Le coffre-fort d'identité utilise un annuaire pour stocker les objets synchronisés via la solution Identity Manager. Les sections suivantes contiennent des instructions pour vous aider à planifier le déploiement de NetIQ eDirectory en tant que cadre pour le coffre-fort d'identité.
NetIQ recommande de passer en revue les considérations suivantes avant d'installer eDirectory comme cadre pour le coffre-fort d'identité :
Avant d'installer eDirectory, vous devez disposer d'une méthode pour résoudre les noms d'arborescence en adresses de renvois du serveur. NetIQ recommande d'utiliser pour ce faire des services SLP (Service Location Protocol). Les versions de NetIQ eDirectory antérieures à la version 8.8 intégraient SLP dans le paquetage d'installation. En revanche, dans les versions ultérieures, les services SLP doivent être installés séparément. Vous pouvez également utiliser le fichier plat hosts.nds pour résoudre les noms d'arborescence. Pour plus d'informations, reportez-vous à la Section 8.2, Utilisation d'OpenSLP ou d'un fichier hosts.nds pour résoudre les noms d'arborescence.
(Conditionnel) Si vous effectuez l'installation sur un serveur Linux, vous devez activer l'hôte pour le routage multidiffusion, avec 224.0.0.0 dans la table de routage. Par exemple, entrez la commande suivante :
route add -net 224.0.0.0 netmask 240.0.0.0 dev interface
dans laquelle interface correspond à une valeur comme eth0, hme0, hme1 ou hme2 en fonction de la carte d'interface réseau.
(Conditionnel) Pour une installation interactive sur un serveur exécutant SLES 12 SP1 ou des plates-formes ultérieures, assurez-vous que les bibliothèques libXtst6-32bit-1.2.1-4.4.1.x86_64, libXrender-32bit et libXi6-32bit soient installées sur le serveur.
Pour que l'infrastructure eDirectory fonctionne efficacement, vous devez configurer une adresse IP statique sur le serveur. Si vous utilisez des adresses DHCP sur le serveur, eDirectory peut avoir des résultats imprévisibles.
Synchronisez l'heure de tous les serveurs du réseau. NetIQ recommande l'utilisation de l'option ntp de NTP (Network Time Protocol).
(Conditionnel) Pour installer un serveur secondaire, toutes les répliques de la partition sur laquelle vous installez le produit doivent être activées.
(Conditionnel) Pour installer un serveur secondaire dans une arborescence existante en tant qu'utilisateur non-administrateur, créez un conteneur, puis partitionnez-le. Vérifiez que vous disposez des droits suivants :
droits Superviseur sur la partition dans laquelle ajouter le serveur ;
(Windows) droits Superviseur sur le conteneur dans lequel ajouter le serveur ;
droits Tous les attributs : droits de lecture, de comparaison et d'écriture sur l'objet W0.KAP.Security ;
droits d'attributs : droits de lecture et de comparaison sur l'objet Conteneur de sécurité ;
droits d'entrée : droits d'exploration sur l'objet Conteneur de sécurité.
S'il existe moins de 3 répliques, ces droits sont obligatoires pour pouvoir en ajouter une.
(Conditionnel) Pour installer un serveur secondaire dans une arborescence existante en tant qu'utilisateur non-administrateur, assurez-vous qu'au moins un des serveurs de l'arborescence a la même version ou une version ultérieure d'eDirectory par rapport à celle du serveur secondaire ajouté en tant qu'administrateur de conteneur. Si la version du serveur secondaire ajouté est ultérieure, l'administrateur de l'arborescence doit étendre le schéma avant d'ajouter le serveur secondaire en tant qu'administrateur de conteneur.
Lors de la configuration d'eDirectory, vous devez activer un port NCP (NetWare Core Protocol) (port 524 par défaut) dans le pare-feu afin de permettre l'ajout du serveur secondaire. Vous pouvez également activer les ports de service par défaut suivants en fonction de vos besoins :
LDAP texte clair - 389
LDAP texte clair - 636
HTTP texte clair - 8028
HTTP texte clair - 8030
Vous devez installer NICI (Novell International Cryptographic Infrastructure) sur tous les postes de travail qui utilisent des utilitaires de gestion pour eDirectory, comme iManager. NICI et eDirectory prennent en charge des tailles de clé de 4 096 bits maximum.
