2.1 Instalowanie oprogramowania OpenText Identity Console CE 24.4 (wersja 1.9)

2.1.1 Instalowanie autonomicznej wersji oprogramowania OpenText Identity Console (innej niż Docker)

Oprogramowanie OpenText Identity Console można zainstalować w jeden z następujących sposobów:

UWAGA:Aby zapewnić poprawne działanie, zalecamy zainstalowanie oprogramowania OpenText Identity Console i usługi OpenText eDirectory na tym samym komputerze, na którym musi być dostępna co najmniej jedna instancja usługi OpenText eDirectory.

Wykonywanie instalacji interaktywnej

W tej sekcji opisano sposób instalacji autonomicznej wersji oprogramowania OpenText Identity Console za pomocą interaktywnej metody instalacji.

  1. Zaloguj się do portalu Software License and Download i przejdź do strony Software Downloads (Pobieranie oprogramowania).

  2. Wybierz następujące opcje:

    • Product (Produkt): OpenText eDirectory

    • Product Name (Nazwa produktu): OpenText eDirectory per User Sub SW E-LTU

    • Version (Wersja): 9.2, 9.3

  3. Pobierz i rozpakuj najnowszą wersję oprogramowania OpenText Identity Console.

  4. Przejdź do katalogu, w którym rozpakowano wersję oprogramowania OpenText Identity Console > OpenText Identity Console_<wersja>_Linux.

  5. Po zalogowaniu się jako użytkownik root lub użytkownik z uprawnieniami równoważnymi do użytkownika root uruchom następujące polecenie:

    ./identityconsole_install

  6. Przeczytaj informacje na stronie Wprowadzenie, a następnie kliknij przycisk ENTER.

  7. Wpisz y, aby zaakceptować umowę licencyjną. Spowoduje to zainstalowanie wszystkich wymaganych pakietów RPM w systemie.

  8. Wprowadź nazwę hosta (w pełni kwalifikowaną nazwę domeny) / adres IP serwera Identity Console. Na przykład: 10.10.33.100.

    Jeśli naciśniesz klawisz Enter bez określenia adresu IP, domyślnie użyte zostaną adres IP / nazwa hosta systemu.

  9. Wprowadź numer portu, który ma nasłuchiwać Identity Console. Wartość domyślna to 9000.

  10. Określ hosty eDirectory-hosts na potrzeby nawiązania połączenia. Można podać adres IP lub nazwę domeny. Na przykład: localhost:636,xx.xx.xx.xx:636 lub edir.domain.com:636

  11. (Warunkowo) Wybierz jedną z następujących opcji, w zależności od wymagań:

    • Jeśli nie chcesz integrować OSP z oprogramowaniem OpenText Identity Console, wybierz „n” i kontynuuj od etap 12.

    • Jeśli chcesz zintegrować OSP z oprogramowaniem OpenText Identity Console, wybierz „y” i podaj dane wejściowe dla następujących kroków:

      1. Wprowadź nazwę domeny / adres IP serwera eDirectory / bezpiecznego magazynu tożsamości z numerem portu LDAPS.

        Na przykład:

        192.168.1.1:636

      2. Wprowadź nazwę użytkownika eDirectory / bezpiecznego magazynu tożsamości.

        Przykład:

        cn=admin,ou=org_unit,o=org

      3. Wprowadź hasło eDirectory/bezpiecznego magazynu tożsamości.

      4. Ponownie wprowadź hasło eDirectory/bezpiecznego magazynu tożsamości, aby je potwierdzić.

      5. Wprowadź nazwę domeny/adres IP serwera OSP z numerem portu SSL serwera SSO.

      6. Wprowadź identyfikator klienta OSP i hasło klienta OSP.

      7. Wprowadź nazwę drzewa eDirectory / bezpiecznego magazynu tożsamości.

  12. (Warunkowo) Wybierz jedną z następujących opcji, w zależności od wymagań:

    • Jeśli chcesz automatycznie pobrać certyfikaty CA, ustaw opcję automatycznego pobierania na y.

    • Jeśli nie chcesz automatycznie pobierać certyfikatów CA, ustaw opcję automatycznego pobierania na n.

  13. (Warunkowo) Wybierz jedną z następujących opcji, w zależności od wymagań:

    • Aby zaimportować certyfikat CA z serwera, wpisz y i naciśnij klawisz Enter.

      Certyfikat CA zostanie pomyślnie skopiowany do folderu /etc/opt/novell/eDirAPI/cert.

      Aby ręcznie pobrać lub dodać certyfikat CA, zapoznaj się z tematem Generowanie certyfikatu CA

    • Jeśli nie chcesz importować certyfikatu CA z serwera, wpisz n i naciśnij klawisz Enter.

    • Po wpisaniu „q” instalacja zostanie zakończona.

  14. (Warunkowo) Wybierz jedną z następujących opcji, aby wygenerować certyfikat serwera:

    • Aby wygenerować certyfikat serwera, wpisz „y” i naciśnij klawisz Enter. Podaj dane wejściowe dla następujących kroków:

      1. Wpisz nazwę użytkownika eDirectory. Przykład: cn=admin,o=novell.

      2. Wpisz hasło użytkownika eDirectory.

      3. Ponownie wpisz hasło użytkownika eDirectory.

      4. Wpisz nazwę certyfikatu serwera.

        Przykład: servercert

      5. Wprowadź hasło certyfikatu serwera.

        Przykład: haslo@123

      6. Wpisz ponownie hasło certyfikatu serwera.

        Przykład: haslo@123

    • Jeśli masz już certyfikat serwera, którego chcesz użyć, wpisz „n” i naciśnij klawisz Enter. Podaj dane wejściowe dla następujących kroków:

      1. Określ ręcznie lokalizację ścieżki katalogu z certyfikatem serwera.

        Na przykład /home/cert/keys.pfx

      2. Wprowadź hasło certyfikatu serwera.

      3. Wpisz ponownie hasło certyfikatu serwera.

UWAGA:

  • W katalogu /var/opt/novell/eDirAPI/log znajdziesz następujące pliki dziennika:

    • edirapi.log — w tym pliku rejestruje się zdarzenia edirapi i problemy z debugowaniem.

    • edirapi_audit.log — w tym pliku rejestruje się zdarzenia związane z audytem edirapi. Dzienniki są zgodne z formatem audytu CEF.

    • identityconsole_install.log — w tym pliku rejestruje zdarzenia związane z oprogramowaniem OpenText Identity Console.

  • W pliku /var/log/messages można sprawdzić dzienniki uruchamiania i zatrzymywania oprogramowania OpenText Identity Console.

  • Jeśli instalacja się nie powiedzie, użyj następującego polecenia, aby ponownie przeprowadzić konfigurację:

    /usr/bin/identityconsoleConfigure

Narzędzia do generowania certyfikatów

Istnieje możliwość uzyskania certyfikatów CA i certyfikatów serwera dla innych drzew za pomocą następujących narzędzi.

