Installation et configuration sur le serveur Windows

Modifier en ligne

Avant de commencer

Heure: La première synchronisation peut prendre un certain temps. Par exemple, un Active Directory serveur comptant 500 000 utilisateurs et groupes peut prendre deux jours. Pendant ce temps, toutes les modifications apportées au serveur d'annuaire sont enregistrées par le Active Directory serveur et appliquées après la synchronisation initiale. Au final, le Verify répertoire est mis à jour en temps quasi réel.
Mémoire de processus: VerifyLors de la première passe, le mappage entre Active Directory les identifiants d'utilisateur et de groupe et les identifiants d'utilisateur et de groupe SCIM correspondants est mis en cache. Ce mappage nécessite 512 octets par utilisateur, par conséquent, avec 500 000 utilisateurs, l'utilisation de la mémoire est augmentée de 244 Mo.
Stockage de système de fichiers temporaire: Pour l'option « IBM® » ( Security Directory Server ), l'application IcbLdapSync.exe extrait une copie complète du répertoire (seuls les attributs pertinents sont copiés) dans un fichier local. Par exemple, un annuaire contenant 500 000 utilisateurs et groupes peut nécessiter 275 Mo d'espace disque local temporaire. Ce fichier local est crypté.

Remarque : pour exécuter ce programme, vous devez disposer des droits d'administrateur.

A propos de cette tâche

VerifyUne fois la première synchronisation terminée, un journal d'événements Windows™ est généré afin que l'administrateur sache que tous les utilisateurs et groupes ont bien été créés dans le répertoire -SCIM.
L'état de réplication est stocké dans le fichier cookie.bin. Ce fichier ne doit pas être supprimé. La suppression de ce fichier déclenche une nouvelle réplication complète.
Le fichier de configuration par défaut ajoute tous les utilisateurs avec :
```
"realm":"cloudBridgeRealm"
"userCategory":"federated”
```
Cette configuration peut être modifiée si besoin. Assurez-vous que toutes les références à “cloudBridgeRealm” dans le fichier de configuration sont mises à jour si une modification est effectuée.
Utilisez cette -clean option pour supprimer tous les utilisateurs et groupes synchronisés du répertoire Verify-SCIM, tout en laissant les autres entrées inchangées. Cette option supprime cookie.bin et lit tous les utilisateurs et groupes qui seraient normalement synchronisés, puis les supprime du Verify répertoire.

