Print-friendly Version

Sun Java System Directory Server 6.0 comme service d'attribution de noms LDAP: partie 1 -- Installation et configuration

Jonathan Gershater, Sun Microsystems et Vineeth Katarki, Mascon Global Limited (MGL); octobre 2007 (mise à jour février 2008)

Cette rubrique fournit les instructions pour déployer Sun Java System Directory Server 6.0 (appelé par la suite "Serveur d'Annuaire") qui fait partie de Sun Java System Directory Server 6.0 Enterprise Edition, en tant que service de nommage pour clients UNIX exécutant AIX 5.3, Red Hat Linux version 4, mise à jour 4, ou le système d'exploitation Solaris 8, 9 ou 10.

Contenu de l'article

Cet article contient quatre parties :

• Partie 1 -- Installation et configuration
• Partie 2 -- Configurations client pour le système d'exploitation Solaris
• Partie 3 -- Configurations client pour Red Hat Linux et AIX
• Partie 4 -- Tâches de post-configuration

Remarque : lorsque vous exécutez les commandes décrites dans les procédures de cet article, remplacez COMPANY par une valeur appropriée à votre environnement.

Partie 1 -- Installation et configuration

Partie 1 Contenu

La partie 1 aborde les thèmes suivants, qui fournissent des informations liées à l'installation et à la configuration de Directory Server en tant que service de nommage pour les clients LDAP natifs :

• Considérations commerciales et implications
• Architecture de service d'annuaire
• Exigences d'environnement
• Présentation des étapes de déploiement
• La documentation de Directory Server
• L'installation de Directory Server
• La configuration de Sun Java Web Console et de Directory Server
• Configuration de SSL et du script idsconfig
  • Configuration de SSL en utilisant des certificats signés CA
  • Modification du script idsconfig
• Configuration de la réplication
• La sauvegarde et la restauration de données
• Gestion des entrées LDAP de groupes et groupes réseau
  • Ajout de groupes réseau à l'aide de la console
  • Ajout de groupes réseau en utilisant la ligne de commande
  • Modification de groupes de réseau à l'aide de la console
  • Modification de groupes de réseau en utilisant la ligne de commande
  • Suppression de groupes de réseau à l'aide de la console
  • Suppression de groupes de réseau en utilisant la ligne de commande
  • Ajout de groupes à l'aide de la console
  • Ajout de groupes en utilisant la ligne de commande
  • Modification de groupes à l'aide de la console
  • Modification de groupes en utilisant la ligne de commande
  • Suppression de groupes à l'aide de la console
  • Suppression de groupes en utilisant la ligne de commande
• Réglage des paramètres
  • Réglage du système d'exploitation
  • Réglage de Directory Server
• Désinstallation de Directory Server
• Pour plus d'informations

Considérations commerciales et implications

Les considérations commerciales et les implications de migration des serveurs et postes (clients) UNIX pour une utilisation de LDAP comme service de nommage doivent être soigneusement prises en considération avant d'entreprendre le projet.

Lorsque LDAP est utilisé comme un service de nommage pour les clients UNIX, alors un ID utilisateur unique est créé pour chaque utilisateur et un numéro d'identification de groupe unique pour chaque groupe. En d'autres termes, en l'absence de nommage ou de numérotation d'utilisateurs et de groupes cohérents avant migration, les activités suivantes doivent faire partie de la migration.

1. Une consolidation devra être effectuée pour choisir un ID utilisateur unique pour chaque utilisateur et un ID de groupe pour chaque groupe. Ce processus manuel sert à collecter tous les fichiers /etc/passwd et /etc/group de chaque client. Les données sont ensuite analysées dans une feuille de calcul. Si les utilisateurs et les groupes ont de nombreux ID utilisateur et ID de groupe de même nom, une stratégie typique consiste à sélectionner les ID utilisateur et ID de groupe uniques ayant le plus d'utilisateurs et de groupes. Par exemple, la consolidation du groupe dba sur deux serveurs :

dba:x:1115:duncan,marion       In server1 /etc/group
dba:x:2000:kevin,jim           In server2 /etc/group

Lorsque les fichiers sont fusionnés, l'entrée de groupe dba peut être :

dba:x:2000:duncan,marion,kevin,jim

Les feuilles de calcul sont utiles ; une feuille de calcul simple peut se présenter comme indiqué dans le Tableau 1.

2. Étant donné que de nouveaux ID utilisateur et ID de groupe sont affectés, certains clients UNIX peuvent avoir des numéros ID utilisateur et ID de groupe différents pour les utilisateurs et les groupes. Par conséquent, lors de la migration, les numéros d'ID utilisateur et ID de groupe doivent changer. Certaines instances peuvent également avoir des applications dont les numéros d'ID utilisateur et de groupe sont codés en dur. L'impact des modifications de numéros ID utilisateur et ID de groupe des stations de travail et des serveurs UNIX signifie que les commandes chown et chgrp doivent être exécutées sur le système de fichiers. Selon le nombre de fichiers, ce processus peut prendre un temps considérable. Un temps d'arrêt du système est nécessaire, les utilisateurs ne devant pas accéder aux fichiers pendant la modification des numéros d'ID utilisateur de groupe. Il est donc vivement recommandé que les commandes chown et chgrp soient exécutées lorsque le serveur est en mode mono-utilisateur (exécutez boot-s ou init 0).