UWAGA:Skrypty dla certyfikatu CA i serwera są dostępne w ścieżce opt/novell/eDirAPI/sbin.

Generowanie certyfikatu CA

  1. Pobierz i rozpakuj najnowszą wersję oprogramowania OpenText Identity Console.

  2. Przejdź do katalogu /opt/novell/eDirAPI/sbin, aby pobrać, usunąć lub wyświetlić listę certyfikatów CA.

  3. Po zalogowaniu się jako użytkownik root lub użytkownik z uprawnieniami równoważnymi do użytkownika root uruchom następujące polecenie:

    ./get_cacert fetch <ip address/DNS:ldaps port>

    Na przykład:

    ./get_cacert fetch 10.10.10.10:636

  4. Aby ręcznie dodać certyfikat CA do folderu cert, przejdź do folderu /etc/opt/novell/eDirAPI/cert i wklej certyfikat CA.

    <IP address/DNS_ldaps port.pem>

    Na przykład:

    10.10.10.10_636.pem

Generowanie certyfikatu serwera

  1. Pobierz i rozpakuj najnowszą wersję oprogramowania OpenText Identity Console.

  2. Przejdź do katalogu, aby pobrać, usunąć lub wyświetlić listę certyfikatów CA > /opt/novell/eDirAPI/sbin

  3. Po zalogowaniu się jako użytkownik root lub użytkownik z uprawnieniami równoważnymi do użytkownika root uruchom następujące polecenie:

    ./get_servercert <eDirectory IP address with LDAPS port number> <eDirectory/Identity Vault username> <userpassword> <server certificate name> <server certificate password>

    Przykład:

    ./get_servercert 10.10.10.10:636 cn=admin,ou=org_unit,o=org password keys password

Wykonywanie cichej instalacji

Instalacja cicha umożliwia instalację oprogramowania OpenText Identity Console bez interaktywnych danych wejściowych. Aby użyć tej metody, należy zdefiniować opcje instalacji oprogramowania OpenText Identity Console w pliku silent_properties, a następnie uruchomić proces instalacji z wiersza polecenia. Po zmodyfikowaniu pliku właściwości system wykorzysta zawarte w nim informacje do przeprowadzenia cichej instalacji.

Przed rozpoczęciem instalacji cichej należy się upewnić, że spełnione są wszystkie wymagania wstępne.

Aby edytować plik właściwości instalacji cichej, należy:

  1. Przejść do katalogu OpenText Identity Console_<wersja>_Linux w miejscu, w którym została wyodrębniona wersja oprogramowania OpenText Identity Console.

  2. Otworzyć plik silent_properties i zmodyfikować wartości zgodnie z wymaganiami:

    • Jeśli opcja auto fetch jest ustawiona na Yes

      1. Wprowadź następujące szczegóły w pliku silent_properties:

        export AUTOGENERATE_CACERT="Yes" export AUTOGENERATE_SERVERCERT="Yes" export EDIR_HOST="" export IDC_IP="" export IDC_PORT="9000" export OSP_CLIENT_ID="identityconsole" export OSP_CLIENT_PASSWD="novell" export OSP_IP="" export OSP_MODE="No" export AUTO_FETCH="Yes" export SERVERCERT_NAME="cert" export SERVERCERT_PASSWORD="novell" export SERVERCERT_USERNAME="cn=admin,o=novell" export SERVERCERT_USER_PASSWORD="novell" export TREENAME="my_tree" export VAULT_IP="" export VAULT_USERNAME="cn=admin,o=novell" export VAULT_PASSWD="novell"

      2. Uruchom następujące polecenie, aby przeprowadzić instalację w trybie bez sygnalizacji:

        ./identityconsole_install -s silent_properties

    • Jeśli opcja auto fetch jest ustawiona na No

      1. Wprowadź następujące szczegóły w pliku silent_properties:

        export AUTOGENERATE_CACERT="No" export AUTOGENERATE_SERVERCERT="No" export EDIR_HOST="" export IDC_IP="" export IDC_PORT="9000" export OSP_CLIENT_ID="identityconsole" export OSP_CLIENT_PASSWD="novell" export OSP_IP="" export OSP_MODE="No" export AUTO_FETCH="No" export SERVERCERT_LOCATION="/etc/opt/novell/eDirAPI/cert/SSCert.pem" export SERVERCERT_NAME="cert" export SERVERCERT_PASSWORD="novell" export SERVERCERT_USERNAME="cn=admin,o=novell" export SERVERCERT_USER_PASSWORD="novell" export TREENAME="my_tree" export VAULT_IP="" export VAULT_USERNAME="cn=admin,o=novell" export VAULT_PASSWD="novell"

      2. Ręcznie skopiuj certyfikat CA do folderu /etc/opt/novell/eDirAPI/cert/.

      3. Uruchom następujące polecenie, aby przeprowadzić instalację rpm:

        ./identityconsole_rpm_install

      4. Po zainstalowaniu rpm uruchom następujące polecenie, aby uruchomić instalatora w trybie bez sygnalizacji:

        ./identityconsoleConfigure -s silent_properties

Dzienniki dotyczące instalacji można znaleźć w pliku Identity Console installation > identityconsole_install.log.

Wiele drzew w przypadku oprogramowania OpenText Identity Console w wersji autonomicznej

Aby połączyć oprogramowanie OpenText Identity Console z wieloma drzewami OpenText eDirectory, gdy funkcja automatycznego pobierania jest wyłączona, należy skopiować certyfikaty CA ze wszystkich drzew OpenText eDirectory do katalogu /etc/opt/novell/eDirAPI/cert/.

Skopiuj certyfikaty CA w następujący sposób:

cp /home/user/<ip address1_ldap port.pem> /etc/opt/novell/eDirAPI/cert/<ip address1_ldap port.pem>

cp /home/user/<ip address2_ldap port.pem> /etc/opt/novell/eDirAPI/cert/<ip address2_ldap port.pem>

Aby pobrać certyfikat CA za pomocą narzędzia get_cacert, zapoznaj się z sekcją Generowanie certyfikatu CA.

Uruchom jedno z następujących poleceń, aby uruchomić ponownie oprogramowanie OpenText Identity Console:

  • /usr/bin/identityconsole restart
  • systemctl restart netiq-identityconsole.service

Po włączeniu funkcji automatycznego pobierania certyfikaty CA są automatycznie kopiowane do folderu cert.

