Ultimo aggiornamento 28 settembre 2007.
Questo documento contiene problematiche note per Identity Manager 3.5.1
Sono attualmente disponibili le seguenti risorse di documentazione aggiuntive:
In questa sezione vengono descritte altri due elementi presenti nell'elenco di nuove caratteristiche della sezione Novità della Guida all'installazione di Identity Manager 3.5.1.
L'applicazione utente Identity Manager supporta single sign-on tramite Access Manager, mediante l'utilizzo di qualsiasi servizio di autenticazione di terze parti che può accedere in Access Manager. Questa funzione consente l'utilizzo di una tecnologia non basata su password per accedere nell'applicazione utente mediante Access Manager. Ad esempio è possibile accedere tramite un certificato utente (client) con una smart card. Per ulteriori informazioni, fare riferimento alla sezione Sicurezza in "Progettazione dell'ambiente di produzione" nella Applicazione utente Identity Manager 3.5.1: guida di amministrazione.
A questo punto è possibile aggiungere parametri di ricerca in una URL che faccia riferimento alle pagine bianche di Identity Manager.
In questa sezione vengono descritti i requisiti di sistema per Identity Manager 3.5.1:
I requisiti Java* di Identity Manager 3.5.1 sono i seguenti:
L'applicazione utente richiede Java 5.0.10 per supportare la firma digitale e Cryptovision.
Sui server applicazioni JBoss* è necessario scaricare e installare la seguente versione di JDK* Sun*: Java 2 Platform Standard Edition Development Kit 5.0. Utilizzare JRE* versione 1.5.0_10.
NOTA:non utilizzare JDK IBM* in dotazione con SUSE® Linux Enterprise Server (SLES). L'utilizzo di JDK IBM in dotazione con SLES può causare errori per il danneggiamento della chiave master.
Sui server applicazioni WebSphere, utilizzare JDK IBM in dotazione con il server applicazioni WebSphere* 6.1.0.9 o superiore, con l'applicazione dei file delle norme illimitate. Inoltre occorre applicare il fixpack JDK WAS per la versione 6.1.0.9.
Il programma di installazione Metadirectory provvede all'installazione della propria copia del JVM su tutte le piattaforme ad eccezione di NetWare. Per la piattaforma NetWare, Metadirectory utilizza qualsiasi versione di Java installata sul sistema.
Identity Manager 3.5.1 supporta Novell Audit 2.0.2.
Di seguito è riportata un'aggiunta ai requisiti di sistema elencati nella Guida di installazione di Identity Manager 3.5.1: l'applicazione utente richiede il server applicazioni WebSphere (WAS) 6.1.0.9 e il Fixpack SDK WAS 6.1.0.9.
Se utilizzando DB2 viene visualizzato il messaggio di errore "The current transaction has been rolled back because of a deadlock or timeout (La transazione corrente è stata annullata a causa di uno stallo o di un timeout)", il problema potrebbe essere causato da un alto livello di concorrenza di utenti e database.
DB2 fornisce molte tecniche per la risoluzione di conflitti di blocco tra cui l'ottimizzazione basata sui costi. La Guida delle prestazioni inclusa nella documentazione di amministrazione di DB2 è una fonte eccellente di conoscenza contenente molte informazioni sull'ottimizzazione.
Non esistono valori predefiniti per l'ottimizzazione utilizzabili per tutti i tipi di installazione poiché il livello di concorrenza e dimensioni dei dati è variabile. Tuttavia, di seguito vengono riportati alcuni suggerimenti per l'ottimizzazione di DB2 che possono rivelarsi utili per l'installazione:
Il comando reorgchk update statistics aggiorna le statistiche utilizzate dal programma di ottimizzazione. Gli aggiornamenti periodici di tali statistiche possono essere sufficienti per alleviare il problema.
L'utilizzo del parametro di registro DB2_RR_TO_RS di DB2 può migliorare la concorrenza evitando il blocco della chiave successiva della riga inserita o aggiornata.
Aumentare i parametri MAXLOCKS e LOCKLIST nel database.
Aumentare la proprietà currentLockTimeout nel pool di connessioni del database.
Utilizzare lo strumento di configurazione Database Configuration Advisor ed eseguire l'ottimizzazione per transazioni più veloci.
Impostare su VOLATILE tutte le tabelle dell'applicazione utente per indicare al programma di ottimizzazione che la cardinalità della tabella varierà in maniera significativa. Ad esempio, per impostare su VOLATILE la tabella AFACTIVITY è possibile inserire il comando: ALTER TABLE AFACTIVITY VOLATILE
I comandi ALTER TABLE devono essere eseguiti dopo il primo avvio dell'applicazione utente e la creazione delle tabelle del database. Fare riferimento alla documentazione dei comandi ALTER TABLE per ulteriori informazioni su questa istruzione. Di seguito vengono riportati le istruzioni SQL per tutte le tabelle dell'applicazione utente:
ALTER TABLE AFACTIVITY VOLATILEALTER TABLE AFACTIVITYTIMERTASKS VOLATILEALTER TABLE AFBRANCH VOLATILEALTER TABLE AFCOMMENT VOLATILEALTER TABLE AFDOCUMENT VOLATILEALTER TABLE AFENGINE VOLATILEALTER TABLE AFENGINESTATE VOLATILEALTER TABLE AFMODEL VOLATILEALTER TABLE AFPROCESS VOLATILEALTER TABLE AFPROVISIONINGSTATUS VOLATILEALTER TABLE AFQUORUM VOLATILEALTER TABLE AFRESOURCEREQUESTINFO VOLATILEALTER TABLE AFWORKTASK VOLATILEALTER TABLE AUTHPROPS VOLATILEALTER TABLE DSS_APPLET_BROWSER_TYPES VOLATILEALTER TABLE DSS_APPLET_CFG VOLATILEALTER TABLE DSS_APPLET_CFG_MAP VOLATILEALTER TABLE DSS_BROWSER_TYPE VOLATILEALTER TABLE DSS_CONFIG VOLATILEALTER TABLE DSS_EXT_KEY_USAGE_RESTRICTION VOLATILEALTER TABLE DSS_USR_POLICY_SET VOLATILEALTER TABLE PORTALCATEGORY VOLATILEALTER TABLE PORTALPORTLETHANDLES VOLATILEALTER TABLE PORTALPORTLETSETTINGS VOLATILEALTER TABLE PORTALPRODUCERREGISTRY VOLATILEALTER TABLE PORTALPRODUCERS VOLATILEALTER TABLE PORTALREGISTRY VOLATILEALTER TABLE PROFILEGROUPPREFERENCES VOLATILEALTER TABLE PROFILEUSERPREFERENCES VOLATILEALTER TABLE SCHEMAVERSION VOLATILEALTER TABLE SECURITYACCESSRIGHTS VOLATILEALTER TABLE SECURITYPERMISSIONMETA VOLATILEALTER TABLE SECURITYPERMISSIONS VOLATILEALTER TABLE SEC_DELPROXY_CFG VOLATILEALTER TABLE SEC_DELPROXY_SRV_CFG VOLATILEALTER TABLE SEC_SYNC_CLEANUP_QUEUE VOLATILE
L'utilizzo del driver 9i di Oracle* crea l'eccezione seguente: org.hibernate.exception.GenericJDBCException: could not insert: [com.sssw.fw.security.persist.EboPermissionMeta]
Per evitare questo problema, utilizzare i driver 10g di Oracle, ojdbc14.jar e orai18n.jar. Tali driver sono compatibili con i precedenti 9i di Oracle.
Nelle sezioni seguenti vengono descritti problemi di installazioni e relative soluzioni.
All'avvio dell'applicazione utente su JBoss eseguito come servizio Windows potrebbe verificarsi il seguente errore:
com.sssw.fw.exception.EboUnrecoverableSystemException: Failed to initialize EboPortletContainer framework service. at com.novell.afw.portlet.core.EboPortletContainer.<clinit>(EboPortletContainer.java:100) at com.sssw.portal.servlet.EboPortalBootServlet.init(EboPortalBootServlet.java:86) at javax.servlet.GenericServlet.init(GenericServlet.java:211) at org.apache.catalina.core.StandardWrapper.loadServlet(StandardWrapper.java:1105) at org.apache.catalina.core.StandardWrapper.load(StandardWrapper.java:932) at org.apache.catalina.core.StandardContext.loadOnStartup(StandardContext.java:3951 . . . Caused by: java.lang.ClassCastException: . . .
