|
| |
| Sun Java System Communications Services 6 2005Q1 Delegated Administrator 설명서 | |
1장
Delegated Administrator 개요Communications Services Delegated Administrator 유틸리티 및 콘솔에서는 Messaging Server와 같은 Communications Services 응용 프로그램이 사용하는 LDAP 디렉토리에서 사용자, 그룹, 도메인 및 자원을 관리할 수 있습니다.
이 장은 다음 내용으로 구성되어 있습니다.
소개Delegated Administrator를 사용하면 LDAP 디렉토리에서 지정된 조직을 관리할 권한이 있는 더 낮은 수준의 관리자들에게 관리 작업을 분산시킬 수 있습니다. 사용자 관리를 위임하는 기능을 통해 다음과 같은 이점을 얻을 수 있습니다.
Delegated Administrator는 디렉토리에서 사용자 및 조직을 관리할 수 있는 두 개의 인터페이스를 제공합니다.
이 인터페이스에 대한 설명은 다음 절에 요약되어 있습니다.
Delegated Administrator 유틸리티
Delegated Administrator 유틸리티는 Messaging Server 및 Calendar Server 사용자를 관리하는 명령줄 도구의 집합입니다(이전 릴리스에서는 Delegated Administrator 유틸리티를 User Management Utility라고 불렀음).
Delegated Administrator 유틸리티를 사용하여 조직, 사용자, 그룹 및 달력 자원을 관리할 수 있습니다.
commadmin 명령으로 이 유틸리티를 호출합니다.
commadmin 유틸리티에서 사용 가능한 구문 및 옵션에 대한 자세한 내용은 5장, "명령줄 유틸리티"를 참조하십시오.
Delegated Administrator 콘솔
Delegated Administrator 콘솔은 Messaging Server 사용자 및 조직을 관리하는 그래픽 사용자 인터페이스(GUI)입니다.
그룹 및 달력 자원을 관리하려면 Delegated Administrator 유틸리티를 사용합니다. Delegated Administrator 콘솔은 사용하지 마십시오. 이번 릴리스의 Delegated Administrator에서는 그룹 및 달력 자원 관리에 콘솔을 사용할 수 없습니다.
콘솔 사용 방법에 대한 자세한 내용은 Delegated Administrator 콘솔 온라인 도움말을 참조하십시오.
Delegated Administrator 및 LDAP 디렉토리
Delegated Administrator에서는 LDAP 디렉토리를 수정하여 사용자를 관리할 수 있습니다. 디렉토리를 직접 수정하지 않아도 됩니다. 하지만 사용자 항목에 추가된 Delegated Administrator 속성 및 디렉토리에서의 상위 수준 노드를 알아두면 유용할 수 있습니다.
Delegated Administrator를 지원하는 LDAP 스키마 객체 클래스 및 속성에 대한 자세한 내용은 Sun Java System Communications Services Schema Reference의 “5장: Communications Services Delegated Administrator(Schema 2)가 사용하는 클래스 및 속성”을 참조하십시오.
사용자 관리 시나리오비즈니스 요구 사항에 따라 관리자 1명이 관리하는 간단한 디렉토리 구조를 만들거나 관리 작업이 하위 수준의 관리자에게 위임되는 다층 디렉토리 계층을 만들 수 있습니다.
이 절에서는 복잡도가 다른 3개의 시나리오를 간략하게 소개합니다. 그런 다음 이러한 시나리오의 요구 사항을 지원하기 위해 Delegated Administrator가 제공하는 관리자 역할 및 디렉토리 구조를 설명합니다.
1계층 구조
이 시나리오에서는 하나의 회사 또는 조직에서 수백 또는 수천 명의 직원이나 사용자를 지원할 수 있습니다. 모든 사용자는 하나의 조직으로 그룹화됩니다. 관리자 역할 1명이 전체 그룹을 조회하고 관리합니다. 관리 작업의 위임은 발생하지 않습니다.
그림 1-1에서는 단일 조직, 1계층 구조에서 관리자 역할의 예를 보여 줍니다.
그림 1-1
1계층 구조에서의 관리자 역할
1계층 구조에서 관리자는 최상위 관리자(TLA)라고 합니다.
그림 1-1의 예에서 TLA는 사용자를 직접 관리합니다(사용자 1, 사용자 2, 사용자 n까지).
디렉토리에 조직 하나가 존재한다면 필요한 관리자는 TLA뿐입니다.
자세한 내용은 다음 절을 참조하십시오.
