2.1 Installazione di OpenText Identity Console CE 24.4 (v1.9)

2.1.1 Installazione di OpenText Identity Console (non-Docker) come applicazione autonoma

È possibile installare OpenText Identity Console in uno dei seguenti modi:

NOTA:Per garantire il corretto funzionamento, si consiglia di installare OpenText Identity Console ed OpenText eDirectory sullo stesso computer in cui deve essere disponibile almeno un'istanza di OpenText eDirectory.

Esecuzione di un'installazione interattiva

In questa sezione viene illustrato come eseguire l’installazione di OpenText Identity Console come applicazione autonoma utilizzando il metodo di installazione interattiva.

  1. Eseguire il login al portale Software License and Download (Licenza software e download) e passare alla pagina per il download del software.

  2. Selezionare quanto segue:

    • Prodotto: OpenText eDirectory

    • Product Name (Nome prodotto): OpenText eDirectory per User Sub SW E-LTU

    • Versione: 9.2, 9.3

  3. Effettuare il download e l’estrazione della build più recente per OpenText Identity Console.

  4. Passare alla directory in cui è stata estratta la build di OpenText Identity Console > IdentityConsole_<version>_Linux.

  5. Eseguire il comando seguente dopo aver eseguito il login come utente root o equivalente:

    ./identityconsole_install

  6. Leggere l'Introduzione e fare clic su ENTER.

  7. Immettere y per accettare il contratto di licenza. Verranno installati tutti gli RPM necessari nel sistema.

  8. Immettere il nome host del server di Identity Console (FQDN)/l'indirizzo IP. Ad esempio, 10.10.33.100

    Se si preme Invio senza specificare un indirizzo IP, di default viene utilizzato l'indirizzo IP/nome host del sistema.

  9. Immettere il numero della porta di ascolto di Identity Console. Il valore di default è 9000.

  10. Specificare gli host eDirectory da connettere. È possibile specificare l'indirizzo IP o il nome di dominio. Ad esempio: localhost:636,xx.xx.xx.xx:636 o edir.domain.com:636

  11. (Condizionale) Scegliere una delle seguenti opzioni in base alle proprie esigenze:

    • Se non si desidera integrare OSP con OpenText Identity Console, scegliere "n" e continuare con Passaggio 12.

    • Se si desidera integrare OSP con OpenText Identity Console, scegliere "y" e fornire gli input per i seguenti passaggi:

      1. Immettere il nome di dominio/l'indirizzo IP del server eDirectory/Identity Vault con il numero di porta LDAPS.

        Ad esempio:

        192.168.1.1:636

      2. Immettere il nome utente eDirectory/Identity Vault.

        Esempio:

        cn=admin,ou=org_unit,o=org

      3. Immettere la password di eDirectory/Identity Vault.

      4. Immettere nuovamente la password di eDirectory/Identity Vault per confermarla.

      5. Immettere il nome di dominio/indirizzo IP del server OSP con il numero di porta SSL del server SSO.

      6. Immettere l'ID client OSP e la password del client OSP.

      7. Immettere il nome dell'albero eDirectory/Identity Vault.

  12. (Condizionale) Scegliere una delle seguenti opzioni in base alle proprie esigenze:

    • Se si desidera recuperare automaticamente i certificati CA, scegliere y per il recupero automatico.

    • Se non si desidera recuperare automaticamente i certificati CA, scegliere nper il recupero automatico.

  13. (Condizionale) Scegliere una delle seguenti opzioni in base alle proprie esigenze:

    • Se si desidera importare il certificato CA dal server, immettere y e premere Invio.

      Il certificato CA viene copiato in /etc/opt/novell/eDirAPI/cert.

      Per recuperare o aggiungere manualmente il certificato CA, fare riferimento a Generazione del certificato CA

    • Se non si desidera importare il certificato CA dal server, immettere n e premere Invio.

    • Se si immette "q", l'installazione viene terminata.

  14. (Condizionale) Scegliere una delle seguenti opzioni per generare un certificato del server:

    • Se si desidera generare il certificato del server, immettere "y" e premere Invio. Fornire gli input per i seguenti passaggi:

      1. Immettere il nome utente eDirectory. Esempio: cn=admin,o=novell.

      2. Immettere la password dell'utente eDirectory.

      3. Immettere nuovamente la password dell’utente eDirectory.

      4. Immettere il nome del certificato server.

        Esempio: servercert

      5. Immettere la password del certificato server.

        Esempio: password@123

      6. Immettere nuovamente la password del certificato server.

        Esempio: password@123

    • Se si dispone già di un certificato del server che desidera utilizzare, immettere "n" e premere Invio. Fornire gli input per i seguenti passaggi:

      1. Specificare manualmente il percorso della directory del certificato del server.

        Ad esempio, /home/cert/keys.pfx

      2. Immettere la password del certificato server.

      3. Immettere nuovamente la password del certificato server.

NOTA:

  • Nella directory /var/opt/novell/eDirAPI/log sono disponibili i seguenti file di log:

    • edirapi.log - Questo file registra gli eventi edirapi e i problemi di debug.

    • edirapi_audit.log - Questo file registra gli eventi di revisione edirapi. I log seguono il formato di revisione CEF.

    • identityconsole_install.log - Questo file registra gli eventi di OpenText Identity Console.

  • È possibile controllare i log per le operazioni di avvio e arresto di OpenText Identity Console nel file /var/log/messages.

  • Se l'installazione non va a buon fine, utilizzare il comando seguente per riconfigurare:

    /usr/bin/identityconsoleConfigure

Utility per la generazione di certificati

È possibile ottenere certificati CA e certificati del server per altri alberi utilizzando i seguenti strumenti o utility.

NOTA:Gli script per il certificato CA e del server sono disponibili nel percorso opt/novell/eDirAPI/sbin.

Generazione del certificato CA

  1. Effettuare il download e l'estrazione dell'ultima build di OpenText Identity Console.

  2. Passare alla directory /opt/novell/eDirAPI/sbin per recuperare, eliminare o visualizzare l'elenco dei certificati CA.

  3. Eseguire il comando seguente dopo aver eseguito il login come utente root o equivalente.

    ./get_cacert fetch <ip address/DNS:ldaps port>

    Ad esempio:

    ./get_cacert fetch 10.10.10.10:636

  4. Per aggiungere manualmente il certificato CA nella cartella cert, passare a /etc/opt/novell/eDirAPI/cert ed effettuare il copia e incolla del certificato CA.