Tale errore si verifica se, durante l'avvio, il servizio JBoss ha caricato un file xalan.jar diverso dal file previsto da Identity Manager. Per risolvere il problema, aggiungere il percorso al file xalan.jar alla voce -Djava.class.path per il servizio. La voce di registro ottenuta per il servizio è simile all'esempio seguente:
‑Djava.class.path=C:\Novell\IDM_35_FCS\jre\lib\tools.jar;C:\Novell\IDM_35_FCS\jboss\bin\run.jar;C:\Novell\IDM_35_FCS\jboss\lib\endorsed\xalan.jar
A questo punto è necessario riavviare il servizio.
È possibile aggiungere il percorso al momento della creazione del servizio o in un secondo momento.
Installando l'applicazione utente di Identity Manager su un sistema a 64 bit e JBoss e MySQL mediante il file JBossMysql.bin, potrebbe verificarsi un errore durante l'installazione del database MySQL. Per risolvere il problema, eseguire setup-mysql.sh, quindi start-mysql.sh.
Nel tentativo di accedere al container root DN durante l'installazione dell'applicazione utente su sistemi SLES 10 a 64 bit possono essere visualizzati caratteri non corretti o il pulsante . Se si verifica tale eventualità, accertarsi di avere installato il JRE corretto per il proprio ambiente.
L'installazione della GUI non riesce sui sistemi Solaris* 9 e 10 durante l'utilizzo di eDirectory™ 8.8.1. La soluzione è indicata di seguito:
Eseguire il programma di installazione testuale.
Utilizzare eDirectory 8.8.2 che contiene la correzione a questo problema.
Lo script configupdate.sh non viene effettuato con successo dopo l'aggiunta di file a un IDM.war, se il WAR è stato creato con il file binario jar in /usr/bin/jar distribuito in un sistema SLES 9. L'errore è:
DEBUG===WAR updating...java.util.zip.ZipException: invalid entry compressed size (expected 16176 but got 16177 bytes) at java.util.zip.ZipOutputStream.closeEntry(Unknown Source) at java.util.zip.ZipOutputStream.putNextEntry(Unknown Source)
Per risolvere o prevenire il problema, utilizzare una versione del file jar per creare il WAR, come nell'esempio: /usr/lib/java/bin/jar -cvf IDM.war *
Avviando l'applicazione utente mediante la configurazione di default del server JBoss può essere visualizzato il seguente messaggio di avviso:
WARN [TomcatDeployer] Failed to setup clustering, clustering disabled (Impossibile configurare la gestione in cluster che verrà disabilitata). NoClassDefFoundError: org/jboss/cache/CacheException
Se durante l'installazione dell'applicazione utente è stata scelta la configurazione di default (nodo singolo) è possibile ignorare questo messaggio. Questo messaggio proviene dal server applicazioni JBoss. Indica che, nonostante l'applicazione utente di Identity Manager supporti la gestione in cluster, quest'ultima non viene supportata dalla configurazione del server applicazioni scelta.
Se la password del conto per l'installazione di Identity Manager contiene caratteri speciali, l'estensione dello schema potrebbe avere esito negativo. In tal caso, è necessario eseguire l'installazione utilizzando un conto differente oppure modificare la password.
Le versioni più recenti di Access Manager potrebbero non supportare il percorso dell'URL della pagina di logout di ICS che si trova in nella pagina Mostra opzioni avanzate per la configurazione dell'applicazione utente. Se il percorso dell'URL di default https://yourIChainServer/cmd/ICSLogout non funzionasse, provare con https://yourAccessManagerServer/AGLogout.
Il programma di installazione dell'applicazione utente non verrà eseguito con successo se il server sta già eseguendo MySQL sulla porta 3306 senza offrire l'opportunità di installare MySQL su una porta diversa. Tale problema è dovuto a una limitazione dell'utility JbossMysql in dotazione con l'applicazione utente, ma può essere superato utilizzando il programma di installazione indipendente di MySQL.
La soluzione consiste nell'arrestare l'istanza in esecuzione di MySQL ed eseguire l'installazione. Il programma di installazione installa MySQL sulla porta 3306, ma chiede all'utente su quale porta desidera connettersi. Specificare una nuova porta, quindi individuare il file my.cnf, indirizzarlo a questa nuova porta e riavviare l'istanza di MySQL dell'applicazione utente. A questo punto riavviando l'altra istanza di MySQL, l'applicazione funzionerà in maniera corretta. Il programma di installazione dell'applicazione utente consente l'installazione su una porta diversa e quindi l'avvio su quella nuova porta. Al momento, sembra che il programma di installazione dell'applicazione utente funzioni solo se la porta 3306 è libera.
Nelle sezioni seguenti vengono descritte anomalie e soluzioni concernenti l'interfaccia utente dell'applicazione utente.
L'applicazione utente non supporta i nomi delle norme sulle password contenenti spazi iniziali o finali. In presenza di una norma sulle password che contiene spazi iniziali o finali, agli utenti verrà visualizzato il messaggio "Autenticazione CHAP non riuscita" immediatamente dopo la digitazione del nome utente nella pagina di recupero della password.
La presenza di uno o più spazi finale in un nome di un gruppo di autenticazione CHAP causa un errore quando l'applicazione utente cerca di restituire le domande di autenticazione CHAP per la password. Per prevenire questo problema, non aggiungere spazi finali al nome del gruppo di autenticazione CHAP.
Se si crea un'entità, come ad esempio un utente, nell'applicazione utente contenente una barra rovesciata nel nome, quest'ultima risulterà moltiplicata nel DN completo. Ad esempio, mionomeutente\ diventa mionomeutente\\\. Questa è un'anomalia nota. Per risolvere il problema, evitare l'utilizzo di barre rovesciate nei nomi delle entità.
Nella scheda dell'applicazione utente di Identity Manager, la modifica dell'attributo del gruppo per eliminare e aggiungere gruppi, deve essere effettuata con operazioni distinte. Per l'eliminazione e l'aggiunta di un gruppo in un'unica operazione, il nome del gruppo eliminato viene nuovamente visualizzato facendo clic sul pulsante + (aggiungi).
Nell'applicazione utente, eseguendo il login come utente A mediante un browser della famiglia Mozilla (Firefox*, Netscape* o Mozilla*), quindi aprendo un'altra istanza del browser dello stesso tipo ed eseguendo il login come utente B, è possibile visualizzare informazioni di quest'ultimo utente ritornando alla prima istanza del browser. Ciò accade poiché le istanze del browser condividono, e quindi sovrascrivono, lo stesso cookie. Tale comportamento è specifico dei browser della famiglia Mozilla, mentre non si verifica se si utilizza Internet Explorer.
È possibile che si verifichino eccezioni in Firefox durante le operazioni di taglia, copia e incolla quando si utilizza l'editor HTML all'interno delle preferenze relative agli organigrammi. Mozilla non consente agli script di accedere agli appunti per ragioni di sicurezza. Per questo motivo, i pulsanti di taglia, copia e incolla non sono disponibili in Firefox.
In Firefox, è possibile scaricare un'estensione denominata Allow Clipboard Helper tramite Tools > Extensions, che apre la pagina Web per il download delle estensioni
Dopo il download, in sarà visibile la voce .
Aprire la voce e digitare l'indirizzo del server a cui si desidera accordare l'accesso agli Appunti, quindi fare clic su . È possibile aggiungere un numero illimitato di siti Web. Al termine, chiudere tutti i browser Firefox, quindi riavviare il programma. a questo punto sarà possibile eseguire le operazioni di taglia, copia e incolla in Firefox.
Per il login nell'applicazione utente di Identity Manager nel menu a sinistra esiste un collegamento per la creazione di un utente. Per poter creare nuovi utenti, occorre disporre dei diritti eDirectory necessari per aggiungere voci alla directory. Dal momento che l'applicazione utente di Identity Manager è già dotata di utenti eDirectory, tali utenti dovranno essere già dotati dei diritti necessari.
In iManager, fare clic su .
Individuare l'oggetto contenente il container utente (ad esempio Prova.novell.), quindi fare clic su .
Aggiungere un trustee (ad esempio, Prova.novell) e modificare i diritti assegnati.
In , selezionare . Lasciare i valori di default negli altri campi, quindi fare clic su .
A questo punto tutti gli utenti presenti nel container utenti.Prova.novell possono creare utenti o gruppi nuovi all'interno dell'entità Prova.
Nell'applicazione utente sono supportati gli stessi caratteri di iManager. Per informazioni su come ignorare i caratteri speciali, consultare la pagina http://www.novell.com/documentation/imanager26/index.html e fare riferimento alla Guida di amministrazione di iManager 2.6, capitolo 3 "Navigazione nell'interfaccia di iManager", sezione 3.2 "Caratteri speciali" a pag. 20.
