L'authentification est un sujet complexe et selon que votre infrastructure réseau existante soit mal configurée, cela peut avoir un impact négatif sur votre première connexion à iManager. Les explications suivantes peuvent vous aider à minimiser les difficultés liées à l'authentification. Pour plus d'informations sur l'authentification, reportez-vous à la documentation relative à NMAS (NetIQ Modular Authentication Service) ainsi qu'à la documentation de NetIQ eDirectory.
L'authentification à iManager est une opération qui dépend de la plate-forme, ce qui signifie qu'elle fonctionne différemment en fonction de la plate-forme sur laquelle iManager est exécuté.
Serveurs Linux et Windows : lorsque iManager est exécuté sur un serveur Linux ou Windows, il utilise le mécanisme d'authentification hérité de eDirectory et son mot de passe habituel. Ce mécanisme prend en charge l'option de mot de passe universel d'eDirectory, mais pas l'option de mot de passe simple.
Poste de travail iManager : le poste de travail iManager s'exécute sur un poste de travail client, Linux ou Windows, et utilise le client NMAS qui lui permet d'employer un mot de passe universel s'il est configuré.
iManager n'utilise pas LDAP pour le processus d'authentification initial à iManager. Il utilise le protocole d'authentification propriétaire de eDirectory. Toutefois, après l'authentification initiale, iManager peut créer des connexions LDAP vers eDirectory le cas échéant pour prendre en charge un accès de type Annuaire pour les plug-ins installés qui nécessitent un accès LDAP.
iManager ne prend pas en charge l'authentification avec le mot de passe simple de eDirectory.
Lors de votre authentification à iManager, il se peut que vous rencontriez les messages d'erreur suivants. Chaque section qui y est consacrée en explique les causes possibles.
Si vous obtenez une erreur 404 lors de votre première tentative d'accès à iManager, vous devez vérifier sur quels ports Apache est exécuté. Les emplacements des fichiers de configuration varieront en fonction de la méthode d'installation utilisée pour iManager et du choix de l'utilisation de Apache ou de IIS. Apache utilise le fichier httpd.conf ou ssl.conf. Consultez la documentation de Microsoft pour plus d'informations sur les paramètres du port IIS.
Si vous obtenez un message indiquant une erreur interne de serveur ou une erreur de conteneur de servlet (indisponible ou en cours de mise en niveau), iManager a rencontré l'un des deux problèmes suivants avec Tomcat :
Tomcat n'a pas été correctement initialisé après un redémarrage.
Tomcat n'a pas démarré.
Attendez quelques minutes, puis réessayez d'accéder à iManager. Si les mêmes erreurs persistent, vérifiez l'état de Tomcat.
Relancez Tomcat.
Pour plus d'informations sur le redémarrage de Tomcat, consultez la rubrique Démarrage et arrêt de Tomcat.
Recherchez les erreurs éventuelles dans les journaux de Tomcat.
Le fichier journal se trouve dans le répertoire $tomcat_home$/logs sur les plates-formes Unix, Linux et Windows. Sous UNIX et Linux, les noms des fichiers journaux sont catalina.out ou localhost_log.date.txt. Sous Windows, ils se nomment stderr et stdout.
Le nom de l'objet demandé n'a pas été trouvé dans le contexte spécifié.
Parmi les causes possibles figurent les suivantes :
La connexion sans contexte est peut-être désactivée.
Votre objet Utilisateur ne figure peut-être pas dans la liste des conteneurs de recherche configurée. Soit vous demandez à votre administrateur d'ajouter l'emplacement de votre objet Utilisateur aux conteneurs de recherche utilisés par la connexion sans contexte, soit vous spécifiez votre contexte complet pour vous connecter.
Le mot de passe NDS a été désactivé dans la stratégie de mot de passe universel. Cela peut également entraîner l'apparition du message d'erreur 222.
Vous pouvez éviter cette erreur avec le poste de travail iManager en installant le client , lequel permet à iManager d'utiliser le mécanisme d'authentification Mot de passe universel au lieu du processus d'authentification hérité de eDirectory.
Cette erreur est due à un échec du système pouvant avoir différentes causes.
Le serveur cible ne contient pas de copie de l'élément demandé par le serveur source ou ce dernier ne contient pas d'objet correspondant à la requête et ne dispose pas de renvoi sur lequel rechercher l'objet.
Parmi les causes possibles figurent les suivantes :
Vous avez saisi une arborescence ou une adresse IP incorrecte. Si vous utilisez l'adresse IP, vérifiez que le port est inclus si eDirectory est installé sur un port non standard (524).
iManager n'a pas pu localiser l'arborescence ou l'adresse IP avant le timeout. En cas d'échec pour le nom de l'arborescence, utilisez l'adresse IP.
Un mot de passe non valide a été utilisé ; l'authentification a échoué ; un serveur a essayé de se synchroniser avec un autre, mais la base de données du serveur cible était verrouillée ou il existe un problème d'ID à distance ou de clé publique.
