L'outil Healthcheck de la gestion des identités (IdM) permet de détecter les problèmes susceptibles d'affecter la santé de votre environnement IdM.

Vous pouvez spécifier une autre destination de fichier avec l'option --output-file.

Cette section décrit comment installer l'outil IdM Healthcheck.

Le bilan de santé peut être exécuté manuellement ou automatiquement à l'aide de la rotation des journaux

La rotation du journal crée un nouveau fichier journal chaque jour, et les fichiers sont organisés par date. Les fichiers journaux étant enregistrés dans le même répertoire, vous pouvez sélectionner un fichier journal particulier en fonction de la date.

La rotation signifie qu'un nombre est configuré pour le nombre maximal de fichiers journaux et que, si ce nombre est dépassé, le fichier le plus récent réécrit et renomme le plus ancien. Par exemple, si le nombre de rotation est de 30, le trente et unième fichier journal remplace le premier (le plus ancien).

La rotation des journaux réduit les fichiers journaux volumineux et les organise, ce qui peut faciliter l'analyse des journaux.

Cette section décrit comment configurer une rotation des journaux avec :

La minuterie systemd exécute périodiquement l'outil Healthcheck et génère les journaux. La valeur par défaut est fixée à 4 heures du matin tous les jours.

Le service crond est utilisé pour la rotation des journaux.

Le nom du journal par défaut est healthcheck.log et les journaux en rotation utilisent le format healthcheck.log-YYYYMMDD.

Pour commencer à générer des journaux, démarrez le service de contrôle de santé de l'IPA :

# systemctl start ipa-healthcheck

Pour vérifier le résultat, allez sur /var/log/ipa/healthcheck/ et vérifiez si les journaux sont créés correctement.

Vous pouvez modifier les paramètres de Healthcheck en ajoutant les options de ligne de commande souhaitées au fichier /etc/ipahealthcheck/ipahealthcheck.conf. Cela peut s'avérer utile lorsque, par exemple, vous avez configuré une rotation des journaux et que vous souhaitez vous assurer que les journaux sont dans un format adapté à l'analyse automatique, mais que vous ne souhaitez pas mettre en place un nouveau minuteur.

Après la modification, tous les journaux créés par Healthcheck suivent les nouveaux paramètres. Ces paramètres s'appliquent également à toute exécution manuelle de Healthcheck.

Cette procédure décrit comment configurer Healthcheck avec un minuteur déjà configuré. Dans cet exemple, vous configurez Healthcheck pour qu'il produise des journaux dans un format lisible par l'homme et pour qu'il inclue également les résultats positifs au lieu des seules erreurs.

L'outil Healthcheck comprend un test permettant de vérifier si l'un des services IdM n'est pas en cours d'exécution. Ce test est important car les services qui ne fonctionnent pas peuvent entraîner des défaillances dans d'autres tests. Par conséquent, vérifiez d'abord que tous les services fonctionnent. Vous pouvez ensuite vérifier les résultats de tous les autres tests.

Pour voir tous les tests de services, exécutez ipa-healthcheck avec l'option --list-sources:

# ipa-healthcheck --list-sources

Vous trouverez tous les services testés avec le Healthcheck sous la source ipahealthcheck.meta.services:

Cette section décrit un test manuel autonome des services fonctionnant sur le serveur de gestion des identités (IdM) à l'aide de l'outil Healthcheck.

L'outil Healthcheck comprend de nombreux tests, dont les résultats peuvent être abrégés avec :

Un test réussi affiche des crochets vides :

[ ]

Si l'un des services échoue, le résultat peut ressembler à cet exemple :

{
  "source": "ipahealthcheck.meta.services",
  "check": "httpd",
  "result": "ERROR",
  "kw": {
    "status": false,
    "msg": "httpd: not running"
  }
}

L'outil Healthcheck comprend un test de vérification de l'espace disque disponible. Un espace disque libre insuffisant peut entraîner des problèmes :

Le test vérifie les chemins d'accès suivants :

Pour obtenir la liste de tous les tests, exécutez le programme ipa-healthcheck avec l'option --list-sources:

# ipa-healthcheck --list-sources

Vous trouverez le test de vérification de l'espace du système de fichiers sur le site ipahealthcheck.system.filesystemspace source :

Cette section décrit un test manuel autonome de l'espace disque disponible sur un serveur de gestion des identités (IdM) à l'aide de l'outil Healthcheck.

