test

Guía del administrador de negocio de Sun Identity Manager 8.1

Capítulo 6 Administración

En este capítulo se incluye información y procedimientos para realizar gran variedad de tareas administrativas en el sistema Identity Manager, como crear y gestionar administradores y organizaciones de Identity Manager. También se explica cómo utilizar los roles, las capacidades y los roles administrativos en Identity Manager.

Esta información se ha dividido en los temas siguientes:

Conceptos de administración de Identity Manager

Los administradores de Identity Manager son usuarios con privilegios extendidos de Identity Manager.

Los administradores de Identity Manager gestionan:

A diferencia de los usuarios, los administradores de Identity Manager tienen asignadas capacidades y organizaciones controladas, que se definen así:

Administración delegada

En la mayoría de las empresas, los empleados que realizan tareas administrativas asumen responsabilidades específicas. En consecuencia, las tareas de administración de cuentas que pueden desempeñar estos administradores tienen un ámbito limitado.

Por ejemplo, un administrador puede encargarse únicamente de crear cuentas de usuario de Identity Manager. Con este ámbito de responsabilidad limitado, es improbable que el administrador necesite información específica sobre los recursos donde se crean las cuentas de usuario o sobre los roles u organizaciones que existen dentro del sistema.

Identity Manager también puede restringir los administradores a determinadas tareas dentro de un ámbito específico definido.

Identity Manager permite separar las responsabilidades y utilizar un modelo de administración delegada así:

Es posible especificar las delegaciones de un usuario en la página Crear usuario al configurar una cuenta de usuario nueva o al editar una existente.

En la ficha Elementos de trabajo también se pueden delegar elementos de trabajo, como solicitudes de aprobación. Para obtener más información sobre las delegaciones, consulte Delegación de elementos de trabajo.

Creación y gestión de administradores

Esta sección consta de los temas siguientes:

ProcedureCreación de un administrador

Para crear un administrador, asigne una o más capacidades a un usuario y designe las organizaciones a las que se deben aplicar las capacidades.

  1. En la interfaz de administración, seleccione Cuentas en la barra de menús.

    Aparece la página Lista de usuarios.

  2. Para conceder privilegios administrativos a un usuario existente, haga clic en el nombre de usuario (se abrirá la página Editar usuario) y después en la ficha Seguridad.

    Si hace falta crear una cuenta de usuario nueva, consulte Creación de usuarios y trabajo con cuentas de usuario.

  3. Especifique atributos para establecer el control administrativo.

    Los atributos disponibles incluyen:

    • Capacidades. Seleccione una o más capacidades que deben asignarse a este administrador. Esta información es necesaria. Para obtener más información, consulte Conceptos y administración de capacidades.

    • Organizaciones controladas. Seleccione una o más organizaciones que deben asignarse a este administrador. El administrador controla los objetos en la organización asignada y en todas aquéllas que se encuentren por debajo de ella en la jerarquía. Esta información es necesaria. Para obtener más información, consulte Qué son las organizaciones en Identity Manager.

    • Formulario de usuario. Seleccione el formulario de usuario que debe utilizar este administrador al crear y editar usuarios de Identity Manager (si tiene asignada esta capacidad). Si no asigna directamente un formulario de usuario, el administrador heredará el formulario de usuario asignado a la organización a la que pertenece. El formulario que se seleccione aquí sustituirá cualquier formulario seleccionado dentro de la organización del administrador.

    • Reenviar las solicitudes de aprobación a. Seleccione un usuario para reenviarle todas las solicitudes de aprobación que hay pendientes. Esta configuración de administrador puede ser también establecida desde la página de aprobaciones.

    • Delegar elementos de trabajo a. Si esta opción se encuentra disponible, úsela para especificar las delegaciones de esta cuenta de usuario. Puede especificar el gestor del administrador, uno o varios usuarios seleccionados, o utilizar una regla de aprobadores delegados.

      Figura ilustrativa de la página Seguridad de cuenta de usuario: especificación de privilegios de administrador

Filtración de vistas de administrador

Al asignar formularios de usuario a organizaciones y administradores, establece vistas de administrador específicas de las información de usuario.

El acceso a la información de usuario se configura en dos niveles:

Conceptos y administración de capacidades describe las capacidades integradas de Identity Manager que se pueden asignar.

Cambio de contraseñas de administrador

Las contraseñas de administrador pueden ser cambiadas por un administrador que tenga asignadas capacidades para cambiar las contraseñas administrativas o por el propietario-administrador.

Los administradores pueden cambiar las contraseñas de otros administradores mediante los formularios siguientes:

Un administrador puede cambiar su propia contraseña en el área Contraseñas. Haga clic en Contraseñas dentro del menú y después elija Cambiar mi contraseña.

Nota –

La directiva de cuentas de Identity Manager que se aplica a la cuenta determina las limitaciones de las contraseñas, como su caducidad, las opciones de reinicialización y las selecciones de notificación. Es posible definir otras limitaciones para las contraseñas mediante las directivas de contraseñas configuradas en los recursos del administrador.

Acciones de desafío del administrador

Es posible configurar Identity Manager para que solicite una contraseña a los administradores antes de procesar ciertas modificaciones de las cuentas. Si falla la autenticación, se cancelarán las modificaciones de la cuenta.

Los administradores pueden cambiar las contraseñas de los usuarios con tres formularios: el formulario de usuario con fichas, el de cambio de contraseña de usuario y el de reinicialización de contraseña de usuario. No olvide actualizar los tres formularios para asegurarse de que se solicite a los administradores la introducción de sus contraseñas antes de que Identity Manager procese las modificaciones de las cuentas de usuario.

ProcedureHabilitación de la opción de desafío para los formularios de usuario con fichas

Para exigir un desafío de contraseña en el formulario de usuario con fichas, siga estos pasos.

  1. En la interfaz de administración, abra la página de depuración de Identity Manager (Página de depuración de Identity Manager) introduciendo la URL siguiente en el navegador. (Para abrir esta página debe tener capacidad de depuración.)

    http://<AppServerHost>:< Port>/idm/debug/session.jsp

    Aparece la página de configuración del sistema (página de depuración de Identity Manager).

  2. Busque el botón List Objects, elija UserForm en el menú desplegable y haga clic en el botón ListObjects.

    Aparece la página List Objects of type: UserForm.

  3. Busque la copia del formulario de usuario con fichas que tenga en producción y haga clic en Edit. (El formulario de usuario con fichas distribuido con Identity Manager es una plantilla que no debe modificarse.)

