Nach der Installation wird das Identitätsdepot mit dem ndsconfig-Dienstprogramm konfiguriert. Zum Verwenden des ndsconfig-Dienstprogramms müssen Sie über Administratorrechte verfügen. Wenn Sie dieses Dienstprogramm mit Argumenten verwenden, überprüft es alle Argumente und fordert zur Eingabe des Passworts des Benutzers mit Administratorrechten auf. Wird das Dienstprogramm ohne Argumente aufgerufen, zeigt ndsconfig eine Beschreibung des Dienstprogramms und der verfügbaren Optionen.
Mit diesem Dienstprogramm können Sie außerdem den eDirectory-Reproduktionsserver entfernen und die aktuelle Konfiguration des eDirectory-Servers ändern. Weitere Informationen finden Sie in Abschnitt 12.0, Konfigurieren des Identitätsdepots nach der Installation.
Für die Verwendung des ndsconfig-Dienstprogramms gelten die folgenden Bedingungen:
Die Variablen treename, admin_FDN und server_FDN dürfen maximal die folgende Anzahl von Zeichen enthalten:
treename: 32 Zeichen
admin_FDN: 255 Zeichen
server_FDN: 255 Zeichen
Wenn Sie einen Server zu einem vorhandenen Baum hinzufügen und dabei einen Kontext angeben, der nicht im Serverobjekt vorhanden ist, erstellt das ndsconfig-Dienstprogramm diesen Kontext beim Hinzufügen des Servers.
Nach der Installation des Identitätsdepots können Sie LDAP- und Sicherheitsdienste zum vorhandenen Baum hinzufügen.
Soll die verschlüsselte Reproduktion auf dem Server aktiviert werden, geben Sie bei den Befehlen zum Hinzufügen eines Servers zu einem vorhandenen Baum die Option -E an. Weitere Informationen zur verschlüsselten Reproduktion finden Sie unter „Encrypted Replication“ (Verschlüsselte Reproduktion) im NetIQ eDirectory -Administrationshandbuch.
Weitere Informationen zum Bearbeiten von eDirectory mit dem ndsconfig-Dienstprogramm finden Sie im NetIQ eDirectory -Administrationshandbuch.
Das ndsconfig-Dienstprogramm unterstützt die folgenden Parameter:
Erstellt einen neuen Baum. Wenn Sie die Parameter nicht in der Befehlszeile angeben, fordert das Dienstprogramm Sie jeweils zur Eingabe der Werte für die fehlenden Parameter auf.
Erstellt einen neuen Baum. Wenn Sie die Parameter nicht in der Befehlszeile angeben, verwendet das Dienstprogramm jeweils den Standardwert für die fehlenden Parameter.
Fügt einen Server zu einem vorhandenen Baum hinzu. Fügt außerdem LDAP- und SAS-Services hinzu, nachdem Sie das Identitätsdepot im vorhandenen Baum konfiguriert haben.
Entfernt das Serverobjekt und die Directory Services aus einem Baum.
HINWEIS:Die Schlüsselmaterialobjekte werden mit dieser Option nicht entfernt. Diese Objekte müssen manuell entfernt werden.
Aktualisiert eDirectory auf eine spätere Version.
Weist das Dienstprogramm beim Konfigurieren eines neuen Baums an, nicht zu prüfen, ob ein Baum mit demselben Namen bereits vorhanden ist. Es können mehrere Bäume mit demselben Namen vorhanden sein.
Gibt den Servernamen an. Punkte im Servernamen sind zulässig (beispielsweise netiq.com). Den Punkten muss jedoch jeweils ein Escape-Zeichen vorangestellt werden. Weitere Informationen zur Verwendung von Escape-Zeichen finden Sie in Abschnitt 8.1, Verwenden von Escape-Zeichen im Namen eines Containers, der einen Punkt („.“) enthält.
Gibt den Name des Baums an, zu dem der Server hinzugefügt werden soll. Es sind maximal 32 Zeichen zulässig. Ist die Option nicht angegeben, entnimmt ndsconfig den Baumnamen aus dem Parameter n4u.nds.tree-name in der Datei /etc/opt/novell/eDirectory/conf/nds.conf. Der standardmäßige Baumname ist $LOGNAME-$HOSTNAME-NDStree.
Gibt den Kontext des Servers an, zu dem das Serverobjekt hinzugefügt werden soll. Es sind maximal 64 Zeichen zulässig. Ist die Option nicht angegeben, entnimmt NDSCONFIG den Kontext aus dem Parameter n4u.nds.server-context in der Datei /etc/opt/novell/eDirectory/conf/nds.conf. Der Serverkontext sollte mit Typenangabe angegeben werden. Der Standardkontext ist org.
