|
| |
| Sun[TM] Identity Manager 8.0 관리 | |
11장
PasswordSyncPasswordSync는 Windows 도메인에서 실행된 사용자 비밀번호 변경을 감지하여 Identity Manager로 전달합니다. 그러면 Identity Manager에서 Identity Manager에 정의된 다른 자원과 비밀번호 변경 사항을 동기화합니다.
이 장은 다음과 같이 구성되어 있습니다.
PasswordSync란?PasswordSync 기능은 Windows Active Directory 도메인에서 변경한 사용자 비밀번호를 Identity Manager에 정의된 다른 자원과 동기화된 상태로 유지합니다. PasswordSync를 Identity Manager와 동기화할 도메인의 각 도메인 제어기에 설치해야 합니다. PasswordSync는 Identity Manager와 별도로 설치해야 합니다.
PasswordSync는 각 도메인 제어기에 있는 DLL(lhpwic.dll)로 구성되는데, 이 DLL은 Windows로부터 비밀번호 업데이트 알림을 수신하여 암호화한 다음, HTTPS를 통해 PasswordSync 서블릿으로 전송합니다. PasswordSync 서블릿은 Identity Manager를 실행 중인 응용 프로그램 서버에 있습니다.
PasswordSync 서블릿은 Identity Manager가 인식할 수 있는 형식으로 알림을 변환합니다. 그리고 다음 중 한 가지 방법을 사용하여 Identity Manager로 비밀번호 변경 사항(암호화된 상태)을 전송합니다.
- 직접 연결 방법 - 서블릿이 Identity Manager 고유 클래스를 사용하여 Identity Manager와 직접 통신하여 비밀번호 변경 사항을 전달합니다. 그림 11-1을 참조하십시오.
- JMS 방법 - 서블릿이 JMS(Java Message Service)를 사용하여 비밀번호 정보를 Identity Manager로 전송합니다. JMS 방법에서 서블릿은 JMS Message Queue로 비밀번호 변경 사항을 제출합니다. 그리고, 이와는 별도로 Identity Manager의 JMS Listener 자원 어댑터가 대기열에서 새 메시지를 확인합니다. 대기열에서 대기 중인 비밀번호 변경 메시지가 발견되면 JMS Listener 어댑터는 해당 메시지를 대기열에서 빼내어 Identity Manager로 가져옵니다. 그림 11-2를 참조하십시오.
JMS 방법은 메시지를 여러 시스템에 전달해야 하고, 메시지 전달이 확실하게 보장되어야 하는 복잡한 환경에서 사용하는 것이 좋습니다. JMS Message Queue는 고가용성 구성이 가능하며 메시지 전달이 실패할 경우 Identity Manager로 전달할 수 있게 될 때까지 해당 변경 메시지를 대기열에 보관합니다.
그러나 JMS를 별도로 설치하여 구성해야 합니다.
그림 11-1은 직접 연결을 나타낸 그림입니다. 이 구성에서는 PasswordSync 서블릿이 Identity Manager로 직접 업데이트 메시지를 전송합니다.
그림 11-1 PasswordSync의 직접 연결 논리 그림
그림 11-2는 JMS 연결을 나타낸 그림입니다. 이 구성에서는 PasswordSync 서블릿이 JMS Message Queue로 업데이트 메시지를 전송합니다. Identity Manager의 JMS Listener 자원 어댑터가 대기열에서 새 메시지를 주기적으로 검색하고(그림에서 밝은 청색 화살표로 표시) 대기열은 Identity Manager로 메시지를 전달하여 이에 응답합니다(짙은 청색 화살표로 표시).
그림 11-2 PasswordSync의 JMS 연결 논리 그림
Identity Manager에서 비밀번호 변경 알림을 수신하면 암호를 해독한 후 작업 흐름의 작업을 통해 변경 사항을 처리합니다. 사용자의 모든 할당된 자원에서 비밀번호가 업데이트되면 SMTP 서버에서는 비밀번호 변경 상태를 알리는 전자 메일을 사용자에게 보냅니다.
주
Windows는 비밀번호가 성공적으로 변경된 경우에만 업데이트 알림을 보냅니다. 비밀번호 변경 요청이 도메인의 비밀번호 정책을 충족하지 않으면 요청이 거부되어 Identity Manager에 동기화 데이터가 전송되지 않습니다.
그림 11-3에서 Identity Manager는 비밀번호 업데이트 알림을 수신하고 나서 작업 흐름을 실행하고 사용자에게 전자 메일을 보냅니다.
