Der Remote Loader kann die in den .iso- oder .jar-Dateien enthaltenen Identity Manager-Anwendungsschnittstellenmodule hosten. Der Java Remote Loader hostet nur Java-Treiberschnittstellenmodule. Das Laden oder Hosten nativer (C++-)Treiberschnittstellenmodule ist nicht möglich.
Vor Verwendung des Remote Loader müssen Sie das Anwendungsschnittstellenmodul so konfigurieren, dass eine sichere Verbindung zur Identity Manager-Engine hergestellt wird. Außerdem müssen sowohl der Remote Loader als auch die Identity Manager-Treiber konfiguriert werden. Weitere Informationen zu Schnittstellenmodulen finden Sie in Erläuterungen zu Schnittstellenmodulen.
Abschnitt 11.3.1, Herstellen einer sicheren Verbindung zur Identity Manager-Engine
Abschnitt 11.3.2, Erläuterungen zu den Kommunikationsparametern für den Remote Loader
Abschnitt 11.3.3, Konfigurieren des Remote Loader für Treiberinstanzen
Abschnitt 11.3.4, Konfigurieren des Java Remote Loader für Treiberinstanzen
Abschnitt 11.3.6, Konfigurieren der beiderseitigen Authentifizierung mit der Identity Manager-Engine
Abschnitt 11.3.8, Starten einer Treiberinstanz im Remote Loader
Abschnitt 11.3.9, Anhalten einer Treiberinstanz im Remote Loader
Die Datenübertragung zwischen dem Remote Loader und der Identity Manager-Engine muss in jedem Fall geschützt sein. NetIQ empfiehlt die Kommunikation über die TLS/SSL-Protokolle (Transport Layer Security/Secure Socket Layer). Damit TLS/SSL-Verbindungen unterstützt werden, muss ein geeignetes eigensigniertes Zertifikat in einer Keystore-Datei oder KMO vorliegen. In diesem Abschnitt wird beschrieben, wie Sie dieses Zertifikat erstellen, exportieren und speichern.
HINWEIS:Verwenden Sie dieselbe SSL-Version auf den Servern, auf denen die Identity Manager-Engine gehostet werden, und für den Remote Loader. Wenn die SSL-Version auf dem Server nicht mit der SSL-Version des Remote Loader übereinstimmt, gibt der Server die Fehlermeldung SSL3_GET_RECORD:Falsche Versionsnummer zurück. Diese Meldung ist lediglich ein Warnhinweis; die Kommunikation zwischen dem Server und dem Remote Loader wird nicht unterbrochen. Der Fehler kann jedoch zu Verwirrungen führen.
Der Remote Loader öffnet ein Client-Socket und überwacht die vom Remote-Schnittstellenmodul kommenden Verbindungen. Zum Einrichten eines sicheren Kanals führen das Remote-Schnittstellenmodul und der Remote Loader einen SSL-Handshake aus. Anschließend authentifiziert sich das Remote-Schnittstellenmodul beim Remote Loader. Wenn die Authentifizierung des Remote-Schnittstellenmoduls erfolgreich ausgeführt wurde, authentifiziert sich der Remote Loader beim Remote-Schnittstellenmodul. Nur wenn beide Seiten übereinkommen, dass sie mit einer autorisierten Entität kommunizieren, findet der Synchronisierungsverkehr statt.
Die Abläufe beim Einrichten einer SSL-Verbindung zwischen einem Treiber und der Identity Manager-Engine sind abhängig vom Treibertyp:
Bei einem nativen Treiber, beispielsweise dem Active Directory-Treiber, verweisen Sie auf ein base64-verschlüsseltes Zertifikat. Weitere Informationen finden Sie in Verwalten von eigensignierten Serverzertifikaten.
Bei einem Java-Treiber müssen Sie einen Keystore erstellen. Weitere Informationen finden Sie in Erstellen einer Keystore-Datei für SSL-Verbindungen.
HINWEIS:Der Remote Loader ermöglicht benutzerdefinierte Verbindungsmethoden zwischen dem Remote Loader und dem Remote-Schnittstellenmodul, das auf dem Identity Manager-Server gehostet wird. Weitere Informationen zu den Elementen, die beim Konfigurieren eines benutzerdefinierten Verbindungsmoduls in der Verbindungszeichenkette erwartet werden und zulässig sind, finden Sie in der Dokumentation des Moduls.
Um die sichere Kommunikation zwischen dem Remote Loader und der Identity Manager-Engine zu gewährleisten, können Sie ein eigensigniertes Serverzertifikat erstellen und exportieren. Für zusätzliche Sicherheit wird für die SSL-Kommunikation eine stärkere Verschlüsselung konfiguriert wie durch Suite B angegeben. Für diese Kommunikation müssen ECDSA (Elliptic Curve Digital Signature Algorithm)-Zertifikate zur Verschlüsselung der Daten verwendet werden. Wenn Suite B aktiviert ist, verwendet der Remote Loader TLS 1.2 als Kommunikationsprotokoll. Weitere Informationen zu Suite B finden Sie unter Suite B-Verschlüsselungsverfahren.
Sie haben die Möglichkeit, ein neu erstelltes Zertifikat zu exportieren oder ein bestehendes Zertifikat zu verwenden.
HINWEIS:Wenn ein Server mit einer Baumstruktur verknüpft wird, erstellt eDirectory die folgenden Standardzertifikate:
SSL CertificateIP
SSL CertificateDNS
Mit Suite B kompatible Zertifikate
Melden Sie sich bei NetIQ iManager an.
Erstellen Sie ein neues Zertifikat mit den folgenden Schritten:
Klicken Sie auf NetIQ Certificate Server > Create Server Certificate (Serverzertifikat erstellen).
Wählen Sie den Server aus, der als Eigentümer des Zertifikats fungieren soll.
Geben Sie einen Kurznamen für das Zertifikat ein. Beispiel: remotecert.
HINWEIS:NetIQ empfiehlt, auf Leerzeichen in den Kurznamen der Zertifikate zu verzichten. Verwenden Sie beispielsweise remotecert statt remote cert.
Notieren Sie sich außerdem den Kurznamen des Zertifikats. Der Kurzname wird als KMO-Name in den Remote-Verbindungsparametern des Treibers herangezogen.
Wählen Sie die Zertifikatserstellungsmethode aus, und klicken Sie anschließend auf Weiter.
Die folgenden Optionen stehen Ihnen zur Verfügung:
Standard: Mit dieser Option wird ein Serverzertifikatsobjekt mit der größtmöglichen Schlüsselgröße erstellt und das öffentliche Schlüsselzertifikat mit der Zertifizierungsstelle Ihrer Organisation wird signiert.
Benutzerdefiniert: Bei dieser Option wird ein Serverzertifikatsobjekt mit den von Ihnen angegebenen Einstellungen erstellt. Legen Sie damit eine Reihe von benutzerdefinierten Einstellungen für das Serverzertifikatsobjekt fest. Wählen Sie diese Option zur Erstellung von ECDSA-Zertifikaten für die Suite B-Kommunikation aus.
Importieren: Diese Option erstellt ein Serverzertifikatsobjekt mithilfe der Schlüssel und Zertifikate aus einer PKCS12(PFX)-Datei. Sie können diese Option zusammen mit der Exportfunktion zur Sicherung und Wiederherstellung eines Serverzertifikats oder zum Verschieben eines Serverzertifikatsobjekts von einem Server auf einen anderen verwenden.
Geben Sie die Zertifikatsparameter an.
Übernehmen Sie die restlichen Standardeinstellungen für das Zertifikat.
Überprüfen Sie die Zusammenfassung, klicken Sie auf Fertig stellen und anschließend auf Schließen.
Exportieren Sie das Zertifikat mit den folgenden Schritten:
Navigieren Sie in iManager zu Rollen und Aufgaben > Zugriff auf NetIQ-Zertifikate > Serverzertifikate.