Zastępowanie certyfikatu serwera w autonomicznej wersji oprogramowania OpenText Identity Console

Aby zastąpić certyfikat serwera w autonomicznej wersji oprogramowania OpenText Identity Console, wykonaj następujące czynności:

  1. Uruchom narzędzie NLPCERT, aby zapisać klucze:

    su - nds -c "/opt/novell/eDirAPI/sbin/decryptor /Expiredcert/noexpire/new-keys.pfx novell /etc/opt/novell/eDirAPI/conf/ssl/private/cert.pem"

  2. Ponowne uruchamianie oprogramowania OpenText Identity Console:

    systemctl restart netiq-identityconsole.service

Zatrzymywanie, ponowne uruchamianie i stan autonomicznej wersji oprogramowania OpenText Identity Console

  • Aby zatrzymać oprogramowanie, uruchom jedno z następujących poleceń:

    /usr/bin/identityconsole stop

    lub

    systemctl stop netiq-identityconsole.service

  • Aby ponownie uruchomić oprogramowanie, uruchom jedno z następujących poleceń:

    /usr/bin/identityconsole restart

    lub

    systemctl restart netiq-identityconsole.service

  • Aby sprawdzić stan, uruchom jedno z następujących poleceń:

    /usr/bin/identityconsole status

    lub

    systemctl status netiq-identityconsole.service

  • Aby uruchomić oprogramowanie, uruchom jedno z następujących poleceń:

    /usr/bin/identityconsole start

    lub

    systemctl start netiq-identityconsole.service

2.1.2 Instalowanie stacji roboczej OpenText Identity Console w systemie Windows

Oprogramowanie OpenText Identity Console można uruchomić w systemie Windows jako stację roboczą, co wymaga uruchomionych usług REST. Dlatego po jego uruchomieniu w wierszu poleceń edirapi.exe uruchamiany jest proces eDirAPI. Po zamknięciu terminala edirapi.exe oprogramowanie OpenText Identity Console przestanie działać.

Poniższa procedura opisuje sposób uruchamiania oprogramowania OpenText Identity Console w systemie Windows.

  1. Zaloguj się do portalu Software License and Download i przejdź do strony Software Downloads (Pobieranie oprogramowania).

  2. Wybierz następujące opcje:

    • Product (Produkt): OpenText eDirectory

    • Product Name (Nazwa produktu): OpenText eDirectory per User Sub SW E-LTU

    • Version (Wersja): 9.2, 9.3

  3. Pobierz i wyodrębnij plik IdentityConsole_<wersja>_workstation_win_x86_64.zip.

  4. Przejdź do wyodrębnionego folderu i zainstaluj NICI_wx64.

  5. (Opcjonalnie) Otwórz plik edirapi_win.conf i edytuj numer portu nasłuchiwania dla oprogramowania OpenText Identity Console.

  6. (Warunkowo) Jeśli masz już pliki keys.pfx i SSCert.pem, których chcesz użyć, zmień nazwę pliku certyfikatu CA na <ipaddress_ldap>.pem(xx.xx.xxx_636.pem), a następnie skopiuj pliki ręcznie do folderu cert znajdującego się w katalogu C:\IdentityConsole_<wersja>_Workstation_win_x86_64\eDirAPI\cert.

    Następnie przejdź do kroku 9.

  7. (Warunkowo) Jeśli chcesz wygenerować certyfikat CA, przejdź do folderu eDirAPI i w wierszu poleceń uruchom plik binarny get_cacert.exe fetch <IP address_port.pem> znajdujący się w folderze C:\IdentityConsole_version_Workstation_win_x86_64\eDirAPI\cert oraz podaj nazwę / adres IP domeny serwera OpenText eDirectory / bezpiecznego magazynu tożsamości z numerem portu LDAPS.

    Na przykład:

    get_cacert.exe fetch 10.10.10.125:636

    Wygenerowany zostanie plik 10.10.10.125_636.pem.

  8. (Warunkowo) Jeśli chcesz wygenerować certyfikat serwera, uruchom plik binarny get_servercert.exe help poprzez wiersz poleceń wraz z następującymi szczegółami:

    • Nazwa domeny / adres IP serwera eDirectory / bezpiecznego magazynu tożsamości z numerem portu LDAPS.

    • Nazwa użytkownika eDirectory / bezpiecznego magazynu tożsamości.

    • Hasło do eDirectory / bezpiecznego magazynu tożsamości.

    • Nazwa certyfikatu serwera.

    • Hasło do certyfikatu serwera.

    Na przykład:

    get_servercert.exe 10.10.10.125:636 cn=admin,o=novell novell keys novell

    Zostanie wygenerowany plik keys.pfx.

  9. Przejdź do wyodrębnionego folderu, kliknij dwukrotnie plik configure.bat i wprowadź hasło do certyfikatu serwera (keys.pfx) w wierszu poleceń.

    UWAGA:Jeśli certyfikat serwera zmienił się, uruchom ponownie plik configure.bat po podaniu hasła nowego certyfikatu.

  10. Przejdź do wyodrębnionego folderu i kliknij dwukrotnie plik run.bat.

    Zostanie uruchomiony terminal procesu eDirAPI (edirapi.exe) i pojawi się strona logowania do OpenText Identity Console.

UWAGA:

  • Podczas kolejnych logowań w aplikacji OpenText Identity Console kliknij dwukrotnie plik run.bat. Zostanie wyświetlona strona logowania.

    Jeśli terminal procesu eDirAPI (edirapi.exe) jest już uruchomiony, uruchom plik identityconsole.exe z folderu, do którego wypakowano kompilację.

  • Użytkownicy znajdą następujące dzienniki w katalogu: \IdentityConsole_<wersja>_workstation_win_x86_64\eDirAPI\log

    edirapi.log — służy do rejestrowania różnych zdarzeń w edirapi i problemów z debugowaniem.

    edirapi_audit.log — służy do rejestrowania zdarzeń audytu edirapi. Dzienniki są zgodne z formatem audytu CEF.

  • Loginy oparte na usłudze OSP nie są obsługiwane w trybie stacji roboczej.

  • Jeśli numer portu jest już używany, należy edytować parametr listen w pliku edirapi_win.conf, podając nowy numer portu i dwukrotnie kliknąć plik run.bat, aby pomyślnie zalogować się do oprogramowania OpenText Identity Console.

Narzędzia do generowania certyfikatów

Istnieje możliwość uzyskania certyfikatów CA i certyfikatów serwera dla innych drzew OpenText eDirectory za pomocą następujących narzędzi.

UWAGA:Skrypty dla certyfikatu CA i serwera są dostępne w ścieżce opt/novell/eDirAPI/sbin.

Generowanie certyfikatu CA

  1. Pobierz i rozpakuj najnowszą wersję oprogramowania OpenText Identity Console.

  2. Przejdź do katalogu, do którego została wypakowana kompilacja OpenText Identity Console. Na przykład: C:\IdentityConsole_<wersja>_Workstation_win_x86_64\eDirAPI

  3. Uruchom następujący plik binarny poprzez wiersz poleceń.

    get_cacert.exe fetch <ip address:port>

    Podaj adres IP OpenText eDirectory i numer portu LDAPS.

