IBM TRIRIGA Application Platform Version 3 Release 4.2. Single Sign-on - Användarhandbok

IBM TRIRIGA Application Platform Version 3 Release 4.2 Single Sign-on - Användarhandbok

Anmärkning Innan du använder den här informationen och den tillhörande produkten ska du läsa informationen i Anmärkningar på sidan 17. Den här upplagan gäller för version 3, utgåva 4, modifiering 2 av IBM TRIRIGA Application Platform och alla följande utgåvor och modifieringar tills annat anges i nya utgåvor. Copyright IBM Corporation 2011, 2015.

Innehåll Kapitel 1. Autentisering av användare med hjälp av engångsinloggning.... 1 Varumärken.............. 19 Kapitel 2. Autentiseringstyper..... 3 Kapitel 3. Krav för enkla inloggningsbegäranden i TRIRIGA Application Platform................ 5 Kapitel 4. Så här fungerar SSO..... 7 Kapitel 5. Konfigurera IBM TRIRIGA med en SSO-lösning........... 9 Kapitel 6. IBM TRIRIGA-egenskaper för enkel inloggning.......... 11 Kapitel 7. Tvinga användare att logga in via SSO............. 13 Kapitel 8. Felsöka enkel inloggning.. 15 Anmärkningar............ 17 Information om sekretesspolicy........ 18 Copyright IBM Corp 2011, 2015 iii

iv Copyright IBM Corp. 2011, 2015

Kapitel 1. Autentisering av användare med hjälp av engångsinloggning För att få åtkomst till IBM TRIRIGA-program, måste en användare autentiseras av en giltig systemanvändare och måste få behörighet till program och funktioner i IBM TRIRIGA-programsviten. Många användare använder enkel inloggningsautentisering för att hantera åtkomst efter användare till flera program i miljön. Copyright IBM Corp 2011, 2015 1

2 Copyright IBM Corp. 2011, 2015

Kapitel 2. Autentiseringstyper TRIRIGA Application Platform använder som standard sin egen ursprungliga autentisering. I en ursprunglig autentisering anger användaren sitt användarnamn och lösenord i en IBM TRIRIGA.-inloggningsskärm. TRIRIGA Application Platform autentiserar användaren genom att jämföra det angivna användarnamnet och lösenordet med det användarnamn och lösenord som är lagrade i databasen IBM TRIRIGA. Enkel inloggningsautentisering som inte är ursprunglig i IBM TRIRIGA, kan också användas för autentisering. I en enkel inloggningsautentisering loggar användaren in på programmen med ett användarnamn och lösenord som är lagrade i en befintlig LDAP-katalog (Lightweight Directory Access Protocol) eller Active Directory. Användaren autentiseras i programservern eller webbservern genom att jämföra det angivna användarnamnet och lösenordet med det användarnamn och lösenord som finns i katalogservern. Copyright IBM Corp 2011, 2015 3

