FUJITSU 7.10 ServerView Suite Benutzerhandbuch

Benutzerhandbuch - Deutsch

FUJITSU Software ServerView Suite

Benutzerverwaltung in ServerView 7.10

Zentrale Authentifizierung und rollenbasierte Autorisierung

Ausgabe Mai 2015

Kritik… Anregungen… Korrekturen…

Die Redaktion ist interessiert an Ihren Kommentaren zu diesem Handbuch. Ihre Rückmeldungen helfen uns, die

Dokumentation zu optimieren und auf Ihre Wünsche und

Bedürfnisse abzustimmen.

Sie können uns Ihre Kommentare per E-Mail an [email protected]

senden.

Zertifizierte Dokumentation nach DIN EN ISO 9001:2008

Um eine gleichbleibend hohe Qualität und

Anwenderfreundlichkeit zu gewährleisten, wurde diese

Dokumentation nach den Vorgaben eines

Qualitätsmanagementsystems erstellt, welches die

Forderungen der DIN EN ISO 9001:2008 erfüllt. cognitas. Gesellschaft für Technik-Dokumentation mbH www.cognitas.de

Copyright und Handelsmarken

Copyright © 2015 Fujitsu Technology Solutions GmbH.

Alle Rechte vorbehalten.

Liefermöglichkeiten und technische Änderungen vorbehalten.

Alle verwendeten Hard- und Softwarenamen sind Handelsnamen und/oder Warenzeichen der jeweiligen Hersteller.

Inhalt

1

1.1

1.2

1.3

1.4

1.5

1.6

1.7

Einleitung . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11

Autorisierungs- und Authentifizierungskonzept . . . . . . . 11

Zielgruppe des Handbuchs . . . . . . . . . . . . . . . . . . 12

Struktur des Handbuchs . . . . . . . . . . . . . . . . . . . . 13

Änderungen gegenüber der vorigen Ausgabe . . . . . . . . 15

ServerView Suite Link-Sammlung . . . . . . . . . . . . . . . 16

Dokumentation zur ServerView Suite . . . . . . . . . . . . . 17

Darstellungsmittel . . . . . . . . . . . . . . . . . . . . . . . 18

2 Benutzerverwaltung und Sicherheitsarchitektur (Überblick) 21

2.1

2.2

2.2.1

2.2.2

2.2.3

2.2.4

2.3

2.3.1

2.3.2

2.3.3

2.3.3.1

2.3.3.2

2.4

2.4.1

2.4.2

Voraussetzungen . . . . . . . . . . . . . . . . . . . . . . . . 23

Globale Benutzerverwaltung mithilfe eines LDAP-

Verzeichnisdienstes . . . . . . . . . . . . . . . . . . . . . . 25

Vorteile durch Verwendung eines Verzeichnisdienstes . . . . . 26

Unterstützte Verzeichnisdienste . . . . . . . . . . . . . . . . . 27

ApacheDS oder einen bereits vorhandenen, konfigurierten

Verzeichnisdienst verwenden . . . . . . . . . . . . . . . . . . 27

Gemeinsame Benutzerverwaltung für ServerView Suite und iRMC S2/S3/S4 . . . . . . . . . . . . . . . . . . . . . . . . . 28

Rollenbasierte Zugangskontrolle (RBAC) . . . . . . . . . . 29

Benutzer, Benutzerrollen und Berechtigungen (Privilegien) . . . 29

RBAC-Implementierung in ApacheDS . . . . . . . . . . . . . . 30

RBAC bei einem bereits existierenden konfigurierten

Verzeichnisdienst . . . . . . . . . . . . . . . . . . . . . . . . 31

Authentifizierung und Berechtigung innerhalb des Active

Directorys . . . . . . . . . . . . . . . . . . . . . . . . . . 32

Einheitliches RBAC-Management: Authentifizierung mit

"externem" Active Directory und Autorisierung mit

"internem" ApacheDS . . . . . . . . . . . . . . . . . . . . 33

Single sign-on (SSO) mithilfe eines CAS Service . . . . . . 36

CAS-basierte SSO-Architektur . . . . . . . . . . . . . . . . . 37

Single Sign-on aus Sicht des Benutzers . . . . . . . . . . . . . 40

Benutzerverwaltung in ServerView

Inhalt

3 ServerView-Benutzerverwaltung mit LDAP-

Verzeichnisdienst . . . . . . . . . . . . . . . . . . . . . . . . 41

3.1

3.2

3.2.1

3.2.2

3.2.2.1

3.2.2.2

3.2.2.3

3.2.3

3.2.3.1

3.2.3.2

3.2.3.3

3.2.4

3.2.4.1

3.2.4.2

3.2.5

3.2.5.1

3.2.5.2

3.3

3.3.1

3.3.2

Zugang zum Verzeichnisdienst konfigurieren . . . . . . . . . 41

ServerView-Benutzerverwaltung mit ApacheDS . . . . . . . 42

Vordefinierte Benutzer und Rollen . . . . . . . . . . . . . . . . 42

Passwörter der vordefinierten Benutzer definieren/ändern . . . . 44

Passwort des ApacheDS Directory Managers . . . . . . . . 44

Passwort von svuser definieren / ändern. . . . . . . . . . . 45

Vordefinierte Passwörter der vordefinierten Benutzer

Administrator, Monitor, Operator und UserManager ändern . 48

Benutzer, Rollen und Berechtigungen in ApacheDS verwalten . . 49

ServerView User Management starten. . . . . . . . . . . . . 50

Eigenes ApacheDS-Passwort ändern . . . . . . . . . . . . . 51

User Management-Wizard . . . . . . . . . . . . . . . . . . 52

iRMC S2/S3/S4 in die ServerView-Benutzerverwaltung mit

ApacheDS und SSO integrieren . . . . . . . . . . . . . . . . . 62

iRMC S2/S3/S4 in die ServerView-Benutzerwaltung mit

ApacheDS integrieren . . . . . . . . . . . . . . . . . . . . . 63

iRMC S2/S3/S4-Web-Oberfläche für CAS-basierte Single sign-on (SSO)-Authentifizierung konfigurieren . . . . . . . . 65

ApacheDS-Daten sichern und wiederherstellen . . . . . . . . . 67

Interne Datenbank des ApacheDS Verzeichnisservers sichern . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67

Interne Datenbank des ApacheDS Verzeichnisservers wiederherstellen . . . . . . . . . . . . . . . . . . . . . . . . 68

ServerView-Benutzerverwaltung in Microsoft Active

Directory integrieren . . . . . . . . . . . . . . . . . . . . . . 69

Passwort des LDAP-Bind-Kontos ändern . . . . . . . . . . . . . 80

LDAP Password Policy Enforcement (LPPE) . . . . . . . . . . . 82

4

4.1

4.2

4.2.1

4.2.2

4.2.3

SSL-Zertifikate auf Management-Station und verwaltete

Server verwalten . . . . . . . . . . . . . . . . . . . . . . . . . 87

SSL-Zertifikate verwalten (Überblick) . . . . . . . . . . . . . 88

SSL-Zertifikate auf der Management-Station verwalten . . . 91

Bei der Installation wird automatisch ein selbstsigniertes

Zertifikat erzeugt . . . . . . . . . . . . . . . . . . . . . . . . . 91

Zertifizierungsstellenzertifikat (CA Certificate) erzeugen . . . . . 93

Software-Tools zur Zertifikats- und Schlüsselverwaltung . . . . . 95

Benutzerverwaltung

Inhalt

4.2.4

4.2.4.1

4.2.4.2

4.3

4.3.1

4.3.2

4.3.2.1

4.3.2.2

4.3.3

4.3.3.1

4.3.3.2

4.3.4

4.3.4.1

4.3.4.2

4.3.4.3

Zertifikat auf der zentralen Management-Station ersetzen . . . 96

Zertifikat auf einem Windows System ersetzen . . . . . . . 97

Zertifikat auf einem Linux System ersetzen . . . . . . . . . 102

Verwaltete Server für Role Based Access (RBAC) und

Client-Authentifizierung einrichten. . . . . . . . . . . . . . 107

Dateien <system_name>.scs.pem und <system_name>.scs.xml auf den verwalteten Server übertragen . . . . . . . . . . . . . 107

Zertifikatsdateien auf einem Windows System installieren . . . 109

Zertifikatsdateien gemeinsam mit den ServerView Agenten installieren . . . . . . . . . . . . . . . . . . . . . . . . . . 109

Zertifikat auf einem Windows System installieren, auf dem die Windows-Agenten bereits installiert sind . . . . . . 111

Zertifikatsdateien auf einem Linux oder VMware System installieren . . . . . . . . . . . . . . . . . . . . . . . . . . . . 112

Zertifikatsdateien gemeinsam mit den ServerView Agenten installieren . . . . . . . . . . . . . . . . . . . . . . . . . . 112

Zertifikat auf einem Linux/VMware System installieren, auf dem die ServerView-Agenten bereits installiert sind . . . 114

Zertifikat via ServerView Update Manager installieren

(auf einem Windows / Linux / VMware System) . . . . . . . . 115

Mit dem ServerView Update Manager das CMS-Zertifikat auf dem verwalteten Server installieren (Überblick) . . . . . 116

CMS-Zertifikat auf dem verwalteten Server installieren . . . 120

CMS-Zertifikat auf dem verwalteten Server deinstallieren . . 120

5 Audit Logging . . . . . . . . . . . . . . . . . . . . . . . . . . 123

5.1

5.2

5.2.1

5.2.2

5.2.3

5.2.3.1

5.2.3.2

5.2.3.3

5.2.3.4

5.2.3.5

5.2.4

Lage der Audit-Log-Information im Speicher . . . . . . . . . 124

Einträge des Audit-Logs . . . . . . . . . . . . . . . . . . . . 125

Typen von Audit-Log-Einträgen: . . . . . . . . . . . . . . . . . 126

Header eines Audit-Log-Eintrags . . . . . . . . . . . . . . . . 127

strukturierte Daten (Audit-Log-Eintrag); . . . . . . . . . . . . . 128 origin-Element . . . . . . . . . . . . . . . . . . . . . . . . 128

ServerView:env@231-Element . . . . . . . . . . . . . . . 129

ServerView:audit@231-Element . . . . . . . . . . . . . . . 129

ServerView[.<COMP_NAME>]:msg@231-Element . . . . . 130

ServerView[.<COMP_NAME>]:<operation>@231-Element . 130

Beispiele: Einträge in der Audit-Log-Datei . . . . . . . . . . . 133

Benutzerverwaltung in ServerView

Inhalt

6 Rollenbasierte Berechtigungen für den Zugriff auf den

Operations Manager . . . . . . . . . . . . . . . . . . . . . . 135

6.1

6.1.1

6.1.2

6.1.3

6.1.4

Privilegien-Kategorien und zugehörige Berechtigungen . . 136

Privilegien-Kategorien (Überblick) . . . . . . . . . . . . . . . 136

Kategorie AgentDeploy . . . . . . . . . . . . . . . . . . . . . 137

Kategorie AlarmMgr . . . . . . . . . . . . . . . . . . . . . . 137

Kategorie ArchiveMgr . . . . . . . . . . . . . . . . . . . . . . 138

6.1.5

6.1.6

6.1.7

6.1.8

Kategorie BackupMgr . . . . . . . . . . . . . . . . . . . . . . 138

Kategorie Common . . . . . . . . . . . . . . . . . . . . . . . 139

Kategorie ConfigMgr . . . . . . . . . . . . . . . . . . . . . . 140

Kategorie InvMgr . . . . . . . . . . . . . . . . . . . . . . . . 140

6.1.9

Kategorie iRMC_MMB . . . . . . . . . . . . . . . . . . . . . 141

6.1.10

Kategorie PerfMgr . . . . . . . . . . . . . . . . . . . . . . . . 142

6.1.11

Kategorie PowerMon . . . . . . . . . . . . . . . . . . . . . . 143

6.1.12

Kategorie RackManager . . . . . . . . . . . . . . . . . . . . 144

6.1.13

Kategorie RaidMgr . . . . . . . . . . . . . . . . . . . . . . . 144

6.1.14

Kategorie RemDeploy . . . . . . . . . . . . . . . . . . . . . 145

6.1.15

Kategorie ReportMgr . . . . . . . . . . . . . . . . . . . . . . 145

6.1.16

Kategorie SCS . . . . . . . . . . . . . . . . . . . . . . . . . 146

6.1.17

Kategorie ServerList . . . . . . . . . . . . . . . . . . . . . . 146

6.1.18

Kategorie UpdMgr . . . . . . . . . . . . . . . . . . . . . . . 148

6.1.19

Kategorie UserMgr . . . . . . . . . . . . . . . . . . . . . . . 149

6.1.20

Kategorie VIOM . . . . . . . . . . . . . . . . . . . . . . . . . 149

6.2

In ApacheDS vordefinierte Benutzer und Rollen . . . . . . 150

7 Anhang 1 - Globale iRMC S2/S3-Benutzerverwaltung via LDAP-Verzeichnisdienst . . . . . . . . . . . . . . . . . 155

7.1

7.2

7.2.1

7.2.2

7.2.2.1

7.2.2.2

7.2.2.3

7.2.2.4

Konzept der Benutzerverwaltung für den iRMC S2/S3 . . . 156

Globale Benutzerverwaltung für den iRMC S2/S3 . . . . . . 158

Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160

iRMC S2/S3-Benutzerverwaltung über einen

LDAP Verzeichnisdienst (Konzept) . . . . . . . . . . . . . . . 161

Globale iRMC S2/S3-Benutzerverwaltung über

Berechtigungsgruppen und Rollen . . . . . . . . . . . . . 161

Organizational Unit (OU) SVS . . . . . . . . . . . . . . . 163

Server-übergreifende globale Benutzerberechtigungen . . . 165

SVS: Berechtigungsprofile werden über Rollen definiert . . 167

Benutzerverwaltung

Inhalt

7.2.3

7.2.3.1

7.2.3.2

7.2.3.3

7.2.3.4

7.2.4

7.2.4.1

7.2.4.2

7.2.4.3

7.2.5

7.2.5.1

7.2.5.2

7.2.6

7.2.6.1

7.2.6.2

7.2.6.3

7.2.6.4

7.2.6.5

7.2.6.6

7.2.7

7.2.7.1

7.2.7.2

7.2.7.3

7.2.7.4

7.2.7.5

7.2.8

7.2.8.1

7.2.8.2

7.2.8.3

7.2.9

SVS_LdapDeployer - Strukturen "SVS" und "iRMCgroups" generieren, pflegen und löschen . . . . . . . . . . . . . . . . 169

Konfigurationsdatei (xml-Datei) . . . . . . . . . . . . . . . 169

SVS_LdapDeployer starten . . . . . . . . . . . . . . . . . 170

-deploy: LDAP-Struktur erzeugen oder ändern . . . . . . . 172

-delete: LDAPv2-Struktur löschen . . . . . . . . . . . . . . 174

Typische Anwendungsszenarien . . . . . . . . . . . . . . . . . 175

Erst-Konfiguration einer LDAPv2-Struktur durchführen . . . 175

LDAP v2-Struktur neu generieren oder erweitern . . . . . . 175

LDAP v2-Struktur neu generieren und

Authentisierungsdaten anfordern und speichern . . . . . . . 176

iRMC S2/S3-Benutzerverwaltung via Microsoft

Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . 177

LDAP/SSL-Zugriff des iRMC S2/S3 am Active Directory

Server konfigurieren . . . . . . . . . . . . . . . . . . . . . 178

iRMC S2/S3-Benutzer einer Rolle (Berechtigungsgruppe) zuordnen . . . . . . . . . . . . . . . . . . . . . . . . . . 183

iRMC S2/S3-Benutzerverwaltung via Novell eDirectory . . . . 190

Software-Komponenten und Systemvoraussetzungen . . . . 190

Novell eDirectory installieren . . . . . . . . . . . . . . . . 191

Novell eDirectory konfigurieren . . . . . . . . . . . . . . . 198

iRMC S2/S3-Benutzerverwaltung in Novell eDirectory integrieren . . . . . . . . . . . . . . . . . . . . . . . . . . 204

iRMC S2/S3-Benutzer einer Berechtigungsgruppe zuordnen . . . . . . . . . . . . . . . . . . . . . . . . . . . 210

Tipps zur Administration von Novell eDirectory . . . . . . . 214

iRMC S2/S3-Benutzerverwaltung via OpenLDAP . . . . . . . . 217

OpenLDAP installieren . . . . . . . . . . . . . . . . . . . . 217

SSL-Zertifikate erzeugen . . . . . . . . . . . . . . . . . . . 217

OpenLDAP konfigurieren . . . . . . . . . . . . . . . . . . . 218

iRMC S2/S3-Benutzerverwaltung in OpenLDAP integrieren . 220

Tipps zur Administration von OpenLDAP . . . . . . . . . . 224

E-Mail-Benachrichtigung an globale iRMC S2/S3-Benutzer konfigurieren . . . . . . . . . . . . . . . . . . . . . . . . . . . 226

Globale E-Mail-Benachrichtigung . . . . . . . . . . . . . . 227

Benachrichtigungsgruppen (Alert Roles) anzeigen . . . . . 231

iRMC S2/S3-Benutzer einer Benachrichtigungsgruppe

(Alert Role) zuordnen . . . . . . . . . . . . . . . . . . . . 233

SSL Copyright . . . . . . . . . . . . . . . . . . . . . . . . . . 234

Benutzerverwaltung in ServerView

Inhalt

8 Anhang 2 - Globale iRMC S4-Benutzerverwaltung via

Verzeichnisdienst . . . . . . . . . . . . . . . . . . . . . . . 237

8.1

8.2

8.2.1

8.2.2

8.2.2.1

8.2.2.2

8.2.2.3

8.2.2.4

8.2.3

8.2.3.1

8.2.3.2

8.2.3.3

8.2.3.4

8.2.4

8.2.4.1

8.2.4.2

8.2.4.3

8.2.5

8.2.5.1

8.2.5.2

8.2.6

8.2.6.1

8.2.6.2

8.2.6.3

8.2.6.4

8.2.6.5

8.2.6.6

8.2.7

8.2.7.1

8.2.7.2

8.2.7.3

Konzept der Benutzerverwaltung für den iRMC S4 . . . . . 238

Globale Benutzerverwaltung für den iRMC S4 . . . . . . . 240

Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . 242

iRMC S4-Benutzerverwaltung über einen

LDAP Verzeichnisdienst (Konzept) . . . . . . . . . . . . . . . 243

Globale iRMC S4-Benutzerverwaltung über

Berechtigungsgruppen und Rollen . . . . . . . . . . . . . 243

Organizational Unit (OU) SVS . . . . . . . . . . . . . . . 245

Server-übergreifende globale Benutzerberechtigungen . . . 246

SVS: Berechtigungsprofile werden über Rollen definiert . . 249

SVS_LdapDeployer - Strukturen "SVS" und "iRMCgroups" generieren, pflegen und löschen . . . . . . . . . . . . . . . . 251

Konfigurationsdatei (xml-Datei) . . . . . . . . . . . . . . . 251

SVS_LdapDeployer starten . . . . . . . . . . . . . . . . . 252

-deploy: LDAP-Struktur erzeugen oder ändern . . . . . . . 254

-delete: LDAP-Struktur löschen . . . . . . . . . . . . . . . 256

Typische Anwendungsszenarien . . . . . . . . . . . . . . . . 257

Erst-Konfiguration einer LDAPv2-Struktur durchführen . . . 257

LDAP v2-Struktur neu generieren oder erweitern . . . . . . 257

LDAP v2-Struktur neu generieren und

Authentisierungsdaten anfordern und speichern . . . . . . 258

iRMC S4-Benutzerverwaltung via Microsoft Active Directory . 259

LDAP/SSL-Zugriff des iRMC S2/S3 am Active Directory

Server konfigurieren . . . . . . . . . . . . . . . . . . . . . 260

iRMC S4-Benutzer einer Rolle (Berechtigungsgruppe) zuordnen . . . . . . . . . . . . . . . . . . . . . . . . . . 265

iRMC S4-Benutzerverwaltung via Novell eDirectory . . . . . . 272

Software-Komponenten und Systemvoraussetzungen . . . 272

Novell eDirectory installieren . . . . . . . . . . . . . . . . 273

Novell eDirectory konfigurieren . . . . . . . . . . . . . . . 280

iRMC S2/S3-Benutzerverwaltung in Novell eDirectory integrieren. . . . . . . . . . . . . . . . . . . . . . . . . . 286

Assigning an iRMC S4 user to a permission group . . . . . 292

Tipps zur Administration von Novell eDirectory . . . . . . . 296

iRMC S4-Benutzerverwaltung via OpenLDAP . . . . . . . . . 299

OpenLDAP installieren . . . . . . . . . . . . . . . . . . . 299

SSL-Zertifikate erzeugen . . . . . . . . . . . . . . . . . . 299

OpenLDAP konfigurieren . . . . . . . . . . . . . . . . . . 300

Benutzerverwaltung

Inhalt

8.2.7.4

8.2.7.5

8.2.8

8.2.8.1

8.2.8.2

8.2.8.3

8.2.9

iRMC S4-Benutzerverwaltung in OpenLDAP integrieren . . 302

Tipps zur Administration von OpenLDAP . . . . . . . . . . 306

E-Mail-Benachrichtigung an globale iRMC S4-Benutzer konfigurieren . . . . . . . . . . . . . . . . . . . . . . . . . . . 308

Globale E-Mail-Benachrichtigung . . . . . . . . . . . . . . 309

Benachrichtigungsgruppen (Alert Roles) anzeigen . . . . . 313

iRMC S4-Benutzer einer Benachrichtigungsgruppe

(Alert Role) zuordnen . . . . . . . . . . . . . . . . . . . . 315

SSL Copyright . . . . . . . . . . . . . . . . . . . . . . . . . . 316

Benutzerverwaltung in ServerView

Inhalt

Benutzerverwaltung

1 Einleitung

Dieses Handbuch beschreibt das Autorisierungs- und

Authentifizierungskonzept, auf dem die globale Benutzerverwaltung und die

Sicherheitsarchitektur der ServerView Suite und des iRMC S2/S3/S4 basieren.

1.1

Autorisierungs- und

Authentifizierungskonzept

Benutzerverwaltung und Sicherheitsarchitektur der ServerView Suite und des iRMC S2/S3/S3/S4 basieren auf drei grundlegenden Konzepten:

– Globale Benutzerverwaltung mithilfe eines LDAP-Verzeichnisdienstes

– Rollenbasierte Zugangskontrolle (RBAC)

– Single sign-on (SSO) auf Basis eines Centralized Authentication Service

(CAS)

Globale Benutzerverwaltung mithilfe eines LDAP-Verzeichnisdienstes

Benutzer werden mithilfe eines Verzeichnisdienstes zentral für alle angeschlossenen Management-Stationen (CMS) gespeichert und verwaltet.

Der Verzeichnisdienst liefert alle für die Authentifizierung und Autorisierung von

Benutzern erforderlichen Informationen.

Als Verzeichnisdienst verwenden Sie wahlweise den vorkonfigurierten

Verzeichnisdienst ApacheDS des ServerView Operations Managers oder einen bereits im Einsatz befindlichen, konfigurierten Verzeichnisdienst (wie z.B.

Microsoft Active Directory).

Rollenbasierte Zugangskontrolle (RBAC)

Rollenbasierte Zugangssteuerung (RBAC) steuert die Zugangkontrolle über einen Satz definierter Benutzerrollen. Jedem Benutzer werden dabei eine oder mehrere Rollen zugewiesen, wobei jeder Rolle wiederum ein oder mehrere

Berechtigungen (Privilegien) zugewiesen sind.

Mit RBAC können Sie Ihr Sicherheitskonzept an der Organisationsstruktur Ihres

Unternehmens ausrichten, indem Sie jeder Rolle ein aufgabenorientiertes

Berechtigungsprofil zuordnen.

Benutzerverwaltung in ServerView

11

Zielgruppe des Handbuchs

Im Verzeichnisdienst ApacheDS, der automatisch mit dem ServerView

Operations Manager installiert wird, ist RBAC bereits implementiert. Sollten Sie jedoch bereits einen konfigurierten Verzeichnisdienst wie Active Directory verwenden, dann müssen Sie dort ergänzend die ServerView-spezifischen

Berechtigungen (Privilegien) importieren. Danach können Sie die erforderlichen

Rollen denjenigen Benutzern zuweisen, die über die damit verbundenen

Berechtigungen verfügen sollen.

Single sign-on (SSO)

Für die Anmeldung an den einzelnen ServerView-Komponenten unterstützt die

ServerView Suite das Single Sign-on (SSO)-Login. SSO basiert auf einem zentralisierten Authentifizierungsservice, dem Centralized Authentication

S

ervice (CAS). SSO bedeutet, dass Sie Ihre Authentizität nur einmal nachweisen müssen. Einmal erfolgreich authentifiziert, erhalten Sie Zugang zu allen ServerView-Komponenten, ohne sich bei einer dieser Komponente neu anmelden zu müssen.

1.2

Zielgruppe des Handbuchs

Dieses Handbuch wendet sich an Systemadministratoren,

Netzwerkadministratoren und Service-Techniker, die bereits über eine grundlegende Kenntnis der Hardware und Software verfügen. Das Handbuch gibt einen Überblick über das Autorisierungs- und Authentifizierungskonzept der ServerView Suite und beschreibt detailliert, wie Sie die ServerView-

Benutzerverwaltung einrichten oder in die bereits bestehende

Benutzerverwaltung Ihrer IT integrieren.

12

Benutzerverwaltung

Struktur des Handbuchs

1.3

Struktur des Handbuchs

Das Handbuch liefert Informationen zu folgenden Themen:

●

Kapitel 2: Benutzerverwaltung und Sicherheitsarchitektur (Überblick).

Diese Kapitel gibt einen Überblick über das Autorisierungs- und

Authentifizierungskonzept der ServerView Suite.

●

●

Kapitel 3: ServerView-Benutzerverwaltung mit LDAP-

Verzeichnisdienst

Dieses Kapitel liefert Informationen zu folgenden Themen:

– Zugang zum Verzeichnisdienst konfigurieren.

– ServerView-Benutzerverwaltung mit ApacheDS

– ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren.

Kapitel 4: SSL-Zertifikate auf der zentralen Management-Station und den Managed Nodes verwalten

Dieses Kapitel liefert Informationen zu folgenden Themen:

– SSL-Zertifikate verwalten (Überblick)

– SSL-Zertifikaten auf der zentralen Management-Station verwalten.

– Verwalteten Server Systeme für Role Based Access (RBAC) und Client-

Authentifizierung einrichten.

●

●

Kapitel 5: Rollenbasierte Autorisierung für den Zugriff auf den

Operations Manager

Dieses Kapitel liefert detaillierte Informationen zu folgenden Themen:

– Privilegien-Kategorien und zugehörige Berechtigungen (Privilegien)

– In ApacheDS vordefinierte Benutzer und Rollen

Kapitel 6: Audit-Logging

Dieses Kapitel liefert detaillierte Informationen zum CAS-spezifischen Audit-

Logging, zur Lage des Audit-Log im Speicher sowie zur Struktur der Audit-

Log-Einträge.

Benutzerverwaltung in ServerView

13

Struktur des Handbuchs

●

Anhang 1: iRMC S2/S3-Benutzerverwaltung mithilfe eines LDAP-

Verzeichnisdienstes

Dieses Kapitel liefert Informationen zu folgenden Themen:

– Konzept der globalen Benutzerverwaltung für den iRMC S2/S3.

– Benutzerberechtigungen, Berechtigungsgruppen und Rollen.

– iRMC S2/S3-Benutzerverwaltung mit Microsoft Active Directory, Novell eDirectory, OpenLDAP, OpenDS und OpenDJ.

●

Anhang 2: iRMC S2/S3-Benutzerverwaltung mithilfe eines LDAP-

Verzeichnisdienstes

Dieses Kapitel liefert Informationen zu folgenden Themen:

– Konzept der globalen Benutzerverwaltung für den iRMC S4.

– Benutzerberechtigungen, Berechtigungsgruppen und Rollen.

– iRMC S4-Benutzerverwaltung mit Microsoft Active Directory, Novell eDirectory, OpenLDAP, OpenDS, OpenDJ, ApacheDS.

14

Benutzerverwaltung

Änderungen gegenüber der vorigen Ausgabe

1.4

Änderungen gegenüber der vorigen

Ausgabe

Diese Ausgabe des Handbuchs "Benutzerverwaltung in ServerView" ist gültig für die Version 7.10 des ServerView Operations Manager und ersetzt das folgende Online-Handbuch: "ServerView Suite - Benutzerverwaltung in

ServerView", Ausgabe März 2014.

Das Handbuch bietet die folgenden Änderungen und Erweiterungen:

●

●

●

●

ApacheDS (statt OpenDJ) wird als "interner" Verzeichnisdienst des

ServerView Operations Managers verwendet.

Neue Funktion "einheitliche RBAC-Management":

Im "einheitlichen RBAC-Management" wird der "interne" Verzeichnisdienst des ServerView Operations Managers (ApacheDS) dazu verwendet, die

Rollen-Zuweisungen zu verwalten während auf den "externen"

Verzeichnisdienst (z.B. Active Directory) nur zugegriffen wird, um die

Benutzer-Authentifizierung zu verwalten (siehe

Abschnitt "Einheitliches

RBAC-Management: Authentifizierung mit "externem" Active Directory und

Autorisierung mit "internem" ApacheDS" auf Seite 33 ).

Änderungen beim Definieren / Ändern von Passwörtern der vordefinierten

Benutzer (siehe Abschnitt "Passwort des LDAP-Bind-Kontos ändern" auf

Seite 80 ).

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren:

einheitliches RBAC-Management kann verwendet werden (siehe Abschnitt

"ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren" auf Seite 69 ).

Benutzerverwaltung in ServerView

15

ServerView Suite Link-Sammlung

1.5

ServerView Suite Link-Sammlung

FUJITSU stellt Ihnen über die Link-Sammlung zahlreiche Downloads und weiterführende Informationen zur ServerView Suite und zu PRIMERGY

Servern zur Verfügung.

Zur ServerView Suite werden Ihnen Links zu folgenden Themen angeboten:

●

Forum

●

Service Desk

●

●

●

Handbücher

Produktinformationen

Sicherheitsinformationen

●

Software Downloads

●

Schulungen

I

Die Downloads umfassen u. a.:

– aktuelle Software-Stände zur ServerView Suite sowie ergänzende

Readme-Dateien.

– Informationsdateien und Aktualisierungsdateien (Update Sets) für systemnahe Software-Komponenten (BIOS, Firmware, Treiber,

ServerView-Agenten und ServerView-Update-Agenten) zur

Aktualisierung der PRIMERGY Server anhand des ServerView

Update Managers oder für den lokalen Update einzelner Server anhand des ServerView Update Managers Express.

– die aktuellen Versionen aller Dokumentationen zur ServerView Suite

Die Downloads können kostenlos vom FUJITSU Web-Server heruntergeladen werden.

Zu PRIMERGY Servern werden Ihnen Links zu folgenden Themen angeboten:

●

Service Desk

●

Handbücher

●

●

Produktinformationen

Ersatzteilkatalog

16

Benutzerverwaltung

Dokumentation zur ServerView Suite

Zugriff auf die ServerView Suite-Link-Sammlung

Die Link-Sammlung der ServerView Suite erreichen Sie über verschiedene

Wege:

1. über den ServerView Operations Manager

Ê

Wählen Sie auf der Startseite bzw. in der Menüzeile Help – Links aus.

Anschließend wird die Startseite der ServerView Suite Link-Sammlung angezeigt.

2. Über die Startseite der Online-Dokumentation zur ServerView Suite auf dem

Manual-Server von FUJITSU

I

Sie gelangen auf die Startseite der Online-Dokumentation mit folgendem Link:

http://manuals.ts.fujitsu.com

Ê

Wählen Sie links in der Auswahlliste x86 Servers.

Ê

Klicken Sie rechts unter Selected documents auf PRIMERGY

ServerView Links

.

Anschließend wird die Startseite der ServerView Suite Link-Sammlung angezeigt.

3. Über die ServerView Suite DVD 2.

Ê

Markieren Sie im Startfenster der ServerView Suite DVD 2 die Option

ServerView Software Produktauswahl

.

Ê

Wählen Sie in der Menüleiste Links.

Anschließend wird die Startseite der ServerView Suite Link-Sammlung angezeigt.

1.6

Dokumentation zur ServerView Suite

Die Dokumentation ist über das Internet als Download kostenlos erhältlich. Die

Online-Dokumentation finden Sie unter

http://manuals.ts.fujitsu.com

unter dem

Link x86 Servers.

Einen Überblick über die Dokumentation, die Sie unter ServerView Suite finden, sowie die Ablagestruktur können Sie der ServerView Suite Sitemap

(ServerViewSuite - Site Overview).

Benutzerverwaltung in ServerView

17

Darstellungsmittel

1.7

Darstellungsmittel

In diesem Handbuch werden folgende Darstellungsmittel verwendet:

V

Achtung

Mit diesem Symbol wird auf Gefahren hingewiesen, die zu

Gesundheitsgefährdung, Datenverlust und

Geräteschäden führen können.

I

Mit diesem Symbol werden wichtige Informationen und

Tipps hervorgehoben.

Ê

halbfett

Mit diesem Symbol wird ein Arbeitsschritt, den Sie ausführen müssen, dargestellt.

Im Fließtext werden Kommandos, Menüpunkte, Namen von Schaltflächen, Optionen, Variablen, Dateinamen und

Pfadnamen halbfett dargestellt.

dicktengleich

Ausgaben des Systems werden dicktengleich dargestellt.

dicktengleich halbfett

Über die Tastatur einzugebende Anweisungen werden dicktengleich halbfett dargestellt.

<abc> Angaben zwischen spitzen Klammern kennzeichnen

Variablen, die durch Werte ersetzt werden.

[Tastensymbole]

Tasten werden entsprechend ihrer Abbildung auf der

Tastatur dargestellt. Wenn explizit Großbuchstaben eingegeben werden sollen, so wird die Shift-Taste angegeben, z.B. [SHIFT] - [A] für A.

Müssen zwei Tasten gleichzeitig gedrückt werden, so wird dies durch einen Bindestrich zwischen den

Tastensymbolen gekennzeichnet.

Tabelle 1: Darstellungsmittel

Wird auf Textstellen in diesem Handbuch verwiesen, so wird die Überschrift des

Kapitels bzw. Abschnitts genannt, wobei sich die Seitenangabe auf den Beginn des Abschnitts bezieht.

18

Benutzerverwaltung

Darstellungsmittel

Bildschirmabzüge

Beachten Sie bitte, dass die Bildschirmausgaben teilweise systemabhängig sind und deshalb nicht in allen Details mit der Ausgabe auf Ihrem System

übereinstimmen müssen. Ebenso können bezüglich der verfügbaren

Menüpunkte systembedingte Abweichungen auftreten.

Benutzerverwaltung in ServerView

19

Darstellungsmittel

20

Benutzerverwaltung

2 Benutzerverwaltung und

Sicherheitsarchitektur

(Überblick)

Das in der Benutzerverwaltung und Sicherheitsarchitektur der ServerView Suite angebotene Autorisierungs- und Authentifizierungskonzept basiert auf drei wesentlichen Grundlagen:

–

"Globale Benutzerverwaltung mithilfe eines LDAP-Verzeichnisdienstes" auf

Seite 25 :

Benutzer werden mithilfe eines Verzeichnisdienstes zentral für alle angeschlossenen Management-Stationen gespeichert und verwaltet. Der

Verzeichnisdienst liefert alle für die Authentifizierung und Autorisierung von

Benutzern erforderlichen Informationen.

–

"Rollenbasierte Zugangskontrolle (RBAC)" auf Seite 29 :

Rollenbasierte Zugriffssteuerung (Role Based Access Control, RBAC) regelt die Rechtevergabe über Benutzerrollen. Dabei definiert jede Rolle ein spezifisches, aufgabenorientiertes Berechtigungsprofil.

–

"Single sign-on (SSO) mithilfe eines CAS Service" auf Seite 36

:

Die verschiedenen ServerView Produkte haben ihre eigenen Web Server oder Applikations-Server, die alle die Identität jedes einzelnen Benutzers feststellen müssen, bevor sie den Zugang gestatten. Dadurch würde ein

Benutzer bei jedem Wechsel vom Web GUI eines Produkt zum Web GUI eines anderen Produkts erneut zur Eingabe seiner Berechtigungsdaten aufgefordert.

Beim Single Sign-on (SSO) meldet sich ein Benutzer einmal an und kann danach auf alle Systeme und Dienste der „SSO Domäne“ zugreifen, ohne sich dabei jedes Mal neu anmelden zu müssen. Eine SSO-Domäne umfasst alle Systeme, bei denen die Authentifizierung über denselben CAS Service abgewickelt wird.

Benutzerverwaltung in ServerView

21

Die folgenden Abschnitte gehen näher auf diese Konzepte ein.

I

Zusammenspiel zwischen ServerView Operations Manager Ï 5.0

und ServerView Agenten < 5.0:

Die ServerView Agenten < V5.0 unterstützen die oben erwähnten

Konzepte nicht. Trotzdem können Sie mit dem ServerView Operations

Manager ab V5.x beliebige Operationen (einschließlich der sicherheitsrelevanten Operationen) auf den ServerView Agenten < V5.0 durchführen. Hierfür muss die Benutzer/Passwort-Liste des Operation

Managers gültige Einträge (Benutzer/Passwort-Einträge mit den geeigneten Berechtigungen) für die betreffenden verwalteten Server

(Managed Nodes) enthalten. Die Vorgehensweise ist ähnlich wie beim

ServerView Operations Manger < 5.0. Single Sign-on wird jedoch nicht unterstützt.

22

Benutzerverwaltung

Voraussetzungen

2.1

Voraussetzungen

Benutzerverwaltung und Sicherheitsarchitektur der ServerView Suite setzen folgende Software voraus:

●

JBoss Web Server

Ab der Version 5.0 verwendet der ServerView Operations Manager den

JBoss Web Server. Die benötigten Dateien werden automatisch mit der

Software des ServerView Operations Manager installiert.

JBoss wird als eigenständiger Dienst unter dem Namen ServerView JBoss

Applications Server 7

konfiguriert. Den Service können Sie wie folgt starten / stoppen:

– Auf Windows Server 2008/2012-Systemen:

Wählen Sie Administrative Tools - Services

I

Alternativ können Sie auf allen Windows Systemen zum Starten und Stoppen des JBoss Service die folgenden CLI-Kommandos verwenden:

●

"%WINDIR%\system32\net.exe" start "ServerView JBoss

Application Server 7"

"%WINDIR%\system32\net.exe" stop"ServerView JBoss

Application Server 7"

– Auf Linux Systemen über das folgende Kommando:

/etc/init.d/sv_jboss start|stop

LDAP Verzeichnisdienst

Während der Installation des ServerView Operations Managers können Sie wählen, ob Sie den vom Operations Manager intern genutzten

Verzeichnisdienst ApacheDS oder einen bereits vorhandenen

Verzeichnisdienst (z.B. Microsoft Active Directory) nutzen wollen.

Benutzerverwaltung in ServerView

23

Voraussetzungen

●

Centralized Authentication Service (CAS)

Der CAS Service wird für die Single Sign-on (SSO)-Funktionalität benötigt.

Der CAS Service speichert Server-seitig die Berechtigungsdaten der

Benutzer, um danach beim Aufruf der verschiedenen Dienste die Benutzer-

Authentifizierung transparent durchzuführen.

CAS wird bei der Installation der Operations Manager-Software automatisch mit installiert.

Einzelheiten zur Installation des ServerView Operations Managers, der die oben genannten Komponenten enthält, finden Sie in den Handbüchern

"ServerView Operations Manager - Installation unter Windows“ und

"ServerView Operations Manager - Installation unter Linux“.

24

Benutzerverwaltung

Globale Benutzerverwaltung mithilfe eines LDAP-Verzeichnisdienstes

2.2

Globale Benutzerverwaltung mithilfe eines

LDAP-Verzeichnisdienstes

Die globale Benutzerverwaltung von ServerView Suite und iRMC S2/S3/S4 speichert die Benutzerkennungen für alle zentralen Management-Stationen

(CMS) / iRMC S2/S3/S4 jeweils zentral im Verzeichnis eines LDAP-

Verzeichnisdienstes. Auf diese Weise lassen sich die Benutzerkennungen auf einem zentralen Server verwalten. Die Benutzerkennungen können somit von allen CMS und iRMC S2/S3/S4 verwendet werden, die mit diesem Server im

Netz verbunden sind.

I

Wichtiger Hinweis:

Die Abwicklung einer integrierten Benutzerverwaltung auf Basis eines gemeinsamen Verzeichnisdienstes funktioniert nur dann sowohl für

ServerView-Benutzer als auch für iRMC S2/S3/S4-Benutzer, wenn der betreffende iRMC S2/S3/S4 als Mitglied des Departments DEFAULT konfiguriert ist.

I

In diesem Handbuch wird der Begriff "Benutzerverwaltung des iRMC S2/S3/S4" im Sinne von "globaler" iRMC S2/S3/S4-

Benutzerverwaltung verwendet. Darüber hinaus unterstützt der the iRMC S2/S3/S4 eine "lokale" Benutzerverwaltung. Bei der lokalen

Benutzerverwaltung sind die zugehörigen Benutzerkennungen lokal im nicht-flüchtigen Speicher des iRMC S2/S3/S4 abgelegt und werden über die iRMC S2/S3/S4-Benutzerschnittstellen verwaltet. Zu Einzelheiten siehe Handbücher "iRMC S2/S3 - integrated Remote Management

Controller" und "iRMC S4 - integrated Remote Management Controller".

Benutzerverwaltung in ServerView

25

Globale Benutzerverwaltung mithilfe eines LDAP-Verzeichnisdienstes

2.2.1

Vorteile durch Verwendung eines

Verzeichnisdienstes

Die Verwendung eines Verzeichnisdienstes bietet folgende Vorteile:

– Ein Verzeichnisdienst verwaltet "reale" Benutzeridentitäten und gestattet so die Verwendung von persönlichen Identifikationsdaten anstelle von unspezifischen Benutzerkonten.

– Ein Verzeichnisdienst entkoppelt die Benutzerverwaltung vom Server

Management. Ein Server-Administrator kann somit Benutzerrechte nur dann ändern, wenn er zum Ändern von Daten des Verzeichnisdienstes befugt ist.

ServerView verwendet den Verzeichnisdienst sowohl für Benutzer-

Authentifzierung als auch für Benutzer-Autorisierung:

– Authentifizierung prüft die Identität des Benutzers: "Wer sind Sie?"

– Autorisierung definiert die Rechte des Benutzers: "Was dürfen Sie tun?"

Der Einsatz eines Verzeichnisdienstes für die Management-Station (Central

Management Station, CMS) ermöglicht es darüber hinaus, für das Anmelden an der CMS dieselben Kennungen zu verwenden wie für das Anmelden an den verwalteten Servern.

26

Benutzerverwaltung

Globale Benutzerverwaltung mithilfe eines LDAP-Verzeichnisdienstes

2.2.2

Unterstützte Verzeichnisdienste

Von der ServerView Suite unterstützte Verzeichnisdienste:

Derzeit unterstützt die ServerView Suite folgende Verzeichnisdienste:

– ApacheDS

– Microsoft Active Directory

I

Während der Installation des ServerView Operations Managers können

Sie den ServerView-internen Verzeichnisdienst (ApacheDS) wählen.

Vom iRMC S2/S3/S4 unterstützte Verzeichnisdienste:

Derzeit unterstützt der iRMC S2/S3/S4 folgende Verzeichnisdienste:

– Microsoft Active Directory

– Novell eDirectory

– OpenLDAP

– ApacheDS

2.2.3

ApacheDS oder einen bereits vorhandenen, konfigurierten Verzeichnisdienst verwenden

ApacheDS verwenden

Falls Sie bei der Installation des Operations Managers keinen separaten

Verzeichnisdienst festlegen, installiert der Installation Wizard automatisch

ApacheDS als Verzeichnisdienst. Somit ist ApacheDS nur dann verfügbar, wenn der Service ServerView JBoss Application Server 7 ausgeführt wird.

Bereits existierenden, konfigurierten Verzeichnisdienst verwenden

Falls für die Benutzerverwaltung Ihrer IT-Umgebung bereits ein

Verzeichnisdienst (z.B. Microsoft Active Directory) eingerichtet ist, können Sie diesen anstelle von ApacheDS verwenden.

Benutzerverwaltung in ServerView

27

Globale Benutzerverwaltung mithilfe eines LDAP-Verzeichnisdienstes

2.2.4

Gemeinsame Benutzerverwaltung für ServerView

Suite und iRMC S2/S3/S4

Mit Active Directory können Sie eine server-übergreifende Benutzerverwaltung einrichten, die alle von der ServerView Suite verwalteten Server sowie die zugehörigen iRMC S2/S3/S4 gleichermaßen umfasst.

CMS

Login

Authentifizierung (SSL) iRMC S2/S3/S4

Login

Authentifizierung (SSL)

Verzeichnisdienst

(z.B. Active Directory)

Zentrale Benutzerkennungen

. . .

ServerView RAID

Login

Authentifizierung (SSL)

Bild 1: Gemeinsame Nutzung der globalen Benutzerkennungen durch die durch die verschiedenen Komponenten der ServerView Suite.

Die Kommunikation zwischen den einzelnen CMS / iRMC S2/S3/S4 / ... und dem zentralen Verzeichnisdienst wird über das TCP/IP-Protokoll LDAP

(Lightweight Directory Access Protocol) abgewickelt. LDAP ermöglicht den

Zugriff auf die gängigsten zur Benutzerverwaltung geeigneten

Verzeichnisdienste.

I

Aus Sicherheitsgründen wird dringend empfohlen, die Kommunikation

über LDAP durch SSL abzusichern. Andernfalls werden Passwörter im

Klartext übertragen.

28

Benutzerverwaltung

Rollenbasierte Zugangskontrolle (RBAC)

2.3

Rollenbasierte Zugangskontrolle (RBAC)

Sowohl die Benutzerverwaltung der ServerView Suite als auch die globale iRMC S2/S3/S4-Benutzerverwaltung basieren auf der rollen-basierten

Zugangskontrolle (Role-based access control, RBAC), mit der Sie Ihr

Sicherheitskonzept an die Struktur Ihres Unternehmens anpassen können.

RBAC basiert auf dem Prinzip der minimalen Berechtigung. Demzufolge sollte kein Benutzer über mehr Berechtigungen (Privilegien) verfügen, als für die

Benutzung einer bestimmten ServerView-Komponente oder zur Ausführung einer ServerView-spezifischen Aufgabe erforderlich sind.

2.3.1

Benutzer, Benutzerrollen und Berechtigungen

(Privilegien)

RBAC regelt die Zuteilung von Berechtigungen an Benutzer über

Benutzerrollen, anstatt die entsprechenden Berechtigungen den Benutzern direkt zuzuweisen:

– Jeder Benutzerrolle wird ein Satz von Berechtigungen zugeordnet. Jeder einzelne Satz definiert ein spezifisches, aufgabenorientiertes

Berechtigungsprofil für Tätigkeiten an der ServerView Suite.

– Jedem Benutzer werden eine oder mehrere Rollen zugewiesen.

Das Konzept der Benutzerrollen bietet u.a folgende wesentlichen Vorteile:

– Die einzelnen Berechtigungen müssen nicht jedem Benutzer oder jeder

Benutzergruppe separat zugewiesen werden. Sondern sie werden nur der

Benutzerrolle zugewiesen.

– Wenn sich die Berechtigungsstruktur ändert, müssen nur die in der

Benutzerrolle enthaltenen Berechtigungen angepasst werden.

Jedem Benutzer können mehrere Rollen zugewiesen werden. In diesem Fall definieren sich die Berechtigungen eines Benutzers über die Summe der

Berechtigungen aus allen Rollen, die diesem Benutzer zugewiesen sind.

Benutzerverwaltung in ServerView

29

Rollenbasierte Zugangskontrolle (RBAC)

2.3.2

RBAC-Implementierung in ApacheDS

RBAC ist bereits im Verzeichnisdienst ApacheDS implementiert, der bei der

Installation des ServerView Operations Managers automatisch installiert wird.

Vordefinierte Benutzer und Rollen

Per Voreinstellung bietet OpenDS die vordefinierten Benutzerrollen

Administrator

, Monitor, Operator und UserAdministrator an, an die jeweils einem der vordefinierten Benutzer Administrator, Monitor, Operator, bzw.

UserManager

fest zugeordnet sind. Durch Erzeugen zusätzlicher Benutzer,

Rollen und Rollen-Benutzer-Zuordnungen können Sie Ihr Sicherheitskonzept auf Ihre Unternehmensstruktur ausrichten.

Bild 2 zeigt das Konzept der rollenbasierten Zuweisung von

Benutzerberechtigungen mit den Benutzernamen Administrator, Monitor,

Operator

und UserManager sowie den zugehörigen Rollen Administrator,

Monitor, Operator

und UserAdministrator.

Benutzer

Rollen

Administrator

Administrator

Operator

Operator

Monitor

Monitor

UserManager

UserAdministrator

Rechte z.B. ModifyAlarm Config.

z.B. accessArchiveMgr.

z.B. AccessServerlist

UserMgmt

Bild 2: Beispiel für rollenbasierte Zuteilung von Benutzerberechtigungen

I

Genau genommen gibt es in ApacheDS noch zwei weitere vordefinierte

Benutzerkennungen, die umfassend autorisiert und für spezielle

Aufgaben reserviert sind:

"cn=system administrator" (Directory Superuser-Kennung von

ApacheDS) und svuser (für den Zugriff auf den Verzeichnisdienst durch

CAS und den Sicherheitsmodul von ServerView).

Der Umfang der durch die einzelnen Benutzerrollen erteilten Berechtigungen nimmt beginnend bei Monitor (niedrigste Berechtigungsstufe) über Operator bis Administrator (höchste Berechtigungsstufe) stetig zu. Näheres hierzu

finden Sie im Kapitel "Audit Logging" auf Seite 123 .

30

Benutzerverwaltung

Rollenbasierte Zugangskontrolle (RBAC)

I

Die Rolle UserAdministrator fügt sich nicht in diese Hierarchie ein, da ihr Zweck lediglich darin besteht, die Privilegien für die

Benutzerverwaltung mit ApacheDS bereitzustellen. Wenn für die

Benutzerverwaltung in ServerView ein externer Verzeichnisdienst (z.B.

Active Directory) verwendet wird, wird die Rolle UserAdministrator nicht in diesen Verzeichnisdienst importiert.

Sicherheitskonzept an die Struktur Ihrer Organisation anpassen

Um Ihr Sicherheitskonzept an Ihrer Unternehmensstruktur auszurichten, können Sie mit der ServerView Suite auf komfortable Weise zusätzliche

Benutzer, Rollen und Rollen-Benutzer-Zuordnungen definieren, indem Sie den

Link User Management unterhalb des Eintrags Security auf der Startseite des

ServerView Operations Managers verwenden.

2.3.3

RBAC bei einem bereits existierenden konfigurierten Verzeichnisdienst

Sie können die RBAC Benutzerverwaltung für ServerView auch in eine bereits existierende Benutzerverwaltung auf Basis eines konfigurierten "externen"

Verzeichnisdienstes (z.B. Microsoft Active Directory) integrieren. Näheres

hierzu finden Sie im Abschnitt "ServerView-Benutzerverwaltung in Microsoft

Active Directory integrieren" auf Seite 69

.

In diesem Fall bietet das ServerView Benutzer- und Sicherheitskonzept die folgenden Optionen:

– Benutzerauthentifizierung und Benutzerberechtigung werden innerhalb demselben "externen" Verzeichnisdienst (z.B Active Directory) verwaltet.

– Im "einheitlichen RBAC-Management" wird der "interne" Verzeichnisdienst des ServerView Operations Managers (ApacheDS) dazu verwendet, die

Rollen-Zuordnungen zu verwalten während der "externe" Verzeichnisdienst

(z.B. Active Directory) nur für die Verwaltung der Benutzerauthentifizierung verwendet wird.

I

Während der Installation des ServerView Operations Managers, können

Sie entscheiden, welche der oben genannten Strategien in Ihrer

ServerView Benutzerverwaltung verwendet werden soll. Wenn das einheitliche RBAC-Management verwendet wird, werden Sie aufgefordert, den Domänenname des "externen" Verzeichnisdienstes

Benutzerverwaltung in ServerView

31

Rollenbasierte Zugangskontrolle (RBAC)

einzugeben. Über diesen Domänennamen können Benutzer später die entsprechende Authentifizierungsdomäne beim Einloggen zum Central

Authentication Service auswählen.

