Verwalten einer HCL Domino-Umgebung
Mit dem One Identity Manager werden die Objekte einer HCL Domino-Umgebung wie Benutzer, Gruppen, Mail-In-Datenbanken, Server, Richtlinien und Zertifikate verwaltet. Durch die Definition von Notes Domänen im One Identity Manager ist die Administration mehrerer produktiver Domino-Umgebungen parallel mit einer One Identity Manager-Datenbank möglich. Benutzer und Personendokumente werden im One Identity Manager als Notes Benutzerkonten verwaltet. Die Objekte des Domino-Verzeichnisses werden im One Identity Manager als Notes Objekte abgebildet.
HINWEIS: Der One Identity Manager unterstützt die Synchronisation mit verschiedenen Domino Versionen, beispielsweise HCL Domino Server Version 11 und IBM Domino Server Version 10. Da die Verwaltung der Objekte im One Identity Manager unabhängig von der Version der Zielsystemumgebung ist, wird auf das Zielsystem im One Identity Manager einheitlich mit der Bezeichnung Domino Bezug genommen.
Im One Identity Manager werden die Identitäten eines Unternehmens mit den benötigten Benutzerkonten versorgt. Dabei können unterschiedliche Mechanismen für die Verbindung der Identitäten mit ihren Notes Benutzerkonten genutzt werden. Ebenso können die Benutzerkonten getrennt von Identitäten verwaltet und somit administrative Benutzerkonten eingerichtet werden.
Bei der Zertifizierung neuer Benutzer müssen eine Reihe benutzerspezifischer Dateien generiert werden, die dem Benutzer zur Verfügung stehen müssen. Beim Anlegen eines Benutzers durch den Domino Konnektor werden die Benutzer-ID-Datei zur Authentifizierung, die Postfachdatei sowie das persönliche Adressbuch des Benutzers erzeugt.
Neben Benutzerkonten werden Gruppen und Mail-In-Datenbanken über den One Identity Manager verwaltet. Gruppen werden eingesetzt, um den Benutzern die benötigten Zugriffsberechtigungen zur Verfügung zu stellen oder werden als Mailverteilerliste genutzt. Über gemeinsam genutzte Mail-In-Datenbanken können die Benutzer Nachrichten versenden oder empfangen. Über die Vergabe von Rechten können die Benutzer auf diese Mail-In-Datenbanken zugreifen. Beim Anlegen einer Mail-In-Datenbank über den One Identity Manager wird die benötigte Postfachdatei erzeugt.
Serverdokumente, Zertifikate, Richtlinien und Schablonen für Postfachdateien werden lediglich in die One Identity Manager-Datenbank eingelesen, damit sie beim Einrichten von Benutzerkonten und Gruppen referenziert werden können. Für Serverdokumente können im One Identity Manager Zugriffslisten definiert werden, um festzulegen, wer für verschiedene Zwecke Zugriff auf einen Server hat.
HINWEIS: Voraussetzung für die Verwaltung einer Domino-Umgebung im One Identity Manager ist die Installation des Domino Moduls. Ausführliche Informationen zur Installation finden Sie im One Identity Manager Installationshandbuch.
Architekturüberblick
Im One Identity Manager wird der Sichtbarkeitsbereich einer produktiven Domino-Umgebung als Notes Domäne abgebildet. Für die Synchronisation benötigt der One Identity Manager Zugriff auf das Domino-Verzeichnis dieser Domino-Umgebung.
Innerhalb der One Identity Manager-Umgebung wird ein Server definiert, der alle administrativen Aufgaben, die Domino-Umgebung betreffend, ausführt. Dieser Server wird im Folgenden als Gateway Server bezeichnet. Der Gateway Server übernimmt die Funktion des Synchronisationsservers. Er ist selbst kein produktiver Domino-Server. Auf dem Gateway Server werden ein Notes Client, der One Identity Manager Service und der Domino Konnektor installiert.
Vom Gateway Server werden alle Aktionen des Domino Konnektors ausgeführt. Bei der Ausführung der Aktionen im Zielsystem kommuniziert der Gateway Server mit einem Domino-Server der produktiven Umgebung. Dieser Domino-Server ist ein ausgewählter Server mit guter Netzwerkanbindung zum Gateway Server. Da der Domino Konnektor Zugriff auf das Domino-Verzeichnis benötigt, nutzen Sie dafür vorzugsweise einen Verzeichnisserver.
Für die Synchronisation stellen Sie eine ID-Datei zum Zugriff auf die produktive Domino-Umgebung mit ausreichenden administrativen Rechten zur Verfügung. Sofern nicht mit einem Certification-Authority-Prozess (CA-Prozess) gearbeitet werden soll, muss eine Zertifizierer-ID-Datei bereitgestellt werden. Beide Dateien müssen auf dem Gateway Server verfügbar sein.
Der Gateway Server führt über den One Identity Manager Service Aktionen wie Zertifizierungen, Anlegen, Ändern und Löschen von Dokumenten im Domino-Verzeichnis aus. Außerdem können über diesen Weg Datenbanken für Benutzer, Postfachdateien oder Mail-In-Datenbanken auf den Domino-Servern angelegt werden. Der One Identity Manager Service stellt einen Notes-Client-Kontext unter Verwendung der Notes COM-Library her und verarbeitet darin alle notwendigen Funktionen zum Datenaustausch mit dem Domino-Server (Zugriff auf Domino-Objekte, Ausführen von Notes-Agenten, Erzeugen von administrativen Prozessen (AdminP), Fehlerbehandlung).
