Accueil
Sécurisation
Cette section décrit les fonctions de sécurité, dont les listes de contrôle d'exécution, les ID et TLS.
Utilisation d'un magasin de données d'identification pour stocker des données d'identification
Un serveur Domino® peut utiliser une application de magasin de données d'identification comme référentiel d'artefacts sécurisés. Les exemples d'artefacts sécurisés incluent les données d'identification d'authentification et les clés de sécurité.
Déplacement d'un magasin de données d'identification dans un environnement en cluster
Lorsque vous ajoutez des serveurs à des clusters ou les supprimez lorsque des magasins de données d’identification sont utilisés, suivez les étapes qui s’appliquent à votre scénario pour vous assurer que le magasin de données d’identification continue de fonctionner.
Déplacement d'un magasin de données d'identification à un seul serveur vers un nouveau cluster
Procédez comme suit pour déplacer un serveur unique et son magasin de données d'identification vers un nouveau cluster et un magasin de données d'identification en cluster. Ces étapes supposent que le serveur avec le magasin de données d'identification que vous déplacez est le premier dans le nouveau cluster.

Sécurisation
Cette section décrit les fonctions de sécurité, dont les listes de contrôle d'exécution, les ID et TLS.
- Présentation de la sécurité Domino
  La configuration de la sécurité de votre organisation est une tâche essentielle. L'infrastructure de sécurité joue un rôle primordial dans la protection des ressources Domino de votre organisation. En tant qu'administrateur, vous devez analyser avec précision les exigences en matière de sécurité de votre organisation avant de configurer des serveurs Domino ou des utilisateurs Notes. Une planification efficace en amont prévient les risques générés par un système de sécurité défaillant.
- Accès aux serveurs pour les utilisateurs Notes®, les utilisateurs Internet et les serveurs Domino®
  Pour contrôler les accès des utilisateurs et des serveurs à d'autres serveurs, Domino® utilise les paramètres définis dans l'onglet Sécurité du document Serveur, ainsi que les règles de validation et d'authentification. Si un serveur valide et authentifie l'utilisateur Notes®, l'utilisateur Internet ou le serveur, et que les paramètres du document Serveur autorisent l'accès, l'utilisateur ou le serveur peuvent accéder au serveur.
- Liste de contrôle d'accès de base de données
  Chaque base de données possède une liste de contrôle d'accès (LCA) qui définit le niveau d'accès des utilisateurs et des serveurs à cette base. Bien que les noms des niveaux d'accès pour les utilisateurs et les serveurs soient identiques, ceux qui s'appliquent aux utilisateurs définissent des tâches qui leur sont spécifiques, tandis que ceux qui s'appliquent aux serveurs définissent le type d'informations de la base susceptible d'être répliqué par les serveurs. Seuls les utilisateurs bénéficiant de l'accès Gestionnaire peuvent créer ou modifier une LCA.
- ID du serveur Domino® et des utilisateurs Notes®
  Domino® fait appel à des fichiers ID pour identifier les utilisateurs et contrôler l'accès aux serveurs. Chaque serveur Domino, certificateur Notes® et utilisateur Notes doit disposer d'un ID.
- Liste de contrôle d'exécution
  La liste de contrôle d'exécution (LCE) permet de configurer la sécurité des données d'un poste de travail. Une LCE protège les postes de travail utilisateur du contenu actif de sources inconnues ou suspectes. Elle peut être configurée pour limiter l'action de tout contenu actif qui s'exécute sur les postes de travail.
- Domino® Autorité de certification sur serveur
  Vous pouvez configurer un certificateur Domino® qui utilise la tâche de serveur du processus d'AC, pour gérer et traiter les demandes de certificat. Le processus d'AC est exécuté sur les serveurs Domino utilisés pour émettre des certificats. Lorsque vous configurez un certificateur Notes® ou Internet, associez-le à un processus d'AC sur le serveur pour bénéficier des atouts de ce processus. Une seule instance du processus d'AC peut s'exécuter sur un serveur. Toutefois, le processus peut être lié à plusieurs certificateurs.
- Sécurité TLS
  Le protocole de sécurité TLS (Transport Layer Security) garantit la confidentialité et l'authentification des communications pour les tâches serveur Domino® fonctionnant sur TCP/IP.
- SSL et S/MIME pour les clients
  Les clients peuvent utiliser une AC (autorité de certification) Domino® ou une AC tierce pour obtenir des certificats sécurisant les communications TLS et S/MIME.
- Chiffrement
  Son rôle est de protéger les données en interdisant leur libre accès.
- Authentification par nom et mot de passe pour les clients Internet et intranet
  Egalement appelée authentification de base par mot de passe, l'authentification par nom/mot de passe s'appuie sur un protocole stimulation/réponse standard pour inviter les utilisateurs à entrer leur nom et mot de passe, puis vérifie l'exactitude de ces informations en les comparant à un hachage sécurisé du mot de passe enregistré dans les documents Personne de l'annuaire Domino®.
- Authentification par mot de passe unique basé sur le temps (TOTP)
  Lorsque les utilisateurs se connectent à un serveur Web Domino, vous pouvez demander à ce qu'ils fournissent des mots de passe uniques basés sur le temps en plus de leur noms d'utilisateur et de leurs mots de passe.
- Authentification liée à la session sur plusieurs serveurs (connexion unique)
  L'authentification sur plusieurs serveurs liée à la session, c'est-à-dire la connexion unique, permet aux utilisateurs Web de se connecter une fois à un serveur Domino® ou WebSphere®, puis d'accéder à n'importe quel autre serveur Domino ou WebSphere du même domaine DNS activé pour la connexion unique, sans avoir à se connecter de nouveau.
- Utilisation du langage SAML (Security Assertion Markup Language) pour configurer l'authentification d'identité fédérée
  L'identité fédérée est un moyen d'obtenir la connexion unique, fournissant un confort d'utilisation et permettant de réduire les coûts d'administration. Dans Domino® et Notes®, l'identité fédérée pour l'authentification utilisateur se sert du standard SAML (Security Assertion Markup Language) d'OASIS.
- Utilisation d'un magasin de données d'identification pour stocker des données d'identification
  Un serveur Domino® peut utiliser une application de magasin de données d'identification comme référentiel d'artefacts sécurisés. Les exemples d'artefacts sécurisés incluent les données d'identification d'authentification et les clés de sécurité.
  - Création de l'application de magasin de données d'identification sur un seul serveur Domino®
    Utilisez les commandes keymgmt de la console du serveur Domino® pour configurer le magasin de données d'identification pour une utilisation sur un seul serveur.
  - Création de l'application de magasin de données d'identification dans une grappe
    Utilisez des commandes keymgmt à partir de la console du serveur Domino® afin de configurer l'application de magasin de données d'identification (credstore.nsf) pour tous les serveurs d'une grappe.
  - Déplacement d'un magasin de données d'identification dans un environnement en cluster
    Lorsque vous ajoutez des serveurs à des clusters ou les supprimez lorsque des magasins de données d’identification sont utilisés, suivez les étapes qui s’appliquent à votre scénario pour vous assurer que le magasin de données d’identification continue de fonctionner.
    - Déplacement d'un magasin de données d'identification à un seul serveur vers un nouveau cluster
      Procédez comme suit pour déplacer un serveur unique et son magasin de données d'identification vers un nouveau cluster et un magasin de données d'identification en cluster. Ces étapes supposent que le serveur avec le magasin de données d'identification que vous déplacez est le premier dans le nouveau cluster.
    - Déplacement d'un magasin de données d'identification à un seul serveur vers un magasin de données d'identification en cluster existant
      Procédez comme suit pour déplacer un serveur et un magasin de données d'identification non clusterisés vers un cluster et un magasin de données d'identification existants.
    - Suppression d'un serveur d'un magasin de données d'identification en grappe et configuration avec un magasin de données d'identification à un seul serveur
      Procédez comme suit pour supprimer un serveur d'un cluster et d'un magasin de données d'identification en grappe, et le configurer en tant que serveur non clusterisé avec un nouveau magasin de données d'identification :
    - Déplacement d'un serveur en grappe et d'un magasin de données d'identification vers un nouveau cluster et un nouveau magasin de données d'identification
      Procédez comme suit pour déplacer un serveur en grappe et un magasin de données d'identification vers un nouveau cluster et un nouveau magasin de données d'identification. Ces étapes supposent que le serveur déplacé est le premier serveur du nouveau cluster.
    - Déplacement d'un serveur et d'un magasin de données d'identification d'un cluster vers un autre cluster existant
      Procédez comme suit pour déplacer un serveur et son magasin de données d'identification d'un cluster vers un autre cluster existant.
  - Déplacement du magasin de données d'identification à partir d'un serveur mis hors service vers un nouveau serveur
    Procédez comme suit lorsque vous mettez un serveur hors service et que vous souhaitez déplacer son magasin de données d'identification vers un autre serveur (cible) qui n'est pas en grappe.
- Historique des tailles de clés prises en charge dans Notes/Domino
  Cet article fournit des informations sur les tailles de clé RSA prise en charge par Notes® et Domino® depuis les versions précédentes jusqu'à la version actuelle.

