2.1 OpenText Identity Console CE 24.4 (v1.9)のインストール

2.1.1 スタンドアロンのOpenText Identity Consoleのインストール(非Docker)

OpenText Identity Consoleは、次のいずれかの方法でインストールできます。

メモ:適切に機能するようにするには、OpenText Identity ConsoleとOpenText eDirectoryを同じコンピュータにインストールすることをお勧めします。このコンピュータでは、OpenText eDirectoryのインスタンスを少なくとも1つ使用できる必要があります。

対話型インストールの実行

このセクションでは、対話型インストールの方法を使用してスタンドアロンのOpenText Identity Consoleをインストールする方法について説明します。

ソフトウェアライセンスとダウンロードポータルにログインして、ソフトウェアのダウンロードページに移動します。
次の項目を選択します。
- 製品: OpenText eDirectory
- 製品名: OpenText eDirectory per User Sub SW E-LTU
- バージョン: 9.2、9.3
OpenText Identity Consoleの最新ビルドをダウンロードして抽出します。
OpenText Identity Consoleビルドを抽出したディレクトリに移動します > IdentityConsole_<version>_Linux。
rootまたはrootと同等のユーザとしてログインしている間に、次のコマンドを実行します。
```
./identityconsole_install
```
概要を読み、［ENTER］をクリックします。
「y」と入力して、ライセンス契約の条項を受諾します。これにより、システムに必要なすべてのRPMがインストールされます。
Identity Consoleサーバのホスト名(FQDN)/IPアドレスを入力します。たとえば、10.10.33.100と指定します。

IPアドレスを指定せずに<Enter>を押すと、システムのIPアドレス/ホスト名がデフォルトで使用されます。
Identity Consoleがリッスンするポート番号を入力します。デフォルト値は9000です。
接続するeDirectory-hostsを指定します。IPアドレスまたはドメイン名のいずれかを指定できます。例: localhost:636、xx.xx.xx.xx:636、またはedir.domain.com:636
(条件付き)要件に基づいて、次のいずれかのオプションを選択します。
- OSPをOpenText Identity Consoleと統合しない場合は、「n」を選択して、ステップ 12に進みます。
- OSPをOpenText Identity Consoleと統合する場合は、「y」を選択し、次の手順で情報を入力します。
  1. eDirectory/アイデンティティボールトサーバのドメイン名/IPアドレスをLDAPSポート番号で入力します。
    
    例:
    
    192.168.1.1:636
  2. eDirectory/アイデンティティボールトのユーザ名を入力します。
    
    例:
    
    cn=admin,ou=org_unit,o=org
  3. eDirectory/アイデンティティボールトのパスワードを入力します。
  4. eDirectory/アイデンティティボールトのパスワードを再度入力して、パスワードを確認します。
  5. OSPサーバのドメイン名/IPアドレスとSSOサーバのSSLポート番号を入力します。
  6. OSPクライアントのIDとOSPクライアントのパスワードを入力します。
  7. eDirectory/アイデンティティボールトのツリー名を入力します。
(条件付き)要件に基づいて、次のいずれかのオプションを選択します。
- CA証明書を自動フェッチする場合は、自動フェッチとして「y」を選びます。
- CA証明書を自動フェッチしない場合は、自動フェッチとして「n」を選びます。
(条件付き)要件に基づいて、次のいずれかのオプションを選択します。
- サーバからCA証明書をインポートする場合は、「y」と入力し、<Enter>を押します。
  
  CA証明書が/etc/opt/novell/eDirAPI/certに正常にコピーされます。
  
  CA証明書を手動でフェッチまたは追加するには、「CA証明書の生成」を参照してください。
- CA証明書をサーバからインポートしない場合は、「n」と入力し、<Enter>を押します。
- 「q」と入力すると、インストールは終了します。
(条件付き)サーバ証明書を生成するには、次のいずれかのオプションを選択します。
- サーバ証明書を生成する場合は、「y」と入力し、<Enter>を押します。次の手順で情報を入力します。
  1. eDirectoryのユーザ名を入力します。例: cn=admin,o=novell。
  2. eDirectoryのユーザパスワードを入力します。
  3. eDirectoryのユーザパスワードを再入力します。
  4. サーバ証明書の名前を入力します。
    
    例: servercert
  5. サーバ証明書のパスワードを入力します。
    
    例: password@123
  6. サーバ証明書のパスワードを再入力します。
    
    例: password@123
- 使用するサーバ証明書がすでに存在する場合は、「n」と入力し、<Enter>を押します。次の手順で情報を入力します。
  1. サーバ証明書のディレクトリパスの場所を手動で指定します。
    
    例: /home/cert/keys.pfx
  2. サーバ証明書のパスワードを入力します。
  3. サーバ証明書のパスワードを再入力します。

メモ:

次のログファイルが、/var/opt/novell/eDirAPI/logディレクトリにあります。
- edirapi.log - このファイルは、edirapiイベントとデバッグの問題をログに記録します。
- edirapi_audit.log - このファイルは、edirapi監査イベントをログに記録します。ログは、CEF監査フォーマットに従います。
- identityconsole_install.log - このファイルは、OpenText Identity Consoleイベントをログに記録します。
OpenText Identity Consoleの開始操作と停止操作のログは、/var/log/messagesファイルで確認できます。
インストールに失敗した場合は、次のコマンドを使用して再設定します。
```
/usr/bin/identityconsoleConfigure
```

