15.7 Aufrüsten von Identity Applications

In diesem Abschnitt finden Sie Informationen zur Aufrüstung der Identitätsanwendungen und unterstützenden Software, wozu die Aktualisierung der folgenden Komponenten gehört:

Identity Manager-Benutzeranwendung
Self-Service Password Reset (SSPR)
Tomcat, JDK und ActiveMQ
PostgreSQL-Datenbank
One SSO Provider (OSP)

WICHTIG:Identity Manager 4.9 sieht vor, dass Identity Applications und OSP auf demselben Computer installiert sind. Bei einem Upgrade auf diese Version müssen Sie OSP verwenden, der beim Upgrade von Identity Applications installiert wurde. Kopieren Sie dann die OSP-Einstellungen vom bestehenden OSP-Server zum neuen OSP-Server. Weitere Informationen finden Sie unter Aufgaben nach dem Upgrade für Identity Applications-Komponenten.

Dieser Abschnitt enthält Informationen zu folgenden Themen:

15.7.1 Überlegungen für das Upgrade

Der Identity Applications-Upgradevorgang kann variieren je nach der Art und Weise, wie Sie die Komponenten der Identitätsanwendungen aufrüsten möchten. Vor dem Upgrade von Identity Applications sollten Sie folgende Überlegungen anstellen:

Bevor Sie mit dem Upgrade-Prozess für Identity Applications beginnen, müssen Sie die igaworkflowdb erstellen, wenn Sie Oracle- oder MS SQL-Datenbanken verwenden, und dem Benutzer idmadmin alle Rechte zuweisen, um Eigentümer der Datenbanken zu sein.
Wenn Sie die Identity Applications-Komponente von Identity Manager 4.7.5 auf 4.9 aufrüsten, exportieren Sie die Daten mit dem Workflow-Migrationswerkzeug aus der Identity Applications-Datenbank (idmuserappdb) in die Workflow-Engine-Datenbank (igaworkflowdb), bevor Sie die Aufrüstung starten. Weitere Informationen finden Sie unter Migrating Data from Identity Applications Database into Workflow Engine Database (Migrieren von Daten aus der Identity Applications-Datenbank in die Workflow-Engine-Datenbank) in NetIQ Identity Manager – Administrator’s Guide to the Identity Applications (NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen).
Wenn Identity Applications und SSPR auf verschiedenen Servern installiert sind, kann SSPR separat aufgerüstet werden.
Während des Aufrüstungsvorgangs müssen Sie den Datenbanknamen und andere Standardwerte überprüfen und ggf. ändern.

Identity Manager unterstützt eine lokale Installation von OSP auf dem Identity Applications-Server. Das Upgrade-Programm unterstützt kein eigenständiges Upgrade von OSP auf diese Version und installiert bei einem Upgrade von Identity Applications eine neue Kopie von OSP. Informationen zum Wiederherstellen der bestehenden OSP-Einstellungen in der neu installierten Version von OSP finden Sie unter One SSO-Anbieter im Abschnitt Aufgaben nach dem Upgrade für Identity Applications-Komponenten.

Tabelle 15-1 Upgrade-Vorgang für Identity Applications

Identity Applications-Bereitstellung	Upgrade-Vorgang
Identity Applications, SSPR und OSP sind auf demselben Server installiert.	Führen Sie für ein Upgrade aller Komponenten die Schritte unter Upgrade von Identity Applications aus.
Identity Applications und OSP sind auf demselben Server installiert. SSPR ist auf einem anderen Server installiert.	Führen Sie für ein Upgrade von Identity Applications und OSP die Schritte unter Aufrüsten von Identity Applications aus. Führen Sie für ein Upgrade von SSPR auf einem anderen Server die Schritte unter Aufrüsten von SSPR aus.
Identity Applications ist auf einem anderen Server installiert als SSPR und OSP. In diesem Fall kann SSPR auf dem Identity Applications-Server oder auf einem separaten Server installiert werden. OSP muss jedoch auf dem Identity Applications-Server installiert werden.	Führen Sie für ein Upgrade von Identity Applications und OSP die Schritte unter Aufrüsten von Identity Applications aus. Führen Sie für ein Upgrade von SSPR auf einem anderen Server die Schritte unter Aufrüsten von SSPR aus. Starten Sie das Konfigurationsaktualisierungprogramm und geben Sie die Details des neuen Servers an, auf dem OSP installiert ist. In diesem Fall ist der neue Server der Server, auf dem Identity Applications installiert ist. Weitere Informationen finden Sie unter Parameter für SSO-Clients.

