NetIQ empfiehlt, die Voraussetzungen und die Computeranforderungen für die Identitätsanwendungen zu lesen, bevor Sie den Installationsvorgang beginnen. Weitere Informationen zum Konfigurieren der Benutzeranwendungsumgebung finden Sie im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
Überlegungen zur Installation der Identitätsanwendungen
Für die Installation der Identitätsanwendungen gelten die nachfolgenden Überlegungen.
-
Es ist eine unterstützte Version der folgenden Identity Manager-Komponenten erforderlich:
-
Designer
-
Identitätsdepot
-
Identity Manager-Engine
-
Remote Loader
-
One SSO Provider (OSP)
Weitere Informationen zu den erforderlichen Versionen und Patches für diese Komponenten finden Sie in den aktuellen Versionshinweisen.
-
Das Identitätsdepot muss die erstellte und bereitgestellte Benutzeranwendung und die Rollen und Ressourcen-Service-Treiber enthalten. Weitere Informationen finden Sie unter Abschnitt 15.6, Erstellen und Bereitstellen der Treiber für die Identitätsanwendungen.
-
Installieren Sie die folgenden Bestandteile des Rahmenwerks, bevor Sie die Identitätsanwendungen installieren:
-
(Optional) NetIQ empfiehlt, das SSL-Protokoll (Secure Sockets Layer) für die Kommunikation zwischen den Identity Manager-Komponenten zu aktivieren. Zur Verwendung des SSL-Protokolls müssen Sie SSL in Ihrer Umgebung aktivieren und während der Installation angeben. Weitere Informationen zum Aktivieren von SSL finden Sie unter Konfigurieren der Sicherheit in den Identitätsanwendungen im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
-
Erstellen Sie den Benutzeranwendungstreiber, bevor Sie den Rollen- und Ressourcenservice-Treiber erstellen. Der Rollen- und Ressourcenservice-Treiber referenziert den Rollendepotcontainer (RoleConfig.AppConfig) im Benutzeranwendungstreiber.
-
Der Rollen- und Ressourcenservice-Treiber kann nicht zusammen mit dem Remote Loader genutzt werden, da der Treiber jClient verwendet.
-
Setzen Sie die Umgebungsvariable JAVA_HOME so, dass sie auf das JDK verweist, das mit den Identitätsanwendungen verwendet werden soll. Sie können JAVA_HOME außer Kraft setzen; geben Sie hierzu den Pfad manuell während der Installation ein.
-
Der Installationsvorgang legt die Programmdateien standardmäßig im Verzeichnis C:\NetIQ\idm ab.
Wenn Sie die Benutzeranwendung nicht an einem Standardort installieren möchten, muss das neue Verzeichnis bereits vorhanden sein und Sie müssen über Schreibrechte dafür verfügen.
-
Jede Benutzeranwendungsinstanz kann nur jeweils einen einzigen Benutzer-Container verarbeiten. Sie können beispielsweise Benutzer nur zu dem Container hinzufügen, der mit der Instanz verknüpft ist, die Benutzer nur in diesem Container suchen und eine Abfrage nur für diesen Container durchführen. Außerdem sollte die Verknüpfung eines Benutzeranwendungscontainers mit einer Anwendung dauerhaft sein.
-
(Bedingt) Wenn Sie planen, mit der externen Passwortverwaltung zu arbeiten, muss Ihre Umgebung den folgenden Voraussetzungen entsprechen:
-
Aktivieren Sie das SSL-Protokoll (Secure Sockets Layer) für Tomcat, auf dem die Identitätsanwendungen und die Datei IDMPwdMgt.war bereitgestellt werden sollen.
-
Stellen Sie sicher, dass der SSL-Port in Ihrer Firewall offen ist.
Weitere Informationen zum Aktivieren von SSL für Tomcat finden Sie in Abschnitt 29.8, Aktualisieren der SSL-Einstellungen für die Funktion zum Zurücksetzen von Passwörtern per Selbstbedienung.
Weitere Informationen zur Datei IDMPwdMgt.war finden Sie in Abschnitt 15.7.8, Konfigurieren der "Passwort vergessen"-Verwaltung.
-
(Optional) Sollen Autorisierungen von verwalteten Systemen abgerufen werden, installieren Sie mindestens einen Identity Manager-Treiber.
Überlegungen zur Konfiguration und Nutzung der Identitätsanwendungen
Für die Konfiguration und die erste Verwendung der Identitätsanwendungen gelten die nachfolgenden Überlegungen.
-
Bevor die Benutzer auf die Identitätsanwendungen zugreifen können, müssen Sie die folgenden Schritte ausführen:
-
Stellen Sie sicher, dass alle erforderlichen Identity Manager-Treiber installiert sind.
