Avant de commencer, suivez les étapes suivantes si vous ne l'avez pas encore fait.

• Création d'un compte administrateur WebFOCUS.
• Activez l'accès super utilisateur (superuser) à WebFOCUS.
• Activer la zone alternative.

Nous recommandons aussi que vous fassiez une copie de sauvegarde du fichier securitysettings.xml avant toute modification.

Pour plus d'informations sur la création d'un compte administrateur WebFOCUS, consultez Créer un Compte Administrateur WebFOCUS pour Sources externes. Pour plus d'informations sur l'activation de la zone alternative, consultez Activer la Zone Alternative. Pour plus d'informations sur l'activation de l'accès super utilisateur (superuser), consultez Activer l'accès super utilisateur.

1. Ouvrez le fichier drive/ibi/WebFOCUS80/config/securitysettings.xml dans un éditeur texte, effectuez les modifications suivantes et enregistrez le fichier.
   1. Dans la section filterPreference du fichier, renseignez anonymousAuthEnabled sur false, formAuthEnabled sur false, et j2eePreAuthFilterEnabled sur true.
   2. Par défaut, WebFOCUS supprime le préfixe de domaine Windows avec l'ID utilisateur fourni par IIS. Si vous souhaitez conserver le préfixe de domaine, mettez stripDomain sur false dans la section j2eepreauthPreference du fichier.
2. Activez votre conteneur Java afin qu'il emploie l'ID utilisateur passé par le connecteur.
   • Pour Tomcat, ouvrez le fichier/tomcat/conf/server.xml, ajoutez le mot-clé tomcatAuthentication dans le bloc APJ Connector, et mettez le sur false, comme dans l'exemple suivant.

     <!-- Define an AJP 1.3 Connector on port 8009 --> 
     <Connector port="8009" protocol="AJP/1.3"
     tomcatAuthentication="false" redirectPort="8443" />

   • Pour WebSphere, consultez la documentation WebSphere pour les instructions relatives à la variable WebSphere REMOTE_USER à fin d'exposer l'identifiant utilisateur que le connecteur IIS transmet à WebFOCUS.
3. Si vous envisagez de désactiver le lien déconnexion dans vos barres de menu portail, passez à l'étape quatre. Si vos portails afficheront le lien Déconnexion, vous devrez indiquer une adresse de déconnexion alternative pour éviter de placer les utilisateurs dans une cascade sans fin d'échec de déconnexion.
   1. Connectez-vous à WebFOCUS en tant qu'administrateur et sélectionnez Console d'administration dans le menu Administration.
   2. Dans la console d'administration, sélectionnez Configuration, puis Paramètres d'application, puis Sécurité.
   3. Dans le champ IBI_Signout_Redirect_URL, entrez l'URL pleinement qualifiée d'une page à l'extérieur de l'application web de WebFOCUS.

      Cliquez sur Enregistrer et quittez la console d'administration.

   Pour plus d'informations sur le paramètre IBI_Signout_Redirect_URL, consultez Paramètres de sécurité.

4. Redémarrez l'application web WebFOCUS.

Si vous avez activé la zone alternative, tel que recommandé, vous pouvez maintenant accéder à WebFOCUS via l'authentification interne si vous êtes sur la machine WebFOCUS. L'URL est http://localhost/ibi_apps.

Alternativement, la pré-authentication vous permet d'accéder à WebFOCUS en vous connectant via http://machinename/ibi_apps à partir de toute station de travail.

Remarque : si le navigateur Web n'est pas configuré pour utiliser automatiquement l'authentification Windows avec le domaine, le navigateur va demander aux utilisateurs des informations de connexion lorsqu'ils se connectent en utilisant http://machinename.domain.com/ibi_apps.

Avant de commencer, suivez les étapes suivantes si vous ne l'avez pas encore fait.

• Création d'un compte administrateur WebFOCUS.
• Activez l'accès super utilisateur (superuser) à WebFOCUS.
• Activer la zone alternative.

Nous recommandons aussi que vous fassiez une copie de sauvegarde du fichier securitysettings.xml avant toute modification.

