Trusted Extensions 시스템에서 Oracle Directory Server Enterprise Edition 구성

LDAP 이름 지정 서비스는 Trusted Extensions에서 지원되는 이름 지정 서비스입니다. 사이트에서 아직 LDAP 이름 지정 서비스가 실행되고 있지 않은 경우 Trusted Extensions로 구성된 시스템에서 Oracle Directory Server Enterprise Edition(디렉토리 서버)을 구성합니다.

사이트에서 이미 Directory Server가 실행되고 있는 경우 서버에 Trusted Extensions 데이터베이스를 추가해야 합니다. Directory Server에 액세스하려면 시스템에 LDAP 프록시를 설정합니다.

주 - 이 LDAP 서버를 NFS 서버나 Sun Ray 클라이언트의 서버로 사용하지 않는 경우 이 서버에 레이블이 있는 영역을 설치할 필요가 없습니다.

LDAP용 Directory Server에 대한 정보 수집

다음 항목의 값을 결정합니다.

항목은 System Install Wizard(시스템 설치 마법사)에 표시되는 순서대로 나열됩니다.

설치 마법사 프롬프트	작업 또는 정보
Oracle Directory Server Enterprise Edition `version`
Administrator User ID(관리자 아이디)	기본값은 `admin`입니다.
Administrator Password(관리자 암호)	`admin123`과 같은 암호를 만듭니다.
Directory Manager DN(디렉토리 관리자 DN)	기본값은 `cn=Directory Manager`입니다.
Directory Manager Password(디렉토리 관리자 암호)	`dirmgr89`와 같은 암호를 만듭니다.
Directory Server Root(디렉토리 서버 루트)	기본값은 `/var/Sun/mps`입니다. 프록시 소프트웨어가 설치된 경우 이 경로는 나중에도 사용됩니다.
Server Identifier(서버 식별자)	기본값은 로컬 시스템입니다.
Server Port(서버 포트)	Directory Server를 사용하여 클라이언트 시스템에 대한 표준 LDAP 이름 지정 서비스를 제공하려면 기본값 `389`를 사용합니다. Directory Server를 사용하여 이후의 프록시 서버 설치를 지원하려면 `10389`와 같은 비표준 포트를 입력합니다.
Suffix(접미어)	`dc=example-domain,dc=com`에서와 같이 도메인 구성 요소를 포함합니다.
Administration Domain(관리 도메인)	`example-domain.com`에서와 같이 Suffix(접미어)에 일치하도록 구성합니다.
System User(시스템 사용자)	기본값은 `root`입니다.
System Group(시스템 그룹)	기본값은 `root`입니다.
Data Storage Location(데이터 저장소 위치)	기본값은 `Store configuration data on this server(구성 데이터를 이 서버에 저장합니다)`입니다.
Data Storage Location(데이터 저장소 위치)	기본값은 `Store user data and group data on this server(사용자 데이터와 그룹 데이터를 이 서버에 저장합니다)`입니다.
Administration Port(관리 포트)	기본값은 Server Port(서버 포트)입니다. 기본값 변경을 위해 제안되는 규칙은 `software-version` x `1000`입니다. 소프트웨어 버전 `5.2`의 경우 이 규칙의 결과는 포트 `5200`이 됩니다.

Oracle Directory Server Enterprise Edition 설치

디렉토리 서버 패키지는 Oracle web site for Sun Software Products에서 구할 수 있습니다.

시작하기 전에

Trusted Extensions 시스템에 전역 영역이 있으며, 레이블이 있는 영역이 없습니다. 전역 영역에서 root 역할을 가진 사용자여야 합니다.

Trusted Extensions LDAP 서버는 LDAP 저장소에 인증하는 데 pam_unix를 사용하는 클라이언트에 적합하게 구성되어 있습니다. 따라서 클라이언트에서 pam_unix를 사용하여 암호 작업 및 암호 정책을 결정합니다. 특히, LDAP 서버에서 설정된 정책은 사용되지 않습니다. 클라이언트에 설정할 수 있는 암호 매개변수는 Oracle Solaris 11.1 관리: 보안 서비스의 암호 정보 관리를 참조하십시오. pam_unix에 대한 자세한 내용은 pam.conf(4) 매뉴얼 페이지를 참조하십시오.

주 - LDAP 클라이언트에서 Trusted Extensions에 대해 pam_ldap를 사용하는 것은 평가된 구성이 아닙니다.

