Acceptation de mots de passe provenant des systèmes connectés

Comme dans les versions précédentes de DirXML® et Identity Manager, tout système connecté peut publier un mot de passe dans le coffre-fort d'identité.

Vous pouvez préciser les applications des systèmes connectés dont Identity Manager accepte les mots de passe. Vous pouvez même choisir si Identity Manager doit mettre à jour le mot de passe des utilisateurs dans le coffre-fort d'identité dans lequel s'exécute Identity Manager ou s'il doit simplement agir à la manière d'une conduite ou d'un « tunnel », en synchronisant les mots de passe uniquement entre les systèmes connectés. Cela implique qu'il est possible de distinguer le mot de passe du coffre-fort d'identité de celui distribué par Identity Manager aux systèmes connectés, si on le souhaite.

Certains systèmes connectés (AD, autres coffres-forts d'identité, NT et NIS) peuvent fournir le mot de passe de l'utilisateur. Dès lors, lorsqu'un utilisateur change de mot de passe sur un système connecté, la modification peut être synchronisée avec Identity Manager et avec les autres systèmes connectés.

D'autres systèmes connectés ne peuvent pas fournir le mot de passe de l'utilisateur ; ils peuvent toutefois être configurés pour fournir à Identity Manager un mot de passe créé à partir d'une feuille de style, par exemple un mot de passe initial basé sur le nom de famille ou l'ID du salarié.

Distribution des mots de passe aux systèmes connectés

La synchronisation des mots de passe Identity Manager permet de distribuer un mot de passe commun aux systèmes connectés.

Dans les versions précédentes Identity Manager, un pilote pouvait envoyer des mots de passe à Identity Manager depuis un compte utilisateur sur un système connecté. Le mot de passe pouvait être utilisé pour mettre à jour l'utilisateur correspondant dans eDirectory. Toutefois, le mot de passe NDS de eDirectory n'étant pas réversible, il était impossible de transférer un mot de passe du coffre-fort d'identité central Identity Manager vers plusieurs systèmes connectés. Pour se procurer le mot de passe eDirectory, il fallait le capturer avant qu'il ne soit stocké dans eDirectory, par exemple à travers le client Novell.

Le mot de passe universel fourni par eDirectory 8.7.3 est réversible. Il peut être distribué.

Identity Manager peut accepter un mot de passe d'un système connecté. Comme le mot de passe universel est réversible, Identity Manager peut le distribuer du coffre-fort d'identité aux systèmes connectés qui prennent en charge la définition initiale des mots de passe pour les nouveaux comptes, ainsi que leur modification.

Quelle que soit l'origine du mot de passe, Identity Manager utilise le mot de passe de distribution en tant que référentiel à partir duquel distribuer les mots de passe aux systèmes connectés. Le mot de passe de distribution, comme le mot de passe universel, permet d'appliquer les stratégies de mot de passe.

Pour plus d'informations sur l'utilisation du mot de passe universel et du mot de passe de distribution dans la synchronisation des mots de passe, reportez-vous à Implémentation de la synchronisation des mots de passe.

Comme pour tous les autres attributs des utilisateurs, vous pouvez décider quels sont les systèmes qui constituent des sources de mots de passe expertes. Identity Manager distribue les mots de passe de cette source aux autres systèmes connectés.

Vous pouvez établir la synchronisation bidirectionnelle des mots de passe entre des systèmes connectés qui la prennent en charge.

Application des stratégies de mot de passe dans la zone de stockage et sur les systèmes connectés

En appelant NMAS, Identity Manager peut appliquer les stratégies de mot de passe sur les mots de passe entrants. Si le mot de passe publié depuis un système connecté vers Identity Manager ne respecte pas les stratégies, vous pouvez paramétrer Identity Manager de sorte qu'il n'accepte pas le mot de passe dans le coffre-fort d'identité. Cela signifie aussi que les mots de passe non conformes aux stratégies ne seront pas distribués aux autres systèmes connectés.

De plus, Identity Manager peut appliquer les stratégies de mot de passe sur les systèmes connectés. Si le mot de passe publié vers Identity Manager ne respecte pas les règles de la stratégie, vous pouvez paramétrer Identity Manager de sorte qu'il n'accepte pas de distribuer le mot de passe et même qu'il réinitialise le mot de passe non conforme sur le système connecté à l'aide du mot de passe de distribution actuel présent dans le coffre-fort d'identité.