    <IP address/DNS_ldaps port.pem>

    Ad esempio:

    10.10.10.10_636.pem

Generazione del certificato del server

  1. Effettuare il download e l'estrazione dell'ultima build di OpenText Identity Console.

  2. Passare alla directory per recuperare, eliminare o visualizzare l'elenco dei certificati CA > /opt/novell/eDirAPI/sbin

  3. Eseguire il comando seguente dopo aver eseguito il login come utente root o equivalente.

    ./get_servercert <eDirectory IP address with LDAPS port number> <eDirectory/Identity Vault username> <userpassword> <server certificate name> <server certificate password>

    Esempio:

    ./get_servercert 10.10.10.10:636 cn=admin,ou=org_unit,o=org password keys password

Installazione in modalità automatica

L'installazione in modalità automatica consente di installare OpenText Identity Console senza alcun input interattivo. Per utilizzare questo metodo, è necessario definire le opzioni per l'installazione di OpenText Identity Console nel file silent_properties, quindi eseguire il processo di installazione dalla riga di comando. Dopo aver modificato il file delle proprietà, il sistema utilizza le relative informazioni per completare l'installazione in modalità automatica.

Prima di avviare l'installazione in modalità automatica, assicurarsi che siano soddisfatti tutti i prerequisiti.

Per modificare il file delle proprietà della modalità automatica:

  1. Passare alla directory IdentityConsole_<version>_Linux nell'ubicazione in cui è stata estratta la build di OpenText Identity Console.

  2. Aprire il file silent_properties e modificare i valori in base alle proprie esigenze:

    • Se auto fetch è Yes,

      1. Immettere i seguenti dettagli nel file silent_properties:

        export AUTOGENERATE_CACERT="Yes" export AUTOGENERATE_SERVERCERT="Yes" export EDIR_HOST="" export IDC_IP="" export IDC_PORT="9000" export OSP_CLIENT_ID="identityconsole" export OSP_CLIENT_PASSWD="novell" export OSP_IP="" export OSP_MODE="No" export AUTO_FETCH="Yes" export SERVERCERT_NAME="cert" export SERVERCERT_PASSWORD="novell" export SERVERCERT_USERNAME="cn=admin,o=novell" export SERVERCERT_USER_PASSWORD="novell" export TREENAME="my_tree" export VAULT_IP="" export VAULT_USERNAME="cn=admin,o=novell" export VAULT_PASSWD="novell"

      2. Per eseguire l’installazione in modalità automatica, eseguire il comando seguente:

        ./identityconsole_install -s silent_properties

    • Se auto fetch è No,

      1. Immettere i seguenti dettagli nel file silent_properties:

        export AUTOGENERATE_CACERT="No" export AUTOGENERATE_SERVERCERT="No" export EDIR_HOST="" export IDC_IP="" export IDC_PORT="9000" export OSP_CLIENT_ID="identityconsole" export OSP_CLIENT_PASSWD="novell" export OSP_IP="" export OSP_MODE="No" export AUTO_FETCH="No" export SERVERCERT_LOCATION="/etc/opt/novell/eDirAPI/cert/SSCert.pem" export SERVERCERT_NAME="cert" export SERVERCERT_PASSWORD="novell" export SERVERCERT_USERNAME="cn=admin,o=novell" export SERVERCERT_USER_PASSWORD="novell" export TREENAME="my_tree" export VAULT_IP="" export VAULT_USERNAME="cn=admin,o=novell" export VAULT_PASSWD="novell"

      2. Copiare manualmente il certificato CA nella cartella /etc/opt/novell/eDirAPI/cert/.

      3. Per installare l’rpm, eseguire il comando seguente:

        ./identityconsole_rpm_install

      4. Dopo aver installato l’rpm, eseguire il comando seguente per eseguire il programma di installazione in modalità automatica:

        ./identityconsoleConfigure -s silent_properties

I log relativi all'installazione sono presenti nel file installazione di Identity Console > identityconsole_install.log.

Alberi multipli con OpenText Identity Console come applicazione autonoma

Per connettere OpenText Identity Console a più alberi OpenText eDirectory quando il recupero automatico è disabilitato, è necessario copiare i certificati CA da tutti gli alberi di OpenText eDirectory nella directory /etc/opt/novell/eDirAPI/cert/.

Copiare i certificati CA nel modo seguente:

cp /home/user/<ip address1_ldap port.pem> /etc/opt/novell/eDirAPI/cert/<ip address1_ldap port.pem>

cp /home/user/<ip address2_ldap port.pem> /etc/opt/novell/eDirAPI/cert/<ip address2_ldap port.pem>

Per recuperare il certificato CA mediante l’utility get_cacert, vedere la sezione Generazione del certificato CA.

Per riavviare OpenText Identity Console, eseguire uno dei comandi seguenti:

  • /usr/bin/identityconsole restart
  • systemctl restart netiq-identityconsole.service

Quando è abilitato il recupero automatico, i certificati CA vengono copiati automaticamente nella cartella cert.

Sostituzione del certificato del server in OpenText Identity Console come applicazione autonoma

Per sostituire il certificato del server in OpenText Identity Console come applicazione autonoma, eseguire la procedura seguente:

  1. Eseguire NLPCERT per memorizzare le chiavi:

    su - nds -c "/opt/novell/eDirAPI/sbin/decryptor /Expiredcert/noexpire/new-keys.pfx novell /etc/opt/novell/eDirAPI/conf/ssl/private/cert.pem"

  2. Riavviare OpenText Identity Console:

    systemctl restart netiq-identityconsole.service

Arresto, riavvio e stato di OpenText Identity Console come applicazione autonoma

  • Per arrestare, eseguire uno dei seguenti comandi:

    /usr/bin/identityconsole stop

    oppure

    systemctl stop netiq-identityconsole.service

  • Per riavviare, eseguire uno dei seguenti comandi:

    /usr/bin/identityconsole restart

    oppure

    systemctl restart netiq-identityconsole.service

  • Per controllare lo stato, eseguire uno dei seguenti comandi:

    /usr/bin/identityconsole status

    oppure

    systemctl status netiq-identityconsole.service

  • Per avviare, eseguire uno dei seguenti comandi:

    /usr/bin/identityconsole start

    oppure

    systemctl start netiq-identityconsole.service

2.1.2 Installazione di OpenText Identity Console Workstation su Windows

OpenText Identity Console può essere avviato su Windows come workstation e richiede l'esecuzione dei servizi REST. Pertanto, quando viene avviato, un processo eDirAPI viene eseguito nel prompt dei comandi edirapi.exe. Se si chiude il terminale edirapi.exe, OpenText Identity Console non funzionerà più.

