10.3 配置 Remote Loader 和驱动程序

Remote Loader 可以托管 .dll、.so 或 .jar 文件中包含的 Identity Manager 应用程序 shim。Java 远程装载程序仅能托管 Java 驱动程序 Shim，但它不能装载或托管本机 (C++) 驱动程序 Shim。

在使用 Remote Loader 之前，必须将应用程序 shim 配置为安全连接到 Identity Manager 引擎。您还必须配置 Remote Loader 和 Identity Manager 驱动程序。有关 shim 的详细信息，请参见了解 Shim。

10.3.1 创建与 Identity Manager 引擎的安全连接

您必须确保在 Remote Loader 与 Identity Manager 引擎之间传输数据的安全。NetIQ 建议使用传输层安全性/安全套接字层 (TLS/SSL) 协议进行通讯。要支持 TLS/SSL 连接，需要有密钥存储区文件或 KMO 中储存的相应自我签名证书。本节说明了如何创建、导出和储存该证书。

注：在托管 Identity Manager 引擎和 Remote Loader 的服务器上使用相同 SSL 版本。如果该服务器与 Remote Loader 上的 SSL 版本不匹配，服务器将返回 SSL3_GET_RECORD：错误的版本号错误讯息。此讯息仅作警告之用，服务器与 Remote Loader 之间的通讯并不会中断。但是，该错误可能会让用户感到困惑。

了解通讯过程

Remote Loader 会打开客户端套接字，并监听来自远程接口 Shim 的连接。远程接口 shim 和 Remote Loader 会执行 SSL 握手，以建立安全通道。然后，远程接口 shim 将鉴定到 Remote Loader。如果远程接口 shim 的鉴定成功，Remote Loader 将鉴定到远程接口 shim。只有双向鉴定确认双方使用授权的实体进行通讯后，同步交通才能进行。

在驱动程序与 Identity Manager 引擎之间建立 SSL 连接的过程取决于驱动程序的类型：

注：Remote Loader 允许在 Remote Loader 和 Identity Manager 服务器上托管的远程接口 shim 之间使用自定义连接方法。要配置自定义连接模块，请参见该模块随附文档中有关连接字符串中预期的和允许内容的信息。

管理自我签名的服务器证书

您可以创建和导出自我签名的服务器证书，以确保在 Remote Loader 与 Identity Manager 引擎之间进行安全通讯。如需额外的安全保障，您可以按照 Suite B 指定为 SSL 通讯配置较严密的密码。此通讯需要使用 ECDSA（Elliptic Curve Digital Signature Algorithm，椭圆曲线数字签名算法）证书来加密数据。启用 Suite B 时，Remote Loader 使用 TLS 1.2 作为通讯协议。有关 Suite B 的详细信息，请参见“Suite B Cryptography”（Suite B 加密法）。

您可以导出新创建的证书，也可以使用现有证书。

注：如果服务器加入树，eDirectory 将创建以下默认证书：

  • SSL CertificateIP

  • SSL CertificateDNS

  • 符合 Suite B 要求的证书

  1. 登录到 NetIQ iManager。

  2. 要创建新证书，请完成以下步骤：

    1. 单击 NetIQ 证书服务器 > 创建服务器证书。

    2. 选择拥有该证书的服务器。

    3. 指定证书的绰号。例如：remotecert。

      注：NetIQ 建议不要在证书绰号中使用空格。例如，使用 remotecert 而不要使用 remote cert。

      还需要记录证书绰号。此绰号将在驱动程序的远程连接参数中用作 KMO 名称。

    4. 选择证书创建方法，然后单击下一步。

      您可以选择以下选项：

      • 标准： 该选项会使用可能的最大密钥大小创建服务器证书对象，并使用您的组织 CA 对公共密钥证书签名。

      • 自定义： 此选项会使用您指定的设置创建服务器证书对象。它可让您为服务器证书对象设置一些自定义设置。选择此选项可创建 ECDSA 证书以用于 Suite B 通讯。

      • 导入： 此选项会使用 PKCS12 (PFX) 文件中的密钥和证书创建服务器证书对象。您可以将该选项结合“导出”功能一起使用，以备份和恢复服务器证书或将服务器证书对象从一台服务器移至另一台服务器。

    5. 指定证书参数。

    6. 接受其余的证书默认值。

    7. 复查摘要，单击完成，然后单击关闭。

  3. 要导出证书，请完成以下步骤：

    1. 在 iManager 中，导航到角色和任务 > NetIQ 证书访问 > 服务器证书。

    2. 浏览并选择已创建的证书或服务器创建的证书（例如 SSL CertificateDNS）。

    3. 单击导出。

    4. 从下拉菜单中选择 OU=organization CA.O=TREEANAME 作为 CA 证书。

    5. 从下拉菜单中选择 BASE64 > 导出格式。

      注：如果 Remote Loader 要在 Windows 2012 R2 64 位服务器上运行，证书必须采用 Base64 格式。如果您使用 DER 格式，Remote Loader 将无法连接到 Identity Manager 引擎。

    6. 单击下一步。

    7. 单击保存，然后单击关闭。

使用 SSL 连接时创建密钥存储区文件

要在 Java 驱动程序与 Identity Manager 引擎之间使用 SSL 连接，您必须创建一个密钥存储区。密钥存储区是一个 Java 文件，其中包含加密钥、可能还包含证书（可选）。如果要在 Remote Loader 与 Identity Manager 引擎之间使用 SSL，并且要使用 Java shim，那么，您需创建一个密钥存储区文件。以下章节说明了如何创建密钥存储区文件：

在任何平台上创建密钥存储区

要在任意平台上创建密钥存储区，可以在命令行中输入以下内容：

keytool -import -alias trustedroot -file self-signed_certificate_name -keystore filename -storepass keystorepass

文件名可以是任意名称。例如：rdev_keystore。

创建密钥存储区

运行默认位于 c:\novell\remoteloader\jre\bin 目录中的 Keytool 实用程序。

10.3.2 了解 Remote Loader 的配置参数

要使 Remote Loader 能够与托管 Identity Manager 应用程序 shim 的驱动程序实例配合工作，您必须配置该驱动程序实例。例如，必须指定该实例的连接和端口设置。您可以通过命令行或 Remote Loader 控制台指定设置。实例运行后，您可以使用命令行修改配置参数，或者指示 Remote Loader 执行某个函数。例如，您可能需要打开跟踪窗口或卸载 Remote Loader。

本节提供了有关配置参数的信息。其中说明了当实例正在运行时，是否可以从命令行发送一个参数来更新 Remote Loader。

有关配置新驱动程序实例的详细信息，请参见部分 10.3.3, 为驱动程序实例配置 Remote Loader。

Remote Loader 中驱动程序实例的配置参数

您可以在命令行或配置文件中配置驱动程序实例。NetIQ 提供了 config8000.txt 示例文件，可帮助您配置要与应用程序 shim 配合使用的 Remote Loader 和驱动程序。该示例文件默认位于 C:\novell\remoteloader\<architecture(64bit/32bit>\ 或 C:\Novell\remoteloader.NET 目录中。例如，该配置文件可能包含以下行：

