Ce chapitre contient d'importantes informations, propres au produit, disponibles à la sortie de Directory Server.
Ce chapitre inclut les sections suivantes:
Cette section répertorie les bogues corrigés depuis la dernière version de Directory Server.
Après l'installation à partir de la distribution zip sur Solaris et Linux, Directory Server n'apparaît pas via SNMP après le redémarrage de cacao, le conteneur d'agent commun.
Lors d'un changement de mot de passe LDAP via l'opération étendue de changement de mot de passe, le mot de passe actuel du compte est demandé même si pwdSafeModify est désactivé.
Sur les systèmes Windows 2003, n'utilisez pas les logiciels installés avec dsee_deploy à partir de la distribution zip en version allemande.
Après exécution de db2ldif ou ldif2db, le nouveau journal des modifications est créé, mais l'ancien n'est pas supprimé.
Lorsque la réplication est activée, ns-slapd tombe en panne.
La migration d'un Directory Server 5.1 maître vers 6.x génère l'affichage d'une erreur.
Certains fichier jar chargés dans lockhart ne sont pas mis à niveau après l'application des patchs 125310-02 et 125278-02.
La commande dsconf create-plugin -Y pwdstoragescheme ajoute à l'entrée de plug-in un DN incorrect
Cette section énumère les problèmes et les restrictions connus à la sortie de cette version.
Cette section énumère les restrictions du produit.
Des modifications apportées aux droits d'accès aux fichiers Directory Server Enterprise Edition installés peuvent parfois entraîner un dysfonctionnement du logiciel. Ne modifiez les droits d'accès au fichier que conformément aux instructions de la documentation ou aux instructions du support Sun.
Il est possible de résoudre cette limitation en installant les produits et créant des instances de serveur en tant qu'utilisateur disposant des droits d'accès utilisateur et groupe appropriés.
Même si rien ne vous empêche de configurer la réplication du suffixe cn=changelog, cette action peut interférer avec la réplication. Ne répliquez pas le suffixe cn=changelog. Le suffixe cn=changelog est créé par le plug-in du journal des modifications rétroactif.
Lorsque Directory Server est exécuté sur Sun Cluster et que nsslapd-db-home-directory est configuré pour utiliser un répertoire non partagé, plusieurs instances partagent les fichiers cache de base de données. Après un basculement, l'instance Directory Server sur le nouveau nœud utilise des fichiers cache de base de données potentiellement dépassés.
Pour contourner cette restriction, utilisez un répertoire partagé pour nsslapd-db-home-directory ou supprimez systématiquement les fichiers figurant sous nsslapd-db-home-directory au démarrage de Directory Server.
Lorsque LD_LIBRARY_PATH contient /usr/lib, une bibliothèque SASL incorrecte est utilisée de sorte que la commande dsadm échoue après l'installation.
Une opération de modification LDAP sur cn=config ne peut qu'utiliser la sous-opération de remplacement. Toute tentative d'ajout ou de suppression d'un attribut sera refusée avec l'erreur 53, DSA refuse de s'exécuter. Alors que Directory Server 5 acceptait l'ajout ou la suppression d'un attribut ou d'une valeur d'attribut, la mise à jour était appliquée au fichier dse.ldif sans aucune validation de valeur et l'état interne du DSA n'était pas mis à jour tant que le DSA n'était pas arrêté, puis redémarré.
L'interface de configuration cn=config est désapprouvée. Lorsque cela est possible, utilisez plutôt la commande dsconf.
Pour contourner cette restriction, il est possible de remplacer la sous-opération LDAP de remplacement de la modification par la sous-opération d'ajout ou de suppression. Il n'en résulte aucune perte de fonctionnalité. Par ailleurs, l'état de la configuration du DSA est plus prévisible après la modification.
Ce problème affecte les instances de serveur sous Windows uniquement. Ce problème est dû aux performances des systèmes fonctionnant sous Windows lors de l'utilisation de Start TLS.
