données de cette machine. Pour plus d'informations, reportez-vous à l'article Comment détacher un disque de données d'une machine virtuelle Linux.

  2. Configurez une nouvelle machine virtuelle avec le même système d'exploitation que la machine virtuelle qui a subi le crash.

  3. Installez la même version d'OpenText eDirectory dans la nouvelle machine virtuelle.

  4. Attachez le disque de données à la nouvelle machine virtuelle et montez le système de fichiers. Pour plus d'informations, reportez-vous à l'article Utiliser le portail pour attacher un disque de données à une machine virtuelle Linux.

  5. Effectuez le montage de liaison des répertoires.

    Pour effectuer le montage de liaison des répertoires, mettez à jour les éléments suivants dans /etc/fstab :

    <mount_point>/eDirectory_data /var/opt/novell/eDirectory none defaults,bind 0 0
    <mount_point>/nici_data /var/opt/novell/nici none defaults,bind 0 0
    <mount_point>/eDirectory_nici_conf /etc/opt/novell/eDirectory none defaults,bind 0 0

  6. Remplacez l'adresse IP dans /etc/opt/novell/eDirectory/conf/nds.conf par l'adresse IP de la machine virtuelle actuelle.

  7. Mettez à niveau OpenText eDirectory en ignorant la vérification de l'état de santé. Pour plus d’informations, voir Mise à niveau d'OpenText eDirectory.

  8. Réparez les adresses réseau à l'aide de l'utilitaire ndsrepair. Pour plus d'informations, consultez Options DSRepair dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3).

  9. Modifiez l'adresseؘ IP du point de distribution CRL si l'adresse IP de l'autorité de certification de l'arborescence a changé. Pour plus d'informations sur la modification de l'adresse IP, reportez-vous à la section Affichage et modification des propriétés d'un objet Configuration CRL dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3).

  10. Réparez les certificats par défaut du serveur à l'aide du gestionnaire de certificats OpenText Identity Console. Pour cela, procédez comme suit :

    1. Connectez-vous à OpenText Identity Console en tant qu'administrateur.

    2. Accédez à Gestion des certificats > > Certificat par défaut.

    3. Sélectionnez le ou les serveurs qui possèdent les certificats, puis cliquez sur Suivant.

    4. Sélectionnez Tous les certificats par défaut sont écrasés, puis cliquez sur Suivant.

    5. Examinez les tâches à effectuer, puis cliquez sur Terminer > OK.

  11. Configurez les services LDAP et HTTP pour qu'ils utilisent les nouveaux certificats ECDSA.

5.2.2 Déploiement sur une plate-forme Windows

La première étape du déploiement nécessite la préparation des services Azure en vue de leur utilisation avec OpenText eDirectory. Pour plus d'informations, reportez-vous à la section Préparation des services Azure. Après avoir créé les services Azure, procédez comme suit :

Configuration de groupes de sécurité d'application (ASG)

Grâce aux groupes de sécurité d'application, vous pouvez configurer la sécurité réseau en tant qu'extension naturelle de la structure d'une application. Vous pouvez également regrouper des machines virtuelles et définir des stratégies de sécurité réseau en fonction de ces groupes. Pour plus d'informations, reportez-vous à la section Groupes de sécurité d'application.

Avant de configurer les groupes de sécurité réseau, vous devez créer les groupes de sécurité d'application suivants :

Tableau 5-4 Groupes de sécurité d'application

Nom

Description

OpenText eDirectory

Contient l'interface réseau de toutes les machines virtuelles sur lesquelles OpenText eDirectory sera configuré.

eDirectory_CA

Contient l'interface réseau de la machine virtuelle sur laquelle le serveur OpenText eDirectory qui héberge l'autorité de certification de l'arborescence sera configuré.

OpenText Identity Console

Contient l'interface réseau de la machine virtuelle sur laquelle OpenText Identity Console sera configuré.

