|
| Sun ONE Directory Proxy Server 관리자 설명서 |
LDAP 클라이언트가 LDAP 디렉토리에서 서비스를 요청할 때는 Sun ONE Directory Proxy Server에 연결한 다음 클라이언트 프로필에서 클라이언트의 액세스 권한을 식별하여 해당 클라이언트가 디렉토리로부터 서비스를 요청할 권한이 있는지 확인한 다음 구성된 제한을 적용한 다음 요청을 해당 디렉토리에 전달합니다. 이 장에서는 Directory Proxy Server 구성 편집기 콘솔을 사용하여 클라이언트를 식별하고 제한을 적용하도록 Directory Proxy Server를 구성하는 방법을 설명합니다.
이 장은 다음 내용으로 구성되어 있습니다.
그룹 개요
Directory Proxy Server 네트워크 그룹은 Directory Proxy Server의 작업 방법을 이해하는 핵심으로 Directory Proxy Server가 LDAP 클라이언트를 식별하는 방법과 Directory Proxy Server가 해당 그룹과 일치하는 클라이언트에 적용해야 하는 제한 사항을 정의합니다. 따라서, LDAP 클라이언트의 디렉토리 액세스를 효과적으로 제어하려면 Directory Proxy Server 그룹에 대해 잘 알고 있어야 합니다.
네트워크 그룹을 사용하여 다음을 식별합니다.
- 클라이언트
- Directory Proxy Server가 클라이언트의 요청을 전달할 수 있는 LDAP 디렉토리 집합입니다.
- 클라이언트가 디렉토리 집합과 상호 작용하면서 수행할 수 있는 일련의 작업입니다.
- 클라이언트가 디렉토리 집합과 상호 작용하면서 액세스할 수 있는 데이터입니다. Directory Proxy Server를 사용하면 디렉토리에서 특정 항목을 숨기고 속성 이름을 바꿀 수 있기 때문에 디렉토리 내부에서 클라이언트가 볼 수 있는 데이터를 효과적으로 제어할 수 있습니다.
Directory Proxy Server는 연결 시작 속성을 그룹 조건과 일치시켜 클라이언트에 대한 그룹 구성원을 결정합니다. 서버는 현재 구성된 그룹을 우선 순위가 가장 높은 그룹에서 가장 낮은 그룹으로 내림차순으로 검사합니다. 연결 시작 속성과 일치하는 첫 번째 네트워크 그룹 조건이 연결을 받습니다. 따라서, 일반 조건과 특정 조건별로 별도의 그룹을 만들어 가장 특정한 그룹에서 가장 일반적인 그룹까지 그룹의 우순 순위를 지정해야 합니다.
클라이언트와 일치하는 그룹이 없으면 클라이언트의 요청이 거부되고 연결이 끊깁니다. 따라서, Directory Proxy Server 구성에 하나 이상의 그룹 항목이 있어야 합니다.
그룹의 우선 순위는 Directory Proxy Server 구성 편집기 콘솔의 네트워크 그룹 창에서 배치된 순서에 의해 지정됩니다(그림 6-1 참조). 이 창에서 목록 아래쪽에 있는 그룹은 위쪽에 있는 그룹보다 우선 순위가 낮습니다. 우선 순위가 같은 그룹의 평가 순서는 정의되어 있지 않습니다.
그림 6-1 Directory Proxy Server 구성 편집기 콘솔: 네트워크 그룹 창
클라이언트는 연결되는 네트워크 주소(예: IP 주소 및/또는 도메인 이름)를 기준으로 처음에는 하나의 그룹으로 식별됩니다. 성공적으로 바인드된 후에는 클라이언트가 자신의 그룹을 변경할 수 있습니다. 자세한 내용은 8장 "이벤트 객체 만들기 및 관리"를 참조하십시오. 클라이언트가 그룹의 구성원이 되면 그룹의 모든 등록 정보가 해당 클라이언트에게 적용됩니다.
그림 6-2에서는 Directory Proxy Server에서 클라이언트 쿼리에 응답하여 그룹을 평가하는 방법을 설명합니다.
그림 6-2 그룹 구성원 결정을 위한 Directory Proxy Server 결정 트리
그룹의 네트워크 조건은 다음을 기준으로 할 수 있습니다.
- 호스트의 IP 주소 또는 네트워크 마스크
- 단일 IP 주소(예: 129.153.129.14)
- IP 쿼드/일치 비트(예: 129.153.129.0/24)
- IP 쿼드/일치 쿼드(예: 129.153.129.0/255.255.255.128)
- 호스트의 도메인 이름
- 전체 이름(예: box.eng.sun.com)
- 접미사 이름(예: .eng.sun.com)
클라이언트를 식별하는 데 도메인 이름 접미사 규칙을 사용하는 경우에는 DNS 쿼리에 대해 정규화된 이름을 반환하도록 DNS를 설정해야 합니다. 단축 이름이 반환되는 경우에는 이 기능을 사용할 수 없습니다.
- 특수
- 모두("catch-all" 그룹에 사용)
- 0.0.0.0(클라이언트가 바인드될 때 클라이언트를 전환하는 데만 그룹을 사용하는 경우처럼 초기 구성원이 고려되지 않는 그룹에 사용)
Directory Proxy Server가 그룹을 평가하는 방법과 관련된 자세한 내용은 표 6-1에 나열된 샘플 그룹을 참조하십시오. 이 표에는 일반 네트워크 조건에 따라 만들어지고 우선 순위 내림차순으로 나열된 5개의 그룹이 있습니다.