2.3.3.1

Authentifizierung und Berechtigung innerhalb des Active

Directorys

Der Vorteil dieser Lösung ist, dass sie eine konsistente, zentralisierte

Verwaltung von Authentifizierung und Autorisierung bietet. Wenn Sie auf der anderen Seite den ServerView Operations Manager mit dem Active Directory

Ihres Unternehmens konfigurieren, müssen Sie die Autorisierungsdaten der

ServerView Benutzerverwaltung (d.h. die Declarations der Berechtigungen,

Rollen und Abteilungen) in den Domänencontroller importieren, in dem die

Benutzerkennungen der Mitarbeiter Ihres Unternehmens gespeichert sind. Ein solcher LDIF-Import wird aus Sicherheitsgründen von vielen IT-Administratoren kritisch betrachtet.

Benutzer Active Directory ("extern")

Authentifizierung

LDIF-Import

LDIF-

Datei

Berechtigung

(benötigt importierte

LDIF-Daten)

Bild 3: Authentifizierung und Berechtigung innerhalb desselben externen Verzeichnisdienstes

32

Benutzerverwaltung

Rollenbasierte Zugangskontrolle (RBAC)

In Bild 3 wird sowohl die Authentifizierung als auch die Autorisierung für den

Benutzer mit Active Directory durchgeführt, das die zuvor importierten Daten aus der LDIF-Datei bereithält und zusätzlich auch die Daten, die für die Rollen-

Zuordnung der Benutzer erstellt wurden.

2.3.3.2

Einheitliches RBAC-Management: Authentifizierung mit

"externem" Active Directory und Autorisierung mit "internem"

ApacheDS

Mit dem einheitlichen RBAC-Management können Sie den LDIF-Import von

Benutzer-Autorisierungsdaten und den damit verbundenen

Sicherheitsproblemen wie folgt umgehen:

– Der "interne" Verzeichnisdienst des ServerView Operations Managers

(ApacheDS) wird immer eingesetzt, um den Benutzern Rollen zuzuordnen.

– Der "externe" Verzeichnisdienst (Active Directory) wird nur für die Benutzer-

Authentifizierung eingesetzt.

Einheitliches RBAC-Management ist deshalb die empfohlende Methode, wenn ein "externer" Verzeichnisdienst (z.B. Active Directory) verwendet wird.

ApacheDS ("intern") Benutzer Active Directory ("extern")

Autorisierung Authentifizierung

Bild 4: Authentifizierung mit "externem" Active Directory, Berechtigung mit "internem"

ApacheDS

Benutzerverwaltung in ServerView

33

Rollenbasierte Zugangskontrolle (RBAC)

I

Wenn das einheitliche RBAC-Management konfiguriert ist, gilt

Folgendes:

●

Im Login-Fenster des Central Authentication Service werden Sie aufgefordert, die Authentifizierungsdomäne Ihrer Benutzerkennung anzugeben (siehe Handbuch "ServerView Operations Manager"):

●

Bild 5: CAS Anmeldefenster

Die Spalte, in der die Benutzer im Dialog Assign Role to User im

User Management

-Wizard angezeigt werden ist in zwei

Unterspalten aufgeteilt (weitere Einzelheiten finden Sie in der Online-

Hilfe Operations Manager - User Management):

34

Benutzerverwaltung

Rollenbasierte Zugangskontrolle (RBAC)

Bild 6: User Management-Wizard - Assign Role to User (unified RBAC management is configured)

– In der oberen Unterspalte werden die Benutzer angezeigt, die in

ApacheDS verwaltet werden (Domäne SERVERVIEW).

– In der unteren Unterspalte werden die Benutzer angezeigt, die in dem "externen" Verzeichnisdienst verwaltet werden (z.B. Active

Directory, Domäne wurde während Installation des ServerView

Operations Managers angegeben).

Benutzerverwaltung in ServerView

35

Single sign-on (SSO) mithilfe eines CAS Service

2.4

Single sign-on (SSO) mithilfe eines CAS

Service

Für die Benutzeranmeldung an den einzelnen Komponenten (z.B. Web-

Diensten) unterstützt die ServerView Suite die Single sign-on (SSO)-

Funktionalität. ServerView implementiert den SSO-Mechanismus mithilfe eines

Centralized Authentication Service (CAS), der den SSO-Vorgang aus der Sicht des Benutzers völlig transparent abwickelt.

V

Wichtig!

Melden Sie sich immer ab und schließen Sie Ihren Browser, bevor

Sie Ihren PC unbeaufsichtigt lassen!

CAS speichert die Information über die Identität eines Benutzers in einem sicheren Browser Cookie (Ticket Granting Cookie, TGC, siehe

Seite 38 ), das automatisch gelöscht wird, wenn der Benutzer sich

explizit abmeldet oder den Browser schließt. Eine unbeaufsichtigte

Browser-Sitzung stellt deshalb eine ernste Sicherheitslücke dar.

I

Voraussetzung für die Nutzung von SSO:

– Der CAS Service muss für alle iRMC S2/S3/S4 der SSO-Domäne konfiguriert sein (zu Einzelheiten siehe Handbücher "iRMC S2/S3 - integrated Remote Management Controller" und "iRMC S4 - integrated Remote Management Controller").

– Alle Systeme, die zur SSO-Domäne gehören, müssen die zentrale

Management-Station (CMS) unbedingt über genau dieselbe

Adressstruktur referenzieren. (Eine SSO-Domäne umfasst alle

Systeme bei denen die Authentifizierung über denselben CAS

Service abgewickelt wird). Falls Sie z.B. den ServerView Operations

Manager unter Verwendung des Namens "my-cms.my-domain" installiert haben, müssen Sie bei der Konfigurierung des CAS Service für einen iRMC S2/S3/S4 (derselben SSO-Domäne) den identischen

Namen verwenden. Geben Sie dagegen nur „my-cms“ oder eine andere IP-Adresse von my-cms an, wird die SSO-Funktionalität zwischen den beiden Systemen nicht aktiviert.

36

Benutzerverwaltung

Single sign-on (SSO) mithilfe eines CAS Service

2.4.1

CAS-basierte SSO-Architektur

Eine SSO-Architektur basiert auf den folgenden Komponenten und Elementen:

– CAS Service, der die zentralisierte Authentifizierung realisiert

– CAS Client als Komponente jeder CAS-fähigen ("CAS-angepassten")

ServerView Suite-Komponente

– Service Ticket (ST)

– Ticket Granting Ticket (TGT)

Der CAS Service steuert die zentrale Benutzer-Authentifizierung

Der CAS Service steuert die zentrale Benutzer-Authentifizierung. Hierfür vermittelt der CAS Service zwischen dem Browser auf der Management-

Konsole und dem Verzeichnisdienst, der die Benutzer verwaltet.

Der CAS Client fängt Service-Anforderungen ab und leitet sie um

Der CAS Client ist Bestandteil jeder CAS-fähigen ServerView Suite-

Komponente. Er fungiert als Filter, der jede Benutzeranforderung an eine

ServerView Suite-Komponente abfängt, um die Authentizitätsprüfung des

Benutzers zu veranlassen. Hierzu leitet der CAS Client leitet den Request an den CAS Service weiter, der anschließend die Benutzer-Authentifizierung durchführt.

Service Ticket (ST) und Ticket Granting Ticket (TGT)

Nach erfolgreicher Authentifizierung eines Benutzers weist der CAS Service dem Benutzer ein so genanntes Ticket Granting Ticket (TGT) zu. Technisch erfolgt dies durch Setzen eines entsprechenden sicheren Browser Cookies.

Jedesmal, wenn der CAS Client einer ServerView Suite-Komponente einen

HTTPS-Request zum CAS Service umleitet, veranlasst das TGT Cookie den

CAS Service, ein Request-spezifisches Service Ticket (ST) zu erzeugen und, ergänzt um einen zusätzlichen Request-Parameter, an den CAS Client zurückzusenden. Daraufhin validiert der CAS Client das ST per Direktaufruf an den CAS Service und leitet den Request nur bei erfolgreicher Validierung an die

ServerView Suite-Komponente weiter.

Benutzerverwaltung in ServerView

37

Single sign-on (SSO) mithilfe eines CAS Service

Ticket Granting Cookie (TGC)

Nach dem Aufbau einer SSO-Sitzung mit dem CAS Service präsentiert der

Web-Browser dem CAS Service ein sicheres Cookie. Dieses Cookie enthält einen String zur Identifizierung eines Ticket Granting Ticket (TGT) und wird demzufolge als Ticket Granting Cookie (TGT Cookie oder TGC) bezeichnet.

I

Das TGC wird gelöscht, sobald der Benutzer sich beim CAS Service abmeldet oder den Web-Browser schließt. Die Lebensdauer des Ticket

Granting Ticket Cookie ist in der Konfigurationsdatei des CAS Service festgelegt: 24 Stunden). Die maximale Lebensdauer beträgt 24 Stunden.

Dies bedeutet, dass ein Benutzer spätestens nach 24 Stunden abgemeldet wird. In einem installierten System kann die maximale

Zeitspanne nicht verändert werden.

Wie CAS-basiertes SSO einen initialen SSO Request verarbeitet

Bild 7 veranschaulicht, wie CAS-basiertes Single sign-on (SSO) eine initiale

Single sign-on-Authentifizierung durchführt.

Bild 7: SSO Architektur mit CAS Service

38

Benutzerverwaltung

Single sign-on (SSO) mithilfe eines CAS Service

Erläuterung:

1. Ein Benutzer ruft eine Komponente der ServerView Suite (z.B. ServerView

Operations Manager) auf, indem er die URL der Komponente an der

Management-Konsole eingibt.

2. Der Benutzer-Request wird an den CAS Service weitergeleitet.

3. Der CAS Service erzeugt ein CAS Anmeldefenster, das an der

Management-Konsole angezeigt wird. Das CAS Anmeldefenster fordert den

Benutzer auf, seine Berechtigungsdaten (Benutzername und Passwort) einzugeben.

4. Der Benutzer gibt seine Berechtigungsdaten ein.

5. Der CAS Service prüft Benutzername und Passwort und leitet den Request an die ursprünglich angeforderte ServerView-Komponente weiter.

Außerdem setzt der CAS Service das TGT Cookie und weist dem Benutzer das Service Ticket (ST) und das Ticket Granting Ticket (TGT) zu.

6. Der CAS Client sendet das Service Ticket zur Überprüfung an den CAS

Service.

7. Nach erfolgreicher Validierung liefert der CAS Service die folgende

Information zurück: "Service Ticket is ok.", <Benutzername>.

8. Die Web-Anwendung (ServerView-Komponente) beantwortet den ursprünglichen Request (siehe Schritt 1).

Wie CAS-basiertes SSO nachfolgende SSO Requests verarbeitet

Einmal erfolgreich für den Zugriff auf eine ServerView-Komponente (z.B.

Operations Manager) authentifiziert, kann ein Benutzer eine andere

Komponente (z.B. iRMC S2/S3/S4 Web-Oberfläche) aufrufen, ohne dass er noch einmal seine Berechtigungsdaten eingeben muss. In diesem Fall führt den

CAS Service die Authentifizierung mithilfe des Ticket Granting Cookie (TGC) durch, das während eines früheren Anmeldevorgangs für diesen Benutzer gesetzt wurde.

Sofern das TGC einem gültigen Ticket Granting Ticket (TGT) entspricht, stellt der CAS Service jedesmal automatisch ein Service Ticket (ST) aus, wenn der

Web-Browser den Dienst einer Komponente der "SSO-Domäne" anfordert. Auf diese Weise hat der Benutzer Zugriff auf eine ServerView-Komponente, ohne dass er zur Eingabe seiner Berechtigungsdaten aufgefordert wird.

Benutzerverwaltung in ServerView

39

Single sign-on (SSO) mithilfe eines CAS Service

2.4.2

Single Sign-on aus Sicht des Benutzers

SSO bedeutet, dass Sie Ihre Authentizität nur einmal, nämlich beim CAS

Service nachweisen müssen: Bei Ihrer ersten Anmeldung bei einer ServerView-

Komponente (z.B. Operations Manager) zeigt der CAS Service ein eigenes

Fenster, das Sie zur Eingabe Ihrer Berechtigungsdaten (Benutzername und

Passwort) auffordert. Bei erfolgreicher Authentifizierung können Sie anschließend auf alle ServerView-Komponenten und iRMC S2/S3/S4 der SSO

Domäne zugreifen, ohne sich erneut anmelden zu müssen.

[3]

CAS Anmeldefenster

[4]

[1]

[2]

CAS Service

(1a)

Operations Mgr.

[5] [5] andere Web App.

[5]

. . . iRMC S2/S3 Web GUI

(1) Ein Benutzer sendet einen HTTP-Request an eine ServerView-Komponente.

(z.B. Operations Manager).

(1a) Unsichtbar für den Benutzer leitet CAS den Request intern an den CAS Service weiter.

(

2) In seinem Anmeldefenster fordert der CAS Service den Benutzer zur Eingabe seiner

Berechtigungsdaten auf.

(3) Der Benutzer gibt seine Benutzername / Passwort-Kombination ein und bestätigt.

(4) Der CAS Service authentifiziert den Benutzer.

(5) Nach einmaliger erfolgreicher Authentifizierung hat der Benutzer Zugang zu jeder beliebigen Komponente, ohne erneut zur Anmeldung aufgefordert zu werden.

Bild 8: Single Sign-on-Prozedur aus Sicht des Benutzers

40

Benutzerverwaltung

3 ServerView-Benutzerverwaltung mit LDAP-Verzeichnisdienst

Dieses Kapitel liefert Informationen zu folgenden Themen:

–

"Zugang zum Verzeichnisdienst konfigurieren" auf Seite 41

–

"ServerView-Benutzerverwaltung mit ApacheDS" auf Seite 42

–

"ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren" auf Seite 69

I

Wichtiger Hinweis:

Damit ServerView-Benutzerverwaltung und globale iRMC S2/S3/S4-

Benutzerverwaltung innerhalb derselben Organizational Unit (OU) SVS ausgeführt werden können, darf die iRMC S2/S3/S4-

Benutzerverwaltung ausschließlich das Department DEFAULT verwenden.

Benachrichtigungsgruppen (Alert Roles) können in der ServerView

Suite nicht verwendet werden, d.h. sie werden von allen ServerView-

Komponenten mit Ausnahme des iRMC S2/S3/S4 ignoriert.

3.1

Zugang zum Verzeichnisdienst konfigurieren

Sowohl die zentralisierte Authentifizierung als auch die rollenbasierte

Autorisierung der ServerView-Benutzerverwaltung stützen sich auf Daten, die zentral mithilfe eines LDAP-Verzeichnisdienstes verwaltet werden. Die für den

Verbindungsaufbau zu einem LDAP-Verzeichnisdienst benötigte Information wird während der Installation des Operations Managers angefordert.

Wenn Sie diese Einstellungen nachträglich ändern wollen, gehen Sie wie folgt vor:

– Wiederholen Sie auf Windows-Systemen die Installation als

Upgrade/Update-Installation.

– Führen auf Linux Systemen das folgende Kommando aus:

/opt/fujitsu/ServerViewSuite/svom/ServerView/Tools/

ChangeComputerDetails.sh

Benutzerverwaltung in ServerView

41

ServerView-Benutzerverwaltung mit ApacheDS

3.2

ServerView-Benutzerverwaltung mit

ApacheDS

Falls Sie bei der Installation des ServerView Operations Managers keinen separaten Verzeichnisdienst festlegen, installiert der Installation Wizard automatisch ApacheDS als Verzeichnisdienst. Weitere Informationen finden

Sie in den Handbüchern "Installation der ServerView Operations Manager

Software unter Windows" und "Installation der ServerView Operations Manager

Software unter Linux".

3.2.1

Vordefinierte Benutzer und Rollen

Role Based Access Control (RBAC) ist im Verzeichnisdienst ApacheDS bereits implementiert. In ApacheDS sind die Benutzerrollen Administrator, Monitor,

Operator

, und UserAdministrator vordefiniert, die jeweils genau einem der vordefinierten Benutzernamen Administrator, Operator, Monitor, und

UserManager

zugeordnet sind. Für spezielle Aufgaben sind in ApacheDS zwei zusätzliche Benutzer definiert, die mit umfassenden Berechtigungen ausgestattet sind.

Tabelle 2 auf Seite 43

gibt einen Überblick über die in ApacheDS vordefinierten

Benutzernamen, Passwörter und Rollen.

V

ACHTUNG!

Aus Sicherheitsgründen wird dringend empfohlen, die vordefinierten

Passwörter baldmöglichst zu ändern. Einzelheiten zum Ändern von

Passwörtern finden Sie im

Abschnitt "Passwörter der vordefinierten

Benutzer definieren/ändern" auf Seite 44

.

Detaillierte Informationen zum Berechtigungsumfang, der durch die einzelnen

Benutzerrollen gewährt wird, finden Sie im Kapitel "Rollenbasierte

Berechtigungen für den Zugriff auf den Operations Manager" auf Seite 135

.

42

Benutzerverwaltung

ServerView-Benutzerverwaltung mit ApacheDS

Benutzername

./.

Passwort

admin

Benutzerrolle LDAP Distinguished name /

Beschreibung

cn=Directory Manager,cn=Root

DNS,cn=config svuser Das

Passwort muss während der

Installation des

Operations

Managers angegeben werden.

admin Administrator

Kennung des ApacheDS Directory

Managers. Ein Root DN (oder Root-

Benutzer) kann generell auf alle Daten im Server zugreifen. In ApacheDS sind

Root-Benutzer standardmäßig berechtigt, die Zugriffsüberprüfung zu umgehen. Root-Benutzer verfügen über die vollständige Berechtigung für Server-

Konfiguration und Ausführung der meisten anderen Operationen.

ApacheDS gestattet es, den Server mit mehreren Root-Benutzern zu konfigurieren. Alle den Root-Benutzern gewährten Berechtigungen werden direkt über Privilegien erteilt.

cn=svuser,ou=users,dc=fujitsu,dc= comDiese Kennung wird verwendet für den Zugriff auf den Verzeichnisdienst durch CAS und den Sicherheitsmodul von ServerView. Die zugehörigen Daten finden Sie somit in der

Konfigurationsdatei

<ServerView directory>\jboss\standal one\svconf\sv-sec-config.xml

.

Administrator

Monitor

Operator

UserManager admin admin admin

Monitor

Operator

UserAdministrat or

Standard-Benutzer für Administrator-

Rolle.

Standard-Benutzer für Monitor-Rolle.

Standard-Benutzer für Operator-Rolle.

Standard-Benutzer für

UserAdministrator-Rolle.

Tabelle 2: In ApacheDS vordefinierte Benutzernamen, Rollen und Passwörter

Benutzerverwaltung in ServerView

43

ServerView-Benutzerverwaltung mit ApacheDS

3.2.2

Passwörter der vordefinierten Benutzer definieren/ändern

I

Wichtiger Hinweis:

Verwenden Sie innerhalb Ihrer Passwörter keinen Gegenschrägstrich

(Backslash, "\").

3.2.2.1

Passwort des ApacheDS Directory Managers

I

Beachten Sie bitte Folgendes:

Das vordefinierte Passwort für den ApacheDS Directory Manager lautet

"admin". Aus Sicherheitsgründen wird dringend empfohlen, die vordefinierten Passwörter baldmöglichst zu ändern.

I

In der nachfolgenden Erläuterung steht die Zeichenfolge "neu_dm_pw" als Platzhalter für das neue Passwort. Ersetzen Sie den Platzhalter durch ein geeignetes Passwort Ihrer Wahl.

Vordefiniertes Passwort des ApacheDS Directory Managers auf Windows-

Systemen ändern

I

Beachten Sie bitte Folgendes:

Für die Einrichtung eines Passworts, das ein oder mehrere Prozent-

Zeichen ("%") enthält, müssen Sie bei der Angabe des Passworts in der

Kommandozeile jedes Prozent-Zeichen doppelt angeben. Sie müssen z.B. in der Kommandozeile hello%%world eingeben, um das Passwort hello%world

einzurichten.

Auf Windows Systemen ändern Sie das vordefinierte Passwort wie folgt:

1. Öffnen Sie eine Windows Eingabeaufforderung.

2. Wechseln Sie in das Verzeichnis <ServerView directory>\apacheds\bin.

44

Benutzerverwaltung

ServerView-Benutzerverwaltung mit ApacheDS

3. Ändern Sie das Passwort des ApacheDS Directory Managers (hier: das voreingestellte Passwort "admin"), indem Sie das folgende Kommando innerhalb einer einzigen Zeile eingeben: ldappasswd -H ldap://localhost:1473 -D

"uid=admin,ou=system" -w "admin" -s "new_dm_pw"

"uid=admin,ou=system"

I

Beim Ausführen dieses Kommandos wird die Meldung ber_scanf: No such file or directory

angezeigt. Bitte ignorieren Sie diese Meldung.

Vordefiniertes Passwort des ApacheDS Directory Managers auf Linux-

Systemen ändern

I

Beachten Sie bitte Folgendes:

Für die Einrichtung eines Passworts, das ein oder mehrere

Sonderzeichen der Shell enthält, müssen Sie bei der Angabe des

Passworts in der Kommandozeile jedes Sonderzeichen durch einen vorangestellten Backslash ("\") entwerten. Sie müssen z.B. in der

Kommandozeile hello\$world eingeben, um das Passwort hello$world

einzurichten.

Auf Linux Systemen ändern Sie das vordefinierte Passwort wie folgt:

1. Öffnen Sie eine Kommando-Shell.

2. Ändern Sie das Passwort des ApacheDS Directory Managers, indem Sie das folgende Kommando innerhalb einer einzigen Zeile eingeben: ldappasswd -H ldap://localhost:1473 -D

"uid=admin,ou=system" -w "admin" -s "new_dm_pw"

"uid=admin,ou=system"

3.2.2.2

Passwort von svuser definieren / ändern.

Der administrative Benutzer svuser wird in der Datenbank von ApacheDS während der Installation des ServerView Operations Managers erzeugt.

I

Das Passwort für svuser darf keine leere Zeichenkette sein.

Passwort von svuser auf Windows-Systemen definieren / ändern

Erstmals definieren Sie das Passwort für svuser während der Installation des

Operations Managers:

Benutzerverwaltung in ServerView

45

ServerView-Benutzerverwaltung mit ApacheDS

Bild 9: Passwort für svuser erstmals definieren (Windows)

46

Benutzerverwaltung

ServerView-Benutzerverwaltung mit ApacheDS

Ändern

können Sie das Passwort für svuser während einer Update/Upgrade-

Installation des ServerView Operations Managers:

Bild 10: Passwort für svuser konfigurieren (Windows)

Um das Passwort für svuser zu ändern, gehen Sie wie folgt vor:

1. Wählen Sie Yes und geben Sie das alte Passwort ein.

2. Klicken Sie auf Next, um fortzufahren.

Der in

Bild 9 auf Seite 46

abgebildete Dialog zur Definition eines neuen

Passworts für svuser wird angezeigt.

Benutzerverwaltung in ServerView

47

ServerView-Benutzerverwaltung mit ApacheDS

Passwort von svuser auf Linux-Systemen definieren / ändern

Erstmals konfigurieren Sie das Passwort von svuser während der Installation des ServerView Operations Managers.

Ändern können Sie das Passwort jederzeit durch Ausführen des Kommandos

ChangeComputerDetails.sh

.

Zu Einzelheiten der Installation des Operations Managers siehe Handbuch

"Installation der ServerView Operations Manager Software unter Linux".

3.2.2.3

Vordefinierte Passwörter der vordefinierten Benutzer

Administrator, Monitor, Operator und UserManager ändern

I

Beachten Sie bitte Folgendes:

Das vordefinierte Passwort der vordefinierten Benutzer Administrator,

Monitor

, Operator und UserManager lautet "admin". Aus

Sicherheitsgründen wird dringend empfohlen, die vordefinierten

Passwörter baldmöglichst zu ändern.

Die vordefinierten Passwörter für Administrator, Monitor, Operator und

UserManager

können Sie über den Link User Management im Startfenster des Operations Managers ändern. Wenn ein Benutzer mit der Rolle

UserAdministrator

(oder einer darauf basierenden Rolle) auf den Link

UserManagement

klickt, startet automatisch der User Management-Wizard, mit dem Sie alle vordefinierten Passwörter in einem einzigen Schritt ändern können.

I

Nach erfolgreicher Installation des Operations Managers auf der zentralen Management-Station besitzt zunächst nur der Benutzer

UserManager

die Berechtigungen der UserAdministrator-Rolle. Am günstigsten ist es deshalb, wenn der Benutzer UserManager alle vordefinierten Passwörter in einem einzigen Arbeitsschritt ändert.

Einzelheiten hierzu finden Sie unter

Abschnitt "Benutzer, Rollen und

Berechtigungen in ApacheDS verwalten" auf Seite 49

.

48

Benutzerverwaltung

ServerView-Benutzerverwaltung mit ApacheDS

3.2.3

Benutzer, Rollen und Berechtigungen in

ApacheDS verwalten

Der ServerView UserManagement-Wizard gestattet Ihnen die komfortable

Benutzerverwaltung in ServerView mit ApacheDS. Im Einzelnen ermöglicht

Ihnen der User Management-Wizard, die folgenden Aufgaben durchzuführen:

– Rollen erzeugen, ändern und löschen.

– Den Rollen Berechtigungen zuweisen.

– Rollen erzeugen, ändern und löschen.

– Rollen an Benutzer zuweisen.

I

Um den UserManagement-Wizard zu nutzen, müssen Sie über die

UserAdministrator

-Rolle oder eine darauf basierende Rolle verfügen.

Andernfalls können Sie lediglich Ihr eigenes Passwort ändern.

Benutzerverwaltung in ServerView

49

ServerView-Benutzerverwaltung mit ApacheDS

3.2.3.1

ServerView User Management starten.

Das ServerView User Management starten Sie im Startfenster der Operations

Managers per Klick auf den Link User Management, den Sie unter Security im

Startfenster des Operations Managers finden.

Bild 11: ServerView Operations Manager - Startfenster

I

Der Link User Management wird nicht angezeigt, falls während der

Installation des Operations Managers ein anderer Verzeichnisdienst

(z.B. Active Directory) ausgewählt wurde anstelle von ApacheDS, das im

"embedded" Modus unter JBoss ausgeführt wird.

Je nachdem, ob Sie über die Berechtigung der Rolle UserAdministrator verfügen, gilt Folgendes:

– Falls Sie nicht über die erforderlichen Berechtigungen verfügen, wird der

Dialog zur Änderung Ihres eigenen Passworts angezeigt (siehe

Seite 51

).

– Falls Sie über die erforderlichen Berechtigungen verfügen, wird der

User Management

-Wizard gestartet (siehe

Seite 52 ).

50

Benutzerverwaltung

ServerView-Benutzerverwaltung mit ApacheDS

3.2.3.2

Eigenes ApacheDS-Passwort ändern

Mit diesem Dialog können Sie Ihr eigenes ApacheDS-Passwort ändern.

Bild 12: Dialog zur Änderung des eigenen ApacheDS-Passworts

Please insert old password

Geben Sie Ihr altes Passwort ein.

Please insert new password

Geben Sie Ihr neues Passwort ein.

Please confirm the new password

Wiederholen Sie zur Bestätigung die Eingabe des neuen Passworts.

In Ordnung

Aktiviert das neue Passwort.

Abbrechen

Schließt den Dialog, ohne das Passwort zu ändern.

Benutzerverwaltung in ServerView

51

ServerView-Benutzerverwaltung mit ApacheDS

3.2.3.3

User Management-Wizard

Nach dem Start zeigt der User Management-Wizard zunächst den Dialog Role

Definitions

an:

Bild 13: User Management-Wizard - Dialog "Role Definitions"

Der User Management-Wizard umfasst vier Schritte. Die Reihenfolge der

Schritte wird in der Baumstruktur auf der linken Seite angezeigt. Sie müssen diese Schritte jedoch nicht unbedingt in dieser Reihenfolge bearbeiten.

Vielmehr können Sie jeden der drei Schritte Role Definition, User&Password, und Assign Role to User unabhängig von den anderen Schritten durchführen.

Nach Eingabe Ihrer Einstellungen können Sie mit dem Schritt Finish Ihre

Einstellungen aktivieren und den Wizard verlassen.

Mit Schaltflächen, die unten rechts in jedem Dialog angeordnet sind, können

Sie den Wizard durchlaufen:

Zurück

Öffnet den vorausgehenden Schritt des Wizards.

Weiter

Öffnet den nächsten Schritt des Wizards.

52

Benutzerverwaltung

ServerView-Benutzerverwaltung mit ApacheDS

Finish

Schließt den Wizard und aktiviert alle Ihre Einstellungen.

I

Die Schaltfläche Beenden ist nur im Schritt Finish aktiviert.

Abbrechen

Beendet den Wizard, ohne Ihre Einstellungen zu aktivieren.

Im Folgenden finden Sie eine detaillierte Beschreibung zu den Dialogen des

User Management

-Wizards.

Role Definitions

Im Dialog Role Definitions können Sie neue Rollen definieren, existierende

Rollen löschen sowie Berechtigung-zu-Rolle-Zuordnungen aktivieren/deaktivieren. Der Dialog zeigt tabellarisch alle zurzeit definierten

Rollen mit den zugehörigen Privilegien an.

Bild 14: User Management-Wizard - Dialog "Role Definitions"

Benutzerverwaltung in ServerView

53

ServerView-Benutzerverwaltung mit ApacheDS

Roles

Listet alle zurzeit definierten Rollen auf. Die vordefinierten Rollen

Administrator

, Monitor, Operator und UserAdministrator werden oben in der Liste angezeigt. Wenn Sie eine Rolle auswählen, werden die zugehörigen Berechtigungen in der Spalte Privilege angezeigt.

ServerView Component

Listet alle vorhandenen Privilegien-Kategorieren (Privilege Categories) auf, wobei jede Privilegien-Kategorie alle Berechtigungen zusammenfasst, die für die Benutzung einer bestimmten ServerView-

Komponente oder zur Ausführung einer bestimmten Aufgabe erforderlich sind. Durch Auswahl einer oder mehrerer Kategorieren können Sie die unter Assigned Privilege angezeigten Berechtigungen auf diejenigen Berechtigungen reduzieren, die zu den ausgewählten

Kategorien gehören.

I

Für weitere Informationen siehe Abschnitt "Privilegien-Kategorien und zugehörige Berechtigungen" auf Seite 136 .

Assigned Privilege

Listet alle vorhandenen Berechtigungen auf. Wenn Sie unter

ServerView Component

eine oder mehrere Kategorien ausgewählt haben, sind nur die zu den ausgewählten Kategorien gehörigen

Berechtigungen sichtbar. Sie können eine Berechtigung-zu-Rolle-

Zuordnung aktivieren/deaktivieren, indem Sie die zugeordnete

Assigned

-Option auswählen/abwählen.

I

Die Zuordnung von Berechtigungen zu den vordefinierten

RollenAdministrator, Monitor, Operator und

UserAdministrator

kann nicht verändert werden. Die entsprechenden Optionen für die Berechtigung-zu-Rolle-

Zuordnung sind unveränderbar ("ausgegraut").

Description of Privilege

Kurzbeschreibung zur ausgewählten Berechtigung.

New

Per Klick auf New öffnen Sie den Dialog New Role:

54

Benutzerverwaltung

ServerView-Benutzerverwaltung mit ApacheDS

Bild 15: User Management-Wizard - Neue Rolle definieren

Name of new role

Name der neuen Rolle

Copy privileges from role

Hier können Sie eine früher definierte Rolle aus einer Liste auswählen. Die der ausgewählten Rolle zugeordneten

Berechtigungen werden dann automatisch der neuen Rolle zugeordnet.

In Ordnung

Aktiviert die neue Rolle und schließt den Dialog New Role. Die neue Rolle wird nun unter Roles angezeigt.

Abbrechen

Beendet den Dialog New Role, ohne eine neue Rolle zu definieren.

Löschen

Löscht die ausgewählte Rolle.

Neustart

Setzt die aktuell angezeigten Berechtigung-zu-Rolle-Zuordnungen auf die zuletzt abgespeicherten Einstellungen zurück.

Benutzerverwaltung in ServerView

55

ServerView-Benutzerverwaltung mit ApacheDS

User & Password

Der Dialog User & Password listet alle zurzeit in ApacheDS definierten

Benutzer/Passwort-Kombinationen auf und ermöglicht die Ausführung der folgenden Operationen:

– Neue Benutzer definieren.

– Passwörter vorhandener Benutzer ändern.

– Vorhandene Benutzer löschen.

Bild 16: User Management-Wizard - Dialog "User & Password"

I

Die vier vordefinierten Benutzer Administrator, Monitor, Operator und

UserManager

sind oben in der Liste angeordnet und können nicht gelöscht werden. Die Passwörter von Administrator, Monitor,

Operator

und UserManager können Sie jedoch ändern.

Mindestens eine freie Zeile mit leeren Eingabefeldern für User, Password und

Confirm Password

wird unten in der Liste angezeigt und ermöglicht Ihnen das

Definieren neuer Benutzer.

User

Benutzername

56

Benutzerverwaltung

ServerView-Benutzerverwaltung mit ApacheDS

Passwort

Neues Passwort

Kennwort bestätigen

Wiederholen Sie zur Bestätigung die Eingabe des neuen Passworts.

Löschen

Löscht den zugehörigen Benutzer.

Neustart

Setzt die Einstellungen für den zugehörigen Benutzer auf die zuletzt abgespeicherten Einstellungen zurück.

Assign Role to User

Der Dialog Assign Role to User gestattet Ihnen, Rollen-zu-Benutzer-

Zuordnungen zu definieren und aufzulösen. Der Dialog zeigt alle definierten

Benutzer und Rollen tabellarisch an. Markiert sind alle Rollen, die dem aktuell ausgewählten Benutzer zugeordnet sind.

Abhängig davon, ob das einheitliche RBAC-Management während der

Installation des ServerView Operations Managers konfiguriert wurde, sieht der

Dialog Assign Role to User unterschiedlich aus.

Benutzerverwaltung in ServerView

57

ServerView-Benutzerverwaltung mit ApacheDS

Bild 17: Dialog "Assign Role to User" (einheitliche RBAC-Management nicht aktiviert)

58

Benutzerverwaltung

ServerView-Benutzerverwaltung mit ApacheDS

Bild 18: Dialog "Assign Role to User" (einheitliche RBAC-Management aktiviert)

User

Wird nur angezeigt wenn die einheitliche RBAC-Managament nicht aktiviert ist (siehe Handbuch "Installation der ServerView Operations

Manager Software unter Windows").

Listet alle definierten Benutzer auf. Wenn Sie einen Benutzer auswählen, werden die dem Benutzer zurzeit zugeordneten Rollen in der

Spalte AssignedRoles mit markierter Assigned-Option angezeigt.

Benutzerverwaltung in ServerView

59

ServerView-Benutzerverwaltung mit ApacheDS

I

Die vier vordefinierten Benutzer Administrator, Monitor,

Operator

und UserManager sind oben in der Liste angeordnet.

Die Zuordnung von Rollen zu diesen Benutzern kann nicht verändert werden.

User (SERVERVIEW)

und User (<extern>)

Wird nur angezeigt wenn die einheitliche RBAC-Managament aktiviert ist

(siehe Handbuch "Installation der ServerView Operations Manager

Software unter Windows").

Listet alle definierten Benutzer auf:

– Unter User(SERVERVIEW) werden alle Benutzer der Domäne

SERVERVIEW angezeigt. Für diese Benutzer wird sowohl die

Authentifizierung als auch die Autorisierung mit ApacheDS verwaltet.

– Unter User (<external domain>) werden alla Benutzer einer externen Domäne angezeigt. Für diese Benutzer wird die

Authentifizierung mit einem externen Verzeichnisdienst verwaltet

(z.B. Active Directory) während die Autorisierungsverwaltung mit

ApacheDS durchgeführt wird.

Wenn Sie einen Benutzer auswählen, werden die dem Benutzer zurzeit zugeordneten Rollen in der Spalte AssignedRoles mit markierter

Assigned

-Option angezeigt.

I

Die vier vordefinierten Benutzer Administrator, Monitor,

Operator

und UserManager sind oben in der Liste angeordnet.

Die Zuordnung von Rollen zu diesen Benutzern kann nicht verändert werden.

Assigned Roles

Listet alle definierten Rollen auf. Jeder Rolle ist eine Assigned-Option vorangestellt, die anzeigt, ob die zugehörige Rolle derzeit dem ausgewählten Benutzer zugeordnet ist (Option ausgewählt) oder nicht

(Option abgewählt).

Sie können eine Berechtigung-zu-Rolle-Zuordnung aktivieren/deaktivieren, indem Sie die zugeordnete Assigned-Option auswählen/abwählen.

Berechtigungen

Zeigt die Gesamtheit der Berechtigungen an, die den Rollen des ausgewählten Benutzers zugeordnet sind.

Description of Privilege

Kurzbeschreibung zur ausgewählten Berechtigung.

60

Benutzerverwaltung

ServerView-Benutzerverwaltung mit ApacheDS

Neustart

Setzt die Benutzer-zu-Rolle-Zuordnungen auf die zuletzt abgespeicherten Einstellungen zurück.

Finish

Der Dialog Finish zeigt eine Zusammenfassung der von Ihnen in der aktuellen

User Management

-Sitzung durchgeführten Schritte an. Per Klick auf Beenden aktivieren Sie Ihre Einstellungen und schließen den Wizard.

Bild 19: User Management-Wizard - Dialog "Finish"

Benutzerverwaltung in ServerView

61

ServerView-Benutzerverwaltung mit ApacheDS

3.2.4

iRMC S2/S3/S4 in die ServerView-

Benutzerverwaltung mit ApacheDS und SSO integrieren

Die Konfiguration des iRMC S2/S3/S4 für die Integration in die ServerView-

Benutzerverwaltung mit ApacheDS sowie für die Teilnahme an der ServerView

Suite SSO-Domäne umfasst zwei Schritte, die Sie über die iRMC S2/S3/S4-

Web-Oberfläche durchführen können:

1. Den iRMC S2/S3/S4 für den zusammen mit dem Operations Manager installierten Verzeichnisdienst ApacheDS konfigurieren.

2. Die iRMC S2/S3/S4-Web-Oberfläche für die CAS-basierte Single sign-on

(SSO)-Authentifizierung innerhalb der ServerView Suite konfigurieren.

I

Wichtige Hinweise:

– Der CAS Service muss für alle iRMC S2/S3/S4 der SSO-Domäne konfiguriert sein (zu Einzelheiten siehe Handbücher "iRMC S2/S3 - integrated Remote Management Controller" und "iRMC S4 - integrated Remote Management Controller").

– Die folgende Beschreibung legt den Schwerpunkt auf die

Einstellungen, die erforderlich sind für die Integration eines iRMC

S2/S3/S4 in die ServerView-Benutzerverwaltung mit ApacheDS und für die Teilnahme an der ServerView Suite SSO-Domäne. Allgemeine

Informationen zur Verzeichnisdienst- und CAS-Konfiguration des iRMC S2/S3/S4 finden Sie in den Handbüchern "iRMC S2/S3 - integrated Remote Management Controller" und "iRMC S4 - integrated Remote Management Controller".

62

Benutzerverwaltung

ServerView-Benutzerverwaltung mit ApacheDS

3.2.4.1

iRMC S2/S3/S4 in die ServerView-Benutzerwaltung mit

ApacheDS integrieren

Auf der Seite Verzeichnisdienst Konfiguration der iRMC S2/S3/S4-Web-

Oberfläche können Sie den iRMC S2/S3/S4 für die globale Benutzerverwaltung mit dem Verzeichnisdienst ApacheDS konfigurieren, der zusammen mit dem

ServerView Operations Manager installiert wurde. Die erforderlichen

Einstellungen sind in

Bild 20

dargestellt und werden anschließend erläutert.

Bild 20: iRMC S2/S3/S4 für die Benutzerverwaltung mit OpenDS/ApacheDS konfigurieren

Benutzerverwaltung in ServerView

63

ServerView-Benutzerverwaltung mit ApacheDS

Erforderliche Einstellungen in der Gruppe Globale Verzeichnisdienst

Konfiguration:

1. Wählen Sie LDAP aktiviert und LDAP SSL aktiviert.

2. Wählen Sie unter Verzeichnis Server Typ den Eintrag OpenDS und klicken

Sie auf Übernehmen.

3. Konfigurieren Sie unter Primärer LDAP Server die folgenden

Einstellungen:

– LDAP Server: DNS-Name der zentralen Management-Station.

I

Sie sollten hier den selben Namen angeben, den Sie bei der

Installation des Operations Managers auf der Management-

Station angegeben haben.

– LDAP Port: 1473

– LDAP SSL Port: 1474

4. Spezifizieren Sie unter Department Name das Default-Department

DEFAULT

5. Geben Sie unter Base DN ein: dc=fujitsu,dc=com

6. Klicken Sie auf Übernehmen, um Ihre Einstellungen zu aktivieren.

Erforderliche Einstellungen in der Gruppe Globale Verzeichnisdienst

Zugangs Konfiguration:

1. Geben Sie unter Principal Benutzer DN ein: cn=svuser,ou=users

2. Wählen Sie Basis DN an Principal Benutzer DN anhängen.

3. Wählen Sie Erweiterte Benutzer Anmeldung und klicken Sie auf

Übernehmen

.

4. Geben Sie unter User Benutzer Such Kriterium ein: (uid=%s)

5. Klicken Sie auf Test LDAP Zugang, um den Status Ihrer LDAP-Verbindung zu testen, der anschließend unter LDAP Status angezeigt wird.

6. Klicken Sie auf Übernehmen, um Ihre Einstellungen zu aktivieren.

64

Benutzerverwaltung

ServerView-Benutzerverwaltung mit ApacheDS

3.2.4.2

iRMC S2/S3/S4-Web-Oberfläche für CAS-basierte Single sign-on

(SSO)-Authentifizierung konfigurieren

Auf der Seite Centralized Authentication Service (CAS) Konfiguration der iRMC S2/S3/S4-Web-Oberfläche können Sie die Web-Oberfläche des zugehörigen iRMC S2/S3/S4 für die CAS-basierte Single sign-on (SSO)-

Authentifizierung konfigurieren.

Bild 21 zeigt die erforderlichen Einstellungen:

Bild 21: iRMC S2/S3/S4 für die Teilnahme an der ServerView Suite-SSO-Domäne konfigurieren

Benutzerverwaltung in ServerView

65

ServerView-Benutzerverwaltung mit ApacheDS

Konfigurieren Sie die folgenden Einstellungen:

1. Wählen Sie CAS aktiviert.

2. Geben Sie unter CAS Server den DNS-Namen der zentralen Management-

Station ein.

I

Alle Systeme, die zur SSO-Domäne gehören, müssen die zentrale

Management-Station (CMS) unbedingt über dieselbe Adressstruktur referenzieren. (Eine SSO-Domäne umfasst alle Systeme bei denen die Authentifizierung über denselben CAS Service abgewickelt wird).

Falls Sie z.B. den ServerView Operations Manager unter

Verwendung des Namens "my-cms.my-domain" installiert haben, müssen Sie bei der Konfigurierung des CAS Service für einen iRMC

S2/S3/S4 (derselben SSO-Domäne) den identischen Namen verwenden. Geben Sie dagegen nur „my-cms“ oder eine andere IP-

Adresse von my-cms an, wird die SSO-Funktionalität zwischen den beiden Systemen nicht aktiviert.

3. Lassen Sie die voreingestellten Werte unter CAS Anmeldung URL und

CAS Abmeldung URL

(/cas/login, /cas/logout, /cas/validate) unverändert.

4. Wählen Sie die Option SSL Zertifikate verifizieren.

I

Aus Sicherheitsgründen wird dringend empfohlen, die Verifizierung von SSL-Zertifikaten zu aktivieren. Zusätzlich zur Auswahl der Option

SSL Zertifiate verifizieren

erfordert die Verifizierung von SSL

Zertifikaten, dass das Server-Zertifikat der Management-Station in den Truststore des iRMC S2/S3/S4 geladen ist. Einzelheiten zum

Hochladen eines SSL-Zertifikats auf den iRMC S2/S3/S4 finden Sie in den Handbüchern "iRMC S2/S3 - integrated Remote Management

Controller" und "iRMC S4 - integrated Remote Management

Controller".

5. Wählen Sie unter Berechtigungen festlegen von die Option

Berechtigungen via LDAP

.

6. Klicken Sie auf Übernehmen, um Ihre Einstellungen zu aktivieren.

66

Benutzerverwaltung

ServerView-Benutzerverwaltung mit ApacheDS

3.2.5

ApacheDS-Daten sichern und wiederherstellen

Dieser Abschnitt beschreibt, wie Sie die OpenLDAP-Kommandos ldapsearch und ldapmodify auf der zentralen Management-Station verwenden, um die folgenden Aufgaben auszuführen:

– Backup der internen Datenbank des ApacheDS-Verzeichnisservers erstellen.

– Interne Datenbank des ApacheDS-Verzeichnisservers aus einem anwendbaren Backup wiederherstellen.

I

Wenn Sie seit der Erstellung des zu verwendenden Backups Passwörter geändert haben, werden diese Änderungen bei der Wiederherstellung

überschrieben.

I

Eine ausführliche Beschreibung zu den OpenLDAP- Kommandos

ldapsearch

und ldapmodify finden Sie unter:

www.openldap.org

3.2.5.1

Interne Datenbank des ApacheDS Verzeichnisservers sichern

Um den LDAP-Inhalt von ApacheDS zu sichern, können Sie die Datei

exported_data.ldif

mit dem LDAP-Kommando ldapsearch erstellen.

I

Die Datei exported_data.ldif kann dazu verwendet werden, den LDAP-

Inhalt von ApacheDS wiederherzustellen (siehe

Abschnitt "Interne

Datenbank des ApacheDS Verzeichnisservers wiederherstellen" auf

Seite 68

).

LDAP-Inhalt von ApacheDS auf Windows-Systemen sichern

Gehen Sie wie folgt vor auf Windows-Systemen:

1. Öffnen Sie eine Windows Eingabeaufforderung.

2. Wechseln Sie in das Verzeichnis <ServerView directory>\apacheds\bin.

3. Erstellen Sie die Datei exported_data.ldif, indem Sie das folgende

Kommando innerhalb einer einzigen Zeile eingeben: ldapsearch -h hostname:1473 -D "cn=Directory Manager" -w

<password> -s sub -b "dc=fujitsu,dc=com" > exported_data.ldif

4. Speichern Sie die Datei exported_data.ldif für zukünftige Verwendung.

Benutzerverwaltung in ServerView

67

ServerView-Benutzerverwaltung mit ApacheDS

LDAP-Inhalt vom ApacheDS auf Linux-Systeme sichern

Gehen Sie wie folgt auf Linux-Systeme vor:

1. Öffnen Sie eine Kommando-Shell.

2. Erstellen Sie die Datei exported_data.ldif, indem Sie das folgende

Kommando innerhalb einer einzigen Zeile eingeben: ldapsearch -h hostname:1473 -D "cn=Directory Manager" -w

<password> -s sub -b "dc=fujitsu,dc=com" > exported_data.ldif

3. Speichern Sie die Datei exported_data.ldif für zukünftige Verwendung.

3.2.5.2

Interne Datenbank des ApacheDS Verzeichnisservers wiederherstellen

Mit dem OpenLDAP-Kommando ldapmodify können Sie den ApacheDS

LDAP-Inhalt aus einer vorher erstellten Datei exported_data.ldif

wiederherstellen (siehe Abschnitt "Interne Datenbank des ApacheDS

Verzeichnisservers sichern" auf Seite 67

).

LDAP-Inhalt vom ApacheDS auf Windows-Systeme wiederherstellen

Gehen Sie wie folgt vor auf Windows-Systemen:

1. Öffnen Sie eine Windows Eingabeaufforderung.

2. Wechseln Sie in das Verzeichnis <ServerView directory>\apacheds\bin.

3. Stellen Sie den Apache DS LDAP-Inhalt aus der Datei exported_data.ldif wieder her, indem Sie das folgende Kommando innerhalb einer einzigen

Zeile eingeben: ldapmodify -h hostname:1473 -D "uid=admin,ou=system" -w

<password> -a -c -f exported_data.ldif

LDAP-Inhalt vom ApacheDS auf Linux-Systeme wiederherstellen

Gehen Sie wie folgt auf Linux-Systeme vor:

1. Öffnen Sie eine Kommando-Shell.

2. Stellen Sie den Apache DS LDAP-Inhalt aus der Datei exported_data.ldif wieder her, indem Sie das folgende Kommando innerhalb einer einzigen

Zeile eingeben: ldapmodify -h hostname:1473 -D "uid=admin,ou=system" -w

<password> -a -c -f exported_data.ldif

68

Benutzerverwaltung

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

3.3

ServerView-Benutzerverwaltung in

Microsoft Active Directory integrieren

I

Beachten Sie bitte Folgendes

Die Konfiguration der Einstellungen für die Benutzerverwaltung von

ServerView und iRMC S2/S3/S4 erfordert detaillierte Active Directory-

Kenntnisse. Nur Personen, die über hinreichende Kenntnisse verfügen, sollten die Konfiguration durchführen.

Um die integrierte ServerView- und iRMC S2/S3/S4-Benutzerverwaltung mit

Active Directory verwenden zu können, müssen Sie die folgenden vorbereitenden Schritte durchführen:

1. Importieren Sie die Rollendefinitionen der ServerView Suite (Administrator,

Operator, Monitor, siehe Seite 42 ) in Active Directory.

2. Rollendefinitionen für den iRMC S2/S3/S4 in Active Directory importieren.

3. Rollen an Benutzer zuweisen.

4. Konfigurieren Sie den sicheren LDAP-Zugang (LDAPS) zum Active

Directory Server.

Diese Schritte sind nachfolgend detailliert beschrieben.

I

Wichtiger Hinweis:

– Wenn das einheitliche RBAC-Management für den ServerView

Operations Manager konfiguriert ist, werden die Schritte 1 und 3 nicht mehr benötigt.

In diesem Fall, wird der "interne" Verzeichnisdienst des ServerView

Operations Managers (ApacheDS) immer für die Rollen-Zuordnung der Benutzer verwendet und Active Directory nur für die Benutzer-

Authentifizierung eingesetzt. Für nähere Information über

einheitliches RBAC-Management, siehe Abschnitt "RBAC bei einem bereits existierenden konfigurierten Verzeichnisdienst" auf Seite 31

und die Handbücher "Installation der ServerView Operations

Manager Software unter Windows / Linux".

– Wenn Standard-LDAP-Gruppen mit Autorisierungseinstellungen auf dem iRMC S4 konfiguriert sind, werden Schritt 2 und Schritt 3 nicht mehr benötigt.

Benutzerverwaltung in ServerView

69

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

Standard-LDAP-Gruppen mit Autorisierungseinstellungen auf dem iRMC S4 können an der iRMC S4-Web-Oberfläche konfiguriert werden und werden dazu verwendet, iRMC S4-Privilegien und -

Berechtigungen für Benutzer festzulegen, die zu Standard-LDAP-

Gruppen auf dem Active Directory gehören. Weitere Einzelheiten erhalten Sie im Handbuch "iRMC S4 - integrated Remote

Management Controller".

I

Voraussetzungen:

In Schritt 2 und Schritt 3 werden die folgenden Dateien benötigt für die

Interaktion von ServerView- und iRMC S2/S3/S4-Benutzerverwaltung in

Active Directory:

●

●

Für die Benutzerverwaltung in ServerView:

eine Datei im LDIF (Lightweight Directory Interchange Format)-

Format, die die ServerView-spezifischen Strukturen für die

Integration in Active Directory enthält.

Falls Sie während Installation des Operations Managers Active

Directory als zu verwendenden Verzeichnisdienst gewählt haben, finden Sie die benötigte LDIF-Datei im folgenden Verzeichnis der zentralen Management-Station, auf der der Operations Manager installiert ist:

– Auf Windows Systemen:

<ServerView directory>\svcommon\files\SVActiveDirectory.ldif

– Auf Linux Systemen:

/opt/fujitsu/ServerViewSuite/svcommon/files/SVActiveDirect ory.ldif

Für die iRMC S2/S3/S4-Benutzerverwaltung:

XML

-Konfigurationsdatei, die die Strukturinformationen in XML-

Syntax für die Struktur SVS in Active Directory enthält. Der

SVS_LdapDeployer

(siehe

Seite 169 ) erzeugt LDAP-Strukturen auf

Basis dieser XML-Konfigurationsdatei. Die Syntax der

Konfigurationsdatei ersehen Sie aus den Beispiel-

Konfigurationsdateien Generic_Settings.xml und

Generic_InitialDeploy.xml

, die zusammen mit demjar-Archiv

SVS_LdapDeployer.jar

auf der ServerView Suite DVD ausgeliefert wird.