Configuration de groupes de sécurité réseau pour une machine virtuelle

Un groupe de sécurité est un ensemble de règles de pare-feu virtuel qui peuvent être assignées à une ou plusieurs machines virtuelles du réseau virtuel.

Pour plus d'informations, reportez-vous à l'article Groupes de sécurité.

Pour déployer OpenText eDirectory dans Azure, créez les groupes de sécurité réseau suivants : eDirectory_NSG_1, eDirectory_NSG_2 et IdentityConsole_NSG. Créez ces groupes de sécurité à l'aide des règles de port suivantes sur les règles de sécurité par défaut :

  1. eDirectory_NSG_1 : ce groupe NSG doit être associé à la machine virtuelle qui héberge l'autorité de certification de l'arborescence OpenText eDirectory.

    Priorité

    Nom

    Plage de ports

    Source

    Destination

    Opération

    Description

    100

    NCP

    TCP 524

    Sous-réseau OpenText eDirectory

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic NCP pour OpenText eDirectory dans le sous-réseau OpenText eDirectory.

    110

    HTTP CRL

    TCP 8028

    Réseau virtuel

    eDirectory_CA (ASG)

    ALLOW

    Nécessaire pour accéder à la liste de révocation de certificats (CRL) de l'arborescence OpenText eDirectory à partir du réseau virtuel lorsque des services du réseau virtuel sont configurés avec des certificats émis par l'autorité de certification de l'arborescence.

    120

    LDAPS

    TCP 636

    Sous-réseau OpenText eDirectory

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic LDAP sécurisé dans le sous-réseau OpenText eDirectory.

    130

    SLP

    N'importe laquelle (427)

    Sous-réseau OpenText eDirectory

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic SLP dans le sous-réseau OpenText eDirectory.

    140

    All Traffic (Tout le trafic)

    Toutes

    Tout

    Tout

    DENY

    Refuse tout le trafic entrant.

    REMARQUE :

    • Le sous-réseau OpenText eDirectory fait référence à la machine virtuelle sur laquelle OpenText eDirectory est installé.

    • Les serveurs OpenText eDirectory ne doivent pas être configurés pour écouter le port LDAP 389 et l'accès au port 389 ne doit pas être autorisé dans le groupe de sécurité assigné à OpenText eDirectory. En outre, l'accès au port HTTP doit uniquement être autorisé dans le groupe de sécurité assigné au serveur OpenText eDirectory qui héberge l'autorité de certification de l'arborescence.

  2. eDirectory_NSG_2 : ce groupe NSG doit être associé à toutes les machines virtuelles qui hébergent des serveurs OpenText eDirectory autres que l'autorité de certification de l'arborescence OpenText eDirectory.

    Priorité

    Nom

    Plage de ports

    Source

    Destination

    Opération

    Description

    100

    NCP

    TCP 524

    Sous-réseau OpenText eDirectory

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic NCP pour OpenText eDirectory dans le sous-réseau dorsal.

    110

    LDAPS

    TCP 636

    Sous-réseau OpenText eDirectory

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic LDAP sécurisé dans le sous-réseau dorsal.

    120

    SLP

    N'importe laquelle (427)

    Sous-réseau OpenText eDirectory

    OpenText eDirectory (ASG)

    ALLOW

    Autorise le trafic SLP dans le sous-réseau dorsal.

    130

    All Traffic (Tout le trafic)

    Toutes

    Tout

    Tout

    DENY

    Refuse tout le trafic entrant.

  3. IdentityConsole_NSG : ce groupe NSG doit être associé à la machine virtuelle qui héberge OpenText Identity Console. Les règles NSG suivantes autorisent l'accès au serveur OpenText Identity Console à partir du serveur proxy uniquement.

    Priorité

    Nom

    Plage de ports

    Source

    Destination

    Opération

    Description

    100

    HTTPS

    TCP 9000

    Réseau virtuel - Sous-réseau

    OpenText Identity Console (ASG)

    ALLOW

    Autorise le trafic HTTP sécurisé pour l'accès au proxy dans le sous-réseau.