그림 11-3 PasswordSync가 작업 흐름을 시작합니다.
주
PasswordSync는 $(달러 기호)로 끝나는 계정 이름에 대한 모든 계정 변경 알림을 무시합니다. $로 끝나는 계정 이름은 Windows 컴퓨터 계정으로 간주되므로 달러 기호로 끝나는 모든 사용자 계정 이름은 Identity Manager로 전달되지 않습니다.
설치하기 전에PasswordSync 기능은 Windows 2000 및 Windows 2003 도메인 제어기에만 설정할 수 있습니다. Identity Manager 8.0 버전에서는 Windows NT 도메인 제어기에 대한 지원이 중단되었습니다. Identity Manager와 동기화할 도메인의 기본 및 백업 도메인 제어기 각각에 PasswordSync를 설치해야 합니다. PasswordSync를 HTTPS용으로 구성하는 것이 좋습니다.
주
모든 도메인 제어기에서 버전 7.1.1 이하 버전의 PasswordSync는 버전 7.1.1 이상으로 업데이트되어야 합니다.
rpcrouter2 서블릿에 대한 지원은 버전 8.0에서 더 이상 사용되지 않으며, 향후 릴리스에서 제거될 예정입니다. PasswordSync 버전 7.1.1 이상에서는 새 프로토콜을 지원합니다.
JMS를 사용하는 경우 PasswordSync는 JMS 서버에 연결되어야 합니다. JMS 시스템의 요구 사항에 대한 자세한 내용은 Sun Identity Manager Resources Reference의 JMS Listener 자원 어댑터 절을 참조하십시오.
또한 PasswordSync를 사용하려면 다음을 수행해야 합니다.
다음 절에서 이러한 요구 사항에 대해 자세히 설명합니다.
Microsoft .NET 1.1 설치
PasswordSync를 사용하려면 Microsoft .NET Framework 1.1을 설치해야 합니다. Windows 2003 도메인 제어기를 사용하는 경우 이 Framework가 기본적으로 설치됩니다. Windows 2000 도메인 제어기를 사용할 경우에는 다음의 Microsoft 다운로드 센터에서 이 툴킷을 다운로드할 수 있습니다.
http://www.microsoft.com/downloads
PasswordSync를 SSL에 대해 구성
중요한 데이터는 Identity Manager 서버로 전송되기 전에 암호화되지만 보안 SSL 연결(HTTPS 연결)을 사용하도록 PasswordSync를 구성하는 것이 좋습니다.
가져온 SSL 인증서를 설치하는 방법에 대한 자세한 내용은 Microsoft 기술 자료에 있는 다음 How-To 문서를 참조하십시오.
http://support.microsoft.com/kb/816794
PasswordSync를 설치한 후에 PasswordSync 구성 대화 상자에서 HTTPS URL을 지정하여 SSL 연결이 올바르게 구성되었는지 테스트할 수 있습니다. 자세한 내용은 구성 테스트를 참조하십시오.
이전 버전의 PasswordSync 제거
최근 버전을 설치하기 전에 이전에 설치한 PasswordSync 인스턴스를 반드시 제거해야 합니다.
Windows에 PasswordSync 설치다음 절차에서는 PasswordSync 구성 응용 프로그램을 설치하는 방법에 대해 설명합니다.
주
Identity Manager와 동기화할 도메인의 각 도메인 제어기에 PasswordSync를 설치해야 합니다.
계속하기에 앞서 이전에 설치된 모든 버전의 PasswordSync를 제거해야 합니다.
PasswordSync를 설치하려면 다음 단계를 수행합니다.
- Identity Manager 설치 미디어에서, 32비트 버전의 Windows에 설치하려면 pwsync\IdmPwSync_x86.msi를 두 번 누르고 64비트 버전의 Windows에 설치하려면 pwsync\IdmPwSync_x64.msi를 두 번 누릅니다.
시작 창이 표시됩니다.
설치 마법사는 다음과 같은 이동 버튼을 제공합니다.
- 시작 화면에서 제공하는 내용을 읽고 다음을 눌러 설치 유형 PasswordSync 구성 선택 창을 표시합니다.
- 표준 또는 전체를 눌러 전체 PasswordSync 패키지를 설치하거나 사용자 정의를 눌러 설치할 패키지 부분을 직접 선택합니다.
- 설치를 눌러 제품을 설치합니다.
PasswordSync가 정상적으로 설치되면 메시지가 표시됩니다.
- 마침을 눌러 설치 프로세스를 완료합니다.
