Sun Java™ System Identity Server Notas de la versi�n
Versi�n 2004Q2
N�mero de pieza 817-7131-10
Estas notas de la versi�n contienen informaci�n importante disponible en el momento del lanzamiento de Sun Java System Identity Server 2004Q2. Aqu� se tratan nuevas funciones y mejoras, problemas y limitaciones conocidos e informaci�n de otro tipo. Lea este documento antes de empezar a utilizar Identity Server 2004Q2.
La versi�n m�s actualizada de estas notas de la versi�n se encuentra en el sitio Web de documentaci�n de Sun Java System:
Consulte el sitio Web antes de instalar y configurar el software y despu�s de forma peri�dica para ver la documentaci�n del producto y las notas de la versi�n m�s actualizadas.
En estas notas de la versi�n se incluyen los siguientes apartados:
Se incluyen las URL de terceros para proporcionar informaci�n adicional relacionada.
Historial de revisiones de las notas de la versi�n
Acerca de Identity Server 2004Q2
Sun Java™ System Identity Server es una soluci�n de administraci�n de identidades dise�ada para satisfacer las necesidades de empresas en r�pida expansi�n. Identity Server permite obtener identidades para los empleados, los socios y proveedores en un directorio en l�nea. Tambi�n permite establecer pol�ticas y permisos relativos al acceso a informaci�n determinada en la empresa. Identity Server es la clave de todos los datos, los servicios y de qui�n tiene acceso a qu�: es la clave de todas las relaciones de negocios internas y externas.
Novedades de esta versi�n
Las novedades de Identity Server 2004Q2 incluyen lo siguiente (para obtener una explicaci�n m�s detallada de estas funciones, consulte Sun Java System Identity Server Technical Overview):
Requisitos de hardware y software
A continuaci�n, aparece el hardware y el software necesarios para esta versi�n de Identity Server.
Errores solucionados en esta versi�n
La tabla que aparece a continuaci�n describe los errores solucionados en Identity Server 2004Q2:
Notas de la instalaci�n
Esta versi�n de Identity Server separa la instalaci�n de paquetes de Identity Server de los pasos de configuraci�n que debe seguir. En esta versi�n, debe utilizar el programa de instalaci�n de Java Enterprise System para instalar la primera instancia de Identity Server.
Secuencias de �rdenes de configuraci�n
Tras instalar la primera instancia de Identity Server, puede crear instancias adicionales en Application Server y en Web Server de Sun utilizando las secuencias de �rdenes de configuraci�n.
Las secuencias de �rdenes de configuraci�n e instalaci�n de IS hacen lo siguiente:
- Implementan instancias adicionales de Identity Server para un contenedor Web en un �nico host.
- Vuelven a configurar instancias de Identity Server. Por ejemplo: cambiar el grupo y el propietario de una instancia de Identity Server (por ejemplo, desde la ra�z a otro usuario o grupo).
- Permiten que las aplicaciones Web puedan acceder a Identity Server SDK.
- Desinstalan instancias adicionales (debe utilizar el programa de desinstalaci�n de JES para desinstalar la primera instancia).
Para ver instrucciones detalladas, consulte la Identity Server Administration Guide. Tenga en cuenta que el comando amserver ya no es compatible.
Limitaciones y problemas conocidos
Este apartado contiene una lista de los problemas conocidos m�s importantes en el momento del lanzamiento de Identity Server 2004Q2. En este apartado, se describen los siguientes temas:
Instalaci�n
Las comas en el sufijo ra�z pueden causar errores en la instalaci�n (4750396)
Durante la instalaci�n, cuando tenga que especificar un sufijo ra�z de Identity Server, no utilice comas en el nombre completo ra�z (RDN).
Autenticaci�n
La propiedad del modo de cookies persistentes es incoherente (5038544)
En este modo, la propiedad UserId configurada en el testigo es incoherente. Por este motivo, puede dar error el agente de pol�ticas, que depende de la propiedad UserID.
Soluci�n del problema
Use UserToken para un valor que no sea DN y Principal para el valor DN.
El administrador no puede a�adir roles desde organizaciones principales (5042217)
Si configura un servicio de autenticaci�n para suborganizaciones con un rol de creaci�n de perfil din�mico y despu�s inicia la sesi�n en el servicio con la creaci�n de un perfil din�mico habilitado, cuando vea las propiedades del usuario, no se asignar� ning�n rol porque el servicio de autenticaci�n s�lo permite los roles que pertenecen a la suborganizaci�n.
No se puede iniciar la sesi�n en Identity Server tras a�adir las propiedades del proxy (4966788)
Si a�ade las propiedades del proxy a server.xml y despu�s reinicia Identity Server, no podr� iniciar la sesi�n en la consola de Identity Server. Esto s�lo ocurre cuando el servidor proxy no puede reconocer a Identity Server.
Soluci�n del problema
En server.xml, configure http.nonProxyHosts para el nombre de host con un nombre de host completo y despu�s reinicie el servidor. Por ejemplo:
<JVMOPTIONS>-Dhttp.nonProxyHosts=Identity_Server_FQDN</JVMOPTIONS>
A efectos de rendimiento, las propiedades definidas en esta soluci�n del problema deben configurarse aunque el servidor proxy reconozca a Identity Server.
La recarga de la p�gina de tiempo de espera de sesi�n autenticar� al usuario con un nombre de usuario y una contrase�a v�lidos (4697120)
En la p�gina de inicio de sesi�n, si el usuario aguarda a que se agote el tiempo de espera de carga de la p�gina y, a continuaci�n, introduce un nombre de usuario y una contrase�a v�lidos, ver� la p�gina de tiempo de espera de sesi�n. El usuario se autenticar� en Identity Server si vuelve a cargar la p�gina sin volver a introducir el nombre de usuario y la contrase�a.
