使用 IdM Healthcheck 监控 IdM 环境

• 复制问题
• 证书有效期
• 证书颁发机构基础设施问题
• IdM 和活动目录信任问题
• 正确的文件权限和所有权设置

• JSON ：JSON 格式的机器可读输出（默认）
• human：人类可读的输出

先决条件

• 以 root 身份登录。

流程

• 安装 ipa-healthcheck 软件包：

  [root@server ~]# dnf install ipa-healthcheck

验证

• 执行基本的 Healthcheck 测试：

  [root@server ~]# ipa-healthcheck
  []

  空方括号 [] 表示功能齐全的 IdM 安装。

• 在 CLI 上手动执行。
• 使用计时器 自动进行。

先决条件

• Healthcheck 工具已安装。请参阅 安装 IdM Healthcheck。

• 定期运行 Healthcheck 工具的 systemd 计时器，并生成日志。
• 确保日志轮转的 crond 服务。

先决条件

• 您有 root 特权。

先决条件

• 您有 root 特权。
• 您之前已将 Healthcheck 配置为按计划运行。

• certmonger
• dirsrv
• gssproxy
• httpd
• ipa_custodia
• ipa_otpd
• kadmin
• krb5kdc
• named
• ods_enforcerd
• ipa_dnskeysyncd
• pki_tomcatd
• sssd
• chronyd
• smb
• winbind

流程

• 输入：

  # ipa-healthcheck --source=ipahealthcheck.meta.services

  • --source=ipahealthcheck.meta.services 选项确保 IdM Healthcheck 仅执行服务测试。
  • --failures-only 选项默认被启用，它确保 IdM Healthcheck 仅报告警告、错误和严重问题。

  成功测试会显示空括号：

  [ ]

  如果其中一个服务失败，则结果可能类似以下示例：

  {
    "source": "ipahealthcheck.meta.services",
    "check": "httpd",
    "result": "ERROR",
    "kw": {
      "status": false,
      "msg": "httpd: not running"
    }
  }

  注意

  当尝试发现问题时，在所有 IdM 服务器上运行这个测试。

• 需要最少的原始可用字节数。
• 最小可用磁盘空间百分比为 20%。

• 日志记录
• 执行
• 备份

流程

• 输入：

  # ipa-healthcheck --source=ipahealthcheck.system.filesystemspace

  • --source=ipahealthcheck.meta.services 选项确保 IdM Healthcheck 仅执行磁盘空间测试。

    成功测试会显示空括号：

    []

    例如，测试失败可显示：

    {
      "source": "ipahealthcheck.system.filesystemspace",
      "check": "FileSystemSpaceCheck",
      "result": "ERROR",
      "kw": {
        "msg": "/var/lib/dirsrv: free space under threshold: 0 MiB < 1024 MiB",
        "store": "/var/lib/dirsrv",
        "free_space": 0,
        "threshold": 1024
      }
    }

    此失败的测试通知您 /var/lib/dirsrv 目录中没有可用的空间。

  注意

  当尝试发现问题时，在所有 IdM 服务器上运行这个测试。

流程

• 要在 IdM 配置文件所有权和权限中运行 Healthcheck 测试，同时只显示警告、错误和严重问题，请输入：

  # ipa-healthcheck --source=ipahealthcheck.ipa.files

  成功测试会显示空括号：

  # ipa-healthcheck --source=ipahealthcheck.ipa.files*
  []

  失败的测试显示结果 类似如下 ：

  {
    "source": "ipahealthcheck.ipa.files",
    "check": "IPAFileNSSDBCheck",
    "result": "WARNING",
    "kw": {
      "key": "_etc_dirsrv_slapd-EXAMPLE-TEST_pkcs11.txt_mode",
      "path": "/etc/dirsrv/slapd-EXAMPLE-TEST/pkcs11.txt",
      "type": "mode",
      "expected": "0640",
      "got": "0666",
      "msg": "Permissions of /etc/dirsrv/slapd-EXAMPLE-TEST/pkcs11.txt are 0666 and should be 0640"
    }
  }

  注意

  当尝试找到问题时，在所有 IdM 服务器中运行这些测试。

先决条件

• 您有 root 特权。

流程

• 输入：

  # ipa-healthcheck --source ipahealthcheck.ipa.idns

  • --source ipahealthcheck.ipa.idns 选项确保 IdM Healthcheck 仅执行 DNS 记录测试。

    如果记录可以解析，测试会返回 SUCCESS，从而返回：

    {
        "source": "ipahealthcheck.ipa.idns",
        "check": "IPADNSSystemRecordsCheck",
        "result": "SUCCESS",
        "uuid": "eb7a3b68-f6b2-4631-af01-798cac0eb018",
        "when": "20200415143339Z",
        "duration": "0.210471",
        "kw": {
          "key": "_ldap._tcp.idm.example.com.:server1.idm.example.com."
        }
    }

