14.2 Installation du composant de gestion des mots de passe pour Identity Manager

Cette section décrit la procédure d'installation de SSPR. Vous pouvez installer ce programme sur le même serveur qu'OSP ou sur un autre serveur.

REMARQUE :si vous utilisez la méthode de mot de passe oublié existante, il n'est pas nécessaire d'installer SSPR. Pour plus d'informations, reportez-vous à la Section 4.4.2, Présentation du fournisseur hérité pour la gestion des mots de passe.

14.2.1 Installation de Self Service Password Request à l'aide de l'assistant

La procédure suivante décrit comment installer SSPR sur une plate-forme Windows à l'aide d'un assistant d'installation. Pour effectuer une installation silencieuse sans surveillance, reportez-vous à la Section 14.2.2, Installation de Self Service Password Reset en mode silencieux. Pour préparer l'installation, passez en revue les conditions préalables et la configuration système requise répertoriées à la Section 14.1.1, Liste de contrôle pour l'installation des composants de gestion des mots de passe.

  1. Connectez-vous en tant qu'administrateur au serveur sur lequel vous souhaitez installer SSPR.

  2. Arrêtez le serveur Tomcat.

  3. (Conditionnel) Si vous avez le fichier image .iso pour le paquetage d'installation d'Identity Manager, accédez au répertoire contenant les fichiers d'installation de SSPR, situés par défaut dans le répertoire products\CommonApplication\sspr_install.

  4. (Conditionnel) Si vous avez téléchargé les fichiers d'installation de SSPR, procédez comme suit :

    1. Accédez au fichier win.zip de l'image téléchargée.

    2. Extrayez le contenu du fichier dans un répertoire de l'ordinateur local.

  5. À partir du répertoire qui contient les fichiers d'installation, exécutez le fichier sspr-install-win.exe.

  6. Lisez et acceptez l'accord de licence, puis cliquez sur Suivant.

  7. Indiquez un chemin d'accès pour les fichiers installés.

  8. Terminez la procédure guidée en utilisant les paramètres suivants :

    • Détails de Tomcat

      Représente le répertoire privé du serveur Tomcat. Par exemple : C:\NetIQ\idm\apps\tomcat. La procédure d'installation ajoute à ce dossier certains fichiers pour SSPR.

    • Connexion Tomcat

      Représente les paramètres de l'URL permettant aux utilisateurs de se connecter à SSPR sur le serveur Tomcat. Par exemple : https:monserveur.masociété.com:8080.

      REMARQUE :vous devez également sélectionner Se connecter à un serveur d'authentification externe et indiquer des valeurs pour le serveur externe si les considérations suivantes s'appliquent :

      • Vous installez SSPR.

      • OSP s'exécute sur une autre instance du serveur d'applications pris en charge que SSPR.

      Protocole

      Indique si vous souhaitez utiliser http ou https. Afin d'utiliser SSL (Secure Sockets Layer) pour les communications, indiquez https.

      Nom d'hôte

      Indique le nom DNS ou l'adresse IP du serveur sur lequel vous installez SSPR. N'utilisez pas localhost.

      Port

      Indique le port que le serveur doit utiliser pour la communication avec des ordinateurs clients.

      Se connecter à un serveur d'authentification externe

      Indique si une autre instance de Tomcat héberge le serveur d'authentification (OSP). Le serveur d'authentification contient la liste des utilisateurs qui peuvent se connecter à SSPR.

      Si vous sélectionnez ce paramètre, vous devez aussi indiquer des valeurs pour les champs Protocole, Nom d'hôte et Port du serveur d'authentification.

    • Répertoire privé Java Tomcat

      Représente le répertoire privé pour Java sur le serveur Tomcat. Par exemple : C:\netiq\idm\jre. La procédure d'installation ajoute au répertoire certains fichiers pour OSP.

    • Détails de l'authentification

      Représente la configuration requise pour se connecter au serveur d'authentification contenant la liste des utilisateurs qui peuvent se connecter à l'application. Pour plus d'informations sur le serveur d'authentification, reportez-vous à la Section 4.5.1, Présentation de l'authentification avec One SSO Provider.