70

Benutzerverwaltung

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

I

Wichtiger Hinweis:

Die Abwicklung sowohl der ServerView- als auch der iRMC S2/S3/S4-

Benutzerverwaltung innerhalb derselben Organizational Unit (OU) SVS setzt voraus, dass der iRMC S2/S3/S4 als Element des Departments

DEFAULT

konfiguriert ist.

Gehen Sie wie folgt vor:

1. Importieren Sie die in ServerView definierten Benutzerrollen. a) Kopieren Sie die Datei SVActiveDirectory.ldif in ein temporäres

Verzeichnis auf dem Windows-System, auf dem Active Directory läuft. b) Öffnen Sie die Windows-Eingabeaufforderung und wechseln Sie in das

Verzeichnis, das die Datei SVActiveDirectory.ldif enthält.

c) Importieren Sie die LDIF-Datei mithilfe des Microsoft-Tools ldifde: ldifde -i -e -k -f SVActiveDirectory.ldif

I

Falls das Tool ldifde nicht in der Umgebungsvariablen PATH

variable

Ihres Systems eingetragen ist, finden Sie es im

Verzeichnis %WINDIR%\system32.

I

Falls erforderlich, wird eine bereits vorhandene LDAP-Struktur um neue Berechtigungen erweitert. Bereits existierende Einträge sind jedoch nicht betroffen.

Die hinzugefügten Berechtigungen (Privilegien) und Rollen werden nun in der Benutzeroberfläche von Active Directory angezeigt (siehe

Bild 22 auf

Seite 72 ):

Benutzerverwaltung in ServerView

71

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

Bild 22: Die hinzugefügten Privilegien und Rollen werden im Active Directory GUI angezeigt.

2. Importieren Sie die iRMC S2/S3/S4-Benutzerrollen.

Verwenden Sie für den Import der iRMC S2/S3/S4-Rollendefinitionen in

Active Directory das Tool SVS_LdapDeployer. Einzelheiten hierzu finden

Sie unter

Abschnitt "SVS_LdapDeployer - Strukturen "SVS" und

"iRMCgroups" generieren, pflegen und löschen" auf Seite 169

.

3. Ordnen Sie den Benutzern und Gruppen Benutzerrollen zu.

I

In den nachfolgend beschriebenen Schritten wird exemplarisch angenommen, dass Sie die dem Benutzer "John Baker" (Login-

Name "NYBak" in Ihrer Active Directory Domäne "DOMULI01") die

Rolle Monitor zuweisen wollen.

I

Die nachfolgend beschriebenen Schritte gelten auch für die

Zuweisung von Rollen an iRMC S2/S3/S4-Benutzer. Näheres zur

Zuweisung von Rollen an iRMC S2/S3/S4-Benutzer finden Sie in

Abschnitt "iRMC S2/S3-Benutzer einer Rolle (Berechtigungsgruppe) zuordnen" auf Seite 183 und in

Abschnitt "iRMC S4-Benutzer einer

Rolle (Berechtigungsgruppe) zuordnen" auf Seite 265

.

72

Benutzerverwaltung

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

I

Bitte stellen Sie sicher, dass die LDAP-Objekte mit den

Anmeldeinformationen für den Benutzer, dem Sie Rollen zuordnen wollen, unter der konfigurierten User Search Base liegen. (Die User

Search Base wird beim Einrichten des ServerView Operations

Managers konfiguriert - siehe entsprechendes

Installationshandbuch.)

I

Ebenso, wenn Sie einer Gruppe eine Rolle zuordnen wollen: Bitte stellen Sie sicher, dass die LDAP-Objekte mit den

Anmeldeinformationen aller Mitglieder unter der konfigurierten User

Search Base liegen.

a) Wählen Sie Start - Systemsteuerung - Administrative Tools -

Active Directory Benutzer und Computer

an der Management-

Station, um die grafische Benutzeroberfläche von Active Directory zu starten.

Benutzerverwaltung in ServerView

73

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

b) Durchlaufen Sie in der Baumstruktur den Knoten SVS von oben nach unten bis zum Knoten Departments. Expandieren Sie die Departments

CMS

und DEFAULT (siehe

Bild 23 ):

Bild 23: Die Monitor-Rolle soll einem Benutzer (John Baker) zugewiesen werden.

74

Benutzerverwaltung

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

c) Wählen Sie SVS - Departments - CMS - AuthRoles, klicken Sie mit der rechten Maustaste auf Monitor und wählen Sie Properties.

Der Dialog Properties für die Rolle Monitorwird angezeigt:

Bild 24: Dialog Monitor Properties für die Monitor-Rolle d) Wählen Sie die Registerkarte Members und klicken Sie auf Add….

Bild 25: Dialog Properties für die Monitor-Rolle - Registerkarte Members

Benutzerverwaltung in ServerView

75

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

Der Dialog Select Users,... wird angezeigt.

Bild 26: Dialog Select Users... e) Klicken Sie auf Advanced... .

76

Bild 27: Gewünschten Benutzer auswählen

I

Es kann hilfreich sein, die Spalte Login Name in der Liste Search

results

auszuwählen und durch Eingrenzen von Name die Suche per Klick auf Find Now zu beschleunigen.

Benutzerverwaltung

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

f) Wählen Sie den gewünschten Benutzer oder die Gruppe und klicken Sie auf OK.

Der Benutzer "Baker" wird nun in der Liste object names des

übergeordneten Dialogs angezeigt:

Bild 28: Select Users... Dialog: Benutzer "Baker" wird angezeigt.

g) Klicken Sie auf OK.

Der Benutzer "Baker" wird nun auf der Registerkarte Members des

Dialogs Monitor Properties angezeigt:

Bild 29: Dialog Properties für Monitor - Registerkarte Members: Benutzer „Baker“ wird angezeigt.

Benutzerverwaltung in ServerView

77

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

h) Wiederholen Sie die Schritte cbis g für das Department DEFAULT.

4. Konfigurieren Sie den sicheren LDAP-Zugang (LDAPS) zum Active

Directory Server.

Die Installation des Operations Managers erfordert die Konfiguration des

LDAP-Zugriffs auf den Verzeichnisserver, auf den die Benutzerverwaltung durchgeführt wird. Standardmäßig stellt Active Directory eine ungesicherte

LDAP-Schnittstelle auf Port 389 zur Verfügung. Diese Schnittstelle können

Sie zu Testzwecken nutzen.

Wenn Sie jedoch eine Produktivumgebung aufsetzen wollen, sollten Sie auf

Ihrem Active Directory Server eine sichere LDAPS-Schnittstelle einrichten.

Hierfür müssen Sie auf diesem Server ein Server-Zertifikat zu installieren.

I

Detaillierte Informationen hierzu finden Sie in der entsprechenden

Microsoft-Dokumentation (

http://support.microsoft.com

):

"How to enable

LDAP over SSL with a third-party certification authority"

.

Detaillierte Informationen zur Konfiguration des LDAP/SSL-Zugriffs auf den iRMC S2/S3/S4 finden Sie in

Abschnitt "LDAP/SSL-Zugriff des iRMC S2/S3 am Active Directory Server konfigurieren" auf

Seite 178 oder in

Abschnitt "LDAP/SSL-Zugriff des iRMC S2/S3 am

Active Directory Server konfigurieren" auf Seite 260

.

Zu Testzwecken genügt es, auf dem Active Directory Server ein selbstsigniertes Zertifikat zu installieren. Mit dem Microsoft-Tool selfssl.exe aus den IIS 6.0 Resource Kit Tools (herunterladbar unter

http://support.microsoft.com

) können Sie dies sehr einfach durchführen.

Beispiel:

Um ein selbstsigniertes Zertifikat mit 2048 bit Schlüssellänge und einer

Gültigkeitsdauer von zwei Jahren auf dem Server myserver.mydomain zu installieren, gehen Sie vor wie folgt:

Ê

Öffnen Sie eine Windows Eingabeaufforderung und geben Sie das folgende Kommando ein: selfssl /T /N:CN=myserver.mydomain /K:2048 /V:730

selfssl.exe

gibt die folgenden Meldungen aus:

Microsoft (R) SelfSSL Version 1.0Copyright (C) 2003

Microsoft Corporation. All rights reserved.Do you want to replace the SSL settings for site 1 (Y/N)?

78

Benutzerverwaltung

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

Ê

Geben Sie Y ein.

Die anschließend angezeigte Meldung "Failed to build the subject name blob: 0x80092023" können Sie ignorieren, da die Meldung nur darauf hinweist, dass IIS nicht installiert ist.

Active Directory wird das soeben installierte Zertifikat verwenden, wenn künftig via ldaps: //myserver.mydomain auf Active Directory zugegriffen wird.

Der Benutzer „John Baker“ kann sich nun am Operations Manager unter dem

Benutzernamen „NYBak“ anmelden. Baker kann nun alle Funktionen ausführen, die mit den Berechtigungen (Privilegien) der Benutzerrolle Monitor zulässig sind.

Benutzerverwaltung in ServerView

79

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

3.3.1

Passwort des LDAP-Bind-Kontos ändern

Sie können das Passwort des LDAP-Bind-Kontos, das für den Zugriff auf

"externe" Verzeichnisdienste wie Active Directory verwendet wird, auf die gleiche Weise ändern, wie in

Abschnitt "Passwort von svuser definieren /

ändern." auf Seite 45

beschrieben.

Alternativ können Sie das Batch-Skript SetDSPassword verwenden. Dieses

Skript hat den Vorteil, dass kein Neustart von JBoss durchgeführt wird.

Beachten Sie jedoch, dass es bis zu fünf Minuten dauern kann, bis die

Konfigurationsänderungen übernommen werden. Sie sollten daher nach

Änderung des Passworts immer fünf Minuten warten, bevor Sie versuchen, sich erneut anzumelden.

SetDSPassword

kann in einer Windows- oder Linux-Umgebung aufgerufen werden:

Windows

Ê

Öffnen Sie die Windows-Eingabeaufforderung.

Ê

Wechseln Sie in das Verzeichnis <ServerView

directory>\jboss\standalone\bin

.

Ê

Geben Sie SetDSPassword <neues Passwort> ein.

I

– Das Passwort darf alle druckbaren Zeichen, darunter Leerzeichen

( ) und doppelte gerade Anführungszeichen ("), enthalten.

– Wenn das Passwort Leerzeichen ( ), doppelte gerade

Anführungszeichen ("), Kommas (,), ein Zirkumflex (^^) oder andere Sonderzeichen enthält, muss es von doppelten

Anführungszeichen eingeschlossen werden, z. B. "Pa\\w^rd".

– Umgekehrte Schrägstriche (\) werden buchstabengetreu interpretiert, es sei denn sie stehen direkt vor einem doppelten geraden Anführungszeichen.

– Ein doppeltes gerades Anführungszeichen, vor dem ein umgekehrter Schrägstrich (\) steht, wird buchstabengetreu als doppeltes gerades Anführungszeichen (") interpretiert.

– Ein Zirkumflex (^^) wird nicht als Maskierungszeichen oder

Begrenzungszeichen interpretiert, wenn das Passwort von doppelten geraden Anführungszeichen umgeben ist.

80

Benutzerverwaltung

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

Linux

Ê

Öffnen Sie ein Terminal, wie z.B. Xterm oder Gnome-term.

Ê

Wechseln Sie in das Verzeichnis

/opt/fujitsu/ServerViewSuite/jboss/standalone/bin

.

Ê

Geben Sie ./SetDSPassword <neues Passwort> ein.

I

– Das Passwort darf alle druckbaren Zeichen, darunter Leerzeichen

( ) und doppelte gerade Anführungszeichen ("), enthalten.

– Wenn das Passwort Leerzeichen ( ), doppelte gerade

Anführungszeichen ("), Kommas (,), ein Zirkumflex (^^) oder andere Sonderzeichen enthält, muss es von doppelten

Anführungszeichen eingeschlossen werden, z. B. "Pa\\w^rd".

– Umgekehrte Schrägstriche (\) werden buchstabengetreu interpretiert, es sei denn sie stehen direkt vor einem doppelten geraden Anführungszeichen.

– Ein doppeltes gerades Anführungszeichen, vor dem ein umgekehrter Schrägstrich (\) steht, wird buchstabengetreu als doppeltes gerades Anführungszeichen (") interpretiert.

– Ein Zirkumflex (^^) wird nicht als Maskierungszeichen oder

Begrenzungszeichen interpretiert, wenn das Passwort von doppelten geraden Anführungszeichen umgeben ist.

Benutzerverwaltung in ServerView

81

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

3.3.2

LDAP Password Policy Enforcement (LPPE)

Wenn ein Benutzer versucht, sich bei CAS zu authentifizieren, können verschiedene Sonderfälle (Ausnahmen) eintreten:

– Login derzeit nicht möglich

– Passwort ist abgelaufen/muss zurückgesetzt werden

– Benutzerkonto deaktiviert/abgelaufen/gesperrt

Ohne LPPE würde der normale CAS-Login-Vorgang die oben stehenden

Szenarios als Fehler interpretieren, was eine Authentifizierung verhindern würde. LPPE verbessert das standardmäßige CAS-Login, indem die folgenden

Schritte ausgeführt werden:

1. LPPE unterbricht den standardmäßigen Authentifizierungsvorgang, indem

Fehlercodes erfasst werden, die als Teil der Nutzlast der LDAP-Antwort zurückgegeben werden.

2. LPPE übersetzt die Fehlercodes in sehr viel präzisere Fehlerangaben und gibt diese Fehlerangaben im Rahmen des CAS-Login-Vorgangs aus.

Auf diese Weise kann der Benutzer geeignete Maßnahmen ergreifen.

Die derzeit von LPPE verarbeiteten Anmeldeausnahmen werden in Tabelle 3

aufgeführt.

LDAP-

Fehler code

530

LDAP-Fehlertext Von CAS angezeigte Meldung

Login derzeit nicht zulässig

Bei der Authentifizierung wird eine Meldung angezeigt, dass der Benutzer sich derzeit nicht anmelden kann:

531 Login an dieser

Workstation nicht zulässig

You are not permitted to logon at this time.

Please try again later.

Bei der Authentifizierung wird eine Meldung angezeigt, dass das Konto deaktiviert wurde und dass der Benutzer sich an einen Administrator wenden soll:

You are not permitted to logon at this workstation.

Please try again later.

Tabelle 3: LDAP-Fehlercodes

82

Benutzerverwaltung

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

LDAP-

Fehler code

532

LDAP-Fehlertext Von CAS angezeigte Meldung

Passwort abgelaufen

Bei der Authentifizierung wird eine Meldung angezeigt, dass das Kontopasswort abgelaufen ist. Optional wird ein Link zu einer Self-Service-Anwendung zur Passwortverwaltung bereitgestellt:

533

701

Your password has expired.

Please change your password.

Konto deaktiviert Bei der Authentifizierung wird eine Meldung angezeigt, dass das Konto deaktiviert wurde und dass der Benutzer sich an einen Administrator wenden soll:

This account has been disabled.

Please contact the system administrator to regain access.

Konto abgelaufen Bei der Authentifizierung wird eine Meldung angezeigt, dass das Konto abgelaufen ist:

773

775

Benutzer muss das

Passwort zurücksetzen

Your account has expired.

Bei der Authentifizierung wird eine Meldung angezeigt, dass das Kontopasswort geändert werden muss. Optional wird ein

Link zu einer Self-Service-Anwendung zur

Passwortverwaltung bereitgestellt:

Benutzerkonto gesperrt

You must change your password.

Please change your password.

Bei der Authentifizierung wird eine Meldung angezeigt, dass das Konto deaktiviert wurde und dass der Benutzer sich an einen Administrator wenden soll:

This account has been disabled.

Please contact the system administrator to regain access.

Tabelle 3: LDAP-Fehlercodes

Passwortablauf

LPPE erkennt zudem den erwarteten Ablauf eines Benutzerpassworts. Wenn das Passwort demnächst abläuft, wird dies innerhalb eines konfigurierten

Warnzeitraums angezeigt. Bei der Authentifizierung zeigt CAS eine Meldung an, dass das Benutzerpasswort demnächst abläuft:

Your password expires today!Please change your password now.

oder

Benutzerverwaltung in ServerView

83

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

Your password expires tomorrow!Please change your password now.

oder

Your password expires in … days

.

Please change your password now.

Um das erwartete Ablaufdatum zu ermitteln, liest das CAS einige LDAP-

Attribute aus dem konfigurierten Active Directory-Service. Zu diesem Zweck sind die folgenden Konfigurationswerte erforderlich:

Domain DN

Dabei handelt es sich um den Distinguished Name der Active

Directory-Domäne.

Beispiel

dc=fujitsu,dc=com

Valid Days

Der Wert dieser Eigenschaft bestimmt die Anzahl Tage, die ein Passwort gültig ist. Beachten Sie, dass hiermit der Standardwert für den Fall definiert wird, dass kein Attribut maxPwdAge in Active Directory gefunden wird. Das bedeutet, dass ein in Active Directory konfigurierter

Wert immer die Einstellung hier überschreibt.

Beispiel

90

Warning Days

Der Wert dieser Eigenschaft bestimmt die Anzahl Tage, die ein Benutzer vor Ablauf des Passworts gewarnt wird. Beachten Sie, dass es in Active

Directory kein entsprechendes Attribut gibt. Das bedeutet, dass dieser

Wert hier die einzige Definition für die Warnzeit des Passwortablaufs ist.

Beispiel

30

Password URL (optional)

Dieser Eintrag bestimmt die URL, an die der Benutzer umgeleitet wird, um das Passwort zu ändern. Die Zielseite dieser URLmuss vom

Benutzer zur Verfügung gestellt werden - ServerView liefert keine solche

Webseite. Wenn eine solche Seite in der Benutzerumgebung exisitert nicht, sollte auf die Konfigurationsoption weggelassenwerden.

Diese Eingabe ist optional, normalerweise werden Passwörter in der

Benutzerverwaltung des Active Directory-Dienstes geändert.

84

Benutzerverwaltung

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

Beispiel

https://www.example.corp.com/UserMgt

Benutzerverwaltung in ServerView

85

ServerView-Benutzerverwaltung in Microsoft Active Directory integrieren

86

Benutzerverwaltung

4 SSL-Zertifikate auf Management-

Station und verwaltete Server verwalten

Für die Kommunikation mit Web-Browsern und verwalteten Servern („Managed

Nodes“) verwendet die Management-Station eine Public Key-Infrastruktur (PKI) mit sicheren SSL-Verbindungen.

Dieses Kapitel liefert Informationen zu folgenden Themen:

–

"SSL-Zertifikate verwalten (Überblick)" auf Seite 88

–

"SSL-Zertifikate auf der Management-Station verwalten" auf Seite 91

–

"Verwaltete Server für Role Based Access (RBAC) und Client-

Authentifizierung einrichten." auf Seite 107

I

Um "BEAST" und "POODLE"-Attacken zu verhindern, unterstützt der

JBoss Web-Server nur die folgenden SSL/TLS-Protokolle:

– Ab ServerView Operations Manager V7.10, werden nur SSLv2Hello,

TLSv1.1, und TLSv1.2 unterstützt.

– Mit ServerView Operations Manager < V7.10, werden nur

SSLv2Hello, TLSv1.0, TLSv1.1, und TLSv1.2 standardmäßig unterstützt.

Wenn Sie trotzdem SSLv3 aktivieren wollen, können Sie einen zusätzlichen <ssl>-Tag (ds-cfg-ssl-protocol:SSLv3) in die

Konfigurationsdatei

jboss\standalone\configuration\standalone.xml.orig

einfügen: ds-cfg-ssl-protocol: TLSv1 ds-cfg-ssl-protocol: SSLv2Hello ds-cfg-ssl-protocol: SSLv3

Benutzerverwaltung in ServerView

87

SSL-Zertifikate verwalten (Überblick)

4.1

SSL-Zertifikate verwalten (Überblick)

Für die Kommunikation mit Web-Browsern und verwalteten Servern („Managed

Nodes“) verwendet die Management-Station eine Public Key-Infrastruktur (PKI) mit sicheren SSL-Verbindungen.

Die Management-Station authentisiert sich beim Web-Browser via Server-

Authentifizierung

Web-Browser kommunizieren mit der Management-Station immer über eine

HTTPS-Verbindung, also über eine sichere SSL-Verbindung. Deshalb benötigt der JBoss Web-Server auf der Management-Station ein Zertifikat (X.509

Zertifikat), um sich gegenüber dem Web-Browser mittels Server-

Authentifizierung zu authentisieren. Das X.509-Zertifikat enthält alle für die

Identifizierung des JBoss Web-Servers benötigten Informationen sowie den

öffentlichen Schlüssel (Public Key) des JBoss Web-Servers.

Einzelheiten hierzu finden Sie im Abschnitt "SSL-Zertifikate auf der

Management-Station verwalten" auf Seite 91

.

Die Management-Station authentisiert sich gegenüber dem verwalteten

Server via Client-Authentifizierung

Ein verwalteter Server (z.B. PRIMERGY Server), auf dem die RBAC-

Funktionalität genutzt wird, erfordert Client-Authentifizierung auf der Basis von

X.509-Zertifikaten. Deshalb muss sich eine Management-Station beim

Verbindungsaufbau zum verwalteten Server authentisieren. Client-

Authentifizierung schützt den verwalteten Server sowohl vor dem Zugriff einer nicht vertrauenswürdigen Management-Station als auch vor dem Zugriff einer nicht-privilegierten Anwendung, die auf der Management-Station läuft.

Client-Authentifizierung setzt voraus, dass das Zertifikat einer vertrauenswürdigen Management-Station zuvor auf dem verwalteten Server installiert wurde.

Einzelheiten hierzu finden Sie im Abschnitt "Verwaltete Server für Role Based

Access (RBAC) und Client-Authentifizierung einrichten." auf Seite 107

.

88

Benutzerverwaltung

SSL-Zertifikate verwalten (Überblick)

SSL Public Key-Datei und Konfigurationsdatei des Security-Interceptors

Während der Installation des Operation Managers werden folgende Dateien automatisch erzeugt:

●

<system_name>.scs.pem

Selbst-signiertes Zertifikat im PEM-Format. Die PEM-Datei enthält außerdem den öffentlichen Schlüssel (Public Key).

Eine zentrale Management-Station verwendet die Datei

<system_name>.scs.pem

für folgende Zwecke:

– Server-Authentifizierung gegenüber Web-Browsern, die sich mit der

Management-Station verbinden.

– Client-Authentifizierung gegenüber den verwalteten Servern, auf denen die RBAC-Funktionalität genutzt wird. Für die Client-Authentifizierung muss die Datei <system_name>.scs.pem auf dem verwalteten Server installiert werden.

●

<system_name>.scs.xml

Konfigurationsdatei des Security-Interceptors. Diese Datei wird intern für

Validierungsaufrufe verwendet. Für die Aktivierung der RBAC-Funktionalität auf dem verwalteten Server muss die Datei <system_name>.scs.xml auf dem verwalteten Server installiert werden.

Der Operations Manager Installations-Wizard installiert beide Dateien in folgendem Verzeichnis der Management-Station:

– <ServerView directory>\svcommon\data\download\pki (auf Windows

Systemen)

– /opt/fujitsu/ServerViewSuite/svcommon/data/download/pki (auf Linux

Systemen)

I

Im Folgenden werden die Dateien <system_name>.scs.pem und

<system_name>.scs.xml

kurz Zertifikatsdateien genannt.

Benutzerverwaltung in ServerView

89

SSL-Zertifikate verwalten (Überblick)

Schlüsselpaare verwalten - keystore- und truststore-Dateien

Das Java-basierte Schlüssel- und Zertifikatsmanagement auf dem JBoss Web-

Server verwaltet Schlüsselpaare und Zertifikate mithilfe zweier Dateien.

– In der keystore-Datei (Dateiname: keystore) speichert der JBoss Web-

Server seine eigenen Schlüsselpaare und Zertifikate.

– Die truststore-Datei (Dateiname: cacerts) enthält alle Zertifikate, die der

JBoss Web-Server als vertrauenswürdig einstuft.

keystore- und truststore-Datei liegen im folgenden Verzeichnis:

– <ServerView directory>\jboss\standalone\svconf\pki (auf Windows-

Systemen)

– /opt/fujitsu/ServerViewSuite/jboss/standalone/svconf/pki (auf Linux-

Systemen)

I

Für die Verarbeitung von keystore- und truststore-Datei verwenden Sie

das keytool-Utility (siehe Seite 95 ).

90

Benutzerverwaltung

SSL-Zertifikate auf der Management-Station verwalten

4.2

SSL-Zertifikate auf der Management-

Station verwalten

Web-Browser kommunizieren mit der Management-Station immer über eine

HTTPS-Verbindung, also über eine sichere SSL-Verbindung. Deshalb benötigt der JBoss Web-Server auf der Management-Station ein Zertifikat (X.509

Zertifikat), mit dem er sich gegenüber dem Web-Browser via Server-

Authentifizierung authentisiert. Das X.509-Zertifikat enthält alle für die

Identifizierung des JBoss Web-Servers benötigten Informationen sowie den

öffentlichen Schlüssel (Public Key) des JBoss Web-Servers.

4.2.1

Bei der Installation wird automatisch ein selbstsigniertes Zertifikat erzeugt

Während der Installation des Operation Managers wird für den lokalen JBoss

Web-Server automatisch ein selbstsigniertes Zertifikat im PEM-Format

(<system_name>.scs.pem) erzeugt.

Das Setup installiert die Datei <system_name>.scs.pem im folgenden

Verzeichnis:

– <ServerView directory>\svcommon\data\download\pki (auf Windows

Systemen)

– /opt/fujitsu/ServerViewSuite/svcommon/data/download/pki (auf Linux

Systemen)

I

Bei der Verwendung eines selbstsignierten Zertifikats brauchen Sie sich nicht um die Einrichtung Ihrer eigenen Zertifizierungsstelle (Certificate

Authority, CA) oder um die Versendung einer Zertifikatsanforderung

(Certificate Signing Request, CSR) an eine externe Zertifizierungsstelle zu kümmern.

Wenn eine Update-Installation des ServerView Operations Managers benötigt wird (z.B. nachdem der Name der Management-Station geändert wurde), wird das selbstsignierte Zertifikat automatisch während der Update-Installation ersetzt.

I

Wenn der JBoss Web Server ein selbstsigniertes Zertifikat verwendet:

Wenn sich die Web-Browser mit dem JBoss Web Server verbinden, werden sie einen Zertifikatsfehler melden mit Empfehlungen, was zu tun ist.

Benutzerverwaltung in ServerView

91

SSL-Zertifikate auf der Management-Station verwalten

Aufgrund ihrer hohen Verfügbarkeit eignen sich selbstsignierte Zertifikate besonders für Testumgebungen. Um jedoch die hohen Sicherheitsstandards zu erfüllen, die typisch sind für das produktive Server-Management mit dem

Operations Manager, empfehlen wir Ihnen die Verwendung eines so genannten

Zertifizierungsstellenzertifikats, das von einer vertrauenswürdigen

Zertifizierungsstelle signiert ist.

92

Benutzerverwaltung

SSL-Zertifikate auf der Management-Station verwalten

4.2.2

Zertifizierungsstellenzertifikat (CA Certificate) erzeugen

Zertifizierungsstellenzertifikate werden von einer zentralen Instanz, der

Zertifizierungsstelle (Certificate Authority, CA), herausgegeben.Die

Zertifizierungsstelle signiert die Zertifikate mit dem privaten Schlüssel der

Zertifizierungsstelle, nachdem sie die Identität der im Zertifikat genannten

Organisation geprüft hat. Die Signatur, die Bestandteil des Zertifikats ist, wird beim Verbindungsaufbau offengelegt, sodass der Client die

Vertrauenswürdigkeit des Zertifikats verifizieren kann.

I

Beachten Sie bitte Folgendes:

Wenn eine Update-Intallation des ServerView Operations Managers erforderlich ist (z.B. nachdem der Name der Management-Station geändert wurde), wird das Zertifikat der Zertifizierungsstelle nicht automatisch während der Update-Installation ersetzt. Stattdessen müssen Sie das Zertifikat durch Ihr eigenes ersetzen (siehe

Abschnitt

"Zertifikat auf der zentralen Management-Station ersetzen" auf

Seite 96

).

Folgende Schritte sind zur Erzeugung eines Zertifizierungsstellenzertifikats erforderlich:

1. Erzeugen Sie eine Zertifikatsanforderung (Certificate Signing Request,

CSR, hier: certrq.pem), z.B. mit dem Tool openssl: openssl req -new -keyout privkey.pem -out certreq.pem

-days 365

2. Senden Sie die Zertifikatsanforderung an die Zertifizierungsstelle.

Die Zertifizierungsstelle gibt das signierte Zertifikat (Certificate Reply) zurück, z.B. im PEM-Format als certreply.pem oder im DER-Format als

certreply.cer.

Im Folgenden wird angenommen, dass das Zertifikat das PEM-Format hat.

Wenn nötig, können Sie das Zertifikat vom DER-Format in das PEM-Format mit folgendem Kommando konvertieren: openssl x509 -in certreply.cer -inform DER -out certreply.pem -outform PEM

Benutzerverwaltung in ServerView

93

SSL-Zertifikate auf der Management-Station verwalten

I

Wenn das Zertifikat erweiterte Key-Usages enthalten soll, ist es wichtig, dass es für die Key-Usages Server-Authentifizierung

(1.3.6.1.5.5.7.3.1) und Client-Authentfizierung (1.3.6.1.5.5.7.3.2) signiert wird, weil es sowohl als Server-Zertifikat als auch als Client-

Zertifikat verwendet wird.

3. Speichern Sie das signierte Zertifikat in einer Datei ab.

4. Verifizieren Sie das signierte Zertifikat.

94

Benutzerverwaltung

SSL-Zertifikate auf der Management-Station verwalten

4.2.3

Software-Tools zur Zertifikats- und

Schlüsselverwaltung

Für die Verwaltung von Zertifikaten und zugehörigen Schlüsseln werden folgende Tools benötigt:

– openssl

Das openssl-Tool können Sie aus dem Internet herunterladen, z.B. von der

Shining Light Productions Website (

http://www.slproweb.com

). Alternativ empfiehlt sich auch die Installation der Cygwin-Umgebung

(

http://www.cygwin.com

).

I

Wenn Sie das Tool openssl von der Shining Light Productions

Website verwenden, müssen Sie die Umgebungsvariable

OPENSSL_CONF

auf folgenden Wert setzen:

< path to the OpenSSL installation directory>/bin/openssl.cfg

– keytool

Das keytool können Sie von der Oracle Homepage herunterladen. Da das

keytool

neben der Java Virtual Machine installiert wird, ist das Utility standardmäßig auf der Management-Station vorhanden:

– Auf Windows Systemen: z.B. unter C:\Program Files

(x86)\Java\jre7\bin

– Auf Linux Systemen: unter /usr/java/default/bin

Benutzerverwaltung in ServerView

95

SSL-Zertifikate auf der Management-Station verwalten

4.2.4

Zertifikat auf der zentralen Management-Station ersetzen

Dieser Abschnitt beschreibt, welche Schritte erforderlich sind, um ein Zertifikat durch ein anderes zu ersetzen.

I

Voraussetzungen:

Die nachfolgend beschriebenen Schritte setzen voraus:

– Erforderliche Software: openssl, keytool (siehe

Seite 95 ).

Zusätzlich wird in der nachfolgenden Erläuterung angenommen, dass das Verzeichnis, in dem das keytool liegt, Bestandteil der Pfad-

Variablen (PATH variable) ist.

– Es müssen vorhanden sein: ein signiertes Zertifizierungsstellenzertifikat (hier: certreply.pem) und ein privater Schlüssel (hier:

privkey.pem

).

I

Nach der Ersetzung des Zertifikats auf der Management-Station müssen

Sie das Zertifikat auch auf den verwalteten Servern ersetzen (siehe

Seite 112

für verwaltete Windows Server oder

Seite 114 für verwaltete

Linux/VMware Server). Dadurch wird sichergestellt, dass sich die

Management-Station weiterhin gegenüber den verwalteten Servern authentisieren kann.

96

Benutzerverwaltung

SSL-Zertifikate auf der Management-Station verwalten

4.2.4.1

Zertifikat auf einem Windows System ersetzen

Gehen Sie wie folgt vor:

1. Stoppen Sie den JBoss Service (siehe

Seite 23

).

2. Entfernen Sie die Datei keystore: a) Öffnen Sie die Windows-Eingabeaufforderung.

b) Wechseln Sie in das Verzeichnis <ServerView

directory>\jboss\standalone\svconf\pki

.

c) Löschen Sie die keystore-Datei oder benennen Sie die Datei um.

3. Kopieren Sie die von der Zertifizierungsstelle signierte Zertifikatsantwort

(hier: certreply.pem) und das Zertifikat der Zertifizierungsstelle (hier:

certca.pem

) in das aktuelle Verzeichnis (<ServerView

directory>\jboss\standalone\svconf\pki

).

4. Importieren Sie die Zertifikatsantwort zusammen mit dem Zertifikat der

Zertifizierungsstelle in eine neue keystore-Datei und exportieren Sie den

öffentlichen Schlüssel (hier: keystore.p12): openssl pkcs12 -export -chain -in certreply.pem -inkey privkey.pem -passout pass:changeit -out keystore.p12

-name svs_cms -CAfile certca.pem -caname "%CANAME%"

I

Ersetzen Sie den Platzhalter %CANAME% durch den Namen der

Zertifizierungsstelle, die die Zertifikatsanforderung (Certificate

Signing Request, CSR) signiert hat.

5. Formatieren (reformatieren) Sie die Datei keystore: keytool -importkeystore -srckeystore keystore.p12

-destkeystore keystore -srcstoretype PKCS12

-srcstorepass changeit -deststorepass changeit

-destkeypass changeit -srcalias svs_cms

-destalias svs_cms -noprompt -v

6. Importieren Sie das neue Zertifikat in die Datei truststore.

Am einfachsten erreichen Sie dies wie folgt: a) Starten Sie den JBoss Service. b) Warten Sie, bis der Startvorgang beendet ist.

c) Wechseln Sie in das Verzeichnis <ServerView

directory>\jboss\standalone\bin

.

Benutzerverwaltung in ServerView

97

SSL-Zertifikate auf der Management-Station verwalten

d) Öffnen Sie eine Windows Eingabeaufforderung und geben Sie das folgende Kommando / die folgenden Kommandos ein: java -jar install-cert-gui-SVCOM_V1.70.jar

..\svconf\pki\cacerts changeit <system FQDN>:3170

I

Wenn Sie einen konfigurierten externen Verzeichnisdienst verwenden, müssen Sie auch das folgende Kommando eingeben: java -jar install-cert-gui-SVCOM_V1.70.jar

..\svconf\pki\cacerts changeit <system FQDN>:<port>

<system FQDN>

Vollqualifizierter Distinguished Name des betreffenden externen

Directory Service-Systems.

<port>

LDAP-Port, der vom externen Directory Service verwendet wird

(meistens: 636).

e) Das Java-Programm install-cert-gui-SVCOM_V1.70.jar zeigt einen

Bildschirm ähnlich dem folgenden an:

98

Benutzerverwaltung

SSL-Zertifikate auf der Management-Station verwalten

Bild 30: Add Security Exception

In diesem Bildschirm können Sie aus den Zertifikatskette (Certificate

Chain) das Zertifikat auswählen, das Sie in die truststore-Datei importieren wollen. Wenn nur ein Eintrag vorhanden ist, ist das Zertifikat selbstsigniert - dann gibt es keine andere Möglichkeit, als dieses

Zertifikat zu importieren. Andernfalls werden mindestens zwei Zertifikate angeboten wie im Beispiel gezeigt:

1. Server-Zertifikat.

2. Zertifikat der Zertifizierungsstelle (CA), die das Server-Zertifikat signiert hat.

Im Allgemeinen wird empfohlen, nur das Zertifikat der

Zertifizierungsstelle zu importieren. Damit wird jedes andere Server-

Zertifikat, das von derselben Zertifizierungsstelle signiert ist, automatisch vertrauenswürdig, was in den meisten Fällen von Vorteil ist.

I

Nach dem Aufruf des Java-Programms wird die folgende

Meldung angezeigt:

Benutzerverwaltung in ServerView

99

SSL-Zertifikate auf der Management-Station verwalten

testConnection(tm,pontresina.servware.abg.firm.net,

3170): SSLException: java.lang.RuntimeException:

Unexpected error: java.security.InvalidAlgorithmParameterException: the trustAnchors parameter must be non-emptywriting to truststore ..\svconf\pki\cacerts...

Dies bedeutet keinen Fehler, sondern zeigt lediglich an, dass das neue Zertifikat bislang noch nicht in die Datei truststore importiert wurde.

f) Erzeugen Sie die Datei keystore.pem im PEM-Format.

Gehen Sie wie folgt vor:

Ê

Wechseln Sie zurück in das folgende Verzeichnis:

<ServerView directory>\jboss\standalone\svconf\pki.

Ê

Wenden Sie das folgende Kommando an: openssl pkcs12 -in keystore.p12 -passin pass:changeit

-nodes -out keystore.pem -passout pass:changeit

Ê

Kopieren Sie die Datei keystore.pem in das folgende Verzeichnis auf der Management-Station:

<ServerView directory>\jboss\standalone\svconf\pki

100

Benutzerverwaltung

SSL-Zertifikate auf der Management-Station verwalten

g) Erzeugen Sie die Datei <system_name>.scs.pem im PEM-Format.

Gehen Sie wie folgt vor:

Ê

Wenden Sie das folgende Kommando an: openssl pkcs12 -in keystore.p12 -passin pass:changeit out <system_name>.scs.pem -passout pass:changeit

Ê

Kopieren Sie das erstellte Zertifikat <system_name>.scs.pem in das folgende Verzeichnis auf der Management-Station:

<ServerView directory>\svcommon\data\download\pki

Geben Sie dazu folgendes Kommando ein:

COPY <system_name>.scs.pem

"<ServerView directory>\svcommon\data\download\pki\

<system_name>.scs.pem"

Ê

Wenn die ServerView-Agenten auf der Management-Station installiert sind:

Kopieren Sie das erstellte Zertifikat <system_name>.scs.pem auch in das folgende Verzeichnis auf der Management-Station:

<ServerView directory>\Remote Connector\pki

Ein möglicherweise bereits existierendes Zertifikat mit dem selben

Namen wird auf der Management-Station ersetzt.

7. Starten Sie den JBoss Service und die ServerView-Dienste neu, um Ihre

Änderungen zu aktivieren.

Benutzerverwaltung in ServerView

101

SSL-Zertifikate auf der Management-Station verwalten

4.2.4.2

Zertifikat auf einem Linux System ersetzen

Gehen Sie wie folgt vor:

1. Stoppen Sie den JBoss Service (siehe Seite 23 ).

2. Entfernen Sie die Datei keystore: a) Öffnen Sie ein Terminal, wie z.B. Xterm oder Gnome-term.

b) Wechseln Sie in das Verzeichnis

/opt/fujitsu/ServerViewSuite/jboss/standalone/svconf/pki

.

c) Löschen Sie die keystore-Datei oder benennen Sie die Datei um.

3. Importieren Sie die von der Zertifizierungsstelle signierte Zertifikatsantwort

(hier: certreply.pem) zusammen mit dem Zertifikat (hier: certca.pem der

Zertifizierungsstelle in eine neue keystore-Datei und exportieren Sie den

öffentlichen Schlüssel (hier: keystore.p12): openssl pkcs12 -export -chain -in certreply.pem -inkey privkey.pem -passout pass:changeit -out keystore.p12

-name "svs_cms" -CAfile certca.pem -caname "%CANAME%"

I

Ersetzen Sie den Platzhalter %CANAME% durch den Namen der

Zertifizierungsstelle, die die Zertifikatsanforderung (Certificate

Signing Request, CSR) signiert hat.

4. Formatieren (reformatieren) Sie die Datei keystore: keytool -importkeystore -srckeystore keystore.p12

-destkeystore keystore -srcstoretype PKCS12

-srcstorepass changeit -deststorepass changeit

-destkeypass changeit -srcalias svs_cms

-destalias svs_cms -noprompt -v

5. Importieren Sie das neue Zertifikat in die Datei truststore.

Am einfachsten erreichen Sie dies wie folgt: a) Starten Sie den JBoss Service. b) Warten Sie, bis der Startvorgang beendet ist.

c) Wechseln Sie in das Verzeichnis ../../bin .

102

Benutzerverwaltung

SSL-Zertifikate auf der Management-Station verwalten

d) Öffnen Sie ein Terminal-Fenster und geben Sie das folgende Kommando

/ die folgenden Kommandos ein: java -jar install-cert-gui-SVCOM_V1.70.jar

../conf/pki/cacerts changeit <system FQDN>:3170

I

Wenn Sie einen konfigurierten externen Verzeichnisdienst verwenden, müssen Sie auch das folgende Kommando eingeben: java -jar install-cert-gui-SVCOM_V1.70.jar

../conf/pki/cacerts changeit <system FQDN>:<port>

<system FQDN>

Vollqualifizierter Distinguished Name des betreffenden Systems.

<port>

LDAP-Port, der vom externen Directory Service verwendet wird

(meistens: 636).

e) Das Java-Programm install-cert-gui-SVCOM_V1.70.jar zeigt einen

Bildschirm ähnlich dem folgenden an:

Benutzerverwaltung in ServerView

103

SSL-Zertifikate auf der Management-Station verwalten

104

Bild 31: Add Security Exception

In diesem Bildschirm können Sie aus den Zertifikatskette (Certificate

Chain) das Zertifikat auswählen, das Sie in die truststore-Datei importieren wollen. Wenn nur ein Eintrag vorhanden ist, ist das Zertifikat selbstsigniert - dann gibt es keine andere Möglichkeit, als dieses

Zertifikat zu importieren. Andernfalls werden mindestens zwei Zertifikate angeboten wie im Beispiel gezeigt:

1. Server-Zertifikat.

2. Zertifikat der Zertifizierungsstelle (CA), die das Server-Zertifikat signiert hat.

Im Allgemeinen wird empfohlen, nur das Zertifikat der

Zertifizierungsstelle zu importieren. Damit wird jedes andere Server-

Zertifikat, das von derselben Zertifizierungsstelle signiert ist, automatisch vertrauenswürdig, was in den meisten Fällen von Vorteil ist.

I

Nach dem Aufruf des Java-Programms wird die folgende

Meldung angezeigt:

Benutzerverwaltung

SSL-Zertifikate auf der Management-Station verwalten

testConnection(tm,pontresina.servware.abg.firm.net,

3170): SSLException: java.lang.RuntimeException:

Unexpected error: java.security.InvalidAlgorithmParameterException: the trustAnchors parameter must be non-emptywriting to truststore ..\svconf\pki\cacerts...

Dies bedeutet keinen Fehler, sondern zeigt lediglich an, dass das neue Zertifikat bislang noch nicht in die Datei truststore importiert wurde.

f) Erzeugen Sie die Datei keystore.pem im PEM-Format.

Gehen Sie wie folgt vor:

Ê

Wenden Sie das folgende Kommando an: openssl pkcs12 -in keystore.p12 -passin pass:changeit

-nodes -out keystore.pem -passout pass:changeit

Ê

Öffnen Sie die Datei keystore.pem mit einem Text-Editor und löschen Sie alle Textzeilen mit Ausnahme der folgenden Zeilen:

– Kopf- und Fußzeilen, die mit "-----" markiert sind.

– Verschlüsselte Zeilen in Datenblöcken.

Ê

Kopieren Sie die Datei keystore.pem in das folgende Verzeichnis auf der Management-Station:

/opt/fujitsu/ServerViewSuite/jboss/standalone/svconf/pki

Benutzerverwaltung in ServerView

105

SSL-Zertifikate auf der Management-Station verwalten

g) Kopieren Sie das Zertifikat der Zertifizierungsstelle im Format

<system_name>.scs.pem

in das folgende Verzeichnis auf der

Management-Station:

/opt/fujitsu/ServerViewSuite/svcommon/data/download/pki

Gehen Sie wie folgt vor:

Ê

Wenden Sie das folgende Kommando an: cp certca.pem

/opt/fujitsu/ServerViewSuite/svcommon/data/download/pki/

<system_name>.scs.pem

6. Starten Sie den JBoss Service neu, um Ihre Änderungen zu aktivieren.

106

Benutzerverwaltung

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

4.3

Verwaltete Server für Role Based Access

(RBAC) und Client-Authentifizierung einrichten.

Die Einrichtung eines verwalteten Servers (Managed Node) für RBAC und

Client-Authentifizierung erfordert die folgenden Schritte:

1. Zertifikatsdateien (<system_name>.scs.pem) und

<system_name>.scs.xml

) auf den verwalteten Server übertragen.

2. Übertragene Dateien auf dem verwalteten Server installieren.

4.3.1

Dateien <system_name>.scs.pem und

<system_name>.scs.xml auf den verwalteten

Server übertragen

Nach erfolgreicher Installation des Operation Managers auf der Management-

Station finden Sie die Dateien <system_name>.scs.pem und

<system_name>.scs.xml

auf der Management-Station im folgenden

Verzeichnis:

– <ServerView directory>\svcommon\data\download\pki (auf Windows

Systemen)

– /opt/fujitsu/ServerViewSuite/svcommon/data/download/pki (auf Linux

Systemen)

Sie können die Dateien „manuell“ auf den verwalteten Server übertragen oder

- komfortabler - von der Management-Station herunter laden.

I

Voraussetzungen für das Herunterladen der Dateien:

Sie müssen die Administrator-Rolle besitzen.

Benutzerverwaltung in ServerView

107

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

Zum Herunterladen der Dateien gehen Sie wie folgt vor:

1. Geben Sie am Browser des verwalteten Servers die folgende URL ein:

https://<system_name>:3170/Download/pki/

I

Wichtig:

Die URL muss mit einem Schrägstrich, Slash (/), abschließen.

<system_name>

Für <system_name> tragen Sie den DNS-Namen oder die IP-

Adresse der Management-Station ein.

Es öffnet sich das folgende Fenster, das die Dateien als „bereit zum

Herunterladen“ anzeigt.

Bild 32: Dateien mycms.scs.pem und mycms.scs.xml von der zentralen Management-

Station mycms herunterladen

2. Klicken Sie für jede der beiden Dateien mit der rechten Maustaste auf den zugehörigen Link, und speichern Sie die Datei mit Save target as... auf dem verwalteten Server.

I

Save target as ...

speichert die .pem-Datei möglicherweise als

.html

-Datei. Ändern Sie in diesem Fall das Suffix .html in .pem um sicherzustellen, dass die Datei verwendet wird.

108

Benutzerverwaltung

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

4.3.2

Zertifikatsdateien auf einem Windows System installieren

Zur Installation der Zertifikatsdateien <system_name>.scs.pem und

<system_name>.scs.xml

stehen Ihnen die beiden folgenden Möglichkeiten zur Verfügung:

– Zertifikatsdateien gleich zu Beginn zusammen mit den ServerView-Agenten auf dem verwalteten Server installieren.

– Zertifikatsdateien auf einem verwalteten Server installieren, auf dem die

ServerView-Agenten bereits installiert sind. Dieses Vorgehen ist z.B. zu wählen, wenn das zunächst installierte selbstsignierte Zertifikat durch das

Zertifikat einer vertrauenswürdigen Zertifizierungsstelle ersetzt werden muss (z.B. als Folge eines entsprechenden Zertifikatsaustauschs auf der

Management-Station).

4.3.2.1

Zertifikatsdateien gemeinsam mit den ServerView Agenten installieren

I

In diesem Fall müssen die Zertifikatsdateien auf dem verwalteten Server installiert sein, bevor die ServerView Agenten installiert werden.

Im Folgenden ist beschrieben, wie Sie die Zertifikatsdateien auf einem

Windows System installieren. Einzelheiten zur Installation der ServerView-

Agenten finden Sie in den entsprechenden Abschnitten des Handbuchs

„ServerView-Agenten für Windows“.

Installieren via Paket-Installation

Gehen Sie wie folgt vor:

1. Kopieren Sie die gepackte Setup-Datei (ServerViewAgents_Win_i386.exe oder ServerViewAgents_Win_x64.exe) für das Agenten-Setup auf ein freigegebenes Netzlaufwerk oder in ein lokales Verzeichnis auf dem verwalteten Server.

2. Erzeugen Sie im Verzeichnis, das die Setup-Datei enthält, ein neues

Verzeichnis pki (Abkürzung für "Public Key Infrastructure").

3. Transferieren Sie die Zertifikatsdateien <system_name>.scs.pem und

<system_name>.scs.xml

in das neue Verzeichnis pki. Dabei können Sie auch gleichzeitig die Zertifikatsdateien mehrerer vertrauenswürdiger

Management-Stationen übertragen.

Benutzerverwaltung in ServerView

109

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

4. Starten Sie die Paket-Installation (siehe Handbuch "ServerView-Agenten für

Windows").Alle Zertifikate im Verzeichnis pki werden bei der Installation der

ServerView-Agenten an geeigneter Stelle installiert.

Installieren via entpackter Installation

Gehen Sie wie folgt vor:

1. Entpacken Sie die Setup-Dateien ServerViewAgents_Win_i386.exe oder

ServerViewAgents_Win_x64.exe

auf ein freigegebenes Netzlaufwerk oder in ein lokales Verzeichnis auf dem verwalteten Server.

Dabei werden die Dateien Setup.exe, ServerViewAgents_xxx.msi und andere Dateien erzeugt.

2. Erzeugen Sie im Verzeichnis, das die Setup-Datei enthält, ein neues

Verzeichnis pki (Abkürzung für „Public Key Infrastructure“).

3. Transferieren Sie die Zertifikatsdateien <system_name>.scs.pem und

<system_name>.scs.xml

in das neue Verzeichnis pki. Dabei können Sie auch gleichzeitig die Zertifikatsdateien mehrerer vertrauenswürdiger

Management-Stationen übertragen.

4. Starten Sie Setup.exe (siehe Handbuch "ServerView-Agenten für

Windows").Alle Zertifikate im Verzeichnis pki werden bei der Installation der

ServerView-Agenten an geeigneter Stelle installiert.

Installieren via ServerView Suite DVD

I

ServerView-Agenten und Zertifikate können nicht direkt von der

ServerView Suite DVD installiert werden.

Gehen Sie wie folgt vor:

1. Kopieren Sie die gepackte oder entpackten Setup-Dateien von der

ServerView Suite DVD auf ein freigegebenes Netzlaufwerk oder in ein lokales Verzeichnis auf dem verwalteten Server.

2. Erzeugen Sie im Verzeichnis, das die Setup-Datei(en) enthält, ein neues

Verzeichnis pki (Abkürzung für „Public Key Infrastructure“).

3. Transferieren Sie die Zertifikatsdateien <system_name>.scs.pem und

<system_name>.scs.xml

in das neue Verzeichnis pki. Dabei können Sie auch gleichzeitig die Zertifikatsdateien mehrerer vertrauenswürdiger

Management-Stationen übertragen.

110

Benutzerverwaltung

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

4. Starten Sie die Paket-Installation (siehe Handbuch "ServerView-Agenten für

Windows").Alle Zertifikate im Verzeichnis pki werden bei der Installation der

ServerView-Agenten an geeigneter Stelle installiert.

4.3.2.2

Zertifikat auf einem Windows System installieren, auf dem die

Windows-Agenten bereits installiert sind

Gehen Sie wie folgt vor:

1. Finden Sie den Pfad (im Folgenden kurz: <scsPath>) des ServerView

Remote Connector Service (SCS) auf dem verwalteten Server.

Voreingestellt ist der folgende Pfad:

– Für x64 Systeme:

C:\Program Files (x86)\Fujitsu\ServerView Suite\Remote Connector

– Für i386 Systeme:

C:\Program Files\Fujitsu\ServerView Suite\Remote Connector

2. Transferieren Sie die Zertifikatsdateien <system_name>.scs.pem und

<system_name>.scs.xml

in den SCS Zertifikatordner <scsPath>\pki.

Nach einem Neustart des Remote Connector Service werden die neuen oder ausgetauschten Zertifikate innerhalb von 10 Sekunden neu geladen.

Benutzerverwaltung in ServerView

111

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

4.3.3

Zertifikatsdateien auf einem Linux oder VMware

System installieren

Zur Installation der Zertifikatsdateien <system_name>.scs.pem und

<system_name>.scs.xml

stehen Ihnen die beiden folgenden Möglichkeiten zur Verfügung:

– Zertifikatsdateien gleich zu Beginn zusammen mit den ServerView-Agenten auf dem verwalteten Server installieren.

– Zertifikatsdateien auf einem verwalteten Server installieren, auf dem die

ServerView-Agenten bereits installiert sind. Dieses Vorgehen ist z.B. zu wählen, wenn das zunächst installierte selbstsignierte Zertifikat durch das

Zertifikat einer vertrauenswürdigen Zertifizierungsstelle ersetzt werden muss (als Folge eines entsprechenden Zertifikatsaustauschs auf der

Management-Station.

