ディレクトリーデータベースの設定

手順

1. オプションとして、すでに使用されている接尾辞とバックエンドデータベースをリストアップします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userroot)

   Copy to Clipboard Toggle word wrap

   括弧内の名前は、対応する接尾辞のデータを保存するバックエンドデータベースです。次のステップでルート接尾辞を作成する際に、既存のデータベース名を使用することはできません。

2. ルート接尾辞の DN を --suffix 引数で指定し、--be-name 引数で新しいデータベースと関連付ける。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend create --suffix="dc=example,dc=net" --be-name="example"

   Copy to Clipboard Toggle word wrap

手順

1. Database で、設定ツリーの下にあるCreate Suffixボタンをクリックします。
2. Suffix DN と Database Name を記入する。
3. Create The Top Suffix Entry を選択し、Create Suffix をクリックします。

手順

1. オプション: 現在のデフォルトネーミングコンテキストを表示します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-defaultnamingcontext
   nsslapd-defaultnamingcontext: dc=example,dc=com

   Copy to Clipboard Toggle word wrap

2. nsslapd-defaultnamingcontext パラメーターの値を、必要なネーミングコンテキストに置き換えます。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-defaultnamingcontext=dc=example,dc=net

   Copy to Clipboard Toggle word wrap

手順

1. オプションとして、すでに使用されている接尾辞とバックエンドデータベースをリストアップします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userroot)

   Copy to Clipboard Toggle word wrap

   括弧内の名前は、対応する接尾辞のデータを保存するバックエンドデータベースです。次のステップでサブ接尾辞を作成する際に、既存のデータベース名を使用することはできません。

2. --suffix 引数でサブ接尾辞の完全な DN を指定し、--be-name 引数を使用してその DN を新しいデータベースに関連付け、--parent-suffix 引数で親接尾辞を指定します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend create --suffix="ou=People,dc=example,dc=com" --be-name="example" --parent-suffix="dc=example,dc=com" --create-suffix

   Copy to Clipboard Toggle word wrap

   --create-suffix 引数を指定すると、コマンドはサブ接尾辞の設定エントリーとサブ接尾辞エントリー ou=People,dc=example,dc=com を作成します。

   --create-suffix 引数は、RDN 属性タイプ c、cn、dc、o、および ou を使用した接尾辞の作成をサポートします。l などの RDN を使用して接尾辞を作成する場合は、--create-suffix オプションを指定せずに dsconf backend create コマンドを使用し、LDAP 追加操作を使用して接尾辞エントリーを追加するか、LDIF ファイルからエントリーをインポートします。

手順

1. Database で、サブ接尾辞の親である設定ツリーから接尾辞を選択します。
2. Suffix Tasks をクリックし、Create Sub-Suffix を選択します。
3. ou=People および Database Name などの Sub-Suffix DN を入力します。
4. Create the Top Suffix Entry を選択し、Create Sub-Suffix をクリックします。

手順

1. オプション: バックエンドをリスト表示し、データベースをインデックス化します。

   # dsconf instance_name backend suffix list
   dc=example,dc=com (userroot)

   Copy to Clipboard Toggle word wrap

   (括弧で) 選択したデータベース名を書き留めておきます。

2. 選択したバックエンドのデータベースの dsconfig ユーティリティーを使用してインデックス設定を作成します。

   特に国際化されたインスタンスの場合、属性名、インデックスタイプと、任意で照合順序 (OID) を設定するためのマッチングルールを指定します。

   # dsconf instance_name backend index add --attr roomNumber --index-type sub userroot

   Copy to Clipboard Toggle word wrap

   view フィルターで使用される属性ごとに、このステップを繰り返します。

3. 新規インデックスを適用するためにデータベースを再インデックスします。

   # dsconf instance_name backend index reindex userroot

   Copy to Clipboard Toggle word wrap

検証

1. ビューで使用するフィルターが同じ標準ディレクトリーツリーに基づく検索を実行します。

   # ldapsearch -D "cn=Directory Manager" -W -H ldap://server.example.com -x -b dc=example,dc=com (&(objectClass=inetOrgPerson)(roomNumber=*66))
   # ldapsearch -D "cn=Directory Manager" -W -H ldap://server.example.com -x -b dc=example,dc=com "(&(objectClass=inetOrgPerson)(roomNumber=*66))"

