18.7 升级 Identity Applications

本节提供有关升级 Identity Applications 和支持软件的信息，其中包括更新以下组件的内容：

OpenText Identity Manager User Application
Self-Service Password Reset (SSPR)
Tomcat、JDK 和 ActiveMQ
PostgreSQL 数据库
One SSO Provider (OSP)

重要说明：OpenText Identity Manager 4.10 要求将 Identity Applications 和 OSP 安装在同一台计算机上。升级到此版本时，请使用升级 Identity Applications 时安装的 OSP，然后将现有 OSP 服务器中的 OSP 设置复制到新的 OSP 服务器。有关详细信息，请参见Identity Applications 组件的升级后任务。

本节提供有关以下主题的信息：

18.7.1 升级注意事项

Identity Applications 升级过程可能会因您升级 Identity Applications 组件的方式而异。在升级 Identity Applications 之前，请注意以下事项：

在开始执行 Identity Applications 的升级过程之前，如果您使用 Oracle 或 MS SQL 数据库，则必须创建 igaworkflowdb，并向拥有这些数据库的 idmadmin 用户指派所有特权。
在将 Identity Applications 组件从 OpenText Identity Manager 4.9 升级到 4.10 之前，请先使用工作流程迁移工具将数据从 Identity Applications 数据库 (idmuserappdb) 导出到工作流程引擎数据库 (igaworkflowdb)。有关详细信息，请参见《OpenText™ Identity Manager CE 24.4 (v4.10) - Administrator’s Guide to the Identity Applications》（OpenText™ Identity Manager CE 24.4 (v4.10) - Identity Applications 管理员指南）中的“Migrating Data from Identity Applications Database into Workflow Engine Database”（将数据从 Identity Applications 数据库迁移到工作流程引擎数据库）。
如果 Identity Applications 和 SSPR 安装在不同的服务器上，则您可以选择单独升级 SSPR。
在升级过程中，请确保校验数据库名称和其他默认值，并根据需要进行修改。

OpenText Identity Manager 支持在 Identity Applications 服务器本地安装 OSP。升级程序不支持将 OSP 独立升级到此版本，在升级 Identity Applications 时，它会安装 OSP 的新副本。要将现有 OSP 设置恢复到新安装的 OSP，请参见Identity Applications 组件的升级后任务中的 One SSO Provider。

表 18-1 Identity Applications 的升级过程

Identity Applications 部署	升级过程
Identity Applications、SSPR 和 OSP 安装在同一台服务器上	要升级所有组件，请按照升级 Identity Applications中的步骤操作。
Identity Applications 和 OSP 安装在同一台服务器上。SSPR 安装在其他服务器上。	要升级 Identity Applications 和 OSP，请按照升级 Identity Applications中的步骤操作。要升级其他服务器上的 SSPR，请按照升级 SSPR中的步骤操作。
Identity Applications 未与 SSPR 和 OSP 安装在同一台服务器上。在这种情况下，SSPR 可以安装在 Identity Applications 服务器或单独的服务器上。但是，OSP 必须安装在 Identity Applications 服务器上。	要升级 Identity Applications 和 OSP，请按照升级 Identity Applications中的步骤操作。要升级其他服务器上的 SSPR，请按照升级 SSPR中的步骤操作。起动配置更新实用程序，并提供安装了 OSP 的新服务器的细节。在本例中，新服务器是安装了 Identity Applications 的服务器。有关更多信息，请参见 SSO 客户端参数。

18.7.2 系统要求

升级过程会为所安装组件的当前配置创建备份。确保服务器具有足够储存备份的空间，另外还有可供升级的可用空间。有关更多信息，请参见 System Requirements for OpenText™ Identity Manager CE 24.4 (v4.10)（OpenText™ Identity Manager CE 24.4 (v4.10) 系统要求）。

18.7.3 了解升级程序

升级进程会从现有组件中读取配置值。这些信息包括 ism-configuration.properties、server.xml、SSPRConfiguration.xml 和其他配置文件。当您使用这些配置文件时，升级过程会在内部调用指定组件的升级程序。此外，升级程序还会创建当前安装的备份。

