test

Solaris のシステム管理 (ネーミングとディレクトリサービス : DNS、NIS、LDAP 編)

パート IV Sun ONE Directory Server の構成

次の章では、SunTM ONE Directory Server (以前の名称は、iPlanetTM Directory Server) の構成方法について説明します。

第 11 章 Sun ONE Directory Server の構成

この章では、Sun ONE Directory Server 5.1 (以前の名称は iPlanet Directory Server 5.1) の構成方法について説明します。 Solaris LDAP ネームサービスクライアントで使用するために Sun ONE Directory Server を構成する前に、この章に記載された手順を実行する必要があります。

注 –

Sun ONE Directory Server 以外のディレクトリサーバーを使用する場合は、この章を読む必要はありません。 他のディレクトリサーバーを Solaris LDAP ネームサービスクライアントと共に使用する場合の基本要件のリストについては、汎用ディレクトリサーバーの要件 を参照してください。

docs.sun.com の Web サイトで、Sun ONE Directory Server のドキュメントを入手できます。

Sun ONE Directory Server 5.1 (以前の名称は iPlanet Directory Server 5.1) に関する詳細な情報については、次のマニュアルを参照してください。

この章の内容は次のとおりです。

構成の準備

Sun ONE Directory Server の構成を開始する前に、さまざまなコンポーネント、設計および構成上の決定事項について理解しておく必要があります。

Sun ONE Directory Server を構成する上で、以下の節で説明されている概念をよく理解しておく必要があります。

Sun ONE Directory Server の『導入ガイド』には、ディレクトリの基本的な概念およびディレクトリサービスの設計および配備を成功させるのに役立つガイドラインが説明されています。

構成コンポーネント

Sun ONE Directory Server には、次のソフトウェアコンポーネントが含まれます。これらのコンポーネントは、Solaris ディスクスイート全部をインストールすると、デフォルトでインストールされます。

構成の選択

ディレクトリサーバー (Directory Server) の構成時に、基本情報の指定が求められます。 構成作業を開始する前に、これらの基本的なパラメータの構成方法を決定しておく必要があります。 実行する構成タイプに応じて、次の情報を指定するよう求められます。

一意のポート番号の選択

ポート番号には、1 〜 65535 までの任意の番号を指定できます。Sun ONE Directory Server 用のポート番号を選択する際は、次の点を考慮してください。

注 –

LDAP ネームサービスクライアントが SSL 暗号化を使用している場合、デフォルトのポート番号 389 と 636 を使用する必要があり、そのためサーバーを root で実行することになります。 詳細は、Transport Layer Security (TLS) を参照してください。

Sun ONE Directory Server で SSL 経由の LDAP (LDAPS) を設定する方法については、ご使用のバージョンの Sun ONE Directory Server の『管理者ガイド』を参照してください。

ユーザーとグループの選択

セキュリティ上の理由から、通常のユーザー権限で本稼働用サーバーを実行するのが常に最善です。 このため、root 権限でディレクトリサーバーを実行するのは避けてください。 ただし、ディレクトリサーバーのデフォルトポートを使用する場合は、root 権限でディレクトリサーバーを実行する必要があります。 ディレクトリサーバーの起動が Administration Server により実行される場合、Administration Server は root または Sun ONE Directory Server と同じユーザーで実行する必要があります。

このため、以下の目的に対してどのユーザーアカウントを使用するかを決定する必要があります。

すべての Sun ONE サーバー用の共通グループ (gid servers など) を作成して、必要に応じてファイルをサーバー間で共有できるようにする必要があります。

Sun ONE Directory Server および Administration Server をインストールする前に、使用するユーザーおよびグループのアカウントがシステムに存在することを確認してください。

認証エンティティの定義

Sun ONE Directory Server および Administration Server を構成する際、さまざまなユーザー名、識別名 (DN)、およびパスワードの入力が求められます。 このログインおよびバインドエンティティのリストは、実行する構成タイプによって異なります。

ディレクトリ接尾辞の選択

ディレクトリ接尾辞は、ディレクトリツリー内の最初のエントリを表すディレクトリエントリです。 組織のデータが入るツリー用として、ディレクトリ接尾辞が 1 つ以上必要です。 一般に、組織で使用する DNS ホスト名に対応するディレクトリ接尾辞を選択します。 たとえば、組織で DNS 名 example.com を使用する場合、接尾辞 dc=example、dc=com を選択します。

