C.2 安裝程序

本節提供在 Tomcat 上安裝新 Identity Applications 例項，然後針對叢集設定該例項的逐步說明。

  1. 安裝 Identity Manager 4.6 引擎。如需逐步指示，請參閱節 7.0, 規劃安裝 Identity Vault。對於生產層級部署，建議將 Identity Manager 引擎安裝在單獨的伺服器上。

  2. 使用便捷安裝程式安裝 PostgreSQL。

    Identity Manager 支援 PostgreSQL 9.4.10 (SLES 11 SP4 上)、PostgreSQL 9.6.1 (其他受支援的平台上)。

    如需逐步指示，請參閱節 28.0, 安裝 PostgreSQL 和 Tomcat。對於生產層級部署，建議將 PostgreSQL 安裝在單獨的伺服器上。

  3. 為 Identity Applications 建立並部署以下驅動程式︰

    • 使用者應用程式驅動程式

    • 角色與資源服務驅動程式

    如需逐步指示，請參閱節 38.0, 建立和部署 Identity Applications 的驅動程式。

  4. 在節點 1 上安裝以下 Identity Manager 元件︰

    1. Tomcat

      使用便捷安裝程式安裝 Tomcat，並且在安裝過程中僅選取 Tomcat。如需逐步指示，請參閱節 28.0, 安裝 PostgreSQL 和 Tomcat。

    2. OSP

      如需安裝 OSP 的詳細資訊，請參閱節 32.0, 為 Identity Manager 安裝密碼管理功能。

      安裝期間，請在驗證詳細資料頁面中提供 Identity Manager 引擎 (eDirectory) 伺服器的 IP 位址和連接埠號碼。

    3. 使用者應用程式

      在安裝過程中進行以下設定︰

      1. 選取 Tomcat 做為應用程式伺服器。

      2. 選取 PostgreSQL 做為資料庫平台。

        附註：您可以使用 Identity Manager 4.6 支援的任何資料庫。

      3. 在後續頁面中提供必需的資料庫詳細資料。

      4. 將 PostgreSQL 伺服器中的資料庫驅動程式檔案 postgresql-9.4.1212jdbc42.jar 複製到叢集中的所有使用者應用程式節點上。

        附註：如果您使用的是 支援的其他資料庫 (例如 Oracle 或 SQL Server)，請務必將安裝資料庫的伺服器上的相應驅動程式 jar 檔案複製到叢集中的所有使用者應用程式節點上。如需詳細資訊，請參閱節 35.0, 設定 Identity Applications 的資料庫。

      5. 瀏覽並選取所複製的資料庫驅動程式 jar 檔案。

      6. 在新資料庫或現有資料庫詳細資料頁面中，選取新資料庫選項。

      7. 在 Identity Manager「組態」頁面的工作流程引擎 ID 欄位中提供唯一的名稱。例如，您可以為節點 1 使用唯一的名稱 Engine1。

      8. 若要建立新的萬能金鑰，請在「安全性 – 萬能金鑰」頁面中選取否。

        Identity Applications 使用萬能金鑰來加密敏感性資料。由於這是叢集中的第一個 Identity Applications 例項，因此必須選取否以指示安裝程式建立新的萬能金鑰。在叢集中，使用者應用程式叢集要求每個使用者應用程式例項都使用相同的萬能金鑰。為確保使用相同的萬能金鑰，請在設定這些例項時選取是以輸入現有金鑰。

