2.2 安装 OpenText Identity Console 1.8 及更早版本

2.2.1 安装独立 OpenText Identity Console（非 Docker）

您可以通过以下方式之一安装 OpenText Identity Console：

注：建议在同一台计算机上安装 OpenText Identity Console 和 OpenText eDirectory，该计算机必须至少有一个可用的 OpenText eDirectory 实例。

执行交互式安装

本节介绍如何使用交互式安装方法安装独立的 OpenText Identity Console。

  1. 登录到 Software License and Download 门户，然后导航到“软件下载”页面。

  2. 选择下列项目：

    • 产品：OpenText eDirectory

    • 产品名称：OpenText eDirectory per User Sub SW E-LTU

    • 版本：9.2

  3. 下载并解压缩 OpenText Identity Console 的最新版本。

  4. 导航至解压缩 Identity Console Build > IdentityConsole_Linux_Linux.<version> 的目录。

  5. 以 root user 或 root 等效用户的身份登录时运行以下命令：

    ./identityconsole_install

  6. 阅读“简介”内容，然后单击 Enter。

  7. 输入“y”接受许可协议。这将在您的系统上安装所有所需的 RPM。

  8. 输入 Identity Console 服务器的主机名（完全限定的域名 (FQDN)）/IP 地址。例如：10.10.33.100

    如果在未指定 IP 地址的情况下按 Enter 键，则默认情况下将使用系统的 IP 地址/主机名。

  9. 输入要侦听的 Identity Console 端口号。默认值为 9000。

  10. （视情况而定）根据您的要求执行以下操作之一：

    • 如果不想将 OSP 与 Identity Console 集成，请选择“n”并继续 步骤 11。

    • 如果要将 OSP 与 Identity Console 集成，请选择“y”并为以下步骤提供输入：

      1. 输入 eDirectory/身份库服务器的域名/IP 地址以及 LDAPS 端口号。

        例如：

        192.168.1.1:636

      2. 输入 eDirectory/身份库用户名。

        示例：

        cn=admin,ou=org_unit,o=org

      3. 输入 eDirectory/身份库口令。

      4. 再次输入 eDirectory/身份库口令以确认口令。

      5. 输入 OSP 服务器域名/IP 地址以及 SSO 服务器 SSL 端口号。

      6. 输入 OSP 客户端 ID 和 OSP 客户端密码。

      7. 输入 eDirectory/身份库目录树名称。

  11. 指定要连接的 eDirectory 主机。您可以提供 IP 地址或域名。例如：localhost：636，xx.xx.xx：636 或 edir.domain.com:636

    如果希望将 OpenText Identity Console 连接到 OpenText 多个 eDirectory 树，请输入其 IP 地址或域名，用逗号分隔。

    注：如果希望将 OpenText Identity Console 连接到多个 OpenText eDirectory 树，请输入其 IP 地址或域名，用逗号分隔。

  12. （视情况而定）执行以下操作之一以导入 CA 证书：

    • 如果要从服务器导入 CA 证书，请输入“y”并按 Enter 键。然后，输入 eDirectory 服务器域名/IP 地址以及 LDAPS 端口号。

      示例：10.10.10.10:636

    • 如果不想从服务器导入 CA 证书，请输入“n”并按 Enter 键。然后，手动提供 CA 证书目录路径的位置。

    • 如果输入“q”，则安装将终止。

  13. （视情况而定）执行以下操作之一以生成服务器证书：

    • 如果要生成服务器证书，请输入“y”并按 Enter 键。为以下步骤提供输入：

      1. 输入 eDirectory 服务器域名或 IP 地址以及 LDAPS 端口号。

      2. 输入 eDirectory 用户名。例如：cn=admin，o=novell。

      3. 输入 eDirectory 用户口令。

      4. 重新输入 eDirectory 用户口令。

      5. 输入服务器证书名称。

        示例：servercert

      6. 输入服务器证书口令。

        示例：password@123

      7. 重新输入服务器证书口令。

        示例：password@123

    • 如果已拥有要使用的服务器证书，请输入“n”并按 Enter 键。为以下步骤提供输入：

      1. 手动指定服务器证书目录路径的位置。

        例如，/home/cert/keys.pfx

      2. 输入服务器证书口令。

      3. 重新输入服务器证书口令。

注：

  • /var/opt/novell/eDirAPI/log 目录中将有下列日志文件：

    • Edirapi.log - 此文件记录 edirapi 事件和调试问题。

    • edirapi_audit.log - 此文件记录 edirapi 审计事件。日志遵循 CEF 审计格式。

    • identityconsole_install.log - 此文件记录 OpenText Identity Console 事件。

  • 您可以在 /var/log/messages 文件中查看 OpenText Identity Console 启动和停止操作的日志。

  • 在生成 CA 证书和服务器证书时，请确保在解压位置的 IdentityConsole_<version>_Linux 目录下运行 OpenText Identity Console 安装程序。

