Identity Management でのパフォーマンスの調整

手順

1. 冗長な CA サービスを特定し、当該サービスをホストする IdM レプリカで IdM サーバーのアンインストール の手順を実行します。
2. 同じホストで、IdM サーバーのインストール: 統合 DNS があり外部 CA がない場合 の手順に従います。

手順

1. 現在の検索時間およびサイズ制限を CLI で表示するには、ipa config-show コマンドを使用します。

   $ ipa config-show
   
   Search time limit: 2
   Search size limit: 100

   Copy to Clipboard Toggle word wrap

2. すべてのクエリーに対して グローバルに 制限を調整するには、ipa config-mod コマンドを使用して、--searchrecordslimit および --searchtimelimit のオプションを追加します。以下に例を示します。

   $ ipa config-mod --searchrecordslimit=500 --searchtimelimit=5

   Copy to Clipboard Toggle word wrap

3. 特定のクエリーに対してのみ 一時的に 制限を調整するには、コマンドに --sizelimit または --timelimit オプションを追加してください。以下に例を示します。

   $ ipa user-find --sizelimit=200 --timelimit=120

   Copy to Clipboard Toggle word wrap

手順

1. IdM Web UI にログインします。
2. IPA Server をクリックします。
3. IPA Server タブで、Configuration をクリックします。

4. Search Options エリアに必要な値を設定します。

   デフォルト値は以下の通りです。

   • 検索サイズの制限 - 100 エントリー
   • 検索時間の制限 - 2 秒
5. ページ上部にある Save をクリックします。

手順

1. 自動キャッシュチューニングを無効にします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend config set --cache-autosize=0

   Copy to Clipboard Toggle word wrap

2. データベースの接尾辞と、対応するバックエンドを表示します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend suffix list
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   Copy to Clipboard Toggle word wrap

   このコマンドにより、各接尾辞の横にバックエンドデータベースが表示されます。次の手順では、接尾辞のデータベース名を使用します。

3. データベースのエントリーキャッシュサイズを設定します。この例では、userroot データベースのエントリーキャッシュを 2 ギガバイトに設定します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend suffix set --cache-memsize=2147483648 userroot

   Copy to Clipboard Toggle word wrap

4. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

   Copy to Clipboard Toggle word wrap
5. IdM Directory Server のパフォーマンスを監視します。改善されない場合は、この手順を繰り返して cache-memsize を別の値に調整するか、キャッシュの自動サイズ調整を再度有効にします。

手順

1. 自動キャッシュチューニングを無効にし、データベースキャッシュのサイズを設定します。この例では、データベースキャッシュを 256 メガバイトに設定します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend config set --cache-autosize=0 --dbcachesize=268435456

   Copy to Clipboard Toggle word wrap

2. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

   Copy to Clipboard Toggle word wrap
3. IdM Directory Server のパフォーマンスを監視します。改善されない場合は、この手順を繰り返して dbcachesize を別の値に調整するか、キャッシュの自動サイズ調整を再度有効にします。

手順

1. Directory Server を停止します。

   [root@server ~]# systemctl stop dirsrv.target

   Copy to Clipboard Toggle word wrap

2. さらに変更を加える前に、/etc/dirsrv/slapd-<instance_name>/dse.ldif ファイルをバックアップします。

   [root@server ~]# cp /etc/dirsrv/slapd-<instance_name>/dse.ldif \ /etc/dirsrv/slapd-<instance_name>/dse.ldif.bak.$(date "+%F_%H-%M-%S")

   Copy to Clipboard Toggle word wrap

3. /etc/dirsrv/slapd-<instance_name>/dse.ldif ファイルを編集します。

   1. データベースおよびエントリーキャッシュに使用する空きシステムメモリーの割合を、デフォルトの空きメモリー 10% に戻します。

      nsslapd-cache-autosize: 10

      Copy to Clipboard Toggle word wrap

   2. データベースキャッシュのシステムメモリーから使用する割合をデフォルトの 25% に設定します。

      nsslapd-cache-autosize-split: 25

      Copy to Clipboard Toggle word wrap
4. /etc/dirsrv/slapd-instance_name/dse.ldif ファイルへの変更を保存します。

5. Directory Server を起動します。

   [root@server ~]# systemctl start dirsrv.target

   Copy to Clipboard Toggle word wrap

手順

1. オプション: データベースの接尾辞とそれに対応するデータベース名を表示します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend suffix list
   dc=example,dc=com (userroot)