3. Un serveur peut avoir des fichiers dont les numéros d'ID utilisateur et de groupe n'existent plus dans /etc/passwd et /etc/group Il est possible de trouver ces fichiers avec cette commande :

find / '(' -nouser -o -nogroup ')' -ls

Elle renvoie une liste de fichiers devant probablement être examinée manuellement pour déterminer les utilisateurs et/ou groupes nouveaux ou existants à réattribuer.

La migration des serveurs et postes de travail UNIX vers un service d'attribution de noms LDAP doit s'accompagner d'indemnisations pour le temps d'arrêt des serveurs et les conséquences entraînées chez les utilisateurs et applications possédant un nouveau numéro ID utilisateur ou ID de groupe.

Architecture de Directory Service

La configuration décrite dans ce document présente l'architecture suivante :

• Directory Server est installé sur deux serveurs dans chaque centre de données (appelé ci-dessous "serveurs d'annuaire"), comme le montre la figure 1. Deux serveurs d'annuaire dans chaque centre de données sont répliqués entre eux et deux serveurs d'annuaire entre chaque centre de données sont répliqués. Cette architecture fournit une configuration de basculement hautement disponible pour les clients s'authentifiant sur tout centre de données.
• Les clients auparavant configurés pour utiliser le fichier /etc sont convertis pour utiliser Directory Server en tant que service d'attribution de noms.
• Les clients LDAP natifs exécutant AIX, Linux ou le système d'exploitation Solaris se connectent à Directory Server via SSL. Les serveurs d'annuaire sont configurés avec des certificats SSL signés par une autorité de certification (AC) et non avec des certificats autosignés.
• Les groupes et groupes de réseau sont gérés à l'aide de la console Web de Directory Server Sun Java.

La Figure 1 : Architecture de Directory Server
(Cliquez sur cette option pour agrandir)

Auparavant, les systèmes UNIX et Linux ont été généralement configurés pour le service de nommage NIS ou individuellement géré à l'aide de fichiers locaux dans le répertoire /etc. Directory Server peut être utilisé comme un service de nommage pour les clients LDAP natifs. Cela signifie que Directory Server fait office de référentiel pour :

• Les utilisateurs qui se connectent à AIX, Linux, et serveurs et postes Solaris
• Groupes d'utilisateurs
• Les stratégies de mots de passe régissant les mots de passe d'utilisateur
• Groupes réseau limitant l'accès utilisateur aux serveurs et postes spécifiés
• Stratégies régissant les utilisateurs inactifs

L'architecture du service d'attribution de noms LDAP de Directory Server présente les avantages suivants :

• Un référentiel centralisé par des utilisateurs, des groupes, des stratégies de mot de passe, et groupes réseau
• Un référentiel pour la réplication des informations, qui offre une haute capacité de basculement et de haute disponibilité
• Référentiel hautement évolutif, puisque l'ajout de stations incrémentielle entraîne une charge minimale pour les serveurs d'annuaire

Exigences d'environnement

Il est supposé que les conditions suivantes s'appliquent pour votre environnement actuellement ou qu'elles s'appliqueront après avoir appliqué les procédures suivantest :

• Directory Server version 6.0 est installé sur les quatre serveurs d'annuaire qui sont exécutés sous Solaris 10 avec tous les patchs nécessaires.
• SSL sera utilisé pour toutes les communications entre les serveurs d'annuaire et entre les serveurs d'annuaire et le AIX, Linux et clients du système d'exploitation Solaris.
• Il n'y a aucun environnement NIS/NIS+ existant.
• Regroupez les données d'utilisateurdes fichiers /etc/passwd et /etc/group locaux sur tous les clients LDAP natifs et appliquez l'unicité uidNumber.
• Le module PAM (Pluggable Authentication Module) pam_ldap de Solaris est utilisé exclusivement pour les utilisateurs répertoire et gestion des comptes.
• Des groupes de réseau seront utilissé pour contrôler l'accès des utilisateurs à n'importe quel serveur géré par le service d'attribution de noms de Directory Server.

Présentation des étapes de déploiement

Vous trouverez ci-après les étapes générales à suivre pour configurer le service d'attribution de noms :

1. Installez et configurez Directory Server pour prendre en charge les services d'attribution des clients.
2. Configurez les serveurs UNIX qui exécutent Solaris 8, 9 ou 10, Red Hat Linux 4 Mise à jour 4 ou version AIX 5.3 pour utiliser les serveurs d'annuaire.
3. Chargez les données utilisateur dans le logiciel Directory Server.

La documentation de Directory Server

Voici les liens vers la documentation Directory Server connexe :

• Sun Java System Directory Server Enterprise Edition 6.0 documentation
• Sun Java System Directory Server Enterprise Edition 6.0 Installation Guide
• Entrée de blog sur l'installation utiles Sun Java System Directory Server Enterprise Edition 6.0

L'installation de Directory Server

Exécutez la procédure suivante sur un serveur d'annuaire. Plus tard, les données seront copiées dans d'autres serveurs d'annuaire en utilisant la réplication standard de Directory Server. La réplication ne fait pas l'objet de cet article, mais il elle est présentée dans le Manuel d'administration de Sun Java System Directory Server Enterprise Edition 6.0.

