Ha nem látja ezt a feladatot, akkor nincs hozzá jogosultsága. Lásd: Engedélyezett felhasználók és csoportok. Ez a témakör a következő információkat tartalmazza:
A config.xml fájlban három beállítás vezérli az iManager biztonságát és az általa az LDAP SSL-kapcsolat létrehozásakor használt tanúsítványokat:
Security.Keystore.AutoUpdate: Ha az AutoUpdate értéke Igaz, amikor egy felhasználó sikeresen bejelentkezik az iManager konzolba, a rendszer erről az eDirectory-kiszolgálóról a tanúsítványt automatikusan importálhatja az iManager konzoltól függő kulcstárba. Válassza a Fatanúsítvány automatikus importálása biztonságos LDAP használatához beállítást (iManager konfigurálása > Biztonság).
Security.Keystore.UpdateAllowAll: Ha az UpdateAllowAll beállítás értéke Igaz, akkor a rendszer minden sikeres felhasználói bejelentkezéskor importálja a tanúsítványt az iManager tanúsítvány-kulcstárába, vagy frissíti azt. Ha a beállítás értéke hamis, csak jogosult felhasználó bejelentkezésekor történik tanúsítványok importálása/frissítése.
Security.Keystore.Priority: A prioritási beállítások tartalmaznak két szót, amelyek meghatározzák csatlakozáskor a tanúsítványok keresési sorrendjét: rendszer és imanager.A rendszer az alapértelmezett JVM* kulcstárat használja a tanúsítványok megkeresésére az SSL-környezet létrehozásakor. Ha ez nem jár sikerrel, akkor az iManager-kulcstárban keresi.
A rendszer és iManager keresési sorrendet valamelyik szónak a bejegyzésből való eltávolításával módosíthatja.
Ha tovább szeretné növelni a biztonságot, ne engedélyezze az AutoUpdate funkciót, és csak a rendszerkulcstárat használja. Ebben az esetben a Java-eszközökkel manuálisan kell importálnia azokat a tanúsítványokat, amelyeket az alapértelmezett rendszerkulcstárban szeretne tárolni. Ha letiltja az UpdateAllowAll funkciót, akkor a rendszer a tanúsítványokat csak az iManager sikeres jogosult felhasználói bejelentkezéseiből importálja.
Ezek a beállítások a teljes webkiszolgálói konfigurációt érintik, és a rendszer a config.xml fájlba menti őket. Mentheti őket menet közben, vagy rákattinthat egyszer a Mentés gombra, miután végrehajtotta az összes változtatást.
Válassza ezt a beállítást, ha azt szeretné, hogy a webböngésző és a webkiszolgáló között nem biztonságos kapcsolatot használó felhasználók a következő üzenetet kapják: Nem biztonságos kapcsolatot használ.
Győződjön meg róla, hogy megfelel az Audit előfeltételeinek. Válassza a Novell Audit engedélyezése lehetőséget, aztán a konkrét iManager-naplózási eseményeket, és kattintson a Mentés gombra.
A biztonságos LDAP-kapcsolatokhoz tanúsítvány szükséges. Ha kiválasztja ezt a funkciót, akkor a rendszer automatikusan importál egy nyilvános fatanúsítványt a biztonságos LDAP használatához.
Az engedélyezett felhasználók és csoportok azok, amelyek engedélyezettek az iManager konzolban a különféle felügyeleti feladatok elvégzésére. A rendszer az engedélyezett felhasználók adatait a TOMCAT_KEZDŐKÖNYVTÁRA\webapps\nps\WEB-INF\configiman.properties könyvtárba menti. Az iManager telepítési folyamata ezt a fájlt csak akkor hozza létre, ha meg vannak adva a jogosult felhasználók és csoportok adatai, de ezek megadása nem kötelező. Ennek elmulasztása azt eredményezi, hogy bármely felhasználó telepíthet iManager beépülő modulokat, és módosíthatja az iManager-kiszolgáló beállításait (hosszú távon nem ajánlott).
