Mappage des groupes LDAP. SAP 4.1

Authentification

2.

Créez un fichier à l'aide de Notepad ou d'un autre éditeur de texte.

3.

Entrez l'instruction suivante : siteminder.authentication=secLDAP siteminder.enabled=true

4.

Fermez le fichier et enregistrez-le sous le nom global.properties, sans extension de fichier.

5.

Créez un autre fichier dans le même répertoire.

6.

Entrez l'instruction suivante : authentication.default=secLDAP cms.default=[your cms name]:[the CMS port number]

Par exemple : authentication.default=secLDAP cms.default=mycms:6400

7.

Fermez le fichier et enregistrez-le sous le nom bilaunchpad.properties.

Les nouvelles propriétés ne prennent effet que lorsque l'application Web BOE modifiée est redéployée sur l'ordinateur exécutant le serveur d'applications Web. Utilisez WDeploy pour redéployer le fichier

WAR sur le serveur d'applications Web. Pour en savoir plus sur l'utilisation de WDeploy, voir le Guide de déploiement d'applications Web de la plateforme SAP BusinessObjects Business Intelligence.

9.3.3 Mappage des groupes LDAP

Après avoir configuré l'hôte LDAP à l'aide de l'Assistant de configuration LDAP, vous pouvez mapper les groupes LDAP aux groupes Enterprise.

Après avoir mappé les groupes LDAP, vous pouvez les afficher en cliquant sur les options LDAP dans la zone de gestion Authentification. Si l'authentification LDAP est configurée, la zone Groupes des membres LDAP mappés affiche les groupes LDAP mappés à la plateforme de BI.

Remarque :

Vous pouvez également mapper les groupes Windows AD pour qu'ils soient authentifiés dans la plateforme de BI via le plug-in de sécurité LDAP.

Remarque :

Si vous avez configuré LDAP par rapport à AD, cette procédure mappera vos groupes AD.

Rubriques associées

•

Mappage de LDAP par rapport à Windows AD

273 2013-07-02

Authentification

274

9.3.3.1 Pour mapper des groupes LDAP à l'aide de la plateforme de BI.

1.

Accédez à la zone de gestion "Authentification" de la CMC.

2.

Cliquez deux fois sur LDAP.

Si l'authentification LDAP est configurée, la page de résumé LDAP apparaît.

3.

Dans la zone "Groupes des membres LDAP mappés", spécifiez votre groupe LDAP (soit par un nom commun ou un nom distinct) dans le champ Ajouter un groupe LDAP (par cn ou dn) et cliquez sur Ajouter.

Répétez cette étape pour chaque groupe LDAP que vous souhaitez ajouter. Pour supprimer un groupe, mettez-le en surbrillance et cliquez sur Supprimer.

4.

Dans la zone "Options de nouvel alias", sélectionnez le mode de mappage des alias LDAP aux comptes Enterprise :

• Affecter à un même compte chaque alias LDAP ajouté

Utilisez cette option lorsque vous savez que certains utilisateurs possèdent un compte Enterprise existant portant le même nom (cela signifie que les alias LDAP seront affectés aux utilisateurs existants ; la création d'alias automatique est activée). Les utilisateurs dépourvus de compte

Enterprise, ou ne portant pas le même nom dans leur compte Enterprise et LDAP, sont ajoutés en tant que nouveaux utilisateurs LDAP.

• Créer un nouveau compte pour chaque alias LDAP ajouté

Utilisez cette option pour créer un compte pour chaque utilisateur.

5.

Dans la zone "Options de mise à jour des alias", sélectionnez une option pour déterminer si les alias

LDAP sont automatiquement créés pour les nouveaux utilisateurs :

• Créer de nouveaux alias lors de la mise à jour des alias

Utilisez cette option pour créer automatiquement un nouvel alias pour chaque utilisateur LDAP mappé à la plateforme de BI. De nouveaux comptes LDAP sont ajoutés pour les utilisateurs dépourvus de compte de la plateforme de BI, ou pour tous les utilisateurs si vous avez sélectionné l'option Créer un nouveau compte pour chaque alias LDAP ajouté et cliqué sur Mettre à jour.

