NetIQ empfiehlt, die Voraussetzungen und die Computeranforderungen für die Identitätsanwendungen zu lesen, bevor Sie den Installationsvorgang beginnen. Weitere Informationen zum Konfigurieren der Benutzeranwendungsumgebung finden Sie im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
Überlegungen zur Installation der Identitätsanwendungen
Für die Installation der Identitätsanwendungen gelten die nachfolgenden Überlegungen.
-
Es ist eine unterstützte Version der folgenden Identity Manager-Komponenten erforderlich:
-
Identity Manager-Engine
-
Remote Loader
-
(Optional) NetIQ empfiehlt, das SSL-Protokoll (Secure Sockets Layer) für die Kommunikation zwischen den Identity Manager-Komponenten zu aktivieren. Zur Verwendung des SSL-Protokolls müssen Sie SSL in Ihrer Umgebung aktivieren und während der Installation angeben. Weitere Informationen zum Aktivieren von SSL finden Sie unter Konfigurieren der Sicherheit in den Identitätsanwendungen im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
-
Der Rollen- und Ressourcenservice-Treiber kann nicht zusammen mit dem Remote Loader genutzt werden, da der Treiber jClient verwendet.
-
Der Installationsvorgang legt die Programmdateien standardmäßig im Verzeichnis /opt/netiq/idm ab. Wenn die Benutzeranwendung in einem nicht standardmäßigen Speicherort installiert werden soll, muss das neue Verzeichnis den folgenden Voraussetzungen entsprechen, bevor Sie den Installationsvorgang beginnen können:
-
Das Verzeichnis ist vorhanden, und es kann in das Verzeichnis geschrieben werden.
-
Nicht-Root-Benutzer können in das Verzeichnis schreiben.
-
Jede Benutzeranwendungsinstanz kann nur jeweils einen einzigen Benutzer-Container verarbeiten. Sie können beispielsweise Benutzer nur zu dem Container hinzufügen, der mit der Instanz verknüpft ist, die Benutzer nur in diesem Container suchen und eine Abfrage nur für diesen Container durchführen. Außerdem sollte die Verknüpfung eines Benutzeranwendungscontainers mit einer Anwendung dauerhaft sein.
-
(Optional) Sollen Autorisierungen von verwalteten Systemen abgerufen werden, installieren Sie mindestens einen Identity Manager-Treiber.
-
Sie müssen Treiber verwenden, die von Identity Manager 4.6 oder höher unterstützt werden. Weitere Informationen zum Installieren dieser Treiber finden Sie in den einzelnen Treiberhandbüchern auf der Website zur NetIQ Identity Manager-Treiberdokumentation.
-
Damit die Treiber verwaltet werden können, müssen Designer oder die entsprechenden Plugins für iManager bereits installiert sein. Die iManager-Plugins befinden sich im Installationspaket für die Identity Manager-Engine.
Überlegungen zur Konfiguration und Nutzung der Identitätsanwendungen
Für die Konfiguration und die erste Verwendung der Identitätsanwendungen gelten die nachfolgenden Überlegungen.
-
Bevor die Benutzer auf die Identitätsanwendungen zugreifen können, müssen Sie die folgenden Schritte ausführen:
-
Stellen Sie sicher, dass alle erforderlichen Identity Manager-Treiber installiert sind.
-
Stellen Sie sicher, dass sich die Indizes für das Identitätsdepot im Online-Modus befinden. Weitere Informationen zum Konfigurieren eines Index während der Installation finden Sie in Sonstige.
-
Aktivieren Sie Cookies in allen Browsern. Die Anwendungen sind nicht funktionsfähig, wenn Cookies deaktiviert sind.
