1.1 Docker 安裝的系統要求和先決條件

1.1.1 系統要求

因為 OpenText Identity Console 可以 Docker 容器形式執行，如需安裝 OpenText Identity Console 的系統要求和支援平台的詳細資訊，請參閱 Docker 文件。

1.1.2 先決條件

安裝 Docker 20.10.9-ce 或更新版本。如需根據您的平台如何安裝 Docker 的詳細資訊，請參閱 Docker 安裝。
您必須取得 pkcs12 伺服器證書，並且有私密金鑰以加密/解密 OpenText Identity Console 伺服器和後端伺服器之間交換的資料。此伺服器證書是用來保護 HTTP 連線。您可以使用由任何外部 CA 產生的伺服器證書。如需詳細資訊，請參閱建立伺服器證書物件。伺服器證書應該包含「標題備用名稱」和 OpenText Identity Console 伺服器的 IP 位址和 DNS。一旦建立伺服器證書物件，您必須以 .pfx 格式將其輸出。
您必須取得所有樹狀結構 .pem 格式的 CA 證書，才能驗證在先前步驟中取得的伺服器證書的 CA 簽名。這個根 CA 證書也能確保在用戶端與 OpenText Identity Console 伺服器之間建立安全的 ldap 通訊。例如，您可以從 /var/opt/novell/eDirectory/data/SSCert.pem 取得 OpenText eDirectory CA 證書 (SSCert.pem)。
(選用) 使用單一 SSO 提供者 (OSP)，您可以為使用者啟用 OpenText Identity Console 入口網站的單一登入驗證。在安裝 OpenText Identity Console 之前，您必須安裝 OSP。若要設定 OSP for OpenText Identity Console，請遵循畫面上的提示，並提供組態參數的必要值。若要向現有的 OSP 伺服器註冊 OpenText Identity Console，您必須將以下內容手動新增至 /opt/netiq/idm/apps/tomcat/conf/ 資料夾的 ism-configuration.properties 檔案中：
```
com.netiq.edirapi.clientID = identityconsole
com.netiq.edirapi.redirect.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/authcoderedirect
com.netiq.edirapi.logout.url = https://<Identity Console Server IP>:<Identity Console Listener Port>/eDirAPI/v1/<eDirectory Tree Name>/logoutredirect
com.netiq.edirapi.logout.return-param-name = logoutURL
com.netiq.edirapi.response-types = code,token
com.netiq.edirapi.clientPass._attr_obscurity = NONE
com.netiq.edirapi.clientPass = novell
```
附註：
- 透過 OSP，您僅可連線至單一 OpenText eDirectory 樹狀結構，因為 OSP 不支援多個 OpenText eDirectory 樹狀結構。
- OpenText Identity Console 不支援協力廠商 OSP。
- 在 NAM 整合環境中，目前不支援使用 OSP 的 OpenText Identity Console。
確定 /etc/hosts 中，有適用於主機機器且具有完全合格的主機名稱的適當 DNS 項目。
如果想要在 Edge 瀏覽器中使用 OpenText Identity Console，您必須下載最新版本的 Microsoft Edge 才能取得完整功能。

附註：在 Mozilla Firefox 中使用 OpenText Identity Console 時，操作可能會失敗，並且有「來源不相符」錯誤訊息。若要進行疑難排解，請執行下列步驟：

將 Firefox 更新為最新版本。
在 [Firefox URL] 欄中指定 about:config，然後按下 Enter。
搜尋 Origin。
連按兩下 network.http.SendOriginHeader，然後將其值變更為 1。

1.1.3 設定環境

您可能需要建立包含特定參數的組態檔案。如果您想使用 OSP 設定 OpenText Identity Console，則必須在組態檔案中指定 OSP 特定參數。例如，使用 OSP 參數建立下列 edirapi.conf 檔案：

附註：您必須在 osp-redirect-url 欄位中提供您的 OpenText eDirectory 網路樹名稱。

listen = ":9000"
ldapserver = "192.168.1.1:636"
ldapuser = "cn=admin,ou=sa,o=system"
ldappassword = "novell"
pfxpassword = "novell"
ospmode = "true"
osp-token-endpoint = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/getattributes"
osp-authorize-url = "https://10.10.10.10:8543/osp/a/idm/auth/oauth2/grant"
osp-logout-url = "https://10.10.10.10:8543/osp/a/idm/auth/app/logout"
osp-redirect-url = "https://10.10.10.10:9000/eDirAPI/v1/edirtree/authcoderedirect"
osp-client-id = "identityconsole"
ospclientpass = "novell"
ospcert = "/etc/opt/novell/eDirAPI/cert/SSCert.pem"
bcert = "/etc/opt/novell/eDirAPI/cert/"
loglevel = "error"
check-origin = "true"
origin = "https://10.10.10.10:9000,https://192.168.1.1:8543"

如果您想要在未使用 OSP 的情況下設定 OpenText Identity Console，請如下所示建立組態檔案，而不使用 OSP 參數：

[OpenText Identity Console 1.9]

listen = ":9000"
pfxpassword = "novell"
ospmode = "false"
bcert = "/etc/opt/novell/eDirAPI/cert/"
auto-fetch = false

