In diesem Abschnitt wird das Dienstprogramm „NrfCaseUpdate“ beschrieben. Es werden u. a. folgende Themen erläutert:
Die NrfCaseUpdate-Prozedur ist erforderlich, um bei Beachtung der Groß-/Kleinschreibung Suchen nach Rollen und Ressourcen durchzuführen. Diese Prozedur aktualisiert das Schema, indem sie die von den Benutzeranwendungstreibern verwendeten Attribute „nrfLocalizedDescrs“ und „nrfLocalizedNames“ ändert. Das Verfahren ist erforderlich, bevor Sie RBPM 4.0.1 installieren und bevor Sie vorhandene Treiber in Designer 4.0.1 migrieren, wenn Ihr eDirectory-Baum mit Version 3.6.1 oder einer früheren Version des RBPMs erstellt wurde. Dieser Schritt ist nicht erforderlich, wenn Sie eine Neuinstallation von Version 4.0.1 oder eine Aufrüstung von Version 3.7 vornehmen.
Dieser Abschnitt bietet einen Überblick über die Schritte zum Aufrüsten und Migrieren einer vorhandenen RBPM-Umgebung. Dieser Überblick unterstreicht die Verwendung von Designer 4.0.1 zum Erstellen von Sicherungskopien der Benutzeranwendungstreiber vor dem Aufrüsten.
Installieren Sie Designer 4.0.1.
Führen Sie eine Zustandsüberprüfung des Identitätsdepots aus, um sicherzustellen, dass das Schema ordnungsgemäß erweitert wird. Verwenden Sie TID 3564075 zum Durchführen der Zustandsüberprüfung.
Importieren Sie vorhandene Benutzeranwendungstreiber nach Designer 4.0.1.
Archivieren Sie das Designer-Projekt. Es stellt den Zustand des Treibers vor RBPM 4.0.1 dar.
Führen Sie den NrfCaseUpdate-Prozess aus.
Erstellen Sie ein neues Designer 4.0.1-Projekt und importieren Sie den Benutzeranwendungstreiber, um die Migration vorzubereiten.
Installieren Sie RBPM 4.0.1.
Migrieren Sie den Treiber mithilfe von Designer 4.0.1.
Stellen Sie den migrierten Treiber bereit.
Wenn das Dienstprogramm „NrfCaseUpdate“ vorhandene Attribute im eDirectory-Schema aktualisiert, werden alle vorhandenen Instanzen dieser Attribute effektiv gelöscht. Benutzeranwendungstreiber verwenden diese Attribute und werden daher von dieser Schema-Aktualisierung betroffen, darunter Namen und Beschreibungen von Rollen und Funktionstrennungen, benutzerdefinierte Beglaubigungsanforderungen and Berichte.
Die NrfCaseUpdate-Prozedur aktualisiert vorhandene Benutzeranwendungstreiber, indem sie ein Dienstprogramm bereitstellt, das vorhandene Benutzeranwendungstreiber in eine LDIF-Datei exportiert, bevor das Schema aktualisiert wird. Durch das Importieren der LDIF-Dateien nach dem Aktualisieren des Schemas können die während des Aktualisierens des Schemas gelöschten Objekte effektiv wiederhergestellt werden.
Es ist wie immer wichtig, dass Sie vorsichtshalber alle vorhandenen Benutzeranwendungstreiber sichern. Denken Sie daran, dass sich Schema-Aktualisierungen auf alle Identity Manager-Partitionen auswirken. Deshalb ist es wichtig, dass Sie „NrfCaseUpdate“ verwenden, um Benutzeranwendungstreiber im Baum zu exportieren.
Es wird empfohlen, dass Sie Designer zum Erstellen einer Sicherungskopie Ihrer Benutzeranwendungstreiber verwenden. Sie sollten diese Prozedur zum Sichern Ihrer vorhandenen Benutzeranwendungstreiber durchführen, bevor Sie die NrfCaseUpdate-Prozedur durchführen:
Installieren Sie Designer 4.0.1 (in RBPM 4.0.1 enthalten).
Erstellen Sie ein Identitätsdepot und ordnen Sie es dem Identity Manager-Server mit Ihren Benutzeranwendungstreibern zu.
Verwenden Sie zum Importieren Ihres Treibersatzes und der Benutzeranwendungstreiber den Befehl .
Speichern und archivieren Sie dieses Designer-Projekt.
NrfCaseUpdate fordert Sie auf, alle Treiber zu exportieren, und führt anschließend das Aktualisieren des Schemas aus. Fahren Sie nicht fort, wenn Sie nicht sicher sind, ob Benutzeranwendungstreiber vorhanden sind bzw. wo vorhandene Treiber sich befinden, da die Schema-Aktualisierung möglicherweise alle vorhandenen Benutzeranwendungstreiber ungültig macht.
