In diesem Abschnitt erfahren Sie, wie Sie Ihre WebSphere-Umgebung im Anschluss an die Installation der Identitätsanwendungen aktualisieren.
Abschnitt 33.6.3, Erstellen und Anwenden einer gemeinsamen Bibliothek
Abschnitt 33.6.4, Importieren der eDirectory-Herkunftsverbürgung in den WebSphere-Keystore
Abschnitt 33.6.5, Anwenden der uneingeschränkten Richtliniendateien für das IBM JDK
Abschnitt 33.6.6, Übergeben der preferIPv4Stack-Eigenschaft an die JVM
In diesem Abschnitt wird beschrieben, wie Sie einen WebSphere-Cluster für die Identitätsanwendungen konfigurieren. In diesem Abschnitt wird vorausgesetzt, dass Sie mit der Nutzung des WebSphere-Anwendungsservers (WAS) vertraut sind.
(Bedingt) Soll das Sitzungs-Failover für RBPM vorgenommen werden, führen Sie die folgenden Schritte aus:
Navigieren Sie in der IBM-Admin-Konsole zu Anwendungsserver > Clustermitglied1 > Sitzungsverwaltung > Einstellungen für dezentrale Umgebung > Parameter zur Leistungssteigerung > Benutzerdefinierte Parameter zur Leistungssteigerung.
Aktivieren Sie den Modus Alle Sitzungsattribute. Dieser Modus steuert den zu schreibenden Inhalt bei einem Sitzungs-Failover.
Starten Sie den Anwendungsserver, und greifen Sie über den Kontext, den Sie bei der Bereitstellung angegeben hatten, auf das Benutzeranwendungsportal zu.
In diesem Abschnitt wird beschrieben, wie Sie die erforderlichen neuen JVM-Eigenschaften erstellen, damit die Identitätsanwendungen ordnungsgemäß auf einem WebSphere-Anwendungsserver verwendet werden können.
Melden Sie sich bei der Administrationskonsole von WebSphere als Admin-Benutzer an.
Klicken Sie im linken Bereich auf Server > Anwendungsserver.
Klicken Sie in der Serverliste auf den Namen des gewünschten Servers. Beispiel: Server1.
Klicken Sie in der Liste der Einstellungen im Inhaltsbereich unter Serverinfrastruktur auf Java- und Prozessverwaltung.
Erweitern Sie den Link und wählen Sie Prozessdefinition.
Klicken Sie in der Liste Zusätzliche Eigenschaften auf Java Virtual Machine.
Klicken Sie unter der Überschrift Zusätzliche Eigenschaften für die JVM-Seite auf Benutzerdefinierte Eigenschaften.
Fügen Sie die JVM-Systemeigenschaft extend.local.config.dir mit den folgenden Schritten hinzu:
Klicken Sie auf Neu.
Geben Sie unter Name den Namen extend.local.config.dir an.
Geben Sie unter Wert den vollständigen Pfad des Verzeichnisses an, in dem sich die Datei hibernate.cfg.xml befindet. Beispiel: /opt/netiq/idm/apps/UserApplication/.
Geben Sie unter Beschreibung eine Beschreibung der Eigenschaft ein.
Beispiel: Pfad zu den Konfigurationsdateien der Identitätsanwendungen.
Klicken Sie auf OK, um die Eigenschaft zu speichern.
Fügen Sie die JVM-Systemeigenschaft idmuserapp.logging.config.dir mit den folgenden Schritten hinzu:
Klicken Sie auf Neu.
Geben Sie unter Name den Namen idmuserapp.logging.config.dir an.
Geben Sie unter Wert den vollständigen Pfad des Verzeichnisses an, in dem sich die Datei idmuserapp_logging.xml befindet.
Beispiel: /opt/netiq/idm/apps/UserApplication/.
Geben Sie unter Beschreibung eine Beschreibung der Eigenschaft ein.
Beispiel: Pfad zu den Protokollkonfigurationsdateien der Identitätsanwendungen.
Klicken Sie auf OK, um die Eigenschaft zu speichern.
Fügen Sie die JVM-Systemeigenschaft com.netiq.ism.config mit den folgenden Schritten hinzu:
Klicken Sie auf Neu.
Geben Sie unter Name den Namen com.netiq.ism.config an.
Geben Sie unter Wert den vollständigen Pfad und den Dateinamen der Datei ism-configuation.properties an.
