NetIQ empfiehlt, die Voraussetzungen und die Computeranforderungen für die Identitätsanwendungen zu lesen, bevor Sie den Installationsvorgang beginnen. Weitere Informationen zum Konfigurieren der Benutzeranwendungsumgebung finden Sie im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
Abschnitt 33.3.1, Überlegungen zur Installation der Identitätsanwendungen
Abschnitt 33.3.2, Überlegungen zur Konfiguration und Nutzung der Identitätsanwendungen
Abschnitt 33.3.3, Voraussetzungen und Überlegungen für den Anwendungsserver
Abschnitt 33.3.5, Voraussetzungen für die Installation der Datenbank für die Identitätsanwendungen
Für die Installation der Identitätsanwendungen gelten die nachfolgenden Überlegungen.
Es ist eine unterstützte Version der folgenden Identity Manager-Komponenten erforderlich:
Designer
Identitätsdepot
Identity Manager-Engine
Remote Loader
One SSO Provider (OSP)
Weitere Informationen zu den erforderlichen Versionen und Patches für diese Komponenten finden Sie in den aktuellen Versionshinweisen.
Das Identitätsdepot muss das SecretStore-Modul enthalten und das Modul muss konfiguriert sein. Weitere Informationen finden Sie unter Abschnitt 12.1.2, Hinzufügen von SecretStore zum Identitätsdepotschema.
Das Identitätsdepot muss die erstellte und bereitgestellte Benutzeranwendung und die Rollen und Ressourcen-Service-Treiber enthalten. Weitere Informationen finden Sie unter Abschnitt 38.0, Erstellen und Bereitstellen der Treiber für die Identitätsanwendungen.
Installieren Sie die folgenden Bestandteile des Rahmenwerks, bevor Sie die Identitätsanwendungen installieren:
Ein Anwendungsserver auf dem lokalen Computer. Weitere Informationen finden Sie in Abschnitt 33.3.3, Voraussetzungen und Überlegungen für den Anwendungsserver.
Eine Datenbank auf dem lokalen Computer oder auf einem verbundenen Server. Weitere Informationen finden Sie in Abschnitt 33.3.5, Voraussetzungen für die Installation der Datenbank für die Identitätsanwendungen.
(Bedingt) Wenn Sie die Identitätsanwendungen auf Plattformen mit SUSE Linux Enterprise Server (SLES) installieren, verwenden Sie nicht das mit SLES mitgelieferte IBM-JDK. Diese Version ist mit einigen Aspekten der Installation für die Benutzeranwendung nicht kompatibel. Laden Sie stattdessen das Oracle-JDK herunter.
(Bedingt) Zur geführten Installation auf einem Server mit SLES 12 SP1 (oder höher) müssen die Bibliotheken libXtst6-32bit-1.2.1-4.4.1.x86_64, libXrender-32bit und libXi6-32bit auf dem Server installiert sein.
(Optional) NetIQ empfiehlt, das SSL-Protokoll (Secure Sockets Layer) für die Kommunikation zwischen den Identity Manager-Komponenten zu aktivieren. Zur Verwendung des SSL-Protokolls müssen Sie SSL in Ihrer Umgebung aktivieren und https während der Installation angeben. Weitere Informationen zum Aktivieren von SSL finden Sie unter Konfigurieren der Sicherheit in den Identitätsanwendungen im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
Erstellen Sie den Benutzeranwendungstreiber, bevor Sie den Rollen- und Ressourcenservice-Treiber erstellen. Der Rollen- und Ressourcenservice-Treiber referenziert den Rollendepotcontainer (RoleConfig.AppConfig) im Benutzeranwendungstreiber.
Der Rollen- und Ressourcenservice-Treiber kann nicht zusammen mit dem Remote Loader genutzt werden, da der Treiber jClient verwendet.
Setzen Sie die Umgebungsvariable JAVA_HOME so, dass sie auf das JDK verweist, das mit den Identitätsanwendungen verwendet werden soll. Sie können JAVA_HOME außer Kraft setzen; geben Sie hierzu den Pfad manuell während der Installation ein.
Der Installationsvorgang legt die Programmdateien standardmäßig im Verzeichnis C:\NetIQ\IDM oder /opt/netiq/idm ab. Wenn die Benutzeranwendung in einem nicht standardmäßigen Speicherort installiert werden soll, muss das neue Verzeichnis den folgenden Voraussetzungen entsprechen, bevor Sie den Installationsvorgang beginnen können:
Das Verzeichnis ist vorhanden, und es kann in das Verzeichnis geschrieben werden.
