Novell Identity Manager 基于角色的供应模块 3.7 自述

1.1 主题支持

版本 3.7 支持以下主题：

在 User Application 较早版本中引入的若干主题在此版本中已弃用。以下主题已弃用：

当前版本不再支持这些主题。不能在管理选项卡的主题管理页上选择以上这些主题。

Manilla、Linen、Medico 和 IDMStandard 主题极有可能从将来的版本中去除。如果使用以上这些主题之一，则应将其迁移至 User Application 版本 3.7。如果使用基于任一已弃用主题的自定义主题，则需要执行以下步骤以迁移主题：

1.2 允许用户修改其自身信息的步骤

本节提供允许典型用户在 Novell User Application 3.0.x 上的细节 Portlet 内执行自修改过程所需的步骤。

1.3 NVDA 读取器读取 IE7 上的口令

在 Internet Explorer 7 中，如果用户在登录屏幕中输入口令，并在仍处于“口令”字段时就按退格键，则 NVDA 读取器将读出在口令中输入的字符，从而显示口令。在 FireFox 上不会发生此行为。

这是 NVDA 读取器软件的一个已知问题。

1.4 用户无法在 Firefox 2.0 上更改口令

在 Firefox 2.0.0.2 和 2.0.0.11 上，用户无法通过口令管理下的“更改口令”链接更改其口令。

执行这些步骤后，用户应看见一条确认口令更改的讯息。如果未显示任何讯息，则表示口令未更改。此时，仍显示同一页面。如果用户稍后在 User Application 中单击任何其他链接（如“组织结构图”），则将该用户重定向至登录页。

1.5 单击“浏览”字段起动 FireFox 3 的浏览功能

运行 FireFox 3 浏览器时，如果访问“管理”选项卡上的“SSO 配置”页并单击浏览字段，则用户界面将弹出浏览功能。这是 GWT 中的一个已知问题。 有关更多信息，请参见 https://bugzilla.mozilla.org/show_bug.cgi?id=258875。

1.6 在 FireFox 2 上保存区域设置时显示错误页面

在 FireFox 2.0.0.11 上，如果尝试保存区域设置，则可能会看见一条错误讯息，而不是确认讯息。错误讯息显示后，如果单击任一链接或 User Application 内的选项卡，则会显示登录页。如果打算使用 FireFox 2，您需要使用最新版本 (2.0.0.20)，因为 FireFox 已停止支持其版本 2 的浏览器。

1.7 Novell GroupWise Portlet 已被去除

在 Novell Identity Manager 基于角色的供应模块 (RBPM) 版本 3.7.0 中，已完全去除专有 Novell GroupWise Portlet。如果从之前版本的 RBPM 进行升级，则将在升级过程中去除 Novell GroupWise Portlet。

这是可用的开放源代码 JSR-168 Novell GroupWise Portlet。要了解有关这些 Portlet 的更多信息，请转至 http://developer.novell.com/wiki/index.php/Novell_Collaboration_Portlets。

Novell Collaboration Portlet 提供如何将它们部署到 JBoss 门户和 Liferay 门户的指导。

Novell Collaboration GroupWise Portlet 此时不会在 RBPM 门户中运行。我们已记录 Bug 476982 以供负责开发这些 Portlet 的开发人员使用，使问题得以解决。如果需要将 GroupWise Portlet 与 RBPM 门户配合使用，则您需要使用 RPBM 门户以及上述两个门户之一，直到阻塞问题解决为止。或者，您可以尝试使用 RPBM 版本 3.7.0 和仍包含专有 Novell GroupWise Portlet 的之前版本。

1.8 外部忘记口令 WAR 文件名必须在 configupdate 批文件中手动重命名

运行 configupdate 独立模式时，如果用户选中“使用外部口令 WAR”复选框，则外部 war 名称将重命名为在“忘记口令链接”字段中指定的名称。例如，如果将“忘记口令链接”输入为：http://localhost:8080/NewExtWar/jsps/pwdmgt/ForgotPassword.jsp，则外部忘记口令 war 名称将重命名为 NewExtWar.war。

完成以上步骤后，在 configupdate 进程的最后，如果重命名成功，则将显示以下讯息：

Renaming external war file from
/data/novell/trunk/runtime/build-library/ExtPwdMgt.war to
/data/novell/trunk/runtime/build-library/NewExtWar.war is successful, please
update configupdate.sh or configupdate.bat parameter -extFile to reflect
renamed war name.