Comme le bilan de santé comprend de nombreux tests, vous pouvez restreindre les résultats en fonction des critères suivants :

Un test réussi affiche des crochets vides :

[]

Par exemple, un test qui a échoué peut s'afficher :

{
  "source": "ipahealthcheck.system.filesystemspace",
  "check": "FileSystemSpaceCheck",
  "result": "ERROR",
  "kw": {
    "msg": "/var/lib/dirsrv: free space under threshold: 0 MiB < 1024 MiB",
    "store": "/var/lib/dirsrv",
    "free_space": 0,
    "threshold": 1024
  }
}

L'échec du test vous informe que le répertoire /var/lib/dirsrv n'a plus d'espace disponible.

L'outil Healthcheck teste la propriété et les permissions de certains fichiers importants installés ou configurés par Identity Management (IdM).

Si vous modifiez la propriété ou les autorisations d'un fichier testé, le test renvoie un avertissement dans la section result. Bien que cela ne signifie pas nécessairement que la configuration ne fonctionnera pas, cela signifie que le fichier diffère de la configuration par défaut.

Pour voir tous les tests, exécutez le programme ipa-healthcheck avec l'option --list-sources:

# ipa-healthcheck --list-sources

Vous trouverez le test de permissions de fichiers sous la source ipahealthcheck.ipa.files:

Cette section décrit un test manuel autonome des fichiers de configuration d'un serveur de gestion d'identité (IdM) à l'aide de l'outil Healthcheck.

L'outil Healthcheck comprend de nombreux tests. Les résultats peuvent être réduits en fonction des critères suivants

Un test réussi affiche des crochets vides :

# ipa-healthcheck --source=ipahealthcheck.ipa.files --failures-only
[]

Les tests qui échouent affichent des résultats similaires à ceux qui suivent : WARNING:

{
  "source": "ipahealthcheck.ipa.files",
  "check": "IPAFileNSSDBCheck",
  "result": "WARNING",
  "kw": {
    "key": "_etc_dirsrv_slapd-EXAMPLE-TEST_pkcs11.txt_mode",
    "path": "/etc/dirsrv/slapd-EXAMPLE-TEST/pkcs11.txt",
    "type": "mode",
    "expected": "0640",
    "got": "0666",
    "msg": "Permissions of /etc/dirsrv/slapd-EXAMPLE-TEST/pkcs11.txt are 0666 and should be 0640"
  }
}

L'outil Healthcheck comprend un test permettant de vérifier que les enregistrements DNS requis pour l'autodécouverte peuvent être résolus.

Pour obtenir la liste de tous les tests, exécutez le programme ipa-healthcheck avec l'option --list-sources:

# ipa-healthcheck --list-sources

Vous trouverez le test de vérification des enregistrements DNS sous la source ipahealthcheck.ipa.idns.

Cette section décrit un test manuel autonome des enregistrements DNS sur un serveur de gestion des identités (IdM) à l'aide de l'outil Healthcheck.

L'outil Healthcheck comprend de nombreux tests. Il est possible de réduire les résultats en n'incluant que les tests des enregistrements DNS en ajoutant l'option --source ipahealthcheck.ipa.idns.

L'outil Healthcheck teste la configuration de la topologie de la gestion des identités (IdM) et recherche les conflits de réplication.

Pour obtenir la liste de tous les tests, exécutez le programme ipa-healthcheck avec l'option --list-sources:

# ipa-healthcheck --list-sources

Les tests de topologie sont placés sous les sources ipahealthcheck.ipa.topology et ipahealthcheck.ds.replication:

Cette section décrit un test manuel autonome de la topologie et de la configuration de la réplication d'Identity Management (IdM) à l'aide de l'outil Healthcheck.

