KACE Systems Management Appliance 7.1 - Guide d'administration

Vous pouvez utiliser Quest Identity Broker (QIB) pour permettre aux utilisateurs de se connecter à la Console d'administration et à la Console utilisateur en utilisant des informations d'identification de fournisseurs d'identité tiers comme le fournisseur d'identité de votre organisation et Microsoft Azure™ Active Directory.

QIB ne peut être activé que pour une seule organisation. Si le composant Organisation est activé sur votre appliance, vous pouvez activer QIB seulement pour l'organisation par défaut. Pour utiliser l'authentification unique avec plusieurs organisations, utilisez l'authentification Active Directory. Voir Configuration d'Active Directory comme mode d'authentification unique.

Accédez au Panneau de configuration de l'appliance :

◦

Si le composant Organisation n'est pas activé sur l'appliance, connectez-vous à la Console d'administration K1000, http://K1000_hostname/admin, puis cliquez sur Paramètres.

◦

Si le composant Organisation est activé sur l'appliance, connectez-vous à la Console d'administration système K1000, http://K1000_hostname/system, ou sélectionnez Système dans la liste déroulante figurant dans l'angle supérieur droit de la page et cliquez sur Paramètres.

Dans la section Authentification unique de la page Paramètres de sécurité, sélectionnez Quest Identity Broker et fournissez les informations suivantes :

Option

Description

URL du service de consommation pour les assertions du serveur Web

URL associées à votre appliance K1000. Cette URL est créée automatiquement durant la configuration de l'appliance. Pour activer QIB, contactez le Support Quest et communiquez cette URL afin d'obtenir l'Identificateur de la partie intéressée pour votre appliance.

IMPORTANT: si vous activez ou désactivez l'authentification unique pour l'appliance, cela modifie l'URL. Vous devez donc fournir cette URL au Support Quest et obtenir un nouvel Identificateur de la partie intéressée à chaque fois que les paramètres SSL sont modifiés.

Identificateur de la partie intéressée

Identificateur unique fourni par le Support Quest afin d'activer QIB. Cet identificateur détermine quel fournisseur d'identité, par exemple le fournisseur d'identité de votre organisation ou Microsoft Azure Active Directory, est utilisé pour l'authentification. Vous devez communiquer votre URL du service de consommation pour les assertions du serveur Web au Support Quest afin de recevoir cet identificateur.

Approuver automatiquement les requêtes des utilisateurs

Les utilisateurs qui demandent un accès avec authentification unique se voient accorder automatiquement l'accès à la Console utilisateur K1000 s'ils sont authentifiés par un fournisseur d'identité tiers. Les comptes de ces utilisateurs sont créés automatiquement sur l'appliance K1000.

Approuver manuellement les requêtes de l'utilisateur

Les administrateurs doivent approuver les demandes d'accès pour que les utilisateurs puissent accéder à la Console d'administration ou à la Console utilisateur K1000. Lorsque les utilisateurs tentent de s'authentifier sur K1000 à l'aide d'informations d'identification tierces, K1000 crée des demandes d'approbation. Lorsque les administrateurs se connectent à la Console d'administration, une notification indiquant que des demandes d'approbations sont en attentes s'affiche dans la barre d'information en haut de la page Tableau de bord. Lorsque les administrateurs approuvent les demandes, les comptes utilisateurs sont créés sur l'appliance K1000 et les utilisateurs peuvent accéder à la Console d'administration ou à la Console utilisateur K1000.

Pour spécifier des paramètres de fournisseur d'identité, cliquez sur Paramètres avancés.

REMARQUE: ne modifiez pas ces paramètres, à moins d'y avoir été invité par le Support Quest.

Option	Description
URL Quest Identity Broker	URL du fournisseur d'identité.
Identificateur Quest Identity Broker	Identificateur unique du fournisseur d'identité.
Certificat Quest Identity Broker	Certificat utilisé pour vérifier les communications avec le fournisseur d'identité.

Cliquez sur Enregistrer et redémarrer des services.

Génération d'un certificat SSL

Vous pouvez générer un certificat SSL auto-signé ou générer une demande de signature de certificat pour les certificats de tierces parties via la Console d'administration.

Accédez au Panneau de configuration de l'appliance :

◦

Si le composant Organisation n'est pas activé sur l'appliance, connectez-vous à la Console d'administration K1000, http://K1000_hostname/admin, puis cliquez sur Paramètres.

◦

Cliquez sur Paramètres de sécurité pour afficher la page Paramètres de sécurité.

Dans la section SSL, cliquez sur Activer SSL.

Des options SSL supplémentaires s'affichent.

Cliquez sur Formulaire du certificat SSL pour accéder à la page Formulaire du certificat SSL.

REMARQUE: si une demande de signature de certificat a été générée précédemment, elle apparaît sur cette page. Pour générer une nouvelle demande, vous devez mettre à jour les informations de la section Configurer, puis cliquer sur Enregistrer avant de cliquer sur Générer un certificat auto-signé.

Dans la section Configurer, entrez les informations suivantes :

Option	Description
Nom de l'entreprise	Nom de votre entreprise.
Nom de l'organisation	Nom de votre groupe ou unité organisationnelle.
Nom courant	Nom courant de l'appliance pour laquelle vous créez le certificat SSL.
Messagerie	Votre adresse e-mail.
Nom de la ville	Nom de votre localité.
Nom de l'État/province	Nom de votre état ou province.
Nom du pays	Nom de votre pays.

Cliquez sur Enregistrer.

Si le Formulaire du certificat SSL a été enregistré pour la première fois, la section Demande de signature de certificat apparaît. Si le formulaire avait déjà été enregistré, la section Demande de signature de certificat est mise à jour.

Effectuez l'une des opérations suivantes :

◦

Pour générer un certificat via un émetteur de certificat tiers :

Copiez le texte de la section Demande de signature de certificat de la ligne "-----BEGIN CERTIFICATE REQUEST-----" à la ligne "-----END CERTIFICATE REQUEST-----" incluses, puis envoyez-le à l'émetteur de certificat ou à la personne chargée de fournir à votre entreprise des certificats de serveur Web.

Lorsque vous recevez un certificat d'une tierce partie, accédez à la page Paramètres de sécurité et téléchargez le certificat. Voir Configurer les paramètres de sécurité pour l'appliance.

◦

Pour générer un certificat auto-signé, procédez comme suit :

Cliquez sur Générer un certificat auto-signé pour générer et afficher le certificat sous la section Demande de signature de certificat.

Cliquez sur Déployer le certificat auto-signé, puis cliquez sur Oui.

Sur la page Paramètres de sécurité, cliquez sur Enregistrer et redémarrer les services.

Les certificats auto-signés sont convertis en fichiers PEM, intitulés kbox.pem, qui sont placés dans des dossiers de données de l'agent K1000.

REMARQUE: votre clé privée s'affiche dans le champ Clé privée. Elle est déployée vers l'appliance dès que vous déployez un certificat valide. N'envoyez pas la clé privée à qui que ce soit. Elle est affichée ici dans le cas où vous souhaiteriez déployer ce certificat vers un autre serveur Web.

REMARQUE: le certificat et la clé privée pour le protocole SSL ne sont pas inclus dans les sauvegardes quotidiennes de l'appliance pour des raisons de sécurité. Conservez ces deux fichiers pour vos propres besoins.