在 Trusted Extensions 系统上配置 Oracle Directory Server Enterprise Edition

请告诉我们如何提高我们的文档：

Your rating has been updated

感谢您的反馈！

您的反馈将非常有助于我们提供更好的文档。您是否愿意参与我们的内容改进并提供进一步的意见？

在 Trusted Extensions 系统上配置 Oracle Directory Server Enterprise Edition

LDAP 命名服务是适用于 Trusted Extensions 的受支持的命名服务。如果您的站点尚未运行 LDAP 命名服务，请在配置有 Trusted Extensions 的系统上配置 Oracle Directory Server Enterprise Edition (Directory Server)。

如果您的站点已经在运行 Directory Server，则您需要向服务器添加 Trusted Extensions 数据库。为访问 Directory Server，您需要在 Trusted Extensions 系统上设置一个 LDAP 代理。

注 - 如果不将此 LDAP 服务器用作 NFS 服务器或 Sun Ray 客户机的服务器，那么您不需要在此服务器上安装任何有标签区域。

收集用于 LDAP 的 Directory Server 的信息

确定以下各项的值。

这些项按其在系统安装向导中的出现顺序列出。

安装向导提示	操作或信息
Oracle Directory Server Enterprise Edition `version`
Administrator User ID（管理员用户 ID）	缺省值为 `admin`。
Administrator Password（管理员口令）	创建一个口令，如 `admin123`。
Directory Manager DN（目录管理员 DN）	缺省值为 `cn=Directory Manager`。
Directory Manager Password（目录管理员口令）	创建一个口令，如 `dirmgr89`。
Directory Server Root（Directory Server 根目录）	缺省值为 `/var/Sun/mps`。如果安装了代理软件，以后还会使用此路径。
Server Identifier（服务器标识符）	缺省值是本地系统。
Server Port（服务器端口）	如果计划使用 Directory Server 来为客户机系统提供标准 LDAP 命名服务，请使用缺省值 `389`。如果计划使用 Directory Server 来支持代理服务器的后续安装，请输入一个非标准端口，如 `10389`。
Suffix（后缀）	包括您的域组件，如 `dc=example-domain,dc=com` 中所示。
Administration Domain（管理域）	为与后缀相对应而构造，如 `example-domain.com` 中所示。
System User（系统用户）	缺省值为 `root`。
System Group（系统组）	缺省值为 `root`。
Data Storage Location（数据存储位置）	缺省值为 `Store configuration data on this server（将配置数据存储在此服务器上）`。
Data Storage Location（数据存储位置）	缺省值为 `Store user data and group data on this server（将用户数据和组数据存储在此服务器上）`。
Administration Port（管理端口）	缺省值为服务器端口。更改缺省值的建议约定为 `software-version` 的 `1000` 倍。对于软件版本 `5.2`，此约定将得到端口 `5200`。

安装 Oracle Directory Server Enterprise Edition

可以从 Sun 软件产品的 Oracle Web 站点中获取 Directory Server 软件包。

开始之前

您的 Trusted Extensions 系统上安装了一个全局区域。系统上没有带标签的区域。您必须在全局区域中承担 root 角色。

Trusted Extensions LDAP 服务器是为使用 pam_unix 向 LDAP 系统信息库进行验证的客户机配置的。使用 pam_unix 时，口令操作由客户机确定，因此口令策略也由客户机确定。说得明确一点，也就是不使用由 LDAP 服务器设置的策略。有关可在客户机上设置的口令参数，请参见《Oracle Solaris 11.1 管理：安全服务》中的"管理口令信息"。有关 pam_unix 的信息，请参见 pam.conf(4) 手册页。

注 - LDAP 客户机上 pam_ldap 的使用是 Trusted Extensions 的未经评估的配置。

在安装 Directory Server 软件包之前，将 FQDN 添加至您的系统的主机名条目。
FQDN 是指 Fully Qualified Domain Name（全限定域名）。此名称是主机名和管理域的组合，如下例所示：
```
## /etc/hosts
...
192.168.5.5 myhost myhost.example-domain.com
```
从 Sun 软件产品的 Oracle Web 站点中下载 Oracle Directory Server Enterprise Edition软件包。
选择适用于您平台的最新软件。
安装 Directory Server 软件包。
使用收集用于 LDAP 的 Directory Server 的信息中的信息来回答问题。有关问题、缺省值以及建议答案的完整列表，请参见《Oracle Solaris Administration: Naming and Directory Services》中的第 11 章 "Setting Up Oracle Directory Server Enterprise Edition With LDAP Clients (Tasks)"和《Oracle Solaris Administration: Naming and Directory Services》中的第 12 章 "Setting Up LDAP Clients (Tasks)"。