Nella procedura seguente viene descritto come eseguire OpenText Identity Console su Windows.

  1. Eseguire il login al portale Software License and Download (Licenza software e download) e passare alla pagina per il download del software.

  2. Selezionare quanto segue:

    • Prodotto: OpenText eDirectory

    • Product Name (Nome prodotto): OpenText eDirectory per User Sub SW E-LTU

    • Versione: 9.2, 9.3

  3. Effettuare il download e l’estrazione del file IdentityConsole_<version>_workstation_win_x86_64.zip.

  4. Passare alla cartella estratta e installare NICI_wx64.

  5. (Facoltativo) Aprire il file edirapi_win.conf e modificare il numero di porta per l'ascolto di OpenText Identity Console.

  6. (Condizionale) Se si dispone già dei file keys.pfx e SSCert.pem che si desidera utilizzare, modificare il nome file del certificato CA in <ipaddress_ldap>.pem(xx.xx.xx.xxx_636.pem), quindi e copiare manualmente i file nella cartella cert ubicata in C:\IdentityConsole_<version>_workstation_win_x86_64\eDirAPI\cert.

    Procedere quindi con il passaggio 9.

  7. (Condizionale) Se si desidera generare il certificato CA, passare alla cartella eDirAPI, eseguire il file binario get_cacert.exe fetch <IP address_port.pem> nel prompt dei comandi, ubicato in C:\IdentityConsole_version_workstation_win_x86_64\eDirAPI\cert, e specificare il nome di dominio/indirizzo IP del server OpenText eDirectory/Identity Vault con il numero di porta LDAPS.

    Ad esempio:

    get_cacert.exe fetch 10.10.10.125:636

    Viene generato il file 10.10.10.125_636.pem.

  8. (Condizionale) Se si desidera generare il certificato del server, eseguire il file binario get_servercert.exe help tramite il prompt dei comandi insieme ai seguenti dettagli:

    • Nome di dominio/l'indirizzo IP del server eDirectory/Identity Vault con il numero di porta LDAPS.

    • Nome utente di eDirectory/Identity Vault.

    • Password di eDirectory/Identity Vault.

    • Nome del certificato del server.

    • Password del certificato del server.

    Ad esempio:

    get_servercert.exe 10.10.10.125:636 cn=admin,o=novell novell keys novell

    Viene generato un file keys.pfx.

  9. Passare alla cartella estratta, fare doppio clic sul file configure.bat e immettere la password del certificato del server (keys.pfx) nel prompt dei comandi.

    NOTA:se il certificato del server viene modificato, eseguire nuovamente il file configure.bat con la password del nuovo certificato.

  10. Passare alla cartella estratta e fare doppio clic sul file run.bat.

    Il terminale del processo eDirAPI (edirapi.exe) viene avviato e viene visualizzata la pagina di login di OpenText Identity Console.

NOTA:

  • Per i login successivi all'applicazione OpenText Identity Console, fare doppio clic sul file run.bat. Verrà visualizzata la pagina di login.

    Se il terminale del processo eDirAPI (edirapi.exe) è già in esecuzione, eseguire identityconsole.exe dalla cartella estratta della build.

  • Gli utenti possono trovare i seguenti log in: \IdentityConsole_<version>_workstation_win_x86_64\eDirAPI\log

    edirapi.log - Utilizzato per registrare diversi eventi in edirapi e per eseguire il debug dei problemi.

    edirapi_audit.log - Utilizzato per registrare gli eventi di revisione di edirapi. I log seguono il formato di revisione CEF.

  • Il login basato su OSP non è supportato in modalità workstation.

  • Se il numero di porta è già in uso, modificare il parametro listen nel file edirapi_win.conf con un nuovo numero di porta e fare doppio clic sul file run.bat per eseguire il login a OpenText Identity Console.

Utility per la generazione di certificati

È possibile ottenere certificati CA e certificati del server per altri alberi OpenText eDirectory utilizzando le seguenti utility.

NOTA:Gli script per il certificato CA e del server sono disponibili nel percorso opt/novell/eDirAPI/sbin.

Generazione del certificato CA

  1. Effettuare il download e l'estrazione dell'ultima build di OpenText Identity Console.

  2. Accedere alla directory in cui è stata estratta la build di OpenText Identity Console. Esempio: C:\IdentityConsole_<version>_workstation_win_x86_64\eDirAPI

  3. Eseguire il seguente file binario tramite il prompt dei comandi.

    get_cacert.exe fetch <ip address:port>

    Specificare l'indirizzo IP di OpenText eDirectory e il numero di porta LDAPS.

    Esempio: get_cacert.exe fetch 10.10.10.125:636

    Il file 10.10.10.125_636.pem viene generato e copiato nella cartella cert.

Generazione del certificato del server

  1. Accedere alla cartella in cui è stata estratta la build di OpenText Identity Console.

    Esempio: IdentityConsole_<version>_win

  2. Eseguire get_servercert.exe help per ulteriori opzioni della guida tramite il prompt dei comandi.

    • Nome di dominio/l'indirizzo IP del server eDirectory/Identity Vault con il numero di porta LDAPS.

    • Nome utente di eDirectory/Identity Vault.

    • Password di eDirectory/Identity Vault.

    • Nome del certificato del server.

    • Password del certificato del server.