Quando un utente, dopo aver eseguito il login all'applicazione utente, carica la pagina o la portlet di login da un segnalibro o una cronologia e tenta di eseguire nuovamente il login, la nuova sessione di portale non viene configurata correttamente nel secondo login. Ciò può causare l'esito negativo del secondo login. Per risolvere il problema, utilizzare sempre il collegamento per il logout prima di eseguire il login.
In questa versione, per le schede di primo livello nell'applicazione utente viene applicato un limite sul numero di caratteri. Tale limite è di 22 caratteri. Per le lingue diverse dall'inglese, il testo verrà troncato se eccede questo limite visualizzando i puntini di sospensione (...) per indicare che una parte del testo non è visibile. Per visualizzare l'intero testo, è sufficiente puntare il mouse sul nome della scheda.
Nelle sezioni seguenti vengono descritte anomalie e soluzioni concernenti l'amministrazione dell'applicazione utente.
I file necessari per la revisione ( NAuditPA.jar e logevent.conf) vengono copiati nella cartelle di installazione dell'applicazione utente anche se durante l'installazione si sceglie di non abilitare la revisione. Tuttavia, il file logevent.conf contiene alcuni parametri che necessitano una modifica manuale dopo l'installazione nel caso venga disabilitata la revisione durante l'esecuzione del programma di installazione. Tali parametri vengono illustrati nel capitolo 3, "Configurazione del login", nella Guida di amministrazione dell'applicazione utente di Identity Manager.
Nel tentativo di aggiornare l'attributo di un singolo valore mediante il formato di flusso può verificarsi il seguente errore:
LDAP: error code (codice errore) 19 - NDS error: can’t have multiple values (Errore NDS: presenza impossibile di più valori) (-612)
La soluzione consiste nell'utilizzo della sintassi delle stringhe, ad esempio Case Ignore String, e non la sintassi del flusso durante la creazione degli attributi delle classi in iManager. La sintassi del flusso deve essere utilizzata con parsimonia a causa dell'aumento delle prestazioni.
Per default, l'applicazione utente avvia il server applicazioni JBoss sulla porta 8009. Questo causa un conflitto poiché Linux OES 2 utilizza già la porta 8009. Per evitare questo conflitto modificare la porta di JBoss nel file service.xml prima dell'avvio del server applicazioni JBoss.
Se la funzione di recupero della password viene avviata in un ambiente gestito in cluster, è possibile il verificarsi di una traccia dello stack simile alla seguente:
java.io.NotSerializableException: com.novell.pwdmgt.soap.PasswordManagementBinding_Stub (se si utilizza un war esterno per il recupero della password)java.io.NotSerializableException: com.novell.pwdmgt.jsf.util.MyCallbackHdlr
Tale messaggio è solo informativo e non richiede azioni da parte dell'utente. Questa situazione si verifica quando gli utenti eseguono operazioni relative al recupero della password. Tali messaggi di errore non hanno effetto sugli utenti che eseguono operazioni relative al recupero della password. Gli utenti, infatti, non visualizzano alcun messaggio e possono terminare con successo le operazioni di recupero.
Con l'utilizzo di WebSphere, alcune porlet che utilizzano JSF possono causare il seguente errore: java.io.NotSerializableException: javax.faces.application.FacesMessage$Severity
Questo errore non è grave e non ha effetto su JSF o sul funzionamento delle portlet. Per eliminare l'errore, aggiungere il seguente componente nei livelli di dettaglio del log di modifica di WebSphere: com.ibm.ws.webcontainer.httpsession.HttpSessDRSBuffWrapper=fatal
Per motivi di sicurezza, è consigliabile limitare i conti di amministratore e guest LDAP al gruppo minimo di diritti necessari per adempiere ai rispettivi ruoli. Per l'attribuzione dei seguenti ruoli nell'applicazione utente (durante l'installazione o mediante l'utility configupdate dopo l'installazione), specificare un conto utente distinto di Identity Vault fisico per ciascun tipo di utente:
Amministratore LDAP
Guest LDAP (se utilizzato)
Amministratore dell'applicazione utente
Amministratore dell'applicazione di provisioning
Le norme sulle password non sono ereditabili. L'amministratore dell'applicazione utente deve applicare in maniera esplicita le norme per le password a un container in cui vengono creati gli utenti. La mancata esecuzione di tale operazione può causare l'errore seguente:
Richiesta di Secure Password Manager (SPM) non valida. Se il problema persiste, contattare l'amministratore di sistema.
L'impostazione dei parametri della e della nell'utility configupdate consente l'esecuzione di operazioni che non necessitano dell'SSL. Le operazioni che necessitano dell'SSL, come le funzioni relative alle password, continuano a utilizzare l'SSL.
Se un utente viene reindirizzato dopo l'esecuzione del login per modificare la password o il suggerimento della risposta per l'autenticazione CHAP, può digitare un URL del portale e oltrepassare i controlli di autenticazione fino al login successivo. Questa è un'anomalia nota, al momento senza soluzione.
Il pulsante di nell'utility configupdate talvolta provoca un errore nella JVM su Windows XP SP2. Per risolvere il problema, digitare il percorso completo del file, anziché utilizzare il pulsante di .
Quando il server applicazioni è inattivo e viene riavviato il driver dell'applicazione utente attivato, lo stato dell'attivazione del driver può apparire ancora in attesa di attivazione anche se le credenziali di attivazione del driver sono state caricate. Questa è un'anomalia nota. Per evitare o risolvere questo problema, avviare il driver dell'applicazione utente dopo l'avvio del server dell'applicazione utente.
Esiste un problema nella versione di JGroups (versione 2.2.7) inclusa in JBoss 4.0.5 GA in grado di causare problemi di prestazioni in un ambiente gestito in cluster. Per ulteriori dettagli sul problema, vedere Deadlock - JBoss.org JIRA. Il problema è stato risolto in JGroups 2.4. È consigliabile aggiornare a JGroups 2.4 o versione superiore per evitare il problema descritto in JGRP-292.
Prima dell'aggiornamento a JGroups 2.4.x (oppure prima di aggiornare qualsiasi altro componente nell'installazione di JBoss) consultare l'elenco di compatibilità fornito dalla Matrice di compatibilità del server applicazioni JBoss, di JBossCache e di JGroups.
Per download e informazioni su JGroups, vedere JGroups - The JGroups Project.
Durante l'esecuzione dell'applicazione utente in un cluster può verificarsi un'eccezione java.util.NoSuchElementException. Tale eccezione è un problema noto in JBoss ed è stato corretto in una versione successiva. Per ulteriori informazioni, fare riferimento al sito Web di JBoss.
Di seguito un esempio di traccia dello stack che si verifica per tale problema:
2007-02-06 14:23:58,231 ERROR[org.jboss.web.tomcat.tc5.session.JBossCacheManager:processExpires]processExpires: failed with exception: java.util.NoSuchElementExceptionjava.util.NoSuchElementException atEDU.oswego.cs.dl.util.concurrent.ConcurrentHashMap$HashIterator.next(ConcurrentHashMap.java:1131) at java.util.AbstractCollection.toArray(AbstractCollection.java:176) atorg.jboss.web.tomcat.tc5.session.JBossCacheManager.findLocalSessions(JBossCacheManager.java:851) atorg.jboss.web.tomcat.tc5.session.JBossCacheManager.processExpires(JBossCacheManager.java:1188) atorg.jboss.web.tomcat.tc5.session.JBossManager.backgroundProcess(JBossManager.java:817) atorg.apache.catalina.core.ContainerBase.backgroundProcess(ContainerBase.java:1284) atorg.apache.catalina.core.ContainerBase$ContainerBackgroundProcessor.processChildren(ContainerBase.java:1569) atorg.apache.catalina.core.ContainerBase$ContainerBackgroundProcessor.processChildren(ContainerBase.java:1578) atorg.apache.catalina.core.ContainerBase$ContainerBackgroundProcessor.processChildren(ContainerBase.java:1578) atorg.apache.catalina.core.ContainerBase$ContainerBackgroundProcessor.run(ContainerBase.java:1558) at java.lang.Thread.run(Thread.java:595)
In questa versione i dati sensibili (ad esempio una password di login per il single sign-on) nella sessione utente non sono cifrati. Questa situazione può esporre i dati sensibili a programmi di sniffing sulla rete. Per proteggere i dati sensibili temporaneamente archiviati nella sessione utente e trasmissibili attraverso la rete durante la replica della sessione in un ambiente gestito in cluster, è necessario eseguire una delle seguenti operazioni:
abilitare la codifica di JGroups. Per informazioni sull'abilitazione della codifica di JGroups, vedere JGroups Encrypt.
Accertarsi che il cluster sia protetto da un firewall.
Gli amministratori possono ora configurare la scadenza della password iniziale per i nuovi utenti. Per eseguire questa operazione, modificare le preferenze di creazione della portlet nella Guida di amministrazione dell'applicazione utente di Identity Manager.
