35.4 配置 Identity Applications 的身份库

Identity Applications 必须能够与身份库中的对象交互。在某些情况下，您可能需要配置 eDirectory 中的鉴定方法和索引，使身份库和 Identity Applications 能够有效通讯。

35.4.1 在 eDirectory 中创建索引

要提高 Identity Applications 的性能，eDirectory 管理员应为 manager、ismanager 和 srvprvUUID 属性创建索引。如果这些属性没有索引，Identity Applications 用户可能会遭遇性能不佳的状况，这在群集环境中尤为突出。

在 RBPM 配置实用程序中选择高级 > 创建 eDirectory 索引，即可在安装期间自动创建这些索引。有关使用 Index Manager 创建索引的详细信息，请参见《NetIQ eDirectory Administration Guide》（NetIQ eDirectory 管理指南）。

35.4.2 安装和配置 SAML 鉴定方法

Identity Manager 安装程序会自动包含此配置。

如果您要使用其他任何 NMAS 支持的产品来配置 Identity Applications，请手动执行此配置。该过程包括以下活动：

在 eDirectory 树中安装 SAML 方法

查找 nmassaml.zip 文件，然后解压缩。
要在 eDirectory 树中安装 SAML 方法，请完成以下步骤：
1. 扩展在 authsaml.sch 中储存的纲要
  
  例如，在 Linux 上，请输入以下命令：
```
ndssch -h edir_ip edir_admin authsaml.sch
```
2. 安装 SAML 方法。
  
  例如，在 Linux 上，请输入以下命令：
```
nmasinst   -addmethod edir_admin tree ./config.txt 
```

编辑 eDirectory 属性

打开 iManager。
展开角色和任务 > 目录管理 > 创建对象。
选择显示所有对象类。
创建类 authsamlAffiliate 的一个新对象。
选择 authsamlAffiliate，然后单击确定。

您可为此对象指定任意有效名称。
要指定环境，选择树中的 SAML Assertion.Authorized Login Methods.Security 容器对象，然后单击确定。
要将属性添加到类对象 authsamlAffiliate 中，请完成以下步骤：
1. 单击 iManager 的查看对象 > 浏览选项卡。
2. 在 SAML Assertion.Authorized Login Methods.Security 容器中找到新的附属对象。
3. 选择新的附属对象，然后选择修改对象。
4. 将 authsamlProviderID 属性添加到新的附属对象。
  
  此属性用于与其附属匹配声明。此属性的内容必须与 SAML 声明发送的 Issuer 属性完全匹配。
5. 单击确定。
6. 将 authsamlValidBefore 和 authsamlValidAfter 属性添加到附属对象。
  
  当认为某声明有效时，这些属性围绕该声明中的 IssueInstant 定义以秒为单位的时间段。通常默认值为 180 秒。
7. 单击“确定”。
选择安全性容器。
选择创建对象，以在安全性容器中创建可信根容器。
要在可信根容器中创建可信根对象，请完成以下步骤：
1. 浏览到角色和任务 > 目录管理，然后选择创建对象。
2. 选择显示所有对象类。
3. 为用来签名声明的附属证书创建可信根对象。必须具有证书的 DER 编码的副本才能执行此操作。
4. 在到根 CA 证书的签名证书链中为每个证书创建新的可信根对象。
5. 将“环境”设置为先前创建的“可信根容器”，然后单击确定。
返回到对象查看器。
向您所属对象添加 authsamlTrustedCertDN 属性，然后单击确定。

此属性应指向先前步骤中所创建签名证书的可信根对象。（该附属的所有声明必须通过此属性指向的证书进行签名，否则它们将被拒绝。）
向您所属对象添加 authsamlCertContainerDN 属性，然后单击确定。

此属性应指向您之前创建的可信根容器。（此属性用于校验签名证书的证书链。）