Sun Java logo     이전      목차      색인      다음     

Sun logo
Sun Java System Identity Synchronization for Windows 1 2004Q3 설치 및 구성 설명서 

1장
제품 이해

Identity Synchronization for Windows는 Sun Java™ System Directory Server 5 2004Q2와 다음간의 양방향 비밀번호 및 사용자 속성 동기화를 제공합니다.


Identity Synchronization for Windows 동기화 이벤트 처리


Sun Java System Identity Synchronization for Windows 버전 1 2004Q3을 설치(또는 마이그레이션)하기 전에 이 장에서 설명한 개념을 숙지해야 합니다. 이 장은 다음과 같은 절로 구성됩니다.

제품 기능

Identity Synchronization for Windows는 다음의 기능을 제공합니다.

Windows 디렉토리의 항목을 수정하거나 디렉토리를 사용하는 응용 프로그램을 변경할 필요가 없습니다.

Identity Synchronization for Windows를 사용하여 Directory Server와 Active Directory를 동기화하는 경우 Windows 운영 환경에 어떤 구성요소도 설치할 필요가 없습니다.

Directory Server와 Windows NT를 동기화 하는 경우 반드시 제품의 NT 구성요소를 Windows NT 환경에 설치해야 합니다.

시스템 구성요소

Identity Synchronization for Windows는 일련의 코어 구성요소와 Sun Java System Directory Server와 Windows 디렉토리 사이에서 비밀번호와 사용자 속성을 동기화할 수 있는 여러 개별 커넥터 및 커넥터 하위 구성요소로 구성되어 있습니다(그림 1-1 참조).

그림 1-1) 시스템 구성요소

주요 시스템 구성요소 블록 도면

여기에서는 각 Identity Synchronization for Windows 구성요소를 정의 및 설명하며, 다음과 같이 구성됩니다.

WatchDog 프로세스

Watchdog은 Identity Synchronization for Windows java 프로세스로 개별 배경 java 프로세스의 시작, 재시작 및 정지를 담당합니다. Watchdog은 중앙 기록기, 시스템 관리자 및 커넥터를 시작하고 모니터합니다 (그러나 하위 구성요소, Message Queue 또는 Identity Synchronization for Windows 콘솔을 모니터하지는 않습니다.).

Watchdog은 코어를 설치하는 위치에 설치되며 Solaris 데몬 또는 Windows 서비스로 시작될 수 있습니다. (서비스의 시작 및 정지에 대한 내용은 "서비스 시작 및 정지" 페이지 183를 참조하십시오.)

코어

Identity Synchronization for Windows를 설치할 때 우선 코어를 설치하며, 그런 후 환경에 맞추어 구성합니다.

코어는 다음 구성요소로 구성되며, 이들 각각은 별도의 java 프로세스입니다.
각 구성요소에 대한 설명은 참조 페이지에 나와 있습니다.

구성 디렉토리

Identity Synchronization for Windows 는 구성 데이터를 Directory Server 구성 디렉토리에 저장합니다. (프로그램이 구성 디렉토리를 설치하지는 않습니다.)

콘솔, 시스템 관리자 및 설치 프로그램은 모두 다음을 포함하여 구성 디렉토리에서 제품의 구성 데이터를 읽고 씁니다.

콘솔

Identity Synchronization for Windows는 제품의 구성요소 구성 및 관리 작업을 중앙화하는 콘솔을 제공합니다.

콘솔을 사용하여 다음 작업을 수행할 수 있습니다.

명령줄 유틸리티

Identity Synchronization for Windows는 또한 명령줄에서 직접 다음 작업을 수행할 수 있는 명령줄 유틸리티를 제공합니다.

제품의 명령줄 유틸리티에 대한 자세한 내용은 부록 A, "Identity Synchronization for Windows 명령줄 유틸리티 사용."을 참조

시스템 관리자

Identity Synchronization for Windows 시스템 관리자는 다음의 작업을 하는 별도의 java 프로세스입니다.

중앙 기록기

커넥터가 지리적으로 분산되어 설치될 수 있으므로 모든 로깅 정보를 중앙 집중식으로 관리할 경우 관리에 있어 상당한 이점을 누릴 수 있습니다. 이렇게 함으로써 관리자는 단일 위치에서 동기화 작업을 모니터하고 오류를 검출하며 전체 시스템의 상태를 평가할 수 있습니다.

관리자는 중앙 기록기로 다음의 작업을 할 수 있습니다.

로그의 종류는 두 가지입니다.