    例如，当记录数量与预期数目不匹配时，测试将返回 WARNING ：

  {
      "source": "ipahealthcheck.ipa.idns",
      "check": "IPADNSSystemRecordsCheck",
      "result": "WARNING",
      "uuid": "972b7782-1616-48e0-bd5c-49a80c257895",
      "when": "20200409100614Z",
      "duration": "0.203049",
      "kw": {
        "msg": "Got {count} ipa-ca A records, expected {expected}",
        "count": 2,
        "expected": 1
      }
  }

先决条件

• 您有 root 特权。

流程

• 输入：

  # ipa-healthcheck --source=ipahealthcheck.ds.replication --source=ipahealthcheck.ipa.topology

  --source=ipahealthcheck.ds.replication 和 --source=ipahealthcheck.ipa.topology 选项确保 IdM Healthcheck 只执行复制冲突和拓扑测试。

  可能会有四种不同的结果：

  • SUCCESS — 测试成功通过。

    {
      "source": "ipahealthcheck.ipa.topology",
      "check": "IPATopologyDomainCheck",
      "result": "SUCCESS",
      "kw": {
        "suffix": "domain"
      }
    }

  • WARNING — 测试通过，但可能存在问题。

  • ERROR  — 测试失败。

    {
      "source": "ipahealthcheck.ipa.topology",
      "check": "IPATopologyDomainCheck",
      "result": "ERROR",
      "uuid": d6ce3332-92da-423d-9818-e79f49ed321f
      "when": 20191007115449Z
      "duration": 0.005943
      "kw": {
        "msg": "topologysuffix-verify domain failed, server2 is not connected (server2_139664377356472 in MainThread)"
      }
    }

  • CRITICAL — 测试失败，且它会影响 IdM 服务器功能。
  注意

  当尝试检查问题时，在所有 IdM 服务器中运行这些测试。

流程

• 输入：

  # ipa-healthcheck --source=ipahealthcheck.ipa.trust

  --source=ipahealthcheck.ipa.trust 选项确保 IdM Healthcheck 仅执行信任测试。

  成功测试会显示空括号：

  # ipa-healthcheck --source=ipahealthcheck.ipa.trust
  []

  注意

  当尝试找到问题时，在所有 IdM 服务器中运行这些测试。

流程

• 输入：

  # ipa-healthcheck --source=ipahealthcheck.dogtag.ca

  --source=ipahealthcheck.dogtag.ca 选项确保 Healthcheck 仅执行证书测试。

  测试成功示例：

  {
    "source: ipahealthcheck.dogtag.ca",
    "check: DogtagCertsConfigCheck",
    "result: SUCCESS",
    "uuid: 9b366200-9ec8-4bd9-bb5e-9a280c803a9c",
    "when: 20191008135826Z",
    "duration: 0.252280",
    "kw:" {
      "key": "Server-Cert cert-pki-ca",
      "configfile":  "/var/lib/pki/pki-tomcat/conf/ca/CS.cfg"
      }
  }

  测试失败的示例：

  {
    "source: ipahealthcheck.dogtag.ca",
    "check: DogtagCertsConfigCheck",
    "result: CRITICAL",
    "uuid: 59d66200-1447-4b3b-be01-89810c803a98",
    "when: 20191008135912Z",
    "duration: 0.002022",
    "kw:" {
      "exception": "NSDB /etc/pki/pki-tomcat/alias not initialized",
      }
  }

  注意

  当尝试查找问题时，在所有 IdM 服务器上运行证书测试。

先决条件

• 您有 root 特权。

流程

• 输入：

  # ipa-healthcheck --source=ipahealthcheck.ipa.certs

  • --source=ipahealthcheck.ipa.certs 选项确保 IdM Healthcheck 仅执行 certmonger 证书测试。

    成功测试会显示空括号：

    []

    失败的测试会显示以下输出：

    {
      "source": "ipahealthcheck.ipa.certs",
      "check": "IPACertfileExpirationCheck",
      "result": "ERROR",
      "kw": {
        "key": 1234,
        "dbdir": "/path/to/nssdb",
        "error": [error],
        "msg": "Unable to open NSS database '/path/to/nssdb': [error]"
      }
    }

    在打开 NSS 数据库时，这个 IPACertfileExpirationCheck 测试失败。

  注意

  当尝试检查问题时，在所有 IdM 服务器上运行此 Healthcheck 测试套件。