Page is loading ...
Novell
www.novell.com
novdocx (en) 11 December 2007
Novell Access Manager 3.0 SP1 Administration Guide
Access Manager
3.0 SP1
January 7, 2008
IR3
ADMINISTRATION GUIDE
novdocx (en) 11 December 2007
Legal Notices
Novell, Inc., makes no representations or warranties with respect to the contents or use of this documentation, and
specifically disclaims any express or implied warranties of merchantability or fitness for any particular purpose.
Further, Novell, Inc., reserves the right to revise this publication and to make changes to its content, at any time,
without obligation to notify any person or entity of such revisions or changes.
Further, Novell, Inc., makes no representations or warranties with respect to any software, and specifically disclaims
any express or implied warranties of merchantability or fitness for any particular purpose. Further, Novell, Inc.,
reserves the right to make changes to any and all parts of Novell software, at any time, without any obligation to
notify any person or entity of such changes.
Any products or technical information provided under this Agreement may be subject to U.S. export controls and the
trade laws of other countries. You agree to comply with all export control regulations and to obtain any required
licenses or classification to export, re-export or import deliverables. You agree not to export or re-export to entities on
the current U.S. export exclusion lists or to any embargoed or terrorist countries as specified in the U.S. export laws.
You agree to not use deliverables for prohibited nuclear, missile, or chemical biological weaponry end uses. See the
Novell International Trade Services Web page (http://www.novell.com/info/exports/) for more information on
exporting Novell software. Novell assumes no responsibility for your failure to obtain any necessary export
approvals.
Copyright © 2006-2008 Novell, Inc. All rights reserved. No part of this publication may be reproduced, photocopied,
stored on a retrieval system, or transmitted without the express written consent of the publisher.
Novell, Inc., has intellectual property rights relating to technology embodied in the product that is described in this
document. In particular, and without limitation, these intellectual property rights may include one or more of the U.S.
patents listed on the Novell Legal Patents Web page (http://www.novell.com/company/legal/patents/) and one or
more additional patents or pending patent applications in the U.S. and in other countries.
Novell, Inc.
404 Wyman Street, Suite 500
Waltham, MA 02451
U.S.A.
www.novell.com
Online Documentation: To access the latest online documentation for this and other Novell products, see
the Novell Documentation Web page (http://www.novell.com/documentation).
novdocx (en) 11 December 2007
Contents 5
Contents
novdocx (en) 11 December 2007
About This Guide 21
Part I System Management 23
1 Security Considerations 25
1.1 Certificates. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
1.2 Access Manager Administration Console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
1.3 Configuration Store . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
1.4 Auditing and Event Notification . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
1.5 Identity Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27
1.5.1 Federation Concerns. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27
1.5.2 Authentication Contracts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27
1.6 NetWare Access Gateway. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
1.7 Linux Access Gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
1.8 SSL VPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
1.9 J2EE Agent . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
2 Backing Up and Restoring Components 31
2.1 How The Backup and Restore Process Works . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
2.2 Backing up the Administration Console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
2.3 Restoring an Administration Console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
2.4 Restoring an Administration Console with an Identity Server on the Same Machine . . . . . . . 33
2.5 Restoring an Identity Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
2.6 Restoring an Access Gateway. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
2.6.1 Clustered Access Gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
2.6.2 Single Access Gateway. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
2.7 Running the Diagnostic Configuration Export . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
3 Administration Console 37
3.1 Administration Console Conventions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
3.2 Starting and Stopping Access Manager Components . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
3.2.1 Updating an Identity Server Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
3.2.2 Restarting the Identity Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
3.2.3 Updating the Access Gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
3.2.4 Restarting the Access Gateway Service Provider. . . . . . . . . . . . . . . . . . . . . . . . . . . 39
3.2.5 Starting the Access Gateway Service Provider. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
3.2.6 Stopping the Access Gateway Service Provider . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
3.2.7 Rebooting the Access Gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
3.2.8 Scheduling a Reboot of the Access Gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
3.2.9 Stopping the Access Gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
3.2.10 Scheduling the Shutdown of the Access Gateway . . . . . . . . . . . . . . . . . . . . . . . . . . 41
3.3 Changing the Password for the Administration Console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
3.4 Multiple Sessions, Multiple Administrators. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
6 Novell Access Manager 3.0 SP1 Administration Guide
novdocx (en) 11 December 2007
4 Changing the IP Address of Access Manager Devices 43
4.1 Changing the IP Address of the Administration Console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
4.2 Changing the IP Address of an Identity Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
4.3 Changing the IP Address of the Access Gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
4.4 Changing the IP Address of an Audit Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
5 Maintaining an Identity Server 47
5.1 Managing an Identity Server. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
5.2 Editing Server Details . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
5.3 Security. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
Part II Novell Identity Server Configuration 53
6 Configuring an Identity Server 55
6.1 Creating a Cluster Configuration (Advanced). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
6.2 Assigning an Identity Server to a Cluster Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
6.3 Removing a Server from a Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
6.4 Modifying the Base URL. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
6.5 Enabling Role-Based Access Control. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62
6.6 Clustering Identity Servers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62
6.6.1 Prerequisites . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
6.6.2 Setup . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64
6.6.3 Real Server Settings Example . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66
6.6.4 Virtual Server Settings Example . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66
