|
| |
| Sun Java(TM) System Directory Proxy Server 5.2 2005Q1 관리 설명서 | |
1장
Directory Proxy Server 개요이 장에서는 Directory Proxy Server 제품의 개요를 제공합니다. 이 장은 다음 내용으로 구성되어 있습니다.
소개Directory Proxy Server는 전자 상거래 솔루션을 위한 디렉토리 서비스에 꼭 필요한 구성 요소입니다. Directory Proxy Server는 향상된 디렉토리 액세스 제어, 스키마 호환성 및 응용 프로그램 레이어 로드 균형 조정과 페일오버를 통한 고가용성을 제공하는 LDAP 응용 프로그램 레이어 프로토콜 게이트웨이입니다.
기능적으로 Directory Proxy Server는 LDAP 클라이언트와 LDAP Directory Server 사이에 위치한 "LDAP 액세스 라우터" LDAP 클라이언트의 요청을 필터링하여 Directory Proxy Server 구성에 정의된 규칙에 따라 LDAP Directory Server로 보내고 Directory Server의 결과를 필터링하여 역시 Directory Proxy Server 구성에 정의된 규칙에 따라 클라이언트로 다시 전달할 수 있습니다. 이 과정은 LDAP Directory Server와 마찬가지로 Directory Proxy Server에 연결된 LDAP 클라이언트에도 투명합니다.
Directory Proxy Server는 익스트라넷과 인트라넷 인프라 양쪽에 다음과 같은 고가용성, 보안성, 클라이언트 호환성 기능을 제공하는 제품입니다.
Directory Proxy Server는 새로운 LDAP 디렉토리 인프라와 기존 LDAP 디렉토리 인프라와 공존하여 상호 보완 작용을 하며 기업 익스트라넷과 인트라넷에 이미 배포되어 있는 디렉토리 사용 가능 응용 프로그램과도 완벽하게 통합되므로 고객의 기존 디렉토리 인프라를 활용하도록 배포될 수 있습니다. Directory Proxy Server는 모든 LDAP 호환 Directory Server와 상호 운용되므로 Directory Proxy Server는 고유 LDAP 디렉토리, LDAP 사용 가능 X.500 디렉토리, LDAP 사용 가능 관계 데이터베이스 등 어떤 LDAP 사용 가능 디렉토리와도 함께 사용할 수 있습니다.
Directory Proxy Server는 LDAPv3 인터넷 사양을 구현하며 LDAPv2를 사용하는 이미 배포된 디렉토리 사용 가능 클라이언트 응용 프로그램과의 호환성을 위해 기능성이 다소 떨어지는 이전의 LDAPv2 사양도 지원합니다. Directory Proxy Server는 UNIX 플랫폼에서 별도의 시스템 서버 프로세스로 실행됩니다. 멀티스레드 서버는 수천 건의 LDAP 클라이언트 요청을 처리할 수 있으며 각 요청에 대해 액세스 제어 규칙과 프로토콜 필터링 규칙을 적용할 수 있습니다.
Directory Proxy Server를 사용하면 인증되지 않은 액세스로부터 기업의 사적인 디렉토리 정보를 보호하고 공개 정보를 안전하게 게시할 수 있습니다. 또한 Directory Proxy Server는 Directory Information Tree(DIT)의 각 부분에 대해 어떤 사용자가 어떤 유형의 작업을 수행할 수 있는지 제어하는 등 세분화된 LDAP 디렉토리 액세스 제어 정책을 구성할 수 있습니다. 또한 정보 수집을 위해 웹 트롤러와 로봇에 의해 주로 수행되는 특정한 작업을 허용하지 않도록 Directory Proxy Server를 구성할 수 있습니다.
Directory Proxy Server는 웹 프록시 서버와 달리 역방향 프록시 모드로 작동하므로 방화벽 내부의 클라이언트에서 인터넷 상의 임의의 서버로 연결을 전달하지 않고 검색 결과를 캐시에 저장하지도 않습니다. 그 주된 이유는 액세스 제어를 데이터에 적용하는 문제 때문입니다. 현재 데이터에 대한 액세스 제어 적용은 액세스 제어가 유지 관리되는 LDAP Directory Server에서만 수행되며 Directory Proxy Server는 Directory Server 액세스 제어에 관여하지 않습니다.