ディレクトリサービス用の接尾辞を計画する際の詳細については、ご使用のバージョンの Sun ONE Directory Server の『導入ガイド』を参照してください。

構成ディレクトリの位置の選択

Sun ONE Directory Server を含む多数の Sun ONE サーバーは、Sun ONE Directory Server のインスタンスを使用して構成情報を格納します。 この情報は、o=NetscapeRoot ディレクトリツリーに格納されます。 このディレクトリツリーは、ユーザーのディレクトリデータの格納先と同じ Sun ONE Directory Server 上に保持されなくてもかまいません。 使用する構成ディレクトリは、o=NetscapeRoot を含む Sun ONE Directory Server です。

他の Sun ONE サーバーをサポートするためにだけ、Sun ONE Directory Server をインストールする場合、その Sun ONE Directory Server が構成ディレクトリになります。 一般的なディレクトリサービスの一部として使用するために Sun ONE Directory Server をインストールする場合、組織内に複数の Sun ONE Directory Server がインストールされていること、構成ディレクトリツリー o=NetscapeRoot を保持するサーバーを決定することが必要です。 この決定をしてから、Sun ONE サーバー (Sun ONE Directory Server を含む) をインストールする必要があります。

アップグレードを容易にするため、o=NetscapeRoot ツリーのサポート専用の Sun ONE Directory Server インスタンスを使用する必要があります。このサーバーインスタンスでは、企業のディレクトリデータ管理に関するその他の機能を一切実行するべきではありません。 また、このサーバーインスタンスでポート 389 を使用しないでください。このサーバーインスタンスでポート 389 を使用すると、組織のディレクトリデータ管理に使用するホストに Sun ONE Directory Server をインストールできなくなる場合があります。

通常、構成ディレクトリはトラフィックをごくわずかしか使用しないため、このサーバーインスタンスをより負荷の高い別の Sun ONE Directory Server インスタンスと共に 1 台のマシンに共存させることができます。 ただし、大規模なサイトに大量の Sun ONE サーバーをインストールする場合、本稼働サーバーのパフォーマンスに影響が出ないよう、構成ディレクトリ専用のローエンドマシンを準備することもできます。 Sun ONE サーバーの構成によって、構成ディレクトリへの書き込み動作が行われます。 大規模なサイトの場合、この書き込み動作により他のディレクトリ動作に短時間影響を与えることになります。

また、どのようなディレクトリ構成を行う場合でも、可用性と信頼性を向上させるため、構成ディレクトリの複製を作成することを検討してください。 複製を使用してディレクトリの可用性を向上させるための詳細は、ご使用のバージョンの Sun ONE Directory Server の『導入ガイド』を参照してください。

注意 – 注意 –

構成ディレクトリツリーが破壊された場合、構成ディレクトリに登録した他の Sun ONE サーバーすべての再インストールが必要になることがあります。 構成ディレクトリを扱う場合、次のガイドラインに従って操作を行なってください。

ユーザーディレクトリの位置の選択

構成ディレクトリが、サーバー管理で使用されるディレクトリサーバーインスタンスであるのと同様に、ユーザーディレクトリは、ユーザーの所属組織におけるユーザーとグループのエントリを含むディレクトリサーバーインスタンスです。 構成ディレクトリをネットワーク上にインストールするまで、ユーザーディレクトリをインストールすることはできません。

構成ディレクトリはユーザーディレクトリと同じディレクトリサーバーインスタンス上に存在できます。 ただし、多くのディレクトリ構成では、ユーザーディレクトリと構成ディレクトリは、2 つの別々のサーバーインスタンスにする必要があります。 これらのサーバーインスタンスは同じマシンにインストールすることが可能です。 しかしながら、最良の結果を得るために、構成ディレクトリを別のマシンに配置することを検討してください。

ユーザーディレクトリと構成ディレクトリとでは、ユーザーディレクトリの方が圧倒的に多くのディレクトリトラフィックを受け取ります。 このため、最も多くのコンピュータリソースをユーザーディレクトリに割り当てる必要があります。 構成ディレクトリが受け取るトラフィックはごくわずかであるため、構成ディレクトリはローエンドのリソースのマシンにインストールできます。