• Créer de nouveaux alias uniquement lorsque l'utilisateur se connecte

Sélectionnez cette option si l'annuaire LDAP que vous mappez contient de nombreux utilisateurs dont seulement quelques-uns utiliseront la plateforme de BI. Le système ne crée pas automatiquement d'alias ni de comptes Enterprise pour tous les utilisateurs. Il crée plutôt des alias (et des comptes, le cas échéant) uniquement pour les utilisateurs qui se connectent à la plateforme de BI.

6.

Si votre licence de plateforme de BI est basée sur les rôles utilisateur, sélectionnez une option dans la zone "Options de nouvel utilisateur" pour indiquer les propriétés des nouveaux comptes Enterprise créés à mapper aux comptes LDAP :

2013-07-02

Authentification

• Les nouveaux utilisateurs sont créés en tant qu'utilisateurs nommés

Les nouveaux comptes d'utilisateur sont configurés de manière à utiliser des licences Utilisateurs nommés. Les licences Utilisateur nommé sont associées à des utilisateurs particuliers qui peuvent accéder au système en saisissant un nom d'utilisateur et un mot de passe. Ainsi, les utilisateurs nommés peuvent accéder au système, quel que soit le nombre de personnes connectées. Il faut qu'une licence Utilisateurs nommés soit disponible pour chaque compte d'utilisateur créé à l'aide de cette option.

• Les nouveaux utilisateurs sont créés en tant qu'utilisateurs simultanés

Les nouveaux comptes d'utilisateur sont configurés de manière à utiliser des licences Utilisateurs simultanés. Les licences d'accès simultanés spécifient le nombre d'utilisateurs pouvant se connecter en même temps à la plateforme de BI. Cette licence est tout à fait adaptée dans la mesure où elle peut accepter de nombreux utilisateurs. Par exemple, suivant la fréquence et la durée des connexions des utilisateurs au système, une licence pour 100 utilisateurs simultanés peut prendre en charge 250, 500 ou 700 utilisateurs.

7.

Cliquez sur Mettre à jour.

9.3.3.2 Pour démapper les groupes LDAP à l'aide de la plateforme de BI

1.

Accédez à la zone de gestion Authentification de la CMC.

2.

Cliquez deux fois sur LDAP.

Si l'authentification LDAP est configurée, la page de résumé LDAP apparaît.

3.

Dans la zone "Groupes des membres LDAP mappés", sélectionnez le groupe LDAP que vous voulez supprimer.

4.

Cliquez sur Supprimer, puis sur Mettre à jour.

Les utilisateurs appartenant à ce groupe ne pourront pas accéder à la plateforme de BI.

Remarque :

La seule exception possible se produit lorsqu'un utilisateur dispose d'un alias pour un compte

Enterprise. Pour limiter l'accès, désactivez ou supprimez le compte Enterprise de l'utilisateur.

Pour refuser l'authentification LDAP pour tous les groupes, décochez la case "L'authentification LDAP est activée", puis cliquez sur Mettre à jour.

9.3.3.3 Mappage de LDAP par rapport à Windows AD

Si vous configurez LDAP par rapport à AD (Windows AD), tenez compte des restrictions suivantes :

275 2013-07-02

Authentification

• Si vous configurez LDAP par rapport à AD, vous pourrez mapper vos utilisateurs, mais vous ne serez pas en mesure de configurer une connexion unique AD ou une connexion unique à la base de données. Cependant, les méthodes de connexion unique LDAP telles que SiteMinder et l'authentification sécurisée seront toujours disponibles.

• Les utilisateurs qui sont uniquement membres de groupes par défaut d'AD ne pourront pas se connecter. Ils doivent également être membres d'un autre groupe AD créé explicitement et ce groupe doit en plus être mappé. Le groupe "utilisateurs du domaine" est un exemple de ce type de groupe.

• Si un groupe local de domaine mappé contient un utilisateur provenant d'un domaine différent de la forêt, l'utilisateur de ce domaine différent ne sera pas en mesure de se connecter.