-
Während des Installationsvorgangs legt das Installationsprogramm Protokolldateien im Installationsverzeichnis ab. Diese Dateien enthalten Informationen über Ihre Konfiguration. Nach erfolgter Konfiguration der Identitätsanwendungen sollten Sie diese Dateien löschen oder an einem sicheren Speicherort aufbewahren. Während des Installationsvorgangs können Sie angeben, dass das Datenbankschema in eine Datei geschrieben werden soll. Da diese Datei beschreibende Informationen über Ihre Datenbank enthält, sollten Sie sie nach Abschluss der Installation an einem sicheren Speicherort aufbewahren.
-
(Bedingt) Soll eine Revision der Identitätsanwendungen erfolgen, müssen die Identitätsberichterstellung und ein Revisionsdienst in der Umgebung installiert und für die Erfassung von Ereignissen konfiguriert sein. Sie müssen außerdem die Identitätsanwendungen für die Revision konfigurieren.
Festlegen eines Speicherorts für den Berechtigungsindex
Beim Installieren der Identitätsanwendungen wird ein Berechtigungsindex für Tomcat angelegt. Wenn Sie keinen Speicherort für diesen Index angeben, erstellt das Installationsprogramm einen Ordner in einem temporären Verzeichnis. Beispiel: /opt/netiq/idm/apps/tomcat/temp/permindex auf Tomcat.
In einer Testumgebung ist der Speicherort im Normalfall unerheblich. In einer Produktions- oder Staging-Umgebung sollte der Berechtigungsindex jedoch nicht in einem temporären Verzeichnis abgelegt werden.
So legen Sie einen Speicherort für den Berechtigungsindex fest:
-
Halten Sie Tomcat an.
-
Öffnen Sie die Konfigurationsdatei ism-configuration.properties in einem Texteditor.
-
Fügen Sie am Ende der Datei den folgenden Text an:
com.netiq.idm.cis.indexdir = path/permindex
Beispiel:
com.netiq.idm.cis.indexdir = /opt/netiq/idm/apps/tomcat/temp/permindex
-
Speichern und schließen Sie die Datei.
-
Löschen Sie den vorhandenen Ordner permindex im temporären Verzeichnis.
-
Starten Sie Tomcat.
Aktivieren des Berechtigungsindex für das Clustering
In diesem Abschnitt finden Sie Anweisungen zur Aktivierung des Berechtigungsindex für das Clustering.
-
Melden Sie sich bei iManager im ersten Knoten des Clusters an und navigieren Sie zu .
-
Navigieren Sie unter zum Treibersatz mit dem .
-
Wählen Sie > > aus.
-
Wählen Sie das XMLData-Attribut aus, und legen Sie die Eigenschaft com.netiq.idm.cis.clustered auf fest.
Beispiel:
<Eigenschaft>
<Schlüssel>com.netiq.idm.cis.clustered</Schlüssel>
<Wert>true</Wert>
</Eigenschaft>
-
Klicken Sie auf .
Voraussetzungen für die Installation der Datenbank für die Identitätsanwendungen
In der Datenbank werden die Identitätsanwendungsdaten und die Konfigurationsinformationen gespeichert.
Beachten Sie vor dem Installieren der Datenbankinstanz die folgenden Voraussetzungen:
-
Zum Konfigurieren einer Datenbank für die Verwendung mit Tomcat müssen Sie einen JDBC-Treiber erstellen. Die Identitätsanwendungen greifen über Standard-JDBC-Aufrufe auf die Datenbank zu und nehmen auch die Aktualisierung der Datenbank über diese Aufrufe vor. Die Identitätsanwendungen stellen über eine JDBC-Datenquelle, die an den JNDI-Baum gebunden ist, eine Verbindung mit der Datenbank her.
-
Es muss eine Datenquellendatei vorhanden sein, die auf die Datenbank verweist. Das Installationsprogramm für die Benutzeranwendung erstellt einen Datenquelleneintrag für Tomcat in server.xml und context.xml, der auf die Datenbank verweist.
-
Vergewissern Sie sich, dass Ihnen die folgenden Informationen vorliegen:
-
Host und Port des Datenbankservers.