証明書を生成するユーティリティ

次のツールまたはユーティリティを使用して、他のツリーのCA証明書とサーバ証明書を取得することができます。

メモ:CAおよびサーバ証明書のスクリプトは、パスopt/novell/eDirAPI/sbin/から入手できます。

CA証明書の生成

最新のOpenText Identity Consoleビルドをダウンロードして抽出します。
ディレクトリ/opt/novell/eDirAPI/sbinに移動して、CA証明書のリストをフェッチ、削除、または表示します。
rootまたはrootと同等のユーザとしてログインしている間に、次のコマンドを実行します。
```
./get_cacert fetch <ip address/DNS:ldaps port>
```
例:
```
./get_cacert fetch 10.10.10.10:636
```
CA証明書をcertフォルダに手動で追加するには、/etc/opt/novell/eDirAPI/certに移動して、CA証明書をコピーして貼り付けます。
```
<IP address/DNS_ldaps port.pem>
```
例:
```
10.10.10.10_636.pem
```

サーバ証明書の生成

最新のOpenText Identity Consoleビルドをダウンロードして抽出します。
次のディレクトリに移動して、CA証明書のリストをフェッチ、削除、または表示します > /opt/novell/eDirAPI/sbin

rootまたはrootと同等のユーザとしてログインしている間に、次のコマンドを実行します。

./get_servercert <eDirectory IP address with LDAPS port number> <eDirectory/Identity Vault username> <userpassword> <server certificate name> <server certificate password>

例:

./get_servercert 10.10.10.10:636 cn=admin,ou=org_unit,o=org password keys password

サイレントインストールの実行

サイレントインストールでは、対話式の入力なしでOpenText Identity Consoleをインストールできます。この方法を使用するには、OpenText Identity Consoleをインストールするためのオプションをsilent_propertiesファイルで定義した後、コマンドラインからインストールプロセスを実行する必要があります。プロパティファイルを変更すると、システムはプロパティファイルの情報を使用してサイレントにインストールを完了します。

サイレントインストールを開始する前に、前提条件をすべて満たしていることを確認してください。

プロパティファイルを編集するには、次の操作を実行します。

OpenText Identity Consoleビルドを抽出した場所にあるIdentityConsole_<version>_Linuxディレクトリに移動します。

silent_propertiesファイルを開き、要件に従って値を変更します。

auto fetchがYesの場合には、

silent_propertiesファイルに以下の詳細を入力します。

export AUTOGENERATE_CACERT="Yes" export AUTOGENERATE_SERVERCERT="Yes" export EDIR_HOST="" export IDC_IP="" export IDC_PORT="9000" export OSP_CLIENT_ID="identityconsole" export OSP_CLIENT_PASSWD="novell" export OSP_IP="" export OSP_MODE="No" export AUTO_FETCH="Yes" export SERVERCERT_NAME="cert" export SERVERCERT_PASSWORD="novell" export SERVERCERT_USERNAME="cn=admin,o=novell" export SERVERCERT_USER_PASSWORD="novell" export TREENAME="my_tree" export VAULT_IP="" export VAULT_USERNAME="cn=admin,o=novell" export VAULT_PASSWD="novell"

次のコマンドを実行して、サイレントモードでインストールします。
```
./identityconsole_install -s silent_properties
```

auto fetchがNoの場合には、

silent_propertiesファイルに以下の詳細を入力します。

export AUTOGENERATE_CACERT="No" export AUTOGENERATE_SERVERCERT="No" export EDIR_HOST="" export IDC_IP="" export IDC_PORT="9000" export OSP_CLIENT_ID="identityconsole" export OSP_CLIENT_PASSWD="novell" export OSP_IP="" export OSP_MODE="No" export AUTO_FETCH="No" export SERVERCERT_LOCATION="/etc/opt/novell/eDirAPI/cert/SSCert.pem" export SERVERCERT_NAME="cert" export SERVERCERT_PASSWORD="novell" export SERVERCERT_USERNAME="cn=admin,o=novell" export SERVERCERT_USER_PASSWORD="novell" export TREENAME="my_tree" export VAULT_IP="" export VAULT_USERNAME="cn=admin,o=novell" export VAULT_PASSWD="novell"

/etc/opt/novell/eDirAPI/cert/フォルダーにCA証明書を手動でコピーします
次のコマンドを実行して、rpmをインストールします。
```
./identityconsole_rpm_install
```
rpmをインストールした後、次のコマンドを実行して、インストーラをサイレントモードで実行します。
```
./identityconsoleConfigure -s silent_properties
```

インストール関連のログは、Identity Console installation > identityconsole_install.logファイルにあります。

スタンドアロンのOpenText Identity Consoleを使用するマルチツリー

自動フェッチが無効になっている場合に、OpenText Identity Consoleを複数のOpenText eDirectoryツリーに接続するには、すべてのOpenText eDirectoryツリーから/etc/opt/novell/eDirAPI/cert/ディレクトリにCA証明書をコピーする必要があります。

次のようにして、CA証明書をコピーします。

cp /home/user/<ip address1_ldap port.pem> /etc/opt/novell/eDirAPI/cert/<ip address1_ldap port.pem>

cp /home/user/<ip address2_ldap port.pem> /etc/opt/novell/eDirAPI/cert/<ip address2_ldap port.pem>

get_cacertユーティリティを使用してCA証明書をフェッチするには、CA証明書の生成セクションを参照してください。

次のいずれかのコマンドを実行して、OpenText Identity Consoleを再起動します。

```
/usr/bin/identityconsole restart
```

systemctl restart netiq-identityconsole.service

自動フェッチが有効な場合、CA証明書は自動的にcertフォルダにコピーされます。

スタンドアロンのOpenText Identity Consoleでのサーバ証明書の置き換え

スタンドアロンのOpenText Identity Consoleでサーバ証明書を置き換える場合は、次の手順を実行します。

NLPCERTを実行して、キーを保存します。

su - nds -c "/opt/novell/eDirAPI/sbin/decryptor /Expiredcert/noexpire/new-keys.pfx novell /etc/opt/novell/eDirAPI/conf/ssl/private/cert.pem"

OpenText Identity Consoleを再起動します。
```
systemctl restart netiq-identityconsole.service
```