2계층 구조
이 시나리오에서는 인터넷 서비스 공급업체(ISP)와 같은 대기업이 업체에게 서비스를 제공합니다. 업체마다 고유의 도메인이 있으며, 이 도메인은 수천 명 또는 수만 명의 사용자들로 구성될 수 있습니다.
이 시나리오에서는 1명의 최상위 관리자(TLA)에게 모든 도메인 관리를 맡기지 않고 하위 수준의 관리자에게 작업을 위임할 수 있습니다.
2계층 구조에서는 디렉토리가 여러 조직으로 구성됩니다. 호스팅되는 도메인마다 별도의 조직이 생성됩니다.
각 조직에는 조직 관리자(OA)가 지정됩니다. OA는 해당 조직의 사용자들을 담당합니다. OA는 자신이 담당하는 조직을 벗어나 디렉토리 정보를 조회하거나 수정할 수 없습니다.
그림 1-2에서는 2계층에서의 관리자 역할 예를 보여 줍니다.
그림 1-2
2계층 구조에서의 관리자 역할
그림 1-2의 예에서 TLA는 OA1, OA2를 비롯하여 OAn까지 만들고 관리합니다. 각 OA는 하나의 조직에 속한 사용자를 관리합니다.
디렉토리에서 여러 조직이 필요하다면 각 조직 및 그 조직의 사용자를 관리할 TLA 및 OA를 만들어야 합니다.
자세한 내용은 다음 절을 참조하십시오.
3계층 구조
이 시나리오에서는 ISP와 같은 회사가 수백 또는 수천개의 작은 업체들에게 서비스를 제공하며, 업체마다 각자의 조직이 필요합니다.
ISP는 메일 서비스를 필요로 하는 수백만 명의 최종 사용자를 지원할 수도 있고, 최종 사용자 업체를 관리하는 타사 대리점과 협력할 수도 있습니다.
매일 수십 개의 새 조직을 디렉토리에 추가해야 하는 경우도 있습니다.
2계층 구조에서는 TLA가 그러한 새 조직을 모두 만들어야 합니다.
3계층 구조에서는 관리 작업이 하위 관리자에게 위임됩니다. 이렇게 하위 단계로 위임되면 대형 LDAP 디렉토리가 지원하는 대규모 고객 기반의 관리가 용이해질 수 있습니다.
이 계층을 지원하기 위해 Delegated Administrator는 서비스 공급업체 관리자(SPA)라는 새로운 역할을 도입합니다.
SPA의 권한 범위는 TLA와 OA의 중간 정도에 해당됩니다.
그림 1-3에서는 3계층 구조에서의 관리자 역할 예를 보여 줍니다.
그림 1-3
3계층 구조에서의 관리자 역할
3계층 구조에서 TLA는 관리 권한을 서비스 공급업체 관리자(SPA)에게 위임합니다. SPA는 새 고객에게 대해 비즈니스 조직을 만들고 그 비즈니스 조직에 속한 사용자를 관리할 조직 관리자(OA)를 지정할 수 있습니다.
여러 조직이 필요하고 각 조직이 하위 그룹 또는 조직으로 나뉜다면 3계층 구조를 사용하여 TLA, SPA 및 OA 역할을 구현할 수 있습니다.
SPA 역할에 대한 자세한 내용은 부록 A, "서비스 공급업체 관리자 및 서비스 공급업체 조직"을 참조하십시오.
관리자 역할 및 디렉토리 계층이 절에서는 1계층 및 2계층 구조를 구현하는 디렉토리 정보 트리의 샘플을 보여 줍니다. 그런 다음 TLA 및 OA가 수행 가능한 작업에 대해 설명합니다.
1계층 구조를 지원하는 디렉토리 구조
구성 프로그램 config-commda를 실행하여 Delegated Administrator를 구성할 경우 TLA와 기본 조직을 생성합니다.
1계층구조: 루트 접미어 아래의 기본 조직
기본적으로 이 구성 프로그램은 기본 조직을 루트 접미어 아래에 둡니다.
디렉토리 정보 트리는 그림 1-4의 트리와 비슷합니다.
그림 1-4에서는 1계층 구조로 구성된 디렉토리 정보 트리의 샘플(기본 구성)을 보여 줍니다.
그림 1-4
1계층 구조: 샘플 디렉토리 정보 트리(기본)
1계층 구조: 루트 접미어에서의 기본 조직
구성 프로그램(config-commda)을 실행할 경우 루트 접미어 아래가 아니라 루트 접미어에서 기본 조직을 만들도록 선택할 수 있습니다. 구성에 대한 자세한 내용은 3장, "Delegated Administrator 구성"의 단계 6, 조직 고유 이름(DN)을 참조하십시오.
