|
| |
| Sun Java System Identity Installation Pack 2005Q4M3 SP4 版本說明 | |
文件增訂與校正
關於 Identity 系統軟體指南Identity 系統軟體文件編排為多個指南。這些指南採用 Acrobat (.pdf) 格式，可從 Identity Install Pack CD 上獲得。本發行版本包括以下指南。
Identity 系統軟體
Install Pack 安裝 (Identity_Install_Pack_Installation_2005Q4M3.pdf) — 說明如何安裝及更新 Identity 系統軟體。
Identity Manager
- Identity Manager 管理 (IDM_Administration_2005Q4M3.pdf) — 提供 Identity Manager 管理員和使用者介面的簡介。
- Identity Manager 升級 (IDM_Upgrade_2005Q4M3.pdf) — 提供規劃和執行升級的輔助資訊。
備註 對於此發行版本，將「Identity Manager Technical Deployment」和「Identity Manager Technical Reference」重新組織為以下出版物：
- Identity Manager 技術部署簡介 (IDM_Deployment_Overview_2005Q4M3.pdf) — Identity Manager 產品 (包括物件架構) 的概念性簡介以及對基本產品元件的簡介。
- Identity Manager 工作流程、表單與檢視 (IDM_Workflows_Forms_Views_2005Q4M3.pdf) — 說明如何使用 Identity Manager 工作流程、表單和檢視的參照資訊和程序資訊，包括有關自訂這些物件所需工具的資訊。
- Identity Manager 部署工具 (IDM_Deployment_Tools_2005Q4M3.pdf) — 說明如何使用不同 Identity Manager 部署工具的參照資訊和程序資訊，包括規則和規則程式庫、一般作業和程序、字典支援以及由 Identity Manager 伺服器提供的基於 SOAP 的 Web 服務介面。
- Identity Manager 資源參照 (IDM_Resources_Reference_2005Q4M3.pdf) — 說明如何將資源的帳號資訊載入並同步到 Sun Java System Identity Manager 的參照資訊和程序資訊。其他配接卡則在 ResourcesRef_Addendum_2005Q4M3SP1.pdf 中說明。
- Identity Manager 稽核記錄 (IDM_Audit_Logging_2005Q4M3.pdf) — 說明如何將資源的帳號資訊載入並同步到 Sun Java System Identity Manager 的參照資訊和程序資訊。
- Identity Manager 調校、疑難排解和錯誤訊息 (IDM_Troubleshooting_2005Q4M3.pdf) — 說明 Identity Manager 錯誤訊息和異常，以及為追蹤和疑難排解工作中可能遇到的問題提供說明的參照資訊和程序資訊。
Identity Auditor
「Identity Auditor 管理」(IDA_Administration_2005Q4M3.pdf) — 提供有關 Identity Auditor 管理員介面的簡介。
Identity Manager Service Provider Edition
瀏覽線上指南使用 [Acrobat 書籤] 功能來瀏覽指南。按一下書籤面板中的小節名稱，可跳至文件中相應小節的位置。
透過在 Web 瀏覽器中瀏覽至 idm/doc，可從任何 Identity Manager 安裝中看到 Identity Manager 文件集。
Install Pack 安裝更正
前言
在「How to Find Information in this Guide」中移除錯誤的「Appendix H」交互參照。(ID-12369)
第 1 章：Before You Install
- 從「Supported Resource」表格中移除支援的資源 Microsoft Exchange 5.5。此資源已停用。(ID-12682)
- 在「Supported Resources」表格中加入支援的資源 Lotus Notes® 6.5.4 (Domino)。(ID-12226)
- 在多個實例中新加入 JDK 1.5 做為支援的 Java 版本。(ID-12984)
- 在「Supported Resources」表格中將 ERP 系統 SAP 資訊修改為：(ID-12635)
- 在「Supported Resources」表格中將 Red Hat 資訊修改為：
- 在「Supported Software and Environments」中新加入「Repository Database Servers」小節以及下列資訊：(ID-12425)
第 2 章：Installing Identity Install Pack for Tomcat
本章現在支援 Apache Tomcat 應用程式伺服器 4.1.x 或 5.0.x 版本。
第 4 章：Installing Identity Install Pack for WebSphere
- 本章現在說明 Websphere 5.1 Express 和 6.0 的安裝。(ID-12655、12656) 在指定處新加入以下備註和資訊：
備註 以下是安裝 Identity Install Pack 6.0 或更高版本的必要步驟。
4. 變更為中繼目錄，若有以下檔案，請將其刪除：
WEB-INF\lib\cryptix-jce-provider.jar
WEB-INF\lib\cryptix-jce-api.jar
25. 從 WebSphere 下載最新的 jlog package，網址是：
http://www.alphaworks.ibm.com/tech/loggingtoolkit4j
備註 jlog package 現已整合至 WebSphere 6.0 中。使用舊版時才需要下載。
- 由於您必須為此發行版本安裝 JDK 1.4.2，因此「For JDK 1.3.x:」小節將不再適用。該章的「For JDK 1.4」小節應變更為「For JDK 1.4.2」。
第 7/8 章：Installing Identity Install Pack for Sun ONE/Sun Java System Application Server 7/8
- 在「Installation Steps」>「Step 5: Edit the server.policy File」> 範例權限底下新加入以下資訊：(ID-12292)
permission java.io.FilePermission "/opt/SUNWappserver/domains/domain1/applications/j2ee-modules/ idm/config/trace1.log", "read,write,delete";
permission java.io.FilePermission "$(java.io.tmpdir)$(/)*", "read,write,delete";
- 在「Installation Steps」>「Step 5: Edit the server.policy File」> 範例權限下加入下列資訊：
如果您要以 Identity Manager Service Provider Edition 執行，請將以下權限加入上述 server.policy 檔之中。
permission java.lang.RuntimePermission "shutdownHooks";
第 14 章：UnInstalling Applications
在「Remove the Software」>「On UNIX」> 步驟 3 底下的語法範例中移除 _Version_。(ID-7762)
第 15 章：Installing The Applications (Manual Installation)
將「Installation Steps」>「Step 3: Configure the Identity Install Pack Index Database Connection」>「Non-Xwindows Environments」> 步驟 3 下的語法範例更正為：(ID-5821)
3. 使用以下指令設定您的授權金鑰：
cd idm/bin
./lh license set -f LicenseKeyFile附錄 A：Index Database Reference
SQL Server 的說明列已變更為下列內容：
附錄 C：Configuring Data Sources for Identity Manager
- 不支援多重 IIOP URL。(ID-12499) 將「Configuring a WebSphere Data Source for Identity Manager」>「Configuring a Websphere 5 Data Source」>「Configure the DataSource in a Websphere Cluster」底下不正確的資訊移除：
如果應用程式伺服器的連接埠與 BOOTSTRAP_ADDRESS 特性中指定的不同，則 java.naming.provider.url 可指定多重 URL，例如：
iiop://localhost:9812,iiop://localhost:9813。
- WebSphere 第 5 版中所使用的所有 j2c.properties，現於 WebSphere 第 6 版中已納入為 resources.xml 檔案的一部分。增加了有關配置 Websphere 5.1/6.x 資料來源和配置 6.x 認證資料的資訊。移除有關配置 Websphere 4.x 資料來源的資訊。(ID-12767) 變更涉及以下小節：
配置 JDBC 提供者
使用 WebSphere 的管理主控台配置新的 JDBC 提供者。
- 按一下左窗格中的 [資源] 標籤以顯示資源類型清單。
- 按一下 [JDBC 提供者] 以顯示已配置的 JDBC 提供者表。
- 按一下已配置的 JDBC 提供者表上方的 [新增] 按鈕。
- 從 JDBC 資料庫類型清單中選取 jdbc 類型和實作類型。按 [下一步]。
此範例中將使用 Oracle、Oracle JDBC 驅動程式、連線池資料來源。
- 繼續配置一般特性。
- 指定名稱。
- 在 [類別路徑] 欄位中指定包含 JDBC 驅動程式的 JAR 路徑。例如，若要指定 Oracle 精簡型驅動程式，請指定類似於以下路徑的路徑：
/usr/WebSphere/AppServer/installedApps/idm/idm.ear/idm.war/WEB-INF/lib/oraclejdbc.jar
