7.1 Planification de l'installation du coffre-fort d'identité

Cette section décrit les conditions préalables, les considérations, ainsi que la configuration système requise pour installer le coffre-fort d'identité. Tout d'abord, consultez la liste de contrôle pour comprendre la procédure d'installation.

7.1.1 Liste de contrôle pour l'installation du coffre-fort d'identité

NetIQ recommande d'effectuer les étapes de la liste de contrôle suivante :

Éléments de la liste de contrôle

  1. Renseignez-vous sur les interactions entre les différents composants Identity Manager. Pour plus d'informations, reportez-vous à la Section I, Introduction.

  1. Choisissez les serveurs que vous souhaitez utiliser pour vos composants Identity Manager. Pour plus d'informations, reportez-vous à la Section 5.3.4, Configuration recommandée pour le serveur.

  1. Passez en revue les considérations relatives à l'installation du coffre-fort d'identité pour vous assurer que les ordinateurs remplissent les conditions préalables. Pour plus d'informations, reportez-vous à la Section 7.1.2, Conditions préalables et considérations relatives à l'installation du coffre-fort d'identité.

  1. Vérifiez la configuration matérielle et logicielle requise pour les ordinateurs qui hébergeront le coffre-fort d'identité. Pour plus d'informations, reportez-vous à la Section 7.1.4, Configuration système requise pour le coffre-fort d'identité.

  1. Familiarisez-vous avec l'utilisation des caractères d'échappement dans les noms des conteneurs du coffre-fort d'identité qui contiennent un point (« . »). Pour plus d'informations, reportez-vous à la Section 7.2.1, Utilisation de caractères d'échappement lorsque le nom d'un conteneur comprend un point (« . »).

  1. Familiarisez-vous avec l'utilisation du coffre-fort d'identité dans un environnement qui utilise des adresses IPv6. Pour plus d'informations, reportez-vous à la Section 7.2.4, Utilisation d'adresses IPv6 sur le serveur du coffre-fort d'identité.

  1. Familiarisez-vous avec les ports requis pour les communications LDAP. Pour plus d'informations, reportez-vous à la Section 7.2.5, Utilisation du protocole LDAP pour communiquer avec le coffre-fort d'identité.

  1. Pour obtenir des instructions d'installation, reportez-vous à l'une des sections suivantes :

  1. (Facultatif) Excluez le répertoire DIB stocké sur votre serveur eDirectory de tous les processus antivirus ou de sauvegarde.

  1. (Facultatif) Sauvegardez votre répertoire DIB. Pour plus d'informations, reportez-vous à la section Backing Up and Restoring NetIQ eDirectory (Sauvegarde et restauration de NetIQ¬eDirectory) du manuel NetIQ eDirectory  Administration Guide (Guide d'administration de NetIQ eDirectory 8.8 SP8).

  1. Installez le moteur Identity Manager. Pour plus d'informations, reportez-vous au Section 8.0, Planification de l'installation du moteur, des pilotes et des plug-ins.

7.1.2 Conditions préalables et considérations relatives à l'installation du coffre-fort d'identité

Le coffre-fort d'identité utilise un annuaire pour stocker les objets synchronisés via la solution Identity Manager. Les sections suivantes contiennent des instructions pour vous aider à planifier le déploiement de NetIQ eDirectory en tant que cadre pour le coffre-fort d'identité.

Conditions préalables à l'installation du coffre-fort d'identité

NetIQ recommande de passer en revue les considérations suivantes avant d'installer eDirectory comme cadre pour le coffre-fort d'identité :

  • Pour que l'infrastructure eDirectory fonctionne efficacement, vous devez configurer une adresse IP statique sur le serveur. Si vous utilisez des adresses DHCP sur le serveur, eDirectory peut avoir des résultats imprévisibles.

  • Synchronisez l'heure de tous les serveurs du réseau. NetIQ recommande l'utilisation de l'option ntp de NTP (Network Time Protocol).

  • (Conditionnel) Pour installer un serveur secondaire, toutes les répliques de la partition sur laquelle vous installez le produit doivent être activées.

  • (Conditionnel) Pour installer un serveur secondaire dans une arborescence existante en tant qu'utilisateur non-administrateur, créez un conteneur, puis partitionnez-le. Vérifiez que vous disposez des droits suivants :

    • droits Superviseur sur la partition dans laquelle ajouter le serveur ;

    • droits Superviseur sur le conteneur dans lequel ajouter le serveur ;

    • tous les droits d'attribut (droits de lecture, de comparaison et d'écriture sur l'objet W0.KAP.Security) ;

    • droits d'attributs (droits de lecture et de comparaison sur l'objet Conteneur de sécurité) ;

    • droits d'entrée (droits d'exploration sur l'objet Conteneur de sécurité).

