本节提供有关升级 Identity Applications 和支持软件的信息，其中包括更新以下组件的内容：
Identity Manager User Application
One SSO Provider (OSP)
Self-Service Password Reset (SSPR)
Tomcat、JDK 和 ActiveMQ
Identity Reporting
NetIQ 提供了一个升级程序来升级这些组件。此程序位于 Identity Manager 安装包的 products\CommonApplication\ 目录中。导航到包含 ApplicationUpgrade.exe 文件的目录。
升级后，组件将升级到以下版本：
Tomcat – 8.5.27
ActiveMQ – 5.15.2
Java – 1.80_162
One SSO Provider – 6.2.1
Self-Service Password Reset – 4.2.0.4
Identity Applications – 4.7.0
Identity Reporting – 6.0.0
本节提供有关以下主题的信息：
升级进程会从现有组件中读取配置值。这些信息包括 ism-configuration.properties、server.xml、SSPRConfiguration.xml 和其他配置文件。升级进程会使用这些配置文件在内部调用各组件的升级程序。此外，此程序还会创建当前安装的备份。
在执行升级之前，请先查看以下注意事项：
Identity Manager 已升级到版本 4.5.6： 您不能从低于 4.5.6 的版本升级或迁移到版本 4.7。有关如何升级到 Identity Manager 4.5 的详细信息，请参见《NetIQ Identity Manager 安装指南》中的“升级 Identity Manager”。
系统要求: 升级过程至少需要 3 GB 可用磁盘空间，用于存储当前配置以及升级过程中创建的临时文件。确保服务器具有足够储存备份的空间，另外还有可供升级的可用空间。
在 Windows 服务器上，升级程序会将临时文件储存在 %TEMP% 环境变量指定的目录中。如果此目录不能提供所需的空间，请将 TEMP 和 TMP 环境变量设置为文件系统中具有足够可用空间的某个目录。这会重新指示升级程序将文件储存到该目录。
要将这些环境变量设置为不同的目录，请在开始升级之前完成以下步骤：
打开命令提示符并输入以下命令：
SET TMP=D:\custom_tmp
SET TEMP=D:\custom_tmp
其中，D:\custom_tmp 是具有足够可用磁盘空间的目录的路径。
注：对于群集环境，请备份 Identity Applications 证书 (cacerts)。
从命令行启动升级程序。
使用 Tomcat 作为应用程序服务器： 此版本的 Identity Manager 仅支持使用 Tomcat 作为应用程序服务器。
注：确保您已在之前的安装期间使用便捷安装程序安装了 Tomcat 应用程序服务器。升级过程只允许您升级使用便捷安装程序安装的 Tomcat。
数据库平台已升级： 此程序不会升级 Identity Applications 的数据库平台。请手动将当前的数据库版本升级到支持的版本。要升级 PostgreSQL 数据库，请参见升级 PostgreSQL 数据库。
Identity Applications 和 Identity Reporting 驱动程序已升级： 确保您已升级 Identity Applications 和 Identity Reporting 的下列驱动程序。
User Application 驱动程序
角色和资源驱动程序
管理系统网关驱动程序
数据收集服务驱动程序
有关详细信息，请参见《NetIQ Designer for Identity Manager Administration Guide》（NetIQ Designer for Identity Manager 管理指南）中的“Upgrading Installed Packages”（升级安装的包）。
管理员用户拥有最高的访问特权： 向管理员用户提供最高访问特权。
用户帐户控制设置已更改为“从不通知”： 转到控制面板 > 用户帐户，然后将用户帐户控制设置更改为从不通知。
Self Service Password Reset: 如果要从 SSPR 4.0 升级，请确保您已更新 CATALINA_OPTS 属性，并且 -Dsspr.application.Path 设置为储存 SSPR 配置的文件夹。
例如：set CATALINA_OPTS="-Dsspr.applicationPath=C:\sspr_data
在升级前备份 SSPR LocalDB。要导出或下载 LocalDB，请执行以下步骤：
以管理员身份登录 SSPR 门户。
从下拉菜单中导航到您的 ID > 配置管理器。
单击 LocalDB。
单击下载 LocalDB。
重要说明：升级过程可能需要一段时间，时间长短取决于数据库大小。因此，请相应规划您的升级。
停止服务器上正在运行的 PostgreSQL 服务。
重命名 C:\Netiq\idm\apps 中的 postgres 目录。
例如，将 postgres 重命名为 postgresql_9_3。
安装您的操作系统支持的 PostgreSQL 版本。
选择的位置必须与 PostgreSQL 的当前安装位置不同。
