절차

1. 중복 CA 서비스를 식별하고 이 서비스를 호스팅하는 IdM 복제본 에서 IdM 서버 설치 제거 절차를 따릅니다.
2. 동일한 호스트에서 IdM 서버 설치 절차에 따라 CA가 없는 통합 DNS를 사용합니다.

절차

1. CLI에서 현재 검색 시간 및 크기 제한을 표시하려면 ipa config-show 명령을 사용합니다.

   $ ipa config-show
   
   Search time limit: 2
   Search size limit: 100

2. 모든 쿼리에 대해 제한을 전역적으로 조정하려면 ipa config-mod 명령을 사용하고 --search recordsslimit 및 --searchtimelimit 옵션을 추가합니다. 예를 들어 다음과 같습니다.

   $ ipa config-mod --searchrecordslimit=500 --searchtimelimit=5

3. 특정 쿼리에 대해서만 제한을 일시적으로 조정하려면 명령에 --sizelimit 또는 --timelimit 옵션을 추가합니다. 예를 들어 다음과 같습니다.

절차

1. IdM 웹 UI에 로그인합니다.

2. IPA 서버를 클릭합니다.

   

3. IPA 서버 탭에서 구성을 클릭합니다.

4. Search Options (검색 옵션) 영역에서 필요한 값을 설정합니다.

   기본값은 다음과 같습니다.

   • 검색 크기 제한: 100개 항목
   • 검색 시간 제한: 2초

5. 페이지 상단에서 저장을 클릭합니다.

   

절차

1. 자동 캐시 튜닝을 비활성화합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --cache-autosize=0

2. 데이터베이스 접미사와 해당 백엔드를 표시합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   이 명령은 각 접미사 옆에 있는 백엔드 데이터베이스의 이름을 표시합니다. 다음 단계에서 접미사의 데이터베이스 이름을 사용합니다.

3. 데이터베이스의 항목 캐시 크기를 설정합니다. 이 예에서는 userroot 데이터베이스의 항목 캐시를 2GB로 설정합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix set --cache-memsize=2147483648 userroot

4. Directory Server를 다시 시작합니다.

   [root@server ~]# systemctl restart dirsrv.target

5. IdM 디렉터리 서버의 성능을 모니터링합니다. 바람직한 방식으로 변경되지 않는 경우 이 절차를 반복하고 cache-memsize 를 다른 값으로 조정하거나 캐시 자동 활성화를 다시 활성화합니다.

절차

1. 자동 캐시 튜닝을 비활성화하고 데이터베이스 캐시 크기를 설정합니다. 이 예에서는 데이터베이스 캐시를 256MB로 설정합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --cache-autosize=0 --dbcachesize=268435456

2. Directory Server를 다시 시작합니다.

   [root@server ~]# systemctl restart dirsrv.target

3. IdM 디렉터리 서버의 성능을 모니터링합니다. 바람직한 방식으로 변경되지 않는 경우 이 절차를 반복하고 dbcachesize 를 다른 값으로 조정하거나 캐시 자동 크기 조정을 다시 활성화합니다.

절차

1. Directory Server를 중지합니다.

   [root@server ~]# systemctl stop dirsrv.target

2. 추가 수정을 수행하기 전에 /etc/dirsrv/slapd-instance_name/dse.ldif 파일을 백업합니다.

   [root@server ~]# *cp /etc/dirsrv/slapd-instance_name/dse.ldif \
        /etc/dirsrv/slapd-instance_name/dse.ldif.bak.$(date "+%F_%H-%M-%S")

3. /etc/dirsrv/slapd-instance_name/dse.ldif 파일을 편집합니다.

   1. 데이터베이스 및 진입점 캐시에 사용할 사용 가능한 시스템 RAM의 백분율을 사용 가능한 RAM의 기본값 10%로 다시 설정합니다.

      nsslapd-cache-autosize: 10

   2. 데이터베이스 캐시의 사용 가능한 시스템 RAM에서 사용된 백분율을 기본값인 25%로 설정합니다.

      nsslapd-cache-autosize-split: 25

4. 변경 사항을 /etc/dirsrv/slapd-instance_name/dse.ldif 파일에 저장합니다.

