Einrichten der Einzelanmeldung. SAP 4.0 Support Package 5

PDF

سند

تبلیغات

Authentifizierung

8.4.6 Einrichten der Einzelanmeldung

8.4.6.1 SSO bei der BI-Plattform mit AD-Authentifizierung

Optionen für SSO bei Verwendung von Windows AD

Zur Einrichtung der Einzelanmeldung (SSO) für die Windows-AD-Authentifizierung mit der BI-Plattform stehen zwei unterstützte Methoden zur Verfügung:

• Vintela – diese Option kann nur mit Kerberos verwendet werden.

• SiteMinder – diese Option kann nur mit Kerberos verwendet werden.

SSO bei der Datenbank

SSO bei der Datenbank ermöglicht angemeldeten Benutzern die Ausführung von Aktionen, die

Datenbankzugriff erfordern. Dazu gehören vor allem das Anzeigen und Regenerieren von Berichten, ohne erneut Anmeldedaten eingeben zu müssen. Während die eingeschränkte Delegierung für die

AD-Authentifizierung mit Vintela-SSO optional ist, ist sie für Implementierungsszenarios erforderlich, die eine Einzelanmeldung an der Systemdatenbank umfassen.

End-to-End-SSO

Auf der BI-Plattform wird End-to-End-SSO über Windows AD und Kerberos unterstützt. In diesem

Szenario können Benutzer sowohl die Einzelanmeldung an der BI-Plattform am Frontend als auch den

SSO-Zugriff auf Datenbanken am Backend nutzen. Folglich müssen Benutzer ihre Anmeldedaten nur einmal angeben, wenn sie sich beim Betriebssystem anmelden. Anschließend können sie dann auf die

BI-Plattform zugreifen und Aktionen ausführen, die Datenbankzugriff erfordern, z.B. Berichte anzeigen.

Konfiguration der manuellen Authentifizierung und der SSO-AD-Authentifizierung im

Vergleich

Nachdem Sie die Implementierung erfolgreich so konfiguriert haben, dass über AD-Konten eine manuelle

Anmeldung an BI-Launchpad durchgeführt werden kann, müssen Sie zur Einrichtung der

AD-Authentifizierung zurückkehren, um bestimmte SSO-Anforderungen zu aktivieren. Die Anforderungen richten sich jeweils nach der ausgewählten SSO-Methode.

8.4.6.2 Verwenden der Vintela-Einzelanmeldung

295 2013-01-07

Authentifizierung

8.4.6.2.1 Checkliste für die Vintela-SSO-Einrichtung

Zur Einrichtung der BI-Plattform für den Betrieb mit Vintela-SSO müssen Sie folgende Aufgaben ausführen:

Konfigurieren Sie das Dienstkonto speziell für Vintela-SSO.

Konfigurieren Sie die eingeschränkte Delegierung (optional).

Konfigurieren Sie die Windows-AD-SSO-Authentifizierungsoptionen in der CMC.

Konfigurieren Sie die allgemeinen BOE-Eigenschaften und die BI-Launchpad-spezifischen

Eigenschaften für Vintela-SSO.

Wenn Sie Tomcat 6 als Webanwendungsserver für die Implementierung verwenden, müssen Sie die maximale Größe des Headers erhöhen.

Konfigurieren Sie die Internetbrowser für Vintela.

8.4.6.2.2 Einrichten des Dienstkontos für Vintela-SSO

Mit dem Befehlszeilentool Ktpass wird der Serverprinzipalname für den Host oder Dienst in Active

Directory konfiguriert und eine Kerberos-Keytab-Datei generiert, die den gemeinsamen geheimen

Schlüssel des Dienstkontos enthält. Dieses Tool befindet sich meist auf Domänencontrollern oder kann von der Microsoft-Support-Website ( http://support.microsoft.com/kb/892777 ) heruntergeladen werden.

Sie benötigen ein Dienstkonto, das so konfiguriert ist, dass sich Benutzer mit ihren AD-Anmeldedaten automatisch gegenüber BI-Launchpad authentifizieren können. Sie können das Dienstkonto, das für die AD-Kerberos-Authentifizierung erstellt wurde, auf dem Domänencontroller neu konfigurieren.

Wenn ein Client versucht, sich an BI-Launchpad anzumelden, wird eine Anforderung für den Server angestoßen, der das Kerberos-Ticket generiert. Um diese Anforderung beantworten zu können, muss das für die BI-Plattform erstellte Dienstkonto über einen SPN verfügen, der mit der URL des

Anwendungsservers übereinstimmt. Führen Sie die folgenden Schritte auf dem Rechner aus, der den

Domänencontroller hostet.