Pour plus d'informations sur la création d'un compte administrateur WebFOCUS, consultez Créer un Compte Administrateur WebFOCUS pour Sources externes. Pour plus d'informations sur l'activation de la zone alternative, consultez Activer la Zone Alternative. Pour plus d'informations sur l'activation de l'accès super utilisateur (superuser), consultez Activer l'accès super utilisateur.

1. Connectez-vous à WebFOCUS en tant qu'administrateur et sélectionnez Console d'administration dans le menu Administration.
2. Sélectionnez Diagnostics, puis Info Requête HTTP. Vérifiez l'orthographe du nom de l'en-tête HTTP que WebFOCUS utilisera pour pré-authentification.

   Remarque : certaines configurations de serveur web modifient les noms d'en-tête HTTP. Par exemple, il arrive que les traits de soulignement (_) soient remplacés par des traits d'union (-) ou que la casse passe de majuscules en minuscules.

3. Sélectionnez Configuration, puis Paramètres d'application, puis Sécurité.
4. Dans le champ IBI_Signout_Redirect_URL, entrez une adresse de déconnexion valide pour votre système de gestion d'accès Web, puis cliquez sur Enregistrer.

   Pour plus d'informations sur le paramètre IBI_Signout_Redirect_URL, consultez Paramètres de sécurité.

5. Ouvrez le fichier drive/ibi/WebFOCUS80/config/securitysettings.xml dans un éditeur texte, effectuez les modifications suivantes et enregistrez le fichier.
   1. Dans la section filterPreference du fichier, renseignez anonymousAuthEnabled sur false, preAuthEnabled sur true, et formAuthEnabled sur false.
   2. Dans la section requestHeaderPreAuthenticatedPreference, mettez principalRequestHeader sur le nom de l'en-tête HTTP qui contiendra l'identifiant utilisateur pré-authentifié. La valeur n'est pas sensible à la casse, mais l'orthographe doit être exactement celle de la console d'administration, telle que dans l'étape.

      Pour CA SiteMinder, la valeur est typiquement est SM_USER. Pour IBM Tivoli Access Manager/WebSEAL, la valeur est typiquement iv-user. Pour Oracle Access Manager, il existe pas de valeur par défaut. Pour plus d'informations, consultez votre administrateur Oracle Access Manager.

6. Redémarrez l'application web WebFOCUS.

Avant de commencer, suivez les étapes suivantes si vous ne l'avez pas encore fait.

• Création d'un compte administrateur WebFOCUS.
• Activez l'accès super utilisateur (superuser) à WebFOCUS.
• Activer la zone alternative.

Nous recommandons aussi que vous fassiez une copie de sauvegarde du fichier securitysettings.xml avant toute modification.

Pour plus d'informations sur la création d'un compte administrateur WebFOCUS, consultez Créer un Compte Administrateur WebFOCUS pour Sources externes. Pour plus d'informations sur l'activation de la zone alternative, consultez Activer la Zone Alternative. Pour plus d'informations sur l'activation de l'accès super utilisateur (superuser), consultez Activer l'accès super utilisateur.

1. Ouvrez le fichier drive/ibi/WebFOCUS80/config/securitysettings.xml dans un éditeur texte, effectuez les modifications suivantes et enregistrez le fichier.
   1. Dans la section filterPreference du fichier, renseignez anonymousAuthEnabled sur false, formAuthEnabled sur false, et j2eePreAuthFilterEnabled sur true.
   2. Consultez la documentation de votre conteneur Java pour les instructions supplémentaires sur l'activation de l'authentification J2EE.
2. Si vous envisagez de désactiver le lien déconnexion dans vos barres de menu portail, passez à l'étape 3. Si vos portails afficheront le lien Déconnexion, vous devrez indiquer une adresse de déconnexion alternative pour éviter de placer les utilisateurs dans une cascade sans fin d'échec de déconnexion.
   1. Connectez-vous à WebFOCUS en tant qu'administrateur et sélectionnez Console d'administration dans le menu Administration.
   2. Dans la console d'administration, sélectionnez Configuration, puis Paramètres d'application, puis Sécurité.
   3. Dans le champ IBI_Signout_Redirect_URL, entrez l'URL pleinement qualifiée d'une page à l'extérieur de l'application web de WebFOCUS.
   4. Cliquez sur Enregistrer et quittez la console d'administration.

