test

Guide de l'administrateur d'entreprise de Sun Identity Manager 8.1

Chapitre 4 Configuration des objets d'administration d'entreprise

Ce chapitre contient des informations et des procédures relatives à l'utilisation de l'interface administrateur pour paramétrer et actualiser les objets Identity Manager. Pour plus d'informations sur les objets Identity Manager, voir la section Objets Identity Manager au chapitre Présentation.

Remarque –

Pour toute information sur la configuration d'Identity Manager pour une implémentation Service Provider (fournisseur de services), voir le Chapitre 17Administration de Service Provider.

Ce chapitre se compose des sections suivantes :

Configuration des stratégies d'Identity Manager

Vous trouverez dans cette section des informations relatives à la configuration des stratégies utilisateur.

Cette section se compose des rubriques suivantes :

Définition des stratégies

Les stratégies d' Identity Manager définissent des limites pour les utilisateurs Identity Manager en établissant des contraintes concernant les caractéristiques des ID de compte, connexions et mots de passe d'Identity Manager.

Remarque –

Identity Manager fournit également des stratégies d'audit spécialement conçues pour contrôler la compatibilité des utilisateurs. Les stratégies d'audit font l'objet du Chapitre 13Audit des identités : principes de base.

Les stratégies sont classées en catégories comme suit :

ProcedurePour ouvrir la page Stratégies

Vous créez et éditez les stratégies utilisateur Identity Manager depuis la page Stratégies. Pour ouvrir cette page, procédez comme suit :

  1. Connectez-vous à l'interface administrateur.

  2. Cliquez sur l'onglet Sécurité puis sur le sous-onglet Stratégies.

    La page Stratégies, représentée dans la figure suivante, s'ouvre.

    Figure représentant une stratégie Identity Manager.

Ne doit pas contenir les attributs dans les stratégies

Vous pouvez modifier l'ensemble autorisé d'attributs « Ne doit pas contenir » dans l'objet configuration UserUIConfig.

Les attributs sont listés dans UserUIConfig comme suit :

Stratégie de dictionnaire

Une stratégie·de dictionnaire permet à Identity Manager de vérifier, par rapport à une base de données de mots, que les mots de passe sont protégés d'une attaque de dictionnaire simple. Cette stratégie, utilisée avec d'autres paramètres de stratégie pour imposer la longueur et l'arrangement des mots de passe, permet à Identity Manager de rendre difficile l'utilisation d'un dictionnaire pour deviner les mots de passe générés ou changés dans le système.

La stratégie de dictionnaire étend la liste d'exclusion de mots de passe que vous pouvez configurer avec la stratégie (cette liste est implémentée par l'option Ne doit pas contenir les mots sur la page Éditer la stratégie de mot de passe de l'interface administrateur).

ProcedurePour configurer une stratégie de dictionnaire

Pour configurer une stratégie de dictionnaire, vous devez :

  1. Ouvrez la page Stratégies comme décrit dans Pour ouvrir la page Stratégies.

  2. Cliquez sur Configurer le dictionnaire pour afficher la page Configuration du dictionnaire.

  3. Sélectionnez et saisissez les informations relatives à la base de données.

    Ces informations sont les suivantes :

    • Type de la base de données. Sélectionnez le type de la base de données (Oracle, DB2, SQLServer ou MySQL) que vous utiliserez pour stocker le dictionnaire.

    • Hôte. Entrez le nom de l’hôte sur lequel la base de données sera exécutée.

    • Utilisateur. Saisissez le nom d'utilisateur à utiliser pour la connexion à la base de données.

    • Mot de passe. Saisissez le mot de passe à utiliser lors de la connexion à la base de données.

    • Port. Entrez le port sur lequel la base de données écoute.

    • Connexion URL. Saisissez l'URL à utiliser lors de la connexion. Les variables de modèles suivantes sont disponibles :

      • %h (hôte),

      • %p (port),

      • %d (nom de la base de données).

      Classe de pilote. Saisissez la classe du pilote JDBC à utiliser lors de l’interaction avec la base de données.

    • Nom de la base de données. Saisissez le nom de la base de données dans laquelle le dictionnaire sera chargé.

    • Nom de fichier du dictionnaire. Saisissez le nom du fichier à utiliser lors du chargement du dictionnaire.

  4. Cliquez sur Test pour tester la connexion à la base de données.

  5. Si le test de connexion réussit, cliquez sur Charger mots pour charger le dictionnaire. La tâche de chargement peut prendre quelques minutes.

