IdM Healthcheck을 사용하여 IdM 환경 모니터링

• 복제 문제
• 인증서 유효성
• 인증 기관 인프라 문제
• IdM 및 Active Directory 신뢰 문제
• 파일 권한 및 소유권 설정 수정

• JSON: 머신에서 읽을 수 있는 JSON 형식(기본값)
• human: 사람이 읽을 수 있는 출력

사전 요구 사항

• root 로 로그인했습니다.

프로세스

• ipa-healthcheck 패키지를 설치합니다.

  [root@server ~]# dnf install ipa-healthcheck

  Copy to Clipboard Toggle word wrap

검증

• 기본 상태 점검 테스트를 수행합니다.

  [root@server ~]# ipa-healthcheck
  []

  Copy to Clipboard Toggle word wrap

  빈 대괄호 [] 는 완전한 기능을 갖춘 IdM 설치를 나타냅니다.

• CLI에서 수동으로 수행합니다.
• 타이머를 사용하여 자동으로 수행합니다.

사전 요구 사항

• Healthcheck 툴이 설치되어 있습니다. IdM 상태 점검 설치를 참조하십시오.

• Healthcheck 툴을 주기적으로 실행하고 로그를 생성하는 systemd 타이머입니다.
• 로그 교체를 확인하는 crond 서비스입니다.

사전 요구 사항

• root 권한이 있습니다.

사전 요구 사항

• root 권한이 있습니다.
• 이전에 일정에 따라 실행되도록 Healthcheck을 구성했습니다.

• certmonger
• dirsrv
• gssproxy
• httpd
• ipa_custodia
• ipa_otpd
• kadmin
• krb5kdc
• named
• ods_enforcerd
• ipa_dnskeysyncd
• pki_tomcatd
• sssd
• chronyd
• smb
• winbind

프로세스

• 다음과 같이 입력합니다.

  # ipa-healthcheck --source=ipahealthcheck.meta.services

  Copy to Clipboard Toggle word wrap
  • --source=ipahealthcheck.meta.services 옵션을 사용하면 IdM Healthcheck만 서비스 테스트만 수행할 수 있습니다.
  • --failures-only 옵션은 기본적으로 활성화되어 있으며 IdM Healthcheck에서 경고, 오류 및 심각한 문제만 보고하도록 합니다.

  테스트에 성공하면 빈 대괄호가 표시됩니다.

  [ ]

  Copy to Clipboard Toggle word wrap

  서비스 중 하나가 실패하면 결과는 다음 예와 유사할 수 있습니다.

  {
    "source": "ipahealthcheck.meta.services",
    "check": "httpd",
    "result": "ERROR",
    "kw": {
      "status": false,
      "msg": "httpd: not running"
    }
  }

  Copy to Clipboard Toggle word wrap
  참고

  문제를 발견하려고 할 때 모든 IdM 서버에서 이 테스트를 실행합니다.

• 필요한 최소 원시 여유 바이트입니다.
• 최소 사용 가능한 디스크 공간 백분율은 20%로 하드 코딩됩니다.

• 로깅
• 실행
• 백업

프로세스

• 다음과 같이 입력합니다.

  # ipa-healthcheck --source=ipahealthcheck.system.filesystemspace

  Copy to Clipboard Toggle word wrap

  • --source=ipahealthcheck.meta.services 옵션을 사용하면 IdM Healthcheck가 디스크 공간 테스트만 수행할 수 있습니다.

    테스트에 성공하면 빈 대괄호가 표시됩니다.

    []

    Copy to Clipboard Toggle word wrap

    예를 들어 실패한 테스트가 표시될 수 있습니다.

    {
      "source": "ipahealthcheck.system.filesystemspace",
      "check": "FileSystemSpaceCheck",
      "result": "ERROR",
      "kw": {
        "msg": "/var/lib/dirsrv: free space under threshold: 0 MiB < 1024 MiB",
        "store": "/var/lib/dirsrv",
        "free_space": 0,
        "threshold": 1024
      }
    }

    Copy to Clipboard Toggle word wrap

    이 테스트에서는 /var/lib/dirsrv 디렉토리에서 사용 가능한 공간이 없음을 알려줍니다.