    附註：如需安裝使用者應用程式的詳細說明和資訊，請參閱節 37.0, 安裝 Identity Applications。

  5. 在節點 2 上執行以下動作︰

    1. 使用便捷安裝程式安裝 Tomcat (在安裝過程中僅選取 Tomcat)。

      如需逐步指示，請參閱節 28.0, 安裝 PostgreSQL 和 Tomcat。

    2. 安裝 OSP。

      如需安裝 OSP 的詳細資訊，請參閱節 32.0, 為 Identity Manager 安裝密碼管理功能。

      安裝期間，請在驗證詳細資料頁面中提供 Identity Manager 引擎 (eDirectory) 伺服器的 IP 位址和連接埠號碼。

    3. 安裝使用者應用程式。

      在安裝過程中進行以下設定︰

      1. 選取 Tomcat 做為應用程式伺服器。

      2. 選取 PostgreSQL 做為資料庫平台。

        附註：您可以使用任意一種受支援的資料庫。

      3. 在安裝程序的後續頁面中提供必需的資料庫詳細資料。

      4. 將 PostgreSQL 伺服器上的資料庫驅動程式 jar 檔案 postgresql-9.4.1212jdbc42.jar 複製到節點 2 上。

        附註：如果您使用的是 Identity Manager 4.5.1 支援的任何其他資料庫 (例如 Oracle 或 SQL Server)，請務必將安裝資料庫的伺服器上的相應驅動程式 jar 檔案複製到叢集中的所有使用者應用程式節點上。有關更詳細的資訊，請參閱節 35.0, 設定 Identity Applications 的資料庫.

      5. 瀏覽並選取所複製的資料庫驅動程式 jar 檔案。

      6. 在新資料庫或現有資料庫詳細資料頁面中，選取現有資料庫選項。

      7. 在 Identity Manager「組態」頁面的工作流程引擎 ID 欄位中提供唯一的名稱。例如，您可以為節點 2 使用唯一的名稱 Engine2。

      8. 若要在「安全性 – 萬能金鑰」頁面中建立新的萬能金鑰，請選取是。

        使用者應用程式叢集要求每個使用者應用程式例項都使用相同的萬能金鑰。為確保使用相同的萬能金鑰，請選取是以輸入現有金鑰。此金鑰是您在節點 1 中安裝第一個使用者應用程式例項時建立的。

        您可以從節點 1 上位於 /TOMCAT_INSTALLED_HOME/conf/ 中的 ism-configuration 內容檔案獲取萬能金鑰。包含萬能金鑰的參數是 com.novell.idm.masterkey。

      9. 按一下安裝以完成安裝。

    附註：如需安裝使用者應用程式的詳細資訊，請參閱節 37.0, 安裝 Identity Applications。

  6. 在單獨的電腦上安裝 SSPR。

    安裝前請記下以下設定，並在安裝過程中指定這些設定︰

    1. 安裝 Tomcat。如需安裝說明，請參閱步驟 4a。

    2. 安裝 SSPR。

      在 SSPR 安裝期間，執行以下動作︰

      1. 在應用程式伺服器連接頁面中，選取連接至外部驗證伺服器，並提供安裝了負載平衡器的伺服器的 DNS 名稱。

      2. 在驗證詳細資料頁面中，提供 Identity Manager 引擎伺服器的 IP 位址和連接埠。CA 證書的密碼為「changeit」。

    3. 完成 SSPR 安裝後，依次啟動 Tomcat 和 SSPR (http://<IP>:<連接埠>/sspr/private/config/ConfigEditor)，然後登入其中。按一下組態編輯器 > 設定 > 安全性 > 重新導向白名單。

      1. 按一下新增值並指定以下 URL︰

        OSP︰http://<容錯移轉的 DNS><連接埠>/osp

      2. 儲存變更。

      3. 在 SSPR「組態」頁面中，按一下設定 > OAuth SSO，然後修改 OSP 連結 - 以安裝負載平衡器軟體的伺服器的 DNS 名稱取代 IP 位址。

      4. 按一下設定 > 應用程式，然後更新轉遞和登出 URL - 以安裝負載平衡器軟體的伺服器的 DNS 名稱取代 IP 位址。

    4. 若要在節點 1 上更新 SSPR 資訊，請啟動位於 /opt/netiq/idm/apps/UserApplication/configupdate.sh 的組態公用程式。

      在隨即開啟的視窗中，按一下 SSO 用戶端 > Self Service Password Reset，並為用戶端 ID、密碼和 OSP OAuth 重新導向 URL 參數輸入值。