-commandport 8000
-connection "port=8090"
-trace 4
-tracefile ./trace8000.log
-class com.novell.nds.dirxml.driver.delimitedtext.DelimitedTextDriver

请使用以下参数：

-assembly

（视情况而定）使用 .NET Remote Loader 时，请指定驱动程序 .dll 所在的路径。请确保配置文件包含此参数。例如：

-assembly C:\Novell\remoteloader.NET\DXMLMADDriver.dll
-description value (-desc value)

（可选）以字符串格式指定简短说明（例如 SAP），应用程序将在跟踪窗口的标题中使用该说明，并将其用于审计日志记录。例如：

-description SAP
-desc SAP
-class name (-cl name)

（视情况而定）使用 Java 驱动程序时，指定要托管的 Identity Manager 应用程序 shim 的 Java 类名。此选项将告知应用程序使用 Java 密钥存储区来读取证书。例如：

-class com.novell.nds.dirxml.driver.ldap.LDAPDriverShim -cl com.novell.nds.dirxml.driver.ldap.LDAPDriverShim

注：

  • 如果指定了 -module 选项，则不能使用上述选项。

  • 如果使用制表符字符作为 -class 选项中的分隔符，Remote Loader 将不会自动启动，而必须由您手动启动。要让 Remote Loader 正常启动，您可以使用空格字符而不要使用制表符。

  • 有关可为此选项指定的名称的详细信息，请参见了解 Java -class 参数的名称。

-commandport port_number (-cp port_number)

指定驱动程序实例用于控制用途的 TCP/IP 端口。例如：-commandport 8001 或 -cp 8001。默认值是 8000。

要在同一个服务器上将多个驱动程序实例与 Remote Loader 配合使用，请为每个实例指定不同的连接端口和命令端口。

如果驱动程序实例要托管应用程序 shim，则命令端口将是另一个实例与托管 shim 的实例进行通讯的端口。如果驱动程序实例要将命令发送到托管应用程序 shim 的实例，则命令端口将是托管实例所要侦听的端口。

如果要从命令行将此参数发送到托管应用程序 shim 的实例，则命令端口表示托管实例所要侦听的端口。您可以在 Remote Loader 运行时发送此命令。

-config filename

指定驱动程序实例的配置文件。例如：

-config config.txt

配置文件可以包含除 -config 以外的任意命令行选项。在命令行中指定的选项将覆盖配置文件中指定的选项。

您可以在 Remote Loader 运行时发送此命令。

-connection “parameters” (-conn “parameters”)

指定用于连接到托管 Identity Manager 引擎并运行 Identity Manager 远程接口 shim 的服务器的设置。默认连接方法为使用 SSL 的 TCP/IP。

要在同一个服务器上将多个驱动程序实例与 Remote Loader 配合使用，请为每个实例指定不同的连接端口和命令端口。

使用以下语法输入连接字符串：

-connection "parameter parameter parameter"

例如：

-connection "port=8091 fromaddress=198.51.100.0 rootfile=server1.pem keystore=ca.pem localaddress=198.51.100.0 hostname=198.51.100.0 kmo=remote driver cert"

使用以下参数指定 TCP/IP 连接的设置：

address=IP_address

（可选）指定 Remote Loader 是否侦听特定的本地 IP 地址。如果托管 Remote Loader 的服务器有多个 IP 地址，但 Remote Loader 只能监听其中一个地址时，这个参数将非常有用。以下值为有效值：

  • address=address number

  • address='localhost'

例如： 

address=198.51.100.0

如果您未指定值，Remote Loader 将侦听所有本地 IP 地址。

fromaddress=IP_address

指定 Remote Loader 接受连接的来源服务器。应用程序将忽略来自其他地址的连接。指定服务器的 IP 地址或 DNS 名称。例如：

fromaddress=198.51.100.0
fromaddress=testserver1.company.com
handshaketimeout=milliseconds

（视情况而定）当来自 Identity Manager 引擎的其他有效连接发生握手超时适用。为 Remote Loader 与 Identity Manager 引擎之间的握手指定超时期限，以毫秒为单位。例如： 

handshaketimeout=1000

您可以指定大于或等于零的整数。零表示连接永不超时。默认值为 1000 毫秒。

hostname=server

指定要在其上运行 Remote Loader 的服务器的 IP 地址或名称。例如：

hostname=198.51.100.0
secureprotocol=TLS 版本

指定 Remote Loader 用于连接 Identity Manager 引擎的 TLS 协议版本。例如：

secureprotocol=TLSv1_2

Identity Manager 支持 TLSv1 和 TLSv1_2。默认情况下，Remote Loader 使用 TLSv1_2。要使用 TLSv1，请在该参数中指定此版本。

enforceSuiteB=true/false

（视情况而定）仅当您希望 Remote Loader 使用 Suite B 加密算法与 Identity Manager 引擎通讯时才适用。

要将 Suite B 用于通讯，请指定 true。只有 TLS 1.2 协议支持此通讯。

如果您尝试将启用 Suite B 的引擎与不支持 TLSv1.2 的 Remote Loader 进行连接，握手将会失败，并且无法建立通讯。例如，Remote Loader 4.5.3 就不支持 TLS v1.2。

useMutualAuth=true/false

（视情况而定）仅当您希望 Remote Loader 与 Identity Manager 引擎通过校验可信证书颁发机构 (CA) 颁发的公共密钥证书或数字证书或者自我签名证书来相互鉴定时适用。例如：

useMutualAuth=true
keystore=filename

指定 Java 密钥存储区的文件名，该密钥存储区包含远程接口 shim 所用证书的颁发者的可信根证书。例如：

keystore=keystore filename

通常，您可指定托管远程接口 shim 的树的证书颁发机构。

kmo=name

指定包含用于 SSL 连接的密钥和证书的密钥材料对象的密钥名称。例如：

kmo=remote driver cert
localaddress=IP_address

指定要将客户端连接套接字绑定到的 IP 地址。例如：

localaddress=198.51.100.0
port=port_number

指定 Remote Loader 将用于监听来自远程接口 shim 的连接的 TCP/IP 端口。要指定默认端口，请输入 port=8090。

rootfile=trusted certname

指定包含远程接口 Shim 所用证书颁发者可信根证书的文件的文件名。该证书文件的格式必须是 Base 64 (PEM)。例如：

rootfile=trustedcert

通常，该文件是托管远程接口 shim 的树的证书颁发机构。

storepass=password

指定您为 keystore 参数输入的 Java 密钥存储区的口令。例如：

storepass=mypassword

若要让 Remote Loader 与 Java 驱动程序通讯，请使用以下语法指定键值对： 

keystore=keystorename storepass=password
-datadir directory (-dd directory)

指定 Remote Loader 使用的数据文件所在的目录。例如：

-datadir C:\novell\remoteloader

当您使用此命令时，Remote Loader 会将其当前目录切换为指定的目录。将在此数据目录中创建不含明确的指定路径的跟踪文件和其他文件。

-help (-h)

指示应用程序显示帮助。

-java (-j)

（视情况而定）指定您想要为 Java 驱动程序 shim 实例设置口令。

注：如果您未同时指定 -class 值，请将此选项与 -setpasswords 选项结合使用。

-javadebugport port_number (-jdp port_number)