備註 您可以使用管理主控台來指定包含 JDBC 驅動程式的 JAR 路徑。從 [環境] 功能表標籤中，選取 [WebSphere 變數] 功能表項目。在該窗格中，先選擇 [儲存格]、[節點] 及 [伺服器]，為它們定義此環境變數。然後將 JAR 路徑指定為此變數的值。
- 在 [實作類別名稱] 欄位中指定完全合格的 JDBC 驅動程式類別名稱。
- 也可以將提供者的名稱或說明變更為您選擇的任一名稱或說明。
完成後，請按一下表底部的 [確定] 按鈕。右窗格中應顯示您增加的提供者。
若要配置使用此 JDBC 提供者的資料來源，請參閱「Point the Identity Manager Repository to the Data Source」。
配置 Websphere JDBC 資料來源
您必須先配置認證資料，才能完成對資料來源的配置。這些別名包含用於連線 DBMS 的憑證。
配置 5.1 認證資料
然後，配置資料來源。
配置 6.x 認證資料
配置資料來源
備註 如果是在 Websphere 5.x 叢集中配置資料來源，請參閱「Configure the DataSource in a Websphere Cluster」以取得更多資訊。
- 按一下左窗格中的 [資源] 標籤以顯示資源類型清單。
- 按一下 [JDBC 提供者] 以顯示已配置的 JDBC 提供者表。
- 按一下表中的 JDBC 提供者名稱。右窗格顯示為已選取的 JDBC 提供者配置的一般特性表。
- 向下捲動至其他特性表。按一下 [資料來源]。右窗格顯示一個為與此 JDBC 提供者配合使用而配置的資料來源表。
備註 請注意 WebSphere 管理主控台中框架最上方的 [範圍] 欄位。確定 [節點] 和 [伺服器] 是空白的，這樣在 [新增] 和 [刪除] 按鈕下方才會出現供配置使用的儲存格資訊。
- 按一下資料來源表上方的 [新增] 按鈕。右窗格顯示要配置的一般特性表。
- 配置新資料來源的一般特性。請注意以下內容：
- [JNDI 名稱] 是目錄服務中的資料來源物件的路徑。
您必須將此值指定為
setRepo -tdbms -iinitCtxFac -ffilepath 中 -f 引數的值。- [容器管理式的持續性] 應保留為取消核取狀態。Identity Install Pack 不使用企業 Java Bean (EJB)。
- [元件管理式認證別名] 指向將用於存取 DBMS (此資料來源指向該 DBMS) 的憑證。
- 從下拉式清單中選取包含合適 DBMS 憑證集的別名。請參閱「配置 5.1 認證資料」以取得更多資訊。
- 不使用 [容器管理式認證別名]。將此值設為 (none)。Identity Install Pack 將自行連線 DBMS (此資料來源指向該 DBMS)。
- 配置完此面板後按一下 [確定]。[資料來源] 頁面顯示。
- 按一下您建立的資料來源。然後向下捲動至接近底部的其他特性表。按一下 [自訂特性] 連結。
右窗格顯示 DBMS 特定特性表。
- 配置此資料來源的自訂特性。按一下每個特性的連結以設定其值。請注意以下內容：
- [URL] 是唯一的必需特性。此資料庫 URL 識別資料庫實例，且包含 driverType、serverName、portNumber 和 databaseName。您也可以將其中某些特性指定為個別特性。
- 此範例中的 [driverType] 為精簡型。
- [serverName] 為主機名稱 (或 IP 位址)。
- [databaseName] 通常是一個較短的資料庫名稱。
- 對於 Oracle，預設 [portNumber] 為 1521。
- [preTestSQLString] 可能需要配置為 SELECT 1 FROM USEROBJ 之類的值。此 SQL 查詢確認 USERJOB 表是否存在並且可以存取。
- 如果要出於效能調校的目的配置附加特性，還可以從附加特性表中按一下 [連線池] 連結。
附錄 E：Configuring JCE
應出現類似於以下文字的備註：
備註 由於必須為此發行版本安裝 JDK 1.4.2，因此所有支援的環境現在都應包含 JCE 1.2，並且此附錄中的資訊將不再適用。
增訂
第 1 章：Before You Install
- 在「Setup Task Flow」>「Bullet Install and configure the Identity Install Pack software」下加入以下備註：(ID-8431)
備註 在 Unix 或 Linux 系統上：
- 為「Prerequisite Tasks」>「Set Up an Index Database」>「Setting Up SQL Server」> 步驟 3b 加入以下備註：(ID-11835)
備註 $WSHOME/WEB-INF/lib 目錄中需有下列檔案：
db2jcc
db2jcc_license_cisuz.jar or db2jcc_license_cu.jar- 在「Supported Software and Environments」>「Application Servers」下加入以下備註：(ID-12385)
備註 您目前的應用程式伺服器容器必須支援 UTF-8。
第 2 章：Installing Identity Install Pack for Tomcat
- 在「Installation Steps」>「Step 1: Install the Tomcat Software」>「Installing on UNIX」中增加了下列步驟：(ID-12487)
2. 將 mail.jar 和 activation.jar Java 檔案加入 ./tomcat/common/lib 目錄。郵件和啟動 jar 檔位於：
http://java.sun.com/products/javamail
http://java.sun.com/products/beans/glasgow/jaf.html- 在「Installation Steps」>「Step 1: Install the Tomcat Software」>「Installing on UNIX」中增加了下列步驟：(ID-12462)
3. 安裝 Tomcat 以支援 UTF-8 時，將 URIEncoding="UTF-8" 屬性加入 TOMCAT DIRconf/server.xml 檔中的 connector 元素，例如：
<!-- Define a non-SSL Coyote HTTP/1.1 Connector on the port specified during installation -->
<Connector port="8080"
maxThreads="150"
minSpareThreads="25"
maxSpareThreads="75"
enableLookups="false" redirectPort="8443"
acceptCount="100" debug="0" connectionTimeout="20000"
disableUploadTimeout="true"
URIEncoding="UTF-8" />
4. 配置 Tomcat 以支援 UTF-8 時，請同時在您的 java VM 選項中加入 -Dfile.encoding=UTF-8。
第 13 章：Updating Identity Manager
新加入「Identity Manager Upgrade」的交互參照，協助使用者尋找完整的升級資訊。(ID-12366)
第 15 章：Installing The Applications (Manual Installation)
在「Installation Steps」>「Step 2: Install the Application Software」中增加了下列備註：(ID-8344)
備註 自 5.0 SP3 發行版本開始，idmadapter.jar 檔中就包含配接卡類別。若有自訂的配接卡，就必須更新類別路徑。
附錄 B：Configuring MySQL
在「Configuring MySQL」> 步驟 3「Start the MySql process」下增加了下列資訊：(ID-12461)
如果尚未啟動此程序，請使用以下步驟註冊和啟動 MySQL。
在 Windows 系統上，若您是在 c:\mysql 以外的目錄中安裝，則建立包含以下內容且名為 c:\my.cnf 的檔案：[mysqld]
basedir=d:/mysql/
default-character-set=utf8
default-collation=utf8_bin在 Windows 上，安裝並啟動服務：
cd <MySQL_Install_Dir>/bin
mysqld-nt --install
net start mysql附錄 C：Configuring Data Sources for
Identity Manager在「Configuring a WebSphere Data Source for Identity Manager」>「Point the Identity Manager Repository to the Data Source」下增加了下列資訊：(ID-12071)
8. 將儲存庫指向新位置。例如：
lh -Djava.ext.dirs=$JAVA_HOME/jre/lib/ext:$WAS_HOME/lib setRepo
-tdbms -iinitCtxFac
-ffilepath -uiiop://localhost:bootstrap_port
-Uusername
-Ppassword
-toracle icom.ibm.websphere.naming.WsnInitialContextFactory -fDataSourcePath在以上範例中，DataSourcePath 可以是 jdbc/jndiname。bootstrap_port 是 WebSphere 伺服器啟動程式位址連接埠。
-Djava.ext.dirs 選項將 WebSphere 的 lib/ 和 java/jre/lib/ext/ 目錄中的所有 JAR 檔加入 CLASSPATH。這對於 setrepo 指令的正常執行是非常必要的。
請變更 -f 選項，以使其與在配置資料來源時為 [JNDI 名稱] 欄位指定的值相符。請參閱「setrepo Reference」，以取得此指令的更多資訊。
Identity Manager 升級增訂
第 1 章：Upgrade Overview
在「Example Upgrade」小節中增加了下列內容：(ID-12467)
編輯 [角色表單] 中的超級角色欄位時需格外小心。超級角色本身可以是巢式角色。超級角色和子角色欄位指出角色的巢式關係以及角色相關聯的資源或資源群組。套用到使用者時，超級角色則包括與任何指定子角色相關聯的資源。顯示的超級角色欄位指明包含所顯示角色的角色。
第 3 章：Develop the Upgrade Plan
在「Upgrade From Identity Manager 5.x to 6.x」小節中新加入以下內容。(ID-12361)
步驟 2：Update the Repository Database Schema
