28.2 Bereitstellungsverfahren

Identity Manager-Komponenten können je nach Bedarf in einem privaten oder einem öffentlichen Netzwerk bereitgestellt werden. Abbildung 28-1, Identity Manager-Bereitstellung in AWS EC2 veranschaulicht ein Beispiel einer Bereitstellung, das in den folgenden Abschnitten herangezogen wird.

Abbildung 28-1 Identity Manager-Bereitstellung in AWS EC2

Identity Manager-Komponenten können in unterschiedlichen Kombinationen bereitgestellt werden. Es hängt davon ab, wie die Komponenten auf verschiedenen Servern verteilt sind. Der Bereitstellungsvorgang ist jedoch für alle Szenarien gleich.

Der Bereitstellungsvorgang besteht aus den folgenden Schritten:

28.2.1 Vorbereiten der AWS Virtual Private Cloud (AWS VPC)

In diesem Abschnitt erhalten Sie einen Überblick zu den allgemeinen Schritten für die Einrichtung einer AWS VPC für Identity Manager. Weitere Informationen finden Sie in der Dokumentation zu Amazon Elastic Compute Cloud.

Gehen Sie zur Erstellung der AWS VPC-Services folgendermaßen vor:

  1. Melden Sie sich bei der AWS-Verwaltungskonsole an.

  2. Klicken Sie auf Services und erstellen Sie folgende Services:

    Service

    Schritte

    VPC

    1. Klicken Sie auf Services > VPC unter Networking und Inhaltsbereitstellung.

    2. Klicken Sie auf VPC-Assistenten starten.

    3. Wählen Sie einen VPC-Konfigurationstyp aus und klicken Sie auf Auswählen.

    4. Geben Sie die Details im Formular an und klicken Sie dann auf VPC erstellen.

      Damit wird ein privates Netzwerk der angegebenen Größe erstellt. Bei der Erstellung von VPC und dem Teilnetz wird die CIDR-Schreibweise für Adressbereiche verwendet. Die maximale VPC-Größe ist ein /16-Netzwerk.

    Weitere Informationen finden Sie in der Dokumentation zu Amazon Private Cloud.

    WICHTIG:Bei der Erstellung einer VPC mit VPC-Assistenten starten werden Teilnetze, Internet-Gateways und eine Routentabelle für die VPC erstellt. Diese Elemente werden folgendermaßen angezeigt oder bearbeitet:

    Teilnetze

    Für die Bereitstellung der Identity Manager-Komponenten wie in Abbildung 28-1 gezeigt müssen Sie drei Teilnetze in VPC erstellen. Beispielsweise privateSN, publicSN1 und publicSN2.

    Gehen Sie zum Erstellen eines Teilnetzes folgendermaßen vor:

    1. Klicken Sie im linken Menü auf Teilnetze.

    2. Klicken Sie auf Teilnetz erstellen.

    3. Geben Sie zur Bezeichnung des Teilnetzes eine Namenskennung an.

    4. Geben Sie IPv4 CIDR-Block in VPC an.

      Beispiel: 10.0.0.0/24

      Sie müssen öffentliche Teilnetze in verschiedenen Verfügbarkeitszonen erstellen.

    5. Klicken Sie auf Ja und anschließend auf „Erstellen“.

    6. (Bedingt) Aktivieren Sie für öffentliche Teilnetze die automatische Zuweisung der öffentlichen IP-Adresse:

      1. Wählen Sie Teilnetzaktionen > Einstellungen für automatische IP-Zuweisung bearbeiten aus.

      2. Wählen Sie Automatische Zuweisung der öffentlichen IPv4-Adresse aktivieren aus.

      3. Klicken Sie auf Speichern.

    Wiederholen Sie diese Schritte, um weitere Teilnetze zu erstellen.

    Internet-Gateways

    1. Klicken Sie im linken Menü auf Internet-Gateways.

    2. Klicken Sie auf Internet-Gateway erstellen.

    3. Geben Sie die Namenskennung an und klicken Sie dann auf Erstellen.

    4. Wählen Sie das neu erstellte Internet-Gateway aus und fügen Sie es der VPC bei:

      1. Wählen Sie Aktionen > Der VPC beifügen aus.

      2. Wählen Sie die VPC in der Liste aus und klicken Sie auf Beifügen.

    Routentabelle

    1. Klicken Sie im linken Menü auf Routentabellen.

    2. Wählen Sie die Routentabelle aus, die für diese VPC automatisch erstellt wurde.

    3. Auf dem Karteireiter Routen:

      1. Klicken Sie auf Bearbeiten.

      2. Klicken Sie auf Andere Route hinzufügen.

      3. Geben Sie in Ziel den Eintrag 0.0.0.0/0 an.

      4. Wählen Sie in Ziel die Tabelle "Internet-Gateway" aus, die mit dieser VPC verknüpft ist. Weitere Informationen finden Sie unter Internet-Gateways.

