15.5 Installieren der Identitätsanwendungen

So führen Sie die geführte Installation aus:

1. Melden Sie sich als verwaltungsbefugter Benutzer an dem Computer an, auf dem die Identitätsanwendungen installiert werden sollen.

2. Halten Sie Tomcat an.

3. (Bedingt) Wenn Ihnen die .iso-Image-Datei für das Identity Manager-Installationspaket vorliegt, navigieren Sie zu dem Verzeichnis, in dem sich die Analyzer-Installationsdateien befinden (standardmäßig unter products\UserApplication\).

4. (Bedingt) Wenn Sie die Installationsdateien heruntergeladen haben, führen Sie die folgenden Schritte aus:

   1. Navigieren Sie zur win.zip-Datei für das heruntergeladene Image.

   2. Extrahieren Sie den Inhalt der Datei in ein Verzeichnis auf dem lokalen Computer.

5. Führen Sie im Verzeichnis, das die Installationsdateien enthält, die Datei IdmUserApp.exe aus.

6. Führen Sie die geführte Installation mit den folgenden Parametern aus:

   • Anwendungsserverplattform

     Gibt Tomcat für die Ausführung der Identitätsanwendungen an. Tomcat muss bereits installiert sein.

   • Installationsordner

     Gibt den Pfad zu einem Verzeichnis an, in dem das Installationsprogramm die Anwendungsdateien erstellen soll.

   • Datenbankplattform

     Gibt die Plattform der Benutzeranwendungsdatenbank an. Die Datenbank-Software muss bereits installiert sein. Während der Installation müssen Sie jedoch nicht das Datenbankschema erstellen.

     Als Arbeitserleichterung wird von NetIQ PostgreSQL zur Verfügung gestellt.

   • Datenbank-Host und Port

     Gibt die Einstellungen für den Server an, auf dem die Benutzeranwendungsdatenbank gehostet wird.

     HINWEIS:In einem Cluster müssen für jedes Clustermitglied dieselben Datenbankeinstellungen angegeben werden.

     Host

     Gibt den Namen oder die IP-Adresse des Servers an.

     Port

     Gibt den Port an, über den der Server mit der Benutzeranwendung kommunizieren soll.

   • Datenbankbenutzername und Passwort

     Gibt die Einstellungen für die Ausführung der Benutzeranwendungsdatenbank an.

     HINWEIS:

     • Wenn Sie PostgreSQL im Rahmen der Installation dieser Version von Identity Manager mitinstalliert haben, wurden die Datenbank und der Datenbankadministrator bereits angelegt. Die installierte Datenbank ist standardmäßig idmuserappdb, der Datenbankbenutzer ist idmadmin. Geben Sie dieselben Werte an, die Sie bei der PostgreSQL-Installation verwendet haben.

     • In einer Cluster-Umgebung müssen für jedes Clustermitglied derselbe Datenbankname, derselbe Benutzername und dasselbe Passwort angegeben werden.

     Datenbankname oder SID

     Gibt den Namen der Datenbank entsprechend der Datenbankplattform an. Der Name der Datenbank lautet standardmäßig idmuserappdb.

     • Bei einer PostgreSQL- oder SQL Server-Datenbank geben Sie den Namen für die Datenbank ein.

     • Bei einer Oracle-Datenbank geben Sie die Sicherheits-ID (SID) an, die Sie mit der Datenbankinstanz erstellt haben.

     Datenbankbenutzername

     Gibt den Namen eines Kontos an, über das die Benutzeranwendung auf die Daten in den Datenbanken zugreifen und diese Daten bearbeiten kann.

     Datenbankpasswort

     Gibt das Passwort für den angegebenen Benutzernamen an.

     Datenbanktreiber-JAR-Datei

     Gibt die JAR-Datei für die Datenbankplattform an.

     Der Hersteller der Datenbank stellt die Treiber-JAR-Datei bereit, die als Thin-Client-JAR-Datei für den Datenbankserver fungiert. Für PostgreSQL geben Sie beispielsweise postgresql-9.4-1212.jdbc42.jar an (standardmäßig im Ordner C:\NetIQ\idm\apps\Postgres).

     NetIQ unterstützt keine Treiber-JAR-Dateien von Drittanbietern.

   • Datenbankadministrator

     Optional

     Gibt den Namen und das Passwort für den Datenbankadministrator an.

     In diesem Feld wird automatisch das Benutzerkonto und das Passwort aufgeführt, das Sie als Benutzername und Passwort für die Datenbank angegeben haben. Soll dieses Konto verwendet werden, nehmen Sie keine Änderungen vor.