  4. Agregue el fragmento de código siguiente dentro del elemento <Form>:


    <Properties>
  <Property name=’RequiresChallenge’>
    <List>
      <String>password</String>
      <String>email</String>
      <String>fullname</String>
    </List>
  </Property>
</Properties>

    El valor de property es una lista que puede contener uno o más de los siguientes nombres de atributo de vista de usuario:

    • applications

    • adminRoles

    • assignedLhPolicy

    • capabilities

    • controlledOrganizations

    • email

    • firstname

    • fullname

    • lastname

    • organization

    • password

    • resources

    • roles

  5. Guarde las modificaciones.

ProcedureHabilitación de la opción de desafío para los formularios de cambio de contraseña de usuario y de reinicialización de contraseña de usuario

Para exigir un desafío de contraseña en los formularios de cambio de contraseña de usuario y de reinicialización de contraseña de usuario, siga estos pasos:

  1. En la interfaz de administración, abra la página de depuración de Identity Manager (Página de depuración de Identity Manager) introduciendo la URL siguiente en el navegador. (Para abrir esta página debe tener capacidad de depuración.)

    http://<AppServerHost>:< Port>/idm/debug/session.jsp

    Aparece la página de configuración del sistema (página de depuración de Identity Manager).

  2. Busque el botón List Objects, elija UserForm en el menú desplegable y haga clic en el botón ListObjects.

    Aparece la página List Objects of type: UserForm.

  3. Busque la copia del formulario de cambio de contraseña de usuario que tenga en producción y haga clic en Edit. (El formulario de cambio de contraseña de usuario distribuido con Identity Manager es una plantilla que no debe modificarse.)

  4. Busque el elemento <Form> y después vaya al elemento <Properties>.

  5. Agregue la línea siguiente dentro del elemento <Properties> y guarde las modificaciones.

    <Property name=’RequiresChallenge’ value=’true’/>

  6. Repita los pasos 3 - 5, pero editando la copia del fromulario de reinicialización de contraseña de usuario que tenga en producción.

Cambio de respuestas a preguntas de autenticación

Si desea cambiar las respuestas que hay definidas para las preguntas de autenticación de cuentas, use el área Contraseñas. En la barra de menús, seleccione Contraseñas y después Modificar mis respuestas.

Para obtener más información sobre autenticación, consulte la sección Autenticación de usuarios en el Capítulo 3Administración de usuarios y de cuentas.

Personalización de la visualización del nombre del administrador en la interfaz de administración

En algunas páginas y áreas de la interfaz de administración de Identity Manager se puede visualizar el administrador de Identity Manager por atributo (por ejemplo, email o fullname) en lugar de por el ID de cuenta.

Por ejemplo, es posible ver los administradores de Identity Manager por atributo en estas áreas:

Si desea configurar Identity Manager para que use un nombre de visualización, agregue lo siguiente al objeto UserUIConfig :

<AdminDisplayAttribute>
  <String>attribute_name</String>
</AdminDisplayAttribute>

Por ejemplo, para usar el atributo email como nombre de visualización, agregue el siguiente nombre de atributo a UserUIconfig:

<AdminDisplayAttribute>
  <String>email</String>
</AdminDisplayAttribute>

Qué son las organizaciones en Identity Manager

Las organizaciones le permiten:

Al crear organizaciones y asignar usuarios a diversas ubicaciones en una jerarquía organizativa, se configura la fase de administración delegada. Las organizaciones que a su vez contienen a otras organizaciones se denominan organizaciones principales.

Todos los usuarios de Identity Manager (incluidos los administradores) se asignan estáticamente a una organización. Los usuarios también se pueden asignar dinámicamente a otras organizaciones.

Los administradores de Identity Manager se asignan además para controlar organizaciones.

Creación de organizaciones

ProcedurePara crear una organización

Las organizaciones se crean en el área Cuentas de Identity Manager.

  1. En la interfaz de administración, seleccione Cuentas en la barra de menús.

    Aparece la página Lista de usuarios.

  2. En el menú Nuevas acciones, seleccione Nueva organización.

    Consejo –

    Para crear una organización en una ubicación específica de la jerarquía organizativa, seleccione una organización en la lista y después elija Nueva organización en el menú Nuevas acciones.

    La Figura 6–1 ilustra la página Crear organización.

    Figura 6–1 Página Crear organización

    Figura ilustrativa de la página Crear organización

Asignación de usuarios a organizaciones

Cada usuario es un afiliado estático de una sola organización, pero puede ser un afiliado dinámico de varias.

Las afiliaciones organizativas se definen con uno de estos métodos:

Nota –

Para obtener más información sobre la creación y el uso de reglas en Identity Manager, consulte el Capítulo 4, Working with Rules de Sun Identity Manager Deployment Reference.

Seleccione una regla de usuarios afiliados en el menú Regla de usuarios afiliados de la página Crear organización. La figura siguiente muestra un ejemplo de regla de usuarios afiliados.

Figura ilustrativa de las selecciones Crear organización: Regla de usuarios afiliados.

A continuación se incluye un ejemplo de sintaxis de regla de usuarios afiliados que se utiliza para controlar dinámicamente la afiliación de usuarios a una organización.

Nota –

Antes de crear una regla de usuarios afiliados, debe recordar lo siguiente:

Ejemplo 6–1 Ejemplo de regla de usuarios afiliados

<Rule name=’Get Team Players’ authType=’UserMembersRule’>
  <defvar name=’Team players’>
    <block>
      <defvar name=’player names’>
        <list/>
      </defvar>
  <dolist name=’users’>
    <invoke class=’com.waveset.ui.FormUtil’ name=’getResourceObjects’>
      <ref>context</ref>
      <s>User</s>
      <s>singleton-AD</s>
      <map>
        <s>searchContext</s>
        <s>OU=Pro Ball Team,DC=dev-ad,DC=waveset,DC=com</s>
        <s>searchScope</s>
        <s>subtree</s>
        <s>searchAttrsToGet</s>
        <list>
          <s>distinguishedName</s> 
        </list> 
      </map> 
    </invoke> 
    <append name=’player names’> 
    <concat> 
      <get> 
        <ref>users</ref>
        <s>distinguishedName</s>
      </get>
        <s>:sampson-AD</s>
    </concat>
    </append> 
  </dolist> 
    <ref>player names</ref>
  </block>
   </defvar> 
    <ref>Team players</ref>
</Rule>
Nota –

Puede configurar diversas propiedades en Waveset. para controlar la memoria caché de la lista Usuarios afiliados basada en reglas. Encontrará información en Tracing Rule-Driven Members Caches de Sun Identity Manager 8.1 System Administrator’s Guide.

Asignación de control de organizaciones

En las páginas Crear usuario y Editar usuario se asigna el control administrativo de una o varias organizaciones. Seleccione la ficha de formulario Seguridad para ver el campo Organizaciones controladas.

También es posible asignar el control administrativo de las organizaciones asignando uno o más roles de administrador mediante el campo Roles de administrador (Admin).

Uniones de directorios y organizaciones virtuales

Una unión de directorios es un conjunto de organizaciones relacionadas jerárquicamente que refleja el conjunto real de contenedores jerárquicos de recursos de directorio. Un recurso de directorio es aquél que utiliza un espacio de nombre jerárquico mediante contenedores jerárquicos. Entre los ejemplos de recursos de directorio tenemos los servidores LDAP y los recursos de Windows Active Directory.

