8.5 規劃安裝 Identity Applications

Identity Applications 安裝包含以下元件：

  • Identity Manager 儀表板

  • Identity Manager 管理介面

  • 使用者應用程式

  • 角色與資源服務驅動程式

  • 使用者應用程式驅動程式

本部分內容包含以下資訊：

8.5.1 Identity Applications 的安裝核對清單

NetIQ 建議您在開始安裝程序之前先檢閱以下步驟︰

核對清單項目

  1. 瞭解 Identity Manager 各元件之間的互動。如需詳細資訊，請參閱節 4.3.1, 使用者應用程式和 Roles Based Provisioning Module。

  1. 確定要為 Identity Manager 的元件使用哪些伺服器。如需詳細資訊，請參閱節 5.7.4, 建議的伺服器設定。

  1. 決定在安裝 Identity Applications 之前是否應安裝 Sentinel。如需詳細資訊，請參閱節 5.7, 建議的安裝情境和伺服器設定。

  1. 確保 Identity Manager 引擎已安裝。如需安裝引擎的詳細資訊，請參閱節 8.3.4, Identity Manager 引擎、遠端載入器和 iManager 的系統要求。

  1. 檢閱關於安裝 Identity Applications 及其支援架構的考量，以確保您的伺服器符合先決條件。如需詳細資訊，請參閱節 8.5.2, 安裝 Identity Applications 的先決條件和考量。

  1. (視情況而定) 對於執行 SLES 12 SP2 或更新版本作業系統的電腦，請確定您已安裝引導式安裝所需的一組適當的程式庫。如需詳細資訊，請參閱節 5.9.3, 在 SLES 12 SP2 或更新版本的伺服器上安裝 Identity Manager。

  1. (視情況而定) 對於執行 RHEL 7.3 或更新版本作業系統的電腦，請確定您已安裝一組適當的程式庫。如需詳細資訊，請參閱節 5.9.4, 在 RHEL 7.3 或更新版本的伺服器上安裝 Identity Manager。

  1. 檢閱代管 Identity Applications 及其架構的電腦需要符合的硬體和軟體要求。如需詳細資訊，請參閱節 8.5.3, Identity Applications 的系統要求。

  1. 在本地電腦或連接的伺服器上為 Identity Applications 安裝並設定資料庫。

  1. 安裝 Identity Applications。如需詳細資訊，請參閱下列其中一節：

  1. 若要執行安裝程序中的最後幾個任務，請參閱節 11.0, 完成安裝的最後步驟。

  1. 確保您已正確設定 Identity Applications 和單一登入設定。如需詳細資訊，請參閱節 19.0, 驗證是否可對 Identity Applications 進行單一登入存取。

  1. (選擇性) 若要開始使用 Identity Applications，請參閱《NetIQ Identity Manager - Administrator’s Guide to the Identity Applications》(NetIQ Identity Manager - Identity Applications 管理員指南)。

8.5.2 安裝 Identity Applications 的先決條件和考量

NetIQ 建議您在開始執行安裝程序之前，檢閱 Identity Applications 的先決條件和電腦要求。如需設定使用者應用程式環境的詳細資訊，請參閱《NetIQ Identity Manager - Identity Applications 使用者指南》。

Identity Applications 的安裝考量

在安裝 Identity Applications 時，請注意以下事項。

  • 需要以下 Identity Manager 元件的支援版本：

    • Identity Manager 引擎

    • 遠端載入器

  • (選擇性) NetIQ 建議為 Identity Manager 各元件之間的通訊啟用安全通訊端層 (SSL) 通訊協定。若要使用 SSL 通訊協定，必須在您的環境中啟用 SSL，並在安裝期間指定 https。如需啟用 SSL 的資訊，請參閱《NetIQ Analyzer for Identity Manager Administration Guide》(NetIQ Analyzer for Identity Manager 管理指南) 中的「Configuring Security in the Identity Applications」(設定 Identity Applications 中的安全性)。

  • 角色與資源服務驅動程式無法與遠端載入器配合使用，因為該驅動程式使用 jClient。

  • 依預設，安裝程序會將程式檔案放在 /opt/netiq/idm 目錄中。如果您打算將使用者應用程式安裝在非預設位置，在開始執行安裝程序之前，新目錄必須符合以下要求：