Kapitel 3. Krav för enkla inloggningsbegäranden i TRIRIGA Application Platform I en SSO-miljö måste användarnamnet och lösenordet som anges av användaren stämma överens med användarnamnet och lösenordet som lagras på katalogservern. Programservern eller webbservern autentiserar sedan användaren och infogar användarnamnet i HTTP-begäranderubriken. Användarnamnet i HTTP-begäranderubriken måste stämma överens exakt med användarnamnnet som lagras i IBM TRIRIGA-databasen. Vid korrekt konfiguration läser IBM TRIRIGA användarnamnet från begäranderubriken och autentiserar det internt mot IBM TRIRIGA-databasen. IBM TRIRIGA stöder följande metoder för att infoga användarnamnet i en HTTPrubrik: v v v Fjärranvändare - webbservern eller programservern autentiserar användaren och placerar användarnamnet i REMOTE_USER HTTP-rubriken. Java -anropet är request.getremoteuser(). Användarprincip - webbservern eller programservern autentiserar användaren och placerar användarnamnet i den speciella UserPrincipal HTTP-rubriken. Javaanropet är request.getuserprincipal().getname(). HTTP-rubrik - webbservern eller programservern autentiserar användaren och placerar användarnamnet i ett speciellt namngivet HTTP-rubrikattribut. Förutom infogningsmetoderna, stöder IBM TRIRIGA även flera alternativ för användarnamnet när det har hämtats från HTTP-rubriken: v v Borttagning av domännamn - i viss SSO-miljöer anges LDAP-domännamnet tillsammans med användarnamnet, men endast användarnamnsdelen konfigureras i IBM TRIRIGA-databasen. Om den fullständiga strängen i HTTP-rubriken anges i formatet MyCompany\username, innebär en aktivering av denna funktion att MyCompany\ eller domändelen tas bort från användarnamnet. Skiftlägeskänslighet - vissa katalogservrar anger användarnamnet med blandade versaler och gemener, beroende på ett antal villkor. Som standard är användarnamn för IBM TRIRIGA skiftlägeskänsliga. Om det fastställs att katalogservern anger användarnamnen med blandade gemener och versaler, kan du inaktivera skiftlägeskänsligheten i SSO-processen. Aspekter: v Om du använder en webbserver för autentiseringsdelen, inaktiverar du HTTPporten för programservern när webbserverkonfigurationen är klar. Om programserverns HTTP-server fortsätter att vara öppen kan den bli en sårbar punkt. Om HTTP-porten inte inaktiveras och användaren går till den porten, blir användaren tillfrågad om sina autentiseringsuppgifter, och användarnamn och lösenord verifieras i IBM TRIRIGA-databasen. v För TRIRIGA CAD Integrator/Publisher och IBM TRIRIGA-reservationstilläggsprogrammet för Microsoft Outlook, måste du se till att miljön har en mekanism för grundläggande autentisering. De flesta SSO-lösningar har ett sätt för ickewebbläsarkunder att autentisera genom grundläggande autentisering eller NTML-autentisering. Du hittar rätt autentiseringskonfiguration i dokumentationen från din SSO-leverantör. Copyright IBM Corp 2011, 2015 5

v IBM TRIRIGA är kompatibel med SSO när SSO är korrekt konfigurerad. När rätt IBM TRIRIGA-egenskaper har aktiverats för SSO, IBM TRIRIGA kan acceptera tokenar från korrekt konfigurerade programservrar med SSO. IBM-support kan hjälpa dig att konfigurera IBM TRIRIGA-egenskaperna för SSO. På grund av antalet produkter, tekniker och konfigurationer som stöds av IBM TRIRIGA, IBMsupport inte hjälpa till med konfigurationen av SSO i din miljö. 6 Copyright IBM Corp. 2011, 2015

Kapitel 4. Så här fungerar SSO Användarnamn kan infogas i HTTP-rubriken med hjälp av olika konfigurationer. Användarnamn kan infogas i HTTP-rubriken via konfigurationer på en omvänd proxywebbserver, via konfigurationer i programmets serverlager eller via olika autentiseringstillägg i dessa lager. Processen sker oftast i följande ordning: v Användaren anger webbadressen för servern i en webbläsare eller får åtkomst till programmet genom att använda en klient. v Användaren kan få en uppmaning att ange användarnamn eller lösenord eller så sker en sömlös inloggning. Sömlös inloggning, i vilken servern inte anropar webbläsaren eller klienten, har inte stöd i vissa konfigurationer. v Informationen verifieras i webbservern, programservern eller autentiseringstillägget via autentiseringskällan. v När inloggningen är genomförd läggs autentiseringsuppgifter till i HTTP-rubriken och de skickas sedan till programservern. v Autentiseringsuppgifterna bearbetas i programservern och användaren loggas in i programmet. Anm: I programmet IBM TRIRIGA Workplace Reservation Manager kan du klicka på en länk som Bygglänken i dialogrutan Hitta Rum/Resurs för att öppna en webbläsarinstans i ett nytt fönster och du får en uppmaning att logga in. Inloggningsuppmaningen visas av säkerhetsskäl. Sessionen och inloggningskonfigurationen kan inte delas mellan Outlook och webbläsaren. Copyright IBM Corp 2011, 2015 7