   Copy to Clipboard Toggle word wrap

2. /var/log/dirsrv/slapd-instance_name/ access でアクセスログを表示します。

   検索の RESULT には note=U または Partially Unindexed Filter が詳細に含まれていないはずです。

手順

1. Database で、インデックスを作成する設定ツリーから接尾辞を選択します。
2. Indexes および Database Indexes に移動します。
3. Add Index ボタンをクリックします。
4. 属性の名前を入力し、属性を選択します。
5. この属性に対して作成する必要のある Index Types を選択します。
6. 必要に応じて、特に国際化されたインスタンスの場合に、照合順序 (OID) を指定するための Matching Rules を追加します。
7. Index attribute after creation を選択し、後でインデックスを再ビルドします。
8. Create Index をクリックします。
9. インデックス化される各属性に対して手順を繰り返します。

手順

1. 接尾辞とそれに対応するデータベースをリスト表示します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userroot)
   o=test (test_database)

   Copy to Clipboard Toggle word wrap

   切り替えるデータベースの名前または接尾辞を書き留めておきます。

2. --enable-readonly パラメーターで読み取り専用モードを有効にし、名前または接尾辞でデータベースを指定します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix set --enable-readonly "test_database"

   Copy to Clipboard Toggle word wrap

手順

1. Database で、設定ツリーの接尾辞を選択します。
2. Database Read-Only Mode オプションを確認します。
3. Save Configuration をクリックします。

手順

1. Server で、Advanced Settings タブを選択します。
2. Server Read-Only オプションを確認します。
3. Save をクリックします。

手順

1. 接尾辞とそれに対応するデータベースをリスト表示します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userroot)
   o=test (test_database)

   Copy to Clipboard Toggle word wrap

   削除するデータベースの名前を書き留めます。

2. dsconf backend delete コマンドを入力し、データベースの名前を指定します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend delete "test_database"

   Copy to Clipboard Toggle word wrap

3. プロンプトで "Yes I am sure" を入力して、削除を確認します。

   Deleting Backend cn=test_database,cn=ldbm database,cn=plugins,cn=config :
   Type 'Yes I am sure' to continue: Yes I am sure

   Copy to Clipboard Toggle word wrap

手順

1. Database で、削除する接尾辞を選択します。
2. Suffix Tasks → Delete Suffix に移動します。
3. Yes, I am sure.を選択します。
4. Delete Suffixをクリックします。

手順

1. 必要に応じて、インスタンスのバックエンドデータベースをリスト表示します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userRoot)

   Copy to Clipboard Toggle word wrap

2. インスタンスを停止します。

   # dsctl instance_name stop

   Copy to Clipboard Toggle word wrap

3. データベースを確認します。たとえば、userRoot データベースを確認するには、以下のコマンドを実行します。

   # dsctl instance_name dbverify userRoot
   [04/Feb/2022:13:11:02.453624171 +0100] - INFO - ldbm_instance_config_cachememsize_set - force a minimal value 512000
   [04/Feb/2022:13:11:02.465339507 +0100] - WARN - ldbm_instance_add_instance_entry_callback - ldbm instance userroot already exists
   [04/Feb/2022:13:11:02.468060144 +0100] - ERR - ldbm_config_read_instance_entries - Failed to add instance entry cn=userroot,cn=ldbm database,cn=plugins,cn=config
   [04/Feb/2022:13:11:02.471079045 +0100] - ERR - bdb_config_load_dse_info - failed to read instance entries
   [04/Feb/2022:13:11:02.476173304 +0100] - ERR - libdb - BDB0522 Page 0: metadata page corrupted
   [04/Feb/2022:13:11:02.481684604 +0100] - ERR - libdb - BDB0523 Page 0: could not check metadata page
   [04/Feb/2022:13:11:02.484113053 +0100] - ERR - libdb - /var/lib/dirsrv/slapd-instance_name/db/userroot/entryrdn.db: BDB0090 DB_VERIFY_BAD: Database verification failed
   [04/Feb/2022:13:11:02.486449603 +0100] - ERR - dbverify_ext - verify failed(-30970): /var/lib/dirsrv/slapd-instance_name/db/userroot/entryrdn.db
   dbverify failed

