20.3 Fehlerbehebung bei Identity Applications und Identity Reporting

Die nachfolgende Tabelle enthält die möglichen Probleme und Vorschläge für Gegenmaßnahmen. Falls das Problem weiterhin auftritt, wenden Sie sich an Ihren zuständigen NetIQ-Ansprechpartner.

Problem

Empfohlene Vorgehensweise

Die Widgets Rollen und Eigene Aufgaben auf der Dashboard-Seite zeigen keine Daten an. Wenn Sie in der Konsole Ihres Browsers nachsehen, wird ein 404-Fehler angezeigt. Dieses Problem tritt auf, wenn der Standardkontext für die Bereitstellung von IDMProv in einen benutzerdefinierten Kontext geändert wird.

Um dieses Problem zu beheben, müssen Sie die REST-API-URL in den betroffenen Widgets ändern. Führen Sie die folgenden Schritte aus:

  1. Melden Sie sich im Identity Manager-Dashboard als Administrator an.

  2. Navigieren Sie zur Dashboard-Seite und klicken Sie auf Dashboard verwalten.

  3. So bearbeiten Sie die Widget-Konfiguration im Widget Rollen:

    1. Klicken Sie auf .

    2. Ändern Sie im Feld URL den standardmäßigen IDMProv-Kontext wie folgt in einen benutzerdefinierten Kontext:/<Benutzerdefinierter Kontext>/rest/access/assignments/advanced?nextIndex=1&sortBy=name&sortOrder=ASC&forceRefresh=true&searchScope=role&size=20

      Dabei ist <benutzerdefinierter Kontext> der Kontext, den Sie in Ihrer Identity Manager-Bereitstellung verwenden.

    3. Klicken Sie auf Anwenden.

  4. So bearbeiten Sie die Widget-Konfiguration im Widget Eigene Aufgaben:

    1. Klicken Sie auf .

    2. Ändern Sie im Feld URL den standardmäßigen Kontext IDMProv wie folgt in einen benutzerdefinierten Kontext:/<Benutzerdefinierter Kontext>/rest/access/tasks/list?fromIndex=1&size=10&q=*&sortOrder=asc&sortBy=createTime&assignedTo=assignedTo&recipient=recipientAsMe&expireUnit=weeks&expireWithin=&proxyUser=&assignStatus=&delegatedTasks=false&status=

    3. Klicken Sie auf Anwenden.

  5. Klicken Sie auf Bearbeitung fertiggestellt.

Wenn der im Zertifikatsbetreff angegebene LDAP-Servername und die Anwendungskonfiguration unterschiedlich sind, kann Identity Applications nach einem Upgrade des Identity Managers keine Verbindung zum Identitätsdepot herstellen.

Java ermöglicht die Endpunktidentifizierung bei LDAPS-Verbindungen und verlangt daher, dass der Servername, den Sie bei der Verbindung mit dem Identity Manager-Server angeben, und der im Zertifikat zurückgegebene Servername identisch sind. Wenn die Servernamen unterschiedlich sind, führen Sie die folgenden Schritte aus:

  1. Navigieren Sie zum Verzeichnis /opt/netiq/idm/apps/configupdate.

  2. Führen Sie folgendes Kommando aus, um das Konfigurationsaktualisierungsprogramm zu starten.

    ./configupdate.sh

  3. Navigieren Sie zum Karteireiter Benutzeranwendung, klicken Sie auf Identitätsdepot-Server und ändern Sie den Servernamen in den Namen, der im Betreff des LDAP-Serverzertifikats angegeben ist.

    Mit dieser Aktion wird die Eigenschaft DirectoryService/realms/jndi/params/AUTHORITY in der Datei ism-configuration.properties aktualisiert.

  4. Klicken Sie auf OK.

Wenn Identity Applications und Identity Reporting auf demselben Server installiert sind und Sie Konfigurationsänderungen mit dem Konfigurationsaktualisierungsprogramm durchführen, das sich im Verzeichnis <Reporting-Installationsordner>/bin befindet, kann das Identity Manager-Dashboard nicht gestartet werden. Der folgende Fehler wird in der Protokolldatei catalina.out gemeldet:

EboPortalBootServlet [RBPM] +++++ACHTUNG!: Dieser Portalanwendungskontext, IDMProv, stimmt nicht mit der portal.context-Eigenschaft überein, die in der Datei PortalService-conf/config.xml festgelegt ist. Pro Datenbank ist nur ein Portal zulässig Mithilfe des vorigen Portalkontexts wurden Daten geladen. Zur Behebung müssen Sie zum vorigen Portalnamen, NoCacheFilter, zurückkehren. Bitte lesen Sie in der Dokumentation nach.