4.3.3.1

Zertifikatsdateien gemeinsam mit den ServerView Agenten installieren

I

In diesem Fall müssen die Zertifikatsdateien auf dem verwalteten Server installiert sein, bevor die ServerView-Agenten installiert werden.

I

Im Folgenden ist beschrieben, wie Sie die Zertifikatsdateien auf einem

Linux/VMware System installieren. Einzelheiten zur Installation der

ServerView Agenten finden Sie in den entsprechenden Abschnitten des

Handbuchs „ServerView-Agenten für Linux“.

Installieren via ServerView Suite DVD

1. Kopieren Sie die Dateien <system_name>.scs.pem und

<system_name>.scs.xml

in das /temp -Verzeichnis.

2. Exportieren Sie die Umgebungsvariable SV_SCS_INSTALL_TRUSTED durch Eingabe des Kommandos export SV_SCS_INSTALL_TRUSTED=/tmp

3. Geben Sie folgendes Kommando ein:

sh srvmagtDVD.sh [-R]

Die Zertifikatsdateien <system_name>.scs.pem und

<system_name>.scs.xml

werden importiert.

112

Benutzerverwaltung

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

Nach einem Neustart des Remote Connector Service werden die neuen oder ausgetauschten Zertifikate innerhalb von 10 Sekunden neu geladen.

Installieren aus einem Verzeichnis

1. Transferieren Sie die Dateien <system_name>.scs.pem und

<system_name>.scs.xml

in das lokale Verzeichnis, das die Module der

ServerView-Agenten enthält.

2. Geben Sie folgendes Kommando ein:

sh ./srvmagt.sh [option] install

Die Zertifikatsdateien <system_name>.scs.pem und

<system_name>.scs.xml

werden importiert.

Installieren mit dem rpm-Kommando

1. Transferieren Sie die Dateien <system_name>.scs.pem und

<system_name>.scs.xml

in ein lokales Verzeichnis <cert dir>.

2. Exportieren Sie die Umgebungsvariable SV_SCS_INSTALL_TRUSTED durch Eingabe des Kommandos export SV_SCS_INSTALL_TRUSTED=<cert dir>

3. Geben Sie folgendes Kommando ein:

rpm -U ServerViewConnectorService-<scs-version>.i386.rpm

Die Zertifikatsdateien <system_name>.scs.pem und

<system_name>.scs.xml

werden importiert.

Benutzerverwaltung in ServerView

113

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

4.3.3.2

Zertifikat auf einem Linux/VMware System installieren, auf dem die ServerView-Agenten bereits installiert sind

Gehen Sie wie folgt vor:

1. Starten Sie ein Terminal (mit root-Berechtigung).

2. Finden Sie den Pfad (im Folgenden kurz: <scsPath>) des ServerView

Remote Connector Service (SCS) auf dem verwalteten Server.

Voreingestellt ist der folgende Pfad:

/opt/fujitsu/ServerViewSuite/SCS/pki

3. Transferieren Sie die Dateien <system_name>.scs.pem und

<system_name>.scs.xml

in ein lokales Verzeichnis.

4. Geben Sie das folgende Kommando ein: cp -p <system_name>.scs.pem <system_name>.scs.xml <scsPath>

Nach einem Neustart des Remote Connector Service werden die neuen oder ausgetauschten Zertifikate innerhalb von 10 Sekunden neu geladen.

114

Benutzerverwaltung

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

4.3.4

Zertifikat via ServerView Update Manager installieren (auf einem Windows / Linux / VMware

System)

I

Voraussetzungen:

Der ServerView-Update-Agent und die ServerView-Agenten müssen mindestens Version 5.0 vorliegen.

Für jeden in der Serverliste angezeigten verwalteten Server bietet der Update-

Mechanismus des ServerView Update Managers die Möglichkeit, das Zertifikat der Management-Station (im Folgenden kurz: CMS-Zertifikat) direkt aus der

Serverliste heraus auf dem verwalteten Server zu installieren. Wie andere

Update-Komponenten auch, bietet Ihnen der Update Manager das CMS-

Zertifikat als zu installierende Software an. Durch Generieren und Starten eines entsprechenden Update-Jobs können Sie das Zertifikat automatisch zum verwalteten Server übertragen.

Hierzu muss jede für die Management-Station erstellte Zertifikatsdatei im

Repository des Update Managers enthalten sein (Pfadname:

...\Tools\Certificates

(Windows) und .../Tools/Certificates (Linux / VMware):

– Bei der regulären Erstinstallation des Repository fügt der

Konfigurationsassistent des Update Managers die Zertifikate am Ende der

Konfigurationsphase zum Repository hinzu.

– Während einer Update-Installation werden die Zertifikate durch Ausführung der entsprechenden Installations-Skripts automatisch zum Repository hinzugefügt.

I

Wichtig!

Es darf nur ein lokales Repository angegeben werden, da die hinzugefügten Daten ausschließlich für die betreffende Management-

Station gültig sind.

Benutzerverwaltung in ServerView

115

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

4.3.4.1

Mit dem ServerView Update Manager das CMS-Zertifikat auf dem verwalteten Server installieren (Überblick)

Die Installation des CMS-Zertifikats können Sie über das Update Manager-

Hauptfenster gemäß der nachfolgenden Beschreibung steuern.

Einzelheiten zum ServerView Update Manager finden Sie im Handbuch

„ServerView Update Manager“.

Registerkarte Server Details im Hauptfenster des Update Managers (vor

Installation des CMS-Zertifikats auf dem verwalteten Server)

Solange das CMS-Zertifikat noch nicht auf dem verwalteten Server installiert ist, wird unter Agent Access in der Registerkarte Server Details der Hinweis "not certified" angezeigt (siehe

Bild 33 ).

I

Sofern nicht sowohl der ServerView Update-Agent als auch die

ServerView Agenten mindestens von der Version 5.0 sind, wird für den betreffenden Servern unter Agent Access in der Registerkarte

Server Details

der Hinweis "restricted" oder "unrestricted" angezeigt.

Bild 33: Update Manager Hauptfenster - Registerkarte Server Details (CMS-Zertifikat ist noch nicht installiert.)

116

Benutzerverwaltung

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

Registerkarte Update Details im Hauptfenster des Update Managers (vor

Installation des CMS-Zertifikats auf dem verwalteten Server)

Eine separate Zeile in der Ansicht Upgrades der Registerkarte Update Details informiert über die Möglichkeit, das CMS-Zertifikat auf dem ausgewählten

Server zu installieren (siehe

Bild 34

).

Bild 34: Update Manager Hauptfenster - Registerkarte Update Details (CMS-Zertifikat ist noch nicht installiert)

Nun können Sie einen Update-Job erzeugen und starten, der die Installation auf dem verwalteten Server durchführt. Optional kann der Update-Job zusätzliche

Update-Komponenten umfassen. Einzelheiten zum Erstellen eines Update-

Jobs finden Sie im Handbuch „ServerView Update Manager“.

Benutzerverwaltung in ServerView

117

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

Registerkarte Server Details im Hauptfenster des Update Managers (nach erfolgreicher Installation des CMS-Zertifikats auf dem verwalteten Server)

Sobald das CMS-Zertifikat auf dem verwalteten Server erfolgreich installiert ist, wird für diesen Server unter Agent Access in der Registerkarte Server Details

der Hinweis "certified" angezeigt (siehe Bild 35

).

Bild 35: Update Manager Hauptfenster - Registerkarte Server Details (CMS-Zertifikat wurde erfolgreich installiert.)

118

Benutzerverwaltung

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

Registerkarte Update Details im Hauptfenster des Update Managers (nach erfolgreicher Installation des CMS-Zertifikats auf dem verwalteten Server)

Sobald das CMS-Zertifikat auf dem verwalteten Server erfolgreich installiert ist, informiert eine separate Zeile in der Ansicht Installed Updates der

Registerkarte Update Details über die erfolgreiche Installation des CMS-

Zertifikats auf dem verwalteten Server (siehe

Bild 36

).

Bild 36: Update Manager Hauptfenster - Registerkarte Update Details (CMS-Zertifikat erfolgreich installiert)

Benutzerverwaltung in ServerView

119

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

4.3.4.2

CMS-Zertifikat auf dem verwalteten Server installieren

Zur Installation des CMS-Zertifikats auf dem verwalteten Server gehen Sie wie folgt vor:

1. Öffnen Sie das Hauptfenster des Update Managers (siehe Bild 33 ).

2. Wählen Sie unter All Servers den verwalteten Server aus, auf dem Sie das

CMS-Zertifikat installieren wollen.

3. Wählen Sie in der Ansicht Upgrades der Registerkarte Update Details

(siehe

Bild 34

) die Zeile aus, die die Option zum Installieren des CMS-

Zertifikats auf dem ausgewählten Server anzeigt.

4. Erzeugen und starten Sie einen neuen Update-Job, der das CMS-Zertifikat auf dem verwalteten Server installiert.

4.3.4.3

CMS-Zertifikat auf dem verwalteten Server deinstallieren

Zur Deinstallation des CMS-Zertifikats auf dem verwalteten Server gehen Sie wie folgt vor:

1. Öffnen Sie das Hauptfenster des Update Managers (siehe Bild 33 ).

2. Wählen Sie unter All Servers den verwalteten Server, auf dem Sie das

CMS-Zertifikat deinstallieren wollen.

3. Wählen Sie in der Ansicht Downgrades der Registerkarte Update Details die Zeile aus, die in der Spalte New Version "Unstinstall" anzeigt (siehe

Bild 37 auf Seite 121 ).

4. Erzeugen und starten Sie einen neuen Update-Job, der das CMS-Zertifikat auf dem verwalteten Server deinstalliert.

120

Benutzerverwaltung

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

Bild 37: Update Manager Hauptfenster - Update Details (Ansicht Downgrades)

Benutzerverwaltung in ServerView

121

Verwaltete Server für Role Based Access (RBAC) und Client-Authentifizie

122

Benutzerverwaltung

5 Audit Logging

Mithilfe des Audit-Logging können Sie jeder in einem IT System durchgeführten

Aktion den Initiator dieser Aktion zuordnen. Im Gegensatz zur

Fehlerprotokollierung (Error Logging) betrachtet das Audit-Logging ausschließlich erfolgreich abgeschlossene Aktionen. Die Systemüberwachung ist nicht Ziel des Audit Logging. Audit-Logging ermöglicht autorisierten

Personen die nachträgliche Auswertung von Abläufen im System.Die im

Rahmen des Audit-Logging aufgezeichneten Einträge sind für die dauerhafte

Aufbewahrung bestimmt. Damit die Logging-Einträge auch aus größerem zeitlichen Abstand korrekt interpretiert werden können, muss die Beschreibung des Aufzeichnungsformats zusammen mit den Daten des Audit-Logs aufbewahrt werden.ServerView unterstützt das komponentenspezifische

Logging von Benutzeraktionen.

I

Derzeit ist der Centralized Authentication Service (CAS) die einzige

ServerView-Komponente, die Audit-Log-Einträge erzeugt.

Benutzerverwaltung in ServerView

123

Lage der Audit-Log-Information im Speicher

5.1

Lage der Audit-Log-Information im

Speicher

Audit-Log-Information in Windows Systeme

In Windows Systemen werden die Audit-Log-Informationen in die Windows

Ereignisanzeige geschrieben:

Bild 38: Der ServerView Audit-Log ist Bestandteil der Windows Ereignisanzeige.

Audit-Log-Information in Linux Systemen

In Linux-Systemen werden die Audit-Log-Informationen in die UTF-8-codierte

Datei audit.log geschrieben, die im Verzeichnis

/var/log/fujitsu/ServerViewSuite/jboss

liegt. Die Datei audit.log wird täglich neu erzeugt. Die Vorgängerdatei der aktuellen audit.log-Datei wird umbenannt in audit.log.<YYYY-MM-DD>.log, wobei <YYYY-MM-DD> jeweils das Datum des Vortags angibt.

124

Benutzerverwaltung

Einträge des Audit-Logs

5.2

Einträge des Audit-Logs

Jede Zeile der Audit-Log-Datei repräsentiert einen Eintrag im Audit-Log. Die

Struktur der Einträge in der Audit-Log-Datei basiert auf dem RFC 5424 (Syslog protocol).

Jeder Logging-Eintrag besteht aus einem Header, auf den die strukturierten

Daten folgen:

– Der Header enthält eine Liste der Felder, die in jedem Eintrag vorhanden sind.

– Die strukturierten Daten (STRUCTURED-DATA in RFC 5424) liefern eine detaillierte Beschreibung der protokollierten Daten.

I

– Eine detaillierte Beschreibung der Syntax-Elemente finden Sie in

RFC 5424.

– Zu Beispielen zu Logging-Einträgen siehe

Abschnitt "Beispiele:

Einträge in der Audit-Log-Datei" auf Seite 133

).

Benutzerverwaltung in ServerView

125

Einträge des Audit-Logs

5.2.1

Typen von Audit-Log-Einträgen:

Drei Typen von Audit-Log-Einträgen sind zu unterscheiden:

● INIT

-Eintrag

●

Der INIT-Eintrag ist immer der erste Eintrag der Audit-Log-Datei und wie folgt strukturiert:

– Header

– ServerView:audit@231-Element

– origin-Element

– ServerView:env@231-Element

– Freitext, der auf die strukturierten Daten folgt.

<operation>-Eintrag

Ein <operation>-Eintrag bezieht sich auf eine Operation <operation>, die in der durch <COMP_Name> spezifizierten Komponente ausgeführt wurde.

Ein <operation>-Eintrag ist wie folgt strukturiert:

– Header

– ServerView.<COMP_Name>:audit@231-Element

– Freitext, der auf die strukturierten Daten folgt.

●

STOP

-Eintrag

Der STOP-Eintrag ist in der Regel der letzte Eintrag in der Audit-Log-Datei und wie folgt strukturiert:

– Header

– ServerView:audit@231-Element

– Freitext, der auf die strukturierten Daten folgt.

I

Falls die protokollierte Komponente fehlerhaft beendet wurde, ist der

STOP

-Eintrag möglicherweise nicht vorhanden.

In den folgenden Abschnitten sind die oben erwähnten Komponenten (Header,

Elemente) der Audit-Log-Einträge detailliert beschrieben.

126

Benutzerverwaltung

Einträge des Audit-Logs

5.2.2

Header eines Audit-Log-Eintrags

Der Header besteht aus den folgenden Feldern, von denen jeweils zwei durch ein Leerzeichen getrennt sind.

Feldinhalt

<108>1 /

<110>1

Beschreibung

Diese Felder haben gemäß RFC 5424 folgende Bedeutung:

<108> 1 resultiert aus <(13 * 8) + 4> 1 und spezifiziert im Einzelnen:

Syslog facility: 13 (log audit)

Syslog severity: 4 (warning)

Syslog protocol: version 1

<110> 1 resultiert aus <(13 * 8) + 6> 1 und spezifiziert im Einzelnen:

Timestamp

Rechnername

ServerView component

-

MsgId

Syslog facility: 13 (log audit)

Syslog severity: 6 (informational)

Syslog protocol: version 1

Zeitstempel gemäß dem in RFC 3339 spezifizierten Format.

Rechnername

Name der ServerView-Komponente. Zurzeit ist ServerView.CAS die einzige ServerView-Komponente, die Logging-Einträge schreibt.

Ist in jeder Zeile konstant. Die Prozess ID wird nicht protokolliert

(entsprechend RFC 5424).

Name der Operation in abdruckbarem Format. Falls es sich um Einträge von Servern der Version 3 handelt, sind dies Operationen der ServerView-

Komponenten.

Tabelle 4: Header eines Audit-Log-Eintrags

Beispiel

<110>1 2011-07-07T09:42:03,113+02:00 compA1 ServerView CAS - LOGIN

Benutzerverwaltung in ServerView

127

Einträge des Audit-Logs

5.2.3

strukturierte Daten (Audit-Log-Eintrag);

Auf den Header eines Audit-Log-Eintrags folgen die strukturierten Daten, die das Ereignis beschreiben. Die strukturierten Daten sind vom Header durch ein

Leerzeichen getrennt.Die strukturierten Daten setzen sich zusammen aus einer

Liste von Elementen (SD-ELEMENT in RFC 5424), von denen jedes in eckige

Klammern eingeschlossen ist ([ ]).Innerhalb der eckigen Klammern beginnt jedes Element mit einen Elementnamen (SD-NAME in RFC 5424), gefolgt von einer Liste von Parametern, die als "Schlüssel/Wert" Paare formatiert sind (SD-

PARAM in RFC 5424). Jeder Wert ist in doppelte Hochkommata (") eingeschlossen.Die Reihenfolge der Elemente ist nicht festgelegt. Welche

Elemente und Werte vorhanden sind, hängt vom jeweiligen Ereignis ab. Die

Elemente und Werte sind weiter unten detailliert beschrieben.Die Audit-Log-

Einträge enthalten die nachfolgend beschriebenen Elemente, wobei

COMP_NAME

den Namen der zugehörigen Komponente bezeichnet.

I

Das Element mit Namen ServerView.COMP_NAME:audit@231 ist in jedem Eintrag enthalten. Alle anderen Elemente sind optional.

5.2.3.1

origin-Element

Das origin-Element ist in Einträgen mit der MsgId INIT enthalten. Der

Elementname origin und die Bedeutung seiner Parameter sind bei der Internet

Assigned Numbers Authority (IANA) for RFC 5424 registriert und haben demzufolge kein Suffix @231. Das origin-Element enthält Informationen darüber, welches Produkt von welchem Lieferanten den Logging-Eintrag erzeugt hat.

Parameter

Software swVersion enterpriseId

Bedeutung

Produktname (immer ServerView) und Komponentenname (z.B. CAS).

Version der ServerView-Komponente zum Zeitpunkt, als der Audit-Log-

Eintrag erzeugt wurde.

Private Enterprise Number, die für eine Firma bei IANA registriert ist. Die

Private Enterprise Number für Fujitsu Technology Solutions lautet 231.

Tabelle 5: Audit-Log-Eintrag - origin-Element

128

Benutzerverwaltung

Einträge des Audit-Logs

5.2.3.2

ServerView:env@231-Element

Das ServerView:env@231-Element ist nur in Logging-Einträgen mit Msgid

INIT

enthalten. Es enthält Informationen über die Laufzeitumgebung (Runtime

Environment).

Parameter

javaHome javaVendor

Bedeutung

Java-Installationsverzeichnis

Anbieter des Java Runtime Environment (JRE) jbossUserDir Aktuelles Arbeitsverzeichnis des JBoss-Nutzers jbossUserHome Home-Verzeichnis des JBoss-Nutzers jbossUserName Kennung des JBoss-Nutzers osName Name des Betriebssystems

Tabelle 6: Audit-Log-Eintrag - ServerViewenv@231-Element

5.2.3.3

ServerView:audit@231-Element

Der ServerView:audit@231-Eintrag ist Bestandteil jedes Audit-Log-Eintrags.

"231" ist die Private Enterprise Number für Fujitsu Technology Solutions, die bei

Internet Assigned Numbers Authority (IANA) registriert ist. Somit identifiziert das suffix "@231" das Element als reserviertes Element für Fujitsu Technology

Solutions entsprechend RFC 5424.

Parameter

result

Bedeutung

Gibt an, ob die Operation erfolgreich ausgeführt wurde. Mögliche Werte sind:

"success": Die Operation wurde ausgeführt.

"failure": Die Operation schlug fehl.

Tabelle 7: Audit-Log-Eintrag - ServerViewaudit@231-Element

Benutzerverwaltung in ServerView

129

Einträge des Audit-Logs

5.2.3.4

ServerView[.<COMP_NAME>]:msg@231-Element

Der ServerView[.<COMP_NAME>]:audit@231-Eintrag ist Bestandteil jedes

Audit-Log-Eintrags. Der Eintrag enthält die ID, die sich auf die Meldung bezieht, die die aktuelle Operation erklärt.

<COMP_NAME>

bezeichnet die ServerView-Komponente, die den Audit-Log-

Eintrag liefert. Einige Meldungen beziehen sich auf alle ServerView-

Komponenten. In diesen Fällen fehlt der Namensbestandteil

.<COMP_NAME>

."231" ist die Private Enterprise Number für Fujitsu

Technology Solutions, die bei Internet Assigned Numbers Authority (IANA) registriert ist. Somit identifiziert das suffix "@231" das Element als reserviertes

Element für Fujitsu Technology Solutions entsprechend RFC 5424.

Parameter

messageId

Bedeutung

Meldungs-ID, die sich auf die Meldung bezieht, die die aktuelle Operation erklärt.

Tabelle 8: Audit-Log-Eintrag - ServerView[.<COMP_NAME>]:msg@231-Element

5.2.3.5

ServerView[.<COMP_NAME>]:<operation>@231-Element

Dieses Element ist spezifisch für ServerView-Komponenten und in jedem Audit-

Log-Eintrag mit der Msgid <operation> einmal enthalten. Das Element beschreibt die Details eines Requests zur Ausführung einer Operation.

I

Welche Parameter genau in einem Element enthalten sind, hängt von der jeweiligen Operation und ihrem Ergebnis ab. Derzeit sind die einzigen ServerView-Komponenten, die Audit-Logging unterstützen, der

Centralized Authentication Service (COMP_NAME = CAS) und der Security

Token Service

(COMP_NAME = STS).

Nachfolgend ist die Struktur der von den ServerView-Komponenten CAS und

STS erstellten Audit-Log-Einträge beschrieben.

130

Benutzerverwaltung

Einträge des Audit-Logs

ServerView-Komponente CAS

Der folgende Audit-Log-Eintrag wird immer dann erzeugt, wenn ein Benutzer versucht, sich bei einer ServerView-Sitzung anzumelden.

MSG-ID = LOGIN

SD-ID = ServerView.CAS:login@231

Parameter

address user tgt

Bedeutung

IP-Adresse des Zielsystems

Benutzerkennung, die beim Login angegeben wurde.

CAS Ticket Granting Ticket, das beim Login erzeugt wurde.

Tabelle 9: Audit-Log-Eintrag - Parameter von ServerView.CAS:login@231

Der folgende Audit-Log-Eintrag wird immer dann erzeugt, wenn ein Benutzer bei einer ServerView-Sitzung abmeldet.

MSG-ID = LOGOUT

SD-ID = ServerView.CAS:logout@231

Parameter

address user tgt

Bedeutung

IP-Adresse des Zielsystems

Benutzerkennung, die beim Logout angegeben wurde.

CAS Ticket Granting Ticket, das beim Login erzeugt wurde.

Tabelle 10: Audit-Log-Eintrag - Parameter von ServerView.CAS:login@231

Benutzerverwaltung in ServerView

131

Einträge des Audit-Logs

ServerView-Komponente STS

Der folgende Audit-Log-Eintrag wird immer dann erzeugt, wenn ein STS-Client ein binäres Sicherheits-Token anfordert, das ein CAS Ticket Granting Ticket

(TGT) enthält.

MSG-ID = RST_ISSUE_TGT

SD-ID = ServerView.STS:rstIssueTgt@231

Parameter

address user tgt

Bedeutung

IP-Adresse des Zielsystems

Benutzerkennung, die mit dem Username-Token in der RST "issue TGT"

Anforderung angegeben wurde.

CAS Ticket Granting Ticket, das beim RST-Betrieb erzeugt wurde.

Tabelle 11: Audit-Log-Eintrag - Parameter von ServerView.STS:rstIssueTgt@231

Der folgende Audit-Log-Eintrag wird immer dann erzeugt, wenn ein STS-Client ein binäres Sicherheits-Token anfordert, das ein Service Ticket (ST) enthält.

MSG-ID = RST_ISSUE_ST

SD-ID = ServerView.STS:rstIssueSt@231

Parameter

address tgt st

Bedeutung

IP-Adresse des Zielsystems

CAS Ticket Granting Ticket, das mit dem binären Sicherheits-Token im

RST Request angegeben wurde.

CAS Service Ticket, das das durch den RST "issue ST" Request erzeugt wurde.

Tabelle 12: Audit-Log-Eintrag - Parameter von ServerView.STS:rstIssueSt@231

Der folgende Audit-Log-Eintrag wird immer dann erzeugt, wenn ein STS-Client ein binäres Sicherheits-Token anfordert, das ein Service Ticket (ST) enthält.

MSG-ID = VALIDATE

SD-ID = ServerView.STS:validate@231

Parameter

address st

Bedeutung

IP-Adresse des Zielsystems

CAS Service Ticket, das durch den RST "issue ST" Request erzeugt wurde.

Tabelle 13: Audit-Log-Eintrag - Parameter von ServerView.STS:validate@231

132

Benutzerverwaltung

Einträge des Audit-Logs

Parameter

user

Bedeutung

Benutzerkennung, die mit dem Username-Token in der RST "issue TGT"

Anforderung angegeben wurde.

Tabelle 13: Audit-Log-Eintrag - Parameter von ServerView.STS:validate@231

5.2.4

Beispiele: Einträge in der Audit-Log-Datei

Die folgenden Beispiele zeigen die Audit-Log-Einträge des Centralized

Authentication Service (CAS) von ServerView. Zur besseren Lesbarkeit wurden zusätzliche Zeilen eingefügt.

INIT-Eintrag

Der folgende INIT-Eintrag enthält die Elemente origin,

ServerView:audit@231

und ServerView.CAS:env@231 sowie Freitext im

Anschluss an die strukturierten Daten:

<110>1 2011-07-20T08:33:16,265+02:00 pontresina

ServerView.CAS - INIT

[ServerView:audit@231 result="success"]

[ServerView:env@231 javaHome="C:\\Program Files\\Java\\jre7" javaVendor="Sun Microsystems Inc." javaVersion="1.6.0_26" jbossUserDir="C:\\Program Files\\Fujitsu\\ServerView

Suite\\jboss\\bin" jbossUserHome="D:\\Profiles\\jbossrun" jbossUserName="jbossrun" osName="Windows XP" osVersion="5.1"]

[ServerView:msg@231 messageId="logging.syslog.operation.init"]

[origin enterpriseId="231" software="ServerView.CAS" swVersion=

"SVCOM_V1.50/3.3.2"] Audit started

LOGIN-Entry (fehlgeschlagenes Login)

Der folgende LOGIN-Eintrag enthält das Element ServerView:audit@231 sowie Freitext im Anschluss an die strukturierten Daten. Dieser Eintrag stellt einen "Warning"-Eintrag dar, der durch ein fehlgeschlagenes Login verursacht wurde.

<108>1 2011-07-20T08:38:52.234+02:00 pontresina

ServerView.CAS - LOGIN

[ServerView.CAS:login@231 address="172.25.88.121"]

[ServerView.CAS:msg@231 messageId=

"error.authentication.credentials.bad"]

[ServerView:audit@231 result="failure"] The credentials you provided cannot be determined to be authentic.

Benutzerverwaltung in ServerView

133

Einträge des Audit-Logs

LOGIN-Eintrag (erfolgreiches Login)

Der folgende, von einem erfolgreichen Login verursachte LOGIN-Eintrag enthält das Element ServerView:audit@231 sowie Freitext im Anschluss an die strukturierten Daten.

<110>1 2011-07-20T08:38:32.406+02:00 pontresina

ServerView.CAS - LOGIN

[ServerView.CAS:login@231 address="172.25.88.121" tgt=

"TGT-1-VS0g93zTt2dZQ1WX1texuXNEmJKvw21HelXqXIScvMKVi7XOBY-cas" user="administrator"]

[ServerView.CAS:msg@231 messageId=

"screen.success.header"][ServerView:audit@231 result=

"success"]Log In Successful

LOGOUT-Eintrag

Der folgende LOGOUT-Eintrag enthält das Element ServerView:audit@231 sowie Freitext im Anschluss an die strukturierten Daten.

<110>1 2011-07-20T08:38:35.156+02:00 pontresina

ServerView.CAS - LOGOUT

[ServerView.CAS:logout@231 address="172.25.88.121" tgt=

"TGT-1-VS0g93zTt2dZQ1WX1texuXNEmJKvw21HelXqXIScvMKVi7XOBY-cas" user="administrator"]

[ServerView.CAS:msg@231 messageId=

"screen.logout.header"][ServerView:audit@231 result=

"success"]Logout successful

STOP-Eintrag

Der folgende STOP-Eintrag enthält das Element ServerView:audit@231 sowie Freitext im Anschluss an die strukturierten Daten.

<110>1 2011-07-20T08:39:07.468+02:00 pontresina

ServerView.CAS - STOP

[ServerView:audit@231 result="success"]

[ServerView:msg@231 messageId"logging.syslog.operation.stop"]

Audit terminated

134

Benutzerverwaltung

6 Rollenbasierte Berechtigungen für den Zugriff auf den Operations

Manager

Rollenbasierte Zugangskontrolle (Role-Based Access Control, RBAC) regelt die Benutzerauthentifizierung durch Zuweisung von Berechtigungen

(Privilegien) auf der basis von Benutzerrollen (User Roles, Security Roles). Mit jeder Rolle können Sie ein spezifisches, aufgabenorientiertes

Berechtigungsprofil definieren.

Die RBAC-Implementation der ServerView Suite gruppiert Berechtigungen in

Kategorien, die sich jeweils auf eine spezielle ServerView-Komponente beziehen.

Dieses Kapitel erläutert die folgenden Themen:

– Alle Kategorien und die zugehörigen Berechtigungen (Privilegien)

– Vordefinierten Rollen Administrator, Monitor, Operator und

UserAdministrator

und zugehörige Berechtigungen.

Benutzerverwaltung in ServerView

135

Privilegien-Kategorien und zugehörige Berechtigungen

6.1

Privilegien-Kategorien und zugehörige

Berechtigungen

Die Berechtigungen, die zur Nutzung der einzelnen ServerView-Komponenten oder zur Ausführung ServerView-spezifischer Aufgaben berechtigen, sind in

Privilegien-Kategorien (kurz: Kategorien) gruppiert. Jede Kategorie bezieht sich auf eine spezifische ServerView-Komponente und umfasst alle

Berechtigungen, die Sie berechtigen, die zugehörige ServerView-Komponente zu nutzen oder eine Komponenten-spezifische Aufgabe durchzuführen.

6.1.1

Privilegien-Kategorien (Überblick)

Die ServerView Suite kennt die folgenden Privilegien-Kategorien:

Privilegien-

Kategorie

AgentDeploy

AlarmMgr

ArchiveMgr

BackupMgr

Common

ConfigMgr

InvMgr iRMC_MMB

PerfMgr

Zugehörige ServerView-Komponente / Aufgabe

Installation der ServerView-Agenten

Alarm-Management

Archive Manager

Sicherung der ServerView-Datenbank

Allgemeine ServerView Suite-spezifische Berechtigungen

Server Configuration Manager (SCU) und ferngesteuerte

Energieverwaltung (Remote Power Management)

Inventory Manager iRMC S2/S3 / BladeServer-MMB

Performance Manager und Threshold Manager

RaidMgr

RemDeploy

RAID Manager

Deployment Manager und Installation Manager

ReportMgr

SCS

Wird nur noch aus Kompatibilitätsgründen unterstützt.

ServerView Connector Service

ServerList Serverliste

UserMgr Benutzerverwaltung mit ApacheDS

Tabelle 14: Privilegien-Kategorien und zugehörige ServerView-Komponenten/Aufgaben

136

Benutzerverwaltung

Privilegien-Kategorien und zugehörige Berechtigungen

Privilegien-

Kategorie

Zugehörige ServerView-Komponente / Aufgabe

Tabelle 14: Privilegien-Kategorien und zugehörige ServerView-Komponenten/Aufgaben

6.1.2

Kategorie AgentDeploy

Die PerformAgentDeployment-Berechtigung der AgentDeploy-Kategorie wird benötigt, um ServerView-Agenten auf Managed Nodes zu installieren.

Berechtigung Erlaubnis

PerformAgentDeployment ServerView-Agenten auf Managed Nodes einrichten

Geltungsbereich

CMS

Tabelle 15: Berechtigungen der Kategorie AgentDeploy

6.1.3

Kategorie AlarmMgr

Die AlarmMgr-Kategorie umfasst die Berechtigungen zur Ausführung der verschiedenen Aufgaben im Zusammenhang mit dem ServerView Event-

Management.

Berechtigung Erlaubnis

AccessAlarmMgr Zugriff auf den Alarm Monitor.

ModifyAlarmConfig Alarmeinstellungen modifizieren mithilfe des Alarm Configuration-Links im

Startfenster des Operations Managers.

Geltungsbereich

CMS

CMS

Hinweis:

Diese Berechtigung sollte nur an Benutzer vergeben werden, die bereits die AccessServerList-Berechtigung besitzen.

PerformAlarmAcknowledge Alarme bestätigen.

PerformMIBIntegration Neue MIBs integrieren.

All

Managed Node

Tabelle 16: Berechtigungen der Kategorie AlarmMgr

Benutzerverwaltung in ServerView

137

Privilegien-Kategorien und zugehörige Berechtigungen

6.1.4

Kategorie ArchiveMgr

Die ArchiveMgr-Kategorie umfasst die Berechtigungen für den Zugriff auf den

Archive Manager sowie für das Erzeugen, Ändern und Löschen von Archiven

Berechtigung Erlaubnis

AccessArchiveMgr Zugriff auf den Archive Manager.

ModifyArchives

Geltungsbereich

CMS

Archive erzeugen, ändern und löschen CMS

Tabelle 17: Berechtigungen der Kategorie ArchiveMgr

6.1.5

Kategorie BackupMgr

Die BackupMgr-Kategorie umfasst die Berechtigungen für die Verwaltung von

Sicherungskopien der ServerView-Datenbank.

Berechtigung Erlaubnis

ModifyBackup Sicherungskopie der ServerView-

Datenbank erzeugen/löschen.

PerformBackupRestore

PerformBackupTransfer

Datenbank des Operations Managers wiederherstellen.

Sicherungskopie der Opeations Manager-

Datenbank hochladen/herunterladen.

Tabelle 18: Berechtigungen der Kategorie BackupMgr

Geltungsbereich

CMS

CMS

CMS

138

Benutzerverwaltung

Privilegien-Kategorien und zugehörige Berechtigungen

6.1.6

Kategorie Common

Die Kategorie Common umfasst die Berechtigungen zur Ausführung allgemeiner ServerView-spezifischer Aufgaben.

Berechtigung Erlaubnis

AccessOnlineDiagnostics Online Diagnostics auf einem Managed

Node ausführen.

AccessPrimeCollect PrimeCollect auf einem Managed Node ausführen.

AccessRemoteManagement Komponenten für das Remote

Management ausführen.

ConfigPKI Keystore oder Truststore modifizieren, d.h. Import und Export von Zertifikaten.

ModifyCMSSettings Lokale Konfigurtionseinstellungen auf der Management-Station ändern.

PerformDownload

PerformLocateToggle

PerformServerErrorAck

Geltungsbereich

Managed Node

Managed Node

All

All

All

Daten aus dem ServerView

Installationsverzeichnis auf die

Management-Station herunterladen.

Identifizierungs-LED ein-/ausschalten

Fehlermeldung bezüglich eines Servers bestätigen.

CMS

CMS

Managed Node

CMS

Tabelle 19: Berechtigungen der Kategorie Common

Benutzerverwaltung in ServerView

139

Privilegien-Kategorien und zugehörige Berechtigungen

6.1.7

Kategorie ConfigMgr

Die ConfigMgr-Kategorie umfasst die Berechtigungen für Zugriff auf und

Benutzung des Server Configuration Managers sowie die Berechtigungen zur

Nutzung der Funktionalität des Operations Managers für die ferngesteuerte

Energieverwaltung (Remote Power Management).

Berechtigung Erlaubnis

AccessServerConfig Zugriff auf den Server Configuration

Manager.

ModifyPowerOnOffSettings

ModifyServerConfig

Shutdown-Kommandos ausführen und

Shutdown-Einstellungen ändern.

Server-Konfiguration von Managed

Nodes mithilfe des Server Configuration

Managers ändern.

Geltungsbereich

All

All

All

Tabelle 20: Berechtigungen der Kategorie ConfigMgr

6.1.8

Kategorie InvMgr

Die InvMgr-Kategorie umfasst die Berechtigungen für den Zugriff auf den

Inventory Manager und für das Erzeugen / Ändern / Löschen / Ausführen

DataCollections und Reports.

Berechtigung Erlaubnis

AccessInvMgr Zugriff auf Inventory Manager.

Geltungsbereich

CMS

ModifyDiagnostics

ModifyReports

PerformCollections

PerformReports

Definitionen erzeugen, ändern und löschen.

Task-spezifisches Logging ansehen / löschen und Daten exportieren.

DataCollections und zugehörige

Definitionen erzeugen, ändern und löschen.

DataCollections durchführen.

Reports durchführen.

Tabelle 21: Berechtigungen der Kategorie InvMgr

CMS

CMS

CMS

CMS

140

Benutzerverwaltung

Privilegien-Kategorien und zugehörige Berechtigungen

6.1.9

Kategorie iRMC_MMB

Die iRMC_MMB-Kategorie umfasst die Berechtigungen für Zugriff auf und

Nutzung von iRMC S2/S3/S4 / MMB.

I

Wichtiger Hinweis:

Berechtigungen mit dem Präfix "Ipmi" basieren auf den in der IPMI

Spezifikation spezifizierten Berechtigungen. Im IPMI-Standard ist die

Benutzerkonfiguration kanalspezifisch. Benutzer können für den Zugriff auf iRMC S2/S3/S4 / MMB unterschiedliche Berechtigungsprofile besitzen, je nachdem ob sie via LAN-Kanal oder via seriellem Kanal zugreifen.

Für jeden Benutzer / Rolle muss genau ein IpmiLan Privilege Level und ein IpmiSerial Privilege Level spezifiziert werden.

Berechtigung Erlaubnis

CfgConnectionBlade

IpmiLanOem

Erlaubnis zur Konfiguration des

Connection Blade.

OEM-spezifischer IPMI Privilege Level

OEM

für alle LAN-Verbindungen. Der

OEM

-Level umfasst den Standard IPMI

Privilege Level administrator und gestattet darüber hinaus die Ausführung von OEM-Funktionen.

Standard IPMI Privilege Level operator für alle LAN-Verbindungen.

Standard IPMI Privilege Level user für alle

LAN-Verbindungen.

Geltungsbereich

Managed Node

Managed Node

Managed Node

Managed Node

IpmiSerialOem

IpmiSerialOperator

IpmiSerialUser

OEM-spezifischer IPMI Privilege Level

OEM

für alle seriellen Anschlüsse. Der

OEM

-Level umfasst den Standard IPMI

Privilege Level administrator und gestattet darüber hinaus die Ausführung von OEM-Funktionen.

Standard IPMI Privilege Level operator für alle seriellen Anschlüsse.

Standard IPMI Privilege Level user für alle seriellen Anschlüsse.

Managed Node

Managed Node

Managed Node

Tabelle 22: Berechtigungen der Kategorie iRMC_MMB

Benutzerverwaltung in ServerView

141

Privilegien-Kategorien und zugehörige Berechtigungen

Berechtigung Erlaubnis

iRMCsettings Erlaubnis zum Ändern der iRMC S2/S3/S4-Einstellungen

(Konfiguration)

RemoteStorage

UserAccounts

Erlaubnis zur Nutzung der Remote

Storage

-Funktionalität des iRMC

S2/S3/S4.

Erlaubnis zum Erzeugen, Löschen und

Ändern von Benutzerkennungen im lokalen Speicher des iRMC S2/S3/S4 /

MMB.

VideoRedirection Erlaubnis zum Öffnen einer AVR-Sitzung

(Konsolen-Umleitung) via iRMC

S2/S3/S4.

Tabelle 22: Berechtigungen der Kategorie iRMC_MMB

Geltungsbereich

Managed Node

Managed Node

Managed Node

Managed Node

6.1.10 Kategorie PerfMgr

Die PerfMgr-Kategorie umfasst die Berechtigungen für Zugriff auf und Nutzung von Performance Manager und Threshold Manager.

Berechtigung Erlaubnis

AccessPerformanceMgr Zugriff auf den Performance Manager.

AccessThresholdMgr Zugriff auf Threshold Manager

Hinweis:

Diese Berechtigung sollte nur an Benutzer vergeben werden, die bereits die AccessServerList-Berechtigung besitzen.

Tabelle 23: Berechtigungen der Kategorie PerfMgr

Geltungsbereich

CMS

CMS

142

Benutzerverwaltung

Privilegien-Kategorien und zugehörige Berechtigungen

6.1.11 Kategorie PowerMon

Die AccessPowerMonitor-Berechtigung der PowerMon-Kategorie wird benötigt für den Zugriff auf und Nutzung des Power Monitor.

Berechtigung Erlaubnis

AccessPowerMonitor Zugriff auf den Power Monitor.

Tabelle 24: Berechtigungen der Kategorie PowerMon

Geltungsbereich

CMS

Benutzerverwaltung in ServerView

143

Privilegien-Kategorien und zugehörige Berechtigungen

6.1.12 Kategorie RackManager

Die RackManager-Kategorie umfasst die Berechtigungen für Rack-

Management-Aktivitäten.

Berechtigung Erlaubnis

AccessRack Rack-Gruppen überwachen (auch bekannt unter der Bezeichnung

Anlagenwartung).

AccessUserGroup

ModifyRack

ModifyTask

ModifyUserGroup

Benutzerdefinierte Gruppen ansehen.

Rack-Postionen bearbeiten; nichtzugegewiesene Systeme in Racks gruppieren.

Neue Tasks erzeugen.

Benutzerdefinierte Gruppen erzeugen und ändern.

Tabelle 25: Berechtigungen der Kategorie RackManager

Geltungsbereich

All

All

All

All

All

6.1.13 Kategorie RaidMgr

Die RaidMgr-Kategorie umfasst die Berechtigungen für den Zugriff auf den

RAID Manager sowie für die RAID Konfiguration.

Berechtigung Erlaubnis

AccessRaidMgr Zugriff auf den RAID Manager

(Lesezugriff)

ModifyRaidConfig RAID Konfiguration ändern.

(Lese-/Schreib-Zugriff)

Tabelle 26: Berechtigungen der Kategorie RaidMgr

Geltungsbereich

All

All

144

Benutzerverwaltung

Privilegien-Kategorien und zugehörige Berechtigungen

6.1.14 Kategorie RemDeploy

Die RemDeploy-Kategorie umfasst die Berechtigungen für Installation- und

Deployment-Aktivitäten.

Berechtigung Erlaubnis

AccessDeploymentMgr Zugriff auf den Installation Manager.

AccessDeploymentMgr2

ModifyDmNode

ModifyDmSettings

Zugriff auf Deployment Manager

Server erzeugen, modifizieren und löschen; Deployment-Konfiguration exportieren und importieren.

Globale Einstellungen des Deployment

Managers ändern.

PerformDmCreateImage

PerformDmDeployImage

Klon-Image oder Snapshot-Image eines Servers erzeugen.

Klon-Image oder Snapshot-Image eines Servers wiederherstellen.

PerformDmInstallServer Server installieren.

PerformDmPowerOperations System ein-/ausschalten.

All

All

All

All

All

Geltungsbereich

CMS

CMS

All

Tabelle 27: Berechtigungen der Kategorie RemDeploy

6.1.15 Kategorie ReportMgr

Die ReportMgr-Kategorie und die zugehörige AccessReportMgr-

Berechtigung werden nur aus Kompatibilitätsgründen unterstützt. Sie können sie somit ignoriert werden.

Berechtigung Erlaubnis

AccessReportMgr Zugriff auf den Report Manager

Tabelle 28: Berechtigungen der Kategorie ReportMgr

Geltungsbereich

CMS

Benutzerverwaltung in ServerView

145

Privilegien-Kategorien und zugehörige Berechtigungen

6.1.16 Kategorie SCS

Die ModifyTrustedHosts-Berechtigung der SCS-Kategorie wird für die

Änderung von vertraulichen Host-Einstellungen benötigt.

Berechtigung Erlaubnis

ModifyTrustedHosts Änderung der vertraulichen Host-

Einstellungen.

Hinweis:

Diese Berechtigung sollte nur an

Benutzer vergeben werden, die bereits die ConfigPKI-Berechtigung besitzen.

Tabelle 29: Berechtigungen der Kategorie SCS

Geltungsbereich

Managed Node

6.1.17 Kategorie ServerList

Die ServerList-Kategorie umfasst die Berechtigungen für den Zugriff auf die

ServerList sowie für die Ausführung der entsprechenden Operationen.

Berechtigung Erlaubnis

AccessServerList Zugriff auf die ServerList (einschließlich der impliziten Erlaubnis für den Zugriff auf den Single System View aller Systeme).

ModifyNode Server und Gruppen erzeugen, ändern und löschen.

Geltungsbereich

CMS

CMS

PerformArchiveImport

PerformConnectivityTest

PerformDiscovery

Archive importieren.

Verbindungstest durchführen..

Knoten (z.B. Server) ermitteln und auf den

Server Browser zugreifen.

CMS

CMS

CMS

Hinweis:

Diese Berechtigung kann nur einem Benutzer erteilt werden, der bereits

über die Berechtigungen

PerformConnectivityTest

und

ModifyNode

verfügt.

Tabelle 30: Berechtigungen der Kategorie ServerList

146

Benutzerverwaltung

Privilegien-Kategorien und zugehörige Berechtigungen

Berechtigung Erlaubnis

PerformExploration 'explore' -Task auf Knoten (Managed

Nodes) starten..

Geltungsbereich

CMS

Hinweis:

Diese Berechtigung sollte nur an Benutzer vergeben werden, die bereits die ModifyNode-Berechtigung besitzen.

PerformPowerOperations Ein-/ausschalten; System neu starten.

CMS

Tabelle 30: Berechtigungen der Kategorie ServerList

Benutzerverwaltung in ServerView

147

Privilegien-Kategorien und zugehörige Berechtigungen

6.1.18 Kategorie UpdMgr

Die UpdMgr-Kategorie umfasst die Berechtigungen für den Zugriff auf

ServerView Download Manager / Repository Manager / Update Manager sowie für die Ausführung der entsprechenden Update-Management-Tasks.

Berechtigung Erlaubnis

AccessDownloadMgr Zugriff auf den Download Manager.

AccessRepositoryMgr

AccessUpdateMgr

DeleteJob

Zugriff auf den Repository Manager.

Zugriff auf den Update Manager.

Einen Job löschen.

DeleteReleasedJob

ModifyUpdateConfig

PerformCleanUp

Einen freigegebenen Job löschen.

Zugriff auf die Update Configuration.

Daten des Update-Agent auf einem

Managed Node bereinigen.

PerformCopyJob Job mit Firmware/Software-Updates kopieren.

PerformCopyReleasedJob Einen freigegebenen Job kopieren.

PerformCreateJob Job mit Firmware/Software-Updates erstellen.

PerformReleaseJob Einen Job freigeben.

Tabelle 31: Berechtigungen der Kategorie UpdMgr

Geltungsbereich

CMS

CMS

CMS

CMS

CMS

CMS

CMS

CMS

CMS

CMS

CMS

148

Benutzerverwaltung

Privilegien-Kategorien und zugehörige Berechtigungen

6.1.19 Kategorie UserMgr

Die UserMgr-Kategorie umfasst die Berechtigungen für den Zugriff auf den

User Management-Wizard und dessen Verwendung für folgende Aufgaben:

– Benutzer erzeugen, ändern und löschen.

– Rollen definieren und ändern.

– Rollen an Benutzer zuweisen.

Berechtigung Erlaubnis

AccessUserMgr Auf den User Management-Wizard zugreifen.

PerformUserMgt

User Management

-Wizard für die

Benutzerverwaltung mit ApacheDS verwenden.

Tabelle 32: Berechtigungen der Kategorie UserMgr

Geltungsbereich

CMS

CMS

6.1.20 Kategorie VIOM

Die AccessVIOM-Berechtigung der VIOM-Kategorie wird für den Zugriff auf den ServerView Virtual-IO Manager (VIOM) benötigt.

Berechtigung Erlaubnis

AccessVIOM Zugriff auf VIOM.

Tabelle 33: Berechtigungen der Kategorie VIOM

Geltungsbereich

All

Benutzerverwaltung in ServerView

149

In ApacheDS vordefinierte Benutzer und Rollen

6.2

In ApacheDS vordefinierte Benutzer und

Rollen

ApacheDS hat die vordefinierten Benutzerrollen Administrator, Monitor,

Operator

und UserAdministrator, die den vordefinierten Benutzern

Administrator

, Monitor bzw. UserManager fest zugewiesen sind.

Die folgende Tabelle zeigt, welche Berechtigungen durch die vordefinierten

Rollen erteilt werden.

Kategorie

Rolle

AgentDeploy

AlarmMgr

ArchiveMgr

BackupMgr

PerformAgentDeployment X

AccessAlarmMgr X

ModifyAlarmConfig X

PerformAlarmAcknowledge

PerformMIBIntegration

AccessArchiveMgr X

ModifyArchives X

X

X

ModifyBackup X

PerformBackupRestore X

PerformBackupTransfer X

X

X

X

X

-

X

-

-

-

-

Tabelle 34: Berechtigungen, die durch die vordefinierten Rollen erteilt werden

-

-

-

-

-

X

-

-

-

-

-

-

-

-

-

-

-

-

-

-

150

Benutzerverwaltung

Kategorie

In ApacheDS vordefinierte Benutzer und Rollen

Berechtigung Vordefinierter Benutzer /

Rolle

Common

ConfigMgr

InvMgr iRMC_MMB

AccessOnlineDiagnostics

AccessPrimeCollect

AccessRemoteManagement

ConfigPKI

ModifyCMSSettings X

ModifyPasswordTable X

PerformDownload X

PerformLocateToggle

PerformServerErrorAck

AccessServerConfig

ModifyPowerOnOffSettings

X

X

X

X

X

X

X

X

ModifyServerConfig X

AccessInvMgr X

ModifyCollections X

ModifyDiagnostics X

ModifyReports X

PerformCollections

PerformReports

X

X

CfgConnectionBlade

IpmiLanOem

IpmiLanOperator

IpmiLanUser

IpmiSerialOem

IpmiSerialOperator

IpmiSerialUser iRMCsettings

-

X

-

-

X

X

X

-

Tabelle 34: Berechtigungen, die durch die vordefinierten Rollen erteilt werden

-

-

X

-

-

-

-

X

X

X

X

-

-

X

-

-

X

X

X

-

-

X

X

X

X

-

X

-

-

X

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

X

-

-

Benutzerverwaltung in ServerView

151

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

In ApacheDS vordefinierte Benutzer und Rollen

Kategorie

Rolle

PerfMgr

PowerMon

RackManager

RaidMgr

RemDeploy

RemoteStorage

UserAccounts

VideoRedirection

AccessPerformanceMgr

AccessThresholdMgr

AccessPowerMonitor

AccessRack

AccessUserGroup

ModifyRack

ModifyTask

ModifyUserGroup

AccessRaidMgr X

ModifyRaidConfig X

AccessDeploymentMgr X

AccessDeploymentMgr2 X

ModifyDmNode X

ModifyDmSettings

PerformDmCreateImage

X

X

PerformDmDeployImage

PerformDmInstallServer

PerformDmPowerOperations

ModifyTrustedHosts X

X

X

X

-

-

X

-

-

X

X

X

X

X

-

-

X

X

X

X

X

X

-

-

X

X

X

X

X

X

X

X

X

X

X

X

X

SCS

Tabelle 34: Berechtigungen, die durch die vordefinierten Rollen erteilt werden

-

-

-

-

-

-

X

-

X

-

-

-

-

X

-

-

X

X

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

152

Benutzerverwaltung

Kategorie

In ApacheDS vordefinierte Benutzer und Rollen

Berechtigung Vordefinierter Benutzer /

Rolle

ServerList

UpdMgr

UserMgr

AccessServerList X

ModifyNode X

PerformArchiveImport X

PerformConnectivityTest X

PerformDiscovery

PerformExploration

PerformPowerOperations X

X

X

AccessDownloadMgr X

AccessRepositoryMgr X

AccessUpdateMgr X

DeleteJob X

DeleteReleasedJob

ModifyUpdateConfig

PerformCleanUp

PerformCopyJob

PerformCopyReleasedJob

PerformCreateJob

PerformReleaseJob

AccessUserMgr

Perform UserMgt

AccessVIOM

X

X

X

X

X

X

X

-

-

X

-

-

-

X

X

-

-

-

-

-

X

-

-

-

X

X

X

X

X

X

X

VIOM

Tabelle 34: Berechtigungen, die durch die vordefinierten Rollen erteilt werden

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

X

-

-

X

-

-

-

-

-

-

-

X

X

-

-

-

-

-

-

-

-

-

-

-

-

Benutzerverwaltung in ServerView

153

In ApacheDS vordefinierte Benutzer und Rollen

154

Benutzerverwaltung

7 Anhang 1 - Globale iRMC S2/S3-

Benutzerverwaltung via LDAP-

Verzeichnisdienst

Die Benutzerverwaltung für den iRMC S2/S3 verwendet zwei verschiedene

Arten von Benutzerkennungen:

– Lokale Benutzerkennungen sind lokal im nicht-flüchtigen Speicher des iRMC S2/S3 hinterlegt und werden über die Benutzerschnittstellen des iRMC S2/S3 verwaltet.