Sous Linux, le programme d'installation du coffre-fort d'identité, nds-install, installe automatiquement NICI. Toutefois, vous pouvez installer NICI manuellement. Pour plus d'informations, reportez-vous à la section Installation de NICI du Guide d'installation de NetIQ eDirectory.
(Conditionnel) NICI 2.7 et eDirectory 8.8.x prennent en charge des tailles de clé de 4 096 bits maximum. Pour utiliser des clés de 4 Ko, vous devez mettre à niveau tous les serveurs vers la version prise en charge d'eDirectory. Vous devez également installer NICI 2.7 sur tous les postes de travail qui utilisent des utilitaires de gestion pour eDirectory, comme iManager et ConsoleOne.
Lorsque vous mettez à niveau votre serveur d'autorité de certification (CA) vers une version prise en charge d'eDirectory, la taille de clé demeure inchangée (2 Ko). Pour créer une taille de clé de 4 Ko, vous devez recréer l'autorité de certification sur le serveur eDirectory mis à niveau. Lors de la création de l'autorité de certification, vous devez également remplacer la taille de clé par défaut de 2 Ko par 4 Ko.
(Conditionnel) Si les noms des conteneurs de votre arborescence eDirectory contiennent un point, vous devez utiliser des caractères d'échappement pour spécifier les paramètres de nom d'administrateur, de contexte administrateur et de contexte du serveur au cours de l'installation et lors de l'ajout d'un serveur à une arborescence existante. Pour plus d'informations, reportez-vous à la Section 8.1, Utilisation de caractères d'échappement lorsque le nom d'un conteneur comprend un point (« . »).
Pour garantir la prise en charge des recherches LDAP avec les contrôles d'affichage de la liste virtuelle (Virtual List View - VLV) et de tri côté serveur (Server Side Sort - SSS), appliquez le Hot Fix 2 à eDirectory 9.0.2 ou eDirectory 8.8.8 Patch 9. Pour plus d'informations, reportez-vous au Section 11.0, Application du Hot Fix 2 au coffre-fort d'identité.
Cette zone de réacheminement dynamique (Hot Fix) n'est pas nécessaire si vous avez installé eDirectory avec le programme d'installation intégré. Le programme d'installation intégré installe une version mise à jour d'eDirectory dans laquelle ce Hot Fix est appliqué.
Pour installer le coffre-fort d'identité en tant qu'utilisateur non-root, votre environnement doit remplir les conditions suivantes :
Vous ne pouvez pas installer le coffre-fort d'identité dans un environnement en grappe en tant qu'utilisateur non-root.
Le sous-agent SNMP NOVsubag doit être installé sur le serveur par un utilisateur root, puis configuré.
Saisissez la commande suivante : rpm -ivh --nodeps NOVLsubag_rpm_nom_fichier_avec_chemin.
Exportez manuellement les chemins des variables d'environnement à l'aide de la commande suivante :
export LD_LIBRARY_PATH=custom_location/opt/novell/eDirectory/lib64:/opt/novell/eDirectory/lib64/nds-modules:/opt/novell/lib64:$LD_LIBRARY_PATH export PATH=/opt/novell/eDirectory/bin:$PATH export MANPATH=/opt/novell/man:$MANPATH
Par exemple :
rpm -ivh --nodeps novell-NOVLsubag-8.8.1-5.i386.rpm
(Conditionnel) Pour pouvoir utiliser les services SLP et SNMP sur le serveur du coffre-fort d'identité, vous devez les installer en tant qu'utilisateur root.
Le compte d'utilisateur non-root qui installe le coffre-fort d'identité doit disposer de droits d'écriture sur le répertoire d'installation.