   Pour plus d'informations sur le paramètre IBI_Signout_Redirect_URL, consultez Paramètres de sécurité.

3. Redémarrez l'application web WebFOCUS.

Avant de commencer, suivez les étapes suivantes si vous ne l'avez pas encore fait.

• Création d'un compte administrateur WebFOCUS.
• Activez l'accès super utilisateur (superuser) à WebFOCUS.
• Activer la zone alternative.

Nous recommandons aussi que vous fassiez une copie de sauvegarde du fichier securitysettings.xml avant toute modification.

Pour plus d'informations sur la création d'un compte administrateur WebFOCUS, consultez Créer un Compte Administrateur WebFOCUS pour Sources externes. Pour plus d'informations sur l'activation de la zone alternative, consultez Activer la Zone Alternative. Pour plus d'informations sur l'activation de l'accès super utilisateur (superuser), consultez Activer l'accès super utilisateur.

1. Ouvrez le fichier drive/ibi/WebFOCUS80/config/securitysettings.xml dans un éditeur texte, effectuez les modifications suivantes et enregistrez le fichier.
   1. Dans la section filterPreference, renseignez anonymousAuthEnabled sur false, formAuthEnabled sur false, et openIDAuthEnabled sur true.
   2. Dans les paramètres openIDPreference, entrez l'URL du fournisseur OpenID dans le paramètre claimedIdentityFieldValue. Entrez l'attribut de nommage que WebFOCUS utilisera pour OpenID en tant que paramètres attributeNameForAccountID.

      Par défaut, claimedIdentityFieldValue est renseigné avec l'adresse URL appropriée de Google Accounts. La valeur par défaut pour attributeNameForAccountID est email.

2. Connectez-vous à WebFOCUS en tant qu'administrateur et sélectionnez Console d'administration dans le menu Administration.
3. Sélectionnez Configuration, puis Paramètres d'application, puis Sécurité.
4. Dans le champ IBI_Signout_Redirect_URL, entrez une adresse de déconnexion valide pour le fournisseur OpenID, puis cliquez sur Enregistrer.

   Par exemple, pour Google Accounts, entrez:

   https://www.google.com/accounts/Logout

   Pour plus d'informations sur le paramètre IBI_Signout_Redirect_URL, consultez Paramètres de sécurité. Pour plus d'informations sur les adresses de déconnexion pour OpenID, consultez la documentation du fournisseur OpenID.

5. Redémarrez l'application web WebFOCUS.

Avant de commencer, suivez les étapes suivantes si vous ne l'avez pas encore fait.

• Création d'un compte administrateur WebFOCUS.
• Activez l'accès super utilisateur (superuser) à WebFOCUS.
• Activer la zone alternative.

Nous recommandons aussi que vous fassiez une copie de sauvegarde du fichier securitysettings.xml avant toute modification.

Pour plus d'informations sur la création d'un compte administrateur WebFOCUS, consultez Créer un Compte Administrateur WebFOCUS pour Sources externes. Pour plus d'informations sur l'activation de la zone alternative, consultez Activer la Zone Alternative. Pour plus d'informations sur l'activation de l'accès super utilisateur (superuser), consultez Activer l'accès super utilisateur.

1. Ouvrez le fichier drive/ibi/WebFOCUS80/config/securitysettings.xml dans un éditeur texte, effectuez les modifications suivantes et enregistrez le fichier.
   1. Dans la section filterPreference, renseignez anonymousAuthEnabled sur false, formAuthEnabled sur false, et casIDAuthEnabled sur true.
   2. Dans la section CasPreference, personnalisez les valeurs pour loginURL, serviceURL, et casServerUrlPrefix.

      loginURL

      Spécifie le protocole de serveur CAS, son port, et son URL de connexion.

      serviceURL

      Spécifie le protocole WebFOCUS, son port, et le contexte.

      casServerUrlPrefix

      Spécifie le protocole de serveur CAS, son port, et son contexte.

      Remarque : les paramètres sendRenew, key, et ticketValidatorClassName n'ont pas besoin d'être modifiés.

