2.6 eDirectoryをインストールする

次のセクションでは、LinuxにおけるNetIQ eDirectoryのインストールについて説明します。

2.6.1 eDirectoryでのSLPの使用

以前のeDirectoryのリリースでは、SLPはeDirectoryのインストール中にインストールされました。しかし、eDirectory 9.2では、eDirectoryをインストールする前に、個別にSLPをインストールする必要があります。

ツリー名の解決にSLPを使用する場合は、このプロトコルのインストールと設定を行う必要があります。SLPディレクトリエージェント(DA)は安定している必要があります。

  1. OpenSLPがインストールされていない場合はインストールします。

  2. 画面の指示に従って、SLPのインストールを完了します。

  3. 次を実行してSLPを手動で起動します。

    /etc/init.d/slpd start

詳細については、「セクション C.0, OpenSLP for eDirectoryの設定」を参照してください。

同様に、SLPパッケージをアンインストールする場合は、次のようにしてSLPを手動で終了する必要があります。

/etc/init.d/slpd stop

SLPを使用する予定がない(またはできない)場合は、フラットファイルhosts.ndsを使用して、サーバ参照に対するツリー名を解決できます。SLP DAがネットワークにない場合、hosts.ndsファイルを使用してSLPマルチキャストによる遅延を回避できます。

hosts.ndsは、eDirectoryアプリケーションによって使用されるスタティックなルックアップテーブルで、eDirectoryパーティションおよびサーバを検索します。hosts.ndsファイルの各行には、各ツリーまたはサーバの以下の情報が記述されます。

  • ツリー/サーバ名:ツリー名は最後はドット(.)で終了します。

  • インターネットアドレス:DNS名の場合もあればIPアドレスの場合もあります。

  • サーバポート:オプションです。インターネットアドレスにコロンが付加されます。

デフォルト以外のNCPポートで待ち受けしていない限り、ローカルサーバにこのファイルのエントリは必要ありません。

hosts.ndsファイルの構文は次のとおりです。 

<[partition name.]tree name>.  <host-name/ip-addr>[:<port>]
<server name>  <dns-addr/ip-addr>[:<port>]

次に例を示します。

# This is an example of a hosts.nds file:
# Tree name             Internet address/DNS Resolvable Name
  CORPORATE.            myserver.mycompany.com
  novell.CORPORATE.     1.2.3.4:524

# Server name           Internet address
  CORPSERVER            myserver.mycompany.com

詳細については、hosts.ndsのマニュアルページを参照してください。

ツリー名を解決し、eDirectoryツリーが通知されたことを確認するためにSLPを使用する場合は、eDirectoryおよびSLPのインストールが完了した後で次のように入力してください。

/usr/bin/slptool findattrs services:ndap.novell///(svcname-ws==[treename or *])"

たとえば、svcname-ws属性が値SAMPLE_TREEと一致するサービスを検索するには、次のコマンドを入力します。

/usr/bin/slptool findattrs services:ndap.novell///(svcname-ws==SAMPLE_TREE)/"

svcname-ws属性がSAMPLE_TREEとして登録されたサービスがある場合、出力は次のようになります。

service:ndap.novell:///SAMPLE_TREE

svcname-ws属性がSAMPLE_TREEとして登録されたサービスがない場合、何も出力されません。

詳細については、「セクション C.0, OpenSLP for eDirectoryの設定」を参照してください。

2.6.2 nds-installユーティリティを使用してeDirectoryコンポーネントをインストールする

nds-installユーティリティを使用して、eDirectoryコンポーネントをLinuxシステムにインストールします。このユーティリティは、Linuxプラットフォーム用にダウンロードしたファイルのSetupディレクトリにあります。このユーティリティでは、インストール対象として選択したコンポーネントに基づいて、必要なパッケージが追加されます。

  1. setupディレクトリで、次のコマンドを入力します。

    ./nds-install

    コマンドラインに必要なパラメータを入力していない場合、パラメータを要求するプロンプトがnds-installユーティリティに表示されます。

    次の表では、nds-installユーティリティのパラメータを説明します。

    nds-installパラメータ

    説明

    -hまたは--help

    nds-installのヘルプを表示します。

    -i

    アップグレード時にDIBが検出された場合、nds-installスクリプトがndsconfig upgradeコマンドを呼び出さないようにします。

    -j

    eDirectoryインストール前のヘルスチェックオプションをジャンプまたは無効化します。ヘルスチェックの詳細については、「セクション B.0, eDirectoryヘルスチェック」を参照してください。

