Realizar o upgrade do Omnissa Access Connector

Para atualizar seu Omnissa Access Connector baseado no Windows para a versão 24.12, baixe o novo instalador do Customer Connect para o servidor do conector e execute o instalador. Não é necessário desinstalar a versão antiga do conector.

Durante a atualização, os serviços Sincronização de Diretório, Autenticação do Usuário, Autenticação Kerberos e Aplicativo Virtual existentes são suspensos. Os serviços são reiniciados automaticamente após a conclusão da atualização.

Nota: este documento descreve como atualizar o conector usando a interface gráfica do usuário. Para atualizar o conector usando a instalação silenciosa, consulte Executar o instalador do Omnissa Access Connector no modo silencioso.

Considerações importantes

• Modo FIPS

  Se você fizer upgrade de uma instalação da versão 22.05 ou 22.09 que tinha o Modo FIPS habilitado, o conector atualizado será executado no modo FIPS. Se você fizer upgrade de uma instalação da versão 22.05 ou 22.09 que não tinha o Modo FIPS habilitado ou de uma versão anterior à 22.05, o conector atualizado será executado no modo não FIPS. Não é possível marcar ou desmarcar o modo FIPS durante ou após o upgrade. Para alterar a configuração do modo FIPS, você deve realizar uma nova instalação. Consulte Atualizar o Omnissa Access Connector para obter mais informações.

• Arquivo es-config.json

  O arquivo de configuração es-config.json estabelece a conexão entre o serviço Omnissa Access e o conector. Na maioria dos casos, o conector atualizado pode usar o mesmo arquivo de configuração que está sendo usado pelo conector existente. No entanto, em alguns casos, você deve gerar um novo arquivo es-config.json no console do Omnissa Access.

  • Se você estiver atualizando da versão 20.01.x ou 20.10.x e pretender instalar o serviço de Aplicativo Virtual durante ou após a atualização, deverá gerar e usar um novo arquivo de configuração es-config.json. Se você não planeja instalar o serviço de Aplicativo Virtual, não precisa de um novo arquivo de configuração. O conector atualizado pode usar o mesmo arquivo de configuração que está sendo usado pelo conector existente.

  • Se você estiver atualizando da versão 21.08.x ou 22.05 e tiver gerado um arquivo de configuração es-config.json após o lançamento do Omnissa Access 21.08 ou do Cloud de setembro de 2021, não será necessário gerar um novo arquivo es-config.json.

  • Independentemente da versão da qual você está atualizando, se a senha do seu arquivo de configuração es-config.json existente não atender às regras de senha atuais, você deverá gerar um novo arquivo de configuração com uma senha que atenda às regras.

    A senha deve ter no mínimo 14 caracteres e incluir pelo menos um número, um caractere maiúsculo e um caractere especial. Apenas os seguintes caracteres especiais são permitidos:

    @ ! , # $ { } ( ) _ + . < > ? *

    Todos os caracteres devem ser caracteres ASCII visíveis, imprimíveis.

  • Se você esqueceu a senha do seu arquivo de configuração existente, gere um novo arquivo de configuração e use-o durante o upgrade.

  Para gerar um novo arquivo, no console do Omnissa Access, acesse Integrações > Conectores, clique em Novo e crie um novo arquivo na página Baixar Arquivo de Configuração do assistente.

  Cuidado: o arquivo de configuração contém informações confidenciais, como a URL do locatário, a ID do locatário, a ID do cliente e o segredo do cliente para cada um dos serviços empresariais e o hash da senha. É fundamental que você não compartilhe o arquivo nem o exponha publicamente.

• A configuração do método de autenticação RSA SecurID (implantação em nuvem) mudou a partir da versão 21.08. Se você estiver atualizando de um conector 20.10.x ou anterior que tenha o método de autenticação RSA SecurID (implantação em nuvem) configurado, deverá excluir o método de autenticação das políticas de acesso antes de atualizar todas as instâncias do serviço de Autenticação do Usuário e, em seguida, reconfigurá-lo após a atualização. Como isso resulta em tempo de inatividade do login com base no RSA SecurID, planeje o tempo de upgrade de acordo.