• Les utilisateurs d'un groupe universel dont le domaine est différent du contrôleur de domaine spécifié comme hôte LDAP ne pourront pas se connecter.

• Vous ne pouvez pas utiliser le plug-in LDAP pour mapper les utilisateurs et les groupes de forêts

AD situés à l'extérieur de la forêt dans laquelle la plateforme de BI est installée.

• Vous ne pouvez pas mapper le groupe Utilisateurs du domaine dans AD.

• Vous ne pouvez pas mapper un groupe local de l'ordinateur.

• Si vous utilisez le contrôleur de domaine de catalogue global, vous devez tenir compte des remarques supplémentaires suivantes lors du mappage de LDAP à AD :

Situation Remarques

Vous pouvez effectuer un mappage dans :

• les groupes universels d'un domaine enfant,

• les groupes du même domaine contenant des groupes universels d'un domaine enfant, et

• les groupes universels inter-domaines.

Plusieurs domaines lors du pointage vers le contrôleur de domaine de catalogue global

Vous ne pouvez pas effectuer de mappage dans :

• les groupes globaux d'un domaine enfant,

• les groupes locaux d'un domaine enfant,

• les groupes du même domaine contenant un groupe global du domaine enfant, et

• les groupes globaux inter-domaines.

Généralement, si le groupe est un groupe universel, il prendra en charge les utilisateurs inter-domaines et ceux des domaines enfants. Les autres groupes ne seront pas mappés s'ils contiennent des utilisateurs inter-domaines ou de domaines enfants. Dans le domaine vers lequel vous pointez, vous pouvez mapper les groupes locaux, globaux et universels du domaine.

276 2013-07-02

Authentification

Situation Remarques

Mappage dans les groupes universels

Pour effectuer un mappage dans les groupes universels, vous devez pointer vers le contrôleur de domaine de catalogue global. Vous devez également utiliser le numéro de port 3268 au lieu du port 389 par défaut.

• Si vous utilisez plusieurs domaines mais que vous ne pointez pas vers le contrôleur de domaine de catalogue global, vous ne pouvez effectuer de mappage dans aucun type de groupe inter-domaines ou de domaines enfant. Vous pouvez effectuer un mappage dans tous les types de groupe du domaine spécifique vers lequel vous pointez uniquement.

277

9.3.3.4 Utilisation du plug-in LDAP pour configurer la connexion unique à la base de données SAP HANA

Cette section présente aux administrateurs les étapes requises pour définir et configurer la connexion unique (SSO) entre la plateforme de BI s'exécutant sur SUSE Linux 11 et la base de données SAP

HANA. L'authentification LDAP à l'aide de Kerberos permet aux utilisateurs AD d'être authentifiés sur une plateforme de BI exécutée sur Linux (spécifiquement SUSE). Ce scénario prend également en charge la connexion unique à SAP HANA comme base de données de reporting.

Remarque :

Pour en savoir plus sur la manière de configurer la base de données SAP HANA, voir Base de données

SAP HANA - Guide d'installation et de mise à jour des serveurs. Pour en savoir plus sur la manière de configurer le composant d'accès aux données de SAP HANA, voir le Guide d'accès aux données.

Vue d'ensemble de l'implémentation

Les composants suivants doivent être installés pour que la connexion unique Kerberos fonctionne.

Composant Configuration requise

Contrôleur de domaine

Hébergé par le même ordinateur qu'Active Directory pour utiliser l'authentification Kerberos.

Central Management

Server

Client Kerberos V5

Installé et exécuté sur un ordinateur utilisant SUSE Linux Enterprise 11

(SUSE).

Installé avec les utilitaires et bibliothèques requis sur l'hôte SUSE.

Remarque :

Utilise la dernière version du client Kerberos V5. Ajoutez les dossiers bin et lib aux variables d'environnement PATH et LD_LIBRARY_PATH.

2013-07-02

Authentification

278

Composant

Plug-in d'authentification LDAP

Configuration requise

Activé sur l'hôte SUSE.

Fichier de configuration de connexion Kerberos

Créé sur l'ordinateur hébergeant le serveur d'applications Web.