6.7 Configuring Secure Communication on the Identity Server . . . . . . . . . . . . . . . . . . . . . . . . . . . 66
7 Defining Shared Settings 67
7.1 Configuring Attribute Sets. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67
7.2 Editing Attribute Sets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 69
7.3 Configuring User Matching Expressions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 69
7.4 Adding Custom Attributes. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 70
7.4.1 Creating Shared Secret Names . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 70
7.4.2 Creating LDAP Attribute Names . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71
8 Configuring Local Authentication 73
8.1 Configuring Identity User Stores. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73
8.1.1 Using More Than One LDAP User Store . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 74
8.1.2 Configuring an Admin User for the User Store. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75
8.1.3 Configuring the User Store. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75
8.2 Creating Authentication Classes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77
8.2.1 Creating Basic, Form-Based, or NMAS Authentication Classes . . . . . . . . . . . . . . . . 78
8.2.2 Creating an X.509 Authentication Class . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79
8.2.3 Creating a RADIUS Authentication Class . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 83
8.3 Configuring Authentication Methods. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 84
8.4 Configuring Authentication Contracts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86
8.5 Specifying Authentication Defaults . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 87
8.6 Setting Up Mutual SSL Authentication . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 88
8.7 Creating Custom Login Pages . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 89
8.7.1 Modifying the User Portal Page . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 89
Contents 7
novdocx (en) 11 December 2007
8.7.2 Creating Your Own Login or Error Page . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 90
9 Configuring Trusted Providers 91
9.1 Understanding the Trust Model . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
9.1.1 Identity Consumer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
9.1.2 Embedded Service Providers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92
9.1.3 High-Level Steps . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 93
9.2 Creating a Trusted Provider Reference . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94
9.3 Reimporting a Trusted Provider’s Metadata . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 96
9.4 Editing a SAML 1.1 Trusted Identity Provider’s Metadata . . . . . . . . . . . . . . . . . . . . . . . . . . . . 96
9.5 Editing a SAML 1.1 Trusted Service Provider’s Metadata. . . . . . . . . . . . . . . . . . . . . . . . . . . . 98
9.6 Configuring Common Access Settings for a Trusted Provider. . . . . . . . . . . . . . . . . . . . . . . . . 99
9.6.1 Configuring Display and Access Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99
9.6.2 Configuring Communication Security Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . 100
9.6.3 Specifying the Intersite Transfer Service URL . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101
9.7 Selecting Attributes for a Trusted Provider . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101
10 Configuring User Authentication and Federation 105
10.1 Configuring Authentication for a Trusted Identity Provider . . . . . . . . . . . . . . . . . . . . . . . . . . 105
10.2 Configuring User Identification Methods . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 107
10.2.1 Selecting a User Identification Method . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 107
10.2.2 Configuring the User Matching Method. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108
10.2.3 Defining the User Provisioning Method . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109
10.2.4 User Provisioning Error Messages . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 113
10.3 Configuring Authentication for a Trusted Service Provider . . . . . . . . . . . . . . . . . . . . . . . . . . 114
10.4 Configuring User Identification Methods for SAML 1.1 Trusted Identity Providers . . . . . . . . 115
10.5 Specifying a SAML Audience URI . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117
11 Configuring Communication Profiles 119
12 Configuring Liberty Web Services 121
12.1 Configuring the Web Services Framework . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 121
12.2 Enabling Web Services and Profiles . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 122
12.3 Editing Web Service Descriptions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123
12.4 Configuring Credential Profile Security and Display Settings . . . . . . . . . . . . . . . . . . . . . . . . 124
12.5 Configuring Service and Profile Details . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 126
12.6 Customizing Attribute Names . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 128
12.7 Editing Web Service Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129
12.8 Configuring the Web Service Consumer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 132
12.9 Mapping LDAP and Liberty Attributes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 132
12.9.1 Configuring One-to-One Attribute Maps . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 133
12.9.2 Configuring Employee Type Attribute Maps . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 136
12.9.3 Configuring Employee Status Attribute Maps . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137
12.9.4 Configuring Postal Address Attribute Maps. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 138
12.9.5 Configuring Contact Method Attribute Maps . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 140
12.9.6 Configuring Gender Attribute Maps. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141
12.9.7 Configuring Marital Status Attribute Maps. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 142
13 Configuring Kerberos for Authentication 145
13.1 Configuring Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 146
8 Novell Access Manager 3.0 SP1 Administration Guide
novdocx (en) 11 December 2007
13.1.1 Installing the spn and the ktpass Utilities . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147
13.1.2 Creating and Configuring the User Account for the Identity Server . . . . . . . . . . . . . 147
13.1.3 Configuring the Keytab File . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 148
13.1.4 Adding the Identity Server to the Forward Lookup Zone . . . . . . . . . . . . . . . . . . . . . 149
13.2 Configuring the Identity Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 149
13.2.1 Configuring the Identity Server for Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . 149
13.2.2 Creating the Authentication Class, Method, and Contract . . . . . . . . . . . . . . . . . . . . 150
13.2.3 Creating the bcsLogin Configuration File . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153
13.2.4 Verifying the Kerberos Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153
13.3 Configuring the Clients . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 154
13.4 Configuring the Access Gateway for Kerberos Authentication . . . . . . . . . . . . . . . . . . . . . . . . 155
Part III Access Gateway Configuration 157
14 Configuring the Access Gateway to Protect Web Resources 159
14.1 Creating a Reverse Proxy and Proxy Service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160
14.2 Configuring a Proxy Service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 164