スタンドアロンのOpenText Identity Consoleの停止、再起動、およびステータス確認

停止するには、次のいずれかのコマンドを実行します。
```
/usr/bin/identityconsole stop
```
または
```
systemctl stop netiq-identityconsole.service
```
再起動するには、次のいずれかのコマンドを実行します。
```
/usr/bin/identityconsole restart
```
または
```
systemctl restart netiq-identityconsole.service
```
ステータスを確認するには、次のいずれかのコマンドを実行します。
```
/usr/bin/identityconsole status
```
または
```
systemctl status netiq-identityconsole.service
```
起動するには、次のいずれかのコマンドを実行します。
```
/usr/bin/identityconsole start
```
または
```
systemctl start netiq-identityconsole.service
```

2.1.2 WindowsでのOpenText Identity Consoleワークステーションのインストール

OpenText Identity ConsoleはWindows上でワークステーションとして起動できます。RESTサービスが実行されている必要があります。したがって、起動した際に、eDirAPIプロセスがedirapi.exe cmdプロンプトで実行されます。edirapi.exeを閉じると、OpenText Identity Consoleは機能を停止します。

次の手順では、WindowsでOpenText Identity Consoleを実行する方法について説明します。

ソフトウェアライセンスとダウンロードポータルにログインして、ソフトウェアのダウンロードページに移動します。
次の項目を選択します。
- 製品: OpenText eDirectory
- 製品名: OpenText eDirectory per User Sub SW E-LTU
- バージョン: 9.2、9.3
IdentityConsole_<version>_workstation_win_x86_64.zipをダウンロードして、抽出します。
抽出されたフォルダに移動し、NICI_wx64をインストールします。
(オプション) edirapi_win.confファイルを開き、OpenText Identity Consoleがリスンするポート番号を編集します。
(条件付き)使用するkeys.pfxおよびSSCert.pemファイルがすでに存在する場合は、CA証明書ファイル名を<ipaddress_ldap>.pem (xx.xx.xx.xxx_636.pem)に変更し、ファイルをC:\IdentityConsole_<version>_workstation_win_x86_64\eDirAPI\certにあるcertフォルダに手動でコピーします。

次に、ステップ9に進みます。
(条件付き) CA証明書を生成する場合は、eDirAPIフォルダに移動し、コマンドプロンプトでget_cacert.exe fetch <IP address_port.pem>バイナリ(C:\IdentityConsole_version_workstation_win_x86_64\eDirAPI\certにある)を実行し、OpenText eDirectory/アイデンティティボールトサーバのドメイン名/IPアドレスをLDAPSポート番号と一緒に指定します。

例:
```
get_cacert.exe fetch 10.10.10.125:636
```
10.10.10.125_636.pemファイルが生成されます。
(条件付き)サーバ証明書を生成する場合は、コマンドプロンプトから次の詳細を指定してget_servercert.exe helpバイナリを実行します。
- eDirectory/アイデンティティボールトサーバのドメイン名/IPアドレスと、LDAPSポート番号。
- eDirectory/アイデンティティボールトのユーザ名。
- eDirectory/アイデンティティボールトのパスワード。
- サーバ証明書の名前。
- サーバ証明書のパスワード。
例:
```
get_servercert.exe 10.10.10.125:636 cn=admin,o=novell novell keys novell
```
keys.pfxファイルが生成されます。
抽出したフォルダに移動し、configure.batファイルをダブルクリックし、コマンドプロンプトにサーバ証明書(keys.pfx)のパスワードを入力します。

メモ:サーバ証明書が変更された場合は、新しい証明書のパスワードを使用してconfigure.batファイルを再実行します。
抽出したフォルダに移動し、run.batファイルをダブルクリックします。

eDirAPIプロセス端末(edirapi.exe)が起動し、OpenText Identity Consoleのログインページが表示されます。

メモ:

OpenText Identity Consoleアプリケーションへの次回からのログインでは、run.batをダブルクリックします。ログインページが表示されます。

eDirAPIプロセス端末(edirapi.exe)がすでに実行されている場合は、ビルド抽出フォルダからidentityconsole.exeを実行します。
次のログが\IdentityConsole_<version>_workstation_win_x86_64\eDirAPI\logにあります。

edirapi.log - これはedirapiでさまざまなイベントを記録し、問題をデバッグする場合に使用します。

edirapi_audit.log - これはedirapiの監査イベントをログに記録するために使用されます。ログは、CEF監査フォーマットに従います。

OSPベースのログインは、ワークステーションモードではサポートされていません。
ポート番号がすでに使用されている場合は、新しいポート番号を指定してedirapi_win.confファイル内のlistenパラメータを編集し、run.batをダブルクリックして、OpenText Identity Consoleに正常にログインします。

証明書を生成するユーティリティ

次のユーティリティを使用して、他のOpenText eDirectoryツリーのCA証明書とサーバ証明書を取得することができます。

メモ:CAおよびサーバ証明書のスクリプトは、パスopt/novell/eDirAPI/sbin/から入手できます。

CA証明書の生成

最新のOpenText Identity Consoleビルドをダウンロードして抽出します。
OpenText Identity Consoleビルドを抽出したディレクトリに移動します。例: C:\IdentityConsole_<version>_workstation_win_x86_64\eDirAPI
コマンドプロンプトから次のバイナリを実行します。
```
get_cacert.exe fetch <ip address:port>
```
OpenText eDirectoryのIPアドレスとLDAPSポート番号を指定します。

例: get_cacert.exe fetch 10.10.10.125:636

10.10.10.125_636.pemファイルが生成され、certフォルダにコピーされます。

サーバ証明書の生成

OpenText Identity Consoleビルドを抽出したフォルダに移動します。

例: IdentityConsole_<version>_win
コマンドプロンプトからget_servercert.exe helpを実行して、他のオプションの詳細を確認します。
- eDirectory/アイデンティティボールトサーバのドメイン名/IPアドレスと、LDAPSポート番号。
- eDirectory/アイデンティティボールトのユーザ名。
- eDirectory/アイデンティティボールトのパスワード。
- サーバ証明書の名前。
- サーバ証明書のパスワード。
  
