14.2 为 Identity Manager 安装口令管理

本节介绍 SSPR 的安装过程。您可以将这些程序安装在安装了 OSP 组件的同一台服务器上，也可以安装在单独的服务器上。

注：如果您使用传统的忘记口令方法，则不需要安装 SSPR。有关详细信息，请参见部分 4.4.2, 了解旧式口令管理提供程序。

14.2.1 使用向导安装 Self Service Password Reset

以下过程介绍了如何使用安装向导在 Windows 平台上安装 SSPR。要执行无提示或无人照管安装，请参见部分 14.2.2, 以无提示模式安装 Self Service Password Reset。要准备安装，请查看部分 14.1.1, 安装口令管理组件的核对清单中列出的先决条件和系统要求。

以管理员用户身份登录要安装 SSPR 的服务器。
停止 Tomcat 服务器。
（视情况而定）如果您已获取 Identity Manager 安装包的 .iso 映像文件，请导航到包含 SSPR 安装文件的目录（默认为 products\CommonApplication\sspr_install 目录）。
（视情况而定）如果您已下载 SSPR 安装文件，请完成以下步骤：
1. 导航到所下载映像的 win.zip 文件。
2. 将该文件的内容解压缩到本地计算机上的某个目录中。
从包含安装文件的目录中运行 sspr-install-win.exe 文件。
阅读并接受许可协议，然后单击下一步。
指定安装文件的路径。
使用以下参数完成引导式过程：
- Tomcat 细节
  
  表示 Tomcat 服务器的用户主目录。例如 C:\NetIQ\idm\apps\tomcat。安装进程会将 SSPR 的一些文件添加到此文件夹中。
- Tomcat 连接
  
  表示用户连接 Tomcat 服务器上的 SSPR 时所需的 URL 的设置。例如，https://myserver.mycompany.com:8080。
  注：如果存在以下注意事项，则您还必须选择连接外部鉴定服务器并指定外部服务器的值：
  您正在安装 SSPR。
  
  OSP 与 SSPR 在不同的受支持应用程序服务器实例上运行。
  协议
  
  指定是要使用 http 还是 https。要使用安全套接字层 (SSL) 进行通讯，请指定 https。
  
  主机名
  
  指定要安装 SSPR 的服务器的 DNS 名称或 IP 地址。请不要使用 localhost。
  
  端口
  
  指定您希望服务器在与客户端计算机通讯时所使用的端口。
  
  连接外部鉴定服务器
  
  指定是否要用不同的 Tomcat 实例来托管鉴定服务器 (OSP)。鉴定服务器包含可登录 SSPR 的用户的列表。
  
  如果选择此设置，则还要指定鉴定服务器的协议、主机名和端口值。
- Tomcat Java 主目录
  
  表示 Java 在 Tomcat 服务器上的主目录。例如，C:\NetIQ\idm\jre。安装过程会将 OSP 的一些文件添加到此目录中。
- 鉴定细节
  
  表示与包含可登录应用程序的用户列表的鉴定服务器连接时需要满足的要求。有关鉴定服务器的详细信息，请参见部分 4.5.1, 了解使用 One SSO Provider 进行鉴定的方法。
  
  LDAP 主机
  
  指定 LDAP 鉴定服务器的 DNS 名称或 IP 地址。请不要使用 localhost。
  
  LDAP 端口
  
  指定您希望 LDAP 鉴定服务器在与 Identity Manager 通讯时所使用的端口。例如，指定 389 作为非安全端口，或者为 SSL 连接指定 636。
  
