LDAP Services for eDirectoryのインストールと設定

Novell LDAP Services for eDirectoryは、eDirectoryのインストール時にインストールされます。ConsoleOneTMを使用してLDAP Services for eDirectoryのデフォルトの環境設定を変更できます。詳細については、「Novell eDirectoryのインストールとアップグレード」を参照してください。

eDirectoryのインストール時に、ディレクトリツリーに次の2つの新しいオブジェクトが追加されます。


LDAP Services for eDirectoryをロードおよびアンロードする

LDAP Services for eDirectoryのロードおよびアンロードは、手動で実行できます。LDAP Services for eDirectoryをロードするには、次のコマンドを入力します。


表 95. LDAP Services for eDirectoryをロードするコマンド

サーバ コマンド

NetWare(R)

コンソールプロンプトで、「LOAD NLDAP.NLM」と入力します。

Windows* NT*/2000

［DHOST (NDSCONS)］画面でNLDAP.DLMを選択し、［開始］をクリックします。

Linux*およびSolaris*

LinuxまたはSolarisのプロンプトで、「/usr/sbin/nldap -l」と入力します。

LDAP Services for eDirectoryをアンロードするには、次のコマンドを入力します。


表 96. LDAP Services for eDirectoryをアンロードするコマンド

サーバ コマンド

NetWare(R)

コンソールプロンプトで、「UNLOADNLDAP.NLM」と入力します。

Windows NT/2000

［DHOST (NDSCONS)］画面でNLDAP.DLMを選択し、［停止］をクリックします。

LinuxおよびSolaris

LinuxまたはSolarisのプロンプトで、「/usr/sbin/nldap -u」と入力します。

LDAP for eDirectoryをチューニングする

2つのプロセッサと2GBのRAMを搭載したサーバ上での、eDirectory LDAP検索および認証の最適な設定を次に示します。


表 97. eDirectory LDAP検索および認証の最適な設定

TCPポートの最大通信量

45000

最大保留TCP接続要求数

4096

最大パケット受信バッファ数

10000

最小パケット受信バッファ数

3000

最大受信パケット物理サイズ

2048

最大同時ディスクキャッシュ書き込み数

2000

最大同時ディレクトリキャッシュ書き込み数

500

最大ディレクトリキャッシュバッファ数

200000

内部ディレクトリハンドルの最大数

100

ディレクトリハンドルの最大数

20

DSTRACE

!mxxxxxx

xxxxxxには、キャッシュに使用するRAMのバイト数を代入します。

NT上で、_NDSDB.INIという名前のファイルをeDirectoryディレクトリに作成し、この行を追加します。

メモリを管理する

eDirectoryは、データベースキャッシュとディレクトリのためにメモリを使用します。これらはメモリプールとしてそれぞれ割り当てられます。ディレクトリエンジンは、オペレーティングシステムで利用できるメモリプールから必要なメモリを取り込んで使用します。データベースは、次に詳しく説明するパラメータにより定義されたキャッシュプールを使用します。通常は、eDirectoryに割り当てるデータベースキャッシュの量が多いほどパフォーマンスはよくなります。ただし、eDirectoryはバッファにシステムメモリを使用するため、クライアントがクエリを実行し、このクエリが大量のデータを戻す場合には、ディレクトリで大量のクエリ応答を行えるように、データベースキャッシュのサイズを小さくして、システムメモリを確保しなければならない場合もあります。

データベースエンジンは、データベースキャッシュを使用して、最近アクセスしたブロックを保持します。このキャッシュの初期定義サイズは固定値で16MBです。このキャッシュのサイズは、出荷バージョンのeDirectoryでコマンドラインから変更できます。次の例は、eDirectoryデータベースキャッシュのサイズを80MBに設定するコマンドです。

set dstrace=!mb 80000000

NetWareサーバ上のSYS:\NETWAREディレクトリまたはWindowsやSolaris、Linuxのそれぞれの環境でeDirectoryデータベースファイルを格納しているディレクトリ(通常は\novell\nds\dbfiles)に、_NDSDB.INIという名前のファイルを定義することもできます。このテキストファイルに、次のような行を設定するだけで十分です。

cache=80000000

等号(=)の前後にスペースは入れないでください。

eDirectory 8.6のキャッシュは、以前のバージョンと同様に、ハード制限値に基づいて初期化できます。さらに、上限と下限はハード値で設定できるほか、使用可能なメモリの割合でも設定できます。動的割り当て用の制御パラメータを使用すれば、キャッシュサイズを使用状態に応じて増減させることができます。適切なパラメータを設定すれば、データベースキャッシュは他のシステムリソースからの要求に応じて、そのサイズを増減させます。

