27.2 配置 Identity Applications 服务器

您必须将 Identity Applications 服务器配置为使用您在 Active Directory 中创建的 Kerberos Keytab 文件和用户帐户。在继续操作之前，请确保已完成部分 27.1, 在 Active Directory 中配置 Kerberos 用户帐户中的步骤。

注：对于域或领域参照，请使用大写格式。例如 @MYCOMPANY.COM。

要定义 Kerberos 配置的操作系统设置，请完成以下步骤：

在托管 Identity Applications 的服务器上的文本编辑器中打开 C:\Windows\krb5.ini 中的 krb5 文件。

在 krb5 文件中添加以下信息：

[libdefaults]
    default_realm = WINDOWS-DOMAIN
    kdc_timesync = 0
    forwardable = true
    proxiable = false
[realms]
    WINDOWS-DOMAIN = {
         kdc = FQDN Active Directory Server
         admin_server = FQDN Active  Directory Server
    }
[domain_realm]
    .your.domain = WINDOWS-DOMAIN
    your.domain = WINDOWS-DOMAIN

例如：

[libdefaults]
    default_realm = MYCOMPANY.COM
    kdc_timesync = 0
    forwardable = true
    proxiable = false
[realms]
    MYCOMPANY.COM = {
         kdc = myadserver.mycompany.com
         admin_server = myadserver.mycompany.com
    }
[domain_realm]
    .mycompany.com = MYCOMPANY.COM
    mycompany.com = MYCOMPANY.COM

保存更改并关闭 krb5 文件。

（视情况而定）要定义 Tomcat 的 Kerberos 配置信息，请完成以下步骤：
1. 在 Tomcat 应用程序服务器上，创建包含以下内容的示例 Kerberos_login.config 文件：
  
  注：novlua 用户需要相应的许可权限才能创建 Kerberos_login.config 文件。
```
com.sun.security.jgss.krb5.accept {
		    com.sun.security.auth.module.Krb5LoginModule required
    debug="true"
		    refreshKrb5Config="true"
    useTicketCache="true"       ticketCache="c:\NetIQ\idm\apps\tomcat\kerberos\spnegoTicket.cache"
    doNotPrompt="true"
        principal="HTTP/DNS_Identity_Applications_server@WINDOWS-DOMAIN
"
    useKeyTab="true"
        keyTab="/absolute_path/filename.keytab"
    storeKey="true";
    };
```
  Windows 服务器上的示例如下所示：
```
keyTab="c:\\NetIQ\\idm\\apps\\tomcat\kerberos\\rbpm.keytab"
```
2. 在该文件中为 principal 和 keyTab 指定值。例如：
```
principal="HTTP/rbpm.mycompany.com@MYCOMPANY.COM"
keyTab="/home/usr/rbpm.keytab"
```
  - principal 的值必须与您为 Kerberos 指定的值相匹配。有关详细信息，请参见步骤 3。
  - 提供 Identity Applications 服务器上 keytab 文件的绝对路径。该文件不一定位于 Identity Applications 的默认目录中。
3. 使用以下命令行在 JVM java.security 文件中参照 Kerberos_login.config 文件：
```
login.config.url.1=file:c:\NetIQ\idm\apps\tomcat\kerberos\Kerberos_login.config
```
要在 RBPM 配置实用程序中指定鉴定方法，请完成以下步骤：
1. 打开 Configupdate 实用程序。
2. 单击鉴定选项卡。
3. 向下滚动到鉴定方法部分。
4. 在方法字段中，选择 Kerberos。
5. 在映射属性名称字段中，指定 cn。
注：有关 RBPM 配置实用程序的详细信息，请参见部分 15.8, 配置 Identity Applications 的设置。
（可选）如果您已将报告组件安装在单独的服务器上，请对 Identity Reporting 重复这些步骤。
配置最终用户用于访问 Identity Applications 的浏览器。有关详细信息，请参见部分 27.3, 将最终用户浏览器配置为使用集成 Windows 鉴定。