指示实例在指定的端口上启用 Java 调试。例如：

-javadebugport 8080

在开发 Identity Manager 应用程序 shim 时请使用此命令。您可以在 Remote Loader 运行时发送此命令。

-javaparam parameters (-jp parameters)

指定 Java 环境的参数。使用以下语法输入 Java 环境参数：

-javaparam parameter
-jp parameter
-jp parameter

注：不要对 Java Remote Loader 使用此参数。

要为单个参数指定多个值，请将该参数括在引号中。例如：

-javaparam DHOST_JVM_MAX_HEAP=512M
-jp DHOST_JVM_MAX_HEAP=512M
-jp "DHOST_JVM_OPTIONS=-Dfile.encoding=utf-8 -Duser.language=en"

使用以下参数设置 Java 环境：

DHOST_JVM_ADD_CLASSPATH

指定 JVM 要在其中搜索包 (.jar) 和类 (.class) 文件的其他路径。

DHOST_JVM_INITIAL_HEAP

以十进制字节数指定初始（最小）JVM 堆大小。使用数字值后跟表示字节类型的 G、M 或 K。例如：

100M

如果您未指定字节类型，大小默认以字节为单位。使用此参数的效果与使用 Java -Xms 命令相同。

此参数优先于驱动程序集属性选项。增加初始堆大小可以减少启动时间并提高吞吐量性能。

DHOST_JVM_MAX_HEAP

以十进制字节数指定最大 JVM 堆大小。使用数字值后跟表示字节类型的 G、M 或 K。例如： 

100M

如果您未指定字节类型，大小默认以字节为单位。

此参数优先于驱动程序集属性选项。

DHOST_JVM_OPTIONS

指定在启动驱动程序的 JVM 实例时要使用的自变量。请使用空格来分隔各选项字符串。例如： 

-Xnoagent -Xdebug -Xrunjdwp: transport=dt_socket,server=y, address=8000

驱动程序集属性选项优先于此参数。此环境变量附加在驱动程序集属性选项的末尾。有关有效选项的详细信息，请参见 JVM 文档。

-module “name” (-m “name”)

（视情况而定）使用本机驱动器时，请指定包含要托管的 Identity Manager 应用程序 shim 的模块。此选项将告知应用程序使用 rootfile 证书。例如，对于本机驱动程序，请键入以下内容之一：

-module "c:\Novell\RemoteLoader\ADDriver.dll"
-m "c:\Novell\RemoteLoader\ADDriver.dll"

注：

  • 如果指定了 -class 选项，则不能使用上述选项。

  • 如果使用制表符字符作为 -module 选项中的分隔符，Remote Loader 将不会自动启动，而必须由您手动启动。要让 Remote Loader 正常启动，您可以使用空格字符而不要使用制表符。

-password value (-p value)

当所发出命令会更改设置或影响实例操作时，请指定驱动程序实例的口令。您为所要发出命令的实例指定的口令必须与使用 setpasswords 指定的第一个口令相同。例如：

-password netiq4

如果您在发出命令时未发送该口令，驱动程序实例将提示您提供该口令。

您可以在 Remote Loader 运行时发送此命令。

-service value (-serv value)

指定是否要将某个实例配置为 Win32 服务。有效值为 install 和 uninstall，以及托管应用程序 shim 所需的其他参数。例如，您必须包含 -module，还可能需要包含 -commandport 和连接设置。

此命令只会安装或卸装用作服务的实例，而不会启动该服务。

您可以在 Remote Loader 运行时发送此命令。但是，您不能在 rdxml 或 Java Remote Loader 上使用此命令。

-setpasswords Remote_Loader_pwd optional_pwd (-sp Remote_Loader_pwd optional_pwd)

指定驱动程序实例的口令，以及与 Remote Loader 通讯的远程接口 shim 的 Identity Manager 驱动程序对象口令。

您不需要指定口令，Remote Loader 会提示您输入口令。但是，如果指定了 Remote Loader 的口令，则也必须指定与 Identity Manager 引擎服务器上远程接口 shim 关联的 Identity Manager 驱动程序对象的口令。要指定该口令，请使用以下语法：

-setpasswords Remote_Loader_password driver_object_password

例如：

-setpasswords netiq4 idmobject6

注：使用此选项可为驱动程序实例配置指定的口令，但不会装载 Identity Manager 应用程序 shim 或与其他实例通讯。

跟踪文件设置

（视情况而定）在托管 Identity Manager 应用程序 shim 时，请为包含 Remote Loader 和此实例的驱动程序发来的信息讯息的跟踪文件指定设置。

在配置文件中添加以下参数：

-trace integer (-t integer)

指定要在跟踪窗口中显示的讯息级别。例如：

-trace 3

Remote Loader 的跟踪级别对应于托管 Identity Manager 引擎的服务器上使用的级别。

-tracefile filepath (-tf filepath)

指定要将跟踪讯息记录到的文件的路径。必须为特定计算机上运行的每个驱动程序实例指定唯一的跟踪文件。例如：

-tracefile c:\temp\trace.txt

如果 -trace 参数大于零，应用程序会将讯息写入该文件。无需打开跟踪窗口就能将讯息写入该文件。

-tracefilemax size (-tf size)

指定此实例的跟踪文件大小限制。请使用字节类型的缩写指定以 KB、MB 或 GB 为单位的值。例如：

  • -tracefilemax 1000K

  • -tf 100M

  • -tf 10G

注：

  • 如果启动远程装载程序时跟踪文件数据大于指定的最大值，则在所有 10 个文件都完成翻转之前，跟踪文件数据都将大于指定的最大值.

  • 将此选项添加到配置文件后，应用程序将为跟踪文件使用指定的名称，并最多包含 9 个“滚动更新”文件。滚动更新文件以其主跟踪文件的名称作为基本名，后跟 _n，其中 n 为从 1 到 9 的数字。

-tracechange integer (-tc integer)

（视情况而定）当某个现有驱动程序实例托管了应用程序 shim 时，指定新的信息讯息级别。跟踪级别与 Identity Manager 服务器上使用的级别相对应。例如：

-trace 3

您可以在 Remote Loader 运行时发送此命令。

-tracefilechange filepath (-tfc filepath)

（视情况而定）当某个现有驱动程序实例托管了应用程序 shim 时，指示该实例使用跟踪文件还是关闭已使用的文件而改用此新文件。例如：

-tracefilechange \temp\newtrace.txt

您可以在 Remote Loader 运行时发送此命令。

证书口令设置

（视情况而定）仅当配置文件中的 useMutualAuth 设置为 true 时。

-keystorepassword (-ksp)

仅指定对 Java Remote Loader 驱动程序启用相互鉴定所用的密钥存储区口令。

-keypassword (-kp)

指定对 Java 和本机 Remote Loader 驱动程序启用相互鉴定所用的密钥口令。

-unload (-u)

指示卸载驱动程序实例。如果远程装载程序运行为 Win32 服务，则此命令将停止该服务。

您可以在 Remote Loader 运行时发送此命令。

-window value (-w) value

指示应用程序打开或关闭某个驱动程序实例的跟踪窗口。有效值为 on 和 off。例如：

-window on

您可以在 Remote Loader 运行时发送此命令。您不能在 Java Remote Loader 上使用此命令。

-wizard (-wiz)

