NetIQ vous recommande de consulter les conditions préalables et la configuration système requise pour les applications d'identité avant de lancer la procédure d'installation. Pour plus d'informations sur la configuration de l'environnement de l'application utilisateur, reportez-vous au NetIQ Identity Manager - User's Guide to the Identity Applications (Guide de l'utilisateur des applications d'identité de NetIQ Identity Manager).
Considérations relatives à l'installation des applications d'identité
Les considérations suivantes s'appliquent à l'installation des applications d'identité.
-
Veillez à utiliser une version prise en charge des composants Identity Manager suivants :
-
Moteur Identity Manager
-
Chargeur distant
-
(Facultatif) NetIQ vous recommande d'activer le protocole SSL (Secure Sockets Layer) pour la communication entre les composants Identity Manager. Pour utiliser le protocole SSL, vous devez activer SSL dans votre environnement et spécifier lors de l'installation. Pour plus d'informations sur l'activation de SSL, reportez-vous à la section Configuring Security in the Identity Applications (Configuration de la sécurité des applications d'identité) du NetIQ Analyzer for Identity Manager Administration Guide (Guide d'administration de NetIQ Analyzer pour Identity Manager).
-
Vous ne pouvez pas utiliser le pilote du service de rôles et de ressources avec le chargeur distant étant donné que le pilote utilise jClient.
-
Par défaut, le processus d'installation place les fichiers du programme dans le répertoire /opt/netiq/idm. Si vous envisagez d'installer l'application utilisateur à un emplacement autre que celui par défaut, le répertoire doit répondre aux conditions suivantes avant de lancer le processus d'installation :
-
Chaque instance de l'application utilisateur ne peut traiter qu'un seul conteneur utilisateur. Par exemple, vous pouvez ajouter des utilisateurs qui ne peuvent effectuer des recherches et introduire des requêtes que pour le conteneur associé à l'instance. En outre, l'association d'un conteneur d'utilisateurs à une application est censée être permanente.
-
(Facultatif) Pour récupérer des autorisations des systèmes gérés, installez un ou plusieurs pilotes Identity Manager.
-
Vous devez utiliser des pilotes pris en charge par Identity Manager 4.6 ou version ultérieure. Pour plus d'informations sur l'installation des pilotes, reportez-vous aux guides des pilotes appropriés sur le site Web de documentation des pilotes NetIQ Identity Manager.
-
Pour gérer les pilotes, vous devez avoir installé Designer ou les plug-ins appropriés d'iManager. Les plug-ins iManager sont fournis dans l'installation du moteur Identity Manager.
Considérations relatives à la configuration et à l'utilisation des applications d'identité
Les considérations suivantes s'appliquent à la configuration et à l'utilisation initiale des applications d'identité.
-
Pour que les utilisateurs puissent accéder aux applications d'identité, vous devez effectuer les opérations suivantes :
-
Assurez-vous que tous les pilotes Identity Manager nécessaires sont installés.
-
Vérifiez que les index pour le coffre-fort d'identité sont en mode en ligne. Pour plus d'informations sur la configuration d'un index lors de l'installation, reportez-vous à la Divers.
-
Activez les cookies dans tous les navigateurs. Les applications ne fonctionnent pas si les cookies sont désactivés.
-
Au cours de l'installation, le programme d'installation écrit des fichiers journaux dans le répertoire d'installation. Ces fichiers contiennent des informations relatives à votre configuration. Une fois que vous avez configuré votre environnement d'applications d'identité, envisagez de supprimer ces fichiers journaux ou de les stocker à un emplacement sécurisé. Au cours de l'installation, vous avez la possibilité d'écrire le schéma de base de données dans un fichier. Étant donné que ce fichier contient des informations descriptives sur votre base de données, il est conseillé de le déplacer vers un emplacement sécurisé une fois la procédure d'installation terminée.