    • 該目錄存在並且可寫入。

    • 非 root 使用者可對該目錄進行寫入操作。

  • 每個使用者應用程式例項只能為一個使用者容器提供服務。例如，您只能搜尋、查詢與該例項關聯的容器，以及向其新增使用者。此外，使用者容器與應用程式之間的關聯是永久性的。

  • (選擇性) 若要從受管理系統擷取授權，請安裝一或多個 Identity Manager 驅動程式。

    • 必須使用 Identity Manager 4.6 或更新版本支援的驅動程式。如需安裝驅動程式的詳細資訊，請參閱 NetIQ Identity Manager 驅動程式文件網站中的相應驅動程式指南。

    • 若要管理驅動程式，您必須事先已安裝 Designer 或 iManager 的相應外掛程式。iManager 外掛程式封裝於 Identity Manager 引擎安裝中。

Identity Applications 的組態和使用考量

在設定和初次使用 Identity Applications 時，需注意以下事項。

  • 只有在您完成以下活動之後，使用者才能存取 Identity Applications：

    • 確保已安裝所有必要的 Identity Manager 驅動程式。

    • 確保 Identity Vault 的索引處於線上模式。如需在安裝期間設定索引的詳細資訊，請參閱其他。

    • 在所有瀏覽器上啟用 Cookie。如果停用 Cookie，應用程式將無法運作。

  • 安裝過程中，安裝程式會將記錄檔案寫入安裝目錄。這些檔案包含組態的相關資訊。設定 Identity Applications 環境之後，您應考慮刪除這些記錄檔案，或將其儲存在安全位置。安裝過程中，您可以選擇將資料庫綱要寫入檔案。由於此檔案包含資料庫的描述性資訊，因此安裝程序完成後，您應將其移至安全的位置。

  • (視情況而定) 若要稽核 Identity Applications，必須在環境中安裝並設定 Identity Reporting 和稽核服務，以擷取事件。此外，您還必須對 Identity Applications 進行設定以支援稽核。

指定許可權索引的位置

當您安裝 Identity Applications 時，安裝程序將為 Tomcat 建立一個許可權索引。如果您未指定該索引的位置，安裝程式會在暫存目錄中建立一個資料夾。例如，Tomcat 上的 /opt/netiq/idm/apps/tomcat/temp/permindex。

在測試環境中，該位置一般來說是無關緊要的。但是，在線上或預備環境中，您可能不想將許可權索引放在暫存目錄中。

若要指定索引的位置：

  1. 停止 Tomcat。

  2. 在文字編輯器中，開啟 ism-configuration.properties 檔案。

  3. 在該檔案的末尾新增以下文字：

    com.netiq.idm.cis.indexdir = path/permindex

    例如︰

    com.netiq.idm.cis.indexdir = /opt/netiq/idm/apps/tomcat/temp/permindex

  4. 儲存然後關閉該檔案。

  5. 刪除暫存目錄中現有的 permindex 資料夾。

  6. 啟動 Tomcat。

為叢集啟用許可權索引

本節提供為叢集啟用許可權索引的說明。

  1. 在叢集的第一個節點中登入 iManager，然後導覽至檢視物件。

  2. 在系統下，導覽至包含 使用者應用程式驅動程式的驅動程式集。

  3. 選取 AppConfig > AppDefs > 組態。

  4. 選取 XMLData 屬性，並將 com.netiq.idm.cis.clustered 內容設定為 true。

    例如：

    <property>

    <key>com.netiq.idm.cis.clustered</key>

    <value>true</value>

    </property>

  5. 按一下「確定」。

安裝 Identity Applications 資料庫的先決條件

資料庫用於儲存 Identity Applications 的資料和組態資訊。

在安裝資料庫例項之前，請檢閱以下先決條件：

  • 若要設定與 Tomcat 配合使用的資料庫，必須建立一個 JDBC 驅動程式。Identity Applications 使用標準 JDBC 呼叫來存取和更新該資料庫。Identity Applications 使用與 JNDI 網路樹結合的 JDBC 資料來源檔案來開啟資料庫連接。

  • 您必須有一個指向該資料庫的現有資料來源檔案。使用者應用程式的安裝程式將在 server.xml 和 context.xml 中建立一個指向資料庫的 Tomcat 資料來源項目。