2. Connectez-vous à WebFOCUS en tant qu'administrateur et sélectionnez Console d'administration dans le menu Administration.
3. Sélectionnez Configuration, puis Paramètres d'application, puis Sécurité.
4. Dans le champ IBI_Signout_Redirect_URL, entrez une adresse de connexion valide pour le serveur CAS (par exemple, https://CASserver.ibi.com/cas/logout), puis cliquez sur Enregistrer.

   Quand les utilisateurs se déconnectent de WebFOCUS en utilisant cet URL, les deux sessions WebFOCUS et CAS sont terminées.

   Pour plus d'informations sur le paramètre IBI_Signout_Redirect_URL, consultez Paramètres de sécurité. Pour plus d'informations sur les adresses de déconnexion pour CAS, consultez la documentation du fournisseur CAS.

5. Redémarrez l'application web WebFOCUS.

Si vous utilisez un certificat se connectant via une autorité de certification sécurisée, WebFOCUS est maintenant configuré pour utiliser l'authentification CAS. Si vous utilisez un certificat d'auto-connexion, vous aurez à ajouter le certificat de connexion faisant autorité pour les certificats racines sécurisés utilisés par la JVM associée à WebFOCUS. Pour plus d'informations, consultez Ajouter un certificat d'auto-connexion au magasin de certificat CAS .

Le code suivant est un exemple de méthode de modification de la section casPreference dans le fichier securitysettings.xml pour implémenter la pré-authentification par CAS.

<bean id="casPreference" class="com.ibi.webapp.security.config.WFCasPreference">
<property name="loginUrl" value="https://CASServer:port/cas/login"/>
<property name="serviceUrl" value="http://WebFOCUSServer:port/ibi_context/"/>
<property name="sendRenew" value="false"/>
<property name="key" value=""/>
<property name="casServerUrlPrefix" value="https://CASServer:port/cas"/>
<property name="ticketValidatorClassName" value=""/>
</bean>

où :

CASServer:port

Est le serveur CAS et son port.

WebFOCUSServer:port/ibi_context/

Est le serveur WebFOCUS, son port, et le répertoire racine de contexte.

Si vous utilisez un certificat d'auto-connexion, vous aurez à ajouter le certificat aux certificats racines sécurisés utilisés par la JVM associée à WebFOCUS.

Remarque : cette tâche est aussi nécessaire si vous utilisez un certificat connecté par une autorité de certificat sécurisé.

1. Arrêtez le serveur Tomcat.
2. Naviguez jusqu'au JDK Tomcat et localisez le fichier cacerts. Typiquement, le fichier cacerts se trouve dans le dossier JDK\jre\lib\security\.
   1. Dans le dossier contenant le fichier cacerts, exécutez la commande suivante :

      ..\..\..\bin\keytool -import
      -alias youralias -keystore cacerts -file path\to\youralias.crt

      où :

      youralias

      Est l'alias affecté à votre certificat.

      youralias.crt

      Est le fichier de certificat.

   2. Si vous êtes invités à entrer un mot de passe, entrez changeit. Si vous êtes invités à importer un certificat, entrez yes.
3. Redémarrez le serveur Tomcat.

Les erreurs de validation CAS peuvent survenir si vous utilisez un certificat auto-connecté qui n'a pas été ajouté au magasin de certificat sécurisé. Dans de tels cas, vous recevrez une erreur similaire à la suivante :

[YYYY-MM-DD hh:mm:ss,sss] ERROR 
org.jasig.cas.client.validation.Cas20ServiceTicketValidator
http-apr-8080-exec-2 - javax.net.ssl.SSLHandshakeException: 
sun.security.validator.ValidatorException: PKIX path building failed: 
sun.security.provider.certpath.SunCertPathBuilderException: 
unable to find valid certification path to requested target 
javax.net.ssl.SSLHandshakeException: 
sun.security.validator.ValidatorException: PKIX path building failed: 
sun.security.provider.certpath.SunCertPathBuilderException:
unable to find valid certification path to requested target
at com.sun.net.ssl.internal.ssl.Alerts.getSSLException(Unknown Source)
.
.
.
... 60 more
Caused by: sun.security.provider.certpath.SunCertPathBuilderException: 
unable to find valid certification path to requested target
at sun.security.provider.certpath.SunCertPathBuilder.engineBuild(Unknown Source)
at java.security.cert.CertPathBuilder.build(Unknown Source)
... 66 more

Vous devez configurer le serveur web pour inviter les utilisateurs à renseigner leurs certificats côté client en utilisant PKI. Le logiciel de lecture de carte ActivIdentity™ doit être installé correctement sur les machines des utilisateurs finaux avant que le client WebFOCUS ne puisse être configuré pour sécuriser le certificat client. Pour les informations relatives à la configuration du logiciel ActivIdentity, consultez la documentation fournie par le ministère de la défense.

La procédure de configuration similaire à la procédure de configuration de la pré-authentification avec la sécurité conteneur Java. Avant de commencer, suivez les étapes suivantes si vous ne l'avez pas encore fait.

• Création d'un compte administrateur WebFOCUS.
• Activez l'accès super utilisateur (superuser) à WebFOCUS.
• Activer la zone alternative.

L'ID utilisateur du compte administrateur WebFOCUS doit être la valeur de l'attribut du certificat choisi pour le paramètre IBI_PKI_Userid_Source.

Par exemple, si l'administrateur WebFOCUS a le nom d'usage (CN) Joe.Smith.1122334455 et que le IBI_PKI_Userid_Source a la valeur CN, l'ID utilisateur WebFOCUS doit être Joe.Smith.1122334455. Si l'administrateur WebFOCUS à le nom principal utilisateur (UPN) 1122334455@mil et que le IBI_PKI_Userid_Source a la valeur upn, l'ID utilisateur WebFOCUS doit être 1122334455@mil.

Pour plus d'informations sur la création d'un compte administrateur WebFOCUS, consultez Créer un Compte Administrateur WebFOCUS pour Sources externes. Pour plus d'informations sur l'activation de la zone alternative, consultez Activer la Zone Alternative. Pour plus d'informations sur l'activation de l'accès super utilisateur (superuser), consultez Activer l'accès super utilisateur.

1. Connectez-vous à la Console d'administration WebFOCUS en tant qu'administrateur et sélectionnez Console d'administration dans le menu administration.
2. Sélectionnez Configuration, puis Paramètres d'application, puis PKI.
3. Modifiez les paramètres PKI autant que nécessaire et enregistrez vos changements.

   Les attributs sont activés dès qu'ils sont enregistrés. Il n'est pas nécessaire de recycler le serveur d'applications.

IBI_PKI_Filter_Enabled

Active le filtre PKI qui va extraire l'attribut spécifier dans le paramètre IBI_PKI_Userid_Source pour remplir REMOTE_USER. Managed Reporting et ReportCaster doivent être configurés séparément pour utiliser la variable REMOTE_USER pour connexions. La valeur par défaut est False (faux). Pour plus d'informations, consultez Configurer la Pré-authentification.

IBI_PKI_Userid_Source

Spécifie l'attribut du certificat qui devrait être utilisé pour remplir l'identifiant utilisateur spécifié par REMOTE_USER. Les valeurs possibles sont :

• cn. Le nom commun du certificat. Par exemple, Joe.Smith.1122334455.

• objet. L'attribut du sujet pour le certificat. Il s'agit de la valeur par défaut.

• upn. L'attribut userPrincipalName depuis la section Autre nom du sujet du certificat. Par exemple, 1122334455@mil.

  En raison de la façon dont UPN est codé, vous devez avoir une copie de la bibliothèque de Cryptographie Java Bouncy Castle dans votre classpath. Il peut être téléchargé depuis le site web Bouncy Castle à l'adresse http://www.bouncycastle.org/java.html.

IBI_PKI_Allow_IP

Spécifie une liste d'adresses IP, séparées par des points-virgules, qui seront autorisées à passer le filtre PKI même s'il n'existe aucun certificat client valide dans la requête. L'adresse IP du serveur de distribution ReportCaster doit être comprise dans cette liste pour que le serveur de distribution soit capable d'extraire le contenu WebFOCUS. Une liste d'exemples pourrait ressembler à :

127.0.0.1;127.0.0.2

Si une adresse IP n'est pas spécifiée ici et un certificat client n'est pas fourni, le filtre PKI retourne une erreur interdite par 403 lors de l'accès.