Identity Manager 6.0 中的模式變更包括引入作業、群組、組織及 syslog 表的新表格。您必須建立這些新表格結構，並移除現有的資料。
備註 更新儲存庫模式之前，先將您的儲存庫表格做完整的備份。
Identity Manager 管理指南增訂
第 4 章：Administration
委託核准
如果您具有核准人權能，則可以在指定的未來某段時間內將核准請求委託給一個或多個使用者 (受委託人)。使用者無需核准人權能即可受委託。
委託功能僅適用於未來的核准請求。現有請求 ([正在等待核准] 標籤下列出的請求) 透過轉寄功能進行轉寄。
若要設定委託，請在 [核准] 區域中選取 [委託我的核准] 標籤。
備註
受委託人可以在有效的委託期間代表您核准任何請求。委託的核准請求會包含受委託人的名稱。
請求的稽核記錄項目
如果已委託請求，則已核准和已拒絕之核准請求的稽核記錄項目會包含您 (委託人) 的名稱。當建立或修改使用者時，對使用者委託核准人資訊的變更將記錄在稽核記錄項目的詳細變更區段中。
第 5 章：Configuration
根據資源變更配置身份識別屬性
身份識別屬性定義了資源上屬性彼此間的關係。建立或修改資源時，會影響這些屬性關係。
儲存資源時，Identity Manager 會顯示 [配置身份識別屬性？] 頁面。在該頁面上，您可以選擇：
重新啟動 [配置身份識別屬性？] 頁面
若此頁面已停用，則使用以下方法之一將其重新啟動：
<Field name='accounts[Lighthouse].properties.displayMetaViewPage'>
<Display class='Checkbox'>
<Property name='label' value='Display Meta View?'/>
</Display>
</Field>配置屬性
在 [根據資源變更配置身份識別屬性] 頁面中，從修改後資源的模式對映中選取屬性，用來做為身份識別屬性的來源和目標。在部分情況下，無法選取 [來源] 與 [目標] 欄中的屬性。如果有下列情況，就無法選取屬性做為來源：
如果有下列情況，就無法選取屬性做為目標：
第 7 章：Security
限制同步運作的登入階段作業
依預設，Identity Manager 使用者可以具有同步運作的登入階段作業。不過，您可以透過變更系統配置物件中 security.authn.singleLoginSessionPerApp 配置屬性的值，來將同步運作階段作業限制為每個登入應用程式一個。此屬性是物件，針對每個登入應用程式名稱 (如管理員介面、使用者介面或 BPE) 皆包含一個屬性。將該屬性的值變更為 true 會強制每個使用者具有單一登入階段作業。
如果已強制，則使用者可以登入多個階段作業；不過，僅最後登入的階段作業保持使用中狀態並且有效。若使用者在無效的階段作業中執行動作，則會自動被強制退出階段作業並終止該階段作業。
第 8 章：Reporting
在「摘要報告」小節，使用者報告的說明中現在包括了按管理員搜尋使用者的功能：(ID-12690)
第 10 章：PasswordSync
Windows PasswordSync 的容錯移轉部署
PasswordSync 的架構有助於消除 Identity Manager 之 Windows 密碼同步化部署中的任何單一故障點。
如果您將每個 Active Directory 網域控制器 (Active Directory Domain Controller, ADC) 配置為透過負載平衡器連線到一系列 JMS 用戶端之一 (見下圖)，則 JMS 用戶端可以向 Message Queue 代理程式叢集傳送訊息，以確保有 Message Queue 發生故障時不會遺失訊息。
備註 Message Queue 叢集可能需要一個用於保留訊息的資料庫 (在供應商的產品文件中應提供有配置 Message Queue 代理程式叢集的說明)。
執行配置為自動容錯移轉之 JMS 偵聽程式配接卡的 Identity Manager 伺服器將連絡 Message Queue 代理程式叢集。儘管該配接卡每次僅在一個 Identity Manager 上執行，但是如果主 ActiveSync 伺服器失敗，伺服器發生故障，則該配接卡將開始在次要 Identity Manager 伺服器上輪詢密碼相關訊息，並將密碼變更向外傳播到下行流程的資源。
不使用 Java Messaging Service 的情況下實作 PasswordSync
要在不使用 JMS 的情況下實作 PasswordSync，可用以下旗標啟動配置應用程式：
Configure.exe -direct
指定 -direct 旗標後，配置應用程式會顯示 [使用者] 標籤。按「配置 PasswordSync」中說明的程序配置 PasswordSync，但下列幾點除外：
若是在不使用 JMS 的情況下實作 PasswordSync，則不需要建立 JMS 偵聽程式配接卡。因此，您應略過「部署 PasswordSync」中列出的程序。如果您要設定通知，可能需要改變「變更使用者密碼」的工作流程。
備註 若在之後執行配置應用程式時沒有指定 -direct 旗標，則 PasswordSync 需要配置 JMS。以 -direct 旗標重新啟動應用程式，以再次略過 JMS。
更正
第 5 章：Resources
在自訂資源類別表格中，ClearTrust 資源配接卡的自訂資源類別已更正如下：(ID-12681)
com.waveset.adapter.ClearTrustResourceAdapter
第 10 章：PasswordSync
在「配置 PasswordSync」小節的「JMS 設定對話方塊」底下，佇列名稱的描述校正如下：
lh 參照
指令語法已經更新，正確指明在指定選項後有一個空格。(ID-12798)
使用 -p 選項時，基於安全性理由，應將 Password 指定為路徑，指向包含密碼的文字檔，而不是在指令行中直接指定密碼。
範例
license 指令
用法
license [options] { status | set {parameters} }
選項
set 選項的參數必須為 -f File 形式。
Identity Manager 工作流程、表單與檢視第 1 章：工作流程
本章中手動操作的討論應包含下列資訊：
若工作項目的 [itemType] 設為精靈，依預設，當離開 WorkItem 檢視時，工作項目會略過取得轉寄核准人的程序。若 itemType 不是精靈，則 Identity Manager 仍會擷取轉寄核准人，除非 CustomUserList 設為 true 以做為與手動操作配合使用之表單的特性。(ID-10777)
若要執行這個動作，請在表單中包含以下程式碼：
<Form>
<Properties>
Property name='CustomUserLists' value='true'/>
</Properties>
第 2 章：工作流程服務
- createView 階段作業工作流程服務的 [引數] 表格不正確。下表說明此服務中可用的引數。
- Identity Manager 提供的 checkStringQualityPolicy 工作流程服務方法，可以針對字串策略檢查指定字串的值。(ID-12428、12440)
名稱
是否必需
有效值
說明
policy
是
識別策略 (字串)
map
否
提供字串不得包含之資料的對映。(對映)
returnNull – (選擇性) 若設為 true，則方法會在成功時傳回空物件。
value
是
指定要檢查的字串的值。(物件)
pwdhistory
否
以大寫字母、加密格式列出使用者的舊密碼。
owner
是
識別檢查的字串值所屬的使用者。
方法將傳回 checkPolicyResult 物件。true 值表示字串通過策略測試。如果字串沒有通過策略測試，方法會傳回錯誤訊息。如果在 map 參數上將 returnNull 選項設為 true，方法會在成功時傳回空物件。
- Identity Manager 現已提供 auditPolicyScan 工作流程服務 (ID-12615)。使用此工作流程服務，可根據指定給使用者的策略來掃描「稽核策略違規」的使用者。如果未指定策略給使用者，Identity Manager 會使用指定給組織的策略 (若有的話)。
此方法採用 view 引數，此引數可為指定的使用者指定使用者檢視。它會傳回 checkPolicyResult 工作流程變數。此變數將包含：
第 3 章：表單
Identity Manager 可以識別顯示中是否需要資源的模式對映中的屬性。[編輯使用者] 表單可以用 * (星號) 識別這些屬性。依預設，Identity Manager 在屬性名稱後的文字欄位之後顯示該星號。(ID-10662)
若要自訂星號的位置，請遵循以下步驟：
第 4 章：FormUtil 方法
此方法傳回的 true 值表示字串通過策略測試。如果字串沒有通過策略測試，方法會傳回錯誤訊息。如果在 map 參數上將 returnNull 選項設為 true，方法會在成功時傳回空物件。
參數
說明
s
指定目前使用者的 Lighthouse 環境 (階段作業)。
organizations
指定一個或多個組織名稱的清單。支援的組織清單包括透過列出所有 ObjectGroup 類型的物件而傳回的內容。
此方法會傳回：
true – 表示目前已取得認證的 Identity Manager 使用者可以控制清單中的任何組織。
false – 表示目前已取得認證的 Identity Manager 使用者不可以控制清單中的任何組織。
第 5 章：檢視
帳號類型
此發行版本的 Identity Manager 可以指定使用者在資源中有不同帳號類型的多個帳號。(ID-12697) 現在，當您指定資源給使用者時，可以指定資源的帳號類型，但有以下限制：
管理員必須先定義資源的帳號類型，才可以建立其與資源的關聯。也必須定義 IdentityRule。(如需身份識別規則的範例，請參閱 samples/identityRules.xml。)
Identity Manager 使用 IdentityRule 子類型來建立規則與帳號類型之間的關聯。此規則根據需要產生 accountId。(這些規則的運作方式與身份識別範本類似，但是在 XPRESS 中實作，並且可以存取 LighthouseContext API)。
請查閱「Identity Manager 管理」，瞭解有關如何使用 Identity Manager 管理員介面為資源指定帳號類型的討論。
略過帳號類型
如果您略過資源的帳號類型，Identity Manager 會指定具向下相容能力的預設帳號類型。然而，若所有資源皆沒有定義帳號類型，便會停用此功能。
預設帳號類型使用身份識別範本。不過，您也可以指定預設類型使用指定的規則，而非身份識別範本。
預設帳號類型是唯一的，使用者可以指定多個該類型的帳號。不過，實際操作時的建議是最好不要指定多個相同類型的帳號。
與檢視相關的變更
Identity Manager 檢視的以下變更支援帳號類型。
- 現在，[資源] 檢視具有 accountType 屬性 (清單)。每個項目皆為具有 identityRule 屬性的物件，該屬性可命名此帳號類型的 accountId 產生規則。
