Caractéristiques de la version 8.0 d'Identity Manager

Cette section des notes de version d’Identity Manager 8.0 contient des informations sur les sujets suivants :

Nouveautés de cette version
Bogues corrigés dans cette version

---

Nouveautés de cette version

Cette section contient des informations supplémentaires sur les nouveautés incluses dans Identity Manager 8.0. Ces informations sont organisées de la manière suivante :

Principales nouveautés
Interfaces administrateur et utilisateur
Audit
Exportateur de données
Formulaires
Éditeur de processus métier d’Identity Manager
Identity Manager Integrated Development Environment (Identity Manager IDE)
Installation
Synchronisation des mots de passe
Rapports
Référentiel
Ressources
Rôles
Scénarios
Sécurité
Serveur
SPML
Synchronisation
Autres

Nouveau patch process Sun

En commençant par la version 7.1 Update 1 d’Identity Manager, les mises à jour contenant des correctifs de bogues importants et signalés comme critiques par les clients sont désormais fournies via un patch process, qui remplace le hot-fix précédent.

Les patchs sont développés, testés et mis à disposition en six semaines. Ces patchs ont un programme d’installation de l’IG ainsi qu’une option d’installation manuelles et mettent à jour les fichiers dans /WEB-INF/lib. Les instructions pour l’installation des patchs seront incluses dans les notes de version des patchs, qui sont distribuées au format PDF. Tous les corrrectifs à la passerelle ou à la synchronisation des mots de passe seront décrits dans les notes de version et devront être mis à jour lors de l’application du patch.

Les patchs d’Identity Manager sont cumulatifs, de sorte que vous devriez rencontrer moins de problèmes avec un seul correctif. Vous devez envisager de passer au niveau de patch le plus récent lorsque vous effectuez une installation ou une mise à niveau vers une version majeure ou mineure. Par exemple, si le patch 3 est disponible quand vous installez la version 8.0 ou effectuez une mise à niveau vers cette version, vous devez appliquer les patch 3 après votre installation ou mise à niveau. Vous n’aurez pas besoin d’installer les patchs 1 et 2 parce que le patch 3 contient toutes les fonctionnalités des patchs précédents.

Le patch process facilite le suivi d’un correctif à l’aide de son numéro de bogue. Toutefois, il arrive qu’un correctif relatif à une ancienne version ne soit pas disponible dans une version plus récente. Indépendamment du processus suivi par votre version actuelle d’Identity Manager, vous devez confirmer que la nouvelle version cible d’Identity Manager contient tous les correctifs dont vous avez besoin.

Quand un nouveau patch est disponible, un communiqué est envoyé au support clientèle. Les patchs sont disponibles via le support clientèle. Pour connaître les derniers patchs disponibles, veuillez contacter le support clientèle de Sun sur http://www.sun.com/service/online/us.

Principales nouveautés

Identity Manager 8.0 contient les nouveautés suivantes :

Amélioration des rôles
Amélioration de la génération de rapports avec l’exportateur de données
Configuration d’attributs

Amélioration des rôles

Identity Manager 8.0 ajoute un système de gestion du cycle de vie des rôles offrant la possibilité de demander l’approbation du changement lors de la création, la modification et la suppression de rôles ainsi que l’application des changement de rôle à tous les utilisateurs assignés. De plus, la gestion du cycle de vie Utilisateur-to-Role a été améliorée en permettant le support pour les assignations de rôles futures et temporaires. Les types de rôles avec des fonctions configurables, y compris par défaut, les rôles métier, les rôles informatiques, les applications et ressources sont maintenant fournis pour encourager les meilleures pratiques en ce qui concerne la gestion des rôles. Par exemple, les rôles métier peuvent contenir des rôles requis par tous, conditionnels pour certains et facultatifs (sur demande ou sur approbation) pour d’autres. Le concepteur des rôles métier a ainsi la possibilité de définir un accès gros grain, tout en délégant à l’utilisateur ou supérieur de l’utilisateur la possibilité de faire un réglage fin de l’accès assigné à chaque utilisateur, dans le cadre d’un seul rôle professionnel.

Amélioration de la génération de rapports avec l’exportateur de données

L’exportateur de données a été ajouté pour permettre à d’autres processus et applications d’utiliser les données de fonctionnement utilisées et produites par Identity Manager. L’exportateur de données permet l’exportation périodique des données d’Identity Manager vers un entrepôt de données géré par le client ou vers des outils tiers de création de rapports ou de veille économique. L’exportation des données est optionnelles et, quand elle est activée, les clients peuvent configurer quand exporter des données et quelles données exporter. Les données exportées peuvent être utilisées pour répondre à des questions historiques du type 'Qui a eu accès à la ressource X et qui a approuvé cet accès ?'. Elles peuvent également être utilisées pour obtenir des rapports sur le comportement opérationnel d’IdM avec le temps, tel que les 'opérations de provisioning par ressource' et les 'temps de réponse des actions manuelles de flux de travaux'. La dissociation des données de fonctionnement (conservées dans le référentiel d’Identity Manager) et des données historiques (exportées par l’exportateur de données) donne à l’utilisateur un contrôle explicite sur le cycle de vie de ces données. La mise à disposition de données documentées et conformes à un schéma permet à l’utilisateur de construire et de réaliser des analyses qui resteront valides dans les versions futures d’Identity Manager.

Configuration d’attributs

Les attributs Étendu, Interrogeable et Récapitulatif peuvent maintenant être configurés pour les rôles et pour les utilisateurs. La nouvelle configuration des attributs étendus prend en charge des spécifications de syntaxe de valeur (STRING, INT, DATE ou BOOLEAN), où l’attribut peut avoir une seule ou plusieurs valeurs, ainsi qu'un texte de description de l’attribut.

Interfaces administrateur et utilisateur

Les utilisateurs peuvent maintenant personnaliser le formulaire de connexion à questions et le formulaire de connexion anonyme depuis la page de configuration des mappages des formulaires et processus. (ID-4697)
L’interface d’administration des rôles prend maintenant en charge la nouvelle fonctionnalité des rôles. Pour plus de détails, reportez-vous au chapitre « Rôles et Ressources » de l’ouvrage Identity Manager Administration 8.0. (ID-15518)
Par défaut, les schémas des processus ont été désactivés dans cette version d’Identity Manager. Les schémas des processus peuvent être activés en modifiant l’objet Configuration système et en redémarrant votre serveur (vos serveurs) d'application. Pour des instructions, reportez-vous à la section « Activation des schémas des processus » dans Identity Manager Administration 8.0. (ID-16337)
Un système de sauvegarde en option a été ajouté à la page d’édition de la stratégie de réconciliation. Cette option évalue le nombre de comptes manquants sur une ressource et, si un seuil est franchi, évite au programme de réconciliation de supprimer leur lien. Pour plus de détails, reportez-vous au chapitre « Chargement et synchronisation des données » dans l’ouvrage Identity Manager Administration 8.0. (ID-16391)
Le comportement d’Identity Manager a changé pour les utilisateurs avec des éléments de travail en attente, qui doivent être supprimés d’Identity Manager. Pour plus de détails, reportez-vous au chapitre « Administration », section « Gestion des éléments de travail », paragraphe « Délégation à des utilisateurs supprimés » dans Identity Manager Administration 8.0. (ID-16417)
Lorsque vous définissez un AdminRole, vous pouvez spécifier l’étendue du contrôle pour exclure toutes les organisations filles contrôlées et les objets qu’elles contiennent en cochant la case Exclure toutes les organisations filles contrôlées et les objets contenus. Si cette case n’est pas cochée, un utilisateur bénéficiant de l’AdminRole aura les capacités associées sur toutes les organisations filles et leur contenu. (ID-16859)
Maintenant, les rôles Admin seront affichés sous forme de noms dans les résultats des recherches. (ID-17130)
Les pages de résultats dans l’interface utilisateur final d’Identity Manager 8.0 ont été simplifiées pour afficher le message d’état. Les paramètres de mise à niveau par défaut conservent les schémas des processus d’origine, tandis que les nouvelles installations affichent le message d’état. L’option des schémas des processus peut être activée par défaut en cliquant sur Configure->Utilisateur Interface et en activant le paramètre ‘Enable End-Utilisateur Process Diagrams’.