  참고

  문제를 발견하려고 할 때 모든 IdM 서버에서 이 테스트를 실행합니다.

프로세스

• IdM 구성 파일 소유권 및 권한에 대한 Healthcheck 테스트를 실행하려면 경고, 오류 및 중요한 문제만 표시하는 동안 다음을 입력합니다.

  # ipa-healthcheck --source=ipahealthcheck.ipa.files

  Copy to Clipboard Toggle word wrap

  테스트에 성공하면 빈 대괄호가 표시됩니다.

  # ipa-healthcheck --source=ipahealthcheck.ipa.files*
  []

  Copy to Clipboard Toggle word wrap

  실패한 테스트에서는 다음 경고 와 유사한 결과를 표시합니다.

  {
    "source": "ipahealthcheck.ipa.files",
    "check": "IPAFileNSSDBCheck",
    "result": "WARNING",
    "kw": {
      "key": "_etc_dirsrv_slapd-EXAMPLE-TEST_pkcs11.txt_mode",
      "path": "/etc/dirsrv/slapd-EXAMPLE-TEST/pkcs11.txt",
      "type": "mode",
      "expected": "0640",
      "got": "0666",
      "msg": "Permissions of /etc/dirsrv/slapd-EXAMPLE-TEST/pkcs11.txt are 0666 and should be 0640"
    }
  }

  Copy to Clipboard Toggle word wrap

사전 요구 사항

• root 권한이 있습니다.

프로세스

• 다음과 같이 입력합니다.

  # ipa-healthcheck --source ipahealthcheck.ipa.idns

  Copy to Clipboard Toggle word wrap

  • --source ipahealthcheck.ipa.idns 옵션을 사용하면 IdM Healthcheck가 DNS 레코드 테스트만 수행할 수 있습니다.

    레코드를 확인할 수 있는 경우 테스트에서 SUCCESS 를 결과로 반환합니다.

    {
        "source": "ipahealthcheck.ipa.idns",
        "check": "IPADNSSystemRecordsCheck",
        "result": "SUCCESS",
        "uuid": "eb7a3b68-f6b2-4631-af01-798cac0eb018",
        "when": "20200415143339Z",
        "duration": "0.210471",
        "kw": {
          "key": "_ldap._tcp.idm.example.com.:server1.idm.example.com."
        }
    }

    Copy to Clipboard Toggle word wrap

    예를 들어 레코드 수가 예상 수와 일치하지 않는 경우 테스트에서 경고를 반환합니다.

  {
      "source": "ipahealthcheck.ipa.idns",
      "check": "IPADNSSystemRecordsCheck",
      "result": "WARNING",
      "uuid": "972b7782-1616-48e0-bd5c-49a80c257895",
      "when": "20200409100614Z",
      "duration": "0.203049",
      "kw": {
        "msg": "Got {count} ipa-ca A records, expected {expected}",
        "count": 2,
        "expected": 1
      }
  }

  Copy to Clipboard Toggle word wrap

사전 요구 사항

• root 권한이 있습니다.

프로세스

• 다음과 같이 입력합니다.

  # ipa-healthcheck --source=ipahealthcheck.ds.replication --source=ipahealthcheck.ipa.topology

  Copy to Clipboard Toggle word wrap

  --source=ipahealthcheck.ds.replication 및 --source=ipahealthcheck.ipa.topology 옵션을 사용하면 IdM Healthcheck가 복제 충돌 및 토폴로지 테스트만 수행할 수 있습니다.

  4개의 다른 결과가 가능합니다:

  • SUCCESS Cryostat- Cryostat 테스트가 성공적으로 통과되었습니다.

    {
      "source": "ipahealthcheck.ipa.topology",
      "check": "IPATopologyDomainCheck",
      "result": "SUCCESS",
      "kw": {
        "suffix": "domain"
      }
    }

    Copy to Clipboard Toggle word wrap
  • WARNING Cryostat- test가 통과되었지만 문제가 있을 수 있습니다.

