In diesem Abschnitt finden Sie schrittweise Anleitungen zum Installieren einer neuen Instanz der Identitätsanwendungen auf Tomcat und der anschließenden Konfiguration für ein Clustering.
HINWEIS:In einem Cluster müssen die Konfigurationseinstellungen für alle Mitglieder des Clusters identisch sein. Kopieren Sie ism-sensitive.properties, ism-configuration.properties und encrypt-keys.pkcs12 vom primären Knoten auf alle Knoten der Benutzeranwendungen.
Installieren Sie die Identity Manager-Engine. Für eine Bereitstellung auf Produktionsebene empfiehlt es sich, die Identity Manager-Engine auf einem separaten Server zu installieren.
Installieren Sie die Datenbank für die Identitätsanwendungen. Sie können die PostgreSQL-Datenbank verwenden, die zusammen mit den Identitätsanwendungen installiert wird. Es wird jedoch empfohlen, die Datenbank auf einem separaten Server zu installieren.
Installieren und konfigurieren Sie die Identitätsanwendungen auf Knoten1.
Bei der Konfiguration müssen Sie:
die Option für eine neue Datenbank wählen
eine eindeutige Workflow-Engine-ID angeben. Beispiel: Knoten1.
die Datenbank-jar-Datei in allen Benutzeranwendungsknoten im Cluster bereitstellen. Für PostgreSQL befindet sich die Datei postgresql-42.6.1.jar im Verzeichnis /opt/netiq/idm/postgres.
Die Identitätsanwendungen verschlüsseln vertrauliche Daten mit einem Master-Schlüssel. Das Installationsprogramm erstellt bei der Konfiguration der Identitätsanwendungen einen neuen Master-Schlüssel. In einem Cluster muss für das Benutzeranwendungs-Clustering jede Instanz der Benutzeranwendung denselben Master-Schlüssel verwenden. Der Master-Schlüssel wird in der Eigenschaft com.novell.idm.masterkey in der Datei ism-configuration.properties im Verzeichnis /opt/netiq/idm/apps/tomcat/conf/ gespeichert.
Installieren und konfigurieren Sie die Identitätsanwendungen auf Knoten2.
Bei der Konfiguration müssen Sie:
die Option für eine vorhandene Datenbank wählen
eine eindeutige Workflow-Engine-ID angeben. Beispiel: Knoten2.
die Datenbank-jar-Datei in allen Benutzeranwendungsknoten im Cluster bereitstellen. Für PostgreSQL befindet sich die Datei postgresql-9.4.1212.jar im Verzeichnis /opt/netiq/idm/postgres.
Sobald Sie die Konfiguration der Benutzeranwendung auf Knoten2 abgeschlossen haben, kopieren Sie den Wert des Master-Schlüssels aus der Datei ism-configuration.properties in Knoten1 und ersetzen Sie den entsprechenden Wert für den Master-Schlüssel in der Datei ism-configuration.properties in Knoten2. Der Master-Schlüssel ist in der Eigenschaft com.novell.idm.masterkey in der·Datei·ism-configuration.properties(/opt/netiq/idm/apps/tomcat/conf/) gespeichert.
Starten Sie auf dem Load Balancer-Server eine Instanz von Load Balancer mit der Portnummer der Identitätsanwendungen und eine weitere Instanz von Load Balancer mit der Portnummer des Formular-Renderers für alle Cluster-Knoten. Beispiel:
./balance 8543 apps1-au.edu.in:8543 ! apps2-au.edu.in:8543
./balance 8600 apps1-au.edu.in:8600 ! apps2-au.edu.in:8600
Installieren Sie SSPR auf einem separaten Computer.
Wenn die Installation abgeschlossen ist, starten Sie SSPR (https://<IP>:<Port>/sspr/private/config/editor) und melden Sie sich an. Klicken Sie auf Konfigurationseditor > Einstellungen > Sicherheit > Websicherheit > Whitelist-URL für die Umleitung.
