In diesem Abschnitt finden Sie schrittweise Anleitungen zum Installieren einer neuen Instanz der Identitätsanwendungen auf Tomcat und der anschließenden Konfiguration für ein Clustering.
Installieren Sie die Identity Manager 4.6-Engine. Schrittweise Anleitungen finden Sie unter Abschnitt 7.0, Planen der Installation des Identitätsdepots. Für eine Bereitstellung auf Produktionsebene empfiehl es sich, die Identity Manager-Engine auf einem separaten Server zu installieren.
Installieren Sie PostgreSQL über das beigelegte Installationsprogramm.
Identity Manager unterstützt PostgreSQL 9.4.10 unter SLES 11 SP4 sowie PostgreSQL 9.6.1 auf anderen unterstützten Plattformen.
Schrittweise Anleitungen finden Sie unter Abschnitt 28.0, Installieren von PostgreSQL und Tomcat. Für eine Bereitstellung auf Produktionsebene empfiehl es sich, PostgreSQL auf einem separaten Server zu installieren.
Erstellen Sie die folgenden Treiber und stellen Sie sie für die Identitätsanwendungen bereit:
Benutzeranwendungstreiber
Rollen- und Ressourcenservice-Treiber
Schrittweise Anleitungen finden Sie unter Abschnitt 38.0, Erstellen und Bereitstellen der Treiber für die Identitätsanwendungen.
Installieren Sie die folgenden Identity Manager-Komponenten auf Knoten1:
Tomcat
Installieren Sie Tomcat mit einem Installationsprogramm Ihrer Wahl und wählen Sie während des Installationsvorgangs nur Tomcat aus. Schrittweise Anleitungen finden Sie unter Abschnitt 28.0, Installieren von PostgreSQL und Tomcat.
OSP
Weitere Informationen zum Installieren des OSP finden Sie in Abschnitt 32.0, Installieren der Passwortverwaltung für Identity Manager.
Geben Sie während des Installationsvorgangs die IP-Adresse und Portnummer des Identity Manager-Engine(eDirectory)-Servers auf der Seite mit den Authentifizierungsdetails an.
Benutzeranwendung
Konfigurieren Sie die folgenden Einstellungen während des Installationsvorgangs:
Wählen Sie Tomcat als Anwendungsserver aus.
Wählen Sie PostgreSQL als Datenbankplattform aus.
HINWEIS:Es ist möglich, eine der von Identity Manager 4.6 unterstützten Datenbanken zu verwenden.
Geben Sie die erforderlichen Datenbankdetails auf den folgenden Seiten an.
Kopieren Sie die JAR-Datei mit dem Datenbanktreiber (postgresql-9.4.1212jdbc42.jar) vom PostgreSQL-Server auf alle Benutzeranwendungsknoten im Cluster.
HINWEIS:Wenn Sie andere von unterstützte Datenbanken wie Oracle oder SQL Server verwenden, müssen Sie die entsprechenden JAR-Dateien mit dem Treiber vom Server, auf dem die Datenbank installiert ist, auf alle Benutzeranwendungsknoten im Cluster kopieren. Weitere Informationen finden Sie unter Abschnitt 35.0, Konfigurieren der Datenbank für die Identitätsanwendungen.
Suchen Sie die kopierte JAR-Datei mit dem Datenbanktreiber und wählen Sie sie aus.
Wählen Sie in den Details der Seite „Neue Datenbank“ oder „Vorhandene Datenbank“ die Option Neue Datenbank aus.
Geben Sie auf der Seite „Identity Manager-Konfiguration“ einen eindeutigen Namen im Feld Workflow-Engine-ID an. Beispiel: Der eindeutige Name kann Engine1 für Knoten1 lauten.
Wählen Sie auf der Seite „Sicherheit – Master-Schlüssel die Option Nein aus, um einen neuen Master-Schlüssel zu erstellen.
