Configuration de l'authentification LDAP. SAP 4.1

पीडीएफ

दस्तावेज़

Authentification

•

Configuration du plug-in LDAP pour SiteMinder

9.3.2 Configuration de l'authentification LDAP

Pour simplifier la gestion, la plateforme de BI prend en charge l'authentification LDAP pour les comptes d'utilisateurs et de groupes. Pour que les utilisateurs puissent utiliser leur nom d'utilisateur et leur mot de passe LDAP pour se connecter au système, vous devez mapper leur compte LDAP à la plateforme de BI. Lorsque vous mappez un compte LDAP, vous pouvez choisir de créer un compte ou d'établir un lien vers un compte de la plateforme de BI existant.

Avant de configurer et d'activer l'authentification LDAP, vérifiez que le répertoire LDAP est configuré.

Pour en savoir plus, reportez-vous à la documentation relative à LDAP.

La configuration de l'authentification LDAP comprend les tâches suivantes :

• Configuration de l'hôte LDAP

• Préparation du serveur LDAP pour SSL (si nécessaire)

• Configuration du plug-in LDAP pour SiteMinder (si nécessaire)

Remarque :

Si vous configurez LDAP par rapport à AD, vous pourrez mapper vos utilisateurs, mais vous ne serez pas en mesure de configurer une connexion unique AD ou une connexion unique à la base de données.

Cependant, les méthodes de connexion unique LDAP telles que SiteMinder et l'authentification sécurisée seront toujours disponibles.

263

9.3.2.1 Pour configurer l'hôte LDAP

Il est conseillé d'installer et d'exécuter le serveur LDAP avant de configurer l'hôte LDAP.

Dans la liste de navigation, sélectionnez Authentification pour accéder à la zone de gestion

"Authentification" de la CMC.

Cliquez deux fois sur LDAP.

Si vous configurez l'authentification LDAP pour la première fois, cliquez sur Démarrer l'Assistant

de configuration LDAP.

Saisissez le nom et le numéro de port de vos hôtes LDAP dans le champ Ajouter un hôte LDAP

(nomhôte:port) (par exemple, "monserveur:123"), cliquez sur Ajouter, puis sur Suivant.

Conseil :

Répétez cette étape pour ajouter d'autres hôtes LDAP appartenant au même type de serveur, qui feront office de serveurs de basculement. Si vous voulez supprimer un hôte, mettez en surbrillance le nom de l'hôte et cliquez sur Supprimer.

2013-07-02

Authentification

264

Sélectionnez votre type de serveur dans la liste Type de serveur LDAP.

Remarque :

Si vous mappez LDAP à AD, sélectionnez le type de serveur Serveur d'applications Microsoft

Active Directory.

Si vous souhaitez afficher ou modifier les mappages des attributs du serveur LDAP ou les attributs de recherche LDAP par défaut, cliquez sur Afficher les mappages des attributs.

Par défaut, les mappages des attributs du serveur et les attributs de recherche de chaque type de serveur pris en charge sont définis.

Cliquez sur Suivant.

Dans le champ Nom distinctif LDAP de base, saisissez le nom distinctif (par exemple, o=UneBase) du serveur LDAP, puis cliquez sur Suivant.

Dans la zone "Références d'administration du serveur LDAP", indiquez le nom distinctif et le mot de passe d'un compte utilisateur disposant d'un accès en lecture au répertoire.

Les références d'administrateur ne sont pas requises.

Si votre serveur LDAP permet la liaison anonyme, ne renseignez pas cette zone. Les serveurs et les clients de la plateforme de BI se connecteront à l'hôte principal via une connexion anonyme.

10.

Si vous avez configuré des références sur l'hôte LDAP, saisissez les informations d'authentification dans la zone "Références de connexion LDAP", puis saisissez le nombre de tronçons de référence dans le champ Nombre maximal de tronçons de référence.

Vous devez configurer la zone "Références LDAP" si tous les critères suivants s'appliquent :

• L'hôte principal a été configuré pour faire référence à un autre serveur d'annuaire qui traite les requêtes concernant les entrées dans une base spécifiée.

• L'hôte auquel il est fait référence a été configuré de manière à ne pas autoriser la liaison anonyme.

