In diesem Abschnitt finden Sie schrittweise Anleitungen zum Installieren einer neuen Instanz der Identitätsanwendungen auf Tomcat und der anschließenden Konfiguration für ein Clustering.
Installieren Sie die Identity Manager 4.7-Engine. Schrittweise Anleitungen finden Sie unter Abschnitt 9.1, Installieren der Identity Manager-Engine. Für eine Bereitstellung auf Produktionsebene empfiehlt es sich, die Identity Manager-Engine auf einem separaten Server zu installieren.
Installieren Sie die Datenbank für die Identitätsanwendungen. Sie können die PostgreSQL-Datenbank verwenden, die zusammen mit den Identitätsanwendungen installiert wird. Es wird jedoch empfohlen, die Datenbank auf einem separaten Server zu installieren.
Installieren und konfigurieren Sie die Identitätsanwendungen auf Knoten1.
Bei der Installation müssen Sie:
die Option für eine neue Datenbank wählen
eine eindeutige Workflow-Engine-ID angeben. Beispiel: Knoten1.
die Datenbank-jar-Datei in allen Benutzeranwendungsknoten im Cluster bereitstellen. Für PostgreSQL befindet sich die Datei postgresql-9.4.1212.jar im Verzeichnis /opt/netiq/idm/postgres.
Die Identitätsanwendungen verschlüsseln vertrauliche Daten mit einem Master-Schlüssel. Das Installationsprogramm erstellt bei der Konfiguration der Identitätsanwendungen einen neuen Master-Schlüssel. In einem Cluster muss für das Benutzeranwendungs-Clustering jede Instanz der Benutzeranwendung denselben Master-Schlüssel verwenden. Der Master-Schlüssel wird in der Eigenschaft com.novell.idm.masterkey in der Datei ism-configuration.properties im Verzeichnis /opt/netiq/idm/apps/tomcat/conf/ gespeichert.
Weitere Anweisungen finden Sie unter Abschnitt 9.3, Installieren von Identitätsanwendungen.
Installieren und konfigurieren Sie die Identitätsanwendungen auf Knoten2.
Bei der Installation müssen Sie:
die Option für eine vorhandene Datenbank wählen
eine eindeutige Workflow-Engine-ID angeben. Beispiel: Knoten2.
die Datenbank-jar-Datei in allen Benutzeranwendungsknoten im Cluster bereitstellen. Für PostgreSQL befindet sich die Datei postgresql-9.4.1212.jar im Verzeichnis /opt/netiq/idm/postgres.
Sobald Sie die Konfiguration der Benutzeranwendung auf Knoten2 abgeschlossen haben, kopieren Sie den Wert des Master-Schlüssels aus der Datei „ism-configuration.properties“ in Knoten1 und ersetzen Sie den entsprechenden Wert für den Master-Schlüssel in der Datei „ism-configuration.properties“ in Knoten2. Der Master-Schlüssel ist in der Eigenschaft „com.novell.idm.masterkey“ in der Datei „ism-configuration.properties“ („/opt/netiq/idm/apps/tomcat/conf/“) gespeichert.
Installieren Sie SSPR auf einem separaten Computer.
Notieren Sie sich vor der Installation die folgenden Einstellungen und geben Sie diese während des Installationsvorgangs an:
Starten Sie Tomcat nach der Installation von SSPR. Starten Sie dann SSPR (http://<IP>:<Port>/sspr/private/config/ConfigEditor) und melden Sie sich an. Klicken Sie auf Konfigurationseditor > Einstellungen > Sicherheit > Whitelist-URL für die Umleitung.
Klicken Sie auf Wert hinzufügen und geben Sie die folgende URL an:
OSP: http://<DNS_für_Failover>:<Port>/osp
Speichern Sie die Änderungen.
Klicken Sie auf der Seite "SSPR-Konfiguration" auf Einstellungen > OAuth-SSO und bearbeiten Sie die OSP-Links; ersetzen Sie dazu die IP-Adressen durch den DNS-Namen des Servers, auf dem die Lastausgleichsoftware installiert ist.
Klicken Sie auf Einstellungen > Anwendung und aktualisieren Sie die Weiterleitungs- und Abmeldungs-URLs; ersetzen Sie dazu die IP-Adressen durch den DNS-Namen des Servers, auf dem die Lastausgleichsoftware installiert ist.
Starten Sie zur Aktualisierung der SSPR-Informationen auf Knoten1 das Konfigurationsprogramm unter /opt/netiq/idm/apps/UserApplication/configupdate.sh.
