Notes de version de Sun Java System Access Manager 6 2005T1

Sun Java™ System Access Manager Notes de version

Version 6 2005T1

2 février 2005

Référence 819-1945

Ces notes de version contiennent des informations importantes disponibles au moment de la mise sur le marché de Sun Java System Access Manager 6 2005T1 (anciennement Sun Java System Identity Server). Vous y trouverez des renseignements sur les nouvelles fonctionnalités, les améliorations, les restrictions et problèmes connus. Lisez attentivement ce document avant d’installer et d’utiliser cette version.

Vous trouverez la dernière version de ces notes de version sur le site Web de documentation relatif à Sun Java System à l’adresse :

Consultez ce site Web avant d’installer et de configurer votre logiciel, puis régulièrement pour vous procurer la documentation concernant le produit et les notes de version les plus récentes.

Ces notes de version comprennent les sections suivantes :

Des adresses URL de sites tiers, qui renvoient à des informations complémentaires connexes, sont référencées dans ce document.

Remarque

Sun décline toute responsabilité quant à la disponibilité des sites tiers mentionnés. Sun ne garantit pas le contenu, la publicité, les produits et autres matériaux disponibles sur ces sites ou dans ces ressources, ou accessibles par leur intermédiaire, et ne saurait en être tenu pour responsable. Par ailleurs, la responsabilité de Sun ne saurait être engagée en cas de dommages ou de pertes, réels ou supposés, occasionnés par, ou liés à, l’utilisation du contenu, des produits ou des services disponibles sur ces sites ou dans ces ressources, ou accessibles par leur biais, ou encore à la confiance qui a pu leur être accordée.

Historique de révision des notes de version

Tableau 1  Historique des révisions 

Date

Description des modifications

2 février 2005

Version 2005T1. Première publication de ces notes de version.

À propos d’Access Manager 6 2005T1

Sun Java System Access Manager est une solution de gestion des identités conçue pour répondre aux besoins des entreprises en expansion rapide. Access Manager vous permet de centraliser les identités de vos employés, partenaires et fournisseurs au sein d’un seul et même répertoire en ligne. De plus, il fournit un moyen d’établir les stratégies et autorisations d’accès aux différents types d’informations au sein de votre entreprise. Access Manager vous permet de contrôler les informations, les services et les prérogatives d’accès de chaque utilisateur. Grâce à lui, vous gérez toutes vos relations professionnelles, internes comme externes.

Nouveautés de cette version

Access Manager 2005T1 propose les fonctions ci-dessous. Pour plus d’informations sur ces fonctions, reportez-vous au manuel Sun Java System Access Manager Technical Overview.

Configurations matérielle et logicielle requises

Les configurations matérielle et logicielle suivantes sont requises pour cette version d’Access Manager.

Tableau 2  Configurations matérielle et logicielle requises 

Composant

Configuration requise

Système d’exploitation

Système d’exploitation Solaris™, SPARC® Platform Edition, versions 8, 9 et 10

Système d’exploitation Solaris™, x86 Platform Edition, versions 9 et 10

Red Hat™ Linux Advanced Server 2.1 Update 2

Red Hat™ Linux, Advanced Server 3.0, 3.0 Update 1, 3.0 Update 2, 3.0 Update 3

Red Hat™ Linux, Advanced Server 3.0 Update 2 for AMD64

Mémoire vive

512 Mo

Espace disque

250 Mo pour Access Manager et les applications associées

Navigateurs pris en charge

Cette version d’Access Manager prend en charge les navigateurs suivants :

Navigateur

Plates-formes

Microsoft Internet Explorer™ 5.5 SP2

Windows™ 2000, Sun Linux, Red Hat™ Linux 8.0

Microsoft Internet Explorer 6.0

Windows 2000, Windows™ XP, Sun Linux, Red Hat Linux 8.0

Mozilla 1.7.1

Windows 2000, Sun Linux, Red Hat Linux 8.0, Solaris™ 9 et 10, Solaris™ OS, x86 Platform Edition, versions 9 et 10

Netscape™ 4.79

Windows NT, Solaris 8 et 9

Netscape™ 6.2.1

Windows NT, Windows 98, Sun Linux, Red Hat™ Linux Advanced Server 2.1, Solaris™ OS, x86 Platform Edition, versions 9 et 10

Netscape™ 7.0

Windows 2000, Sun Linux, Red Hat Linux 8.0, Solaris™ 9 et 10, Solaris™ OS, x86 Platform Edition, versions 9 et 10

Bogues résolus dans la présente version

Le tableau ci-dessous répertorie les bogues résolus dans Access Manager 2005T1 :

Tableau 3  Bogues résolus dans Access Manager 2005T1 

Référence

Description

5050332

Sur les systèmes Linux, amserver stop n’arrête pas le processus amunixd

5049218

Erreur sur la console lors de la recherche d’utilisateurs lorsque la gestion des utilisateurs est désactivée

5048378

Propriété de port du serveur SMTP incorrecte dans les propriétés AMConfig

5043752

Message indiquant un échec lors de l’exécution du processus am2bak

5042100

L’administrateur de stratégie ne peut pas modifier son propre profil

5041529

Filtre de recherche des entités de base (BasicEntitySearch) codé en dur dans l’ID utilisateur

5038600

Les utilisateurs ne peuvent pas être créés en même temps que le service SAML

5037978

La création de rôles disposant des droits d’accès org admin entraîne une erreur

5026635

La compilation des exemples de console n’a pas lieu

5016725

Les modifications apportées à la règle de stratégie de référence ne sont pas reflétées dans la sous-organisation

5013994

Échec de connexion de niveau d’authentification pour les navigateurs japonais

5008960

amadmin renvoie un message d’erreur incorrect

4996479

Les services ayant une stratégie de schéma apparaissent comme pouvant être ajoutés à un utilisateur

4961370

Le masque de saisie « ** » ne fonctionne pas

4959895

Le filtre de recherche des descripteurs d’entités ne fonctionne pas correctement

4959071

Les sessions inactives ne sont pas nettoyées

4931907

Les services disparaissent avec la connexion d’un utilisateur dont le rôle est de type service

4931163

Les attributs de dénomination doivent être en minuscules

4930610

Les messages de version am2bak et bak2am sont seulement en anglais

4922030

Niveau de résolution des conflits dans un environnement linguistique fixe

4916683

Le message des paires msgid-msgstr dans backup_restore.po n’est pas localisé

4853809

Problème d’enregistrement de service

4853809

L’enregistrement de tous les services peut ne pas enregistrer l’ensemble des services disponibles

Notes relatives à l’installation

Le script amconfig prend désormais en charge le déploiement d’instances supplémentaires d’Access Manager par l’utilisation d’Application Server Enterprise Edition 8 2005T1 (8.1) en tant que conteneur Web, après installation de la première instance à l’aide du programme d’installation de Java Enterprise System.

