2.1 OpenText Identity Console CE 24.4 (v1.9) installieren
2.1.3 OpenText Identity Console als Docker-Container installieren
Dieser Abschnitt beschreibt die folgenden Prozeduren:
Sicherheitsempfehlungen
-
Docker-Container haben standardmäßig keine Ressourcenbeschränkungen. Jeder Container verfügt daher über Zugriff auf alle CPU- und Arbeitsspeicherressourcen, die vom Kernel des Hosts bereitgestellt werden. Beschränken Sie die Menge der Ressourcen, die von einem Container verwendet werden kann, um zu verhindern, dass ein ausgeführter Container zu viele Ressourcen verbraucht und für andere ausgeführte Container dann nicht mehr genügend Ressourcen verfügbar sind.
-
Stellen Sie sicher, dass Sie ein Hardlimit für die vom Docker-Container verwendeten Arbeitsspeicherressourcen festlegen. Verwenden Sie hierzu die Flagge --memory im Befehl „docker run“.
-
Stellen Sie sicher, dass Sie die von einem ausgeführten Docker-Container verwendeten CPU-Ressourcen beschränken. Verwenden Sie hierzu die Flagge --cpuset-cpus im Befehl „docker run“.
-
-
--pids-limit sollte auf 300 festgelegt werden, um die Anzahl der zu einem bestimmten Zeitpunkt im Container entstehenden Kernel-Threads zu begrenzen. Dies dient dem Verhindern von DoS-Angriffen.
-
Legen Sie die Richtlinie zum Neustart von Containern nach einem Fehler im Befehl „docker run“ mit der Flagge --restart auf 5 fest.
-
Verwenden Sie den Container nur, wenn nach dem Starten des Containers der Zustand (Fehlerfrei) angezeigt wird. Führen Sie den folgenden Befehl aus, um den Zustand des Containers zu überprüfen:
docker ps <container_name/ID> -
Der Docker-Container wird immer als Nicht-Root-Benutzer (nds) gestartet. Aktivieren Sie als zusätzliche Sicherheitsmaßnahme die Neuzuordnung der Benutzer-Namespaces auf dem Daemon, um Rechteausweitungsangriffe aus dem Container heraus zu verhindern. Weitere Informationen zur Neuzuordnung von Benutzer-Namespaces finden Sie unter Isolate containers with a user namespace (Container mit einem Benutzer-Namespace isolieren).
OpenText Identity Console als Docker-Container installieren
HINWEIS:OpenText Identity Console kann mit oder ohne OSP konfiguriert werden. Wenn Sie eine Konfiguration mit OSP wünschen, müssen Sie zuerst den OSP-Container bereitstellen und dann den OpenText Identity Console-Container. Stellen Sie sicher, dass Sie die Datei edirapi.conf so ändern, dass die gewünschten Werte für die Bereitstellung enthalten sind.
So installieren Sie OpenText Identity Console als Docker-Container:
Die in diesem Verfahren genannten Konfigurationsparameter, Beispielwerte und Beispiele sind nur als Referenz gedacht. Verwenden Sie diese Werte nicht direkt in Ihrer Produktionsumgebung.
-
Melden Sie sich im Portal für Softwarelizenzen und -downloads an und navigieren Sie zur Seite für die Softwaredownloads.
-
Wählen Sie Folgendes aus:
-
Produkt: OpenText eDirectory
-
Produktname: OpenText eDirectory per User Sub SW E-LTU
-
Version: 9.2, 9.3
-
-
Laden Sie die Datei IdentityConsole_<Version>_Container.tar.zip herunter.
-
Das Image muss in die lokale Docker-Registrierung geladen werden. Extrahieren und laden Sie die Datei IdentityConsole_<Version>_Containers.tar.gz mit den folgenden Befehlen:
tar -xvf IdentityConsole_version_Containers.tar.gz
docker load --input identityconsole.tar.gz
-
Erstellen Sie mit folgendem Befehl den OpenText Identity Console-Docker-Container:
docker create --name identityconsole-container-name --env ACCEPT_EULA=Y --network=network-type --volume volume-name:/config/ identityconsole:version
Beispiel:
docker create --name identityconsole-container-1 --env ACCEPT_EULA=Y --network=host --volume IDConsole-volume:/config/ identityconsole:version
HINWEIS:
-
Setzen Sie die Umgebungsvariable ACCEPT_EULA auf „Y“, um die Endbenutzer-Lizenzvereinbarung zu akzeptieren. Sie können die Endbenutzer-Lizenzvereinbarung auch über die Aufforderung auf dem Bildschirm beim Starten des Containers akzeptieren, indem Sie im Docker-Befehl „create“ die Option -it für den interaktiven Modus verwenden.