  • 如果安装失败，无需卸载现有的 OpenText Identity Console，用户可运行以下命令：

    /usr/bin/identityconsoleConfigure

用于生成证书的实用程序

您可以使用以下工具或实用程序为其他树获取 CA 证书和服务器证书。

注：CA 和服务器证书的脚本位于 opt/novell/eDirapi/sbin 路径中。

生成 CA 证书

  1. 下载并解压缩 OpenText Identity Console 的最新版本。

  2. 导航到解压缩 OpenText Identity Console build > IdentityConsole_<version>_Linux 的目录。

  3. 以 root user 或 root 等效用户的身份登录时运行以下命令：

    ./get_cacert

  4. 输入 eDirectory IP 地址和 LDAPS 端口号。示例：10.10.10.10:636。

可信根证书已从服务器成功复制到 /tmp/SSCert.pem。

生成服务器证书

  1. 下载并解压缩 OpenText Identity Console 的最新版本。

  2. 导航到解压缩 OpenText Identity Console build > IdentityConsole_<version>_Linux 的目录。

  3. 以 root user 或 root 等效用户的身份登录时运行以下命令：

    ./get_servercert <eDirectory IP address with LDAPS port number> <eDirectory/Identity Vault username> <userpassword> <server certificate name> <server certificate password> <path_of_CA _certificate with filename> <path of server certificate with filename>

    示例：

    ./get_servercert 10.10.10.10:636 cn=admin,ou=org_unit,o=org password keys password /var/opt/novell/eDirectory/data/SSCert.pem /home/user/keys.pfx

以无提示模式安装

无提示安装使您能够在无需任何交互式输入的情况下安装 OpenText Identity Console。要使用此方法，必须定义用于在 silent_properties 文件中安装 OpenText Identity Console 的选项，然后从命令行运行安装过程。要创建 silent_properties 文件，可以使用 OpenText Identity Console 版本1.7.2和更高版本附带的 create_silent_properties 实用程序。生成属性文件后，系统将使用此文件中的信息以无提示方式完成安装。

在开始无提示安装之前，请确保满足所有 前提条件。

要生成无提示属性文件，请执行以下操作：

  1. 在解压缩 OpenText Identity Console 版本的位置，导航到 IdentityConsole_OpenText_Linux 目录。

  2. 运行以下命令以使用 create_silent_properties 实用程序：

    ./create_silent_properties

  3. 输入 Identity Console 服务器主机名或 IP 地址。例如，10.0.0.1。

  4. 输入要让 Identity Console 侦听的端口号。例如，9000。

  5. （视情况而定）根据您的要求执行以下操作之一：

    • 如果不想将 OSP 与 Identity Console 集成，请选择“n”并继续执行步骤 6。

    • 如果要将 OSP 与 Identity Console 集成，请选择“y”并为以下步骤提供输入：

      1. 输入 eDirectory/身份库服务器的域名/IP 地址以及 LDAPS 端口号。

        例如：

        192.168.1.1:636

      2. 输入 eDirectory/身份库用户名。

        示例：

        cn=admin,ou=org_unit,o=org

      3. 输入 eDirectory/身份库口令。

      4. 再次输入 eDirectory/身份库口令以确认口令。

      5. 输入 OSP 服务器域名/IP 地址以及 SSO 服务器 SSL 端口号。

      6. 输入 OSP 客户端 ID 和 OSP 客户端密码。

      7. 输入 eDirectory/身份库目录树名称。

  6. 输入要让 Identity Console 建立连接的 eDirectory 服务器主机名或 IP 地址。例如，10.10.10.10:636。

  7. 输入要让 Identity Console 建立连接的 eDirectory 服务器主机名或 IP 地址。例如，10.10.10.10:636。

  8. 输入服务器证书的目录路径，包括文件名。例如，/home/cert/keys.pfx。

  9. 输入服务器证书口令。

  10. 重新输入服务器证书口令。

    无提示属性 文件已在 IdentityConsole_<version>_Linux 位置成功生成。

要执行无提示安装，请执行以下操作：

  1. 生成无提示属性文件后，运行以下命令以无提示模式运行安装程序：

    ./identityconsole_install -s silent_properties

  2. 输入 eDirectory 服务器域名或 IP 地址以及 LDAPS 端口号。示例：10.10.10.10:636

您可以在 Identity Console 安装 > identityconsole_install.log 文件中找到与安装相关的日志。

具有独立 OpenText Identity Console 的多树

要将 OpenText Identity Console 与多个 OpenText eDirectory 树连接，必须在位于 /etc/opt/novell/eDirAPI/conf/的 edirapi.conf 文件中提供 OpenText eDirectory IP 和 LDAPS 端口，以逗号分隔。此外，还必须将所有 OpenText eDirectory 树中的 CA 证书复制到 /etc/opt/novell/eDirapi/cert/ 目录中。