Pour plus d’informations sur l’exécution des scripts de configuration, reportez-vous au manuel Access Manager 6 2005Q1 Administration Guide.

Reportez-vous également à la rubrique Installation sous Problèmes connus et restrictions.

Problèmes connus et restrictions

Cette section répertorie les principaux problèmes connus au moment de la sortie d’Access Manager 2005T1. Elle aborde les thèmes suivants :

Installation

Renvoi d’exceptions par amadmin sur les installations SDK avec serveur sécurisé (n° 5107584)

Dans Access Manager 2005T1, si vous procédez à une installation complète d’une instance sécurisée d’Access Manager, puis installez un SDK pour vous servir de cette installation complète, vous risquez de rencontrer des exceptions. En effet, la propriété com.iplanet.am.admin.sli.cerdb.prefix présente une valeur incorrecte au niveau de Web Server.

Solution

  1. Modifiez le fichier AMConfig.properties.
  2. Remplacez la propriété com.iplanet.am.admin.cli.certdb.prefix par https-<ws-nom-instance>-<ws-nom-hôte>-.
  3. Redémarrez le serveur Web.

L’installation AMSDK avec conteneurs Web contient des liens brisés vers des composants partagés sous Linux (n° 6199933)

Si vous installez le SDK Access Manager pour un conteneur Web sur la plate-forme Linux, plusieurs liens vers des composants partagés seront brisés.

Solution

Supprimez les liens incorrects et créez-en de nouveaux.

Pour supprimer les liens :

cd ${AM_INSTALL_DIR}/identity/lib

rm -rf jaxrpc-spi.jar relaxngDatatype.jar xsdlib.jar

Pour créer de nouveaux liens :

ln -s /opt/sun/private/share/lib/jaxrpc-spi.jar

ln -s /opt/sun/private/share/lib/relaxngDatatype.jar

ln -s /opt/sun/private/share/lib/xsdlib.jar

Performances réduites par une erreur dans l’argument concernant le plug-in d’intégrité référentielle (n° 5029256)

Lorsque Access Manager active le plug-in d’intégrité référentielle de Directory Server, le nom d’attribut de l’argument 11 du plug-in présente une erreur. Cet attribut est nommé iplanet-am-modifable-by, ce qui entraîne l’enregistrement d’un avertissement recherche non indexée dans le journal des erreurs lors de la suppression d’une organisation.

Le plug-in d’intégrité référentielle nécessite l’indexation de tous les attributs mentionnés dans ses arguments. Or, l’attribut indexé est iplanet-am-modifiable-by. Ce problème risque d’avoir des conséquences sur les performances d’Access Manager.

xercesImpl.jar d’Application Server entraîne un blocage de JVM (n° 6223676)

xercesImpl.jar d’Application Server 8.1 EE dans /opt/sun/appserver/lib pour RedHat Linux (ou /opt/SUNWappserver/appserver/lib) pour Solaris est chargé avant la version de composant partagé de xercesImpl.jar dans /opt/sun/share/lib pour RedHat Linux (ou usr/share/lib pour Solaris).

La version d’Application Server est chargée par le chargeur de classe avant la version de composant partagé. Lorsque cela se produit la version périmée d’Application Server ne peut pas assurer le traitement des milliers de JSP en attente. Alors, JVM se bloque ou s’arrête.

Solution

Renommez xercesImpl.jar en opt/sun/appserver/lib pour Red Hat AS 2.1 ou 3.0, ou en /opt/SUNWappserver/appserve/lib pour Solaris 9 ou 10 pour SPARC et x86. Le chargeur de classe JVM est alors obligé d’utiliser la version de composant partagé de xerceImpl.jar dans /opt/sun/share/lib pour Red Hat AS 2.1 ou 3.0, ou dans /usr/share/lib pour Solaris 9 et 10.

Le programme d’installation ne permet pas à l’utilisateur de saisir un protocole au cours de l’installation du SDK AM (n° 6180090)

Si vous installez le SDK Access Manager, l’écran « Access Manager : Conteneur Web pour l’exécution des services Sun Java System Access Manager » ne demande pas le protocole du conteneur Web exécutant les services Access Manager. Le programme d’installation considère que le conteneur Web utilise le protocole http. Pourtant, il peut être nécessaire de spécifier le protocole https pour accéder à une installation SDK qui utilise une instance d’Access Manager prenant en charge la norme SSL.

Solution

Dans le fichier AMConfig.properties, affectez la valeur https au protocole associé à l’installation du serveur Access Manager. Par exemple :

com.iplanet.am.server.protocol=https
com.iplanet.am.console.protocol=https

Access Manager ajoute servlet.jar à la variable CLASSPATH du serveur (n° 5016348)

Access Manager place un fichier servlet.jar dans la variable CLASSPATH du serveur pour ses conteneurs Web pris en charge. Ce fichier peut entraîner des résultats inattendus car chaque conteneur Web intègre un fichier servlet.jar au cours de son implémentation.

Solution

Supprimez le fichier servlet.jar de la variable CLASSPATH.

Exemples Access Manager

Les exemples renvoient des avertissements lors de la compilation à l’aide de JDK 1.5 (n° 5102149)

Les exemples inclus avec Access Manager renvoient des avertissements s’ils sont compilés à l’aide de JDK 1.5.

Solution

Pour éviter ces avertissements :

Des omissions au niveau de l’exemple SAML xmlsig aboutissent à des échecs de compilation (n° 5090925)

Des omissions au niveau des exemples SAML xmlsig entraînent des échecs de compilation s’ils sont compilés à l’aide de JDK 1.5. Ce problème ne se produit pas si vous utilisez JDK 1.4.2 pour la compilation.

