1.1 Configuration système requise et conditions préalables concernant l'installation de Docker

1.1.1 Configuration système requise

OpenText Identity Console peut être exécuté en tant que conteneur Docker. Par conséquent, pour plus d'informations sur la configuration système requise et sur les plates-formes prises en charge pour l'installation d'OpenText Identity Console, reportez-vous à la documentation relative à Docker.

1.1.2 Conditions préalables

Installez Docker 20.10.9-ce ou version ultérieure. Pour plus d'informations sur l'installation de votre plate-forme en tant que Docker, reportez-vous à la section Docker Installation (Installation du Docker).
Vous devez obtenir un certificat de serveur pkcs12 avec la clé privée pour chiffrer/déchiffrer l'échange de données entre le serveur OpenText Identity Console et le serveur dorsal. Ce certificat de serveur sert à sécuriser la connexion HTTP. Vous pouvez utiliser des certificats de serveur générés par une autorité de certification externe. Pour plus d'informations, reportez-vous à la section Création d'un objet Certificat de serveur. Le certificat de serveur doit contenir l'alias de l'objet avec l'adresse IP et le nom DNS du serveur OpenText Identity Console. Une fois l'objet Certificat de serveur créé, vous devez l'exporter au format .pfx.
Vous devez obtenir un certificat d'autorité de certification (CA) pour toutes les arborescences au format .pem pour valider la signature CA des certificats de serveur obtenus à l'étape précédente. Ce certificat CA racine garantit également l'établissement d'une communication LDAP sécurisée entre le client et le serveur OpenText Identity Console. Par exemple, vous pouvez obtenir le certificat CA OpenText eDirectory (SSCert.pem) à partir de l'emplacement /var/opt/novell/eDirectory/data/SSCert.pem.
(Facultatif) À l'aide de One SSO Provider (OSP), vous pouvez activer l'authentification Single Sign-On pour vos utilisateurs sur le portail OpenText Identity Console. Vous devez installer OSP avant OpenText Identity Console. Pour configurer OSP pour OpenText Identity Console, suivez les invites à l'écran et fournissez les valeurs requises pour les paramètres de configuration. Pour enregistrer OpenText Identity Console sur un serveur OSP existant, vous devez ajouter manuellement les éléments suivants au fichier ism-configuration.properties dans le dossier /opt/netiq/idm/apps/tomcat/conf/ :
```
com.netiq.edirapi.clientID = identityconsole
com.netiq.edirapi.redirect.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/authcoderedirect
com.netiq.edirapi.logout.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/logoutredirect
com.netiq.edirapi.logout.return-param-name = logoutURL
com.netiq.edirapi.response-types = code,token
com.netiq.edirapi.clientPass._attr_obscurity = NONE
com.netiq.edirapi.clientPass = novell
```
REMARQUE :
- OSP ne vous permet de vous connecter qu'à une seule arborescence OpenText eDirectory, car il ne prend pas en charge plusieurs arborescences OpenText eDirectory.
- Les fournisseurs OSP tiers ne sont pas pris en charge dans OpenText Identity Console.
- Dans un environnement NAM intégré, OpenText Identity Console avec OSP n’est pas pris en charge actuellement.
Veillez à ce qu'une entrée DNS appropriée soit disponible pour votre machine hôte dans /etc/hosts avec un nom d'hôte complet.
Si vous souhaitez utiliser OpenText Identity Console dans le navigateur Edge, vous devez télécharger la dernière version de Microsoft Edge pour bénéficier de toutes les fonctionnalités.

REMARQUE :si vous utilisez OpenText Identity Console dans Mozilla Firefox, l'opération peut échouer avec le message d'erreur Origin Mismatch (Problème de correspondance d'origine). Pour résoudre ce problème, effectuez les étapes suivantes :

Mettez Firefox à jour vers la version la plus récente.
Entrez about:config dans le champ d'URL de Firefox, puis appuyez sur Entrée.
Recherchez Origin.
Double-cliquez sur network.http.sendOriginHeader, puis remplacez sa valeur par 1.

1.1.3 Configuration de l'environnement

Il peut être nécessaire de créer un fichier de configuration contenant certains paramètres. Si vous souhaitez configurer OpenText Identity Console avec OSP, vous devez spécifier les paramètres propres à OSP dans le fichier de configuration. Par exemple, créez le fichier edirapi.conf ci-dessous avec les paramètres OSP :

REMARQUE :Vous devez indiquer le nom de votre arborescence OpenText eDirectory dans le champ osp-redirect-url.

listen = ":9000"
ldapserver = "192.168.1.1:636"
ldapuser = "cn=admin,ou=sa,o=system"
ldappassword = "novell"
pfxpassword = "novell"
ospmode = "true"
osp-token-endpoint = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/getattributes"
osp-authorize-url = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/grant"
osp-logout-url = "https://10.10.10.10:8543/osp/a/idm/auth/app/logout"
osp-redirect-url = "https://10.10.10.10:9000/eDirAPI/v1/edirtree/authcoderedirect"
osp-client-id = "identityconsole"
ospclientpass = "novell"
ospcert = "/etc/opt/novell/eDirAPI/cert/SSCert.pem"
bcert = "/etc/opt/novell/eDirAPI/cert/"
loglevel = "error"
check-origin = "true"
origin = "https://10.10.10.10:9000,https://192.168.1.1:8543"

Si vous souhaitez configurer OpenText Identity Console sans OSP, créez un fichier de configuration comme indiqué ci-dessous, sans les paramètres OSP :

[OpenText Identity Console 1.9]

listen = ":9000"
pfxpassword = "novell"
ospmode = "false"
bcert = "/etc/opt/novell/eDirAPI/cert/"
auto-fetch = false

REMARQUE :

Supprimez le paramètre edir-hosts du fichier de configuration et ajoutez le paramètre auto-fetch.
Si auto-fetch = false, vous devez copier manuellement le certificat d'autorité de certification dans le dossier cert.

[OpenText Identity Console 1.8 et versions antérieures]

listen = ":9000"
pfxpassword = "novell"
ospmode = "false"
bcert = "/etc/opt/novell/eDirAPI/cert/"
edir-hosts = "<ip_address-1>:636,<ip_address-2>:636"

REMARQUE :si vous souhaitez configurer OpenText Identity Console avec plusieurs arborescences OpenText eDirectory, vous pouvez ignorer les paramètres « ldapserver », « ldapuser » et « ldappassword » et créer le fichier de configuration.

Tableau 1-1 Description des paramètres de configuration dans le fichier de configuration

Paramètre de configuration	Description
listen	Spécification du port 9000 en tant que port d'écoute du serveur OpenText Identity Console dans le conteneur.
ldapserver	Indiquez l’adresse IP et le numéro de port du serveur hôte OpenText eDirectory.
ldapuser	Spécification du nom de l'utilisateur OpenText eDirectory. Ce paramètre est utilisé en tant qu'informations d'identification pour lancer des appels LDAP vers OpenText eDirectory à l'aide du contrôle d'autorisation par proxy en cas de connexion OSP. L'utilisateur LDAP doit disposer des droits de superviseur sur l'arborescence OpenText eDirectory.
ldappassword	Spécification du mot de passe de l'utilisateur LDAP.
pfxpassword	Spécification du mot de passe du fichier de certificat de serveur PKCS12.
ospmode	Spécification de la valeur true (vrai) pour intégrer OSP à OpenText Identity Console. Si ce paramètre a la valeur false, OpenText Identity Console utilise la connexion LDAP.
osp-token-endpoint	Cette URL est utilisée pour extraire certains attributs du serveur OSP afin de vérifier la validité du jeton d'authentification.
osp-authorize-url	Cette URL est utilisée par l'utilisateur pour fournir les informations d'identification permettant d'obtenir un jeton d'authentification.
osp-logout-url	Cette URL permet de mettre fin à la session entre l'utilisateur et le serveur OSP.
osp-redirect-url	Le serveur OSP redirige l'utilisateur vers cette URL une fois le jeton d'authentification accordé. REMARQUE :Veillez à spécifier le nom de l'arborescence OpenText eDirectory en minuscules lorsque vous configurez OpenText Identity Console. Dans le cas contraire, la connexion au serveur OpenText Identity Console risque d'échouer.
osp-client-id	Spécification de l'identifiant du client OSP qui a été fourni lors de l'enregistrement d'OpenText Identity Console avec OSP.
ospclientpass	Spécification du mot de passe du client OSP qui a été fourni lors de l'enregistrement d'OpenText Identity Console avec OSP.
ospcert	Spécification de l'emplacement du certificat CA du serveur OSP.
bcert	Spécification de l'emplacement du certificat d'autorité de certification d'OpenText Identity Console.
loglevel	Spécification des niveaux de consignation à inclure dans le fichier journal. Ce paramètre peut avoir la valeur « fatal » (irrécupérable), « error » (erreur), « warn » (avertissement) ou « info ».
check-origin	Si ce paramètre a la valeur true (vrai), le serveur OpenText Identity Console compare la valeur d'origine des requêtes. Les options disponibles sont true (vrai) et false (faux). Le paramètre origin est obligatoire même si la valeur du paramètre check-origin est définie sur false (faux) lors de l'utilisation de la configuration DNS.
origin	OpenText Identity Console compare la valeur d'origine des requêtes aux valeurs spécifiées dans ce champ. REMARQUE :à partir d'OpenText Identity Console 1.4, ce paramètre est indépendant du paramètre check-origin et est obligatoire si la configuration DNS est utilisée.
maxclients	Nombre maximal de clients simultanés qui peuvent accéder à IDConsole. Tout client supplémentaire au-delà de cette limite est placé en file d'attente.
récupération automatique	À partir d’OpenText Identity Console 1.9, vous pouvez choisir de récupérer automatiquement le certificat d'autorité de certification.
edir-hosts (1.8 et versions antérieures)	edir-host est un paramètre qui contient la ou les adresses IP d’OpenText eDirectory que vous souhaitez connecter via OpenText Identity Console.

REMARQUE :

N'utilisez le paramètre de configuration ospmode que si vous envisagez d'intégrer OSP à OpenText Identity Console.
Si Identity Applications (Identity Apps) est configuré en mode grappe dans OpenText Identity Manager, vous devez fournir le nom DNS du serveur équilibreur de charge dans les champs osp-token-endpoint, osp-authorize-url et osp-logout-url du fichier de configuration. Si vous indiquez les détails du serveur OSP dans ces champs, la connexion à OpenText Identity Console échoue.
Si OpenText Identity Console est configuré avec la même instance OSP qu'Identity Apps et OpenText Identity Reporting, le service d'authentification Single Sign-On prend effet lorsque vous vous connectez au portail OpenText Identity Console.
L'URL HTTPS OSP doit être validée avec des certificats contenant une clé 2 048 bits ou supérieure avec OpenText Identity Console 1.4 ou version ultérieure.
Si vous souhaitez interdire l'accès au portail OpenText Identity Console à partir de différents domaines, définissez le paramètre samesitecookie sur la valeur strict. Si vous souhaitez autoriser l'accès au portail OpenText Identity Console à partir de différents domaines, définissez le paramètre samesitecookie sur la valeur lax.. Si le paramètre n'est pas spécifié durant la configuration, les paramètres du navigateur sont respectés par défaut.

Dès que le fichier de configuration est prêt, procédez au déploiement du conteneur. Pour plus d'informations, reportez-vous à la section Installation d'OpenText Identity Console en tant que conteneur Docker.