Suchen und wählen Sie das erstellte Zertifikat oder das vom Server erstellte Zertifikat (z. B. SSL CertificateDNS).
Klicken Sie auf Exportieren.
Wählen Sie im Dropdown-Menü Zertifikat der Zertifizierungsstelle als OU=Unternehmen CA.O=TREEANAME aus.
Wählen Sie im Dropdown-Menü das Exportformat als BASE64 aus.
Klicken Sie auf Weiter.
Klicken Sie auf Speichern und anschließend auf Schließen.
Zum Herstellen von SSL-Verbindungen zwischen einem Java-Treiber und der Identity Manager-Engine muss ein Keystore erstellt werden. Ein Keystore ist eine Java-Datei, die Verschlüsselungsschlüssel und Zertifikate (optional) enthält. Wenn Sie SSL für die Kommunikation des Remote Loader mit der Identity Manager-Engine verwenden möchten und mit einem Java-Schnittstellenmodul arbeiten, müssen Sie eine Keystore-Datei erstellen. In den folgenden Abschnitten wird erläutert, wie Sie eine Keystore-Datei erstellen:
Wenn Sie einen Keystore auf einer belieben Plattform erstellen möchten, geben Sie in der Befehlszeile Folgendes ein:
keytool -import -alias trustedroot -file Name_des_eigensignierten_Zertifikats -keystore Dateiname -storepass keystorepass
Sie können einen beliebigen Dateinamen angeben. Beispiel: rdev_keystore.
In Linux-Umgebungen verwenden Sie die Datei create_keystore. Dieses Shell-Skript ruft das Keytool-Dienstprogramm auf. Die Datei wird zusammen mit rdxml installiert und befindet sich standardmäßig im Verzeichnis Installationsverzeichnis/dirxml/bin/. Die Datei „create_keystore“ ist auch in der Datei dirxml_jremote.tar.gz enthalten, die sich im Verzeichnis \dirxml\java\remoteloader befindet.
Geben Sie in der Befehlszeile Folgendes ein:
create_keystore Name_des_selbstsignierten_Zertifikats Name_des_Keystore
Geben Sie beispielsweise Folgendes ein:
create_keystore tree-root.b64 mystore create_keystore tree-root.der mystore
Das create_keystore-Skript legt „dirxml“ als hartcodiertes Keystore-Passwort fest. Dies ist kein Sicherheitsrisiko, da im Keystore nur ein öffentliches Zertifikat und ein öffentlicher Schlüssel gespeichert werden.
Damit der Remote Loader eine Treiberinstanz nutzen kann, in der ein Identity Manager-Anwendungsschnittstellenmodul gehostet wird, müssen Sie die Treiberinstanz konfigurieren. Beispielsweise müssen Sie die Verbindungs- und die Porteinstellungen für die Instanz angeben. Sie können die Einstellungen über die Befehlszeile in einer Konfigurationsdatei festlegen. Sobald die Instanz läuft, können Sie über die Befehlszeile die Konfigurationsparameter ändern oder den Remote Loader anweisen, eine Funktion auszuführen. So können Sie beispielsweise das Trace-Fenster öffnen oder den Remote Loader entladen.
In diesem Abschnitt finden Sie Informationen zu den Konfigurationsparametern. Hierbei ist ersichtlich, ob ein Parameter über die Befehlszeile gesendet werden kann, während der Remote Loader ausgeführt wird.
Weitere Informationen zum Konfigurieren einer neuen Treiberinstanz finden Sie in Abschnitt 11.3.3, Konfigurieren des Remote Loader für Treiberinstanzen.
Die Treiberinstanzen können über die Befehlszeile oder mithilfe einer Konfigurationsdatei konfiguriert werden. Die Beispieldatei config8000.txt von NetIQ hilft Ihnen dabei, den Remote Loader und die Treiber für das Anwendungsschnittstellenmodul zu konfigurieren. Die Beispieldatei befindet sich standardmäßig im Verzeichnis /opt/novell/dirxml/doc/. Die Konfigurationsdatei kann beispielsweise die folgenden Zeilen enthalten:
-commandport 8000 -connection "port=8090 rootfile=/dirxmlremote/root.pem" -module $DXML_HOME/dirxmlremote/libcskeldrv.so.0.0.0 -trace 3
Die folgenden Parameter stehen zur Verfügung:
(Optional) Gibt eine kurze Beschreibung in Form einer Zeichenkette (z. B. SAP) an, die die Anwendung als Titel für das Trace-Fenster und für die Protokollierung heranzieht. Beispiel:
-description SAP
-desc SAP
(Bedingt) Bei Verwendung eines Java-Treibers geben Sie den Java-Klassennamen für das zu hostende Identity Manager-Anwendungsschnittstellenmodul an. Diese Option weist die Anwendung an, die Zertifikate aus einem Java-Keystore auszulesen. Beispiel:
-class com.novell.nds.dirxml.driver.ldap.LDAPDriverShim -cl com.novell.nds.dirxml.driver.ldap.LDAPDriverShim
HINWEIS:
Diese Option ist nicht zulässig, wenn Sie die Option -module angeben.
Wenn Sie das Tab-Zeichen als Begrenzungszeichen in der Option -class verwenden, wird der Remote Loader nicht automatisch gestartet. Stattdessen muss er manuell gestartet werden. Damit der Remote Loader ordnungsgemäß gestartet wird, ersetzen Sie das Tab-Zeichen durch ein Leerzeichen.
Weitere Informationen zu den zulässigen Namen bei dieser Option finden Sie unter Erläuterungen zu den Namen für den Java-Parameter -class.
Gibt den TCP/IP-Port an, der von der Treiberinstanz zu Steuerungszwecken verwendet wird. Beispiel: -commandport 8001 oder -cp 8001. Der Standardwert ist 8000.
Sollen mehrere Treiberinstanzen mit dem Remote Loader auf einem einzigen Server verwendet werden, geben Sie für jede Instanz jeweils unterschiedliche Verbindungs- und Befehlsports an.
Wenn die Treiberinstanz ein Anwendungsschnittstellenmodul hostet, ist der Befehlsport der Port, über den eine andere Remote Loader-Instanz mit der Instanz kommuniziert, die das Schnittstellenmodul hostet. Wenn die Treiberinstanz einen Befehl an eine Instanz sendet, die ein Anwendungsschnittstellenmodul hostet, ist der Befehlsport der Port, der von der Host-Instanz überwacht wird.
Wenn Sie diesen Parameter über die Befehlszeile an eine Instanz senden, die ein Anwendungsschnittstellenmodul hostet, ist der Befehlsport der Port, der von der Host-Instanz überwacht wird. Sie können diesen Befehl senden, während der Remote Loader läuft.
Gibt eine Konfigurationsdatei für die Treiberinstanz an. Beispiel:
-config config.txt
Die Konfigurationsdatei kann bis auf -config beliebige Befehlszeilenoptionen enthalten. Die an der Befehlszeile angegebenen Optionen haben Vorrang vor den in der Konfigurationsdatei angegebenen Optionen.
Sie können diesen Befehl senden, während der Remote Loader läuft.
Gibt die Einstellungen zum Herstellen einer Verbindung zum Server an, auf dem die Identity Manager-Engine gehostet wird, die wiederum das Identity Manager-Remote-Schnittstellenmodul ausführt. Die Standardverbindungsmethode ist TCP/IP mit SSL.
Sollen mehrere Treiberinstanzen mit dem Remote Loader auf einem einzigen Server verwendet werden, geben Sie für jede Instanz jeweils unterschiedliche Verbindungs- und Befehlsports an.
