34.4 升級相關問題疑難排解

下表列出了您可能會遇到的問題，以及為解決這些問題建議執行的動作。如果問題持續發生，請聯絡 OpenText 代表。

問題

建議執行的動作

將 OpenText Identity Manager 升級至 24.4 (v4.10) 後，如果將 iManager 與其他元件一起安裝，iManager 不再可以正常運作。當您嘗試啟動以前安裝的版本時，iManager 會顯示空白頁面。

安裝並使用身分主控台來代替 iManager。但是，將 OpenText Identity Manager 升級至版本 24.4 (v4.10) 後，如果您想要繼續使用 iManager，請確定：

  • 將 iManager 安裝在獨立伺服器上。

  • 伺服器包含支援的 Java 版本。例如，在 Identity Manager 4.8.6 上安裝 Java JDK 1.0.8 Update 342 中的 iManager 3.2.6.0200

    執行以下步驟以重用舊的 Java 檔案：

    1. 使用以下指令建立新目錄：

      mkdir -p /opt/novell/iManager/java_iman

    2. 將 iManager 的現有 Java 檔案複製到新目錄：

      cp -r /opt/netiq/common/jre/ /opt/novell/iManager/java_iman

    3. 若要變更新目錄的擁有權，請執行以下指令：

      chown -R novlwww:novlwww /opt/novell/iManager/java_iman 

    4. 導覽至 /etc/opt/novell/tomcat9/，然後使用 tomcat9.conf 檔案中的新 Java 路徑更新 JAVA_HOME 和 JRE_HOME。

    5. 使用以下備註重新啟動 Tomcat：

      rcnovell-tomcat9 restart

在 Identity Applications 元件升級期間，如果您選擇寫入檔案選項來建立資料庫綱要，則安裝程式會建立空的 databaseschema.sql 和 wfedatabaseschema.sql 檔案。由於這些檔案是空的，升級完成後，您無法使用它們來建立資料庫綱要。

在應用程式伺服器上從協力廠商網站下載適用於您的 Identity Applications 資料庫的資料庫 jar 檔案。將此檔案與 Identity Applications 一起安裝在單獨的系統或伺服器上。在 Identity Applications 更新期間，當安裝程式提示您輸入 Identity Applications 和工作流程引擎資料庫 JDBC jar 檔案路徑時，請指定已安裝的資料庫 jar 檔案所在位置。

在執行 RHEL 8.x 或 RHEL 9.x (其中 x 是 4.10 中支援的版本) 的伺服器上將 OpenText Identity Manager 升級至版本 24.4 (v4.10) 時，OSP 因資料庫連接問題而無法啟動。在部署 OSP 時，如果隨機金鑰產生程序花費的時間超過預期，則通常就會發生這種情況。因此 Tomcat 服務也無法啟動。

修改位於 /opt/netiq/common/jre/conf/security 的 java.security 檔案中的以下行，然後重新啟動 Tomcat：

附註：在運用該解決方法之前，請參閱 RHEL 文件來瞭解關於亂數產生器的詳細資訊。

  • 將 securerandom.source=file:/dev/random

    取代為

    securerandom.source=file:/dev/./urandom

  • 將 securerandom.strongAlgorithms=NativePRNGBlocking:SUN

    取代為

    securerandom.strongAlgorithms=SHA1PRNG:SUN

在 Open Enterprise Server (OES) 24.2 上升級 OpenText Identity Manager 引擎時，idmupgrade.log 記錄中報告了以下錯誤：

[SEVERE]: Could not connect to the server Exception: Connect ErrorLDAPException: I/O Exception on host <IP_address>, port <port_number> Connect Error java.net.SocketException: Connection or outbound has closed

忽略此錯誤，它不會導致功能受損。

OpenText Identity Manager 使用數位證書進行授權並與其元件安全通訊。必須將 Identity Vault 證書輸入 idm.jks 和 tomcat.ks 金鑰儲存區檔案。但是，輸入證書後嘗試存取 Identity Applications 時，您可能會遇到以下錯誤：

javax.net.ssl.SSLHandshakeException: PKIX path validation failed: java.security.cert.CertPathValidatorException: Could not determine revocation status.

