10.7 Mise à niveau d'Identity Applications

Cette section fournit des informations sur la mise à niveau d'Identity Applications et des logiciels de prise en charge, ce qui inclut la mise à jour des composants suivants :

Application utilisateur Identity Manager
Self Service Password Reset (SSPR)
Tomcat, JDK et ActiveMQ
Base de données PostgreSQL
One SSO Provider (OSP)

IMPORTANT :Identity Manager 4.8 exige qu'Identity Applications et OSP soient installés sur le même ordinateur. Lors de la mise à niveau vers cette version, utilisez l'instance OSP installée lors de la mise à niveau d'Identity Applications, puis copiez les paramètres OSP de votre serveur OSP existant vers le nouveau serveur OSP. Pour plus d'informations, reportez-vous à la section Tâches postérieures à la mise à niveau pour les composants d'Identity Applications.

Cette section fournit des informations concernant les rubriques suivantes :

10.7.1 Considérations pour la mise à niveau

Le processus de mise à niveau d'Identity Applications peut varier en fonction de la façon dont vous souhaitez mettre à niveau les composants Identity Applications. Les considérations suivantes s'appliquent avant de mettre à niveau Identity Applications :

Avant de commencer le processus de mise à niveau d'Identity Applications, vous devez créer le fichier igaworkflowdb si vous utilisez des bases de données Oracle ou MS SQL et assigner tous les privilèges à l'utilisateur idmadmin pour qu'il soit propriétaire des bases de données.
Si Identity Applications et SSPR sont installés sur des serveurs distincts, vous pouvez choisir de mettre à niveau SSPR séparément.
Pendant la mise à niveau, veillez à vérifier, puis à modifier le nom de la base de données et les autres valeurs par défaut, si nécessaire.

Identity Manager prend en charge une installation locale d'OSP sur le serveur Identity Applications. Le programme de mise à niveau ne prend pas en charge une mise à niveau autonome d'OSP vers cette version et installe une nouvelle copie d'OSP lors de la mise à niveau d'Identity Applications. Pour restaurer vos paramètres OSP existants dans l'instance OSP récemment installée, reportez-vous au point One SSO Provider de la section Tâches postérieures à la mise à niveau pour les composants d'Identity Applications.

Tableau 10-1 Processus de mise à niveau d'Identity Applications

Déploiement d'Identity Applications	Processus de mise à niveau
Identity Applications, SSPR et OSP sont installés sur le même serveur.	Pour mettre à niveau tous les composants, suivez les étapes de la section Mise à niveau d'Identity Applications.
Identity Applications et OSP sont installés sur le même serveur. SSPR est installé sur un serveur différent.	Pour mettre à niveau Identity Applications et OSP, suivez les étapes de la section Mise à niveau d'Identity Applications. Pour mettre à niveau SSPR sur un serveur différent, suivez les étapes de la section Mise à niveau de SSPR.
Identity Applications est installé sur un serveur différent de celui de SSPR et d'OSP. Dans ce cas, SSPR peut être installé sur le serveur Identity Applications ou sur un serveur distinct. Toutefois, OSP doit être installé sur le serveur Identity Applications.	Pour mettre à niveau Identity Applications et OSP, suivez les étapes de la section Mise à niveau d'Identity Applications. Pour mettre à niveau SSPR sur un serveur différent, suivez les étapes de la section Mise à niveau de SSPR. Lancez l'utilitaire de mise à jour de la configuration et fournissez les détails du nouveau serveur sur lequel OSP est installé. Dans ce cas, le nouveau serveur est le serveur sur lequel Identity Applications est installé. Pour plus d'informations, reportez-vous à la section Paramètres des clients SSO.

10.7.2 Configuration système requise

Le processus de mise à niveau crée une sauvegarde de la configuration actuelle des composants installés. Assurez-vous que votre serveur dispose de suffisamment d'espace pour stocker la sauvegarde et d'espace libre supplémentaire pour la mise à niveau. Pour plus d'informations, rendez-vous sur le site Web d'informations techniques sur NetIQ Identity Manager.

