调优身份管理中的性能

步骤

1. 识别冗余 CA 服务，并按照在托管此服务的 IdM 副本上 卸载 IdM 服务器 中的流程操作。
2. 在同一台主机上，按照 安装 IdM 服务器：带有集成 DNS，没有 CA 中的流程操作。

步骤

1. 要在 CLI 中显示当前搜索时间和大小限制，请使用 ipa config-show 命令：

   $ ipa config-show
   
   Search time limit: 2
   Search size limit: 100

2. 要为所有查询调整 全局 限制，请使用 ipa config-mod 命令，并添加 --searchrecordslimit 和 --searchtimelimit 选项。例如：

   $ ipa config-mod --searchrecordslimit=500 --searchtimelimit=5

3. 要仅为特定查询 暂时 调整限制，请在命令中添加 --sizelimit 或 --timelimit 选项。例如：

   $ ipa user-find --sizelimit=200 --timelimit=120

步骤

1. 登录到 IdM Web UI。
2. 点 IPA Server。
3. 在 IPA Server 选项卡中点 Configuration。

4. 在搜索选项区域中设置所需的值。

   默认值为：

   • 搜索大小限制： 100 个条目
   • 搜索时间限值： 2 秒
5. 点页面顶部的 Save。

流程

1. 禁用自动缓存调整。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend config set --cache-autosize=0

2. 显示数据库后缀及其对应的后端。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend suffix list
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   这个命令显示每个后缀旁的后端数据库名称。在下一步中使用后缀的数据库名称。

3. 为数据库设置条目缓存大小。这个示例将 userroot 数据库的条目缓存设置为 2GB。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend suffix set --cache-memsize=2147483648 userroot

4. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

5. 监控 IdM 目录服务器的性能。如果没有改进，请重复此步骤，并将 cache-memsize 调整为不同的值，或者重新启用缓存自动大小。

流程

1. 禁用自动缓存调整，并设置数据库缓存大小。这个示例将数据库缓存设置为 256MB。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend config set --cache-autosize=0 --dbcachesize=268435456

2. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

3. 监控 IdM 目录服务器的性能。如果没有改进，请重复此步骤，并将 dbcachesize 调整为不同的值，或者重新启用缓存自动大小。

流程

1. 停止 Directory 服务器。

   [root@server ~]# systemctl stop dirsrv.target

2. 在进行任何进一步修改前，备份 /etc/dirsrv/slapd-<instance_name> /dse.ldif 文件。

   [root@server ~]# cp /etc/dirsrv/slapd-<instance_name>/dse.ldif \ /etc/dirsrv/slapd-<instance_name>/dse.ldif.bak.$(date "+%F_%H-%M-%S")

3. 编辑 /etc/dirsrv/slapd-<instance_name&gt; /dse.ldif 文件：

   1. 设置用于数据库的可用系统 RAM 百分比，恢复默认的 10% 可用 RAM。

      nsslapd-cache-autosize: 10

   2. 将可用系统 RAM 中数据库缓存使用的百分比设置为默认的 25%：

      nsslapd-cache-autosize-split: 25

4. 将更改保存到 /etc/dirsrv/slapd-<instance_name>/dse.ldif 文件。

5. 启动 Directory 服务器。

   [root@server ~]# systemctl start dirsrv.target

流程

1. 可选：显示数据库后缀，及其相应的数据库名称。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend suffix list
   dc=example,dc=com (userroot)

   这个命令显示每个后缀旁的后端数据库名称。在下一步中使用后缀的数据库名称。

2. 为数据库设置 DN 缓存大小。这个示例将 DN 缓存设置为 20MB。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend suffix set --dncache-memsize=20971520 userroot

3. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

4. 监控 IdM 目录服务器的性能。如果没有改进，请重复此步骤，并将 dncache-memsize 调整为不同的值，或者重新调整默认值 10 MB。

流程

1. 确保启用了 NDN 缓存。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-ndn-cache-enabled
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-enabled: on

   如果缓存关闭，使用以下命令启用它。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-ndn-cache-enabled=on
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ndn-cache-enabled"

2. 检索 nsslapd-ndn-cache-max-size 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-ndn-cache-max-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-max-size: 20971520

3. 修改 nsslapd-ndn-cache-max-size 属性的值。这个示例将值增加到 41943040 (40 MB)。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-ndn-cache-max-size=41943040

4. 监控 IdM 目录服务器的性能。如果没有改进，请重复此步骤，并将 nsslapd-ndn-cache-max-size 调整为不同的值，或者重新启用缓存自动大小。

流程

1. 检索 nsslapd-maxbersize 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-maxbersize
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxbersize: 2097152