– Globale Benutzerkennungen sind in der zentralen Datenhaltung eines

Verzeichnisdienstes (Directory Service) hinterlegt und werden über die

Schnittstellen dieses Verzeichnisdienstes verwaltet.

Für die globale iRMC S2/S3-Benutzerverwaltung werden zurzeit folgende

Verzeichnisdienste unterstützt:

– Microsoft

®

– Novell

®

Active Directory

eDirectory

– OpenLDAP

– OpenDS / OpenDJ

Das vorliegende Kapitel informiert über folgende Themen:

– Konzept der Benutzerverwaltung für den iRMC S2/S3

– Benutzerberechtigungen

– globale Benutzerverwaltung mithilfe der einzelnen Verzeichnisdienste

I

Einzelheiten zur lokalen Benutzerverwaltung des iRMC S2/S3 finden Sie im Handbuch „iRMC S2/S3 - integrated Remote Management

Controller“.

I

In ApacheDS von ServerView wird die Funktion E-Mail-Einstellungen für iRMC S2/S3 nicht unterstützt.

Benutzerverwaltung in ServerView

155

Konzept der Benutzerverwaltung für den iRMC S2/S3

7.1

Konzept der Benutzerverwaltung für den iRMC S2/S3

Die Benutzerverwaltung für den iRMC S2/S3 unterstützt die parallele

Verwaltung lokaler und globaler Benutzerkennungen.

Bei der Validierung der Authentisierungsdaten (Benutzername, Passwort), die ein Benutzer beim Login an einer der iRMC S2/S3-Schnittstellen eingibt, verfährt der iRMC S2/S3 gemäß dem folgenden Ablauf (siehe auch

Bild 39 auf

Seite 157 ):

1. Der iRMC S2/S3 gleicht den Benutzernamen und das Passwort mit den lokal gespeicherten Benutzerkennungen ab:

●

Bei erfolgreicher Authentifizierung des Benutzers durch den iRMC S2/S3

(Benutzername und Passwort sind gültig) darf sich der Benutzer einloggen.

●

Andernfalls setzt der iRMC S2/S3 die Prüfung mit Schritt 2. fort.

2. Der iRMC S2/S3 authentisiert sich beim Directory Service via LDAP mit

Benutzernamen und Passwort, ermittelt per LDAP-Anfrage die

Benutzerrechte und prüft, ob der Benutzer damit am iRMC S2/S3 arbeiten darf.

156

Benutzerverwaltung

Konzept der Benutzerverwaltung für den iRMC S2/S3

C S2/S3-Web-Oberfläche

Schnittstelle

Login

SSH

Login

SSL SSH

Telnet

Login

Benutzername, Passwort

Serielle

Schnittstelle

Login

SSL

SSH iRMC S2/S3 lokale Benutzerkennungen

SSL

Benutzername, Passwort

SSL

LDAP-Login

Verzeichnisdienst globale Benutzerkennungen

Bild 39: Login-Authentifizierung durch den iRMC S2/S3

I

Die Nutzung von SSL für die LDAP-Verbindung zwischen dem iRMC

S2/S3 und dem Directory Service ist optional, wird jedoch empfohlen.

Eine SSL-gesicherte LDAP-Verbindung zwischen iRMC S2/S3 und

Directory Service garantiert den sicheren Austausch der Daten, insbesondere auch von Benutzernamen und Passwort.

SSL-Login über die iRMC S2/S3-Web-Oberfläche ist nur dann erforderlich, wenn LDAP aktiviert ist (LDAP enable siehe Handbuch

"iRMC S2/S3 integrated Remote Management Controller").

Benutzerverwaltung in ServerView

157

Globale Benutzerverwaltung für den iRMC S2/S3

7.2

Globale Benutzerverwaltung für den iRMC S2/S3

Die globalen Benutzerkennungen für den iRMC S2/S3 werden zentral für alle

Plattformen mithilfe eines LDAP-Directory Service verwaltet.

Für die iRMC S2/S3-Benutzerverwaltung werden zurzeit folgende

Verzeichnisdienste unterstützt:

– Microsoft

®

Active Directory

– Novell

®

eDirectory

– OpenLDAP

– OpenDS / ForgeRock's OpenDJ!!!

Dieser Abschnitt informiert über folgende Themen:

– Überblick über die globale Benutzerverwaltung für den iRMC S2/S3

– Konzept der globalen Benutzerverwaltung für den iRMC S2/S3 mithilfe eines LDAP-Verzeichnisdienstes

– Globale iRMC S2/S3-Benutzerverwaltung im Verzeichnisdienst konfigurieren (iRMC S2/S3-spezifische Berechtigungsstrukturen im

Verzeichnisdienst generieren).

– Globale iRMC S2/S3-Benutzerverwaltung via Microsoft Active Directory

– Globale iRMC S2/S3-Benutzerverwaltung via Novell eDirectory

– Globale iRMC S2/S3-Benutzerverwaltung via OpenLDAP / OpenDS /

OpenDJ!!!

I

Neben den in diesem Abschnitt beschriebenen Maßnahmen, die Sie auf

Seiten des Verzeichnisdienstes durchführen, erfordert die globale

Benutzerverwaltung außerdem die Konfiguration der lokalen LDAP-

Einstellungen am iRMC S2/S3.

Die lokalen LDAP-Einstellungen konfigurieren Sie wahlweise (siehe

Handbuch "iRMC S2/S3 - integrated Remote Management Controller"):

– an der iRMC S2/S3-Web-Oberfläche,

– mithilfe des Server Configuration Managers.

158

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

I

Beachten Sie bitte Folgendes:

Die Konfiguration der Einstellungen für die globale iRMC S2/S3-

Benutzerverwaltung erfordert detaillierte Kenntnisse des verwendeten

Verzeichnisdienstes. Nur Personen, die über hinreichende Kenntnisse verfügen, sollten die Konfiguration durchführen.

Benutzerverwaltung in ServerView

159

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.1

Overview

Die globalen Benutzerkennungen für den iRMC S2/S3 (wie auch für den iRMC) werden zentral und Plattform-übergreifend im Verzeichnis (Directory) eines

Verzeichnisdienstes abgelegt. Auf diese Weise lassen sich die

Benutzerkennungen auf einem zentralen Server verwalten. Sie können somit von allen iRMC und iRMC S2/S3 verwendet werden, die mit diesem Server im

Netz verbunden sind.

Der Einsatz eines Verzeichnisdienstes für den iRMC S2/S3 ermöglicht es darüber hinaus, für das Anmelden an den iRMC S2/S3 dieselben

Benutzerkennungen zu verwenden wie für das Anmelden am Betriebssystem der verwalteten Server.

I

Für die folgenden iRMC S2/S3-Funktionen wird zurzeit die globale

Benutzerverwaltung nicht unterstützt:

– Login via IPMI-over-LAN

– Text-Konsolen-Umleitung via SOL iRMC 1

Login

Authentifizierung iRMC 2

. . .

Login

Authentifizierung

Verzeichnisdienst globale Benutzerkennungen iRMC n

Login

Authentifizierung

Bild 40: Gemeinsame Nutzung der globalen Benutzerkennungen durch mehrere iRMCs

Die Kommunikation zwischen den einzelnen iRMC S2/S3 und dem zentralen

Verzeichnisdienst wird über das TCP/IP-Protokoll LDAP (Lightweight Directory

A

ccess Protocol) abgewickelt. LDAP ermöglicht den Zugriff auf die gängigsten zur Benutzerverwaltung geeigneten Verzeichnisdienste. Die Kommunikation

über LDAP kann optional durch SSL abgesichert werden.

160

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.2

iRMC S2/S3-Benutzerverwaltung über einen

LDAP Verzeichnisdienst (Konzept)

I

Das im Folgenden erläuterte Konzept einer Verzeichnisdienstgestützten, globalen iRMC S2/S3-Benutzerverwaltung gilt gleichermaßen für die Verzeichnisdienste Microsoft Active Directory,

Novell eDirectory, OpenLDAP und OpenDS /OpenDJ. Die Abbildungen zeigen exemplarisch die Konsole Active Directory-Benutzer und -

Computer

der Benutzeroberfläche von Microsoft Active Directory.

I

Die folgenden Zeichen sind in LDAP als Meta-Zeichen für Such-Strings reserviert: *, \, &, (, ), |, !, =, <, >, ~, :

Verwenden Sie diese Zeichen deshalb nicht als Bestandteil von Relative

Distinguished Names (RDN).

7.2.2.1

Globale iRMC S2/S3-Benutzerverwaltung über

Berechtigungsgruppen und Rollen

Die globale iRMC S2/S3-Benutzerverwaltung mithilfe eines LDAP-

Verzeichnisservers (LDAP Directory Server) erfordert keine Erweiterung des

Standard-Schemas des Verzeichnisservers. Vielmehr werden sämtliche für den iRMC S2/S3 relevanten Informationen einschließlich der

Benutzerberechtigungen (Privilegien) über zusätzliche LDAP-Gruppen und

Organisationseinheiten (Organizational Units, OU) bereitgestellt, die in einer separaten OU innerhalb einer Domäne des LDAP-Verzeichnisservers in

separaten OUs zusammengefasst sind (siehe Bild 42 auf Seite 164 ).

iRMC S2/S3-Benutzer erhalten ihre Privilegien über die Zuweisung einer in der

Organizational Unit (OU) SVS .

Rechtevergabe über Benutzerrollen (kurz: Rollen, Role)

Die globalen Benutzerverwaltung am iRMC S2/S3 (Firmware-Version 3.77 oder höher) regelt die Rechtevergabe über Benutzerrollen. Dabei definiert jede Rolle ein spezifisches, aufgabenorientiertes Berechtigungsprofil für Tätigkeiten am iRMC S2/S3.

Jedem Benutzer können mehrere Rollen zugewiesen werden, sodass sich die

Rechte dieses Benutzers aus der Gesamtheit der Rechte aller zugewiesenen

Rollen ableiten.

Benutzerverwaltung in ServerView

161

Globale Benutzerverwaltung für den iRMC S2/S3

Bild 41

skizziert das Konzept der rollenbasierten Vergabe von

Benutzerberechtingungen mit den Rollen Administrator, Maintenance,

Observer

und UserKVM.

Hr. Müller Fr. Meyer Hr. Bäcker

Administrator Maintenance Observer UserKVM

Benutzerverwalt.

AVR

Rem. Storage iRMC Settings iRMC Info

Bild 41: Rollenbasierten Vergabe von Benutzerberechtigungen

Das Konzept der Benutzerrollen bietet u.a folgende wesentlichen Vorteile:

– Die einzelnen Berechtigungen müssen nicht jedem Benutzer oder jeder

Benutzergruppe separat zugewiesen werden. Sondern sie werden nur der

Benutzerrolle zugewiesen.

– Wenn sich die Berechtigungsstruktur ändert, müssen nur die Rechte der

Benutzerrolle angepasst werden.

162

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.2.2

Organizational Unit (OU) SVS

Die Firmware des iRMC S2 ab Firmware-Version 3.77A und des iRMC S3 unterstützen LDAP v2-Strukturen, die in der OU SVS abgelegt sind. LDAP v2-

Strukturen sind für künftige funktionale Erweiterungen ausgelegt.

I

Eine zusätzliche OU (iRMCgroups), die aus Kompatibilitätsgründen unterstützt wird, ermöglicht Ihnen die globale Benutzerverwaltung in

Verbindung mit iRMC S2s mit einer Firmware-Version < 3.77 mit iRMCs.

Näheres hierzu finden Sie in den Handbüchern

– "iRMC S2/S3 - integrated Remote Management Controller", Ausgabe

Mai 2011 und frühere Ausgaben.

– "iRMC - integrated Remote Management Controller" .

SVS

enthält die OUs Declarations, Departments und User Settings:

– Declarations enthält eine Liste der definierten Rollen sowie die Liste der vordefinierten iRMC S2/S3-Benutzerberechtigungen.

– Departments enthält die Gruppen für die Benutzerprivilegien.

– User Settings enthält Benutzer(gruppen)-spezifische Angaben, wie z.B. das Mail-Format (für die E-Mail-Benachrichtigung) und die Gruppen für die

Benutzershells.

I

Bei Microsoft Active Directory z.B. können die Einträge für die iRMC

S2/S3-Benutzer in der Standard OU Users liegen. Im Gegensatz zu den

Standardbenutzern sind iRMC S2/S3-Benutzer jedoch zusätzlich

Mitglied in einer oder mehreren Gruppen der OU SVS.

I

Wichtiger Hinweis:

Die Abwicklung sowohl der ServerView- als auch der iRMC S2/S3-

Benutzerverwaltung innerhalb derselben Organizational Unit (OU) SVS setzt voraus, dass der iRMC S2/S3 als Element des Departments

DEFAULT

konfiguriert ist.

Benutzerverwaltung in ServerView

163

Globale Benutzerverwaltung für den iRMC S2/S3

Bild 42: OU SVS in der Domäne fwlab.firm.net

I

Die Benutzereinträge für den iRMC S2/S3 können ab der Firmware-

Version 3.6x an beliebigen Stellen unterhalb der Basis-Domäne liegen.

Ebenso können Berechtigungsgruppen an beliebigen Stellen innerhalb der Basisdomäne liegen.

164

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.2.3

Server-übergreifende globale Benutzerberechtigungen

In größeren Unternehmen sind die via iRMC S2/S3 verwalteten Server in der

Regel verschiedenen Abteilungen zugeordnet. Außerdem werden die

Administrator-Berechtigungen für die verwalteten Server ebenfalls oft abteilungsspezifisch vergeben.

I

Wichtiger Hinweis:

Die Abwicklung sowohl der ServerView- als auch der iRMC S2/S3-

Benutzerverwaltung innerhalb derselben Organizational Unit (OU) SVS setzt voraus, dass der iRMC S2/S3 als Element des Departments

DEFAULT

konfiguriert ist.

Abteilungen sind in der OU „Departments“ zusammengefasst

Die OU Departments fasst die via iRMC S2/S3 verwalteten Server zu verschiedenen Gruppen zusammen. Diese entsprechen den Abteilungen, in denen jeweils dieselben Benutzerkennungen und -berechtigungen gelten. In

Bild 43 auf Seite 166 beispielsweise, sind dies die Abteilungen DeptX, DeptY

und Others.

Der Eintrag Others ist optional, wird aber empfohlen. Others ist eine vordefinierte Abteilungsbezeichnung, unter der diejenigen Server zusammengefasst sind, die keiner anderen Abteilung angehören. Die Anzahl der unter Departments aufgelisteten Abteilungen (OUs) unterliegt keinen

Einschränkungen.

I

Bei der Konfiguration des Verzeichnisdienstes am iRMC S2/S3 über die iRMC S2/S3-Web-Oberfläche oder über den Server Configuration

Manager spezifizieren Sie den Namen der Abteilung, welcher der verwaltete Server mit dem betreffenden iRMC S2/S3 angehört. Wenn im

LDAP-Verzeichnis keine Abteilung dieses Namens existiert, werden die

Berechtigungen der Abteilung Others verwendet.

Bild 43 auf Seite 166 zeigt anhand vonActive Directory Users and

Computers

ein Beispiel für eine solche Organisationsstruktur.

Benutzerverwaltung in ServerView

165

Globale Benutzerverwaltung für den iRMC S2/S3

Bild 43: Organisationsstruktur der Domäne fwlab.firm.net

166

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.2.4

SVS: Berechtigungsprofile werden über Rollen definiert

Direkt unterhalb jeder Abteilung sind die gewünschten zugehörigen

Benutzerrollen (Authorization Roles) aufgeführt (

Bild 43 auf Seite 166

). Alle hier aufgeführten Rollen müssen in der OU Declarations definiert sein. Ansonsten gibt es hinsichtlich Anzahl der Roles keine Einschränkungen. Die Namen der

Rollen sind unter Beachtung einiger syntaktischer Vorgaben des verwendeten

Verzeichnisdienstes frei wählbar. Jede Authorization Role definiert ein spezifisches, aufgabenorientiertes Berechtigungsprofil für Tätigkeiten am iRMC S2/S3.

I

Neben den Authorization Roles sind auch die Alert Roles aufgeführt.

Jede Alert Role definiert ein spezifisches Benachrichtigungsprofil für die

E-Mail-Benachrichtigung (siehe

Abschnitt "E-Mail-Benachrichtigung an globale iRMC S2/S3-Benutzer konfigurieren" auf Seite 226 ).

Benutzerrollen anzeigen

Wenn Sie eine Abteilung (z.B. DeptX) unter SVS im Strukturbaum Active

Directory Users and Computers

auswählen (siehe Bild 44 ) (1) und die

zugehörigen Knoten DeptX – Authorization Roles aufklappen, werden die

Benutzerrollen angezeigt (2), die für diese Abteilung (hier: DeptX) definiert sind.

(1)

(2)

Bild 44: Anzeige der Benutzerrollen im Snap-in „Benutzer und Computer”

Benutzerverwaltung in ServerView

167

Globale Benutzerverwaltung für den iRMC S2/S3

Berechtigungsgruppen anzeigen, denen ein Benutzer zugeordnet ist

Wenn Sie einen Benutzer (z.B. kvms4) unter Users im Strukturbaum Active

Directory Users and Computers

auswählen (siehe

Bild 45

) (1) und den Dialog

Properties

für diesen Benutzer öffnen (Kontextmenü: Properties – Members), werden die Berechtigungsgruppen, denen der Benutzer angehört (hier: kvms4) auf der Registerkarte Members angezeigt (2).

(2)

(1)

Bild 45: Eigenschaften-Dialog des Benutzers kvms4

168

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.3

SVS_LdapDeployer - Strukturen "SVS" und

"iRMCgroups" generieren, pflegen und löschen

Um die globale iRMC S2/S3-Benutzerverwaltung über einen Verzeichnisdienst abwickeln zu können, müssen im LDAP-Verzeichnisdienst die Struktur(en)

(OU) SVS angelegt sein.

Sie verwenden SVS_LdapDeployer, um die SVS-Strukturen zu generieren und anzupassen. Der SVS_LdapDeployer ist ein Java-Archiv

(SVS_LdapDeployer.jar), das Sie auf Ihrer ServerView Suite DVD finden.

Dieser Abschnitt beschreibt:

– Die Konfigurationsdatei des SVS_LdapDeployer

– SVS_LdapDeployer

– Die Kommandos und Optionen des SVS_LdapDeployer

– Typische Anwendungsszenarien

7.2.3.1

Konfigurationsdatei (xml-Datei)

SVS_LdapDeployer

erzeugt LDAP-Strukturen auf Basis einer XML -

Konfigurationsdatei. Diese Eingabedatei enthält die Strukturinformationen für die Struktur(en) SVS in XML-Syntax.

I

Die Syntax der Konfigurationsdatei ersehen Sie aus den Beispiel-

Konfigurationsdateien Generic_Settings.xml und

Generic_InitialDeploy.xml

, die zusammen mit demjar-Archiv

SVS_LdapDeployer.jar

auf der ServerView Suite DVD ausgeliefert wird.

I

In der Eingabedatei müssen unter <Settings> immer gültige

Verbindungsdaten für die Verbindung zum Verzeichnisserver eingetragen sein.

Optional können Sie auch die Authentisierungsdaten für den Server-

Zugriff eintragen. Alternativ können Sie die Authentisierungsdaten auch in der Kommandozeile des SVS_LdapDeloyer angeben.

Wenn Sie die Authentisierungsdaten weder in der Konfigurationsdatei noch in der Kommandozeile beim Aufruf des SVS_LdapDeployer angeben, fordert der SVS_LdapDeployer die Authentisierungsdaten zum Ausführungszeitpunkt an.

Benutzerverwaltung in ServerView

169

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.3.2

SVS_LdapDeployer starten

Zum Starten des SVS_LdapDeployer gehen Sie wie folgt vor:

Ê

Speichern Sie das Java-Archiv (jar-Archiv) SVS_LdapDeployer.jar in ein

Verzeichnis auf dem Verzeichnisserver.

Ê

Öffnen Sie die Kommando-Schnittstelle des Verzeichnisservers.

Ê

Wechseln Sie in das Verzeichnis, in dem das jar-Archiv

SVS_LdapDeployer.jar

gespeichert ist.

Ê

Rufen Sie den SVS_LdapDeployer gemäß der folgenden Syntax auf: java -jar SVS_LdapDeployer.jar <kommando> <datei>

[<option>...]

I

Während der Ausführung des SVS_LdapDeployer werden Sie über die durchgeführten Schritte informiert. Detaillierte Informationen finden Sie in der Datei log.txt, die bei jeder Ausführung des

SVS_LdapDeployer

im Ausführungsverzeichnis angelegt wird.

I

Im Folgenden werden die Begriffe "LDAPv1-Struktur" und "LDAPv2-

Struktur" für die Bezeichnung ServerView-spezifischer

Konfigurationslayouts der Autorisierungsdaten verwendet und beziehen sich nicht auf die Versionen 1 und 2 des LDAP-Protokolls.

I

Die Kommandos -import und -synchronize (siehe unten) werden nur in Verbindung mit LDAPv1-Strukturen benötigt (iRMC S2s mit einer Firmware-Version < 3.77 und iRMCs). Näheres hierzu finden

Sie in den Handbüchern

– "iRMC S2/S3 - integrated Remote Management Controller",

Ausgabe Mai 2011 und frühere Ausgaben.

– "iRMC - integrated Remote Management Controller" .

<kommando>

Spezifiziert die durchzuführende Aktion.

Folgende Kommandos stehen zur Auswahl:

-deploy

Erzeugt auf dem Verzeichnisserver eine LDAP-Struktur für die globale iRMC / iRMC S2/S3-Benutzerverwaltung (siehe

Seite 172

).

170

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

-delete

Löscht auf dem Verzeichnisserver eine vorhandenen LDAP-

Struktur, die für die globale iRMC / iRMC S2/S3-

Benutzerverwaltung verwendet wird (siehe

Seite 174

).

-import

Erzeugt aus einer existierenden LADAP v1-Struktur eine

äquivalente LDAP v2-Struktur (siehe ).

-synchronize

Zieht Änderungen, die Sie in einer LDAP v2-Struktur vornehmen, in einer bereits vorhandenen LDAP v1-Struktur nach (siehe ).

<datei>

Konfigurationsdatei (.xml) die von SVS_LdapDeploy als

Eingabedatei verwendet wird. Die Konfigurationsdatei enthält die

Strukturinformationen für die Struktur(en) SVS in XML-Syntax.

I

Die Syntax der Konfigurationsdatei ersehen Sie aus den

Beispiel-Konfigurationsdateien Generic_Settings.xml und

Generic_InitialDeploy.xml

, die zusammen mit demjar-Archiv

SVS_LdapDeployer.jar

auf der ServerView Suite DVD ausgeliefert wird.

<option> [<option> ...]

Option(en), die die Ausführung des spezifizierten Kommandos steuern.

In den nachfolgenden Abschnitten werden die einzelnen Kommandos des

SVS_LdapDeployer

samt den zugehörigen Optionen im Detail erläutert.

I

Der SVS_LdapDeployer erzeugt alle benötigten Unterbäume inklusive aller Gruppen, nicht jedoch die Beziehungen zwischen Benutzern und

Gruppen.

Die Erstellung und Zuordnung von Benutzereinträgen zu Gruppen nehmen Sie über ein entsprechendes Tool des verwendeten

Verzeichnisdienstes vor, nachdem Sie die OUs SVS und/oder iRMCgroups im Verzeichnisdienst generiert haben.

Benutzerverwaltung in ServerView

171

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.3.3

-deploy: LDAP-Struktur erzeugen oder ändern

Mit dem Kommando -deploy können Sie auf dem Verzeichnisserver eine neue

LDAP-Struktur erzeugen oder zu einer bereits existierenden LDAP-Struktur neue Einträge hinzufügen.

I

Zum Entfernen von Einträgen aus einer existierenden LDAP-Struktur müssen Sie die LDAP-Struktur zuerst mit -delete (siehe

Seite 174

) löschen und anschließend mit einer entsprechend modifizierten

Konfigurationsdatei neu generieren.

Syntax:

-deploy <file> [-structure {v1 | v2 | both}]

[-username <benutzer>]

[ -password <passwort>][ -store_pwd <pfad>][ -kloc <pfad>]

[ -kpwd [<key-password>]]

<datei>

XML

-Datei, die die Konfigurationsdaten enthält.

I

Die Konfigurationsdatei muss unter <Data> alle erforderlichen

Rollen und Abteilungen enthalten, die für das erstmalige

Generieren bzw. die Erweiterung einer Struktur benötigt werden.

-structure v1 | -structure v2 | -structure both

Erzeugt eine LDAP v1-Struktur oder eine LDAP v2-Struktur oder eine

LDAP v1- und eine LDAP v2-Struktur.

I

Die Benutzerverwaltung für den iRMC S2 ab Firmware-Version

3.77A und für den iRMC S3 benötigt immer eine LDAPv2-Struktur.

-username <benutzer>

Benutzername zur Anmeldung am Verzeichnisserver.

-password <passwort>

Passwort für den Benutzer <benutzer> fest.

172

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

-store_pwd

Verschlüsselt das Passwort <passwort> mithilfe eines zufallsgenerierten

Schlüssels und speichert das verschlüsselte Passwort nach erfolgreicher Ausführung von -deploy in der Konfigurationsdatei. Der zufallsgenerierte Schlüssel wird standardmäßig in dem Ordner gespeichert, in dem der SVS_LdapDeployer ausgeführt wird.

V

ACHTUNG!

Den zufallsgenerierten Schlüssel sollten Sie sicher abspeichern.

Falls der voreingestellte Zielordner Ihren

Sicherheitserfordernissen nicht genügt oder der Ordner, in dem der Schlüssel gespeichert wird, auch anderen Benutzern zugänglich ist, verwenden Sie für eine sichere Speicherung des

Schlüssels die Optionen -kloc und -kpwd.

-kloc <pfad>

Speichert den zufallsgenerierten Schlüssel unter <pfad>.

Wenn Sie diese Option nicht angeben, wird der Schlüssel in dem Ordner gespeichert, in dem der SVS_LdapDeployer ausgeführt wird.

-kpwd [<passwort>]

Legt ein Passwort zum Schutz des zufallsgenerierten Schlüssels fest.

Wenn Sie <passwort> nicht angeben, wird das Passwort automatisch auf Basis einer Momentaufnahme der aktuellen Ablaufumgebung gebildet.

Benutzerverwaltung in ServerView

173

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.3.4

-delete: LDAPv2-Struktur löschen

Mit dem Kommando -delete können Sie auf dem Verzeichnisserver eine

LDAPv2-Struktur entfernen.

Syntax:

-delete <datei> [-structure {v1 | v2 | both}]

[-username <benutzer>]

[ -password <passwort>][ -store_pwd <pfad>][ -kloc <pfad>]

[ -kpwd [<key-password>]]

<datei>

XML

-Datei, die die zu löschende Struktur spezifiziert.

-structure v1 | -structure v2 | -structure both

Löscht LDAP v1-Struktur oder LDAP v2-Struktur oder LDAP v1- und

LDAP v2-Struktur.

I

Die Benutzerverwaltung für den iRMC S2 ab Firmware-Version

3.77A und für den iRMC S3 benötigt immer eine LDAPv2-Struktur.

-username <benutzer>

Benutzername zur Anmeldung am Verzeichnisserver.

-password <passwort>

Passwort für den Benutzer <benutzer> fest.

-stor_pwd

Verschlüsselt das Passwort <passwort> mithilfe eines zufallsgenerierten

Schlüssels und speichert das verschlüsselte Passwort nach erfolgreicher Ausführung von -delete in der Konfigurationsdatei. Der zufallsgenerierte Schlüssel wird standardmäßig in dem Ordner gespeichert, in dem der SVS_LdapDeployer ausgeführt wird.

V

ACHTUNG!

Den zufallsgenerierten Schlüssel sollten Sie sicher abspeichern.

Falls der voreingestellte Zielordner Ihren

Sicherheitserfordernissen nicht genügt oder der Ordner, in dem der Schlüssel gespeichert wird, auch anderen Benutzern zugänglich ist, verwenden Sie für eine sichere Speicherung des

Schlüssels die Optionen kloc und -kpwd.

-kloc <pfad>

Speichert den zufallsgenerierten Schlüssel unter <pfad>.

Wenn Sie diese Option nicht angeben, wird der Schlüssel in dem Ordner gespeichert, in dem der SVS_LdapDeployer ausgeführt wird.

174

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

-kpwd [<passwort>]

Legt ein Passwort zum Schutz des zufallsgenerierten Schlüssels fest.

Wenn Sie <passwort> nicht angeben, wird das Passwort automatisch auf Basis einer Momentaufnahme der aktuellen Ablaufumgebung gebildet.

7.2.4

Typische Anwendungsszenarien

Im Folgenden sind zwei typische Szenarien für den Einsatz des

SVS_LdapDeployer

beschrieben.

7.2.4.1

Erst-Konfiguration einer LDAPv2-Struktur durchführen

Sie wollen erstmals die globale Benutzerverwaltung für einen iRMC S2/S3

(Firmware-Version 3.77 oder höher) einrichten. Hierfür benötigen Sie eine

LDAPv2-Struktur.

Empfohlene Vorgehensweise:

Generieren Sie eine Department-Definition für LDAPv2-Strukturen (SVS): java -jar SVS_LdapDeployer.jar -deploy myInitialDeploy.xml

-structure v2

7.2.4.2

LDAP v2-Struktur neu generieren oder erweitern

Sie wollen eine LDAP v2-Struktur neu generieren oder eine bereits bestehende

LDAP v2-Struktur erweitern.

Empfohlene Vorgehensweise: java -jar SVS_LdapDeployer.jar -deploy myInitialDeploy.xml

-structure -structure v2 oder java -jar SVS_LdapDeployer.jar -deploy myInitialDeploy.xml

Benutzerverwaltung in ServerView

175

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.4.3

LDAP v2-Struktur neu generieren und Authentisierungsdaten anfordern und speichern

Sie wollen eine LDAP v2-Struktur neu generieren. Die Authentisierungsdaten sollen via Kommandozeile bereitgestellt und gespeichert werden.

Empfohlene Vorgehensweise: java -jar SVS_LdapDeployer.jar -deploy myInitialDeploy.xml

-store_pwd -username admin -password admin

I

Nach dem Speichern der Anmeldedaten können Sie sich über den

SVS_LdapDeployer

ohne Angabe von Benutzerkennung und Passwort mit dem Verzeichnisserver verbinden. Der SVS_LdapDeployer verwendet dann - sofern vorhanden - die in der xml-Konfigurationsdatei gespeicherten Werte. Ein gespeichertes Passwort kann der

SVS_LdapDeployer

nur dann verwenden, wenn er es entschlüsseln kann. Dies erfordert, dass Sie den SVS_LdapDeployer in derselben

Laufzeitumgebung aufrufen, wie beim vorangegangenen Aufruf mit

-store_pwd

(siehe

Seite 173

). "Dieselbe Laufzeitumgebung" bedeutet hier "derselbe Benutzer am selben Computer" oder "ein Benutzer mit

Zugriffsberechtigung auf das Verzeichnis, unter dem der Schlüssel gespeichert ist (Option -kloc, siehe

Seite 173

)".

I

Für zukünftige Aufrufe des SVS_LdapDeployer können Sie auch

Benutzerkennungen verwenden, die bereits gespeichert sind. Darüber hinaus lassen sich durch explizite Angabe in der Kommandozeile oder auf Anforderung durch den SVS_LdapDeployer zeitweilig auch andere

Authentisierungsdaten nutzen.

176

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.5

iRMC S2/S3-Benutzerverwaltung via Microsoft

Active Directory

Dieser Abschnitt beschreibt, wie Sie die iRMC S2/S3-Benutzerverwaltung in

Microsoft Active Directory integrieren.

I

Voraussetzung:

Eine LDAP v2-Struktur ist im Active Directory-Verzeichnisdienst generiert (siehe

Abschnitt "SVS_LdapDeployer - Strukturen "SVS" und

"iRMCgroups" generieren, pflegen und löschen" auf Seite 169

).

Zur Integration der iRMC S2/S3-Benutzerverwaltung in Microsoft Active

Directory führen Sie die folgenden Schritte durch:

1. LDAP/SSL-Zugriff des iRMC S2/S3 am Active Directory Server konfigurieren.

2. iRMC S2/S3-Benutzer den iRMC S2/S3-Benutzergruppen in Active

Directory zuordnen.

Benutzerverwaltung in ServerView

177

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.5.1

LDAP/SSL-Zugriff des iRMC S2/S3 am Active Directory Server konfigurieren

I

Die iRMC S2/S3-LDAP-Integration verwendet die auf dem OpenSSL

Project basierende SSL Implementation von Eric Young. Einen Abdruck des SSL Copyrights finden Sie auf

Seite 234

.

Die Nutzung von LDAP via SSL durch den iRMC S2/S3 erfordert die Erstellung eines RSA-Zertifikats.

Die Konfiguration des LDAP-Zugriffs umfasst die folgenden Schritte:

1. Enterprise CA installieren.

2. RSA-Zertifikat für den Domänencontroller (Domain Controller) erzeugen.

3. RSA-Zertifikat auf dem Server installieren.

Enterprise CA installieren

I

Eine CA ist eine "Zertifizierungsstelle für Zertifikate". Eine Enterprise CA

(„Zertifizierungsstelle für Unternehmen“) können Sie wahlweise auf dem

Domänencontroller selbst oder auf einem anderen Server installieren.

Die Installation direkt auf dem Domänencontroller ist einfacher, da im

Vergleich zur Installation auf einem anderen Server einige

Installationsschritte entfallen.

Im Folgenden ist beschrieben, wie Sie die Enterprise CA direkt auf einem vom Domänencontroller verschiedenen Server installieren.

I

Die erfolgreiche Installation und Konfiguration einer Enterprise CA setzt eine Active Directory-Umgebung sowie die installierten IIS (Internet

I

nformation Services) voraus.

Mit den folgenden Schritten installieren Sie eine Enterprise CA:

Ê

Wählen Sie im Windows Startmenü:

Start - Systemsteuerung - Software - Windows-Komponenten hinzufügen/entfernen

Ê

Wählen Sie im Wizard für die Windows-Komponenten den Punkt

Zertifikatsdienste

unter Komponenten.

Ê

Doppelklicken Sie auf Zertifikatsdienste und stellen Sie sicher, dass die

Optionen Webregistrierung für Zertifikatsdienste und

Zertifizierungsstelle für Zertifikate

ausgewählt sind.

178

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Ê

Wählen Sie Stammzertifizierungsstelle eines Unternehmens.

Ê

Aktivieren Sie die Option Schlüsselpaar und

Zertifizierungsstellenzertifikat mit diesen Einstellungen erstellen

.

Ê

Wählen Sie Microsoft Base DSS Cryptographic Provider, um DSA-

Zertifikate mit einer Schlüssellänge von 1024 Byte zu generieren.

Ê

Exportieren Sie das öffentliche Zertifizierungsstellenzertifikat (CA

Certificate).

Gehen Sie hierbei wie folgt vor:

Ê

Starten Sie die Management-Konsole durch Eingabe von mmc in der

Windows Eingabeaufforderung.

Ê

Fügen Sie das Snap-in für Zertifikate des lokalen Computers hinzu.

Ê

Navigieren Sie zu Zertifikate (Lokaler Computer) -

Vertrauenswürdige Stammzertifizierungsstellen - Zertifikate

und führen Sie einen Doppelklick aus.

Ê

Führen Sie einen Doppelklick auf das Zertifikat der neu erstellten

Zertifizierungsstelle aus.

Ê

Klicken Sie im Zertifikatsfenster auf die Registerkarte Details.

Ê

Klicken Sie auf In Datei kopieren.

Ê

Wählen Sie einen Dateinamen für das Zertifizierungsstellenzertifikat und klicken Sie auf Fertig stellen.

Ê

Laden Sie das öffentliche Zertifizierungsstellenzertifikat auf dem

Domänencontroller in das Zertifikatsverzeichnis

Vertrauenswürdige Stammzertifizierungsstellen

.

Gehen Sie hierbei wie folgt vor:

Ê

Übertragen Sie die Datei des Zertifizierungsstellenzertifikats auf den

Domänencontroller.

Ê

Öffnen Sie im Windows Explorer das Zertifikat der neu erstellten

Zertifizierungsstelle.

Ê

Klicken Sie auf Zertifikat installieren.

Ê

Klicken Sie unter Alle Zertifikate in folgenden Speicher speichern auf

Durchsuchen

und wählen Sie Vertrauenswürdige

Stammzertifizierungsstellen

.

Benutzerverwaltung in ServerView

179

Globale Benutzerverwaltung für den iRMC S2/S3

Ê

Starten Sie die Management-Konsole durch Eingabe von mmc in der

Windows Eingabeaufforderung.

Ê

Fügen Sie das Snap-in für Zertifikate des lokalen Computers hinzu.

Ê

Fügen Sie das Snap-in für Zertifikate des aktuellen Benutzers hinzu.

Ê

Kopieren Sie das Zertifizierungsstellenzertifikat (CA Certificate) aus dem

Verzeichnis Vertrauenswürdige Stammzertifizierungsstellen des aktuellen Benutzers in das Verzeichnis Vertrauenswürdige

Stammzertifizierungsstellen

des lokalen Computers.

Domänencontroller-Zertifikat erzeugen

Mit den folgenden Schritten erstellen Sie ein RSA-Zertifikat für den

Domänencontroller:

Ê

Erstellen Sie eine Datei request.inf mit dem folgenden Inhalt:

[Version]

Signature="$Windows NT$"[NewRequest]

Subject = "CN=<full path of domain controller host>"

KeySpec = 1

KeyLength = 1024

Exportable = TRUE

MachineKeySet = TRUE

SMIME = FALSE

PrivateKeyArchive = FALSE

UserProtected = FALSE

UseExistingKeySet = FALSE

ProviderName = "Microsoft RSA SChannel Cryptographic Provider"

ProviderType = 12

RequestType = PKCS10

KeyUsage = 0xa0

[EnhancedKeyUsageExtension]

OID=1.3.6.1.5.5.7.3.1

; this is for Server Authentication

Ê

Passen Sie in der Datei request.inf die Angaben bei "Subject=" an den

Namen des verwendeten Domänencontrollers an, z.B.

Subject = “CN=domino.fwlab.firm.net”

.

Ê

Geben Sie in der Windows Eingabeaufforderung folgendes Kommando ein:

certreq -new request.inf request.req

180

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Ê

Geben Sie im Browser der Zertifizierungsstelle folgende URL ein:

http://localhost/certsrv

Ê

Klicken Sie auf Ein Zertifikat anfordern.

Ê

Klicken Sie auf erweiterte Zertifikatsanforderung.

Ê

Klicken Sie auf Reichen Sie eine Zertifikatsanforderung ein.

Ê

Kopieren Sie den Inhalt der Datei request.req in das Fenster

Gespeicherte Anforderungen

.

Ê

Wählen Sie die Zertifikatsvorlage Webserver.

Ê

Laden Sie das Zertifikat herunter und speichern Sie es (z.B. in der Datei

request.cer

).

Ê

Geben Sie in der Windows Eingabeaufforderung folgendes Kommando ein:

certreq -accept request.cer

Ê

Exportieren Sie das Zertifikat mit dem privaten Schlüssel.

Gehen Sie hierbei wie folgt vor:

Ê

Starten Sie die Management-Konsole durch Eingabe von mmc in der

Windows Eingabeaufforderung.

Ê

Fügen Sie das Snap-in für Zertifikate des lokalen Computers hinzu.

Ê

Navigieren Sie zu

Zertifikate (Lokaler Computer) - Eigene Zertifikate - Zertifikate

.

Ê

Führen Sie einen Doppelklick auf das neue Server-

Authentifizierungszertifikat aus.

Ê

Klicken Sie im Zertifikatsfenster auf die Registerkarte Details.

Ê

Klicken Sie auf In Datei kopieren.

Ê

Wählen Sie Ja, privaten Schlüssel exportieren.

Ê

Vergeben Sie ein Passwort.

Ê

Wählen Sie einen Dateinamen für das Zertifikat und klicken Sie auf

Fertig stellen

.

Benutzerverwaltung in ServerView

181

Globale Benutzerverwaltung für den iRMC S2/S3

Domänencontroller-Zertifikat auf dem Server installieren

Mit den folgenden Schritten installieren Sie das Domänencontroller-Zertifikat auf dem Server:

Ê

Kopieren Sie die soeben erstellte Datei für das Domänencontroller-Zertifikat auf den Domänencontroller.

Ê

Führen Sie einen Doppelklick auf das Domänencontroller-Zertifikat aus.

Ê

Klicken Sie auf Zertifikat installieren.

Ê

Verwenden Sie das Passwort, das Sie beim Export der Zertifikats vergeben haben.

Ê

Klicken Sie unter Alle Zertifikate in folgendem Speicher speichern auf die Schaltfläche Durchsuchen und wählen Sie Eigene Zertifikate.

Ê

Starten Sie die Management-Konsole durch Eingabe von mmc in der

Windows Eingabeaufforderung.

Ê

Fügen Sie das Snap-in für Zertifikate des lokalen Computers hinzu.

Ê

Fügen Sie das Snap-in für Zertifikate des aktuellen Benutzers hinzu.

Ê

Kopieren Sie das Domänencontroller-Zertifikat aus dem Verzeichnis

Eigene Zertifikate

des aktuellen Benutzers in das Verzeichnis

Eigene Zertifikate

des lokalen Computers.

182

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.5.2

iRMC S2/S3-Benutzer einer Rolle (Berechtigungsgruppe) zuordnen

Die Zuordnung von iRMC S2/S3-Benutzern zu iRMC S2/S3-

Berechtigungsgruppen können Sie wahlweise vornehmen

– ausgehend vom Benutzereintrag oder

– ausgehend vom Rolleneintrag / Gruppeneintrag

I

Nachfolgend ist am Beispiel der LDAPv2-Struktur die Zuordnung ausgehend vom Rolleneintrag anhand der OU SVS beschrieben.

Die Zuordnung ausgehend vom Benutzereintrag verläuft weitgehend analog.

I

In Active Directory müssen die Benutzer „von Hand“ in die Gruppen eingetragen werden.

Gehen Sie wie folgt vor:

Ê

Öffnen Sie das Snap-in Active Directory-Benutzer und -Computer.

Bild 46: Snap-in Active Directory-Benutzer und -Computer

Ê

Führen Sie einen Doppelklick auf die Berechtigungsgruppe (hier:

Administrator) aus.

Der Dialog Eigenschaften von Administrator wird geöffnet (siehe Bild 47 auf Seite 184

):

Benutzerverwaltung in ServerView

183

Globale Benutzerverwaltung für den iRMC S2/S3

Bild 47: Dialog Eigenschaften von Administrator

Ê

Wählen Sie die Registerkarte Members.

Ê

Klicken Sie auf die Schaltfläche Hinzufügen....

Der Dialog Benutzer, Kontakte und Computer wählen wird geöffnet

(siehe

Bild 48 auf Seite 185

).

184

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Bild 48: Dialog Benutzer, Kontakte oder Computer wählen

Ê

Klicken Sie auf die Schaltfläche Pfade....

Der Dialog Pfad wird geöffnet.

Bild 49: Dialog Pfad

Ê

Wählen Sie den Container (OU), in dem sich Ihre Benutzer befinden. (Im

Standardfall ist dies die OU Users.) Bestätigen Sie mit OK.

Der Dialog Benutzer, Kontakte und Computer wählen wird geöffnet

(siehe Bild 50 auf Seite 186 ).

I

Benutzer können auch an anderer Stelle im Verzeichnis eingetragen sein.

Benutzerverwaltung in ServerView

185

Globale Benutzerverwaltung für den iRMC S2/S3

Bild 50: Dialog Benutzer, Kontakte oder Computer wählen

Ê

Klicken Sie auf die Schaltfläche Erweitert....

Ein erweiterter Dialog Benutzer, Kontakte und Computer wählen wird geöffnet (siehe

Bild 51 auf Seite 187

).

186

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Bild 51: Dialog Benutzer, Kontakte oder Computer wählen - Suchen

Ê

Klicken Sie auf die Schaltfläche Jetzt suchen, um sich alle Benutzer Ihrer

Domäne anzeigen zu lassen.

Im Anzeigebereich unter Suchergebnisse:wird das Suchergebnis angezeigt (siehe

Bild 52 auf Seite 188

).

Benutzerverwaltung in ServerView

187

Globale Benutzerverwaltung für den iRMC S2/S3

Bild 52: Dialog Benutzer, Kontakte oder Computer wählen - Suchergebnisse anzeigen

Ê

Wählen Sie die Benutzer, die zur Gruppe hinzugefügt werden sollen, und bestätigen Sie mit OK

Es werden nun die ausgewählten Benutzer angezeigt (siehe Bild 53 auf

Seite 189

).

188

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Bild 53: Dialog Benutzer, Kontakte oder Computer wählen - Suchergebnisse bestätigen

Ê

Bestätigen Sie mit OK.

Benutzerverwaltung in ServerView

189

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.6

iRMC S2/S3-Benutzerverwaltung via Novell eDirectory

Dieser Abschnitt informiert über folgende Themen:

– Software-Komponenten und Systemvoraussetzungen von Novell eDirectory

– Novell eDirectory installieren

– Novell eDirectory konfigurieren

– iRMC S2/S3-Benutzerverwaltung in Novell eDirectory integrieren.

– Tipps zur Administration von Novell eDirectory

I

Installation und Konfiguration von Novell eDirectory werden im

Folgenden ausführlich beschrieben. Tiefere eDirectory-Kenntnisse werden nicht vorausgesetzt. Sofern Sie bereits mit Novell eDirectory vertraut sind, können Sie die folgenden drei Abschnitte überspringen

und fortfahren mit Abschnitt "iRMC S2/S3-Benutzerverwaltung in Novell eDirectory integrieren" auf Seite 204

.

7.2.6.1

Software-Komponenten und Systemvoraussetzungen

I

Verwenden Sie jeweils die angegebene oder eine aktuellere Version der nachfolgend aufgelisteten Komponenten.

Novell eDirectory (ehemals NDS) besteht aus folgenden Software-

Komponenten:

– eDirectory 8.8: 20060526_0800_Linux_88-SP1_FINAL.tar.gz

– eDirectory 8.8: eDir_88_iMan26_Plugins.npm

– iManager: iMan_26_linux_64.tgz für SuSE, iMan_26_linux_32.tgz für andere

– ConsoleOne: c1_136f-linux.tar.gz

Für Installation und Betrieb von Novell eDirectory gelten die folgenden

Systemvoraussetzungen:

– OpenSSL muss installiert sein.

I

Falls OpenSSL nicht bereits installiert ist:

Ê

Installieren Sie OpenSSL, bevor Sie mit der Installation von

Novell eDirectory beginnen.

190

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

– 512 MB freier Hauptspeicher

7.2.6.2

Novell eDirectory installieren

Die Installation von Novell eDirectory umfasst die Installation der folgenden

Komponenten:

– eDirectory Server und Administrations-Utilities

– iManager (Administrations-Utility)

– ConsoleOne (Administrations-Utility)

I

Voraussetzung für die Installation von Novell eDirectory:

– Ein Linux Server-Betriebssystem muss komplett installiert sein und laufen.

– Die Firewall muss für Verbindungen zu folgenden Ports konfiguriert sein: 8080, 8443, 9009, 81, 389, 636.

Für OpenSuSE konfigurieren Sie dies mithilfe der Datei

/etc/sysconfig/SuSEfirewall2

:

Ê

Erweitern Sie den Eintrag FW_SERVICES_EXT_TCP in der

Datei etc/sysconfig/SuSEfirewall2 wie folgt:

FW_SERVICES_EXT_TCP="8080 8443 9009 81 389 636"

– Gemäß dem eDirectory Installation Guide muss das System für

Multicast Routing eingerichtet sein.

Für SuSE Linux gehen Sie hierfür wie folgt vor:

Ê

Erzeugen oder (sofern bereits vorhanden) öffnen Sie die Datei

/etc/sysconfig/network/ifroute-eth0

.

Ê

Erweitern Sie die Datei /etc/sysconfig/network/ifroute-eth0 um folgende Zeile:

224.0.0.0 0.0.0.0

240.0.0.0 eth0

Dadurch passen Sie eth0 an die Systemkonfiguration an.

Benutzerverwaltung in ServerView

191

Globale Benutzerverwaltung für den iRMC S2/S3

I

Voraussetzungen für die Installation des eDirectory Servers, der eDirectory Utilities, des iManager und von ConsoleOne:

– Für die Installation ist Root-Berechtigung erforderlich.

– Die im Folgenden beschriebene Vorgehensweise bei der Installation setzt voraus, dass alle für die Installation benötigten Dateien bereits in ein Verzeichnis (z.B. /home/eDirectory) kopiert wurden. Es handelt sich dabei um folgende Dateien:

20060526_0800_Linux_88-SP1_FINAL.tar.gz

iMan_26_linux_64.tgz

c1_136f-linux.tar.gz

eDirectory Server und Administrations-Utilities installieren

Gehen Sie wie folgt vor:

Ê

Melden Sie sich mit Root-Berechtigung (Super User) an.

Ê

Wechseln Sie in das Verzeichnis, das die für die Installation benötigten

Dateien enthält (im Beispiel: /home/eDirectory): cd /home/eDirectory

Ê

Extrahieren Sie das Archiv 20060526_0800_Linux_88-SP1_FINAL.tar.gz: tar -xzvf 20060526_0800_Linux_88-SP1_FINAL.tar.gz

Nach der Extraktion enthält /home/eDirectory ein neues Unterverzeichnis

eDirectory

.

eDirectory Server installieren

Ê

Wechseln Sie in das Unterverzeichnis setup dieses eDirectory-

Verzeichnisses: cd eDirectory/setup

Ê

Rufen Sie das Installationsskript ./nds-install auf:

./nds-install

Ê

Akzeptieren Sie die EULA mit "y" und bestätigen Sie mit der[Enter]-Taste.

Ê

Wenn Sie nach dem zu installierenden Programm gefragt werden:

Geben Sie "1" ein für die Installation des Novell eDirectory Servers und bestätigen Sie mit der [Enter]-Taste.

Daraufhin werden die eDirectory-Packages installiert.

192

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Nach der Installation des Novell eDirectory Servers müssen Sie in einigen

Umgebungsvariablen die Namen für die Pfade auf das eDirectory aktualisieren und die Variablen exportieren.

Ê

Öffnen Sie hierfür Ihre Konfigurationsdatei (im Beispiel: /etc/bash.bashrc) und fügen Sie die dort vor "# End of ..." die folgenden Zeilen in der angegebenen Reihenfolge ein: export PATH/opt/novell/eDirectory/bin:/opt/novell/eDirectory/ sbin:$PATH export LD_LIBRARY_PATH=/opt/novell/eDirectory/lib:/ opt/novell/eDirectory/lib/nds-modules:/opt/novell/ lib:$LD_LIBRARY_PATH export MANPATH=/opt/novell/man:/opt/novell/eDirectory/ man:$MANPATH export TEXTDOMAINDIR=/opt/novell/eDirectory/share/ locale:$TEXTDOMAINDIR

Ê

Schließen Sie das Terminal und öffnen Sie ein neues Terminal, um die

Umgebungsvariablen zu exportieren.

eDirectory Administrations-Utilities installieren

Ê

Wechseln Sie in das Unterverzeichnis setup des eDirectory-

Verzeichnisses: cd eDirectory/setup

Ê

Rufen Sie das Installationsskript auf:

./nds-install

Ê

Akzeptieren Sie die EULA mit "y" und bestätigen Sie mit der[Enter]-Taste.

Ê

Wenn Sie nach dem zu installierenden Programm gefragt werden:

Geben Sie "2" ein für die Installation der Novell eDirectory

Administrations-Utilities

und bestätigen Sie mit der [Enter]-Taste.

Daraufhin werden die eDirectory Administrations-Utilities installiert.

Benutzerverwaltung in ServerView

193

Globale Benutzerverwaltung für den iRMC S2/S3 iManager installieren und aufrufen

I

Der iManager ist das für die Administration von Novell eDirectory empfohlene Tool. Für die Installation sowohl in SLES10 als auch in

OpenSuSE verwenden Sie das Archiv *_64.tgz.

Gehen Sie wie folgt vor:

Ê

Melden Sie sich mit Root-Berechtigung (Super User) an.

Ê

Wechseln Sie in das Verzeichnis/home/eDirectory: cd /home/eDirectory

Ê

Extrahieren Sie das Archiv iMan_26_linux_64.tgz: tar -xzvf iMan_26_linux_64.tgz

Nach der Extraktion enthält /home/eDirectory ein neues Unterverzeichnis

iManager

.