- [角色] 和 [應用程式] 檢視的 resources 屬性現在可以使用合格的資源指定。這些合格指定的語法是 <resource name>|<account type>。
- [使用者] 檢視現在包含 waveset.resourceAssignments 屬性，用來擷取合格的資源指定。(waveset.resources 只包含不合格的參照。) 兩個屬性都可以變更，但實際操作時的建議是只使用 waveset.resourceAssignment 進行更新，而 waveset.resources 用於唯讀目的。)
雖然新增了該功能，但 [使用者] 檢視 accounts 屬性中物件的存取方式仍沒有改變。使用合格的資源名稱來索引 accounts 清單 (例如，accounts[resource|type] 會選取符合該資源和類型組合的資源帳號。如果沒有指定類型，仍可以用 accounts[resource] 存取這些物件。)
- 包括 [取消佈建] 和 [變更密碼] 在內的相關檢視也使用此類定址方式。此清單中的物件現也具有一個新屬性 accountType，用來指定資源帳號的帳號類型。
委託核准人檢視
使用此檢視可以將一個或多個 Identity Manager 使用者指定為現有核准人的委託核准人。這使得核准人可以在指定的一段時間內將他的核准權能委託給使用者，這些使用者本身原來可能不是核准人。高層級的屬性包括：(ID-12754)
備註 [使用者] 檢視也包含這些屬性 (但 name 屬性除外)。這些新屬性包含在 accounts[Lighthouse]. namespace 之中。
name
識別進行委託核准的使用者。
delegateApproversTo
指定要將核准委託給哪一位使用者，有效值包括 manager、selectedUsers 或 delegateApproversRule。
delegateApproversSelected
delegateApproversStartDate
指定核准委託的開始日期。依預設，所選開始日期的具體時間是當天的凌晨 12:01。
delegateApproversEndDate
指定核准委託的結束日期。依預設，所選結束日期的具體時間是當天的晚間 11:59。
[角色] 檢視文件已更新如下。(ID-12390)
角色檢視
用於定義 Identity Manager 角色物件。
登入後，此檢視會啟動管理角色工作流程。依預設，此工作流程只確認儲存庫的檢視變更，但它也會攔截核准和其他自訂設定。
下表列出了此檢視的高層級屬性。
表 1. 角色檢視屬性
name
識別角色的名稱。這與 Identity Manager 儲存庫中角色物件的名稱相對應。
resources
指定在本機指定的資源的名稱。
applications
指定在本機指定的應用程式 (資源群組) 的名稱。
roles
指定在本機指定的角色的名稱。
assignedResources
透過資源、應用程式、角色指定的所有資源的平面清單。
resourceName識別指定資源的名稱。
name識別資源名稱或 ID (最好是 ID)。
attributes識別資源的特性。所有子屬性都是字串並且可以編輯。
表 2. 屬性選項 (角色檢視)
第 6 章：XPRESS 語言
第 8 章：HTML 顯示元件
- SortingTable 元件的說明已修改如下：
用來建立一種表格，表格的內容可依欄標題排序。子元件決定了此表格的內容。每一欄 (由 columns 特性定義) 建立一個子元件。通常，欄是包含在 FieldLoop 之中。
在描繪表格的儲存格時，此元件會遵從子元件的 align、valign 和 width 特性。(ID-12606)
- Identity Manager 現在提供 InlineAlert 顯示元件。(ID-12606)
顯示錯誤、警告、成功或資訊性警示方塊。此元件通常位於頁面的最上方。將子元件定義為 InlineAlert$AlertItem 類型，就可以在單一警示方塊中顯示多則警示。
此顯示元件的特性包括：
- alertType – 指定要顯示的警示類型。此特性決定了要使用的樣式和影像。有效值包括 error、warning、success 及 info。此特性的預設值是 info。此特性只對 InlineAlert 有效。
- header – 指定警示方塊顯示的標題。可以是字串或訊息物件。此特性只對 InlineAlert 或 InlineAlert$AlertItem 有效。
- value – 指定要顯示的警示訊息。其值可以是字串或訊息物件。此特性只對 InlineAlert 或 InlineAlert$AlertItem 有效。
- linkURL – 指定要顯示在警示最下方的選擇性 URL。此特性只對 InlineAlert 或 InlineAlert$AlertItem 有效。
- linkText – 指定 linkURL 的文字。可以是字串或訊息物件。此特性只對 InlineAlert 或 InlineAlert$AlertItem 有效。
- linkTitle – 指定 linkURL 的標題。可以是字串或訊息物件。此特性只對 InlineAlert 或 InlineAlert$AlertItem 有效。
範例
單一警示訊息<Field>
<Display class='InlineAlert'>
<Property name='alertType' value='warning'/><Property name='header' value='Data not Saved'/>
<Property name='value' value='The data entered is not yet saved.
Please click Save to save the information.'/></Display>
</Field>
多則警示訊息alertType 只能在 InlineAlert 特性中定義。其他特性可以在 InlineAlert$AlertItems 中定義。
<Field>
<Display class='InlineAlert'>
<Property name='alertType' value='error'/>
</Display>
<Field>
<Display class='InlineAlert$AlertItem'>
<Property name='header' value='Server Unreachable'/>
<Property name='value' value='The specified server could not
be contacted. Please view the logs for more information.'/>
<Property name='linkURL' value='viewLogs.jsp'/>
<Property name='linkText' value='View logs'/>
<Property name='linkTitle' value='Open a new window with
the server logs'/>
</Display>
</Field>
<Field>
<Display class='InlineAlert$AlertItem'>
<Property name='header' value='Invalid IP Address'/>
<Property name='value' value='The IP address entered is
in an invalid subnet. Please use the 192.168.0.x subnet.'/> </Display>
</Field>
</Field>
- Identity Manager 現在提供 Selector 顯示元件。(ID-12729)
提供一個單值或多值的欄位 (分別類似 Text 或 ListEditor 元件)，並且下方具有搜尋欄位。執行搜尋後，Identity Manager 會在搜尋欄位下方顯示結果，並將結果填入值欄位中。
和其他容器元件不同，Selector 有一個值 (即我們以搜尋結果填入的欄位)。包含的欄位通常是搜尋條件欄位。Selector 實作一個特性以顯示搜尋結果的內容。
特性包括：
- fixedWidth – 指定元件是否有固定寬度 (與 Multiselect 行為相同)。(布林值)
- multivalued – 指明值是清單還是字串。(此特性的值決定是為該值描繪 ListEditor 還是 Text 欄位)。(布林值)
- allowTextEntry – 指明值是必須從提供的清單中選取還是可以手動輸入。(布林值)
- valueTitle – 指定 value 元件上要使用的標籤。(字串)
- pickListTitle – 指定 picklist 元件上要使用的標籤。(字串)
- pickValues – picklist 元件的可用值 (若為空值，則不顯示 picklist)。(清單)
- pickValueMap – picklist 之值的顯示標籤對映。(對映或清單)
- sorted – 指明 picklist 中的值應該進行排序 (若有多個值且值的順序並不重要，也會對值清單進行排序)。(布林值)
- clearFields – 列出選取 [清除] 按鈕時應該重設的欄位。(清單)
以下特性只有在多值的元件中有效：
- ordered – 指明值的順序很重要。(布林值)
- allowDuplicates – 指明值清單是否可包含重複項目。(布林值)
- valueMap – 提供清單之值的顯示標籤對映。(對映)
這些特性僅在單值的元件中有效：
- nullLabel – 指定一個用於指示空值的標籤。(字串)
- 已經修訂有關 Select 和 MultiSelect 元件的說明，新加入了針對 caseInsensitive 特性的討論，具體內容如下。(ID-13364)
MultiSelect 元件
顯示可在其中進行多個選擇的物件，Identity Manager 會將其顯示為兩個緊鄰的文字選擇方塊，其中一個方塊中是定義好的值集，這些值可以移到另一個方塊中。在左側方塊中的值是由 allowedValues 特性定義，通常是透過呼叫 Java 方法 (如 FormUtil.getResources) 動態取得這些值。在右側的多選項方塊中顯示的值則填入了相關聯檢視屬性 (由欄位名稱加以識別) 的目前值。
使用 availabletitle 和 selectedtitle 特性，可以設定此多選項物件中每個方塊的表單標題。
若要使 MultiSelect 元件不使用 applet，則將 noApplet 特性設為 true。
備註 在執行 Safari 瀏覽器的系統上執行 Identity Manager 時，必須自訂所有包含 MultiSelect 元件的表單以設定 noApplet 選項。設定此選項如下：
<Display class='MultiSelect'>
<Property name='noApplet' value='true'/>
...