起动 Remote Loader 的配置向导。也可以通过运行不带命令行参数的 dirxml_remote.exe 来起动该向导。

如果您运行此命令并指定了配置文件（-config 选项），向导将使用配置文件中的值启动。您可以使用该向导更改配置，而无需直接编辑配置文件。例如：

-wizard -config config.txt

您不能在 Java Remote Loader 上使用此命令。

了解 Java -class 参数的名称

当您使用 -class 参数配置 Remote Loader 和 Java Remote Loader 的驱动程序实例时，必须指定要托管的 Identity Manager 应用程序 shim 的 Java 类名。

Java 类名

驱动程序

com.novell.nds.dirxml.driver.dcsshim.DCSShim

Driver for Data Collection Service

com.novell.nds.dirxml.driver.delimitedtext.DelimitedTextDriver

Delimited Text Driver

be.opns.dirxml.driver.ars.arsremedydrivershim.ARSDriverShim

修复 ARS 的驱动程序

com.novell.nds.dirxml.driver.entitlement.EntitlementServiceDriver

Entitlements Service Driver

com.novell.gw.dirxml.driver.rest.shim.GWdriverShim

GroupWise 2014 驱动程序

com.novell.idm.drivers.idprovider.IDProviderShim

ID Provider Driver

com.novell.nds.dirxml.driver.jdbc.JDBCDriverShim

JDBC 驱动程序

com.novell.nds.dirxml.driver.jms.JMSDriverShim

JMS 驱动程序

com.novell.nds.dirxml.driver.ldap.LDAPDriverShim

LDAP Driver

com.novell.nds.dirxml.driver.loopback.LoopbackDriverShim

回送驱动程序

com.novell.nds.dirxml.driver.ebs.user.EBSUserDriver

Oracle User Management Driver

com.novell.nds.dirxml.driver.ebs.hr.EBSHRDriver

Oracle HR Driver

com.novell.nds.dirxml.driver.ebs.tca.EBSTCADriver

Oracle TCA Driver

com.novell.nds.dirxml.driver.msgateway.MSGatewayDriverShim

受管系统网关驱动程序

com.novell.nds.dirxml.driver.manualtask.driver.ManualTaskDriver

手动任务驱动程序

com.novell.nds.dirxml.driver.nisdriver.NISDriverShim

NIS 驱动程序

com.novell.nds.dirxml.driver.notes.NotesDriverShim

Notes 驱动程序

com.novell.nds.dirxml.driver.psoftshim.PSOFTDriverShim

PeopleSoft 驱动程序

com.netiq.nds.dirxml.driver.pum.PUMDriverShim

Privileged User Management Driver

com.novell.nds.dirxml.driver.salesforce.SFDriverShim

Salesforce Driver

com.novell.nds.dirxml.driver.SAPHRShim.SAPDriverShim

SAP HR Driver

com.novell.nds.dirxml.driver.sap.portal.SAPPortalShim

SAP Portal Driver

com.novell.nds.dirxml.driver.sapumshim.SAPDriverShim

SAP 用户管理驱动程序

com.novell.nds.dirxml.driver.soap.SOAPDriver

SOAP 驱动程序

com.novell.idm.driver.ComposerDriverShim

User Application

com.novell.nds.dirxml.driver.workorder.WorkOrderDriverShim

WorkOrder Driver

10.3.3 为驱动程序实例配置 Remote Loader

Remote Loader 可以托管 .dll、.so 或 .jar 文件中包含的 Identity Manager 应用程序 shim。为使 Remote Loader 能够运行，应用程序需要一个配置文件（例如 LDAPShim.txt）。Remote Loader 控制台实用程序（简称控制台）可帮助您管理 服务器上运行的所有 Identity Manager 驱动程序实例。您可以启动、停止、添加、去除和编辑 Remote Loader 的每个实例。Remote Loader 的安装程序也会安装控制台。

如果您要升级，控制台将检测并导入现有的驱动程序实例。要自动导入某个驱动程序，必须将其配置文件储存在 Remote Loader 目录中（默认为 c:\novell\remoteloader）。然后，就可以使用控制台管理远程驱动程序。

您可以使用命令行或 Remote Loader 控制台来配置 Remote Loader，以识别驱动程序。有关使用命令行的详细信息，请参见部分 10.3.2, 了解 Remote Loader 的配置参数。

本节提供了以下活动的说明：

在 Remote Loader 中创建新驱动程序实例

  1. 打开 Remote Loader 控制台。

    注：如果您在安装期间已选择创建控制台的快捷方式，请使用桌面上的 Identity Manager Remote Loader 控制台图标。否则，请运行默认位于 C:\novell\remoteloader\nnbit 中的 rlconsole.exe。

  2. 要在此服务器上添加驱动程序的实例，请单击添加。

  3. 在说明中，提供一个简短名称用于描述该实例。

    控制台将在配置文件的默认值中使用此信息。

  4. 对于驱动程序，请选择 Java 类名。

    注：要使用 Active Directory 驱动程序，请选择 ADDriver.dll。有关每个驱动程序的类名的详细信息，请参见了解 Java -class 参数的名称。

  5. 对于配置文件，请指定 Remote Loader 储存其配置参数的文件路径。默认值为 C:\novell\remoteloader\nnbit\Description-config.txt。

  6. 指定 Remote Loader 和驱动程序对象的口令。

  7. （可选）要在 Remote Loader 与 Identity Manager 引擎服务器之间使用 TLS/SSL 连接，请完成以下步骤：

    1. 选择使用 SSL 连接。

      注：NetIQ 建议在 Identity Manager 引擎服务器和 Remote Loader 上使用相同的 SSL 版本。如果服务器与 Remote Loader 上的 SSL 版本不匹配，服务器将返回“SSL3_GET_RECORD：错误的版本号”错误讯息。此讯息仅作警告之用，服务器与 Remote Loader 之间的通讯并不会中断。但是，该错误可能会让用户感到困惑。

    2. 对于可信根文件（base64 格式文件），请指定从 eDirectory 树的组织证书颁发机构导出的自我签名证书。有关详细信息，请参见部分 10.3.1, 创建与 Identity Manager 引擎的安全连接和部分 10.3.2, 了解 Remote Loader 的配置参数。

  8. （可选）要配置 Remote Loader 的跟踪文件，请完成以下步骤：

    注：NetIQ 建议仅将跟踪功能用于查错。启用跟踪会降低 Remote Loader 的性能。因此，请不要在生产环境中启用跟踪。

    1. 对于跟踪级别，请指定一个大于零的值，该值定义了您希望在跟踪窗口中显示的 Remote Loader 和驱动程序所发信息讯息的级别。控制台预定义的值为 1 到 4。要创建您自己的讯息类型，请指定值 5 或更高。

      最常用的设置是跟踪级别 3，它可以提供一般处理、XML 文档和 Remote Loader 讯息。

    2. 对于跟踪文件，请指定要将跟踪讯息记录到的文件路径。例如：C:\novell\remoteloader\64bit\Test-Delimited-Trace.log。