Specificare una impostazione per la .
imposta la scadenza della password al primo login del nuovo utente.
(default) utilizza le impostazioni di eDirectory per determinare la scadenza della password.
L'impostazione di default per la permanenza delle informazioni sui workflow completati corrisponde a 120 giorni. Tuttavia, è possibile modificare tale impostazione mediante l'interfaccia SOAP per il motore di workflow. Per accedere all'interfaccia SOAP del motore di workflow, digitare la seguente URL in un browser:
http://server:host/IDMProv/provisioning/service?test
Quando verrà visualizzata la pagina che riporta i metodi del motore di workflow che è possibile richiamare, selezionare il metodo . Il parametro che viene passato a questo metodo consente di modificare il periodo di permanenza. Il valore specificato deve essere espresso in millisecondi.
L'utilizzo di un apice singolo nel CN di un workflow impedisce a un evento eDirectory di attivare tale workflow. Evitare di utilizzare un apice singolo nel Nome Comune (CN) di un workflow.
Nella Guida di amministrazione dell'applicazione utente di Identity Manager mancano le seguenti informazioni per aiutare a coordinare le password dell'applicazione utente di Identity Manager con le norme delle password di iManager.
Le sezioni 19.3.1 e 19.7.1, che descrivono i requisiti della password universale: "Se la password universale è abilitata, aprire iManager e scegliere Accertarsi che sia selezionata la seguente opzione: ".
La sezione 16.2.1, che descrive il container per la proprietà Create: "Se si utilizza la portlet Create per creare utenti e si desidera attribuire utenti a una norma delle password di iManager, è necessario attribuire anche il container specificato alla stessa norma delle password di iManager. In questo modo viene garantito che gli utenti creati nell'applicazione utente vengano attribuiti automaticamente alle norme delle password di default di iManager.
Nel server applicazioni utenti (server JBoss), per l'utilizzo della pagina di login dell'applicazione utente, se si sceglie il collegamento e di digita il nome utente, il portale può restituire il seguente errore sulla console JBoss e non procedere al reindirizzamento:
08:59:17,962 ERROR [EboPortletProxyHelper] The portlet entity does not exist com.novell.afw.portal.aggregation.EboPortletInfoBean: id [portal-general] iid [-1] timeout [-1] multithread [false]
L'errore deriva dal fatto che la preferenza ldap-sslport nella portlet ForgotPasswordPortlet utilizza la porta TLS di default standard (ldaps) 636, anziché la porta configurata per la connessione sicura del server LDAP. L'amministratore di eDirectory probabilmente ha modificato la porta LDAP sicura di default nell'istanza di eDirectory sostituendola con una porta non standard. Gli amministratori di eDirectory cambiano frequentemente le porte LDAP quando eseguono eDirectory nello stesso hardware fisico di altri sistemi abilitati per LDAP, ad esempio Active Directory*.
Se nella configurazione LDAP sicura (TLS) è utilizzata una porta differente dalla porta 636, modificare la preferenza ldap-sslport nella portlet Recupero password specificando la porta configurata per la connessione sicura del server LDAP. A tale scopo, attenersi alla procedura seguente:
Aprire l'applicazione utente.
Aprire .
Modificare il valore di ldap-sslport sostituendo la porta di default 636 con la porta configurata per le connessioni LDAP sicure del servere LDAP.
In un workflow di provisioning in cui viene utilizzata l'elaborazione parallela, l'assegnatario di un'attività di approvazione non deve far riferimento all'assegnatario di un'altra attività di approvazione nel flusso. Ciò è dovuto al fatto che il motore di workflow non è in grado di appurare in alcun modo quale passaggio verrà eseguito per primo, poiché le attività vengono elaborate in parallelo. Il plug-in di iManager per la configurazione delle richieste di provisioning, inoltre, non è in grado di stabilire quali assegnatari devono essere autorizzati in qualsiasi momento. Per restringere l'elenco dei possibili assegnatari, è necessario che il plug-in analizzi il flusso in modo da ottenere l'elenco delle attività a monte che sono state già completate. Tale funzionalità tuttavia non è supportata attualmente nel plug-in.
Per default, JBoss consente l'esplorazione delle directory. Se si digita pertanto l'URL http://server:8080/IDMProv/resources/, viene visualizzato l'elenco delle risorse presenti all'interno di tale URL.
Se non si desidera abilitare l'esplorazione delle directory, aprire jboss-4.0.2\server\<IDM-Application Context>\deploy\jbossweb-tomcat55.sar\conf e modificare la voce degli elenchi nel file web.xml:
<servlet> <servlet-name>default</servlet-name> <servlet-class>org.apache.catalina.servlets.DefaultServlet</servlet-class> <init-param> <param-name>debug</param-name> <param-value>0</param-value> </init-param> <init-param> <param-name>listings</param-name> <param-value>true</param-value> </init-param> <load-on-startup>1</load-on-startup> </servlet>
Per disabilitare la visualizzazione delle risorse, modificare il valore di listings da true a false.
I servizi relativi ai vari sottosistemi all'interno dell'applicazione utente possono contenere numeri di versione obsoleti. Non è necessario modificare tali file per correggere le versioni.
Ad esempio, IDMfw.jar contiene il file FrameworkService-conf\config.xml, che ha la seguente voce per il numero di versione:
<property> <key>FrameworkService.version</key> <value>040712, Version 5.2.1</value> </property>
Nel plug-in di iManager per la configurazione delle richieste di provisioning, è possibile definire norme di escalation per il reindirizzamento di un'attività di workflow al manager dell'assegnatario originale.
Se l'assegnatario originale corrisponde a un gruppo di task con più di un manager, l'escalation ha esito negativo. Il plug-in per la configurazione delle richieste di provisioning non impedisce all'utente di definire questo tipo di escalation, per cui è necessario prestare molta attenzione per evitare il problema.
In Linux* il limite di file aperti di default non è sufficiente per supportare un numero elevato di richieste avviate mediante il servizio Web SOAP. È possibile che il driver dell'applicazione utente raggiunga questo limite se si utilizzano gli endpoint del servizio Web per attivare workflow in risposta a eventi di directory.
Il limite massimo di file aperti di default per Linux è pari a 1024 per ogni processo. Se si avvia il server JBoss con l'impostazione di default, potrebbero verificarsi errori qualora vengano avviate più di 40 o 45 richieste in sequenza mediante l'interfaccia del servizio Web SOAP. Una volta raggiunto il limite, l'utente potrebbe non essere più in grado di avviare alcuna richiesta per diversi minuti. In alcuni casi potrebbe essere necessario riavviare il server JBoss.
Per risolvere il problema, è possibile aumentare il limite massimo di file aperti da 1024 a 4096.
Se si utilizza BASH, eseguire i comandi seguenti per incrementare tale limite:
su - root ulimit -n 4096 su - <user> start-jboss.sh
Se si utilizza C Shell eseguire i comandi seguenti per incrementare tale limite:
su - root limit descriptors 4096 su - user start-jboss.sh
Il driver dell'applicazione utente consente di memorizzare diversi tipi di informazioni, ad esempio relative ai cluster e alla configurazione dei workflow, che sono specifiche di ogni applicazione. È necessario pertanto che una singola istanza del driver non venga condivisa tra più applicazioni.
Nell'applicazione utente vengono memorizzati dati specifici della singola applicazione in modo che sia possibile controllarne e configurarne l'ambiente. Tali dati comprendono informazioni relative al cluster del server per applicazioni JBoss e la configurazione del motore di workflow. Le sole applicazioni utente che devono condividere una singola istanza del driver dell'applicazione utente sono quelle che fanno parte dello stesso cluster JBoss. È necessario pertanto evitare di configurare un insieme di applicazioni utente in modo che condividano un singolo driver a meno che non facciano parte dello stesso cluster JBoss. Se non si rispetta tale regola, la configurazione definita potrebbe generare ambiguità ed errori per uno o più componenti in esecuzione all'interno dell'applicazione utente.
Nel programma di installazione per l'applicazione utente di Identity Manager è possibile specificare il DN dei container di radice, utente e gruppo dell'applicazione. In questa release, non è possibile specificare la radice dell'albero in eDirectory come container radice. Non è inoltre possibile specificare più di una radice di ricerca per un particolare tipo di oggetto (container, utente o gruppo). È necessario invece specificare un unico ambito di ricerca.
Un'organizzazione (o) tuttavia può essere contenuta in una nazione (n) o in una località (l), come illustrato nell'esempio seguente:
n=USA o=novell-provo l=novell-waltham
Questo tipo di configurazione funziona correttamente.