重命名 WAR 文件名是手动过程。要完成此过程，您需要编辑 configupdate.sh 或 configupdate.bat 来修改 -extFile 参数以反映新的外部忘记口令 war 文件名。要完成以上示例，您需要按以下方式更改参数：

-extFile /data/novell/trunk/runtime/build-library/NewExtWar.war in above case.

1.9 用 Adobe Reader 8.0 在 IE 7 上检索业务角色的角色列表报告时出现错误

在 Internet Explorer 7 上，如果尝试生成指定为角色级别业务级别的角色列表报告，则在使用 Adobe Reader 8.0 时会出现以下错误讯息：

Internet Explorer cannot display the page

这是 Adobe Reader 8.0 的一个已知问题。要更正此问题，需要更新您的读取器。

1.10 在从 3.6 迁移至 3.7 时 MySQL 数据库中的区分大小写设置必须保持一致

在从 RBPM 3.6 迁移至 3.7 时，需要确保 3.6 数据库与 3.7 数据库之间的区分大小写设置保持一致。此外，还需要使用 ansi 模式，以及相同的字符集和校验值。

要设置为区分大小写，则需要确保 lower_case_table_names 的值在迁移时在数据库版本之间保持一致。以下是说明如何设置该值的示例：

set-variable=lower_case_table_names=0

1.11 刚去除的指派的超速缓存问题

如果创建一个角色或资源指派，然后去除它，您将看见一条讯息，表示该指派已去除但仍被列出。如果刷新此页面，则将看见该指派已去除。这是超速缓存问题引起的。

1.12 “管理”选项卡上缺少 SOAP 资源服务链接

User Application 中的“管理”选项卡不包含指向新资源服务的左导航链接。此功能在此版本中不可用。在将来的版本中可能会添加此功能。

1.13 角色和资源指派中的某些文本字段在 Firefox 2 中不显示光标

在 Firefox 2 中，角色和资源指派的过滤器对话框中的某些字段在单击时不显示光标。这是一个已知的 Firefox 2 bug。

1.14 驱动程序重启动时不会重评估未处理的角色请求

角色服务驱动程序重启动后有时不会重评估未处理的角色请求（即状态为 0 的请求）。例如，假设角色服务驱动程序 (TestRoleDriver) 指向 User Application A（错误配置）。指向驱动程序 B 的 User Application 提交了向用户指派角色的请求。由于没有为 User Application 驱动程序 B 配置任何角色驱动程序，因而不会选取此请求。重配置 TestRoleDriver 以指向 User Application 驱动程序 B 并重启动。但是，现有角色请求的状态不会改变（仍是 0），并且请求不会被处理。

1.15 刷新浏览器将使您退出管理模式

如果在管理模式下刷新浏览器，则将退出管理模式。这是因为管理模式的状态储存在 JavaScript 中。

在 Internet Explorer 和 FireFox 中也会发生此问题。

1.16 需要在 eDirectory 上将 NDSD_TRY_NMASLOGIN_FIRST 设置为 true

如果执行默认 eDirectory 安装并对现有用户应用口令策略（有针对用户操作的电子邮件口令），则以此用户身份登录并执行忘记口令过程时，会看见一条讯息，显示在回答完询问应答问题后未设置通用口令。

要修复此问题，需要执行以下两个步骤：

1.17 某些字符在角色和 SoD 名称中不受支持

创建角色或责任分离 (SoD) 限制时，需要确保未包含特定字符。以下字符在角色和责任分离 (SoD) 限制名称中不受支持：

< > , ; \ " +  # = / | & *

名称开始或结尾处的空格将自动删除。

1.18 请求细节中的证明者未按证明结果进行过滤

在“合规性”选项卡 >“查看证明请求状态”>“请求细节”中，更改状态过滤准则时，“按证明结果过滤”并不总是起作用。某些与过滤准则不匹配的证明者行仍会出现。解决方法是，选择“状态”并单击“过滤器”，然后选择“证明结果”并再次单击“过滤器”。

