Notes de mise à jour de Sun ONE Identity Server 6.1

Notes de mise à jour de Sun™ ONE Identity Server 6.1

Version 6.1

Référence 817-3782-10

Décembre 2003

Ces notes de mise à jour contiennent des informations importantes connues au moment de la mise sur le marché de la version 6.1 de Sun ONE (Sun™ Open Net Environment ) Identity Server. Vous y trouverez des renseignements sur les nouvelles fonctions, les améliorations, les restrictions et problèmes connus, les notes techniques, etc. Prenez connaissance de ce document avant de commencer à utiliser Identity Server 6.1.

Vous trouverez la dernière version de ces notes de mise à jour sur le site Web de la documentation Sun ONE : http://docs.sun.com/prod/sunone. Consultez ce site Web avant d’installer et de configurer votre logiciel, puis régulièrement pour obtenir les manuels et les notes de mise à jour les plus récents.

Ces notes de mise à jour contiennent les sections suivantes :

Historique des mises à jour

Tableau 1  Historique des mises à jour 

Date

Description des modifications

8 décembre 2003

Première édition de ces notes de mise à jour.

Documentations Identity Server 6.1

Les documentations Identity Server regroupent les ouvrages suivants :

Documentations relatives aux agents de modalité Identity Server

Les agents de modalité Identity Server et le serveur lui-même ne seront pas mis sur le marché simultanément. Par conséquent, les documentations relatives à ces agents est indépendante de la documentation principale consacrée à Identity Server. Ces documentations regroupent les ouvrages suivants :

Nouveautés de la version 6.1 de Identity Server

Les sections suivantes répertorient les nouveautés et les problèmes résolus dans Identity Server 6.1.

Problèmes résolus dans Identity Server 6.1

Vous trouverez ci-dessous une brève description des principaux problèmes résolus depuis la version 6.0 de Identity Server

Tableau 2  Problèmes résolus dans Identity Server 6.1 

Référence

Description

4787204

Le mot de passe est stocké en clair dans Directory Server si l’authentification de base a été utilisée pour la relation de confiance SAML.

4702556

La fonction de recherche a utilisé différents procédés pour les recherches simples et avancées.

4784279

Une erreur a été générée lors de la création d’une modalité standard dans une sous-organisation.

4787748

Impossible de définir des modalités de référence pour les services aux ressources non définies

4786584

Échec de la déconnexion avec plusieurs instances de Identity Server

4816388

Problème avec le port 80 dans le code du module Gestion des fédérations

4825448

Absence d’encodage URL de LRURL dans le service de pré-connexion

4837673

Authentification incapable de créer des utilisateurs avec des attributs issus d’un Directory Server externe

4757643

Les répertoires de débogage des instances supplémentaires de Identity Server doivent être accessibles en lecture/écriture.

4788320

Échec de la connexion en cas de création d’une seconde instance de service avec le protocole SSL

4781602

Échec de l’installation avec Directory Server lorsqu’une modalité de mot de passe est activée

4697120

Le rechargement de la page de temporisation de session authentifie l’utilisateur sur la base d’un nom et d’un mot de passe valides.

4759858

Échec de la connexion utilisateur si le ND devant lancer la recherche utilisateur n’est pas paramétré sur l’objet

4756294

Des répertoires différents doivent être spécifiés en cas de serveurs SafeWord multiples.

4738577

Problème de création de modalités avec l’utilitaire de ligne de commande amadmin

4786292

am2bak ne sauvegarde pas les données de configuration lorsque le Directory Server est en mode SSL.

4786299

Identity Server ne peut pas créer de fichiers journaux/de débogage après une restauration.

Configurations matérielle et logicielle requises

Les configurations matérielle et logicielle suivantes sont requises pour cette version de Identity Server.

Tableau 3  Configurations matérielle et logicielle requises  

Composant

Configuration requise pour Solaris

Système d’exploitation

Solaris 8 ou Solaris 9
(Plates-formes SPARC®)

Sun Solaris 9 pour x86

Unité centrale

Station de travail Sun Ultra™ 1 (ou compatible)

RAM

512 Mo

Espace disque

200 Mo pour Identity Server et ses applications

Nouveautés

Cette section comprend les toutes dernières informations qui n’ont pas pu être incluses dans la documentation de base des produits.

