Si cette tâche n'apparaît pas, vous n'êtes pas un utilisateur autorisé. Reportez-vous à Utilisateur et groupes autorisés. Cette rubrique contient les informations suivantes :
Le fichier config.xml contient trois paramètres qui contrôlent la sécurité et les certificats utilisés lors de la création d'une connexion LDAP SSL par iManager :
Security.Keystore.AutoUpdate: si la valeur de AutoUpdate est True et qu'un utilisateur réussit à se connecter à iManager, le certificat de ce serveur eDirectory peut être importé automatiquement dans le keystore spécifique d'iManager. Pour ce faire, sélectionnez l'option Importer automatiquement un certificat d'arborescence pour une connexion LDAP sécurisée (Configurer iManager > Sécurité).
Security.Keystore.UpdateAllowAll: si la valeur de UpdateAllowAll est True, chaque fois qu'un utilisateur se connecte, un certificat est importé/mis à jour dans le keystore de certificats d'iManager. Si sa valeur est false, seule une connexion d'utilisateur autorisé entraînere l'importation/la mise à jour de certificats.
Security.Keystore.Priority: le paramètre de priorité contient deux mots qui définissent l'ordre de recherche des certificats lors d'une connexion : system et imanager.system utilise le keystore par défaut de la JVM* pour localiser des certificats lors de la création du contexte SSL. En cas d'échec, le keystore de iManager est alors utilisé.
Vous pouvez changer l'ordre de recherche de system et iManager en supprimant l'un des deux mots de l'entrée.
Pour une sécurité accrue, interdisez l'importation automatique du certificat et n'utilisez que le keystore du système. Dans ce cas, les certificats désirés sur le keystore par défaut du système doivent être importés manuellement à l'aide des outils livrés avec Java. Si vous désactivez UpdateAllowAll, les certificats ne sont importés que lorsqu'un utilisateur autorisé réussit à se connecter à iManager.
Ces paramètres affectent l'ensemble de la configuration de votre serveur Web et sont enregistrés dans le fichier config.xml . Vous pouvez enregistrer les modifications au fur et à mesure ou cliquer sur Enregistrer une fois toutes les modifications apportées.
Sélectionnez cette option si vous souhaitez que les utilisateurs dont la connexion entre le navigateur Web et le serveur Web n'est pas sécurisée reçoivent l'avertissement suivant : Vous utilisez une connexion non sécurisée.
Vérifiez que votre système respecte la configuration requise pour Audit. Sélectionnez l'option Activer Novell Audit, puis choisissez des événements de consignation iManager spécifiques, puis cliquez sur Enregistrer.
Les connexions LDAP sécurisées nécessitent un certificat. Si vous sélectionnez cette fonction, le système importe automatiquement un certificat d'arborescence public pour les connexions LDAP sécurisées.
Les utilisateurs et groupes autorisés sont ceux qu'iManager autorise à effectuer diverses tâches administratives. Les données relatives à ces utilisateurs sont enregistrées dans le fichier TOMCAT_HOME\webapps\nps\WEB-INF\configiman.properties Le processus d'installation d'iManager ne crée ce fichier que si vous avez fourni les informations sur l'utilisateur et le groupe autorisés, mais ce n'est pas une obligation. Si vous ne l'avez pas fait, iManager autorise tous les utilisateurs à installer les plug-ins iManager et à modifier les paramètres du serveur iManager (ce qui n'est pas recommandé à long terme).
Lorsqu'un groupe ou un rôle organisationnel est ajouté à cette liste, tous les membres du groupe ou du rôle organisationnel deviennent des utilisateurs autorisés. L'ajout d'un groupe imbriqué ne prend en charge que le premier niveau des membres. En revanche, l'ajout d'un groupe dynamique n'est pas pris en charge, car il peut compter des objets de tout type parmi ses membres.
Après l'installation d'iManager, vous pouvez ajouter un utilisateur autorisé, un groupe ou un rôle organisationnel en le spécifiant ou à l'aide de l'icône Sélecteur d'objet en regard de la liste Utilisateurs et groupes autorisés. Le fichier configiman.properties sera alors modifié.
Pour désigner tous les utilisateurs de l'arborescence comme utilisateurs autorisés, tapez AllUsers.