14.3 Configuring the Web Servers of a Proxy Service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 165
14.4 Configuring Protected Resources. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 167
14.4.1 Setting Up a Protected Resource. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 168
14.4.2 Assigning an Authorization Policy to a Protected Resource . . . . . . . . . . . . . . . . . . 170
14.4.3 Assigning an Identity Injection Policy to a Protected Resource . . . . . . . . . . . . . . . . 171
14.4.4 Assigning a Form Fill Policy to a Protected Resource . . . . . . . . . . . . . . . . . . . . . . . 172
14.4.5 Assigning a Policy to Multiple Protected Resources . . . . . . . . . . . . . . . . . . . . . . . . 174
14.5 Configuring HTML Rewriting . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 175
14.5.1 Understanding the Rewriting Process . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 175
14.5.2 Specifying the DNS Names to Rewrite . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 177
14.5.3 Defining the Requirements for the Rewriter Profile . . . . . . . . . . . . . . . . . . . . . . . . . 179
14.5.4 Configuring the HTML Rewriter and Profile . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 186
14.5.5 Disabling the Rewriter . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 191
14.6 Configuring Connection Limits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 193
14.6.1 Configuring TCP Listen Options for Clients . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 193
14.6.2 Configuring TCP Connect Options for Web Servers . . . . . . . . . . . . . . . . . . . . . . . . 195
14.6.3 Configuring Connection and Session Persistence . . . . . . . . . . . . . . . . . . . . . . . . . . 197
15 Configuring the Access Gateway for SSL 199
15.1 Using SSL on the Access Gateway Communication Channels . . . . . . . . . . . . . . . . . . . . . . . 199
15.2 Prerequisites for SSL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 201
15.2.1 Prerequisite for SSL Communication between the Identity Server and the Access
Gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 201
15.2.2 Prerequisites for SSL Communication between the Access Gateway and the Web
Servers. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 201
15.3 Configuring SSL Communication with the Browsers and the Identity Server. . . . . . . . . . . . . 202
15.4 Configuring SSL between the Proxy Service and the Web Servers. . . . . . . . . . . . . . . . . . . . 204
15.5 Managing Access Gateway Certificates . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 206
15.5.1 Managing Embedded Service Provider Certificates. . . . . . . . . . . . . . . . . . . . . . . . . 206
15.5.2 Managing Reverse Proxy and Web Server Certificates. . . . . . . . . . . . . . . . . . . . . . 207
15.6 Configuring the Encryption Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 207
16 Server Configuration Settings 209
16.1 Viewing and Updating the Configuration Status . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 209
16.2 Changing the Name of an Access Gateway and Modifying Other Descriptive Details. . . . . . 210
Contents 9
novdocx (en) 11 December 2007
16.3 Setting Date and Time . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 211
16.4 Setting Up a Tunnel . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213
16.5 Configuring Error Page Presentation. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 214
16.6 Configuring Console Access . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215
16.6.1 Setting Up an FTP Listening Address . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215
16.6.2 Enabling Console Access with SSH and Telnet Sessions . . . . . . . . . . . . . . . . . . . 215
16.6.3 Setting the Password for the admin and config Users . . . . . . . . . . . . . . . . . . . . . . 216
16.7 Configuring Network Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
16.7.1 Viewing and Modifying Adapter Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
16.7.2 Viewing and Modifying Gateway Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 219
16.7.3 Viewing and Modifying DNS Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 222
16.7.4 Configuring Hosts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 224
16.7.5 Adding New Network Interfaces to the Linux Access Gateway. . . . . . . . . . . . . . . . 226
16.8 Customizing Log Out . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 226
16.9 Configuring X-Forwarded-For Headers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 227
16.10 Upgrading the Access Gateway Software . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 227
16.11 Exporting and Importing an Access Gateway Configuration . . . . . . . . . . . . . . . . . . . . . . . . . 228
16.11.1 Exporting the Configuration. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 228
16.11.2 Importing the Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 229
16.11.3 Cleaning Up and Verifying the Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 230
17 Configuring the Cache Settings 233
17.1 Configuring Global Caching Options . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 233
17.2 Controlling Browser Caching . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 236
17.3 Configuring Custom Cache Control Headers. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 237
17.3.1 Understanding How Custom Cache Control Headers Work . . . . . . . . . . . . . . . . . . 237
17.3.2 Enabling Custom Cache Control Headers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 238
17.4 Configuring a Pin List. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 239
17.4.1 URL Mask . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 241
17.4.2 Pin Type . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 242
17.4.3 Follow Links. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 242
17.5 Configuring a Purge List . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 243
17.6 Purging Cached Content . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244
17.7 Preventing a Web Site from Being Cached . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244
18 Protecting Multiple Resources 245
18.1 Setting Up a Group of Web Servers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 246
18.2 Using Multi-Homing to Access Multiple Resources . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 247
18.2.1 Domain-Based Multi-Homing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 247
18.2.2 Path-Based Multi-Homing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 249
18.2.3 Virtual Multi-Homing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 251
18.2.4 Creating a Second Proxy Service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 252
18.2.5 Configuring a Path-Based Multi-Homing Proxy Service . . . . . . . . . . . . . . . . . . . . . 253
18.3 Managing Multiple Reverse Proxies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 255
18.3.1 Managing Entries in the Reverse Proxy List . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 256
18.3.2 Changing the Authentication Proxy Service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 257
18.4 Managing a Cluster of Access Gateways . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 257
18.4.1 Managing the Servers in the Cluster . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 258
18.4.2 Changing the Primary Cluster Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259
18.4.3 Applying Changes to Cluster Members. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259
10 Novell Access Manager 3.0 SP1 Administration Guide
novdocx (en) 11 December 2007
Part IV SSL VPN Gateway Configuration 261
19 Overview of SSL VPN Services 263
19.1 Server Module . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263