    -m

    設定するモジュール名を指定します。新しいツリーを設定するときは、DSモジュールのみを設定できます。DSモジュールを設定してから、addコマンドを使用して、NMAS、LDAP、SAS、SNMP、HTTPの各サービス、およびSecretStore (ss)を追加することができます。モジュール名が指定されていない場合は、すべてのモジュールがインストールされます。

    -u

    無人インストールモードオプションを指定します。

    -f

    このオプションは、eDirectoryのいずれかのバージョンに対して、強制的にアップグレード/ダウングレードを行う場合に使用します。

    インストールプログラムによって、次のRPMがインストールされます。

    eDirectoryコンポーネント

    インストールされるパッケージ

    説明

    eDirectoryサーバ

    指定したサーバに、eDirectoryレプリカサーバがインストールされます。

    管理ユーティリティ

    指定したワークステーションに、NetIQインポート/エクスポート変換ユーティリティおよびLDAPツール管理ユーティリティがインストールされます。

  2. 画面の指示に従って、ライセンスファイルの完全パスを入力します。

    インストールプラグラムがデフォルトの位置でライセンスファイルを見つけることができなかった場合のみ、ライセンスファイルの完全パスを入力するためのプロンプトが表示されます。デフォルトの位置は、/var、マウントされたライセンスディスク、またはカレントディレクトです。

    入力したパスが有効でない場合、正しいパスを入力するようプロンプトが出されます。

  3. インストールが完了したら、eDirectoryユーティリティを現在のセッションで使用するために次の環境変数を更新してエクスポートします。

    export PATH=$PATH opt/novell/eDirectory/bin opt/novell/eDirectory/sbin
    export MANPATH=$MANPATH opt/novell/man opt/novell/eDirectory/man
    export TEXTDOMAINDIR=/opt/novell/eDirectory/share/locale

インストール後にeDirectoryサーバを設定するには、ndsconfigユーティリティを使用します。

サーバコンポーネントの一部として、NMAS (NetIQ Modular Authentication Service)がインストールされます。デフォルトでは、ndsconfigを使用してNMASを設定します。また、インストール後にNMASサーバを設定するには、nmasinstユーティリティを使用します。NMASサーバの設定は、ndsconfigを使用してeDirectoryの設定を行ってから実行する必要があります。

デフォルトでは、eDirectoryサーバはFIPSモードで実行されます。FIPSモードを無効にするには、ndsconfig setコマンドでn4u.server.fips_tls=0を渡し、サーバを再起動します。たとえば、ndsconfig set n4u.server.fips_tls=0と指定します。

eDirectory環境でFIPSモードを有効にすると、OpenSSLを使用するすべてのeDirectoryのアプリケーションまたはモジュールが、常にFIPSモードでOpenSSLを使用します。FIPSモードでeDirectoryを動作させると、SSLv3経由の通信が許可されず、サイファの使用が強度の高いサイファのみに制限されます。詳細については、『NetIQ eDirectory管理ガイド』の「LDAPオブジェクトを環境設定する」および「HTTPサーバオブジェクトの設定」を参照してください。

ndsconfigユーティリティの詳細については、「ndsconfigユーティリティ」を参照してください。

nmasinstユーティリティの詳細については、「nmasinstユーティリティを使用してNMASを設定する」を参照してください。

メモ:eDirectoryをインストールした後、eDirectoryサーバのDIBディレクトリは、ウィルス対策ソフトウェアやバックアップソフトウェアのプロセスから除外することをお勧めします。DIBディレクトリのバックアップは、eDirectoryバックアップツールを使って行えます。

eDirectoryのバックアップの詳細については、『NetIQ eDirectory管理ガイド』のNetIQ eDirectoryのバックアップと復元を参照してください。

2.6.3 非ルートユーザによるeDirectory 9.2のインストール

非ルートユーザは、tarballを使用してeDirectory 9.2をインストールできます。

前提条件

  • nds-installユーティリティではなくtarballを使ってeDirectoryをインストールする場合は、NICIがインストールされていることを確認してください。NICIのインストールについては、「NICI のインストール」を参照してください。

