Zadanie to jest widoczne tylko dla autoryzowanych użytkowników. Zobacz Autoryzowani użytkownicy i grupy. Ten temat zawiera następujące informacje:
Plik config.xml zawiera trzy ustawienia umożliwiające konfigurowanie zabezpieczeń i certyfikatów używanych podczas tworzenia połączeń LDAP SSL w programie iManager:
Security.Keystore.AutoUpdate: Jeśli ustawienie AutoUpdate będzie miało wartość True i użytkownik pomyślne zaloguje się do programu iManager, certyfikat z tego serwera eDirectory może zostać zaimportowany automatycznie do magazynu kluczy programu iManager. Należy wybrać ustawienie Automatycznie importuj certyfikat drzewa dla bezpiecznego połączenia LDAP (Konfiguruj program iManager > Zabezpieczenia).
Security.Keystore.UpdateAllowAll: Jeśli ustawienie Security.Keystore.UpdateAllowAll będzie miało wartość True, certyfikat zostanie zaimportowany do magazynu kluczy programu iManager lub zaktualizowany po każdej pomyślnej operacji zalogowania dowolnego użytkownika. Jeśli to ustawienie będzie miało wartość false, operacje importu lub aktualizacji certyfikatów będą wykonywane tylko po zalogowaniu się autoryzowanego użytkownika.
Security.Keystore.Priority: Wartość ustawienia Priority składa się z dwóch słów, które określają porządek wyszukiwania certyfikatów w czasie połączenia: system oraz imanager. system oznacza, że po utworzeniu kontekstu SSL certyfikaty należy lokalizować przy użyciu domyślnego magazynu kluczy maszyny JVM*. W przypadku niepowodzenia wyszukiwanie będzie kontynuowane w magazynie kluczy programu iManager.
Porządek wyszukiwania można zmienić, usuwając z wartości ustawienia słowo system lub iManager.
Aby zwiększyć poziom zabezpieczeń, należy wyłączyć ustawienie AutoUpdate i korzystać jedynie z systemowego magazynu kluczy. W takim przypadku należy ręcznie zaimportować odpowiednie certyfikaty do domyślnego systemowego magazynu kluczy przy użyciu narzędzi dostarczanych z oprogramowaniem Java. Jeśli ustawienie UpdateAllowAll zostanie wyłączone, certyfikaty będą importowane tylko w wyniku pomyślnego zalogowania się autoryzowanego użytkownika w programie iManager.
Podane ustawienia mają wpływ na konfigurację całego serwera sieci Web i są zapisywane w pliku config.xml. Ustawienia można zapisywać w miarę ich wprowadzania lub po wprowadzeniu wszystkich zmian (klikając przycisk Zapisz).
Tę opcję należy wybrać, jeśli użytkownicy korzystający z niezabezpieczonego połączenia między przeglądarką internetową a serwerem sieci Web mają otrzymywać następujące ostrzeżenie: Używasz niezabezpieczonego połączenia.
Należy się upewnić, że zostały spełnione wymagania wstępne programu Audit. Należy zaznaczyć opcję Włącz program Novell Audit i wybrać odpowiednie zdarzenia zapisu dziennika programu iManager, a następnie kliknąć przycisk Zapisz.
Bezpieczne połączenia LDAP wymagają certyfikatu. Po wybraniu tej funkcji system będzie automatycznie importować publiczny certyfikat drzewa dla bezpiecznego protokołu LDAP.
Gdy użytkownik lub grupa są autoryzowane, oznacza to, że program iManager zezwala na wykonywanie różnych zadań administracyjnych temu użytkownikowi lub tej grupie. Dane użytkowników autoryzowanych są zapisywane w pliku TOMCAT_HOME\webapps\nps\WEB-INF\configiman.properties . Ten plik jest tworzony w trakcie procesu instalacji programu iManager tylko w przypadku, gdy zostaną podane informacje o użytkownikach i grupach autoryzowanych. Jego utworzenie nie jest jednak wymagane. Nieutworzenie tego pliku powoduje, że program iManager zezwala każdemu użytkownikowi na instalowanie dodatków typu plug-in programu iManager oraz modyfikowanie ustawień serwera programu iManager. Nie jest to zalecane na dłuższą metę.
W przypadku dodania grupy lub roli organizacyjnej do tej listy wszyscy członkowie tej grupy lub roli organizacyjnej stają się autoryzowanymi użytkownikami. Dodawanie grupy zagnieżdżonej jest obsługiwane tylko dla pierwszego poziomu członków. Dodawanie grupy dynamicznej nie jest obsługiwane, ponieważ jej członkami mogą być obiekty dowolnych typów.
Po zainstalowaniu programu iManager można dodawać autoryzowane elementy — użytkowników, grupy i role organizacyjne — określając je albo używając ikony selektora obiektu obok listy Autoryzowani użytkownicy i grupy. Spowoduje to zmodyfikowanie pliku configiman.properties.
Aby wyznaczyć wszystkich użytkowników drzewa jako autoryzowanych, należy wpisać AllUsers.
UWAGA:Do listy Autoryzowani użytkownicy i grupy można dodawać i zapisywać na niej tylko prawidłowych użytkowników. Jeśli do listy zostaną dodani nieprawidłowi użytkownicy, kliknięcie przycisku Zapisz spowoduje wyświetlenie komunikatu o błędzie z informacją, że nie można odnaleźć obiektu. Jeśli do listy zostaną dodani tylko nieprawidłowi użytkownicy, kliknięcie przycisku Zapisz spowoduje wyświetlenie komunikatu o błędzie, a lista nieprawidłowych użytkowników zostanie automatycznie zastąpiona wpisem AllUsers. Jeśli nie wszyscy użytkownicy drzewa mają być autoryzowani, należy usunąć wpis AllUsers z listy, a następnie dodać do niej żądanych prawidłowych użytkowników i kliknąć przycisk Zapisz.
WAŻNE:Po zainstalowaniu programu iManager po raz pierwszy lista Autoryzowani użytkownicy i grupy jest pusta. Użytkownik administracyjny musi niezwłocznie dodać użytkowników i grupy do listy, aby je autoryzować i zachować prawa do modyfikowania tej listy. W przeciwnym razie prawa do modyfikowania tej listy może uzyskać użytkownik nieadministracyjny, dodając do niej użytkowników i grupy. Użytkownik będący administratorem może utracić te prawa.
Informacje związane z zabezpieczeniami dotyczące pliku configiman.properties można znaleźć w części Autoryzowani użytkownicy i autoryzowane grupy programu iManager.
Karta Wygląd i działanie umożliwia dostosowywanie wyglądu interfejsu programu iManager. Informacje te są przechowywane w pliku TOMCAT_HOME\webapps\nps\WEB-INF\config.xml.
W tym polu tekstowym należy podać nazwę organizacji. Będzie ona wyświetlana na pasku tytułu przeglądarki internetowej zamiast tekstu domyślnego (NetIQ iManager).
Na pasku tytułu są wyświetlane trzy obrazy: obraz tła nagłówka, obraz wypełnienia nagłówka i obraz ramowy nagłówka. Obrazy użytkownika muszą mieć wymiary podane w interfejsie.
Pliki należy zapisać w katalogu nps/portal/modules/fw/images. Ścieżkę do każdego z obrazów należy wprowadzić w odpowiadającym mu polu.
Istnieje możliwość dostosowania kolorów nagłówka i tła menu nawigacyjnego z lewej strony.
Wprowadzać można nazwy kolorów lub odpowiadające im liczby w systemie szesnastkowym. Wielkość liter nie jest w tym przypadku uwzględniana. Kliknięcie przycisku Resetuj powoduje powrót do domyślnych kolorów i obrazów, a przycisku Zapisz —zapisanie ustawień w pliku config.xml.