    附註：驗證節點 2 中是否更新了這些參數的值。

  7. 在叢集節點上執行以下組態任務︰

    1. 在所有叢集節點上重新啟動 Tomcat。

    2. 若要以 SSPR IP 位址更新「忘記密碼」連結，請在節點 1 上登入使用者應用程式，然後按一下管理 > 忘記密碼。

      如需 SSPR 組態的詳細資訊，請參閱節 39.6, 設定忘記密碼管理功能。

    3. 若要變更「變更我的密碼」連結，請參閱節 39.6.4, 針對分散式環境或叢集環境更新儀表板中的 SSPR 連結。

    4. 在節點 2 上，驗證「忘記密碼」連結和「變更我的密碼」連結是否已用 SSPR IP 位址更新。

      附註：如果「變更密碼」和「忘記密碼」連結已用 SSPR IP 位址更新，則不需要執行其他變更。

  8. 在節點 1 中，停止 Tomcat，並使用以下指令指定負載平衡器伺服器的 DNS 名稱，以產生新 osp.jks 檔案︰

    /opt/netiq/idm/jre/bin/keytool -genkey -keyalg RSA -keysize 2048 -keystore osp.jks -storepass <密碼> -keypass <密碼> -alias osp -validity 1800 -dname "cn=<負載平衡器 IP/DNS>"

    例如︰/opt/netiq/idm/jre/bin/keytool -genkey -keyalg RSA -keysize 2048 -keystore osp.jks -storepass changeit -keypass changeit -alias osp -validity 1800 -dname "cn=mydnsname"

    附註：確認金鑰密碼與在 OSP 安裝期間提供的密碼相同。或者，可以使用組態更新公用程式並包括金鑰儲存區密碼來變更該密碼。

  9. (視情況而定) 若要驗證 osp.jks 檔案是否已透過這些變更更新，請執行以下指令︰

    /opt/netiq/idm/jre/bin/keytool -list -v -keystore osp.jks -storepass changeit

  10. 備份位於 /opt/netiq/idm/apps/osp_sspr/osp/ 中的原始 osp.jks 檔案，並將新 osp.jks 檔案複製到此位置。新 osp.jks 檔案是在步驟 8 中建立的。

  11. 將節點 1 上位於 /opt/netiq/idm/apps/osp_sspr/osp/ 中的新 osp.jks 文件複製到叢集中的其他使用者應用程式節點上。

  12. 在節點 1 中啟動組態公用程式，並在「SSO 用戶端」索引標籤下將所有 URL 設定 (例如抵達頁面的 URL 連結和 OAuth 重新導向 URL) 變更為負載平衡器 DNS 名稱。

    1. 儲存在組態公用程式中所做的變更。

    2. 若要在叢集的所有其他節點中反映此變更，請將節點 1 上位於 /TOMCAT_INSTALLED_HOME/conf 中的 ism-configuration properties 檔案複製到叢集中的其他使用者應用程式節點上。

      附註：您之前已將節點 1 上的 ism.properties 檔案複製到叢集中的其他節點上。如果您在使用者應用程式安裝期間指定了自訂安裝路徑，請在叢集節點中使用組態更新公用程式確保參考路徑正確。

      此情境中，OSP 和使用者應用程式安裝在同一部伺服器上；因此，為重新導向 URL 使用了相同的 DNS 名稱。

      如果 OSP 和使用者應用程式安裝在不同的伺服器上，請將 OSP URL 變更為指向負載平衡器的不同 DNS 名稱。請對安裝了 OSP 的所有伺服器執行此操作。執行此操作可確保所有 OSP 申請均透過負載平衡器發送到 OSP 叢集 DNS 名稱。這涉及到為 OSP 節點建立一個單獨的叢集。

  13. 在位於 /TOMCAT_INSTALLED_HOME/bin/ 目錄下的 setevn.sh 檔案中執行以下動作︰

    1. 為確保成功進行 mcast_addr 繫結，JGroups 要求 preferIPv4Stack 內容設定為 true。為此，請在所有節點上的 setenv.sh 檔案中新增 JVM 內容「-Djava.net.preferIPv4Stack=true」。

