| Sun Java Enterprise System 2003Q4 Manuel d'installation |
Chapitre 11
Configuration des organisations et utilisateursCe chapitre contient des informations sur les concepts et les op�rations de cr�ation et de gestion des organisations Java Enterprise System et des utilisateurs afin de permettre � ces derniers d'utiliser les composants Sun ONE et d'y acc�der.
Ce chapitre se compose des sections suivantes :
Pr�sentation de Directory ServerCette section explique le lien existant entre Directory Server et la configuration d'utilisateurs pour les composants de Java Enterprise System. Elle d�crit �galement la configuration utilisateur commune � tous les composants et introduit la notion de compte d'utilisateur Java Enterprise System � l'�chelle du syst�me.
Pr�sentation des organisations et des utilisateurs d'annuaires
Les composants de Java Enterprise System, tels que Portal Server, Messaging Server et Calendar Server, utilisent Directory Server pour le stockage des informations sur les utilisateurs sous forme d'entr�es LDAP. Le composant Directory Server de Java Enterprise System est une base de donn�es LDAP hi�rarchis�e. Cette organisation hi�rarchique est commun�ment appel�e « arborescence DIT » (Directory Information Tree, Arborescence d'informations d'annuaire). L'unit� de structure �l�mentaire d'un serveur d'annuaires LDAP est d�nomm�e entr�e.
L'arborescence DIT refl�te le mod�le d'arborescence de la plupart des syst�mes de fichiers, la racine (ou premi�re entr�e) se trouvant au sommet de la hi�rarchie. Lors de l'installation, Directory Server cr�e une arborescence d'annuaires par d�faut.
La racine de l'arborescence est appel�e suffixe. Lors de l'installation, l'annuaire contient trois sous-arborescences plac�es sous le suffixe de racine :
o� o signifie « Organization » (organisation). Cette sous-arborescence contient les informations de configuration des autres composants Sun ONE, tels que Sun ONE Administration Server. Administration Server s'occupe de l'authentification et de toutes les actions qui ne peuvent pas �tre effectu�es via le protocole LDAP (comme le d�marrage et l'arr�t de Directory Server). Le nom de cette sous-arborescence provient d'une ancienne version du produit.
Au cours de l'installation, une base de donn�es utilisateur est cr��e par d�faut. Son nom par d�faut est o=userRoot. Vous pouvez compl�ter cette base de donn�es au moment de l'installation ou ult�rieurement.
Remarque
Lorsque vous installez Messaging Server et Calendar Server, vous ex�cutez le script de configuration de Directory Server, � savoir comm_dssetup.pl, en vue de la pr�paration de l'annuaire. L'ex�cution de ce script entra�ne la configuration du suffixe de base Users/Groups, la s�lection du type de sch�ma, la configuration de la racine de l'arborescence DC et la r�alisation d'autres activit�s sur l'annuaire.
Pour plus d'informations, reportez-vous aux sections « Pour configurer Calendar Server apr�s son installation » et « Pour configurer Messaging Server apr�s son installation ».
Le sch�ma ci-dessous repr�sente un exemple de structure DIT. Dans ce sch�ma, le suffixe o=userRoot a �t� renomm� dc=example,dc=com et d'autres sous-arborescences ont �t� ajout�es pour une meilleure correspondance avec la hi�rarchie de l'organisation.
Sch�ma 11-1 Exemple de structure DIT
L'arborescence du sch�ma pr�c�dent est une structure DIT simple partag�e par Identity Server et Messaging Server, bas�e sur la version 2 du sch�ma LDAP de Sun ONE. La version 2 du sch�ma LDAP de Sun ONE offre une meilleure int�gration � Identity Server et � d'autres applications LDAP tierces que sa version 1. Pour plus d'informations concernant cette version, reportez-vous au chapitre 12, « Configuration et concepts de sch�ma pour Messaging Server 6.0 ».
Les informations relatives aux comptes d'utilisateur de Java Enterprise System sont stock�es dans les entr�es utilisateur, repr�sent�es dans le Sch�ma 11-1 par uid=. Ces entr�es utilisateur sont organis�es en fonction des �l�ments de domaine, qui eux sont symbolis�s par dc=. Les organisations sont indiqu�es par o= et les unit�s organisationnelles par ou=.