Actuellement, Developer Studio ne supporte pas la fourniture d'un certificat client en utilisant PKI. Il n'est pas possible d'utiliser Developer Studio dans un environnement où cette fonctionnalité a été configurée.

• ReportCaster. Vous pouvez utiliser ReportCaster dans un environnement Kerberos. Pour les détails sur la configuration et les prérequis supplémentaires de mise à jour, consultez Configuration du support pour ReportCaster.
• Le Client WebFOCUS le serveur de rapports sur la même machine. Quand les deux composants sont sur la même machine, vous devez spécifier le mot-clé HOST pour le noeud au format nom de machine. Utiliser localhost ou un nom de domaine pleinement qualifié provoque des erreurs d'exécution. Si les composants sont des machines distinctes, vous pouvez utiliser soit le format nom de machine ou le format nom de domaine pleinement qualifié. Le mot de passe HOST est spécifié dans la section services distants de la console d'administration. Pour plus d'informations, consultez Serveur de génération de rapport : paramètres.
• Navigateur Web. Kerberos n'est pas pris en charge entre navigateur web et WebFOCUS quand les deux résident sur la même machine Windows.
• Utilisateurs qui appartiennent à plusieurs groupes. L'implémentation Kerberos stocke chaque groupe auquel l'utilisateur appartient à l'intérieur de leur ticket Kerberos. Ceci peut résulter en de grandes tailles de tickets pour les utilisateurs appartennant à des centaines de groupes. Pour les détails sur la configuration, consultez Configurer le support pour Tickets de grande taille.
• Format ID utilisateur. Quand vous utilisez Kerberos, vous devez créer l'ID utilisateur en respectant le format

  user_ID@domain.com

  où :

  user_ID

  Est l'identifiant utilisateur approprié.

  domain.com

  Est un domaine et une extension disponibles.

Un administrateur réseau avec les privilèges Administration de domaine peut effectuer les étapes de pré-installation suivante. Les images d'exemple s'appliquent à un environnement Windows 2003 Windows 2008.

Remarque : si vous utilisez Windows 2008, vous aurez peut-être besoin d'installer le patch Microsoft suivant pour votre contrôleur de domaine afin qu'il prenne en charge l'utilisation d'afficher keytab Kerberos.

Si vous utilisez un ou plus en-têtes d'hôte, vous devez effectuer les étapes suivantes.

La procédure suivante décrit les étapes de configuration du Client WebFOCUS.

La fonctionnalité SSO nécessite un domaine Active Directory à un niveau fonctionnel Windows 2000 ou supérieur. Les navigateurs suivants sont pris en charge :

• Microsoft Internet Explorer 8 ou supérieure.
• Google Chrome™ 25.0.1364.152m (il se peut que les versions antérieures fonctionnent).
• Mozilla Firefox® 19.02 ou supérieur (il se peut que les versions antérieures fonctionnent).

Haut de page

--auth-server-whitelist="*.url.domain"
--auth-negotiate-delegate-whitelist="*.url.domain"

http://server.url.domain:port/context

L'authentification Kerberos requière une connexion synchrone entre le serveur de rapports et la session de navigateur de l'utilisateur, mais ReportCaster n'utilise pas une session de navigateur pendant l'exécution des rapports planifiés. Par conséquent, ReportCaster doit obligatoirement fournir un ID utilisateur et un mot de passe à Kerberos pour activer les rapports.

Dans l'outil de configuration du serveur ReportCaster, configurer chacun des serveurs de données avec lesquels ReportCaster est configuré pour communiquer. Mettez le Type ID Exécution Utilisateur pour vous assurer que les utilisateurs finaux seront invités à entrer leurs identifiants et mots de passe une fois pour chaque noeud.

Vous pouvez également mettre le Type ID Exécution sur Statique et fournir l'ID utilisateur et le mot de passe qui seront utilisés pour toutes les planifications de ce serveur de rapports.