    2. 在節點 1 上的 setenv.sh 檔案中新增「-Dcom.novell.afw.wf.Engine-id=Engine1」。同樣，為叢集中的每個節點新增唯一的引擎名稱。例如，對於節點 2，可以新增引擎名稱 Engine2。

  14. 在使用者應用程式中啟用叢集。

    1. 在節點 1 上啟動 Tomcat。

      不要啟動任何其他伺服器。

    2. 以使用者應用程式管理員身分登入使用者應用程式。

    3. 按一下「管理」索引標籤。

      使用者應用程式將顯示應用程式組態入口網站。

    4. 按一下快取。

      使用者應用程式將顯示「快取管理」頁面。

    5. 為啟用叢集內容選取 True。

    6. 按一下儲存。

    7. 重新啟動 Tomcat。

    附註：如果您已選取「啟用本地」設定，請針對叢集中的每個伺服器重複此程序。

    使用者應用程式叢集使用 JGroups 在採用預設 UDP 的節點間進行快取同步。如果您想將此通訊協定變更為使用 TCP，請參閱「Configuring User Application to use TCP」(將使用者應用程式設定為使用 TCP)。

  15. 為叢集啟用許可權索引。

    1. 在節點 1 中登入 iManager，然後導覽至檢視物件。

    2. 在系統下，導覽至包含使用者應用程式驅動程式的驅動程式集。

    3. 選取 AppConfig > AppDefs > > 組態

    4. 選取 XMLData 屬性，並將 com.netiq.idm.cis.clustered 內容設定為 true。

      例如：

      <property>

      <key>com.netiq.idm.cis.clustered</key>

      <value>true</value>

      </property>

    5. 按一下「OK」(確定)。

  16. 啟用 Tomcat 叢集。

    在所有叢集節點上開啟 /TOMCAT_INSTALLED_HOME/conf/ 中的 Tomcat server.xml 檔案，並取消注釋此檔案中的下行︰

    <Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster"/>

    對於進階 Tomcat 叢集組態，請依照 https://tomcat.apache.org/tomcat-7.0-doc/cluster-howto.html 中的步驟操作。

  17. 在所有節點上重新啟動 Tomcat。

  18. 為叢集設定使用者應用程式驅動程式。

    在叢集中，必須將使用者應用程式驅動程式設定為使用叢集負載平衡器的 DNS 名稱。可使用 iManager 來設定使用者應用程式驅動程式。

    1. 登入用於管理 Identity Manager 引擎的 iManager。

    2. 在 iManager 導覽框架中，按一下 Identity Manager 節點。

    3. 按一下 Identity Manager 綜覽。

    4. 使用搜尋網頁顯示「Identity Manager 綜覽」，以尋找包含使用者應用程式驅動程式及角色與資源服務驅動程式的驅動程式集。

    5. 按一下驅動程式圖示右上角的圓形狀態指示器：

      一個功能表即會顯示，其中列出了用於啟動和停止驅動程式以及編輯驅動程式內容的指令。

    6. 選取編輯內容。

    7. 在「驅動程式參數」區段中，將主機變更為發送器的主機名稱或 IP 位址。

    8. 按一下「OK」(確定)。

    9. 重新啟動驅動程式。

  19. 若要變更角色與資源服務驅動程式的 URL，請重複步驟 18a 至 18f，然後按一下驅動程式組態，並以負載平衡器 DNS 名稱更新使用者應用程式 URL。

  20. 確認針對使用者應用程式節點的負載平衡器軟體中建立的叢集啟用了工作階段綁定。

  21. 在 Identity Manager 儀表板上設定用戶端設定。如需詳細資訊，請參閱《NetIQ Identity Manager - Administrator’s Guide to the Identity Applications》(NetIQ Identity Manager - Identity Applications 管理員指南) 中的「Configuring Client Settings Mode」(設定用戶端設定模式)。

大多數負載平衡器都提供狀態檢查功能，以確定 HTTP 伺服器是否已啟動且正在監聽。使用者應用程式包含一個 URL，可用於設定負載平衡器上的 HTTP 狀態檢查。該 URL 為︰

http://<節點 IP>:連接埠/IDMProv/jsps/healthcheck.jsp