• Un groupe de l'hôte auquel il est fait référence sera mappé à la plateforme de BI.

Remarque :

• Les groupes peuvent être mappés à partir de plusieurs hôtes mais seul un ensemble de références de connexion peut être défini. Par conséquent, si vous disposez de plusieurs hôtes de référence, vous devez créer un compte d'utilisateur sur chaque hôte qui utilise les mêmes nom distinctif et mot de passe.

• Si le Nombre maximal de tronçons de référence est défini sur zéro, aucune référence n'est autorisée.

11.

Cliquez sur Suivant.

12.

Sélectionnez le type d'authentification SSL (Secure Sockets Layer) utilisé :

• De base (non SSL)

• Authentification du serveur

• Authentification mutuelle

Les informations et prérequis pour l'authentification du serveur et l'authentification mutuelle sont abordés dans une section ultérieure. Pour configurer l'authentification LDAP à l'aide d'un des types

2013-07-02

Authentification de SSL, consultez Configuration des paramètres SSL pour l'authentification mutuelle ou l'authentification du serveur LDAP dans ce document avant de poursuivre la procédure.

13.

Cliquez sur Suivant, puis sélectionnez un mode d'authentification de connexion unique LDAP :

• De base (pas de connexion unique)

• SiteMinder

14.

Cliquez sur Suivant, puis sélectionnez le mode de mappage des alias et utilisateurs aux comptes de la plateforme de BI.

Dans la zone "Options de nouvel alias", sélectionnez le mode de mappage des nouveaux alias aux comptes Enterprise :

• Affecter à un même compte chaque alias LDAP ajouté

Utilisez cette option lorsque vous savez que certains utilisateurs possèdent un compte

Enterprise portant le même nom ; cela signifie que les alias LDAP seront affectés aux utilisateurs existants (la création d'alias automatique est activée). Les utilisateurs dépourvus de compte Enterprise, ou ne portant pas le même nom dans leur compte Enterprise et LDAP, sont ajoutés en tant que nouveaux utilisateurs.

• Créer un nouveau compte pour chaque alias LDAP ajouté

Utilisez cette option pour créer un compte pour chaque utilisateur.

Dans la zone "Options de mise à jour des alias", sélectionnez le mode de gestion des mises à jour des alias pour les comptes Enterprise :

• Créer de nouveaux alias lors de la mise à jour des alias

Utilisez cette option pour créer automatiquement un nouvel alias pour chaque utilisateur LDAP mappé à la plateforme de BI. De nouveaux comptes LDAP sont ajoutés pour les utilisateurs dépourvus de comptes de la plateforme de BI, ou pour tous les utilisateurs si vous avez sélectionné l'option Créer un nouveau compte pour chaque alias LDAP ajouté.

• Créer de nouveaux alias uniquement lorsque l'utilisateur se connecte

Sélectionnez cette option si l'annuaire LDAP que vous mappez contient de nombreux utilisateurs dont seulement quelques-uns utiliseront la plateforme de BI. Le système ne crée pas automatiquement d'alias ni de comptes Enterprise pour tous les utilisateurs. Elle crée plutôt des alias (et des comptes, le cas échéant) uniquement pour les utilisateurs qui se connectent à la plateforme de BI.

Dans la zone "Options de nouvel utilisateur", indiquez le nombre d'utilisateurs créés :

• Les nouveaux utilisateurs sont créés en tant qu'utilisateurs nommés

Les nouveaux comptes d'utilisateur sont configurés de manière à utiliser des licences

Utilisateurs nommés. Les licences Utilisateur nommé sont associées à des utilisateurs particuliers qui peuvent accéder au système en saisissant un nom d'utilisateur et un mot de passe. Ainsi, les utilisateurs nommés peuvent accéder au système, quel que soit le nombre de personnes connectées. Il faut qu'une licence Utilisateurs nommés soit disponible pour chaque compte d'utilisateur créé à l'aide de cette option.