Führen Sie den Kerberos-Keytab-Setup-Befehl ktpass aus, um eine Keytab-Datei zu erstellen und abzulegen.

Geben Sie die ktpass-Parameter an, die in der folgenden Tabelle aufgeführt sind:

Parame ter

-out

Beschreibung

Angeben des Namens der zu erzeugenden Kerberos-Keytab-Datei.

296 2013-01-07

Authentifizierung

297

Parame ter

Beschreibung

-princ

Gibt den Prinzipalnamen für das Dienstkonto im SPN-Format an: MYSIAMYSER

VER/sbo.service.domain.com@DOMAIN.COM

, wobei MYSIAMYSERVER für den

Namen des im Central Configuration Manager (CCM) angegebenen Service Intelligence Agent steht.

Anmerkung:

Bei den Namen von Dienstkonten wird zwischen Groß-/Kleinschreibung unterschieden.

Der SPN umfasst den Namen des Hostrechners, auf dem die Dienstinstanz ausgeführt wird.

Tipp:

Der SPN muss im Forest, in dem er registriert ist, eindeutig sein. Um dies zu überprüfen, suchen Sie mithilfe des Windows-Supporttools Ldp.exe nach dem SPN.

-pass

-ptype

-crypto

Gibt das vom Dienstkonto verwendete Kennwort an.

Angeben des Prinzipaltyps:

-ptype KRB5_NT_PRINCIPAL

Angeben des für das Dienstkonto zu verwendenden Verschlüsselungstyps:

-crypto RC4-HMAC-NT

Beispiel: ktpass -out keytab_filename.keytab -princ MYSIAMYSERVER/[email protected]

-pass password -kvno 255 -ptype KRB5_NT_PRINCIPAL -crypto RC4-HMAC-NT

In der Ausgabe des Befehls ktpass sollten der Ziel-Domänencontroller sowie die Erstellung einer

Kerberos-Keytab-Datei mit dem gemeinsamen geheimen Schlüssel bestätigt werden. Der Befehl ordnet außerdem den Prinzipalnamen zum (lokalen) Dienstkonto zu.

Klicken Sie mit der rechten Maustaste auf das Dienstkonto, und wählen Sie Eigenschaften > Dele

gierung aus.

Wählen Sie Benutzer bei Delegierungen aller Dienste vertrauen (nur Kerberos).

Klicken Sie auf OK, um Ihre Einstellungen zu speichern.

Das Dienstkonto verfügt nun über alle erforderlichen Dienstprinzipalnamen für Vintela-SSO, und Sie haben eine Keytab-Datei mit dem verschlüsselten Kennwort für das Dienstkonto generiert.

Konfigurieren der eingeschränkten Delegierung für Vintela-SSO

Die eingeschränkte Delegierung ist bei Einrichtung von Vintela-SSO optional. Sie ist jedoch obligatorisch bei Implementierungen, die Systemdatenbank-SSO erfordern.

Öffnen Sie auf dem Rechner mit dem AD-Domänencontroller das Snap-In "Active-Directory-Benutzer und -Computer".

2013-01-07

Authentifizierung

Klicken Sie mit der rechten Maustaste auf das im vorherigen Abschnitt erstellte Dienstkonto, und klicken Sie auf Eigenschaften > Delegierung.

Wählen Sie Benutzer bei Delegierungen angegebener Dienste vertrauen .

Wählen Sie Nur Kerberos verwenden.

Klicken Sie auf Hinzufügen > Benutzer oder Computer.

Geben Sie den Namen des Dienstkontos ein, und klicken Sie auf OK.

Eine Liste der Dienste wird eingeblendet.

Wählen Sie die folgenden Dienste aus, und klicken Sie dann auf OK.

• Den HTTP-Dienst

• Den Dienst, der zur Ausführung des Service Intelligence Agent (SIA) auf dem Rechner verwendet wird, der die BI-Plattform hostet.

Die Dienste werden der Liste der Dienste hinzugefügt, die für das Dienstkonto delegiert werden können.

Damit diese Änderung übernommen wird, müssen die Webanwendungseigenschaften bearbeitet werden.

8.4.6.2.3 Konfigurieren von SSO-Einstellungen in der CMC

Wechseln Sie zum Verwaltungsbereich "Authentifizierung" der CMC.

Doppelklicken Sie auf Windows AD.

Stellen Sie sicher, dass das Kontrollkästchen Windows Active Directory (AD) aktivieren aktiviert ist.

Wenn für die Konfiguration SSO bei der Datenbank erforderlich ist, wählen Sie

Cachesicherheitskontext aus.

Aktivieren Sie das Kontrollkästchen Einzelanmeldung für ausgewählten Authentifizierungsmodus

aktivieren.

Klicken Sie auf Aktualisieren.