Remarque : il est fortement recommandé que le logiciel Directory Server soit installé dans l'ordre indiqué dans cette section.

1. Assurez-vous que le package Solaris requis, SUNWnisu, est installé.

2. Assurez-vous que les correctifs Solaris requis sont installés :

• SunOS 5.10 : patch de noyau 118833 (SUNWnisu doit être installé en premier)
• SunOS 5.10 : patch de bibliothèque partagée pour C++ 119963
• SunOS 5.10 : patch mise à jour fuseaux horaires 122032

3. Téléchargez le package du serveur d'annuaire http://www.sun.com/software/products/directory_srvr_ee/get1.jsp, comme indiqué dans la figure 2, puis installez-le

Remarque : assurez-vous de télécharger et installer la version de package natif (PKG) de Directory Server.

Figure 2 : répertoire de téléchargement du serveur
(Cliquez sur cette option pour agrandir)

La configuration de Sun Java Web Console et serveur d'annuaire

Exécutez la procédure suivante sur chaque serveur d'annuaire. Si la console Web Java, puis DSEE services ne sont pas démarré, puis lancez-les par des instructions #1 et #2 ci-dessous. De même, si vous n'avez pas créé un suffixe au cours de l'installation, créez un suffixe par instruction #3 ci-dessous.

1. Démarrage de Sun Java Web Console :

# /usr/sbin/smcwebserver start
Starting Sun Java(TM) Web Console Version 3.0.2 ...
The console is running

2. Démarrez le Common Agent :

# /usr/sbin/cacaoadm start

3. Créez le suffixe :

# /opt/SUNWdsee/ds6/bin/dsconf create-suffix -h server1.COMPANY.com -p 389 dc=COMPANY,dc=com
Certificate "CN=server1.COMPANY.com, CN=636, CN=Directory Server,
  O=Sun Microsystems" presented by the server is not trusted.
Type "Y" to accept, "y" to accept just once, "n" to refuse,
  "d" for more details: Y
Enter "cn=Directory Manager" password:
	  

4. Placez le mot de passe de la base de données de certificats dans un fichier :

#pwd
/var/opt/SUNWdsee/dsins1
# cat > certpassword.txt
secretpassword^D
	

5. Définir le mot de passe de la base de données de certificats :

#/opt/SUNWdsee/ds6/bin/dsadm stop /var/opt/SUNWdsee/dsins1
#/opt/SUNWdsee/ds6/bin/dsadm set-flags /var/opt/SUNWdsee/dsins1
  cert-pwd-prompt=on
Choose the new certificate database password:
Confirm the new certificate database password:
Certificate database password successfully updated.

6. Démarrage de Directory Server :

# ./dsadm start --cert-pwd-file /var/opt/SUNWdsee/dsins1/
  certpassword.txt /var/opt/SUNWdsee/dsins1

7. Enregistrez l'instance du serveur d'annuaire dans le centre de contrôle de Directory Service (DSCC) :

# pwd
/opt/SUNWdsee/ds6/bin
# cd ../../dscc6/bin
# ./dsccreg add-server /var/opt/SUNWdsee/dsins1
Enter DSCC administrator's password:
/var/opt/SUNWdsee/dsins1 is an instance of DS
Enter password of "cn=Directory Manager" for
  /var/opt/SUNWdsee/dsins1:
This operation will restart /var/opt/SUNWdsee/dsins1.
Do you want to continue? (y/n) y
Connecting to /var/opt/SUNWdsee/dsins1
Enabling DSCC access to /var/opt/SUNWdsee/dsins1
Restarting /var/opt/SUNWdsee/dsins1
Registering /var/opt/SUNWdsee/dsins1 in DSCC on localhost.

8. Configurez Directory Server pour qu'il se lance automatiquement au redémarrage:

a Activer le service (démarrer Directory Server) :

# ./dsadm enable-service --type SMF /var/opt/SUNWdsee/dsins1
Registering 'Directory Server' as 'application/sun/ds' in SMF ...
Registering '/var/opt/SUNWdsee/dsins1' as
  'ds--var-opt-SUNWdsee-dsins1' in SMF ...
Instance /var/opt/SUNWdsee/dsins1 registered in SMF

b. Confirmez que l'utilitaire de gestion des services (SMF) existe :

# svcs | grep ds
online    22:46:31 svc:/application/sun/ds:ds--var-opt-
  SUNWdsee-dsins1

c. Tentez de vous connecter au serveur Directory Server :

# telnet localhost 389
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
^CConnection to localhost closed by foreign host.

d. Désactivez le service (arrêter Directory Server) :

# svcadm disable ds:ds--var-opt-SUNWdsee-dsins1

e. Tentez de vous connecter au serveur Directory Server :

# telnet localhost 389
Trying 127.0.0.1...
telnet: connect to address 127.0.0.1: Connection refused
Trying ::1...
telnet: Unable to connect to remote host: Network is unreachable

9. (Facultatif) Configurez la console Web Sun Java pour qu'elle démarre automatiquement à l'aide de la commande suivante :

# smcwebserver enable

10. (Facultatif) Configurez le conteneur d'agent commun (cacao) pour démarrer automatiquement à l'aide de la commande suivante :

# cacaoadm enable

Configuration de SSL et le script idsconfig

Suivez les procédures ci-dessous pour modifier la configuration au standard Directory Server installation sur chaque serveur d'annuaire.

