15.7 完成 Identity Applications 的安装

15.7.1 在群集环境中检查服务器的运行状况

有关详细信息,请参见检查服务器的运行状况

15.7.2 手动创建数据库纲要

安装 Identity Applications 时,可以暂缓连接到数据库或者在数据库中创建表。如果您对数据库没有许可权限,则可能需要选择此选项。安装程序将创建一个 SQL 文件,您可以使用该文件来创建数据库纲要。您也可以在安装后重创建数据库表,而无需重新安装。为此,您要删除 Identity Applications 的数据库,并创建同名的新数据库。

使用 SQL 文件生成数据库纲要

本节假设安装程序已创建了您可执行以生成数据库纲要的 SQL 文件。如果您没有该 SQL 文件,请参见手动创建 SQL 文件以生成数据库纲要。

注:请不要使用 SQL*Plus 来执行该 SQL 文件。该文件中的行长度超过了 4000 个字符。

  1. 停止 应用程序服务器。

  2. 登录到数据库服务器。

  3. 删除 Identity Applications 使用的数据库。

  4. 创建与步骤 3 中所删除数据库同名的新数据库。

  5. 浏览到安装过程创建的 SQL 脚本(默认位于 /installation_path/userapp/sql 目录中)。

  6. 让数据库管理员运行该 SQL 脚本,以创建并配置 User Application 数据库。

  7. 重启动 Tomcat。

手动创建 SQL 文件以生成数据库纲要

您可以在安装后重新创建数据库表,而无需重新安装,也无需具有 SQL 文件。本节将帮助您在没有 SQL 文件的情况下创建数据库纲要。

  1. 停止 Tomcat。

  2. 登录到托管 Identity Applications 数据库的服务器。

  3. 删除现有的数据库。

  4. 创建与您在步骤 3 中删除的数据库同名的新数据库。

  5. 在文本编辑器中,打开 NetIQ-Custom-Install.log 文件(默认位于 Identity Applications 的安装根目录中)。例如:

    C:\NetIQ\idm\apps\UserApplication
  6. 在 NetIQ-Custom-Install.log 文件中搜索并复制以下命令:

    C:\NetIQ\idm\jre\bin\java -Xms256m -Xmx256m  -Dwar.context.name=IDMProv -Ddriver.dn="cn=User Application Driver,cn=driverset1,o=system" -Duser.container="o=data" -jar C:\NetIQ\idm\jre\liquibase.jar --databaseClass=liquibase.database.core.PostgresDatabase --driver=org.postgresql.Driver --classpath=C:\NetIQ\idm\apps\postgresql\postgresql-9.4.1212jdbc42.jar C:\NetIQ\idm\apps\UserApplication\IDMProv.war --changeLogFile=DatabaseChangeLog.xml  --url="jdbc:postgresql://localhost:5432/idmuserappdb" --contexts="prov,newdb" --logLevel=info --logFile=C:\NetIQ\idm\apps\UserApplication\db.out --username=******** --password=******** update
  7. 登录到安装了 Identity Applications 数据库的服务器。

  8. 在终端中,粘贴您复制的命令字符串。

    注:该命令应是 updateSQL。如果命令是 update,请将它更改为 updateSQL。

  9. 在该命令中,将表示数据库用户名和口令的星号 (*) 替换为进行鉴定所需的实际值。此外,请确保 SQL 文件名是唯一的。

  10. 执行该命令。

  11. (视情况而定)如果进程生成了一个 SQL 文件而没有填充数据库,请向数据库管理员提供该文件,以将它导入数据库服务器。有关详细信息,请参见使用 SQL 文件生成数据库纲要。

  12. 在数据库管理员导入该 SQL 文件后,启动 Tomcat。

15.7.3 手动将 Identity Applications 和 Identity Reporting 证书导入到身份库中

  • 如果您拥有 Identity Applications 和 Identity Reporting 组件的自定义证书,请将这些证书导入到身份库(位于 C:\NetIQ\eDirectory\jre\lib\security\cacerts 中)。

    例如,您可以使用以下 keytool 命令将证书导入到身份库中:

    keytool -importkeystore -alias <User Application certificate alias> -srckeystore  <backup cacert> -srcstorepass changeit -destkeystore C:\NetIQ\eDirectory\jre\lib\security\cacerts
  • 如果您将 SSPR 安装在不同于 User Application 服务器的另一服务器上,请确保将 SSPR 应用程序证书添加到 User Application cacerts。