  As etapas genéricas para realizar o upgrade são:

  1. Verifique se você está usando o dispositivo do RSA Authentication Manager 8.2 SP1 ou posterior, que são as versões suportadas pelo Omnissa Access Connector 21.08 e posteriores.
  2. Antes de fazer upgrade do conector, remova o método de autenticação RSA SecurID (implantação na nuvem) das políticas de acesso nas quais ele é usado.
  3. Faça upgrade de todos os conectores nos quais o serviço de Autenticação de Usuários está instalado para a versão 24.12.
  4. Se um servidor proxy estiver configurado com os conectores, verifique se a porta de comunicação configurada para o servidor do Gerenciador de Autenticação RSA está aberta no servidor proxy.
  5. Se você tiver implantado várias instâncias de servidor do RSA Authentication Manager, deverá configurá-las por trás de um balanceador de carga e atender aos requisitos do Omnissa Access para o balanceador de carga.
  6. No console do RSA Security, verifique se o conector foi adicionado como um agente de autenticação usando o nome de domínio totalmente qualificado (FQDN), por exemplo, connectorserver.example.com.
  7. Atualize a configuração do método de autenticação RSA SecurID (implantação na nuvem).
  8. Adicione o método de autenticação RSA SecurID (implantação na nuvem) para acessar políticas.

• Certifique-se de atualizar todas as instâncias do conector nas quais o serviço de Autenticação do Usuário está instalado para a versão 24.12. O Omnissa Access não oferece suporte à combinação de versões do serviço de Autenticação de Usuários.

• O Omnissa Access Connector 24.12 suporta os seguintes tipos de proxies:

  • Proxies HTTP não autenticados
  • Proxies HTTPS (SSL) não autenticados
  • Proxies HTTPS (SSL) autenticados

Pré-requisitos

• Revise a Atualizar o Omnissa Access Connector.

• Se a sua instalação do conector estiver em um Windows Server virtual, tire um snapshot da máquina virtual antes do upgrade.

• Anote todas as configurações personalizadas na sua instalação existente, como servidores proxy, servidores de syslog e certificados. Você precisará configurar essas configurações e carregar os certificados novamente durante o upgrade. Consulte Instalar o Omnissa Access Connector para obter a lista completa de configurações personalizadas.

• Se você planeja instalar o serviço de Autenticação Kerberos ou Aplicativo Virtual, certifique-se de associar o servidor do conector ao domínio.

• Se você tiver configurado o método de autenticação RSA SecurID (implantação em nuvem), certifique-se de usar o dispositivo do RSA Authentication Manager versão 8.2 SP1 ou posterior.

• Se você estiver atualizando de um conector 20.10.x ou anterior que tenha o método de autenticação RSA SecurID (implantação em nuvem) configurado, remova o método de autenticação das políticas de acesso antes de atualizar todas as instâncias do conector que têm o serviço de Autenticação do Usuário instalado.

  1. No console do Omnissa Access, navegue até Recursos > Políticas.

  2. Revise cada política e remova o método de autenticação RSA SecurID (implementação na nuvem) se ele fizer parte da política.

     Anote as alterações feitas para ter as informações necessárias para voltar a adicionar o método de autenticação após o upgrade do conector.

• Se você estiver atualizando da versão 20.01.x e tiver configurado um diretório do tipo Active Directory sobre Autenticação Integrada do Windows (IWA), desmarque a opção STARTTLS na configuração do diretório no console do Omnissa Access antes de atualizar. Após o upgrade, a funcionalidade do Active Directory sobre IWA será incompatível com a opção STARTTLS.

  Para editar a configuração do diretório, navegue até a página Integrações > Diretórios , selecione o diretório, desmarque a caixa de seleção Este diretório requer que todas as conexões usem STARTTLS e clique em Salvar.

