8장. 인증서 기반 인증을 사용하여 멀티 제공 복제 구성
두 Directory Server 인스턴스 간 복제를 설정하면 바인딩 DN 및 암호를 사용하여 복제 파트너에 인증하는 대신 인증서 기반 인증을 사용할 수 있습니다.
복제 토폴로지에 새 서버를 추가하고 인증서 기반 인증을 사용하여 새 호스트와 기존 서버 간에 복제 계약을 설정하여 이를 수행할 수 있습니다.
인증서 기반 인증에는 TLS 암호화 연결이 필요합니다.
8.1. 인증서 기반 인증과 함께 복제 계약에 사용할 수 있도록 계정 및 바인딩 그룹 준비
복제 계약에 인증서 기반 인증을 사용하려면 먼저 계정을 준비하고 이러한 계정의 userCertificate 속성에 클라이언트 인증서를 저장합니다. 또한 이 절차에서는 나중에 복제 계약에 사용하는 바인딩 그룹을 생성합니다.
기존 호스트 server1.example.com 에서 다음 절차를 수행합니다.
사전 요구 사항
- Directory Server에서 TLS 암호화를 활성화했습니다.
클라이언트 인증서를
/root/server1.der및/root/server2.der파일에 고유 인코딩 규칙(DER) 형식으로 저장했습니다.클라이언트 인증서 및 CA(인증 기관)에서 요청하는 방법에 대한 자세한 내용은 CA 설명서를 참조하십시오.
절차
존재하지 않는 경우
ou=services항목을 생성합니다.# ldapadd -D "cn=Directory Manager" -W -H ldaps://server1.example.com -x dn: ou=services,dc=example,dc=com objectClass: organizationalunit objectClass: top ou: services
cn=server1,ou=services,dc=example,dc=com및cn=server1,ou=services,dc=example,dc=com과 같은 두 서버에 대한 계정을 생성합니다.# ldapadd -D "cn=Directory Manager" -W -H ldaps://server1.example.com -x dn: cn=server1,ou=services,dc=example,dc=com objectClass: top objectClass: person objectClass: inetOrgPerson sn: server1 cn: server1 userPassword: password userCertificate:< file:///root/server1.der adding new entry "cn=server1,ou=services,dc=example,dc=com" dn: cn=server2,ou=services,dc=example,dc=com objectClass: top objectClass: person objectClass: inetOrgPerson sn: server2 cn: server2 userPassword: password userCertificate:< file:///root/server2.der adding new entry "cn=server2,ou=services,dc=example,dc=com"
cn=repl_servers,dc=groups,dc=example,dc=com과 같은 그룹을 생성합니다.# dsidm -D "cn=Directory Manager" ldaps://server1.example.com -b "dc=example,dc=com" group create --cn "repl_servers"두 개의 복제 계정을 그룹에 멤버로 추가합니다.
# dsidm -D "cn=Directory Manager" ldaps://server1.example.com -b "dc=example,dc=com" group add_member repl_servers "cn=server1,ou=services,dc=example,dc=com" # dsidm -D "cn=Directory Manager" ldaps://server1.example.com -b "dc=example,dc=com" group add_member repl_servers "cn=server2,ou=services,dc=example,dc=com"