Pour activer les schémas des processus dans l’interface utilisateur final, les schémas des processus doivent être activés pour le produit dans son ensemble. Pour plus d’information sur l’activation des schémas des processus pour le produit dans son ensemble, reportez-vous à ID-16337. (ID-17365)

Le formulaire de connexion de l’utilisateur final a été simplifiée et remanié pour faciliter son utilisation.
Le JSP utilisateur/login.jsp a été modifié ; par conséquent, toutes les personnalisations utilisateur de ce fichier devront être fusionnées manuellement lors de la mise à niveau. (ID-17368)
Le nouveau formulaire de changement du mot de passe de l’utilisateur final permet aux utilisateurs de changer leur mot de passe. Les stratégies de mot de passe pour toutes les ressources assignées à l’utilisateur sont regroupées et résumées dans ce formulaire et les changements de mot de passe s’appliquent à toutes les ressources assignées. Le formulaire original de changement de mot de passe de base doit être spécifié pour les déploiements dans lesquelles les utilisateurs doivent sélectionner les ressources à appliquer au changement de mot de passe. (ID-17371)
Le message d’erreur présenté aux utilisateurs à la connexion pour leur demander de répondre aux questions d’authentification est maintenant affiché sous forme d’avertissement. (ID-17549)
Si la fonction d’inscription anonyme est activée, l’interface utilisateur final n’affiche plus le bouton « Demander un compte ». À sa place, apparaît le message « First time user? » suivi d’un lien vers « Demander un compte ». Des informations supplémentaires sont affichés sous les lien. Le texte affiché sur cette page est personnalisable. Pour plus de détails, reportez-vous à l’ouvrage Présentation du déploiement technique d’Identity Manager. (ID-17582)
Le composant d’affichage DatePicker dispose maintenant d’une propriété disableTextInput, qui peut être utilisée pour éviter l’entrée de données dans des champs texte et obliger l’utilisateur à sélectionner une date dans le calendrier contextuel. (ID-17586)

Audit

Les entrées des journaux d’audit qui décrivent des actions de provisioning des comptes de ressources sont maintenant visibles aux administrateurs d’audit dans les groupes d’objet qui contiennent les ressources affectées, que ces groupes contiennent ou non l’utilisateur qui est le sujet de l’action. (ID-17724)
Les événements de notification par e-mail sont maintenant audités. L’interfaceAdministrateur propose un nouveau groupe d’audit sur la page de configuration d'audit (Configure > Audit) appelé Gestion d’événements. (ID-17734)

Exportateur de données

L’exportateur de données permet l’exportation périodique des données d’Identity Manager vers un entrepôt de données géré par l’utilisateur pour leur traitement ultérieur.

Formulaires

Les champs ayant une valeur de propriété « confirmer » qui se réfère à un composant source (par exemple, le champ Confirmer mot de passe du formulaire utilisateur à onglets) ne présentent plus automatiquement la valeur du composant source quand le formulaire est soumis au serveur et la valeur du composant de confirmation est nulle. À cause de ce changement, s’assurer que toute paire de champ source/confirmation ayant une expression par défaut appliquent à la fois l’expression au champ source et au champ de conformation. (ID-17838)

Éditeur de processus métier d’Identity Manager

L’éditeur de processus métier (BPE, Business Process Editor) est désapprouvé et sera éliminé dans la prochaine version majeure d’Identity Manager. Utilisez à la place l’environnement de développement intégré Identity Manager (Identity Manager IDE). (ID-17510)

Identity Manager Integrated Development Environment (Identity Manager IDE)

L’application environnement de développement intégré Identity Manager (Identity Manager IDE) est maintenant disponible sur https://identitymanageride.dev.java.net. Vous trouverez également sur ce site des instructions pour l’installation, la configuration et la migration de projets. (ID-17700)

Installation

Cette version d’Identity Manager ne prend plus en charge les serveurs d’application suivants : (ID-16369)
Apache Tomcat Version 4.1.x
BEA Weblogic Express 8.1
BEA Weblogic Server 8.1
IBM Websphere Application Server - Express version 5.1.1
IBM WebSphere® 6.0
Sun ONE Application Server 7

Synchronisation des mots de passe

Les versions de PasswordSync antérieures à la 7.1.1 doivent être mises à niveau vers la version 7.1.1 au minium sur tous les contrôleurs de domaines.

La prise en charge du rpcrouter2 servlet a été désapprouvée dans la version 8.0 et sera supprimée dans une version future. Les versions 7.1.1 et suivantes de PasswordSync prennent en charge le nouveau protocole.

Pour plus d'informations sur l’installation de PasswordSync, reportez-vous à l’ouvrage Identity Manager Administration.

Les programmes d’installation sont différents pour les versions 32 bits et 64 bits de PasswordSync. Le programme d’installation 32 bits pourra uniquement être exécuté sur les versions 32 bits de Windows et la version 64 bits uniquement sur les versions 64 bits de Windows. L’exécution du programme d’installation sur la version incorrecte déterminera une erreur. (ID-17290)

Rapports

Dans Identity Manager, les rapports d’utilisation et les rapports de violation des règles d’Identity Manager comprennent maintenant des graphiques au format PDF à télécharger. (ID-10719)
Un nouveau rapport appelé « Rapport du journal d’audit d’utilisateur individuel » est maintenant disponible. Comme avec les rapports des journaux d’audit, le rapport du journal d’audit d’utilisateur individuel se base sur des événements capturés dans le journal d'audit du système. Toutefois, ce rapport invite l’utilisateur à faire un rapport et recense toutes les activités réalisées sur cet utilisateur. Pour plus de détails, reportez-vous au chapitre « Génération de rapports » dans l’ouvrage Identity Manager Administration 8.0. (ID-16976)
L’AuditReportTask (et tout rapport qui utilise le LogRecordFormatter) peut maintenant sélectionner les colonnes à afficher sur le rapport. Utilisez les attributs useCustomColumns et customColumns dans la définition des tâches et le modèle de tâche. (ID-17712)
Vous pouvez maintenant personnaliser les rapports de manière à ce que les administrateurs uniquement autorisés à exécuter les rapports aient la possibilité de spécifier les paramètres des rapports avant leur exécution. (ID-17733) Cette modification permet à ces administrateurs de spécifier les paramètres des rapports avec leur exécution ou avant le téléchargement d’un fichier .csv ou .pdf. Identity Manager n’enregistre pas les modifications apportées de cette manière à la définition des rapports.

Pour utiliser cette fonctionnalité avec des rapports existants, ajoutez alwaysProcessForm (défini sur true) au modèle de tâche. Pour ajouter cette fonctionnalité à des nouveaux rapports autres que le rapport du journal d’audit utilisateur individuel, ajoutez un champ appelé alwaysProcessForm (défini sur true) au formulaire de lancement de la définition des tâches.

L’administrateur qui exécute un rapport avec alwaysProcessForm (défini sur true), doit être autorisé à extraire les données souhaitées du référentiel. Par exemple, si le rapport concerne les rôles, l’administrateur doit avoir la possibilité d’obtenir une liste des rôles disponibles.