5. Directory Server를 시작합니다.

   [root@server ~]# systemctl start dirsrv.target

절차

1. (선택 사항) 데이터베이스 접미사와 해당 데이터베이스 이름을 표시합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userroot)

   이 명령은 각 접미사 옆에 있는 백엔드 데이터베이스의 이름을 표시합니다. 다음 단계에서 접미사의 데이터베이스 이름을 사용합니다.

2. 데이터베이스의 DN 캐시 크기를 설정합니다. 이 예제에서는 DN 캐시를 20 메가바이트로 설정합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix set --dncache-memsize=20971520 userroot

3. Directory Server를 다시 시작합니다.

   [root@server ~]# systemctl restart dirsrv.target

4. IdM 디렉터리 서버의 성능을 모니터링합니다. 바람직한 방식으로 변경되지 않는 경우 이 절차를 반복하고 dncache-memsize 를 다른 값으로 조정하거나 기본값으로 다시 10MB로 조정합니다.

절차

1. NDN 캐시가 활성화되어 있는지 확인합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ndn-cache-enabled
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-enabled: on

   캐시가 해제 된 경우 다음 명령을 사용하여 활성화합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ndn-cache-enabled=on
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ndn-cache-enabled"

2. nsslapd-ndn-cache-max-size 매개변수의 현재 값을 검색하고 조정해야 하는 경우 조정하기 전에 기록해 둡니다. 메시지가 표시되면 Directory Manager 암호를 입력합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ndn-cache-max-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-max-size: 20971520

3. nsslapd-ndn-cache-max-size 속성의 값을 수정합니다. 이 예제에서는 값을 41943040 (40MB)으로 늘립니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ndn-cache-max-size=41943040

4. IdM 디렉터리 서버의 성능을 모니터링합니다. 바람직한 방식으로 변경되지 않는 경우 이 절차를 반복하고 nsslapd-ndn-cache-max-size 를 다른 값으로 조정하거나 캐시 자동 활성화를 다시 활성화합니다.

절차

1. nsslapd-maxbersize 매개변수의 현재 값을 검색하여 조정해야 하는 경우 조정하기 전에 기록해 둡니다. 메시지가 표시되면 Directory Manager 암호를 입력합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-maxbersize
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxbersize: 2097152

2. nsslapd-maxbersize 속성의 값을 수정합니다. 이 예에서는 값을 4194304, 4MB로 늘립니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-maxbersize=4194304

3. 디렉터리 관리자로 인증하여 구성을 변경합니다.

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxbersize"

4. IdM 디렉터리 서버의 성능을 모니터링합니다. 바람직한 방식으로 변경되지 않으면 이 절차를 반복하고 nsslapd-maxbersize 를 다른 값으로 조정하거나 기본값 2097152 로 돌아갑니다.

절차

1. nsslapd-maxdescriptors 매개변수의 현재 값을 검색하여 조정해야 하는 경우 조정하기 전에 기록해 둡니다. 메시지가 표시되면 Directory Manager 암호를 입력합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-maxdescriptors
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxdescriptors: 4096

2. nsslapd-maxdescriptors 속성 값을 수정합니다. 이 예제에서는 값을 8192 으로 늘립니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-maxdescriptors=8192

3. 디렉터리 관리자로 인증하여 구성을 변경합니다.

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxdescriptors"

4. IdM 디렉터리 서버의 성능을 모니터링합니다. 바람직한 방식으로 변경되지 않는 경우 이 절차를 반복하고 nsslapd-maxdescriptors 를 다른 값으로 조정하거나 기본값 4096 으로 돌아갑니다.

절차

1. nsslapd-listen-backlog-size 매개변수의 현재 값을 검색하여 조정해야 하는 경우 조정하기 전에 기록해 두십시오. 메시지가 표시되면 Directory Manager 암호를 입력합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-listen-backlog-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-listen-backlog-size: 128

2. nsslapd-listen-backlog-size 속성 값을 수정합니다. 이 예제에서는 값을 192 로 증가시킵니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-listen-backlog-size=192

3. 디렉터리 관리자로 인증하여 구성을 변경합니다.