Configuration de SSL en utilisant des certificats signés AC

1. Requête de certificats AC.

Les iinformations exactes requises dépendent de votre autorité de certification (AC). L'exemple suivant concerne une ville quelconque de Californie, USA.

a. Créez une requête de certificat :

/opt/SUNWdsee/ds6/bin/dsadm request-cert --city "Any City"
--country "US" -F ascii --name server --org "Organization"
--org-unit "Org unit" --state CA -o /tmp/CertReq
/var/opt/SUNWdsee/dsins1

La requête ci-dessus est au format ASCII (-f ascii), et le fichier de sortie est le suivant\~:

b. Demandez un certificat de serveur à votre AC.

Le certificat de serveur que vous recevez de votre AC est dans le format PEM. Copiez le texte du -----BEGIN CERTIFICATE ----- via -----END CERTIFICATE -----, copiez-le dans un éditeur de texte et enregistrer le fichier sur votre station de travail.

c. Téléchargez le fichier vers le serveur d'annuaire sous /tmp/fichiercert

Remarque : en plus de demander un certificat de serveur, vous devez demander les certificats de signature AC de votre AC afin que les clients et d'autres serveurs d'annuaire fassent confiance au certificat de serveur signé AC. Elles doivent être la racine et tout AC intermédiaire certificats de signature. Envoyez ces au serveur d'annuaire que /tmp/certificat CACert

2. Ajoutez le serveur et certificats d'AC sur Directory Server.

a. Ajoutez le certificat serveur SSL :

Utilisation dsadm

#/opt/SUNWdsee/ds6/bin/dsadm add-cert /var/opt/sun/dsins1
ServerCert /tmp/CerFile

Autre méthode qui utilise certutil

# /usr/sfw/bin/certutil -A -n ServerCert -t u,u,u -d
/var/opt/SUNWdsee/dsins1/alias -i /tmp/CertFile

b. Définir le serveur ajouté certificat comme le répertoire par défaut certificat de serveur :

/opt/SUNWEdsee/ds6/bin/dsconf set-server-prop -e -p 389
ssl-rsa-cert-name:ServerCert

c. Ajoutez l'AC certificats de signature :

Utilisation dsadm

/opt/SUNWdsee/ds6/bin dsadm add-cert -C /var/opt/sun/dsins1
CACert /tmp/cacert.pem

Autre méthode qui utilise certutil

# /usr/sfw/bin/certutil -A -n CA -t CT,, -d
/var/opt/SUNWdsee/dsins1/alias -i /tmp/CACert

d. Affichez les certificats de serveur ajoutés :

Utilisation dsadm

e. Affichez les certificats AC ajoutés :

Autre méthode qui utilise certutil

/usr/sfw/bin/certutil -L -P slapd- -d /var/opt/SUNWdsee/dsins1/alias

defaultCert                                             CTu,u,u
ServerCert                                                u,u,u
Root CA                                                 CT,,

f. Redémarrez Directory Server :

/opt/SUNWdsee/dsadm restart /var/opt/SUNWdsee/dsins1

Modification du script idsconfig

L'objectif du script idsconfig est de configurer Directory Server pour que les clients LDAP natifs puissent l'utiliser. Le script ajoute le schéma, des objets et les index requis pour les clients LDAP natifs pour l'authentification et obtenir des informations UNIX de Directory Server. Le script se trouve dans /usr/lib/ldap/idsconfig

Utilisez la procédure suivante si Directory Server est installé sur un serveur exécutant le SE Solaris 10 11/06 ou une version antérieure du système d'exploitation Solaris.

1. Le script vérifie si Directory Server est la version 5 et se ferme si tout autre version est utilisée. Par conséquent, vous devez mettre en commentaire de la seconde sortie 1, instruction, comme indiqué dans le mettant en gras dans l'exemple suivant :

chk_ids_version()
{
[ $DEBUG -eq 1 ] &&  "In chk_ids_version()"
# check iDS version number.
eval "  -b cn=monitor -s base
  \"objectclass=*\" version |  \"^version=\" | cut -f2 -d'/'
  | cut -f1 -d' ' > /checkDSver 2>&1"
if [ $? -ne 0 ]; then
 "ERROR: Can not determine the version number of iDS!"
exit 1
fi
IDS_VER=`cat /checkDSver`
IDS_MAJVER=`  | cut -f1 -d.`
IDS_MINVER=`  | cut -f2 -d.`
if [ "" != "5" ]; then
 "ERROR: $PROG only works with iDS version 5.x, not
  ."

# exit 1
fi
if [ $DEBUG -eq 1 ]; then
 " IDS_MAJVER = $IDS_MAJVER"
 " IDS_MINVER = $IDS_MINVER"
fi

2. La fin du script vous demande de commandes pour exécuter manuellement la commande directoryserver affichage de la liste virtuelle, index, mais /usr/sbin/directoryserver ne s'appliquent pas à Directory Server 6.0. Voici les commandes équivalentes pour Directory Server 6.0. Remplacer et de l'entreprise l'instance de votre serveur d'annuaire, en tant que nécessaire.