Se deben especificar diferentes directorios para varios servidores de SafeWord (4756295)
Una configuraci�n con varias organizaciones que utilicen sus propios servidores SafeWord debe especificar sus propios directorios .../serverVerification en las plantillas de servicio de autenticaci�n de SafeWord. Si deja el valor predeterminado y todos los servidores utilizan el mismo directorio, la primera organizaci�n que realice una autenticaci�n con su servidor SafeWord ser� la �nica que funcione.
Herramientas de l�nea de comandos
JVM puede interrumpirse al ejecutar amadmin en el modo SSL (5009031)
Al ejecutar el servidor en el modo seguro, un uso continuo de amadmin puede hacer que JVM se interrumpa.
Si experimenta este comportamiento, p�ngase en contacto con los Servicios de asistencia al cliente de software de Sun Java System.
Las secuencias de �rdenes am2bak y bak2am no funcionan en Linux (5053866)
Las secuencias de �rdenes de restauraci�n am2bak y bak2am no funcionan para Identity Server al ejecutarlo en Linux.
Soluci�n del problema
- Corrija la ruta de los siguientes comandos:
- Modifique la funci�n check_for_invalid_chars(). Por ejemplo:
ECHO=/usr/bin/echo
deber�a ser ECHO=/bin/echo
uid=`/usr/xpg4/bin/id -un`
deber�a ser uid=`/usr/bin/id -un`
/usr/bin/tar
deber�a ser /bin/tar
usr/bin/rm
deber�a ser /bin/rm
/usr/bin/grep
deber�a ser /bin/grep
/usr/bin/ps
deber�a ser /bin/ps
/usr/bin/ls
deber�a ser /bin/lsv
check_for_invalid_chars() {
echo "$1" | grep '[^/_.a-zA-Z0-9a-]' > /dev/null
if [ $? = 0 ]; then
return 1
else
return 0
fi
}
En los sistemas Linux, amserver stop no detiene el proceso amunixd (5050332)
En los sistemas Linux, el comando /etc/init.d/amserver stop no detiene el proceso del asistente de autenticaci�n amunixd.
Soluci�n del problema
En primer lugar, utilice el comando ps con la opci�n f para determinar el identificador de proceso de amunixd:
ps -efl | grep /opt/sun/identity/share/bin/amunixd
A continuaci�n, utilice el comando kill con este identificador para detener el proceso amunixd.
Aparece un mensaje de error al ejecutar am2bak (5043752)
Al realizar el proceso de copia de seguridad con am2bak, es posible que reciba un mensaje de error en el que se le indique que este proceso ha fallado, cuando en realidad se ha completado.
amadmin devuelve un mensaje de error incorrecto (5008960)
La opci�n import de amadmin produce de forma incorrecta el mismo mensaje de error para todos los errores relacionados.
amverifyarchive en instalaciones s�lo en consolas tiene etiquetas sin intercambiar (4993375)
Si realiza una instalaci�n s�lo en la consola de Identity Server, la utilidad amverifyarchive no tendr� las siguientes etiquetas intercambiadas en esta secuencia de �rdenes:
Configuraci�n
La secuencia de �rdenes amconfig no puede configurar la versi�n traducida de Identity Server para la opci�n “Configurar m�s tarde” (5062437)
Si instala una versi�n traducida de Identity Server 2004Q2 con el programa de instalaci�n de Java Enterprise System y selecciona la opci�n “Configurar m�s tarde”, la secuencia de �rdenes amconfig no puede configurar Identity Server.
Soluci�n del problema
Antes de ejecutar la secuencia de �rdenes amconfig, edite la secuencia de �rdenes del contenedor Web, en funci�n del contenedor que est� utilizando para ejecutar Identity Server:
- Localice la secuencia de �rdenes del contenedor Web:
- En la secuencia de �rdenes del contenedor Web, a�ada el directorio /WEB-INF a la variable $DEPLOY_SRC en la siguiente instrucci�n if:
- Ejecute la secuencia de �rdenes amconfig para configurar Identity Server. Para obtener m�s informaci�n sobre la secuencia de �rdenes amconfig, consulte Identity Server 2004Q2 Administration Guide:
if [ ! -d $DEPLOY_SRC/WEB-INF ]; then
mkdir -p $DEPLOY_SRC
cd $DEPLOY_SRC
jar xf $PKGDIR/$warfile
No use amconfig con la opci�n “Silent File” (5003430, 5003386 y 5000964)
No utilice el modo interactivo de amconfig. Ejemplo: amconfig -s. Los resultados son impredecibles.
Soluci�n del problema
Ejecute amconfig en el modo silencioso. Ejemplo: amconfig -s ruta_a_archivo_silencioso
Los �ndices siempre se crean para userRoot independientemente del nombre del servidor (5002886)
index.ldif codifica userRoot y crea el �ndice para los atributos. Es posible instalar Identity Server en un sufijo ra�z que resida en cualquier nombre de base de datos secundaria arbitraria. El nombre del servidor puede obtenerse mediante ldapsearch con la base cn=config utilizando nsslapd-suffix=SUFFIX_NAME como filtro.
Federaci�n
Excepci�n producida para modificar PP si el valor del atributo est� vac�o (5047103)
Identity Server genera una excepci�n cuando se realiza una modificaci�n de PP con un valor de atributo vac�o. Por ejemplo, si crea la configuraci�n para probar la muestra sis-ep y despu�s env�a la p�gina EP Modify y hace clic en el bot�n sin escribir un valor para el atributo, la excepci�n se producir� incorrectamente.
Para que surta efecto la pol�tica debe reiniciar el servidor (5045036)
La implementaci�n de pol�ticas de federaci�n no surte efecto hasta que reinicie el servidor. Esto es v�lido para Application Server y para Web Server. Debe reiniciar el servidor s�lo tras una instalaci�n nueva y cuando se implemente por primera vez la pol�tica.
Consola de Identity Server
La creaci�n de roles con permisos de acceso definidos como administrador de organizaci�n genera un error (5037978)
Recibir� un error si inicia la sesi�n como administrador de organizaci�n y crea un rol y le asigna permisos de acceso (como pueda ser un rol de administrador de organizaci�n o de administrador de ayuda de escritorio).