NetIQ recommande de passer en revue les considérations suivantes avant d'installer le coffre-fort d'identité sur un serveur Windows :
Vous devez disposer de droits d'administrateur sur le serveur Windows et sur toutes les parties de l'arborescence eDirectory qui contiennent des objets Utilisateur reconnaissant le domaine. Pour procéder à l'installation dans une arborescence existante, vous devez disposer de droits d'administrateur sur l'objet Arborescence afin de pouvoir étendre le schéma et créer des objets.
(Conditionnel) Avant d'effectuer une installation en mode silencieux (sans surveillance), vous devez installer les logiciels suivants sur le serveur cible :
Microsoft Visual C++ 2005 et Microsoft Visual C++ 2012 Redistributable Package. Par défaut, les fichiers d'installation (vcredist_x86.exe et vcredist_x64.exe) sont situés dans le dossier eDirectory\Windows\x64\redist_pkg.
Novell International Cryptographic Infrastructure (NICI) pour les versions 32 et 64 bits. Par défaut, les fichiers d'installation sont situés dans le dossier eDirectory/Windows/type_processeur/nici.
Dans la mesure où un système NTFS offre un processus de transaction plus sécurisé qu'un système de fichiers FAT, vous ne pouvez installer eDirectory que sur une partition NTFS. Aussi, si vous disposez uniquement de systèmes de fichiers FAT, effectuez l'une des opérations suivantes :
Utilisez l'Administrateur de disques. Pour plus d'informations, reportez-vous à la documentation relative à Windows Server.
Créez une partition et attribuez-lui le format NTFS.
Convertissez un système de fichiers FAT existant au format NTFS à l'aide de la commande CONVERT.
Pour plus d'informations, reportez-vous à la documentation relative à Windows Server.
Si votre serveur ne dispose que d'un système de fichiers FAT et que vous omettez ce processus, le programme d'installation vous demande de fournir une partition NTFS.
Vous devez exécuter la version la plus récente du service Windows SNMP.
Avant de commencer le processus d'installation, assurez-vous que votre système d'exploitation Windows exécute les derniers service packs.
Si vous procédez à l'installation sur une machine virtuelle dotée d'une adresse DHCP ou sur une machine physique ou virtuelle sur laquelle SLP n'est pas diffusé, vérifiez que l'agent Annuaire est configuré sur votre réseau. Pour plus d'informations, reportez-vous à la Section 8.2.2, Présentation d'OpenSLP.
Avant d'installer le coffre-fort d'identité dans un environnement en grappe, NetIQ recommande de passer en revue les considérations suivantes :
Vous devez disposer d'au moins deux serveurs Windows ou Linux avec un logiciel de grappe.
Vous devez disposer d'un système de stockage partagé externe pris en charge par le logiciel de grappe, avec suffisamment d'espace disque pour pouvoir stocker toutes les données NICI et du coffre-fort d'identité :
La DIB du coffre-fort d'identité doit se trouver sur le stockage partagé de la grappe. Les données d'état du coffre-fort d'identité doivent être situées sur le stockage partagé de sorte qu'elles soient disponibles sur le noeud de grappe qui exécute actuellement les services.
L'instance root du coffre-fort d'identité sur chaque noeud de grappe doit être configurée pour utiliser la DIB sur le stockage partagé.
Vous devez également partager les données NICI (NetIQ International Cryptographic Infrastructure) de manière à ce que les clés propres aux serveurs soient répliquées sur les noeuds de grappe. Les données NICI utilisées par tous les noeuds de grappe doivent être situées sur le stockage partagé de grappe.
NetIQ recommande de stocker toutes les autres données de configuration et de journal d'eDirectory sur le stockage partagé.
Vous devez disposer d'une adresse IP virtuelle.
(Conditionnel) Si vous utilisez eDirectory comme structure de support pour le coffre-fort d'identité, l'utilitaire nds-cluster-config prend en charge la configuration de l'instance eDirectory root uniquement. eDirectory ne prend pas en charge la configuration de plusieurs instances et les installations non-root d'eDirectory dans un environnement en grappe.
Pour plus d'informations sur l'installation du coffre-fort d'identité dans un environnement de grappe, reportez-vous à la section Déploiement d'eDirectory sur des clusters haute disponibilité du Guide d'installation de NetIQ eDirectory.