     Datenbankadministrator

     (Optional) Gibt das Konto eines Datenbankadministrators an, der Datenbanktabellen, Ansichten und andere Artefakte erstellen kann.

     Passwort

     (Optional) Gibt das Passwort für den Datenbankadministrator an.

   • Datenbanktabellen erstellen

     Gibt an, ob die neue oder vorhandene Datenbank während oder erst nach der Installation konfiguriert werden soll.

     Tabellen jetzt erstellen

     Das Installationsprogramm erstellt die Datenbanktabellen im Rahmen des Installationsvorgangs.

     Tabellen beim Start der Anwendung erstellen

     Das Installationsprogramm hinterlässt eine Anweisung, dass die Tabellen beim ersten Starten der Benutzeranwendung erstellt werden sollen.

     SQL in eine Datei schreiben

     Erzeugt ein SQL-Skript, mit dem der Datenbankadministrator die Datenbanken ausführen kann. Wenn Sie diese Option wählen, müssen Sie außerdem einen Namen für die Schemadatei angeben. Diese Einstellung befindet sich in der Konfiguration der SQL-Ausgabedatei.

     Wählen Sie diese Option, wenn Sie nicht über ausreichende Berechtigungen zum Erstellen oder Bearbeiten einer Datenbank in Ihrer Umgebung verfügen. Weitere Informationen zum Erzeugen der Tabellen mit der Datei finden Sie in Abschnitt 15.7.2, Manuelles Erstellen der Datenbank.

   • Neue Datenbank oder vorhandene Datenbank

     Gibt an, ob Sie eine bestehende, leere Datenbank verwenden oder neue Tabellen in der bestehenden Datenbank erstellen möchten. Beachten Sie die folgenden Überlegungen:

     • Neue Datenbank

       Klicken Sie auf Neue Datenbank, wenn die verwendete Datenbank neu ist.Vergewissern Sie sich, dass eine Datenbank vorhanden ist, bevor Sie diese Option auswählen.

     • Vorhandene Datenbank

       Wählen Sie Vorhandene Datenbank aus, wenn die Datenbank vorhanden ist und Benutzeranwendungstabellen aus einer früheren Installation enthält.

       Wenn die vorhandene Datenbank auf einer Oracle-Plattform ausgeführt wird, müssen Sie zunächst Oracle vorbereiten und dann das Schema aktualisieren.

     Nach Auswahl des Datenbanktyps müssen Sie angeben, wann die Datenbanktabellen erstellt werden sollen. Der Bildschirm „Datenbanktabellen erstellen“ enthält die Option zum Erstellen von Tabellen während der Installation oder beim Starten der Anwendung. Ale Alternative dazu können Sie während der Installation eine Schemadatei erstellen, anhand der der Datenbankadministrator später die Tabellen erstellen kann.

     Wenn Sie eine Schemadatei generieren möchten, wählen Sie die Schaltfläche "SQL in eine Datei schreiben" und geben Sie im Feld "Schema-Ausgabedatei" einen Namen für die Datei an.

   • Datenbankverbindung testen

     Gibt an, ob das Installationsprogramm zum direkten Erstellen von Tabellen bzw. zum Erstellen der .sql-Datei eine Verbindung zur Datenbank herstellen soll.

     Sobald Sie auf Weiter klicken oder die Eingabetaste drücken, versucht das Installationsprogramm, die Verbindung aufzubauen.

     HINWEIS:Falls ein Fehler bei der Datenbankverbindung auftritt, können Sie die Installation dennoch fortsetzen. Nach der Installation müssen Sie jedoch manuell die Tabellen erstellen und die Verbindung zur Datenbank herstellen. Weitere Informationen finden Sie unter Manuelles Erstellen der SQL-Datei zum Generieren des Datenbankschemas.

   • Java-Installation

     Gibt den Pfad zur JRE-Datei an, mit der das Installationsprogramm gestartet wird. Beispiel: C:\NetIQ\idm\jre.

   • Anwendungsserver-Konfiguration

     Gibt den Pfad zu den Installationsdateien für Tomcat an. Beispiel: C:\NetIQ\idm\jre. Der Installationsvorgang legt einige weitere Dateien in diesem Ordner ab.

   • IDM-Konfiguration

     Gibt die Einstellungen für den Kontext der Identitätsanwendungen an, der in URLs und für die Workflow-Engine verwendet wird.

     Anwendungskontext

     Gibt einen Namen an, der die Tomcat-Konfiguration, die WAR-Datei der Anwendung und den Namen im URL-Kontext umfasst.

