Lors de la configuration des applications d'identité, cet onglet permet de définir les valeurs utilisées par les applications pour communiquer avec le coffre-fort d'identité. Certains paramètres sont requis pour terminer le processus d'installation.
Par défaut, l'onglet affiche les options de base. Pour afficher tous les paramètres, cliquez sur Afficher les options avancées. En outre, cet onglet comporte les groupes de paramètres suivants :
Cette section définit les paramètres qui permettent aux applications d'identité d'accéder aux identités utilisateur et aux rôles dans le coffre-fort d'identité. Certains paramètres sont requis pour terminer le processus d'installation.
Requis
Indique le nom d'hôte ou l'adresse IP de votre serveur LDAP. Par exemple : myLDAPhost.
Permet de spécifier le port sur lequel le coffre-fort d'identité doit être à l'écoute des requêtes LDAP en texte clair. La valeur par défaut est 389.
Pour plus d'informations sur l'utilisation de LDAP, reportez-vous à la Section 8.5, Utilisation du protocole LDAP pour communiquer avec le coffre-fort d'identité.
Permet de spécifier le port sur lequel le coffre-fort d'identité doit être à l'écoute des requêtes LDAP à l'aide du protocole SSL (Secure Sockets Layer). La valeur par défaut est 636.
Si un service déjà chargé sur le serveur (avant l'installation d'eDirectory) utilise ce port par défaut, vous devez spécifier un autre port. Pour plus d'informations sur l'utilisation de LDAP, reportez-vous à la Section 8.5, Utilisation du protocole LDAP pour communiquer avec le coffre-fort d'identité.
Requis
Indique les références de l'administrateur LDAP. Par exemple, cn=admin. Cet utilisateur doit déjà exister dans le coffre-fort d'identité.
Les applications d'identité utilisent ce compte pour établir une connexion administrative avec le coffre-fort d'identité. Cette valeur est codée, en fonction de la clé principale.
Requis
Permet de spécifier le mot de passe associé l'administrateur LDAP. Ce mot de passe est codé, en fonction de la clé principale.
Permet de spécifier si les utilisateurs non connectés peuvent accéder au compte anonyme public LDAP.
Indique si RBPM utilise le protocole SSL pour toutes les communications associées au compte administrateur. Cette configuration permet également d'exécuter des opérations qui ne nécessitent pas SSL.
REMARQUE :cette option peut affecter les performances.
Indique si RBPM utilise le protocole TLS/SSL pour toutes les communications associées au compte de l'utilisateur connecté. Ce paramètre permet d'effectuer des opérations qui ne nécessitent pas TLS/SSL pour fonctionner sans le protocole.
REMARQUE :cette option peut affecter les performances.
Cette section définit les noms distinctifs des conteneurs et des comptes utilisateur qui permettent la communication entre les applications d'identité et les autres composants Identity Manager. Certains paramètres sont requis pour terminer le processus d'installation.
Requis
Indique le nom distinctif LDAP du conteneur racine. Celui-ci est utilisé comme racine de recherche de définition d'entité par défaut lorsqu'aucune racine n'est indiquée dans la couche d'abstraction d'annuaire. Exemple : o=mycompany.
Requis
Si vous affichez les options avancées, l'utilitaire affiche ce paramètre sous Identité de l'utilisateur du coffre-fort d'identité.
Indique le nom distinctif (DN) LDAP ou le nom LDAP complet du conteneur utilisateur. Ce paramètre présente les caractéristiques suivantes :
Les utilisateurs de ce conteneur (et ses sous-conteneurs) sont autorisés à se connecter aux applications d'identité.
Si vous avez démarré l'instance Tomcat hébergeant les applications d'identité, vous ne pouvez pas modifier ce paramètre à l'aide des fichiers configupdate.sh ou configupdate.bat.
Ce conteneur doit inclure l'administrateur de l'application utilisateur que vous avez spécifié lors de la configuration du pilote de l'application utilisateur. Dans le cas contraire, le compte ne peut pas exécuter les workflows.
