Notes de version de Sun Java™ System Identity Server
Version 2004Q2
R�f�rence 817-7132-10
Ces notes de version contiennent des informations importantes disponibles au moment de la mise sur le march� de Sun Java System Identity Server 2004Q2. Les nouvelles fonctionnalit�s, les am�liorations apport�es, les probl�mes connus et restrictions, ainsi que toute autre information pertinente, sont abord�s dans cette section. Prenez connaissance de ce document avant de commencer � utiliser Identity Server 2004Q2.
La derni�re �dition de ces notes de version est disponible sur le site Web de la documentation Sun Java System :
Consultez ce site Web avant d’installer et de configurer votre logiciel, puis r�guli�rement pour vous procurer la documentation concernant le produit et les notes de version les plus r�centes.
Ces notes de version contiennent les sections suivantes :
Des adresses URL de sites tiers, qui renvoient � des informations compl�mentaires connexes, sont r�f�renc�es dans ce document.
Historique de r�vision des notes de version
À propos d’Identity Server 2004Q2
Sun Java™ System Identity Server est une solution de gestion des identit�s con�ue pour r�pondre aux besoins d’entreprises en expansion rapide. Identity Server vous permet de centraliser les identit�s de vos employ�s, partenaires et fournisseurs au sein d’un seul et m�me r�pertoire en ligne. De plus, il fournit un moyen d’�tablir les strat�gies et autorisations d’acc�s aux diff�rents types d’informations au sein de votre entreprise. Identity Server vous permet de contr�ler les informations, les services et les pr�rogatives d’acc�s de chaque utilisateur. Gr�ce � lui, vous g�rez toutes vos relations professionnelles, internes comme externes.
Nouveaut�s de cette version
Les nouvelles fonctionnalit�s d’Identity Server 2004Q2 sont les suivantes (pour plus d’informations, consultez la pr�sentation technique Sun Java System Identity Server Technical Overview) :
- Am�liorations apport�es � la gestion des f�d�rations
- Prise en charge de SAML 1.1
- Personnalisation de la structure d’autorisation JAAS
- Am�liorations apport�es � l’authentification
- Am�liorations apport�es � la console Identity Server
- Basculement de session pour le serveur d’applications
- Scripts de configuration et de r�glage
Configurations mat�rielle et logicielle requises
Les configurations mat�rielle et logicielle suivantes sont requises pour cette version de Identity Server.
Bogues r�par�s dans cette version
Le tableau ci-dessous d�crit les bogues r�par�s dans Identity Server 2004Q2 :
Notes relatives � l’installation
Dans cette version, le processus d’installation des packages Identity Server et les �tapes de configuration sont s�par�s. Vous devez utiliser le programme d’installation de Java Enterprise System pour installer la premi�re instance d’Identity Server.
Scripts de configuration
Apr�s avoir install� la premi�re instance d’Identity Server, vous pouvez cr�er des instances suppl�mentaires sur le serveur d’applications et sur le serveur Web de Sun Java System � l’aide des scripts de configuration.
Les scripts de configuration/installation d’Identity Server permettent de :
- d�ployer des instances suppl�mentaires d’Identity Server pour un conteneur Web sur un seul h�te ;
- reconfigurer des instances d’Identity Server (par exemple, modifier le propri�taire et le groupe d’une instance d’Identity Server, de la racine � un autre utilisateur ou groupe) ;
- autoriser d’autres applications Web � acc�der au SDK Identity Server ;
- d�sinstaller des instances suppl�mentaires, la d�sinstallation de la premi�re instance devant �tre effectu�e � l’aide du programme de d�sinstallation de JES.
Pour plus d’informations, consultez le manuel Identity Server Administration Guide. Nous vous rappelons que le nom de commande amserver n’est plus pris en compte.
Probl�mes connus et restrictions
Cette section r�pertorie les principaux probl�mes connus au moment de la sortie de Identity Server 2004Q2. Elle aborde les th�mes suivants :
Installation
La pr�sence de virgules dans le suffixe racine peut occasionner l’�chec de l’installation (n� 4750396)
Lors de l’installation, n’ins�rez pas de virgules dans le nom relatif distinctif (NRD) au moment d’entrer le suffixe racine d’Identity Server.
Authentification
La propri�t� du mode Cookie persistant est incoh�rente (n� 5038544)
Dans le mode Cookie persistant, la propri�t� ID utilisateur configur�e dans le jeton est incoh�rente. L’agent de strat�gie, qui d�pend de la propri�t� ID utilisateur, peut �chouer pour cette raison.
Solution
Utilisez UserToken pour une valeur non DN et Principal pour la valeur DN.
L’administrateur ne peut pas ajouter de r�les � partir d’organisations parents (n� 5042217)
Si vous configurez le service d’authentification des sous-organisations avec un r�le de cr�ation de profil d’utilisateur dynamique et que vous vous connectez ensuite au service apr�s avoir activ� le mode de cr�ation de profil dynamique, aucun r�le ne sera affect� lors de l’affichage des propri�t�s de l’utilisateur. En effet, le service d’authentification n’autorise que les r�les appartenant � la sous-organisation.
La connexion � Identity Server est impossible apr�s l’ajout de propri�t�s proxy (n� 4966788)
Si vous ajoutez des propri�t�s proxy � server.xml et si vous red�marrez ensuite Identity Server, vous ne pourrez pas vous connecter � la console Identity Server. Cela ne se produit que lorsque le serveur proxy ne peut pas reconna�tre Identity Server.
Solution
Dans server.xml, d�finissez http.nonProxyHosts sur un nom d’h�te complet, puis red�marrez le serveur. Par exemple :
<JVMOPTIONS>-Dhttp.nonProxyHosts=NomH�teComplet_Identity_Server</JVMOPTIONS>
Pour des raisons li�es aux performances, les propri�t�s d�finies dans cette solution doivent �tre param�tr�es, m�me si le serveur proxy reconna�t Identity Server.
Le rechargement de la page de temporisation de session authentifie l’utilisateur sur la base d’un nom et d’un mot de passe valides (n� 4697120)
Si l’utilisateur attend que la page de connexion devienne inactive, puis entre un nom d’utilisateur et un mot de passe valides, la page de temporisation de session s’affiche. L’utilisateur est authentifi� aupr�s d’Identity Server s’il recharge la page sans saisir � nouveau son nom d’utilisateur et son mot de passe.