8.4.6.2.4 Aktivieren der Vintela-Einzelanmeldung für BI-Launchpad und OpenDocument

Dieses Verfahren wird für BI-Launchpad oder OpenDocument verwendet. Um SSO für die

BI-Plattform-Anwendungen zu aktivieren, müssen Vintela- und SSO-spezifische Eigenschaften in der

Datei BOE.war angegeben werden. Zum Zweck der SSO-Einrichtung empfiehlt es sich, dass Sie sich zunächst auf die Aktivierung von SSO für BI-Launchpad für AD-Konten konzentrieren, bevor Sie sich anderen Anwendungen zuwenden.

Greifen Sie auf den benutzerdefinierten Ordner der BOE-Webanwendung auf dem Rechner zu, der den Webanwendungsserver hostet.

Wenn Sie den mit der BI-Plattform-Installation bereitgestellten Tomcat-Webanwendungsserver verwenden, können Sie direkt auf den folgenden Ordner zugreifen:

C:\Programme (x86)\SAP BusinessObjects\Tomcat6\webapps\BOE\WEB-INF\con fig\custom\

298 2013-01-07

Authentifizierung

299

Tipp:

Wenn Sie einen Webanwendungsserver verwenden, der den direkten Zugriff auf die implementierten

Webanwendungen nicht ermöglicht, können Sie den folgenden Ordner in der Produktinstallation zum Ändern der BOE-Webanwendung verwenden.

<INSTALLVERZ>\SAP BusinessObjects Enterprise

XI 4.0\warfiles\webapps\BOE\WEB-INF\config\custom\

. Nehmen Sie die Änderungen im Verzeichnis config\custom und nicht im Verzeichnis config\default vor. Ansonsten werden die Änderungen überschrieben, wenn Sie zukünftige Patches auf die Implementierung anwenden.

Die geänderte BOE-Webanwendung muss zu einem späteren Zeitpunkt erneut implementiert werden.

Erstellen Sie eine neue Datei.

Anmerkung:

Verwenden Sie Notepad oder ein anderes Textbearbeitungsprogramm.

Geben Sie Folgendes ein: sso.enabled=true siteminder.enabled=false vintela.enabled=true idm.realm=DOMAIN.COM

idm.princ=MYSIAMYSERVER/[email protected]

idm.allowUnsecured=true idm.allowNTLM=false idm.logger.name=simple idm.keytab=C:/WIN/filename.keytab

idm.logger.props=error-log.properties

Anmerkung:

Für die Parameteridm.realm und idm.princ müssen gültige Werte eingegeben werden. Beim Wert von idm.realm sollte es sich um denselben Wert handeln, den Sie bei der Konfiguration von default_realm in der Datei krb5.ini festgelegt haben. Der Wert muss in Großbuchstaben eingegeben werden. Der Parameter idm.princ ist der SPN, der für das für die Vintela-Einzelanmeldung erstellte Dienstkonto verwendet wird. Bei Angabe des Speicherorts der Keytab-Datei müssen

Schrägstriche verwendet werden. Bei Verwendung von umgekehrten Schrägstrichen ist keine

Einzelanmeldung möglich.

Überspringen Sie den folgenden Schritt, wenn Sie die eingeschränkte Delegation für die

Windows-AD-Authentifizierung und die Vintela-Einzelanmeldung nicht verwenden möchten.

Um die eingeschränkte Delegation zu verwenden, fügen Sie den folgenden Wert hinzu: idm.allowS4U=true

Schließen Sie die Datei, und speichern Sie sie unter dem Namen global.properties:

Anmerkung:

Stellen Sie sicher, dass der Dateiname nicht mit einer Dateierweiterung, z.B. .txt, gespeichert wird.

Erstellen Sie eine weitere Datei im selben Verzeichnis. Speichern Sie die Datei je nach Ihren

Anforderungen unter OpenDocument.properties oder BIlaunchpad.properties.

Geben Sie Folgendes ein: authentication.default=secWinAD cms.default=[enter your cms name]:[Enter the CMS port number]

2013-01-07

Authentifizierung

Beispiel: authentication.default=secWinAD cms.default=mycms:6400

Speichern und schließen Sie die Datei.

Starten Sie Ihren Webanwendungsserver neu.

Die neuen Eigenschaften werden erst wirksam, wenn die BOE-Webanwendung auf dem Rechner, auf dem der Webanwendungsserver ausgeführt wird, erneut implementiert wird. Verwenden Sie WDeploy zur erneuten Implementierung von BOE auf dem Webanwendungsserver. Weitere Informationen zur

Verwendung von WDeploy zur Deinstallation von Webanwendungen finden Sie im Handbuch für die

Implementierung von Webanwendungen für SAP BusinessObjects Business Intelligence.