Los permisos de los administradores de organizaci�n se configuran para impedirles modificar cualquier valor de la organizaci�n. Cuando el rol se crea con permisos, un ACI de la entrada de organizaci�n est� intentando modificarse.
Soluci�n del problema
- Tras la instalaci�n, vaya al directorio donde se encuentran los archivos XML. De forma predeterminada son:
- Realice una copia de seguridad del archivo amAdminConsole.xml. Por ejemplo:
- Modifique amAdminConsole.xml.
- Busque todas las l�neas que empiecen por “S1IS Organization Admin Role access allow read” y elimine ese ACI. Por ejemplo, elimine todas las apariciones de este ACI utilizado para el rol de administrador de la organizaci�n:
- Busque todas las l�neas que empiecen por “S1IS Organization Admin Role access allow all” y modifique ese ACI para eliminar el '*,' ubicado al principio de este ACI:
- Guarde este archivo.
- Elimine iPlanetAMAdminConsoleService utilizando la herramienta de l�nea de comandos amadmin:
- Si el archivo se elimina correctamente, aparecer� el siguiente mensaje:
- Importe el mismo servicio de nuevo con el amAdminConsole.xml reci�n modificado utilizando la herramienta de l�nea de comandos amadmin:
- Si el archivo se carga correctamente, aparecer� el siguiente mensaje:
- Reinicie Identity Server.
/etc/opt/SUNWam/config/xml (Solaris)
/etc/opt/sun/identity/config/xml (Linux)
cp amAdminConsole.xml amAdminConsole.bak
aci: (target="ldap:///ORGANIZATION")(targetfilter=(!(|(nsroledn=cn=Top-level Admin Role,dc=iplanet,dc=com)(nsroledn=cn=Top-level Help Desk Admin Role,dc=iplanet,dc=com))))(targetattr != "nsroledn")(version 3.0; acl "S1IS Organization Admin Role access allow read"; allow (read,search) roledn = "ldap:///ROLENAME";)
aci: (target="ldap:///*,
Modifique todas las apariciones de este ACI para el rol de administrador de la organizaci�n. Por ejemplo:
Cambie este ACI:
aci: (target="ldap:///*,ORGANIZATION")(targetfilter=(!(|( nsroledn=cn=Top-level Admin Role,dc=iplanet,dc=com)(nsroledn=cn=Top-level Help D esk Admin Role,dc=iplanet,dc=com))))(targetattr != "nsroledn")(version 3.0; acl "S1IS Organization Admin Role access allow all"; allow (all) roledn = "ldap:///ROLENAME";)
a:
aci: (target="ldap:///ORGANIZATION")(targetfilter=(!(|( nsroledn=cn=Top-level Admin Role,dc=iplanet,dc=com)(nsroledn=cn=Top-level Help Desk Admin Role,dc=iplanet,dc=com))))(targetattr !="nsroledn")(version 3.0; acl "S1IS Organization Admin Role access allow all"; allow (all) roledn = "ldap:///ROLENAME";)
/opt/SUNWam/bin/amadmin -u "uid=amAdmin,ou=People,dc=iplanet,dc=com" -w "iplanet1" -r "iPlanetAMAdminConsoleService"
Deleting Service Schema iPlanetAMAdminConsoleService
Success 0: Successfully completed.
/opt/SUNWam/bin/amadmin -u "uid=amAdmin,ou=People,dc=iplanet,dc=com" -w "iplanet1" -s /etc/opt/SUNWam/config/xml/amAdminConsole.xml
Loading Service Schema XML /etc/opt/SUNWam/config/xml/amAdminConsole.xml
Success 0: Successfully completed.
Las muestras de consolas no se compilan (5026635)
Algunas de las muestras de la consola de Identity Server no se compilan porque los archivos han cambiado de ubicaci�n en esta versi�n.
Soluci�n del problema
Cambie la ruta de jato.jar a la siguiente en el archivo rules.mk:
No pueden crearse usuarios con el servicio SAML (5038600)
S�lo el administrador de nivel superior puede crear usuarios mientras asigna el servicio SAML a la vez
Soluci�n del problema
Los administradores de organizaci�n deben crear el usuario sin el servicio SAML. Una vez creado el usuario, pueden a�adir el servicio mediante la p�gina “Perfil de usuario”.
Valores no conservados al hacer clic en el bot�n “Atr�s” (4992972)
Siempre que haya un proceso de varias p�ginas, como crear un grupo, un rol o a�adir una condici�n a una pol�tica, y siempre que se pulse el bot�n “Atr�s”, los valores de la p�gina anterior no se restaurar�n.
El administrador de pol�ticas no puede modificar su propio perfil (5042100)
Un administrador de pol�ticas no puede modificar su propio perfil mediante la consola de Identity Server.
Soluci�n del problema
Configure las opciones de visualizaci�n de la vista de navegaci�n para los usuarios y las acciones disponibles de los usuarios para que dispongan de un acceso total.
Error en la consola al buscar usuarios cuando la administraci�n de usuarios est� desactivada (5049218)
Si el administrador de usuarios est� desactivado y realiza una b�squeda de usuarios, puede recibir un error del servidor.
Soluci�n del problema
Sustituya PMAdminRoldSelect.jsp por el nuevo JSP. Esto puede encontrarse en la siguiente ubicaci�n:
El filtro de b�squeda de descripciones de entidades no funciona correctamente (4959895)
En el m�dulo Administraci�n de federaci�n, en la vista de descriptores de entidad, si utiliza el campo de b�squeda para buscar un descriptor de entidad, los resultados de b�squeda no siempre ser�n exactos.
La m�scara de b�squeda “**” no funciona (4961370)
Si utiliza “**” sin caracteres adicionales como la m�scara de filtro de b�squeda en la consola de Identity Server, la b�squeda producir� un error. El campo de b�squeda acepta “**” con caracteres adicionales, por ejemplo, **a o a**.