また、ユーザーディレクトリにデフォルトのディレクトリポート (389 と 636) を使用する必要があります。 この目的専用のサーバーインスタンスにより構成ディレクトリを管理する場合、構成ディレクトリ用に非標準ポートを使用してください。

管理ドメインの選択

管理ドメインを使用すると、Sun ONE サーバーを論理的にグループ化してサーバー管理タスクをより容易に分散できます。 一般的なシナリオとして、企業内の 2 つの部門が個別の Sun ONE サーバーを制御することを望む場合を考えてみましょう。 ただし、企業内のすべてのサーバーを集中的に制御することも望まれています。 管理ドメインを使用すると、これらの競合する目標を達成することができます。

管理ドメインには次の特性があります。

多くの構成では、管理ドメインを 1 つだけ保持することもできます。 この場合、組織を表す名前を選択します。 その他の構成の場合、サイトの需要に応じて異なる複数のドメインを保持できます。 後者の場合には、そのドメイン内のサーバーを制御する組織に関係した名前を管理ドメインに付けてください。

たとえば、ISP に Sun ONE サーバーのインストールおよび管理を求める 3 種類の顧客が存在する場合、3 つの管理ドメインを作成してそれぞれに顧客に関連した名前を付けます。

構成プロセスの概要

構成プロセスには、次の手順があります。

  1. ディレクトリサービスを計画します。 ディレクトリツリーを事前に計画することにより、組織の成長に合わせて簡単に管理可能でスケーラブルなサービスを設計できます。 ディレクトリサービスを計画する際の指針については、ご使用のバージョンの Sun ONE Directory Server の『導入ガイド』を参照してください。

  2. 使用する Sun ONE Directory Server の構成方法を選択します。 Sun ONE Directory Server の構成方法のリストについては、ディレクトリサーバーの構成方法の選択 を参照してください。

  3. この章での説明に従って Sun ONE Directory Server を構成します。

  4. (オプション) Sun ONE Administration Server と Sun ONE Server Console を設定します。 Sun ONE Directory Server 5.1 では、Sun ONE Administration Server および Sun ONE Server Console は、ディレクトリサーバーのインストール処理中に設定されます。

  5. ディレクトリ接尾辞およびデータベースを作成します。 ディレクトリをこの時点で生成する必要はありません。 ただし、すべての主要ルートおよびブランチポイントを含む、ツリーの基本構造を作成する必要があります。 ディレクトリエントリを作成する別の方法についての詳細は、ご使用のバージョンの Sun ONE Directory Server の『管理者ガイド』を参照してください。

  6. Sun ONE Directory Server の追加インスタンスを作成し、インスタンス間の複製規約を設定して、データの可用性を保証します。 追加のディレクトリサーバーインスタンスを作成して、複製規約を設定する方法についての詳細は、ご使用のバージョンの Sun ONE Directory Server の『管理者ガイド』を参照してください。

ディレクトリサーバーの構成方法の選択

構成プログラムがサポートする 3 つの異なる構成方法の 1 つを使用して、Sun ONE Directory Server ソフトウェアを構成できます。

サーバーの構成

情報を事前に準備することにより、構成プロセスをより簡単に完了できます。 サーバーを構成する前に、表 11–1の標準インストール用にまとめられた、インストール情報を収めたワークシートの作成を検討してください。

Sun ONE Directory Server の構成ワークシート

表 11–1 標準の構成中に必要な基本情報

説明 

例 

インストール用情報 

管理ドメイン 

example.com

  

Administration Server のポート番号 

5201

  

ディレクトリ管理者の ID 

admin

  

ディレクトリ管理者のパスワード 

$3kReT4wD

  

Directory Manager DN [すべての DN は UTF-8 文字セット形式で入力しなければなりません。 詳細については、RFC 2253 を参照してください。 ISO-8859-1 など、以前の形式はサポートされていません。 ] (ディレクトリのスーパーユーザー)

cn=Directory Manager

  

Directory Manager のパスワード (8 文字以上) 

#$8Yk$-%^

  

ディレクトリサーバーのポート番号 (1〜65535、1 と 65535 を含む) [1024 より小さいポート番号は IANA (Internet Assigned Numbers Authority) によって割り当てられます。1024 より小さいポート番号を使 用するには、スーパーユーザーとしてインストールします。]