L'outil Healthcheck comprend de nombreux tests, ce qui vous permet d'abréger les résultats :

Quatre résultats différents sont possibles :

L'outil Healthcheck comprend plusieurs tests permettant de vérifier l'état de votre gestion des identités (IdM) et de votre confiance dans Active Directory (AD).

Pour voir tous les tests de confiance, exécutez ipa-healthcheck avec l'option --list-sources:

# ipa-healthcheck --list-sources

Vous trouverez tous les tests sous la source ipahealthcheck.ipa.trust:

Cette section décrit un test manuel autonome d'un contrôle de confiance de la gestion des identités (IdM) et d'Active Directory (AD) à l'aide de l'outil Healthcheck.

L'outil Healthcheck comprend de nombreux tests, ce qui vous permet d'abréger les résultats :

Un test réussi affiche des parenthèses vides :

# ipa-healthcheck --source=ipahealthcheck.ipa.trust --failures-only
[]

L'outil Healthcheck comprend plusieurs tests de vérification des certificats du système (DogTag).

Pour voir tous les tests, exécutez le programme ipa-healthcheck avec l'option --list-sources:

# ipa-healthcheck --list-sources

Vous trouverez tous les tests sous la source ipahealthcheck.dogtag.ca:

Cette section décrit un test manuel autonome des certificats de gestion d'identité (IdM) à l'aide de l'outil Healthcheck.

Comme l'outil Healthcheck comprend de nombreux tests, vous pouvez restreindre les résultats en n'incluant que les tests DogTag : --source=ipahealthcheck.dogtag.ca

Un exemple de test réussi :

{
  "source: ipahealthcheck.dogtag.ca",
  "check: DogtagCertsConfigCheck",
  "result: SUCCESS",
  "uuid: 9b366200-9ec8-4bd9-bb5e-9a280c803a9c",
  "when: 20191008135826Z",
  "duration: 0.252280",
  "kw:" {
    "key": "Server-Cert cert-pki-ca",
    "configfile":  "/var/lib/pki/pki-tomcat/conf/ca/CS.cfg"
    }
}

Exemple d'échec d'un test :

{
  "source: ipahealthcheck.dogtag.ca",
  "check: DogtagCertsConfigCheck",
  "result: CRITICAL",
  "uuid: 59d66200-1447-4b3b-be01-89810c803a98",
  "when: 20191008135912Z",
  "duration: 0.002022",
  "kw:" {
    "exception": "NSDB /etc/pki/pki-tomcat/alias not initialized",
    }
}

L'outil Healthcheck comprend plusieurs tests permettant de vérifier l'état des certificats gérés par certmonger dans Identity Management (IdM). Pour plus d'informations sur certmonger, voir Obtention d'un certificat IdM pour un service à l'aide de certmonger.

Cette série de tests vérifie l'expiration, la validation, la confiance et d'autres aspects. Plusieurs erreurs peuvent être générées pour le même problème sous-jacent.

Pour voir tous les tests de certificats, exécutez le programme ipa-healthcheck avec l'option --list-sources:

# ipa-healthcheck --list-sources

Vous trouverez tous les tests sous la source ipahealthcheck.ipa.certs:

Cette section décrit un test manuel autonome du contrôle de santé d'un certificat de gestion d'identité (IdM) à l'aide de l'outil Healthcheck.

L'outil Healthcheck comprend de nombreux tests, ce qui vous permet d'abréger les résultats :

Un test réussi affiche des parenthèses vides :

[]

L'échec du test se traduit par la sortie suivante :

{
  "source": "ipahealthcheck.ipa.certs",
  "check": "IPACertfileExpirationCheck",
  "result": "ERROR",
  "kw": {
    "key": 1234,
    "dbdir": "/path/to/nssdb",
    "error": [error],
    "msg": "Unable to open NSS database '/path/to/nssdb': [error]"
  }
}

Ce test IPACertfileExpirationCheck a échoué lors de l'ouverture de la base de données NSS.