Newsgroup: it.comp.appl.notes-domino
Titolo: [CrossPost] Single signon: da dove cominciare?

Da buon jolly aziendale, mi è stato richiesto di fare un'analisi e studio di
fattibilità per agevolare la gestione utenti e password in ambienti in cui
siano  presenti (almeno?) i seguenti soggetti autenticatori:
1) Domain Controller Microsoft Windows 2003 con relativa foresta (boschetto)
Active Directory
2) IBM i-Series con i5 (V5R3M0) (condito di LPAR SLES e alcuni IXS)
3) IBM Lotus Domino e relativo dominio (a piacere dalla 5.x in dismissione,
alla 7.x, passando per alcune 6.0 e 6.5) con contorno di alcuni server IBM
Workplace/Quickplace/Sametime o come diavolo si vogliono decidere a chiamarli.
Qualcuno ha già implementato qualcosa in merito senza spendere una fortuna?
Pensavo di cominciare dallo studio dell'EIM dell'i-Series; a tal proposito
qualcuno sa se con la V5R4 ci sono grosse novità in merito?
Budget? quasi nullo ...
Il DPS? Incombe! Ma come faccio con le utenze/password applicative, con quelle
delle VPN sui PIX, quelle su piattaforme Solaris o nel variegato mondo Linux
(interne e Samba)?
PAP


Io posso rispondere solo per la parte Domino.
E' un brutto affare, l'unico sistema valido che conosco è Tivoli, che
ti pernetterebbe tra l'altro di fare tutto visto che è IBM, ma costa
un patrimonio e la sua implementazione è tutt'altro che semplice.
Per Domino poi esiste un problema, che sta nella mascherina dove devi
mettere la password..... non è una maschera di IMPUT di Win e quindi
la totalità dei prodotti che fanno SSO non la riconoscono e non
possono compilarla.
Nelle realtà che conosco io Domino è stato gestito a parte con le sue
politiche di gestione password e integrato nel documento per la
privacy come ambiente separato, mi pare.
ciao

prova a dare u'occhiata:
SG24-6039 ssl and kerberos
sg24-6975 windows-base Single signon and EIM frmaework on the IBM
SG24-6939-00 iseries access for windows v5r2 hot.topics tailored
images, application Administrator, ssl, and kerberos
prerequisiti servizio kerberos attivo sulla rete.
EIM configurato su AS/400 iseries access, v5r2 meglio

il DPS non impone autenticazione integrata di questo son sicuro , molti
utilizzano tivoli ...IBM...

 privacy come ambiente separato, mi pare.
In effetti probabilmente il titolo che ho dato è fuorviante, nel senso che il
single signon è in realtà un "tendere a..."; ma a me basterebbe anche soltanto
una sincronia di utenti e password (gerarchica o mono/n-direzionale che sia)
oppure una autenticazione del tipo "pass-through".
Faccio un esempio: abbiamo appena implementato un prodotto di BI che, con gli
opportuni agent, consente di autenticarmi come "unico soggetto" a seconda
della prima occorrenza che trova con le credenziali immesse su AD, Domino, o
altre 2 tipologie di utenza applicativa interna . Ovvero se inserisco
Username: PIPPO
Password PLUTO
L'applicativo cerca l'utente PIPPO nella foresta AD; se non lo trova, lo cerca
nella Directory di DOmino, e così via; una volta trovato, chiede
all'autenticatore che contiene il CN in questione se la password immessa è
valida per tale utente: questo per me è già un passo avanti rispetto all'avere
un ennesimo elenco di utente/password per quell'applicativo che contempla al
suo interno utenze non equipotenti.
Converrete con me, rispondendo con questo a Piero e Pino, che ringrazio, che a
voler applicare alla lettera il DPS ogni utente si verrebbe a trovare con
numerose credenziali da immettere e rinnovare e che il comparto IT si
troverebbe a gestire: ogni soluzione che consenta di alleviare questo peso è
ben accetta.
Purtroppo sono un po' digiuno della materia e metto dunque dell'altra carne
sul fuoco: la cosiddetta "strong authentication" mediante smart-card
personali, potrebbe risultare la chiave di volta? O è solo un "di cui"?
PAP

 e che il comparto IT si troverebbe a gestire: 
Beh, naturalmente l'IT non deve essere a conoscenza delle password,
quindi gestirle significa più che altro fare assistenza agli utenti
quando le devono cambiare. Il che, in effetti, puo` non essere cosa da
poco, a seconda del livello degli utenti..
Ah, parlando di Notes/Domino, ti ricordo che esiste il servizio di
signon automatico (a partire dalle credenziali di Windows), che e`
anche in grado di impostare la password del dominio Windows quando si
cambia quella di Notes. Funziona solo con W2K e superiori, non
funziona con Terminal Server, l'interfaccia della procedura lascia un
po` a desiderare come da tradizione Notes.. ma e` gia` qualcosa :-)