Se due istanze separate del driver dell'applicazione utente fanno riferimento allo stesso container di utenti, nelle impostazioni di disponibilità, cui si accede nella pagina modifica disponibilità dell'applicazione utente, vengono visualizzate le voci relative alla disponibilità di entrambe le applicazioni.
Si consideri l'esempio seguente: il server 1 viene configurato in modo da utilizzare un dato driver (ad esempio, driver1,o=novell) e il server 2 viene configurato in modo da utilizzarne un altro (ad esempio, driver2,o=novell). Entrambi i server vengono configurati in modo da utilizzare gli stessi container di utenti, gruppi e radice (ad esempio, uo=utenti,o=novell). Un utente di server 1 crea una definizione di delegato e una definizione di richiesta di provisioning. L'utente viene quindi contrassegnato come non disponibile per tale definizione di richiesta. Server 2 mostra l'utente come non disponibile, ma non è in grado di risolvere il nome per la definizione di richiesta. Se le definizioni di delegato dell'utente sul server 2 vengono esaminate, la definizione del server 1 non viene visualizzata.
Ciò è dovuto al fatto che le informazioni sulle deleghe, create quando gli utenti contrassegnano se stessi come disponibili o non disponibili, vengono memorizzate nei record utente. Tali informazioni comprendono i dati relativi al delegato/delegante insieme alla definizione di richiesta di provisioning e all'ora di inizio/fine della delega. La definizione di delegato, da cui derivano le informazioni sulla delega, viene memorizzata nel driver, insieme alla definizione di richiesta di provisioning.
È consigliabile non configurare due istanze separate del driver in modo che facciano riferimento allo stesso container di utenti.
Il driver dell'applicazione utente legge l'elenco degli attributi di workflow quando viene avviato. Se si crea una nuova definizione di richiesta di provisioning e si tenta subito di creare nuove norme di mappatura dello schema, gli attributi relativi alla nuova definizione di richiesta di provisioning non vengono visualizzati nell'elenco degli attributi dell'applicazione quando si aggiorna lo schema dell'applicazione. Ciò si verifica poiché il driver dell'applicazione utente deve essere riavviato prima di rendere disponibile la nuova definizione di richiesta di provisioning. Dopo la creazione della nuova definizione, arrestare quindi il driver dell'applicazione utente e riavviarlo prima di tentare di utilizzare tale definizione nelle norme. In alternativa, nell'editor delle norme per la mappatura dello schema, aggiornare due volte lo schema dell'applicazione.
Quando si eseguono workflow in un cluster, il motore di workflow di ogni server deve disporre di un ID univoco. L'ID del motore viene identificato mediante il passaggio della proprietà -Dcom.novell.afw.wf.engine-id a Java VM (Virtual Machine). Su Linux, l'utente necessita di modificare il file jboss/bin/run.conf e passare tale proprietà nella riga JAVA_OPTS. Ad esempio:
if [ "x$JAVA_OPTS" = "x" ]; then JAVA_OPTS="-server -Xms800m -Xmx800m -Dcom.novell.afw.wf.engine-id=echo"
Nel programma di installazione non viene richiesto di specificare l'ID del motore di workflow. È necessario pertanto identificare il motore passando la proprietà JAVA_OPTS, come illustrato sopra.
Se viene modificata la maniera di visualizzazione delle immagini nell'intestazione della portlet dei dettagli specificando il tag$IMG:, occorre eliminare la cache CompiledLayout perché le modifiche abbiano effetto. Per eliminare il contenuto della cache, eseguire i passaggi seguenti:
Accedere alla scheda dell'applicazione utente.
Accedere alla pagina .
Selezionare dall'elenco a discesa .
Fare clic su .
L'utility di importazione dati portale ( Amministrazione > Strumenti > Importazione dati portale) utilizza i file shared-pages.xml e container-pages.xml contenuti nel file ZIP dell'esportazione dati portale al fine di generare container e pagine condivise, nonché portlet. Se l'elemento <description/> è vuoto, le pagine non possono essere importate.
Per risolvere il problema, digitare il testo per l'elemento <description/> ed eseguire nuovamente l'importazione.
La Guida di amministrazione dell'applicazione utente di Identity Manager contiene alcune informazioni sulla configurazione di JBoss. Se sono necessarie ulteriori informazioni sulla configurazioen di JBoss, consultare le fonti elencati di seguito:
Per ulteriori dettagli sulla configurazione di JBoss come servizio di SUSE, consultare il sito Web Cool Solutions di Novell.
Per la configurazione SSL di Apache, vedere la sezione appropriata nel sito Web di JBoss.
Per informazioni sulla configurazione SSL di IIS, vedere sezione relativa a Installazione, configurazione e distribuzione nell'area forum del sito Web di JBoss.
Per utilizzare il plug-in di iManager per la configurazione delle richieste di provisioning, è necessario disporre dei diritti di lettura e scrittura sugli attributi associati agli oggetti di richiesta di provisioning.
Per default, il filtro per la codifica dei set di caratteri è impostato per l'abilitazione nel file web.xml dell'applicazione utente. Questa impostazione in genere non richiede configurazioni specifiche, ma potrebbe richiedere l'apporto di alcune modifiche se è stato configurato Tomcat per la codifica URI. Nella configurazione del connettore http/https di Tomcat sono presenti due attributi che influiscono sulla configurazione del filtro e la codifica dei set di caratteri.
Questa voce consente di definire la codifica di caratteri da utilizzare per decodificare i byte URI, dopo la decodifica %xx dell'URL. Se non viene specificata, si utilizza ISO-8859-1. Tra i requisiti vi sono i seguenti:
Entrambi i connettori HTTP e HTTPS dispongono della stessa configurazione.
Il filtro di codifica del set di caratteri deve essere modificato per includere il parametro di inizializzazione uriencoding. Il valore di tale parametro deve coincidere con il valore dell'attributo URIEncoding nella configurazione del connettore Tomcat.
<filter> <filter-name>AggregationServletEncFilter</filter-name> <display-name>AggregationServletEncFilter</display-name>
<filter-class>com.novell.afw.portal.l18n.CharacterEncodingFilter</filter-class> <init-param> <param-name>uri-encoding</param-name> <param-value>UTF-8</param-value> </init-param> </filter>
È necessario aggiungere anche URIEncoding="UTF-8" a jboss-4.2.0.GA\server\IDMProv\deploy\jboss-web.deployer\server.xml, ad esempio:
<Connector port=”8080” address=”${jboss.bind.address}” maxThreads=”250” maxHttpHeaderSize=”8192” emptySessionPath=”true” protocol=”HTTP/1.1” URIEncoding=”UTF-8” enableLookups=”false” redirectPort=”8443” acceptCount=”100” connectionTimeout=”20000” disableUploadTimeout=”true” />Se la codifica SSL è abilitata, effettuare la stessa modifica per il connettore SSL HTTP/1.1.
Questa voce consente di specificare se la codifica definita in contentType deve essere utilizzata per i parametri di interrogazione URI in luogo di URIEncoding. Tale impostazione è presente per la compatibilità con Tomcat 4.1.x, dove la codifica viene specificata in contentType o impostata esplicitamente mediante il metodo Request.setCharacterEncoding per i parametri dall'URL. Per default, il valore è false.
Se si imposta useBodyEncodingForURI su true, la configurazione del filtro deve includere il parametro di inizializzazione use-body-encoding, ad esempio:
<filter> <filter-name>AggregationServletEncFilter</filter-name> <display-name>AggregationServletEncFilter</display-name> <filter-class>com.novell.afw.portal.l18n.CharacterEncodingFilter</filter-class> <init-param> <param-name>use-body-encoding</param-name> <param-value>true</param-value> </init-param> </filter>
Per ulteriori dettagli, fare riferimento al sito Web in cui vengono fornite informazioni sulla configurazione dei connettori Tomcat.
È stata apportata una modifica alle modalità di gestione dell'attributo multivalore DirXML-EntitlementResult. In precedenza i risultati delle autorizzazioni non venivano eliminati da questo attributo. Ora il comportamento di default è cambiato e i risultati vengono eliminati una volta completata l'elaborazione.
È possibile modificare il comportamento di default, specificando se eliminare o meno i risultati delle autorizzazioni e come. Per impostare il tipo di eliminazione autorizzazioni:
In iManager visualizzare la pagina di panoramica dei driver di Identity Manager per il proprio driver dell'applicazione utente.
Fare clic su .
Fare clic sulla norma Manage Modify (Gestisci Modifica) per il proprio driver dell'applicazione utente, quindi scegliere .
Fare clic su .