      5. Klicken Sie auf Speichern.

    4. Auf dem Karteireiter Teilnetzverknüpfung:

      1. Klicken Sie auf Bearbeiten.

      2. Suchen Sie das Teilnetz, das mit dieser VPC verknüpft werden soll, und klicken Sie auf Speichern.

    (Optional) Gehostete Zonen

    Falls Sie über eine registrierte Domäne verfügen, können Sie darauf Identity Manager-Komponenten hosten. Führen Sie dazu folgende Aktionen aus:

    1. Klicken Sie auf Services > Route 53 > Gehostete Zonen.

    2. Klicken Sie auf Gehostete Zone erstellen und geben Sie die Details an wie:

      • Domänenname: Geben Sie den Namen der Domäne an.

      • Kommentar Fügen Sie einen Kommentar hinzu.

      • Typ: Geben Sie den Typ der gehosteten Zone an.

    3. Klicken Sie auf Erstellen.

    Elastische IP-Adresse

    1. Klicken Sie auf Services > EC2.

    2. Wählen Sie im linken Menü Elastische IPs aus.

    3. Klicken Sie auf Neue Adresse zuordnen.

    4. Klicken Sie auf Zuordnen.

      Eine statische IPv4-Adresse wird zugeordnet, die von keiner anderen Ressource verwendet wird.

    5. Klicken Sie auf Close (Schließen).

28.2.2 Erstellen und Bereitstellen von Instanzen

In diesem Abschnitt erhalten Sie einen Überblick zur Vorgehensweise für die Erstellung und Bereitstellung von Instanzen für eine einfache Einrichtung von Identity Manager. Dazu gehören die Identity Manager-Engine, Identity Applications, Identity Reporting sowie die Datenbanken für die Benutzeranwendung und Berichterstellung.

Gehen Sie zur Erstellung der Instanzen für Identity Manager-Komponenten folgendermaßen vor:

  1. Klicken Sie auf Services > EC2.

  2. Klicken Sie auf Instanz starten.

  3. Wählen Sie SLES 15 SPx oder das Image.

  4. Wählen Sie den Instanztyp aus, der die Anforderungen des Basisbetriebssystems und für die Bereitstellung der Identity Manager-Komponenten erfüllt. Weitere Informationen finden Sie unter Systemanforderungen für Identity Manager 4.9.

  5. Klicken Sie auf Weiter: Instanzendetails konfigurieren.

    Vergewissern Sie sich, dass die Instanz die korrekte VPC und das korrekte Teilnetz verwendet. Auf dieser Seite werden die Teilnetzeinstellungen automatisch eingetragen.

    Feld

    Aktion

    Öffentliche IP automatisch zuweisen

    Legen Sie für das öffentliche Teilnetz die Option Aktivieren fest. Für diese Einstellung werden automatisch die Teilnetzeinstellungen eingetragen. Legen Sie den Wert für das private Teilnetz auf Deaktivieren fest.

  6. Klicken Sie auf Weiter: Speicherplatz hinzufügen.

    Die Speicherplatzgröße beträgt standardmäßig 10 GB. Ändern Sie die Speicherplatzgröße je nach Bedarf. Weitere Informationen finden Sie unter Systemanforderungen für Identity Manager 4.9.

  7. Klicken Sie auf Weiter: Kennungen hinzufügen.

    Fügen Sie die Kennungen nach Wunsch hinzu. Durch Kennungen lassen sich Instanzen strukturieren. Fügen Sie beispielsweise die folgenden beiden Kennungen zu jeder Instanz hinzu:

    • Eine Kennung, die angibt, wofür die Instanz verwendet wird.

    • Eine Kennung, die angibt, wer der Eigentümer dieses Rechners ist.

  8. Klicken Sie auf Weiter: Sicherheitsgruppe konfigurieren

    Sicherheitsgruppen sind virtuelle Firewallregeln für Gruppen von Instanzen. Es wird empfohlen, eine separate Sicherheitsgruppe für jede Gruppe von Instanzen mit den selben Firewallanforderungen zu erstellen.