   Copy to Clipboard Toggle word wrap
4. 検証プロセスで問題が報告された場合は、手動で修正するか、バックアップを復元します。

5. インスタンスを起動します。

   # dsctl instance_name start

   Copy to Clipboard Toggle word wrap

手順

1. userRoot データベースをエクスポートします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend export -E userRoot

   Copy to Clipboard Toggle word wrap

   サーバーは、エクスポートを /var/lib/dirsrv/slapd-instance_name/ldif/ ディレクトリーの LDIF ファイルに保存します。-E オプションは、エクスポート中にすでに暗号化されている属性を復号化します。

2. telephoneNumber 属性の AES 暗号化を有効にします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend attr-encrypt --add-attr telephoneNumber dc=example,dc=com

   Copy to Clipboard Toggle word wrap

3. インスタンスを停止します。

   # dsctl instance_name stop

   Copy to Clipboard Toggle word wrap

4. LDIF ファイルをインポートします。

   # dsctl instance_name ldif2db --encrypted userRoot /var/lib/dirsrv/slapd-instance_name/ldif/None-userroot-2022_01_24_10_28_27.ldif

   Copy to Clipboard Toggle word wrap

   --encrypted パラメーターを使用すると、スクリプトで属性を暗号化して、インポート中に暗号化を設定できます。

5. インスタンスを起動します。

   # dsctl instance_name start

   Copy to Clipboard Toggle word wrap

手順

1. userRoot データベースをエクスポートします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend export -E userRoot

   Copy to Clipboard Toggle word wrap

   サーバーは、エクスポートを /var/lib/dirsrv/slapd-instance_name/ldif/ ディレクトリーの LDIF ファイルに保存します。-E オプションは、エクスポート中にすでに暗号化されている属性を復号化します。

2. Web コンソールで、Database → Suffixes → suffix_entry → Encrypted Attributes に移動します。
3. 暗号化する属性を入力し、Add Attribute をクリックします。
4. Actions メニューで、Stop Instance を選択します。

5. コマンドラインで、LDIF ファイルをインポートします。

   # dsctl instance_name ldif2db --encrypted userRoot /var/lib/dirsrv/slapd-instance_name/ldif/None-userroot-2022_01_24_10_28_27.ldif

   Copy to Clipboard Toggle word wrap

   --encrypted パラメーターを使用すると、スクリプトで属性を暗号化して、インポート中に暗号化を設定できます。

6. Web コンソールで Actions メニューを開き、Start Instance を選択します。

手順

1. userRoot データベースをエクスポートします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend export -E userRoot

   Copy to Clipboard Toggle word wrap

   サーバーは、エクスポートを /var/lib/dirsrv/slapd-instance_name/ldif/ ディレクトリーの LDIF ファイルに保存します。-E オプションは、エクスポート中にすでに暗号化されている属性を復号化します。

2. プライベートキーおよび証明書署名要求 (CSR) を作成します。外部ユーティリティーを使用して作成する場合は、この手順を省略します。

   • ホストが 1 つの名前のみで到達可能である場合は、以下を実行します。

     # dsctl instance_name tls generate-server-cert-csr -s "CN=server.example.com,O=example_organization"

     Copy to Clipboard Toggle word wrap

   • 複数の名前でホストにアクセスできる場合は、以下を行います。

     # dsctl instance_name tls generate-server-cert-csr -s "CN=server.example.com,O=example_organization" server.example.com server.example.net