Directory Server 패키지를 설치하기 전에 먼저 시스템의 호스트 이름 항목에 FQDN을 추가합니다.
FQDN은 Fully Qualified Domain Name(정규화된 도메인 이름)의 약어로 다음과 같이 호스트 이름과 관리 도메인의 조합입니다.
```
## /etc/hosts
...
192.168.5.5 myhost myhost.example-domain.com
```
Oracle web site for Sun Software Products에서 Oracle Directory Server Enterprise Edition 패키지를 다운로드합니다.
해당 플랫폼에 적합한 최신 소프트웨어를 선택합니다.
Directory Server 패키지를 설치합니다.
LDAP용 Directory Server에 대한 정보 수집의 정보를 사용하여 질문에 답합니다. 질문, 기본값 및 권장 응답 사항의 전체 목록은 Oracle Solaris Administration: Naming and Directory Services의 11 장, Setting Up Oracle Directory Server Enterprise Edition With LDAP Clients (Tasks) 및 Oracle Solaris Administration: Naming and Directory Services의 12 장, Setting Up LDAP Clients (Tasks)을 참조하십시오.

(옵션) Directory Server에 대한 환경 변수를 사용자 경로에 추가합니다.

# $PATH
/usr/sbin:.../opt/SUNWdsee/dsee6/bin:/opt/SUNWdsee/dscc6/bin:/opt/SUNWdsee/ds6/bin:
/opt/SUNWdsee/dps6/bin

(옵션) Directory Server 매뉴얼 페이지를 MANPATH에 추가합니다.
```
/opt/SUNWdsee/dsee6/man
```
cacaoadm 프로그램을 사용으로 설정하고 해당 프로그램이 사용으로 설정되었는지 확인합니다.
```
# /usr/sbin/cacaoadm enable
# /usr/sbin/cacaoadm start
start: server (pid n) already running
```
부트할 때마다 Directory Server가 시작되는지 확인합니다.
디렉토리 서버용 SMF 서비스 템플리트는 Oracle Directory Server Enterprise Edition 패키지에 있습니다.
- Trusted Extensions 디렉토리 서버에 대해 서비스를 사용으로 설정합니다.
```
# dsadm stop /export/home/ds/instances/your-instance
# dsadm enable-service -T SMF /export/home/ds/instances/your-instance
# dsadm start /export/home/ds/instances/your-instance
```
  dsadm 명령에 대한 자세한 내용은 dsadm(1M) 매뉴얼 페이지를 참조하십시오.
- 프록시 디렉토리 서버에 대해 서비스를 사용으로 설정합니다.
```
# dpadm stop /export/home/ds/instances/your-instance
# dpadm enable-service -T SMF /export/home/ds/instances/your-instance
# dpadm start /export/home/ds/instances/your-instance
```
  dpadm 명령에 대한 자세한 내용은 dpadm(1M) 매뉴얼 페이지를 참조하십시오.

설치를 확인합니다.

# dsadm info /export/home/ds/instances/your-instance
Instance Path:         /export/home/ds/instances/your-instance
Owner:                 root(root)
Non-secure port:       389
Secure port:           636
Bit format:            32-bit
State:                 Running
Server PID:            298
DSCC url:              -
SMF application name:  ds--export-home-ds-instances-your-instance
Instance version:      D-A00

일반 오류

LDAP 구성 문제를 해결하기 위한 전략은 Oracle Solaris 11.1에서 이름 지정 및 디렉토리 서비스 작업의 13 장, LDAP 문제 해결(참조)을 참조하십시오.

Directory Server용 LDAP 클라이언트 만들기

이 클라이언트를 사용하여 LDAP용 Directory Server를 채울 수 있습니다. Directory Server를 채우기 전에 먼저 이 작업을 수행해야 합니다.

Trusted Extensions Directory Server에 클라이언트를 임시로 만든 다음 해당 서버에서 클라이언트를 제거하거나 독립 클라이언트를 만들 수 있습니다.

시작하기 전에

전역 영역에서 root 역할을 가진 사용자입니다.

Trusted Extensions 소프트웨어를 시스템에 추가합니다.
Trusted Extensions 디렉토리 서버를 사용하거나 Trusted Extensions를 별도의 시스템에 추가할 수 있습니다.

클라이언트의 name-service/switch 서비스에서 LDAP를 구성합니다.

현재 구성을 표시합니다.

# svccfg -s name-service/switch listprop config
config                       application
config/value_authorization   astring       solaris.smf.value.name-service.switch
config/default               astring       "files ldap"
config/host                  astring       "files dns"
config/netgroup              astring       ldap
config/printer               astring       "user files ldap"

다음 등록 정보를 기본값에서 변경합니다.

# svccfg -s name-service/switch setprop config/host = astring: "files ldap dns"

전역 영역에서 ldapclient init 명령을 실행합니다.