Anmerkung:

Wenn Ihre Implementierung eine Firewall enthält, öffnen Sie alle erforderlichen Ports, da die

Webanwendungen sonst keine Verbindung mit den BI-Plattform-Servern herstellen können.

8.4.6.2.5 Erhöhen des Grenzwerts für die Headergröße für Tomcat

Active Directory erstellt ein Kerberos-Token, das bei der Authentifizierung verwendet wird. Dieses

Token wird im HTTP-Header gespeichert. Der Java-Anwendungsserver verfügt über eine standardmäßige

HTTP-Headergröße. Um Fehler zu vermeiden, sollten Sie sicherstellen, dass eine standardmäßige

Mindestgröße von 16384 Byte angegeben ist. (Einige Implementierungen erfordern u.U. eine umfangreichere Größe. Weitere Informationen finden Sie in den Microsoft-Richtlinien zu

Größenanforderungen auf der Support-Website (http://support.microsoft.com/kb/327825).)

Öffnen Sie auf dem Server, auf dem Tomcat installiert ist, die Datei server.xml.

Unter Windows befindet sich die Datei unter <TomcatINSTALLVERZ>/conf.

• Wenn Sie die mit der BI-Plattform unter Windows installierte Tomcat-Version verwenden, und

Sie den Standardinstallationspfad nicht geändert haben, ersetzen Sie <TomcatINSTALLVERZ> durch C:\Programme (x86)\SAP BusinessOb jects\Tomcat6\

• Wenn Sie einen anderen unterstützten Webanwendungsserver verwenden, schlagen Sie den richtigen Pfad in der Begleitdokumentation Ihres Webanwendungsservers nach.

Suchen Sie das <Connector …>-Tag für die konfigurierte Portnummer.

Wenn Sie den Standardport 8080 verwenden, suchen Sie das <Connector …>-Tag mit port=“8080”.

Beispiel:

<Connector URIEncoding="UTF-8" acceptCount="100" connectionTimeout="20000" debug="0" disableUploadTimeout="true" enableLookups="false" maxSpareThreads="75" maxThreads="150" minSpareThreads="25" port="8080" redirectPort="8443"

Fügen Sie folgenden Wert innerhalb des <Connector …>-Tags ein: maxHttpHeaderSize="16384"

300 2013-01-07

Authentifizierung

301

Beispiel:

Speichern und schließen Sie die Datei server.xml.

Starten Sie Tomcat neu.

Anmerkung:

Wenn Sie einen anderen Java-Anwendungsserver verwenden, sollten Sie sich in der Dokumentation des betreffenden Java-Anwendungsservers informieren.

8.4.6.2.6 Konfigurieren von Internet-Browsern

Damit Vintela-SSO für die AD-Kerberos-Authentifizierung unterstützt wird, müssen die BI-Plattform-Clients konfiguriert werden. Dies beinhaltet die Konfiguration des Internet Explorer-Browsers (IE) auf den

Clientrechnern.

Konfigurieren des Internet Explorers auf Clientrechnern

Öffnen Sie auf dem Clientrechner einen Internet-Explorer-Browser.

Aktivieren Sie die integrierte Windows-Authentifizierung.

Klicken Sie im Menü Extras auf Internetoptionen.

Klicken Sie auf die Registerkarte Erweitert.

Führen Sie einen Bildlauf zu Sicherheit aus, wählen Sie Integrierte Windows-Authentifizierung

aktivieren, und klicken Sie auf Übernehmen.

Fügen Sie den Java-Anwendungsrechner oder die URL zu den vertrauenswürdigen Sites hinzu. Sie können den vollständigen Domänennamen der Site eingeben.

Klicken Sie im Menü Extras auf Internetoptionen.

Klicken Sie auf die Registerkarte Sicherheit.

Klicken Sie auf Sites und dann auf Erweitert.

Wählen Sie die Site aus, oder geben Sie sie ein, und klicken Sie anschließend auf Hinzufügen. e.

Klicken Sie so lange auf OK, bis das Dialogfeld "Internetoptionen" geschlossen wird.

Schließen und öffnen Sie das Internet Explorer-Browserfenster erneut, damit diese Änderungen wirksam werden.

Wiederholen Sie alle diese Schritte auf jedem BI-Plattform-Clientrechner.

So konfigurieren Sie Firefox auf Clientrechnern

Ändern Sie "network.negotiate-auth.delegation-uris"

Öffnen Sie auf dem Clientrechner das Firefox-Browserfenster.

Geben Sie about:config in das URL-Adressfeld ein.

Eine Liste der konfigurierbaren Eigenschaften wird angezeigt.