Password Sync 구성을 시작하려면 구성 응용 프로그램 실행을 선택해야 합니다. 이 프로세스에 대한 자세한 내용은 구성 PasswordSync을 참조하십시오.
표 11-1에서는 각 도메인 제어기에 설치된 파일에 대해 설명합니다.
구성 PasswordSync설치 프로그램에서 구성 응용 프로그램을 실행할 경우 응용 프로그램에 구성 화면이 마법사로 표시됩니다. 마법사를 완료한 후 다음부터는 PasswordSync 구성 응용 프로그램을 실행하면 탭을 선택하여 화면 사이를 이동할 수 있습니다.
PasswordSync를 구성하려면 다음 단계를 수행합니다.
- PasswordSync 구성 응용 프로그램을 아직 실행하지 않은 경우 해당 응용 프로그램을 시작합니다.
기본적으로 구성 응용 프로그램은 프로그램 파일 >
Sun Identity Manager PasswordSync > 구성에 설치됩니다.JMS를 사용할 계획이 아니라면 명령줄에서 구성 응용 프로그램을 실행합니다. 다음과 같이 -direct 플래그를 반드시 포함해야 합니다.
C:\InstallDir\Configure.exe -direct
그림 11-4와 같은 PasswordSync 구성 대화 상자가 표시됩니다.
그림 11-4 PasswordSync 마법사 구성 대화 상자
필요한 경우 필드를 편집합니다.
- 다음을 눌러 프록시 서버 구성 페이지(그림 11-5)를 표시합니다.
그림 11-5 PasswordSync 마법사 프록시 서버 대화 상자
필요한 경우 필드를 편집합니다.
- 다음을 눌러 JMS 설정 대화 상자(그림 11-6)를 표시합니다.
JMS를 사용할 계획이 없고 -direct 플래그를 사용하여 구성 마법사를 실행한 경우에는 다음을 눌러 사용자 대화 상자를 표시합니다. 5로 건너뜁니다.
그림 11-6 PasswordSync 마법사 JMS 설정 대화 상자
필요한 경우 필드를 편집합니다.
- 다음을 눌러 JMS 등록 정보 대화 상자(그림 11-7)를 표시합니다.
그림 11-7 PasswordSync 마법사 JMS 등록 정보 대화 상자
JMS 등록 정보 대화 상자에서 초기 JNDI 컨텍스트를 빌드하는 데 사용할 등록 정보 집합을 정의할 수 있습니다. 다음 이름/값 쌍을 정의해야 합니다.
- JMS를 사용할 계획이 없고 -direct 플래그를 사용하여 구성 마법사를 실행한 경우에는 사용자 탭을 구성합니다. 그렇지 않은 경우, 이 단계를 건너뛰고 다음 단계로 넘어갑니다.
사용자 탭을 구성하려면 필요에 따라 필드를 편집합니다.
- 다음을 눌러 전자 메일 대화 상자(그림 11-8)를 표시합니다.
그림 11-8 PasswordSync 마법사 전자 메일 대화 상자
전자 메일 대화 상자에서는 통신 오류 또는 Identity Manager 외부의 기타 오류로 인해 사용자의 비밀번호 변경이 정상적으로 동기화되지 않은 경우 전자 메일 알림을 보낼지 여부를 구성할 수 있습니다.
필요한 경우 필드를 편집합니다.
- 이 기능을 사용하려면 전자 메일 활성화를 선택합니다. 사용자에게 알림을 보내려면 전자 메일 최종 사용자를 선택합니다. 이 옵션을 선택하지 않으면 관리자만 알림을 받습니다.
- SMTP Server는 실패 알림을 보낼 때 사용할 SMTP 서버의 정규화된 이름 또는 IP 주소입니다.
- 관리자 전자 메일 주소는 알림을 보내는 데 사용되는 전자 메일 주소입니다.
- 보낸 사람 이름은 보낸 사람의 "친숙한 이름"입니다.
- 보낸 사람 주소는 보낸 사람의 전자 메일 주소입니다.
- 메시지 제목에는 모든 알림의 제목줄을 지정합니다.
- 메시지 본문에는 알림의 텍스트를 지정합니다.
- 마침을 눌러 변경 사항을 저장합니다.
구성 응용 프로그램을 다시 실행하면 마법사 대신 일련의 탭이 표시됩니다. 응용 프로그램을 마법사로 표시하려면 명령줄에 다음 명령을 입력합니다.
C:\InstallDir\Configure.exe -wizard
PasswordSync 구성을 테스트하려면 구성 테스트를 참조하십시오.