    Es kann beispielsweise eine Sicherheitsgruppe für alle Knoten der Identity Manager-Engine erstellt werden, eine Sicherheitsgruppe für alle Knoten von Identity Applications sowie eine Sicherheitsgruppe für alle Knoten von Identity Reporting. Eine neue Sicherheitsgruppe lässt standardmäßig nur eingehenden Datenverkehr auf Port 22 zu. Dadurch kann nur mit SSH eine Verbindung zur Instanz hergestellt werden.

    Weitere Informationen finden Sie unter Amazon EC2-Sicherheitsgruppen für Linux-Instanzen.

  9. Erstellen Sie eine neue Sicherheitsgruppe und geben Sie einen Namen oder eine Beschreibung dafür an.

    Fügen Sie weitere Portregeln hinzu, bevor Sie die folgenden Identity Manager-Komponenten installieren:

    Komponente

    Port

    Beschreibung

    LDAP für das Identitätsdepot

    TCP 636

    Erforderlich für die sichere LDAP-Kommunikation

    Identity Applications

    TCP 8543

    Erforderlich für die HTTPS-Kommunikation für den Zugriff auf Identity Applications.

    Identity Reporting

    TCP 8643

    Erforderlich für die HTTPS-Kommunikation für den Zugriff auf Identity Reporting.

    PostgreSQL Database

    TCP 5432

    Erforderlich für die sichere Datenbankkommunikation für den Zugriff auf PostgreSQL.

  10. Klicken Sie auf Prüfen und starten.

  11. Klicken Sie nach dem Prüfen der Details auf Starten.

  12. Wählen Sie ein vorhandenes Schlüsselpaar aus oder erstellen Sie ein neues.

    Dieses Schlüsselpaar wird für den SSH-Zugriff auf die Instanz verwendet. Dasselbe Schlüsselpaar kann für mehrere Rechner verwendet werden.

  13. Klicken Sie auf Schlüsselpaar herunterladen.

    WICHTIG:Sie können nur mit dem privaten Schlüssel eine Verbindung zu Ihren Instanzen herstellen und sie verwalten. Verlieren Sie den heruntergeladenen privaten Schlüssel daher nicht.

  14. Fügen Sie die elastische IP-Adresse bei, die bei Initialisierung der Instanz erstellt wurde.

  15. Wiederholen Sie Schritt 1 bis Schritt 13 und erstellen Sie weitere Instanzen.

28.2.3 Vorbereiten der EC2-Instanzen

Starten Sie eine Instanz und überprüfen Sie die Software-Repositorys. Führen Sie zum Überprüfen der konfigurierten Software-Repositorys Folgendes durch:

  1. Melden Sie sich mit dem Schlüsselpaar bei einer Instanz an.

  2. Wechseln Sie zum root-Benutzer.

  3. Überprüfen Sie, ob die folgenden Aktualisierungen in Ihrem Betriebssystem verfügbar sind:

    SLES12-SP3-Pool und SLES12-SP3-Updates unter SLES: Führen Sie zur Überprüfung das Kommando zypper lr –n aus.

    rhui-REGION-rhel-server-releases/7Server/x86_64 unter RHEL: Führen Sie zur Überprüfung das Kommando yum repolist aus.

    HINWEIS:Wenn in Ihrem Betriebssystem keine Repositorys vorhanden sind, überprüfen Sie, ob die konfigurierte elastische IP-Adresse der Instanz beigefügt wurde und starten Sie die Instanz dann neu.

  4. Installieren Sie die folgenden Voraussetzungen für Ihr Betriebssystem:

    SLES

    Installieren Sie mit dem Kommando zypper die Bibliothekglibc-32bit.

    Red Hat

    Installieren Sie die folgenden Voraussetzungen mit dem Kommando yum install:

    • unzip

    • ksh

    • bc

    • glibc-*.i686

    • libXau-1.0.8-2.1.el7.i686

    • libxcb.i686

    • libX11.i686

    • libXtst.i686

    • libXrender.i686

    • libgcc.i686

    • lsof

    Für die Identity Manager-Engine kann das Skript prerequisite.sh bearbeitet und die Vorkommen von compat-libstdc++-33.x86_64.rpm entfernt werden. Dieses Paket wird für die Installation von Identity Manager nicht mehr benötigt.

  5. Richten Sie /etc/hosts und hostname ein:

    1. Sichern Sie die Identity Manager-Server innerhalb der Firewall mit der privaten IP-Adresse der Instanz.

    2. Weisen Sie der Instanz einen DNS-Namen zu und aktualisieren Sie die hosts-Datei.

      Beispiel:

      # 10.0.0.1 identityEngine.example.com identityEngine

    3. Legen Sie den Wert für Hostname und Domänenname fest.

      SLES

      yast lan

      RHEL

      hostnamectl set-hostname idmengine.example.com

  6. (Bedingt) Erstellen Sie ein verschlüsseltes EBS (Elastic Block Store)-Volume zur Verschlüsselung der Daten in der Cloud.