      Hôte LDAP

      Indique le nom DNS ou l'adresse IP du serveur d'authentification LDAP. N'utilisez pas localhost.

      Port LDAP

      Indique le port que le serveur d'authentification LDAP doit utiliser pour la communication avec Identity Manager. Par exemple, indiquez 389 pour un port non sécurisé ou 636 pour les connexions SSL.

      Utiliser SSL

      Indique si vous souhaitez utiliser le protocole Secure Sockets Layer pour les connexions entre le coffre-fort d'identité et le serveur d'authentification.

      Fichier (cacerts) du Truststore JRE

      Ne s'applique que si vous souhaitez utiliser SSL pour les connexions LDAP.

      Indique le chemin d'accès au certificat. Par exemple : C:\NetIQ\idm\apps\jre\lib\security\cacerts.

      Mot de passe du Truststore JRE

      Ne s'applique que si vous souhaitez utiliser SSL pour les connexions LDAP.

      Indique le mot de passe du fichier cacerts.

      DN administrateur

      S'applique uniquement lors de l'installation d'un nouveau serveur d'authentification.

      Indique le DN pour un compte administrateur du serveur d'authentification LDAP. Par exemple : cn=admin,ou=sa,o=system.

      Mot de passe de l'administrateur

      S'applique uniquement lors de l'installation d'un nouveau serveur d'authentification.

      Indique le mot de passe pour le compte administrateur du serveur d'authentification LDAP.

      Conteneur des utilisateurs

      S'applique uniquement lors de l'installation d'un nouveau serveur d'authentification.

      Indique le conteneur du serveur d'authentification LDAP dans lequel vous enregistrez les comptes utilisateur qui peuvent se connecter à Access Review. Par exemple : o=data.

      Conteneur des administrateurs

      S'applique uniquement lors de l'installation d'un nouveau serveur d'authentification.

      Indique le conteneur du serveur d'authentification LDAP dans lequel vous enregistrez les comptes administrateur pour Access Review. Par exemple : ou=sa,o=system.

      Mot de passe Keystore

      S'applique uniquement lors de l'installation d'un nouveau serveur d'authentification.

      Indique le mot de passe que vous souhaitez créer pour le nouveau fichier Keystore du serveur d'authentification LDAP.

      Le mot de passe doit contenir au moins six caractères.

    • Détails relatifs à l'application SSPR

      Représente les paramètres requis pour configurer SSPR.

      Mot de passe de configuration

      Indique le mot de passe que vous souhaitez créer pour un administrateur afin qu'il l'utilise pour configurer SSPR.

      Par défaut, SSPR ne dispose pas d'un mot de passe de configuration. Sans le mot de passe, tout utilisateur qui peut se connecter à SSPR peut également modifier les paramètres de configuration.

      SSPR redirect URL

      Indique l'URL absolue vers laquelle le client est redirigé lorsque des opérations telles que des changements de mot de passe ou des questions de vérification d'identité sont terminées dans SSPR. Par exemple, redirigez le client vers le tableau de bord.

      Utilisez le format suivant : protocol//serveur:port/chemin. Par exemple, http://idm_userapp_server_ip:port_no/idmdash/#/landing.

    • Détails du serveur d'authentification

      Représente le mot de passe que le service SSPR doit utiliser lors de la connexion au client OSP sur le serveur. Également appelé le secret client.

      Pour modifier ce mot de passe après l'installation, utilisez l'utilitaire de configuration RBPM.

    • Détails de l'audit (SSPR)

      Représente les paramètres d'audit des événements SSPR qui se produisent sur le serveur d'authentification.

      (Conditionnel) Activer l'audit pour SSPR

      Indique si vous souhaitez envoyer les événements SSPR vers un serveur d'audit.

      Si vous sélectionnez ce paramètre, indiquez également les paramètres pour le serveur Syslog.

      Nom d'hôte Syslog

      Ne s'applique que lorsque vous activez l'audit pour SSPR.

      Indique le DNS ou l'adresse IP du serveur qui héberge le serveur Syslog. N'utilisez pas localhost.

      Port Syslog

      Ne s'applique que lorsque vous activez l'audit pour SSPR.

      Indique le port du serveur qui héberge le serveur Syslog.