커넥터

커넥터는 단일 데이터 소스 유형에서 동기화 프로세스를 관리하는 java 프로세스입니다. 커넥터는 데이터 소스에서의 사용자 변경 내용을 검출하고 이들 변경 내용을 Message Queue를 통하여 원격 커넥터에 게시합니다.

Identity Synchronization for Windows는 디렉토리에 국한된 커넥터가 디렉토리와 도메인 사이에서 양방향으로 사용자 속성과 비밀번호 업데이트를 동기화하는 다음의 디렉토리 특정 커넥터를 제공합니다.

커넥터 하위 구성요소

하위 구성요소는 커넥터와 별도로 실행되는 경량 프로세스 또는 라이브러리입니다. 커넥터는 하위 구성요소를 사용하여 Directory Server 또는 Windows NT에 있는 암호를 캡쳐하는 등의 원격으로 액세스할 수 없는 원시 리소스에 액세스합니다.

다음 커넥터 하위 구성요소는 동기화되는 디렉토리와 함께 설치되며 암호화된 연결을 통하여 해당 커넥터와 통신합니다.

Directory Server 플러그인

Directory Server 플러그인은 Directory Server 커넥터의 하위 구성요소입니다. Directory Server 플러그인은 동기화되는 각 Directory Server에 설치합니다.

이 플러그인의 용도

Windows NT 커넥터 하위 구성요소

설치에서 Windows NT SAM Registries와 동기화해야 하는 경우 Identity Synchronization for Windows 설치 프로그램이 다음 기본 도메인 제어기(PDC)를 Windows NT 커넥터와 함께 설치합니다.

Message Queue

Identity Synchronization for Windows는 Message Queue(게시/가입 모델이 있는 일관적인 메시지 대기열 메커니즘)를 사용하여 디렉토리 소스 사이에서 속성과 비밀번호 변경 내용을 전달하고 해당 디렉토리 소스에 대한 동기화를 관리하는 커넥터에 관리 및 구성 정보를 배포합니다.

Message Queue는 Java Message Service(JMS) 개방형 표준을 구현하는 엔터프라이즈 메시징 시스템입니다. JMS 표준은 일련의 프로그래밍 인터페이스를 기술하여 java 응용 프로그램이 분산 환경에서 메시지를 작성, 송신, 수신 및 읽을 수 있는 공통 방법을 제공합니다.

Message Queue는 공통 메시지 서비스를 사용하여 메시지를 교환하는 메시지 게시자와 가입자로 구성됩니다. 이 메시지 서비스는 하나 이상의 전용 메시지 브로커로 구성되며, 브로커는 메시지 대기열에 대한 액세스 제어, 사용 중인 게시자 및 가입자에 대한 정보 유지, 메시지 전달 확인 등의 기능을 담당합니다.

Message Queue는 다음과 같은 이유로 인해 최상의 방법론이라고 할 수 있습니다.

시스템 구성요소 배포

효과적인 구현을 개발하기 전에 반드시 Identity Synchronization for Windows 구성요소가 구성되는 방법과 제품이 운영되는 방법을 이해해야 합니다. 이 부분은 다음과 같은 내용으로 구성됩니다.

이 단원과 구현 시나리오 예제((more...) 참조)에서 설명하는 기본 개념을 이해하면 더욱 복잡한 고도의 시나리오(복합 Active Directory 및 Windows NT 환경 또는 복수 서버 환경 등)에 대한 구현 전략을 만들 수 있는 정보를 추론할 수 있을 것입니다.

코어

코어 구성요소는 임의의 지원되는 운영 체제 디렉토리 서버에 한 번만 설치합니다. Administration Server는 반드시 코어와 동일한 컴퓨터에 있어야 합니다. 반드시 코어를 설치하기 전에 Message Queue 3.5 SP1 Enterprise Edition을 설치해야 합니다.

Directory Server 커넥터 및 플러그인

Directory Server 커넥터는 임의의 지원되는 운영 체제에 설치할 수 있습니다(목록은 "운영 체제 요구 사항" 페이지 52 참조). Directory Server 커넥터를 동기화되는 Directory Server가 실행되는 컴퓨터와 동일한 컴퓨터에 설치해야 하는 것은 아닙니다. 그러나 구성된 Directory Server 소스의 각각에 반드시 하나의 Directory Server 커넥터가 설치되어야 합니다.

반드시 동기화되는 Directory Server가 있는 모든 호스트에 Directory Server 플러그인을 설치해야 합니다.

참고

각 Directory Server 소스마다 하나의 Directory Server 커넥터가 설치됩니다. 그러나 Directory Server 플러그인은 동기화될 각 마스터, 허브 및 소비자 복제본에 설치되어야 합니다.