-
Name der zu erstellenden Datenbank. Die Standard-Datenbank für die Identitätsanwendungen ist idmuserappdb.
-
Benutzername und Passwort für die Datenbank. Der Datenbankbenutzername muss zu einem Administratorkonto gehören oder über ausreichende Rechte zum Erstellen von Tabellen auf dem Datenbankserver verfügen. Der standardmäßige Administrator für die Benutzeranwendung ist idmadmin.
-
Die Treiber-.jar-Datei für die zu verwendende Datenbank (beim Hersteller der Datenbank erhältlich). NetIQ unterstützt keine Treiber-JAR-Dateien von Drittanbietern.
-
Die Datenbankinstanz kann sich auf dem lokalen Computer oder auf einem verbundenen Server befinden.
-
Der Datenbank-Zeichensatz muss die Unicode-Kodierung nutzen. So ist beispielsweise UTF-8 ein Zeichensatz, der die Unicode-Kodierung verwendet, Latin-1 hingegen verwendet keine Unicode-Kodierung. Weitere Informationen zum Festlegen des Zeichensatzes finden Sie in Konfigurieren des Zeichensatzes oder Konfigurieren einer Oracle-Datenbank.
-
Bei der Sortierung muss zwischen Groß- und Kleinschreibung unterschieden werden, damit keine Fehler durch doppelte Schlüssel entstehen. Wenn ein Fehler durch doppelte Schlüssel auftritt, müssen Sie die Sortierung überprüfen und korrigieren. Installieren Sie anschließend die Identitätsanwendungen erneut.
-
(Bedingt) Soll eine Datenbankinstanz sowohl für die Revision als auch für die Identitätsanwendungen herangezogen werden, empfiehlt NetIQ, die Datenbank auf einem separaten dedizierten Server zu installieren, also nicht auf dem Server, auf dem Tomcat gehostet wird, auf dem wiederum die Identitätsanwendungen ausgeführt werden.
-
(Bedingt) Wenn Sie auf eine neue Version der Identitätsanwendungen migrieren, müssen Sie dieselbe Datenbank verwenden wie in der bisherigen Installation.
-
Die Datenbankserver ermöglichen jeweils das Datenbank-Clustering. NetIQ führt keine offiziellen Tests von Cluster-Datenbankkonfigurationen durch, da das Clustering unabhängig von der Funktionsfähigkeit des Produkts erfolgt. Cluster-Datenbankserver werden daher nur mit den folgenden Warnhinweisen unterstützt:
-
Standardmäßig ist die maximale Anzahl der Verbindungen auf 100 festgelegt. Dieser Wert ist möglicherweise zu niedrig, um die Workflow-Anforderungen in einem Cluster zu verarbeiten. Sie sehen möglicherweise die folgenden Ausnahmen:
(java.sql.SQLException: Data source rejected establishment of connection, message from server: "Too many connections."
Legen Sie die Variable max_connections in Datei my.cnf auf einen höheren Wert fest.
-
Unter Umständen müssen einige Funktionen oder Aspekte des Cluster-Datenbankservers deaktiviert werden. Beispielsweise muss die Transaktionsreproduktion in bestimmten Tabellen deaktiviert werden, da beim Einfügen eines doppelten Schlüssels bestimmte Bedingungen verletzt würden.
-
NetIQ bietet keine Hilfestellung beim Installieren, Konfigurieren oder Optimieren des Cluster-Datenbankservers. Dies gilt auch für die Installation der NetIQ-Produkte auf einem Cluster-Datenbankserver.