    1. Klicken Sie auf Services > EC2.

    2. Wählen Sie in Elastic Block Store die Option Volumes aus und klicken Sie auf Volume erstellen.

    3. Geben Sie die erforderliche Größe für Ihr Volume an.

    4. Wählen Sie Dieses Volume verschlüsseln aus und klicken Sie auf Volume erstellen.

    5. Wählen Sie das neu erstellte Volume in der Liste aus.

    6. Klicken Sie in Aktionen auf Volume beifügen, um der EC2-Instanz das Volume beizufügen.

    7. Wiederholen Sie diese Schritte für jede Instanz.

    Weitere Informationen zu EBS finden Sie unter Amazon EBS.

  7. Formatieren Sie das Volume und hängen Sie mit den Werkzeugen des Betriebssystems die Partition ein:

    SLES

    Führen Sie das Kommando yast disk aus, um das Volume zu formatieren.

    RHEL

    Führen Sie mkfs aus, um es zu formatieren und zu /etc/fstab hinzuzufügen. Weitere Informationen finden Sie unter Red Hat Enterprise Linux – Bereitstellungshandbuch.

    HINWEIS:

    • Hängen Sie die Datenpartition für Identity Manager-Engine ein. Standardmäßig lautet die Datenpartition /var/opt/novell/.

    • Hängen Sie weitere Identity Manager-Komponenten in /opt/netiq/ ein.

  8. Aktualisieren Sie die Datei /etc/hosts in allen Instanzen mit DNS auf die IP-Adresse aller Rechner.

28.2.4 Einrichten der Identity Manager-Komponenten

Führen Sie vor dem Installieren der Identity Manager-Komponenten folgende Schritte aus:

  1. Laden Sie die Identity_Manager_4.9.0_Linux.iso in die Instanz herunter, in der Sie die Identity Manager-Komponente installieren möchten.

  2. Hängen Sie die heruntergeladene .iso-Datei ein.

  3. (Bedingt) Erstellen Sie die Datenbank für Identity Applications und Identity Reporting. Weitere Informationen finden Sie unter Einrichten der Datenbank für Identity Applications und Identity Reporting.

  4. Führen Sie im Stammverzeichnis der .iso-Datei das Kommando ./install.sh aus.

  5. Lesen Sie die Lizenzvereinbarung und tippen Sie j ein, um die Lizenzvereinbarung zu akzeptieren.

  6. Wählen Sie die Option für die benutzerdefinierte Installation aus und die Komponente, die in der Instanz installiert werden soll. Konfigurieren Sie die Komponente. Weitere Informationen finden Sie unter Tabelle 5-2, Benutzerdefinierte Konfiguration.

  7. Führen Sie configupdate.sh in Identity Reporting und Identity Applications aus, um alle Clients festzulegen.

28.2.5 Einrichten der Datenbank für Identity Applications und Identity Reporting

Wenn Sie die PostgreSQL-Datenbank für Identity Applications und Identity Reporting auf einem externen Server installieren möchten, sollten Sie vor der Installation folgende Schritte ausführen:

  1. Navigieren Sie zu dem Speicherort, an dem Sie die Datei Identity_Manager_4.9.0_Linux.iso eingehängt haben.

  2. Suchen Sie das Verzeichnis /common/packages/postgres/ und installieren Sie PostgreSQL.

    rpm -ivh netiq-postgresql-9.6.6-0.noarch.rpm

  3. Verknüpfen Sie die Gruppe mit folgendem Kommando mit dem postgres-Benutzer:

    /usr/sbin/usermod -a -G postgres postgres

  4. Ändern Sie den Pfad zum Basisverzeichnis des postgres-Benutzers zu /opt/netiq/idm/postgres/ in der Datei/etc/passwd.

    1. Navigieren Sie zum Verzeichnis /etc/.

    2. Bearbeiten Sie die Datei passwd.

      vi /etc/passwd

    3. Ändern Sie das Basisverzeichnis des postgres-Benutzers zu /opt/netiq/idm/postgres/.