透過檢查 CRL 發佈點 (CDP) 欄位指定的證書撤銷清單 (CRL) 來驗證證書，以確定證書是否已撤銷。根證書以及金鑰儲存區檔案 tomcat.ks 和 idm.jks 中的中繼證書都會提供 CRLDP。但是，預設已停用證書撤銷檢查。因此，PKIX 信任管理員無法確定證書的撤銷狀態。

若要解決此問題，請將 -Dcom.sun.security.enableCRLDP 內容設定為 true 以啟用 CRL 發佈點檢查。

若要設定該內容，請執行以下動作：

  1. 停止 Tomcat。

  2. 移至位於 Tomcat 的 bin 目錄中的 setenv.sh 檔案。例如 /opt/netiq/idm/apps/tomcat/bin/setenv.sh。

  3. 如下所示在 CATALINA_OPTS 中新增內容 -Dcom.sun.security.enableCRLDP=true：

    export CATALINA_OPTS="-Dcom.sun.security.enableCRLDP=true"

  4. 啟動 Tomcat。

升級 OpenText Identity Manager 後，非管理員使用者在 OpenText Identity Manager 儀表板中的登入速度非常緩慢。載入「應用程式」和「儀表板」頁面時出現很高的延遲。

此問題是由預設已啟用的巢狀群組搜尋所導致。無論環境中是否存在任何巢狀群組，應用程式都會透過巢狀群組成員資格尋找已登入使用者繼承的許可權。

(視情況而定) 以下步驟適用於 Identity Manager 4.9：

  1. 登入其中 Identity Applications 已升級至版本 4.9 的伺服器。

  2. 導覽至 /opt/etiq/idm/apps/tomcat/conf/ 位置。

  3. 在文字編輯器中開啟 ism-configuration.properties 檔案。

  4. 在該檔案的末尾新增以下內容：

    DirectoryService/realms/jndi/params/USE_NESTED_GROUPS=false

  5. 儲存該檔案並重新啟動 Tomcat。

將 Identity Applications 從舊版升級至版本 4.10 後，表單轉譯器不依預期運作。將預設 IDMProv 部署網路位置修改為自訂網路位置後會出現此問題。

若要解決此問題，請執行以下步驟：

  1. 登入其中 Identity Applications 已升級至版本 4.9 的伺服器。

  2. 導覽至 /opt/netiq/idm/apps/sites 目錄。

  3. 編輯 ServiceRegistry.json 檔案。

  4. 將部署網路位置從 IDMProv 修改為在升級之前指定的自訂網路位置。

  5. 儲存 ServiceRegistry.json 檔案。

  6. 導覽至 /opt/netiq/idm/apps/sites/forms/ 目錄。

  7. 編輯 main.<version>.js 檔案，其中 <version> 是隨機產生的英數字元值。

  8. 將部署網路位置從 IDMProv 修改為在升級之前指定的自訂網路位置。

  9. 儲存 main.<version>.js 檔案。

  10. 重新啟動 Tomcat。

將分散式環境中的 OpenText Identity Manager 升級至版本 4.10 後，登入 Identity Applications 失敗。將會顯示以下錯誤訊息：

您的登入程序未成功完成。

登入 Identity Applications 需要提供信賴起點證書，以便在 Identity Applications 與 OSP 之間建立安全連接。信賴起點證書必須包含「標題類型」設定為「CA」的「基本限制」延伸。OpenText Identity Manager 利用 jdk.security.allowNonCaAnchor 內容來驗證證書中的信賴起點。此內容預設為 false。因此，如果在證書中找不到信賴起點，則無法在 Identity Applications 與 OSP 之間建立連接，登入也會失敗。您將在 idm-osp.log 檔案中看到以下例外：

sun.security.validator.ValidatorException: TrustAnchor with subject "CN=***, L=***, O=***" is not a CA certificate

若要解決此問題，必須符合下列任一條件：

  • 確定用於在 Identity Applications 與 OSP 之間建立安全連接的證書是包含正確「基本限制」延伸的可信 CA 證書。

  • 如果使用的是用戶端信任的自行簽署的證書和自訂證書，您可以變更 jdk.security.allowNonCaAnchor 內容，以允許使用不包含「基本限制」延伸的非 CA 證書。請執行以下動作來修改 Java 安全性設定：