Geben Sie die Verbindungseinstellungen mit der folgenden Syntax ein:
-connection "parameter parameter parameter"
Beispiel:
-connection "port=8091 fromaddress=198.51.100.0 rootfile=server1.pem keystore=ca.pem localaddress=198.51.100.0 hostname=198.51.100.0 kmo=remote driver cert"
Legen Sie die Einstellungen für eine TCP/IP-Verbindung mit den folgenden Parametern fest:
(Optional) Gibt an, ob der Remote Loader eine bestimmte lokale IP-Adresse überwacht. Dies ist hilfreich, wenn der Server, der den Remote Loader hostet, mehrere IP-Adressen hat und der Remote Loader nur eine dieser Adressen überwachen soll. Die folgenden Werte sind zulässig:
address=Adressnummer
address='localhost'
Beispiel:
address=198.51.100.0
Wenn Sie keinen Wert angeben, überwacht der Remote Loader alle lokalen IP-Adressen.
Gibt den Server an, von dem der Remote Loader Verbindungen akzeptiert. Verbindungen von anderen Adressen werden durch die Anwendung ignoriert. Geben Sie eine IP-Adresse oder den DNS-Namen des Servers an. Beispiel:
fromaddress=198.51.100.0
fromaddress=testserver1.company.com
(Bedingt) Gilt, wenn eine Zeitüberschreitung beim Handshake im Zusammenhang mit anderweitig gültigen Verbindungen von der Identity Manager-Engine eintritt. Bestimmt den Zeitraum für die Zeitüberschreitung (in Millisekunden) beim Handshake zwischen dem Remote Loader und der Identity Manager-Engine. Beispiel:
handshaketimeout=1000
Sie können eine Ganzzahl größer oder gleich null angeben. Der Wert null bedeutet, dass niemals eine Zeitüberschreitung für die Verbindung eintritt. Der Standardwert ist 1.000 Millisekunden.
Gibt die IP-Adresse oder den Namen des Servers an, auf dem der Remote Loader ausgeführt wird. Beispiel:
hostname=198.51.100.0
Gibt die Version des TLS-Protokolls an, das der Remote Loader verwendet, um eine Verbindung zur Identity Manager-Engine herzustellen. Beispiel:
secureprotocol=TLSv1_2
Identity Manager unterstützt TLSv1 und TLSv1_2. Der Remote Loader verwendet standardmäßig TLSv1_2. Geben Sie zur Verwendung von TLSv1 diese Version im Parameter an.
(Bedingt) Trifft nur zu, wenn der Remote Loader mithilfe des Suite B-Verschlüsselungsalgorithmus mit der Identity Manager-Engine kommunizieren soll.
Geben Sie zur Verwendung von Suite B für die Kommunikation true an. Diese Kommunikation wird nur unter dem TLS 1.2-Protokoll unterstützt.
Wenn Sie versuchen, eine Suite B-aktivierte Engine mit einem Remote Loader zu verbinden, der TLSv1.2 nicht unterstützt, wird der Handshake nicht ausgeführt und die Kommunikation wird nicht aufgebaut. Beispiel: Remote Loader 4.5.3, der TLS v1.2 nicht unterstützt.
(Bedingt) Trifft nur zu, wenn sich der Remote Loader und die Identity Manager-Engine gegenseitig authentifizieren sollen, indem sie das Zertifikat mit öffentlichem Schlüssel oder das digitale Zertifikat von der verbürgten Zertifizierungsstelle oder die eigensignierten Zertifikate überprüfen. Beispiel:
useMutualAuth=true
Gibt den Dateinamen des Java-Keystores an, der das Herkunftsverbürgungszertifikat des Herausgebers des Zertifikats enthält, das vom Remote-Schnittstellenmodul verwendet wird. Beispiel:
keystore=keystore filename
In der Regel geben Sie die Zertifizierungsstelle des Baums an, der das Remote-Schnittstellenmodul hostet.
Gibt den Schlüsselnamen des Schlüsselmaterialobjekts (KMO) ein, das die für SSL-Verbindungen verwendeten Schlüssel und Zertifikate enthält. Beispiel:
kmo=remote driver cert
Gibt die IP-Adresse an, an die der Socket für die Clientverbindung gebunden werden soll. Beispiel:
localaddress=198.51.100.0
Gibt den TCP/IP-Port an, den der Remote Loader auf Verbindungen vom Remote-Schnittstellenmodul überwacht. Mit port=8090 legen Sie den Standardport fest.
Gibt den Namen der Datei an, die das Herkunftsverbürgungszertifikat des Herausgebers des Zertifikats für das Remote-Schnittstellenmodul enthält. Die Zertifikatsdatei muss im Base-64-Format (PEM) vorliegen. Beispiel:
rootfile=trustedcert
In der Regel ist die Datei die Zertifizierungsstelle des Baums, der das Remote-Schnittstellenmodul hostet.
Gibt das Passwort für den Java-Keystore an, den Sie im Parameter keystore festgelegt haben. Beispiel:
storepass=mypassword
Geben Sie für die Kommunikation zwischen dem Remote Loader und dem Java-Treiber ein Schlüsselwertpaar mit der folgenden Syntax an:
keystore=keystorename storepass=password
Gibt das Verzeichnis für die Datendateien an, die von Remote Loader verwendet werden. Beispiel:
-datadir /var/opt/novell/dirxml/rdxml/data
Mit diesem Befehl übernimmt der rdxml-Prozess das angegebene Verzeichnis als aktuelles Verzeichnis. In diesem Datenverzeichnis werden Trace-Dateien und andere Dateien, für die kein expliziter Pfad angegeben ist, erstellt.
Weist die Anwendung an, die Hilfe anzuzeigen.
(Bedingt) Gibt an, dass Sie Passwörter für ein Java-Treiberschnittstellenmodul festlegen möchten.
HINWEIS:Verwenden Sie diese Option zusammen mit der Option -setpasswords, wenn Sie nicht auch einen Wert für -class angeben.
Weist die Instanz an, das Java-Debugging auf dem angegebenen Port zu aktivieren. Beispiel:
-javadebugport 8080
Nutzen Sie diesen Befehl beim Entwickeln von Identity Manager-Anwendungsschnittstellenmodulen. Sie können diesen Befehl senden, während der Remote Loader läuft.
Gibt die Parameter für die Java-Umgebung an. Geben Sie die Java-Umgebungsparameter mit der folgenden Syntax ein:
-javaparam parameter -jp parameter -jp parameter
HINWEIS:Verwenden Sie diesen Parameter nicht mit dem Java Remote Loader.
Sollen mehrere Werte für einen einzelnen Parameter angegeben werden, schließen Sie die Parameter in Anführungszeichen ein. Beispiel:
-javaparam DHOST_JVM_MAX_HEAP=512M -jp DHOST_JVM_MAX_HEAP=512M -jp "DHOST_JVM_OPTIONS=-Dfile.encoding=utf-8 -Duser.language=en"
Mit den folgenden Parametern richten Sie die Java-Umgebung ein:
Gibt weitere Pfade an, in denen die JVM nach Paket- (.jar) und Klassendateien (.class) suchen soll. Sollen mehrere Klassenpfade für eine Linux-JVM angegeben werden, trennen Sie die einzelnen Pfade jeweils mit Kommas voneinander ab.
Gibt die anfängliche (minimale) JVM-Heap-Größe in Dezimalschreibweise in Byte an. Geben Sie einen numerischen Wert gefolgt von „G“, „M“ oder „K“ für den Byte-Typ ein. Beispiel:
100M
Wenn Sie keinen Byte-Typ angeben, wird die Größe standardmäßig in Byte dargestellt. Dieser Parameter entspricht dem Java-Befehl -Xms.
Dieser Parameter hat Vorrang vor der Option zum Festlegen der Attribute im Treiber. Durch das Erhöhen der Ausgangs-Heap-Größe können die Startzeit und die Durchsatzleistung verbessert werden.