Cada organización de una unión de directorios constituye una organización virtual. La organización virtual que ocupa la cima de una unión de directorios refleja el contenedor que representa el contexto base definido en el recurso. Las demás organizaciones virtuales de una unión de directorios son organizaciones secundarias directas o indirectas de la organización virtual principal y también reflejan uno de los contenedores de recurso de directorio que son secundarios respecto al contenedor del contexto base del recurso definido. Esta estructura se ilustra en la Figura 6–2.

Figura 6–2 Organización virtual de Identity Manager

Figura ilustrativa de la estructura de una organización virtual de ejemplo de Identity Manager

La uniones de directorios se pueden acoplar a cualquier punto de la estructura organizativa existente de Identity Manager. Sin embargo, no es posible acoplar uniones de directorios dentro o debajo de una unión de directorios existente.

Una vez incorporada una unión de directorios al árbol organizativo de Identity Manager, puede crear o eliminar organizaciones virtuales en el contexto de la unión de directorios. Asimismo, en cualquier momento puede actualizar el conjunto de organizaciones virtuales que forman una unión de directorios para asegurarse de que permanezcan sincronizadas con los contenedores de recursos de directorio. No es posible crear una organización no virtual dentro de una unión de directorios.

Puede afiliar objetos de Identity Manager (como usuarios, recursos y roles) a una organización virtual y ponerlos a su disposición igual que si fuera una organización física de Identity Manager.

Configuración de uniones de directorios

A continuación se explica cómo configurar las uniones de directorios.

ProcedurePara configurar una unión de directorios

  1. En la interfaz de administración, seleccione Cuentas en la barra de menús.

    Aparece la página Lista de usuarios.

  2. Seleccione una organización de Identity Manager en la lista Cuentas.

    La organización que seleccione constituirá la organización principal de la organización virtual que configure.

  3. En el menú Nuevas acciones, seleccione Nueva Unión de directorios.

    Identity Manager abre la página Crear unión de directorios.

  4. Utilice las opciones de la página Crear unión de directorios para configurar la organización virtual.

    Las opciones incluyen:

    • Organización principal. Este campo contiene la organización que ha seleccionado en la lista Cuentas, pero puede elegir otra organización principal en la lista.

    • Recurso de directorio. Seleccione el recurso de directorio que gestiona el directorio existente cuya estructura desea reflejar en la organización virtual.

    • Formulario de usuario. Seleccione un formulario de usuario para que se aplique a los administradores de esta organización.

    • Directiva de cuentas de Identity Manager. Seleccione una directiva o bien la opción predeterminada (heredada) para adoptar la directiva de la organización principal.

    • Aprobadores. Seleccione los administradores que pueden aprobar solicitudes relacionadas con esta organización.

Actualización de organizaciones virtuales

Mediante este proceso se actualiza y resincroniza la organización virtual con el recurso de directorio asociado, a partir de la organización seleccionada en sentido descendente. Elija la organización virtual en la lista y seleccione Actualizar organización en la lista Acciones de organización.

Eliminación de organizaciones virtuales

Hay dos opciones al eliminar organizaciones virtuales:

Seleccione una opción y haga clic en Eliminar.

Conceptos y administración de capacidades

Las capacidades son grupos de derechos en el sistema Identity Manager. Representan responsabilidades de tareas administrativas, como reinicialización de contraseñas o administración de cuentas de usuario. A cada usuario administrativo de Identity Manager se le asignan una o más capacidades, que le proporcionan una serie de privilegios sin riesgo para la seguridad de los datos.

No es preciso asignar capacidades a todos los usuarios de Identity Manager. Sólo las necesitan los usuarios que vayan a desempeñar una o varias acciones administrativas con Identity Manager. Por ejemplo, no hace falta tener una capacidad asignada para permitir que un usuario cambie su contraseña, pero sí para cambiar la contraseña de otro usuario.

Las capacidades asignadas determinan las áreas de la interfaz de administración de Identity Manager a las que se tiene acceso.

Todos los usuarios administrativos de Identity Manager pueden acceder a ciertas áreas de Identity Manager, que incluyen:

Nota –

Encontrará una lista de las capacidades funcionales (con definiciones) y basadas en tareas predeterminadas de Identity Manager en el Apéndice DDefiniciones de capacidades. En este apéndice también se indican las fichas y fichas secundarias accesibles con cada capacidad basada en tareas.

Categorías de capacidades

Las capacidades de Identity Manager se definen así:

Las capacidades internas (las que se incluyen con el sistema Identity Manager) están protegidas, lo que significa que no son editables. Sin embargo, sí las puede utilizar con las capacidades que usted cree.

Las capacidades protegidas (internas) se señalan en la lista con el icono de una llave roja (o una llave roja y una carpeta). Las capacidades que usted crea y edita se señalan en la lista de capacidades con el icono de una llave verde (o una llave verde y una carpeta).

Operaciones con capacidades

En esta sección se explica cómo crear, editar, asignar y cambiar de nombre las capacidades. Estas operaciones se realizan en la página Capacidades.

Acceso a la página Capacidades

La página Capacidades se encuentra en la ficha Seguridad.

ProcedurePara abrir la página Capacidades

  1. En la interfaz de administración, seleccione Seguridad en el menú principal.

  2. Elija Capacidades en el menú secundario.

    Se abre la página Capacidades con una lista de las capacidades de Identity Manager.

Creación de capacidades

Siga el procedimiento indicado a continuación para crear una capacidad. Para clonar una capacidad, consulte Guardar y cambiar de nombre una capacidad.

ProcedurePara crear una capacidad

  1. En la interfaz de administración, seleccione Seguridad en el menú principal.

  2. Elija Capacidades en el menú secundario.

    Se abre la página Capacidades con una lista de las capacidades de Identity Manager.

  3. Pulse Nuevo.

    Aparece la página Crear Capacidad.

  4. Rellene el formulario así:

    1. Introduzca un nombre para la nueva capacidad.

    2. Use los botones de flecha en el área Capacidades para trasladar al cuadro Capacidades asignadas las capacidades que desea asignar a los usuarios.

    3. En el cuadro Asignadores, seleccione uno o varios usuarios que estarán autorizados para asignar esta capacidad a los demás usuarios.

      • Si no se selecciona ningún usuario, el único usuario que podrá asignar esta capacidad será el que creó la capacidad.

      • Si el usuario que creó la capacidad no tiene asignada la capacidad Asignar capacidad de usuario, deberá seleccionar uno o varios usuarios para garantizar que al menos un usuario pueda asignar la capacidad a otro usuario.

    4. En el cuadro Organizaciones, seleccione al menos una organización para la que estará disponible esta capacidad.

    5. Pulse Guardar.

      Nota –

      El conjunto de usuarios seleccionables incluye los que tienen asignado el derecho de asignar capacidades.

Edición de capacidades

Puede editar las capacidades no protegidas.

ProcedurePara editar una capacidad no protegidas

  1. En la interfaz de administración, seleccione Seguridad en el menú principal.

  2. Elija Capacidades en el menú secundario.

    Se abre la página Capacidades con una lista de las capacidades de Identity Manager.

