C.2 Procédure d'installation

Cette section explique de façon détaillée comment installer une nouvelle instance des applications d'identité sur le serveur Tomcat et la configurer pour la mise en grappe.

  1. Installez le moteur Identity Manager 4.6. Pour obtenir des instructions détaillées, reportez-vous au Section 7.0, Planification de l'installation du coffre-fort d'identité. Pour un déploiement en production, il est recommandé d'installer le moteur Identity Manager sur un serveur distinct.

  2. Installez PostgreSQL à l'aide du programme d'installation fourni pour votre commodité.

    Identity Manager prend en charge PostgreSQL 9.4.10 sous SLES 11 SP4 et PostgreSQL 9.6.1 sur d'autres plates-formes prises en charge.

    Pour obtenir des instructions détaillées, reportez-vous au Section 28.0, Installation de PostgreSQL et de Tomcat. Pour un déploiement en production, il est recommandé d'installer PostgreSQL sur un serveur distinct.

  3. Créez et déployez les pilotes suivants pour les applications d'identité :

    • Pilote d'application utilisateur

    • Pilote de service de rôles et de ressources

    Pour obtenir des instructions détaillées, reportez-vous au Section 38.0, Création et déploiement des pilotes pour les applications d'identité.

  4. Sur le noeud 1, installez les composants Identity Manager suivants :

    1. Tomcat

      Installez Tomcat à l'aide du programme d'installation fourni et sélectionnez uniquement Tomcat pendant le processus d'installation. Pour obtenir des instructions détaillées, reportez-vous au Section 28.0, Installation de PostgreSQL et de Tomcat.

    2. OSP

      Pour plus d'informations sur l'installation d'OSP, reportez-vous au Section 32.0, Installation du composant de gestion des mots de passe pour Identity Manager.

      Pendant le processus d'installation, spécifiez l'adresse IP et le numéro de port du serveur du moteur Identity Manager (eDirectory) sur la page Détails de l'authentification.

    3. Application utilisateur

      Pendant le processus d'installation, configurez les paramètres suivants :

      1. Sélectionnez Tomcat comme serveur d'applications.

      2. Sélectionnez PostgreSQL comme plate-forme de base de données.

        REMARQUE :vous pouvez utiliser n'importe quelle base de données prise en charge par Identity Manager 4.6.

      3. Spécifiez les informations requises à propos de la base de données sur les pages suivantes.

      4. Copiez le fichier du pilote de base de données (postgresql-9.4.1212jdbc42.jar) à partir du serveur PostgreSQL sur tous les noeuds d'application utilisateur de la grappe.

        REMARQUE :si vous utilisez une autre base de données prise en charge par , comme Oracle ou SQL Server, veillez à copier le fichier JAR du pilote correspondant depuis le serveur sur lequel la base de données est installée vers tous les noeuds d'application utilisateur de la grappe. Pour plus d'informations, reportez-vous au Section 35.0, Configuration de la base de données des applications d'identité.

      5. Recherchez et sélectionnez le fichier JAR du pilote de base de données copié.

      6. Sur la page de détails Nouvelle base de données ou base de données existante, sélectionnez l'option Nouvelle base de données.

      7. Sur la page Configuration d'Identity Manager, spécifiez un nom unique dans le champ ID du moteur de workflow. Par exemple, vous pouvez utiliser le nom unique Moteur1 pour Noeud1.

      8. Pour créer une nouvelle clé principale, sélectionnez Non sur la page Sécurité – Clé principale.

        Les applications d'identité chiffrent les données sensibles à l'aide d'une clé principale. Comme il s'agit de la première instance des applications d'identité dans une grappe, vous devez indiquer au programme d'installation de créer une nouvelle clé principale en sélectionnant Non. Dans une grappe, la mise en grappe de l'application utilisateur requiert que chaque instance de cette dernière utilise la même clé principale. Pour que la même clé principale soit utilisée, importez la clé existante en sélectionnant Oui lors de la configuration de ces instances.