Beispiel: /opt/netiq/idm/apps/UserApplication/ism-configuation.properties.
Geben Sie unter Beschreibung eine Beschreibung der Eigenschaft ein.
Beispiel: Datei ism properties der Identitätsanwendungen.
Klicken Sie auf OK, um die Eigenschaft zu speichern.
(Bedingt) Soll die Workflow-Engine-ID für eine Cluster-Umgebung angegeben werden, führen Sie die folgenden Schritte aus:
Klicken Sie auf Neu.
Geben Sie unter Name den Namen com.novell.afw.wf.engine-id an.
Geben Sie unter Wert die ID für die Workflow-Engine an.
Geben Sie unter Beschreibung eine Beschreibung der Eigenschaft ein, beispielsweise Workflow-Engine-ID.
Klicken Sie auf OK, um die Eigenschaft zu speichern.
Unter Umständen müssen Sie eine gemeinsame Bibliothek für die Identitätsanwendungen konfigurieren. Beim Erstellen einer gemeinsamen Bibliothek müssen Sie diese auch einem neuen Class Loader zuweisen, damit WebSphere die Identity Manager-Versionen der JAR-Dateien verwendet. Ansonsten treten Klassenladeprobleme bei den in WebSphere enthaltenen JAR-Dateien auf. WebSphere-Klassenladeprobleme können sich als die folgenden Ausnahmefehler äußern:
ClassCastException
ClassNotFoundException
NoClassDefFoundException
UnsatisfiedLinkError
LinkageError
Dieser Vorgang umfasst folgende Schritte:
Melden Sie sich bei der Administrationskonsole von WebSphere als Admin-Benutzer an.
Erweitern Sie im linken Bereich den Eintrag Umgebung.
Klicken Sie auf Gemeinsame Bibliotheken.
Klicken Sie im Inhaltsbereich auf Neu.
Geben Sie einen Namen ein (z. B. IDMUA Classpath).
Fügen Sie unter Klassenpfad die folgenden erforderlichen JAR-Dateien hinzu:
log4j.jar
commons-logging-1.1.1.jar
IDMselector.jar
Diese Dateien befinden sich standardmäßig im Installationsverzeichnis der Identitätsanwendungen. Beispiel: /opt/netiq/idm/apps/UserApplication.
Deaktivieren Sie die Option Separaten Class Loader für diese freigegebene Bibliothek verwenden.
Klicken Sie auf OK.
Klicken Sie auf Speichern, um die Änderungen in der Hauptkonfiguration zu speichern.
Melden Sie sich bei der Administrationskonsole von WebSphere als Admin-Benutzer an.
Erweitern Sie den Eintrag Anwendungsserver > Servername > Class Loader.
HINWEIS:Standardmäßig wird diese Option im Abschnitt Java und Prozessverwaltung minimiert angezeigt.
Klicken Sie im Inhaltsbereich auf Neu, und erstellen Sie einen neuen Class Loader.
Wählen Sie Klassen, die zuerst mit dem lokalen Class Loader geladen werden (übergeordnete zuletzt).
Klicken Sie auf Anwenden.
Wählen Sie Verweise der freigegebenen Bibliothek.
Klicken Sie auf Hinzufügen, und wählen Sie die gemeinsame Bibliothek aus, die Sie in Konfigurieren der freigegebenen Bibliothek erstellt haben.
Klicken Sie auf Anwenden.
Klicken Sie auf OK.
Klicken Sie auf Speichern, um die Änderungen in der Hauptkonfiguration zu speichern.
In diesem Abschnitt wird beschrieben, wie Sie die eDirectory-Herkunftsverbürgungszertifikate in den Keystore auf dem Computer importieren, auf dem der WebSphere-Server gehostet wird. Dazu stehen Ihnen folgende Möglichkeiten zur Verfügung:
Kopieren Sie die eDirectory-Herkunftsverbürgungszertifikate auf den Computer, auf dem der WebSphere-Server gehostet wird.
Identity Manager importiert die Zertifikate in die folgenden Speicherorte der IBM-JRE für WebSphere:
Datei cacerts
Verzeichnis /lib/security, beispielsweise /opt/IBM/WebSphere/AppServer/java_1.7_64/jre/lib/security
Melden Sie sich bei der Administrationskonsole von WebSphere als Admin-Benutzer an.