Klicken Sie auf SSO-Clients > Self Service Password Reset und geben Sie die Werte für die Parameter Client-ID, Passwort und URL zur Umleitung der OSP-Authentifizierung ein. Weitere Informationen finden Sie unter Abschnitt 22.3, Aktualisieren der SSPR-Links im Dashboard für eine dezentrale Umgebung oder eine Cluster-Umgebung.
HINWEIS:Vergewissern Sie sich, dass die Werte für diese Parameter in Knoten2 aktualisiert werden.
Stoppen Sie Tomcat in Knoten1 und generieren Sie eine neue osp.jks-Datei. Geben Sie dazu den DNS-Namen des Lastausgleichservers an und führen Sie den folgenden Befehl aus:
/opt/netiq/idm/jre/bin/keytool -genkey -keyalg RSA -keysize 2048 -keystore osp.jks -storepass <Passwort> -keypass <Passwort> -alias osp -validity 1800 -dname "cn=<IP/DNS_des_Lastausgleichprogramms>"
Beispiel: /opt/netiq/idm/jre/bin/keytool -genkey -keyalg RSA -keysize 2048 -keystore osp.jks -storepass changeit -keypass changeit -alias osp -validity 1800 -dname "cn=mydnsname"
HINWEIS:Das Schlüsselpasswort muss dasselbe sein wie das während der OSP-Installation angegebene Passwort. Alternativ kann dies auch mit dem Konfigurationsaktualisierungsprogramm und dem Keystore-Passwort geändert werden.
(Bedingt) Führen Sie folgenden Befehl aus, um zu überprüfen, ob die osp.jks-Datei mit den Änderungen aktualisiert wurde:
/opt/netiq/idm/jre/bin/keytool -list -v -keystore osp.jks -storepass changeit
Sichern Sie die ursprüngliche osp.jks-Datei, die sich unter /opt/netiq/idm/apps/osp_sspr/osp/ befindet, und kopieren Sie die neue osp.jks-Datei an diesen Speicherort.
Kopieren Sie die neue osp.jks-Datei, die sich unter /opt/netiq/idm/apps/osp_sspr/osp/ befindet, von Knoten1 in alle anderen Benutzeranwendungsknoten im Cluster.
Starten Sie das Konfigurationsprogramm in Knoten1 und ändern Sie alle URL-Einstellungen wie den URL-Link zur Landeseite und die OAuth-Umleitungs-URL zum DNS-Namen des Lastausgleichprogramms auf der Registerkarte „SSO-Client“.
Speichern Sie die Änderungen im Konfigurationsprogramm.
Kopieren Sie die Datei ism-configuration.properties unter /TOMCAT_INSTALLED_HOME/conf von Knoten1 in alle anderen Benutzeranwendungsknoten im Cluster.
HINWEIS:Sie haben die Datei ism.properties von Knoten1 in alle anderen Knoten im Cluster kopiert. Wenn Sie bei der Installation der Benutzeranwendung Pfade angegeben haben, müssen Sie dafür sorgen, dass die entsprechenden Pfade korrigiert werden; verwenden Sie dazu das Konfigurationsaktualisierungsprogramm in den Clusterknoten.
In diesem Szenario sind OSP und die Benutzeranwendung auf demselben Server installiert; daher wird für die Umleitungs-URLs derselbe DNS-Name verwendet.
Wenn OSP und Benutzeranwendung auf verschiedenen Servern installiert sind, müssen Sie die OSP-URLs zu einem anderen DNS-Namen ändern, der auf das Lastausgleichprogramm verweist. Wiederholen Sie dies für alle Server, auf denen OSP installiert ist. Dadurch werden alle OSP-Anforderungen über das Lastausgleichprogramm an den DNS-Namen des OSP-Clusters zugestellt. Dazu muss für OSP-Knoten ein separater Cluster vorhanden sein.
Führen Sie die folgenden Schritte in der Datei setenv.sh im Verzeichnis /TOMCAT_INSTALLED_HOME/bin/ durch:
Für ein erfolgreiches mcast_addr-Binding muss für JGroups die Eigenschaft preferIPv4Stack auf true festgelegt sein. Fügen Sie dazu die JVM-Eigenschaft "-Djava.net.preferIPv4Stack=true” in Datei setenv.sh in allen Knoten hinzu.
Fügen Sie der setenv.sh-Datei in Knoten1 -Dcom.novell.afw.wf.Engine-id="Engine1" hinzu. Fügen Sie entsprechend einen eindeutigen Engine-Namen für jeden Knoten im Cluster hinzu. Beispiel: Für Knoten2 fügen Sie den Engine-Namen als Engine2 hinzu.