1.19 Novell Secure Login 6.1 和 7.0 与 RBPM 不兼容

将 Novell Secure Login 6.1 和 7.0 与基于角色的供应模块搭配使用时，会在口令管理方面遇到问题。这些问题将在将来版本的 Novell Secure Login 中得以解决。

1.20 在管理模式下，用户选定角色不是通过先行提示功能选择的

在对角色或资源的先行提示支持中，如果列表显示最后一个值的字母最少且只有一个单词，则说明在先行提示列表中选择最后一项时存在问题。例如，假设您键入 Test，则列表中将按以下顺序出现下列值：

Test2
Test

如果选择 Test，当您单击其他任意位置时，则将选中 Test2。终端用户可以通过单击“查找器”图标搜索 Test 而不是键入 Test 来解决此问题。角色管理员可以尝试添加以 Test 开头的临时角色，然后删除它们，来解决此问题。如果列表排序正确（如下所示），则将不会发生此问题：

Test
Test2

1.21 更改状态过滤准则时“按证明结果过滤”不起作用

在合规性选项卡上的查看证明请求 > 请求细节屏幕中，当用户更改状态过滤准则时，按证明结果过滤功能并不总是起作用。某些与过滤准则不匹配的证明者行仍会出现。解决方法是，选择状态并单击过滤器，然后选择证明结果并再次单击过滤器。

1.22 针对终端用户的任务通知中的超时过滤不起作用

终端用户登录后，工作仪表板上任务通知列表中的超时过滤器不起作用。供应小组管理者登录后，如果不对其他用户实施管理，则超时过滤器也不起作用。如果他对其他用户实施管理，则超时过滤器将按预期工作。供应管理员或供应管理者登录后，超时过滤器也将按预期工作。

1.23 用户界面会在 Firefox 3.0.5 上生成不必要的错误讯息

使用 Firefox 3.0.5 浏览工作仪表板并与应用程序的其他部分进行交互时，会看见一条错误讯息，具体文本如下：Permission denied to get property Window.JUICE（权限遭拒绝，无法获取属性 Window.JUICE）。 此讯息并不表示应用程序出现实际错误或问题。要更正此行为，请升级至最新版本的 Firefox 3.0。

1.24 双击链接可打开对话框的多个实例

在 User Application 的角色、资源和 SoD 部分中双击链接时，可能会打开多个对话框。例如，如果选择某个角色并双击编辑链接，则会看见出现此对话框的两个实例。要解决此问题，只需关闭多余的对话框即可。

1.25 当登录名包含 * 或 + 时将显示空白页面

如果用户 cn 包含 * 或 +，则 User Application 将在登录时显示空白页面。请勿在登录名中使用这些字符。

1.26 角色和资源驱动程序在首次启动时可能不处理现有请求

在角色和资源驱动程序首次启动前由 User Application 创建的角色请求不会得到处理。这些请求在 User Application 中的状态为正在运行：新请求。如果 User Application 中有此状态的请求，则可通过对角色和资源驱动程序执行同步来处理这些请求。请注意，同步进程所需时间取决于树的大小。

1.27 启用浏览器超速缓存以获得最佳客户端性能

RBPM 3.7 使用 GWT (Google Web Toolkit)，后者将应用程序代码储存在文件中，该文件将由用户浏览器超速缓存，而不是针对每个用户会话进行装载。因此，建议您启用浏览器上的超速缓存以实现最佳性能。

1.28 对象选择器并不总是显示在 IE 7 或 8 上的口令同步状态管理 UI 中

使用 Internet Explorer 7 或 8 的管理员尝试在 User Application 的管理 > 应用程序配置 > 口令同步状态页中添加或更新口令同步状态应用程序时，在使用扩展的语言列表编辑应用程序名称的本地化的值之前，应填写应用程序 DirXML-PasswordSyncStatus GUID 或相关驱动程序的细节。语言列表得到扩展后，将不再显示在细节设置中所用的对象选择器。