Pour résoudre ce problème, veillez à utiliser l'option -P avec la commande dsconf pour vous connecter en utilisant directement le port SSL. Si votre connexion réseau est déjà sécurisée, vous pouvez également envisager d'utiliser l'option -e avec la commande dsconf. Cette option vous permet de vous connecter au port standard sans demander de connexion sécurisée.
Il est possible qu'après la suppression d'une instance Directory Server répliquée d'une topologie de réplication, les vecteurs de mise à jour de la réplication continuent de référencer cette instance. Vous pouvez ainsi rencontrer des références à des instances qui n'existent plus.
Pour résoudre ce problème lors de l'installation à partir de packages natifs, utilisez la commande cacaoadm enable en tant que root.
La propriété de configuration de Directory Server, max-thread-per-connection-count ne s'applique pas aux systèmes Windows.
Un bogue de Microsoft Windows 2000 Standard Edition fait apparaître le service Directory Server comme étant désactivé après sa suppression de la console d'administration de Microsoft.
La console n'autorise pas l'administrateur à se connecter au serveur sous Windows XP.
Pour résoudre ce problème, le compte invité doit être désactivé et la clé de registre HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\ForceGuest doit être définie sur 0.
Cette section répertorie les problèmes connus, découverts lors de la sortie de Directory Server 6.2.
L'arrêt brutal de Directory Server a été constaté à l'arrêt du serveur lors de l'exécution d'une exportation en ligne, d'une sauvegarde, d'une restauration ou d'une création d'index.
Lorsque des entrées sont importées de LDIF, Directory Server ne génère pas les attributs createTimeStamp et modifyTimeStamp.
L'importation LDIF est optimisée en termes de vitesse. Le processus d'importation ne génère pas ces attributs. Pour contourner cette restriction, ajoutez les entrées, au lieu de les importer. Vous pouvez également prétraiter le LDIF pour ajouter les attributs avant de procéder à l'importation.
Certains messages d'erreur de Directory Server font référence au Manuel des erreurs de base de données qui n'existe pas. Si vous ne comprenez pas la signification d'un message d'erreur critique non documenté, contactez le support technique de Sun.
Lors de la suppression du logiciel, la commande dsee_deploy uninstall n'arrête ou ne supprime pas des instances serveur existantes.
Pour contourner cette restriction, observez les instructions figurant dans le Sun Java System Directory Server Enterprise Edition 6.2 Installation Guide.
Il a été constaté que Directory Server conserve les valeurs pwdFailureTime sur une réplique consommateur, même après la suppression des valeurs des attributs sur la réplique fournisseur. Les valeurs sont conservées après la réplication de la modification de userPassword.
La commande dsconf accord-repl-agmt ne peut pas aligner les propriétés d'authentification de l'accord de réplication lorsque l'authentification du client SSL est utilisée sur le suffixe de la destination.
Pour résoudre ce problème, enregistrez le certificat fournisseur dans la configuration du consommateur, en procédant comme suit. Les exemples de commandes présentés s'appuient sur deux instances sur le même hôte.
Exportez le certificat vers un fichier.
L'exemple suivant présente comment exécuter l'exportation des serveurs dans /local/supplier et /local/consumer.
$ dsadm show-cert -F der -o /tmp/supplier-cert.txt /local/supplier defaultCert $ dsadm show-cert -F der -o /tmp/consumer-cert.txt /local/consumer defaultCert |
Échangez les certificats client et fournisseur.
L'exemple suivant présente comment exécuter l'échange de serveurs dans /local/supplier et /local/consumer.
$ dsadm add-cert --ca /local/consumer supplierCert /tmp/supplier-cert.txt $ dsadm add-cert --ca /local/supplier consumerCert /tmp/consumer-cert.txt |
Ajoutez l'entrée du client SSL sur le consommateur, sans oublier le certificat supplierCert sur un attribut usercertificate;binary avec une valeur subjectDN propre.
Ajoutez l'identité (DN) du gestionnaire de réplication sur le consommateur.