Karta Zdarzenia zapisu dziennika umożliwia konfigurowanie środowiska zapisu dziennika programu iManager. Dostępne są dwa ustawienia zapisu dziennika:
Poziom zapisu do dziennika: Można wybrać jedną z czterech opcji odpowiadających typom komunikatów, które mają być zapisywane w dzienniku: Bez zapisu dziennika, Błędy, Błędy i ostrzeżenia lub Błędy, ostrzeżenia i komunikaty informacyjne debugowania.
Należy wybrać opcje wyprowadzania danych zapisu dziennika.
Dane zapisywane w dzienniku: Można wybrać jedną z trzech opcji miejsca docelowego komunikatów zapisywanych w dzienniku: Wyślij dane wyjściowe zapisu dziennika do standardowego urządzenia błędów, Wyślij dane wyjściowe zapisu dziennika do standardowego urządzenia wyjściowego lub Wyślij dane wyjściowe zapisu dziennika do pliku Debug.html.
Na tej stronie wyświetlana jest ścieżka do pliku dziennika oraz jego rozmiar. Aby wyświetlić bieżący plik dziennika w formacie HTML, należy kliknąć przycisk Widok. Aby wyczyścić bieżący plik dziennika i zresetować rozmiar pliku dziennika do 0 (zera) bajtów, należy kliknąć przycisk Wyczyść.
Opcja Przekierowanie po wylogowaniu umożliwia określenie adresu URL, do którego ma nastąpić przekierowanie po wylogowaniu z programu iManager. Jeśli ta opcja nie jest zaznaczona, kliknięcie przycisku Koniec pracy powoduje wylogowanie z programu iManager. Domyślnie jest wyświetlana strona logowania.
Włączanie: Tę opcję należy zaznaczyć, aby włączyć funkcję Przekierowanie po wylogowaniu.
Adres URL. Należy określić adres URL, do którego ma nastąpić przekierowanie po wylogowaniu z programu iManager.
Karta Uwierzytelnienie służy do konfigurowania strony logowania programu iManager. Zawiera ona następujące opcje:
Zapamiętaj informacje logowania: Po zaznaczeniu tej opcji użytkownicy będą musieli wprowadzać jedynie hasło, aby się zalogować.
Używaj bezpiecznego protokołu LDAP przy połączeniach automatycznych: Po zaznaczeniu tej opcji program iManager będzie przeprowadzać komunikacje LDAP przy użyciu protokołu SSL. Niektóre dodatki typu plug-in — na przykład Grupy dynamiczne i NMAS — nie działają, gdy ta opcja nie jest zaznaczona. Ustawienie to nie będzie uwzględniane, dopóki użytkownik nie wyloguje się z programu iManager.
Ukryj określoną przyczynę niepowodzenia logowania: Po zaznaczeniu tej opcji program iManager zastępuje komunikaty usługi eDirectory dotyczące uwierzytelniania ogólnym komunikatem o błędzie o treści: Niepowodzenie logowania. Nieprawidłowa nazwa użytkownika lub hasło. Więcej informacji znajduje się w: Zapobieganie wykrywaniu nazwy użytkownika.
Zezwalaj na wybór drzewa na stronie logowania: Po zaznaczeniu tej opcji na stronie logowania programu iManager jest wyświetlane pole Drzewo. Jeśli ta opcja nie zostanie zaznaczona, musi być ustawiona domyślna nazwa drzewa; w przeciwnym razie nie będzie można się zalogować.
Logowanie bezkontekstowe: Logowanie bezkontekstowe umożliwia użytkownikom logowanie się przy użyciu samej nazwy użytkownika i hasła, bez wymagania znajomości pełnego kontekstu ich obiektu użytkownika. Przykład: .admin.support.sales.netiq.
Jeśli w drzewie istnieje wielu użytkowników o tej samej nazwie, logowanie bezkontekstowe pozwala zalogować się przy użyciu pierwszego znalezionego konta użytkownika z podanym hasłem na liście kolejności kontenerów określonej przez użytkownika. Użytkownik może zmieniać i definiować listę kolejności kontenerów.