    Na przykład: get_cacert.exe fetch 10.10.10.125:636

    Plik 10.10.10.125_636.pem zostanie wygenerowany i skopiowany do folderu cert.

Generowanie certyfikatu serwera

  1. Przejdź do folderu, do którego została wypakowana kompilacja OpenText Identity Console.

    Na przykład: IdentityConsole_<wersja>_win

  2. Uruchom polecenie get_servercert.exe help, aby uzyskać więcej opcji pomocy poprzez wiersz poleceń.

    • Nazwa domeny / adres IP serwera eDirectory / bezpiecznego magazynu tożsamości z numerem portu LDAPS.

    • Nazwa użytkownika eDirectory / bezpiecznego magazynu tożsamości.

    • Hasło do eDirectory / bezpiecznego magazynu tożsamości.

    • Nazwa certyfikatu serwera.

    • Hasło do certyfikatu serwera.

      Aby wygenerować certyfikat serwera, uruchom następujące polecenie w wierszu poleceń:

      Przykład:

      get_servercert.exe 10.10.10.125:636 cn=admin,o=novell novell keys novell

      Plik keys.pfx zostanie wygenerowany i skopiowany do folderu cert.

Wiele drzew w przypadku oprogramowania OpenText Identity Console jako stacji roboczej

Oprogramowanie OpenText Identity Console umożliwia użytkownikowi łączenie się z wieloma drzewami poprzez wprowadzenie adresu IP na stronie logowania.

Zamykanie i ponowne uruchamianie stacji roboczej OpenText Identity Console

Aby zamknąć aplikację i proces:

  1. Zamknij aplikację komputerową OpenText Identity Console dla systemu Windows.

  2. Zatrzymaj proces eDirAPI, zamykając terminal procesu eDirAPI.

Aby ponownie uruchomić stację roboczą OpenText Identity Console, przejdź do folderu, do którego wypakowano kompilację, i kliknij dwukrotnie plik run.bat (plik wsadowy Windows).

UWAGA:Jeśli terminal procesu eDirAPI jest już uruchomiony, uruchom plik identityconsole.exe z folderu, do którego wypakowano kompilację, aby ponownie uruchomić stację roboczą OpenText Identity Console.

2.1.3 Instalowanie oprogramowania OpenText Identity Console jako kontenera Docker

W tej części omówiono następujące procedury:

Zalecenia dotyczące zabezpieczeń

  • Domyślnie kontenery Dockera nie mają żadnych ograniczeń dotyczących zasobów. W efekcie każdy kontener ma dostęp do wszystkich zasobów procesora i pamięci zapewnianych przez jądro hosta. Należy się upewnić, że jeden uruchomiony kontener nie zużywa większej ilości zasobów i nie pozbawia ich innych uruchomionych kontenerów, ustawiając ograniczenia ilości zasobów, jakich może używać kontener.

    • Kontener Dockera powinien zapewniać stosowanie stałego limitu dla pamięci używanej przez kontener, używając flagi --memory w poleceniu uruchamiania Dockera.

    • Kontener Dockera powinien zapewniać stosowanie limitu dla ilości zasobów procesora używanych przez kontener, używając flagi --cpuset-cpus w poleceniu uruchamiania Dockera.

  • Parametr --pids-limit należy ustawić na 300, aby ograniczyć liczbę wątków jądra tworzonych w danej chwili wewnątrz kontenera. Ma to zapobiegać atakom DoS.

  • Należy ustawić założenia ponownego uruchamiania kontenera w przypadku awarii na 5, używając flagi --restart w poleceniu uruchamiania Dockera.

  • Z kontenera można korzystać tylko wtedy, gdy po pojawieniu się kontenera wyświetlanym stanem jest Dobry stan. Aby sprawdzić stan kontenera, uruchom następujące polecenie:

    docker ps <container_name/ID>

  • Kontener Dockera będzie zawsze uruchamiany jako użytkownik niebędący użytkownikiem root (nds). Jako dodatkowy środek bezpieczeństwa włącz ponowne mapowanie przestrzeni nazw użytkownika w demonie, aby zapobiec atakom eskalacji uprawnień z poziomu kontenera. Aby uzyskać więcej informacji na temat przestrzeni nazw użytkownika, zobacz Isolate containers with a user namespace (Izolowanie kontenerów za pomocą przestrzeni nazw użytkownika).

Instalowanie oprogramowania OpenText Identity Console jako kontenera Docker

UWAGA:Oprogramowanie OpenText Identity Console można skonfigurować z lub bez OSP. Jeśli zdecydujesz się na konfigurację z OSP, musisz najpierw wdrożyć kontener OSP, a następnie kontener OpenText Identity Console. Należy pamiętać o zmodyfikowaniu pliku edirapi.conf w celu uwzględnienia żądanych wartości dla wdrożenia.

Aby zainstalować oprogramowanie OpenText Identity Console jako kontener Docker:

Parametry konfiguracji, przykładowe wartości oraz przykłady wymienione w tej procedurze służą wyłącznie celom informacyjnym. Pamiętaj, aby nie używać ich bezpośrednio w środowisku roboczym.

  1. Zaloguj się do portalu Software License and Download i przejdź do strony Software Downloads (Pobieranie oprogramowania).

  2. Wybierz następujące opcje:

    • Product (Produkt): OpenText eDirectory

    • Product Name (Nazwa produktu): OpenText eDirectory per User Sub SW E-LTU

    • Version (Wersja): 9.2, 9.3

  3. Pobierz plik: IdentityConsole_<wersja>_Containers_tar.zip.

  4. Obraz należy załadować do lokalnego rejestru Dockera. Wypakuj i załaduj plik IdentityConsole_<wersja>_Containers.tar.gz przy użyciu poniższych poleceń:

    tar -xvf IdentityConsole_version_Containers.tar.gz              
    docker load --input identityconsole.tar.gz

  5. Utwórz kontener Docker OpenText Identity Console, używając następującego polecenia:

    docker create --name identityconsole-container-name --env ACCEPT_EULA=Y --network=network-type --volume volume-name:/config/ identityconsole:version

    Na przykład:

    docker create --name identityconsole-container-1 --env ACCEPT_EULA=Y --network=host --volume IDConsole-volume:/config/ identityconsole:version

    UWAGA:

    • Aby zaakceptować umowę EULA, można ustawić zmienną środowiskową ACCEPT_EULA na Y. Umowę EULA można też zaakceptować z poziomu monitu ekranowego podczas uruchamiania kontenera, używając opcji -it w poleceniu utworzenia Dockera w trybie interaktywnym.

    • Parametr --volume w powyższym poleceniu spowoduje utworzenie wolumenu służącego do przechowywania danych konfiguracji i dzienników. W tym przypadku utworzyliśmy przykładowy wolumen o nazwie IDConsole-volume.

