1.1 Wymagania systemowe i wymagania wstępne dotyczące instalacji Dockera

1.1.1 Wymagania systemowe

Oprogramowanie OpenText Identity Console można uruchamiać jako kontener Dockera — więcej informacji na temat wymagań systemowych i obsługiwanych platform umożliwiających zainstalowanie oprogramowania OpenText Identity Console można znaleźć w dokumentacji Dockera.

1.1.2 Wymagania wstępne

Zainstaluj Dockera w wersji 20.10.9-ce lub nowszej. Aby dowiedzieć się więcej na temat instalacji Dockera w zależności od platformy, zapoznaj się z częścią Instalacja Dockera.
Musisz uzyskać certyfikat serwera w formacie pkcs12 z kluczem prywatnym do szyfrowania/odszyfrowywania wymiany danych między serwerem OpenText Identity Console a serwerem zaplecza. Ten certyfikat serwera służy do zabezpieczania połączenia HTTP. Możesz używać certyfikatów serwera wygenerowanych przez zewnętrzny ośrodek certyfikacji. Aby uzyskać więcej informacji, zobacz Tworzenie obiektu certyfikatu serwera. Certyfikat serwera powinien zawierać nazwę alternatywną podmiotu z adresem IP i nazwą DNS serwera OpenText Identity Console. Po utworzeniu obiektu certyfikatu serwera musisz go wyeksportować w formacie .pfx.
Dla wszystkich drzew musisz uzyskać certyfikat ośrodka certyfikacji w formacie .pem do zatwierdzania podpisu ośrodka certyfikacji dla certyfikatów serwera uzyskanych w poprzednim kroku. Ten certyfikat głównego ośrodka certyfikacji zapewnia też ustanowienie bezpiecznej komunikacji LDAP między klientem a serwerem OpenText Identity Console. Możesz na przykład uzyskać certyfikat ośrodka certyfikacji eDirectory (SSCert.pem) z /var/opt/novell/eDirectory/data/SSCert.pem.
(Opcjonalnie) Używając usługi One SSO Provider (OSP), możesz włączyć dla użytkowników uwierzytelnianie z jednokrotnym logowaniem do portalu OpenText Identity Console. Usługę OSP musisz zainstalować przed zainstalowaniem oprogramowania OpenText Identity Console. Aby skonfigurować usługę OSP pod kątem oprogramowania OpenText Identity Console, postępuj zgodnie z instrukcjami wyświetlanymi na ekranie i podaj wymagane wartości parametrów konfiguracji. Aby zarejestrować oprogramowanie OpenText Identity Console na istniejącym serwerze OSP, musisz ręcznie dodać plik ism-configuration.properties w folderze /opt/netiq/idm/apps/tomcat/conf/:
```
com.netiq.edirapi.clientID = identityconsole
com.netiq.edirapi.redirect.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/authcoderedirect
com.netiq.edirapi.logout.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/logoutredirect
com.netiq.edirapi.logout.return-param-name = logoutURL
com.netiq.edirapi.response-types = code,token
com.netiq.edirapi.clientPass._attr_obscurity = NONE
com.netiq.edirapi.clientPass = novell
```
UWAGA:
- W przypadku usługi OSP możesz nawiązać połączenie tylko z jednym drzewem OpenText eDirectory, ponieważ usługa OSP nie obsługuje wielu drzew OpenText eDirectory.
- Usługa OSP innej firmy nie jest obsługiwana w oprogramowaniu OpenText Identity Console.
- Oprogramowanie OpenText Identity Console z usługą OSP nie jest obecnie obsługiwane w zintegrowanym środowisku NAM.
Upewnij się, że w pliku /etc/hosts jest dostępny poprawny wpis DNS dla komputera hosta, obejmujący w pełni zakwalifikowaną nazwę hosta.
Jeśli chcesz używać oprogramowania OpenText Identity Console w przeglądarce Edge, w celu uzyskania pełnej funkcjonalności musisz pobrać najnowszą wersję Microsoft Edge.

