ii Přehled o produktu

Transkript

1 Přehled o produktu

2 ii Přehled o produktu

3 Obsah Přehled o produktu Informace o ýchozím přihlášení a heslu Spráa přístupu pomocí produktu IBM Tioli Identity Manager a dalších produktů Podpora korporátní řídicí slučitelnosti Řízení identity Informace o ydání Co je noého tomto ydání? Hardwaroé a softwaroé požadaky Instalační obrazy a oprané sady Známá omezení, problémy a jejich řešení Technický přehled Užiatelé, autorizace a prostředky Hlaní komponenty Přehled osob Přehled prostředků Přehled zabezpečení systému Přehled organizačního stromu Přehled zásad Přehled sledu prací Přehled funkcí Vylepšené užiatelské rozhraní Recertifikace Sestay Statické a dynamické role Samostatná spráa Funkce zajiš oání Zajiš oání prostředků O těchto informacích Komu jsou určeny Příručky Technické školení Tioli Informace o podpoře Konence použíané těchto informacích Oznámení Usnadnění přístupu Rejstřík iii

4 i Přehled o produktu

5 Přehled o produktu Tato témata popisují produkt s jeho obchodním a technologickým kontextem. Obsahují informace, týkající se: Konkrétního ydání produktu, jako například noé nebo zamítnuté funkce produktu. Oteřených standardů, technologií a architektury, na kterých je produkt založen. Užiatelského modelu a rolí, ytářejících funkce produktu. Grafických rozhraní a nástrojů, zajiš ujících podporu různých užiatelských rolí. Informačního centra, kde je možné zobrazit dokumentaci. Informace o ýchozím přihlášení a heslu Pokud chcete produkt IBM Tioli Identity Manager po instalaci začít použíat, potřebujete znát adresu URL pro přihlášení a ýchozí ID užiatele a heslo. Přihlašoací adresa URL Přihlašoací adresa URL ám umožňuje přístup k weboému rozhraní produktu IBM Tioli Identity Manager. Přihlašoací adresa URL administratiní konzoly produktu IBM Tioli Identity Manager: Kde adresa_ip je adresa IP nebo adresa DNS sereru IBM Tioli Identity Manager a port je číslo portu. Výchozí port noé instalace IBM Tioli Identity Manager je Přihlašoací adresa URL samoobslužné konzoly produktu IBM Tioli Identity Manager je: Kde adresa_ip je adresa IP nebo adresa DNS sereru IBM Tioli Identity Manager a port je číslo portu. Výchozí port noé instalace IBM Tioli Identity Manager je Výchozí ID užiatele a heslo Výchozí ID užiatele a heslo pro oěření totožnosti produktu IBM Tioli Identity Manager je: Tabulka 1. Výchozí ID užiatele a heslo pro IBM Tioli Identity Manager ID užiatele Heslo itim manager secret Spráa přístupu pomocí produktu IBM Tioli Identity Manager a dalších produktů V žiotním cyklu zabezpečení poskytuje IBM Tioli Identity Manager a některé další produkty spráu přístupů, která ám umožní určit, kdo může stoupit do ašich chráněných systémů, k čemu může mít přístup a zajistit, aby užiatelé přistupoali pouze k těm prostředkům, které yžadují jejich obchodní úlohy. 1

6 Spráa přístupů řeší z obchodního pohledu tři otázky: Kdo může stoupit do mých systémů? Co tam může proádět? Mohu jednoduše zjistit, co bylo yužitím tohoto přístupu proedeno? Tyto produkty oěřují důěryhodnost šech užiatelů s přístupem k prostředkům a zajistí spráné, konzistentně ynucoané řízení přístupů: IBM Tioli Identity Manager Poskytuje bezpečné, automatizoané a zásadami řízené řešení spráy užiatelů, napomáhající efektiní spráě identit užiatelů průběhu žiotního cyklu přejatých prostředí i prostředí e-business. IBM Tioli Identity Manager poskytuje centralizoaný přístup užiatelů k různým prostředkům organizaci, yužíající zásad a funkcí, které zjednodušují operace souisející s užiatelským přístupem. V důsledku toho organizace získá mnoho ýhod, například: Weboá samoobsluha a obnoy a synchronizace hesel; užiatelé mohou sami spraoat sá hesla pomocí praidel zásad spráy hesel, aby bylo možné řídit přístup k íce aplikacím. Synchronizace hesla umožňuje užiateli použít jedno heslo pro šechny účty, které IBM Tioli Identity Manager sprauje. Rychlá odeza na audity a řídicí směrnice. Automatizace obchodních procesů ztahujících se ke změnám identitách užiatelů zajištěním spráy žiotního cyklu. Centralizoaná spráa a místní autonomie. Rozšířená integrace yužitím mnoha rozhraní API. Volby spráy cíloých systémů pomocí přístupu s agentem nebo bez agenta. Snízení nákladů na středisko podpory. Zýšené zabezpečení přístupu redukcí osiřelých účtů. Snížení administratiních nákladů na zajiš oání užiatelů použitím softwaroé automatizace. Snížení nákladů a prodle souisejících se schaloáním přístupů k prostředkům pro noé a změněné užiatele. Tioli Access Manager Umožňuje aší organizaci použíat centralizoané bezpečnostní zásady pro určité skupiny užiatelů pro spráu autorizace přístupů přes sí, četně zranitelných internetoých weboých sererů. Tioli Access Manager může být peně sázán s produktem IBM Tioli Identity Manager, ke sladění skupin užiatelů a účtů, spraoaných produktem Tioli Access Manager, s identitami spraoanými produktem IBM Tioli Identity Manager, k zajištění integroaného řešení řízení přístupu k prostředkům. Tioli Access Manager přináší: Unifikoaný přístup oěřoání a autorizace k odlišným weboým aplikacím rámci celého podniku. Flexibilní jednotné přihlašoání do prostředí weboých, Microsoft telnet a mainframe aplikací. Rychlá a rozšiřitelná implementace weboých aplikací s podporou standardizoaných aplikací Jaa 2 Enterprise Edition (J2EE). Flexibilita nárhu zajištěná rozšiřitelnou architekturou proxy a jednoduše instaloatelných modulů plug-in do weboého sereru, řízení přístupu dle praidel a rolí, podpora předních platforem a pokročilých API pro lastní úpray zabezpečení. Tioli Federated Identity Manager Obsluhuje eškeré konfigurační informace pro meziorganizační federaci, četně partnerských ztahů, mapoání identit a spráy tokenů identit. 2 Přehled o produktu

7 Produkt Tioli Federated Identity Manager umožňuje, aby organizace sdílela služby s partnerskými obchodními organizacemi a získala důěryhodné informace o identitách třetí strany, jako jsou zákazníci, dodaatelé a zaměstnanci klienta. Informace o užiatelích můžete získat bez ytáření, zápisů nebo spráy účtů identit, pro organizace, poskytující přístup ke službám, které použíá aše organizace. Následně jsou užiatelé ušetřeni nutnosti registroat se na sererech partnera a pamatoat si další přihlašoací jména a hesla. Výsledkem je ylepšená integrace a komunikace mezi aší organizací a dodaateli, obchodními partnery a zákazníky. Pokud chcete získat další informace, jak přistupoat k produktům spráy hodným pro elká řešení zabezpečení žiotního cyklu, naštite weboý serer Tioli Security Management na adrese: Publikace IBM Redbooks a Redpapers také popisují implementaci IBM Tioli Identity Manager do portfolia produktů zabezpečení IBM. Podpora korporátní řídicí slučitelnosti IBM Tioli Identity Manager poskytuje podporu korporátní řídicí slučitelnosti. Oblasti slučitelnosti Tioli Identity Manager řeší korporátní řídicí slučitelnost těchto hlaních oblastech: zajiš oání a procesy schaloání sledů prací sledoání záznamů pro audit rozšířená míra shody zásada a slučitelnost hesel autorizace a ynucení zajištění účtu a přístupu zásada a zpracoání recertifikace sestay Zajiš oání a procesy schaloání sledů prací Tioli Identity Manager poskytuje podporu zajiš oání užiatelských účtů a přístupů k různým prostředkům. Je-li Tioli Identity Manager implementoán jako jediný ze sady bezpečnostních produktů, hraje klíčoou roli zajištění prostředků pouze pro autorizoané osoby, dohlíží přitom na přesnost a úplnost metod zpracoáajících informace a uděluje autorizoaným užiatelům přístup k informacím a souisejícím součástem. Tioli Identity Manager poskytuje integroané softwaroé řešení spráy zajiš oání služeb, aplikací a řízení zaměstnanců, obchodních partnerů, dodaatelů a jiných, souisejících s aší společností programoě, organizačně nebo geograficky. Funkcí zajiš oání můžete yužít k řízení instalace a údržby užiatelských přístupů do systému a ytáření účtů pro spraoané prostředky. Na nejyšší úroni řešení spráy identit automatizuje a centralizuje procesy zajiš oání prostředků, jako například operačních systémů a aplikací a osob pracujících organizaci. Organizační struktura může být změněna tak, aby odpoídala zásadám a procedurám zajiš oání. Organizační diagram, použitý pro zajiš oání prostředků, šak nemusí nezbytně odrážet materiální strukturu organizace. Administrátoři na šech úroních mohou použíat standardní procedury pro spráu užiatelských poěření. Některé úroně administrace lze redukoat nebo eliminoat, záislosti na šíři použitého řešení spráy zajiš oání. Dále můžete bezpečně distribuoat schopnosti administrace, ručně nebo automaticky mezi íce organizací. Přehled o produktu 3

8 Proces schaloání lze přiřadit k různým typům požadaků na zajiš oání, četně požadaků na zajiš oání účtů a přístupů. Operace žiotního cyklu lze také přizpůsobit, aby se začlenily do schaloacího procesu. Modely zajiš oání V záislosti na obchodních potřebách Tioli Identity Manager poskytuje alternatiy k zajiš oání prostředků pro opráněné užiatele dle požadaků, dle rolí nebo hybridní modely. Schaloací sledy prací Během zajiš oání účtů a přístupů jsou yoláány sledy prací pro požadaky na účty a přístupy. Sledy prací pro požadaky na účty a přístupy se typicky yužíají k definoání schaloacích sledů prací pro zajiš oání účtů a přístupů. Sledy prací požadaků na účty poskytují rozhodoací proces, který řídí, zda má být udělen zásadou zajiš oání poskytnutý nárok. Zásadou zajiš oání poskytnutý nárok uádí sled prací požadaku na účet, který platí pro sadu užiatelů, členů zásady zajiš oání. Pokud pro jednoho užiatele a stejnou cíloou službu platí íce zásad zajiš oání a pro každou zásadu zajiš oání jsou rozdílné sledy prací požadaků na účet, bude yolaný sled prací pro užiatele určen podle priority zásady zajiš oání. Jestliže pro zásadu zajiš oání nebyl přiřazen sled prací a zásada uděluje nárok účtu, spustí se operace souisející s požadakem okamžitě. Operace může například přidat účet. Má-li zásada zajiš oání přiřazený sled prací, spustí se tento sled prací předtím, než zásada udělí nárok. Jestliže sled prací rátí ýsledek Scháleno, udělí zásada nárok. Pokud sled prací rátí ýsledek Zamítnuto, nebude nárok udělen. Sled prací může například požadoat schálení sprácem. Dokud nebude zadáno schálení a sled prací nebude dokončen, nebude účet zajiš oán. Když narhujete sled prací, zažte použití zásady zajiš oání a použití nároku samotného. Sledoání Tioli Identity Manager poskytuje informace pro sledoání záznamů pro audit, jak a proč získal užiatel přístup. Na základě žádosti produkt Tioli Identity Manager proces za účelem udělení, upraení a odebrání přístupu prostředkům pomocí obchodu a zaedení efektiného záznamu pro audit pomocí automatizoaných zprá. Postup celého procesu, četně schaloání a zajiš oání účtů, je protokoloán do záznamů pro audit, k tomu jsou do databáze generoány odpoídající události auditu, které se yužijí sestaách auditu. Do záznamů pro audit se také protokolují události spráy žiotního cyklu užiatelů a účtů, četně změn užiatelů a účtů, ýstrahy recertifikace a porušení slučitelnosti. Vylepšená míra shody Produkt Tioli Identity Manager poskytuje ylepšenou míru shody na položkách, jako jsou nečinné a osiřelé účty, míru shody zásady zajiš oání, sta recertifikace a mnoho zprá. Nečinné účty. Seznam nečinných účtů můžete zobrazit pomocí funkce sesta. Tioli Identity Manager obsahuje atribut nečinného účtu pro typy služeb, které můžete yužít k yhledáání a spráě nepoužíaných účtů na službách. Osiřelé účty. Účty na spraoaných prostředcích, jejichž lastníka produktu Tioli Identity Manager Serer nelze určit, jsou osiřelé účty, které jsou označeny během sladění, když hodné praidlo přezetí nemůže úspěšně určit lastníka účtu. 4 Přehled o produktu