표 6-1 샘플 그룹
우선 순위
그룹 이름
네트워크 조건
5
Admin-machine
129.153.129.72
4
IT-management-subnet
129.153.120.0/24
3
Operations
.ops.sun.com
2
Catch-all
ALL
1
Trusted
0.0.0.0
LDAP 클라이언트가 LDAP 디렉토리로부터 서비스를 요청하면 Directory Proxy Server는 IP 주소 129.153.129.72에서 요청되었는지를 확인합니다. 이 IP 주소에서 요청된 것이 아니면 Directory Proxy Server는 요청이 129.153.129.0/24와 일치하는지 확인합니다. 역시 일치하지 않으면 Directory Proxy Server는 요청이 .ops.sun.com에서 시작되었는지 확인합니다. 이 경우도 아니면 Directory Proxy Server는 catch-all 그룹에 연결을 배치한 다음 결정 트리의 다음 단계로 이동합니다(그림 6-2 참조).
그림 6-3에서는 그룹을 만들 수 있는 Directory Proxy Server 구성 편집기 콘솔 부분을 보여 줍니다.
그림 6-3 Directory Proxy Server 네트워크 그룹 정의
네트워크 그룹을 만들 때 조건의 조합을 지정할 수 있습니다. 조건의 조합은 표 6-2에 요약되어 있습니다.
그룹 만들기
이 절에서는 Directory Proxy Server 구성 편집기 콘솔을 사용하여 그룹을 만드는 방법을 설명합니다. 그룹 만들기를 시작하기 전에 절을 읽어보고 Directory Proxy Server 그룹의 중요성을 이해해야 합니다. 필요한 그룹을 만들고 우선 순위를 지정한 후 구성을 테스트하여 해당 그룹이 클라이언트 요청을 올바르게 필터링하는지 확인해야 합니다.
네트워크 그룹을 만들 때 다양한 조건을 지정할 수 있습니다. 이 절에 제공된 지침에서는 이러한 모든 조건을 UI에 나타나는 순서대로 표시하고, 사용자의 판단에 따라 그룹에 적절한 조건을 설정하도록 합니다.
Directory Proxy Server에서 네트워크 그룹을 만들려면 다음 단계를 따르십시오.
- Directory Proxy Server 구성 편집기 콘솔에 액세스합니다. 다음을 참조하십시오.
- 탐색 트리에서 네트워크 그룹을 선택합니다.
오른쪽 창에 기존 그룹의 목록이 표시됩니다.
- 새로 만들기를 누릅니다.
네트워크 그룹 창이 나타납니다.
- 이름 필드에 그룹 이름을 입력합니다. 이 이름은 고유한 영숫자 문자열이어야 합니다.
- 사용 가능 옵션이 선택되었는지 확인합니다. 기본적으로 이 옵션은 선택되어 있습니다. 그룹이 Directory Proxy Server 구성의 일부가 되게 하려면 이 옵션을 선택해야 합니다. 구성에서 그룹을 비활성화려면 이 옵션을 선택 취소합니다.
- 원한다면 드롭다운 메뉴에서 로드 균형 등록 정보를 지정합니다. 이 등록 정보는 이 그룹에서 로드 균형 등록 정보를 사용하여 클라이언트의 요청을 처리하기 위해 LDAP 요청을 전달할 LDAP 서버의 그룹을 식별합니다. 관련된 드롭다운 목록에 로드 균형 등록 정보에 대한 기존 객체가 표시됩니다. 다음을 참조하십시오. 적절한 객체를 선택합니다. 기본적으로 객체가 선택되지 않습니다(<없음>). 객체가 없으면 새로 만들기 버튼을 눌러 신속하게 객체를 만들 수 있습니다.
새로 만들기. 새 로드 균형 등록 정보를 만들 대화 상자를 표시합니다.
편집. 기존 로드 균형 등록 정보를 편집할 대화 상자를 표시합니다.
- 요청을 정렬 또는 필터링할 그룹에 대한 네트워크 조건을 지정하려면 왼쪽 프레임에서 네트워크를 선택합니다. 그런 다음 화면의 요소 설명을 참조하여 적절한 네트워크 값을 지정합니다.
- 커넥터 시간 초과를 지정합니다. 기본적으로 값이 표시되지 않습니다. 즉, 연결 시간 초과가 적용되지 않습니다.
- 클라이언트 연결에 대해 역방향 DNS 조회를 사용합니다.
- TCP 지연 없음 사용을 선택합니다.
- 클라이언트 네트워크 바인드 조건을 정의합니다.
다음은 화면에 표시되는 요소에 대한 설명입니다.
연결 시간 초과 지정. Directory Proxy Server에서 클라이언트에 대한 연결을 끊은 후의 클라이언트 비활성 기간을 입력하려면 이 상자를 선택합니다. 이 값은 초 단위의 숫자이며 일반적으로 120 이상입니다. 기본적으로 값이 표시되지 않습니다. 즉, 연결 시간 초과가 적용되지 않습니다. TCP 연결 유지가 활성화되지 않은 경우 이 속성이 있어야 Directory Proxy Server가 끊긴 클라이언트 연결로 인해 방해를 받지 않습니다.
