|
| |
| Sun Java[TM] System Identity Manager 7.0 发行说明 | |
Identity Manager 7.0 功能
此发行版的新增功能Sun Identity Manager 7.0 将 Identity Manager、Identity Manager SPE 和 Identity Auditor 这三种产品融合到 Sun Java System Identity Manager 7.0 一种产品中。这种集成解决方案提供了一种稳定且具伸缩性的方法，可在置备和审计过程中应用基于身份的控制。
其他新增功能包括：
功能摘要一节中提供了有关 Identity Manager 7.0 中的新增功能的其他信息。
功能摘要
本节总结了 Identity Manager 7.0 中的新增功能。
安装和更新
管理员界面和用户界面
- 现在，“身份属性”页面将显示“密码”部分，该部分说明了与身份属性相关的密码生成的状态。您可以将 Identity Manager 配置为根据默认值、规则或通过分配可以生成密码的 Identity System 帐户策略来向新用户分配密码。（ID-10274、12560）
- TreeTable 组件现在支持可调整的列。现在，您可以在用户列表和资源列表中通过 CSS 将列宽设置为固定像素或百分比值。您还可以使用鼠标单击并拖动列标题的右边界，来调整列的大小。(ID-11474)
- 现在，可以对帐户和资源树表格中的内容进行排序。(ID-12086)
- 现在，可对最终用户页面的菜单层次结构进行自定义。(ID-12415)
- Identity Manager 现在包含默认的管理员属性，可支持已确立的管理人员-雇员关系。该信息存储在 Identity Manager 用户对象中。(ID-12416)
- 所有页面级错误以及信息消息现在均显示在页面顶部的带有错误或信息图标的框中。以前，这些消息是通过红色文字（错误）或小图标（信息消息）来显示的。(ID-12625)
- 用户现在可以请求授予或删除角色和资源成员资格的访问权限。管理员也可以对下属雇员执行此功能。(ID-13018)
- 现在，通过在 XPRESS 中向 EditForm 组件添加 rowPolarity 属性，您可以更改交互的灰色行和白色行颜色的极性。True 值指默认行为。False 值会反转极性，使第一个表单字段为白色背景。(ID-13971)
- 用户界面现在支持“自行搜索”链接。“通知 Identity System 有关其他帐户的信息”链接已从最终用户主页移动到“配置文件”下导航栏中新增的“自行搜索”选项卡上。(ID-14698)
- 下表列出了此发行版中选项卡和子选项卡的重新排列方式：
审计
审计者
周期性访问查看提供了工具，可自动收集和证明用户当前对重要系统和应用程序的访问权限。该功能可创建相关记录，包含用户当前对一个或多个系统和应用程序的访问权限。每个记录均可根据策略规则自动证明，或路由至相应的人员以进行手动证明(ID-9719)
通常定期执行访问查看，以确保用户不会越权访问重要系统。通过在单个记录中记录用户对多个系统和应用程序的访问数据，查看者可以全面地了解用户，提高了做出准确判断的能力。自动化的过程得到跟踪工具的支持，这些工具可以指示查看已完成的工作量、剩余的工作量以及负责剩余工作的人员。由于查看进行与原有审计策略扫描相集成，因此查看可以执行遵循性检查（审计策略扫描）和访问查看（报告和证明）。
可以自定义访问查看以提供其他自动操作，包括：
Auditor 中的任务划分报告也是新增的，其提供了捕获特定访问冲突（允许用户绕过内部保护）的方法。(ID-12716) 这些冲突在 ERP 和财务系统中最为严重，其中一个冲突违规即可导致财务错误。Auditor 通过违规记录捕获此类冲突，违规记录中指出了用户、系统/应用程序以及包含准确帐户设置（可以推断冲突）的特定冲突。Auditor 任务划分可以通过单个系统/应用程序或多个系统中的帐户设置来检测冲突。
这些冲突在冲突矩阵报告中进行了总结，矩阵中每个单元格后的深入信息提供了详细信息。
表单
HTML 显示组件
Identity Manager 集成开发环境 (Integrated Development Environment, IDE)
Identity Manager 集成开发环境 (Identity Manager IDE) 是一种 Java 应用程序，您可以通过它在部署中查看、自定义以及调试 Identity Manager 对象。
Identity Manager IDE 的主要功能包括：
Identity Manager IDE 是一款完全集成的 NetBeans 插件，用于取代 Identity Manager 的业务进程编辑器 (Business Process Editor, BPE) 应用程序。有关安装和使用 Identity Manager IDE 的详细信息，请参阅 Identity Manager 部署工具中标题为“使用 Identity Manager IDE”的章节。