Doppelklicken Sie auf network.negotiate-auth.delegation-uris, um die Eigenschaft zu bearbeiten.

2013-01-07

Authentifizierung d.

Geben Sie die URL ein, über die Sie auf BI-Launchpad zugreifen.

Beispiel: Lautet die BI-Launchpad-URL http://Rechner.Domäne.com:8080/BOE/BI, müssen

Sie http://Rechner.Domäne.com eingeben.

Anmerkung:

Wenn Sie mehrere URLs hinzufügen, trennen Sie sie durch ein Komma. Beispiel: http://Rech

ner.Domäne.com

,Rechner2.Domäne.com .

Klicken Sie auf OK.

Ändern Sie "network.negotiate-auth.trusted-uris"

Öffnen Sie auf dem Clientrechner das Firefox-Browserfenster.

Geben Sie about:config in das URL-Adressfeld ein.

Eine Liste der konfigurierbaren Eigenschaften wird angezeigt.

Doppelklicken Sie auf network.negotiate-auth.trusted-uris, um die Eigenschaft zu ändern.

Geben Sie die URL ein, über die Sie auf BI-Launchpad zugreifen.

Wenn die BI-Launchpad-URL beispielsweise http://Rechner.Domäne.com:8080/BOE/BI lautet, müssen Sie http://Rechner.Domäne.com eingeben.

Anmerkung:

Wenn Sie mehrere URLs hinzufügen, trennen Sie sie durch ein Komma. Beispiel: http://Rech

ner.Domäne.com

,Rechner2.Domäne.com .

Klicken Sie auf OK.

Schließen und öffnen Sie das Firefox-Browserfenster erneut, damit diese Änderungen wirksam werden.

Wiederholen Sie alle diese Schritte auf jedem BI-Plattform-Clientrechner.

8.4.6.2.7 Testen von Vintela-SSO für die AD-Kerberos-Authentifizierung

Sie sollten die SSO-Einrichtung über eine Clientarbeitsstation testen. Stellen Sie sicher, dass sich der

Client in derselben Domäne wie die BI-Plattform-Implementierung befindet, und dass Sie als zugeordneter

AD-Benutzer an der Arbeitsstation angemeldet sind. Sie müssen über dieses Benutzerkonto in der

Lage sein, sich manuell an BI-Launchpad anzumelden.

Öffnen Sie zum Testen von SSO einen Browser, und geben Sie die URL für BI-Launchpad ein. Wenn

SSO korrekt konfiguriert ist, dürften Ihre Anmeldedaten nicht angefordert werden.

Tipp:

Es empfiehlt sich, verschiedene AD-Benutzerszenarios in der Implementierung zu testen. Wenn die

Umgebung beispielsweise Benutzer aus mehreren Betriebssystemen umfasst, sollten Sie die

SSO-Einrichtung für Benutzer aus jedem Betriebssystem testen. Des Weiteren ist es ratsam, die

SSO-Einrichtung mit allen Browsern zu testen, die in der Organisation unterstützt werden. Wenn die

Umgebung Benutzer aus mehreren Gesamtstrukturen oder Domänen umfasst, sollten Sie die

SSO-Einrichtung für ein Benutzerkonto aus jeder Domäne oder Gesamtstruktur testen.

302 2013-01-07

Authentifizierung

8.4.6.2.8 Konfigurieren von Kerberos und Datenbank-Einzelanmeldung für Anwendungsserver

Die Einzelanmeldung bei Datenbanken wird für Implementierungen unterstützt, die alle folgenden

Voraussetzungen erfüllen:

• Die Implementierung der BI-Plattform befindet sich auf einem Webanwendungsserver.

• Der Webanwendungsserver wurde für Vintela-SSO für die AD-Authentifizierung konfiguriert.

• Bei der Datenbank, für die SSO erforderlich ist, handelt es sich um eine unterstützte Version von

SQL Server oder Oracle.

• Den Benutzergruppen, die Zugriff auf die Datenbank benötigen, müssen Berechtigungen innerhalb von SQL Server oder Oracle gewährt werden.

Der letzte Schritt besteht darin, die Datei krb5.ini zu ändern, damit Datenbank-SSO für

Webanwendungen unterstützt wird.

So aktivieren Sie die Einzelanmeldung bei Datenbanken für Java-Anwendungsserver

Öffnen Sie die Datei krb5.ini, die für die Implementierung der BI-Plattform verwendet wird.

Der Standardspeicherort für diese Datei ist das Verzeichnis WIN auf Ihrem Webanwendungsserver.

Anmerkung:

Wenn die Datei nicht im Verzeichnis WIN enthalten ist, überprüfen Sie das folgende Java-Argument auf den Speicherort der Datei:

-Djava.security.auth.login.config

Diese Variable wird angegeben, wenn AD mit Kerberos auf dem Webanwendungsserver konfiguriert wird.

