Les applications d'identité doivent être en mesure d'interagir avec les objets contenus dans le coffre-fort d'identité. Dans certains cas, il peut être nécessaire de configurer les méthodes d'authentification et des index dans eDirectory pour permettre au coffre-fort et aux applications d'identité de communiquer efficacement.
Pour améliorer les performances des applications d'identité, l'administrateur eDirectory doit créer des index pour les attributs manager, ismanager et srvprvUUID. Sans index sur ces attributs, les performances des applications d'identité peuvent être réduites, en particulier dans les environnements en grappes.
Vous pouvez créer ces index automatiquement au cours de l'installation en sélectionnant Advanced > Create eDirectory Indexes (Avancé > Créer des index eDirectory) dans l'utilitaire de configuration de RBPM. Pour plus d'informations sur l'utilisation du gestionnaire d'index pour créer des index, reportez-vous au manuel NetIQ eDirectory Administration Guide (Guide d'administration de NetIQ eDirectory).
Les programmes d'installation d'Identity Manager incluent automatiquement cette configuration.
Si vous configurez les applications d'identités avec d'autres produits NMAS pris en charge, effectuez cette configuration manuellement. La procédure comprend les activités suivantes :
Recherchez le fichier nmassaml.zip, puis dézippez-le.
Pour installer la méthode SAML dans votre arborescence eDirectory, procédez comme suit :
Étendez le schéma stocké dans le fichier authsaml.sch.
Par exemple, sous Linux, entrez la commande suivante :
ndssch -h edir_ip edir_admin authsaml.sch
Installez la méthode SAML.
Par exemple, sous Linux, entrez la commande suivante :
nmasinst -addmethod edir_admin tree ./config.txt
Ouvrez iManager.
Développez Rôles et tâches > Administration de l'annuaire > Créer un objet.
Sélectionnez Afficher toutes les classes d'objets.
Créez un objet de la classe authsamlAffiliate.
Sélectionnez authsamlAffiliate, puis cliquez sur OK.
Vous pouvez donner le nom valide de votre choix à cet objet.
Pour préciser le contexte, sélectionnez l'objet du conteneur SAML Assertion.Authorized Login Methods.Security dans l'arborescence, puis cliquez sur OK.
Pour ajouter des attributs à l'objet de classe authsamlAffiliate, procédez comme suit :
Cliquez sur l'onglet Afficher les objets > Parcourir d'iManager.
Recherchez le nouvel objet affilié au conteneur SAML Assertion.Authorized Login Methods.Security.
Sélectionnez le nouvel objet affilié, puis sélectionnez Modifier l'objet.
Ajoutez l'attribut authsamlProviderID au nouvel objet affilié.
Cet attribut permet d'associer une assertion à son affilié. Le contenu de cet attribut doit correspondre exactement à l'attribut Issuer (émetteur) envoyé par l'assertion SAML.
Cliquez sur OK.
Ajoutez les attributs authsamlValidBefore et authsamlValidAfter à l'objet affilié.
Ces attributs définissent la durée (en secondes) autour d'IssueInstant (instant d'émission) dans une assertion considérée comme valide. Une valeur par défaut classique est 180 secondes.
Cliquez sur OK.
Sélectionnez le conteneur Sécurité.
Sélectionnez Créer un objet pour créer un conteneur de racine approuvée dans votre conteneur Sécurité.
Pour créer des objets de racine approuvée dans le conteneur de racine approuvée, procédez comme suit :
Accédez à Rôles et tâches > Administration d'annuaire, puis sélectionnez Créer un objet.
Sélectionnez Afficher toutes les classes d'objets.
Pour créer des objets de racine approuvée pour le certificat dont votre affilié se servira pour signer des assertions. Pour ce faire, vous devez avoir une copie codée der du certificat.
Créez de nouveaux objets Racine approuvée pour chaque certificat de la chaîne des certificats de signature jusqu'au certificat CA racine.
Définissez le contexte sur le conteneur de racine approuvée créé ci-dessus, puis cliquez sur OK.
Retournez à la visionneuse d'objets.
Ajoutez un attribut authsamlTrustedCertDN à votre objet affilié, puis cliquez sur OK.
Cet attribut doit pointer vers l'objet de racine approuvée du certificat de signature que vous avez créé à l'étape précédente. (Toutes les assertions de l'affilié doivent être signées par des certificats pointés par cet attribut, sinon elles seront rejetées.)
Ajoutez un attribut authsamlCertContainerDN à votre objet affilié, puis cliquez sur OK.
Cet attribut doit pointer vers le conteneur de racine approuvée que vous avez créé auparavant. (Cet attribut permet de vérifier la chaîne du certificat de signature.)