9 Sta slučitelnosti zásady zajiš oání. Sta slučitelnosti, založený na specifikaci zásady zajiš oání, je k dispozici pro účty i pro přístupy. Účet může být bu slučitelný, neslučitelný díky překročení hodnoty atributu, nebo nepoolený. Přístup je bu slučitelný, nebo nepoolený. Sta recertifikace. Sta recertifikace je k dispozici pro užiatele, účet a cíloé typy přístupu, které označují, zda je cíloý typ certifikoán, odmítnut nebo noě certifikoán. K dispozici je také časoé razítko recertifikace. Zásada a slučitelnost hesel Tioli Identity Manager poskytuje schopnost ytořit a spraoat zásady hesel. Zásada hesla definuje praidla odolnosti hesla, která se použíají k určení, zda je noé heslo platné. Praidlo odolnosti hesla je praidlem, které musí heslo splňoat. Praidla odolnosti hesla mohou například uádět, že minimální počet znaků hesle musí být pět a maximální počet znaků musí být deset. Administrátor Tioli Identity Manager může také ytářet noá praidla pro zásady hesla. Je-li aktioána synchronizace hesel, administrátor yžaduje jistotu, že zásady hesla nejsou konfliktu s praidly odolnosti hesla. Když je aktioána synchronizace hesel, Tioli Identity Manager při určoání použitého hesla kombinuje zásady pro šechny užiatelem lastněné účty. Pokud jsou mezi zásadami hesel konflikty, heslo nesmí být nastaeno. Zásada zajiš oání a ynucení zásady Zásada zajiš oání uděluje přístup k mnoha typům spraoaných prostředků, například sererům Tioli Identity Manager serer, Windows NT, sererům Solaris a podobně. Parametry zásady zajiš oání pomáhají administrátorům systému definoat hodnoty atributů, které jsou potřebné a hodnoty, které jsou poolené. Vynucení zásady je choání, při kterém Tioli Identity Manager pooluje nebo zakazuje účty, které porušují zásady zajiš oání. Pro účet s neslučitelným atributem můžete uést proedení jedné z následujících akcí ynucení zásady. Označení Nastaí označení účtu, který má neslučitelný atribut. Pozastaení Pozastaí účet, který má neslučitelný atribut. Opraa Nahradí neslučitelný atribut účtu spráným atributem. Výstraha Vydá ýstrahu pro účet, který má neslučitelný atribut. Zásada a zpracoání recertifikace Zásada recertifikace zahrnuje aktiity k ujištění, že užiatelé potrdí, že stále mají zájem o uedený cíloý typ (užiatel, účet a přístup). Zásada definuje, jak často musí užiatelé přetráající zájem oěřit. Dále tato zásada definuje operace, které nastanou, když příjemce odmítne nebo nereaguje na požadaek recertifikace. Tioli Identity Manager podporuje zásady recertifikace, které použíají sadu upozornění pro yolání aktiit praconího postupu, které jsou obsaženy procesu recertifikace. V záislosti na odezě užiatele může Přehled o produktu 5

10 zásada recertifikace označit role užiatele, účty, skupiny nebo přístupy jako recertifikoané, pozastait nebo odstranit účet nebo odstranit roli, skupinu nebo přístup. Audity, které jsou specifické pro recertifikace, jsou ytářeny pro yužití sestaami souisejícími s recertifikací: Recertifikace neyřízených účtů, přístupů nebo užiatelů Poskytuje seznam nedokončených recertifikací. Historie recertifikace Poskytuje historický seznam recertifikací pro uedený cíloý typ. Zásady recertifikace Poskytuje seznam šech zásad recertifikace. Historie recertifikace užiatele Poskytuje historii recertifikace užiatele. Zásada recertifikace užiatele Poskytuje seznam šech zásad recertifikace užiatele. Sestay Administrátoři zabezpečení, auditoři, spráci a lastníci služeb e aší organizaci mohou použít jednu nebo íce z následujících sesta k řízení nebo podpoře korporátní řídicí slučitelnosti: Sestaa přístupů, která ypíše šechny definice přístupu systému. Sestaa schálení a zamítnutí, která zobrazuje aktiity schálených nebo zamítnutých požadaků. Sestaa nečinných účtů, která ypíše delší dobu nepoužíané účty. Nároky udělené indiiduální sestaě, která ypíše šechny užiatele se zásadami zajiš oání, pro které jsou určeny. Sestaa neyhoujících účtů, která ypíše šechny neyhoující účty. Sestaa osiřelých účtů, která ypíše šechny účty bez lastníka. Sestaa neyřízené recertifikace, která zýrazní události recertifikace, které mohou nastat, pokud osoba recertifikace neproede s účtem nebo přístupem žádnou akci. Tato sestaa podporuje filtroání dat podle specifického typu služby nebo specifické instance služby. Sestaa historie změn recertifikace, která ukazuje historii přístupů (četně účtů) a kdy byly naposledy recertifikoány. Tato sestaa slouží jako eidence minulých recertifikací. Sestaa zásad recertifikace, která zobrazuje aktuální konfiguraci recertifikace pro poskytnutý přístup nebo službu. Sestaa definice zásad dělení činností, která ypíše definice zásad dělení činností. Sestaa narušení zásad dělení činností, která obsahuje osobu, zásadu a praidla, schálení a odůednění (je-li uedeno) a kdo yžádal narušující změnu. Sestaa služeb, která ypíše momentálně definoané služby systému. Sestaa souhrnu účtů e službě, která ypíše souhrn účtů uedené službě definoané systému. Sestaa pozastaených účtů, která ypíše pozastaené účty. Sestaa historie recertifikace, která ypíše historii recertifikací užiatelů proedených manuálně (podle specifických recertifikátorů) nebo automaticky (kůli ypršené akci). Sestaa definic zásad recertifikace užiatelů, která ypíše definice zásad recertifikace užiatelů. 6 Přehled o produktu

11 Všechny sestay jsou k dispozici šem užiatelům, je-li nakonfiguroáno odpoídající řízení přístupu. Určité sestay jsou šak narženy speciálně pro určité skupiny užiatelů. Tabulka 2. Souhrn sesta Narženo pro Dostupné sestay Administrátoři nečinné účty zabezpečení osiřelé účty neyřízené recertifikace historie recertifikace zásady recertifikace historie recertifikace užiatelů zásady recertifikace užiatelů Spráci neyřízené recertifikace historie recertifikace zásady recertifikace historie recertifikace užiatelů zásady recertifikace užiatelů Vlastníci služeb nečinné účty osiřelé účty neyřízené recertifikace historie recertifikace zásady recertifikace historie recertifikace užiatelů zásady recertifikace užiatelů Auditoři nečinné účty Koncoí užiatelé, středisko podpory a ýojáři osiřelé účty neyřízené recertifikace historie recertifikace zásady recertifikace historie recertifikace užiatelů zásady recertifikace užiatelů Žádné Řízení identity Produkt IBM Tioli Identity Manager rozšíří schopnosti řízení spráy identity se zaměřením na spráu proozních rolí. Použití rolí zjednoduší spráu přístupu k prostředkům IT. Řízení identity zahrnuje tyto funkce produktu Tioli Identity Manager: Spráa rolí Sprauje užiatelský přístup k prostředkům, ale narozdíl od zajiš oání užiatelů, spráa rolí neuděluje ani neodebírá užiatelské přístupy. Namísto toho nastaí strukturu rolí, která to proádí mnohem efektiněji. Spráa nároků Administrací a ynucením jemných autorizací zjednodušuje řízení přístupu. Přehled o produktu 7

12 Informace o ydání Certifikace přístupu Poskytuje stálou kontrolu a oěřoání přístupu k prostředkům na úroni role nebo úroni nároku. Spráa priilegoaného užiatele Poskytuje ylepšenou administraci užiatele a monitoroání systému nebo účtů administrátora, které mají zýšená opránění. Dělení činností Zjiš uje a zabraňuje specifickým obchodním konfliktům na úroni role nebo úroni nároku. Tato sekce popisuje noé funkce a požadaky hardwaru a softwaru na produkt IBM Tioli Identity Manager. Co je noého tomto ydání? Produkt IBM Tioli Identity Manager pokračuje doručoání noých schopností spráce identity e shodě s obecnými standardy a nejlepšími postupy. Toto ydání rozšíří schopnosti řízení spráy identity se zaměřením na slučitelnost. Schopnosti spráy role Role spraují užiatelský přístup k prostředkům, ale podobně jako zajiš oání užiatelů, spráa role neudělí nebo neodebere užiatelský přístup. Namísto toho nastaí strukturu rolí, která to proádí mnohem efektiněji. Produkt erze 5.1 IBM Tioli Identity Manager rozšíří schopnosti řízení spráy identity se zaměřením na spráu operační role. Spráa přístupu k prostředkům IT pomocí rolí je zjednodušena a ylepšena těmito schopnostmi spráy rolí: Hierarchie rolí Hierarchie rolí umožňuje administrátorům zabezpečení sestait a plánoat logické hierarchie rolí a sestait ýznamnější ztahy rolí. Lze použít ztahy rolí. Okamžité ztahy nadřízených-podřízených rolí lze ysledoat a přejít na ně. Dělení činností lze yhodnotit, když se použije hierarchie rolí. Vztahy rolí Vztahy rolí umožňují, aby se na role logicky odkazoalo poolením ztahů nadřízených-podřízených rolí hierarchii, e které podřízené role zdědí nároky rolí nadřízených. Nadřízená role může mít íce podřízených rolí. Podřízená role může mít íce nadřízených rolí. Vztahy rolí lze yhodnotit, aby se mohlo určit, které nároky jsou zděděny a uděleny. Choání zajiš oání lze změnit přiřazením hierarchie rolí; například tím, že se role odětí stane podřízenou role aplikací. Klasifikace role Klasifikace rolí je schopnost klasifikoat roli z důodů přizpůsobení sledu prací a zásad. Výchozí typy role jsou obchodní a aplikační typy. Obchodní role zahrnují druh praconí pozice, kterou osoba dělá. Aplikační role zahrnují druh přístupu, který osoba yžaduje. 8 Přehled o produktu

13 Vztahy rolí a klasifikace rolí lze použít k definoání, jak odlišně se ztahují typy rolí Vlastnictí rolí a schálení Vlastníci rolí mohou být užiatelé nebo další role. Role mohou mít íce lastníků. Účastníci sledu prací a položky řízení přístupu (ACI) jsou ylepšeny, aby se yřešili účastníci rolí. Administrace rolí Organizační role předstaují způsob, jak poskytnout užiatelům nároky ke spraoaným prostředkům tak, že určíte, které prostředky jsou opatřeny pro užiatele nebo sadu užiatelů, kteří mají stejné poinnosti. Role je funkce praconí pozice, která označuje úlohy, které může osoba proést, a prostředky, ke kterým má dotyčná osoba přístup. Schopnosti dělení činností Dělení činností je funkce řízená zásadou ke spraoání možných nebo existujících konfliktů rolí. Zásada dělení činností je logický kontejner praidel dělení, které definují ústně ýlučné ztahy mezi rolemi. Zásady dělení činností jsou definoány podle jednoho nebo íce praidel, která ylučují užiatele z členstí e íce rolích, které mohou znázorňoat obchodní konflikt. Účel zásady dělení činností je seskupit praidla pro snadnou administraci. Například, můžete přiřadit sadu administrátorů k zásadě tak, že učiníte administrátory odpoědné za sledoání porušení sady praidel. Schopnosti dělení činností zahrnují: Sledoání narušení pomocí administratiní konzole, která poskytuje řízení identity a prokazatelnost přístupu Auditoání narušení a yloučení pomocí sesta, což pomáhá chránit nebo zýraznit nespráné použíání opránění Schálení sledu prací pro dělení činností, které pomáhá dosáhnout cílů slučitelnosti Noé položky řízení přístupu (ACI), které znázorňují noé cíle zásady dělení činností Vyhodnocení zásady dělení činností, když se sled prací použije pro dodání identity Ochrana neplatných nebo nekonzistentních (s obchodní zásadou) kombinací rolí, které zakazují ztahy nadřízený-podřízený zásadě dělení činností Typ ba sledu prací (Vlastník zásady SoD) Entita porušení sledu prací a přizpůsobení upozornění Proces schálení, který umožňuje yloučení, když se yskytne narušení; yloučení je možné yolat později Zásady dělení činností Zásada dělení činností je logický kontejner praidel dělení, která definují ústně ýlučné ztahy mezi rolemi. Zásady dělení činností jsou definoány podle jednoho nebo íce praidel, která ylučují užiatele z členstí e íce rolích, které mohou znázorňoat obchodní konflikt. Sestay zásad dělení činností Tato sekce popisuje různé sestay zásad dělení činností. Sestaa narušení dělení činností Tato sekce popisuje sestau narušení dělení činností. Tato sestaa obsahuje osobu, schálení a praidla, schálení a zdůodnění (je-li uedeno) a kdo yžádal narušující změnu. Přehled o produktu 9

14 SeparationOfDutyRuleViolation Objekt, který poskytuje informace o specifickém překročení praidel dělení činností. Použijte tento objekt, abyste získali specifické informace o překročení zásad dělení činností. Tento objekt nemůže užiatel ytořit k použití. Užiatel může pracoat pouze s objekty SeparationOfDutyRuleViolation, které systém ygeneroal jako část sledu prací approesodviolation. ParticipantType Konstanty typu účastníka sledu prací. Recertifikace užiatele Produkt IBM Tioli Identity Manager poskytuje schopnost certifikoat a oěřit užiatelský přístup k prostředkům IT praidelném interalu. Recertifikace užiatelů je typem procesu recertifikace, který slučuje recertifikaci užiatelských účtů, skupinoých členstí účtů a členstí rolí do jediné aktiity. Aktiity recertifikace užiatelů jsou dokončeny uedeným účastníkem, jako je spráce nebo lastník aplikace. Každá aktiita recertifikace užiatelů ypíše účty, členstí e skupině a členstí roli, která lastní užiatel. Skupiny, které jsou pooleny jako přístup, jsou zobrazeny aktiitě pomocí informací o přístupu, raději než informací o skupině. Účastník může indiiduálně schálit nebo odmítnout, zda užiatel stále požaduje každý účet, členstí e skupině nebo členstí roli. Lze proést několik akcí, když je prostředek nebo členstí zamítnuté, četně pozastaení prostředku nebo odstranění členstí. Zásada recertifikace užiatelů poskytuje olby pro konfiguraci oblasti recertifikace, aktiit sledu práce, upozornění a choání ypršení a odmítnutí. Zásady recertifikace Recertifikace zjednodušuje a automatizuje proces praidelného opětoného oěření platnosti typu cíle (účet nebo přístup) nebo členstí (role nebo skupina prostředků). Proces recertifikace oěří, zda cíloý typ nebo členstí jsou stále yžadoány z platného obchodního důodu. Proces odešle upozornění na recertifikaci a události schálení účastníkům, které uedete. Zásada recertifikace zahrnuje aktiity, aby bylo možné se ujistit, že užiatelé poskytují potrzení, že stále trá jejich zájem o uedený prostředek nebo členstí. Vytoření zásady recertifikace užiatelů Jako administrátor můžete ytořit zásadu recertifikace užiatelů, abyste recertifikoali účty, členstí e skupině a členstí užiatelů. Sestaa historie recertifikace užiatelů Tato sekce popisuje sestau, která ypíše historii recertifikací užiatele proedených ručně (podle specifických recertifikátorů) nebo automaticky (kůli ypršené akci). Sestaa definice zásad recertifikace užiatelů Tato sekce popisuje sestau, která ypíše informace o zásadách recertifikace užiatele definoaných systému. Schopnosti spráy skupin Produkt IBM Tioli Identity Manager poskytuje další zabezpečující ylepšení administrace pomocí noých schopností spráy skupin. Schopnosti spráy skupin zahrnují: Schopnost ytořit, změnit, odstranit skupiny na cíloém prostředku tak dlouho, co bude instaloán adaptér erze 5.1. produktu Tioli Identity Manager. 10 Přehled o produktu