Requis
Si vous affichez les options avancées, l'utilitaire affiche ce paramètre sous Groupes d'utilisateurs du coffre-fort d'identité.
Indiquez le nom distinctif (DN) LDAP ou le nom LDAP complet du conteneur d'utilisateurs. Ce paramètre présente les caractéristiques suivantes :
Les définitions d'entité de la couche d'abstraction d'annuaire utilisent ce DN.
Si vous avez démarré l'instance Tomcat hébergeant les applications d'identité, vous ne pouvez pas modifier ce paramètre à l'aide des fichiers configupdate.sh ou configupdate.bat.
Requis
Indique le nom distinctif du pilote de l'application utilisateur.
Par exemple, si votre pilote est UserApplicationDriver et si votre ensemble de pilotes est appelé myDriverSet, et si l'ensemble de pilotes est dans un contexte de o=myCompany, indiquez cn=UserApplicationDriver,cn=myDriverSet,o=myCompany.
Requis
Permet d'indiquer un compte utilisateur existant dans le coffre-fort d'identité qui dispose des droits pour effectuer des tâches administratives pour le conteneur d'utilisateurs spécifié de l'application utilisateur. Ce paramètre présente les caractéristiques suivantes :
Si vous avez démarré l'instance Tomcat hébergeant l'application utilisateur, vous ne pouvez pas modifier ce paramètre à l'aide des fichiers configupdate.sh ou configupdate.bat.
Pour modifier cette assignation après avoir déployé l'application utilisateur, utilisez les pages Administration > Sécurité de l'application utilisateur.
Ce compte utilisateur est autorisé à utiliser l'onglet Administration de l'application utilisateur pour administrer le portail.
Si l'administrateur de l'application utilisateur participe aux tâches d'administration du workflow exposées dans iManager, Designer ou l'application utilisateur (onglet Requêtes et approbations), vous devez accorder à cet administrateur des autorisations d'ayant droit sur les instances d'objets contenues dans le pilote de l'application utilisateur. Pour plus d'informations, reportez-vous au manuel User Application Administration Guide (Guide d'administration de l'application utilisateur).
Permet d'indiquer un compte utilisateur existant dans le coffre-fort d'identité qui gère les fonctions de workflow de provisioning disponibles dans l'application utilisateur.
Pour modifier cette assignation après avoir déployé l'application utilisateur, utilisez la page Administration > Assignations de l'administrateur de l'application utilisateur.
Indique un compte existant dans le coffre-fort d'identité qui exécute un rôle système pour permettre aux membres d'exécuter toutes les fonctions de l'onglet Conformité. Ce paramètre présente les caractéristiques suivantes :
Pour modifier cette assignation après avoir déployé les applications d'identité, utilisez la page Administration > Assignations de l'administrateur de l'application utilisateur.
Lors d'une mise à jour de la configuration, les modifications apportées à cette valeur prennent effet uniquement si aucun administrateur de conformité valide n'est assigné. Si un administrateur de conformité valide existe, vos modifications ne sont pas enregistrées.
Spécifie le rôle qui permet aux membres de créer, de supprimer ou de modifier l'ensemble des rôles, ainsi que d'accorder ou de révoquer les assignations de rôle des utilisateurs, des groupes ou des conteneurs. Il permet également à ses membres d'exécuter des rapports pour n'importe quel utilisateur. Ce paramètre présente les caractéristiques suivantes :
Par défaut, ce rôle est assigné à l'administrateur de l'application utilisateur.
Pour modifier cette assignation après avoir déployé les applications d'identité, utilisez la page Administration > Assignations de l'administrateur de l'application utilisateur.
Lors d'une mise à jour de la configuration, les modifications apportées à cette valeur prennent effet uniquement si aucun administrateur de rôles valide n'est assigné. Si un administrateur de rôles valide existe, vos modifications ne sont pas enregistrées.