  サーバ証明書を生成するには、コマンドプロンプトから次のコマンドを実行します。
  
  例:
  
  get_servercert.exe 10.10.10.125:636 cn=admin,o=novell novell keys novell
  
  keys.pfxファイルが生成され、certフォルダにコピーされます。

OpenText Identity Consoleをワークステーションとして使用するマルチツリー

OpenText Identity Consoleでは、ユーザは、ログインページにIPアドレスを入力することにより複数のツリーに接続できます。

OpenText Identity Console Workstationの終了と再起動

アプリケーションとプロセスを閉じるには:

OpenText Identity Consoleデスクトップウィンドウアプリケーションを閉じます。
eDirAPIプロセス端末を閉じて、eDirAPIプロセスを停止します。

OpenText Identity Consoleワークステーションを再起動するには、ビルドを抽出したフォルダに移動し、run.batファイル(Windowsバッチファイル)をダブルクリックします。

メモ:eDirAPIプロセス端末がすでに実行されている場合は、ビルド抽出フォルダからidentityconsole.exeを実行して、OpenText Identity Console Workstationを再起動します。

2.1.3 OpenText Identity ConsoleのDockerコンテナとしてのインストール

このセクションでは、次の手順について説明します。

セキュリティの推奨事項

Dockerコンテナには、デフォルトではリソースの制約がありません。そのため、すべてのコンテナには、ホストのカーネルによって提供されるすべてのCPUリソースおよびメモリリソースへのアクセスが提供されます。コンテナで使用できるリソースの量に制限を設定することにより、実行中の1つのコンテナによってより多くのリソースが消費され、実行中の他のコンテナがリソース不足になることがないようにする必要があります。
- Docker runコマンドの--memoryフラグを使用して、Dockerコンテナで、コンテナによって使用されるメモリに対してハード制限が適用されるようにする必要があります。
- Docker runコマンドの--cpuset-cpusフラグを使用して、Dockerコンテナで、実行中のコンテナによって使用されるCPUの容量に制限が適用されるようにする必要があります。
--pids-limitには300を設定して、任意の時点でコンテナ内で生成されるカーネルスレッドの数を制限する必要があります。これは、DoS攻撃を防ぐためです。
Docker runコマンドの--restartフラグを使用して、障害発生時のコンテナ再起動ポリシーを5に設定する必要があります。
コンテナは、必ず、コンテナの起動後にヘルスステータスが［正常］と表示されてから使用する必要があります。コンテナのヘルスステータスを確認するには、次のコマンドを実行します。
```
docker ps <container_name/ID>
```
Dockerコンテナは、常にroot以外のユーザ(nds)として起動されます。追加のセキュリティ対策として、デーモンでのユーザ名前空間の再マッピングを有効にして、コンテナ内からの特権昇格攻撃を防止します。ユーザ名前空間の再マッピングの詳細については、「ユーザ名前空間でコンテナを分離する」を参照してください。

OpenText Identity ConsoleのDockerコンテナとしてのインストール

メモ:OpenText Identity Consoleは、OSPを使用して設定することも、OSPを使用せずに設定することもできます。OSPを使用して設定する場合は、まずOSPコンテナを展開し、次に、OpenText Identity Consoleコンテナを展開する必要があります。展開に必要な値が含まれるように、edirapi.confファイルを変更してください。

OpenText Identity ConsoleをDockerコンテナとしてインストールするには:

この手順で説明する環境設定パラメータ、サンプル値、および例は参照専用です。これらを、ご使用の運用環境で直接使用しないようにしてください。

ソフトウェアライセンスとダウンロードポータルにログインして、ソフトウェアのダウンロードページに移動します。
次の項目を選択します。
- 製品: OpenText eDirectory
- 製品名: OpenText eDirectory per User Sub SW E-LTU
- バージョン: 9.2、9.3
IdentityConsole_<version>_Container.tar.zipをダウンロードします。
イメージをローカルのDockerレジストリにロードする必要があります。次のコマンドを使用して、IdentityConsole_<version>_Containers.tar.gzファイルを抽出してロードします。
```
tar -xvf IdentityConsole_version_Containers.tar.gz              
```
```
docker load --input identityconsole.tar.gz
```
次のコマンドで、OpenText Identity Console Dockerコンテナを作成します。
```
docker create --name identityconsole-container-name --env ACCEPT_EULA=Y --network=network-type --volume volume-name:/config/ identityconsole:version
```
例:
```
docker create --name identityconsole-container-1 --env ACCEPT_EULA=Y --network=host --volume IDConsole-volume:/config/ identityconsole:version
```
メモ:
- ACCEPT_EULA環境変数を「Y」に設定することによって、EULAに同意することができます。対話型モードのDocker createコマンドで-itオプションを使用することにより、コンテナの起動中に画面のプロンプトからEULAに同意することもできます。
- 上のコマンドの--volumeパラメータによって、環境設定データとログデータを保存するボリュームが作成されます。この場合、IDConsole-volumeというサンプルボリュームが作成されます。
次のコマンドを使用して、ローカルファイルシステムからコンテナに、サーバ証明書ファイルを/etc/opt/novell/eDirAPI/cert/keys.pfxとしてコピーします。サーバ証明書の作成方法については、「前提条件」を参照してください。
```
docker cp <absolute path of server certificate file> <identityconsole-container-name>:/etc/opt/novell/eDirAPI/cert/keys.pfx
```
次に例を示します。
```
docker cp /home/user/keys.pfx identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/keys.pfx
```
複数のOpenText eDirectoryツリーに接続する場合、すべての接続ツリーに対して少なくとも1つのkeys.pfxサーバ証明書を取得する必要があります。
次のコマンドを使用して、ローカルファイルシステムからコンテナに、CA証明書ファイル(.pem)を/etc/opt/novell/eDirAPI/cert/SSCert.pemとしてコピーします。CA証明書の取得の詳細については、「前提条件」を参照してください。
```
docker cp absolute path of CA certificate file identityconsole-container-name:/etc/opt/novell/eDirAPI/cert/SSCert.pem
```
次に例を示します。
```
docker cp /home/user/SSCert.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert.pem
```
ユーザが複数のOpenText eDirectoryツリーに接続する必要がある場合は、次のセクションを参照してください。OpenText Identity ConsoleをDockerとして使用するマルチツリー。

