50.2 Configuration du serveur d'applications d'identité

Vous devez configurer votre serveur d'applications d'identité pour utiliser le fichier keytab Kerberos et le compte utilisateur que vous avez créé dans Active Directory. Avant de poursuivre, assurez-vous que vous avez terminé la Section 50.1, Configuration du compte utilisateur Kerberos dans Active Directory.

REMARQUE :pour les références de domaine ou de domaine Kerberos, utilisez le format en majuscules. Par exemple : @MYCOMPANY.COM.

Pour définir vos paramètres de système d'exploitation pour la configuration Kerberos, procédez comme suit :

Ouvrez le fichier krb5 dans un éditeur de texte sur le serveur qui héberge les applications d'identité.

Linux : /etc/krb5.conf

Windows : C:\Windows\krb5.ini

Unix : /etc/krb5/krb5.conf

Ajoutez les informations suivantes au fichier krb5 :

[libdefaults]
    default_realm = WINDOWS-DOMAIN
    kdc_timesync = 0
    forwardable = true
    proxiable = false
[realms]
    WINDOWS-DOMAIN = {
         kdc = FQDN Active Directory Server
         admin_server = FQDN Active  Directory Server
    }
[domain_realm]
    .your.domain = WINDOWS-DOMAIN
    your.domain = WINDOWS-DOMAIN

Par exemple :

[libdefaults]
    default_realm = MYCOMPANY.COM
    kdc_timesync = 0
    forwardable = true
    proxiable = false
[realms]
    MYCOMPANY.COM = {
         kdc = myadserver.mycompany.com
         admin_server = myadserver.mycompany.com
    }
[domain_realm]
    .mycompany.com = MYCOMPANY.COM
    mycompany.com = MYCOMPANY.COM

Enregistrez les modifications et fermez le fichier krb5.

(Conditionnel) Pour définir les informations de configuration Kerberos pour Tomcat, procédez comme suit :
1. Sur le serveur d'applications Tomcat, créez un exemple de fichier Kerberos_login.config incluant le contenu ci-dessous :
  
  REMARQUE :l'utilisateur novlua a besoin d'autorisations pour créer le fichier Kerberos_login.config.
```
com.sun.security.jgss.krb5.accept {
		    com.sun.security.auth.module.Krb5LoginModule required
    debug="true"
		    refreshKrb5Config="true"
    useTicketCache="true"
		    ticketCache="/opt/netiq/idm/apps/tomcat/kerberos/spnegoTicket.cache"
    doNotPrompt="true"
		    principal="HTTP/DNS_Identity_Applications_server@WINDOWS-DOMAIN"
    useKeyTab="true"
        keyTab="/absolute_path/filename.keytab"
    storeKey="true";
    };
```
  Par exemple, sur un serveur Windows :
```
keyTab="c:\\NetIQ\\IdentityManager\\apps\\tomcat\kerberos\\rbpm.keytab"
```
2. Dans le fichier, spécifiez des valeurs pour les paramètres principal et keyTab. Par exemple :
```
principal="HTTP/rbpm.mycompany.com@MYCOMPANY.COM"
keyTab="/home/usr/rbpm.keytab"
```
  - La valeur du paramètre principal doit correspondre à celle que vous avez spécifiée pour Kerberos. Pour plus d'informations, reportez-vous à l'Étape 3.
  - Spécifiez le chemin d'accès absolu au fichier keytab sur votre serveur d'applications d'identité. Le fichier ne doit pas forcément se trouver dans le répertoire par défaut des applications d'identité.
3. Faites référence au fichier Kerberos_login.config dans le fichier JVM java.security avec la ligne suivante :
```
login.config.url.1=file:/opt/netiq/idm/apps/tomcat/kerberos/Kerberos_login.config
```
  Le chemin répertorié est l'emplacement d'installation par défaut d'un serveur Linux.
  
  Exemple de fichier java.security sur un serveur Windows :
```
login.config.url.1=file:c:/NetIQ/IdentityManager/apps/tomcat/kerberos/Kerberos_login.config
```
Pour spécifier la méthode d'authentification dans l'utilitaire de configuration de RBPM, procédez comme suit :
1. Ouvrez l'utilitaire Configupdate.
2. Cliquez sur l'onglet Authentification.
3. Faites défiler jusqu'à la section Méthode d'authentification.
4. Dans le champ Méthode, sélectionnez Kerberos.
5. Dans le champ Nom d'attribut de mappage, indiquez cn.
REMARQUE :pour plus d'informations sur l'utilitaire de configuration de RBPM, reportez-vous au Section 40.0, Configuration des paramètres pour les applications d'identité.
(Facultatif) Si vous avez installé Identity Reporting sur un serveur distinct, répétez ces étapes pour le composant de création de rapports.
Configurez les navigateurs employés par les utilisateurs finaux pour accéder aux applications d'identité. Pour plus d'informations, reportez-vous à la Section 50.3, Configuration des navigateurs des utilisateurs finaux pour l'authentification Windows intégrée.