  6. Cliquez sur Test pour vérifier que le chargement du dictionnaire a réussi.

ProcedurePour implémenter une stratégie de dictionnaire

Suivez les étapes ci-après pour implémenter une stratégie de dictionnaire :

  1. Ouvrez la page Stratégies comme décrit dans Pour ouvrir la page Stratégies.

  2. Cliquez sur le lien Stratégie de mot de passe pour éditer la stratégie de mot de passe.

  3. Dans la page Éditer la stratégie, sélectionnez l'option Vérifier les mots de passe dans le dictionnaire.

  4. Cliquez sur Enregistrer pour enregistrer vos modifications.

    Une fois la stratégie implémentée, tous les mots de passe générés et changés sont confrontés au dictionnaire.

Personnalisation des modèles d'e-mails

Identity Manager utilise des modèles d’e-mails pour envoyer des informations et des requêtes d’actions aux utilisateurs et aux approbateurs. Le système comprend des modèles pour les éléments suivants :

Édition d'un modèle d'e-mail

Vous pouvez personnaliser les modèles d'e-mail pour fournir au destinataire des instructions spécifiques lui indiquant comment accomplir une tâche ou afficher les résultats. Par exemple, vous pouvez personnaliser le modèle Approbation de création de compte pour diriger un approbateur vers une page d'approbation de compte en ajoutant le message suivant :

Consultez le site http://host.example.com:8080/idm/approval/approval.jsp pour approuver la création de compte pour $(fullname).

Utilisez la procédure suivante pour personnaliser un modèle d'e-mail en utilisant le modèle Approbation de création de compte en tant qu'exemple.

ProcedurePour personnaliser un modèle d'e-mail

  1. Dans l'interface administrateur, cliquez sur l'onglet Configurer puis sur le sous-onglet Modèles d’e-mail.

    La page Modèles d’e-mail s'ouvre.

  2. Cliquez pour sélectionner le modèle Approbation de création de compte.

    Figure 4–1 Édition d'un modèle d'e-mail

    Figure illustrant l'onglet Édition d’un modèle d’e-mail.

  3. Saisissez les détails concernant ce modèle.

    Vous pouvez entrer les informations suivantes :

    • Entrez dans le champ Hôte SMTP le nom du serveur SMTP pour permettre l'envoi de la notification par e-mail.

    • Dans le champ De, personnalisez l'adresse e-mail d'origine.

    • Dans les champs À et Cc, saisissez une ou plusieurs adresses e-mail ou comptes Identity Manager qui seront les destinataires de la notification par e-mail.

    • Dans le champ Corps de l’e-mail, personnalisez le contenu pour fournir un pointeur vers votre emplacement Identity Manager.

  4. Cliquez sur Enregistrer.

    Vous pouvez aussi modifier des modèles d'e-mail en utilisant environnement de développement intégré Sun Identity Manager (Identity Manager IDE). Pour toute information sur Identity Manager IDE, allez au site Web suivant : https://identitymanageride.dev.java.net/.

    Remarque –

    Vous devez vous enregistrer sur ce site et vous y connecter.

HTML et liens dans les modèles d'e-mail

Vous pouvez insérer du contenu au format HTML dans un modèle d'e-mail : ce contenu s'affichera dans le corps du message. Le contenu peut inclure du texte, des graphiques et des liens Web pointant sur des informations. Pour autoriser le contenu au format HTML, sélectionnez l'option HTML activé.

Variables admissibles dans le corps de l'e-mail

Vous pouvez aussi inclure des références à des variables dans le corps du modèle d'e-mail, sous la forme $(Nom); par exemple : Votre mot de passe $(mot de passe) a été récupéré.

Les variables admissibles pour les différents modèles sont définies dans le tableau suivant

.

Tableau 4–1 Variables des modèles d'e-mails

Modèle  

Variables admissibles  

Réinitialisation du mot de passe 

$(password) : mot de passe nouvellement généré

Mise à jour de l'approbation 

$(fullname) : nom complet de l'utilisateur

$(role) : rôle de l'utilisateur

Notification de mise à jour 

$(fullname) : nom complet de l'utilisateur

$(role) : rôle de l'utilisateur

Rapport 

$(report) : rapport généré

$(id) : ID codé de l'instance de tâche

$(timestamp) : heure d'envoi de l'e-mail

Demande de ressource 

$(fullname) : nom complet de l'utilisateur

$(resource) : type de ressource

Analyse de risque 

$(report) : rapport de l'analyse de risque

Réinitialisation du mot de passe temporaire 

$(password) : mot de passe nouvellement généré

$(expiry) : date d'expiration du mot de passe

Configuration de groupes et d'événements d'audit

Configurer des groupes de configuration d'audit permet d'enregistrer des événements système que vous sélectionnez et de générer des rapports connexes. La configuration de groupes d'audit permet également d'exécuter ultérieurement les rapports AuditLog.