REMARQUE :seuls des utilisateurs valides peuvent être ajoutés à la liste Utilisateurs et groupes autorisés et enregistrés dans cette dernière. Si vous ajoutez des utilisateurs non valides et que vous cliquez sur Enregistrer, un message d'erreur indiquant que l'objet est introuvable s'affiche. Si vous n'ajoutez que des utilisateurs non valides à la liste et cliquez sur Enregistrer, le message d'erreur s'affiche et la liste des utilisateurs non valides est automatiquement remplacée par AllUsers. Si vous ne souhaitez pas que tous les utilisateurs de l'arborescence deviennent des utilisateurs autorisés, supprimez AllUsers de la liste et ajoutez-y les utilisateurs valides souhaités, puis cliquez sur Enregistrer.
IMPORTANT :si vous avez installé iManager pour la première fois, la liste Utilisateurs et groupes autorisés est vide. En tant qu'administrateur, vous devez ajouter immédiatement des utilisateurs et des groupes à la liste afin de leur fournir des autorisations et de pouvoir vous-même disposer des droits de modification de cette dernière. Dans le cas contraire, un utilisateur ne disposant pas de droits d'administration pourrait ajouter des utilisateurs et des groupes à la liste et ainsi acquérir les droits nécessaires pour la modifier. Vous (administrateur) risqueriez alors de vous voir retirer les autorisations de modification de la liste.
Pour des informations de sécurité sur le fichierconfigiman.properties, consultez la section Groupes et utilisateurs autorisés par iManager.
L'onglet Apparence permet de personnaliser l'interface iManager. Ces informations sont stockées dans le fichier TOMCAT_HOME\webapps\nps\WEB-INF\config.xml.
Indiquez le nom de votre organisation dans cette zone de texte. Il apparaît alors dans la barre de titre du navigateur Web au lieu du texte par défaut (NetIQ iManager).
La barre de titre contient trois images : l'image d'arrière-plan de l'en-tête, l'image de remplissage de l'en-tête et l'image de la marque dans l'en-tête. Vos images doivent respecter les dimensions prévues dans l'interface.
Stockez ces fichiers à l'emplacement nps/portal/modules/fw/images. Indiquez le chemin de chaque image dans le champ correspondant.
Vous pouvez personnaliser la couleur de l'en-tête de menu et de l'arrière-plan du menu de navigation à gauche.
Vous pouvez taper des noms de couleur ou des nombres hexadécimaux. Les entrées ne doivent pas respecter la casse. Cliquez sur Réinitialiser pour rétablir les couleurs et les images par défaut, ou sur Enregistrer pour sauvegarder vos paramètres dans le fichier config.xml.
L'onglet Consignation d'événements permet de configurer l'environnement de consignation de iManager. Il existe deux paramètres de consignation :
Niveau de consignation: sélectionnez les types de messages à consigner parmi les quatre options suivantes : Aucune consignation, Consigner uniquement les erreurs, Consigner les erreurs et les avertissements et Consigner les erreurs, avertissements et messages d'information de débogage.
Sélectionnez vos options relatives à l'emplacement de consignation.
Emplacement de consignation : sélectionnez l'emplacement des messages consignés parmi ces trois options : Envoyer les sorties au périphérique d'erreur standard, Envoyer les sorties au périphérique de sortie standard et Envoyer les sorties au fichier Debug.html.
Le chemin d'accès au fichier journal et la taille de ce fichier apparaissent tous deux sur cette page. Sélectionnez Afficher pour afficher le fichier journal actuel au format HTML. Sélectionnez Effacer pour effacer le contenu du fichier journal actuel et réinitialiser sa taille à 0 (zéro) octet.
L'option Renvoi après déconnexion vous permet de spécifier l'URL vers laquelle vous serez redirigé après vous être déconnecté d'iManager. Si vous n'avez pas sélectionné cette option, lorsque vous cliquez sur Quitter, vous êtes déconnecté d'iManager. Par défaut, la page Connexion s'affiche.
Activer : sélectionnez cette option pour activer la fonctionnalité Renvoi après déconnexion.
URL : Indiquez l'URL vers laquelle vous souhaitez être redirigé une fois déconnecté d'iManager.