  3. Haga clic con el botón secundario sobre la capacidad en la lista y seleccione Editar. Aparece la página Editar Capacidad.

  4. Introduzca las modificaciones y pulse Guardar.

    Las capacidades internas no se pueden editar, pero sí puede guardarlas con otros nombres para crear sus propias capacidades. También puede utilizar las capacidades internas en las capacidades que usted cree.

Guardar y cambiar de nombre una capacidad

Para crear un capacidad nueva, puede guardar con otro nombre una capacidad que ya exista. Este proceso se denomina clonar la capacidad.

ProcedurePara clonar una capacidad

  1. En la interfaz de administración, seleccione Seguridad en el menú principal.

  2. Elija Capacidades en el menú secundario.

    Se abre la página Capacidades con una lista de las capacidades de Identity Manager.

  3. Haga clic con el botón secundario sobre la capacidad en la lista y seleccione Guardar como.

    Aparece un cuadro de diálogo donde debe escribir un nombre para la nueva capacidad.

  4. Escriba el nombre y pulse Aceptar.

    Ahora puede editar la nueva capacidad.

Asignación de capacidades a usuarios

Para asignar capacidades a los usuarios, utilice las páginas Crear usuario(Creación de usuarios y trabajo con cuentas de usuario) o Editar usuario (Edición de usuarios). También se pueden asignar capacidades a los usuarios asignando roles de administrador, que se configuran en el área Seguridad de la interfaz. Encontrará más información en Conceptos y administración de roles de admin.

Nota –

Encontrará una lista de las capacidades funcionales (con definiciones) y basadas en tareas predeterminadas de Identity Manager en el Apéndice DDefiniciones de capacidades. En este apéndice también se indican las fichas y fichas secundarias accesibles con cada capacidad basada en tareas.

Conceptos y administración de roles de admin

Los roles de administrador definen dos aspectos: un conjunto de capacidades y un ámbito de control. (El término "ámbito de control" se refiere a una o más organizaciones administradas.) Una vez definidos, los roles de administrador pueden asignarse a uno o varios administradores.

Nota –

No hay que confundir los roles y los roles de administrador. Los roles sirven para administrar el acceso de los usuarios finales a los recursos externos, mientras que los roles de administrador se utilizan sobre todo para gestionar el acceso del administrador a los objetos de Identity Manager.

En esta sección nos limitamos a los roles de administración. Para obtener información sobre los roles, consulte Conceptos y administración de roles.

Es posible asignar varios roles de administrador a un único administrador. Ello permite que un administrador tenga un conjunto de capacidades en un ámbito de control y otro distinto en otro ámbito de control. Por ejemplo, un rol de administrador puede conceder al administrador el derecho a crear y editar usuarios para las organizaciones controladas especificadas en ese rol de administrador. Sin embargo, un segundo rol de administrador asignado al mismo administrador podría garantizar únicamente el derecho a cambiar las contraseñas de los usuarios en un conjunto distinto de organizaciones controladas definidas en el rol de administrador.

Los roles de administrador permiten reutilizar las parejas de capacidades y ámbito de control. También simplifican la gestión de los privilegios de administrador con cifras de usuarios muy elevadas. En lugar de asignar directamente capacidades y organizaciones controladas a los usuarios, conviene utilizar roles de administrador para otorgar privilegios de administrador.

La asignación de capacidades, organizaciones o ambas a un rol de administrador puede ser directa o dinámica (indirecta).

La asignación dinámica de roles de administrador a los usuarios se puede habilitar o inhabilitar para cada interfaz de inicio de sesión (por ejemplo, interfaz de usuario o de administración). Para ello, defina el siguiente atributo de configuración del sistema en true o false:

security.authz.checkDynamicallyAssignedAdminRolesAtLoginTo.logininterface

El valor predeterminado para todas las interfaces es false.

Encontrará instrucciones para editar el objeto de configuración del sistema en Edición de objetos de configuración de Identity Manager.

Reglas de roles de administrador

Identity Manager incluye reglas de ejemplo que puede aprovechar para crear reglas de roles de administrador. Estas reglas se encuentran en el directorio de instalación de Identity Manager dentro del archivo sample/adminRoleRules.xml.

La Tabla 6–1 contiene los nombres de regla y el tipo de autorización (authType) que debe especificar con cada una.

Tabla 6–1 Ejemplos de reglas de roles de administrador

Nombre de regla  

authType

Regla de organizaciones controladas 

ControlledOrganizationsRule

Regla de capacidades 

CapabilitiesRule

Regla de usuario con rol de administrador asignado 

UserIsAssignedAdminRoleRule

Nota –

Encontrará información sobre las reglas de ejemplo suministradas para los roles de administración de usuarios de proveedores de servicios dentro de Administración delegada para usuarios de Service Provider en el Capítulo 17Administración de Service Provider.

El rol de administrador de usuarios

Identity Manager incluye un rol de administrador interno: el rol de administrador de usuarios. Carece de asignaciones predeterminadas de capacidades y organizaciones controladas. No se puede eliminar. Este rol de administrador se asigna implícitamente a todos los usuarios (usuarios finales y administradores) al iniciar la sesión, con independencia de la interfaz donde la inicien (por ejemplo, usuario, administración, consola o Identity Manager IDE).

Nota –

Encontrará información sobre la creación de roles de administrador para los usuarios de proveedores de servicios dentro de Administración delegada para usuarios de Service Provider en el Capítulo 17Administración de Service Provider.

El rol de administrador de usuarios se puede editar en la interfaz de administración (seleccione Seguridad y después Roles de administrador (Admin).

Como las capacidades u organizaciones controladas asignadas estáticamente mediante este rol de administrador se asignan a todos los usuarios, se recomienda utilizar reglas para asignar capacidades y organizaciones controladas. Así será posible que distintos usuarios tengan distintas (o ninguna) capacidades, mientras que el ámbito de las asignaciones dependerá de factores como quiénes son, en qué departamento trabajan o si son directivos, lo que puede consultarse en el contexto de las reglas.

El rol de administrador de usuarios no impide ni sustituye el uso de la marca authorized=true en los flujos de trabajo. Esta marca sigue siendo apropiada cuando el usuario no debería tener acceso a los objetos a los que se accede en el flujo de trabajo, excepto cuando se está ejecutando el flujo de trabajo. Básicamente, esto permite al usuario introducir un modo de ejecución como superusuario.

No obstante, a veces interesa que un usuario tenga acceso específico a uno o más objetos fuera (y potencialmente dentro) de los flujos de trabajo. En estos casos, el uso de reglas para asignar dinámicamente capacidades y organizaciones controladas permite la autorización minuciosa de dichos objetos.

Creación y edición de roles de administrador

Para crear o editar un rol de administrador, debe tener asignada la capacidad Administrador de roles de Admin.