要更正与对象选择器关联的显示问题，请通过取消编辑关闭设置窗口，或保存不完整的细节再重新打开设置，此时对象选择器应能正常工作。

1.29 某些字段不显示验证讯息

正常情况下，应对无效值显示验证讯息，但对“资源指派”窗口或“批准的仲裁人数百分比”中的字段有时不显示验证讯息。 例如，在用户单击“清除”然后“提交”或输入 %、$ 或 - 字符时，即会出现上述情况。

1.30 SSO 管理 UI 中的浏览按钮未本地化

在 User Application 的管理 -> 单点登录 (SSO) 部分中，SSO 控制器配置和 SSO 提供程序区域中签名证书和签名密钥的浏览按钮未本地化。 这些按钮始终显示为英语 Browse...。

必须安装完全本地化的浏览器版本（即必须安装完整版的西班牙语 Firefox 或 Internet Explorer）。仅将浏览器中的语言从英语更改为其他语言不会使这些 HTML 控件得到翻译。这些 HTML 控件不受 UA 而是受浏览器的控制。这是默认的 HTML 控件行为。

1.31 快速单击导致显示错误

快速导航时，用户会在 User Application 中看见偶尔出现的数据装载错误。 此行为是意料之中的，因为 AJAX 控件无法完成其服务器呼叫。

1.32 报告管理员无法实现

在此版本中引入的“报告管理员”系统角色尚无法实现。此角色在角色编目中已可供指派，但尝试指派此角色将生成运行时异常。在用户界面中，发出指派请求时不会显示任何内容。

报告管理员角色功能将在将来的版本中实现。

1.33 小组管理者无法通过按关系指派创建委托指派

小组管理者无法使用按关系指派指派类型创建小组委托指派。只有具有执行 PRD 委托指派的明确权限的供应管理者才能使用按关系指派指派类型为此 PRD 创建委托指派。

1.34 运行角色报告所需的 PDF 插件

运行角色报告将生成 PDF。 如果浏览器尚未安装 PDF 插件，则系统将提示您保存文件，并要求您指定文件名。要避免出现此状况，请确保在运行报告前已安装 Adobe PDF 插件。

1.35 组织结构图视图在打印视图中不显示图像

组织结构图在打印视图中不显示图像。如果组织结构图 Portlet 上的“打印”图标处于选中状态，则可打印视图会显示相应的结构图，而不显示用户图像。

1.36 当默认结果数为零时，User Application 不显示任何结果

如果配置管理员在管理选项卡下的供应 UI 显示设置页上将每页显示的默认结果数的值更改为零，则工作仪表板页将无法显示“任务通知”、“资源指派”、“角色指派”和“请求状态”的细节。此外，“角色和资源”选项卡上的“角色编目”、“资源编目”和“SOD 编目”页以及“管理”选项卡上的“管理员指派”页也将无法显示任何结果。

如果将每页显示的默认结果数设置为零，则以上所列页面将显示全部结果，并且每页显示的默认结果数应为零。反之，页面不显示任何结果，并且当您扩展“工作仪表板”上的“请求状态”部分时，浏览器将挂起。

1.37 User Application 在启动时发生 SSO 兼容性错误

如果在管理 > 超速缓存页上将 JAASManager 日志级别设置为 TRACE，然后重启动 User Application，则“堆栈跟踪”中将显示以下错误讯息：

com.novell.common.auth.saml.ConfigureException: Failed to initialize SSO due to
improper environment.
    at
com.novell.common.auth.saml.AuthTokenGenerator.<init>(AuthTokenGenerator.java:82)
    at
com.novell.common.auth.saml.AuthTokenGeneratorFilter.init(AuthTokenGeneratorFilter.java:281)

解决此问题的步骤如下所述：

可以从 Apache 下载以上所列的 jar，也可以从 http://shibboleth.internet2.edu/downloads/opensaml/java/2.2.0/opensaml-2.2.0-bin.zip 内的endorsed文件夹获取它们。

