Kwestie związane z uwierzytelnianiem są złożone, a na możliwość pomyślnego wykonania pierwszego logowania do programu iManager może wpływać istniejąca infrastruktura sieciowa. Następujące informacje mogą pomóc zminimalizować trudności związane z uwierzytelnianiem. Więcej informacji dotyczących uwierzytelniania można znaleźć w dokumentacji usługi NetIQ Modular Authentication Service (NMAS) i dokumentacji usługi NetIQ eDirectory.
Uwierzytelnianie w programie iManager jest operacją zależną od platformy, co oznacza, że działa ono odmiennie w zależności od platformy, na jakiej jest uruchomiony program iManager.
Serwery Linux i Windows: Gdy program iManager jest uruchomiony na serwerze Linux lub Windows, korzysta ze starszego mechanizmu uwierzytelniania usługi eDirectory oraz zwykłego hasła usługi eDirectory. Ten mechanizm obsługuje opcję hasła uniwersalnego usługi eDirectory, ale nie obsługuje opcji hasła prostego.
Program iManager Workstation: Program iManager Workstation jest uruchamiany na stacji roboczej klienta (z systemem Linux lub Windows) i korzysta z klienta usług NMAS, który umożliwia mu używanie hasła uniwersalnego (jeśli zostało skonfigurowane).
Program iManager nie używa protokołu LDAP podczas procesu uwierzytelniania wstępnego w programie iManager. Korzysta on z zastrzeżonego protokołu uwierzytelniania usługi eDirectory. Jednak po uwierzytelnieniu wstępnym program iManager może tworzyć połączenia LDAP z usługą eDirectory, potrzebne do obsługi dostępu do katalogu przez zainstalowane dodatki typu plug-in, które wymagają dostępu LDAP.
Program iManager nie obsługuje uwierzytelniania za pomocą hasła prostego usługi eDirectory.
Podczas uwierzytelniania w programie iManager można napotkać następujące komunikaty o błędach. W częściach dotyczących poszczególnych komunikatów omówiono możliwe przyczyny.
Jeśli podczas pierwszej próby uzyskania dostępu do programu iManager wystąpi błąd 404, należy sprawdzić porty, na których działa serwer Apache. Lokalizacje plików konfiguracji będą się różniły w zależności od sposobu zainstalowania programu iManager oraz tego, jaki serwer został wybrany do użycia — Apache czy IIS. Serwer Apache używa pliku httpd.conf lub ssl.conf. Informacje na temat ustawień portu serwera IIS można znaleźć w dokumentacji firmy Microsoft.
Jeśli zostanie wyświetlony błąd wewnętrzny serwera lub błąd kontenera serwletu (o niedostępności lub trwającym uaktualnianiu), oznacza to, że w programie iManager wystąpił jeden z dwóch następujących problemów z serwletem Tomcat:
Serwer Tomcat nie został w pełni zainicjowany po ponownym uruchomieniu.
Uruchomienie serwera Tomcat nie powiodło się.
Odczekaj kilka minut i spróbuj ponownie uzyskać dostęp do programu iManager. Jeśli te komunikaty o błędach będą nadal wyświetlane, należy zweryfikować stan serwera Tomcat.
Uruchom ponownie serwer Tomcat.
Informacje o ponownym uruchamianiu serwera Tomcat można znaleźć w części Uruchamianie i zatrzymywanie serwera Tomcat.
Sprawdź, czy w dziennikach serwletu Tomcat zostały zapisane jakieś błędy.
Plik dziennika znajduje się w katalogu $tomcat_home$/logs na platformach UNIX, Linux i Windows. W systemach UNIX i Linux pliki dziennika noszą nazwę catalina.out lub localhost_log.data.txt , a w systemie Windows — stderr i stdout.
Wprowadzonej nazwy nie można znaleźć w określonym kontekście.
Oto niektóre możliwe przyczyny:
Logowanie bezkontekstowe może być wyłączone.
Lista kontenerów wyszukiwania może nie zawierać Twojego obiektu użytkownika. Poproś administratora o dodanie Twojej lokalizacji użytkownika do kontenerów wyszukiwania logowania bezkontekstowego albo zaloguj się z pełnym kontekstem.
Hasło NDS zostało wyłączone w założeniach hasła uniwersalnego. Może się to też objawiać komunikatem o błędzie 622.
Błędu tego można uniknąć za pomocą programu iManager Workstation, instalując klienta usług , który umożliwia programowi iManager używanie mechanizmu uwierzytelniania z hasłem uniwersalnym zamiast starszego procesu uwierzytelniania usługi eDirectory.
Ten błąd to awaria systemu, która może mieć kilka możliwych przyczyn.
Na serwerze docelowym nie ma kopii tego, czego żąda serwer źródłowy, albo na serwerze źródłowym nie ma obiektów zgodnych z żądaniem ani odwołań, przy użyciu których można by szukać obiektu.
Oto niektóre możliwe przyczyny:
Wprowadzono niepoprawne drzewo lub niepoprawny adres IP. Jeśli używany jest adres IP, należy pamiętać o uwzględnieniu portu, gdy usługa eDirectory jest zainstalowana na porcie niestandardowym (innym niż 524).
Program iManager nie może znaleźć drzewa lub adresu IP i dochodzi do przekroczenia limitu czasu. Jeśli użycie nazwy drzewa nie daje efektów, należy użyć adresu IP.