-
Der Parameter --volume im obigen Befehl erstellt ein Volume zum Speichern von Konfigurations- und Protokolldaten. In diesem Beispiel wird ein Volume mit dem Namen IDConsole-volume erstellt.
-
-
Kopieren Sie die Serverzertifikatdatei mit folgendem Befehl vom lokalen Dateisystem als /etc/opt/novell/eDirAPI/cert/keys.pfx zum Container. Weitere Informationen zum Erstellen des Serverzertifikats finden Sie unter Voraussetzungen:
docker cp <absolute path of server certificate file> <identityconsole-container-name>:/etc/opt/novell/eDirAPI/cert/keys.pfx
Beispiel:
docker cp /home/user/keys.pfx identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/keys.pfx
Wenn Sie eine Verbindung zu mehreren OpenText eDirectory-Bäumen herstellen, müssen Sie sicherstellen, dass mindestens ein keys.pfx-Serverzertifikat für alle verbundenen Bäume abgerufen wird.
-
Kopieren Sie die ZS-Zertifikatdatei (.pem) mit folgendem Befehl vom lokalen Dateisystem als /etc/opt/novell/eDirAPI/cert/SSCert.pem zum Container. Weitere Informationen zum Erhalt des Zertifizierungsstellenzertifikats finden Sie unter Voraussetzungen:
docker cp absolute path of CA certificate file identityconsole-container-name:/etc/opt/novell/eDirAPI/cert/SSCert.pem
Beispiel:
docker cp /home/user/SSCert.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert.pem
Wenn der Benutzer eine Verbindung zu mehreren OpenText eDirectory-Bäumen herstellen muss, lesen Sie den Abschnitt: Verwendung mehrerer Bäume mit OpenText Identity Console als Docker.
-
Je nachdem, ob Sie OpenText Identity Console mit oder ohne OSP konfigurieren möchten, ändern Sie die Konfigurationsdatei edirapi.conf nach Bedarf. Verwenden Sie dann den folgenden Befehl, um sie von Ihrem lokalen Dateisystem in den Container unter /etc/opt/novell/eDirAPI/conf/edirapi.conf zu kopieren:
docker cp absolute path of configuration file identityconsole-container-name:/etc/opt/novell/eDirAPI/conf/edirapi.conf
Beispiel:
docker cp /home/user/edirapi.conf identityconsole-container-1:/etc/opt/novell/eDirAPI/conf/edirapi.conf
Eine Beispiel-Konfigurationsdatei (OpenText Identity Console 1.9 und höher) wird unten angezeigt:
listen = ":9000" pfxpassword = "novell" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=false auto-fetch=false
Eine Beispiel-Konfigurationsdatei (Identity Console 1.8 und früher) wird unten angezeigt:
listen = ":9000" pfxpassword = "novell" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=false edir-hosts = "<ip_address>:636"
HINWEIS:Um über OpenText Identity Console auf OpenText eDirectory zuzugreifen, müssen Sie die Datei edu-Hosts=„x.x.x.x:ldaps_Port“ in die Datei eedirapi.conf eingeben.
Beispiel: edir-hosts="10.10.10.10:636"
Wenn Sie auto-fetch=true festlegen, muss das Zertifizierungsstellenzertifikat zunächst wie in Schritt 7 beschrieben in den Container kopiert werden. Danach wird das Zertifizierungsstellenzertifikat in nachfolgenden Anmeldesitzungen automatisch abgerufen.