Ê

Wechseln Sie in das Unterverzeichnis installs von iManager: cd iManager/installs/linux

Ê

Rufen Sie das Installationsskript auf:

./iManagerInstallLinux.bin

Ê

Wählen Sie die Sprache, in der die Installationsmeldungen ausgegeben werden sollen.

Ê

Klicken Sie durch die EULA und akzeptieren Sie die EULA.

Ê

Wählen Sie 1- Novell iManager 2.6, Tomcat, JVM zur iManager-

Installation.

Ê

Wählen Sie 1- Yes für Plugin-Download.

Ê

Klicken Sie auf [Enter], um den Default-Pfad für den Download zu verwenden.

Das Installationsprogramm sucht via Internet nach Downloads. Dies kann einige Minuten dauern. Danach werden Sie aufgefordert, die zu installierenden Plugins auszuwählen.

Ê

Wählen Sie All für den Download aller Plugins.

Ê

Wählen Sie 1- Yes für die Installation der lokal verfügbaren Plugins.

Ê

Drücken Sie [Enter], um den Default-Pfad für die Installation zu verwenden.

Ê

Wählen Sie 2- No für die automatische Konfiguration von Apache (optional).

194

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Ê

Akzeptieren Sie den Default Port (8080) für Tomcat.

Ê

Akzeptieren Sie den Default SSL-Port (8443) für Tomcat.

Ê

Akzeptieren Sie den Default JK Connector-Port (9009) für Tomcat.

Ê

Geben Sie die administrationsberechtigte Benutzerkennung (z.B. „root.fts“) für den administrationsberechtigten Benutzer ein.

Ê

Geben Sie den Baumnamen (z.B. „fwlab“) für den administrationsberechtigten Benutzer ein.

Ê

Akzeptieren Sie die aufgelistete Zusammenfassung Ihrer Eingaben mit 1-

OK...

, um die Installation abzuschließen.

Beim Novell iManager einloggen

Nach der Installation können Sie sich via Web-Browser mithilfe der folgenden

URL am iManager einloggen:

https://<IP address of the eDirectory server>:8443/nps

I

Novell empfiehlt die Verwendung der Web-Browser Microsoft Internet

Explorer oder Mozilla Firefox. In Mozilla Firefox werden möglicherweise nicht alle Popup-Fenster des Kontext-Menüs angezeigt.

Benutzerverwaltung in ServerView

195

Globale Benutzerverwaltung für den iRMC S2/S3

ConsoleOne installieren und starten

Mit ConsoleOne steht Ihnen ein weiteres Administrationstool von Novell eDirectory zur Verfügung.

Zur Installation von ConsoleOne gehen Sie wie folgt vor:

Ê

Melden Sie sich mit Root-Berechtigung (Super User) am eDirectory Server an.

Ê

Wechseln Sie in das Verzeichnis /home/eDirectory: cd /home/eDirectory

Ê

Extrahieren Sie das ConsoleOne-Archiv c1_136f-linux.tar.gz: tar -xzvf c1_136f-linux.tar.gz

Nach der Extraktion enthält /home/eDirectory ein neues Unterverzeichnis

Linux

.

Ê

Wechseln Sie in das Verzeichnis Linux: cd Linux

Ê

Rufen Sie das Installationsskript c1-install auf:

./c1-install

Ê

Wählen Sie die Sprache, in der die Installationsmeldungen ausgegeben werden sollen.

Ê

Geben Sie „8“ für die Installation aller Snap-Ins ein.

ConsoleOne benötigt den Pfad zu einer installierten Java-Laufzeitumgebung.

Den entsprechenden Pfadnamen können Sie in die Umgebungsvariable

C1_JRE_HOME

exportieren. Demgegenüber erfordert der systemweite Export des Pfadnamens Änderungen im bash-Profil.

I

Da Root-Berechtigung für das Arbeiten mit ConsoleOne erforderlich ist, genügt es im Prinzip, den Pfadnamen nur für die Kennung superuser

Root

zu exportieren. Im Folgenden ist jedoch der systemweite Export des Pfadnamens dargestellt. Damit können auch normale Benutzer mit

ConsoleOne arbeiten, sofern sie Root-Berechtigung besitzen.

196

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Gehen Sie wie folgt vor:

Ê

Öffnen Sie die Konfigurationsdatei zur Bearbeitung (im Beispiel:

/etc/bash.bashrc

)

Ê

Fügen Sie in der Konfigurationsdatei vor „# End of ...“ die folgende Zeile ein: export C1_JRE_HOME=/opt/novell/j2sdk1.4.2_05/jre

I

Hier wird die zusammen mit eDirectory installierte Java-

Laufzeitumgebung verwendet. Sie können aber auch den

Pfadnamen einer beliebigen anderen auf dem eDirectory Server installierten Java-Laufzeitumgebung angeben.

ConsoleOne erhält die verfügbaren Baumstrukturen entweder über die lokale

Konfigurationsdatei hosts.nds oder über den SLP-Service und Multicast.

Zum Einfügen Ihrer Baumstruktur in die Konfigurationsdatei gehen Sie verfahren Sie wie folgt:

Ê

Wechseln Sie in Ihr Konfigurationsverzeichnis: cd /etc

Ê

Erzeugen Sie die Datei hosts.nds, falls Sie noch nicht existiert.

Ê

Öffnen Sie die Datei hosts.nds und fügen Sie die folgenden Zeilen ein:

#Syntax: TREENAME.FQDN:PORT

MY_Tree.mycomputer.mydomain:81

ConsoleOne starten

ConsoleOne starten Sie in der System-Eingabeaufforderung mit folgendem

Kommando:

/usr/ConsoleOne/bin/ConsoleOne

Benutzerverwaltung in ServerView

197

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.6.3

Novell eDirectory konfigurieren

Zur Konfiguration von Novell eDirectory führen Sie die folgenden Schritte durch:

1. NDS-Baum erzeugen.

2. eDirectory für LDAP konfigurieren.

3. Zugang zu eDirectory via LDAP-Browser testen.

NDS-Baum erzeugen

E

inen NDS (Network Directory Service)-Baum erzeugen Sie mit dem Utility ndsmanage. ndsmanage benötigt hierfür die folgenden Informationen:

TREE NAME

Netzweit eindeutiger Name für den neuen NDS-Baum, z.B. MY_TREE.

Server Name

Name einer Instanz der Klasse server in eDirectory. Für Server Name, spezifizieren Sie den Namen des PRIMERGY Servers, auf dem der

LDAP-Server läuft, z.B. lin36-root-0.

Server Context

Fully Distinguished Name (vollständige Beschreibung von Objektpfad und der Attributen) des Containers, in dem das Objekt server enthalten ist, z.B. dc=organization.dc=mycompany.

Admin User

Fully Distinguished Name (vollständige Beschreibung von Objektpfad und der Attributen) des administrationsberechtigten Benutzers, z.B.cn=

admin.dc=organization.dc=mycompany

NCP Port

Spezifizieren Sie den Port 81.

Instance Location

Spezifizieren Sie als Pfad: /home/root/instance0

Configuration File

Spezifizieren Sie folgende Datei: /home/root /instance0/ndsconf

Password for admin user

Geben Sie hier das Administratorpasswort an.

198

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Zur Konfigurierung des NDS-Baums gehen Sie wie folgt vor:

Ê

Öffnen Sie eine Command Box.

Ê

Wechseln Sie in das Verzeichnis /home/eDirectory.

Ê

Starten Sie das Utility ndsmanage durch Eingabe des Kommandos

ndsmanage

: ndsmanage

Ê

Geben Sie "c" ein für die Erzeugung einer neuen Instanz der Klasse server.

Ê

Geben Sie „y“ ein , um die Konfiguration fortzusetzen.

Ê

Geben Sie „y“ ein, um einen neuen Baum zu erzeugen.

Anschließend erfragt ndsmanage nacheinander die Werte für TREE NAME,

Server Name

, Server Context etc. (siehe Seite 198 ).

Sobald die Eingabe abgeschlossen ist, konfiguriert ndsmanage den NDS-

Baum.

Ê

Führen Sie nach Abschluss der Konfiguration des NDS-Baums einen

Neustart des PRIMERGY Servers durch, um die Konfiguration zu aktivieren, d.h. den NDS-Baum zu erzeugen.

eDirectory für LDAP konfigurieren

Die Konfiguration von eDirectory für LDAP umfasst die folgenden Schritte:

– Role Based Services (RBS) installieren.

– Plugin-Module installieren.

– Role Based Services (RBS) konfigurieren.

– eDirectory mit/ohne SSL/TLS-Unterstützung konfigurieren.

Im Einzelnen gehen Sie wie folgt vor:

Ê

Loggen Sie sich beim iManager via Web-Browser unter der

Administratorkennung (Admin) ein.

Benutzerverwaltung in ServerView

199

Globale Benutzerverwaltung für den iRMC S2/S3

Role Based Services (RBS) installieren

RBS installieren Sie mithilfe des iManager Configuration Wizard.

Gehen Sie wie folgt vor:

Ê

Wählen Sie im iManager die Registerkarte Configure (durch Klicken auf das Desk-Symbol).

Ê

Wählen Sie auf der Registerkarte Configure

Role Based Services

- RBS Configuration

Ê

Starten Sie den RBS Configuration Wizard.

Ê

Weisen Sie RBS2 dem zu verwaltenden Container zu. (Im obigen Beispiel ist dies ãmycompany“.)

Plugin-Module installieren

Gehen Sie wie folgt vor:

Ê

Wählen Sie im iManager die Registerkarte Configure (durch Klicken auf das Desk-Symbol).

Ê

Wählen Sie auf der Registerkarte Configure

Plug-in installation

- Available Novell Plug-in Modules

Ê

Wählen Sie auf der Seite Available Novell Plug-in Modules unter den aufgelisteten Modulen das eDirectory-spezifische Package

eDir_88_iMan26_Plugins.npm

.

Ê

Klicken Sie auf Install.

Role Based Services (RBS) konfigurieren

Ê

Wählen Sie auf der Seite Available Novell Plug-in Modules alle für die

LDAP-Integration benötigten Module. Falls Sie sich nicht sicher sind, wählen Sie alle Module.

Ê

Klicken Sie auf Install.

eDirectory für SSL/TLS gesicherten Zugriff konfigurieren

I

Während der eDirectory-Installation wird ein temporäres Zertifikat erzeugt, sodass der Zugriff auf eDirectory standardmäßig durch

SSL/TLS abgesichert ist. Da jedoch die Firmware des iRMC S2/S3 für die Verwendung von RSA/MD5-Zertifikaten konfiguriert ist, benötigt die

SSL/TLS gesicherte globale iRMC S2/S3-Benutzerverwaltung via eDirectory ein RSA/MD5 Zertifikat der Länge 1024 byte.

200

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Ein RSA/MD5-Zertifikat der Länge 1024 byte erstellen Sie wie folgt mithilfe von

ConsoleOne:

Ê

Loggen Sie sich am LDAP-Server unter Ihrer Administratorkennung

(Admin) ein und starten Sie ConsoleOne.

Ê

Navigieren Sie zum Root-Verzeichnis Ihrer Unternehmensstruktur

(z.B. treename/mycompany/myorganisation).

Ê

Wählen Sie New Object - NDSPKI key material - custom, um ein neues

Objekt der Klasse NDSPKI:Key Material zu erstellen.

Ê

Spezifizieren Sie im nachfolgenden Dialog die folgenden Werte:

1. 1024 bits

2. SSL or TLS

3. signature RSA/MD5

Ein neues Zertifikat des gewünschten Typs wird erstellt.

Um das neu erstellte Zertifikat für die SSL-gesicherte LDAP-Verbindung zu aktivieren führen Sie im iManager die folgenden Schritte durch:

Ê

Starten Sie den iManager via Web-Browser.

Ê

Loggen Sie sich mit gültigen Authentisierungsdaten beim iManager ein.

Ê

Wählen Sie LDAP - LDAP Options - LDAP Server - Connection.

Die Registerkarte Connection enthält eine Drop-down-Liste, die alle auf dem System installierten Zertifikate anzeigt.

Ê

Selektieren Sie in der Drop down-Liste das gewünschte Zertifikat.

eDirectory für den nicht-SSL-gesicherten Zugriff konfigurieren

I

Anonymes Login sowie die Übertragung von Klartext-Passwörtern über ungesicherte Kanäle sind in eDirectory standardmäßig deaktiviert.

Demzufolge ist das Einloggen via Web-Browser am eDirectory-Server nur über eine SSL-Verbindung möglich.

Für die Nutzung von LDAP ohne SSL müssen Sie die folgenden Schritte durchführen:

1. Nicht-SSL-gesicherte LDAP-Verbindung ermöglichen.

2. Bind-Restriktionen lockern.

3. LDAP-Konfiguration neu laden.

Benutzerverwaltung in ServerView

201

Globale Benutzerverwaltung für den iRMC S2/S3

Gehen Sie wie folgt vor:

1. Nicht-SSL-gesicherte LDAP-Verbindung ermöglichen.

Ê

Starten Sie den iManager via Web-Browser.

Ê

Loggen Sie sich mit gültigen Authentisierungsdaten beim iManager ein.

Ê

Wählen Sie die Ansicht Roles and Tasks.

Ê

Wählen Sie LDAP - LDAP Options - LDAP Server - Connection.

Ê

Deaktivieren Sie auf der Registerkarte Connection die Option

Require TLS for all Operations.

Ê

Wählen Sie LDAP - LDAP Options - LDAP Group - General.

Ê

Deaktivieren Sie auf der Registerkarte General die Option

Require TLS for Simple Binds with password.

2. Bind-Restriktionen lockern.

Ê

Loggen Sie sich mit gültigen Authentisierungsdaten beim iManager ein.

Ê

Navigieren Sie im Objekt-Baum zum Objekt LDAP Server.

Ê

Markieren Sie das Objekt LDAP Server per Maus-Klick und wählen Sie

Modify Object

im zugehörigen Kontext-Menü.

Ê

Öffnen Sie im rechten Content-Frame das Other-Sheet.

Ê

Wählen Sie unter Valued Attributes die Option ldapBindRestrictions

Ê

Klicken Sie auf die Schaltfläche Edit.

Ê

Setzen Sie den Wert auf „0“.

Ê

Klicken Sie auf OK.

Ê

Klicken Sie im Other-Sheet auf die Schaltfläche Apply.

3. LDAP-Konfiguration neu laden.

Ê

Starten Sie ConsoleOne und loggen Sie sich in eDirectory ein.

Ê

Klicken Sie auf auf das Objekt Base DN links im Fenster (z.B.

Mycompany

). Auf der rechten Seite des Fensters wird das Objekt

LDAP server

angezeigt

Ê

Markieren Sie das Objekt LDAP Server per Klick mit der rechten

Maustaste und wählen Sie Properties... im zugehörigen Kontext-Menü.

202

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Ê

Klicken Sie auf der Registerkarte General auf Refresh NLDAP Server

Now

.

Zugang zu eDirectory via LDAP-Browser testen.

Nach erfolgreicher Durchführung der oben beschriebenen Schritte 1 - 3 sollten

Sie via LDAP Browser-Utility eine Verbindung zu eDirectory herstellen können.

Mit dem LDAP-Browser von Jarek Gavor (siehe Seite 220 ) können Sie dies wie

folgt testen:

Ê

Versuchen Sie, sich unter der Administratorkennung (im Beispiel: admin)

über eine SSL-Verbindung in eDirectory einzuloggen.

Falls der Versuch fehlschlägt, verfahren Sie wie folgt:

Ê

Prüfen Sie, ob SSL aktiviert ist (vergleiche Seite 201 ).

Bild 54: LDAP-Zugriff auf eDirectory testen: SSL aktiviert

Ê

Versuchen Sie, sich unter der Administratorkennung (im Beispiel: admin)

über eine nicht SSL-gesicherte Verbindung in eDirectory einzuloggen.

Benutzerverwaltung in ServerView

203

Globale Benutzerverwaltung für den iRMC S2/S3

Bild 55: LDAP-Zugriff auf eDirectory testen: SSL nicht aktiviert

Ê

Falls die Anmeldung erneut fehlschlägt:

Lockern Sie die Bind-Restriktionen (siehe Seite 201

).

7.2.6.4

iRMC S2/S3-Benutzerverwaltung in Novell eDirectory integrieren

I

Voraussetzung:

Eine LDAP v2-Struktur ist im eDirectory-Verzeichnisdienst generiert

(siehe

Abschnitt "SVS_LdapDeployer - Strukturen "SVS" und

"iRMCgroups" generieren, pflegen und löschen" auf Seite 169

).

Für die Integration der iRMC S2/S3-Benutzerverwaltung in Novell eDirectory sind die folgenden Schritte erforderlich:

– Principal iRMC User erzeugen.

– iRMC-Gruppen und Benutzerrechte in eDirectory vereinbaren.

– Benutzer den Berechtigungsgruppen zuordnen.

204

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

LDAP-Authentifizierungsprozess für iRMC S2/S3-Benutzer in eDirectory

Die Authentifizierung eines globalen iRMC S2/S3-Benutzers beim Login am

iRMC S2/S3 erfolgt nach einem fest vorgegebenen Schema (siehe Seite 156

).

Bild 56 auf Seite 205 veranschaulicht diesen Prozess für die globale iRMC

S2/S3-Benutzerverwaltung mithilfe von Novell eDirectory.

Das Herstellen einer Verbindung und die Anmeldung mit entsprechenden

Anmeldeinformationen wird als BIND-Operation bezeichnet.

1

SSL-basierte Kommunikation iRMC S2/S3:

Bind als Principal User iRMC S2/S3 ist authentifiziert iRMC S2/S3

2 iRMC S2/S3 ermittelt den

vollqualifizierten DN des User1 eDirectory

Benutzerberechtigungen

3

Bind mit User1 DN

User1 ist authentifiziert iRMC S2/S3 ermittelt die

Benutzerrechte des User1

4

1) Der iRMC S2/S3 loggt sich am eDirectory-Server mit vordefinierten, bekannten

Berechtigungsdaten (iRMC-Einstellung) als „Principal User“ ein und wartet auf den erfolgreichen Bind.

2)

Der iRMC S2/S3 erfragt vom eDirectory-Server den voll-qualifizierten

Distinguished Name (DN) des Benutzers mit „cn=User1“. eDirectory ermittelt den DN aus dem vorkonfigurierten Teilbaum (iRMC-Einstellung).

3) Der iRMC S2/S3 loggt sich am eDirectory-Server mit dem vollqualifizierten DN des Benutzers User1 ein und wartet auf den erfolgreichen Bind.

4) Der iRMC S2/S3 erfragt vom eDirectory-Server die Benutzerberechtigungen des Benutzers User1.

Bild 56: Authentifizierungsschema für globale iRMC S2/S3-Benutzerberechtigungen

Benutzerverwaltung in ServerView

205

Globale Benutzerverwaltung für den iRMC S2/S3

I

Die Berechtigungsdaten des "Principal User" sowie den Teilbaum, der die DNs enthält, konfigurieren Sie auf der Seite

Directory Service Configuration

der iRMC S2/S3-Web-Oberfläche

(siehe Handbuch "iRMC S2/S3 - integrated Remote Management

Controller").

I

Der CN eines Benutzers muss innerhalb des durchsuchten Teilbaums eindeutig sein.

Principal User (Principal Benutzer) für den iRMC S2/S3 erzeugen

Um einen Principal User für den iRMC S2/S3 zu erzeugen, gehen Sie wie folgt vor:

Ê

Loggen Sie sich mit gültigen Authentisierungsdaten beim iManager ein.

Ê

Wählen Sie Roles and Tasks.

Ê

Wählen Sie Users - Create User.

Ê

Tragen Sie die erforderlichen Angaben in das angezeigte Template ein.

I

Distinguished Name (DN) und Passwort des Principal User müssen mit entsprechenden Angaben für die Konfiguration des iRMC S2/S3

übereinstimmen (siehe Handbuch "iRMC S2/S3 - integrated Remote

Management Controller").

Der Context: des Benutzers kann sich an beliebiger Stelle im Baum befinden.

Ê

Erteilen Sie dem Principal User Suchberechtigung für die folgenden

Teilbäume:

– Teilbaum (OU) SVS

– Teilbaum (OU), der die Benutzer enthält (z.B. people).

Den iRMC-Gruppen und -Benutzern Benutzerrechte erteilen

Standardmäßig verfügt ein Objekt in eDirectory nur über sehr eingeschränkte

Abfrage- und Suchberechtigungen in einem LDAP-Baum. Damit ein Objekt alle

Attribute in einem oder mehreren Teilbäumen abfragen kann, müsse Sie diesem Objekt die entsprechenden Rechte zuweisen.

206

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Berechtigungen erteilen Sie wahlweise einem einzelnen Objekt (d.h. einem speziellen Benutzer) oder einer Gruppe von Objekten, die in einer

Organizational Unit (OU) wie z.B.SVS oder people zusammengefasst sind.

Dabei gehen Berechtigungen, die einer OU erteilt und als „inherited“ gekennzeichnet sind, automatisch auf die Objekte dieser Gruppe über.

I

Für die Integration der iRMC S2/S3-Benutzerverwaltung in Novell eDirectory ist es erforderlich, folgenden Objekten (Trustees)

Suchberechtigung zu erteilen:

– Principal User

– Teilbaum, der die iRMC S2/S3-Benutzer enthält

Wie Sie dabei im Einzelnen vorgehen ist nachfolgend beschrieben.

Um einem Objekt die Suchberechtigung für alle Attribute zu erteilen, verfahren

Sie wie folgt:

Ê

Starten Sie den iManager via Web-Browser.

Ê

Loggen Sie sich mit gültigen Authentisierungsdaten beim iManager ein.

Ê

Klicken Sie im iManager auf die Schaltfläche Roles and Tasks.

Ê

Wählen Sie im Strukturbaum Rights - Rights to Other Objects.

Die Seite Rights to Other Objects wird angezeigt.

Ê

Spezifizieren Sie unter Trustee Name den Namen des Objekts (in

Bild 57 auf Seite 208

SVS.sbdr4), dem die Berechtigung erteilt werden soll.

Ê

Spezifizieren Sie unter Context to Search From den eDirectory-Teilbaum

(SVS), den der iManager nach allen Objekten durchsuchen soll, für die der

Trustee Users zurzeit leseberechtigt ist.

Ê

Klicken Sie auf OK.

Eine Fortschrittanzeige informiert über den Stand der Suche. Nach

Abschluss des Suchvorgangs wird die Seite Rights to Other Objects angezeigt, die jetzt das Suchergebnis enthält (siehe

Bild 57 auf Seite 208 ).

Benutzerverwaltung in ServerView

207

Globale Benutzerverwaltung für den iRMC S2/S3

Bild 57: iManager - Roles and Tasks - Rights To Other Objects

I

Falls unter Object Name kein Objekt angezeigt wird, hat der Trustee zurzeit keine Berechtigung innerhalb des angegebenen Kontexts.

Ê

Erteilen Sie dem Trustee gegebenenfalls zusätzliche Berechtigung(en):

Ê

Klicken Sie auf Add Object.

Ê

Klicken Sie auf die Objektselektor-Schaltfläche, um das Objekt auszuwählen, für das Sie dem Trustee eine Berechtigung erteilen wollen.

Ê

Klicken Sie auf Assigned Rights.

Falls die Property [All Attributes Rights] nicht angezeigt wird:

Ê

Klicken Sie auf Add Property.

Das Add Property-Fenster wird angezeigt (siehe Bild 58 auf

Seite 209 ).

208

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Bild 58: iManager - Roles and Tasks - Rights To Other Objects - Add Property

Ê

Markieren Sie die Property [All Attributes Rights] und fügen Sie diese durch Klicken auf OK hinzu.

Ê

Aktivieren Sie für die Property [All Attributes Rights] die Optionen

Compare

, Read und Inherit und bestätigen Sie mit OK.

Damit sind Benutzer/Benutzergruppe zur Abfrage aller Attribute im

Teilbaum des ausgewählten Objekts autorisiert.

Ê

Klicken Sie auf Übernehmen, um Ihre Einstellungen zu aktivieren.

Benutzerverwaltung in ServerView

209

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.6.5

iRMC S2/S3-Benutzer einer Berechtigungsgruppe zuordnen

Die Zuordnung von iRMC S2/S3-Benutzern (z.B. der OU people) zu iRMC Berechtigungsgruppen können Sie wahlweise vornehmen

– ausgehend vom Benutzereintrag (günstig bei wenigen Benutzereinträgen) oder

– ausgehend vom Rolleneintrag / Gruppeneintrag (günstig bei vielen

Benutzereinträgen).

I

Nachfolgend ist exemplarisch die Zuordnung von iRMC S2/S3-

Benutzern einer OU people zu einer Berechtigungsgruppe dargestellt.

Erläutert wird dabei die vom Gruppeneintrag / Rolleneintrag ausgehende

Zuordnung.

Die Zuordnung ausgehend vom Benutzereintrag verläuft weitgehend analog.

I

In eDirectory müssen die Benutzer „von Hand“ in die Gruppen eingetragen werden.

Gehen Sie wie folgt vor:

Ê

Starten Sie den iManager via Web-Browser.

Ê

Loggen Sie sich mit gültigen Authentisierungsdaten beim iManager ein.

Ê

Wählen Sie Roles and Tasks.

Ê

Wählen Sie Groups - Modify Group.

Die Seite Modify Group wird angezeigt.

Ê

Führen Sie die folgenden Schritte für alle Berechtigungsgruppen durch, denen Sie iRMC S2/S3-Benutzer zuordnen wollen:

Ê

Klicken Sie auf die Objektselektor-Schaltfläche, um die

Berechtigungsgruppe auszuwählen, der Sie iRMC S2/S3-Benutzer hinzufügen wollen. Im Beispiel für die LDAP v2-Struktur (siehe

Bild 59 auf Seite 211

) ist dies:

Administrator.AuthorizationRoles.DeptX.Departments.SVS.sbrd4

.

210

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Ê

Wählen Sie die Registerkarte Members.

Die Registerkarte Members der Seite Modify Group wird angezeigt:

Bild 59: iManager - Roles and Tasks - Modify Group - Registerkarte ãMembers“

(LDAP v2)

Ê

Führen Sie den folgenden Schritt für alle Benutzer der OU people durch, die Sie der ausgewählten iRMC-Gruppe zuordnen wollen:

Ê

Klicken Sie auf die Objektselektor-Schaltfläche .

Das Object Selector (Browser)-Fenster wird geöffnet (siehe

Bild 60 auf Seite 212 ).

Benutzerverwaltung in ServerView

211

Globale Benutzerverwaltung für den iRMC S2/S3

212

Bild 60: Benutzer der iRMC-Gruppe zuordnen - Benutzer auswählen

Ê

Selektieren Sie im Object Selector (Browser)-Fenster den/die gewünschten Benutzer der OU people und bestätigen Sie Ihre

Auswahl mit OK.

Im Anzeigebereich der Registerkarte Members der Seite

Modify Group

werden die ausgewählten Benutzer angezeigt (siehe

Bild 59 auf Seite 211 ).

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Bild 61: Anzeige der ausgewählten iRMC S2/S3-Benutzer in der Registerkarte

„Members (LDAP v2)

Ê

Bestätigen Sie mit Apply oder OK, um die ausgewählten Benutzer zur iRMC-Gruppe (hier: ... .SVS.sbdr4) hinzuzufügen.

Benutzerverwaltung in ServerView

213

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.6.6

Tipps zur Administration von Novell eDirectory

NDS-Dämon neu starten

Für einen Neustart des NDS-Dämons gehen Sie wie folgt vor:

Ê

Öffnen Sie die Command Box.

Ê

Melden Sie sich mit Root-Berechtigung an.

Ê

Führen Sie das folgende Kommando aus: rcndsd restart

Falls sich der nldap-Dämon ohne ersichtlichen Grund nicht starten lässt:

Ê

Starten Sie den lndap-Dämon "von Hand":

/etc/init.d/nldap restart

Falls der iManager nicht reagiert:

Ê

Starten Sie den iManager neu:

/etc/init.d/novell-tomcat4 restart

Konfiguration des NLDAP-Servers neu laden

Gehen Sie wie folgt vor:

Ê

Starten Sie ConsoleOne und loggen Sie sich in eDirectory ein.

I

Wenn Sie ConsoleOne zum ersten Mal starten, ist noch kein Baum konfiguriert.

Zur Konfiguration eines Baums gehen Sie wie folgt vor:

Ê

Wählen Sie unter My World den Knoten NDS.

Ê

Wählen Sie in der Menü-Leiste: File - Authenticate

Ê

Geben Sie für das Login die folgenden Authentisierungsdaten ein:

1. Login-Name: root

2. Passwort: <passwort>

3. Tree: MY_TREE

4. Context: mycompany

214

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Ê

Klicken Sie links im Fenster auf das Base DN-Objekt (Mycompany).

Auf der rechten Fensterseite wird dann das LDAP Server-Objekt angezeigt.

Ê

Klicken Sie mit der rechten Maustaste auf das LDAP Server-Objekt und wählen Sie Properties... im Kontext-Menü.

Ê

Klicken Sie in der Registerkarte General auf die Schaltfläche

Refresh NLDAP Server Now

.

NDS Meldungs-Trace konfigurieren

Der nds-Dämon erzeugt Debug-und Log-Meldungen, die Sie mit dem Tool

ndstrace

verfolgen können. Zweck der im Folgenden beschriebenen

Konfiguration ist es, den Terminal-Output von ndstrace in eine Datei umzuleiten und sich den Inhalt dieser Datei an einem anderen Terminal anzeigen zu lassen. Für Letzteres verwenden Sie das Tool screen.

Es empfiehlt sich folgende Vorgehensweise:

Ê

Öffnen Sie die Command Box (z.B. bash).

ndstrace konfigurieren

Ê

Wechseln Sie in das eDirectory-Verzeichnis /home/eDirectory: cd /home/eDirectory

Ê

Starten Sie screen mit dem Kommando screen.

Ê

Starten Sie ndstrace mit dem Kommando ndstrace.

Ê

Selektieren Sie die Module, die Sie aktivieren wollen.

Wenn Sie sich z.B. die Zeitpunkte anzeigen lassen wollen, an denen

Ereignisse eingetreten sind, geben Sie dstrace TIME ein.

I

Es wird dringend empfohlen, die Module LDAP und TIME durch folgende Eingabe zu aktivieren: dstrace LDAP TIME

Ê

Beenden Sie ndstrace durch Eingabe von quit.

Damit ist die Konfiguration von ndstrace abgeschlossen.

Benutzerverwaltung in ServerView

215

Globale Benutzerverwaltung für den iRMC S2/S3

Meldungsausgabe auf zweites Terminal umleiten

Ê

Starten Sie ndstrace und leiten Sie die Meldungsausgabe um: ndstrace -l >ndstrace.log

Ê

Öffnen Sie ein zweites Terminal mithilfe der folgenden Tastenkombination:

[Ctrl]

+ [a], [Ctrl] + [c]

Ê

Schalten Sie den Mitschnitt der Protokollierung ein: tail -f ./ndstrace.log

Ê

Um zwischen den virtuellen Terminals hin- und herzuschalten, verwenden

Sie die Tastenkombination [Ctrl] + [a], [Ctrl] + [0].

(Die Terminals sind von 0 bis 9 durchnummeriert.)

216

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.7

iRMC S2/S3-Benutzerverwaltung via OpenLDAP

Dieser Abschnitt informiert über folgende Themen:

– OpenLDAP installieren (Linux).

– SSL-Zertifikat erzeugen.

– OpenLDAP konfigurieren.

– iRMC S2/S3-Benutzerverwaltung in OpenLDAP integrieren.

– Tipps zur Administration von OpenLDAP

7.2.7.1

OpenLDAP installieren

I

Vor der Installation von OpenLDAP müssen Sie die Firewall für

Verbindungen zu den Ports 389 und 636 konfigurieren.

Bei OpenSuSE verfahren Sie hierfür wie folgt:

Ê

Ergänzen Sie in der Datei /etc/sysconfig/SuSEfirewall2 die Option

FW_SERVICES_EXT_TCP

wie folgt:

FW_SERVICES_EXT_TCP=“389 636“

Zur Installation der Packages OpenSSL und OpenLDAP2 vom

Distributionsmedium verwenden Sie das Setup-Tool YaST.

7.2.7.2

SSL-Zertifikate erzeugen

Es soll ein Zertifikat mit folgenden Eigenschaften erzeugt werden:

– Schlüssellänge: 1024 bit

– md5RSAEnc

Schlüsselpaare und signierte Zertifikate (selbstsigniert oder von einer externen

CA signiert) erzeugen Sie mithilfe von OpenSSL. Nähere Informationen hierzu finden Sie auf der OpenSSL-Homepage unter

http://www.openssl.org

.

Unter den folgenden Links finden Sie Anleitungen zur Einrichtung einer CA und zum Erstellen von Test-Zertifikaten:

–

http://www.akadia.com/services/ssh_test_certificate.html

–

http://www.freebsdmadeeasy.com/tutorials/web-server/apache-ssl-certs.php

–

http://www.flatmtn.com/computer/Linux-SSLCertificates.html

–

http://www.tc.umn.edu/~brams006/selfsign.html

Benutzerverwaltung in ServerView

217

Globale Benutzerverwaltung für den iRMC S2/S3

Als Ergebnis der Zertifikatserstellung müssen die folgenden drei PEM-Dateien vorliegen:

– Root-Zertifikat: root.cer.pem

– Server-Zertifikat: server.cer.pem

– Private Key: server.key.pem

I

Der Private Key darf nicht mit einer Passphrase verschlüsselt sein, da

Sie nur dem LDAP-Dämon (ldap) Leseberechtigung für die Datei

server.key.pem

erteilen sollten.

Die Passphrase entfernen Sie mit folgendem Kommando: openssl rsa -in server.enc.key.pem -out server.key.pem

7.2.7.3

OpenLDAP konfigurieren

Zur Konfiguration von OpenLDAP gehen Sie wie folgt vor:

Ê

Starten Sie das Setup-Tool YaST und wählen Sie LDAP-Server-

Configuration

.

Ê

Aktivieren Sie unter Global Settings/Allow Settings die Einstellung

LDAPv2-Bind

.

Ê

Wählen Sie Global Settings/TLS Settings:

Ê

Aktivieren Sie die Einstellung TLS.

Ê

Geben Sie die Pfade der bei der Installation erstellten Dateien bekannt

(siehe

Abschnitt "OpenLDAP installieren" auf Seite 217

).

Ê

Stellen Sie sicher, dass Zertifikate und Privater Schlüssel im

Dateisystem vom LDAP-Service gelesen werden können.

Da openldap unter der uid/guid=ldap ausgeführt wird, können Sie dies z.B. erreichen, indem Sie

– den Eigentümer der Dateien mit Zertifikaten und privaten Schlüsseln auf „ldap“ setzen oder

– dem LDAP-Dämon ldap die Leseberechtigung auf die Dateien mit

Zertifikaten und privaten Schlüsseln erteilen.

Ê

Wählen Sie Databases, um eine neue Datenbank zu erzeugen.

218

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

I

Falls die von YaST erstellte Konfiguration generell nicht funktioniert, prüfen Sie die Konfigurationsdatei /etc/openldap/slapd.conf auf folgende zwingend erforderlichen Einträge: allow bind_v2

TLSCACertificateFile /path/to/ca-certificate.pem

TLSCertificateFile /path/to/certificate.pem

TLSCertificateKeyFile /path/to/privat.key.pem

I

Falls die von YaST erstellte Konfiguration für SSL nicht funktioniert, prüfen Sie die Konfigurationsdatei /etc/sysconfig/openldap auf folgenden Eintrag:

OPENLDAP_START_LDAPS=“yes“

Benutzerverwaltung in ServerView

219

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.7.4

iRMC S2/S3-Benutzerverwaltung in OpenLDAP integrieren

I

Voraussetzung:

Eine LDAP v2-Struktur ist im OpenLDAP-Verzeichnisdienst generiert

(siehe Abschnitt "SVS_LdapDeployer - Strukturen "SVS" und

"iRMCgroups" generieren, pflegen und löschen" auf Seite 169

).

Die Integration der iRMC S2/S3-Benutzerverwaltung in OpenLDAP umfasst die folgenden Schritte:

– Principal iRMC User erzeugen.

– Neuen iRMC S2/S3-Benutzer erzeugen und der Berechtigungsgruppe zuordnen.

I

Verwenden Sie zur Erzeugung des Principal User (ObjectClass: Person) einen LDAP-Browser, z.B. den LDAP Browser\Editor von Jarek Gawor

(siehe

Seite 220

).

LDAP Browser\Editor von Jarek Gawor

Den LDAP Browser\Editor von Jarek Gawor können Sie über eine grafische

Oberfläche einfach bedienen.

Das Tool steht im Internet zum Download zur Verfügung.

Zur Installation des LDAP Browser\Editor verfahren Sie wie folgt:

Ê

Entpacken Sie das Zip-Archiv Browser281.zip in ein

Installationsverzeichnis Ihrer Wahl.

Ê

Setzen Sie die Umgebungsvariable JAVA_HOME auf das

Installationsverzeichnis der JAVA-Laufzeitumgebung, z. B.:

JAVA_HOME=C:\Program Files\Java\jre7

220

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Principal User (Principal Benutzer) erzeugen

I

Verwenden Sie zur Erzeugung des Principal User (ObjectClass: Person) einen LDAP-Browser, z.B. den LDAP Browser\Editor von Jarek Gawor

(siehe

Seite 220 ).

Im Folgenden ist beschrieben, wie Sie den Principal User mithilfe des

LDAP Browser\Editor von Jarek Gawor erzeugen.

Gehen Sie wie folgt vor:

Ê

Starten Sie den LDAP Browser.

Ê

Loggen Sie sich beim OpenLDAP-Verzeichnisdienst mit gültigen

Authentisierungsdaten ein.

Ê

Wählen Sie den Teilbaum (Untergruppe), in dem der Principal User angelegt werden soll. Der Principal User kann an beliebiger Stelle dieses Baums angelegt werden.

Ê

Öffnen Sie das Menü Edit.

Ê

Wählen Sie Add Entry.

Ê

Wählen Sie Person.

Ê

Ändern Sie den Distinguished Name DN.

I

Distinguished Name (DN) und Passwort des Principal User müssen mit entsprechenden Angaben für die Konfiguration des iRMC S2/S3

übereinstimmen (siehe Handbuch "iRMC S2/S3 - integrated Remote

Management Controller").

Ê

Klicken Sie auf Set und geben Sie ein Passwort ein.

Ê

Geben Sie einen Nachnamen (Surname) SN ein.

Ê

Klicken Sie auf Apply.

Benutzerverwaltung in ServerView

221

Globale Benutzerverwaltung für den iRMC S2/S3

Neuen iRMC S2/S3-Benutzer erzeugen und der Berechtigungsgruppe zuordnen

I

Verwenden Sie für Erzeugung eines neuen Benutzers (ObjectClass

Person

) sowie zur Zuordnung eines Benutzers zur

Berechtigungsgruppe einen LDAP-Browser, z.B. den LDAP

Browser\Editor von Jarek Gawor (siehe

Seite 220

).

Im Folgenden ist beschrieben, wie Sie mithilfe des LDAP Browser\Editor von Jarek Gawor einen neuen iRMC S2/S3-Benutzer erzeugen und ihn zur Berechtigungsgruppe hinzufügen.

Gehen Sie wie folgt vor:

Ê

Starten Sie den LDAP Browser.

Ê

Loggen Sie sich beim OpenLDAP-Verzeichnisdienst mit gültigen

Authentisierungsdaten ein.

Ê

Erzeugen Sie einen neuen Benutzer:

Gehen Sie hierbei wie folgt vor:

Ê

Wählen Sie den Teilbaum (Untergruppe), in dem der neue Benutzer angelegt werden soll. Der neue Benutzer kann an beliebiger Stelle des

Baums angelegt werden.

Ê

Öffnen Sie das Menü Edit.

Ê

Wählen Sie Add Entry.

Ê

Wählen Sie Person.

Ê

Ändern Sie den Distinguished Name DN.

Ê

Klicken Sie auf Set und geben Sie das Passwort ein.

Ê

Geben Sie einen Nachnamen (Surname) SN ein.

Ê

Klicken Sie auf Apply.

222

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Ê

Ordnen Sie den soeben erzeugten Benutzer der Berechtigungsgruppe zu.

Gehen Sie hierbei wie folgt vor:

Ê

Wählen Sie den Teilbaum (Untergruppe) von SVS, dem der Benutzer angehören soll, d.h.

cn=UserKVM,ou=YourDepartment,ou=Departments,ou=SVS, dc=myorganisation,dc=mycompany

Ê

Öffnen Sie das Menü Edit.

Ê

Wählen Sie Add Attribute.

Ê

Geben Sie als Attributnamen „Member“ ein. Als Wert geben Sie den vollqualifizierten DN zuvor erzeugten Benutzers an, also

cn=UserKVM,ou=YourDepartment,ou=Departments,ou=SVS, dc=myorganisation,dc=mycompany

Benutzerverwaltung in ServerView

223

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.7.5

Tipps zur Administration von OpenLDAP

LDAP-Service neu starten

Um den LDAP-Service neu zu starten, verfahren Sie wie folgt:

Ê

Öffnen Sie die Command Box.

Ê

Melden Sie sich mit Root-Berechtigung an.

Ê

Geben Sie das folgende Kommando ein: rcldap restart

Meldungsprotokollierung

Für das Meldungslogging nutzt der LDAP-Dämon das Syslog-Protokoll.

I

Die protokollierten Meldungen werden nur angezeigt, wenn in der Datei

/etc/openldap/slapd.conf

ein Log-Level ungleich 0 eingestellt ist.

Erläuterungen zu den verschiedenen Leveln finden Sie unter:

http://www.zytrax.com/books/ldap/ch6/#loglevel

Tabelle 35 auf Seite 225 gibt einen Überblick über die Log-Level und ihre

Bedeutung.

224

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

32

64

128

256

512

1024

2048

2

4

8

16

Log-Level Bedeutung

-1

0

1 umfassendes Debugging kein Debugging

Funktionsaufrufe protokollieren

Paketverarbeitung testen

Heavy Trace Debugging

Verbindungsmanagement

Gesendete und empfangene Pakete anzeigen

Suchfilterverarbeitung

Konfigurationsdateiverarbeitung

Verarbeitung der Zugangskontrolllisten

Status-Logging für Verbindungen / Operationen /Ergebnisse

Status-Logging für gesendete Einträge

Kommunikation mit den Shell Backends ausgeben.

Ergebnisse des Entry Parsings ausgeben.

Tabelle 35: OpenLDAP - Log-Level

Benutzerverwaltung in ServerView

225

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.8

E-Mail-Benachrichtigung an globale iRMC S2/S3-

Benutzer konfigurieren

Die E-Mail-Benachrichtigung an globale iRMC S2/S3-Benutzer ist in die globale iRMC S2/S3-Benutzerverwaltung integriert. Das heißt, dass zentral und

Plattform-übergreifend über einen Verzeichnisserver konfiguriert und abgewickelt werden kann. Entsprechend konfigurierte globale

Benutzerkennungen können E-Mail-Benachrichtigungen von allen iRMC S2/S3 erhalten, die mit dem Verzeichnisserver im Netz verbunden sind.

I

Voraussetzungen

Für die E-Mail-Benachrichtigung müssen folgende Voraussetzungen erfüllt sein:

– Globale E-Mail-Benachrichtigung setzt eine iRMC S2/S3-Firmware der Version 3.77A oder höher voraus, da eine LDAP v2-Struktur benötigt wird.

– In der iRMC S2/S3-Web-Oberfläche muss ein Principal Benutzer konfiguriert sein, der berechtigt ist, im LDAP-Verzeichnisbaum

(LDAP Tree) zu suchen (siehe Handbuch "iRMC S2/S3 - integrated

Remote Management Controller").

– Bei der Konfiguration der LDAP-Einstellungen auf der Seite

Verzeichnisdienst Konfiguration

muss unter Verzeichnisdienst E-

Mail Benachrichtigung

die E-Mail-Benachrichtigung konfiguriert sein (siehe Handbuch "iRMC S2/S3 - integrated Remote

Management Controller").

226

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.8.1

Globale E-Mail-Benachrichtigung

Die globale E-Mail-Benachrichtigung via Verzeichnisserver erfordert

Benachrichtigungsgruppen (Alert Roles). Diese werden zusätzlich zu den

Authorization Roles in der Konfigurationsdatei des SVS_LdapDeployer

angegeben (siehe Seite 169

).

Benachrichtigungsgruppen (Alert Roles) anzeigen

Eine Benachrichtigungsgruppe umfasst eine Auswahl definierter

Benachrichtigungstypen (Alert Types, z.B. Temperaturüberschreitung) mit jeweils zugeordnetem Fehlergewicht (Severity, z.B. „kritisch“). Für Benutzer, die einer bestimmten Benachrichtigungsgruppe zugeordnet sind, legt die

Benachrichtigungsgruppe fest, bei welchen Benachrichtigungstypen und

Fehlergewichten die Benutzer per E-Mail benachrichtigt werden.

Die Syntax der Alert Roles ersehen Sie aus den Beispiel-Konfigurationsdateien

Generic_Settings.xml

und Generic_InitialDeploy.xml, die zusammen mit dem jar-Archiv SVS_LdapDeployer.jar auf der ServerView Suite DVD ausgeliefert werden.

Benachrichtigungstypen (Alert Types) anzeigen

Folgende Benachrichtigungstypen werden unterstützt:

Benachrichtigungstyp Ursache

FanSens Lüfter-Sensoren

Temperat Temperatur-Sensoren

Security Security

SysHang System-Hang

POSTErr Systemstart-Fehler

SysStat

DDCtrl

Systemstatus

Festplatten und Controller

NetInterf Netzwerk-Schnittstelle

SysPwr

Memory

Others

Energieverwaltung (Power Management)

Memory

Sonstiges

Tabelle 36: Benachrichtigungstypen (Alert-Types)

Benutzerverwaltung in ServerView

227

Globale Benutzerverwaltung für den iRMC S2/S3

Jedem Benachrichtigungstyp kann eines der folgenden Fehlergewichte

(Severity Level) zugeordnet werden: Warning, Critical, All, (none).

Bevorzugter Mail Server

Bei globaler E-Mail-Benachrichtigung gilt für den bevorzugten Mail-Server die

Einstellung Automatic: Falls die E-Mail nicht sofort erfolgreich versendet werden kann, weil z.B. der erste Mail-Server nicht verfügbar ist, wird E-Mail an den zweiten Mail-Server gesendet.

Unterstützte Mail-Formate

Es werden die folgenden Mail-Formate unterstützt:

– Standard

– Fixed Subject

– ITS-Format

– Fujitsu REMCS Format

I

Bei einem Mail-Format ungleich Standard müssen Sie die Benutzer der entsprechenden Mail-Format-Gruppe hinzufügen.

LDAP E-Mail-Tabelle

Wenn die E-Mail-Benachrichtigung konfiguriert ist (siehe

Seite 230

) und die

Option LDAP E-Mail aktiviert gesetzt ist, sendet der iRMC S2/S3 im Fall einer

Alarmbenachrichtigung E-Mails an (siehe auch Handbuch "iRMC S2/S3 - integrated Remote Management Controller"):

– alle entsprechend konfigurierten lokalen iRMC S2/S3-Benutzer,

– alle globalen iRMC S2/S3-Benutzer, die in der LDAP E-Mail-Tabelle für diese Alarmbenachrichtigung registriert sind.

Die LDAP E-Mail-Tabelle wird in der iRMC S2/S3-Firmware erstmalig beim

Erststart des iRMC S2/S3 angelegt und danach in regelmäßigen Abständen aktualisiert. Der Umfang der LDAP E-Mail-Tabelle ist begrenzt auf maximal 64

LDAP-Benachrichtigungsgruppen sowie auf maximal 64 globale iRMC S2/S3-

Benutzer, für die E-Mail-Benachrichtigung konfiguriert ist.

I

Es wird empfohlen, für die globale E-Mail-Benachrichtigung E-Mail-

Verteiler zu verwenden.

228

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Für die E-Mail-Benachrichtigung ermittelt der LDAP-Verzeichnisserver aus der

E-Mail-Tabelle folgende Informationen:

●

Liste der globalen iRMC S2/S3-Benutzer, für die E-Mail-Benachrichtigung konfiguriert ist.

Für jeden globalen iRMC S2/S3-Benutzer:

●

– Liste der konfigurierten Alarmbenachrichtigungen des jeweiligen Alerts

(Art und Fehlergewicht)

– Gewünschtes Mail-Format

Die LDAP E-Mail-Tabelle wird bei folgenden Anlässen aktualisiert:

– Erst-/Neustart des iRMC S2/S3

– Änderung der LDAP-Konfiguration

– In regelmäßigen Abständen (optional). Das Aktualiserungsintervall legen

Sie bei der LDAP-Konfiguration in der iRMC S2/S3-Web-Oberfläche fest

(unter der Option LDAP E-Mail Tabellen aktualisieren (siehe Handbuch

"iRMC S2/S3 - integrated Remote Management Controller" und

OptionLDAP E-Mail Tabellen aktualisieren).

Benutzerverwaltung in ServerView

229

Globale Benutzerverwaltung für den iRMC S2/S3

Globale E-Mail-Benachrichtigung auf dem Verzeichnisserver konfigurieren

Nachfolgend ist beschrieben, wie Sie die E-Mail-Benachrichtigung auf dem

Verzeichnisserver konfigurieren.

I

Zusätzlich sind Einstellungen für den iRMC S2/S3 erforderlich. Sie konfigurieren diese an der iRMC S2/S3-Web-Oberfläche (siehe

Handbuch "iRMC S2/S3 - integrated Remote Management Controller").

Gehen Sie wie folgt vor:

Ê

Tragen Sie im Verzeichnisdienst die E-Mail-Adressen der Benutzer ein, an die E-Mails gesendet werden sollen.

I

Das Verfahren zur Konfiguration der E-Mail Adresse unterscheidet sich je nach verwendetem Verzeichnisdienst (Active Directory, eDirectory oder OpenLdap).

Ê

Erstellen Sie eine Konfigurationsdatei, in der die Alert Roles definiert sind.

Ê

Starten Sie den SVS_LdapDeployer mit dieser Konfigurationsdatei, um eine entsprechende LDAP v2-Struktur (SVS) auf dem Verzeichnisserver zu generieren (siehe

Seite 170 und

Seite 176 ).

230

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.8.2

Benachrichtigungsgruppen (Alert Roles) anzeigen

Nach der Generierung der LDAP v2-Struktur wird z.B. in Active Directory die neu angelegte OU SVS mit den Komponenten Alert Roles und Alert Types unter Declarations sowie mit der Komponente Alert Roles unter DeptX angezeigt (siehe

Bild 62

):

– Unter Declarations zeigt Alert Roles alle definierten Alert Roles an,

Alert Types

werden alle Benachrichtigungstypen angezeigt (1).

– Unter DeptX zeigt Alert Roles alle in der OU DeptX gültigen Alert Roles an

(2).

(1)

(2)

Bild 62: OU SVS mit Alert Roles

I

Damit an die Benutzer der einzelnen Benachrichtigungsgruppen E-Mails versendet werden, muss am iRMC S2/S3 die zugehörige Abteilung

(Department, in

Bild 62

: DeptX) konfiguriert sein (siehe Handbuch

"iRMC S2/S3 - integrated Remote Management Controller").

Benutzerverwaltung in ServerView

231

Globale Benutzerverwaltung für den iRMC S2/S3

Wenn Sie im Strukturbaum von Active Directory-Benutzer und -Computer

(siehe

Bild 63

) unter SVS – Departments – DeptX – Alert Roles eine

Benachrichtigungsgruppe (Alert Role, z.B. StdSysAlerts) auswählen (1) und via Kontextmenü Eigenschaften – Mitglieder den Eigenschaften-Dialog für diese Benachrichtigungsgruppe öffnen, werden in der Registerkarte Mitglieder die Benutzer angezeigt (2), die der Benachrichtigungsgruppe (hier:

StdSysAlerts

) angehören.

(2)

(1)

Bild 63: Benutzer mit der Alert Role „StdSysAlert“

232

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.8.3

iRMC S2/S3-Benutzer einer Benachrichtigungsgruppe (Alert

Role) zuordnen

Die Zuordnung von iRMC S2/S3-Benutzern zu Benachrichtigungsgruppen

(Alert Roles) können Sie wahlweise vornehmen

– ausgehend vom Benutzereintrag oder

– ausgehend vom Rolleneintrag.

In the various different directory services (Microsoft Active Directory, Novell eDirectory and OpenLDAP), iRMC S2/S3 users are assigned to iRMC S2/S3 alert roles in the same way in which iRMC S2/S3 users are assigned to iRMC S2/S3 authorization roles and using the same tools.

