Dans IBM Tivoli Identity Manager (ITIM), si une réconciliation est interrompue en cours (plantage du service ou de WebSphere), le service reste marqué comme étant en cours, et "locké". Il n'est plus possible alors de faire des mises à jour sur ce service.
Dans un environnement ITIM, qui utilise une base Oracle, on a parfois des messages d'erreurs dans le fichier WebSphere SystemOut.log :
Par défaut, ITIM utilise la time-zone de WebSphere, qui n'étant pas définie, peut être différente de l'heure du serveur.
Nous avons eu le souci sur une installation en Russie : le paramétrage des réconciliations utilisait l'heure française :
Dans certaines règles de provisionnement (Provisioning Policies), il est parfois nécessaire de construire le DN du manager, par exemple pour alimenter un champ manager dans un annuaire LDAP ou Active Directory, qui sont des DN.
Inutile donc, dans ce cas, de mettre uniquement le matricule ou le nom du manager, il faut soit construire, soit récupérer la valeur du DN du manager dans le service distant.
Voyons comment ceci peut être réalisé dans une PP ITIM, selon les cas.
Ce post de blog explique les étapes suivies et les écueils rencontrés lors de l'installation de ISIM6 (ex ITIM) sur une plate-forme Linux RedHat 64bits.
Depuis la version 6, IBM a renommé ITIM (IBM Tivoli Identity Manager) en ISIM (IBM Security Identity Manager).
L'environnement technique est le suivant :
Suite à l'ajout de rôles dynamiques sur une instance ITIM, on note un comportement curieux d'ITIM à chaque modification d'un utilisateur ; la modification échoue, avec le message de retour :
CTGIMO019E The following LDAP error occurred. Error: Unbalanced parenthesis.
En regardant les logs ITIM (trace.log), on identifie une stack dump java :
Lorsqu'on charge un adaptateur ITIM (via Configure system > Manage Service Types) on récupère la description de l'adaptateur.
Par défaut, celui-ci n'est pas versionné, il s'agit juste d'une description :
Dans ITIM, un service est placé dans une "Business Unit". Une fois défini, il n'est pas possible de le bouger via la console ITIM (ce serait possible en modifiant son attribut erparent dans l'annuaire, mais pas supporté ni conseillé par IBM).
Le placement d'un service ITIM permet de le positionner par rapport à des règles de provisionnement ou encore des règles de sélection de service. Si on bouge un service, est peut donc potentiellement être en dehors du périmètre de ces règles.
Avant de pouvoir lancer des rapports d'activité, audit et autres dans ITIM, il faut auparavant lancer une "Data Synchronization".
Cette étape peut parfois être très longue, en fonction des données à traiter. Sur notre plate-forme de production, tout récemment initialisée, l'opération a duré 47 minutes pour 70 000 personnes (et aucun compte externe à ITIM).
Suite à un crash disque sur un serveur mutualisé de base de données de développement - non sauvegardé, nous avons du recréer la partie base de données.
La base Oracle a été créée par les DBA, conformément aux recommandations avec les tablespaces ENROLE_DATA et ENROLE_INDEXES.
Le paramètre nls_length_semantics doit avoir pour valeur BYTE. Dans le cas contraire, oracle ne peut pas créer certains index, trop longs.
Il faut ensuite :