Windows에서 PasswordSync 디버깅Windows에 설치된 PasswordSync 문제 해결에 대한 자세한 내용은 Identity Manager Tuning, Troubleshooting, and Error Messages 설명서를 참조하십시오.
오류 로그
PasswordSync는 모든 오류를 Windows 이벤트 뷰어에 기록합니다. 이벤트 뷰어 사용에 대한 도움말은 Windows 도움말을 참조하십시오. 오류 로그 항목의 소스 이름은 PasswordSync입니다.
Windows에서 PasswordSync 제거PasswordSync 응용 프로그램을 제거하려면 Windows 제어판으로 이동하여 프로그램 추가/제거를 선택합니다. 그런 다음 Sun Identity Manager PasswordSync를 선택하고 제거를 누릅니다.
프로세스을 완료하려면 시스템을 다시 시작해야 합니다.
응용 프로그램 서버에 PasswordSync 배포Windows 도메인 제어기에 PasswordSync를 설치한 후에는 Identity Manager를 실행하는 응용 프로그램 서버에서 추가 단계를 수행해야 합니다.
응용 프로그램 서버에 PasswordSync 서블릿을 설치할 필요가 없습니다. Identity Manager를 설치할 때 자동으로 설치됩니다.
그러나 PasswordSync 배포를 완료하려면 Identity Manager에서 다음 작업을 반드시 수행해야 합니다.
JMS Listener 어댑터 추가 및 구성
PasswordSync 서블릿이 JMS를 사용하여 Identity Manager에 메시지를 전송하는 경우 Identity Manager의 JMS Listener 자원 어댑터를 추가해야 합니다. JMS Listener 자원 어댑터는 PasswordSync 서블릿이 제출한 메시지가 있는지 주기적으로 JMS Message Queue를 확인하여 새 메시지가 포함된 경우 Identity Manager에서 처리하도록 전송합니다.
JMS Listener 자원 어댑터를 추가하려면 다음 단계를 수행합니다.
그림 11-9는 "관리된 자원 구성" 페이지를 보여줍니다. JMS Listener가 선택되어 있는지 확인합니다.
그림 11-9 "관리된 자원 구성" 페이지
- 보조 메뉴에서 자원 목록을 누릅니다.
- 자원 유형 작업 드롭다운 메뉴에서 새 자원을 선택합니다.
"새 자원" 페이지가 열립니다.
- 드롭다운 메뉴에서 JMS Listener를 선택하고 새로 만들기를 누릅니다. 그림 11-10을 참조하십시오.
"JMS Listener 자원 작성 마법사" 시작 페이지가 열립니다. 다음을 눌러 구성 마법사를 시작합니다.
그림 11-10은 새 자원 마법사를 보여줍니다. JMS Listener 자원 어댑터를 추가하려면 목록에서 JMS Listener를 선택합니다.
그림 11-10 새 자원 마법사
다음 설정을 구성해야 합니다.
- 대상 유형 - 이 값은 일반적으로 대기열로 설정됩니다. 하나의 가입자에 잠재적으로 여러 게시자가 있으므로 항목은 일반적으로 관련되어 있지 않습니다.
- 초기 컨텍스트 JNDI 등록 정보 - 이 입력란은 초기 JNDI 컨텍스트를 빌드하는 데 사용되는 등록 정보 집합을 정의합니다. 다음 이름/값 쌍을 정의해야 합니다.
- java.naming.factory.initial - 이 값은 JNDI 서비스 공급자용 초기 컨텍스트 팩토리의 클래스 이름(패키지 포함)으로 설정해야 합니다.
- java.naming.provider.url - 이 값은 JNDI 서비스를 실행하는 시스템의 URI로 설정해야 합니다.
추가 등록 정보를 정의해야 할 수 있습니다. 등록 정보 및 값 목록은 JMS 서버의 JMS 설정 페이지에 지정된 등록 정보 및 값과 일치해야 합니다.
예를 들어, 자격 증명 및 바인드 방법을 제공하려면 다음 예제 등록 정보를 지정해야 할 수 있습니다.
- java.naming.security.principal: 바인드 DN(예: cn=Directory manager)
- java.naming.security.authentication: 바인드 방법(예: 단순)
- java.naming.security.credentials: 비밀번호
- 연결 팩토리의 JNDI 이름 - JMS 서버에 정의된 연결 팩토리의 이름입니다.
- 대상의 JNDI 이름 - JMS 서버에 정의된 대상의 이름입니다.
- 사용자 및 비밀번호 - 대기열에서 새 이벤트를 요청하는 관리자의 계정 이름 및 비밀번호입니다.