Verwenden Sie für alle Konfigurationsänderungen das Konfigurationsaktualisierungsprogramm, das sich im Verzeichnis /opt/netiq/idm/apps/configupdate/ befindet.

Das Passwort einer Eigenschaft kann nicht mit dem Dienstprogramm zur Aktualisierung der Konfiguration geändert werden.

Sie können das Passwort einer Eigenschaft, z. B. com.netiq.rpt.ssl-keystore über die Befehlszeile ändern. Führen Sie dazu die folgenden Schritte aus:

  1. Verwenden Sie das unten stehende Dienstprogramm, um das Passwort zu verschlüsseln:

    /opt/netiq/common/jre/bin/java -jar tomcat/lib/obscurity-0.7.0-uber.jar <<Password>>

  2. Navigieren Sie zu der Datei ism-configuration.properties im Verzeichnis /opt/netiq/idm/apps/tomcat/conf.

  3. Ändern Sie die Datei ism-configuration.properties und fügen Sie das verschlüsselte Passwort hinzu, das Sie in Schritt 2 für den Parameter com.netiq.rpt.ssl-keystore.pwd angegeben haben.

  4. Speichern Sie die Datei und starten Sie Tomcat neu.

Wenn Identity Reporting auf einem eigenständigen Server installiert ist und Sie Identity Reporting oder die IDM-DCS-URL über das Dashboard öffnen, kann die URL nicht gestartet werden.

Führen Sie die folgenden Schritte aus, nachdem Sie Identity Reporting oder die IDM-DCS-URL gestartet haben:

  1. Navigieren Sie zur Adressleiste.

  2. Ändern Sie die URL und geben Sie manuell den Hostnamen und die Portdetails des Servers an, auf dem Identity Reporting installiert ist.

Navigieren Sie anschließend zur Datei configupdate.sh.properties auf dem Server, auf dem Identity Applications installiert ist, und fügen Sie im sso_apps-Parameter einen rpt-Eintrag hinzu. Speichern Sie die Änderungen. Beispielsweise sso_apps=ua,rpt

Wenn Identity Applications und Identity Reporting auf demselben Server installiert sind und die CEF-Revision für OSP und Identity Applications aktiviert ist, kann die Berichterstellungskomponente nicht gestartet werden.

Als Behelfslösung führen Sie die folgenden Schritte aus:

  1. Navigieren Sie zu Datei idmrptcore_logging.xml im Verzeichnis /opt/netiq/idm/apps/tomcat/conf.

  2. Fügen Sie den <Keystore-Datei>-Parameter hinzu und geben Sie den Pfad der Keystore-Datei in Dateiidmrptcore_logging.xml an. Fügen Sie beispielsweise folgende Zeile hinzu:

    <Keystore-Datei>/opt/netiq/idm/app/tomcat/conf/idm.jks</Keystore-Datei>

  3. Starten Sie Tomcat neu.

Wenn die Identitätsanwendungen und Identity Reporting auf demselben Server installiert sind und Sie für das Erstellen der Datenbank die Option Start wählen, enthält das Protokoll einige Ausnahmen.

Zum Löschen der Ausnahmen starten Sie Tomcat manuell neu.

Falls Ihre bestehende Identity Applications- oder Identity Reporting-Konfiguration ohne Ports konfiguriert wurde und Sie versuchen, Identity Manager aufzurüsten, werden in der IP-Adresse und den Ports, die auf dem Karteireiter Authentifizierung und SSO-Clients im Konfigurationsaktualisierungsprogramm genannt sind, falsche Werte angezeigt.