• No console do Omnissa Access, suspenda todos os serviços do conector.

  1. Selecione Integrações > Conectores.
  2. Selecione o conector e clique em Gerenciar.
  3. Clique no botão de alternância ao lado de cada nome de serviço para suspender o serviço.

• Certifique-se de que você tenha as seguintes informações de conta:

  • Suas credenciais do Omnissa Customer Connect
  • Se a sua instalação existente incluir o serviço de Autenticação Kerberos ou o serviço de Aplicativo Virtual, você precisará das credenciais de usuário do domínio que estão sendo usadas para executar o serviço.
  • Se você planeja instalar o serviço de Autenticação Kerberos ou o serviço de Aplicativo Virtual durante o upgrade, precisa de uma conta de usuário de domínio para executar esses serviços. Embora esses serviços sejam executados com privilégios de conta de usuário de domínio, os serviços de Sincronização de Diretório e Autenticação de Usuários são executados com privilégios inferiores.
  • Se você usar o método de autenticação RSA SecurID (implantação em nuvem), deverá ter as credenciais do Console de Segurança RSA para obter as informações necessárias a fim de reconfigurar o método de autenticação no console do Omnissa Access após atualizar todas as instâncias do conector.

Procedimento

1. Se necessário, gere um novo arquivo de configuração no console do Omnissa Access.

   1. Faça login no console do Omnissa Access como o administrador do domínio do sistema.

      Dica: em implantações na nuvem, o administrador do domínio do sistema é o administrador cujas credenciais você recebe ao obter seu locatário do Omnissa Access. Em implantações locais, o administrador do domínio do sistema é o usuário administrador criado quando você instala uma instância do Omnissa Access.

   2. Selecione Integrações > Conectores.

   3. Clique em Novo.

   4. No assistente para Adicionar Novo Conector, clique em Avançar.

   5. Na página Baixar Arquivo de Configuração, gere o arquivo de configuração criando uma senha e clicando em Baixar Arquivo de Configuração.

      A senha deve ter no mínimo 14 caracteres e incluir pelo menos um número, um caractere maiúsculo e um caractere especial. Apenas os seguintes caracteres especiais são permitidos:

      @ ! , # $ { } ( ) _ + . < > ? *

      Todos os caracteres devem ser caracteres ASCII visíveis, imprimíveis.

      O arquivo de configuração é usado para estabelecer a comunicação entre os serviços empresariais que você instala e o locatário do Omnissa Access. O nome padrão do arquivo é es-config.json.

      Cuidado: o arquivo de configuração contém informações confidenciais, como a URL do locatário, a ID do locatário, a ID do cliente e o segredo do cliente para cada um dos serviços empresariais e o hash da senha. É fundamental que você não compartilhe o arquivo nem o exponha publicamente.

   6. Transfira o arquivo de configuração para o Windows Server no qual a versão anterior do conector está instalada.

2. Baixe o Omnissa Access Connector 24.12 no Omnissa Customer Connect.

   1. Faça login no Customer Connect.

   2. Navegue até a página de download do Omnissa Access Connector.

   3. Baixe Access-Connector-Installer-versionNumber.exe.

3. Salve o arquivo do instalador no Windows Server em que a versão anterior do conector está instalada.

4. Clique duas vezes no arquivo Access-Connector-Installer-versionNumber.exe para executar o instalador.

   O instalador detecta que um upgrade é necessário e o orienta durante o processo de upgrade.

5. Siga o assistente para fazer upgrade do conector.

   • Se a página Especificar Configuração for exibida durante a atualização, selecione o arquivo de configuração novo ou existente e especifique sua senha. O nome padrão do arquivo é es-config.json.