Eine Beispielkonfigurationsdatei für die Konfiguration von OpenText Identity Console mit OSP wird unten angezeigt:
listen = ":9000" ldapserver = "10.71.39.15:636" ldapuser = "cn=admin,o=novell" ldappassword = "novell" pfxpassword = "novell" osp-token-endpoint = "https://<osp_ipaddress>:8543/osp/a/idm/auth/oauth2/getattributes" osp-authorize-url = "https://<osp_ipaddress>:8543/osp/a/idm/auth/oauth2/grant" osp-logout-url = "https://<osp_ipaddress>:8543/osp/a/idm/auth/app/logout" osp-redirect-url = "https://<identity_console_ipaddress>:9000/eDirAPI/v1/t/authcoderedirect" osp-client-id = "identityconsole" ospclientpass = "novell" ospcert = "/etc/opt/novell/eDirAPI/cert/SSCert.pem" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=true check-origin =true origin = "https://<identity_console_ipaddress>:9000"
-
Starten Sie den Docker-Container mit folgendem Befehl:
docker start identityconsole-container-name
Beispiel:
docker start identityconsole-container-1
HINWEIS:Im Verzeichnis /var/lib/docker/volumes/<Volumename>/_data/eDirAPI/var/log finden Sie die folgenden Protokolldateien:
-
edirapi.log – Diese Datei wird zur Protokollierung verschiedener Ereignisse in edirapi und von Problemen bei der Fehlersuche verwendet.
-
edirapi_audit.log – Diese Datei wird für die Protokollierung von Revisionsereignissen von edirapi verwendet. Die Protokolle folgen dem CEF-Revisionsformat.
-
container-startup.log – diese Datei wird zum Erfassen von Installationsprotokollen des Docker-Containers von OpenText Identity Console verwendet.
Verwendung mehrerer Bäume mit OpenText Identity Console als Docker
Um OpenText Identity Console 1.9 mit mehreren OpenText eDirectory-Bäumen zu verbinden, wenn der automatische Abruf deaktiviert ist, müssen Sie die ZS-Zertifikate aus allen OpenText eDirectory-Bäumen in das Verzeichnis /etc/opt/novell/eDirAPI/cert/ kopieren.
OpenText Identity Console 1.8 bietet dem Benutzer die Möglichkeit, eine Verbindung zu mehreren Bäumen herzustellen, indem für jeden Baum ein eigenes ZS-Zertifikat abgerufen wird.
Wenn Sie beispielsweise eine Verbindung zu drei OpenText eDirectory-Bäumen herstellen, müssen Sie alle drei ZS-Zertifikate in den Docker-Container kopieren:
docker cp /home/user/SSCert1.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert1.pem
docker cp /home/user/SSCert2.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert2.pem
docker cp /home/user/SSCert3.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert3.pem
Führen Sie die folgenden Befehle aus, um OpenText Identity Console neu zu starten:
docker restart <identityconsole-container-name>
Beispiel:
docker restart identityconsole-container-1
OSP-Container bereitstellen
Führen Sie zur Bereitstellung des OSP-Containers die folgenden Schritte aus:
-
Melden Sie sich im Portal für Softwarelizenzen und -downloads an und navigieren Sie zur Seite für die Softwaredownloads.
-
Wählen Sie Folgendes aus:
-
Produkt: OpenText eDirectory
-
Produktname: OpenText eDirectory per User Sub SW E-LTU
-
Version: 9.2
-
Eigenständige Version von OpenText Identity Console
-
-
Laden Sie die Datei IdentityConsole_<Version>_Containers_tar.zip herunter und extrahieren Sie sie.
-
Um OpenText Identity Console im OSP-Container zu installieren, ist ein Keystore (tomcat.ks) erforderlich.
Gehen Sie zum Generieren des Keystores folgendermaßen vor:
-
Erstellen Sie einen Ordner certs im Verzeichnis /opt/.
-
Führen Sie den folgenden Befehl aus, um einen Keystore (tomcat.ks) zu erstellen:
keytool -genkey -alias osp -keyalg RSA -storetype pkcs12 -keystore /opt/certs/tomcat.ks -validity 3650 -keysize 2048 -dname "CN=blr-osp48-demo.labs.blr.novell.com" -keypass novell -storepass novell
HINWEIS:Stellen Sie sicher, dass die IP-Adresse des Computers als CN-Name oder als vollständiger Hostname angegeben ist. Beispiel: CN=xx.xx.xx.xx
-
Führen Sie den folgenden Befehl aus, um einen Zertifizierungsantrag zu erstellen. Beispiel: cert.csr.
keytool -certreq -v -alias osp -file /opt/certs/cert.csr -keypass novell -keystore /opt/certs/tomcat.ks -storepass novell
-
Übergeben Sie wie nachfolgend beschrieben die erstellte Datei cert.csr an Identity Console und rufen Sie die Datei cert.der ab:
-
Starten Sie OpenText Identity Console als Administrator.