.../dsadm reindex -l -t company.com.getgrent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.gethostent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getnetent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getrpcent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getspent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getauhoent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getauhoent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getsoluent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getauhoent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getauduent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getauthent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getexecent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getprofent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getmailent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getbootent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getethent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getngrpent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getipnent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getmaskent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getprent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getip4ent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com
..../dsadm reindex -l -t company.com.getip6ent
/var/opt/SUNWdsee/dsins2 dc=company,dc=com

Les éléments suivants sont générés à partir d'une idsconfig capturée :

Configuration de la réplication

Une fois Directory Server  installé et configuré sur les quatre serveurs d'annuaire, procédez comme suit pour configurer la réplication sur (SSL) sur chaque des deux paires de serveurs d'annuaire (désigné ci-dessous en tant que "serveur d'annuaire #1" et "serveur d'annuaire #2").

1. Configurer le gestionnaire de réplication temporaire passe :

a. Exécutez la commande suivante sur les deux serveurs :

# echo password > var/opt/SUNWdsee/dsins1/replpassword.txt

b. Sur directory server #1, exécutez la commande suivante :

# /opt/SUNWdsee/ds6/bin/dsconf set-server-prop -e  -h
  server1.COMPANY.com -p 389
def-repl-manager-pwd-file:/var/opt/SUNWdsee/dsins1/replpassword.txt

c. Sur directory server #2, exécutez la commande suivante :

# /opt/SUNWdsee/ds6/bin/dsconf set-server-prop -e  -h
  server2.COMPANY.com -p 389
def-repl-manager-pwd-file:/var/opt/SUNWdsee/dsins1/replpassword.txt

2. Activer master-à-master replication :

a. Exécutez la commande suivante sur directory server #1 :

# /opt/SUNWdsee/ds6/bin/dsconf enable-repl -h
  server1.COMPANY.com -p 389 -e -d 1
  master dc=COMPANY,dc=com

b. Exécutez la commande suivante sur directory server #2 :

# /opt/SUNWdsee/ds6/bin/dsconf enable-repl -h
  server2.COMPANY.com  -p 389 -e -d 2
  master dc=COMPANY,dc=com

3. Remplacez les certificats de serveur signés AC pour activer la réplication sur SSL :

Remarque : reportez-vous à la section "Exportation et importation de certificats de serveur signés AC" du Guide d'administration pour plus d'informations.

a. Sur directory server #1, exécutez la commande suivante :

#/opt/SUNWdsee/ds6/bin/dsadm export-cert -o /var/tmp/certfile1
  /var/opt/SUNWdsee/dsins1 "CompanyCertificate"

b. Copiez certfile1 pour server2.COMPANY.com en exécutant la commande suivante sur directory server #2 :

#/opt/SUNWdsee/ds6/bin/dsadm export-cert -o /var/tmp/certfile2
  /var/opt/SUNWdsee/dsins1 "CompanyCertificate"

c. Copie certfile2 à server1.COMPANY.com à l'aide du protocole FTP ou toute méthode similaire.

4. Ajoutez les certificats de serveur exportés aux serveurs respectifs :

Remarque : dans l'exemple suivant, dsins1 se comporte comme le serveur d'annuaire #1 et dsins2 comme le serveur d'annuaire #2.

# /opt/SUNWdsee/ds6/bin/dsadm add-cert /var/opt/SUNWdsee/dsins1
  "COMPANYCert" certfile2

# /opt/SUNWdsee/ds6/bin/dsadm add-cert --ca /var/opt/SUNWdsee/dsins2/
  "ds2 Repl Manager Cert" certfile1

# /opt/SUNWdsee/ds6/bin/dsadm import-cert /var/opt/SUNWdsee/dsins1
  certfile2
Enter the PKCS#12 file password:
A certificate with the same subject (CN=VI CATest2,O=COMPANY,C=US)
  already exists in the database.
Do you want to continue [y/n]? y
A certificate with the same subject (CN=TEST COMPANY, O=COMPANY,C=US)
  already exists in the database.
Do you want to continue [y/n]? y

5. Créer des accords de réplication :

Remarque : les ports LDAP sécurisés sont utilisés pour les accords de réplication.

a. Exécutez la commande suivante sur Directory Server #1 :

# /opt/SUNWdsee/ds6/bin/dsconf create-repl-agmt -h
  server1.COMPANY.com  -p 389 -e --auth-protocol "ssl-simple"
  dc=COMPANY,dc=com server2.COMPANY.com:636

b. Exécutez la commande suivante sur Directory Server #2 :

# /opt/SUNWdsee/ds6/bin/dsconf create-repl-agmt -h
  server2.COMPANY.com  -p 389 -e --auth-protocol "ssl-simple"
  dc=COMPANY,dc=com server1.COMPANY.com:636

6. Configurer le mot de passe d'authentification fichier à utiliser par gestionnaire de réplication :

a. Exécutez la commande suivante sur directory server #1 :

# /opt/SUNWdsee/ds6/bin/dsconf set-repl-agmt-prop -h
  server1.COMPANY.com -p 389 -e dc=COMPANY,dc=com
  server2.COMPANY.com:636
  auth-pwd-file:/var/opt/SUNWdsee/dsins1/replpassword.txt

b. Exécutez la commande suivante sur directory server #2 :