- 신뢰할 수 있는 메시징 지원 - LOCAL(로컬 트랜잭션)을 선택합니다. 다른 옵션은 비밀번호 동기화에 적용할 수 없습니다.
- 메시지 매핑 -
java:com.waveset.adapter.jms.PasswordSyncMessageMapper를 입력합니다. 이 클래스는 JMS 서버의 메시지를 사용자 비밀번호 동기화 작업 흐름에서 사용할 수 있는 형식으로 변환합니다.그림 11-11 JMS Listener 자원 마법사 "자원 매개 변수" 페이지
- “계정 속성” 마법사 페이지에서 속성 추가를 누릅니다.
그림 11-12 "JMS Listener 자원 작성 마법사”의 “계정 속성” 페이지
- 다음 속성을 매핑합니다. 이러한 속성은 PasswordSyncMessageMapper에 의해 JMS Listener 어댑터에서 사용할 수 있게 됩니다. 그림 11-12를 참조하십시오. 작업을 마치면 다음을 누릅니다.
- "아이디 서식 파일" 마법사 페이지가 열립니다.
이전 단계에서 추가한 속성이 자원 마법사의 속성 매핑 섹션에 표시되어 있습니다(그림 11-13).
다음을 누릅니다.
그림 11-13 JMS Listener 자원 마법사 속성 매핑
- "Identity System 매개 변수" 마법사 페이지가 열립니다.
필요에 따라 이 페이지의 옵션을 구성합니다.
JMS Listener 자원 어댑터 설정에 대한 자세한 내용은 Sun Identity Manager Resources Reference를 참조하십시오.
사용자 비밀번호 동기화 작업 흐름 구현
Identity Manager에서 비밀번호 변경 알림을 수신하면 “사용자 비밀번호 동기화” 작업 흐름이 시작됩니다. 기본 “사용자 비밀번호 동기화” 작업 흐름은 ChangeUserPassword 뷰어를 체크아웃한 다음 다시 체크인합니다. 그러면 작업 흐름에서 모든 자원 계정(초기 비밀번호 변경 알림을 전송한 Windows 자원 제외)을 처리하고, 끝으로 Identity Manager가 모든 자원에서 비밀번호 변경 성공 여부를 나타내는 전자 메일을 사용자에게 전송합니다.
"사용자 비밀번호 동기화" 작업 흐름의 기본 구현을 사용하려면 해당 구현을 JMS Listener 어댑터 인스턴스에 대한 프로세스 규칙으로 지정합니다. JMS Listener에서 동기화를 구성할 때 프로세스 규칙을 할당할 수 있습니다(Active Sync 구성 참조).
작업 흐름을 수정하려면 $WSHOME/sample/wfpwsync.xml 파일을 복사하고 수정합니다. 그런 다음 수정된 작업 흐름을 Identity Manager로 가져옵니다.
기본 작업 흐름의 다음 항목을 수정할 수 있습니다.
작업 흐름 사용에 대한 자세한 내용은 Sun Identity Manager Workflows, Forms, and Views를 참조하십시오.
알림 설정
Identity Manager는 모든 자원에서 비밀번호 변경 성공 여부를 사용자에게 알릴 수 있는 두 가지 전자 메일 서식 파일을 제공합니다. 이 서식 파일은 다음과 같습니다.
사용자가 추가 지원이 필요할 경우 수행해야 할 작업에 대한 회사별 정보를 제공하려면 두 서식 파일을 모두 업데이트해야 합니다. 자세한 내용은 전자 메일 서식 파일 사용자 정의를 참조하십시오.
Sun JMS Server와 함께 PasswordSync 구성Identity Manager는 JMS(Java Message Service)를 사용하여 PasswordSync 서블릿에서 비밀번호 변경 알림을 수신할 수 있습니다. JMS를 사용하면 메시지 전달이 보장될 뿐만 아니라, 여러 시스템에 전달할 수도 있습니다.
이 절에서는 예제 시나리오를 사용하여 Sun JMS 서버와 함께 PasswordSync를 구성하는 방법에 대해 설명합니다. 해당 정보는 다음과 같이 구성되어 있습니다.
개요
이 절에서는 예제 시나리오, Windows PasswordSync 솔루션 및 JMS 솔루션에 대해 설명합니다.
예제 시나리오
JMS 서버와 함께 PasswordSync를 구성하는 일반적인(간단한) 사용 사례는 사용자가 Windows에서 자신의 비밀번호를 변경하게 하고, Identity Manager이 새 비밀번호를 선택한 다음 Sun Directory Server에서 새 비밀번호를 사용하여 사용자 계정을 업데이트하게 하는 것입니다.
