Trusted Extensions システムでの Oracle Directory Server Enterprise Edition の構成

ドキュメントの品質向上のためのご意見をください

Your rating has been updated

貴重なご意見を有り難うございました!

あなたの貴重なご意見はより良いドキュメント作成の手助けとなります内容の品質向上と追加コメントのためのアンケートに参加されますか？

Trusted Extensions システムでの Oracle Directory Server Enterprise Edition の構成

LDAP ネームサービスは、Trusted Extensions の対応ネームサービスです。サイトで LDAP ネームサービスがまだ実行されていない場合、Trusted Extensions が構成されているシステムで Oracle Directory Server Enterprise Edition (Directory Server) を構成します。

サイトですでに Directory Server が実行されている場合、Trusted Extensions データベースをサーバーに追加する必要があります。Directory Server にアクセスするために、Trusted Extensions システムで LDAP プロキシを設定します。

注 - この LDAP サーバーを NFS サーバーまたは Sun Ray クライアント用サーバーとして使用しない場合は、このサーバーにラベル付きゾーンをインストールする必要はありません。

LDAP 用に Directory Server の情報を収集する

次の項目の値を決定します。

各項目は、システムインストールウィザードに表示される順序で記載されています。

インストールウィザードのプロンプト	対応または情報
Oracle Directory Server Enterprise Edition `version`
「管理者ユーザー ID」	デフォルト値は「`admin`」です。
「管理者ユーザーパスワード」	「`admin123`」のようなパスワードを作成します。
「ディレクトリマネージャ DN」	デフォルト値は「`cn=Directory Manager`」です。
「ディレクトリマネージャパスワード」	「`dirmgr89`」のようなパスワードを作成します。
「Directory Server ルート」	デフォルト値は「`/var/opt/mps/serverroot`」です。プロキシソフトウェアをインストールする場合、このパスはあとでも使用されます。
「サーバー識別子」	デフォルト値はローカルシステムです。
「サーバーポート」	Directory Server を使用して標準的な LDAP ネームサービスをクライアントシステムに提供する場合は、デフォルト値「`389`」を使用します。 Directory Server を使用してプロキシサーバーの今後のインストールをサポートする場合は、「`10389`」など標準以外のポートを入力します。
「サフィックス」	「`dc=example-domain,dc=com`」のように、ドメインコンポーネントを含めます。
「管理ドメイン」	「`example-domain.com`」のように、サフィックスに対応させて作成します。
「システムユーザー」	デフォルト値は「`root`」です。
「システムグループ」	デフォルト値は「`root`」です。
「データの保存場所」	デフォルト値は「このサーバーに構成データを保存します。」です。
「データの保存場所」	デフォルト値は「このサーバーにユーザー/グループデータを保存します。」です。
「Administration Port」	デフォルト値はサーバーポートです。デフォルトを変更するために推奨される慣例は、`ソフトウェアバージョン`に `1000` を掛けた数値です。ソフトウェアバージョン `5.2` の場合、この慣例ではポート `5200` になります。

Oracle Directory Server Enterprise Edition をインストールする

Directory Server のパッケージは Oracle web site for Sun Software Products から入手できます。

始める前に

大域ゾーンを含む Trusted Extensions システムで作業しています。システムにラベル付きゾーンはありません。大域ゾーンで root 役割になっている必要があります。

Trusted Extensions LDAP サーバーは、pam_unix を使用して LDAP リポジトリに対する認証を行うクライアントのために構成されています。pam_unix を使用する場合、パスワード操作と、その結果としてのパスワードポリシーは、クライアントによって決定されます。すなわち、LDAP サーバーによって設定されたポリシーは使用されません。クライアントで設定できるパスワードパラメータについては、『Oracle Solaris 11.1 の管理: セキュリティーサービス』の「パスワード情報の管理」を参照してください。pam_unix の詳細については、pam.conf(4) のマニュアルページを参照してください。