Description des utilisateurs de Java Enterprise System
Le concept « utilisateur de Java Enterprise System » englobe les notions suivantes :
- un utilisateur final qui peut utiliser toutes les applications suivantes sans distinction : Identity Server, Portal Server, Messaging Server, Calendar Server ou Instant Messaging Server ;
- les donn�es d'un utilisateur final stock�es dans une entr�e de la base de donn�es LDAP (dans les sc�narios les plus simples, tous les composants lisent et �crivent dans les m�mes entr�es utilisateur) ;
- un utilisateur final qui a acc�s aux composants uniquement si son entr�e comporte les valeurs correctes ;
- un compte d'utilisateur repr�sent� par l'entr�e ou les entr�es utilisateur LDAP contenant toutes les donn�es utilisateur requises par les composants.
Structures communes de l'arborescence de l'organisation
Tous les composants de Java Enterprise System partagent un ensemble commun d'entr�es utilisateur LDAP. L'acc�s aux fonctionnalit�s des applications est contr�l� par l'interm�diaire de ces m�mes entr�es. Il vous est possible de modifier une entr�e utilisateur commune � l'aide de la console Identity Server et d'autres outils de configuration et de gestion des utilisateurs.
Atouts de Java Enterprise System
Java Enterprise System permet la cr�ation dans l'annuaire LDAP d'un compte d'utilisateur unique qui prend en charge tous les composants. L'utilisation de ce type de compte r�duit consid�rablement le co�t du syst�me puisqu'il n'est plus n�cessaire de g�rer plusieurs annuaires utilisateur comportant des informations redondantes ni de synchroniser ces annuaires. Il en r�sulte une administration simplifi�e, qui se traduit � son tour par une r�duction du co�t de la propri�t�.
Pr�sentation des interfaces de configurationConfigurer un utilisateur signifie ajouter, modifier ou supprimer des entr�es dans Directory Server. Les interfaces de configuration suivantes sont disponibles pour les entr�es d'annuaire :
Pour obtenir la liste des outils de configuration associ�s � chaque composant, reportez-vous � la section « R�f�rences en mati�re de configuration d'utilisateurs, de sch�ma et d'outils ».
Informations relatives � l'arborescence DITCette section d�taille les informations dont vous avez besoin pour mettre au point la structure DIT que vous souhaitez appliquer lors de la mise en œuvre globale de Java Enterprise System.
À propos de l'arborescence DIT des composants
Lorsque vous pr�voyez de proc�der � une mise en œuvre de Java Enterprise System � grande �chelle, il vous faut conna�tre au pr�alable la configuration LDAP requise pour chaque composant. Les informations de base incluses dans cette section sont destin�es � vous aider � comprendre cette configuration.
L'�laboration de Java Enterprise System repose sur l'union de deux technologies g�n�rales de serveur d'annuaires :
Chaque technologie et chaque composant utilise Directory Server selon des subtilit�s qui lui sont propres. Le tableau suivant vous donne un aper�u de ces subtilit�s et vous aide � pr�parer votre d�ploiement.
Connexion unique (SSO) et utilisateurs
Pour tester la connexion unique pour les composants, vous devez configurer l'utilisateur du test pour chaque application. Les utilisateurs peuvent avoir recours � la connexion unique seulement s'ils parviennent � se connecter aux applications et � les utiliser.
Il n'est pas n�cessaire de disposer d'une structure d'annuaires partag�e pour utiliser la connexion unique entre les serveurs Java Enterprise System. Si vous disposez toutefois d'une entr�e comprenant des valeurs d'attributs partag�s, la fonction de connexion unique s'en trouve facilit�e. La connexion unique peut fonctionner entre deux applications Sun ONE utilisant deux serveurs d'annuaires distincts. Il est cependant � noter que si les valeurs d'attributs partag�s (comme les attributs d'affectation de nom aux utilisateurs cn=, uid=, etc.) diff�rent dans les deux bases de donn�es, il vous faudra faire preuve de davantage de vigilance afin d'�viter tout probl�me li� � l'affectation des noms.