  使用 SSL
  
  指定是否要为身份库与鉴定服务器之间的连接使用安全套接字层协议。
  
  JRE 可信证书存储区 (cacerts) 文件
  
  仅当您要为 LDAP 连接使用 SSL 时才适用。
  
  指定证书的路径。例如，C:\NetIQ\idm\apps\jre\lib\security\cacerts。
  
  JRE 可信证书存储区口令
  
  仅当您要为 LDAP 连接使用 SSL 时才适用。
  
  指定 cacerts 文件的口令。
  
  管理员 DN
  
  仅在安装新鉴定服务器时适用。
  
  指定 LDAP 鉴定服务器管理员帐户的 DN。例如：cn=admin,ou=sa,o=system。
  
  管理员口令
  
  仅在安装新鉴定服务器时适用。
  
  指定 LDAP 鉴定服务器管理员帐户的口令。
  
  用户容器
  
  仅在安装新鉴定服务器时适用。
  
  指定 LDAP 鉴定服务器中要储存可登录 Access Review 的用户帐户的容器。例如：o=data。
  
  管理员容器
  
  仅在安装新鉴定服务器时适用。
  
  指定 LDAP 鉴定服务器中要储存 Access Review 管理员帐户的容器。例如：ou=sa,o=system。
  
  密钥储存区口令
  
  仅在安装新鉴定服务器时适用。
  
  指定要为 LDAP 鉴定服务器的新密钥存储区创建的口令。
  
  该口令必须至少包含六个字符。
- SSPR 细节
  
  表示配置 SSPR 所需的设置。
  
  配置口令
  
  指定要为管理员创建的、用于配置 SSPR 的口令。
  
  默认情况下，SSPR 没有配置口令。如果不指定口令，任何能够登录 SSPR 的用户都可以修改配置设置。
  
  SSPR 重定向 URL
  
  指定在 SSPR 中完成口令更改或询问问题等操作后，客户端要重定向到的绝对 URL。例如，转到仪表板。
  
  使用以下格式：protocol://server:port/path。例如，http://IDM_userapp_服务器_IP:端口号/idmdash/#/landing。
- 鉴定服务器细节
  
  表示您要创建的供 SSPR 服务在连接到服务器上的 OSP 客户端时使用的口令。该口令又称为客户端机密。
  
  要在安装后修改此口令，请使用 RBPM 配置实用程序。
- 审计细节 (SSPR)
  
  表示用于审计鉴定服务器中发生的 SSPR 事件的设置。
  
  （视情况而定）对 SSPR 启用审计
  
  指定是否要将 SSPR 事件发送到审计服务器。
  
  如果选择此设置，则还要指定系统日志服务器的设置。
  
  系统日志主机名
  
  仅当为 SSPR 启用了审计时才适用。
  
  指定托管系统日志服务器的服务器的 DNS 或 IP 地址。请不要使用 localhost。
  
  系统日志端口
  
  仅当为 SSPR 启用了审计时才适用。
  
  指定托管系统日志服务器的服务器的端口。
要将 Identity Applications 和 Identity Reporting 配置为使用 SSPR，请继续部分 15.0, 安装 Identity Applications。
在配置更新实用程序中，更新 SSO 客户端参数。有关更多信息，请参见Self Service Password Reset。

有关配置忘记口令管理的详细信息，请参见部分 15.7.8, 配置忘记口令管理。

14.2.2 以无提示模式安装 Self Service Password Reset

无提示（非交互式）安装不显示用户界面，也不向用户提出任何问题。

以管理员身份登录到要安装这些组件的计算机。
停止 Tomcat。
（视情况而定）如果您已获取 Identity Manager 安装包的 .iso 映像文件，请导航到包含 SSPR 安装文件的目录（默认为 sspr 目录）。
（视情况而定）如果您已从 NetIQ 下载网站下载了安装文件，请完成以下步骤：
1. 导航到所下载映像的 .zip 文件。
2. 将该文件的内容解压缩到本地计算机上的某个文件夹中。
针对 SSPR 安装编辑 sspr-silent.properties 文件。默认情况下，该文件与安装脚本位于同一目录中。

有关安装设置的详细信息，请参见步骤 7 和步骤 8。

要运行无提示安装，请发出以下命令：

sspr-install-win.exe -i silent -f path_to_silent.properties_file

在配置更新实用程序中，更新 SSO 客户端参数。有关更多信息，请参见Self Service Password Reset。

14.2.3 安装后任务

确保无错安装

安装 SSPR 后，您便可修改配置设置，例如更改默认配置文件的 LDAP 组 DN 的管理员许可权限，或更改转发 URL。此外，NetIQ 还建议您校验安装进程创建的 URL，并视需要进行更改。

要打开 SSPR 登录页面，请在浏览器中输入以下 URL：

protocol://server:port/web-context

例如：

http://192.168.0.1:8080/sspr/
在 SSPR 登录页面的右上角，从列表中选择配置编辑器。
指定配置口令并单击登录。
在树视图中选择默认设置，并确保在 LDAP 供应商默认设置列表中选择了 NetIQ IDM/OAuth 集成。
在树视图中，单击 LDAP > LDAP 目录 > 默认 > 连接 > LDAP 证书，然后单击从服务器导入以导入证书。

（视情况而定）在同一页面上单击测试 LDAP 配置文件，确保可以访问所有已配置的 LDAP 服务器。
在树视图中，单击模块 > 已鉴定 > 管理，并确保已将管理员许可权限指派给默认配置文件的 LDAP 组 DN。

