34.4 Fehlersuche bei Problemen mit der Aufrüstung

Die nachfolgende Tabelle enthält die möglichen Probleme und Vorschläge für Gegenmaßnahmen. Falls das Problem weiterhin auftritt, wenden Sie sich an Ihren zuständigen OpenText-Ansprechpartner.

Problem	Empfohlene Vorgehensweise
Nach dem Upgrade von OpenText Identity Manager auf 24.4 (v4.10) funktioniert iManager nicht mehr, wenn es zusammen mit anderen Komponenten installiert wurde. Wenn Sie versuchen, eine zuvor installierte Version zu starten, zeigt iManager eine leere Seite an.	Installieren und verwenden Sie die Identity Console anstelle von iManager. Wenn Sie jedoch iManager nach dem Upgrade von OpenText Identity Manager auf Version 24.4 (v4.10) weiterhin verwenden möchten, stellen Sie Folgendes sicher: iManager ist auf einem Einzelserver installiert. Der Server verfügt über eine unterstützte Version von Java. Zum Beispiel iManager 3.2.6.0200 auf Java JDK 1.0.8 Update 342 in Identity Manager 4.8.6 Führen Sie die folgenden Schritte aus, um die alten Java-Dateien wiederzuverwenden: Erstellen Sie mit dem folgenden Kommando ein neues Verzeichnis: mkdir -p /opt/novell/iManager/java_iman Kopieren Sie die vorhandenen Java-Dateien von iManager in das neue Verzeichnis: cp -r /opt/netiq/common/jre/ /opt/novell/iManager/java_iman Führen Sie das folgende Kommando aus, um die Eigentumsrechte an dem neuen Verzeichnis zu ändern: chown -R novlwww:novlwww /opt/novell/iManager/java_iman Navigieren Sie zu /etc/opt/novell/tomcat9/ und aktualisieren Sie die Einträge JAVA_HOME und JRE_HOME mit dem neuen Java-Pfad in der Datei tomcat9.conf. Starten Sie Tomcat mit dem folgenden Kommentar neu: rcnovell-tomcat9 restart
Wenn Sie während des Upgrades der Identity Applications-Komponente zum Erstellen des Datenbankschemas die Option In Datei schreiben wählen, erstellt das Installationsprogramm die leeren Dateien databaseschema.sql und wfedatabaseschema.sql. Da diese Dateien leer sind, können Sie sie nach Abschluss des Upgrades nicht zum Erstellen von Datenbankschemata verwenden.	Laden Sie die entsprechende Datenbank-JAR-Datei für Ihre Identity Applications-Datenbank von einer Drittanbieter-Website auf Ihren Anwendungssserver herunter. Installieren Sie sie zusammen mit Identity Applications auf einem separaten System oder einem Server. Wenn das Installationsprogramm Sie während der Aktualisierung von Identity Applications auffordert, den Pfad für die JDBC-JAR-Datei der Identity Applications- und Workflow-Engine-Datenbank anzugeben, geben Sie den Speicherort der installierten Datenbank-JAR-Datei an.
Beim Upgrade von OpenText Identity Manager auf Version 24.4 (v4.10) auf einem Server mit RHEL 8.x oder RHEL 9.x (wobei x die in 4.10 unterstützte Version ist) kann OSP aufgrund eines Datenbankverbindungsproblems nicht gestartet werden. Dies geschieht in der Regel, wenn bei der Bereitstellung des OSP die Generierung des Zufallsschlüssels länger dauert als erwartet. Infolgedessen können auch die Tomcat-Dienste nicht gestartet werden.	Ändern Sie die folgenden Zeilen in der Datei java.security am Speicherort /opt/netiq/common/jre/conf/security und starten Sie Tomcat neu: HINWEIS:Bevor Sie die Behelfslösung anwenden, lesen Sie in der RHEL-Dokumentation nach, um weitere Informationen über Zufallszahlengeneratoren zu erhalten. Ersetzen Sie securerandom.source=file:/dev/random durch securerandom.source=file:/dev/./urandom Ersetzen Sie securerandom.strongAlgorithms=NativePRNGBlocking:SUN durch securerandom.strongAlgorithms=SHA1PRNG:SUN
Beim Aufrüsten der OpenText Identity Manager-Engine unter Open Enterprise Server (OES) 24.2 wird der folgende Fehler in idmupgrade.log gemeldet: [SEVERE]: Could not connect to the server Exception: Connect ErrorLDAPException: I/O Exception on host <IP_address>, port <port_number> Connect Error java.net.SocketException: Connection or outbound has closed	Ignorieren Sie diesen Fehler. Die Funktionsfähigkeit wird nicht eingeschränkt.