Gestion des utilisateurs de Java Enterprise SystemLa cr�ation d'un utilisateur s'effectue par l'ajout d'une nouvelle entr�e utilisateur dans la base de donn�es LDAP, puis par sa configuration pour qu'elle fonctionne avec chaque application Sun ONE.
De nombreux outils graphiques et de ligne de commande sont disponibles pour la cr�ation et la configuration des entr�es utilisateur. Vous pouvez vous en servir pour toutes les applications. Pour plus d'informations, reportez-vous � la section « R�f�rences en mati�re de configuration d'utilisateurs, de sch�ma et d'outils ».
La gestion des utilisateurs de Java Enterprise System passe par la cr�ation de l'arborescence de l'organisation dans la base LDAP, l'ajout d'utilisateurs � cette arborescence et la configuration d'entr�es afin que les utilisateurs puissent employer les diverses applications Sun ONE.
La mise en œuvre d'une structure de gestion centralis�e des utilisateurs suppose quatre �tapes :
Les sections suivantes reprennent chacune de ces �tapes en d�tail.
Pr�paration des utilisateurs et des organisations
La pr�paration des utilisateurs et organisations implique les principales �tapes suivantes :
- R�vision des principales conventions LDAP, notamment :
- Base de donn�es LDAP : banque de donn�es et de traitements qui contient les informations relatives � l'organisation et aux utilisateurs.
- Arborescence : les bases de donn�es LDAP pr�sentent sous forme de structure hi�rarchique les organisations, �l�ments de domaine, ressources et utilisateurs.
- Entr�es : les donn�es sont stock�es dans les entr�es.
- Sch�ma : d�finit les types de valeur autoris�s dans les entr�es LDAP.
- Classes d'objets : type de donn�es particulier qui d�termine l'objectif et les attributs valides d'une entr�e.
- Attributs : types de donn�es atomiques.
- Configuration des utilisateurs : processus consistant � �laborer la structure de l'annuaire, puis � attribuer des classes d'objets et des valeurs d'attribut aux entr�es.
- Consultation du manuel Sun ONE Directory Server 5.2 Getting Started Guide (http://docs.sun.com/doc/816-6696-10) pour de plus amples informations
- R�vision du mode d'utilisation de LDAP par les composants Sun ONE
Tous les composants sont d�pendants de certaines classes d'objets et valeurs d'attribut. Chacun d'eux requiert en effet que certaines classes d'objets soient ajout�es aux entr�es Utilisateur (uid=) et Organisation (o=). Les classes d'objets ont deux r�les :
- « marquer » l'entr�e comme pouvant �tre utilis�e par l'application ;
- permettre � une entr�e de contenir un nouvel ensemble d'attributs.
Les utilisateurs ne peuvent avoir acc�s aux applications que lorsque :
- les entr�es de leur organisation parente contiennent les valeurs requises (ce qui est g�n�ralement fait par le programme d'installation).
Dans le cas de domaines et d'organisations h�berg�s, � chaque nouvelle cr�ation d'organisation dans Identity Server, vous devez attribuer le service au domaine et marquer le domaine avec les attributs et classes d'objets propres � ce service. Le programme d'installation ne s'en pr�occupe que pour l'organisation initiale ou par d�faut.
- leurs propres entr�es contiennent les valeurs requises (chaque utilisateur doit s'en charger).
Le tableau ci-apr�s illustre ce qui se passe lorsque les classes d'objets appropri�es sont ajout�es � une entr�e utilisateur. Supposons qu'il existe deux entr�es utilisateur avec diff�rentes classes d'objets. Seule l'entr�e user2 poss�de les valeurs appropri�es pour pouvoir utiliserIdentity Server, Messaging Server et Portal Server.
Les informations LDAP n�cessaires � chaque composant sont indiqu�es dans leur documentation respective. Le Tableau 11-4 contient la liste de ces informations.