Amikor felvesz egy csoportot vagy szervezeti szerepet erre a listára, a csoport vagy a szervezeti szerep minden tagja engedélyezett felhasználóvá válik. Beágyazott csoport hozzáadásakor csak a tagok első szintje támogatott. Dinamikus csoport hozzáadása azonban nem támogatott, mert bármilyen típusú objektum a tagja lehet.
Az iManager telepítése után engedélyezett felhasználót, csoportot vagy szervezeti szerepet azok megadásával vagy az Engedélyezett felhasználók és csoportok lista melletti objektumválasztó ikonnal adhat hozzá. Ezzel módosítja a configiman.properties fájlt.
Ha a fa minden felhasználóját engedélyezett felhasználóként szeretné kijelölni, írja be az ÖsszesFelhasználó értéket.
MEGJEGYZÉS:Csak érvényes felhasználókat vehet fel és menthet az Engedélyezett felhasználók és csoportok listában. Ha érvénytelen felhasználót ad hozzá, és a Mentés gombra kattint, a program egy arról tájékoztató hibaüzenetet jelenít meg, hogy az objektum nem található. Ha csak érvénytelen felhasználókat ad a listához, és a Mentés gombra kattint, a program hibaüzenetet jelenít meg, és az érvénytelen felhasználók listáját automatikusan az ÖsszesFelhasználó bejegyzésre cseréli. Ha nem szeretné, hogy a fa összes felhasználója engedélyezett felhasználó legyen, távolítsa el az ÖsszesFelhasználó bejegyzést a listából, vegye fel a listára a kívánt érvényes felhasználókat, és kattintson a Mentés gombra.
FONTOS:Ha első alkalommal telepítette az iManager alkalmazást, akkor az Engedélyezett felhasználók és csoportok lista üres. Rendszergazdai jogosultságú felhasználóként azonnal a listához kell adnia felhasználókat és csoportokat ahhoz, hogy engedélyezetté tegye őket, valamint hogy jogot szerezzen a lista módosítására. Máskülönben esetleg egy rendszergazdai jogosultságokkal nem rendelkező felhasználó ad a listához felhasználókat és csoportokat, aminek következtében övé lesz a lista módosításának joga. Ez esetben ön mint rendszergazdai jogú felhasználó elveszítheti a lista módosításának jogát.
A configiman.properties fájlra vonatkozó, biztonsággal kapcsolatos információk megtekintéséhez lásd: Engedélyezett felhasználók és csoportok az iManager konzolban.
A Megjelenés és használat lapon szabhatja testre az iManager kezelőfelületének kinézetét. A rendszer ezeket az adatokat a TOMCAT_KEZDŐKÖNYVTÁRA\webapps\nps\WEB-INF\config.xml könyvtárban tárolja.
Írja be szervezete nevét a szövegmezőbe. A szervezet neve a webböngésző címsorában fog megjelenni, az alapértelmezett „NetIQ iManager” szöveg helyett.
A címsor három képet tartalmaz: a fejléc háttérképét, a fejléc kitöltőképét és a fejléc arculatképét. A saját képeknek meg kell felelniük a kezelőfelületen megadott méreteknek.
Az nps/portal/modules/fw/images könyvtárban tárolja a fájlokat. A megfelelő mezőkben adja meg az egyes képek elérési útját.
A menü fejlécének és a balra található navigációs menü hátterének színe testre szabható.
Megadható a színek neve vagy a megfelelő hexadecimális számok. A megadott értékeknél a rendszer nem tesz különbséget a kis- és nagybetűk között. Az alapértelmezett színek és képek visszaállításához kattintson a Visszaállítás gombra, vagy a beállítások mentéséhez kattintson a Mentés gombra, hogy azokat a config.xml fájlba mentse.