注 - LDAP クライアントで pam_ldap を使用する構成は、Trusted Extensions では評価されていません。

Directory Server パッケージをインストールする前に、システムのホスト名エントリに FQDN を追加します。
FQDN とは「完全指定のドメイン名 (Fully Qualified Domain Name )」のことです。この名前は、次のようにホスト名と管理ドメインの組み合わせになります。
```
## /etc/hosts
...
192.168.5.5 myhost myhost.example-domain.com
```
Oracle Directory Server Enterprise Edition のパッケージを Oracle web site for Sun Software Products からダウンロードします。
プラットフォームに適した最新のソフトウェアを選択します。
Directory Server パッケージをインストールします。
「LDAP 用に Directory Server の情報を収集する」からの情報を使って質問に答えます。質問、デフォルト値、推奨される回答の詳細な一覧については、『Oracle Solaris Administration: Naming and Directory Services』の第 11 章「Setting Up Oracle Directory Server Enterprise Edition With LDAP Clients (Tasks)」と『Oracle Solaris Administration: Naming and Directory Services』の第 12 章「Setting Up LDAP Clients (Tasks)」を参照してください。

(省略可能) 自身のパスに Directory Server の環境変数を追加します。

# $PATH
/usr/sbin:.../opt/SUNWdsee/dsee6/bin:/opt/SUNWdsee/dscc6/bin:/opt/SUNWdsee/ds6/bin:
/opt/SUNWdsee/dps6/bin

(省略可能) MANPATH に Directory Server のマニュアルページを追加します。
```
/opt/SUNWdsee/dsee6/man
```
cacaoadm プログラムを有効にして、プログラムが有効になったことを確認します。
```
# /usr/sbin/cacaoadm enable
# /usr/sbin/cacaoadm start
start: server (pid n) already running
```
ブートするたびに Directory Server も起動されるようにします。
Directory Server 用の SMF サービスのテンプレートが、Oracle Directory Server Enterprise Edition パッケージ内に含まれています。
- Trusted Extensions Directory Server で、サービスを有効にします。
```
# dsadm stop /export/home/ds/instances/your-instance
# dsadm enable-service -T SMF /export/home/ds/instances/your-instance
# dsadm start /export/home/ds/instances/your-instance
```
  dsadm コマンドについては、dsadm(1M) のマニュアルページを参照してください。
- プロキシ Directory Server で、サービスを有効にします。
```
# dpadm stop /export/home/ds/instances/your-instance
# dpadm enable-service -T SMF /export/home/ds/instances/your-instance
# dpadm start /export/home/ds/instances/your-instance
```
  dpadm コマンドについては、dpadm(1M) のマニュアルページを参照してください。

インストールを確認します。

# dsadm info /export/home/ds/instances/your-instance
Instance Path:         /export/home/ds/instances/your-instance
Owner:                 root(root)
Non-secure port:       389
Secure port:           636
Bit format:            32-bit
State:                 Running
Server PID:            298
DSCC url:              -
SMF application name:  ds--export-home-ds-instances-your-instance
Instance version:      D-A00

注意事項

LDAP 構成の問題を解決する方針については、『Oracle Solaris 11.1 でのネームサービスおよびディレクトリサービスの作業』の第 13 章「LDAP のトラブルシューティング (リファレンス)」を参照してください。

Directory Server 用の LDAP クライアントの作成

このクライアントを使用して、LDAP 用の Directory Server にデータを入力します。このタスクは、Directory Server にデータを入力する前に実行する必要があります。

一時的に Trusted Extensions Directory Server 上にクライアントを作成してからサーバー上のクライアントを移動することも、独立したクライアントを作成することもできます。

始める前に

大域ゾーンで root 役割になっています。

Trusted Extensions ソフトウェアをシステムに追加します。
Trusted Extensions Directory Server を使用することも、別個のシステムに Trusted Extensions を追加することもできます。

クライアント上の name-service/switch サービスで LDAP を構成します。

現在の構成を表示します。

# svccfg -s name-service/switch listprop config
config                       application
config/value_authorization   astring       solaris.smf.value.name-service.switch
config/default               astring       "files ldap"
config/host                  astring       "files dns"
config/netgroup              astring       ldap
config/printer               astring       "user files ldap"