Des r�pertoires diff�rents doivent �tre sp�cifi�s en cas de serveurs SafeWord multiples (n� 4756295)
Dans le cas d’organisations multiples qui utilisent leur propre serveur SafeWord, chaque organisation doit indiquer son propre r�pertoire .../serverVerification dans ses mod�les de service d’authentification SafeWord. Si vous conservez la valeur par d�faut et que tous les serveurs utilisent le m�me r�pertoire, la premi�re organisation � �tre authentifi�e avec son serveur SafeWord sera la seule � fonctionner.
Outils de ligne de commande
Lors de l’ex�cution d’amadmin en mode SSL (Secure Socket Layer, couche des sockets s�curis�s), l’abandon de JVM (Java virtual machine, machine virtuelle Java) peut survenir (n� 5009031)
Lors de l’ex�cution du serveur en mode s�curis�, l’usage syst�matique d’amadmin peut entra�ner l’abandon de JVM.
Si ce probl�me survient, contactez le support Sun Java System.
Les scripts am2bak et bak2am ne fonctionnent pas sous Linux (n� 5053866)
En r�alit�, les scripts de restauration am2bak et bak2am fonctionnent avec Identity Server pour Linux.
Solution
- Corrigez le chemin des commandes suivantes.
- Modifiez la fonction check_for_invalid_chars(). Par exemple :
Remplacez ECHO=/usr/bin/echo
par ECHO=/bin/echo.
Remplacez uid=`/usr/xpg4/bin/id -un`
par uid=`/usr/bin/id -un`.
Remplacez /usr/bin/tar
par /bin/tar.
Remplacez usr/bin/rm
par /bin/rm.
Remplacez /usr/bin/grep
par /bin/grep.
Remplacez /usr/bin/ps
par /bin/ps.
Remplacez /usr/bin/ls
par /bin/lsv.
check_for_invalid_chars() {
echo "$1" | grep ’[^/_.a-zA-Z0-9a-]’ > /dev/null
if [ $? = 0 ]; then
return 1
else
return 0
fi
}
Sur les syst�mes Linux, amserver stop n’arr�te pas le processus amunixd (n� 5050332)
Sur les syst�mes Linux, la commande /etc/init.d/amserver stop n’arr�te pas le processus amunixd de l’assistant d’authentication.
Solution
Utilisez d’abord la commande ps avec l’option f pour d�terminer l’ID du processus amunixd :
ps -efl | grep /opt/sun/identity/share/bin/amunixd
Lancez ensuite la commande kill avec cet ID pour arr�ter le processus amunixd.
Un message d’�chec s’affiche lors de l’ex�cution d’am2bak (n� 5043752)
Lors de l’ex�cution d’am2bak, un message d’erreur peut signaler l’�chec du processus de sauvegarde, m�me si celui-ci a abouti.
amadmin renvoie un message d’erreur incorrect (n� 5008960)
L’option import de amadmin renvoie � tort le m�me message d’erreur pour toutes les erreurs associ�es.
Dans les programmes d’installation uniquement sur console, les balises d’amverifyarchive n’ont pas �t� �chang�es (n� 4993375)
Si vous installez Identity Server uniquement sur la console, les balises suivantes de l’utilitaire amverifyarchive ne seront pas �chang�es dans ce script :
Configuration
Le script amconfig ne parvient pas � configurer une version localis�e d’Identity Server pour l’option de configuration ult�rieure (n� 5062437)
Si vous utilisez le programme d’installation de Java Enterprise System pour installer une version localis�e d’Identity Server 2004Q2 et si vous s�lectionnez l’option de configuration ult�rieure, le script amconfig ne peut pas configurer Identity Server.
Solution
Avant d’ex�cuter amconfig, modifiez le script du conteneur Web utilis� pour ex�cuter Identity Server.
- D�terminez l’emplacement du script de conteneur Web.
- Dans le script de conteneur Web, ajoutez le r�pertoire /WEB-INF � la variable $DEPLOY_SRC de l’instruction if suivante :
- Ex�cutez le script amconfig pour configurer Identity Server. Pour plus d’informations sur le script amconfig, reportez-vous au manuel Identity Server 2004Q2 Administration Guide :
if [ ! -d $DEPLOY_SRC/WEB-INF ]; then
mkdir -p $DEPLOY_SRC
cd $DEPLOY_SRC
jar xf $PKGDIR/$warfile
N’utilisez pas amconfig en mode Fichier silencieux (n� 5003430, 5003386, 5000964)
N’utilisez pas le mode interactif amconfig. Exemple : amconfig -s. Les r�sultats sont impr�visibles.
Solution
Appelez amconfig en mode silencieux. Exemple : amconfig -s chemin-acc�s-fichier-silencieux
Des index sont toujours cr��s pour une racine utilisateur, quel que soit le nom d’arri�re-plan (n� 5002886)
Le fichier index.ldif code la racine utilisateur en dur pour cr�er un index pour les attributs. Il est possible d’installer Identity Server sur un suffixe racine se trouvant sur n’importe quel nom de base de donn�es arbitraire d’arri�re-plan. Le nom d’arri�re-plan peut �tre obtenu via ldapsearch avec le cn=config de base � l’aide du filtre nsslapd-suffix=SUFFIX_NAME.
F�d�ration
Une exception est envoy�e pour la modification PP si la valeur d’attribut est vide (n� 5047103)
Identity Server renvoie une exception si vous tentez une modification PP avec une valeur d’attribut vide. Par exemple, si vous cr�ez une configuration de test de l’exemple sis-ep, puis si vous chargez la page de modification EP avant de cliquer sur le bouton sans avoir saisi de valeur pour l’attribut, l’exception sera envoy�e de mani�re incorrecte.
Red�marrez le serveur pour que la strat�gie soit prise en compte (n� 5045036)
La mise en place de la strat�gie de f�d�ration ne sera prise en compte que lorsque le serveur aura �t� red�marr�. Cela vaut aussi bien pour le serveur d’applications que pour le serveur Web. Vous ne devez red�marrer le serveur que d�s que l’installation a �t� effectu�e et lorsque la strat�gie est mise en uvre pour la premi�re fois.