-
Klicken Sie auf (Zertifikatsverwaltung) > (Zertifikat ausstellen) und wählen Sie die Datei.
-
Gehen Sie zu (Spezifikationen zur Schlüsselnutzung) > (Schlüsseltyp) und wählen Sie das Optionsfeld (Benutzerdefiniert).
-
Klicken Sie auf (Schlüsselverwendung) und aktivieren Sie die folgenden Kontrollkästchen:
-
-
Klicken Sie auf (Zertifikatparameter) >
(Alternativer Antragstellername) > IP-Adresse des OSP-Servers oder Domänennamensystem-Name des OSP-Servers > (Weiter) > .Die Meldung wird angezeigt.
-
Klicken Sie auf .
-
Laden Sie das ausgestellte Zertifikat cert.der herunter und kopieren Sie es in /opt/certs/.
-
-
Kopieren Sie SSCert.der aus OpenText eDirectory zu /opt/certs
-
Führen Sie die folgenden Befehle aus, um das ZS-Zertifikat (SSCert.der) und das Serverzertifikat (cert.der) in den Keystore tomcat.ks zu importieren.
keytool -import -trustcacerts -alias root -keystore /opt/certs/tomcat.ks -file /opt/certs/SSCert.der -storepass novell -noprompt
keytool -import -alias osp -keystore /opt/certs/tomcat.ks -file /opt/certs/cert.der -storepass novell -noprompt
-
-
Erstellen Sie einen neuen Ordner mit dem Namen /data.
-
Kopieren Sie tomcat.ks aus /opt/certs und fügen Sie die Datei im Ordner data ein.
-
Kopieren Sie aus dem extrahierten OpenText Identity Console-Container-Build die Datei osp-edirapi-silent.properties in den Ordner data.
-
Bearbeiten Sie die Datei osp edirapi silent.properties gemäß Ihren Anforderungen. Ein Beispiel einer silent.properties-Datei wird unten gezeigt:
# Silent file for osp with edirapi ## Static contents Do not edit - starts INSTALL_OSP=true DOCKER_CONTAINER=y EDIRAPI_PROMPT_NEEDED=y UA_PROMPT_NEEDED=n SSPR_PROMPT_NEEDED=n RPT_PROMPT_NEEDED=n CUSTOM_OSP_CERTIFICATE=y ## Static contents Do not edit - ends # OSP Details SSO_SERVER_HOST=osp.example.com (osp confiugred serevr IP address) SSO_SERVER_SSL_PORT=8543 OSP_COMM_TOMCAT_KEYSTORE_FILE=/config/tomcat.ks OSP_COMM_TOMCAT_KEYSTORE_PWD=novell SSO_SERVICE_PWD=novell OSP_KEYSTORE_PWD=novell IDM_KEYSTORE_PWD=novell OSP_CUSTOM_NAME="Identity Console" USER_CONTAINER="o=novell" ADMIN_CONTAINER="o=novell" MASTER_KEYSTORE_PWD=novell # IDConsole Details IDCONSOLE_HOST=192.168.1.1 (IdentityConsole confiugred serevr IP address) IDCONSOLE_PORT=9000 EDIRAPI_TREENAME=ed913 (Tree name should be in lowercase) #If ENABLE_CUSTOM_CONTAINER_CREATION is set to y #ie., when you have user and admin container different from o=data # and they need to be created in eDir #then CUSTOM_CONTAINER_LDIF_PATH should be entered as well ENABLE_CUSTOM_CONTAINER_CREATION=n #ENABLE_CUSTOM_CONTAINER_CREATION=y #CUSTOM_CONTAINER_LDIF_PATH=/config/custom-osp.ldif # eDir Details ID_VAULT_HOST=192.168.1.1 (eDir/ID_Vault confiugred serevr IP address) ID_VAULT_LDAPS_PORT=636 ID_VAULT_ADMIN_LDAP="cn=admin,o=novell" ID_VAULT_PASSWORD=novell
HINWEIS:Um Platzprobleme bei der Verwendung der .properties-Datei für die Installation im Automatikmodus (DOS-Textdatei) zu vermeiden, müssen Sie die DOS-Textdatei mit dem Tool dos2unix in das UNIX-Format konvertieren. Führen Sie den folgenden Befehl aus, um die Textdatei von DOS-Zeilenenden in Unix-Zeilenenden zu konvertieren:
dos2unix <Dateiname>
Beispiel:
dos2unix beispieldatei
-
Führen Sie den folgenden Befehl aus, um das OSP-Image zu laden:
docker load --input osp.tar.gz
-
Stellen Sie den Container mit dem folgenden Befehl bereit:
docker run -d --name OSP_Container --network=host -e SILENT_INSTALL_FILE=/config/osp-edirapi-silent.properties -v /data:/config osp:<version>Beispiel:
docker run -d --name OSP_Container --network=host -e SILENT_INSTALL_FILE=/config/osp-edirapi-silent.properties -v /data:/config osp:6.6.6
HINWEIS:Installieren und konfigurieren Sie nach der Bereitstellung des OSP-Containers OpenText Identity Console mit den OSP-Serverdetails.
OpenText Identity Console als Docker-Container stoppen und neu starten
Führen Sie den folgenden Befehl aus, um zu stoppen:
docker stop identityconsole-container-name
Führen Sie den folgenden Befehl aus, um neu zu starten:
docker restart identityconsole-container-name
Führen Sie den folgenden Befehl aus, um zu starten:
docker start identityconsole-container-name
Datenpersistenz verwalten
Zusammen mit den OpenText Identity Console-Containern werden auch Volumes für die Datenpersistenz erstellt. Führen Sie die folgenden Schritte aus, um die Konfigurationsparameter eines alten Containers zu übernehmen, der diese Volumes verwendet:
-
Stoppen Sie den aktuellen Docker-Container mit dem folgenden Befehl:
docker stop identityconsole-container-name
Beispiel:
docker stop identityconsole-container-1
-
Erstellen Sie den zweiten Container mit den Anwendungsdaten des alten Containers, die im Docker-Volume (IDConsole-volume-1) gespeichert sind:
docker create --name identityconsole-container-name --network=host --volume IDConsole-volume-1:/config/ identityconsole:< version >
Beispiel:
docker create --name identityconsole-container-2 --network=host --volume IDConsole-volume-1:/config/ identityconsole:<version>
-
Starten Sie den zweiten Container mit folgendem Befehl:
docker start identityconsole-container-name
Beispiel:
docker start identityconsole-container-2
-
(Optional) Der erste Container kann mit dem folgenden Befehl entfernt werden:
docker rm identityconsole-container-name
Beispiel:
docker rm identityconsole-container-1
Serverzertifikat im Docker-Container ersetzen
Führen Sie die folgenden Schritte aus, um das Serverzertifikat im Docker-Container zu ersetzen:
-
Führen Sie den folgenden Befehl aus, um das neue Serverzertifikat an einen beliebigen Speicherort im Container zu kopieren.
Beispiel:
docker cp /path/to/new-keys.pfx <container_id/name>:/tmp/new-keys.pfx
-
Melden Sie sich mit dem folgenden Befehl beim Container an:
docker exec -it container_name bash
-
Führen Sie NLPCERT aus, um die Schlüssel als Pseudobenutzer zu speichern:
LD_LIBRARY_PATH=/opt/novell/lib64/:/opt/novell/eDirectory/lib64/:/opt/netiq/common/openssl/lib64/ /opt/novell/eDirAPI/sbin/nlpcert -i /tmp/new-keys.pfx -o /etc/opt/novell/eDirAPI/conf/ssl/private/cert.pem
-
Beenden Sie die Containerkonsole mit dem folgenden Befehl:
exit
-
Starten Sie den Container neu, indem Sie Folgendes eingeben:
docker restart container name
2.1.4 OpenText Identity Console in Azure Kubernetes Services installieren
Azure Kubernetes Service (AKS) ist ein verwalteter Kubernetes-Dienst, mit dem Sie Cluster installieren und verwalten können. Dieser Abschnitt beschreibt die folgenden Prozeduren:
OpenText Identity Console in AKS Cluster installieren
In diesem Abschnitt werden die folgenden Prozeduren zum Installieren von OpenText Identity Console in einem AKS-Cluster erläutert:
Azure Container Registry (ACR) erstellen
Azure Container Registry (ACR) ist eine Azure-basierte, private Registrierung für Docker-Container-Images.