Die Identitätsanwendungen verschlüsseln vertrauliche Daten mit einem Master-Schlüssel. Da es sich hierbei um die erste Instanz der Identitätsanwendungen in einem Cluster handelt, müssen Sie das Installationsprogramm anweisen, einen neuen Master-Schlüssel zu erstellen. Wählen Sie hierzu Nein aus. In einem Cluster muss für das Benutzeranwendungs-Clustering jede Instanz der Benutzeranwendung denselben Master-Schlüssel verwenden. Wählen Sie während der Konfiguration dieser Instanzen die Option Ja aus. Dadurch wird der vorhandene Schlüssel importiert und es wird immer derselbe Master-Schlüssel verwendet.
HINWEIS:Detaillierte Anweisungen und weitere Informationen zur Installation der Benutzeranwendung finden Sie in Abschnitt 37.0, Installieren der Identitätsanwendungen.
Führen Sie in Knoten2 die folgenden Schritte durch:
Installieren Sie Tomcat mit einem Installationsprogramm Ihrer Wahl (wählen Sie während des Installationsvorgangs nur Tomcat aus).
Schrittweise Anleitungen finden Sie unter Abschnitt 28.0, Installieren von PostgreSQL und Tomcat.
Installieren Sie OSP.
Weitere Informationen zur Installation von OSP finden Sie in Abschnitt 32.0, Installieren der Passwortverwaltung für Identity Manager.
Geben Sie während des Installationsvorgangs die IP-Adresse und Portnummer des Identity Manager-Engine(eDirectory)-Servers auf der Seite mit den Authentifizierungsdetails an.
Installieren Sie die Benutzeranwendung.
Konfigurieren Sie die folgenden Einstellungen während des Installationsvorgangs:
Wählen Sie Tomcat als Anwendungsserver aus.
Wählen Sie PostgreSQL als Datenbankplattform aus.
HINWEIS:Sie können eine beliebige unterstützte Datenbank verwenden.
Geben Sie auf den folgenden Seiten während des Installationsvorgangs die erforderlichen Datenbankdetails an.
Kopieren Sie die JAR-Datei mit dem Datenbanktreiber (postgresql-9.4.1212jdbc42.jar) vom PostgreSQL-Server auf Knoten2.
HINWEIS:Wenn Sie eine andere von Identity Manager 4.5.1 unterstützte Datenbank wie Oracle oder SQL Server verwenden, müssen Sie die entsprechenden JAR-Dateien mit dem Treiber vom Server, auf der die Datenbank installiert ist, auf alle Benutzeranwendungsknoten im Cluster kopieren. Weitere Informationen finden Sie unter Abschnitt 35.0, Konfigurieren der Datenbank für die Identitätsanwendungen.
Suchen Sie die kopierte JAR-Datei mit dem Datenbanktreiber und wählen Sie sie aus.
Wählen Sie in den Details der Seite „Neue Datenbank“ oder „Vorhandene Datenbank“ die Option Vorhandene Datenbank aus.
Geben Sie auf der Seite „Identity Manager-Konfiguration“ einen eindeutigen Namen im Feld Workflow-Engine-ID an. Beispiel: Der eindeutige Name kann Engine2 für Knoten2 lauten.
Wählen Sie zum Erstellen eines neuen Master-Schlüssels auf der Seite „Sicherheit – Master-Schlüssel“ die Option Ja aus.
Für das Benutzeranwendungs-Clustering muss jede Instanz der Benutzeranwendung denselben Master-Schlüssel verwenden. Wählen Sie die Option Ja aus. Dadurch wird der vorhandene Schlüssel importiert und es wird immer derselbe Master-Schlüssel verwendet. Dieser Schlüssel wird erstellt, wenn Sie die erste Instanz der Benutzeranwendung in Knoten1 installiert haben.
Der Master-Schlüssel befindet sich in der Datei mit den ISM-Konfigurationseigenschaften, die sich unter/TOMCAT_INSTALLED_HOME/conf/ in Knoten1 befindet. Der Parameter mit dem Master-Schlüssel lautet com.novell.idm.masterkey.
Klicken Sie auf Installieren, um die Installation abzuschließen.
HINWEIS:Detaillierte Informationen zum Installieren der Benutzeranwendung finden Sie in Abschnitt 37.0, Installieren der Identitätsanwendungen.
Installieren Sie SSPR auf einem separaten Computer.
Notieren Sie sich vor der Installation die folgenden Einstellungen und geben Sie diese während des Installationsvorgangs an:
Installieren Sie Tomcat. Installationsanleitungen finden Sie in Schritt 4a.
