|
| |
| Sun Java System Identity Synchronization for Windows 1 2004Q3 설치 및 구성 설명서 | |
6장
기존 사용자 동기화Identity Synchronization for Windows 명령줄 유틸리티에는 기존 사용자를 부트스트랩하는 idsync resync 하위 명령이 제공됩니다. 이 명령은 관리자에 특정한 일치 규칙을 사용하여 기존 항목을 링크하고, 원격 디렉토리의 내용으로 빈 디렉토리를 채우며 두 개의 기존 사용자 사이에서 속성 값(비밀번호 포함)을 일괄적으로 동기화합니다.
이 장에서는 idsync resync 하위 명령을 사용하여 새 Identity Synchronization for Windows 설치에 대하여 기존 사용자를 링크하고 동기화하는 방법에 대하여 설명합니다. 또한 이 장에서는 동기화 및 서비스를 시작/정지하는 방법에 대하여 설명합니다. 다음과 같은 내용으로 구성됩니다.
참고
기존 사용자를 연결하고 동기화하기 전에 반드시 코어와 커넥터를 설치해야 합니다.
idsync resync 하위 명령에 대한 자세한 내용은 부록 A, "Identity Synchronization for Windows 명령줄 유틸리티 사용."을 참조하십시오.
기존 사용자 입력 내용에 따른 설치 후 단계는 에서 간단히 설명합니다.
idsync resync 사용여기에서는 링크 및 동기화 과정을 설명하며 idsync resync 하위 명령을 사용하기 위한 적절한 구문을 설명하고 해당 프로세스가 성공적으로 완료되었는지 확인하는 방법에 대하여 설명합니다. 다음과 같은 내용으로 구성됩니다.
사용자 재동기화
idsync resync 명령을 사용하여 기존 항목을 링크하고, 사용자를 만들고, 두 디렉토리 소스에서 사용자 속성을 동기화할 수 있습니다. 특히 idsync resync 명령을 사용하여 다음 작업을 할 수 있습니다.
- 기존 Active Directory 또는 Windows NT SAM 도메인 사용자로 빈 Directory Server 입력
- 기존의 두 디렉토리 소스에서 모든 사용자를 링크하고 모든 사용자 항목 속성 값(비밀번호 제외)을 동기화
- 두 디렉토리 소스가 동기화되지 않는 경우 사용자 항목 동기화
- Active Directory 및 Windows NT SAM 커넥터 객체 캐시 데이터베이스를 "준비"하며, 이에 따라 Active Directory 또는 Windows NT SAM 사용자 항목의 셰도우 사본을 유지합니다.
비밀번호의 동기화에는 idsync resync 명령을 사용할 수 없습니다(Directory Server 비밀번호를 무효화하여 Active Directory 환경에서 요청시 비밀번호 동기화가 실행되도록 하는 경우 제외).
사용자 연결
Active Directory 및 Directory Server에 사용자를 입력하고 Active Directory 및 Directory Server를 설치한 후(동기화를 시작하기 전), 반드시 idsync resync 명령을 사용하여 두 디렉토리 소스에서 모든 사용자가 링크되었는지 확인해야 합니다.
링크 설명 Identity Synchronization for Windows는 다음의 고유하며 변경 불가능한 식별자를 저장하여 Directory Server와 Windows에 있는 동일한 사용자를 상호 관련시킵니다.
변경 불가능한 식별자를 저장하면 Identity Synchronization for Windows가 uid 및 cn 등의 다른 주요 식별자를 동기화할 수 있습니다. dspswuserlink 속성은 다음의 경우 입력됩니다.
- Identity Synchronization for Windows가 Directory Server에 새 사용자를 생성할 경우(
Windows에서 새 사용자가 동기화된 후 또는 idsync resync -c를 실행하여 새 사용자가 동기화된 후)- Identity Synchronization for Windows가 Windows에 새 사용자를 만드는 때
(
idsync resync -c -o Sun을 실행하여 Directory Server에서 새 사용자를 동기화한 후)- 이 장에서 설명한 것과 같이 idsync resync -c -f를 실행하여 이미 Directory Server와 Windows에 있는 항목을 링크합니다.
기존 사용자를 링크하려면 반드시 두 디렉토리 사이에서 사용자를 일치시키는 규칙을 제공해야 합니다. 예를 들어 두 디렉토리에서 사용자 항목을 링크하려면 두 디렉토리 항목에서 이름과 성이 반드시 일치해야 합니다.
사용자 항목을 연결하고 데이터 충돌을 해결하는 것은 과학이라기보다 기법에 가깝습니다. 상반되는 디렉토리 소스에서 두 사용자를 연결할 때 idsync resync 하위 명령이 실패하고 연결된 디렉토리의 데이터 일관성에 따라 크게 달라지는 이유는 여러 가지입니다.
idsync resync를 사용하는 한 가지 전략은 -n 인수를 사용하는 것으로, 이 경우 "안전 모드"로 실행되므로 실제 변경 내용 없이 효과를 미리 확인할 수 있습니다. 안전 모드에서 실행하면 사용자 일치 기준이 최적화될 때까지 점진적으로 링크 기준을 조정할 수 있습니다.
그러나 연결 정확도와 연결 범위 사이에는 적당한 균형이 이루어져야 합니다.