10.7.3 Présentation du programme de mise à niveau

La procédure de mise à niveau lit les valeurs de configuration à partir des composants existants. Ces informations incluent les fichiers ism-configuration.properties, server.xml, SSPRConfiguration ainsi que d'autres fichiers de configuration. Lorsque vous utilisez ces fichiers de configuration, la procédure de mise à niveau appelle en interne le programme de mise à niveau des composants spécifiés. Ce programme crée en outre une sauvegarde de l'installation actuelle.

10.7.4 Mise à niveau PostgreSQL

Effectuez les étapes suivantes pour mettre à niveau PostgreSQL :

Téléchargez le fichier Identity_Manager_4.8_Linux.iso à partir du site Web de téléchargement de NetIQ et extrayez-le.
Accédez au répertoire /common/scripts.
Exécutez la commande suivante :

./pg-upgrade.sh
Spécifiez les détails suivants pour effectuer l'installation :

Emplacement de l'installation Postgres existante : spécifiez l'emplacement d'installation de PostgreSQL. L'emplacement par défaut est /opt/netiq/idm/postgres.

REMARQUE :assurez-vous que l'utilisateur postgres dispose des autorisations appropriées sur le répertoire /opt/netiq/idm/postgres.

Répertoire de données Postgres existant : spécifiez l'emplacement du répertoire de données PostgreSQL. L'emplacement par défaut est /opt/netiq/idm/postgres/data.

Mot de passe de base de données Postgres existant : spécifiez le mot de passe PostgreSQL.

Nouveau répertoire de données Postgres : spécifiez le nouveau répertoire de données PostgreSQL. Par exemple : /opt/netiq/idm/postgres_new/data.

10.7.5 Mise à niveau des composants Identity Applications

Mise à niveau des paquetages de pilotes pour Identity Applications

Vous devez arrêter Tomcat et mettre à jour les paquetages du pilote d'application utilisateur et des pilotes du service de rôles et de ressources vers la dernière version. Pour plus d'informations sur la mise à niveau des paquetages vers la dernière version, reportez-vous à la section Upgrading Installed Packages (Mise à niveau des paquetages installés) du manuel NetIQ Designer for Identity Manager Administration Guide (Guide d'administration de NetIQ Designer pour Identity Manager).

Après avoir mis à niveau les paquetages du pilote d'application utilisateur, vous devez ajouter manuellement le paquetage des modèles de workflow :

Dans Designer, accédez au pilote d'application utilisateur, puis aux propriétés.
Cliquez sur Paquetages, puis sur .
Cochez la case Afficher uniquement les versions de paquetage applicables.
Sélectionnez l'option Créer des modèles de workflow.
Cliquez sur OK, puis sur Terminer pour finir l'installation.
Déployez le pilote d'application utilisateur.

IMPORTANT :si un modèle de notifications par message électronique est installé ou mis à niveau dans le cadre de la mise à niveau du pilote d'application utilisateur, vous devez déployer l'objet Collection de notification par défaut.

Mise à niveau d'Identity Applications

La procédure suivante décrit comment mettre à niveau Identity Applications.

Téléchargez le fichier Identity_Manager_4.8_Linux.iso à partir du site Web de téléchargement de NetIQ.
Montez le fichier .iso téléchargé.
Exécutez la commande suivante :

./install.sh
Lisez le contrat de licence.
Entrez y pour accepter l'accord de licence.
Spécifiez si vous souhaitez mettre à niveau Identity Applications. Les options disponibles sont y (oui) et n (non).
Si vous procédez à la mise à niveau, spécifiez les détails suivants :
Dossier d'installation OSP pour la sauvegarde

Cela ne s'applique que lorsqu'Identity Applications et OSP sont installés sur le même serveur.

Spécifiez le dossier de sauvegarde OSP dans lequel stocker les données de sauvegarde OSP.

Dossier d'installation SSPR

Cela ne s'applique que lorsqu'Identity Applications et SSPR sont installés sur le même serveur.

Spécifiez le dossier d'installation de SSPR.

SSPR introuvable sur le système. Voulez-vous procéder à son installation et à sa configuration ?
Cela ne s'applique que lorsqu'Identity Applications et SSPR sont installés sur des serveurs différents.

Si vous sélectionnez y, SSPR sera installé sur le même serveur qu'Identity Applications. Vous devez copier les paramètres de personnalisation existants sur le nouveau serveur d'installation de SSPR.
Mot de passe de configuration de SSPR : spécifiez le mot de passe de configuration de SSPR.

