5.2 了解配置参数

本节定义配置 Identity Manager 安装需要指定的参数。您可以使用安装程序在安装组件后立即对其进行配置，也可以稍后运行 configure.sh 脚本来配置。

注：

在典型配置模式下配置的 Identity Applications 和 Identity Reporting 无法连接到另一台计算机上安装的数据库服务器。
安装过程不允许您为 Identity Manager 组件启用审计。必须在完成安装后为每个组件配置审计。有关详细信息，请参见《NetIQ Identity Manager - Configuring Auditing in Identity Manager》（NetIQ Identity Manager - 在 Identity Manager 中配置审计）。
身份库将随 OES 一起自动安装。要在 OES 平台上配置 Identity Manager 引擎，必须依次选择自定义配置和添加到现有库。
确保使用 FQDN 或 IP 地址以统一的方式配置 Identity Applications、Identity Reporting 和数据库。换言之，不得使用 FQDN 和 IP 地址的组合来配置这些组件。
对于容器，建议指定 FQDN 值，而不要指定 IP 地址。

表 5-1 描述了在典型模式下配置 Identity Manager 组件所需的参数。

表 5-1 典型配置

参数	无提示属性文件中的参数	典型配置
Identity Manager 引擎
通用口令	IS_COMMON_PASSWORD	指定是否要设置通用口令。
身份库管理员名称	ID_VAULT_ADMIN_LDAP	指定树中至少对要添加此服务器的环境具有完整权限的管理员对象的相对判别名 (RDN)。
Identity Applications
通用口令	IS_COMMON_PASSWORD	指定是否要设置通用口令。确保口令符合在配置期间使用不可猜出的口令章节中指定的注意事项。
身份库管理员名称	ID_VAULT_ADMIN_LDAP	指定树中至少对要添加此服务器的环境具有完整权限的管理员对象的相对判别名 (RDN)。
主机名（小写 FQDN）		指定服务器的完全限定判别名或默认 IP 地址。
应用程序服务器 DNS/IP 地址	TOMCAT_SERVLET_HOSTNAME	指定 Tomcat 服务器的 IP 地址。
Identity Applications 管理员名称	UA_ADMIN	指定 Identity Applications 管理员帐户的名称。
Identity Reporting
通用口令	IS_COMMON_PASSWORD	指定是否要设置通用口令。确保口令符合在配置期间使用不可猜出的口令章节中指定的注意事项。
身份库主机名/IP 地址	ID_VAULT_HOST	指定安装了身份库的服务器的 IP 地址。
身份库管理员名称	ID_VAULT_ADMIN_LDAP	指定树中至少对要添加此服务器的环境具有完整权限的管理员对象的相对判别名 (RDN)。
身份库管理员口令	ID_VAULT_PASSWORD	指定管理员对象的口令。例如，password。
主机名（小写 FQDN）		指定服务器的完全限定判别名或默认 IP 地址。
连接到外部 One SSO 服务器		指定是否要连接到不同的 One SSO 服务器。
应用程序服务器 DNS/IP 地址	TOMCAT_SERVLET_HOSTNAME	指定 Tomcat 服务器的 IP 地址。
One SSO 服务器 DNS/IP 地址	SSO_SERVER_HOST	指定安装了单点登录服务的服务器的 IP 地址。
Identity Reporting One SSO Service 口令	RPT_SSO_SERVICE_PWD	指定 Identity Reporting 的鉴定服务的口令。
Identity Reporting 管理员名称	RPT_ADMIN	指定 Identity Reporting 的管理员名称。默认值为 cn=uaadmin,ou=sa,o=data。
Identity Reporting 数据库帐户口令	RPT_DATABASE_SHARE_PASSWORD	指定 Identity Reporting 的数据库帐户口令。

