Pour obtenir les informations les plus récentes sur Novell® NsureTM Identity Manager 2, reportez-vous à la documentation qui se trouve sur le site Web de documentation sur les produits Novell.
Vous pouvez consulter la documentation en ligne au format HTML ou en télécharger une copie au format PDF.
Le fichier Lisez-moi le plus récent est également disponible en ligne à la même adresse.
Si vous choisissez d'installer les plugs-in d'iManager pour DirXML®, vous devez fournir des références d'authentification valides à votre serveur iManager. Si l'authentification échoue, revenez à l'écran précédent, désélectionnez les plugs-in, puis continuez l'installation.
Cette erreur apparaît également si votre serveur iManager ne s'exécute pas correctement. Vérifiez que vous pouvez vous connecter au serveur iManager (http://<hôte_ou_adresse_ip>/nps/iManager.html). Si vous vous connectez à iManager, essayez à nouveau d'installer les plugs-in DirXML.
Si vous installez Identity Manager sur un serveur NetWare ® avec un CD monté comme volume NSS, assurez-vous que NetWare 6.5 SP2 ou CSP11 est installé en premier.
Si vous installez la mise à niveau de NetWare après DR1, les plugs-in iManager les plus anciens sont installés. Dans ce cas, des erreurs indiquant des méthodes manquantes apparaîtront peut-être. Dans ce cas, ré-installez les plugs-in iManager à partir d'Identity Manager sur l'installation CSP.
Si vous installez DirXML sur NetWare et si JVM* 1.4 x n'est pas installé, un message indique : "Erreur fatale. Ce programme va se fermer. Après avoir fermé cette boîte de dialogue, consultez le fichier sys:\ni\data\ni.log pour plus de détails. L'arborescence ne s'est pas encore initialisée..."
Pour résoudre ce problème, vous devez passer à JVM 1.4.x. JVM est disponible sur le site Web de téléchargement de logiciels Novell.
Lorsque vous passez d'eDirectoryTM 8.6.2 à 8.7.1, une version plus ancienne du progiciel dxevent est installée. L'installation commence à copier les fichiers mais échoue en indiquant l'erreur suivante :
"file /usr/lib/nds-modules/libdxevent.la from install of NDSdxevnt-1.1.1-1 conflicts with file from package novell-DXMLevent-2.0.0-14
file /usr/lib/nds-modules/libdxevent.so from install of NDSdxevnt-1.1.1-1 conflicts with file from package novell-DXMLevent-2.0.0-14
%% Unable to install NDSdxevnt, Exiting..."
Pour résoudre ce problème, procédez comme suit.
Avant d'installer eDirectory 8.7.1, allez dans le répertoire eDirectory Linux/Setup.
Saisissez rpm -ivh --force NDSdxevnt-1.1.1-1.i386.rpm pour forcer l'installation du progiciel NDSdxevent. Exécutez le script nds-install d'eDirectory pour supprimer ou remplacer les progiciels d'eDirectory et réaliser une mise à niveau d'eDirectory 8.6.2 vers 8.7.1. Lorsque l'installation est terminée, réinstallez Identity Manager 2.
Lorsque vous créez un ensemble de pilotes ou immédiatement après le chargement d'Identity Manager, le processus ndsd (eDirectory) se ferme de manière inattendue sans vidage de mémoire. /var/nds/ndsd.log contient le message suivant : "Exception java.lang.OutOfMemoryError: requested -569704448 bytes for char in /export1/jdk/jdk1.4.2/hotspot/src/os/solaris/vm/os_solaris.cpp. Out of swap space?" (le nombre exact peut varier).
Pour résoudre ce problème, procédez comme suit.
Cette erreur peut également disparaître si vous ajoutez de la mémoire à l'ordinateur qui héberge eDirectory.
Lorsque vous mettez à niveau Novell eDirectory 8.6.2 vers 8.7.1, une version plus ancienne de dxevent.dll est installée. Lorsque vous essayez de démarrer un pilote, l'erreur suivante se produit : ***"Impossible de lancer le pilote. com.novell.admin.common.exceptions.UniqueSPIException: (Erreur -783) Le module d'interface DirXML (VRDIM) n'est actuellement pas chargé dans NetWare ou dans DHost."
