Authentification
8.3.3.5 Dépannage des nouveaux comptes LDAP
• Si vous créez un nouveau compte d'utilisateur LDAP qui n'appartient pas à un compte de groupe mappé à la plateforme de BI, mappez le groupe ou ajoutez le nouveau compte d'utilisateur LDAP
à un groupe déjà mappé au système.
• Si vous créez un compte d'utilisateur LDAP qui appartient à un compte de groupe mappé à la plateforme de BI, actualisez la liste des utilisateurs.
Rubriques associées
•
Configuration de l'authentification LDAP
•
Mappage des groupes LDAP
8.4 Authentification Windows AD
8.4.1 Présentation
267
8.4.1.1 Utilisation de l'authentification Windows AD
Cette section fournit une description générale du mode de fonctionnement de l'authentification Windows
Active Directory (AD) avec la plateforme de BI. Elle présente ensuite les workflows d'administration requis pour activer et gérer les comptes AD sur la plateforme de BI. La fin de la section présente des conseils de base pour le dépannage.
Exigences de prise en charge
Pour faciliter l'authentification AD sur la plateforme de BI, vous devez tenir compte des exigences de prise en charge suivantes.
• Le CMS doit toujours être installé sur une plateforme Windows prise en charge.
• Bien que les plateformes Windows 2003 et 2008 soient prises en charge aussi bien pour l'authentification Kerberos que pour l'authentification NTLM, il est possible que certaines applications
2012-05-10
Authentification de la plateforme de BI n'utilisent qu'une méthode d'authentification spécifique. Par exemple, des applications telles que la zone de lancement BI et la Central Management Console ne prennent en charge que Kerberos.
Procédure de base d'authentification AD
Pour utiliser l'authentification AD avec la plateforme de BI, vous devez appliquer la procédure de base suivante :
1.
Configurer les ressources de contrôleur de domaine requises.
2.
Préparer l'hôte de la plateforme de BI pour l'authentification Windows AD.
3.
Activer le plug-in de sécurité AD et mapper les groupes AD.
4.
Choisissez une méthode d'authentification :
• Windows AD avec Kerberos
• Windows AD avec NTLM
5.
Configurez la connexion unique aux applications de la plateforme de BI. Cette étape facultative peut
être facilitée grâce aux méthodes suivantes :
• Windows AD avec Vintela (Kerberos)
• Windows AD avec SiteMinder (Kerberos)
8.4.1.1.1 Plug-in de sécurité Windows AD
Le plug-in de sécurité Windows AD permet de mapper des comptes et des groupes d'utilisateurs de la base de données utilisateur Microsoft Active Directory (AD) 2003 et 2008 dans la plateforme de BI. Il permet également au système de vérifier toutes les requêtes de connexion qui spécifient l'authentification
AD. Les utilisateurs sont authentifiés par rapport à la base de données utilisateur AD et leur appartenance
à un groupe AD mappé est vérifiée avant que le CMS (Central Management Server) ne leur accorde une session de plateforme de BI active
Le plug-in de sécurité de Windows AD vous permet de procéder à la configuration suivante :
• Authentification Windows AD avec NTLM
• Authentification Windows AD avec Kerberos
• Authentification Windows AD avec SiteMinder pour une connexion unique
Le plug-in de sécurité Windows AD est compatible avec les domaines Microsoft Active Directory 2003 et 2008 exécutés en mode natif ou mixte.
Une fois que vous avez mappé vos utilisateurs et groupes AD, il peuvent accéder à tous les outils client de la plateforme de BI utilisant l'authentification AD.
• L'authentification Windows AD fonctionne uniquement si le CMS s'exécute sous Windows. Pour que la connexion unique à la base de données fonctionne, les serveurs de reporting doivent
également s'exécuter sous Windows. Tous les autres serveurs et services peuvent s'exécuter sur toutes les plateformes prises en charge.
• Le plug-in Windows AD pour la plateforme de BI prend en charge les domaines dans plusieurs forêts.
268 2012-05-10
Authentification
8.4.1.1.2 Utilisation des utilisateurs et groupes Windows AD
La plateforme de BI prend en charge l'authentification AD (Active Directory) avec le plug-in de sécurité
Windows inclus par défaut lors de l'installation du produit sur une plateforme Windows. La prise en charge de l'authentification Windows AD signifie que les comptes des utilisateurs et des groupes de
Microsoft Active Directory (2003 et 2008) peuvent être utilisés pour l'authentification sur la plateforme de BI. L'administrateur système peut ainsi mapper les comptes AD existants au lieu de configurer chaque utilisateur et chaque groupe sur la plateforme de BI.