Jeśli w drzewie istnieje wielu użytkowników o tej samej nazwie, zalogowanie się przy użyciu konkretnej nazwy użytkownika wymaga albo podania pełnego kontekstu, albo ograniczenia kontenerów wyszukiwania, które przeszukuje funkcja logowania bezkontekstowego.
Opcja Szukaj począwszy od folderu głównego powoduje przeprowadzenie wyszukiwania użytkownika, począwszy od folderu głównego drzewa katalogu. Opcja Szukaj w kontenerach umożliwia określenie jednego lub większej liczby kontenerów, w których można znaleźć obiekty użytkowników.
Domyślnie program iManager nawiązuje połączenie w trybie dostępu publicznego, który nie wymaga żadnych konkretnych poświadczeń. Możliwe jest jednak określenie użytkownika z konkretnymi poświadczeniami do przeprowadzania wyszukiwania bezkontekstowego. Jeśli użytkownik nie zostanie zdefiniowany, program iManager użyje użytkownika publicznego.
WAŻNE:W przypadku określenia użytkownika publicznego należy dokładnie rozważyć skutki ustawień dotyczących utraty ważności hasła. Jeśli zostanie ustawiona ważność hasła użytkownika publicznego, nie będzie możliwości zmiany tego hasła podczas logowania, gdy ważność hasła wygaśnie.
Ustawienia limitu czasu serwera programu iManager: Aby serwer programu iManager osiągał limit czasu po upłynięciu żądanego okresu, podaj liczbę dni, godzin i minut w odpowiednich polach na stronie Uwierzytelnianie.
Aby serwer nie osiągał limitu czasu, wybierz opcję Bez limitu czasu.
Przekierowanie po wylogowaniu: Aby po wylogowaniu z programu iManager następowało przekierowanie do żądanej strony, należy włączyć tę opcję na stronie Uwierzytelnianie. Wymagane jest określenie żądanego adresu URL w polu Adres URL. Jeśli nie jest podany żaden adres URL, kliknięcie przycisku Koniec pracy powoduje wylogowanie z programu iManager. Domyślnie jest wyświetlana strona logowania.
Usługi oparte na rolach (RBS) służą do przypisywania praw do wykonywania zadań w usłudze eDirectory. Gdy użytkownikowi jest przypisywana rola, usługi RBS domyślnie przypisują prawa niezbędne do wykonywania zadań powiązanych z tą rolą.
Karta RBS umożliwia konfigurowanie następujących ustawień:
Włącz grupy dynamiczne: Po zaznaczeniu tej opcji usługi RBS zezwalają na członkostwo grup dynamicznych w rolach. Więcej informacji na temat grup dynamicznych zawiera Podręcznik administracji NetIQ eDirectory.
Pokaż role w posiadanych kolekcjach: Po zaznaczeniu tej opcji właściciele kolekcji będą widzieć wszystkie role i zadania bez względu na to, czy są ich członkami czy nie. Usunięcie zaznaczenia tej opcji spowoduje, że właściciele będą widzieć tylko role przypisane do siebie.
Domena wykrywania ról: Umożliwia wskazanie, gdzie w drzewie program iManager ma szukać ról przypisanych do członka.
Nadrzędny: program iManager będzie szukać grup dynamicznych w górę drzewa, do poziomu kontenera nadrzędnego.
Partycja: program iManager będzie szukać grup dynamicznych w górę drzewa, do poziomu pierwszej partycji eDirectory.
Katalog główny: program iManager będzie szukać grup dynamicznych w całym drzewie.
Domena wykrywania grup dynamicznych: Umożliwia wskazanie, gdzie w drzewie program iManager ma szukać członkostwa w grupie dynamicznej. W znalezionych grupach dynamicznych jest wówczas sprawdzane członkostwo w rolach.
Nadrzędny: program iManager będzie szukać ról w kontenerze nadrzędnym użytkownika.
Partycja: program iManager będzie szukać ról w górę drzewa, do poziomu pierwszej partycji eDirectory.
