15.5 安装 Identity Applications

本节提供了为 User Application 和 RBPM 安装及配置应用程序服务器的相关说明。您必须拥有应用程序服务器适用的正确的 Java 环境版本。

有关 Tomcat 和 Java 的要求的详细信息，请参见部分 15.1.4, Identity Applications 的系统要求。

15.5.1 Identity Applications 安装核对清单

使用以下核对清单来逐步完成 Identity Applications 的安装过程。

核对清单项目

  1. （视情况而定）查看在群集环境中的 Tomcat 上安装 Identity Applications 的注意事项。有关详细信息，请参见了解 Tomcat 环境中的群集组。

  1. 安装受支持版本的应用程序服务器和 Java 开发包或运行时环境。有关详细信息，请参见部分 15.1.4, Identity Applications 的系统要求。

  1. 确保 Tomcat 的设置正确。有关详细信息，请参见部分 15.4.3, 为 Identity Applications 准备应用程序服务器。

  1. 配置数据库的数据源文件和 JDBC 提供程序。

  1. 安装 Identity Applications。有关详细信息，请参见部分 15.5.2, 使用引导式过程安装 Identity Applications。

  1. 为 Identity Applications 配置 Tomcat。有关详细信息，请参见部分 15.5.3, 安装后步骤。

  1. 部署并启动 Identity Applications。有关详细信息，请参见启动 Identity Applications。

15.5.2 使用引导式过程安装 Identity Applications

以下过程介绍了如何使用安装向导安装 Identity Applications。

要准备安装，请查看部分 15.5.1, Identity Applications 安装核对清单中所列的活动。另请参见版本随附的《发行说明》。

注：

  • 安装程序不会保存您在向导的各个窗口中输入的值。如果单击上一步返回到前一个窗口，则必须重新输入配置值。

  • 安装程序将创建 novlua 用户帐户，并为此用户设置 Tomcat 中的许可权限。例如，services.msc 脚本将使用此用户帐户来运行 Tomcat。

要使用引导式过程安装，请执行以下操作：

  1. 以管理用户身份登录到要安装 Identity Applications 的计算机。

  2. 停止 Tomcat。

  3. （视情况而定）如果您已获取 Identity Manager 安装包的 .iso 映像文件，请导航到包含安装文件的目录（默认为 products\UserApplication\ 目录）。

  4. （视情况而定）如果您已下载安装文件，请完成以下步骤：

    1. 导航到所下载映像的 win.zip 文件。

    2. 将该文件的内容解压缩到本地计算机上的某个目录中。

  5. 从包含安装文件的目录中运行 IdmUserApp.exe 文件。

  6. 使用以下参数完成引导式过程：

    • 应用程序服务器平台

      表示用于运行 Identity Applications 的 Tomcat。必须已安装 Tomcat。

    • 安装文件夹

      表示安装程序要在其中创建应用程序文件的目录路径。

    • 数据库平台

      表示 User Application 数据库的平台。必须已安装数据库软件。但是，在安装期间，您无需创建数据库纲要。

      为方便起见，NetIQ 提供了 PostgreSQL。

    • 数据库主机和端口

      表示托管 User Application 数据库的服务器的设置。

      注：在群集环境中，必须为群集中的每个成员指定相同的数据库设置。

      主机

      指定服务器的名称或 IP 地址。

      端口

      指定您希望服务器在与 User Application 通讯时所使用的端口。

    • 数据库用户名和口令

      表示运行 User Application 数据库的设置。

      注：

      • 如果您在安装此版 Identity Manager 的过程中安装了 PostgreSQL，则安装过程已创建了数据库和数据库管理员。默认情况下，安装的数据库为 idmuserappdb，数据库用户为 idmadmin。指定您在安装 PostgreSQL 时使用的相同值。