Installieren Sie SSPR.
Führen Sie während der SSPR-Installation die folgenden Schritte durch:
Wählen Sie auf der Seite „Anwendungsserver-Verbindung“ die Option Connect to external authentication server (Mit externem Authentifizierungsserver verbinden) und geben Sie den DNS-Namen des Servers an, auf dem der Lastausgleich installiert ist.
Geben Sie auf der Seite „Authentifizierungsdetails“ die IP-Adresse und den Port des Identity Manager-Engine-Servers an. Das Passwort für die Zertifikate der Zertifizierungsstelle lautet „changeit“.
Starten Sie Tomcat nach der Installation von SSPR. Starten Sie dann SSPR (http://<IP>:<Port>/sspr/private/config/ConfigEditor) und melden Sie sich an. Klicken Sie auf Konfigurationseditor > Einstellungen > Sicherheit > Whitelist-URL für die Umleitung.
Klicken Sie auf Wert hinzufügen und geben Sie die folgende URL an:
OSP: http://<DNS_für_Failover><Port>/osp
Speichern Sie die Änderungen.
Klicken Sie auf der Seite „SSPR-Konfiguration“ auf Einstellungen > OAuth-SSO und bearbeiten Sie die OSP-Links; ersetzen Sie dazu die IP-Adressen durch den DNS-Namen des Servers, auf dem die Lastausgleichsoftware installiert ist.
Klicken Sie auf Einstellungen > Anwendung und aktualisieren Sie die Weiterleitungs- und Abmeldungs-URLs; ersetzen Sie dazu die IP-Adressen durch den DNS-Namen des Servers, auf dem die Lastausgleichsoftware installiert ist.
Starten Sie zur Aktualisierung der SSPR-Informationen auf Knoten1 das Konfigurationsprogramm unter /opt/netiq/idm/apps/UserApplication/configupdate.sh.
Klicken Sie im Fenster, das sich nun öffnet, auf SSO-Clients > Self Service Password Reset und geben Sie die Werte für die Parameter Client-ID, Passwort und OSP Auth redirect URL (URL zur Umleitung der OSP-Authentifizierung) ein.
HINWEIS:Vergewissern Sie sich, dass die Werte für diese Parameter in Knoten2 aktualisiert werden.
Führen Sie die folgenden Konfigurationsaufgaben in den Clusterknoten durch:
Starten Sie Tomcat in allen Clusterknoten neu.
Melden Sie sich zur Aktualisierung des Links „Passwort vergessen“ mit der SSPR-IP-Adresse bei der Benutzeranwendung in Knoten1 an und klicken Sie auf Verwaltung > Passwort vergessen.
Weitere Informationen zur SSPR-Konfiguration finden Sie unter Abschnitt 39.6, Konfigurieren der „Passwort vergessen“-Verwaltung.
Weitere Informationen zum Link „Passwort ändern“ finden Sie in Abschnitt 39.6.4, Aktualisieren der SSPR-Links im Dashboard für eine dezentrale Umgebung oder eine Cluster-Umgebung.
Überprüfen Sie, ob die Links „Passwort vergessen“ und „Passwort ändern“ mit der SSPR-IP-Adresse in Knoten2 aktualisiert sind.
HINWEIS:Wenn die Links „Passwort vergessen“ und „Passwort ändern“ bereits mit der SSPR-IP-Adresse aktualisiert sind, brauchen Sie keine Änderungen vorzunehmen.
Stoppen Sie Tomcat in Knoten1 und generieren Sie eine neue osp.jks-Datei. Geben Sie dazu den DNS-Namen des Lastausgleichservers an und führen Sie den folgenden Befehl aus:
/opt/netiq/idm/jre/bin/keytool -genkey -keyalg RSA -keysize 2048 -keystore osp.jks -storepass <Passwort> -keypass <Passwort> -alias osp -validity 1800 -dname „cn=<IP/DNS_des_Lastausgleichprogramms>"
Beispiel: /opt/netiq/idm/jre/bin/keytool -genkey -keyalg RSA -keysize 2048 -keystore osp.jks -storepass changeit -keypass changeit -alias osp -validity 1800 -dname „cn=mydnsname"
HINWEIS:Das Schlüsselpasswort muss dasselbe sein wie das während der OSP-Installation angegebene Passwort. Alternativ kann dies auch mit dem Konfigurationsaktualisierungsprogramm und dem Keystore-Passwort geändert werden.