19.1.1 SSL VPN Modes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263
19.1.2 How SSL VPN Protects Resources . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 264
19.1.3 Configuring the SSL VPN Servers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 266
19.2 Client Modes. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 267
19.2.1 Enterprise Mode. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 267
19.2.2 Kiosk Mode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 268
20 Configuring Basic Setup 271
20.1 Configuring the Default Identity Injection Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 271
20.2 Configuring the IP Address, Port, and NAT . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 272
20.2.1 Configuring the SSL VPN Gateway without NAT. . . . . . . . . . . . . . . . . . . . . . . . . . . 272
20.2.2 Configuring the SSL VPN Gateway behind NAT . . . . . . . . . . . . . . . . . . . . . . . . . . . 274
20.3 Configuring DNS Servers for the Kiosk Mode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 275
20.3.1 Configuring DNS Servers During Installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 275
20.3.2 Configuring DNS Servers After the Installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . 275
20.4 Additional Configuration for Enterprise Mode. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 276
20.4.1 Configuring Routes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 276
20.4.2 Configuring DNS Servers for the Enterprise Mode . . . . . . . . . . . . . . . . . . . . . . . . . 277
21 Controlling Access 279
21.1 Configuring Traffic Policies. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 279
21.2 Configuring Client Integrity Check Policy to Protect the Internal Network . . . . . . . . . . . . . . . 281
21.2.1 Overview of Client Integrity Check Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 281
21.2.2 Configuring the Client Integrity Check Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 282
22 Managing Server Settings 285
22.1 Advanced Configuration Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 285
22.1.1 Configuring SSL VPN to Download the Applet on Internet Explorer . . . . . . . . . . . . 285
22.1.2 Configuring Full Tunneling for the Kiosk Mode . . . . . . . . . . . . . . . . . . . . . . . . . . . . 286
22.1.3 Creating DH Certificates with Different Key Sizes . . . . . . . . . . . . . . . . . . . . . . . . . . 286
22.2 Configuring Load Balancing and Fault Tolerance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 287
22.2.1 Configuring Load Balancing Through the Access Gateway. . . . . . . . . . . . . . . . . . . 287
22.2.2 Configuring Load Balancing Through Servlets. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 289
22.3 Configuring Certificate Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 290
22.3.1 Adding Certificates to the SSL VPN Keystore . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 290
22.3.2 Adding Trusted Roots for SSL VPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 291
22.4 Modifying SSL VPN Server Details . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 291
22.5 Moving the SSL VPN Server to a Different Administration Console. . . . . . . . . . . . . . . . . . . . 292
23 Configuring SSL VPN for Citrix Clients 295
23.1 Prerequisites. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 296
23.2 Configuring the Access Gateway for Citrix Clients . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 296
Contents 11
novdocx (en) 11 December 2007
Part V Security and Certificate Management 299
24 Understanding How Access Manager Uses Certificates 301
25 Managing Certificates 303
25.1 Creating Certificates . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 303
25.1.1 Creating a Locally Signed Certificate . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 304
25.1.2 Generating a Certificate Signing Request . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 309
25.1.3 Importing a Signed Certificate . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 310
25.2 Auto-Importing Certificates from Servers. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 310
25.3 Importing a Private/Public Key Pair . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 311
25.4 Exporting a Private/Public Key Pair . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 311
25.5 Importing Public Key Certificates (Trusted Roots). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 312
25.6 Renewing a Certificate. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 312
25.7 Exporting a Public Certificate. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 313
25.8 Enabling 4096k Keys . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 313
25.8.1 Understanding Jurisdiction Policy Files . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 314
25.8.2 Downloading JCE Files . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 314
25.8.3 Copying the Files to the Components . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 314
25.8.4 Enabling 4k Support Deployment . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 315
25.8.5 Verifying 4k Key Support. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 316
26 Assigning Certificates to Access Manager Devices 319
26.1 Importing a Trusted Root to the LDAP User Store. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 319
26.2 Replacing Identity Server SSL Certificates . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 321
26.3 Assigning Certificates to an Access Gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 322
26.4 Assigning Certificates to J2EE Agents . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 322
26.5 Configuring SSL for Authentication between the Identity Server and Access Gateway . . . . 323
26.6 Changing a Non-Secure (HTTP) Environment to a Secure (HTTPS) Environment. . . . . . . . 323
26.7 Creating Keystores and Trust Stores. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 323
26.8 Reviewing the Command Status for Certificates . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 325
Part VI Policy Management 327
27 Managing Policies 329
27.1 Selecting a Policy Type . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 329
27.2 Policy Performance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 330
27.3 Managing Policy Containers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 330
27.4 Managing Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 331
27.4.1 Creating Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 331
27.4.2 Deleting Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 331
27.4.3 Sorting Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 331
27.4.4 Importing and Exporting Policies. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 332
27.5 Managing a Rule List . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 332
27.5.1 Rule Evaluation for Role Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 332
27.5.2 Rule Evaluation for Authorization Policies. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333
27.5.3 Rule Evaluation for Identity Injection and Form Fill Policies . . . . . . . . . . . . . . . . . . 333
27.6 Enabling Policy Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333
12 Novell Access Manager 3.0 SP1 Administration Guide
novdocx (en) 11 December 2007
28 Creating Role Policies 335
28.1 Understanding RBAC in Access Manager . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 335
28.1.1 Assigning all Authenticated Users to a Role . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 336
28.1.2 Using a Role to Create an Authentication Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . 336
28.1.3 Using Prioritized Rules in an Authorization Policy . . . . . . . . . . . . . . . . . . . . . . . . . . 338