Katalog główny: program iManager będzie szukać ról w całym drzewie.
Typ wyszukiwania grup dynamicznych: Umożliwia wybranie typu grup dynamicznych, w których ma być wyszukiwane członkostwo w roli.
Tylko grupy dynamiczne: Wyszukiwanie obiektów o typie klasy Grupa dynamiczna.
Obiekty grup dynamicznych i klasy pomocnicze: Wyszukiwanie obiektów o typie klasy Grupa dynamiczna oraz obiektów rozszerzonych przy użyciu klasy Pomocnicza grupa dynamiczna. Dotyczy to obiektów grup, które zostały później przekształcone w grupy dynamiczne.
Lista drzew RBS: Ustawienie przyjmujące automatycznie wartość nazwy drzewa eDirectory podczas uwierzytelniania właściciela kolekcji lub członka roli. Jeżeli usługi RBS zostaną usunięte z drzewa eDirectory, w celu przywrócenia trybu nieprzypisanego dostępu należy usunąć z listy nazwę tego drzewa.
Karta Pobieranie dodatków typu plug-in umożliwia konfigurowanie następujących ustawień:
Wykonaj zapytanie w witrynie pobierania, aby wyszukać nowe moduły dodatków typu plug-in firmy NetIQ (NPM). Wskazuje, że serwer programu iManager ma wykonywać zapytanie w witrynie pobierania firmy NetIQ w celu wyszukania nowych modułów dodatków typu plug-in (NPM).
Dwa przyciski radiowe umożliwiają skonfigurowanie zapytania dla każdego dostępnego modułu NPM lub tylko dla aktualizacji już zainstalowanych modułów NPM.
Pobieranie modułów dodatków typu plug-in z witryny niestandardowej. Aby pobierać moduły dodatków typu plug-in z witryny niestandardowej, należy podać adres URL tej witryny w polu Adres URL pobierania na stronie Pobieranie dodatków typu plug-in.
Pobieranie modułów dodatków typu plug-in przez serwer proxy. Jeśli serwery programu iManager są uruchomione na serwerze proxy zapory sieciowej, klient ma dostęp do Internetu za pośrednictwem serwera proxy. Obsługiwany jest tylko serwer proxy HTTP. To jest protokół HTTP serwera proxy sieci Web. Aby pobrać dodatki typu plug-in, użytkownik musi wykonać następujące czynności na stronie Pobieranie dodatków typu plug-in:
Zaznacz opcję Włącz serwer proxy.
Wypełnij następujące pola:
Host serwera proxy — w tym polu należy podać adres IP hosta serwera proxy.
Port serwera proxy — w tym polu należy podać numer portu serwera proxy.
Nazwa użytkownika — w tym polu należy podać nazwę użytkownika.
Hasło — w tym polu należy podać hasło.
Wprowadź hasło ponownie — w tym polu należy podać to samo hasło, które podano w polu Hasło.
WAŻNE:Dodatki typu plug-in programu iManager nie są zgodne z poprzednimi wersjami programu iManager. Ponadto wszelkie niestandardowe dodatki typu plug-in, które mają zostać użyte w programie iManager , muszą zostać skompilowane ponownie w środowisku programu iManager
Karta Inne umożliwia konfigurowanie następujących ustawień:
Włącz [to]: Tę opcję można zignorować. Opcja Włącz [to] została dodana do programu iManager w celu umożliwienia zespołom wewnętrznym modyfikacji ich własnych obiektów. Wartość [to] jest atrybutem drzewa, który włącza określone funkcje samodzielnego zarządzania. Włączenie argumentu [to] wymaga, aby wszystkie serwery usługi eDirectory w drzewie miały wersję 8.6.2 lub wyższą.