表 5-2 描述了在自定义模式下配置 Identity Manager 组件所需的参数。

表 5-2 自定义配置

参数	无提示属性文件中的参数	自定义配置
Identity Manager 引擎
创建新的身份库	TREE_CONFIG	指定要安装的身份库。
添加到本地计算机上的现有身份库		指定是否要连接到要安装 Identity Manager 引擎的同一台服务器上的现有身份库。
添加到远程计算机上的现有身份库		指定是否要连接到未与 Identity Manager 引擎安装到同一台服务器的身份库。
身份库树名	ID_VAULT_TREENAME	为身份库指定新的树。树名必须满足以下要求：树名在网络中必须是唯一的。树名的长度必须为 2 到 32 个字符。树名只能包含字母 (A-Z)、数字 (0-9)、连字符 (-) 和下划线 (_) 之类的字符。注：如果您要在 OES 上安装 Identity Manager，请指定现有的树名。
身份库管理员名称	ID_VAULT_ADMIN_LDAP	指定树中至少对要添加此服务器的环境具有完整权限的管理员对象的相对判别名 (RDN)。
身份库管理员口令	ID_VAULT_PASSWORD	指定管理员对象的口令。例如，password。
NDS var 文件夹位置	ID_VAULT_VARDIR	指定此身份库实例在此服务器上的路径。默认路径是 /var/opt/novell/eDirectory。
NDS 数据位置	ID_VAULT_DIB	指定本地系统中要安装目录信息数据库 (DIB) 文件的路径。DIB 文件是您的身份库数据库文件。默认位置是 /var/opt/novell/eDirectory/data/dib。
NCP 端口	ID_VAULT_NCP_PORT	指定身份库用来与 Identity Manager 各组件通讯的 NetWare 核心协议 (NCP) 端口。默认值为 524。
LDAP 非 SSL 端口	ID_VAULT_LDAP_PORT	指定身份库要用来侦听明文格式 LDAP 请求的端口。默认值为 389。
LDAP SSL 端口	ID_VAULT_LDAPS_PORT	指定身份库要用来侦听使用安全套接字层 (SSL) 协议的 LDAP 请求的端口。默认值为 636。
身份库环境 DN	ID_VAULT_SERVER_CONTEXT	指定现有身份库服务器的环境 DN。默认值为 servers.system。
身份库 HTTP 端口	ID_VAULT_HTTP_PORT	指定 HTTP 堆栈要以明文格式运行所需使用的端口。默认值为 8028。
身份库 HTTPS 端口	ID_VAULT_HTTPS_PORT	指定 HTTP 堆栈采用 TLS/SSL 协议运行所需使用的端口。默认值为 8030。
含路径的 NDS 配置文件	ID_VAULT_CONF	指定身份库配置文件的位置。默认值为 /etc/opt/novell/eDirectory/conf/nds.conf。
身份库驱动程序集名称	ID_VAULT_DRIVER_SET	为新的 Identity Manager 驱动程序集对象指定名称。
RSA 密钥大小	ID_VAULT_RSA_KEYSIZE	指定 RSA 证书的密钥大小。允许的值为 2048、4096 和 8192 位。默认值为 4096。
EC 曲线	ID_VAULT_EC_CURVE	指定 EC 证书的椭圆曲线 (EC) 限制。允许的值为 P256、P384 和 P521。默认值为 P384。
证书有效期	ID_VAULT_CA_LIFE	仅当您选择了创建新树选项时才适用。以年为单位指定证书的有效期。
身份库驱动程序集部署环境	ID_VAULT_DEPLOY_CTX	指定要在其中创建驱动程序集对象的容器的 LDAP DN。
自定义驱动程序集 LDIF 文件路径		指定示例文件 driverset.ldif 的自定义路径。驱动程序集是一个可容纳多个 Identity Manager 驱动程序的容器。在任何时候，一台服务器上只能有一个驱动程序集处于活动状态。NetIQ 在 Identity Manager 安装套件中提供了 sample-driverset.ldif 文件，用于帮助您创建或配置驱动程序集。有关如何使用此文件的信息，请参见创建和配置驱动程序集。
iManager Web Administration
Tomcat 的 HTTP 端口号	IMAN_TOMCAT_HTTP_PORT	指定 Tomcat 应用程序服务器的 HTTP 端口。默认值是 8080。
Tomcat 的 SSL 端口号	IMAN_TOMCAT_SSL_PORT	指定 Tomcat 应用程序服务器的 HTTPS 端口。默认值是 8443。
您希望 TLS 证书使用的公共密钥算法	IMAN_CERT_ALGO	指定您要使用 RSA 还是 ECDSA 作为公共密钥算法。默认情况下，公共密钥算法设置为 RSA。如果您选择 RSA，证书将使用 2048 位 RSA 密钥对。如果您选择 ECDSA，证书将使用包含曲线 secp256r1 的 ECDSA 密钥对。