Pour résoudre ce problème dans Windows*, copiez dxevent.dll à partir du répertoire NT\DirXML\Engine sur l'image CD dans le répertoire c:\novell\nds sur le serveur.
Pour résoudre ce problème dans NetWare, copiez dxevent.dll à partir du répertoire NW\DirXML\Engine\System sur l'image CD DirXML 2.0 dans le répertoire SYS:SYSTEM sur le serveur.
Si vous mettez à niveau eDirectory sur votre serveur Identity Manager, l'erreur suivante s'affiche : "UniqueSPIException error -783". Pour résoudre ce problème, connectez-vous dans iManager ; dans Présentation DirXML, supprimez le serveur listé pour l'objet Pilote, puis ré-associez le serveur à l'objet Pilote.
Si vous exécutez Identity Manager sous UNIX*, vous devez installer la méthode par mot de passe simple. Elle se trouve sur votre support d'installation eDirectory.
Exécutez nnmasinst.
Saisissez nmasinst -addmethod <admin.context> <treeName> </Download/eDir873/SimplePassword/config.txt> [-h hostname[:port]] [-w password]
Lorsqu'un administrateur crée un nouvel utilisateur et son mot de passe, il est préférable que ce mot de passe expire immédiatement, afin que les utilisateurs créent leur propre mot de passe.
Cette fonctionnalité existait dans les versions précédentes de Novell eDirectoryTM pour le mot de passe NDS®. Si l'expiration des mots de passe était définie, les mots de passe créés par l'administrateur expiraient automatiquement.
En ce qui concerne le mot de passe universel, NMASTM 2.3.4 prend en charge cette fonctionnalité. Comme avec le mot de passe NDS, l'utilisation de cette fonctionnalité dépend de la définition de l'expiration du mot de passe. Si la définition de l'expiration du mot de passe est activée dans la règle du mot de passe (Règles de mots de passe avancées, intitulée "Nombre de jours avant l'expiration du mot de passe (0-365)"), les mots de passe créés par l'administrateur expirent.
Si vous installez Identity Manager dans un environnement multiserveur et si vous utilisez certains des plugs-in de gestion des mots de passe d'iManager, un message d'erreur commençant par "Erreur de transport LDAP NMAS" peut s'afficher.
La cause la plus fréquente de cette erreur est que le fichier PortalServlet.properties pointe sur un serveur LDAP ne possédant pas les extensions NMAS nécessaires à Identity Manager. Ouvrez le fichier PortalServlet.properties et vérifiez que l'adresse du serveur LDAP est la même que celle du serveur sur lequel vous avez installé Identity Manager.
Autres causes possibles :
Après l'implémentation du mot de passe universel, il est possible que NDPS, ZEN, NILE (connexions SSL) et SLPDA ne se chargent pas. C'est un problème d'application ; les mots de passe générés automatiquement et créés par ces applications pourraient violer les règles de mots de passe.
La solution est décrite dans TID 10092957 et un correctif sera bientôt disponible.
Si vous créez une règle de mot de passe et si vous activez le mot de passe universel, les règles de mots de passe avancées s'appliquent à la place des paramètres de mots de passe définis pour les mots de passe NDS. Les paramètres de mot de passe hérités sont ignorés. Aucune fusion ou copie des paramètres précédents ne s'effectue automatiquement lorsque vous créez des règles de mot de passe.
Par exemple, si vous avez défini un nombre de login bonus pour le mot de passe NDS, lorsque vous activez le mot de passe universel, vous devez recréer le paramètre de login bonus dans les règles de mots de passe avancées de la règle de mot de passe.
Si, par la suite, vous désactivez l'option Mot de passe universel dans la règle de mot de passe, les paramètres de mot de passe existants ne seront plus ignorés. Ils s'appliquent alors pour le mot de passe NDS.
Dans la version initiale d'Identity Manager 2, la fonctionnalité Mot de passe en libre service supposait que le port SSL LDAP était le port 636, à moins qu'un port différent ne soit spécifié dans le fichier PortalServlet.properties dans la paire de clés LDAPSSLPort=votre_numéro_de_port.