• Les nouveaux utilisateurs sont créés en tant qu'utilisateurs simultanés

265 2013-07-02

Authentification

Les nouveaux comptes d'utilisateur sont configurés de manière à utiliser des licences

Utilisateurs simultanés. Les licences d'accès simultané spécifient le nombre d'utilisateurs pouvant se connecter en même temps à la plateforme de BI. Cette licence est tout à fait adaptée dans la mesure où elle peut accepter de nombreux utilisateurs. Par exemple, suivant la fréquence et la durée des connexions des utilisateurs à la plateforme, une licence pour

100 utilisateurs simultanés peut prendre en charge 250, 500 ou 700 utilisateurs.

15.

Suivez cette étape si vous configurez des mappages d'attributs utilisateur ou si vous prévoyez d'importer des adresses électroniques depuis le serveur LDAP. Dans la zone "Options de liaison d'attributs", spécifiez la priorité de liaison d'attributs pour le plug-in AD : a.

Cliquez dans la zone Importer le nom complet, l'adresse électronique et d'autres attributs.

Les noms complets et les descriptions des comptes LDAP sont importés et stockés avec les objets utilisateur dans le système.

Spécifiez une option pour Rendre la liaison d'attributs LDAP prioritaire par rapport aux

autres liaisons d'attributs.

Remarque :

Si l'option est définie sur 1, les attributs LDAP sont prioritaires dans les scénarios où LDAP et les autres plug-ins (Windows AD et SAP) sont activés. Si l'option est définie sur 3, les attributs des autres plug-ins sont prioritaires.

16.

Cliquez sur Terminer.

Rubriques associées

•

Configuration des paramètres SSL pour l'authentification mutuelle ou l'authentification du serveur

LDAP

•

Configuration du plug-in LDAP pour SiteMinder

266

9.3.2.2 Gestion des hôtes LDAP multiples

Lors de l'utilisation de LDAP et de la plateforme de BI, vous pouvez rendre votre système tolérant aux pannes en ajoutant plusieurs hôtes LDAP. Le système utilise comme hôte LDAP principal le premier hôte que vous ajoutez. Les hôtes suivants sont traités en tant qu'hôtes de basculement.

L'hôte LDAP principal et tous les hôtes de basculement doivent être configurés exactement de la même façon, et chaque hôte LDAP doit faire référence à tous les autres hôtes à partir desquels vous souhaitez mapper des groupes. Pour obtenir davantage d'informations sur les hôtes et les références LDAP, reportez-vous à la documentation relative à LDAP.

Pour ajouter plusieurs hôtes LDAP, saisissez-les lorsque vous configurez LDAP à l'aide de l'Assistant de configuration LDAP (voir pour plus d'informations). Si vous avez déjà configuré LDAP, vous pouvez accéder à la zone de gestion Authentification de la Central Management Console puis cliquer sur l'onglet

LDAP. Dans la zone Résumé de la configuration du serveur LDAP, cliquez sur le nom de l'hôte LDAP pour ouvrir la page qui vous permet d'ajouter ou de supprimer des hôtes.

2013-07-02

Authentification

Remarque :

• Assurez-vous d'ajouter en premier l'hôte principal, suivi des autres hôtes de basculement.

• Si vous recourez à des hôtes LDAP de basculement, vous ne pouvez pas utiliser le niveau le plus

élevé de sécurité SSL (en d'autres termes, vous ne pouvez pas sélectionner l'option "Accepter le certificat du serveur s'il provient d'une autorité de certification fiable et si l'attribut CN du certificat correspond au nom d'hôte DNS du serveur").

Rubriques associées

•

Configuration de l'authentification LDAP

9.3.2.3 Configuration des paramètres SSL pour l'authentification mutuelle ou l'authentification du serveur LDAP

Cette section contient des informations détaillées sur l'authentification mutuelle ou l'authentification du serveur LDAP par SSL. La configuration d'une authentification par SSL requiert des étapes préliminaires.

Cette section fournit aussi des informations spécifiques à la configuration SSL avec l'authentification mutuelle et l'authentification du serveur LDAP dans la CMC. Il est supposé que vous avez configuré l'hôte LDAP et que vous avez sélectionné l'une des options suivantes pour votre authentification SSL :

Pour en savoir plus ou pour obtenir des informations sur la configuration du serveur hôte LDAP, reportez-vous à la documentation de votre fournisseur LDAP.