TLS 通讯的加密套件	IMAN_CIPHER_SUITE_RSA	如果您选择 RSA，则允许以下加密级别： NONE：允许使用任何类型的加密法。 LOW：允许使用 56 位或 64 位加密法。 MEDIUM：允许 128 位加密法。 HIGH：允许大于 128 位的加密法。
管理用户环境	IMAN_USER_CONTEXT	指定登录 iManager 时需要使用的用户名。
管理用户树	IMAN_DIR_TREE	指定身份库树所在服务器的 IP 地址。
Identity Applications
通用口令	IS_COMMON_PASSWORD	指定是否要设置通用口令。确保口令符合在配置期间使用不可猜出的口令章节中指定的注意事项。
主机名（小写 FQDN）	UA_SERVER_HOST	指定服务器的完全限定判别名或默认 IP 地址。注：确保以小写字符指定 FQDN。另外，必须将托管组件的服务器配置为使用小写 FQDN。
身份库主机名/IP 地址	ID_VAULT_HOST	指定安装了身份库的服务器的 IP 地址或主机名。
身份库管理员名称	ID_VAULT_ADMIN_LDAP	指定树中至少对要添加此服务器的环境具有完整权限的管理员对象的相对判别名 (RDN)。
身份库管理员口令	ID_VAULT_PASSWORD	指定管理员对象的口令。例如，password。
应用程序服务器 DNS/IP 地址	TOMCAT_SERVLET_HOSTNAME	指定 Tomcat 服务器的 IP 地址或主机名。
OSP 自定义登录屏幕名称	OSP_CUSTOM_NAME	指定将显示在 OSP 登录屏幕上的名称。
SSPR 配置口令	CONFIGURATION_PWD	仅当将通用口令设置为否时才适用。指定 Identity Applications 用于进行口令管理的口令。
OAuth 密钥存储区口令	OSP_KEYSTORE_PWD	仅当将通用口令设置为否时才适用。指定您要创建以用于在 OAuth 服务器上装载新密钥存储区的口令。
用户搜索容器 DN	USER_CONTAINER	指定身份库中所有用户对象的默认容器。
管理员搜索容器 DN	ADMIN_CONTAINER	指定身份库中包含鉴定服务 (OSP) 必须鉴定的任何管理员用户对象的容器判别名。例如 o=data。
应用程序服务器 HTTPS 端口	TOMCAT_HTTPS_PORT	指定 Tomcat 服务器在与客户端计算机通讯时要使用的 HTTPS 端口。默认值为 8543。
One SSO 服务器 SSL 端口	SSO_SERVER_SSL_PORT	指定单点登录服务要使用的端口。默认值为 8543。
Identity Application One SSO 服务口令	SSO_SERVICE_PWD	仅当将通用口令设置为否时才适用。指定 Identity Applications 使用的单点登录客户端的口令。
Identity Applications 管理员名称	UA_ADMIN	指定 Identity Applications 管理员帐户的名称。
数据库平台	UA_DB_PLATFORM_OPTION	指定 Identity Applications 所需的数据库。
在当前服务器上配置 PostgreSQL	INSTALL_PG_DB	指定是否要在同一台服务器上配置 PostgreSQL 数据库。
Identity Applications 数据库端口	UA_DB_PORT	指定 Identity Applications 的数据库端口。
Identity Applications 数据库名称	UA_DATABASE_NAME	指定数据库的名称。默认值为 idmuserappdb。
Identity Applications 数据库和工作流程引擎用户名	UA_WFE_DATABASE_USER	指定 Identity Applications 数据库管理员的用户名。
Identity Applications 和工作流程引擎数据库 JDBC 驱动程序 jar 文件	UA_WFE_DB_JDBC_DRIVER_JAR	指定数据库平台的 JAR 文件。
用户 postgres 的 Identity Applications 和工作流程引擎数据库管理员口令	UA_WFE_DATABASE_ADMIN_PWD	指定用户 postgres 的 Identity Applications 和工作流程引擎数据库管理员口令
创建纲要	UA_WFE_DB_CREATE_OPTION	当您要在安装过程中为 Identity Applications 和工作流程引擎创建数据库纲要时，请指定该参数。可用选项有现在、启动和文件。
创建新数据库或从现有数据库升级/迁移	UA_DB_NEW_OR_EXIST	指定是要创建新数据库还是从现有数据库升级。
创建新数据库或从现有数据库升级/迁移	WFE_DB_NEW_OR_EXIST	指定是要在新数据库中创建表，还是从工作流程引擎的现有数据库更新/升级。支持的值为 new 和 exist。
