IDM 4.5sp6 (OES11sp3) -> IDM4.7spX (OES2018sp1)

[Константин Ошмян]

Всем добрый день!

Три года назад я делился своими впечатлениями об обновлении лотусного драйвера для IDM (4.0.2 -> 4.5). Время идёт, решил я, что пора обновить и исправно работавший всё это время IDM. Дело в том, что и на сам IDM этой версии (4.5sp6), и на операционку (OES11sp3/SLES11sp4) уже закончился или вот-вот закончится срок официальной поддержки.

Пробовал я всё это пока что на тестовой среде, но уже тоже понаступал на кучу граблей. Если кто пойдёт тем же путём, расскажу о них (лучше учиться на чужих ошибках).

Итак, исходный план включал в себя следующее:

• Смотрим, какие версии текущие на данный момент и поддерживается ли обновление "поверх" с того, что у меня есть.
• Операционка: текущая версия - OES 2018 sp1. Обновление поверх с OES 11 sp3 официально поддерживается, отлично.
• IDM: текущая версия - 4.7 sp2. Чтобы поставить sp2, надо сначала поставить 4.7 (т.е. надо сначала проставить версию 4.7, а затем отдельным шагом накатить сервис-пак, ну да ладно). Для версии 4.7 поддерживается обновление поверх с версии 4.5.6, отлично (можно "перескочить" через версию 4.6). В качестве поддерживаемой операционки для v4.7 перечислена OES 2018, совсем хорошо.
• Читаем всякие Installation Guides и Release Notes, чтобы удостовериться, что не будет неожиданностей. Например, никто не обещает работоспособность IDM-а v4.5.x (и даже 4.6.x) на платформе OES 2018, а IDM-а v4.7 - на платформе OES 11; ну да ладно: проапгрейдим сначала операционку, потом сразу же - IDM, и тут же накатим на него сервис-пак.

(продолжение следует)

[Константин Ошмян]

(продолжение)

Грабли №1
Обновлении на OES 2018 sp1 проходит на удивление гладко (видимо, чтобы усыпить бдительность), но по его окончании предлагается обновить eDirectory до версии 9.1. Этот момент описан в документации:

OES 2018 SP1 includes eDirectory 9.1.
1. When the following dialog box appears, click Upgrade.

Проблема в том, что после нажатия "Upgrade" появляется форма, где предлагается ввести имя/пароль администратора, а также IP-адрес сервера, содержащего "writable replica of the context for the server you are upgrading". И если вводить IP-адрес самого текущего сервера, то приходит ошибка: "The replica server IP address / hostname must be a remote (non-local) address". А другого сервера нет: для IDM-овского дерева он - единственный в дереве. При этом можно нажать единственную кнопку "OK", чтобы закрыть ошибку, и после этого нажать на кнопку "Back", только она возвращает туда же
Что делать - непонятно вообще, запросил в теподдержке - посмотрим, что ответят. Очень надеюсь, что не "добавьте в дерево, хотя бы временно, второй сервер".

(продолжение следует)

[Константин Ошмян]

(продолжение)

Грабли №2
Установка как самого IDM-а v4.7, так и сервис-паков к нему (что первого, что второго) начинается с шага "обновить Identity Vault", для которого надо зайти в папку IDVault/setup и запустить оттуда скрипт ./nds-install. Однако, по факту оказывается, что этот шаг обновляет eDirectory до нужной IDM-у версии (4.7.0/4.7.1 - 9.1.0, 4.7.2 - 9.1.2), и делать это на платформе OES категорически НЕ НАДО (подтверждено ответом из техподдержки). Хоть бы слово об этом было бы в документации, ведь OES 2018, как я говорил, официально поддерживаемая платформа.

Грабли №3
Пререквизитом для установки второго сервис-пака к IDM 4.7 является наличие eDirectory минимальной версии 9.1.2 (патч прилагается в комплекте к сервис-паку, см. предыдущий пункт). Однако (см., опять же, предыдущий пункт), ставить патчи на eDirectory, который идёт как часть OES, можно только через официальные каналы обновлений OES. Например, отдельные патчи на eDirectory (скажем, v9.1.2, есть уже и 9.1.3) содержат замечательную фразу:

NOTE: Do not install this patch on an OES server!!! The patch channel must be used instead. Installing this patch on an OES server will result in NDSD becoming nonfunctional.

А в каналах обновлений для OES 2018 sp1 последняя доступная версия eDirectory - всё ещё 9.1.1, поэтому поставить на OES 2018 второй сервис-пак на IDM 4.7 пока нельзя (можно лишь первый, подтверждено техподдержкой).
Немного оптимизма внушает разве что ответ из техподдержки о том, что

eDirectory 9.1.2 for OES2018SP1 is scheduled to be released by the end of this month / beginning of April.