Wenn Sie Identity Applications auf Open Enterprise Server (OES) Version 23.4 aufrüsten, muss die von der Identity Manager-Engine verwendete JRE das erforderliche Zertifikat für die Verbindung mit der Benutzeranwendung besitzen. Die Identity Manager-Treiber verwenden den Keystore der Identity Manager-Engine für den Zugriff auf die Benutzeranwendung. Wenn der Rollen- und Ressourcenservice-Treiber das erforderliche Zertifikat nicht im Zielspeicherort findet, tritt möglicherweise ein Fehler im Treiber-Trace auf. Weitere Informationen zur Behebung des Fehlers finden Sie in NetIQ Identity Manager – Administrator’s Guide to the Identity Applications (NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen).

15.7.2 Systemanforderungen

Im Rahmen des Upgrade-Vorgangs wird eine Sicherung der aktuellen Konfiguration für die installierten Komponenten erstellt. Auf Ihrem Server muss ausreichend freier Speicherplatz für die Sicherung vorhanden sein sowie weiterer freier Speicherplatz für das Upgrade. Weitere Informationen finden Sie auf der Website für technische Informationen zu NetIQ Identity Manager.

15.7.3 Erläuterungen zum Aufrüstungsprogramm

Im Rahmen des Aufrüstungsvorgangs werden die Konfigurationswerte der vorhandenen Komponenten gelesen. Hierzu gehören die Dateien ism-configuration.properties, server.xml, SSPRConfiguration.xml und weitere Konfigurationsdateien. Wenn Sie diese Konfigurationsdateien verwenden, wird intern das Upgrade-Programm für die angegebenen Komponenten gestartet. Darüber hinaus erstellt das Upgrade-Programm eine Sicherung der aktuellen Installation.

15.7.4 Upgrade von PostgreSQL

Führen Sie für ein Upgrade von PostgreSQL die folgenden Schritte aus:

Laden Sie die Datei Identity_Manager_4.9.0_Linux.iso von der NetIQ Downloads-Website herunter und extrahieren Sie sie.
Navigieren Sie zum Verzeichnis /common/scripts.
Führen Sie folgendes Kommando aus:

./pg-upgrade.sh
Geben Sie die folgenden Details für die Installation an:

Bestehender Installationsspeicherort für Postgres: Geben Sie den Speicherort an, an dem PostgreSQL installiert ist. Der Standardspeicherort lautet /opt/netiq/idm/postgres.

HINWEIS:Stellen Sie sicher, dass der Postgres-Benutzer über ausreichende Berechtigungen für das Verzeichnis /opt/netiq/idm/postgres verfügt.

Bestehendes Postgres-Datenverzeichnis: Geben Sie den Speicherort des PostgreSQL-Datenverzeichnisses ein. Der Standardspeicherort lautet /opt/netiq/idm/postgres/data.

Bestehendes Postgres-Datenbankpasswort: Geben Sie das PostgreSQL-Passwort an.

Neues Postgres-Datenverzeichnis: Geben Sie das neue PostgreSQL-Datenverzeichnis an. Beispiel: /opt/netiq/idm/postgres_new/data.

15.7.5 Upgrade der Identity Applications-Komponenten

Upgrade der Treiberpakete für Identity Applications

Sie müssen Tomcat beenden und die Pakete für den Benutzeranwendungstreiber, den Rollen- und Ressourcenservice-Treiber und den Datenerfassungsdienst-Treiber auf die neueste Version aktualisieren. Informationen zum Upgrade der Pakete auf die aktuelle Version finden Sie unter Upgrade der installierten Pakete im Administrationshandbuch zu NetIQ Designer für Identity Manager.

Nach dem Upgrade der Treiberpakete für die Benutzeranwendung müssen Sie das Paket mit den Workflow-Vorlagen manuell hinzufügen:

Navigieren Sie in Designer zu Benutzeranwendungstreiber > Eigenschaften.
Klicken Sie auf „Pakete“ und dann auf .
Aktivieren Sie das Kontrollkästchen Nur zutreffende Paketversionen anzeigen.
Wählen Sie Workflow-Vorlagen erstellen aus.
Klicken Sie auf OK und dann auf Fertig stellen, um die Installation abzuschließen.
Stellen Sie den Benutzeranwendungstreiber bereit.

WICHTIG:Wenn eine Vorlage für E-Mail-Benachrichtigungen installiert ist oder im Rahmen des Upgrades des Benutzeranwendungstreibers aktualisiert wird, müssen Sie das Objekt Standard-Benachrichtigungssammlung bereitstellen.

Upgrade von Identity Applications

Im nachfolgenden Verfahren erfahren Sie, wie Sie die Identitätsanwendungen aufrüsten.