Identity Manager SPE
- 通过 Identity Manager SPE 访问对象时，不再需要单独的一类上下文。Identity Manager SPE 表单不再需要设置 needSpeContext 属性并通过 :display.speContext 参阅此上下文。(ID-12171)
- 已创建的公共界面，允许客户在执行置备之前以及完成置备之后调用自定义标注。(ID-12173)
- Identity Manager SPE 现在提供了更好的最终用户 JSP 页面示例。(ID-12175)
- Identity Manager 现在提供了可自定义的委托管理及授权模型，可从 Identity Manager 和 Identity Manager SPE 用户服务器进行访问。此模型利用目录属性，与 Identity Manager 组织和权能无关。(ID-12176)
- 现在，您可以在同一 Identity Manager 服务器上运行活动同步和 SPE 同步。但是，请勿在同一资源上运行这两者。(ID-12178)
- 现在可以使用压缩的格式来存储 Identity Manager SPE 用户 XML 属性，从而减少 SPE 用户目录的内存占用。(ID-12186)
- Identity Manager SPE 事务现在可以支持可配置的用户更新一致性级别。现有的事务存储数据库需要再加一列 userId VARCHAR(N)，其中 N 应足够大以包含 Identity Manager SPE 用户 DN 预期的最大长度，外加其他 8 个字符。这种数据库的更改不会在运行升级的脚本时自动发生。(ID-13830)
MetaView
报告
- 现在可将批量操作的结果下载至 CSV 格式的文件。(ID-9297)
- 默认情况下，以下报告将自动划分到由登录的管理员控制的组织集合中，除非通过选择一个或多个应运行报告的组织进行明确覆盖：管理员角色摘要、管理员摘要、角色摘要、用户问题摘要以及用户摘要。已将 org 范围组件从单选组件更改为多选组件。(ID-12116)
- Identity Manager 现在支持使用 Java Management Extensions (JMX) 来监控多种组件。(ID-12405)
- 新报告现在支持管理人员-雇员关系：我的直属部下摘要、我的直接雇员摘要、我的直接和间接雇员摘要和我的直属部下个人。（ID-12416、ID-12689）
- 现在可以自定义使用 UTF-8 字符集以及多字节文本编码的 CSV 报告，因此可以在不支持 UTF-8 编码的应用程序（例如 Microsoft Excel）中显示这种报告。(ID-13574)
系统信息库
- 管理员可以通过将 RepositoryConfiguration 对象的 connectionPoolDisable 属性设置为 true 来禁用 Identity Manager 系统信息库的自动内部连接池。先前设置 com.waveset.repository.ConnectionPoolDisable=true 的方法现已不再使用。(ID-10924)
- Identity Manager 7.0 已取消系统信息库方法签名 #getLastMod(Type, long)。Identity Manager 5.0 SP2 不再使用该方法签名，而改为使用 #getLastMod(Type)。自定义应用程序不应再参考该方法或直接参考 com.waveset.repository 软件包中的任何类或界面。(ID-11761)
- Microsoft SQL Server 的默认 JDBC 驱动程序现在为 Microsoft SQL Server 2005 JDBC 驱动程序。该驱动程序取代了先前的 Microsoft SQL Server 2000 JDBC 驱动程序。这种新增的默认驱动程序改变了 JDBC 驱动程序类名和 SQL Server 数据库 URL 的格式。其还取消了将 "SelectMethod=Cursor" 附加到此类 URL 的要求。(ID-14136)
资源
- Identity Manager 7.0 支持以下资源：
- SecurId 适配器现在可以按照状态检索标记（例如，所有 LOST 标记或所有 ENABLED 标记）。(ID-7646)
- 已增加了对 OS/400 v4r5、v5r2、v5r3 和 v5r4（5.2、5.3 以及 5.4）的支持。（ID-9928、13122）
- 已对 Oracle ERP 适配器增加了多个属性以支持审计功能。(ID-11725)
- 现在，RACF 适配器包含对 listAllObjects 的搜索过滤器支持。(ID-10895)
- 现在，SAP HR 活动同步适配器支持 mySAP ERP ECC 5.0 (SAP 5.0)。(ID-12408)