Workflow d'implémentation

Les tâches suivantes doivent être effectuées pour permettre aux utilisateurs de la plateforme de BI une connexion unique à SAP HANA à l'aide de l'authentification Kerberos via JDBC.

1.

Configuration de l'hôte AD.

2.

Création des comptes et fichiers keytab pour l'hôte SUSE et la plateforme de BI sur l'hôte AD.

3.

Installation des ressources Kerberos sur l'hôte SUSE.

4.

Configuration de l'hôte SUSE pour l'authentification Kerberos.

5.

Configuration des options de l'authentification Kerberos dans le plug-in d'authentification LDAP.

6.

Création d'un fichier de configuration de connexion Kerberos pour l'hôte des applications Web.

9.3.3.4.1 Configuration du contrôleur de domaine

Vous pouvez avoir besoin de configurer une relation sécurisée entre l'hôte SUSE et le contrôleur de domaine. Si l'hôte SUSE est dans le contrôleur de domaine Windows, vous n'avez pas à configurer la relation sécurisée. Cependant, si le déploiement de la plateforme de BI et le contrôleur de domaine sont dans des domaines différents, vous pouvez avoir besoin de configurer une relation sécurisée entre l'ordinateur Linux SUSE et le contrôleur de domaine. Cette action requiert les éléments suivants :

1.

Créer un compte utilisateur pour l'ordinateur SUSE exécutant la plateforme de BI.

2.

Créer un nom principal du service (SPN) pour l'hôte.

Remarque :

Le SPN doit être mis en forme selon les conventions Windows AD : hôte/nom d'hôte@NOM_DO

MAINE_DNS . Utilisez un nom de domaine entièrement qualifié, en minuscules, pour /nom d'hôte.

Le NOM_DOMAINE_DNS doit être spécifié en majuscules.

3.

Exécutez la commande de configuration Keytab Kerberos ktpass pour associer le SPN au compte utilisateur : c:\> ktpass -princ host/hostname@DNS_REALM_NAME-mapuser username -pass Password1 -crypto RC4-HMAC-NT out usernamebase.keytab

Les étapes suivantes doivent être effectuées sur l'ordinateur hébergeant le contrôleur de domaine.

1.

Créez un compte utilisateur pour le service exécutant la plateforme de BI.

2.

Dans la page "Comptes utilisateurs", cliquez avec le bouton droit sur le nouveau compte de service et sélectionnez Propriétés > Délégation.

3.

Sélectionnez Approuver cet utilisateur pour la délégation à tous les services (Kerberos

uniquement).

2013-07-02

Authentification

4.

Exécutez la commande de configuration Keytab Kerberos ktpass pour créer un compte SPN pour le nouveau compte de service : c:\>ktpass -princ sianame/service_name@DNS_REALM_NAME -mapuser service_name -pass password -ptype

KRB5_NT_PRINCIPAL -crypto RC4-HMAC-NT -out sianame.keytab

Remarque :

Le SPN doit être mis en forme selon les conventions Windows AD : nomsia/nom_service@NOM_DO

MAINE_DNS . Indiquez le nom du service en minuscules, sinon la plateforme SUSE ne pourra pas le résoudre. Le NOM_DOMAINE_DNS doit être spécifié en majuscules.

Paramètre

-princ

-out

-mapuser

-pass

-ptype

Description

Spécifie le nom principal pour l'authentification Kerberos.

Spécifie le nom du fichier keytab Kerberos à générer. Il doit correspondre au nomsia utilisé dans -princ.

Spécifie le nom du compte utilisateur auquel le SPN est mappé. Le Server

Intelligence Agent s'exécute sur ce compte.

Indique le mot de passe utilisé par le compte de service.

Spécifie le type principal.

-ptype KRB5_NT_PRINCIPAL

-crypto

Spécifie le type de cryptage à utiliser avec le compte de service :

-crypto RC4-HMAC-NT

Vous avez généré les fichiers keytab requis pour la relation sécurisée entre l'ordinateur SUSE et le contrôleur de domaine.

Vous devez transférer le ou les fichiers keytab sur l'ordinateur SUSE et les stocker dans le répertoire

/etc .