次のプロパティーをデフォルトから変更します。

# svccfg -s name-service/switch setprop config/host = astring: "files ldap dns"

大域ゾーンで ldapclient init コマンドを実行します。

この例では、LDAP クライアントは example-domain.com ドメイン内にあります。サーバーの IP アドレスは 192.168.5.5 です。

# ldapclient init -a domainName=example-domain.com -a profileName=default \
> -a proxyDN=cn=proxyagent,ou=profile,dc=example-domain,dc=com \
> -a proxyDN=cn=proxyPassword={NS1}ecc423aad0 192.168.5.5
System successfully configured

サーバーの enableShadowUpdate パラメータに TRUE を設定します。
```
# ldapclient -v mod -a enableShadowUpdate=TRUE \
> -a adminDN=cn=admin,ou=profile,dc=example-domain,dc=com
System successfully configured
```
enableShadowUpdate パラメータについては、『Oracle Solaris Administration: Naming and Directory Services』の「enableShadowUpdate Switch」と、ldapclient(1M) のマニュアルページを参照してください。

Oracle Directory Server Enterprise Edition のログを構成する

この手順では次の 3 種類のログを構成します。アクセスログ、監査ログ、およびエラーログです。次のデフォルト設定は変更されません。

すべてのログが有効化およびバッファリングされます。
各ログは対応する /export/home/ds/instances/your-instance/logs/LOG_TYPE ディレクトリ内に配置されます。
イベントはログレベル 256 でロギングされます。
ログは 600 ファイルアクセス権で保護されます。
アクセスログは毎日ローテーションされます。
エラーログは毎週ローテーションされます。

この手順の設定は次の要件を満たします。

監査ログは毎日ローテーションされます。
3 か月よりも古いログファイルは期限切れになります。
すべてのログファイルで最大 20,000M バイトのディスク容量を使用します。
各ファイル最大 500M バイトの、最大 100 のログファイルが保持されます。
ディスク容量の空きが 500M バイトを下回ると古いログから削除されます。
エラーログでは追加情報が収集されます。

始める前に

大域ゾーンで root 役割になっている必要があります。

アクセスログを構成します。

アクセスの LOG_TYPE は ACCESS です。ログを構成するための構文は、次のとおりです。

dsconf set-log-prop LOG_TYPE property:value

# dsconf set-log-prop ACCESS max-age:3M
# dsconf set-log-prop ACCESS max-disk-space-size:20000M
# dsconf set-log-prop ACCESS max-file-count:100
# dsconf set-log-prop ACCESS max-size:500M
# dsconf set-log-prop ACCESS min-free-disk-space:500M

監査ログを構成します。

# dsconf set-log-prop AUDIT max-age:3M
# dsconf set-log-prop AUDIT max-disk-space-size:20000M
# dsconf set-log-prop AUDIT max-file-count:100
# dsconf set-log-prop AUDIT max-size:500M
# dsconf set-log-prop AUDIT min-free-disk-space:500M
# dsconf set-log-prop AUDIT rotation-interval:1d

監査ログのローテーション間隔は、デフォルトで 1 週間です。

エラーログを構成します。

この構成では、エラーログで追加データが収集されるように指定します。

# dsconf set-log-prop ERROR max-age:3M
# dsconf set-log-prop ERROR max-disk-space-size:20000M
# dsconf set-log-prop ERROR max-file-count:30
# dsconf set-log-prop ERROR max-size:500M
# dsconf set-log-prop ERROR min-free-disk-space:500M
# dsconf set-log-prop ERROR verbose-enabled:on

(省略可能) さらにログを構成します。
ログごとに次の構成を行うことも可能です。
```
# dsconf set-log-prop LOG_TYPE rotation-min-file-size:undefined
# dsconf set-log-prop LOG_TYPE rotation-time:undefined
```
dsconf コマンドについては、dsconf(1M) のマニュアルページを参照してください。

Oracle Directory Server Enterprise Edition のマルチレベルポートを構成する

Trusted Extensions で作業するには、Directory Server のサーバーポートを大域ゾーンのマルチレベルポート (MLP) として構成する必要があります。