Procédure

Recherchez et téléchargez la dernière IBM Verify version de l'application Bridge for Directory Sync sur App Exchange.
Cette application comprend un .zip fichier contenant le programme d'installation exécutable et un README.txt fichier répertoriant les modifications apportées à IBM Verify Bridge for Directory Sync.
1. Rendez-vous sur https://exchange.xforce.ibmcloud.com/hub.
2. Connectez-vous à App Exchange.
3. Recherchez IBM Security Bridge.
4. Sélectionnez « IBM » (Synchronisation des répertoires ) et « Security Verify Bridge » (Pont de synchronisation des répertoires).
5. Téléchargez l'application.
Décompressez le IBMSecurityVerifybridgeforDirectorySync_version.zip fichier sur le système Windows de destination.
Vous devez installer le package de redistribuables 64 bits de Windows Visual Studio 2017 avant d'installer ce produit. Ce produit ne peut pas fonctionner sans ce package. S'il n'est pas déjà installé, il est installé lorsque vous exécutez le fichier setup_dirsync.exe.
Lancer setup_dirsync.exe.
1. setup_dirsync.exeDouble-cliquez dessus.
2. Sélectionnez une langue.
3. Cliquez sur Installer.
  setup_dirsync.exeSi le composant redistribuable 64 bits de Windows Visual Studio 2017 a été installé par l'assistant, vous devrez peut-être redémarrer votre ordinateur et relancer l'opération.
4. Dans l'assistant « InstallShield », cliquez sur Suivant.
5. Acceptez les conditions générales, puis cliquez sur Suivant.
6. Sélectionnez le répertoire d'installation, puis cliquez sur Suivant.
7. Cliquez sur Installer.
8. Cliquez sur Terminer.
Installez-le IcbLdapSync.json dans le répertoire d'installation.
- Si vous effectuez une synchronisation à partir d'ISDS LDAP, copiez IcbLdapSync.json.isds-sample par dessus le fichier IcbLdapSync.json en cours pour fournir un point de départ.
- Pour Active Directory, copiez le fichier IcbLdapSync.json.ad-sample dans le fichier IcbLdapSync.json pour fournir un point de départ approprié pour la synchronisation.
Remarque : avant d'apporter des modifications au IcbLdapSync.json fichier et de lancer une synchronisation de répertoires, assurez-vous de bien connaître et de vérifier les attributs et les valeurs qui seront synchronisés vers Verify.
1. Configurez les paramètres de connexion LDAP de votre serveur ISDS ou AD sous “cloud-bridge” -”ldap”.
  Si vous utilisez une connexion TLS au serveur LDAP, assurez-vous que les certificats de signature du serveur LDAP sont présents dans le magasin de certificats Windows sous Autorités RootCertification de confiance > Compte d'ordinateur > Ordinateur local. Si votre serveur LDAP utilise un certificat qui n'est pas signé par une autorité de certification connue, utilisez la commande mmc avec le composant logiciel enfichable "certificate".
2. Configurez les Verify paramètres de connexion au serveur dans ibm-auth-api.
3. Modifiez les autres valeurs selon ldap-search-filter vos besoins.
  L'exemple de filtre AD ignore tous les utilisateurs et groupes pour lesquels l'attribut isCriticalSystemObject est défini. Ces utilisateurs et groupes sont généralement les comptes d'ordinateur, les groupes de systèmes, les comptes invités et les comptes d'administrateur. L'exemple de filtre ISDS recherche les utilisateurs dotés de la classe d'objet person et les groupes dotés de la classe d'objet groupOfUniqueNames.
  Remarque :
  - Le processus IcbLdapSync.exe utilise le contrôle Active Directory LDAP DirSync. Pour avoir le droit d'utiliser le contrôle DirSync, le compte utilisateur qui exécute IcbLdapSync.exe doit avoir le droit directory get changes affecté à la racine de la partition surveillée. Par défaut, ce droit est affecté aux comptes administrateur et LocalSystem sur les contrôleurs de domaine. L'appelant doit également disposer du droit d'accès de contrôle étendu DS-Replication-Get-Changes. Pour plus d'informations, consultez le site https://docs.microsoft.com/en-us/windows/win32/ad/polling-for-changes-using-the-dirsync-control.
  - Pour ISDS, le compte utilisé pour y accéder doit disposer des droits nécessaires pour utiliser le Paging contrôle et lire les changelog entrées.
  - Les droits d'accès suivants sont requis par le client API configuré :
    
    Manage users and standard groups
    
    Synchronize users and groups
  - Une fois la synchronisation commencée, vous ne pouvez pas ajouter ou retirer des attributs des attributs configurés qui sont en cours de synchronisation. Le produit ne peut pas ajuster rétroactivement les utilisateurs et les groupes synchronisés pour qu'ils correspondent à la modification de la configuration d'attribut. Assurez-vous que tous les attributs dont vous avez besoin sont configurés avant le premier appel.
Ajoutez un mécanisme de masquage aux secrets et mots de passe du IcbLdapSync.json fichier de configuration.
En tant que pratique de sécurité générale, ne placez pas des mots de passe et des secrets client en clair dans le fichier de configuration. Utilisez l'outil de brouillage IBM pour rendre illisibles les mots de passe et les secrets.
Par exemple :
```
C:\Program Files\IBM\DirectorySync>IcbLdapSync.exe -obf myadminpassword
OfFE5gNch3u5cJbeTj10Mm2Mbd1yS4eQjzqihj0lz7jGIG9fK7vNqTS90EmebtaU
```
```
C:\Program Files\IBM\DirectorySync>IcbLdapSync.exe -obf myclientsecret
tiWLbtgcT1k+PP0IwWyXlKsdGnTE3dDJ15ZCvHzj9YY=
```
Ajoutez la valeur générée dans le fichier IcbLdapSync.json.
Lancez manuellement le service Windows.
Le IBM Verify Bridge for Directory Sync service exécute le IcbLdapSync.exe processus. Une fois que le service fonctionne correctement, vous pouvez le modifier pour qu'il démarre automatiquement. La première exécution peut prendre un certain temps en fonction du nombre d'utilisateurs et de groupes en cours de synchronisation.