      必须为特定计算机上运行的每个驱动程序实例指定唯一的跟踪文件。仅在跟踪级别大于零时才将跟踪讯息写入跟踪文件中。

    3. 对于所有跟踪日志可用的最大磁盘空间 (Mb)，请指定此实例的跟踪文件可占用的最大磁盘空间的近似值。

  9. （可选）要在启动计算机时自动启动 Remote Loader，请选择为此驱动程序实例建立 Remote Loader 服务。

    注：如果 Remote Loader 与 Identity Manager 引擎建立连接时因 handshaketimeout 导致 SSL 连接失败，请将默认 handshaketimeout 变量更新为 10000，并重启动驱动程序和 Remote Loader。

  10. （视情况而定）要修改 Java 配置的参数，请完成以下步骤：

    1. 选择高级。

    2. 对于类路径，请指定 JVM 要在其中搜索包 (.jar) 和类 (.class) 文件的路径。

      此参数的作用与 java -classpath 命令相同。

    3. 对于 JVM 选项，请指定在启动驱动程序的 JVM 实例时要使用的选项。

    4. 指定 JVM 实例的初始和最大堆大小（以 MB 为单位）。

    5. 对于 Suite B 通讯，指定 enforceSuiteB=true。只有 TLS 1.2 协议支持此通讯。

      有关详细信息，请参见部分 10.3.1, 创建与 Identity Manager 引擎的安全连接和部分 10.3.2, 了解 Remote Loader 的配置参数。

    6. 单击确定。

  11. （可选）要允许 Remote Loader 在连接 Identity Manager 引擎时使用安全协议，请在 Remote Loader 配置文件中指定安全协议版本。例如：secureprotocol=TLSv1_2

    有关详细信息，请参见部分 10.3.2, 了解 Remote Loader 的配置参数。

    注：如果您已在驱动程序上配置安全协议版本，请跳过此步骤。

  12. （可选）要允许 Remote Loader 使用 Suite B 指定的协议进行通讯，请在 Remote Loader 配置文件中指定 enforceSuiteB=true。只有 TLS 1.2 协议支持此通讯。

    有关详细信息，请参见部分 10.3.2, 了解 Remote Loader 的配置参数。

    注：如果您已在驱动程序上启用 Suite B 通讯，请跳过此步骤。

  13. 单击确定。

在 Remote Loader 中修改现有驱动程序实例

  1. 在 Remote Loader 控制台上，从说明列中选择驱动程序实例。

  2. 单击停止。

  3. 输入 Remote Loader 的口令，然后单击确定。

  4. 单击编辑。

  5. 修改配置信息。有关每个参数的详细信息，请参见在 Remote Loader 中创建新驱动程序实例。

  6. 要保存更改，请单击确定。

10.3.4 为驱动程序实例配置 Java Remote Loader

Java 远程装载程序仅能托管 Java 驱动程序 Shim，但它不能装载或托管本机 (C++) 驱动程序 Shim。

  1. 在文本编辑器中创建一个新文件。

    NetIQ 提供了 config8000.txt 示例文件，可帮助您配置要与应用程序 shim 配合使用的 Remote Loader 和驱动程序。该示例文件默认位于 C:\novell\remoteloader\<architecture(64bit/32bit>\ 或 C:\Novell\remoteloader.NET 目录中。

  2. 在新配置文件中添加以下参数：

    • -description（可选）

    • -class 或 -module

      例如：-class com.novell.nds.dirxml.driver.ldap.LDAPDriverShim

    • -commandport

    • 连接参数：

      • port（必需）

      • address

      • fromaddress

      • handshaketimeout

      • rootfile

      • keystore

      • localaddress

      • hostname

      • kmo

      • secureprotocol

      • enforceSuiteB

      • useMutualAuth

    • -java（视情况而定）

    • -javadebugport

    • -password

    • -service

    • -setpasswords

    • 跟踪文件参数（可选）：

      • -trace

      • -tracefile

      • -tracefilemax

    注：有关参数的详细信息，请参见部分 10.3.2, 了解 Remote Loader 的配置参数。

  3. 保存新的配置文件。

    要让 Remote Loader 在计算机启动时自动启动，请将该文件保存到 \jremote 目录。

  4. 打开命令提示符。

  5. 在提示符下，输入 -config filename，其中，filename 是新配置文件的名称。例如：

    dirxml_jremote -config <configFile> -service

    这会启动 Java Remote Loader 服务并打开跟踪窗口。

  6. （可选）要停止驱动程序服务，请转到“服务”，然后停止该服务。

10.3.5 为驱动程序实例配置 .NET Remote Loader

Remote Loader 可以托管 .dll 文件中包含的 Identity Manager 应用程序 shim。为使 Remote Loader 能够运行，应用程序需要一个配置文件（例如 LDAPShim.txt）。Remote Loader 控制台实用程序（简称控制台）可帮助您管理 服务器上运行的所有 Identity Manager 驱动程序实例。您可以启动、停止、添加、去除和编辑 Remote Loader 的每个实例。Remote Loader 的安装程序也会安装控制台。

如果您要升级，控制台将检测并导入现有的驱动程序实例。要自动导入某个驱动程序，必须将其配置文件储存在 Remote Loader 目录中（默认为 c:\novell\remoteloader）。网络. 然后，就可以使用控制台管理远程驱动程序。

您可以使用命令行或 Remote Loader 控制台来配置 Remote Loader，以识别驱动程序。有关使用命令行的详细信息，请参见部分 10.3.2, 了解 Remote Loader 的配置参数。

本节提供了以下活动的说明：

在 .NET Remote Loader 中创建新驱动程序实例

  1. 打开 Remote Loader 控制台。

    注：如果您在安装期间已选择创建控制台的快捷方式，请使用桌面上的 Identity Manager Remote Loader 控制台图标。否则，请运行默认位于 C:\novell\remoteloader.net 中的 rlconsole.exe。

  2. 要在此服务器上添加驱动程序的实例，请单击添加。

  3. 在说明中，提供一个简短名称用于描述该实例。

    控制台将在配置文件的默认值中使用此信息。

  4. 对于驱动程序，请选择相应的 driver.dll。

  5. 对于配置文件，请指定 Remote Loader 储存其配置参数的文件路径。默认值为 C:\novell\remoteloader.net\Description-config.txt。

  6. 指定 Remote Loader 和驱动程序对象的口令。

  7. （可选）要在 Remote Loader 与 Identity Manager 引擎服务器之间使用 TLS/SSL 连接，请完成以下步骤：

    1. 选择使用 SSL 连接。

      注：NetIQ 建议在 Identity Manager 引擎服务器和 Remote Loader 上使用相同的 SSL 版本。如果服务器与 Remote Loader 上的 SSL 版本不匹配，服务器将返回“SSL3_GET_RECORD：错误的版本号”错误讯息。此讯息仅作警告之用，服务器与 Remote Loader 之间的通讯并不会中断。但是，该错误可能会让用户感到困惑。

    2. 对于可信根文件（base64 格式文件），请指定从 eDirectory 树的组织证书颁发机构导出的自我签名证书。有关详细信息，请参见部分 10.3.1, 创建与 Identity Manager 引擎的安全连接和部分 10.3.2, 了解 Remote Loader 的配置参数。