Console Identity Server
La cr�ation de r�les incluant des permissions d’acc�s d�finies en tant qu’administrateur d’organisation g�n�re des erreurs (n� 5037978)
Si vous �tes connect� en tant qu’administrateur d’organisation et si vous tentez de cr�er un r�le et de lui affecter des permissions d’acc�s (comme la cr�ation d’un r�le d’administrateur d’organisation ou d’administrateur de Help Desk, par exemple), vous recevez un message d’erreur.
Les permissions des administrateurs d’organisation sont configur�es de fa�on � emp�cher la modification de valeurs au sein de l’organisation. Lorsque le r�le est cr�� avec des permissions, une information de contr�le d’acc�s (ACI) dans l’entr�e organisation tente d’�tre modifi�e.
Solution
- Lorsque l’installation est termin�e, ouvrez le r�pertoire dans lequel les fichiers XML sont stock�s. Ceux-ci seront, par d�faut :
- Enregistrez le fichier amAdminConsole.xml. Par exemple :
- Modifiez amAdminConsole.xml.
- Recherchez toute ligne commen�ant par � S1IS Organization Admin Role access allow read � et supprimez cette ACI. Par exemple, supprimez toutes les occurrences de cette ACI utilis�es pour la cr�ation du r�le administrateur d’organisation.
- Recherchez toutes les lignes commen�ant par � S1IS Organization Admin Role access allow all � et supprimez les � * � se trouvant au d�but de cette ACI :
- Enregistrez ce fichier.
- Supprimez iPlanetAMAdminConsoleService � l’aide de l’outil de ligne de commande amadmin :
- Si le fichier a �t� correctement supprim�, le message suivant doit appara�tre :
- Importez de nouveau le m�me service avec le fichier amAdminConsole.xml que vous venez de modifier en faisant appel � l’outil de ligne de commande amadmin :
- Si le fichier a �t� correctement charg�, le message suivant doit appara�tre :
- Red�marrez Identity Server.
/etc/opt/SUNWam/config/xml (Solaris)
/etc/opt/sun/identity/config/xml (Linux)
cp amAdminConsole.xml amAdminConsole.bak
aci: (target="ldap:///ORGANIZATION")(targetfilter=(!(|(nsroledn=cn=Top-level Admin Role,dc=iplanet,dc=com)(nsroledn=cn=Top-level Help Desk Admin Role,dc=iplanet,dc=com))))(targetattr != "nsroledn")(version 3.0; acl "S1IS Organization Admin Role access allow read"; allow (read,search) roledn = "ldap:///ROLENAME";)
aci: (target="ldap:///*,
Modifiez toutes les occurrences de cette ACI qui concernent le r�le administrateur d’organisations. Par exemple :
Remplacez cette ACI :
aci: (target="ldap:///*,ORGANIZATION")(targetfilter=(!(|( nsroledn=cn=Top-level Admin Role,dc=iplanet,dc=com)(nsroledn=cn=Top-level Help D esk Admin Role,dc=iplanet,dc=com))))(targetattr != "nsroledn")(version 3.0; acl "S1IS Organization Admin Role access allow all"; allow (all) roledn = "ldap:///ROLENAME";)
par :
aci: (target="ldap:///ORGANIZATION")(targetfilter=(!(|( nsroledn=cn=Top-level Admin Role,dc=iplanet,dc=com)(nsroledn=cn=Top-level Help Desk Admin Role,dc=iplanet,dc=com))))(targetattr !="nsroledn")(version 3.0; acl "S1IS Organization Admin Role access allow all"; allow (all) roledn = "ldap:///ROLENAME";)
/opt/SUNWam/bin/amadmin -u "uid=amAdmin,ou=People,dc=iplanet,dc=com" -w "iplanet1" -r "iPlanetAMAdminConsoleService"
Deleting Service Schema iPlanetAMAdminConsoleService
Success 0: Successfully completed.
/opt/SUNWam/bin/amadmin -u "uid=amAdmin,ou=People,dc=iplanet,dc=com" -w "iplanet1" -s /etc/opt/SUNWam/config/xml/amAdminConsole.xml
Loading Service Schema XML /etc/opt/SUNWam/config/xml/amAdminConsole.xml
Success 0: Successfully completed.
La compilation des exemples de console n’a pas lieu (n� 5026635)
Certains exemples de la console Identity Server ne peuvent pas �tre compil�s car l’emplacement des fichiers a chang� dans cette version.
Solution
Remplacez le chemin jato.jar existant par les chemins suivants dans le fichier rules.mk :
Les utilisateurs ne peuvent pas �tre cr��s en m�me temps que le service SAML (n� 5038600)
Seul l’administrateur principal peut cr�er les utilisateurs et affecter le service SAML en m�me temps.
Solution
Les administrateurs d’organisations doivent cr�er les utilisateurs sans le service SAML. Une fois que l’utilisateur a �t� cr��, ce service peut �tre ajout� par le biais de la page du profil de l’utilisateur.
Les valeurs ne sont pas conserv�es lorsqu’on clique sur le bouton de retour en arri�re (n� 4992972)
Lorsque plusieurs pages sont trait�es, par exemple lors de la cr�ation d’un groupe ou d’un r�le ou lors de l’ajout d’une strat�gie, et qu’on clique sur le bouton de retour en arri�re, les valeurs saisies sur la page pr�c�dente ne sont pas conserv�es.
L’administrateur de strat�gie ne peut pas modifier son propre profil (n� 5042100)
Un administrateur de strat�gie ne peut modifier son profil par le biais de la console Identity Server.
Solution
D�finissez les options d’affichage de la vue de navigation sur les utilisateurs, et les actions disponibles pour les utilisateurs sur l’acc�s complet.
Erreur sur la console lors de la recherche d’utilisateurs lorsque la gestion des utilisateurs est d�sactiv�e (n� 5049218)
Si vous recherchez des utilisateurs alors que la gestion des utilisateurs est d�sactiv�e, le serveur peut renvoyer un message d’erreur.
Solution
Remplacez PMAdminRoldSelect.jsp par le nouveau JSP. Vous pouvez le trouver � l’emplacement suivant :
Le filtre de recherche des descriptions d’entit�s ne fonctionne pas correctement (n� 4959895)
Dans le module de f�d�ration, dans la vue des descripteurs d’entit�s, vous risquez d’obtenir des r�sultats impr�cis si vous essayez de trouver un descripteur d’entit�s par le biais du champ de recherche.