Rubriques associées

•

Pour configurer l'hôte LDAP

267 2013-07-02

Authentification

9.3.2.3.1 Pour configurer l'authentification serveur ou mutuelle LDAP

Ressources

Certificat CA

Certificat de serveur cert7.db ou cert8.db, key3.db

cacerts

Effectuez les actions suivantes avant de démarrer cette tâche

Cette action est requise pour l'authentification serveur et mutuelle avec

SSL.

Obtenez la génération d'un certificat CA par une autorité de certification.

Ajoutez le certificat à votre serveur LDAP.

Pour en savoir plus, voir la documentation de votre fournisseur de contenus

LDAP.

Cette action est requise pour l'authentification serveur et mutuelle avec

SSL.

Demandez puis générez un certificat de serveur.

Autorisez le certificat, puis ajoutez-le au serveur LDAP.

Ces fichiers sont requis pour l'authentification serveur et mutuelle avec

SSL.

Téléchargez l'application certutil qui génère un fichier cert7.db ou cert8.db

(selon vos besoins) depuis l'adresse : ftp://ftp.mo

zilla.org/pub/mozilla.org/security/nss/releases/NSS_3_6_RTM/ .

Copiez le certificat CA dans le même répertoire que l'application certutil.

Utilisez la commande suivante pour générer les fichiers cert7.db ou cert8.db

, key3.db et secmod.db : certutil -N -d .

Utilisez la commande suivante pour ajouter le certificat CA au fichier cert7.db

ou cert8.db : certutil -A -n <CA_alias_name> -t CT -d . -I cacert.cer

Stockez les trois fichiers dans un répertoire de l'ordinateur hébergeant la plateforme de Business Intelligence (BI).

Ce fichier est requis pour l'authentification serveur ou mutuelle avec SSL pour les applications Java comme la zone de lancement BI.

Recherchez le fichier keytool dans votre répertoire bin Java.

Utilisez la commande suivante pour créer le fichier cacerts : keytool -import -v -alias <CA_alias_name> -file <CA_certificate_name> trustcacerts -keystore

Stockez le fichier cacerts dans le même répertorie que les fichiers cert7.db

ou cert8.db et key3.db.

Certificat client

268 2013-07-02

Authentification

269

Ressources Effectuez les actions suivantes avant de démarrer cette tâche

Créez des demandes client distinctes pour les fichiers cert7.db ou cert8.db

et .keystore :

• Pour configurer le plug-in LDAP, utilisez l'application certutil pour générer une demande de certificat client.

• Utilisez la commande suivante pour générer la demande de certificat client : certutil -R -s "<client_dn>" -a -o <certificate_request_name> -d .

<client_dn> inclut des informations telles que "CN=<clie nt_name> , OU=org unit, O=Companyname, L=city, ST=provi nce , and C=country.

Utilisez le CA pour authentifier la demande de certificat. Utilisez la commande suivante pour retrouver le certificat et l'insérer dans le fichier cert7.db

ou cert8.db : certutil -A -n <client_name> -t Pu -d . -I <client_certificate_name>

Pour faciliter l'authentification Java avec SSL :

• Utilisez l'utilitaire keytool dans le répertoire Java bin pour générer une demande de certificat client.

• Utilisez la commande suivante pour générer une paire clé : keytool -genkey -keystore .keystore

Après avoir spécifié les informations sur votre client, utilisez la commande suivante pour générer une demande de certificat client : keytool -certreq -file <certificate_request_name> -keystore .keystore

Une fois la demande de certificat client authentifiée par l'autorité de certification (CA), utilisez la commande suivante pour ajouter le certificat

CA au fichier .keystore : keytool -import -v -alias <CA_alias_name> -file <ca_certificate_name> -tru stcacerts -keystore .keystore

Récupérez la demande de certificat client auprès de l'autorité de certification et utilisez la commande suivante pour l'ajouter au fichier .keys

tore : keytool -import -v -file <client_certificate_name> -trustcacerts -keystore

.keystore

Stockez le fichier .keystore dans le même répertoire que les fichiers cert7.db

ou cert8.db et cacerts sur l'ordinateur hébergeant la plateforme de BI.

Sélectionnez le niveau de sécurité SSL à utiliser.