18.7.4 升级 PostgreSQL

注：在将 PostgreSQL 与其他 OpenText Identity Manager 组件一起升级之前（例如，当身份库，NGINX 服务和 PostgreSQL 数据库都位于同一服务器上时），请确保将现有的 OpenSSL RPM 文件（尚未升级）复制到现有的 PostgreSQL lib 目录中。使用以下命令：

cp -rpf /opt/netiq/common/openssl/lib64/* /opt/netiq/idm/postgres/lib

未能执行此步骤可能导致用户遇到以下错误讯息：输入的口令错误。输入正确的身份凭证。（即使口令正确）。要解决此错误，请参阅安装程序控制台中提供的帮助。

下载并解压缩 Identity_Manager_4.10.0_linux.iso。
导航到 /common/scripts 目录。
运行以下命令：

./pg-upgrade.sh
指定以下细节以完成安装：

现有 Postgres 的安装位置： 指定 PostgreSQL 的安装位置。默认位置为 /opt/netiq/idm/postgres/。

注：确保 Postgres 用户对 /opt/netiq/idm/postgres 目录具有相应的许可权限。

现有的 Postgres 数据目录： 指定 PostgreSQL 数据目录所在的位置。默认位置为 /opt/netiq/idm/postgres/data。

现有的 Postgres 数据库口令： 指定 PostgreSQL 口令。

新的 Postgres 数据目录： 指定新的 PostgreSQL 数据目录。例如 /opt/netiq/idm/postgres_new/data。

18.7.5 升级 Identity Applications 组件

升级 Identity Applications 的驱动程序包

您必须停止 Tomcat，并将 User Application 驱动程序、Role and Resource Service 驱动程序，以及数据收集服务驱动程序的包更新到最新版本。有关将包升级到最新版本的信息，请参见《Designer Administration Guide for OpenText™ Identity Manager CE 24.4 (v4.10)》（OpenText™ Identity Manager CE 24.4 (v4.10) Designer 管理指南）中的“Upgrading Installed Packages”（升级安装的包）。

升级 User Application 驱动程序包后，必须手动添加工作流程模板包：

在 Designer 中，导航到 User Application 驱动程序并选择“属性”。
依次单击“包”、。
选中仅显示适用的包版本复选框。
选择创建工作流程模板。
单击确定，然后单击完成以完成安装。
部署 User Application 驱动程序。

重要说明：如果在升级 User Application 驱动程序的过程中安装或升级了任何电子邮件通知模板，则需要部署默认通知集合对象。

升级 Identity Applications

下面的过程介绍如何升级 Identity Applications。

从 OpenText 下载网站下载 Identity_Manager_4.10.0_Linux.iso。
装入下载的 .iso。
运行以下命令：

./install.sh
通读许可协议。
输入 y 以接受许可协议。
指定是否要升级 Identity Applications。可用选项有 y 和 n。
如果您要继续升级，请指定以下细节：
用于备份的 OSP 安装文件夹

仅当 OSP 和 Identity Applications 安装在同一台服务器上时才适用。

指定用于储存 OSP 备份数据的 OSP 备份文件夹。

SSPR 安装文件夹

仅当 SSPR 和 Identity Applications 安装在同一台服务器上时才适用。

指定 SSPR 安装文件夹。

在系统中未找到 SSPR。是否要安装并配置？
仅当 Identity Applications 和 SSPR 安装在不同的服务器上时才适用。

如果您选择 y，则 SSPR 将安装在安装了 Identity Applications 的服务器上。您需要将现有的自定义设置复制到安装 SSPR 的新服务器上。
SSPR 配置口令：指定 SSPR 配置口令。

One SSO 服务器 DNS/IP 地址：指定安装了 OSP 的服务器的 IP 地址。

One SSO 服务器 SSL 端口：指定 OSP SSL 端口。
如果您选择 n，将不会安装 SSPR，但会升级 Identity Applications。
User Application 安装文件夹

指定 User Application 安装文件夹。

Identity Applications One SSO 服务口令

指定 One SSO 口令。指定的口令将更新您在配置更新实用程序中为所有客户端配置的客户端机密。如果需要，您可以从配置更新实用程序重设置相应客户端的口令。有关更多信息，请参见SSO 客户端参数。

Identity Applications 数据库 JDBC jar 文件

指定数据库 JAR 文件。例如，如果您要使用安装在同一台服务器上的 PostgresQL 数据库，则现有数据库 jar 文件的默认位置为 /opt/netiq/idm/postgres/postgresql-42.6.1.jar。