  5. Melden Sie sich als postgres-Benutzer an.

    Beispiel:

    su - postgres

  6. Erstellen Sie ein data-Verzeichnis im PostgreSQL-Installationsverzeichnis.

    mkdir -p <POSTGRES_HOME>/data; <POSTGRES_HOME> steht hier für /opt/netiq/idm/postgres

    Beispiel:

    mkdir -p /opt/netiq/idm/postgres/data

  7. Exportieren Sie das PostgreSQL-home-Verzeichnis.

    export PGHOME=<Pfad des Postgres-home-Verzeichnisses>

    Beispiel:

    export PG_HOME=/opt/netiq/idm/postgres

  8. Exportieren Sie das PostgreSQL-Passwort:

    export PGPASSWORD=<Datenbankpasswort eingeben>

  9. Initialisieren Sie die Datenbank.

    "LANG=en_US.UTF-8 <POSTGRES_HOME>/bin/initdb -D <POSTGRES_HOME>/data"

    Beispiel:

    "LANG=en_US.UTF-8 /opt/netiq/idm/postgres/bin/initdb -D /opt/netiq/idm/postgres/data"

  10. Erstellen Sie eine Datenbank für die folgenden Komponenten im Verzeichnis /opt/netiq/idm/postgres/.

    Identity Applications
    $ createdb idmuserappdb
$ psql -s idmuserappdb
# create user idmadmin password 'somepassword';
# GRANT ALL PRIVILEGES ON DATABASE idmuserappdb TO idmadmin;
# ALTER DATABASE idmuserappdb OWNER TO idmadmin;
    Identity Reporting
    $ createdb idmrptdb

  11. Melden Sie sich als postgres-Benutzer ab.

  12. Ändern Sie die Datei postgresql.conf, damit die PostgreSQL-Instanz andere Netzwerkinstanzen als localhost überwachen kann.

    1. Navigieren Sie zum Verzeichnis /opt/netiq/idm/postgres/data/.

    2. Bearbeiten Sie die Datei postgresql.conf:

      vi postgresql.conf

    3. Fügen Sie folgende Zeile in der Datei hinzu:

      listen_addresses = '*'

  13. Erstellen Sie das Verzeichnis pg_log unter <Pfad des Postgres-Basisverzeichnisses>/data.

    Beispiel:

    mkdir -p /opt/netiq/idm/postgres/data/pg_log

  14. Ändern Sie die Berechtigungen für das Verzeichnis pg_log.

    chown -R postgres:postgres <Pfad des Postgres-Verzeichnisses>/data/pg_log

    Beispiel:

    chown -R postgres:postgres /opt/netiq/idm/postgres/data/pg_log

  15. Starten Sie den PostgreSQL-Dienst.

    systemctl start netiq-postgresql

    Damit wird der neue PostgreSQL-Dienst gestartet.

28.2.6 Einrichten von Designer

Sie müssen Designer auf einem Windows-Computer installieren.

  1. Starten Sie die unterstützte Windows-Instanz in einem öffentlichen Teilnetz.

    Verwenden Sie für die Windows-Sicherheitsgruppe nur den Port rdesktop. Beispiel: 3389

  2. Installieren Sie Designer in einer Windows-Instanz. Weitere Informationen finden Sie unter Installieren von Designer im Handbuch Installations- und Upgrade-Anleitung für NetIQ Identity Manager für Windows.

28.2.7 Erstellen eines AWS EC3-Lastausgleichprogramms

Zum gleichmäßigen Verteilen der Last der eingehenden Anforderungen auf die Identity Manager-Komponenten kann ein Lastausgleichprogramm erstellt werden. Mit dem Lastausgleichprogramm werden die Identity Manager-Server vor öffentlichem Zugriff gesichert.

In den folgenden Verfahren werden die Konfigurationsdetails erläutert, die zur Einrichtung des Lastausgleichprogramms für das Beispielszenario einer Bereitstellung erforderlich sind:

Erstellen eines Zertifikats für ein Lastausgleichprogramm für die sichere Kommunikation

Das Lastausgleichprogramm stellt mit diesem Zertifikat eine sichere Kommunikation zwischen den Identity Manager-Komponenten her. Ein Zertifikat für ein Lastausgleichprogramm kann auf drei verschiedene Arten erstellt werden:

Verwenden des AWS Certificate Manager (ACM)

  1. Klicken Sie auf Services > Zertifikatsverwalter.

  2. Klicken Sie auf Zertifikat anfordern.

  3. Geben Sie den DNS-Namen ein, für den Sie ein Zertifikat erstellen möchten.

  4. Überprüfen Sie die DNS-Zertifizierungsstelle.

Hochladen eines externen Zertifikats zu ACM

  1. Klicken Sie auf Services > Zertifikatsverwalter.

  2. Klicken Sie auf Zertifikat importieren.

  3. Geben Sie die Zertifikatsdetails an.

Hochladen eines externen Zertifikats zu IAM

  1. Klicken Sie auf Services.

  2. Klicken Sie unter Sicherheit, Identität und Compliance, auf IAM.

  3. Geben Sie die Zertifikatsdetails mit der IAM-API an. Weitere Informationen finden Sie unter Hochladen der Serverdaten mit der IAM-API.