此顯示元件的特性包括：
- availableTitle – 指定可用方塊的標題。
- selectedTitle – 指定所選方塊的標題。
- ordered – 定義是否可以在文字方塊的項目清單中向上或向下移動所選項目。true 值表示將描繪額外的按鈕，以允許向上或向下移動所選項目。
- allowedValues – 指定與多選項物件左側方塊相關聯的值。此值必須為字串清單。備註：<Constraints> 元素可用來填入此方塊，但目前已停用該元素。
- sorted – 指定兩個方塊中的值都按照字母順序排序。
- noApplet – 指定以 applet 還是一對標準 HTML 選取方塊實作 MultiSelect 元件。預設是使用 applet，它比較善於處理較長的值清單。如需在執行 Safari 瀏覽器的系統上使用此選項的相關資訊，請參閱上一則備註。
- typeSelectThreshold – (僅在 noApplet 特性設為 true 時可用。) 控制隨打即找的選取方塊是否出現在
allowedValue 清單下。當左側選取方塊中的項目數達到此特性定義的臨界值時，選取方塊下方便會出現額外的文字輸入欄位。
當您在此文字欄位中鍵入字元時，選取方塊會捲動至相符的項目 (如果存在的話)。例如，若輸入 w，選取方塊會捲動至以 w 開頭的第一個項目。- width – 指定所選方塊的寬度，以像素為單位。預設值為 150。
- height – 指定所選方塊的高度，以像素為單位。預設值為 400。
- caseInsensitive – 用於執行大小寫不需相符的比較。
Select 元件
顯示單選項物件。清單方塊中的值必須由 allowedValues 特性提供。
此顯示元件的特性包括：
- allowedValues – 指定要顯示在值方塊中的可選取值清單。
- allowedOthers – 若設定了此特性，則表示不在 allowedValues 清單中的初始值也應被容許，並可在無訊息提示的情況下加入該清單。
- autoSelect – 若設定為 true，則當該欄位的初始值為空時，憑藉此特性會自動選取 allowedValues 清單中的第一個值。
- caseInsensitive – 用於執行大小寫不需相符的比較。
- multiple – 若設定為 true，則表示可選取多個值。
- nullLabel – 指定未選取值時，要顯示在清單方塊最上方的文字。
- optionGroupMap – 允許選擇器使用 <optgroup> 標籤，以群組方式描繪選項。將對映格式化，使對映的關鍵字成為群組標籤，且元素成為可選取項目清單。(值必須是 allowedValues 的成員，才可以描繪。)
- size – (選擇性) 指定顯示的最大列數。若列數超過此大小，則會加上捲動軸。
- sorted – 若設定為 true，則對清單中的值排序。
- valueMap – 將原始值對映到顯示值。
該元件支援 command 和 onChange 特性。
- DatePicker 元件的討論中應說明以下新特性。(ID-14802)
DatePicker HTML 元件現在允許您選取不連續的日期。您可以指定日期範圍集，從日曆中挑選特定日期。
DatePicker 實作以下兩個新特性：
SelectAfter – 將顯示在日曆中的可選取日期限制為所輸入日期當天以及之後的日期。此特性值可以是日期字串或 Java 日期物件。
<Property name='SelectAfter' value='**/**/****'/>
SelectBefore – 將顯示在日曆中的可選取日期限制為所輸入日期當天以及之前的日期。此特性值可以是日期字串或 Java 日期物件。
<Property name='SelectBefore' value='**/**/****'/>
不論在何處使用實作 <Display class='DatePicker'> 標籤的表單，請將這些變數加入表單中，用以設定日期範圍。如果您沒有設定這些特性，日曆中的可選取日期就沒有限制。
Identity Manager 技術部署簡介以下對關聯工作流程、表單和 JSP 的論述屬於 Identity Manager 技術部署簡介 (ID-7332) 的架構簡介。
程序執行
如果使用者在某個頁面上的某個欄位中輸入資料並按一下 [儲存]，則檢視、工作流程和表單元件將一起工作來執行處理資料所需的程序。
Identity Manager 中的每個頁面均包含關聯的檢視、工作流程和表單，以執行所需的資料處理。以下兩個表中列出了這些工作流程、檢視和表單的關聯。
Identity Manager 使用者介面程序
下表說明與從以下 Identity Manager [使用者介面] 頁面啟動的程式有關的表單、檢視和工作流程：
管理員介面程序
下表說明與從這些 Identity Manager [管理員介面] 頁面啟動的程式有關的表單、檢視、工作流程和 JSP：
Java Server Pages (JSP) 及其在 Identity Manager 中的角色
下表說明系統隨附的 JSP 及其管理員和使用者介面頁面。
適用於 Identity Manager 使用者介面的 JSP
適用於管理員介面的 JSP
附錄 A：編輯配置物件
在 A-4 頁中，預設 QueryableAttrNames 的清單應同時列出 idmManager。
Identity Manager 6.0 資源參照
- 此文件 PDF 版本中的「Supported Account Attributes」清單 (位於「Resources Reference」>「Active Directory」>「Account Attributes」>「Account Attribute Support」下) 比 HTML 版本中的更新。請參閱 PDF 版本。(ID-12630)
- 位於下列 URL 的「Identity Manager 6.0 Resources Reference 2005Q4M3」的頂層節點沒有指向「Domino」小節的連結：(ID-12636)
http://docs.sun.com/app/docs/doc/819-4520
要找到「Domino」小節，請開啟此節點的「Contents」或下列 URL：
http://docs.sun.com/source/819-4520/Domino_Exchange.html#wp999317
Access Manager 配接卡
「General Configuration」程序中的步驟 5 應說明如下內容：
5. java.security 檔案中若沒有下列幾行，則將這些內容加入該檔案中：
security.provider.2=com.ibm.crypto.provider.IBMJCE
security.provider.3=com.ibm.net.ssl.internal.ssl.Provider各行中 security.provider 之後的編號指定了 Java 對安全性提供者類別的查詢順序，該編號應該是唯一的。在您的環境中，序列號可能與此不同。若您的 java.security 檔案中已有多個安全性提供者，請依上述順序插入新的安全性提供者，然後重新指定現有安全性提供者的編號。請勿移除現有的安全性提供者，也不要包含任何重複的提供者。(ID-12044)
Active Directory 配接卡
Active Directory 支援 thumbnailPhoto (Windows 2000 Server 與更新版本) 和 jpegPhoto (Windows 2003) 二進位屬性。
BridgeStream SmartRoles 配接卡
Identity Manager 現在提供 BridgeStream SmartRoles 資源配接卡，用來佈建 SmartRoles 中的使用者。此配接卡將使用者置於 SmartRoles 的適當組織中，讓 SmartRoles 可以決定這些使用者應該具有哪些業務角色。
從 SmartRoles 擷取使用者時，該配接卡會擷取使用者的業務角色。可在 Identity Manager 中使用這些業務角色來決定應指定給使用者的 Identity Manager 角色、資源、屬性以及存取權。
此外，SmartRoles 可以是使用 Active Sync 執行之使用者變更的來源。您也可以將 SmartRoles 使用者載入 Identity Manager 然後進行調解。
如需有關該配接卡的詳細資訊，請參閱「Sun Java™ System Identity Manager Resources Reference Addendum」。(ID-12714)
ClearTrust 配接卡
資料庫表格配接卡
此配接卡支援 Oracle 中的二進位資料類型，包括 BLOB。對應的屬性必須在模式對映上標示為二進位。範例二進位屬性包括圖形檔、音訊檔以及憑證。
Flat File Active Sync 配接卡
HP OpenVMS 配接卡
Identity Manager 現在提供 HP OpenVMS 資源配接卡，該配接卡支援 VMS 7.0 及更高版本。如需有關該配接卡的詳細資訊，請參閱「Sun Java™ System Identity Manager Resources Reference Addendum」。(ID-8556)
JMS 偵聽程式配接卡
JMS 偵聽程式配接卡現在支援同步訊息處理，而不是非同步處理。因此，「Usage Notes」的「Connections」小節第二段應描述如下：
JMS 偵聽程式配接卡是在同步模式中執行。它會對佇列或 [目標的 JNDI 名稱] 欄位指定的主題目標建立同步訊息用戶。在每次輪詢間隔期間，配接卡會接收並處理所有可用訊息。透過在 [訊息選擇器] 位中定義有效的 JMS 訊息選擇器字串，可以 (選擇性地) 額外限定訊息。
「Message Mapping」小節應包含以下內容：
當配接卡處理合格的訊息時，會使用 [訊息對映] 欄位中指定的機制，將收到的 JMS 訊息先轉換為已命名之值的對映。此結果對映稱為「訊息值對映」。
然後會使用帳號屬性模式對映，將訊息值對映轉換為 Active Sync 對映。如果配接卡有指定的帳號屬性，則配接卡會搜尋訊息值對映中也做為資源使用者屬性出現在模式對映內的關鍵字名稱。若存在，則將值複製到 Active Sync 對映中，但 Active Sync 對映中的項目名稱會轉換成模式對映中 [Identity 系統使用者屬性] 欄所指定的名稱。
如果訊息值對映中有項目不能使用帳號屬性模式對映加以轉換，則訊息值對映中的該項目便會被複製到 Active Sync 對映，並不做任何改變。
