使用 IdM Healthcheck 监控 IdM 环境

• 复制问题
• 证书有效期
• 证书颁发机构基础架构问题
• IdM 和 Active Directory 信任问题
• 正确的文件权限和所有权设置

• JSON ：JSON 格式的机器可读输出（默认）
• human：人类可读的输出

先决条件

• 以 root 身份登录。

流程

• 安装 ipa-healthcheck 软件包：

  [root@server ~]# dnf install ipa-healthcheck

验证

• 执行基本 Healthcheck 测试：

  [root@server ~]# ipa-healthcheck
  []

  空方括号 [] 表示 IdM 安装的功能。

• 手动
• 使用 日志轮转 自动进行。

先决条件

• 已安装 Healthcheck 工具。请参阅 安装 IdM Healthcheck。

• 定期运行 Healthcheck 工具的 systemd 计时器并生成日志。
• 用于确保日志轮转的 crond 服务。

先决条件

• 您有 root 特权。

先决条件

• 您的系统正在运行 RHEL 9.1 或更高版本。
• 您有 root 特权。
• 您之前已在计时器中配置了日志轮转。

• certmonger
• dirsrv
• gssproxy
• httpd
• ipa_custodia
• ipa_otpd
• kadmin
• krb5kdc
• named
• ods_enforcerd
• ipa_dnskeysyncd
• pki_tomcatd
• sssd
• chronyd
• smb
• winbind

流程

• 输入：

  # ipa-healthcheck --source=ipahealthcheck.meta.services

  • the- source=ipahealthcheck.meta.services 选项可确保 IdM Healthcheck 仅执行服务测试。
  • 默认情况下启用 --failures-only 选项，它可确保 IdM Healthcheck 仅报告警告、错误和严重问题。

  成功测试显示空的括号：

  [ ]

  如果其中一个服务失败，则结果可能会和本例类似：

  {
    "source": "ipahealthcheck.meta.services",
    "check": "httpd",
    "result": "ERROR",
    "kw": {
      "status": false,
      "msg": "httpd: not running"
    }
  }

  注意

  当尝试发现问题时，在所有 IdM 服务器中运行这个测试。

• 需要最少的原始可用字节。
• 最小磁盘空间的百分比为 20%。

• 日志
• 执行
• 备份

流程

• 输入：

  # ipa-healthcheck --source=ipahealthcheck.system.filesystemspace

  • the- source=ipahealthcheck.meta.services 选项可确保 IdM Healthcheck 仅执行磁盘空间测试。

• 仅包含所有者和权限测试 ：-- source=ipahealthcheck.ipa.files

先决条件

• 您有 root 特权。

流程

• 输入：

  # ipa-healthcheck --source ipahealthcheck.ipa.idns

  • --source ipahealthcheck.ipa.idns 选项可确保 IdM Healthcheck 仅执行 DNS 记录测试。

    如果可解析记录，则测试会返回 SUCCESS ：

    {
        "source": "ipahealthcheck.ipa.idns",
        "check": "IPADNSSystemRecordsCheck",
        "result": "SUCCESS",
        "uuid": "eb7a3b68-f6b2-4631-af01-798cac0eb018",
        "when": "20200415143339Z",
        "duration": "0.210471",
        "kw": {
          "key": "_ldap._tcp.idm.example.com.:server1.idm.example.com."
        }
    }

    当测试会返回 WARNING 时，测试会返回 WARNING，例如，记录数与预期数目不匹配：

  {
      "source": "ipahealthcheck.ipa.idns",
      "check": "IPADNSSystemRecordsCheck",
      "result": "WARNING",
      "uuid": "972b7782-1616-48e0-bd5c-49a80c257895",
      "when": "20200409100614Z",
      "duration": "0.203049",
      "kw": {
        "msg": "Got {count} ipa-ca A records, expected {expected}",
        "count": 2,
        "expected": 1
      }
  }

先决条件

• 您有 root 特权。

流程

• 输入：

  # ipa-healthcheck --source=ipahealthcheck.ds.replication --source=ipahealthcheck.ipa.topology

  • --source=ipahealthcheck.ds.replication and-- source=ipahealthcheck.ipa.topology 选项可确保 IdM Healthcheck 只执行复制冲突和拓扑测试。

  可能有四个不同的结果：

  • SUCCESS — 测试成功通过。

    {
      "source": "ipahealthcheck.ipa.topology",
      "check": "IPATopologyDomainCheck",
      "result": "SUCCESS",
      "kw": {
        "suffix": "domain"
      }
    }

  • WARNING — 测试通过但可能会有问题。

  • ERROR — 测试失败。

    {
      "source": "ipahealthcheck.ipa.topology",
      "check": "IPATopologyDomainCheck",
      "result": "ERROR",
      "uuid": d6ce3332-92da-423d-9818-e79f49ed321f
      "when": 20191007115449Z
      "duration": 0.005943
      "kw": {
        "msg": "topologysuffix-verify domain failed, server2 is not connected (server2_139664377356472 in MainThread)"
      }
    }

  • CRITICAL — 测试失败，它会影响 IdM 服务器的功能。

• IdM 中的 Healthcheck

流程

• 输入：

  # ipa-healthcheck --source=ipahealthcheck.ipa.trust --failures-only

  • --source=ipahealthcheck.ipa.trust 选项可确保 IdM Healthcheck 仅执行信任测试。

流程

• 输入：

  # ipa-healthcheck --source=ipahealthcheck.dogtag.ca

  • --source=ipahealthcheck.dogtag.ca 选项可确保 Healthcheck 仅执行证书测试。

先决条件

• 您有 root 特权。

流程

• 输入：

  # ipa-healthcheck --source=ipahealthcheck.ipa.certs --failures-only

  • the- source=ipahealthcheck.ipa.certs 选项可确保 IdM Healthcheck 仅执行 certmonger 证书测试。

    成功测试显示空的括号：

    []

    失败测试显示以下输出：

    {
      "source": "ipahealthcheck.ipa.certs",
      "check": "IPACertfileExpirationCheck",
      "result": "ERROR",
      "kw": {
        "key": 1234,
        "dbdir": "/path/to/nssdb",
        "error": [error],
        "msg": "Unable to open NSS database '/path/to/nssdb': [error]"
      }
    }

  这个 IPACertfileExpirationCheck 测试在打开 NSS 数据库时失败。