클라이언트 연결에 대해 역방향 DNS 조회 수행. 기본적으로 이 옵션은 활성화되어 있습니다. 역방향 DNS 조회가 비활성화되어 있으면 Directory Proxy Server는 연결하는 클라이언트의 도메인 이름을 찾을 때 역방향 DNS 조회를 수행하지 않습니다. 역방향 DNS 조회를 비활성화하면 Directory Proxy Server 성능이 크게 향상되는 경우가 있습니다. 도메인 이름이나 도메인 이름 접미사를 "클라이언트 네트워크 바인드 조건"의 값으로 사용한 경우 역방향 DNS 조회를 활성화해야 합니다. 그렇지 않으면 Directory Proxy Server가 제대로 작동하지 않습니다. 조회 쿼리에 전체 호스트 이름을 반환하도록 DNS를 구성해야 합니다.
TCP 지연 없음 사용. 기본적으로 이 옵션은 활성화되어 있습니다. 이 옵션이 비활성화되어 있으면 Directory Proxy Server는 자신과 이 그룹에 속한 클라이언트 간의 연결에 Nagle 알고리즘을 사용하지 않습니다. Directory Proxy Server와 클라이언트 간의 네트워크 대역폭이 작은 경우에만 "TCP 지연 없음"을 비활성화해야 합니다. 하지만 이때 성능이 크게 저하될 수 있습니다.
클라이언트 네트워크 바인드 조건. 이 절에서는 이 네트워크 그룹에서 바인드할 수 있는 클라이언트를 지정합니다.
IP 바인드 없음. 클라이언트가 그룹에 바인드할 때만 전환될 경우 이 옵션을 선택합니다. 기본적으로 이 옵션은 선택되어 있습니다. 클라이언트가 바인드될 때 클라이언트를 전환하는 데만 그룹을 사용하는 경우 이 옵션을 선택 취소합니다.
모든 네트워크 호스트에서 바인드. 이 네트워크 그룹에서 모든 호스트가 바인드할 수 있는 경우 이 옵션을 선택합니다.
다음 조건으로 바인드. 네트워크 그룹과 일치하는 호스트의 도메인 이름 또는 IP 주소를 지정하려면 이 옵션을 선택합니다. 이 경우 그룹은 바인드되는 호스트의 도메인 이름 또는 IP 주소를 지정해야 합니다.
추가. 네트워크 조건을 추가할 대화 상자를 표시합니다. "도메인 이름", "IP 주소", "IP 주소 및 비트", "IP 및 쿼드"의 네 가지 옵션이 있습니다.
편집. 네트워크 조건을 편집할 대화 상자를 표시합니다.
제거. 네트워크 조건을 제거할 대화 상자를 표시합니다.
도메인 이름 대화 상자.네트워크 그룹에 바인드할 수 있는 클라이언트의 도메인 이름 접미사 또는 클라이언트의 전체 이름(예: foo.sun.com)을 지정합니다. Directory Proxy Server는 기본적으로 도메인 접미사를 가정하지 않습니다. 따라서 전체 도메인 이름을 제공해야 합니다. 앞에 마침표가 있는 도메인 이름 접미사(예: .sun.com)는 해당 접미사로 끝나는 도메인 이름을 가진 모든 호스트를 일치시킵니다.
또한, 도메인 이름 접미사 규칙을 사용하여 클라이언트를 식별하는 경우 DNS 쿼리에 정규화된 이름을 반환하도록 DNS를 설정해야 합니다. 단축 이름이 반환되는 경우에는 이 기능을 사용할 수 없습니다.
IP 주소. 점으로 구분된 십진수 형식(예: 198.214.11.1)으로 단일 IP 주소를 지정합니다.
IP 주소 및 비트. <네트워크 번호>/<마스크 비트> 형식(예: 198.241.11.0/24)으로 IP 네트워크 마스크를 지정합니다. 처음 반은 네트워크 번호이고 나머지 반은 일치시키는 데 필요한 네트워크 번호의 비트 수를 나타냅니다.
IP 주소 및 쿼드. 점으로 구분된 4개의 십진수 한 쌍(예: 198.241.11.0/255.255.255.128)으로 IP 네트워크 마스크를 지정합니다. 처음 반은 네트워크 번호이고 나머지 반은 일치시키는 데 필요한 네트워크 번호의 비트를 나타냅니다. 예를 들어, 198.214.11.0/255.255.255.128은 IP 주소가 198.214.11.63인 호스트와 일치하지만 IP 주소가 198.214.11.191인 호스트와는 일치하지 않습니다.
도메인 이름이나 도메인 이름 접미사를 사용하려면 "클라이언트 연결에 대해 역방향 DNS 조회 수행"이 활성화되어 있어야 합니다.
- 이벤트 구동 작업을 그룹에 연결하려면(예: 다른 그룹으로 클라이언트 변경) 왼쪽 프레임에서 이벤트를 선택하고 오른쪽 프레임에서 해당 값을 지정합니다.
다음은 화면에 표시되는 요소에 대한 설명입니다.