      • 在群集环境中，必须为群集中的每个成员指定相同的数据库名称、用户名和口令。

      数据库名称或 SID

      根据数据库平台指定数据库的名称。默认情况下，数据库名称为 idmuserappdb。

      • 对于 PostgreSQL 或 SQL Server 数据库，请指定名称。

      • 对于 Oracle 数据库，请指定您为数据库实例创建的安全标识符 (SID)。

      数据库用户名

      指定允许 User Application 访问和修改数据库中数据的帐户名。

      数据库口令

      为指定用户名指定口令。

      数据库驱动程序 JAR 文件

      指定数据库平台的 JAR 文件。

      数据库供应商将提供驱动程序 JAR 文件，该文件即为数据库服务器的瘦客户端 JAR。例如，对于 PostgreSQL，可以指定默认位于 C:\NetIQ\idm\apps\Postgres 文件夹中的 postgresql-9.4-1212.jdbc42.jar。

      NetIQ 不支持第三方供应商提供的驱动程序 JAR 文件。

    • 数据库管理员

      可选

      表示数据库管理员的名称和口令。

      此字段会自动列出您为“数据库用户名和口令”指定的同一用户帐户和口令。要使用该帐户，请不要做任何更改。

      数据库管理员

      （可选）指定可创建数据库表、视图和其他项目的数据库管理员的帐户。

      口令

      （可选）指定数据库管理员的口令。

    • 创建数据库表

      指定是否要在安装过程中或安装后配置新的或现有的数据库。

      立即创建表

      安装程序将在安装过程中创建数据库表。

      应用程序启动时创建表

      安装程序将下达指令，以在首次启动 User Application 时创建表。

      将 SQL 写入文件

      生成一个 SQL 脚本，数据库管理员可以运行该脚本来创建数据库。如果选择此选项，则还必须为纲要文件指定名称。该设置在 SQL 输出文件配置中指定。

      如果您无权在环境中创建或修改某个数据库，则可以选择此选项。有关使用该文件生成表的详细信息，请参见部分 15.7.2, 手动创建数据库纲要。

    • 新数据库或现有数据库

      指定您要使用现有的空数据库还是在现有数据库中创建新表。请注意以下事项：

      • 新建数据库

        如果使用新的数据库，请单击新数据库。在选择此选项之前，请确保数据库已存在。

      • 现有数据库

        如果数据库是现有的且具有来自先前安装的 User Application 表，请选择现有数据库。

        如果现有数据库在 Oracle 平台上运行，则您必须在更新纲要之前准备好 Oracle。

      选择数据库类型之后，需要指定应在何时创建数据库表。“创建数据库表”屏幕允许您选择是在安装时还是在应用程序启动时创建表。或者，可以在安装时创建纲要文件，之后数据库管理员将使用该文件创建表。