Laden Sie die Datei Identity_Manager_4.9.0_Linux.iso von der NetIQ Downloads-Website herunter.
Stellen Sie die heruntergeladene .iso-Datei bereit.
Führen Sie folgendes Kommando aus:

./install.sh
Lesen Sie die Lizenzvereinbarung.
Akzeptieren Sie die Lizenzvereinbarung mit j.
Geben Sie an, ob Sie Identity Applications aufrüsten möchten. Die verfügbaren Optionen lauten j und n.
Geben Sie für das Upgrade die folgenden Details an:
OSP-Installationsordner für die Sicherung

Dies gilt nur dann, wenn Sie OSP und Identity Applications auf demselben Server installiert haben.

Geben Sie den OSP-Sicherungsordner zum Speichern der OSP-Sicherungsdaten an.

SSPR-Installationsordner

Dies gilt nur dann, wenn Sie SSPR und Identity Applications auf demselben Server installiert haben.

Geben Sie den SSPR-Installationsordner an.

SSPR nicht im System gefunden. Möchten Sie es installieren und konfigurieren?
Dies gilt nur, wenn Sie Identity Applications und SSPR auf verschiedenen Servern installiert haben.

Bei Auswahl von j wird SSPR auf demselben Server wie Identity Applications installiert. Sie müssen die bestehenden Anpassungseinstellungen auf den neu installierten SSPR-Server kopieren.
SSPR-Konfigurationspasswort: Geben Sie das SSPR-Konfigurationspasswort an.

DNS/IP-Adresse für One SSO-Server: Geben Sie die IP-Adresse des Servers an, auf dem OSP installiert ist.

SSL-Port für One SSO-Server: Geben Sie den OSP-SSL-Port an.
Bei Auswahl von n wird SSPR nicht installiert und Identity Applications wird aufgerüstet.
Installationsordner für die Benutzeranwendung

Geben Sie den Installationsordner für die Benutzeranwendung an.

One SSO-Dienstpasswort für Identitätsanwendungen

Geben Sie das One SSO-Passwort an. Das angegebene Passwort aktualisiert die Client-Geheimnisse für alle Clients, die Sie mit dem Konfigurationsaktualisierungsprogramm konfiguriert haben. Falls erforderlich, können Sie das Passwort für die jeweiligen Clients über das Konfigurationsaktualisierungsprogramm zurücksetzen. Weitere Informationen finden Sie unter Parameter für SSO-Clients.

JDBC-jar-Datei für Identitätsanwendungs-Datenbank

Geben Sie die JAR-Datei für die Datenbank an. Wenn Sie beispielsweise die PostgreSQL-Datenbank verwenden und diese auf demselben Server installiert ist, lautet der Standardspeicherort /opt/netiq/idm/postgres/postgresql-42.6.1.jar.

Schema für Identitätsanwendungen erstellen

Geben Sie den Zeitpunkt für die Erstellung des Datenbankschemas an. Verfügbare Optionen: Jetzt, Start und Datei. Die Standardoption lautet Jetzt.

HINWEIS:Wenn Sie MsSQL oder Oracle verwenden, müssen Sie igaworkflowdb erstellen und dem idmadmin-Benutzer alle Berechtigungen für diese Datenbank zuweisen.

Benutzerpasswort für die Identity Applications-Datenbank

Geben Sie das Benutzerpasswort für die Datenbank an.

Administratorpasswort für die Identity Applications-Datenbank

Geben Sie das Administratorpasswort für die Datenbank an.
Starten Sie Tomcat. Wenn Sie sich entscheiden, dass Datenbankschema sofort zu erstellen, wählen Sie Jetzt aus.

systemctl start netiq-tomcat.service

(Optional) Wenn Sie während der Aufrüstung beim Erstellen des Datenbankschemas die Option Start oder In Datei schreiben wählen, müssen Sie die Daten in die Workflow-Datenbank importieren. Weitere Informationen finden Sie unter Migrating Data from Identity Applications Database into Workflow Engine Database (Migrieren von Daten aus der Identity Applications-Datenbank in die Workflow-Engine-Datenbank) in NetIQ Identity Manager – Administrator’s Guide to the Identity Applications (NetIQ Identity Manager – Administratorhandbuch zu den Identitätsanwendungen).
Starten Sie den NGINX-Dienst neu.

systemctl restart netiq-nginx.service

Aufrüsten von SSPR

Gehen Sie nach dieser Methode vor, wenn SSPR auf einem anderen Servers als dem Identity Applications-Server in einer Advanced Edition installiert wird.