-
(Conditionnel) Pour auditer les applications d'identité, Identity Reporting et un service d'audit doivent être installés dans votre environnement et configurés pour capturer les événements. Vous devez également configurer les applications d'identité à des fins d'audit.
Spécification de l'emplacement de l'index des autorisations
Lorsque vous installez les applications d'identité, le processus crée un index des autorisations pour Tomcat. Si vous ne spécifiez pas d'emplacement pour l'index, le programme d'installation crée un dossier dans un répertoire temporaire. Par exemple : /opt/netiq/idm/apps/tomcat/temp/permindex sous Tomcat.
Dans un environnement de test, l'emplacement n'est généralement pas important. Toutefois, dans un environnement de production ou de stockage, vous ne souhaitez peut-être pas placer l'index dans un répertoire temporaire.
Pour spécifier un emplacement pour l'index :
-
Arrêtez Tomcat.
-
Dans un éditeur de texte, ouvrez le fichier ism-configuration.properties.
-
À la fin du fichier, ajoutez le texte suivant :
com.netiq.idm.cis.indexdir = path/permindex
Exemple :
com.netiq.idm.cis.indexdir = /opt/netiq/idm/apps/tomcat/temp/permindex
-
Enregistrez et fermez le fichier.
-
Supprimez le dossier permindex existant dans le répertoire temporaire.
-
Démarrez Tomcat.
Activation de l'index des autorisations pour la mise en grappe
Cette section explique comment activer l'index des autorisations pour la mise en grappe.
-
Connectez-vous à iManager sur le premier noeud de la grappe et sélectionnez .
-
Sous , accédez à l'ensemble de pilotes contenant le .
-
Sélectionnez > > .
-
Sélectionnez l'attribut XMLData et définissez la propriété com.netiq.idm.cis.clustered sur .
Par exemple :
<property>
<key>com.netiq.idm.cis.clustered</key>
<value>true</value>
</property>
-
Cliquez sur .
Conditions préalables à l'installation de la base de données pour les applications d'identité
La base de données stocke les informations de configuration et les données de l'application d'identité.
Avant d'installer l'instance de base de données, vérifiez que les conditions préalables suivantes sont remplies :
-
Pour configurer une base de données à utiliser avec Tomcat, vous devez créer un pilote JDBC. Les applications d'identité utilisent des appels JDBC standard pour accéder à la base de données et la mettre à jour. Les applications d'identité utilisent un fichier de source de données JDBC liée à l'arborescence JNDI pour ouvrir une connexion à la base de données.
-
Vous devez disposer d'un fichier de source de données qui pointe vers la base de données. Le programme d'installation de l'application utilisateur crée une entrée de source de données pour Tomcat dans les fichiers server.xml et context.xml qui pointe vers la base de données.
-
Vérifiez que vous disposez des informations suivantes :
-
Hôte et port du serveur de base de données.
-
Nom de la base de données à créer. La base de données par défaut pour les applications d'identité est idmuserappdb.
-
Nom d'utilisateur et mot de passe de la base de données. Le nom d'utilisateur de la base de données doit représenter un compte d'administrateur ou disposer des autorisations suffisantes pour créer des tables sur le serveur de base de données. Par défaut, l'administrateur de l'application utilisateur est idmadmin.
-
Fichier de pilote .jar livré par le fournisseur de base de données pour la base utilisée. NetIQ ne prend pas en charge les fichiers JAR de pilote fournis par d'autres fournisseurs.
-
L'instance de base de données peut être sur l'ordinateur local ou un serveur connecté.
-
Le jeu de caractères de la base de données doit utiliser le codage Unicode. Ainsi, UTF-8 est un exemple de jeu de caractères employant ce codage, alors que Latin1 ne l'utilise pas. Pour plus d'informations sur la spécification du jeu de caractères, reportez-vous à la Configuration du jeu de caractères ou à la Configuration d'une base de données Oracle.