Solution

Si vous utilisez JDK 1.5 pour la compilation, procédez comme suit pour configurer LD_LIBRARY_PATH :

  1. Recherchez le fichier Lisezmoi.html ou Lisezmoi.txt correspondant aux exemples SAML dans le répertoire xmlsig.
  2. Dans la section 3, « Instructions de configuration de l’exemple XMLSIG sur Solaris », de l’étape 4, donnez à LD_LIBRARY_PATH la valeur répertoire-installation-serveur-web/bin/https/lib.
  3. Ajoutez /usr/lib/mps/secv1 à LD_LIBRARY_PATH pour récupérer la bibliothèque JSS et ses dépendances.

Authentification

Le système de notification de la modification d’utilisateur par e-mail ne fonctionne pas (n° 6212964)

Le mécanisme de notification de la modification d’utilisateur par e-mail, dans le cadre du service d’administration, ne fonctionne actuellement pas.

Connexions SafeWord non fermées (n° 5073718)

Si vous essayez de vous connecter à Access Manager, ouvrez la page de réponse aux demandes SafeWord et ne saisissez jamais de mot de passe. Aucune temporisation n’est imposée à la connexion. Si vous fermez le navigateur, la connexion au serveur SafeWord n’est jamais désactivée.

Liaison anonyme à la connexion de serveur d’annuaire LDAP par le système d’authentification LDAP (n° 5090018)

Access Manager ne transmet ni le DN de liaison ni le mot de passe au serveur d’annuaire pour une connexion LDAP, ce qui affecte l’authentification lors de la désactivation de la liaison anonyme au niveau du serveur d’annuaire LDAP.

Solution

Autorisez les liaisons anonymes au niveau de votre serveur d’annuaire.

La propriété du mode Cookie persistant est incohérente (n° 5038544)

Dans le mode Cookie persistant, la propriété ID utilisateur configurée dans le jeton est incohérente. L’agent de stratégie, qui dépend de la propriété ID utilisateur, peut échouer pour cette raison.

Solution

Utilisez UserToken pour une valeur non-DN et Principal pour la valeur DN.

Le rechargement de la page de délai d’expiration de session authentifie l’utilisateur sur la base d’un nom et d’un mot de passe valides (n° 4697120)

Si l’utilisateur attend que la page de connexion devienne inactive, puis entre un nom d’utilisateur et un mot de passe valides, la page de délai d’expiration de session s’affiche. L’utilisateur est authentifié auprès d’Access Manager s’il recharge la page sans saisir à nouveau son nom d’utilisateur et son mot de passe.

Des répertoires différents doivent être spécifiés en cas de serveurs SafeWord multiples (n° 4756295)

Dans le cas d’organisations multiples qui utilisent leur propre serveur SafeWord, chaque organisation doit indiquer son propre répertoire .../serverVerification dans ses modèles de service d’authentification SafeWord. Si vous conservez la valeur par défaut et que tous les serveurs utilisent le même répertoire, la première organisation à être authentifiée avec son serveur SafeWord sera la seule à fonctionner.

Outils de ligne de commande

Les utilitaires ldapsearch et ldapmodify du répertoire /opt/SUNWam/bin ne fonctionnent pas correctement (n° 4954779)

Les utilitaires ldapsearch et ldapmodify du répertoire /opt/SUNWam/bin renvoient des erreurs fatales.

Solution

Ajoutez le chemin répertoire-base-serveur-annuaire/lib/ à votre variable d’environnement LD_LIBRARY_PATH.

Les scripts am2bak et bak2am ne fonctionnent pas sous Linux (n° 5053866)

Les scripts de restauration am2bak et bak2am ne fonctionnent pas lorsque Access Manager est exécuté sous un système Linux.

Solution

  1. Corrigez le chemin des commandes suivantes :
    • ECHO=/usr/bin/echo doit être remplacé par ECHO=/bin/echo
    • uid=’/usr/xpg4/bin/id -un’ doit être remplacé par uid=’/usr/bin/id -un’
    • /usr/bin/tar doit être remplacé par /bin/tar
    • /usr/bin/rm doit être remplacé par /bin/rm
    • /usr/bin/grep doit être remplacé par /bin/grep
    • /usr/bin/ps doit être remplacé par /bin/ps
    • /usr/bin/ls doit être remplacé par/bin/ls
  2. Modifiez la fonction check_for_invalid_chars(). Par exemple :

amadmin renvoie un message d’erreur incorrect (n° 5008960)

L’option import de amadmin renvoie à tort le même message d’erreur pour toutes les erreurs associées.

Dans les programmes d’installation uniquement sur console, les balises de l’utilitaire amverifyarchive n’ont pas été échangées (n° 4993375)

Si vous installez Access Manager uniquement sur la console, les balises suivantes de l’utilitaire amverifyarchive ne sont pas échangées dans ce script : JSSHOME, JDK_HOME, BASEDIR et PRODUCT_DIR.

Configuration

WebSphere Application Server 5.1 ne démarre pas après une configuration réussie sous Linux (n° 6204646)

Si vous installez le composant SDK Access Manager pour WebSphere sous Linux, puis exécutez amwas51config avec le fichier amsamplesilent correct, WebSphere ne démarre pas.

Solution

Ajoutez /opt/sun/private/lib à LD_LIBRARY_PATH selon les indications ci-dessous :

LD_LIBRARY_PATH="$WAS_LIBPATH":$LD_LIBRARY_PATH:/opt/sun/private/lib

export LD_LIBRARY_PATH ;;

Dans server.xml, supprimez « /: » avant l’option -Djava.util.logging.config.class.

Alias certdb incorrectement défini pour serveur Web (n° 6212532)

Si vous activez SSL pour serveur Web avec Access Manager, et que vous exécutiez amadmin, vous obtenez l’erreur « service d’attribution de noms non disponible ». Si vous passez par le navigateur, tout fonctionne correctement.