      如果要生成纲要文件，请选择“将 SQL 写入文件”按钮，并在“纲要输出文件”字段中提供文件名。

    • 测试数据库连接

      指定您是希望安装程序连接到数据库后直接创建表，还是在连接后创建 .sql 文件。

      在您单击下一步或按 Enter 后，安装程序即会尝试建立连接。

      注：如果数据库连接失败，您可以继续安装。但是，必须在安装后手动创建表并连接到数据库。有关详细信息，请参见手动创建 SQL 文件以生成数据库纲要。

    • Java 安装

      表示用于起动安装程序的 JRE 文件的路径。例如，C:\NetIQ\idm\jre。

    • Application_Server 配置

      表示 Tomcat 的安装文件路径。例如，C:\NetIQ\idm\jre。安装过程会将一些文件添加到此文件夹中。

    • IDM 配置

      表示 URL 中使用的 Identity Applications 环境的设置以及工作流程引擎的设置。

      应用程序环境

      指定表示 Tomcat 配置的名称、应用程序 WAR 文件以及 URL 环境中的名称。

      安装脚本将创建服务器配置，然后根据您在安装 Tomcat 时创建的名称命名该配置。例如：IDMProv。

      重要说明：NetIQ 建议您记下指定的应用程序环境。当您从浏览器启动 Identity Applications 时，将会在 URL 中用到此应用程序名称。

    • 选择审计日志记录类型

      指出要启用 CEF 还是 Sentinel Log Management for IGA。指定是或否。

    • Audit 日志记录

      仅当您为“选择审计日志记录类型”指定了“是”时才适用。

      指定要启用的日志记录类型。

      有关设置日志记录的详细信息，请参见《User Application Administration Guide》（User Application 管理指南）。

      Sentinel Log Management for IGA

      通过适用于 User Application 的 Novell 或 NetIQ 客户端启用日志记录。

      注：如果您选择此选项，则还必须指定客户端服务器的主机名或 IP 地址，以及日志超速缓存的路径。

      CEF

      让 User Application 通过 CEF 来记录事件。

      注：如果您选择此选项，则还必须指定系统日志服务器的主机名或 IP 地址，以及系统日志端口。

    • 安全 － 主密钥

      指定是否要导入现有的主密钥。User Application 使用主密钥来访问加密的数据。指定是或否。

      在以下情况下，可能会想要导入主密钥：

      • 在群集中安装 Identity Applications 的第一个实例后。群集中 User Application 的每个实例必须使用相同的主密钥。有关详细信息，请参见为群集中的每个用户应用程序使用相同的主密钥。

      • 您要将安装从过渡系统迁移到生产系统，并希望依然能够访问您在过渡系统中使用的数据库。

      • 您要恢复 User Application，并想要访问先前版本的 User Application 所储存的加密数据。

      是

      指定您想要导入现有的主密钥。

      否

      指定您要让安装程序创建该密钥。

      默认情况下，安装过程会将加密的主密钥写入安装目录中的 master-key.txt 文件。

    • 导入主密钥

      仅当您为“安全 - 主密钥”指定了“是”时才适用。

      指定您要使用的主密钥。可以从 master-key.txt 文件中复制主密钥。

    • 应用程序服务器连接

      表示用户连接 Tomcat 上的 Identity Applications 时所需的 URL 设置。例如：https：myserver.mycompany.com：8080。

      注：如果 OSP 在不同的 Tomcat 应用程序服务器实例上运行，则还必须选择连接外部鉴定服务器并指定 OSP 服务器的值。

      协议

      指定是要使用 http 还是 https。要使用安全套接字层 (SSL) 进行通讯，请指定 https。

      主机名

      指定托管 OSP 的服务器的 DNS 名称或 IP 地址。请不要使用 localhost。

      端口

      指定您希望服务器在与客户端计算机通讯时所使用的端口。

      连接外部鉴定服务器

      指定是否要用不同的 Tomcat 实例来托管鉴定服务器 (OSP)。鉴定服务器包含可登录 SSPR 的用户的列表。

      如果选择此设置，则还要指定鉴定服务器的协议、主机名和端口值。

    • 鉴定服务器细节

      指定您希望 Identity Applications 在连接鉴定服务器时所使用的口令。该口令又称为客户端机密。安装过程将创建此口令。

  7. 在“配置更新”窗口中配置 Identity Applications 的设置。

    1. 浏览身份库 DN。

    2. 单击确定。

    注：

    • 确保 User Application 和 Roles and Resources Service 驱动程序已创建且已部署到身份库。有关详细信息，请参见Identity Applications 的安装注意事项。

    • 如果您单击取消，安装程序会让您返回到“应用程序服务器连接”窗口。

    • 安装 User Application 后，您可以修改 configureupdate.bat 文件中的大部分设置。有关指定设置值的详细信息，请参见部分 15.8, 配置 Identity Applications 的设置。

  8. （视情况而定）在 GUI 安装中，如果要立即配置 Identity Applications，请在“配置 IDM”窗口中完成以下步骤：

    1. 单击是，然后单击下一步。

    2. 在“Roles Based Provisioning Module 配置”中，单击显示高级选项。

    3. 根据需要修改设置。

      注：

      • 有关指定值的详细信息，请参见部分 15.8, 配置 Identity Applications 的设置。

      • 在生产环境中，所有管理员指派都受到许可限制。NetIQ 会收集审计数据库中的监视数据，以确保生产环境符合要求。此外，NetIQ 还建议仅向一个用户授予安全管理员的许可权限。

