1.1 Dockerインストールのシステム要件と前提条件

1.1.1 システム要件

OpenText Identity ConsoleはDockerコンテナとして実行されるため、OpenText Identity Consoleをインストールするためのシステム要件とサポートされているプラットフォームの詳細については、Dockerマニュアルを参照してください。

1.1.2 前提条件

Docker 20.10.9-ce以降をインストールします。プラットフォームに基づいてDockerをインストールする方法の詳細については、「Dockerのインストール」を参照してください。
OpenText Identity Consoleサーバとバックエンドサーバ間のデータ交換を暗号化/復号化するには、秘密鍵を使用してpkcs12サーバ証明書を取得する必要があります。このサーバ証明書は、http接続のセキュリティを確保するために使用されます。外部認証局が生成したサーバ証明書を使用できます。詳細については、「Creating a Server Certificate Object(サーバ証明書オブジェクトの作成)」を参照してください。サーバ証明書には、OpenText Identity ConsoleサーバのIPアドレスとDNSを含む件名の代替名が含まれている必要があります。サーバ証明書オブジェクトを作成したら、それを.pfx形式でエクスポートする必要があります。
前の手順で取得したサーバ証明書のCA署名を検証するには、.pem形式のすべてのツリーでCA証明書を取得する必要があります。また、このルートCA証明書を使用すると、クライアントとOpenText Identity Consoleサーバの間でセキュリティ保護されたLDAP通信を確立できます。たとえば、/var/opt/novell/eDirectory/data/SSCert.pemからOpenText eDirectory CA証明書(SSCert.pem)を取得できます。
(オプション) One SSO Provider (OSP)を使用して、OpenText Identity Consoleポータルに対してユーザのシングルサインオン認証を有効にできます。OpenText Identity Consoleをインストールする前にOSPをインストールする必要があります。OpenText Identity Console用のOSPを構成するには、画面のプロンプトに従って、必要な環境設定パラメータの値を指定します。OpenText Identity Consoleを既存のOSPサーバに登録するには、次の内容を、/opt/netiq/idm/apps/tomcat/conf/フォルダのism-configuration.propertiesファイルに手動で追加する必要があります。
```
com.netiq.edirapi.clientID = identityconsole
com.netiq.edirapi.redirect.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/authcoderedirect
com.netiq.edirapi.logout.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/logoutredirect
com.netiq.edirapi.logout.return-param-name = logoutURL
com.netiq.edirapi.response-types = code,token
com.netiq.edirapi.clientPass._attr_obscurity = NONE
com.netiq.edirapi.clientPass = novell
```
メモ:
- OSPでは、OSPが複数のOpenText eDirectoryツリーをサポートしていないため、1つのOpenText eDirectoryツリーにのみ接続できます。
- サードパーティのOSPは、OpenText Identity Consoleではサポートされていません。
- NAM統合環境では、OSPを備えたOpenText Identity Consoleは現在サポートされていません。
ホストマシンの適切なDNSエントリが/etc/hostsに完全修飾ホスト名で表示されていることを確認します。
OpenText Identity ConsoleをEdgeブラウザで使用する場合、すべての機能を利用するにはMicrosoft Edgeの最新版をダウンロードする必要があります。

メモ:Mozilla FirefoxでOpenText Identity Consoleを使用している間に、Origin Mismatchのエラーメッセージで操作が失敗する場合があります。トラブルシュートを行うには、次の手順を実行します。

Firefoxを最新バージョンに更新します。
FirefoxのURLフィールドにabout:configと指定して、<Enter>を押します。
Originを検索します。
［network.http.SendOriginHeader］をダブルクリックして、その値を1に変更します。

1.1.3 環境の設定

特定のパラメータを含む環境設定ファイルを作成する必要がある場合があります。OSPを備えたOpenText Identity Consoleを構成する場合は、環境設定ファイルでOSP固有のパラメータを指定する必要があります。たとえば、OSPパラメータを使用して以下のedirapi.confファイルを作成します。

メモ:osp-redirect-urlフィールドにOpenText eDirectoryツリー名を入力する必要があります。

listen = ":9000"
ldapserver = "192.168.1.1:636"
ldapuser = "cn=admin,ou=sa,o=system"
ldappassword = "novell"
pfxpassword = "novell"
ospmode = "true"
osp-token-endpoint = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/getattributes"
osp-authorize-url = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/grant"
osp-logout-url = "https://10.10.10.10:8543/osp/a/idm/auth/app/logout"
osp-redirect-url = "https://10.10.10.10:9000/eDirAPI/v1/edirtree/authcoderedirect"
osp-client-id = "identityconsole"
ospclientpass = "novell"
ospcert = "/etc/opt/novell/eDirAPI/cert/SSCert.pem"
bcert = "/etc/opt/novell/eDirAPI/cert/"
loglevel = "error"
check-origin = "true"
origin = "https://10.10.10.10:9000,https://192.168.1.1:8543"

OSPなしでOpenText Identity Consoleを構成する場合は、OSPパラメータを指定せずに、次に示すように環境設定ファイルを作成します。

[OpenText Identity Console 1.9]

listen = ":9000"
pfxpassword = "novell"
ospmode = "false"
bcert = "/etc/opt/novell/eDirAPI/cert/"
auto-fetch = false