     Copy to Clipboard Toggle word wrap

     最後のパラメーターとしてホスト名を指定した場合、このコマンドは DNS:server.example.com, DNS:server.example.net エントリーで SAN (Subject Alternative Name) 拡張を CSR に追加します。

   -s subject パラメーターで指定した文字列は、RFC 1485 に従って有効なサブジェクト名である必要があります。サブジェクトの CN フィールドが必要で、サーバーの完全修飾ドメイン名 (FQDN) の 1 つに設定する必要があります。このコマンドは、/etc/dirsrv/slapd-instance_name/Server-Cert.csr ファイルに CSR を保存します。

3. 認証局 (CA) に CSR を送信し、発行した証明書を取得します。詳細は、CA のドキュメントを参照してください。

4. CA が発行するサーバー証明書を NSS データベースにインポートします。

   • dsctl tls generate-server-cert-csr コマンドを使用して秘密鍵を作成した場合は、以下を入力します。

     # dsconf -D "cn=Directory Manager" ldap://server.example.com security certificate add --file /root/instance_name.crt --name "server-cert" --primary-cert

     Copy to Clipboard Toggle word wrap

     --name _certificate_nickname パラメーターで設定した証明書の名前を書き留めておきます。これは後のステップで必要になります。

   • 外部ユーティリティーを使用して秘密鍵を作成した場合は、サーバー証明書および秘密鍵をインポートします。

     # dsctl instance_name tls import-server-key-cert /root/server.crt /root/server.key

     Copy to Clipboard Toggle word wrap

     このコマンドでは、最初にサーバー証明書へのパスを指定してから、秘密鍵へのパスを指定する必要があります。このメソッドは、証明書のニックネームを Server-Cert に設定します。

5. CA 証明書を NSS データベースにインポートします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com security ca-certificate add --file /root/ca.crt --name "Example CA"

   Copy to Clipboard Toggle word wrap

6. CA 証明書の信頼フラグを設定します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com security ca-certificate set-trust-flags "Example CA" --flags "CT,,"

   Copy to Clipboard Toggle word wrap

   これにより、Directory Server が、TLS による暗号化および証明書ベースの認証に対して CA を信頼するように設定します。

7. インスタンスを停止します。

   # dsctl instance_name stop

   Copy to Clipboard Toggle word wrap

8. /etc/dirsrv/slapd-instance_name/dse.ldif ファイルを編集し、属性を含む以下のエントリーを削除します。

   • cn=AES,cn=encrypted attribute keys,cn=database_name,cn=ldbm database,cn=plugins,cn=config
   • cn=3DES,cn=encrypted attribute keys,cn=database_name,cn=ldbm database,cn=plugins,cn=config
   重要

   全データベースのエントリーを削除します。nsSymmetricKey 属性を含むエントリーが /etc/dirsrv/slapd-instance_name/dse.ldif ファイルに残されると、Directory Server は起動に失敗します。

9. LDIF ファイルをインポートします。

   # dsctl instance_name ldif2db --encrypted userRoot /var/lib/dirsrv/slapd-instance_name/ldif/None-userroot-2022_01_24_10_28_27.ldif

   Copy to Clipboard Toggle word wrap

   --encrypted パラメーターを使用すると、スクリプトで属性を暗号化して、インポート中に暗号化を設定できます。

10. インスタンスを起動します。

    # dsctl instance_name start

    Copy to Clipboard Toggle word wrap

手順

1. 新規データベースリンクを作成するには、以下を行います。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com chaining link-create --suffix="ou=Customers,dc=example,dc=com" --server-url="ldap://remote_server.example.com:389" --bind-mech=SIMPLE --bind-dn="cn=proxy_user,cn=config" --bind-pw="password" "example_chain_name"