    4. 单击确定。

  9. 单击下一步。

  10. 在“安装前摘要”窗口中单击安装。

  11. （可选）查看安装日志文件。要了解基本安装的结果，请参见 C:\NetIQ\idm\apps\UserApplication\logs\ 目录中的 user_application_install_log.log 文件。

    有关 Identity Applications 配置的信息，请参见 C:\NetIQ\idm\apps\UserApplication 目录中的 NetIQ-Custom-Install.log 文件。

  12. （可选）如果使用的是外部口令管理 WAR，请手动将 WAR 复制到安装目录和运行外部口令 WAR 功能的远程应用程序服务器部署目录。

  13. 根据部分 15.7, 完成 Identity Applications 的安装中所述继续执行安装后任务。

15.5.3 安装后步骤

本节提供有关在安装 Identity Applications 后更新 Tomcat 环境的信息。

如果您使用了 Tomcat 的便捷安装程序，Identity Manager 的安装程序将为您配置 Tomcat。如果您安装了自己的 Tomcat 程序，请注意以下问题：

为群集配置 User Application 驱动程序

有关更多信息，请参见部分 15.6.2, 为群集配置 User Application 驱动程序。

将 preferIPv4Stack 属性传递给 JVM

Identity Applications 使用 JGroups 实现超速缓存。在某些配置中，JGroups 需要将 preferIPv4Stack 属性设置为 true，以确保 mcast_addr 绑定成功。

如果不使用此选项，可能会发生以下错误：

[10/1/09 16:11:22:147 EDT] 0000000d UDP           W org.jgroups.util.Util
createMulticastSocket could not bind to /228.8.8.8 (IPv4 address); make sure
your mcast_addr is of the same type as the IP stack (IPv4 or IPv6).

您还可能会看到此错误：

[3/21/12 10:04:32:470 EDT] 00000024 UDP      E org.jgroups.protocols.TP down
failed sending message to null (131 bytes)
        java.lang.Exception: dest=/228.8.8.8:45654 (134 bytes)
    at org.jgroups.protocols.UDP._send(UDP.java:353)

参数 java.net.preferIPv4Stack=true 是一项系统属性，与其他系统属性（例如 extend.local.config.dir）的设置方式相同。

检查服务器的运行状况

大多数负载平衡器都提供运行状况检查功能，以确定 HTTP 服务器是否已启动且正在监听。User Application 包含一个 URL，可用于配置负载平衡器上的 HTTP 运行状况检查。该 URL 为：

http://<节点 IP>:端口/IDMProv/jsps/healthcheck.jsp

监视运行状况统计数字

REST API 可让您检索有关 User Application 运行状态的信息。 API 可以访问系统以了解当前正在运行的线程、内存占用、超速缓存和群集信息，并使用 GET 操作返回信息。

  • 内存信息（JVM 和系统内存）： 读取与内存相关的信息，例如系统内存和 JVM 占用的内存。

    例如，

    http://<ip_addr:port>/IDMProv/rest/monitoring/statistics/memoryinfo

  • 线程信息： 读取大量占用 CPU 的线程的相关信息，并返回导致高 CPU 利用率的排名靠前的线程列表。

    例如，

    http://<ip_addr:port>/IDMProv/rest/monitoring/statistics/threadinfo

    要访问 JVM 中线程的堆栈跟踪，请将堆栈参数设置为 True。

    例如，

    http://<ip_addr:port>/IDMProv/rest/monitoring/statistics/threadinfo?stack=true

    要指定 JVM 中的线程数，请为 thread-count 参数指定值。

    例如，

    http://<ip_addr:port>/IDMProv/rest/monitoring/statistics/threadinfo?thread-count=1