  6. Skopiuj plik certyfikatu serwera z lokalnego systemu plików do dockera jako /etc/opt/novell/eDirAPI/cert/keys.pfx, używając następującego polecenia. Aby uzyskać więcej informacji na temat tworzenia certyfikatu serwera, zobacz Wymagania wstępne:

    docker cp <absolute path of server certificate file> <identityconsole-container-name>:/etc/opt/novell/eDirAPI/cert/keys.pfx

    Na przykład:

    docker cp /home/user/keys.pfx identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/keys.pfx

    W przypadku łączenia się z wieloma drzewami OpenText eDirectory należy uzyskać co najmniej jeden certyfikat serwera keys.pfx dla wszystkich połączonych drzew.

  7. Skopiuj plik certyfikatu ośrodka certyfikacji (.pem) z lokalnego systemu plików do kontenera jako /etc/opt/novell/eDirAPI/cert/sscert.pem, używając następującego polecenia. Aby uzyskać więcej informacji na temat uzyskiwania certyfikatu ośrodka certyfikacji, zobacz Wymagania wstępne:

    docker cp absolute path of CA certificate file identityconsole-container-name:/etc/opt/novell/eDirAPI/cert/SSCert.pem

    Na przykład:

    docker cp /home/user/SSCert.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert.pem

    Jeśli użytkownik musi połączyć się z wieloma drzewami OpenText eDirectory, zapoznaj się z sekcją: Wiele drzew w przypadku oprogramowania OpenText Identity Console jako kontenera Docker.

  8. Zmodyfikuj plik konfiguracyjny edirapi.conf zgodnie z potrzebami, w zależności od tego, czy chcesz skonfigurować oprogramowanie OpenText Identity Console z lub bez OSP. Następnie użyj następującego polecenia, aby skopiować go z lokalnego systemu plików do kontenera w folderze /etc/opt/novell/eDirAPI/conf/edirapi.conf:

    docker cp absolute path of configuration file identityconsole-container-name:/etc/opt/novell/eDirAPI/conf/edirapi.conf

    Na przykład:

    docker cp /home/user/edirapi.conf identityconsole-container-1:/etc/opt/novell/eDirAPI/conf/edirapi.conf

    Poniżej przedstawiono przykładowy plik konfiguracyjny (OpenText Identity Console w wersji 1.9 lub nowszej):

    listen = ":9000" pfxpassword = "novell" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=false auto-fetch=false

    Przykładowy plik konfiguracyjny przedstawiono poniżej (Identity Console w wersji 1.8 i wcześniejszych):

    listen = ":9000" pfxpassword = "novell" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=false edir-hosts = "<ip_address>:636"

    UWAGA:Aby uzyskać dostęp do usługi OpenText eDirectory za pomocą oprogramowania OpenText Identity Console, należy dodać polecenie edir-hosts="x.x.x.x:ldaps_port w pliku edirapi.conf.

    Na przykład: edir-hosts="10.10.10.10:636"

    Po ustawieniu opcji auto-fetch=true początkowo wymagane jest skopiowanie certyfikatu CA do kontenera zgodnie z opisem zamieszczonym w kroku 7. Następnie certyfikat CA jest automatycznie pobierany w kolejnych sesjach logowania.

    Poniżej przedstawiono przykładowy plik konfiguracyjny, używany podczas konfiguracji oprogramowania OpenText Identity Console z OSP:

    listen = ":9000" ldapserver = "10.71.39.15:636" ldapuser = "cn=admin,o=novell" ldappassword = "novell" pfxpassword = "novell" osp-token-endpoint = "https://<osp_ipaddress>:8543/osp/a/idm/auth/oauth2/getattributes" osp-authorize-url = "https://<osp_ipaddress>:8543/osp/a/idm/auth/oauth2/grant" osp-logout-url = "https://<osp_ipaddress>:8543/osp/a/idm/auth/app/logout" osp-redirect-url = "https://<identity_console_ipaddress>:9000/eDirAPI/v1/t/authcoderedirect" osp-client-id = "identityconsole" ospclientpass = "novell" ospcert = "/etc/opt/novell/eDirAPI/cert/SSCert.pem" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=true check-origin =true origin = "https://<identity_console_ipaddress>:9000"

  9. Uruchom kontener Dockera, używając następującego polecenia:

    docker start identityconsole-container-name

    Na przykład:

    docker start identityconsole-container-1

UWAGA:W katalogu /var/lib/docker/volumes/<nazwa_wolumenu>/_data/eDirAPI/var/log znajdziesz następujące pliki dziennika:

  • edirapi.log — służy do rejestrowania różnych zdarzeń w edirapi i problemów z debugowaniem.

  • edirapi_audit.log — służy do rejestrowania zdarzeń audytu edirapi. Dzienniki są zgodne z formatem audytu CEF.

  • Container-startup.log — służy do przechwytywania dzienników instalacji kontenera Docker OpenText Identity Console.

Wiele drzew w przypadku oprogramowania OpenText Identity Console jako kontenera Docker

Aby połączyć oprogramowanie OpenText Identity Console 1.9 z wieloma drzewami OpenText eDirectory, gdy funkcja automatycznego pobierania jest wyłączona, należy skopiować certyfikaty CA ze wszystkich drzew OpenText eDirectory do katalogu /etc/opt/novell/eDirAPI/cert/.

Oprogramowanie OpenText Identity Console 1.8 umożliwia użytkownikowi łączenie się z wieloma drzewami przez uzyskanie indywidualnego certyfikatu ośrodka certyfikacji drzewa.

Na przykład jeśli łączysz się z trzema drzewami OpenText eDirectory, musisz skopiować wszystkie trzy certyfikaty ośrodka certyfikacji do kontenera Dockera:

docker cp /home/user/SSCert1.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert1.pem
docker cp /home/user/SSCert2.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert2.pem
docker cp /home/user/SSCert3.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert3.pem

Uruchom następujące polecenia, aby uruchomić ponownie oprogramowanie OpenText Identity Console:

docker restart <identityconsole-container-name>

Przykład:

docker restart identityconsole-container-1

Wdrażanie kontenera OSP

Wykonaj następujące czynności, aby wdrożyć kontener OSP:

  1. Zaloguj się do portalu Software License and Download i przejdź do strony Software Downloads (Pobieranie oprogramowania).