Vous pouvez sélectionner les colonnes à afficher dans le rapport des tâches du rapport d’audit d’utilisateur individuel (et tout rapport dont l’exécuteur est com.waveset.report. AuditReportTask)en travaillant avec les attributs useCustomColumns et customColumns dans la définition des tâches et le modèle de tâche. Tout rapport autre que le rapport d’audit d’utilisateur individuel exigera la mise à jour des objets de définition des tâches et de modèle de tâche pour y inclure la fonction customColumns de personnalisation des colonnes. (ID-17744)
useCustomColumns -- (Booléen) Spécifie si la fonction de personnalisation des colonnes est activée.
customColumns -- (Map) Spécifie les colonnes à inclure dans le rapport, où key identifie la clé du catalogue des messages et value représente la valeur du catalogue de messages.

Consultez, par exemple, le rapport d’audit d’utilisateur individuel.

Des boutons de téléchargement sont maintenant disponibles sur la page principale des rapports pour un administrateur IDM administrateur bénéficiant uniquement de la possibilité d’exécuter des rapports d’audit. (ID-17881)

Référentiel

Les installations d’Identity Manager qui utilisent Oracle comme référentiel offrent en option la possibilité de convertir le champ compteAttrChanges dans le tableau des journaux d’audit de VARCHAR(4000) à CLOB. Cette modification est facultative et doit uniquement être effectuée si vous avez décelé des erreurs de troncation dans le journal d’audit. L’exemple de script DDL se trouve dans web/sample/convert_log_acctAttrChangesCHAR2CLOB.oracle.sql. Veillez à sauvegarder les tableaux affectés avant de lancer le script de conversion. (ID-17343)

Ressources

Nouveaux adaptateurs de ressources

Les nouvelles versions de ressources suivantes ont été ajoutées à cette version :

L’adaptateur de ressources Sybase ASE remplace l’adaptateur de ressources Sybase désapprouvé. L’adaptateur Sybase ASE offre la possibilité de gérer les utilisateurs dans plusieurs bases de données. (ID-16872)

Mises à jour de l’adaptateur de ressources

Les adaptateurs pour mainframe prennent en charge IBM Host on Demand V10. (ID-6419)
L’assistant de ressources de l’adaptateur pour Microsoft SQL Server simplifie maintenant la sélection des bases de données et maintient automatiquement en conséquence les attributs userName$(dbname) et roles$(dbname) dans le schéma. (ID-8546)
Les adaptateurs SAP peuvent maintenant afficher des messages internationalisés. (ID-9077)
La classe com.waveset.adaptateur.AttrParse a été supprimée. Utilisez com.waveset.object.AttrParse à sa place. (ID-11870)
Les adaptateurs UNIX prennent maintenant en charge les connexions SSHPubKey. Cette nouveauté permet aux utilisateurs de se connecter à des hôtes distants sans entrer de mot de passe pour une station de travail de confiance. (ID-11959)
L’adaptateur SAP peut provisionner n’importe quel tableau SAP appelé par BAPI_USER_CREATE1 et BAPI_USER_CHANGE, notamment les tableaux GROUPES et PARAMÈTRE. (ID-12217)
Le nom d’un compte peut maintenant inclure le signe « @ » tant que la ressource qui définit le compte le permet. (ID-12383)

Les noms de ressources et les ID de ressources ne doivent pas contenir le signe « @ ». Si un nom de ressource ou un ID de ressource contient le signe « @ », Identity Manager ne peut pas analyser correctement l’ID de la vue.

Un nouvel attribut de compte booléen TSO.Delete Segment a été ajouté aux ressources RACF et RACF_LDAP. Si cet attribut est défini sur true, le segment TSO sera supprimé de l’utilisateur RACF. (ID-13347)

Si vous faites une mise à niveau et voulez inclure cet attribut, ajoutez l’élément suivant à la section AccountAttributes de la définition des ressources :

<AccountAttributeType id='<next ID in sequence>' name='Delete TSO Segment' syntax='boolean' mapName='TSO.Delete Segment' mapType='boolean' writeOnly='true'>

Les adaptateurs RACF et RACF LDAP peuvent être configurés pour la prise en charge d’attributs qui ne sont pas dans les segments pris en charge par défaut. (ID-13351)
L’adaptateur de ressources SAP renvoie maintenant la liste des types d’utilisateur et des groupes d’utilisateurs disponibles. (ID-16123)
Il est maintenant possible d’utiliser la même passerelle pour le provisioning et l’authentification d’intercommunication des comptes NetWare. Pour plus d’informations sur la mise en œuvre de cette fonction, reportez-vous à Identity Manager Resources Reference. (ID-16584)
Le paramètre de ressource Ignore Siebel 8.0 nextRecord() Error permet à l’adaptateur Siebel CRM d’ignorer l’erreur nextRecord() survenue sur Siebel 8.0. Pour en savoir plus sur cette erreur, consultez l’alerte Siebel 1315. (ID-16779, 18159)
L’adaptateur SAP ne tente pas de renommer les comptes quand l’attribut de ressource Enable CUA est défini sur true. (SAP ne prend pas en charge les changements de noms en mode CUA.) (ID-16986)
L’adaptateur de ressources de la table de base de données prend maintenant en charge le changement de noms des comptes. (ID-16993)
Le paramètre de ressource Nombre de lectures utilisateur par connexion a été ajouté à l’adaptateur SAP. Ce paramètre assure la libération de la mémoire en temps voulu. (ID-17017)
L’adaptateur de ressources Solaris peut maintenant obliger les utilisateurs à changer leurs mots de passe lors de la connexion suivante. Pour activer cette fonction, ajoutez expirePassword à la colonne Attribut utilisateur Identity System de la carte schématique et force_change à la colonne Attribut d’utilisateur de ressources. Cet attribut doit être défini sur le type chaîne. (ID-17032)
Les adaptateurs SAP, SAP HR, et AccessEnforcer (sous-jacents à l’implémentation SAP) prend maintenant en charge SNC (Secure Network Communications). Pour plus d’informations sur l’implémentation de cette fonction, reportez-vous à Identity Manager Resources Reference. (ID-17059)
Le pool Identity Manager incorporé pour les connexions JDBC a été amélioré pour prendre en charge un délai d'attente inactif maximum. Les connexions qui restent inutilisées dans le pool pendant une durée supérieure au délai d’attente inactif sont fermées et rejetées. (ID-17107)

Pendant une mise à niveau vers la version 8.0, les instances des ressources existantes des adaptateurs suivants seront altérées pour obtenir un délai d'attente inactif maximum de 600 secondes (10 minutes) :

Table de base de données
Microsoft SQL Server
MIIS
Oracle ERP
Oracle
JDBC sous forme de script
Sybase ASE

Les adaptateurs de ressources personnalisés qui étendent JdbcRessourceAdapter peuvent également tirer profit de la nouvelle fonction en ajoutant un nouvel attribut de ressource nommé idleTimeout.

La page debug/Show_JDBC.jsp a été améliorée pour afficher des données supplémentaires sur les délais d'attente inactifs.