Klicken Sie auf Wert hinzufügen und geben Sie die folgende URL an:
https://<dns of the failover>:<port>/osp
Speichern Sie die Änderungen.
Klicken Sie auf der Seite "SSPR-Konfiguration" auf Einstellungen > Single Sign-On (SSO)-Client > OAuth und bearbeiten Sie die Links OAuth-Anmeldungs-URL, OAuth-Codeauflösungsservice-URL und OAuth-Profilservice-URL. Ersetzen Sie dazu die IP-Adressen durch den DNS-Namen des Servers, auf dem die Lastausgleichsoftware installiert ist.
Klicken Sie auf Einstellungen > Anwendung > Anwendung und aktualisieren Sie die Weiterleitungs-URL und die Abmeldungs-URL. Ersetzen Sie dazu die IP-Adressen durch den DNS-Namen des Servers, auf dem die Lastausgleichsoftware installiert ist. Aktualisieren Sie die Site-URL, indem Sie die IP-Adresse oder den Hostnamen des Servers/Systems angeben, auf dem SSPR installiert ist.
Starten Sie zur Aktualisierung der SSPR-Informationen auf Knoten1 das Konfigurationsprogramm unter /opt/netiq/idm/apps/configupdate/
./configupdate.sh
HINWEIS:Führen Sie die Datei configupdate.sh ausschließlich aus dem Verzeichnis configupdate heraus aus. Wenn Sie configupdate.sh von einem benutzerdefinierten Speicherort aus ausführen, treten Fehler auf.
Klicken Sie auf SSO-Clients > Self Service Password Reset und geben Sie die Werte für die Parameter Client-ID, Passwort und URL zur Umleitung der OSP-Authentifizierung ein. Weitere Informationen finden Sie unter Zurücksetzen von Passwörtern per Selbstbedienung.
HINWEIS:Vergewissern Sie sich, dass die Werte für diese Parameter in Knoten2 aktualisiert werden.
Stoppen Sie Tomcat in Knoten1 und generieren Sie eine neue osp.jks-Datei. Geben Sie dazu den DNS-Namen des Lastausgleichservers an und führen Sie den folgenden Befehl aus:
/opt/netiq/common/jre/bin/keytool -genkey -storetype PKCS12 -keyalg RSA -keysize 2048 -keystore osp.jks -storepass <Passwort> -keypass <Passwort> -alias osp -validity 1800 -dname "cn=<IP/DNS_des_Lastausgleichprogramms>"
Beispiel: /opt/netiq/common/jre/bin/keytool -genkey -storetype PKCS12 -keyalg RSA -keysize 2048 -keystore osp.jks -storepass changeit -keypass changeit -alias osp -validity 1800 -dname "cn=mydnsname"
HINWEIS:Das Schlüsselpasswort muss dasselbe sein wie das während der OSP-Installation angegebene Passwort. Alternativ kann dies auch mit dem Konfigurationsaktualisierungsprogramm und dem Keystore-Passwort geändert werden.
(Bedingt) Führen Sie folgenden Befehl aus, um zu überprüfen, ob die osp.jks-Datei mit den Änderungen aktualisiert wurde:
/opt/netiq/common/jre/bin/keytool -list -v -keystore osp.jks -storepass changeit
Sichern Sie die ursprüngliche osp.jks-Datei, die sich unter /opt/netiq/idm/apps/osp/ befindet, und kopieren Sie die neue osp.jks-Datei an diesen Speicherort.
Kopieren Sie die neue osp.jks-Datei, die sich unter /opt/netiq/idm/apps/osp/ befindet, von Knoten1 in alle anderen Benutzeranwendungsknoten im Cluster.
Für jeden Knoten im Cluster:
Navigieren Sie zum Verzeichnis /opt/netiq/idm/apps/sites und bearbeiten Sie die Datei ServiceRegistry.json, um Details für Load Balancer hinzuzufügen.