Abbildung 1: Kommunikation des Domino Konnektors mit der Domino-Umgebung
Die Objekte einer Domino-Umgebung werden in der One Identity Manager-Datenbank folgendermaßen abgebildet:
Tabelle 1: Abbildung von Objekttypen einer Domino-Umgebung im One Identity Manager
| Domino-Server |
Notes Server |
| Domino-Domäne |
Keine direkte Abbildung. |
| |
Notes Domäne
Eigenschaft von Notes Objekten, um die Objekte verschiedenen Domino-Umgebungen zuzuordnen. |
| Benutzer |
Notes Benutzerkonto |
| Gruppe |
Notes Gruppe |
| Mail-In-Datenbank |
Notes Mail-In-Datenbank |
| Notes Zertifikat |
Notes Zertifikat |
| Schablone |
Notes Schablone |
| Richtlinie |
Notes Richtlinie |
One Identity Manager Benutzer für die Verwaltung einer Domino-Umgebung
In die Einrichtung und Verwaltung einer Domino-Umgebung sind folgende Benutzer eingebunden.
Tabelle 2: Benutzer
| Zielsystemadministratoren |
Die Zielsystemadministratoren müssen der Anwendungsrolle Zielsysteme | Administratoren zugewiesen sein.
Benutzer mit dieser Anwendungsrolle:
-
Administrieren die Anwendungsrollen für die einzelnen Zielsystemtypen.
-
Legen die Zielsystemverantwortlichen fest.
-
Richten bei Bedarf weitere Anwendungsrollen für Zielsystemverantwortliche ein.
-
Legen fest, welche Anwendungsrollen für Zielsystemverantwortliche sich ausschließen.
-
Berechtigen weitere Identitäten als Zielsystemadministratoren.
-
Übernehmen keine administrativen Aufgaben innerhalb der Zielsysteme. |
| Zielsystemverantwortliche |
Die Zielsystemverantwortlichen müssen der Anwendungsrolle Zielsysteme | Domino oder einer untergeordneten Anwendungsrolle zugewiesen sein.
Benutzer mit dieser Anwendungsrolle:
-
Übernehmen die administrativen Aufgaben für das Zielsystem.
-
Erzeugen, ändern oder löschen die Zielsystemobjekte.
-
Bearbeiten Kennwortrichtlinien für das Zielsystem.
-
Bereiten Gruppen zur Aufnahme in den IT Shop vor.
-
Können Identitäten anlegen, die nicht den Identitätstyp Primäre Identität haben.
-
Konfigurieren im Synchronization Editor die Synchronisation und definieren das Mapping für den Abgleich von Zielsystem und One Identity Manager.
-
Bearbeiten Zielsystemtypen sowie die ausstehenden Objekte einer Synchronisation.
-
Berechtigen innerhalb ihres Verantwortungsbereiches weitere Identitäten als Zielsystemverantwortliche und erstellen bei Bedarf weitere untergeordnete Anwendungsrollen. |
| One Identity Manager Administratoren |
Administratoren sind administrative Systembenutzer. Administrative Systembenutzer werden nicht in Anwendungsrollen aufgenommen.
Administratoren:
-
Erstellen bei Bedarf im Designer kundenspezifische Berechtigungsgruppen für Anwendungsrollen für die rollenbasierte Anmeldung an den Administrationswerkzeugen.
-
Erstellen bei Bedarf im Designer Systembenutzer und Berechtigungsgruppen für die nicht-rollenbasierte Anmeldung an den Administrationswerkzeugen.
-
Aktivieren oder deaktivieren im Designer bei Bedarf zusätzliche Konfigurationsparameter.
-
Erstellen im Designer bei Bedarf unternehmensspezifische Prozesse.
-
Erstellen und konfigurieren bei Bedarf Zeitpläne.
-
Erstellen und konfigurieren bei Bedarf Kennwortrichtlinien. |
| Administratoren für den IT Shop |
Die Administratoren müssen der Anwendungsrolle Request & Fulfillment | IT Shop | Administratoren zugewiesen sein.
Benutzer mit dieser Anwendungsrolle:
|
| Administratoren für Organisationen |
Die Administratoren müssen der Anwendungsrolle Identity Management | Organisationen | Administratoren zugewiesen sein.
Benutzer mit dieser Anwendungsrolle:
|
| Administratoren für Geschäftsrollen |
Die Administratoren müssen der Anwendungsrolle Identity Management | Geschäftsrollen | Administratoren zugewiesen sein.
Benutzer mit dieser Anwendungsrolle:
|
Konfigurationsparameter für die Verwaltung von Domino-Umgebungen
Über Konfigurationsparameter konfigurieren Sie die Grundeinstellungen zum Systemverhalten. Der One Identity Manager stellt für verschiedene Konfigurationsparameter Standardeinstellungen zur Verfügung. Prüfen Sie die Konfigurationsparameter und passen Sie die Konfigurationsparameter gegebenenfalls an das gewünschte Verhalten an.
Die Konfigurationsparameter sind in den One Identity Manager Modulen definiert. Jedes One Identity Manager Modul kann zusätzliche Konfigurationsparameter installieren. Einen Überblick über alle Konfigurationsparameter finden Sie im Designer in der Kategorie Basisdaten > Allgemein > Konfigurationsparameter.
Weitere Informationen finden Sie unter Konfigurationsparameter für die Verwaltung einer Domino-Umgebung.