ProcedurePour ouvrir la page Configuration d’audit

La page Configuration d’audit permet de configurer les groupes d'audit. Pour ouvrir la page Configuration d’audit, procédez comme suit :

  1. Ouvrez l'interface administrateur.

  2. Cliquez sur l'onglet Configurer puis sur le sous-onglet Audit.

    La page Configuration d’audit s'ouvre.

ProcedurePour configurer des groupes d'audit

Configurer des groupes et des événements d'audit requiert la capacité administrative Configurer l’audit.

  1. Ouvrez la page Configuration d’audit comme décrit dans la section précédente.

    La page Configuration d’audit affiche la liste des groupes d'audit, chacun de ces groupes pouvant contenir un ou plusieurs événements. Vous pouvez enregistrer les réussites, les échecs ou ces deux catégories d'événements, pour chacun de ces groupes.

  2. Cliquez sur un groupe d'audit dans la liste pour afficher la page Éditer le groupe de configuration d’audit. Cette page permet de sélectionner les types d'événements de contrôle à enregistrer dans le cadre d'un groupe de configuration d'audit, dans le journal d'audit du système.

  3. Contrôlez que la case Activer l’audit est sélectionnée. Désélectionnez la case à cocher pour désactiver le système d'audit.

    Remarque –

    Pour plus d'informations sur les groupes d'audit, voir la section Configuration d'audit au Chapitre 10Journalisation d'audit.

ProcedurePour ajouter des événements à un groupe de configuration d’audit

Suivez les étapes ci-après pour ajouter un événement au groupe :

  1. Cliquez sur Nouveau.

    Identity Manager ajoute un événement au bas de la page.

  2. Sélectionnez un type d'objet dans la liste de la colonne Type d'objet, puis déplacez un ou plusieurs éléments de la colonne Actions de la zone Disponible à la zone Sélectionné pour le nouveau type d'objet.

  3. Cliquez sur OK pour ajouter l'événement au groupe.

ProcedurePour éditer des événements dans le groupe Configuration d’audit

Vous pouvez éditer des événements dans le groupe en ajoutant ou en supprimant des actions pour un type d'objet, comme suit :

  1. Déplacez les éléments de la colonne Actions de la zone Disponible à la zone Sélectionné pour le type d'objet en question.

  2. Cliquez sur OK.

Intégration Remedy

Vous pouvez intégrer Identity Manager avec un serveur Remedy en permettant à ce dernier d'envoyer des tickets Remedy conformément à un modèle spécifié.

Paramétrez l'intégration Remedy dans deux zones de l'interface administrateur :

La création de tickets Remedy se configure par le biais du flux de travaux Identity Manager. Selon vos préférences, un appel peut être effectué à une heure appropriée en utilisant le modèle défini pour ouvrir un ticket Remedy. Pour plus d'informations sur la configuration des flux de travaux, voir le Chapitre 1, Workflow du Sun Identity Manager Deployment Reference.

Configuration de l'interface utilisateur final

Les administrateurs peuvent configurer certains aspects de l'interface utilisateur final en modifiant un formulaire dans l'interface administrateur.

ProcedurePour définir les options d'affichage d'informations dans l'interface utilisateur final

  1. Dans l'interface administrateur, cliquez sur Configurer dans le menu principal.

  2. Cliquez sur Interface utilisateur dans le menu secondaire.

    La page Interface utilisateur s'ouvre.

  3. Remplissez et enregistrez la partie Tableau de bord de l’utilisateur final du formulaire. Cliquez sur Aide si vous avez besoin d'aide avec le formulaire.

    Pour toute information sur le remplissage de la partie Inscription anonyme du formulaire, voir la section Inscription anonyme.

ProcedurePour activer les schémas de processus dans l'interface utilisateur final

Les schémas de processus illustrent le flux de travaux suivi par Identity Manager quand les utilisateurs finaux lancent une demande ou mettent à jour leur profil. Lorsqu'ils sont activés, les schémas des processus s'affichent sur la page des résultats une fois que l'utilisateur final a envoyé un formulaire.

Les schémas de processus doivent être activés dans l'interface administrateur pour pouvoir l'être dans l'interface 'utilisateur final. Pour plus d’informations, voir Activation des schémas de processus.

