37.3 以无提示模式安装 Identity Applications

本节介绍如何执行 Identity Applications 的无提示安装。在执行无提示安装的过程中无需交互操作，因而节省了您的时间，特别是在多个服务器上执行安装时尤为明显。只能在支持的 Linux 计算机上执行无提示安装。

要准备安装，请查看部分 37.1, Identity Applications 安装核对清单中所列的活动。另请参见版本随附的《发行说明》。

此过程包括以下活动：

37.3.1 在环境中为无提示安装设置口令

不要在 .properties 文件中指定配置口令，可在环境中设置该口令。在这种情况下，无提示安装程序将从环境读取口令，而不是从 silent.properties 文件中读取。这可以补充一些安全性。

必须为安装指定以下口令：

  • NOVL_DB_USER_PASSWORD

  • NOVL_CONFIG_DBADMIN_PASSWORD

  • NOVL_CONFIG_LDAPADMINPASS

  • NOVL_CONFIG_KEYSTOREPASSWORD

Linux

使用 export 命令。例如：

export NOVL_DB_USER_PASSWORD=myPassWord
Windows

使用 set 命令。例如：

set NOVL_DB_USER_PASSWORD=myPassWord

37.3.2 编辑 .properties 文件

在执行无提示安装或配置之前，必须编辑 .properties 文件中的参数值。本节中的表格提供了参数列表。这些参数对应于基本安装参数，用于配置 RBPM 和 Identity Applications。有关指定参数值的详细信息，请参见部分 37.2, 使用引导式过程安装 Identity Applications和部分 40.0, 配置 Identity Applications 的设置。

  1. 以 root 身份登录到要安装 Identity Applications 的计算机

  2. 确保将 silent.properties 文件储存在本地计算机上。

    默认情况下，可以在 Identity Manager 安装包 .iso 映像文件的 products/rbpm/user_app_install 目录中找到该文件。

  3. 打开 user_app.install.properties 文件。

  4. 修改 .properties 文件中的以下参数：

silent.properties 中的参数名称

Identity Applications 配置参数文件中的等效参数名称

NOVL_CONFIG_LDAPHOST=

eDirectory 连接设置：LDAP 主机。

为 LDAP 服务器指定主机名或 IP 地址。

NOVL_CONFIG_LDAPADMIN=

eDirectory 连接设置：LDAP 管理员。

指定 LDAP 管理员的身份凭证。该用户必须已经存在。 User Application 使用此帐户来建立与身份库的管理连接。 此值已使用主密钥进行过加密。

NOVL_CONFIG_LDAPADMINPASS=

eDirectory 连接设置：LDAP 管理员口令。

指定 LDAP 管理员口令。此口令已使用主密钥进行过加密。

NOVL_CONFIG_ROOTCONTAINERNAME=

eDirectory DN：根容器 DN。

指定根容器的 LDAP 判别名。如果没有在目录抽象层中指定搜索根，则将该判别名用作默认的实体定义搜索根。

NOVL_CONFIG_PROVISIONROOT=

eDirectory DN：供应驱动程序 DN。

指定 User Application 驱动程序的判别名。例如，如果驱动程序为 UserApplicationDriver，驱动程序集称为 myDriverSet，并且驱动程序集位于环境 o=myCompany 中，则可以输入以下值：

cn=UserApplicationDriver,cn=
myDriverSet,o=myCompany

NOVL_CONFIG_LOCKSMITH=

eDirectory DN：User Application Admin。

身份库中有权执行所指定 User Application 用户容器的管理任务的现有用户。该用户可以使用 User Application 的管理选项卡管理门户。

如果 User Application 管理员参与 iManager、NetIQ Designer for Identity Manager 或 User Application（请求和批准选项卡）中公布的工作流程管理任务，请授予此管理员对 User Application 驱动程序中包含的对象实例的适当受托者权限。有关详细信息，请参见《NetIQ Identity Manager - Administrator’s Guide to the Identity Applications》（NetIQ Identity Manager - Identity Applications 管理员指南）。