In Active Directory z.B. treffen Sie die Zuordnung über die Schaltfläche Add... im Eigenschaften-Dialog des Snap-in Active Directory Benutzer und -

Computer

(siehe Bild 63 auf Seite 232 ).

Benutzerverwaltung in ServerView

233

Globale Benutzerverwaltung für den iRMC S2/S3

7.2.9

SSL Copyright

Die iRMC S2/S3-LDAP-Integration verwendet die auf dem OpenSSL Project basierende SSL Implementation von Eric Young.

234

Benutzerverwaltung

Globale Benutzerverwaltung für den iRMC S2/S3

Benutzerverwaltung in ServerView

235

Globale Benutzerverwaltung für den iRMC S2/S3

236

Benutzerverwaltung

8 Anhang 2 - Globale iRMC S4-

Benutzerverwaltung via

Verzeichnisdienst

Die Benutzerverwaltung für den iRMC S4 verwendet zwei verschiedene Arten von Benutzerkennungen:

– Lokale Benutzerkennungen sind lokal im nicht-flüchtigen Speicher des iRMC S4 hinterlegt und werden über die Benutzerschnittstellen des iRMC

S4 verwaltet.

– Globale Benutzerkennungen sind in der zentralen Datenhaltung eines

Verzeichnisdienstes (Directory Service) hinterlegt und werden über die

Schnittstellen dieses Verzeichnisdienstes verwaltet.

Für die globale iRMC S4-Benutzerverwaltung werden zurzeit folgende

Verzeichnisdienste unterstützt:

– Microsoft

®

– Novell

®

Active Directory

eDirectory

– OpenLDAP

– OpenDS / OpenDJ / ApacheDS

Das vorliegende Kapitel informiert über folgende Themen:

– Konzept der Benutzerverwaltung für den iRMC S4

– Benutzerberechtigungen

– Globale Benutzerverwaltung am iRMC S4

I

Einzelheiten zur lokalen Benutzerverwaltung des iRMC S4 finden Sie im

Handbuch „iRMC S4 - integrated Remote Management Controller“.

I

Wenn der ServerView-internen Verzeichnisdienst (ApacheDS) auf JBoss läuft, twird die Funktionalität der E-Mail-Einstellungen des iRMC S4 nicht unterstützt.

User Management in ServerView

237

Konzept der Benutzerverwaltung für den iRMC S4

8.1

Konzept der Benutzerverwaltung für den iRMC S4

Die Benutzerverwaltung für den iRMC S4 unterstützt die parallele Verwaltung lokaler und globaler Benutzerkennungen.

Bei der Validierung der Authentifizierungsdaten (Benutzername, Passwort), die ein Benutzer beim Login an einer der iRMC S4-Schnittstellen eingibt, verfährt der iRMC S4 gemäß dem folgenden Ablauf (siehe auch

Bild 64 auf Seite 239

):

1. Der iRMC S4 gleicht den Benutzernamen und das Passwort mit den lokal gespeicherten Benutzerkennungen ab:

●

Bei erfolgreicher Authentifizierung des Benutzers durch den iRMC S4

(Benutzername und Passwort sind gültig) darf sich der Benutzer einloggen.

●

Andernfalls setzt der iRMC S4 die Prüfung mit Schritt 2. fort.

2. Der iRMC S4 authentisiert sich beim Directory Service via LDAP mit

Benutzernamen und Passwort, ermittelt per LDAP-Anfrage die

Benutzerrechte und prüft, ob der Benutzer damit am iRMC S4 arbeiten darf.

238

User Management in ServerView

Konzept der Benutzerverwaltung für den iRMC S4

iRMC S4-Web-

Schnittstelle

Login

SSL

SSH

Login

SSH

Telnet

Login

Benutzername, Passwort

Serielle

Schnittstelle

Login

SSL

SSH iRMC S4 lokale Benutzerkennungen

SSL

Benutzername, Passwort

SSL

LDAP-Login

Verzeichnisdienst globale Benutzerkennungen

Bild 64: Login-Authentifizierung durch den iRMC S4

I

Die Nutzung von SSL für die LDAP-Verbindung zwischen dem iRMC S4 und dem Directory Service ist optional, wird jedoch empfohlen. Eine

SSL-gesicherte LDAP-Verbindung zwischen iRMC S4 und Directory

Service garantiert den sicheren Austausch der Daten, insbesondere auch von Benutzernamen und Passwort.

SSL-Login über die iRMC S4-Web-Oberfläche ist nur dann erforderlich, wenn LDAP aktiviert ist (LDAP enable siehe Handbuch "iRMC S4 integrated Remote Management Controller").

User Management in ServerView

239

Globale Benutzerverwaltung für den iRMC S4

8.2

Globale Benutzerverwaltung für den iRMC S4

Die globalen Benutzerkennungen für den iRMC S4 werden zentral für alle

Plattformen mithilfe eines LDAP-Directory Service verwaltet.

Für die iRMC S4-Benutzerverwaltung werden zurzeit folgende

Verzeichnisdienste unterstützt:

– Microsoft

®

Active Directory

– Novell

®

eDirectory

– OpenLDAP

– OpenDS / ForgeRock’s OpenDJ

Dieser Abschnitt informiert über folgende Themen:

– Überblick über die globale Benutzerverwaltung für den iRMC S4

– Konzept der globalen Benutzerverwaltung für den iRMC S4 mithilfe eines

LDAP-Verzeichnisdienstes

– Globale iRMC S4-Benutzerverwaltung im Verzeichnisdienst konfigurieren

(iRMC / iRMC S4-spezifische Berechtigungsstrukturen im Verzeichnisdienst generieren).

– Globale iRMC S4-Benutzerverwaltung via Microsoft Active Directory

– Globale iRMC S4-Benutzerverwaltung via Novell eDirectory

– Globale iRMC S4-Benutzerverwaltung via OpenLDAP / OpenDS / OpenDJ

I

Neben den in diesem Abschnitt beschriebenen Maßnahmen, die Sie auf

Seiten des Verzeichnisdienstes durchführen, erfordert die globale

Benutzerverwaltung außerdem die Konfiguration der lokalen LDAP-

Einstellungen am iRMC S4.

Die lokalen LDAP-Einstellungen konfigurieren Sie wahlweise (siehe

Handbuch "iRMC S2/S3 - integrated Remote Management Controller"):

– an der iRMC S2/S3-Web-Oberfläche (siehe Handbuch „iRMC S4 - integrated Remote Management Controller"),

– mithilfe des Server Configuration Managers.

I

Beachten Sie bitte Folgendes:

240

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Die Konfiguration der Einstellungen für die globale iRMC S4-

Benutzerverwaltung erfordert detaillierte Kenntnisse des verwendeten

Verzeichnisdienstes. Nur Personen, die über hinreichende Kenntnisse verfügen, sollten die Konfiguration durchführen.

User Management in ServerView

241

Globale Benutzerverwaltung für den iRMC S4

8.2.1

Overview

Die globalen Benutzerkennungen für den iRMC S4 (wie auch für den iRMC) werden zentral und Plattform-übergreifend im Verzeichnis (Directory) eines

Verzeichnisdienstes abgelegt. Auf diese Weise lassen sich die

Benutzerkennungen auf einem zentralen Server verwalten. Die

Benutzerkennungen können somit von allen iRMC S4s verwendet werden, die mit diesem Server im Netz verbunden sind.

Der Einsatz eines Verzeichnisdienstes für den iRMC S4 ermöglicht es darüber hinaus, für das Anmelden an den iRMC S4 dieselben Benutzerkennungen zu verwenden wie für das Anmelden am Betriebssystem der verwalteten Server.

I

Für die folgenden iRMC S4-Funktionen wird zurzeit die globale

Benutzerverwaltung nicht unterstützt:

– Login via IPMI-over-LAN

– Text-Konsolen-Umleitung via SOL iRMC 1

Login

Authentifizierung

Login

Authentifizierung

Verzeichnisdienst globale Benutzerkennungen iRMC 2

. . .

iRMC n

Login

Authentifizierung

Bild 65: Gemeinsame Nutzung der globalen Benutzerkennungen durch mehrere iRMCs

Die Kommunikation zwischen den einzelnen iRMC S4 und dem zentralen

Verzeichnisdienst wird über das TCP/IP-Protokoll LDAP (Lightweight Directory

A

ccess Protocol) abgewickelt. LDAP ermöglicht den Zugriff auf die gängigsten zur Benutzerverwaltung geeigneten Verzeichnisdienste. Die Kommunikation

über LDAP kann optional durch SSL abgesichert werden.

242

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

8.2.2

iRMC S4-Benutzerverwaltung über einen

LDAP Verzeichnisdienst (Konzept)

I

Das im Folgenden erläuterte Konzept einer Verzeichnisdienstgestützten, globalen iRMC S4-Benutzerverwaltung gilt gleichermaßen für die Verzeichnisdienste Microsoft Active Directory, Novell eDirectory,

OpenLDAP und OpenDS / OpenDJ. Die Abbildungen zeigen exemplarisch die Konsole Active Directory-Benutzer und -Computer der Benutzeroberfläche von Microsoft Active Directory.

I

Die folgenden Zeichen sind in LDAP als Meta-Zeichen für Such-Strings reserviert: *, \, &, (, ), |, !, =, <, >, ~, :

Verwenden Sie diese Zeichen deshalb nicht als Bestandteil von Relative

Distinguished Names (RDN).

8.2.2.1

Globale iRMC S4-Benutzerverwaltung über

Berechtigungsgruppen und Rollen

Die globale iRMC S4-Benutzerverwaltung mithilfe eines LDAP-

Verzeichnisservers (LDAP Directory Server) erfordert keine Erweiterung des

Standard-Schemas des Verzeichnisservers. Vielmehr werden sämtliche für den iRMC S4 relevanten Informationen einschließlich der Benutzerberechtigungen

(Privilegien) über zusätzliche LDAP-Gruppen und Organisationseinheiten

(Organizational Units, OU) bereitgestellt, die in einer separaten OU innerhalb einer Domäne des LDAP-Verzeichnisservers in separaten OUs zusammengefasst sind (siehe

Bild 67 auf Seite 246

).

iRMC S4-Benutzer erhalten ihre Privilegien über die Zuweisung einer in der

Organizational Unit (OU) SVS .

Rechtevergabe über Benutzerrollen (kurz: Rollen, Role)

Die globalen Benutzerverwaltung am iRMC S4 (Firmware-Version 3.77 oder höher) regelt die Rechtevergabe über Benutzerrollen. Dabei definiert jede Rolle ein spezifisches, aufgabenorientiertes Berechtigungsprofil für Tätigkeiten am iRMC S4.

Jedem Benutzer können mehrere Rollen zugewiesen werden, sodass sich die

Rechte dieses Benutzers aus der Gesamtheit der Rechte aller zugewiesenen

Rollen ableiten.

User Management in ServerView

243

Globale Benutzerverwaltung für den iRMC S4

Bild 66

skizziert das Konzept der rollenbasierten Vergabe von

Benutzerberechtingungen mit den Rollen Administrator, Maintenance,

Observer

und UserKVM.

Hr. Müller Fr. Meyer Hr. Bäcker

Administrator Maintenance Observer UserKVM

Benutzerverwalt.

AVR

Rem. Storage iRMC Settings iRMC Info

Bild 66: Rollenbasierten Vergabe von Benutzerberechtigungen

Das Konzept der Benutzerrollen bietet u.a folgende wesentlichen Vorteile:

– Die einzelnen Berechtigungen müssen nicht jedem Benutzer oder jeder

Benutzergruppe separat zugewiesen werden. Sondern sie werden nur der

Benutzerrolle zugewiesen.

– Wenn sich die Berechtigungsstruktur ändert, müssen nur die Rechte der

Benutzerrolle angepasst werden.

244

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

8.2.2.2

Organizational Unit (OU) SVS

Die Firmware des iRMC S4 unterstützt LDAP v2-Strukturen, die in der OU SVS abgespeichert sind. LDAP v2-Strukturen sind für künftige funktionale

Erweiterungen ausgelegt.

SVS

enthält die OUs Declarations, Departments und User Settings:

– Declarations enthält eine Liste der definierten Rollen sowie die Liste der vordefinierten iRMC S2/S3-Benutzerberechtigungen (siehe Handbuch

"iRMC S4 - integrated Remote Management Controller").

– Departments enthält die Gruppen für die Benutzerprivilegien.

– User Settings enthält Benutzer(gruppen)-spezifische Angaben, wie z.B. das Mail-Format (für die E-Mail-Benachrichtigung) und die Gruppen für die

Benutzershells.

I

Bei Microsoft Active Directory z.B. können die Einträge für die iRMC S4-

Benutzer in der Standard OU Users liegen. Im Gegensatz zu den

Standardbenutzern sind iRMC S4-Benutzer jedoch zusätzlich Mitglied in einer oder mehreren Gruppen der OU SVS.

I

Wichtiger Hinweis:

Die Abwicklung sowohl der ServerView- als auch der iRMC S4-

Benutzerverwaltung innerhalb derselben Organizational Unit (OU) SVS setzt voraus, dass der iRMC S4 als Element des Departments DEFAULT konfiguriert ist.

User Management in ServerView

245

Globale Benutzerverwaltung für den iRMC S4

Bild 67: OU SVS in der Domäne fwlab.firm.net

I

Die Benutzereinträge für den iRMC S4 können ab der Firmware-Version

3.6x an beliebigen Stellen unterhalb der Basis-Domäne liegen. Ebenso können Berechtigungsgruppen an beliebigen Stellen innerhalb der

Basisdomäne liegen.

8.2.2.3

Server-übergreifende globale Benutzerberechtigungen

In größeren Unternehmen sind die via iRMC S4 verwalteten Server in der Regel verschiedenen Abteilungen zugeordnet. Außerdem werden die Administrator-

Berechtigungen für die verwalteten Server ebenfalls oft abteilungsspezifisch vergeben.

I

Wichtiger Hinweis:

Die Abwicklung sowohl der ServerView- als auch der iRMC S4-

Benutzerverwaltung innerhalb derselben Organizational Unit (OU) SVS setzt voraus, dass der iRMC S4 als Element des Departments DEFAULT konfiguriert ist.

246

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Abteilungen sind in der OU „Departments“ zusammengefasst

Die OU Departments fasst die via iRMC S4 verwalteten Server zu verschiedenen Gruppen zusammen. Diese entsprechen den Abteilungen, in denen jeweils dieselben Benutzerkennungen und -berechtigungen gelten. In

Bild 68 auf Seite 248 beispielsweise, sind dies die Abteilungen DeptX, DeptY

und Others.

Der Eintrag Others ist optional, wird aber empfohlen. Others ist eine vordefinierte Abteilungsbezeichnung, unter der diejenigen Server zusammengefasst sind, die keiner anderen Abteilung angehören. Die Anzahl der unter Departments aufgelisteten Abteilungen (OUs) unterliegt keinen

Einschränkungen.

I

Bei der Konfiguration des Verzeichnisdienstes am iRMC S4 über die iRMC S4-Web-Oberfläche oder über den Server Configuration Manager spezifizieren Sie den Namen der Abteilung, welcher der verwaltete

Server mit dem betreffenden iRMC S4 angehört. Wenn im LDAP-

Verzeichnis keine Abteilung dieses Namens existiert, werden die

Berechtigungen der Abteilung Others verwendet.

Bild 68 auf Seite 248 zeigt anhand vonActive Directory Users and

Computers

ein Beispiel für eine solche Organisationsstruktur.

User Management in ServerView

247

Globale Benutzerverwaltung für den iRMC S4

Bild 68: Organisationsstruktur der Domäne fwlab.firm.net

248

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

8.2.2.4

SVS: Berechtigungsprofile werden über Rollen definiert

Direkt unterhalb jeder Abteilung sind die gewünschten zugehörigen

Benutzerrollen (Authorization Roles) aufgeführt (

Bild 68 auf Seite 248

). Alle hier aufgeführten Rollen müssen in der OU Declarations definiert sein. Ansonsten gibt es hinsichtlich Anzahl der Roles keine Einschränkungen. Die Namen der

Rollen sind unter Beachtung einiger syntaktischer Vorgaben des verwendeten

Verzeichnisdienstes frei wählbar. Jede Authorization Role definiert ein spezifisches, aufgabenorientiertes Berechtigungsprofil für Tätigkeiten am iRMC S4.

I

Neben den Authorization Roles sind auch die Alert Roles aufgeführt.

Jede Alert Role definiert ein spezifisches Benachrichtigungsprofil für die

E-Mail-Benachrichtigung (siehe

Abschnitt "E-Mail-Benachrichtigung an globale iRMC S4-Benutzer konfigurieren" auf Seite 308 ).

Benutzerrollen anzeigen

Wenn Sie eine Abteilung (z.B. DeptX) unter SVS im Strukturbaum Active

Directory Users and Computers

auswählen (siehe Bild 69 ) (1) und die

zugehörigen Knoten DeptX – Authorization Roles aufklappen, werden die

Benutzerrollen angezeigt (2), die für diese Abteilung (hier: DeptX) definiert sind.

(1)

(2)

Bild 69: Anzeige der Benutzerrollen im Snap-in „Benutzer und Computer”

User Management in ServerView

249

Globale Benutzerverwaltung für den iRMC S4

Berechtigungsgruppen anzeigen, denen ein Benutzer zugeordnet ist

Wenn Sie einen Benutzer (z.B. kvms4) unter Users im Strukturbaum Active

Directory Users and Computers

auswählen (siehe

Bild 70

) (1) und den Dialog

Properties

für diesen Benutzer öffnen (Kontextmenü: Properties – Members), werden die Berechtigungsgruppen, denen der Benutzer angehört (hier: kvms4) auf der Registerkarte Members angezeigt (2).

(2)

(1)

Bild 70: Eigenschaften-Dialog des Benutzers kvms4

250

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

8.2.3

SVS_LdapDeployer - Strukturen "SVS" und

"iRMCgroups" generieren, pflegen und löschen

Um die globale iRMC S4-Benutzerverwaltung über einen Verzeichnisdienst abwickeln zu können, müssen im LDAP-Verzeichnisdienst die Struktur(en)

(OU) SVS angelegt sein.

Sie verwenden SVS_LdapDeployer, um die SVS-Strukturen zu generieren und anzupassen. Der SVS_LdapDeployer ist ein Java-Archiv

(SVS_LdapDeployer.jar), das Sie auf Ihrer ServerView Suite DVD finden.

Dieser Abschnitt beschreibt:

– Die Konfigurationsdatei des SVS_LdapDeployer

– SVS_LdapDeployer

– Die Kommandos und Optionen des SVS_LdapDeployer

– Typische Anwendungsszenarien

8.2.3.1

Konfigurationsdatei (xml-Datei)

SVS_LdapDeployer

erzeugt LDAP-Strukturen auf Basis einer XML -

Konfigurationsdatei. Diese Eingabedatei enthält die Strukturinformationen für die Struktur(en) SVS in XML-Syntax.

I

Die Syntax der Konfigurationsdatei ersehen Sie aus den Beispiel-

Konfigurationsdateien Generic_Settings.xml und

Generic_InitialDeploy.xml

, die zusammen mit demjar-Archiv

SVS_LdapDeployer.jar

auf der ServerView Suite DVD ausgeliefert wird.

I

In der Eingabedatei müssen unter <Settings> immer gültige

Verbindungsdaten für die Verbindung zum Verzeichnisserver eingetragen sein.

Optional können Sie auch die Authentisierungsdaten für den Server-

Zugriff eintragen. Alternativ können Sie die Authentisierungsdaten auch in der Kommandozeile des SVS_LdapDeloyer angeben.

Wenn Sie die Authentisierungsdaten weder in der Konfigurationsdatei noch in der Kommandozeile beim Aufruf des SVS_LdapDeployer angeben, fordert der SVS_LdapDeployer die Authentisierungsdaten zum Ausführungszeitpunkt an.

User Management in ServerView

251

Globale Benutzerverwaltung für den iRMC S4

8.2.3.2

SVS_LdapDeployer starten

Zum Starten des SVS_LdapDeployer gehen Sie wie folgt vor:

Ê

Speichern Sie das Java-Archiv (jar-Archiv) SVS_LdapDeployer.jar in ein

Verzeichnis auf dem Verzeichnisserver.

Ê

Öffnen Sie die Kommando-Schnittstelle des Verzeichnisservers.

Ê

Wechseln Sie in das Verzeichnis, in dem das jar-Archiv

SVS_LdapDeployer.jar

gespeichert ist.

Ê

Rufen Sie den SVS_LdapDeployer gemäß der folgenden Syntax auf: java -jar SVS_LdapDeployer.jar <kommando> <datei>

[<option>...]

I

Während der Ausführung des SVS_LdapDeployer werden Sie über die durchgeführten Schritte informiert. Detaillierte Informationen finden Sie in der Datei log.txt, die bei jeder Ausführung des

SVS_LdapDeployer

im Ausführungsverzeichnis angelegt wird.

I

Im Folgenden werden die Begriffe "LDAPv1-Struktur" und "LDAPv2-

Struktur" für die Bezeichnung ServerView-spezifischer

Konfigurationslayouts der Autorisierungsdaten verwendet und beziehen sich nicht auf die Versionen 1 und 2 des LDAP-Protokolls.

I

Die Kommandos -import und -synchronize (siehe unten) werden nur in Verbindung mit LDAPv1-Strukturen benötigt (iRMC S2s mit einer Firmware-Version < 3.77 und iRMCs). Näheres hierzu finden

Sie in den Handbüchern

– "iRMC S2 - integrated Remote Management Controller", Ausgabe

Mai 2011 und frühere Ausgaben.

– "iRMC - integrated Remote Management Controller" .

<kommando>

Spezifiziert die durchzuführende Aktion.

Folgende Kommandos stehen zur Auswahl:

-deploy

Erzeugt auf dem Verzeichnisserver eine LDAP-Struktur für die globale iRMC / iRMC S4-Benutzerverwaltung (siehe

Seite 254

).

252

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

-delete

Löscht auf dem Verzeichnisserver eine vorhandenen LDAP-

Struktur, die für die globale iRMC / iRMC S4-

Benutzerverwaltung verwendet wird (siehe

Seite 256

).

-import

Erzeugt aus einer existierenden LADAP v1-Struktur eine

äquivalente LDAP v2-Struktur (siehe ).

-synchronize

Zieht Änderungen, die Sie in einer LDAP v2-Struktur vornehmen, in einer bereits vorhandenen LDAP v1-Struktur nach (siehe ).

<datei>

Konfigurationsdatei (.xml) die von SVS_LdapDeploy als

Eingabedatei verwendet wird. Die Konfigurationsdatei enthält die

Strukturinformationen für die Struktur(en) SVS in XML-Syntax.

I

Die Syntax der Konfigurationsdatei ersehen Sie aus den

Beispiel-Konfigurationsdateien Generic_Settings.xml und

Generic_InitialDeploy.xml

, die zusammen mit demjar-Archiv

SVS_LdapDeployer.jar

auf der ServerView Suite DVD ausgeliefert wird.

<option> [<option> ...]

Option(en), die die Ausführung des spezifizierten Kommandos steuern.

In den nachfolgenden Abschnitten werden die einzelnen Kommandos des

SVS_LdapDeployer

samt den zugehörigen Optionen im Detail erläutert.

I

Der SVS_LdapDeployer erzeugt alle benötigten Unterbäume inklusive aller Gruppen, nicht jedoch die Beziehungen zwischen Benutzern und

Gruppen.

Die Erstellung und Zuordnung von Benutzereinträgen zu Gruppen nehmen Sie über ein entsprechendes Tool des verwendeten

Verzeichnisdienstes vor, nachdem Sie die OUs SVS und/oder iRMCgroups im Verzeichnisdienst generiert haben.

User Management in ServerView

253

Globale Benutzerverwaltung für den iRMC S4

8.2.3.3

-deploy: LDAP-Struktur erzeugen oder ändern

Mit dem Kommando -deploy können Sie auf dem Verzeichnisserver eine neue

LDAP-Struktur erzeugen oder zu einer bereits existierenden LDAP-Struktur neue Einträge hinzufügen.

I

Zum Entfernen von Einträgen aus einer existierenden LDAP-Struktur müssen Sie die LDAP-Struktur zuerst mit -delete (siehe

Seite 256

) löschen und anschließend mit einer entsprechend modifizierten

Konfigurationsdatei neu generieren.

Syntax:

-deploy <file> [-structure {v1 | v2 | both}]

[-username <benutzer>]

[ -password <passwort>][ -store_pwd <pfad>][ -kloc <pfad>]

[ -kpwd [<key-password>]]

<datei>

XML

-Datei, die die Konfigurationsdaten enthält.

I

Die Konfigurationsdatei muss unter <Data> alle erforderlichen

Rollen und Abteilungen enthalten, die für das erstmalige

Generieren bzw. die Erweiterung einer Struktur benötigt werden.

-structure v1 | -structure v2 | -structure both

Erzeugt eine LDAP v1-Struktur oder eine LDAP v2-Struktur oder eine

LDAP v1- und eine LDAP v2-Struktur.

I

Benutzerverwaltung für den iRMC S4 benötigt immer eine LDAP v2-Struktur.

-username <benutzer>

Benutzername zur Anmeldung am Verzeichnisserver.

-password <passwort>

Passwort für den Benutzer <benutzer> fest.

254

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

-store_pwd

Verschlüsselt das Passwort <passwort> mithilfe eines zufallsgenerierten

Schlüssels und speichert das verschlüsselte Passwort nach erfolgreicher Ausführung von -deploy in der Konfigurationsdatei. Der zufallsgenerierte Schlüssel wird standardmäßig in dem Ordner gespeichert, in dem der SVS_LdapDeployer ausgeführt wird.

V

ACHTUNG!

Den zufallsgenerierten Schlüssel sollten Sie sicher abspeichern.

Falls der voreingestellte Zielordner Ihren

Sicherheitserfordernissen nicht genügt oder der Ordner, in dem der Schlüssel gespeichert wird, auch anderen Benutzern zugänglich ist, verwenden Sie für eine sichere Speicherung des

Schlüssels die Optionen -kloc und -kpwd.

-kloc <pfad>

Speichert den zufallsgenerierten Schlüssel unter <pfad>.

Wenn Sie diese Option nicht angeben, wird der Schlüssel in dem Ordner gespeichert, in dem der SVS_LdapDeployer ausgeführt wird.

-kpwd [<passwort>]

Legt ein Passwort zum Schutz des zufallsgenerierten Schlüssels fest.

Wenn Sie <passwort> nicht angeben, wird das Passwort automatisch auf Basis einer Momentaufnahme der aktuellen Ablaufumgebung gebildet.

User Management in ServerView

255

Globale Benutzerverwaltung für den iRMC S4

8.2.3.4

-delete: LDAP-Struktur löschen

Mit dem Kommando -delete können Sie auf dem Verzeichnisserver eine

LDAPv2-Struktur entfernen.

Syntax:

-delete <datei> [-structure {v1 | v2 | both}]

[-username <benutzer>]

[ -password <passwort>][ -store_pwd <pfad>][ -kloc <pfad>]

[ -kpwd [<key-password>]]

<datei>

XML

-Datei, die die zu löschende Struktur spezifiziert.

-structure v1 | -structure v2 | -structure both

Löscht LDAP v1-Struktur oder LDAP v2-Struktur oder LDAP v1- und

LDAP v2-Struktur.

I

iRMC S4 benötigt immer eine LDAP v2-Struktur.

-username <benutzer>

Benutzername zur Anmeldung am Verzeichnisserver.

-password <passwort>

Passwort für den Benutzer <benutzer> fest.

-stor_pwd

Verschlüsselt das Passwort <passwort> mithilfe eines zufallsgenerierten

Schlüssels und speichert das verschlüsselte Passwort nach erfolgreicher Ausführung von -delete in der Konfigurationsdatei. Der zufallsgenerierte Schlüssel wird standardmäßig in dem Ordner gespeichert, in dem der SVS_LdapDeployer ausgeführt wird.

V

ACHTUNG!

Den zufallsgenerierten Schlüssel sollten Sie sicher abspeichern.

Falls der voreingestellte Zielordner Ihren

Sicherheitserfordernissen nicht genügt oder der Ordner, in dem der Schlüssel gespeichert wird, auch anderen Benutzern zugänglich ist, verwenden Sie für eine sichere Speicherung des

Schlüssels die Optionen kloc und -kpwd.

256

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

-kloc <pfad>

Speichert den zufallsgenerierten Schlüssel unter <pfad>.

Wenn Sie diese Option nicht angeben, wird der Schlüssel in dem Ordner gespeichert, in dem der SVS_LdapDeployer ausgeführt wird.

-kpwd [<passwort>]

Legt ein Passwort zum Schutz des zufallsgenerierten Schlüssels fest.

Wenn Sie <passwort> nicht angeben, wird das Passwort automatisch auf Basis einer Momentaufnahme der aktuellen Ablaufumgebung gebildet.

8.2.4

Typische Anwendungsszenarien

Im Folgenden sind zwei typische Szenarien für den Einsatz des

SVS_LdapDeployer

beschrieben.

8.2.4.1

Erst-Konfiguration einer LDAPv2-Struktur durchführen

Sie wollen erstmals die globale Benutzerverwaltung für einen iRMC S4

(Firmware-Version 3.77 oder höher) einrichten. Hierfür benötigen Sie eine

LDAPv2-Struktur.

Empfohlene Vorgehensweise:

Generieren Sie eine Department-Definition für LDAPv2-Strukturen(SVS): java -jar SVS_LdapDeployer.jar -deploy myInitialDeploy.xml

-structure v2

8.2.4.2

LDAP v2-Struktur neu generieren oder erweitern

Sie wollen eine LDAP v2-Struktur neu generieren oder eine bereits bestehende

LDAP v2-Struktur erweitern.

Empfohlene Vorgehensweise: java -jar SVS_LdapDeployer.jar -deploy myInitialDeploy.xml

-structure -structure v2 oder java -jar SVS_LdapDeployer.jar -deploy myInitialDeploy.xml

User Management in ServerView

257

Globale Benutzerverwaltung für den iRMC S4

8.2.4.3

LDAP v2-Struktur neu generieren und Authentisierungsdaten anfordern und speichern

Sie wollen eine LDAP v2-Struktur neu generieren. Die Authentisierungsdaten sollen via Kommandozeile bereitgestellt und gespeichert werden.

Empfohlene Vorgehensweise: java -jar SVS_LdapDeployer.jar -deploy myInitialDeploy.xml

-store_pwd -username admin -password admin

I

Nach dem Speichern der Anmeldedaten können Sie sich über den

SVS_LdapDeployer

ohne Angabe von Benutzerkennung und Passwort mit dem Verzeichnisserver verbinden. Der SVS_LdapDeployer verwendet dann - sofern vorhanden - die in der xml-Konfigurationsdatei gespeicherten Werte. Ein gespeichertes Passwort kann der

SVS_LdapDeployer

nur dann verwenden, wenn er es entschlüsseln kann. Dies erfordert, dass Sie den SVS_LdapDeployer in derselben

Laufzeitumgebung aufrufen, wie beim vorangegangenen Aufruf mit

-store_pwd

(siehe

Seite 255

). "Dieselbe Laufzeitumgebung" bedeutet hier "derselbe Benutzer am selben Computer" oder "ein Benutzer mit

Zugriffsberechtigung auf das Verzeichnis, unter dem der Schlüssel gespeichert ist (Option -kloc, siehe

Seite 255

)".

I

Für zukünftige Aufrufe des SVS_LdapDeployer können Sie auch

Benutzerkennungen verwenden, die bereits gespeichert sind. Darüber hinaus lassen sich durch explizite Angabe in der Kommandozeile oder auf Anforderung durch den SVS_LdapDeployer zeitweilig auch andere

Authentisierungsdaten nutzen.

258

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

8.2.5

iRMC S4-Benutzerverwaltung via Microsoft Active

Directory

Dieser Abschnitt beschreibt, wie Sie die iRMC S24-Benutzerverwaltung in

Microsoft Active Directory integrieren.

I

Voraussetzung:

Eine LDAP v2-Struktur ist im Active Directory-Verzeichnisdienst generiert (siehe

Abschnitt "SVS_LdapDeployer - Strukturen "SVS" und

"iRMCgroups" generieren, pflegen und löschen" auf Seite 251

).

Zur Integration der iRMC S4-Benutzerverwaltung in Microsoft Active Directory führen Sie die folgenden Schritte durch:

1. LDAP/SSL-Zugriff des iRMC S4 am Active Directory Server konfigurieren.

2. iRMC S4-Benutzer den iRMC S4-Benutzergruppen in Active Directory zuordnen.

User Management in ServerView

259

Globale Benutzerverwaltung für den iRMC S4

8.2.5.1

LDAP/SSL-Zugriff des iRMC S2/S3 am Active Directory Server konfigurieren

I

Die iRMC S4-LDAP-Integration verwendet die auf dem OpenSSL Project basierende SSL Implementation von Eric Young. Einen Abdruck des

SSL Copyrights finden Sie auf Seite 316

.

Die Nutzung von LDAP via SSL durch den iRMC S4 erfordert die Erstellung eines RSA-Zertifikats.

Die Konfiguration des LDAP-Zugriffs umfasst die folgenden Schritte:

1. Enterprise CA installieren.

2. RSA-Zertifikat für den Domänencontroller (Domain Controller) erzeugen.

3. RSA-Zertifikat auf dem Server installieren.

Enterprise CA installieren

I

Eine CA ist eine "Zertifizierungsstelle für Zertifikate". Eine Enterprise CA

(„Zertifizierungsstelle für Unternehmen“) können Sie wahlweise auf dem

Domänencontroller selbst oder auf einem anderen Server installieren.

Die Installation direkt auf dem Domänencontroller ist einfacher, da im

Vergleich zur Installation auf einem anderen Server einige

Installationsschritte entfallen.

Im Folgenden ist beschrieben, wie Sie die Enterprise CA direkt auf einem vom Domänencontroller verschiedenen Server installieren.

I

Die erfolgreiche Installation und Konfiguration einer Enterprise CA setzt eine Active Directory-Umgebung sowie die installierten IIS (Internet

I

nformation Services) voraus.

Mit den folgenden Schritten installieren Sie eine Enterprise CA:

Ê

Wählen Sie im Windows Startmenü:

Start - Systemsteuerung - Software - Windows-Komponenten hinzufügen/entfernen

Ê

Wählen Sie im Wizard für die Windows-Komponenten den Punkt

Zertifikatsdienste

unter Komponenten.

Ê

Doppelklicken Sie auf Zertifikatsdienste und stellen Sie sicher, dass die

Optionen Webregistrierung für Zertifikatsdienste und

Zertifizierungsstelle für Zertifikate

ausgewählt sind.

260

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Ê

Wählen Sie Stammzertifizierungsstelle eines Unternehmens.

Ê

Aktivieren Sie die Option Schlüsselpaar und

Zertifizierungsstellenzertifikat mit diesen Einstellungen erstellen

.

Ê

Wählen Sie Microsoft Base DSS Cryptographic Provider, um DSA-

Zertifikate mit einer Schlüssellänge von 1024 Byte zu generieren.

Ê

Exportieren Sie das öffentliche Zertifizierungsstellenzertifikat (CA

Certificate).

Gehen Sie hierbei wie folgt vor:

Ê

Starten Sie die Management-Konsole durch Eingabe von mmc in der

Windows Eingabeaufforderung.

Ê

Fügen Sie das Snap-in für Zertifikate des lokalen Computers hinzu.

Ê

Navigieren Sie zu Zertifikate (Lokaler Computer) -

Vertrauenswürdige Stammzertifizierungsstellen - Zertifikate

und führen Sie einen Doppelklick aus.

Ê

Führen Sie einen Doppelklick auf das Zertifikat der neu erstellten

Zertifizierungsstelle aus.

Ê

Klicken Sie im Zertifikatsfenster auf die Registerkarte Details.

Ê

Klicken Sie auf In Datei kopieren.

Ê

Wählen Sie einen Dateinamen für das Zertifizierungsstellenzertifikat und klicken Sie auf Fertig stellen.

Ê

Laden Sie das öffentliche Zertifizierungsstellenzertifikat auf dem

Domänencontroller in das Zertifikatsverzeichnis

Vertrauenswürdige Stammzertifizierungsstellen

.

Gehen Sie hierbei wie folgt vor:

Ê

Übertragen Sie die Datei des Zertifizierungsstellenzertifikats auf den

Domänencontroller.

Ê

Öffnen Sie im Windows Explorer das Zertifikat der neu erstellten

Zertifizierungsstelle.

Ê

Klicken Sie auf Zertifikat installieren.

Ê

Klicken Sie unter Alle Zertifikate in folgenden Speicher speichern auf

Durchsuchen

und wählen Sie Vertrauenswürdige

Stammzertifizierungsstellen

.

User Management in ServerView

261

Globale Benutzerverwaltung für den iRMC S4

Ê

Starten Sie die Management-Konsole durch Eingabe von mmc in der

Windows Eingabeaufforderung.

Ê

Fügen Sie das Snap-in für Zertifikate des lokalen Computers hinzu.

Ê

Fügen Sie das Snap-in für Zertifikate des aktuellen Benutzers hinzu.

Ê

Kopieren Sie das Zertifizierungsstellenzertifikat (CA Certificate) aus dem

Verzeichnis Vertrauenswürdige Stammzertifizierungsstellen des aktuellen Benutzers in das Verzeichnis Vertrauenswürdige

Stammzertifizierungsstellen

des lokalen Computers.

Domänencontroller-Zertifikat erzeugen

Mit den folgenden Schritten erstellen Sie ein RSA-Zertifikat für den

Domänencontroller:

Ê

Erstellen Sie eine Datei request.inf mit dem folgenden Inhalt:

[Version]

Signature="$Windows NT$"[NewRequest]

Subject = "CN=<full path of domain controller host>"

KeySpec = 1

KeyLength = 1024

Exportable = TRUE

MachineKeySet = TRUE

SMIME = FALSE

PrivateKeyArchive = FALSE

UserProtected = FALSE

UseExistingKeySet = FALSE

ProviderName = "Microsoft RSA SChannel Cryptographic Provider"

ProviderType = 12

RequestType = PKCS10

KeyUsage = 0xa0

[EnhancedKeyUsageExtension]

OID=1.3.6.1.5.5.7.3.1

; this is for Server Authentication

Ê

Passen Sie in der Datei request.inf die Angaben bei "Subject=" an den

Namen des verwendeten Domänencontrollers an, z.B.

Subject = “CN=domino.fwlab.firm.net”

.

Ê

Geben Sie in der Windows Eingabeaufforderung folgendes Kommando ein:

certreq -new request.inf request.req

262

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Ê

Geben Sie im Browser der Zertifizierungsstelle folgende URL ein:

http://localhost/certsrv

Ê

Klicken Sie auf Ein Zertifikat anfordern.

Ê

Klicken Sie auf erweiterte Zertifikatsanforderung.

Ê

Klicken Sie auf Reichen Sie eine Zertifikatsanforderung ein.

Ê

Kopieren Sie den Inhalt der Datei request.req in das Fenster

Gespeicherte Anforderungen

.

Ê

Wählen Sie die Zertifikatsvorlage Webserver.

Ê

Laden Sie das Zertifikat herunter und speichern Sie es (z.B. in der Datei

request.cer

).

Ê

Geben Sie in der Windows Eingabeaufforderung folgendes Kommando ein:

certreq -accept request.cer

Ê

Exportieren Sie das Zertifikat mit dem privaten Schlüssel.

Gehen Sie hierbei wie folgt vor:

Ê

Starten Sie die Management-Konsole durch Eingabe von mmc in der

Windows Eingabeaufforderung.

Ê

Fügen Sie das Snap-in für Zertifikate des lokalen Computers hinzu.

Ê

Navigieren Sie zu

Zertifikate (Lokaler Computer) - Eigene Zertifikate - Zertifikate

.

Ê

Führen Sie einen Doppelklick auf das neue Server-

Authentifizierungszertifikat aus.

Ê

Klicken Sie im Zertifikatsfenster auf die Registerkarte Details.

Ê

Klicken Sie auf In Datei kopieren.

Ê

Wählen Sie Ja, privaten Schlüssel exportieren.

Ê

Vergeben Sie ein Passwort.

Ê

Wählen Sie einen Dateinamen für das Zertifikat und klicken Sie auf

Fertig stellen

.

User Management in ServerView

263

Globale Benutzerverwaltung für den iRMC S4

Domänencontroller-Zertifikat auf dem Server installieren

Mit den folgenden Schritten installieren Sie das Domänencontroller-Zertifikat auf dem Server:

Ê

Kopieren Sie die soeben erstellte Datei für das Domänencontroller-Zertifikat auf den Domänencontroller.

Ê

Führen Sie einen Doppelklick auf das Domänencontroller-Zertifikat aus.

Ê

Klicken Sie auf Zertifikat installieren.

Ê

Verwenden Sie das Passwort, das Sie beim Export der Zertifikats vergeben haben.

Ê

Klicken Sie unter Alle Zertifikate in folgendem Speicher speichern auf die Schaltfläche Durchsuchen und wählen Sie Eigene Zertifikate.

Ê

Starten Sie die Management-Konsole durch Eingabe von mmc in der

Windows Eingabeaufforderung.

Ê

Fügen Sie das Snap-in für Zertifikate des lokalen Computers hinzu.

Ê

Fügen Sie das Snap-in für Zertifikate des aktuellen Benutzers hinzu.

Ê

Kopieren Sie das Domänencontroller-Zertifikat aus dem Verzeichnis

Eigene Zertifikate

des aktuellen Benutzers in das Verzeichnis

Eigene Zertifikate

des lokalen Computers.

264

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

8.2.5.2

iRMC S4-Benutzer einer Rolle (Berechtigungsgruppe) zuordnen

Die Zuordnung von iRMC S4-Benutzern zu iRMC S4-Berechtigungsgruppen können Sie wahlweise vornehmen

– ausgehend vom Benutzereintrag oder

– ausgehend vom Rolleneintrag / Gruppeneintrag

I

Nachfolgend ist am Beispiel der LDAPv2-Struktur die Zuordnung ausgehend vom Rolleneintrag anhand der OU SVS beschrieben.

Die Zuordnung ausgehend vom Benutzereintrag verläuft weitgehend analog.

I

In Active Directory müssen die Benutzer „von Hand“ in die Gruppen eingetragen werden.

Gehen Sie wie folgt vor:

Ê

Öffnen Sie das Snap-in Active Directory-Benutzer und -Computer.

Bild 71: Snap-in Active Directory-Benutzer und -Computer

Ê

Führen Sie einen Doppelklick auf die Berechtigungsgruppe (hier:

Administrator) aus.

Der Dialog Eigenschaften von Administrator wird geöffnet (siehe Bild 72 auf Seite 266

):

User Management in ServerView

265

Globale Benutzerverwaltung für den iRMC S4

Bild 72: Dialog Eigenschaften von Administrator

Ê

Wählen Sie die Registerkarte Members.

Ê

Klicken Sie auf die Schaltfläche Hinzufügen....

Der Dialog Benutzer, Kontakte und Computer wählen wird geöffnet

(siehe

Bild 73 auf Seite 267

).

266

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Bild 73: Dialog Benutzer, Kontakte oder Computer wählen

Ê

Klicken Sie auf die Schaltfläche Pfade....

Der Dialog Pfad wird geöffnet.

Bild 74: Dialog Pfad

Ê

Wählen Sie den Container (OU), in dem sich Ihre Benutzer befinden. (Im

Standardfall ist dies die OU Users.) Bestätigen Sie mit OK.

Der Dialog Benutzer, Kontakte und Computer wählen wird geöffnet

(siehe Bild 75 auf Seite 268 ).

I

Benutzer können auch an anderer Stelle im Verzeichnis eingetragen sein.

User Management in ServerView

267

Globale Benutzerverwaltung für den iRMC S4

Bild 75: Dialog Benutzer, Kontakte oder Computer wählen

Ê

Klicken Sie auf die Schaltfläche Erweitert....

Ein erweiterter Dialog Benutzer, Kontakte und Computer wählen wird geöffnet (siehe

Bild 76 auf Seite 269

).

268

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Bild 76: Dialog Benutzer, Kontakte oder Computer wählen - Suchen

Ê

Klicken Sie auf die Schaltfläche Jetzt suchen, um sich alle Benutzer Ihrer

Domäne anzeigen zu lassen.

Im Anzeigebereich unter Suchergebnisse:wird das Suchergebnis angezeigt (siehe

Bild 77 auf Seite 270

).

User Management in ServerView

269

Globale Benutzerverwaltung für den iRMC S4

Bild 77: Dialog Benutzer, Kontakte oder Computer wählen - Suchergebnisse anzeigen

Ê

Wählen Sie die Benutzer, die zur Gruppe hinzugefügt werden sollen, und bestätigen Sie mit OK

Es werden nun die ausgewählten Benutzer angezeigt (siehe Bild 78 auf

Seite 271

).

270

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Bild 78: Dialog Benutzer, Kontakte oder Computer wählen - Suchergebnisse bestätigen

Ê

Bestätigen Sie mit OK.

User Management in ServerView

271

Globale Benutzerverwaltung für den iRMC S4

8.2.6

iRMC S4-Benutzerverwaltung via Novell eDirectory

Dieser Abschnitt informiert über folgende Themen:

– Software-Komponenten und Systemvoraussetzungen von Novell eDirectory

– Novell eDirectory installieren

– Novell eDirectory konfigurieren

– iRMC S4-Benutzerverwaltung in Novell eDirectory integrieren.

– Tipps zur Administration von Novell eDirectory

I

Installation und Konfiguration von Novell eDirectory werden im

Folgenden ausführlich beschrieben. Tiefere eDirectory-Kenntnisse werden nicht vorausgesetzt. Sofern Sie bereits mit Novell eDirectory vertraut sind, können Sie die folgenden drei Abschnitte überspringen

und fortfahren mit Abschnitt "iRMC S2/S3-Benutzerverwaltung in Novell eDirectory integrieren." auf Seite 286

.

8.2.6.1

Software-Komponenten und Systemvoraussetzungen

I

Verwenden Sie jeweils die angegebene oder eine aktuellere Version der nachfolgend aufgelisteten Komponenten.

Novell eDirectory (ehemals NDS) besteht aus folgenden Software-

Komponenten:

– eDirectory 8.8: 20060526_0800_Linux_88-SP1_FINAL.tar.gz

– eDirectory 8.8: eDir_88_iMan26_Plugins.npm

– iManager: iMan_26_linux_64.tgz für SuSE, iMan_26_linux_32.tgz für andere

– ConsoleOne: c1_136f-linux.tar.gz

Für Installation und Betrieb von Novell eDirectory gelten die folgenden

Systemvoraussetzungen:

– OpenSSL muss installiert sein.

I

Falls OpenSSL nicht bereits installiert ist:

Ê

Installieren Sie OpenSSL, bevor Sie mit der Installation von

Novell eDirectory beginnen.

272

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

– 512 MB freier Hauptspeicher

8.2.6.2

Novell eDirectory installieren

Die Installation von Novell eDirectory umfasst die Installation der folgenden

Komponenten:

– eDirectory Server und Administrations-Utilities

– iManager (Administrations-Utility)

– ConsoleOne (Administrations-Utility)

I

Voraussetzung für die Installation von Novell eDirectory:

– Ein Linux Server-Betriebssystem muss komplett installiert sein und laufen.

– Die Firewall muss für Verbindungen zu folgenden Ports konfiguriert sein: 8080, 8443, 9009, 81, 389, 636.

Für OpenSuSE konfigurieren Sie dies mithilfe der Datei

/etc/sysconfig/SuSEfirewall2

:

Ê

Erweitern Sie den Eintrag FW_SERVICES_EXT_TCP in der

Datei etc/sysconfig/SuSEfirewall2 wie folgt:

FW_SERVICES_EXT_TCP="8080 8443 9009 81 389 636"

– Gemäß dem eDirectory Installation Guide muss das System für

Multicast Routing eingerichtet sein.

Für SuSE Linux gehen Sie hierfür wie folgt vor:

Ê

Erzeugen oder (sofern bereits vorhanden) öffnen Sie die Datei

/etc/sysconfig/network/ifroute-eth0

.

Ê

Erweitern Sie die Datei /etc/sysconfig/network/ifroute-eth0 um folgende Zeile:

224.0.0.0 0.0.0.0

240.0.0.0 eth0

Dadurch passen Sie eth0 an die Systemkonfiguration an.

User Management in ServerView

273

Globale Benutzerverwaltung für den iRMC S4

I

Voraussetzungen für die Installation des eDirectory Servers, der eDirectory Utilities, des iManager und von ConsoleOne:

– Für die Installation ist Root-Berechtigung erforderlich.

– Die im Folgenden beschriebene Vorgehensweise bei der Installation setzt voraus, dass alle für die Installation benötigten Dateien bereits in ein Verzeichnis (z.B. /home/eDirectory) kopiert wurden. Es handelt sich dabei um folgende Dateien:

20060526_0800_Linux_88-SP1_FINAL.tar.gz

iMan_26_linux_64.tgz

c1_136f-linux.tar.gz

eDirectory Server und Administrations-Utilities installieren

Gehen Sie wie folgt vor:

Ê

Melden Sie sich mit Root-Berechtigung (Super User) an.

Ê

Wechseln Sie in das Verzeichnis, das die für die Installation benötigten

Dateien enthält (im Beispiel: /home/eDirectory): cd /home/eDirectory

Ê

Extrahieren Sie das Archiv 20060526_0800_Linux_88-SP1_FINAL.tar.gz: tar -xzvf 20060526_0800_Linux_88-SP1_FINAL.tar.gz

Nach der Extraktion enthält /home/eDirectory ein neues Unterverzeichnis

eDirectory

.

eDirectory Server installieren

Ê

Wechseln Sie in das Unterverzeichnis setup dieses eDirectory-

Verzeichnisses: cd eDirectory/setup

Ê

Rufen Sie das Installationsskript ./nds-install auf:

./nds-install

Ê

Akzeptieren Sie die EULA mit "y" und bestätigen Sie mit der[Enter]-Taste.

Ê

Wenn Sie nach dem zu installierenden Programm gefragt werden:

Geben Sie "1" ein für die Installation des Novell eDirectory Servers und bestätigen Sie mit der [Enter]-Taste.

Daraufhin werden die eDirectory-Packages installiert.

274

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Nach der Installation des Novell eDirectory Servers müssen Sie in einigen

Umgebungsvariablen die Namen für die Pfade auf das eDirectory aktualisieren und die Variablen exportieren.

Ê

Öffnen Sie hierfür Ihre Konfigurationsdatei (im Beispiel: /etc/bash.bashrc) und fügen Sie die dort vor "# End of ..." die folgenden Zeilen in der angegebenen Reihenfolge ein: export PATH/opt/novell/eDirectory/bin:/opt/novell/eDirectory/ sbin:$PATH export LD_LIBRARY_PATH=/opt/novell/eDirectory/lib:/ opt/novell/eDirectory/lib/nds-modules:/opt/novell/ lib:$LD_LIBRARY_PATH export MANPATH=/opt/novell/man:/opt/novell/eDirectory/ man:$MANPATH export TEXTDOMAINDIR=/opt/novell/eDirectory/share/ locale:$TEXTDOMAINDIR

Ê

Schließen Sie das Terminal und öffnen Sie ein neues Terminal, um die

Umgebungsvariablen zu exportieren.

eDirectory Administrations-Utilities installieren

Ê

Wechseln Sie in das Unterverzeichnis setup des eDirectory-

Verzeichnisses: cd eDirectory/setup

Ê

Rufen Sie das Installationsskript auf:

./nds-install

Ê

Akzeptieren Sie die EULA mit "y" und bestätigen Sie mit der[Enter]-Taste.

Ê

Wenn Sie nach dem zu installierenden Programm gefragt werden:

Geben Sie "2" ein für die Installation der Novell eDirectory

Administrations-Utilities

und bestätigen Sie mit der [Enter]-Taste.

Daraufhin werden die eDirectory Administrations-Utilities installiert.

User Management in ServerView

275

Globale Benutzerverwaltung für den iRMC S4 iManager installieren und aufrufen

I

Der iManager ist das für die Administration von Novell eDirectory empfohlene Tool. Für die Installation sowohl in SLES10 als auch in

OpenSuSE verwenden Sie das Archiv *_64.tgz.

Gehen Sie wie folgt vor:

Ê

Melden Sie sich mit Root-Berechtigung (Super User) an.

Ê

Wechseln Sie in das Verzeichnis /home/eDirectory: cd /home/eDirectory

Ê

Extrahieren Sie das Archiv iMan_26_linux_64.tgz: tar -xzvf iMan_26_linux_64.tgz

Nach der Extraktion enthält /home/eDirectory ein neues Unterverzeichnis

iManager

.