In Linux-Umgebungen können Nicht-Root-Benutzer in das Verzeichnis schreiben.
Jede Benutzeranwendungsinstanz kann nur jeweils einen einzigen Benutzercontainer verarbeiten. Sie können beispielsweise Benutzer nur zu dem Container hinzufügen, der mit der Instanz verknüpft ist, die Benutzer nur in diesem Container suchen und eine Abfrage nur für diesen Container durchführen. Außerdem sollte die Verknüpfung eines Benutzeranwendungscontainers mit einer Anwendung dauerhaft sein.
(Bedingt) Wenn Sie planen, mit der externen Passwortverwaltung zu arbeiten, muss Ihre Umgebung den folgenden Voraussetzungen entsprechen:
Aktivieren Sie das SSL-Protokoll (Secure Sockets Layer) für Tomcat, auf dem die Identitätsanwendungen und die Datei IDMPwdMgt.war bereitgestellt werden sollen.
Stellen Sie sicher, dass der SSL-Port in Ihrer Firewall offen ist.
Weitere Informationen zum Aktivieren von SSL für Tomcat finden Sie in Abschnitt 52.4, Aktualisieren der SSL-Einstellungen für den Anwendungsserver.
Weitere Informationen zur Datei IDMPwdMgt.war finden Sie in Abschnitt 39.6, Konfigurieren der „Passwort vergessen“-Verwaltung.
Wenden Sie zur Unterstützung der LDAP-Suche mit Virtual List View(VLV)- und Server Side Sort(SSS)-Steuerelementen Hotfix 2 unter eDirectory 9.0.2 oder eDirectory 8.8.8 Patch 9 an. Weitere Informationen finden Sie unter Abschnitt 11.0, Anwenden von HotFix 2 auf das Identitätsdepot.
Wenn Sie eDirectory mit dem integrierten Installationsprogramm installiert haben, ist dieser Hotfix nicht erforderlich. Das integrierte Installationsprogramm installiert eine aktualisierte Version von eDirectory, auf die dieser Hotfix bereits angewendet wurde.
(Optional) Sollen Autorisierungen von verwalteten Systemen abgerufen werden, installieren Sie mindestens einen Identity Manager-Treiber.
Sie müssen Treiber verwenden, die von Identity Manager 3.6.1, 4.0 oder höher unterstützt werden. Weitere Informationen zum Installieren dieser Treiber finden Sie in den einzelnen Treiberhandbüchern auf der Website zur NetIQ Identity Manager-Treiberdokumentation.
Damit die Treiber verwaltet werden können, müssen Designer oder die entsprechenden Plugins für iManager bereits installiert sein. Weitere Informationen finden Sie in Abschnitt 22.3, Erläuterungen zur Installation der iManager Plugins.
Für die Konfiguration und die erste Verwendung der Identitätsanwendungen gelten die nachfolgenden Überlegungen.
Bevor die Benutzer auf die Identitätsanwendungen zugreifen können, müssen Sie die folgenden Schritte ausführen:
Stellen Sie sicher, dass alle erforderlichen Identity Manager-Treiber installiert sind.
Stellen Sie sicher, dass sich die Indizes für das Identitätsdepot im Online-Modus befinden. Weitere Informationen zum Konfigurieren eines Index während der Installation finden Sie in Abschnitt 40.2.9, Sonstige.
Aktivieren Sie Cookies in allen Browsern. Die Anwendungen sind nicht funktionsfähig, wenn Cookies deaktiviert sind.
Sobald Sie SSO in Ihrer Identity Manager-Umgebung aktivieren, können die Benutzer nicht mehr als Gast oder als anonymer Benutzer auf die Identitätsanwendungen zugreifen. Stattdessen werden die Benutzer aufgefordert, sich an der Benutzeroberfläche anzumelden. Weitere Informationen finden Sie in Abschnitt XV, Konfiguration des Single-Sign-On-Zugriffs in Identity Manager.
Konfigurieren Sie das Identitätsdepot so, dass bei der ersten Anmeldung eines Benutzers die NMAS-Anmeldung verwendet wird. So ist sichergestellt, dass die Universalpasswort-Funktion in Identity Manager erzwungen wird.