要在部署 User Application 后更改此指派，请使用 User Application 中的管理 > 安全性页面。

NOVL_CONFIG_PROVLOCKSMITH=

eDirectory DN：供应应用程序 Admin。

Identity Manager 的供应版本中提供了该用户。供应应用程序管理员使用供应选项卡（管理选项卡下）管理供应工作流程功能。用户可以通过 User Application 的请求和批准选项卡使用这些功能。在将用户指定为供应应用程序管理员之前，身份库中必须存在此用户。

要在部署 User Application 后更改此指派，请使用 User Application 中的管理 > 安全性页面。

NOVL_CONFIG_ROLECONTAINERDN=

此角色在 RBPM 中可用。此角色允许成员创建、去除或修改所有角色，授予或撤消指派给任何用户、组或容器的任何角色。它还允许其角色成员运行任何用户的任何报告。默认情况下，会对 User Application Admin 指派此角色。

要在部署 User Application 后更改此指派，请使用 User Application 中的角色 > 角色指派页面。

NOVL_CONFIG_COMPLIANCECONTAINERDN

合规性模块管理员是一个系统角色，它允许成员执行合规性选项卡上的所有功能。在将用户指定为合规性模块管理员之前，身份库中必须存在此用户。

NOVL_CONFIG_USERCONTAINERDN=

Meta-Directory 用户身份：用户容器 DN。

指定用户容器的 LDAP 判别名 (DN) 或完全限定的 LDAP 名称。 这定义用户和组的搜索范围。允许该容器中（及其下）的用户登录 User Application。

重要说明：如果要使该用户能够执行工作流程，请确保在 User Application 驱动程序设置过程中指定的 User Application 管理员在该容器中存在。

NOVL_CONFIG_GROUPCONTAINERDN=

Meta-Directory 用户组：组容器 DN。

指定组容器的 LDAP 判别名 (DN) 或完全限定的 LDAP 名称。 由目录抽象层中的实体定义使用。

NOVL_CONFIG_KEYSTOREPATH=

eDirectory 证书：密钥储存区路径。必需。

指定 Tomcat 使用的 JRE 密钥存储区 (cacerts) 文件的完整路径。User Application 安装过程中将修改密钥储存区文件。 在 Linux 上，用户必须有权写入此文件。

NOVL_CONFIG_KEYSTOREPASSWORD=

eDirectory 证书：密钥储存区口令。

指定 cacerts 口令。默认值为 changeit。

NOVL_CONFIG_SECUREADMINCONNECTION=

eDirectory 连接设置：安全 Admin 连接。

必需

如果要求所有使用管理员帐户的通讯都通过安全套接字进行（此选项可能会影响性能），请指定 True。如果指定此设置，则无需 SSL 的其他操作便可在不使用 SSL 的情况下执行。

如果管理员帐户不使用 SSL 通讯，请指定 False。

NOVL_CONFIG_SECUREUSERCONNECTION=

eDirectory 连接设置：安全用户连接。

必需

如果要求所有使用已登录用户帐户的通讯都通过安全套接字进行（此选项可能会严重影响性能），请指定 True。此设置允许不需要 SSL 的其他操作在无 SSL 的情况下运行。

如果用户的帐户不使用 SSL 通讯，请指定 False。

NOVL_CONFIG_SESSIONTIMEOUT=

杂项：会话超时。

必需

为应用程序会话指定超时间隔。

NOVL_CONFIG_LDAPPLAINPORT=

eDirectory 连接设置：LDAP 非安全端口。

必需

为 LDAP 服务器指定非安全端口。例如，389.