L’adaptateur SAP de Identity Manager fournit maintenant les attributs de compte l’accountLockedNoPwd et accountLockedWrngPwd. L’attribut accountLockedNoPwd indique si le compte est verrouillé parce que l’utilisateur n’a pas de mot de passe. L’attribut accountLockedWrngPwd ndique si le compte est verrouillé à cause de tentatives d’accès échouées. (ID-17296)
La méthode sendKeys(EncryptedData) a été ajoutée à la classe HostAccess et peut être utilisée pour éviter les mots de passe de connexion. (ID-17544)
L’adaptateur de la table de base de données gère correctement le type de données d’horodatage Oracle si vous cochez la case Native Timestamps sur la page des paramètres de ressources. (ID-17551)
Un nouveau paramètre de ressource, Délai de réception, est maintenant disponible sur l’adaptateur JMS. Il vous permet de configurer le temps pendant lequel l’adaptateur attendra un message entrant avec la fin de l’interrogation. La valeur par défaut est 10 secondes. (ID-17935)
L’adaptateur JMS Listener établit maintenant une nouvelle connexion pour chaque interrogation. (ID-17941)
L’adaptateur JMS Listener peut maintenant être surveillé avec Java Management Extensions (JMX). (ID-17943)
Les mises à jour des mots de passe vers NDS Groupwise gère maintenant correctement les mots de passe chiffrés. (ID-18020)
Un paramètre de ressource, Étendue de la recherche, a été ajouté pour les ressources de Sun Access Manager en mode legacy. Cet attribut spécifie l’étendue des recherches des objets Access Manager. Les valeurs correctes sont oneLevel et subTree. subTree est la valeur par défaut. (ID-18079)

Rôles

Les propriétaires peuvent être spécifiés pour chaque rôle de façon statique ou dynamique avec une règle. (ID-10602)
Lorsque vous importez des rôles contenant des liens pointant vers des super rôles existants, Identity Manager met dorénavant à jour les rôles existants avec des liens renvoyant aux rôles que vous venez d’importer. (ID-15482)

Identity Manager détecte et crée des liens à partir de super rôles existants jusqu’aux sous-rôles qui y font référence. Lors des mises à niveau, Identity Manager appelle la classe RoleUpdater utilisée pour réparer les rôles.

Vous pouvez mettre à jour des rôles en dehors de la procédure de mise à niveau en important un nouveau fichier RoleUpdater.xml situé dans sample/forms/RoleUpdater.xml. Par défaut, Identity Manager ajoute les liens pointant vers les sous-rôles lors des mises à niveau ou lors de l’importation du fichier RoleUpdater.xml.

Pour désactiver cette nouvelle fonctionnalité, définissez l’attribut RoleUpdater attribute nofixsubrolelinks sur true. Par exemple :

<MapEntry key='nofixsubrolelinks' value='true' />

Pour des informations connexes sur la mise à jour automatique des rôles lors de l’importation, consultez le bogue ID-15053.

La gestion des rôles dans Identity Manager a fait l’objet d’une révision majeure. Une nouvelle fonctionnalité, qui a été ajoutée, améliore fortement la possibilité de gestion du cycle de vie des rôles, ainsi que de gestion du cycle de vie Utilisateur-à-Rôle. Identity Manager prend désormais en charge quatre types de rôles : rôles métier, rôles informatiques, applications et ressources. Les organizations qui passent à la version 8.0 d’Identity Manager à partir d’une version précédente verront automatiquement leurs rôles existants se convertir er rôles informatiques. Pour des informations détaillés sur la logique de fonctionnement des rôles dans Identity Manager 8.0, consultez le chapitre « Rôles et Ressources »dans Identity Manager Administration 8.0. (ID-17677)
L’interface d’administration des rôles prend désormais en charge l’application de changements de rôles aux utilisateurs assignés. (ID-17719)
Les rapports de rôles et de sommaires utilisateurs contiennent davantage d’informations sur les rôles et les attributions de rôles. (ID-17751)
Identity Manager prend désormais en charge les valeurs d’attribut étendu sur les rôles. (ID-17770)

Scénarios

Identity Manager 8.0 ne comprend pas le scénario des services de communication Sun qui se trouvait précédemment dans idm/sample/scenario1 ni le scénario HR Database/Active Directory Deployment qui se trouvait précédemment dans idm/sample/scenario2. Les références à ces scénarios ont été supprimées dans la Présentation du déploiement technique d’Identity Manager. (ID-18519)

Sécurité

L’interface de connexion par questions fonctionne maintenant naturellement avec l’authentification d’intercommunication en utilisant les ressources LDAP et AD. Avant, quand un utilisateur oubliait son mot de passe, il était invité à entrer son ID de compte Identity Manager (qu’il ne connaissait d’ailleurs peut-être pas) au lieu de l’ID de compte de ressource. La page interactive de repêchage invite maintenant l’utilisateur à entrer à nouveau son ID de compte de ressource et son mot de passe, alors que seul le mot de passe était précédemment requis. (ID-9616)
L’authentification SSH permet désormais une double authentification par clé privée et clé publique. Cette nouvelle fonction permet aux utilisateurs de se connecter à des hôtes distants sans entrer un mot de passe pour une station de travail de confiance. (ID-11959)
Les mots de passe enregistrés dans l’historique des mots de passe de l’objet utilisateur seront désormais enregistrés dans un casier original. La comparison établie lors de l’application des règles relatives aux mots de passe reste insensible à la casse de sorte que ce changement n’a pas de répercussion sur le comportement du produit. (ID-12705)
Cette version comprend une fonction de sécurité pour éviter les attaques de type CSRF (Cross-site Request Forgery). La fonction n’est pas activée par défaut. Des cookies sont nécessaires pour utiliser cette fonction. Si vos cookies sont désactivés pour des motifs de sécurité, n’activez pas cette fonction parce que vous ne pourrez pas utiliser Identity Manager. Le cookie ne contient pas de données sensibles pour l’utilisateur et ne reste en mémoire que pendant la durée d’une session utilisateur. (ID-16703)

Pour activer la sécurité, il faut éditer l’objet de configuration système et changer security.csrfGuardToken.enable sur true. Pour des explications sur l’édition de l’objet de configuration système, consultez Identity Manager Administration 8.0.

Identity Manager contient maintenant une nouvelle capacité basée sur les tâches nommée Debug que les pages de débogage d’Identity Manager exigent avant que les utilisateurs ne puissent entrer et exécuter des opérations. Dans les versions antérieures, les utilisateurs avec certaines capacités pouvaient potentiellement accéder à des opérations et les exécuter depuis les pages de débogage sans autorisation particulière. Aujourd’hui, les utilisateurs qui n’ont pas la capacité de débogage recevront une page d’erreur. chantal Par défaut, cette capacité est attribuée aux utilisateurs administrateur et configurator. En plus, les capacités d’administrateur Waveset et d’administrateur de la sécurité comprennent cette nouvelle possibilité de débogage. (ID-16999)
La possibilité d’établir un délai d’expiration pour les comptes verrouillés suite à plusieurs réponses incorrectes aux questions posées lors de la connexion a été ajoutée. Pour implémenter cette fonction, sélectionnez les options suivantes :
Sous Sécurité / Stratégies, sélectionnez une stratégie à éditer.
Sous « Options de stratégie de compte utilisateur » recherchez la nouvelle option : « Account lock created by failed question logins expires in » qui peut avoir une valeur et une unité de temps sélectionnées. Une valeur 0 indique que les verrouillages pour réponses incorrectes n’expireront jamais. (ID-17139)
Les compteurs d’échecs de connexion suite à l’entrée d’un mot de passe incorrecte ou d’une mauvaise réponse ne sont pas réinitialisés à l’expiration du verrouillage automatique du compte. Les échecs de connexion à cause du mot de passe ou de mauvaises réponses sont correctement affichés dans les interfaces d’utilisateur final et d’administrateur. (ID-17412)
Waveset.properties contient maintenant la propriété ui.web.baseHrefURL pour prendre en charge la configuration en utilisant les URL correspondantes. (ID-17763)
Identity Manager prend maintenant en charge la configuration de keystores PKCS#11. Pour incorporer les keystores, il fallait faire une modification non rétro-compatible au composant HTML TransactionSigner. (ID-17769)

La propriété d’affichage supportedKeyStoreTypes n’est plus prise en charge. Elle a été remplacée par unesupportedKeyStoreType à valeur unique. Il peut s’agir de l’une des valeurs suivantes : JKS, PKCS12, PKCS11. La valeur par défaut est déterminée par la propriété de configuration du système security.nonrepudiation.defaultKeystoreType. En général, il suffit de définir la propriété système security.nonrepudiation.defaultKeystoreType.