Planification des mises à jour des groupes Windows AD
La plateforme de BI permet aux administrateurs de planifier les mises à jour des groupes et alias utilisateur AD. Cette fonction est disponible pour l'authentification AD avec Kerberos ou NTLM. La CMC vous permet également de visualiser la date et l'heure d'exécution de la dernière mise à jour.
Remarque :
Pour que l'authentification AD fonctionne sur la plateforme de BI, vous devez configurer la méthode de mise à jour des groupes et alias AD.
Lorsque vous planifiez une mise à jour, vous pouvez choisir une des périodicités récapitulées dans le tableau suivant :
Périodicité
Toutes les heures
Tous les jours
Toutes les semaines
Tous les mois
Nième jour du mois
1er lundi du mois
Description
La mise à jour s'exécutera toutes les heures. Vous pouvez spécifier l'heure à laquelle l'exécution démarrera, de même que sa date de début et sa date de fin.
La mise à jour s'exécutera tous les jours ou tous les N jours. Vous pouvez préciser l'heure à laquelle l'exécution aura lieu, de même que sa date de début et sa date de fin.
La mise à jour s'exécutera toutes les semaines. Elle peut être exécutée une ou plusieurs fois par semaine. Vous pouvez préciser les jours et l'heure auxquels l'exécution doit avoir lieu, ainsi qu'une date de début et une date de fin.
La mise à jour s'exécutera tous les mois ou tous les N mois. Vous pouvez préciser l'heure à laquelle l'exécution aura lieu, de même que sa date de début et sa date de fin.
La mise à jour sera exécutée un jour spécifique du mois. Vous pouvez préciser le jour du mois et l'heure auxquels l'exécution aura lieu, ainsi que sa date de début et sa date de fin.
La mise à jour sera exécutée le premier lundi de chaque mois.
Vous pouvez préciser l'heure à laquelle l'exécution aura lieu, de même que sa date de début et sa date de fin.
269 2012-05-10
Authentification
270
Périodicité
Dernier jour du mois
Jour X de la Nième semaine du mois
Calendrier
Description
La mise à jour sera exécutée le dernier jour de chaque mois.
Vous pouvez préciser l'heure à laquelle l'exécution aura lieu, de même que sa date de début et sa date de fin.
La mise à jour sera exécutée le jour indiqué de la semaine indiquée du mois. Vous pouvez préciser l'heure à laquelle l'exécution aura lieu, de même que sa date de début et sa date de fin.
La mise à jour sera exécutée aux dates spécifiées dans un calendrier précédemment créé.
Planification des mises à jour de groupe AD
La plateforme de BI s'appuie sur AD (Active Directory) pour les informations utilisateur et les informations de groupe. Pour limiter le volume des requêtes envoyées à AD, le plug-in AD met en cache les informations sur les groupes, leurs relations, et l'appartenance des utilisateurs aux groupes. La mise
à jour ne s'effectue pas si aucune planification spécifique n'est définie.
Vous devez utiliser la CMC pour configurer la récurrence de l'actualisation de la mise à jour de groupe.
La planification doit refléter la fréquence à laquelle vous voulez modifier les informations d'appartenance aux groupes.
Planification des mises à jour des alias d'utilisateur AD
Les objets utilisateur peuvent avoir un alias dans un compte AD (Active Directory) Windows, ce qui permet aux utilisateurs d'utiliser leur références de connexion AD pour se connecter à la plateforme de BI. Les mises à jour des comptes AD sont propagées sur la plateforme de BI par le plug-in AD. Les comptes créés, supprimés ou désactivés dans AD le sont aussi sur la plateforme de BI.
Si vous ne planifiez pas les mises à jour des alias AD, elles se produiront uniquement dans les cas suivants :
• Un utilisateur se connecte : l'alias AD est mis à jour.
• Un administrateur sélectionne l'option Mettre à jour les alias et les groupes AD maintenant dans la zone Mise à jour d'AD à la demande de la CMC.
Remarque :
Aucun mot de passe AD n'est stocké dans l'alias utilisateur.
8.4.1.1.3 Connexion unique avec Windows AD
Le plug-in de sécurité Windows AD prend en charge la connexion unique, afin de permettre aux utilisateurs AD authentifiés de se connecter à la plateforme de BI sans avoir à saisir explicitement leurs références de connexion. Les conditions requises pour la connexion unique dépendent du mode d'accès des utilisateurs à la plateforme : via un client lourd ou via le Web. Dans les deux scénarios, le plug-in de sécurité obtient le contexte de sécurité de l'utilisateur auprès du fournisseur d'authentification et accorde à l'utilisateur une session active de la plateforme de BI s'il est membre d'un groupe AD mappé.
2012-05-10
