NetIQ 建议您在开始执行安装过程之前，先查看 Identity Applications 的先决条件和计算机要求。有关配置 User Application 环境的详细信息，请参见《NetIQ Identity Manager - Identity Applications 用户指南》。
Identity Applications 的安装注意事项
在安装 Identity Applications 时，请注意以下事项。
-
需要以下 Identity Manager 组件的受支持版本：
-
Identity Manager 引擎
-
Remote Loader
-
（可选）NetIQ 建议为 Identity Manager 组件之间的通讯启用安全套接字层 (SSL) 协议。要使用 SSL 协议，必须在您的环境中启用 SSL，并在安装期间指定 。有关启用 SSL 的信息，请参见《NetIQ Analyzer for Identity Manager Administration Guide》（NetIQ Analyzer for Identity Manager 管理指南）中的“Configuring Security in the Identity Applications”（配置 Identity Applications 中的安全性）。
-
您不能将 Role and Resource Service 驱动程序与 Remote Loader 配合使用，因为该驱动程序使用 jClient。
-
默认情况下，安装过程会将程序文件放在 /opt/netiq/idm 目录中。如果您计划将 User Application 安装在非默认位置，请在开始执行安装过程之前，确保新目录符合以下要求：
-
目录存在并且可写入。
-
非 root 用户可对该目录进行写操作。
-
每个 User Application 实例只能为一个用户容器提供服务。例如，您只能在与该实例关联的容器中添加用户、执行搜索和查询。此外，用户容器与应用程序之间的关联是永久性的。
-
（可选）要从受管系统检索授权，请安装一个或多个 Identity Manager 驱动程序。
Identity Applications 的配置和用法注意事项
在配置和初次使用 Identity Applications 时，请注意以下事项。
-
只有在您完成以下活动之后，用户才能访问 Identity Applications：
-
确保已安装所有必要的 Identity Manager 驱动程序。
-
确保身份库的索引处于联机模式。有关在安装期间配置索引的详细信息，请参见杂项。
-
在所有浏览器上启用 Cookie。如果禁用了 Cookie，应用程序将不起作用。
-
在安装过程中，安装程序会将日志文件写入安装目录。这些文件包含有关您的配置的信息。配置 Identity Applications 环境后，应考虑删除这些日志文件或将其储存在安全位置。在安装过程中，可以选择将数据库纲要写入到文件。由于此文件包含有关数据库的描述性信息，因此在安装过程完成后应将文件移至安全位置。
-
（视情况而定）要审计 Identity Applications，必须在环境中安装并配置 Identity Reporting 和审计服务，以捕获事件。此外，还必须配置 Identity Applications，以便能够进行审计。
指定权限索引的位置
当您安装 Identity Applications 时，安装进程将为 Tomcat 创建一个许可权限索引。如果您未指定该索引的位置，安装程序将在临时目录中创建文件夹。例如，Tomcat 上的 /opt/netiq/idm/apps/tomcat/temp/permindex。
在测试环境中，该位置通常无关紧要。但是，在生产或过渡环境中，您可能不想将权限索引放置在临时目录中。
要指定索引的位置，请执行以下操作：
-
停止 Tomcat。
-
在文本编辑器中，打开 ism-configuration.properties 文件。
-
在该文件的末尾添加以下文本：
com.netiq.idm.cis.indexdir = path/permindex
例如：
com.netiq.idm.cis.indexdir = /opt/netiq/idm/apps/tomcat/temp/permindex
-
保存并关闭文件。
-
删除临时目录中的现有 permindex 文件夹。
-
启动 Tomcat。
为群集启用许可权限索引
本节提供为群集启用许可权限索引的说明。
-
在群集的第一个节点中登录 iManager，然后导航到。
-
在下，导航到包含 的驱动程序集。
-
选择 > > 。
-
选择 XMLData 属性，并将 com.netiq.idm.cis.clustered 属性设置为 。
例如：
<property>
<key>com.netiq.idm.cis.clustered</key>
<value>true</value>
</property>
-
单击。
安装 Identity Applications 数据库的先决条件