OpenText Identity ConsoleをOSPを使用して設定するか使用しないで設定するに応じて、必要に応じてedirapi.conf環境設定ファイルを変更します。次のコマンドを使用して、ローカルのファイルシステムから/etc/opt/novell/eDirAPI/conf/edirapi.confのコンテナにコピーします。

docker cp absolute path of configuration file identityconsole-container-name:/etc/opt/novell/eDirAPI/conf/edirapi.conf

例:

docker cp /home/user/edirapi.conf identityconsole-container-1:/etc/opt/novell/eDirAPI/conf/edirapi.conf

サンプルの環境設定ファイルを次に示します(OpenText Identity Console 1.9以降)。

listen = ":9000" pfxpassword = "novell" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=false auto-fetch=false

サンプルの環境設定ファイルを次に示します(Identity Console 1.8以前)。

listen = ":9000" pfxpassword = "novell" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=false edir-hosts = "<ip_address>:636"

メモ:OpenText Identity ConsoleからOpenText eDirectoryにアクセスするには、edir-hosts="x.x.x.x:ldaps_port"をedirapi.confファイルに追加する必要があります。

例: edir-hosts="10.10.10.10:636"

auto-fetch=trueに設定した場合、手順7で説明したように、最初にCA証明書をコンテナにコピーする必要があります。その後、CA証明書は後続のログインセッションで自動的にフェッチされます。

OSPでOpenText Identity Consoleを設定する場合のサンプル環境設定ファイルを次に示します。

listen = ":9000" ldapserver = "10.71.39.15:636" ldapuser = "cn=admin,o=novell" ldappassword = "novell" pfxpassword = "novell" osp-token-endpoint = "https://<osp_ipaddress>:8543/osp/a/idm/auth/oauth2/getattributes" osp-authorize-url = "https://<osp_ipaddress>:8543/osp/a/idm/auth/oauth2/grant" osp-logout-url = "https://<osp_ipaddress>:8543/osp/a/idm/auth/app/logout" osp-redirect-url = "https://<identity_console_ipaddress>:9000/eDirAPI/v1/t/authcoderedirect" osp-client-id = "identityconsole" ospclientpass = "novell" ospcert = "/etc/opt/novell/eDirAPI/cert/SSCert.pem" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=true check-origin =true origin = "https://<identity_console_ipaddress>:9000"

次のコマンドで、Dockerコンテナを起動します。
```
docker start identityconsole-container-name
```
次に例を示します。
```
docker start identityconsole-container-1
```

メモ:次のログファイルは、/var/lib/docker/volumes/<ボリューム名>/_data/eDirAPI/var/logディレクトリにあります。

edirapi.log - これはedirapiでさまざまなイベントを記録し、問題をデバッグする場合に使用します。
edirapi_audit.log - これはedirapiの監査イベントをログに記録するために使用されます。ログは、CEF監査フォーマットに従います。
container-startup.log - これは、OpenText Identity Console Dockerコンテナのインストールログをキャプチャするために使用されます。

OpenText Identity ConsoleをDockerとして使用するマルチツリー

自動フェッチが無効になっている場合に、OpenText Identity Console 1.9を複数のOpenText eDirectoryツリーに接続するには、すべてのOpenText eDirectoryツリーから/etc/opt/novell/eDirAPI/cert/ディレクトリにCA証明書をコピーする必要があります。

OpenText Identity Console 1.8を使用すると、ユーザはツリーの個々のCA証明書を取得することにより、複数のツリーに接続できます。

たとえば、3つのOpenText eDirectoryツリーに接続する場合、3つすべてのCA証明書をDockerコンテナにコピーする必要があります。

docker cp /home/user/SSCert1.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert1.pem

docker cp /home/user/SSCert2.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert2.pem

docker cp /home/user/SSCert3.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert3.pem

次のコマンドを実行して、OpenText Identity Consoleを再起動します。

docker restart <identityconsole-container-name>

例:

docker restart identityconsole-container-1

OSPコンテナの展開

以下の手順を実行して、OSPコンテナを展開します。

ソフトウェアライセンスとダウンロードポータルにログインして、ソフトウェアのダウンロードページに移動します。
次の項目を選択します。
- 製品: OpenText eDirectory
- 製品名: OpenText eDirectory per User Sub SW E-LTU
- バージョン: 9.2
- OpenText Identity Consoleスタンドアロン
IdentityConsole_<version>_Containers_tar.zipファイルをダウンロードして抽出します。
OSPコンテナにOpenText Identity Consoleをインストールするには、キーストア(tomcat.ks)が必要です。

キーストアを生成するには、次の手順を実行します。
1. フォルダcertsを/opt/ディレクトリ内に作成します。
2. 次のコマンドを実行して、キーストア(tomcat.ks)を作成します。
```
keytool -genkey -alias osp -keyalg RSA -storetype pkcs12 -keystore /opt/certs/tomcat.ks -validity 3650 -keysize 2048 -dname "CN=blr-osp48-demo.labs.blr.novell.com" -keypass novell -storepass novell
```
  メモ:マシンのIPアドレスがCN名または完全修飾ホスト名として命名されていることを確認します。たとえば、CN=xx.xx.xx.xx
3. 次のコマンドを実行して、証明書署名要求を作成します。たとえば、cert.csr。
```
keytool -certreq -v -alias osp -file /opt/certs/cert.csr -keypass novell -keystore /opt/certs/tomcat.ks -storepass novell
```
4. 作成したcert.csrをIdentity Consoleに渡し、説明に基づいてcert.derを取得します。
  1. OpenText Identity Consoleを管理者として起動します。
  2. ［証明書管理］>［証明書の発行］をクリックして、ファイルを選択します。
  3. ［キー使用の仕様］>［キータイプ］に移動し、［カスタム］ラジオボタンを選択します。
  4. ［キーの使用法］をクリックし、次のチェックボックスをオンにします。
    