Kapitel 5. Konfigurera IBM TRIRIGA med en SSO-lösning Om du har en webbserver som konfigurerats med enkel inloggningsautentisering, kan du bestämma om de autentiseringsuppgifterna kan användas för att logga in på IBM TRIRIGA. Arbetsordning 1. Konfigurera din webbserver för omvänd proxyåtkomst till programservern. Konfigurationsinformation finns i dokumentationen från programserverns leverantör. 2. När webbservern och programservern kommunicerar med varandra via omvänd proxy, anger du följande URL-adress i webbläsaren: http://web_server/ context_path/html/en/default/admin/requesttest.jsp. Webbsidan visar HTTP-rubrikerna som skickas från webbservern till programservern. 3. På programservern anger du egenskaperna i filen TRIRIGAWEB.properties baserat på SSO-variablerna som returneras av URL-adressen. Som standard finns filen TRIRIGAWEB.properties i mappen Tririga/config. Om... Resultaten visar Fjärranvändaruppsättning med inloggningen. Ange följande egenskaper. SSO=Y SSO_REMOTE_USER=Y Ange alla övriga SSO-egenskaper som N. Resultaten visar UserPrincipal-uppsättning med inloggningen. SSO=Y SSO_USER_PRINCIPAL=Y Ange alla övriga SSO-egenskaper som N. Om resultaten visar användarnamn på en rubrik, noterar du användarnamnet, t.ex. OTHER_SSO_USER_NAME. SSO=Y SSO_REQUEST_ATTRIBUTE_NAME= OTHER_S- SO_USER_NAME Ange alla övriga SSO-egenskaper som N. 4. Starta om programservern så att ändringarna börjar gälla. Copyright IBM Corp 2011, 2015 9

Kapitel 6. IBM TRIRIGA-egenskaper för enkel inloggning Flera egenskaper styr en IBM TRIRIGA SSO-konfiguration. SSO-egenskaperna finns i filen TRIRIGAWEB.properties. Som standard finns filen TRIRIGAWEB.properties i mappen Tririga/config på programservern. Programservern måste startas om för att ändrade programvärden ska börja gälla. Egenskap Alternativ Standard Beskrivning SSO N, Y N Om värdet är Y körs miljön i SSO-läge (single sign-on). SSO_BACKING_SERVER_PORT nummer -1 Portnumret som används av backend-servern. Den här egenskapen måste anges om SSO-serverporten inte stämmer överens med backend-serverns port. Om -1 eller ett annat negativt värde anges för den här egenskapen, anges det portnummer som är angivet för frontend-servern även för porten för backend-servern. SSO_REMOTE_USER N, Y Y Om det anges som Y används metoden request.getremoteuser() för att logga in. Användarnamnet måste exakt matcha användarnamnet som skapades i IBM TRIRIGA. När värdet för SSO_USER_PRINCIPAL är Y, anger du SSO_REMOTE_USER som N. SSO_REMOVE_DOMAIN_NAME N, Y Y Om värdet är Y tas det förställda eller tillagda domännamnet bort från katalogserverns användarnamn som skickas via egenskapen SSO_REMOTE_USER. SSO_REQUEST_ATTRIBUTE_NAME v v Om användarnamnen innehåller ett domännamn när det skickas från katalogservern och användarnamn i IBM TRIRIGA endast innehåller användarnamnet, anger du egenskapen som Y. Om användarnamn innehåller ett domännamn när det skickas från katalogservern och användarnamn i IBM TRIRIGA innehåller domännamnet, anger du egenskapen som N. sm_användare, sm_användare Namnet på egenskapen som infogas i HTTPrubriken vars värde är IBM TRIRIGA- variabelnamn användarnamnet. Om användarnamnet lagras i en distinkt HTTP-attributvariabel, anger du SSO_REMOTE_USER som N och anger den här egenskapen som HTTP-attributnamnet. På vissa system kan du definiera variabelnamnet där användarnamnet finns. I det här fallet anger du den här egenskapen som variabelnamnet i systemet. Copyright IBM Corp 2011, 2015 11

