IdM Healthcheck を使用した IdM 環境の監視

• レプリケーションの問題
• 証明書の有効性
• 認証局のインフラストラクチャーの問題
• IdM および Active Directory の信頼の問題
• ファイルのパーミッションと所有権の正しい設定

• JSON: マシンが判読できる出力 (デフォルト)
• human: 人間が判読できる出力

前提条件

• root でログインしている。

手順

• ipa-healthcheck パッケージをインストールします。

  Copy to Clipboard Toggle word wrap

  [root@server ~]# yum install ipa-healthcheck

  注記

  RHEL 8.1 および 8.2 システムでは、代わりに yum install /usr/bin/ipa-healthcheck コマンドを使用します。

検証

• 基本的なヘルスチェックテストを実行します。

  Copy to Clipboard Toggle word wrap

  [root@server ~]# ipa-healthcheck
  []

  空の角括弧 [] は、完全に機能する IdM インストールを示します。

• 手動
• ログローテーション を使用して自動的に。

前提条件

• ヘルスチェックツールがインストールされています。IdM Healthcheck のインストール を参照してください。

• Healthcheck ツールを定期的に実行し、ログを生成する systemd タイマー。
• ログのローテーションを確実に行う crond サービス。

前提条件

• root 権限がある。

前提条件

• システムで RHEL 8.7 以降を実行している。
• root 権限がある。
• 以前にタイマーを使用してログローテーションを設定していた。

• certmonger
• dirsrv
• gssproxy
• httpd
• ipa_custodia
• ipa_dnskeysyncd
• ipa_otpd
• kadmin
• krb5kdc
• named
• pki_tomcatd
• sssd

手順

• 以下を入力します。

  Copy to Clipboard Toggle word wrap

  # ipa-healthcheck --source=ipahealthcheck.meta.services

  • --source=ipahealthcheck.meta.services オプションにより、IdM Healthcheck はサービステストのみを実行します。
  • --failures-only オプションはデフォルトで有効になっており、IdM Healthcheck が警告、エラー、および重大な問題のみを報告するようになります。

• 最低限必要な生の空きバイト。
• パーセント - 空きディスクの最小容量は 20% にハードコーディングされています。

• ロギング
• 実行
• バックアップ

手順

• 以下を入力します。

  Copy to Clipboard Toggle word wrap

  # ipa-healthcheck --source=ipahealthcheck.system.filesystemspace

  • --source=ipahealthcheck.meta.services オプションにより、IdM Healthcheck はディスク領域テストのみを実行します。

• 所有者テストとパーミッションテストのみを含める - --source=ipahealthcheck.ipa.files

前提条件

• root 権限がある。

手順

• 以下を入力します。

  Copy to Clipboard Toggle word wrap

  # ipa-healthcheck --source ipahealthcheck.ipa.idns

  • --source ipahealthcheck.ipa.idns オプションにより、IdM Healthcheck は DNS レコードテストのみを実行します。

    レコードが解決可能である場合には、テストの結果として SUCCESS が返されます。

    Copy to Clipboard Toggle word wrap

    {
        "source": "ipahealthcheck.ipa.idns",
        "check": "IPADNSSystemRecordsCheck",
        "result": "SUCCESS",
        "uuid": "eb7a3b68-f6b2-4631-af01-798cac0eb018",
        "when": "20200415143339Z",
        "duration": "0.210471",
        "kw": {
          "key": "_ldap._tcp.idm.example.com.:server1.idm.example.com."
        }
    }

    たとえば、レコードの数が想定数と一致しないなどの場合には、WARNING が返されます。

  Copy to Clipboard Toggle word wrap

  {
      "source": "ipahealthcheck.ipa.idns",
      "check": "IPADNSSystemRecordsCheck",
      "result": "WARNING",
      "uuid": "972b7782-1616-48e0-bd5c-49a80c257895",
      "when": "20200409100614Z",
      "duration": "0.203049",
      "kw": {
        "msg": "Got {count} ipa-ca A records, expected {expected}",
        "count": 2,
        "expected": 1
      }
  }

前提条件

• root 権限がある。

手順

• 以下を入力します。

  Copy to Clipboard Toggle word wrap

  # ipa-healthcheck --source=ipahealthcheck.ds.replication --source=ipahealthcheck.ipa.topology

  • --source=ipahealthcheck.ds.replication および --source=ipahealthcheck.ipa.topology オプションにより、IdM Healthcheck はレプリケーション競合とトポロジーテストのみを実行します。

  以下のような 4 つの結果が取得できます。

  • SUCCESS  - テストに成功

    Copy to Clipboard Toggle word wrap

    {
      "source": "ipahealthcheck.ipa.topology",
      "check": "IPATopologyDomainCheck",
      "result": "SUCCESS",
      "kw": {
        "suffix": "domain"
      }
    }

  • WARNING - テストには成功したが、問題の可能性あり

  • ERROR - テストが失敗

    Copy to Clipboard Toggle word wrap

    {
      "source": "ipahealthcheck.ipa.topology",
      "check": "IPATopologyDomainCheck",
      "result": "ERROR",
      "uuid": d6ce3332-92da-423d-9818-e79f49ed321f
      "when": 20191007115449Z
      "duration": 0.005943
      "kw": {
        "msg": "topologysuffix-verify domain failed, server2 is not connected (server2_139664377356472 in MainThread)"
      }
    }

  • CRITICAL - テストが失敗し、IdM サーバー機能に影響が及ぶ

• IdM の Healthcheck

手順

• 以下を入力します。

  Copy to Clipboard Toggle word wrap

  # ipa-healthcheck --source=ipahealthcheck.ipa.trust --failures-only

  • --source=ipahealthcheck.ipa.trust オプションにより、IdM Healthcheck は信頼テストのみを実行します。

手順

• 以下を入力します。

  Copy to Clipboard Toggle word wrap

  # ipa-healthcheck --source=ipahealthcheck.dogtag.ca

  • --source=ipahealthcheck.dogtag.ca オプションにより、Healthcheck は証明書テストのみを実行します。

前提条件

• root 権限がある。

手順

• 以下を入力します。

  Copy to Clipboard Toggle word wrap

  # ipa-healthcheck --source=ipahealthcheck.ipa.certs --failures-only

  • --source=ipahealthcheck.ipa.certs オプションにより、IdM Healthcheck は certmonger 証明書テストのみを実行します。

    テストに成功すると、空の括弧が表示されます。

    Copy to Clipboard Toggle word wrap

    []

    失敗したテストでは、以下の出力が表示されます。

    Copy to Clipboard Toggle word wrap

    {
      "source": "ipahealthcheck.ipa.certs",
      "check": "IPACertfileExpirationCheck",
      "result": "ERROR",
      "kw": {
        "key": 1234,
        "dbdir": "/path/to/nssdb",
        "error": [error],
        "msg": "Unable to open NSS database '/path/to/nssdb': [error]"
      }
    }

  上記の IPACertfileExpirationCheck テストは、NSS データベースを開くときに失敗しています。