# /opt/SUNWdsee/ds6/bin/dsconf set-repl-agmt-prop -h
  server2.COMPANY.com -p 389 -e dc=COMPANY,dc=com
  server1.COMPANY.com:636
  auth-pwd-file:/var/opt/SUNWdsee/dsins1/replpassword.txt

7. Redémarrez les serveurs d'annuaire :

# /opt/SUNWdsee/ds6/bin/dsadm restart /var/opt/SUNWdsee/dsins1

8. (Facultatif) Initialisez le suffixe sur le serveur d'annuaire 1 avec des données à partir du serveur d'annuaire 2 en exécutant la commande suivante sur le serveur d'annuaire 1 :

#/opt/SUNWdsee/ds6/bin/dsconf init-repl-dest -e -h
  server1.COMPANY.com -p 389 dc=COMPANY,dc=com
  server2.COMPANY.com.server:636

	Started initialization of "server1.COMPANY.com:389"; May 7,
	  2007 11:08:28 PM
	Sent 109 entries...
	Sent 349 entries...
	Sent 549 entries...
	Sent 550 entries.
	Completed initialization of "server1.COMPANY.com:389"; May 7,
	  2007 11:08:35 PM

La sauvegarde et la restauration de données

La sauvegarde et la restauration de données sont présentées dans le  Guide d'administration de Sun Java System Directory Server Enterprise Edition 6.0

Puisque les serveurs d'annuaire sont dans une réplication multimaître, si un serveur d'annuaire est en panne, ses données peuvent être répliquées facilement depuis l'un des autres serveurs d'annuaire. Étant donné qu'il n'y a pas un grand nombre de données, il s'agit de la méthode de prédilection pour la restauration de données.

Reportez-vous à la section " Initialisation des répliques" du Guide d'administration pour plus d'informations.

Reportez-vous également aux  informations générales sur la réplication dans le Guide d'administration.

Gestion des entrées LDAP de groupe et groupe de réseau

Pour gérer les informations à l'aide de la console Web de Sun Java, accédez à la console à l'aide de l'adresse suivante :

https://server1.COMPANY.com:6789/

Ajout de groupes de réseau à l'aide de la console

Pour ajouter des groupes de réseau à l'aide de la console, accédez à la console, puis procédez comme suit.

1. Sélectionnez Gestion des entrées.

Figure 3 : écran de gestion des entrées de répertoire
(Cliquez sur cette option pour agrandir)

2. Entrez le nom de domaine (DN).

Figure 4 : écran de spécification de l'emplacement des entrées
(Cliquez sur cette option pour agrandir)

3. Sélectionnez la classe d'objets nisNetgroup.

Figure 5 : écran de sélection de classe d'objet
(Cliquez sur cette option pour agrandir)

4. Entrez dans les attributs, comme illustré dans la figure 6 et reportez-vous à la figure 7, si nécessaire.

Figure 6 : écran de configuration des attributs
(Cliquez sur cette option pour agrandir)

Figure 7 : écran de résumé
(Cliquez sur cette option pour agrandir)

Ajout de groupes de réseau en utilisant la ligne de commande

1. Créer un fichier LDIF (Lightweight Directory Interchange Format) :

# more netgroup.ldif

dn: cn=mynisnetgroup,ou=netgroup,dc=COMPANY,dc=com
changetype: add
nisNetgroupTriple: (,user345789,)
description: SunServer
objectClass: nisNetgroup
objectClass: top
memberNisNetgroup: server3

2. Exécutez la commande ldapmodify:

# ldapmodify -h server2.COMPANY.com -D "cn=Directory Manager" -f
  netgroup.ldif
Enter bind password:
adding new entry cn=mynisnetgroup,ou=netgroup,dc=COMPANY,
  dc=com

3. Exécutez la commande ldapsearch pour vérifier le statut :

# ldapsearch -b "ou=netgroup,dc=COMPANY,dc=com" -D "cn=Directory Manager"
  "cn=mynisnetgroup"
Enter bind password:

version: 1
dn: cn=mynisnetgroup,ou=netgroup,dc=COMPANY,dc=com
nisNetgroupTriple: (,user345789,)
description: SunServer
objectClass: nisNetgroup
objectClass: top
memberNisNetgroup: server3
cn: mynisnetgroup

Modification de groupes de réseau à l'aide de la console

Pour modifier les groupes de réseau à l'aide de la console, accédez à la console, puis procédez comme suit.

1. Recherchez le groupe réseau, comme illustré dans la figure 8.

igure 8 : recherche d'un groupe de réseau
(Cliquez sur cette option pour agrandir)

2. Modifiez les attributs et cliquez sur OK.

Figure 9 : modification des attributs
(Cliquez sur cette option pour agrandir)

Modification de groupes de réseau en utilisant la ligne de commande

1. Créez un fichier LDIF :

# more netgroup.ldif
dn: cn=mynisnetgroup,ou=netgroup,dc=COMPANY,dc=com
changetype: modify
replace: nisNetgroupTriple
nisNetgroupTriple: (,user345,)

2. Exécuter ldapmodify

# ldapmodify -h server2.COMPANY.com -D "cn=Directory Manager" -f
  netgroup.ldif
Enter bind password:
modifying entry cn=mynisnetgroup,ou=netgroup,dc=COMPANY,dc=com

3. Exécutez ldapsearch pour vérifier l'état :

# ldapsearch -b "ou=netgroup,dc=COMPANY,dc=com" -D "cn=Directory
  Manager"
"cn=mynisnetgroup"

Enter bind password:
version: 1
dn: cn=mynisnetgroup,ou=netgroup,dc=COMPANY,
  dc=com
nisNetgroupTriple: (,user345,)
description: ss7ed06Server
objectClass: nisNetgroup
objectClass: top
memberNisNetgroup: ss72ed06
cn: mynisnetgroup

Suppression de groupes de réseau à l'aide de la console

Pour supprimer les groupes de réseau à l'aide de la console, accédez à la console, puis procédez comme suit.