Supposons que vous souhaitiez que les mots de passe comprennent au moins un caractère numérique. Le système connecté, lui, n'a pas la capacité d'appliquer cette stratégie. Vous pouvez demander que Identity Manager réinitialise les mots de passe provenant du système connecté qui ne respectent pas les règles de la stratégie.

Si vous utilisez les règles de mots de passe avancées, ainsi que la synchronisation des mots de passe dans Identity Manager, nous vous conseillons de rechercher les stratégies de mot de passe de tous les systèmes connectés afin de vérifier que les règles avancées définies dans la stratégie de mot de passe eDirectory sont compatibles. Cette recherche garantit le bon déroulement de la synchronisation des mots de passe.

N'oubliez pas de vérifier que tous les utilisateurs à qui vous avez assigné des stratégies de mot de passe NMAS correspondent aux utilisateurs qui doivent participer à la synchronisation des mots de passe entre les systèmes connectés.

Les stratégies de mot de passe NMAS sont assignées dans une perspective centrée sur l'arborescence. La synchronisation des mots de passe, en revanche, est définie pilote par pilote. Par ailleurs, les pilotes sont installés pour chaque serveur et ne peuvent gérer que les utilisateurs se trouvant sur une réplique principale ou en lecture/écriture. Pour que la synchronisation des mots de passe donne les résultats escomptés, vérifiez que les conteneurs situés dans une réplique principale ou en lecture/écriture sur le serveur sur lequel s'exécutent les pilotes auxquels s'applique la synchronisation correspondent aux conteneurs pour lesquels vous avez assigné des stratégies de mot de passe avec le mot de passe universel activé. L'assignation d'une stratégie de mot de passe au conteneur racine d'une partition garantit que cette stratégie s'applique à tous les utilisateurs de ces conteneurs et sous-conteneurs.

Pour plus d'informations sur l'assignation des stratégies de mot de passe NMAS aux utilisateurs, reportez-vous à la section « Assigning Password Policies to Users (Assignation de stratégies de mot de passe aux utilisateurs) » du Password Management Administration Guide (Guide d'administration pour la gestion des mots de passe).

Scénarios de synchronisation des mots de passe

Identity Manager permet de spécifier quels sont les systèmes qui constituent des sources de mots de passe expertes. Vous pouvez également décider du flux des mots de passe.

La plupart des fonctionnalités de la synchronisation des mots de passe dans Identity Manager repose sur le mot de passe universel, la fonction de mot de passe réversible du coffre-fort d'identité. Toutefois, certains scénarios fonctionnent sans déploiement du mot de passe universel.

La synchronisation des mots de passe dans Identity Manager s'appuie également sur le mot de passe de distribution. Comme pour le mot de passe universel, une stratégie peut être appliquée au mot de passe de distribution.

Pour les principales méthodes d'implémentation de la synchronisation des mots de passe, reportez-vous à Implémentation de la synchronisation des mots de passe. Ces scénarios peuvent être associés pour répondre aux besoins de votre environnement.

Synchronisation des mots de passe sous Windows sans le client Novell

Un client Novell n'est plus nécessaire pour synchroniser les mots de passe avec Active Directory et NT Domain.

Notification des utilisateurs en cas d'échec de la synchronisation des mots de passe

Application des stratégies de mot de passe dans la zone de stockage et sur les systèmes connectés explique comment Identity Manager peut appliquer les stratégies de mot de passe en refusant les mots de passe non conformes en provenance des systèmes connectés.

Grâce à la fonctionnalité de notification par message électronique, vous pouvez demander à Identity Manager d'avertir l'utilisateur en cas d'échec d'une modification du mot de passe.

Vous devez configurer le serveur de messagerie et les modèles avant d'utiliser cette fonctionnalité. Vous pouvez personnaliser les éléments suivants :

Pour plus d'informations, reportez-vous à Configuration de la notification par message électronique.

Vérification de l'état de synchronisation du mot de passe pour un utilisateur

Identity Manager permet d'interroger les systèmes connectés pour vérifier l'état de synchronisation des mots de passe d'un utilisateur. Si le système connecté prend en charge la vérification du mot de passe, vous saurez si la synchronisation des mots de passe a réussi.

Pour plus d'informations sur la vérification des mots de passe, reportez-vous à Vérification de l'état de synchronisation du mot de passe pour un utilisateur.

Afin d'obtenir une liste des systèmes qui prennent en charge la vérification des mots de passe, reportez-vous à Prise en charge par les systèmes connectés de la synchronisation des mots de passe.