   Copy to Clipboard Toggle word wrap

   このコマンドにより、各接尾辞の横にバックエンドデータベースが表示されます。次の手順では、接尾辞のデータベース名を使用します。

2. データベースの DN キャッシュサイズを設定します。この例では、DN キャッシュを 20 メガバイトに設定します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend suffix set --dncache-memsize=20971520 userroot

   Copy to Clipboard Toggle word wrap

3. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

   Copy to Clipboard Toggle word wrap
4. IdM Directory Server のパフォーマンスを監視します。改善されない場合は、この手順を繰り返し、dncache-memsize を別の値に調整するか、デフォルトの 10 MB に戻します。

手順

1. NDN キャッシュが有効になっていることを確認します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-ndn-cache-enabled
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-enabled: on

   Copy to Clipboard Toggle word wrap

   キャッシュが オフ の場合は、次のコマンドで有効にします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-ndn-cache-enabled=on
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ndn-cache-enabled"

   Copy to Clipboard Toggle word wrap

2. nsslapd-ndn-cache-max-size パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-ndn-cache-max-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-max-size: 20971520

   Copy to Clipboard Toggle word wrap

3. nsslapd-ndn-cache-max-size 属性の値を変更します。この例では 41943040 (40 MB) に値を増やします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-ndn-cache-max-size=41943040

   Copy to Clipboard Toggle word wrap
4. IdM Directory Server のパフォーマンスを監視します。改善されない場合は、この手順を繰り返して、nsslapd-ndn-cache-max-size を別の値に調整するか、キャッシュの自動サイズ設定を再度有効にします。

手順

1. nsslapd-maxbersize パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-maxbersize
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxbersize: 2097152

   Copy to Clipboard Toggle word wrap

2. nsslapd-maxbersize 属性の値を変更します。この例では 4194304 (4 MB) に値を増やします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-maxbersize=4194304

   Copy to Clipboard Toggle word wrap

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxbersize"

   Copy to Clipboard Toggle word wrap
4. IdM Directory Server のパフォーマンスを監視します。改善されない場合は、この手順を繰り返し、nsslapd-maxbersize を別の値に調整するか、デフォルトの 2097152 に戻します。

手順

1. nsslapd-maxdescriptors パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-maxdescriptors
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxdescriptors: 4096

   Copy to Clipboard Toggle word wrap

2. nsslapd-maxdescriptors 属性の値を変更します。この例では、値を 8192 に増やします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-maxdescriptors=8192

   Copy to Clipboard Toggle word wrap

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxdescriptors"

   Copy to Clipboard Toggle word wrap
4. IdM Directory Server のパフォーマンスを監視します。改善されない場合は、この手順を繰り返し、nsslapd-maxdescriptors を別の値に調整するか、デフォルトの 4096 に戻します。

手順

1. nsslapd-listen-backlog-size パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-listen-backlog-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-listen-backlog-size: 128

   Copy to Clipboard Toggle word wrap

2. nsslapd-listen-backlog-size 属性の値を変更します。この例では、値を 192 に増やします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-listen-backlog-size=192

   Copy to Clipboard Toggle word wrap

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-listen-backlog-size"

   Copy to Clipboard Toggle word wrap

手順

1. nsslapd-db-locks パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。

   [root@server ~]# ldapsearch -D "cn=Directory Manager" -w <directory_manager_password> -b "cn=bdb,cn=config,cn=ldbm database,cn=plugins,cn=config" | grep nsslapd-db-locks
   nsslapd-db-locks: 50000

   Copy to Clipboard Toggle word wrap

2. locks 属性の値を変更します。この例では、ロックの値を 2 倍の 100000 に設定します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend config set --locks=100000

   Copy to Clipboard Toggle word wrap

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully updated database configuration

   Copy to Clipboard Toggle word wrap

4. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

   Copy to Clipboard Toggle word wrap

手順

1. nsslapd-ioblocktimeout パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-ioblocktimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ioblocktimeout: 10000

   Copy to Clipboard Toggle word wrap

2. nsslapd-ioblocktimeout 属性の値を変更します。この例では、値が 8000 まで減らします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-ioblocktimeout=8000

   Copy to Clipboard Toggle word wrap

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ioblocktimeout"