$ dsconf set-suffix-prop suffix-dn repl-manager-bind-dn:entryDN |
Mettez à jour les règles dans /local/consumer/alias/certmap.conf.
Redémarrez les serveurs avec la commande dsadm start.
Les noms de certificat contenant des caractères multi-octets s'affichent sous forme de points dans le résultat de la commande dsadm show-cert instance-path valid-multibyte-cert-name.
Directory Service Control Center trie des valeurs sous forme de chaînes. Ainsi, lorsque vous triez des nombres dans Directory Service Control Center, ils sont triés comme s'il s'agissait de chaînes.
Un tri croissant de 0, 20 et 100 donne la liste 0, 100, 20. Un tri décroissant de 0, 20 et 100 donne la liste 20, 100, 0.
La création dans DSCC d'une instance Directory Server, dont le chemin contient des caractères multi-octets, en vue de démarrer ou d'exécuter d'autres tâches standard, risque d'échouer.
Certains de ces problèmes peuvent être résolus à l'aide du jeu de caractères utilisé pour créer l'instance. Pour définir le jeu de caractères, utilisez les commandes suivantes :
# cacaoadm list-params | grep java-flags java-flags=-Xms4M -Xmx64M # cacaoadm stop # cacaoadm set-param java-flags="-Xms4M -Xmx64M -Dfile.encoding=utf-8" # cacaoadm start |
Pour éviter ces problèmes, n'utilisez que des caractères ASCII dans les chemins d'instances.
Directory Server n'analyse pas correctement les DN de la cible ACI contenant des guillemets ou des apostrophes. Les modifications apportées à l'exemple suivant engendrent des erreurs de syntaxe.
dn:o=mary\"red\"doe,o=example.com changetype:modify add:aci aci:(target="ldap:///o=mary\"red\"doe,o=example.com") (targetattr="*")(version 3.0; acl "testQuotes"; allow (all) userdn ="ldap:///self";)
dn:o=Example Company\, Inc.,dc=example,dc=com changetype:modify add:aci aci:(target="ldap:///o=Example Company\, Inc.,dc=example,dc=com") (targetattr="*")(version 3.0; acl "testComma"; allow (all) userdn ="ldap:///self";)
Il a été, toutefois, constaté que les exemples contenant plusieurs apostrophes sont correctement analysés.
Il a été constaté que la commande dpconf affiche l'invite Enter "cn=Directory Manager" password: deux fois en mode interactif.
Directory Service Control Center ne vous permet pas de gérer des périphériques ou jetons de sécurité externes PKCS#11.
Dans Windows, l'authentification SASL échoue à cause des deux raisons suivantes :
Utilisation du chiffrement SASL.
Pour éviter le problème généré par le chiffrement SASL, arrêtez le serveur, modifiez dse.ldif et réinitialisez SASL comme suit.
dn: cn=SASL, cn=security, cn=config dssaslminssf: 0 dssaslmaxssf: 0 |
L'installation utilise des packages natifs.
Pour éviter les problèmes générés par l'installation de packages natifs, définissez SASL_PATH sur install-dir\share\lib.
Directory Service Control Center ne parvient pas à générer un certificat autosigné lorsque vous spécifiez le pays.
Directory Service Control Center n'affiche pas correctement des valeurs binaires userCertificate.
Le nom de l'attribut de configuration, passwordRootdnMayBypassModsCheck, ne reflète pas que le serveur autorise désormais un administrateur à contourner la vérification de la syntaxe du mot de passe lors de la modification du mot de passe d'un autre utilisateur si cet attribut est configuré.
Ne définissez pas LD_LIBRARY_PATH avant de procéder à l'installation à partir de la distribution zip ou à l'aide de la commande dsadm.
Dans Windows, le résultat des commandes dsadm et dpadm, ainsi que les messages d'aide ne sont pas localisés en chinois simplifié et en chinois traditionnel.