15.7.4 记录主密钥

NetIQ 建议在安装后,立即复制加密的主密钥并将其记录在安全的位置。如果此项安装是在群集的第一个成员上进行的,当您在群集的其他成员上安装 Identity Applications 时,将要用到这个加密的主密钥。

警告:要始终保留加密主密钥的复本。如果丢失了主密钥,您需要使用加密的主密钥重新获取加密数据的访问权。例如,在发生设备故障后,您可能需要该密钥。

15.7.5 配置 Identity Applications 的身份库

Identity Applications 必须能够与身份库中的对象交互。

为了提高 Identity Applications 的性能,eDirectory 管理员应为 manager、ismanager 和 srvprvUUID 属性创建值索引。如果这些属性没有值索引,Identity Applications 用户可能会遭遇性能不佳的状况,这在群集环境中尤为突出。

通过在 RBPM 配置实用程序中选择“高级”>“创建 eDirectory 索引”,即可在安装期间自动创建这些值索引。有关使用 Index Manager 创建值索引的详细信息,请参见《NetIQ eDirectory Administration Guide》(NetIQ eDirectory 管理指南)。

15.7.6 更改 User Application 的默认环境名称

如果不使用默认环境名称,您可以根据组织的要求创建新环境。您可以通过执行下列操作来更改环境名称:

  1. 使用 services.msc 文件停止 Tomcat 服务。

  2. 导航到 C:\NetIQ\idm\apps\UserApplication 中的 User Application 目录。

  3. 在 GUI 模式下起动 configupdate 实用程序。

    确保 configupdate.bat.properties 文件中的 use_console 选项设置为 false。

  4. 在 User Application 选项卡中单击显示高级选项,然后执行以下步骤:

    1. 选择更改 RBPM 环境名称。

    2. 在 RBPM 环境名称中指定自定义环境名称。例如 IDMProvCustom。

    3. 浏览到并选择“角色驱动程序 DN”。例如 cn=Role and Resource Service Driver,cn=Driver Set,o=system。

    4. 单击确定。

  5. 校验 war 文件是否已重命名。

    • 导航到 Tomcat webapps 文件夹,检查 IDMProvCustom.war 项是否已更新。

    • 导航到 \TOMCAT_INSTALLED_HOME\conf 中的 ism-configuration properties 文件,并检查 portal.context 项是否指定了新的环境名称。

  6. 使用 C:\NetIQ\idm\apps\UserApplication 中的 update-context.bat 文件将数据库更新为采用新的环境名称。

    执行以下命令以运行 update-context.bat 文件。

    ua:C:\NetIQ\idm\apps\UserApplication # vi update-context.bat

    屏幕上应该会显示以下项:

    # copy and paste or execute this script before changing context name
    # Substitute your new context where indicated
    # 
    C:\NetIQ\idm\jre\bin\java -Xms256m -Xmx256m  -Dwar.context.name=[New Context Here] -Ddriver.dn=[UA Driver DN] -jar C:\NetIQ\idm\apps\UserApplication\liquibase.jar --databaseClass=liquibase.database.core.PostgresDatabase  --driver=org.postgresql.Driver  --classpath=
    C:\NetIQ\idm\apps\postgres\postgresql-9.4.1212.jdbc42.jar:
    C:\NetIQ\idm\apps\tomcat\webapps\IDMProv.war --changeLogFile=UpdateProducerId.xml   --url="jdbc:postgresql://localhost:5432/idmuserappdb?compatible=true" --contexts="prov,updatedb" --logLevel=debug --username=******** --password=******** update

    例如,如果您使用的是 PostgreSQL 数据库,请运行以下脚本:

    C:\NetIQ\idm\apps\jre\bin\java -Xms256m -Xmx256m  -Dwar.context.name=IDMProvCustom  -Ddriver.dn= cn=Role and Resource Service Driver,cn=driverset1,o=system -jar 
    C:\NetIQ\idm\apps\UserApplication\liquibase.jar --databaseClass=liquibase.database.core.PostgresDatabase  --driver=org.postgresql.Driver  --classpath=
    C:\NetIQ\idm\apps\postgres\postgresql-9.4.1212.jdbc42.jar:
    C:\NetIQ\idm\apps\tomcat\webapps\IDMProv.war --changeLogFile=UpdateProducerId.xml   --url="jdbc:postgresql://<Database Server:5432/idmuserappdb?compatible=true" --contexts="prov,updatedb" --logLevel=debug -–username=dbadmin --password=******** update