  • 務必準備好以下資訊：

    • 資料庫伺服器的主機和連接埠。

    • 要建立之資料庫的名稱。Identity Applications 的預設資料庫為 idmuserappdb。

    • 資料庫使用者名稱和密碼。資料庫使用者名稱必須代表某個管理員帳戶，或必須有權在資料庫伺服器中建立表格。使用者應用程式的預設管理員為 idmadmin。

    • 資料庫廠商為您所用資料庫提供的驅動程式 .jar 檔案。NetIQ 不支援協力廠商提供的驅動程式 JAR 檔案。

  • 資料庫例項可以安裝在本地電腦上，也可以安裝在連接的伺服器上。

  • 資料庫字元集必須使用 Unicode 編碼。例如，UTF-8 便是一種使用 Unicode 編碼的字元集，而 Latin1 則不是。如需指定字元集的詳細資訊，請參閱設定字元集 或設定 Oracle 資料庫。

  • 為了避免在移轉期間發生重複鍵錯誤，請使用區分大小寫的定序。如果發生重複鍵錯誤，請檢查定序並予以校正，然後重新安裝 Identity Applications。

  • (視情況而定) 若要將同一個資料庫例項用於稽核與 Identity Applications，NetIQ 建議在一個獨立的專屬伺服器 (而非代管執行 Identity Applications 的 Tomcat 的伺服器) 上安裝該資料庫。

  • (視情況而定) 如果要移轉至新版 Identity Applications，您必須使用先前安裝所用的同一個資料庫。

  • 資料庫叢集化是每個資料庫伺服器各自的功能。NetIQ 不會對任何叢集資料庫組態進行正式測試，因為叢集化獨立於產品功能。因此，我們在支援叢集資料庫伺服器的同時，也提出了以下告誡：

    • 依預設，最大連接數設定為 100。此值可能太低，無法處理叢集中的工作流程申請負載。您可能會看到以下例外︰

      (java.sql.SQLException: Data source rejected establishment of connection, message from server: "Too many connections."

      若要增加最大連接數，請在 my.cnf 檔案中將 max_connections 變數設定為更高的值。

    • 您可能需要停用叢集資料庫伺服器的某些功能或方面。例如，必須對某些表停用交易複製，因為在嘗試插入重複鍵時會出現條件約束違規。

    • 我們不提供有關叢集資料庫伺服器安裝、組態或最佳化方面的協助，包括將我們的產品安裝到叢集資料庫伺服器中。

    • 我們會盡最大努力來解決在叢集資料庫環境中使用我們的產品時可能出現的問題。在複雜環境中採用的疑難排解方法通常需要雙方的合作才能解決問題。NetIQ 提供分析、規劃 NetIQ 產品及對其進行疑難排解的專業知識。而客戶必須具有分析、規劃任何協力廠商產品及對其進行疑難排解的專業知識。我們將會要求客戶在非叢集環境中再現問題或分析其元件的行為，以協助將潛在的叢集設定問題與 NetIQ 產品問題分離開來。

設定 Identity Applications 的資料庫

Identity Applications 的資料庫支援多種任務，例如，儲存組態資料和工作流程活動的資料。您必須先安裝並設定資料庫，然後才能安裝應用程式。如需受支援資料庫的詳細資訊，請參閱Identity Applications 的系統要求。如需使用者應用程式資料庫考量的詳細資訊，請參閱安裝 Identity Applications 資料庫的先決條件。

設定 Oracle 資料庫

本節介紹為使用者應用程式使用 Oracle 資料庫時可用的組態選項。如需受支援 Oracle 版本的詳細資訊，請參閱Identity Applications 的系統要求。

檢查資料庫的相容性層級

來自不同 Oracle 版本的資料庫相容的前提為，這些資料庫支援相同的功能且這些功能以相同的方式執行。如果它們不相容，則某些功能或操作可能無法依預期運作。例如，建立綱要會失敗，導致您無法部署 Identity Applications。

若要檢查資料庫的相容性層級，請執行以下步驟︰

  1. 連接至資料庫引擎。

  2. 連接至 SQL Server 資料庫引擎的適當例項後，在物件總管中按一下伺服器名稱。

  3. 展開資料庫，然後依據資料庫選取使用者資料庫，或者展開系統資料庫並選取一個系統資料庫。

  4. 以滑鼠右鍵按一下資料庫，然後按一下內容。

    資料庫內容對話方塊隨即開啟。

  5. 在選取頁面窗格中，按一下選項。

    目前的相容性層級會顯示在相容性層級清單方塊中。

  6. 若要檢查相容性層級，請在查詢視窗中輸入以下內容，然後按一下執行。

    SQL> SELECT name, value FROM v$parameter

    WHERE name = 'compatible';