    データ暗号化
    
    キー暗号化
    
    デジタル署名
  5. ［証明書パラメータ］>［件名の代替名］>［OSPサーバIPアドレス］または［OSPサーバDNS名］>［次へ］>［OK］の順にクリックします。
    
    メッセージは「証明書は正常に生成されました」として表示されます。
  6. ［OK］をクリックします。
  7. 発行された証明書cert.derをダウンロードして/opt/certs/にコピーします。
5. OpenText eDirectoryからSSCert.derを/opt/certsにコピーします。
6. 次のコマンドを実行して、CA証明書(SSCert.der)とサーバ証明書(cert.der)をtomcat.ksキーストアにインポートします。
```
keytool -import -trustcacerts -alias root -keystore /opt/certs/tomcat.ks -file /opt/certs/SSCert.der -storepass novell -noprompt
```
```
keytool -import -alias osp -keystore /opt/certs/tomcat.ks -file /opt/certs/cert.der -storepass novell -noprompt
```
/dataとして新しいフォルダを作成します。
tomcat.ksを/opt/certsからコピーし、dataフォルダに貼り付けます。
抽出したOpenText Identity Consoleコンテナビルドから、osp-edirapi-silent.propertiesファイルをdataフォルダにコピーします。

要件に従ってosp edirapi silentプロパティファイルを変更します。サンプルのサイレントプロパティファイルを次に示します。

# Silent file for osp with edirapi
## Static contents Do not edit - starts 
INSTALL_OSP=true
DOCKER_CONTAINER=y
EDIRAPI_PROMPT_NEEDED=y
UA_PROMPT_NEEDED=n
SSPR_PROMPT_NEEDED=n
RPT_PROMPT_NEEDED=n
CUSTOM_OSP_CERTIFICATE=y
## Static contents Do not edit - ends

# OSP Details
SSO_SERVER_HOST=osp.example.com (osp confiugred serevr IP address)
SSO_SERVER_SSL_PORT=8543
OSP_COMM_TOMCAT_KEYSTORE_FILE=/config/tomcat.ks
OSP_COMM_TOMCAT_KEYSTORE_PWD=novell
SSO_SERVICE_PWD=novell
OSP_KEYSTORE_PWD=novell
IDM_KEYSTORE_PWD=novell
OSP_CUSTOM_NAME="Identity Console"
USER_CONTAINER="o=novell"
ADMIN_CONTAINER="o=novell"
MASTER_KEYSTORE_PWD=novell

# IDConsole Details 
IDCONSOLE_HOST=192.168.1.1 (IdentityConsole confiugred serevr IP address)
IDCONSOLE_PORT=9000
EDIRAPI_TREENAME=ed913 (Tree name should be in lowercase)

#If ENABLE_CUSTOM_CONTAINER_CREATION is set to y
#ie., when you have user and admin container different from o=data
#    and they need to be created in eDir
#then CUSTOM_CONTAINER_LDIF_PATH should be entered as well
ENABLE_CUSTOM_CONTAINER_CREATION=n
#ENABLE_CUSTOM_CONTAINER_CREATION=y
#CUSTOM_CONTAINER_LDIF_PATH=/config/custom-osp.ldif

# eDir Details
ID_VAULT_HOST=192.168.1.1 (eDir/ID_Vault confiugred serevr IP address)
ID_VAULT_LDAPS_PORT=636
ID_VAULT_ADMIN_LDAP="cn=admin,o=novell"
ID_VAULT_PASSWORD=novell

メモ:サイレントプロパティ(DOSテキスト)ファイルの使用時にスペースの制約を回避するには、dos2unixツールを使用して、DOSテキストファイルをUNIX形式に変換する必要があります。次のコマンドを実行して、テキストファイルを、DOS行末からUnix行末に変換します。

dos2unix filename

例:

dos2unix samplefile

次のコマンドを実行してOSPイメージをロードします。
```
docker load --input osp.tar.gz
```

次のコマンドを使用してコンテナを展開します。

docker run -d --name OSP_Container --network=host -e SILENT_INSTALL_FILE=/config/osp-edirapi-silent.properties -v /data:/config osp:<version>

例:

docker run -d --name OSP_Container --network=host -e SILENT_INSTALL_FILE=/config/osp-edirapi-silent.properties -v /data:/config osp:6.6.6

メモ:OSPコンテナを展開した後、OpenText Identity Consoleをインストールし、OSPサーバの詳細を使用して構成します。

OpenText Identity ConsoleのDockerコンテナとしての停止と再起動

停止するには、次のコマンドを実行します。

docker stop identityconsole-container-name

再起動するには、次のコマンドを実行します。

docker restart identityconsole-container-name

起動するには、次のコマンドを実行します。

docker start identityconsole-container-name

データ永続性の管理

OpenText Identity Consoleコンテナとともに、データ永続性のためのボリュームも作成されます。ボリュームを使用して古いコンテナの環境設定パラメータを使用するには、次の手順を実行します。

次のコマンドを使用して、現在のDockerコンテナを停止します。
```
docker stop identityconsole-container-name
```
例:
```
docker stop identityconsole-container-1
```

Dockerボリューム(IDConsole-volume-1)に保存されている古いコンテナのアプリケーションデータを使用して、2番目のコンテナを作成します。

docker create --name identityconsole-container-name --network=host --volume IDConsole-volume-1:/config/ identityconsole:< version >