Erweitern Sie im linken Bereich den Eintrag Sicherheit > Verwaltung der SSL-Zertifikate und Schlüssel.
Klicken Sie im Inhaltsbereich unter Zugehörige Elemente auf Keystores und Zertifikate.
Wählen Sie NodeDefaultTrustStore (bzw. den verwendeten Verbürgungsspeicher).
Klicken Sie unter Zusätzliche Eigenschaften auf Signierzertifikate.
Klicken Sie auf Add.
Geben Sie den Aliasnamen und den vollständigen Pfad zur Zertifikatsdatei ein.
Ändern Sie den Datentyp in der Dropdown-Liste in Binary DER data.
Klicken Sie auf OK.
Jetzt sollte das Zertifikat in der Liste der Signierzertifikate angezeigt werden.
Klicken Sie auf Speichern, um die Änderungen in der Hauptkonfiguration zu speichern.
Das Zertifikat muss über das WebSphere-Keytool in den WebSphere-Keystore importiert werden. Das WebSphere-Keytool befindet sich standardmäßig im Verzeichnis /IBM/WebSphere/AppServer/java/bin.Der Store-Typ lautet PKCS12.
Kopieren Sie die eDirectory-Herkunftsverbürgungszertifikate auf den Computer, auf dem der WebSphere-Server gehostet wird.
Bei der Installation der Benutzeranwendung werden die Zertifikate in das Verzeichnis exportiert, in dem Sie die Benutzeranwendung installieren.
Führen Sie auf dem Computer, auf dem der WebSphere-Server gehostet wird, in der Befehlszeile das Keytool aus.
Beispiel:
keytool -import -trustcacerts -file servercert.der -alias myserveralias -keystore trust.p12 -storetype PKCS12
HINWEIS:Wenn sich auf Ihrem System mehrere trust.p12-Dateien befinden, müssen Sie ggf. den vollständigen Pfad zu der Datei angeben.
Damit die Identitätsanwendungen mit größtmöglicher Leistung ausgeführt werden können, müssen Sie uneingeschränkte Richtliniendateien für das IBM-JDK auf dem Server ausführen, auf dem Sie die Anwendungen installiert haben. Diese uneingeschränkten Richtliniendateien müssen auch für jeden WebSphere-IBM-JDK-Server angewendet werden, auf dem das RBPM ausgeführt wird.
Überprüfen Sie bei jedem IBM-JDK am WebSphere-Server, ob die uneingeschränkten Richtliniendateien angewendet wurden. Ohne diese uneingeschränkten Richtliniendateien tritt beim Starten des RBPM der Fehler Ungültige Schlüsselgröße
auf.
Die Caching-Implementierung erfolgt bei den Identitätsanwendungen mithilfe von JGroups. Bei einigen Konfigurationen muss dabei für JGroups die preferIPv4Stack-Eigenschaft auf „true“ gesetzt werden, damit die mcast_addr-Bindung erfolgreich hergestellt werden kann.
Ohne diese Option tritt möglicherweise der folgende Fehler auf:
[10/1/09 16:11:22:147 EDT] 0000000d UDP W org.jgroups.util.Util createMulticastSocket could not bind to /228.8.8.8 (IPv4 address); make sure your mcast_addr is of the same type as the IP stack (IPv4 or IPv6).
Unter Umständen wird der folgende Fehler angezeigt:
[3/21/12 10:04:32:470 EDT] 00000024 UDP E org.jgroups.protocols.TP down
failed sending message to null (131 bytes)
java.lang.Exception: dest=/228.8.8.8:45654 (134 bytes)
at org.jgroups.protocols.UDP._send(UDP.java:353)
Der Parameter java.net.preferIPv4Stack=true ist eine Systemeigenschaft, die auf dieselbe Weise festgelegt werden kann wie andere Systemeigenschaften, wie z. B. extend.local.config.dir. Anweisungen zum Festlegen von Systemeigenschaften finden Sie in Abschnitt 33.6.2, Hinzufügen von Benutzeranwendungs-Konfigurationsdateien und JVM-Systemeigenschaften.
Die Identitätsanwendungen speichern Email-Nachrichten dauerhaft mithilfe des dauerhaften Speichers eines Java Message Service (JMS). Wenn der JMS nicht ordnungsgemäß konfiguriert ist, gehen alle Email-Nachrichten in der Speicherwarteschlange verloren, sobald der Anwendungsserver heruntergefahren wird.