15 Zajiš oání synchronních skupin do cíloého prostředku pro ytoření, úprau a odstranění skupin Zefektiněná naigace administratiní konzoli pro spráu skupin Adaptéry a profily noé erze 5.1 mají ýhodu schopností spráy skupin Administrace skupin Produkt IBM Tioli Identity Manager poskytuje předem definoané skupiny. Můžete také ytořit a uprait přizpůsobené skupiny. Produkt Tioli Common Reporting Produkt IBM Tioli Identity Manager ykazuje noé schopnosti ytáření sesta pro účely auditoání a poskytuje sestay založené na komponentě obecných sesta IBM Tioli Common Reporting. Tato komponenta je založena na produktu Eclipse Business Intelligence Reporting Tool a poskytuje skládání lastních sesta, distribuci sesta, schopnosti plánoání sesta a možnost spouštět a spraoat sestay z íce produktů IBM Tioli. Tioli Common Reporting je funkce ytáření sesta, která je k dispozici lastníkům produktů Tioli. Produkt Tioli Common Reporting nabídne zákazníkům Tioli obecný přístup ke zobrazoání a administraci sesta. Produkty Tioli poskytují balíky sesta, ycházející z Tioli Common Reporting, takže sestay mají běžný zhled a choání e šech produktech Tioli. Abyste získali další podrobnosti o komponentě Tioli Common Reporting, prohlédněte dokumentaci k DVD produktu Tioli Common Reporting. Abyste získali další informace o dostupnosti sesta produktu Tioli Identity Manager, prohlédněte weboé stránky podpory produktu Tioli Identity Manager. Sestay zahrnuté komponentě Tioli Common Reporting sestay přístupů sestay schálení a zamítnutí sestaa nečinných účtů sestaa nároků udělených jednotlici sestaa neyhoujících účtů sestaa osiřelých účtů sestaa definic zásad dělení činností sestaa narušení zásad dělení činností sestaa souhrnu služeb o účtech na službách sestaa pozastaených účtů sestaa historie recertifikace užiatelů sestaa definic zásad recertifikace užiatelů Konfigurace a administrace produktu IBM Tioli Common Reporting Produkt IBM Tioli Common Reporting (nazýaný také balík sesta) je zaměřen na informace o účtech, službách a požadacích. Noá rozhraní API Noá rozhraní API jsou k dispozici pro podporu noých funkcí produktu IBM Tioli Identity Manager, erze 5.1. Skupina GroupEntity GroupFactory GroupManager Přehled o produktu 11

16 GroupMO GroupSearch GroupSerice Noé metody na třídy Role, RoleEntity a RoleMO SeparationOfDutyPolicy SeparationOfDutyPolicyManager SeparationOfDutyPolicyMO SeparationOfDutyRule UserRecertificationCompletionImpact UserRecertificationWorkflowAssignmentMO Noé rozšíření sledu prací Tato noá rozšíření sledu prací jsou k dispozici, aby podporoala noé funkce erze 5.1 produktu IBM Tioli Identity Manager. approerolesbyowner approeroleswithoperation callapproaloperation addseparationofdutypolicy callsodapproaloperation constructapproaldocument remediateaccountsandgroups remediaterolememberships updaterecertificationstatusallapproed updaterecertificationstatusemptydocument Vzoroý sled prací: sekenční schálení recertifikace užiatelů pomocí zabaleného uzlu schálení Tento scénář ukazuje zásady organizace, které požadují, aby byla recertifikace užiatelů schálena děma úroněmi schaloatelů. Prní schaloatel odešle rozhodnutí, která jsou přezkoumána druhým schaloatelem. Druhý schaloatel může změnit rozhodnutí učiněná prním schaloatelem a pak odeslat finální rozhodnutí. Žádost tomto scénáři je pro schálení recertifikace prostředků užiatele (účty, skupiny nebo role). Vzoroý sled prací: schálení členstí rolí recertifikace užiatelů podle lastníka rolí Tento scénář ukazuje organizaci pomocí zásady, která yžaduje, aby recertifikace členstí rolí byly dokončeny podle indiiduálních lastníků rolí, zatímco účty a skupiny užiatelů jsou recertifikoány sprácem. Jakmile budou šechna schálení dokončena, indiiduální rozhodnutí prostředků budou kombinoána a napraena. Noé funkce JaaScript Tyto noé funkce JaaScript jsou k dispozici, aby podporoaly noé funkce erze 5.1 produktu IBM Tioli Identity Manager. PackagedApproalDocument PackagedApproalItem RecertificationWorkflow SeparationOfDutyRuleViolation PackagedApproalDocument Důležitý datoý objekt použitý e schálení íce položek, použitý ýlučně e sledech 12 Přehled o produktu

17 prací recertifikace užiatelů. Tento objekt je ytořen z íce objektů PackagedApproalItem ze schálení recertifikace užiatelů a pooluje yhledáání a načtení položek recertifikace. PackagedApproalItem Důležitý datoý objekt použitý e schálení íce položek produktu IBM Tioli Identity Manager, použitý ýhradně e sledech prací recertifikace užiatele. Tento objekt znázorňuje indiiduální role, účty a skupiny, které jsou prezentoány užiateli během procesu recertifikace. Některé položky mohou obsahoat kód rozhodnutí označující olbu schaloatelů pro tuto položku. Každá položka také obsahuje seznam podřízených položek, které se použíají ke znázornění ztahů mezi účty a skupinami. RecertificationWorkflow Poskytuje rozšířené schopnosti pro sledy prací recertifikace užiatelů, četně podpory auditu pro funkce ytážření sesta a zobrazoání požadaků. SeparationOfDutyRuleViolation Objekt, který poskytuje informace o specifickém překročení praidel dělení činností. Použijte tento objekt, abyste získali specifické informace o překročení zásad dělení činností. Tento objekt nemůže užiatel ytořit k použití. Užiatel může pracoat pouze s objekty SeparationOfDutyRuleViolation, které systém ygeneroal jako část sledu prací approesodviolation. Hardwaroé a softwaroé požadaky Zde uedené hardwaroé a softwaroé požadaky produktu IBM Tioli Identity Manager mají přednost před jinými zmíněnými ostatních publikacích produktu IBM Tioli Identity Manager. Tyto požadaky byly aktuální době ydání této publikace. Možné aktualizace těchto informací hledejte u zástupce zákaznické podpory. Požadaky na operační systém Instalační program IBM Tioli Identity Manager před zahájením procesu instalace zkontroluje, zda jsou přítomny spráné operační systémy četně úroní. Tabulka 3 identifikuje operační systémy, opray a minimální požadaky na instalaci: Tabulka 3. Požadaky IBM Tioli Identity Manager na operační systém Operační systém Požadaky na oprau nebo úroeň údržby AIX erze 5.3 Žádné AIX erze 6.1 Žádné Sun Serer Solaris 10 (SPARC) Žádné Standardní edice a Podnikoá edice Žádné sereruwindows 2003 Windows Serer 2008 Standard Edition a Žádné Enterprise Edition Red Hat Linux Enterprise 4.0 for Intel, System Žádné p a System z Red Hat Linux Enterprise 5.0 for Intel, System p Žádné a System z SUSE Linux Enterprise Serer 10.0 for Intel, Žádné System p a System z Přehled o produktu 13

18 Hardwaroé požadaky IBM Tioli Identity Manager má tyto hardwaroé požadaky: Tabulka 4. Hardwaroé požadaky IBM Tioli Identity Manager Komponenty systému Minimální hodnoty* Doporučené hodnoty** Systémoá pamě (RAM) 2 gigabajty 4 gigabajty Rychlost procesoru Jednoduchý 2.0 gigahertzoý procesor Intel nebo pseries Duální 3.2 gigahertzoý procesor Intel nebo pseries Diskoý prostor pro produkt a jím předpokládané produkty 20 gigabajtů 25 gigabajtů * Minimální hodnoty: Tyto hodnoty umožní základní použití IBM Tioli Identity Manager. ** Doporučené hodnoty: Někdy je pro aše produkční prostředí hodnější použít yšší hodnoty. Softwaroé předpoklady IBM Tioli Identity Manager má následující softwaroé předpoklady: Požadaky na prostředí JRE (Jaa Runtime Enironment): Produkt IBM Tioli Identity Manager yžaduje produkt erze 1.5 JRE SR9, který je instaloán adresáři jaa WAS_HOME/, když je instaloána opraná sada 23 produktu WebSphere Application Serer. Použití nezáisle nainstaloaného ýojoého nástroje Jaa od IBM nebo jiného dodaatele není podporoáno. Požadaky JRE na yužití prohlížeče k ytoření připojení klienta k sereru IBM Tioli Identity Manager jsou jiné, než požadaky JRE pro spuštění WebSphere Application Serer. Požadaky WebSphere Application Serer: Následující tabulka ypisuje požadoané erze WebSphere Application Serer a eškeré použitelné oprané sady nebo požadaky APAR. Tabulka 5. Požadaky na použití WebSphere Application Serer s produktem IBM Tioli Identity Manager Aplikační serer Požadaky oprané sady, opray a úroně údržby Kumulatiní opraa Další APAR WebSphere Application Serer, erze 6.1 Opraná sada 23 Žádné Žádné Požadaky databázoého sereru: IBM Tioli Identity Manager má tyto požadaky na databázoý serer: Tabulka 6. Požadaky databázoého sereru Databázoý serer Požadaky oprané sady, opray a úroně údržby AIX 5.3 Solaris 10 Windows Serer 2003 Windows Serer 2008 Red Hat Linux4.0 a 5.0 SUSE Linux erze 10.0 IBM DB2 Enterprise erze 9.1 Opraná sada 4 14 Přehled o produktu

19 Tabulka 6. Požadaky databázoého sereru (pokračoání) Databázoý serer Požadaky oprané sady, opray a úroně údržby AIX 5.3 Solaris 10 Windows Serer 2003 Windows Serer 2008 Red Hat Linux4.0 a 5.0 SUSE Linux erze 10.0 IBM DB2 Enterprise, erze 9.5 Opraná sada 3b Microsoft SQL Serer 2005, Enterprise Edition Oracle 10g ydání 2 (erze ) Oracle 11g Poznámky: 1. IBM DB2 Enterprise, erze 9.5 není podporoána na 32 bitoých operačních systémech Linux nebo na liboolných operačních systémech Linux na hardwaru pseries. 2. Produkt Tioli Identity Manager musí být spuštěn na podporoaném operačním systému Windows, pokud se použije serer Microsoft pro databázi produktu Tioli Identity Manager. 3. Oladač databáze se požaduje pro databáze Oracle 10gR2 a Oracle 11g. Požadaky na adresářoý serer: IBM Tioli Identity Manager má následující požadaky na adresářoý serer: Tabulka 7. Požadaky na adresářoý serer Adresářoý serer Požadaky oprané sady, opray a úroně údržby AIX 5.3 Solaris 10 Windows Serer 2003 Red Hat Linux4.0 a 5.0 SUSE Linux erze 10.0 IBM Tioli Directory Serer, erze 6.1 Opraná sada 3 (nepoinné) Serer IBM Tioli Directory Serer, erze 6.2 Opraná sada 1 Sun Jaa System Directory Serer Enterprise Edition 6.3 Přehled o produktu 15

20 Požadaky na integrátor adresáře: Volitelně můžete instaloat erzi nebo erzi 7.0 produktu IBM Tioli Directory Integrator pro použití s produktem IBM Tioli Identity Manager. Pro adaptér UNIX a Linux yžaduje produkt IBM Tioli Identity Manager: Verzi 6.1.1, opranou sadu FP0006 nebo yšší Verzi 7.0, opranou erzi FP0001 nebo yšší Produkt IBM Tioli Directory Integrator se použije, aby byla umožněna komunikace mezi instaloanými adaptéry a produktem IBM Tioli Identity Manager. Chcete-li získat další informace o adaptérech, prohlédněte IBM Tioli Identity Manager Installation and Configuration Guide. Požadaky sereru sesta: Následující tabulka ypíše požadoanou erzi sereru Tioli Common Reporting Serer a šechny hodné oprané sady nebo požadaky opray APAR. Tabulka 8. Požadaky na použití Tioli Reporting Serer s produktem IBM Tioli Identity Manager Serer sesta Tioli Common Reporting Serer, erze Požadaky oprané sady, opray a úroně údržby Kumulatiní opraa Další APAR Prozatimní opraa 02 oprané sady 2 Žádné Žádné Poslední opray pro Tioli Common Reporting Serer můžete stáhnout z weboého sereru centrálních opra na Požadaky na prohlížeč, souisející s připojením klientů: IBM Tioli Identity Manager má pro připojení klientů určité požadaky na prohlížeč. Úloha nárhu formulářů IBM Tioli Identity Manager použíá aplet, yžadující modul plug-in Jaa Sun Microsystems JRE erze 1.5 nebo yšší. Jakmile je ybrána úloha nárhu formulářů, prohlížeč se pomocí modulu Jaa plug-in pokusí zaést aplet. Není-li systému při ýběru úlohy přítomné požadoané prostředí JRE, prohlížeč yze užiatele k zadání spráného modulu Jaa plug-in, jinak není schopen dokončit zobrazení položek okně. Úloha nárhu formulářů je rámci užiatelského rozhraní IBM Tioli Identity Manager jedinou, která yžaduje JRE společnosti Sun Microsystems. Poznámka: Prostředí JRE společnosti Sun Microsystems je požadoáno pro úlohy nárhu formulářů, přestože je prohlížeč spuštěn místně na stejném systému jako IBM Tioli Identity Manager. IBM Tioli Identity Manager běží prostředí WebSphere Application Serer, které yužíá jiné JRE. Prohlížeč musí mít zapnutu podporu souborů cookie, aby mohl naázat relaci s produktem IBM Tioli Identity Manager. Poznámka: Nespouštějte dě nebo íce samostatných relací prohlížeče z jednoho klientského počítače. Tyto dě relace jsou edeny pod jedním ID relace, což působí problémy s daty. Následující tabulka uádí prohlížeče a jejich erze, které jsou produktem IBM Tioli Identity Manager podporoány. Podporoané prohlížeče nejsou zahrnuty instalaci produktu. 16 Přehled o produktu

