Configuration Agent

Configuration Agent 分屬於下表所列之各種套裝軟體的一部分。

Solaris 套裝軟體名稱	說明
SUNWapbas	配置共用程式庫
SUNWapmsc	Configuration Agent 其他檔案
SUNWapoc	Configuration Agent
SUNWapdc	Configuration Agent 精靈

安裝這些套裝軟體時，該 API 所需的檔案都會安裝。您可以手動安裝這些套裝軟體或經由 Java Desktop System 進行安裝。安裝後，您必須在系統中配置並啟用 Configuration Agent。

---

備註 –

Configuration Agent 套裝軟體會在安裝 Java Desktop System 時，一併安裝在 Solaris 系統上；但 Desktop Manager 會在安裝期間修補這些檔案，以提供適當的功能層級。

---

若要存取遠端配置資料，Configuration Agent 需要最基本的啟動程式資訊，例如 LDAP 伺服器的主機名稱和連接埠。本資訊保存在一組特性檔案中，如 policymgr.properties 、apocd.properties、os.properties 等等。這些檔案以本機方式儲存在 /etc/apoc 目錄中。您可以手動方式或使用 Configuration Agent 配置精靈編輯這些特性檔案 (請參閱附錄 A 配置參數) 。

配置精靈提供一個圖形化使用者介面，可指導您瞭解 Configuration Agent 的必要設定。精靈的每一個頁面都會有相應的說明螢幕。您可以使用 /usr/bin/apoc-config 程序檔，以超級使用者身份 (root) 啟動精靈。

---

備註 –

也可以不啟動圖形介面而啟動該精靈。例如，在主控台模式下執行 /usr/bin/apoc-config -nodisplay 以啟動精靈。

---

啟動程式資訊

圖 3–1 Configuration Agent，配置儲存庫

---

備註 –

在適當的位置，關聯的特性檔案關鍵字在圓括號中進行指示。

---

• 狀態：Configuration Agent 的狀態。該核取方塊可用於啟動或關閉 Configuration Agent。若要使用配置儲存庫，Configuration Agent 必須處於使用中。啟動會自動由 Solaris 服務管理功能 ( smf(5) ) 中納入所需要的註冊。

• 主機識別碼 (HostIdentifierType)：可為「主機名稱」或「IP 位址」。在搜尋主機特有策略資料時，Configuration Agent 會根據主機名稱或 IP 位址識別目前的主機。請根據主機在所選「環境類型」中的識別方式選擇正確的值。

• 環境類型：此設定可用於指示 Configuration Agent 您是在 LDAP 或檔案型儲存中定義組織階層與配置資料，或兩者中皆有定義。

  ---

  備註 –

  若要手動啟用或停用 Configuration Agent，請以 root 身份登入，再分別鍵入 /usr/lib/apoc/apocd enable 或 /usr/lib/apoc/apocd disable 指令。

  ---

圖 3–2 Configuration Agent，LDAP 階層和檔案型儲存

---

備註 –

圖 3–2 的螢幕會隨著上一個畫面中所選之「環境類型」而不同。選擇 LDAP 或混合型環境類型時，必須具備伺服器識別碼、伺服器連接埠及字尾。選擇檔案型或混合型環境類型時，則須具備「配置設定 URL」。

---

• 伺服器識別碼︰LDAP 伺服器的主機名稱。

• 伺服器連接埠︰LDAP 伺服器的連接埠號。

• 字尾：LDAP 儲存庫的基底 DN。

• 配置設定 URL：指定檔案型儲存庫位置的 URL。

  若連線至第一個儲存庫失敗，URL 清單可用以指定備用的儲存庫。此清單可由一或多個以空格加以分隔的 URL 組成；每一個 URL 的格式均須為 file://<filepath> 、http://<host>:<port>/<filepath> 或 https://<host>:<port>/<filepath>。如需更多資訊，請參閱附錄 A 配置參數。

  ---

  備註 –

  代理程式會先嘗試使用 SSL 連線存取 LDAP 伺服器。此連線若是失敗，代理程式才會接著嘗試一般的 SSL 連線。

  SSL 連線要能夠成功，Java 執行階段環境的金鑰庫中必須存有適當的憑證。標準 JRE 的金鑰庫位於 <installation directory>/lib/security/cacerts，而標準 JDK 的金鑰庫則位於 <installation directory>/jre/lib/security/cacerts。無論是「憑證授權單位」或 LDAP 伺服器憑證，均須透過 keytool -import -file <certificate file> -keystore <cacerts file location> 指令增加至該金鑰庫內。該金鑰庫的預設密碼為 changeit。