Des index sont toujours créés pour une racine utilisateur, quel que soit le nom principal (n° 5002886)

Le fichier index.ldif code la racine utilisateur en dur pour créer un index pour les attributs. Il est possible d’installer Access Manager sur un suffixe racine se trouvant sur n’importe quel nom de base de données principal arbitraire. Le nom principal peut être obtenu via ldapsearch avec le cn=config de base à l’aide du filtre nsslapd-suffix=SUFFIX_NAME.

Fédération

Le contact de la gestion des fédérations renvoie une exception (n° 6213102)

Si vous créez un fournisseur et que vous ajoutez un nouveau contact pour ce fournisseur, vous risquez de recevoir l’erreur suivante :

Le serveur a rencontré une erreur interne () qui l’a empêché de remplir cette requête.

La journalisation à distance ne fonctionne pas pour les journaux amFederation.access (n° 6197608)

Une fois la journalisation à distance configurée, tous les journaux sont correctement rédigés sur l’instance Access Manager distante, sauf amFederation.access. L’entrée de journal n’est pas enregistrée.

Solution

Utilisez AccessController.doPrivileged(AdminTokenAction.getInstance()); dans LogUtils.

L’état fedCookie ne change pas (n° 6202574)

Si vous réalisez un achèvement de fédération pour des utilisateurs fédérés sur SP et IDP, l’état fedCookie continue à afficher la valeur OUI au lieu de NON.

Échec des conteneurs de profils personnels lors des requêtes/modifications (n° 6189808)

Les conteneurs de profils personnels suivants aboutissent à un échec en cas d’opération de requête ou de modification :

LegalIdentity/Gender

EmploymentIdentity/AltO

Une exception est envoyée pour la modification PP si la valeur d’attribut est vide (n° 5047103)

Access Manager renvoie une exception si vous tentez une modification PP avec une valeur d’attribut vide. Par exemple, si vous créez une configuration de test de l’exemple sis-ep, puis chargez la page de modification EP avant de cliquer sur le bouton sans avoir saisi de valeur pour l’attribut, l’exception sera envoyée de manière incorrecte.

Redémarrez le serveur pour que la stratégie soit prise en compte (n° 5045036)

L’implémentation de la stratégie de fédération ne sera prise en compte que lorsque le serveur aura été redémarré. Cela vaut aussi bien pour le serveur d’applications que pour le serveur Web. Vous ne devez redémarrer le serveur que dès que l’installation a été effectuée et lorsque la stratégie est mise en uvre pour la première fois.

Console d’Access Manager

Impossible de créer des utilisateurs avec un grand nombre de conteneurs de personnes dans DIT (n° 5079609)

Si vous créez un grand nombre de conteneurs de personnes (plus d’un millier), et que vous vous connectez à la console d’Access Manager et créez un nouvel utilisateur, cet utilisateur ne sera pas créé car il sera impossible de trouver un conteneur de personne.

Ce problème est dû à l’échec de UMCreateUserModelImpl.getPeopleContainers() à cause d’erreurs liées à la temporisation des recherches, malgré le fait que le serveur d’annuaire trouve un grand nombre de conteneurs de personnes avant d’atteindre la durée limite.

Solution

Activez l’option d’affichage des conteneurs de personnes dans la console d’Access Manager. Accédez au conteneur souhaité et créez-y vos utilisateurs.

Le rôle d’administrateur d’assistance de niveau supérieur avec accès en lecture seule permet de créer de nouveaux utilisateurs (n° 5109348)

Les droits d’accès du rôle d’administrateur d’assistance sont actuellement définis par défaut sur la valeur Accès complet. Si vous lui donnez la valeur Modifier, les boutons Nouveau et Supprimer sont désactivés dans le volet de navigation mais l’administrateur peut toujours modifier les propriétés des entrées utilisateurs.

Solution

Ouvrez la page de propriétés Administration d’assistance et affichez les actions disponibles. Sur la ligne Utilisateur, remplacez la valeur Accès complet par Modifier.

Renvoi d’une exception lors de la sélection de l’option Affilié pour une entité affiliée (n° 6203563)

Dans le module Gestion des fédérations, une exception est renvoyée lorsque vous sélectionnez l’option Afficher>Filiales sur la page d’entité affiliée.

Solution

Modifiez le JSP de telle sorte que l’attribut de hauteur soit en dehors de la balise JATO de fermeture. Dans FSAffiliateProfile.jsp, ligne 104 remplacez la valeur par :

<td width="1%"><img src="<%consoleImages%>/spacer.gif" width=<jato:text name="defaultAttrNameWidth" /> height="1" alt=""></td>

Vous pouvez remarquer que /> vient avant l’attribut de hauteur.

Erreur au niveau de l’option Afficher filiales (n° 6194139)

Access Manager renvoie une page d’erreur lorsque l’option Afficher filiales du module Gestion des fédérations est la seule option du menu et est définie sur la valeur par défaut.

Impossible de modifier les services pour les utilisateurs disposant du rôle d’administration des personnes (n° 6174652)

Si vous êtes connecté sous le rôle d’administrateur des personnes de niveau supérieur, vous pouvez ajouter un nouveau service pour un utilisateur mais vous ne pouvez modifier aucun service.

Solution

Modifiez le profil d’affichage du rôle Administration des personnes et donnez-lui accès aux menus et actions nécessaires.

Les valeurs ne sont pas conservées après l’activation du bouton de retour en arrière (n° 4992972)

Lorsque vous traitez plusieurs pages, par exemple lors de la création d’un groupe ou d’un rôle, ou lors de l’ajout d’une stratégie, et que vous cliquez sur le bouton de retour en arrière, les valeurs saisies sur la page précédente ne sont pas conservées.

Problème de rafraîchissement pour le fournisseur hébergé dans le module de gestion des fédérations (n° 4915894)

Dans le module de gestion des fédérations, si vous modifiez puis que vous enregistrez des attributs dans l’écran de fournisseur d’identité d’un fournisseur hébergé, les modifications sont enregistrées, mais l’affichage n’est pas automatiquement rafraîchi.

Solution

Quittez le module de gestion des fédérations en choisissant un autre module (par exemple, le module de configuration des services), puis retournez au module de gestion des fédérations. L’affichage est alors rafraîchi.