     Das Installationsskript erstellt eine Serverkonfiguration und weist ihr den Namen zu, den Sie beim Installieren von Tomcat angegeben haben. Beispiel: IDMProv.

     WICHTIG: NetIQ empfiehlt, den angegebenen Anwendungskontext zu notieren. Diesen Anwendungsnamen müssen Sie in der URL angeben, wenn Sie die Identitätsanwendungen über einen Browser starten.

   • Audit-Protokollierungstyp auswählen

     Gibt an, ob CEF oder Sentinel Log Management für IGA aktiviert werden soll. Wählen Sie Ja oder Nein.

   • Audit-Protokollierung

     Gilt nur dann, wenn Sie unter „Audit-Protokollierungstyp auswählen“ die Option „Ja“ angegeben haben.

     Gibt den Typ der zu aktivierenden Protokollierung an.

     Weitere Informationen zum Einrichten der Protokollierung finden Sie im User Application Administration Guide (Benutzeranwendung: Administrationshandbuch).

     Sentinel Log Management für IGA

     Ermöglicht die Protokollierung für die Benutzeranwendung über einen Novell- oder NetIQ-Client.

     HINWEIS:Wenn Sie diese Option wählen, müssen Sie außerdem den Hostnamen oder die IP-Adresse für den Client-Server sowie den Pfad zum Protokoll-Cache angeben.

     CEF

     Die Benutzeranwendung kann Ereignisse über CEF protokollieren.

     HINWEIS:Wenn Sie diese Option wählen, müssen Sie außerdem den Hostnamen oder die IP-Adresse für den Syslog-Server sowie den Syslog-Port angeben.

   • Sicherheit - Master-Schlüssel

     Gibt an, ob ein vorhandener Master-Schlüssel importiert werden soll. Die Benutzeranwendung greift mithilfe des Master-Schlüssels auf verschlüsselte Daten zu. Wählen Sie Ja oder Nein.

     Der Master-Schlüssel sollte beispielsweise in den folgenden Situationen importiert werden:

     • Sie haben die erste Instanz der Identitätsanwendungen in einem Cluster installiert. Alle Instanzen der Benutzeranwendung in einem Cluster müssen denselben Master-Schlüssel verwenden. Weitere Informationen finden Sie in Verwenden eines einzigen Master-Schlüssels für alle Benutzeranwendungen im Cluster.

     • Sie verlagern Ihre Installation aus einem Staging-System in ein Produktionssystem und möchten auch weiterhin auf die Datenbank des Staging-Systems zugreifen.

     • Sie stellen die Benutzeranwendung wieder her und möchten auf die verschlüsselten Daten zugreifen, die mit der bisherigen Version der Benutzeranwendung gespeichert wurden.

     Ja

     Gibt an, dass ein vorhandener Master-Schlüssel importiert werden soll.

     Nein

     Gibt an, dass das Installationsprogramm den Schlüssel erstellen soll.

     Bei der Installation wird der verschlüsselte Master-Schlüssel standardmäßig im Installationsverzeichnis in die Datei master-key.txt geschrieben.

   • Master-Schlüssel importieren

     Gilt nur dann, wenn Sie unter „Sicherheit – Master-Schlüssel“ die Option „Ja“ angegeben haben.

     Wählen Sie den zu verwendenden Master-Schlüssel aus. Sie können den Master-Schlüssel aus der Datei master-key.txt kopieren.

   • Anwendungsserver-Verbindung

     Gibt die Einstellungen für die URL an, über die die Benutzer eine Verbindung zu den Identitätsanwendungen auf Tomcat herstellen. Beispiel: https:meinserver.meinefirma.de:8080.

     HINWEIS:Wenn OSP auf einer anderen Instanz des Tomcat-Anwendungsservers ausgeführt wird, müssen Sie außerdem die Option Mit externem Authentifizierungsserver verbinden wählen und die entsprechenden Werte für den OSP-Server angeben.

     Protokoll

     Gibt an, ob http oder https verwendet werden soll. Soll die Kommunikation per SSL (Secure Sockets Layer) erfolgen, wählen Sie https.

     Hostname

     Gibt den DNS-Namen oder die IP-Adresse des Servers an, auf dem OSP gehostet wird. Verwenden Sie nicht localhost.

     Port

     Gibt den Port an, über den der Server mit den Client-Computern kommunizieren soll.

     Mit externen Authentifizierungsserver verbinden

     Gibt an, ob der Authentifizierungsserver (OSP) auf einer Tomcat-Instanz gehostet wird. Auf dem Authentifizierungsserver befindet sich eine Liste der Benutzer, die sich bei SSPR anmelden können.