LDAP 配接卡
二進位帳號屬性支援
現在支援 inetOrgPerson 物件類別的以下二進位帳號屬性：
可能也支援其他二進位帳號，但尚未進行相關的測試。
停用與啟用帳號
LDAP 配接卡提供了數種可以停用 LDAP 資源帳號的方式。使用以下技術之一可停用帳號。
將密碼變更為不明的值若要利用將密碼變更為不明值的方式停用帳號，請將 [LDAP 啟用方法] 和 [LDAP 啟用參數] 欄位保留為空白。這是停用帳號的預設方法。透過指定新的密碼就可以重新啟用帳號。
指定 nsmanageddisabledrole 角色要使用 nsmanageddisabledrole LDAP 角色停用和啟用帳號，請將 LDAP 資源配置如下：
- 在 [資源參數] 頁面上，將 [LDAP 啟用方法] 欄位設定為 nsmanageddisabledrole。
- 將 [LDAP 啟用參數] 欄位設定為 IDMAttribute=CN=nsmanageddisabledrole,baseContext。(IDMAttribute 會在下一個步驟的模式中指定。)
- 在 [帳號屬性] 頁面上，加入 IDMAttribute 做為 [Identity System使用者] 屬性。將 [資源使用者屬性] 設定為 nsroledn。屬性必須是字串類型。
- 在 LDAP 資源上建立名為 nsAccountInactivationTmp 的群組，然後指定 CN=nsdisabledrole,baseContext 為成員。
現在便可停用 LDAP 帳號了。若要使用 LDAP 主控台進行驗證，請檢查 nsaccountlock 屬性的值。true 值表示帳號已被鎖定。
如果在稍後重新啟用帳號，則會從該角色中移除該帳號。
設定 nsAccountLock 屬性若要使用 nsAccountLock 屬性停用和啟用帳號，請將 LDAP 資源配置如下：
- 在 [資源參數] 頁面上，將 [LDAP 啟用方法] 欄位設定為 nsaccountlock。
- 將 [LDAP 啟用參數] 欄位設定為 IDMAttribute=true。(IDMAttribute 會在下一個步驟的模式中指定。) 例如，accountLockAttr=true。
- 在 [帳號屬性] 頁面上，加入在 [LDAP 啟用參數] 欄位中指定的值，做為 [Identity System 使用者] 屬性。將 [資源使用者屬性] 設定為 nsaccountlock。屬性必須是字串類型。
- 將資源的 nsAccountLock LDAP 屬性設定為 true。
Identity Manager 在停用帳號時會將 nsaccountlock 設定為 true。它也會假設將 nsaccountlock 設定為 true 的預先存在 LDAP 使用者皆已停用。若 nsaccountlock 的值不是 true (包括空值)，系統即會推論使用者已啟用。
在不使用 nsmanageddisabledrole 和 nsAccountLock 屬性的情況下停用帳號如果在您的目錄伺服器上無法使用 nsmanageddisabledrole 和 nsAccountLock 屬性，目錄伺服器仍可使用類似的方法停用帳號，在 [LDAP 啟用方法] 欄位中輸入以下類別名稱。[LDAP 啟用參數] 欄位中要輸入的值則根據類別而定。
主機配接卡 (ACF2、Natural、RACF、Top Secret)
Attachmate Reflection for the Web Emulator Class Library (Reflection ECL) 可用以連線至主機資源。此程式庫與 IBM Host on Demand API 相容。請依照產品所提供的安裝指示作業。接著，請執行「Installation Notes」與「SSL Configuration」中所說明的程序。
安裝注意事項
依照下列步驟，使用 Attachmate Reflection ECL 進行連線設定：
- 在 Identity Manager 資源清單中加入資源，如 Identity Manager 資源參照中所說明。
- 將適當的 JAR 檔案複製到您 Identity Manager 安裝的 WEB-INF/lib 目錄中。
- 在 Waveset.properties 檔案中加入下列定義，以定義將由哪些服務管理終端機階段作業：
serverSettings.serverId.mainframeSessionType=Value
serverSettings.default.mainframeSessionType=Value
Value 可設定如下：
- 當 Attachmate 程式庫安裝到 WebSphere Application Server 時，請將 com.wrq.profile.dir=LibraryDirectory 特性加入 WebSphere/AppServer/configuration/config.ini 檔案中。
如此可讓 Attachmate 程式碼尋找授權檔案。
- 重新啟動應用程式伺服器，讓 Waveset.properties 檔案的修改生效。
執行「SSL 配置」中所說明的步驟。
SSL 配置
Attachmate Reflection for the Web Emulator Class Library (Reflection ECL) 與 IBM Host on Demand API 相容。請依照產品所提供的安裝指示作業。接著執行 Identity Manager 中的下列步驟。
- 若資源沒有名為 [階段作業特性] 的可用資源屬性，請使用 Identity Manager IDE 或除錯頁面為資源物件增加該屬性。在 <ResourceAttributes> 區段中加入下列定義：
<ResourceAttribute name='Session Properties' displayName='Session Properties' description='Session Properties' multi='true'>
</ResourceAttribute>
- 移至資源的 [資源參數] 頁面，然後在 [階段作業特性] 資源屬性中加入下列值：
encryptStream
true
hostURL
tn3270://hostname:SSLport
keystoreLocation
Path_To_Trusted_ps.pfx_fileOracle/Oracle ERP 配接卡
在此次發行中，「Identity Manager Resources Reference」的「Oracle/Oracle ERP」一章分成了兩章。請參閱「Sun Java™ System Identity Manager Resources Reference Addendum」以檢視這兩個新的章節。(ID-12758)
Oracle 配接卡
- 在配接卡表格以及「Identity Manager Resources Reference」第 1 章的 Oracle 配接卡小節中，錯誤地刪除了 Oracle 8i 的支援資訊。Identity Manager 仍支援 Oracle 8i 做為資源。(ID-13078)
- 在該章「Cascade Deletes」小節的步驟 1 中，updateableAttributes 區段名稱已校正為 updatableAttributes，如下所示 (ID-13075)：
- noCascade 帳號屬性指明是否在刪除使用者時執行連鎖式刪除。依據預設，會執行連鎖式刪除。若要停用連鎖式刪除，請在「系統配置物件」的 updatableAttributes 區段中加入一個項目。
- oracleTempTSQuota 帳號屬性的說明應如下所示：
使用者可配置的最大臨時表格空間配額。如果模式對映中顯示此屬性，則一律會對臨時表格空間設定配額。如果從模式對映中移除屬性，則不會對臨時表格空間設定配額。與 Oracle 10gR2 資源通訊的配接卡必須移除此屬性。(ID-12843)
Oracle ERP 配接卡
稽核責任
增加到 Oracle ERP 配接卡的多個屬性可支援稽核功能。(ID-11725)
若要稽核指定給使用者之責任的子項目 (如表單和函數)，請將 auditorObject 加入模式對映。auditorObject 是複雜的屬性，包含一系列 responsibility 物件。responsibility 物件中一般會傳回以下屬性：
- responsibility
- userMenuNames
- menuIds
- userFunctionNames
- functionIds
- formIds
- formNames
- userFormNames
- readOnlyFormIds
- readWriteOnlyFormIds
- readOnlyFormNames
- readOnlyUserFormNames
- readWriteOnlyFormNames
- readWriteOnlyUserFormNames
- functionNames
- readOnlyFunctionNames
- readWriteOnlyFunctionNames
備註 在 fnd_form_functions 表格的 PARAMETERS 欄查詢以下內容之一，即可識別 readOnly 和 ReadWrite 屬性：
如果將 [傳回通訊錄集和/或組織] 資源參數設為 TRUE，則也會傳回以下屬性：
屬性名稱符合模式對映中可以加入的帳號屬性名稱，但 responsibility、setOfBooksName、setOfBooksId、organizationalUnitId、organizationalUnitName 屬性除外。帳號屬性包含指定給使用者之值的彙集。responsibility 物件包含的屬性是責任專屬的。
在 auditorResps[] 檢視中可以存取 responsibility 屬性。以下表單片段會傳回所有指定給使用者的使用中責任 (及其屬性)。
<defvar name='audObj'>
<invoke name='get'>
<ref>accounts[Oracle ERP 11i VIS].auditorObject</ref>
</invoke>
</defvar>
<!-- this returns list of responsibility objects -->
<defvar name='respList'>
<invoke name='get'>
<ref>audObj</ref>
<s>auditorResps[*]</s>