바인드. 드롭다운 목록에 OnBindSuccess 이벤트에 대한 기존 객체가 표시됩니다. 다음을 참조하십시오. 클라이언트가 바인드 작업을 성공적으로 완료하면 수행될 객체의 이름을 선택합니다. 기본적으로 객체가 선택되지 않습니다(<없음>). 객체가 없으면 새로 만들기 버튼을 눌러 신속하게 객체를 만들 수 있습니다.
SSL. 드롭다운 목록에 OnSSLEstablished 이벤트에 대한 기존 객체가 표시됩니다. 다음을 참조하십시오. 클라이언트가 SSL 세션을 성공적으로 설정하면 수행될 객체의 이름을 선택합니다. 객체가 없으면 새로 만들기 버튼을 눌러 신속하게 객체를 만들 수 있습니다.
편집. 이벤트 동작을 편집할 대화 상자를 표시합니다.
새로 만들기. 새 이벤트를 만들 대화 상자를 표시합니다.
- 그룹에 대한 암호화 조건을 지정하려면(예: 클라이언트가 SSL 세션을 요청할 수 있는지 여부 지정) 왼쪽 프레임에서 암호화를 선택하고 오른쪽 프레임에서 해당 값을 지정합니다.
다음은 화면에 표시되는 요소에 대한 설명입니다.
클라이언트 SSL 정책. 클라이언트 SSL 정책을 구성합니다.
- SSL 사용 안 함. SSL 암호화를 사용하지 않으려면 이 옵션을 선택합니다.
- 클라이언트가 SSL 세션을 요청할 수 있음. 그룹의 클라이언트가 SSL을 요청하는 SSL 세션을 설정하는 경우 이 옵션을 선택합니다.
- 클라이언트가 SSL 세션을 설정해야 함. 그룹의 클라이언트가 작업을 수행하기 전에 SSL 세션을 설정해야 할 경우 이 옵션을 선택합니다.
참조 SSL 정책. SSL 정책을 구성하면서 참조를 따릅니다.
- SSL 사용 안 함. SSL 암호화를 사용하지 않으려면 이 옵션을 선택합니다.
- 클라이언트가 SSL 세션을 설정한 경우 SSL 세션 설정. 이 옵션을 사용하면 Directory Proxy Server는 클라이언트가 이미 Directory Proxy Server와 SSL 세션을 이미 설정한 경우 해당 그룹의 클라이언트에 대해서만 SSL을 시작합니다.
- 모든 참조에 대해 SSL 세션 설정. 참조 시 작업이 전달되기 전에 Directory Proxy Server가 SSL 세션을 시작할 경우 이 옵션을 활성화합니다.
- 그룹에 대한 호환성 조건을 지정하려면(예: 클라이언트가 한 세션에서 여러 번 바인드할 수 있도록 허용) 왼쪽 프레임에서 호환성을 선택하고 오른쪽 프레임에서 해당 값을 지정합니다.
다음은 화면에 표시되는 요소에 대한 설명입니다.
LDAP v2 클라이언트가 한 세션에서 여러 번 바인드할 수 있게 함. LDAP v2 사양(RFC 1777)에서는 클라이언트가 한 세션에서 여러 번 바인드할 수 없도록 합니다. 하지만 일부 클라이언트에서는 이 기능이 필요합니다. 이 그룹에서 클라이언트가 속성 요청 목록에 하나 이상의 속성이 NULL인 검색 요청을 제출할 수 있게 하려면 이 옵션을 선택합니다. 이 호환성 기능을 사용하면 Directory Proxy Server에서 일부 차단된 JAVA 기반 클라이언트와 상호 작용할 수 있습니다. 속성 요청 목록의 NULL 속성 이름을 사용하면 LDAP 프로토콜을 위반하는 것입니다. 기본적으로 이 옵션은 TRUE로 설정되어 있습니다.
클라이언트가 빈 속성 유형 이름을 사용하여 요청을 제출할 수 있게 함. 그룹에서 요청이 속성 유형 이름을 식별하지 않더라도 클라이언트가 요청을 제출할 수 있게 하려면 이 옵션을 선택합니다.
- 그룹에 대한 요청 전달 조건을 지정하려면 왼쪽 프레임에서 전달을 선택하고 오른쪽 프레임에서 해당 값을 지정합니다.
Directory Proxy Server가 클라이언트의 연결을 받아들이고 일치하는 그룹을 찾으면 클라이언트가 LDAP 작업을 보낼 때까지 기다립니다. Directory Proxy Server는 "클라이언트 DN", "익명 바인드 허용", "SASL 바인드 허용" 등을 사용하여 바인드 요청을 서버에 전달하는지 바인드 요청을 거부하고 클라이언트 연결을 닫을지 여부를 결정합니다.
클라이언트의 바인드에서 활성화된 테스트를 전달하면 Directory Proxy Server는 해당 테스트를 서버로 전달합니다. 서버가 바인드를 허용하면 연결이 설정됩니다. 그러나 서버가 바인드 요청에 대해 오류 표시를 반환하면 Directory Proxy Server는 오류 표시를 클라이언트에 전달한 다음 클라이언트가 LDAPv2를 사용하는 경우 클라이언트에 대한 연결을 끊습니다.
다음은 바인드 탭의 요소에 대한 설명입니다.
모든 클라이언트 허용. 기본적으로 이 옵션은 활성화되어 있으므로 모든 클라이언트의 액세스가 허용됩니다.