이러한 시나리오를 위해 다음 환경을 구성했습니다.
다음 파일을 Tomcat common/lib 디렉토리에 복사하여 JMS 및 JNDI를 활성화했습니다.
관리 대상 객체 만들기 및 저장
이 절에서는 예제 시나리오가 제대로 작동하는 데 필요한 다음과 같은 관리 대상 객체를 만들고 저장하는 방법에 대해 설명합니다.
관리 대상 객체는 LDAP 디렉토리 또는 파일에 저장할 수 있습니다. 파일을 사용할 경우 파일의 모든 인스턴스가 동일해야 합니다.
관리 대상 객체를 LDAP 디렉토리에 저장하는 방법에 대해 먼저 설명하므로 파일에 저장하는 방법에 대한 자세한 내용은 (자세히...) 를 참조하십시오.
관리 대상 객체를 LDAP 디렉토리에 저장
PasswordSync와 JMS Listener는 LDAP 디렉토리에 저장된 관리 대상 객체를 사용하도록 구성할 수 있습니다. 그림 11-14는 그 프로세스를 나타낸 것입니다. PasswordSync 서블릿과 JMS Listener 어댑터는 모두 메시지를 보내고 받기 위해 LDAP 디렉토리에서 연결 팩토리 및 대상 설정을 검색해야 합니다.
그림 11-14 LDAP 디렉토리에서 연결 팩토리 및 대상 객체 검색
이 절에서는 Message Queue 명령줄 도구(imqobjmgr)를 사용하여 관리 대상 객체를 LDAP 디렉토리에 저장하는 방법에 대해 설명합니다.
연결 팩토리 객체 저장
Message Queue 명령줄 도구(imqobjmgr)를 열고 코드 예 11-1의 명령을 입력하여 연결 팩토리 객체를 저장합니다.
코드 예 11-1에서 imqAddressList는 JMS 서버/브로커 호스트 이름(gwenig.coopsrc.com), 포트(7676) 및 액세스 방법(jms)을 정의합니다.
대상 객체 저장
Message Queue 명령줄 도구(imqobjmgr)에서 코드 예 11-2의 명령을 입력하여 대상 객체를 저장합니다.
코드 예 11-2 대상 객체 저장
#> ./imqobjmgr add -l "cn=mytestDestination"
-j "java.naming.factory.initial=com.sun.jndi.ldap.LdapCtxFactory"
-j "java.naming.provider.url=ldap://gwenig.coopsrc.com:389/ou=sunmq,dc=coopsrc,dc=com"
-j "java.naming.security.principal=cn=directory manager"
-j "java.naming.security.credentials=password"
-j "java.naming.security.authentication=simple"
-t q
-o "imqDestinationName=mytestDestination"
Adding a Queue object with the following attributes:
imqDestinationDescription [Destination Description] A Description for the Destination Object imqDestinationName [Destination Name] mytestDestination
Using the following lookup name:
cn=mytestDestination
The object's read-only state: false
To the object store specified by:
java.naming.factory.initial com.sun.jndi.ldap.LdapCtxFactory
java.naming.provider.url ldap://gwenig.coopsrc.com:389/
ou=sunmq,dc=coopsrc,dc=com
java.naming.security.authentication simple
java.naming.security.credentials netscape
java.naming.security.principal cn=directory managerObject successfully added.
이로써 LDAP 서버에 관리 대상 객체 저장 절을 마쳤습니다. 관리 대상 객체를 파일에 저장하는 방법에 대해 설명하는 다음 절을 뛰어넘고 이 시나리오에 대한 JMS Listener 어댑터 구성 절로 넘어갑니다.
관리 대상 객체를 파일에 저장
PasswordSync와 JMS Listener는 파일에 저장된 관리 대상 객체를 사용하도록 구성할 수 있습니다. 관리 대상 객체를 LDAP 서버에 저장하지 않은 경우((자세히...) ) 이 절에 나온 지침을 따릅니다.
연결 팩토리 객체 저장
Message Queue 명령줄 도구(imqobjmgr)를 열고 코드 예 11-3의 명령을 입력하여 연결 팩토리 객체를 저장하고 조회 이름을 지정합니다.