La console ne rafraîchit pas la modification des attributs utilisateur (n° 4931455)

L’écran de navigation de la console d’Access Manager ne reflète pas les modifications des attributs utilisateur entrées dans la zone des données. Rafraîchissez la page manuellement pour visualiser les modifications.

Problèmes de port liés à Internet Explorer (n° 4864133)

En raison d’une incompatibilité avec Internet Explorer, vous devez éviter d’affecter à Access Manager le port 80 pour http et le port 443 pour https.

Service de connexion

Problème de connexion lorsque Java Security est activé (n° 4926520)

jdk_logging.jar risque de ne pas fonctionner lorsque Java Security est activé.

Solution

Si Java Security est activé et que vous disposez d’une version de JDK antérieure à la version 1.4, vous devez insérer l’autorisation suivante dans le fichier Java Security :

permission java.lang.RuntimePermission shutdownHooks

Stratégie

Les entrées correspondantes ne sont pas retournées lorsque la limite nslookthrough a été atteinte (n° 5013538)

Les entrées correspondantes ne sont pas renvoyées à la console d’Access Manager même après que les limites d’administration définies dans nslookthrough ont été atteintes.

Solution

Ajustez le paramètre nslookthroughlimit pour compenser le nombre d’entrées.

Stratégie non appliquée pour les alias (n° 4985823)

Si vous utilisez l’alias a pour vous connecter à Access Manager via un module d’autorisation autre que LDAP ou Membre, l’accès aux ressources protégées vous sera refusé.

Problème causé par l’exemple de stratégie (n° 4923898)

Le fichier Lisezmoi.html, situé dans l’exemple de stratégie, met de côté les informations qui empêchent le bon fonctionnement de l’exemple.

Solution

Pour que l’exemple puisse être exécuté, la variable d’environnement LD_LIBRARY_PATH doit inclure le chemin vers les bibliothèques partagées NSPR, NSS et JSS. Définissez LD_LIBRARY_PATH de façon à y inclure /usr/lib/mps/secv1 pour les systèmes Solaris et /opt/sun/private/lib pour les systèmes Linux.

SDK Access Manager

Principe d’unicité des attributs non appliqué aux attributs de dénomination dans l’organisation de niveau supérieur (n° 6204537)

Le principe d’unicité des attributs ne s’applique pas aux attributs de dénomination dans l’organisation de niveau supérieur. En revanche, ce principe est correctement appliqué aux attributs utilisateur et organisation.

EventService entre dans une boucle lorsqu’il n’obtient pas de connexion de recherche persistante (n° 6205443)

Le thread EventService (ES) continue à réussir l’ajout de listeners (ajout réussi de listeners par LDAP JDK) même lorsque le nombre maximum de recherches persistantes connectées est atteint. En revanche, lorsqu’un thread ES cherche à obtenir une réponse, un événement LDAPResponse (code d’erreur 51) signale qu’aucune connexion de recherche persistante n’est disponible. L’ES essaye alors d’établir à nouveau les listeners, ce qui aboutit à une boucle.

Document utilise certutil pour les installations SDK Access Manager utilisant des serveurs SSL (n° 5027614)

Lors des tentatives de communications entre des machines équipées de SDK uniquement et des serveurs Access Manager compatibles SSL, des exceptions et des erreurs relatives à la sécurité surviennent. Dans ce scénario, le kit SDK Access Manager est déployé sur un conteneur non-Web ou sur un conteneur Web tiers tel que BEA WebLogic Server ou IBM WebSphere Application Server.

Solution

Créez une base de données de certificats sur la machine SDK uniquement et installez le certificat d’AC racine pour Access Manager dans cette base de données.

  1. Connectez-vous à la machine SDK uniquement, en tant que superutilisateur (root).
  2. Vérifiez que le package NSS (Netscape Security Services, services de sécurité Netscape) requis est installé.
    • Sur les systèmes Solaris : SUNWtlsu
    • Sur les systèmes Linux : sun-nss RPM
  3. Si nécessaire, installez le package. Par exemple :

    4. Sur les systèmes Solaris :

    cd JavaEnterpriseSystem_base/Solaris_arch/Product/shared_components/Packages
    pkgadd -d . SUNWtlsu

    Sur les systèmes Linux :

    cd JavaEnterpriseSystem_base/Linux_x86/Product/shared_components/Packages
    rpm -Uvh sun-nss-3.3.10-1.i386.rpm

  4. Créez le fichier de mot de passe du jeton pour cette base de données de certificats. Par exemple :

    5. Sur les systèmes Solaris :

    echo "motdepasse-basededonnées-cert" > /etc/opt/SUNWam/config/.wtpass
    chmod 700 /etc/opt/SUNWam/config/.wtpass

    Sur les systèmes Linux :

    echo "motdepasse-basededonnées-cert" > /etc/opt/sun/identity/config/.wtpass
    chmod 700 /etc/opt/sun/identity/config/.wtpass

    où motdepasse-basededonnées-cert représente le mot de passe du jeton.

  5. Vérifiez la variable LD_LIBRARY_PATH.

    6. Sur les systèmes Solaris, utilisez la variable LD_LIBRARY_PATH pour déterminer si les répertoires /usr/lib, /usr/lib/mps/secv1 et /usr/lib/mps existent. Dans le cas contraire, ajoutez tout répertoire manquant.

    Sur les systèmes Linux, utilisez LD_LIBRARY_PATH pour déterminer si le répertoire /opt/sun/private/lib existe. Dans le cas contraire, ajoutez le répertoire.

  6. Utilisez l’outil certutil pour créer les bases de données de certificats et de clés. Pour plus d’informations sur certutil, reportez-vous au site Web suivant :

    7. http://mozilla.org/projects/security/pki/nss/tools/certutil.html

    Par exemple :

    accueil-certutil/certutil -N -d rép-basededonnées-cert -f accueil-config/.wtpass

    où :

    accueil-certutil représente l’emplacement de certutil.

    • Sur les systèmes Solaris : /usr/sfw/bin
    • Sur les systèmes Linux : /opt/sun/private/bin

      • rép-basededonnées-cert représente le répertoire des bases de données de certificats et de clés.

      accueil-config représente l’emplacement des fichiers de configuration d’Access Manager.