Die JRE, die sich unter dem Identity Manager-Installationsverzeichnis befindet (in der Regel /root/idm/jre, kann zum Ausführen von „NrfCaseUpdate“ verwendet werden. Falls Sie SSL-Verbindungen mit eDirectory benötigen, müssen Sie Ihre JRE für SSL-Verbindungen aktivieren. Befolgen Sie hierzu die Anweisungen unter Abschnitt 3.2.7, Aktivieren der JRE für SSL-Verbindungen.
Alternativ können Sie das Dienstprogramm „NrfCaseUpdate“ remote von einem Host mit einer JRE ausführen, der das eDirectory-Zertifikat enthält, z. B. dem Benutzeranwendungs-Server. In diesem Fall müssen Sie nach dem Exportieren aller Treiber in die LDIF-Datei und vor dem Aktualisieren des Schemas das Dienstprogramm „NrfCaseUpdate“ mit STRG+C beenden. Anschließend können Sie das Schema auf dem eDirectory-Host manuell mit dem Befehl „ndssch“ aktualisieren, wie unten dargestellt:
ndssch -h hostname adminDN update-nrf-case.sch
HINWEIS:Bei „NrfCaseUpdate“ können mehrere Argumente in der Befehlszeile angegeben werden. Geben Sie für weitere Informationen -help oder -? an.
Führen Sie folgende Schritte aus, um „NrfCaseUpdate“ auszuführen:
Stellen Sie sicher, dass eine Zustandsüberprüfung des Identitätsdepots durchgeführt wurde, bevor Sie das NrfCaseUpdate-Dienstprogramm ausführen. Verwenden Sie TID 3564075 zum Durchführen der Zustandsüberprüfung.
Identifizieren Sie alle DNs der vorhandenen Benutzeranwendungstreiber, bevor Sie das Dienstprogramm starten. Sie benötigen einen Berechtigungsnachweis zum Authentifizieren, um diese Treiber in eine LDIF-Datei zu exportieren.
Führen Sie das Dienstprogramm „NrfCaseUpdate“ aus. Sie können auch die Option -v angeben, um eine ausführlichere Ausgabe zu erhalten:
/root/idm/jre/bin/java -jar NrfCaseUpdate.jar -v
Sie werden gefragt, ob Sie einen vorhandenen Benutzeranwendungstreiber haben. Beantworten Sie die Frage mit „Wahr“, wenn Sie einen vorhandenen Benutzeranwendungstreiber haben. Anderenfalls beantworten Sie mit „Falsch“ und fahren Sie mit Schritt 15 fort.
Do you currently have a User Application Driver configured [DEFAULT true] :
Als Nächstes werden Sie gefragt, ob Sie mehrere Benutzeranwendungstreiber haben. Beantworten Sie die Frage mit „Wahr“, wenn Sie mehrere Benutzeranwendungstreiber haben:
Do you currently have more than one (1) User Application Driver configured [DEFAULT false] :
Geben Sie den DN des Administrators mit dem Berechtigungsnachweis zum Exportieren des Benutzeranwendungstreibers an:
Specify the DN of the Identity Vault administrator user. This user must have inherited supervisor rights to the user application driver specified above. (e.g. cn=admin,o=acme):
Geben Sie das Passwort für diesen Administrator an:
Specify the Identity Vault administrator password:
Geben Sie den Hostnamen oder die IP-Adresse des Identity Manager-Servers an, auf dem sich der Benutzeranwendungstreiber befindet:
Specify the DNS address of the Identity Vault (e.g acme.com):
Geben Sie den Port für die Verbindung an:
Specify the Identity Vault port [DEFAULT 389]:
Als Nächstes werden Sie gefragt, ob Sie für die Verbindung SSL verwenden werden. Wenn Sie SSL verwenden möchten, setzt die JRE voraus, dass sich das eDirectory-Zertifikat im Herkunftsverbürgungs-Keystore befindet. Befolgen Sie zum Aufbewahren des Zertifikats die Anweisungen in Abschnitt 3.2.7, Aktivieren der JRE für SSL-Verbindungen.