   Copy to Clipboard Toggle word wrap
4. IdM ディレクトリーサーバーのパフォーマンスを監視します。改善されない場合は、この手順を繰り返し、nsslapd-ioblocktimeout を別の値に調整するか、デフォルトの 10000 に戻します。

手順

1. nsslapd-idletimeout パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-idletimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-idletimeout: 3600

   Copy to Clipboard Toggle word wrap

2. nsslapd-idletimeout 属性の値を変更します。この例では、値が 1800 (30 分) まで減らします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-idletimeout=1800

   Copy to Clipboard Toggle word wrap

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-idletimeout"

   Copy to Clipboard Toggle word wrap
4. IdM ディレクトリーサーバーのパフォーマンスを監視します。改善されない場合は、この手順を繰り返し、nsslapd-idletimeout を別の値に調整するか、デフォルトの 3600 に戻します。

手順

1. データベースの接尾辞と、対応するバックエンドを表示します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend suffix list
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   Copy to Clipboard Toggle word wrap

   このコマンドにより、接尾辞の横にバックエンドデータベースの名前が表示されます。次の手順でこの接尾辞名を使用します。

2. メインの userroot データベースの repl-release-timeout 属性の値を変更します。この例では、値を 90 秒に増やします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> replication set --suffix="dc=example,dc=com" --repl-release-timeout=90

   Copy to Clipboard Toggle word wrap

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

   Copy to Clipboard Toggle word wrap

4. オプション: IdM 環境で IdM 認証局 (CA) を使用している場合は、CA データベースの repl-release-timeout 属性の値を変更できます。この例では、値を 90 秒に増やします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> replication set *--suffix="o=ipaca" --repl-release-timeout=90*
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

   Copy to Clipboard Toggle word wrap

5. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

   Copy to Clipboard Toggle word wrap
6. IdM Directory Server のパフォーマンスを監視します。改善されない場合は、この手順を繰り返し、repl-release-timeout を別の値に調整するか、デフォルトの 60 秒に戻します。

手順

1. テキストエディターで /var/kerberos/krb5kdc/kdc.conf ファイルを開きます。

2. TCP リッスンバックログを 7 などの目的の値に設定します。

   [kdcdefaults]
    ...
    kdc_tcp_listen_backlog = 7

   Copy to Clipboard Toggle word wrap
3. /var/kerberos/krb5kdc/kdc.conf ファイルを保存して閉じます。
4. KDC を再起動して、新しい設定を読み込みます。

手順

1. テキストエディターで /etc/krb5.conf ファイルを開きます。

2. [dbmodules] セクションとそれぞれの Kerberos レルムに、オプションと任意の値を指定します。この例では、EXAMPLE.COM の <kerberos_realm> の disabled_last_success 変数を設定しています。

   [dbmodules]
       <kerberos_realm> = {
           disable_last_success = true
       }

   Copy to Clipboard Toggle word wrap
3. /etc/krb5.conf ファイルを保存して閉じます。
4. KDC を再起動して、新しい設定を読み込みます。

手順

1. /etc/sysconfig/krb5kdc ファイルをテキストエディターで開きます。

2. KRB5KDC_ARGS パラメーターの値を指定します。この例では、プロセスの数を 10 に設定しています。

   KRB5KDC_ARGS='-w 10'
   [...]

   Copy to Clipboard Toggle word wrap
3. /etc/sysconfig/krb5kdc ファイルを保存して閉じます。

4. systemd 設定をリロードします。

   # systemctl daemon-reload

   Copy to Clipboard Toggle word wrap

5. krb5kdc サービスを再起動します。

   # systemctl restart krb5kdc.service

   Copy to Clipboard Toggle word wrap

手順

1. テキストエディターで /etc/sssd/sssd.conf 設定ファイルを開きます。

2. Identity Management (IdM) ドメインの [domain] セクションに次のオプションを追加します。

   [domain/<idm_domain_name>]
   ignore_group_members = true
   subdomain_inherit = ignore_group_members
   ...

