test

Solaris のシステム管理 (ネーミングとディレクトリサービス : DNS、NIS、LDAP 編)

パート IV iPlanet Directory Server 5.1 の構成

ここでは、iPlanet Directory Server 5.1 を構成する方法について説明します。

第 11 章 iPlanet Directory Server 5.1 の構成

この章では、iPlanet Directory Server 5.1 の構成方法について説明します。Solaris LDAP クライアントで使用するために iPlanet Directory Server 5.1 を構成する前に、この章に記載された手順を実行する必要があります。

注 -

iPlanet Directory Server 5.1 以外のディレクトリサーバーを使用する場合は、この章を読む必要はありません。他のディレクトリサーバーを Solaris LDAP ネーミングサービスクライアントと共に使用する場合の基本要件のリストについては、「汎用ディレクトリサーバーの要件」 を参照してください。

iPlanet Directory Server 5.1 に関する詳細な情報については、次の iPlanet マニュアルを参照してください。

この章の内容は次のとおりです。

構成の準備

iPlanet Directory Server 5.1 の構成を開始する前に、さまざまなコンポーネント、設計および構成上の決定事項について理解しておく必要があります。

iPlanet Directory Server 5.1 を構成する上で、以下の節で説明されている概念をよく理解しておく必要があります。

『 iPlanet Directory Server 5.1 導入ガイド』には、ディレクトリの基本的な概念およびディレクトリサービスの設計および配備を成功させるのに役立つガイドラインが説明されています。

構成コンポーネント

iPlanet Directory Server 5.1 には、次のソフトウェアコンポーネントが含まれます。これらのコンポーネントは、Solaris を entire + OEM メタクラスタでインストールすると、デフォルトでインストールされます。

構成の選択

ディレクトリサーバー (Directory Server) の構成時に、基本情報の指定が求められます。構成作業を開始する前に、これらの基本的なパラメータの構成方法を決定しておく必要があります。実行する構成タイプに応じて、次の情報のすべてあるいはいくつかを指定するよう求められます。

一意のポート番号の選択

ポート番号には、1 〜 65535 までの任意の番号を指定できます。iPlanet Directory Server 5.1 用のポート番号を選択する際、以下の点を考慮してください。

注 -

LDAP ネームサービスクライアントが SSL 暗号化を使用している場合、デフォルトのポート番号 389 と 636 を使用する必要があり、そのためサーバーを root で実行することになります。Transport Layer Security の詳細については、「Transport Layer Security (TLS)」 を参照してください。

iPlanet Directory Server 5.1 で SSL 経由の LDAP (LDAPS) を設定する方法については、『iPlanet Directory Server 5.1 管理者ガイド』を参照してください。

ユーザーとグループの選択

セキュリティ上の理由から、通常のユーザー権限で UNIX ベースの本稼働用サーバーを実行するのが常に最善です。このため、root 権限でディレクトリサーバーを実行するのは避けてください。ただし、ディレクトリサーバーのデフォルトポートを使用する場合は、root 権限でディレクトリサーバーを実行する必要があります。ディレクトリサーバーの起動が Administration Server により実行される場合、Administration Server は root または iPlanet Directory Server 5.1 と同じユーザーで実行する必要があります。

このため、以下の目的に対してどのユーザーアカウントを使用するかを決定する必要があります。

すべての iPlanet サーバー用の共通グループ (gid iPlanet など) を作成して、必要に応じてファイルをサーバー間で共有できるようにする必要があります。

iPlanet Directory Server 5.1 および Administration Server をインストールする前に、使用するユーザーおよびグループのアカウントがシステムに存在することを確認してください。

認証エンティティの定義

iPlanet Directory Server 5.1 および Administration Server を構成する際、さまざまなユーザー名、識別名 (DN)、およびパスワードの入力が求められます。このログインおよびバインドエンティティのリストは、実行する構成タイプによって異なります。

ディレクトリ接尾辞の選択

ディレクトリ接尾辞は、ディレクトリツリー内の最初のエントリを表すディレクトリエントリです。企業のデータを含むツリー用に、ディレクトリ接尾辞が少なくとも 1 つ必要です。一般に、企業で使用する DNS ホスト名に対応するディレクトリ接尾辞を選択します。たとえば、組織で DNS 名 example.com を使用する場合、接尾辞 dc=example、dc=com を選択します。