預期輸出為︰12.1.0.2

設定字元集

使用者應用程式資料庫必須使用 Unicode 編碼的字元集。在建立資料庫時，請使用 AL32UTF8 指定此字元集。

若要確認是否將 Oracle 12c 資料庫設定為使用 UTF-8，請發出以下指令： 

select * from nls_database_parameters;

如果資料庫未設定為使用 UTF-8，系統將會回應以下資訊：

NLS_CHARACTERSET
WE8MSWIN1252

否則，系統會回應以下資訊，確認資料庫已設定為使用 UTF-8：

NLS_CHARACTERSET
AL32UTF8

如需設定字元集的詳細資訊，請參閱「Choosing an Oracle Database Character Set」(選擇 Oracle 資料庫字元集)。

設定管理員使用者帳戶

使用者應用程式要求 Oracle 資料庫使用者帳戶具有特定的權限。在 SQL Plus 公用程式中輸入以下指令： 

CREATE USER idmuser IDENTIFIED BY password
GRANT CONNECT, RESOURCE to idmuser
ALTER USER idmuser quota 100M on USERS;

其中，idmuser 代表使用者帳戶。

設定 SQL Server 資料庫

本節介紹為使用者應用程式使用 SQL Server 資料庫時可用的組態選項。如需受支援 SQL Server 版本的詳細資訊，請參閱Identity Applications 的系統要求。

設定字元集

SQL Server 不允許您為資料庫指定字元集。 使用者應用程式在支援 UTF-8 的 NCHAR 欄類型中儲存 SQL Server 字元資料。

設定管理員使用者帳戶

安裝 Microsoft SQL Server 後，請使用 SQL Server Management Studio 之類的應用程式建立一個資料庫和資料庫使用者。該資料庫使用者帳戶必須擁有以下權限：

  • CREATE TABLE

  • DELETE

  • INSERT

  • SELECT

  • UPDATE

附註：建議使用 JDBC JAR 版本 sqljdbc42.jar。

在叢集環境中安裝 Identity Applications 的先決條件

您可以在 Tomcat 叢集支援的環境中安裝 Identity Applications 的資料庫，不過需要注意以下事項︰

  • 叢集必須具有唯一的叢集分割區名稱、多路廣播位址和多路廣播連接埠。使用唯一的識別碼可以區分多個叢集，防止出現效能問題和異常行為。

    • 對於叢集的每個成員，必須為 Identity Applications 資料庫的監聽連接埠指定相同連接埠號。

    • 對於叢集的每個成員，必須為代管 Identity Applications 資料庫的伺服器指定相同主機名稱或 IP 位址。

  • 必須同步化叢集中各伺服器的時鐘。如果伺服器時鐘不同步，工作階段可能會提前逾時，導致 HTTP 工作階段容錯移轉無法正常運作。

  • NetIQ 建議不要在同一個主機上的瀏覽器索引標籤或瀏覽器工作階段之間使用多個登入。某些瀏覽器在索引標籤以及程序之間共享 Cookie，因此，允許多個登入可能會導致 HTTP 工作階段容錯移轉出現問題 (此外，如果多個使用者共享一台電腦，則還可能會出現未預期的驗證功能風險)。

  • 叢集節點位於同一個子網路中。

  • 容錯移轉代理或負載平衡解決方案安裝在單獨的電腦上。

為 Identity Applications 準備叢集

Identity Applications 支援 HTTP 工作階段複製和工作階段容錯移轉。如果某個執行中的工作階段所在的節點發生故障，無需使用者介入，該工作階段便可在叢集中的另一部伺服器上繼續進行。在叢集中安裝 Identity Applications 前應先準備好環境。

瞭解 Tomcat 環境中的叢集群組

使用者應用程式叢集群組使用 UUID 名稱，以最大程度地避免與使用者可能新增至伺服器的其他叢集群組發生衝突。您可以透過使用者應用程式管理功能來修改使用者應用程式叢集群組的組態設定。只有在重新啟動伺服器節點後，對叢集組態所做的變更才會在該節點上生效。