Directory Proxy Server 기능Directory Proxy Server는 고가용성, 로드 균형 조정, 페일오버, 방화벽급 보안, 클라이언트 서버 호환성등 독특한 기능을 제공합니다.
고가용성
Directory Proxy Server는 복제된 LDAP Directory Server들 간의 자동 로드 균형 조정과 자동 페일오버/페일백을 모두 제공함으로써 고가용성 디렉토리 배포를 지원하도록 디자인된 제품입니다. 익스트라넷과 인트라넷 환경에서는 업무에 중요한 디렉토리 사용 가능 클라이언트와 응용 프로그램이 디렉토리 데이터에 하루 24시간 주 7일간 액세스할 수 있도록 보장하는 것이 필요한 경우가 많습니다. Directory Proxy Server는 인식된 모든 Directory Server에 대한 연결 상태 정보를 유지 관리하며, 구성된 Directory Server 간의 비례적인 LDAP 작업 로드 균형 조정을 동적으로 수행할 수 있습니다. 한 개 이상의 Directory Server를 사용할 수 없게 되면 작업 로드가 나머지 서버들에 사이에 적절하게 재분배되고, Directory Server가 다시 온라인 상태로 돌아오면 작업 로드도 그에 따라 동적으로 재할당됩니다.
예를 들어, Directory Server A에서 LDAP 클라이언트 로드의 40%를 받아들이고 서버 B, 서버 C, 서버 D에서 각각 20%씩 받아들이도록 구성된 경우를 생각해 보십시오. Directory Server B에 장애가 발생할 경우 Directory Proxy Server에서는 서버 A가 서버 C나 서버 D의 두 배가 되는 로드를 수행하도록 구성된 것을 인식하고 서버 B의 몫인 20%의 로드를 재분배하여 이제 서버 A에서 50%, 서버 C와 서버 D에서 각각 25%씩을 처리하도록 할 것입니다. Directory Server B가 복구되면 Directory Proxy Server에서 이를 자동으로 감지하고 4개의 서버에 구성된 원래의 로드 비율로 되돌려 놓습니다.
네트워크 레이어 IP 로드 균형 조정 장치는 LDAP 프로토콜 레이어에 대한 액세스 권한이 없습니다. 그러나 Directory Proxy Server는 로드 균형 조정 기능을 액세스 제어, 쿼리 필터링 및 쿼리 라우팅과 통합하며 지적인 응용 프로그램 레이어 액세스 제어와 LDAP 라우팅 결정을 수행할 수 있습니다.
로드 균형 조정
등록 정보 객체 정의 및 관리에 설명된 로드 균형 조정 등록 정보를 사용하여 Directory Proxy Server에 로그 균형 조정을 구성해야 합니다. Directory Proxy Server가 통신할 수 있는 각 백엔드 Directory Server는 총 클라이언트 로드의 일정 비율을 받아들이도록 구성됩니다. Directory Proxy Server에서는 클라이언트 쿼리를 구성에 정의된 로드 기준에 맞도록 각 백엔드 서버에 분배합니다. 한 서버에 장애가 발생하면 Directory Proxy Server에서는 정해진 로드 비율에 따라 해당 서버의 로드 비율을 나머지 사용 가능한 서버에 분배합니다. 모든 백엔드 LDAP 서버를 사용할 수 없는 경우에는 Directory Proxy Server에서 클라이언트 쿼리를 거부하기 시작합니다.
Directory Proxy Server의 로드 균형 조정은 세션별로 이루어집니다. 즉 클라이언트의 쿼리가 보내질 특정 서버를 선택하는 결정 기능은 클라이언트 세션 당 한 번씩 적용됩니다. 해당 세션의 이후 모든 클라이언트 쿼리는 세션 시작 때 선택한 서버로 보내집니다.