  • rpm --nodeps <SNMPサブエージェントRPMのパス>コマンドを使って、SNMPサブエージェントがインストールされていることを確認します。

  • SLPおよびSNMPを使用する場合は、それらがルートユーザによってインストールされていることを確認します。

  • eDirectoryのインストール先ディレクトリに対する書き込み権。

    管理者以外のユーザについては、「前提条件」セクションに示されている権限を持っていることを確認します。

NICI のインストール

eDirectoryのインストールに進む前に、NICIをインストールする必要があります。必須NICIパッケージはシステム全体で使われるため、ルートユーザを使って、必要なパッケージをインストールすることをお勧めします。

eDirectory 9.2では、1つのシステムに32ビットと64ビットのアプリケーションを共存させることができます。

ルートユーザによるNICIのインストール

64ビットのNICIをインストールするには、次のコマンドを入力します。

rpm -ivh NICI_rpm_absolute_path/nici64-3.2.0-0.00.x86_64.rpm

NICIをサーバモードに設定するには、ルートユーザとして次のように入力します。

/var/opt/novell/nici/set_server_mode64

SLES 12以上でユーザサービスを設定する

これらのプラットフォームで非ルートユーザ向けのサービスをサポートするには、systemdをそのユーザに対しワンタイムアクティビティとして開始します。

非ルートユーザとしてサービスを開始する利点を次に示します。

  • システム管理者がサービスを監視できます。

  • コンピュータが再起動時にサービスを開始します。

特定のユーザに対してsystemdを開始するには、次のコマンドを実行します。

systemctl start user@<uid>.service

ここでuidは、そのユーザのユーザIDです。

たとえば、systemctl start user@1001.serviceと指定します。

持続的なsystemdユーザインスタンスを有効にするには、次のコマンドを実行します。

loginctl enable-linger user

メモ:SLES 12以上でeDirectoryを設定した後にdatadirを新しい場所に移動する場合は、次の手順を実行してください。

  • 場所/usr/lib/systemd/system/にあるサービスファイル内で、ndsd.pidファイルを新しい場所に更新します。

    たとえば、nds.confファイルがもともと/etc/opt/novell/eDirectoryに置かれている場合は、次のようにサンプルのサービスファイルが作成されます。

    /usr/lib/systemd/system/ndsdtmpl-etc-opt-novell-eDirectory-conf-ds.conf@.service。

  • systemctl daemon-reloadコマンドを使用して、デーモンを再ロードします。

  • eDirectoryサーバを再起動します。

eDirectoryをインストールする

  1. eDirectoryをインストールするディレクトリに移動します。

  2. 次のコマンドを実行して、tarファイルを展開します。

                    tar xvf /tar_file_name

    etc、opt、varの各ディレクトリが作成されます。

  3. 次を実行して、パスをエクスポートします。

    • 環境変数を手動でエクスポートするには、次のコマンドを入力します。 

      export LD_LIBRARY_PATH=custom_location/eDirectory/opt/novell/eDirectory/lib64:custom_location/eDirectory/opt/novell/eDirectory/lib64/nds-modules:custom_location/eDirectory/opt/novell/lib64:$LD_LIBRARY_PATH
      export PATH=custom_location/eDirectory/opt/novell/eDirectory/bin:custom_location/eDirectory/opt/novell/eDirectory/sbin:/opt/novell/eDirectory/bin:$PATH
      export MANPATH=custom_location/eDirectory/opt/novell/man:custom_location/eDirectory/opt/novell/eDirectory/man:$MANPATH
      export TEXTDOMAINDIR=custom_location/eDirectory/opt/novell/eDirectory/share/locale:$TEXTDOMAINDIR

      ndspathスクリプトを使って環境変数をエクスポートするには、次の手順を実行します。

      手動でパスをエクスポートしない場合は、ndspathスクリプトをユーティリティの前に指定します。

      • 次のように、必要なユーティリティを実行します。

        custom_location/eDirectory/opt/novell/eDirectory/bin/ndspath utility_name_with_parameters

      • 次のとおり、現在のシェル内のパスをエクスポートします。

        . custom_location/eDirectory/opt/novell/eDirectory/bin/ndspath

        メモ:上記のコマンドは、必ずcustom_location/eDirectory/optディレクトリから入力してください。

        上記のコマンドを入力したら、通常どおりにユーティリティを実行します。

      • プロファイル内のスクリプト(bashrc、または同様のスクリプト)を呼び出します。こうすることで、ログインするか新しいシェルを開けば、直接ユーティリティを使い始めることができます。