Pour ajouter le support à la signature PKCS11, l’applet TransactionSigner doit utiliser une fonctionnalité qui n’est disponible que dans JRE 1.5. Les clients qui utilisent l’applet TransactionSigner doivent avoir JRE1.5 installé et configuré comme le JRE pour leur navigateur.

Identity Manager prend maintenant en charge les URL correspondantes. (ID-18507)

Pour implémenter cette fonction, modifiez le fichier Waveset.properties de la façon suivante :

Définissez la propriété ui.web.relativeURL sur true.
Définissez la propriété ui.web.useBaseHref sur false.
Définissez la propriété ui.web.baseHrefURL selon le contexte dans lequel Identity Manager est déployé sous la forme de/IDM/ (par exemple, ui.web.basehrefURL=/idm/).

Serveur

Les performances sont maintenant nettement supérieures quand augmente le nombre d’utilisateurs qui sont des membres dynamiques d’un groupe d’objets. (ID-17561)
Identity Manager 8.0 consolide les emplacements lorsqu’un administrateur spécifie des attributs étendus, interrogeables et récapitulatifs pour des objets utilisateur dans le nouvel objet IDM Schema Configuration. (ID-17784) Dans les versions précédentes d’Identity Manager, un administrateur éditait l’objet de configuration User Extended Attributes pour ajouter des attributs étendus pour les objets utilisateur et l’objet de configuration UserUIConfig pour spécifier d’autres attributs interrogeables pour les objets utilisateur. Maintenant, un administrateur édite l’objet IDM Schema Configuration.

Les changements apportés à l’objet IDM Schema Configuration ne sont pas effectifs pour un serveur Identity Manager tant que celui-ci n’a pas été redémarré. La présence de l’objet IDM Schema Configuration empêche la reconversion. Pour plus d’informations, consultez la section Problèmes de mise à niveau des Notes de version.

SPML

L’implémentation d’OpenSPML comporte maintenant la définition d’un délai d’attente SPML pour les appels des services Web. (ID-17687)
Ceux qui utilisaient SPMLv2 dans des versions précédentes et dépendaient de la valeur de l’attribut « objectclass », doivent savoir que la valeur de cet attribut est maintenant maintenue sous l’attribut « spml2ObjectClass ». (ID-17757)

Synchronisation

Dans les versions antérieures, l’attribut idmManager n’est pas visible sous l’espace de noms activesync sur certains adaptateurs pendant le traitement du formulaire Active Sync. Dans cette version, les méthodes toHashMap ont été modifiées pour ajouter l’attribut idmManager au mappage renvoyé de manière à ce qu’il puisse être synchronisé pendant Active Sync. (ID-16717)

Autres

Les fonctions com.waveset.server.Server, public Map getRessourceObjectListCache() et public Map getRessourceObjectGetCache() ont été désapprouvées. Ces caches sont internes aux structures de données. Le code dépendant de ces structures ne fonctionnera plus. (ID-14790)
Identity Manager incorpore maintenant une fonction d’enregistrement du produit. Pour l'enregistrement, vous aurez besoin d’un compte Sun en ligne et d’un mot de passe. Si vous n’êtes pas titulaire d’un compte Sun en ligne, vous pouvez vous enregistrer en remplissant le formulaire disponible à l’adresse : (ID-17133)

https://reg.sun.com/register

Identity Manager peut être enregistré à partir de la console ou via l’interface administrateur. L’enregistrement depuis la console vous permet également de créer un Service Tag local, qui peut être utilisé avec le logiciel Sun Service Tag pour suivre automatiquement vos systèmes, logiciels et services Sun. Pour plus de détails, reportez-vous à la section « Enregistrement d’Identity Manager » dans l’ouvrage Identity Manager Administration 8.0.

En cas d’utilisation de la fonction d’enregistrement du produit, si votre serveur d’application n’est pas configuré pour permettre les connexions SSL en sortie, vous pouvez recevoir le message d’erreur suivant : (ID-18546)

Failed to register on Sun Connection server due to invalid Sun Online Account user/password.

Pour résoudre ce problème, ajoutez le(s) certificat(s) racine de confiance approprié(s) au keystore de votre serveur d’application. Pour plus de détails, consultez la documentation de votre serveur d’application.

Quand vous utilisez la fonction d’enregistrement du produit, si la variable classpath de votre serveur d’application contient d’anciennes versions de xml-apis.jar et xercesImpl.jar, vous pouvez recevoir le message d’erreur suivant :

java.lang.NoSuchMethodError:org.w3c.dom.Node.getTextContent()Ljava/lang/String;

Pour résoudre ce problème, modifiez la variable classpath de manière à ce que seules les versions les plus récentes de xml-apis.jar et xercesImpl.jar ne soient présentes. (ID-18547)

Pour utiliser la fonction d’enregistrement du produit, Java doit être correctement configuré pour SSL sur votre serveur (vos serveurs) Identity Manager. Tous les JAR référencés dans votre fichier java.security file (or équivalent) doivent être présents. (ID-18548)

---

Bogues corrigés dans cette version

Cette section décrit les bogues corrigés dans Identity Manager 8.0. Ces informations sont organisées de la manière suivante :

Interfaces administrateur et utilisateur
Audit
Délégations
Formulaires
Installation
lh Console
Connexion
Organisations
Provisioning
Rapports
Référentiel
Ressources
Rôles
Sécurité
Serveur
Service Provider
Synchronisation
Flux de travaux
Autres défauts corrigés