  2. Wybierz następujące opcje:

    • Product (Produkt): OpenText eDirectory

    • Product Name (Nazwa produktu): OpenText eDirectory per User Sub SW E-LTU

    • Wersja: 9.2

    • Oprogramowanie OpenText Identity Console w wersji autonomicznej

  3. Pobierz i wyodrębnij plik IdentityConsole_<wersja>_Containers_tar.zip.

  4. Aby zainstalować oprogramowanie OpenText Identity Console w kontenerze OSP, wymagany jest magazyn kluczy (tomcat.ks).

    Aby wygenerować magazyn kluczy, należy wykonać następujące czynności:

    1. Utwórz folder certs w katalogu /opt/.

    2. Uruchom następujące polecenie, aby utworzyć magazyn kluczy (tomcat.ks):

      keytool -genkey -alias osp -keyalg RSA -storetype pkcs12 -keystore /opt/certs/tomcat.ks -validity 3650 -keysize 2048 -dname "CN=blr-osp48-demo.labs.blr.novell.com" -keypass novell -storepass novell

      UWAGA:Upewnij się, że nazwa adresu IP komputera to nazwa CN lub w pełni zakwalifikowana nazwa hosta. Na przykład: CN=xx.xx.xx.xx

    3. Uruchom następujące polecenie, aby utworzyć żądanie podpisania certyfikatu. Na przykład: cert.csr.

      keytool -certreq -v -alias osp -file /opt/certs/cert.csr -keypass novell -keystore /opt/certs/tomcat.ks -storepass novell

    4. Przekaż utworzony cert.csr do Konsoli tożsamości i uzyskaj cert.der w sposób zgodny z objaśnieniami:

      1. Uruchom Konsolę tożsamości jako Administrator.

      2. Kliknij opcje Certificate Management > Issue Certificate i wybierz plik.

      3. Przejdź do sekcji Key Usage Specifications > Key Type i wybierz przycisk pojedynczego wyboru Custom.

      4. Kliknij opcję Key Usage i zaznacz następujące pola wyboru:

        • Szyfrowanie danych

        • Szyfrowanie kluczy

        • Podpis elektroniczny

      5. Kliknij opcje Certificate Parameters > Subject Alternative Names > OSP Server IP address or OSP Server DNS Name > Next > OK.

        Pojawi się komunikat: Certificate has been generated successfully.

      6. Kliknij przycisk OK.

      7. Pobierz wydany certyfikat cert.der i skopiuj go do /opt/certs/.

    5. Skopiuj SSCert.der z OpenText eDirectory do /opt/certs

    6. Uruchom następujące polecenie, aby zaimportować certyfikat ośrodka certyfikacji (SSCert.der) i certyfikat serwera (cert.der) do magazynu kluczy tomcat.ks.

      keytool -import -trustcacerts -alias root -keystore /opt/certs/tomcat.ks -file /opt/certs/SSCert.der -storepass novell -noprompt
      keytool -import -alias osp -keystore /opt/certs/tomcat.ks -file /opt/certs/cert.der -storepass novell -noprompt

  5. Utwórz nowy folder jako /data.

  6. Skopiuj tomcat.ks z /opt/certs i wklej do folderu data.

  7. Z rozpakowanej wersji kontenera OpenText Identity Console skopiuj pliki osp-edirapi-silent.properties do folderu data.

  8. Zmień plik właściwości osp edirapi silent zgodnie z właściwościami. Przykładowy plik właściwości instalacji w trybie bez sygnalizacji przedstawiono poniżej:

    # Silent file for osp with edirapi
## Static contents Do not edit - starts 
INSTALL_OSP=true
DOCKER_CONTAINER=y
EDIRAPI_PROMPT_NEEDED=y
UA_PROMPT_NEEDED=n
SSPR_PROMPT_NEEDED=n
RPT_PROMPT_NEEDED=n
CUSTOM_OSP_CERTIFICATE=y
## Static contents Do not edit - ends

# OSP Details
SSO_SERVER_HOST=osp.example.com (osp confiugred serevr IP address)
SSO_SERVER_SSL_PORT=8543
OSP_COMM_TOMCAT_KEYSTORE_FILE=/config/tomcat.ks
OSP_COMM_TOMCAT_KEYSTORE_PWD=novell
SSO_SERVICE_PWD=novell
OSP_KEYSTORE_PWD=novell
IDM_KEYSTORE_PWD=novell
OSP_CUSTOM_NAME="Identity Console"
USER_CONTAINER="o=novell"
ADMIN_CONTAINER="o=novell"
MASTER_KEYSTORE_PWD=novell

# IDConsole Details 
IDCONSOLE_HOST=192.168.1.1 (IdentityConsole confiugred serevr IP address)
IDCONSOLE_PORT=9000
EDIRAPI_TREENAME=ed913 (Tree name should be in lowercase)

#If ENABLE_CUSTOM_CONTAINER_CREATION is set to y
#ie., when you have user and admin container different from o=data
#    and they need to be created in eDir
#then CUSTOM_CONTAINER_LDIF_PATH should be entered as well
ENABLE_CUSTOM_CONTAINER_CREATION=n
#ENABLE_CUSTOM_CONTAINER_CREATION=y
#CUSTOM_CONTAINER_LDIF_PATH=/config/custom-osp.ldif

# eDir Details
ID_VAULT_HOST=192.168.1.1 (eDir/ID_Vault confiugred serevr IP address)
ID_VAULT_LDAPS_PORT=636
ID_VAULT_ADMIN_LDAP="cn=admin,o=novell"
ID_VAULT_PASSWORD=novell

    UWAGA:Aby uniknąć ograniczeń miejsca podczas używania pliku właściwości instalacji w trybie bez sygnalizacji (pliku tekstowego DOS), należy przekonwertować plik tekstowy DOS na format UNIX za pomocą narzędzia dos2unix. Uruchom poniższe polecenie, aby przekonwertować plik tekstowy z końcówek linii DOS na końcówki linii UNIX:

    dos2unix filename

    Na przykład:

    dos2unix samplefile

  9. Uruchom następujące polecenie w celu załadowania obrazu OSP:

    docker load --input osp.tar.gz

  10. Przeprowadź wdrożenie kontenera, używając następującego polecenia:

    docker run -d --name OSP_Container --network=host -e SILENT_INSTALL_FILE=/config/osp-edirapi-silent.properties -v /data:/config osp:<version>

    Na przykład:

    docker run -d --name OSP_Container --network=host -e SILENT_INSTALL_FILE=/config/osp-edirapi-silent.properties -v /data:/config osp:6.6.6

    UWAGA:Po wdrożeniu kontenera OSP zainstaluj i skonfiguruj program OpenText Identity Console z wykorzystaniem szczegółowych informacji o serwerze OSP.