  4. 通常の方法でeDirectoryを設定します。

    eDirectoryは次の方法で設定できます。

    • 次のとおり、ndsconfigユーティリティを使用します。

      ndsconfig new [-t <treename>] [-n <server_context>] [-a <admin_FDN>] [-w <admin password>] [-i] [-S <server_name>] [-d <path_for_dib>] [-m <module>] [e] [-L <ldap_port>] [-l <SSL_port>] [-o <http_port>] -O <https_port>] [-p <IP address:[port]>] [-c] [-b <port_to_bind>] [-B <interface1@port1>, <interface2@port2>,..] [-D <custom_location>] [--config-file <configuration_file>] [--configure-eba-now <yes/no>]

      次に例を示します。

      ndsconfig new -t mary-tree -n novell -a admin.novell -S linux1 -d /home/mary/inst1/data -b 1025 -L 1026 -l 1027 -o 1028 -O 1029 -D /home/mary/inst1/var --config-file /home/mary/inst1/nds.conf --configure-eba-now yes

      入力するポート番号は、1024～65535の範囲内にする必要があります。1024より小さいポート番号は通常、スーパユーザと標準アプリケーション用に予約されています。そのため、eDirectoryアプリケーションには、デフォルトのポート524は使用できません。

      これが原因で、次のアプリケーションで問題が発生する可能性があります。

      • ターゲットサーバポートを指定するオプションがないアプリケーション。

      • NCPを使用し、ポート524でルートとして動作する古いアプリケーション。

    • ndsmanageユーティリティを使用して、新しいインスタンスを設定します。詳細については、「ndsmanageによるインスタンスの作成」を参照してください。

    拡張バックグラウンド認証を有効にするには、ndsconfig upgradeコマンドの--configure-eba-nowスイッチでyesを指定します。有効にしない場合は、noを指定して後から設定します。--configure-eba-nowスイッチをndsconfigコマンドに渡さなかった場合は、選択を求めるプロンプトが出されます。デフォルトでは、この設定はnoです。

    画面の指示に従って、設定を完了します。

    詳細については、「ndsconfigユーティリティを使用してeDirectoryレプリカサーバを追加または削除する」を参照してください。

メモ:eDirectoryをインストールした後、eDirectoryサーバのDIBディレクトリは、ウィルス対策ソフトウェアやバックアップソフトウェアのプロセスから除外することをお勧めします。DIBディレクトリのバックアップは、eDirectoryバックアップツールを使って行えます。

eDirectoryのバックアップの詳細については、『NetIQ eDirectory管理ガイド』のNetIQ eDirectoryのバックアップと復元を参照してください。

2.6.4 ndsconfigユーティリティを使用してeDirectoryレプリカサーバを追加または削除する

eDirectoryをインストールした後、ndsconfigユーティリティを使って、eDirectoryレプリカサーバを設定します。ndsconfigユーティリティを使用するには、管理者の権利を持っている必要があります。引数付きでこのユーティリティを使用した場合は、すべての引数が確認され、管理者の権利を持つユーザのパスワード入力を要求するプロンプトが表示されます。引数なしでndsconfigユーティリティを使用した場合は、このユーティリティに関する説明と利用可能なオプションが表示されます。このユーティリティでは、eDirectoryレプリカサーバを削除したり、eDirectoryサーバの現在の設定を変更することもできます。詳細については、「ndsconfigユーティリティ」を参照してください。

特定の場所でeDirectoryを設定するための前提条件

特定の場所にeDirectoryを設定する場合は、eDirectoryの設定を行う前に、その場所にLC_ALLおよびLANGをエクスポートする必要があります。たとえば、eDirectoryのロケールを日本に設定する場合は、次のコマンドを入力します。

export LC_ALL=ja

export LANG=ja

新しいツリーの作成

使用する構文は次のとおりです。

ndsconfig new [-m <modulename>] [-i] [-S <server name>] [-t <tree_name>] [-n <server context>] [-d <path_for_dib>][-P <LDAP URL(s)>] [-L <ldap_port>] [-l <ssl_port>] [-o http port] [-O https port] [-e] -a <admin FDN> [-R] [-c] [-w <admin password>] [-b <port to bind>] [-B <interface1@port1, interface2@port2,..>] [-D <path_for_data>] [--config-file <configuration file>] [--configure-eba-now <yes/no>] [--pki-default-rsa-keysize <2048/4096/8192>] [--pki-default-ec-curve <P256/P384/P521>] [--pki-default-cert-life <in years>]