-
Pour éviter les erreurs de clés en double au cours de la migration, utilisez un classement sensible à la casse. Si le problème se pose, vérifiez le classement et corrigez-le, puis réinstallez les applications d'identité.
-
(Conditionnel) Pour utiliser la même instance de base de données à des fins d'audit et pour les applications d'identité, NetIQ recommande d'installer la base de données sur un serveur dédié distinct du serveur qui héberge l'instance Tomcat qui exécute les applications.
-
(Conditionnel) Si vous effectuez une migration vers une nouvelle version des applications d'identité, vous devez utiliser la même base de données que celle utilisée pour l'installation précédente.
-
La mise en grappe de bases de données est une caractéristique propre à chaque serveur de base de données. NetIQ n'effectue officiellement pas de test avec les configurations de base de données en grappe, car la mise en grappe est indépendante de la fonctionnalité du produit. Par conséquent, nous prenons en charge les serveurs de base de données en grappe avec les mises en garde suivantes :
-
Par défaut, le nombre maximal de connexions est défini sur 100. Toutefois, cette valeur peut être insuffisante pour gérer la charge de requêtes de workflow dans une grappe. Le cas échéant, le message d'exception suivant peut s'afficher :
(java.sql.SQLException: Data source rejected establishment of connection, message from server: "Too many connections."
Pour augmenter le nombre maximal de connexions, augmentez la valeur de la variable max_connections dans le fichier my.cnf.
-
Certains aspects ou fonctionnalités de votre serveur de base de données en grappe devront peut-être être désactivés. Par exemple, la réplication transactionnelle doit être désactivée dans certaines tables en raison de violations de contraintes en cas de tentative d'insertion d'une clé dupliquée.
-
Nous ne fournissons pas d'aide pour l'installation, la configuration ou l'optimisation de la base de données mise en grappe, y compris l'installation de nos produits dans un serveur de base de données en grappe.
-
Nous mettons tout en oeuvre pour résoudre les éventuels problèmes qui pourraient survenir lors de l'utilisation de nos produits dans un environnement de base de données en grappe. Les méthodes de dépannage dans un environnement complexe nécessitent souvent un travail coopératif pour résoudre les problèmes. NetIQ fournit son savoir-faire en matière d'analyse, de planification et de dépannage pour les produits NetIQ. Le client doit quant à lui fournir une expertise d'analyse, de planification et de dépannage pour les produits tiers. Nous demandons aux clients de reproduire ou d'analyser le comportement des composants dans un environnement non mis en grappe pour mieux distinguer les éventuels problèmes liés à la configuration des grappes des problèmes liés aux produits NetIQ.
Configuration de la base de données des applications d'identité
La base de données des applications d'identité traite des tâches telles que le stockage des données de configuration et des données relatives aux activités de workflow. Avant de pouvoir installer les applications, la base de données doit être installée et configurée. Pour plus d'informations sur les bases de données compatibles, reportez-vous à la Configuration système requise pour les applications d'identité. Pour plus d'informations sur les considérations concernant la base de données de l'application utilisateur, reportez-vous à la Conditions préalables à l'installation de la base de données pour les applications d'identité.
Configuration d'une base de données Oracle
Cette section fournit des options de configuration afin d'utiliser une base de données Oracle pour l'application utilisateur. Pour plus d'informations sur les versions d'Oracle prises en charge, reportez-vous à la Configuration système requise pour les applications d'identité.
Vérification du niveau de compatibilité des bases de données
Différentes versions de bases de données Oracle sont compatibles si elles prennent en charge les mêmes fonctionnalités et que ces fonctionnalités s'exécutent de la même façon. Si elles ne sont pas compatibles, certaines fonctionnalités ou opérations risquent de ne pas fonctionner comme prévu. Par exemple, la création du schéma peut échouer, empêchant le déploiement des applications d'identité.
Pour vérifier le niveau de compatibilité de votre base de données, procédez comme suit :
-
Connectez-vous au moteur de base de données.
