|
| Sun ONE Directory Server 5.2 설치 및 조정 설명서 |
캐시 크기, 속성 값 색인화, 로그 관리의 최적화가 끝나면 Directory Server에서 클라이언트 응용 프로그램이 사용할 수 있는 자원을 제한하는 방법과 Directory Server의 시스템 자원 이용 방법을 조정할 수 있습니다. Directory Server 플러그 인으로 제공된 일부 기능을 다시 구성하거나 비활성화하는 것도 도움이 될 수 있습니다.
클라이언트에서 사용할 수 있는 자원 제한
기본 구성에서는 클라이언트 응용 프로그램이 실제 필요한 것보다 많은 Directory Server 자원을 사용할 수 있습니다. 이 때문에 클라이언트 응용 프로그램이 많은 연결을 연 다음 유휴 상태로 두고 사용하지 않거나 손실이 큰 색인화되지 않은 검색을 불필요하게 수행하거나 이진에 적합하지 않은 큰 속성 값을 디렉토리에 저장하는 등 실수나 고의로 자원을 남용하여 서버 성능이 저하될 수도 있습니다.
일부 배포 시에는 기본 구성을 수정하지 않는 것이 좋습니다. 이 절에 설명된 구성 속성 값을 변경하지 않는 배포 시에는 Sun ONE Directory Proxy Server 소프트웨어를 사용하여 외부적으로 제한을 설정하고 서비스 거부 공격을 차단하십시오.
일부 배포 시 Directory Server의 한 인스턴스는 메시징 서버와 같이 디렉토리 사용량이 많은 클라이언트 응용 프로그램 및 사용자 전자 우편 응용 프로그램과 같이 가끔 사용되는 디렉토리 클라이언트를 모두 지원해야 합니다. 이 경우 Sun ONE Directory Server 관리 설명서에 설명된 것처럼 바인드 DN 기반의 자원 제한을 사용하여 디렉토리 사용량이 많은 응용 프로그램의 제한을 높이는 것이 좋습니다.
표 9-1에는 모든 클라이언트 응용 프로그램에서 사용할 수 있는 자원 제한에 권장되는 설정이 나와 있습니다. 이 제한은 디렉토리 관리자 사용자에게는 적용되지 않으므로 클라이언트 응용 프로그램이 디렉토리 관리자 사용자로 연결하지 않도록 하십시오.
각 구성 속성에 대한 자세한 내용은 Sun ONE Directory Server Reference Manual을 참조하십시오.
사용할 수 있는 시스템 자원 사용
배포 요구 사항에 따라 Directory Server 인스턴스가 시스템 및 네트워크 자원을 사용하는 방법, 액세스 제어 관리 방법 및 서버 플러그 인의 구성 방법을 조정할 수 있습니다. 표 9-2에는 시스템 자원에 권장되는 설정이 나와 있습니다.
표 9-2 시스템 자원 사용 구성에 권장되는 조정 작업
속성 (on dn: cn=config)
간략한 설명 및 권장되는 조정 작업
nsslapd-listenhost
Directory Server에서 수신하는 IP 인터페이스의 호스트 이름을 설정하며 한 개의 값을 갖습니다.
기본 동작은 모든 인터페이스에서 수신하는 것입니다. 중복 네트워크 인터페이스를 사용하는 대규모 배포에 맞게 기본 동작을 조정하여 가용성 및 처리량을 증가시킬 수 있습니다.
다중 홈 시스템에 배포하거나 별도의 인터페이스를 통해 각 프로토콜을 지원하는 시스템에서 IPv4 또는 IPv6 트래픽만 수신할 때 이 값을 설정하는 것이 좋습니다. SSL을 사용하는 경우에는 nsslapd-securelistenhost를 설정하십시오.
nsslapd-maxdescriptors
Directory Server에서 사용하는 최대 파일 설명자 수를 설정합니다.
Directory Server는 파일 설명자를 사용하여 클라이언트 연결을 처리하고 내부적으로 파일을 유지관리합니다. 사용할 수 있는 파일 설명자가 충분하지 않아 Directory Server에서 때때로 새 연결 수신을 중지한다는 오류 로그가 있으면 속성 값을 증가시켜 Directory Server에서 동시에 처리할 수 있는 클라이언트 연결 수를 늘릴 수 있습니다.