   • Na página Selecionar instalação padrão ou personalizada, selecione a opção que você selecionou quando instalou o conector. Se você definiu alguma configuração personalizada, como um servidor proxy ou servidor de syslog, ou se carregou algum certificado, deve selecionar a opção Personalizado, definir as configurações e carregar os certificados novamente. Consulte Instalar o Omnissa Access Connector para obter a lista completa de configurações personalizadas.
     Cuidado: se você tiver configurações personalizadas configuradas e selecionar Padrão durante o upgrade, as configurações personalizadas serão redefinidas para os valores padrão. Se isso ocorrer, execute o instalador novamente, selecione a opção Personalizado, configure as configurações personalizadas e carregue os certificados novamente.

   • Durante o upgrade, a página Instalar Certificados Raiz Confiáveis é exibida, e você pode carregar certificados raiz confiáveis para o truststore. O conector pode estabelecer conexões seguras com servidores e clientes cuja cadeia de certificados inclui qualquer um dos certificados carregados para o truststore. Os cenários em que certificados raiz confiáveis são necessários incluem:

     • (Somente para instalações locais) Se a instância de serviço do Omnissa Access local tiver um certificado autoassinado, você deverá carregar sua raiz e, se necessário, um certificado intermediário para estabelecer a confiança entre os serviços empresariais e a instância de serviço do Omnissa Access.
     • (Somente para o serviço de Autenticação Kerberos) Se você implantar várias instâncias do serviço de Autenticação Kerberos atrás de um balanceador de carga, deverá instalar o certificado raiz da CA do balanceador de carga nas instâncias do conector para estabelecer a confiança entre os conectores e o balanceador de carga.
     • (Somente para serviço de Aplicativo Virtual) Se você criar coleções de aplicativos virtuais para integração com o Omnissa Horizon®, o Omnissa Horizon® Cloud Service no Microsoft Azure com o Agente de Pod Único ou o Horizon Cloud Service on IBM Cloud, e os servidores Horizon tiverem certificados autoassinados, deverá carregar a cadeia de certificados para as instâncias do conector nas quais o serviço de Aplicativo Virtual está instalado para estabelecer a confiança entre os conectores e os servidores Horizon. Se os servidores do Horizon tiverem certificados assinados por uma CA pública, você não precisará carregar os certificados para o truststore do conector. O uso de certificados assinados por uma CA pública é altamente recomendado.

     Cuidado: certifique-se de que os caminhos do certificado não contenham caracteres de dois bytes, que são usados em alguns idiomas. Se o caminho contiver caracteres de dois bytes, a atualização poderá ter êxito, mas os certificados não serão carregados corretamente.

     Se você carregar certificados durante o upgrade, certifique-se de reiniciar os serviços após a conclusão do upgrade.

     O carregamento de certificados é uma etapa opcional para o upgrade. Você também pode carregar certificados após o upgrade executando o instalador novamente.

     

   • Durante o upgrade, o instalador instala o OpenJDK 17.

   • Durante o upgrade, você pode modificar qualquer uma das configurações para os serviços existentes. Você também pode instalar outros serviços. Por exemplo, se a sua instalação existente inclui apenas o serviço de Sincronização de Diretório e você deseja instalar o serviço de Autenticação de Usuários e o serviço de Autenticação Kerberos, é possível fazer isso durante a atualização.

     Consulte a versão 24.12 de Instalar o Omnissa Access Connector para obter informações sobre requisitos, dimensionamento, instalação e configurações.

   • (Somente para serviço de Aplicativo Virtual) Uma nova página Configuração do Citrix será exibida durante o upgrade se você usar o fluxo de instalação personalizado. As opções na página se aplicam à integração do Omnissa Access a um ambiente Citrix que tem agregação de vários sites ou filtragem por palavra-chave configurada.

     

     Para obter informações, consulte Configurar a agregação de vários sites e a filtragem de palavras-chave do Citrix no Omnissa Access em Configurar recursos no Omnissa Access e Instalar o Omnissa Access Connector.