  8. （可选）要配置 Remote Loader 的跟踪文件，请完成以下步骤：

    注：NetIQ 建议仅将跟踪功能用于查错。启用跟踪会降低 Remote Loader 的性能。因此，请不要在生产环境中启用跟踪。

    1. 对于跟踪级别，请指定一个大于零的值，该值定义了您希望在跟踪窗口中显示的 Remote Loader 和驱动程序所发信息讯息的级别。控制台预定义的值为 1 到 4。要创建您自己的讯息类型，请指定值 5 或更高。

      最常用的设置是跟踪级别 3，它可以提供一般处理、XML 文档和 Remote Loader 讯息。

    2. 对于跟踪文件，请指定要将跟踪讯息记录到的文件路径。例如 C:\novell\remoteloader.net\Test-Delimited-Trace.log。

      必须为特定计算机上运行的每个驱动程序实例指定唯一的跟踪文件。仅在跟踪级别大于零时才将跟踪讯息写入跟踪文件中。

    3. 对于所有跟踪日志可用的最大磁盘空间 (Mb)，请指定此实例的跟踪文件可占用的最大磁盘空间的近似值。

  9. （可选）要在启动计算机时自动启动 Remote Loader，请选择为此驱动程序实例建立 Remote Loader 服务。

    注：如果 Remote Loader 与 Identity Manager 引擎建立连接时因 handshaketimeout 导致 SSL 连接失败，请将默认 handshaketimeout 变量更新为 10000，并重启动驱动程序和 Remote Loader。

  10. （可选）要允许 Remote Loader 在连接 Identity Manager 引擎时使用安全协议，请在 Remote Loader 配置文件中指定安全协议版本。例如：secureprotocol=TLSv1_2

    有关详细信息，请参见部分 10.3.2, 了解 Remote Loader 的配置参数。

    注：如果您已在驱动程序上配置安全协议版本，请跳过此步骤。

  11. （可选）要允许 Remote Loader 使用 Suite B 指定的协议进行通讯，请在 Remote Loader 配置文件中指定 enforceSuiteB=true。只有 TLS 1.2 协议支持此通讯。

    有关详细信息，请参见部分 10.3.2, 了解 Remote Loader 的配置参数。

    注：如果您已在驱动程序上启用 Suite B 通讯，请跳过此步骤。

  12. 单击确定。

在 .NET Remote Loader 中修改现有驱动程序实例

  1. 在 Remote Loader 控制台上，从说明列中选择驱动程序实例。

  2. 单击停止。

  3. 输入 Remote Loader 的口令，然后单击确定。

  4. 单击编辑。

  5. 修改配置信息。有关每个参数的详细信息，请参见在 .NET Remote Loader 中创建新驱动程序实例。

  6. 要保存更改，请单击确定。

10.3.6 配置 Identity Manager 驱动程序以与 Remote Loader 配合使用

可以配置新的驱动程序或启用现有的驱动程序，与远程装载程序进行通讯。您必须设置 Identity Manager 应用程序 shim 以与 Remote Loader 配合使用。

注：本节提供配置驱动程序的一般信息，以实现驱动程序与远程装载程序的通讯。有关驱动程序特定的信息，请参见 Identity Manager 驱动程序文档网站上的相关驱动程序实施指南。

要在 Designer 或 iManager 中添加新驱动程序对象或修改现有驱动程序对象，必须配置用于启用 Remote Loader 驱动程序实例的设置。有关本节中所用参数的详细信息，请参见了解 Remote Loader 的配置参数。

  1. 在概述中，选择 Identity Manager 驱动程序对象。

  2. 在驱动程序对象的属性中，完成以下步骤：

    1. 对于驱动程序模块，请选择连接到 Remote Loader。

    2. 对于驱动程序对象口令，请指定 Remote Loader 用于对 Identity Manager 引擎服务器鉴定自身的口令。

      此口令必须与 Remote Loader 中定义的驱动程序对象口令相匹配。

    3. 对于 Remote Loader 连接参数，请指定连接到 Remote Loader 所需的信息。使用以下语法：

      hostname=xxx.xxx.xxx.xxx port=xxxx kmo=certificatename localaddress=xxx.xxx.xxx.xxx

      其中

      hostname

      指定托管 Remote Loader 的服务器的 IP 地址。例如：hostname=192.168.0.1。

      port

      指定 Remote Loader 侦听的端口。默认端口为 8090。

      kmo

      指定包含用于 SSL 连接的密钥和证书的密钥材料对象的密钥名称。例如：kmo=remotecert。

      localaddress

      如果在托管 Identity Manager 引擎的服务器上配置了多个 IP 地址，请指定源 IP 地址。

    4. 对于 Remote Loader 口令，请指定 Identity Manager 引擎（或 Remote Loader shim）用于鉴定到 Remote Loader 所需的口令。

  3. 定义一个具有同等安全性的用户。

  4. 单击“下一步”，然后单击“完成”。

10.3.7 配置与 Identity Manager 引擎的相互鉴定

您可以配置相互鉴定，以确保在 Remote Loader 与 Identity Manager 引擎之间进行安全通讯。相互鉴定使用证书而非口令进行握手。Remote Loader 与 Identity Manager 引擎通过交换并验证可信证书颁发机构 (CA) 颁发的公共密钥证书或数字证书或者自我签名证书来相互鉴定。如果相互鉴定成功，Remote Loader 会鉴定到引擎。当 Remote Loader 与 Identity Manager 引擎建立了信任关系，双方均确信它们是在与授权实体通讯后，才会进行同步通讯。

要配置相互鉴定，请执行以下任务：

导出 Identity Manager 引擎和 Remote Loader 的证书

为了让相互鉴定正常工作，您需要有引擎的服务器证书和 Remote Loader 的客户端证书。您可以从 eDirectory 导出证书，也可以导入来自第三方供应商的证书。在大多数情况下，您会从 eDirectory 导出服务器证书，这样不需要花费额外的费用。在某些情况下，您可能想要导出 Remote Loader 的第三方客户端证书。

从 eDirectory 导出证书

身份库中的证书对象称为关键材料对象 (KMO)。此对象可安全地包含证书和数据，包括与用于 SSL 连接的证书关联的公共密钥和私用密钥。要使用相互鉴定，您需要两个 KMO，一个用于引擎，一个用于 Remote Loader。

