IBM Tivoli Federated Identity Manager, Version 6.2.2.7

Configuration

Les rubriques concernant la configuration expliquent comment déployer et configurer les scénarios Tivoli Federated Identity Manager. Remarque : La prise en charge du protocole Liberty sera abandonnée dans les versions ultérieures d'IBM Tivoli Federated Identity Manager.

PDF
Personnalisation des modèles de fédération
L'outil Fédération - Premiers pas contient des modèles que vous pouvez utiliser pour créer des fédérations SAML 2.0. Les modèles de fédération sont des fichiers de réponses comportant des macros qui sont développées au cours de l'exécution. Vous pouvez modifier ces modèles afin de personnaliser certaines propriétés.
Outil Fédération - Premiers pas
Utilisez l'outil Fédération - Premiers pas pour créer une fédération SAML générique, configurer l'accès basé sur les risques ou ajouter des fournisseurs de services en tant que partenaires.
Configuration de domaine
Un domaine Tivoli Federated Identity Manager est un déploiement du composant d'exécution Tivoli Federated Identity Manager sur un serveur WebSphere unique ou sur un cluster WebSphere.
Présentation des tâches de configuration pour la connexion unique fédérée
Utilisez Tivoli Federated Identity Manager pour établir une fédération de connexions uniques à laquelle les utilisateurs peuvent se connecter une seule fois pour accéder à plusieurs applications Web via différents fournisseurs.
Rôles du fournisseur d'identité et du fournisseur de services
Au sein d'une fédération, chaque partenaire a un rôle. Il s'agit du rôle Fournisseur d'identité ou Fournisseur de services. Le fournisseur d'identité est un partenaire de fédération qui garantit l'identité des utilisateurs. Un fournisseur de services est un partenaire de fédération qui fournit des services à l'utilisateur.
Utilisation des clés et certificats pour sécuriser les communications
Dans un environnement de production standard, tous les messages et toutes les communications de ces messages entre les partenaires et les utilisateurs membres de la fédération sont sécurisés. En outre, vous devez sécuriser les communications entre les serveurs de votre environnement, par exemple, les communications entre votre serveur et votre registre d'utilisateurs.
Configuration de LTPA et de ses clés
Vous devez consulter les paramètres LTPA de votre serveur WebSphere Application Server après avoir installé Tivoli Federated Identity Manager. Vous pouvez utiliser la configuration LTPA par défaut ou l'adapter à votre environnement.
Configuration de la sécurité des messages
Tivoli Federated Identity Manager utilise des certificats (paires de clés publiques et privées) pour sécuriser les messages.
Configuration de la sécurité du transport
Pour permettre la protection du message lors de sa communication (ou de son transport) entre les partenaires, SAML requiert une connexion SSL (Secure Sockets Layer) avec authentification sur le serveur et, dans certains cas, une authentification réciproque.
Sélection d'un serveur point de contact
Le serveur point de contact est un proxy ou une application qui interagit avec un utilisateur et gère à la fois l'authentification et les sessions. Dans un déploiement classique, le point de contact est situé au bord d'un réseau protégé et devant un pare-feu, comme dans une zone démilitarisée, par exemple.
Configuration de WebSphere en tant que serveur point de contact
Tivoli Federated Identity Manager peut être installé soit sur un serveur WebSphere intégré, soit dans un environnement WebSphere existant. Lors de l'installation du serveur intégré et lorsque WebSphere est utilisé en tant que serveur point de contact, le programme d'installation automatise une grande partie de la configuration. Lorsque vous effectuez l'installation dans un environnement WebSphere existant et que vous souhaitez utiliser WebSphere en tant que serveur point de contact, vous devez configurer manuellement les serveurs WebSphere et IHS afin qu'ils répondent aux spécifications de votre déploiement.