Active Directory 커넥터

Active Directory 커넥터는 임의의 지원되는 운영 체제에 설치할 수 있습니다(그림 1-2 참조). Windows 환경의 경우 Active Directory 커넥터를 설치할 필요가 없으나, 각 Active Directory 도메인에 반드시 하나의 Active Directory 커넥터가 설치되어야 합니다.

그림 1-2) Directory Server 및 Active Directory 구성요소 배포

Active Directory 구성요소 블록 도면

Windows NT 커넥터 및 하위 구성요소

Windows NT SAM Registries와 동기화하려면(그림 1-3 참조) 반드시 Windows NT 커넥터를 PDC(Primary Domain Controller)에 설치해야 합니다. 또한 설치 프로그램은 NT 도메인의 PDC에 커넥터와 함께 두 개의 NT 커넥터 구성요소(변경 검출기 및 비밀번호 필터 DLL)를 설치합니다. 단일 NT 커넥터는 단일 NT 도메인용 사용자 및 비밀번호를 동기화합니다.

그림 1-3) Directory Server 및 NT 구성요소 배포

NT 커넥터 및 하위 구성요소 블록 도면

Identity Synchronization for Windows가 디렉토리 소스에서 변경을 검출하는 방법

이 부분에서는
Sun Java System Directory Server(Directory Server), Windows Active Directory 및 Windows NT 커넥터가 사용자 항목 및 비밀번호 변경을 검출하는 방법에 대하여 설명합니다.

다음과 같은 내용으로 구성됩니다.

Directory Server 커넥터가 변경을 검출하는 방법

Directory Server 커넥터는 LDAP를 통하여 Directory Server Retro-Changelog를 검사하여 사용자 항목 및 비밀번호 변경 이벤트를 검출합니다. Directory Server 플러그인은 다음과 같은 방법으로 커넥터를 지원합니다.

Active Directory 커넥터가 변경을 검출하는 방법

Windows 2000/2003 Server Active Directory 커넥터는 Active Directory USNChanged 및 PwdLastSet 속성 값을 검사하여 사용자 항목 및 비밀번호 변경을 검출합니다.

Directory Server의 Retro Changelog와 달리 항목의 속성을 변경하면 Active Directory가 어느 속성이 변경되었는지 보고하지 않습니다. 대신 Active Directory는 USNchanged 속성을 증분시켜 항목 변경을 확인합니다. Active Directory 및 Windows NT 커넥터는 개별 속성의 변경을 검출하기 위하여 객체 캐시라고 하는 처리 중인 데이터베이스를 사용합니다. 객체 캐시에는 각 Active Directory 항목의 해시된 사본이 저장되며, 따라서 커넥터가 정확히 항목의 어느 속성이 수정되었는지 판단할 수 있습니다.

Windows 환경에 Active Directory 커넥터를 설치할 필요는 없습니다. Active Directory 커넥터는 Solaris 시스템 등과 같은 다른 환경에서 실행될 수 있으며 LDAP를 통하여 원격으로 검출 및 변경 작업을 수행할 수 있습니다.

그림 1-5) Active Directory 커넥터가 변경을 검출하는 방법

Active Directory 커넥터가 변경을 검출하는 방법은 그림과 같습니다.

Windows NT 커넥터가 변경을 검출하는 방법

Windows NT 커넥터는 사용자 객체에 대한 감사 이벤트용 보안 로그를 검사하여 사용자 항목 및 비밀번호 변경을 검출합니다.

Windows NT SAM Registries와 동기화하려면(그림 1-6 참조) 반드시 Windows NT 커넥터를 PDC(Primary Domain Controller)에 설치해야 합니다. 또한 설치 프로그램은 NT 도메인의 PDC에 커넥터와 함께 두 개의 NT 커넥터 하위 구성요소(변경 검출기 및 비밀번호 필터 DLL)를 설치합니다. 단일 NT 커넥터는 단일 NT 도메인용 사용자 및 비밀번호를 동기화합니다.

그림 1-6) Windows NT 커넥터가 변경을 검출하는 방법

Windows NT 커넥터가 변경을 검출하는 방법은 그림과 같습니다.

참고

구현에 Windows NT 컴퓨터가 있는 경우 감사를 반드시 사용 설정해야 하며, 그렇기 않은 경우 Identity Synchronization for Windows가 해당 컴퓨터에서 메시지를 기록할 수 없습니다. Windows NT 컴퓨터에서 감사 로그를 사용하는지 확인하려면 "Windows NT 컴퓨터에서 감사 사용 설정" 페이지 274를 참조하십시오.

변경 검출기 및 비밀번호 필터 DLL 하위 구성요소에 대한 설명은 Windows NT 커넥터 하위 구성요소를 참조하십시오.