  1. Ouvrez la page de configuration de l'interface utilisateur en suivant les étapes de la section Configuration de l'interface utilisateur final.

  2. Sélectionnez l'option Activer les schémas des processus, qui se trouve dans la section Pages de résultats du formulaire.

    Si l'option Activer les schémas des processus n'est pas disponible, vous devez d'abord activer les schémas de processus dans l'interface administrateur. Voir Activation des schémas de processus.

  3. Cliquez sur Enregistrer.

Enregistrement d'Identity Manager

Les administrateurs sont invités à enregistrer leur installation d'Identity Manager.

Pour l'enregistrement, vous devez avoir un compte Sun en ligne et un mot de passe. Si vous n’êtes pas propriétaire d’un compte Sun en ligne, vous pouvez vous enregistrer en remplissant le formulaire disponible à l’adresse suivante :

https://reg.sun.com/register

Identity Manager peut être enregistré à partir de la console ou via l’interface administrateur.

L’enregistrement depuis la console permet également de créer une étiquette de service locale, qui peut être utilisée avec le logiciel Sun Service Tag pour suivre automatiquement vos systèmes, logiciels et services Sun. Le package client Service Tag doit être installé avant de créer une étiquette de service locale. Ce package peut être téléchargé en cliquant sur le bouton Download Service Tags (Télécharger les étiquettes de service) à l'adresse suivante :

http://inventory.sun.com/inventory

Pour enregistrer Identity Manager, vous devez vous connecter à un compte administrateur vous permettant de configurer des objets Identity Manager. Ce compte doit avoir la capacité Enregistrement du produit. Pour toute information sur les capacités, voir Assignation de capacités aux utilisateurs .

Remarque –

Pour que la fonctionnalité d'enregistrement du produit fonctionne, Java doit être correctement configuré pour SSL sur vos serveurs d'application Identity Manager. Tous les JAR référencés dans votre fichier java.security (ou équivalent) doivent être présents.

Le reste de cette section fournit des informations et des instructions qui vous aideront à enregistrer Identity Manager. Les informations sont organisées dans les rubriques suivantes :

Enregistrement d'Identity Manager depuis la console

Cette section contient les informations dont vous avez besoin pour enregistrer Identity Manager depuis la console.

Utilisation de la commande register

La commande register permet d'enregistrer Identity Manager depuis la console. Cette section contient des informations sur l'utilisation de cette commande.

Utilisation de la commande register 

register -local
register -remote [-u <userid> [-p <password>]] [-prompt] -userSOA <userid> 
-passSOA <password> [-proxy <proxyHost> [-port <proxyPortNumber>]] 
register [-help | -?]

Options de la commande register

Le tableau suivant décrit les options que vous pouvez utiliser avec la commande register.

Tableau 4–2 Options de la commande

Option  

Description  

-local

Crée une étiquette de service sur cet hôte. 

-remote

Enregistre cette installation d'Identity Manager directement auprès de Sun via le réseau. 

-u <idUtilisateur>

ID utilisateur Identity Manager de l'administrateur Identity Manager autorisé à procéder à l'enregistrement. 

-p <motDePasse>

Mot de passe Identity Manager de l'administrateur Identity Manager autorisé à procéder à l'enregistrement. 

-prompt

Invite de manière interactive l'administrateur à saisir son mot de passe si ce dernier manque. 

-userSOA <idUtilisateur>

ID utilisateur du compte Sun en ligne qui sera utilisé pour l'enregistrement. Est nécessaire si l'enregistrement se fait avec l'option -remote.

-passSOA <motDePasse>

Mot de passe du compte Sun en ligne qui sera utilisé pour l'enregistrement. Est nécessaire si l'enregistrement se fait avec l'option -remote.

-proxy <hôteProxy>

Proxy réseau à utiliser pour accéder au service d'enregistrement en ligne de Sun. Est nécessaire si l'enregistrement se fait avec l'option -remote et que votre réseau est configuré pour utiliser un proxy pour atteindre les adresses Internet externes.

-port <numéroPortProxy>

Port de proxy réseau à utiliser pour accéder au service d'enregistrement en ligne de Sun. Est nécessaire si l'enregistrement se fait avec l'option -remote et que votre réseau est configuré pour utiliser un proxy pour atteindre les adresses Internet externes.

-help | -?

Imprime l'aide relative à cette commande sur la console. 