_NDSDB.INIファイルを変更することにより、データベースメモリの使用を手動で制御できます。INIファイルコマンドの形式は次のとおりです。

cache=cacheBytes # Set a hard memory limit

他の形式は「表 98」に示しています。


表 98. 他のINIコマンド

コマンド 説明

cache=cache_options

ハードメモリ制限または動的調整制限を設定します。複数のキャッシュオプションを、カンマで区切り、任意の順序で指定できます。これらはいずれも必須ではありません。キャッシュオプションを次に示します。

DYNまたはHARD

動的制限またはハード制限。

AVAILまたはTOTAL

ハード制限が選択された場合にのみ有効です。動的制限の場合は、これらのオプションは省略します。

%:percentage

使用可能な物理メモリまたは合計物理メモリの割合。

MIN:bytes

最小バイト数。

MAX:bytes

最大バイト数。

LEAVE:bytes

OS用として残す最小バイト数。

blockcachepercent=percentage

キャッシュをブロックおよびレコードに分離します。

ハード制限が指定された状態で、管理者がメモリの割合としてデータベースキャッシュを定義する場合、管理者は、合計メモリの割合または使用可能なメモリの割合を選択できます。動的制限の場合には、必ず利用可能なメモリが基準になります。次のコマンド例は、すべて_NDSDB.INIファイルで有効です。

次の例では、動的制限を使用可能なメモリの75%、最小バイト数を16MB、OS用に残すバイト数を32MBと設定しています。

cache=DYN,%:75,MIN:16000000, LEAVE 32000000

次の例では、ハード制限を合計物理メモリの75%、最小バイト数を18MB、最大バイト数を512MBと設定しています。

cache=HARD, TOTAL,%:75,MIN:18000000, MAX 512000000

次の例は古いスタイルのコマンドで、ハード制限を8MBに設定しています。

cache=8000000

データベースキャッシュはブロックキャッシュとレコードキャッシュに分けられます。ブロックキャッシュは、ディスクに格納されたデータのミラーとして、データブロックとインデックスブロックを保持します。レコードキャッシュは、メモリに展開された形でのディレクトリオブジェクトと属性を保持します。ディレクトリへの追加や更新を行う場合には、ブロックキャッシュの設定を使用します。大半の処理が読み取りの場合には、レコードキャッシュを使用します。適切なサイズのキャッシュを割り当てないで多数の順次更新処理を実行すると、両方のキャッシュにスラッシュ状態を招くことがあります。指定の変更をしなかった場合、キャッシュは50%がブロックキャッシュに、50%がレコードキャッシュとして割り当てられます。blockcachepercentオプションを_NDSDB.INIファイルに設定することにより、データブロックとインデックスブロックのために割り当てるキャッシュの比率を指定できます(デフォルトは50%です)。残りのキャッシュ領域はエントリに使用されます。

たとえば、60%をブロックキャッシュ、40%をレコードキャッシュとするためには、次のように入力します。

blockcachepercent=60

どちらかのキャッシュを100%に設定して、他方のキャッシュが使用できないようにすることは避けてください。通常は、一方の種類に75%以上は設定しないようにしてください。

データベースキャッシュの設定はNovell iMonitorを使用して制御することもできます。

キャッシュサイズは使用できるメモリの量により動的に変動しますが、カスタム環境用にDSTRACEコマンドを使用することは可能です。


LDAPサーバオブジェクトを環境設定する

LDAPサーバオブジェクトには、LDAP Services for eDirectoryサーバに関する環境設定データが保存されています。インストール中に、オブジェクト名LDAP Server server_nameのLDAPサーバオブジェクトが作成されます(server_nameはLDAP Services for eDirectoryがインストールされているサーバの名前です)。LDAPサーバオブジェクトは、サーバオブジェクトと同じコンテナ内に作成されます。

各LDAPサーバオブジェクトは、1つのLDAP Services for eDirectoryサーバに対応しています。同じLDAPサーバオブジェクトを複数のLDAP Services for eDirectoryサーバに割り当てないでください。1つのサーバに割り当てられているLDAPサーバオブジェクトを別のサーバに割り当てると、元のサーバへの割り当てが無効になります。

  1. ConsoleOneで、LDAPサーバオブジェクトを右クリックし、［プロパティ］をクリックします。

    2.