389 (デフォルト LDAP)

636 (デフォルト LDAP/SSL)

  

完全指定のホスト識別名 

dirserv.example.com

  

(オプション) 既存の構成ディレクトリを使用する場合、構成ディレクトリのホスト、ポート、バインド ID、およびパスワード 

 

config.example.com

389

admin

$3kReT4wD

  

(オプション) 既存のユーザーディレクトリを使用する場合、ユーザーディレクトリのホスト、ポート、バインド ID、パスワード、および接尾辞 

usergroup.example.com

389

cn=Directory Manager

#$8Yk$-%^

dc=example, dc=com

  

サーバー ID (ピリオドやスペースは使用不可) 

dirserv

  

サーバーの接尾辞 (ディレクトリの内容を保持する 1 つ以上の接尾辞) 

dc=example,dc=com

  

サーバーのグループ ID [適切なユーザーおよびグループを作成する必要があります。]

グループ ID 番号ではなく、名前を使用する 

servers

  

サーバーのユーザー ID 

dsuser

  

Sun ONE Directory Server 5.1 の構成プロセス

Sun ONE Directory Server 5.1 には、以下の構成方法のいずれかを選択できます。

各構成方法の詳細は、ディレクトリサーバーの構成方法の選択 を参照してください。

エクスプレス構成を使用して Sun ONE Directory Server 5.1 を構成する方法

Sun ONE Directory Server 5.1 を製品の評価またはテスト目的でインストールする場合は、エクスプレス構成を使用します。 エクスプレス構成では、サーバーのポート番号やディレクトリ接尾辞を選択することはできません。このため、この構成は本稼働用には使用しないでください。 エクスプレス構成を実行するには、以下を実行します。

  1. スーパーユーザーになります。

  2. 以下を入力して、Sun ONE Directory Server 5.1 プログラムを実行します。 


    # /usr/sbin/directoryserver setup

  3. インストール内容を指定するよう求められたら、Enter キーを押してデフォルトの Sun ONE サーバーを指定します。

  4. 構成タイプの入力の指定を求められたら、「Express」を選択します。

  5. サーバーを実行するユーザーとグループに、このサーバーを実行するユーザーおよびグループの識別情報を入力します。

  6. 構成ディレクトリ管理 ID とパスワードに、コンソールへの認証を完全な権限で行う場合の、ログイン時の名前およびパスワードを入力します。 これは、Sun ONE Server Console 用の root またはスーパーユーザーの ID となります。

最小限の手順でサーバーの構成が行われ、サーバーが起動します。 Administration Server が使用するホストおよびポート番号が表示されます。

Sun ONE Directory Server 5.1 の新規構成に関しては、以下の点に注意してください。

接尾辞 o=NetscapeRoot 以下のディレクトリの内容を、変更してはなりません。 最初の接尾辞の下にデータを作成するか、この目的で使用する接尾辞を新規に作成します。 Sun ONE Directory Server 5.1 用の新規接尾辞の作成方法については、『Sun ONE Directory Server 5.1 管理者ガイド』を参照してください。

標準構成を使用して Sun ONE Directory Server 5.1 を構成する方法

Sun ONE Directory Server 5.1 の初回時の構成の大半は、セットアッププログラムの標準オプションを使用して実行できます。

  1. スーパーユーザーになります。

  2. Sun ONE Directory Server 5.1 プログラムを実行します。 


    # /usr/sbin/directoryserver setup

  3. インストールする内容を指定するよう求められたら、Enter キーを押してデフォルトの Sun ONE サーバーを指定します。

  4. Directory Suite および Administration Service を指定するよう求められたら、Enter キーを押してすべてデフォルトを選択します。

  5. Enter キーを押して、すべての Directory Suite コンポーネントを選択します。

  6. Enter キーを押して、すべての Administration コンポーネントを選択します。

  7. ホスト名の指定が求められたら、デフォルトを選択するか、別の完全指定ドメイン名を入力します。

    注意 – 注意 –

    インストールプログラムがシステムの DNS 名を検出できない場合、デフォルトのホスト名が不正な名前になる可能性があります。 たとえば、システムが NIS を使用する場合、DNS 名が指定されない場合があります。 ホスト名は、完全指定のホストおよびドメイン名でなければなりません。 デフォルトのホスト名が完全指定のホストおよびドメイン名ではない場合、構成は失敗します。

