1.1 Требования к системе и предварительные условия для установки Docker

1.1.1 Требования к системе

Поскольку OpenText Identity Console может выполняться как контейнер Docker, дополнительную информацию о требованиях к системе и поддерживаемых платформах для установки OpenText Identity Console см. в документации к Docker.

1.1.2 Необходимые условия

  • Установите Docker 20.10.9-ce или более поздней версии. Дополнительную информацию об установке Docker в зависимости от платформы см. в документе Установка Docker.

  • Необходимо получить сертификат сервера в формате pkcs12 с закрытым ключом для шифрования/дешифрования обмена данными между сервером OpenText Identity Console и внутренним сервером. Этот сертификат сервера используется для защиты подключения HTTP. Можно использовать сертификаты сервера, сгенерированные любой внешней сертифицирующей организацией. Дополнительные сведения см. в разделе Создание объекта "Сертификат" сервера. Сертификат сервера должен содержать альтернативное имя субъекта с IP-адресом и именем DNS-сервера OpenText Identity Console. После создания объекта "Сертификат' сервера необходимо экспортировать его в формат .pfx.

  • Чтобы проверить подпись сертифицирующей организации для сертификатов сервера, полученных в предыдущем действии, необходимо получить сертификат сертифицирующей организации в формате .pem для всех деревьев. Этот корневой сертификат сертифицирующей организации (CA) также обеспечивает установку защищенного обмена данными ldap между клиентом и сервером OpenText Identity Console. Например, можно получить сертификат сертифицирующей организации (CA) (SSCert.pem) в расположении /var/opt/novell/eDirectory/data/SSCert.pem.

  • (Необязательно) Используя One SSO Provider (OSP), можно включить аутентификацию с использованием единого входа для пользователей портала OpenText Identity Console. Перед установкой OpenText Identity Console необходимо установить OSP. Чтобы настроить OSP для OpenText Identity Console, выполняйте требования запросов на экране и укажите требуемые значения для параметров конфигурации. Чтобы зарегистрировать OpenText Identity Console на имеющемся сервере OSP, необходимо вручную добавить указанные ниже строки в файл ism-configuration.properties в папке /opt/netiq/idm/apps/tomcat/conf/:

    com.netiq.edirapi.clientID = identityconsole
com.netiq.edirapi.redirect.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/authcoderedirect
com.netiq.edirapi.logout.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/logoutredirect
com.netiq.edirapi.logout.return-param-name = logoutURL
com.netiq.edirapi.response-types = code,token
com.netiq.edirapi.clientPass._attr_obscurity = NONE
com.netiq.edirapi.clientPass = novell

    ПРИМЕЧАНИЕ.

    • Если используется OSP, можно подключить только одно дерево OpenText eDirectory, поскольку OSP не поддерживает несколько деревьев OpenText eDirectory.

    • Сторонняя OSP не поддерживается в OpenText Identity Console.

    • В интегрированной среде NAM консоль OpenText Identity Console с OSP в настоящее время не поддерживается.

  • Для хост-компьютера в файле /etc/hosts должно быть указано правильное полное доменное имя хоста.

  • Чтобы использовать OpenText Identity Console в веб-браузере Edge, необходимо скачать новейшую версию Microsoft Edge для обеспечения полной функциональности.

ПРИМЕЧАНИЕ.Если OpenText Identity Console используется в Mozilla Firefox, операция может завершиться сбоем с возвратом ошибки Несоответствие источника. Выполните следующие действия по поиску и устранению проблем:

  1. Обновите Firefox до последней версии.

  2. Укажите about:config в поле "URL-адрес Firefox" и нажмите клавишу Enter.

  3. Выполните поиск по критерию "Origin".

  4. Дважды щелкните network.http.SendOriginHeader и измените его значение на 1.

1.1.3 Настройка среды

Возможно, необходимо создать конфигурационный файл с определенными параметрами. Чтобы настроить OpenText Identity Console с OSP, необходимо указать параметры OSP в конфигурационном файле. Например, создайте указанный ниже файл edirapi.conf с параметрами OSP:

ПРИМЕЧАНИЕ.Необходимо указать имя своего дерева OpenText eDirectory в поле osp-redirect-url.

listen = ":9000"
ldapserver = "192.168.1.1:636"
ldapuser = "cn=admin,ou=sa,o=system"
ldappassword = "novell"
pfxpassword = "novell"
ospmode = "true"
osp-token-endpoint = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/getattributes"
osp-authorize-url = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/grant"
osp-logout-url = "https://10.10.10.10:8543/osp/a/idm/auth/app/logout"
osp-redirect-url = "https://10.10.10.10:9000/eDirAPI/v1/edirtree/authcoderedirect"
osp-client-id = "identityconsole"
ospclientpass = "novell"
ospcert = "/etc/opt/novell/eDirAPI/cert/SSCert.pem"
bcert = "/etc/opt/novell/eDirAPI/cert/"
loglevel = "error"
check-origin = "true"
origin = "https://10.10.10.10:9000,https://192.168.1.1:8543"

Если нужно настроить OpenText Identity Console без OSP, создайте конфигурационный файл без параметров OSP, как показано ниже:

[OpenText Identity Console 1.9]

listen = ":9000"
pfxpassword = "novell"
ospmode = "false"
bcert = "/etc/opt/novell/eDirAPI/cert/"
auto-fetch = false

ПРИМЕЧАНИЕ.