Identity Server Security Service, Sun ONE Certificate Server 4.7 non pris en charge dans la version 6.1

Identity Server 6.0 fournissait une intégration avec Sun ONE Certificate Server 4.7, nommée Identity Server Security Service (ISS). Cette intégration permettait aux utilisateurs authentifiés par Identity Server 6.0 d’afficher sur la page de leur profil un bouton permettant d’obtenir un certificat numérique.

En mars 2003, Sun a annoncé la fin de vie (EOL) de Certificate Server. La fonctionnalité ISS n’est donc plus présente dans Identity Server 6.1 et ne sera plus proposée dans les prochaines versions de ce produit.

Errata et mises à jour de la documentation Identity Server

La section suivante répertorie les informations relatives aux fonctionnalités Identity Server qui ne figuraient pas dans les documentations Identity Server 6.1 d’origine.

Identity Server ne fonctionne pas convenablement dans un environnement à haute disponibilité.

Certaines des valeurs par défaut paramétrées au cours de l’installation peuvent entraîner l’échec de Identity Server dans un environnement à haute disponibilité. Dans un tel environnement, une fois le nud activé, la console Identity Server ne vous autorise pas à vous connecter. La clé de cryptage doit en effet être identique pour les deux instances d’installation de Identity Server.

Identity Server supprime la liaison anonyme lors de l’installation.

Pendant l’installation, Identity Server supprime l’ACI à liaison anonyme permettant d’accéder à un nouveau répertoire d’installation (non prévu). Si des applications ou des exemples reposent sur des liaisons anonymes, ils échoueront. Identity Serveur ne supprime pas l’ACI pour les installations effectuées dans des répertoires existants (prévus).

Les différentes instances de Identity Server ne contiennent pas de maps supplémentaires.

Si vous avez personnalisé les écrans d’authentification et que vous utilisez amserver pour créer de nouvelles instances Identity Server, MAP ne met pas à jour le fichier services.war (fichier We Archive), la nouvelle instance créée ne contient pas de MAP supplémentaires.

Solution

Mettez le fichier services.war à jour. Par défaut, il se trouve à l’emplacement suivant :

IdentityServer_base/SUNWam/services.war

Pour mettre à jour le fichier services.war, entrez la commande suivante :

jar -uvf services.war IdentityServer_base/SUNWam/services.war

Grâce à l’option uvf, l’ancien fichier sera remplacé par le nouveau fichier modifié. Par exemple :

cd /opt/SUNWam

jar -uvf services.war index.html

rm index.html

Les fichiers suivants peuvent être modifiés :

Redéploiement vers le conteneur Web

Pour redéployer le fichier .war vers le conteneur Web du serveur d’application, saisissez les commandes suivantes :

asadmin deploy -u $IAS7_ADMIN -w $IAS7_ADMINPASSWD -H $SERVER_HOST -p $IAS7_ADMINPORT --type web $SECURE_FLAG --contextroot

$SERVER_DEPLOY_URI --name amserver --instance $IAS7INSTANCE ${BASEDIR}/${PRODUCT_DIR}/services.war

Pour redéployer le fichier .war vers le conteneur Web BEA Weblogic, saisissez les commandes suivantes :

java weblogic.deploy -url $SERVER_URL -component ${SERVER_DEPLOY_URI}:${WL61 _SERVER} deploy $WL61_ADMINPASSWD

${SERVER_DEPLOY_URI}

${BASEDIR}/${PRODUCT_DIR} /services.war

Pour redéployer le fichier .war vers le conteneur Web BEA Weblogic, reportez-vous à la documentation relative au redéploiement à l’adresse suivante :

http://www-3.ibm.com/software/webservers/studio/doc/v40/studioguide/en/html/sdsscenario1.html

Restrictions connues

Cette section répertorie les principales restrictions connues au moment de la sortie de Identity Server 6.1. Elle aborde les thèmes suivants :

Authentification

Échec de l’authentification sur la liaison anonyme (#4919897)

Pendant l’installation, l’ID utilisateur et le mot de passe LDAP vous sont demandés. Si vous laissez ces deux champs vides, Identity Server exécute par défaut une liaison anonyme vers Directory Server lors de l’authentification. Ce fonctionnement est conforme à ce qui est prévu. Si Directory Server est configuré pour autoriser un accès en mode anonyme, l’authentification réussit. Dans le cas contraire, elle échoue.