Para acceder a los roles de administrador en la interfaz de administración, seleccione Seguridad y después la ficha Roles de administrador (Admin). La lista de la página Roles de administrador (Admin) sirve para crear, editar y eliminar roles de administrador para los usuarios de Identity Manager y los usuarios de proveedores de servicios.

Para editar un rol de administrador existente, haga clic en un nombre de la lista. Pulse Nuevo para crear un rol de administrador. Identity Manager muestra las opciones de la vista Crear rol de administrador (Admin) (ilustrada en la Figura 6–3). La vista Crear rol de administrador (Admin) ofrece cuatro fichas que sirven para especificar los atributos, las capacidades y el ámbito genéricos del nuevo rol de administración, así como asignaciones del rol a los usuarios.

Figura 6–3 Página Crear rol de administrador (Admin): ficha General

Figura con un ejemplo de la vista Crear rol de administrador (Admin).

Ficha General

En la ficha General de la vista de creación o edición de rol de administrador se especifican las siguientes características básicas del rol de administrador:

Nota –

Encontrará información sobre la creación de roles de administrador para otorgar acceso a los usuarios de proveedores de servicios dentro de Administración delegada para usuarios de Service Provider en el Capítulo 17Administración de Service Provider.

Ámbito de control

Identity Manager permite controlar qué usuarios quedan dentro del ámbito de control de un usuario final.

Use la ficha Ámbito de control (Figura 6–4) para especificar las organizaciones que pueden administrar los afiliados a esta organización, o la regla determinante de las organizaciones que deben administrar los usuarios con rol de administrador, así como para seleccionar el formulario de usuario para el rol de administrador.

Figura 6–4 Crear rol de administrador (Admin): Ámbito de control

Figura ilustrativa de la ficha Ámbito de control

Asignación de capacidades al rol de administrador

Las capacidades asignadas al rol de administrador determinan los derechos administrativos que tienen los usuarios asignados al rol de administrador. Por ejemplo, este rol de administrador podría restringirse a la creación de usuarios exclusivamente para las organizaciones controladas especificadas del rol de administrador. En tal caso, deberá asignar la capacidad Crear usuario.

En la ficha Capacidades, seleccione las opciones siguientes.

Asignación de formularios de usuario a un rol de administrador

Puede especificar un formulario de usuario para quienes tienen un rol de administrador. Use la ficha Asignar a usuarios de la vista de creación o edición de rol de administrador para especificar las asignaciones.

El administrador que tiene asignado el rol de administrador utilizará este formulario al crear o editar usuarios en las organizaciones controladas por dicho rol. Un formulario de usuario asignado mediante un rol de administrador sustituye a cualquier formulario de usuario heredado de la organización a la que pertenece el administrador. Este formulario no sustituye a los formularios de usuario asignados directamente al administrador.

El formulario de usuario empleado para editar un usuario se determina por este orden de prioridad:

Si un administrador tiene asignados varios roles de administrador que controlan la misma organización pero especifican distintos formularios de usuario, aparece un error cuando intenta crear o editar un usuario de dicha organización. Si un administrador intenta asignar dos o más roles de administrador que controlan la misma organización pero especifican distintos formularios de usuario, también aparece un error. Los cambios no pueden guardarse hasta que se resuelve el conflicto.

La organización de usuario final

La organización de usuario final brinda a los administradores un medio práctico para poner a disposición de los usuarios finales determinados objetos, como recursos y roles. Los usuarios finales pueden ver y potencialmente asignarse objetos designados a sí mismos (pendientes de proceso de aprobación) a través de la interfaz de usuario final (Inicio de sesión en la interfaz de usuario final de Identity Manager).

Nota –

La organización de usuario final se introdujo en la versión 7.1.1 de Identity Manager.

Para poder conceder a los usuarios finales acceso a los objetos de configuración de Identity Manager (como roles, recursos, tareas y demás), antes los administradores tenían que editar los objetos de configuración y utilizar tareas de usuario final, recursos de usuario final y tipos de autenticación de usuario final.

Para seguir avanzando, Sun recomienda utilizar la organización de usuario final para conceder a los usuarios finales acceso a los objetos de configuración de Identity Manager.

La organización de usuario final es controlada implícitamente por todos los usuarios y les permite visualizar varios tipos de objetos, incluyendo tareas, reglas, roles y recursos. Sin embargo, la organización carece inicialmente de objetos.

La organización de usuario final pertenece a la superior y no puede tener organizaciones secundarias. Además, la organización de usuario final no aparece en la lista de la página Cuentas. A pesar de esto, cuando se modifican objetos (como roles, roles de administración, recursos, directivas, tareas, etc.) puede utilizar la interfaz de usuario de administración con el fin de que cualquier objeto esté disponible para la organización de usuario final.

Cuando los usuarios finales inician la sesión en la interfaz de usuario final, ocurre lo siguiente:

La regla de organización controlada de usuario final

El argumento de entrada para la regla de organización controlada de usuario final es la vista del usuario que se autentica. Identity Manager espera que la regla devuelva una o varias organizaciones que serán controladas por el usuario que inicia la sesión en la interfaz de usuario final. Identity Manager espera que la regla devuelva una cadena (para una sola organización) o una lista (para varias organizaciones).

Para gestionar estos objetos, los usuarios necesitan la capacidad Administrador de usuario final. Los usuarios que tienen asignada la capacidad Administrador de usuario final pueden ver y modificar el contenido de la regla de organización controlada de usuario final. Estos usuarios también pueden ver y modificar los tipos de objeto especificados en la capacidad de usuario final (EndUser).

La capacidad Administrador de usuario final se asigna de forma predeterminada al usuario Configurator. Los usuarios que han iniciado la sesión no pueden ver de forma dinámica los cambios que se producen en la lista o en las organizaciones que se devuelven al evaluar la regla de organización controlada de usuario final. Para ver los cambios tienen que cerrar la sesión y volver a iniciarla.

Si la regla de organización controlada de usuario final devuelve una organización no válida (por ejemplo, una inexistente en Identity Manager), el problema se incluye en el registro del sistema. Para solucionarlo, inicie la sesión en la interfaz de administración y corrija la regla.

Administración de elementos de trabajo

Algunos procesos de flujo de trabajo generados por tareas en Identity Manager crean elementos de acción o elementos de trabajo. Estos elementos de trabajo pueden ser solicitudes de aprobación u otra solicitud de acción asignada a una cuenta de Identity Manager.

Identity Manager agrupa todos los elementos de trabajo en el área Elementos de trabajo de la interfaz, lo que permite ver y responder a todas las solicitudes pendientes desde una única ubicación.

Tipos de elementos de trabajo

Los elementos de trabajo pueden ser de los siguientes tipos:

Para ver los elementos de trabajo pendientes de cada tipo, seleccione Elementos de trabajo en el menú.

Nota –

Si posee elementos de trabajo pendientes (o delegados), cuando inicie la sesión en la interfaz de usuario de Identity Manager aparecerá su lista de Elementos de trabajo.