    • Sur les systèmes Solaris : /etc/opt/SUNWam/config
    • Sur les systèmes Linux : /etc/opt/sun/identity/config
  7. Dans la base de données de certificats récemment créée, ajoutez le certificat d’AC racine correspondant au certificat SSL installé sur le serveur Access Manager. Par exemple :

    8. accueil-certutil/certutil -A -n "pseudo-certificat" -t "TCu,TCu,TCuw" -d rép-basededonnées-cert -a -i chemin-fichier-cert -f accueil-config/.wtpass

  8. Ouvrez le fichier AMConfig.properties dans un éditeur et vérifiez les valeurs suivantes.
    • Répertoire de base de données de certificats : com.iplanet.am.admin.cli.certdb.dir
    • Préfixe : com.iplanet.am.admin.cli.certdb.prefix
    • Fichier de mot de passe : com.iplanet.am.admin.cli.certdb.passfile

      • Si nécessaire, modifiez les paramètres. Par exemple, le paramètre du préfixe pourrait être vide (c’est-à-dire égal à “”).

  9. Si des modifications ont été apportées au fichier AMConfig.properties et que le SDK Access Manager est déployé dans un conteneur Web, redémarrez de dernier.

Échec de protocole de transfert  SSL si un DNSAlias est utilisé avec un fournisseur d’accès JCE (n° 5038876)

Le protocole de transfert SSL échoue si les certificats comportant des noms DNSAlias valides dans le subjectaltname sont utilisés avec un fournisseur d’accès JCE.

Les méthodes d’identité dans Init() pour les filtres occasionnent l’arrêt de Weblogic (n° 5016283)

Le serveur WebLogic ne démarre pas lorsque les méthodes des filtres de init() ont un code lié à Access Manager. L’API d’Access Manager est appelée dans le cadre de la méthode init du servlet ServletFilter.

Access Manager utilise JSS en tant que fournisseur de services de sécurité alors que WebLogic utilise JCE par défaut. Lorsque la méthode init est appelée, WebLogic tente de valider sa licence en utilisant le JCE, mais c’est JSS qui est initialisé.

Solution

Remplacez le chiffrement de sécurité par défaut, JSSEncryption, par JCEEncryption dans le fichier AMConfig.properties.

Tout mot de passe commençant par les symboles « {SSHA} » est inutilisable (n° 4966191)

Access Manager ne prend pas en charge l’utilisation des symboles hachés {SSHA} dans les mots de passe.

L’option de création de groupe n’ajoute qu’un seul attribut memberURL (n° 4931958)

Si vous créez un groupe avec l’option de filtre LDAP multiple (-f), celui-ci est créé avec un seul attribut memberURL.

Réglage

amtune et fichiers associés non fournis pour Solaris-x86 (n° 6213019)

Dans cette version, le script amtune et ses fichiers associés ne sont pas installés dans le répertoire adéquat pour Solaris-x86.

Solution

Utilisez les fichiers amtune fournis pour Sparc-Solaris.

Le script amtune-as8 contient une erreur pour le fichier de mot de passe (n° 6212380)

Le réglage automatique d’Application Server 8 (amtune-as8) à l’aide du script amtune ne fonctionne pas car un fichier de mot de passe temporaire est créé avec le mot de passe asadmin. Actuellement, seul le mot de passe est placé dans ce fichier.

Solution

Dans amtune-as8, utilisez la syntaxe suivante pour saisir la chaîne :

"JETON=Valeur"

Par exemple :

"AS_ADMIN_PASSWORD=11111111"

Apportez cette modification à amtune-env :

#ASADMIN=$CONTAINER_BASE_DIR/bin/asadmin

ASADMIN=/opt/SUNWappserver/appserver/bin/asadmin

Connexion unique

Impossible de procéder à la connexion unique des URI de déploiement différents (n° 4770271)

Si les URI de déploiement sont différents d’une instance Access Manager à l’autre, la connexion unique ne fonctionne pas correctement.

Internationalisation (i18n)

Les membres de groupes ne sont pas répertoriés lorsque le nom de groupe est codé sur plusieurs octets (n° 6197041)

Dans la version internationale d’Access Manager 6 2005T1, les membres de groupes ne sont pas répertoriés dans la console Access Manager lorsque le nom de groupe est codé sur plusieurs octets.

Les messages de démarrage et d’arrêt sont illisibles sous Linux (n° 6207421)

Les messages de démarrage et d’arrêt d’Access Manager pour le jeu de caractères zh/zh_TW sont illisibles. Cela se produit sur la plate-forme Linux.

Connexion à HTTPBasic et WindowsDesktopSSO impossible avec les environnements linguistiques autres qu’anglais (n° 6209324)

Seul l’environnement linguistique anglais permet de se connecter aux modules d’authentification HTTPBasic et WindowsDesktopSSO.

Solution

Attribuez la valeur « anglais » aux paramètres suivants dans les fichiers XML :

HTTPBasic.xml : <HttpHeader>Authorization</HttpHeader>

WindowsDesktopSSO.xml : HttpHeader>Authorization</HttpHeader>

Ces fichiers sont généralement installés dans le répertoire suivant lorsque Access Manager est déployé sur Application Server :

/var/opt/sun/appserver/domains/domain1/applications/j2ee-modules/amserver/config/auth/defa ult_<lang>

Ces fichiers sont généralement installés dans le répertoire suivant lorsque Access Manager est déployé sur Web Server :

/opt/sun/webserver/https-<hôte>/is-web-apps/services/config/auth/default_<lang>

Affichage incorrect de l’aide en ligne en japonais (n° 5024138)

L’aide continue de s’afficher en japonais lorsque, ayant lancé la version japonaise d’Access Manager, vous essayez de changer la langue utilisée et d’opter pour l’anglais américain.

Solution

Créez un lien de docs_en vers docs_en_US.

La détection du client ne fonctionne pas correctement (n° 5028779)

Dans le service de détection du client, la suppression du jeu de caractères UTF-8 n’est pas effectuée correctement.

Solution

Si vous souhaitez supprimer le jeu de caractères UTF-8, redémarrez le conteneur Web après avoir effectué la manipulation.