如需在叢集環境中安裝產品所需符合之先決條件的詳細資訊，請參閱節 8.5.2, 安裝 Identity Applications 的先決條件和考量。

設定工作流程引擎 ID 的系統內容

在叢集中代管 Identity Applications 的每個伺服器都可以執行一個工作流程引擎。為確保叢集和工作流程引擎的效能，叢集中的每個伺服器都應使用相同的分割區名稱和分割區 UDP 群組。此外，叢集中的每個伺服器都必須使用唯一的工作流程引擎 ID 啟動，因為工作流程引擎的叢集化獨立於 Identity Applications 的快取架構運作。

為確保工作流程引擎正常執行，您必須設定 Tomcat 的系統內容。

  1. 對叢集中的每個 Identity Applications 伺服器建立一個新 JVM 系統內容。

  2. 將系統內容命名為 com.novell.afw.wf.引擎 ID，其中的引擎 ID 是一個唯一值。

為叢集中的每個使用者應用程式使用相同的萬能金鑰

Identity Applications 使用萬能金鑰來加密敏感性資料。叢集中的所有 Identity Applications 都必須使用相同的萬能金鑰。本節的內容可協助您確保叢集中的所有 Identity Applications 都使用相同的萬能金鑰。

如需加密 Identity Applications 中敏感性資料的詳細資訊，請參閱《NetIQ Identity Manager - Administrator’s Guide to the Identity Applications》(NetIQ Identity Manager - Identity Applications 管理員指南) 中的「Encrypting Sensitive Identity Applications Data」(加密 Identity Applications 敏感性資料)。

  1. 在叢集中的第一個節點上安裝使用者應用程式。

  2. 在安裝程式的「安全性 - 萬能金鑰」視窗中，記下將要包含 Identity Applications 新萬能金鑰的 master-key.txt 檔案所在的位置。依預設，該檔案位於安裝目錄中。

  3. 在叢集中的其餘節點上安裝 Identity Applications。

  4. 在「安全性 - 萬能金鑰」視窗中，按一下是，然後按下一步。

  5. 在「輸入萬能金鑰」視窗中，複製在步驟 2 中建立之文字檔案中的萬能金鑰。

8.5.3 Identity Applications 的系統要求

本節提供要安裝 Identity Applications 及其支援架構 (包括 PostgreSQL、Tomcat、OSP 和 SSPR) 的伺服器的最低要求。

類別

要求

處理器

1 GHz

磁碟空間

1 GB

附註：為支援應用程式的內容 (例如資料庫和應用程式伺服器記錄) 提供足夠空間。

記憶體

512 MB (建議 4 GB)

作業系統 (已認證)

以下 64 位元作業系統之一︰

  • SLES 12 SP3

  • SLES 12 SP2

  • RHEL 7.4

  • RHEL 7.3

NetIQ 建議您在安裝 Identity Manager 之前，依照製造商的自動更新機制來套用最新的作業系統修補程式。

附註：已認證指作業系統已進行全面測試且受支援。

作業系統 (受支援)

已認證作業系統的最新版 Service Pack

附註：受支援指作業系統尚未進行測試，但預期可正常運作。

虛擬化系統

  • Hyper-V Server 2012 R2

  • VMWare ESX 5.5 及更新版本

NetIQ 允許您在為執行 NetIQ 產品的作業系統提供官方支援的企業級虛擬化系統上執行 Identity Manager。只要虛擬化系統的廠商為這些作業系統提供官方支援，NetIQ 就支援在這些系統上執行整個 Identity Manager 堆疊。

資料庫

  • PostgreSQL 9.6.6

  • Oracle 12c

  • MsSQL 2016

附註：請勿在 Tomcat 的類別路徑中包含 PostgreSQL 版本 (例如 9.6.6)。如果指定這些版本，系統可能不會載入首頁影像。

應用程式伺服器

Apache Tomcat 8.5.27

Java

Java Development Kit (JDK)

或

Sun (Oracle) 提供的 Java Runtime Environment (JRE) 1.8.0_162 或更新版本

連接埠

8180

網頁瀏覽器

以下任意瀏覽器 (最低版本)︰

  • Apple Safari 9

  • Google Chrome 61 或更新版本

  • Microsoft Edge 20.10240.17146.0

  • Microsoft Internet Explorer 11.0.10240.17443

    附註：此「相容檢視」選項在 Internet Explorer 瀏覽器中不受支援。

  • Mozilla FireFox 51 或更新版本

附註：必須在瀏覽器中啟用 Cookie。如果停用 Cookie，該產品將不會正常運作。

稽核

Platform Agent 2011.1r6 (最低版本)

目錄服務

NetIQ eDirectory 9.1