    其中

    -Dwar.context.name=IDMProvCustom 指定新环境。

    -Ddriver.dn ="cn=User Application Driver,cn=driverset1,o=system" 指定 User Application 驱动程序 DN。

    --username=dbadmin 指定可创建数据库表、视图和其他项目的数据库管理员用户名。

    重要说明:对于其他支持的数据库,请不要更改脚本中的数据库驱动程序细节。

  7. 校验数据库表是否使用了新的环境名称。

    表名

    要检查的列

    PORTALPRODUCERS

    producerid

    PORTALPRODUCERREGISTRY

    producerid

    PORTALREGISTRY

    producerid

    PORTALPORTLETSETTINGS

    producerid

    PORTALPORTLETHANDLES

    producerid

    PROFILEGROUPPREFERENCES

    elementid

    例如,运行以下 SQL 命令可在 PORTALPRODUCERS 表中校验新环境名称:

    Select * from PORTALPRODUCERS;

    该命令应该只返回新环境名称。

  8. 使用 services.msc 文件启动 Tomcat 服务。

15.7.7 重新配置 Identity Applications 的 WAR 文件

要更新 Identity Applications 的 WAR 文件,请运行 RBPM 配置实用程序。

  1. 通过执行 configupdate.bat 来运行安装目录中的实用程序。

    有关实用程序参数的详细信息,请参见部分 15.8, 配置 Identity Applications 的设置。

  2. 将新的 WAR 文件部署到应用程序服务器。

    对于 Tomcat 单一服务器,这些更改将应用于所部署的 WAR。

15.7.8 配置忘记口令管理

Identity Manager 安装中包含 Self Service Password Reset,可帮助您管理忘记口令的重设置过程。此外,您也可以使用外部口令管理系统。

使用 Self Service Password Reset 进行忘记口令管理

在大多数情况下,您可以在安装 SSPR 和 Identity Applications 时启用忘记口令管理功能。但是,有时您可能没有指定当口令更改后,SSPR 要将用户定向到的 Identity Applications 登录页 URL。此时,您也需要启用忘记口令管理。本节提供以下信息:

将 Identity Manager 配置为使用 Self Service Password Reset

本节提供了将 Identity Manager 配置为使用 SSPR 的相关信息。

  1. 登录到安装了 Identity Applications 的服务器。

  2. 运行 RBPM 配置实用程序。有关详细信息,请参见部分 15.8.1, 运行 Identity Applications 配置实用程序。

  3. 在实用程序中,浏览到鉴定 > 口令管理。

  4. 对于口令管理提供程序,请指定 SSPR。

  5. 选择忘记口令。

  6. 浏览到 SSO 客户端 > Self Service Password Reset。

  7. 对于 OSP 客户端 ID,请指定要用于供鉴定服务器识别 SSPR 单点登录客户端的名称。默认值为 sspr。

  8. 对于 OSP 客户端机密,请指定 SSPR 单点登录客户端的口令。

  9. 对于 OSP 重定向 URL,请指定在完成鉴定后,鉴定服务器要将浏览器客户端重定向到的绝对 URL。

    使用以下格式:protocol://server:port/path。例如,http://10.10.10.48:8180/sspr/public/oauth。

  10. 保存更改并关闭实用程序。

为 Identity Manager 配置 Self Service Password Reset

本节提供了配置 SSPR 以与 Identity Manager 配合使用的相关信息。例如,您可能想要修改口令策略和询问应答问题。

如果您随 Identity Manager 一起安装了 SSPR,即已指定了管理员可用来配置应用程序的口令。NetIQ 建议您修改 SSPR 设置,然后指定可以配置 SSPR 的管理员帐户或组。有关配置口令的详细信息,请参见部分 14.2, 为 Identity Manager 安装口令管理。

  1. 使用您在安装期间指定的配置口令登录到 SSPR。

  2. 在“设置”页面中,修改口令策略和询问应答问题的设置。有关配置 SSPR 设置默认值的详细信息,请参见《NetIQ Self Service Password Reset Administration Guide》(NetIQ Self Service Password Reset 管理指南)中的“Configuring Self Service Password Reset”(配置 Self Service Password Reset)。

  3. 锁定 SSPR 配置 文件 (SSPRConfiguration.xml)。有关锁定配置文件的详细信息,请参见锁定 SSPR 配置。

  4. (可选)要在锁定配置后修改 SSPR 设置,必须在 SSPRConfiguration.xml 文件中将 configIsEditable 设置设为 true。