G11NSetting ne prend pas en compte les espaces dans le facteur Q (n° 5008860)

Lorsque les données du client comprennent un espace dans ou autour du facteur q, le code G11NSettings ne peut pas l’analyser correctement et renvoie le message d’erreur suivant :

ERREUR : G11NSettings::Fetchcharset() Unable toparse charset entry invalid Q q

La page de connexion échoue lorsqu’on se sert d’un paramètre de rôle multi-octets dans un URL utilisant le jeu de caractères japonais (n° 4905708)

Si vous créez un rôle multi-octets et que vous tentez une connexion URL avec un nom d’utilisateur inscrit auprès de ce rôle, la page de connexion génère une erreur.

Solution

Pour que la procédure d’authentification puisse décoder un rôle multi-octets comme indiqué dans l’URL, vous devez ajouter gx_charset au paramètre. Par exemple :

http://hostname:port/amserver/UI/Login?role=manager?role=%E3%81%82%&gx_charset=utf-8

Les fichiers journaux sont tronqués dans l’environnement linguistique japonais (n° 4882286)

Les fichiers journaux suivants contiennent des caractères japonais tronqués lorsqu’ils sont ouverts :

Tous les fichiers du répertoire /var/opt/SUNWam/debug, à l’exception de deploy.log et undeploy.log.

L’environnement linguistique indiqué dans l’URL affiche une page de connexion mixte (n° 4915137)

Si vous utilisez un navigateur exploitant une autre langue que l’anglais avec une instance d’Access Manager installée avec Web Server et que vous vous connectez à http://hôte:port/amserver/UI/Login?locale=en, la page de connexion affiche à la fois des caractères anglais et autres qu’anglais.

Solution

Modifiez le lien symbolique suivant :

AccessManager-base/SUNWam/web-apps/services/config/auth/default

en

AccessManager-base/SUNWam/web-apps/services/config/auth/default_en

Environnement linguistique mixte dans la fenêtre de connexion lorsque la version du serveur d’applications est en japonais (n° 4932089)

La fenêtre de connexion Access Manager ne revient pas par défaut en anglais lorsque la langue du navigateur est en et que l’environnement linguistique du serveur d’applications est ja.

Solution

Exécutez le serveur d’applications avec l’environnement linguistique en.

La notification de verrouillage envoie un e-mail illisible (n° 4938511)

Si vous exécutez Access Manager avec un conteneur Web dont l’environnement linguistique favori n’est pas C et qu’un utilisateur n’est pas autorisé à accéder au serveur, la notification de verrouillage qui est transmise par e-mail est illisible.

Solution

Paramétrez email|local|charset (et non uniquement le paramètre email) dans l’attribut permettant de définir l’adresse e-mail à utiliser pour la notification du verrouillage. Par exemple :

Les noms multi-octets ne fonctionnent pas avec l’enregistrement automatique (n° 4732470)

Si vous créez un utilisateur dans l’enregistrement automatique (service d’authentification des membres) avec un ID utilisateur dupliqué ainsi qu’un prénom et un nom multi-octets, un message d’erreur apparaît. Les ID utilisateur multi-octets ne sont pas pris en charge.

Solution

Si un utilisateur se connecte à l’aide de l’enregistrement automatique dans un environnement multi-octets, l’administrateur doit s’assurer que l’attribut du mode générateur d’utilisateur n’est pas sélectionné dans l’authentification principale

ou

l’utilisateur peut sélectionner l’option Créer mon propre nom dans la page de connexion d’enregistrement automatique.

La version japonaise d’Access Manager ne fonctionne pas avec Netscape 6.22, 6.23 (n° 4902421)

Dans la version japonaise d’Access Manager, il est impossible de se connecter à la console à l’aide de Netscape 6.22 ou 6.23.

Le format de l’heure ne se modifie pas (n° 4888416)

Dans les conditions d’heure des définitions de stratégies, l’heure conserve le format suivant, quel que soit l’environnement linguistique :

Hour:Minute AM/PM

Écran de détection du client non localisé (n° 4922013)

Dans cette version, certaines parties de l’écran des propriétés du style en cours ne sont pas localisées au niveau de l’interface de détection du client.

La mise à jour de la propriété client genericHTLM ne s’applique pas (n° 4922348)

Si vous supprimez le jeu de caractères UTF-8 dans la propriété client genericHTLM du service de détection du client, enregistrez les modifications, puis activez la détection du client. Déconnectez-vous, puis reconnectez-vous. Vous remarquerez que la page de connexion utilise toujours le jeu de caractères UTF-8.

Solution

Redémarrez le serveur manuellement avec amserver.

L’en-tête des fichiers journaux n’est pas localisé (n° 4923536)

Les deux premières lignes des fichiers journaux ne sont pas localisées, en particulier les sections Version et Fields, ainsi que la liste de champs.

Les valeurs des champs de données ne sont pas localisées dans amSSO.access (n° 4923549)

Dans le fichier journal amSSO.access, aucune des valeurs du champ Data n’est localisée.

Le fichier exception.jsp contient des messages codés en dur (n° 4773213)

Exception.jsp n’est pas localisé. Il contient un titre, des messages d’erreur et des informations de copyright codés en dur. Cette page d’erreur jsp ne s’affiche qu’en cas de problème grave, par exemple, lorsque Directory Server est arrêté, lorsque aucun des services Access Manager ne peut être démarré ou que la localisation de cette page jsp n’est pas disponible.

Cookies

Le mode sans cookies ne fonctionne pas (n° 4967866)

Si un navigateur prenant en charge les cookies accède à Access Manager et que la prise en charge des cookies est désactivée, le navigateur continue à envoyer l’ancien cookie d’Access Manager. Ce problème entraîne des refus d’accès aux ressources d’Access Manager.

Solution

Choisissez l’un des palliatifs suivants :

Détournement des cookies

Le manque de fiabilité des applications utilisant des cookies de session peut remettre la sécurité en question.

Lorsque la connexion unique (SSO) ou la connexion unique à domaines croisés (CDSSO) est activée lors du déploiement d’Access Manager, les cookies de session http(s) sont définis dans le navigateur de l’utilisateur. Ces cookies sont validés pour plusieurs applications. Lorsque Access Manager est déployé sur plusieurs domaines DNS, le protocole Liberty transfère les cookies de session http(s) depuis le domaine DNS authentifié vers le domaine cible de l’application Web.