1. Recherchez le groupe de réseau, comme décrit dans la section Modification de groupes réseau à l'aide de la console

2. Sélectionnez et supprimer le groupe réseau, comme illustré dans la figure 10.

figure 10 : recherche d'un groupe de réseau
(Cliquez sur cette option pour agrandir)

Suppression de groupes réseau en utilisant la ligne de commande

1. Créez un fichier LDIF :

# more netgroup.ldif
dn: cn=mynisnetgroup,ou=netgroup,dc=COMPANY,dc=com
changetype: delete

2. Exécuter ldapmodify

# ldapmodify -h server2.COMPANY.com -D "cn=Directory Manager" -f netgroup.ldif
Enter bind password:
deleting entry cn=mynisnetgroup,ou=netgroup,dc=COMPANY,dc=com

3. Exécutez ldapsearch pour vérifier l'état :

# ldapsearch -v -b "ou=netgroup,dc=COMPANY,dc=com" -D "cn=Directory
  Manager" -w password  "cn=mynisnetgroup"
ldapsearch: started Tue May  8 21:58:10 2007

ldap_init( localhost, 389 )
filter pattern: cn=mynisnetgroup
returning: ALL
filter is: (cn=mynisnetgroup)
0 matches

Ajout de groupes à l'aide de la console

Ajoutez des groupes à l'aide de la console, accédez à la console, puis procédez comme suit.

1. Sélectionnez Gestion des entrées.

Figure 11 : écran de gestion des entrées de répertoire
(Cliquez sur cette option pour agrandir)

2. Entrez le nom distinctif, et assurez-vous de sélectionner ou=group et pas ou=groups

Figure 12 : écran de spécification de l'emplacement des entrées
(Cliquez sur cette option pour agrandir)

3. Sélectionnez la classe d'objets posixGroup.

Figure 13 : écran de sélection de la classe d'objets
(Cliquez sur cette option pour agrandir)

4. Entrez dans les attributs, comme illustré dans la figure 14, et reportez-vous à la Figure 15, si nécessaire.

Figure 14 : écran de configuration des attributs
(Cliquez sur cette option pour agrandir)

Figure 15 : écran de résumé
(Cliquez sur cette option pour agrandir)

Ajout de groupes en utilisant la ligne de commande

1. Créez un fichier LDIF :

# more group.ldif
dn: cn=solarisgroup,ou=group,dc=COMPANY,dc=com
changetype: add
objectClass: posixGroup
objectClass: top
memberuid: sunuser300
gidNumber:4001

2. Exécuter ldapmodify

# ldapmodify -h server2.COMPANY.com -D "cn=Directory Manager" -f
  group.ldif
Enter bind password:
adding new entry cn=solarisgroup,ou=group,dc=COMPANY,dc=com

3. Exécutez ldapsearch pour vérifier l'état :

# ldapsearch -v -b "ou=group,dc=COMPANY,dc=com" -D "cn=Directory
  Manager"  "cn=solarisgroup"

ldapsearch: started Tue May  8 22:49:33 2007
	ldap_init( localhost, 389 )
filter pattern: cn=solarisgroup
returning: ALL
filter is: (cn=solarisgroup)
version: 1
dn: cn=solarisgroup,ou=group,dc=COMPANY,dc=com
objectClass: posixGroup
objectClass: top
memberUid: sunuser300
gidNumber: 4001
cn: solarisgroup
1 matches

Modification de groupes à l'aide de la console

Pour modifier des groupes à l'aide de la console, accédez à la console, puis procédez comme suit.

1. Recherchez le groupe, comme illustré dans la figure 16.

Figure 16 : recherche d'un groupe
(Cliquez sur cette option pour agrandir)

2. Modifiez les attributs et cliquez sur OK.

Figure 17 : modification des attributs
(Cliquez sur cette option pour agrandir)

Modification de groupes en utilisant la ligne de commande

1. Créez un fichier LDIF :

# more group.ldif
dn: cn=solarisgroup,ou=group,dc=COMPANY,dc=com
changetype: modify
memberuid: sunuser300, sunuser999

2. Exécuter ldapmodify

# ldapmodify -h server2.COMPANY.com -D "cn=Directory Manager" -f
  group.ldif
Enter bind password:
modifying entry cn=solarisgroup,ou=group,dc=COMPANY,dc=com

# ldapsearch -v -b "ou=group,dc=COMPANY,dc=com" -D "cn=Directory
    Manager" -w password "cn=solarisgroup"
ldapsearch: started Tue May  8 22:53:12 2007

	ldap_init( localhost, 389 )
	filter pattern: cn=solarisgroup
	returning: ALL
	filter is: (cn=solarisgroup)
	version: 1
	dn: cn=solarisgroup,ou=group,dc=COMPANY,dc=com
	objectClass: posixGroup
	objectClass: top
	memberUid: sunuser300
	memberUid: sunuser300, sunuser999
	gidNumber: 4001
	cn: solarisgroup
	1 matches

Suppression de groupes à l'aide de la console

Pour supprimer des groupes à l'aide de la console, accédez à la console, puis procédez comme suit.