Gibt die maximale JVM-Heap-Größe in Dezimalschreibweise in Byte an. Geben Sie einen numerischen Wert gefolgt von „G“, „M“ oder „K“ für den Byte-Typ ein. Beispiel:
100M
Wenn Sie keinen Byte-Typ angeben, wird die Größe standardmäßig in Byte dargestellt.
Dieser Parameter hat Vorrang vor der Option zum Festlegen der Attribute im Treiber.
Gibt die Argumente an, die beim Starten der JVM-Instanz des Treibers verwendet werden sollen. Trennen Sie die Optionszeichenfolgen jeweils mit Leerzeichen voneinander ab. Beispiel:
-Xnoagent -Xdebug -Xrunjdwp: transport=dt_socket,server=y, address=8000
Die Option zum Festlegen der Attribute im Treiber hat Vorrang vor diesem Parameter. Diese Umgebungsvariable wird an das Ende der Option zum Festlegen der Attribute im Treiber angehängt. Weitere Informationen zu gültigen Optionen finden Sie in der JVM-Dokumentation.
Gibt das Passwort für die Treiberinstanz an, wenn Sie Befehle eingeben, die die Einstellungen ändern oder sich auf die Funktionsweise der Instanz auswirken. Sie müssen dasselbe Passwort als erstes Passwort mit „setpasswords“ für die Instanz festlegen, für das die Befehle eingegeben werden sollen. Beispiel:
-password netiq4
Wenn Sie das Passwort beim Eingeben der Befehle nicht mitsenden, werden Sie durch die Instanz dazu aufgefordert, das Passwort einzugeben.
Sie können diesen Befehl senden, während der Remote Loader läuft.
Gibt den Pfad zum Verzeichnis für die Prozess-ID-Datei (PID-Datei) an, die im Remote Loader-Prozess verwendet wird. Beispiel:
-piddir /var/opt/novell/dirxml/rdxml/data
Die PID-Datei ist vorrangig für init-Skripte im SysV-Stil vorgesehen. Der Standardwert lautet /var/run. Alternativ entspricht der Standardwert dem aktuellen Verzeichnis, wenn der Remote Loader von einem Benutzer ausgeführt wird, der nicht über ausreichende Rechte zum Öffnen der PID-Datei zum Lesen und Schreiben in /var/run verfügt.
Dieser Parameter ist mit dem Parameter -datadir vergleichbar.
Gibt das Passwort für die Treiberinstanz und das Passwort für das Identity Manager-Treiberobjekt des Remote-Schnittstellenmoduls an, mit dem der Remote Loader kommuniziert.
Sie müssen kein Passwort angeben. In diesem Fall werden Sie vom Remote Loader aufgefordert, die Passwörter einzugeben. Wenn Sie jedoch das Passwort für den Remote Loader angeben, müssen Sie auch das Passwort für das Identity Manager-Treiberobjekt nennen, das mit dem Remote-Schnittstellenmodul auf dem Server der Identity Manager-Engine verbunden ist. Geben Sie die Passwörter mit der folgenden Syntax an:
-setpasswords Remote_Loader_password driver_object_password
Beispiel:
-setpasswords netiq4 idmobject6
HINWEIS:Mithilfe dieser Option wird die Treiberinstanz mit den angegebenen Passwörtern konfiguriert. Es wird jedoch weder ein Identity Manager-Anwendungsschnittstellenmodul geladen noch mit anderen Instanzen kommuniziert.
(Bedingt) Gibt beim Hosten eines Identity Manager-Anwendungsschnittstellenmoduls die Einstellungen für eine Trace-Datei an, in der sich Informationsmeldungen vom Remote Loader und vom Treiber für diese Instanz befinden.
Fügen Sie der Konfigurationsdatei die folgenden Parameter hinzu:
Gibt die Stufen der Meldungen an, die in einem Trace-Fenster angezeigt werden sollen. Beispiel:
-trace 3
Die Trace-Stufen für den Remote Loader sind mit den Stufen identisch, die auf dem Server verwendet werden, auf dem die Identity Manager-Engine gehostet wird.
Gibt den Pfad zu einer Datei an, in der die Trace-Meldungen protokolliert werden sollen. Für jede Treiberinstanz auf einem Computer müssen Sie eine eindeutige Trace-Datei festlegen. Beispiel:
-tracefile /home/trace.txt
Die Anwendung schreibt Meldungen in die Datei, wenn der Parameter -tracegrößer als null ist. Die Meldungen werden auch dann in die Datei geschrieben, wenn das Trace-Fenster nicht geöffnet ist.
Gibt die maximale Größe der Trace-Datei für diese Instanz an. Legen Sie den Wert in Kilobyte, Megabyte oder Gigabyte fest, und nennen Sie auch die Abkürzung für den Byte-Typ. Beispiel:
-tracefilemax 1000K
-tf 100M
-tf 10G
HINWEIS:
Wenn die Trace-Datei beim Starten des Remote Loader größer als das angegebene Maximum ist, dann behält die Trace-Datei diese Größe bei, bis das Rollover über alle 10 Dateien ausgeführt wurde.
Wenn Sie diese Option in die Konfigurationsdatei aufnehmen, nutzt die Anwendung den angegebenen Namen für die Trace-Datei, und es werden bis zu 9 „Rollover“-Dateien eingeschlossen. Der Name der Rollover-Dateien wird aus dem Namen der Haupt-Trace-Datei und dem Suffix _n zusammengesetzt, wobei 1 bis 9 gültige Werte für n sind.
(Bedingt) Wenn bereits eine Treiberinstanz vorhanden ist, die ein Anwendungsschnittstellenmodul hostet: Gibt eine neue Stufe für Informationsmeldungen an. Die Trace-Stufen entsprechen den auf dem Identity Manager-Server verwendeten Trace-Stufen. Beispiel:
-trace 3
Sie können diesen Befehl senden, während der Remote Loader läuft.
(Bedingt) Wenn bereits eine Treiberinstanz vorhanden ist, die ein Anwendungsschnittstellenmodul hostet: Weist diese Instanz an, eine Trace-Datei zu verwenden bzw. die bisher genutzte Datei zu schließen und zu dieser neuen Datei zu wechseln. Beispiel:
-tracefilechange \temp\newtrace.txt
Sie können diesen Befehl senden, während der Remote Loader läuft.
(Bedingt) Nur wenn useMutualAuth in der Konfigurationsdatei als wahr festgelegt wurde.
Hiermit wird das Keystore-Passwort festgelegt, mit dem ausschließlich die gegenseitige Authentifizierung für Java Remote Loader-Treiber aktiviert wird.
Hiermit wird das Schlüsselpasswort festgelegt, mit dem ausschließlich die gegenseitige Authentifizierung für Java und native Remote Loader-Treiber aktiviert wird.
Weist die Treiberinstanz an, sich zu entladen. Wenn der Remote Loader als Win32-Dienst ausgeführt wird, wird der Dienst durch diese Option gestoppt.
Sie können diesen Befehl senden, während der Remote Loader läuft.