Bien que l’utilisateur ait automatiquement accès aux ressources Web, le manque de fiabilité de certaines applications utilisant les cookies de session se traduit par un problème connu de sécurité. Il peut survenir lorsqu’un fournisseur d’identité transmet des informations d’authentification, d’autorisation et de profil concernant un utilisateur à des applications ou prestataires de service développés par des tiers ou par des groupes non autorisés dans l’entreprise. Les problèmes de sécurité suivants peuvent se produire :

Solution

Procédez comme suit :

  1. Utilisez la console Access Manager afin de créer une entrée pour chaque agent.
    1. Dans l’organisation contenant l’agent qui va être créé, sélectionnez l’option Agents dans le menu Affichage, puis cliquez sur Nouveau.
    2. Les informations suivantes sont nécessaires :

      3. Nom : saisissez le nom ou l’identité de l’agent. Exemple : agent123

      Mot de passe : saisissez le mot de passe de l’agent. Exemple : agent123

      Confirmation du mot de passe : confirmez le mot de passe.

      Description : décrivez l’agent brièvement. Par exemple, vous pouvez saisir le nom d’instance de l’agent ou le nom de l’application qu’il protège.

      Valeur de clé d’agent : définissez les propriétés de l’agent avec une paire clé/agent. Access Manager utilisera cette propriété pour recevoir les requêtes des agents au sujet des assertions de référence concernant les utilisateurs.

      Saisissez une valeur de propriété pour agentRootURL avec une valeur égale à l’URL de l’agent ayant le numéro de port. N’oubliez pas de respecter la casse dans la valeur de agentRootURL.

      Exemple : agentRootURL=http://nom_serveur:99/

      Statut du périphérique : saisissez le statut du dispositif de l’agent. Si l’agent est défini comme actif, il pourra alors s’authentifier auprès d’Access Manager et communiquer avec ce dernier. S’il est défini comme inactif, l’agent ne pourra pas s’authentifier auprès d’Access Manager.

    3. Cliquez sur OK.
  2. Lancez la commande suivante sur le mot de passe saisi lors de l’étape 1b.

    3. AccessManager-base/SUNWam/agents/bin/crypt_util agent123

    Vous obtiendrez le résultat suivant :

    WnmKUCg/y3l404ivWY6HPQ==

  3. Changez AMAgent.properties afin de refléter la nouvelle valeur, puis redémarrez l’agent. Exemple :

      # The username and password to use for the Application authentication module.

      com.sun.am.policy.am.username = agent123
      com.sun.am.policy.am.password = WnmKUCg/y3l404ivWY6HPQ==

      # Cross-Domain Single Sign On URL

      # Is CDSSO enabled.

      com.sun.am.policy.agents.cdsso-enabled=true

      # This is the URL the user will be redirected to after successful login

      # in a CDSSO Scenario.

      com.sun.am.policy.agents.cdcservletURL = http://exemple.serveur.com:port/amserver/cdcservlet

  4. Changez AMConfig.properties afin de refléter les nouvelles valeurs, puis redémarrez Access Manager. Exemple :

      com.sun.identity.enableUniqueSSOTokenCookie=true

      com.sun.identity.authentication.uniqueCookieName=sunIdentityServerAuthNServer

      com.sun.identity.authentication.uniqueCookieDomain=exemple.com

  5. Dans la console Access Manager, choisissez Configuration des services>Plates-formes.
  6. Dans la liste des domaines du cookie, modifiez le nom de domaine du cookie :
    1. Sélectionnez le domaine par défaut iplanet.com, puis cliquez sur Supprimer.
    2. Saisissez le nom d’hôte de l’installation Access Manager, puis cliquez sur Ajouter.

      3. Exemple : serveur.exemple.com

Fichiers redistribuables

Sun Java System Access Manager 2005T1 ne contient aucun fichier redistribuable auprès d’utilisateurs ne disposant d’aucune licence du produit.

Comment signaler des problèmes et apporter des commentaires

Si vous rencontrez des problèmes avec Sun Java System Access Manager, contactez le service clientèle Sun d’une des manières suivantes :

Afin de vous aider au mieux à résoudre votre problème, nous vous suggérons de réunir les informations suivantes lorsque vous contactez le support technique de Sun :

Sun attend vos commentaires

Afin d’améliorer sa documentation, Sun vous encourage à faire des commentaires et à apporter des suggestions. Pour ce faire, utilisez le formulaire électronique disponible à l’adresse suivante :

http://www.sun.com/hwdocs/feedback/

Veuillez indiquer le titre complet du document ainsi que sa référence dans les champs appropriés. Ce numéro est constitué de sept ou neuf chiffres et figure sur la page de titre du manuel ou en haut du document. Dans le cas des présentes notes de version, le numéro de référence est 819-1945.

Ressources Sun supplémentaires

Vous pouvez obtenir des informations utiles concernant Sun Java System sur les sites Internet suivants :

Copyright © 2005 Sun Microsystems, Inc. Tous droits réservés.

Sun Microsystems, Inc. détient les droits de propriété intellectuels relatifs à la technologie incorporée dans le produit qui est décrit dans ce document. En particulier, et ce sans limitation, ces droits de propriété intellectuelle peuvent inclure un ou plus des brevets américains listés à l’adresse http://www.sun.com/patents et un ou les brevets supplémentaires ou les applications de brevet en attente aux Etats - Unis et dans les autres pays.

Propriété de SUN/CONFIDENTIEL.

L’utilisation est soumise aux termes du contrat de licence.

Cette distribution peut comprendre des composants développés par des tierces parties.

Des parties de ce produit pourront être dérivées des systèmes Berkeley BSD licenciés par l’Université de Californie.

Sun, Sun Microsystems, le logo Sun, Java et Solaris sont des marques de fabrique ou des marques déposées de Sun Microsystems, Inc. aux Etats-Unis et dans d’autres pays.

Toutes les marques SPARC sont utilisées sous licence et sont des marques de fabrique ou des marques déposées de SPARC International, Inc. aux Etats-Unis et dans d’autres pays.