이 경우 디렉토리 정보 트리는 그림 1-5의 트리와 비슷합니다.
하지만 루트 접미어에서 기본 조직을 만들 경우 LDAP 디렉토리의 이 구성은 여러 호스팅 도메인을 지원할 수 없습니다. 호스트된 도메인을 지원하려면 기본 조직이 루트 접미어 아래에 위치해야 합니다.
그림 1-5에서는 기본 조직이 루트 접미어에서 생성되는 1계층 구조 샘플을 보여 줍니다.
그림 1-5
1계층 구조: 루트 접미어에서의 기본 조직
2계층 구조를 지원하는 디렉토리 구조
config-commda 프로그램을 사용하여 Delegated Administrator를 구성한 후에는 그림 1-6과 같이 TLA가 추가 조직을 만들 수 있습니다.
그림 1-6에서는 2계층 구조로 구성된 디렉토리 정보 트리 샘플을 보여 줍니다.
그림 1-6
2계층 구조: 샘플 디렉토리 정보 트리
최상위 관리자(TLA) 역할
TLA에게는 다음 작업을 수행할 권한이 있습니다.
그림 1-6의 예에서 TLA는 siroe.com 또는 sesta.com을 수정하거나 삭제하고 추가 조직을 생성할 수 있습니다.
이 예에서 두 조직 역시 고유한 (호스팅)도메인입니다.
서비스 패키지에 대한 자세한 내용은 이 개요의 뒷부분에 나오는 서비스 패키지를 참조하십시오.
TLA는 어떤 조직에게 지정된 서비스 패키지 유형을 지정하고 해당 조직에서 사용 가능한 각 패키지의 최대 개수를 결정할 수 있습니다.
예를 들어, TLA는 다음과 같은 서비스 패키지를 지정할 수 있습니다.
TLA는 앞서 말한 작업을 Delegated Administrator 콘솔을 사용하거나 Delegated Administrator 유틸리티(commadmin) 명령을 실행하여 수행할 수 있습니다.
commadmin 명령에 대한 자세한 내용은 5장, "명령줄 유틸리티"의 표 5-1, Delegated Administrator 명령줄 인터페이스를 참조하십시오.
조직 관리자(OA) 역할
OA에게는 다음 작업을 수행할 권한이 있습니다.
그림 1-6의 예에서 사용자 johna가 siroe.com 조직의 OA 역할을 맡는다면 johna는 siroe.com의 사용자를 관리할 수 있습니다.
OA는 앞서 말한 작업을 Delegated Administrator 콘솔을 사용하거나 Delegated Administrator 유틸리티(commadmin) 명령을 실행하여 수행할 수 있습니다.
OA가 사용할 수 있는 commadmin 명령에 대한 자세한 내용은 5장, "명령줄 유틸리티"의 표 5-1, Delegated Administrator 명령줄 인터페이스를 참조하십시오.
iPlanet Delegated Administrator를 사용했던
사용자의 경우Communications Services Delegated Administrator는 LDAP Schema 2 디렉토리의 사용자를 관리하도록 설계되었습니다.
LDAP Schema 1 디렉토리가 있는 이전 버전의 Messaging Server 사용자는 더 이상 사용하지 않는 iPlanet Delegated Administrator를 사용했을 수 있습니다. 아직도 Schema 1 디렉토리가 있는 경우에는 iPlanet Delegated Administrator를 사용하여 사용자를 관리해야 합니다.
iPlanet Delegated Administrator에서는 현재 Communications Service Delegated Administrator에서 사용하는 것과 약간 다른 관리자 용어를 사용합니다.
표 1-1에서는 Delegated Administrator 각 버전의 관리자 역할을 나열하고 정의합니다.
서비스 패키지서비스 패키지는 LDAP 디렉토리에서 서비스 클래스(CoS) 기법으로 구현됩니다. 이 기법을 사용하면 Delegated Administrator 구성 시 디렉토리에 설치되는 사전 정의 속성의 값을 설정할 수 있습니다. 서비스 패키지는 사용자 항목에 서비스의 특성을 추가합니다.
Delegated Administrator 콘솔에서는 다음과 같은 서비스 패키지 작업을 수행합니다.
어떤 사용자에게 서비스 패키지를 지정하면 그 서비스 패키지의 모든 속성 및 값이 자동으로 그 사용자에게 지정됩니다.
서비스 클래스(CoS) 정의
이번 릴리스에서는 Messaging Server 사용자에게 하나의 CoS 정의를 제공합니다. 표 1-2에서는 메일 사용자를 위해 정의된 LDAP 속성을 보여 줍니다.