ディレクトリサービス用の接尾辞を計画する際の詳細については、『iPlanet Directory Server 5.1 導入ガイド』を参照してください。

構成ディレクトリの位置の選択

Directory Server 5.1 を含む多数の iPlanet サーバーは、iPlanet Directory Server 5.1 のインスタンスを使用して構成情報を格納します。この情報は、o=NetscapeRoot ディレクトリツリーに格納されます。これは、ユーザーのディレクトリデータの格納先の iPlanet Directory Server 5.1 上に保持されなくてもかまいません。使用する構成ディレクトリは、o=NetscapeRoot を含む iPlanet Directory Server 5.1 です。

他の iPlanet サーバーをサポートするためにのみ、iPlanet Directory Server 5.1 をインストールする場合、その iPlanet Directory Server 5.1 が構成ディレクトリになります。一般的なディレクトリサービスの一部として使用するために iPlanet Directory Server 5.1 をインストールする場合、企業内に複数の iPlanet Directory Server 5.1 がインストールされていること、構成ディレクトリツリー o=NetscapeRoot を保持する iPlanet Directory Server 5.1 を決定することが必要です。この決定をしてから、iPlanet サーバー (iPlanet Directory Server 5.1 を含む) をインストールする必要があります。

アップグレードを容易にするため、o=NetscapeRoot ツリーのサポート専用の iPlanet Directory Server 5.1 インスタンスを使用する必要があります。このサーバーインスタンスでは、企業のディレクトリデータ管理に関するその他の機能を一切実行するべきではありません。また、このサーバーインスタンスでポート 389 を使用しないでください。このサーバーインスタンスでポート 389 を使用すると、企業のディレクトリデータ管理に使用するホストに iPlanet Directory Server 5.1 をインストールできなくなる場合があります。

通常、構成ディレクトリはトラフィックをごくわずかしか使用しないため、このサーバーインスタンスをより負荷の高い別の iPlanet Directory Server 5.1 インスタンスと共に 1 台のマシンに共存させることができます。ただし、大規模なサイトに大量の iPlanet サーバーをインストールする場合、他の本稼働サーバーのパフォーマンスに影響が出ないよう、構成ディレクトリ専用のローエンドマシンを準備することもできます。iPlanet サーバーの構成によって、構成ディレクトリへの書き込み動作が行われます。大規模なサイトの場合、この書き込み動作により他のディレクトリ動作に短時間影響を与えることになります。

また、どのようなディレクトリ構成を行う場合でも、可用性と信頼性を向上させるため、構成ディレクトリの複製を作成することを検討してください。複製と DNS ラウンドロビンを使用してディレクトリの可用性を向上させる方法については、『iPlanet Directory Server 5.1 導入ガイド』を参照してください。

注意 - 注意 -

構成ディレクトリツリーが破壊された場合、構成ディレクトリに登録した他の iPlanet サーバーすべての再インストールが必要になることがあります。構成ディレクトリを扱う場合、次のガイドラインに従って操作を行な ってください。

ユーザーディレクトリの位置の選択

構成ディレクトリが iPlanet サーバー管理に使用される iPlanet Directory Server 5.1 であるのと同様、ユーザーディレクトリは企業内のユーザーおよびグループのエントリを含む iPlanet Directory Server 5.1 です。

大半のディレクトリ構成では、ユーザーディレクトリと構成ディレクトリは、2 つの別個のサーバーインスタンスにする必要があります。これらのサーバーインスタンスを同じマシンにインストールすることも可能ですが、最良の結果を得るために、構成ディレクトリを別のマシンに配置することを検討してください。

ユーザーディレクトリと構成ディレクトリとでは、ユーザーディレクトリの方が圧倒的に多くのディレクトリトラフィックを受け取ります。このため、最も多くのコンピュータリソースをユーザーディレクトリに割り当てる必要があります。構成ディレクトリが受け取るトラフィックはごくわずかであるため、構成ディレクトリはローエンドのリソースのマシンにインストールできます。

また、ユーザーディレクトリにデフォルトのディレクトリポート (389 と 636) を使用する必要があります。この目的専用のサーバーインスタンスにより構成ディレクトリを管理する場合、構成ディレクトリ用に非標準ポートを使用してください。

構成ディレクトリをネットワーク上にインストールするまで、ユーザーディレクトリをインストールすることはできません。

管理ドメインの選択

管理ドメインを使用すると、iPlanet サーバーを論理的にグループ化してサーバー管理タスクをより容易に分散できます。一般的なシナリオとして、企業内の 2 つの部門がそれぞれ個別の iPlanet サーバーを制御することを望む場合を考えてみましょう。ただし、企業内のすべてのサーバーを集中的に制御することも望まれています。管理ドメインを使用すると、これらの競合する目標を達成することができます。