     Você pode configurar as opções durante o upgrade ou pode configurá-las após a atualização executando o instalador do conector novamente.

   • Com o 24.12 Connector, você pode especificar vários servidores syslog externos para armazenar mensagens de evento no nível do aplicativo, em vez de serem limitados a um servidor. Você pode inserir os servidores de syslog na página Especificar Informações do Servidor de Syslog do assistente durante o upgrade.

     Use o seguinte formato:

     host:port,host:port,host:port

     em que host é o nome de domínio totalmente qualificado ou o endereço IP do servidor de syslog e porta é o número da porta. Por exemplo:

     syslog1.example.com:514,syslog2.example.com:601,syslog3.example.com:163

6. Depois que o upgrade for concluído com êxito, verifique se os serviços estão em execução no Windows Server.

   Se os serviços não estiverem em execução, inicie-os.

   Os serviços do conector têm os seguintes nomes:

   • Serviço de Sincronização de Diretório do Access
   • Serviço de Autenticação do Usuário do Access
   • Serviço de Autenticação Kerberos do Access
   • Serviço de Aplicativo Virtual do Access

   Por exemplo:

   

Resultados

A atualização do conector é concluída. Você pode verificar se a nova versão do conector está instalada navegando até Painel de Controle > Programas > Programas e Recursos no Windows Server e verificando a versão do conector listada.

Próximo passo

• No console do Omnissa Access, clique no ícone de atualização na página Integrações > Conectores e verifique se os serviços atualizados estão ativos e seu status de integridade está verde.

  Por exemplo:

  

  Se o status de integridade estiver vermelho, reinicie os serviços.

• Se o método de autenticação RSA SecurID (implantação em nuvem) tiver sido configurado na instalação original e você o tiver removido antes da atualização do conector, reconfigure o método de autenticação depois de atualizar todas as instâncias do conector que têm o serviço Autenticação do Usuário instalado.

  1. Se você tiver implantado várias instâncias de servidor do RSA Authentication Manager, deverá configurá-las por trás de um balanceador de carga e atender aos requisitos do Omnissa Access para o balanceador de carga. Consulte os Requisitos do Omnissa Access para o balanceador de carga RSA SecurID.

  2. Se um servidor proxy estiver configurado com os conectores, verifique se a porta de comunicação configurada para o servidor do Gerenciador de Autenticação RSA está aberta no servidor proxy.

  3. No console do RSA Security, verifique se o conector foi adicionado como um agente de autenticação usando o nome de domínio totalmente qualificado (FQDN), por exemplo, connectorserver.example.com. Se você já tiver adicionado o conector como um agente de autenticação usando o nome NetBIOS em vez do FQDN, adicione outra entrada usando o FQDN. Deixe o campo de endereço IP vazio para a nova entrada. Não exclua a entrada antiga.

  4. Atualize a configuração do método de autenticação RSA SecurID (implantação na nuvem) para todos os diretórios que o incluíram na instalação original.

     Consulte Configurar a autenticação RSA SecurID no Omnissa Access para obter informações sobre a nova configuração.

  5. Adicione o método de autenticação RSA SecurID (implantação na nuvem) a todas as políticas de acesso que o incluíram na instalação original.

     Você pode editar as políticas de acesso na página Recursos > Políticas.

• Se o conector estiver em execução no modo FIPS e você usar ou planejar usar o método de autenticação RADIUS (Implantação em Nuvem), ative a autenticação RADIUS (Implantação em Nuvem) no serviço de Autenticação do Usuário:

  1. No arquivo INSTALL_PATH\User Auth Service\UserAuthService.xml, adicione o seguinte argumento JVM:
     -Dorg.bouncycastle.jsse.enable_md5=true
     
     Importante: adicione a linha à seção de argumentos JVM e não a nenhum outro local no arquivo.
  2. Reinicie o serviço de Autenticação do Usuário.
  3. Repita essas etapas para todas as instâncias do conector que executam o serviço de Autenticação do Usuário.