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-listen-backlog-size"

절차

1. nsslapd-db-locks 매개변수의 현재 값을 검색하여 조정해야 하는 경우 조정하기 전에 기록해 둡니다.

   [root@server ~]# ldapsearch -D "cn=directory manager" -w DirectoryManagerPassword -b "cn=bdb,cn=config,cn=ldbm database,cn=plugins,cn=config" | grep nsslapd-db-locks
   nsslapd-db-locks: 50000

2. locking 특성의 값을 수정 합니다. 이 예에서는 값을 100000 개 잠금으로 두 배로 늘립니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --locks=100000

3. 디렉터리 관리자로 인증하여 구성을 변경합니다.

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully updated database configuration

4. Directory Server를 다시 시작합니다.

   [root@server ~]# systemctl restart dirsrv.target

절차

1. nsslapd-ioblocktimeout 매개변수의 현재 값을 검색하여 조정해야 하는 경우 조정하기 전에 기록해 둡니다. 메시지가 표시되면 Directory Manager 암호를 입력합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ioblocktimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ioblocktimeout: 10000

2. nsslapd-ioblocktimeout 속성 값을 수정합니다. 이 예제에서는 value를 8000 으로 낮춥니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ioblocktimeout=8000

3. 디렉터리 관리자로 인증하여 구성을 변경합니다.

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ioblocktimeout"

4. IdM 디렉터리 서버의 성능을 모니터링합니다. 바람직한 방식으로 변경되지 않는 경우 이 절차를 반복하고 nsslapd-ioblocktimeout 을 다른 값으로 조정하거나 기본값 10000 으로 다시 조정합니다.

절차

1. nsslapd-idletimeout 매개변수의 현재 값을 검색하여 조정해야 하는 경우 조정하기 전에 기록해 둡니다. 메시지가 표시되면 Directory Manager 암호를 입력합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-idletimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-idletimeout: 3600

2. nsslapd-idletimeout 속성 값을 수정합니다. 이 예에서는 값을 1800 (30분)으로 줄입니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-idletimeout=1800

3. 디렉터리 관리자로 인증하여 구성을 변경합니다.

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-idletimeout"

4. IdM 디렉터리 서버의 성능을 모니터링합니다. 바람직한 방식으로 변경되지 않는 경우 이 절차를 반복하고 nsslapd-idletimeout 을 다른 값으로 조정하거나 기본값으로 3600.

절차

1. 데이터베이스 접미사와 해당 백엔드를 표시합니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   이 명령은 접미사 옆에 있는 백엔드 데이터베이스의 이름을 표시합니다. 다음 단계에서 접미사 이름을 사용합니다.

2. 기본 userroot 데이터베이스의 repl-release-timeout 속성 값을 수정합니다. 이 예제에서는 값을 90 초로 늘립니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com replication set --suffix="dc=example,dc=com" --repl-release-timeout=90

3. 디렉터리 관리자로 인증하여 구성을 변경합니다.

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

4. (선택 사항) IdM 환경에서 IdM CA(인증 기관)를 사용하는 경우 CA 데이터베이스의 repl-release-timeout 속성 값을 수정할 수 있습니다. 이 예제에서는 값을 90 초로 늘립니다.