Per l'azione , digitare uno dei seguenti valori nel campo :
current: dopo la notifica al driver dell'applicazione utente, consente di eliminare il risultato dell'autorizzazione che ha causato l'evento. Si tratta dell'impostazione di default. viene inoltre utilizzata se non è stato configurato alcun tipo di eliminazione autorizzazioni o se è stato configurato un tipo non valido.
none: consente di non eliminare il risultato dell'autorizzazione.
previous: consente di eliminare tutti i risultati dell'autorizzazione precedenti fuorché quello che ha causato l'evento.
notnewer: consente di eliminare i risultati dell'autorizzazione precedenti compreso quello che ha causato l'evento. In tal modo vengono conservati tutti i risultati creati dopo quello che ha causato l'evento.
La portlet degli accessori dei file di rete ha la seguente nuova preferenza: ShortcutsUseFullyQualifiedPath (Usa percorso universale per i collegamenti). Se tale opzione è impostata su True, qualsiasi collegamento specificato nelle preferenze dei collegamenti deve essere provvisto di percorsi assoluti. Se tale opzione è impostata su False, qualsiasi collegamento specificato nelle preferenze dei Collegamenti deve essere provvisto di percorsi relativi. alla directory iniziale. Selezionare False solo se, all'interno del percorso, gli utenti dovranno accedere esclusivamente a sottodirectory.
Con l'attuale versione di JBoss, è cambiata la configurazione della portlet dei file di rete per l'accesso al server NetWare tramite RMI.
Attualmente la documentazione stabilisce di copiare njclv2r.jar da sys:\java\njclv2r\lib che si trova sul server NetWare/RMI nella directory $JAVA_HOME$/jre/lib/ext che si trova sulla piattaforma del portale.
Con la versione corrente di JBoss, occorre copiare njclv2r.jar nella directory .../jboss/server/IDM/lib in cui è stata inizialmente distribuita l'applicazione utente. A questo punto è necessario riavviare JBoss.
Per terminare la sessione di NetStorage e chiudere l'accesso ai file utilizzati, fare clic sul pulsante di logout nell'interfaccia Web di NetStorage.
Nella Guida di riferimento della portlet degli accessori di Identity Manager sostituire ciascuna descrizione per l'abilitazione della portlet SSO mediante la seguente procedura:
Per abilitare la portlet Single Sign On procedere come segue:
Nell'applicazione utente aprire la scheda e scegliere .
Selezionare .
Fare clic sul pulsante di scelta che abilita l'SSO.
Il nome del file di log jboss/server/IDM/conf/extendlogging.xml è stato cambiato in jboss/server/IDM/conf/idmuserapp_logging.xml. Il nuovo nome viene utilizzato nella Guida di amministrazione dell'applicazione utente di Identity Manager 3.5.1, sezione 5.1.4 "Configurazione registrazione", nella sottosezione "Persisting Your Logging Settings (Rendere permanenti le impostazioni di registrazione)".
Durante l'aggiunta di un pacchetto all'elenco di log questo viene immediatamente visualizzato nella finestra Configurazione registrazione. Per rimuovere un pacchetto dall'elenco di log:
Non scegliere . A questo punto il nuovo pacchetto non verrà più visualizzato nell'elenco al prossimo avvio del server.
Scegliendo , occorre rimuovere manualmente il pacchetto dal file idmuserapp_logging.xml che si trova nella directory $JBOSS/servers/$seafang/conf.
In Identity Manager 3.5 o 3.5.1 può verificarsi un errore di spazio java.lang.OutOfMemoryError: PermGen se si ridistribuisce l'applicazione utente.
Per evitare questo errore, eseguire una delle operazioni seguenti:
Riavviare il server JBoss
Aumentare il valore di PermSpace passando -XX:MaxPermSize alla Java virtual machine mediante JAVA_OPTS nello script start-jboss.
Per le macchine a 32 bit, specificare 128 MB, ad esempio -XX:MaxPermSize=128m.
Per le macchine a 64 bit, specificare 256 MB, ad esempio -XX:MaxPermSize=256m.
In questa versione, i motori di workflow in un cluster rilevano il mancato funzionamento di un motore di workflow nel cluster e riattribuisce qualsiasi processo in esecuzione nel motore non operativo a un altro motore.
Tuttavia, in diverse situazioni l'utente potrà desiderare di riassegnare manualmente un processo di workflow da un motore di workflow a un altro (ad esempio ridistribuire processi a un motore nel momento in cui ritorna operativo). Per eseguire questa operazione, utilizzare il plug-in Workflow Administration (Amministrazione workflow) di iManager, come indicato di seguito:
Selezionare la categoria in in iManager.
Selezionare .
Se non si è ancora effettuato l'accesso a un server di workflow, specificare il nome del driver nel campo , quindi fare clic su .
iManager compila automaticamente i restanti campi nella schermata.
(Facoltativo) Ignorare il nome utente nel campo e la password nel campo .
L'utente deve avere i privilegi di amministratore dell'applicazione utente (amministratore provisioning). Per default, il nome utente viene impostato sull'utente che è attualmente connesso a iManager. Se tale utente non è l'amministratore dell'applicazione utente, è necessario modificare il nome utente.
Fare clic su Login.
Il plug-in Amministrazione workflow visualizza una pagina che consente di specificare un filtro per trovare workflow.
Fare clic su , quindi scegliere .
iManager visualizza i processi di workflow in esecuzione nel driver dell'applicazione utente specificato. La colonna elenca l'ID di un motore di workflow.
Per riassegnare un processi di workflow da un motore a un altro, selezionare il workflow nel pannello relativo facendo selezionando la casella accanto al nome, quindi scegliere .
Nell'utilizzo dell'attività di integrazione in un workflow di provisioning può verificarsi l'errore seguente nella console di JBoss durante lo spegnimento.
15:26:51,031 INFO [STDOUT] 173542 [JBoss Shutdown Hook] ERROR STDERR - Unableto instantiate the config file null15:26:51,032 ERROR [STDERR] java.lang.NullPointerException15:26:51,033 INFO [STDOUT] 173545 [JBoss Shutdown Hook] ERROR STDERR -java.lang.NullPointerException15:26:51,034 ERROR [STDERR] atcom.sssw.b2b.rt.xmlparser.GNVXMLFactory.createParser(GNVXMLFactory.java:112)15:26:51,035 INFO [STDOUT] 173547 [JBoss Shutdown Hook] ERROR STDERR - at com.sssw.b2b.rt.xmlparser.GNVXMLFactory.createParser(GNVXMLFactory.java:112)15:26:51,037 ERROR [STDERR] atcom.sssw.b2b.rt.GNVConfig.<init>(GNVConfig.java:189)15:26:51,038 INFO [STDOUT] 173550 [JBoss Shutdown Hook] ERROR STDERR - at com.sssw.b2b.rt.GNVConfig.<init>(GNVConfig.java:189)15:26:51,039 ERROR [STDERR] atcom.sssw.b2b.rt.GNVConfig.<init>(GNVConfig.java:161)15:26:51,040 INFO [STDOUT] 173552 [JBoss Shutdown Hook] ERROR STDERR - at com.sssw.b2b.rt.GNVConfig.<init>(GNVConfig.java:161)15:26:51,041 ERROR [STDERR] atcom.sssw.b2b.ee.edi.rt.GNVEDIObject.<clinit>(GNVEDIObject.java:39)15:26:51,042 INFO [STDOUT] 173554 [JBoss Shutdown Hook] ERROR STDERR - at com.sssw.b2b.ee.edi.rt.GNVEDIObject.<clinit>(GNVEDIObject.java:39)15:26:51,044 ERROR [STDERR] atcom.sssw.b2b.ee.edi.rt.GNVEDIComponent.<clinit>(GNVEDIComponent.java:101)15:26:51,045 INFO [STDOUT] 173557 [JBoss Shutdown Hook] ERROR STDERR - at com.sssw.b2b.ee.edi.rt.GNVEDIComponent.<clinit>(GNVEDIComponent.java:101)
Questi messaggi di errore non costituiscono un'indicazione di problemi seri. Al riavvio di JBoss, il comportamento di server e applicazione utente sarà nuovamente normale.
Se l'applicazione utente è configurata per l'utilizzo della notifica e-mail, possono verificarsi gli errori indicati di seguito. È possibile ignorare questi errori. Gli utenti continuano a ricevere le notifiche e-mail.
[date time EDT] 00000056 SystemOut O 09:58:35,469 ERROR [MailEngine] Notification email server host unspecified. Controllare la configurazione di eDirectory. com.novell.soa.notification.impl.NotificationException: Notification email server host unspecified. Controllare la configurazione di eDirectory...
oppure
13:39:47,264 ERROR [MailEngine] Notification email default -from- unspecified. Controllare la configurazione di eDirectory. com.novell.soa.notification.impl.NotificationException: Notification email default -from- unspecified. Controllare la configurazione di eDirectory. a . . .