例:

docker create --name identityconsole-container-2 --network=host --volume IDConsole-volume-1:/config/ identityconsole:<version>

次のコマンドを使用して、2番目のコンテナを開始します。

docker start identityconsole-container-name

例:

docker start identityconsole-container-2

(オプション)次のコマンドを使用して最初のコンテナを削除できます。
```
docker rm identityconsole-container-name
```
例:
```
docker rm identityconsole-container-1
```

Dockerコンテナでのサーバ証明書の置き換え

Dockerコンテナ内のサーバ証明書を置き換えるには、次の手順を実行します。

コンテナの任意の場所に新しいサーバ証明書をコピーするには、次のコマンドを実行します。

例:
```
docker cp /path/to/new-keys.pfx <container_id/name>:/tmp/new-keys.pfx
```
次のコマンドを使用してコンテナにログインします。
```
docker exec -it container_name bash
```

NLPCERTを実行して、擬似ユーザとしてキーを保存します。

LD_LIBRARY_PATH=/opt/novell/lib64/:/opt/novell/eDirectory/lib64/:/opt/netiq/common/openssl/lib64/ /opt/novell/eDirAPI/sbin/nlpcert -i /tmp/new-keys.pfx -o /etc/opt/novell/eDirAPI/conf/ssl/private/cert.pem

次のコマンドを使用して、コンテナコンソールを終了します。
```
exit
```
次のコマンドを入力して、コンテナを再起動します。
```
docker restart container name
```

2.1.4 Azure KubernetesサービスでのOpenText Identity Consoleのインストール

Azure Kubernetes Service (AKS)は、クラスタのインストールと管理を可能にするマネージドKubernetesサービスです。このセクションでは、次の手順について説明します。

AKSクラスタへのOpenText Identity Consoleのインストール

このセクションでは、AKSクラスタにOpenText Identity Consoleをインストールするための、次の手順について説明します。

Azure Container Registry (ACR)の作成

Azure Container Registry (ACR)は、Dockerコンテナイメージ用の、Azureベースのプライベートレジストリです。

詳細については、「Create container registry - Portal(コンテナレジストリの作成 - ポータル)」の「Create an Azure container registry using the Azure portal (Azureポータルを使用してAzure Container Registryを作成する)」セクションを参照するか、次の手順を実行して、Azure Container Registry (ACR)を作成します。

Azureポータルにサインインします。
[リソースの作成] > [コンテナ] > [コンテナレジストリ]に移動します。
[基本]タブで、リソースグループとレジストリ名の値を指定します。レジストリ名は、Azure内で固有で、最小5文字および最大50文字の英数字を含む必要があります。

残りの設定のデフォルト値を受け入れます。
[レビュー+作成]をクリックします。
［作成］をクリックします。
Azure CLIにサインインし、次のコマンドを実行して、Azure Container Registryにログインします。
```
az acr login --name registryname
```
例:
```
az acr login --name < idconsole >
```

次のコマンドを使用して、Azure Container Registryのログインサーバを取得します。

az acr show --name registryname --query loginServer --output table

例:

az acr show --name < idconsole > --query loginServer --output table

次のコマンドを使用して、OpenText Identity Consoleのローカルイメージに、ACRログインサーバ(registryname.azureacr.io)の名前をタグ付けします。
```
docker tag idconsole-image <login server>/idconsole-image
```
例:
```
docker tag identityconsole:<version> registryname.azurecr.io/identityconsole:<version>
```

タグ付きイメージをレジストリにプッシュします。

docker push <login server>/idconsole: <version>

例:

docker push registryname.azurecr.io/identityconsole:<version>

次のコマンドを使用して、レジストリ内のイメージのリストを取得します。
```
az acr show --name registryname --query loginServer --output table
```

Kubernetesクラスタの設定

AzureポータルまたはCLIを使用して、kubernetesサービスリソースを作成します。

ノードを使用して、AzureでKubernetesサービスリソースを作成する手順の詳細については、Azureクイックスタートの「AKSクラスタの作成」を参照してください。

メモ:

必ずAzure CNIをネットワークとして選択してください。
既存の仮想ネットワーク(OpenText eDirectoryサーバがサブネット内にインストールされているネットワーク)を選択します。
OpenText Identity Consoleイメージが使用可能な既存のコンテナレジストリを選択します。

標準SKUパブリックIPアドレスの作成

Kubernetesクラスタリソースグループの下のパブリックIPアドレスリソースは、アプリケーションのロードバランサIPとして機能します。

詳細な手順については、「Create public IP address – Portal(パブリックIPアドレスの作成 - ポータル)」の「Azureポータルを使用してパブリックIPアドレスを作成する」を参照してください。

Cloud ShellのセットアップとKubernetesクラスタへの接続

すべての操作に対してAzureポータルで使用可能なクラウドシェルを使用します。

Azureポータルでクラウドシェルをセットアップするには、「バッシュ - クイックスタート」の「Cloud Shellの起動」セクションを参照するか、次の手順を実行してCloud Shellをセットアップし、Kubernetesクラスタに接続します。

Azureポータルで、ボタンをクリックしてCloud Shellを開きます。

メモ:Kubernetesクラスタを管理するには、Kubernetesコマンドラインクライアントのkubectlを使用します。Azure Cloud Shellを使用している場合は、kubectlはすでにインストールされています。

次のコマンドを使用してKubernetesクラスタに接続するためにkubectlを設定します。

az aks get-credentials --resource-group "resource group name" --name "Kubernetes cluster name"

例:

az aks get-credentials --resource-group myResourceGroup --name myAKSCluster

次のコマンドを使用して、クラスタノードのリストを検証します。
```
kubectl get nodes
```

アプリケーションの展開

OpenText Identity Consoleをインストールするには、idc-services.yaml、idc-statefulset.yaml、idc-storageclass.yaml、およびidc-pvc.yamlのサンプルファイルを使用できます。