    REMARQUE :pour obtenir des instructions détaillées et des informations supplémentaires sur l'installation de l'application utilisateur, reportez-vous au Section 37.0, Installation des applications d'identité.

  5. Sur le noeud 2, effectuez les opérations suivantes :

    1. Installez Tomcat à l'aide du programme d'installation fourni (sélectionnez uniquement Tomcat pendant le processus d'installation).

      Pour obtenir des instructions détaillées, reportez-vous au Section 28.0, Installation de PostgreSQL et de Tomcat.

    2. Installez OSP.

      Pour plus d'informations sur l'installation d'OSP, reportez-vous au Section 32.0, Installation du composant de gestion des mots de passe pour Identity Manager.

      Pendant le processus d'installation, spécifiez l'adresse IP et le numéro de port du serveur du moteur Identity Manager (eDirectory) sur la page Détails de l'authentification.

    3. Installez l'application utilisateur.

      Pendant le processus d'installation, configurez les paramètres suivants :

      1. Sélectionnez Tomcat comme serveur d'applications.

      2. Sélectionnez PostgreSQL comme plate-forme de base de données.

        REMARQUE :vous pouvez utiliser n'importe quelle base de données prise en charge.

      3. Spécifiez les informations requises à propos de la base de données sur les pages suivantes de la procédure d'installation.

      4. Copiez le fichier JAR du pilote de base de données (postgresql-4.1212.42jdbc2.jar) à partir du serveur PostgreSQL sur le second noeud (Node2).

        REMARQUE :si vous utilisez une autre base de données prise en charge par Identity Manager 4.5.1, comme Oracle ou SQL Server, veillez à copier le fichier JAR du pilote correspondant depuis le serveur sur lequel la base de données est installée vers tous les noeuds d'application utilisateur de la grappe. Pour plus d'informations, reportez-vous au Section 35.0, Configuration de la base de données des applications d'identité.

      5. Recherchez et sélectionnez le fichier JAR du pilote de base de données copié.

      6. Sur la page de détails Nouvelle base de données ou base de données existante, sélectionnez l'option Base de données existante.

      7. Sur la page Configuration d'Identity Manager, spécifiez un nom unique dans le champ ID du moteur de workflow. Par exemple, vous pouvez utiliser le nom unique Moteur2 pour Noeud2.

      8. Pour créer une nouvelle clé principale sur la page Sécurité – Clé principale, sélectionnez Oui.

        La mise en grappe de l'application utilisateur requiert que chaque instance de cette dernière utilise la même clé principale. Pour que la même clé principale soit utilisée, importez la clé existante en sélectionnant Oui. Cette clé est créée lors de l'installation de la première instance de l'application utilisateur sur le noeud 1.

        Vous pouvez trouver la clé principale dans le fichier ism-configuration.properties situé dans/TOMCAT_INSTALLED_HOME/conf/ sur le noeud 1. Le paramètre contenant la clé principale est com.novell.idm.masterkey.

      9. Cliquez sur Terminer pour terminer l'installation.

    REMARQUE :pour plus d'informations sur l'installation de l'application utilisateur, reportez-vous au Section 37.0, Installation des applications d'identité.

  6. Installez SSPR sur un ordinateur distinct.

    Prenez note des paramètres ci-dessous avant de procéder à l'installation et spécifiez-les au cours du processus d'installation :

    1. Installez Tomcat. Pour les instructions d'installation, reportez-vous à l'étape 4a.

    2. Installez SSPR.

      Lors de l'installation de SSPR, effectuez les opérations suivantes :

      1. Sur la page de connexion au serveur d'applications, sélectionnez Se connecter à un serveur d'authentification externe et spécifiez le nom DNS du serveur sur lequel est installé l'équilibreur de charge.