비밀번호 업데이트 전달

여기에서는 Windows 시스템과 Directory Server 시스템 사이에서 비밀번호 변경을 전달하기 위하여 일반 텍스트 비밀번호를 가져오는 방법에 대하여 설명합니다.

비밀번호 필터 DLL을 사용하여 일반 텍스트 비밀번호 가져오기

비밀번호 업데이트를 Sun Java System Directory Server로 전달하려면 Windows NT 커넥터가 반드시 일반 텍스트 비밀번호를 가져와야 합니다. 그러나 Windows 디렉토리에서는 일반 텍스트 비밀번호를 추출할 수 없는데, 비밀번호가 이 디렉토리에 저장되는 시점에서 이미 암호화되기 때문입니다.

Windows NT에는 비밀번호 필터 DLL 인터페이스가 제공되며, 이를 사용하여 구성요소가 일반 텍스트 비밀번호를 디렉토리에 영구적으로 저장되기 전에 캡쳐할 수 있습니다.

요청시 비밀번호 동기화를 사용하여 일반 텍스트 비밀번호 가져오기

Active Directory가 Windows NT와 동일한 비밀번호 필터를 지원하지만, 반드시 기본 도메인 제어기(PDC) 뿐 아니라 모든 도메인 제어기에 비밀번호 필터 DLL을 설치해야 합니다. 이렇게 하면 시스템에 상당한 부하가 발행하므로 Identity Synchronization for Windows는 요청시 비밀번호 동기화라고 하는 다른 접근 방법을 사용하여 Active Directory에서 Directory Server로 비밀번호 변경을 동기화합니다.

요청시 비밀번호 동기화는 Windows 2000에서 사용자의 암호가 변경된 후 해당 사용자가 로그인하려 할 때 Directory Server에서 새 비밀번호 값을 가져올 수 있는 방법을 제공합니다.

또한 요청시 비밀번호 동기화를 사용하면 비밀번호 필터 DLL 없이 Active Directory에서 비밀번호를 동기화할 수 있습니다.

요청시 비밀번호 동기화 프로세스는 다음과 같습니다.

  1. 사용자가 Windows 워크스테이션에서 Ctrl-Alt-Del을 눌러 비밀번호를 변경합니다. Active Directory에 새 비밀번호가 저장됩니다.
  2. Active Directory 커넥터는 예약된 간격으로 시스템을 폴합니다.

    3. 커넥터가 비밀번호 변경을 감지하면(USNchanged(업데이트 시퀀스 번호) 및 PwdLastSet 속성에서 변경된 내용 기준) 커넥터는 Message Queue에 해당 비밀번호 변경에 대한 메시지를 게시합니다. 메시지는 SSL 암호화 채널로 전송됩니다.

    그림 1-7) 요청시 비밀번호 동기화 - 제1부
    요청시 비밀번호 동기화의 작동은 그림에 보이는 것과 같습니다.

  3. Directory Server 커넥터가 Message Queue에서 비밀번호 변경 메시지를 수신합니다(SSL 경유).
  4. Directory Server 커넥터가 사용자 항목의 dspswvalidate 속성을 true로 설정하면 이전 비밀번호는 무효화되고 Directory Server 플러그인에 비밀번호 변경을 경고합니다.
  5. 사용자가 LDAP 응용 프로그램(Portal Server 등)을 사용한 Directory Server에 대한 인증을 통하여 로그온을 시도하면 Sun Java System Directory Server 플러그인이 Directory Server 항목에 있는 비밀번호 값이 유효하지 않음을 검출합니다.
  6. Directory Server 플러그인이 Active Directory에서 해당 사용자를 검색합니다. 플러그인이 해당 사용자를 찾으면 사용자가 Directory Server에 로그인할 때 입력한 비밀번호를 사용하여 Active Directory로의 바인딩을 시도합니다.

    7. 참고

    요청시 비밀번호 동기화에는 SASL Digest-MD5 등의 더 복잡한 인증 메커니즘을 사용하는 것이 아니라 Directory Server에 대한 간단한 인증을 사용하는 응용 프로그램이 필요합니다.

  7. Active Directory에 대한 바인딩이 성공하면 사용자가 새 Active Directory 비밀번호를 입력하고, Directory Server 플러그인은 해당 비밀번호를 설정하고 Directory Server의 사용자 항목에서 무효화된 비밀번호 플래그를 제거합니다.

    8. 그림 1-8) 요청시 비밀번호 동기화 - 제2부
    Active Directory 및 Directory 서버에서 사용자 항목과 비밀번호 변경이 업데이트되는 방법은 그림과 같습니다.