Problemas de actualizaci�n para los proveedores alojados del m�dulo Administraci�n de federaci�n (4915894)
En el m�dulo Administraci�n de federaci�n, si modifica y guarda cualquier atributo en la vista del proveedor de identidades de un proveedor alojado, los cambios se guardar�n, pero no se actualizar�n autom�ticamente en la pantalla.
Soluci�n del problema
Seleccione un m�dulo diferente para salir del m�dulo Administraci�n de federaci�n (por ejemplo, Configuraci�n de servicio) y, a continuaci�n, vuelva al m�dulo Administraci�n de federaci�n. De esta forma, se actualizar� la pantalla.
La consola no actualiza los cambios de atributo del usuario (4931455)
El marco de navegaci�n de la consola de Identity Server no se actualiza para reflejar los cambios en los valores de atributos del usuario realizados en el marco de datos. Actualice manualmente la p�gina para mostrar los valores modificados.
Problemas de puerto con Internet Explorer (4864133)
Debido a una incompatibilidad con Internet Explorer, no deber�a utilizar el n�mero de puerto 80 como puerto de Identity Server al ejecutar http o 443 al ejecutar https.
Servicio de registro
Problema de registro cuando Java Security est� activo (4926520)
Puede que jdk_logging.jar no funcione si Java Security est� activo.
Soluci�n del problema
Si Java Security est� activo y tiene una versi�n de JDK anterior a la 1.4, incluya la siguiente autorizaci�n en el archivo de seguridad de Java:
permission java.lang.RuntimePermission shutdownHooks
Pol�tica
Modificaciones en la regla de la pol�tica de referencia no reflejadas en la suborganizaci�n (5016725)
Tras eliminar una pol�tica de referencia para la organizaci�n ra�z, las reglas de las pol�ticas normales de la suborganizaci�n no se eliminar�n (ni podr�n eliminarse).
Las entradas coincidentes no se devuelven cuando se alcanza el l�mite definido en nslookthrough (5013538)
Las entradas coincidentes no se devuelven a la consola de Identity Server incluso tras alcanzar los l�mites de administraci�n definidos en nslookthrough.
Soluci�n del problema
Ajuste el par�metro nslookthroughlimit para compensar el n�mero de entradas.
Pol�tica no aplicada para testigos con alias (4985823)
Si utiliza un alias de usuario para iniciar la sesi�n en Identity Server en un m�dulo de autorizaci�n distinto de LDAP o Membership y despu�s intenta acceder a un recurso protegido, se le denegar� el acceso.
Problema con la pol�tica de muestra (4923898)
El archivo Readme.html ubicado en la pol�tica de muestra excluye informaci�n que provoca que la muestra no funcione. Para ejecutar la muestra, LD_LIBRARY_PATH debe incluir la ruta a las bibliotecas compartidas NSPR, NSS y JSS.
Configure la variable de entorno LD_LIBRARY_PATH en /usr/lib/mps/secv1 (para Solaris) o /opt/sun/pirvate/lib (Linux). Si no se configura correctamente, se producir� un error.
Servicio de sesi�n
Las sesiones inactivas no se limpian (4959071)
Las sesiones inactivas no se est�n limpiando correctamente. P�ngase en contacto con el servicio de asistencia t�cnica para solucionar el problema. Consulte Comunicar problemas y enviar comentarios para obtener m�s informaci�n.
SDK
Uso de certutil para instalaciones de Identity Server SDK que utilizan servidores SSL (5027614)
Los usuarios experimentan errores y excepciones relacionados con la seguridad al intentar establecer comunicaci�n desde equipos s�lo SDK con servidores de Identity Server 2004Q2 habilitados para SSL. En esta situaci�n, la instalaci�n de Identity Server SDK no se implementa en ning�n contenedor Web o se implementa en un contenedor Web de terceros como BEA WebLogic Server o IBM WebSphere Application Server.
Soluci�n del problema
Cree una base de datos de certificados en el equipo s�lo SDK e instale el certificado de CA ra�z del servidor de Identity Server en esta base de datos:
- Inicie sesi�n en el equipo s�lo SDK como superusuario (root).
- Compruebe que el paquete NSS (Netscape Security Services) necesario est� instalado:
- Si el paquete no est� instalado, inst�lelo. Por ejemplo:
- Cree el archivo para la contrase�a del testigo de la base de datos de certificados. Por ejemplo:
- Compruebe la variable LD_LIBRARY_PATH:
- Utilice la herramienta de base de datos de certificados (certutil) para crear las bases de datos de certificados y claves. Para obtener informaci�n sobre certutil, consulte el siguiente sitio Web:
- En los sistemas Solaris: /usr/sfw/bin
- En los sistemas Linux: /opt/sun/private/bin
- En los sistemas Solaris: /etc/opt/SUNWam/config
- En los sistemas Linux: /etc/opt/sun/identity/config
- En la base de datos de certificados reci�n creada, a�ada el certificado de CA ra�z para el certificado SSL instalado en el servidor de Identity Server. Por ejemplo:
- Utilice un editor para ver el archivo AMConfig.properties y compruebe los siguientes valores:
- Directorio de base de datos de certificados: com.iplanet.am.admin.cli.certdb.dir
- Prefijo: com.iplanet.am.admin.cli.certdb.prefix)
- Archivo de contrase�as: com.iplanet.am.admin.cli.certdb.passfile I
- Si se han realizado cambios en AMConfig.properties y se ha implementado Identity Server SDK en un contenedor Web, reinicie el contenedor.
En los sistemas Solaris:
cd JavaEnterpriseSystem_base/Solaris_arch/Product/shared_components/Packages
pkgadd -d . SUNWtlsu
En los sistemas Linux:
cd JavaEnterpriseSystem_base/Linux_x86/Product/shared_components/Packages
rpm -Uvh sun-nss-3.3.10-1.i386.rpm
En los sistemas Solaris:
echo "cert-database-password" > /etc/opt/SUNWam/config/.wtpass
chmod 700 /etc/opt/SUNWam/config/.wtpass
En los sistemas Linux:
echo "cert-database-password" > /etc/opt/sun/identity/config/.wtpass
chmod 700 /etc/opt/sun/identity/config/.wtpass
donde cert-database-password es la contrase�a del testigo.