Erstellen von Zielgruppen

Eine Zielgruppe stellt eine Methode zur Verknüpfung des Lastausgleichprogramms mit den IP-Adressen von Instanzen (Zielen) dar, zwischen denen die Last aufgeteilt wird.

Gehen Sie zum Erstellen einer Zielgruppe folgendermaßen vor:

  1. Klicken Sie auf dem EC2-Dashboard auf Zielgruppen unter LASTAUSGLEICH.

  2. Klicken Sie auf Zielgruppe erstellen.

  3. Geben Sie die folgenden Informationen an:

    Feld

    Beschreibung

    Name der Zielgruppe

    Geben Sie einen Namen für die Zielgruppe an.

    Er kann der Name einer Komponente sein, für die diese Zielgruppe konfiguriert wird. Beispiel: Identity Applications, Identity Reporting.

    Protokoll

    Wählen Sie HTTPS aus.

    Port

    Geben Sie den Port an, auf dem der Server für die Überwachung konfiguriert wird.

    Nachfolgend sehen Sie Beispiele von Portwerten, die für verschiedene Identity Manager-Komponenten verwendet werden:

    • Identity Applications: 8543

    • Identity Reporting: 8643

    Zieltyp

    Wählen Sie Instanz aus.

    VPC

    Wählen Sie die gleiche VPC aus, die Sie für die Instanzen der Identity Manager-Komponenten ausgewählt haben.

    Einstellungen für die Zustandsprüfung

    Protokoll

    Wählen Sie HTTPS aus.

    Das Lastausgleichprogramm zieht dieses Protokoll für Zustandsprüfungen heran.

    Pfad

    Geben Sie den Zielpfad für Zustandsprüfungen an.

    Nachfolgend sehen Sie die Standardpfade der Identity Manager-Komponenten für die Durchführung von Zustandsprüfungen:

    • Identity Applications: /idmdash/index.html

    • Identity Reporting: /IDMRPT/index.html

    Erweiterte Einstellungen für die Zustandsprüfung

    Behalten Sie die Standardwerte bei.

  4. Klicken Sie auf Erstellen.

  5. Aktivieren Sie die Sitzungstreue.

    1. Wählen Sie die erstellte Zielgruppe aus.

    2. Klicken Sie auf dem Karteireiter Beschreibung auf Attribute bearbeiten.

    3. Wählen Sie Aktivieren für Treue aus.

  6. Wiederholen Sie diese Schritte zum Erstellen von Zielgruppen für jede Anwendung.

HINWEIS:Ist SSPR auf einem anderen Server installiert, müssen Sie eine separate Zielgruppe für diese Komponte erstellen.

Erstellen des Lastausgleichprogramms

Gehen Sie zum Erstellen eines Lastausgleichprogramms folgendermaßen vor:

  1. Klicken Sie im linken Menü auf Lastausgleichprogramme.

  2. Klicken Sie auf Lastausgleichprogramme erstellen.

  3. Klicken Sie unter Lastausgleichprogramm für die Anwendung auf Erstellen.

  4. Geben Sie die folgenden Informationen an:

    Feld

    Beschreibung

    Name

    Geben Sie einen Namen für das Lastausgleichprogramm an.

    Schema

    Wählen Sie internet-facing aus.

    Listener

    Klicken Sie zum Hinzufügen weiterer Listener zu Ihrem Lastausgleichprogramm auf Listener hinzufügen.

    Geben Sie den Listener-Port folgendermaßen an:

    Für Identity Applications:

    • Protokoll für das Lastausgleichprogramm: HTTPS

    • Port für das Lastausgleichprogramm: 8543

    Für Identity Reporting:

    • Protokoll für das Lastausgleichprogramm: HTTPS

    • Port für das Lastausgleichprogramm: 8643

    Verfügbarkeitszonen

    1. Wählen Sie dieselbe VPC aus, die Sie früher für die Identity Manager-Komponenten erstellt haben.

    2. Wählen Sie die Verfügbarkeitszone aus, in der öffentliche Teilnetze verfügbar sind.

      HINWEIS:Sie müssen mindestens zwei Teilnetze auswählen.

    Kennungen

    (Optional) Sie können eine Kennung für das Lastausgleichprogramm hinzufügen.