Dans cette version, la fonctionnalité Mot de passe en libre service suppose que le port SSL LDAP est celui noté dans le fichier PortalServlet.properties dans la paire de clés System.DirectoryAddress, à moins qu'un port différent ne soit précisé dans le fichier PortalServlet.properties de la paire de clés LDAPSSLPort=votre_numéro_de_port.
Si vous avez besoin de TLS pour une liaison simple (le paramètre par défaut de l'objet Groupe du serveur LDAP), aucune action ne doit être nécessaire pour procéder à ce changement ; en effet, le port SSL LDAP doit être celui noté dans le fichier PortalServlet.properties du paramètre System.DirectoryAddress.
Vous ne devrez ajouter la paire de clés LDAPSSLPort=votre_numéro_de_port au fichier PortalServlet.properties que dans un seul cas : lorsque vous choisirez de ne pas avoir besoin de TLS pour une liaison simple et si votre port SSL LDAP est différent du port noté dans le paramètre System.DirectoryAddress du fichier PortalServlet.properties.
Les questions de stimulation-réponse nécessitent que l'utilisateur fournisse des réponses pour prouver son identité. Si vous voulez que NMAS ignore la casse lors de la validation des réponses aux questions de stimulation-réponse, utilisez NMAS 2.3.4 ou une version ultérieure.
Lorsque vous définissez le mot de passe universel sous Linux*, vous verrez peut-être un nombre accru de connexions 2.3.4TCP, ce qui peut entraîner une fermeture d'eDirectory. Pour corriger ce problème, téléchargez et installez TID2969057 pour NMAS 2.3.4.
Si vous rencontrez des problèmes avec la tâche iManager Définir le mot de passe universel, vérifiez que l'option "Exiger TLS en cas de liaison simple" a été activée. Pour cela, modifiez les propriétés de l'objet Serveur LDAP dans iManager.
Cela n'est nécessaire que pour cette tâche. Le contenu du portail construit cette connexion SSL à la demande, mais iManager demande qu'elle soit établie au moment de la connexion.
Si un message d'erreur s'affiche indiquant qu'aucune règle de mot de passe n'est assignée à un utilisateur donné dans la tâche Définir le mot de passe universel et si vous savez pertinemment qu'une règle de mot de passe est assignée à cet utilisateur, SSL est probablement la cause du problème. Vérifiez que SSL est configuré correctement entre le serveur Web exécutant iManager et l'arborescence primaire. Pour vous aider à confirmer qu la configuration SSL est la source du problème, utilisez la tâche Afficher l'assignation de règle pour savoir quelle est la règle applicable à cet utilisateur. Si la tâche Afficher l'assignation de règle affiche une erreur de transport NMAS, cela peut également indiquer que SSL n'est pas configuré correctement.
Si vous utilisez eDirectory 8.8, ce problème a été résolu.
La tâche Vérifier l'état du mot de passe ne permet de vérifier si le mot de passe d'un utilisateur dans DirXML est synchronisé avec le mot de passe des systèmes connectés.
Si vous utilisez le pilote DirXML pour eDirectory et si la règle de mot de passe d'un utilisateur indique, dans l'onglet Options de configuration, que le mot de passe NDS ne doit pas être mis à jour lors de la mise à jour du mot de passe universel, la tâche Vérifier l'état des mots de passe pour l'utilisateur indique toujours que le mot de passe n'est pas synchronisé. L'état du mot de passe apparaît toujours comme non synchronisé, même si le mot de passe DirXML et le mot de passe du système connecté sont bien identiques.
En effet, la fonctionnalité de vérification du mot de passe d'eDirectory vérifie alors le mot de passe NDS au lieu de renvoyer au mot de passe universel par l'intermédiaire de NMAS.
Si vous sélectionnez l'option de mise à jour du mot de passe NDS à la mise à jour du mot de passe universel dans la règle de mots de passe (paramètre par défaut), la fonction Vérifier l'état des mots de passe doit donner un résultat exact pour le système connecté à eDirectory.
Si vous utilisez eDirectory 8.8, ce problème a été résolu.
Dans iManager, la tâche utilisée pour vérifier la synchronisation des mots de passe (Synchronisation de mot de passe > Vérifier l'état du mot de passe) n'est précise lors de la comparaison de deux arborescences eDirectory que si la règle de mot de passe a été paramétrée comme suit :
Ces paramètres se trouvent dans Gestion de mot de passe > Gérer les règles de mots de passe, dans l'onglet Mot de passe universel sous Options de configuration. Ils sont tous deux sélectionnés par défaut.