      Per generare il certificato del server, eseguire il seguente comando dal prompt dei comandi:

      Esempio:

      get_servercert.exe 10.10.10.125:636 cn=admin,o=novell novell keys novell

      Il file keys.pfx viene generato e copiato nella cartella cert.

Alberi multipli con OpenText Identity Console come workstation

OpenText Identity Console consente all'utente di connettersi a più alberi immettendo l'indirizzo IP nella pagina di login.

Chiusura e riavvio di OpenText Identity Console Workstation

Per chiudere l'applicazione e il processo:

  1. Chiudere l'applicazione desktop Windows OpenText Identity Console.

  2. Arrestare il processo eDirAPI chiudendo il terminale del processo eDirAPI.

Per riavviare OpenText Identity Console Workstation, accedere alla cartella in cui viene estratta la build e fare doppio clic su run.bat (file batch di Windows).

NOTA:Se il terminale del processo eDirAPI è già in esecuzione, eseguire identityconsole.exe dalla cartella estratta della build per riavviare OpenText Identity Console Workstation.

2.1.3 Installazione di OpenText Identity Console come container di Docker

In questa sezione sono incluse le seguenti procedure:

Suggerimenti sulla sicurezza

  • Per default, i container di Docker non dispongono di vincoli di risorsa. In questo modo, tutti i container dispongono dell'accesso a tutte le risorse della CPU e della memoria fornite dal kernel dell'host. È inoltre necessario garantire che un container in esecuzione non utilizzi più risorse e che non le sottragga agli altri container in esecuzione, impostando limiti per la quantità di risorse che è possibile utilizzare in un container.

    • In questo caso, il container di Docker deve verificare che venga applicato un limite rigido per la memoria utilizzata dal container tramite il flag --memory sul comando di esecuzione di Docker.

    • In questo caso, il container di Docker deve verificare che il limite venga applicato alla quantità di CPU utilizzata da un container in esecuzione mediante il flag --cpuset-cpus sul comando di esecuzione di Docker.

  • --pids-limit deve essere impostato su 300 per limitare il numero di thread del kernel generati all'interno del container in un determinato momento. In questo modo si evitano gli attacchi DoS.

  • È necessario impostare la policy di riavvio del container in caso di errore su 5, mediante il flag --restart sul comando di esecuzione di Docker.

  • È necessario utilizzare solo il container una volta che lo stato di integrità risulta essere Integro dopo l'avvio del container. Per verificare lo stato di integrità del container, eseguire il comando seguente:

    docker ps <container_name/ID>

  • Il container di Docker viene sempre avviato come utente non root (nds). Come ulteriore misura di sicurezza, abilitare la rimappatura dello spazio dei nomi dell'utente sul daemon per impedire attacchi con escalation dei privilegi all'interno del container. Per ulteriori informazioni sulla rimappatura dello spazio dei nomi dell'utente, vedere Isolate containers with a user namespace (Isolare i container con uno spazio dei nomi dell'utente).

Installazione di OpenText Identity Console come container di Docker

NOTA:OpenText Identity Console può essere configurato con o senza OSP. Se si sceglie di configurarlo con OSP, è innanzitutto necessario distribuire il container OSP, quindi il container di OpenText Identity Console. Assicurarsi di modificare il file edirapi.conf in modo da includere i valori desiderati per la distribuzione.

Per installare OpenText Identity Console come container di Docker:

I parametri di configurazione, i valori di esempio e gli esempi menzionati in questa procedura sono solo a scopo di riferimento. Accertarsi di non utilizzarli direttamente nell'ambiente di produzione.

  1. Eseguire il login al portale Software License and Download (Licenza software e download) e passare alla pagina per il download del software.

  2. Selezionare quanto segue:

    • Prodotto: OpenText eDirectory

    • Product Name (Nome prodotto): OpenText eDirectory per User Sub SW E-LTU

    • Versione: 9.2, 9.3

  3. Eseguire il download di IdentityConsole_<version>_Container.tar.zip.

  4. L'immagine deve essere caricata nel registro locale di Docker. Estrarre e caricare il file IdentityConsole_<version>_Containers.tar.gz utilizzando i comandi seguenti:

    tar -xvf IdentityConsole_version_Containers.tar.gz              
    docker load --input identityconsole.tar.gz

  5. Creare il container di Docker di OpenText Identity Console utilizzando il seguente comando:

    docker create --name identityconsole-container-name --env ACCEPT_EULA=Y --network=network-type --volume volume-name:/config/ identityconsole:version

    Ad esempio:

    docker create --name identityconsole-container-1 --env ACCEPT_EULA=Y --network=host --volume IDConsole-volume:/config/ identityconsole:version

    NOTA:

    • È possibile accettare l'EULA impostando la variabile d'ambiente ACCEPT_EULA su 'Y'. È anche possibile accettare l'EULA dal prompt sullo schermo mentre si avvia il container utilizzando l'opzione -it nel comando di creazione di Docker per la modalità interattiva.

    • Il parametro --volume nel comando precedente creerà un volume per la memorizzazione dei dati di configurazione e di log. In questo caso, è stato creato un volume di esempio denominato IDConsole-volume.

  6. Copiare il file del certificato server dal file system locale al container come /etc/opt/novell/eDirAPI/cert/keys.pfx utilizzando il seguente comando. Per ulteriori informazioni sulla creazione del certificato del server, vedere Prerequisiti:

    docker cp <absolute path of server certificate file> <identityconsole-container-name>:/etc/opt/novell/eDirAPI/cert/keys.pfx

    Ad esempio:

    docker cp /home/user/keys.pfx identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/keys.pfx

    Quando si esegue la connessione a più alberi OpenText eDirectory, è necessario assicurarsi di ottenere almeno un certificato server keys.pfx per tutti gli alberi connessi.

  7. Copiare il file del certificato CA (.pem) dal file system locale al container come /etc/opt/novell/eDirAPI/cert/sscert.pem utilizzando il seguente comando. Per ulteriori informazioni su come ottenere il certificato CA, vedere Prerequisiti:

    docker cp absolute path of CA certificate file identityconsole-container-name:/etc/opt/novell/eDirAPI/cert/SSCert.pem

    Ad esempio:

    docker cp /home/user/SSCert.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert.pem

    Se l'utente deve effettuare la connessione a più alberi OpenText eDirectory, fare riferimento alla sezione seguente: Alberi multipli con OpenText Identity Console come Docker.