Führen Sie bei einem Upgrade von Identity Applications und Identity Reporting folgende Schritte aus:

  1. Navigieren Sie zum Verzeichnis /opt/netiq/idm/apps/configupdate.

  2. Führen Sie folgendes Kommando aus:

    ./configupdate.sh

  3. Geben Sie auf dem Karteireiter Authentifizierung die korrekte IP-Adresse und den korrekten Port in den Feldern OAuth-Server-Hostkennung bzw. OAuth-Server-TCP-Port an.

  4. Vergewissern Sie sich, dass auf dem Karteireiter SSO-Clients die URLs für IDM-Administrator, Berichterstellung und IDM-Datenerfassungsdienste im korrekten Format angegeben sind.

  5. Starten Sie Tomcat neu.

Sie möchten eine oder mehrere Konfigurationseinstellungen für die Benutzeranwendung ändern, die Sie während der Installation vorgenommen haben:

  • Identitätsdepot-Verbindungen und -Zertifikate

  • Email-Einstellungen

  • Benutzeridentität und Benutzergruppen in der Identity Manager-Engine

  • Access Manager- oder iChain-Einstellungen

Das Dienstprogramm für die Konfiguration kann unabhängig vom Installationsprogramm ausgeführt werden.

Linux: Führen Sie im Installationsverzeichnis (standardmäßig /opt/netiq/idm/apps/configupdate/) den folgenden Befehl aus:

./configupdate.sh

Beim Starten von Tomcat tritt die folgende Ausnahme auf:

port 8180 already in use

Schließen Sie alle Instanzen von Tomcat (oder anderer Server-Software), die möglicherweise bereits laufen. Wenn Sie Tomcat neu konfigurieren und einen anderen Port als Port 8180 festlegen möchten, bearbeiten Sie die config-Einstellungen für den Benutzeranwendungstreiber.

Beim Starten von Tomcat meldet die Anwendung, dass keine verbürgten Zertifikate gefunden werden können.

Starten Sie Tomcat in jedem Fall mit dem JDK, das bei der Installation der Benutzeranwendung angegeben wurde.

Die Anmeldung bei der Portaladministratorseite ist nicht möglich.

Überprüfen Sie, ob ein Konto für den Benutzeranwendungsadministrator vorhanden ist. Dieses Konto ist nicht mit dem iManager-Administratorkonto identisch.

Auch mit einem Administratorkonto können keine neuen Benutzer angelegt werden.

Der Benutzeranwendungsadministrator muss ein Trustee des Containers der obersten Ebene sein und sollte über Supervisor-Rechte verfügen. Sie können versuchen, die Rechte des Administrators der Benutzeranwendung mit denen des LDAP-Administrators gleichzusetzen (in iManager).

Beim Starten des Anwendungsservers treten Keystore-Fehler auf.

Ihr Anwendungsserver verwendet nicht das bei der Installation der Benutzeranwendung angegebene JDK.

Importieren Sie die Zertifikatsdatei mithilfe des Befehls keytool:

keytool -import -trustcacerts -alias aliasName -file certFile -keystore ..\lib\security\cacerts -storepass changeit

  • Ersetzen Sie aliasName durch einen beliebigen eindeutigen Namen für dieses Zertifikat.

  • Ersetzen Sie certFile durch den vollständigen Pfad und Namen der Zertifikatsdatei.

  • Das Keystore-Standardpasswort lautet changeit (falls Sie ein anderes Passwort festgelegt haben, geben Sie es an).

Es werden keine Email-Benachrichtigungen gesendet.

Überprüfen Sie mit dem configupdate-Dienstprogramm, ob Sie Werte für die Benutzeranwendungs-Konfigurationsparameter Email-Von und Email-Host angegeben haben.

Linux: Führen Sie im Installationsverzeichnis (standardmäßig /opt/netiq/idm/apps/configupdate/) den folgenden Befehl aus:

./configupdate.sh

Der Karteireiter IG SSO-Clients ist im Konfigurationsaktualisierungsprogramm nicht zu sehen.

Fügen Sie in der Datei configupdate.sh.properties einen Eintrag für ig im Parameter sso_apps hinzu und speichern Sie die Änderungen. Wenn Parameter sso_apps bereits die Identity Applications- und Identity Reporting-Einträge enthält, fügen Sie den Identity Governance-Eintrag zur Liste hinzu. Beispielsweise sso_apps=ua,rpt,ig