Wechseln Sie zum Abschnitt [libdefaults] der Datei.

Geben Sie die folgende Zeichenfolge vor dem Abschnitt [realms] der Datei ein: forwardable=true

Speichern und schließen Sie die Datei.

Starten Sie Ihren Webanwendungsserver neu.

Die Einzelanmeldung an der Datenbank wird erst aktiviert, wenn Sie das Feld Cachesicherheitskontext

(für SSO bei Datenbank erforderlich) auf der Windows AD-Authentifizierungsseite in der CMC aktivieren.

8.4.6.3 Verwenden von SiteMinder

303 2013-01-07

Authentifizierung

304

8.4.6.3.1 Verwenden von Windows AD mit SiteMinder

In diesem Abschnitt wird erläutert, wie Sie AD und SiteMinder verwenden. SiteMinder ist ein von einem

Fremdhersteller entwickeltes Benutzerzugriffs- und Authentifizierungstool, das mit dem

AD-Sicherheits-Plugin verwendet werden kann, um die Einzelanmeldung bei der BI-Plattform einzurichten.

Sie können SiteMinder mit Kerberos verwenden.

Stellen Sie sicher, dass die SiteMinder-Identitätsverwaltungsressourcen installiert und konfiguriert sind, bevor Sie die Windows AD-Authentifizierung für SiteMinder konfigurieren. Weitere Informationen zu

SiteMinder sowie Installationshinweise finden Sie in der SiteMinder-Dokumentation.

Zur Aktivierung der AD-Einzelanmeldung mit SiteMinder müssen zwei Schritte ausgeführt werden:

• Konfigurieren des AD-Plugins für die Einzelanmeldung mit SiteMinder

• Konfigurieren der SiteMinder-Eigenschaften für die BOE-Webanwendung

Anmerkung:

Stellen Sie sicher, dass der SiteMinder-Administrator die Unterstützung für 4.x-Agenten aktiviert hat.

Dies muss unabhängig von der unterstützten SiteMinder-Version geschehen, die Sie verwenden.

Weitere Informationen zur SiteMinder-Konfiguration erhalten Sie in der SiteMinder-Dokumentation.

Aktivieren von SiteMinder-Eigenschaften für BI-Launchpad

Außer den SiteMinder-Einstellungen, die für das Windows AD-Sicherheitsplugin vorgenommen werden müssen, sind SiteMinder-Einstellungen für die BOE war-Eigenschaften festzulegen.

Suchen Sie das Verzeichnis <INSTALLVERZ>\SAP BusinessObjects Enterprise

XI 4.0\warfiles\webapps\BOE\WEB-INF\config\custom\ in der BI-Plattform-Installation.

Erstellen Sie mit Editor oder einem anderen Textbearbeitungsprogramm eine neue Datei in dem

Verzeichnis.

Geben Sie folgende Werte in die neue Datei ein: sso.enabled=true siteminder.authentication=secWinAD siteminder.enabled=true

Speichern Sie die Datei unter dem Namen global.properties.

Anmerkung:

Stellen Sie sicher, dass der Dateiname nicht mit einer Dateierweiterung, z.B. .txt, gespeichert wird.

Erstellen Sie eine weitere Datei im selben Verzeichnis.

Geben Sie folgende Werte in die neue Datei ein: authentication.default=secWinAD cms.default=[cms name]:[CMS port number]

Beispiel: authentication.default=LDAP cms.default=mycms:6400

Speichern Sie die Datei unter dem Namen BIlaunchpad.properties, und schließen Sie sie.

2013-01-07

Authentifizierung

305

Die neuen Eigenschaften werden erst wirksam, wenn die Datei BOE.war auf dem Computer, auf dem der Webanwendungsserver ausgeführt wird, erneut implementiert wird. Implementieren Sie die

WAR-Datei mit WDeploy erneut auf dem Webanwendungsserver. Weitere Informationen zur Verwendung von WDeploy finden Sie im Handbuch für die Implementierung von Webanwendungen für SAP

BusinessObjects Business Intelligence.

Konfigurieren von SiteMinder-Einstellungen in der CMC

Vor Konfiguration der CMC für SiteMinder müssen folgende Voraussetzungen erfüllt sein:

• AD-Benutzergruppen wurden der BI-Plattform erfolgreich zugeordnet.

• Sie haben die AD-Anmeldedaten im CCM getestet.

Wechseln Sie zum Verwaltungsbereich "Authentifizierung" der CMC.

Doppelklicken Sie auf Windows AD.

Aktivieren Sie das Kontrollkästchen Windows Active Directory (AD) aktivieren.