Dies ist die einzige Methode für ein Upgrade von SSPR in einer Standard Edition.

So rüsten Sie SSPR auf:

Laden Sie die Datei Identity_Manager_4.9.0_Linux.iso von der NetIQ Downloads-Website herunter.
Stellen Sie die heruntergeladene .iso-Datei bereit.
Navigieren Sie im Stammverzeichnis der .iso-Datei zum Verzeichnis sspr.
Führen Sie folgendes Kommando aus:

./install.sh
Lesen Sie die Lizenzvereinbarung.
Akzeptieren Sie die Lizenzvereinbarung mit j.
Geben Sie j an, um SSPR aufzurüsten.
Geben Sie das Identitätsdepot-Administratorpasswort an und schließen Sie das Upgrade ab.

15.7.6 Aufgaben nach dem Upgrade für Identity Applications-Komponenten

Führen Sie die folgenden Aufgaben aus, bevor Sie die Arbeit mit Identity Applications beginnen:

Löschen Sie die bisherige Version des Tomcat- und des ActiveMQ-Diensts manuell. Führen Sie beispielsweise die folgenden Kommandos aus:

/etc/init.d/idmapps_tomcat_init

/etc/init.d/idmapps_activemq_init
Sie müssen die benutzerdefinierten Einstellungen für Tomcat, SSPR, OSP und Kerberos manuell wiederherstellen.
Ein Zertifikat mit CN „Identity Applications“ sollte im Keystore (idm.jks) des Identity Applications-Server vorhanden sein. Als Teil der verbesserten Java-Sicherheit benötigen Identitätsanwendungen nun ein vertrauenswürdiges Zertifikat, um mit OSP zu kommunizieren.
Verwenden Sie die vorhandene Identity Applications-Keystore-Datei, um das signierte Zertifikat in „idm.jks“ zu importieren. Beispiel:

./keytool -import -alias mycerts -keystore /opt/netiq/idm/apps/tomcat/conf/idm.jks -file /opt/certs/chap8.der

HINWEIS:Dieser Schritt ist erforderlich, um ein Upgrade von Version 4.7.5 auf 4.9 vorzunehmen.

Wenn Sie Identity Applications in einer Cluster-Umgebung aktualisieren, müssen Sie nach dem Upgrade von Identity Applications die folgenden Schritte ausführen:

Navigieren Sie zum Verzeichnis /opt/netiq/idm/apps/tomcat/conf und fügen Sie im Context-Tag der Datei context.xml folgende Zeile hinzu:

<Manager notifyListenersOnReplication="true" expireSessionsOnShutdown="false" className="org.apache.catalina.ha.session.DeltaManager"/>

Navigieren Sie zum Verzeichnis /opt/netiq/idm/apps/tomcat/conf und fügen Sie im Cluster-Tag der Datei server.xml die folgenden Zeilen hinzu:

<Channel className="org.apache.catalina.tribes.group.GroupChannel">
            <Membership className="org.apache.catalina.tribes.membership.McastService"
                        address="228.0.0.4"
                        port="45564"
                        frequency="500"
                        dropTime="3000"/>
            <Receiver className="org.apache.catalina.tribes.transport.nio.NioReceiver"
                      address="auto"
                      port="5000"
                      selectorTimeout="100"
                      maxThreads="6"/>

            <Sender className="org.apache.catalina.tribes.transport.ReplicationTransmitter">
              <Transport className="org.apache.catalina.tribes.transport.nio.PooledParallelSender"/>
            </Sender>
            <Interceptor className="org.apache.catalina.tribes.group.interceptors.TcpFailureDetector"/>
            <Interceptor className="org.apache.catalina.tribes.group.interceptors.MessageDispatchInterceptor"/>
            <Interceptor className="org.apache.catalina.tribes.group.interceptors.ThroughputInterceptor"/>
          </Channel>

          <Valve className="org.apache.catalina.ha.tcp.ReplicationValve"
                 filter=".*\.gif|.*\.js|.*\.jpeg|.*\.jpg|.*\.png|.*\.htm|.*\.html|.*\.css|.*\.txt"/>

          <Deployer className="org.apache.catalina.ha.deploy.FarmWarDeployer"
                    tempDir="/tmp/war-temp/"
                    deployDir="/tmp/war-deploy/"
                    watchDir="/tmp/war-listen/"
                    watchEnabled="false"/>

          <ClusterListener className="org.apache.catalina.ha.session.ClusterSessionListener"/>

Kopieren Sie die folgenden Dateien vom primären Knoten auf alle Knoten der Benutzeranwendungen:
- ism-sensitive.properties
- ism-configuration.properties
- encrypt-keys.pkcs12

Wenn Ihre Datenbank über SSL konfiguriert ist, ersetzen Sie in der Datei server.xml, die sich im Pfad /opt/netiq/idm/apps/tomcat/conf/ befindet, ssl=true durch sslmode=require.