Spécifie le rôle qui permet aux membres d'accéder à toutes les fonctionnalités du domaine Sécurité. Ce paramètre présente les caractéristiques suivantes :
L'administrateur de la sécurité peut effectuer toutes les opérations possibles sur tous les objets au sein du domaine Sécurité. Le domaine Sécurité permet également à l'administrateur de la sécurité de configurer des autorisations d'accès pour tous les objets dans tous les domaines de RBPM. L'administrateur de la sécurité peut configurer des équipes et assigner des administrateurs de domaine, des administrateurs délégués et d'autres administrateurs de la sécurité.
Pour modifier cette assignation après avoir déployé les applications d'identité, utilisez la page Administration > Assignations de l'administrateur de l'application utilisateur.
Spécifie le rôle qui permet aux membres d'accéder à toutes les fonctionnalités du domaine Ressource. Ce paramètre présente les caractéristiques suivantes :
L'administrateur de ressources peut effectuer toutes les opérations possibles pour tous les objets au sein du domaine Ressource.
Pour modifier cette assignation après avoir déployé les applications d'identité, utilisez la page Administration > Assignations de l'administrateur de l'application utilisateur.
Spécifie le rôle qui permet aux membres d'accéder à toutes les fonctionnalités du domaine Configuration. Ce paramètre présente les caractéristiques suivantes :
L'administrateur de la configuration RBPM peut effectuer toutes les opérations possibles pour tous les objets au sein du domaine Configuration. L'administrateur de la configuration RBPM contrôle l'accès aux éléments de navigation dans RBPM. En outre, l'administrateur de la configuration RBPM configure le service proxy et de délégation, l'interface utilisateur de provisioning et le moteur de workflow.
Pour modifier cette assignation après avoir déployé les applications d'identité, utilisez la page Administration > Assignations de l'administrateur de l'application utilisateur.
Spécifie l'administrateur de la création de rapports. Par défaut, le programme d'installation définit cette valeur sur le même utilisateur que celui renseigné dans les autres champs de sécurité.
Cette section définit les valeurs qui permettent aux applications d'identité de communiquer avec un conteneur d'utilisateurs dans le coffre-fort d'identité. Certains paramètres sont requis pour terminer le processus d'installation.
L'utilitaire n'affiche ces paramètres que lorsque vous sélectionnez Aff. options avancées.
Requis
Lorsque cette option n'est pas présente les options avancées, l'utilitaire affiche ce paramètre sous DN du coffre-fort d'identité.
Indique le nom distinctif (DN) LDAP ou le nom LDAP complet du conteneur utilisateur. Ce paramètre présente les caractéristiques suivantes :
Les utilisateurs de ce conteneur (et ses sous-conteneurs) sont autorisés à se connecter aux applications d'identité.
Si vous avez démarré l'instance Tomcat hébergeant les applications d'identité, vous ne pouvez pas modifier ce paramètre à l'aide des fichiers configupdate.sh ou configupdate.bat.
Ce conteneur doit inclure l'administrateur de l'application utilisateur que vous avez spécifié lors de la configuration du pilote de l'application utilisateur. Dans le cas contraire, le compte ne peut pas exécuter les workflows.
Permet de définir la mesure dans laquelle les utilisateurs du coffre-fort d'identité peuvent effectuer des recherches dans le conteneur.
Indique la classe d'objet de l'utilisateur LDAP. La classe est généralement inetOrgPerson.
Spécifie l'attribut LDAP qui représente le nom de connexion de l'utilisateur. Exemple : cn
Spécifie l'attribut LDAP utilisé comme identifiant lors de la consultation d'utilisateurs ou de groupes. Ce n'est pas le même que l'attribut de connexion, qui n'est utilisé que lors de la connexion. Exemple : cn
(Facultatif) Spécifie l'attribut LDAP qui représente l'adhésion à un groupe de l'utilisateur. N'utilisez pas d'espaces pour le nom.