ProcedurePour enregistrer Identity Manager depuis la console

Pour enregistrer Identity Manager depuis la console, vous devez créer une étiquette de service locale ou enregistrer le produit auprès de Sun via Internet. Utilisez les instructions suivantes :

  1. Démarrez l'interface de console (ligne de commande) d'Identity Manager.

    • Depuis une ligne de commande Windows, saisissez ce qui suit :

      %WSHOME%\bin\lh

    • Depuis une ligne de commande UNIX, saisissez ce qui suit :

      $WSHOME/bin/lh

  2. Utilisez la commande register comme suit :

    • Pour créer une étiquette de service locale

      register -local

    • Pour enregistrer Identity Manager via Internet, utilisez la commande suivante :

      register -remote -u <idUtilisateur> -p <motDePasse> -userSOA <idUtilisateurSoa> -passSOA <motDePasseSoa > -proxy <hôteProxy> -port < numéroPortProxy>

      Où :

      • idUtilisateur est l'ID utilisateur Identity Manager de l'administrateur Identity Manager autorisé à procéder à l'enregistrement.

      • motDePasse est le mot de passe Identity Manager de l'administrateur Identity Manager autorisé à procéder à l'enregistrement.

      • idUtilisateurSoa est l'ID utilisateur du compte Sun en ligne qui sera utilisé pour l'enregistrement.

      • motDePasseSoa est le mot de passe du compte Sun en ligne qui sera utilisé pour l'enregistrement.

      • hôteProxy est le proxy réseau à utiliser pour accéder au service d'enregistrement en ligne de Sun. Il n'est nécessaire que si votre réseau est configuré pour utiliser un proxy pour atteindre les adresses Internet externes.

      • numéroPortProxy est le port de proxy réseau à utiliser pour accéder au service d'enregistrement en ligne de Sun. Il n'est nécessaire que si votre réseau est configuré pour utiliser un proxy pour atteindre les adresses Internet externes.

ProcedurePour enregistrer Identity Manager depuis l'interface administrateur

Si vous n'avez pas besoin de créer d'étiquette de service locale, enregistrez Identity Manager depuis l'interface administrateur.

  1. Dans l'interface administrateur, cliquez sur Configurer.

  2. Dans le menu secondaire, cliquez sur Enregistrement du produit.

    La page Enregistrement du produit s'ouvre.

  3. Remplissez le formulaire et cliquez sur M’enregistrer maintenant. Cliquez sur les i-Helps pour toute information sur les différents champs du formulaire.

    Remarque –

    • Si votre serveur d'application n'est pas configuré pour permettre les connexions SSL sortantes, le message d'erreur suivant peut s'afficher :


      Failed to register on Sun Connection server 
due to invalid Sun Online Account user/password.

      Pour résoudre ce problème, ajoutez les certificats racine de confiance appropriés au keystore de votre serveur d'application. Pour plus de détails, consultez la documentation de votre serveur d'application.

    • Si d'anciennes versions de xml-apis.jar et xercesImpl.jar sont présentes dans le classpath du serveur d'application, le message d'erreur suivant peut s'afficher :


      java.lang.NoSuchMethodError:org.w3c.dom.Node.getTextContent()Ljava/lang/String;

      Pour résoudre ce problème, modifiez le classpath de manière à ce que seules les versions les plus récentes de xml-apis.jar et xercesImpl.jar soient présentes.

Édition des objets Configuration Identity Manager

Dans le cadre de l'administration d'Identity Manager, vous serez occasionnellement invité à éditer l'objet Configuration système Identity Manager (aussi appelé Fichier de configuration système) ou d'autres objets similaires.

  1. Ouvrez la page de débogage d'Identity Manager en saisissant l'URL suivant dans votre navigateur :

    http://< HôteServeurApp>:<Port>/idm/debug/session.jsp

    La page System Settings (Paramètres du système) s'ouvre.

    Remarque –

    Vous devez avoir la capacité Déboguer pour pouvoir afficher les pages /idm/debug/.

  2. Trouvez le bouton List Objects (Lister les objets) puis sélectionnez Configuration dans la liste déroulante Type adjacente.

  3. Cliquez sur le bouton List Objects (Lister les objets).

    Page List Objects of type (Lister les objets de type) : Configuration s'ouvre.

  4. Dans la liste des objets, recherchez l'objet dont vous avez besoin et cliquez sur edit (éditer).

    Par exemple, pour éditer l'objet Configuration système, cherchez System Configuration (Configuration système) et cliquez sur edit (éditer).

  5. Éditez l'objet comme indiqué et cliquez sur Save (Enregistrer).

  6. Si cela vous est demandé, redémarrez votre/vos serveurs.