"파일 설명자"에 설명된 것처럼 시스템에서 사용할 수 있는 파일 설명자 수를 증가시킨 경우 이에 따라 속성 값을 설정하십시오. 속성 값은 시스템에서 사용할 수 있는 최대 파일 설명자 수보다 작거나 같아야 합니다.
nsslapd-nagle
소켓 수준에서 TCP 패킷 전송을 지연할지 여부를 설정합니다.
클라이언트 응용 프로그램에 결과를 보낼 때 프로토콜 수준의 지연을 방지하려면 속성 값을 off(기본값)로 그대로 두십시오.
nsslapd-reservedescriptors
Directory Server에서 색인화, 복제 및 기타 내부 처리를 관리하기 위해 유지관리하는 파일 설명자 수를 설정합니다. Directory Server는 클라이언트 연결을 처리할 때는 파일 설명자를 사용하지 않습니다.
다음과 같은 조건에 모두 부합되면 기본값인 64보다 높게 이 값을 설정하는 것이 좋습니다.
- Directory Server가 10개 이상의 소비자에 복제되거나 Directory Server에서 30개 이상의 색인 파일을 유지관리합니다.
- Directory Server에서 다수의 클라이언트 연결을 처리합니다.
- Directory Server에 클라이언트 연결과 관련되지 않은 작업을 위한 파일 설명자가 부족하다는 오류 로그 메시지가 있습니다.
예약된 파일 설명자 수가 증가하면 클라이언트 연결 처리에 사용할 수 있는 파일 설명자 수는 감소합니다. 속성 값을 증가시키는 경우 시스템에서 사용할 수 있는 파일 설명자 수와 nsslapd-maxdescriptors 값도 증가시키는 것이 좋습니다.
예약할 파일 설명자 개수의 첫 추정 값에서 이 속성을 변경하려면 아래 수식에 따라 nsslapd-reservedescriptors 값을 설정합니다.
20 + 4 * (데이터베이스 수) + (총 색인 수) + (nsoperationconnectionslimit 값) * (연결 백엔드 수) + ReplDescriptors + PTADescriptors + SSLDescriptors
여기서 복제를 사용하는 경우 ReplDescriptors = 공급자 복제본 수 + 8, PTA(Pass Through Authentication) 플러그 인을 사용하는 경우 PTADescriptors = 3(그렇지 않으면 0), SSL을 사용하는 경우 SSLDescriptors = 5(그렇지 않으면 0)가 됩니다.
인스턴스가 접미사 당 한 개의 데이터베이스를 사용하도록 구성되어 있으면 데이터베이스 수는 인스턴스의 접미사 수와 같습니다. 실제 테스트를 통해 추정 값을 확인합니다.
nsslapd-securelistenhost
Directory Server에서 SSL 연결을 수신하는 IP 인터페이스의 호스트 이름을 설정하며 한 개의 값을 갖습니다.
기본 동작은 모든 인터페이스에서 수신하는 것입니다. nsslapd-listenhost와 같은 방식으로 속성을 사용하십시오.
nsslapd-threadnumber
Directory Server에서 사용하는 스레드 수를 설정합니다.
다음 중 부합되는 조건이 있으면 속성 값을 조정하는 것이 좋습니다.
- 클라이언트 응용 프로그램에서 업데이트나 복잡한 검색과 같은 시간 소모적인 작업을 동시에 많이 수행합니다.
- Directory Server에서 다수의 동시 클라이언트 연결을 지원합니다.
- Directory Server에서 5,000,000개 이상의 항목을 처리합니다.
다중 프로세서 시스템은 단일 프로세서 시스템보다 큰 스레드 풀을 유지할 수 있습니다. 속성 값을 최적화하는 경우 첫 추정 값으로 프로세서 수의 두 배나 20개 이상의 동시 업데이트 수를 사용하십시오. 표 9-1에 설명된 것처럼 클라이언트 연결 당 최대 스레드 수인 nsslapd-maxthreadsperconn도 조정하는 것이 좋습니다. 클라이언트 연결을 처리하는 최대 스레드 수는 시스템에서 사용할 수 있는 최대 파일 설명자 수를 초과할 수 없습니다. 어떤 경우에는 이 속성 값을 늘리는 것보다 줄이는 것이 도움이 됩니다.
실제 테스트를 통해 추정 값을 확인합니다. 결과는 특정 배포 상황뿐만 아니라 기본 시스템에 따라서도 달라집니다.
각 구성 속성에 대한 자세한 내용은 Sun ONE Directory Server Reference Manual을 참조하십시오.