Az iManager naplózási környezetét az Események naplózása lapon konfigurálhatja. Két naplózási beállítás közül választhat:
Naplózási szint: Válassza ki négy lehetőség közül, hogy milyen típusú eseményeket szeretne naplózni: Nincs naplózás, Csak hibák, Hibák és figyelmeztetések, Hibák, figyelmeztetések és hibakeresési információs üzenetek.
Válassza ki a naplózás kimeneti beállításait.
Naplózás kimenete: Válassza ki három lehetőség közül a naplózott üzenetek célját: Naplózás kimenetének küldése szabványos hibaeszközre, Naplózás kimenetének küldése szabványos kimeneti eszközre és Naplózás kimenetének küldése a Debug.html fájlba.
Ezen az oldalon a naplófájl elérési útja és a naplófájl mérete egyaránt megjelenik. Válassza a Nézet lehetőséget a jelenlegi naplófájl HTML formátumban való megjelenítéséhez. Kattintson a Törlés gombra a jelenlegi naplófájl törléséhez és a naplófájl méretének 0 (zéró) bájtosra történő visszaállításához.
A Kijelentkezés után átirányítás beállítás bejelölése esetén megadhatja azt az URL-címet, ahová átirányítást kér az iManager alkalmazásból történt kijelentkezés után. Ha ez a beállítás nincs bejelölve, a rendszer kijelentkezteti az iManager konzolból, amikor rákattint a Kilépés gombra. Alapértelmezés szerint a Bejelentkezés oldal jelenik meg.
Engedélyezés: A beállítás bejelölésével engedélyezheti a Kijelentkezés után átirányítás szolgáltatást.
URL-cím: Adja meg az URL-címet, ahová a rendszer az iManager konzolból való kijelentkezés után átirányítja.
Az iManager bejelentkezési oldalát a Hitelesítés lapon lehet beállítani. A következő beállítási lehetőségeket tartalmazza:
Bejelentkezési adatok megjegyzése (jelszót kivéve): Ha be van jelölve, a felhasználóknak csak a jelszót kell megadniuk a bejelentkezéshez.
Biztonságos LDAP használata az automatikus csatlakozáshoz: Ha be van jelölve, az iManager az LDAP-kommunikációt SSL-kapcsolaton végzi. Egyes beépülő modulok, például a dinamikus csoportok és az NMAS csak akkor működnek, ha ez a beállítás engedélyezve van. A beállítás csak az iManager szolgáltatásból való kijelentkezés után lép életbe.
Az adott sikertelen bejelentkezés okának elrejtése: Ha be van jelölve, az iManager lecseréli a hitelesítéssel kapcsolatos eDirectory-üzeneteket a következő általános hibaüzenettel: Sikertelen bejelentkezés. Érvénytelen felhasználónév vagy jelszó. További információ: A felhasználónév felfedezésének megakadályozása.
Fa kiválasztásának engedélyezése a bejelentkezési lapon: Ha be van jelölve, az iManager bejelentkezési oldalán megjelenik a Fa mező. Ha nem engedélyezi a beállítást, megadott alapértelmezett fanévvel kell rendelkeznie, máskülönben nem jelentkezhet be.
Környezet nélküli bejelentkezés: A környezet nélküli bejelentkezés lehetővé teszi a felhasználók számára, hogy pusztán a felhasználónevükkel és jelszavukkal jelentkezzenek be anélkül, hogy ismernék a felhasználói objektum teljes környezetét. Például: .admin.support.sales.netiq.
Ha a fán több felhasználónak is ugyanaz a felhasználóneve, a környezet nélküli bejelentkezés lehetővé teszi a felhasználó által megadott konténersorrend-listában a megadott jelszóval talált legelső fiókba történő belépést. A konténerek sorrendjének listáját a felhasználó átrendezheti és beállíthatja.
Ha a fán több felhasználónak is ugyanaz a felhasználóneve, egy meghatározott felhasználónévvel történő bejelentkezéshez a felhasználónak meg kell adnia a teljes környezetet, vagy korlátoznia kell a környezet nélküli bejelentkezés keresési konténereinek számát.