装入 Identity_Manager_4.7_Windows.iso 映像文件，并导航到包含 PostgreSQL 安装文件的 products\CommonApplication\postgre_tomcat_install 目录。
运行 TomcatPostgreSQL.exe 文件来安装 PostgreSQL 应用程序。
安装期间，请只选择 PostgreSQL 选项。
注：不要在 PostgreSQL 细节页面中提供任何数据库细节。确保取消选择创建数据库登录帐户和创建空数据库。
停止新安装的 PostgreSQL 服务。转到服务，搜索 PostgreSQL 9.6 服务，然后停止该服务。
注：相应的用户在提供有效的鉴定信息后，可以执行停止操作。
通过执行以下操作更改新安装的 PostgreSQL 目录的许可权限：
创建一个 postgres 用户：
转到控制面板 > 用户帐户 > 用户帐户 > 管理帐户。
单击添加用户帐户。
在“添加用户”页面中，指定 postgres 作为用户名，并提供该用户的口令。
为 postgres 用户提供对现有和新安装的 PostgreSQL 目录的许可权限：
右键单击 PostgreSQL 目录，然后转到属性 > 安全性 > 编辑。
为该用户选择完全控制，以提供完全许可权限。
单击应用。
以 postgres 用户的身份访问 PostgreSQL 目录。
以 postgres 用户的身份登录到服务器。
在登录之前，请校验是否允许 postgres 用户建立远程连接，以确保此用户可连接到 Windows 服务器。
打开命令提示符，并使用以下命令设置 PGPASSWORD：
set PGPASSWORD=<your pg password>
切换到新安装的 PostgreSQL 目录。
例如：C:\Users\postgres>cd C:\NetIQ\idm\apps1\postgresql962\bin。
从新 PostgreSQL 的 bin 目录升级 PostgreSQL。运行以下命令，然后单击 Enter。
pg_upgrade.exe --old-datadir "C:\NetIQ\idm\apps1\postgres\data" --new-datadir "C:\NetIQ\idm\apps1\postgresql962\data" --old-bindir "C:\NetIQ\idm\apps1\postgres\bin" --new-bindir "C:\NetIQ\idm\apps1\postgresql962\bin"
启动升级后的 PostgreSQL 数据库服务。
转到服务，搜索 PostgreSQL 9.6 服务，然后启动该服务。
注：相应的用户在提供有效的鉴定信息后，可以执行启动操作。
禁用旧的 PostgreSQL 服务，以确保该服务不会自动启动。
（可选）从新安装的 PostgreSQL 服务的 bin 目录中删除旧数据文件。
以 postgres 用户的身份登录。
导航到 bin 目录，并运行 analyze_new_cluster.bat 和 delete_old_cluster.bat 文件。
例如：C:\NetIQ\idm\apps1\postgresql961\bin
注：仅当您想要删除旧数据文件时，才需要运行此步骤。
升级进程会为所安装组件的当前配置创建备份。确保服务器具有足够储存备份的空间，另外还有可供升级的可用空间。
本节介绍如何将 User Application 驱动程序以及角色和资源服务驱动程序的包更新到最新版本。升级 Identity Applications 前必须先执行此任务。
在 Designer 中打开当前项目。
右键单击包编目 > 导入包。
选择相应的包。例如，User Application 驱动程序基础包。
单击确定。
在开发人员视图中，右键单击该驱动程序，然后单击属性。
浏览到属性页面中的包选项卡。
单击右上角的添加包 (+) 符号。
选择该包，然后单击确定。
部署并重启动驱动程序。
重复相同过程升级角色和资源服务驱动程序的包。
注：
确保 User Application 驱动程序以及角色和资源服务驱动程序连接到升级后的 Identity Manager。
如果您在升级 User Application 驱动程序包时安装了任何通知模板，请将默认通知集合对象部署到您的 Identity Manager 服务器。
以下过程介绍了如何使用向导升级 Identity Applications、OSP、SSPR、Tomcat、ActiveMQ 和 Identity Reporting。
登录到要运行升级过程的服务器。
装入 .iso 映像文件，导航到包含升级可执行文件的目录（默认位于 products\CommonApplication\ 目录中）。
起动升级程序。右键单击 ApplicationUpgrade.exe 并选择以管理员身份运行。
在简介页面上，您可以查看可升级的 Identity Manager 组件，然后单击下一步。
阅读并接受许可协议，然后单击下一步。
查看已部署的应用程序页面，然后单击下一步。
此页面会列出当前安装的组件及其版本。如果在该服务器上部署了其他应用程序，则升级进程会显示警告，指出升级后这些应用程序可能会无法正常工作。
您必须手动从升级进程创建的备份恢复它们。
要继续升级，请单击下一步。
使用以下参数完成引导式过程。此程序会自动填充现有组件的值。确保为参数指定了正确的值。
One SSO Provider 安装文件夹
表示升级程序要在其中创建 OSP 应用程序文件的目录路径。如果该路径不正确，请浏览到 OSP 的安装路径。
SSPR 安装文件夹