  5. Klicken Sie auf Weiter: Sicherheitseinstellungen konfigurieren

  6. Geben Sie die Zertifikatsdetails zur Verwendung des HTTPS-Protokolls an. Sie können eine der folgenden Aufgaben ausführen:

  7. Klicken Sie auf Weiter: Sicherheitsgruppen konfigurieren

  8. Wählen Sie unter Eine Sicherheitsgruppe zuweisen die Option Neue Sicherheitsgruppe erstellen aus.

  9. (Optional) Geben Sie den Namen und die Beschreibung für das Lastausgleichprogramm an.

  10. Fügen Sie zur Sicherheitsgruppe, die den Datenverkehr an die konfigurierten Listener weiterleitet, Regeln hinzu:

    Feld

    Beschreibung

    Typ

    Wählen Sie Benutzerdefinierte TCP-Regel aus.

    Protokoll

    Damit wird der für die Regel verwendete Protokolltyp angezeigt.

    Portbereich

    Wählen Sie den Portbereich für die Identity Manager-Komponenten aus:

    • Identity Applications: 8543

    • Identity Reporting: 8643

    Ursprung

    Wählen Sie Überall aus, um eine Verbindung zur Instanz herzustellen, in der die Identity Manager-Komponente bereitgestellt wurde.

  11. Klicken Sie auf Weiter: Routing konfigurieren.

  12. Geben Sie unter Zielgruppe folgende Details an:

    Feld

    Beschreibung

    Zielgruppe

    Wählen Sie Bestehende Zielgruppe aus. In dieser Liste werden die Zielgruppen angezeigt, die unter Erstellen von Zielgruppen für Identity Manager-Komponenten erstellt wurden.

    Name

    Wählen Sie in der Liste eine Zielgruppe aus.

    Hier kann nur eine Zielgruppe ausgewählt werden. Wählen Sie beispielsweise die Zielgruppe aus, die Sie für Identity Applications erstellt haben.

    Nach dem Erstellen des Lastausgleichprogramms müssen Sie den Listener-Port 8443 bearbeiten, damit die für das HTTPS-Protokoll konfigurierte Zielgruppe verwendet wird. Weitere Informationen finden Sie unter Schritt 18 in diesem Abschnitt.

    Protokoll

    Es wird der in der angegebenen Zielgruppe konfigurierte Wert eingetragen. Überprüfen Sie ihn, um sicherzustellen, dass der Wert korrekt aufgeführt ist.

    Port

    Es wird der in der angegebenen Zielgruppe konfigurierte Wert eingetragen. Überprüfen Sie ihn, um sicherzustellen, dass der Wert korrekt aufgeführt ist.

    Zieltyp

    Es wird der in der angegebenen Zielgruppe konfigurierte Wert eingetragen. Überprüfen Sie ihn, um sicherzustellen, dass der korrekte Wert aufgeführt ist.

  13. Sehen Sie sich unter Zustandsprüfungen folgende Details an:

    Feld

    Beschreibung

    Protokoll

    Es wird HTTPS oder HTTP eingetragen, je nach Konfiguration der Zielgruppe, die Sie in Schritt 12 ausgewählt haben.

    Weitere Informationen finden Sie unter Erstellen von Zielgruppen.

    Pfad

    Es wird die Zustands-URL eingetragen, die Sie in der in Schritt 12 ausgewählten Zielgruppe konfiguriert haben.

    Weitere Informationen finden Sie unter Erstellen von Zielgruppen.

    Erweiterte Einstellungen für die Zustandsprüfung

    Behalten Sie die Standardwerte bei.

  14. Klicken Sie auf Weiter: Ziele registrieren.

    Die Liste aller Ziele, die bei der ausgewählten Zielgruppe registriert sind. Diese Liste kann erst nach Erstellung des Lastausgleichprogramms bearbeitet werden.

  15. Klicken Sie auf Weiter: Prüfen.

  16. Überprüfen Sie, ob die Details des Lastausgleichprogramms korrekt sind.

  17. Klicken Sie auf Erstellen und dann auf Schließen.

  18. (Bedingt) Wenn Sie die Erstellung von Listener-Ports für Identity Manager-Komponenten übersprungen haben oder neue Listener-Ports hinzufügen möchten, müssen Sie die Listener-Ports aktualisieren, damit die entsprechenden Zielgruppen verwendet werden:

    1. Wählen Sie das erstellte Lastausgleichprogramm aus.

    2. Wählen Sie den Karteireiter Listener aus.

    3. Klicken Sie auf Listener hinzufügen und geben Sie die erforderlichen Details für jeden Listener an. Weitere Informationen finden Sie unter Schritt 4.