    110

    All Traffic (Tout le trafic)

    Toutes

    Tout

    Tout

    DENY

    Refuse tout le trafic entrant.

Création et déploiement de machines virtuelles

Créez et lancez vos machines virtuelles (VM) sur l'une des plates-formes prises en charge. Pour plus d'informations sur la création et sur le lancement de machines virtuelles, reportez-vous à la section Créer et lancer votre machine virtuelle Windows. Dans le cadre de la création et du lancement des instances, vous devez également effectuer les étapes suivantes :

  1. Associez eDirectory_NSG_1 aux machines virtuelles sur lesquelles le premier serveur OpenText eDirectory sera configuré, eDirectory_NSG_2 à la machine virtuelle sur laquelle tous les autres serveurs OpenText eDirectory seront configurés et IdentityConsole_NSG avec la machine virtuelle sur laquelle Identity Console sera configuré. Pour plus d'informations sur les groupes de sécurité, reportez-vous à la section Configuration de groupes de sécurité réseau pour une machine virtuelle.

  2. Créez un hôte Bastion pour vous connecter à la machine virtuelle Windows.

    Pour accéder à la machine virtuelle Windows sur Azure, créez Bastion. Pour plus d'informations sur la configuration de Bastion et la connexion à une machine virtuelle Windows, voir Configuration de Bastion.

Configuration d'un disque de données pour le stockage des données OpenText eDirectory

La configuration d'un disque de données est nécessaire pour éviter la perte des données et de la configuration d'OpenText eDirectory en cas de crash de la machine virtuelle Azure. Pour plus d'informations sur la récupération des données et de la configuration d'OpenText eDirectory, reportez-vous à la section Reprise après sinistre. Une fois la machine virtuelle créée, procédez comme suit pour préparer la machine virtuelle pour le déploiement d'OpenText eDirectory :

  1. Créez et attachez un disque de données. Pour cela, suivez la procédure décrite dans l'article Utiliser le portail pour attacher un disque de données à une machine virtuelle Windows.

  2. Connectez-vous à la machine virtuelle, formatez le disque de données avec le système de fichiers NTFS, puis montez ce disque. Pour plus d'informations sur le formatage et le montage du disque de données, voir Initialiser un nouveau disque de données.

Installation d'OpenText eDirectory et d'OpenText Identity Console

Conditions préalables

Procédure d'installation et de configuration

Cette section fournit les instructions détaillées à suivre pour installer et configurer OpenText eDirectory et OpenText Identity Console dans un environnement Azure. Une fois OpenText eDirectory installé, assurez-vous que les conditions suivantes sont respectées :

  • EBA est activé.

  • SNMP est désactivé.

  • OpenText eDirectory n'écoute pas le port 389.

  • Les services LDAP et HTTP sont configurés pour utiliser les certificats ECDSA uniquement.

  • L'accès au port RDP du sous-réseau des machines virtuelles Azure doit être désactivé lorsqu'il n'est pas utilisé.

  • Désactivez les modules OpenText iMonitor, eMBox et DHost afin de renforcer la sécurité. Une fois qu'ils sont désactivés, toutes les activités impliquant ces modules doivent être effectuées à l'aide des utilitaires NDS uniquement.

Installation et configuration d'OpenText eDirectory

  1. Téléchargez le fichier eDirectory_<version>_Windows_x86_64.exe.

  2. Installez eDirectory. Pour plus d'informations, voir Installation ou mise à niveau d'OpenText eDirectory CE 24.4 (v9.3) sous Windows.

Installation et configuration d'OpenText Identity Console

Grâce à console d'administration OpenText Identity Console, vous pouvez gérer les opérations OpenText eDirectory dans votre environnement Azure. Identity Console doit être installé sur votre machine virtuelle Azure après avoir installé OpenText eDirectory.