-
NetIQ setzt alles daran, mögliche Probleme im Zusammenhang mit der Nutzung von NetIQ-Produkten in einer Cluster-Datenbankumgebung zu beheben. Die Fehlersuchmethoden in einer komplexen Umgebung erfordern häufig eine enge Zusammenarbeit, damit Probleme gelöst werden können. NetIQ bietet die nötigen Fachkenntnisse für die Analyse, Planung und Fehlersuche der NetIQ-Produkte. Der Kunde muss Fachkenntnisse für die Analyse, Planung und Fehlersuche von Drittanbieterprodukten erbringen. NetIQ bittet die Kunden, die aufgetretenen Probleme zu reproduzieren oder das Verhalten der Komponenten in einer Umgebung ohne Clustering zu reproduzieren, sodass potenzielle Probleme mit der Cluster-Einrichtung von Problemen mit den NetIQ-Produkten getrennt werden können.
Konfigurieren der Datenbank für die Identitätsanwendungen
Die Datenbank für die Identitätsanwendungen unterstützt beispielsweise das Speichern der Konfigurationsdaten oder der Daten für Workflow-Aufgaben. Vor dem Installieren der Anwendungen muss die Datenbank installiert und konfiguriert sein. Weitere Informationen zu den unterstützten Datenbanken finden Sie in Systemanforderungen für die Identitätsanforderungen. Weitere Informationen zu den Überlegungen für die Benutzeranwendungsdatenbank finden Sie in Voraussetzungen für die Installation der Datenbank für die Identitätsanwendungen.
Konfigurieren einer Oracle-Datenbank
In diesem Abschnitt finden Sie die Konfigurationsoptionen zur Verwendung einer Oracle-Datenbank für die Benutzeranwendung. Weitere Informationen zu den unterstützten Oracle-Versionen finden Sie in Systemanforderungen für die Identitätsanforderungen.
Prüfen der Kompatibilitätsstufe der Datenbanken
Datenbanken aus verschiedenen Oracle-Versionen sind kompatibel, wenn Sie dieselben Funktionen unterstützen und diese Funktionen auf dieselbe Weise ausgeführt werden. Wenn sie nicht kompatibel sind, funktionieren bestimmte Funktionen oder Vorgänge möglicherweise nicht erwartungsgemäß. Beispielsweise wird das Schema nicht erstellt und die Identitätsanwendungen werden nicht bereitgestellt.
Führen Sie die folgenden Schritte aus, um die Kompatibilitätsstufe Ihrer Datenbank zu prüfen:
-
Aufbauen einer Verbindung zur Datenbank-Engine
-
Nach dem Aufbau einer Verbindung zur entsprechenden Instanz der SQL-Serverdatenbank-Engine klicken Sie unter auf den Servernamen.
-
Erweitern Sie und wählen Sie abhängig von der Datenbank entweder eine Benutzerdatenbank oder erweitern Sie und wählen Sie eine Systemdatenbank aus.
-
Klicken Sie mit der rechten Maustaste auf die Datenbank und klicken Sie dann auf .
Das Dialogfeld wird geöffnet.
-
Klicken Sie im Bereich auf .
Die aktuelle Kompatibilitätsstufe wird im Listenfeld angezeigt.
-
Geben Sie zur Prüfung der Nachfolgendes im Abfragefenster ein und klicken Sie auf .
SQL> SELECT name, value FROM v$parameter
WHERE name = 'compatible';
Die erwartete Ausgabe ist: 12.1.0.2
Konfigurieren des Zeichensatzes
Die Benutzeranwendungsdatenbank muss einen Zeichensatz mit Unicode-Kodierung nutzen. Legen Sie diesen Zeichensatz beim Erstellen der Datenbank mit der Option AL32UTF8 fest.
Überprüfen Sie mit dem folgenden Befehl, ob der UTF-8-Zeichensatz für eine Oracle 12c-Datenbank festgelegt ist:
select * from nls_database_parameters;
Wenn die Datenbank nicht für UTF-8 konfiguriert ist, gibt das System die folgenden Informationen zurück:
NLS_CHARACTERSET
WE8MSWIN1252
Ansonsten gibt das System die folgenden Informationen zurück, mit denen bestätigt wird, dass die Datenbank für UTF-8 konfiguriert ist:
NLS_CHARACTERSET
AL32UTF8
Weitere Informationen zum Konfigurieren eines Zeichensatzes finden Sie unter „Choosing an Oracle Database Character Set“ (Auswählen eines Zeichensatzes für eine Oracle-Datenbank).