  8. A seconda che si desideri configurare OpenText Identity Console con o senza OSP, modificare il file di configurazione edirapi.conf in base alle esigenze. Utilizzare quindi il comando seguente per copiarlo dal file system locale al container in /etc/opt/novell/eDirAPI/conf/edirapi.conf:

    docker cp absolute path of configuration file identityconsole-container-name:/etc/opt/novell/eDirAPI/conf/edirapi.conf

    Ad esempio:

    docker cp /home/user/edirapi.conf identityconsole-container-1:/etc/opt/novell/eDirAPI/conf/edirapi.conf

    Di seguito è riportato un file di configurazione di esempio (OpenText Identity Console 1.9 e versioni successive):

    listen = ":9000" pfxpassword = "novell" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=false auto-fetch=false

    Di seguito è riportato un file di configurazione di esempio (Identity Console 1.8 e versioni precedenti):

    listen = ":9000" pfxpassword = "novell" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=false edir-hosts = "<ip_address>:636"

    NOTA:Per accedere a OpenText eDirectory tramite OpenText Identity Console, è necessario aggiungere edir-hosts="x.x.x.x:ldaps_port nel file edirapi.conf.

    Esempio: edir-hosts="10.10.10.10:636"

    Quando si imposta auto-fetch=true, inizialmente è necessario copiare il certificato CA nel container come descritto al passaggio 7. In seguito, il certificato CA viene recuperato automaticamente nelle sessioni di login successive.

    Di seguito è riportato un file di configurazione di esempio per la configurazione di OpenText Identity Console con OSP:

    listen = ":9000" ldapserver = "10.71.39.15:636" ldapuser = "cn=admin,o=novell" ldappassword = "novell" pfxpassword = "novell" osp-token-endpoint = "https://<osp_ipaddress>:8543/osp/a/idm/auth/oauth2/getattributes" osp-authorize-url = "https://<osp_ipaddress>:8543/osp/a/idm/auth/oauth2/grant" osp-logout-url = "https://<osp_ipaddress>:8543/osp/a/idm/auth/app/logout" osp-redirect-url = "https://<identity_console_ipaddress>:9000/eDirAPI/v1/t/authcoderedirect" osp-client-id = "identityconsole" ospclientpass = "novell" ospcert = "/etc/opt/novell/eDirAPI/cert/SSCert.pem" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=true check-origin =true origin = "https://<identity_console_ipaddress>:9000"

  9. Avviare il container Docker utilizzando il seguente comando:

    docker start identityconsole-container-name

    Ad esempio:

    docker start identityconsole-container-1

NOTA:Nella directory /var/lib/docker/volumes/<nome_volume>/_data/eDirAPI/var/log sono disponibili i seguenti file di log:

  • edirapi.log - Utilizzato per registrare diversi eventi in edirapi e per eseguire il debug dei problemi.

  • edirapi_audit.log - Utilizzato per registrare gli eventi di revisione di edirapi. I log seguono il formato di revisione CEF.

  • container-startup.log - Utilizzato per acquisire i log di installazione del container di Docker di OpenText Identity Console.

Alberi multipli con OpenText Identity Console come Docker

Per connettere OpenText Identity Console 1.9 a più alberi OpenText eDirectory quando il recupero automatico è disabilitato, è necessario copiare i certificati CA da tutti gli alberi di OpenText eDirectory nella directory /etc/opt/novell/eDirAPI/cert/.

OpenText Identity Console 1.8 consente all'utente di effettuare la connessione a più alberi ottenendo il certificato CA individuale dell'albero.

Ad esempio, se si effettua la connessione a tre alberi OpenText eDirectory, è necessario copiare tutti e tre i certificati CA nel container di Docker:

docker cp /home/user/SSCert1.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert1.pem
docker cp /home/user/SSCert2.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert2.pem
docker cp /home/user/SSCert3.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert3.pem

Per riavviare OpenText Identity Console, eseguire i comandi seguenti:

docker restart <identityconsole-container-name>

Esempio:

docker restart identityconsole-container-1

Distribuzione del container OSP

Per distribuire il container OSP, eseguire i seguenti passaggi:

  1. Eseguire il login al portale Software License and Download (Licenze software e download) e accedere alla pagina Software Downloads (Download dei software).

  2. Selezionare quanto segue:

    • Prodotto: OpenText eDirectory

    • Product Name (Nome prodotto): OpenText eDirectory per User Sub SW E-LTU

    • Version (Versione): 9.2

    • OpenText Identity Console come applicazione autonoma

  3. Effettuare il download e l’estrazione del file IdentityConsole_<version>_Containers_tar.zip.

  4. Per installare OpenText Identity Console nel container OSP, è necessario un archivio chiavi (tomcat.ks).

    Per generare l'archivio chiavi, eseguire i passaggi seguenti:

    1. Creare una cartella certs nella directory /opt/.

    2. Eseguire il seguente comando per creare un archivio chiavi (tomcat.ks):

      keytool -genkey -alias osp -keyalg RSA -storetype pkcs12 -keystore /opt/certs/tomcat.ks -validity 3650 -keysize 2048 -dname "CN=blr-osp48-demo.labs.blr.novell.com" -keypass novell -storepass novell

      NOTA:assicurarsi che l'indirizzo IP del computer sia denominato come nome CN o come nome host completo. Ad esempio: CN=xx.xx.xx.xx

    3. Eseguire il seguente comando per creare una richiesta di firma del certificato. Ad esempio: cert.csr.

      keytool -certreq -v -alias osp -file /opt/certs/cert.csr -keypass novell -keystore /opt/certs/tomcat.ks -storepass novell

    4. Passare il file cert.csr creato a Identity Console e recuperare il file cert.der come illustrato:

      1. Avviare OpenText Identity Console come amministratore.

      2. Fare clic su Gestione certificati > Emetti certificato e scegliere il file.

      3. Accedere a Specifiche di utilizzo chiavi > Tipo di chiave e selezionare il pulsante di scelta Personalizzato.

      4. Fare clic su Utilizzo chiavi e selezionare le caselle di controllo seguenti:

        • Cifratura dei dati

        • Cifratura delle chiavi

        • Firma digitale

      5. Fare clic su Parametri del certificato > Nomi alternativi del soggetto > Indirizzo IP del server OSP o Nome DNS del server OSP > Avanti > OK.