Melden Sie sich bei der Administrationskonsole von WebSphere als Admin-Benutzer an.
Erstellen Sie einen neuen Bus mit den folgenden Schritten:
Klicken Sie auf Dienstintegration > Busse.
Klicken Sie auf Neu.
Legen Sie einen Namen für den Bus fest. Beispiel: IDMProvBus.
Deaktivieren Sie die Option Bussicherheit.
Klicken Sie auf Weiter, und bestätigen Sie die Änderungen.
Klicken Sie auf Fertig stellen und dann auf Speichern.
Konfigurieren Sie den Bus mit den folgenden Schritten:
Wählen Sie unter Dienstintegration > Busse den Bus aus, den Sie in Schritt 2 erstellt haben.
Klicken Sie auf Konfiguration > Allgemeine Eigenschaften.
Legen Sie eine Beschreibung für den Bus fest. Beispiel: Bus für die IDM-Anwendungen.
Klicken Sie auf Anwenden und dann auf Speichern.
Klicken Sie auf der Registerkarte Konfiguration auf Topologie > Busmitglieder.
Klicken Sie auf Hinzufügen.
Geben Sie an, ob die Datei „IDMProv.war“ auf einem Server, in einem Cluster oder auf einem WebSphere-MQ-Server bereitgestellt wurde, und klicken Sie auf Weiter.
Geben Sie unter Dateispeicher den Typ des Nachrichtenspeichers an, und klicken Sie auf Weiter.
Prüfen Sie die Standardwerte für den Dateispeicher, und klicken Sie auf Weiter.
(Optional) Bearbeiten Sie die Leistungsparameter für den Bus.
Klicken Sie auf Weiter und dann auf Fertig stellen.
Erstellen Sie eine Themenverbindung für den Bus mit den folgenden Schritten:
Navigieren Sie zu Ressourcen > JMS > Themenverbindungs-Factory.
Wählen Sie im Menü Bereiche den gewünschten Bereich aus. Beispiel: Node=MeinKnoten01, Server=Server1.
Klicken Sie auf Neu.
Wählen Sie Standard-Messaging-Anbieter, und klicken Sie auf OK.
Klicken Sie auf Konfiguration.
Legen Sie einen Namen für die Themenverbindung fest. Beispiel: VerbindungsFactory.
Geben Sie unter JNDI-Name erneut den Namen ein. Beispiel: VerbindungsFactory.
Geben Sie eine kurze Beschreibung für die Themenverbindung an. Beispiel: Themenverbindungs-Factory für die IDM-Anwendungen.
Wählen Sie unter Busname den Bus aus, den Sie in Schritt 2 erstellt haben.
Klicken Sie auf Dauerhaftes Abonnement > Client, und geben Sie IDMNotificationDurableTopic an.
Klicken Sie auf Dienstgüte > Dauerhafte Nachrichtenzuverlässigkeit, und wählen Sie Zuverlässigkeit dauerhaft.
Klicken Sie auf Dauerhafte Abonnements freigeben > Erweitertes Messaging, und wählen Sie Niemals freigeben.
Klicken Sie auf Anwenden und dann auf Fertig stellen.
Erstellen Sie ein Thema mit den folgenden Schritten:
Navigieren Sie zu Ressourcen > JMS > Themen.
Wählen Sie den gewünschten Bereich aus. Beispiel: Node=MeinKnoten01, Server=Server1.
Klicken Sie auf Neu.
Wählen Sie Standard-Messaging-Anbieter, und klicken Sie auf OK.
Klicken Sie auf Konfiguration.
Legen Sie einen Namen für das Thema fest. Beispiel: IDMNotificationDurableTopic.
Für JNDI-Name gilt die folgende Syntax: Thema/Name. Beispiel: topic/IDMNotificationDurableTopic.
Geben Sie eine kurze Beschreibung für die Themenverbindung an. Beispiel: Thema für die IDM-Anwendungen.
Wählen Sie unter Busname den Bus aus, den Sie in Schritt 2 erstellt haben.
Klicken Sie auf Themenbereich, und wählen Sie Default. Topic.Space.
Klicken Sie auf JMS-Zustellungsmodus, und wählen Sie Dauerhaft.
Klicken Sie auf Anwenden und dann auf Speichern.