  5. 从 SSPR 中注销。

  6. 要使更改生效,请重启动 Tomcat。

锁定 SSPR 配置

  1. 转到 http://<IP/DNS name>:<port>/sspr。此链接可将您转到 SSPR 门户。

  2. 使用管理员帐户登录到 Identity Manager,或使用现有的登录身份凭证登录。

  3. 单击页面顶部的配置管理器,然后指定您在安装期间指定的配置口令。

  4. 单击配置编辑器,然后浏览到设置 > LDAP 设置。

  5. 锁定 SSPR 配置 文件 (SSPRConfiguration.xml)。

    1. 在“管理员许可权限”部分下,在身份库中以 LDAP 格式定义过滤器,以过滤对 SSPR 具有管理员权限的用户或组。默认情况下,该过滤器设置为 groupMembership=cn=Admins,ou=Groups,o=example。

      例如,对于 User Application 管理员,请将它设置为 uaadmin (cn=uaadmin)。

      这可以防止用户修改 SSPR 中的配置,但具有完全权限可修改设置的 SSPR 管理员用户除外。

    2. 为确保 LDAP 查询返回结果,请单击查看匹配项。

      如果设置中存在任何错误,则您无法继续设置下一个配置选项。SSPR 会显示错误细节,以帮助您进行问题查错。

    3. 单击保存。

    4. 在弹出的确认窗口中,单击确定。

      锁定 SSPR 后,管理员用户可以在“管理”用户界面中查看其他选项,例如“仪表板”、“用户活动”、“数据分析”等,而在锁定 SSPR 之前则不会显示这些选项。

  6. (可选)要在锁定配置后修改 SSPR 设置,必须在 SSPRConfiguration.xml 文件中将 configIsEditable 设置设为 true。

  7. 从 SSPR 中注销。

  8. 以步骤 3 中定义的管理员用户身份再次登录到 SSPR。

  9. 单击关闭配置,然后单击确定以确认更改。

  10. 要使更改生效,请重启动 Tomcat。

使用旧版提供程序进行忘记口令管理

您也可以不使用 SSPR,而是使用 Identity Manager 中的旧版提供程序实现忘记口令管理功能。如果选择了旧版提供程序,则不需要安装 SSPR。但是,您需要为用户重指派许可权限,使其能够访问共享页面以进行口令管理。本节提供执行以下活动的步骤:

有关旧版提供程序的详细信息,请参见部分 4.4.2, 了解旧式口令管理提供程序。有关共享页面和许可权限的详细信息,请参见《NetIQ Identity Manager - Administrator’s Guide to the Identity Applications》(NetIQ Identity Manager - Identity Applications 管理员指南)中的Page Administration(页面管理)。

配置旧版提供程序以进行忘记口令管理

  1. 登录到安装了 Identity Applications 的服务器。

  2. 运行 RBPM 配置实用程序。有关详细信息,请参见部分 15.8.1, 运行 Identity Applications 配置实用程序。

  3. 在实用程序中,浏览到鉴定 > 口令管理。

  4. 对于口令管理提供程序,请指定 User Application(旧版)。

  5. 对于忘记口令,请指定内部。

  6. 浏览到 SSO 客户端 > Self Service Password Reset。

  7. OSP 重定向 URL 设置应该是空的。

  8. 保存更改并关闭实用程序。

重指派对口令管理页面的许可权限

在安装期间,Identity Applications 的设置默认为 SSPR。必须为允许访问用于管理口令的共享页面的用户、组或容器指派或重指派许可权限。向用户指派对某个容器页面或共享页面的查看许可权限后,用户便可以访问该页面,并能在可用页列表中看到该页。