您可以导出现有的 KMO，也可以创建新的 KMO，然后将其导出。创建客户端 KMO 与创建服务器 KMO 的过程不同。

创建 KMO

在创建客户端 KMO 之前，必须先创建服务器 KMO。要创建 KMO，请执行下列步骤：

  1. 登录到 NetIQ iManager。

  2. 在左侧窗格中，选择 NetIQ 证书服务器 > 创建服务器证书。

  3. 选择拥有您所创建证书的服务器。

  4. 指定证书的绰号。

    例如，为服务器证书指定 serverkmo，为客户端证书指定 clientkmo。

  5. 在证书创建方法中选择自定义，然后单击下一步。

  6. 保留默认的组织证书颁发机构选择，然后单击下一步。

  7. （视情况而定）如果您要创建客户端 KMO。

    1. 选择启用扩展密钥使用。

    2. 选择自定义，然后选择用户鉴定。

    3. 单击下一页。

    注：对于服务器 KMO，请保留默认选择，然后单击下一步。

  8. 指定 KMO 的有效时段。

    确保 iManager 系统时间与您的 Identity Manager 组件以及连接的应用程序保持同步。

  9. 复查摘要，单击完成，然后单击关闭。

  10. 重复以上步骤创建客户端 KMO。

导出 KMO

从 eDirectory 导出引擎和 Remote Loader 将用于相互鉴定的 KMO。

要为 Identity Manager 引擎导出 KMO，请运行 DirXML 命令行 (dxcmd) 实用程序：

dxcmd -user <admin DN> -password <password of admin> -exportcerts <kmoname> <server|client> <java|native|dotnet> <output dir>

其中

  • user 用于指定对驱动程序具有管理权限的用户名。

  • password 用于指定对驱动程序具有管理权限的用户的口令。

  • exportcerts 用于从 eDirectory 导出证书和私用密钥/公共密钥。您必须指定要导出服务器证书还是客户端证书、将使用证书的驱动程序类型以及命令将用于储存此信息的目标文件夹。

例如，dxcmd -user admin.sa.system -password novell -exportcerts serverkmo server java 'C:\certs'

此命令会在 C:\certs 目录中生成 serverkmo_server.ks 文件。默认密钥存储区口令和密钥口令是 dirxml。

运行用于为 Remote Loader 导出 KMO 的 dxcmd 命令时，请注意以下事项：

  • dxcmd 实用程序在 LDAP 模式下运行。第一次使用该实用程序时，它会提示您指定信任来自 eDirectory 的证书的选项。根据您的环境，您可以选择仅针对当前会话或针对当前和将来会话信任该证书、信任所有证书，或者选择不信任证书。

  • 如果 Remote Loader 要在 Identity Manager 服务器上运行，请以 LDAP 或点格式运行该命令。如果 Remote Loader 安装在单独的服务器上，请仅以 LDAP 格式运行命令。

  • 在命令中指定 -host 参数可解析能够向 Identity Manager 服务器鉴定的服务器 IP 地址或主机名。

使用以下语法运行命令：

dxcmd -dnform ldap -host <主机 IP 地址> -user <管理员 DN> -password <管理员口令> -exportcerts <KMO 名称> <client> <java|native|dotnet> <输出目录>

表 10-1 不同类型驱动程序的示例

驱动程序类型

命令

输出

Java 驱动程序

 
dxcmd -dnform ldap -host 194.99.90.218 -user cn=admin,ou=sa,o=system -password novell -exportcerts clientkmo client java 'C:\certs'

C:\certs 目录中的 clientkmo_client.ks 文件

密钥存储区的默认口令为 dirxml。

默认私用密钥口令是 dirxml。

本机驱动程序

 
dxcmd -dnform ldap -host 194.99.90.218 -user cn=admin,ou=sa,o=system -password novell -exportcerts clientkmo client native 'C:\certs'

C:\certs 目录中的 clientkmo_clientcert.pem、clientkmo_clientkey.pem 和 trustedcert.b64 文件。

默认密钥口令是 dirxml。

.NET 驱动程序

 
dxcmd -dnform ldap -host 194.99.90.218 -user cn=admin,ou=sa,o=system -password novell -exportcerts clientkmo client dotnet 'C:\certs'

C:\certs 目录中的 clientkmo_clientcert.pfx 和 trustedcert.b64 文件。

clientkmo_clientcert.pfx 的默认密钥口令是 dirxml。

为 Remote Loader 导出第三方证书

要将第三方证书与 Remote Loader 搭配使用，您需要将证书导出到 .pfx 文件以及 Base 64 格式的可信根文件中，然后将 .pfx 证书转换为驱动程序使用的格式。例如，本机驱动程序需要 .pem 格式的私用密钥和证书密钥，而 Java 驱动程序需要 .jks 格式的密钥存储区。.NET 驱动程序使用 .pfx 格式的文件。因此，您需要为 .NET 驱动程序转换文件。

本机驱动程序

完成下列步驟：

  1. 从 .pfx 文件中检索 .pem 格式的私用密钥。

    输入一条命令，例如 openssl pkcs12 -in servercert.pfx -out serverkey.pem

  2. 从 .pfx 文件中检索 .pem 格式的证书密钥。

    输入诸如 openssl pkcs12 -in servercert.pfx -out servercert.pem 的命令

Java 驱动程序

从 .pfx 文件创建 Java 密钥存储区。输入下面的命令：

keytool -importkeystore -srckeystore servercert.pfx -srcstoretype pkcs12 -destkeystore servercert.jks -deststoretype JKS

此命令会提示您键入源密钥存储区口令 (srckeystore passwd) 和目标密钥存储区口令 (dest keystorepasswd)。请输入相应的口令。

最后一个步骤是根据驱动程序类型，在 Remote Loader 配置文件中指定信息。有关详细信息，请参见启用驱动程序以进行相互鉴定。

启用驱动程序以进行相互鉴定

要启用驱动程序通讯以进行相互鉴定，请执行以下任务：

使用 KMO 或密钥存储区配置驱动程序

您可以在 Designer 或 iManager 中使用 KMO 或密钥存储区来配置驱动程序。

Designer

在 Designer 中使用 KMO 或密钥存储区配置驱动程序之前，务必按如下方式完成基本驱动程序配置：

  1. 在 Designer 中打开您的项目。

  2. 在建模器视图的面板中，选择您要创建的驱动程序。

  3. 将驱动程序的图标拖到建模器视图上。

  4. 遵循安装向导中的步骤操作。

  5. 在“Remote Loader”窗口中，选择是。

    1. 主机名: 指定用于运行驱动程序 Remote Loader 服务的服务器的主机名或 IP 地址。例如，输入 192.168.0.1 作为主机名。如果未指定此参数的值，则该值默认为 localhost。