-
Une fois connecté à l'instance appropriée du moteur de base de données SQL Server, cliquez sur le nom de serveur dans l'.
-
Développez et, en fonction de la base de données, sélectionnez une base de données utilisateur ou développez et sélectionnez une base de données système.
-
Cliquez avec le bouton droit de la souris sur la base de données, puis cliquez sur .
La boîte de dialogue s'affiche.
-
Dans le volet , cliquez sur .
Le niveau de compatibilité actuel s'affiche dans la zone de liste .
-
Pour vérifier le , entrez les informations ci-après dans la fenêtre de requête, puis cliquez sur .
SQL> SELECT name, value FROM v$parameter
WHERE name = 'compatible';
Le résultat attendu est 12.1.0.2.
Configuration du jeu de caractères
La base de données de votre application utilisateur doit utiliser un jeu de caractères basé sur le codage Unicode. Lors de la création de la base de données, utilisez AL32UTF8 pour le spécifier.
Pour confirmer que la base de données Oracle 12c est configurée pour UTF-8 12c, exécutez la commande suivante :
select * from nls_database_parameters;
Si la base de données n'est pas configurée pour UTF-8, le système répond par les informations suivantes :
NLS_CHARACTERSET
WE8MSWIN1252
Sinon, le système répond par les informations suivantes, qui confirment que la base de données est configurée pour UTF-8 :
NLS_CHARACTERSET
AL32UTF8
Pour plus d'informations sur la configuration d'un jeu de caractères, reportez-vous à la documentation « Choosing an Oracle Database Character Set » (Choix d'un jeu de caractères pour une base de données Oracle).
Configuration du compte administrateur
L'application utilisateur requiert que le compte utilisateur de la base de données Oracle dispose de privilèges spécifiques. Dans l'utilitaire SQL Plus, entrez les commandes suivantes :
CREATE USER idmuser IDENTIFIED BY password
GRANT CONNECT, RESOURCE to idmuser
ALTER USER idmuser quota 100M on USERS;
où idmuser représente le compte utilisateur.
Configuration d'une base de données SQL Server
Cette section fournit des options de configuration afin d'utiliser une base de données SQL Server pour l'application utilisateur. Pour plus d'informations sur les versions de SQL Server prises en charge, reportez-vous à la Configuration système requise pour les applications d'identité.
Configuration du jeu de caractères
SQL Server ne permet pas de sélectionner le jeu de caractères des bases de données. L'application utilisateur stocke les données de caractères SQL Server dans un type de colonne NCHAR, qui prend en charge le codage UTF-8.
Configuration du compte administrateur
Après l'installation de Microsoft SQL Server, créez une base de données et son utilisateur à l'aide d'une application telle que SQL Server Management Studio. Le compte utilisateur de la base de données doit disposer des privilèges suivants :
-
CREATE TABLE
-
DELETE
-
INSERT
-
SELECT
-
UPDATE
REMARQUE :il est recommandé d'utiliser la version JAR de JDBCsqljdbc42.jar.
Conditions préalables à l'installation des applications d'identité dans un environnement de grappe
Vous pouvez installer la base de données des applications d'identité dans un environnement pris en charge par les grappes Tomcat, en tenant compte des considérations suivantes :
-
La grappe doit porter un nom de partition de grappe, une adresse de multidiffusion et un port de multidiffusion uniques. L'utilisation d'identifiants uniques permet de séparer plusieurs grappes pour éviter les problèmes de performances et les comportements anormaux.
-
Pour chaque membre de la grappe, vous devez indiquer le même numéro de port d'écoute pour la base de données des applications d'identité.
-
Pour chaque membre de la grappe, vous devez indiquer le même nom d'hôte ou l'adresse IP du serveur qui héberge la base de données des applications d'identité.
-
Vous devez synchroniser les horloges des serveurs de la grappe. Si les horloges des serveurs ne sont pas synchronisées, les sessions peuvent expirer prématurément et entraver le basculement correct de session HTTP.