Wenn Sie mit dem Parameter eine Treiberinstanz -class für den Remote Loader und den Java Remote Loader konfigurieren, müssen Sie den Java-Klassennamen für das zu hostende Identity Manager-Anwendungsschnittstellenmodul angeben.
|
Java-Klassenname |
Treiber |
|---|---|
|
com.novell.nds.dirxml.driver.dcsshim.DCSShim |
Treiber für den Datenerfassungsdienst |
|
com.novell.nds.dirxml.driver.delimitedtext.DelimitedTextDriver |
Treiber für Text mit Begrenzungszeichen |
|
be.opns.dirxml.driver.ars.arsremedydrivershim.ARSDriverShim |
Treiber für Remedy ARS |
|
com.novell.nds.dirxml.driver.entitlement.EntitlementServiceDriver |
Berechtigungs-Service-Treiber |
|
com.novell.gw.dirxml.driver.rest.shim.GWdriverShim |
GroupWise 2014-Treiber |
|
com.novell.idm.drivers.idprovider.IDProviderShim |
ID-Provider-Treiber |
|
com.novell.nds.dirxml.driver.jdbc.JDBCDriverShim |
JDBC-Treiber |
|
com.novell.nds.dirxml.driver.jms.JMSDriverShim |
JMS-Treiber |
|
com.novell.nds.dirxml.driver.ldap.LDAPDriverShim |
LDAP-Treiber |
|
com.novell.nds.dirxml.driver.loopback.LoopbackDriverShim |
Loopback-Treiber |
|
com.novell.nds.dirxml.driver.ebs.user.EBSUserDriver |
Treiber für die Oracle-Benutzerverwaltung |
|
com.novell.nds.dirxml.driver.ebs.hr.EBSHRDriver |
Oracle HR-Treiber |
|
com.novell.nds.dirxml.driver.ebs.tca.EBSTCADriver |
Oracle TCA-Treiber |
|
com.novell.nds.dirxml.driver.msgateway.MSGatewayDriverShim |
Treiber „Verwaltetes System – Gateway“ |
|
com.novell.nds.dirxml.driver.manualtask.driver.ManualTaskDriver |
Treiber für manuelle Aufgaben |
|
com.novell.nds.dirxml.driver.nisdriver.NISDriverShim |
NIS-Treiber |
|
com.novell.nds.dirxml.driver.notes.NotesDriverShim |
Notes-Treiber |
|
com.novell.nds.dirxml.driver.psoftshim.PSOFTDriverShim |
PeopleSoft-Treiber |
|
com.netiq.nds.dirxml.driver.pum.PUMDriverShim |
Treiber für Privileged User Management |
|
com.novell.nds.dirxml.driver.salesforce.SFDriverShim |
SalesForce-Treiber |
|
com.novell.nds.dirxml.driver.SAPHRShim.SAPDriverShim |
SAP HR-Treiber |
|
com.novell.nds.dirxml.driver.sap.portal.SAPPortalShim |
SAP Portal-Treiber |
|
com.novell.nds.dirxml.driver.sapumshim.SAPDriverShim |
Treiber für die SAP-Benutzerverwaltung |
|
com.novell.nds.dirxml.driver.soap.SOAPDriver |
SOAP-Treiber |
|
com.novell.idm.driver.ComposerDriverShim |
Benutzeranwendung |
|
com.novell.nds.dirxml.driver.workorder.WorkOrderDriverShim |
WorkOrder-Treiber |
Der Remote Loader kann die in den .dll-, .so- oder .jar-Dateien enthaltenen Identity Manager-Anwendungsschnittstellenmodule hosten. Damit der Remote Loader auf einem Linux-Computer ausgeführt werden kann, benötigt die Anwendung je eine Konfigurationsdatei (z.–B. LDAPShim.txt) für die einzelnen Treiberinstanzen. Konfigurationsdateien können auch mithilfe von Befehlszeilenoptionen erstellt und bearbeitet werden.
Standardmäßig stellt der Remote Loader über TCP/IP mit den TLS/SSL-Protokollen eine Verbindung zur Identity Manager-Engine her. Der standardmäßige TCP/IP-Port für diese Verbindung ist 8090. Mit dem Remote Loader können Sie mehrere Instanzen auf einem einzigen Server ausführen. Jede Instanz hostet eine separate Anwendungsschnittstellenmodulinstanz des Identity Manager. Sollen mehrere Remote Loader-Instanzen auf einem einzigen Server verwendet werden, geben Sie für jede Instanz jeweils unterschiedliche Verbindungs- und Befehlsports an.
HINWEIS:
Die Konfigurationsdatei kann bis auf -config beliebige Befehlszeilenoptionen enthalten.
Die Parameter können wahlweise in der Langform oder in der Kurzform in die Konfigurationsdatei eingetragen werden. Beispiel: -description oder -desc.
Im nachfolgenden Verfahren wird zunächst die Langform angegeben und dann die Kurzform in Klammern. Beispiel: -description Wert (-desc Wert).
Weitere Informationen zu den Parametern in diesem Abschnitt finden Sie unter Erläuterungen zu den Kommunikationsparametern für den Remote Loader.
So erstellen Sie eine Konfigurationsdatei:
Erstellen Sie in einem Texteditor eine neue Datei.
Die Beispieldatei config8000.txt von NetIQ hilft Ihnen dabei, den Remote Loader und die Treiber für das Anwendungsschnittstellenmodul zu konfigurieren. Die Beispieldatei befindet sich standardmäßig im Verzeichnis /opt/novell/dirxml/doc/.
Fügen Sie der Datei die folgenden Konfigurationsparameter hinzu:
-description (optional)
-commandport
Verbindungsparameter:
port (obligatorisch)
Adresse
fromaddress
handshaketimeout
Rootfile
Keystore
localaddress
Hostname
kmo
secureprotocol
enforceSuiteB
useMutualAuth
Trace-Dateiparameter (optional):
-trace
-tracefile
-tracefilemax
-javaparam
-class oder -module
Weitere Informationen zum Festlegen von Werten für diese Parameter finden Sie in Abschnitt 11.3.2, Erläuterungen zu den Kommunikationsparametern für den Remote Loader.
Speichern Sie die Datei.
Damit der Remote Loader beim Hochfahren des Computers automatisch gestartet wird, speichern Sie die Datei im Verzeichnis /etc/opt/novell/dirxml/rdxml.
Der Java Remote Loader hostet nur Java-Treiberschnittstellenmodule. Das Laden oder Hosten nativer (C++-)Treiberschnittstellenmodule ist nicht möglich.
Konfigurieren Sie mit den nachfolgenden Schritten eine neue Instanz für den Java Remote Loader auf Linux-Plattformen. Weitere Informationen zu den Parametern in diesem Abschnitt finden Sie unter Erläuterungen zu den Kommunikationsparametern für den Remote Loader.
Erstellen Sie in einem Texteditor eine neue Datei.
Die Beispieldatei config8000.txt von NetIQ hilft Ihnen dabei, den Remote Loader und die Treiber für das Anwendungsschnittstellenmodul zu konfigurieren. Die Beispieldatei befindet sich standardmäßig im Verzeichnis /opt/novell/dirxml/doc/.
Fügen Sie der neuen Konfigurationsdatei die folgenden Parameter hinzu:
-description (optional)
-class oder -module
Beispiel: -class com.novell.nds.dirxml.driver.ldap.LDAPDriverShim
-commandport
Verbindungsparameter:
port (obligatorisch)
Adresse
fromaddress
handshaketimeout
Rootfile
Keystore
localaddress
Hostname
kmo
secureprotocol
enforceSuiteB
useMutualAuth
-java (bedingt)
-javadebugport
-password
-service
-keypassword
-keystorepassword (nur für Java-Treiber)
Trace-Dateiparameter (optional):
-trace
-tracefile
-tracefilemax
Speichern Sie die neue Konfigurationsdatei.
Damit der Remote Loader beim Hochfahren des Computers automatisch gestartet wird, speichern Sie die Datei im Verzeichnis /etc/opt/novell/dirxml/jremote.
Öffnen Sie eine Befehlszeilen-Eingabeaufforderung.
Geben Sie an der Eingabeaufforderung Folgendes ein: -config Dateiname. Hierbei gilt: Dateiname bezeichnet den Namen der neuen Konfigurationsdatei. Beispiel:
dirxml_jremote -config filename
Sie können einen neuen Treiber konfigurieren oder einen vorhandenen Treiber für die Kommunikation mit dem Remote Loader aktivieren. Sie müssen ein Identity Manager-Anwendungsschnittstellenmodul für die Verwendung mit dem Remote Loader konfigurieren.