En los sistemas Solaris, compruebe LD_LIBRARY_PATH para ver si est�n presentes los directorios /usr/lib, /usr/lib/mps/secv1 y /usr/lib/mps. Si no est�n presentes, a�ada los directorios que faltan.
En los sistemas Linux, compruebe LD_LIBRARY_PATH para ver si est� presente el directorio /opt/sun/private/lib. Si no lo encuentra, a��dalo.
http://mozilla.org/projects/security/pki/nss/tools/certutil.html
Por ejemplo:
certutil-home/certutil -N -d cert-database-dir -f config-home/.wtpass
donde:
certutil-home es la ubicaci�n de certutil:
cert-database-dir es el directorio de las bases de datos de certificados y claves.
config-home es la ubicaci�n de los archivos de configuraci�n de Identity Server:
certutil-home/certutil -A -n "certificate-nickname" -t "TCu,TCu,TCuw" -d cert-database-dir -a -i path-to-file-containing-cert -f config-home/.wtpass
Si no son correctos, edite las preferencias como sea necesario. Por ejemplo, la preferencia de prefijo deber�a estar vac�a (es decir, igual a “”).
El protocolo de enlace SSL falla con DNSAlias con el proveedor JCE (5038876)
El protocolo de enlace SSL falla cuando se utilizan certificados con nombres DNSAlias v�lidos en subjectaltname con un proveedor JEC.
Filtro BasicEntitySearch codificado para uid (5041529)
Si instala Identity Server con el atributo de nombre de usuario configurado en cn y despu�s inicia sesi�n en la consola de Identity Server y crea una entidad de agente, �sta no aparecer� en el panel de navegaci�n. Esto se debe a que la plantilla de b�squeda de entidades est� codificada en uid.
Soluci�n del problema
Cambie el filtro de uid a cn desde la consola de administraci�n de Directory Server y reinicie el servidor.
Los m�todos de identidad en Init() de los filtros hacen que falle Weblogic (5016283)
Un servidor Weblogic no se inicia cuando los m�todos de init() de filtros tienen c�digo relativo a Identity Server. Se llama a la API de Identity Server en el m�todo init del servlet ServletFilter.
Identity Server usa JSS como proveedor de seguridad, pero Weblogic utiliza JCE de forma predeterminada. Cuando se ejecuta el m�todo init, Weblogic intenta validar su licencia utilizando JCE, pero JSS se est� inicializando.
Soluci�n del problema
Cambie el cifrado de seguridad predeterminado de JSSEncryption a JCEEncryption en el archivo AMConfig.properties.
No se puede utilizar ninguna contrase�a que empiece por los s�mbolos “{SSHA}” (4966191)
Identity Server no es compatible con el uso de s�mbolos en hash {SSHA} en contrase�as.
Propiedad smtp server port incorrecta en AMConfig.properties (5048378)
La propiedad smtp server port de AMConfig.properties no es correcta. El correo enviado busca de forma incorrecta com.iplanet.am.smtpport.
Los atributos de nombre deben estar en min�sculas (4931163)
Debido a una limitaci�n de SDK, los atributos de nombre deben estar en min�sculas. Por ejemplo, si instala una instancia de Identity Server mediante Directory Server y carga el esquema de Identity Server con el atributo de nombre de usuario definido como CN, la creaci�n del usuario fallar�.
Soluci�n del problema
Cambie el atributo de nombre en la consola de Directory Server. Por ejemplo, cambie el atributo de nombre de usuario basicuser de la plantilla de creaci�n de CN a cn.
La opci�n para crear grupos a�ade solamente un atributo memberURL (4931958)
Si crea un grupo con la opci�n de filtro de LDAP m�ltiple (-f), el grupo se crear� incorrectamente con un solo atributo memberURL.
Problema de registro de servicio (4853809)
Si crea plantillas de servicio y las registra en una organizaci�n principal, y, a continuaci�n, intenta registrarlas en una suborganizaci�n, no se registrar�n algunos de los servicios registrados en la organizaci�n principal, aunque en amConsole.access se muestre que el servicio s� est� registrado.
Soluci�n del problema
Actualice la consola de Identity Server y vuelva a registrar los servicios.
Los servicios desaparecen al iniciar sesi�n con un rol de servicio (4931907)
Si un usuario con un rol de servicio inicia sesi�n en Identity Server con la pantalla de inicio de Admin configurada en orgDN y, a continuaci�n, intenta anular el registro de un servicio, todos los servicios mostrados desaparecen de la pantalla.
Soluci�n del problema
Reinicie el servidor y reaparecer�n los servicios.
Inicio de sesi�n �nico
No es posible ejecutar SSO con diferentes URI de implementaci�n (4770271)
Si los URI de implementaci�n son diferentes en dos instancias distintas de Identity Server, el inicio de sesi�n �nico no funcionar� correctamente.
Internacionalizaci�n (i18n)
El registro de todos los servicios quiz� no afecte a todos los servicios disponibles (4853809)
Si registra todos los servicios mediante la consola de Identity Server, quiz� no se enumeren algunos servicios disponibles.
Soluci�n del problema
No haga clic en el bot�n “Agregar” m�s de una vez.
Los servicios con esquema de pol�tica aparecen como susceptibles de ser agregados para un usuario (4996479)
Al a�adir servicios para un usuario, el servicio de consumidor wsrp aparece como disponible. No obstante, si se elige, no se a�adir� y producir� un error. Adem�s, si se seleccionan varios servicios junto con el servicio del consumidor, todas las adiciones producir�n un error.
Soluci�n del problema
No a�ada el servicio WSRP desde el m�dulo Identity Management.