    2. 端口： 指定用于为此驱动程序安装和运行 Remote Loader 的端口号。默认端口号是 8090。

  6. 单击下一步。

  7. 按照向导中的其余说明操作，直到完成驱动程序的安装。

  8. 复查为了创建驱动程序将要完成的任务摘要，然后单击完成。

使用 KMO 或密钥存储区修改驱动程序配置

  1. 在 Designer 的概要视图中，右键单击驱动程序。

  2. 选择属性。

  3. 在导航窗格中，选择驱动程序配置。

  4. 在鉴定中，选择启用相互鉴定并指定下列参数：

    KMO

    指定服务器 KMO 的名称。

    其他参数

    指定 rootfile 及其绝对路径。

    密钥存储区文件

    指定密钥存储区文件的绝对路径。

    密钥别名

    指定服务器 KMO 的名称。

    图 10-1 在 Designer 中启用相互鉴定的配置示例

  5. 设置密钥存储区口令。

  6. 设置密钥口令。

注：默认情况下，密钥存储区口令和密钥口令均设为 dirxml。

您也可以使用 dxcmd 命令来设置密钥存储区和密钥口令。

dxcmd -user <administrative_user> -password <admin_password>

  1. 选择驱动程序操作。

  2. 选择要设置密钥存储区和密钥口令的驱动程序。

  3. 选择口令操作。

  4. 选择设置相互鉴定的密钥存储区口令，然后输入密钥存储区口令。

  5. 选择设置相互鉴定的密钥口令，然后输入密钥口令。

iManager

要在 iManager 中修改配置，请执行以下操作：

  1. 起动 iManager。

  2. 在 Identity Manager 管理中，选择 Identity Manager 概述。

  3. 在概述中，选择 Identity Manager 驱动程序集。

  4. 针对要配置的驱动程序选择编辑属性。

  5. 在驱动程序配置中，指定下列参数：

    1. 在驱动程序模块中，选择连接到 Remote Loader。

    2. 在 Remote Loader 连接参数中，指定下列连接细节：

      KMO=<server_KMO_name>
rootfile=<absolute path to the file>

      例如：

      KMO=serverkmo
rootfile=C:\cacert.b64

    3. 设置应用程序口令。

    4. 选择启用相互鉴定。

    5. 要使用密钥存储区方法，请指定下列各项：

      密钥别名

      指定服务器 KMO 的名称，并设置密钥口令。

      例如：serverKMO

      密钥存储区文件

      指定密钥存储区文件的绝对路径，并设置密钥存储区口令。

      例如：C:\certs\serverkmo_server.ks

    6. 单击应用，然后单击确定。

    图 10-2 在 iManager 中启用相互鉴定的配置示例

注：启用相互鉴定时，无需配置 Remote Loader 口令和驱动程序对象口令。

添加新的 Remote Loader 驱动程序实例

  1. 右键单击 Identity Manager Remote Loader 控制台应用程序，并选择以管理员身份运行。

  2. 单击添加以添加新的 Remote Loader 实例。

  3. 指定说明，并选择驱动程序类型。

  4. 指定用于连接 Remote Loader 和 Identity Manager 引擎的连接端口。

  5. 为您的 Remote Loader 实例指定命令端口。

  6. 选择相互鉴定并指定所需的驱动程序类型：

    • Java 驱动程序: 浏览包含证书的密钥存储区文件的路径。该密钥存储区文件必须至少包含一对公共/私用密钥对。

      密钥存储区文件

      指定要用于鉴定的 Java 密钥存储区文件的路径。密钥存储区文件包含加密密钥和证书。例如，从 eDirectory 导出证书中通过 dxcmd 在 C:\certs\ 目录下创建的 clientkmo_client.ks。

      密钥别名

      指定密钥存储区文件中要用于生成对称密钥的公共/私用密钥对的名称。例如，clientkmo。

      密钥存储区口令

      指定用于装载 密钥存储区文件的口令。

      私用密钥口令

      指定密钥存储区中储存的私用密钥的口令。Identity Manager 使用此密钥来加密 SSL 通讯。

      图 10-3 添加 Java Remote Loader 实例的示例

    • 本机驱动程序: 浏览储存鉴定所用证书的密钥文件路径。该密钥文件的格式必须是 Base 64.

      密钥文件

      指定储存用于鉴定的密钥的文件路径。例如，通过 dxcmd 在 C:\certs\ 目录下创建的 clientkmo_clientkey.pem 文件。

      密钥口令

      指定用于鉴定的私用密钥的口令。

      证书文件

      指定储存证书的文件。该证书文件的格式必须是 Base 64. 例如，从 eDirectory 导出证书中通过 dxcmd 在 C:\certs\ 目录下创建的 clientkmo_clientcert.pem 文件。

      可信根文件

      指定包含远程接口 Shim 所用证书颁发者可信根证书的文件的文件名。该可信根文件的格式必须是 Base 64. 例如，从 eDirectory 导出证书中通过 dxcmd 在 C:\certs\ 目录下创建的 trustedcert.b64 文件。

      图 10-4 添加本机 Remote Loader 实例的示例

    • .Net 驱动程序： 浏览储存鉴定所用证书的密钥文件路径。

      密钥文件

      指定储存用于鉴定的密钥的文件路径。例如，从 eDirectory 导出证书中通过 dxcmd 在 C:\certs\ 目录下创建的 clientkmo_clientcert.pfx。

      密钥口令

      指定用于鉴定的私用密钥的口令。

      可信根文件

      指定包含远程接口 Shim 所用证书颁发者可信根证书的文件的文件名。该可信根文件的格式必须是 Base 64. 例如，从 eDirectory 导出证书中通过 dxcmd 在 C:\certs\ 目录下创建的 trustedcert.b64 文件。

      图 10-5 添加 .Net Remote Loader 实例的示例

    有关使用 dxcmd 工具为此驱动程序生成的输出文件的详细信息，请参见表 10-1, 不同类型驱动程序的示例。

为驱动程序实例配置 Remote Loader

您必须在 Remote Loader 配置文件中配置驱动程序实例。务必在驱动程序的 Remote Loader 配置文件中，指定储存密钥存储区文件、密钥文件、证书文件和根文件的目录的绝对路径。

  1. 在 Remote Loader 控制台上，从说明列中选择驱动程序实例。

  2. 单击停止。

  3. 输入 Remote Loader 的口令，然后单击确定。

  4. 单击编辑，并执行添加新的 Remote Loader 驱动程序实例中的步骤 6

  5. 单击确定。

10.3.8 校验配置

有关启动和停止 Remote Loader 的详细信息，请参见部分 10.4, 启动和停止 Remote Loader。

  1. 使用 iManager 启动驱动程序。

  2. 使用以下任一方式管理 Remote Loader：

    Remote Loader 用户界面

    1. 右键单击 Identity Manager Remote Loader 控制台，并选择以管理员身份运行。

    2. 您可以使用 Remote Loader 界面启动、停止、添加、去除，以及执行其他操作。

    注：要将 Remote Loader 作为服务运行，请选择为此驱动程序实例建立 Remote Loader 服务。如果取消选择此选项，会将 Remote Loader 作为应用程序运行。

    Remote Loader 控制台

    导航到 Remote Loader 安装位置，然后在命令提示符处运行以下命令：

    1. 要启动或装载 Remote Loader 实例，请执行以下操作：

      对于 Java Remote Loader：

      dirxml_jremote -config <configuration_filename> -ksp <keystore_password> -kp <keypassword>

dirxml_jremote -config <configuration_filename>

      对于本机 Remote Loader：

      dirxml_remote -config <configuration_filename> -ksp <keystore_password> -kp <keypassword>

dirxml_remote -config <configuration_filename>

      对于 .Net Remote Loader：

      RemoteLoader.exe  -config <configuration_filename> -ksp <keystore_password> -kp <keypassword>

RemoteLoader.exe  -config <configuration_filename>

    2. 要停止或卸载 Remote Loader 实例，请在上一条命令的末尾追加 -u。例如

      对于 Java Remote Loader：

      dirxml_jremote -config <configuration_filename> -u

      对于本机 Remote Loader：

      dirxml_remote -config <configuration_filename> -u

      对于 .Net Remote Loader：

      RemoteLoader.exe  -config <configuration_filename> -u

    注：要将 Remote Loader 实例作为服务运行，请使用以下命令：

    dirxml_remote -config config.txt -service install