DN이 종속되지 않은 클라이언트 거부. 그룹이 고유 이름(DN)을 확인하게 하려면 이 옵션을 선택합니다. 지정된 DN에 종속되지 않은 고유 이름을 바인드에 제공하는 클라이언트는 모두 거부됩니다. 찾아보기 버튼을 사용하여 DN을 구성할 LDAP 디렉토리를 찾습니다.
익명 바인드 허용. 기본적으로 이 옵션은 활성화되어 있으며 클라이언트가 비밀번호를 제공하지 않아도 바인드를 허용합니다. 익명 바인드를 금지하려면 이 옵션을 비활성화합니다.
단순 바인드 허용. 기본적으로 이 옵션은 활성화되어 있으며 클라이언트가 일반 텍스트로 비밀번호를 제공할 수 있습니다. 일반 텍스트 비밀번호로 인증된 바인드 요청을 금지하려면 이 옵션을 비활성화합니다.
SASL 바인드 허용. 기본적으로 이 옵션은 활성화되어 있으며 SASL 바인드를 허용할 것인지 여부를 지정합니다. SASL 인증을 금지하려면 이 옵션을 비활성화합니다.
- 작업 탭을 선택하고 전달할 작업을 지정합니다.
Directory Proxy Server는 기본적으로 검색 및 비교 요청을 전달합니다. 또한, Directory Proxy Server는 언바인드 요청을 인식하고 LDAP 서버에 대한 연결을 끊습니다.
다음은 작업 탭의 요소에 대한 설명입니다.
검색 작업 허용. 기본적으로 이 옵션은 활성화되어 있습니다. Directory Proxy Server가 검색 요청을 서버에 전달하지 못하게 하려면 이 옵션을 비활성화합니다.
비교 작업 허용. 기본적으로 이 옵션은 활성화되어 있습니다. Directory Proxy Server가 비교 요청을 서버에 전달하지 못하게 하려면 이 옵션을 비활성화합니다.
추가, 삭제, 수정, DN 수정 및 확장 작업 허용. 기본적으로 Directory Proxy Server는 추가, 수정, 삭제, DN 수정 또는 확장 작업 요청을 전달하지 않습니다. 이러한 작업 전달을 허용하려면 허용할 해당 작업을 활성화합니다.
클라이언트가 TLS 시작을 교섭할 수 있게 하려면 "확장 작업 허용"을 활성화해야 합니다.
- 그룹에 대한 데이터 숨기기 조건을 지정하려면 왼쪽 프레임에서 데이터 숨기기를 선택하고 오른쪽 프레임에서 해당 값을 지정합니다.
숨길 디렉토리 트리 부분을 지정하려면 하위 트리 탭을 사용하고 숨길 항목 또는 속성을 지정하려면 항목 탭을 사용합니다.
다음은 하위 트리 탭의 요소에 대한 설명입니다.
하위 트리 항목 숨기기. 금지된 하위 트리에 있는 항목이나 그 아래에 있는 항목을 요청하는 작업은 액세스 권한 부족 오류로 거부됩니다. 검색 필터와 일치하는 항목과 금지된 하위 트리 내에 있는 항목은 삭제됩니다. 이 옵션은 DN 구문 속성의 값이 해당 하위 트리에 속하는 경우에는 결과의 일부로 반환되는 항목으로부터 이 속성을 제거하지 않습니다.
추가. 제외할 항목의 하위 트리 기준 목록에 고유 이름을 추가하는 대화 상자를 표시합니다. 고유 이름이 네트워크 그룹에 없으면 기본적으로 디렉토리의 모든 항목에 대한 액세스가 허용됩니다. 목록의 항목에는 DN 구문이 있습니다.
편집. 고유 이름을 편집할 대화 상자를 표시합니다.
제거. 목록에서 고유 이름을 제거합니다.
- 항목 탭을 선택하고 숨길 항목 또는 속성을 지정합니다.
다음은 항목 탭의 요소에 대한 설명입니다.
이 그룹에서 현재 사용 중인 항목 숨기기 등록 정보 지정. 드롭다운 목록에 금지 항목 등록 정보에 대한 기존 객체가 표시됩니다. 다음을 참조하십시오. 객체 이름 선택. 기본적으로 객체가 선택되지 않습니다(<없음>). 객체가 없으면 새로 만들기 버튼을 눌러 신속하게 객체를 만들 수 있습니다.
새로 만들기. 새 금지 항목 등록 정보를 만들 대화 상자를 표시합니다.
편집. 기존 금지 항목 등록 정보를 편집할 대화 상자를 표시합니다.
- 그룹에 대한 검색 속성을 지정하려면 왼쪽 프레임에서 검색을 선택하고 오른쪽 프레임에서 해당 값을 지정합니다.
다음은 크기 탭의 요소에 대한 설명입니다.
최대 결과 항목 수 제한. 단일 검색 작업에서 한 클라이언트에게 한 번에 반환될 수 있는 최대 결과 항목 수를 지정하려면 이 옵션을 설정합니다. 이 값은 0보다 큰 수일 수 있고 한계에 도달하면 administrativeLimitExceeded 오류를 일으켜 클라이언트와 다음 항목이 무시됩니다. 기본적으로 이 등록 정보가 비활성화되어 있으면 항목을 무시하지 않습니다.
추가. 검색 크기 제한 등록 정보를 추가할 대화 상자를 표시합니다. 자세한 내용은 참조하십시오.