如果执行的是 SSPR 全新安装，则该列表将为空。需要在 iManager 中创建一个新组，并将 admin 用户添加到该组。
在树视图中，单击设置 > 应用程序 > 应用程序，并确保转发 URL 设置为 http://<Server:Port>/idmdash/#/landing。

例如 http:/192.168.0.1:8080/idmdash/#/landing。
在树视图中，单击设置 > 用户界面 > 外观，然后将界面主题更改为 Micro Focus (mdefault)（如果尚未指定）。
在树视图中，单击设置 > 单点登录 (SSO) 客户端 > OAuth，然后校验是否为以下参数指定了正确的值：

OAuth 登录 URL

指定 OAuth 服务器登录的 URL。当用户登录时，此 URL 会将用户重定向以向 OSP 进行鉴定。

例如 http://192.168.0.1:8080/osp/a/idm/auth/oauth2/grant

OAuth 代码解析服务 URL

指定 OAuth 代码解析服务的 URL。SSPR 使用此 Web 服务 URL 来解析 OAuth 身份服务器返回的项目。

例如 http://192.168.0.1:8080/osp/a/idm/auth/oauth2/authcoderesolve

OAuth 配置文件服务 URL

指定 Identity Manager 提供的用于返回用户属性数据的 Web 服务 URL。

例如 http://192.168.0.1:8080/osp/a/idm/auth/oauth2/getattributes

OAUTH Web 服务服务器证书

（视情况而定）如果已启用 HTTPS，请导入 OAuth Web 服务服务器的证书。

OAuth 客户端 ID

指定 OAuth 客户端的客户端 ID。例如，sspr.

OAuth 共享机密

指定 OAuth 共享机密的口令。此口令在 OSP 和 SSPR 应用程序间共享。

OAuth 用户名//DN 登录属性

指定 SSPR 用来请求 OAuth 服务器在本地鉴定用户的用户属性。例如 name。
在页面右上角单击以保存配置。
在 SSPR 登录页面的右上角，从列表中选择配置管理器。
单击限制配置。

将通用口令策略指派给用户容器

要将通用口令策略指派给用户容器，请执行以下操作：

登录到 iManager。
选择角色和任务 > 口令策略，然后选择口令策略。
要选择具有管理权限的用户，请执行以下操作：
1. 单击通用口令 > 配置选项 > 通用口令检索。
2. 选择允许管理员检索口令或允许以下用户检索口令，然后单击确定。
  
  例如，cn=uaadmin,ou=sa,o=data
单击策略指派，然后将容器指派给该用户所在的容器。

例如，o=data 或管理用户。

授予对 pwmResponseSet 属性的权限

权限经过鉴定的用户可以根据与用户连接相关联的许可权限执行操作。经过鉴定的用户需要对其自己的用户项拥有以下权限：

[项权限] 的浏览权限
pwmResponseSet 的读取、比较和写入权限

要授予对 pwmResponseSet 属性的权限，请执行以下步骤：

登录到 iManager。
单击。
单击 iManager 服务器 > 配置 iManager。
单击杂项 > 启用 [this]。
单击。
在树视图中，选择目录中所有用户的顶级容器。
单击当前级别复选框，然后单击操作 > 修改受托者。
在列表中单击 [This]，然后单击添加受托者。
单击应用。
对 [This] 受托者单击指派的权限。
单击添加属性，然后选中在纲要中显示所有属性复选框。
从列表中选择 pwmResponseSet。

确保已选择“写入”、“比较”、“读取”和“继承”选项。
单击完成。

14.2.4 为群集配置 OSP 和 SSPR

Identity Manager 在 Tomcat 群集环境中支持 SSPR 配置。

配置 SSPR 以支持群集

执行以下步骤配置已安装在单独计算机上的 SSPR：

查看部分 14.1.1, 安装口令管理组件的核对清单中的先决条件和系统要求。
按照部分 14.2.1, 使用向导安装 Self Service Password Reset中的说明操作，并确保在安装过程中考虑以下步骤。
1. 1. 在应用程序服务器连接页面中，选择连接到外部鉴定服务器，并提供安装了负载平衡器的服务器的 DNS 名称。
  2. 在鉴定细节页面中，提供 Identity Manager 引擎服务器的 IP 地址和端口。CA 证书的口令为“changeit”。
  3. 完成 SSPR 安装后，更新 SSL 设置。有关详细信息，请参见部分 29.8, 更新 Self Service Password Reset 的 SSL 设置。
要在群集的第一个节点中更新 SSPR 信息，请从 C:\NetIQ\idm\apps\UserApplication\configupdate.bat 起动配置实用程序。

在随即打开的窗口中，单击 SSO 客户端 > Self Service Password Reset，并为客户端 ID、口令和 OSP OAuth 重定向 URL 参数输入值。