例如，要将 OpenText Identity Console 连接到三个 OpenText eDirectory 树，请提供以下格式的 IP 地址：

edir-hosts="10.0.0.1:636,10.0.0.2:636,10.0.0.3:636"

然后按如下方式复制 CA 证书：

cp /home/user/SSCert1.pem /etc/opt/novell/eDirAPI/cert/SSCert1.pem
cp /home/user/SSCert2.pem /etc/opt/novell/eDirAPI/cert/SSCert2.pem
cp /home/user/SSCert3.pem /etc/opt/novell/eDirAPI/cert/SSCert3.pem

运行以下命令之一以重启动 OpenText Identity Console：

  • /usr/bin/identityconsole restart
  • systemctl restart netiq-identityconsole.service

修改独立 OpenText Identity Console 中的服务器证书

执行以下步骤，修改独立 OpenText Identity Console 中的服务器证书：

  1. 运行 NLPCERT 来储存密钥：

    su - nds -c "LD_LIBRARY_PATH=/opt/novell/lib64/:/opt/novell/eDirectory/lib64/:/opt/netiq/common/openssl/lib64/ /opt/novell/eDirAPI/sbin/nlpcert -i /Expiredcert/noexpire/new-keys.pfx -o /etc/opt/novell/eDirAPI/conf/ssl/private/cert.pem"

  2. 重启动 OpenText Identity Console：

    systemctl restart netiq-identityconsole.service

停止和重启动独立 OpenText Identity Console

  • 要停止，运行以下命令之一：

    /usr/bin/identityconsole stop

    或者

    systemctl stop netiq-identityconsole.service

  • 要重启动，运行以下命令之一：

    /usr/bin/identityconsole restart

    或者

    systemctl restart netiq-identityconsole.service

  • 要启动，运行以下命令之一：

    /usr/bin/identityconsole start

    或者

    systemctl start netiq-identityconsole.service

2.2.2 在 Windows 上安装 OpenText Identity Console Workstation

OpenText Identity Console （1.5 和更高版本）可以在 Windows 上作为工作站启动，并且需要运行 REST 服务。因此，当它启动时，eDirAPI 进程将在 edirapi.exe cmd 提示符中运行。如果关闭 edirapi.exe 终端，OpenText Identity Console将不再运行。

以下操作过程介绍如何在 Windows 上运行 OpenText Identity Console。

  1. 登录到 Software License and Download 门户，然后导航到“软件下载”页面。

  2. 选择下列项目：

    • 产品：OpenText eDirectory

    • 产品名称：eDirectory per User Sub SW E-LTU

    • 版本：9.2

  3. 下载并解压缩 IdentityConsole_<version>_workstation_win_x86_64.zip。

  4. 导航至解压的文件夹，根据系统配置安装 NICI_w32 或 NICI_wx64 。

  5. （视情况而定）如果已拥有要使用的 keys.pfx 和 SSCert.pem 文件，手动将文件复制到 cert 文件夹，此文件夹位于 C:\IdentityConsole_<version>_workstation_win_x86_64\eDirAPI\cert。

    然后继续执行 步骤 9。

  6. （视情况而定）如果要生成 CA 证书，导航至 eDirAPI 文件夹，在 Power Shell 中运行 get_cacert.exe 二进制文件，该文件位于 C:\IdentityConsole_<version>_workstation_win_x86_64\eDirAPI，并提供以下详细信息：

    • eDirectory/身份库服务器域名/IP 地址以及 LDAPS 端口号。

    • 具有证书名称的可信根 CA 证书路径。

    例如：

    get_cacert.exe 10.10.10.125:636 C:\IdentityConsole_<version>_workstation_win_x86_64\eDirAPI\cert\SSCert.pem

    SSCert.pem 文件已生成。

  7. （视情况而定）如果要生成服务器证书，请通过Power Shell运行 get_servercert.exe 二进制文件，并提供以下详细信息：

    • eDirectory/身份库服务器域名/IP 地址以及 LDAPS 端口号。

    • eDirectory/身份库用户名。

    • eDirectory/身份库口令。

    • 服务器证书名。

    • 服务器证书口令。

    • 具有证书名称的可信根 CA 证书路径。

    • 具有证书名称的可信根服务器证书路径（keys.pfx 是硬编码）。

    例如：

    get_servercert.exe 10.10.10.125:636 cn=admin,o=novell novell keys novell C:\IdentityConsole_<version>_workstation_win_x86_64\eDirAPI\cert\SSCert.pem C:\IdentityConsole_<version>_workstation_win_x86_64\eDirAPI\cert\keys.pfx