Le masque de saisie � ** � ne fonctionne pas (n� 4961370)
Si vous utilisez le masque de saisie ** sans d’autres caract�res dans la console Identity Server, votre recherche n’aboutira pas. Le champ de recherche accepte ** avec des caract�res suppl�mentaires, par exemple **a ou a**.
Probl�me de rafra�chissement pour le fournisseur h�berg� dans le module de gestion des f�d�rations (n� 4915894)
Dans le module de gestion des f�d�rations, si vous modifiez puis que vous enregistrez des attributs dans l’�cran de fournisseur d’identit� d’un fournisseur h�berg�, les modifications sont enregistr�es, mais l’affichage n’est pas automatiquement rafra�chi.
Solution
Quittez le module de gestion des f�d�rations en choisissant un autre module (par exemple, le module de configuration des services), puis retournez au module de gestion des f�d�rations. L’affichage est alors rafra�chi.
La console ne rafra�chit pas la modification des attributs utilisateur (n� 4931455)
L’�cran de navigation de la console Identity Server ne refl�te pas les modifications des attributs utilisateur entr�es dans la zone des donn�es. Rafra�chissez la page manuellement pour visualiser les modifications.
Probl�mes de port li�s � Internet Explorer (n� 4864133)
En raison d’une incompatibilit� avec Internet Explorer, vous devez �viter d’affecter � Identity Server le port 80 pour http et le port 443 pour https.
Service de connexion
Probl�me de connexion lorsque Java Security est activ� (n� 4926520)
jdk_logging.jar risque de ne pas fonctionner lorsque Java Security est activ�.
Solution
Si Java Security est activ� et si vous disposez d’une version de JDK ant�rieure � la version 1.4, vous devez ins�rer la permission suivante dans le fichier Java Security :
permission java.lang.RuntimePermission shutdownHooks
Strat�gie
Les modifications apport�es � la r�gle de strat�gie de r�f�rence ne sont pas refl�t�es dans la sous-organisation (n� 5016725)
Une fois que la strat�gie de r�f�rence concernant l’organisation racine a �t� supprim�e, les r�gles des strat�gies normales au sein de la sous-organisation ne sont pas (et ne peuvent pas �tre) supprim�es.
Les entr�es correspondantes ne sont pas retourn�es lorsque la limite nslookthrough a �t� atteinte (n� 5013538)
Les entr�es correspondantes ne sont par renvoy�es � la console Identity Server m�me apr�s que les limites d’administration d�finies dans nslookthrough ont �t� atteintes.
Solution
Ajustez le param�tre nslookthroughlimit pour compenser le nombre d’entr�es.
Strat�gie non appliqu�e pour les alias (n� 4985823)
Si vous utilisez l’alias a pour vous connecter � Identity Server via un module d’autorisation autre que LDAP ou Membre, l’acc�s aux ressources prot�g�es vous sera refus�.
Probl�me caus� par l’exemple de strat�gie (n� 4923898)
Le fichier Lisezmoi.html, situ� dans l’exemple de strat�gie, met de c�t� les informations qui emp�chent le bon fonctionnement de l’exemple. Pour que l’exemple puisse �tre ex�cut�, le fichier LD_LIBRARY_PATH doit inclure le chemin d’acc�s aux biblioth�ques partag�es NSPR, NSS et JSS.
D�finissez la variable d’environnement LD_LIBRARY_PATH sur /usr/lib/mps/secv1 (Solaris) ou /opt/sun/pirvate/lib (Linux). Une erreur se produit en cas de mauvais param�trage.
Service de session
Les sessions inactives ne sont pas nettoy�es (n� 4959071)
Actuellement, les sessions inactives ne sont pas correctement nettoy�es. Contactez l’assistance technique pour obtenir le correctif appropri�. Pour plus d’informations, reportez-vous � la section Signalisation de probl�mes et apport de commentaires.
SDK
Utilisation de certutil dans les installations du SDK Identity Server qui utilisent des serveurs SSL (n� 5027614)
Lors des tentatives de communications entre des machines �quip�es de SDK uniquement et des serveurs Identity Server 2004Q2 compatibles SSL, des exceptions et des erreurs relatives � la s�curit� surviennent. Dans ce sc�nario, le kit SDK Identity Server est d�ploy� sur un conteneur non-Web ou sur un conteneur Web tiers tel que BEA WebLogic Server ou IBM WebSphere Application Server.
Solution
Cr�ez une base de donn�es de certificats sur la machine SDK uniquement et installez le certificat d’AC racine pour Identity Server dans cette base de donn�es.
- Connectez-vous � la machine SDK uniquement,en tant que superutilisateur (root).
- V�rifiez que le package NSS (Netscape Security Services, services de s�curit� Netscape) requis est install�.
- Si n�cessaire, installez le package. Par exemple :
- Cr�ez le fichier de mot de passe du jeton pour cette base de donn�es de certificats. Par exemple :
- V�rifiez la variable LD_LIBRARY_PATH.
- Utilisez l’outil certutil pour cr�er les bases de donn�es de certificats et de cl�s. Pour plus d’informations sur certutil, reportez-vous au site Web suivant :
- Sur les syst�mes Solaris : /usr/sfw/bin
- Sur les syst�mes Linux : /opt/sun/private/bin
- Sur les syst�mes Solaris : /etc/opt/SUNWam/config
- Sur les syst�mes Linux : /etc/opt/sun/identity/config
- Dans la base de donn�es de certificats r�cemment cr��e, ajoutez le certificat d’AC racine correspondant au certificat SSL install� sur le serveur Identity Server. Par exemple :
- Ouvrez le fichier AMConfig.properties dans un �diteur et v�rifiez les valeurs suivantes.
- R�pertoire de base de donn�es de certificats : com.iplanet.am.admin.cli.certdb.dir
- Pr�fixe : com.iplanet.am.admin.cli.certdb.prefix)
- Fichier de mot de passe : com.iplanet.am.admin.cli.certdb.passfile I
- Si les modifications ont �t� apport�es au fichier AMConfig.properties et si le SDK Identity Server est d�ploy� dans un conteneur Web, red�marrez celui-ci.
Sur les syst�mes Solaris :
cd JavaEnterpriseSystem_base/Solaris_arch/Product/shared_components/Packages
pkgadd -d . SUNWtlsu
Sur les syst�mes Linux :
cd JavaEnterpriseSystem_base/Linux_x86/Product/shared_components/Packages
rpm -Uvh sun-nss-3.3.10-1.i386.rpm
Sur les syst�mes Solaris :
echo "motdepasse-basededonn�es-cert" > /etc/opt/SUNWam/config/.wtpass
chmod 700 /etc/opt/SUNWam/config/.wtpass
Sur les syst�mes Linux :
echo "motdepasse-basededonn�es-cert" > /etc/opt/sun/identity/config/.wtpass
chmod 700 /etc/opt/sun/identity/config/.wtpass
o� motdepasse-basededonn�es-cert repr�sente le mot de passe du jeton.
Sur les syst�mes Solaris, utilisez la variable LD_LIBRARY_PATH pour d�terminer si les r�pertoires /usr/lib, /usr/lib/mps/secv1 et /usr/lib/mps existent. Dans le cas contraire, ajoutez tout r�pertoire manquant.
Sur les syst�mes Linux, utilisez LD_LIBRARY_PATH pour d�terminer si le r�pertoire /opt/sun/private/lib existe. Dans le cas contraire, ajoutez le r�pertoire.
http://mozilla.org/projects/security/pki/nss/tools/certutil.html
Par exemple :
accueil-certutil/certutil -N -d r�p-basededonn�es-cert -f accueil-config/.wtpass
o� :
accueil-certutil repr�sente l’emplacement de certutil.
r�p-basededonn�es-cert repr�sente le r�pertoire des bases de donn�es de certificats et de cl�s.
accueil-config repr�sente l’emplacement des fichiers de configuration d’Identity Server.
accueil-certutil/certutil -A -n "pseudo-certificat" -t "TCu,TCu,TCuw" -d r�p-basededonn�es-cert -a -i chemin-fichier-cert -f accueil-config/.wtpass
Si n�cessaire, modifiez les param�tres. Par exemple, le param�tre du pr�fixe pourrait �tre vide (c’est-�-dire �gal � “”).
�chec du protocole Handshake SSL si un DNSAlias est utilis� avec un fournisseur d’acc�s JCE (n� 5038876)
Le protocole de transfert SSL ne fonctionne pas si les certificats comportant des noms DNSAlias valides dans le subjectaltname sont utilis�s avec un fournisseur d’acc�s JEC.
Filtre de recherche des entit�s de base cod� en dur dans l’ID utilisateur (n� 5041529)
Si vous installez Identity Server avec l’attribut de d�nomination utilisateur d�fini sur cn , puis si vous connectez � la console Identity Server et si vous cr�ez une entit� agent, cette derni�re n’appara�tra pas dans le panneau de navigation. En effet, le mod�le de recherche d’entit� est cod� en dur en uid.
Solution
Remplacez le filtre uid par cn dans la console d’administration de Directory Server, puis red�marrez le serveur.
Les m�thodes d’identit� dans Init() pour les filtres occasionnent l’arr�t de Weblogic (n� 5016283)
Un serveur Weblogic ne d�marre pas lorsque les m�thodes des filtres de init() ont un code li� � Identity Server. L’API Identity Server est appel�e dans la m�thode init du servlet ServletFilter.
Identity Server utilise JSS comme fournisseur de services de s�curit�, alors que Weblogic utilise JCE par d�faut. Lorsque la m�thode init est appel�e, Weblogic tente de valider sa licence en utilisant le JCE, mais c’est JSS qui est initialis�.
Solution
Remplacez le chiffrement de s�curit� par d�faut, JSSEncryption, par JCEEncryption dans le fichier AMConfig.properties.
Tout mot de passe commen�ant par les symboles � {SSHA} � est inutilisable (n� 4966191)
Identity Server ne prend pas en charge l’utilisation des symboles hach�s {SSHA} dans les mots de passe.
Propri�t� du port du serveur SMTP incorrecte dans les propri�t�s AMConfig (n� 5048378)
La propri�t� smtp server port dans AMConfig.properties n’est pas correcte. Le courrier envoy� recherche com.iplanet.am.smtpport de mani�re incorrecte.
Les attributs de d�nomination doivent �tre en minuscules (n� 4931163)
Du fait d’une limitation du SDK, seuls les noms d’attributs en minuscules sont accept�s. Par exemple, si vous installez une instance Identity Server sur Directory Server et chargez le sch�ma Identity Server avec l’attribut de d�nomination utilisateur d�fini en tant que CN, la cr�ation de l’utilisateur �choue.
Solution
Modifiez l’attribut de d�nomination sur la console de Directory Server. Par exemple, changez l’attribut de d�nomination utilisateur basicuser du mod�le de cr�ation en rempla�ant CN par cn.
L’option de cr�ation de groupe n’ajoute qu’un seul attribut memberURL (n� 4931958)
Si vous cr�ez un groupe avec l’option de filtre LDAP multiple (-f), celui-ci n’est cr�� qu’avec un seul attribut memberURL.
Probl�me d’enregistrement de service (n� 4853809)
Si vous cr�ez des mod�les de service et les enregistrez dans une organisation parent, puis essayez de les enregistrer en tant qu’organisation, certains services enregistr�s dans l’organisation parent ne seront pas enregistr�s, m�me si amConsole.access indique qu’ils le sont.
Solution
Rafra�chissez la console d’Identity Server et enregistrez � nouveau les services.
Les services disparaissent avec la connexion d’un utilisateur dont le r�le est de type service (n� 4931907)
Si un utilisateur dont le r�le est de type service se connecte � Identity Server, si l’�cran de d�marrage administrateur est d�fini sur orgDN et si cet utilisateur tente de supprimer l’enregistrement d’un service, plus aucun service ne s’affiche.
Solution
Red�marrez le serveur pour faire r�appara�tre les services.
Connexion unique
Impossible de proc�der � la connexion unique des URI de d�ploiement diff�rents (n� 4770271)
Si les URI de d�ploiement sont diff�rents d’une instance Identity Server � l’autre, la connexion unique ne fonctionne pas correctement.