Error en el inicio de sesi�n de Authlevel en navegadores en japon�s (5013994)
La primera vez que inicie la sesi�n en Identity Server mediante Authentication Level, no funcionar� para los siguientes navegadores en japon�s cuando el idioma del navegador est� configurado en ja:
Soluci�n del problema
Cuando aparezca el error “Authentication Module has Denied”, haga clic en el enlace “Go Back To Login Page”. En su lugar, entre en la siguiente direcci�n url:
La ayuda en pantalla en japon�s aparece incorrectamente (5024138)
Si est� ejecutando la versi�n en japon�s de Identity Server y cambia el idioma a en_US, se seguir� viendo el contexto de la ayuda en japon�s.
Soluci�n del problema
Cree un enlace simb�lico de docs_en a docs_en_US.
El modo User ID Generation genera un identificador de usuario a partir del nombre y del apellido (5028750)
Identity Server no admite el identificador de usuario de varios bytes. De forma predeterminada, el modo User ID Generation genera un identificador de usuario a partir del nombre y del apellido.
La funci�n Client Detection no opera correctamente (5028779)
En el servicio Client Detection, si quita UTF-8, no funcionar� correctamente.
Soluci�n del problema
Si quita el conjunto de caracteres UTF-8, reinicie el contenedor Web tras haber realizado el cambio.
G11NSetting no gestiona un espacio en el factor Q (5008860)
Cuando los datos del cliente tienen un espacio en el factor q o a su alrededor, el c�digo G11NSettings no lo analiza correctamente y produce el siguiente error:
ERROR: G11NSettings::Fetchcharset() Unable toparse charset entry invalid Q q
La p�gina de inicio de sesi�n falla con el par�metro de rol de varios bytes en la direcci�n url para el juego de caracteres ja (4905708)
Si crea un rol de varios bytes y despu�s intenta iniciar una sesi�n con una direcci�n url como usuario registrado en este rol, la p�gina de inicio generar� un error.
Soluci�n del problema
Para que el marco de autenticaci�n pueda decodificar un valor de rol de varios bytes especificado en la direcci�n url, debe especificar gx_charset junto con el par�metro. Por ejemplo:
http://hostname:port/amserver/UI/Login?role=manager?role=%E3%81%82%&gx_charset=utf-8
Los archivos de registro est�n distorsionados en la configuraci�n regional en japon�s (4882286)
Los siguientes archivos de registro contienen caracteres japoneses y se distorsionan al abrirlos:
Todos los archivos del directorio Base_de_Identity_Server/SUNWam/debug excepto deploy.log y undeploy.log.
El par�metro de configuraci�n regional de la direcci�n url muestra p�ginas de inicio con caracteres mezclados (4915137)
Si utiliza un navegador que no est� en ingl�s con una instancia de Identity Server instalada con Web Server e inicia la sesi�n en http://<host>:<puerto>/amserver/UI/Login?locale=en, la p�gina de inicio se abrir� con caracteres ingleses y no ingleses mezclados.
Soluci�n del problema
Cambie el siguiente enlace simb�lico:
base_de_Identity_Server/SUNWam/web-apps/services/config/auth/default
por
Base_de_Identity_Server/SUNWam/web-apps/services/config/auth/default_en
Mensaje de error no traducido para HTTP Basic (4921418)
Si inicia una sesi�n utilizando el m�dulo de autenticaci�n HTTP Basic y hace clic en el bot�n “Cancelar”, aparecer� un mensaje de error no traducido. Este es un problema conocido en Application Server; ocurre s�lo cuando Identity Server se implementa con Application Server.
Configuraciones regionales mezcladas en la ventana de inicio cuando Application Server es ja (4932089)
La ventana de inicio de sesi�n de Identity Server no volver� a su configuraci�n predeterminada en ingl�s cuando la preferencia de idioma del navegador sea en y la configuraci�n regional de Application Server se defina en ja.
Soluci�n del problema
Ejecute Application Server con la configuraci�n regional en.
La notificaci�n de bloqueo env�a un mensaje de correo electr�nico ilegible (4938511)
Si ejecuta Identity Server con un contenedor Web que tenga como configuraci�n regional preferida alguna distinta a C y si se bloquea el acceso de un usuario en el servidor, se enviar� un mensaje de correo electr�nico con la notificaci�n de bloqueo, pero �ste ser� ilegible.
Soluci�n del problema
Defina email|local|charset (en lugar de �nicamente el par�metro email) en la direcci�n de correo electr�nico para el atributo de env�o de notificaci�n de bloqueo. Por ejemplo:
Nivel de resoluci�n de conflictos con una configuraci�n regional determinada (4922030)
Si un usuario accede a la consola de Identity Server con una determinada configuraci�n regional (por ejemplo, zh), registra el servicio de configuraci�n de autenticaci�n, crea una plantilla para el servicio y, a continuaci�n, cierra la sesi�n y vuelve a iniciarla con una configuraci�n regional diferente, los elementos de nivel de resoluci�n de conflictos se mostrar�n de forma incorrecta con el formato de la configuraci�n regional original.
Versi�n de los mensajes am2bak y bak2am s�lo en ingl�s (4930610)
Los mensajes de la versi�n de las utilidades de restauraci�n am2bak y bak2am s�lo est�n disponibles en ingl�s para esta versi�n.
Los nombres de varios bytes no funcionan en el autorregistro (4732470)
Si crea un usuario en el m�dulo de autorregistro (servicio de autenticaci�n Membership) con un identificador de usuario duplicado y un nombre y apellido de varios bytes, se generar� un error. Los identificadores de usuarios de varios bytes no son compatibles.
Soluci�n del problema
Si un usuario inicia la sesi�n utilizando el autorregistro en un entorno de varios bytes, el administrador debe asegurarse de que el atributo User Generator Mode de Core Authentication no se seleccione.
o
El usuario puede seleccionar la opci�n “Crear el m�o propio” en la p�gina de inicio de sesi�n del autorregistro.