  1. 确保 Identity Manager 使用的是旧版提供程序。有关详细信息,请参见配置旧版提供程序以进行忘记口令管理。

  2. 以应用程序管理员身份登录到 User Application。例如,以 uaadmin 身份登录。

  3. 浏览到管理 > 页面管理。

  4. 在共享页面面板中,浏览到口令管理。

  5. 选择要对其指定许可权限的页面。例如“更改口令”或“口令询问应答”。

  6. 在右侧面板中,单击指派许可权限。

  7. 在查看中,选择要指派到该页面的用户、组或容器。

  8. (可选)要确保只有应用程序管理员才能访问指定的页面,请选择仅为管理员设置的查看许可权限。

  9. 单击保存。

  10. 针对想要配置的每个页面,执行步骤 5 至步骤 9。

  11. 选择主页图标返回仪表板。

  12. 导航到应用程序,然后选择 。

  13. 在管理应用程序页面上,使用 UserApp PwdMgt 的链接替换指向 SSPR 的链接。

    有关详细信息,请参见针对分布式环境或群集环境更新仪表板中的 SSPR 链接和 Identity Applications 的帮助。

  14. 注销,然后重启动 Tomcat。

使用外部系统进行忘记口令管理

要使用外部系统,必须指定包含“忘记口令”功能的 WAR 文件的位置。此过程包括以下活动:

指定外部忘记口令管理 WAR 文件

如果您在安装期间未指定此值,并想要修改设置,则您可以使用 RBPM 配置实用程序,或者以管理员身份在 User Application 中进行更改。

  1. (视情况而定)要在 RBPM 配置实用程序中修改设置,请完成以下步骤:

    1. 登录到安装了 Identity Applications 的服务器。

    2. 运行 RBPM 配置实用程序。有关详细信息,请参见部分 15.8.1, 运行 Identity Applications 配置实用程序。

    3. 在实用程序中,浏览到鉴定 > 口令管理。

    4. 对于口令管理提供程序,请指定 User Application(旧版)。

  2. (视情况而定)要在 User Application 中修改设置,请完成以下步骤:

    1. 以 User Application 管理员身份登录。

    2. 浏览到管理 > 应用程序配置 > 口令模块设置 > 登录。

  3. 对于忘记口令,请指定外部。

  4. 对于忘记口令链接,请指定当用户在登录页面上单击忘记口令时所显示的链接。当用户单击此链接时,应用程序会将其定向到外部口令管理系统。例如:

    http://localhost:8180/ExternalPwd/jsps/pwdmgt/ForgotPassword.jsp
  5. 对于忘记口令返回链接,请指定用户执行完忘记口令过程后显示的链接。用户单击此链接,即可重定向到指定的链接。例如:

    http://localhost/IDMProv
  6. 对于忘记口令 Web 服务 URL,请指定外部转发口令 WAR 用来回调 Identity Applications 的 Web 服务 URL。使用以下格式:

    https://idmhost:sslport/idm/pwdmgt/service

    返回链接必须使用 SSL,以确保与 Identity Applications 进行安全的 Web 服务通讯。有关详细信息,请参见配置应用程序服务器之间的 SSL 通讯。

  7. 手动将 ExternalPwd.war 复制到运行外部口令 WAR 功能的远程应用程序服务器部署目录。

测试外部忘记口令 配置

如果您拥有外部口令 WAR 文件并想要通过访问“忘记口令”功能来测试该功能,可以在以下位置访问它:

  • 直接在浏览器中访问。转到外部口令 WAR 文件中的“忘记口令”页面。例如:http://localhost:8180/ExternalPwd/jsps/pwdmgt/ForgotPassword.jsp。

  • 在 User Application 登录页面上,单击忘记口令链接。

配置应用程序服务器之间的 SSL 通讯

如果您使用的是外部口令管理系统,则必须在部署 Identity Applications 与外部忘记口令管理 WAR 文件的 Tomcat 实例之间配置 SSL 通讯。有关详细信息,请参见 Tomcat 文档。

针对分布式环境或群集环境更新仪表板中的 SSPR 链接

安装过程假设您要将 SSPR 部署在 Identity Applications 和 Identity Reporting 所在的同一个应用程序服务器上。默认情况下,仪表板中应用程序页面上的内置链接使用指向本地系统上 SSPR 的相对 URL 格式。例如 \sspr\private\changepassword。如果在分布式环境或群集环境中安装应用程序,则必须更新 SSPR 链接的 URL。

有关详细信息,请参见 Identity Applications 的帮助。

  1. 以管理员身份登录仪表板。例如,以 uaadmin 身份登录。

  2. 单击编辑。

  3. 在“编辑主页项目”页面上,将鼠标悬停在要更新的项目上,然后单击编辑图标。例如,选择更改我的口令。

  4. 对于链接,请指定绝对 URL。例如:http://10.10.10.48:8180/sspr/changepassword。

  5. 单击保存。

  6. 对要更新的每个 SSPR 链接重复上述步骤。

  7. 完成后,单击我已完成。

  8. 注销,然后以普通用户身份登录以测试更改。