NOVL_CONFIG_LDAPSECUREPORT=

eDirectory 连接设置：LDAP 安全端口。

必需

为 LDAP 服务器指定安全端口，比如 636。

NOVL_CONFIG_ANONYMOUS=

eDirectory 连接设置：使用公开匿名帐户。

必需

要允许未登录的用户访问 LDAP 公共匿名帐户，请指定 True。

要改为启用 NOVL_CONFIG_GUEST，请指定 False。

NOVL_CONFIG_GUEST=

eDirectory 连接设置：LDAP Guest。

允许没有登录的用户访问允许的门户小程序。 此外，还必须禁用 Guest 用户帐户。身份库中必须已经存在 Guest 用户帐户。 要禁用该用户，请选择使用公共匿名帐户。

NOVL_CONFIG_GUESTPASS=

eDIRECTORY 连接设置：LDAP Guest 口令。

NOVL_CONFIG_EMAILNOTIFYHOST=

电子邮件：通知模板 HOST 令牌。

指定托管 Identity Manager User Application 的 Tomcat。例如：

myapplication serverServer

此值将替换电子邮件模板中的 $HOST$ 令牌。所建立的 URL 是指向供应请求任务和批准通知的链接。

NOVL_CONFIG_EMAILNOTIFYPORT=

电子邮件：通知模板 Port 令牌。

用于替换供应请求任务和批准通知所用的电子邮件模板中的 $PORT$ 令牌。

NOVL_CONFIG_EMAILNOTIFYSECUREPORT=

电子邮件：通知模板 Secure Port 令牌。

用于替换供应请求任务和批准通知所用的电子邮件模板中的 $SECURE_PORT$ 令牌。

NOVL_CONFIG_NOTFSMTPEMAILFROM=

电子邮件：通知 SMTP 电子邮件发件人。

必需

指定供应电子邮件中发送电子邮件的用户。

NOVL_CONFIG_NOTFSMTPEMAILHOST=

电子邮件：通知 SMTP 电子邮件主机。

必需

指定供应电子邮件所使用的 SMTP 电子邮件主机。这可以是 IP 地址或 DNS 名。不要使用 localhost。

NOVL_CONFIG_USEEXTPWDWAR=

口令管理：使用外部口令 WAR。

要使用外部口令管理 WAR，请指定 True，然后指定 NOVL_CONFIG_EXTPWDWARPTH 和 NOVL_CONFIG_EXTPWDWARRTNPATH 的值。

要使用默认的内部口令管理功能 ./jsps/pwdmgt/ForgotPassword.jsp（开头没有 http(s) 协议），请指定 False。这将用户重定向到内置于 User Application 的“忘记口令”功能，而不是外部 WAR。

NOVL_CONFIG_EXTPWDWARPATH=

口令管理：忘记口令链接。

在外部或内部口令管理 WAR 中指定“忘记口令”功能页面 ForgotPassword.jsp 的 URL。 或者接受默认的内部口令管理 WAR。有关详细信息，请参见部分 39.6, 配置忘记口令管理。

