使用 IdM Healthcheck 监控 IdM 环境

身份管理(IdM)中的 Healthcheck 工具可帮助发现可能影响 IdM 环境健康的问题。

您可以使用 --output-file 选项来指定不同的文件目标。

按照以下流程安装 IdM Healthcheck 工具。

健康检查可以手工运行或使用日志轮转自动运行

日志轮转每天创建一个新的日志文件，并按照日期对文件进行组织。由于所有日志文件都保存在同一目录中，您可以根据日期选择特定的日志文件。

轮转意味着，保持的日志文件数量有一个最大的限制，如果超过了这个限制，最新的文件会重写并重命名最旧的文件。例如，如果轮转数量为 30，则第三十一个日志文件会替代第一个（最旧的）日志文件。

日志轮转可以减少日志文件的数量并对它们进行组织，这有助于分析日志。

按照以下流程配置日志轮转：

systemd 计时器定期运行 Healthcheck 工具并生成日志。默认值设为每天的上午 4 点。

crond 服务用于日志轮转。

默认的日志名是 healthcheck.log，轮转的日志使用 healthcheck.log-YYYYMMDD 格式。

要开始生成日志，启动 IPA healthcheck 服务：

# systemctl start ipa-healthcheck

要验证结果，进入 /var/log/ipa/healthcheck/ 并检查日志是否已正确创建。

您可以通过在 /etc/ipahealthcheck/ipahealthcheck.conf 文件中添加所需的命令行选项来更改 Healthcheck 设置。这很有用，例如，您配置了日志轮转，并希望确保日志采用适合自动分析的格式，但不想设置新的计时器。

在修改后，Healthcheck 创建的所有日志遵循新的设置。这些设置也应用到健康检查的任何手动执行。

按照以下流程，配置带有已设置了计时器的 Healthcheck。在本例中，您将配置 Healthcheck 以人类可读格式生成日志，并且包含成功结果而不是仅错误。

Healthcheck 工具包含一个测试，用于检查任何 IdM 服务是否没有运行。这个测试很重要，因为没有运行的服务可能会导致其他测试中出现失败。因此，检查所有服务是否已首先运行。然后您可以检查所有其他测试结果。

要查看所有服务测试，请使用 --list-sources 选项运行 ipa-healthcheck:

# ipa-healthcheck --list-sources

您可以在 ipahealthcheck.meta.services 源下查找通过 Healthcheck.meta.services 源测试的所有服务：

按照以下流程，使用 Healthcheck 工具对在身份管理(IdM)服务器上运行的服务运行独立的手动测试。

Healthcheck 工具包括许多测试，其结果可以被缩短：

成功测试显示空的括号：

[ ]

如果其中一个服务失败，则结果可能会和本例类似：

{
  "source": "ipahealthcheck.meta.services",
  "check": "httpd",
  "result": "ERROR",
  "kw": {
    "status": false,
    "msg": "httpd: not running"
  }
}

Healthcheck 工具包括检查可用的磁盘空间的测试。可用磁盘空间不足可能会导致问题：

测试检查以下路径：

要列出所有测试，请使用 --list-sources 选项运行 ipa-healthcheck:

# ipa-healthcheck --list-sources

您可以在 ipahealthcheck.system.filesystemspace 源中找到文件系统空间检查测试：

按照以下流程，使用 Healthcheck 工具在身份管理(IdM)服务器上运行可用磁盘空间的独立的手动测试。

由于 Healthcheck 包括许多测试，因此您可以通过以下方法缩小结果：

成功测试显示空的括号：

[]

例如，无法显示失败的测试：

{
  "source": "ipahealthcheck.system.filesystemspace",
  "check": "FileSystemSpaceCheck",
  "result": "ERROR",
  "kw": {
    "msg": "/var/lib/dirsrv: free space under threshold: 0 MiB < 1024 MiB",
    "store": "/var/lib/dirsrv",
    "free_space": 0,
    "threshold": 1024
  }
}

失败测试告知您 /var/lib/dirsrv 目录已空间不足。

Healthcheck 工具测试由 Identity Management(IdM)安装和配置的一些重要文件的所有权和权限。

如果您更改了任何测试的文件的所有权或权限，则测试会在 result 部分中返回一个警告。这不一定意味着配置无法正常工作，它意味着该文件与默认配置不同。

要查看所有测试，请使用 --list-sources 选项运行 ipa-healthcheck:

# ipa-healthcheck --list-sources

您可以在 ipahealthcheck.ipa.files 源中找到文件权限测试：

按照以下流程，使用 Healthcheck 工具对身份管理(IdM)服务器配置文件运行独立的手动测试。

Healthcheck 工具包括多个测试。可以通过以下方法缩小结果：

成功测试显示空的括号：

# ipa-healthcheck --source=ipahealthcheck.ipa.files --failures-only
[]

失败测试显示类似如下的 WARNING ：

{
  "source": "ipahealthcheck.ipa.files",
  "check": "IPAFileNSSDBCheck",
  "result": "WARNING",
  "kw": {
    "key": "_etc_dirsrv_slapd-EXAMPLE-TEST_pkcs11.txt_mode",
    "path": "/etc/dirsrv/slapd-EXAMPLE-TEST/pkcs11.txt",
    "type": "mode",
    "expected": "0640",
    "got": "0666",
    "msg": "Permissions of /etc/dirsrv/slapd-EXAMPLE-TEST/pkcs11.txt are 0666 and should be 0640"
  }
}