Si vous utilisez l'Assistant de configuration LDAP pour configurer l'authentification LDAP pour la première fois, sélectionnez Authentification mutuelle dans la liste "Type d'authentification SSL",

2013-07-02

Authentification

270 puis cliquez sur Suivant. Sinon, si vous reconfigurez la configuration de l'authentification LDAP, accédez à la zone Authentification de la CMC, puis cliquez deux fois sur LDAP. La page "Résumé de la configuration du serveur LDAP" s'affiche. Cliquez sur la valeur Type SSL, puis sélectionnez

Authentification mutuelle dans la liste "Type d'authentification SSL".

• Toujours accepter le certificat du serveur

Cette option offre le niveau de sécurité le plus faible. Avant que la plateforme de BI ne puisse

• Accepter le certificat du serveur s'il provient d'une autorité de certification fiable

Cette option offre un niveau de sécurité moyen. Avant que la plateforme de BI ne puisse établir une connexion SSL avec l'hôte LDAP (pour authentifier les utilisateurs et groupes LDAP), elle doit recevoir et vérifier un certificat de sécurité envoyé par l'hôte. Pour vérifier le certificat, le système doit rechercher l'autorité de certification ayant émis le certificat dans sa base de données des certificats.

• Accepter le certificat du serveur s'il provient d'une autorité de certification fiable et si l'attribut CN du certificat correspond au nom d'hôte DNS du serveur

Cette option offre le niveau de sécurité le plus élevé. Avant que la plateforme de BI ne puisse

établir une connexion SSL avec l'hôte LDAP (pour authentifier les utilisateurs et groupes LDAP), elle doit recevoir et vérifier un certificat de sécurité envoyé par l'hôte LDAP. Pour vérifier le certificat, la plateforme de BI doit rechercher l'autorité de certification ayant émis le certificat dans sa base de données des certificats et pouvoir confirmer que l'attribut CN du certificat du serveur correspond exactement au nom d'hôte LDAP saisi dans la zone Ajouter un hôte LDAP lors de la première étape de l'Assistant, si vous avez entré le nom d'hôte LDAP sous la forme ABA

LONE.rd.crystald.net:389. (L'utilisation de CN =ABALONE:389 dans le certificat ne fonctionne pas.).

Le nom d'hôte associé au certificat de sécurité du serveur est le nom d'hôte LDAP principal. Si vous sélectionnez cette option, vous ne pouvez pas utiliser un hôte LDAP de basculement.

Remarque :

Les applications Java ignorent les premier et dernier paramètres et acceptent le certificat du serveur uniquement si celui-ci provient d'une autorité de certification de confiance.

Dans la zone Hôte SSL, saisissez le nom d'hôte de chaque ordinateur, puis cliquez sur Ajouter.

Ensuite, vous devez ajouter le nom d'hôte de chaque ordinateur du déploiement de la plateforme

BI qui utilise son SDK. (Cela concerne l'ordinateur sur lequel s'exécute le CMS (Central Management

Server) et celui sur lequel s'exécute le serveur d'applications Web.)

Spécifiez les paramètres SSL pour chaque hôte SSL ajouté à la liste : a.

Sélectionnez Par défaut dans la liste SSL.

Décochez les cases Utiliser la valeur par défaut.

Saisissez une valeur dans les zones Chemin d'accès aux fichiers de certificats et de base

de données de clés et Mot de passe d'accès à la base de données des clés.

Si vous spécifiez les paramètres d'une authentification mutuelle, saisissez une valeur dans la zone Surnom du certificat du client dans la base de données de certificats.

2013-07-02

Authentification

Remarque :

Les paramètres par défaut seront utilisés (pour toute définition) pour n'importe quel hôte où la case

Utiliser la valeur par défaut est cochée ou pour tout ordinateur dont le nom n'est pas ajouté à la liste des hôtes SSL.

Spécifiez les paramètres par défaut de chaque hôte qui n'apparaît pas dans la liste, puis cliquez sur Suivant.

Pour spécifier les paramètres d'un autre hôte, sélectionnez le nom d'hôte dans la liste de gauche, puis saisissez les valeurs dans les zones de droite.

Remarque :

Les paramètres par défaut seront utilisés (pour toute définition) pour n'importe quel hôte où la case

Utiliser la valeur par défaut est cochée ou pour tout ordinateur dont le nom n'est pas ajouté à la liste des hôtes SSL.