1. Recherchez  le groupe, comme décrit dans la section Modification de groupes à l'aide de la console

2. Sélectionnez et supprimez le groupe, comme illustré dans la figure 18.

Figure 18 : recherche d'un groupe
(Cliquez sur cette option pour agrandir)

Suppression de groupes en utilisant la ligne de commande

1. Créez un fichier LDIF :

# more group.ldif
dn: cn=solarisgroup,ou=group,dc=COMPANY,dc=com
changetype: delete

2. Exécuter ldapmodify

# ldapmodify -h server2.COMPANY.com -D "cn=Directory Manager" -f
  group.ldif
Enter bind password:
deleting entry cn=solarisgroup,ou=group,dc=COMPANY,dc=com

3. Exécutez le ldapsearch pour vérifier l'état :

# ldapsearch -v -b "ou=group,dc=COMPANY,dc=com" -D "cn=Directory
  Manager" -w 	password  "cn=solarisgroup"
ldapsearch: started Tue May  8 23:00:16 2007

	ldap_init( localhost, 389 )
	filter pattern: cn=solarisgroup
	returning: ALL
	filter is: (cn=solarisgroup)
	0 matches

Réglage des paramètres

Les deux procédures suivantes décrivent les étapes de réglage à suivre pour une performance optimale de Directory Server. Suivez ces procédures sur les quatre serveurs d'annuaire.

Pour régler les paramètres de mise en réseau du système d'exploitation de Solaris, reportez-vous à l'article Solaris OS Networking -- The Magic Revealed.

Réglage du système d'exploitation

1. Dans le fichier /etc/system, définissez le paramètre suivant :

set rlim_fd_max=65536
set rlim_fd_cur=32768

2. Réglage de la pile TCP, dans le fichier /etc/init.d/inetinit, spécifiez la ligne suivante :

ndd -set /dev/tcp tcp_time_wait_interval        30000
ndd -set /dev/tcp tcp_conn_req_max_q            4096
ndd -set /dev/tcp tcp_keepalive_interval        600000
ndd -set /dev/tcp tcp_rexmit_interval_initial   500
ndd -set /dev/tcp tcp_smallest_anon_port        8192
ndd -set /dev/tcp tcp_deferred_ack_interval     5

Réglez Directory Server

Vous devez arrêter chaque instance de serveur d'annuaire avant de pouvoir modifier dse.ldif

Dans <instance_path>/config/dse.ldif, modifiez et vérifiez les paramètres suivants :

nsslapd-maxdescriptors:65536
nsslapd-dbcachesize: 2147483648
nsslapd-db-home-directory: <tmpfs filesystem such as /tmp/slapd>

Remarque : si vous utilisez le paramètre nsslapd-db-home-directory ci-dessus, assurez-vous que le répertoire est créé lors du démarrage du système et qu'il y a suffisamment d'espace d'échange (tmpfs/0 devant stocker les 2 Go de mémoire cache et les autres les fichiers temporaires).

Désinstallation de Directory Server

Si vous devez désinstaller Directory Server, suivez les procédures de désinstallation dans le manuel Sun Java System Directory Server Enterprise Edition 6.0 Installation Guide.

Pour plus d'informations

Voici des ressources supplémentaires :

• Téléchargements :
  • Sun Java System Directory Server Enterprise Edition
  • SE Solaris 10
• Cours de formation Sun sur le site http://www.sun.com/training/
  • Sun Java System Directory Server Enterprise Edition 6.x: Analyse et planification (DIR-2217)
  • Sun Java System Directory Server Enterprise Edition 6.x: Maintenance et opérations (DIR-2337D)
  • Sun Java System Directory Server Enterprise Edition : Concepts LDAP (WMT-dir-1344)
  • Utilisation de LDAP comme service d'attribution de nom (en-351)
  • Conception et déploiement LDAP (WI-3501)
• Ressources Open Source :
  • Logiciel OpenSolaris
  • OpenDS, un service de répertoire ouvert
  • Autres ressources Open Source
• Forums de développeurs :
  • Forum Sun Java System Directory Server
  • Forums sur Sun Java Enterprise System
  • Forums sur SE Solaris
• Documents sur le site http://docs.sun.com
  • System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP)
  • Solaris 10 System Administrator Collection
• Wiki :
  • Wiki Sun Java System
  • Wiki BigAdmin
• Sites et articles associés :
  • BigAdmin Sun Java Enterprise System hub
  • Centre d'informations BigAdmin Solaris
  • Sun Java System Directory Server Enterprise Edition FAQ
• Événements :
  • Événements internationaux pour les développeurs : Sun Tech Days
  • Autres événements actuels

Unless otherwise licensed, code in all technical manuals herein (including articles, FAQs, samples) is provided under this License.