(продолжение следует)

[Константин Ошмян]

(продолжение)

Грабли №4
Ладно, проставили IDM v4.7 - ставим теперь первый сервис-пак (раз уж второй пока не можем).
Запускаем, как сказано в Release Notes, из директории с развёрнутым сервис-паком скрипт: ./install.sh.
Вроде бы, он делает, что надо (разве что не переспрашивает об установленной редакции - Standard/Advanced, но это уже, видимо, результат copy-paste документации); однако завершается вот таким сообщением:

./install.sh: line 1139: ./configure.sh: No such file or directory

Получите, распишитесь. В текущей директории, и в самом деле, скрипта с именем configure.sh нет (есть только в поддиректориях, но текущей является та, откуда запускался ./install.sh).
Есть подозрение, что это тоже результат copy-paste - только, на этот раз, инсталяционного скрипта; поскольку скрипт configure.sh есть в корне исходного дистрибутива версии 4.7, но отсутствует в этом месте в сервис-паках (что в первом, что во втором), хотя его вызов из install.sh остался (опять же - что в SP1, что в SP2).
Тоже открыл инцидент в техподдержке, пока думают.

(продолжение следует)

[Константин Ошмян]

(продолжение)

Грабли №5
"Ладно, хрен с ними, сервис-паками", - думаю. Пока там техподдержка разберётся, проставлю пока что патчи на отдельные драйверы: IDM_REST_1020.zip, IDM47_LDAP_4112.zip и IDM47_JDBC_4200.zip. Тем более, что они от сервис-пака не зависят, а под Linux все они ставятся идентично: при остановленном eDirectory разворачиваешь архив, заходишь в папку linux и выполняешь там команду rpm -Uvh драйвер.rpm; по окончании поднимаешь eDirectory обратно.

Два драйвера обновил, на третьем - снова "получите, распишитесь":

Код: Выделить всё

idm4:/tmp/IDM47_JDBC_4200/linux # rpm -Uvh novell-DXMLjdbc.rpm 
Preparing...                          ################################# [100%]
        file /opt/novell/eDirectory/lib from install of novell-DXMLjdbc-4.2.0-0.noarch conflicts with file from package edirectory-oes-sal-32bit-9.1.1-2.13.x86_64
        file /opt/novell/eDirectory/lib from install of novell-DXMLjdbc-4.2.0-0.noarch conflicts with file from package edirectory-oes-ldap-base-32bit-9.1.1-1.29.x86_64
        file /opt/novell/eDirectory/lib from install of novell-DXMLjdbc-4.2.0-0.noarch conflicts with file from package edirectory-oes-spmclient-lib-32bit-9.1.1-2.2.x86_64
        file /opt/novell/eDirectory/lib from install of novell-DXMLjdbc-4.2.0-0.noarch conflicts with file from package edirectory-oes-dclient-32bit-9.1.1-1.31.x86_64
        file /opt/novell/eDirectory/lib from install of novell-DXMLjdbc-4.2.0-0.noarch conflicts with file from package edirectory-oes-nmas-client-32bit-9.1.1-2.2.x86_64
        file /opt/novell/eDirectory/lib from install of novell-DXMLjdbc-4.2.0-0.noarch conflicts with file from package edirectory-oes-eba-32bit-9.1.1-1.32.x86_64
idm4:/tmp/IDM47_JDBC_4200/linux #


Ох, не зря меня насторожило то, что в Readme говорилось об установке пакета novell-DXMLRESTJDBC.rpm, в то время как реально в патче лежит файл по имени novell-DXMLjdbc.rpm.

Решил прикинуться "чайником" и снова переспросить в техподдержке - что за нафиг, и можно это ставить.
Ответ поразил до глубины души. Он сводится к двум пунктам:
1) в этом пакете криво прописаны зависимости - это, как раз фигня, можно спокойно ставить, добавив команде rpm опцию "--force". Мы об этом кому надо уже сообщали, когда-нибудь поправят.
2) в документации вы этого не найдёте, но мне мой коллега сказал, что патч 4200 этого драйвера реально работает только в сочетании со вторым сервис-паком. А поскольку вы второй сервис-пак поставить пока не можете, то ставьте не этот патч, а предыдущий (IDM47_JDBC_4101.zip) - он работает нормально и с v4.7.0, и с v4.7.1.

Вот, блин, хорошо, что переспросил, и попал при этом на того же мужика, с которым до того общался...