  9. Pour configurer les applications d'identité et le module Identity Reporting afin qu'ils utilisent SSPR, passez au Section 15.0, Installation des applications d'identité.

  10. Dans l'utilitaire de mise à jour de configuration, mettez à jour les paramètres des clients SSO. Pour plus d'informations, reportez-vous à la documentation, Self Service Password Reset.

    Pour plus d'informations sur la configuration de la gestion des mots de passe oubliés, reportez-vous à la Section 15.7.8, Configuration de la gestion des mots de passe oubliés.

14.2.2 Installation de Self Service Password Reset en mode silencieux

Une installation silencieuse (non interactive) n'affiche aucune interface utilisateur et ne pose aucune question à l'utilisateur.

  1. Connectez-vous en tant qu'administrateur à l'ordinateur sur lequel vous souhaitez installer les composants.

  2. Arrêtez Tomcat.

  3. (Conditionnel) Si vous disposez du fichier image .iso du paquetage d'installation d'Identity Manager, accédez au répertoire contenant les fichiers d'installation de SSPR, situés par défaut dans le répertoire sspr.

  4. (Conditionnel) Si vous avez téléchargé les fichiers d'installation à partir du site Web de téléchargement NetIQ, procédez comme suit :

    1. Accédez au fichier .zip de l'image téléchargée.

    2. Lancez l'extraction du contenu du fichier dans un dossier sur l'ordinateur local.

  5. Modifiez le fichier d'installation de SSPR sspr-silent.properties, situé par défaut dans le même répertoire que les scripts d'installation.

    Pour plus d'informations sur les paramètres d'installation, reportez-vous à l'Étape 7 et à l'Étape 8.

  6. Pour exécuter l'installation silencieuse, émettez la commande suivante :

    sspr-install-win.exe -i silent -f path_to_silent.properties_file

  7. Dans l'utilitaire de mise à jour de configuration, mettez à jour les paramètres des clients SSO. Pour plus d'informations, reportez-vous à la documentation, Self Service Password Reset.

14.2.3 Tâches de post-installation

Installation garantie sans erreur

Après avoir installé SSPR, vous pouvez modifier les paramètres de configuration, notamment modifier une autorisation d'un administrateur du DN de groupe LDAP pour le profil par défaut ou modifier l'URL de transfert. En outre, NetIQ vous recommande de vérifier les URL créées pendant la procédure d'installation et de les modifier au besoin.

  1. Pour ouvrir la page de connexion SSPR, entrez l'URL suivante dans votre navigateur :

    protocol://server:port/web-context

    Exemples :

    http://192.168.0.1:8080/sspr/

  2. Dans l'angle supérieur droit de la page de connexion SSPR, sélectionnez Éditeur de configuration dans la liste.

  3. Spécifiez le mot de passe de configuration et cliquez sur Se connecter.

  4. Dans la vue arborescence, sélectionnez Paramètres par défaut et vérifiez que l'option Intégration NetIQ IDM/OAuth est sélectionnée dans la liste Paramètres par défaut du fournisseur LDAP.

  5. À partir de la vue arborescence, cliquez sur LDAP > Répertoires LDAP > valeur par défaut > Connexion > Certificats LDAP, puis cliquez sur Importer à partir du serveur pour importer les certificats.

    (Conditionnel) Cliquez sur Tester le profil LDAP sur la même page pour vous assurer que tous les serveurs LDAP configurés sont accessibles.

  6. À partir de la vue arborescence, cliquez sur Modules > Authentifié > Administration et assurez-vous que les autorisations d'administrateur sont assignées au DN de groupe LDAP du profil par défaut.

    Si vous effectuez une nouvelle installation de SSPR, la liste sera vide. Vous devez créer un groupe dans iManager et ajouter l'utilisateur admin au groupe.

  7. À partir de la vue arborescence, cliquez sur Paramètres > Application > Application, puis vérifiez que l'URL de réacheminement est définie sur http://<Serveur:Port>/idmdash/#/landing.

    Par exemple, http:/192.168.0.1:8080/idmdash/#/landing.

  8. À partir de la vue arborescence, cliquez sur Paramètres > Interface utilisateur > Apparence et modifiez le thème de l'interface sur Micro Focus (mdefault) si ce n'est pas déjà fait.