L'onglet Authentification permet de configurer la page de connexion d'iManager. Il contient les options suivantes :
Mémoriser les références de connexion : lorsque cette option est sélectionnée, les utilisateurs doivent uniquement entrer un mot de passe pour se connecter.
Utiliser LDAP sécurisé pour une connexion automatique : lorsque cette option est sélectionnée, iManager effectue les communications LDAP à l'aide de SSL. Certains plug-ins, comme les groupes dynamiques et NMAS, ne fonctionnent pas si cette option n'est pas sélectionnée. Ce paramètre ne prend effet qu'après vous être déconnecté d'iManager.
Masquer la raison spécifique de l'échec de la connexion : lorsque cette option est sélectionnée, iManager remplace les messages eDirectory relatifs à l'authentification par le message d'erreur générique suivant : Échec de la connexion. Nom d'utilisateur ou mot de passe non valide. Pour plus de précisions, reportez-vous à Protection contre la découverte du nom d'utilisateur.
Autoriser la sélection de l'arborescence sur la page de connexion : lorsque cette option est sélectionnée, la page de connexion d'iManager affiche le champ Arborescence. Dans le cas contraire, vous devez disposer d'un nom d'arborescence par défaut, sinon vous ne pourrez pas vous connecter.
Connexion sans contexte : la connexion sans contexte permet aux utilisateurs de se connecter uniquement à l'aide d'un nom d'utilisateur et d'un mot de passe, sans qu'il leur soit nécessaire de connaître le contexte complet de leur objet Utilisateur. Par exemple, .admin.support.sales.netiq.
S'il existe plusieurs utilisateurs portant le même nom dans l'arborescence, la connexion sans contexte permet de se connecter à l'aide du premier compte utilisateur détecté avec le mot de passe fourni dans la liste d'ordre des conteneurs spécifiée par l'utilisateur. L'utilisateur peut réorganiser et définir la liste d'ordre des conteneurs.
S'il existe plusieurs utilisateurs portant le même nom dans l'arborescence, pour se connecter avec un nom d'utilisateur spécifique, un utilisateur doit fournir un contexte complet lors de la connexion, ou limiter les conteneurs de recherche recherchés par la connexion sans contexte.
Sélectionnez Chercher depuis la racine pour effectuer la recherche de l'utilisateur à partir de la racine de l'arborescence Annuaire. Sélectionnez Conteneurs de recherche pour spécifier un ou plusieurs conteneurs susceptibles de contenir des objets Utilisateur.
Par défaut, iManager se connecte à l'aide d'un accès public, qui ne nécessite pas de références spécifiques. Vous pouvez spécifier un utilisateur possédant des références particulières pour effectuer la recherche sans contexte. Si vous ne spécifiez aucun utilisateur, iManager se connecte avec les informations de l'utilisateur public.
IMPORTANT :si vous spécifiez un utilisateur public, n'oubliez pas de tenir compte des implications des paramètres d'expiration du mot de passe. Si le mot de passe de l'utilisateur public est assorti d'une date d'expiration, une fois expiré, vous ne pourrez pas le changer lors de la connexion.
Paramètres de timeout du serveur iManager: si vous souhaitez que le serveur iManager expire après un certain délai, spécifiez le nombre de jours, d'heures et de minutes dans les champs correspondants sur la page Authentification.
Si vous souhaitez que le serveur n'expire jamais, sélectionnez l'option Pas de timeout.
Renvoi après déconnexion: sur la page Authentification, vous devez activer cette option si vous souhaitez être redirigé vers une page de votre choix après la déconnexion d'iManager. Vous devez spécifier l'URL de votre choix dans le champ URL :. Si vous n'avez spécifié aucune URL, lorsque vous cliquez sur Quitter, vous êtes déconnecté d'iManager. Par défaut, la page Connexion s'affiche.
RBS (Role-Based Services – Services basés sur le rôle) assigne les droits dans eDirectory pour la réalisation de tâches. Lorsque vous assignez un rôle à un utilisateur, par défaut, RBS assigne les droits nécessaires à la réalisation des tâches associées à ce rôle.
L'onglet RBS permet de configurer les paramètres suivants :
Activer les groupes dynamiques: lorsque cette option est sélectionnée, RBS autorise les groupes dynamiques à être membres d'un rôle. Pour plus d'informations sur les groupes dynamiques, reportez-vous au Guide d'administration de NetIQ eDirectory.