-
Stellen Sie sicher, dass sich die Indizes für das Identitätsdepot im Online-Modus befinden. Weitere Informationen zum Konfigurieren eines Index während der Installation finden Sie in Sonstige.
-
Aktivieren Sie Cookies in allen Browsern. Die Anwendungen sind nicht funktionsfähig, wenn Cookies deaktiviert sind.
-
Benutzer können nicht als Gäste oder anonym auf die Identitätsanwendungen zugreifen, ohne sich zuvor anzumelden. Die Benutzer werden aufgefordert, sich an der Benutzeroberfläche anzumelden. Weitere Informationen finden Sie unter Abschnitt VIII, Konfiguration des Single-Sign-On-Zugriffs in Identity Manager.
-
Konfigurieren Sie das Identitätsdepot so, dass bei der ersten Anmeldung eines Benutzers die NMAS-Anmeldung verwendet wird. So ist sichergestellt, dass die Universalpasswort-Funktion in Identity Manager erzwungen wird. Fügen Sie NDSD_TRY_NMASLOGIN_FIRST mit dem Zeichenkettenwert true an den Registrierungsschlüssel HKLM\SYSTEM\CurrentControlSet\Control\SessionManager\Environment an.
-
(Bedingt) Um Berichte ausführen zu können, müssen die Komponenten für die Identitätsberichterstellung in Ihrer Umgebung installiert sein. Weitere Informationen finden Sie im Verwaltungshandbuch für die NetIQ-Identitätsberichterstellung.
-
Während des Installationsvorgangs legt das Installationsprogramm Protokolldateien im Installationsverzeichnis ab. Diese Dateien enthalten Informationen über Ihre Konfiguration. Nach erfolgter Konfiguration der Identitätsanwendungen sollten Sie diese Dateien löschen oder an einem sicheren Speicherort aufbewahren. Während des Installationsvorgangs können Sie angeben, dass das Datenbankschema in eine Datei geschrieben werden soll. Da diese Datei beschreibende Informationen über Ihre Datenbank enthält, sollten Sie sie nach Abschluss der Installation an einem sicheren Speicherort aufbewahren.
-
(Bedingt) Soll eine Revision der Identitätsanwendungen erfolgen, müssen die Identitätsberichterstellung und ein Revisionsdienst in der Umgebung installiert und für die Erfassung von Ereignissen konfiguriert sein. Sie müssen außerdem die Identitätsanwendungen für die Revision konfigurieren. Weitere Informationen finden Sie in NetIQ Identity Manager – Configuring Auditing in Identity Manager (NetIQ Identity Manager – Konfigurieren der Revision in Identity Manager).
Voraussetzungen und Überlegungen für den Anwendungsserver
Für die Identitätsanwendungen muss Tomcat installiert sein, wobei die folgenden Überlegungen zu beachten sind:
-
Auf Tomcat muss das Java Development Kit (JDK) oder die Java Runtime Environment (JRE) ausgeführt werden. Weitere Informationen zu den unterstützten Versionen finden Sie in Systemanforderungen für die Identitätsanforderungen.
-
Stellen Sie die Umgebungsvariable JAVA_HOME so ein, dass sie auf das JDK verweist, das mit der Benutzeranwendung verwendet werden soll. Sie können JAVA_HOME außer Kraft setzen; geben Sie hierzu den Pfad manuell während der Installation ein.
-
(Bedingt) Bei Bedarf können Sie Ihr eigenes Tomcat-Installationsprogramm anstelle des Programms im Installations-Kit von Identity Manager verwenden. Wenn Sie allerdings den Apache Log4j-Dienst zusammen mit Ihrer Tomcat-Version nutzen möchten, überprüfen Sie, ob die entsprechenden Dateien installiert sind. Weitere Informationen finden Sie in Abschnitt 13.1.4, Protokollieren der Anmeldung mit dem Apache-Log4j-Dienst.
-
(Bedingt) Sollen digital signierte Dokumente beibehalten werden, müssen Sie die Identitätsanwendungen auf einem Tomcat-Anwendungsserver installieren und Novell Identity Audit verwenden. Dokumente mit Digitalsignatur werden nicht mit Workflow-Daten in der Benutzeranwendungsdatenbank gespeichert, sondern in der Protokollierungsdatenbank. Außerdem muss die Protokollierung aktiviert sein, damit diese Dokumente aufbewahrt werden. Weitere Informationen finden Sie unter Einrichten der Protokollierung in den Identitätsanwendungen im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
-
(Bedingt) In Umgebungen, in denen umfangreiche Benutzerdaten protokolliert werden oder der Verzeichnisserver zahlreiche Objekte enthält, sollten Sie mehrere Anwendungsserver für eine Bereitstellung der Identitätsanwendungen nutzen. Weitere Informationen zum Konfigurieren mit Blick auf die optimale Leistung finden Sie unter Anpassen der Leistung der Anwendungen im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
-
(Bedingt) Wenn Sie einen Tomcat-Anwendungsserver verwenden, starten Sie den Server erst dann, wenn die Installation abgeschlossen ist.