Interfaces administrateur et utilisateur

Les utilisateurs peuvent maintenant personnaliser le formulaire de connexion à questions et le formulaire de connexion anonyme depuis la page de configuration des mappages des formulaires et processus. (ID-4697)
Le composant IG du formulaire DatePicker prend maintenant en charge action=true. (ID-4930)
L’applet NetCharts a été remplacée par une image JGraph. (ID-14736)
Le tri par type dans le tableau des Tâches du serveur fonctionne maintenant correctement. (ID-14850)
Pendant l’application d’une règle de mot de passe, Identity Manager n’incluait pas le mot de passe initial dans l’historique des mots de passe. Il ne détectait que les mots de passe qui avaient été modifiés. Par conséquent, si par exemple une règle établissait que les trois derniers mots de passe ne pouvaient pas être utilisés et qu’un utilisateur n’avait changé son mot de passe que deux fois, Identity Manager pouvait réutiliser le mot de passe initial. Ce bogue a été corrigé dans cette version. (ID-15026)
Lorsque vous annulez l’assignation de comptes de ressources à un utilisateur en utilisant la fonctionnalité Éditer l’utilisateur dans l’IG, la SITUATION des comptes dans l’index des comptes est désormais mise à jour correctement dans tous les cas de figure. (ID-15310)
Dans les versions antérieures, le menu de l’interface de l’utilisateur final qui permettait à un élément de travail d’approbation d’être transmis à un autre approbateur n’était pas rempli correctement. Ce problème a été résolu. Maintenant, cette liste contient les approbateurs qui appartiennent à l’étendue de contrôle de l’utilisateur connecté dans l’interface de l’utilisateur final. (ID-15935)
Dans les versions antérieures, après un dépassement de délai d’attente sur un WorkItem ManualAction, l’erreur de temporisation n’était pas renvoyée à l’utilisateur. L’utilisateur recevait un diagramme du processus de flux qui donnait l’impression que le formulaire avait été traité correctement. Ce problème a été résolu. Maintenant, l’utilisateur est redirigé vers la page workItemTimeout.jsp sauf si l’option IgnoreTimeout est activée. (ID-16467)
Vous pouvez désormais éditer et enregistrer des délégations d’éléments de travail en cours ou plus anciennes. (ID-16564)
Quand un administrateur crée des délégations pour le compte d’un utilisateur, l’administrateur ne peut pas sélectionner en dehors de l’étendue de contrôle de l’utilisateur. L’étendue de contrôle de l’administrateur est maintenant la même que celle de l’utilisateur pour le compte duquel la délégation est créée. Précédement, lors de la création de délégations pour le compte d’un utilisateur, les administrateurs pouvaient sélectionner des délégués que les utilisateurs ne pouvaient pas. (ID-16561)
L’interface graphique affiche maintenant le nombre d’échecs lors de tentatives de connexions par mot de passe et d’échecs lors de tentatives de connexions par questions d’authentification quand Sun Identity Manager ne peut pas authentifier un utilisateur. (ID-17188)
Le tri dans la table des approbations en attente de l’interface utilisateur fonctionne correctement. (ID-17304)
La page des résultats suivant une opération contient maintenant un bouton OK. (ID-17482)
Une page de confirmation indiquant les succès ou échecs affiche toujours un mot de passe après sa définition à l’aide du bouton Mot de passe oublié pour les nouvelles installations et les mise à niveau quand le System Configuration.forgotPasswordChangeResults.User n’a pas été défini de manière explicite. Si le System Configuration.forgotPasswordChangeResults.User a été explicitement défini, le comportement reste inchangé. (ID-17619)
Les boîtes déroulantes des valeurs des mois affichent maintenant un liste complète des mois dans tous les navigateurs (ID-17740)
Plusieurs vulnérabilités de script intersite (XSS) ont maintenant été résolues. (ID-17748, 18054)
Les tables générées par le composant SimpleTable d’affichage de l’interface graphique et le fichier gentable.jsp ferme maintenant correctement les balises <TH> dans le HTML généré. (ID-17945)
Quand un seul navigateur est connecté à l’interface de l’utilisateur final et à l’interface administrative, les formulaires ne sont maintenant affichés que dans l’interface appropriée. (ID-18039)
JavaScript n’est pas autorisé dans la colonne Statut des listes de ressources, mais une balise HTML sécurisée est autorisée dans le contenu des chaînes et est maintenant affichée correctement. (ID-18050)
Une erreur dans les opérations en masse génère maintenant une InlineAlert sans balise HTML visible. (ID-18338)
Une vulnérabilité transversale de répertoire a été résolue dans l’interface graphique, qui permettait aux utilisateurs d’avoir accès à des fichiers non autorisés sur le serveur d’Identity Manager. (ID-18653)
La page de liste des comptes s’affiche maintenant plus rapidement. (ID-18751)

Audit

Le journal d’audit consigne correctement les actions de « Hiérachisation ». (ID-16924)
Dans les versions antérieures, quand on créait une stratégie d’audit en limitant la stratégie à une ressource avec un type de compte, une exception NullPointerException était envoyée dans l’interface utilisateur. Ce problème a été résolu. (ID-16977)
Dans les versions antérieures, la création d’une règle de stratégie d’audit en utilisant « isTrue » déterminait une erreur indiquant que la règle exige une valeur de comparaison. Ce problème a été résolu. (ID-17041)
Le texte des commentaires d’attestation n’est plus effacé de manière inopportune. (ID-17418)
Les événements de notification par e-mail sont maintenant auditées. (ID-17708)
Les clés dupliquées dans la base de données sont maintenant supprimées du journal d’audit. Les clés dupliquées sont de type étendu (AV) et action étendue (PE). (ID-18642)

Les actions qui sont enregistrées avec la clé PE sont EndProcess et PreOperation. L’action PreOperation utilise maintenant une clé DB de PP. Les types enregistrés avec AV sont AccessReview et AccessReviewWorkflow. Le type d’AccessReviewWorkflow utilise maintenant une clé DB de AW.

Les enregistrements d'audit existants avec PE sont interprétés comme des actions EndProcess par les rapports Auditlog. Les enregistrements existants avec AV sont maintenant interprétés comme AccessReview.

La mise à jour des enregistrements d’audit dans la base de données avec SQL peut poser des problèmes de sécurité (parce que les enregistrements sembleront sabotés) ; il est donc conseillé d’ignorer ces enregistrements (avecPE ou AV comme la clé logDb) créés avant la version 8.0.

Délégations

Les cycles de délégation sont maintenant contrôlés au moment de l’exécution et de la création. (ID-17387)
Dans une délégation à deux pas, tout élément de travail de résolution existant est maintenant renvoyé au premier délégant quand le premier délégant termine la délégation pour les éléments de travail de résolution. (ID-18435)
Tous les types d’éléments de travail possibles, qui peuvent être délégués, apparaissent maintenant dans la liste déroulante lors de la configuration de la délégation. Dans l’interface graphique de l’administrateur, la liste déroulante des délégations ne filtre plus les types d’éléments de travail qui apparaissent, de sorte que tous les types d’éléments de travail qui peuvent être délégués sont maintenant listés. Dans l’interface graphique de l’utilisateur final, seuls les cinq types d’éléments de travail de base sont indiqués dans la liste déroulante. (ID-18496)
Des approbations pour chaque changement de rôle et type de rôle ont été ajoutées dans Identity Manager 8.0 (y compris l’approbation pour changement spécifique de type de rôle), ainsi que la possibilité de déléguer ces types d’éléments de travail. Un support avait également été ajouté pour permettre de désigner des rôles spécifiques pendant la délégation de nouveaux types d’éléments de travail pour changement de rôle ou type de rôle. (ID-18558)

Formulaires

La fonction MultiSelect prend désormais en charge une nouvelle propriété, displayCase, qui peut être définie sur « upper » (maj.) ou « lower » (min.). Cette fonction revient à définir un élément valueMap mappant chacune des allowedValues (valeurs autorisées) à leurs équivalents en majuscule ou en minuscule. (ID-8356)

Installation

Si vous passez de la version 6.0 ou 7.0 à la version 7.1 ou 8.0 et si vous utilisez LocalFiles, vous devez exporter la totalité de vos données avant d’effectuer la mise à niveau, puis les réimporter après avoir procédé à une installation entièrement nouvelle de la version 7.1 ou 8.0. (ID-15366)

lh Console

La commande lh syslog renvoie maintenant correctement les enregistrements qui correspondent quand une très grand nombre de jour est spécifié. (ID-17844)

Connexion

La classe com.waveset.ui.FormUtil imprime maintenant un bref message dans le journal du serveur d’application, qui fait référence au journal système quand des erreurs ClassNotFoundException surviennent (et d’autres erreurs, si rencontrées dans cette classe). Le journal système contient maintenant des informations détaillées sur l’erreur. Dans les versions antérieures, les traces de ces exceptions dans la pile étaient imprimées dans le journal du serveur d’application. (ID-18473)

Organisations

Les objets Utilisateur et ObjectGroup ont été améliorés (défaut 14973) pour prendre en charge plusieurs formulaires personnalisés par utilisateur/groupe d’objets, en étendant les deux formulaires (View User, Edit User) qui étaient précédemment pris en charge. Ces nouveaux formulaires sont stockés dans un élément <CustomForms> de XML pour les objets Utilisateur et ObjectGroup. waveset.dtd ne déclarait pas <CustomForms> comme un élément de <ObjectGroup>, de sorte qu’un ObjectGroup XML avec des formulaires personnalisés ne peuvent pas valider. Ce défaut ajoute <CustomForms> en tant qu’élément à waveset.dtd. (ID-17812)

Provisioning

Si plusieurs ressources échouent à la première tentative de provisioning et que leurs délais pour une nouvelle tentative sont différents, toutes les ressources pour lesquelles le provisioning a échoué font maintenant l'objet de nouvelles tentatives comme spécifié par les paramètres des délais et du compte des tentatives. Dans les versions antérieures, les nouvelles tentatives portaient uniquement sur les ressources associées au plus court délai (ID-18190)

Rapports

Les objets ReportsConfig et TrackedEvents sont maintenant préservés lors des mises à niveau à partir d’une version précédente. (ID-17363).