Użyto błędnego hasła, nie powiodło się uwierzytelnienie, jeden serwer próbował się zsynchronizować z innym, ale baza danych serwera docelowego była zablokowana, albo występuje problem ze zdalnym identyfikatorem lub kluczem publicznym.
Oto niektóre możliwe przyczyny:
Wprowadzono nieprawidłowe hasło
W drzewie znajduje się wielu użytkowników o tej nazwie. Logowanie bezkontekstowe polega na logowaniu przy użyciu pierwszego napotkanego konta użytkownika i podanego hasła. W tym przypadku należy podać pełny kontekst podczas logowania albo ograniczyć kontenery wyszukiwane w ramach logowania bezkontekstowego.
Jeśli usługa eDirectory jest zainstalowana i uruchomiona na innym porcie niż domyślny port 524, zalogowanie się przy użyciu adresu IP lub nazwy DNS serwera eDirectory jest możliwe pod warunkiem podania również portu. Przykłady:
Adres IPv4:
https://127.0.0.1/nps/servlet/webacc?taskId=fw.Startup&forceMaster=true
Adres IPv6:
https://[2001:db8::6]:1080/nps/servlet/webacc?taskId=fw.Startup&forceMaster=true
Podczas logowania przy użyciu nazwy drzewa nie trzeba podawać portu.
W polu nazwy drzewa można podać nazwę drzewa, adres IP serwera lub nazwę DNS serwera. Zaleca się używanie adresu IP.
W razie potrzeby program iManager może zalogować się w drzewie eDirectory przy użyciu serwera niezawierającego repliki eDirectory. W tym celu program iManager przechowuje pamięć podręczną połączenia zawierającą informacje potrzebne do pomyślnego zalogowania się. Aby wypełnić pamięć podręczną połączenia, przy pierwszym logowaniu się w drzewie eDirectory za pomocą programu iManager użytkownik musi użyć serwera zawierającego replikę.
Ponowne uruchomienie serwera Tomcat lub serwera programu iManager powoduje wyczyszczenie pamięci podręcznej połączenia, zatem przy pierwszym logowaniu się za pomocą programu iManager po wystąpieniu jednego z tych zdarzeń należy użyć serwera zawierającego replikę.
Istnieją różne przyczyny błędów logowania. Komunikaty o błędach uwierzytelniania zostały opisane w części Problemy związane z uwierzytelnianiem.
Informacje o ograniczaniu liczby komunikatów o błędach wyświetlanych przez program iManager przy niepomyślnej próbie uwierzytelnienia znajdują się w części Zapobieganie wykrywaniu nazwy użytkownika.
Po wygaśnięciu ważności hasła wyświetlany jest odpowiedni komunikat dla użytkownika. Użytkownicy mogą jednak nie być świadomi, że ich logowania dodatkowe mogą zostać szybko wyczerpane w zależności od określonych operacji, takich jak modyfikowanie grup dynamicznych, wyszukiwanie proste, czy też ustawianie prostego hasła.
Operacje te wykorzystują kolejne dodatkowe logowania przy każdym wykonywanym przez użytkownika zadaniu. Zdecydowanie zalecane jest zachęcanie użytkowników do zmiany swoich haseł przy pierwszym otrzymanym przez nich powiadomieniu na ten temat.
Aby włączyć uwierzytelnianie bezkontekstowe przy użyciu alternatywnego typu obiektu, wykonaj następujące czynności:
Otwórz program iManager, a następnie wybierz kolejno Konfiguruj > Serwer programu iManager > Konfiguruj program iManager > Uwierzytelnienie.
Zadanie to jest widoczne tylko dla autoryzowanych użytkowników. Zobacz: Autoryzowani użytkownicy i grupy.
W polach Nazwa użytkownika publicznego i Hasło wprowadź wartości odpowiadające użytkownikowi, który ma prawa do odczytu żądanych atrybutów.
Zmodyfikuj plik <KATALOG_DOMOWY_SERWERA_TOMCAT>\webapps\nps\WEB-INF\config.xml, dołączając właściwość <Setting> zawierającą listę atrybutów, które chcesz dodać do wyszukiwania bezkontekstowego, a następnie ponownie uruchom serwer Tomcat.
Informacje o ponownym uruchamianiu serwera Tomcat można znaleźć w części Uruchamianie i zatrzymywanie serwera Tomcat.
Na przykład następujący plik XML powoduje dodanie obiektów Alias i Użytkownik do wyszukiwania bezkontekstowego:
<setting> <name><![CDATA[Authenticate.Form.ContextlessLoginClass.NDAP.treename]]></name>
<value><![CDATA[User]]></value>
<value><![CDATA[Alias]]></value>
</setting>
Podobnie następujący plik XML umożliwia użytkownikom logowanie się przy użyciu atrybutu CN lub uniqueID:
<setting> <name><![CDATA[Authenticate.Form.ContextlessLoginSearchAttributes.NDAP.treename]]></name>
<value><![CDATA[CN]]></value>
<value><![CDATA[uniqueID]]></value>
</setting>
WAŻNE:
W znajdującym się powyżej kodzie źródłowym zastąp łańcuch treename nazwą odpowiedniego drzewa katalogów (zapisaną małymi literami).
W przypadku zapisania dowolnych ustawień programu iManager Server z poziomu zadania Konfiguruj program iManager po zmodyfikowaniu pliku config.xml upewnij się, że nazwa drzewa jest zapisana małymi literami. W przeciwnym razie niestandardowe logowanie bezkontekstowe nie powiedzie się.