Aktivieren Sie das Clustering in der Benutzeranwendung.
Starten Sie Tomcat in Knoten1.
Starten Sie keine anderen Server.
Melden Sie sich bei der Benutzeranwendung als Administrator der Benutzeranwendung an.
Klicken Sie auf die Registerkarte Administration.
Die Benutzeranwendung zeigt das Portal zur Anwendungskonfiguration an.
Klicken Sie auf Caching.
Die Benutzeranwendung zeigt die Seite "Cache-Management" an.
Wählen Sie True für die Eigenschaft Cluster aktiviert aus.
Klicken Sie auf Speichern.
Starten Sie Tomcat neu.
HINWEIS:Wenn Sie "Lokale Einstellungen aktivieren" ausgewählt haben, wiederholen Sie diesen Vorgang für jeden Server im Cluster.
Der Benutzeranwendungscluster verwendet JGroups für die Cache-Synchronisierung in allen Knoten mit der Standard UDP. Soll dieses Protokoll auf TCP umgestellt werden, befolgen Sie die Anweisungen unter Portal Configuration Tasks (Portalkonfigurationsaufgaben) in NetIQ Analyzer for Identity Manager Administration Guide (Administratorhandbuch zu NetIQ Analyzer für Identity Manager).
Aktivieren Sie den Berechtigungsindex für das Clustering.
Melden Sie sich bei iManager auf Knoten1 an und navigieren Sie zu Objekte anzeigen.
Navigieren Sie unter System zum Treibersatz mit dem Benutzeranwendungstreiber.
Wählen Sie AppConfig > AppDefs > Konfiguration aus.
Wählen Sie das XMLData-Attribut aus, und legen Sie die Eigenschaft com.netiq.idm.cis.clustered auf true fest.
Beispiel:
<Eigenschaft>
<Schlüssel>com.netiq.idm.cis.clustered</Schlüssel>
<Wert>true</Wert>
</Eigenschaft>
Klicken Sie auf OK.
Aktivieren Sie den Tomcat-Cluster.
Öffnen Sie die Tomcat server.xml -Datei unter /TOMCAT_INSTALLED_HOME/conf/ und kommentieren Sie diese Zeile in dieser Datei in allen Clusterknoten aus:
<Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster"/>
Befolgen Sie für die erweiterte Tomcat-Clustering-Konfiguration die Schritte unter https://tomcat.apache.org/tomcat-8.5-doc/cluster-howto.html.
Starten Sie Tomcat in allen Knoten neu.
Konfigurieren Sie den Benutzeranwendungstreiber für das Clustering.
In einem Cluster muss der Benutzeranwendungstreiber so konfiguriert sein, dass er den DNS-Namen des lokalen Lastausgleichprogramms für den Cluster verwendet. Sie konfigurieren den Benutzeranwendungstreiber mit iManager.
Melden Sie sich bei iManager an, der Ihre Identity Manager-Engine verwaltet.
Klicken Sie im Navigationsrahmen von iManager auf Identity Manager-Knoten.
Klicken Sie auf Identity Manager-Überblick.
Zeigen Sie auf der Seite "Suche" den Identity Manager-Überblick für den Treibersatz an, der Ihren Benutzeranwendungstreiber und den Rollen- und Ressourcenservice-Treiber enthält.
Klicken Sie auf den runden Statusindikator in der rechten oberen Ecke des Treibersymbols:
Es wird ein Menü mit Befehlen zum Starten und Stoppen des Treibers und zum Bearbeiten der Treibereigenschaften angezeigt.
Wählen Sie Eigenschaften bearbeiten aus.
Ändern Sie im Abschnitt "Treiberparameter" Host zum Hostnamen oder der IP-Adresse des Dispatchers.
Klicken Sie auf OK.
Starten Sie den Treiber neu.
Wiederholen Sie zum Ändern der URL des Rollen- und Ressourcenservice-Treibers die Schritte 18a bis 18f und klicken Sie auf Treiberkonfiguration. Aktualisieren Sie die Benutzeranwendungs-URL mit dem DNS-Namen des Lastausgleichprogramms.
Vergewissern Sie sich, dass die Sitzungstreue für den Cluster aktiviert ist, der in der Lastausgleichsoftware für die Benutzeranwendungsknoten erstellt wurde.
Konfigurieren Sie die Client-Einstellungen im Identity Manager-Dashboard. Weitere Informationen finden Sie unter Modus zur Konfiguration der Client-Einstellungen im NetIQ Identity Manager – Administratorhandbuch für die Identitätsanwendungen.