코드 예 11-3 연결 팩토리 객체 저장 및 조회 이름 지정
#> ./imqobjmgr add -l "mytestFactory" -j "java.naming.factory.initial=
com.sun.jndi.fscontext.RefFSContextFactory"-j "java.naming.provider.url=file:///home/gael/tmp" -t qf -o "imqAddressList=mq://gwenig.coopsrc.com:7676/jms"
Adding a Queue Connection Factory object with the following attributes:
imqAckOnAcknowledge [Message Service Acknowledgement of Client Acknowledgements]
...
imqSetJMSXUserID [Enable JMSXUserID Message Property] false
Using the following lookup name:
mytestFactory
The object's read-only state: false
To the object store specified by:java.naming.factory.initial com.sun.jndi.fscontext.RefFSContextFactory
java.naming.provider.url file:///home/gael/tmpObject successfully added.
To specify a destination:
#> ./imqobjmgr add -l "mytestQueue" -j "java.naming.factory.initial=com.sun.jndi.fscontext.RefFSContextFactory"
-j "java.naming.provider.url=file:///home/gael/tmp" -t q -o "imqDestinationName=myTestQueue"
Adding a Queue object with the following attributes:
imqDestinationDescription [Destination Description] A Description for the Destination Object imqDestinationName [Destination Name] myTestQueue
Using the following lookup name:
mytestQueue
The object's read-only state: false
To the object store specified by:
java.naming.factory.initial com.sun.jndi.fscontext.RefFSContextFactory java.naming.provider.url file:///home/gael/tmp
Object successfully added.
브로커에서 대상 만들기
기본적으로 Sun Message Queue 브로커에서는 대기열 대상을 자동으로 만들 수 있습니다. imq.autocreate.queue에 대한 기본값이 true로 설정된 config.properties를 참조하십시오.
대기열 대상이 자동으로 만들어지지 않는 경우 브로커에서 코드 예 11-4에 나와 있는 명령을 사용하여 대상을 만들어야 합니다. 여기서는 myTestQueue가 대상입니다.
코드 예 11-4 브로커에서 대상 객체 만들기
name (Queue name):
#> cd /opt/sun/mq/bin
#>./imqcmd create dst -t q -n mytestQueue
Username: <admin>
Password: <admin>
Creating a destination with the following attributes:
Destination Name mytestQueue
Destination Type Queue
On the broker specified by:
-------------------------
Host Primary Port
-------------------------
localhost 7676
Successfully created the destination.
관리 대상 객체를 다음과 같이 디렉토리나 파일에 저장할 수 있습니다.
이 시나리오에 대한 JMS Listener 어댑터 구성
응용 프로그램 서버에서 JMS listener 어댑터를 구성합니다. JMS Listener 어댑터 추가 및 구성 절의 지침을 따릅니다.
Active Sync 구성
다음으로 JMS Listener의 동기화를 구성합니다. JMS를 사용하면 Active Sync가 필요하지만 직접 연결에는 필요하지 않습니다.
JMS Listener의 동기화를 구성하려면 다음 단계를 수행합니다.
- 관리자 인터페이스의 메뉴에서 자원을 누릅니다.
- 자원 목록에서 JMS Listener 확인란을 선택합니다.
- 자원 작업 목록에서 동기화 정책 편집을 선택합니다.
JMS Listener 자원에 대한 동기화 편집 페이지가 열립니다(그림 11-15).
그림 11-15 Active Sync를 JMS Listener에 대해 구성
- 일반 설정에서 프록시 관리자를 찾아 pwsyncadmin을 선택합니다. 이 관리자는 빈 양식와 연결되어 있습니다.
- 일반 설정에서 프로세스 규칙을 찾아 사용자 비밀번호 동기화를 선택합니다. 기본 사용자 비밀번호 동기화 작업 흐름은 JMS Listener 어댑터에서 들어오는 각 요청을 수신하고 ChangeUserPassword 뷰어를 체크아웃한 다음 다시 ChangeUserPassword 뷰어로 체크인합니다.
- 로그 파일 경로 상자에 보관된 활성 로그 파일이 만들어지는 디렉토리 경로를 지정합니다.
- 디버깅용으로 로그 레벨을 4로 설정하여 자세한 로그를 생성합니다.
- 저장을 누릅니다.
구성 테스트Windows PasswordSync 구성 응용 프로그램을 사용하여 구성의 Windows 부분을 디버깅할 수 있습니다.
PasswordSync 구성을 테스트하려면 다음 단계를 수행합니다.
- PasswordSync 구성 응용 프로그램을 아직 실행하지 않은 경우 해당 응용 프로그램을 시작합니다.
기본적으로 구성 응용 프로그램은 프로그램 파일 >
Sun Identity Manager PasswordSync > 구성에 설치됩니다.- PasswordSync 구성 대화 상자가 표시되면 테스트 버튼을 누릅니다.