Ausführlichere Schritte finden Sie im Abschnitt Create an Azure container registry using the Azure portal (Azure-Containerregistrierung mit dem Azure-Portal erstellen) unter „Create container registry – Portal“ (Containerregistrierung erstellen – Portal). Führen Sie ansonsten die folgenden Schritte aus, um eine Azure-Containerregistrierung (ACR) zu erstellen:
-
Melden Sie sich beim Azure-Portal an.
-
Wechseln Sie zu Create a resource > Containers > Container Registry (Ressource erstellen > Container > Containerregistrierung).
-
Geben Sie auf der Registerkarte (Basiseinstellungen) Werte für (Ressourcengruppe) und (Registrierungsname) an. Der Registrierungsname muss in Azure eindeutig sein und mindestens 5 und maximal 50 alphanumerische Zeichen enthalten.
Übernehmen Sie die Standardwerte für die verbleibenden Einstellungen.
-
Klicken Sie auf (Überprüfen und erstellen).
-
Klicken Sie auf (Erstellen).
-
Melden Sie sich bei der Azure-Befehlszeilenschnittstelle an und führen Sie den folgenden Befehl aus, um sich bei der Azure-Containerregistrierung anzumelden:.
az acr login --name registryname
Beispiel:
az acr login --name < idconsole >
-
Rufen Sie den Anmeldeserver der Azure-Containerregistrierung mit dem folgenden Befehl ab:
az acr show --name registryname --query loginServer --output table
Beispiel:
az acr show --name < idconsole > --query loginServer --output table
-
Versehen Sie das lokale Image von OpenText Identity Console mit dem folgenden Befehl mit einem Tag mit dem Namen des ACR-Anmeldeservers (registryname.azureacr.io):
docker tag idconsole-image <login server>/idconsole-image
Beispiel:
docker tag identityconsole:<version> registryname.azurecr.io/identityconsole:<version>
-
Verschieben Sie das mit Tag versehene Image in die Registrierung.
docker push <login server>/idconsole: <version>
Beispiel:
docker push registryname.azurecr.io/identityconsole:<version>
-
Rufen Sie die Liste der Images in der Registrierung mit dem folgenden Befehl ab:
az acr show --name registryname --query loginServer --output table
Kubernetes-Cluster festlegen
Erstellen Sie eine Kubernetes-Service-Ressource mithilfe des Azure-Portals oder der Befehlszeilenschnittstelle.
Ausführlichere Schritte zum Erstellen einer Kubernetes-Service-Ressource in Azure mit einem Knoten finden Sie unter Create an AKS Cluster (AKS-Cluster erstellen) in der Schnellanleitung Azure Quick Start.
HINWEIS:
-
Stellen Sie sicher, dass „Azure CNI“ als Netzwerk ausgewählt ist.
-
Wählen Sie das vorhandene virtuelle Netzwerk aus (in dem der OpenText eDirectory-Server im Teilnetz installiert ist).
-
Wählen Sie die vorhandene Containerregistrierung aus, in der das OpenText Identity Console-Image verfügbar ist.
Öffentliche IP-Adresse mit Standard-SKU erstellen
Eine öffentliche IP-Adressressource unter der Kubernetes-Clusterressourcengruppe fungiert als Lastausgleichs-IP für die Anwendung.
Ausführliche Anweisungen finden Sie unter Create a public IP address using the Azure portal (Erstellen einer öffentlichen IP-Adresse mithilfe des Azure-Portals) unter „Create public IP address – Portal“ (Erstellen einer öffentlichen IP-Adresse – Portal).
Cloud Shell einrichten und Verbindung mit dem Kubernetes-Cluster herstellen
Cloud Shell steht im Azure-Portal zur Verfügung und kann für alle Vorgänge verwendet werden.