Per default, il timeout di sessione del server è pari a 20 minuti. È necessario ottimizzare questo valore in base all'ambiente server e di utilizzo in cui verrà eseguita l'applicazione. In generale, è consigliabile che il timeout di sessione sia quanto più ridotto possibile. Se le esigenze aziendali consentono un timeout di sessione di cinque minuti, il server potrà rilasciare le risorse inutilizzate molto prima di quanto farebbe con un valore di default, garantendo quindi una velocità più elevata e una maggiore scalabilità.
Timeout di sessioni più lunghi possono causare potenziali esaurimenti della memoria del server JBoss nel caso in cui molti utenti effettuino il login. Questo vale per qualsiasi server per applicazioni con troppe sessioni aperte.
Quando un utente esegue il login all'applicazione utente, viene creata per tale utente una connessione LDAP associata alla sessione. Quante più sessioni sono aperte, quindi, tanto maggiore sarà il numero di connessioni LDAP occupate e quanto più è esteso il timeout di sessione, tanto più a lungo queste connessioni resteranno aperte. Troppe connessioni aperte nel server LDAP, anche se inattive, possono causare una riduzione delle prestazioni del sistema.
Se nel server iniziano a verificarsi errori di memoria esaurita e i parametri di ottimizzazione dell'heap JVM e di recupero spazio sono stati già ottimizzati per gli ambienti server e di utilizzo, sarà necessario prendere in considerazione una riduzione del timeout di sessione.
Il timeout di sessione viene impostato nel file web.xml.
Se si abilita la notifica e-mail nelle definizioni di richiesta di provisioning ma non si configura alcun server di e-mail, le notifiche si accumulano nel server e non vengono mai inviate. Ciò comporta il progressivo consumo della memoria disponibile.
Se si attiva la notifica e-mail, accertarsi di configurare il server di posta in modo che i messaggi vengano effettivamente inviati. Per configurare il server di e-mail, in iManager selezionare in .
I client di posta GroupWise® Mail e Outlook di Windows * presentano un problema noto associato alla visualizzazione del testo dell'oggetto da un comando HTML mailto:. Il problema si verifica quando il browser utilizza una lingua con un set di caratteri a doppio byte, ad esempio cinese, giapponese o coreano.
In tal caso, quando si inviano informazioni sull'identità dalla pagina dei dettagli, nella riga dell'oggetto vengono visualizzati caratteri non validi poiché in questi client di posta non viene eseguita correttamente la riconversione dei caratteri di escape in caratteri normali.
È necessario assicurarsi sempre che le codifiche dei caratteri di input e di output corrispondano a quelle utilizzate dall'applicazione di origine o di destinazione. Tutti i caratteri non rappresentabili nell'output selezionato vengono modificati in punti interrogativi (“?”).
Se si esegue lo strumento di configurazione dell'applicazione utente (per la configurazione delle impostazioni LDAP) in un ambiente di sistema operativo localizzato, tutte le caselle di input di testo vengono visualizzate correttamente. Ad esempio, se sono presenti nomi distinti cinesi in eDirectory o se si immettono caratteri cinesi, questi vengono visualizzati correttamente in un ambiente di sistema operativo cinese. Al contrario, se si utilizza un ambiente di sistema operativo inglese, qualsiasi carattere cinese immesso o restituito da eDirectory viene visualizzato come carattere non leggibile (molto probabilmente sotto forma di quadrato). Tale problema si verifica in quanto le impostazioni internazionali non sono configurate in modo appropriato.
Se si utilizza un ambiente operativo inglese e si desidera visualizzare i caratteri localizzati, eseguire le operazioni seguenti:
- In un ambiente Windows 2000, accedere al Pannello di controllo e selezionare . Nella scheda , definire le per la lingua locale (ad esempio, Cinese (Repubblica popolare cinese)).
- In un ambiente Windows 2003, accedere al Pannello di controllo e selezionare . Nella scheda , selezionare e applicare la modifica.
- In un ambiente SUSE Linux impostare la variabile di ambiente LANG come segue: export LANG=zh_CN
La stessa procedura di base è valida per tutte le lingue.
La portlet degli accessori dei messaggi non è stata localizzata.
In > , la finestra di dialogo Preferenze contenuto visualizza sempre il seguente testo in inglese: "Changes have been made to your Selected Content. Click OK to save your changes or cancel to continue without saving."
Quando viene inviato mediante Identity Manager un messaggio di e-mail contenente una lingua con set di caratteri a doppio byte come il cinese o il giapponese, nel client di e-mail si verifica un problema durante la lettura del messaggio. Se si riscontra tale problema, contattare il supporto tecnico Novell.
Nelle seguenti sezioni vengono elencate anomali, correzioni e soluzioni per iManager.
I plug-in di Identity Manager 3.5.1 utilizzano l'API JClient.readReference ( ). Tale API è stato aggiornato in iManager 2.7. Se si esegue iManager 2.6, Novell raccomanda l'aggiornamento del JClient sottostante alla stessa versione presente in iManager 2.7. La versione precedente di JClient può causare il blocco o il mancato funzionamento di iManager.
Si verifica se in iManager, in particolare nel Policy Builder, Internet Explorer 7 richiede l'accesso agli Appunti. Per disabilitare il messaggio di richiesta:
Fare clic su > .
Selezionare la scheda , quindi scegliere .
Individuare > , quindi scegliere .
Dopo il riavvio di Internet Explorer, il messaggio di richiesta non verrà più visualizzato.
Per aggiungere modelli di e-mail localizzati mediante iManager:
Eseguire il login a iManager.
In Roles and Tasks, espandere o .
Fare clic su (in Passwords plug-in (Plug-in password)) o (in Amministrazione workflow).
Identificare il modello di e-mail (senza impostazioni internazionali nel nome) che si desidera copiare. Prendere nota del nome del modello che dovrà essere utilizzato nel passaggio 5. Fare clic sull'oggetto del modello per aprire il modello e visualizzarne l'oggetto del messaggio, il corpo e i tag di sostituzione. Copiare l'oggetto del messaggio, il corpo (da tradurre) e i tag di sostituzione che si desidera utilizzare nel nuovo nodello. Fare clic su .
Fare clic su , quindi inserire un nome per il modello con un'estensione internazionale. Ad esempio, per creare un modello Suggerimento per il recupero in tedesco, immettere il nome Suggerimento per il recupero_de, in cui _de corrisponde a deutsch (tedesco). Fare clic su .
NOTA:se si utilizzano solo due lettere per indicare la lingua e due lettere per indicare il codice nazione, il comportamento è quello previsto. Se invece si utilizzano impostazioni internazionali con una variante, ad esempio en_US_TX, solo la variante e la lingua vengono prese in considerazione. Evitare di utilizzare varianti delle impostazioni internazionali quando si assegna un nome a un modello di e-mail in questa release.
Nell'elenco dei modelli, fare clic su quello appena creato, ad esempio Suggerimento per il recupero_de, e immettere l'oggetto e il corpo del messaggio tradotti, ad esempio in tedesco. Assicurarsi che non vengano rimossi i tag di sostituzione ai lati del simbolo di dollaro ($) nel corpo del messaggio.
Fare clic su per inserire o incollare tag di sostituzione, quindi scegliere .
Fare clic su , quindi su .
I modelli di e-mail consentono di inviare contenuto localizzato correttamente solo se le impostazioni internazionali preferite vengono impostate per l'utente cui il messaggio è destinato.
Per risolvere questo problema, eseguire l'upgrade a NMAS™ 2.3.9.
Se si desidera utilizzare la configurazione guidata dei certificati dei driver NDS2NDS, è necessario scaricare e installare il plug-in di iManager per Certificate Server.
L'utilizzo dei plug-in di Identity Manager 3.5 e Mobile iManager 2.6, iManager può causare l'interruzione imprevista per la selezione di . Questo problema si verifica a causa di un errore nel programma di gestione di JavaScript* del browser Mozilla in dotazione con Mobile iManager su Linux.
Per risolvere questo problema:
Avviare Mobile iManager, quindi ridurre a icona.
Aprire il browser preferito, quindi accedere a iManager al seguente indirizzo: http:\\localhost:48080\nps\iManager.html.
Assicurarsi sempre che le codifiche dei caratteri di input e di output configurate nel driver per testo delimitato corrispondano a quelle utilizzate dall'applicazione di origine o di destinazione. Eventuali discordanze possono causare errori o corruzione dei dati in Identity Vault o nell'applicazione. I caratteri non rappresentabili nell'output selezionato vengono modificati in punti interrogativi (?).
Nelle sezioni seguenti vengono descritte anomalie, correzioni e soluzioni relative alla gestione delle password.