- SAP 和 SAPHR 适配器现在提供了三个新增资源属性，这些属性可在发生网络故障时提供用于重试 SAP 操作的参数。(ID-12579)
- Oracle ERP 适配器现在支持通讯录 (set of books, SOB) 功能。(ID-12715)
- 现在可对 VLV 排序进行配置。已对 LDAP 资源增加了 VLV 排序属性 (vlvSortAttribute)。如果设置该属性，则值将用于进行排序；如果不设置该属性，则将使用 "uid" 值。(ID-13321)
角色
安全
服务器
SOAP
工作流
此发行版中修复的错误本部分介绍了已在 Identity Manager 7.0 中修复的错误。
安装和更新
管理员界面和用户界面
- 如果用户尝试登录而在其上定义该用户的资源已关闭，则会显示有用的错误消息。(ID-1905)
- 被视为致命错误的消息现在可以按照已配置好的默认消息显示，并且其他信息可记录到 syslog 中。已修改 UNIX 资源适配器以使用该错误消息显示方式。(ID-5495)
- 现在，您可以将浏览器标题栏中的产品名称字符串替换为所选的可本地化的字符串。(ID-10905)
- 已完成的角色同步任务将不再显示任务仍在执行的消息。还为任务提供了统计信息表。现在可以显示已完成任务的错误和异常。(ID-11181)
- 现在，“更改验证问题答案”最终用户页面可以更合理地处理不具有验证问题的用户。(ID-11773)
- 匿名用户登录的收件箱链接现在指向新的最终用户工作项目列表表格。(ID-12816)
- 多选对象现在可在设置了 noApplet=true 和 sorted=true 属性后将可用的值排序。(ID-12823)
- 最终用户登录或退出安全站点时，将不再显示弹出式对话框。(ID-13054)
- 现在，按资源显示帐户密码策略摘要的表单会将内容换行以显示在表格内。以前，摘要信息的显示超出了浏览器窗口的右侧。(ID-13109)
- 在 sysconfig 文件中，security.delegation.historyLength 参数现在可以控制已记录的先前委托数。(ID-13141)
- continueLogin.jsp 的管理员版现在可以正确显示目录消息。(ID-13193)
- 现在，用户在搜索或过滤后取消对资源的编辑时，将不会抛出 null 游标异常。(ID-13434)
- 创建新角色时，“可用资源组”将不再在面板左侧和右侧显示两次。(ID-13573)
- 现在，通过重命名资源并选择“创建并重命名”复制现有资源可以正确复制资源各方面，例如是否启用 ActiveSync。(ID-14175)
- 现在，如果服务提供商主配置中的帐户策略未设置，帐户锁定和解除锁定仍可正常工作。以前，锁定按钮仅在为服务提供商配置了帐户策略时在服务提供商帐户编辑页面上可用。(ID-14181)
表单
Identity Auditor
Identity Manager SPE
本地化
主机
报告
系统信息库
资源
- RFC2253Parser 中标准化的方法现在可以识别并报告无效的 LDAP 标识名 (Distinguished Name, DN)。(ID-10952)
- DblBufferIterator 的 getNextIndex 方法不再访问对象同步之外的支持数组的大小信息。(ID-11129)
- 已改进群集环境中的同步状态。(ID-11250)
- com.waveset.adapter.SiebelResourceAdapter 中的 isPickListAttribute 方法不再错误地标识为跟踪系统中的 isMVGAttribute。(ID-11471)
- LDAP 资源上 Objectclasses to synchronize 活动同步属性的默认值现在默认为 inetorgperson。(ID-11644)
- 现在可以正确创建在活动同步资源上配置的 Flat File Active Sync 日志的最大数目。(ID-11848)
- LDAP 资源模式映射中不再需要 objectClass 属性，活动同步即可发挥作用。应修改扩展 com.waveset.adapter.LDAPResourceAdapter 并覆盖 poll() 和 getUpdateRows(UpdateRow) 方法的自定义资源适配器，以便通过两种方法中的任一种调用 LDAPResourceAdapterBase.ensureObjectClassInSchemaMap()。(ID-11880)
- Domino 资源适配器现在支持将"将 ID 存储在文件中"选项设置为 false 作为一种资源属性，以禁止在磁盘上本地创建用户 ID 文件。但是在创建用户时，仍须提供 ID 文件。(ID-12139)
- Solaris 和 Linux 适配器现在可以保存一年的上次登录信息。(ID-12182)