附註：

請將 edir-hosts 參數從組態檔案中移除，並新增 auto-fetch 參數。
如果 auto-fetch = false，您必須手動將 CA 證書複製到 cert 資料夾。

[OpenText Identity Console 1.8 及更舊版本]

listen = ":9000"
pfxpassword = "novell"
ospmode = "false"
bcert = "/etc/opt/novell/eDirAPI/cert/"
edir-hosts = "<ip_address-1>:636,<ip_address-2>:636"

附註：要使用多個 OpenText eDirectory 樹狀結構來設定 OpenText Identity Console 時，您可以跳過「ldapserver」、「ldapuser」和「ldappassword」參數並建立組態檔案。

表 1-1 組態檔案中組態參數的描述

組態參數	描述
listen	指定 9000 作為 OpenText Identity Console 伺服器在容器內的監聽埠。
ldapserver	指定 OpenText eDirectory 主機伺服器 IP 和連接埠編號。
ldapuser	指定 OpenText eDirectory 使用者的使用者名稱。此參數是作為身分證明使用，以在 OSP 登入時，使用已代理授權控制來初始化對 OpenText eDirectory 的 ldap 呼叫。Ldap 使用者必須有 OpenText eDirectory 樹狀結構的監督者權限。
ldappassword	指定 LDAP 使用者的密碼。
pfxpassword	指定 pkcs12 伺服器證書檔案的密碼。
ospmode	指定 true 以整合 OSP 與 OpenText Identity Console。如果您將此設定為 false，則 OpenText Identity Console 會使用 ldap 登入。
osp-token-endpoint	此 URL 用來從 OSP 伺服器提取特定屬性，以驗證驗證記號的有效性.
osp-authorize-url	使用者使用此 URL 來提供身分證明以取得驗證記號.
osp-logout-url	使用此 URL 來終止使用者與 OSP 伺服器之間的工作階段.
osp-redirect-url	在授與驗證記號之後，OSP 伺服器會將使用者重新導向至此 URL. 附註：在設定 OpenText Identity Console 時，請確保指定小寫的 OpenText eDirectory 樹狀結構名稱。如果未指定小寫的樹狀結構名稱，則登入 OpenText Identity Console 伺服器可能會失敗。
osp-client-id	指定向 OSP 登錄 OpenText Identity Console 時所提供的 OSP 用戶端 ID。
ospclientpass	指定向 OSP 登錄 OpenText Identity Console 時所提供的 OSP 用戶端密碼。
ospcert	指定 OSP 伺服器其 CA 證書的位置.
bcert	指定 OpenText Identity Console 的 CA 證書位置。
loglevel	指定您要包含在記錄檔案中的層級。此參數可以設為「嚴重」、「錯誤」、「警告」、「資訊」。
check-origin	如果將此設定為 true，則 OpenText Identity Console 伺服器會比較要求的原始值。可用選項為 true 或 false。即使在使用 DNS 組態時將 check-origin 參數值設為 false，origin 參數仍為必要。
origin	OpenText Identity Console 會比較要求的原始值與此欄位中指定的值。附註：自 OpenText Identity Console 1.4 版起，此參數與 check-origin 參數無關，但如果使用 DNS 組態，則此參數為必要。
maxclients	同時可存取 IDConsole 用戶端的上限。超出此限制的任何其他客戶必須在佇列中等候。
自動擷取	從 OpenText Identity Console 1.9 版起，您可以選擇自動擷取 CA 證書。
edir-hosts(1.8 及較舊版本)	edir-host 是一項參數，包含您想透過 OpenText Identity Console 連接的 OpenText eDirectory IP 位址。

附註：

只有在您計畫將 OSP 和 OpenText Identity Console 整合時，才能使用 ospmode 組態參數。
如果 Identity Applications (Identity Apps) 已在 OpenText Identity Manager 設定的叢集模式中設定，您必須在組態檔案的 osp-token-endpoint、osp-authorize-url 和 osp-logout-url 欄位中提供負載平衡器伺服器的 DNS 名稱。如果您在這些欄位中提供 OSP 伺服器詳細資料，則 OpenText Identity Console 登入將會失敗。
如果 OpenText Identity Console 使用與 Identity Apps 和 OpenText Identity Reporting 相同的 OSP 例項進行設定，則單一登入 (驗證服務) 會在您登入 OpenText Identity Console 入口網站時生效。
OSP HTTPS URL 應使用包含 OpenText Identity Console 1.4 或更新版本的 2048 位元 (或更高位元) 金鑰的證書進行驗證。
如果您想要限制從不同網域對於 OpenText Identity Console 入口網站的存取權，請將 samesitecookie 參數設定為嚴格。如果您想允許從不同網域存取 OpenText Identity Console 入口網站，請將 samesitecookie 參數設定為鬆散。如果在設定過程中未指定參數，則預設情況下將遵循瀏覽器設定。

準備好組態檔案之後，請繼續部署容器。如需詳細資訊，請參閱將 OpenText Identity Console 安裝為 Docker 容器。