Wenn Sie Kerberos-Authentifizierung verwenden ausgewählt haben: a.

Wenn Sie die Einzelanmeldung an einer Datenbank konfigurieren möchten, wählen Sie

Cachesicherheitskontext aus.

Löschen Sie alle Informationen aus dem Feld Dienstprinzipalname.

Wenn Sie die Einzelanmeldung konfigurieren möchten, aktivieren Sie Einzelanmeldung für

ausgewählten Authentifizierungsmodus aktivieren.

Außerdem müssen die allgemeinen BOE-Webanwendungseigenschaften und die

BI-Launchpad-Eigenschaften zur Aktivierung der Einzelanmeldung konfiguriert werden.

Wählen Sie im Bereich "Synchronisierung der Anmeldedaten" eine Option aus, um die

Datenquellenanmeldedaten des AD-Benutzers zum Zeitpunkt der Anmeldung zu aktivieren und zu aktualisieren.

Durch diese Option wird die Datenquelle mit den aktuellen Anmeldedaten des Benutzers synchronisiert.

Konfigurieren Sie im Bereich "SiteMinder-Optionen" SiteMinder als Einzelanmeldungsoption für die

AD-Authentifizierung mit Kerberos: a.

Klicken Sie auf Deaktiviert.

Die Seite "Windows Active Directory" wird angezeigt.

Falls Sie das Windows-AD-Plugin noch nicht konfiguriert haben, wird eine Warnmeldung mit der

Frage angezeigt, ob Sie den Vorgang fortsetzen möchten. Klicken Sie auf OK.

Klicken Sie auf SiteMinder-Einzelanmeldung verwenden.

Geben Sie im Feld Richtlinienserver-Host die Namen der einzelnen Richtlinienserver ein, und klicken Sie auf Hinzufügen.

Geben Sie für jeden Richtlinienserver-Host eine Portnummer in die Felder Accounting,

Authentifizierung und Autorisierung ein.

Geben Sie in das Feld Agentname den Agentnamen ein.

Geben Sie in die Felder von Gemeinsamer geheimer Schlüssel den gemeinsamen geheimen

Schlüssel ein.

2013-01-07

Authentifizierung

306

Stellen Sie sicher, dass der SiteMinder-Administrator die Unterstützung für 4.x-Agenten aktiviert hat, ungeachtet dessen, welche unterstützte Version von SiteMinder Sie verwenden. Informationen sowie Installationshinweise zu SiteMinder finden Sie in der SiteMinder-Dokumentation.

Klicken Sie auf Aktualisieren, um die Daten zu speichern und zur Hauptseite der

AD-Authentifizierung zurückzukehren.

Geben Sie im Bereich "Optionen für AD-Aliase" an, wie neue Aliase der BI-Plattform hinzugefügt und auf dieser aktualisiert werden.

Wählen Sie im Bereich "Optionen für neuen Alias" eine Option für die Zuordnung neuer Aliase zu Enterprise-Konten aus:

•

Jeden neuen AD-Alias einem vorhandenen Benutzerkonto mit demselben Namen zuweisen

Wählen Sie diese Option aus, wenn Sie wissen, dass einige Benutzer über ein bereits vorhandenes Enterprise-Konto mit demselben Namen verfügen, d.h. vorhandenen Benutzern werden AD-Aliase zugewiesen (die automatische Generierung von Aliasen ist aktiviert).

Benutzer ohne Enterprise-Konto oder mit unterschiedlichen Namen für das Enterprise- und das AD-Konto werden als neue Benutzer hinzugefügt.

•

Neues Benutzerkonto für jeden neuen AD-Alias erstellen

Verwenden Sie diese Option, wenn Sie für jeden Benutzer ein neues Konto erstellen möchten.

Wählen Sie im Bereich "Aktualisierungsoptionen für Aliase" eine Option für die Verwaltung von

Aliasaktualisierungen für Enterprise-Konten aus:

•

Neue Aliase bei der Aliasaktualisierung erstellen

Wählen Sie diese Option aus, um für jeden AD-Benutzer, der der BI-Plattform zugeordnet wurde, automatisch einen neuen Alias zu erstellen. Neue AD-Konten werden für Benutzer ohne BI-Plattform-Konten bzw. für alle Benutzer hinzugefügt, wenn Sie die Option Neues

Benutzerkonto für jeden neuen AD-Alias erstellen ausgewählt und auf Aktualisieren geklickt haben.

•

Neue Aliase nur bei der Benutzeranmeldung erstellen

Wählen Sie diese Option aus, wenn das zuzuordnende AD-Verzeichnis viele Benutzer umfasst, jedoch nur wenige davon die BI-Plattform verwenden werden. Die Plattform erstellt nicht automatisch Aliase und Enterprise-Konten für alle Benutzer. Vielmehr werden Aliase (und gegebenenfalls Konten) nur für Benutzer erstellt, die sich an der BI-Plattform anmelden.