Pour écraser les objets de configuration des rapports existants (ReportsConfig et TrackedEvents), au terme de la mise à niveau, supprimez le texte suivant en haut du fichier reportConfig.xml, et importez le fichier dans le référentiel Identity Manager.

<ImportCommand type='preserve'>
   <ObjectRef type='Configuration' id='#ID#Configuration:ReportsConfig'/>
   <ObjectRef type='Configuration' id='#ID#Configuration:TrackedEvents'/>
</ImportCommand>

Vous pouvez maintenant exécuter simultanément des rapports ayant le même nom de tâche en cochant la caseAllow Reports to Execute Concurrently? sur la page Rapport. (ID-14631)
Pendant l’édition d’un rapport, il est maintenant possible d’exécuter le rapport en cliquant sur le bouton Exécuter sans l’inconvénient d’enregistrer automatiquement les modifications apportées au rapport. Utilisez le bouton Enregistrer pour sauvegarder les modifications apportées au rapport. (ID-17212)
Certains rapports html envoyés par e-mail contiennent maintenant des en-têtes de colonnes correctes (les liens vides dans ces colonnes ont été éliminés). (ID-17369)
Les rapports de journaux d’audit contiennent tous les enregistrements pertinents quand une plage de dates a été sélectionnée comme date limite du rapport. (ID-17621)
La création de rapports de groupe pour des serveurs Active Directory contenant des groupes de sécurité avec une esperluette (&) dans leurs noms génèrent maintenant comme prévu, sans aucune exception XMLParserException. (ID-17942)
Le rapport utilisateur de la ressource, le rapport groupe de ressources et les rapport d’accès utilisateur (et tous les rapports personnalisés utilisant com.waveset.report.IndividualUserReport ou com.waveset.report.GroupMemberReport) n’impriment plus « No records were found » entre les entrées des rapports. (ID-18049)
L’afficheur de rapports traite maintenant correctement la propriété de formulaire refType quand un rapport est édité puis exécuté avec le bouton « Exécuter ». La propriété refType dans le formulaire dit à l’afficheur de créer un ObjectRef avec le type spécifié dans la valeur de la propriété refType. Cet ObjectRef est utilisé comme valeur de l’attribut pour la requête à la place du nom de l’objet. (ID-18107)
Les rapports qui utilisent IndividualUserReport.java (rapport utilisateur de la ressource et rapport utilisateur détaillé) donnent maintenant des informations correctes quand le champ non d’utilisateur est correctement renseigné (ID-18260)
Le rapport récapitulatif de l’examen des accès utilise maintenant l’attribut parInstanceName au lieu de parTaskInstanceName pour obtenir la liste des examens d’accès. De plus, le rapport indique maintenant correctement qu’aucun enregistrement n’a été trouvé lorsque des objets examens d’accès sont sélectionnés. (ID-18282)
Le rapport du journal d’audit utilisateur individuel a maintenant une page d’aide. (ID-18539)
Les rapports avec de longs noms de tâches non-ASCII task peuvent maintenant être téléchargés avec le juste nom de fichier. (ID-18550)
Les rapports de messages système récents tronquent maintenant les données à 128 caractères pour leur affichage dans le tableau principal des rapports pour produire un rapport plus facile à lire quand la colonne des messages contient une grande quantité de données. L’enregistrement détaillé du rapport contient encore toutes les données, comme auparavant. Cette correction s’applique également à tous les rapports qui utilisent com.waveset.report.SyslogReportTask comme exécuteur dans la définition des tâches. (ID-18657)

Référentiel

Si role est configuré en tant qu’attribut récapitulatif dans l’objet UserUIConfig, seulement trois rôles sont inclus dans la chaîne récapitulative par défaut. UItilisez l’attribut SummaryAttrrRessourceCountLimit dans UserUIConfig pour changer la valeur par défaut. (ID-13291)
Identity Manager ne ferme plus les connexions correctes et ne les supprime plus du pool de connexions. Dans les versions antérieures, une exception non-fatale pouvait entraîner la Identity Manager fermeture d’une connexion en cours d’utilisation. (ID-13719)
L’exception NullPointerException (NPE) a été corrigée dans le rapport d’audit des activités d’aujourd’hui/de la semaine pour CLOB log.acctAttrChanges. (ID-17346)
Un journal d’audit avec une table de grandes dimensions n’a plus d’impact significatif sur les performances lors de l’écriture des événements d’audit. (ID-18053)

Ressources

La méthode getRessourceObjects() decom.waveset.ui.FormUtil renvoie correctement les attributs à valeurs multiples pour une ressource Active Directory lorsqu’appelée depuis XPRESS. (ID-11965)
Le test du squelette inclus dans l’utilitaire d’extension des ressources (REF) ne dépend plus des classes non livrées avec le produit. Dans les versions antérieures, le test du squelette dépendait de com.waveset.junit.WavesetRunner et de com.waveset.junit.WavesetSuite (qui n’étaient pas inclus avec le produit), mais le test a été refactorisé pour éliminer cette dépendance. (ID-12370)
La méthode Ressource.getAccountAttributeType(name,mapName) fonctionne maintenant correctement quand l’attribut name ou mapName est null. (ID-13598)
Quand vous effacez « Edit Synchronization Policy » pour une ressource, Identity Manager ne crée plus d’artifacts dans le référentiel et aucune erreur ne survient pour les ressources Remedy. (ID-14356)
Identity Manager affiche un message d’erreur si un nom de groupe incorrect est spécifié lors de la mise à jour de comptes Solaris NIS. (ID-15841)
Les utilisateurs de ExampleSPML2RessourceAdapter avaient signalé que des requêtes de modification n’étaient pas exécutées. Maintenant la requête de modification SPML v2 est traitée quand les éléments de changement sont imbriqués dans les éléments de données. (ID-16646)
Dans les versions antérieures, la gestion des erreurs pour l’adaptateur de ressources LDAP utilisait de nombreuses chaînes codées en dur et de nombreux formats de message. Dans cette version, les message d’erreurs qui génèrent des exceptions par les adaptateurs de ressources basés sur LDAP sont localisés. (ID-16721)
Le dépassement de capacité possible du tampon dans le module de suivi de la passerelle a été corrigé. (ID-17093)
Si l’option Copier Configuration du domaine est programmée dans le magasin de données de Sun Access Manager, l’utilisateur admin pour un sous-domaine (au lieu d’amAdmin) provisionne ce sous-domaine. En effet, quand cette option est sélectionnée, les identités existent techniquement uniquement sur le domaine ou le sous-domaine dans lequel elles ont été crées. (ID-17101)
Le mode monothread n’existe pas pour la version 8.0 d’Identity Manager NDS Gateway, de sorte que la clé ExclusiveNDSContext Registry n’est plus utilisée. Ceci élimine l’erreur qui survenait précédemment lors du provisioning des utilisateurs GroupWise via NDS gateway monothread. (ID-17144)
L’adaptateur de ressources LDAP ne causera pas une exception an IndexOutOfBoundsException lors de la réconciliation. (ID-17454)
L’adaptateur de la ressource passerelle sous forme de script ne prend pas en charge les changements de mot de passe. L’adaptateur bloque maintenant les tentatives de contournement si vous ajoutez un attribut de compte de mot de passe à la carte schématique. (ID-17533)
Un problème qui émettait une exception de pointeur nul quand on activait le suivi pour la classe LDAPRessourceAdapterBase a été résolu. (ID-17588)
Le référencement de accounts[os400].accountId ne renvoie plus waveset.compteId. Par contre, il renvoie la valeur correcte de accountId pour le compte OS400. (ID-17632)
L'adaptateur de ressources SAP n’entraîne plus l’erreur JCO_ERROR_FUNCTION_NOT_FOUND quand le système SAP auquel il se connecte ne contient pas le module de fonction PASSWORD_FORMAL_CHECK. (ID-17665)

De plus, Identity Manager utilise maintenant BAPI_USER_EXISTENCE_CHECK (au lieu de BAPI_USER_GET_DETAIL) lors de la synchronisation du mot de passe avec les systèmes SAP R/3 4.6C.