UWAGA:Podczas używania oprogramowania OpenText Identity Console w przeglądarce Mozilla Firefox operacja może się nie powieść, wyświetlając następujący komunikat o błędzie: Niezgodność pochodzenia. Aby rozwiązać ten problem, wykonaj następujące czynności:

Zaktualizuj przeglądarkę Firefox do najnowszej wersji.
Na pasku adresu URL przeglądarki Firefox wprowadź about:config i naciśnij klawisz Enter.
Wyszukaj słowo Origin.
Kliknij dwukrotnie pozycję network.http.SendOriginHeader i zmień jej wartość na 1.

1.1.3 Konfigurowanie środowiska

Konieczne może być utworzenie pliku konfiguracyjnego zawierającego określone parametry. Jeśli chcesz skonfigurować oprogramowanie OpenText Identity Console z usługą OSP, musisz podać w pliku konfiguracyjnym parametry specyficzne dla usługi OSP. Na przykład utwórz poniższy plik edirapi.conf z parametrami usługi OSP:

UWAGA:Musisz podać nazwę drzewa OpenText eDirectory w polu osp-redirect-url.

listen = ":9000"
ldapserver = "192.168.1.1:636"
ldapuser = "cn=admin,ou=sa,o=system"
ldappassword = "novell"
pfxpassword = "novell"
ospmode = "true"
osp-token-endpoint = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/getattributes"
osp-authorize-url = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/grant"
osp-logout-url = "https://10.10.10.10:8543/osp/a/idm/auth/app/logout"
osp-redirect-url = "https://10.10.10.10:9000/eDirAPI/v1/edirtree/authcoderedirect"
osp-client-id = "identityconsole"
ospclientpass = "novell"
ospcert = "/etc/opt/novell/eDirAPI/cert/SSCert.pem"
bcert = "/etc/opt/novell/eDirAPI/cert/"
loglevel = "error"
check-origin = "true"
origin = "https://10.10.10.10:9000,https://192.168.1.1:8543"

Jeśli chcesz skonfigurować oprogramowanie OpenText Identity Console bez usługi OSP, utwórz poniższy plik konfiguracyjny bez parametrów usługi OSP:

[OpenText Identity Console 1.9]

listen = ":9000"
pfxpassword = "novell"
ospmode = "false"
bcert = "/etc/opt/novell/eDirAPI/cert/"
auto-fetch = false

UWAGA:

Usuń parametr edir-hosts z pliku konfiguracyjnego i dodaj parametr auto-fetch.
W przypadku ustawienia parametru auto-fetch = false należy ręcznie skopiować certyfikat CA do folderu cert.

[Oprogramowanie OpenText Identity Console w wersji 1.8 i wcześniejszych]

listen = ":9000"
pfxpassword = "novell"
ospmode = "false"
bcert = "/etc/opt/novell/eDirAPI/cert/"
edir-hosts = "<ip_address-1>:636,<ip_address-2>:636"

UWAGA:Jeśli chcesz skonfigurować oprogramowanie OpenText Identity Console z wieloma drzewami OpenText eDirectory, możesz pominąć parametry „ldapserver”, „ldapuser” oraz „ldappassword” i utworzyć plik konfiguracyjny.