    生成 keys.pfx 文件。

  8. 将文件 keys.pfx 和 SSCert.pem （在 步骤 6 和 步骤 7中生成）手动复制到 cert 文件夹中。

  9. 导航到解压缩的文件夹，双击 configure.bat 文件，然后在命令提示符下输入服务器证书 (keys.pfx) 口令。

    注：如果服务器证书已更改，则使用新证书的口令重新运行 configure.bat 文件。

  10. 导航至解压缩的文件夹，然后双击 run.bat 文件。

    eDirAPI 进程终端 (edirapi.exe) 开始运行，并显示 Identity Console 登录页面。

注：

  • 若之后需要登录到 OpenText Identity Console 应用程序，请双击 run.bat。随即显示登录页面。

    如果 eDirAPI 进程终端 (edirapi.exe) 已在运行，则从提取版本的文件夹中运行 identityconsole.exe。

  • 用户可以在 \IdentityConsole_<version>_workstation_win_x86_64\eDirAPI\log 中查看下列日志

    edirapi.log - 用于记录 edirapi 中的不同事件和调试问题。

    edirapi_audit.log - 用于记录 edirapi 的审计事件。日志遵循 CEF 审计格式。

  • 在工作站模式下不支持基于 OSP 的登录。

  • OpenText Identity Console 工作站正在侦听端口 9000。请勿修改 edirapi_win.conf 文件。

用于生成证书的实用程序

您可以使用以下实用程序为其他 OpenText eDirectory 树获取 CA 证书和服务器证书。

注：CA 和服务器证书的脚本位于 opt/novell/eDirapi/sbin 路径中。

生成 CA 证书

  1. 下载并解压缩 OpenText Identity Console 的最新版本。

  2. 导航到在其中提取 OpenText Identity Console 版本的目录。示例：C:\IdentityConsole_<version>_workstation_win_x86_64\eDirAPI

  3. 通过命令提示符运行以下二进制文件。

    get_cacert.exe

  4. 提供 eDirectory IP 地址和 LDAPS 端口号。

    示例：get_cacert.exe 10.10.10.125:636

    SSCert.pem 文件已生成。将 SSCert.pem 手动复制到 cert 文件夹中。

生成服务器证书

  1. 导航到在其中提取 OpenText Identity Console 版本的文件夹。

    示例：IdentityConsole_Console_WIN_WIN <version>

  2. 通过命令提示符运行 get_servercert.exe help 以获得更多帮助选项。

    • eDirectory/身份库服务器域名/IP 地址以及 LDAPS 端口号。

    • eDirectory/身份库用户名。

    • eDirectory/身份库口令。

    • 服务器证书名。

    • 服务器证书口令。

    • 具有证书名称的可信根证书路径。

      要生成服务器证书，通过命令提示符运行以下命令：

      示例：

      get_servercert.exe 10.10.10.125:636 cn=admin,o=novell novell keys novell SSCert.pem

      生成 keys.pfx 文件。将 keys.pfx 手动复制到 cert 文件夹中。

将 OpenText Identity Console 作为工作站的多树

OpenText Identity Console 允许用户通过获取树的单个证书颁发机构证书来连接到多树。

  1. 关闭 OpenText Identity Console 工作站和 eDirAPI 终端。

  2. 将证书颁发机构证书 SSCert.pem 复制到以下位置：IdentityConsole_<version>_workstation_win_x86_64\eDirAPI\cert。

    例如，如果要连接到三个 eDirectory 树，请将证书颁发机构证书分别复制为 SSCert1.pem、 SSCert2.pem 和 SSCert3.pem 。

  3. 导航到提取版本的文件夹，然后双击 run.bat 文件（Windows 批文件）。

关闭并重启 OpenText Identity Console 工作站

要关闭应用程序和进程：

  1. 关闭 OpenText Identity Console 桌面窗口应用程序。

  2. 通过关闭 eDirAPI 进程终端停止 eDirAPI 进程。

要重启 OpenText Identity Console 工作站，请导航到提取版本的文件夹，然后双击 run.bat 文件（Windows 批文件）。

注：如果 eDirAPI 进程终端已在运行，则从版本提取文件夹中运行 identityconsole.exe 以重启 OpenText Identity Console 工作站。

2.2.3 将 OpenText Identity Console 安装为 Docker Container

请参阅 部分将 OpenText Identity Console 安装为 Docker 容器。

2.2.4 在 Azure Kubernetes Services 中安装 OpenText Identity Console

请参阅 部分在 Azure Kubernetes Services 中安装 OpenText Identity Console。