Gibt den Verzeichnis-Pfad an, wo die Datenbank-Dateien gespeichert werden sollen.
Erzwingt das Hinzufügen der Reproduktion des Servers unabhängig von der Anzahl der Server, die dem Server bereits hinzugefügt wurden.
Legt die TCP-Portnummer auf dem LDAP-Server fest. Wenn der Standardport 389 bereits verwendet wird, werden Sie aufgefordert, einen neuen Port einzugeben.
Legt die SSL-Portnummer auf dem LDAP-Server fest. Wenn der Standardport 636 bereits verwendet wird, werden Sie aufgefordert, einen neuen Port einzugeben.
Legt den vollständig eindeutigen Namen des Benutzerobjekts mit Supervisor-Rechten für den Kontext fest, in dem das Serverobjekt und die Directory Services erstellt werden sollen. Der Admin-Name sollte mit Typenangabe angegeben werden. Es sind maximal 64 Zeichen zulässig. Der Standardwert ist admin.org.
Aktiviert unverschlüsselte Passwörter für LDAP-Objekte.
Gibt den Namen des Moduls an, das installiert oder konfiguriert werden soll. Wenn Sie einen neuen Baum konfigurieren, können Sie nur das Modul DS angeben. Nach der Konfiguration des Moduls DS können Sie NMAS-, LDAP-, SAS-, SNMP- und HTTP-Dienste sowie NetIQ SecretStore (ss) mit dem Befehl „add“ hinzufügen. Wenn der Modulname nicht angegeben wird, werden alle Module installiert.
HINWEIS:Soll der SecretStore beim Aufrüsten von eDirectory mit dem Befehl nds-install nicht konfiguriert werden, geben Sie den Wert no_ss für diese Option an. Beispiel: ndsinstall '-m no_ss'.
Legt die unverschlüsselte HTTP-Portnummer fest.
Legt die sichere HTTP-Portnummer fest.
Gibt die IP-Adresse des Remote-Hosts an, auf dem sich eine Reproduktion der Partition befindet, der dieser Server hinzugefügt werden soll. Verwenden Sie diese Option, wenn Sie einen Sekundärserver einem Baum hinzufügen (mit dem Befehl „add“). Die Standardportnummer lautet 524. Hiermit wird die SLP-Suche umgangen, sodass die Suche im Baum beschleunigt wird.
Reproduziert die Partition, zu der der Server hinzugefügt werden soll, auf dem lokalen Server. Diese Option verhindert das Hinzufügen von Reproduktionen zum lokalen Server.
Verhindert die Anzeige von Eingabeaufforderungen bei der Verwendung von ndsconfig, z. B. Ja/Nein zum Fortsetzen des Vorgangs oder Aufforderungen zum erneuten Eingeben der Portnummern bei Konflikten. Das Dienstprogramm fordert Sie weiterhin auf, die erforderlichen Parameter einzugeben, wenn Sie diese nicht in der Befehlszeile angegeben haben.
Mit dieser Option wird das Admin-Benutzerpasswort im Klartext weitergegeben.
HINWEIS:NetIQ empfiehlt, diese Option nicht in einer Umgebung zu verwenden, in der die Passwortsicherheit nicht gewährleistet ist.
Aktiviert die verschlüsselte Reproduktion für den hinzuzufügenden Server.
Weist das Dienstprogramm an, die Option für die Zustandsprüfung zu überspringen (außer Kraft zu setzen), bevor das Identitätsdepot installiert wird.
Gibt die Nummer des Standardports an, den eine bestimmte Instanz überwachen soll. Hiermit legen Sie die Standardportnummer für n4u.server.tcp-port und n4u.server.udp-port fest. Wenn Sie einen NCP-Port mit der Option -b angeben, setzt das Dienstprogramm voraus, dass dieser Port als Standardport fungiert, und die TCP- und UDP-Parameter werden entsprechend aktualisiert.
HINWEIS:Die Parameter -b und -B schließen sich gegenseitig aus.
Gibt die Portnummer zusammen mit der IP-Adresse oder der Schnittstelle an. Beispiel: -B eth0@524, -B 100.1.1.2@524, -B[2015::3]@524.
HINWEIS:
Die Parameter -b und -B schließen sich gegenseitig aus.
IPv6-Adressen müssen in eckigen Klammern ([ ]) gesetzt werden.