Parmi les causes possibles figurent les suivantes :
Vous avez saisi un mot de passe incorrect.
Plusieurs utilisateurs ont le même nom dans l'arborescence. La connexion sans contexte tente de connecter l'utilisateur à l'aide du premier compte utilisateur qu'il trouve avec le mot de passe fourni. Dans ce cas, connectez-vous en précisant le contexte complet, ou limitez le nombre de conteneurs dans lesquels la connexion sans contexte effectuera les recherches.
Si eDirectory est installé et s'exécute sur un port autre que le port par défaut 524, vous pouvez utiliser l'adresse IP ou le nom DNS du serveur eDirectory pour vous connecter, à condition de spécifier également le port. Par exemple :
Pour une adresse IPv4 :
https://127.0.0.1/nps/servlet/webacc?taskId=fw.Startup&forceMaster=true
Pour une adresse IPv6 :
https://[2001:db8::6]:1080/nps/servlet/webacc?taskId=fw.Startup&forceMaster=true
Si vous utilisez le nom de l'arborescence pour vous connecter, il est inutile de spécifier un port.
Les valeurs possibles pour le champ Nom d'arborescence sont le nom de l'arborescence, l'adresse IP du serveur et le nom DNS du serveur. Pour des résultats optimaux, utilisez l'adresse IP.
En cas de besoin, iManager peut se connecter à l'arborescence eDirectory à l'aide d'un serveur qui n'héberge aucune réplique de eDirectory. Pour ce faire, iManager conserve un cache de connexion avec les informations dont il a besoin pour se connecter. Pour remplir le cache de connexion, lors de la première connexion à une arborescence eDirectory via iManager, vous devez vous connecter à un serveur qui héberge une réplique.
Le redémarrage de Tomcat ou du serveur iManager efface le cache de connexion. Par conséquent, la première fois qu'iManager se connecte après l'un de ces événements, vous devez vous connecter à un serveur qui héberge une réplique.
Les connexions peuvent échouer pour diverses raisons. Les messages d'erreur d'authentification font l'objet de la rubrique Problèmes d'authentification.
Pour plus d'informations sur la limitation des messages d'erreur que iManager affiche lors de l'échec d'une tentative d'authentification, consultez la rubrique Protection contre la découverte du nom d'utilisateur.
Si un mot de passe expire, un message s'affiche pour l'annoncer à l'utilisateur. Toutefois, les utilisateurs ignorent peut-être que les connexions gracieuses peuvent rapidement être épuisées lors de l'exécution de certaines opérations telles que la modification d'un groupe dynamique, une simple recherche ou la définition d'un simple mot de passe.
Les opérations de ce type utilisent des connexions gracieuses supplémentaires chaque fois qu'un utilisateur effectue une tâche. Nous vous recommandons vivement d'encourager les utilisateurs à changer leurs mots de passe dès la première invitation.
Pour activer une authentification sans contexte à l'aide d'un type d'objet secondaire, procédez comme suit :
Ouvrez iManager et cliquez sur Configurer > Serveur iManager > Configurer iManager > Authentification.
Si cette tâche n'apparaît pas, vous n'êtes pas un utilisateur autorisé. Reportez-vous à Utilisateur et groupes autorisés.
Entrez le Nom d'utilisateur public et le Mot de passe d'un utilisateur autorisé à lire les attributs souhaités.
Modifiez le fichier <TOMCAT_HOME>\webapps\nps\WEB-INF\config.xml pour inclure une propriété <Setting> qui répertorie les attributs à ajouter à la recherche sans contexte, puis redémarrez Tomcat.
Pour plus d'informations sur le redémarrage de Tomcat, consultez la rubrique Démarrage et arrêt de Tomcat.
Par exemple, le code XML suivant ajoute les objets Alias et Utilisateur à la recherche sans contexte :
<setting> <name><![CDATA[Authenticate.Form.ContextlessLoginClass.NDAP.treename]]></name>
<value><![CDATA[User]]></value>
<value><![CDATA[Alias]]></value>
</setting>
De la même façon, celui-ci permet aux utilisateurs de se connecter avec l'attribut CN ou uniqueID :
<setting> <name><![CDATA[Authenticate.Form.ContextlessLoginSearchAttributes.NDAP.treename]]></name>
<value><![CDATA[CN]]></value>
<value><![CDATA[uniqueID]]></value>
</setting>
IMPORTANT :
dans l'exemple de code ci-dessus, remplacez nom_arborescence par le nom de l'arborescence Annuaire appropriée (en minuscules).
Si vous enregistrez les paramètres du serveur iManager dans la tâche Configurer iManager après avoir modifié le fichier config.xml, assurez-vous que le nom de l'arborescence reste bien en minuscules, sinon cette version personnalisée de la connexion sans contexte échoue.