28.2 Creating Roles . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 338
28.2.1 Selecting Conditions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 339
28.2.2 Selecting an Action . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 342
28.2.3 Reviewing the Rules . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 342
28.2.4 Example Role Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 343
28.3 Creating Access Manager Roles from an Existing Role-Based Policy System . . . . . . . . . . . 347
28.3.1 Creating a Role Using an LDAP Attribute . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 348
28.3.2 Creating a Role Using the Location of the User Objects . . . . . . . . . . . . . . . . . . . . . 349
28.3.3 Creating a Role Using Role or Group Membership . . . . . . . . . . . . . . . . . . . . . . . . . 352
28.4 Mapping Roles between Trusted Providers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 354
28.5 Enabling and Disabling Role Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 355
28.6 Importing and Exporting Role Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 356
29 Creating Authorization Policies 357
29.1 Designing an Authorization Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 357
29.1.1 Controlling Access with a Deny Rule and a Negative Condition . . . . . . . . . . . . . . . 358
29.1.2 Configuring the Result on Condition Error Option . . . . . . . . . . . . . . . . . . . . . . . . . . 358
29.1.3 Many Rules or Many Conditions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 359
29.1.4 Controlling Access with Multiple Conditions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 359
29.1.5 Using Permit Rules with a Deny Rule . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 360
29.1.6 Using Deny Rules with a General Permit Rule . . . . . . . . . . . . . . . . . . . . . . . . . . . . 362
29.1.7 Public Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 363
29.1.8 General Design Principles . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 364
29.1.9 Assigning Policies to Resources . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 364
29.2 Creating Access Gateway Authorization Policies. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 364
29.2.1 The Process . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 364
29.2.2 Sample Policy Based on Organizational Rules . . . . . . . . . . . . . . . . . . . . . . . . . . . . 366
29.2.3 Sample Workflow Policy. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 369
29.3 Creating Web Authorization Policies for J2EE Agents . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 373
29.4 Creating Enterprise JavaBean Authorization Policies for J2EE Agents . . . . . . . . . . . . . . . . . 375
29.5 Conditions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 376
29.5.1 Authentication Contract Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 377
29.5.2 Client IP Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 379
29.5.3 Credential Profile Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 380
29.5.4 Current Date Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 382
29.5.5 Current Day of Week Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 383
29.5.6 Current Day of Month Condition. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 384
29.5.7 Current Time of Day Condition. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 385
29.5.8 HTTP Request Method Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 386
29.5.9 LDAP Attribute Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 387
29.5.10 Liberty User Profile Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 387
29.5.11 Roles for Current User Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 388
29.5.12 URL Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 389
29.5.13 URL Scheme Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 391
29.5.14 URL Host Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 392
29.5.15 URL Path Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 393
29.5.16 URL File Name Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 395
29.5.17 URL File Extension Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 396
29.5.18 X-Forward-For IP Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 397
29.6 Using Multiple Conditions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 398
Contents 13
novdocx (en) 11 December 2007
29.7 Importing and Exporting Authorization Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 400
30 Creating Identity Injection Policies 401
30.1 Designing an Identity Injection Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 401
30.2 Configuring an Identity Injection Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 402
30.3 Configuring an Authentication Header Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 403
30.4 Configuring a Custom Header Policy. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 406
30.5 Configuring a Custom Header with Tags. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 408
30.6 Specifying a Query String for Injection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 410
30.7 Injecting into the Cookie Header . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 412
30.8 Importing and Exporting Identity Injection Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 412
30.9 Sample Identity Injection Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 413
31 Creating Form Fill Policies 415
31.1 Understanding an HTML Form . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 415
31.2 Creating a Form Fill Policy for the Sample Form . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 418
31.3 Implementing Form Fill Policies. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 421
31.3.1 Designing a Form Fill Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 421
31.3.2 Creating a Form Fill Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 426
31.3.3 Creating a Login Failure Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 431
31.3.4 Troubleshooting a Form Fill Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 432
31.4 Creating and Managing Shared Secrets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 432
31.4.1 Local Shared Secrets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 432
31.4.2 Remote Shared Secret . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 434
31.5 Importing and Exporting Form Fill Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 434
Part VII Monitoring Access Manager Components 437
32 Enabling Auditing 439
32.1 Configuring Access Manager for Novell Auditing. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 440
32.1.1 Specifying the Logging Server and Events . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 440
32.1.2 Configuring the Platform Agent . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 441
32.1.3 Generating Queries . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 441
32.2 Enabling Identity Server Audit Events . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 442
32.3 Enabling Access Gateway Audit Events . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 444
32.4 Enabling SSL VPN Audit Events . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 445
32.5 Querying Data and Generating Reports in Novell Audit . . . . . . . . . . . . . . . . . . . . . . . . . . . . 446
32.5.1 The Novell Audit iManager Plug-in . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 446
32.5.2 Novell Audit Report . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 446
33 Configuring Logging 449
33.1 Understanding the Types of Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 449
33.1.1 Component Logging for Troubleshooting Configuration or Network Problems . . . . 449
33.1.2 Debug Trace Logging to Discover Software Problems . . . . . . . . . . . . . . . . . . . . . . 450