이 예에서 LDAP 클라이언트는 example-domain.com 도메인에 있습니다. 서버의 IP 주소는 192.168.5.5입니다.

# ldapclient init -a domainName=example-domain.com -a profileName=default \
> -a proxyDN=cn=proxyagent,ou=profile,dc=example-domain,dc=com \
> -a proxyDN=cn=proxyPassword={NS1}ecc423aad0 192.168.5.5
System successfully configured

서버의 enableShadowUpdate 매개변수를 TRUE로 설정합니다.
```
# ldapclient -v mod -a enableShadowUpdate=TRUE \
> -a adminDN=cn=admin,ou=profile,dc=example-domain,dc=com
System successfully configured
```
enableShadowUpdate 매개변수에 대한 자세한 내용은 Oracle Solaris Administration: Naming and Directory Services의 enableShadowUpdate Switch 및 ldapclient(1M) 매뉴얼 페이지를 참조하십시오.

Oracle Directory Server Enterprise Edition용 로그 구성

이 절차에서는 3가지 로그 유형인 액세스 로그, 감사 로그 및 오류 로그를 구성합니다. 다음 기본 설정은 변경되지 않습니다.

모든 로그는 사용으로 설정되고 버퍼됩니다.
로그는 해당 /export/home/ds/instances/ your-instance/logs/LOG_TYPE 디렉토리에 배치됩니다.
이벤트는 로그 레벨 256에서 기록됩니다.
로그는 600개의 파일 사용 권한으로 보호됩니다.
액세스 로그는 일별로 회전됩니다.
오류 로그는 주별로 회전됩니다.

이 절차에 있는 설정은 다음 요구 사항을 충족합니다.

감사 로그는 일별로 회전됩니다.
3개월이 지난 오래된 로그 파일은 만료됩니다.
모든 로그 파일은 최대 20,000MB의 디스크 공간을 사용합니다.
로그 파일 수는 최대 100개로 유지되며, 각 파일의 크기는 최대 500MB를 넘지 않도록 합니다.
빈 디스크 공간이 500MB 미만이 되면 가장 오래된 로그가 삭제됩니다.
추가 정보는 오류 로그에서 수집됩니다.

시작하기 전에

전역 영역에서 root 역할을 가진 사용자여야 합니다.

액세스 로그를 구성합니다.

액세스용 LOG_TYPE은 ACCESS입니다. 로그 구성 구문은 다음과 같습니다.

dsconf set-log-prop LOG_TYPE property:value

# dsconf set-log-prop ACCESS max-age:3M
# dsconf set-log-prop ACCESS max-disk-space-size:20000M
# dsconf set-log-prop ACCESS max-file-count:100
# dsconf set-log-prop ACCESS max-size:500M
# dsconf set-log-prop ACCESS min-free-disk-space:500M

감사 로그를 구성합니다.

# dsconf set-log-prop AUDIT max-age:3M
# dsconf set-log-prop AUDIT max-disk-space-size:20000M
# dsconf set-log-prop AUDIT max-file-count:100
# dsconf set-log-prop AUDIT max-size:500M
# dsconf set-log-prop AUDIT min-free-disk-space:500M
# dsconf set-log-prop AUDIT rotation-interval:1d

기본적으로 감사 로그의 회전 간격은 1주입니다.

오류 로그를 구성합니다.

이 구성에서 오류 로그에서 수집할 추가 데이터를 지정할 수 있습니다.

# dsconf set-log-prop ERROR max-age:3M
# dsconf set-log-prop ERROR max-disk-space-size:20000M
# dsconf set-log-prop ERROR max-file-count:30
# dsconf set-log-prop ERROR max-size:500M
# dsconf set-log-prop ERROR min-free-disk-space:500M
# dsconf set-log-prop ERROR verbose-enabled:on

(옵션) 로그를 좀 더 자세히 구성합니다.
각 로그에 대해 다음 설정을 구성할 수도 있습니다.
```
# dsconf set-log-prop LOG_TYPE rotation-min-file-size:undefined
# dsconf set-log-prop LOG_TYPE rotation-time:undefined
```
dsconf 명령에 대한 자세한 내용은 dsconf(1M) 매뉴얼 페이지를 참조하십시오.

Oracle Directory Server Enterprise Edition용 다중 레벨 포트 구성

Trusted Extensions에서 작업하려면 Directory Server의 서버 포트가 전역 영역에서 다중 레벨 포트(MLP)로 구성되어야 합니다.