(Bedingt) Führen Sie folgenden Befehl aus, um zu überprüfen, ob die osp.jks-Datei mit den Änderungen aktualisiert wurde:
/opt/netiq/idm/jre/bin/keytool -list -v -keystore osp.jks -storepass changeit
Sichern Sie die ursprüngliche osp.jks-Datei, die sich unter /opt/netiq/idm/apps/osp_sspr/osp/ befindet, und kopieren Sie die neue osp.jks-Datei in diesen Speicherort. Die neue osp.jks-Datei wurde in Schritt 8 erstellt.
Kopieren Sie die neue osp.jks-Datei, die sich unter /opt/netiq/idm/apps/osp_sspr/osp/ befindet, von Knoten1 in alle anderen Benutzeranwendungsknoten im Cluster.
Starten Sie das Konfigurationsprogramm in Knoten1 und ändern Sie alle URL-Einstellungen wie den URL-Link zur Landeseite und die OAuth-Umleitungs-URL zum DNS-Namen des Lastausgleichprogramms auf der Registerkarte „SSO-Client“.
Speichern Sie die Änderungen im Konfigurationsprogramm.
Kopieren Sie Datei mit den ISM-Konfigurationseigenschaften unter /TOMCAT_INSTALLED_HOME/conf von Knoten1 in alle anderen Benutzeranwendungsknoten im Cluster.
HINWEIS:Sie haben die Datei ism.properties von Knoten1 in alle anderen Knoten im Cluster kopiert. Wenn Sie bei der Installation der Benutzeranwendung Pfade angegeben haben, müssen Sie dafür sorgen, dass die entsprechenden Pfade korrigiert werden; verwenden Sie dazu das Konfigurationsaktualisierungsprogramm in den Clusterknoten.
In diesem Szenario sind OSP und die Benutzeranwendung auf demselben Server installiert; daher wird für die Umleitungs-URLs derselbe DNS-Name verwendet.
Wenn OSP und Benutzeranwendung auf verschiedenen Servern installiert sind, müssen Sie die OSP-URLs zu einem anderen DNS-Namen ändern, der auf das Lastausgleichprogramm verweist. Wiederholen Sie dies für alle Server, auf denen OSP installiert ist. Dadurch werden alle OSP-Anforderungen über das Lastausgleichprogramm an den DNS-Namen des OSP-Clusters zugestellt. Dazu muss für OSP-Knoten ein separater Cluster vorhanden sein.
Führen Sie die folgenden Schritte in der Datei setenv.sh im Verzeichnis /TOMCAT_INSTALLED_HOME/bin/ durch:
Für ein erfolgreiches mcast_addr-Binding muss für JGroups die Eigenschaft preferIPv4Stack auf true festgelegt sein. Fügen Sie dazu die JVM-Eigenschaft “-Djava.net.preferIPv4Stack=true” in Datei setenv.sh in allen Knoten hinzu.
Fügen Sie der setenv.sh-Datei in Knoten1 "-Dcom.novell.afw.wf.Engine-id=Engine1” hinzu. Fügen Sie entsprechend einen eindeutigen Engine-Namen für jeden Knoten im Cluster hinzu. Beispiel: Für Knoten2 fügen Sie den Engine-Namen als Engine2 hinzu.
Aktivieren Sie das Clustering in der Benutzeranwendung.
Starten Sie Tomcat in Knoten1.
Starten Sie keine anderen Server.
Melden Sie sich bei der Benutzeranwendung als Administrator der Benutzeranwendung an.
Klicken Sie auf die Registerkarte Administration.
Die Benutzeranwendung zeigt das Portal zur Anwendungskonfiguration an.
Klicken Sie auf Caching.
Die Benutzeranwendung zeigt die Seite „Cache-Management“ an.
Wählen Sie True für die Eigenschaft Cluster aktiviert aus.
Klicken Sie auf Speichern.
Starten Sie Tomcat neu.
