|
| Sun ONE Directory Proxy server インストールガイド |
Sun ONE Directory Proxy Server 5.2 をインストールする際、移行に関する問題があります。iPlanet Directory Access Router 5.0 から Directory Proxy Server 5.2 へ移行するための要件は次のとおりです。
- iPlanet Directory Access Router 5.0/SP1 および Directory Proxy Server 5.2 の両方がインストールされている
- 移行スクリプトを実行している
- 必要に応じて、Directory Proxy Server 5.2 サーバーに SSL を設定している
付録では、次の項目について説明します。
移行の準備
移行作業を始める前に、次のことを確認してください。
- Directory Proxy Server は異なるサーバールートにインストールされている必要があります。既存の Directory Access Router と同じルートにインストールしないでください。
- 古いインスタンスと新しいインスタンスのポート番号が、アップグレード時に競合しないことを確認してください。2 つのサービスがポートで競合する場合、移行後には、必ずどちらか一方のサービスだけを実行するようにしてください。
- 移行後も古いサーバーインスタンスを使用することができます。使用しない場合はアンインストールしてください。
- Directory Access Router 5.0 あるいは 5.0 SP1 からの移行が可能です。
- 既存の Configuration Directory Server を使用する必要があります。
- UNIX から Windows プラットフォームへの移行のように、あるタイプのプラットフォームから異なるタイプのプラットフォームに移行する場合、設定パス名が不正になる場合があります。この場合は、適切な設定パス名に変更してください。
- 古い SSL 設定を移行すると、新しい設定が作成されますが、クライアント側の SSL パラメータは削除されます。既存の SSL 設定を手動で再設定してください。詳細については、「SSL の設定」を参照してください。移行を実行する前に、現在の SSL 設定を記録しておいてください。
- ログが <server root>/idar-<host>/logs/fwd.log に保存されるように設定されている場合、移行後も同じ場所に保存されます。保存場所を変更するには、移行前か移行後に現在の設定を変更してください。
Directory Proxy Server 5.2 への移行
- Configuration Directory Server 上で、ほかのアプリケーションが、Directory Access Router および Directory Proxy Server の設定を変更していないことを確認してください。Directory Proxy Server および Directory Access Router のコンソールを両方とも終了します。移行中は、設定を変更しないでください。
- 古いインストールとは別のサーバールートに Directory Proxy Server 5.2 をインストールします。
注 この時点で Directory Access Router 5.0 コンソールは機能しなくなります。
- 移行ユーティリティは、Directory Proxy Server ディレクトリツリー内にあります。次のコマンドを入力して、移行ユーティリティ migratefromidar50 を実行します。
<install root>/bin/dps_utilities/migratefromidar50 -b <Backup file name> -o ¥ <Directory Access Router 5.0 サーバーインスタンスの tailor.txt へのパス> ¥ -n <Directory Proxy Server 5.0 サーバーインスタンスの tailor.txt への ¥ パス>
migratefromidar50 の引数およびその意味について次に示します。
これで、設定は移行されました。
- 移行に失敗した場合は、ou=dar-config、o=NetscapeRoot サブツリーを削除してから、-b <Backup file name> 引数で保存されたエントリに置き換えます。この時点で、Directory Access Router 5.0 コンソールは完全に機能しません。
次の状況である場合、移行に失敗します。
- 移行出力の最終行が all done でない
- コンソールが設定を読み込めない
- 移行後、および設定関連のすべての SSL を手動で移行した後に、サーバーを起動できない
- ldapadd (LDIF 形式) を使用して、あるいは Directory Server コンソールを介してバックアップを復元します。
- SSL が旧バージョンの Directory Access Router インスタンスに設定されていない場合は、新しい Directory Proxy Server を再起動します。SSL が設定されている場合は、「「SSL の設定」」に進んでください。
SSL の設定
SSL が旧バージョンの Directory Access Router に設定されている場合は、この方法で設定を移行してください。
既存の Directory Access Router 5.0 をDirectory Proxy Server 5.2 ソフトウェアに認識させるには、CA (Certificate Authority) に SSL 証明書と鍵を要求して、設定します。あるいは、既存の SSL 証明書と鍵を再設定します。
- Sun ONE コンソールを使用して SSL 証明書データベースを作成します。
詳細は、『Sun ONE Directory Proxy Server Administrator's Guide』の「Configuring System Parameters」を参照してください。
注 既存の SSL 証明書と鍵を変換する場合は手順 2 に進んでください。新しい SSL 証明書と鍵を要求する場合は手順 4 に進んでください。
- 作成した証明書データベースに古い証明書と非公開鍵のペアを挿入するには、証明書と鍵のペアを PKCS12 形式に変換する必要があります。OpenSSL は PEM 証明書と鍵のペアを PKCS12 形式に変換するユーティリティを提供します。
注 openssl ユーティリティを使用した変換は、お勧めしません。また、Sun Microsystems, Inc. ではこの変換方法をサポートしていません。可能であれば、新しい証明書と非公開鍵のペアを CA に要求してください。最新の情報については、『Directory Proxy Server リリースノート』を参照してください。
OpenSSL は次の Web サイトにあります。
OpenSSL のマニュアルは次の Web サイトにあります。
- 証明書と鍵のペアを PKCS12 形式に変換したら、pk12util ソフトウェアを使用して証明書データベースにそれらのペアを挿入します。pk12util は次の場所から入手できます。
<serverroot>/shared/bin
pk12util のマニュアルは次の Web サイトにあります。
www.mozilla.org/projects/security/pki/nss/tools/pk12util.html
- 新しい SSL 証明書と鍵を要求する場合、Sun ONE Directory Proxy Server コンソールを使用して CA に送信する証明書要求を作成します。
詳細は、『Sun ONE Directory Proxy Server Administrator's Guide』の「Configuring Directory Proxy Server for TLS/SSL-enabled Communication」を参照してください。
- SSL 証明書と鍵が Directory Proxy Server 5.2 で使用できるようになったら、必要に応じてシステムオブジェクトを設定します。
詳細は、『Sun ONE Directory Proxy Server Administrator's Guide』の「Configuring System Parameters」を参照してください。
- 適切な SSL 操作が停止していることを確認してから、Directory Proxy Server ソフトウェアを再起動します。
次のエントリのログファイルを確認します。
560212 Now listening on port <port number> and socket <socket nember> for secured connections.
- Directory Proxy Server 5.2 を新しくインストールする前に、SSL が正しく移行されていることを確認します。次のことを確認します。
- Directory Proxy Server の SSL ポートが設定されている
- クライアントから Directory Proxy Server への SSL 接続を確立できる
- 可能な場合は、Directory Proxy Server からバックエンドサーバーへの SSL 接続を確立できる