La versi�n en japon�s de Identity Server no funciona con Netscape 6.22 ni 6.23 (4902421)
En la versi�n en japon�s de Identity Server 6.1, no puede iniciar sesi�n en la consola con Netscape 6.22 o 6.23.
El formato de las condiciones de hora no var�a (4888416)
En las condiciones de hora para las definiciones de la pol�tica, la visualizaci�n de la hora sigue siendo la siguiente, independientemente de la configuraci�n regional:
Hora:Minuto a.m./p.m.
Mensaje para los pares msgid-msgstr no traducido en backup_restore.po (4916683)
Puede recibir un mensaje que se�ale que faltan los pares msgid-mgstr en la secuencia de �rdenes backup_restore.po y que no se ha guardado una copia de seguridad del certificado de Directory Server. Aun as�, se realizar� una copia de seguridad de Directory Server. Este mensaje no ha sido traducido.
Pantalla de detecci�n de cliente no traducida (4922013)
Algunas partes de la pantalla de propiedades del estilo actual de la interfaz de detecci�n de cliente no est�n traducidas en esta versi�n.
Las propiedades de cliente genericHTML actualizadas no se han aplicado (4922348)
Si elimina UTF-8 de la lista de conjuntos de caracteres de la propiedad de cliente genericHTML del servicio de detecci�n de cliente, guarda los cambios y activa “Detecci�n de cliente” y, a continuaci�n, cierra la sesi�n y vuelve a iniciarla, la p�gina de inicio seguir� teniendo el conjunto de caracteres UTF-8.
Soluci�n del problema
Reinicie el servidor manualmente con amserver.
Encabezados de archivos de registro no traducidos (4923536)
Las dos primeras l�neas de los archivos de registro no est�n traducidas, en concreto, las secciones Version y Fields y sus listas de campos.
Valores del campo Data no traducidos en amSSO.access (4923549)
En el archivo de registro amSSO.access, no aparece traducido ning�n valor del campo Data.
Exception.jsp tiene mensajes codificados (4772313)
Exception.jsp no est� traducido y contiene t�tulos, mensajes de error e informaci�n de copyright codificados. Esta p�gina jsp de error de excepci�n se ejecuta s�lo en casos extremos. Por ejemplo, cuando est� desconectado Directory Server o cuando no se puede acceder a servicios de Identity Server y no hay traducci�n disponible para esta p�gina jsp.
Cookies
El modo sin cookies no funciona (4967866)
Si un navegador accede a Identity Service y se desactiva la admisi�n de cookies, y si el navegador es compatible con las cookies, �ste seguir� enviando la cookie m�s antigua de Identity Server. Esto hace que se deniegue el acceso a los recursos de Identity Server.
Soluci�n del problema
Opte por una de estas soluciones:
Secuestro de cookies
La seguridad puede estar en peligro cuando no son fiables las aplicaciones que utilizan las cookies de sesi�n.
Cuando se activa el inicio de sesi�n �nico (SSO) o el inicio de sesi�n �nico entre dominios (CDSSO) en la implementaci�n de Identity Server, las cookies de sesi�n http(s) se configuran en el navegador del usuario. Estas cookies se validan en varias aplicaciones. Cuando Identity Server se implementa en varios dominios DNS, el protocolo Liberty transfiere las cookies de sesi�n http(s) desde el dominio DNS autenticado al dominio de destino de la aplicaci�n Web.
Aunque el usuario inicia la sesi�n autom�ticamente en los recursos Web, existe un problema de seguridad conocido cuando no son fiables las aplicaciones que utilizan las cookies de sesi�n. El problema puede existir cuando un proveedor de identidades ofrece informaci�n de autenticaci�n, autorizaci�n y perfil sobre un usuario a aplicaciones (o proveedores de servicio) que desarrollan otros fabricantes o grupos no autorizados de la empresa. Los posibles problemas de seguridad son:
- Todas las aplicaciones comparten la misma cookie de sesi�n http. Esto permite que una aplicaci�n camuflada secuestre la cookie de sesi�n y suplante al usuario en otra aplicaci�n.
- Si la aplicaci�n no utiliza el protocolo https, la cookie de sesi�n es propensa al espionaje en la red.
- Si s�lo puede piratearse una aplicaci�n, se pondr� en peligro la seguridad de toda la infraestructura.
- Una aplicaci�n camuflada puede utilizar la cookie de sesi�n para obtener y, posiblemente, modificar los atributos del perfil de un usuario. Si el usuario tiene privilegios administrativos, la aplicaci�n podr�a causar mucho m�s da�o.
Soluci�n del problema
Siga estos pasos:
- Use la consola de administraci�n de Identity Server para crear una entrada para cada agente.
- En la organizaci�n que contiene el agente que se va a crear, elija “Agentes” en el men� “Ver” y, despu�s, haga clic en “Nuevo”.
- Escriba la siguiente informaci�n:
- Haga clic en “Aceptar”.
- Ejecute el siguiente comando en la contrase�a que se escribi� en el paso 2b.
- Cambie AMAgent.properties para reflejar el nuevo valor y despu�s reinicie el agente. Ejemplo:
- Cambie AMConfig.properties para reflejar los nuevos valores y despu�s reinicie Identity Server. Ejemplo:
- En la consola de administraci�n de Identity Server, elija Service Configuration > Platform.
- En la lista de dominio de cookies, cambie el nombre de dominio de las cookies:
Nombre. Escriba el nombre o la identidad del agente. Ejemplo: es decir, agente123
Contrase�a. Introduzca la contrase�a del agente. Ejemplo: agente123
Confirmar contrase�a. Confirme la contrase�a.
Descripci�n. Escriba una breve descripci�n del agente. Por ejemplo, puede escribir el nombre de la instancia de agente o el de la aplicaci�n que est� protegiendo.
Valor de clave del agente. Configure las propiedades del agente con un par de valor/clave. Esta propiedad la utiliza Identity Server para recibir solicitudes de los agentes para aserciones sobre los usuarios.