Ändern Sie beispielsweise
```
jdbc:postgresql://<postgres db>:5432/idmuserappdb?ssl=true
```
in
```
jdbc:postgresql://<postgres db>:5432/idmuserappdb?sslmode=require
```

Tomcat

In einer Cluster-Umgebung kommentieren Sie die Kennung Cluster in server.xml manuell aus und kopieren osp.jks auf alle Knoten vom ersten Knoten unter /opt/netiq/idm/apps/osp_backup_<Datum>.
Wenn Ihnen benutzerdefinierte Keystore-Dateien vorliegen, fügen Sie den korrekten Pfad der neuen server.xml-Datei hinzu.

SSPR

Wenn Identity Applications und SSPR auf verschiedenen Servern bereitgestellt wurden und Sie die bestehenden benutzerdefinierten Einstellungen für SSPR auf dem neuen Server wiederherstellen möchten, auf dem SSPR installiert ist, müssen Sie die SSPR-Einstellungen auf dem neuen SSPR-Server mit dem ConfigUpdate-Dienstprogramm bearbeiten. Weitere Informationen finden Sie unter Parameter für SSO-Clients.

One SSO-Anbieter

Wenn Identity Applications und OSP in Ihrer Einrichtung vor dem Upgrade auf verschiedenen Servern installiert sind, müssen Sie die bestehenden OSP-Einstellungen auf den neuen Server kopieren, auf dem OSP installiert ist (Identity Applications-Server). Führen Sie dann die merge_jars-Methode vom Installationskit auf diesem Server aus, um Ihre Einstellungen wiederherzustellen.

Stoppen Sie Tomcat auf dem Server, auf dem Sie Identity Applications aufgerüstet haben. (OSP wird beim Upgrade von Identity Applications installiert.)
Stellen Sie die Anpassung wieder her.
1. Navigieren Sie zum OSP-Installationsverzeichnis auf Ihrem bestehenden OSP-Server und suchen Sie die Datei osp-custom-resource.jar.
  
  Beispiel: /opt/netiq/backup_idm/osp/osp-extras/l10n-resources/osp-custom-resource.jar.
2. Kopieren Sie die Datei osp-custom-resource.jar an einen Speicherort auf dem Server, auf dem Sie Identity Applications aufgerüstet haben.
3. Navigieren Sie zu <Speicherort, an dem Sie die Datei Identity_Manager_4.9.0_Linux.iso installiert haben>/osp/scripts/merge_cust_loc.sh.
  
  Dieses Skript enthält die merge_jars-Methode, mit der die bestehende Anpassung mit dem neu installierten OSP zusammengeführt wird.
4. Öffnen Sie eine Eingabeaufforderung und führen Sie folgendes Kommando aus:
```
merge_jars ${IDM_BACKUP_FOLDER in the remote OSP server}/tomcat/lib/osp-custom-resource.jar ${IDM 4.9_OSP_INSTALLED_HOME}/osp-extras/l10n-resources/osp-custom-resource.jar)
```
  Beispiel:
```
merge_jars /opt/netiq/backup_idm/osp/osp-extras/l10n-resources/osp-custom-resource.jar /opt/netiq/idm/apps/osp/osp-extras/l10n-resources/osp-custom-resource.jar
```
  wobei das Verzeichnis backup_idm die OSP-Einstellungen am bestehenden OSP-Server enthält.
Starten Sie Tomcat auf dem neuen Server, auf dem OSP installiert ist.

Informationen zur Aktualisierung sonstiger Einstellungen finden Sie unter Parameter für SSO-Clients.

Kerberos

Das Aufrüstungsprogramm erstellt einen neuen Tomcat-Ordner auf dem Computer. Falls sich Kerberos-Dateien (z. B. keytab und Kerberos_login.config) im bisherigen Tomcat-Ordner befinden, kopieren Sie diese Dateien aus dem gesicherten Ordner in den neuen Tomcat-Ordner.

15.7.7 Überprüfen der Versionsnummern nach dem Upgrade

Überprüfen Sie nach dem Upgrade auf Identity Manager 4.9, ob die Komponenten auf die folgenden Versionen aufgerüstet wurden:

Tomcat – 9.0.85
ActiveMQ – 5.18.3
Java – 1.8.0_222
One SSO-Anbieter – 6.7.0
Self-Service-Funktionen für die Passwortrücksetzung – 4.7.0.1