Linux: Fügen Sie die folgenden Befehle an das Ende des Skripts /opt/novell/eDirectory/sbin/pre_ndsd_start an:
NDSD_TRY_NMASLOGIN_FIRST=true export NDSD_TRY_NMASLOGIN_FIRST
Windows: Fügen Sie NDSD_TRY_NMASLOGIN_FIRST mit dem Zeichenkettenwert true an den Registrierungsschlüssel HKLM\SYSTEM\CurrentControlSet\Control\SessionManager\Environment an.
(Bedingt) Um Berichte ausführen zu können, müssen die Komponenten für die Identitätsberichterstellung in Ihrer Umgebung installiert sein. Weitere Informationen finden Sie im Verwaltungshandbuch für die NetIQ-Identitätsberichterstellung.
Während des Installationsvorgangs legt das Installationsprogramm Protokolldateien im Installationsverzeichnis ab. Diese Dateien enthalten Informationen über Ihre Konfiguration. Nach erfolgter Konfiguration der Identitätsanwendungen sollten Sie diese Dateien löschen oder an einem sicheren Speicherort aufbewahren. Während des Installationsvorgangs können Sie angeben, dass das Datenbankschema in eine Datei geschrieben werden soll. Da diese Datei beschreibende Informationen über Ihre Datenbank enthält, sollten Sie sie nach Abschluss der Installation an einem sicheren Speicherort aufbewahren.
(Bedingt) Soll eine Revision der Identitätsanwendungen erfolgen, müssen die Identitätsberichterstellung und ein Revisionsdienst in der Umgebung installiert und für die Erfassung von Ereignissen konfiguriert sein. Sie müssen außerdem die Identitätsanwendungen für die Revision konfigurieren. Weitere Informationen finden Sie in
(Optional) Sie können die Identitätsanwendungen für die Verwendung von NetIQ Access Manager über die SAML -Authentifizierung konfigurieren. Weitere Informationen finden Sie unter Abschnitt 49.0, Single Sign-On per SAML-Authentifizierung mit NetIQ Access Manager.
Für die Identitätsanwendungen muss Tomcat installiert sein, wobei die folgenden Überlegungen zu beachten sind:
Auf Tomcat muss das Java Development Kit (JDK) oder die Java Runtime Environment (JRE) ausgeführt werden. Weitere Informationen zu den unterstützten Versionen finden Sie in Abschnitt 33.4, Systemanforderungen für die Identitätsanforderungen.
Stellen Sie die Umgebungsvariable JAVA_HOME so ein, dass sie auf das JDK verweist, das mit der Benutzeranwendung verwendet werden soll. Sie können JAVA_HOME außer Kraft setzen; geben Sie hierzu den Pfad manuell während der Installation ein.
(Bedingt) Bei Bedarf können Sie Ihr eigenes Tomcat-Installationsprogramm anstelle des Programms im Installations-Kit von Identity Manager verwenden. Wenn Sie allerdings den Apache Log4j-Dienst zusammen mit Ihrer Tomcat-Version nutzen möchten, überprüfen Sie, ob die entsprechenden Dateien installiert sind. Weitere Informationen finden Sie in Abschnitt 29.4, Protokollieren der Anmeldung mit dem Apache-Log4j-Dienst.
(Bedingt) Sollen digital signierte Dokumente beibehalten werden, müssen Sie die Identitätsanwendungen auf einem Tomcat-Anwendungsserver installieren und Novell Identity Audit verwenden. Dokumente mit Digitalsignatur werden nicht mit Workflow-Daten in der Benutzeranwendungsdatenbank gespeichert, sondern in der Protokollierungsdatenbank. Außerdem muss die Protokollierung aktiviert sein, damit diese Dokumente aufbewahrt werden. Weitere Informationen finden Sie unter Einrichten der Protokollierung in den Identitätsanwendungen im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
(Bedingt) In Umgebungen, in denen umfangreiche Benutzerdaten protokolliert werden oder der Verzeichnisserver zahlreiche Objekte enthält, sollten Sie mehrere Anwendungsserver für eine Bereitstellung der Identitätsanwendungen nutzen. Weitere Informationen zum Konfigurieren mit Blick auf die optimale Leistung finden Sie unter Anpassen der Leistung der Anwendungen im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
(Bedingt) Wenn Sie einen Tomcat-Anwendungsserver verwenden, starten Sie den Server erst dann, wenn die Installation abgeschlossen ist.