La fonctionnalité de Directory Service Control Center permettant de copier la configuration d'un serveur existant ne vous permet pas de copier la configuration du plug-in.
Il a été constaté sous Windows que la commande dsconf ne parvient pas à importer le LDIF si le nom de fichier LDIF contient des caractères à deux octets.
Pour résoudre ce problème, modifiez le nom de fichier LDIF de manière à ce qu'il ne contienne plus de caractères à deux octets.
La commande dsadm enable-service ne fonctionne pas correctement avec Sun Cluster.
Il a été constaté que la commande dsee_deploy se bloque lors de l'enregistrement du composant Monitoring Framework dans le conteneur d'agent commun.
L'attribut supportedSSLCiphers à la racine de DSE indique des chiffrements NULL non pris en charge par le serveur.
À moins que vous n'ayez lancé Directory Server au moins une fois, la commande dsadm enable-service ne parvient pas à redémarrer Directory Server à la réinitialisation du système.
Ni Directory Service Control Center ni la commande dsconf ne vous permettent de configurer la façon dont Directory Server gère les signatures de plug-in incorrectes. Le comportement par défaut consiste à vérifier les signatures de plug-in mais à ne pas exiger qu'elles soient valides. Directory Server enregistre dans le journal un avertissement signalant des signatures incorrectes.
Pour modifier le comportement du serveur, définissez les attributs ds-require-valid-plugin-signature et ds-verify-valid-plugin-signature sur cn=config. Les deux attributs sont définis sur on ou off.
Directory Service Control Center ne vous permet pas de rechercher un suffixe configuré pour renvoyer une référence à un autre suffixe.
Après l'installation et la création d'une instance de serveur sous Windows, les droits d'accès aux fichiers du dossier d'installation et de l'instance de serveur autorisent l'accès à tous les utilisateurs.
Pour résoudre ce problème, modifiez les droits d'accès dans les dossiers d'installation et d'instance de serveur.
Lorsque vous activez le mode de référence pour Directory Server à l'aide de Directory Service Control Center via Internet Explorer 6, le texte de la fenêtre de confirmation du mode de référence est tronqué.
Pour résoudre ce problème, utilisez un autre navigateur comme le navigateur Web Mozilla.
Après la création ou l'ajout d'un nouveau certificat, Directory Server doit être redémarré pour que la modification soit prise en compte.
Après la mise à niveau d'une réplique et la migration de serveur vers de nouveaux systèmes, vous devez recréer des accords de réplication pour utiliser de nouveaux noms d'hôtes. Directory Service Control Center vous permet de supprimer les accords de réplication existants mais ne vous permet pas de créer de nouveaux accords.
Sous Red Hat, la commande dsadm autostart ne garantit pas toujours le démarrage des instances de serveur à l'initialisation.
La commande dsconf ne vous propose pas le paramètre dsSearchBaseDN approprié lors de la configuration de DSML.
Sous Windows, il a été constaté que Directory Server ne démarre pas lorsque le nom de base de l'instance est ds.
Lors de l'installation à partir de la distribution zip, la commande dsee_deploy ne propose pas d'option de configuration SNMP et de ports d'adaptateur de flux.
Pour résoudre ce problème,
Plug-in de contrôle activé à l'aide de la console Web ou de dpconf.
À l'aide de la commande cacaoadm set-param, modifiez snmp-adaptor-port, snmp-adaptor-trap-port et commandstream-adaptor-port.
La commande dsconf help-properties est définie pour fonctionner correctement après la création d'une instance uniquement. De plus, la liste appropriée de valeurs pour la commande dsml-client-auth-mode doit être client-cert-first | http-basic-only | client-cert-only.
Le compte invité doit être désactivé pour pouvoir utiliser Directory Service Control Center sous Windows XP. De plus, la clé de registre HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\ForceGuest doit être définie sur 0 pour que l'authentification soit concluante.
Dans le patch natif, la localisation du calendrier miniature servant à trouver des dates pour les journaux d'accès de filtrage n'est pas correcte pour le chinois traditionnel.