Tabela 1-1 Opis parametrów konfiguracji w pliku konfiguracyjnym

Parametry konfiguracji	Opis
listen	Podaj 9000 jako port nasłuchiwania serwera OpenText Identity Console wewnątrz kontenera.
ldapserver	Określ adres IP i numer portu serwera hosta OpenText eDirectory.
ldapuser	Podaj nazwę użytkownika dla użytkownika usługi OpenText eDirectory. Ten parametr jest używany jako poświadczenie do inicjowania wywołań LDAP do usługi OpenText eDirectory przy użyciu kontroli autoryzacji proxy w przypadku logowania OSP. Użytkownik LDAP musi mieć uprawnienia nadzorcy w drzewie OpenText eDirectory.
ldappassword	Podaj hasło użytkownika LDAP.
pfxpassword	Podaj hasło pliku certyfikatu serwera w formacie pkcs12.
ospmode	Podaj wartość true, aby zintegrować usługę OSP z oprogramowaniem OpenText Identity Console. Jeśli ustawisz wartość false, oprogramowanie OpenText Identity Console będzie korzystać z logowania LDAP.
osp-token-endpoint	Ten adres URL służy do pobierania określonych atrybutów z serwera OSP w celu zweryfikowania poprawności tokena uwierzytelniania.
osp-authorize-url	Ten adres URL jest używany przez użytkownika do podawania poświadczeń w celu uzyskania tokena uwierzytelniania.
osp-logout-url	Ten adres URL umożliwia zakończenie sesji między użytkownikiem a serwerem OSP.
osp-redirect-url	Serwer OSP przekierowuje użytkownika pod ten adres URL po przyznaniu tokena uwierzytelniania. UWAGA:Pamiętaj, aby podając nazwę drzewa OpenText eDirectory podczas konfigurowania oprogramowania OpenText Identity Console, użyć małych liter. Jeśli nazwa drzewa nie zostanie podana małymi literami, logowanie do serwera OpenText Identity Console może się nie powieść.
osp-client-id	Podaj identyfikator klienta OSP podany w momencie rejestracji oprogramowania OpenText Identity Console w OSP.
ospclientpass	Podaj hasło klienta OSP podane w momencie rejestracji oprogramowania OpenText Identity Console w OSP.
ospcert	Podaj lokalizację certyfikatu ośrodka certyfikacji serwera OSP.
bcert	Podaj lokalizację certyfikatu ośrodka certyfikacji oprogramowania OpenText Identity Console.
loglevel	Podaj poziomy dziennika, które mają zostać uwzględnione w pliku dziennika. Ten parametr może mieć wartość „fatal” (błąd krytyczny), „error” (błąd), „warn” (ostrzeżenie) lub „info” (informacje).
check-origin	Jeśli ten parametr ma wartość true, serwer OpenText Identity Console porównuje wartość pochodzenia żądań. Dostępne opcje to true lub false. Parametr origin jest obowiązkowy, nawet jeśli parametr check-origin ma wartość false, w przypadku używania konfiguracji DNS.
origin	Oprogramowanie OpenText Identity Console porównuje wartość pochodzenia żądań z wartościami podanymi w tym polu. UWAGA:Od wersji OpenText Identity Console 1.4 wzwyż ten parametr jest niezależny od parametru check-origin i jest obowiązkowy w przypadku używania konfiguracji DNS.
maxclients	Maksymalna liczba klientów, którzy mogą jednocześnie uzyskać dostęp do IDConsole. Wszyscy dodatkowi klienci przekraczający ten limit muszą czekać w kolejce.
auto-fetch	Od wersji 1.9 oprogramowania OpenText możliwe jest wybranie automatyczne pobierania certyfikatu CA.
edir-hosts (wersja 1.8 i wcześniejsze)	Parametr edir-host zawiera adres(y) IP usługi OpenText eDirectory na potrzeby połączeń za pomocą oprogramowania OpenText Identity Console.

UWAGA:

Parametru konfiguracji ospmode należy użyć tylko w przypadku planowania zintegrowania usługi OSP z oprogramowaniem OpenText Identity Console.
Jeśli w konfiguracji programu OpenText Identity Manager komponent Identity Applications (Identity Apps) jest skonfigurowany w trybie klastra, w polach osp-token-endpoint, osp-authorize-url i osp-logout-url w pliku konfiguracyjnym musisz podać nazwę DNS serwera równoważenia obciążenia. Jeśli w polach tych podasz szczegóły serwera OSP, logowanie do oprogramowania OpenText Identity Console nie powiedzie się.
Jeśli oprogramowanie OpenText Identity Console jest skonfigurowane przy użyciu tego samego wystąpienia usługi OSP co komponenty Identity Apps i OpenText Identity Reporting, podczas logowania do portalu OpenText Identity Console zadziała jednokrotne logowanie (usługa uwierzytelniania).
Od wersji OpenText Identity Console 1.4 wzwyż adres HTTPS URL usługi OSP należy zatwierdzać za pomocą certyfikatów zawierających klucz 2048-bitowy lub wyższy.
Jeśli chcesz ograniczyć dostęp do portalu OpenText Identity Console z innych domen, ustaw parametr samesitecookie na strict. Jeśli chcesz zezwolić na dostęp do portalu OpenText Identity Console z innych domen, ustaw parametr samesitecookie na lax. Jeśli ten parametr nie zostanie określony podczas konfiguracji, domyślnie będą uwzględniane ustawienia przeglądarki.

Po przygotowaniu pliku konfiguracyjnego rozpocznij wdrażanie kontenera. Aby uzyskać więcej informacji, zobacz Instalowanie oprogramowania OpenText Identity Console jako kontenera Docker.