</invoke>
</defvar>
例如：
Oracle EBS 12 支援
Oracle ERP 配接卡支援 Oracle E-Business Suite (EBS) 12 版。根據前述 Identity Manager 資源參照中說明的已安裝 ERP 版本，可能不再需要編輯或加入 OracleERPUserForm 區段的註釋。
FormRef 屬性現在支援下列特性：
您應將這些特性輸入到參照此使用者表單的地方。以 Release 12 的支援為例，[標籤式使用者表單] 可能需要如下內容。
<FormRef name='Oracle ERP User Form'>
<Property name='RESOURCE_NAME' value='Oracle ERP R12'/>
<Property name='VERSION' value='12'/>
<Property name='RESP_DESCR_COL_EXISTS' value='TRUE'/>
</FormRef>SAP 配接卡
Infotype
名稱
支援的子類型
0000
動作
不適用
0001
組織指定
不適用
0002
個人資料
不適用
0006
地址
01 (永久地址)、03 (住家地址)
0105
通訊
MAIL (電子郵件地址)、0010 (網際網路位址)
SAPHRActiveSyncAdapter 現在支援 mySAP ERP ECC 5.0 (SAP 5.0)。
因此，「Resource Configuration Notes」中做了以下變更 (ID-12769)：SAP 資源配接卡
以下資源配置說明僅適用於 SAP 資源配接卡。
若要讓使用者能夠變更其 SAP 密碼，請執行以下步驟：
SAP HR Active Sync 配接卡
以下資源配置說明僅適用於 SAP HR Active Sync 配接卡。
SAP 應用程式連結促動 (SAP Application Link Enabling, ALE) 技術使 SAP 可與外部系統 (如 Identity Manager) 通訊。SAP HR Active Sync 配接卡使用外傳式 ALE 介面。在外傳式 ALE 介面中，基本邏輯系統成為外傳訊息的傳送者以及內送訊息的接收者。當進行資料庫變更時 (如雇用員工、更新職位資料、解雇員工等等)，SAP 使用者可能需要登入基本邏輯系統/用戶端。接收用戶端也必須定義邏輯系統/用戶端。這個邏輯系統將充當外傳訊息的接收者。對於兩個系統之間的訊息類型，Active Syn 配接卡會使用 HRMD_A 訊息類型。訊息類型描述在系統之間傳送之資料的特徵，並與資料的結構相關，也稱為 IDoc 類型 (例如，HRMD_A05)。
若要讓 Active Sync 配接卡從 SAP HR 接收授權輸入，則需透過以下步驟提供 SAP 上所需的配置：
備註 您必須配置 SAP 系統參數以啟用 HRMD_A IDoc 的應用程式連結促動 (Application Link Enabling, ALE) 處理。這樣則可以在兩個應用程式系統之間分布資料，也稱為訊息傳送。
建立邏輯系統
根據您目前的 SAP 環境，您可能不需要建立邏輯系統。您可能只需要修改現有分布模組，做法是將 HRMD_A 訊息類型加入先前配置的模型檢視中。不過，您必須遵循 SAP 對邏輯系統及 ALE 網路配置的建議，這一點很重要。以下說明假設您正在建立新的邏輯系統和新的模型檢視。
指定用戶端給邏輯系統
- 輸入作業事件代碼 SPRO，然後顯示 SAP 參照 IMGproject (或適用於您組織的專案)。
- 根據您使用的 SAP 版本，執行以下步驟之一：
- 若使用 SAP 4.6，按一下 [基本元件] > [應用程式連結促動 (ALE)] > [傳送與接收系統] > [邏輯系統] > [指定用戶端給邏輯系統]。
- 若使用 SAP 4.7，按一下 [SAP Web Application Server] > [應用程式連結促動 (ALE)] > [傳送與接收系統] > [邏輯系統] > [指定用戶端給邏輯系統]。
- 若使用 SAP 5.0，按一下 [SAP Netweaver] > [SAP Web Application Server] > [IDOC 介面/應用程式連結促動 (ALE)] > [基本設定] > [邏輯系統] > [指定用戶端給邏輯系統]。
- 選取用戶端。
- 按一下 [轉至] > [詳細資訊] 以顯示 [用戶端詳細資訊] 對話方塊。
- 在 [邏輯系統] 欄位中，輸入要指定給此用戶端的邏輯系統。
- 在 [用戶端變更與傳輸] 區段中，按一下 [自動記錄變更]。
- 儲存輸入。
建立分布模型
若要建立分布模型：
在 SAP 閘道中註冊 RFC 伺服器模組
在初始化期間，Active Sync 配接卡會在 SAP 閘道中註冊。它使用「IDMRFC」做為其 ID。這個值必須符合在 SAP 應用程式中設定的值。您必須配置 SAP 應用程式，使 RFC 伺服器模組可以建立其控點。若要將 RFC 伺服器模型註冊為 RFC 目標：
- 在 SAP 應用程式中，移至作業事件 SM59。
- 展開 TCP/IP 連線目錄。
- 按一下 [建立 (F8)]。
- 在 RFC 目標欄位中，輸入 RFC 目標系統的名稱。(IDMRFC)。
- 將連線類型設為 T (經由 TCP/IP 啟動外部程式)。
- 輸入新 RFC 目標的描述，然後按一下 [儲存]。
- 按一下 [啟用類型] 的 [註冊] 按鈕。
- 設定程式 ID。我們建議您使用和 RFC 目標相同的值 (IDMRFC)，然後按一下 [輸入]。
- 若 SAP 系統為 Unicode 系統，就必須將連接埠配置為適用 Unicode。按一下 [特殊選項] 標籤，找到 [目標系統中的字元寬度] 區段。其中有 Unicode 和非 Unicode 的設定。
- 使用頂端的按鈕 ([測試連線] 和 [Unicode 測試]) 測試與 Identity Manager 資源的連線。必須啟動配接卡以供測試之用。
建立連接埠定義
連接埠是 IDocs 所傳送至的通訊通道。連接埠描述傳送和接收系統之間的技術連結。您應為此解決方案配置 RFC 連接埠。若要建立連接埠定義：
修改連接埠定義
當您產生夥伴設定檔後，之前輸入的連接埠定義可能是不正確的。為了讓系統正常運作，您需要修改連接埠定義。
執行程序檔的 JDBC 配接卡
Identity Manager 現在提供「執行程序檔的 JDBC」資源配接卡，以支援任何資料庫模式及任何 JDBC 可存取資料庫中的使用者帳號管理。此配接卡也支援 Active Sync 輪詢資料庫中的帳號變更。如需有關該配接卡的詳細資訊，請參閱「Sun Java System Identity Manager Resources Reference Addendum」。(ID-12506)
Shell 程序檔配接卡
Identity Manager 現在提供 Shell 程序檔資源配接卡，以支援對 shell 程序檔 (此程序檔是在資源所在系統上執行) 所控制的資源進行管理。此配接卡為通用的配接卡，因此可配置性很高。
Siebel CRM 配接卡
現在可以建立和更新需要父系/子商務元件瀏覽的 Siebel 物件了。這是個進階功能，通常不會在 Identity Manager 中實作。
此進階瀏覽功能讓您可以選擇性指定在建立和更新子商務元件時所需的以下資訊：
建立及更新動作時可以使用進階瀏覽規則。該規則不可用於其他類型的動作。
若要實作 Siebel CRM 配接卡的進階瀏覽功能，必須執行以下作業：
- 在模式對映中加入一個屬性，該模式對映的資源使用者屬性 (右側) 名為 PARENT_COMP_ID。
- 透過除錯頁面，手動加入以下資源屬性到您資源的 XML 中
<ResourceAttribute name='AdvancedNavRule'
displayName='Advanced Nav Rule'
value='MY_SIEBEL_NAV_RULE'></ResourceAttribute>
用有效的規則名稱取代 MY_SIEBEL_NAV_RULE。
- 寫入進階瀏覽規則。規則中預期應有以下兩個變數：
resource.action — 其值必須為 create 或 update。
resource.objectType — 對於一般帳號維護，此值為 account。
規則必須傳回對映以及一個或多個以下名稱/值對：
$WSHOME/sample/rules/SiebelNavigationRule.xml 中提供了瀏覽規則的範例。
Sun Java System Access Manager 配接卡
安裝與配置 Sun Java System Access Manager (早於 Access Manager 7.0 的版本)
「Installing and Configuring Sun Java System Access Manager」程序的步驟 4 和 8 應描述如下 (ID-13087)：
- 建立一個目錄，用於放置從 Sun Java System Access Manager 伺服器上複製的檔案。在這個程序中，此目錄稱為 CfgDir。Sun Java System Access Manager 的位置稱為 AccessMgrHome。
- 將以下檔案從 AccessMgrHome 複製到 CfgDir。請勿複製目錄結構。
- 在 UNIX 上，可能需要變更 CfgDir 中 jar 檔的權限，以便准許通用的讀取權限。執行以下指令變更權限：
chmod a+r CfgDir/*.jar
- 將下列內容前置於 JAVA 類別路徑中：
- 如果您是使用 6.0 版本，請將 Java 系統特性設為指向您的 CfgDir。使用類似以下的指令：
java -Dcom.iplanet.coreservices.configpath=CfgDir
- 如果您是使用 6.1 或更高版本，請在 CfgDir/AMConfig.properties 檔案中加入或編輯下列幾行：
com.iplanet.services.configpath=CfgDircom.iplanet.security.
SecureRandomFactoryImpl=com.iplanet.am.util.SecureRandomFactoryImplcom.iplanet.security.SSLSocketFactoryImpl=netscape.ldap.
factory.JSSESocketFactorycom.iplanet.security.encryptor=com.iplanet.services.util.