Solution

Réinstallez Identity Server en veillant à bien fournir l’ID utilisateur et le mot de passe LDAP lors de l’installation.

Le re-chargement de la page de temporisation de session authentifie l’utilisateur sur la base d’un nom et d’un mot de passe valides (#4697120)

Si l’utilisateur attend que la page de connexion devienne inactive, puis entre un nom d’utilisateur et un mot de passe valides, la page de temporisation de session s’affiche. L’utilisateur est authentifié auprès Identity Server s’il recharge la page sans saisir à nouveau son nom d’utilisateur et son mot de passe.

Le module d’authentification de base HTTP ne fonctionne pas dans Internet Explorer avec une connexion Authlevel (#4945190)

Le module d’authentification de base HTTP ne fonctionne pas avec Internet Explorer lorsque vous exécutez une connexion Authlevel.

Des répertoires différents doivent être spécifiés en cas de serveurs SafeWord multiples (#4756295)

Dans le cas d’organisations multiples qui utilisent leur propre serveur SafeWord, chaque organisation doit indiquer son propre répertoire .../serverVerification dans leurs modèles de service d’authentification SafeWord. Si vous conservez la valeur par défaut et que tous les serveurs utilisent le même répertoire, la première organisation à être authentifiée avec son serveur SafeWord sera la seule à fonctionner.

Outils de ligne de commande

Les instances de Identity Server ne sont pas correctement supprimées de la liste des plates-formes avec amserver (#4889686)

Lorsque vous utilisez la commande amserver pour créer une nouvelle instance de Identity Server et que vous supprimez ensuite cette instance, celle-ci n’est pas supprimée de la liste des plates-formes sur l’onglet de configuration.

Solution

Pour supprimer manuellement le nom de l’instance de la liste des plates-formes :

  1. Sur l’onglet de configuration, dans la zone de gauche, cliquez sur Plates-formes.
  2. Dans la zone de droite, sélectionnez le nom de l’instance dans la liste des serveurs, puis cliquez sur Supprimer.

Les scripts de démarrage ne sont pas correctement supprimés (#4794971)

Lorsque vous employez l’utilitaire multiserverinstall pour créer une nouvelle instance de Identity Server et que vous supprimez ensuite cette instance, les scripts de démarrage créés lors de l’installation restent dans le répertoire par défaut /etc/rc3.d/. Vous pouvez supprimer ces scripts manuellement.

Exemple :

cd /etc/rc3.d

rm S86amserver.<NomInstance>

rm K86amserver.<NomInstance>

Console Identity Server

Les services ré-enregistrés ne s’affichent pas correctement (#4915234)

Lorsque vous enregistrez un service, puis que vous l’attribuez à un utilisateur, le service s’affiche normalement dans le profil de cet utilisateur. Lorsque vous supprimez l’enregistrement du service, ce dernier ne s’affiche plus dans le profil. Ce fonctionnement est conforme à ce qui est prévu. Cependant, si vous ré-enregistrez le service, il se peut qu’il s’affiche dans le profil utilisateur avant que vous le lui ayez attribué. Ce problème est connu. Le service ne devrait pas s’afficher tant que vous ne l’avez pas attribué à l’utilisateur.

Les adhésions aux rôles filtrés ne s’affichent pas sur l’écran utilisateur (#4947334)

Lorsque vous affichez les rôles d’un utilisateur, la console Identity Server n’affiche pas l’adhésion au rôle filtré de cet utilisateur.

Les modalités et les rôles ne sont pas classés correctement (#4914819)

Si vous créez plusieurs modalités et rôles, ils ne sont pas correctement classés sur la console Identity Server.

Un service non enregistré reste affiché dans la liste des services comme étant enregistré (#4918930)

Si un seul service est enregistré dans l’organisation et que son enregistrement est supprimé, il restera malgré tout affiché dans la liste des services enregistrés sur la console Identity Server.

Le bouton Fermer ne fonctionne pas sur les pages de rôles (#4919099)

Sur la console Identity Server, le bouton Fermer ne fonctionne pas sur les pages de rôles des utilisateurs connectés avec un affichage roleDN.