Zatrzymywanie i ponowne uruchamianie oprogramowania OpenText Identity Console jako kontenera Dockera

Aby zatrzymać oprogramowanie, uruchom następujące polecenie:

docker stop identityconsole-container-name

Aby ponownie uruchomić oprogramowanie, uruchom następujące polecenie:

docker restart identityconsole-container-name

Aby uruchomić oprogramowanie, uruchom następujące polecenie:

docker start identityconsole-container-name

Zarządzanie trwałością danych

Wraz z kontenerami OpenText Identity Console są też tworzone wolumeny do obsługi trwałości danych. Aby użyć parametrów konfiguracyjnych starego kontenera przy użyciu woluminów, wykonaj następujące czynności:

  1. Zatrzymaj bieżący kontener Docker, używając następującego polecenia:

    docker stop identityconsole-container-name

    Przykład:

    docker stop identityconsole-container-1

  2. Utwórz drugi kontener, używając danych aplikacji starego kontenera przechowywanych na wolumenie Docker (IDConsole-volume-1).

    docker create --name identityconsole-container-name --network=host --volume IDConsole-volume-1:/config/ identityconsole:< version >

    Przykład:

    docker create --name identityconsole-container-2 --network=host --volume IDConsole-volume-1:/config/ identityconsole:<version>

  3. Uruchom drugi kontener, używając następującego polecenia:

    docker start identityconsole-container-name

    Przykład:

    docker start identityconsole-container-2

  4. (Opcjonalnie) Pierwszy kontener można usunąć, używając następującego polecenia:

    docker rm identityconsole-container-name

    Przykład:

    docker rm identityconsole-container-1

Wymiana certyfikatu serwera w kontenerze Docker

Aby wymienić certyfikat serwera w kontenerze Docker, wykonaj następujące czynności:

  1. Uruchom następujące polecenie, aby skopiować nowy certyfikat serwera w dowolnej lokalizacji kontenera.

    Przykład:

    docker cp /path/to/new-keys.pfx <container_id/name>:/tmp/new-keys.pfx

  2. Zaloguj się do kontenera, używając następującego polecenia:

    docker exec -it container_name bash

  3. Uruchom narzędzie NLPCERT, aby zapisać klucze jako pseudoużytkownik:

    LD_LIBRARY_PATH=/opt/novell/lib64/:/opt/novell/eDirectory/lib64/:/opt/netiq/common/openssl/lib64/ /opt/novell/eDirAPI/sbin/nlpcert -i /tmp/new-keys.pfx -o /etc/opt/novell/eDirAPI/conf/ssl/private/cert.pem

  4. Zakończ pracę konsoli kontenera za pomocą polecenia:

    exit

  5. Uruchom ponownie kontener, wprowadzając:

    docker restart container name

2.1.4 Instalowanie oprogramowania OpenText Identity Console w usłudze Azure Kubernetes Services

Azure Kubernetes Service (AKS) to zarządzana usługa Kubernetes, która umożliwia instalowanie klastrów i zarządzanie nimi. W tej części omówiono następujące procedury:

Instalowanie oprogramowania OpenText Identity Console w klastrze AKS

W tej części opisano następujące procedury instalowania oprogramowania OpenText Identity Console w klastrze usługi AKS:

Tworzenie rejestru Azure Container Registry (ACR)

Azure Container Registry (ACR) to oparty na platformie Azure prywatny rejestr dla obrazów kontenerów Dockera.

Aby uzyskać więcej informacji, zobacz Tworzenie rejestru kontenerów platformy Azure przy użyciu Azure Portal w sekcji Tworzenie rejestru kontenerów — portal lub wykonaj następujące czynności w celu utworzenia rejestru Azure Container Registry (ACR):

  1. Zaloguj się do portalu Azure.

  2. Wybierz kolejno opcje Utwórz zasób > Kontenery > Container Registry.

  3. Na karcie Podstawy podaj wartości w polach Grupa zasobów i Nazwa rejestru. Nazwa rejestru musi być unikatowa w obrębie platformy Azure i może zawierać od 5 do 50 znaków alfanumerycznych.

    Zaakceptuj wartości domyślne pozostałych ustawień.

  4. Następnie wybierz pozycję Przejrzyj i utwórz.

  5. Kliknij przycisk Utwórz.

  6. Zaloguj się w interfejsie wiersza polecenia platformy Azure i uruchom następujące polecenie w celu zalogowania się do Azure Container Registry..

    az acr login --name registryname

    Przykład:

    az acr login --name < idconsole >

  7. Pobierz serwer logowania Azure Container Registry za pomocą polecenia:

    az acr show --name registryname --query loginServer --output table

    Przykład:

    az acr show --name < idconsole > --query loginServer --output table

  8. Oznacz lokalny obraz Identity Console nazwą serwera logowania ACR (registryname.azureacr.io), używając następującego polecenia:

    docker tag idconsole-image <login server>/idconsole-image

    Przykład:

    docker tag identityconsole:<version> registryname.azurecr.io/identityconsole:<version>

  9. Wypchnij oznaczony obraz do rejestru.

    docker push <login server>/idconsole: <version>

    Przykład:

    docker push registryname.azurecr.io/identityconsole:<version>

  10. Pobierz listę obrazów w rejestrze za pomocą polecenia:

    az acr show --name registryname --query loginServer --output table

Ustawianie klastra Kubernetes

Utwórz zasób usługi Kubernetes za pomocą portalu Azure lub interfejsu wiersza polecenia.

Aby uzyskać bardziej szczegółowe kroki tworzenia zasobu usługi Kubernetes na platformie Azure z węzłem, zobacz Tworzenie klastra AKS w przewodniku Szybki start dla platformy Azure.

UWAGA:

  • Upewnij się, że jako sieć wybierasz Azure CNI.

  • Wybierz istniejącą sieć wirtualną (w której w podsieci jest zainstalowany serwer OpenText eDirectory).

  • Wybierz istniejący rejestr kontenerów, w którym dostępny jest obraz OpenText Identity Console.

Tworzenie standardowego publicznego adresu IP jednostki SKU

Zasób publicznego adresu IP w grupie zasobów klastra Kubernetes działa jako adres IP modułu równoważenia obciążenia dla aplikacji.

Aby uzyskać szczegółowe kroki, zobacz Tworzenie publicznego adresu IP przy użyciu Azure Portal w sekcji Tworzenie publicznego adresu IP — portal.

Konfigurowanie usługi Cloud Shell i nawiązywanie połączenia z klastrem Kubernetes

Do wszystkich operacji korzystaj z usługi Cloud Shell, która jest dostępna w portalu Azure.

Aby skonfigurować usługę Cloud Shell w portalu Azure, zobacz Uruchamianie usługi Cloud Shell w sekcji Bash — Szybki start, lub wykonaj następujące czynności w celu skonfigurowania usługi Cloud Shell i nawiązania połączenia z klastrem Kubernetes:

  1. W portalu Azure kliknij przycisk , aby otworzyć Cloud Shell.

    UWAGA:Aby zarządzać klastrem Kubernetes, użyj klienta wiersza poleceń Kubernetes kubectl. Jeśli korzystasz z Azure Cloud Shell, kubectl jest już zainstalowany.

  2. Skonfiguruj kubectl do łączenia się z klastrem Kubernetes, używając następującego polecenia:

    az aks get-credentials --resource-group "resource group name" --name "Kubernetes cluster name"

    Przykład:

    az aks get-credentials --resource-group myResourceGroup --name myAKSCluster

  3. Sprawdź listę węzłów klastra za pomocą polecenia:

    kubectl get nodes

Wdrażanie aplikacji

Do zainstalowania oprogramowania OpenText Identity Console możesz użyć przykładowych plików idc-services.yaml, idc-statefulset.yaml, idc-storageclass.yaml i idc-pvc.yaml.