        Viene visualizzato il messaggio Certificato generato.

      6. Fare clic su OK.

      7. Effettuare il download del certificato emesso cert.der e copiarlo in /opt/certs/.

    5. Copiare il file SSCert.der da OpenText eDirectory in /opt/certs

    6. Eseguire il seguente comando per importare il certificato CA (SSCert.der) e il certificato server (cert.der) nell'archivio chiavi tomcat.ks.

      keytool -import -trustcacerts -alias root -keystore /opt/certs/tomcat.ks -file /opt/certs/SSCert.der -storepass novell -noprompt
      keytool -import -alias osp -keystore /opt/certs/tomcat.ks -file /opt/certs/cert.der -storepass novell -noprompt

  5. Creare una nuova cartella /data.

  6. Copiare il file tomcat.ks da /opt/certs e incollarlo nella cartella data.

  7. Dalla build del container di OpenText Identity Console estratta, copiare i file osp-edirapi-silent.properties nella cartella data.

  8. Modificare il file delle proprietà osp edirapi silent in base alle proprie esigenze. Di seguito viene riportato un esempio di file delle proprietà distribuite in batch:

    # Silent file for osp with edirapi
## Static contents Do not edit - starts 
INSTALL_OSP=true
DOCKER_CONTAINER=y
EDIRAPI_PROMPT_NEEDED=y
UA_PROMPT_NEEDED=n
SSPR_PROMPT_NEEDED=n
RPT_PROMPT_NEEDED=n
CUSTOM_OSP_CERTIFICATE=y
## Static contents Do not edit - ends

# OSP Details
SSO_SERVER_HOST=osp.example.com (osp confiugred serevr IP address)
SSO_SERVER_SSL_PORT=8543
OSP_COMM_TOMCAT_KEYSTORE_FILE=/config/tomcat.ks
OSP_COMM_TOMCAT_KEYSTORE_PWD=novell
SSO_SERVICE_PWD=novell
OSP_KEYSTORE_PWD=novell
IDM_KEYSTORE_PWD=novell
OSP_CUSTOM_NAME="Identity Console"
USER_CONTAINER="o=novell"
ADMIN_CONTAINER="o=novell"
MASTER_KEYSTORE_PWD=novell

# IDConsole Details 
IDCONSOLE_HOST=192.168.1.1 (IdentityConsole confiugred serevr IP address)
IDCONSOLE_PORT=9000
EDIRAPI_TREENAME=ed913 (Tree name should be in lowercase)

#If ENABLE_CUSTOM_CONTAINER_CREATION is set to y
#ie., when you have user and admin container different from o=data
#    and they need to be created in eDir
#then CUSTOM_CONTAINER_LDIF_PATH should be entered as well
ENABLE_CUSTOM_CONTAINER_CREATION=n
#ENABLE_CUSTOM_CONTAINER_CREATION=y
#CUSTOM_CONTAINER_LDIF_PATH=/config/custom-osp.ldif

# eDir Details
ID_VAULT_HOST=192.168.1.1 (eDir/ID_Vault confiugred serevr IP address)
ID_VAULT_LDAPS_PORT=636
ID_VAULT_ADMIN_LDAP="cn=admin,o=novell"
ID_VAULT_PASSWORD=novell

    NOTA:Per evitare vincoli di spazio durante l'utilizzo del file delle proprietà distribuite in batch (testo DOS), è necessario convertire il file di testo DOS in formato UNIX utilizzando lo strumento dos2unix. Eseguire il comando seguente per convertire il file di testo da terminazioni riga DOS a terminazioni riga Unix:

    dos2unix nomefile

    Ad esempio:

    dos2unix filediesempio

  9. Eseguire il comando seguente per caricare l'immagine OSP:

    docker load --input osp.tar.gz

  10. Distribuire il container utilizzando il seguente comando:

    docker run -d --name OSP_Container --network=host -e SILENT_INSTALL_FILE=/config/osp-edirapi-silent.properties -v /data:/config osp:<version>

    Ad esempio:

    docker run -d --name OSP_Container --network=host -e SILENT_INSTALL_FILE=/config/osp-edirapi-silent.properties -v /data:/config osp:6.6.6

    NOTA:dopo aver distribuito il container OSP, installare e configurare OpenText Identity Console con i dettagli del server OSP.

Arresto e riavvio di OpenText Identity Console come container di Docker

Per arrestare, eseguire il seguente comando:

docker stop identityconsole-container-name

Per riavviare, eseguire il seguente comando:

docker restart identityconsole-container-name

Per avviare, eseguire il seguente comando:

docker start identityconsole-container-name

Gestione della persistenza dei dati

Oltre ai container di OpenText Identity Console, vengono creati anche i volumi per la persistenza dei dati. Per utilizzare i parametri di configurazione di un container precedente utilizzando i volumi, eseguire i passaggi seguenti:

  1. Arrestare il container di Docker corrente utilizzando il seguente comando:

    docker stop identityconsole-container-name

    Esempio:

    docker stop identityconsole-container-1

  2. Creare il secondo container utilizzando i dati dell'applicazione del container precedente memorizzato nel volume di Docker (IDConsole-volume-1).

    docker create --name identityconsole-container-name --network=host --volume IDConsole-volume-1:/config/ identityconsole:< version >

    Esempio:

    docker create --name identityconsole-container-2 --network=host --volume IDConsole-volume-1:/config/ identityconsole:<version>

  3. Avviare il secondo container utilizzando il seguente comando:

    docker start identityconsole-container-name

    Esempio:

    docker start identityconsole-container-2

  4. (Facoltativo) È possibile rimuovere il primo container utilizzando il seguente comando:

    docker rm identityconsole-container-name

    Esempio:

    docker rm identityconsole-container-1

Sostituzione del certificato del server nel container di Docker

Per sostituire il certificato server nel container di Docker, eseguire i seguenti passaggi:

  1. Eseguire il comando seguente per copiare il nuovo certificato server in qualsiasi ubicazione del container.

    Esempio:

    docker cp /path/to/new-keys.pfx <container_id/name>:/tmp/new-keys.pfx

  2. Eseguire il login al container utilizzando il seguente comando:

    docker exec -it container_name bash

  3. Eseguire NLPCERT per memorizzare le chiavi come pseudo utente:

    LD_LIBRARY_PATH=/opt/novell/lib64/:/opt/novell/eDirectory/lib64/:/opt/netiq/common/openssl/lib64/ /opt/novell/eDirAPI/sbin/nlpcert -i /tmp/new-keys.pfx -o /etc/opt/novell/eDirAPI/conf/ssl/private/cert.pem

  4. Uscire dalla console del container utilizzando il comando:

    exit

  5. Riavviare il container immettendo:

    docker restart container name

2.1.4 Installazione di OpenText Identity Console in Azure Kubernetes Service

Azure Kubernetes Service (AKS) è un servizio Kubernetes gestito che consente di installare e gestire cluster. In questa sezione sono incluse le seguenti procedure:

Installazione di OpenText Identity Console nel cluster AKS

In questa sezione vengono descritte le procedure per l’installazione di OpenText Identity Console nel cluster AKS:

Creazione di un Azure Container Registry (ACR)

Azure Container Registry (ACR) è un registro privato basato su Azure per le immagini del container di Docker.

Per ulteriori dettagli sui passaggi, vedere la sezione Create an Azure container registry using the Azure portal (Creare un'istanza di Registro Azure Container usando il portale di Azure) in Create container registry - Portal (Creare un registro contenitori - Portale) o attenersi ai seguenti passaggi per creare un Azure Container Registry (ACR):

  1. Accedere ad Azure Portal (Portale di Azure).

  2. Accedere a Create a resource (Crea una risorsa) > Containers (Contenitori) > Container Registry.

  3. Nella scheda Basics (Informazioni di base), specificare i valori per Resource group (Gruppo di risorse) e Registry name (Nome registro). Il nome del registro deve essere univoco all'interno di Azure e contenere un minimo di 5 e un massimo di 50 caratteri alfanumerici.

    Accettare i valori di default per le impostazioni rimanenti.

  4. Fare clic su Review + create (Rivedi e crea).

  5. Fare clic su Create (Crea).

  6. Accedere all'interfaccia della riga di comando di Azure, eseguire il comando seguente per eseguire il login ad Azure Container Registry.

    az acr login --name registryname

    Esempio:

    az acr login --name < idconsole >

  7. Recuperare il server di login dell'Azure Container Registry utilizzando il comando:

    az acr show --name registryname --query loginServer --output table

    Esempio:

    az acr show --name < idconsole > --query loginServer --output table

  8. Contrassegnare l'immagine locale di OpenText Identity Console con il nome del server di login ACR (registryname.azureacr.io) utilizzando il seguente comando:

    docker tag idconsole-image <login server>/idconsole-image

    Esempio:

    docker tag identityconsole:<version> registryname.azurecr.io/identityconsole:<version>

  9. Eseguire il push dell'immagine contrassegnata nel registro.

    docker push <login server>/idconsole: <version>

    Esempio:

    docker push registryname.azurecr.io/identityconsole:<version>

  10. Recuperare l'elenco di immagini nel registro utilizzando il comando:

    az acr show --name registryname --query loginServer --output table

Impostazione di un cluster Kubernetes

Creare una risorsa del servizio Kubernetes utilizzando il portale di Azure o l'interfaccia della riga di comando.

Per ulteriori dettagli sui passaggi relativi alla creazione di una risorsa del servizio Kubernetes in Azure con un nodo, vedere Create an AKS Cluster (Creare un cluster del servizio Azure Kubernetes) in Azure Quickstart (Avvio rapido Azure).

NOTA:

  • Assicurarsi di selezionare Azure CNI come rete.

  • Selezionare la rete virtuale esistente (in cui il server OpenText eDirectory è installato nella sottorete).

  • Selezionare il Container Registry esistente in cui è disponibile l'immagine di OpenText Identity Console.

Creazione di un indirizzo IP pubblico SKU standard

Una risorsa indirizzo IP pubblico nel gruppo di risorse cluster di Kubernetes funge da IP del sistema di bilanciamento del carico per l'applicazione.

Per i dettagli sui passaggi, vedere Create a public IP address using the Azure portal (Creare un indirizzo IP pubblico usando il portale di Azure) in Create public IP address – Portal (Creare indirizzo IP pubblico – Portale).

Configurazione di Cloud Shell e connessione al cluster Kubernetes

Utilizzare Cloud Shell, disponibile nel portale di Azure per tutte le operazioni.

Per configurare Cloud Shell nel portale di Azure, vedere la sezione Start Cloud Shell (Avviare Cloud Shell) in Bash – Quickstart (Bash - Guida introduttiva) oppure eseguire la procedura seguente per configurare Cloud Shell ed effettuare la connessione al cluster Kubernetes:

  1. Nel portale di Azure, fare clic sul pulsante per aprire Cloud Shell.

    NOTA:Per gestire un cluster Kubernetes, utilizzare il client della riga di comando Kubernetes kubectl. kubectl è già installato se si utilizza Azure Cloud Shell.

  2. Configurare kubectl per effettuare la connessione al cluster Kubernetes utilizzando il seguente comando:

    az aks get-credentials --resource-group "resource group name" --name "Kubernetes cluster name"

    Esempio:

    az aks get-credentials --resource-group myResourceGroup --name myAKSCluster

  3. Verificare l'elenco dei nodi del cluster utilizzando il comando:

    kubectl get nodes

Distribuzione dell'applicazione

Per installare OpenText Identity Console, è possibile utilizzare i file di esempio idc-services.yaml, idc-statefulset.yaml, idc-storageclass.yaml e idc-pvc.yaml.

È inoltre possibile creare file yaml personalizzati in base alle necessità.

