1.1 Requisiti di sistema e prerequisiti per l'installazione di Docker

1.1.1 Requisiti di sistema

Poiché OpenText Identity Console può essere eseguito come container di Docker, per ulteriori informazioni sui requisiti di sistema e sulle piattaforme supportate per l'installazione di OpenText Identity Console, vedere la Docker Documentation (Documentazione di Docker).

1.1.2 Prerequisiti

Installare Docker 20.10.9-ce o versione successiva. Per ulteriori informazioni su come installare Docker in base alla piattaforma in uso, vedere Installazione di Docker.
È necessario ottenere un certificato server pkcs12 con la chiave privata per cifrare/decifrare lo scambio di dati tra il server di OpenText Identity Console e il server back-end. Questo certificato server viene utilizzato per proteggere la connessione HTTP. È possibile utilizzare i certificati server generati da una CA esterna. Per ulteriori informazioni, vedere Creating a Server Certificate Object (Creazione di un oggetto Server Certificate). Il certificato server deve contenere il nome alternativo del soggetto con l'indirizzo IP e il DNS del server di OpenText Identity Console. Una volta creato l'oggetto Server Certificate, è necessario esportarlo formato .pfx.
È necessario ottenere un certificato CA per tutti gli alberi in formato .pem per convalidare la firma CA dei certificati server ottenuti nel passaggio precedente. Questo certificato CA radice garantisce inoltre una comunicazione LDAP protetta tra il client e il server di OpenText Identity Console. Ad esempio, è possibile ottenere il certificato CA di OpenText eDirectory (SSCert.pem) da /var/opt/novell/OpenText eDirectory/data/SSCert.pem.
(Facoltativo) Utilizzando One SSO Provider (OSP), è possibile abilitare l'autenticazione single sign-on degli utenti al portale di OpenText Identity Console. Prima di installare OpenText Identity Console è necessario installare OSP. Per configurare OSP per OpenText Identity Console, seguire i prompt visualizzati e specificare i valori richiesti per i parametri di configurazione. Per registrare OpenText Identity Console in un server OSP esistente, è necessario aggiungere manualmente il seguente comando al file ism-configuration.properties nella cartella /opt/netiq/idm/apps/tomcat/conf/:
```
com.netiq.edirapi.clientID = identityconsole
com.netiq.edirapi.redirect.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/authcoderedirect
com.netiq.edirapi.logout.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/logoutredirect
com.netiq.edirapi.logout.return-param-name = logoutURL
com.netiq.edirapi.response-types = code,token
com.netiq.edirapi.clientPass._attr_obscurity = NONE
com.netiq.edirapi.clientPass = novell
```
NOTA:
- Con OSP è possibile effettuare la connessione a un solo albero OpenText eDirectory; OSP non supporta alberi OpenText eDirectory multipli.
- L’OSP di terze parti non è supportato in OpenText Identity Console.
- In un ambiente integrato NAM, OpenText Identity Console con OSP non è attualmente supportato.
Accertarsi di disporre di una voce DNS corretta per il computer host in /etc/hosts con un nome host completo.
Se si desidera utilizzare OpenText Identity Console con il browser Edge, è necessario effettuare il download della versione più recente di Microsoft Edge per usufruire di tutte le funzionalità.

NOTA:Durante l'utilizzo di OpenText Identity Console in Mozilla Firefox, è possibile che l'operazione abbia esito negativo e che venga visualizzato il messaggio di errore Origin Mismatch (Discordanza dell'origine). Per risolvere il problema, eseguire i seguenti passaggi:

Aggiornare Firefox alla versione più recente.
Specificare about:config nel campo URL di Firefox e premere Invio.
Ricercare l'origine.
Fare doppio clic su network.http.SendOriginHeader e impostarne il valore su 1.

1.1.3 Configurazione dell'ambiente

Potrebbe essere necessario creare un file di configurazione contenente parametri specifici. Se si desidera configurare OpenText Identity Console con OSP, è necessario specificare i parametri specifici di OSP nel file di configurazione. Ad esempio, creare il file edirapi.conf seguente con i parametri OSP:

NOTA:È necessario specificare il nome dell'albero OpenText eDirectory nel campo osp-redirect-url.

listen = ":9000"
ldapserver = "192.168.1.1:636"
ldapuser = "cn=admin,ou=sa,o=system"
ldappassword = "novell"
pfxpassword = "novell"
ospmode = "true"
osp-token-endpoint = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/getattributes"
osp-authorize-url = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/grant"
osp-logout-url = "https://10.10.10.10:8543/osp/a/idm/auth/app/logout"
osp-redirect-url = "https://10.10.10.10:9000/eDirAPI/v1/edirtree/authcoderedirect"
osp-client-id = "identityconsole"
ospclientpass = "novell"
ospcert = "/etc/opt/novell/eDirAPI/cert/SSCert.pem"
bcert = "/etc/opt/novell/eDirAPI/cert/"
loglevel = "error"
check-origin = "true"
origin = "https://10.10.10.10:9000,https://192.168.1.1:8543"

Se si desidera configurare OpenText Identity Console senza OSP, creare un file di configurazione come illustrato di seguito, senza i parametri OSP:

[OpenText Identity Console 1.9]

listen = ":9000"
pfxpassword = "novell"
ospmode = "false"
bcert = "/etc/opt/novell/eDirAPI/cert/"
auto-fetch = false

NOTA:

Rimuovere il parametro edir-hosts dal file di configurazione e aggiungere il parametro auto-fetch.
Se auto-fetch = false, è necessario copiare manualmente il certificato CA nella cartella cert.