该数据库储存 Identity Applications 数据和配置信息。
在安装数据库实例之前，请先查看以下先决条件：
-
要配置与 Tomcat 搭配使用的数据库，必须创建一个 JDBC 驱动程序。Identity Applications 使用标准 JDBC 调用来访问并更新该数据库。Identity Applications 使用绑定到 JNDI 树的 JDBC 数据源文件开启与数据库的连接。
-
必须有一个指向该数据库的现有数据源文件。User Application 安装程序将在 server.xml 和 context.xml 中创建一个指向数据库的 Tomcat 数据来源条目。
-
确保具备以下信息：
-
数据库服务器的主机和端口。
-
要创建的数据库的名称。Identity Applications 的默认数据库为 idmuserappdb。
-
数据库用户名和口令。数据库用户名必须代表某个管理员帐户，或者必须具有在数据库服务器中创建表的足够许可权限。User Application 的默认管理员是 idmadmin。
-
数据库供应商为您所使用的数据库提供的驱动程序 .jar 文件。NetIQ 不支持第三方供应商提供的驱动程序 JAR 文件。
-
数据库实例可以位于本地计算机上，也可以位于连接的服务器上。
-
数据库字符集必须使用 Unicode 编码。例如，UTF-8 就是一种使用 Unicode 编码的字符集，而 Latin1 则不使用 Unicode 编码。有关指定字符集的详细信息，请参见配置字符集或配置 Oracle 数据库。
-
为了避免在迁移期间发生重复键错误，请使用区分大小写的排序规则。如果发生重复键错误，请检查排序规则并更正它，然后重安装 Identity Applications。
-
（视情况而定）要将同一个数据库实例用于审计和 Identity Applications，NetIQ 建议在一个独立的专用服务器（而非托管运行 Identity Applications 的 Tomcat 的服务器）上安装该数据库。
-
（视情况而定）如果正要迁移到新版 Identity Applications，必须使用之前安装所用的同一个数据库。
-
数据库群集属于各相关数据库服务器的功能。NetIQ 不提供对任何群集数据库配置的官方测试，因为群集与产品功能不相关。因此，我们在支持群集数据库服务器的同时，作出以下声明：
-
默认情况下，最大连接数设置为 100。此值可能太低，无法处理群集中的工作流程请求负载。您可能会看到以下异常：
(java.sql.SQLException: Data source rejected establishment of connection, message from server: "Too many connections."
要增加最大连接数，请在 my.cnf 文件中将 max_connections 变量设置为更高的值。
-
您可能需要禁用群集数据库服务器的某些功能或方面。例如，由于在尝试插入重复键时存在约束违规，所以必须对某些表禁用事务复制。
-
我们对于群集数据库服务器的安装、配置或优化不提供任何协助，包括将我们的产品安装到群集数据库服务器中。
-
我们会尽最大努力来解决在群集数据库环境中使用我们的产品时可能出现的任何问题。在复杂环境中采用的查错方法通常需要双方合作才能解决问题。NetIQ 提供了专业知识，便于您对 NetIQ 产品进行分析、规划及查错。客户必须具有对任何第三方产品进行分析、规划及查错的专业知识。我们将要求客户在非群集环境中再现问题或分析其组件的行为，以帮助从 NetIQ 产品问题中分离出潜在的群集设置问题。
配置 Identity Applications 的数据库
Identity Applications 的数据库支持多种任务，例如，储存配置数据和工作流程活动的数据。在安装应用程序之前，必须先安装并配置数据库。有关支持的数据库的详细信息，请参见Identity Applications 的系统要求。有关 User Application 数据库注意事项的详细信息，请参见安装 Identity Applications 数据库的先决条件。
配置 Oracle 数据库
本节为 User Application 使用 Oracle 数据库提供了所需的配置选项。有关支持的 Oracle 版本的信息，请参见Identity Applications 的系统要求。
检查数据库的兼容性级别
来自不同 Oracle 版本的数据库兼容的前提为，这些数据库支持相同的功能且这些功能以相同的方式执行。如果它们不兼容，则某些功能或操作可能不会按预期工作。例如，创建纲要会失败，导致您无法部署 Identity Applications。
要检查数据库的兼容性级别，请执行以下步骤：
-
连接数据库引擎。
-
连接到 SQL Server 数据库引擎的适当实例后，在中单击服务器名称。
-
展开，然后根据数据库选择用户数据库，或者展开并选择一个系统数据库。
-
右键单击数据库，然后单击。
对话框随即打开。
-
在窗格中，单击。
当前兼容性级别显示在列表框中。
-
要检查，请在查询窗口中输入以下内容，然后单击。