  1. Creare una risorsa di classe di memorizzazione utilizzando il comando seguente:

    kubectl apply -f <location of the YAML file>

    Esempio:

    kubectl apply -f idc-storageclass.yaml

    (Facoltativo) Per ulteriori informazioni su come creare e utilizzare dinamicamente il volume di persistenza con la condivisione file di Azure, vedere Dynamically create and use a persistent volume with Azure Files in Azure Kubernetes Service (AKS) (Creare dinamicamente e usare un volume persistente con File di Azure nel servizio Azure Kubernetes)

    Di seguito è riportato un esempio di file di risorsa della classe di memorizzazione:

    kind: StorageClass
apiVersion: storage.k8s.io/v1
metadata:
  name: azurefilesc
provisioner: kubernetes.io/azure-file
mountOptions:
  - dir_mode=0777
  - file_mode=0777
  - uid=0
  - gid=0
  - mfsymlinks
  - cache=strict
  - actimeo=30
parameters:
  skuName: Standard_LRS
  shareName: fileshare
~

    Una risorsa di classe di memorizzazione consente di eseguire il provisioning dinamico della memorizzazione. Viene utilizzata per definire la modalità di creazione di una condivisione file di Azure.

  2. Visualizzare i dettagli della classe di memorizzazione utilizzando il comando seguente:

    kubectl get sc

  3. Creare una risorsa PVC utilizzando il file idc-pvc.yaml:

    kubectl apply -f <location of the YAML file>

    Esempio:

    kubectl apply -f idc.pvc.yaml

    Di seguito è riportato un esempio di file di risorsa PVC:

    apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: pvcforsc
spec:
  accessModes:
    - ReadWriteMany
  storageClassName: azurefilesc
  resources:
    requests:
      storage: 5Gi

    Una risorsa di richiesta del volume di persistenza crea la condivisione file. Un Persistent Volume Claim (PVC) utilizza l'oggetto della classe di memorizzazione per eseguire dinamicamente il provisioning di una condivisione file di Azure.

  4. Effettuare l'upload del file edirapi.conf, del certificato CA e del certificato server in Shell Cloud.

    Fare clic sull'icona del pulsante Upload/Download files (Carica/Scarica file) su Cloud Shell ed effettuare l'upload dei file edirapi.conf, SSCert.pem e keys.pfx.

    NOTA:edirapi.conf ha un parametro "origin". Qui è necessario specificare l'indirizzo IP con cui accedere all'applicazione OpenText Identity Console. Utilizzare l'indirizzo IP creato nella sezione Creazione di un indirizzo IP pubblico SKU standard.

    L’installazione di OpenText Identity Console richiede il certificato server (keys.pfx).

    Durante la creazione del certificato server, assicurarsi di fornire un nome DNS valido nel campo del nome alternativo del soggetto.

    Passaggi per creare un nome DNS valido:

    Un pod tipico distribuito mediante StatefulSet ha un nome DNS simile al seguente: {statefulsetname}-{ordinal}.{servicename}.{namespace}.svc.cluster.local

    • Se il nome StatefulSet nel file idconsole-statefulset.yaml è idconsole-app, statefulsetname = idconsole-app

    • Se è il primo pod, ordinal = 0

    • Se si definisce serviceName come idconsole nel file idconsole-statefulset.yaml, serviceName = idconsole

    • Se è lo spazio dei nomi di default, namespace=default

    Output: idconsole-app-0.idcosole.default.svc.cluster.local

  5. Creare una risorsa configmap nel cluster Kubernetes in cui memorizzare i file di configurazione insieme ai certificati.

    Prima di eseguire il comando, verificare che i file (edirapi.conf, SSCert.pem e keys.pfx) siano presenti nella directory.

    kubectl create configmap <confgimapName> --from-file= "path where the files are present"

    Esempio:

    kubectl create configmap config-data --from-file=/data

  6. Visualizzare i dettagli dell'oggetto configmap utilizzando il comando kubectl describe:

    kubectl describe configmap <configmapName>

    Esempio:

    kubectl describe configmap confg-data

  7. Creare una risorsa StatefulSet per distribuire il container.

    Eseguire il comando seguente per distribuire il container:

    kubectl apply -f <location of the YAML file>

    Esempio:

    kubectl apply -f idc-statefulset.yaml

    Di seguito è riportato un esempio di file di risorsa StatefulSet:

    apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: idconsole-app
spec:
  serviceName: idconsole
  selector:
    matchLabels:
      app: idconsole
  replicas: 1
  template:
    metadata:
      labels:
        app: idconsole
    spec:
      containers:
      - name: idconsole-container
        image: registryname.azurecr.io/identityconsole:<version>
        env:
        - name: ACCEPT_EULA
          value: "Y"
        ports:
        - containerPort: 9000
        volumeMounts:
          - name: configfiles
            mountPath: /config/data
          - name: datapersistenceandlog
            mountPath: /config
            subPath: log
      volumes:
        - name: configfiles
          configMap:
            name: config-data
        - name: datapersistenceandlog
          persistentVolumeClaim:
            claimName: pvcforsc

  8. Eseguire il seguente comando per verificare lo stato del pod distribuito:

    kubectl get pods -o wide

  9. Creare una risorsa del servizio di tipo loadBalancer.

    Il tipo di servizio specificato nel file yaml è loadBalancer.

    Creare una risorsa del servizio utilizzando il comando seguente:

    kubectl apply -f <location of the YAML file>

    Esempio:

    kubectl apply -f ids-service.yaml

    Di seguito è riportato un esempio di file di risorsa di servizio:

    apiVersion: v1
kind: Service
metadata:
  name: idconsole-service
  labels:
    run: idconsole-service
spec:
  type: LoadBalancer
  loadBalancerIP: xx.xx.xx.xx
  selector:
    app: idconsole
  ports:
   - port: 9000
     targetPort: 9000
     protocol: TCP

    Controllare l'indirizzo EXTERNAL-IP (o loadBalancerIP) utilizzando il comando seguente:

    kubectl get svc -o wide

  10. Avviare l'URL utilizzando EXTERNAL-IP (o l'indirizzo loadBalancerIP).

    Esempio:

    https://<EXTERNAL-IP>:9000/identityconsole