使用自定义容器作为根容器	ENABLE_CUSTOM_CONTAINER_CREATION	指定是否要使用自定义容器作为根容器。默认情况下，安装程序会创建 o=data 并选择它作为用户容器，然后指派口令策略和所需的受托者权限。要创建自定义容器，请选择是。
自定义容器 LDIF 文件路径		仅当将自定义容器设置为是时适用。为自定义容器指定 LDIF 文件的路径。
根容器	ROOT_CONTAINER	指定根容器。默认值为 o=data。
组搜索根容器 DN	GROUP_ROOT_CONTAINER	指定组搜索根容器的 DN。
创建 Identity Applications 的 User Application 和 Roles and Resources Services 驱动程序	UA_CREATE_DRIVERS	指定是否要安装 UA 和 RRSD 驱动程序。如果您选择 N，则必须指定现有 User Application 驱动程序的名称。
现有 User Application 驱动程序的名称	UA_DRIVER_NAME	仅当您已将用于创建 UA 和 RRSD 驱动程序的值设置为否时才适用。指定现有 User Application 驱动程序 DN 细节。
User Application 工作流程引擎 ID	UA_WORKFLOW_ENGINE_ID	指定 Identity Applications 工作流程引擎 ID。
Identity Applications 和工作流程引擎数据库平台	UA_WFE_DB_PLATFORM_OPTION	指定 Identity Applications 和工作流程引擎数据库平台。支持的值为 Postgres、Oracle 和 MsSQL。
Identity Applications 和工作流程引擎数据库端口	UA_WFE_DB_PORT	指定 Identity Applications 和工作流程引擎数据库端口。
工作流程引擎数据库名称	WFE_DATABASE_NAME	指定工作流程引擎数据库名称.默认数据库名称为 igaworkflowdb。
Identity Applications 和工作流程引擎数据库口令	UA_WFE_DATABASE_PWD	指定 Identity Applications 和工作流程引擎数据库口令。
Identity Applications 自定义证书	CUSTOM_UA_CERTIFICATE	指定是否要为 Identity Applications 使用自定义证书
包含主题备用名称的 Identity Applications Tomcat 密钥存储区文件	UA_COMM_TOMCAT_KEYSTORE_FILE	指定包含主题备用名称的 Identity Applications Tomcat 密钥存储区文件
Identity Applications Tomcat 密钥存储区口令	UA_COMM_TOMCAT_KEYSTORE_PWD	指定 Identity Applications Tomcat 密钥存储区口令
NGINX 端口	NGINX_HTTPS_PORT	指定 NGINX 端口。
Identity Reporting
通用口令	IS_COMMON_PASSWORD	指定是否要设置通用口令。确保口令符合在配置期间使用不可猜出的口令章节中指定的注意事项。
主机名（小写 FQDN）		指定服务器的完全限定判别名或默认 IP 地址。注：确保以小写字符指定 FQDN。另外，必须将托管组件的服务器配置为使用小写 FQDN。
身份库主机名/IP 地址	ID_VAULT_HOST	指定安装了身份库的服务器的 IP 地址或主机名。
身份库管理员名称	ID_VAULT_ADMIN_LDAP	指定树中至少对要添加此服务器的环境具有完整权限的管理员对象的相对判别名 (RDN)。
身份库管理员口令	ID_VAULT_PASSWORD	指定管理员对象的口令。例如，password。
连接到外部 One SSO 服务器		指定是否要连接到外部 SSO 服务器
应用程序服务器 DNS/IP 地址	TOMCAT_SERVLET_HOSTNAME	指定 Tomcat 服务器的 IP 地址或主机名。
OSP 自定义登录屏幕名称	OSP_CUSTOM_NAME	指定将显示在 OSP 登录屏幕上的名称。
用户搜索容器 DN	USER_CONTAINER	指定身份库中所有用户对象的默认容器。
管理员搜索容器 DN	ADMIN_CONTAINER	指定身份库中包含鉴定服务 (OSP) 必须鉴定的任何管理员用户对象的容器判别名。例如：o=data。
应用程序服务器 HTTPS 端口	TOMCAT_HTTPS_PORT	指定 Tomcat 服务器在与客户端计算机通讯时要使用的 HTTPS 端口。默认值为 8543。
One SSO 服务器 DNS/IP 地址	SSO_SERVER_HOST	指定安装了单点登录服务的服务器的 IP 地址。
One SSO 服务器 SSL 端口	SSO_SERVER_PORT	指定单点登录服务要使用的端口。默认值是 8543。