  9. À partir de la vue arborescence, accédez à Paramètres > Client Single Sign On (SSO) > OAuth et vérifiez que les valeurs sont correctement spécifiées pour les paramètres suivants :

    OAuth Login URL (URL de connexion à OAuth)

    Spécifie l'URL pour la connexion au serveur OAuth. Lorsque l'utilisateur se connecte, cette URL permet de rediriger les utilisateurs pour une authentification avec OSP.

    Par exemple : http://192.168.0.1:8080/osp/a/idm/auth/oauth2/grant

    OAuth Code Resolve Service URL (URL du service de résolution de codes OAuth)

    Spécifie l'URL du service de résolution de codes OAuth. SSPR utilise cette URL de service Web pour résoudre l'artefact renvoyé par le serveur d'identités OAuth.

    Par exemple : http://192.168.0.1:8080/osp/a/idm/auth/oauth2/authcoderesolve

    OAuth Profile Service URL (URL du service de profil OAuth)

    Spécifie l'URL du service Web fourni par Identity Manager pour renvoyer les données d'attribut de l'utilisateur.

    Par exemple : http://192.168.0.1:8080/osp/a/idm/auth/oauth2/getattributes

    OAUTH Web Service Server Certificate (Certificat de serveur du service Web OAUTH)

    (Conditionnel) Si HTTPS est activé, importez le certificat du serveur du service Web OAuth.

    OAuth Client ID (ID client OAuth)

    Spécifie l'ID du client OAuth. Par exemple, sspr.

    OAuth Shared Secret (Secret partagé OAuth)

    Spécifie un mot de passe pour le secret partagé OAuth. Ce mot de passe est partagé par les applications OSP et SSPR.

    OAuth User Name/DN Login Attribute (Nom d'utilisateur OAuth/Attribut de connexion DN)

    Spécifie l'attribut de l'utilisateur utilisé par SSPR pour demander au serveur OAuth d'authentifier l'utilisateur localement. Par exemple : nom.

  10. Cliquez sur dans le coin supérieur droit de la page pour enregistrer votre configuration.

  11. Dans l'angle supérieur droit de la page de connexion SSPR, sélectionnez Gestionnaire de configuration dans la liste.

  12. Cliquez sur Restreindre la configuration.

Assignation de la stratégie de mot de passe universel à un conteneur d'utilisateurs

Pour assigner la stratégie de mot de passe universel à un conteneurs d'utilisateurs :

  1. Connectez-vous à iManager.

  2. Sélectionnez Rôles et tâches > Stratégies de mot de passe, puis sélectionnez la stratégie de mot de passe.

  3. Pour sélectionner un utilisateur disposant de droits d'administrateur, procédez comme suit :

    1. Cliquez sur Mot de passe universel > les Options de configuration > Récupération du mot de passe universel.

    2. Sélectionnez Autoriser l'administrateur à récupérer les mots de passe ou Autoriser ce qui suit pour récupérer les mots de passe, puis cliquez sur OK.

      Par exemple, cn=admin,ou=sa,o=system

  4. Cliquez sur Assignations de stratégies et assignez Conteneur au conteneur dans lequel se trouve l'utilisateur.

    Par exemple, o=data ou administrateur.

Octroi de droits aux attributs pwmResponseSet

Les utilisateurs disposant de droits authentifiés effectuent des opérations en fonction des autorisations associées à la connexion de l'utilisateur. Les utilisateurs authentifiés ont besoin des droits suivants pour leur propre entrée utilisateur :

  • Droits Parcourir pour [droits d'entrée]

  • Droits Lire, Comparer et Écrire pour pwmResponseSet

Pour accorder des droits à l'attribut pwmResponseSet, procédez comme suit :

  1. Connectez-vous à iManager.

  2. Cliquez sur .

  3. Cliquez sur Serveur iManager > Configurer iManager.

  4. Cliquez sur Divers > Activer [ceci].

  5. Cliquez sur .

  6. À partir de la vue Arborescence, sélectionnez le conteneur de niveau supérieur de tous les utilisateurs dans l'annuaire.