指定したツリー名とコンテキストの新しいツリーがインストールされます。

tree_name、admin FDN、およびserver FDNの変数には、文字数制限があります。これらの変数に使用できる最大文字数は次のとおりです。

  • tree_name: 32文字

  • admin-FDN: 255文字

  • server FDN: 255文字

重要:eDirectoryでは、NCPサーバオブジェクトのFDNを最大256文字までで設定できますが、このオブジェクトの長さに基づいて他のより長いオブジェクトが作成されるため、この変数をずっと小さい値に制限することをお勧めします。

コマンドラインにパラメータが指定されていない場合、指定されていない各パラメータに値を入力するよう求めるプロンプトがndsconfigによって表示されます。

また、次の構文も使用できます。

ndsconfig def [-t <treename>] [-n <server context>] [-a <admin FDN>] [-w <admin password>] [-c] [-i] [-S <server name>] [-d <path for dib>] [-m <module>] [-e] [-L <ldap port>] [-l <SSL port>] [-o <http port>] [-O <https port>] [-D <custom_location>] [--config-file <configuration_file>] [--configure-eba-now <yes/no>]

指定したツリー名とコンテキストの新しいツリーがインストールされます。コマンドラインにパラメータが指定されていない場合、ndsconfigによって、指定されていない各パラメータにデフォルト値が適用されます。

たとえば、新しいツリーを作成するには、次のようにコマンドを入力します。

ndsconfig new -t corp-tree -n o=company -a cn=admin.o=company

メモ:新しいツリーの作成時に使用するeDirectory 9.2のndsconfigコマンドに--enable-pbkdf2という名前の新しいオプションが追加されました。このオプションが設定されている場合は、パスワードポリシーが作成され、ツリー全体に自動的に割り当てられます。このパスワードポリシーにより、ツリー内のすべてのユーザに対して、NDSパスワードのPBKDF2パスワードとの同期が可能になります。詳細については、『NetIQ eDirectory管理ガイド』の「非可逆パスワードストレージを理解する」を参照してください。

デフォルトサーバ証明書のデフォルトのパラメータを指定する

eDirectoryには、新しいeDirectoryツリーを設定しながら、CA証明書とデフォルトサーバ証明書のデフォルトRSAキーサイズ、楕円曲線、および証明書の有効期限を指定するオプションが用意されています。以下のコマンドを使用して、ndsconfig newを使用して新しいeDirectoryツリーを設定しながら、CAおよびデフォルトサーバの証明書のデフォルトパラメータを指定できます。

  • pki-default-rsa-keysize: RSA証明書のキーサイズを指定します。使用可能な値は2048、4096、および8192ビットです。

  • pki-default-ec-curve: EC証明書の曲線の制限を指定します。使用可能な値はP256、P384、およびP521です。

  • pki-default-cert-life: 証明書の有効期限を年数で指定します。

これらの属性は、新しいeDirectoryサーバのインストール中にndsconfig newで設定できます。

ここで指定される値は、新しいツリーが構成されるときに組織のCAオブジェクトの対応する属性に設定されます。

詳細については、『NetIQ eDirectory管理ガイド』の「組織の認証局オブジェクトを作成する」を参照してください。

既存のツリーにサーバを追加する

使用する構文は次のとおりです。

ndsconfig add [-t <treename>] [-n <server context>] [-a <admin FDN>] [-w <admin password>] [-e] [-P <LDAP URL(s)>][-L <ldap port>] [-l <SSL port>] [-o <http port>] [-O <https port>] [-S <server name>] [-d <path for dib>] [-m <module>] [-p <IP address:[port]>] [-R] [-c] [-b <port to bind>] [-B <interface1@port1>, <interface2@port2>,..] [-D <custom_location>] [--config-file <configuration_file>] [-E] [--configure-eba-now <yes/no>]

指定したコンテキストで既存のツリーにサーバが追加されます。サーバオブジェクトの追加先として指定したコンテキストが存在しない場合は、ndsconfigによって該当するコンテキストが作成され、サーバが追加されます。