包含主题备用名称的 OSP Tomcat 密钥存储区文件	OSP_COMM_TOMCAT_KEYSTORE_FILE	指定 Tomcat 密钥存储区文件的位置。注：只支持 PKCS 类型的自定义证书。
OAuth 密钥存储区口令	OSP_KEYSTORE_PWD	指定 OAuth 密钥存储区口令。
应用程序服务器密钥存储区口令	TOMCAT_SSL_KEYSTORE_PASS	指定应用程序服务器的密钥存储区口令。
包含主题备用名称的 Identity Applications Tomcat 密钥存储区文件	UA_COMM_TOMCAT_KEYSTORE_FILE	指定 Tomcat 密钥存储区文件的位置。注：只支持 PKCS 类型的自定义证书。
Identity Reporting One SSO Service 口令	RPT_SSO_SERVICE_PWD	指定 Identity Reporting 的鉴定服务的口令。
选择用于 Identity Reporting 的数据库平台	RPT_DATABASE_PLATFORM_OPTION	指定要用于 Identity Reporting 的数据库。
在当前服务器上配置 PostgreSQL	INSTALL_PG_DB_FOR_REPORTING	指定是否要在同一台服务器上配置 PostgreSQL 数据库。
Identity Reporting 数据库帐户口令	RPT_DATABASE_SHARE_PASSWORD	指定 Identity Reporting 的数据库帐户口令。
创建新数据库或从现有数据库升级/迁移	RPT_DATABASE_NEW_OR_EXIST	指定是要创建新数据库还是从现有数据库升级。
Identity Reporting 管理员名称	RPT_ADMIN	指定 Identity Reporting 的管理员名称。默认值为 cn=uaadmin,ou=sa,o=data。
Identity Reporting 管理员口令	RPT_ADMIN_PWD	指定 Identity Reporting 的管理员口令。
Identity Reporting 数据库名称	RPT_DATABASE_NAME	指定 Identity Reporting 的数据库名称。默认值为 idmrptdb。
Identity Reporting 数据库用户	RPT_DATABASE_USER	指定允许 Identity Reporting 访问和修改数据库中的数据的管理帐户。默认值为 rptadmin。
Identity Reporting 数据库主机		指定需要在其中创建数据库的服务器的 DNS 名称或 IP 地址。
Identity Reporting 数据库端口	RPT_DATABASE_PORT	指定用于连接数据库的端口。默认端口为 5432。
Identity Application 数据库 JDBC jar 文件	RPT_DATABASE_JDBC_DRIVER_JAR	指定数据库平台的 JAR 文件。
包含主题备用名称的 Identity Reporting Tomcat 密钥存储区文件	RPT_COMM_TOMCAT_KEYSTORE_FILE	指定 Tomcat 密钥存储区文件的位置。注：只支持 PKCS 类型的自定义证书。
创建纲要	RPT_DATABASE_CREATE_OPTION	作为安装过程的一部分，指出要在何时创建数据库纲要。可用选项有现在、启动和文件。如果为数据库纲要创建选项选择启动或文件，则必须手动将数据源添加到“身份数据收集服务”页面。有关详细信息，请参见在“身份数据收集服务”页面中手动添加数据源。如果您的数据库在其他服务器上运行，则必须连接到该数据库。对于远程安装的 PostgreSQL 数据库，请校验该数据库是否正在运行。要连接到远程 PostgreSQL 数据库，请参见连接远程 Remote PostgreSQL 数据库。如果要连接到 Oracle 数据库，请确保已创建 Oracle 数据库实例。有关更多信息，请参见 Oracle 文档。如果为数据库纲要创建选项选择启动或文件，则必须在配置后手动创建表并连接到数据库。有关详细信息，请参见手动生成数据库纲要。
默认电子邮件地址	RPT_DEFAULT_EMAIL_ADDRESS	指定您希望 Identity Reporting 用作电子邮件通知来源的电子邮件地址。
SMTP 服务器	RPT_SMTP_SERVER	指定 Identity Reporting 用于发送通知的 SMTP 电子邮件主机的 IP 地址或 DNS 名称。
SMTP 服务器端口	RPT_SMTP_SERVER_PORT	指定 SMTP 服务器的端口号。默认端口为 465。
为 Identity Reporting 创建 MSGW 和 DCS 驱动程序	RPT_CREATE_DRIVERS	指定是否要创建 MSGW 和 DCS 驱动程序。
NGINX HTTPS 端口	NGINX_HTTPS_PORT	指定 NGINX 的端口。