액세스 제어 관리
Directory Server는 우수한 메모리 관리와 매크로 ACI 지원 등 ACI(Access Control Instructions)에 대해 향상된 성능과 확장성을 제공합니다. 하지만 Directory Server에서 복잡한 ACI를 평가하려면 상당한 시스템 자원이 사용되므로 복잡한 ACI를 많이 사용하면 성능이 저하될 수 있습니다.
매크로 ACI는 사용되는 ACI 수를 제한하는 데 도움이 됩니다. ACI 수를 제한하면 보다 간편하게 액세스 제어를 관리하고 시스템 로드를 줄일 수 있습니다. 매크로는 ACI의 DN 또는 DN의 일부를 나타내는 자리 표시자로, ACI 대상이나 ACI 바인드 규칙 또는 둘 모두에서 사용할 수 있습니다. Directory Server는 수신된 요청 처리에 필요한 자원과 일치하는 ACI 매크로를 확인합니다. 일치하는 매크로를 찾으면 Directory Server는 이 매크로를 실제 DN 값으로 바꿉니다. 그런 다음 Directory Server는 정상적으로 ACI를 평가합니다. ACI에 대한 자세한 내용은 Sun ONE Directory Server 관리 설명서를 참조하십시오.
테스트 결과에 따르면 Directory Server는 50,000개 이상의 ACI를 지원할 수 있습니다. 다양한 배포 시나리오에서 성능에 미치는 영향에 대해서는 현재 분석 중에 있습니다. 성능 저하를 방지하고 액세스 제어 관리를 간소화하려면 ACI 수를 최대한 작게 유지하십시오. 복잡한 ACI 환경이 필요한 배포 시에는 Sun ONE Directory Proxy Server를 사용하여 액세스 제어 기능을 제공하는 것이 좋습니다.
서버 플러그 인 구성
Directory Server는 플러그 인을 사용하여 액세스 제어, 복제, 구문 검사, 속성의 고유성과 같은 다양한 주요 기능을 구현합니다. 특정 배포 시에는 일부 플러그 인을 다시 구성하는 것이 도움이 될 수도 있습니다. 표 9-3에는 표준 플러그인에 권장되는 설정이 나와 있습니다.
표 9-3 표준 플러그 인에 권장되는 조정 작업
이름 및 DN
간략한 설명 및 권장되는 조정 작업
7비트 검사 플러그 인
dn: cn=7-bit check,cn=plugins,cn=config
Directory Server에서 속성 값이 7비트 클린인지 검사할 수 있습니다. 즉, 7비트 인코딩에 맞는 문자만 해당 속성 값에 포함됩니다.
인프라가 일본어와 같은 광범위한 인코딩을 지원하도록 설계되었으면 이 플러그 인을 비활성화할 수도 있습니다(기본값은 on).
레거시 복제 플러그 인
dn: cn=Legacy Replication Plugin,cn=plugins,cn=config
Directory Server에서 4.x 공급자의 소비자 기능을 할 수 있습니다.
예를 들어, 업그레이드 중에 Directory Server를 4.x 공급자의 소비자로 사용하지 않으려면 이 플러그 인을 off로 설정합니다(4.x 복제 기능이 필요한 경우 기본값은 on).
참조 무결성 플러그 인
dn: cn=referential integrity postoperation,cn=plugins,cn=config
Directory Server에서 관련 항목 간의 관계를 유지관리할 수 있습니다. 예를 들어, 사용자 항목을 디렉토리에서 제거하거나 이름을 바꾸면 수동으로 작업하지 않아도 필요에 따라 해당 사용자가 소속된 그룹이 업데이트됩니다.
모든 마스터에서 이 플러그 인을 활성화 및 구성합니다.
플러그 인을 사용하는 경우 이 플러그 인에 구성된 모든 속성의 동일 색인을 작성합니다. 플러그 인은 업데이트할 항목을 검색할 때 이러한 색인을 사용합니다. 사용되는 속성에 동일 색인이 없으면 플러그 인은 손실이 큰 색인화되지 않은 검색을 수행해야 하므로 성능이 저하됩니다.
플러그 인 활성화 및 구성에 대한 자세한 내용은 Sun ONE Directory Server 관리 설명서를 참조하십시오.
각 구성 속성에 대한 자세한 내용은 Sun ONE Directory Server Reference Manual을 참조하십시오.