Problème de rafraîchissement concernant le fournisseur hébergé dans le module Gestion des fédérations (#4915894)

Dans le module Gestion des fédérations, si vous modifiez et enregistrez des attributs sur l’écran Identity Provider d’un fournisseur hébergé, les modifications sont sauvegardées, mais l’affichage n’est pas automatiquement rafraîchi.

Solution

Quittez le module Gestion des fédérations en choisissant un autre module (par exemple, Configuration des services), puis revenez au premier module. L’affichage est alors rafraîchi.

La console ne reflète pas la modification des attributs utilisateur (#4931455)

L’écran de navigation de la console Identity Server ne reflète pas les modifications des attributs utilisateur entrées dans la zone des données. Rafraîchissez la page manuellement pour faire apparaître les modifications.

Les apostrophes figurant dans le nom des sous-organisations provoquent des erreurs (#4922287)

Le nom des sous-organisations ne doit pas comporter d’apostrophes (‘). Les apostrophes figurant dans le nom des sous-organisations provoquent des erreurs javascript.

Service de connexion

Problème de connexion lorsque Java Security est activé (#4926520)

jdk_logging.jar risque de ne pas fonctionner lorsque Java Security est activé.

Solution

Si Java Security est activé et que vous disposez d’une version de JDK antérieure à la version 1.4, vous devez insérer la permission suivante dans le fichier Java Security :

permission java.lang.RuntimePermission shutdownHooks

Modalité

Problème avec l’exemple de modalité (#4923898)

Le fichier Lisezmoi.html, situé dans l’exemple de modalité, indique les informations qui empêchent le bon fonctionnement de l’exemple. Pour que l’exemple puisse être exécuté, le fichier LD_LIBRARY_PATH doit inclure le chemin d’accès aux bibliothèques partagées NSPR, NSS et JSS.

Paramétrez la variable d’environnement LD_LIBRARY_PATH sur /usr/lib/mps/secv1. Une erreur se produit en cas de mauvais paramétrage.

Service de session

Les sessions inactives ne sont pas nettoyées (#4959071)

Actuellement, les sessions inactives ne sont pas correctement nettoyées. Contactez l’assistance technique pour obtenir le correctif approprié. Pour plus d’informations, reportez-vous à la section Signalisation de problèmes et apport de commentaires.

SDK

Les attributs de dénomination doivent être en minuscules (#4931163)

Du fait d’une limitation du SDK, seuls les noms d’attributs en minuscules sont acceptés. Par exemple, si vous installez une instance Identity Server sur Directory Server et que vous chargez le schéma Identity Server avec l’attribut de dénomination défini en tant que CN, la création de l’utilisateur échoue.

Solution

Modifiez l’attribut de dénomination sur la console Directory Server. Par exemple, remplacez l’attribut de dénomination CN de l’utilisateur basicuser par cn.

L’option de création de groupe n’ajoute qu’un seul attribut memberURL (#4931958)

Si vous créez un groupe avec l’option de filtre LDAP multiple (-f), le groupe n’est créé qu’avec un seul attribut memberURL.

Problème d’enregistrement de service (#4853809)

Si vous créez des modèles de service et que vous les enregistrez dans une organisation parent, puis que vous essayez de les enregistrer pour une sous-organisation, certains services enregistrés dans l’organisation parent ne seront pas enregistrés même si amConsole.access indique qu’ils le sont.

Solution

Rafraîchissez la console Identity Server et enregistrez à nouveau les services.

Les services disparaissent avec la connexion d’un utilisateur dont le rôle est de type service (#4931907)

Si un utilisateur dont le rôle est de type service se connecte à Identity Server et que l’écran de démarrage Admin est paramétré sur orgDN, et si cet utilisateur tente de supprimer l’enregistrement d’un service, plus aucun service ne s’affiche.

Solution

Redémarrez le serveur pour faire réapparaître les services.

Connexion unique

Impossible de procéder à la connexion unique des URI de déploiement différents (#4770271)

Si les URI de déploiement sont différents d’une instance Identity Server à l’autre, la connexion unique ne fonctionne pas correctement.

Internationalisation (i18n)

Problème avec le paramètre régional zh_CN.GB18030 (#4925958)

Lorsque Identity Server démarre avec le paramètre régional zh_CN.GB18030, des problèmes peuvent se produire, comme des altérations de fichiers et des échecs au démarrage des fonctions de Identity Server.