Informationen zum Einrichten von Cloud Shell im Azure-Portal finden Sie im Abschnitt Start Cloud Shell (Cloud Shell starten) unter Bash – Quick Start (Bash – Kurzanleitung). Befolgen Sie alternativ die folgenden Schritte, um Cloud Shell einzurichten und eine Verbindung mit dem Kubernetes-Cluster herzustellen:
-
Klicken Sie im Azure-Portal auf die Schaltfläche
, um Cloud Shell zu öffnen.HINWEIS:Um einen Kubernetes-Cluster zu verwalten, verwenden Sie den Kubernetes-Befehlszeilenclient kubectl. kubectl ist bereits installiert, wenn Sie Azure Cloud Shell verwenden.
-
Konfigurieren Sie kubectl mit dem folgenden Befehl zum Herstellen einer Verbindung mit Ihrem Kubernetes-Cluster:
az aks get-credentials --resource-group "resource group name" --name "Kubernetes cluster name"
Beispiel:
az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
-
Überprüfen Sie die Liste der Clusterknoten mit dem folgenden Befehl:
kubectl get nodes
Anwendung bereitstellen
Zum Installieren von OpenText Identity Console können Sie die Beispieldateien idc-services.yaml, idc-statefulset.yaml, idc-storageclass.yaml und idc-pvc.yaml verwenden.
Sie können auch je nach Bedarf Ihre eigenen yaml-Dateien erstellen.
-
Erstellen Sie mit dem folgenden Befehl eine Speicherklassenressource:
kubectl apply -f <location of the YAML file>
Beispiel:
kubectl apply -f idc-storageclass.yaml
(Optional) Weitere Informationen zum dynamischen Erstellen und Verwenden eines persistenten Volumes mit einer Azure Files-Freigabe finden Sie unter Dynamically create and use a persistent volume with Azure Files in Azure Kubernetes Service (AKS) (Dynamisches Erstellen und Verwenden eines persistenten Volumes mit Azure Files in Azure Kubernetes Service (AKS)).
Im Folgenden wird ein Beispiel für eine Speicherklassenressourcendatei gezeigt:
kind: StorageClass apiVersion: storage.k8s.io/v1 metadata: name: azurefilesc provisioner: kubernetes.io/azure-file mountOptions: - dir_mode=0777 - file_mode=0777 - uid=0 - gid=0 - mfsymlinks - cache=strict - actimeo=30 parameters: skuName: Standard_LRS shareName: fileshare ~
Eine Speicherklassenressource ermöglicht die dynamische Speicherbereitstellung. Sie definiert, wie eine Azure Files-Freigabe erstellt werden soll.
-
Mit dem folgenden Befehl können Sie die Details der Speicherklasse anzeigen:
kubectl get sc
-
Erstellen Sie eine PVC-Ressource mit der Datei idc-pvc.yaml:
kubectl apply -f <location of the YAML file>
Beispiel:
kubectl apply -f idc.pvc.yaml
Im Folgenden wird ein Beispiel für eine PVC-Ressourcendatei gezeigt:
apiVersion: v1 kind: PersistentVolumeClaim metadata: name: pvcforsc spec: accessModes: - ReadWriteMany storageClassName: azurefilesc resources: requests: storage: 5GiEine PVC-Ressource erstellt die Dateifreigabe. Eine Anforderung zur Bereitstellung eines persistenten Volumes (Persistent Volume Claim, PVC) verwendet das Speicherklassenobjekt, um dynamisch eine Azure Files-Freigabe bereitzustellen.
-
Laden Sie die Datei edirapi.conf, das ZS-Zertifikat und das Serverzertifikat zu Cloud Shell hoch.
Klicken Sie in Cloud Shell auf das Schaltflächensymbol
und laden Sie die Dateien edirapi.conf, SSCert.pem und keys.pfx hoch.HINWEIS:Die Datei „edirapi.conf“ hat einen Parameter mit dem Namen „origin“. Hier muss die IP-Adresse angegeben werden, mit der auf die OpenText Identity Console-Anwendung zugegriffen wird. (Verwenden Sie die im Abschnitt Öffentliche IP-Adresse mit Standard-SKU erstellen erstellte IP-Adresse.)