    S'il existe moins de 3 répliques, ces droits sont obligatoires pour pouvoir en ajouter une.

  • (Conditionnel) Pour installer un serveur secondaire dans une arborescence existante en tant qu'utilisateur non-administrateur, assurez-vous qu'au moins un des serveurs de l'arborescence a la même version ou une version ultérieure d'eDirectory par rapport à celle du serveur secondaire ajouté en tant qu'administrateur de conteneur. Si la version du serveur secondaire ajouté est ultérieure, l'administrateur de l'arborescence doit étendre le schéma avant d'ajouter le serveur secondaire en tant qu'administrateur de conteneur.

  • Lors de la configuration d'eDirectory, vous devez activer un port NCP (NetWare Core Protocol) (port 524 par défaut) dans le pare-feu afin de permettre l'ajout du serveur secondaire. Vous pouvez également activer les ports de service par défaut suivants en fonction de vos besoins :

    • LDAP texte clair - 389

    • LDAP sécurisé - 636

    • HTTP texte clair - 8028

    • HTTP sécurisé - 8030

  • Vous devez installer NICI (Novell International Cryptographic Infrastructure) sur tous les postes de travail qui utilisent des utilitaires de gestion pour eDirectory, comme iManager. NICI et eDirectory prennent en charge des tailles de clé de 4 096 bits maximum. Pour plus d'informations, reportez-vous à la section Installation de NICI du Guide d'installation de NetIQ eDirectory.

  • (Conditionnel) Si les noms des conteneurs de votre arborescence eDirectory contiennent un point, vous devez utiliser des caractères d'échappement pour spécifier les paramètres de nom d'administrateur, de contexte administrateur et de contexte du serveur au cours de l'installation et lors de l'ajout d'un serveur à une arborescence existante. Pour plus d'informations, reportez-vous à la Section 7.2.1, Utilisation de caractères d'échappement lorsque le nom d'un conteneur comprend un point (« . »).

  • Vous devez disposer de droits d'administrateur sur le serveur et sur toutes les parties de l'arborescence eDirectory qui contiennent des objets Utilisateur reconnaissant le domaine. Pour procéder à l'installation dans une arborescence existante, vous devez disposer de droits d'administrateur sur l'objet Arborescence afin de pouvoir étendre le schéma et créer des objets.

  • Dans la mesure où un système NTFS offre un processus de transaction plus sécurisé qu'un système de fichiers FAT, vous ne pouvez installer eDirectory que sur une partition NTFS. Aussi, si vous disposez uniquement de systèmes de fichiers FAT, effectuez l'une des opérations suivantes :

    • Utilisez l'Administrateur de disques. Pour plus d'informations, reportez-vous à la documentation relative à Windows Server.

    • Créez une partition et attribuez-lui le format NTFS.

    • Convertissez un système de fichiers FAT existant au format NTFS à l'aide de la commande CONVERT.

    • Pour plus d'informations, reportez-vous à la documentation relative à Windows Server.

    Si votre serveur ne dispose que d'un système de fichiers FAT et que vous omettez ce processus, le programme d'installation vous demande de fournir une partition NTFS.

  • Vous devez exécuter la version la plus récente du service Windows SNMP.

  • Avant de commencer la procédure d'installation, assurez-vous que votre système d'exploitation Windows exécute les derniers service packs.

  • Si vous procédez à l'installation sur une machine virtuelle dotée d'une adresse DHCP ou sur une machine physique ou virtuelle sur laquelle SLP n'est pas diffusé, vérifiez que l'agent Annuaire est configuré sur votre réseau.

Conditions préalables à l'installation du coffre-fort d'identité dans un environnement en grappe

Avant d'installer le coffre-fort d'identité dans un environnement en grappe, NetIQ recommande de passer en revue les considérations suivantes :

  • Vous devez disposer d'au moins deux serveurs Windows avec un logiciel de grappe.

  • Vous devez disposer d'un système de stockage partagé externe pris en charge par le logiciel de grappe, avec suffisamment d'espace disque pour pouvoir stocker toutes les données NICI et du coffre-fort d'identité :

    • La DIB du coffre-fort d'identité doit se trouver sur le stockage partagé de la grappe. Les données d'état du coffre-fort d'identité doivent être situées sur le stockage partagé de sorte qu'elles soient disponibles sur le noeud de grappe qui exécute actuellement les services.

    • L'instance root du coffre-fort d'identité sur chaque noeud de grappe doit être configurée pour utiliser la DIB sur le stockage partagé.

    • Vous devez également partager les données NICI (NetIQ International Cryptographic Infrastructure) de manière à ce que les clés propres aux serveurs soient répliquées sur les noeuds de grappe. Les données NICI utilisées par tous les noeuds de grappe doivent être situées sur le stockage partagé de grappe.