-
(Bedingt) Wenn Sie planen, mit der externen Passwortverwaltung zu arbeiten, aktivieren Sie das SSL-Protokoll (Secure Sockets Layer) wie folgt:
-
Aktivieren Sie SSL für Tomcat, auf dem die Identitätsanwendungen und die Datei IDMPwdMgt.war bereitgestellt werden sollen.
-
Stellen Sie sicher, dass der SSL-Port in Ihrer Firewall offen ist.
Weitere Informationen zur Datei IDMPwdMgt.war finden Sie unter Konfigurieren der "Passwort vergessen"-Verwaltung und im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
-
Die Einträge JAVA_HOME und JRE_HOME auf einem Tomcat-Server werden im Installationsvorgang nicht verändert. Standardmäßig legt das Schnellinstallationsprogramm für Tomcat die Datei setenv.bat im Verzeichnis C:\NetIQ\idm\apps\tomcat\bin\ ab. Die Installation konfiguriert außerdem den JRE-Speicherort in der Datei.
Voraussetzungen für die Installation der Identitätsanwendungen in einer Cluster-Umgebung
Wenn die Datenbank für die Identitätsanwendungen in einer Umgebung installiert werden soll, in der sich Tomcat-Cluster befinden, sind die folgenden Überlegungen zu beachten:
-
Der Cluster muss einen eindeutigen Clusterpartitionsnamen, eine Multicast-Adresse und einen Multicast-Port aufweisen. Mithilfe dieser eindeutigen Kennungen werden mehrere Cluster voneinander unterschieden, sodass Leistungsprobleme und ungewöhnliches Verhalten vermieden werden.
-
Für jedes Mitglied des Clusters müssen Sie dieselbe Port-Nummer als Listener-Port für die Datenbank der Identitätsanwendungen angeben.
-
Für jedes Mitglied des Clusters müssen Sie denselben Hostnamen oder dieselbe IP-Adresse für den Server angeben, auf dem die Datenbank der Identitätsanwendungen gehostet wird.
-
Die Uhren der Server im Cluster müssen synchronisiert werden. Wenn die Serveruhren nicht synchronisiert sind, kann eine frühzeitige Zeitüberschreitung von Sitzungen eintreten, sodass das HTTP-Sitzungs-Failover nicht einwandfrei funktioniert.
-
NetIQ rät davon ab, mehrere Anmeldungen auf verschiedenen Browser-Registerkarten oder in verschiedenen Browser-Sitzungen auf demselben Host zu verwenden. Bei einigen Browsern werden die Cookies übergreifend über alle Registerkarten und Prozesse verwendet, sodass mehrere Anmeldungen zu Problemen beim HTTP-Sitzungs-Failover führen können (neben dem Risiko einer unbeabsichtigten Authentifizierung, wenn mehrere Benutzer an einem einzigen Computer arbeiten).
-
Die Clusterknoten befinden sich im selben Teilnetz.
-
Ein Failover-Proxy oder eine Lastausgleichlösung ist auf einem separaten Computer installiert.
Weitere Informationen zum Konfigurieren der Identitätsanwendungen einer Cluster-Umgebung finden Sie auch in Abschnitt 15.4, Vorbereiten der Umgebung auf die Identitätsanwendungen.
Voraussetzungen für die Installation der Datenbank für die Identitätsanwendungen
In der Datenbank werden die Identitätsanwendungsdaten und die Konfigurationsinformationen gespeichert.
Beachten Sie vor dem Installieren der Datenbankinstanz die folgenden Voraussetzungen:
-
Zum Konfigurieren einer Datenbank für die Verwendung mit Tomcat müssen Sie einen JDBC-Treiber erstellen. Die Identitätsanwendungen greifen über Standard-JDBC-Aufrufe auf die Datenbank zu und nehmen auch die Aktualisierung der Datenbank über diese Aufrufe vor. Die Identitätsanwendungen stellen über eine JDBC-Datenquelle, die an den JNDI-Baum gebunden ist, eine Verbindung mit der Datenbank her.
-
Es muss eine Datenquellendatei vorhanden sein, die auf die Datenbank verweist. Das Installationsprogramm für die Benutzeranwendung erstellt einen Datenquelleneintrag für Tomcat in server.xml und context.xml, der auf die Datenbank verweist.
-
Vergewissern Sie sich, dass Ihnen die folgenden Informationen vorliegen:
-
Host und Port des Datenbankservers.
-
Name der zu erstellenden Datenbank. Die Standard-Datenbank für die Identitätsanwendungen ist idmuserappdb.
-
Benutzername und Passwort für die Datenbank. Der Datenbankbenutzername muss zu einem Administratorkonto gehören oder über ausreichende Rechte zum Erstellen von Tabellen auf dem Datenbankserver verfügen. Der standardmäßige Administrator für die Benutzeranwendung ist idmadmin.
-
Die Treiber-.jar-Datei für die zu verwendende Datenbank (beim Hersteller der Datenbank erhältlich). NetIQ unterstützt keine Treiber-JAR-Dateien von Drittanbietern.
-
Die Datenbankinstanz kann sich auf dem lokalen Computer oder auf einem verbundenen Server befinden.
-
Der Datenbank-Zeichensatz muss die Unicode-Kodierung nutzen. So ist beispielsweise UTF-8 ein Zeichensatz, der die Unicode-Kodierung verwendet, Latin-1 hingegen verwendet keine Unicode-Kodierung. Weitere Informationen zum Festlegen des Zeichensatzes finden Sie in Konfigurieren des Zeichensatzes oder Abschnitt 15.3.1, Konfigurieren einer Oracle-Datenbank.
-
Bei der Sortierung muss zwischen Groß- und Kleinschreibung unterschieden werden, damit keine Fehler durch doppelte Schlüssel entstehen. Wenn ein Fehler durch doppelte Schlüssel auftritt, müssen Sie die Sortierung überprüfen und korrigieren. Installieren Sie anschließend die Identitätsanwendungen erneut.
-
(Bedingt) Soll eine Datenbankinstanz sowohl für die Revision als auch für die Identitätsanwendungen herangezogen werden, empfiehlt NetIQ, die Datenbank auf einem separaten dedizierten Server zu installieren, also nicht auf dem Server, auf dem Tomcat gehostet wird, auf dem wiederum die Identitätsanwendungen ausgeführt werden.
-
(Bedingt) Wenn Sie auf eine neue Version der Identitätsanwendungen migrieren, müssen Sie dieselbe Datenbank verwenden wie in der bisherigen Installation.
-
Die Datenbankserver ermöglichen jeweils das Datenbank-Clustering. NetIQ führt keine offiziellen Tests von Cluster-Datenbankkonfigurationen durch, da das Clustering unabhängig von der Funktionsfähigkeit des Produkts erfolgt. Cluster-Datenbankserver werden daher nur mit den folgenden Warnhinweisen unterstützt:
-
Standardmäßig ist die maximale Anzahl der Verbindungen auf 100 festgelegt. Dieser Wert ist möglicherweise zu niedrig, um die Workflow-Anforderungen in einem Cluster zu verarbeiten. Sie sehen möglicherweise die folgenden Ausnahmen:
(java.sql.SQLException: Data source rejected establishment of connection, message from server: "Too many connections."
Legen Sie die Variable max_connections in Datei my.cnf auf einen höheren Wert fest.
-
Unter Umständen müssen einige Funktionen oder Aspekte des Cluster-Datenbankservers deaktiviert werden. Beispielsweise muss die Transaktionsreproduktion in bestimmten Tabellen deaktiviert werden, da beim Einfügen eines doppelten Schlüssels bestimmte Bedingungen verletzt würden.
-
NetIQ bietet keine Hilfestellung beim Installieren, Konfigurieren oder Optimieren des Cluster-Datenbankservers. Dies gilt auch für die Installation der NetIQ-Produkte auf einem Cluster-Datenbankserver.
-
NetIQ setzt alles daran, mögliche Probleme im Zusammenhang mit der Nutzung von NetIQ-Produkten in einer Cluster-Datenbankumgebung zu beheben. Die Fehlersuchmethoden in einer komplexen Umgebung erfordern häufig eine enge Zusammenarbeit, damit Probleme gelöst werden können. NetIQ bietet die nötigen Fachkenntnisse für die Analyse, Planung und Fehlersuche der NetIQ-Produkte. Der Kunde muss Fachkenntnisse für die Analyse, Planung und Fehlersuche von Drittanbieterprodukten erbringen. NetIQ bittet die Kunden, die aufgetretenen Probleme zu reproduzieren oder das Verhalten der Komponenten in einer Umgebung ohne Clustering zu reproduzieren, sodass potenzielle Probleme mit der Cluster-Einrichtung von Problemen mit den NetIQ-Produkten getrennt werden können.