Für die Installation von OpenText Identity Console ist ein Serverzertifikat (keys.pfx) erforderlich.
Stellen Sie beim Erstellen des Serverzertifikats sicher, dass Sie im alternativen Antragstellernamen einen gültigen Domänennamensystem-Namen angeben.
Schritte zum Erstellen eines gültigen Domänennamensystem-Namens:
Ein typischer Pod, der mit StatefulSet bereitgestellt wird, hat einen Domänennamensystem-Namen, der sich wie folgt zusammensetzt: {StatefulSet-Name}-{Ordinalzahl}.{Servicename}.{Namespace}.svc.cluster.local
-
Wenn der StatefulSet-Name in der Datei „idconsole-statefulset.yaml“ „idconsole-app“ lautet, dann ist StatefulSet-Name = idconsole-app.
-
Wenn es sich um den ersten Pod handelt, ist „Ordinalzahl“ = 0.
-
Wenn Sie „serviceName“ in der Datei „idconsole-statefulset.yaml“ als „idconsole“ definieren, ist „Servicename“= idconsole.
-
Wenn der standardmäßige Namespace verwendet wird, ist „Namespace“=default.
Für dieses Beispiel lautet die Ausgabe für den Podnamen: idconsole-app-0.idcosole.default.svc.cluster.local
-
-
Erstellen Sie eine configmap-Ressource im Kubernetes-Cluster, in der die Konfigurationsdateien zusammen mit den Zertifikaten gespeichert werden.
Stellen Sie vor dem Ausführen des Befehls sicher, dass die Dateien (edirapi.conf, SSCert.pem und keys.pfx) im Verzeichnis vorhanden sind.
kubectl create configmap <confgimapName> --from-file= "path where the files are present"
Beispiel:
kubectl create configmap config-data --from-file=/data
-
Sie können die Details des configmap-Objekts mit dem Befehl „kubectl describe“·anzeigen:
kubectl describe configmap <configmapName>
Beispiel:
kubectl describe configmap confg-data
-
Erstellen Sie eine StatefulSet-Ressource zum Bereitstellen des Containers.
Führen Sie den folgenden Befehl aus, um den Container bereitzustellen:
kubectl apply -f <location of the YAML file>
Beispiel:
kubectl apply -f idc-statefulset.yaml
Im Folgenden wird ein Beispiel für eine StatefulSet-Ressourcendatei gezeigt:
apiVersion: apps/v1 kind: StatefulSet metadata: name: idconsole-app spec: serviceName: idconsole selector: matchLabels: app: idconsole replicas: 1 template: metadata: labels: app: idconsole spec: containers: - name: idconsole-container image: registryname.azurecr.io/identityconsole:<version> env: - name: ACCEPT_EULA value: "Y" ports: - containerPort: 9000 volumeMounts: - name: configfiles mountPath: /config/data - name: datapersistenceandlog mountPath: /config subPath: log volumes: - name: configfiles configMap: name: config-data - name: datapersistenceandlog persistentVolumeClaim: claimName: pvcforsc -
Führen Sie den folgenden Befehl aus, um den Status des bereitgestellten Pods zu überprüfen:
kubectl get pods -o wide
-
Erstellen Sie eine Service-Ressource vom Typ „loadBalancer“.
Der in der yaml-Datei angegebene Servicetyp ist „loadBalancer“.
Erstellen Sie eine Service-Ressource mit dem folgenden Befehl:
kubectl apply -f <location of the YAML file>
Beispiel:
kubectl apply -f ids-service.yaml
Im Folgenden wird ein Beispiel für eine Service-Ressourcendatei gezeigt:
apiVersion: v1 kind: Service metadata: name: idconsole-service labels: run: idconsole-service spec: type: LoadBalancer loadBalancerIP: xx.xx.xx.xx selector: app: idconsole ports: - port: 9000 targetPort: 9000 protocol: TCPÜberprüfen Sie die mit dem folgenden Befehl die externe IP-Adresse (oder die loadBalancer-IP-Adresse):
kubectl get svc -o wide
-
Rufen Sie die URL mit der externen IP-Adresse (oder der loadBalancer-IP-Adresse) auf.
Beispiel:
https://<EXTERNE IP-ADRESSE>:9000/identityconsole