Ê

Wechseln Sie in das Unterverzeichnis installs von iManager: cd iManager/installs/linux

Ê

Rufen Sie das Installationsskript auf:

./iManagerInstallLinux.bin

Ê

Wählen Sie die Sprache, in der die Installationsmeldungen ausgegeben werden sollen.

Ê

Klicken Sie durch die EULA und akzeptieren Sie die EULA.

Ê

Wählen Sie 1- Novell iManager 2.6, Tomcat, JVM zur iManager-

Installation.

Ê

Wählen Sie 1- Yes für Plugin-Download.

Ê

Klicken Sie auf [Enter], um den Default-Pfad für den Download zu verwenden.

Das Installationsprogramm sucht via Internet nach Downloads. Dies kann einige Minuten dauern. Danach werden Sie aufgefordert, die zu installierenden Plugins auszuwählen.

Ê

Wählen Sie All für den Download aller Plugins.

Ê

Wählen Sie 1- Yes für die Installation der lokal verfügbaren Plugins.

Ê

Drücken Sie [Enter], um den Default-Pfad für die Installation zu verwenden.

Ê

Wählen Sie 2- No für die automatische Konfiguration von Apache (optional).

276

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Ê

Akzeptieren Sie den Default Port (8080) für Tomcat.

Ê

Akzeptieren Sie den Default SSL-Port (8443) für Tomcat.

Ê

Akzeptieren Sie den Default JK Connector-Port (9009) für Tomcat.

Ê

Geben Sie die administrationsberechtigte Benutzerkennung (z.B. „root.fts“) für den administrationsberechtigten Benutzer ein.

Ê

Geben Sie den Baumnamen (z.B. „fwlab“) für den administrationsberechtigten Benutzer ein.

Ê

Akzeptieren Sie die aufgelistete Zusammenfassung Ihrer Eingaben mit 1-

OK...

, um die Installation abzuschließen.

Beim Novell iManager einloggen

Nach der Installation können Sie sich via Web-Browser mithilfe der folgenden

URL am iManager einloggen:

https://<IP address of the eDirectory server>:8443/nps

I

Novell empfiehlt die Verwendung der Web-Browser Microsoft Internet

Explorer oder Mozilla Firefox. In Mozilla Firefox werden möglicherweise nicht alle Popup-Fenster des Kontext-Menüs angezeigt.

User Management in ServerView

277

Globale Benutzerverwaltung für den iRMC S4

ConsoleOne installieren und starten

Mit ConsoleOne steht Ihnen ein weiteres Administrationstool von Novell eDirectory zur Verfügung.

Zur Installation von ConsoleOne gehen Sie wie folgt vor:

Ê

Melden Sie sich mit Root-Berechtigung (Super User) am eDirectory Server an.

Ê

Wechseln Sie in das Verzeichnis /home/eDirectory: cd /home/eDirectory

Ê

Extrahieren Sie das ConsoleOne-Archiv c1_136f-linux.tar.gz: tar -xzvf c1_136f-linux.tar.gz

Nach der Extraktion enthält /home/eDirectory ein neues Unterverzeichnis

Linux

.

Ê

Wechseln Sie in das Verzeichnis Linux: cd Linux

Ê

Rufen Sie das Installationsskript c1-install auf:

./c1-install

Ê

Wählen Sie die Sprache, in der die Installationsmeldungen ausgegeben werden sollen.

Ê

Geben Sie „8“ für die Installation aller Snap-Ins ein.

ConsoleOne benötigt den Pfad zu einer installierten Java-Laufzeitumgebung.

Den entsprechenden Pfadnamen können Sie in die Umgebungsvariable

C1_JRE_HOME

exportieren. Demgegenüber erfordert der systemweite Export des Pfadnamens Änderungen im bash-Profil.

I

Da Root-Berechtigung für das Arbeiten mit ConsoleOne erforderlich ist, genügt es im Prinzip, den Pfadnamen nur für die Kennung superuser

Root

zu exportieren. Im Folgenden ist jedoch der systemweite Export des Pfadnamens dargestellt. Damit können auch normale Benutzer mit

ConsoleOne arbeiten, sofern sie Root-Berechtigung besitzen.

278

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Gehen Sie wie folgt vor:

Ê

Öffnen Sie die Konfigurationsdatei zur Bearbeitung (im Beispiel:

/etc/bash.bashrc

)

Ê

Fügen Sie in der Konfigurationsdatei vor „# End of ...“ die folgende Zeile ein: export C1_JRE_HOME=/opt/novell/j2sdk1.4.2_05/jre

I

Hier wird die zusammen mit eDirectory installierte Java-

Laufzeitumgebung verwendet. Sie können aber auch den

Pfadnamen einer beliebigen anderen auf dem eDirectory Server installierten Java-Laufzeitumgebung angeben.

ConsoleOne erhält die verfügbaren Baumstrukturen entweder über die lokale

Konfigurationsdatei hosts.nds oder über den SLP-Service und Multicast.

Zum Einfügen Ihrer Baumstruktur in die Konfigurationsdatei gehen Sie verfahren Sie wie folgt:

Ê

Wechseln Sie in Ihr Konfigurationsverzeichnis: cd /etc

Ê

Erzeugen Sie die Datei hosts.nds, falls Sie noch nicht existiert.

Ê

Öffnen Sie die Datei hosts.nds und fügen Sie die folgenden Zeilen ein:

#Syntax: TREENAME.FQDN:PORT

MY_Tree.mycomputer.mydomain:81

ConsoleOne starten

ConsoleOne starten Sie in der System-Eingabeaufforderung mit folgendem

Kommando:

/usr/ConsoleOne/bin/ConsoleOne

User Management in ServerView

279

Globale Benutzerverwaltung für den iRMC S4

8.2.6.3

Novell eDirectory konfigurieren

Zur Konfiguration von Novell eDirectory führen Sie die folgenden Schritte durch:

1. NDS-Baum erzeugen.

2. eDirectory für LDAP konfigurieren.

3. Zugang zu eDirectory via LDAP-Browser testen.

NDS-Baum erzeugen

E

inen NDS (Network Directory Service)-Baum erzeugen Sie mit dem Utility ndsmanage. ndsmanage benötigt hierfür die folgenden Informationen:

TREE NAME

Netzweit eindeutiger Name für den neuen NDS-Baum, z.B. MY_TREE.

Server Name

Name einer Instanz der Klasse server in eDirectory. Für Server Name, spezifizieren Sie den Namen des PRIMERGY Servers, auf dem der

LDAP-Server läuft, z.B. lin36-root-0.

Server Context

Fully Distinguished Name (vollständige Beschreibung von Objektpfad und der Attributen) des Containers, in dem das Objekt server enthalten ist, z.B. dc=organization.dc=mycompany.

Admin User

Fully Distinguished Name (vollständige Beschreibung von Objektpfad und der Attributen) des administrationsberechtigten Benutzers, z.B.cn=

admin.dc=organization.dc=mycompany

NCP Port

Spezifizieren Sie den Port 81.

Instance Location

Spezifizieren Sie als Pfad: /home/root/instance0

Configuration File

Spezifizieren Sie folgende Datei: /home/root /instance0/ndsconf

Password for admin user

Geben Sie hier das Administratorpasswort an.

280

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Zur Konfigurierung des NDS-Baums gehen Sie wie folgt vor:

Ê

Öffnen Sie eine Command Box.

Ê

Wechseln Sie in das Verzeichnis /home/eDirectory.

Ê

Starten Sie das Utility ndsmanage durch Eingabe des Kommandos

ndsmanage

: ndsmanage

Ê

Geben Sie "c" ein für die Erzeugung einer neuen Instanz der Klasse server.

Ê

Geben Sie „y“ ein , um die Konfiguration fortzusetzen.

Ê

Geben Sie „y“ ein, um einen neuen Baum zu erzeugen.

Anschließend erfragt ndsmanage nacheinander die Werte für TREE NAME,

Server Name

, Server Context etc. (siehe Seite 280 ).

Sobald die Eingabe abgeschlossen ist, konfiguriert ndsmanage den NDS-

Baum.

Ê

Führen Sie nach Abschluss der Konfiguration des NDS-Baums einen

Neustart des PRIMERGY Servers durch, um die Konfiguration zu aktivieren, d.h. den NDS-Baum zu erzeugen.

eDirectory für LDAP konfigurieren

Die Konfiguration von eDirectory für LDAP umfasst die folgenden Schritte:

– Role Based Services (RBS) installieren.

– Plugin-Module installieren.

– Role Based Services (RBS) konfigurieren.

– eDirectory mit/ohne SSL/TLS-Unterstützung konfigurieren.

Im Einzelnen gehen Sie wie folgt vor:

Ê

Loggen Sie sich beim iManager via Web-Browser unter der

Administratorkennung (Admin) ein.

User Management in ServerView

281

Globale Benutzerverwaltung für den iRMC S4

Role Based Services (RBS) installieren

RBS installieren Sie mithilfe des iManager Configuration Wizard.

Gehen Sie wie folgt vor:

Ê

Wählen Sie im iManager die Registerkarte Configure (durch Klicken auf das Desk-Symbol).

Ê

Wählen Sie auf der Registerkarte Configure

Role Based Services

- RBS Configuration

Ê

Starten Sie den RBS Configuration Wizard.

Ê

Weisen Sie RBS2 dem zu verwaltenden Container zu. (Im obigen Beispiel ist dies ãmycompany“.)

Plugin-Module installieren

Gehen Sie wie folgt vor:

Ê

Wählen Sie im iManager die Registerkarte Configure (durch Klicken auf das Desk-Symbol).

Ê

Wählen Sie auf der Registerkarte Configure

Plug-in installation

- Available Novell Plug-in Modules

Ê

Wählen Sie auf der Seite Available Novell Plug-in Modules unter den aufgelisteten Modulen das eDirectory-spezifische Package

eDir_88_iMan26_Plugins.npm

.

Ê

Klicken Sie auf Install.

Role Based Services (RBS) konfigurieren

Ê

Wählen Sie auf der Seite Available Novell Plug-in Modules alle für die

LDAP-Integration benötigten Module. Falls Sie sich nicht sicher sind, wählen Sie alle Module.

Ê

Klicken Sie auf Install.

eDirectory für SSL/TLS gesicherten Zugriff konfigurieren

I

Während der eDirectory-Installation wird ein temporäres Zertifikat erzeugt, sodass der Zugriff auf eDirectory standardmäßig durch

SSL/TLS abgesichert ist. Da jedoch die Firmware des iRMC S4 für die

Verwendung von RSA/MD5-Zertifikaten konfiguriert ist, benötigt die

SSL/TLS gesicherte globale iRMC S4-Benutzerverwaltung via eDirectory ein RSA/MD5 Zertifikat der Länge 1024 byte.

282

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Ein RSA/MD5-Zertifikat der Länge 1024 byte erstellen Sie wie folgt mithilfe von

ConsoleOne:

Ê

Loggen Sie sich am LDAP-Server unter Ihrer Administratorkennung

(Admin) ein und starten Sie ConsoleOne.

Ê

Navigieren Sie zum Root-Verzeichnis Ihrer Unternehmensstruktur

(z.B. treename/mycompany/myorganisation).

Ê

Wählen Sie New Object - NDSPKI key material - custom, um ein neues

Objekt der Klasse NDSPKI:Key Material zu erstellen.

Ê

Spezifizieren Sie im nachfolgenden Dialog die folgenden Werte:

1. 1024 bits

2. SSL or TLS

3. signature RSA/MD5

Ein neues Zertifikat des gewünschten Typs wird erstellt.

Um das neu erstellte Zertifikat für die SSL-gesicherte LDAP-Verbindung zu aktivieren führen Sie im iManager die folgenden Schritte durch:

Ê

Starten Sie den iManager via Web-Browser.

Ê

Loggen Sie sich mit gültigen Authentisierungsdaten beim iManager ein.

Ê

Wählen Sie LDAP - LDAP Options - LDAP Server - Connection.

Die Registerkarte Connection enthält eine Drop-down-Liste, die alle auf dem System installierten Zertifikate anzeigt.

Ê

Selektieren Sie in der Drop down-Liste das gewünschte Zertifikat.

eDirectory für den nicht-SSL-gesicherten Zugriff konfigurieren

I

Anonymes Login sowie die Übertragung von Klartext-Passwörtern über ungesicherte Kanäle sind in eDirectory standardmäßig deaktiviert.

Demzufolge ist das Einloggen via Web-Browser am eDirectory-Server nur über eine SSL-Verbindung möglich.

Für die Nutzung von LDAP ohne SSL müssen Sie die folgenden Schritte durchführen:

1. Nicht-SSL-gesicherte LDAP-Verbindung ermöglichen.

2. Bind-Restriktionen lockern.

3. LDAP-Konfiguration neu laden.

User Management in ServerView

283

Globale Benutzerverwaltung für den iRMC S4

Gehen Sie wie folgt vor:

1. Nicht-SSL-gesicherte LDAP-Verbindung ermöglichen.

Ê

Starten Sie den iManager via Web-Browser.

Ê

Loggen Sie sich mit gültigen Authentisierungsdaten beim iManager ein.

Ê

Wählen Sie die Ansicht Roles and Tasks.

Ê

Wählen Sie LDAP - LDAP Options - LDAP Server - Connection.

Ê

Deaktivieren Sie auf der Registerkarte Connection die Option

Require TLS for all Operations.

Ê

Wählen Sie LDAP - LDAP Options - LDAP Group - General.

Ê

Deaktivieren Sie auf der Registerkarte General die Option

Require TLS for Simple Binds with password.

2. Bind-Restriktionen lockern.

Ê

Loggen Sie sich mit gültigen Authentisierungsdaten beim iManager ein.

Ê

Navigieren Sie im Objekt-Baum zum Objekt LDAP Server.

Ê

Markieren Sie das Objekt LDAP Server per Maus-Klick und wählen Sie

Modify Object

im zugehörigen Kontext-Menü.

Ê

Öffnen Sie im rechten Content-Frame das Other-Sheet.

Ê

Wählen Sie unter Valued Attributes die Option ldapBindRestrictions

Ê

Klicken Sie auf die Schaltfläche Edit.

Ê

Setzen Sie den Wert auf „0“.

Ê

Klicken Sie auf OK.

Ê

Klicken Sie im Other-Sheet auf die Schaltfläche Apply.

3. LDAP-Konfiguration neu laden.

Ê

Starten Sie ConsoleOne und loggen Sie sich in eDirectory ein.

Ê

Klicken Sie auf auf das Objekt Base DN links im Fenster (z.B.

Mycompany

). Auf der rechten Seite des Fensters wird das Objekt

LDAP server

angezeigt

Ê

Markieren Sie das Objekt LDAP Server per Klick mit der rechten

Maustaste und wählen Sie Properties... im zugehörigen Kontext-Menü.

284

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Ê

Klicken Sie auf der Registerkarte General auf Refresh NLDAP Server

Now

.

Zugang zu eDirectory via LDAP-Browser testen.

Nach erfolgreicher Durchführung der oben beschriebenen Schritte 1 - 3 sollten

Sie via LDAP Browser-Utility eine Verbindung zu eDirectory herstellen können.

Mit dem LDAP-Browser von Jarek Gavor (siehe Seite 302 ) können Sie dies wie

folgt testen:

Ê

Versuchen Sie, sich unter der Administratorkennung (im Beispiel: admin)

über eine SSL-Verbindung in eDirectory einzuloggen.

Falls der Versuch fehlschlägt, verfahren Sie wie folgt:

Ê

Prüfen Sie, ob SSL aktiviert ist (vergleiche Seite 283 ).

Bild 79: LDAP-Zugriff auf eDirectory testen: SSL aktiviert

Ê

Versuchen Sie, sich unter der Administratorkennung (im Beispiel: admin)

über eine nicht SSL-gesicherte Verbindung in eDirectory einzuloggen.

User Management in ServerView

285

Globale Benutzerverwaltung für den iRMC S4

Bild 80: LDAP-Zugriff auf eDirectory testen: SSL nicht aktiviert

Ê

Falls die Anmeldung erneut fehlschlägt:

Lockern Sie die Bind-Restriktionen (siehe Seite 283

).

8.2.6.4

iRMC S2/S3-Benutzerverwaltung in Novell eDirectory integrieren.

I

Voraussetzung:

Eine LDAP v2-Struktur ist im eDirectory-Verzeichnisdienst generiert

(siehe

Abschnitt "SVS_LdapDeployer - Strukturen "SVS" und

"iRMCgroups" generieren, pflegen und löschen" auf Seite 251

).

Für die Integration der iRMC S4-Benutzerverwaltung in Novell eDirectory sind die folgenden Schritte erforderlich:

– Principal iRMC User erzeugen.

– iRMC-Gruppen und Benutzerrechte in eDirectory vereinbaren.

– Benutzer den Berechtigungsgruppen zuordnen.

286

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

LDAP-Authentifizierungsprozess für iRMC S4-Benutzer in eDirectory

Die Authentifizierung eines globalen iRMC S4-Benutzers beim Login am iRMC

S4 erfolgt nach einem fest vorgegebenen Schema (siehe

Seite 238 ).

Bild 81 auf Seite 287

veranschaulicht diesen Prozess für die globale iRMC S4-

Benutzerverwaltung mithilfe von Novell eDirectory.

Das Herstellen einer Verbindung und die Anmeldung mit entsprechenden

Anmeldeinformationen wird als BIND-Operation bezeichnet.

1

SSL-based communication iRMC S4: Bind als

Principal User iRMC S4 ist authentifiziert iRMC S4

2 iRMC S4 ermittelt den

vollqualifizierten DN des User1 eDirectory

Benutzerberechtigungen

Bind mit User1 DN

3

User1 ist authentifiziert

4 iRMC S4 ermittelt den

Benutzerrechte des User1

1) Der iRMC S4 loggt sich am eDirectory-Server mit vordefinierten, bekann

Berechtigungsdaten (iRMC S4-Einstellung) als „Principal User“ ein und auf den erfolgreichenBind.

2) Der iRMC S4 erfragt vom eDirectory-Server den voll-qualifizierten

Distinguished Name (DN) des Benutzers mit „cn=User1“. eDirectory erm den DN aus dem vorkonfigurierten Teilbaum (iRMC S4-Einstellung).

3) Der iRMC S4 loggt sich am eDirectory-Server mit dem vollqualifizierten des Benutzers User1 ein und wartet auf den erfolgreichen Bind.

4) Der iRMC S4 erfragt vom eDirectory-Server die Benutzerberechtigungen des Benutzers User1.

Bild 81: Authentifizierungsschema für globale iRMC S4-Benutzerberechtigungen

User Management in ServerView

287

Globale Benutzerverwaltung für den iRMC S4

I

Die Berechtigungsdaten des "Principal User" sowie den Teilbaum, der die DNs enthält, konfigurieren Sie auf der Seite

Directory Service Configuration

der iRMC S4-Web-Oberfläche (siehe

Handbuch "iRMC S4 - integrated Remote Management Controller").

I

Der CN eines Benutzers muss innerhalb des durchsuchten Teilbaums eindeutig sein.

Principal User (Principal Benutzer) für den iRMC S4 erzeugen

Um einen Principal User für den iRMC S4 zu erzeugen, gehen Sie wie folgt vor:

Ê

Loggen Sie sich mit gültigen Authentisierungsdaten beim iManager ein.

Ê

Wählen Sie Roles and Tasks.

Ê

Wählen Sie Users - Create User.

Ê

Tragen Sie die erforderlichen Angaben in das angezeigte Template ein.

I

Distinguished Name (DN) und Passwort des Principal User müssen mit entsprechenden Angaben für die Konfiguration des iRMC S4

übereinstimmen (siehe Handbuch "iRMC S4 - integrated Remote

Management Controller").

Der Context: des Benutzers kann sich an beliebiger Stelle im Baum befinden.

Ê

Erteilen Sie dem Principal User Suchberechtigung für die folgenden

Teilbäume:

– Teilbaum (OU) SVS

– Teilbaum (OU), der die Benutzer enthält (z.B. people).

Den iRMC-Gruppen und -Benutzern Benutzerrechte erteilen

Standardmäßig verfügt ein Objekt in eDirectory nur über sehr eingeschränkte

Abfrage- und Suchberechtigungen in einem LDAP-Baum. Damit ein Objekt alle

Attribute in einem oder mehreren Teilbäumen abfragen kann, müsse Sie diesem Objekt die entsprechenden Rechte zuweisen.

Berechtigungen erteilen Sie wahlweise einem einzelnen Objekt (d.h. einem speziellen Benutzer) oder einer Gruppe von Objekten, die in einer

Organizational Unit (OU) wie z.B.SVS oder people zusammengefasst sind.

Dabei gehen Berechtigungen, die einer OU erteilt und als „inherited“ gekennzeichnet sind, automatisch auf die Objekte dieser Gruppe über.

288

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

I

Für die Integration der iRMC S4-Benutzerverwaltung in Novell eDirectory ist es erforderlich, folgenden Objekten (Trustees)

Suchberechtigung zu erteilen:

– Principal User

– Teilbaum, der die iRMC S4-Benutzer enthält

Wie Sie dabei im Einzelnen vorgehen ist nachfolgend beschrieben.

Um einem Objekt die Suchberechtigung für alle Attribute zu erteilen, verfahren

Sie wie folgt:

Ê

Starten Sie den iManager via Web-Browser.

Ê

Loggen Sie sich mit gültigen Authentisierungsdaten beim iManager ein.

Ê

Klicken Sie im iManager auf die Schaltfläche Roles and Tasks.

Ê

Wählen Sie im Strukturbaum Rights - Rights to Other Objects.

Die Seite Rights to Other Objects wird angezeigt.

Ê

Spezifizieren Sie unter Trustee Name den Namen des Objekts (in

Bild 82 auf Seite 290

SVS.sbdr4), dem die Berechtigung erteilt werden soll.

Ê

Spezifizieren Sie unter Context to Search From den eDirectory-Teilbaum

(SVS), den der iManager nach allen Objekten durchsuchen soll, für die der

Trustee Users zurzeit leseberechtigt ist.

Ê

Klicken Sie auf OK.

Eine Fortschrittanzeige informiert über den Stand der Suche. Nach

Abschluss des Suchvorgangs wird die Seite Rights to Other Objects angezeigt, die jetzt das Suchergebnis enthält (siehe

Bild 82 auf Seite 290 ).

User Management in ServerView

289

Globale Benutzerverwaltung für den iRMC S4

Bild 82: iManager - Roles and Tasks - Rights To Other Objects

I

Falls unter Object Name kein Objekt angezeigt wird, hat der Trustee zurzeit keine Berechtigung innerhalb des angegebenen Kontexts.

Ê

Erteilen Sie dem Trustee gegebenenfalls zusätzliche Berechtigung(en):

Ê

Klicken Sie auf Add Object.

Ê

Klicken Sie auf die Objektselektor-Schaltfläche, um das Objekt auszuwählen, für das Sie dem Trustee eine Berechtigung erteilen wollen.

Ê

Klicken Sie auf Assigned Rights.

Falls die Property [All Attributes Rights] nicht angezeigt wird:

Ê

Klicken Sie auf Add Property.

Das Add Property-Fenster wird angezeigt (siehe Bild 83 auf

Seite 291 ).

290

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Bild 83: iManager - Roles and Tasks - Rights To Other Objects - Add Property

Ê

Markieren Sie die Property [All Attributes Rights] und fügen Sie diese durch Klicken auf OK hinzu.

Ê

Aktivieren Sie für die Property [All Attributes Rights] die Optionen

Compare

, Read und Inherit und bestätigen Sie mit OK.

Damit sind Benutzer/Benutzergruppe zur Abfrage aller Attribute im

Teilbaum des ausgewählten Objekts autorisiert.

Ê

Klicken Sie auf Übernehmen, um Ihre Einstellungen zu aktivieren.

User Management in ServerView

291

Globale Benutzerverwaltung für den iRMC S4

8.2.6.5

Assigning an iRMC S4 user to a permission group

Die Zuordnung von iRMC S4-Benutzern (z.B. der OU people) zu iRMC S2/S3-

Berechtigungsgruppen können Sie wahlweise vornehmen

– ausgehend vom Benutzereintrag (günstig bei wenigen Benutzereinträgen) oder

– ausgehend vom Rolleneintrag / Gruppeneintrag (günstig bei vielen

Benutzereinträgen).

I

Nachfolgend ist exemplarisch die Zuordnung von iRMC S4-Benutzern einer OU people zu einer Berechtigungsgruppe dargestellt. Erläutert wird dabei die vom Gruppeneintrag / Rolleneintrag ausgehende

Zuordnung.

Die Zuordnung ausgehend vom Benutzereintrag verläuft weitgehend analog.

I

In eDirectory müssen die Benutzer „von Hand“ in die Gruppen eingetragen werden.

Gehen Sie wie folgt vor:

Ê

Starten Sie den iManager via Web-Browser.

Ê

Loggen Sie sich mit gültigen Authentisierungsdaten beim iManager ein.

Ê

Wählen Sie Roles and Tasks.

Ê

Wählen Sie Groups - Modify Group.

Die Seite Modify Group wird angezeigt.

Ê

Führen Sie die folgenden Schritte für alle Berechtigungsgruppen durch, denen Sie iRMC S4-Benutzer zuordnen wollen:

Ê

Klicken Sie auf die Objektselektor-Schaltfläche, Selektieren Sie via

Objektselektor-Schaltfläche die Berechtigungsgruppe, der Sie iRMC

S4-Benutzer hinzufügen wollen. Im Beispiel für die LDAP v2-Struktur

(siehe

Bild 84 auf Seite 293

) ist dies:

Administrator.AuthorizationRoles.DeptX.Departments.SVS.sbrd4

.

292

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Ê

Wählen Sie die Registerkarte Members.

Die Registerkarte Members der Seite Modify Group wird angezeigt:

Bild 84: iManager - Roles and Tasks - Modify Group - Registerkarte ãMembers“

(LDAP v2)

Ê

Führen Sie den folgenden Schritt für alle Benutzer der OU people durch, die Sie der ausgewählten iRMC-Gruppe zuordnen wollen:

Ê

Klicken Sie auf die Objektselektor-Schaltfläche .

Das Object Selector (Browser)-Fenster wird geöffnet (siehe

Bild 85 auf Seite 294 ).

User Management in ServerView

293

Globale Benutzerverwaltung für den iRMC S4

294

Bild 85: Benutzer der iRMC-Gruppe zuordnen - Benutzer auswählen

Ê

Selektieren Sie im Object Selector (Browser)-Fenster den/die gewünschten Benutzer der OU people und bestätigen Sie Ihre

Auswahl mit OK.

Im Anzeigebereich der Registerkarte Members der Seite

Modify Group

werden die ausgewählten Benutzer angezeigt (siehe

Bild 84 auf Seite 293

).

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Bild 86: Anzeige der ausgewählten iRMC S4-Benutzer in der Registerkarte

„Members (LDAP v2)

Ê

Bestätigen Sie mit Apply oder OK, um die ausgewählten Benutzer zur iRMC-Gruppe (hier: ... .SVS.sbdr4) hinzuzufügen.

User Management in ServerView

295

Globale Benutzerverwaltung für den iRMC S4

8.2.6.6

Tipps zur Administration von Novell eDirectory

NDS-Dämon neu starten

Für einen Neustart des NDS-Dämons gehen Sie wie folgt vor:

Ê

Öffnen Sie die Command Box.

Ê

Melden Sie sich mit Root-Berechtigung an.

Ê

Führen Sie das folgende Kommando aus: rcndsd restart

Falls sich der nldap-Dämon ohne ersichtlichen Grund nicht starten lässt:

Ê

Starten Sie den lndap-Dämon "von Hand":

/etc/init.d/nldap restart

Falls der iManager nicht reagiert:

Ê

Starten Sie den iManager neu:

/etc/init.d/novell-tomcat4 restart

Konfiguration des NLDAP-Servers neu laden

Gehen Sie wie folgt vor:

Ê

Starten Sie ConsoleOne und loggen Sie sich in eDirectory ein.

I

Wenn Sie ConsoleOne zum ersten Mal starten, ist noch kein Baum konfiguriert.

Zur Konfiguration eines Baums gehen Sie wie folgt vor:

Ê

Wählen Sie unter My World den Knoten NDS.

Ê

Wählen Sie in der Menü-Leiste: File - Authenticate

Ê

Geben Sie für das Login die folgenden Authentisierungsdaten ein:

1. Login-Name: root

2. Passwort: <passwort>

3. Tree: MY_TREE

4. Context: mycompany

296

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Ê

Klicken Sie links im Fenster auf das Base DN-Objekt (Mycompany).

Auf der rechten Fensterseite wird dann das LDAP Server-Objekt angezeigt.

Ê

Klicken Sie mit der rechten Maustaste auf das LDAP Server-Objekt und wählen Sie Properties... im Kontext-Menü.

Ê

Klicken Sie in der Registerkarte General auf die Schaltfläche

Refresh NLDAP Server Now

.

NDS Meldungs-Trace konfigurieren

Der nds-Dämon erzeugt Debug-und Log-Meldungen, die Sie mit dem Tool

ndstrace

verfolgen können. Zweck der im Folgenden beschriebenen

Konfiguration ist es, den Terminal-Output von ndstrace in eine Datei umzuleiten und sich den Inhalt dieser Datei an einem anderen Terminal anzeigen zu lassen. Für Letzteres verwenden Sie das Tool screen.

Es empfiehlt sich folgende Vorgehensweise:

Ê

Öffnen Sie die Command Box (z.B. bash).

ndstrace konfigurieren

Ê

Wechseln Sie in das eDirectory-Verzeichnis /home/eDirectory: cd /home/eDirectory

Ê

Starten Sie screen mit dem Kommando screen.

Ê

Starten Sie ndstrace mit dem Kommando ndstrace.

Ê

Selektieren Sie die Module, die Sie aktivieren wollen.

Wenn Sie sich z.B. die Zeitpunkte anzeigen lassen wollen, an denen

Ereignisse eingetreten sind, geben Sie dstrace TIME ein.

I

Es wird dringend empfohlen, die Module LDAP und TIME durch folgende Eingabe zu aktivieren: dstrace LDAP TIME

Ê

Beenden Sie ndstrace durch Eingabe von quit.

Damit ist die Konfiguration von ndstrace abgeschlossen.

User Management in ServerView

297

Globale Benutzerverwaltung für den iRMC S4

Meldungsausgabe auf zweites Terminal umleiten

Ê

Starten Sie ndstrace und leiten Sie die Meldungsausgabe um: ndstrace -l >ndstrace.log

Ê

Öffnen Sie ein zweites Terminal mithilfe der folgenden Tastenkombination:

[Ctrl]

+ [a], [Ctrl] + [c]

Ê

Schalten Sie den Mitschnitt der Protokollierung ein: tail -f ./ndstrace.log

Ê

Um zwischen den virtuellen Terminals hin- und herzuschalten, verwenden

Sie die Tastenkombination [Ctrl] + [a], [Ctrl] + [0].

(Die Terminals sind von 0 bis 9 durchnummeriert.)

298

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

8.2.7

iRMC S4-Benutzerverwaltung via OpenLDAP

Dieser Abschnitt informiert über folgende Themen:

– OpenLDAP installieren (Linux).

– SSL-Zertifikat erzeugen.

– OpenLDAP konfigurieren.

– iRMC S4-Benutzerverwaltung in OpenLDAP integrieren.

– Tipps zur Administration von OpenLDAP

8.2.7.1

OpenLDAP installieren

I

Vor der Installation von OpenLDAP müssen Sie die Firewall für

Verbindungen zu den Ports 389 und 636 konfigurieren.

Bei OpenSuSE verfahren Sie hierfür wie folgt:

Ê

Ergänzen Sie in der Datei /etc/sysconfig/SuSEfirewall2 die Option

FW_SERVICES_EXT_TCP

wie folgt:

FW_SERVICES_EXT_TCP=“389 636“

Zur Installation der Packages OpenSSL und OpenLDAP2 vom

Distributionsmedium verwenden Sie das Setup-Tool YaST.

8.2.7.2

SSL-Zertifikate erzeugen

Es soll ein Zertifikat mit folgenden Eigenschaften erzeugt werden:

– Schlüssellänge: 1024 bit

– md5RSAEnc

Schlüsselpaare und signierte Zertifikate (selbstsigniert oder von einer externen

CA signiert) erzeugen Sie mithilfe von OpenSSL. Nähere Informationen hierzu finden Sie auf der OpenSSL-Homepage unter

http://www.openssl.org

.

Unter den folgenden Links finden Sie Anleitungen zur Einrichtung einer CA und zum Erstellen von Test-Zertifikaten:

–

http://www.akadia.com/services/ssh_test_certificate.html

–

http://www.freebsdmadeeasy.com/tutorials/web-server/apache-ssl-certs.php

–

http://www.flatmtn.com/computer/Linux-SSLCertificates.html

–

http://www.tc.umn.edu/~brams006/selfsign.html

User Management in ServerView

299

Globale Benutzerverwaltung für den iRMC S4

Als Ergebnis der Zertifikatserstellung müssen die folgenden drei PEM-Dateien vorliegen:

– Root-Zertifikat: root.cer.pem

– Server-Zertifikat: server.cer.pem

– Private Key: server.key.pem

I

Der Private Key darf nicht mit einer Passphrase verschlüsselt sein, da

Sie nur dem LDAP-Dämon (ldap) Leseberechtigung für die Datei

server.key.pem

erteilen sollten.

Die Passphrase entfernen Sie mit folgendem Kommando: openssl rsa -in server.enc.key.pem -out server.key.pem

8.2.7.3

OpenLDAP konfigurieren

Zur Konfiguration von OpenLDAP gehen Sie wie folgt vor:

Ê

Starten Sie das Setup-Tool YaST und wählen Sie LDAP-Server-

Configuration

.

Ê

Aktivieren Sie unter Global Settings/Allow Settings die Einstellung

LDAPv2-Bind

.

Ê

Wählen Sie Global Settings/TLS Settings:

Ê

Aktivieren Sie die Einstellung TLS.

Ê

Geben Sie die Pfade der bei der Installation erstellten Dateien bekannt

(siehe

Abschnitt "OpenLDAP installieren" auf Seite 299

).

Ê

Stellen Sie sicher, dass Zertifikate und Privater Schlüssel im

Dateisystem vom LDAP-Service gelesen werden können.

Da openldap unter der uid/guid=ldap ausgeführt wird, können Sie dies z.B. erreichen, indem Sie

– den Eigentümer der Dateien mit Zertifikaten und privaten Schlüsseln auf „ldap“ setzen oder

– dem LDAP-Dämon ldap die Leseberechtigung auf die Dateien mit

Zertifikaten und privaten Schlüsseln erteilen.

Ê

Wählen Sie Databases, um eine neue Datenbank zu erzeugen.

300

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

I

Falls die von YaST erstellte Konfiguration generell nicht funktioniert, prüfen Sie die Konfigurationsdatei /etc/openldap/slapd.conf auf folgende zwingend erforderlichen Einträge: allow bind_v2

TLSCACertificateFile /path/to/ca-certificate.pem

TLSCertificateFile /path/to/certificate.pem

TLSCertificateKeyFile /path/to/privat.key.pem

I

Falls die von YaST erstellte Konfiguration für SSL nicht funktioniert, prüfen Sie die Konfigurationsdatei /etc/sysconfig/openldap auf folgenden Eintrag:

OPENLDAP_START_LDAPS=“yes“

User Management in ServerView

301

Globale Benutzerverwaltung für den iRMC S4

8.2.7.4

iRMC S4-Benutzerverwaltung in OpenLDAP integrieren

I

Voraussetzung:

Eine LDAP v2-Struktur ist im OpenLDAP-Verzeichnisdienst generiert

(siehe Abschnitt "SVS_LdapDeployer - Strukturen "SVS" und

"iRMCgroups" generieren, pflegen und löschen" auf Seite 251

).

Die Integration der iRMC S4-Benutzerverwaltung in OpenLDAP umfasst die folgenden Schritte:

– Principal iRMC User erzeugen.

– Neuen iRMC S4-Benutzer erzeugen und der Berechtigungsgruppe zuordnen.

I

Verwenden Sie zur Erzeugung des Principal User (ObjectClass: Person) einen LDAP-Browser, z.B. den LDAP Browser\Editor von Jarek Gawor

(siehe

Seite 302

).

LDAP Browser\Editor von Jarek Gawor

Den LDAP Browser\Editor von Jarek Gawor können Sie über eine grafische

Oberfläche einfach bedienen.

Das Tool steht im Internet zum Download zur Verfügung.

Zur Installation des LDAP Browser\Editor verfahren Sie wie folgt:

Ê

Entpacken Sie das Zip-Archiv Browser281.zip in ein

Installationsverzeichnis Ihrer Wahl.

Ê

Setzen Sie die Umgebungsvariable JAVA_HOME auf das

Installationsverzeichnis der JAVA-Laufzeitumgebung, z. B.:

JAVA_HOME=C:\Program Files\Java\jre7

302

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Principal User (Principal Benutzer) erzeugen

I

Verwenden Sie zur Erzeugung des Principal User (ObjectClass: Person) einen LDAP-Browser, z.B. den LDAP Browser\Editor von Jarek Gawor

(siehe

Seite 302 ).

Im Folgenden ist beschrieben, wie Sie den Principal User mithilfe des

LDAP Browser\Editor von Jarek Gawor erzeugen.

Gehen Sie wie folgt vor:

Ê

Starten Sie den LDAP Browser.

Ê

Loggen Sie sich beim OpenLDAP-Verzeichnisdienst mit gültigen

Authentisierungsdaten ein.

Ê

Wählen Sie den Teilbaum (Untergruppe), in dem der Principal User angelegt werden soll. Der Principal User kann an beliebiger Stelle dieses Baums angelegt werden.

Ê

Öffnen Sie das Menü Edit.

Ê

Wählen Sie Add Entry.

Ê

Wählen Sie Person.

Ê

Ändern Sie den Distinguished Name DN.

I

Distinguished Name (DN) und Passwort des Principal User müssen mit entsprechenden Angaben für die Konfiguration des iRMC S4

übereinstimmen (siehe Handbuch "iRMC S4 - integrated Remote

Management Controller").

Ê

Klicken Sie auf Set und geben Sie ein Passwort ein.

Ê

Geben Sie einen Nachnamen (Surname) SN ein.

Ê

Klicken Sie auf Apply.

User Management in ServerView

303

Globale Benutzerverwaltung für den iRMC S4

Neuen iRMC S2/S3-Benutzer erzeugen und den Berechtigungsgruppen zuordnen.

I

Verwenden Sie für Erzeugung eines neuen Benutzers (ObjectClass

Person

) sowie zur Zuordnung eines Benutzers zur

Berechtigungsgruppe einen LDAP-Browser, z.B. den LDAP

Browser\Editor von Jarek Gawor (siehe

Seite 302

).

Im Folgenden ist beschrieben, wie Sie mithilfe des LDAP Browser\Editor von Jarek Gawor einen neuen iRMC S4-Benutzer erzeugen und ihn zur

Berechtigungsgruppe hinzufügen.

Gehen Sie wie folgt vor:

Ê

Starten Sie den LDAP Browser.

Ê

Loggen Sie sich beim OpenLDAP-Verzeichnisdienst mit gültigen

Authentisierungsdaten ein.

Ê

Erzeugen Sie einen neuen Benutzer:

Gehen Sie hierbei wie folgt vor:

Ê

Wählen Sie den Teilbaum (Untergruppe), in dem der neue Benutzer angelegt werden soll. Der neue Benutzer kann an beliebiger Stelle des

Baums angelegt werden.

Ê

Öffnen Sie das Menü Edit.

Ê

Wählen Sie Add Entry.

Ê

Wählen Sie Person.

Ê

Ändern Sie den Distinguished Name DN.

Ê

Klicken Sie auf Set und geben Sie das Passwort ein.

Ê

Geben Sie einen Nachnamen (Surname) SN ein.

Ê

Klicken Sie auf Apply.

304

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Ê

Ordnen Sie den soeben erzeugten Benutzer der Berechtigungsgruppe zu.

Gehen Sie hierbei wie folgt vor:

Ê

Wählen Sie den Teilbaum (Untergruppe) von SVS, dem der Benutzer angehören soll, d.h.

cn=UserKVM,ou=YourDepartment,ou=Departments,ou=SVS, dc=myorganisation,dc=mycompany

Ê

Öffnen Sie das Menü Edit.

Ê

Wählen Sie Add Attribute.

Ê

Geben Sie als Attributnamen „Member“ ein. Als Wert geben Sie den vollqualifizierten DN zuvor erzeugten Benutzers an, also

cn=UserKVM,ou=YourDepartment,ou=Departments,ou=SVS, dc=myorganisation,dc=mycompany

User Management in ServerView

305

Globale Benutzerverwaltung für den iRMC S4

8.2.7.5

Tipps zur Administration von OpenLDAP

LDAP-Service neu starten

Um den LDAP-Service neu zu starten, verfahren Sie wie folgt:

Ê

Öffnen Sie die Command Box.

Ê

Melden Sie sich mit Root-Berechtigung an.

Ê

Geben Sie das folgende Kommando ein: rcldap restart

Meldungsprotokollierung

Für das Meldungslogging nutzt der LDAP-Dämon das Syslog-Protokoll.

I

Die protokollierten Meldungen werden nur angezeigt, wenn in der Datei

/etc/openldap/slapd.conf

ein Log-Level ungleich 0 eingestellt ist.

Erläuterungen zu den verschiedenen Leveln finden Sie unter:

http://www.zytrax.com/books/ldap/ch6/#loglevel

Tabelle 37 auf Seite 307 gibt einen Überblick über die Log-Level und ihre

Bedeutung.

306

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

32

64

128

256

512

1024

2048

2

4

8

16

Log-Level Bedeutung

-1

0

1 umfassendes Debugging kein Debugging

Funktionsaufrufe protokollieren

Paketverarbeitung testen

Heavy Trace Debugging

Verbindungsmanagement

Gesendete und empfangene Pakete anzeigen

Suchfilterverarbeitung

Konfigurationsdateiverarbeitung

Verarbeitung der Zugangskontrolllisten

Status-Logging für Verbindungen / Operationen /Ergebnisse

Status-Logging für gesendete Einträge

Kommunikation mit den Shell Backends ausgeben.

Ergebnisse des Entry Parsings ausgeben.

Tabelle 37: OpenLDAP - Log-Level

User Management in ServerView

307

Globale Benutzerverwaltung für den iRMC S4

8.2.8

E-Mail-Benachrichtigung an globale iRMC S4-

Benutzer konfigurieren

Die E-Mail-Benachrichtigung an globale iRMC S4-Benutzer ist in die globale iRMC S4-Benutzerverwaltung integriert. Das heißt, dass zentral und Plattform-

übergreifend über einen Verzeichnisserver konfiguriert und abgewickelt werden kann. Entsprechend konfigurierte globale Benutzerkennungen können E-Mail-

Benachrichtigungen von allen iRMC S4 erhalten, die mit dem Verzeichnisserver im Netz verbunden sind.

I

Voraussetzungen

Für die E-Mail-Benachrichtigung müssen folgende Voraussetzungen erfüllt sein:

– Globale E-Mail-Benachrichtigung setzt eine iRMC S4-Firmware der

Version 3.77A oder höher voraus, da eine LDAP v2-Struktur benötigt wird.

– In der iRMC S4-Web-Oberfläche muss ein Principal Benutzer konfiguriert sein, der berechtigt ist, im LDAP-Verzeichnisbaum

(LDAP Tree) zu suchen (siehe Handbuch "iRMC S4 - integrated

Remote Management Controller").

– Bei der Konfiguration der LDAP-Einstellungen auf der Seite

Verzeichnisdienst Konfiguration

muss unter Verzeichnisdienst E-

Mail Benachrichtigung

die E-Mail-Benachrichtigung konfiguriert sein (siehe Handbuch "iRMC S4 - integrated Remote Management

Controller").

308

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

8.2.8.1

Globale E-Mail-Benachrichtigung

Die globale E-Mail-Benachrichtigung via Verzeichnisserver erfordert

Benachrichtigungsgruppen (Alert Roles). Diese werden zusätzlich zu den

Authorization Roles in der Konfigurationsdatei des SVS_LdapDeployer

angegeben (siehe Seite 251

).

Benachrichtigungsgruppen (Alert Roles) anzeigen

Eine Benachrichtigungsgruppe umfasst eine Auswahl definierter

Benachrichtigungstypen (Alert Types, z.B. Temperaturüberschreitung) mit jeweils zugeordnetem Fehlergewicht (Severity, z.B. „kritisch“). Für Benutzer, die einer bestimmten Benachrichtigungsgruppe zugeordnet sind, legt die

Benachrichtigungsgruppe fest, bei welchen Benachrichtigungstypen und

Fehlergewichten die Benutzer per E-Mail benachrichtigt werden.

Die Syntax der Alert Roles ersehen Sie aus den Beispiel-Konfigurationsdateien

Generic_Settings.xml

und Generic_InitialDeploy.xml, die zusammen mit dem jar-Archiv SVS_LdapDeployer.jar auf der ServerView Suite DVD ausgeliefert werden.

Benachrichtigungstypen (Alert Types) anzeigen

Folgende Benachrichtigungstypen werden unterstützt:

Benachrichtigungstyp Ursache

FanSens Lüfter-Sensoren

Temperat Temperatur-Sensoren

Security Security

SysHang System-Hang

POSTErr Systemstart-Fehler

SysStat

DDCtrl

Systemstatus

Festplatten und Controller

NetInterf Netzwerk-Schnittstelle

SysPwr

Memory

Others

Energieverwaltung (Power Management)

Memory

Sonstiges

Tabelle 38: Benachrichtigungstypen (Alert-Types)

User Management in ServerView

309

Globale Benutzerverwaltung für den iRMC S4

Jedem Benachrichtigungstyp kann eines der folgenden Fehlergewichte

(Severity Level) zugeordnet werden: Warning, Critical, All, (none).

Bevorzugter Mail Server

Bei globaler E-Mail-Benachrichtigung gilt für den bevorzugten Mail-Server die

Einstellung Automatic: Falls die E-Mail nicht sofort erfolgreich versendet werden kann, weil z.B. der erste Mail-Server nicht verfügbar ist, wird E-Mail an den zweiten Mail-Server gesendet.

Unterstützte Mail-Formate

Es werden die folgenden Mail-Formate unterstützt:

– Standard

– Fixed Subject

– ITS-Format

– Fujitsu REMCS Format

I

Bei einem Mail-Format ungleich Standard müssen Sie die Benutzer der entsprechenden Mail-Format-Gruppe hinzufügen.

LDAP E-Mail-Tabelle

Wenn die E-Mail-Benachrichtigung konfiguriert ist (siehe

Seite 312

) und die

Option LDAP E-Mail aktiviert gesetzt ist, sendet der iRMC S4 im Fall einer

Alarmbenachrichtigung E-Mails an (siehe auch Handbuch "iRMC S2/S3 - integrated Remote Management Controller")

– alle entsprechend konfigurierten lokalen iRMC S4-Benutzer,

– alle globalen iRMC S4-Benutzer, die in der LDAP E-Mail-Tabelle für diese

Alarmbenachrichtigung registriert sind.

Die LDAP E-Mail-Tabelle wird in der iRMC S4-Firmware erstmalig beim

Erststart des iRMC S4 angelegt und danach in regelmäßigen Abständen aktualisiert. Der Umfang der LDAP E-Mail-Tabelle ist begrenzt auf maximal 64

LDAP-Benachrichtigungsgruppen sowie auf maximal 64 globale iRMC S4-

Benutzer, für die E-Mail-Benachrichtigung konfiguriert ist.

I

Es wird empfohlen, für die globale E-Mail-Benachrichtigung E-Mail-

Verteiler zu verwenden.

310

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

Für die E-Mail-Benachrichtigung ermittelt der LDAP-Verzeichnisserver aus der

E-Mail-Tabelle folgende Informationen:

●

Liste der globalen iRMC S4-Benutzer, für die E-Mail-Benachrichtigung konfiguriert ist.

Für jeden globalen iRMC S4-Benutzer:

●

– Liste der konfigurierten Alarmbenachrichtigungen des jeweiligen Alerts

(Art und Fehlergewicht)

– Gewünschtes Mail-Format

Die LDAP E-Mail-Tabelle wird bei folgenden Anlässen aktualisiert:

– Erst-/Neustart des iRMC S4,

– Änderung der LDAP-Konfiguration,

– In regelmäßigen Abständen (optional). Das Aktualiserungsintervall legen

Sie bei der LDAP-Konfiguration in der iRMC S4-Web-Oberfläche fest (Seite in der Option LDAP E-Mail Tabellen aktualisieren (siehe Handbuch

"iRMC S4 - integrated Remote Management Controller" und die Option

LDAP E-Mail Tabellen aktualisieren

).

User Management in ServerView

311

Globale Benutzerverwaltung für den iRMC S4

Globale E-Mail-Benachrichtigung auf dem Verzeichnisserver konfigurieren

Nachfolgend ist beschrieben, wie Sie die E-Mail-Benachrichtigung auf dem

Verzeichnisserver konfigurieren.

I

Zusätzlich sind Einstellungen für den iRMC S4 erforderlich. Sie konfigurieren diese an der iRMC S4-Web-Oberfläche (siehe Handbuch

"iRMC S4 - integrated Remote Management Controller").

Gehen Sie wie folgt vor:

Ê

Tragen Sie im Verzeichnisdienst die E-Mail-Adressen der Benutzer ein, an die E-Mails gesendet werden sollen.

I

Das Verfahren zur Konfiguration der E-Mail Adresse unterscheidet sich je nach verwendetem Verzeichnisdienst (Active Directory, eDirectory oder OpenLdap).

Ê

Erstellen Sie eine Konfigurationsdatei, in der die Alert Roles definiert sind.

Ê

Starten Sie den SVS_LdapDeployer mit dieser Konfigurationsdatei, um eine entsprechende LDAP v2-Struktur (SVS) auf dem Verzeichnisserver zu generieren (siehe

Seite 252 und

Seite 258 ).

312

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

8.2.8.2

Benachrichtigungsgruppen (Alert Roles) anzeigen

Nach der Generierung der LDAP v2-Struktur wird z.B. in Active Directory die neu angelegte OU SVS mit den Komponenten Alert Roles und Alert Types unter Declarations sowie mit der Komponente Alert Roles unter DeptX angezeigt (siehe

Bild 87

):

– Unter Declarations zeigt Alert Roles alle definierten Alert Roles an,

Alert Types

werden alle Benachrichtigungstypen angezeigt (1).

– Unter DeptX zeigt Alert Roles alle in der OU DeptX gültigen Alert Roles an

(2).

(1)

(2)

Bild 87: OU SVS mit Alert Roles

I

Damit an die Benutzer der einzelnen Benachrichtigungsgruppen E-Mails versendet werden, muss am iRMC S4 die zugehörige Abteilung

(Department, in

Bild 87

: DeptX) konfiguriert sein (siehe Handbuch

"iRMC S4 - integrated Remote Management Controller").

User Management in ServerView

313

Globale Benutzerverwaltung für den iRMC S4

Wenn Sie im Strukturbaum von Active Directory-Benutzer und -Computer

(siehe

Bild 88

) unter SVS – Departments – DeptX – Alert Roles eine

Benachrichtigungsgruppe (Alert Role, z.B. StdSysAlerts) auswählen (1) und via Kontextmenü Eigenschaften – Mitglieder den Eigenschaften-Dialog für diese Benachrichtigungsgruppe öffnen, werden in der Registerkarte Mitglieder die Benutzer angezeigt (2), die der Benachrichtigungsgruppe (hier:

StdSysAlerts

) angehören.

(2)

(1)

Bild 88: Benutzer mit der Alert Role „StdSysAlert“

314

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

8.2.8.3

iRMC S4-Benutzer einer Benachrichtigungsgruppe (Alert Role) zuordnen

Die Zuordnung von iRMC S4-Benutzern zu Benachrichtigungsgruppen (Alert

Roles) können Sie wahlweise vornehmen

– ausgehend vom Benutzereintrag oder

– ausgehend vom Rolleneintrag.

In the various different directory services (Microsoft Active Directory, Novell

?eDirectory and OpenLDAP), iRMC S4 users are assigned to iRMC S4 alert roles in the same way in which iRMC S4 users are assigned to iRMC S4 authorization roles and using the same tools.

In Active Directory z.B. treffen Sie die Zuordnung über die Schaltfläche Add... im Eigenschaften-Dialog des Snap-in Active Directory Benutzer und -

Computer

(siehe Bild 88 auf Seite 314 ).

User Management in ServerView

315

Globale Benutzerverwaltung für den iRMC S4

8.2.9

SSL Copyright

Die iRMC S4-LDAP-Integration verwendet die auf dem OpenSSL Project basierende SSL Implementation von Eric Young.

316

User Management in ServerView

Globale Benutzerverwaltung für den iRMC S4

User Management in ServerView

317

Globale Benutzerverwaltung für den iRMC S4

318

User Management in ServerView