NOVL_CONFIG_EXTPWDWARRTNPATH=

口令管理：忘记口令返回链接。

指定忘记口令返回链接，用户可在执行完忘记口令操作后单击该链接以返回。

NOVL_CONFIG_FORGOTWEBSERVICEURL=

口令管理：忘记口令 Web 服务 URL。

表示外部忘记口令 WAR 用来回调 User Application 以执行核心忘记口令功能的 URL。使用以下格式：

https://idmhost:sslport/idm/
pwdmgt/service

NOVL_CONFIG_USEROBJECTATTRIBUTE=

Meta-Directory 用户身份：用户对象类。

必需

LDAP 用户对象类（通常为 inetOrgPerson）。

NOVL_CONFIG_LOGINATTRIBUTE=

Meta-Directory 用户身份：登录属性。

必需

表示用户登录名的 LDAP 属性。例如：CN。

NOVL_CONFIG_NAMINGATTRIBUTE=

Meta-Directory 用户身份：命名属性。

必需

用作查找用户或组时的标识符的 LDAP 特性。这不同于登录特性，登录特性仅在登录时使用，在用户/组搜索时不使用。

NOVL_CONFIG_USERMEMBERSHIPATTRIBUTE=

Metadirectory 用户身份：用户成员资格属性。可选。

必需

代表用户的组成员资格的 LDAP 特性。 不要在该名称中使用空格。

NOVL_CONFIG_GROUPOBJECTATTRIBUTE=

Meta-Directory 用户组：组对象类。

必需

LDAP 组对象类（通常是 groupofNames）。

NOVL_CONFIG_GROUPMEMBERSHIPATTRIBUTE=

Meta-Directory 用户组：组成员资格属性。

必需

指定代表用户组成员资格的特性。 不要在该名称中使用空格。

NOVL_CONFIG_USEDYNAMICGROUPS=

Meta-Directory 用户组：使用动态组。

必需

要使用动态组，请指定 True。

NOVL_CONFIG_DYNAMICGROUPOBJECTCLASS=

Meta-Directory 用户组：动态组对象类。

必需

指定 LDAP 动态组对象类（一般为 dynamicGroup）。

NOVL_CONFIG_TRUSTEDSTOREPATH=

可信密钥储存区：可信储存路径。

可信密钥储存区包含所有可信签名人的证书。如果此路径为空的话，User Application 将从系统属性 javax.net.ssl.trustStore 中获取路径。如果该路径不存在，User Application 将使用 jre/lib/security/cacerts。

NOVL_CONFIG_TRUSTEDSTOREPASSWORD=

可信密钥储存区：可信储存口令。

NOVL_CONFIG_ICSLOGOUTENABLED=

Access Manager 和 iChain 设置：已启用同时注销。

要启用同时注销 User Application 和 NetIQ Access Manager 或 iChain，请指定 True。注销时，User Application 会检查是否存在 NetIQ Access Manager 或 iChain Cookie，如果存在 Cookie，则会将用户重路由到 ICS 注销页面。

要禁用同时注销，请指定 False。

NOVL_CONFIG_ICSLOGOUTPAGE=

Access Manager 和 iChain 设置：同时注销页面。

指定 NetIQ Access Manager 或 iChain 注销页面的 URL，此 URL 是 NetIQ Access Manager 或 iChain 预期的主机名。如果启用了 ICS 日志记录并且用户要注销 User Application，则将用户重路由到此页面。

NOVL_CONFIG_EMAILNOTIFYPROTOCOL=

电子邮件：通知模板 PROTOCOL 令牌。

指非安全协议 HTTP。 用于替换供应请求任务和批准通知所用的电子邮件模板中的 $PROTOCOL$ 令牌。

NOVL_CONFIG_EMAILNOTIFYSECUREPROTOCOL=

电子邮件：通知模板 Secure Port 令牌。

NOVL_CONFIG_OCSPURI=

杂项：OCSP URI。

如果客户端安装使用联机证书状态协议 (OCSP)，请指定统一资源标识符 (URI)。例如，格式为 http://hstport/ocspLocal。OCSP URI 在线更新可信证书的状态。

NOVL_CONFIG_AUTHCONFIGPATH=

杂项：授权配置路径。

授权配置文件的完全限定名。

NOVL_CONFIG_CREATEDIRECTORYINDEX

杂项：创建 eDirectory 索引

如果希望无提示安装程序在为 NOVL_CONFIG_SERVERDN 指定的 eDirectory 服务器上创建 manager、ismanager 和 srvprvUUID 属性的索引，请指定 true。如果此参数设置为 true，则您不能将 NOVL_CONFIG_REMOVEEDIRECTORYINDEX 设置为 true。

为达到最佳性能，应完成索引的创建。索引应处于联机方式，才可使用 User Application。

NOVL_CONFIG_REMOVEDIRECTORYINDEX

杂项：去除 eDirectory 索引

如果希望无提示安装程序去除 NOVL_CONFIG_SERVERDN 中指定的服务器上的索引，请指定 true。如果此参数设置为 true，则您不能将 NOVL_CONFIG_CREATEEDIRECTORYINDEX 设置为 true。