Directory Proxy Server가 로드 균형을 조정할 수 있는 백엔드 LDAP 서버의 수는 Directory Proxy Server를 실행하는 호스트의 크기, 사용 가능한 네트워크 대역폭, Directory Proxy Server에서 받는 쿼리, 클라이언트 세션의 길이 및 Directory Proxy Server의 구성과 같은 몇 가지 요인에 따라 달라집니다. 일반적으로 대부분의 세션이 짧고 쿼리가 컴퓨터 사용면에서 집약적인 경우 Directory Proxy Server가 지원하는 서버의 수는 더 적습니다. 컴퓨터 사용면에서 집약적인 쿼리는 속성 이름 바꾸기 등록 정보에 설명된 속성 이름 바꾸기 기능이 사용될 때처럼 전체 메시지 검사가 필요한 쿼리입니다.
Directory Proxy Server는 모니터 프로세스를 사용하여 SSL을 통해서만 통신하는 것을 포함하여 백엔드 서버에 대해 상태를 점검합니다. 로드 균형 조정을 사용할 경우 이 기능이 자동으로 활성화됩니다. Directory Proxy Server는 각 백엔드 Directory Server에 대해 익명 Root DSE 검색 작업을 10초마다 수행합니다. 어느 한 서버가 사용할 수 없게 되거나 응답하지 않으면 Directory Proxy Server는 사용 중인 로드 균형 조정된 서버 집합에서 해당 서버를 제거합니다. 그런 다음 서버가 다시 사용할 수 있게 되면 해당 집합에 다시 넣습니다.
페일오버
Directory Proxy Server는 연결 시도가 연결 거부 오류와 함께 반환되거나 시간이 초과되어 서버를 사용할 수 없게 될 때를 감지합니다. 이 두 경우는 세션의 초기 단계에 발생하며 그 세션에 대해 아직 어떤 작업도 처리되지 않았기 때문에 Directory Proxy Server는 투명하게 사용할 수 있는 다른 서버로 페일오버됩니다. 연결 시도 시간 초과인 경우 클라이언트에서 응답을 얻기까지 상당히 지연될 수 있습니다. Directory Proxy Server와 백엔드 서버 사이의 연결이 갑자기 끊어지면 Directory Proxy Server는 영향을 받는 클라이언트에 대한 모든 처리되지 않은 작업에 LDAP_BUSY 오류를 반환하고 그런 다음 Directory Proxy Server는 해당 클라이언트 세션을 다른 Directory Server에 페일오버합니다.
Directory Proxy Server가 디렉토리 배포의 단일 실패 지점이 되는 것을 피하려면 하나의 IP 장치가 앞에 있는 두 개 이상의 Directory Proxy Server를 사용하는 것이 좋습니다.
보안
Directory Proxy Server는 Directory Server에 의해 제공되는 기본적인 액세스 제어를 향상시켜 주는 유연한 외부 디렉토리 액세스 제어 설비를 제공합니다. 이 액세스 제어 기법은 여러 사용자 및 사용자 커뮤니티를 특정 액세스 그룹과 연관시켜 관리자가 정의한 보안 제한 사항과 쿼리 필터를 적용할 수 있도록 해줍니다. 관리자는 LDAP 인증 정보, IP 주소, 도메인 이름 및 기타 기준에 따라 항목에 대한 액세스를 제어할 수 있습니다.
Directory Proxy Server가 제공하는 중요한 보안 기능 중 하나는 LDAP 클라이언트와 LDAP Directory Server 사이에 설정된 연결의 수를 보호하는 것입니다. Directory Proxy Server가 동시 클라이언트 작업 수, 한 클라이언트가 연결 당 요청할 수 있는 작업 수 및 특정 클라이언트 그룹의 연결 수 등 몇 가지 특정한 측정치를 모니터하도록 구성함으로써 LDAP Directory Server를 연결 공격으로부터 보호할 수 있습니다. 또한 활동이 없는 클라이언트에 대해서는 시간 초과를 적용할 수 있습니다.