Il est maintenant possible de se connecter sans problème à une ressource VMS via SSH. Si vous effectuez une mise à niveau, vous devez soit exécuter update.xml soit ré-importer ressource WizardForms.xml pour les modifications à apporter à l’assistant de ressources VMS. (ID-17695)
L’adaptateur de ressources Shell Script respecte à présent les codes de sortie pour les opérations de désactivation, d’activation et de changement de nom. (ID-17749)
Après avoir été correctement arrêté, Identity Manager Gateway n’entraîne plus l’affichage du message « abnormal termination » dans les journaux de la console de serveur Domino 7.x. (ID-17782)
Les adaptateurs de ressources UNIX ont été modifiés afin de créer des fichiers temporaires avec uniquement des droits d’utilisateur en lecture/écriture. (ID-17835)
Les mots de passe chiffrés pour les comptes Netware NDS GroupWise sont maintenant correctement mis à jour. (ID-18020)

Rôles

Les règles utilisées pour calculer les attributs des ressources à partir des rôles ne sont plus appliquées lorsqu’un utilisateur se connecte à la page Utilisateur final. (ID-13338)
Selon l’interface graphique à laquelle vous êtes connecté, tous les types d’éléments de travail possibles, qui peuvent être délégués, apparaissent maintenant dans la liste déroulante lors de la configuration de la délégation. Dans l’interface graphique de l’administrateur, la liste déroulante des délégations ne filtre plus les types d’éléments de travail qui apparaissent, de sorte que tous les types d’éléments de travail qui peuvent être délégués sont maintenant listés. Dans l’interface graphique de l’utilisateur final, seuls les cinq types d’éléments de travail de base sont indiqués dans la liste déroulante. (ID-18496)

Sécurité

Un utilisateur doit maintenant bénéficier des droits nécessaires pour la suppression d’un autre compte utilisateur, sinon une exception sera émise et l’effacement du compte empêché. De plus, un enregistrement d’audit contenant les détails de la tentative d’effacement sera consigné au jounal. (ID-15552)
En établissant une règle de corrélation avec X509, le module de connexion ne cause plus une erreur lors de la connexion. (ID-17128)
Cette version inclut des correctifs à plusieurs bogues XSS (script intersite). (ID-17830, 18015)

Serveur

Les horodatages ne sont plus ambigus et utilisent à présent les fuseaux horaires, comme GMT +/- <num>. (ID-8297)
Le référentiel par défaut LocalFiles fonctionne maintenant sous GlassFish. (ID-15589)
Un problème qui provoquait des interblocages des référentiels lors des opérations d’approbation de l’utilisateur final et d’édition d’administrateur ont été résolus. (ID-16926)
Les serveurs d’application ne consignent plus un message d’avertissement si le chiffrement des caractères est défini après l’appel de getReader(). (ID-17900)
Un affichage de l’utilisateur ne contient plus d’éléments de travail pour le sujet en obtenant l’affichage si le sujet n’est pas l’utilisateur dans la vue. (ID-18430)

Service Provider

La page de recherche d’utilisateurs de base de Service Provider (ID-11245) rapporte maintenant

A search value must be supplied.

when the search value is not specified, rather than

javax.naming.CommunicationException: [LDAP: error code 2 - Bad search filter]

ou

java.lang.IndexOutOfBoundsException: Posn: -1, Size: 0

Si un utilisateur s’authentifie sur un domaine de connexion unique (SSO) configuré pour être utilisé avec une instance Service Provider Edition, mais que l’utilisateur n’existe pas dans l’instance Server Provider Edition, l’utilisateur sera présenté avec un message d’erreur. Dans les versions précédentes, l’utilisateur était présenté avec la page d’accueil de Service Provider Edition, mais il ne pouvait pas effectuer les actions listées. (ID-13194)
Quand Service Provider est configuré, la commande « exporter tout » de la console lh n’échoue plus avec java.lang.UnsupportedOperationException. IDMXUser n’est plus affiché dans la page de débogage comme option de Listage des objets. (ID-16141)
Dans les versions précédentes, deux événements d’audit de connexion étaient soumis lorsqu’un utilisateur de fournisseur de service se connectait à l’interface d’utilisateur final du fournisseur de service. Ce problème a été résolu pour ne soumettre qu’un seul événement d’audit de connexion. (ID-16742)
Avant cette version, les enregistrements d’audit ne suivaient pas les modifications au niveau des attributs pour les utilisateurs de Service Provider. Identity Manager audite à présente les modifications apportées aux attributs de Service Provider, le nom du serveur sur lequel la transaction a été exécutée ainsi que le nom de l’interface de connexion. (ID-16837)

Vous noterez que contrairement à Identity Manager, Service Provider n’enregistre pas les anciennes valeurs pour les modifications des attributs, mais seulement les nouvelles valeurs et celles de tentatives de modification. Service Provider n’enregistre pas les modifications apportées aux attributions des ressources et aux réponses d’authentification.

Dans les versions précédentes, quand des événements suivis étaient activés, la taille de la table des tâches dans le référentiel augmentait considérablement Ce problème a été résolu. (ID-16923)
Les requêtes de modification SPML (Service Provisioning Markup Language) de Service Provider ne suppriment plus les attributs étendus qui n’avaient pas été spécifiés dans la requête. (ID-17145)
Les données de transaction en mémoire et dans le magasin de données persistant sont maintenant correctement synchronisées. (ID-17384)

Synchronisation

Identity Manager consigne une erreur lorsque vous supprimez un utilisateur inexistant mais ne crée pas un événement d’audit pour la génération de rapports. À présent, Identity Manager consigne une opération Supprimer d’un utilisateur non existant en conséquence. Vous remarquerez que ce journal est disponible dans les journaux système et les rapports de journaux d’audit dans les versions 6.0 SP4 et ultérieures. (ID-13284)
L’AD Sync Recovery Collector Task fonctionne correctement sur les serveurs de catalogue global (ID-17851)
Quand un catalogue global est utilisé pour une ressource Active Sync contre Active Directory, chaque nom d’hôte dans AD Sync Recovery Collector Task, contre cette ressource Active Directory, est maintenant considéré comme étant un catalogue global. (ID-18597)

Flux de travaux

La date d’ouverture calcule maintenant correctement le temps passé. (ID-11247)
Une erreur java.lang.NullPointerException dans le flux de travaux de post-réconciliation a été résolue. (ID-16893)
L’exemple de flux de travail de post-réconciliation, Notify Reconcile Finish, a été modifié pour éliminer l’option waitForCompletion de l’appel à getView sur la vue ReconcileStatus. (ID-17151) Les clients doivent également supprimer l’option waitForCompletion dans tous les flux de travaux post-réconciliation. Cette option n’est jamais requise depuis les flux de travail, parce que le réconciliateur vide les résultats avant de lancer le flux de travail. Si un flux de travail post-réconciliation définit waitForCompletion=true, le flux de travail se bloque.

Autres défauts corrigés

17111, 17242, 17269, 17414, 17668, 18555