Internationalisation (i18n)
L’enregistrement de tous les services peut ne pas enregistrer l’ensemble des services disponibles (n� 4853809)
Si vous enregistrez l’ensemble des services par le biais de la console Identity Server, certains de ces services peuvent ne pas appara�tre dans la liste des services disponibles.
Solution
Ne cliquez pas plus d’une fois sur le bouton d’ajout.
Les services ayant une strat�gie de sch�ma apparaissent comme pouvant �tre ajout�s � un utilisateur (n� 4996479)
Lorsqu’on ajoute des services � un utilisateur, le service consommateur wsrp appara�t comme disponible. Cependant, s’il est choisi, il ne sera pas ajout�. De plus, si plusieurs services sont v�rifi�s en m�me temps que le service consommateur, tous les ajouts �chouent.
Solution
N’ajoutez pas de service WSRP depuis le module de gestion des identit�s.
�chec de la connexion de niveau d’authentification pour les navigateurs japonais (n� 5013994)
Lorsque la langue du navigateur est d�finie sur le japonais, les navigateurs japonais qui suivent ne peuvent pas effectuer de premi�re tentative de connexion � Identity Server par le biais du niveau d’authentification.
Solution
Lorsque le message d’erreur � Authentication Module has Denied �, cliquez sur le lien � Go Back To Login Page �. À la place, saisissez l’URL suivant :
Affichage incorrect de l’aide en ligne japonaise (n� 5024138)
L’aide continue de s’afficher en japonais lorsque, ayant lanc� la version japonaise d’Identity Server, vous essayez de changer la langue utilis�e et d’opter pour l’anglais am�ricain.
Solution
Cr�ez un lien de docs_en vers docs_en_US.
Le mode de g�n�ration d’ID utilisateur g�n�re un ID utilisateur � partir du pr�nom/nom (n� 5028750)
Identity Server ne prend pas en charge les ID utilisateur multi-octets. Par d�faut, le mode de g�n�ration d’ID utilisateur g�n�re des ID � partir du pr�nom et du nom de la personne.
La d�tection du client ne fonctionne pas correctement (n� 5028779)
Dans le service de d�tection du client, la suppression du jeu de caract�res UTF-8 ne fonctionne pas correctement.
Solution
Si vous souhaitez supprimer le jeu de caract�res UTF-8, red�marrez le conteneur Web apr�s avoir effectu� la manipulation.
G11NSetting ne prend pas en compte les espaces dans le facteur Q (n� 5008860)
Lorsque les donn�es du client comprennent un espace dans ou autour du facteur q, le code G11NSettings ne peut pas l’analyser correctement et renvoie le message d’erreur suivant :
ERROR: G11NSettings::Fetchcharset() Unable toparse charset entry invalid Q q
La page de connexion �choue lorsqu’on utilise un param�tre de r�le multi-octets dans un URL utilisant le jeu de caract�res japonais (n� 4905708)
Si vous cr�ez un r�le multi-octets, puis si vous tentez une connexion URL avec un nom d’utilisateur inscrit aupr�s de ce r�le, la page de connexion g�n�re une erreur.
Solution
Pour que la proc�dure d’authentification puisse d�coder un r�le multi-octets comme indiqu� dans l’URL, vous devez ajouter gx_charset au param�tre. Par exemple :
http://hostname:port/amserver/UI/Login?role=manager?role=%E3%81%82%&gx_charset=utf-8
Les fichiers journaux sont tronqu�s dans l’environnement linguistique japonais (n� 4882286)
Les fichiers journaux suivants contiennent des caract�res japonais tronqu�s lorsqu’on les ouvre :
Tous les fichiers du r�pertoire IdentityServer_base/SUNWam/debug sauf deploy.log et undeploy.log.
L’environnement linguistique indiqu� dans l’URL affiche une page de connexion mixte (n� 4915137)
Si vous utilisez un navigateur dans une langue autre que l’anglais avec une instance d’Identity Server install�e avec WebServer et si vous vous connectez au site http://<h�te>:<port>/amserver/UI/Login?locale=en, la page de connexion affiche des caract�res anglais et non-anglais.
Solution
Modifiez le lien symbolique suivant :
IdentityServer_base/SUNWam/web-apps/services/config/auth/default
afin d’obtenir
IdentityServer_base/SUNWam/web-apps/services/config/auth/default_en
Message d’erreur non localis� pour le module de base HTTP (n� 4921418)
Si vous vous connectez en utilisant le module d’authentification de base HTTP et cliquez sur Annuler, un message d’erreur non localis� s’affiche. Il s’agit d’un probl�me connu du serveur d’applications, qui ne se produit que lorsqu’Identity Server est d�ploy� avec le serveur d’applications.
Environnement linguistique mixte dans la fen�tre de connexion lorsque la version du serveur d’applications est en japonais (n� 4932089)
La fen�tre de connexion Identity Server ne revient pas par d�faut en anglais lorsque la langue du navigateur est en et si l’environnement linguistique du serveur d’applications est ja.
Solution
Ex�cutez le serveur d’applications avec l’environnement linguistique en.
La notification de verrouillage envoie un e-mail illisible (n� 4938511)
Si vous ex�cutez Identity Server avec un conteneur Web dont l’environnement linguistique favori n’est pas C et qu’un utilisateur n’est pas autoris� � acc�der au serveur, la notification de verrouillage qui est transmise par e-mail est illisible.
Solution
Param�trez email|local|charset (et pas seulement le param�tre email) dans l’attribut permettant de d�finir l’adresse e-mail � utiliser pour la notification du verrouillage. Par exemple :
Niveau de r�solution des conflits dans un environnement linguistique fixe (n� 4922030)
Si un utilisateur se connecte � la console d’Identity Server avec un environnement linguistique sp�cifique (par exemple zh), s’il enregistre le service de configuration d’authentification, cr�e un mod�le pour ce service, puis se d�connecte et se connecte � nouveau avec un environnement linguistique diff�rent, les �l�ments du niveau de r�solution des conflits ne seront pas correctement r�pertori�s dans le format de l’environnement linguistique d’origine.
Les messages de version am2bak et bak2am sont seulement en anglais (n� 4930610)
Les messages de version des utilitaires de restauration am2bak et bak2am ne sont disponibles qu’en anglais dans cette version.