[OpenText Identity Console 1.8 e versioni precedenti]

listen = ":9000"
pfxpassword = "novell"
ospmode = "false"
bcert = "/etc/opt/novell/eDirAPI/cert/"
edir-hosts = "<ip_address-1>:636,<ip_address-2>:636"

NOTA:Se si desidera configurare OpenText Identity Console con alberi OpenText eDirectory multipli, è possibile ignorare i parametri "ldapserver", "ldapuser" e "ldappassword" e creare il file di configurazione.

Tabella 1-1 Descrizione dei parametri di configurazione nel file di configurazione

Parametri di configurazione	Descrizione
listen	Specificare 9000 come porta di ascolto del server di OpenText Identity Console all'interno del container.
ldapserver	Specificare l'IP e il numero di porta del server host OpenText eDirectory.
ldapuser	Specificare il nome utente dell'utente OpenText eDirectory. Questo parametro viene utilizzato come credenziale per l'inizializzazione delle chiamate LDAP a OpenText eDirectory mediante il controllo delle autorizzazioni gestite via proxy nel caso di login OSP. L'utente LDAP deve disporre dei diritti di supervisore sull'albero OpenText eDirectory.
ldappassword	Specificare la password dell'utente LDAP.
pfxpassword	Specificare la password del file del certificato server pkcs12.
ospmode	Specificare true per integrare OSP con OpenText Identity Console. Se si imposta su false, OpenText Identity Console userà il login LDAP.
osp-token-endpoint	Questo URL viene utilizzato per recuperare determinati attributi dal server OSP per verificare la validità del token di autenticazione..
osp-authorize-url	Questo URL viene utilizzato dall'utente per fornire le credenziali per ottenere un token di autenticazione..
osp-logout-url	Utilizzare questo URL per terminare la sessione tra l'utente e il server OSP..
osp-redirect-url	Il server OSP reindirizza l'utente all'URL dopo aver concesso il token di autenticazione.. NOTA:Durante la configurazione di OpenText Identity Console, assicurarsi di specificare in minuscolo il nome dell'albero OpenText eDirectory. Se il nome dell'albero non viene specificato in minuscolo, è possibile che il login al server di OpenText Identity Console abbia esito negativo.
osp-client-id	Specificare l'ID del client OSP fornito al momento della registrazione di OpenText Identity Console con OSP.
ospclientpass	Specificare la password del client OSP fornita al momento della registrazione di OpenText Identity Console con OSP.
ospcert	Specificare l'ubicazione del certificato CA del server OSP..
bcert	Specificare l'ubicazione del certificato CA di OpenText Identity Console.
loglevel	Specificare i livelli di log che si desidera includere nel file di log. Questo parametro può essere impostato su "fatal" (errore irreversibile), "error" (errore), "warn" (avviso) o "info".
check-origin	Se questa opzione è impostata su true, il server di OpenText Identity Console confronta il valore di origine delle richieste. Le opzioni disponibili sono true o false. Il parametro origin (origine) è obbligatorio anche se il valore del parametro check-origin (controllo origine) è impostato su false quando si utilizza la configurazione DNS.
origin	OpenText Identity Console confronta il valore origin (origine) delle richieste con i valori specificati in questo campo. NOTA:A partire dalla versione 1.4 di OpenText Identity Console, questo parametro è indipendente dal parametro check-origin (controllo origine) ed è obbligatorio se viene utilizzata la configurazione DNS.
maxclients	Numero massimo di client simultanei che possono accedere a IDConsole. Tutti gli altri client oltre tale limite dovranno attendere in coda.
auto-fetch	Da OpenText Identity Console 1.9 in avanti, è possibile scegliere di recuperare automaticamente il certificato CA.
edir-hosts (versione 1.8 e precedenti)	edir-host è un parametro contenente gli indirizzi IP di OpenText eDirectory che si desidera connettere mediante OpenText Identity Console.

NOTA:

Utilizzare il parametro di configurazione ospmode solo se si prevede di integrare OSP con OpenText Identity Console.
Se Identity Applications (Identity Apps) è configurato in modalità cluster nella configurazione di OpenText Identity Manager, è necessario specificare il nome DNS del server del sistema di bilanciamento del carico nei campi osp-token-endpoint, osp-authorize-url e osp-logout-url nel file di configurazione. Se si specificano i dettagli del server OSP in questi campi, il login a OpenText Identity Console avrà esito negativo.
Se OpenText Identity Console è configurato con la stessa istanza OSP di Identity Apps e OpenText Identity Reporting, il Single Sign-On (servizio di autenticazione) avrà effetto quando si esegue il login al portale di OpenText Identity Console.
L'URL HTTPS OSP deve essere convalidato con certificati contenenti chiavi a 2048 bit o superiori a partire da OpenText Identity Console 1.4.
Se si desidera limitare l'accesso al portale di OpenText Identity Console da domini diversi, impostare il parametro samesitecookie su strict. Se si desidera consentire l'accesso al portale di OpenText Identity Console da domini diversi, impostare il parametro samesitecookie su lax.. Se il parametro non viene specificato durante la configurazione, di default verranno applicate le impostazioni del browser.

Una volta preparato il file di configurazione, procedere con la distribuzione del container. Per ulteriori informazioni, vedere Installazione di OpenText Identity Console come container di Docker.