21 Tabulka 9. Rozšíření prohlížeče Prohlížeč Požadaky oprané sady, opray a úroně údržby AIX 5.3 AIX erze 6.1 Solaris 10 Windows Serer 2003 Windows Serer 2008 Red Hat Linux4.0 a 5.0 SUSE Linux erze 10.0 Microsoft Internet Explorer, erze 7.0 Žádné Firefox, erze 3.0 Žádné Podporoané úroně adaptérů IBM Tioli Identity Manager podporuje použití adaptérů bez agentů i adaptérů založených na agentech. Instalační program IBM Tioli Identity Manager ždy nainstaluje následující profily adaptérů: Profil AIX (adaptér UNIX a Linux) Profil Solaris (adaptér UNIX a Linux) Profil HP-UX (adaptér UNIX a Linux) Profil Linux (adaptér UNIX a Linux) Profily LDAP (adaptér LDAP) Instalační program IBM Tioli Identity Manager olitelně nainstaluje profily pro adaptér bez agenta pro adaptér IBM Tioli Identity Manager LDAP a adaptér IBM Tioli Identity Manager UNIX a Linux. Než začnete adaptér použíat, je doporučena instalace nejnoějšího profilu adaptéru. Jestliže jste adaptéry neinstaloali během instalaceibm Tioli Identity Manager nebo pokud není adaptér nainstaloán jako profil služby s IBM Tioli Identity Manager, budete je muset nainstaloat. Adaptér LDAP podporuje adresář LDAP, yužíající schéma RFC 2798, které umožňuje komunikaci mezi IBM Tioli Identity Manager a systémy, na kterých běží adresářoý serer IBM IBM Tioli Directory Serer nebo Sun ONE. Publikace IBM Tioli Identity Manager LDAP Adapter Installation Guide popisuje, jak konfiguroat adaptér LDAP. Následující tabulka uádí systémy UNIX a Linux a jejich erze, podporoané adaptérem UNIX a Linux. Tabulka 10. Předpoklady spuštění adaptéru UNIX a Linux Operační systém Verze AIX AIX 5.1, AIX 5.2, AIX 5.3 HP-UX HP-UX 11i Trusted, HP-UX 11i Non-Trusted Red Hat Linux Red Hat Enterprise Linux Adanced Serer 3.0 Red Hat Enterprise Linux Adanced Serer 4.0 Red Hat Enterprise Linux Enterprise Serer 3.0 Red Hat Enterprise Linux Enterprise Serer 4.0 Solaris Solaris 9, Solaris 10 SUSE Linux SLES 8, SLES 9 Přehled o produktu 17

22 Adaptéry jsou k dispozici na weboé stránce IBM Passport Adantage: Instalační a konfigurační příručky pro adaptéry můžete yhledat na weboé stránce Informačního centra produktu Tioli Identity Manager: Instalační obrazy a oprané sady Instalační soubory a oprané sady IBM Tioli Identity Manager lze získat z weboé stránky IBM Passport Adantage případně jinak i jako disky CD nebo DVD, jak je dodáá áš obchodní zástupce IBM. Weboá stránka Passport Adantage poskytuje balíky, označoané eassembly, pro různé produkty IBM. Instalační a konfigurační příručka produktu IBM Tioli Identity Manager poskytuje úplné instrukce pro instalaci a konfiguraci produktu IBM Tioli Identity Manager a předpokládaných middlewaroých produktů. Procedura, která je hodná pro aši organizaci, záisí na následujících podmínkách: operační systém, použitý produktem IBM Tioli Identity Manager jazykoé požadaky pro použití produktu typ instalace, kterou budete proádět: eassembly pro produkt a šechny požadaky Instalační program IBM Tioli Identity Manager ám umožňuje nainstaloat IBM Tioli Identity Manager, předpokládané produkty a požadoané oprané sady, jak popisuje IBM Tioli Identity Manager Installation and Configuration Guide. Tento typ instalace je doporučen, pokud aše organizace aktuálně nepoužíá jeden nebo íce produktů, které IBM Tioli Identity Manager yžaduje. eassembly pro ruční instalaci IBM Tioli Identity Manager můžete nainstaloat odděleně od předpokladů a samostatně můžete nainstaloat jakékoli předpokládané produkty, které nejsou dosud nainstaloány. Dále musíte oěřit, že je každý předpokládaný produkt proozoán na požadoané úroni sady opra. Známá omezení, problémy a jejich řešení IBM Tioli Identity Manager má tato známá omezení, problémy a řešení. Když jsou zjištěny a analyzoány omezení a problémy, tým softwaroé podpory IBM aktualizuje online znalostní bázi. Vyhledáním znalostní báze můžete nalézt náhradní řešení nebo jiné řešení problémů, se kterými máte zkušenost. Následující odkaz spustí upraený dotaz znalostní báze žié Podpory pro položky specifické pro erzi 5.0: Tioli Identity Manager Technické poznámky erze 5.0 Pokud chcete ytořit lastní dotaz, přejděte na stránku Rozšířeného yhledáání na weboém sereru softwaroé podpory IBM. 18 Přehled o produktu

23 Instalace produktu, aktualizace a omezení odebrání, problémy a náhradní řešení Během instalace, upgradu nebo odstraňoání instalace IBM Tioli Identity Manager Serer můžete narazit na následující problémy a použít tato řešení: Problém: Symbol dolaru ($) má speciální ýznam základních strukturách instalačního programu použitých operačními platformami IBM Tioli Identity Manager Serer anon-windows. Základní struktura instalačního programu může proést proměnnou substituci hodnoty. Například, na platformách podobných UNIX se symbol $$ nahradí ID procesu. Instalátory, založené na ISMP (InstallShield Multiplatform), nahradí znaky $$ jedním znakem $. Náhradní řešení: Vyarujte se užíání znaku $ jako hodnoty liboolném poli na instalační nebo konfigurační stránce sereru IBM Tioli Identity Manager Serer. Problém: Pokud odinstalujete a ihned znou nainstalujete IBM Tioli Identity Manager Serer, ýkon grafického užiatelského rozhraní bude značně degradoán a může se stát i nepoužitelným. Poklesnout může i ýkon sereru WebSphere Application Serer. Přestože příčinou není stroj na rozesílání zprá, symptomem je zpráa, podobná následující: CWSIT0019E: Na sběrnici itim_bus není dostupný žádný hodný stroj na posílání zprá Řešení: Odeberte soubory transakčního protokolu WebSphere Application Serer. V adresáři WAS_PROFILE_HOME/tranlog/náze_buňky/náze_uzlu/náze_sereru/ transaction/tranlog/ jsou soubory nazány log1 a log2. Dále adresáři WAS_PROFILE_HOME/tranlog/náze_buňky/náze_uzlu/náze_sereru/ transaction/partnerlog/ jsou soubory log1 a log2. Příčina problému je, že po reinstalaci se nemusí spráně dokončit obnoa transakcí. Příčinou je problém transakčním protokolu. Stroj na rozesílání zprá zjistí tuto podmínku jako identifikátory transakčním protokolu, které zůstanou z předchozí instalace IBM Tioli Identity Manager Serer a liší se od aktuální databáze. Problém: Při migraci skupin užiatelů z erze 4.6 produktu IBM Tioli Identity Manager Express je asistent střediska podpory produktu IBM Tioli Identity Manager erze 5 schopen změnit roli člena skupiny, ne šak účet IBM Tioli Identity Manager. Řešení: V produktu IBM Tioli Identity Manager Express erze 4.6 nebyly skupiny a role odděleny. Užiatel střediska podpory mohl přiřadit liboolného užiatele jakékoli skupině změnou užiatelského osobního profilu, protože se skupinami a rolemi se zacházelo stejně. Ve erzi 4.6 by šak užiatel střediska podpory neměl aktualizoat nebo požadoat účet IBM Tioli Identity Manager. K proedení změny opránění ytořte noou položku řízení přístupu, která je směroána na účty IBM Tioli Identity Manager a tato opránění uděluje. Problém: Po přechodu z IBM Tioli Identity Manager Express erze 4.6 na IBM Tioli Identity Manager erze 5, potřebuje spráce spraoat sé podřízené a klepne na Spráa užiatelů, získá tyto ýsledky: Zobrazí se šichni užiatelé IBM Tioli Identity Manager. Podrobnosti podřízených byly pouze pro čtení. Řešení: Okamžitě po přechodu z erze 4.6 na erzi 5 nastate jako administrátor zobrazení a položky řízení přístupu pro spráce, což poede ke spráným ýsledkům: zobrazení IBM Tioli Identity Manager Express erze 4.6 poskytoala nezáislá nastaení zobrazení pro spraoané úlohy. Tyto nezáislé úlohy již produktu IBM Tioli Identity Manager erze 5 neexistují. Namísto toho použíají spráci stejné úlohy jako asistenti střediska podpory. V tomto scénáři již úloha Změna profilu podřízeného neexistuje. Po aktualizaci musíte poolit Změnu užiatele zobrazení spráce. To se použije pro ostatní úlohy specifického spráce z produktu IBM Tioli Identity Manager Express, erze 4.6, jako je yžadoání, změna nebo odstranění účtu. Přehled o produktu 19

24 položky řízení přístupu Položky řízení přístupu *default* produktu IBM Tioli Identity Manager Express erze 4.6 umožňoaly sprácům yhledáat šechny užiatele, ale logika úloh spráců, například Změny profilu podřízeného, zobrazoala pouze sprácoy podřízené. Protože tyto speciální úlohy již produktu IBM Tioli Identity Manager erze 5 neexistují, musíte nastait položky řízení přístupu, aby spráci mohli yhledáat pouze sé podřízené. Problém: Po přechodu z IBM Tioli Identity Manager Express erze 4.6 na IBM Tioli Identity Manager erze 5, je pro užiatele, ytořené na erzi 4.6, užiatelském profilu na stránce Osobních informací e erzi 5 zobrazoáno pole ID pro přihlášení ke spráci identit. Pro ýchozího administrátora systému, který je systémem generoanou osobou, není atribut ID pro přihlášení ke spráci identit zobrazen. Vytoření noého užiatele na erzi 5, se pole ID pro přihlášení ke spráci identit také nezobrazuje. Řešení: Přechod na yšší erzi zablokuje ýchozí zásadu identit pro službu ITIM, která je zodpoědná za naplnění atributu erpersonuid (ID pro přihlášení ke spráci identit), když je ytářen užiatel. Chcete-li skrýt pole pro užiatele, ytořené dříe na erzi 4.6, použijte nárh formulářů, pomocí kterého na formuláři osoby pole ID pro přihlášení ke spráci identit skryjete. Chcete-li toto pole zapnout pro šechny dříější i současné užiatele, poolte zásadu identity IBM Tioli Identity Manager Express erze 4.6, která kopíruje ID užiatele do tohoto atributu. Pole ID pro přihlášení ke spráci identit se použíalo produktu IBM Tioli Identity Manager Express erze 4.6, protože účet IBM Tioli Identity Manager Express byl skrytý a užiatelé potřeboali pole, které zobrazoalo jejich užiatelské ID. Po přechodu na erzi 5, již účty IBM Tioli Identity Manager nejsou skryté, takže toto pole není potřeba. Užiatelé mohou yhledat sé užiatelské ID účtech IBM Tioli Identity Manager. Zásada identit šak nemusí fungoat, pokud migrujete implementaci z IBM Tioli Identity Manager Express erze 4.6 s jedním sererem do prostředí klastru na erzi 5, protože prostředí klastru použíá mazipamě, bránící kolizím ID, které by měly být jedinečné pro každého člena klastru. Problém: Objeují se konfigurační chyby middleware, pokud použíáte InstallShield MultiPlatform k instalaci IBM Tioli Identity Manager na RedHat Enterprise Linux erze 5.0, který poskytuje 64bitoý JVM. Například se může yskytnou chyba: Instalátor nemůže být spuštěn grafickém režimu. Zkuste instalační program spustit s příznakem -console nebo -silent. Dále nemusí fungoat některé programy zobrazení X. Řešení: Během instalace na RedHat Enterprise Linux erze 5.0, konfigurační nástroj middleware pro InstallShield MultiPlatform yžaduje 32bitoý JVM, četně 32bitoé erze libxmu.so.6, který musí být adresáři /usr/lib. Tyto 32bitoé knihony nejsou standardně instaloány. Před instalací IBM Tioli Identity Manager si opatřete následující soubory a uložte je do adresáře /usr/lib: 64bitoé systémy zlinux libxmu s390.rpm 64bitoé systémy X86 libxmu i386.rpm Problém: Když aktualizujete erzi 5.0 IBM Tioli Identity Manager, můžete proádět úlohy podobné tomuto scénáři: 1. Vytořit noou organizaci anínoé užiatele. 2. Vytořit hostoanou službu ITIM a přiřadit alespoň jednomu noě ytořenému užiateli účet na službě. Řekněme, že noě ytořený účet užiatele má ID užiatele helpdeskuser. 3. Přidat užiatele helpdeskuser do skupiny asistentů střediska podpory. 4. Odhlásit se a přihlásit se jako helpdeskuser. 20 Přehled o produktu