Válassza a Keresés a gyökértől lehetőséget a felhasználókeresés végrehajtásához a könyvtárfa gyökerétől. Válassza a Keresés a konténerekben lehetőséget egy vagy több olyan konténer megadásához, ahol felhasználóobjektumok találhatók.
Az iManager szolgáltatás alapértelmezés szerint nyilvános hozzáférés segítségével csatlakozik, amely nem igényel specifikus hitelesítő adatokat. Megadhat egy specifikus hitelesítő adatokkal rendelkező felhasználót a környezet nélküli kereséshez. Ha nem ad meg felhasználót, akkor az iManager nyilvános felhasználóját használja a rendszer.
FONTOS:Ha nyilvános felhasználót ad meg, vegye figyelembe a jelszó elévülésével kapcsolatos beállításokat is. Ha a nyilvános felhasználó jelszava elévülésre van beállítva, és a jelszó lejár, nincs lehetőség a jelszó módosítására a bejelentkezéskor.
Az iManager-kiszolgáló időtúllépési beállításai: Ha az iManager-kiszolgálóhoz időtúllépést kíván beállítani, adja meg a Hitelesítés oldalon a megfelelő mezőkben a nap, az óra és a perc értékét.
Ha a kiszolgálóhoz nem kíván időtúllépést beállítani, válassza a Soha sincs időtúllépés lehetőséget.
Kijelentkezés után átirányítás: Engedélyezze ezt a beállítást a Hitelesítés oldalon, ha az iManager konzolból való kijelentkezés után szeretné, hogy a rendszer a kívánt oldalra irányítsa át. A kívánt URL-címet az URL-cím: mezőben kell megadnia. Ha nem ad meg semmilyen URL-címet, a rendszer kijelentkezteti az iManager konzolból, amikor rákattint a Kilépés gombra. Alapértelmezés szerint a Bejelentkezés oldal jelenik meg.
A Szerepalapú szolgáltatások (RBS) az eDirectory szolgáltatáson belül jogosultságokat adnak a feladatok elvégzésére. Amikor hozzárendel egy szerepet egy felhasználóhoz, akkor az RBS alapértelmezés szerint megadja a szerepnek megfelelő feladatok végrehajtásához szükséges jogosultságokat.
Az RBS lapon az alábbi beállításokat adhatja meg:
Dinamikus csoportok engedélyezése: Ha be van jelölve, az RBS engedélyezi, hogy dinamikus csoportok egy szerep tagjai legyenek. A dinamikus csoportokról a NetIQ felügyeleti útmutatójában található további információ.
Szerepek megjelenítése a birtokolt gyűjteményekben: Ha be van jelölve, a gyűjteménytulajdonosok láthatják az összes szerepet és feladatot, tagságtól függetlenül. Törölje ennek a lehetőségnek a kijelölését, ha azt szeretné, hogy a gyűjteménytulajdonosok csak a hozzájuk rendelt szerepeket láthassák.
Szerepfelderítési tartomány: Annak a jelzése, hogy a fa mely részében fogja megkeresni az iManager szolgáltatás azokat a szerepeket, amelyek hozzá vannak rendelve valamely taghoz.
Szülő: Az iManager konzolban a rendszer a szülőtárolóig keresi a dinamikus csoportokat.
Partíció: Az iManager konzolban a rendszer az első eDirectory-partícióig keresi a dinamikus csoportokat.
Gyökér: Az iManager konzolban a teljes fán történik a dinamikus csoportok keresése.
Dinamikus csoportok Discovery tartománya: Annak a jelzése, hogy hol keressen az iManager dinamikuscsoport-tagságot. A program ezután ellenőrzi a szereptagságot a talált dinamikus csoportokban.
Szülő: Az iManager konzolban a felhasználó szülőkonténerében történik a szerepek keresése.
Partíció: Az iManager konzolban az első eDirectory-partícióig történik a szerepek keresése.