Use SSL to connect to Identity Vault: [DEFAULT false] :
Geben Sie den vollständig qualifizierten, eindeutigen Namen des zu exportierenden Benutzeranwendungstreibers an:
Specify the fully qualified LDAP DN of the User Application driver located in the Identity Vault (e.g. cn=UserApplication,cn=driverset,o=acme):
Falls der DN ein Leerzeichen enthalt, muss es in einfache Anführungszeichen gesetzt werden, wie nachfolgend dargestellt:
'cn=UserApplication driver,cn=driverset,o=acme'
Geben Sie einen Namen für die LDIF-Datei an, in die die Benutzeranwendung exportiert wird:
Specify the LDIF file name where the restore data will be written (enter defaults to nrf-case-restore-data.ldif):
Das Dienstprogramm veröffentlicht Informationen über die in der LDIF-Datei gespeicherten Objekte.
Wenn Sie angegeben haben, dass Sie über mehrere Treiber verfügen, erscheint die folgende Aufforderung:
You indicated you have more than one (1) User Application Driver to configure. Do you have another driver to export? [DEFAULT false] : If you have another driver to export then specify true. The utility will repeat Steps 5 through 12 for each driver. If you do not have another driver to export then specify false. Ensure that you have exported all existing drivers before proceeding as the utility will proceed with the schema update.
Sie werden aufgefordert, den Speicherort des Dienstprogramms ndssch anzugeben. Das Dienstprogramm ndssch wird zum Aktualisieren des Schemas verwendet.
Please enter the path to the schema utility: For Unix/Linux typically /opt/novell/eDirectory/bin/ndssch For Windows C:\Novell\NDS\schemaStart.bat:
Das Dienstprogramm veröffentlicht die Statusmeldung für die Schema-Aktualisierung:
Schema has successfully been updated for mixed case compliance!
HINWEIS:Lassen Sie eDirectory genügend Zeit für die Synchronisierung der Schemaänderungen. Wenn Sie nicht genügend Zeit gewähren, schlägt der Import der LDIF-Datei fehl.
Führen Sie eine weitere Zustandsüberprüfung des Identitätsdepots durch, um sicherzustellen, dass das Schema vor dem Import der LDIF-Datei ordnungsgemäß importiert wurde. Verwenden Sie TID 3564075 zum Durchführen der Zustandsüberprüfung.
Nachdem alle Treiber exportiert wurden und die Schema-Aktualisierung erfolgreich angewendet wurde, müssen Sie die LDIF-Dateien importieren. Sie sollten beim Ausführen des Befehls ice angeben, dass Vorverweise erlaubt werden sollen. Nachfolgend finden Sie einen Vorschlag für die Befehlszeile:
ice -l [mylogfile.log] -v -SLDIF -f [your_created_ldif] -c -DLDAP -s [hostname] -p [389/636] -d [cn=myadmin,o=mycompany] -w [MYPASSWORD] -F -B
Vergewissern Sie sich, nachdem alle Treiber erneut importiert wurden, dass der „NrfCaseUpdate“-Prozess erfolgreich abgeschlossen wurde. Weitere Informationen finden Sie in Abschnitt 3.2.6, Verifizierung des „NrfCaseUpdate“-Prozesses.
Nachdem Sie sich vergewissert haben, dass der „NrfCaseUpdate“-Prozess erfolgreich abgeschlossen wurde, können Sie mit der Installation von RBPM 4.0.1 fortfahren.
Vergewissern Sie sich, nachdem alle Treiber erneut importiert wurden, dass die Wiederherstellung erfolgreich verlaufen ist, indem Sie die folgenden Begriffe in der Benutzeranwendung überprüfen:
Rollennamen und -beschreibungen
Funktionstrennungsnamen und -beschreibungen
Beglaubigungsanforderungen einschließlich benutzerdefinierter Anforderungen
Berichte
Nach Abschluss der Verifizierung können Sie mit der Installation und Aufrüstung auf RBPM 4.0.1 fortfahren.
In diesem Abschnitt wird beschrieben, wie die JRE zum Verwenden einer SSL-Verbindung konfiguriert wird.
Exportieren Sie zunächst ein eigensigniertes Zertifikat aus der Zertifizierungsstelle im Identitätsdepot:
Klicken Sie in der Ansicht des iManagers auf .
Wählen Sie das Zertifizierungsstellenobjekt für das Identitätsdepot aus und klicken Sie auf . Gewöhnlich befindet es sich im Sicherheitscontainer unter dem Namen TREENAME CA.Security.
Klicken Sie auf .
Klicken Sie auf .
Wenn Sie gefragt werden, ob der private Schlüssel mit dem Zertifikat exportiert werden soll, klicken Sie auf und klicken Sie anschließend auf .
Wählen Sie das binäre DER-Format.
Klicken Sie auf den Link .
Navigieren Sie zu dem Speicherort auf Ihrem Computer, in dem Sie die Datei speichern möchten, und klicken Sie anschließend auf .