HINWEIS:Wenn Sie „Lokale Einstellungen aktivieren“ ausgewählt haben, wiederholen Sie diesen Vorgang für jeden Server im Cluster.
Der Benutzeranwendungscluster verwendet JGroups für die Cache-Synchronisierung in allen Knoten mit der Standard UDP. Falls Sie lieber TCP anstatt dieses Protokolls verwenden möchten, finden Sie die entsprechenden Anleitungen unter Konfigurieren der Benutzeranwendung zur Verwendung von TCP.
Aktivieren Sie den Berechtigungsindex für das Clustering.
Melden Sie sich bei iManager in Knoten1 an und navigieren Sie zu Objekte anzeigen.
Navigieren Sie unter System zum Treibersatz mit dem Benutzeranwendungstreiber.
Wählen Sie AppConfig > AppDefs > Konfiguration aus.
Wählen Sie das XMLData-Attribut aus, und legen Sie die Eigenschaft com.netiq.idm.cis.clustered auf true fest.
Beispiel:
<Eigenschaft>
<Schlüssel>com.netiq.idm.cis.clustered</Schlüssel>
<Wert>true</Wert>
</Eigenschaft>
Klicken Sie auf OK.
Aktivieren Sie den Tomcat-Cluster.
Öffnen Sie die Tomcat server.xml -Datei unter /TOMCAT_INSTALLED_HOME/conf/ und kommentieren Sie diese Zeile in dieser Datei in allen Clusterknoten aus:
<Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster"/>
Befolgen Sie für die erweiterte Tomcat-Clustering-Konfiguration die Schritte unter https://tomcat.apache.org/tomcat-7.0-doc/cluster-howto.html.
Starten Sie Tomcat in allen Knoten neu.
Konfigurieren Sie den Benutzeranwendungstreiber für das Clustering.
In einem Cluster muss der Benutzeranwendungstreiber so konfiguriert sein, dass er den DNS-Namen des lokalen Lastausgleichprogramms für den Cluster verwendet. Sie konfigurieren den Benutzeranwendungstreiber mit iManager.
Melden Sie sich bei iManager an, der Ihre Identity Manager-Engine verwaltet.
Klicken Sie im Navigationsrahmen von iManager auf Identity Manager-Knoten.
Klicken Sie auf Identity Manager-Überblick.
Zeigen Sie auf der Seite „Suche“ den Identity Manager-Überblick für den Treibersatz an, der Ihren Benutzeranwendungstreiber und den Rollen- und Ressourcenservice-Treiber enthält.
Klicken Sie auf den runden Statusindikator in der rechten oberen Ecke des Treibersymbols:
Es wird ein Menü mit Befehlen zum Starten und Stoppen des Treibers und zum Bearbeiten der Treibereigenschaften angezeigt.
Wählen Sie Eigenschaften bearbeiten aus.
Ändern Sie im Abschnitt „Treiberparameter“ Host zum Hostnamen oder der IP-Adresse des Dispatchers.
Klicken Sie auf OK.
Starten Sie den Treiber neu.
Wiederholen Sie zum Ändern der URL des Rollen- und Ressourcenservice-Treibers die Schritte 18a bis 18f und klicken Sie auf Treiberkonfiguration. Aktualisieren Sie die Benutzeranwendungs-URL mit dem DNS-Namen des Lastausgleichprogramms.
Vergewissern Sie sich, dass die Sitzungstreue für den Cluster aktiviert ist, der in der Lastausgleichsoftware für die Benutzeranwendungsknoten erstellt wurde.
Konfigurieren Sie die Client-Einstellungen im Identity Manager-Dashboard. Weitere Informationen finden Sie unter Modus zur Konfiguration der Client-Einstellungen im NetIQ Identity Manager – Administratorhandbuch für die Identitätsanwendungen.
Die meisten Lastausgleichprogramme bieten eine Funktion zur Zustandsprüfung, um herauszufinden, ob ein HTTP-Server aktiv ist und die Überwachung durchführt. Die Benutzeranwendung enthält eine URL, die zum Konfigurieren des HTTP-Server-Zustands auf Ihrem Lastausgleichprogramm verwendet wird. Die URL lautet:
http://<Knoten-IP>:port/IDMProv/jsps/healthcheck.jsp