25 5. Přejít na spráu užiatelů portfoliu a yhledat užiatele. Přestože užiatelé již existují, yhledání dle členů střediska podpory nezobrazí žádné užiatele. Výchozí yhledáací stránka neyhledá automaticky přihlášenou organizaci užiatele. Řešení: K ýběru noé organizace a proedení hledání použijte funkci pokročilé yhledáání. Užiatelé již budou nalezeni a ypsáni seznamu. Problém: Po přechodu z předchozí erze Tioli Identity Manager mohou nastat chyby při pokusu o zobrazení požadaků, ytořených před přechodem. Podobné chyby také nastáají při zobrazoání požadaků, pokud jste ytořili stejně pojmenoané služby a pak jste je odstranili. Řešení: Čeká se na oprau, metoda e yhledání služby rací položky z koše. Toto opraíte odebráním šech položek služeb z koše. Chcete-li odebrat záznam služby, postupujte takto: 1. Pomocí prohlížeče ldap se připojte na adresářoý serer. 2. Rozbalte položky pod ou=recyclebin, ou=itim, <tenant_dn>, kde hodnota <tenant_dn> je aktuální DN. 3. Pod ou=recyclebin, ou=itim, <tenant_dn> odstraňte položku, odpoídající atributu objectclass=ersericeitem. Problém: Problémy mohou ystat z nespráné konfigurace oladače JDBC během upgradu IBM Tioli Identity Manager. Během upgradu se instalace IBM Tioli Identity Manager zeptá na umístění oladače JDBC pro IBM Tioli Identity Manager, který jej yužíá pro připojení do databáze. Pokud administrátor neodkáže na oladač Oracle 10.x JDBC (ojdbc14.jar), mohou se yskytnout problémy, když užiatele zkusí uronat služby následující po aktulizaci Oracle z erze 9.x na 10.x. Chyba yolá zpráu podobnou této: CTGIMU552E Došlo k chybě při komunikaci se sererem. Řešení: IBM Tioli Identity Manager yžaduje, aby oladač JDBC odpoídal úroni databázoého sereru, proto je nutné proést aktualizaci na oladač Oracle 10.x. Nahra te soubor ojdbc14.jar ITIM_HOME/lib souborem JAR, dodaným instalací Oracle erze 10.x a poté restartujte WebSphere Application Serer. Úroeň oladače JDBC, kterou WebSphere Application Serer použíá, je ypsána do protokolu SystemOut.log během spouštění sereru. Následuje příklad záznamu protokolu ze SystemOut.log pro oladač JDBC Oracle 9.x, což je nehodný oladač: [12/6/07 10:32:02:369 EST] DSConfigurati I DSRA8205I: JDBC drier name : Oracle JDBC drier [12/6/07 10:32:02:372 EST] DSConfigurati I DSRA8206I: JDBC drier ersion : Toto je příklad záznamu protokolu SystemOut.log pro oladač JDBC Oracle 10.x, což je spráný oladač: [12/6/07 10:54:41:913 EST] InternalOracl I DSRA8205I: JDBC drier name : Oracle JDBC drier [12/6/07 10:54:41:918 EST] InternalOracl I DSRA8206I: JDBC drier ersion : Problém: Jestliže sereru WebSphere Application Serer existují da nebo íce uzlů, obsahujících soubory node.xml, mohou nastat chyby, když instalační program IBM Tioli Identity Manager kontroluje abecedním pořadí existenci adresáře NODE_NAME jako uzlu, který by měl WebSphere Application Serer použít jako cíloý serer pro implementaci IBM Tioli Identity Manager. Například se může yskytnout chyba podobná této: Náze sereru není platný Toto je kritické selhání. Přestože instalační proces bude pokračoat, instalace později selže. Na sereru WebSphere Application Serer je soubor node.xml adresáři: Přehled o produktu 21

26 WAS_HOME/config/cells/CELL_NAME/nodes/ NODE_NAME/serers/SERVER_NAME/ kde: WAS_HOME Instalační adresář, například /opt/ibm/websphere/appserer/profiles/appsr01. CELL_NAME Náze buňky, například tims12node01cell. NODE_NAME Náze uzlu, například tims12node01. SERVER_NAME Náze sereru, například serer1. Řešení: Proe te tyto úkony: 1. Zazálohujte si posloupnost yplněním instalačních panelů až po předchozí panel. 2. Dočasně přejmenujte soubory node.xml, které existují e špatných uzlech, aby mohl instalační program yhledat spráný soubor node.xml. 3. Pokračujte instalačními panely před, přičemž přejdete chyboou zpráu Náze sereru je neplatný, aby mohla instalace pokračoat. 4. Jakmile je instalace dokončena, přejmenujte soubory zpět na půodní názy. Přejmenoání souboru node.xml proe te například takto: systémy Windows: rename node.xml node.xml.original systémy UNIX/Linux: m node.xml node.xml.original Problém: Při spouštění ruční odinstalace IBM Tioli Identity Manager, erze 5.0 z adresáře ITIM_HOME\itim\itimUninstallerData, objeí se zpráy Přípraa instalace BEZOBSLUŽNÉHO režimu... a Instalace dokončena. Tyto zpráy nemají oznamoat spránou funkci odinstalačního programu. Omezení: Toto je známé omezení platformy InstallAnywhere, která je použita k upraení ruční odinstalace IBM Tioli Identity Manager. Problém: Po aktualizaci produktu IBM Tioli Identity Manager, erze 4.6 a zobrazení žádostí konzoli Identity Manager se ydá toto aroání protokolu trasoání: Nelze analyzoat hodnotu atributu erworkflow pro žádosti zobrazení -- pomocí ýchozího dotazu. Tato zpráa se yskytne, protože formátoání předoleb žádostí o zobrazení užiatelů bylo změněno mezi ydáními. Tato položka trasoání označuje, že předolby nemohou být analyzoány, a je nahrazena ýchozím dotazem. Omezení: Toto je jednorázoý ýskyt každého užiatele, když použíají funkci žádostí o zobrazení po aktualizaci. Zpráu lze bezpečně ignoroat. Užiatelské preference jsou aktualizoány pomocí ýchozího dotazu jako ýchozí bod. Problém: Hesla se mohou zobrazit jasně souboru s instalačním protokolem itim_install.stderr. Omezení: Toto je jednorázoý soubor s instalačním protokolem. Po úspěšné instalaci může být protokol odstraněn. Problém: Skriptoé soubory changecipher a startincrementalsynchronizercmd_was nefungují spráně. Náhradní řešení: Pokud chcete použít skripty changecipher.sh, changecipher.bat, startincrementalsynchronizercmd_was.sh a startincrementalsynchronizercmd_was.bat, musíte nejpre nastait proměnné ITIM_HOME a WAS_HOME e skriptech. 22 Přehled o produktu

27 Omezení, problémy a řešení rámci IBM Tioli Identity Manager Serer V rámci produktu IBM Tioli Identity Manager Serer se yskytují následující omezení, problémy a jejich řešení: Problém: Opray APAR, které byly opraeny IBM Tioli Identity Manager, erze 4.6 a IBM Tioli Identity Manager Express, erze 4.6 jsou stále neyřízené pro IBM Tioli Identity Manager, erze 5.0. Omezení: Sestay APAR, které ještě nejsou e erzi 5.0 dořešeny: IY86885, IY86991, IY88093, IY91022, IY91040, IY91106, IY91896, IY92097, IY92176, IY92227, IY92688, IY92841, IY92851, IY93514, IY94096, IY94415, IY94425, IY94471, IY94616, IY94708, IY94774, IY94978, IY94980, IY94986, IY95478, IY95684, IY95834, IY96118, IY96257, IY96616, IY96967, IY97292, IY97340, IY97662, IY97665, IY97769, IY98312, IY98464, IY98612, IY99084, IY99175, IY99208, IY99295, IY99300, IY99416, IY99624, IY99659, IY99660, IY99813, IY99826, IZ00148, IZ00153, IZ00195, IZ00197, IZ00311, IZ00318, IZ00812, IZ00815, IZ01021, IZ01059, IZ01074, IZ01107, IZ01112, IZ01125, IZ01187, IZ01588, IZ01602, IZ01654, IZ01763, IZ01768, IZ01799, IZ01890, IZ01953, IZ02057, IZ02355, IZ02621, IZ02744, IZ03822, IZ03983, IZ04263, IZ04631, IZ47646, IZ04801, IZ05063, IZ05103, IZ05313, IZ05732, IZ05951, IZ06712, IZ07364, IZ07571, IZ08011, IZ08157, IZ08190, IZ08287, IZ08459 Problém: Jestliže použijete opranou sadu IBM Tioli Identity Manager Serer pro LdapUpgrade, aplikace oprané sady selže s chybou 80, pokud byl do IBM Tioli Identity Manager Serer integroán TAM-ESSO Tioli Access Manager for Enterprise Single Sign-On Proisioning Adapter. Proces integrace TAM-ESSO zaádí noé atributy do tříd eraccountitem a ersericeitem systémoého objektu IBM Tioli Identity Manager Serer. LdapUpgrade selže se zpráou Chyba zaedení schématu - LDAP: kód chyby 80-Ostatní. Výjimka NamingException by měla být protokoloána do souboru ITIM_HOME/install_logs/ldapUpgrade.stdout. Omezení: Chybu yřešíte proedením těchto ručních úkonů: 1. Při ýskytu chyboé zpráy o zaedení schématu klepněte na tlačítko OK. 2. Po dokončení použití oprané sady aktualizujte soubor ITIM_HOME/config/ldap/erschema.dsml úpraou tříd objektu IBM Tioli Identity Manager Serer eraccountitem a ersericeitem. a. Za identifikátor-objektu identifikátor-objektu pro položku eraccountitem, přidejte tyto záznamy: <attribute ref="goadminid" required="false" /> <attribute ref="goadminpwd" required="false" /> <attribute ref="goapplicationdescription" required="false" /> <attribute ref="goapplicationid" required="false" /> <attribute ref="goapplicationpwd" required="false" /> <attribute ref="gocredattribute1" required="false" /> <attribute ref="gocredattribute2" required="false" /> <attribute ref="gossouserid" required="false" /> b. Za identifikátor-objektu identifikátor-objektu pro položku ersericeitem, přidejte tyto záznamy: <attribute ref="goapplicationidmeta" required="false" /> <attribute ref="gossouseridmeta" required="false" /> <attribute ref="goapplicationdescriptionmeta" required="false"/> <attribute ref="gocredattribute1meta" required="false" /> <attribute ref="gocredattribute2meta" required="false" /> <attribute ref="goapplicationuseridmeta" required="false" /> c. Spus te ITIM_HOME/bin/ldapUpgrade. Problém: Nárh formulářů poskytuje možnost uprait šablonu formuláře osoby. Během relace úpra můžete pod kartou Osobní nahradit textoé pole iniciály, rozeíracím modulem widget pro heslo. Pole pak bude obsahoat iniciály osoby, které budou z důodu Přehled o produktu 23

28 změny modulu widget šifroané. Po ytoření instance osoby se šak neobjeí spráná chyboá zpráa a pak se do textoého pole loží nespráné iniciály. Omezení: Aby se zabránilo problémům se softwarem, blokujícím automaticky oteíraná okna, nespouští se panel změny hesla noém okně. Problém: Během operace změny nebo úpray může modul widget hesla použitý na stránkách s lastním formulářem způsobit zobrazení prázdného pole hesla, spíše než posloupnost hězdiček (***). Jestliže je modul widget součástí prní karty poznámkoého bloku nebo prním krokem průodce, bude pole prázdné. Omezení: Použití prázdné hodnoty brání, aby užiatel zjistil hodnotu hesla zobrazením zdrojoého souboru stránky. Problém: Jak definoat ýchozí hodnoty atributů, které se nezobrazují na formuláři účtu, pomocí modulu widget formuláře není popsáno. Řešení: Chcete-li použít modul widget formuláře k definoání ýchozích hodnot účtu, pokud nejsou atributy na formuláři, postupujte takto: 1. Přidejte atribut na formulář účtu, ýběrem úlohy Konfigurace systému > Nárh formulářů. 2. Vyberte pro atribut modul widget a formulář uložte. 3. Definici ýchozí hodnoty proe te ýběrem úlohy Spráa služeb > Spraoat předolby. Pro definoání ýchozí hodnoty můžete použít modul widget, nakonfiguroaný na formuláři pro daný atribut. 4. Odeberte atribut z formuláře účtu, pomocí úlohy Konfigurace systému > Nárh formulářů a formulář uložte. Problém: Je-li hesle na operačním systému Windows použit středník, dochází k chybám. Řešení: Při definoání hesla nepoužíejte středník. Problém: Spustíte-li aktiitu jako užiatel a během doby, kdy ještě není aktiita dokončena, odstraníte službu, pro kterou aktiita platí, zůstane aktiita seznamu akitit užiatele a při pokusu o zobrazení cíloé aktiity se objeí chyboá zpráa. Omezení: Po odstranění služby nedojde ihned yčištění neyřízených aktiit pro spouštění sledů prací, které se na službu odkazují. Pro běžící sledy prací není tato informace snadno zjistitelná (pokud ůbec je). Sled prací běží až do konce, nebo do ýskytu chyby. Pokud je například sled prací přiřazen k ytoření účtu pro danou službu a je požadoán účet na této službě, spustí se tento sled prací. Je-li během proádění služba odstraněna, sled prací pro požadaek účtu se proádí dál, četně jakýchkoli požadoaných schaloání a dalších operací. Když se sled prací pokusí ytořit účet na odstraněné službě, sled prací selže, protože služba již neexistuje. Problém: Ve dojici klíč=hodnota, použité souboru lastností, například CustomLabels.properties, musíte uést celý náze klíče malými písmeny. Jinak dojde k chybě. Omezení: Protože metoda, načítající třídu schématu pro atribut rací pouze malá písmena, musíte jakémkoli souboru lastností uádět náze klíče ždy malými písmeny. Problém: Pokud pozastaíte účet a opět jej obnoíte, oé oznámení o obnoení účtu neobsahuje heslo účtu. Toto nastáá případech, kdy osoba, spouštějící obnou je lastníkem účtu nebo pokud nebylo heslo jako součást operace obnoy změněno (účet je obnoen se stejným heslem jako měl dříe). Omezení: Toto choání upozornění pracuje tak, jak bylo narženo. Osoba, která je lastníkem obnoeného účtu a heslo si nezměnila, stále zná platné heslo. Problém: Použití souborů LDAP Data Interchange Format (LDIF) pro import zálohoaných informací adresáře může způsobit problémy, pokud není systém zastaen nebo pokud nejsou sledy prací úplné. 24 Přehled o produktu