  8. 次に、セットアッププログラムにより、System User および System Group 名の指定が求められます。 その元でサーバーを実行するこれらの識別情報を入力してください。

  9. このディレクトリが o=NetscapeRoot ツリーを保持する場合、構成ディレクトリについて、デフォルトを選択します。 それ以外の場合、「Yes」と入力します。 次に、構成ディレクトリの接続情報を指定するよう求められます。

    インストール中のサーバーが構成ディレクトリではない場合、この構成を続行するには構成ディレクトリが存在している必要があります。

  10. セットアッププログラムにより、インストール中のサーバーがユーザーデータ用のサーバーであるかどうかが尋ねられます。 たいていの場合、デフォルトを選択できます。 ただし、このサーバーインスタンスを構成ディレクトリ専用にする場合は、「Yes」と入力する必要があります。

  11. Sun ONE Directory Server 5.1 ポートとして、デフォルト (389) を選択します。 ただし、別のアプリケーションがすでにこのポートを使用している場合は除きます。

  12. Sun ONE Directory Server 5.1 の識別子として一意の値を入力します (通常はデフォルト値でかまいません)。

    この値は、Sun ONE Directory Server 5.1 インスタンスのインストール先ディレクトリの名前の一部に使用されます。 たとえば、マシンのホスト名が phonebook の場合、この名前がデフォルトになります。この名前を選択すると、Sun ONE Directory Server 5.1 インスタンスが slapd-phonebook というラベルのディレクトリにインストールされます。

    注意 – 注意 –

    Sun ONE Directory Server 5.1 の識別子にピリオドを含めることはできません。 たとえば example.server.com は、サーバー識別子の有効な名前ではありません。

  13. 構成ディレクトリ管理 ID とパスワードに、コンソールへの認証を完全な権限で行う場合の、ログイン時の名前およびパスワードを入力します。

  14. ディレクトリ接尾辞として、企業にとって意味のある識別名を入力します。

    この文字列は全組織のディレクトリエントリ名に使用されます。 このため、組織を適切に表す名前を選択してください。 インターネット DNS 名に対応する接尾辞を使用することをお勧めします。

    たとえば、組織で DNS 名 example.com を使用している場合、ここには dc=example, dc=com と入力します。

  15. 「Directory Manager DN」に、無制限の権限でディレクトリ内容を管理する際に使用する識別名を入力します。

    注 –

    すべての識別名は、UTF-8 文字セット形式で入力する必要があります。 ISO-8859-1 など、以前の形式はサポートされていません。

    Sun ONE Directory Server 5.1 以前のリリースでは、Directory Manager は root DN と呼ばれていました。 これは、アクセス制御を無視したい場合に、ディレクトリにバインドするエントリです。 この識別名は短くてもかまいません。また、ディレクトリ用に構成された接尾辞に準拠する必要もありません。 ただし、ディレクトリ内に格納された実エントリに対応させることはできません。

  16. Directory Manager パスワードに、8 文字以上の値を入力します。

  17. 「Administration Domain」に、このサーバーの所属先ドメインを入力します。

    ドメインの管理を担当する組織を表す、一意の名前を入力する必要があります。

  18. 管理ポート番号として、未使用の値を入力します (たとえば、Sun ONE Directory Server 5.1 を示す値として 5100 を使用することもできます)。 この値は記録しておき、後で参照できるようにしておきます。

  19. Administration Server を実行するユーザーとして、root (デフォルト) を入力します。

    最小限の手順でサーバーの構成が行われ、サーバーが起動します。 Administration Server が使用するホストおよびポート番号が表示されます。 サーバーは次の接尾辞を使用するように構成されます。

    • 構成した接尾辞

    • o=NetscapeRoot

    接尾辞 o=NetscapeRoot 以下のディレクトリの内容を、変更してはなりません。 最初の接尾辞の下にデータを作成するか、この目的で使用する接尾辞を新規に作成します。 Sun ONE Directory Server 5.1 用の新規接尾辞の作成方法については、『Sun ONE Directory Server 5.1 管理者ガイド』を参照してください。