D'autres pilotes vérifient le mot de passe de distribution au moment de la comparaison avec le système connecté. Le pilote eDirectory est une exception car, à ce jour, la fonctionnalité eDirectory de vérification des mots de passe vérifie le mot de passe NDS, sans passer par NMAS pour vérifier le mot de passe de distribution.
Si le mot de passe NDS n'est pas synchronisé avec le mot de passe universel et le mot de passe de distribution, la tâche Vérifier l'état du mot de passe reportera peut-être que les mots de passe ne sont pas synchronisés alors que le mot de passe de distribution et celui de l'autre arborescence sont en fait identiques.
Si vous gérez des arborescences DirXML distantes et si vous utilisez iManager pour vous connecter aux autres arborescences, des erreurs se produiront peut-être si vous utilisez le nom du serveur au lieu de l'adresse IP du serveur distant.
Autres remarques :
L'erreur suivante apparaît dans le fichier journal de Tomcat lorsque vous vous authentifiez auprès de iManager après avoir installé DirXML 2.0.
com.novell.security.nmas.mgmt.NMASPwdException
at com.novell.security.nmas.mgmt.PwdLdapTransport.getPwdPolicyDN(Unknown Source)
at com.novell.security.nmas.mgmt.NMASPwdMgr.getPwdPolicyDN(Unknown Source)
at com.novell.forgotpassword.PostAuthentication.getPostAuthServiceDelegates
(PostAuthentication.java:65)
at com.novell.nps.authentication.AuthenticationManager.processPostAuthenticationServices
(AuthenticationManager.java:366)
at com.novell.nps.authentication.AuthenticationManager.beginPortalLogin
(AuthenticationManager.java:330) Cette erreur se produit si une règle NMAS n'a pas été configurée et assignée à l'utilisateur.
Si vous mettez à niveau DirXML et le serveur eDirectory, vous risquez de rencontrer des erreurs de synchronisation des données si l'un ou l'autre des certificats est périmé.
Si vous créez sur le serveur un utilisateur détenant un certificat valide, cet utilisateur ne sera pas synchronisé avec le serveur contenant le certificat non valide. L'erreur suivante risque également de s'afficher dans DSTrace :
SSL handshake failed, X509_V_CERT_HAS_EXPIRED
Si vous créez sur le serveur un utilisateur détenant un certificat périmé, cet utilisateur sera synchronisé avec le serveur contenant un certificat valide. L'erreur suivante risque également de s'afficher dans DSTrace :
SSL handshake failed, SSL_ERROR_ZERO_RETURN,
Error: 14094415: SSL Routines: SSL_READ_BYTES: sslv3 alert certificate expired.
Pour résoudre ce problème, créez de nouveaux certificats si les précédents sont périmés.
L'action de script de DirXML DoSendEmailFromTemplate ne fonctionne sur les plates-formes UNIX que si une réplique contenant les modèles de messages électroniques est située sur le même serveur que le moteur DirXML. Ces modèles de messages électroniques sont ceux utilisés dans la tâche Configuration de la notification dans iManager. Les objets Modèle de messages électroniques sont situés dans le conteneur Sécurité, à la racine de l'arborescence.
Comme d'autres outils d'administration Web, les fenêtre d'iManager peuvent être bloquées par des logiciels de filtrage des pop-up. Paramétrez ces logiciels de filtrage de manière qu'ils autorisent les fenêtres contextuelles du serveur iManager.
Cette commande permet de mettre le processeur XSLT utilisé par le moteur DirXML en mode de compatibilité amont. Le mode de compatibilité amont autorise le processeur XSLT à utiliser un ou plusieurs comportements qui ne sont pas compatibles avec les normes X-Path 1.0 et/ou XSLT 1.0. Cela se fait dans l'intérêt de la compatibilité amont avec les feuilles de style DirXML existantes qui dépendent de comportements non-standards. En particulier, le comportement de l'opérateur "!=" d'X-Path lorsqu'un opérande est un ensemble de nœuds et que ce n'est pas le cas d'un autre opérande est incorrect dans les versions de DirXML jusqu'à 2.0 incluse (Novell Identity Manager 2.0). Ce comportement a été corrigé ; cependant, il est désactivé par défaut par cette commande en faveur de la compatibilité en amont avec les feuilles de style DirXML existantes.