29 Řešení: Použíáte-li soubory LDIF k importu zálohoaných informací adresáře, přesědčte se, že byly zastaeny aplikační serery. Pokud import LDIF uprauje sledy prací nebo operace, před spuštěním importu se přesědčte, že jsou šechny sledy prací úplné. Další informace o importu souborů LDIF yhledejte dokumentaci ašeho adresářoého sereru. Problém: Pokud ytoříte službu a přidáte atribut, může již existoat atribut se stejným názem, který šak ještě nemá uložena žádná užiatelská data. Jestliže přidáte duplicitní atribut se stejným názem do jiného typu služby, změna atributu s duplicitním názem oliní data jiných profilech služby. Například přidáním jednohodnotoého atributu případě, že dříe existující atribut je ícehodnotoý, dojde ke změně typu atributu na jednohodnotoý e šech profilech služby, e kterých se tento atribut yskytuje. Neexistují-li žádná data, nebude ani ydána žádná aroná zpráa. Řešení: Před ytořením atributu pro službu se přesědčte, že noý atribut neexistuje jiných profilech služby. Problém: Při konfiguraci parametru nároku pro zásadu zajiš oání, je-li hodnota atributu definoána jako typ JaaScript, ale je zadán pouze jediný řetězec, například moje heslo, bude řetězec automaticky přeeden na typ Constant. Omezení: Jediný řetězec typu JaaScript je automaticky přeeden na typ Constant, což platí pro atribut parametru nároku zásady zajiš oání. Problém: Při ýběru objektů pro částečný export, systém automaticky přidá do exportu i ostatní objekty, na kterých ybrané objekty záisí. Pokud pak ybraný objekt odeberete, tak objekty, na kterých ybraný objekt záisí, nebudou automaticky odebrány ze seznamu pro export ani je nelze ručně odebrat. Řešení: Bu pokračujte exportu seznamu a ignorujte objekty, které jsou naíc, nebo seznam uložte, pak objekt odstraňte a ytořte noý částečný seznam pro export, bez objektu, který jste chtěli odstranit. Pak proe te export. Problém: Jestliže má užiatel účet IBM Tioli Identity Manager e íce IBM Tioli Identity Manager skupinách, může oé upozornění, které užiatel obdrží, obsahoat odkazy jak na administrátorské, tak na samoobslužné užiatelské rozhraní. Řešení: Použijte jeden z odkazů. Tato funkce pracuje, jak byla naržena. Da odkazy jsou generoány, protože užiatel je členem e dou různých typech skupin IBM Tioli Identity Manager, definoaných pomocí užiatelských účtů IBM Tioli Identity Manager. Problém: Za některých okolností se po klepnutí na Test připojení pro službu dodání identity AD OrganizationalPerson, pokud jste zadali nespráné informace, zobrazí chyboá zpráa bez zbylého obsahu stránky. Řešení: Aktualizujte stránku prohlížeči nebo úlohu ukončete a spus te ji znou se spránými informacemi. Problém: Konfigurace připojení SSL mezi produktem IBM Tioli Identity Manager Serer a adaptéry yžaduje pro WebSphere Application Serer definici následujících dou parametrů, jako parametrů JVM. jaax.net.ssl.truststore jaax.net.ssl.truststorepassword Pokud požádáte o seznam procesů příkazem ps -ef, je e ýsledném ýstupu obsaženo heslo pro Jaa Key Store. Řešení: Popište tyto parametry do souboru a soubor ue te pomocí olby -Xoptionsfile. Postupujte takto: 1. Vytořte soubor, pak na jednom řádku popište tyto parametry: -Djaax.net.ssl.trustStore=/usr/IBM/itim/itim50.jks -Djaax.net.ssl.trustStorePassword=password 2. Jako parametr pro JVM ue te náze souboru s olbou -Xoptionsfile. Přehled o produktu 25

30 a. Oteřete konzolu WebSphere Application Serer Administratie Console. b. Vyberte Serer Aplikační serer náze sereru Definice procesu Jaa Virtual Machine. c. Přidejte olbu -Xoptionsfile: -Xoptionsfile=/usr/IBM/itim/jksProps.txt d. Restartujte WebSphere Application Serer. Problém: Změna filtru praidla žiotního cyklu se při ručním spuštění neprojeí okamžitě. Operace s praidlem žiotního cyklu mohou k dokončení potřeboat dlouhou dobu, aby zpracoaly úplnou sadu ýsledků, dodaných filtrem praidla žiotního cyklu, primárně díky ručním aktiitám sledu prací, přiřazeným k operacím. Další informace: Praidla žiotního cyklu, která jsou přiřazena k profilům nebo kategoriím, mají proádění záislé na lastnosti enrole.profile.timeout, která je definoána minutách, souboru enrole.properties. I když je aktuální filtr praidla žiotního cyklu upraen a spuštěn ručně, předchozí filtr spotřebuje maximální dobu, než uplyne interal obnoy, uedený minutách e lastnosti enrole.profile.timeout. Po uplynutí této doby je během proádění žiotního cyklu použita upraená hodnota filtru. Problém: Vlastníci zablokoaných účtů IBM Tioli Identity Manager stále přijímají oá upozornění, která jsou jim zasílána jakožto účastníkům informačních nebo schaloacích požadaků. Omezení: Toto je aktuální omezení. Problém: Máte-li produktu IBM Tioli Identity Manager položky řízení přístupu pro entitu ýchozí osoby a lastní osoby (odozenou z inetorgperson), pak položka řízení přístupu pro entitu ýchozí osoby také oliní entitu lastní osoby. Například, lastní osobní entita, která je definoána jako customperson, se zdědí od inetorgperson. Jakékoli položky řízení přístupu, které platí pro entitu inetorgperson, platí také pro entitu customperson, současně s položkami řízení přístupu, definoanámi pro entitu customperson. Poznámka: Choání položek řízení přístupu se změnilo produktu IBM Tioli Identity Manager erze 4.6, aby se ynutila dědičnost. Položky řízení přístupu, definoané třídu objectclass, neplatí pouze pro entity objectclass, ale také pro entity, patřící ke třídě objectclass, které zdědily tuto třídu objectclass, a už přímo nebo nepřímo. Řešení: Definujte položku řízení přístupu exkluzině pro inetorgperson, aby platila pouze pro entitu ýchozí osoby. Nastate tento filtr cílů pro položku řízení přístupu: (!(objectclass=customperson)) Problém: chcete-li umožnit některým užiatelům měnit užiatelské role, mohli jste nakonfiguroat položky řízení přístupu pro objekty osoby a lastní osoby, s přístupem pro čtení i zápis na erroles (a také operace yhledání/úpra). Další položka řízení přístupu by užiatelům umožnila yhledáat organizační role. Když se šak užiatel pokusí uprait atribut errole, IBM Tioli Identity Manager tuto úprau nemusí poolit. Řešení: V případě organizační role ytořte další položku řízení přístupu, která udělí užiatelům práa k úpraám. Chcete-li přiřadit organizační roli k osobě nebo odebrat osobu z organizační role, definujte hodné položky řízení přístupu, které udělí užiateli následující opránění: Opránění k zápisu atributu pro atribut erroles osoby, která má být upraena. Opránění k operaci úpray pro osobu, která má být upraena. Opránění k operaci úpray pro organizační roli, která má být odebrána nebo přidána k osobě. Problém: Chcete-li ytořit roli pro lastníka služby, musíte změnit pole Vlastník kategorie na formuláři služby, na statickou organizační roli. Není šak doporučeno měnit 26 Přehled o produktu

31 typ lastníka (z osoby na statickou organizační roli a opačně) profilu služby, jestliže byla pro tento profil definoána jedna nebo íce instancí služeb. Řešení: Jestliže potřebujete uést statickou organizační roli na formuláři služby pro profil, který již má existující služby, odeberte lastníka služby ze šech služeb profilu. Chcete-li například uést statickou organizační roli pro službu WinLocal, musíte odebrat šechny lastníky služby ze šech služeb Winlocal. Problém: Při použití nárhu formulářů ke konfiguraci data na formuláři, můžete nakonfiguroat atribut a zkontroloat, zda je hodnota zobrazena spráně, dokud není LDAP hodnota nastaena na null. Řešení: Typ DateInput umožňuje užiatelům ybrat ýchozí nebo alternatiní datum. Výchozí typ stupních dat umožňuje užiateli zadat, že hodnota atributu nikdy neyprší, zolením Nikdy administratiní konzoli nebo Nezoleno žádné datum samoobslužné konzoli. Alternatiní typ stupu data neumožňuje užiateli uést, že hodnota platnosti atributu nikdy neexpiruje a měl by se použíat pro případy, kdy hodnota atributu musí někdy expiroat. V případě ýchozího data se nuloá nebo prázdná hodnota atributu interpretuje jako atribut nikdy neyprší a je zobrazena na administratiní konzoli se zolením olby Nikdy ana samoobslužné konzoli se zolenou olbou Není zoleno žádné datum. Problém: Chcete-li zobrazit náhled zásady zajiš oání, elikost seznamu zobrazení oliněných účtů je omezena kombinací dou lastností souboru ui.properties: enrole.ui.pagesize a enrole.ui.pagelinkmax. Limit elikosti seznamu účtů je určen hodnotou lastnosti enrole.ui.pagesize, násobené hodnotou lastnosti enrole.ui.pagelinkmax, plus 1 (jedna). Standardně je například enrole.ui.pagesize=50 a enrole.ui.pagelinkmax=10, pak maximální elikost seznamu oliněných účtů se spočte takto: 50x10+1=501 Řešení: Máte-li elký počet oliněných účtů, které chcete zobrazit jako náhled změny zásady zajiš oání, zyšte hodně tyto dě lastnosti. Začněte zyšoat pouze hodnotu enrole.ui.pagelinkmax, protože zyšoání hodnoty enrole.ui.pagesize oliní i jiné části užiatelského rozhraní IBM Tioli Identity Manager. Problém: Náhled zásady zajiš oání skončí ypršením časoého limitu, pokud je souhrnná stránka náhledu nečinná déle než 10 minut po dokončení yhodnocení nebo pokud se zdálíte mimo souhrnnou stránku náhledu na déle než 10 minut. Jakmile dojde k ypršení časoého limitu, není možné ze souhrnné stránky získat podrobnosti. Po ypršení časoého limitu můžete na stránce souhrnu stisknout pouze Zařít. Řešení: Aby nedošlo k ypršení časoého limitu, yhněte se nečinnosti nebo přechodu mimo souhrnnou stránku náhledu na dobu delší než 10 minut. Jestliže se problém yskytne, zadejte požadaek na náhled znou. Problém: Jestliže je definice přístupu pro skupinu na službě odkazoána zásadou recertifikace a definice přístupu není pro skupinu definoána, nebude zásada recertifikace úplně aktualizoána odebráním definice přístupu. Cíl zásady recertifikace bude ypsán užiatelském rozhraní jako null nebo Žádný, z důodu nespráné aktualizace zásady recertifikace pro odebrání přístupu. Ačkoli užiatelské rozhraní zásady recertifikace bude zobrazoat cíl jako Žádný, spuštění zásady recertifikace bude pokračoat recertifikaci účtů, které yužíají skupinu, pro niž byl definoán přístup. Řešení: Pomocí užiatelského rozhraní oprate zásadu, která se odkazuje na definice přístupů, které mají být odstraněny: 1. Nejpre ze zásady recertifikace odeberte přístup, který má být odstraněn. Když je definice přístupu odstraněna před odebráním cíle ze zásady recertifikace, stránky zásad recertifikace se mohou použít k náhradnímu řešení problému. 2. Jakmile oteřete zásadu recertifikace režimu úpra, přejděte na kartu Cíl přístupu a odeberte cíl, uedený jako Žádný. Přehled o produktu 27