(теперь можно комментировать, хотя подозреваю, что продолжение ещё последует)

[skoltogyan]

imho, для подстраховки, до апдейта, можно еще проверить на конфликты типа так
rpm -Uvh novell-DXMLjdbc.rpm --test

а так ( внезависимости от моего imho) - напомнило:
https://youtu.be/hOrLrLPsv1k

[Константин Ошмян]

а так ( внезависимости от моего imho) - напомнило:
https://youtu.be/hOrLrLPsv1k

Да, Сергей, я это тоже часто вспоминал

Но это я ещё не упомянул, например, вот этот документ. Беспрецендентный случай на моей памяти: обновили исходный дистрибутив продукта, включив в него исправления ошибок инсталятора. Подчёркиваю: не новый дистрибутив (скажем, с новым сервис-паком), а дистрибутив именно исходного продукта (настолько сырым был инсталятор). Среди исправленных ошибок – такие вопиющие, например, как захардкоженная структура дерева eDirectory в варианте "по умолчанию" (без учёта того, что кто-то может делать апгрейд и уже иметь другую структуру), невозможность установки или апгрейда на платформу OES (любой версии), неверные подсказки в процессе инсталяции и несовместимые друг с другом настройки различных компонентов продукта. =8-O
Хорошо, что не стали торопиться ставить исходный дистрибутив.

[Иван Левшин aka Ivan L.]

Привет, Костя. Тут вот знающие граждане подсказывают, что, вообще говоря, на OES-то это все (IDM я имею в виду) ставить не рекомендуется категорически. Если по феншую: ничего, кроме Core OS и IDM, на сервере с Vault быть не должно. Точнее сказать не могу, не мой профиль вообще - пытались мне привить к нему любовь, да я ловко отвертелся. Мне NOWS выше башки хватает Не настолько я универсальный солдат
Удивлен, что поддержка тебе ничего про это не сказала, когда ты SR открывал...

[Константин Ошмян]

Если по феншую: ничего, кроме Core OS и IDM, на сервере с Vault быть не должно.

Привет, Иван!

Вообще-то, IDM Vault (Core Engine) ставится поверх eDirectory. Т.е. предустановленные операционка и eDirectory - это пререквизит. Кроме того, надо иметь рабочий iManager - не обязательно на той же машине, но где-то надо. При наличии нескольких админов и единственного сервера IDM логично разместить iManager там же (а не расставлять, например, iManager Workstation по рабочим станциям админов, тем более, что он нужен весьма эпизодически).

Собственно, вот это вот (SLES + eDirectory + iManager) - это и есть то, что проставлено с дистрибутива OES, никаких других компонентов там нет. К тому же отпадает вопрос лицензирования операционки. Гораздо проще установить всё это разом и обновлять затем также из одного источника. И это, подчеркну, официально поддерживаемая конфигурация, так что не очень понимаю твоего замечания.

Кстати, по некоторым инцидентам продолжается работа с техподдержкой, так что по результатам отпишусь. В частности, с проблемой №1 удалось нащупать причину и возможный "костыль"; теперь хотелось бы разобраться, можно ли этой проблемы избежать. Там, как раз, IDM вообще ни при чём - это чисто проблема обновления OES.

[Константин Ошмян]

Грабли №6
После установки IDM v4.7 поверх 4.5sp6 – вроде бы, всё OK, но iManager (даже с обновлёнными плагинами) по-прежнему к IDM Engine-у не подключается, выдавая ошибку:

The following error occurred trying to get the state of the drivers:

com.novell.admin.common.exceptions.UniqueSPIException: (Error -714) The operation is not implemented.

При этом, что любопытно, этот же новый iManager к старому IDM-у (v4.5.6) подключается без проблем.

Решение:
Видимо, не хватало какого-то из расширений схемы. Нужно зайти в папку /opt/novell/eDirectory/bin и выполнить оттуда команду: ./idm-install-schema.

Почему-то эта рекомендация есть в руководстве по установке сервис-паков (1-го и 2-го), но в документе об установке версии 4.7.0 присутствует только в разделе "Performing a Non-root Installation".

[Константин Ошмян]

(продолжение)

Грабли №1
Обновлении на OES 2018 sp1 проходит на удивление гладко (видимо, чтобы усыпить бдительность), но по его окончании предлагается обновить eDirectory до версии 9.1. Этот момент описан в документации:

OES 2018 SP1 includes eDirectory 9.1.
1. When the following dialog box appears, click Upgrade.