주어진 측정치를 초과하지 않도록 특정한 임계값 제한과 함께 Directory Proxy Server를 구성하면 Directory Proxy Server에서 이 측정치를 모니터하여 임계값을 초과하지 않도록 할 수 있습니다. Directory Proxy Server는 특정 호스트로부터 열려 있는 연결 수, 특정 세션에 대해 수행되는 작업 수 등 몇 가지 측정치를 계속 모니터하여 디렉토리 트롤링과 서비스 거부 공격을 받지 않도록 그 수를 제한합니다. 이러한 매개 변수 구성에 대한 자세한 설명은 시스템 구성 인스턴스 만들기를 참조하십시오.
Directory Proxy Server는 또한 (cn=A*) 또는 (cn>A)와 같은 일정한 종류의 일반 필터를 허용하지 않음으로써 트롤링을 제한합니다. 필터의 필터링 구성 방법에 대한 자세한 내용은 그룹 만들기 및 관리를 참조하십시오.
Directory Proxy Server는 인증받은 클라이언트가 디렉토리 서비스에 대한 액세스 제어를 변경하도록 허용합니다. 따라서 인증받은 클라이언트는 보안 네트워크 외부에 있더라도 디렉토리 정보에 대해 보다 큰 액세스 권한을 가질 수 있습니다.
Directory Proxy Server는 Secure Socket Layer(SSL) 전송 프로토콜을 지원함으로써 데이터 보호를 제공합니다. 예를 들면 보호되는 네트워크 외부에서 디렉토리 서비스로 액세스하는 모든 클라이언트에 SSL 세션 설정이 필요하도록 Directory Proxy Server를 구성할 수 있습니다. Directory Proxy Server에서의 SSL 구성에 대한 자세한 내용은 보안 구성을 참조하십시오.
이러한 기능들을 사용하면 빈번히 발생하는 “서비스 거부” 공격과 “대량유입 공격”을 방지할 수 있습니다. Directory Proxy Server는 임계값에 도달했음을 감지하면 Directory Server에 대한 연결을 거부하기 시작하여 Directory Server가 공격받는 것을 방지합니다.
클라이언트-서버 호환성
Directory Proxy Server는 인증 자격 증명에 따라 이동 사용자를 식별하는 것을 포함하여 LDAP 고유 이름(DN) 및 그룹 액세스 권한에 따라 쿼리 라우팅 결정을 내립니다. Directory Proxy Server는 확장성이 큰 분산된 디렉토리 서비스를 지원하여 Directory Server에 의해 반환되는 LDAP 참조를 자동으로 따라갑니다. 자동 참조 따라가기는 일련의 Directory Server들 사이에 실제로 디렉토리 정보를 분산시켜야 하지만 분산된 디렉토리를 사용자에게 하나의 논리적인 디렉토리로 표시해야 하는 대규모 디렉토리 배포에 매우 유리합니다. Directory Proxy Server는 확장 가능한 분산된 디렉토리 서비스를 지원하여 분산된 디렉토리를 논리적으로 통합하는 기능을 제공함으로써 이러한 배포 시나리오를 지원합니다.
Directory Proxy Server는 LDAPv2 또는 LDAPv3을 준수하는 클라이언트 응용 프로그램을 지원합니다. Directory Server의 스키마와 항상 일치하는 것은 아닌 고정된 스키마를 사용하는 클라이언트 응용 프로그램을 수용하도록 스키마를 다시 작성할 수 있습니다. 예를 들어 Microsoft Outlook™ 전자 메일 클라이언트는 Directory Server가 기업의 보다 일반적인 스키마 요구 사항과 일치하지 않을 수 있는 Microsoft 정의 속성을 구현할 것을 기대합니다. 스키마 재작성 기능을 사용하여 디렉토리 시스템 관리자는 일반적인 목적의 기업 스키마를 구현하고 그 스키마의 특정 요소를 클라이언트 응용 프로그램에서 요구하는 일련의 속성 유형에 동적으로 매핑할 수 있습니다. Directory Proxy Server는 RFC1274, X.520, X.521, LIPS, PKIX, inetOrgPerson 및 DEN을 비롯한 기본적이고 특별한 업계의 스키마 정의에 정해진 속성 유형과 객체 클래스를 모두 받아들입니다.