32 3. Zásadu recertifikace uložte, aby byla spráně aktualizoána. Jestliže jediný cíl zásady recertifikace je Žádný, můžete celou zásadu recertifikace odstranit, protože není yužíána žádnými definicemi přístupů. Podobný problém může nastat, pokud upraíte definici přístupu, kde zrušíte označení Zobrazit přístupoém seznamu. Není-li tato olba definici přístupu označena, pak zásada recertifikace, která se odkazuje na tuto definici přístupu, nebude yhledatelná podle názu přístupu. Problém: Při spráě identit se neobjeí žádná ýchozí operace pro objekt osoby na úroni entity. Operace se na úroni typu entity nezobrazují. Pokud se šak změní, budou operace nadále indikoat, že se jedná o systémem definoané operace. Omezení: Toto je skutečné omezení. Dle nárhu nejsou operace, definoané na úroni typu entity zobrazeny, je-li ybrána úroeň entity. Operace systémem definoané entity označují, že se jedná o systémem definoané i poté, co užiatel operaci uprail. Problém: Když konfigurujete IBM Tioli Identity Manager Integration for Maximo Serice Request Manager, erze 7.1, ydá weboá služba Maximo informaci o selhání olání, když se IBM Tioli Identity Manager pokusí podporoat íce než užiatelů. Jeden až da tucty užiatelů Maximo se důsledku selhání olání neytoří. Ašak užiatelé se ytoří, když se požadaky zadají znou. Omezení: Toto je skutečné omezení. Další informace iz APAR IZ Problém: Když odeberete uzel klastru z klastru a pak přidáte zpět uzel do klastru, administratiní konzola Tioli Identity Manager nebude spuštěna. Náhradní řešení: Přidejte datoý adresář ITIM_Home/ znou do cesty ke třídě na sereru přidruženém k uzlu. Problém: Když použijete grafické užiatelské rozhraní (GUI) k odeslání atributu s úodními a koncoými mezerami, serer IBM Tioli Identity Manager odstraní úodní nebo koncoou mezeru hodnoty atributu.to se yskytne o šech atributů kromě atributu hesla. Omezení: Toto je skutečné omezení. Omezení, problémy a řešení rámci WebSphere Application Serer Pří použití WebSphere Application Serer můžete narazit na následující problémy a použít tato řešení: Problém: WebSphere Application Serer a DB2 Uniersal Database jsou nainstaloány na témže počítači Windows. Služby WebSphere Application Serer a DB2 Uniersal Database jsou nastaeny na automatické spouštění. Po restartu počítače jsou WebSphere Application Serer a DB2 Uniersal Database úspěšně spuštěny, užiatele nebo účet šak nelze ytořit nebo uprait. Řešení: Stroj posílání zprá se nespustí, protože WebSphere Application Serer je spuštěn před spuštěním DB2 Uniersal Database. Jakmile se spustí WebSphere Application Serer, je spuštěn stroj zasílání zprá pro IBM Tioli Identity Manager, jestliže je danou chíli k dispozici DB2 Uniersal Database. Po restartu počítače se ručně přesědčte, že byl úspěšně spuštěn stroj pro zasílání zprá IBM Tioli Identity Manager. Na obrazoce WebSphere Application Serer Administratie Console oddílu topologie yberte Integrace služeb > Sběrnice > itim_bus > Stroje zasílání zprá. Není-li stroj pro zasílání zprá spuštěn, spus te jej z této stránky. Problém: Na operačním systému Sun Solaris 10 ytáří WebSphere Application Serer JVM chybu jádra při pokusu o změnu elikosti haldy JVM během uolňoání paměti. Řešení Nastate elikosti minima i maxima pro haldu JVM (Xms a Xmx) na stejné hodnoty. 28 Přehled o produktu

33 Známá omezení, problémy a jejich řešení oblasti databázoého sereru Pří použití databázoého sereru IBM Tioli Identity Manager můžete narazit na následující problémy a použít tato řešení: Problém: IBM Tioli Identity Manager se nenainstaluje na systém Windows, konfiguroaný ruském jazyce. Konkrétně DB2 Uniersal Database nemůže určit administrátora Windows, pokud je ID užiatele uedeno ruštině. Řešení: Než se pokusíte spustit instalační program IBM Tioli Identity Manager nebo obslužný program konfigurace middleware, oteřete spráu užiatelů operačního systému a změňte ruský zápis užiatele Administrator a skupiny Administrators na anglický zápis. Zkuste instalaci zopakoat. Problém: Produkt IBM Tioli Identity Manager nepracuje s oladačem SQL Serer JDBC Drier 1.2, když je poolen FIPS. Náhradní řešení: ypněte FIPS. Produkt IBM Tioli Identity Manager pracuje s oladačem SQL Serer JDBC Drier 1.2, když je FIPS ypnutý. Microsoft přijala tento problém jako defekt oladači SQL Serer 2005 JDBC, erze 1.2. Známá omezení, problémy a jejich řešení oblasti adresářoého sereru Pří použití adresářoého sereru IBM Tioli Identity Manager můžete narazit na následující problémy a použít tato řešení: Problém: V některých prostředích Linux se může yskytnout potenciálně ignoroatelná chyboá zpráa během importu profilu služby. V souboru protokolu ibmslapd.log IBM Tioli Directory Serer se můžete setkat s chyboou zpráou selhání soketu: 07/22/07 16:06:11 GLPCOM001E Selhání ytoření soketu; errno 4 (Volání systému přerušeno). 07/22/07 16:06:11 GLPCOM001E Selhání ytoření soketu; errno 4 (Volání systému přerušeno). 07/22/07 16:06:11 GLPCOM001E Selhání ytoření soketu; errno 4 (Volání systému přerušeno). Náhradní řešení: Pokud bu Tioli Identity Manager, nebo operace LDAP uspěla, ignorujte tyto zpráy, které jsou zapsány do souboru ibmslapd.log, ale neoliňují požadoanou operaci. Jestliže operace selhala, spojte se s podporou Tioli Identity Manager úroně 2. Problém: Serer LDAP může po několikadenní aktiitě nebo během interalu s elkým počtem užiatelů pozastait činnost. Náhradní řešení: V adresářoém sereru nastate proměnnou prostředí LDAP_WAITQ=NO, než spustíte serer LDAP. Nastaení hodnoty LDAP_WAITQ na NO změní choání sereru LDAP, aby se použila metoda zacházení s prostředky erze 6.0. Další informace iz APAR IO Omezení, problémy a náhradní řešení pro Directory Integrator Použíáte-li IBM Tioli Directory Integrator, můžete narazit na následující problémy a použít tato řešení: Problém: Je známo, že IBM Tioli Directory Integrator e erzi 6.1 se zastaí případě elké zátěže při ysokém počtu požadaků na odstranění užiatelů. Například při pokusu odstranit nebo íce užiatelů najednou se může stát, že se IBM Tioli Directory Integrator zastaí. Náhradní řešení: pokuste se odstranit najednou méně užiatelů, abyste se tomuto problému yhnuli. Další informace uádí opraa APAR IO Omezení, problémy a řešení oblasti prohlížeče Můžete se setkat s následujícími omezeními nebo problémy prohlížeče a použít tato řešení: Problém: Klepnete-li na Spraoat služby > Výběr služby a pak yhledáte službu, tabulka Služby rátí seznam služeb. Je-li náze služby, uedený jako odkaz tabulce, příliš dlouhý, mohou znaky názu zcela prao přetéci hranici praého okraje tabulky. Přehled o produktu 29

34 Omezení: Toto je omezení prohlížeče, který neumožní zalomení dlouhého názu služby na hranici sloupce. Problém: Pokud použíáte prohlížeč Mozilla erze 1.7, můžete z nabídky na hlaním uzlu organizace ytořit podřízený uzel, například umístění. Noý uzel bude zobrazen pod hlaním uzlem organizace. Pokud šak sbalíte hlaní organizaci a ytoříte druhý uzel, například další umístění, zobrazený strom organizace se rozbalí, ale druhý uzel se e stromu neobjeí. Řešení: Sbalte uzel se stromem organizace a znou jej rozbalte. Další uzel bude nyní zobrazen. Problém: Při použití prohlížeče Mozilla erze 1.7 může po sladění služby a následném ypsání šech užiatelů služby dojít k přesahu posledního řádku tabulky Užiatelé do řádku souhrnu. Proe te například: 1. Klepněte na Spraoat služby > Výběr služby a klepněte na Vyhledat, abyste yhledali dostupné služby. V tabulce Služby yberte službu. Poté rozeírací nabídce klepněte na Sladit nyní. 2. Po úspěšném dokončení sladění klepněte na Spraoat užiatele > Výběr užiatele. Klepnutím na Vyhledat yhledejte dostupné užiatele. Předpokládá se, že bude dostatečný počet užiatelů, aby zaplnil tabulku, přičemž poslední řádek tabulky Užiatelé přesahuje na řádek souhrnu. Omezení: Toto je známým omezením prohlížeče. Problém: Při použití prohlížeče Internet Explorer se pro některé aktiity rozhodnete použít tlačítko Procházet, klepnutí na kláesu Enter šak nespustí proedení požadoané akce. Například stisknutí kláesy Enter nezpůsobí, aby kláesa Procházet zobrazila stránku Vyberte soubor během kroku sladění při ytáření služeb. Řešení: K ýběru tlačítka Procházet místo kláesy Enter použijte mezerník. Toto je známé omezení prohlížeče. Problém: Pokusíte-li se oteřít stránku s informacemi o IBM Tioli Identity Manager pomocí prohlížeče Internet Explorer se zapnutým rozšířeným zabezpečením ESC (Enhanced Security Configuration), bude z důodu zabezpečení zobrazení zablokoáno. Stránka s informacemi o aplikaci obsahuje náze sereru, číslo a datum sestaení produktu a další informace o produktu. Řešení: Aby bylo možné stránku zobrazit, přidejte umístění about:blank do seznamu důěryhodných sererů prohlížeče. Není to šak doporučeno, protože přidání about:blank jako důěryhodného sereru sníží úroeň zabezpečení systému. Problém: Když spraujete aktiity a chcete zobrazit a zamknout aše aktiity, grafický obraz zámku se následně neobjeí edle aktiity, kterou zamknete pro produkt IBM Tioli Identity Manager, zobrazený prohlížečem Mozilla, erze 1.7.x. Řešení: chcete-li zobrazit symbol zámku, oteřete prohlížeč na jiné kartě a ra te se na stránku, na které jsou zobrazeny zamčené aktiity. Problém: Klepnutím na tlačítko Zpět prohlížeči během stupu dat užiatelském rozhraní může způsobit ztrátu ámi zadaných dat. Například klepnutím na tlačítko Zpět a poté na tlačítko Vpřed způsobí ztrátu dat, zadaných do polí. Omezení: Nepoužíejte tlačítka Zpět a Vpřed z nabídky prohlížeče, pro přechody z jednoho okna do druhého použíejte pouze olby, poskytoané okně aplikace. Problém: Užiatel nemůže oteřít íce relací prohlížeče pomocí IBM Tioli Identity Manager Serer. Omezení: IBM Tioli Identity Manager nepodporuje použití stejného prohlížeče ke spuštění íce relací se sererem. Problém: Posloupnost tabulátoru pro stránky obsahující přepínače není ždy prohlížeči Internet Explorer spráná. 30 Přehled o produktu

35 Omezení: Při přepínání do skupiny přepínačů by se měl fokus přesunout na aktuálně ybraný přepínač. V některých případech bude fokus nespráně přesunut na nejbližší přepínač e skupině a ne na aktuálně ybraný přepínač. Problém: Při použití prohlížeče Firefox můžete narazit na problém s ýběrem íce položek některých ýběroých polích, použíáte-li kombinaci kláes shift a šipka dolů. Příkladem může být pole Organizační role, umístěné na formuláři osoby. Tento problém se prohlížeči Internet Explorer neobjeuje. Řešení: Více položek yberte přidržením kláesy Control (Ctrl) nebo použitím shift a dolů rychle a opakoaně nebo ýběrem prní položky a použitím shift a klepnutí na jinou položku, čímž yberete obě ybrané položky a šechny položky mezi nimi. Problém: Při použití prohlížeče Internet Explorer erze 6 se SP2, mohou být tlačítka Zadat a Storno neaktiní, pokud zadáte během importu dat nespráný náze souboru a pokusíte se soubor importoat. Toto může například nastat, klepnete-li na Konfiguroat systém > Import dat a pak se pokusíte nahrát nespráně uedený soubor. Tento problém se neyskytuje s prohlížečem Mozilla, ani u yšších erzí prohlížeče Internet Explorer. Řešení: Zopakujte operaci a zadejte platný náze souboru, který chcete importoat. Problém: Titulek dialogoého okna JaaScript se objeí jako [Aplikace JaaScript] místo Produkt IBM IBM Tioli Identity Manager, erze 5.0, když se ukončí instalační program příručního panelu. Omezení: Toto je známé omezení s titulky dialogoých oken JaaScript při použití prohlížeče Mozilla nebo Firefox. Tento problém se neyskytne u operačních systémů Windows. Problém: Internet Explorer 7, spuštěný operačním systému Windows, který není anglický, může opatřit rozbaloací seznam zkráceným obsahem. Omezení: Toto je známé omezení, které se neyskytuje u prohlížeče FireFox nebo Internet Explorer spuštěného na operačních systémech s anglickou erzí. Omezení, problémy a řešení oblasti usnadnění Je možné, že se rámci IBM Tioli Identity Manager setkáte s těmito omezeními nebo problémy usnadnění. V tomto případě použijte tato řešení: Problém: Odělující symbol, použitý mezi řetězci úloh, což je znak >, je čtecím zařízením, například JAWS, přečten jako ětší než. Čtecí zařízení narazí na tento symbol při čtení názu úlohy z okna, které poskytuje IBM Tioli Identity Manager. Čtecí zařízení může například číst Domů > Zobrazit nebo změnit profil jako sloa Domů ětší než Zobrazit nebo změnit profil. Omezení: Použitý znak odděloače > je kódoán jako znak ětší než. Ekialentní zobrazitelný znak, který by byl čtecím zařízením ynechán, není této erzi dostupný. Problém: Při přepnutí na tlačítko pro odhlášení praém horním rohu stránky konzoly IBM Tioli Identity Manager a stisku kláesy ENTER nedojde na odhlašoací obrazoce k odhlášení. Čtecí zařízení, například JAWS, nepřečte tlačítko pro odhlášení jako odkaz. Řešení: Před stiskem kláesy ENTER stiskněte kláesu Tab naíc ještě jednou. Jinak bude místo tlačítka pro odhlášení ybrána buňka, e které se tlačítko nachází. Pro čtecí zařízení, například JAWS, není žádné náhradní řešení. Zrakoě postižená osoba šak nebude praděpodobně přepínat mezi šemi rámci. Toto je nejspíš způsobeno tím, že osoba yolá seznam odkazů (klepnutím na Ins-F7) a ybere Odhlásit. Problém: Čtecí zařízení, například JAWS, čte prohlížeči Mozilla Firefox tlačítka, určená pouze pro čtení. Čtecí zařízení například přečte zašedlá tlačítka Změnit nebo Odstranit, jako by byla aktiní. Při použití prohlížeče Internet Explorer e erzi 6.0, serisní balík 2 nebo noějšího, čtecí zařízení spráně určí, že tlačítka pouze pro čtení jsou nedostupná. Omezení: Spráné čtení nedostupných tlačítek pro slabozraké užiatele je schopen prohlížeč Internet Explorer. Přehled o produktu 31