- Oracle ERP 适配器现在已关闭 Oracle 数据库游标。以前，适配器无法关闭游标，从而在长时间之后导致出现“ORA-01000：已超出打开的最大游标数”错误。(ID-12222)
- 现在可以记录活动同步中锁定帐户或用户的错误。(ID-12446)
- 对于 Domino 资源适配器，通过 NSFNoteComputeWithForm() API 调用同时更新若干用户的 HTTPPassword 不再导致出现 "-551" 网关错误。(ID-12466)
- 对于直接使用 API 而不通过 Identity Manager 的客户，将不再发生网关崩溃。(ID-12481)
- 现在，只要发生阻止 diff 操作而无法进行同步的错误，Flat File Active Sync 适配器均会在活动同步日志（如果已启用）中提供警告消息。(ID-12484)
- 已修改用于创建 Natural 资源适配器帐户的终端仿真，以便 8 字符用户名不再需要使用 Tab 键来选择“复制链接”属性。(ID-12503)
- 修改 AttrParse 对象不再需要重新启动即可使新值生效。(ID-12516)
- 现在，即使由于登录尝试失败而导致 Siteminder 用户被锁定，Siteminder LDAP 适配器仍可以正确执行以下操作。(ID-12824)
- 现在，可以使用添加和删除来更改 LDAP 组的成员资格，而无需重写整个组（即，替换整个 uniqueMember 属性）。(ID-13035)
- 现在，在尝试删除安全 ID 用户前，Identity Manager 取消了管理员权限（如果有）。(ID-13053)
- 已修复 Oracle 表格适配器 (DatabaseTableResourceAdapter) 中的游标溢出。(ID-13111)
- Oracle ERP 资源的 auditorObject 复杂属性语法已修改为包含名称空间，以便于从 GenericObject 中提取信息。该属性的语法现在包含具有职责对象列表的顶级 "auditorResps"。(ID-13302)
- 已改进了 AttrParse 的性能。正常解析不再抛出和捕捉已解析缓冲区中每个字符的异常。(ID-13384)
- 现在，UNIX 适配器的 SecurID 在与 RSA 进行交互操作时可执行 UTF-8 字符编码和解码。(ID-13451)
- 在 Windows NT 资源上通过 Windows NT 资源适配器创建帐户时，“创建”用户结果页面中将不再显示以下错误消息："Error requiring password:put_PasswordRequired():0X80004005:E_FAIL"。(ID-13618)
- 现在可以在更新期间设置 Active Directory PasswordNeverExpires 属性。(ID-13710)
- Identity Manager 7.0 服务器现在通过在删除网关上的连接后调用 notify 来通知等待线程。(ID-14044)
安全
服务器
- 取消了在 Identity Manager 5.0 SP1 发行版中已取消的对“会话”服务器和查看器的引用。(ID-11873)
- 禁止在括号内进行分隔符处理。因此，括号集内的所有字符现在均视为索引或过滤器。注：当前尚不存在转义右括号 "]" 的机制。(ID-12384)
- changelog 文件名现在可在前缀中包含句点 (.)。(ID-12470)
- 任务实例终止现在审计为“终止”操作而非“修改”操作。(ID-12791)
- 已改进创建帐户对象的性能，这也促使协调和置备性能的改进。(ID-13341)
- 使用配置 -> 服务器下面新增的服务器配置设置，您可以设置服务器可并发运行的最大任务数限制。(ID-13343)
工作流
- 现在可以解析对位于同一库中但不以库名称作为前缀的规则名称的嵌套式引用，并且不会出现“未解析规则”错误。(ID-10265)
- 如果使用 notification.rediret 将消息重定向到文件，则将使用 emailNotifier.contentCharset 写入该文件，正如写入消息一样（如果已使用电子邮件发送该消息）。这允许文件包含非 ISO-8859-1 字符。(ID-10331)
- 批准者尝试批准或拒绝已批准或已拒绝的工作项目时，会向工作流消息中添加更多信息。(ID-11045)
- 现在，默认情况下将启用调试器。对于产品部署，建议您通过设置以下系统配置属性禁用调试器："serverSettings.default.debugger.enabled=false"。(ID-14076)
文档
通过在此发行版中将 Identity Auditor 功能和 Service Provider Edition 功能合并到 Identity Manager 中，以下出版物已不再适用：
这些出版物已并入 Identity Manager 管理指南。
修复的其他缺陷
10475, 11052, 12452, 13434, 14178