Mensajes de error y resolución de problemas

Es posible que encuentre algunos problemas de tiempo de ejecución. Utilice esta información para solucionar algunos de estos problemas comunes de tiempo de ejecución.

En la tabla siguiente se describen problemas de tiempo de ejecución y las acciones correctivas:

Tabla 1. Problemas de tiempo de ejecución
Problema Acción correctiva
La conciliación no devuelve todas las cuentas de IBM® Security Verify Access. Sólo devuelve 500 ó 2048 cuentas. Los valores predeterminados para LDAP e IBM Security Verify Access tienen restricciones en el límite del tamaño de búsqueda. La práctica recomendable es la siguiente:
  1. Modifique el archivo de configuración de IBM Security Directory Server, ibmslapd.conf. Este archivo se encuentra en el directorio etc de IBM Security Directory Server. Establezca la variable ibm-slapdSizeLimit en 0 (sin límite).
  2. Modifique el archivo de configuración ldap.conf de LDAP de IBM Security Verify Access del directorio etc de IBM Security Verify Access Policy Server. Establezca la variable max-search-size en un valor mayor que 2048 (el valor predeterminado). Si se establece max-search-size en 0 significa que el tamaño de búsqueda es ilimitado.
  3. Modifique el archivo de configuración de IBM Security Verify Access, pd.conf, del directorio etc de IBM Security Verify Access Policy Server. Establezca la variable ssl-v3-timeout en 84600 (tamaño máximo) y establezca la variable ssl-io-inactivity en 0 (sin límite).

Sólo para ADAM:

Cambie los atributos MaxResultSetSize y MaxPageSize para aumentar el límite del tamaño de búsqueda en ADAM mediante dsmgmt. En el ejemplo siguiente se muestra cómo establecer el valor de MaxResultSetSize y MaxPageSize en 200000 con el indicador de mandatos de las herramientas ADAM:

C:\WINDOWS\ADAM>dsmgmt 
dsmgmt: LDAP Policies 
ldap policy: Connections
server connections: Connect to server localhost:389 
Binding to localhost:389 ... 
Connected to localhost:389 using credentials 
of locally logged on user. 
server connections: Quit
ldap policy: Show Values
ldap policy: Set MaxResultSetSize to 200000
ldap policy:Set MaxPageSize to 200000
ldap policy:Commit Changes

Para obtener más información, consulte la ayuda de ADAM.
La conciliación no devuelve todas las cuentas de IBM Security Verify Access. La conciliación es correcta, pero faltan algunas cuentas. Para que el adaptador concilie muchas cuentas correctamente, puede aumentar la memoria JVM de WebSphere. Deben llevarse a cabo los siguientes pasos en el sistema host de WebSphere:
Nota: No aumente la memoria JVM a un valor mayor que la memoria del sistema.
  1. Inicie la sesión en la consola de administración de WebSphere.
  2. Amplíe Servidores en el menú de la izquierda y seleccione Servidores de aplicaciones.
  3. En una tabla se muestran los nombres de los servidores de aplicaciones conocidos en el sistema. Haga clic en el enlace del servidor de aplicaciones primario.
  4. Seleccione Definición de procesos en el separador Configuración.
  5. Seleccione la propiedad de Java Virtual Machine.
  6. Especifique un nuevo valor para la opción Tamaño máximo de almacenamiento dinámico. El valor predeterminado es 256 MB.
Es posible que la memoria de JVM asignada no sea suficiente. En este caso, si se intenta conciliar muchas cuentas utilizando el adaptador de IBM Security Verify Access, se registran errores en el archivo de registro. El proceso de conciliación no finaliza correctamente. Los archivos de registro del adaptador contienen entradas que indican que ErmPduAddEntry ha fallado. El archivo dir_instal_WebSphere/logs/itim.log contiene excepciones de tipo java.lang.OutOfMemoryError.
La conciliación de un gran número de cuentas de IBM Security Verify Access supera el tiempo de espera Durante la conciliación de un gran número de cuentas de IBM Security Verify Access (cientos de miles o millones), la inicialización de la conciliación puede tardar. Este retardo depende del ajuste del hardware y del rendimiento. Pueden producirse problemas como resultado de problemas de tiempo de espera excedido si tiene IBM Security Directory Server y DB2 configurados en IBM Security Verify Access Policy Server. Consulte las guías de usuario de IBM Security Directory Server para obtener información sobre la configuración del valor ibm-slapdIdleTimeOut en el archivo ibmslapd.conf. Como directriz, este valor puede establecerse en un valor mayor que 10.000 para la conciliación unos 5 millones de cuentas aproximadamente.
Un filtro de búsqueda con un carácter de asterisco devuelve más cuentas de las esperadas Se puede especificar un filtro de búsqueda para la consulta de conciliación de IBM Security Verify Access. Puede especificar un filtro de LDAP en la página Consulta para especificar que sólo debe incluirse un subconjunto de cuentas (sin datos de soporte) en la conciliación.