33.1.3 HTTP Transaction Logging for Proxy Services . . . . . . . . . . . . . . . . . . . . . . . . . . . . 450
33.2 Configuring Identity Server Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 450
33.2.1 Enabling Component Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 451
33.2.2 Downloading the Log Files . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 452
33.2.3 Managing Log File Size. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 455
33.3 Configuring Debug Trace Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 456
14 Novell Access Manager 3.0 SP1 Administration Guide
novdocx (en) 11 December 2007
33.4 Configuring Access Gateway Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 457
33.4.1 Determining Logging Requirements. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 457
33.4.2 Calculating Rollover Requirements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 458
33.4.3 Enabling Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 460
33.4.4 Configuring Common Log Options. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 461
33.4.5 Configuring Extended Log Options . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 463
33.4.6 Configuring Log Pushing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 466
33.4.7 Configuring the Size of the Log Partition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 468
34 Viewing Statistics 469
34.1 Monitoring Identity Server Statistics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 469
34.2 Monitoring Access Gateway Statistics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 470
34.2.1 Viewing Access Gateway Statistics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 470
34.2.2 Viewing Cluster Statistics. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 480
34.3 Viewing SSL VPN Statistics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 481
34.3.1 Viewing the Bytes Graphs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 482
35 Managing Server Health 485
35.1 Health States . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 485
35.2 Monitoring the Health of an Identity Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 486
35.3 Monitoring the Health of an Access Gateway. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 487
35.4 Viewing the Health of an Access Gateway Cluster . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 490
35.5 Monitoring the Health of an SSL VPN Server. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 491
36 Reviewing Command Status 493
36.1 Viewing the Command Status of the Identity Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 493
36.2 Viewing the Command Status of the Access Gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 494
36.2.1 Viewing the Status of Current Commands . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 494
36.2.2 Viewing Detailed Command Information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 495
36.3 Viewing Command Status of the SSL VPN Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 495
36.3.1 Viewing Command Information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 496
37 Reviewing Alerts 499
37.1 Monitoring Identity Server Alerts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 499
37.2 Monitoring Access Gateway Alerts. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 499
37.2.1 Reviewing Java Alerts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 499
37.2.2 Configuring Access Gateway Alerts. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 500
37.2.3 Enabling SNMP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 506
37.3 Monitoring SSL VPN Alerts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 508
Part VIII Troubleshooting 509
38 Troubleshooting the Administration Console 511
38.1 Logging. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 511
38.2 Error Codes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 511
38.3 Fixing a Failed Secondary Console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 511
38.4 Converting a Secondary Console into a Primary Console . . . . . . . . . . . . . . . . . . . . . . . . . . . 512
38.4.1 Shutting Down the Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 512
38.4.2 Changing the Master Replica. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 512
Contents 15
novdocx (en) 11 December 2007
38.4.3 Restoring CA Certificates . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 513
38.4.4 Deleting Objects from the eDirectory Configuration Store. . . . . . . . . . . . . . . . . . . . 513
38.4.5 Additional Procedures . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 513
38.5 Session Conflicts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 516
38.6 Unable to Log In to the Administration Console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 517
38.7 Exception Processing IdentityService_ServerPage.JSP . . . . . . . . . . . . . . . . . . . . . . . . . . . . 517
38.8 Backup/Restore Failure Because of Special Characters in Passwords. . . . . . . . . . . . . . . . . 517
39 Troubleshooting for the Identity Server and Authentication 519
39.1 Useful Networking Tools . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 519
39.2 Authentication . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 519
39.2.1 General Authentication Troubleshooting Tips . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 520
39.2.2 Slow Authentication. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 520
39.2.3 Basic Authentication Fails with an eDirectory User Store . . . . . . . . . . . . . . . . . . . . 520
39.2.4 Federation Errors . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 520
39.2.5 Mutual Authentication Troubleshooting Tips . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 521
39.2.6 Browser Hangs in an Authentication Redirect. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 521
39.2.7 Prompting Users to Refresh a Session before Expiration . . . . . . . . . . . . . . . . . . . . 521
39.3 Translating the Identity Server Configuration Port. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 523
39.4 Problems Reading Keystores after Identity Server Re-installation . . . . . . . . . . . . . . . . . . . . 524
39.5 Troubleshooting 10101043 and 10101044 Liberty Metadata Load Errors . . . . . . . . . . . . . . 524
40 Troubleshooting Access Manager Policies 525
40.1 Turning on Logging for Policy Evaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 525
40.2 Understanding Policy Evaluation Traces . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 526
40.2.1 Format . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 527
40.2.2 Policy Result Values . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 533
40.2.3 Role Assignment Traces . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 534
40.2.4 Identity Injection Traces . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 536
40.2.5 Authorization Traces . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 538
40.2.6 Form Fill Traces . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 540
40.3 Common Configuration Problems That Prevent a Policy from Being Applied as Expected . 546
40.3.1 Enabling Roles for Authorization Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 546
40.3.2 LDAP Attribute Condition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 546
40.3.3 Result on Condition Error Value . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 547
40.3.4 An External Secret Store and Form Fill. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 548
40.4 Policy Page Timeout . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 548
40.5 Policy Creation and Storage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 548
40.6 Policy Distribution . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 549