OpenText Identity Manager autorisiert und kommuniziert sicher mit seinen Komponenten über digitale Zertifikate. Die Zertifikate des Identitätsdepots müssen in die Schlüsselspeicher-Dateien idm.jks und tomcat.ks importiert werden. Wenn Sie jedoch versuchen, nach dem Import der Zertifikate auf Identity Applications zuzugreifen, kann die folgende Fehlermeldung auftreten: javax.net.ssl.SSLHandshakeException: PKIX-Pfadüberprüfung fehlgeschlagen: java.security.cert.CertPathValidatorException: Widerrufstatus konnte nicht ermittelt werden. Beim Validieren der Zertifikate werden die Zertifikatswiderruflisten (CRLs) überprüft, die durch das Feld CRL-Verteilungspunkt (CDP) angegeben sind. Dadurch wird festgelegt, ob das Zertifikat widerrufen wurde oder nicht. Die CRLDPs sind sowohl im Stammzertifikat als auch in den Zwischenzertifikaten verfügbar, die sich in den Keystore-Dateien tomcat.ks und idm.jks befinden. Die Überprüfung von Zertifikaten auf Widerruf ist jedoch standardmäßig deaktiviert. Infolgedessen ist der PKIX Trust Manager nicht in der Lage, den Widerrufstatus der Zertifikate zu ermitteln.	Zur Behebung dieses Problems aktivieren Sie die Überprüfung der CRL-Verteilungspunkte, indem Sie die Eigenschaft -Dcom.sun.security.enableCRLDP auf true festlegen. Gehen Sie zum Festlegen der Eigenschaft folgendermaßen vor: Halten Sie Tomcat an. Rufen Sie die Datei setenv.sh auf, die sich im bin-Verzeichnis von Tomcat befindet. Beispiel: /opt/netiq/idm/apps/tomcat/bin/setenv.sh. Fügen Sie in CATALINA_OPTS die Eigenschaft -Dcom.sun.security.enableCRLDP=true hinzu: export CATALINA_OPTS="-Dcom.sun.security.enableCRLDP=true" Starten Sie Tomcat.
Nach dem Aufrüsten von OpenText Identity Manager ist die Anmeldung beim OpenText Identity Manager-Dashboard für Benutzer, die keine Administratoren sind, extrem langsam. Das Laden der Anwendungen und der Dashboard-Seiten wird erheblich verzögert. Dieses Problem tritt aufgrund der verschachtelten Gruppensuche auf, die standardmäßig aktiviert ist. Die Anwendung sucht nach den Berechtigungen, die der angemeldete Benutzer über die verschachtelte Gruppenzugehörigkeit übernommen hat, unabhängig davon, ob es in der Umgebung verschachtelte Gruppen gibt.	(Bedingt) Die folgenden Schritte gelten für Identity Manager 4.9: Melden Sie sich bei dem Server an, auf dem Identity Applications auf die Version 4.9 aufgerüstet wurde. Navigieren Sie zum Speicherort /opt/netiq/idm/apps/tomcat/conf/. Öffnen Sie die Datei ism-configuration.properties in einem Texteditor. Fügen Sie am Ende der Datei folgende Eigenschaft hinzu: DirectoryService/realms/jndi/params/USE_NESTED_GROUPS=false Speichern Sie die Datei und starten Sie Tomcat neu.