예를 들어 두 디렉토리 소스에 직원 ID 또는 주민번호가 있는 경우 이 번호만 포함하는 연결 기준으로 시작할 수 있습니다. 또한 연결 정확도를 향상시키기 위하여 기준에 성을 포함시킬 수 있습니다. 그러나 데이터의 성 값이 일관적이지 않으므로 ID만으로는 일치되지 않기 때문에 연결이 끊어질 수 있습니다. 링크에 실패하는 항목에 대하여 데이터 청소 프로세스를 실행해야 할 수 있습니다.
idsync resync 인수
idsync resync 명령에는 다음 인수를 사용할 수 있습니다.
표 6-2) idsync resync 사용법
인수
의미
-f <filename>
Identity Synchronization for Windows가 제공한 지정된 XML 구성 파일 중 하나를 사용하여 링크되지 않은 사용자 항목 사이의 링크를 만듭니다.
(부록 B, "LinkUsers XML 문서 예제" 참조)-k
링크되지 않은 사용자 사이에만 링크를 만듭니다(사용자를 만들거나 기존 사용자를 수정하지 않음). 반드시 이 인수를 -f 인수와 조합하여 사용해야 합니다.
-a <ldap-filter>
동기화할 항목을 제한하는 LDAP 필터를 지정합니다.
필터는 재동기화 작업의 소스에 적용됩니다.
예를 들어 idsync resync -o Sun -a ?sid=*?/span> 지정하면 uid가 있는 모든 Directory Server 사용자가 Active Directory로 동기화됩니다.-l <sul-to-sync>
동기화할 개별 동기화 사용자 목록(SUL)을 지정합니다.
참고: 복수 SUL ID를 지정하여 복수 SUL을 재동기화하거나, SUL ID를 지정하지 않는 경우 프로그램은 모든 SUL을 재동기화합니다.
-o (Sun | Windows)
재동기화 작업의 소스를 지정합니다.
(기본값은 Windows입니다.)
-c
대상에서 해당 사용자를 찾을 수 없는 경우 사용자 항목을 자동으로 만듭니다.
참고: Identity Synchronization for Windows는 해당 방향으로 생성을 구성하지 않은 경우에도 사용자를 만들려고 시도합니다. 예를 들어 Identity Synchronization for Windows가 Windows에서 Sun으로(또는 그 반대로) 동기화하도록 구성하지 않았지만 -c 인수를 지정하는 경우 Identity Synchronization for Windows는 검색되지 않은 사용자를 만들려고 시도합니다.
-i (ALL_USERS | NEW_USERS | NEW_LINKED_USERS)
Sun 디렉토리 소스에서 동기화된 사용자 항목의 비밀번호를 재설정하고 이후 사용자 비밀번호가 필요할 때 해당 사용자에 대하여 현재 도메인 내의 비밀번호 동기화를 수행하도록 합니다.
-u
객체 캐시를 업데이트합니다.
이 인수는 Windows 디렉토리 소스용 사용자 항목의 로컬 캐시만 업데이트하며, 따라서 이미 존재하는 Windows 사용자가 Directory Server에서 생성되지 않도록 방지합니다. 이 인수를 사용하는 경우 Windows 사용자 항목이 Directory Server 사용자 항목과 동기화되지 않습니다. 이 인수는 resync 소스가 Windows인 경우에만 유효합니다.
-x
소스 항목과 일치하지 않는 모든 대상 사용자 항목을 삭제합니다.
-n
실제 변경 없이 작업의 효과를 미리 볼 수 있도록 안전 모드에서 실행합니다.
는 서로 다른 인수를 조합하는 결과의 예입니다. (h, -p, -D, -w, - 및 -s 인수는 기본값으로 간략히 하기 위하여 생략되었습니다.)
중앙 로그에서 결과 확인모든 idsync resync 작업의 결과는 이름이 resync.log인 특수 중앙 로그에 보고됩니다. 이 로그에는 적절히 링크 및 동기화된 사용자, 링크에 실패한 사용자 및 이전에 링크된 사용자의 목록이 표시됩니다.
동기화 시작 및 정지동기화를 시작 및 정지해도 개변 java 프로세스, 데몬 및 서비스가 시작 또는 정지되지는 않습니다. 동기화를 시작한 후 동기화를 정지하면 해당 작업만 일시 정지됩니다. 동기화를 다시 시작하면 동기화가 정지된 곳에서 계속되므로 변경 내용을 잃지는 않습니다.
동기화를 시작 또는 정지하려면 다음과 같이 합니다.
- Sun Java 시스템 서버 콘솔 탐색창에서 Identity Synchronization for Windows 인스턴스를 선택합니다.
- Identity Synchronization for Windows 창이 표시되면 오른쪽 상단의 Open 버튼을 누릅니다.
- 프롬프트가 표시되면 구성 비밀번호를 입력합니다.
그림 6-1) 동기화 시작 및 정지
- 동기화를 시작하려면 Start Synchronization을 누릅니다.
- 동기화를 정지하려면 Stop Synchronization을 누릅니다.
참고
또한 idsync startsync 및 idsync stopsync 명령줄 유틸리티를 사용하여 동기화를 시작 및 정지할 수 있습니다. 자세한 내용은 "startsync 사용" 페이지 318 및 "stopsync 사용" 페이지 319를 참조하십시오.
서비스 시작 및 정지Identity Synchronization for Windows 및 Message Queue는 Solaris의 경우 데몬으로 설치되며 Windows의 경우 서비스로 설치됩니다. 이들 프로세스는 시스템이 부트될 때 자동으로 시작되나, 또한 다음과 같이 직접 시작 및 정지할 수 있습니다.
참고
Identity Synchronization for Windows 데몬/서비스를 정지하고 다시 시작하기 전에 30초의 여유를 두십시오. 커넥터가 완전히 종료되려면 몇 초의 시간이 걸릴 수 있습니다.