40.7 Policy Evaluation: Access Gateway Devices. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 549
40.7.1 Successful Policy Configuration Example . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 551
40.7.2 No Policy Defined Configuration Example . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 551
40.7.3 Deny Access Configuration/Evaluation Example . . . . . . . . . . . . . . . . . . . . . . . . . . 552
41 Troubleshooting the Access Gateway 555
41.1 Fixing Problems Common to Both Platforms. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 555
41.1.1 Troubleshooting HTTP 1.1 and GZIP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 555
41.1.2 Links Are Broken Because the Rewriter Sends the Request to the Wrong Proxy
Service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 556
41.1.3 Protected Resources Referencing Non-Existent Policies . . . . . . . . . . . . . . . . . . . . 557
41.1.4 Mismatched SSL Certificates in a Cluster of Access Gateways . . . . . . . . . . . . . . . 557
41.1.5 Protected Resource Configuration Changes Are Not Applied. . . . . . . . . . . . . . . . . 558
41.1.6 Recovering from a Hardware Failure on an Access Gateway Machine . . . . . . . . . 558
16 Novell Access Manager 3.0 SP1 Administration Guide
novdocx (en) 11 December 2007
41.1.7 Viewing Configuration Information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 558
41.2 Troubleshooting the Linux Access Gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 559
41.2.1 Useful Tools and Files for Troubleshooting the Linux Access Gateway . . . . . . . . . 559
41.2.2 Troubleshooting a Failed Linux Access Gateway Configuration . . . . . . . . . . . . . . . 564
41.2.3 Troubleshooting a Linux Access Gateway Crash . . . . . . . . . . . . . . . . . . . . . . . . . . 565
41.2.4 Linux Access Gateway Not Responding . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 568
41.2.5 Connection Details . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 569
41.2.6 Network Socket Issues. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 569
41.2.7 Authentication Issues . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 570
41.2.8 Rewriter Issues . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 572
41.2.9 COS Related Issues. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 573
41.2.10 Memory Issues. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 576
41.2.11 Authorization and Identity Injection Issues. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 577
41.2.12 Form Fill Issues . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 578
41.3 Troubleshooting the NetWare Access Gateway. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 579
41.3.1 Additional Options During the Boot Process . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 579
41.3.2 Unlocking the NetWare Access Gateway Console . . . . . . . . . . . . . . . . . . . . . . . . . 580
41.3.3 Setting the Date and Time at the Console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 580
41.3.4 Command Line Options . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 581
41.3.5 Telnet Fails after Performing an Upgrade . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 581
41.3.6 SSL Certificate Error with X.509 Authentication from NetWare Access Gateway . . 581
42 Troubleshooting the SSL VPN 583
42.1 Connecting Successfully to the Server. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 583
42.1.1 Connection Problems with Mozilla Firefox . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 584
42.1.2 Connection Problems with Internet Explorer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 585
42.2 TFTP Application Does Not Work in the Enterprise Mode . . . . . . . . . . . . . . . . . . . . . . . . . . . 585
42.3 SSL VPN Not Reporting . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 585
42.4 Verifying SSL VPN Components . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 586
42.4.1 On the SSL VPN Server. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 586
42.4.2 On the SSL VPN Linux Client . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 587
42.4.3 On the SSL VPN Windows Client . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 587
42.5 Issues With Keep Alive. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 587
42.6 Unable to Contact the SSL VPN Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 587
42.7 Unable to Get Authentication Headers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 587
42.8 The SSL VPN Connection Is Successful But There Is No Data Transfer. . . . . . . . . . . . . . . . 588
42.9 Unable to Connect to the SSL VPN Gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 588
43 Using the Log Files for Troubleshooting 589
43.1 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Enabling Logging589
43.1.1 Linux Access Gateway Logs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 589
43.2 Understanding Log Format. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 592
43.2.1 Understanding the Correlation Tags in the Log Files . . . . . . . . . . . . . . . . . . . . . . . . 594
43.2.2 Sample Scenario . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 596
43.3 Sample Authentication Traces . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 596
43.3.1 Direct Authentication Request to the Identity Server . . . . . . . . . . . . . . . . . . . . . . . . 596
43.3.2 Protected Resource Authentication Trace . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 599
44 Troubleshooting XML Validation Errors 603
44.1 Modifying a Configuration That References a Removed Object . . . . . . . . . . . . . . . . . . . . . . 603
44.2 Configuration UI Writes Incorrect Information to the Local Configuration Store. . . . . . . . . . . 605
Contents 17
novdocx (en) 11 December 2007
45 Troubleshooting Certificate Issues 611
45.1 Importing an External Certificate Keypair . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 611
45.2 Mutual SSL with X.509 Produces Untrusted Chain Messages . . . . . . . . . . . . . . . . . . . . . . . 611
45.3 Certificate Command Failure . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 612
45.4 Can’t Log In with Certificate Error Messages. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 612
45.5 When a User Accesses a Resource, the Browser Displays Certificate Errors . . . . . . . . . . . 612
Part IX Appendixes 613
A About Liberty 615
B Understanding How Access Manager Uses SAML 617
B.1 Attribute Mapping with Liberty . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 617
B.2 Trusted Provider Reference Metadata. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 618
B.3 Identity Federation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 618
B.4 Authorization Services . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 618
B.5 What's New in SAML 2.0? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 618
B.6 Identity Provider Process Flow . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 619
B.7 SAML Service Provider Process Flow . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 620
C Certificates Terminology 623
D Data Model Extension XML 625
D.1 Elements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 625
D.2 Writing Data Model Extension XML . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 628
E Logging: Using the Custom Content Filter 631
E.1 Custom Content Filter XML Syntax . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 631
E.2 Examples of Custom Content Filter XML. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 632
E.2.1 Example One. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 632
E.2.2 Example Two. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 633
E.2.3 Example Three . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 634