  ---

圖 3–3 Configuration Agent，驗證機制

• Configuration Agent 的認證類型：可為「匿名」或「簡單」。若選取「匿名」，便會自動停用 [合格的使用者名稱] 和 [密碼] 欄位。

• [合格的使用者名稱] (AuthDn)：具有對儲存庫的讀取和搜尋存取權之使用者的完整 DN。

• [密碼] (Password)：已註冊 LDAP 使用者的密碼

  ---

  備註 –

  目錄中若已啟用匿名存取，即可將 [合格的使用者名稱] 和 [密碼] 設定留為空白。

  ---

• 應用程式的 [認證類型] (AuthType)：依據 LDAP 伺服器驗證使用者的方法，可為「匿名」或「GSSAPI」。

  ---

  備註 –

  如需更多資訊，請參閱資料存取/使用者認證。

  ---

連接埠設定

Configuration Agent 使用兩個連接埠：

• [代理程式連接埠] (DaemonPort)：由代理程式用來與用戶端應用程式進行通訊 (預設為 38900)。

• [管理連接埠] (DaemonAdminPort)：代理程式控制器程式 apocd 與代理程式通訊時，會使用此連接埠 (預設值為 38901)。

圖 3–4 Configuration Agent，連接埠設定

變更偵測間隔

Configuration Agent 使用以下兩種間隔定期檢查配置資料中的所有變更：

• [一般偵測間隔] (ChangeDetectionInterval)：桌面應用程式的 (用戶端的) 配置資料之變更偵測循環的間隔 (以分鐘為單位)。

  ---

  備註 –

  指定 -1 會關閉變更偵測。

  ---

• [代理程式設定的間隔] (DaemonChangeDetectionInterval)：代理程式特定配置設定之變更偵測循環的間隔 (以分鐘為單位)。

  ---

  備註 –

  指定 -1 會關閉變更偵測。

  ---

您可以使用一般偵測間隔來調準遠端配置資料變更至用戶端應用程式的傳遞。為該設定提供的值，是遠端所做變更在用戶端應用程式中反映出來之前所需的最大時間長度 (以分鐘為單位)。

較小的值將會導致 Configuration Agent 和 LDAP 伺服器活動的增加。因此，調整設定值時應該謹慎。例如您可以在初始部署階段時，將值設定為一分鐘，以測試遠端配置對用戶端應用程式的影響。完成測試之後，請將此設定恢復為初始值。

操作設定

圖 3–5 Configuration Agent，資料目錄

可以配置以下設定：

• [資料目錄] (DataDir)：用於儲存運行時間資料的目錄。預設為 /var/opt/apoc。

• [快取的資料儲存生命] (TimeToLive)：非離線配置資料在本機資料庫中保留的間隔 (以分鐘為單位)。

圖 3–6 Configuration Agent，請求處理和記錄

• [資源回收循環] (GarbageCollectionInterval)：本機配置資料庫中資源回收循環的間隔 (以分鐘為單位)。

• [最大用戶端執行緒數] (MaxClientThreads)：可同時處理的用戶端請求的最大數目。

• [最大用戶端連線數] (MaxClientConnections)：用戶端連線的最大數目。

• [最大請求大小] (MaxRequestSize)：用戶端請求的最大大小。

• [連線逾時] (ConnectTimeout)：表示 LDAP 伺服器回覆連線請求所允許的間隔。預設值為 1 秒。

• [記錄層級] (LogLevel)：代理程式記錄檔中詳細資訊的級別。記錄層級與 Java 記錄程式層級一致。下列層級會依其嚴重性遞減排列：

  • 嚴重

  • 警告

  • 資訊

  • 配置

  • 詳細

  • 較詳細

  • 最詳細

---

備註 –

大多數操作設定 ([資料目錄] 和 [連線逾時] 設定除外) 亦可透過 LDAP 伺服器中所儲存的相對應策略集中進行維護。如果您要使用此項功能，請勿透過精靈調整相應的設定，而是使用 Desktop Manager 中的 Configuration Agent 策略來集中指定操作設定。

---

套用代理程式設定

除「資料目錄」和「連線逾時」之外，透過 Desktop Manager 儲存於 LDAP 伺服器上的操作設定將會在代理程式配置的下一次變更偵測循環開始時自動生效 (請參閱 DaemonChangeDetectionInterval)。

圖 3–7 Configuration Agent，摘要頁面

本機變更的所有其他設定均需要重新載入或重新啟動 Configuration Agent。如果您使用配置精靈，重新載入或重新啟動則會自動執行。

---

備註 –

若要以手動方式重新啟動 Configuration Agent，請確定所有相關用戶端應用程式皆不在執行中，然後以 root 身份登入，並鍵入 /usr/lib/apoc/apocd restart 指令。

---

其他代理程式設定

---

備註 –

配置精靈中不會提供下列設定。

---

• 本機策略的應用程式 (ApplyLocalPolicy)：使用此設定可指定是否要將本機主機上的策略資料，提供給用戶端應用程式使用。值「true」表示應提供本機策略資料。值「false」表示不應提供本機策略資料。如需更多資訊，請參閱使用本機策略。

使用本機策略

您可以將 Configuration Agent 配置成套用本機部署策略的配置設定，以此做為所提供之全域策略的替代方案。請使用下列步驟部署這類本機策略：

部署本機策略

步驟

1. 使用 Desktop Manager 建立具有必要策略設定的設定檔。

2. 使用 Desktop Manager 將設定檔匯出為壓縮檔。

3. 在您的用戶端主機上建立 ${DataDir}/Policies/profiles/PROFILE_REPOSITORY_default 目錄 (如其不存在)。

   將 ${DataDir} 對應至 Configuration Agent 的「資料目錄」值 (預設為 /var/opt/apoc)。

4. 將之前所匯出的壓縮檔複製至 ${DataDir}/Policies/profiles/PROFILE_REPOSITORY_default 。

5. 確定已將 Configuration Agent 配置成套用適用的本機策略 (如需更多資訊，請參閱其他代理程式設定)。

   ---

   備註 –

   若變更了 Configuration Agent 的「ApplyLocalPolicy」設定，必須以 root 身份登入，並鍵入 /usr/lib/apoc/apocd reload 指令重新載入 Configuration Agent。

   所有以此方式部署的本機策略，均會在下一個 Configuration Agent 變更偵測週期中提供給用戶端使用。

   ---

自動重新啟動 Configuration Agent

萬一失敗，Configuration Agent 會自動重新啟動。服務管理功能 ( smf(5) ) 負責做出決定。若服務管理功能認為不宜重新啟動 (例如失敗的次數過多)，便會將 Configuration Agent 置於維護模式中。

若未重新啟動 Configuration Agent，請以 root 身份登入，並執行 /usr/lib/apoc/apocd disable 指令暫時停用代理程式；再於修正造成代理程式故障的問題之後，執行 /usr/lib/apoc/apocd enable 指令重新啟用代理程式。