Manipulación de solicitudes de elementos de trabajo pendientes

Para responder a una solicitud de elemento de trabajo, haga clic en uno de los tipos de elementos de trabajo dentro del área Elementos de trabajo de la interfaz. Seleccione elementos de la lista de solicitudes y después pulse uno de los botones disponibles para indicar la acción que desear realizar. Las opciones de los elementos de trabajo varían según su tipo.

Encontrará más información para responder a las solicitudes en los temas siguientes:

Visualización del historial de elementos de trabajo

La ficha Historial del área Elementos de trabajo muestra los resultados de las acciones de elementos de trabajo anteriores.

La Figura 6–5 muestra una vista de ejemplo del historial de elementos de trabajo.

Figura 6–5 Vista del historial de elementos de trabajo

Figura ilustrativa de un ejemplo de historial de elementos de trabajo

Delegación de elementos de trabajo

Los propietarios de elementos de trabajo pueden manejar las cargas de trabajo delegando elementos de trabajo en otros usuarios durante un periodo concreto. La página Elementos de trabajo -> Delegar mis elementos de trabajo del menú principal sirve para delegar futuros elementos de trabajo (como solicitudes de aprobación) en uno o más usuarios (delegados). No es necesario que los usuarios dispongan de capacidades de aprobador para ser delegados.

Nota –

La función de delegación se aplica únicamente a elementos de trabajo futuros. Los elementos existentes (los indicados en Mis elementos de trabajo) se deben remitir selectivamente mediante la función de reenvío.

También se pueden delegar elementos de trabajo desde otras páginas:

Los delegados pueden aprobar elementos de trabajo en nombre de los propietarios de dichos elementos durante el periodo de delegación efectivo. Los elementos de trabajo delegados incluyen el nombre del delegado.

Cualquier usuario puede crear una o más delegaciones para sus elementos de trabajo futuros. Los administradores que pueden editar un usuario también pueden crear una delegación en nombre de dicho usuario. Sin embargo, un administrador no puede delegar en alguien en quien no pueda delegar el usuario. (En lo que respecta a las delegaciones, el ámbito de control del administrador es igual que el del usuario en cuyo nombre se delega.)

Entradas del registro de auditoría

Las entradas del registro de auditoría muestran el nombre del delegador cuando se aprueban o rechazan elementos de trabajo delegados. Los cambios realizados en la información del aprobador delegado de un usuario se registran en la sección de cambios detallados de la entrada de registro de auditoría cuando se crea o se modifica un usuario.

Visualización de las delegaciones actuales

Las delegaciones se ven en la página Delegaciones actuales.

ProcedurePara ver las delegaciones actuales

  1. En la interfaz de administración, seleccione Elementos de trabajo en el menú principal.

  2. Elija Delegar mis elementos de trabajo en el menú secundario.

    Identity Manager muestra la página Delegaciones actuales, donde puede ver y editar las delegaciones vigentes.

Visualización de delegaciones anteriores

Las delegaciones anteriores se ven en la página Delegaciones anteriores.

ProcedurePara ver las delegaciones anteriores

  1. En la interfaz de administración, seleccione Elementos de trabajo en el menú principal.

  2. Elija Delegar mis elementos de trabajo en el menú secundario.

    Aparece la página Delegaciones actuales.

  3. Haga clic en Anterior.

    Aparece la página Delegaciones anteriores. Los elementos de trabajo delegados con anterioridad se pueden aprovechar para configurar nuevas delegaciones.

Creación de delegaciones

Las delegaciones se crean en la página Nueva delegación.

ProcedurePara crear una delegación

  1. En la interfaz de administración, seleccione Elementos de trabajo en el menú principal.

  2. Seleccione Delegar mis elementos de trabajo.

    Aparece la página Delegaciones actuales.

  3. Pulse Nuevo.

    Aparece la página Nueva delegación.

  4. Rellene el formulario así:

    1. Seleccione un tipo de elemento de trabajo en la lista Seleccionar tipo de elemento de trabajo para delegar. Para delegar todos sus elementos de trabajo, seleccione Todos los tipos de elementos de trabajo.

      Si va a delegar un elemento de trabajo de tipo de rol, organización o recurso, especifique los roles, organizaciones o recursos concretos que deben definir esta delegación utilizando las flechas para trasladarlos de la columna Disponible a la columna Seleccionado.

    2. Delegar elementos de trabajo a.

      Seleccione una de estas opciones:

      • Usuarios seleccionados. Le sirve para buscar usuarios de su ámbito de control (por nombre) para convertirlos en delegados. Si alguno de los delegados seleccionados ha delegado también sus elementos de trabajo, las solicitudes de elementos de trabajo futuras se delegarán a los delegados de ese delegado.

      • Seleccione uno o más usuarios en el área Usuarios seleccionados. Otra posibilidad es elegir Agregar de búsqueda para abrir la función de búsqueda y buscar usuarios. Pulse Agregar para agregar un usuario encontrado a la lista. Para eliminar un delegado de la lista, selecciónelo y, a continuación, haga clic en Eliminar.

        • Mi administrador. Esta opción delega los elementos de trabajo en su administrador (si está asignado).

        • Regla de elementos de trabajo delegados. Seleccione una regla que devuelva una lista de nombres de usuario de Identity Manager en quienes pueda delegar el tipo de elemento de trabajo seleccionado.

    3. Fecha de inicio. Seleccione la fecha en la que debe comenzar la delegación del elemento de trabajo. De forma predeterminada, el día seleccionado comienza a las 12:01 a.m.

    4. Fecha final. Seleccione la fecha en la que debe terminar la delegación del elemento de trabajo. De forma predeterminada, el día seleccionado finaliza a las 11:59 p.m.

      Nota –

      Puede elegir la misma fecha inicial y final para delegar elementos de trabajo sólo durante un día.

    5. Pulse Aceptar para guardar las selecciones y regresar a la lista de elementos de trabajo en espera de aprobación.

      Nota –

      Una vez configurada la delegación, todos los elementos de trabajo que se creen durante el periodo efectivo de delegación se añadirán a la lista del delegado. Si el usuario termina una delegación o el periodo de delegación caduca, los elementos de trabajo delegados se devuelven a su lista. En consecuencia, pueden duplicarse elementos de trabajo en la lista. No obstante, Al aprobar o rechazar un elemento, su duplicado se suprime automáticamente de la lista.

Delegaciones a usuarios eliminados

Cuando se elimina un usuario que es propietario de elementos de trabajo pendientes, Identity Manager actúa así:

Terminación de delegaciones

Las delegaciones se terminan en la página Delegaciones actuales.

ProcedurePara terminar una o más delegaciones

  1. En la interfaz de administración, seleccione Elementos de trabajo en el menú principal.

  2. Elija Delegar mis elementos de trabajo en el menú secundario.

    Aparece la página Delegaciones actuales.

  3. Seleccione una o varias delegaciones para terminarlas y después haga clic en Finalizar.

    Identity Manager suprime las configuraciones de delegación seleccionadas y devuelve a la lista de elementos pendientes todos los elementos de trabajo delegados del tipo elegido.