Tanto el método de conciliación de la API de administración de IBM Security Verify Access como el de la API de Registry Direct dan soporte al filtrado de cuentas de usuario de IBM Security Verify Access. Es posible que se necesite un subconjunto de cuentas de usuario. En este caso, se puede especificar un filtro de búsqueda que se ajuste al patrón de IBM Security Verify Access utilizado para obtener una lista de cuentas de usuario.

Por ejemplo, un filtro de búsqueda para conciliar un subconjunto de cuentas de usuario de IBM Security Verify Access que incluya JaneDoe, JonDoe y JimDolt podría ser: (eruid=J*Do*). El patrón correspondiente al atributo eruid se interpreta como una cadena de caracteres literal. El carácter asterisco (*), que se interpreta como un metacarácter que coincide con cero o más caracteres, constituye la excepción. Los asteriscos pueden estar al principio, en medio o al final del patrón, y el patrón puede contener varios asteriscos.
La habilitación de la opción No conciliar credenciales de SSO elimina todo el registro de IBM Security Verify de credenciales.

Si se selecciona este recuadro de selección, se eliminan todas las credenciales de cuenta actuales del registro de IBM Security Verify tras la primera conciliación correcta. servidor IBM Security Verify considera que cualquier credencial no devuelta significa que la credencial ya no existe para la cuenta.

Sin embargo, se pueden mantener las credenciales que se han conciliado anteriormente, excluyendo el atributo Credenciales de SSO de la consulta de conciliación.
La operación Test ha fallado. Durante una prueba del servicio de IBM Security Verify Access, se puede recibir el mensaje siguiente: 
    CTGIMT605E Se ha producido un error al procesar 
    CTGIMT401E
    Se ha producido un error al iniciar 
    tamTest_TAMCombo on 
    my_server-requestid_4329bac6-
    28ad-11b2-d8dc-00000930ab5b 
    agent. Error:
    java.lang.NoClassDefFoundError: 
    com/tivoli/pd/jutil/PDException operation
    on the IBM Security Directory Integrator 
    server. Error: {1}

Este error puede deberse a alguna de estas razones:

  • JVM de IBM Security Directory Integrator no se ha configurado con IBM Security Verify Access.
  • El asignador no se ha detenido y reiniciado para que adopte el cambio.

Asegúrese de se IBM Security Verify Access Runtime para Java™ se haya instalado y configurado correctamente. Como alternativa, reinicie el asignador tal como se describe en el manual Dispatcher Installation and Configuration Guide.
Cuando utilice la API de Registry Direct, la primera solicitud tras un periodo de tiempo extenso tarda un tiempo en completarse. De forma predeterminada, la conexión entre la API de Registry Direct de IBM Security Verify Access y los servidores LDAP está abierta por tiempo indefinido. Si la conexión queda cerrada por un cortafuegos, puede pasar 15-20 minutos hasta que la API detecte la parada y abra una nueva conexión.
En ese caso, se debe añadir el valor siguiente al archivo tam.conf que utiliza el adaptador de IBM Security Verify Access:
ldap.connection-inactivity = <valor en segundos>
Este valor debe ser menor que el valor de tiempo de espera de conexión en punto muerto del cortafuegos. Una vez actualizado el archivo tam.conf, reinicie el proceso de Directory Integrator.