   Copy to Clipboard Toggle word wrap
   注記

   subdomain_inherit オプションに指定した設定は、メイン (IdM) ドメインと信頼された AD ドメインの両方に適用されます。

3. サーバーの /etc/sssd/sssd.conf ファイルを保存して閉じます。

4. SSSD サービスを再起動して、設定の変更を読み込みます。

   [root@client ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap

手順

1. ワーカースレッドの総数を取得します。

   # ldapsearch -xLLLD cn=Directory\ Manager -W -b cn=config -s base nsslapd-threadnumber
   Enter LDAP Password:
   dn: cn=config
   nsslapd-threadnumber: 16

   Copy to Clipboard Toggle word wrap

   これは、ipaExtdomMaxInstances の現在の値が 13 であることを意味します。

2. インスタンスの最大数を調整します。この例では、値を 14 に変更します。

   # ldapmodify -D "cn=Directory Manager" -W
   dn: cn=ipa_extdom_extop,cn=plugins,cn=config
   changetype: modify
   replace: ipaExtdomMaxInstances
   ipaExtdomMaxInstances: 14

   Copy to Clipboard Toggle word wrap

3. ipaExtdomMaxInstances の現在の値を取得します。

   # ldapsearch -xLLLD "cn=Directory Manager" -W -b "cn=ipa_extdom_extop,cn=plugins,cn=config" |grep ipaextdommaxinstances
   
   Enter LDAP Password:
   
   ipaextdommaxinstances: 14

   Copy to Clipboard Toggle word wrap
4. IdM Directory Server のパフォーマンスを監視します。改善されない場合は、この手順を繰り返して、ipaExtdomMaxInstances 変数の値を調整します。

手順

1. キャッシュされていないログイン 1 回にかかる秒数を決定します。

   1. IdM クライアントで SSSD キャッシュをクリアします。

      [root@client_hostname ~]# sss_cache -E

      Copy to Clipboard Toggle word wrap

   2. time コマンドを使用して、AD ユーザーのログイン時間を測定します。IdM クライアントから、同じホストにログインして、AD ユーザーとしてローカルで認証します。

      [root@client_hostname ~]# time ssh <ad_username>@<ad_domain>@<client_fqdn>

      Copy to Clipboard Toggle word wrap

   3. できるだけ早くパスワードを入力します。

      Password:
      Last login: Sat Jan 23 06:29:54 2021 from 10.0.2.15
      [ad_username@ad_domain@client_fqdn ~]$

      Copy to Clipboard Toggle word wrap

   4. できるだけ早くログアウトして経過時間を表示します。この例では、キャッシュされていないログインに約 9 秒かかります。

      [ad_username@ad_domain@client_fqdn /]$ exit
      logout
      Connection to client.example.com closed.
      
      real 0m8.755s
      user    0m0.017s
      sys     0m0.013s

      Copy to Clipboard Toggle word wrap
2. テキストエディターで /etc/sssd/sssd.conf 設定ファイルを開きます。

3. Active Directory ドメインの [domain] セクションに以下のオプションを追加します。pam_id_timeout オプションおよび krb5_auth_timeout オプションを、キャッシュを使用しないログインにかかる秒数に設定します。AD ドメインにドメインセクションがない場合は作成します。

   [domain/<idm_domain>/<ad_domain>]
   krb5_auth_timeout = 9
   ldap_deref_threshold = 0
   ...

   Copy to Clipboard Toggle word wrap

4. [pam] セクションに次のオプションを追加します。

   [pam]
   pam_id_timeout = 9

   Copy to Clipboard Toggle word wrap
5. サーバーの /etc/sssd/sssd.conf ファイルを保存して閉じます。

6. SSSD サービスを再起動して、設定の変更を読み込みます。

   [root@client_hostname ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap

手順

1. tmpfs 一時ファイルシステムを作成します。

   1. SSSD ユーザーが config.ldb ファイルを所有していることを確認します。

      # ls -al /var/lib/sss/db/config.ldb
      -rw-------. 1 sssd sssd 1286144 Jun  8 16:41 /var/lib/sss/db/config.ldb

      Copy to Clipboard Toggle word wrap

   2. 次のエントリーを /etc/fstab ファイルに 1 行で追加します。

      tmpfs /var/lib/sss/db/ tmpfs size=300M,mode=0700,uid=sssd,gid=sssd,rootcontext=system_u:object_r:sssd_var_lib_t:s0 0 0

      Copy to Clipboard Toggle word wrap

      この例では、300MB キャッシュを作成します。IdM および AD ディレクトリーサイズにあわせて size を調整します (LDAP エントリー 1 万につき 100 MB 想定)。

2. 新しい SSSD キャッシュディレクトリーをマウントします。

   [root@host ~]# mount /var/lib/sss/db/

   Copy to Clipboard Toggle word wrap

3. SSSD を再起動して、この設定の変更を反映します。

   [root@host ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap