ndsbackupを使用しながらオブジェクトを多数(100万個程度)持つコンテナをバックアップするには、コンテナ内のオブジェクトのリストを取得し、個々のバックアップを開始するために、かなりの時間がかかる可能性があります。
eDirectoryに繰り返しログインする場合、すべての使用可能なメモリを使用できます。iMonitorを使用してログイン更新属性を無効にすると、この問題を解決できます。
eDirectoryでイベントが発生して消費されるたびに、そのイベントの時刻に関連する統計が保持されます。この情報は、イベントコンシューマの問題を解決するのに役立ちます。この統計はディレクトリの通常の機能に必要ではないため、パフォーマンス上の理由で無効にされています。iMonitor詳細設定パラメータを使用することで、イベント統計を実行時に有効にすることができます。
イベント統計を表示するには、ENABLE_EVENT_STATISTICSパラメータを設定して、サーバを再起動します。このパラメータは永続的な設定パラメータです。
Linuxプラットフォームで、eDirectoryはデフォルトのメモリアロケータとしてGoogle malloc (libtcmalloc)を使用します。
メモリ破損の問題をトラッキングするには、ndsd起動スクリプトにMALLOC_CHECK_環境変数を設定します。起動スクリプトはこの変数が設定されているか確認します。設定されている場合は、デフォルトシステムのmallocが使用され、設定されていない場合は、libtcmallocがロードされます。
ndsdでのMALLOC_CHECK_の設定
MALLOC_CHECK_が0に設定されている場合、検出されたヒープ破損は無視されて通知されません。
MALLOC_CHECK_が2に設定されている場合、直ちに中止が呼び出されます。
このおかげで、メモリ破損の本当の原因を早い段階で特定することができます。さもなければ、原因を後で追求することは難しくなります。
ワークステーションのクラッシュまたは停電のために突然に停止したクライアントホストを、OES Linuxサーバが検出できないことがあります。しかし、接続はアクティブのままで、デフォルトのタイムアウト時間(12～15分間ほど)が経過してから切断されます。同時接続数を1に設定している場合は、接続を手動で終了するか、またはタイムアウトまでの時間を予測して待ってから再びログインすることをお勧めします。この状況は、ウォッチドッグプロセスが接続を正常に閉じることができなかったときに発生します。そのため、同時接続数が1に設定されていて、接続がウォッチドッグによって正常に閉じられていないと、ユーザはログインすることができません。Linuxカーネルには、keepaliveプローブのサーバ側動作を変更するための3つのパラメータが提供されています。TCPレベルで対処方法を実行するには、これらのパラメータを使用します。
これらのパラメータは/proc/sys/net/ipv4/ディレクトリにあります。
tcp_keepalive_time: 接続が使用されていない場合に、接続を生かしておくためにTCP keepaliveパケットを送信する頻度を指定します。この値はkeepaliveが有効である場合にのみ使用します。
tcp_keepalive_timeには、秒数を整数で指定します。デフォルト値は7200秒すなわち2時間です。この値はたいていのホストに適しており、多くのネットワークリソースを必要としません。この値を低く設定すると、不要なトラフィックのためにネットワークリソースを使用することになります。
tcp_keepalive_probes: 接続が切断されたと判断するまでにTCP keepaliveプローブを送信する頻度を指定します。
tcp_keepalive_probesには整数値を指定します。推奨値は50未満で、tcp_keepalive_time値とtcp_keepalive_interval値によって決まります。デフォルトは、9プローブ送信後に接続が切断されているとアプリケーションに通知するよう設定されています。
tcp_keepalive_intvl: 各keepaliveプローブの応答の持続期間を指定します。この値は、接続のkeepaliveが停止するまでの時間を計算するために重要です。
tcp_keepalive_intvlには整数値を指定します。デフォルトは75秒です。1プローブが75秒だとすると、9プローブは約11分となります。tcp_keepalive_probes変数およびtcp_keepalive_intvl変数のデフォルト値を使用して、keepaliveによって接続が時間切れになるまでのデフォルト時間を評価できます。
余分なネットワークトラフィックが大量に発生せずかつ問題は解決されるように、これら3つのパラメータを変更します。一例として、次のように変更できます(検出時間は3分)。
tcp_keepalive_time set -120
tcp_keepalive_probes - 3
tcp_keepalive_intvl - 20
メモ:パラメータ設定値に注意し、すでに有効である接続の設定をしないようにします。
設定はファイルが変更された直後に有効になります。どのサービスも再起動する必要はありません。ただし、設定は現行のセッションにのみ有効です。サーバを再起動すると、設定はデフォルト設定に戻ります。
設定を(再起動後も)永続的なものにするには、以下の手順を行います。
次のエントリを/etc/sysctl.confに追加します。
net.ipv4.tcp_keepalive_time=120
net.ipv4.tcp_keepalive_probes=3
net.ipv4.tcp_keepalive_intvl=20
すべてのクライアントおよびサーバはLAN経由で接続されている場合にのみ、上記の設定を推奨します。
簡易パスワードを使用してユーザオブジェクトをインポートし、ユーザオブジェクトがインポートされたコンテナのユニバーサルパスワードを有効にします。DSサーバを停止してNDSD_TRY_NMASLOGIN_FIRST=trueを環境に設定してから、DSサーバを起動します。簡易パスワードを使用してインポートされたユーザオブジェクトに対してldapsearchを実行すると、次のようなエラーが発生します。
ldap_bind: Unknown error, additional info: NDS error: system failure (-632)
この問題を解決するには、ユーザオブジェクトに対してldapsearchを実行する前に、デフォルトのログインシーケンスを、ユーザオブジェクトがインポートされたコンテナの簡易パスワードとして設定してください。
LDAPがNMASにユーザのログインを要求する際、NMASはデフォルトのログインシーケンスを使用します。これらのユーザに対してデフォルトのログインシーケンスを指定しない場合、NMASはNDSシーケンスを使用します。ユーザをインポートした際にこれらのユーザにNDSパスワードが割り当てられていない場合は、NDSシーケンスは動作しません。ユニバーサルパスワードを有効にすると、ユーザが簡易パスワードを使用してログインする際に、簡易パスワードはNDSパスワードおよびユニバーサルパスワードと同期されます。
eDirectory管理者は、次の処理を使用してLinuxでSecretStoreを無効にできます。
nds-modulesディレクトリに移動して、次のSecretStoreモジュールの名前を変更して移動します。
サーバを再起動します。
eDirectory管理者は、次の処理を使用してWindowsでSecretStoreを無効化することができます。
novell\ndsディレクトリに移動して、次のSecretStoreモジュールを名前変更するか移動します。
サーバを再起動します。
dsbk.confファイルは、eDirectoryの特定のインスタンスに関連した場所ではなく、/etc内に格納されています。
dibディレクトリがデフォルト以外の場所に移動されている場合、ldif2dibではデフォルトのログファイル(ldif2dib.log)を開くことができません。
この問題を回避するには、-bスイッチを使用してログファイルの場所を明示的に指定します。
システムクラッシュまたは電源異常の後に、場合によって、eDirectoryサービス(ndsd)が起動しないことがあります。eDirectoryを再起動するには、次の手順を実行します。
/var/opt/novell/eDirectory/data/ndsd.pidファイルを削除します。
/etc/init.d/ndsd startコマンドを入力します。
すべてのタグが有効になっている場合、次の場所ではDSTRaceを実行しないでください。
ジャーナルモードでロードされたシステム: ndsdメモリを構築する可能性があります。
インラインモードのサーバ: ndsdがクラッシュします。
匿名バインドが無効になっているときに認証されていない検索をクライアントが行うと、LDAPサーバは検索結果の代わりに、不適切な認証であることを示すバインド結果operationsErrorを返します。
eDirectory 9.0で、インスタンスのデフォルトサーバがダウンしたときに、カスタムロケーションに新しいインスタンスを設定する場合、インスタンスのデフォルトポートが取得されます。デフォルトインスタンスのポートはカスタムロケーションのインスタンスに割り当てられるため、デフォルトインスタンスは開始されません。
ホストを再起動する前に「eDirectory 8.8のカスタムインスタンスでのポートのトラブルシューティング
」の手順に従ってください。
ホストを再起動すると、デフォルトのインスタンスバイナリを使用して作成されたデフォルトインスタンスのみが開始されます。
パスを設定し、ndsmanageを使用して、その他のインスタンスを開始させることができます。
複数のeDirectoryインスタンスが存在する場合、2番目以降のインスタンスは、ループバックアドレス上のNCPポートではなくデフォルトの524ポートで監視しようとします。
この問題を回避するには、2番目のインスタンスの「n4u.server.tcp-port」パラメータを監視対象のポートに設定します。n4u.server.tcp-portパラメータはnds.confファイルに記載されています。
重要:eDirectory 9.0にアップグレードする前に、eDirectoryのすべてのインスタンスを起動する必要があります。
LDAPトランザクションのサポートでは、supportedGroupingTypesとtransactionGroupingType OIDの値は同じ(2.16.840.1.113719.1.27.103.7)になります。
LDAPトレースの-5871エラーと-5875エラーは、通常、LDAPクライアントがアンバインドを実行せずに閉じようとすると起きます。そのため、これらのエラーを心配する必要はなく、無視できます。これらのエラーの詳細については、NetIQエラーコードWebサイトを参照してください。
プライマリサーバのツリーの名前を変更してセカンダリサーバのDHostをシャットダウンすると、NDSConsユーティリティはセカンダリサーバに転送失敗エラーメッセージ-625を表示しますが、DHostはプライマリサーバとセカンダリサーバの両方で実行し続けます。エラーが起きるのは、プライマリサーバでツリーの名前が変更されたときに、NDSConsがセカンダリサーバで実行中であったためです。NDSConsを閉じてから再起動すると、NDSConsは正常に動作します。
メモ:ツリー名の変更は、EBA有効のサーバがツリーに含まれている場合にはサポートされない操作です。
この問題を回避するには次の手順に従ってください。
環境設定ファイルで、ldapsearchのパフォーマンスを低下させるNICを無効にします。
または
DSTraceでset NDSTRACE =!ARC1コマンドを使用して、詳細参照コスト(ARC)を有効にします。