Konfigurieren des Admin-Benutzerkontos
Die Benutzeranwendung setzt voraus, dass das Benutzerkonto für die Oracle-Datenbank bestimmte Rechte besitzt. Geben Sie die folgenden Befehle im SQL Plus-Dienstprogramm ein:
CREATE USER idmuser IDENTIFIED BY password
GRANT CONNECT, RESOURCE to idmuser
ALTER USER idmuser quota 100M on USERS;
Hierbei gilt: idmuser steht für das Benutzerkonto.
Konfigurieren einer SQL Server-Datenbank
In diesem Abschnitt finden Sie die Konfigurationsoptionen zur Verwendung einer SQL Server-Datenbank für die Benutzeranwendung. Weitere Informationen zu den unterstützten SQL Server-Versionen finden Sie in Systemanforderungen für die Identitätsanforderungen.
Konfigurieren des Zeichensatzes
Bei SQL Server ist es nicht möglich, den Zeichensatz für Datenbanken auszuwählen. Die Benutzeranwendung speichert SQL Server-Zeichendaten als NCHAR-Spaltentyp, der UTF-8 unterstützt.
Konfigurieren des Admin-Benutzerkontos
Erstellen Sie nach dem Installieren von Microsoft SQL Server eine Datenbank und einen Datenbankbenutzer mit einer Anwendung wie SQL Server Management Studio. Das Datenbankbenutzerkonto muss die folgenden Rechte aufweisen:
-
CREATE TABLE
-
DELETE
-
INSERT
-
SELECT
-
UPDATE
HINWEIS:Die JDBC-JAR-Version sqljdbc42.jar wird empfohlen.
Voraussetzungen für die Installation der Identitätsanwendungen in einer Cluster-Umgebung
Wenn die Datenbank für die Identitätsanwendungen in einer Umgebung installiert werden soll, in der sich Tomcat-Cluster befinden, sind die folgenden Überlegungen zu beachten:
-
Der Cluster muss einen eindeutigen Clusterpartitionsnamen, eine Multicast-Adresse und einen Multicast-Port aufweisen. Mithilfe dieser eindeutigen Kennungen werden mehrere Cluster voneinander unterschieden, sodass Leistungsprobleme und ungewöhnliches Verhalten vermieden werden.
-
Für jedes Mitglied des Clusters müssen Sie dieselbe Port-Nummer als Listener-Port für die Datenbank der Identitätsanwendungen angeben.
-
Für jedes Mitglied des Clusters müssen Sie denselben Hostnamen oder dieselbe IP-Adresse für den Server angeben, auf dem die Datenbank der Identitätsanwendungen gehostet wird.
-
Die Uhren der Server im Cluster müssen synchronisiert werden. Wenn die Serveruhren nicht synchronisiert sind, kann eine frühzeitige Zeitüberschreitung von Sitzungen eintreten, sodass das HTTP-Sitzungs-Failover nicht einwandfrei funktioniert.
-
NetIQ rät davon ab, mehrere Anmeldungen auf verschiedenen Browser-Registerkarten oder in verschiedenen Browser-Sitzungen auf demselben Host zu verwenden. Bei einigen Browsern werden die Cookies übergreifend über alle Registerkarten und Prozesse verwendet, sodass mehrere Anmeldungen zu Problemen beim HTTP-Sitzungs-Failover führen können (neben dem Risiko einer unbeabsichtigten Authentifizierung, wenn mehrere Benutzer an einem einzigen Computer arbeiten).
-
Die Clusterknoten befinden sich im selben Teilnetz.
-
Ein Failover-Proxy oder eine Lastausgleichlösung ist auf einem separaten Computer installiert.