- Choix des organisations
Au cours de l'installation et de la configuration apr�s installation de Java Enterprise System, vous devez indiquer un suffixe, une racine LDAP ou l'organisation des groupes d'utilisateurs. Si vous souhaitez que tous les composants puissent fonctionner avec les m�mes entr�es utilisateur, vous devez vous assurer qu'ils partagent la m�me structure arborescente.
La plupart des composants montrent une certaine souplesse lorsqu'il s'agit de d�finir les noms des organisations et les diff�rents niveaux de l'arborescence.
- Sp�cification des composants � installer
Lorsque vous choisissez les composants � installer, notez la structure arborescente partag�e que vous souhaitez. Selon les composants, les valeurs LDAP doivent �tre fournies soit dans le programme d'installation de Java Enterprise System, soit dans le script de configuration apr�s installation du composant.
Le tableau ci-dessous comporte des exemples de valeurs LDAP employ�es par le programme d'installation. Vous pouvez constater, dans la colonne des exemples de valeurs d'entr�e, que le suffixe est identique pour tous les composants. Dans ce tableau, default domain remplace la valeur Default Organization.
Installation et configuration des composants
Vous d�finissez les valeurs de l'arborescence DIT mentionn�es dans la section pr�c�dente au cours de l'installation et des �tapes qui suivent la configuration. Ces valeurs peuvent �tre n�cessaires dans six cas diff�rents :
- lors de l'ex�cution du programme d'installation de Java Enterprise System ;
- lors de l'ex�cution du script comm_dssetup.pl, situ� dans le r�pertoire /opt/SUNWmsgsr/lib ;
- lors de l'ex�cution du script configure de Messaging Server, situ� dans le r�pertoire base_svr_ms/sbin/ ;
- lors de l'ex�cution de l'utilitaire csconfigurator.sh de Calendar Server, situ� dans le r�pertoire base_svr_cs/SUNWics5/cal/sbin ;
- lors de l'ex�cution du programme de configuration d'Instant Messaging, figurant dans le r�pertoire base_svr_ims/SUNWiim/opt ;
- dans Administration Server, pour Messaging Server (exigence li�e au programme de configuration).
Pour plus d'informations sur l'installation et la configuration des composants, reportez-vous au pr�sent guide.
Configuration des utilisateurs
La configuration des utilisateurs revient � d�finir les valeurs n�cessaires dans les entr�es de la base de donn�es, de sorte que les applications puissent fonctionner au niveau des organisations et des utilisateurs. Si une entr�e ne poss�de pas une classe d'objets ou une valeur d'attribut indispensable, l'application ne sera pas disponible pour cet utilisateur.
Pour chaque composant, la configuration s'effectue en deux principales �tapes :
Tableau des configurations requises
Le tableau ci-dessous indique la configuration requise en mati�re d'attributs et de classes d'objets pour chaque composant. Pour qu'un utilisateur puisse se servir d'une application, vous devez au pr�alable ajouter � son entr�e l'ensemble des classes d'objets s�lectionn�es.
Hormis les classes d'objets cit�es plus haut, d'autres attributs doivent �tre d�finis dans la plupart des applications afin d'activer l'utilisateur.
Certaines de ces classes d'objets sont �tablies par les composants. Les autres sont des normes Internet accompagnant Directory Server. Par exemple, InetOrgPerson constitue la classe d'objets de base des entr�es utilisateur, qui d�finit les attributs tels uid, mail et givenName.
Tous les produits ne requi�rent pas de classes partag�es ou principales. Pour obtenir la liste minimale des classes d'objets par composant ainsi que leur utilisation, reportez-vous aux documents suivants :
- Sun ONE Messaging and Collaboration 6.0 Schema Reference Manual (http://docs.sun.com/doc/816-6710-10) ;
- chapitre 5, « Installing Identity Server Against an Existing Directory Server » (Installation d'Identity Server avec une version existante de Directory Server) du manuel Sun ONE Identity Server 6.0 Installation and Configuration Guide (http://docs.sun.com/doc/816-6685-10) ;
- Sun ONE Portal Server 6.2 Administrator's Guide (http://docs.sun.com/doc/816-6748-10).