Les noms multi-octets ne fonctionnent pas avec l’enregistrement automatique (n� 4732470)
Si vous cr�ez un utilisateur dans l’enregistrement automatique (service d’authentification des membres) avec un ID utilisateur dupliqu� ainsi qu’un pr�nom et un nom multi-octets, un message d’erreur appara�t. Les ID utilisateur multi-octets ne sont pas pris en compte.
Solution
Si un utilisateur se connecte en utilisant l’enregistrement automatique dans un environnement multi-octets, l’administrateur doit s’assurer que l’attribut du mode g�n�rateur d’utilisateur n’est pas s�lectionn� dans l’authentification principale.
ou
L’utilisateur peut s�lectionner l’option Create My Own dans la page de connexion d’enregistrement automatique.
La version japonaise d’Identity Server ne fonctionne pas avec Netscape 6.22, 6.23 (n� 4902421)
Dans la version japonaise d’Identity Server 6.1, vous ne pouvez pas vous connecter � la console avec Netscape 6.22 ou 6.23.
Le format de l’heure ne se modifie pas (n� 4888416)
Dans les conditions d’heure des d�finitions de strat�gies, l’heure conserve le format suivant, quel que soit l’environnement linguistique :
Hour:Minute AM/PM
Le message des paires msgid-msgstr dans backup_restore.po n’est pas localis� (n� 4916683)
Si vous recevez un message vous signifiant que les paires msgid-mgstr manquent dans le script backup_restore.po et que le certificat Directory Server n’est pas enregistr�, Directory Server est malgr� tout enregistr�. Ce message n’a pas �t� localis�.
�cran de d�tection du client non localis� (n� 4922013)
Dans cette version, certaines parties de l’�cran des propri�t�s du style en cours ne sont pas localis�es au niveau de l’interface de d�tection du client.
La mise � jour des propri�t�s client genericHTLM ne s’applique pas (n� 4922348)
Si vous supprimez le jeu de caract�res UTF-8 dans les propri�t�s client genericHTLM du service de d�tection du client, enregistrez les modifications, puis activez la d�tection du client. D�connectez-vous, puis reconnectez-vous. Vous remarquerez que la page de connexion utilise toujours le jeu de caract�res UTF-8.
Solution
Red�marrez le serveur manuellement avec amserver.
L’en-t�te des fichiers journaux n’est pas localis� (n� 4923536)
Les deux premi�res lignes des fichiers journaux ne sont pas localis�es, en particulier les sections Version et Fields , ainsi que la liste de champs correspondante.
Les valeurs des champs de donn�es ne sont pas localis�es dans amSSO.access (n� 4923549)
Dans le fichier journal amSSO.access, aucune des valeurs du champ Data n’est localis�e.
Le fichier exception.jsp contient des messages cod�s en dur (n� 4773213)
Exception.jsp n’est pas localis� ; il contient un titre, des messages d’erreur et des informations de copyright cod�s en dur. Cette page d’erreur jsp ne s’affiche qu’en cas de probl�me grave, par exemple, lorsque Directory Server est arr�t�, lorsque aucun des services Identity Server ne peut �tre d�marr� ou que la localisation de cette page jsp n’est pas disponible.
Cookies
Le mode sans cookies ne fonctionne pas (n� 4967866)
Si un navigateur a acc�s � Identity Service alors que la prise en charge des cookies n’a pas �t� activ�e, bien que le navigateur prenne ces derniers en compte, le navigateur continuera d’envoyer l’ancien cookie Identity Server. L’acc�s aux ressources Identity Server sera alors refus�.
Solution
Choisissez l’une des solutions de rechange suivantes :
D�tournement des cookies
Le manque de fiabilit� des applications utilisant des cookies de session peut remettre la s�curit� en question.
Lorsque la connexion unique (SSO) ou la connexion unique � domaines crois�s (CDSSO) est activ�e lors du d�ploiement d’Identity Server, les cookies de session http(s) sont d�finis dans le navigateur de l’utilisateur. Ces cookies sont valid�s pour plusieurs applications. Lorsqu’Identity Server est d�ploy� sur plusieurs domaines DNS, le protocole Liberty transf�re les cookies de session http(s) depuis le domaine DNS authentifi� vers le domaine cible de l’application Web.
Bien que l’utilisateur ait automatiquement acc�s aux ressources Web, le manque de fiabilit� de certaines applications utilisant les cookies de session se traduit par un probl�me connu de s�curit�. Il peut survenir lorsqu’un fournisseur d’identit� transmet des informations d’authentification, d’autorisation et de profil concernant un utilisateur � des applications ou prestataires de service d�velopp�s par des tiers ou par des groupes non autoris�s dans l’entreprise. Les probl�mes de s�curit� suivants peuvent se produire :
- Les applications partagent toutes le m�me cookie de session http. Ainsi, une application sensible va pouvoir d�tourner le cookie de session et se servir de l’ID d’un utilisateur pour acc�der � une autre application.
- Si l’application n’utilise pas le protocole https, le cookie de session sera enclin � �couter clandestinement le r�seau.
- S’il est possible d’espionner ne serait-ce qu’une seule application, alors la s�curit� de l’infrastructure dans son ensemble est en danger.
- Une application sensible peut utiliser le cookie de session pour acc�der aux attributs du profil de l’utilisateur et les modifier. Si l’utilisateur dispose de privil�ges d’administration, l’application peut �tre � m�me d’occasionner des d�g�ts nettement plus importants.
Solution
Suivre la proc�dure suivante :
- Utilisez la console d’administration d’Identity Server afin de cr�er une entr�e pour chaque agent.
- Dans l’organisation contenant l’agent qui va �tre cr��, s�lectionnez l’option Agents dans le menu Affichage, puis cliquez sur Nouveau.
- Les informations suivantes sont n�cessaires :
- Cliquez sur OK.
- Lancez la commande suivante sur le mot de passe saisi lors de l’�tape 2b.
- Changez AMAgent.properties afin de refl�ter la nouvelle valeur, puis red�marrez l’agent. Exemple :
- Changez AMConfig.properties afin de refl�ter les nouvelles valeurs, puis red�marrez Identity Server. Exemple :
- Dans la console Identity Server, choisissez Configuration des services > Plates-formes.
- Dans la liste des domaines du cookie, modifiez le nom de domaine du cookie :
Nom : saisissez le nom ou l’identit� de l’agent. Exemple : agent123.