Wählen Sie im Bereich "Optionen für neue Benutzer" eine Option zum Erstellen neuer Benutzer aus:

•

Neue Benutzer werden als vordefinierte Benutzer erstellt

Neue Benutzerkonten werden für die Verwendung von Namenslizenzen konfiguriert.

Namenslizenzen sind mit bestimmten Benutzern verbunden und ermöglichen den Zugriff auf das System auf der Grundlage von Benutzername und Kennwort. Dieser Lizenztyp ermöglicht

Namenslizenzbenutzern den Zugriff auf das System, unabhängig von der Anzahl der derzeit verbundenen Benutzer. Für jedes mit dieser Option erstellte Benutzerkonto muss eine

Namenslizenz verfügbar sein.

•

Neue Benutzer werden als gleichzeitige Benutzer erstellt

2013-01-07

Authentifizierung

307

Neue Benutzerkonten werden für die Verwendung von Zugriffslizenzen konfiguriert.

Zugriffslizenzen geben die Anzahl der Personen an, die gleichzeitig mit der BI-Plattform verbunden sein können. Dieser Lizenztyp ist sehr flexibel, da mit einer geringen Anzahl von

Zugriffslizenzen viele Benutzer unterstützt werden können. Je nach Häufigkeit und Dauer des

Zugriffs auf das System können 100 Zugriffslizenzen beispielsweise 250, 500 oder auch

700 Benutzer unterstützen.

Klicken Sie auf Zeitgesteuert verarbeiten, um zu konfigurieren, wie AD-Aliasaktualisierungen zeitgesteuert verarbeitet werden.

Wählen Sie im Dialogfeld "Zeitgesteuerte Verarbeitung" ein Wiederholungsintervall aus der Liste

Objekt ausführen aus.

Legen Sie andere Optionen und Parameter der zeitgesteuerten Verarbeitung nach Bedarf fest.

Klicken Sie auf Zeitgesteuert verarbeiten.

Bei der Aliasaktualisierung werden auch die Gruppeninformationen aktualisiert.

10.

Legen Sie im Bereich "Optionen für die Attributbindung" die Attributbindungspriorität für das AD-Plugin fest: a.

Aktivieren Sie das Kontrollkästchen Vollständigen Namen, E-Mail-Adresse und andere Attribute

importieren.

Die in AD-Konten verwendeten vollständigen Namen und Beschreibungen werden importiert und mit Benutzerobjekten in der BI-Plattform gespeichert.

Geben Sie eine Option für Priorität der AD-Attributbindung im Verhältnis zu anderen

Attributbindungen festlegen an.

Wenn die Option auf 1 festgelegt ist, haben AD-Attribute immer dann Vorrang, wenn AD-Plugins und andere Plugins (LDAP und SAP) aktiviert sind. Wenn die Option auf 3 festgelegt ist, haben

Attribute von anderen aktivierten Plugins Priorität.

11.

Konfigurieren Sie im Bereich "AD-Gruppenoptionen " AD-Gruppenaktualisierungen: a.

Klicken Sie auf Zeitgesteuert verarbeiten.

Das Dialogfeld "Zeitgesteuerte Verarbeitung" wird angezeigt.

Wählen Sie ein Wiederholungsintervall aus der Liste Objekt ausführen aus.

Legen Sie andere Optionen und Parameter der zeitgesteuerten Verarbeitung nach Bedarf fest.

Klicken Sie auf Zeitgesteuert verarbeiten.

Das System führt die zeitgesteuerte Verarbeitung der Aktualisierung gemäß den von Ihnen angegebenen Zeitsteuerungsinformationen aus. Die nächste zeitgesteuerte Aktualisierung für die

AD-Gruppenkonten wird unter "AD-Gruppenoptionen" angezeigt.

12.

Wählen Sie im Bereich "AD-Aktualisierung auf Abruf" eine Option aus, um anzugeben, ob beim

Klicken auf Aktualisieren AD-Gruppen oder -Benutzer (oder keine davon) aktualisiert werden:

•

AD-Gruppen jetzt aktualisieren

Wählen Sie diese Option aus, wenn beim Klicken auf Aktualisieren mit der Aktualisierung aller zeitgesteuerter AD-Gruppen begonnen werden soll. Die nächste zeitgesteuerte

AD-Gruppenaktualisierung ist unter "AD-Gruppenoptionen" aufgeführt.

•

AD-Gruppen und -Aliase jetzt aktualisieren

2013-01-07