可选将 Directory Server 的环境变量添加到您的路径。

# $PATH
/usr/sbin:.../opt/SUNWdsee/dsee6/bin:/opt/SUNWdsee/dscc6/bin:/opt/SUNWdsee/ds6/bin:
/opt/SUNWdsee/dps6/bin

可选将 Directory Server 手册页添加到您的 MANPATH。
```
/opt/SUNWdsee/dsee6/man
```

启用 cacaoadm 程序，并验证是否已启用此程序。

# /usr/sbin/cacaoadm enable
# /usr/sbin/cacaoadm start
start: server (pid n) already running

确保每次引导时 Directory Server 都会启动。
Directory Server 的 SMF 服务的模板包含在 Oracle Directory Server Enterprise Edition软件包中。
- 对于 Trusted Extensions Directory Server，请启用此服务。
```
# dsadm stop /export/home/ds/instances/your-instance
# dsadm enable-service -T SMF /export/home/ds/instances/your-instance
# dsadm start /export/home/ds/instances/your-instance
```
  有关 dsadm 命令的信息，请参见 dsadm(1M) 手册页。
- 对于代理 Directory Server，请启用此服务。
```
# dpadm stop /export/home/ds/instances/your-instance
# dpadm enable-service -T SMF /export/home/ds/instances/your-instance
# dpadm start /export/home/ds/instances/your-instance
```
  有关 dpadm 命令的信息，请参见 dpadm(1M) 手册页。

验证您的安装。

# dsadm info /export/home/ds/instances/your-instance
Instance Path:         /export/home/ds/instances/your-instance
Owner:                 root(root)
Non-secure port:       389
Secure port:           636
Bit format:            32-bit
State:                 Running
Server PID:            298
DSCC url:              -
SMF application name:  ds--export-home-ds-instances-your-instance
Instance version:      D-A00

故障排除

有关解决 LDAP 配置问题的策略，请参见《在 Oracle Solaris 11.1 中使用命名和目录服务》中的第 13 章 "LDAP 故障排除（参考信息）"。

为 Directory Server 创建 LDAP 客户机

您将使用此客户机来置备您用于 LDAP 的 Directory Server。在置备 Directory Server 之前必须执行此任务。

您可以在 Trusted Extensions Directory Server 上临时创建客户机，然后在服务器上删除此客户机，您也可以创建独立的客户机。

开始之前

您是全局区域中的 root 角色。

将 Trusted Extensions 软件添加到系统中。
可以使用 Trusted Extensions Directory Server，或者将 Trusted Extensions 添加到独立的系统中。

在客户机上，在 name-service/switch 服务中配置 LDAP。

显示当前配置。

# svccfg -s name-service/switch listprop config
config                       application
config/value_authorization   astring       solaris.smf.value.name-service.switch
config/default               astring       "files ldap"
config/host                  astring       "files dns"
config/netgroup              astring       ldap
config/printer               astring       "user files ldap"

更改以下属性的缺省值：

# svccfg -s name-service/switch setprop config/host = astring: "files ldap dns"

在全局区域中，运行 ldapclient init 命令。

在本例中，LDAP 客户机位于 example-domain.com 域中。服务器的 IP 地址为 192.168.5.5。

# ldapclient init -a domainName=example-domain.com -a profileName=default \
> -a proxyDN=cn=proxyagent,ou=profile,dc=example-domain,dc=com \
> -a proxyDN=cn=proxyPassword={NS1}ecc423aad0 192.168.5.5
System successfully configured

将服务器的 enableShadowUpdate 参数设置为 TRUE。
```
# ldapclient -v mod -a enableShadowUpdate=TRUE \
> -a adminDN=cn=admin,ou=profile,dc=example-domain,dc=com
System successfully configured
```
有关 enableShadowUpdate 参数的信息，请参见《Oracle Solaris Administration: Naming and Directory Services》中的"enableShadowUpdate Switch"和 ldapclient(1M) 手册页。

配置 Oracle Directory Server Enterprise Edition的日志

此过程将配置三种类型的日志：访问日志、审计日志和错误日志。将不会更改以下缺省设置：

启用并缓冲所有日志。
将日志放置在相应的 /export/home/ds/instances/your-instance/logs/LOG_TYPE 目录中。
以日志级别 256 记录事件。
使用 600 文件权限保护日志。
访问日志每天轮转一次。
错误日志每周轮转一次。

此过程中的设置满足以下要求：

审计日志每天轮转一次。
超过 3 个月的日志文件将到期。
所有日志文件最多可使用 20,000 MB 磁盘空间。
最多可保留 100 个日志文件，且每个文件最多 500 MB。
如果可用的空闲磁盘空间小于 500 MB，则删除最旧的日志。
在错误日志中收集其他信息。

开始之前

您必须在全局区域中承担 root 角色。

配置访问日志。

访问的 LOG_TYPE 为 ACCESS。用于配置日志的语法如下：

dsconf set-log-prop LOG_TYPE property:value

# dsconf set-log-prop ACCESS max-age:3M
# dsconf set-log-prop ACCESS max-disk-space-size:20000M
# dsconf set-log-prop ACCESS max-file-count:100
# dsconf set-log-prop ACCESS max-size:500M
# dsconf set-log-prop ACCESS min-free-disk-space:500M