Afficher les rôles pour les collections avec propriétaire : lorsque cette option est sélectionnée, les propriétaires de collection voient tous les rôles et tâches qu'ils en soient membres ou non. Désélectionnez cette option pour que les propriétaires de collection ne voient que les rôles qui leur sont assignés.
Domaine d'identification des rôles: indique dans quelle partie de l'arborescence iManager doit rechercher les rôles assignés à un membre.
Parent : iManager recherche les groupes dynamiques jusqu'au conteneur parent.
Partition : iManager recherche les groupes dynamiques jusqu'à la première partition eDirectory.
Racine : iManager recherche les groupes dynamiques dans toute l'arborescence.
Domaine d'identification des groupes dynamiques: indique dans quelle partie de l'arborescence iManager doit rechercher les membres de groupes dynamiques. L'adhésion à des rôles est ensuite vérifiée dans les groupes dynamiques identifiés.
Parent : iManager recherche des rôles dans le conteneur parent de l'utilisateur.
Partition : iManager recherche des rôles jusqu'à la première partition de eDirectory.
Racine : iManager recherche les rôles dans toute l'arborescence.
Type de recherche des groupes dynamiques: indique dans quel type de groupes dynamiques rechercher les membres de rôles.
DynamicGroupObjectOnly : recherche les objets dont la classe est de type DynamicGroup.
DynamicGroupObjects&AuxClasses : recherche les objets dont la classe est de type DynamicGroup ou qui ont été étendus avec la classe dynamicGroupAux. Celle-ci inclut les objets Groupe qui ont par la suite été convertis en Groupes dynamiques.
Liste d'arborescence RBS: ce champ est complété automatiquement avec le nom de l'arborescence eDirectory lors de l'authentification d'un propriétaire de collection ou d'un membre de rôle. Si RBS est supprimé d'une arborescence eDirectory, supprimez l'entrée de cette arborescence dans cette liste pour revenir en mode Accès non assigné.
L'onglet Téléchargement de plug-ins permet de configurer les paramètres suivants :
Consultez le site de téléchargement pour obtenir de nouveaux modules de plug-in NetIQ (NPM) : indique que le serveur iManager doit interroger le site de téléchargement de NetIQ pour obtenir de nouveaux modules de plug-in (NPM).
Deux boutons d'option permettent de configurer la requête pour tous les NPM disponibles ou uniquement pour les mises à jour des NPM déjà installés.
Downloading Plug-In Modules from a Custom Site (Téléchargement des modules de plug-in à partir d'un site personnalisé) : vous pouvez télécharger les modules de plug-in à partir d'un site personnalisé en spécifiant l'URL du site personnalisé dans le champ URL de téléchargement, sur la page de Téléchargement de plug-ins.
Downloading Plug-In Modules Through Proxy (Téléchargement des modules de plug-in via un proxy) : Si les serveurs iManager sont exécutés sous le proxy pare-feu, le client peut accéder à Internet par le biais du serveur proxy. Seul le proxy HTTP est pris en charge. Il s'agit d'un proxy Web HTTP. Pour télécharger les plug-ins, l'utilisateur doit effectuer les opérations suivantes sur la page Téléchargement de plug-ins :
Sélectionnez Activer le proxy.
Complétez les champs ci-dessous :
Hôte proxy : indiquez l'adresse IP de l'hôte proxy dans ce champ.
Port proxy : indiquez le numéro de port du proxy dans ce champ.
Nom d'utilisateur : indiquez le nom d'utilisateur dans ce champ.
Mot de passe : indiquez le mot de passe dans ce champ.
Retapez le mot de passe : spécifiez le mot de passe que vous avez indiqué dans le champ Mot de passe.
IMPORTANT :les plug-ins de iManager ne sont pas compatibles avec d'anciennes versions de iManager. Par ailleurs, tous les plug-ins personnalisés que vous souhaitez utiliser avec iManager doivent être recompilés dans l'environnement iManager
L'onglet Divers permet de configurer les paramètres suivants :
Activer [ceci]: Vous pouvez sans problème ignorer cette option. Elle a été ajoutée à iManager pour permettre à certaines équipes internes de modifier leurs propres objets. [ceci] est un attribut de l'arborescence qui active une fonction de gestion automatique spécifique. Si [ceci] est activé, tous les serveurs eDirectory de l'arborescence doivent être en version 8.6.2 ou supérieure.