    • NetIQ recommande de stocker toutes les autres données de configuration et de journal d'eDirectory sur le stockage partagé.

  • Vous devez disposer d'une adresse IP virtuelle.

  • (Conditionnel) Si vous utilisez eDirectory comme structure de support pour le coffre-fort d'identité, l'utilitaire nds-cluster-config prend en charge la configuration de l'instance eDirectory root uniquement. eDirectory ne prend pas en charge la configuration de plusieurs instances et les installations non-root d'eDirectory dans un environnement en grappe.

Pour plus d'informations sur l'installation du coffre-fort d'identité dans un environnement de grappe, reportez-vous à la section Déploiement d'eDirectory sur des clusters haute disponibilité du Guide d'installation de NetIQ eDirectory.

7.1.3 Présentation des objets Identity Manager dans eDirectory

La liste ci-dessous décrit les principaux objets Identity Manager stockés dans eDirectory et les relations qui les unissent. La procédure d'installation ne crée pas d'objets Identity Manager. C'est vous qui devez les créer lors de la configuration de la solution Identity Manager.

  • Ensemble de pilotes : un ensemble de pilotes est un conteneur pour les pilotes Identity Manager et les objets de bibliothèque. Vous ne pouvez activer qu'un seul ensemble de pilotes à la fois sur un serveur. Cependant, plusieurs serveurs peuvent être associés à un même ensemble de pilotes. De plus, un pilote peut être associé à plus d'un serveur à la fois. Toutefois, le pilote ne doit être exécuté que sur un serveur à la fois. Il doit être à l'état désactivé sur les autres serveurs. Le serveur Identity Manager doit être installé sur tous les serveurs associés à un ensemble de pilotes.

  • Bibliothèque : l'objet Bibliothèque est un espace de stockage des stratégies souvent utilisées et pouvant être référencées depuis plusieurs sites. La bibliothèque est stockée dans l'ensemble de pilotes. Vous pouvez placer une stratégie dans la bibliothèque, de façon à ce qu'elle puisse être référencée par chaque pilote de l'ensemble.

  • Pilote : un pilote assure la connexion entre une application et le coffre-fort d'identité. Il permet également de synchroniser et de partager des données entre différents systèmes. Le pilote est conservé dans l'ensemble de pilotes.

  • Travail : un travail permet d'automatiser une tâche récurrente. Par exemple, un travail peut configurer un système afin qu'il désactive un compte un jour donné ou qu'il initie un workflow pour demander l'extension de l'accès d'une personne à une ressource de l'entreprise. Le travail est stocké dans l'ensemble de pilotes.

7.1.4 Configuration système requise pour le coffre-fort d'identité

Cette section décrit la configuration minimale requise pour le(s) serveur(s) sur le(s)quel(s) vous souhaitez installer le coffre-fort d'identité. Veuillez passer en revue les conditions préalables requises et les considérations relatives à l'installation, en particulier celles liées au système d'exploitation.

REMARQUE :le système de fichiers Btrfs n'est pas pris en charge pour le coffre-fort d'identité.

Catégorie

Configuration requise

Processeur

1 GHz

Espace disque

  • 300 Mo pour le coffre-fort d'identité

  • 150 Mo d'espace disque supplémentaire par tranche de 50 000 utilisateurs

Mémoire

2 Go

Système d'exploitation (certifié)

L'un des systèmes d'exploitation 64 bits suivants :

  • Windows Server 2016

  • Windows Server 2012 R2

  • Windows Server 2012

Avant d'installer Identity Manager, NetIQ recommande d'appliquer les derniers correctifs du système d'exploitation en fonction de la fonctionnalité de mise à jour automatisée du fabricant.

REMARQUE :certifié signifie que le système d'exploitation a été entièrement testé et est pris en charge.

Système d'exploitation (pris en charge)

Dernières versions des Service Packs pour les systèmes d'exploitation certifiés

REMARQUE :pris en charge signifie que le système d'exploitation n'a pas encore été testé, mais qu'il devrait fonctionner.

Système de virtualisation

  • Hyper-V Server 2012 R2

  • VMware ESX 5.0 et versions ultérieures

  • Virtualisation de Windows Server 2012 R2 avec Hyper-V (prise en charge)

NetIQ prend en charge Identity Manager sur les systèmes de virtualisation d'entreprise qui sont officiellement compatibles avec les systèmes d'exploitation sur lesquels les produits NetIQ s'exécutent. NetIQ prend en charge l'intégralité de la pile Identity Manager sur les systèmes de virtualisation dont les éditeurs prennent officiellement en charge ces systèmes d'exploitation.

Services Annuaire

NetIQ eDirectory 9.1