HINWEIS:In diesem Abschnitt erhalten Sie allgemeine Informationen darüber, wie Sie Treiber für die Kommunikation mit dem Remote Loader konfigurieren. Treiberspezifische Informationen finden Sie im relevanten Treiberimplementierungshandbuch auf der Website der Identity Manager-Treiberdokumentation.
Zum Hinzufügen eines neuen Treiberobjekts bzw. zum Bearbeiten eines vorhandenen Treiberobjekts in Designer oder iManager müssen Sie Einstellungen konfigurieren, mit denen die Treiberinstanz für den Remote Loader aktiviert wird. Weitere Informationen zu den Parametern in diesem Abschnitt finden Sie unter Erläuterungen zu den Kommunikationsparametern für den Remote Loader.
Wählen Sie unter Überblick das gewünschte Identity Manager-Treiberobjekt aus.
Führen Sie in den Eigenschaften des Treiberobjekts die folgenden Schritte aus:
Aktivieren Sie unter Treibermodul die Option Verbindung zu Remote Loader aufbauen.
Geben Sie unter Treiberobjektpasswort das Passwort ein, mit dem sich der Remote Loader beim Server der Identity Manager-Engine authentifiziert.
Dieses Passwort muss mit dem Passwort übereinstimmen, das im Remote Loader für das Treiberobjekt definiert ist.
Geben Sie unter Verbindungsparameter für Remote Loader die erforderlichen Informationen zum Herstellen der Verbindung zum Remote Loader an. Verwenden Sie die folgende Syntax:
hostname=xxx.xxx.xxx.xxx port=xxxx kmo=certificatename localaddress=xxx.xxx.xxx.xxx
Hierbei gilt:
Gibt die IP-Adresse des Servers an, auf dem der Remote Loader gehostet wird. Beispiel: hostname=192.168.0.1.
Gibt den Port an, den der Remote Loader überwacht. Der Standardwert ist 8090.
Gibt den Schlüsselnamen des Schlüsselmaterialobjekts (KMO) ein, das die für SSL-Verbindungen verwendeten Schlüssel und Zertifikate enthält. Beispiel: kmo=remotecert.
Gibt die Quell-IP-Adresse an, falls mehrere IP-Adressen auf dem Server konfiguriert sind, auf dem die Identity Manager-Engine gehostet wird.
Geben Sie unter Remote Loader-Passwort das Passwort an, mit dem sich die Identity Manager-Engine (oder das Remote Loader-Schnittstellenmodul) beim Remote Loader authentifiziert.
Definieren Sie einen sicherheitsäquivalenten Benutzer.
Klicken Sie auf Weiter und dann auf Fertig stellen.
Sie können die beiderseitige Authentifizierung konfigurieren, um die sichere Kommunikation zwischen dem Remote Loader und der Identity Manager-Engine sicherzustellen. Die beiderseitige Authentifizierung verwendet für den Handshake Zertifikate anstatt von Passwörtern. Der Remote Loader und die Identity Manager-Engine authentifizieren sich gegenseitig, indem sie das Zertifikat mit öffentlichem Schlüssel oder das digitale Zertifikat von der verbürgten Zertifizierungsstelle oder die eigensignierten Zertifikate austauschen und überprüfen. Wenn die beiderseitige Authentifizierung erfolgreich ist, authentifiziert sich der Remote Loader bei der Engine. Synchronisierungsdatenverkehr findet statt, nachdem sowohl der Remote Loader als auch die Identity Manager-Engine sicher sind, dass sie mit einer autorisierten Entität kommunizieren.
Führen Sie zum Konfigurieren der beiderseitigen Authentifizierung die folgenden Aufgaben aus:
Damit die beiderseitige Authentifizierung ordnungsgemäß funktioniert, brauchen Sie ein Serverzertifikat für die Engine und ein Client-Zertifikat für den Remote Loader. Sie können die Zertifikate von eDirectory exportieren oder sie von einem Drittanbieter importieren. In den meisten Fällen exportieren Sie ein Serverzertifikat von eDirectory ohne zusätzliche Kosten. In einigen Fällen möchten Sie möglicherweise ein Drittanbieter-Client-Zertifikat für den Remote Loader exportieren.
Ein Zertifikatsobjekt im Identitätsdepot wird KMO (Key Material Object) genannt. Dieses Objekt enthält sowohl die Zertifikatsdaten einschließlich des öffentlichen Schlüssels und den privaten Schlüssel, der mit dem für SSL-Verbindungen verwendeten Zertifikat verknüpft ist. Für die beiderseitige Authentifizierung benötigen Sie zwei KMOs , jeweils eines für die Engine und eines für den Remote Loader.
Sie können ein vorhandenes KMO exportieren oder ein neues KMO erstellen und es dann exportieren. Die Abläufe beim Erstellen eines Client-KMO und eines Server-KMO sind nicht identisch.
So erstellen Sie ein Server-KMO:
Melden Sie sich bei NetIQ iManager an.
Klicken Sie im linken Bereich auf NetIQ-Zertifikatserver und wählen Sie das Serverzertifikat aus.
Wählen Sie den Server aus, der als Eigentümer für das erstellte Zertifikat fungieren soll.
Geben Sie einen Kurznamen für das Zertifikat ein. Beispiel: serverkmo.
Wählen Sie für die Zertifikaterstellungsmethode die Option Standard und klicken Sie auf Weiter.
Überprüfen Sie die Zusammenfassung, klicken Sie auf Fertig stellen und anschließend auf Schließen.
So erstellen Sie ein Client-KMO:
Melden Sie sich bei NetIQ iManager an.
Klicken Sie im linken Bereich auf NetIQ-Zertifikatserver und wählen Sie das Serverzertifikat aus.
Wählen Sie den Server aus, der als Eigentümer für das erstellte Zertifikat fungieren soll.
Geben Sie einen Kurznamen für das Zertifikat ein. Beispiel: clientkmo
Wählen Sie für die Zertifikaterstellungsmethode die Option Benutzerdefiniert und klicken Sie auf Weiter.
Behalten Sie die standardmäßige Organisations-Zertifizierungsstelle unverändert bei und klicken Sie auf Weiter.
Deaktivieren Sie die Option Erweiterte Schlüsselnutzung aktivieren und klicken Sie auf Weiter.
Übernehmen Sie die restlichen Standardeinstellungen für das Zertifikat.
Überprüfen Sie die Zusammenfassung, klicken Sie auf Fertig stellen und anschließend auf Schließen.
Exportieren Sie die KMOs aus eDirectory, die die Engine und der Remote Loader zur gegenseitigen Authentifizierung verwenden.
Führen Sie zum Exportieren des KMO für die Identity Manager-Engine das DirXML-Befehlszeilen-Dienstprogramm (dxcmd) aus:
dxcmd -user <admin DN> -password <password of admin> -exportcerts <kmoname> <server|client> <java|native|dotnet> <output dir>
Hierbei gilt:
user gibt den Namen eines Benutzers mit Verwaltungsrechten für den Treiber an.
password gibt das Passwort des Benutzers mit Verwaltungsrechten für den Treiber an.
exportcerts exportiert die Zertifikate und privaten/öffentlichen Schlüssel von eDirectory. Sie müssen angeben, ob Sie ein Server- oder Client-Zertifikat exportieren, welcher Treibertyp das Zertifikat verwendet und in welchem Zielordner der Befehl diese Informationen speichert.
Beispiel: dxcmd -user admin.sa.system -password novell -exportcerts serverkmo server java '/home/certs'
Dieser Befehl generiert die Datei serverkmo_server.ks im Verzeichnis /home/certs/. Das Standardpasswort für den Keystore lautet dirxml.