URL de eGuide: Indique l'URL de eGuide. Cette option est utilisée pour le bouton de lancement de eGuide dans l'en-tête et dans le rôle de eGuide et les tâches du gestionnaire de tâches. Il doit s'agir d'une URL complète (par exemple, https://mon.dns.nom/eGuide/servlet/eGuide) ou du mot-clé EMFRAME_SERVER. Si vous utilisez le mot-clé EMFRAME_SERVER, eMFrame recherche eGuide sur le serveur qui contient eMFrame.
Pour plus d'informations sur eGuide, consultez le site Web de documentation de Novell eGuide.
Pour choisir le niveau de chiffrement en fonction de vos exigences de sécurité, utilisez l'onglet Certificat. iManager offre les options de certificat suivantes :
RSA: le certificat utilise une paire de clés RSA 2048. iManager autorise les niveaux de chiffrement suivants pour RSA :
AUCUN : permet tout type de chiffrement.
FAIBLE : permet un chiffrement 56 ou 64 bits.
MOYEN : permet un chiffrement 128 bits.
ÉLEVÉ : permet un chiffrement supérieur à 128 bits.
ECDSA 256 : le certificat utilise une paire de clés ECDSA avec une courbe secp256r1. iManager autorise un seul niveau de chiffrement pour ECDSA 256 :
SUITEB 128 UNIQUEMENT : autorise tous les types de chiffrement.
ECDSA 384 : le certificat utilise une paire de clés ECDSA avec une courbe secp384r1.
SUITEB 128 : autorise tous les types de chiffrement.
SUITEB 192 : autorise un chiffrement 56 ou 64 bits.
Par défaut, RSA est sélectionné et le niveau de chiffrement est défini sur AUCUN. Dans le cas des certificats ECDSA, iManager autorise uniquement les chiffrement de la suite B. Si vous modifiez le certificat, vous devez redémarrer le serveur Tomcat pour que la modification soit prise en compte.
IMPORTANT :par défaut, Firefox n'autorise pas le niveau de chiffrement FAIBLE.
Pour activer les algorithmes de chiffrement FAIBLE dans votre navigateur Firefox :
Ouvrez Firefox, tapez about:config dans la barre d'adresse, puis appuyez sur Entrée.
(Conditionnel) Si un message d'avertissement s'affiche, cliquez sur le bouton Je ferai attention, promis ! pour accéder à la page about:config.
Sur la page about:config, dans la liste des noms de préférence, double-cliquez sur la préférence security.ssl3.rsa_rc4_128_md5 pour modifier la valeur et la remplacer par Vrai.
Les algorithmes de chiffrement FAIBLE sont alors activés dans votre navigateur Firefox.
Par défaut, l'onglet Certificat n'est pas disponible sous OES. Vous devez modifier manuellement les niveaux de chiffrement dans le fichier vhost-ssl.conf.
Accédez au fichier /etc/apache2/vhosts.d/vhost-ssl.conf, puis modifiez le paramètre SSLCipherSuite en fonction de votre prise en charge du niveau de chiffrement.
Par exemple, pour configurer uniquement le niveau de chiffrement ÉLEVÉ, modifiez le paramètre SSLCipherSuite comme suit :
<VirtualHost _default_:443>
--------------
----------------
SSLCipherSuite ALL:ADH:EXPORT56:RC4+RSA:+HIGH:!MEDIUM:!LOW:+SSLv2:+EXP:+eNULL
-------------
---------------
<VirtualHost>
Vous pouvez utiliser les préfixes suivants pour modifier les niveaux de chiffrement :
+ : ajoute les chiffrements à la liste de chiffrements et les extrait à l'emplacement actuel dans la liste.
- : supprime un chiffrement de la liste (peut être ajouté à nouveau ultérieurement).
! : élimine complètement un chiffrement de la liste (ne peut plus être ajouté à nouveau par la suite).
Pour plus d'informations, reportez-vous à la documentation relative au module Apache mod_ssl.