Solution

Sur la console Identity Server, accédez au service des paramètres de globalisation et choisissez UTF-8 comme jeu de caractères par défaut du paramètre régional zh.

La page de connexion échoue avec un paramètre de rôle multi-octets dans une URL utilisant le jeu de caractères japonais (#4905708)

Si vous créez un rôle multi-octets, puis essayez une connexion URL avec un utilisateur inscrit auprès de ce rôle, la page de connexion génère une erreur.

Solution
Pour que la procédure d’authentification puisse décoder un rôle multi-octets indiqué dans l’URL, vous devez ajouter gx_charset au paramètre. Par exemple :

http://hostname:port/amserver/UI/Login?role=manager?role=%E3%81%82%&gx_charset=utf-8

Le paramètre régional figurant dans l’URL affiche une page de connexion mixte (#4915137)

Si vous utilisez un navigateur non anglais avec une instance de Identity Server installée avec WebServer et que vous vous connectez au site http://<host>:<port>/amserver/UI/Login?locale=en, la page de connexion affiche des caractères anglais et non anglais.

Solution

Modifiez le lien symbolique suivant :

/opt/SUNWam/web-apps/services/config/auth/default

afin d’obtenir

/opt/SUNWam/web-apps/services/config/auth/default_en

Message d’erreur non localisé pour le module de base HTTP (#4921418)

Si vous vous connectez en utilisant le module d’authentification de base HTTP et que vous cliquez sur Annuler, un message d’erreur non localisé s’affiche. Ceci se produit uniquement lorsque Identity Server est déployé avec Application Server.

Les paramètres de globalisation par défaut du jeu de caractères coréens sont incorrects (#4921424)

Les jeux de caractères pris en charge par chaque attribut de paramètre régional dans le service des paramètres de globalisation contiennent actuellement les valeurs par défaut suivantes :

locale=ko|charset=UTF-8;Johab

Ils doivent contenir le paramètre régional suivant :

UTF-8;EUC-KR

Paramètres régionaux mixtes dans la fenêtre de connexion dans la version japonaise d’Application Server (#4932089)

La fenêtre de connexion Identity Server ne revient pas par défaut en anglais lorsque le paramètre de langue du navigateur est en et que le paramètre régional de Application Server est ja.

Solution

Exécutez Application Server avec le paramètre régional en.

La notification de verrouillage envoie un e-mail illisible (#4938511)

Si vous exécutez Identity Server avec un conteneur Web dont le paramètre régional favori est autre que C et qu’un utilisateur n’est pas autorisé à accéder au serveur, la notification de verrouillage qui est transmise par e-mail est illisible.

Solution

Paramétrez email|local|charset (et pas seulement le paramètre email) dans l’attribut permettant de définir l’adresse e-mail à utiliser pour la notification du verrouillage. Par exemple :

utilisateur1@exemple.com|zh|GB2312

Erreur Javascript avec le paramètre régional zh_CN.GB18030 (#4948665)

Identity Server affiche une erreur Javascript si le conteneur Web est lancé avec le paramètre régional zh_CN.GB180130.

Solution

Redémarrez le serveur avec d’autres paramètres régionaux, comme C ou zh.

Impossible de redémarrer le serveur avec amserver si serverconfig.xml n’est pas au format UTF-8 (#4910650)

ampssword va mettre à jour serverconfig.xml. Par défaut, serverconfig.xml est au format UTF-8 après l’installation. Si serverconfig.xml contient des données multi-octets et que vous exécutez ampassword avec un paramètre régional non-UTF-8, serverconfig.xml utilise le code natif. amserver ne pourra pas alors redémarrer le serveur.

Solution

Exécutez ampassword avec un paramètre régional UTF-8, puis redémarrez amserver.

Niveau de résolution des conflits dans un paramètre régional fixe (#4922030)

Si un utilisateur se connecte à la console Identity Server avec un paramètre régional spécifique (par exemple zh), s’il enregistre le service de configuration d’authentification, crée un modèle pour ce service, puis se déconnecte et se connecte à nouveau avec un paramètre régional différent, les éléments du niveau de résolution des conflits ne seront pas correctement répertoriés dans le format du paramètre régional d’origine.