Gibt den absoluten Pfad und den Dateinamen zum Speichern der Konfigurationsdatei nds.conf an. Soll die Konfigurationsdatei beispielsweise im Verzeichnis /etc/opt/novell/eDirectory/ gespeichert werden, geben Sie den folgenden Befehl ein:
--config-file /etc/opt/novell/eDirectory/nds.conf
Ermöglicht die Konfiguration der LDAP-Schnittstelle im LDAP-Serverobjekt über die LDAP-URLs. Trennen Sie mehrere URLs jeweils mit Kommas voneinander ab. Beispiel:
-P ldap://1.2.3.4:389,ldaps://1.2.3.4:636,ldap://[2015::3]:389
HINWEIS:
IPv6-Adressen müssen in eckigen Klammern ([ ]) gesetzt werden. Beispiel: ldap://[2015::3]:389.
Falls Sie die LDAP-URLs nicht bei der ersten Konfiguration angegeben haben, können Sie sie nachträglich über das Attribut ldapInterfaces im Befehl ldapconfig bzw. in iManager hinzufügen. Weitere Informationen finden Sie in Hinzufügen von LDAP-URLS für IPv6 auf dem LDAP-Serverobjekt.
Erstellt die Verzeichnisse data, dib und log im angegebenen Pfad.
Legt den Wert für die konfigurierbaren Parameter fest, die Sie für das Identitätsdepot angegeben haben. Mit dieser Option legen Sie die Boot-Strapping-Parameter fest, bevor Sie einen Baum konfigurieren.
Wenn Sie die Konfigurationsparameter ändern, müssen Sie ndsd neu starten, damit der neue Wert in Kraft tritt. Bei den folgenden Konfigurationsparametern ist ein Neustart von ndsd nicht erforderlich:
n4u.nds.inactivity-synchronization-interval
n4u.nds.synchronization-restrictions
n4u.nds.janitor-interval
n4u.nds.backlink-interval
n4u.nds.drl-interval
n4u.nds.flatcleaning-interval
n4u.nds.server-state-up-threshold
n4u.nds.heartbeat-schema
n4u.nds.heartbeat-data
Zeigt die Hilfetexte für die konfigurierbaren Parameter an, die Sie für das Identitätsdepot angegeben haben. Wenn Sie keine Parameterliste angeben, zeigt das Dienstprogramm die Hilfetexte für alle konfigurierbaren Parameter an.
Zur Unterstützung der SecretStore-Funktion müssen Sie das Identitätsdepotschema erweitern. Die Identitätsanwendungen benötigen SecretStore zur Verbindung mit dem Depot.
Geben Sie folgenden Befehl ein, um das Schema für das Identitätsdepot zu erweitern:
ice -S SCH -f /installation_path/eDirectory/lib/nds-schema/sssv3.sch -D LDAP -s serverIP -d adminDN
Beispiel:
ice -S SCH -f /var/opt/novell/eDirectory/lib/nds-schema/sssv3.sch -D LDAP -s 192.0.2.1 -d cn=admin,o=administrators
(Bedingt) Führen Sie die folgenden Schritte durch, um SecretStore auf einem Linux-Server zu konfigurieren:
Navigieren Sie zum conf-Verzeichnis – standardmäßig unter /opt/novell/eDirectory/bin.
Geben Sie ssscfg -c ein, um die Konfigurationsdatei auszuführen.
Geben Sie die Konfigurationseinstellungen für SecretStore an und schließen Sie anschließend das Dienstprogramm.
Öffnen Sie ndsmodules.conf in einem Texteditor.
Fügen Sie der Datei den folgenden Eintrag hinzu:
ssncp
Durch diesen Eintrag wird das SecretStore-Modul geladen, wenn eDirectory startet.
(Bedingt) Führen Sie die folgenden Schritte durch, um SecretStore auf einem Windows-Server zu konfigurieren:
Navigieren Sie zum conf-Verzeichnis – standardmäßig unter Programme/novell/eDirectory/conf.
Geben Sie den folgenden Befehl ein:
ssscfg.exe -c
Geben Sie die Konfigurationseinstellungen für SecretStore an und schließen Sie anschließend das Dienstprogramm.
Führen Sie NDSCons.exe aus.
Geben Sie im Dienstprogramm auto für das ssncp.dlm-Modul an.
Schließen Sie das Dienstprogramm.
Weitere Informationen finden Sie unter SecretStore Configuration for eDirectory Server (SecretStore-Konfiguration für den eDirectory-Server) im NetIQ eDirectory Administration Guide (NetIQ eDirectory-Verwaltungshandbuch).
Soll das Identitätsdepot mit einem bestimmten Gebietsschema konfiguriert werden, müssen Sie LC_ALL und LANG in dieses Gebietsschema exportieren, bevor Sie die Konfiguration vornehmen. Geben Sie beispielsweise die folgenden Befehle im ndsconfig-Dienstprogramm ein:
export LC_ALL=ja
export LANG=ja
Wenn Sie einen neuen Baum im Identitätsdepot erstellen, können Sie sich wahlweise vom ndsconfig-Dienstprogramm durch die Konfiguration führen lassen oder auch alle Parameterwerte mit einem einzigen Befehl festlegen. Falls der Identitätsdepot-Server bereits IPv6-Adressen unterstützt, können Sie eine IPv6-Adresse für den neuen Baum angeben.