管理ドメインには次の特性があります。

多くの構成では、管理ドメインを 1 つだけ保持することもできます。この場合、組織を表す名前を選択します。その他の構成の場合、サイトの需要に応じて異なる複数のドメインを保持できます。後者の場合には、そのドメイン内のサーバーを制御する組織に関係した名前を管理ドメインに付けてください。

たとえば、ISP が iPlanet サーバーのインストールおよび管理を求める 3 種類の顧客が存在する場合、3 つの管理ドメインを作成してそれぞれに顧客に関連した名前を付けます。

構成プロセスの概要

iPlanet Directory Server 5.1 をインストールする際、複数存在する構成プロセスの 1 つを使用できます。各構成プロセスを使用して、そのプロセスを理解して、さまざまなコンポーネントを適切な順序で構成することができます。

以下の節では、利用可能な構成プロセスの概要を示します。

構成プロセスの選択

iPlanet Directory Server 5.1 ソフトウェアは、セットアッププログラムの提供する 3 つの異なる構成方法の 1 つを使用して構成できます。

使用する構成プロセスのタイプを決定した後、次の手順で iPlanet Directory Server 5.1 を構成します。

  1. ディレクトリサービスを計画します。ディレクトリツリーを事前に計画することにより、組織の成長に合わせて管理可能でスケーラブルなサービスを設計できます。ディレクトリサービスを計画する際の指針については、『iPlanet Directory Server 5.1 導入ガイド』を参照してください。

  2. この章の説明に従って、iPlanet Directory Server 5.1 を構成します。

  3. ディレクトリ接尾辞およびデータベースを作成します。ディレクトリをこの時点で生成する必要はありません。ただし、すべての主要ルートおよびブランチポイントを含む、ツリーの基本構造を作成する必要があります。ディレクトリエントリの作成方法の詳細については、『iPlanet Directory Server 5.1 管理者ガイド』を参照してください。

  4. iPlanet Directory Server 5.1 の追加インスタンスを作成し、iPlanet Directory Server 5.1 のインスタンス間の複製規約 (replication agreement) を設定して、データの可用性を保証します。

エクスプレス構成および標準構成の使用

エクスプレス構成の使用

iPlanet Directory Server 5.1 を製品の評価またはテスト目的でインストールする場合は、エクスプレス構成を使用します。エクスプレス構成では、サーバーのポート番号やディレクトリ接尾辞を選択することはできません。このため、この構成は本稼働用には使用しないでください。エクスプレス構成を実行するには、以下を実行します。

エクスプレス構成を使用した iPlanet Directory Server 5.1 の構成方法

  1. スーパーユーザーになります。

  2. 以下を入力して、iPlanet Directory Server 5.1 プログラムを実行します。

    # /usr/sbin/directoryserver setup

  3. インストール内容を指定するよう求められたら、Enter キーを押してデフォルトの iPlanet サーバーを指定します。

  4. 構成タイプの入力の指定を求められたら、「Express」を選択します。

  5. 「the user and group to run the servers as」に、このサーバーを実行するユーザーおよびグループの識別情報を入力します。

  6. 「1 Configuration Directory Administrator ID and password」に、完全な権限でコンソールへの認証を行う場合のログイン時の名前およびパスワードを入力します。これは、iPlanet Console 用の root またはスーパーユーザーの ID となります。

最小限の手順でサーバーの構成が行われ、サーバーが起動します。Administration Server が使用するホストおよびポート番号が表示されます。

新規 iPlanet Directory Server 5.1 構成に関して、以下の点に注意してください。

接尾辞 o=NetscapeRoot 以下のディレクトリの内容を、変更してはなりません。最初の接尾辞の下にデータを作成するか、この目的で使用する接尾辞を新規に作成します。iPlanet Directory Server 5.1 用の新規接尾辞の作成方法については、『iPlanet Directory Server 5.1 管理者ガイド』を参照してください。

標準構成の使用

iPlanet Directory Server 5.1 の初回時の構成の大半は、セットアッププログラムの 標準オプションを使用して実行できます。

標準構成を使用した iPlanet Directory Server 5.1 の構成

  1. スーパーユーザーになります。

  2. iPlanet Directory Server 5.1 プログラムを実行します。

    # /usr/sbin/directoryserver setup

  3. インストールする内容を指定するよう求められたら、Enter キーを押してデフォルトの iPlanet サーバーを指定します。

  4. Directory Suite および Administration Service の指定が求められたら、Enter キーを押してすべてデフォルトを選択します。

  5. Enter キーを押して、すべての Directory Suite コンポーネントを選択します。

  6. Enter キーを押して、すべての Administration コンポーネントを選択します。

  7. ホスト名の指定が求められたら、デフォルトを選択するか、別の完全指定ドメイン名を入力します。

    注意 - 注意 -

    インストールプログラムがシステムの DNS 名を検出できない場合、デフォルトのホスト名が不正な名前になる可能性があります。たとえば、システムが NIS を使用する場合、DNS 名が指定されない場合があります。ホスト名は、完全指定のホストおよびドメイン名でなければなりません。デフォルトのホスト名が完全指定のホストおよびドメイン名ではない場合、構成は失敗します。