  7. Cochez la case niveau actuel, puis cliquez sur Opérations > Modifier les ayants droit.

  8. Cliquez sur [Ceci] dans la liste, puis cliquez sur Ajouter un ayant droit.

  9. Cliquez sur Appliquer.

  10. Cliquez sur Droits assignés pour [Cet] ayant droit.

  11. Cliquez sur Ajouter une propriété, puis cochez la case Afficher toutes les propriétés dans le schéma.

  12. Sélectionnez pwdResponseSet dans la liste.

    Assurez-vous que les options Écrire, Comparer, Lire et Hérité sont sélectionnées.

  13. Cliquez sur Terminé.

14.2.4 Configuration d'OSP et de SSPR pour la mise en grappe

Identity Manager prend en charge la configuration de SSPR dans un environnement de grappe Tomcat.

Configuration de SSPR pour la prise en charge de la mise en grappe

Pour configurer le module SSPR déjà installé sur un ordinateur distinct, procédez comme suit :

  1. Passez en revue les conditions préalables et la configuration système requise décrites dans la Section 14.1.1, Liste de contrôle pour l'installation des composants de gestion des mots de passe.

  2. Suivez les instructions de la Section 14.2.1, Installation de Self Service Password Request à l'aide de l'assistant et veillez à effectuer les opérations suivantes au cours de la procédure d'installation :

      1. Sur la page de connexion au serveur d'applications, sélectionnez Se connecter à un serveur d'authentification externe et spécifiez le nom DNS du serveur sur lequel est installé l'équilibreur de charge.

      2. Sur la page des détails d'authentification, spécifiez l'adresse IP et le port du serveur du moteur Identity Manager. Le mot de passe pour les certificats d'autorité de certification est « changeit ».

      3. À l'issue de l'installation de SSPR, mettez à jour les paramètres SSL. Pour plus d'informations, reportez-vous à la Section 29.8, Mise à jour des paramètres SSL pour SSPR.

  3. Pour mettre à jour les informations SSPR sur le premier noeud de la grappe, lancez l'utilitaire de configuration à partir de C:\NetIQ\idm\apps\UserApplication\configupdate.bat.

    Dans la fenêtre qui s'affiche, cliquez sur SSO clients (Clients SSO) > Self Service Password Reset et spécifiez des valeurs pour les paramètres Client ID (ID de client), Password (Mot de passe) et OSP Auth redirect URL (URL de redirection de l'authentification OSP).

Configuration des tâches sur les noeuds de grappe

Effectuez les opérations de configuration suivantes sur les noeuds de la grappe :

  1. Pour mettre à jour le lien Mot de passe oublié avec l'adresse IP de SSPR, connectez-vous à l'application utilisateur sur le premier noeud, puis cliquez sur Administration > Mot de passe oublié.

    Pour plus d'informations sur la configuration de SSPR, reportez-vous à la Section 15.7.8, Configuration de la gestion des mots de passe oubliés.

  2. Pour modifier le lien Modifier mon mot de passe, reportez-vous à la section Mise à jour des liens SSPR dans le tableau de bord pour un environnement distribué ou de grappe.

  3. Vérifiez que les liens Mot de passe oublié et Modifier mon mot de passe ont été mis à jour avec l'adresse IP de SSPR sur les autres noeuds de la grappe.

    REMARQUE :si les liens Modifier mon mot de passe et Mot de passe oublié ont déjà été mis à jour avec l'adresse IP de SSPR, aucune modification n'est nécessaire.

  4. Sur le premier noeud, arrêtez Tomcat et générez un nouveau fichier osp.jks en spécifiant le nom DNS du serveur de l'équilibreur de charge à l'aide de la commande suivante :

    C:NetIQ\idm\apps\jre\bin\keytool -genkey -keyalg RSA -keysize 2048 -keystore osp.jks -storepass <mot_de_passe> -keypass <mot_de_passe> -alias osp -validity 1800 -dname "cn=<IP/DNS_équilibreur_de_charge>"

    Par exemple : C:NetIQ\idm\apps\jre\bin\keytool -genkey -keyalg RSA -keysize 2048 -keystore osp.jks -storepass changeit -keypass changeit -alias osp -validity 1800 -dname "cn=mydnsname"

    REMARQUE :assurez-vous que le mot de passe de clé est identique à celui spécifié lors de l'installation d'OSP. Ce mot de passe, de même que le mot de passe Keystore, peut aussi être modifié à l'aide de l'utilitaire de mise à jour de configuration.