이 속성에 대한 자세한 내용은 Sun Java System Communications Services Schema Reference의 “3장: 속성”을 참조하십시오.
이 메일 서비스 속성은 standardMail이라는 CoS 정의에서 정의되었습니다. Delegated Administrator를 구성할 때 standardMail 정의가 디렉토리에 설치됩니다.
standardMail CoS 정의는 다음과 같습니다.
메일 속성 외에도 standardMail 정의에서는 메일 사용자로서의 서비스 유형을 daServiceType 속성에서 정의합니다.
확장 서비스 패키지 보기의 제한 사항
정의 항목에 속성을 추가하는 방법으로 Delegated Administrator 서비스 패키지 정의를 확장할 수 있습니다.
하지만 이번 Delegated Administrator 릴리스의 콘솔에서는 Delegated Administrator가 구성될 때 제공된 사전 정의 속성만 볼 수 있습니다. Delegated Administrator 콘솔에서는 서비스 패키지 정의에 추가된 속성은 표시하지 않습니다.
또한 이번 릴리스에서는 Delegated Administrator가 제공한 standardMail CoS 정의에서 사전 정의된 속성 정의를 제거할 수 없습니다.
CoS 템플리트
CoS 정의에서 사용 가능한 속성을 기준으로 사용자마다 서로 다른 서비스 수준을 정의하는 서비스 패키지를 직접 만들 수 있습니다.
기본 CoS 템플리트
기본적으로 Delegated Administrator 구성 프로그램(config-commda)에서는 ldif 파일인 cos.default.ldif를 디렉토리에 설치합니다. 이 ldif 파일은 defaultmail이라는 일반 CoS 템플리트를 제공합니다.
다음 CoS 템플리트는 cos.default.ldif 파일에 포함되어 있습니다.
dn: cn=defaultmail,o=cosTemplates,<ugldapbasedn>
changetype: add
objectclass: top
objectclass: LDAPsubentry
objectclass: extensibleobject
objectclass: cosTemplate
mailquota: -2
cn: defaultmail
NOTE: When the Delegated Administrator configuration program installs the defaultmail template in the directory, the variable <ugldapbasedn>, shown above, is replaced by your root suffix (such as o=usergroup).
기본 CoS 템플리트(defaultmail)에서는 하나의 메일 서비스 속성(mailquota)만 정의됩니다. 그 값은 -2이며, 이 서비스의 메일 할당량이 시스템 기본값임을 나타냅니다.
샘플 CoS 템플리트
Delegated Administrator 구성 프로그램 config-commda를 실행할 때 추가 샘플 서비스 패키지를 로드하도록 선택할 수 있습니다(구성 프로그램을 실행할 때 서비스 패키지 및 조직 샘플 패널에서 샘플 서비스 패키지 로드를 선택). 구성 프로그램은 cos.sample.ldif 파일을 LDAP 디렉토리 트리에 추가합니다.
cos.sample.ldif 파일은 다음과 같은 샘플 CoS 템플리트로 구성됩니다.
각 템플리트에는 CoS 정의에 나열된 하나 이상의 속성에 대해 값이 지정되어 있습니다. 이 템플리트는 서비스 패키지의 프로토타입의 예입니다.
예를 들어, 플래티넘 CoS 템플리트는 cos.sample.ldif 파일에 들어 있습니다.
dn: cn=platinum,o=cosTemplates,$rootSuffix
objectclass: top
objectclass: LDAPsubentry
objectclass: extensibleobject
objectclass: cosTemplate
cn: platinum
mailMsgMaxBlocks: 800
mailQuota: 4000000000
mailMsgQuota: 6000
mailAllowedServiceAccess: +imap:ALL$+pop:ALL$+smtp:ALL$+http:ALL
NOTE: When the Delegated Administrator configuration program installs the sample Class-of-Service templates in the directory, the variable $rootSuffix, shown above, is replaced by your root suffix (such as o=usergroup).
모든 샘플 CoS 템플리트의 메일 서비스 값 목록은 이 장 끝에 있는 샘플 CoS 템플리트에서의 메일 서비스 수준을 참조하십시오.
서비스 패키지 만들기
이 장에서 설명한 CoS 템플리트는 예로 참조하십시오. 대부분의 경우 설치 환경의 사용자에게 적합한 속성 값으로 서비스 패키지를 직접 만들어야 합니다.