Linuxプラットフォームでは同時接続ユーザ数を制限できません。従来の動作(厳密なポートベースのチェック)を実行するには、nds.confファイルで次のパラメータを設定します。
n4u.server.mask-port-number=0
ネットワーク上にSLPディレクトリエージェント(DA)を設定していない場合、SLPを使用するサービスの検索に時間がかかることがあります。eDirectoryシャットダウン中に、ndsdはSLPを使用する操作を実行しようとし、それにかかる時間がinitスクリプトによって通常許可されているよりも長いため、強制的にシャットダウンされます。
この問題を解決するには:
configディレクトリにhosts.ndsという名前の空のファイルを作成します。サーバのconfigディレクトリは、ndsconfig get n4u.server.confdirコマンドを実行して取得できます。
/opt/novell/eDirectory/sbin/pre_ndsd_startでexport NDS_USESLP=0を指定することによって、環境変数NDS_USESLPを0に設定します。
eDirectoryを再起動します。
NLDAPを停止した後に、サーバを再起動してNLDAPをロードする必要があります。
NetIQ SecretStore機能は、LDAP経由では動作しません。この問題を解決するには、iManagerを通じてLDAPを更新する必要があります。
ユーザの資格情報と誤ったパスフレーズでログインして、忘れたパスワードを取得しようとすると、SecretStoreはロックされます。SecretStoreのロックは、管理者権限で解除できます。また、NetIQ SecureLoginクライアントを使用すると、パスフレーズなしでログインできます。パスフレーズを変更しようとすると、ログインは失敗し、エラーが返されます。
iManagerプラグインを使用してSecretStoreに新しい資格情報を保存しようとすると、iManagerで変更が保存されず、空の資格情報列が表示されます。
資格情報を変更できるのはSecretStore iManagerプラグインからのみで、管理者ではなく、ユーザとしてログインする必要があります。
別の資格情報セットを保存すると、SecretStoreでは最初のセットが保持されず、最新の資格情報セットだけが表示されます。
資格情報を変更できるのはSecretStore iManagerプラグインからのみで、管理者ではなく、ユーザとしてログインする必要があります。
eDirectoryの古いバージョンからeDirectory 9.0にアップグレードした場合、HTTPサーバでSSL CertificateIPの有効期限が切れた後も、引き続きその証明書を使用します。これは、eDirectory 8.8 SP8が、SSL CertificateIPを保守せず、SSL CertificateIPの有効期限が切れたり、SSL CertificateIPが削除されたりした場合でも、その証明書を再発行しないためです。
このため、SSL CertificateIPの有効期限が切れたり、SSL CertificateIPが削除されたりした場合は、SSL CertificateIPを手動で作成する必要があります。この作成は、iManagerプラグインを使用するか、またはSSL CertificateIPではなくSSL CertificateDNSを使用して行います。
LDAPツールのセット(ldapadd、ldapconfig、ldapdelete、ldapmodify、ldapmodrdn、およびldapsearch)が2つ、eDirectoryがインストールされているSLESシステム上に(openldap2-client rpmとともに)存在します。一方のセットは、SLESオペレーティングシステムによってインストールされて/usr/binにあり、他方のセットは、eDirectoryによってインストールされて/opt/novell/eDirectory/binにあります。
両方のLDAPツールのセットの基本機能は同じですが、それぞれのセットで、基本機能のほかに独自の機能を追加しています。PATH環境変数のパスの設定によって、使用するツールのセットは異なります。このため使用できる機能も異なります。
バインドユーザが検索フィルタの一部である属性すべての読み込み権限を持っていないと、ldapsearchは結果を何も返しません。
この問題を回避するには、バインドユーザが、検索フィルタの一部である属性すべての読み込み権限があることを確認します。
eDirectory 9.1で、仮想一覧の表示(VLV)が実行されているeDirectoryサーバにパーティションレプリカすべてが存在しているわけではない場合、VLVがエラーメッセージを表示されます。
すべてのパーティションレプリカが、VLMが実行されているeDirectoryサーバ内に存在していることを確認します。
SLES 12以降でeDirectoryを設定した後にdatadirを新しい場所に移動する場合は、次の手順を実行してください。
場所/usr/lib/systemd/system/にあるサービスファイル内で、ndsd.pidファイルを新しい場所に更新します。
たとえば、nds.confファイルがもともと/etc/opt/novell/eDirectoryに置かれている場合は、次のようにサンプルのサービスファイルが作成されます。
/usr/lib/systemd/system/ndsdtmpl-etc-opt-novell-eDirectory-conf-ds.conf@.service。
systemctl daemon-reloadコマンドを使用して、デーモンを再ロードします。
eDirectoryサーバを再起動します。
PowerShellに対するWindowsの実行ポリシーがRestrictedに設定されている場合、eDirectoryのインストールは失敗します。
この問題を回避するには、PowerShellに対するWindows実行ポリシーをRemotesignedに設定します。