   Copy to Clipboard Toggle word wrap

1. データベースリンクの作成時に設定できる追加設定を表示します。

手順

1. Database メニューを開きます。

2. 新しい接尾辞を作成します。

   1. Create Suffix ボタンをクリックします。
   2. DN 接尾辞およびバックエンド名を入力します。
   3. Create The Top Suffix Entry を選択し、Create Suffix をクリックします。
3. 接尾辞を選択し、右側の Suffix Tasks ボタンをクリックし、Create Database Link を選択します。
4. フィールドに、リモートサーバーへのコネクションの詳細を入力します。
5. Create Database Link をクリックします。

手順

1. データベースリンクの現在のデフォルト値を表示します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com chaining config-get-def

   Copy to Clipboard Toggle word wrap

2. dsconf chaining config-set-def コマンドを使用して、新しいデータベースリンク設定を変更します。たとえば、response-delay パラメーターを 30 に設定するには、以下を実行します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com chaining config-set-def --response-delay 30

   Copy to Clipboard Toggle word wrap

   このサンプルコマンドは、すべてのチェーン接続にデフォルトの応答タイムアウトを設定します。dsconf instance chaining link-set コマンドを使用すると、特定のチェーンリンクの応答タイムアウトを上書きできます。

3. 設定可能なすべてのパラメーターの一覧を表示するには、以下を実行します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com chaining config-set-def --help

   Copy to Clipboard Toggle word wrap

手順

1. チェーンに追加するコンポーネントを指定します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com chaining config-set \ --add-comp="cn=referential integrity postoperation,cn=components,cn=config"

   Copy to Clipboard Toggle word wrap

2. インスタンスを再起動します。

   # dsctl instance_name restart

   Copy to Clipboard Toggle word wrap

3. 操作を連鎖させるリモートサーバーの接尾辞に ACI を作成します。

   # ldapmodify -D "cn=Directory Manager" -W -H 389 remoteserver.example.com -x
    dn: ou=People,dc=example,dc=com
    changetype: modify
    add: aci
    aci: (targetattr = "*")(target="ldap:///ou=customers,ou=People,dc=example,dc=com")
    (version 3.0; acl "RefInt Access for chaining"; allow
    (read,write,search,compare) userdn = "ldap:///cn=referential
    integrity postoperation,cn=plugins,cn=config";)

   Copy to Clipboard Toggle word wrap

手順

1. Database を開きます。
2. 左側のナビゲーションで、Chaining Configuration エントリーを選択します。
3. Components to Chain フィールドの下にある Add ボタンをクリックします。
4. 連鎖するコンポーネントを選択し、Add & Save New Components をクリックします。

5. 操作を連鎖させるリモートサーバーの接尾辞に ACI を作成します。

   # ldapmodify -D "cn=Directory Manager" -W -H 389 remoteserver.example.com -x
    dn: ou=People,dc=example,dc=com
    changetype: modify
    add: aci
    aci: (targetattr = "*")(target="ldap:///ou=customers,ou=People,dc=example,dc=com")
    (version 3.0; acl "RefInt Access for chaining"; allow
    (read,write,search,compare) userdn = "ldap:///cn=referential
    integrity postoperation,cn=plugins,cn=config";)

   Copy to Clipboard Toggle word wrap

手順

1. LDAP コントロールを連鎖します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com chaining \ config-set --add-control="2.16.840.1.113730.3.4.9"

   Copy to Clipboard Toggle word wrap

   Directory Server のクライアントが独自のコントロールを作成し、そこでの操作をリモートサーバーに連鎖する場合は、カスタムコントロールのオブジェクト識別子 (OID) を追加します。

手順

1. Database メニューを開きます。
2. Chaining Configuration エントリーを選択します。
3. Forwarded LDAP Controls フィールドの下にある Add ボタンをクリックします。

4. LDAP コントロールを選択し、Add & Save New Controls をクリックします。

   Directory Server のクライアントが独自のコントロールを作成し、そこでの操作をリモートサーバーに連鎖する場合は、カスタムコントロールのオブジェクト識別子 (OID) を追加します。

5. Save ボタンをクリックします。