5.2.1 创建和配置驱动程序集

使用 Identity Manager 安装套件的 IDM/LDIF/ 目录中的 sample-driverset.ldif 文件可帮助您创建驱动程序集。该文件包含以下内容：

dn: cn=driverset1,o=system
changetype: add
DirXML-LogLimit: 0
DirXML-ConfigValues:: PD94bWwgdmVyc2lvbj0iMS4wIiBlbmNvZGluZz0iVVRGLTgiPz48Y29u
 ZmlndXJhdGlvbi12YWx1ZXM+Cgk8ZGVmaW5pdGlvbnMvPgo8L2NvbmZpZ3VyYXRpb24tdmFsdWVzPg==
objectClass: DirXML-DriverSet
objectClass: Top
objectClass: Partition
objectClass: nsimPasswordPolicyAux

dn: cn=DirXML-PasswordPolicy,cn=Password Policies,cn=Security
changetype: add
nsimPwdRuleEnforcement: FALSE
nspmSpecialAsLastCharacter: TRUE
nspmSpecialAsFirstCharacter: TRUE
nspmSpecialCharactersAllowed: TRUE
nspmNumericAsLastCharacter: TRUE
nspmNumericAsFirstCharacter: TRUE
nspmNumericCharactersAllowed: TRUE
description: This Password Policy is used by IDM Engine
nspmMaximumLength: 64
nspmConfigurationOptions: 596
passwordUniqueRequired: FALSE
passwordMinimumLength: 1
passwordAllowChange: TRUE
objectClass: nspmPasswordPolicy
objectClass: Top
cn: DirXML-PasswordPolicy
nsimAssignments: cn=driverset1,o=system

在全新安装过程中创建驱动程序集

在文本编辑器中打开 sample-driverset.ldif 文件，并进行以下更改。如果您提供了自定义 LDIF 文件路径，请指定该自定义路径：

将驱动程序集 DN 指向新驱动程序集。例如，将 dn: cn=driverset1,o=system 更改为 dn:cn=Driverset47,ou=drivers,o=acme。
将 nsimAssignments 属性值更改为新驱动程序集的 DN。例如，将 nsimAssignments: cn=driverset1,o=system 更改为 nsimAssignments: cn=Driverset47,ou=drivers,o=acme。

注：按原样复制该内容可能会在该文件中插入隐藏的特殊字符。如果在将这些属性添加到身份库时收到 ldif_record() = 17 错误讯息，请在两个 DN 之间额外插入一个空格。

在现有服务器上配置驱动程序集

如果 Identity Manager 已安装在 eDirectory 树中的某台服务器上，则该树中会存在 DirXML-PasswordPolicy。您有以下选择：

使用现有口令策略

仅在以下更改

dn: cn=DirXML-PasswordPolicy,cn=Password Policies,cn=Security
changetype: modify
add: nsimAssignments
nsimAssignments: cn=driverset1,o=system

使用其他口令策略

使用

dn: cn=DirXML-PasswordPolicy,cn=Password Policies,cn=Security 
changetype: add

在文本编辑器中打开 sample-driverset.ldif 文件，并进行以下更改：

将驱动程序集 DN 指向新驱动程序集。
将 nsimAssignments 属性值更改为新驱动程序集的 DN。
将 DirXML-PasswordPolicy 属性更改为指向现有 DirXML-PasswordPolicy 对象或其他口令策略。