  2. 設定可能なパラメータをプロパティページに入力します。

    LDAPサーバパラメータの詳細については、LDAPオンラインヘルプを参照してください。

    3.

  3. ［適用］>［OK］の順にクリックします。

    4.

LDAPグループオブジェクトを環境設定する

LDAPグループオブジェクトには、単一のLDAPサーバまたはLDAPサーバのグループに適用できる環境設定データが保存されています。複数のサーバで同じ環境設定を使用する場合は、LDAPグループオブジェクトを1つ設定し、このオブジェクトをLDAPサーバ［全般］ページから各LDAP Services for eDirectoryサーバに割り当てます。

このLDAPグループによって、各サーバにクラスと属性のマッピングおよびセキュリティポリシーが設定されます。この方法では、環境設定を1回変更するだけで変更内容が複数のLDAPサーバに即時に適用されるため、環境設定を簡単に変更できます。

インストール中に、オブジェクト名LDAP Group server_nameのLDAPグループオブジェクトが、サーバオブジェクトと同じコンテナ内に作成されます。

LDAPグループオブジェクトを設定するには、ConsoleOneを使用して次の手順を実行します。

  1. ConsoleOneで、LDAPグループオブジェクトを右クリックし、［プロパティ］をクリックします。

    2.

  2. 設定可能なパラメータをプロパティページに入力します。

    LDAPグループパラメータの詳細については、LDAPオンラインヘルプを参照してください。

    3.

  3. ［適用］>［OK］の順にクリックします。

    4.

LinuxまたはSolarisシステム上で、LDAPサーバオブジェクトおよびLDAPグループオブジェクトを環境設定する

LinuxまたはSolarisシステム上でLADPサーバオブジェクトおよびLDAPグループオブジェクトの属性を変更、表示、リフレッシュするときには、LDAP環境設定ユティリティldapconfigを使用できます。

LinuxおよびSolarisシステム上でLADP属性値を表示するときには次の構文を使用します。

ldapconfig [-t tree_name | -p host_name[:port]] [-w password] [-a user_FDN] -v attribute,attribute2...

LinuxおよびSolarisシステム上でLADP属性値を変更するときには次の構文を使用します。

ldapconfig [-t tree_name | -p host_name[:port]] [-w password] [-a admin_FDN] -s attribute=value,... 


表 99. ldapconfigのパラメータ

ldapconfigのパラメータ 説明

-t

コンポーネントのインストール先となるeDirectoryツリーの名前。

-p

ホストの名前。

-w

管理権を持つユーザのパスワード。

-a

管理権を持つユーザの完全識別名。

-v

LDAP属性値の表示の有無を指定するオプション。

-s

インストールされたコンポーネントの属性値を設定するためのオプション。

attribute

設定可能なLDAPサーバ属性名またはグループ属性名。詳細については、「LDAPサーバ属性」および「LDAPグループ属性」を参照してください。

表 100 で、設定可能なLDAPサーバ属性について説明します。


表 100. LDAPサーバ属性

LDAPサーバ属性 説明

LDAP Server

eDirectoryのLDAPサーバオブジェクトの完全識別名。

LDAP Host Server

LDAPサーバの実行場所となるホストeDirectoryサーバの完全識別名。

LDAP Group

eDirectoryの中で、このLDAPサーバがメンバーとして所属するLDAPグループオブジェクト。

LDAP Server Bind Limit

LDAPサーバに同時にバインドできるクライアントの数。0を指定すると、無制限になります。

LDAP Server Idle Timeout

あるクライアントとLDAPサーバの間で、ここで指定した期間無活動状態が継続すると、このクライアントとLDAPサーバの接続が切断されます。0を指定すると、無制限になります。