要件に従って独自のyamlファイルを作成することもできます。

下記コマンドを使用してストレージクラスリソースを作成します。
```
kubectl apply -f <location of the YAML file>
```
例:
```
kubectl apply -f idc-storageclass.yaml
```
(オプション)Azureファイル共有で永続ボリュームを動的に作成して使用する方法の詳細については、「Azure Kubernetes Service (AKS)のAzureファイルで永続ボリュームを動的に作成して使用する」を参照してください。

ストレージクラスリソースファイルのサンプルを次に示します。
```
kind: StorageClass
apiVersion: storage.k8s.io/v1
metadata:
  name: azurefilesc
provisioner: kubernetes.io/azure-file
mountOptions:
  - dir_mode=0777
  - file_mode=0777
  - uid=0
  - gid=0
  - mfsymlinks
  - cache=strict
  - actimeo=30
parameters:
  skuName: Standard_LRS
  shareName: fileshare
~
```
ストレージクラスリソースにより、ダイナミックストレージプロビジョニングが可能です。Azureファイル共有の作成方法を定義するために使用されます。
下記コマンドを使用して、storageclassの詳細を表示します。
```
kubectl get sc
```
idc-pvc.yamlファイルを使用してpvcリソースを作成します。
```
kubectl apply -f <location of the YAML file>
```
例:
```
kubectl apply -f idc.pvc.yaml
```
サンプルのpvcリソースファイルを次に示します。
```
apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: pvcforsc
spec:
  accessModes:
    - ReadWriteMany
  storageClassName: azurefilesc
  resources:
    requests:
      storage: 5Gi
```
永続ボリューム要求リソースは、ファイル共有を作成します。永続ボリューム要求(PVC)は、ストレージクラスオブジェクトを使用して、Azureファイル共有を動的にプロビジョニングします。
edirapi.conf、CA証明書、およびサーバ証明書をCloud Shellにアップロードします。

Cloud Shellのファイルのアップロード/ダウンロードボタンアイコンをクリックし、edirapi.conf、SSCert.pem、keys.pfxファイルをアップロードします。
メモ:edirapi.confにはパラメータ「origin」があります。ここでは、OpenText Identity ConsoleアプリケーションにアクセスするIPアドレスを指定する必要があります。(標準SKUパブリックIPアドレスの作成セクションで作成されたIPアドレスを使用します。)

OpenText Identity Consoleのインストールには、サーバ証明書(keys.pfx)が必要です。

サーバ証明書を作成する際には、件名の代替名に有効なDNS名を指定してください。

有効なDNS名を作成する手順は次のとおりです。

StatefulSetを使用して展開される一般的なポッドには、次のようなDNS名があります。{statefulsetname}-{ordinal}.{servicename}.{namespace}.svc.cluster.local
- idconsole-statefulset.yamlファイル内のStatefulSet名がidconsole-appの場合、statefulsetname = idconsole-app
- 最初のポッドの場合、ordinal = 0
- idconsole -statefulset.yamlファイルでserviceNameをidconsoleとして定義した場合、serviceName = idconsole
- デフォルトが名前空間の場合、namespace=default
出力: idconsole-app-0.idcosole.default.svc.cluster.local
証明書と一緒に設定ファイルを保存する、Kubernetesクラスタ内にconfigmapリソースを作成します。

コマンドを実行する前に、ディレクトリ内にファイル(edirapi.conf、SSCert.pem、およびkeys.pfx)が存在する必要があります。
```
kubectl create configmap <confgimapName> --from-file= "path where the files are present"
```
例:
```
kubectl create configmap config-data --from-file=/data
```
kubectl describeコマンドを使用して、configmapオブジェクトの詳細を表示します。
```
kubectl describe configmap <configmapName>
```
例:
```
kubectl describe configmap confg-data
```

コンテナを展開するためのStatefulSetリソースを作成します。

下記コマンドを実行して、コンテナを展開します。

kubectl apply -f <location of the YAML file>

例:

kubectl apply -f idc-statefulset.yaml

サンプルのStatefulSetリソースファイルを次に示します。

apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: idconsole-app
spec:
  serviceName: idconsole
  selector:
    matchLabels:
      app: idconsole
  replicas: 1
  template:
    metadata:
      labels:
        app: idconsole
    spec:
      containers:
      - name: idconsole-container
        image: registryname.azurecr.io/identityconsole:<version>
        env:
        - name: ACCEPT_EULA
          value: "Y"
        ports:
        - containerPort: 9000
        volumeMounts:
          - name: configfiles
            mountPath: /config/data
          - name: datapersistenceandlog
            mountPath: /config
            subPath: log
      volumes:
        - name: configfiles
          configMap:
            name: config-data
        - name: datapersistenceandlog
          persistentVolumeClaim:
            claimName: pvcforsc

次のコマンドを実行して、展開されたポッドのステータスを検証します。
```
kubectl get pods -o wide
```
loadBalancerタイプのサービスリソースを作成します。

yamlファイルで指定されているサービスのタイプは、loadBalancerです。

下記コマンドを使用してサービスリソースを作成します。
```
kubectl apply -f <location of the YAML file>
```
例:
```
kubectl apply -f ids-service.yaml
```
サンプルのサービスリソースファイルを次に示します。
```
apiVersion: v1
kind: Service
metadata:
  name: idconsole-service
  labels:
    run: idconsole-service
spec:
  type: LoadBalancer
  loadBalancerIP: xx.xx.xx.xx
  selector:
    app: idconsole
  ports:
   - port: 9000
     targetPort: 9000
     protocol: TCP
```
下記コマンドを使用して、EXTERNAL-IPアドレス(またはloadBalancerIP)を確認します。
```
kubectl get svc -o wide
```
EXTERNAL-IP (またはloadBalancerIPアドレス)を使用してURLを起動します。

例:

https://<EXTERNAL-IP>:9000/identityconsole