1.38 屏幕阅读器支持

在可达性测试期间使用了 NVDA v. 0.6p3 屏幕阅读器。

1.39 在群集中可能出现 EboClusterManager 错误

在群集环境中可能会出现 EboClusterManager 错误。出错原因是向群集中的服务器发送了超速缓存通知以去除密钥，但远程超速缓存中不存在此密钥。

1.40 NrfCaseUpdate 无法使用 IP 地址

《安装指南》概述了在运行 NrfCaseUpdate 实用程序时使用 IP 地址连接到 eDirectory 服务器的步骤。但是，使用 IP 地址不起作用。NrCaseUpdate 实用程序会专门询问 eDirectory 服务器的 DNS 名称：

Specify the DNS address of the Identity Vault (e.g acme.com)

如果已提供 IP 地址，则 NrfCaseUpdate 进程将继续，并且将返回指示更新已成功的报告。但是，如果查看 schema.log（在 Linux 或 Solaris 上）或 Modschema.log（在 Windows 上），则将发现纲要实际上并未更新。此外，如果用 iManager 或 ConsoleOne 查看这两个属性（nrfLocalizedNames 和 nrfLocalizedDescrs），则将发现它们仍被标记为区分大小写的字符串，而不是忽略大小写的字符串。

如果纲要已更新，则将出现类似以下的条目：

Windows:

Begin schema update for: C:\Program Files\Novell\Identity
Manager\update-nrf-case.sch
(Note: Successfully resolved to server: .myserver-NDS.novell.myTREE)
Modifying schema attributes...
(Note: Successfully resolved to server: .myserver-NDS.novell.myTREE)
  : Different from existing definition, will attempt to modify
    Syntax: Modified OK
  : Different from existing definition, will attempt to modify
    Syntax: Modified OK
Schema update summary: 0 warnings and 0 errors

Linux:

Starting schema update for: update-nrf-case.sch...
Modified schema attribute nrfLocalizedNames.Modified schema attribute
nrfLocalizedDescrs.

只有计算机名（例如：myserver）或完全限定的名称（例如：myserver.novell.com）才能用于 Nrf CaseUpdate 实用程序。

1.41 Windows 2003 Server SP1 的 NrfCaseUpdate 问题

在 Windows 2003 Server SP1 上的某些实例中，nrfLocalizedNames 和 nrfLocalizedDescrs 的纲要不会在 NrfCaseUpate 实用程序运行结束时进行修改。实用程序将报告进程已成功完成。但是，Modschema.log 中没有条目表明纲要已修改。如果更新已修改纲要，则在 Modschema.log 中将出现类似以下的条目：

Begin schema update for: C:\Program Files\Novell\Identity
Manager\update-nrf-case.sch
(Note: Successfully resolved to server: .myserver-NDS.novell.myTREE)
Modifying schema attributes...
(Note: Successfully resolved to server: .myserver-NDS.novell.myTREE)
  : Different from existing definition, will attempt to modify
    Syntax: Modified OK
  : Different from existing definition, will attempt to modify
    Syntax: Modified OK
Schema update summary: 0 warnings and 0 errors

此外，如果用 iManager 或 ConsoleOne 查看这两个属性（nrfLocalizedNames 和 nrfLocalizedDescrs），则将发现它们仍被标记为区分大小写的字符串，而不是忽略大小写的字符串。

此问题有两种解决方法：

1.42 安装未能在控制台模式下为法语区域设置和 MS SQL 创建数据库纲要

在 Microsoft SQL Server 2005 中以法语作为语言在控制台模式下进行安装时，将不会创建数据库表。在 db.out 文件中将出现类似以下的错误：

SEVERE: null
liquibase.exception.JDBCException: java.lang.ClassNotFoundException: null
    at
liquibase.commandline.CommandLineUtils.createDatabaseObject(CommandLineUtils.java:97)
    at liquibase.commandline.Main.doMigration(Main.java:578)
    at liquibase.commandline.Main.main(Main.java:97)
Caused by: java.lang.ClassNotFoundException: null