L'affichage des commandes schema_push, repldisc, pwdhash, ns-inactivate, ns-activate, ns-accountstatus, mmldif, insync, fildif, entrycmp, dsrepair, dsee_deploy, dsadm show-cert, dsadm repack et ldif n'est pas localisé.
Certains résultats affichés par les commandes dsccmon, dsccreg, dsccsetup et dsccreg ne sont pas localisés.
Après un changement de langue du système et le démarrage de DSCC, le message de la fenêtre pop-up n'est pas affiché dans la langue sélectionnée.
Lors de la configuration de Directory Service Control Center dans un environnement linguistique autre que l'anglais, les messages de journaux relatifs à la création du registre de Directory Service Control Center ne sont pas complètement localisés. Certains messages de journaux sont affichés dans l'environnement linguistique utilisé lors de la configuration de Directory Service Control Center.
Dans Solaris 10, la vérification du mot de passe échoue pour les instances dont le DN contient des caractères multi-octets, en anglais et en japonais.
En cliquant sur Parcourir dans l'aide en ligne DSCC, cette dernière ne s'affiche pas lorsque vous utilisez Internet Explorer.
L'API de plug-in Directory Server comprend les fonctions slapi_value_init()(), slapi_value_init_string()() et slapi_value_init_berval()().
Ces fonctions exigent toutes une fonction "done" pour libérer des éléments internes. Cependant, il manque une fonction slapi_value_done()() à l'API publique.
En raison d'un problème connu, nsslapd-idletimeout n'est pas calculée dans les installations Windows comme indiqué.
Dans Unix (y compris Solaris), nsslapd-idletimeout est calculé lorsque de nouvelles connexions sont ouvertes et lorsque de nouvelles données sont reçues, comme décrit dans la documentation.
Dans Windows, nsslapd-idletimeout est calculée de la même façon pour les connexions sécurisées et si ds-start-tls-enabled est true. Cependant, pour les connexions non sécurisées et si ds-start-tls-enabled est false, nsslapd-idletimeout est uniquement calculé quand de nouvelles connexions sont ouvertes.
DSCC n'affiche pas les ACI longs, en fonction de la limite fournie par le fournisseur de services Internet.
Sous Linux, si une instance Directory Server est démarrée dans une autre langue que la langue de création de l'instance, les caractères multi-octets ne sont pas affichés correctement.
Lorsque vous utilisez une Service Management Facility (SMF) dans Solaris 10 pour activer une instance de serveur, l'instance ne démarre pas toujours lorsque vous réinitialisez le système.
Pour résoudre ce problème, ajoutez les lignes suivantes marquées d'un signe + à /opt/SUNWdsee/ds6/install/tmpl_smf.manifest.
... restart_on="none" type="service"> <service_fmri value="svc:/network/initial:default"/> </dependency> + <dependency name="nameservice" grouping="require_all" \ + restart_on="none" type="service"> + <service_fmri value="svc:/milestone/name-services"/> + </dependency> <exec_method type="method" name="start" exec="%%%INSTALL_PATH%%%/bin/dsadm start --exec %{sunds/path}"... |
Le service Windows Directory Server Enterprise Edition ne peut pas démarrer plusieurs instances de serveur lors du redémarrage du système.
Vous rencontrerez peut-être une erreur lorsque DSCC est utilisé avec la combinaison de Tomcat 5.5 et de JDK 1.6.
Pour éviter cette erreur, utilisez JDK 1.5 à la place.
Le serveur d'application Sun Java System intégré à Solaris 10 ne peut pas créer de connexion client SASL pour un mécanisme authentifié et ne communique pas avec le conteneur d'agent commun.
Pour éviter ce problème, modifiez le JVM utilisé par le serveur d'applications en modifiant le fichier appserver-install-path/appserver/config/asenv.conf et en remplaçant l'entrée AS_JAVA par AS_JAVA="/usr/java". Redémarrez votre domaine de serveur d'application.