Melden Sie sich von der WebSphere-Konsole ab.
Starten Sie WebSphere auf dem Server neu, auf dem Sie die WAR-Datei für die Identitätsanwendungen bereitgestellt haben.
Ermitteln Sie anhand der Datei SystemOut.log, ob der JMS-Server ordnungsgemäß eingerichtet ist.
Wenn der JMS-Server nicht ordnungsgemäß eingerichtet ist, enthält die Datei SystemOut.log die folgenden Zeilen (in der angegebenen Reihenfolge):
INFO [JMSConnectionMediator] Starting JMS notification system WARN [NotificationEngine] Could not properly initialize JMS persistence for the notification system. Will revert back to non-persistent asynchronous notification system. INFO [NotificationThread] Starting asynchronous notification system
Bei einer erfolgreichen Konfiguration enthält die Datei SystemOut.log die folgenden Informationen (in der angegebenen Reihenfolge):
INFO [JMSConnectionMediator] Starting JMS notification system %connection information% INFO [NotificationThread] Starting asynchronous notification system
======== [9/7/14 14:39:52:167 EDT] 00000000 SibMessage I [:] CWSID0021I: Configuration reload is enabled for bus IDMProvBus. [9/7/14 14:39:52:372 EDT] 00000000 SibMessage I [:] CWSIS1569I: Messaging engine N35020Node02.server1-IDMProvBus is using a file store. ======== [9/7/14 14:41:32:613 EDT] 0000000c SystemOut O 14:41:32,608 INFO [JMSConnectionMediator] Starting JMS notification system [9/7/14 14:41:32:841 EDT] 0000000c SharedPool I J2CA0086W: Shareable connection MCWrapper id 5c175c17 Managed connection [com.ibm.ws.sib.api.jmsra.impl.JmsJcaManagedConnection@490f490f <managedConnectionFactory=[com.ibm.ws.sib.api.jmsra.impl.JmsJcaManagedTopicConnectionFactoryImpl@1f9c1f9c <logWriter=null> <busName=IDMProvBus> <clientID=IDMNotificationDurableTopic> <userName=null> <password=null> <xaRecoveryAlias=> <nonPersistentMapping=ExpressNonPersistent> <persistentMapping=ReliablePersistent> <durableSubscriptionHome=N35020Node02.server1-IDMProvBus> <readAhead=Default> <temporaryQueueNamePrefix=null> <temporaryTopicNamePrefix=null> <target=null> <targetSignificance=Preferred> <targetTransportChain=null> <targetType=BusMember> <providerEndpoints=null> <connectionProximity=Bus> <shareDataSourceWithCMP=false> <shareDurableSubscriptions=NeverShared> <cachedFactory=com.ibm.ws.sib.api.jms.impl.JmsFactoryFactoryImpl@4fb24fb2> <producerDoesNotModifyPayloadAfterSet=false> <consumerDoesNotModifyPayloadAfterGet=false>]> <coreConnection=com.ibm.ws.sib.processor.impl.ConnectionImpl@b0b0b0b> <localTransaction=[com.ibm.ws.sib.api.jmsra.impl.JmsJcaManagedConnection$JmsJcaLocalTransaction@78ce78ce <localSITransaction=null>]> <xaResource=null> <metaData=null> <userDetails=[com.ibm.ws.sib.api.jmsra.impl.JmsJcaUserDetails@5b4d5b4d <userName=null> <password=null>]> <subject=null> <logWriter=null> <sessions=[[com.ibm.ws.sib.api.jmsra.impl.JmsJcaSessionImpl@21ff21ff <managedConnection=1225738511> <connection=828453217> <transacted=false> <applicationLocalTransaction=null> <reqInfo=[com.ibm.ws.sib.api.jmsra.impl.JmsJcaConnectionRequestInfo@219a219a> <userDetails=null> <coreConnection=com.ibm.ws.sib.processor.impl.ConnectionImpl@b0b0b0b> <request counter=0>]> <sessionClosed=false> <sessionInvalidated=false>]]> <connectionListeners=[com.ibm.ejs.j2c.ConnectionEventListener@1572625852]>] State:STATE_TRAN_WRAPPER_INUSE from resource ConnectionFactory was used within a local transaction containment boundary. [9/7/14 14:41:32:938 EDT] 0000001a SystemOut O 14:41:32,938 INFO [NotificationThread] Starting asynchronous notification system