      2. Sur la page des détails d'authentification, spécifiez l'adresse IP et le port du serveur du moteur Identity Manager. Le mot de passe pour les certificats d'autorité de certification est « changeit ».

    3. Une fois SSPR installé, démarrez Tomcat et lancez SSPR (http://<IP>:<port>/sspr/private/config/ConfigEditor) et connectez-vous. Cliquez sur Configuration Editor (Éditeur de configuration) > Settings (Paramètres) > Security (Sécurité) > Redirect Whitelist (Liste blanche de redirection).

      1. Cliquez sur Add value (Ajouter une valeur) et spécifiez l'URL suivante :

        OSP : http:<DNS_basculement><port>/osp

      2. Enregistrez les modifications apportées.

      3. Sur la page de configuration de SSPR, cliquez sur Settings (Paramètres) > OAuth SSO (SSO OAuth) et modifiez les liens OSP en remplaçant les adresses IP par le nom DNS du serveur sur lequel le logiciel d'équilibrage de charge est installé.

      4. Cliquez sur Settings (Paramètres) > Application et mettez à jour les URL de réacheminement et de déconnexion en remplaçant les adresses IP par le nom DNS du serveur sur lequel le logiciel d'équilibrage de charge est installé.

    4. Pour mettre à jour les informations de SSPR sur le noeud 1, lancez l'utilitaire de configuration situé dans /opt/netiq/idm/apps/UserApplication/configupdate.sh.

      Dans la fenêtre qui s'affiche, cliquez sur SSO clients (Clients SSO) > Self Service Password Reset et spécifiez des valeurs pour les paramètres Client ID (ID de client), Password (Mot de passe) et OSP Auth redirect URL (URL de redirection de l'authentification OSP).

    REMARQUE :vérifiez que les valeurs de ces paramètres sont mises à jour sur le noeud 2.

  7. Effectuez les opérations de configuration suivantes sur les noeuds de la grappe :

    1. Redémarrez Tomcat sur tous les noeuds de la grappe.

    2. Pour mettre à jour le lien Mot de passe oublié avec l'adresse IP de SSPR, connectez-vous à l'application utilisateur sur le noeud 1, puis cliquez sur Administration > Mot de passe oublié.

      Pour plus d'informations sur la configuration de SSPR, reportez-vous à la Section 39.6, Configuration de la gestion des mots de passe oubliés.

    3. Pour modifier le lien Modifier mon mot de passe, reportez-vous à la Section 39.6.4, Mise à jour des liens SSPR dans le tableau de bord pour un environnement distribué ou de grappe.

    4. Vérifiez que les liens Mot de passe oublié et Modifier mon mot de passe ont été mis à jour avec l'adresse IP de SSPR sur le noeud 2.

      REMARQUE :si les liens Modifier mon mot de passe et Mot de passe oublié ont déjà été mis à jour avec l'adresse IP de SSPR, aucune modification n'est nécessaire.

  8. Sur le noeud 1, arrêtez Tomcat et générez un nouveau fichier osp.jks en spécifiant le nom DNS du serveur de l'équilibreur de charge à l'aide de la commande suivante :

    /opt/netiq/idm/jre/bin/keytool -genkey -keyalg RSA -keysize 2048 -keystore osp.jks -storepass <mot_de_passe> -keypass <mot_de_passe> -alias osp -validity 1800 -dname "cn=<IP/DNS_équilibreur_de_charge>"

    Par exemple : /opt/netiq/idm/jre/bin/keytool -genkey -keyalg RSA -keysize 2048 -keystore osp.jks -storepass changeit -keypass changeit -alias osp -validity 1800 -dname "cn=mydnsname"

    REMARQUE :assurez-vous que le mot de passe de clé est identique à celui spécifié lors de l'installation d'OSP. Ce mot de passe, de même que le mot de passe Keystore, peut aussi être modifié à l'aide de l'utilitaire de mise à jour de configuration.