Si vous avez précédemment configuré Nsure Audit sur votre serveur et si le paramètre loghodt de logevent.cfg est défini sur localhost, cette configuration est remplacée pendant l'installation et la consignation est désactivée.
Si vous avez précisé une adresse IP dans le paramètre loghost, votre configuration de consignation n'est pas touchée.
Pour réactiver la consignation, ouvrez logevent.cfg et définissez le paramètre loghost sur l'adresse IP de votre serveur de consignation.
La liste suivante contient l'emplacement par défaut de logevent.cfg pour chaque plate-forme prise en charge :
Système d'exploitation |
Chemin |
NetWare |
sys:\etc\logevent.cfg |
Windows |
répertoire_windows\logevent.cfg |
Linux\Solaris |
/etc/logevent.conf |
Pour visualiser les fichiers d'aide, la langue de votre navigateur doit être l'anglais. Sinon, une erreur "HTTP Status 404" apparaîtra.
Ce problème n'est important que si vous utilisez le filtre des membres dynamiques pour inclure dans l'arborescence tous les objets, ou un grand nombre d'entre eux.
Si c'est le cas, vous rencontrerez des délais significatifs pour accéder à l'interface Droits basés sur le rôle une fois que vous aurez spécifié l'ensemble de pilotes. Pour résoudre ce problème, installez le correctif de champ d'iManager.
Lorsque vous ajoutez un nouvel attribut à une classe dans le filtre, vous devez enregistrer cet attribut avant d'affecter une relation d'assignation. Si vous affectez une relation d'assignation avant de cliquer sur Appliquer ou sur OK, l'assignation d'attribut n'est pas enregistrée.
Novell exclut toute garantie relative au contenu ou à l'utilisation de cette documentation. En particulier, Novell ne garantit pas que cette documentation est exhaustive ni exempte d'erreurs. Novell se réserve en outre le droit de réviser cette publication à tout moment et sans préavis.
Par ailleurs, Novell exclut toute garantie relative à tout logiciel, notamment toute garantie, expresse ou implicite, que le logiciel présenterait des qualités spécifiques ou qu'il conviendrait à un usage donné. Novell se réserve en outre le droit de modifier à tout moment tout ou partie des logiciels Novell, sans notification préalable de ces modifications à quiconque.
L'exportation ou la réexportation de ce produit est interdite dès lors qu'elle enfreint les lois et réglementations applicables, y compris, de façon non limitative, les réglementations des États-Unis en matière d'exportation ou la législation en vigueur dans votre pays de résidence.
Copyright © 2003-2004 Novell, Inc. Tous droits réservés. Cette publication ne peut être reproduite, photocopiée, stockée sur un système de recherche documentaire ou transmise, même en partie, sans le consentement écrit explicite préalable de l'éditeur.
Brevets américains n° 5,349,642 ; 5,608,903 ; 5,671,414 ; 5,677,851 ; 5,758,344 ; 5,784,560 ; 5,818,936 ; 5,828,882 ; 5,832,275 ; 5,832,483 ; 5,832,487 ; 5,870,561 ; 5,870,739 ; 5,873,079 ; 5,878,415 ; 5,884,304 ; 5,919,257 ; 5,933,503 ; 5,933,826 ; 5,946,467 ; 5,956,718 ; 6,016,499 ; 6,065,017 ; 6,105,062 ; 6,105,132 ; 6,108,649 ; 6,167,393 ; 6,286,010 ; 6,308,181 ; 6,345,266 ; 6,424,976 ; 6,516,325 ; 6,519,610 ; 6,539,381 ; 6,578,035 ; 6,615,350 ; 6,629,132.Brevets en cours d'homologation.
DirXML, NDS, NetWare et Novell sont des marques déposées de Novell, Inc. aux États-Unis et dans d'autres pays.
eDirectory, NMAS et Nsure sont des marques déposées de Novell, Inc. aux États-Unis et dans d'autres pays.
Toutes les marques commerciales de fabricants tiers appartiennent à leur propriétaire respectif.