E.3 Custom Content Filter Thread Identifiers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 635
F Authentication Classes and Duplicate Common Names 637
G Access Manager Audit Events and Data 639
G.1 NIDS: Sent a Federate Request (002e0001). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 641
G.2 NIDS: Received a Federate Request (002e0002) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 642
G.3 NIDS: Sent a Defederate Request (002e0003) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 642
G.4 NIDS: Received a Defederate Request (002e0004) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 643
G.5 NIDS: Sent a Register Name Request (002e0005) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 643
G.6 NIDS: Received a Register Name Request (002e0006) . . . . . . . . . . . . . . . . . . . . . . . . . . . . 644
G.7 NIDS: Logged Out an Authentication that Was Provided to a Remote Consumer
(002e0007) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 644
G.8 NIDS: Logged out a Local Authentication (002e0008) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 645
G.9 NIDS: Provided an Authentication to a Remote Consumer (002e0009) . . . . . . . . . . . . . . . . 646
18 Novell Access Manager 3.0 SP1 Administration Guide
novdocx (en) 11 December 2007
G.10 NIDS: User Session Was Authenticated (002e000a) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 646
G.11 NIDS: Failed to Provide an Authentication to a Remote Consumer (002e000b) . . . . . . . . . . 647
G.12 NIDS: User Session Authentication Failed (SAML Assertion) (002e000c). . . . . . . . . . . . . . . 647
G.13 NIDS: User Session Authentication Failed (Contract Execution) (002e000c) . . . . . . . . . . . . 648
G.14 NIDS: User Session Authentication Failed (Liberty SSO) (002e000c) . . . . . . . . . . . . . . . . . . 649
G.15 NIDS: User Session Authentication Failed (SAML2 SSO) (002e000c) . . . . . . . . . . . . . . . . . 649
G.16 NIDS: Received an Attribute Query Request (002e000d) . . . . . . . . . . . . . . . . . . . . . . . . . . . 650
G.17 NIDS: User Account Provisioned (002e000e) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 650
G.18 NIDS: Failed to Provision a User Account (002e000f) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 651
G.19 NIDS: Web Service Query (002e0010) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 651
G.20 NIDS: Web Service Query (IDSIS Service endpoint) (002e0010) . . . . . . . . . . . . . . . . . . . . . 652
G.21 NIDS: Web Service Query (WSC) (002e0010). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 653
G.22 NIDS: Web Service Modify (Discovery Service Endpoint) (002e0011) . . . . . . . . . . . . . . . . . 653
G.23 NIDS: Web Service Modify (IDSIS Service endpoint) (002e0011) . . . . . . . . . . . . . . . . . . . . . 654
G.24 NIDS: Web Service Modify (WSC) (002e0011) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 655
G.25 NIDS: Connection to User Store Replica Lost (002e0012) . . . . . . . . . . . . . . . . . . . . . . . . . . 655
G.26 NIDS: Connection to User Store Replica Reestablished (002e0013). . . . . . . . . . . . . . . . . . . 656
G.27 NIDS: Server Started (002e0014) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 656
G.28 NIDS: Server Stopped (002e0015). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 657
G.29 NIDS: Server Refreshed (002e0016) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 657
G.30 NIDS: Intruder Lockout (002e0017) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 658
G.31 NIDS: Severe Component Log Entry (002e0018) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 659
G.32 NIDS: Warning Component Log Entry (002e0019) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 659
G.33 NIDS: Roles PEP Configured (002e0300) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 660
G.34 Access Gateway: PEP Configured (002e0301) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 660
G.35 2EE Agent: Web Service Authorization PEP Configured (002e0305) . . . . . . . . . . . . . . . . . . 661
G.36 J2EE Agent: JACC Authorization PEP Configured (002e0306) . . . . . . . . . . . . . . . . . . . . . . . 661
G.37 Roles Assignment Policy Evaluation (002e0320). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 662
G.38 Access Gateway: Authorization Policy Evaluation (002e0321) . . . . . . . . . . . . . . . . . . . . . . . 662
G.39 Access Gateway: Form Fill Policy Evaluation (002e0322) . . . . . . . . . . . . . . . . . . . . . . . . . . . 663
G.40 Access Gateway: Identity Injection Policy Evaluation (002e0323) . . . . . . . . . . . . . . . . . . . . . 663
G.41 J2EE Agent: Web Service Authorization Policy Evaluation (002e0324) . . . . . . . . . . . . . . . . 664
G.42 J2EE Agent: Web Service SSL Required Policy Evaluation (002e0325) . . . . . . . . . . . . . . . . 665
G.43 J2EE Agent: Startup (002e0401) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 665
G.44 J2EE Agent: Shutdown (002e0402) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 666
G.45 J2EE Agent: Reconfigure (002e0403) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 666
G.46 J2EE Agent: Authentication Successful (002e0404) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 667
G.47 J2EE Agent: Authentication Failed (002e0405) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 667
G.48 J2EE Agent: Web Resource Access Allowed (002e0406) . . . . . . . . . . . . . . . . . . . . . . . . . . . 668
G.49 J2EE Agent: Clear Text Access Allowed (002e0407) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 668
G.50 J2EE Agent: Clear Text Access Denied (002e0408) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 669
G.51 J2EE Agent: Web Resource Access Denied (002e0409) . . . . . . . . . . . . . . . . . . . . . . . . . . . 670
G.52 J2EE Agent: EJB Access Allowed (002e040a) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 670
G.53 J2EE Agent: EJB Access Denied (002e040b) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 671
G.54 Access Gateway: Access Allowed (0x002e0504) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 671
G.55 Access Gateway: Access Denied (0x002e0505) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 672
G.56 Access Gateway: URL Not Found (0x002e0508). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 673
G.57 Access Gateway: System Started (0x002e0509) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 674
G.58 Access Gateway: System Shutdown (0x002e050a). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 674
G.59 Access Gateway: Identity Injection Parameters (0x002e050c) . . . . . . . . . . . . . . . . . . . . . . . 675
G.60 Access Gateway: Identity Injection Failed (0x002e050d). . . . . . . . . . . . . . . . . . . . . . . . . . . . 676
G.61 Access Gateway: Form Fill Authentication (0x002e050e) . . . . . . . . . . . . . . . . . . . . . . . . . . . 676
Contents 19
novdocx (en) 11 December 2007
G.62 Access Gateway: Form Fill Authentication Failed (0x002e050f) . . . . . . . . . . . . . . . . . . . . . . 677
G.63 Access Gateway: URL Accessed (0x002e0512) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 678
G.64 Access Gateway: IP Access Attempted (0x002e0513) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 679
G.65 Management Communication Channel: Health Change (0x002e0601) . . . . . . . . . . . . . . . . 679
G.66 Management Communication Channel: Device Imported (0x002e0602) . . . . . . . . . . . . . . . 680
G.67 Management Communication Channel: Device Deleted (0x002e0603) . . . . . . . . . . . . . . . . 681
G.68 Management Communication Channel: Device Configuration Changed (0x002e0604) . . . . 681
G.69 Management Communication Channel: Device Alert (0x002e0605) . . . . . . . . . . . . . . . . . . . 682
20 Novell Access Manager 3.0 SP1 Administration Guide
novdocx (en) 11 December 2007
/