Bei der Ausführung des dxcmd-Befehls zum Exportieren des KMO für den Remote Loader gelten die folgenden Überlegungen:
Das dxcmd-Dienstprogramm wird im LDAP-Modus ausgeführt. Wenn Sie es zum ersten Mal verwenden, werden Sie aufgefordert, anzugeben, in welcher Weise Sie dem Zertifikat von eDirectory vertrauen möchten. Abhängig von Ihrer Umgebung wählen Sie, dass Sie dem Zertifikat nur für die aktuelle Sitzung oder für die aktuelle und zukünftige Sitzung vertrauen oder dass Sie allen Zertifikaten vertrauen. Sie können auch auswählen, dass dem Zertifikat nicht vertraut werden soll.
Führen Sie den Befehl entweder im LDAP-Format oder im DOT-Format aus, wenn der Remote Loader auf dem Identity Manager-Server ausgeführt wird. Führen Sie den Befehl nur im LDAP-Format aus, wenn der Remote Loader auf einem separaten Server installiert ist.
Geben Sie den -host-Parameter im Befehl an, um die Server-IP-Adresse oder den Hostnamen aufzulösen und sich beim Identity Manager-Server zu authentifizieren.
Führen Sie den Befehl mit der folgenden Syntax aus:
dxcmd -dnform ldap -host <IP-Adresse des Hosts> -user <Administrator-DN> -password <Passwort des Administrators> -exportcerts <KMO-Name> <Client> <java|native|dotnet> <Ausgabeverzeichnis>
Tabelle 11-1 Beispiele für verschiedene Treibertypen
|
Treibertyp |
Befehl |
Ausgabe |
|---|---|---|
|
Java-Treiber |
dxcmd -dnform ldap -host 192.168.0.1 -user cn=admin,ou=sa,o=system -password novell -exportcerts clientkmo client java '/home/certs' |
Datei clientkmo_client.ks im Verzeichnis /home/certs/ Das Standardpasswort für den Keystore lautet dirxml. |
Zur Verwendung von Drittanbieter-Zertifikaten mit dem Remote Loader müssen Sie ein Zertifikat in die PFX-Datei exportieren sowie eine Herkunftsverbürgungsdatei im Base 64-Format und anschließend das PFX-Zertifikat in das Format konvertieren, das der Treiber verwendet. Beispiel: Ein nativer Treiber benötigt den privaten Schlüssel und den Zertifikatsschlüssel im PEM-Format, während ein Java-Treiber den Keystore im JKS-Format benötigt.
Erstellen Sie einen Java-Keystore aus der PFX-Datei. Geben Sie einen Befehl ein, beispielsweise keytool -importkeystore -srckeystore servercert.pfx -srcstoretype pkcs12 -destkeystore servercert.jks -deststoretype JKS.
Geben Sie im letzten Schritt abhängig vom Treibertyp die Informationen in der Konfigurationsdatei für den Remote Loader an. Weitere Informationen finden Sie unter Aktivieren eines Treibers für die beiderseitige Authentifizierung.
Sie aktivieren eine Treiberkommunikation für die beiderseitige Authentifizierung, indem Sie die folgenden Aufgaben ausführen:
Sie haben die Möglichkeit, den Treiber mit KMO oder Keystore in Designer oder iManager zu konfigurieren.
In Designer wird der Treiber im ersten Treibererstellungsvorgang oder nach Erstellung des Treibers konfiguriert.
So konfigurieren Sie einen Treiber in Designer:
Öffnen Sie Ihr Projekt in Designer.
Wählen Sie in der Palette der Ansicht "Modellierer" den zu erstellenden Treiber aus.
Ziehen Sie das Symbol für den Treiber auf die Ansicht "Modellierer".
Befolgen Sie die Anweisungen im Installationsassistenten.
Wählen Sie im Remote Loader-Fenster die Option Ja.
Hostname: Geben Sie den Hostnamen oder die IP-Adresse des Servers an, auf dem der Remote Loader-Service ausgeführt wird. Beispiel: Geben Sie hostname=192.168.0.1 ein. Wenn Sie für diesen Parameter keinen Wert angeben, wird standardmäßig der Wert "localhost" verwendet.
Port: Geben Sie die Nummer des Ports an, an dem der Remote Loader installiert ist und für diesen Treiber ausgeführt wird. Die Standard-Port-Nummer lautet 8090.
KMO: Geben Sie den Schlüsselnamen des KMO an, das die Schlüssel und das Zertifikat enthält, die der Remote Loader für eine SSL-Verbindung verwendet. Beispiel: Geben Sie kmo=serverkmo ein. Wenn Sie die beiderseitige Authentifizierung mit KMO konfigurieren, müssen Sie einen Wert für diesen Parameter angeben. Außerdem müssen Sie einen Wert für den Parameter Stammdatei unter „Andere Parameter“ angeben.
Andere Parameter: Legen Sie die Einstellungen für den zu verwendenden Remote Loader fest. In diesem Parameter fügen Sie Informationen zur Kommunikation bei der beiderseitigen Authentifizierung hinzu. Die festgelegten Parameter müssen das folgende Schlüsselwertformat aufweisen: paraName1=paraValue1 paraName2=paraValue2
Verwenden Sie beispielsweise das folgende Format für Keystore:
UseMutualAuth=true keystore='/home/certs/serverkmo_server.ks' storepass='dirxml' keypass='dirxml' key='serverkmo'
Verwenden Sie beispielsweise die folgende Syntax für KMO:
useMutualAuth=true rootFile='/home/cacert.b64'
Remote-Passwort: Legen Sie das Remote Loader-Passwort fest.
Treiberpasswort: Geben Sie das Treiberpasswort an.
Klicken Sie auf Weiter.
Befolgen Sie die restlichen Anweisungen im Assistenten, bis die Installation des Treibers abgeschlossen ist.
Sehen Sie sich die Zusammenfassung der Aufgaben an, die zur Erstellung des Treibers ausgeführt werden. Klicken Sie anschließend auf Fertig stellen.
Alternativ wird der Treiber nach seiner Erstellung konfiguriert. Führen Sie dazu die folgenden Schritte durch:
Klicken Sie in der Ansicht "Gliederung" in Designer mit der rechten Maustaste auf den Treiber.
Wählen Sie Eigenschaften aus.
Wählen Sie im Navigationsbereich die Option Treiberkonfiguration aus.
Wählen Sie Authentifizierung aus.
Geben Sie im Abschnitt Remote Loader-Authentifizierung die Informationen an, die zur Konfiguration der beiderseitigen Authentifizierung zwischen dem Remote Loader und der Identity Manager-Engine erforderlich sind.
Verwenden Sie die folgende Syntax für KMO:
hostname=xxx.xxx.xxx.xxx port=xxxx useMutualAuth=true kmo=certificatename rootFile=<absolute path to the file>
Beispiel:
hostname=192.168.0.1 port=8090 useMutualAuth=true kmo=serverkmo rootFile='/home/cacert.b64'
Verwenden Sie die folgende Syntax für Keystore:
hostname=xxx.xxx.xxx.xxx port=xxxx useMutualAuth=true keystore=<absolute path to the keystore file> storepass=<keystore password> key=<alias name> keypass= <password for the key>
Beispiel:
hostname=192.168.0.1 port=8097 useMutualAuth=true keystore='/home/certs/serverkmo_server.ks' storepass='dirxml' key='serverkmo' keypass='dirxml'
So bearbeiten Sie die Konfiguration in iManager:
Starten Sie iManager.
Wählen Sie unter Überblick das gewünschte Identity Manager-Treiberobjekt aus.
Führen Sie in den Eigenschaften des Treiberobjekts die folgenden Schritte aus:
Aktivieren Sie unter Treibermodul die Option Verbindung zu Remote Loader aufbauen.
Geben Sie unter Treiberobjektpasswort das Passwort ein, mit dem sich der Remote Loader bei der Engine authentifiziert.
Dieses Passwort muss mit dem Passwort übereinstimmen, das im Remote Loader für das Treiberobjekt definiert ist.