  9. (Conditionnel) Pour vérifier si le fichier osp.jks a été mis à jour avec les modifications, exécutez la commande suivante :

    /opt/netiq/idm/jre/bin/keytool -list -v -keystore osp.jks -storepass changeit

  10. Effectuez une sauvegarde du fichier osp.jks d'origine situé sous /opt/netiq/idm/apps/osp_sspr/osp/ et copiez le nouveau fichier osp.jks à cet emplacement. Le nouveau fichier osp.jks a été créé à l'étape 8.

  11. Copiez le nouveau fichier osp.jks situé dans /opt/netiq/idm/apps/osp_sspr/osp/ depuis le noeud 1 vers les autres noeuds d'application utilisateur de la grappe.

  12. Lancez l'utilitaire de configuration sur le noeud 1 et, sous l'onglet Client SSO, remplacez l'ensemble des paramètres d'URL, notamment le lien URL vers la page de renvoi et l'URL de redirection OAuth, par le nom DNS de l'équilibreur de charge.

    1. Enregistrez les modifications dans l'utilitaire de configuration.

    2. Pour répercuter cette modification sur tous les autres noeuds de la grappe, copiez le fichier ism-configuration.properties situé sous /TOMCAT_INSTALLED_HOME/conf depuis le noeud 1 vers les autres noeuds d'application utilisateur de la grappe.

      REMARQUE :vous avez copié le fichier ism.properties depuis le noeud 1 vers les autres noeuds de la grappe. Si vous avez spécifié des chemins d'installation personnalisés lors de l'installation de l'application utilisateur, veillez à corriger les chemins d'accès référentiels en utilisant l'utilitaire de mise à jour de configuration sur les noeuds de la grappe.

      Dans ce scénario, OSP et l'application utilisateur sont installés sur le même serveur ; dès lors, le même nom DNS est utilisé pour les URL de redirection.

      Si OSP et l'application utilisateur sont installés sur des serveurs distincts, remplacez les URL d'OSP par un autre nom DNS pointant vers l'équilibreur de charge. Effectuez cette opération pour tous les serveurs sur lesquels OSP est installé, afin que toutes les requêtes OSP soient distribuées, via l'équilibreur de charge, vers le nom DNS de la grappe OSP. Cela implique d'avoir une grappe distincte pour les noeuds OSP.

  13. Effectuez les opérations suivantes dans le fichier setenv.sh situé dans le répertoire /TOMCAT_INSTALLED_HOME/bin/ :

    1. Pour que la liaison mcast_addr réussisse, JGroups requiert que la propriété preferIPv4Stack soit définie sur true. Pour ce faire, ajoutez la propriété JVM « -Djava.net.preferIPv4Stack=true » dans le fichier setenv.sh sur tous les noeuds.

    2. Ajoutez « -Dcom.novell.afw.wf.Engine-id=Engine1 » dans le fichier setenv.sh sur le noeud 1. De même, ajoutez un nom de moteur unique pour chaque noeud de la grappe. Par exemple, pour le noeud 2, vous pouvez ajouter le nom de moteur Moteur2.

  14. Activez la mise en grappe dans l'application utilisateur.

    1. Démarrez Tomcat sur le noeud 1.

      Ne démarrez aucun autre serveur.

    2. Connectez-vous à l'application utilisateur en tant qu'administrateur.

    3. Cliquez sur l'onglet Administration.

      L'application utilisateur affiche le portail Configuration de l'application.

    4. Cliquez sur Mise en cache.

      L'application utilisateur affiche la page Gestion de la mise en cache.

    5. Définissez le paramètre Grappe activée sur Vrai.

    6. Cliquez sur Enregistrer.

    7. Relancez Tomcat.

    REMARQUE :si vous avez sélectionné les paramètres d'activation locale, répétez cette procédure pour chaque serveur de la grappe.