  8. 次に、セットアッププログラムにより、System User および System Group 名の指定が求められます。その元でサーバーを実行するこれらの識別情報を入力してください。

  9. このディレクトリが o=NetscapeRoot ツリーを保持する場合、構成ディレクトリについて、デフォルトを選択します。それ以外の場合、「Yes」と入力します。次に、構成ディレクトリの接続情報を指定するよう求められます。

    インストール中のサーバーが構成ディレクトリではない場合、この構成を続行するには構成ディレクトリが存在している必要があります。

  10. セットアッププログラムにより、インストール中のサーバーがユーザーデータ用のサーバーであるかどうかが尋ねられます。たいていの場合、デフォルトを選択できます。ただし、このサーバーインスタンスを構成ディレクトリ専用にする場合は、「Yes」と入力する必要があります。

  11. iPlanet Directory Server 5.1 ポートとして、デフォルト (389) を選択します。ただし、別のアプリケーションがすでにこのポートを使用している場合は除きます。

  12. iPlanet Directory Server 5.1 の識別子として一意の値を入力します (通常はデフォルト値でかまいません)。

    この値は、iPlanet Directory Server 5.1 インスタンスのインストール先ディレクトリの名前の一部に使用されます。たとえばマシンのホスト名が phonebook の場合、この名前がデフォルトになります。この名前を選択すると、iPlanet Directory Server 5.1 インスタンスが slapd-phonebook というラベルのディレクトリにインストールされます。

    注意 - 注意 -

    iPlanet Directory Server 5.1 の識別子に、ピリオドを含めることはできません。たとえば example.server.com は、サーバー識別子の有効な名前ではありません。

  13. 「Configuration Directory Administrator ID and password」に、コンソールへの認証を完全な権限で行う場合の、ログイン時の名前およびパスワードを入力します。

  14. ディレクトリ接尾辞として、企業にとって意味のある識別名を入力します。

    この文字列は全組織のディレクトリエントリ名に使用されます。このため、組織を適切に表す名前を選択してください。インターネット DNS 名に対応する接尾辞を使用することをお勧めします。

    たとえば、組織で DNS 名 example.com を使用している場合、ここには dc=example、dc=com と入力します。

  15. 「Directory Manager DN」に、無制限の権限でディレクトリ内容を管理する際に使用する識別名を入力します。

    注 -

    すべての識別名は、UTF-8 文字セット形式で入力する必要があります。ISO-8859-1 など、以前の形式はサポートされていません。

    iPlanet Directory Server 5.1 より前のリリースでは、Directory Manager は root DN とされていました。これは、アクセス制御を無視したい場合に、ディレクトリにバインドするエントリです。この識別名は短くてもかまいません。また、ディレクトリ用に構成された接尾辞に準拠する必要もありません。ただし、ディレクトリ内に格納された実エントリに対応させることはできません。

  16. Directory Manager パスワードに、8 文字以上の値を入力します。

  17. 「Administration Domain」に、このサーバーの所属先ドメインを入力します。

    ドメインの管理を担当する組織を表す、一意の名前を入力する必要があります。

  18. 管理ポート番号として、未使用の値を入力します (たとえば、iPlanet Directory Server 5.1 を示す値として 5100 を使用することもできます)。この値は記録しておき、後で参照できるようにしておきます。

  19. Administration Server を実行するユーザーとして、 root (デフォルト) を入力します。

    最小限の手順でサーバーの構成が行われ、サーバーが起動します。Administration Server が使用するホストおよびポート番号が表示されます。サーバーは次の接尾辞を使用するように構成されます。

    • 構成した接尾辞

    • o=NetscapeRoot

    接尾辞 o=NetscapeRoot 以下のディレクトリの内容を、変更してはなりません。最初の接尾辞の下にデータを作成するか、この目的で使用する接尾辞を新規に作成します。iPlanet Directory Server 5.1 用に接尾辞を新たに作成する方法については、『iPlanet Directory Server 5.1 管理者ガイド』を参照してください。