Configuration d'un plug-in de serveur Web
L'installation du plug-in de serveur Web est requise sur votre serveur Web uniquement s'il s'agit d'une instance prise en charge autre que WebSphere Application Server. La principale fonction du module d'extension consiste à extraire les informations d'identité des utilisateurs à parti du cookie LTPA contenu dans une requête Web, afin de mettre ces informations d'identification à la disposition de l'application cible hébergée par le serveur Web, au moyen soit d'en-têtes HTTP, soit de variables de serveur (si celles-ci sont prises en charge par le serveur Web).
Configuration de la base de données de service d'alias
SAML 2.0 prend en charge l'usage d'identificateurs (ou alias) pour la communication des identités d'utilisateurs entre les partenaires. Les alias ont pour rôle d'élever le niveau de confidentialité dont bénéficie un utilisateur lorsqu'il accède aux ressources d'un fournisseur de services. Lorsque des alias sont utilisés, un identificateur reconnu à la fois par le fournisseur d'identité et le fournisseur de services est envoyé à la place du nom de compte effectif de l'utilisateur. La création et l'enregistrement des alias a lieu durant l'opération d'association des comptes (fédération). Une fois l'association de compte effectuée, l'alias est inscrit dans tous les messages échangés entre les partenaires. Un alias différent est utilisé pour chaque partenaire. L'alias utilisé dans une direction, par exemple du fournisseur d'identité vers le fournisseur de services, peut être différent de celui qui est utilisé dans la direction opposée, du fournisseur de services vers le fournisseur d'identité.
Planification du mappage des identités d'utilisateur
Planifiez le mappage des identités utilisateur appropriées à votre déploiement.
Fédérations SAML : présentation
Le langage SAML (Security Assertion Markup Language) est un langage XML normalisé destiné à l'échange d'informations de connexion unique. Il s'appuie entre autres sur la technologie SOAP pour échanger des messages XML sur les réseaux informatiques. L'échange des messages XML s'effectue par le biais d'une série de requêtes et de réponses. Dans ce processus, l'un des partenaires de la fédération envoie un message de demande à l'autre partenaire de la fédération. Le partenaire récipiendaire envoie alors immédiatement un message de réponse au partenaire ayant émis la requête.
Noeuds finals SAML et adresses URL
Les communications échangées au sein d'une fédération sont établies entre des noeuds finals sur les serveurs des fournisseurs d'identité et fournisseurs de services partenaires.
Exemples de règles de mappage d'identité pour les fédérations SAML
Les rubriques suivantes indiquent les règles de mappage d'identité fournies pour les fédérations SAML. Si vous avez décidé d'utiliser des règles de mappage d'identité pour votre fédération, vous pouvez consulter les règles XSLT.
Requête d'attribut SAML 2.0
La fonction de requête d'attribut SAML 2.0 étend la fonction du protocole SAML 2.0. La fonction SAML 2.0 traditionnelle nécessite que le fournisseur d'identité envoie tous les attributs utilisateur requis au partenaire de fédération Les attributs sont inclus dans le cadre de l'assertion générée durant le flux de connexion unique.
Etablissement d'une fédération SAML
Etablissez une fédération SAML pour effectuer la configuration de votre fédération.
Configuration d'une fédération SAML à l'aide de l'interface de ligne de commande
Pour configurer une fédération SAML à l'aide de l'interface de ligne de commande, vous devez configurer la fédération du fournisseur d'identité, configurer la fédération du fournisseur de service et fournir les propriétés de configuration de fédération à votre partenaire.
Planification d'une fédération Information Card
Ce guide de planification passe en revue la norme d'implémentation sous Tivoli Federated Identity Manager de la norme Information Card et explique comment planifier le processus de configuration. Ce guide ne constitue pas une présentation exhaustive de la norme Information Card.
Planification d'une fédération Information Card
Références pour Information Card
Présentation de la planification sous OpenID
Tivoli Federated Identity Manager prend en charge les connexions uniques via le protocole OpenID.