L'applicazione utente rimuove i valori dell'impostazione Limita login extra dell'oggetto utente in base al seguente scenario
Viene creata una norma delle password, ma non viene definita l'impostazione Password Lifetime.
Viene modificata la scadenza della password di un utente di quella norma, definendo il valore dell'impostazione Limita login extra dell'oggetto utente.
Tale utente effettua il login tramite l'applicazione utente. L'applicazione utente ignora l'impostazione Limita login extra dell'utente, che vengono quindi rimossi dall'oggetto utente.
Se la portlet JSF della gestione delle password è in esecuzione in un ambiente gestito in cluster e si verifica un errore nel server che esegue la portlet, l'utente viene automaticamente trasferito su un altro server. Tale portlet viene visualizzata all'utente senza alcun messaggio sulla riuscita o meno del funzionamento della portlet sul server di origine. L'utente può provare a verificare il corretto funzionamento prima di un eventuale errore del server o della nuova esecuzione della portlet. Le portlet della gestione delle password interessate sono:
Autenticazione CHAP
Cambio suggerimento password
Cambia password
L'applicazione utente inclusa con Identity Manager 3.5 supporta totalmente l'utilizzo dei set di autenticazione CHAP multi-lingua. È possibile configurare tale funzionalità tramite iManager e l'impostazione delle norme delle password.
Questa funzione multi-lingua non è ancora supportata in Novell Client™ 4.9.1 o versioni precedenti oppure in Password Management for Novell eDirectory. Se non sono stati definiti i set di autenticazione in più di una lingua, si consiglia di non assegnare norme delle password agli utenti. Ad esempio, è possibile definire i set di autenticazione CHAP per il francese, ma non per il francese e il tedesco.
Può verificarsi un errore di Autenticazione CHAP non riuscita se:
Viene digitato un nome utente nella pagina di recupero della password.
Non viene fornita una risposta alle domande di autenticazione.
Fare clic sul pulsante del browser e inserire un nome utente diverso nella pagina di recupero della password.
Per risolvere il problema, l'utente dovrà riavviare il processo di recupero accedendo all'URL seguente:
http://<servername>:<port>/<context-name>/jsps/pwdmgt/ForgotPassword.jsf
Le versioni di Identity Manager 3.5 scaricate prima del 9 aprile 2007 contenevano un problema di sicurezza. In determinate condizioni, i plug-in di iManager visualizzavano agli utenti amministratori i valori di attributi nascosti. Il plug-in di iManager è stato corretto in modo da non consentire la visualizzazione di attributi nascosti sincronizzati dai driver di Identity Manager. Poiché i driver spesso eseguono la sincronizzazione di informazioni sensibili, i diritti di amministratori per questi driver dovrà essere limitato per prevenire accessi non autorizzati.
I CRC dei supporti originali interessati sono:
|
Identity_Manager_3_5_DVD.iso |
0c8c61364414c71fd81df11c1e23737b |
|
Identity_Manager_3_5_Linux_NW_Win.iso |
497f707b19ca5cc71e7623269175299e |
|
Identity_Manager_3_5_Unix.iso |
5850fea9187075f7e89a05802e80bb74 |
È possibile ottenere le ultime patch nella pagina di download del sito Web di Novell.
In questa sezione sono contenute modifiche alla documentazione di Identity Manager 3.5.1, tra cui le correzioni e le informazioni aggiuntive sui prodotti.
Si raccomanda di prendere nota delle seguenti modifiche a tutte le tabelle delle opzioni avanzate dei parametri di configurazione dell'applicazione utente nella Guida di installazione di Identity Manager 3.5.1 , capitolo 5 "Installazione dell'applicazione utente":
Sostituire quanto segue per la sezione 5.6.12 della Guida di installazione di Identity Manager 3.5.1:
Copiare il file sys-configuration-xmldata.xml dalla directory di installazione dell'applicazione utente in una directory sulla macchina che ospita il server WebSphere, ad esempio /UserAppConfigFiles. La directory di installazione dell'applicazione utente è la directory in cui è installata l'applicazione.
Impostare il percorso del file sys-configuration-xmldata.xml nelle proprietà di sistema della JVM. Per eseguire questa operazione, effettuare il login alla console di amministrazione del server WebSphere.
Dal pannello di sinistra, scegliere
Fare clic sul nome del server nell'elenco relativo, ad esempio, server1.
Nell'elenco delle impostazioni a destra, scegliere in .
Espandere il collegamento e scegliere .
Nell'elenco , selezionare .
Selezionare nell'intestazione della pagina della JVM.
Fare clic su per aggiungere una proprietà personalizzata della JVM.
Per il , digitare extend.local.config.dir.
Per il , digitare il nome della cartella (directory) di installazione specificata inizialmente. (Il programma di installazione ha inserito il file sys-configuration-xmldata.xml in questa cartella).
Per la , digitare una descrizione per la proprietà, ad esempio, percorso per sys-configuration-xmldata.xml.
Fare clic su per salvare la proprietà.
Fare clic su per aggiungere una nuova proprietà personalizzata della JVM.
Per il , digitare idmuserapp.logging.config.dir
Per il , digitare il nome della cartella (directory) di installazione specificata inizialmente.
Per la , digitare una descrizione per la proprietà, ad esempio, percorso per idmuserapp_logging.xml.
Fare clic su per salvare la proprietà.
NOTA:il file idmuserapp-logging.xml non esisterà finché le modifiche verranno eseguite tramite .
Nella documentazione, il simbolo maggiore di (>) viene utilizzato per separare le azioni di uno stesso passo di procedura e gli elementi in un percorso di riferimenti incrociati.
Un simbolo di marchio di fabbrica (®, ™, ecc.) designa un marchio commerciale di Novell®; un asterisco (*) designa un marchio commerciale di terze parti.
Novell, Inc. non rilascia alcuna dichiarazione e non fornisce alcuna garanzia in merito al contenuto o uso di questa documentazione e in particolare non riconosce alcuna garanzia espressa o implicita di commerciabilità o idoneità per uno scopo particolare. Novell, Inc. inoltre si riserva il diritto di aggiornare la presente pubblicazione e di modificarne il contenuto in qualsiasi momento, senza alcun obbligo di notificare tali revisioni o modifiche a qualsiasi persona fisica o giuridica.
Novell, Inc. non rilascia alcuna dichiarazione e non fornisce alcuna garanzia in merito ad alcun software e in modo specifico non riconosce alcuna garanzia espressa o implicita di commerciabilità o idoneità per uno scopo particolare. Novell, Inc. inoltre si riserva il diritto di modificare qualsiasi parte del software Novell in qualsiasi momento, senza alcun obbligo di notificare tali modifiche a qualsiasi persona fisica o giuridica.
Qualsiasi informazione tecnica o prodotto fornito in base a questo Contratto può essere soggetto ai controlli statunitensi relativi alle esportazioni e alla normativa sui marchi di fabbrica in vigore in altri paesi. L'utente si impegna a rispettare la normativa relativa al controllo delle esportazioni e a ottenere qualsiasi licenza o autorizzazione necessaria per esportare, riesportare o importare prodotti finali. L'utente si impegna inoltre a non esportare o riesportare verso entità incluse negli elenchi di esclusione delle esportazioni statunitensi o a qualsiasi paese sottoposto a embargo o che sostiene movimenti terroristici, come specificato nella legislazione statunitense in materia di esportazioni. L'utente accetta infine di non utilizzare i prodotti finali per utilizzi correlati ad armi nucleari, missilistiche o biochimiche. Per ulteriori informazioni sull'esportazione di software Novell, vedere la pagina Web sui servizi commerciali internazionali di Novell. Novell non si assume alcuna responsabilità relativa al mancato ottenimento, da parte dell'utente, delle autorizzazioni di esportazione necessarie.
Copyright© 2007 Novell, Inc. Tutti i diritti riservati. È vietato riprodurre, fotocopiare, memorizzare su un sistema o trasmettere la presente pubblicazione o parti di essa senza l'espresso consenso scritto dell'editore.
Novell, Inc. detiene i diritti di proprietà intellettuale relativi alla tecnologia incorporata nel prodotto descritto in questo documento. In particolare, senza limitazioni, questi diritti di proprietà intellettuale possono comprendere uno o più brevetti USA elencati nella pagina Web relativa ai brevetti internazionali di Novell e uno o più brevetti aggiuntivi o in corso di registrazione negli Stati Uniti e in altri paesi.
Per informazioni sui marchi di fabbrica Novell, vedere l'elenco dei marchi di servizio e di fabbrica di Novell.
Tutti i marchi di fabbrica di terze parti appartengono ai rispettivi proprietari.