- JMS를 사용할 경우 연결 테스트가 성공적으로 완료되었는지 여부를 나타내는 메시지와 함께 연결 테스트 대화 상자(그림 11-16)가 표시됩니다.
그림 11-16 연결 테스트 대화 상자
- 닫기를 눌러 연결 테스트 대화 상자를 닫습니다.
- 확인을 눌러 PasswordSync 구성 대화 상자를 닫습니다.
그러면 JMS Listener 어댑터가 디버그 모드로 실행되고 그림 11-17에 표시된 것과 유사한 디버그 정보가 파일로 생성됩니다.
그림 11-17 디버그 정보 파일
자주 묻는 질문(FAQ) PasswordSyncJMS(Java 메시징 서비스) 없이 PasswordSync를 구현할 수 있습니까?
예, 그렇지만 JMS를 사용하여 비밀번호 변경 이벤트를 추적하는 이점은 없어집니다.
JMS 없이 PasswordSync를 구현하려면 다음 플래그와 함께 구성 응용 프로그램을 시작합니다.
Configure.exe -direct
-direct 플래그가 지정되면 구성 응용 프로그램에 사용자 탭이 표시됩니다.
JMS 없이 PasswordSync를 구현하면 JMS Listener 어댑터를 만들 필요가 없습니다. 따라서 응용 프로그램 서버에 PasswordSync 배포에 나열된 절차를 생략해야 합니다. 알림을 설정하려면 사용자 비밀번호 변경 작업 흐름을 변경해야 할 수 있습니다.
주
이후에 -direct 플래그를 지정하지 않고 구성 응용 프로그램을 실행하는 경우 PasswordSync에서 JMS를 구성해야 합니다. 다시 JMS를 생략하려면 -direct 플래그로 응용 프로그램을 다시 시작합니다.
PasswordSync를 사용자 정의 비밀번호 정책을 실행하는 데 사용되는 다른 Windows 비밀번호 필터와 함께 사용할 수 있습니까?
그렇습니다. PasswordSync를 다른 _WINDOWS_ password 필터와 함께 사용할 수 있습니다. 그러나 이 필터는 알림 패키지 레지스트리 값에 나열된 마지막 비밀번호 필터여야 합니다.
다음 레지스트리 경로를 사용해야 합니다.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Notification Packages(REG_MULTI_SZ 유형의 값)
기본적으로 설치 프로그램은 목록의 끝에 Identity Manager 비밀번호 가로채기를 배치하지만 설치 후에 사용자 정의 비밀번호 필터를 설치하면 lhpwic를 알림 패키지 목록의 끝으로 이동해야 합니다.
PasswordSync를 다른 Identity Manager 비밀번호 정책과 함께 사용할 수 있습니다. Identity Manager 서버측에서 정책이 확인되면 비밀번호 동기화를 다른 자원으로 보내기 위해 모든 자원 비밀번호 정책이 전달되어야 합니다. 따라서 Windows 기본 비밀번호 정책을 Identity Manager에 정의된 가장 제한적인 비밀번호 정책만큼 제한적으로 만들어야 합니다.
Identity Manager와 다른 응용 프로그램 서버에 PasswordSync 서블릿을 설치할 수 있습니까?
그렇습니다. PasswordSync 서블릿에는 spml.jar 및 idmcommon.jar JAR 파일은 물론 JMS 응용 프로그램이 필요로 하는 JAR 파일이 필요합니다.
PasswordSync 서비스는 비밀번호를 lh 서버에 일반 텍스트로 보냅니까?
SSL을 통해 PasswordSync를 실행하는 것이 좋지만 모든 중요한 데이터는 Identity Manager 서버에 보내기 전에 암호화됩니다.
자세한 내용은 PasswordSync를 SSL에 대해 구성을 참조하십시오.
경우에 따라 비밀번호 변경으로 인해 com.waveset.exception.ItemNotLocked가 발생합니까?
PasswordSync를 사용하면 비밀번호 변경(사용자 인터페이스에서 시작된 경우에도)으로 인해 자원의 비밀번호가 변경되어 해당 자원이 Identity Manager에 연결하게 됩니다.
passwordSyncThreshold 작업 흐름 변수를 제대로 구성하면 Identity Manager는 사용자 객체를 검사하여 이미 비밀번호 변경을 처리했는지 결정합니다. 그러나 사용자나 관리자가 동일한 사용자에 대해 동시에 다른 비밀번호 변경을 수행하면 사용자 객체가 잠길 수 있습니다.