Configuration de OpenID
Configurez une fédération OpenID en créant la fédération, en configurant le serveur point de contact, et en mettant à jour les informations sur les pages de connexion.
Référence OpenID
Cette section contient la liste des références pour OpenID. Elle décrit les algorithmes et les transports pris en charge, ainsi que les modèles de pages qui sont utilisés dans un flux de connexion unique.
Présentation de la planification OAuth
Tivoli Federated Identity Manager prend en charge les protocoles OAuth 1.0 et OAuth 2.0. L'implémentation d'OAuth dans Tivoli Federated Identity Manager respecte scrupuleusement les normes OAuth.
Configuration d'une fédération OAuth
Pour configurer une fédération OAuth, vous devez créer la fédération, ajouter votre partenaire à votre fédération, et configurer le point d'application pour la ressource protégée.
Référence OAuth
Cette rubrique contient des références sur les points d'application et leurs propriétés personnalisées, les sections EAS et les modèles de pages HTML pour les deux. La présente rubrique s'applique à OAuth 1.0 et OAuth 2.0.
Planification d'une fédération Liberty
Vous devez, lors de la configuration d'une fédération Liberty, spécifier des valeurs pour les propriétés de la fédération. Gardez toutefois à l'esprit que la prise en charge du protocole Liberty est obsolète dans les versions ultérieures d'IBM Tivoli Federated Identity Manager.
Configuration d'une fédération Liberty
Pour configurer une fédération Liberty, vous devez créer la fédération, lui ajouter un partenaire et fournir les informations de configuration de la fédération à ce partenaire.
Configuration d'une fédération de connexion unique WS-Federation
Vous devez, lors de la configuration d'une fédération WS-Federation, spécifier des valeurs pour les propriétés de la fédération.
Configuration d'une fédération de connexion unique WS-Federation
Pour configurer une fédération à connexion unique WS-Federation, vous devez créer la fédération, y ajouter votre partenaire, puis fournir à celui-ci les informations de configurations issues de votre nouvelle fédération.
Configuration de la gestion de sécurité des services Web
La configuration de la gestion de sécurité des services Web commence par l'établissement d'un domaine Tivoli Federated Identity Manager. Lorsque le domaine est établir, vous pouvez configurer le composant de gestion de la sécurité des services Web.
Présentation de la délégation contrainte Kerberos
Tivoli Federated Identity Manager fournit un service de jeton de sécurité, ou STS (Security Token Service) qui permet d'échanger les formats des jetons de sécurité. Cette fonction sert à déplacer les données d'identification de l'utilisateur entre différents formats de jeton, suivant les besoins des différentes applications.
Activation de l'authentification Windows intégrée
Ces instructions expliquent comment configurer Microsoft IIS en vue de l'authentification SPNEGO.
Configuration d'Active Directory et WebSphere pour la délégation contrainte
Vous devez configurer Active Directory et WebSphere pour que votre délégation Kerberos fonctionne.
Configuration de Tivoli Federated Identity Manager pour un scénario de jonction Kerberos
Configuration de WebSEAL
Vous devez installer et configurer le serveur de règles Tivoli Access Manager avant d'installer WebSEAL.
Tâche de configuration SSL pour un déploiement de jonctions Kerberos
Pour une sécurité optimale, configurez les communications SSL entre serveurs dans un déploiement de jonctions Kerberos.
Découverte de User Self Care
User Self Care fournit une méthode grâce à laquelle les utilisateurs peuvent être mis à disposition dans des environnements entreprise à client.
Déploiement de User Self Care
Tivoli Federated Identity Manager installe automatiquement User Self Care en tant que partie du composant d'exécution. Vous n'avez pas besoin d'installer d'autres logiciels, sauf si vous prévoyez d'utiliser Tivoli Access Manager en tant que registre d'utilisateurs cible.
Réglage de User Self Care
Vous pouvez améliorer les performances de User Self Care en ajustant les paramètres pour plusieurs caches distribués.