    4. Wählen Sie das Zertifikat aus, das für das Lastausgleichprogramm verwendet wird. Weitere Informationen finden Sie unter Erstellen eines Zertifikats für ein Lastausgleichprogramm für die sichere Kommunikation.

    5. Klicken Sie auf Erstellen.

      Wenn SSPR auf einem separaten Rechner konfiguriert wurde, müssen Sie möglicherweise einen Listener hinzufügen.

    WICHTIG:Erstellen Sie zur Verwendung eines einzelnen Lastausgleichprogramms einen separaten DNS-Alias-Datensatz, um die Server bei der Einrichtung zu unterscheiden. Erstellen Sie andernfalls ein separates Lastausgleichprogramm für jede Webanwendung.

28.2.8 (Optional) Erstellen eines Alias-DNS in der registrierten gehosteten Zone

Mit einer eigenen registrierten Website ist es möglich, einen individuellen Datensatz für jede Identity Manager-Komponente zu erstellen.

  1. Klicken Sie auf Services > Route 53.

  2. Klicken Sie im Menü auf der linken Seite auf Gehostete Zonen und wählen Sie die gehostete Zone aus, die bei der Einrichtung der AWS EC2-Services erstellt wird. Weitere Informationen finden Sie unter Vorbereiten der AWS Virtual Private Cloud (AWS VPC).

  3. Klicken Sie auf Zu Datensätzen wechseln.

  4. Klicken Sie auf Datensatz erstellen:

    Feld

    Beschreibung

    Name

    Geben Sie für Ihren Datensatz einen sprechenden Namen an.

    Beispiel: Benennen Sie den Identity Applications-Datensatz als rbpm.

    Typ

    Wählen Sie A – IPv4-Adresse aus.

    Alias

    Wählen Sie Ja.

    Alias-Ziel

    Wählen Sie das Lastausgleichprogramm aus, das zur Verbindung mit den Identity Manager-Komponenten konfiguriert wurde.

    Routing-Richtlinie

    Wählen Sie Einfach aus

  5. Klicken Sie auf Erstellen.

  6. Wiederholen Sie Schritt 4 und Schritt 5, um einen Datensatz für jede Identity Manager-Instanz zu erstellen.

  7. Führen Sie configupdate.sh in Identity Applications, Identity Reporting und in den OSP-Instanzen aus und aktualisieren Sie die SSO-Konfiguration mit dem öffentlichen DNS-Namen.

  8. Starten Sie Tomcat neu.

  9. Überprüfen Sie die Konfiguration durch Zugriff auf die Anwendungen mit dem öffentlichen DNS.

    https://<Öffentlicher DNS-Name>:<Port>/<Anwendung-Kontext-Name>

28.2.9 Zugreifen auf die Identity Manager-Komponenten

Auf die Identity Manager-Instanzen kann mit dem DNS-Namen des Lastausgleichprogramms oder mit dem Alias-DNS-Datensatz zugegriffen werden. Bearbeiten Sie für die Kommunikation der Identity Manager-Instanzen untereinander die /etc/hosts-Dateien in jeder Instanz und fügen Sie einen Eintrag hinzu, um den Hostnamen zur privaten IP-Adresse aufzulösen.

Aktualisieren Sie die folgenden Instanzen, um intern auf die anderen Instanzen zuzugreifen

Instanz

Beschreibung

OSP

Die OSP-Instanz benötigt Zugriff auf die SSPR-Instanz, um Passwörter zurückzusetzen.

Speicherort der Hostdatei: /etc/hosts

Bearbeiten Sie die Hostdatei mit folgendem Eintrag:

<IP_address>   <Private_DNS_Name> <Public_DNS_Name>

Beispiel:

10.0.1.5   sspr.privatedns.local sspr.publicdns.com

Identity Applications

Die Identity Applications-Instanz benötigt für Anmeldezwecke Zugriff auf die OSP-Instanz.

Speicherort der Hostdatei: /etc/hosts

Bearbeiten Sie die Hostdatei mit folgendem Eintrag:

<IP_address>   <Private_DNS_Name> <Public_DNS_Name>

Beispiel:

10.0.1.6   osp.privatedns.local osp.publicdns.com

Identity Reporting

Die Identity Reporting-Instanz benötigt für Anmeldezwecke Zugriff auf die OSP-Instanz.

Speicherort der Hostdatei: /etc/hosts

Bearbeiten Sie die Hostdatei mit folgendem Eintrag:

<IP_address>   <Private_DNS_Name> <Public_DNS_Name>

Beispiel:

10.0.1.6   osp.privatedns.local  osp.publicdns.comm