편집. 검색 크기 제한 등록 정보를 편집할 대화 상자를 표시합니다.
제거. 검색 크기 제한 등록 정보를 제거할 대화 상자를 표시합니다. 이 작업은 대화 상자를 표시하지 않고 등록 정보를 그룹에서 제거합니다.
- 제어 탭을 선택하고 검색 필터 제어를 위한 조건을 지정합니다.
다음은 제어 탭의 요소에 대한 설명입니다.
부등호 필터 허용. 기본적으로 이 옵션은 활성화되어 있습니다. 부등호 필터 허용은 클라이언트가 부등호 필터 (attr>=value) 및 (attr<=value)가 있는 검색을 요청할 수 있는지 여부를 지정합니다. 네트워크 그룹이 다른 검색을 수행할 수 없도록 하려면 이 옵션을 비활성화합니다.
검색 시간 제한. 네트워크 그룹이 검색 작업을 할 수 있는 최대 시간을 지정하려면 이 옵션을 활성화하고 값을 초 단위로 입력합니다. 클라이언트가 이 옵션에 제공된 값보다 큰 시간 제한을 지정하면 이 네트워크 그룹에 지정된 값에 의해 클라이언트의 요청이 무시됩니다. 기본적으로 이 옵션은 비활성화되어 있으므로 네트워크 그룹에서 클라이언트가 시간 제한(예: 제한 없음)을 설정하도록 할 수 있습니다.
최소 검색 필터 하위 문자열 지정. 검색 필터에서 허용 가능한 하위 문자열 길이를 지정하려면 이 옵션을 활성화하고 값을 입력합니다. 이 값은 1보다 커야 합니다. 기본적으로 이 옵션이 비활성화되어 있으므로 검색 필터에서 하위 문자열의 길이에는 제한이 없습니다. 웹 로봇이 수행할 수 있는 검색 종류를 제한하려면 네트워크 그룹에서 이 옵션을 활성화해야 합니다. 예를 들어, 값 2는 (cn=A*)와 같은 검색을 차단합니다.
주
DN이 있는 하위 트리 제한. 이 옵션을 활성화하고 모든 작업에 대해 하위 트리의 기준을 지정합니다. 이 옵션에는 DN 구문이 있습니다. 이 옵션이 비활성화되어 있는 경우 최소 기준에 제한이 없습니다.
이 옵션은 최소 기준 항목이나 최소 기준 항목 아래에 있는 대상 항목의 작업에 영향을 줍니다. 대상 항목이 최소 기준 항목보다 상위인 상태에서 하위 트리 검색 작업을 하면 쿼리를 서버에 보내기 전에 대상 항목을 최소 기준이 되도록 다시 작성합니다. 대상 항목이 최소 기준 이하이거나 최소 기준보다 상위이면 그러한 객체 오류 없이 요청이 거부됩니다.
예를 들어, "DN이 있는 하위 트리 제한"을 다음과 같이 설정하고
o=sun, st=California, c=US
st=California, c=US의 하위 트리 검색을 받으면 서버가 다음에 대한 하위 트리 검색을 수행하도록 검색이 다시 작성됩니다.
o=sun, st=California, c=US
찾아보기. 유효한 DN을 구성할 수 있는 대화 상자를 표시합니다.
- 범위 탭을 선택하고 클라이언트가 검색 요청에서 지정할 수 있는 검색 범위를 지정합니다.
다음은 범위 탭의 요소에 대한 설명입니다.
모든 검색 범위 허용. 기본적으로 이 옵션은 활성화되어 있으므로 클라이언트의 모든 검색 범위를 허용합니다.
'기본' 검색 범위만 허용. 기본 검색 범위만 허용하려면 이 옵션을 설정합니다.
'기본'과 '한 수준' 검색만 허용. 기본 검색과 한 수준 검색만 허용하려면 이 옵션을 설정합니다.
- 참고 탭을 선택하고 검색 도중 연속적인 검색 참고가 생성될 경우 수행할 작업을 지정합니다.
다음은 참고 탭의 요소에 대한 설명입니다.
참고 무시. 기본적으로 이 옵션은 활성화되어 있으므로 검색 도중 참고가 생성될 경우 해당 참고가 무시됩니다.
클라이언트에 참고 전달. 연속적인 검색 참고를 전달하려는 경우에만 이 옵션을 설정합니다.
참고를 따르고 클라이언트에 결과 반환. 연속적인 검색 참고 결과를 따르고 반환하려면 이 옵션을 설정합니다. 연속적인 검색 참고는 쿼리의 일부가 원래 디렉토리 서버에 의해 만족되었지만 그 디렉토리 서버는 쿼리를 만족시키는 더 많은 데이터를 가진 다른 디렉토리 서버에 대한 참고를 가진다는 점에서 특별한 경우의 참조입니다. 이 옵션을 사용하여 이름 지정 컨텍스트가 다른 LDAP 서버에서 제어되는 디렉토리 정보 트리의 일부를 숨길 수 있습니다. 또한 이 옵션은 클라이언트가 이 서버가 실행되는 네트워크 주소와 포트를 찾을 수 없게 합니다.
- 그룹에 대한 속성 조건을 지정하려면 왼쪽 프레임에서 속성을 선택하고 오른쪽 프레임에서 해당 값을 지정합니다.