     Wenn Sie diese Einstellung wählen, müssen Sie außerdem Werte für Protokoll, Hostname und Port für den Authentifizierungsserver angeben.

   • Authentifizierungsserver – Details

     Gibt das Passwort an, mit dem die Identitätsanwendungen eine Verbindung zum Authentifizierungsserver herstellen soll. Dies wird auch als Client-Geheimnis bezeichnet. Dieses Passwort wird während der Installation erstellt.

7. Konfigurieren Sie die Einstellungen für die Identitätsanwendungen im Fenster "Konfigurationsaktualisierung".

   1. Suchen Sie die Identitätsdepot-DNs.

   2. Klicken Sie auf OK.

   HINWEIS:

   • Vergewissern Sie sich, dass die Treiber für die Benutzeranwendung und den Rollen- und Ressourcen-Service bereits erstellt und im Identitätsdepot bereitgestellt sind. Weitere Informationen finden Sie unter Überlegungen zur Installation der Identitätsanwendungen.

   • Wenn Sie auf Abbrechen klicken, werden Sie vom Installationsprogramm zum Fenster "Anwendungsserver-Verbindung" zurückgeführt.

   • Nach erfolgter Installation der Benutzeranwendung können Sie den Großteil der Einstellungen in der Datei configureupdate.bat bearbeiten. Weitere Informationen zum Festlegen der Werte für die Einstellungen finden Sie in Abschnitt 15.8, Konfigurieren der Einstellungen für die Identitätsanwendungen.

8. (Bedingt) Wenn Sie die Identitätsanwendungen bei einer Installation über die Benutzeroberfläche sofort konfigurieren möchten, führen Sie im Fenster „IDM konfigurieren“ die folgenden Schritte aus:

   1. Klicken Sie auf Ja und dann auf Weiter.

   2. Klicken Sie im Fenster „Rollenbasiertes Bereitstellungsmodul – Konfiguration“ auf Erweiterte Optionen anzeigen.

   3. Bearbeiten Sie die Einstellungen nach Bedarf.

      HINWEIS:

      • Weitere Informationen zum Angeben der Werte finden Sie in Abschnitt 15.8, Konfigurieren der Einstellungen für die Identitätsanwendungen.

      • In Produktionsumgebungen wird die Zuweisung der Administratoren durch die Lizenzierung beschränkt. NetIQ sammelt Überwachungsdaten in der Audit-Datenbank, um sicherzustellen, dass die Lizenzierung in der Produktionsumgebung eingehalten wird. Darüber hinaus empfiehlt NetIQ, die Sicherheitsadministratorberechtigung nur einem Benutzer zu erteilen.

   4. Klicken Sie auf OK.

9. Klicken Sie auf Weiter.

10. Klicken Sie im Fenster „Übersicht vor der Installation“ auf Installieren.

11. (Optional) Lesen Sie die Installationsprotokolldateien. Die Ergebnisse der einfachen Installation finden Sie in der Datei user_application_install_log.log im Verzeichnis C:\NetIQ\idm\apps\UserApplication\logs.

    Weitere Informationen zur Konfiguration der Identitätsanwendungen finden Sie in der Datei NetIQ-Custom-Install.log im Verzeichnis C:\NetIQ\idm\apps\UserApplication.

12. (Optional) Wenn Sie eine externe WAR-Datei für die Passwortverwaltung verwenden, kopieren Sie sie manuell in das Installationsverzeichnis und in das Bereitstellungsverzeichnis des Remote-Anwendungsservers, auf dem die externe Passwort-WAR ausgeführt wird.

13. Führen Sie die Aufgaben nach der Installation gemäß Abschnitt 15.7, Abschließen der Installation der Identitätsanwendungen aus.

1. Gehen Sie zu der Adresse „http://<IP/DNS-Name>:<Port>/sspr“. Mit diesem Link gelangen Sie zum SSPR-Portal.

2. Melden Sie sich als SSPR-Administrator an.

3. Klicken Sie oben auf der Seite auf Konfigurationseditor, und geben Sie das OSP-Konfigurationspasswort an.

4. Klicken Sie auf Einstellungen > Sicherheit > Erweiterte Einstellungen immer anzeigen, und führen Sie die folgenden Schritte aus:

   1. Navigieren Sie zu HTML-Framing verhindern, und deaktivieren Sie die Option Aktiviert. Speichern Sie die Einstellung mit Speichern.

   2. Klicken Sie im Bestätigungsfenster auf OK.

1. Melden Sie sich als Administrator bei iManager an und geben Sie dabei die IP-Adresse des Identitätsdepots als Baum an.