  5. (Conditionnel) Pour vérifier si le fichier osp.jks a été mis à jour avec les modifications, exécutez la commande suivante :

    C:NetIQ\idm\apps\jre\bin\keytool -list -v -keystore osp.jks -storepass changeit

  6. Effectuez une sauvegarde du fichier osp.jks d'origine situé sous C:\NetIQ\idm\apps\osp et copiez le nouveau fichier osp.jks à cet emplacement. Le nouveau fichier osp.jks a été créé à l'étape 3.

  7. Copiez le nouveau fichier osp.jks situé dans C:\NetIQ\idm\apps\osp\ depuis le premier noeud vers tous les autres noeuds d'application utilisateur de la grappe.

  8. Lancez l'utilitaire de configuration sur le premier noeud et, sous l'onglet Client SSO, remplacez l'ensemble des paramètres d'URL, notamment le lien URL vers la page de renvoi et l'URL de redirection OAuth, par le nom DNS de l'équilibreur de charge.

    1. Enregistrez les modifications dans l'utilitaire de configuration.

    2. Pour répercuter cette modification sur tous les autres noeuds de la grappe, copiez le fichier ism-configuration.properties situé dans \TOMCAT_INSTALLED_HOME\conf depuis le premier noeud vers tous les autres noeuds d'application utilisateur.

      REMARQUE :vous avez copié le fichier ism.properties depuis le premier noeud vers les autres noeuds de la grappe. Si vous avez spécifié des chemins d'installation personnalisés lors de l'installation de l'application utilisateur, veillez à corriger les chemins d'accès référentiels en utilisant l'utilitaire de mise à jour de configuration sur les noeuds de la grappe.

      Dans ce scénario, OSP et l'application utilisateur sont installés sur le même serveur ; dès lors, le même nom DNS est utilisé pour les URL de redirection.

      Si OSP et l'application utilisateur sont installés sur des serveurs distincts, remplacez les URL d'OSP par un autre nom DNS pointant vers l'équilibreur de charge. Effectuez cette opération pour tous les serveurs sur lesquels OSP est installé, afin que toutes les requêtes OSP soient distribuées, via l'équilibreur de charge, vers le nom DNS de la grappe OSP. Cela implique d'avoir une grappe distincte pour les noeuds OSP.

  9. Effectuez les opérations suivantes dans le fichier setenv.bat situé dans le répertoire \TOMCAT_INSTALLED_HOME\bin\ :

    1. Pour que la liaison mcast_addr réussisse, JGroups requiert que la propriété preferIPv4Stack soit définie sur true. Pour ce faire, ajoutez la propriété JVM « -Djava.net.preferIPv4Stack=true » dans le fichier setenv.bat sur tous les noeuds.

    2. Ajoutez la propriété « -Dcom.novell.afw.wf.Engine-id=Engine » dans le fichier setenv.bat sur le premier noeud.

      Le nom du moteur doit être unique. Indiquez le nom spécifié lors de l'installation du premier noeud. Si aucun nom n'a été spécifié, le nom par défaut est « Engine ».

      De même, ajoutez un nom de moteur unique pour les autres noeuds de la grappe. Par exemple, le nom du deuxième noeud peut être Engine2.

  10. Activez la mise en grappe dans l'application utilisateur. Pour plus d'informations, reportez-vous à l'Étape 10.

  11. Activez l'index des autorisations pour la mise en grappe. Pour plus d'informations, reportez-vous à la Section 15.4.2, Activation de l'index des autorisations pour la mise en grappe.

  12. Activez la grappe Tomcat. Pour plus d'informations, reportez-vous à l'étape 9 de la Section 15.4.3, Préparation de votre serveur d'applications pour les applications d'identité.

  13. Redémarrez Tomcat sur tous les noeuds.

  14. Configurez le pilote d'application utilisateur pour la mise en grappe. Pour plus d'informations, reportez-vous à la Section 15.6.2, Configuration du pilote d'application utilisateur pour la mise en grappe.