Nachdem Sie Identity Applications von einer früheren Version auf die Version 4.10 aufgerüstet haben, funktioniert der Formular-Renderer nicht mehr wie erwartet. Dieses Problem tritt auf, wenn der Standardkontext für die Bereitstellung von IDMProv in einen benutzerdefinierten Kontext geändert wird.	Gehen Sie wie folgt vor, um dieses Problem zu umgehen: Melden Sie sich bei dem Server an, auf dem Identity Applications auf die Version 4.9 aufgerüstet wurde. Navigieren Sie zum Verzeichnis /opt/netiq/idm/apps/sites. Bearbeiten Sie die Datei ServiceRegistry.json. Ändern Sie den Bereitstellungskontext von IDMProv in den benutzerdefinierten Kontext, der vor dem Aufrüsten angegeben wurde. Bearbeiten Sie die Datei ServiceRegistry.json. Navigieren Sie zum Verzeichnis /opt/netiq/idm/apps/sites/forms/. Bearbeiten Sie die Datei main.<Version>.js, wobei <Version> den zufällig generierten alphanumerischen Wert bezeichnet. Ändern Sie den Bereitstellungskontext von IDMProv in den benutzerdefinierten Kontext, der vor dem Aufrüsten angegeben wurde. Speichern Sie die Datei main.<Version>.js. Starten Sie Tomcat neu.
Nach dem Aufrüsten von OpenText Identity Manager auf Version 4.10 in einer verteilten Umgebung schlägt die Anmeldung bei Identity Applications fehl. Die folgende Fehlermeldung wird angezeigt: Ihr Anmeldevorgang wurde nicht erfolgreich abgeschlossen. Die Anmeldung bei Identity Applications erfordert Vertrauensanker-Zertifikat für die Herstellung einer sicheren Verbindung zwischen den Identity Applications und dem OSP. Ein Vertrauensanker-Zertifikat muss die Basiseinschränkungserweiterung enthalten, wobei als Subjekttyp „CA“ festgelegt ist. OpenText Identity Manager verwendet die Eigenschaft jdk.security.allowNonCaAnchor, um die Vertrauensanker im Zertifikat zu validieren. Standardmäßig ist diese Eigenschaft auf false festgelegt. Wenn die Vertrauensanker in den Zertifikaten nicht gefunden werden, kann daher die Verbindung zwischen Identity Applications und OSP nicht hergestellt werden und die Anmeldung schlägt fehl. In der Datei idm-osp.log bemerken Sie die folgende Ausnahme: sun.security.validator.ValidatorException: TrustAnchor with subject "CN=*, L=, O=**" is not a CA certificate	Um dieses Problem zu lösen, müssen Sie eine der folgenden Bedingungen erfüllen: Stellen Sie sicher, dass es sich bei den Zertifikaten, die zum Aufbau einer sicheren Verbindung zwischen den Identity Applications und dem OSP verwendet werden, um verbürgte Zertifizierungsstellenzertifikate mit der entsprechenden Basiseinschränkungserweiterung handelt. Bei selbstsignierten und benutzerdefinierten Zertifikaten, denen die Clients vertrauen, können Sie die Eigenschaft jdk.security.allowNonCaAnchor ändern, um nicht von einer Zertifizierungsstelle stammende Zertifikate ohne die Basiseinschränkungserweiterung zuzulassen. Führen Sie die folgenden Aktionen durch, um die Java-Sicherheitseinstellungen zu ändern: Navigieren Sie zum Verzeichnis /opt/netiq/common/jre/lib/security/java.security. Legen Sie folgenden Eigenschaftswert fest: jdk.security.allowNonCaAnchor=true. Speichern Sie die Datei.
Nach dem Aufrüsten von Identity Applications auf Version 4.10 können Sie keine Formulare öffnen, während Sie im Identity Applications-Dashboard Berechtigungen anfordern.	Um dieses Problem zu beheben, starten Sie die NGNIX- und Golang-Dienste mit den folgenden Befehlen manuell neu: NGNIX: /opt/netiq/common/ngnix/ngnix Golang: /etc/init.d/netiq-golang.sh In Identity Applications wird der NGNIX-Dienst zum Rendern von Formularen im Identity Applications-Dashboard verwendet.