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com replication set --suffix="o=ipaca" --repl-release-timeout=90
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

5. Directory Server를 다시 시작합니다.

   [root@server ~]# systemctl restart dirsrv.target

6. IdM 디렉터리 서버의 성능을 모니터링합니다. 바람직한 방식으로 변경되지 않는 경우 이 절차를 반복하고 repl-release-timeout 을 다른 값으로 조정하거나 기본값으로 다시 60 초로 조정합니다.

절차

1. 사용자 지정 데이터베이스 설정을 사용하여 LDIF 형식으로 텍스트 파일을 만듭니다. 대시(-)를 사용하여 LDAP 특성 수정 사항을 구분합니다. 이 예에서는 유휴 시간 제한 및 최대 파일 설명자에 대한 기본값이 아닌 값을 설정합니다.

   dn: cn=config
   changetype: modify
   replace: nsslapd-idletimeout
   nsslapd-idletimeout=1800
   -
   replace: nsslapd-maxdescriptors
   nsslapd-maxdescriptors=8192

2. --dirsrv-config-file 매개변수를 사용하여 LDIF 파일을 설치 스크립트에 전달합니다.

   1. IdM 서버를 설치하려면 다음을 수행합니다.

      # ipa-server-install --dirsrv-config-file filename.ldif

   2. IdM 복제본을 설치하려면 다음을 수행합니다.

      # ipa-replica-install --dirsrv-config-file filename.ldif

절차

1. 텍스트 편집기에서 /var/kerberos/krb5kdc/kdc.conf 파일을 엽니다.

2. TCP listenlog를 7 과 같은 원하는 값으로 설정합니다.

   [kdcdefaults]
    ...
    kdc_tcp_listen_backlog = 7

3. /var/kerberos/krb5kdc/kdc.conf 파일을 저장하고 닫습니다.
4. EgressIP를 다시 시작하여 새 설정을 로드합니다.

절차

1. 텍스트 편집기에서 /etc/krb5.conf 파일을 엽니다.

2. [dbmodules] 섹션 내에서 옵션과 원하는 값을 해당 Kerberos 영역에 지정합니다. 이 예제에서는 EXAMPLE.COM Kerberos 영역에 대해 disable_last_success 변수를 설정하고 있습니다.

   [dbmodules]
       EXAMPLE.COM = {
           disable_last_success = true
       }

3. /etc/krb5.conf 파일을 저장하고 닫습니다.
4. EgressIP를 다시 시작하여 새 설정을 로드합니다.

절차

1. 텍스트 편집기에서 /etc/sysconfig/krb5kdc 파일을 엽니다.

2. KRB5KDC_ARGS 매개변수 값을 지정합니다. 이 예제에서는 프로세스 수를 10으로 설정하고 있습니다.

   KRB5KDC_ARGS='-w 10'
   [...]

3. /etc/sysconfig/krb5kdc 파일을 저장하고 종료합니다.

4. systemd 구성을 다시 로드합니다.

   # systemctl daemon-reload

5. krb5kdc 서비스를 다시 시작합니다.

   # systemctl restart krb5kdc.service

절차

1. 텍스트 편집기에서 /etc/sssd/sssd.conf 설정 파일을 엽니다.

2. Active Directory 도메인의 [domain] 섹션에 다음 옵션을 추가합니다. AD 도메인의 도메인 섹션이 아직 없는 경우 새로 생성합니다.

   [domain/ad.example.com]
   ignore_group_members = true
   subdomain_inherit = ignore_group_members
   ...

3. 서버의 /etc/sssd/sssd.conf 파일을 저장하고 닫습니다.

4. SSSD 서비스를 다시 시작하여 구성 변경 사항을 로드합니다.

   [root@client ~]# systemctl restart sssd

절차

1. 총 작업자 스레드 수를 검색합니다.

   # ldapsearch -xLLLD cn=directory\ manager -W -b cn=config -s base nsslapd-threadnumber
   Enter LDAP Password:
   dn: cn=config
   nsslapd-threadnumber: 16

   즉, ipaExtdomMaxInstances 의 현재 값은 13입니다.

2. 최대 인스턴스 수를 조정합니다. 이 예제에서는 값을 14로 변경합니다.