创建 Identity Applications 的纲要

指定何时创建数据库纲要。可用选项有现在、启动和文件。默认选项为现在。

注：如果您要使用 MsSQL 或 Oracle，并向 idmadmin 用户指派对此数据库的所有特权，则必须创建 igaworkflowdb。

Identity Applications 数据库用户口令

指定数据库用户口令。

Identity Applications 数据库管理员口令

指定数据库管理员口令。
启动 Tomcat。如果您选择立即创建数据库纲要，请选择现在。

systemctl start netiq-tomcat.service

（可选）在升级过程中，如果您选择启动或写入文件选项来创建数据库纲要，则必须将数据导入到工作流程数据库。OpenText™ Identity Manager CE 24.4 (v4.10) - Administrator’s Guide to the Identity Applications（OpenText™ Identity Manager CE 24.4 (v4.10) - Identity Applications 管理员指南）中的“Migrating Data from Identity Applications Database into Workflow Engine Database”（将数据从 Identity Applications 数据库迁移到工作流程引擎数据库）。
重启动 NGINX 服务。

systemctl restart netiq-nginx.service

升级 SSPR

在高级版中，如果 SSPR 未与 Identity Applications 安装在同一台服务器上，请使用此方法。

在标准版中，只能通过此方法升级 SSPR。

要升级 SSPR，请执行以下操作：

从 OpenText 下载网站下载 Identity_Manager_4.10.0_Linux.iso。
装入下载的 .iso。
从 .iso 文件的根目录导航到 sspr 目录。
运行以下命令：

./install.sh
通读许可协议。
输入 y 以接受许可协议。
指定 y 以升级 SSPR。
指定身份库管理员口令并完成升级。

18.7.6 Identity Applications 组件的升级后任务

在开始使用 Identity Applications 之前，请执行以下任务：

手动删除先前版本的 Tomcat 和 ActiveMQ 服务。例如，运行以下命令：

/etc/init.d/idmapps_tomcat_init

/etc/init.d/idmapps_activemq_init
必须手动恢复 Tomcat、SSPR、OSP 和 Kerberos 的自定义设置。
Identity Applications 服务器的密钥存储区 (idm.jks) 中应存在 CN 为 Identity Applications 的证书。作为增强的 Java 安全措施的一部分，Identity Applications 现在需要可信证书才能与 OSP 通讯。
使用现有的 Identity Applications 密钥存储区文件将已签名证书导入到 idm.jks 中。例如：

./keytool -import -alias mycerts -keystore /opt/netiq/idm/apps/tomcat/conf/idm.jks -file /opt/certs/chap8.der

注：从版本 4.9 升级到 4.10 时需要执行此步骤。

如果您是在群集环境中升级 Identity Applications，则必须在升级 Identity Applications 之后执行以下步骤：

导航到 /opt/netiq/idm/apps/tomcat/conf 目录，然后在 context.xml 文件的 Context 标记中添加下面一行：

<Manager notifyListenersOnReplication="true" expireSessionsOnShutdown="false" className="org.apache.catalina.ha.session.DeltaManager"/>

导航到 /opt/netiq/idm/apps/tomcat/conf 目录，然后在 server.xml 文件的 Cluster 标记中添加下面一行：

<Channel className="org.apache.catalina.tribes.group.GroupChannel">
            <Membership className="org.apache.catalina.tribes.membership.McastService"
                        address="228.0.0.4"
                        port="45564"
                        frequency="500"
                        dropTime="3000"/>
            <Receiver className="org.apache.catalina.tribes.transport.nio.NioReceiver"
                      address="auto"
                      port="5000"
                      selectorTimeout="100"
                      maxThreads="6"/>

            <Sender className="org.apache.catalina.tribes.transport.ReplicationTransmitter">
              <Transport className="org.apache.catalina.tribes.transport.nio.PooledParallelSender"/>
            </Sender>
            <Interceptor className="org.apache.catalina.tribes.group.interceptors.TcpFailureDetector"/>
            <Interceptor className="org.apache.catalina.tribes.group.interceptors.MessageDispatchInterceptor"/>
            <Interceptor className="org.apache.catalina.tribes.group.interceptors.ThroughputInterceptor"/>
          </Channel>