Mise en route : s�lection d'une option d'administration LDAP
Les classes d'objets r�pertori�es dans le Tableau 11-4 doivent �tre ajout�es aux entr�es appropri�es de la base de donn�es LDAP. Lorsque vous configurez tous les composants � installer � partir de la m�me structure d'annuaire, la plupart des valeurs requises sont ajout�es aux entr�es de l'organisation. Toutefois, en fonction de l'ordre suivi pour installer ces composants, il se peut que des valeurs manquent pour la prise en charge de tous les utilisateurs. Avant de passer � la configuration des utilisateurs, v�rifiez toujours que l'arborescence de votre organisation a �t� elle-m�me correctement configur�e.
Le tableau ci-apr�s r�capitule les quatre choix qui s'offrent � vous pour visualiser, cr�er et modifier les entr�es LDAP. Pour obtenir un exemple de modification des utilisateurs � l'aide de la commande ldapmodify, reportez-vous � la section « Configuration des utilisateurs � l'aide de la commande LDAP Modify ».
Tableau 11-5 Choix disponibles pour la visualisation, la cr�ation et la modification des entr�es LDAP
Niveau de complexit�
Outils et m�thode
Nombre minimal de jeux d'outils 1
Documentation Sun ONE � consulter
�l�mentaire
Console Identity Server, ou amadmin et commadmin
2
Sun ONE Identity Server 6.1 Administration Guide (http://docs.sun.com/doc/816-6773-10) et Sun ONE Messaging and Collaboration 1.0 User Management Utility Installation and Reference Guide (http://docs.sun.com/doc/817-4216-10)
Interm�diaire
Sun ONE Administration Server (un outil graphique permettant de manipuler directement les entr�es de la base de donn�es LDAP)
1
Section « Managing Entries » (Gestion des entr�es) du chapitre 3, « A Quick Look at Directory Server Console » (Pr�sentation rapide de Directory Server Console) du manuel Sun ONE Directory Server 5.2 Getting Started Guide (http://docs.sun.com/doc/816-6696-10)
Avanc�
ldapmodify fichier_entr�e_ldif
1
Section « Adding, Changing and Deleting Entries » (Ajout, modification et suppression d'entr�es) du chapitre 4, « A Quick Look at Directory Server Command-Line Utilities » (Pr�sentation rapide des utilitaires de ligne de commande de Directory Server) du manuel Sun ONE Directory Server 5.2 Getting Started Guide (http://docs.sun.com/doc/816-6696-10)
Expert
Identity Server avec services personnalis�s
1
Sun ONE Identity Server 6.1 Administration Guide (http://docs.sun.com/doc/816-6773-10) et section « Service Definition » (D�finition des services) du chapitre 6, « Service Management » (Gestion des services) du manuel Sun ONE Identity Server 6.1 Customization and API Guide (http://docs.sun.com/doc/816-6774-10)
Pour plus d'informations, reportez-vous � la section « Exemple de configuration des utilisateurs de Java Enterprise System � l'aide des services Identity Server ».
1Les jeux d'outils des composants ne modifient que les entr�es utilisateur qui les concernent. Pour g�rer les entr�es utilisateur de Java Enterprise System de cette mani�re, vous devez ex�cuter les outils de plusieurs composants.
Remarque
Les op�rations ldif d'Identity Server ne sont recommand�es que sur les entr�es utilisateur.
R�f�rences en mati�re de configuration d'utilisateurs, de sch�ma et d'outilsCette section r�f�rence les documents relatifs aux sch�mas et � la configuration ainsi que les outils de configuration disponibles pour Calendar Server, Identity Server, Messaging Server et Portal Server.
Documentations des composants
Le Tableau 11-6 d�crit les types d'informations et leur emplacement dans les documentations des composants Sun ONE et Java Enterprise System, n�cessaires pour comprendre les probl�mes relatifs au sch�ma et pour configurer les utilisateurs.
Tableau 11-6 Documentation sur le sch�ma et la configuration des composants
Titre de l'ouvrage
Chapitre et section
Sommaire
Sun ONE Identity Server 6.1 Migration Guide (http://docs.sun.com/doc/816-6771-10)
Chapitre 3, « Configuring Identity Server with a Provisioned Directory » (Configuration d'Identity Server avec un annuaire disposant de donn�es utilisateur)
Ce chapitre explique comment installer Identity Server dans un annuaire existant contenant des donn�es utilisateur. Il pr�cise �galement comment configurer Identity Server pour qu'il puisse fonctionner avec l'arborescence DIT et comment modifier les entr�es d'annuaire existantes et Directory Server.