メモ:

環境設定ファイルからedir-hostsパラメータを削除し、auto-fetchパラメータを追加します。
auto-fetch = falseの場合は、CA証明書を手動でcertフォルダにコピーする必要があります。

[OpenText Identity Console 1.8以前]

listen = ":9000"
pfxpassword = "novell"
ospmode = "false"
bcert = "/etc/opt/novell/eDirAPI/cert/"
edir-hosts = "<ip_address-1>:636,<ip_address-2>:636"

メモ:OpenText Identity Consoleを複数のOpenText eDirectoryツリーで設定する場合は、「ldapserver」、「ldapuser」、および「ldappassword」パラメータをスキップして、環境設定ファイルを作成できます。

表 1-1 環境設定ファイル内の環境設定パラメータの説明

環境設定パラメータ	説明
listen	OpenText Identity Consoleサーバのコンテナ内の待ち受けポートとして9000を指定します。
ldapserver	OpenText eDirectoryホストサーバのIPとポート番号を指定します。
ldapuser	OpenText eDirectoryユーザのユーザ名を指定します。このパラメータは、OSPログインの場合にプロキシ認証コントロールを使用してOpenText eDirectoryへのldap呼び出しを開始するための資格情報として使用されます。Ldapユーザは、OpenText eDirectoryツリーに対するスーパーバイザ権を持っている必要があります。
ldappassword	LDAPユーザのパスワードを指定します。
pfxpassword	pkcs12サーバ証明書ファイルのパスワードを指定します。
ospmode	OSPをOpenText Identity Consoleと統合するには、trueを指定します。falseに設定すると、OpenText Identity ConsoleでLDAPログインが使用されます。
osp-token-endpoint	このURLは、OSPサーバから特定の属性をフェッチして、認証トークンの有効性を検証するために使用します。
osp-authorize-url	このURLは、ユーザが認証トークンを取得するために資格情報を提供する際に使用します。
osp-logout-url	このURLを使用して、ユーザとOSPサーバ間のセッションを終了します。
osp-redirect-url	OSPサーバは、認証トークンを付与した後、ユーザをこのURLにリダイレクトします。メモ:OpenText Identity Consoleの構成時には、OpenText eDirectoryツリー名を小文字で指定してください。ツリー名を小文字で指定しないと、OpenText Identity Consoleサーバへのログインに失敗する場合があります。
osp-client-id	OpenText Identity ConsoleをOSPに登録したときに提供されたOSPクライアントIDを指定します.
ospclientpass	OpenText Identity ConsoleをOSPに登録したときに提供されたOSPクライアントパスワードを指定します.
ospcert	OSPサーバの認証局証明書の場所を指定します。
bcert	OpenText Identity ConsoleのCA証明書の場所を指定します。
loglevel	ログファイルに含めるログレベルを指定します。このパラメータは、「fatal」、「error」、「warn」、または「info」に設定できます。
check-origin	これをtrueに設定すると、OpenText Identity Consoleサーバで要求のorigin値が比較されます。使用可能なオプションは、trueまたはfalseのいずれかです。DNS設定を使用する場合、check-originパラメータ値がfalseに設定されている場合でも、originパラメータは必須です。
origin	OpenText Identity Consoleは、要求のorigin値をこのフィールドで指定された値と比較します。メモ:OpenText Identity Console 1.4以降では、このパラメータはcheck-originパラメータとは独立しています。また、DNS設定を使用する場合は必須です。
maxclients	IDConsoleにアクセスできる同時クライアントの最大数。この制限を超えるクライアントはキュー内で待機する必要があります。
auto-fetch	OpenText Identity Console 1.9以降では、CA証明書の自動フェッチを選択できます。
edir-hosts (1.8以前)	edir-hostは、OpenText Identity Consoleを介して接続する、OpenText eDirectoryのIPアドレスを含むパラメータです。

メモ:

ospmode環境設定パラメータは、OSPをOpenText Identity Consoleと統合する計画の場合にのみ使用します。
OpenText Identity ManagerセットアップでIdentity Applications (Identity Apps)がクラスタモードで設定されている場合は、環境設定ファイルのosp-token-endpoint、osp-authorize-url、およびosp-logout-urlフィールドにロードバランササーバのDNS名を指定する必要があります。これらのフィールドにOSPサーバの詳細を入力した場合、OpenText Identity Consoleのログインは失敗します。
OpenText Identity Consoleが、Identity AppsおよびOpenText Identity Reportingと同じOSPインスタンスで構成されている場合、OpenText Identity Consoleポータルにログインするときにシングルサインオン(認証サービス)が有効になります。
OSP HTTPS URLは、OpenText Identity Console 1.4以降の2048ビットキー以上を含む証明書で検証する必要があります。
異なるドメインからOpenText Identity Consoleポータルへのアクセスを制限する場合は、samesitecookieパラメータをstrictに設定します。異なるドメインからOpenText Identity Consoleポータルへのアクセスを許可する場合は、samesitecookieパラメータをlaxに設定します。設定時にパラメータが指定されていない場合、ブラウザの設定がデフォルトで適用されます。

環境設定ファイルの準備ができたら、コンテナの展開を続行します。詳細については、OpenText Identity ConsoleのDockerコンテナとしてのインストールを参照してください。