-
NetIQ recommande de ne pas utiliser d'identifiants multiples dans les onglets ou les sessions de navigateur sur le même hôte. Certains navigateurs partagent des cookies dans les onglets et les processus ; dès lors, l'utilisation de plusieurs identifiants risque de causer des problèmes de basculement de session HTTP (outre le risque d'erreur d'authentification inattendue si plusieurs utilisateurs partagent le même ordinateur).
-
Les noeuds de la grappe résident sur le même sous-réseau.
-
Un proxy de basculement ou une solution d'équilibrage de charge est installé sur un ordinateur distinct.
Préparation d'une grappe pour les applications d'identité
Les applications d'identité prennent en charge la réplication de session HTTP et le basculement de session. Si une session est en cours sur un noeud et qu'une défaillance survient au niveau de ce noeud, un autre serveur de la grappe peut reprendre la session sans intervention. Avant d'installer les applications d'identité dans une grappe, vous devez préparer l'environnement.
Présentation des groupes de grappes dans les environnements Tomcat
Le groupe de grappes de l'application utilisateur emploie un nom UUID pour réduire le risque de conflit avec d'autres groupes de grappes que les utilisateurs peuvent ajouter à leurs serveurs. Vous pouvez modifier les paramètres de configuration du groupe de grappes de l'application utilisateur à l'aide des fonctions d'administration de l'application utilisateur. Les modifications apportées à la configuration de la grappe ne prennent effet pour un noeud de serveur qu'après redémarrage de ce noeud.
Pour plus d'informations sur les conditions requises pour l'installation dans un environnement de grappe, reportez-vous à la Section 8.5.2, Conditions requises et considérations relatives à l'installation des applications d'identité.
Configuration des propriétés système pour les ID de moteur de workflow
Chaque serveur qui héberge les applications d'identité dans la grappe peut exécuter un moteur de workflow. Pour garantir les performances de la grappe et du moteur de workflow, chaque serveur de la grappe doit utiliser les mêmes nom de partition et groupe de partition UDP. Par ailleurs, chaque serveur de la grappe doit être démarré avec un ID unique pour le moteur de workflow, car la mise en grappe pour le moteur de workflow fonctionne indépendamment de l'infrastructure de cache des applications d'identité.
Pour vous assurer que les moteurs de workflow s'exécutent correctement, vous devez définir des propriétés système pour Tomcat.
-
Créez une nouvelle propriété système JVM pour chaque serveur d'applications d'identité de la grappe.
-
Nom de la propriété système com.novell.afw.wf.engine-id où l'ID de moteur est une valeur unique.
Utilisation de la même clé principale pour chaque application utilisateur dans la grappe
Les applications d'identité codent les données sensibles à l'aide d'une clé principale. Toutes les applications d'identité d'une grappe doivent utiliser la même clé principale. Cette section vous permet de vérifier que toutes les applications d'identité d'une grappe utilisent la même clé principale.
Pour plus d'informations sur le chiffrement des données sensibles dans les applications d'identité, reportez-vous à la section Encrypting Sensitive Identity Applications Data (Chiffrement des données sensibles des applications d'identité) du NetIQ Identity Manager - Administrator's Guide to the Identity Applications (NetIQ Identity Manager - Guide de l'administrateur des applications d'identité).
-
Installez l'application utilisateur sur le premier noeud de la grappe.
-
Dans la fenêtre Sécurité - Clé principale du programme d'installation, notez l'emplacement du fichier master-key.txt qui contient la nouvelle clé principale pour les applications d'identité. Par défaut, le fichier se trouve dans le répertoire d'installation.
-
Installez les applications d'identité sur les autres noeuds de la grappe.
-
Dans la fenêtre Sécurité - Clé principale, cliquez sur , puis sur .
-
Dans la fenêtre Importer la clé principale, copiez la clé principale du fichier texte créée à l'Étape 2.