配置审计日志。

# dsconf set-log-prop AUDIT max-age:3M
# dsconf set-log-prop AUDIT max-disk-space-size:20000M
# dsconf set-log-prop AUDIT max-file-count:100
# dsconf set-log-prop AUDIT max-size:500M
# dsconf set-log-prop AUDIT min-free-disk-space:500M
# dsconf set-log-prop AUDIT rotation-interval:1d

缺省情况下，审计日志的轮转时间间隔是一周。

配置错误日志。

在此配置中，您将指定要在错误日志中收集的其他数据。

# dsconf set-log-prop ERROR max-age:3M
# dsconf set-log-prop ERROR max-disk-space-size:20000M
# dsconf set-log-prop ERROR max-file-count:30
# dsconf set-log-prop ERROR max-size:500M
# dsconf set-log-prop ERROR min-free-disk-space:500M
# dsconf set-log-prop ERROR verbose-enabled:on

可选进一步配置日志。
您还可以为每个日志配置以下设置：
```
# dsconf set-log-prop LOG_TYPE rotation-min-file-size:undefined
# dsconf set-log-prop LOG_TYPE rotation-time:undefined
```
有关 dsconf 命令的信息，请参见 dsconf(1M) 手册页。

为 Oracle Directory Server Enterprise Edition配置多级别端口

要在 Trusted Extensions 中工作，必须在全局区域中将 Directory Server 的服务器端口配置为多级别端口 (multilevel port, MLP)。

开始之前

您必须在全局区域中承担 root 角色。

启动 txzonemgr。
```
# /usr/sbin/txzonemgr &
```
向全局区域添加一个用于 TCP 协议的多级别端口。
端口号为 389。
向全局区域添加一个用于 UDP 协议的多级别端口。
端口号为 389。

置备 Oracle Directory Server Enterprise Edition

已创建或修改了多个 LDAP 数据库，用以保存有关标签配置、用户和远程系统的 Trusted Extensions 数据。在此过程中，您将使用 Trusted Extensions 信息置备 Directory Server 数据库。

开始之前

您必须在全局区域中承担 root 角色。您的 LDAP 客户机上启用了投影更新。有关先决条件，请参见为 Directory Server 创建 LDAP 客户机。

为您计划用来置备命名服务数据库的文件创建一个暂存区域。
```
# mkdir -p /setup/files
```

将样例 /etc 文件复制到暂存区域中。

# cd /etc
# cp aliases group networks netmasks protocols /setup/files
# cp rpc services auto_master /setup/files

# cd /etc/security/tsol
# cp tnrhdb tnrhtp /setup/files

注意 - 请勿复制 *attr 文件。而是在向 LDAP 系统信息库添加用户、角色和权限配置文件的命令中使用 -S ldap 选项。这些命令可为 user_attr、auth_attr、exec_attr 和 prof_attr 数据库添加条目。有关更多信息，请参见 user_attr(4) 和 useradd(1M) 手册页。

从 /setup/files/auto_master 文件中删除 +auto_master 条目。

在暂存区域中创建区域自动映射。

# cp /zone/public/root/etc/auto_home_public /setup/files
# cp /zone/internal/root/etc/auto_home_internal /setup/files
# cp /zone/needtoknow/root/etc/auto_home_needtoknow /setup/files
# cp /zone/restricted/root/etc/auto_home_restricted /setup/files

在以下自动映射列表中，每一对行中的第一行显示了文件的名称。每一对行中的第二行显示了文件内容。区域名称标识 Trusted Extensions 软件中包含的缺省 label_encodings 文件中的标签。

使用您的区域名称替换这些行中的区域名称。
myNFSserver 标识 NFS 服务器的起始目录。

/setup/files/auto_home_public
 * myNFSserver_FQDN:/zone/public/root/export/home/&

/setup/files/auto_home_internal
 * myNFSserver_FQDN:/zone/internal/root/export/home/&

/setup/files/auto_home_needtoknow
 * myNFSserver_FQDN:/zone/needtoknow/root/export/home/&

/setup/files/auto_home_restricted
 * myNFSserver_FQDN:/zone/restricted/root/export/home/&

通过 ldapaddent 命令，使用暂存区域中的所有文件置备 Directory Server。
例如，以下命令基于暂存区域中的 hosts 文件置备服务器。
```
# /usr/sbin/ldapaddent -D "cn=directory manager" \
-w dirmgr123 -a simple -f /setup/files/hosts hosts
```
如果在 Trusted Extensions Directory Server 上运行 ldapclient 命令，则会在该系统上禁用客户机。
在全局区域中，运行 ldapclient uninit 命令。使用详细输出来验证该系统不再是 LDAP 客户机。
```
# ldapclient -v uninit
```
有关更多信息，请参见 ldapclient(1M) 手册页。
要置备 LDAP 中的 Trusted Extensions 网络数据库，请使用带有 -S ldap 选项的 tncfg 命令。
有关说明，请参见为主机和网络设置标签（任务）。

跳过导航链接
退出打印视图
	Trusted Extensions 配置和管理 Oracle Solaris 11.1 Information Library (简体中文)