LDAP Enable TCP

このLDAPサーバに対してTCP(SSLではなく)接続が有効であるかどうかを示します。値が1であれば有効、0であれば無効です。

LDAP Enable SSL

このLDAPサーバに対してSSL接続が有効であるかどうかを示します。値が1であれば有効、0であれば無効です。

LDAP TCP Port

LDAPサーバがTCP(SSLではなく)接続を監視するときのポート番号。

LDAP SSL Port

LDAPサーバがSSL接続を監視するときのポート番号。

keyMaterialName

eDirectoryにおいて、このLDAPサーバに関連付けられ、SSL LDAP接続に使用される証明書オブジェクトの名前。

searchSizeLimit

LDAPサーバが検索要求への応答としてLDAPクライアントに返すエントリの最大数。0を指定すると、無制限になります。

searchSizeLimit

LDAPサーバによるLDAP検索がタイムアウトになるまでの最大秒数。0を指定すると、無制限になります。

extensionInfo

LDAPサーバによりサポートされている拡張。

filteredReplicaUsage

LDAPサーバがLDAP検索のために、フィルタ処理されたレプリカを使用するかどうかを指定します。値1はフィルタ処理されたレプリカが使用されること、値0は使用されないことを示します。

sslEnableMutualAuthentication

LDAPサーバにおいて、SSLベースの相互認証(証明書に基づくクライアント認証)が有効かどうかを指定します。

ldapEnablePSearch

LDAPサーバで持続的検索機能を有効にするかどうかを指定します。TRUEまたはFALSEのどちらかの値になります。

ldapMaximumPSearchOperations

同時に実行できる持続的検索操作の数を制限するための整数値です。0を指定すると、検索操作は無制限になります。

ldapIgnorePSearchLimitsForEvents

持続的検索要求によって最初の結果が返された後で、サイズと時間の制限を無視するかどうかを示します。TRUEまたはFALSEのどちらかの値になります。この値にFALSEを設定した場合、すべての持続的検索操作は検索制限の制約を受けます。サイズと時間のいずれかの制限に達した場合、検索操作は失敗し、該当するエラーメッセージが返されます。

表 101で、設定可能なLDAPグループ属性について説明します。


表 101. LDAPグループ属性

LDAPグループ属性 説明

LDAP Server List

このグループのメンバーであるLDAPサーバのリスト。

LDAP Allow Clear Text Password

LDAPサーバがLDAPクライアントからパスワードをクリアテキストで送信することを許可するかどうかを指定します。値が1であれば許可、0であれば禁止です。

LDAP Search Referral Usage

LDAPサーバによるLDAP照会先の処理方法を指定します。この属性に設定される値は次のとおりです。

  • Always Traverse

    LDAPサーバは、照会先を戻す代わりに他のNDSサーバに要求をリンクします。ただし次の場合は、要求はリンクされません。 持続的検索操作の実行時に、ローカルサーバ上にエントリが存在しない場合。 いずれかの拡張操作の実行時に、照会先が戻された場合。

  • Traverse If Found No Referrals

    該当するオブジェクトを持っている別のレプリカサーバでLDAPサーバが実行されていない場合に、LDAPサーバはツリー内を検索します。別のレプリカサーバでLDAP サーバが実行されている場合には、このサーバがLDAP照会先として戻ります。

  • Always Refer

    LDAPサーバは必ずLDAP照会先を戻します。

  • LDAP Referral

    LDAPサーバが同じツリーの他のレプリカサーバに接続できない場合、または他のレプリカサーバではLDAPサーバが稼動していない場合にLDAP照会先が戻ります。この値がデフォルトです。

LDAP Referral

LDAPサーバが同じツリーの他のレプリカサーバに接続できない場合、または他のレプリカサーバではLDAPサーバが稼動していない場合にLDAP照会先が戻ります。この値がデフォルトです。

例

属性リストの中の属性の値を表示するには、次を実行します。

  1. 次のコマンドを入力します。

    ldapconfig [-t tree_name | -p host_name[:port]] [-w password] [-a user_FDN] -v "LDAP Allow Clear Text Password","searchTimeLimit"

    2.

LDAP TCPポート番号を設定するには、次を実行します。

  1. 次のコマンドを入力します。

    ldapconfig [-t tree_name | -p host_name[:port]] [-w password] [-a admin_FDN] -s "LDAP TCP Port=389","searchSizeLimit=1000"

    2.