          <Valve className="org.apache.catalina.ha.tcp.ReplicationValve"
                 filter=".*\.gif|.*\.js|.*\.jpeg|.*\.jpg|.*\.png|.*\.htm|.*\.html|.*\.css|.*\.txt"/>

          <Deployer className="org.apache.catalina.ha.deploy.FarmWarDeployer"
                    tempDir="/tmp/war-temp/"
                    deployDir="/tmp/war-deploy/"
                    watchDir="/tmp/war-listen/"
                    watchEnabled="false"/>

          <ClusterListener className="org.apache.catalina.ha.session.ClusterSessionListener"/>

将主节点中的以下文件复制到所有 User Application 节点：
- ism-sensitive.properties
- ism-configuration.properties
- encrypt-keys.pkcs12

如果您的数据库是通过 SSL 配置的，请在位于 /opt/netiq/idm/apps/tomcat/conf/ 路径下的 server.xml 文件中，将 ssl=true 替换为 sslmode=require。

例如，将
```
jdbc:postgresql://<postgres db>:5432/idmuserappdb?ssl=true
```
更改为
```
jdbc:postgresql://<postgres db>:5432/idmuserappdb?sslmode=require
```

Tomcat

在群集环境中，手动取消注释 server.xml 中的 Cluster 标记，然后将第一个节点上 /opt/netiq/idm/apps/osp_backup_<日期> 中的 osp.jks 复制到所有节点上。
如果您自定义了密钥存储区文件，请在新 server.xml 文件中包括正确的路径。

SSPR

如果 Identity Applications 和 SSPR 部署在不同的服务器上，而您选择将现有的 SSPR 自定义设置恢复到安装了 SSPR 的新服务器，请务必使用 ConfigUpdate 实用程序修改新 SSPR 服务器上的 SSPR 设置。有关详细信息，请参见SSO 客户端参数。

One SSO Provider

如果在升级前的设置中，Identity Applications 和 OSP 部署在不同的服务器上，请将现有的 OSP 设置复制到安装了 OSP 的新服务器（Identity Applications 服务器），然后在此服务器上运行安装套件中的 merge_jars 方法来恢复设置。

在升级了 Identity Applications 的服务器上停止 Tomcat（升级 Identity Applications 时会安装 OSP）。
恢复自定义设置。
1. 导航到现有 OSP 服务器中的 OSP 安装目录，找到 osp-custom-resource.jar 文件。
  
  例如 /opt/netiq/backup_idm/osp/osp-extras/l10n-resources/osp-custom-resource.jar。
2. 将 osp-custom-resource.jar 文件复制到升级了 Identity Applications 的服务器上的某个位置。
3. 导航到 <Identity_Manager_4.10.0_Linux.iso 装入位置>/osp/scripts/merge_cust_loc.sh。
  
  此脚本包含用于将现有自定义设置合并到新安装的 OSP 的 merge_jars 方法。
4. 打开命令提示符并运行以下命令：
```
merge_jars ${IDM_BACKUP_FOLDER in the remote OSP server}/tomcat/lib/osp-custom-resource.jar ${IDM 4.10_OSP_INSTALLED_HOME}/osp-extras/l10n-resources/osp-custom-resource.jar)
```
  例如：
```
merge_jars /opt/netiq/backup_idm/osp/osp-extras/l10n-resources/osp-custom-resource.jar /opt/netiq/idm/apps/osp/osp-extras/l10n-resources/osp-custom-resource.jar
```
  其中，backup_idm 目录包含现有 OSP 服务器中的 OSP 设置。
在安装了 OSP 的新服务器上启动 Tomcat。

要更新其他设置，请参见SSO 客户端参数。

Kerberos

升级实用程序会在计算机上创建新的 Tomcat 文件夹。如果任何 Kerberos 文件（例如 keytab 和 Kerberos_login.config）驻留在旧 Tomcat 文件夹中，请从备份文件夹中将这些文件复制到新 Tomcat 文件夹。

18.7.7 升级后校验版本号

升级到 OpenText Identity Manager 4.10 后，请校验组件是否已升级到以下版本：

Tomcat - 9.0.95.0
ActiveMQ - 5.18.4.0
Java – 11.76.21.1_222
One SSO Provider - 6.7.7.0
Self-Service Password Reset - 4.8.0.1