서비스 패키지를 직접 만들려면 da.cos.skeleton.ldif 파일에 저장된 CoS 템플리트를 사용하면 됩니다. 이 파일은 특별히 서비스 패키지 작성용 템플리트로 사용하도록 만들어졌습니다. 이 파일은 Delegated Administrator가 구성될 때 LDAP 디렉토리에 설치되지 않습니다.
da.cos.skeleton.ldif 파일을 복사, 편집하고 ldapmodify와 같은 LDAP 디렉토리 도구를 사용하여 디렉토리에 서비스 패키지를 설치할 수 있습니다.
da.cos.skeleton.ldif 파일을 사용하여 직접 서비스 패키지를 구성하는 것에 대한 자세한 내용은 3장, "Delegated Administrator 구성"의 서비스 패키지 생성을 참조하십시오.
LDAP 사용자 항목에 지정된 샘플 서비스 패키지
Delegated Administrator를 사용하여 사용자에게 서비스 패키지를 지정할 경우, LDAP 디렉토리의 사용자 항목에 하나의 속성(inetCOS)이 추가됩니다. inetCOS 속성 값은 사용자에게 서비스 패키지 전체를 지정합니다(inetCOS는 여러 값을 갖는 속성입니다).
예를 들어, 사용자에게 플래티넘 패키지를 지정한다고 가정하면 사용자 항목에 다음 속성이 추가됩니다.
플래티넘 패키지에는 다음과 같은 메일 서비스 속성 값이 포함되어 있으므로 플래티넘 패키지를 지정하면 결과적으로 사용자 항목에 이러한 속성이 추가됩니다.
CoS 정의 및 패키지의 위치
LDAP 디렉토리 정보 트리(DIT)에서는 CoS 정의가 루트 접미어 바로 아래의 노드에 위치합니다. DIT의 상위에 저장되기 때문에 서비스 패키지는 해당 디렉토리의 모든 사용자 항목에 지정될 수 있습니다.
그림 1-7에서는 DIT에서 서비스 정의 및 패키지의 위치를 보여 줍니다. 골드와 실버의 두 패키지를 예로 사용합니다.
그림 1-7
디렉토리 트리에서 CoS 정의 및 패키지의 위치
Delegated Administrator에서는 고전적 CoS 정의를 사용합니다.
CoS 기법에 대한 자세한 내용은 Sun Java System Directory Server 관리 설명서를 참조하십시오. 특히 “5장: 아이디 및 역할 관리”의 “서비스 클래스(CoS) 정의”를 참조하십시오.
Directory Server 관리 설명서에서는 어떤 사용자에게 지정된 서비스 패키지에서 정의된 속성이 이미 해당 사용자 항목에 존재할 경우 어느 서비스 속성 값이 우선하는지 결정하는 내용에 대해서도 설명합니다.
샘플 CoS 템플리트에서의 메일 서비스 수준
이 절에서는 샘플 CoS 템플리트가 제공하는 메일 서비스 수준을 나열합니다. 이 템플리트의 속성 값은 예일 뿐이며 실제 설치 환경과는 다를 수 있습니다.
플래티넘
mailMsgMaxBlocks: 800
mailquota: 10000000
mailmsgquota: 6000
mailAllowedServiceAccess: +imap:ALL$+pop:ALL$+smtp:ALL$+http:ALL골드
mailMsgMaxBlocks: 700
mailquota: 8000000
mailmsgquota: 3000
mailAllowedServiceAccess: +imap:ALL$+pop:ALL$+smtp:ALL$+http:ALL실버
mailMsgMaxBlocks: 300
mailquota: 6291456
mailmsgquota: 2000
mailAllowedServiceAccess: +pop:ALL$+imap:ALL$+smtp:ALL$+http:ALL브론즈
mailMsgMaxBlocks: 700
mailquota: 5242288
mailmsgquota: 3000
mailAllowedServiceAccess: +pop:ALL$+imap:ALL$+smtp:ALL$+http:ALL루비
mailMsgMaxBlocks: 600
mailquota: 1048576
mailmsgquota: 2000
mailAllowedServiceAccess: +pop:ALL$+smtp:ALL$+http:ALL에메랄드
mailMsgMaxBlocks: 600
mailquota: 2097152
mailmsgquota: 2000
mailAllowedServiceAccess: +pop:ALL$+smtp:ALL$+http:ALL다이아몬드
mailMsgMaxBlocks: 5000
mailquota: 3145728
mailmsgquota: 3000
mailAllowedServiceAccess: +imap:ALL$+smtp:ALL$+http:ALL토파즈
mailMsgMaxBlocks: 3000
mailquota: 4194304
mailmsgquota: 2000
mailAllowedServiceAccess: +imap:ALL$+smtp:ALL$+http:ALL