  • ERROR - - - 테스트에 실패했습니다.

    {
      "source": "ipahealthcheck.ipa.topology",
      "check": "IPATopologyDomainCheck",
      "result": "ERROR",
      "uuid": d6ce3332-92da-423d-9818-e79f49ed321f
      "when": 20191007115449Z
      "duration": 0.005943
      "kw": {
        "msg": "topologysuffix-verify domain failed, server2 is not connected (server2_139664377356472 in MainThread)"
      }
    }

    Copy to Clipboard Toggle word wrap
  • CRITICAL Cryostat- Cryostat 테스트가 실패했으며 IdM 서버 기능에 영향을 미칩니다.

프로세스

• 다음과 같이 입력합니다.

  # ipa-healthcheck --source=ipahealthcheck.ipa.trust

  Copy to Clipboard Toggle word wrap

  --source=ipahealthcheck.ipa.trust 옵션을 사용하면 IdM Healthcheck만 신뢰 테스트만 수행할 수 있습니다.

  테스트에 성공하면 빈 대괄호가 표시됩니다.

  # ipa-healthcheck --source=ipahealthcheck.ipa.trust
  []

  Copy to Clipboard Toggle word wrap
  참고

  문제를 찾을 때 모든 IdM 서버에서 이러한 테스트를 실행합니다.

프로세스

• 다음과 같이 입력합니다.

  # ipa-healthcheck --source=ipahealthcheck.dogtag.ca

  Copy to Clipboard Toggle word wrap

  --source=ipahealthcheck.dogtag.ca 옵션을 사용하면 Healthcheck가 인증서 테스트만 수행할 수 있습니다.

  성공적인 테스트의 예는 다음과 같습니다.

  {
    "source: ipahealthcheck.dogtag.ca",
    "check: DogtagCertsConfigCheck",
    "result: SUCCESS",
    "uuid: 9b366200-9ec8-4bd9-bb5e-9a280c803a9c",
    "when: 20191008135826Z",
    "duration: 0.252280",
    "kw:" {
      "key": "Server-Cert cert-pki-ca",
      "configfile":  "/var/lib/pki/pki-tomcat/conf/ca/CS.cfg"
      }
  }

  Copy to Clipboard Toggle word wrap

  실패한 테스트의 예는 다음과 같습니다.

  {
    "source: ipahealthcheck.dogtag.ca",
    "check: DogtagCertsConfigCheck",
    "result: CRITICAL",
    "uuid: 59d66200-1447-4b3b-be01-89810c803a98",
    "when: 20191008135912Z",
    "duration: 0.002022",
    "kw:" {
      "exception": "NSDB /etc/pki/pki-tomcat/alias not initialized",
      }
  }

  Copy to Clipboard Toggle word wrap

사전 요구 사항

• root 권한이 있습니다.

프로세스

• 다음과 같이 입력합니다.

  # ipa-healthcheck --source=ipahealthcheck.ipa.certs

  Copy to Clipboard Toggle word wrap

  • --source=ipahealthcheck.ipa.certs 옵션을 사용하면 IdM Healthcheck에서 certmonger 인증서 테스트만 수행할 수 있습니다.

    테스트에 성공하면 빈 대괄호가 표시됩니다.

    []

    Copy to Clipboard Toggle word wrap

    실패한 테스트에서는 다음 출력을 보여줍니다.

    {
      "source": "ipahealthcheck.ipa.certs",
      "check": "IPACertfileExpirationCheck",
      "result": "ERROR",
      "kw": {
        "key": 1234,
        "dbdir": "/path/to/nssdb",
        "error": [error],
        "msg": "Unable to open NSS database '/path/to/nssdb': [error]"
      }
    }

    Copy to Clipboard Toggle word wrap

  이 IPACertfileExpirationCheck 테스트는 NSS 데이터베이스를 열지 못했습니다.