Możesz także tworzyć własne pliki yaml zgodnie z wymaganiami.

  1. Utwórz zasób klasy pamięci masowej, używając poniższego polecenia:

    kubectl apply -f <location of the YAML file>

    Przykład:

    kubectl apply -f idc-storageclass.yaml

    (Opcjonalnie) Aby uzyskać więcej informacji na temat dynamicznego tworzenia i używania trwałego wolumenu przy użyciu udziału Azure Files, zobacz Dynamiczne tworzenie i korzystanie z trwałego woluminu za pomocą usługi Azure Files w usłudze Azure Kubernetes Service (AKS)

    Przykładowy plik zasobów klasy pamięci masowej przedstawiono poniżej:

    kind: StorageClass
apiVersion: storage.k8s.io/v1
metadata:
  name: azurefilesc
provisioner: kubernetes.io/azure-file
mountOptions:
  - dir_mode=0777
  - file_mode=0777
  - uid=0
  - gid=0
  - mfsymlinks
  - cache=strict
  - actimeo=30
parameters:
  skuName: Standard_LRS
  shareName: fileshare
~

    Zasób klasy pamięci masowej umożliwia dynamiczne zaopatrywanie pamięci masowej. Definiuje on sposób tworzenia udziału Azure Files.

  2. Szczegóły klasy pamięci masowej możesz wyświetlić, używając poniższego polecenia:

    kubectl get sc

  3. Utwórz zasób PVC, używając pliku idc-pvc.yaml:

    kubectl apply -f <location of the YAML file>

    Przykład:

    kubectl apply -f idc.pvc.yaml

    Przykładowy plik zasobu PVC przedstawiono poniżej:

    apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: pvcforsc
spec:
  accessModes:
    - ReadWriteMany
  storageClassName: azurefilesc
  resources:
    requests:
      storage: 5Gi

    Zasób PVC tworzy udział pliku. PVC (persistent volume claim) używa obiektu klasy pamięci masowej do dynamicznego zaopatrywania udziału plików platformy Azure.

  4. Przekaż plik edirapi.conf, certyfikat ośrodka certyfikacji i certyfikat serwera do Cloud Shell.

    Kliknij ikonę przycisku Przekaż/Pobierz pliki w Cloud Shell i przekaż pliki edirapi.conf, SSCert.pem oraz keys.pfx.

    UWAGA:Plik edirapi.conf ma parametr „origin”. W tym miejscu należy podać adres IP, za pomocą którego będzie uzyskiwany dostęp do oprogramowania OpenText Identity Console. (Użyj adresu IP utworzonego w części Tworzenie standardowego publicznego adresu IP jednostki SKU).

    Instalacja oprogramowania OpenText Identity Console wymaga certyfikatu serwera (keys.pfx).

    Podczas tworzenia certyfikatu serwera upewnij się, że w polu Alternatywna nazwa podmiotu została podana poprawna nazwa DNS.

    Kroki tworzenia prawidłowej nazwy DNS:

    Typowy zasobnik wdrożony przy użyciu obiektu StatefulSet ma nazwę DNS jak poniżej — {nazwa_zestawu_stanowego}-{liczba_porządkowa}.{nazwa_usługi}.{przestrzeń_nazw}.svc.cluster.local

    • Jeśli nazwa StatefulSet w pliku idconsole-statefulset.yaml to idconsole-app, wówczas nazwa_zestawu_stanowego = idconsole-app

    • Jeśli jest to pierwszy zasobnik, to liczba_porządkowa = 0

    • Jeśli jako nazwa_usługi w pliku idconsole -statefulset.yaml zdefiniujesz idconsole, to nazwa_usługi = idconsole

    • Jeśli jest to domyślna przestrzeń nazw, to przestrzeń_nazw = default

    Wynik: idconsole-app-0.idcosole.default.svc.cluster.local

  5. Utwórz zasób configmap w klastrze Kubernetes, który przechowuje pliki konfiguracyjne wraz z certyfikatami.

    Przed uruchomieniem polecenia upewnij się, że pliki (edirapi.conf, SSCert.pem i keys.pfx) znajdują się w katalogu.

    kubectl create configmap <confgimapName> --from-file= "path where the files are present"

    Przykład:

    kubectl create configmap config-data --from-file=/data

  6. Wyświetl szczegóły obiektu configmap, używając polecenia kubectl describe:

    kubectl describe configmap <configmapName>

    Przykład:

    kubectl describe configmap confg-data

  7. Utwórz zasób StatefulSet w celu wdrożenia kontenera.

    Uruchom następujące polecenie w celu wdrożenia kontenera:

    kubectl apply -f <location of the YAML file>

    Przykład:

    kubectl apply -f idc-statefulset.yaml

    Przykładowy plik zasobu StatefulSet przedstawiono poniżej:

    apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: idconsole-app
spec:
  serviceName: idconsole
  selector:
    matchLabels:
      app: idconsole
  replicas: 1
  template:
    metadata:
      labels:
        app: idconsole
    spec:
      containers:
      - name: idconsole-container
        image: registryname.azurecr.io/identityconsole:<version>
        env:
        - name: ACCEPT_EULA
          value: "Y"
        ports:
        - containerPort: 9000
        volumeMounts:
          - name: configfiles
            mountPath: /config/data
          - name: datapersistenceandlog
            mountPath: /config
            subPath: log
      volumes:
        - name: configfiles
          configMap:
            name: config-data
        - name: datapersistenceandlog
          persistentVolumeClaim:
            claimName: pvcforsc

  8. Uruchom następujące polecenie, aby sprawdzić stan wdrożonego zasobnika:

    kubectl get pods -o wide

  9. Utwórz zasób usługi typu loadBalancer.

    Typ usługi określony w pliku yaml to loadBalancer.

    Utwórz zasób usługi, używając następującego polecenia:

    kubectl apply -f <location of the YAML file>

    Przykład:

    kubectl apply -f ids-service.yaml

    Przykładowy plik zasobu usługi przedstawiono poniżej:

    apiVersion: v1
kind: Service
metadata:
  name: idconsole-service
  labels:
    run: idconsole-service
spec:
  type: LoadBalancer
  loadBalancerIP: xx.xx.xx.xx
  selector:
    app: idconsole
  ports:
   - port: 9000
     targetPort: 9000
     protocol: TCP

    Sprawdź adres ZEWNĘTRZNY-IP (lub adres IP modułu równoważenia obciążenia), używając następującego polecenia:

    kubectl get svc -o wide

  10. Uruchom adres URL, używając adresu ZEWNĘTRZNY-IP (lub adresu IP modułu równoważenia obciążenia).

    Przykład:

    https://<ZEWNĘTRZNY-IP>:9000/identityconsole