J.6 NetIQ eDirectoryへの移行

Sun OneスキーマのNetIQ eDirectoryへの移行

Sun OneスキーマをNetIQ eDirectoryに移行するには、次の手順に従ってください。

手順1: スキーマキャッシュの更新操作を実行する

ice -e LDIF error file name -C -a -SLDAP -s Sun ONE server -p Sun ONE port -DLDAP -s eDirectory server -p eDirectory port

ice -e err.ldf -C -a -SLDAP -s sun_srv1 -p sun_port1 -DLDAP -s edir_srv2 -p edir_port2

手順 2: エラーを解決するためにエラーLDIFファイルを訂正する

手順3: LDIFファイルをインポートする

次のNetIQインポート/エクスポート変換コマンドを使用して変更されたスキーマ比較LDIFファイル(例ではerr.ldf)をインポートします。

ice -e error_file -SLDIF -f modified_LDIF_file -DLDAP -s eDirectory_server -p eDirectory_port -d eDirectory_Admin_DN -w eDirectory_password

次に例を示します。

ice -e errors.ldf -SLDIF -f err.ldf -DLDAP -s edir_srv2 -p edir_port2 -d cn=admin,o=org -w pwd1

ICEを使用した、アクティブディレクトリスキーマのNetIQ eDirectoryへの移行

ICEを使用して、スキーマをアクティブディレクトリからNetIQ eDirectoryに移行すると、あいまいなネーミングエラー(-651)というエラーメッセージが表示され、スキーマのComputerオブジェクトクラスへの移行が失敗します。

これを解決するには、次の手順を実行します。

手順1: スキーマキャッシュの更新操作を実行する

ICEを使用して、スキーマをアクティブディレクトリからNetIQ eDirectoryへ移行し、次のようにICEのエラーログオプション(-e)が提供されていることを確認します。

ice -e error_file -S ldap -s Active_Directory_server -p Active_Directory_port -d Active_Directory_full_admin_context -w Active_Directory_password -D ldap -s eDirectory_server -p eDirectory_port -d eDirectory_full_admin_context -w eDirectory_password

次に例を示します。

ice -e err.ldf -S ldap -s activesrv1 -p activeport1 -d cn=admin,o=company -w activepwd -D ldap -s edirsrv2 -p edirport2 -d cn=admin,o=company -w edirpwd

手順 2: エラーを解決するためにエラーLDIFファイルを訂正する

失敗したエントリは次のようにerr.ldfファイルに記述されています。

dn: cn=schema

changetype: modify

delete: objectclasses

objectclasses: ( 2.16.840.1.113719.1.1.6.1.4 NAME 'computer' )

-

add: objectclasses

objectclasses: ( 2.16.840.1.113719.1.1.6.1.4 NAME 'computer' SUP (device $
 user ) STRUCTURAL MAY (operator $ server $ status $ cn $ networkAddress $
 local PolicyFlags $ defaultLocalPolicyObject $ machineRole $ location $
 netbootInitialization $ netbootGUID $ netbootMachineFilePath $ siteGUID $
 operatingSystem $ operatingSystemVersion $ operatingSystemServicePack $
 operatingSystemHotfix $ volumeCount $ physicalLocationObject $ dNSHostName
 $ policyReplicationFlags $ managedBy $ rIDSetReferences $ catalogs $
 netbootSIFFile $ netboot MirrorDataFile ) X-NDS_NOT_CONTAINER '1' X
 -NDS_NONREMOVABLE '1' X-NDS_NAME 'Computer' )

-

次の例で強調表示されている部分のように、エラーファイル(例ではerr.ldf)でこのエントリを編集して、Computerオブジェクトクラスの定義にあるスーペリアオブジェクトクラスのリストからuserオブジェクトクラスを削除します。

dn: cn=schema

changetype: modify

delete: objectclasses

objectclasses: ( 2.16.840.1.113719.1.1.6.1.4 NAME 'computer' )

-

add: objectclasses

objectclasses: ( 2.16.840.1.113719.1.1.6.1.4 NAME 'computer' SUP device
 STRUCTURAL MAY (operator $ server $ status $ cn $ networkAddress $ local
 PolicyFlags $ defaultLocalPolicyObject $ machineRole $ location $ 
 netbootInitialization $ netbootGUID $ netbootMachineFilePath $ siteGUID $
 operatingSystem $ operatingSystemVersion $ operatingSystemServicePack $
 operatingSystemHotfix $ volumeCount $ physicalLocationObject $ dNSHostName
 $ policyReplicationFlags $ managedBy $ rIDSetReferences $ catalogs $
 netbootSIFFile $ netbootMirrorDataFile ) X-NDS_NOT_CONTAINER '1' X
 -NDS_NONREMOVABLE '1' X-NDS_NAME 'Computer' )