9.3.3.4.2 Configuration de l'ordinateur SUSE Linux Enterprise 11

Les ressources suivantes sont requises pour configurer Kerberos sur l'ordinateur Linux SUSE exécutant la plateforme de BI :

• Fichiers keytab créés sur le contrôleur de domaine. Le fichier keytab créé pour le service de la palteforme de BI est obligatoire. Le fichier keytab pour l'hôte SUSE est recommandé, en particulier pour les scénarios où l'hôte de la plateforme de BI et le contrôleur de domaine sont dans des domaines différents.

• La dernière bibliothèque Kerberos V5 (y compris le client Kerberos) doit être installée sur l'hôte

SUSE. Vous devez ajouter l'emplacement des fichiers binaires aux variables d'environnement PATH et LD_LIBRARY_PATH . Pour vérifier que le client Kerberos est correctement installé et configuré, assurez-vous que les utilitaires et bibliothèques suivants sont présents sur l'hôte SUSE :

279 2013-07-02

Authentification

280

• kinit

• ktutil

• kdestroy

• klist

• /lib64/libgssapi_krb5.so.2.2

• /lib64/libkrb5.so.3.3

• /lib/libkrb5support.so.0.1

• /lib64/libk5crypto.so.3

• /lib64/libcom_err.so.2

Conseil :

Exécutez rpm -qa | grep krb pour contrôler la version de ces bibliothèques. Pour en savoir plus sur le dernier client Kerberos, les bibliothèques et la configuration de l'hôte UNIX, voir http://web.mit.edu/Kerberos/krb5-1.9/krb5-1.9.2/doc/krb5-install.html#Installing%20Kerberos%20V5 .

Une fois que toutes les ressources requises sont disponibles sur l'hôte SUSE, suivez les instructions ci-dessous pour configurer l'authentification Kerberos.

Remarque :

Pour effectuer ces étapes, vous devez disposer des droits root.

1.

Pour fusionner les fichiers keytab, exécutez la commande suivante :

> ktutil ktutil: rkt <susemachine>.keytab

ktutil: rkt <BI platform service>.keytab

ktutil: wkt /etc/krb5.keytab

ktutil:q

2.

Modifiez le fichier /etc/kerb5.conf pour qu'il fasse référence au contrôleur de domaine (sur la plateforme Windows) comme étant le contrôleur de domaine Kerberos (KDC, Kerberos Domain

Controller).

Utilisez l'exemple ci-dessous :

[domain_realm]

.name.mycompany.corp = DOMAINNAME.COM

name.mycompany.corp = DOMAINNAME.COM

[libdefaults] forwardable = true default_realm = DOMAINNAME.COM

default_tkt_enctypes = rc4-hmac default_tgs_enctypes = rc4-hmac

[realms]

DOMAINNAME.COM = { kdc = machinename.domainname.com

}

Remarque :

Le fichier krb5.conf contient les informations de configuration Kerberos, y compris les emplacements des KDC et serveurs des domaines Kerberos importants, les applications Kerberos et les mappages des noms d'hôte dans les domaines Kerberos. Normalement, le fichier krb5.conf

est installé dans le répertoire /etc.

3.

Ajoutez le contrôleur de domaine à /etc/hosts afin que l'hôte SUSE puisse localiser le KDC.

2013-07-02

Authentification

281

4.

Exécutez le programme kinit à partir du répertoire /usr/local/bin pour vérifier que Kerberos a été configuré correctement. Vérifiez qu'un compte utilisateur de compte AD peut se connecter à l'ordinateur SUSE.

Conseil :

Le KDC doit émettre un Ticket Granting Ticket (TGT) pouvant être visualisé dans le cache. Utilisez le programme klist pour visualiser le TGT.

Exemple :

> kinit <AD user>

Password for <AD user>@<domain>: <AD user password>

> klist

Ticket cache: FILE:/tmp/krb5cc_0Default principal: <AD user>@<domain>

Valid starting Expires Service principal08/10/11 17:33:43 08/11/11 03:33:46 krbtgt/<domain>@<domain>renew until 08/11/11 17:33:43

Kerberos 4 ticket cache: /tmp/tkt0klist: You have no tickets cached

>klist -k

Keytab name: FILE:/etc/krb5.keytabKVNO Principal-3hdb/<FQDN>@<Domain>

Utilisez également kinit pour tester les SPN.