Adres URL usługi eGuide: Określa adres URL serwera eGuide. Jest on używany w przycisku uruchamiania usługi eGuide znajdującym się w nagłówku oraz w zadaniach związanych z zarządzaniem rolami i zadaniami tej usługi. Musi to być pełny adres URL (na przykład https://moja.nazwa.dns/eGuide/servlet/eGuide) lub słowo kluczowe EMFRAME_SERVER. W przypadku użycia słowa kluczowego EMFRAME_SERVER usługa eMFrame szuka oprogramowania eGuide na serwerze, na którym sama się znajduje.
Więcej informacji na temat usługi eGuide można uzyskać w witrynie sieci Web firmy Novell zawierającej dokumentację tego oprogramowania.
Aby wybrać poziom szyfru na podstawie wymagań dotyczących zabezpieczeń, należy użyć karty Certyfikat. Program iManager udostępnia następujące certyfikaty:
RSA: Certyfikat używa pary 2048-bitowych kluczy RSA. Program iManager udostępnia następujące poziomy szyfrowania dla algorytmu RSA:
BRAK — zezwala na dowolny typ szyfru.
NISKIE — zezwala na szyfr 56- lub 64-bitowy.
ŚREDNIE — zezwala na szyfr 128-bitowy.
WYSOKIE — zezwala na szyfry większe niż 128-bitowe.
ECDSA 256: Certyfikat używa pary kluczy ECDSA z krzywą secp256r1. Program iManager zezwala na tylko jeden poziom szyfrowania w przypadku algorytmu ECDSA 256:
TYLKO SUITEB 128 — zezwala na dowolny typ szyfru.
ECDSA 384: Certyfikat używa pary kluczy ECDSA z krzywą secp384r1.
SUITEB 128 — zezwala na dowolny typ szyfru.
SUITEB 192 — zezwala na szyfr 56- lub 64-bitowy.
Domyślnie jest wybrany algorytm RSA, a poziom szyfrowania jest ustawiony na BRAK. W przypadku certyfikatów ECDSA program iManager zezwala tylko na szyfrowanie Suite B. Po zmianie certyfikatu należy uruchomić ponownie serwer Tomcat, aby zmiana odniosła efekt.
WAŻNE:Domyślnie przeglądarka Firefox nie zezwala na poziom szyfrowania NISKIE.
Aby włączyć algorytmy o poziomie szyfrowania NISKIE w przeglądarce Firefox:
Otwórz przeglądarkę Firefox, wpisz about:config na pasku lokalizacji, a następnie naciśnij klawisz Enter.
(Warunkowo) W przypadku pojawienia się ostrzeżenia kliknij przycisk Zachowam ostrożność, obiecuję!, aby przejść na stronę about:config.
Na stronie about:config na liście Nazwa kliknij dwukrotnie preferencję security.ssl3.rsa_rc4_128_md5, aby zmienić wartość na True.
Spowoduje to włączenie algorytmów o poziomie szyfrowania NISKIE w przeglądarce Firefox.
Karta Certyfikat celowo nie jest dostępna na serwerze OES. Poziomy szyfrowania należy zmieniać ręcznie w pliku vhost-ssl.conf.
Otwórz plik /etc/apache2/vhosts.d/vhost-ssl.conf i zmodyfikuj parametr SSLCipherSuite odpowiednio do obsługiwanego poziomu szyfrowania.
Aby na przykład skonfigurować poziom szyfrowania WYSOKIE, należy zmodyfikować parametr SSLCipherSuite w następujący sposób:
<VirtualHost _default_:443>
--------------
----------------
SSLCipherSuite ALL:ADH:EXPORT56:RC4+RSA:+HIGH:!MEDIUM:!LOW:+SSLv2:+EXP:+eNULL
-------------
---------------
<VirtualHost>
Do modyfikowania poziomów szyfrowania można używać następujących prefiksów:
+ : dodaje szyfry do listy szyfrów i umieszcza je w bieżącym położeniu na liście.
- : usuwa szyfr z listy (z możliwością dodania go później).
! : całkowicie eliminuje szyfr z listy (bez możliwości dodania go później).
Więcej informacji można uzyskać w dokumentacji modułu serwera Apache mod_ssl.