在群集节点上配置任务

在群集节点上执行以下配置任务：

要用 SSPR IP 地址更新“忘记口令”链接，请在第一个节点上登录 User Application，然后单击管理 > 忘记口令。

有关 SSPR 配置的详细信息，请参见部分 15.7.8, 配置忘记口令管理。
要更改“更改我的口令”链接，请参见针对分布式环境或群集环境更新仪表板中的 SSPR 链接。
在群集中的其他节点上，校验“忘记口令”链接和“更改我的口令”链接是否已用 SSPR IP 地址更新。

注：如果已用 SSPR IP 地址更新“更改口令”链接和“忘记口令”链接，则不需要执行其他更改。
在第一个节点中，停止 Tomcat，并使用以下命令指定负载平衡器服务器的 DNS 名称来生成新的 osp.jks 文件：

C:NetIQ\idm\apps\jre\bin\keytool -genkey -keyalg RSA -keysize 2048 -keystore osp.jks -storepass <口令> -keypass <口令> -alias osp -validity 1800 -dname "cn=<负载平衡器 IP/DNS>"

例如：C:NetIQ\idm\apps\jre\bin\keytool -genkey -keyalg RSA -keysize 2048 -keystore osp.jks -storepass changeit -keypass changeit -alias osp -validity 1800 -dname "cn=mydnsname"

注：确保密钥口令与在 OSP 安装期间提供的口令相同。或者，可以使用配置更新实用程序加入密钥存储区口令来更改该口令。
（视情况而定）要校验 osp.jks 文件是否已通过这些更改更新，请运行以下命令：

C:NetIQ\idm\apps\jre\bin\keytool -list -v -keystore osp.jks -storepass changeit
备份位于 C:\NetIQ\idm\apps\osp 中的原始 osp.jks 文件，并将新的 osp.jks 文件复制到此位置。新 osp.jks 文件是在步骤 3 中创建的。
将第一个节点上位于 C:\NetIQ\idm\apps\osp\ 中的新 osp.jks 文件复制到群集中的所有其他 User Application 节点。
在第一个节点中起动配置实用程序，并在“SSO 客户端”选项卡下将所有 URL 设置（例如登录页的 URL 链接和 OAuth 重定向 URL）更改为负载平衡器 DNS 名称。
1. 保存配置实用程序中所做的更改。
2. 要在群集的所有其他节点中反映此更改，请将第一个节点上位于 \TOMCAT_INSTALLED_HOME\conf 中的 ism-configuration properties 文件复制到所有其他 User Application 节点。
  
  注：您之前已将第一个节点上的 ism.properties 文件复制到群集中的其他节点上。如果您在 User Application 安装期间指定了自定义安装路径，请在群集节点中使用配置更新实用程序确保参照路径正确。
  
  在此方案中，OSP 和 User Application 安装在同一台服务器上；因此，为重定向 URL 使用了相同的 DNS 名称。
  
  如果 OSP 和 User Application 安装在不同的服务器上，请将 OSP URL 更改为指向负载平衡器的其他 DNS 名称。请对安装了 OSP 的所有服务器执行此操作。这可确保所有 OSP 请求均通过负载平衡器发送到 OSP 群集 DNS 名称。这涉及到为 OSP 节点建立一个单独的群集。
在 \TOMCAT_INSTALLED_HOME\bin\ 目录下的 setenv.bat 文件中执行以下操作：
1. 为确保 mcast_addr 绑定成功，JGroups 要求 preferIPv4Stack 属性设置为 true。为此，请在所有节点上的 setenv.bat 文件中添加 JVM 属性“-Djava.net.preferIPv4Stack=true”。
2. 在第一个节点上的 setenv.bat 文件中添加“-Dcom.novell.afw.wf.Engine-id=Engine”。
  
  引擎名称应该唯一。提供在安装第一个节点的过程中指定的名称。如果未指定名称，则默认名称为“Engine”。
  
  同样，为群集中的其他节点添加唯一的引擎名称。例如，对于第二个节点，引擎名称可以是 Engine2。
在 User Application 中启用群集。有关更多信息，请参见步骤 10。
为群集启用许可权限索引。有关更多信息，请参见部分 15.4.2, 为群集启用许可权限索引。
启用 Tomcat 群集。有关详细信息，请参见部分 15.4.3, 为 Identity Applications 准备应用程序服务器中的“步骤 9”。
在所有节点上重启动 Tomcat。
为群集配置 User Application 驱动程序。有关更多信息，请参见部分 15.6.2, 为群集配置 User Application 驱动程序。