9.3.3.4.3 Configuration des options d'authentification Kerberos pour LDAP

Avant de configurer l'authentification Kerberos pour LDAP, vous devez d'abord activer et configurer le plug-in d'authentification LDAP de la plateforme de BI pour vous connecter au répertoire AD. Pour utiliser l'authentification LDAP, vous devez d'abord vérifier que votre répertoire LDAP respectif est configuré.

Remarque :

Lors de l'exécution de l'"Assistant de configuration LDAP", vous devez spécifier le serveur d'applications

Microsoft Active Directory et fournir les informations de configuration demandés.

Une fois l'authentification LDAP activée et connectée au serveur d'applications Microsoft Active Directory, la zone "Activer l'authentification Kerberos" s'affiche sur la page Résumé de la configuration du serveur

LDAP. Utilisez cette zone pour configurer l'authentification Kerberos, qui est requise pour la connexion unique à la base de données SAP HANA depuis une plateforme de BI déployée sur SUSE.

1.

Accédez à la zone de gestion Authentification de la CMC.

2.

Cliquez deux fois sur LDAP.

La page "Résumé de la configuration du serveur LDAP" s'affiche, vous pouvez y modifier n'importe quel paramètre de connexion ou champ.

3.

Pour configurer l'authentification Kerberos, suivez ces étapes dans la zone "Activer l'authentification

Kerberos" : a.

Cliquez sur Activer l'authentification Kerberos.

b.

Cliquez sur Contexte de sécurité de la mémoire cache (obligatoire pour une connexion

unique à la base de données).

2013-07-02

Authentification

Remarque :

L'activation du contexte de sécurité du cache est spécialement requise pour la connexion unique

à SAP HANA.

c.

Spécifiez le SPN (Service Principal Name) du compte de la plateforme de BI dans "Nom principal du service"

Le format pour spécifier le SPN est nomsia/service@NOM_DOMAINE_DNS, où nomsia Nom du SIA

Nom du compte de service utilisé pour exécuter la plateforme de BI service

NOM_DO

MAINE_DNS

Nom de domaine du contrôleur de domaine en majuscules

Conseil :

En spécifiant le SPN, souvenez-vous que nomsia/service est sensible à la casse.

d.

Spécifiez le domaine du contrôleur de domaine dans "Domaine Kerberos par défaut".

e.

Spécifiez userPrincipalName dans Nom principal de l'utilisateur.

Cette valeur est utilisée par l'application d'authentification LDAP pour fournir les valeurs d'ID utilisateur requises par Kerberos. La valeur indiquée doit correspondre au nom fourni lors de la création des fichiers keytab.

4.

Cliquez sur Mettre à jour pour envoyer et enregistrer les modifications.

Vous avez configuré les options d'authentification Kerberos pour faire référence aux comptes utilisateur dans le répertoire AD.

Vous devez créer un fichier de configuration de connexion Kerberos - bscLogin.conf - pour activer la connexion Kerberos et la connexion unique.

Rubriques associées

•

Configuration de l'authentification LDAP

9.3.3.4.4 Création d'un fichier de configuration de connexion Kerberos

Pour activer la connexion Kerberos et la connexion unique, vous devez ajouter un fichier de configuration de connexion sur l'ordinateur hébergeant le serveur d'applications Web de la plateforme de BI.

1.

Créez un fichier nommé bscLogin.conf et stockez-le dans le répertoire /etc.

Remarque :

Vous pouvez stocker ce fichier à un autre emplacement, mais vous devrez le spécifier dans vos options Java. Il est conseillé de placer le fichier bscLogin.conf et les fichiers keytab Kerberos dans le même répertoire. Dans un déploiement réparti, il faut ajouter un fichier bscLogin.conf

pour chaque ordinateur hébergeant un serveur d'applications Web.

282 2013-07-02