Gyökér: Az iManager konzolban az egész fán történik a szerepek keresése.
Dinamikus csoport keresésének típusa: Annak megadása, hogy a program milyen típusú dinamikus csoportokban keressen szereptagságot.
A Csak dinamikus csoportokban keresési típusban a dinamikus csoport osztálytípusba tartozó objektumok keresése történik.
A Dinamikus csoportok és kisegítőosztályok beállítással a dynamicGroup osztálytípusú vagy dynamicGroupAux osztállyal kibővített objektumok keresése történik. Ebbe beletartoznak azok a csoportobjektumok, amelyeket később alakítottak át dinamikus csoporttá.
RBS-falista: A rendszer automatikusan kitölti az eDirectory-fa nevével, amikor gyűjteménytulajdonos vagy szereptag végez hitelesítést. Ha egy eDirectory-fából eltávolítják az RBS-t, távolítsa el a fához tartozó bejegyzést a listából annak érdekében, hogy visszatérjen a Nem hozzárendelt hozzáférési üzemmódba.
A Beépülő modul letöltése lapon az alábbi beállításokat adhatja meg:
Az új NetIQ beépülő modulokat (NPM) a Novell letöltési webhelyén kérdezheti le: Azt jelzi, hogy az iManager-kiszolgálónak a NetIQ letöltési webhelyén kell lekérdeznie az új beépülő modulokat (NPM-eket).
Két választókapcsoló lehetővé teszi a lekérdezés konfigurálását minden elérhető NPM-hez vagy frissítések keresését csak a már telepített NPM-ekhez.
Beépülő modulok letöltése egyéni webhelyről: A beépülő modulokat úgy töltheti le egyéni webhelyről, ha megadja az egyéni webhely URL-címét a Letöltési webhely URL-címe mezőben a Beépülő modul letöltése oldalon.
Beépülő modulok letöltése proxyn keresztül: Ha az iManager-kiszolgálók a tűzfalproxy alatt futnak, az ügyfél az internetet proxykiszolgálón keresztül éri el. Csak a HTTP-proxy támogatott. Ez egy webproxys HTTP-elérés. A beépülő modulok letöltéséhez a felhasználónak az alábbi műveleteket kell elvégeznie a Beépülő modul letöltése oldalon:
Válassza a Proxy engedélyezése lehetőséget.
Töltse ki az alábbi mezőket:
Proxyállomás: Adja meg a proxyállomás IP-címét ebben a mezőben.
Proxyport: Adja meg a proxyportszámot ebben a mezőben.
Felhasználónév: Adja meg a felhasználó nevét ebben a mezőben.
Jelszó: Adja meg a jelszót ebben a mezőben.
Jelszó ismét: Írja be azt a jelszót, amit a Jelszó mezőben megadott.
FONTOS:Az iManager beépülő moduljai nem kompatibilisek az iManager korábbi verzióival. Továbbá minden olyan egyéni beépülő modult, amelyet az iManager konzollal szeretne használni, újra kell fordítani az iManager-környezetben.
Az Egyéb lapon az alábbi beállításokat adhatja meg:
[this] engedélyezése: Ez a beállítás figyelmen kívül hagyható. Azért adták az iManager szolgáltatáshoz, hogy néhány belső csapat módosíthassa a saját objektumaikat. A [this] egy attribútum a fán, amellyel specifikus önszervező funkció állítható be. Ha a [this] engedélyezve van, akkor a fán lévő összes eDirectory-kiszolgálónak legalább 8.6.2-es verziójúnak kell lennie.
eGuide URL-címe: Megadja az eGuide URL-címét. Ezt a fejlécben lévő eGuide indítógombhoz, és az eGuide szerep- és feladatkezelési feladatokhoz használja a rendszer. Lehet teljes URL-cím (például https://sajat.dns.nev/eGuide/servlet/eGuide) vagy az EMFRAME_SERVER kulcsszó. Az EMFRAME_SERVER kulcsszó választása esetén az eMFrame azon a kiszolgálón fogja keresni az eGuide szolgáltatást, ahol az eMFrame található.