Egenskap Alternativ Standard Beskrivning SSO_USER_PRINCIPAL N, Y N Om systemet konfigurerats för att lägga till användarprincipnamnet (UPN) i HTTP-rubriken, anger du den här egenskapen som Y. Om värdet är Y används HTTPrubrikparametern UserPrincipal, och användarnamnet hämtas genom att anropa metoden request.getuserprincipal().getname(). Sätt värdet för egenskapen SSO_REMOTE_USER till N om värdet är Y. USERNAME_CASE_SENSITIVE N, Y Y Om värdet är Y, är användarnamn för inloggning skiftlägeskänsliga. Om du vill att autentiseringen ska ske utan hänsyn till versaler eller gemener sätter du egenskapsvärdet till N. Vissa Java-appletar frågar efter Windows-användarnamnet och -lösenordet, vilket är ett känt säkerhetsproblem för Java-pluginprogrammet och SSO. Påverkade appletar kan inkludera: Brava! Document Viewer, Gantt, Association Viewer och Workflow Expression Editor. Ange SSO-användarnamnet och -lösenordet igen för att få åtkomst till dessa appletar. 12 Copyright IBM Corp. 2011, 2015

Kapitel 7. Tvinga användare att logga in via SSO Om du vill tvinga användare att logga in via SSO, måste du förhindra att de använder standardinloggningssidan. Ange en alternativ inloggningssida som inte innehåller ett användarnamn, lösenord eller en inloggningsknapp. Arbetsordning 1. Lägg till följande egenskaper i filen TRIRIGAWEB.properties för att ange den alternativa inloggningssidan och katalogen. Egenskap Värden Beskrivning ALTERNATE_INDEX_HTML Filnamn Filnamnet för den alternativa inloggningssidan, t.ex. index.html. ALTERNATE_RESOURCE_DIRECTORY N, Y Sökvägen till resurskatalogen för den alternativa inloggningssidan, t.ex. C:\pathToTRIRIGA\ userfiles\alt. 2. Starta om applikationsservern. Copyright IBM Corp 2011, 2015 13

Kapitel 8. Felsöka enkel inloggning Det finns flera kända problem som kan inträffa vid en enkel inloggning. Ett exempel är att den inte är korrekt konfigurerad. Fel gällande ogiltigt användarnamn eller lösenord. Kontrollera att SSO-inställningarna i filen TRIRIGAWEB.properties är inställda och att programservern har startats om. Användarnamn är skiftlägeskänsliga i IBM TRIRIGA. Om du vill se vilket användarnamn som skickas från webbservern till IBM TRIRIGA, öppnar du följande adress i en webbläsare: http://web_server/html/en/default/admin/ requesttest.jsp. Användarnamnet finns i avsnittet Request Parameters under sektionen Header Parameters som finns bredvid getuserprincipal eller i bägge avsnitt. Kartetiketterna visas enbart på engelska. Om kartetiketterna Esri visas på engelska även om ett annat språk används i användarprofilen är det möjligt att egenskapen SSO_BACKING_SERVER_PORT i filen TRIRIGAWEB.properties inte är konfigurerad för en intern icke-sso port. HTTP-begäranden vidarebefordras inte längre till IBM TRIRIGA. När du har uppgraderat IBM TRIRIGA i WebSphere Application Server, IBM HTTP Server vidarebefordras inte längre några begäran till IBM TRIRIGA. Webbservern måste konfigureras om i WebSphere Application Server. Du kan konfigurera om webbservern genom att använda verktygslådan WebSphere Customization Toolbox (WCT). WCT innehåller Web Server Plug-ins Configuration Tool som går igenom raderings- och återställningsprocessen i webbserverdefinitionen för IBM HTTP Server. Tips: Om du specificerar platsen för programservern i dialogrutan Configuration Scenario Selection och om ditt konfigurationsscenario är lokalt kan du gå vidare till mapplatsen \AppServer. En vanlig plats för en programserver är till exempel C:\Program Files (x86)\ibm\websphere\appserver. Om du ändrar värdnamnet måste du kontrollera att rätt värdnamn är angivet i filen plugin-cfg.xml. Kontrollera framförallt egenskapen Transport Hostname. Filen plugin-cfg.xml visas vanligtvis i pathtoinstall/ibm/httpserver/plugins/config/ webservername/plugin-cfg.xml. Copyright IBM Corp 2011, 2015 15

Anmärkningar Den här informationen gäller produkter och tjänster som erbjuds i USA. IBM kanske inte erbjuder de produkter, tjänster eller funktioner som beskrivs i det här dokumentet i andra länder. Ta kontakt med närmaste IBM-återförsäljare om du vill veta vilka produkter och tjänster som finns där du bor. Hänvisningar till IBMs produkter, program eller tjänster betyder inte bara att endast IBMs produkter får användas. Under förutsättning att intrång i IBMs immateriella eller andra skyddade rättigheter inte sker, får funktionellt likvärdiga produkter, program eller tjänster användas istället för motsvarande produkt från IBM. Det är dock användarens skyldighet att utvärdera och kontrollera funktionen hos produkter, program och tjänster som inte kommer från IBM. IBM kan ha patent eller ha ansökt om patent på produkter som nämns i detta dokument. Dokumentet ger ingen licens till sådana patent. Skriftliga frågor om licenser kan skickas till: IBM Director of Licensing IBM Corporation North Castle Drive Armonk, NY 10504-1785 U.S.A. För frågor om licenser som gäller DBCS-information hänvisas till IBMs avdelning för immateriella rättigheter i det land där du bor. Du kan även sända skriftliga frågor till: Intellectual Property Licensing Legal and Intellectual Property Law IBM Japan Ltd. 19-21, Nihonbashi-Hakozakicho, Chuo-ku Tokyo 103-8510, Japan Nedanstående stycke gäller inte i Storbritannien och är tillämpligt i andra länder endast under förutsättning att det inte strider mot gällande lag: INTERNATIONAL BUSINESS MACHINES CORPORATION TILLHANDAHÅLLER DENNA PUBLI- KATION I BEFINTLIGT SKICK UTAN GARANTIER AV NÅGOT SLAG, VARE SIG UTTRYCKTA ELLER UNDERFÖRSTÅDDA, INKLUSIVE, MEN INTE BE- GRÄNSAT TILL UNDERFÖRSTÅDDA GARANTIER AVSEENDE INTRÅNG I UPPHOVSRÄTT, ALLMÄN BESKAFFENHET ELLER LÄMPLIGHET FÖR VISST ÄNDAMÅL. Vissa länder tillåter inte undantag eller begränsningar av uttryckta eller underförstådda garantier vid vissa transaktioner, vilket innebär att ovanstående kanske inte gäller överallt. Informationen kan innehålla fel av teknisk eller typografisk natur. Informationen i publikationen uppdateras med jämna mellanrum och införs i nya utgåvor. IBM kan utan föregående varsel komma att göra förbättringar och/eller ändringar i produkter och/eller program som beskrivs i detta dokument. Hänvisningar till andra webbplatser än IBMs egna görs endast i informationssyfte, och IBM lämnar inga som helst garantier beträffande dessa platser. Material som Copyright IBM Corp 2011, 2015 17