다음은 검색 탭의 요소에 대한 설명입니다.
이 탭은 특정 종류의 검색 및 비교 작업이 LDAP 서버에 도달하지 않도록 할 때 사용합니다. 클라이언트의 요청이 이 제한 사항에 해당하면 Directory Proxy Server는 클라이언트에 액세스 권한 부족 오류를 반환합니다.
모든 속성 허용. 기본적으로 이 옵션은 모든 속성이 검색 필터와 비교에 사용되도록 활성화되어 있습니다.
다음 속성 금지. 검색 필터나 비교 요청에 클라이언트가 사용할 수 없는 속성의 이름을 지정하려면 이 옵션을 활성화합니다.
다음 속성만 허용. 검색 필터나 비교 요청에 사용할 수 있는 속성의 이름을 지정하려면 이 옵션을 활성화합니다. 하나 이상의 속성 값이 네트워크 그룹 테이블에 있고 비교가 이러한 속성 값 중 하나와 일치하지 않으면 Directory Proxy Server에서 요청을 거부합니다. 네트워크 그룹 테이블에 속성이 없고 한 속성이 임의 속성과 일치하지 않으면 클라이언트에서 그 속성을 사용할 수 있습니다. 예를 들어, cn, dn 및 mail 속성만 클라이언트에서 검색하도록 하려면 이러한 속성을 테이블에 추가합니다.
추가. 속성을 테이블에 추가할 수 있는 대화 상자를 표시합니다. 이러한 속성을 금지할 것인지 허용할 것인지 여부를 지정해야 합니다.
편집. 테이블에서 선택한 속성을 편집할 대화 상자를 표시합니다.
제거. 테이블에서 속성을 제거합니다.
- 이름 바꾸기 탭을 선택하고 속성 이름 바꾸기 규칙을 지정합니다.
다음은 이름 바꾸기 탭의 요소에 대한 설명입니다.
추가. 이 네트워크 그룹에서 사용할 하나 이상의 기존 속성 이름 바꾸기 등록 정보를 아래 테이블에 추가하는 대화 상자를 표시합니다().
편집. 선택한 속성 이름 바꾸기 등록 정보를 편집할 대화 상자를 표시합니다.
제거. 테이블에서 속성 이름 바꾸기 등록 정보를 제거합니다.
- 반환 탭을 선택하고 서버에서 반환되는 검색 결과를 클라이언트에 전달하기 전에 검색 결과에 적용할 제한 사항을 지정합니다.
다음은 반환 탭의 요소에 대한 설명입니다.
모든 속성 반환. 기본적으로 이 옵션은 활성화되어 있으며 모든 속성이 반환될 수 있도록 허용합니다.
다음 속성 제외. 검색 결과 항목에서 제외할 속성 이름을 지정하려면 이 옵션을 활성화합니다.
다음 속성만 반환. 검색 결과에서 반환될 수 있는 속성의 이름을 지정하려면 이 옵션을 활성화합니다.
검색 결과의 일부로 반환된 속성이 "다음 속성만 반환" 테이블에 없는 경우 해당 속성은 반환되지 않습니다. 테이블이 비어 있고 속성이 "다음 속성 제외" 테이블에 없는 경우 해당 속성은 반환됩니다.
추가. 속성을 테이블에 추가할 수 있는 대화 상자를 표시합니다. 이러한 속성을 금지할 것인지 허용할 것인지 여부를 위에서 지정해야 합니다.
편집. 테이블에서 선택한 속성을 편집할 대화 상자를 표시합니다.
제거. 테이블에서 속성을 제거합니다.
- 그룹에 대한 참조(예: 그룹이 서버에서 반환되는 참조를 전달하는지, 따르는지, 무시하는지 여부)를 지정하려면 왼쪽 프레임에서 참조를 선택하고 오른쪽 프레임에서 해당 값을 지정합니다.
다음은 화면에 표시되는 요소에 대한 설명입니다.
참조 무시. 네트워크 그룹이 서버에서 반환한 모든 참조를 무시하는 경우 이 옵션을 설정합니다.
클라이언트에 참조 전달. 기본적으로 이 옵션은 활성화되어 있으며 서버에서 반환한 참조를 전달합니다.
참조를 따르고 클라이언트에 결과 반환. 네트워크 그룹이 서버에서 반환한 참조를 전달하고 클라이언트에 결과를 반환하는 경우 이 옵션을 설정합니다.
바인드 정책. 이 옵션은 작업을 참조하고 참조를 따르는 경우 바인드 정책을 제어합니다.
Directory Proxy Server에서 SASL 메커니즘을 사용하여 바인드된 클라이언트에 대한 바인드를 재생할 수 없습니다. 그러므로 "필수"가 지정되고 클라이언트가 SASL 메커니즘을 사용하여 바인드하면 참조 작업이 거부됩니다.
항상. Directory Proxy Server가 이 네트워크 그룹에 연결된 클라이언트에 대한 참조를 따르면서 항상 익명으로 바인드해야 하는 경우 이 옵션을 선택합니다.
모두. 클라이언트가 비밀번호 기반 바인드를 사용한 경우 네트워크 그룹에서 단순 바인드를 사용하고 그 외에는 익명으로 바인드해야 하면 이 옵션을 선택합니다. 이것이 기본값입니다.