Vorbereiten eines Clusters für die Identitätsanwendungen
Die Identitätsanwendungen unterstützen HTTP-Sitzungsreproduktion und Sitzungs-Failover. Wenn bei einem Knoten, auf dem eine Sitzung läuft, eine Fehlfunktion auftritt, wird die Sitzung auf einem anderen Server im Cluster fortgesetzt, ohne dass der Benutzer eingreifen müsste. Bevor Sie die Identitätsanwendung in einem Cluster installieren, bereiten Sie die Umgebung vor.
Erläuterungen zu Clustergruppen in Tomcat-Umgebungen
Die Benutzeranwendungs-Clustergruppe nutzt einen UUID-Namen, sodass das Risiko von Konflikten mit anderen Cluster-Gruppen, die die Benutzer ggf. zu ihren Servern hinzufügen, minimiert wird. Sie können die Konfigurationseinstellungen für die Benutzeranwendungs-Clustergruppe mit den Benutzeranwendungsverwaltungsfunktionen bearbeiten. Änderungen der Clusterkonfiguration für einen Serverknoten werden erst nach einem Neustart dieses Knotens wirksam.
Weitere Informationen zu den Voraussetzungen für die Installation in einer Cluster-Umgebung finden Sie in Abschnitt 8.5.2, Voraussetzungen und Überlegungen für die Installation der Identitätsanwendungen.
Festlegen der Systemeigenschaften für Workflow-Engine-IDs
Auf jedem Server im Cluster, auf dem die Identitätsanwendungen gehostet werden, kann eine Workflow-Engine ausgeführt werden. Damit der Cluster und die Workflow-Engine die größtmögliche Leistung erbringen, sollte jeder Server im Cluster denselben Partitionsnamen und dieselbe Partitions-UDP-Gruppe verwenden. Außerdem muss jeder Server im Cluster mit einer eindeutigen ID für die Workflow-Engine gestartet werden, da das Clustering für die Workflow-Engine unabhängig vom Cache-Rahmenwerk der Identitätsanwendungen erfolgt.
Legen Sie die Systemeigenschaften für Tomcat fest, damit die Workflow-Engines ordnungsgemäß ausgeführt werden.
-
Erstellen Sie für jeden Identitätsanwendungsserver im Cluster jeweils eine neue JVM-Systemeigenschaft.
-
Geben Sie der Systemeigenschaft den Namen com.novell.afw.wf.Engine-ID; die Engine-ID muss dabei eindeutig sein.
Verwenden eines einzigen Master-Schlüssels für alle Benutzeranwendungen im Cluster
Die Identitätsanwendungen verschlüsseln vertrauliche Daten mit einem Master-Schlüssel. Alle Identitätsanwendungen in einem Cluster müssen denselben Master-Schlüssel verwenden. In diesem Abschnitt wird beschrieben, wie Sie sicherstellen, dass alle Identitätsanwendungen in einem Cluster denselben Master-Schlüssel verwenden.
Weitere Informationen zum Verschlüsseln vertraulicher Daten in den Identitätsanwendungen finden Sie unter Verschlüsseln vertraulicher Identitätsanwendungsdaten im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
-
Installieren Sie die Benutzeranwendung auf dem ersten Knoten im Cluster.
-
Beachten Sie im Fenster „Sicherheit – Master-Schlüssel“ des Installationsprogramms den Speicherort der Datei master-key.txt, die den neuen Master-Schlüssel für die Identitätsanwendungen enthält. Standardmäßig befindet sich diese Datei im Installationsverzeichnis.
-
Installieren Sie die Identitätsanwendungen auf den anderen Knoten im Cluster.
-
Klicken Sie im Fenster „Sicherheit – Master-Schlüssel“ auf und dann auf .
-
Kopieren Sie im Fenster „Master-Schlüssel importieren“ den Master-Schlüssel aus der Textdatei, die Sie in Schritt 2 erstellt haben.