NOVL_CONFIG_SERVERDN

杂项：服务器 DN

指定应创建或去除索引的 eDirectory 服务器。

NOVL_CREATE_DB

指示将如何创建数据库。有效值包括：

  • now - 立即创建数据库

  • file - 将 SQL 输出写入文件

  • startup - 应用程序启动时创建数据库

NOVL_DATABASE_NEW

指示数据库是新的还是现有的。如果数据库是新的，请指定 True。

NOVL_RBPM_SEC_ADMINDN

安全管理员

此角色为成员提供安全域内的所有功能。

安全管理员可以对安全域内的所有对象执行所有可能的操作。安全域允许安全管理员配置对 RBPM 内所有域中的所有对象的访问权限。安全管理员可以配置小组，还可以指派域管理员、委托管理员及其他安全管理员。

NOVL_RBPM_RESOURCE_ADMINDN

资源管理员

此角色为成员提供资源域内的所有功能。资源管理员可以对资源域内的所有对象执行所有可能的操作。

NOVL_RBPM_CONFIG_ADMINDN

此角色为成员提供配置域内的所有功能。RBPM 配置管理员可以对配置域内的所有对象执行所有可能的操作。RBPM 配置管理员负责控制对 RBPM 内导航项目的访问权。此外，RBPM 配置管理员还配置委托和代理服务、供应用户界面及工作流程引擎。

RUN_LDAPCONFIG=

指定是要立即配置 LDAP 设置还是稍后配置。值为：

  • Now - 通过使用提供的 LDAP 配置设置填充 WAR，可立即执行 LDAP 配置。

  • Later - 仅安装 User Application 文件而不配置 LDAP 设置。

37.3.3 将 eDirectory 证书导入 Identity Applications

要在 Identity Applications 与 eDirectory 服务器之间建立信任连接，请将 eDirectory 证书导入 Identity Applications。

  1. 从 iManager 导出 eDirectory 证书：

    1. 以管理员身份登录 iManager。

    2. 浏览到角色和任务 > NetIQ 证书访问 > 服务器证书。

    3. 选中 SSL CertificateDNS 复选框并单击导出。

    4. 在证书下拉列表中选择 SSL CertificateDNS 选项，清除导出私用密钥复选框，然后选择 DER 导出格式。

    5. 单击下一步。

    6. 单击保存导出的证书，导出的证书即会保存到您的本地系统。

  2. 将 eDirectory 证书导入 Identity Applications：

    1. 以管理员身份登录要安装 Identity Applications 的服务器。

    2. 复制您已从 iManager 导出的 eDirectory 证书，运行 keytool 命令：

      keytool -import -trustcacerts -file Cerificate_Path -alias ALIAS_NAME -keystore cacerts

      在 Certificate_Path 中指定保存在您计算机上的 eDirectory 证书的位置。

      在 ALIAS_NAME 中为证书指定任意别名。例如： 

      /opt/netiq/idm/jre/bin/keytool -import -trustcacerts -file /opt /Certificate_Import_Path/EdirCertificate -alias EDIR_CERT -keystore /opt /netiq/idm/jre/lib/security/cacerts

37.3.4 执行 Identity Applications 的无提示安装

  1. 以 root 用户身份登录到要安装 Identity Applications 的计算机。

  2. 打开一个终端会话。

  3. 为安装指定值。有关详细信息，请参见部分 37.3.2, 编辑 .properties 文件和部分 28.2.1, 保护无提示安装所用的口令。

  4. 要起动适用于您的平台的安装程序，请输入以下命令：

    • Linux：./IdmUserApp.bin -i silent -f /yourdirectorypath/silent.properties

    • Windows：。/IdmUserApp.exe -i silent -f /yourdirectorypath/silent.properties

    注：如果 silent.properties 文件与安装程序脚本位于不同的目录中，则您必须指定该文件的完整路径。该脚本会将必要的文件解压缩到一个临时目录，然后起动无提示安装。