{"serviceRegisteries":[{"serviceID":"IDM","restUrl":"https://<DNS of the load balancer>:8543/IDMProv"}]} Navigieren Sie zum Verzeichnis /opt/netiq/idm/apps/sites/ und bearbeiten Sie die Datei config.ini, um DNS und Portnummer für das Lastausgleichprogramm hinzuzufügen.
OSPIssuerUrl=https://<DNS of the load balancer>:8543/osp/a/idm/auth/oauth2 OSPRedirectUrl=https://<DNS of the load balancer>:8600/forms/oauth.html ClientID=forms OSPLogoutUrl=https://<DNS of the load balancer>:8543/osp/a/idm/auth/app/logout
Starten Sie das Konfigurationsprogramm in Knoten1 und ändern Sie alle URL-Einstellungen wie den URL-Link zur Landeseite und die OAuth-Umleitungs-URL zum DNS-Namen des Lastausgleichprogramms auf der Registerkarte „SSO-Client“.
Speichern Sie die Änderungen im Konfigurationsprogramm. Überprüfen Sie die Datei ism-configuration properties auf Änderungen und ändern Sie sie, falls URLs immer noch auf den DNS und Port von Knoten 1 zeigen.
Kopieren Sie die Datei ism-configuration.properties unter /TOMCAT_INSTALLED_HOME/conf von Knoten1 in alle anderen Benutzeranwendungsknoten im Cluster.
HINWEIS:
Sie haben die Datei ism-configuration.properties von Knoten1 in alle anderen Knoten im Cluster kopiert. Wenn Sie bei der Installation der Benutzeranwendung Pfade angegeben haben, müssen Sie dafür sorgen, dass die entsprechenden Pfade korrigiert werden; verwenden Sie dazu das Konfigurationsaktualisierungsprogramm in den Clusterknoten.
Nach dem Kopieren der Datei ism-configuration.properties von einem Knoten zum anderen müssen Sie sicherstellen, dass die Datei über die Berechtigung novlua:novlua verfügt.
In diesem Szenario sind OSP und die Benutzeranwendung auf demselben Server installiert; daher wird für die Umleitungs-URLs derselbe DNS-Name verwendet.
Wenn OSP und Benutzeranwendung auf verschiedenen Servern installiert sind, müssen Sie die OSP-URLs zu einem anderen DNS-Namen ändern, der auf das Lastausgleichprogramm verweist. Wiederholen Sie dies für alle Server, auf denen OSP installiert ist. Dadurch werden alle OSP-Anforderungen über das Lastausgleichprogramm an den DNS-Namen des OSP-Clusters zugestellt. Dazu muss für OSP-Knoten ein separater Cluster vorhanden sein.
Weisen Sie die Berechtigung novlua der Datei osp.jks zu:
chown novlua:novlua osp.jks
Führen Sie die folgenden Schritte in der Datei setenv.sh im Verzeichnis /TOMCAT_INSTALLED_HOME/bin/ durch:
Für ein erfolgreiches mcast_addr-Binding muss für JGroups die Eigenschaft preferIPv4Stack auf true festgelegt sein. Fügen Sie dazu die JVM-Eigenschaft Djava.net.preferIPv4Stack=true in Datei setenv.sh in allen Knoten hinzu.
Fügen Sie -Dcom.novell.afw.wf.engine-id="Engine1" in der Datei setenv.sh in Knoten1 hinzu. Fügen Sie entsprechend einen eindeutigen Engine-Namen für jeden Knoten im Cluster hinzu. Beispiel: Für Knoten2 fügen Sie den Engine-Namen als Engine2 hinzu.
Aktivieren Sie das Clustering in der Benutzeranwendung.
Starten Sie Tomcat in Knoten1.
Starten Sie keine anderen Server.
Melden Sie sich bei der Benutzeranwendung als Administrator der Benutzeranwendung an.
Klicken Sie auf Konfiguration > Caching und Cluster.