Healthcheck 工具包含一个测试，用于检查自动发现所需的 DNS 记录是否可以解析。

要列出所有测试，请使用 --list-sources 选项运行 ipa-healthcheck:

# ipa-healthcheck --list-sources

您可以在 ipahealthcheck.ipa.idns 源中找到 DNS 记录检查测试。

按照以下流程，使用 Healthcheck 工具在身份管理(IdM)服务器中运行 DNS 记录的独立的手动测试。

Healthcheck 工具包括多个测试。通过添加 --source ipahealthcheck.ipa.idns 选项，可以仅包含 DNS 记录测试来缩小结果。

Healthcheck 工具测试身份管理(IdM)拓扑配置，并搜索复制冲突问题。

要列出所有测试，请使用 --list-sources 选项运行 ipa-healthcheck:

# ipa-healthcheck --list-sources

拓扑测试放置在 ipahealthcheck.ipa.topology 和 ipahealthcheck.ds.replication 源下：

按照以下流程，使用 Healthcheck 工具对身份管理(IdM)复制拓扑和配置运行独立的手动测试。

Healthcheck 工具包括多个测试。因此，您可以使用以下方法缩短结果：

Healthcheck 工具包括几个测试用来测试您的身份管理(IdM)和 Active Directory(AD)信任的状态的测试。

要查看所有信任测试，请使用 --list-sources 选项运行 ipa-healthcheck:

# ipa-healthcheck --list-sources

您可以在 ipahealthcheck.ipa.trust 源中找到所有测试：

按照以下流程，使用 Healthcheck 工具对身份管理(IdM)和活动目录(AD)信任健康检查运行独立的手动测试。

Healthcheck 工具包括多个测试，因此您可以缩短结果：

成功测试显示空的括号：

# ipa-healthcheck --source=ipahealthcheck.ipa.trust --failures-only
[]

Healthcheck 工具包括多个用于验证系统(DogTag)证书的测试。

要查看所有测试，请使用 --list-sources 选项运行 ipa-healthcheck:

# ipa-healthcheck --list-sources

您可以在 ipahealthcheck.dogtag.ca 源中找到所有测试：

按照以下流程，使用 Healthcheck 工具运行身份管理(IdM)证书的独立的手动测试。

由于 Healthcheck 工具包括许多测试，您可以通过只包括 DogTag 测试：--source=ipahealthcheck.dogtag.ca 来缩小结果范围

成功测试示例：

{
  "source: ipahealthcheck.dogtag.ca",
  "check: DogtagCertsConfigCheck",
  "result: SUCCESS",
  "uuid: 9b366200-9ec8-4bd9-bb5e-9a280c803a9c",
  "when: 20191008135826Z",
  "duration: 0.252280",
  "kw:" {
    "key": "Server-Cert cert-pki-ca",
    "configfile":  "/var/lib/pki/pki-tomcat/conf/ca/CS.cfg"
    }
}

一个失败的测试示例：

{
  "source: ipahealthcheck.dogtag.ca",
  "check: DogtagCertsConfigCheck",
  "result: CRITICAL",
  "uuid: 59d66200-1447-4b3b-be01-89810c803a98",
  "when: 20191008135912Z",
  "duration: 0.002022",
  "kw:" {
    "exception": "NSDB /etc/pki/pki-tomcat/alias not initialized",
    }
}

Healthcheck 工具包括几个测试，用于验证 Identity Management(IdM)中由 certmonger 维护的证书状态。有关 certmonger 的详情，请参阅使用 certmonger 为服务获取 IdM 证书。

这个测试套件会检查过期、验证、信任和其他问题。可能会为相同的底层问题抛出多个错误。

要查看所有证书测试，请使用 --list-sources 选项运行 ipa-healthcheck:

# ipa-healthcheck --list-sources

您可以在 ipahealthcheck.ipa.certs 源中找到所有测试：

按照以下流程，使用 Healthcheck 工具运行身份管理(IdM)证书健康检查的独立的手动测试。

Healthcheck 工具包括许多测试，您可以对结果进行简化：

成功测试显示空的括号：

[]

失败测试显示以下输出：

{
  "source": "ipahealthcheck.ipa.certs",
  "check": "IPACertfileExpirationCheck",
  "result": "ERROR",
  "kw": {
    "key": 1234,
    "dbdir": "/path/to/nssdb",
    "error": [error],
    "msg": "Unable to open NSS database '/path/to/nssdb': [error]"
  }
}

这个 IPACertfileExpirationCheck 测试在打开 NSS 数据库时失败。