手順3: LDIFファイルをインポートする

次のICEコマンドを使用して、変更されたエントリをインポートします。

ice -S ldif -f LDIF_file -D ldap -s Novell_eDirectory_server -p port_number -d full_admin_context -w password

次に例を示します。

ice -S ldif -f err.ldf -D ldap -s edirsrv1 -p edirport1 -d cn=admin,o=company -w pwd1

OpenLDAPからNetIQ eDirectoryへの移行

OpenLDAPサーバから移行したデータは、MD5パスワードを含んでいることがあります。この場合、適切なNetIQモジュラー認証サービス(NMAS)メソッドがインストールされていないと、アプリケーションが中断することがあります。NMASメソッドのSimplePasswordを、次に示すコマンドを使用してNetIQ eDirectory用にインストールする必要があります。

nmasinst -addmethod admin_context treename configfile -h Hostname:port-w password

例: nmasinst -addmethod admin.novell eDir-Tree /Linux/eDirectory/nmas/NmasMethods/Novell/SimplePassword/config.txt -h eDir_srv:524 -w secret

OpenLDAPスキーマのeDirectoryへの移行

OpenLDAPスキーマをeDirectoryに移行するには、次の手順に従ってください。

手順1: スキーマキャッシュの更新操作を実行する

次のコマンドを使用して、スキーマの比較中に検出されたエラーをエラーファイルに書き込むことができます。

ice -e error_file -C -a -S ldap -s OpenLDAP_server -p Open_LDAP_port - D ldap -s eDirectory_server -p eDirectory_port -d eDirectory_full_admin_context -w eDirectory_password

次に例を示します。

ice -e err.ldf -C -a -SLDAP -s open_srv1 -p open_port1 -DLDAP -s edir_srv2 -p edir_port2 -d cn=admin,o=novell -w secret

スキーマの比較中に検出されたエラーはすべてエラーファイル(例ではerr.ldf)に書き込まれます。

手順 2: エラーを解決するためにエラーLDIFファイルを訂正する

Open LDAPでは、いくつかのスキーマ定義が公式に定義されています。これらの定義には、objectClasses、attributeTypes、ldapSyntaxes、およびsubschemSubentryなどの属性が含まれます。これらの定義は内部に存在し、スキーマにとって非常に重要です。したがって、これらの定義を変更することはできません。これらの定義を変更しようとすると、次のエラーが発生します。

LDAP error : 53 (DSA is unwilling to perform)

これらの定義の参照が含まれるすべてのレコードに対して、次のエラーが表示されます。

LDAP error : 16 ( No such attribute )

したがって、これらのオブジェクトへの参照が含まれるレコードまたはこれらの定義の変更を試行するレコードは、LDIFエラーファイル(例ではerr.ldf)にコメントとして記入されている必要があります。

Open LDAPデータのNetIQ eDirectoryへの移行

次のコマンドを実行してデータを移行します。

ice -e error_data.ldif -SLDAP -s OpenLDAP_server -p OpenLDAP_port  -d admin_context  -w password -t -b dc=blr,dc=novell,dc=com -F objectclass=* -DLDAP -d  admin_context -w password  -l  -F

次に例を示します。

ice -e err_data.ldif -SLDAP -s open_srv1 -p open_port1  -d cn=administrator,dc=blr,dc=novell,dc=com -w secret1 -t -b dc=blr,dc=novell,dc=com -F objectclass=* -DLDAP -d cn=admin,o=novell -w secret2 -l -F

オブジェクトによっては、前方参照やオブジェクトへの内部依存のために失敗するものもありますが、アプリケーションが中断することはほとんどありません。

移行後にPAMをNetIQ eDirectoryで動作可能にする

OpenLDAPからeDirectoryに移行したら、PAMがeDirectoryで動作するようにするため、いくつか変更する必要があります。

/etc/ldap.confファイルの変更

# The distinguished name to bind to the server with.
# Optional: default is to bind anonymously.
  binddn cn=admin,o=acme
  ...
# The credentials to bind with.
# Optional: default is no credential.
  bindpw secret
  ...
# The search scope.
  scope sub
  ...
# Filter to AND with uid=%s
  pam_filter objectclass=inetorgperson
  ...
# Remove old password first, then update in
# cleartext. Necessary for use with Novell
# Directory Services (NDS)
  pam_password nds
  ...
  ssl off
  ...

ディレクトリ内のデータの変更

この変更は、OpenLDAPのユーザオブジェクトでパスワードのハッシュアルゴリズムとしてCRYPTを使用するシナリオにのみ行います。

iManagerを使用して、規定値のある次の属性を、すべてのユーザオブジェクトを持つコンテナに追加します。

属性: sasDefaultLoginSequence

値: 単純パスワード