Die Benutzeranwendung zeigt die Seite „Cache-Management“ an.
Klicken Sie auf Cluster-Cache-Konfiguration und wählen Sie für die Eigenschaft Clusterfähig die Option Wahr aus.
Klicken Sie auf Speichern.
Starten Sie Tomcat neu.
HINWEIS:Wenn Sie "Lokale Einstellungen aktivieren" ausgewählt haben, wiederholen Sie diesen Vorgang für jeden Server im Cluster.
Der Benutzeranwendungscluster verwendet JGroups für die Cache-Synchronisierung in allen Knoten mit der Standard UDP. Falls Sie dieses Protokoll zur Verwendung von TCP ändern möchten, finden Sie weitere Informationen dazu unter Konfigurieren des Benutzeranwendung-Caching zur Verwendung von TCP im NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen.
Aktivieren Sie den Berechtigungsindex für das Clustering.
Melden Sie sich bei der Identity Console auf IDVault an und gehen Sie zur Strukturansicht.
Wählen Sie im linken Bereich der Strukturansicht System > Treibersatz, der den Benutzeranwendungstreiber enthält.
Wählen Sie dann AppConfig > AppDefs.
Wählen Sie im linken Bereich Konfiguration.
Wählen Sie unter Bewertete Attribute das Attribut XMLData und legen Sie die Eigenschaft com.netiq.idm.cis.clustered auf true fest.
Beispiel:
<Eigenschaft>
<Schlüssel>com.netiq.idm.cis.clustered</Schlüssel>
<Wert>true</Wert>
</Eigenschaft>
Klicken Sie auf Speichern.
Aktivieren Sie den Tomcat-Cluster.
Öffnen Sie die Tomcat server.xml -Datei unter /TOMCAT_INSTALLED_HOME/conf/ und kommentieren Sie diese Zeile in dieser Datei in allen Clusterknoten aus:
<Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster"/>
Befolgen Sie für die erweiterte Tomcat-Clustering-Konfiguration die Schritte unter https://tomcat.apache.org/tomcat-8.5-doc/cluster-howto.html.
Starten Sie Tomcat in allen Knoten neu.
Konfigurieren Sie den Benutzeranwendungstreiber für das Clustering.
In einem Cluster muss der Benutzeranwendungstreiber so konfiguriert sein, dass er den DNS-Namen des lokalen Lastausgleichprogramms für den Cluster verwendet. Sie konfigurieren den Benutzeranwendungstreiber mit der Identity Console.
Melden Sie sich bei der Identity Console an, wo Ihre Identity Manager-Engine verwaltet wird.
Klicken Sie auf Identity Manager-Verwaltung.
Wählen Sie den Treibersatz, der Ihren Benutzeranwendungstreiber, den Rollen- und Ressourcenservice-Treiber und den Datenerfassungsdienst-Treiber enthält.
Klicken Sie auf das Symbol für den Benutzeranwendungstreiber.
Gehen Sie auf den Karteireiter Konfiguration.
Ändern Sie in der Dropdown-Liste Treiberparameter > Host zu dem Hostnamen oder der IP-Adresse des Lastausgleichsprogramms.
Klicken Sie auf Speichern.
Starten Sie den Treiber neu.
Wiederholen Sie zum Ändern der URL des Rollen- und Ressourcenservice-Treibers die Schritte 19a bis 19f und klicken Sie auf Treiberparameter. Aktualisieren Sie die Benutzeranwendungs-URL mit dem DNS-Namen des Lastausgleichsprogramms.
Vergewissern Sie sich, dass die Sitzungstreue für den Cluster aktiviert ist, der in der Lastausgleichsoftware für die Benutzeranwendungsknoten erstellt wurde.
Konfigurieren Sie die Client-Einstellungen im Identity Manager-Dashboard. Weitere Informationen finden Sie unter Modus zur Konfiguration der Client-Einstellungen im NetIQ Identity Manager – Administratorhandbuch für die Identitätsanwendungen.