此问题有两种解决方法：

1.43 SSO 鉴定标题的宽限登录计数器是错误的。

如果访问网关放置在 User Application 前面，且启用 SSO，则每次登录可用的宽限登录数可能要减 2，而不是减 1（无访问网关）。如果用户口令失效，用户界面会提示用户更改口令。用户应遵循显示的指导更改相应的口令。

1.44 关联报告不可用于小组管理者

关联报告仅可用于管理员和典型用户。它不可用于小组管理者。如果管理员配置关联报告页面安全设置，将关联报告向公众开放，则典型用户可以登录和查看自己的关联报告。但是，当小组管理者登录时，该用户无法使用查找图标搜索小组成员和查看小组成员的关联报告。

1.45 大于和小于符号在用户 CN 中不受支持

此版本的 User Application 不支持在用户 CN 中使用 < 和 > 符号（或其他任何登录属性，如职员 ID）。使用 < 或 > 符号会导致口令自助服务功能运行错误。

1.46 如果 OpenXDAS 已启用而 xdasd 未启动，则服务器启动失败

如果 User Application 配置为使用 OpenXDAS 执行审计记录，则在没有运行 xdasd 进程时该应用程序无法正确部署。错误讯息会显示在服务器控制台中，错误日志显示如下：

2008-05-03 13:46:48,308 ERROR [com.sssw.fw.servlet.Boot:contextInitialized]
Un>com.novell.srvprv.spi.util.servlet.LogConfiguratorException: Error
Initialize >        at
com.novell.srvprv.spi.util.servlet.LogConfigurator.init(LogConfigur>        at
com.sssw.fw.servlet.InitListener.contextInitialized(InitListener.ja>        at
org.apache.catalina.core.StandardContext.listenerStart(StandardCont>        at
org.apache.catalina.core.StandardContext.start(StandardContext.java>        at
org.apache.catalina.core.ContainerBase.addChildInternal(ContainerBa>        at
org.apache.catalina.core.ContainerBase.addChild(ContainerBase.java:>        at
org.apache.catalina.core.StandardHost.addChild(StandardHost.java:55>        at
sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
        at sun.reflect.NativeMethodAccessorImpl.invoke(Unknown Source)
        at sun.reflect.DelegatingMethodAccessorImpl.invoke(Unknown Source)
        at java.lang.reflect.Method.invoke(Unknown Source)
        at org.apache.tomcat.util.modeler.BaseModelMBean.invoke(BaseModelMB

Then hundreds of:

2008-05-03 13:46:53,072 WARN  [com.novell.soa.af.impl.core.EngineImpl:run]
Fai>java.lang.NullPointerException
        at com.novell.soa.af.impl.persist.EngineStateDAO.updateHeartbeat(Engin>
       at com.novell.soa.af.impl.core.EngineImpl$HeartbeatTimer.run(EngineImp> 
      at java.lang.Thread.run(Unknown Source)
2008-05-03 13:46:53,072 INFO  [STDOUT:warn] XDas was not enabled

可能也会存在因工作流程检测信号线程发生空指针异常而导致无限循环。

在 WebSphere 上，即使 OpenXDAS 发生异常，也会启动 User Application。

要解决此问题，请执行以下任一步骤：

1.47 共享或容器页面名称中文本后面的小于符号被截断。

用户界面不限制使用小于符号 (<)。但是，如果页面名称中包含 < 字符，页面名称不会正确显示在页面管理控制台中。页面列表和页面名称字段中的页面名称在 < 字符处将被截断。例如，名称 <Page 在页面列表中显示为空行，页面名称字段不显示任何内容。名称 Pa<ge 在页面列表中显示为 Pa，在页面名称字段中也显示为 Pa。

页面名称在导航 Portlet 中显示正确。

1.48 在 Internet Explorer 7.0 上必须为数字签名支持禁用保护模式

如果用 Windows Vista 版本的 Internet Explorer 7.0 运行数字签名小程序，则会看见以下错误讯息：

"The application's Digital Signature has an Error. Do you want to run the Application?" 

要修复此问题，需要关闭 Internet Explorer 中的保护模式。