Sélectionnez De base (pas de connexion unique) ou SiteMinder comme mode d'authentification de connexion unique LDAP.

Choisissez le mode de création de nouveaux utilisateurs et alias LDAP.

Cliquez sur Terminer.

Rubriques associées

•

Configuration du plug-in LDAP pour SiteMinder

271

9.3.2.4 Modification des paramètres de configuration LDAP

Après avoir configuré l'authentification LDAP à l'aide de l'Assistant de configuration LDAP, vous pouvez modifier les paramètres de connexion et les groupes de membres LDAP sur la page "Résumé de la configuration du serveur LDAP".

Accédez à la zone de gestion Authentification de la CMC.

Cliquez deux fois sur LDAP.

Si l'authentification LDAP est configurée, la page "Résumé de la configuration du serveur LDAP" s'affiche. Sur cette page, vous pouvez modifier toutes les zones ou les champs des paramètres de connexion et les options de la zone "Groupes des membres LDAP mappés".

Supprimez les groupes mappés actuellement qui ne seront plus accessibles selon les nouveaux paramètres de connexion, puis cliquez sur Mettre à jour.

Vous pouvez supprimer les groupes mappés en sélectionnant le groupe d'utilisateurs, puis en cliquant sur le bouton Supprimer dans la section "Groupes des membres LDAP mappés".

Modifiez les paramètres de connexion, puis cliquez sur Mettre à jour.

Si nécessaire, modifiez les "Options de nouvel alias", "Options de mise à jour des alias" et "Options de nouvel utilisateur", puis cliquez sur Mettre à jour.

Mappez les nouveaux groupes de membres LDAP, puis cliquez sur Mettre à jour.

2013-07-02

Authentification

272

9.3.2.5 Configuration du plug-in LDAP pour SiteMinder

Cette section explique comment configurer la CMC pour utiliser LDAP avec SiteMinder. SiteMinder est un outil tiers qui permet l'authentification et l'accès des utilisateurs et qui peut être employé avec le plug-in de sécurité LDAP pour créer une connexion unique à la plateforme de BI.

Pour utiliser SiteMinder et LDAP avec la plateforme de BI, vous devez apporter des modifications de configuration à deux endroits :

• Plug-in LDAP via la CMC

• Propriétés du fichier BOE.war

Remarque :

Vérifiez que l'administrateur SiteMinder a activé la prise en charge des agents 4.x. Cette activation doit

être effectuée quelle que soit la version SiteMinder prise en charge que vous utilisez. Pour en savoir plus sur SiteMinder et sur son installation, reportez-vous à sa documentation.

Rubriques associées

•

Pour configurer l'hôte LDAP

9.3.2.5.1 Pour configurer LDAP pour la connexion unique avec SiteMinder

Ouvrez l'écran Configurez les paramètres SiteMinder à l'aide d'une des méthodes suivantes :

• Sélectionnez SiteMinder dans l'écran "Choisissez un mode d'authentification de connexion unique

LDAP" de l'Assistant de configuration LDAP.

• Sélectionnez Type de connexion unique dans l'écran d'authentification LDAP, disponible si vous avez déjà configuré LDAP et que vous ajoutez maintenant la connexion unique.

Dans la zone Hôte serveur de règles, saisissez le nom de chaque serveur de règles, puis cliquez sur Ajouter.

Pour chaque hôte serveur de règles, indiquez le numéro des ports de comptabilisation, d'Authentification et d'autorisation.

Saisissez le Nom de l'agent et le Secret partagé. Saisissez à nouveau le secret partagé dans la zone "Confirmer le secret partagé".

Cliquez sur Suivant.

Poursuivez par la configuration des options LDAP.

9.3.2.5.2 Pour activer LDAP et SiteMinder dans le fichier BOE.war

Outre la spécification des paramètres SiteMinder pour le plug-in de sécurité LDAP, les paramètres

SiteMinder doivent être spécifiés pour les propriétés du fichier BOE.war.

Accédez au répertoire <REPINSTALL>\SAP BusinessObjects Enterprise XI 4.0\war files\webapps\BOE\WEB-INF\config\custom\ de l'installation de la plateforme de BI.

2013-07-02