Les messages de version am2bak et bak2am sont seulement en anglais (#4930610)

Les messages de version des utilitaires de restauration am2bak et bak2am ne sont disponibles qu’en anglais dans cette version.

Les noms sur plusieurs octets ne fonctionnent pas dans le module Auto-enregistrement (#4732470)

Si, dans le module Auto-enregistrement, vous créez un utilisateur dont les nom et prénom utilisent plusieurs octets, puis que vous sélectionnez l’un de ces noms et cliquez sur Soumettre, une erreur se produit lors de l’enregistrement du profil utilisateur Ceci est important pour les administrateurs situés dans des pays où le nom de famille apparaît en premier.

Solution

  1. Sur la console Directory Server, cliquez sur l’onglet Configuration.
  2. Cliquez sur les plug-ins, puis sur l’option de vérification sur 7 bits. Sélectionnez enfin Supprimer les UID des arguments.
  3. Cliquez sur Enregistrer.
  4. Redémarrez Directory Server.

La version japonaise de Identity Server ne fonctionne pas avec Netscape 6.22, 6.23 (#4902421)

Dans la version japonaise de Identity Server 6.1, vous ne pouvez pas vous connecter à la console avec Netscape 6.22 ou 6.23.

Le format de l’heure ne se modifie pas (#4888416)

Dans les conditions d’heure des définitions de modalités, l’heure conserve le format suivant, quel que soit le paramètre régional :

Heure:Minute AM/PM

Le message des paires msgid-msgstr dans backup_restore.po n’est pas localisé (#4916683)

Si vous recevez un message vous signifiant que les paires msgid-mgstr sont manquantes dans le script backup_restore.po et que le certificat Directory Server n’est pas sauvegardé, Directory Server est malgré tout sauvegardé. Ce message n’a pas été localisé.

Écran de détection du client non localisé (#4922013)

Dans cette version, certaines parties de l’écran des propriétés du style en cours ne sont pas localisées au niveau de l’interface de détection du client.

La mise à jour des propriétés client genericHTLM ne s’applique pas (#4922348)

Si vous supprimez le jeu de caractères UTF-8 dans les propriétés client genericHTLM du service de détection du client, enregistrez les modifications, puis activez la détection du client. Déconnectez-vous, puis reconnectez-vous ensuite. Vous remarquerez que la page de connexion utilise toujours le jeu de caractères UTF-8.

Solution

Redémarrez le serveur manuellement avec amserver.

L’en-tête des fichiers journaux n’est pas localisé (#4923536)

Les deux premières lignes des fichiers journaux ne sont pas localisées, en particulier les sections Version et Fields, ainsi que la liste de champs correspondante.

Les valeurs des champs de données ne sont pas localisées dans amSSO.access (#4923549)

Dans le fichier journal amSSO.access, aucune des valeurs du champ de données n’est localisée.

Le fichier exception.jsp contient des messages codés en dur (#4773213)

Le fichier exception.jsp n’est pas localisé et contient un titre, des messages d’erreur et des informations de copyright codés en dur.

Signalisation de problèmes et apport de commentaires

Si vous rencontrez des problèmes avec Sun ONE Identity Server, contactez le service clientèle Sun de l’une des manières suivantes :

Afin de vous aider à résoudre votre problème, pensez à réunir les informations suivantes lorsque vous contactez l’assistance technique :

Sun attend vos commentaires

Afin d’améliorer sa documentation, Sun vous encourage à faire des commentaires et à apporter des suggestions. Envoyez vos commentaires à Sun à l’adresse électronique suivante :

Indiquez la référence et le titre complet du document dans la ligne Objet de votre courrier électronique. Vous trouverez la référence du document sur la page de garde du manuel. Il s’agit généralement d’un code à 7 ou 10 chiffres, tel que le suivant : 123-4567-10.

Ressources Sun supplémentaires

Vous pouvez obtenir des informations utiles concernant Sun ONE sur les sites Internet suivants :

Copyright © 2003 Sun Microsystems, Inc. Tous droits réservés.

Sun, Sun Microsystems, le logo Sun, Solaris Java et le logo Java Coffee Cup sont des marques ou des marques déposées de Sun Microsystems, Inc. aux États-Unis et dans d’autres pays. L’utilisation de Identity Server est soumise aux termes décrits dans le contrat de licence associé.