始める前に

大域ゾーンで root 役割になっている必要があります。

txzonemgr を起動します。
```
# /usr/sbin/txzonemgr &
```
TCP プロトコル用のマルチレベルポートを大域ゾーンに追加します。
ポート番号は 389 です。
UDP プロトコル用のマルチレベルポートを大域ゾーンに追加します。
ポート番号は 389 です。

Oracle Directory Server Enterprise Edition にデータを入力する

ラベル構成、ユーザー、およびリモートシステムに関する Trusted Extensions データを保持するために、複数の LDAP データベースが作成および変更されています。この手順では、Directory Server データベースに Trusted Extensions 情報を取り込みます。

始める前に

大域ゾーンで root 役割になっている必要があります。シャドウ更新が有効になっている LDAP クライアントで作業しています。前提条件については、「Directory Server 用の LDAP クライアントの作成」を参照してください。

ネームサービスデータベースにデータを入力するために使用するファイルのステージング領域を作成します。
```
# mkdir -p /setup/files
```

サンプルの /etc ファイルをステージング領域にコピーします。

# cd /etc
# cp aliases group networks netmasks protocols /setup/files
# cp rpc services auto_master /setup/files

# cd /etc/security/tsol
# cp tnrhdb tnrhtp /setup/files

注意 - *attr ファイルはコピーしないでください。代わりに、ユーザー、役割、および権利プロファイルを LDAP リポジトリに追加するコマンドで、-S ldap オプションを使用します。これらのコマンドは、user_attr、auth_attr、exec_attr、および prof_attr データベース用のエントリを追加します。詳細は、user_attr(4) および useradd(1M) のマニュアルページを参照してください。

/setup/files/auto_master ファイルから +auto_master エントリを削除します。

ステージング領域にゾーン自動マップを作成します。

# cp /zone/public/root/etc/auto_home_public /setup/files
# cp /zone/internal/root/etc/auto_home_internal /setup/files
# cp /zone/needtoknow/root/etc/auto_home_needtoknow /setup/files
# cp /zone/restricted/root/etc/auto_home_restricted /setup/files

次の自動マップのリストで、各ペアの最初の行はファイルの名前を示します。2 行めはファイルの内容を示します。ゾーン名は、Trusted Extensions ソフトウェアに含まれているデフォルトの label_encodings ファイルからのラベルを特定します。

ここに示された行のゾーン名を実際のゾーン名に置き換えてください。
myNFSserver でホームディレクトリの NFS サーバーを特定します。

/setup/files/auto_home_public
 * myNFSserver_FQDN:/zone/public/root/export/home/&

/setup/files/auto_home_internal
 * myNFSserver_FQDN:/zone/internal/root/export/home/&

/setup/files/auto_home_needtoknow
 * myNFSserver_FQDN:/zone/needtoknow/root/export/home/&

/setup/files/auto_home_restricted
 * myNFSserver_FQDN:/zone/restricted/root/export/home/&

ldapaddent コマンドを使用して、ステージング領域のすべてのファイルを利用して Directory Server にデータを入力します。
たとえば、次のコマンドでは、ステージング領域の hosts ファイルからサーバーにデータが入力されます。
```
# /usr/sbin/ldapaddent -D "cn=directory manager" \
-w dirmgr123 -a simple -f /setup/files/hosts hosts
```
Trusted Extensions Directory Server で ldapclient コマンドを実行する場合は、システム上のクライアントを無効にします。
大域ゾーンで ldapclient uninit コマンドを実行します。詳細出力を使用して、そのシステムが LDAP クライアントではなくなっていることを確認します。
```
# ldapclient -v uninit
```
詳細については、ldapclient(1M) のマニュアルページを参照してください。
LDAP の Trusted Extensions ネットワークデータベースにデータを設定するには、-S ldap オプション付きの tncfg コマンドを使用します。
手順については、「ホストおよびネットワークへのラベル付け (タスク)」を参照してください。

ナビゲーションリンクをスキップ
印刷ビューの終了
	Trusted Extensions 構成と管理 Oracle Solaris 11.1 Information Library (日本語)