시작하기 전에

전역 영역에서 root 역할을 가진 사용자여야 합니다.

txzonemgr을 시작합니다.
```
# /usr/sbin/txzonemgr &
```
TCP 프로토콜에 대한 다중 레벨 포트를 전역 영역에 추가합니다.
포트 번호는 389입니다.
UDP 프로토콜에 대한 다중 레벨 포트를 전역 영역에 추가합니다.
포트 번호는 389입니다.

Oracle Directory Server Enterprise Edition 채우기

몇 개의 LDAP 데이터베이스가 레이블 구성, 사용자 및 원격 시스템에 대한 Trusted Extensions 데이터를 보관할 수 있도록 작성되거나 수정되었습니다. 이 절차에서는 Directory Server 데이터베이스에 Trusted Extensions 정보를 채웁니다.

시작하기 전에

전역 영역에서 root 역할을 가진 사용자여야 합니다. 섀도우 업데이트가 사용으로 설정된 LDAP 클라이언트에 있습니다. 필수 조건에 대해서는 Directory Server용 LDAP 클라이언트 만들기를 참조하십시오.

이름 지정 서비스 데이터베이스를 채우는 데 사용할 파일의 스테이징 영역을 만듭니다.
```
# mkdir -p /setup/files
```

샘플 /etc 파일을 스테이징 영역에 복사합니다.

# cd /etc
# cp aliases group networks netmasks protocols /setup/files
# cp rpc services auto_master /setup/files

# cd /etc/security/tsol
# cp tnrhdb tnrhtp /setup/files

주의 - *attr 파일은 복사하지 않습니다. 대신 사용자, 역할 및 권한 프로파일을 LDAP 저장소에 추가하는 명령에 -S ldap 옵션을 사용합니다. 이러한 명령은 user_attr, auth_attr, exec_attr 및 prof_attr 데이터베이스에 대한 항목을 추가합니다. 자세한 내용은 user_attr(4) 및 useradd(1M) 매뉴얼 페이지를 참조하십시오.

/setup/files/auto_master 파일에서 +auto_master 항목을 제거합니다.

단계화 영역에서 영역 자동맵을 만듭니다.

# cp /zone/public/root/etc/auto_home_public /setup/files
# cp /zone/internal/root/etc/auto_home_internal /setup/files
# cp /zone/needtoknow/root/etc/auto_home_needtoknow /setup/files
# cp /zone/restricted/root/etc/auto_home_restricted /setup/files

다음 자동맵 목록에서 각 쌍의 첫번째 행에는 파일 이름이 표시됩니다. 각 쌍의 두번째 행에는 파일 내용이 표시됩니다. 영역 이름은 Trusted Extensions 소프트웨어와 함께 제공된 기본 label_encodings 파일에서 레이블을 식별합니다.

사용자의 영역 이름이 이 행의 영역 이름을 대체합니다.
myNFSserver는 홈 디렉토리에 대한 NFS 서버를 식별합니다.

/setup/files/auto_home_public
 * myNFSserver_FQDN:/zone/public/root/export/home/&

/setup/files/auto_home_internal
 * myNFSserver_FQDN:/zone/internal/root/export/home/&

/setup/files/auto_home_needtoknow
 * myNFSserver_FQDN:/zone/needtoknow/root/export/home/&

/setup/files/auto_home_restricted
 * myNFSserver_FQDN:/zone/restricted/root/export/home/&

ldapaddent 명령을 사용하여 Directory Server를 스테이징 영역의 모든 파일로 채웁니다.
예를 들어, 다음 명령은 스테이징 영역의 hosts 파일로 서버를 채웁니다.
```
# /usr/sbin/ldapaddent -D "cn=directory manager" \
-w dirmgr123 -a simple -f /setup/files/hosts hosts
```
Trusted Extensions Directory Server에 대해 ldapclient 명령을 실행한 경우 해당 시스템에서 클라이언트를 사용 안함으로 설정합니다.
전역 영역에서 ldapclient uninit 명령을 실행합니다. 상세 정보 출력을 사용하여 시스템이 더 이상 LDAP 클라이언트가 아닌지 확인합니다.
```
# ldapclient -v uninit
```
자세한 내용은 ldapclient(1M) 매뉴얼 페이지를 참조하십시오.
Trusted Extensions 네트워크 데이터베이스를 LDAP에 채우려면 tncfg 명령을 -S ldap 옵션과 함께 사용합니다.
자세한 내용은 호스트 및 네트워크 레이블 지정(작업)을 참조하십시오.

탐색 링크 건너뛰기
인쇄 보기 종료
	Trusted Extensions 구성 및 관리 Oracle Solaris 11.1 Information Library (한국어)