Aprobación de cuentas de usuario

Cuando se añade un usuario al sistema Identity Manager, los administradores asignados como aprobadores de nuevas cuentas deben validar la creación de la cuenta.

Identity Manager ofrece tres categorías de aprobación:

Además, si se habilitan las aprobaciones de cambio y se efectúan cambios en un rol, se envía un elemento de trabajo de aprobación de cambio a los propietarios de rol designados.

Identity Manager permite aprobaciones de cambios por definición de roles. Si un administrador cambia una definición de rol, se necesita que un propietario del rol apruebe los cambios. Para que el cambio sea efectivo, un propietario del rol debe aprobar el elemento de trabajo.

Nota –

Configuración de aprobadores de cuentas

Configurar aprobadores de cuentas para las aprobaciones de organizaciones, roles y recursos es optativo, pero aconsejable. Por cada categoría donde se configuran aprobadores se necesita al menos una aprobación para crear una cuenta. Si un aprobador rechaza una solicitud de aprobación, no se crea la cuenta.

Es posible asignar más de un aprobador a cada categoría. Como sólo se precisa una aprobación dentro de una categoría, es posible configurar diversos aprobadores para contribuir a impedir que el flujo de trabajo se retrase o detenga. Si un aprobador no está disponible, lo estarán otros para gestionar las aprobaciones. La aprobación sólo se aplica a la creación de cuentas. De manera predeterminada, las actualizaciones y eliminaciones de cuentas no requieren aprobación. Sin embargo, es posible personalizar este proceso para que sí la requiera.

Los flujos de trabajo se pueden personalizar aprovechando Identity Manager IDE para cambiar el flujo de aprobaciones, capturar las eliminaciones de cuentas y las actualizaciones.

Encontrará información sobre Identity Manager IDE en https://identitymanager.dev.java.net. Para obtener información sobre los flujos de trabajo y consultar un ejemplo ilustrado de su alteración, consulte el Capítulo 1, Workflow de Sun Identity Manager Deployment Reference.

Los aprobadores de Identity Manager pueden aprobar o rechazar una solicitud de aprobación.

Los administradores pueden ver y gestionar las aprobaciones pendientes desde el área Elementos de trabajo de la interfaz de Identity Manager. En la página Elementos de trabajo, seleccione Mis elementos de trabajo para ver las aprobaciones pendientes. Haga clic en la ficha Aprobaciones para administrar aprobaciones.

Firma de aprobaciones

Para aprobar un elemento de trabajo mediante una firma digital, primero debe configurarla como se explica en Configuración de aprobaciones y acciones por firma digital.

ProcedurePara firmar una aprobación

  1. En la interfaz de administración de Identity Manager, seleccione Elementos de trabajo.

  2. Haga clic en la ficha Aprobaciones.

  3. Seleccione una o varias aprobaciones en la lista.

  4. Introduzca comentarios referentes a la aprobación y haga clic en Aprobar.

    Identity Manager le preguntará si se debe confiar en el applet.

  5. Haga clic en Siempre.

    Identity Manager muestra un resumen fechado de la aprobación.

  6. Introduzca o pulse Examinar para buscar la ubicación del almacén de claves. (Esta ubicación se establece al configurar la aprobación mediante firma, como se explica en el paso 10m del procedimiento Para habilitar la configuración del lado del servidor para aprobaciones firmadas mediante PKCS12. )

  7. Introduzca la contraseña del almacén de claves, que se establece al configurar la aprobación mediante firma, como se explica en el paso 10l del procedimiento Para habilitar la configuración del lado del servidor para aprobaciones firmadas mediante PKCS12.

  8. Haga clic en Firmar para aprobar la solicitud.

Firma de aprobaciones posteriores

Tras firmar una aprobación, para las acciones de aprobación posteriores sólo se requerirá que introduzca la contraseña del almacén de claves y que después haga clic en Firmar. (Identity Manager recuerda la ubicación del almacén de claves desde la aprobación anterior.)

Configuración de aprobaciones y acciones por firma digital

Utilice la información y los procedimientos descritos a continuación para configurar la operación de firma digital. Es posible firmar digitalmente:

En esta sección se explica la configuración del lado del servidor y del lado del cliente necesaria para agregar el certificado y la CRL a Identity Manager para las aprobaciones firmadas.

ProcedurePara habilitar la configuración del lado del servidor para aprobaciones firmadas

  1. Abra el objeto de configuración del sistema para editarlo y defina security.nonrepudiation.signedApprovals=true

    Encontrará instrucciones para editar el objeto de configuración del sistema en Edición de objetos de configuración de Identity Manager.

    En caso de utilizar PKCS11, también deberá definir security.nonrepudiation.defaultKeystoreType=PKCS11

    Si utiliza un proveedor de claves PKCS11 personalizado, también deberá definir security.nonrepudiation.defaultPKCS11KeyProvider= nombre de su proveedor

    Nota –

    Para obtener más información acerca de cuándo es necesario incluir un proveedor personalizado, consulte los elementos siguientes en el kit REF.


    com.sun.idm.ui.web.applet.transactionsigner.DefaultPKCS11KeyProvider (Javadoc)
REF/transactionsigner/SamplePKCS11KeyProvider

    El kit REF (Resource Extension Facility) se encuentra en el directorio /REF del CD del producto o en la imagen de instalación.

  2. Agregue los certificados de su autoridad de certificación (AC) como certificados de confianza. Para ello debe obtener primero una copia de los certificados.

    Por ejemplo, si utiliza una autoridad de certificación de Microsoft, siga un procedimiento como éste:

    1. Vaya a http://IPAddress/certsrv e inicie la sesión con privilegios administrativos.

    2. Elija recuperar el certificado de AC o la lista de revocación de certificados y pulse Next.

    3. Descargue el certificado de AC y guárdelo.

  3. Agregue el certificado a Identity Manager como un certificado de confianza:

    1. En la interfaz de administración, seleccione Seguridad y después Certificados. Identity Manager muestra la página Certificados.

      Figura 6–6 Página Certificados

      Figura con un ejemplo de la página Certificados

    2. En el área Certificados de CA en los que se confía, haga clic en Añadir. Identity Manager muestra la página Importar certificado.

    3. Busque y seleccione el certificado de confianza y haga clic en Importar.

      Al hacerlo, el certificado aparece en la lista de certificados de confianza.

  4. Agregue la lista de revocación de certificados (CRL) de su AC.

    1. En el área CRLs de la página Certificados, pulse Agregar.

    2. Especifique la URL de la CRL emitida por la autoridad de certificación (AC).

      Nota –

      • La lista de revocación de certificados (CRL) es una lista de números de serie de certificados que se han revocado o no son válidos.

      • La URL de la CRL emitida por la autoridad de certificación (AC) puede ser http o LDAP.

      • Cada AC tiene una URL distinta donde se distribuyen las CRL. Puede averiguar cuál es examinando la extensión de puntos de distribución de CRL del certificado.