Mot de passe : saisissez le mot de passe de l’agent. Exemple : agent123
Confirmation du mot de passe : confirmez le mot de passe.
Description : d�crivez l’agent bri�vement. Par exemple, vous pouvez saisir le nom d’instance de l’agent ou le nom de l’application qu’il prot�ge.
Valeur de cl� d’agent : d�finissez les propri�t�s de l’agent avec une paire cl�/agent. Identity Server utilisera cette propri�t� pour recevoir les requ�tes des agents au sujet des assertions de r�f�rence concernant les utilisateurs.
Saisissez une valeur de propri�t� pour agentRootURL avec une valeur �gale � l’URL de l’agent ayant le num�ro de port. N’oubliez pas de respecter la casse dans la valeur de agentRootURL.
Exemple : agentRootURL=http://nom_serveur:99/
Statut de l’unit� : saisissez le statut du dispositif de l’agent. Si l’agent est d�fini comme actif, il pourra alors s’authentifier aupr�s d’Identity Server et communiquer avec ce dernier. S’il est d�fini comme inactif, l’agent ne pourra pas s’authentifier aupr�s d’Identity Server.
/opt/SUNWam/agents/bin/crypt_util agent123
Vous obtiendrez le r�sultat suivant :
WnmKUCg/y3l404ivWY6HPQ==
Fichiers redistribuables
Sun Java System Identity Server 2004Q2 ne contient pas de fichiers redistribuables.
Signalisation de probl�mes et apport de commentaires
Si vous rencontrez des probl�mes avec Sun Java System Identity Server, contactez le service client�le Sun de l’une des mani�res suivantes :
- En faisant appel aux services d’assistance logicielle Sun en ligne � l’adresse suivante :
http://www.sun.com/supportraining
Afin de vous aider au mieux � r�soudre votre probl�me, nous vous sugg�rons de r�unir les informations suivantes lorsque vous contactez l’assistance technique de Sun :
- Description du probl�me, y compris l’endroit o� il s’est produit et son impact sur vos activit�s.
- Type de machine, versions du syst�me d’exploitation et du produit, y compris les correctifs et autres logiciels pouvant avoir un lien avec le probl�me.
- Proc�dure d�taill�e des m�thodes utilis�es pour reproduire le probl�me.
- Tous les journaux d’erreur ou vidages de la m�moire.
Sun attend vos commentaires.
Afin d’am�liorer sa documentation, Sun vous encourage � faire des commentaires et � apporter des suggestions. Pour ce faire, utilisez le formulaire �lectronique disponible � l’adresse suivante :
Veuillez indiquer le titre complet du document ainsi que son num�ro de r�f�rence dans les champs appropri�s. Le num�ro de r�f�rence est constitu� de sept ou neuf chiffres et figure sur la page de titre du manuel ou en haut du document. Dans le cas des pr�sentes notes de version, la r�f�rence est 817-7132-10.
Ressources Sun suppl�mentaires
Vous pouvez obtenir des informations utiles concernant Sun Java System sur les sites Internet suivants :
- Documentation Sun Java System
http://docs.sun.com/db/prod/entsys.04q2 - Services professionnels de Sun Java System
http://www.sun.com/service/products/software/javaenterprisesystem/ - Sun Java System Produits et services logiciels
http://wwws.sun.com/software/ - Services d’assistance logicielle Sun Java System
http://www.sun.com/supportraining - Base de connaissances et d’assistance Sun Java System
http://sunsolve.sun.com - Services professionnels et de conseil Sun Java System
http://www.sun.com/service/products/software/javaenterprisesystem - Informations pour les d�veloppeurs Sun Java System
http://developers.sun.com/ - Services d’assistance pour d�veloppeurs Sun
http://www.sun.com/developers/support
Copyright � 2004 Sun Microsystems, Inc. Tous droits r�serv�s.
Sun Microsystems, Inc. has intellectual property rights relating to technology embodied in the product that is described in this document. In particular, and without limitation, these intellectual property rights may include one or more of the U.S. patents listed at http://www.sun.com/patents and one or more additional patents or pending patent applications in the U.S. and in other countries.
SUN PROPRIETARY/CONFIDENTIAL.
Droits soumis � la loi am�ricaine - Logiciel de commerce. Les utilisateurs de l’�tat sont soumis au contrat de licence standard de Sun Microsystems, Inc. ainsi qu’aux clauses applicables du FAR et de ses suppl�ments.
L’utilisation est soumise aux conditions de la licence.
This distribution may include materials developed by third parties.
Des parties de ce produit pourront �tre d�riv�es des syst�mes Berkeley BSD sous contrat de licence par l’Universit� de Californie.
Sun, Sun Microsystems, the Sun logo, Java and Solaris are trademarks or registered trademarks of Sun Microsystems, Inc. in the U.S. and other countries. Toutes les marques SPARC sont utilis�es dans le cadre d’un contrat de licence et sont des marques ou des marques d�pos�es de SPARC International, Inc. aux �tats-Unis et dans d’autres pays.
Copyright � 2004 Sun Microsystems, Inc. Tous droits r�serv�s.
Sun Microsystems, Inc. d�tient les droits de propri�t� intellectuelle relatifs � la technologie incorpor�e dans le produit qui est d�crit dans ce document. En particulier, et ce sans limitation, ces droits de propri�t� intellectuelle peuvent inclure un ou plusieurs des brevets am�ricains r�pertori�s � l’adresse http://www.sun.com/patents et un ou plusieurs des brevets suppl�mentaires ou demandes de brevet en attente aux �tats-Unis et dans d’autres pays.
Propri�t� de SUN/CONFIDENTIEL.
L’utilisation est soumise aux termes du contrat de licence.
Cette distribution peut comprendre des composants d�velopp�s par des tierces parties.
Des parties de ce produit pourront �tre d�riv�es des syst�mes Berkeley BSD sous contrat de licence par l’Universit� de Californie.
Sun, Sun Microsystems, le logo Sun, Java et Solaris sont des marques ou des marques d�pos�es de Sun Microsystems, Inc. aux �tats-Unis et dans d’autres pays.
Toutes les marques SPARC sont utilis�es dans le cadre d’un contrat de licence et sont des marques ou des marques d�pos�es de SPARC International, Inc. aux �tats-Unis et dans d’autres pays.