  • 超速缓存信息： 读取 User Application 的超速缓存信息。

    例如，

    http://<ip_addr:port>/IDMProv/rest/monitoring/statistics/cacheinfo

  • 群集信息： 读取与群集相关的信息。

    例如，

    http://<ip_addr:port>/IDMProv/rest/monitoring/statistics/clusterinfo

注：您必须是安全管理员才能使用 REST API 查看 User Application 运行状况统计数字。

创建复合索引

安装或升级 Identity Applications 后，为您要用于在 Identity Manager 仪表板中对用户排序的每个属性手动创建复合索引。您可以使用位于 eDirectory 安装路径中的 ndsindex 实用程序来创建复合索引。可以指定多个属性并以 $ 符号分隔来创建复合索引。下面是需要创建复合索引的基本属性：

  • Surname,Given Name

  • Given Name,Surname

  • cn,Surname

  • Title,Surname

  • Telephone Number,Surname

  • Internet Email Address,Surname

  • L,Surname

  • OU,Surname

以下命令可帮助您使用 ndsindex 实用程序创建复合索引：

ndsindex add [-h <hostname>] [-p <port>] -D <admin DN> -W|[-w <password>] -s <eDirectory Server DN> [<indexName1>, <indexName2>.....] 

例如，要根据职位对用户排序，请执行以下命令：

ndsindex add -h <hostname> -p <ldap port> -D <admin DN> -w <admin passwd> -s <eDirectory Server DN> Title-SN;Title$Surname;value

您也可以使用转换导出实用程序创建复合索引。

必须使用 LDIF 文件来创建索引。导入 LDIF 文件后，请通过触发 Limber 来启动索引编制活动。否则，索引编制会在 Limber 自动触发时才执行。

用于创建复合索引以根据 Title 属性对用户排序的示例 LDIF 文件：

dn: cn=osg-nw5-7, o=Novell
changetype: modify
add: indexDefinition
indexDefinition: 0$sntitleindex$0$0$0$1$Title$surname

有关 LDIF 文件的详细信息，请参见《NetIQ eDirectory Administration Guide》（NetIQ eDirectory 管理指南）中的“LDIF Files”（LDIF 文件）。

配置 Identity Application 以拒绝客户端发起的 SSL 重新协商

默认情况下，Identity Applications 安装程序会配置一个非安全连接 (http)。在某些情况下，非安全连接会使 Identity Manager 容易受到因客户端所发起与 Identity Applications 服务器的 SSL 重新协商而导致的拒绝服务攻击。为防止发生此问题，请将以下标志添加到 <tomcat-install-directory>\bin\setenv.bat 文件中的 CATALINA_OPTS 条目。

 "-Djdk.tls.rejectClientInitiatedRenegotiation=true"

15.5.4 禁用阻止 HTML 成帧设置以将 Identity Manager 与 SSPR 集成

本节介绍了将 Identity Manager 集成到 Identity Manager 4.5 未部署的现有 SSPR 4.2 环境所需的配置。SSPR 提供了一个可配置选项阻止 HTML 成帧，使用该选项，用户可以查看包含 iframe html 源代码的任何应用程序的内嵌帧中的 SSPR。如果您选择此选项，SSPR 将不会包含在应用程序的指定 iFrame 中。要为 Identity Manager 禁用此选项，请执行以下步骤：

  1. 转到 http://<IP/DNS name>:<port>/sspr。此链接可将您导向到 SSPR 门户。

  2. 以 SSPR 管理员身份登录。

  3. 单击页顶部的配置编辑器，然后指定 OSP 配置口令。

  4. 单击设置 > 安全性 > 始终显示高级设置，然后执行以下操作：

    1. 浏览到阻止 HTML 成帧，取消选择已启用，然后单击保存以保存设置。

    2. 在确认窗口中，单击确定。

15.5.5 校验用户属性

要让用户能够使用 Identity Applications，必须确保具有必要权限的用户属性已添加到包含您所有系统用户的容器中。您可以使用 iManager 校验这些属性。在 iManager 中执行下列步骤来校验这些设置：