Az eGuide útmutatóra vonatkozó további információkat lásd a Novell eGuide dokumentációjának webhelyén.
A biztonsági követelményeknek megfelelő rejtjelezési szint kiválasztásához kattintson a Tanúsítvány fülre. Az iManager konzolon az alábbi tanúsítványok állnak rendelkezésre:
RSA: A tanúsítvány 2048 bites RSA-kulcspárt használ. Az iManager konzolon az RSA-hoz az alábbi rejtjelezési szintek engedélyezettek:
NINCS: Bármilyen típusú titkosítás engedélyezése.
ALACSONY: 56 bites vagy 64 bites titkosítás engedélyezése.
KÖZEPES: 128 bites titkosítás engedélyezése.
MAGAS: 128 bitnél nagyobb titkosítás engedélyezése.
ECDSA 256: A tanúsítvány secp256r1 görbén alapuló ECDSA kulcspárt használ. Az iManager szolgáltatásban az ECDSA 256 típushoz csak egy rejtjelezési szint engedélyezett:
CSAK SUITEB 128: Bármilyen rejtjelezési típus engedélyezett.
ECDSA 384: A tanúsítvány secp384r1 görbén alapuló ECDSA kulcspárt használ.
SUITEB 128: Bármilyen rejtjelezési típus engedélyezett.
SUITEB 192: 56 bites vagy 64 bites rejtjelezés engedélyezése.
Alapértelmezés szerint az RSA tanúsítvány és hozzá a NINCS rejtjelszint van kiválasztva. ECDSA-tanúsítványoknál az iManager csak Suite B rejtjelek választását engedi. Ne feledje, hogy ha másik tanúsítványt választ ki, a módosítás életbe lépéséhez újra kell indítani a Tomcat kiszolgálót.
FONTOS:Alapértelmezés szerint a Firefoxban az ALACSONY rejtjelezési szint nem engedélyezett.
Az ALACSONY rejtjelezési algoritmusok engedélyezése a Firefox böngészőben:
Nyissa meg a Firefoxot, írja be a címsávba az about:config kifejezést, és nyomja le az Enter billentyűt.
(Feltételes) Ha figyelmeztetés jelenik meg, kattintson az Óvatos leszek, megígérem! gombra, hogy továbbléphessen az about:config oldalra.
Az about:config oldalon, a Beállítás neve lista alatt kattintson duplán a security.ssl3.rsa_rc4_128_md5 beállításra, és változtassa meg az értékét Igaz értékre.
Ezzel engedélyezi az ALACSONY rejtjelezési algoritmusokat a Firefox böngészőben.
A Tanúsítvány fül szándékosan nem érhető el az OES-ben. Manuálisan kell módosítania a rejtjelezési szintet a vhost-ssl.conf fájlban.
Lépjen az /etc/apache2/vhosts.d/vhost-ssl.conf fájlra, és a támogatott rejtjelezési szint alapján módosítsa az SSLCipherSuite paramétert.
A csak MAGAS rejtjelezési szint beállításához például módosítsa az SSLCipherSuite paramétert az alábbiak szerint:
<VirtualHost _default_:443>
--------------
----------------
SSLCipherSuite ALL:ADH:EXPORT56:RC4+RSA:+HIGH:!MEDIUM:!LOW:+SSLv2:+EXP:+eNULL
-------------
---------------
<VirtualHost>
A rejtjelezési szintek módosításához használhatja a következő előtagokat:
+ : rejtjeleket ad hozzá a rejtjelek listájához, és a lista aktuális helyére húzza őket.
- : eltávolít egy rejtjelet a listáról (később újra hozzá lehet adni).
! : teljesen eltávolít egy rejtjelet a listáról (később nem lehet újra hozzáadni).
További információért lásd az Apache modul mod_ssl dokumentációját.