itim

On a parfois besoin de lancer une réconciliation en mode "mark" sur ITIM afin d'avoir une idée des modifications qui seraient apportées aux comptes sur un service, surtout si celui-ci n'a pas été réconcilié depuis un certain temps.

Le souci lorsqu'on lance une réconciliation via l'IHM est que le service est bloqué pendant ce temps, et que les modifications sont mises en attente ou tombent en échec.

Une manière de contourner le souci est de créer une réconciliation programmée, qui permet de ne pas bloquer le service.

Dans IBM Tivoli Identity Manager (ITIM), si une réconciliation est interrompue en cours (plantage du service ou de WebSphere), le service reste marqué comme étant en cours, et "locké". Il n'est plus possible alors de faire des mises à jour sur ce service.

Dans un environnement ITIM, qui utilise une base Oracle, on a parfois des messages d'erreurs dans le  fichier WebSphere SystemOut.log :

Dans certaines règles de provisionnement (Provisioning Policies), il est parfois nécessaire de construire le DN du manager, par exemple pour alimenter un champ manager dans un annuaire LDAP ou Active Directory, qui sont des DN.
Inutile donc, dans ce cas, de mettre uniquement le matricule ou le nom du manager, il faut soit construire, soit récupérer la valeur du DN du manager dans le service distant.

Voyons comment ceci peut être réalisé dans une PP ITIM, selon les cas.

Symptômes

Suite à l'ajout de rôles dynamiques sur une instance ITIM, on note un comportement curieux d'ITIM à chaque modification d'un utilisateur ; la modification échoue, avec le message de retour :

CTGIMO019E The following LDAP error occurred. Error: Unbalanced parenthesis.

En regardant les logs ITIM (trace.log), on identifie une stack dump java :

Lorsqu'on charge un adaptateur ITIM (via Configure system > Manage Service Types) on récupère la description de l'adaptateur.

Par défaut, celui-ci n'est pas versionné, il s'agit juste d'une description :

Avant de pouvoir lancer des rapports d'activité, audit et autres dans ITIM, il faut auparavant lancer une "Data Synchronization".
Cette étape peut parfois être très longue, en fonction des données à traiter. Sur notre plate-forme de production, tout récemment initialisée, l'opération a duré 47 minutes pour 70 000 personnes (et aucun compte externe à ITIM).