Nach dem Upgrade von Identity Reporting in einer Standard Edition wird der Parameter is_prov in Dateiconfigupdate.sh.properties auf true festgelegt. Da Identity Applications in einer Standard Edition nicht vorhanden ist, muss der Wert dieses Parameters auf false festgelegt werden.	Legen Sie den Parameter is_prov in Datei configupdate.sh.properties auf false fest.
Das Installationsprogramm für die OpenText Identity Manager-Engine kann nicht erneut ausgeführt werden, wenn das vorherige Upgrade der OpenText Identity Manager-Engine fehlgeschlagen ist. Wenn beispielsweise das Upgrade auf 4.9 für die OpenText Identity Manager-Engine beim ersten Versuch fehlschlägt und Sie erneut versuchen, die OpenText Identity Manager-Engine aufzurüsten, kann der Upgrade-Prozess nicht ausgelöst werden.	Führen Sie die folgenden Schritte aus: Führen Sie mit dem novell-DXMLengnx-RPM ein Downgrade der OpenText Identity Manager-Engine auf die vorherige Version durch. Rüsten Sie die OpenText Identity Manager-Engine auf.
Nach dem Aufrüsten von OpenText Identity Manager wird die folgende Eigenschaft der Datei ism-configuration.properties hinzugefügt: com.netiq.idm.osp.ldap.admin-dn = cn=admin,ou=sa,o=system	Kommentieren Sie die Eigenschaft in der Datei ism-configuration.properties aus und starten Sie Tomcat neu. Die Funktionsfähigkeit wird nicht eingeschränkt.
Nach dem Aufrüsten von OpenText Identity Manager wird die folgende SSPR-Eigenschaft der Datei ism-configuration.properties hinzugefügt, auch wenn SSPR in Ihrer Bereitstellung nicht enthalten ist: com.netiq.sspr.redirect.url = https://___SSPR_IP___:___SSPR_TOMCAT_HTTPS_PORT___/sspr/public/oauth	Kommentieren Sie die Eigenschaft in der Datei ism-configuration.properties aus und starten Sie Tomcat neu. Die Funktionsfähigkeit wird nicht eingeschränkt.
Nach dem Aufrüsten von OpenText Identity Manager füllt die Datei ism-configuration.properties einige doppelte Werte der Eigenschaft java.protocol.handler.pkgs auf.	Die Funktion bleibt jedoch intakt. Gehen Sie wie folgt vor, um dieses Problem zu beheben: Navigieren Sie zu der Datei ism-configuration.properties im Verzeichnis /opt/netiq/idm/apps/tomcat/conf. Ändern Sie die Datei ism-configuration.properties und entfernen Sie die doppelten Werte für die Eigenschaft java.protocol.handler.pkgs. Speichern Sie die Datei und starten Sie Tomcat neu.
Tomcat kann nach dem Aufrüsten von OpenText Identity Manager nicht gestartet werden. Sie stellen fest, dass die Tomcat-Protokolle einige Ausnahmen und einen Kommunikationsfehler zwischen der Workflow-Engine und dem Identitätsdepot enthalten.	Melden Sie sich bei der OpenText Identity Console an. Navigieren Sie zu Zertifikatsverwaltung > Server-Zertifikatsverwaltung. Aktivieren Sie das Kontrollkästchen SSL CertificateDNS und klicken Sie auf Exportieren. Wählen Sie in der Dropdown-Liste Zertifikate die Option SSL CertificateDNS aus. Deaktivieren Sie das Kontrollkästchen Privaten Schlüssel exportieren. Stellen Sie sicher, dass Exportformat auf DER festgelegt ist. Klicken Sie auf OK > Exportiertes Zertifikat speichern, um das Zertifikat auf Ihr System herunterzuladen. Melden Sie sich beim Identity Applications-Server an. Halten Sie Tomcat an. Navigieren Sie zum Verzeichnis opt/netiq/common/jre/bin und importieren Sie das Zertifikat mit dem folgenden Befehl in die Datei idm.jks: opt/netiq/common/jre/bin/keytool -import -trustcacerts -alias <Zertifikat-Aliasname> -keystore /opt/netiq/idm/apps/tomcat/conf/idm.jks -file <heruntergeladene Zertifikatdatei> Starten Sie Tomcat neu.