Adresse DNS/IP du serveur SSO One : spécifiez l'adresse IP du serveur sur lequel OSP est installé.

Port SSL du serveur SSO One : spécifiez le port SSL d'OSP.
Si vous sélectionnez n, SSPR ne sera pas installé et Identity Applications sera mis à niveau.
Dossier d'installation de l'application utilisateur

Spécifiez le dossier d'installation de l'application utilisateur.

Mot de passe du service SSO One d'Identity Applications

Spécifiez le mot de passe SSO One. Le mot de passe spécifié met à jour les secrets pour tous les clients que vous avez configurés dans l'utilitaire de mise à jour de la configuration. Si nécessaire, vous pouvez réinitialiser le mot de passe des clients respectifs à partir de l'utilitaire de mise à jour de la configuration. Pour plus d'informations, reportez-vous à la section Paramètres des clients SSO.

Fichier JAR JDBC de la base de données d'Identity Applications

Spécifiez le fichier JAR de la base de données. Par exemple, si vous utilisez la base de données PostgresQL et qu'elle est installée sur le même serveur, l'emplacement par défaut du fichier JAR de la base de données existant est /opt/netiq/idm/postgres/postgresql-9.4.1212.jar.

Créer le schéma pour Identity Applications

Spécifiez quand vous souhaitez créer le schéma de base de données. Les options disponibles sont Maintenant, Démarrage et Fichier. L'option par défaut est Maintenant.

REMARQUE :si vous utilisez msSQL ou Oracle, vous devez créer igaworkflowdb en assignant à l'utilisateur idmadmin tous les privilèges pour cette base de données.

Mot de passe de l'utilisateur de la base de données d'Identity Applications

Indiquez le mot de passe utilisateur de la base de données.

Mot de passe de l'administrateur de la base de données d'Identity Applications

Spécifiez le mot de passe de l'administrateur de la base de données.
Démarrez Tomcat. Si vous choisissez de créer le schéma de base de données immédiatement, sélectionnez Maintenant.

systemctl start netiq-tomcat.service

(Facultatif) Au cours de la mise à niveau, si vous sélectionnez l'option Startup (Démarrage) ou Write to file (Écrire dans un fichier) pour créer le schéma de base de données, vous devez effectuer les étapes requises pour la migration des données vers la base de données de workflow. Les sections suivantes fournissent des détails sur la migration des données lorsque vous utilisez les options Startup (Démarrage) ou Write to file (Écrire dans un fichier).
Redémarrez le service NGINX.

systemctl restart netiq-nginx.service

Démarrage de la base de données

IMPORTANT :suivez la procédure de cette section pour migrer des données vers la base de données de workflow à l'aide de l'utilitaire de migration de workflow fourni avec les fichiers ISO Linux et Windows d'Identity Manager 4.8. Toutefois, un outil de migration de workflow mis à jour est désormais disponible dans le paquetage Identity Applications Tools Patch 1 (1.0.0.0100). Ce correctif ajoute un nouvel utilitaire de commande de migration de workflow avec de nouvelles options pour vous aider à accélérer la migration. Il résout également un problème clé lié à l'échec de la migration de la base de données lors de la migration de bases de données volumineuses. Vous pouvez télécharger ce correctif à partir du portail Software License and Download (Licences et téléchargements de logiciels). Nous vous recommandons d'utiliser l'utilitaire de migration de workflow le plus récent pour migrer la base de données en douceur. Pour plus d'informations, reportez-vous au manuel NetIQ Identity Manager 4.8 Identity Applications Tools Patch 1 Release Notes (Notes de version de NetIQ Identity Manager 4.8 Identity Applications Tools Patch 1).

Effectuez les étapes suivantes pour migrer les données en utilisant l'option Démarrage :

Copiez le fichier WorkflowMigration.zip à partir du répertoire <emplacement de montage du fichier ISO>/user_application/IDM_Tools/ vers le répertoire /home et décompressez le fichier.
Copiez le fichier jdbc.jar (par exemple, sqljdbc42.jar) dans le répertoire /home/WorkflowMigration/WEB-INF/lib/ et renommez le fichier jdbcDriver.jar.
Arrêtez le pilote du service de rôles et de ressources.
Démarrez Tomcat.