  1. 導覽至 /opt/netiq/common/jre/lib/security/java.security 目錄。

  2. 設定內容值 jdk.security.allowNonCaAnchor=true。

  3. 儲存檔案。

升級至 Identity Applications 4.10 版本後，在 Identity Applications 儀表板中申請許可權時無法開啟表單。

若要解決此問題，請使用以下指令手動重新啟動 NGNIX 和 Golang 服務：

  • NGNIX： /opt/netiq/common/ngnix/ngnix

  • Golang： /etc/init.d/netiq-golang.sh

Identity Applications 使用 NGNIX 服務在 Identity Applications 儀表板中轉譯表單。

在標準版中升級 Identity Reporting 後，configupdate.sh.properties 中的 is_prov 參數設定為 true。因為在標準版中無法使用 Identity Applications，所以此參數的值必須設定為 false。

在 configupdate.sh.properties 檔案中手動將 is_prov 參數設定為 false。

如果先前的 OpenText Identity Manager 引擎升級失敗，將無法重新執行 OpenText Identity Manager 引擎安裝程式。例如，如果第一次嘗試將 OpenText Identity Manager 引擎升級至 4.9 失敗，然後再次嘗試升級 OpenText Identity Manager 引擎，則無法觸發升級程序。

請執行以下步驟：

  1. 使用 novell-DXMLengnx RPM 將 OpenText Identity Manager 引擎降級至舊版本。

  2. 升級 OpenText Identity Manager 引擎。

當您升級 OpenText Identity Manager 後，系統會將以下內容新增至 ism-configuration.properties 檔案：

com.netiq.idm.osp.ldap.admin-dn = cn=admin,ou=sa,o=system

請在 ism-configuration.properties 檔案中將該內容設為備註，然後重新啟動 Tomcat。它不會導致功能受損。

升級 OpenText Identity Manager 後，即使您的部署中不包含 SSPR，系統也會將以下 SSPR 內容新增至 ism-configuration.properties 檔案：

com.netiq.sspr.redirect.url = https://___SSPR_IP___:___SSPR_TOMCAT_HTTPS_PORT___/sspr/public/oauth

請在 ism-configuration.properties 檔案中將該內容設為備註，然後重新啟動 Tomcat。它不會導致功能受損。

升級 OpenText Identity Manager 後，ism-configuration.properties 檔案中會填入 java.protocol.handler.pkgs 內容的某些重複值。

不會出現功能受損的情況。若要解決此問題，請執行以下動作：

  1. 導覽至 /opt/netiq/idm/apps/tomcat/conf 目錄中的 ism-configuration.properties 檔案。

  2. 修改 ism-configuration.properties 檔案，移除 java.protocol.handler.pkgs 內容的重複值。

  3. 儲存該檔案並重新啟動 Tomcat。

升級 OpenText Identity Manager 之後，無法啟動 Tomcat。在 Tomcat 記錄中，您會發現幾項例外以及工作流程引擎與 Identity Vault 之間的通訊失敗事件。

  1. 登入 OpenText Identity Console。

  2. 導覽至證書管理 > 伺服器證書管理。

  3. 選取 SSL 證書 DNS 核取方塊並按一下輸出。

  4. 在證書下拉式清單中，選取 SSL CertificateDNS。

  5. 清除輸出私密金鑰核取方塊。確定輸出格式設定為 DER。

  6. 按一下確定 > 儲存輸出的證書以將證書下載到您的系統中。

  7. 登入 Identity Applications 伺服器。

  8. 停止 Tomcat。

  9. 導覽至 opt/netiq/common/jre/bin 目錄，並使用以下指令將證書輸入至 idm.jks 檔案：

    opt/netiq/common/jre/bin/keytool -import -trustcacerts -alias <certificate_alias_name> -keystore /opt/netiq/idm/apps/tomcat/conf/idm.jks -file <certificate_file_downloaded>

  10. 重新啟動 Tomcat。