Geben Sie unter Verbindungsparameter für Remote Loader die erforderlichen Informationen zum Herstellen der Verbindung zum Remote Loader an.
Verwenden Sie die folgende Syntax für KMO:
hostname=xxx.xxx.xxx.xxx port=xxxx useMutualAuth=true kmo=certificatename rootFile=<absolute path to the file>
Beispiel:
hostname=192.168.0.1 port=8090 useMutualAuth=true kmo=serverkmo rootFile='/home/cacert.b64'
Verwenden Sie die folgende Syntax für Keystore:
hostname=xxx.xxx.xxx.xxx port=xxxx useMutualAuth=true keystore=<absolute path to the keystore file> storepass=<keystore password> key=<alias name> keypass= <password for the key>
Beispiel:
hostname=192.168.0.1 port=8097 useMutualAuth=true keystore='/home/certs/serverkmo_server.ks' storepass='dirxml' key='serverkmo' keypass='dirxml'
(Optional) Geben Sie unter Remote Loader-Passwort das Passwort an, mit dem sich die Identity Manager-Engine (oder das Remote Loader-Schnittstellenmodul) beim Remote Loader authentifiziert.
Klicken Sie auf Anwenden und dann auf OK.
Sie müssen die Treiberinstanz in der Remote Loader-Konfigurationsdatei konfigurieren. Geben Sie unbedingt den absoluten Pfad zu dem Verzeichnis, in dem die Schlüsseldatei, die Zertifikatsdatei und die Stammdatei gespeichert sind, in der Remote Loader-Konfigurationsdatei für einen Treiber an.
Ergänzen Sie die Remote Loader-Konfigurationsdatei für einen Treiber mit dem Inhalt, der zur Aktivierung der beiderseitigen Authentifizierung erforderlich ist. Die Datei befindet sich im Verzeichnis /opt/novell/dirxml/doc.
So bearbeiten Sie die Konfiguration:
Melden Sie sich bei dem Server an, auf dem Sie den Treiber und Remote Loader installiert haben.
Stoppen Sie den Remote Loader.
Geben Sie beispielsweise den folgenden Befehl ein:
rdxml -config /home/drivershim.conf -uGeben Sie das Keystore- oder Schlüsselpasswort an (je nach Remote Loader-Typ):
Geben Sie die Kombination aus Keystore-Passwort und Schlüsselpasswort mit der folgenden Syntax an:
dirxml_jremote -config /home/drivershim.conf -ksp <keystorepassword> -kp <keypassword>
Beispiel:
dirxml_jremote -config /home/drivershim.conf -ksp dirxml -kp dirxmlGeben Sie das Schlüsselpasswort mit der folgenden Syntax an:
dirxml_jremote -config /home/drivershim.conf -kp <keypassword>
Beispiel:
dirxml_jremote -config /home/drivershim.conf -kp dirxmlÖffnen Sie in einem Texteditor die Remote Loader-Konfigurationsdatei für den Treiber.
Fügen Sie der Datei den Inhalt hinzu, der zur Aktivierung der beiderseitigen Authentifizierung erforderlich ist.
Beispieleintrag für einen Java-Treiber:
-connection "port=8090 useMutualAuth=true keystore='/home/certs/clientkmo_client.ks' key='clientkmo'
Beispieleintrag für einen nativen Treiber:
-connection "useMutualAuth=true port=8090 rootfile='/home/certs/trustedcert.b64' certfile='/home/certs/clientkmo_clientcert.pem' keyfile='/home/certs/clientkmo_clientkey.pem' certform=PEM keyform=PEM"
Speichern und schließen Sie die Datei.
Starten Sie den Treiber neu.
Starten Sie den Remote Loader. Beispiel:
dirxml_remote -config config.txt
Starten Sie das Remote-Schnittstellenmodul mit iManager.
Stellen Sie sicher, dass der Remote Loader ordnungsgemäß funktioniert.
Stoppen Sie den Remote Loader. Beispiel:
dirxml_remote -config config.txt -u
Sie können jede Plattform so konfigurieren, dass beim Hochfahren des Hostcomputers automatisch eine Treiberinstanz gestartet wird. Außerdem können Sie eine Instanz manuell starten.
NetIQ bietet zwei Möglichkeiten zum Starten einer Treiberinstanz für den Remote Loader:
Sie können eine Treiberinstanz für den Remote Loader so konfigurieren, dass sie beim Hochfahren des Computers automatisch gestartet wird. Speichern Sie die Konfigurationsdatei im Verzeichnis /etc/opt/novell/dirxml/rdxml.
Die Binärkomponente rdxml unterstützt die Befehlszeilenfunktionen für den Remote Loader. Diese Komponente befindet sich standardmäßig im Verzeichnis /usr/bin/.
Öffnen Sie eine Befehlszeilen-Eingabeaufforderung.
(Bedingt) Geben Sie die Passwörter zum Authentifizieren der Treiberinstanz bei der Identity Manager-Engine mit einem der folgenden Befehle ein:
Remote Loader: rdxml -config filename –keystorepassword <Keystore-Passwort> -keypassword <Schlüsselpasswort>
Java Remote Loader: dirxml_jremote -config filename -keystorepassword <Keystore-Passwort> -keypassword <Schlüsselpasswort>
(Bedingt) Wenn die beiderseitige Authentifizierung zwischen der Treiberinstanz für den Remote Loader und der Identity Manager-Engine aktiviert ist, geben Sie die Zertifikatspasswörter mit einem der folgenden Befehle an:
Remote Loader: rdxml -config filename -keystorepassword <Keystore-Passwort> -keypassword <Schlüsselpasswort>
Java Remote Loader: dirxml_jremote -config filename -keypassword <Schlüsselpasswort>
Starten Sie die Treiberinstanz mit dem folgenden Befehl:
rdxml -config Dateiname
Melden Sie sich bei iManager an, und starten Sie den Treiber.
Stellen Sie sicher, dass der Remote Loader ordnungsgemäß funktioniert.
Prüfen Sie mit dem Befehl ps oder mit einer Trace-Datei, ob die Befehls- und Verbindungsports überwacht werden.
Der Remote Loader lädt das Identity Manager-Anwendungsschnittstellenmodul nur dann, wenn der Remote Loader mit dem Remote-Schnittstellenmodul auf dem Server der Identity Manager-Engine kommuniziert. Dies bedeutet beispielsweise, dass das Anwendungsschnittstellenmodul heruntergefahren wird, wenn der Remote Loader die Kommunikation mit dem Server der Identity Manager-Engine verliert.
Für jede Plattform gilt eine andere Methode, mit der Sie eine Treiberinstanz im Remote Loader anhalten.
HINWEIS:
Wenn mehrere Remote Loader-Instanzen auf einem LINUX-Computer ausgeführt werden, geben Sie auch die Option -cp Befehlsport an, damit der Remote Loader die entsprechende Instanz anhalten kann.
Zum Anhalten einer Treiberinstanz müssen Sie entweder über ausreichende Rechte verfügen oder das Remote Loader-Passwort angeben. Sie besitzen genügend Rechte, den Dienst zu stoppen. Sie geben ein ungültiges Passwort ein. Der Remote Loader wird dennoch angehalten, weil der Remote Loader das Passwort nicht im eigentlichen Sinne „akzeptiert“. Da das Passwort jedoch in diesem Fall nicht erforderlich ist, wird es ignoriert. Wenn Sie den Remote Loader als Anwendung und nicht als Dienst ausführen, wird das Passwort verwendet.
So halten Sie eine Treiberinstanz an:
Geben Sie den Befehl rdxml -config Dateiname -u ein. Beispiel:
rdxml -config config.txt -u
Geben Sie den Befehl dirxml_jremote -config Dateiname -u ein. Beispiel:
dirxml_jremote -config config.txt -u