  1. Téléchargez le fichier IdentityConsole_<version>_win_x86_64.zip.

  2. Installez et configurez OpenText Identity Console. Pour plus d'informations, voir Installation d'OpenText Identity Console sous Windows. Avant d'installer OpenText Identity Console, consultez la section Configuration système requise du Guide d'installation d'OpenText Identity Console.

Lancement d'OpenText Identity Console

Pour lancer OpenText Identity Console, procédez comme suit :

  1. Ouvrez l'interface utilisateur hôte Bastion.

  2. Lancez OpenText Identity Console dans un nouvel onglet de navigateur.

  3. Entrez le port et l'URL d'OpenText Identity Console.

Tâches de post-configuration

  1. Pour vérifier si EBA est activé, reportez-vous à la section Affichage des informations relatives à l'authentification EBA dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3).

  2. Activez SuiteB dans Certificate Server. Pour plus d'informations, reportez-vous à la section Activation de SuiteB dans Certificate Server dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3).

  3. Configurez la clé d'arborescence AES 256 bits pour le premier serveur OpenText eDirectory. Pour plus d'informations, reportez-vous à la section Creating an AES 256-Bit Tree Key (Création d'une clé d'arborescence AES 256 bits) dans le document NICI Administration Guide (Guide d'administration de NICI).

  4. Supprimez les points de distribution CRL sur le premier serveur OpenText eDirectory. L'accès LDAP non sécurisé sur le port 389 étant désactivé sur tous les serveurs OpenText eDirectory, la CRL pour l'autorité de certification de l'arborescence devrait être disponible au téléchargement par HTTP uniquement. Procédez comme suit pour supprimer les points de distribution CRL :

    1. Connectez-vous à OpenText Identity Console en tant qu'administrateur.

    2. Accédez à Gestion des certificats > Gestion des AC > CRL > Créer les CRL.

    3. Cliquez sur One. Sélectionnez et supprimez tous les points de distribution CRL, à l'exception du point de distribution CRL HTTP (http://<IP_instance>:8028/crl/one.crl).

    4. Cliquez sur Enregistrer, puis sur OK.

    5. Cliquez sur OneEC. Sélectionnez et supprimez tous les points de distribution CRL, à l'exception du point de distribution CRL HTTP (http://<IP_instance>:8028/crl/oneec.crl).

    6. Cliquez sur Enregistrer, puis sur OK.

  5. Réparez les certificats par défaut du serveur à l'aide du gestionnaire de certificats OpenText Identity Console. Pour cela, procédez comme suit :

    1. Connectez-vous à OpenText Identity Console en tant qu'administrateur.

    2. Accédez à Gestion des certificats > > Certificat par défaut.

    3. Sélectionnez le ou les serveurs qui possèdent les certificats, puis cliquez sur Suivant.

    4. Sélectionnez Tous les certificats par défaut sont écrasés, puis cliquez sur Suivant.

    5. Examinez les tâches à effectuer, puis cliquez sur Terminer > OK.

  6. Configurez les services LDAP et HTTP pour qu'ils utilisent les certificats ECDSA et les Ciphers SuiteB. Pour plus d'informations, reportez-vous à la section Configuration des services LDAP et HTTP pour qu'ils utilisent les certificats ECDSA et les Ciphers Suite B dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3). Une fois l'opération terminée, redémarrez OpenText eDirectory.

  7. Pour plus d'informations pour vérifier si le sous-agent SNMP est déchargé, reportez-vous à la section Chargement et déchargement du module serveur SNMP dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3).

  8. Assurez-vous qu'OpenText eDirectory n'écoute pas le port 389.

  9. Désactivez OpenText iMonitor, eMBox, DHost et la pile HTTP.

    1. Procédez comme suit pour désactiver OpenText iMonitor, eMBox et DHost sur le serveur OpenText eDirectory qui héberge l'autorité de certification de l'arborescence :

      1. Éditez le fichier ndsmodules.conf en commentant hconserv, imon et embox.