36 Problém: JAWS nepřečte prohlížeči Internet Explorer spráně stupní pole pro soubory. Vstupy pro soubory sestáají z textoého pole a tlačítka pro procházení. Při použití prohlížeče Internet Explorer s fokusem na textoém poli JAWs přečte oba objekty widget, pokud je fokus na tlačítku Procházet, nestane se nic. Čtecí zařízení například selže přečtením tlačítka Procházet, když by mělo být přečteno jako Tlačítko procházet, aktiujte stiskem mezery. Tyto problémy se neyskytují při použití prohlížeče Mozilla FireFox. Omezení: Pro potřeby spráného čtení prázdných polí a tlačítek Procházet mohou zrakoě postižené osoby použít prohlížeč Mozilla FireFox. Mohou se šak yskytnout jiné problémy se čtením, které lze řešit použitím jiného prohlížeče. Problém: čtecí zařízení obrazoky, například JAWS, přečte některá stupní pole, například data zahájení a ukončení plánu, jakoby byla pouze pro čtení a ne jako pole, umožňující ýběr noého data z oládacího prku kalendáře. Dále čtecí zařízení přečte pole, která byla naplněna tlačítky Vyhledat nebo Procházet, jako pole pouze pro čtení a ne jako pole, která lze klepnutím na tlačítka Vyhledat nebo Procházet změnit. Pokud například yberete e ýsledcích hledání osobu, a klepnete na OK, program se rátí na stránku, která má cíloé pole a jméno ybrané osoby se nyní objeí textoém poli, určeném pouze pro čtení. Podobný problém je pří klepnutí na tlačítko Vymazat, které ymaže hodnotu textoém poli, určeném pouze pro čtení. Omezení: Zde není žádné řešení. Užiatel musí porozumět, kdy klepnout na odpoídající tlačítko z dalších informací textu stránky nebo nápoědy, která je obsažena. Problém: Pomocí prostředního podokna apletu Form Designer není možné použíat kláesnici k přepínání mezi stránkou s lastnostmi dialogoého okna a atributy. Například kláesy Enter ani Tab nezpůsobí přepnutí fokusu. Náhradní řešení: Spus te aktiitu úpra klepnutím na odkaz spustit na noé stránce. Protože neexistuje žádná prní úroeň (hlaní) záhlaí na stránkách konzoly IBM Tioli Identity Manager, nemůžete použít funkce čtení, které aplikace Freedom Scientific JAWS poskytuje. Užiatelé, yužíající čtecí zařízení by měli číst obrazoku pomocí JAWS funkcí pro čtení odstaců, řádků nebo celé stránky. Nejdůležitější rámce, které čtecí zařízení yužíají: Přepínač úloh, přepínající mezi aktiními úlohami na konzole. Oblast portfolia k přístupu na seznam úloh, které se mají proést. Praconí oblast, což je aktuální aktiní stránka. Problém: Některá čtecí zařízení pro prohlížeče, použíaná lehce postiženými užiateli, mohou občas přečíst oladač na stránce grafického užiatelského rozhraní IBM Tioli Identity Manager erze 5 dakrát. Toto se například stáá při použití čtecího zařízení JAWS. Řešení: Druhé čtení ignorujte. Grafické užiatelské rozhraní IBM Tioli Identity Manager erze 5 neobsahuje nikdy na jedné stránce íce oladačů se stejným názem. Omezení, problémy a řešení oblasti sesta Během použití produktu IBM Tioli Identity Manager můžete narazit na tyto problémy sesta a použít následující řešení. Problém: Jakmile proedete synchronizaci dat a pak spustíte sestau pro operace účtu se staem Neyřízeno, sestaa nezobrazí neyřízené požadaky na ytoření účtů. Při spuštění sestay je aktuální proces zajiš oání služeb e stau neyřízeno/naplánoáno a tabulkách sledu prací není žádný proces na ytoření účtu. Proces ytoření účtu je yolán, když se spustí naplánoaný proces zajiš oání služeb. Protože případě naplánoaného ytoření účtu není žádný neyřízený proces ytoření účtu, není sestaa schopna tento proces zachytit jako neyřízenou žádost. Řešení: Existuje částečné řešení. Abyste zobrazili žádostí na ytoření účtu pro typy služeb jiné než účty produktu Tioli Identity Manager, yberte Vytořit účet jako typ 32 Přehled o produktu

37 žádosti a pak zolte typ kořenoého zpracoání jako LIBOVOLNÝ nebo proces zajištění služeb. Vybrání LIBOVOLNÝ jako typ kořenoého zpracoání zobrazí šechny žádosti o ytoření účtu, kde se kořenoá zpracoání mohou lišit od jiných. Problém: Po instalaci japonštiny z jazykoé sady, sestaa po zolení angličtiny při přihlášení k produktu Tioli Identity Manager zobrazí chybné znaky. Pokud šak yberete pro přihlášení japonštinu, bude sestaa zobrazena spráně. Řešení: Tento problém nastáá, pokud spustíte sestau s nastaeným japonským jazykem, přičemž máte národní prostředí nastaené na angličtinu, protože ýchozí anglické písmo nepodporuje znaky DBCS. Chcete-li zobrazit sestay, generoané jazyku doubajtoé znakoé sady (DBCS), uě te písmo, které je schopné zobrazit DBCS znaky. Toto řešení se týká jiných národních prostředí, než anglického, pokud odpoídající písmo nepodporuje DBCS znaky. Postupujte takto: 1. Oteřete soubor ITIM_HOME/data/enRoleFonts.properties. 2. Označte řádek $LOCALE=$font_name jako anglické písmo. Pokud jsou například znaky sestaě japonštině a $LOCALE = en, zadejte en=sans-serif. 3. Přidejte noý řádek pro $LOCALE=$DBCS_character_support_font_name. Jsou podporoána tato písma: japonština zjednodušená_čínština tradiční_čínština korejština Problém: V jazycích arabština nebo korejština zůstáají sestaách PDF údaje datum a čas angličtině. Omezení: Toto je omezením Jaa. Formát data času pro arabské a korejské jazyky se zobrazuje nespráně, podle národního prostředí. Problém: Sestay praidel žiotního cyklu se negenerují spráně. Zdá se, že operace praidel žiotního cyklu má kořenoé zpracoání LC. V sestaě operací účtu se šechny operace účtu, které jsou proedeny pro praidlo žiotního cyklu, zobrazí s kořenoým zpracoáním jako LC. Náhradní řešení: Změňte příkaz a přidejte příkaz do souboru ITIM_HOME/data/ reportinglabels.properties. Proe te tyto kroky: 1. Oteřete soubor ITIM_HOME/data/reportingLabels.properties liboolném textoém editoru. Pokud máte nainstaloanou jazykoou sadu, soubor, který upraujete, je soubor ITIM_HOME/data/reportingLabels_languagecode.properties, kde languagecode je specifický lokální kód, jako je en pro angličtinu. 2. Uprate následující příkaz nahrazením ls znaky lc. rootprocessiew.type.ls=life Cycle Rule Execution Po změně bude řádek ypadat takto: rootprocessiew.type.lc=life Cycle Rule Execution Pro jiné, než anglické jazyky se bude text za ronítkem lišit. 3. Přidejte noé označení přidáním následujícího řádku: process.type.lc=life Cycle Rule Execution Pro jiné, než anglické jazyky se bude text za ronítkem lišit. 4. Soubor uložte a ukončete textoý editor. 5. Spus te sestau znou. Problém: Skript CrystalTestWAS označuje problém s připojením mezi počítačem IBM Tioli Identity Manager Serer a počítačem Crystal Enterprise. Konkrétněji, skript Přehled o produktu 33

38 CrystalTestWAS.sh, který se se spouští z nastaení UNIX, které hostí produkt Tioli Identity Manager Serer selže při připojení k sereru Crystal Management instaloanému na počítači Windows. Chyba je podobná této zpráě: com.crystaldecisions.enterprise.ocaframework.ocaframeworkexception$allserersdown: Všechny serery CMS, klastru a druhy cms jsou ypnuty nebo zablokoány V důsledku této chyby nelze spouštět sestay Crystal Reports z produktu Tioli Identity Manager a produkt Tioli Identity Manager a také nemůže importoat noé šablony Crystal Report. Náhradní řešení: Pokud se typ připojení užiatele Crystal Enterprise (lastnost crystalenterpriseuser souboru ITIM_HOME/data/crystal.properties) ybere jako Souběžný užiatel, přístup k systému Crystal Enterprise pro souběžného užiatele bude záiset na počtu ostatních užiatelů, kteří jsou momentálně připojeni do systému Crystal. Toto někdy ede k situaci, kdy užiatel Crystal Enterprise, použitý produktu Tioli Identity Manager, se není schopen připojit na systém Crystal, protože serer Crystal dosáhl limitu pro připojení. Jako důsledek se může tento typ chyby objeit při spuštění skriptu CrystalTestWAS. Proe te tyto kroky: 1. Přihlaste se do systému Windows, kde je instaloán systém Crystal Enterprise 10. Klepněte na Start Programy Crystal Enterprise 10 Crystal Configuration Manager. Oteře se stránka zobrazující šechny služby sesta Crystal Report. Vyberte šechny služby, které jsou momentálně spuštěny, a restarujte je. 2. Přihlaste se do systému UNIX, který hostí produkt Tioli Identity Manager jako nekořenoý užiatel Crystal, který byl použit k instalaci komponent klienta Crystal Enterprise do systému UNIX. Přejděte na adresář komponent klienta (crystalhome property souboru ITIM_HOME/data/crystal.properties) a spus te en.sh. 3. Ujistěte se, že šechny lastnosti uedené souboru ITIM_HOME/data/ crystal.properties, jsou spráné. 4. Spus te skript ITIM_HOME/bin/unix/CrystalTestWAS.sh znou. Problém: Generoání sestay schálení a zamítnutí sereru Tioli Common Reporting Serer může mít problémy s ýkonností, když je zahrnuto příliš elké množstí dat. Omezení: Toto je známé omezení při použití operátoru like dotazu. Ostatní omezení, problémy a řešení Můžete se setkat s těmito dalšími problémy a použít tato řešení: Problém: Je-li systému Windows XP zapnut ysoký kontrast, zobrazení apletu nárháře sledu prací IBM Tioli Identity Manager se nezformátuje znou, aby použilo schéma s ysokým kontrastem. Přepnete-li na ysoký kontrast, rámeček okna apletu se změní na ysoký kontrast. Pole zobrazeném apletu šak na změnu ysokého kontrastu nereagují. Řešení: Aktualizujte prohlížeč, aby se znou načetl nárhář sledu prací, který se aktualizuje nastaením ysokého kontrastu. Problém: Aktiní užiatelé získáají neočekáané ýsledky, pokud se změní datum a čas operačním systému, na kterém je nainstaloán IBM Tioli Identity Manager. Řešení: Pokud jakožto administrátor změníte datum a čas operačním systému, na kterém je IBM Tioli Identity Manager nainstaloán, ždy se přesědčte, že do IBM Tioli Identity Manager Serer nejsou přihlášeni žádní užiatelé. Pokud je změna ýznamná, přihlášení užiatelé se mohou setkat s nepředídatelnými ýsledky. Problém: Panel nápoědy pro rozšířené yhledáání užiatele zobrazí další pole. Omezení: Panel nápoědy zobrazuje informace o dalších polích, která nejsou zobrazena na hledané stránce. Tato pole jsou specifická pro účet LDAP a lze je přidat pomocí odkazu Přidat jiné hledané pole. 34 Přehled o produktu

39 Poznámka: Informace o typu Účtu nespráně hlásí, že typ nelze změnit. Typ účtu je možné změnit. Problém: Panel nápoědy pro rozhraní Form designer ypíše moti Tungsten jako ýchozí moti menu. Omezení: Spráný náze je Výchozí moti. Problém: Kontextuální nápoěda stránky Porušení zásad dělení činností označuje, že se tabulce zásad nachází sloupec Náze osoby. Ašak tabulka nezahrnuje tento sloupec. Omezení: Toto je známé omezení obsahu kontextuální nápoědy. Technický přehled Produkt IBM Tioli Identity Manager můžete yužít ke spráě záznamů identit, reprezentujících osoby obchodní organizaci. Tento oddíl uádí architekturu produktu a hlaní komponenty. IBM Tioli Identity Manager je řešení spráy identit, které centralizuje proces zajiš oání prostředků, jako je zajiš oání účtů na operačních systémech a aplikacích užiatelům. IBM Tioli Identity Manager ám poskytuje možnost přidáat do základní spráy užiatelů obchodní procesy a zásady zabezpečení, četně schaloání užiatelských požadaků na přístup k prostředkům. Kromě toho produkt IBM Tioli Identity Manager poskytuje uniformní způsob, jak spraoat užiatelské účty a delegoat administraci, četně samoobslužného užiatelského rozhraní a rozhraní střediska podpory. Užiatelé, autorizace a prostředky Administrátor použíá entity, které IBM Tioli Identity Manager poskytuje pro užiatele, autorizaci a prostředky pro poskytnutí ýchozího a dalšího přístupu měnící se organizaci. Obrázek 1. Užiatelé, autorizace a prostředky Identity Identita je podmnožinou dat profilu, která jednoznačně reprezentuje osobu jednom nebo íce úložištích a obsahuje i další informace, souisející s danou osobou. Účty Účet je sada parametrů pro spraoaný prostředek, který definuje identitu, užiatelský profil a poěření. Přehled o produktu 35