2. 修改 nsslapd-maxbersize 属性的值。这个示例将值增加到 4194304，4MB。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-maxbersize=4194304

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxbersize"

4. 监控 IdM 目录服务器的性能。如果没有改进，请重复此步骤，并将 nsslapd-maxbersize 调整为不同的值，或者重新使用默认的 2097152。

流程

1. 检索 nsslapd-maxdescriptors 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-maxdescriptors
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxdescriptors: 4096

2. 修改 nsslapd-maxdescriptors 属性的值。这个示例将值增加到 8192。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-maxdescriptors=8192

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxdescriptors"

4. 监控 IdM 目录服务器的性能。如果没有改进，请重复此步骤并将 nsslapd-maxdescriptors 调整为不同的值，或者重新使用默认的 4096。

流程

1. 检索 nsslapd-listen-backlog-size 参数的当前值，并在进行任何调整前记录它，以备需要恢复时使用。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-listen-backlog-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-listen-backlog-size: 128

2. 修改 nsslapd-listen-backlog-size 属性的值。这个示例将值增加到 192。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-listen-backlog-size=192

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-listen-backlog-size"

流程

1. 检索 nsslapd-db-locks 参数的当前值，并在需要恢复任何调整前记录它。

   [root@server ~]# ldapsearch -D "cn=Directory Manager" -w <directory_manager_password> -b "cn=bdb,cn=config,cn=ldbm database,cn=plugins,cn=config" | grep nsslapd-db-locks
   nsslapd-db-locks: 50000

2. 修改 locks 属性的值。这个示例将值加倍到 100000 个锁定。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend config set --locks=100000

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully updated database configuration

4. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

流程

1. 检索 nsslapd-ioblocktimeout 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-ioblocktimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ioblocktimeout: 10000

2. 修改 nsslapd-ioblocktimeout 属性的值。这个示例将值降低为 8000。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-ioblocktimeout=8000

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ioblocktimeout"

4. 监控 IdM 目录服务器的性能。如果没有改进，请重复此步骤，并将 nsslapd-ioblocktimeout 调整为不同的值，或者重新使用默认的 10000。

流程

1. 检索 nsslapd-idletimeout 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config get nsslapd-idletimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-idletimeout: 3600

2. 修改 nsslapd-idletimeout 属性的值。这个示例将值降低为 1800 （30 分钟）。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> config replace nsslapd-idletimeout=1800

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-idletimeout"

4. 监控 IdM 目录服务器的性能。如果没有改进，请重复此步骤，并将 nsslapd-idletimeout 调整为不同的值，或者重新使用默认的 3600。

流程

1. 显示数据库后缀及其对应的后端。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> backend suffix list
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   这个命令会在后缀旁的显示后端数据库名称。在下一步中使用后缀名称。

2. 修改主 userroot 数据库的 repl-release-timeout 属性的值。这个示例将值增加到 90 秒。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> replication set --suffix="dc=example,dc=com" --repl-release-timeout=90

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

4. 可选：如果您的 IdM 环境使用 IdM 证书颁发机构(CA)，您可以修改 CA 数据库的 repl-release-timeout 属性的值。这个示例将值增加到 90 秒。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://<server_fqdn> replication set *--suffix="o=ipaca" --repl-release-timeout=90*
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

5. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

6. 监控 IdM 目录服务器的性能。如果没有改进，请重复此步骤，并将 repl-release-timeout 调整为不同的值，或者返回默认值 60 秒。

流程

1. 在文本编辑器中打开 /var/kerberos/krb5kdc/kdc.conf 文件。

2. 将 TCP 侦听功能设置为所需值，如 7。

   [kdcdefaults]
    ...
    kdc_tcp_listen_backlog = 7

3. 保存并关闭 /var/kerberos/krb5kdc/kdc.conf 文件。
4. 重启 KDC 来加载新设置。

流程

1. 在文本编辑器中打开 /etc/krb5.conf 文件。

2. 在 [dbmodules] 部分中指定任意选项及其所需值，并在相应的 Kerberos 域中指定。在本例中，您要为 < kerberos_realm> 设置 disable_last_ success 变量，如 EXAMPLE.COM。

   [dbmodules]
       <kerberos_realm> = {
           disable_last_success = true
       }

3. 保存并关闭 /etc/krb5.conf 文件。
4. 重启 KDC 来加载新设置。

流程

1. 在文本编辑器中打开 /etc/sysconfig/krb5kdc 文件。

2. 指定 KRB5KDC_ARGS 参数的值。在本例中，您要将进程数设置为 10：

   KRB5KDC_ARGS='-w 10'
   [...]