2. Wählen Sie in der Kontrollleiste Baum den Baum aus, in dem die Identitätsanwendungen konfiguriert sind.

3. Klicken Sie für den Container, der alle Systembenutzer enthält, auf Zugewiesene Rechte.

4. Überprüfen Sie, ob die folgenden Eigenschaften in der Liste die erforderlichen Rechte aufweisen:

   • Beschreibung

   • Internet-Email-Adresse

   • Anmeldeskript

   • Druckauftragskonfiguration

   • Telefonnummer

   • Position

   • directReports

   • manager

   • photo

   • srvprvQueryList

   • srvprvUserPrefs

   Falls Eigenschaften fehlen, klicken Sie auf Eigenschaft hinzufügen.

   1. Wählen Sie die gewünschte Eigenschaft in der Liste aus und klicken Sie auf Fertig.

   2. Wählen Sie die erforderlichen Rechte für die Eigenschaft aus und klicken Sie auf Fertig.

   Abbildung 15-1 Hinzufügen von Eigenschaften zum Benutzercontainer

   

So starten Sie die Identitätsanwendungen:

1. Starten Sie die Datenbank für die Identitätsanwendungen. Weitere Informationen finden Sie in der Dokumentation zur Datenbank.

2. Fügen Sie das Flag Djava.awt.headless=true an das Startskript für Tomcat an, sodass Berichte in der Benutzeranwendung ausgeführt werden. Beispiel:

   JAVA_OPTS="-Djava.awt.headless=true -Dfile.encoding=UTF-8 -Dsun.jnu.encoding=UTF-8 -server -Xms1024m -Xmx1024m -XX:MaxPermSize=512m

   HINWEIS:Bei einem X11 Windows-System kann dieser Schritt entfallen.

3. Starten Sie Tomcat, auf dem die Identitätsanwendungen installiert sind.

   HINWEIS:In einem Cluster starten Sie nur den primären Knoten.

4. Legen Sie in der Befehlszeile das Installationsverzeichnis als Arbeitsverzeichnis fest.

5. Führen Sie das Startskript aus.

6. Aktivieren Sie die Kommunikation mit dem Benutzeranwendungstreiber mit den folgenden Schritten:

   1. Melden Sie sich bei iManager an.

   2. Klicken Sie im linken Bereich unter Funktionen und Aufgaben > Identity Manager auf Identity Manager-Überblick.

   3. Geben Sie im Inhaltsrahmen den Treibersatz ein, der den Benutzeranwendungstreiber enthält, und klicken Sie auf Suchen.

   4. Klicken Sie in der Grafik mit dem Treibersatz und den zugehörigen Treibern auf das rotweiße Symbol für den Benutzeranwendungstreiber.

   5. Klicken Sie auf Treiber starten.

      Beim Start versucht der Treiber mit der Benutzeranwendung einen „Handshake“ durchzuführen. Wenn der Anwendungsserver nicht läuft oder die WAR-Datei nicht erfolgreich bereitgestellt wurde, gibt der Treiber einen Fehler zurück. Ansonsten wird das Yin-Yang-Symbol als Treiberstatus angezeigt; dies bedeutet, dass der Treiber gestartet wurde.

7. Starten Sie den Rollen- und Ressourcenservice-Treiber. Wiederholen Sie hierzu das Verfahren in Schritt 6.

8. Starten Sie die Benutzeranwendung, und melden Sie sich an. Geben Sie hierzu die folgende URL in den Webbrowser ein:

   http://hostname:port/ApplicationName

   Hostname

   Gibt den Namen des Anwendungsservers an (Tomcat). Beispiel: meinserver.domain.de

   port

   Gibt die Port-Nummer des Anwendungsservers an. Beispiel: 8180.

   ApplicationName

   Gibt den Namen an, den Sie beim Installieren für die Anwendung in den Konfigurationsdaten für den Anwendungsserver angegeben haben. Beispiel: IDMProv.

9. Klicken Sie oben rechts auf der Portalseite der Benutzeranwendung auf Anmelden.

10. (Bedingt) Soll die Benutzeranwendung in einer Clustergruppe aktiviert werden, führen Sie die folgenden Schritte aus:

    1. Klicken Sie auf Administration.

    2. Klicken Sie im Anwendungskonfigurationsportal auf Caching.

    3. Wählen Sie im Fenster „Cache-Management“ unter Cluster aktiviert die Option Wahr.

    4. Klicken Sie auf Speichern.

    5. Starten Sie den Server neu.

    6. (Bedingt) Sollen lokale Einstellungen verwendet werden, wiederholen Sie dieses Verfahren für jeden Server im Cluster.