Escriba un valor de propiedad para agentRootURL con un valor equivalente a la direcci�n url del agente con n�mero de puerto. Tenga en cuenta que el valor de agentRootURL distingue entre may�sculas y min�sculas.
Ejemplo: agentRootURL=http://nombre_servidor:99/
Estado de dispositivo. Escriba el estado del dispositivo del agente. Si se configura como activado, el agente podr� autenticar Identity Server y comunicarse con �l. Si se configura como inactivo, el agente no podr� autenticar Identity Server.
/opt/SUNWam/agents/bin/crypt_util agente123
Esto producir� el siguiente resultado:
WnmKUCg/y3l404ivWY6HPQ==
Archivos que se pueden distribuir
Sun Java System Identity Server 2004Q2 no contiene archivos que pueda distribuir.
Comunicar problemas y enviar comentarios
Si experimenta problemas con Sun Java System Identity Server, p�ngase en contacto con el servicio de atenci�n al cliente de Sun usando uno de estos procedimientos:
- Servicios de atenci�n al cliente de Sun Software en l�nea en
http://www.sun.com/supportraining
Para que podamos ayudarle de forma �ptima en la resoluci�n de problemas, tenga a mano la siguiente informaci�n cuando se ponga en contacto con el servicio de asistencia:
- Descripci�n del problema, incluida la situaci�n en la que �ste se produce y la forma en que afecta al funcionamiento
- Tipo de m�quina, versi�n del sistema operativo y versi�n del producto, incluida cualquier revisi�n del producto y otro software que pudiera influir en el problema
- Pasos detallados de los m�todos que haya usado para reproducir el problema
- Cualquier registro de errores o volcados del n�cleo
Sun valora sus comentarios
Sun tiene inter�s en mejorar su documentaci�n y valora sus comentarios y sugerencias. Para enviar sus comentarios a Sun, use el formulario basado en Web que aparece en:
Ind�quenos el t�tulo completo de la documentaci�n y el n�mero de pieza en los campos pertinentes. El n�mero de pieza consta de siete o de nueve d�gitos y se encuentra en la p�gina que contiene el t�tulo de la gu�a o al principio del documento. Por ejemplo, el n�mero correspondiente a este documento de notas de la versi�n es 817-7131-10.
Recursos adicionales de Sun
Puede encontrar informaci�n �til de Sun Java System en las siguientes direcciones de Internet:
- Documentaci�n de Sun Java System
http://docs.sun.com/db/prod/entsys.04q2 - Servicios profesionales de Sun Java System
http://www.sun.com/service/products/software/javaenterprisesystem/ - Sun Java System Servicio y productos de software
http://wwws.sun.com/software/ - Servicios de asistencia al cliente de software de Sun Java System
http://www.sun.com/supportraining - Base de datos de soluciones y asistencia al cliente de Sun Java System
http://sunsolve.sun.com - Servicios profesionales y de consultor�a de Sun Java System
http://www.sun.com/service/products/software/javaenterprisesystem - Sun Java System Informaci�n de desarrolladores
http://developers.sun.com/ - Servicios de asistencia para programadores de Sun
http://www.sun.com/developers/support
Copyright � 2004 Sun Microsystems, Inc. Todos los derechos reservados.
Sun Microsystems, Inc. tiene derechos de propiedad intelectual relacionados con la tecnolog�a incluida en el producto descrito en este documento. Especialmente, aunque sin limitarse a ello, estos derechos de propiedad intelectual pueden incluir una o varias patentes en Estados Unidos, las cuales figuran en http://www.sun.com/patents, as� como una o varias patentes adicionales (o patentes pendientes de adjudicaci�n) en Estados Unidos y en otros pa�ses.
PROPIEDAD/CONFIDENCIAL DE SUN
Derechos del gobierno de Estados Unidos: Software comercial. Los usuarios gubernamentales est�n sujetos al acuerdo de licencia est�ndar de Sun Microsystems, Inc. y a las disposiciones aplicables de la regulaci�n FAR y sus suplementos.
El uso est� sujeto a las condiciones de la licencia.
Esta distribuci�n puede incluir materiales desarrollados por terceras partes.
Algunas de sus partes pueden proceder de sistemas Berkeley BSD, con licencia de la Universidad de California.
Sun, Sun Microsystems, el logotipo de Sun, Java y Solaris son marcas comerciales o marcas comerciales registradas de Sun Microsystems, Inc. en Estados Unidos y otros pa�ses. Todas las marcas comerciales de SPARC se utilizan bajo licencia y son marcas comerciales o marcas registradas de SPARC International, Inc. en EE.UU. y en otros pa�ses.
Copyright � 2004 Sun Microsystems, Inc. Tous droits r�serv�s.
Sun Microsystems, Inc. d�tient les droits de propri�t� intellectuels relatifs � la technologie incorpor�e dans le produit qui est d�crit dans ce document. En particulier, et ce sans limitation, ces droits de propri�t� intellectuelle peuvent inclure un ou plus des brevets am�ricains list�s � l'adresse http://www.sun.com/patents et un ou les brevets suppl�mentaires ou les applications de brevet en attente aux Etats - Unis et dans les autres pays.
Propri�t� de SUN/CONFIDENTIEL.
L'utilisation est soumise aux termes du contrat de licence.
Cette distribution peut comprendre des composants d�velopp�s par des tierces parties.
Des parties de ce produit pourront �tre d�riv�es des syst�mes Berkeley BSD licenci�s par l'Universit� de Californie.
Sun, Sun Microsystems, le logo Sun, Java et Solaris sont des marques de fabrique ou des marques d�pos�es de Sun Microsystems, Inc. aux Etats-Unis et dans d'autres pays.
Toutes les marques SPARC sont utilis�es sous licence et sont des marques de fabrique ou des marques d�pos�es de SPARC International, Inc. aux Etats-Unis et dans d'autres pays.