Déplacement d'un magasin de données d'identification à un seul serveur vers un nouveau cluster

Procédez comme suit pour déplacer un serveur unique et son magasin de données d'identification vers un nouveau cluster et un magasin de données d'identification en cluster. Ces étapes supposent que le serveur avec le magasin de données d'identification que vous déplacez est le premier dans le nouveau cluster.

Procédure

Utilisez la commande de console serveur suivante pour exporter les données du magasin de données d'identification en cours vers une nouvelle base de données dans l'annuaire de travail du serveur :
```
 keymgmt export credstore <database> <local_server> 
```
où
- <database> est le nom d'une base de données créée pour stocker les données.
- <local_server> est le nom hiérarchique Notes du serveur.
Par exemple :
```
keymgmt export credstore credstorecopy.nsf hubserver/renovations 
```
Renommez le fichier credstore.nsf actuel. Par exemple, renommez-le en credstore_orig.nsf.
Modifiez le document Serveur afin de spécifier le nom du nouveau cluster, puis redémarrez le serveur.
Créez une clé de chiffrement nommée pour le nouveau magasin de données d'identification à créer pour le cluster :
```
 keymgmt create nek <nekname> 
```
Par exemple,
```
 keymgmt create nek credstorekey 
```
Utilisez la nouvelle clé pour créer un magasin de données d'identification sur le même serveur :
```
keymgmt create credstore <nekname>
```
Par exemple :
```
keymgmt create credstore credstorekey
```
Importez les données de la base de données que vous avez créée à l'étape 1 dans la nouvelle application du magasin de données d'identification.
```
keymgmt import credstore <database>
```
où <database> est le nom de la base de données. Par exemple :
```
keymgmt import credstore credstorecopy.nsf
```
Vérifiez que le nouveau fichier credstore.nsf contient tous les documents qui se trouvaient dans le magasin de données d'identification d'origine que vous avez renommé à l'étape 2. Vous pouvez ensuite supprimer le magasin de données d'identification d'origine renommé.
Configurez l'application de magasin de données d'identification sur les autres serveurs du cluster. Pour plus d'informations, voir l'étape 2 dans Création de l'application de magasin de données d'identification dans une grappe.