   # ldapmodify -D "cn=directory manager" -W
   dn: cn=ipa_extdom_extop,cn=plugins,cn=config
   changetype: modify
   replace: ipaExtdomMaxInstances
   ipaExtdomMaxInstances: 14

3. ipaExtdomMaxInstances 의 현재 값을 검색합니다.

   # ldapsearch -xLLLD "cn=directory manager" -W -b "cn=ipa_extdom_extop,cn=plugins,cn=config" |grep ipaextdommaxinstances
   
   Enter LDAP Password:
   
   ipaextdommaxinstances: 14

4. IdM 디렉터리 서버의 성능을 모니터링하고 개선하지 않는 경우 이 프로세스를 반복하고 ipaExtdomMaxInstances 변수의 값을 조정합니다.

절차

1. 단일 캐시되지 않은 로그인에 걸리는 시간(초)을 확인합니다.

   1. IdM 클라이언트 client.example.com 에서 SSSD 캐시를 지웁니다.

      [root@client ~]# sss_cache -E

   2. time 명령을 사용하여 AD 사용자로 로그인하는 데 걸리는 시간을 측정합니다. 이 예에서는 IdM 클라이언트 client.example.com 에서 ad.example.com AD 도메인의 ad-user 사용자와 동일한 호스트에 로그인합니다.

      [root@client ~]# time ssh ad-user@ad.example.com@client.example.com

   3. 가능한 한 빨리 암호를 입력합니다.

      Password:
      Last login: Sat Jan 23 06:29:54 2021 from 10.0.2.15
      [ad-user@ad.example.com@client ~]$

   4. 가능한 한 빨리 로그아웃하여 경과 시간을 표시합니다. 이 예에서는 캐시되지 않은 단일 로그인에는 약 9 초가 걸립니다.

      [ad-user@ad.example.com@client /]$ exit
      logout
      Connection to client.example.com closed.
      
      real 0m8.755s
      user    0m0.017s
      sys     0m0.013s

2. 텍스트 편집기에서 /etc/sssd/sssd.conf 설정 파일을 엽니다.

3. Active Directory 도메인의 [domain] 섹션에 다음 옵션을 추가합니다. pam_id_timeout 및 krb5_auth_timeout 옵션을 캐시되지 않은 로그인에 사용하는 시간(초)으로 설정합니다. AD 도메인의 도메인 섹션이 아직 없는 경우 새로 생성합니다.

   [domain/example.com/ad.example.com]
   krb5_auth_timeout = 9
   ldap_deref_threshold = 0
   ...

4. [pam] 섹션에 다음 옵션을 추가합니다.

   [pam]
   pam_id_timeout = 9

5. 서버의 /etc/sssd/sssd.conf 파일을 저장하고 닫습니다.

6. SSSD 서비스를 다시 시작하여 구성 변경 사항을 로드합니다.

   [root@client ~]# systemctl restart sssd

절차

1. tmpfs 임시 파일 시스템을 생성합니다.

   1. SSSD 사용자가 config.ldb 파일을 소유하고 있는지 확인합니다.

      # ls -al /var/lib/sss/db/config.ldb
      -rw-------. 1 sssd sssd 1286144 Jun  8 16:41 /var/lib/sss/db/config.ldb

   2. /etc/fstab 파일에 다음 항목을 한 줄로 추가합니다.

      tmpfs /var/lib/sss/db/ tmpfs size=300M,mode=0700,uid=sssd,gid=sssd,rootcontext=system_u:object_r:sssd_var_lib_t:s0 0 0

      이 예제에서는 300MB 캐시를 생성합니다. IdM 및 AD 디렉터리 크기에 따라 size 매개변수를 튜닝하고 10,000개의 LDAP 항목당 100MB를 추정합니다.

2. 새 SSSD 캐시 디렉터리를 마운트합니다.

   [root@host ~]# mount /var/lib/sss/db/

3. 이 설정 변경 사항을 반영하려면 SSSD를 다시 시작합니다.

   [root@host ~]# systemctl restart sssd