3. 保存并关闭 /etc/sysconfig/krb5kdc 文件。

4. 重新载入 systemd 配置：

   # systemctl daemon-reload

5. 重启 krb5kdc 服务：

   # systemctl restart krb5kdc.service

流程

1. 在文本编辑器中打开 /etc/sssd/sssd.conf 配置文件。

2. 在您的身份管理(IdM)域的 [domain] 部分中添加以下选项：

   [domain/<idm_domain_name>]
   ignore_group_members = true
   subdomain_inherit = ignore_group_members
   ...

   注意

   subdomain_inherit 选项中列出的设置适用于主(IdM)域和可信 AD 域。

3. 保存并关闭服务器上的 /etc/sssd/sssd.conf 文件。

4. 重启 SSSD 服务以载入配置更改。

   [root@client ~]# systemctl restart sssd

流程

1. 检索 worker 线程的总数：

   # ldapsearch -xLLLD cn=Directory\ Manager -W -b cn=config -s base nsslapd-threadnumber
   Enter LDAP Password:
   dn: cn=config
   nsslapd-threadnumber: 16

   这意味着 ipaExtdomMaxInstances 的当前值是 13。

2. 调整实例的最大数量。本例将值改为 14：

   # ldapmodify -D "cn=Directory Manager" -W
   dn: cn=ipa_extdom_extop,cn=plugins,cn=config
   changetype: modify
   replace: ipaExtdomMaxInstances
   ipaExtdomMaxInstances: 14

3. 检索 ipaExtdomMaxInstances 的当前值：

   # ldapsearch -xLLLD "cn=Directory Manager" -W -b "cn=ipa_extdom_extop,cn=plugins,cn=config" |grep ipaextdommaxinstances
   
   Enter LDAP Password:
   
   ipaextdommaxinstances: 14

4. 监控 IdM 目录服务器的性能，如果不改进，请重复这个过程并调整 ipaExtdomMaxInstances 变量的值。

流程

1. 确定单个未缓存登录所需的秒数。

   1. 清除 IdM 客户端上的 SSSD 缓存。

      [root@client_hostname ~]# sss_cache -E

   2. 使用 time 命令测量 AD 用户的登录时间。在 IdM 客户端中，通过登录到同一主机以 AD 用户进行身份验证。

      [root@client_hostname ~]# time ssh <ad_username>@<ad_domain>@<client_fqdn>

   3. 尽快输入密码。

      Password:
      Last login: Sat Jan 23 06:29:54 2021 from 10.0.2.15
      [ad_username@ad_domain@client_fqdn ~]$

   4. 尽快注销以显示已经过的时间。在本例中，单个未缓存的登录大约需要 9 秒。

      [ad_username@ad_domain@client_fqdn /]$ exit
      logout
      Connection to client.example.com closed.
      
      real 0m8.755s
      user    0m0.017s
      sys     0m0.013s

2. 在文本编辑器中打开 /etc/sssd/sssd.conf 配置文件。

3. 在您的 Active Directory 域的 [domain] 部分添加以下选项。将 pam_id_timeout 和 krb5_auth_timeout 选项设置为未缓存登录所需的秒数。如果您还没有 AD 域的 domain 部分，请创建一个。

   [domain/<idm_domain>/<ad_domain>]
   krb5_auth_timeout = 9
   ldap_deref_threshold = 0
   ...

4. 在 [pam] 部分添加以下选项：

   [pam]
   pam_id_timeout = 9

5. 保存并关闭服务器上的 /etc/sssd/sssd.conf 文件。

6. 重启 SSSD 服务以载入配置更改。

   [root@client_hostname ~]# systemctl restart sssd

流程

1. 创建 tmpfs 临时文件系统：

   1. 确认 SSSD 用户拥有 config.ldb 文件：

      # ls -al /var/lib/sss/db/config.ldb
      -rw-------. 1 sssd sssd 1286144 Jun  8 16:41 /var/lib/sss/db/config.ldb

   2. 将以下条目作为一行添加到 /etc/fstab 文件中：

      tmpfs /var/lib/sss/db/ tmpfs size=300M,mode=0700,uid=sssd,gid=sssd,rootcontext=system_u:object_r:sssd_var_lib_t:s0 0 0

      这个示例创建了一个 300MB 缓存。根据您的 IdM 和 AD 目录大小调整 size 参数，每个 10,000 LDAP 条目大约为 100 MBs。

2. 挂载新的 SSSD 缓存目录。

   [root@host ~]# mount /var/lib/sss/db/

3. 重启 SSSD 以反应这个配置更改。

   [root@host ~]# systemctl restart sssd