(Bedingt) Wenn Sie planen, mit der externen Passwortverwaltung zu arbeiten, aktivieren Sie das SSL-Protokoll (Secure Sockets Layer) wie folgt:
Aktivieren Sie SSL für Tomcat, auf dem die Identitätsanwendungen und die Datei IDMPwdMgt.war bereitgestellt werden sollen.
Stellen Sie sicher, dass der SSL-Port in Ihrer Firewall offen ist.
Weitere Informationen zur Datei IDMPwdMgt.war finden Sie unter Konfigurieren der „Passwort vergessen“-Verwaltung und im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
Die Einträge JAVA_HOME und JRE_HOME auf einem Tomcat-Server werden im Installationsvorgang nicht verändert. Standardmäßig legt das Schnellinstallationsprogramm für Tomcat die Datei setenv.sh im Verzeichnis /opt/netiq/idm/apps/tomcat/bin/ ab. Die Installation konfiguriert außerdem den JRE-Speicherort in der Datei.
Wenn die Datenbank für die Identitätsanwendungen in einer Umgebung installiert werden soll, in der sich Tomcat-Cluster befinden, sind die folgenden Überlegungen zu beachten:
Der Cluster muss einen eindeutigen Clusterpartitionsnamen, eine Multicast-Adresse und einen Multicast-Port aufweisen. Mithilfe dieser eindeutigen Kennungen werden mehrere Cluster voneinander unterschieden, sodass Leistungsprobleme und ungewöhnliches Verhalten vermieden werden.
Für jedes Mitglied des Clusters müssen Sie dieselbe Portnummer als Listener-Port für die Datenbank der Identitätsanwendungen angeben.
Für jedes Mitglied des Clusters müssen Sie denselben Hostnamen oder dieselbe IP-Adresse für den Server angeben, auf dem die Datenbank der Identitätsanwendungen gehostet wird.
Die Uhren der Server im Cluster müssen synchronisiert werden. Wenn die Serveruhren nicht synchronisiert sind, kann eine frühzeitige Zeitüberschreitung von Sitzungen eintreten, sodass das HTTP-Sitzungs-Failover nicht einwandfrei funktioniert.
NetIQ rät davon ab, mehrere Anmeldungen auf verschiedenen Browser-Registerkarten oder in verschiedenen Browser-Sitzungen auf demselben Host zu verwenden. Bei einigen Browsern werden die Cookies übergreifend über alle Registerkarten und Prozesse verwendet, sodass mehrere Anmeldungen zu Problemen beim HTTP-Sitzungs-Failover führen können (neben dem Risiko einer unbeabsichtigten Authentifizierung, wenn mehrere Benutzer an einem einzigen Computer arbeiten).
Die Clusterknoten befinden sich im selben Teilnetz.
Ein Failover-Proxy oder eine Lastausgleichlösung ist auf einem separaten Computer installiert.
Weitere Informationen zum Konfigurieren der Identitätsanwendungen einer Cluster-Umgebung finden Sie auch in Abschnitt 36.0, Vorbereiten der Umgebung auf die Identitätsanwendungen.
In der Datenbank werden die Identitätsanwendungsdaten und die Konfigurationsinformationen gespeichert.
Beachten Sie vor dem Installieren der Datenbankinstanz die folgenden Voraussetzungen:
Zum Konfigurieren einer Datenbank für die Verwendung mit Tomcat müssen Sie einen JDBC-Treiber erstellen. Die Identitätsanwendungen greifen über Standard-JDBC-Aufrufe auf die Datenbank zu und nehmen auch die Aktualisierung der Datenbank über diese Aufrufe vor. Die Identitätsanwendungen stellen über eine JDBC-Datenquelle, die an den JNDI-Baum gebunden ist, eine Verbindung mit der Datenbank her.
Es muss eine Datenquellendatei vorhanden sein, die auf die Datenbank verweist. Das Installationsprogramm für die Benutzeranwendung erstellt einen Datenquelleneintrag für Tomcat in server.xml und context.xml, der auf die Datenbank verweist.
Vergewissern Sie sich, dass Ihnen die folgenden Informationen vorliegen:
Host und Port des Datenbankservers.
Name der zu erstellenden Datenbank. Die Standard-Datenbank für die Identitätsanwendungen ist idmuserappdb.