(Bedingt) Wenn das ndsconfig-Dienstprogramm eine Aufforderung zur Eingabe der Parameter für einen neuen Baum im Identitätsdepot anzeigen soll, geben Sie den folgenden Befehl ein:
ndsconfig new [-t tree_name] [-n server_context] [-a admin_FDN]
Beispiel:
ndsconfig new -t corp-tree -n o=company -a cn=admin.o=company
(Bedingt) Wenn Sie zum Erstellen des neuen Baums im Identitätsdepot alle Parameter in der Befehlszeile angeben möchten, geben Sie den folgenden Text ein:
ndsconfig new [-t Baumname] [-n Serverkontext] [-a Admin_FDN] [-i] [-S Servername] [-d Pfad_für_DIB] [-m Modul] [e] [-L LDAP_Port] [-l SSL_Port] [-o HTTP_Port] [-O HTTPS_Port] [-p IP_Adresse:[Port]] [-R] [-c] [-w Admin_Passwort] [-b Port_für_Bindung] [-B Schnittstelle1@Port1,Schnittstelle2@Port2,...] [-D Benutzerdefinierter_Speicherort] [--config-file Konfigurationsdatei]
Alternativ:
ndsconfig def [-t Baumname] [-n Serverkontext] [-a Admin_FDN] [-w Admin_Passwort] [-c] [-i] [-S Servername] [-d Pfad_für_DIB] [-m Modul] [-e] [-L LDAP_Port] [-l SSL_Port] [-o HTTP_Port] [-O HTTPS_Port] [-D Benutzerdefinierter_Speicherort] [--config-file Konfigurationsdatei]
Zum Hinzufügen eines Servers zu einem vorhandenen Baum geben Sie den folgenden Befehl ein:
ndsconfig add [-t treename] [-n server context] [-a admin_FDN] [-i] [-S server_name] [-d path_for_dib] [-m module] [e] [-L ldap_port] [-l SSL_port] [-o http_port] [-O https_port] [-p IP_address:[port]] [-R] [-c] [-w admin_password] [-b port_to_bind] [-B interface1@port1,interface2@port2,..] [-D custom_location] [--config-file configuration_file]
Beispiel:
ndsconfig add -t corp-tree -n o=company -a cn=admin.o=company -S srv1
Navigieren Sie zum Verzeichnis dsreports (standardmäßig unter /var/opt/novell/eDirectory/data/).
Löschen Sie die HTML-Dateien, die Sie mit iMonitor erstellt hatten.
Geben Sie im ndsconfig-Dienstprogramm den folgenden Befehl ein:
ndsconfig rm [-a admin_FDN] [-w admin_password] [-p IP_address:[port]] [-c]
Zum Entfernen des Serverobjekts und der Verzeichnisdienste aus einem Baum geben Sie den folgenden Befehl ein:
ndsconfig rm -a Admin_FDN
Sie können mehrere Instanzen des Identitätsdepots auf einem einzelnen Host konfigurieren. Die Konfiguration mehrerer Instanzen mit dem ndsconfig-Dienstprogramm ist ähnlich aufgebaut wie die mehrfache Konfiguration einer einzigen Instanz. Jede Instanz muss durch eindeutige Angaben gekennzeichnet sein, beispielsweise:
Unterschiedliche Speicherorte für Daten und Protokolldatei. Verwenden Sie die Optionen --config-file, -d und -D.
Eindeutige Portnummer, die durch jede Instanz überwacht werden soll. Verwenden Sie die Optionen -b und -B.
Eindeutiger Servername für die Instanz. Verwenden Sie die Option -S Servername.
Weitere Informationen finden Sie unter „Using ndsconfig to Configure Multiple Instances of eDirectory“ (Konfigurieren mehrerer eDirectory-Instanzen mit ndsconfig) im NetIQ eDirectory-Installationshandbuch.
HINWEIS:
Bei der Konfiguration des Identitätsdepots wird der Name des standardmäßigen NCP-Servers als Name des Hostservers übernommen. Wenn Sie mehrere Instanzen konfigurieren, müssen Sie den NCP-Servernamen ändern. Geben Sie mit der ndsconfig-Befehlszeilenoption -S Servername einen anderen Servernamen an. Beim Konfigurieren mehrerer Instanzen (auf demselben Baum oder auf verschiedenen Bäumen) muss der NCP-Servername jeweils eindeutig sein.
Alle Instanzen verwenden denselben Serverschlüssel (NICI).