5.3. IdM コマンドラインユーティリティー
IdM の基本的なコマンドラインスクリプトの名前は
ipa です。ipa スクリプトは、多数のサブコマンドの親スクリプトです。これらのサブコマンドは、IdM の管理に使用されます。たとえば、ipa user-add コマンドは、新しいユーザーを追加します。
$ ipa user-add user_name
コマンドライン管理には、UI での管理に比べていくつかの利点があります。たとえば、コマンドラインユーティリティーを使用すると、手動で介入することなく、管理タスクを自動化して、一貫した方法で繰り返し実行することができます。さらに、ほとんどの管理操作はコマンドラインと Web UI の両方で利用できますが、一部のタスクはコマンドラインからのみ実行できます。
注記
本セクションでは、
ipa サブコマンドの概要のみを説明します。詳細は、IdM 管理の特定のエリア専用の他のセクションを参照してください。たとえば、ipa サブコマンドを使用してユーザーエントリーを管理する方法は、11章ユーザーアカウントの管理 を参照してください。
5.3.1. ipa コマンドのヘルプの取得
ipa スクリプトは、特定のサブコマンドのヘルプ (トピック) を表示できます。利用可能なトピックのリストを表示するには、ipa help topics コマンドを使用します。
$ ipa help topics automember Auto Membership Rule. automount Automount caacl Manage CA ACL rules. ...
特定のトピックのヘルプを表示するには、ipa help topic_name コマンドを使用します。たとえば、
automember トピックに関する情報を表示するには、以下を実行します。
$ ipa help automember Auto Membership Rule. Bring clarity to the membership of hosts and users by configuring inclusive or exclusive regex patterns, you can automatically assign a new entries into a group or hostgroup based upon attribute information. ... EXAMPLES: Add the initial group or hostgroup: ipa hostgroup-add --desc="Web Servers" webservers ipa group-add --desc="Developers" devel ...
ipa スクリプトは、利用可能な ipa コマンドのリストを表示することもできます。これには、ipa help commands コマンドを使用します。
$ ipa help commands automember-add Add an automember rule. automember-add-condition Add conditions to an automember rule. ...
各
ipa コマンドの詳細は、コマンドに --help オプションを追加します。以下に例を示します。
$ ipa automember-add --help Usage: ipa [global-options] automember-add AUTOMEMBER-RULE [options] Add an automember rule. Options: -h, --help show this help message and exit --desc=STR A description of this auto member rule ...
ipa ユーティリティーの詳細は、ipa(1) の man ページを参照してください。
5.3.2. 値のリストの設定
IdM は、エントリー属性をリストに保存します。以下に例を示します。
ipaUserSearchFields: uid,givenname,sn,telephonenumber,ou,title
属性のリストへの更新は、前のリストを上書きします。たとえば、1 つの属性だけを指定してその属性を追加しようとすると、以前に定義したリストがすべて新しい 1 つの属性に置き換えられます。したがって、属性のリストを変更する場合は、更新されたリスト全体を指定する必要があります。
IdM は、属性のリストを指定する以下の方法に対応します。
- 同じコマンド呼び出しで、同じコマンドライン引数を複数回指定します。以下に例を示します。
$ ipa permission-add --permissions=read --permissions=write --permissions=delete - リストを中括弧で囲むことで、シェルが拡張を行うことができます。以下に例を示します。
$ ipa permission-add --permissions={read,write,delete}
5.3.3. 特殊文字の使用
ipa コマンドで、山括弧 (< および >)、アンパサンド (&)、アステリスク (*)、パイプ (|) などの特殊文字が含まれるコマンドラインの引数を指定すると、バックスラッシュ (\) を使用してこのような特殊文字をエスケープする必要があります。たとえば、アスタリスク (*) をエスケープするには、次のコマンドを実行します。
$ ipa certprofile-show certificate_profile --out=exported\*profile.cfg
シェルが特殊文字を正しく解析できないため、エスケープしていない特殊文字をコマンドに含めると、予想通りに機能しなくなります。
5.3.4. IdM エントリーの検索
IdM エントリーのリスト表示
ipa *-find コマンドを使用して、特定のタイプの IdM エントリーを検索します。以下に例を示します。
- 全ユーザーをリスト表示するには、以下を実行します。
$ ipa user-find --------------- 4 users matched --------------- ...
- 指定の属性に
keywordが含まれるユーザーグループのリストを表示するには、次のコマンドを実行します。$ ipa group-find keyword ---------------- 2 groups matched ---------------- ...
IdM がユーザーおよびグループを検索する属性を設定するには、「ユーザーおよびユーザーグループの検索属性の設定」 を参照してください。
ユーザーグループの検索の際には、特定のユーザーを含むグループに検索結果を絞り込むことも可能です。
$ ipa group-find --user=user_name
特定のユーザーを含まないグループを検索することもできます。
$ ipa group-find --no-user=user_name
特定のエントリーの詳細の表示
ipa *-show コマンドを使用して、特定の IdM エントリーの詳細を表示します。以下に例を示します。
$ ipa host-show server.example.com Host name: server.example.com Principal name: host/server.example.com@EXAMPLE.COM ...
5.3.4.1. 検索サイズおよび時間制限の調整
ユーザーリストの表示など、検索結果によっては、非常に多くのエントリーを返す場合があります。この検索操作を調整して、ipa user-find などの ipa *-find コマンドの実行時や、Web UI で対応するリストを表示する際に、全体的なサーバーのパフォーマンスを向上できます。
検索サイズの制限
- クライアント、Idm コマンドラインツール、または IdM Web UI からサーバーに送信されるリクエストで返される最大エントリー数を定義します。
- デフォルト値:100 エントリー
検索時間の制限
- サーバーが検索の実行を待つ最大時間を定義します。検索がこの制限に到達したら、サーバーは検索を停止し、停止するまでの期間に検出されたエントリーを返します。
- デフォルト値:2 秒
この値が
-1 に設定されていると、IdM は、検索時に制限を適用しません。
重要
検索のサイズや時間制限を高く設定しすぎると、サーバーのパフォーマンスに影響を及ぼすことがあります。
Web UI: 検索サイズおよび時間制限の調整
全クエリーに対して、グローバルに制限を調節するには、以下を行います。
を選択します。 - Search Options エリアに必要な値を設定します。
- ページ上部にある をクリックします。
コマンドライン: 検索サイズおよび時間制限の調整
全クエリーに対してグローバルに制限を調整するには、ipa config-mod コマンドを使用して、
--searchrecordslimit オプションおよび --searchtimelimit オプションを指定します。以下に例を示します。
$ ipa config-mod --searchrecordslimit=500 --searchtimelimit=5
コマンドラインから、特定のクエリーに対してのみ制限を調整することもできます。これを行うには、
--sizelimit オプションまたは --timelimit オプションをコマンドに追加します。以下に例を示します。
$ ipa user-find --sizelimit=200 --timelimit=120
重要
ipa config-mod コマンドを使用して、
--searchrecordslimit オプションまたは --searchtimelimit オプションを指定してサイズまたは時間制限を調整すると、ipa user-find などの ipa コマンドによって返されたエントリーの数に影響することに注意してください。
これらの制限に加えて、Directory Server レベルで設定される設定も考慮され、より厳しい制限が適用される場合があります。Directory Server の制限に関する詳細は、『Red Hat Directory Server 管理ガイド』 を参照してください。