表示升级程序要在其中创建 SSPR 应用程序文件的目录路径。如果该路径不正确，请浏览到 SSPR 的安装路径。
User Application 安装文件夹
表示升级程序要在其中创建 User Application 应用程序文件的目录路径。如果该路径不正确，请浏览到 User Application 的安装路径。
数据库连接
表示用于连接 User Application 数据库的设置，Identity Applications 也会连接到此数据库。升级程序会将这些细节包含在 User Application 配置文件中。
表示 User Application 数据库的平台。
指定托管 User Application 的服务器的名称或 IP 地址。
指定数据库服务器用于与 User Application 通讯的端口。
指定数据库平台的 jar 文件。
数据库供应商将提供驱动程序 JAR 文件，即数据库服务器的 JAR。例如，对于 PostgreSQL，可以指定默认位于 C:\NetIQ\idm\apps\postgres 中的 postgresql-9.4-1212.jdbc42.jar。同样，指定您数据库平台的相应 jar 文件。
（视情况而定）Reporting 数据库连接
表示用于连接 Identity Reporting 数据库的设置。
指定托管 User Application 的服务器的名称或 IP 地址。
指定数据库服务器用于与 User Application 通讯的端口。
指定数据库的名称。数据库名称默认为 idmrptdb。
（视情况而定）Reporting 数据库身份凭证
指定允许 User Application 访问和修改数据库中数据的帐户名。数据库用户名默认为 postgres。
为指定用户名指定口令。
立即升级数据库: 升级程序会在升级过程中更新 Reporting 数据库表的纲要。
在应用程序启动时升级数据库: 升级程序会下达在升级后 User Application 首次启动时为数据库表更新纲要的指令。
将 SQL 写入文件： 生成一个 SQL 脚本，数据库管理员可以运行该脚本来更新数据库。如果选择此选项，则还必须为纲要文件指定名称。设置位于 SQL 输出文件配置中。如果您无权在您的环境中创建或修改数据库，可以选择此选项。有关使用该文件生成表的详细信息，请参见部分 15.7.2, 手动创建数据库纲要。
指定数据库平台的 jar 文件。
数据库供应商将提供驱动程序 JAR 文件，即数据库服务器的 JAR。例如，对于 PostgreSQL，可以指定默认位于 C:\NetIQ\idm\apps\postgres 中的 postgresql-9.4-1212.jdbc42.jar。同样，指定您数据库平台的相应 jar 文件。
升级数据库
升级程序会在升级过程中为数据库表更新纲要。
升级程序会下达在升级后 User Application 首次启动时为数据库表更新纲要的指令。
生成一个 SQL 脚本，数据库管理员可以运行该脚本来更新数据库。如果选择此选项，则还必须为纲要文件指定名称。设置位于 SQL 输出文件配置中。如果您无权在您的环境中创建或修改数据库，可以选择此选项。有关使用该文件生成表的详细信息，请参见部分 15.7.2, 手动创建数据库纲要。
数据库管理员
表示数据库管理员的名称和口令。
指定可创建数据库表、视图和其他项目的数据库管理员帐户。
指定数据库管理员的口令。
Reporting 数据库连接
表示数据库管理员的主机名和口令。
指定可创建数据库表、视图和其他项目的数据库管理员帐户。
指定数据库管理员的口令。
复查升级前摘要页面，然后单击安装。
升级进程会停止 Tomcat 服务并开始升级，完成此过程可能需要一段时间。
当升级过程完成时，查看 /tmp/rbpm_upgrade/ 中的升级日志文件，您需要手动更新数个配置，请参见部分 32.5.7, 升级后任务。
根据组件的安装位置，安装进程会在该位置创建备份目录，并在备份目录中追加时戳（指示备份时间）。
例如，
Tomcat – C:\NetIQ\idm\apps\tomcat_backup_02262018_033634
OSP 和 SSPR - C:\NetIQ\idm\apps\osp_sspr_backup_02262018_033634
ActiveMQ - C:\NetIQ\idm\apps\activemq_backup_02262018_033634
User Application - C:\NetIQ\idm\apps\UserApplication_backup_02262018_033634
Identity Reporting - C:\NetIQ\idm\apps\IdentityReporting_backup_02262018_033634
升级 Identity Applications 后，请务必执行下列操作：
您还必须手动恢复 Tomcat、SSPR、OSP 或 Identity Applications 的自定义设置。
针对所需组件执行升级后步骤：
对照旧版 JRE 位置，校验新升级的 JRE 位置中的证书：jre\lib\security\cacerts。手动将缺少的证书导入到 cacerts 中。
使用 keytool 命令导入 java cacerts：
keytool -import -trustcacerts -file Cerificate_Path -alias ALIAS_NAME -keystore cacerts
注：升级后，JRE 储存在 Identity Applications 安装位置。例如：C:\NetIQ\idm\apps\jre
