23.0 Planification de votre déploiement

Le processus de déploiement de conteneurs Identity Manager nécessite les ressources Azure suivantes :

1. Assurez-vous que votre compte Azure dispose des autorisations de lecture-écriture pour créer une infrastructure.

   1. Service Azure Kubernetes (AKS).

   2. Création d'un réseau.

   3. (Facultatif) Azure PostgreSQL.

      REMARQUE :ces éléments sont créés par les scripts de déploiement de Terraform.

   REMARQUE :avant le déploiement, assurez-vous que les ressources sont distinctes et qu'aucun fichier de configuration Identity Manager n'existe déjà pour votre compte Azure.

2. Achetez un domaine pour accéder à différentes applications dans Identity Manager.

   Vous pouvez avoir votre propre domaine dans le groupe de ressources respectif. Par exemple : identitymanager.eastus.cloudapp.azure.com.

   REMARQUE :pour l'exemple ci-dessus, eastus est l'emplacement et cloudapp.azure.com est le domaine de suffixe Azure général.

3. Obtenez des certificats SSL (fichiers .crt et .key) pour votre domaine auprès de toute autorité de certification.

4. (Facultatif) Générez votre propre certificat auto-signé en exécutant la commande suivante dans l'interface de ligne de commande :

   openssl req -new -newkey rsa:2048 -nodes -keyout domain.key -out domain.csr

   1. Spécifiez l'entrée pour les invites suivantes :

      Tableau 23-1

      Invite	Description
      Nom du pays (code à deux lettres)	Spécifiez le nom du pays avec un code à 2 lettres.
      Nom de la région ou de la province	Indiquez le nom complet de la région ou de la province.
      Lieu	Indiquez le nom de la ville.
      Nom de l'organisation	Indiquez le nom de l'organisation. Par exemple : Internet Widgits Pty Ltd.
      Nom d'unité organisationnelle	Spécifiez le nom de l'unité organisationnelle. Par exemple : section.
      Nom courant	Spécifiez le nom de domaine complet du serveur. Par exemple : identitymanager.eastus.cloudapp.azure.com.
      Adresse e-mail	Indiquez votre adresse électronique.
      Mot de passe de vérification d'identité Nom d'entreprise facultatif	Spécifiez un mot de passe unique.
      	Spécifiez un nom d'entreprise facultatif.

   2. Exécutez la commande suivante pour convertir la clé privée au format RSA :

      openssl rsa -in domain.key -out tls.key

   3. Effectuez les étapes suivantes pour obtenir le certificat racine.

      1. Connectez-vous à https://<adresse IP ou nom d'hôte>:9000/identityconsole/#/.

      2. Accédez à Certificate Management (Gestion des certificats) > Server Certificate Management (Gestion des certificats de serveur).

      3. Cliquez sur Export (Exporter).

      4. Dans la liste déroulante Certificates (Certificats), sélectionnez Organizational CA (Autorité de certification organisationnelle).

      5. Dans la liste déroulante Export format (Format d'exportation), sélectionnez BASE64.

      6. Cliquez sur OK.

      7. Cliquez sur Save the exported certificate (Enregistrer le certificat exporté).

   4. Effectuez les étapes suivantes pour soumettre votre demande de signature de certificat (CSR) à l'autorité de certification et obtenir un certificat de serveur signé.

      1. Connectez-vous à https://<adresse IP ou nom d'hôte>:9000/identityconsole/#/.

      2. Accédez à Certificate Management (Gestion des certificats) > Issue Certificate (Émettre un certificat).

      3. Cliquez sur Choose File (Choisir un fichier), téléchargez le fichier <domaine>.csr généré à l'Étape 4.b.

      4. Dans la liste déroulante Certificate Parameters (Paramètres du certificat), sélectionnez la période de validité. Par exemple : maximum.

      5. Sélectionnez la valeur File in Base64 format (Fichier au format Base64) sous la liste déroulante Certificate format (Format de certificat).

      6. Cliquez sur Next (Suivant).

      7. Vérifiez les entrées fournies, puis cliquez sur OK.

      8. Cliquez sur Download the issued certificate (Télécharger le certificat émis).

   5. Exécutez la commande suivante pour concaténer le certificat de serveur et le certificat racine.

      cat domain.b64 <(echo) cert.b64 <(echo) > tls.crt

5. Pour générer les informations d'identification de principal de service, procédez comme suit.

   IMPORTANT :vous devez disposer des informations d'identification de principal de service pour générer la configuration et pour transmettre toutes les informations sensibles au coffre-fort de clés Azure (Azure Key Vault).

   1. Connectez-vous au portail Azure.

   2. Cliquez sur .

   3. Dans la fenêtre de terminal, exécutez la commande suivante :

      az ad sp create-for-rbac --skip-assignment

   REMARQUE :notez l'ID de l'application (appid), le mot de passe et l'ID de locataire figurant dans la sortie de la commande.