    La grappe d'application utilisateur utilise JGroups pour procéder à la synchronisation du cache sur les nœuds à l'aide du protocole par défaut UDP. Si vous souhaitez utiliser TCP plutôt que ce protocole, reportez-vous à la documentation Configuration de l'application utilisateur pour utiliser le protocole TCP.

  15. Activez l'index des autorisations pour la mise en grappe.

    1. Connectez-vous à iManager sur le noeud 1 et accédez à Afficher les objets.

    2. Sous Système, accédez à l'ensemble de pilotes contenant le pilote d'application utilisateur.

    3. Sélectionnez AppConfig > AppDefs > Configuration.

    4. Sélectionnez l'attribut XMLData et définissez la propriété com.netiq.idm.cis.clustered sur true.

      Par exemple :

      <property>

      <key>com.netiq.idm.cis.clustered</key>

      <value>true</value>

      </property>

    5. Cliquez sur OK.

  16. Activez la grappe Tomcat.

    Ouvrez le fichier Tomcat server.xml situé dans /TOMCAT_INSTALLED_HOME/conf/ et supprimez le commentaire de la ligne ci-dessous dans ce fichier sur tous les noeuds de la grappe :

    <Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster"/>

    Pour une configuration avancée de mise en grappe Tomcat, suivez la procédure décrite sur le site https://tomcat.apache.org/tomcat-7.0-doc/cluster-howto.html.

  17. Redémarrez Tomcat sur tous les noeuds.

  18. Configurez le pilote d'application utilisateur pour la mise en grappe.

    Dans une grappe, le pilote d'application utilisateur doit être configuré pour utiliser le nom DNS de l'équilibreur de charge de la grappe. La configuration du pilote d'application utilisateur s'effectue à l'aide d'iManager.

    1. Connectez-vous à l'instance iManager qui gère votre moteur Identity Manager.

    2. Cliquez sur le noeud Identity Manager dans le panneau de navigation d'iManager.

    3. Cliquez sur Présentation d'Identity Manager.

    4. Utilisez la page de recherche pour afficher l'aperçu Identity Manager de l'ensemble de pilotes contenant vos pilotes d'application utilisateur et de service de rôles et de ressources.

    5. Cliquez sur l'indicateur d'état arrondi du pilote dans l'angle supérieur droit de l'icône du pilote :

      Un menu contenant les commandes permettant de démarrer et d'arrêter le pilote, ainsi que de modifier ses propriétés, s'affiche :

    6. Sélectionnez Modifier les propriétés.

    7. Dans la section Paramètres du pilote, définissez la propriété Hôte sur le nom d'hôte ou l'adresse IP du répartiteur.

    8. Cliquez sur OK.

    9. Redémarrez le pilote.

  19. Pour modifier l'URL du pilote de service de rôles et de ressources, répétez les étapes 18a à 18f, puis cliquez sur Configuration du pilote et mettez à jour l'URL de l'application utilisateur avec le nom DNS de l'équilibreur de charge.

  20. Assurez-vous que la persistance de la session est activée pour la grappe créée dans le logiciel d'équilibrage de charge pour les noeuds d'application utilisateur.

  21. Configurez les paramètres du client dans le tableau de bord Identity Manager. Pour plus d'informations, reportez-vous à la section Configuring Client Settings Mode (Mode de configuration des paramètres du client) du NetIQ Identity Manager - Administrator's Guide to the Identity Applications (NetIQ Identity Manager - Guide de l'administrateur des applications d'identité).

La plupart des équilibreurs de charge incluent une fonctionnalité de vérification de l'état de santé qui permet de déterminer si un serveur HTTP est opérationnel et à l'écoute. L'application utilisateur inclut une URL qui peut être utilisée pour configurer des vérifications de l'état de santé du serveur HTTP sur votre équilibreur de charge. Cette URL est la suivante :

http://<IP_noeud>:port/IDMProv/jsps/healthcheck.jsp