  • Удалите параметр edir-hosts из файла конфигурации и добавьте параметр auto-fetch.

  • Если auto-fetch = false, необходимо вручную скопировать сертификат сертифицирующей организации (CA) в папку cert.

[OpenText Identity Console 1.8 и более ранние версии]

listen = ":9000"
pfxpassword = "novell"
ospmode = "false"
bcert = "/etc/opt/novell/eDirAPI/cert/"
edir-hosts = "<ip_address-1>:636,<ip_address-2>:636"

ПРИМЕЧАНИЕ.При настройке OpenText Identity Console с несколькими деревьями OpenText eDirectory можно пропустить параметры ldapserver, ldapuser и ldappassword и создать файл конфигурации.

Таблица 1-1 Описание параметров конфигурации в конфигурационном файле

Параметры конфигурации

Описание

listen

Для порта сервера OpenText Identity Console в контейнере укажите 9000.

ldapserver

Укажите IP-адрес и номер порта хост-сервера OpenText eDirectory.

ldapuser

Укажите имя пользователя OpenText eDirectory. Этот параметр используется как учетные данные для инициирования вызовов LDAP к OpenText eDirectory с использованием элемента управления авторизацией через прокси при входе OSP. Пользователь LDAP должен иметь права супервизора в отношении дерева OpenText eDirectory.

ldappassword

Укажите пароль пользователя LDAP.

pfxpassword

Укажите пароль файла сертификата сервера pkcs12.

ospmode

Укажите true, чтобы интегрировать OSP с OpenText Identity Console. Если задать значение false, OpenText Identity Console будет использовать вход LDAP.

osp-token-endpoint

Этот URL-адрес используется для получения определенных атрибутов с сервера OSP для проверки действительности маркера аутентификации.

osp-authorize-url

По этому URL-адресу пользователь указывает учетные данные для получения маркера аутентификации.

osp-logout-url

Этот URL-адрес используется для прерывания сеанса между пользователем и сервером OSP.

osp-redirect-url

Сервер OSP после предоставления маркера аутентификации перенаправляет пользователя по этому URL-адресу.

ПРИМЕЧАНИЕ.При настройке OpenText Identity Console имя дерева OpenText eDirectory должно быть указано строчными буквами. В противном случае вход на сервер OpenText Identity Console может завершиться сбоем.

osp-client-id

Укажите ИД клиента OSP, который был указан при регистрации OpenText Identity Console в OSP.

ospclientpass

Укажите пароль клиента OSP, который был указан при регистрации OpenText Identity Console в OSP.

ospcert

Укажите расположение сертификата сертифицирующей организации (CA) сервера OSP.

bcert

Укажите расположение сертификата сертифицирующей организации (CA) OpenText Identity Console.

loglevel

Укажите уровни протоколирования, которые необходимо включить в файл журнала. Для этого параметра можно задать значения fatal (неустранимая ошибка), error (ошибка), warn (предупреждение) или info (информация).

check-origin

Если для этого параметра задано значение true, сервер OpenText Identity Console сравнивает исходное значение запросов. Доступные значения: true или false. Параметр origin является обязательным, даже если для параметра check-origin задано значение false при использовании конфигурации DNS.

origin

OpenText Identity Console сравнивает исходное значение запросов со значениями, указанными в этом поле.

ПРИМЕЧАНИЕ.В OpenText Identity Console 1.4 и более поздних версий этот параметр не зависит от параметра check-origin и является обязательным (если используется конфигурация DNS).

maxclients

Максимальное количество клиентов, которые могут одновременно получить доступ к IDConsole. Любые дополнительные клиенты сверх этого лимита должны ждать в очереди.

автоматическая выборка

В консоли OpenText Identity Console 1.9 и более поздних версий можно выбрать автоматическую выборку сертификата сертифицирующей организации (CA).

edir-hosts (1.8 и более ранних версий)

Edr-host — это параметр, который содержит IP-адреса OpenText eDirectory, которые необходимо подключить через OpenText Identity Console.

ПРИМЕЧАНИЕ.

  • Используйте параметр конфигурации ospmode, только если планируете интегрировать OSP с OpenText Identity Console.

  • Если набор Identity Applications (Identity Apps) настроен в режиме кластера в установке OpenText Identity Manager, необходимо указать имя DNS для сервера балансировщика нагрузки в полях osp-token-endpoint, osp-authorize-url и osp-logout-url конфигурационного файла. В этом случае, если в этих полях указать данные сервера OSP, вход в OpenText Identity Console завершится сбоем.

  • Если OpenText Identity Console настроена с тем же самым экземпляром OSP, что и Identity Apps и OpenText Identity Reporting, то при входе на портал OpenText Identity Console будет вызвана Single Sign-On (служба аутентификации).

  • URL-адрес HTTPS для OSP должен быть заверен сертификатами с ключом длиной не менее 2048 бит в OpenText Identity Console 1.4 и более поздних версий.

  • Чтобы ограничить доступ к порталу OpenText Identity Console с различных доменов, задайте параметру samesitecookie значение strict. Чтобы разрешить доступ к порталу OpenText Identity Console с различных доменов, задайте параметру samesitecookie значение lax. Если при настройке данный параметр не был указан, по умолчанию будут использоваться настройки браузера.

По окончании настройки конфигурационного файла продолжите развертывать контейнер. Дополнительные сведения см. в разделе Установка OpenText Identity Console в качестве контейнера Docker.