  5. Haga clic en Conexión de prueba para verificar la URL.

  6. Haga clic en Guardar.

  7. Firme los applets/ts2.jar mediante jarsigner.

    Nota –

    Encontrará más información en http://java.sun.com/j2se/1.5.0/docs/tooldocs/windows/jarsigner.html. El archivo ts2.jar suministrado con Identity Manager se firma mediante un certificado firmado automáticamente y no debe utilizarse con sistemas de producción. En producción conviene volver a firmar este archivo utilizando un certificado de firma codificada emitido por su AC de confianza.

ProcedurePara habilitar la configuración del lado del servidor para aprobaciones firmadas mediante PKCS12

La siguiente información de configuración corresponde a aprobaciones firmadas mediante PKCS12. Obtenga un certificado y una clave privada, y después expórtelos a un almacén de claves PKCS#12. Por ejemplo, si utiliza una autoridad de certificación de Microsoft, siga un procedimiento como éste:

Antes de empezar

Identity Manager ahora requiere como mínimo JRE 1.5.

  1. Con Internet Explorer, vaya a http://IPAddress/certsrv e inicie la sesión con privilegios administrativos.

  2. Seleccione Request a certificate y pulse Next.

  3. Seleccione Advanced request y pulse Next.

  4. Pulse Next.

  5. Seleccione User for Certificate Template.

  6. Seleccione estas opciones:

    1. Mark keys as exportable.

    2. Enable strong key protection.

    3. Use local machine store.

  7. Pulse Submit y después OK.

  8. Haga clic en Install this certificate.

  9. Seleccione Run -> mmc para iniciar mmc.

  10. Agregue el componente de certificado:

    1. Seleccione Console -> Add/Remove Snap-in.

    2. Haga clic en Add.

    3. Seleccione Computer account.

    4. Pulse Next y después Finish.

    5. Haga clic en Close.

    6. Haga clic en OK.

    7. Vaya a Certificates -> Personal -> Certificates.

    8. Haga clic con el botón secundario en Administrator All Tasks -> Export.

    9. Pulse Siguiente.

    10. Pulse Next para confirmar la exportación de la clave privada.

    11. Pulse Siguiente.

    12. Introduzca una contraseña y pulse Next.

    13. Archivo CertificateLocation.

    14. Pulse Next y después Finish. Pulse OK para confirmar.

      Nota –

      Anote la información utilizada en los pasos 10l (contraseña) y 10m (ubicación del certificado) de la configuración del lado del cliente. Necesitará dicha información para firmar aprobaciones.

ProcedurePara habilitar la configuración del lado del cliente para aprobaciones firmadas mediante PKCS11

Si va a utilizar PKCS11 para las aprobaciones firmadas

  1. Consulte los recursos siguientes en el kit REF para obtener información sobre la configuración:


    com.sun.idm.ui.web.applet.transactionsigner.DefaultPKCS11KeyProvider (Javadoc)
REF/transactionsigner/SamplePKCS11KeyProvider

    El kit REF (Resource Extension Facility) se encuentra en el directorio /REF del CD del producto o en la imagen de instalación.

Visualización de la firma de transacción

A continuación se explica el procedimiento para ver firmas de transacciones en un informe de registro de auditoría de Identity Manager.

ProcedurePara ver una firma de transacción

  1. En la interfaz de administración de Identity Manager, seleccione Informes.

  2. En la página Ejecutar informes, elija Informe de AuditLog dentro de la lista de opciones Nuevo.

  3. En el campo Título del informe, escriba un título (por ejemplo, Aprobaciones).

  4. En el área de selección Organizaciones, seleccione todas las organizaciones.

  5. Elija la opción Acciones y después Aprobar.

  6. Haga clic en Guardar para guardar el informe y volver a la página Ejecutar informes.

  7. Haga clic en Ejecutar para ejecutar el informe Aprobaciones.

  8. Seleccione el vínculo de detalles para ver la información de la firma de transacción.

    La información de la firma de transacción puede incluir:

    • Emisor

    • Asunto

    • Número de serie de certificado

    • Mensaje firmado

    • Firma

    • Algoritmo de firma

Configuración de aprobaciones firmadas en formato XMLDSIG

Identity Manager le permite agregar a su proceso de aprobación aprobaciones firmadas en formato XMLDSIG, incluida una marca de fecha y hora digital conforme con RFC. Cuando se configura Identity Manager para utilizar aprobaciones firmadas en formato XMLDSIG, los aprobadores no perciben los cambios a no ser que visualicen la aprobación en el registro de auditoría. Sólo varía el formato de la aprobación firmada que se almacena en el registro de auditoría.

Como en el caso de las anteriores aprobaciones firmadas en Identity Manager, en la máquina cliente se ejecuta un applet y se presenta al aprobador la información de aprobación para que la firme. A continuación, elige un almacén de claves y una clave para firmar la aprobación.

Una vez que el aprobador ha firmado la aprobación, se crea un documento XMLDSIG que contiene los datos de la aprobación. Este documento se devuelve al servidor, que valida el documento firmado en XMLDSIG. Si el resultado es satisfactorio y se han configurado marcas digitales de fecha y hora RFC 3161, también se genera una marca digital de fecha y hora para este documento. La marca de fecha y hora emitida por la autoridad de marca de fecha y hora (TSA) se verifica para detectar posibles errores y se validan sus certificados. Por último, si todo es correcto, Identity Manager genera un registro de auditoría que incluye el objeto de la aprobación firmada en formato XMLDSIG dentro de la columna blob XML.

Formato de datos de aprobación

Éste es el formato de un objeto de aprobación en formato XMLDSIG:

<XMLSignedData signedContent="...base64 transaction text ...">
   <XMLSignature>
      <TSATimestamp>
         ...The base64 encoded PKCS7 timestamp token returned by the TSA...
      </TSATimestamp
      <Signature>
        <SignedInfo>...XMLDSIG stuff...</SignedInfo>
        <SignatureValue>...base64 signature value</SignatureValue>
        <KeyInfo>...cert info for signer</KeyInfo>
      </Signature>
   </XMLSignature>
</XMLSignedData>

donde:

Este documento XMLDSIG se almacena en la columna XML del registro de aprobación del registro de auditoría.

Instalación y configuración

Los requisitos de instalación y configuración para utilizar aprobaciones firmadas en formato XMLDSIG son iguales a los descritos dentro del apartado Para habilitar la configuración del lado del servidor para aprobaciones firmadas, pero con un paso más. Debe firmar el archivo xmlsec-1.4.2.jar además del archivo ts2.jar.

Configuración de aprobación

Puede utilizar los atributos de configuración del sistema para:

Si desea editar estos atributos, utilice las páginas de depuración de Identity Manager para editar el objeto de configuración del sistema. Todos estos atributos se encuentran dentro de security.nonrepudiation, junto con otros atributos de aprobación firmada.

Los atributos XMLDSIG incluyen:

Nota –