SQL> SELECT name, value FROM v$parameter
WHERE name = 'compatible';
预期输出为：12.1.0.2
配置字符集
User Application 数据库必须使用 Unicode 编码的字符集。在创建数据库时，请使用 AL32UTF8 指定此字符集。
要确认是否为 Oracle 12c 数据库设置 UTF-8，请发出以下命令：
select * from nls_database_parameters;
如果数据库未配置为 UTF-8，系统将使用以下信息进行响应：
NLS_CHARACTERSET
WE8MSWIN1252
否则，系统将使用以下信息进行响应，确认为数据库配置了 UTF-8：
NLS_CHARACTERSET
AL32UTF8
有关配置字符集的详细信息，请参见“Choosing an Oracle Database Character Set”（选择 Oracle 数据库字符集）。
配置管理员用户帐户
User Application 要求 Oracle 数据库用户帐户具有特定的特权。在 SQL Plus 实用程序中输入以下命令：
CREATE USER idmuser IDENTIFIED BY password
GRANT CONNECT, RESOURCE to idmuser
ALTER USER idmuser quota 100M on USERS;
其中，idmuser 表示用户帐户。
配置 SQL Server 数据库
本节为 User Application 使用 SQL Server 数据库提供了所需的配置选项。有关支持的 SQL Server 版本的信息，请参见Identity Applications 的系统要求。
配置字符集
SQL Server 不允许您为数据库指定字符集。 User Application 以支持 UTF-8 的 NCHAR 列类型储存 SQL Server 字符数据。
配置管理员用户帐户
安装 Microsoft SQL Server 后，请使用 SQL Server Management Studio 之类的应用程序创建数据库和数据库用户。该数据库用户帐户必须具有以下特权：
-
CREATE TABLE
-
DELETE
-
INSERT
-
SELECT
-
UPDATE
注：建议使用 JDBC JAR 版本 sqljdbc42.jar。
在群集环境中安装 Identity Applications 的先决条件
您可以在 Tomcat 群集支持的环境中安装 Identity Applications 的数据库，不过需要注意以下事项：
-
群集必须具有唯一的群集分区名称、多路广播地址和多路广播端口。使用唯一的标识符可以区分多个群集，防止出现性能问题和异常行为。
-
必须同步群集中服务器的时钟。如果服务器时钟不同步，会话可能会提前超时，导致 HTTP 会话故障转移无法正常工作。
-
NetIQ 建议不要在同一个主机上的浏览器选项卡或浏览器会话之间使用多个登录。某些浏览器在选项卡和进程之间共享 Cookie，因此，允许多个登录可能会导致 HTTP 会话故障转移出现问题（此外，如果多个用户共享一台计算机，还可能会给鉴定功能带来意外的风险）。
-
群集节点位于在同一个子网中。
-
故障转移代理或负载平衡解决方案安装在单独的计算机上。
为 Identity Applications 准备群集
Identity Applications 支持 HTTP 会话复制和会话故障转移。如果某个执行中的会话所在的节点发生故障，则无需用户干预，该会话就能在群集中的另一个服务器上继续进行。在群集中安装 Identity Applications 之前，应先准备好环境。
了解 Tomcat 环境中的群集组
User Application 群集组使用 UUID 名称，以尽量减少与用户可能添加到其服务器中的其他群集组之间产生冲突的风险。您可以使用 User Application 管理功能修改 User Application 群集组的配置设置。只有在重启动服务器节点后，对群集配置所做的更改才能在该节点上生效。
有关在群集环境中进行安装需要满足的先决条件的详细信息，请参见部分 8.5.2, 安装 Identity Applications 的先决条件和注意事项。
设置工作流程引擎 ID 的系统属性
在群集中托管 Identity Applications 的每个服务器都可以运行一个工作流程引擎。为确保群集和工作流程引擎的性能，群集中的每个服务器都应使用相同的分区名称和分区 UDP 组。此外，还必须使用工作流程引擎的唯一 ID 启动群集中的每个服务器，因为工作流程引擎的群集工作方式与 Identity Applications 的超速缓存框架无关。
为确保工作流程引擎正常运行，必须设置 Tomcat 的系统属性。
-
针对群集中的每个 Identity Applications 服务器创建一个新的 JVM 系统属性。
-
将系统属性命名为 com.novell.afw.wf.engine-id，其中的引擎 ID 是一个唯一值。