La commande dsadm autostart peut faire échouer l'authentification LDAP native lorsque vous réinitialisez le système.
Pour résoudre ce problème, inversez l'ordre des scripts de réinitialisation. L'ordre par défaut est /etc/rc2.d/S71ldap.client et /etc/rc2.d/S72dsee_directory.
Il est possible que la fenêtre de la version DSCC affiche le code source html si elle est configurée via le déploiement du fichier Web Archive (WAR) avec le serveur d'applications. Pour résoudre ce problème, ajoutez les entrées suivantes dans chemin de domaine/nom de domaine/config/default-web.xml.
<mime-mapping> <extension>shtml</extension> <mime-type>text/html</mime-type> </mime-mapping> |
Sur Linux, les messages localisés de serveur, qui s'affichent dans la fenêtre de progression de DSCC peuvent contenir des chaînes de caractères internationaux tronquées dans d'autres langues que l'anglais.
Dans Solaris 9 et Windows, lorsque vous accédez à l'aide en ligne à partir de la console configurée avec le fichier Web archive (WAR), une erreur s'affiche.
La commande idsktune ne prend pas en charge SuSE Enterprise Linux.
Si le dézippage n'est pas disponible sur le système, dsee_deploy n'installe aucun produit.
Dans les options More view d'une instance, la date qui s'affiche sous les onglets des journaux d'accès, d'erreur et d'audit n'est pas localisée.
Si vous configurez le plug-in d'unicité pour fonctionner avec plusieurs attributs dans Directory Server, une erreur s'affiche pendant le démarrage de Directory Server.
Si vous appliquez le patch Directory Server Enterprise Edition 6.2 sans arrêter les instances de serveur, les commandes dsadm info et dsadm stop indiquent qu'un serveur est éteint alors qu'il est en cours d'exécution.
La chaîne err= n'est pas traduite dans certains messages en coréen et en chinois simplifié.
Dans Solaris, les instances enregistrées comme un service ne démarreront peut-être pas après le redémarrage du système.
Pour éviter ce problème, exécutez les commandes suivantes :
# /usr/sbin/svccfg svc:> select application/sun/ds svc:/application/sun/ds> delpropvalue start/timeout_seconds 60 svc:/application/sun/ds> delpropvalue stop/timeout_seconds 60 svc:/application/sun/ds> addpropvalue start/timeout_seconds 600 svc:/application/sun/ds> addpropvalue stop/timeout_seconds 600 svc:/application/sun/ds> quitter |
Dans l'aide dsconf, Directory Server est parfois traduit par répertoire au lieu de serveur d'annuaire en français.
Dans DSCC, configuré à l'aide de Tomcat server, les titres des fenêtres contextuelles de l'aide et de la version affichent des chaînes multi-octets tronquées.
Si vous définissez la valeur de la propriété de configuration, pwd-max-history-count ou l'attribut de mot de passe de stratégie, pwdInHistory, sur sa valeur maximale autorisée (24), l'instance de Directory Server risque de s'arrêter brutalement.
Pour éviter ce problème, la valeur de pwd-max-history-count ou pwdInHistory ne doit pas excéder 23.
En allemand, en espagnol et en français, ROLE est traduit dans la syntaxe de la commande dsconf enable-repl -?, mais ne l'est pas dans la chaîne ROLE = master.
Dans l'aide de l'interface de lignes de commande, la chaîne INSTANCE_PATH n'est pas traduite en allemand et en espagnol.
Sur Linux, les instances de Directory Server ne démarrent pas lors du redémarrage du système si le nombre maximum de fichiers est spécifié dans le fichier /etc/security/limits.conf.
Pour remédier à ce problème, ajoutez ce qui suit dans le fichier etc/init.d/dsee_directory.
# ulimit -Hn 65536 # ulimit -Sn 65536 |
Les fenêtres contextuelles, invitant à confirmer l'arrêt ou l'annulation de l'enregistrement des serveurs, contiennent des guillemets doubles en français.