校验 JRE 主目录位置是否为 tomcat\bin\setenv.bat。
起动配置更新实用程序，并校验您的 cacerts 路径。
（视情况而定）要从升级过程先前创建的备份恢复自定义文件，请执行以下任务：
恢复自定义的 https 证书。要恢复这些证书，请将备份的 server.xml 中的 Java Secure Socket Extension (JSSE) 内容复制到 \tomcat\conf 目录下的新 server.xml 文件中。
不要将备份的 Tomcat 目录中的配置文件复制到新 Tomcat 目录中。应根据需要在新版本默认配置的基础上进行更改。有关详细信息，请参见此 Apache 网站。
校验新的 server.xml 文件是否包含以下条目
<Connector port="8543" protocol="HTTP/1.1"
maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS"
keystoreFile="path_to_keystore_file"
keystorePass="keystore_password" />
<!--
<Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster"/>
-->
或者
<Connector port="8543" protocol="org.apache.coyote.http11.Http11NioProtocol"
maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS"
keystoreFile="path_to_keystore_file"
keystorePass="keystore_password" />
<!--
<Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster"/>
-->
注：在群集环境中，手动取消注释 server.xml 中的 Cluster 标记，然后将第一个节点上的 osp.jks（位于 C:\netiq\idm\apps\osp_backup_<date> 中）复制到所有节点上。
如果您自定义了密钥存储区文件，请在新 server.xml 文件中包括正确的路径。
将 Identity Applications 证书导入到身份库中（位于 C:\NetIQ\eDirectory\jre\lib\security\cacerts）。
例如，您可以使用以下 keytool 命令将证书导入到身份库中：
keytool -importkeystore -alias <User Application certificate alias> -srckeystore <backup cacert> -srcstorepass changeit -destkeystore C:\NetIQ\eDirectory\jre\lib\security\cacerts
（视情况而定）导航到 User Application，然后通过读取备份的配置手动恢复自定义设置。
从升级过程中创建的备份恢复 Identity Applications 自定义配置。
如果您要从 4.5.6 版本升级 Identity Manager，则必须为要用于在 Identity Manager 仪表板中对用户排序的每个属性手动创建复合索引，请参见创建复合索引。
起动 configupdate 实用程序 (configupdate.bat) 文件。
在 configupdate.bat.properties 文件中，确保 use_console 的值设置为 false。
连接身份库服务器，并接受 eDirectory 证书。
在 SSO 客户端选项卡中，导航到 RBPM，然后单击显示高级选项。
将 RBPM 至 eDirectory SAML 配置设置为“自动”。
logevent.conf 文件中的 LogHost 项默认设置为 localhost。
要修改 LogHost 条目，请手动从升级过程中创建的备份恢复 OSP 自定义配置。
升级 SSPR 后，使用配置更新实用程序更新 SSO 客户端参数。有关更多信息，请参见部分 15.8.5, SSO 客户端参数中的Self Service Password Reset。
要更新 SSPR 配置细节，请执行以下步骤：
以管理员身份登录 SSPR 门户。
更新审计服务器细节：
导航到您的 ID > 配置编辑器，指定配置口令。
选择设置 > 审计 > 审计转发 > Syslog 审计服务器证书。
从服务器导入这些证书，然后单击保存。
将 LocalDB 导入 SSPR：
从下拉菜单导航到您的 ID > 配置管理器。
单击 LocalDB。
单击导入（上载）LocalDB 存档文件。
（视情况而定）要限制 SSPR 的配置，请执行以下操作：
从列表中导航到您的 ID > 配置管理器。
单击限制配置。
配置 SSPR 的管理员许可权限，请参见部分 14.2.3, 安装后任务。
要校验升级是否成功，请起动升级的组件。
例如，起动 Identity Manager 仪表板，单击关于。检查应用程序显示的是否为新版本，例如 4.7.0。
升级实用程序会在计算机上创建新的 Tomcat 文件夹。如果任何 Kerberos 文件（例如 keytab 和 Kerberos_login.config）驻留在旧的 Tomcat 文件夹中，请从备份文件夹中将这些文件复制到新的 Tomcat 文件夹。