Sun ONE Identity Server 6.1 Customization and API Guide (http://docs.sun.com/doc/816-6774-10)
Chapitre 6, « Service Management » (Gestion des services)
Dans ce chapitre, vous trouverez des informations sur la mani�re de d�finir un service, la structure des fichiers XML et les API (Application Programming Interface) de gestion des services.
Sun ONE Messaging and Collaboration 1.0 User Management Utility Installation and Reference Guide (http://docs.sun.com/doc/817-4216-10)
Chapitre 3, « Command Line Utilities » (Utilitaires de ligne de commande)
Ce manuel expose les modes d'installation et de configuration de l'utilitaire User Management Utility (Utilitaire Gestion des utilisateurs) pour Sun ONE Messaging and Collaboration. Il en d�crit �galement les commandes (commadmin), en donnant leur syntaxe et des exemples. L'utilitaire User Management Utility (Utilitaire Gestion des utilisateurs) est un ensemble d'outils de ligne de commande permettant de configurer les utilisateurs, groupes, domaines et ressources de Messaging Server et de Calendar Server par l'interm�diaire d'Identity Server 6.1.
Sun ONE Messaging and Collaboration 6.0 Schema Reference Manual (http://docs.sun.com/doc/816-6710-10)
Chapitre 1, « Overview » (Pr�sentation) ; section « Data Model for Sun ONE LDAP Schema, v.2 » (Mod�le de donn�es pour la version 2 du sch�ma LDAP de Sun ONE)
Si vous souhaitez configurer Sun ONE Messaging Server ou Sun ONE Calendar Server en utilisant LDAP, vous devez lire ce manuel. Les lecteurs concern�s sont :
- les architectes syst�me qui souhaitent d�velopper des outils de configuration personnalis�s pour servir d'interfaces entre les entr�es du produit Messaging and Collaboration dans l'annuaire LDAP et leur source existante d'informations sur les utilisateurs, groupes et domaines, telle que la base de donn�es d'une soci�t� ou un syst�me de facturation ;
- les administrateurs de site qui d�sirent savoir comment cr�er les entr�es relatives aux ressources, groupes, utilisateurs et domaines � l'aide de LDAP.
Sun ONE Calendar Server 6.0 Administrator's Guide (http://docs.sun.com/doc/816-6708-10)
Chapitre 2, « Managing Calendar Server Users and Calendars » (Gestion des utilisateurs et agendas de Calendar Server) ; section « Provisioning New Calendar Server Users » (Configuration des nouveaux utilisateurs de Calendar Server)
Cette section fournit les informations suivantes sur la configuration des utilisateurs de Calendar Server :
- Directory Server Requirements (les informations de configuration requises pour Directory Server) ;
- Calendar Identifiers (calids) (les identificateurs d'agendas) ;
- Checking if a User is Enabled for Calendaring (les informations permettant de v�rifier si un utilisateur est activ� pour la fonction d'agenda) ;
- Provisioning a New User (les informations de configuration d'un nouvel utilisateur) ;
- Creating a New Calendar (les informations pour la cr�ation d'un agenda).
Sun ONE Calendar Server 6.0 Release Notes (http://docs.sun.com/doc/816-6715-10)
« New LDAP Schema Version » (Nouvelle version de sch�ma LDAP)
Ce document souligne la possibilit� de prise en charge de la version 2 du sch�ma et renvoie au manuel « Messaging Server 6.0 Schema Reference Manual ».
Sun ONE Messaging Server 6.0 Release Notes (http://docs.sun.com/doc/816-6736-10)
Int�gralit� des notes de version
Ce document d�crit les tout derniers d�veloppements apport�s � l'utilitaire commadmin.
Outils de configuration des composants
Le tableau suivant pr�sente les outils de configuration associ�s aux composants Sun ONE.
