Red Hat Summit8.2. ヘルスチェックを使用した問題の特定
ヘルスチェックを実行して、潜在的な問題がないか Directory Server インスタンスを分析し、推奨されるソリューションを取得できます。
8.2.1. Directory Server ヘルスチェックの実行
dsctl healthcheck コマンドを使用して、ヘルスチェックを実行します。
手順
ヘルスチェックを実行するには、以下を入力します。
# dsctl <instance_name> healthcheck Beginning lint report, this could take a while ... Checking Backends ... Checking Config ... Checking Encryption ... Checking FSChecks ... Checking ReferentialIntegrityPlugin ... Checking MonitorDiskSpace ... Checking Replica ... Checking Changelog ... Checking NssSsl ... Healthcheck complete. 1 Issue found! Generating report ...JSON 形式で出力を表示するには、
--jsonパラメーターをコマンドに渡します。# dsctl --json <instance_name> healthcheckヘルスチェックの予想されるレポート
[1] DS Lint Error: DSELE0001 -------------------------------------------------------------------------------- Severity: MEDIUM Affects: -- cn=encryption,cn=config Details: ----------- This Directory Server may not be using strong TLS protocol versions. TLS1.0 is known to have a number of issues with the protocol. Please see: https://tools.ietf.org/html/rfc7457 It is advised you set this value to the maximum possible. Resolution: ----------- There are two options for setting the TLS minimum version allowed. You, can set "sslVersionMin" in "cn=encryption,cn=config" to a version greater than "TLS1.0" You can also use 'dsconf' to set this value. Here is an example: # dsconf slapd-instance_name security set --tls-protocol-min=TLS1.2 You must restart the Directory Server for this change to take effect. Or, you can set the system wide crypto policy to FUTURE which will use a higher TLS minimum version, but doing this affects the entire system: # update-crypto-policies --set FUTURE \===== End Of Report (1 Issue found) =====JSON 形式のヘルスチェックの可能なレポート
[ { "dsle": "DSELE0001", "severity": "MEDIUM", "items": [ "cn=encryption,cn=config" ], "detail": "This Directory Server may not be using strong TLS protocol versions. TLS1.0 is known to\nhave a number of issues with the protocol. Please see:\n\nhttps://tools.ietf.org/html/rfc7457\n\nIt is advised you set this value to the maximum possible.", "fix": "There are two options for setting the TLS minimum version allowed. You,\ncan set \"sslVersionMin\" in \"cn=encryption,cn=config\" to a version greater than \"TLS1.0\"\nYou can also use 'dsconf' to set this value. Here is an example:\n\n # dsconf slapd-instance_name security set --tls-protocol-min=TLS1.2\n\nYou must restart the Directory Server for this change to take effect.\n\nOr, you can set the system wide crypto policy to FUTURE which will use a higher TLS\nminimum version, but doing this affects the entire system:\n\n # update-crypto-policies --set FUTURE" } ]
8.2.2. ヘルスチェックの概要
dsctl healthcheck コマンドは次のチェックを実行します。
| コンポーネント | Severity | 結果コード | 説明 |
|---|---|---|---|
| バックエンド | Medium | DSBLE0006 | Berkeley データベース (BDB) は、バックエンドとして引き続き使用されています。BDB は非推奨となったため、バックエンドとして使用しないでください。 |
| バックエンド | Low | DSBLE0005 | バックエンド設定属性が一致しません。設定されたバックエンドタイプに適用できない設定属性が見つかりました。 |
| バックエンド | Low | DSBLE0003 | データベースは初期化されませんでした。データベースは作成されていますが、空です。 |
| バックエンド | Medium | DSBLE0001 | バックエンドのマッピングツリーエントリーが設定にありません。 |
| コンフィグ | Low | DSCLE0001 | 高解像度のタイムスタンプが無効になります。 |
| コンフィグ | 高 | DSVIRTLE0001 | 仮想属性が誤ってインデックス化されています。ロールまたは CoS (Class of Service) 定義で使用されるインデックス化された属性により、検索結果が破損する可能性があります。 |
| オペレーティングシステム | Medium | DSPERMLE0001 |
|
| オペレーティングシステム | 高 | DSDSLE0001 | ディスク領域不足 |
| オペレーティングシステム | 高 | DSPERMLE0002 |
|
| プラグイン | Low | DSRILE0001 | 更新の遅延は Referential Integrity プラグインに設定されます。これにより、レプリケーションの問題が発生する可能性があります。 |
| プラグイン | 高 | DSRILE0002 | Referential Integrity プラグインにはインデックスがありません。プラグインは、インデックス化されていない場合にすべての削除操作に対して特定の属性をクエリーします。これにより、インデックスのない検索結果が検出されにくくなったり、CPU 使用率が高くなったりします。 |
| レプリケーション | Low | DSREPLLE0002 | 競合エントリーがデータベースに存在します。 |
| レプリケーション | Low | DSSKEWLE0001 | レプリケーションタイムのずれが 6 時間より大きく、12 時間より小さくなっています。 |
| レプリケーション | Medium | DSCLLE0001 | changelog のトリミングは無効になっています。この場合、changelog は制限なしで増加します。 |
| レプリケーション | Medium | DSREPLLE0004 | ヘルスチェックは、レプリケーションのステータスを取得できませんでした。 |
| レプリケーション | Medium | DSREPLLE0003 | トポロジーは同期されていませんが、レプリケーションは機能しています。 |
| レプリケーション | Medium | DSREPLLE0005 | リモートレプリカには到達できません。 |
| レプリケーション | Medium | DSSKEWLE0002 | レプリケーションタイムのずれが 12 時間より大きく、24 時間より小さくなっています。 |
| レプリケーション | 高 | DSREPLLE0001 | トポロジーが同期されておらず、レプリケーションが機能していません。 |
| レプリケーション | 高 | DSSKEWLE0003 | レプリケーションタイムのずれが 24 時間より大きい。レプリケーションセッションが破損する可能性がありました。 |
| セキュリティー | Medium | DSELE0001 | 最小の TLS バージョンは TLS 1.2 未満の値に設定されます。 |
| セキュリティー | 高 | DSCLE0002 | パスワードストレージスキームが弱い。 |
| Server | 高 | DSBLE0002 | ヘルスチェックは、バックエンドのクエリーに失敗しました。 |
| Transparent Huge Pages (THP) | Medium | DSTHPLE0001 | THP が有効になっているため、Directory Server のパフォーマンスに影響する可能性があります。 |
| TLS 証明書 | Medium | DSCERTLE0001 | サーバー証明書は次の 30 日以内に有効期限が切れます。 |
| TLS 証明書 | 高 | DSCERTLE0002 | サーバー証明書の有効期限が切れている。 |
| Indexes | Low | DSMOLE0002 | メンバーシップ属性に部分文字列インデックスが設定されている場合。大規模なグループからメンバーを削除する場合は、時間がかかることがあります。 |
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}