  1. 使用身份库 IP 地址作为树，以管理员身份登录 iManager。

  2. 在树面板中，选择配置了 Identity Applications 的树。

  3. 针对包含所有系统用户的容器单击指派的权限。

  4. 校验下列属性是否具有列表中的必要权限：

    • 说明

    • Internet EMail Address

    • 登录脚本

    • 打印作业配置

    • 电话号码

    • 标题

    • 直属下属

    • 管理者

    • 照片

    • srvprvQueryList

    • srvprvUserPrefs

    如果缺少任何属性，请单击添加属性。

    1. 从列表中选择所需的属性，然后单击完成。

    2. 选择属性的必要权限，然后单击完成。

    图 15-1 将属性添加到用户容器中

15.5.6 启动 Identity Applications

本节提供了启动 Identity Applications 以及在应用程序服务器上首次登录的说明。在群集环境中，请在主节点上开始该过程。Identity Applications 应已安装，并且已可进行部署。有关安装后任务的详细信息，请参见部分 15.7, 完成 Identity Applications 的安装。

可以使用 services.msc 启动脚本来启动 Tomcat 服务。此文件也可用于停止和重启动 Tomcat 服务。

完成这些步骤之后，如果浏览器未显示 User Application 页面，请检查终端控制台上是否有错误讯息，并参见部分 37.0, 查错。

要启动 Identity Applications，请执行以下操作：

  1. 启动 Identity Applications 的数据库。有关详细信息，请参见数据库文档。

  2. 要使 User Application 运行报告，请在 Tomcat 的启动脚本中添加 Djava.awt.headless=true 标志。例如：

    JAVA_OPTS="-Djava.awt.headless=true -Dfile.encoding=UTF-8 -Dsun.jnu.encoding=UTF-8 -server -Xms1024m -Xmx1024m -XX:MaxPermSize=512m

    注：如果是在 X11 Windows 系统上运行，则不需要执行此步骤。

  3. 启动 Identity Applications 安装到的 Tomcat。

    注：在群集中，请只启动主节点。

  4. 在命令行中，将安装目录设置为工作目录。

  5. 执行启动脚本。

  6. 要启用与 User Application 驱动程序的通讯，请完成以下步骤：

    1. 登录到 iManager。

    2. 在左侧导航框架中的角色和任务 > Identity Manager 下，单击 Identity Manager 概述。

    3. 在内容视图中，指定包含 User Application 驱动程序的驱动程序集，然后单击搜索。

    4. 在显示驱动程序集及其关联驱动程序的示意图中，单击 User Application 驱动程序对应的红白图标。

    5. 单击启动驱动程序。

      启动后，驱动程序将尝试与 User Application“握手”。如果应用程序服务器未运行，或者 WAR 未成功部署，驱动程序将返回错误。否则，驱动程序状态将更改为阴阳符号，指示驱动程序现已启动。

  7. 要启动 Role and Resource Service 驱动程序，请重复步骤 6 中的过程。

  8. 要起动并登录到 User Application，请在 Web 浏览器中输入以下 URL： 

    http://hostname:port/ApplicationName
    hostname

    表示应用程序服务器的名称 (Tomcat)。例如：myserver.domain.com

    port

    表示应用程序服务器的端口号。例如：8180。

    ApplicationName

    表示您在安装应用程序期间提供应用程序服务器配置信息时所指定的名称。例如：IDMProv。

  9. 在 User Application 登录页的右上角，单击登录。

  10. （视情况而定）要在群集组中启用 User Application，请完成以下步骤：

    1. 单击管理。

    2. 在“应用程序配置”门户中，单击超速缓存。

    3. 在“超速缓存管理”窗口中，为群集已启用选择 True。

    4. 单击保存。

    5. 重启动服务器。

    6. （视情况而定）要使用本地设置，请针对群集中的每个服务器重复此过程。