L'implémentation de Kerberos sous Microsoft Windows met tous les identifiants de groupe Windows à l'intérieur du ticket Kerberos pour chaque utilisateur, ce qui peut résulter en un ticket de grande taille pour un utilisateur appartenant à beaucoup de groupe. Le ticket Kerberos est transporté dans un en-tête http, ce qui entraîne plusieurs problèmes techniques quand la taille du ticket devient trop importante. Si certains utilisateurs appartiennent plus de son groupe, il est conseillé d'appliquer certaines des tâches spéciales de configuration suivantes (voire toutes).

• Augmenter la taille de tampon de l'en-tête HTTP de votre serveur Tomcat. Pour y parvenir, ajoutez le paramètre maxHttpHeaderSize=”xx”, où xx est le nombre d'octets en multiples de 4096. Ce paramètre peut aller jusqu'à 65536 octets. Ajouter ce paramètre aux blocs de connecteur 8080 et 8009 dans le fichier server.xml pour Tomcat, en fonction du bloc que vous utilisez.
• Sur les stations de travail auxquelles accèdent des utilisateurs appartenant à plusieurs groupes :
  • Configurer Windows pour utilisation de TCP pour l'authentification Kerberos (plutôt qu'UDP). Pour y parvenir, mettez MaxPacketSize sur 1 dans le registre. Pour plus d'informations, consultez l'article 244474 de la base de connaissances Microsoft.
  • Configurez MaxTokenSize sur 65535. Pour plus d'informations, consultez Article 269643 de la base de connaissances Microsoft.

    Vous devez aussi configurer MaxTokenSize pour les contrôleurs de domaine.

Cette rubrique décrit les étapes supplémentaires à suivre pour Kerberos fonctionne correctement dans un environnement Multi-domaine ou de sous-domaine.

Par exemple si vous avez des utilisateurs qui sont membres de SUBA.MYDOMAIN.COM, SUBB.MYDOMAIN.COM, et MYDOMAIN.COM, et que tous ces utilisateurs ont besoin d'accéder environnement Kerberos, vous devez suivre les directions de cette rubrique.

Pour appliquer les paramètres de configuration supplémentaires requis pour que Kerberos fonctionne correctement dans un environnement multi-domaine, vous devez créer un fichier de configuration Kerberos qui s'appelle krb5.ini. Ce fichier contient toutes les informations supplémentaires requises pour que Kerberos fonctionne quand vous utilisez plus d'un domaine.

Plusieurs versions de Java ont un dysfonctionnement qui empêche les domaines multiples de fonctionner correctement malgré la configuration krb5.ini. Par conséquent, il est recommandé de mettre à jour votre version de Java. Pour des informations détaillées sur ce dysfonctionnement Java, consultez le rapport d'anomalie Java suivant :

[libdefaults]
   ticket_lifetime = 600
   default_tgt_enctypes = rc4-hmac
   default_tgs_enctypes = rc4-hmac
   default_checksum = rsa-md5
   forwardable = true
   default_realm = MYDOMAIN.COM
[realms]
MYDOMAIN.COM = {
   kdc = dc1.mydomain.com:88
   kdc = dc2.mydomain.com:88
   kdc = dc3.mydomain.com:88
   default_domain = mydomain.com
}
SUBA.MYDOMAIN.COM = {
   kdc = dc1.suba.mydomain.com:88
   kdc = dc2.suba.mydomain.com:88
   default_domain = suba.ibi.com
}
SUBB.MYDOMAIN.COM = {
   kdc = dc1.subb.mydomain.com:88
   kdc = dc2.subb.mydomain.com:88
   default_domain = subb.ibi.com
}
[domain_realm]
   .suba.mydomain.com = SUBA.MYDOMAIN.COM
   .subb.mydomain.com = SUBB.MYDOMAIN.COM
   .mydomain.com = MYDOMAIN.COM
[capaths]
SUBA.MYDOMAIN.COM {
SUBB.MYDOMAIN.COM = .
MYDOMAIN.COM = SUBB.MYDOMAIN.COM
}
SUBB.MYDOMAIN.COM {
SUBA.MYDOMAIN.COM = .
MYDOMAIN.COM = .
}
MYDOMAIN.COM {
SUBB.MYDOMAIN.COM = .
SUBA.MYDOMAIN.COM = SUBB.MYDOMAIN.COM
}