    참고

    사용자 인증이 실패하는 경우 사용자 항목 비밀번호는 Directory Server에 유지되며, Directory Server 및 Active Directory의 비밀번호는 사용자가 유효한 비밀번호(Active Directory로 인증할 때 사용하는 비밀번호)로 로그인할 때까지 동기화되지 않습니다.

신뢰할 수 있는 동기화

Identity Synchronization for Windows는 구성요소를 일시적으로 사용 불가능한 경우에도 사용자 변경 이벤트를 잃지 않도록 매우 신중하게 작업합니다. Identity Synchronization for Windows의 신뢰도는 TCP 네트워크 프로토콜과 유사합니다. TCP는 끊어지거나 중단되는 네트워크의 경우에도 결국 모든 데이터를 순서대로 전달합니다. 네트워크가 일시적으로 끊어진 동안 송신된 데이터는 네트워크가 중단된 동안 대기열에 넣어지며 연결이 복구되면 다시 전달됩니다. Identity Synchronization for Windows는 다음 구성요소 중 한 가지를 일시적으로 사용할 수 없는 경우에도 사용자 변경 이벤트를 검출하고 적용합니다

이들 구성요소 중 한 가지를 사용할 수 없는 경우 Identity Synchronization for Windows는 변경 내용을 잃지 않고(비밀번호 포함) 해당 구성요소를 다시 사용할 수 있을 때까지 동기화를 연기합니다. 이 버전의 Identity Synchronization for Windows는 Sun Cluster 또는 기타 진정한 고가용도 솔루션은 지원하지 않습니다. Identity Synchronization for Windows는 사용자가 직접 상호작용하지 않는 배경의 응용 프로그램이므로 보통 고가용성이 필요하지 않습니다.
중요한 오류가 발생하는 경우 Identity Synchronization for Windows 구성요소를 다시 설치하고 idsync resync 명령을 사용하여 모든 디렉토리 소스를 다시 동기화할 수 있습니다.

대부분의 경우 구성요소를 사용할 수 없으면 프로그램은 동기화 이벤트를 대기열에 넣고 구성요소를 사용할 수 있는 경우에만 이를 적용합니다. 이 프로세스에는 두 가지 예외가 있습니다.

구현 예제: 컴퓨터가 두 대인 구성

여기에서는 Sun과 Windows 디렉토리 사이에서 Identity Synchronization for Windows를 사용하여 사용자 객체 생성과 양방향 비밀번호 수정을 동기화하는 구현 시나리오에 대하여 설명합니다.

이 구현 시나리오는 두 대의 시스템으로 구성됩니다.

참고

이 시나리오에서는 NT를 사용하지 않지만 Identity Synchronization for Windows는 NT 도메인과의 동기화 또한 지원한다는 것을 유의하십시오.

이 구현 시나리오에서 동기화 요구 사항은 (노드 구조와 연결된 속성 값)에 보이는 것과 같습니다.

그림 1-9) 동기화 요구 사항

노드 구조와 속성 값이 표시된 동기화 요구 사항

이 시나리오의 목적은 두 가지입니다.

참고

Identity Synchronization for Windows는 동일한 유형의 복수 동기화를 지원합니다. (예를 들어 단일 구현에서 Directory Server가 두 개 이상 있거나 복수 Active Directory 도메인이 가능합니다.)

생성, 수정 및 삭제 동기화 설정은 전체 디렉토리에 전역적이며 개별 디렉토리 소스에 지정될 수 없습니다. Sun에서 Windows로 사용자 생성 내용을 동기화하면 사용자 생성 내용은 설치에서 구성된 모든 Sun Directory Server에서 모든 Active Directory 도메인 및 Windows NT 도메인으로 전달됩니다.

물리적 구현

그림 1-10에서는 모든 제품의 구성요소가 단일 Solaris 박스에 물리적으로 구현된 반면 Active Directory 도메인은 별도의 구성요소가 설치되지 않은 Active Directory 도메인 컨트롤러에 상주합니다.

그림 1-10) Directory Server 및 Active Directory 시나리오

Directory Server 및 Active Directory 물리적 구현

구성요소 배포

호스트 corp.example.com은 Solaris 운영 체제에 설치된 Directory Server입니다. 동기화되는 Directory Server용 루트 접미어는 dc=corp,dc=example,dc=com입니다.

컴퓨터에 포함된 내용:

호스트 sales.example.com은 동기화되는 Active Directory 도메인입니다.



이전      목차      색인      다음     

부품 번호: 817-6199-05.   Copyright 2004 Sun Microsystems, Inc. All rights reserved.