Проблема в том, что после нажатия "Upgrade" появляется форма, где предлагается ввести имя/пароль администратора, а также IP-адрес сервера, содержащего "writable replica of the context for the server you are upgrading". И если вводить IP-адрес самого текущего сервера, то приходит ошибка: "The replica server IP address / hostname must be a remote (non-local) address". А другого сервера нет: для IDM-овского дерева он - единственный в дереве. При этом можно нажать единственную кнопку "OK", чтобы закрыть ошибку, и после этого нажать на кнопку "Back", только она возвращает туда же
Что делать - непонятно вообще, запросил в теподдержке - посмотрим, что ответят. Очень надеюсь, что не "добавьте в дерево, хотя бы временно, второй сервер".

(продолжение следует)

По этой проблеме пока что данные такие.

1) чтобы свести к минимуму вероятность её возникновения, ещё до обновления не мешает заглянуть в директорию /etc/sysconfig/novell и проверить, что находящиеся там файлы имеют целостное состояние параметра SERVICE_CONFIGURED= (в первую очередь - файлы edir_oes*):

Код: Выделить всё

grep SERVICE_CONFIGURED= /etc/sysconfig/novell/*


В моём случае почему-то после установки SP3 на OES11 службы OES остались "недоконфигурированными".
Самое простое - разок руками зайти в YaST -> Open Enterprise Server -> OES Install and Configuration, после чего, ничего не меняя, выйти через "OK".

2) Если же это не помогло (после обновления вы всё равно попали в ту же ловушку), то вместо правильного IP-адреса сервера с репликой eDirectory просто введите какой-то заведомо неверный. Тогда этот скрипт пойдёт по другому пути: ругнётся на невозможность подключиться и переспросит, хотите ли продолжать. Отвечаем, что хотим, игнорируем ещё пару предупреждений (из-за невозможности подключиться), и чудо - дальше всё проходит замечательно: ndsconfig upgrade где-то в фоне успешно стартует и отрабатывает, затем так же успешно запускается eDirectory.

[Константин Ошмян]

Обещал по итогам разбирательств отписаться - отписываюсь.

Грабли №1
Описано в предыдущем сообщении.

Грабли №2
Собственно, уже всё описано: на платформе OES запускать скрипт ./nds-install НЕ НАДО, т.к. все обновления eDirectory должны производиться из каналов обновлений OES.

Грабли №3
Успешно решено: в конце апреля таки вышли обновления для OES 2018 sp1 (весенний 2019 пакет обновлений), включая обновления на eDirectory (доводит до версии 9.1.3) и iManager (до версии 3.1.3).
Так что после их установки можно спокойно ставить и IDM 4.7, и второй сервис-пак для него (для которого требуется eDirectory минимум версии 9.1.2).

Грабли №4
А вот это оказалось самым интересным.
Инсталяционный скрипт IDM (и самого продукта, и сервис-паков к нему) на платформе Linux проверяет наличие ранее установленного IDM-а по наличию пакета novell-DXMLengnx. Однако оказалось, что во время обновления "поверх" (OES 11 sp3 -> OES 2018 sp1) этот пакет в процессе разрешения взаимозависимостей просто удаляется. Дело в том, что он зависит от другого пакета, который, в свою очередь, зависит от третьего; а этот третий уже относится не к IDM-у, а к eDirectory 8.8.8, и в состав eDirectory 9.x не входит.
Можно, конечно, при обновлении OES-а явно указать, что пакет novell-DXMLengnx надо оставить; но тогда остаётся и ещё целая куча пакетов, которые нафиг никому не нужны. Гораздо проще после обновления OES-а, но перед обновлением IDM-а просто восстановить этот пакет, взяв его из дистрибутива последнего сервис-пака к старой версии IDM-а (в моём случае - IDM_engine_rl_IDM4.5.6.zip), проставив его без учёта зависимостей:

Код: Выделить всё

rpm -ivh --nodeps novell-DXMLengnx.rpm


После этого инсталятор IDM 4.7 правильно определяет установленную прежнюю версию IDM-а, и выполнение инсталяционного скрипта идёт по нужной ветке. В результате этого дальнейших ошибок не возникает: ./configure.sh отрабатывает сразу при установке IDM 4.7, и при установке сервис-паков его вызов не требуется.

Грабли №5
Тут, вроде, тоже всё уже описано:
1) патч нужно ставить с ключом "--force";
2) после установки весенних обновлений на OES 2018 sp1 можно ставить второй сервис-пак на IDM 4.7, а затем и патч IDM47_JDBC_4200.zip.

Грабли №6
Тоже уже описано: после установки IDM 4.7sp2 и шага

зайти в папку /opt/novell/eDirectory/bin и выполнить оттуда команду: ./idm-install-schema

проблема решается.

Могу, по аналогии с той статьёй, оформить порядок апгрейда в виде пошаговой инструкции, которую можно опубликовать отдельной статьёй в разделе "Грабли". Имеет ли смысл?