IdM Healthcheck を使用した IdM 環境の監視

• レプリケーションの問題
• 証明書の有効性
• 認証局のインフラストラクチャーの問題
• IdM および Active Directory の信頼の問題
• ファイルのパーミッションと所有権の正しい設定

• JSON: マシンが判読できる出力 (デフォルト)
• human: 人間が判読できる出力

前提条件

• root でログインしている。

手順

• ipa-healthcheck パッケージをインストールします。

  [root@server ~]# dnf install ipa-healthcheck

  Copy to Clipboard Toggle word wrap

検証

• 基本的な Healthcheck テストを実行します。

  [root@server ~]# ipa-healthcheck
  []

  Copy to Clipboard Toggle word wrap

  角括弧 [] が空であれば、IdM インストールは完全に機能しています。

• 手動
• ログローテーション を使用した自動実行

前提条件

• Healthcheck ツールがインストールされてる。IdM Healthcheck のインストール を参照してください。

• Healthcheck ツールを定期的に実行し、ログを生成するための systemd タイマー
• ログローテーションを確実に行うための crond サービス

前提条件

• root 権限がある。

前提条件

• システムで RHEL 9.1 以降を実行している。
• root 権限がある。
• 以前にタイマーを使用してログローテーションを設定している。

• certmonger
• dirsrv
• gssproxy
• httpd
• ipa_custodia
• ipa_otpd
• kadmin
• krb5kdc
• named
• ods_enforcerd
• ipa_dnskeysyncd
• pki_tomcatd
• sssd
• chronyd
• smb
• winbind

手順

• 以下を入力します。

  # ipa-healthcheck --source=ipahealthcheck.meta.services

  Copy to Clipboard Toggle word wrap
  • --source=ipahealthcheck.meta.services オプションにより、IdM Healthcheck はサービステストのみを実行します。
  • --failures-only オプションはデフォルトで有効化され、IdM Healthcheck が警告、エラー、および重大な問題のみが報告されます。

  テストに成功すると、空の括弧が表示されます。

  [ ]

  Copy to Clipboard Toggle word wrap

  サービスのいずれかが失敗した場合は、以下のような結果になります。

  {
    "source": "ipahealthcheck.meta.services",
    "check": "httpd",
    "result": "ERROR",
    "kw": {
      "status": false,
      "msg": "httpd: not running"
    }
  }

  Copy to Clipboard Toggle word wrap
  注記

  問題を検出する際には、このテストをすべての IdM サーバーに対して実行してください。

• 最低限必要な生の空きバイト。
• パーセント - 空きディスクの最小容量は 20% にハードコーディングされています。

• ロギング
• 実行
• バックアップ

手順

• 以下を入力します。

  # ipa-healthcheck --source=ipahealthcheck.system.filesystemspace

  Copy to Clipboard Toggle word wrap
  • --source=ipahealthcheck.meta.services オプションを指定すると、IdM Healthcheck によってディスク容量のテストだけが実行されます。

• 所有者テストとパーミッションテストのみを含める - --source=ipahealthcheck.ipa.files

前提条件

• root 権限がある。

手順

• 以下を入力します。

  # ipa-healthcheck --source ipahealthcheck.ipa.idns

  Copy to Clipboard Toggle word wrap

  • --source ipahealthcheck.ipa.idns オプションにより、IdM Healthcheck は DNS レコードテストのみを実行します。

    レコードが解決可能である場合には、テストの結果として SUCCESS が返されます。

    {
        "source": "ipahealthcheck.ipa.idns",
        "check": "IPADNSSystemRecordsCheck",
        "result": "SUCCESS",
        "uuid": "eb7a3b68-f6b2-4631-af01-798cac0eb018",
        "when": "20200415143339Z",
        "duration": "0.210471",
        "kw": {
          "key": "_ldap._tcp.idm.example.com.:server1.idm.example.com."
        }
    }

    Copy to Clipboard Toggle word wrap

    たとえば、レコードの数が想定数と一致しないなどの場合には、WARNING が返されます。

  {
      "source": "ipahealthcheck.ipa.idns",
      "check": "IPADNSSystemRecordsCheck",
      "result": "WARNING",
      "uuid": "972b7782-1616-48e0-bd5c-49a80c257895",
      "when": "20200409100614Z",
      "duration": "0.203049",
      "kw": {
        "msg": "Got {count} ipa-ca A records, expected {expected}",
        "count": 2,
        "expected": 1
      }
  }

  Copy to Clipboard Toggle word wrap

前提条件

• root 権限がある。

手順

• 以下を入力します。

  # ipa-healthcheck --source=ipahealthcheck.ds.replication --source=ipahealthcheck.ipa.topology

  Copy to Clipboard Toggle word wrap
  • --source=ipahealthcheck.ds.replication および --source=ipahealthcheck.ipa.topology オプションを指定すると、IdM Healthcheck によってレプリケーション競合とトポロジーテストだけが実行されます。

  以下のような 4 つの結果が取得できます。

  • SUCCESS  - テストに成功

    {
      "source": "ipahealthcheck.ipa.topology",
      "check": "IPATopologyDomainCheck",
      "result": "SUCCESS",
      "kw": {
        "suffix": "domain"
      }
    }

    Copy to Clipboard Toggle word wrap
  • WARNING - テストには成功したが、問題の可能性あり

  • ERROR - テストが失敗

    {
      "source": "ipahealthcheck.ipa.topology",
      "check": "IPATopologyDomainCheck",
      "result": "ERROR",
      "uuid": d6ce3332-92da-423d-9818-e79f49ed321f
      "when": 20191007115449Z
      "duration": 0.005943
      "kw": {
        "msg": "topologysuffix-verify domain failed, server2 is not connected (server2_139664377356472 in MainThread)"
      }
    }

    Copy to Clipboard Toggle word wrap
  • CRITICAL - テストが失敗し、IdM サーバー機能に影響が及ぶ

• IdM の Healthcheck

手順

• 以下を入力します。

  # ipa-healthcheck --source=ipahealthcheck.ipa.trust --failures-only

  Copy to Clipboard Toggle word wrap
  • --source=ipahealthcheck.ipa.trust オプションを指定すると、IdM Healthcheck によって信頼テストだけが実行されます。

手順

• 以下を入力します。

  # ipa-healthcheck --source=ipahealthcheck.dogtag.ca

  Copy to Clipboard Toggle word wrap
  • --source=ipahealthcheck.dogtag.ca オプションを指定すると、Healthcheck によって証明書テストだけが実行されます。

前提条件

• root 権限がある。

手順

• 以下を入力します。

  # ipa-healthcheck --source=ipahealthcheck.ipa.certs --failures-only

  Copy to Clipboard Toggle word wrap

  • --source=ipahealthcheck.ipa.certs オプションを指定すると、IdM Healthcheck によって certmonger 証明書テストだけが実行されます。

    テストに成功すると、空の括弧が表示されます。

    []

    Copy to Clipboard Toggle word wrap

    失敗したテストでは、以下の出力が表示されます。

    {
      "source": "ipahealthcheck.ipa.certs",
      "check": "IPACertfileExpirationCheck",
      "result": "ERROR",
      "kw": {
        "key": 1234,
        "dbdir": "/path/to/nssdb",
        "error": [error],
        "msg": "Unable to open NSS database '/path/to/nssdb': [error]"
      }
    }

    Copy to Clipboard Toggle word wrap

  上記の IPACertfileExpirationCheck テストは、NSS データベースを開くときに失敗しています。