Cette section définit les valeurs qui permettent aux applications d'identité de communiquer avec un conteneur de groupes dans le coffre-fort d'identité. Certains paramètres sont requis pour terminer le processus d'installation.
L'utilitaire n'affiche ces paramètres que lorsque vous sélectionnez Aff. options avancées.
Requis
Lorsque cette option n'est pas présente les options avancées, l'utilitaire affiche ce paramètre sous DN du coffre-fort d'identité.
Indiquez le nom distinctif (DN) LDAP ou le nom LDAP complet du conteneur d'utilisateurs. Ce paramètre présente les caractéristiques suivantes :
Les définitions d'entité de la couche d'abstraction d'annuaire utilisent ce DN.
Si vous avez démarré l'instance Tomcat hébergeant les applications d'identité, vous ne pouvez pas modifier ce paramètre à l'aide des fichiers configupdate.sh ou configupdate.bat.
Permet de définir la mesure dans laquelle les utilisateurs du coffre-fort d'identité peuvent effectuer des recherches dans le conteneur de groupes.
Indique la classe d'objet du groupe LDAP. La classe est généralement groupofNames.
(Facultatif) Spécifie l'adhésion à un groupe de l'utilisateur. N'utilisez pas d'espaces pour le nom.
Indique si vous souhaitez utiliser des groupes dynamiques.
Vous devez aussi spécifier une valeur pour Classe d'objet Groupe dynamique.
Ne s'applique que lorsque vous sélectionnez l'option Utiliser des groupes dynamiques.
Indique la classe d'objet du groupe dynamique LDAP. La classe est généralement dynamicGroup.
Cette section définit le chemin d'accès et le mot de passe pour le keystore du JRE. Certains paramètres sont requis pour terminer le processus d'installation.
Requis
Indique le chemin d'accès complet au fichier (cacerts) de votre keystore du JRE utilisé par Tomcat. Vous pouvez entrer manuellement le chemin d'accès ou parcourir l'arborescence jusqu'au fichier cacerts. Ce paramètre présente les caractéristiques suivantes :
Dans les environnements, vous devez indiquer le répertoire d'installation de RBPM. La valeur par défaut est définie sur l'emplacement correct.
Le programme d'installation des applications d'identité modifie le fichier keystore. Sous Linux, l'utilisateur doit avoir l'autorisation d'écrire dans ce fichier.
Requis
Spécifie le mot de passe pour le fichier keystore. L'unité par défaut est changeit.
Cette section décrit les valeurs permettant de configurer des notifications par message électronique que vous pouvez utiliser pour les approbations. Pour plus d'informations, reportez-vous à la section Enabling Support for Digital Signatures
(Activation de la prise en charge des signatures numériques) du NetIQ Identity Manager - Administrator's Guide to the Identity Applications (NetIQ Identity Manager - Guide de l'administrateur des applications d'identité) et à la section Manage Approvals by Email
(Gestion des approbations par courrier électronique) dans l'Aide des applications d'identité.
Spécifie le nom ou l'adresse IP de l'instance Tomcat qui héberge les applications d'identité. Par exemple, myapplication serverServer.
Cette valeur remplace le jeton $HOST$ des modèles de courrier électronique. Le programme d'installation utilise ces informations pour créer une URL conduisant aux tâches de requête de provisioning et aux notifications d'approbation.
Spécifie le numéro de port de l'instance Tomcat qui héberge les applications d'identité.
Cette valeur remplace le jeton $PORT$ dans les modèles de message électronique qui sont utilisés dans des tâches de requête de provisioning et les notifications d'approbation.
Spécifie le numéro de port sécurisé de l'instance Tomcat qui héberge les applications d'identité.
Cette valeur remplace le jeton $SECURE_PORT$ dans les modèles de courrier électronique utilisés dans les tâches de requête de provisioning et les notifications d'approbation.
Indique un protocole non sécurisé inclus dans l'URL lors de l'envoi de courrier électronique à l'utilisateur. Exemple : http.
Cette valeur remplace le jeton $PROTOCOL$ dans les modèles de courrier électronique utilisés dans les tâches de requête de provisioning et les notifications d'approbation.
Indique le protocole sécurisé inclus dans l'URL lors de l'envoi de courrier électronique à l'utilisateur. Exemple : https.
Cette valeur remplace le jeton $SECURE_PROTOCOL$ dans les modèles de courrier électronique utilisés dans les tâches de requête de provisioning et les notifications d'approbation.
Indique le compte de messagerie électronique utilisé par les applications d'identité pour envoyer des notifications par courrier électronique.
Indique l'adresse IP ou le nom DNS de l'hôte de messagerie SMTP utilisé par les applications d'identité pour les messages électroniques de provisioning. N'utilisez pas localhost.
Indique si vous souhaitez que le serveur demande une authentification.
Vous devez également spécifier des références pour le serveur de messagerie.
Applicable uniquement si vous activez l'option Le serveur requiert une authentification.
Permet d'indiquer le nom d'un compte de connexion au serveur de messagerie.
Applicable uniquement si vous activez l'option Le serveur requiert une authentification.
Permet d'indiquer le mot de passe d'un compte de connexion pour le serveur de messagerie.
Indique si vous souhaitez sécuriser le contenu des messages lors de leur transmission entre les serveurs de messagerie.
Indique le chemin d'accès à l'image que vous souhaitez inclure dans les notifications par message électronique. Par exemple, http://localhost:8080/IDMProv/images.
Indique si vous souhaitez ajouter une signature numérique aux messages sortants.
Si vous activez cette option, vous devez également spécifier les paramètres du fichier Keystore et de la clé de signature.
Applicable uniquement lorsque vous activez l'option Signer le message électronique.
Spécifie le chemin d'accès complet au fichier Keystore (cacerts) que vous souhaitez utiliser pour ajouter une signature numérique à un message électronique. Vous pouvez entrer manuellement le chemin d'accès ou parcourir l'arborescence jusqu'au fichier cacerts.
Par exemple : /opt/netiq/idm/apps/jre/lib/security/cacerts.
Applicable uniquement lorsque vous activez l'option Signer le message électronique.
Spécifie le mot de passe pour le fichier keystore. Par exemple : changeit.
Applicable uniquement lorsque vous activez l'option Signer le message électronique.
Spécifie l'alias de la clé de signature dans le keystore. Par exemple : idmapptest.
Applicable uniquement lorsque vous activez l'option Signer le message électronique.
Spécifie le mot de passe qui protège le fichier contenant la clé de signature. Par exemple : changeit.
Cette section définit les valeurs du keystore approuvé pour les applications d'identité. L'utilitaire n'affiche ces paramètres que lorsque vous sélectionnez Aff. options avancées.
Indique le chemin d'accès au keystore approuvé qui contient tous les certificats de signataires approuvés. Si ce chemin est vide, les applications d'identité obtiennent le chemin à partir de la propriété système javax.net.ssl.trustStore. Si la propriété système ne peut pas fournir le chemin, le programme d'installation est défini par défaut sur jre/lib/security/cacerts.
Spécifie le mot de passe du keystore approuvé. Si ce champ est vide, les applications d'identité obtiennent le mot de passe à partir de la propriété système javax.net.ssl.trustStorePassword. Si la propriété système ne peut pas fournir le chemin, le programme d'installation est défini par défaut sur changeit.
Ce mot de passe est codé, en fonction de la clé principale.
Indique si le chemin d'accès à la zone de stockage approuvée utilise un keystore Java (JKS) ou PKCS12 pour la signature numérique.
Cette section définit les valeurs qui permettent à Identity Manager de communiquer avec Sentinel pour l'audit des événements. L'utilitaire n'affiche ces paramètres que lorsque vous sélectionnez Aff. options avancées.
Répertorie les certificats de clé publique personnalisés utilisables par le serveur OAuth pour authentifier les messages d'audit envoyés à Sentinel.
Indique le chemin d'accès au fichier de clé privée personnalisé utilisable par le serveur OAuth pour authentifier les messages d'audit envoyés à Sentinel.
L'utilitaire n'affiche ces paramètres que lorsque vous sélectionnez Aff. options avancées.
Spécifie l'URI à utiliser lorsque l'installation client utilise le protocole OCSP (On-Line Certificate Status Protocol). Par exemple, http://host:port/ocspLocal.
L'URI OCSP met à jour le statut des certificats approuvés en ligne.
Indique le nom complet du fichier de configuration de l'autorisation.
Au cours de l'installation, permet d'indiquer si vous souhaitez que le programme d'installation crée des index sur les attributs manager, ismanager, and srvprvUUID attributes. Après l'installation, vous pouvez modifier les paramètres afin qu'ils pointent vers un nouvel emplacement des index. Ce paramètre présente les caractéristiques suivantes :
Sans index pour ces attributs, les utilisateurs des applications d'identité peuvent connaître une réduction des performances de ces applications, en particulier dans un environnement en grappes.
Vous pouvez créer ces index manuellement à l'aide d'iManager après avoir installé les applications d'identité. Pour plus d'informations, reportez-vous à la Section 39.4, Configuration du coffre-fort d'identité pour les applications d'identité.
Pour des performances optimales, nous vous conseillons de créer l'index de l'aide au cours de l'installation.
Les index doivent être en mode en ligne pour que vous puissiez rendre les applications d'identité accessibles aux utilisateurs.
Pour créer ou supprimer un index, vous devez aussi spécifier une valeur pour DN du serveur.
Ne s'applique que lorsque vous souhaitez créer ou supprimer un index du coffre-fort d'identité.
Spécifie le serveur eDirectory sur lequel vous voulez créer ou supprimer les index.
Vous ne pouvez spécifier qu'un seul serveur à la fois. Pour configurer des index sur plusieurs serveurs eDirectory, vous devez exécuter l'utilitaire de configuration RBPM plusieurs fois.
Indique si vous voulez réinitialiser la sécurité RBPM lorsque l'installation est terminée. Vous devez également redéployer les applications d'identité.
Indique l'URL du module de création de rapports d'Identity Manager. Par exemple, http://hostnamport/IDMRPT.
Spécifie le nom du thème personnalisé que vous souhaitez utiliser pour l'affichage des applications d'identité dans le navigateur.
Permet de définir la valeur à utiliser dans le modèle de présentation pour les appenders CONSOLE et FILE dans le fichier idmuserapp_logging.xml. La valeur par défaut est RBPM.
Indique si vous voulez modifier le nom du contexte de RBPM.
Vous devez également spécifier les nouveaux nom et DN du pilote de rôles et de ressources.
Ne s'applique que lorsque vous sélectionnez Modifier le nom du contexte RBPM.
Indique le nouveau nom du contexte pour RBPM.
Ne s'applique que lorsque vous sélectionnez Modifier le nom du contexte RBPM.
Indique le DN du pilote de rôles et de ressources.
Ces paramètres ne s'appliquent qu'au cours de l'installation.
Cette section vous permet de définir les valeurs des objets Conteneur ou de créer de nouveaux objets Conteneur.
Indique les types d'objets Conteneur que vous souhaitez utiliser.
Indique le conteneur : lieu, pays, unité organisationnelle, organisation ou domaine.
Vous pouvez également définir vos propres conteneurs dans iManager et les ajouter sous Ajouter un nouvel objet du conteneur.
Spécifie le nom du type d'attribut associé au type d'objet Conteneur spécifié.
Indique le nom LDAP d'une classe d'objets du coffre-fort d'identité pouvant servir de conteneur.
Spécifie le nom du type d'attribut associé au nouveau type d'objet Conteneur.