JCEEncryption第一行會設定 configpath。最後三行會變更安全性設定。
- 將 CfgDir/am_*.jar 檔案複製到 $WSHOME/WEB-INF/lib。如果您是使用 6.0 版本，也要將 jss311.jar 檔案複製到 $WSHOME/WEB-INF/lib 目錄。
- 如果 Identity Manager 是在 Windows 上執行，且您是使用 Identity Server 6.0，請將 IdServer\lib\jss\*.dll 複製到 CfgDir，並在您的系統路徑中加入 CfgDir。
備註 若 Identity Manager 與 Sun Java System Access Manager 安裝在不同的系統，請檢查以下錯誤情況。當嘗試連線到 Sun Java System Access Manager 資源時，如果在後續的嘗試中傳回 java.lang.ExceptionInInitializerError 錯誤 (然後是 java.lang.NoClassDefFoundError)，則檢查錯誤的或缺少的配置資料。
同樣，也檢查 java.lang.NoClassDefFoundError 所指示的 jar 檔案。將包含類別之 jar 檔案的類別路徑前置於應用程式伺服器上的 JAVA 類別路徑中。
安裝與配置 Sun Java System Access Manager (7.0 及更高版本，舊有模式)
使用以下步驟安裝與配置舊有模式的資源配接卡。
Sun Java System Communications Services 配接卡
Top Secret 配接卡
[Identity Manager 資源參照] 中關於 Top Secret 配接卡支援重新命名帳號的說明不正確。該配接卡不支援重新命名 Top Secret 帳號。
第 3 章：Adding Actions to Resources
在「Windows NT Examples」一節中，三個範例的 [欄位] 名稱皆未正確定義。請將 accounts[NT].attributes. 的實例替代為 resourceAccounts.currentResourceAccounts[NT].attributes。例如，在「範例 3：Action that Follows the Deletion of a User」一節中，步驟 4 中的 [欄位] 名稱應定義如下：
<Field name= 'resourceAccounts.currentResourceAccounts[NT].attributes.delete after action'>
Identity Manager 調校、疑難排解和錯誤訊息增訂
- 現在，您可以在作業出現問題時使用 com.waveset.task.Scheduler 上的標準追蹤功能來追蹤作業排程程式。
請參閱「Sun Java™ System Identity Manager Tuning, Troubleshooting, and Error Messages」中的「Tracing the Identity Manager Server」，以取得更多資訊。
- 若要替發生於特定輸入方法之下某個層級中的問題除錯，可考慮在方法層級進行追蹤。Identity Manager 現在提供一個功能，可以只追蹤方法及其直接和間接子呼叫。(ID-14967)
若要啟用此功能，可利用 subcalls 修飾詞設定追蹤層級，如下所示：
trace 4,subcalls=2 com.waveset.recon.ReconTask$WorkerThread#reconcileAccount
這會追蹤在層級 4 的 reconcileAccount() 方法，以及所有在層級 2 的子呼叫。
請參閱「Sun Java™ System Identity Manager Tuning, Troubleshooting, and Error Messages」中的「Defining a Trace Configuration」，以取得更多資訊。
更正
您必須為此發行版本安裝 JDK 1.4.2，因此「第 1 章：Performance Tuning, Optimizing the J2EE Environment」中有關從 idm\WEB-INF\lib 目錄移除 Cryptix jars (cryptix-jceapi.jar 與 cryptix-jce-provider.jar) 的指示已不適用 (除非您要從舊版 Identity Manager 進行升級)。
Identity Manager 部署工具更正
第 7 章：Using Identity Manager Web Services
「ExtendedRequest Examples」小節中提供的 launchProcess 範例更正如下 (ID-13044)：
launchProcess
以下範例顯示了 launchProcess 請求的典型格式。(檢視 ─ 程序檢視)。
ExtendedRequest req = new ExtendedRequest();
req.setOperationIdentifier("launchProcess");
req.setAsynchronous(false);
req.setAttribute("process", "Custom Process Name");
req.setAttribute("taskName", "Custom Process Display Name");
SpmlResponse res = client.request(req);
使用 helpToolIdentity Manager 6.0 發行版本新增了一項功能，可讓您搜尋 HTML 格式的線上說明和文件檔案。此搜尋引擎以 SunLabs Nova 搜尋引擎技術為基礎。
使用 Nova 引擎分兩個階段：建立索引和擷取。在建立索引階段，會分析輸入文件並建立要在擷取階段使用的索引。在擷取階段，可取得由在其中找到查詢字詞的上下文組成的「段」。由於段擷取程序需要提供原始的 HTML 檔案，因此這些檔案必須存在於搜尋引擎可存取的檔案系統中。
helpTool 是 Java 程式，可執行兩種基本的功能：
您可從指令行執行 helpTool，如下所示：
$ java -jar helpTool.jar
usage: HelpTool
-d Destination directory
-h This help information
-i Directory or JAR containing input files, no wildcards
-n Directory for Nova index
-o Output file name
-p Indexing properties file
重新建立線上說明索引
用於線上說明的 HTML 檔案壓縮在 JAR 檔案中。您必須將這些檔案擷取到一個目錄下以用於搜尋引擎。請使用以下程序：
- 將 helpTool 發行軟體解壓縮至暫存目錄。(詳細資訊 TBD)
在此範例中，我們將檔案擷取到 /tmp/helpTool。
- 在 UNIX shell 或 Windows 指令視窗中，將此目錄變更為您的 Web 容器中部署 Identity Manager 應用程式的位置。
例如，Sun Java System Application Server 的目錄可能如下所示：
/opt/SUNWappserver/domains/domain1/applications/j2ee-modules/idm
- 將目前的工作目錄變更為 help/ 目錄。
備註 從此目錄執行 helpTool 很重要，否則將無法正確建立索引。此外，您應透過刪除 index/help/ 子目錄中的內容來刪除舊索引檔案。
- 收集用於指令行引數的以下資訊：
目標目錄：
html/help/en_US
備註：請使用您的安裝所適用的語言環境字串。
輸入檔案：
.../WEB-INF/lib/idm.jar
Nova 索引目錄：
index/help
輸出檔案名稱：
index_files_help.txt
備註：檔案名稱並不重要，但是若此檔案已存在，則會結束工具。
索引特性檔案：
index/index.properties
- 執行以下指令：
$ java -jar /tmp/helpTool/helpTool.jar -d html/help/en_US -i ../
WEB-INF/lib/idm.jar -n index/help -o help_files_help.txt -p index/index.propertiesExtracted 475 files.
[15/Dec/2005:13:11:38] PM Init index/help AWord 1085803878
[15/Dec/2005:13:11:38] PM Making meta file: index/help/MF: 0
[15/Dec/2005:13:11:38] PM Created active file: index/help/AL
[15/Dec/2005:13:11:40] MP Partition: 1, 475 documents, 5496 terms.
[15/Dec/2005:13:11:40] MP Finished dumping: 1 index/help 0.266
[15/Dec/2005:13:11:40] IS 475 documents, 6.56 MB, 2.11 s, 11166.66 MB/h
[15/Dec/2005:13:11:40] PM Waiting for housekeeper to finish
[15/Dec/2005:13:11:41] PM Shutdown index/help AWord 1085803878
重新建立文件索引
請使用以下步驟重新建立文件索引：
- 將 helpTool 發行軟體解壓縮至暫存目錄。(詳細資訊 TBD)
在此範例中，我們將檔案擷取到 /tmp/helpTool。
- 在 UNIX shell 或 Windows 指令視窗中，將此目錄變更為您的 Web 容器中部署 Identity Manager 應用程式的位置。
例如，Sun Java System Application Server 的目錄可能如下所示：
/opt/SUNWappserver/domains/domain1/applications/j2ee-modules/idm
- 將目前的工作目錄變更為 help/ 目錄。
備註 必須從此目錄執行 helpTool，否則將無法正確建立索引。此外，您應透過刪除 index/docs/ 子目錄中的內容來刪除舊索引檔案。
- 收集用於指令行引數的以下資訊：
目標目錄：
html/docs
輸入檔案：
.../doc/HTML/en_US
備註：此工具會將 en_US/ 目錄與子目錄複製到目標目錄。
Nova 索引目錄：
index/docs
輸出檔案名稱：
index_files_docs.txt
備註：檔案名稱並不重要，但是若此檔案已存在，則會結束工具。
索引特性檔案：
index/index.properties
- 執行以下指令：
$ java -jar /tmp/helpTool/helpTool.jar -d html/docs -i ../doc/HTML/en_US -n index/docs -o help_files_docs.txt -p index/index.properties
Copied 84 files.
Copied 105 files.
Copied 1 files.
Copied 15 files.
Copied 1 files.
Copied 58 files.
Copied 134 files.
Copied 156 files.
Copied 116 files.
Copied 136 files.
Copied 21 files.
Copied 37 files.
Copied 1 files.
Copied 13 files.
Copied 2 files.
Copied 19 files.
Copied 20 files.
Copied 52 files.
Copied 3 files.
Copied 14 files.
Copied 3 files.
Copied 3 files.
Copied 608 files.
[15/Dec/2005:13:24:25] PM Init index/docs AWord 1252155067
[15/Dec/2005:13:24:25] PM Making meta file: index/docs/MF: 0
[15/Dec/2005:13:24:25] PM Created active file: index/docs/AL
[15/Dec/2005:13:24:28] MP Partition: 1, 192 documents, 38488 terms.
[15/Dec/2005:13:24:29] MP Finished dumping: 1 index/docs 0.617
[15/Dec/2005:13:24:29] IS 192 documents, 14.70 MB, 3.81 s, 13900.78 MB/h
[15/Dec/2005:13:24:29] PM Waiting for housekeeper to finish
[15/Dec/2005:13:24:30] PM Shutdown index/docs AWord 1252155067