필수. 클라이언트가 비밀번호 기반 바인드를 사용하지 않는 경우 네트워크 그룹에서 참조된 작업을 거부해야 하면 이 옵션을 선택합니다.
작업 당 최대 참조 수. 0보다 크거나 같은 정수 값을 입력합니다. 이것은 단일 작업에 대해 따라야 하는 최대 참고 수를 제한합니다. 기본값은 15입니다. 값이 0이면 제한이 적용되지 않습니다.
참조 SSL 정책. 참조 SSL 정책 패널을 활성화하려면 암호화 뷰에서 "SSL 사용 가능" 옵션을 설정해야 합니다.
클라이언트가 SSL 세션을 설정한 경우. 클라이언트가 이미 Directory Proxy Server와 SSL 세션을 설정한 상태에서 네트워크 그룹이 SSL을 시작할 경우에만 이 옵션을 설정합니다. 이것이 기본값입니다.
모든 참조에 대해. 참조 시 작업이 전달되기 전에 그룹이 SSL 세션을 시작할 경우 "모든 참조에 대해" 옵션을 설정합니다.
- 그룹에 대한 서버 로드 조건을 지정하려면 왼쪽 프레임에서 서버 로드를 선택하고 오른쪽 프레임에서 해당 값을 지정합니다.
다음은 화면에 표시되는 요소에 대한 설명입니다.
연결 당 동시 작업 수. Directory Proxy Server가 해당 그룹에서 연결 당 처리할 수 있는 동시 작업 수를 제한하려면 이 옵션을 선택합니다. 값은 0보다 큰 정수입니다. 이 속성이 없으면 제한이 실행되지 않습니다. 예를 들어, 이 값을 1로 설정하면 해당 그룹의 모든 클라이언트는 동기 LDAP 작업을 수행하도록 지정됩니다. 작업 중단 요청을 제외한 추가 동시 요청은 Server Busy 오류로 실패합니다.
연결 당 총 작업 수. Directory Proxy Server가 한 그룹에서 연결 당 허용하는 총 작업 수를 제한하려면 이 옵션을 선택합니다. 값은 0보다 큰 정수입니다. 클라이언트가 한 연결에서 해당 그룹에 허용된 최대 작업 수를 초과하면 Directory Proxy Server에서 해당 연결을 닫습니다. 이 속성이 없으면 제한이 설정되지 않습니다.
이 그룹에 연결. 이 네트워크 그룹에 대한 동시 연결 수를 제한하려면 이 옵션을 선택하고 수를 지정합니다.
IP 주소 당 동시 연결 수. 클라이언트가 단일 IP 주소에서 만들 수 있는 동시 연결 수를 제한하려면 이 옵션을 선택합니다. 기본적으로 모든 연결 수가 허용됩니다.
- 저장을 눌러 그룹을 만듭니다.
Directory Proxy Server 구성이 수정되고 이 구성에 따라 서버를 다시 시작할지 묻는 메시지가 표시됩니다. 지금 서버를 다시 시작하지 말고, 모든 구성 변경을 완료한 후에 다시 시작하십시오.
- 추가 그룹을 만들려면 단계 3에서 단계 24까지 반복합니다.
- 네트워크 그룹 창(단계 2 참조)으로 이동하여 그룹의 우선 순위를 적절하게 지정합니다.
- 서버를 다시 시작합니다. 다음을 참조하십시오.
그룹 수정
그룹을 수정하려면 다음을 수행합니다.
- Directory Proxy Server 구성 편집기 콘솔에 액세스합니다. 다음을 참조하십시오.
- 탐색 트리에서 네트워크 그룹을 선택합니다.
오른쪽 창에 기존 그룹의 목록이 표시됩니다.
- 목록에서 수정할 그룹을 선택하고 편집을 누릅니다.
- 필요한 내용을 수정합니다.
- 저장을 눌러 변경 내용을 저장합니다.
Directory Proxy Server 구성이 수정되고 이 구성에 따라 서버를 다시 시작할지 묻는 메시지가 표시됩니다. 지금 서버를 다시 시작하지 말고, 모든 구성 변경을 완료한 후에 다시 시작하십시오.
- 추가 그룹을 수정하려면 단계 3에서 단계 5까지 반복합니다.
- 서버를 다시 시작합니다. 다음을 참조하십시오.
그룹 삭제
Directory Proxy Server 구성에서 원하지 않는 네트워크 그룹을 삭제할 수 있습니다. 그룹을 삭제하려면 다음을 수행합니다.
- Directory Proxy Server 구성 편집기 콘솔에 액세스합니다. 다음을 참조하십시오.
- 탐색 트리에서 네트워크 그룹을 선택합니다.
오른쪽 창에 기존 그룹의 목록이 표시됩니다.
- 목록에서 삭제할 그룹을 선택하고 삭제를 누릅니다.
- 작업을 확인합니다.
삭제한 그룹의 이름이 목록에서 제거됩니다. Directory Proxy Server 구성이 수정되고 이 구성에 따라 서버를 다시 시작할지 묻는 메시지가 표시됩니다. 지금 서버를 다시 시작하지 말고, 모든 구성 변경을 완료한 후에 다시 시작하십시오.
- 추가 그룹을 삭제하려면 단계 3과 단계 4를 반복합니다.
- 서버를 다시 시작합니다. 다음을 참조하십시오.