Klicken Sie auf .
Importieren Sie dann das eigensigniertes Zertifikat in den Herkunftsverbürgungs-Keystore der JRE.
Verwenden Sie das Keytool-Dienstprogramm der JRE.
Importieren Sie das Zertifikat in den Verbürgungsspeicher des Rollenzuordnungsadministrators, indem Sie in der Befehlszeile den folgenden Befehl eingeben:
keytool -import -file name_of_cert_file -trustcacerts -noprompt -keystore filename -storepass password
Beispiel:
keytool -import -file tree_ca_root.b64 -trustcacerts -noprompt -keystore cacerts -storepass changeit
Wenn eine Schema-Aktualisierung auf einen vorhandenen Benutzeranwendungstreiber angewendet wird, bevor der Treiber mithilfe von „NrfCaseUpdate“ verarbeitet wurde, wird er ungültig gemacht. Sie müssen den Treiber dann mithilfe einer Datensicherung wiederherstellen.
WICHTIG:Es ist unerlässlich, dass Sie den ungültig gemachten Benutzeranwendungstreiber nicht löschen oder umbenennen, da sonst alle Verknüpfungen des Treibers auch ungültig werden. Wenn zudem der Rollen- und Ressourcenservice-Treiber läuft und Sie den Benutzeranwendungstreiber löschen, erkennt der Rollen- und Ressourcendiensttreiber die Rollenlöschungen und entfernt die Rollen von den jeweiligen Benutzern.
Zudem ist es nicht ausreichend, den gesicherten Treiber neu in Identity Manager bereitzustellen, denn auf diese Weise kann die Schema-Änderung nicht wieder zusammengeführt werden. Anhand der nachfolgenden Prozedur wird die Wiederherstellung durchgeführt, indem eine umbenannte Kopie des Treibers bereitgestellt wird, sodass die wiederherzustellenden Daten generiert werden.
Die folgende Prozedur bietet einen Überblick über den Prozess zum Wiederherstellen des gesicherten Benutzeranwendungstreibers mithilfe von Designer 4.0.1:
Starten Sie den eDirectory-Server neu, um sicher zu gehen, dass die Schema-Änderung wirksam wird.
Öffnen Sie eine Kopie des Designer 4.0.1-Projekts mit der Sicherungskopie des Benutzeranwendungstreibers „UserAppDriver“. Da diese Prozedur den Treibernamen ändert, ist es wichtig, eine Kopie des Projekts zu verwenden.
Wählen Sie den Anschluss zwischen dem Benutzeranwendungstreiber und dem Identitätsdepot aus, klicken Sie mit der rechten Maustaste und wählen Sie .
Geben Sie einen neuen Namen an, wie z. B. UserAppDriver_wiederherstellen. Wählen Sie und .
Klicken Sie auf , um das Projekt zu speichern.
Synchronisieren Sie das Identitätsdepotschema, indem Sie das Identitätsdepot auswählen und wählen und auswählen.
Speichern Sie das Projekt.
Stellen Sie den umbenannten Treiber bereit, indem Sie den Treiber auswählen und wählen.
Führen Sie „NrfCaseUpdate“ aus und exportieren Sie den neu benannten Treiber in eine LDIF-Datei.
Erstellen Sie eine Kopie der LDIF-Datei zum Bearbeiten.
Bearbeiten Sie die LDIF-Datei und benennen Sie alle Treiberbezüge um, um den Benutzeranwendungstreiber, den Sie wiederherstellen, widerzuspiegeln. Wenn z. B. Ihr ursprünglicher Benutzeranwendungstreiber cn=UserAppDriver ist, würden Sie cn=UserAppDriver_wiederherstellen in cn=UserAppDriver umbenennen. Dieser Schritt sorgt dafür, dass effektiv eine LDIF-Datei erstellt wird, die den tatsächlichen Benutzeranwendungstreiber widerspiegelt.
Verwenden Sie „ice“ zum Importieren der geänderten LDIF-Datei:
ice -l[mylogfile.log] -v -SLDIF -f[your_created_ldif] -c -DLDAP -s[hostname] -p[389/636] -d[cn=myadmin,o=mycompany] -w[MYPASSWORD] -F -B
Überprüfen Sie mithilfe von „ice“ den Status des Importvorgangs, um sicher zu gehen, dass er erfolgreich war.
Befolgen Sie die Anweisungen unter Abschnitt 3.2.6, Verifizierung des „NrfCaseUpdate“-Prozesses, um die Wiederherstellung des Treibers zu verifizieren.
Löschen Sie den umbenannten Treiber aus dem Treibersatz.