15.4 为 Identity Applications 准备环境

在群集中运行 Identity Applications 时，将获得较高的可用性。此外，它们还支持 HTTP 会话复制和会话故障转移。这意味着，如果某个会话所在的节点发生故障，无需用户干预就能在群集中的另一个服务器上恢复该会话。

本节提供了有关准备环境（包括群集环境）以便 Identity Applications 能够正常运行的说明。必须结合部分 15.5.2, 使用引导式过程安装 Identity Applications中的指导来完成本节中的步骤。

有关群集环境要求的详细信息，请参见部分 15.1.3, 安装 Identity Applications 的先决条件和注意事项和部分 15.1.4, Identity Applications 的系统要求。

15.4.1 指定权限索引的位置

当您安装 Identity Applications 时，安装进程将为 Tomcat 创建一个许可权限索引。如果您未指定该索引的位置，安装程序将在临时目录中创建文件夹。例如：Tomcat 上的 C:\NetIQ\idm\apps\tomcat\temp\permindex。

在测试环境中，该位置通常无关紧要。但是，在生产或过渡环境中，您可能不想将权限索引放置在临时目录中。

要指定索引的位置，请执行以下操作：

  1. 停止 Tomcat。

  2. 在文本编辑器中，打开 ism-configuration.properties 文件。

  3. 在该文件的末尾添加以下文本：

    com.netiq.idm.cis.indexdir = path\permindex

    例如：

    com.netiq.idm.cis.indexdir = C:\NetIQ\idm\apps\tomcat\temp\permindex

  4. 保存并关闭文件。

  5. 删除临时目录中的现有 permindex 文件夹。

  6. 启动 Tomcat。

15.4.2 为群集启用许可权限索引

本节提供为群集启用许可权限索引的说明。

  1. 在群集的第一个节点中登录 iManager，然后导航到查看对象。

  2. 在系统下，导航到包含 User Application 驱动程序的驱动程序集。

  3. 选择 AppConfig > AppDefs > 配置。

  4. 选择 XMLData 属性，并将 com.netiq.idm.cis.clustered 属性设置为 true。

    例如：

    <property>

    <key>com.netiq.idm.cis.clustered</key>

    <value>true</value>

    </property>

  5. 单击确定。

15.4.3 为 Identity Applications 准备应用程序服务器

您应准备好将要运行 Identity Applications 的 Tomcat。方便起见，NetIQ 在安装套件中提供了 Apache Tomcat。另请参见部分 15.4.4, 为 Identity Applications 准备群集，以了解有关在群集环境中使用该应用程序的详细信息。

Identity Manager 的 .iso 安装文件中包含安装 Tomcat（PostgreSQL 可选）的程序。有关详细信息，请参见部分 12.2, 安装 PostgreSQL 和 Tomcat。

您可以使用自己的 Tomcat 安装程序，而不使用安装包中提供的便捷安装程序。但是，如果您要使用其他安装程序，则必须执行一些额外的步骤才能使 Tomcat 与 Identity Applications 正常配合运行。

在启动安装过程之前，请确保此版本的 Identity Applications 支持您要安装的组件版本。有关详细信息，请参见部分 15.1.3, 安装 Identity Applications 的先决条件和注意事项。

  1. 在您的服务器上，作为服务安装 Apache Tomcat。

    有关详细信息，请参见 Tomcat Setup（Tomcat 安装）。

  2. 在装有 Tomcat 的同一个服务器上安装以下组件。

  3. 将 activemq-all-5.15.2 jar 文件复制到 C:\NetIQ\idm\apps\activemq 文件夹。

  4. 将以下文件复制到 C:\NetIQ\idm\apps\tomcat\bin 文件夹，以用于日志记录。

    • log4j.jar

    • log4j.properties

    • tomcat-juli-adapters.jar

  5. 在 setenv.bat 文件中设置以下属性。

    JAVA_HOME
JRE_HOME
PATH (set Java path)
JAVA_OPTS="-Xms1024m -Xmx1024m"

  6. 将 postgresql-9.4.1212jdbc42.jar 文件复制到 C:\NetIQ\idm\apps\tomcat\bin 文件夹。

  7. （视情况而定）在群集环境中，打开群集第一个节点上的 server.xml 文件（默认位于 \TOMCAT_INSTALLED_HOME\conf\ 目录中），并取消注释下面一行：

    <Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster"/>

    对群集中的所有节点执行此操作。

    对于高级 Tomcat 群集配置，请按照 Apache Tomcat 相关文档中的步骤操作。

15.4.4 为 Identity Applications 准备群集

Identity Applications 支持 HTTP 会话复制和会话故障转移。如果某个执行中的会话所在的节点发生故障，则无需用户干预，该会话就能在群集中的另一个服务器上继续进行。在群集中安装 Identity Applications 之前，应先准备好环境。

了解 Tomcat 环境中的群集组

User Application 群集组使用 UUID 名称，以尽量减少与用户可能添加到其服务器中的其他群集组之间产生冲突的风险。您可以使用 User Application 管理功能修改 User Application 群集组的配置设置。只有在重启动服务器节点后，对群集配置所做的更改才能在该节点上生效。

有关在群集环境中进行安装需要满足的先决条件的详细信息，请参见部分 15.1.3, 安装 Identity Applications 的先决条件和注意事项。

设置工作流程引擎 ID 的系统属性

在群集中托管 Identity Applications 的每个服务器都可以运行一个工作流程引擎。为确保群集和工作流程引擎的性能，群集中的每个服务器都应使用相同的分区名称和分区 UDP 组。此外，还必须使用工作流程引擎的唯一 ID 启动群集中的每个服务器，因为工作流程引擎的群集工作方式与 Identity Applications 的超速缓存框架无关。

为确保工作流程引擎正常运行，必须设置 Tomcat 的系统属性。

  1. 针对群集中的每个 Identity Applications 服务器创建一个新的 JVM 系统属性。

  2. 将系统属性命名为 com.novell.afw.wf.engine-id，其中的引擎 ID 是一个唯一值。

为群集中的每个用户应用程序使用相同的主密钥

Identity Applications 使用主密钥加密敏感数据。群集中的所有 Identity Applications 必须使用相同的主密钥。本节将帮助您确保群集中的所有 Identity Applications 使用相同的主密钥。

有关创建主密钥的详细信息，请参见步骤 6中的“安全 - 主密钥”。有关加密 Identity Applications 中的敏感数据的详细信息，请参见《NetIQ Identity Manager - Administrator’s Guide to the Identity Applications》（NetIQ Identity Manager - Identity Applications 管理员指南）中的“Encrypting Sensitive Identity Applications Data”（加密 Identity Applications 敏感数据）。

  1. 在群集中的第一个节点上安装 User Application。

  2. 在安装程序的“安全 - 主密钥”窗口中，记下将要包含 Identity Applications 新主密钥的 master-key.txt 文件所在的位置。默认情况下，该文件在安装目录中。

  3. 在群集中的其他节点上安装 Identity Applications。

  4. 在“安全 - 主密钥”窗口中，单击是，然后单击下一步。

  5. 在“导入主密钥”窗口中，复制在步骤 2中创建的文本文件的主密钥。