Benutzername und Passwort für die Datenbank. Der Datenbankbenutzername muss zu einem Administratorkonto gehören oder über ausreichende Rechte zum Erstellen von Tabellen auf dem Datenbankserver verfügen. Der standardmäßige Administrator für die Benutzeranwendung ist idmadmin.
Die Treiber-.jar-Datei für die zu verwendende Datenbank (beim Hersteller der Datenbank erhältlich). NetIQ unterstützt keine Treiber-JAR-Dateien von Drittanbietern.
Die Datenbankinstanz kann sich auf dem lokalen Computer oder auf einem verbundenen Server befinden.
Der Datenbank-Zeichensatz muss die Unicode-Kodierung nutzen. So ist beispielsweise UTF-8 ein Zeichensatz, der die Unicode-Kodierung verwendet, Latin-1 hingegen verwendet keine Unicode-Kodierung. Weitere Informationen zum Festlegen des Zeichensatzes finden Sie in Abschnitt 35.3.1, Konfigurieren des Zeichensatzes oder Abschnitt 35.1, Konfigurieren einer Oracle-Datenbank.
Bei der Sortierung muss zwischen Groß- und Kleinschreibung unterschieden werden, damit keine Fehler durch doppelte Schlüssel entstehen. Wenn ein Fehler durch doppelte Schlüssel auftritt, müssen Sie die Sortierung überprüfen und korrigieren. Installieren Sie anschließend die Identitätsanwendungen erneut.
(Bedingt) Soll eine Datenbankinstanz sowohl für die Revision als auch für die Identitätsanwendungen herangezogen werden, empfiehlt NetIQ, die Datenbank auf einem separaten dedizierten Server zu installieren, also nicht auf dem Server, auf dem Tomcat gehostet wird, auf dem wiederum die Identitätsanwendungen ausgeführt werden.
(Bedingt) Wenn Sie auf eine neue Version der Identitätsanwendungen migrieren, müssen Sie dieselbe Datenbank verwenden wie in der bisherigen Installation.
Die Datenbankserver ermöglichen jeweils das Datenbank-Clustering. NetIQ führt keine offiziellen Tests von Cluster-Datenbankkonfigurationen durch, da das Clustering unabhängig von der Funktionsfähigkeit des Produkts erfolgt. Cluster-Datenbankserver werden daher nur mit den folgenden Warnhinweisen unterstützt:
Standardmäßig ist die maximale Anzahl der Verbindungen auf 100 festgelegt. Dieser Wert ist möglicherweise zu niedrig, um die Workflow-Anforderungen in einem Cluster zu verarbeiten. Sie sehen möglicherweise die folgenden Ausnahmen:
(java.sql.SQLException: Data source rejected establishment of connection, message from server: "Too many connections."
Legen Sie die Variable max_connections in Datei my.cnf auf einen höheren Wert fest.
Unter Umständen müssen einige Funktionen oder Aspekte des Cluster-Datenbankservers deaktiviert werden. Beispielsweise muss die Transaktionsreproduktion in bestimmten Tabellen deaktiviert werden, da beim Einfügen eines doppelten Schlüssels bestimmte Bedingungen verletzt würden.
NetIQ bietet keine Hilfestellung beim Installieren, Konfigurieren oder Optimieren des Cluster-Datenbankservers. Dies gilt auch für die Installation der NetIQ-Produkte auf einem Cluster-Datenbankserver.
NetIQ setzt alles daran, mögliche Probleme im Zusammenhang mit der Nutzung von NetIQ-Produkten in einer Cluster-Datenbankumgebung zu beheben. Die Fehlersuchmethoden in einer komplexen Umgebung erfordern häufig eine enge Zusammenarbeit, damit Probleme gelöst werden können. NetIQ bietet die nötigen Fachkenntnisse für die Analyse, Planung und Fehlersuche der NetIQ-Produkte. Der Kunde muss Fachkenntnisse für die Analyse, Planung und Fehlersuche von Drittanbieterprodukten erbringen. NetIQ bittet die Kunden, die aufgetretenen Probleme zu reproduzieren oder das Verhalten der Komponenten in einer Umgebung ohne Clustering zu reproduzieren, sodass potenzielle Probleme mit der Cluster-Einrichtung von Problemen mit den NetIQ-Produkten getrennt werden können.