finns på dessa webbplatser ingår inte i materialet som hör till denna produkt och användning av sådana webbplatser sker på kundens eget ansvar. IBM får använda eller sprida information som kunden lämnar på sätt som IBM finner lämpligt utan att det innebär någon förpliktelse gentemot kunden. Programlicenstagare som önskar få information om det för att kunna aktivera (i) utbyte av information mellan oberoende program och andra (inklusive detta program) och (ii) ömsesidig användning av den utbytta informationen, ombeds kontakta: IBM Corporation 2Z4A/101 11400 Burnet Road Austin, TX 78758 U.S.A. Sådan information kan vara tillgänglig, enligt tillämpliga villkor, och i vissa fall mot erläggande av en avgift. Det licensierade program som beskrivs i detta dokument och allt licensierat material som hör till, tillhandahålls av IBM i enlighet med Villkor för fortlöpande IBMtjänster, IBM Internationellt Programlicensavtal eller annat motsvarande avtal mellan IBM och kunden. Information om icke-ibm-produkter har erhållits från leverantörerna av dessa produkter, deras publicerade tillkännagivanden eller andra offentliga källor. IBM har inte testat dessa produkter och kan inte gå i god för deras funktionalitet eller kompatibilitet eller för några andra utfästelser avseende icke-ibm-produkter. Frågor om kapaciteten hos icke-ibm-produkter bör ställas till leverantörerna av sådana produkter. Den här informationen innehåller exempel på data och rapporter som används i daglig affärsverksamhet. För att ge en så verklighetstrogen bild som möjligt innefattar dessa exempel namn på individer, företag, varumärken och produkter. Alla sådana namn är fiktiva och eventuella likheter med namn och adresser som används av verkliga företag beror på ren tillfällighet. UPPHOVSRÄTTSLICENS: Den här informationen innehåller exempelprogram på ursprungsspråket, som illustrationer till programmeringsteknik för olika operativsystem. Du får kopiera, ändra och sprida exempelprogrammen i valfri form utan ekonomisk ersättning till IBM i syfte att utveckla, använda, marknadsföra eller sprida tillämpningsprogram som är förenliga med IBMs programgränssnitt. Exempelprogrammen har inte testats fullständigt och under alla förhållanden. IBM kan därför inte garantera driftsäkerheten eller funktionaliteten hos exempelprogrammen. Exempelprogrammen tillhandahålls i befintligt skick utan några som helst garantier. IBM ansvarar inte för skador som kan uppstå vid användning av exempelprogrammen. Information om sekretesspolicy 18 Copyright IBM Corp. 2011, 2015 IBM Software-produkter, inklusive programvara som tjänstelösningar, ("Software Offerings") kan använda cookies eller andra tekniker för att samla in produktanvändningsinformation, för att stödja förbättringar av slutanvändarupplevelsen och för att skräddarsy interaktioner med slutanvändaren för andra ändamål. I många fall samlas inte några identifierbara personuppgifter in av Software Offe-

rings. En del av våra Software Offerings kan hjälpa dig att samla in identifierbara uppgifter. Om denna Software Offering använder cookies till att samla in identifierbara personuppgifter, ges särskild information om erbjudandets användning av cookies nedan. Denna Software Offering använder inte cookies eller andra tekniker för att samla in identifierbara personuppgifter. Om de konfigurationer som driftsätts för denna Software Offering ger dig som kund möjlighet att samla in identifierbara personuppgifter från slutanvändare via cookies och andra tekniker, bör du söka egen juridisk rådgivning om tillämpliga lagar för sådan uppgiftsinsamling, inklusive eventuella krav på att informera och inhämta samtycke. Mer information om användningen av olika tekniker, inklusive cookies, för dessa ändamål finns i IBM:s sekretesspolicy på http://www.ibm.com/privacy och IBM:s Online Privacy Statement på http://www.ibm.com/privacy/details i avsnittet "Cookies, Web Beacons and Other Technologies" samt i "IBM Software Products and Software-as-a-Service Privacy Statement" på http://www.ibm.com/software/ info/product-privacy/. Varumärken IBM, IBM-logotypen och ibm.com är varumärken eller registrerade varumärken som tillhör International Business Machines Corp., och är registrerade i många jurisdiktioner över hela världen. Andra namn på produkter och tjänster kan vara varumärken som tillhör IBM eller andra företag. En aktuell förteckning över varumärken som tillhör IBM finns på sidan Copyright and trademark information (öppnas i ett nytt fönster) på www.ibm.com/legal/copytrade.shtml. Java och alla Java-baserade varumärken och logotyper är registrerade varumärken som tillhör Oracle och/eller dess dotterbolag. Linux är ett varumärke som tillhör Linus Torvalds i USA och/eller andra länder. Microsoft, Windows, Windows NT och Windows-logotypen är varumärken som tillhör Microsoft Corporation i USA och/eller andra länder. UNIX är ett registrerat varumärke som tillhör The Open Group i USA och/eller andra länder. Andra produktnamn eller näringskännetecken kan vara varumärken som tillhör IBM eller andra företag. Anmärkningar 19

Tryckt i Sverige