Paramètres de fichier de réponses
Utilisez les paramètres décrits dans cette section pour configurer les fichiers de réponses pour User Self Care.
Mot de passe à utilisation unique
Configurez Tivoli Federated Identity Manager pour utiliser le mot de passe à utilisation unique comme facteur d'authentification d'une connexion unique fédérée et dans un scénario d'authentification étendue.
Déploiement du mot de passe à utilisation unique
Vous devez configurer divers composants, par exemple une fédération de mots de passe à utilisation unique et un point de contact, pour déployer l'authentification par mot de passe à utilisation unique. Le mot de passe à utilisation unique est valide pour le scénario de connexion unique fédérée ou d'authentification étendue.
Optimisation de mot de passe à utilisation unique
Améliorez les performances du système de mot de passe à utilisation unique en optimisant le composant OTPProviderDynaCacheOTPStore.
Personnalisation des propriétés de l'environnement d'exécution
Les propriétés personnalisées permettent de personnaliser le service d'exécution de Tivoli Federated Identity Manager afin de répondre à vos besoins spécifiques.
Personnalisation d'un formulaire de connexion d'authentification pour une connexion unique
Personnalisez un formulaire de connexion d'authentification en ajoutant des paramètres à un profil de serveur point de contact WebSphere ou WebSEAL.
Personnalisation des pages d'événement de connexion unique
Tivoli Federated Identity Manager génère des fichiers qui s'affichent à la suite d'événements survenus lors des demandes de connexion unique. Il se peut que la réponse affichée corresponde à un formulaire (par exemple, lorsque des informations de connexion sont requises) ou à une instruction d'erreur ou d'information concernant une condition qui s'est produite lors du traitement de la requête.
Développement d'un serveur point de contact personnalisé
Le serveur point de contact de votre environnement Tivoli Federated Identity Manager représente la première entité qui traite une requête visant à accéder à une ressource. Vous pouvez choisir l'une des options fournies pour un serveur point de contact, ou créer un serveur point de contact personnalisé.
Personnalisation des paramètres des certificats de signature X.509
Lors de la signature de messages ou d'assertions, le certificat X.509 (clé publique) est inclus dans votre signature sous forme de certificat X.509 codé en base 64. Vous pouvez toutefois préciser si ces données doivent être exclues et si d'autres données doivent être ajoutées à vos signatures.
Exécution de WebSphere Application Server avec Java 2
Si vous exécutez la sécurité Java™ 2 sur l'instance de WebSphere Application Server sur laquelle Tivoli Federated Identity Manager est installé, vous devez modifier le fichier java.policy afin d'autoriser l'accès aux répertoires de Tivoli Federated Identity Manager situés dans le sous-répertoire temporaire de votre profil WebSphere.
Référence de tfimcfg
Utilisez la commande tfimcfg pour configurer WebSEAL ou Web Gateway Appliance en tant que serveur point de contact ou configurer des paramètres LDAP pour le service d'alias.
Adresses URL pour l'initialisation d'actions de connexion unique
Les spécifications SAML ne contiennent pas ou peu d'informations sur les noeuds finals ou les méthodes que les utilisateurs doivent employer pour initier des actions de connexion unique. Toutefois, dans un environnement Tivoli Federated Identity Manager, des adresses URL sont définies afin de permettre à l'utilisateur d'initier des actions de connexion unique.
Utilisation de l'interface de ligne de commande pour la configuration de la prise en charge SHA256 Tivoli Federated Identity Manager
Apprenez à configurer les paramètres requis provenant du fichier de réponses pour la prise en charge de SHA256 dans Tivoli Federated Identity Manager.
Désactivation de la consignation en vue d'améliorer les performances
Lors de l'utilisation de Tivoli Federated Identity Manager avec Tivoli Access Manager, vous pouvez améliorer les performances obtenues sur un fournisseur de services en désactivation la fonction de consignation du serveur de règles Tivoli Access Manager.

Commentaires en retour