      2. Redémarrez OpenText eDirectory.

    2. Procédez comme suit pour désactiver la pile HTTP dans les serveurs de répliques OpenText eDirectory :

      1. Éditez le fichier ndsmodules.conf en commentant httpstk, hconserv, imon et embox.

      2. Redémarrez OpenText eDirectory.

        REMARQUE :httpstk doit être placé au-dessus de nds dans le fichier ndsmodules.conf avant les commentaires. Le module nds cesse alors d'activer la pile HTTP.

  10. Configurez SLP pour forcer OpenText eDirectory à utiliser la monodiffusion comme méthode d'annonce. Éditez le fichier slp.conf en indiquant l'adresse IP du serveur DA dans le sous-réseau dorsal. Pour plus d'informations, consultez Paramètres de configuration dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3).

REMARQUE :après avoir configuré toutes les machines virtuelles OpenText eDirectory et Identity Console, configurez les règles de sécurité du sous-réseau dorsal Azure pour interdire l'accès au port SSH et l'autoriser uniquement si nécessaire.

Reprise après sinistre

Procédez comme suit pour effectuer une reprise après sinistre sur une machine virtuelle Windows :

REMARQUE :Il est recommandé de sauvegarder les fichiers nici à l'aide de la sauvegarde dsbk après la configuration d'une arborescence. Pour plus d'informations, reportez-vous à la section Plan de reprise d’activité sous Windows.

  1. Arrêtez la machine virtuelle qui a subi un crash et dissociez le disque de données de cette machine. Pour plus d'informations, reportez-vous à l'article Comment détacher un disque de données d'une machine virtuelle Windows.

  2. Configurez une nouvelle machine virtuelle avec le même système d'exploitation que la machine virtuelle qui a subi le crash.

  3. Installez la même version d'OpenText eDirectory dans la nouvelle machine virtuelle.

  4. Copiez les fichiers de sauvegarde dsbk avec la sauvegarde nici sur la nouvelle machine virtuelle. Arrêtez les services ndsd et exécutez la restauration dsbk avec nici.

  5. Attachez le disque de données à la nouvelle machine virtuelle et montez le système de fichiers. Pour plus d'informations, reportez-vous à l'article Utiliser le portail pour attacher un disque de données à une machine virtuelle Windows.

  6. Démarrez les services ndsd sur la nouvelle machine virtuelle.

  7. Mettez à niveau OpenText eDirectory. Pour plus d'informations, voir Mise à niveau d'OpenText eDirectory dans le Guide d'installation d'OpenText™ eDirectory CE 24.4 (v9.3).

  8. Réparez les adresses réseau à l'aide de l'utilitaire ndsrepair. Pour plus d'informations, consultez Options DSRepair dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3).

  9. Modifiez l'adresseؘ IP du point de distribution CRL si l'adresse IP de l'autorité de certification de l'arborescence a changé. Pour plus d'informations sur la modification de l'adresse IP, reportez-vous à la section Affichage et modification des propriétés d'un objet Configuration CRL dans le Guide d'administration d'OpenText™ eDirectory CE 24.4 (v9.3).

  10. Réparez les certificats par défaut du serveur à l'aide du gestionnaire de certificats OpenText Identity Console. Pour cela, procédez comme suit :

    1. Connectez-vous à OpenText Identity Console en tant qu'administrateur.

    2. Accédez à Gestion des certificats > > Certificat par défaut.

    3. Sélectionnez le ou les serveurs qui possèdent les certificats, puis cliquez sur Suivant.

    4. Sélectionnez Tous les certificats par défaut sont écrasés, puis cliquez sur Suivant.

    5. Examinez les tâches à effectuer, puis cliquez sur Terminer > OK.

  11. Configurez les services LDAP et HTTP pour qu'ils utilisent les nouveaux certificats ECDSA.