Exécutez les commandes suivantes pour exporter les données :

REMARQUE :vérifiez que l'utilisateur de la base de données dispose de tous les privilèges pour modifier la base de données.

[postgres]  /opt/netiq/common/jre/bin/java -jar Workflow-Migration.jar -e test.zip -surl jdbc:postgresql://ip:port/idmuserappdb -suser idmadmin -spwd ***** -sdb postgres

[oracle] /opt/netiq/common/jre/bin/java -jar Workflow-Migration.jar -e test.zip -surl jdbc:oracle:thin:@IP:1521:idmdb -suser idmadmin -spwd ***** -sdb oracle

[mssql] /opt/netiq/common/jre/bin/java -jar Workflow-Migration.jar -e test.zip -surl "jdbc:sqlserver://IP:1433;DatabaseName=idmuserappdb" -suser idmadmin -spwd ***** -sdb mssql

Exécutez les commandes suivantes pour importer les données :

[postgres]  /opt/netiq/common/jre/bin/java -jar Workflow-Migration.jar -i test.zip -durl jdbc:postgresql://ip:port/igaworkflowdb -duser idmadmin -dpwd ***** -ddb postgres

[oracle]   /opt/netiq/common/jre/bin/java -jar Workflow-Migration.jar -i test.zip -durl jdbc:oracle:thin:@IP:1521:igaworkflowdb -duser idmadmin -dpwd ***** -ddb oracle

[mssql] /opt/netiq/common/jre/bin/java -jar Workflow-Migration.jar -i test.zip -durl "jdbc:sqlserver://IP:1433;DatabaseName=igaworkflowdb" -duser idmadmin -dpwd ***** -ddb mssql

Démarrez le pilote des services de rôles et de ressources.

Écriture dans un fichier SQL

Effectuez les étapes suivantes pour migrer les données en utilisant l'option Fichier :

Copiez le fichier WorkflowMigration.zip à partir du répertoire <emplacement de montage du fichier ISO>/user_application/IDM_Tools/ vers le répertoire /home et décompressez le fichier.
Copiez le fichier jdbc.jar (par exemple, sqljdbc42.jar) dans le répertoire /home/WorkflowMigration/WEB-INF/lib/ et renommez le fichier jdbcDriver.jar.
Exécutez les scripts ua_databaseschema.sql et wfe_databaseschema.sql à l'aide d'un outil d'administration tel que pgAdmin et vérifiez si le schéma est créé correctement.

REMARQUE :lors de l'exécution des scripts la ua_databaseschema.sql et wfe_databaseschema.sql à l'aide de l'outil pgAdmin, assurez-vous de mettre la première ligne en commentaire dans les deux fichiers SQL. Par exemple, la ligne Starting Liquibase at Fri, 11 Oct 2019 15:59:26 IST (version 3.7.0 built at 2019-07-16 02:32:57) doit être mise en commentaire avant d'exécuter les fichiers SQL.

Exécutez les commandes suivantes pour exporter les données :

REMARQUE :vérifiez que l'utilisateur de la base de données dispose de tous les privilèges pour modifier la base de données.

[postgres]  /opt/netiq/common/jre/bin/java -jar Workflow-Migration.jar -e test.zip -surl jdbc:postgresql://ip:port/idmuserappdb -suser idmadmin -spwd ***** -sdb postgres

[oracle] /opt/netiq/common/jre/bin/java -jar Workflow-Migration.jar -e test.zip -surl jdbc:oracle:thin:@IP:1521:idmdb -suser idmadmin -spwd ***** -sdb oracle

[mssql] /opt/netiq/common/jre/bin/java -jar Workflow-Migration.jar -e test.zip -surl "jdbc:sqlserver://IP:1433;DatabaseName=idmuserappdb" -suser idmadmin -spwd ***** -sdb mssql

Exécutez les commandes suivantes pour importer les données :

[postgres]  /opt/netiq/common/jre/bin/java -jar Workflow-Migration.jar -i test.zip -durl jdbc:postgresql://ip:port/igaworkflowdb -duser idmadmin -dpwd ***** -ddb postgres

[oracle]   /opt/netiq/common/jre/bin/java -jar Workflow-Migration.jar -i test.zip -durl jdbc:oracle:thin:@IP:1521:igaworkflowdb -duser idmadmin -dpwd ***** -ddb oracle

[mssql] /opt/netiq/common/jre/bin/java -jar Workflow-Migration.jar -i test.zip -durl "jdbc:sqlserver://IP:1433;DatabaseName=igaworkflowdb" -duser idmadmin -dpwd ***** -ddb mssql

Démarrez Tomcat.

Mise à niveau de SSPR

Utilisez cette méthode lorsque SSPR est installé sur un serveur différent du serveur Identity Applications dans une version Advanced Edition.

C'est la seule méthode pour mettre à niveau SSPR dans une version Standard Edition.

Pour mettre à niveau SSPR :

Téléchargez le fichier Identity_Manager_4.8_Linux.iso à partir du site Web de téléchargement de NetIQ.
Montez le fichier .iso téléchargé.
À partir du répertoire racine du fichier .iso, accédez au répertoire sspr.
Exécutez la commande suivante :

./install.sh
Lisez le contrat de licence.
Entrez y pour accepter l'accord de licence.
Spécifiez y pour mettre à niveau SSPR.
Spécifiez le Mot de passe de l'administrateur du coffre-fort d'identité et effectuez la mise à niveau.

10.7.6 Tâches postérieures à la mise à niveau pour les composants d'Identity Applications

Effectuez les tâches suivantes avant de commencer à utiliser Identity Applications :

Supprimez manuellement la version précédente de Tomcat et des services ActiveMQ. Par exemple, exécutez les commandes suivantes :

/etc/init.d/idmapps_tomcat_init

/etc/init.d/idmapps_activemq_init
Vous devez restaurer manuellement les paramètres personnalisés pour Tomcat, SSPR, OSP et Kerberos.
Un certificat ayant la valeur CN Identity Applications doit être présent dans le keystore (idm.jks) du serveur Identity Applications. Dans le cadre de la sécurité Java améliorée, Identity Applications nécessite désormais un certificat approuvé pour communiquer avec OSP.
Utilisez le fichier keystore d'Identity Applications existant pour importer le certificat signé dans idm.jks. Par exemple :

./keytool -import -alias mycerts -keystore /opt/netiq/idm/apps/tomcat/conf/idm.jks -file /opt/certs/chap8.der

REMARQUE :cette étape est nécessaire pour effectuer la mise à niveau de 4.6.x vers 4.8.

Si vous effectuez la mise à niveau d'Identity Applications dans un environnement en grappe, vous devez effectuer les étapes suivantes après l'opération de mise à niveau :

Accédez au répertoire /opt/netiq/idm/apps/tomcat/conf et ajoutez la ligne suivante dans la balise Context du fichier context.xml :

<Manager notifyListenersOnReplication="true" expireSessionsOnShutdown="false" className="org.apache.catalina.ha.session.DeltaManager"/>

Accédez au répertoire /opt/netiq/idm/apps/tomcat/conf et ajoutez les lignes suivantes dans la balise Cluster du fichier server.xml :

<Channel className="org.apache.catalina.tribes.group.GroupChannel">
            <Membership className="org.apache.catalina.tribes.membership.McastService"
                        address="228.0.0.4"
                        port="45564"
                        frequency="500"
                        dropTime="3000"/>
            <Receiver className="org.apache.catalina.tribes.transport.nio.NioReceiver"
                      address="auto"
                      port="5000"
                      selectorTimeout="100"
                      maxThreads="6"/>

            <Sender className="org.apache.catalina.tribes.transport.ReplicationTransmitter">
              <Transport className="org.apache.catalina.tribes.transport.nio.PooledParallelSender"/>
            </Sender>
            <Interceptor className="org.apache.catalina.tribes.group.interceptors.TcpFailureDetector"/>
            <Interceptor className="org.apache.catalina.tribes.group.interceptors.MessageDispatchInterceptor"/>
            <Interceptor className="org.apache.catalina.tribes.group.interceptors.ThroughputInterceptor"/>
          </Channel>

          <Valve className="org.apache.catalina.ha.tcp.ReplicationValve"
                 filter=".*\.gif|.*\.js|.*\.jpeg|.*\.jpg|.*\.png|.*\.htm|.*\.html|.*\.css|.*\.txt"/>

          <Deployer className="org.apache.catalina.ha.deploy.FarmWarDeployer"
                    tempDir="/tmp/war-temp/"
                    deployDir="/tmp/war-deploy/"
                    watchDir="/tmp/war-listen/"
                    watchEnabled="false"/>

          <ClusterListener className="org.apache.catalina.ha.session.ClusterSessionListener"/>

Si votre base de données est configurée sur SSL, remplacez ssl=true par sslmode=require dans le fichier server.xml à partir de la variable PATH située à l'emplacement /opt/netiq/idm/apps/tomcat/conf/.

Par exemple, remplacez
```
jdbc:postgresql://<postgres db>:5432/idmuserappdb?ssl=true
```
par
```
jdbc:postgresql://<postgres db>:5432/idmuserappdb?sslmode=require
```

Tomcat

Dans un environnement en grappe, supprimez manuellement le commentaire de la balise Cluster dans le fichier server.xml et copiez le fichier osp.jks sur tous les noeuds à partir du premier noeud situé à l'emplacement /opt/netiq/idm/apps/osp_backup_<date>.
Si vous disposez de fichiers Keystore personnalisés, incluez le chemin d'accès correct dans le nouveau fichier server.xml.

SSPR

Si Identity Applications et SSPR sont déployés sur des serveurs différents et que vous choisissez de restaurer les paramètres SSPR personnalisés existants sur le nouveau serveur sur lequel SSPR est installé, veillez à modifier les paramètres SSPR sur le nouveau serveur SSPR à l'aide de l'utilitaire ConfigUpdate. Pour plus d'informations, reportez-vous à la section Paramètres des clients SSO.

One SSO Provider

Si Identity Applications et OSP sont déployés sur des serveurs différents dans votre installation préalable à la mise à niveau, copiez les paramètres OSP existants sur le nouveau serveur sur lequel OSP est installé (serveur Identity Applications), puis exécutez la méthode merge_jars à partir du kit d'installation sur ce serveur pour restaurer vos paramètres.

Arrêtez Tomcat sur le serveur sur lequel vous avez mis à niveau Identity Applications. (OSP est installé avec la mise à niveau d'Identity Applications.)
Restaurez la personnalisation.
1. Accédez au répertoire d'installation OSP sur votre serveur OSP existant et localisez le fichier osp-custom-resource.jar.
  
  Par exemple : /opt/netiq/backup_idm/osp/osp-extras/l10n-resources/osp-custom-resource.jar.
2. Copiez le fichier osp-custom-resource.jar à un emplacement sur le serveur sur lequel vous avez mis à niveau Identity Applications.
3. Accédez au fichier <emplacement de montage du fichier Identity_Manager_4.8_Linux.iso>/osp/scripts/merge_cust_loc.sh.
  
  Ce script contient la méthode merge_jars qui assure la fusion de la personnalisation existante avec la nouvelle instance OSP installée.
4. Ouvrez une invite de commande, puis entrez la commande suivante :
```
merge_jars ${IDM_BACKUP_FOLDER in the remote OSP server}/tomcat/lib/osp-custom-resource.jar ${IDM 4.8_OSP_INSTALLED_HOME}/osp-extras/l10n-resources/osp-custom-resource.jar)
```
  Par exemple :
```
merge_jars /opt/netiq/backup_idm/osp/osp-extras/l10n-resources/osp-custom-resource.jar /opt/netiq/idm/apps/osp/osp-extras/l10n-resources/osp-custom-resource.jar
```
  où le répertoire backup_idm contient les paramètres OSP sur le serveur OSP existant.
Démarrez Tomcat sur le nouveau serveur sur lequel OSP est installé.

Pour la mise à jour d'autres paramètres, reportez-vous à la section Paramètres des clients SSO.

Kerberos

L'utilitaire de mise à niveau crée un nouveau dossier Tomcat sur votre ordinateur. Si des fichiers Kerberos tels que keytab et Kerberos_login.config se trouvaient dans l'ancien dossier Tomcat, copiez ces fichiers dans le nouveau dossier Tomcat à partir du dossier sauvegardé.

10.7.7 Vérification des numéros de version après mise à niveau

Après la mise à niveau vers Identity Manager 4.8, vérifiez que les composants ont été mis à niveau vers les versions suivantes :

Tomcat – 9.0.22
ActiveMQ – 5.15.9
Java – 1.8.0_222
One SSO Provider – 6.3.6
Self Service Password Reset – 4.4.0.3