拡張バックグラウンド認証(EBA)を有効にするには、ndsconfig upgradeコマンドの--configure-eba-nowスイッチでyesを指定します。有効にしない場合は、noを指定して後から設定します。--configure-eba-nowスイッチをndsconfigコマンドに渡さなかった場合は、選択を求めるプロンプトが出されます。デフォルトでは、この設定はnoです。

EBAを有効にしたセカンダリサーバをツリーに追加するには、ツリーでEBA CAを設定しておく必要があります。EBA CAが存在しない場合は、EBAを有効にせずにサーバを追加してから、EBA CAをホストするようにサーバをアップグレードします。この操作を行わないと、セカンダリサーバの設定が失敗します。

既存のツリーへeDirectoryをインストールした後で、LDAPおよびセキュリティサービスを追加することもできます。

たとえば、新しいツリーをサーバに追加するには、次のようにコマンドを入力します。

ndsconfig add -t corp-tree -n o=company -a cn=admin.o=company -S srv1

-Eオプションを使用して、追加するサーバの暗号化レプリケーションを有効にできます。暗号化レプリケーションの詳細については、『NetIQ eDirectory管理ガイド』の「暗号化レプリケーション」を参照してください。

ツリーからサーバオブジェクトとディレクトリサービスを削除する

使用する構文は次のとおりです。

ndsconfig rm [-a <admin FDN>] [-w <admin password>] [-p <IP address:[port]>] [-c]

サーバからeDirectoryおよびデータベースが削除されます。

メモ:iMonitorを使用して作成したHTMLファイルは削除されません。これらのファイルは、eDirectoryを削除する前に、/var/opt/novell/eDirectory/data/dsreportsから手動で削除する必要があります。

たとえば、eDirectoryサーバオブジェクトとディレクトリサービスをツリーから削除するには、次のコマンドを入力します。

ndsconfig rm -a cn=admin.o=company

ndsconfigユーティリティパラメータ

ndsconfigのパラメータ

説明

new

新しいeDirectoryツリーを作成します。コマンドラインにパラメータが指定されていない場合、指定されていない各パラメータに値を入力するよう求めるプロンプトがndsconfigによって表示されます。

def

新しいeDirectoryツリーを作成します。コマンドラインにパラメータが指定されていない場合、ndsconfigによって、指定されていない各パラメータにデフォルト値が適用されます。

add

既存のツリーにサーバを追加します。また、既存のツリーでeDirectoryの設定が完了した後、LDAPおよびSASサービスを追加します。

rm

サーバオブジェクトとディレクトリサービスをツリーから削除します。

メモ:このオプションを指定しても、キーマテリアルオブジェクトは削除されません。これらのオブジェクトは、手動で削除する必要があります。

アップグレード

eDirectoryを使用中のバージョンよりも新しいバージョンにアップグレードします。

-i

新しいツリーを設定するときに、同じ名前のツリーが存在するかのチェック結果を無視します。複数の同じ名前を持つツリーが存在できます。

-S server name

サーバ名を指定します。サーバ名にはドットも使用できます(例:netiq.com)。ndsconfigはコマンドラインユーティリティのため、名前にドットを含むコンテナを使用する場合はそれらのドットをエスケープする必要があります。また、ドットを含むコンテキストが含まれたパラメータは二重引用符で囲む必要があります。

たとえば、Oの名前としてnetiq.comを使用しているLinuxサーバに新しいeDirectoryツリーをインストールするには、次のコマンドを使用します。

ndsconfig new -a "admin.novell\\.com" -t netiq_tree -n "OU=servers.O=netiq\\.com"

管理者名のパラメータ、コンテキストとサーバコンテキストのパラメータは、二重引用符で囲みます。netiq.comの「.」だけを「\\」(円記号)文字を使ってエスケープします。このフォーマットは、既存のツリーにサーバをインストールする場合にも使用できます。

メモ:名前の最初にドットを使用することはできません。たとえば、ドット(.)で始まる「.novell」という名前のサーバをインストールすることはできません。

-t treename

サーバの追加先のツリー名です。最大で32文字の名前を付けることができます。このパラメータを指定しない場合、ndsconfigは/etc/opt/novell/eDirectory/conf/nds.confファイル内のn4u.nds.tree-nameパラメータに指定されているツリー名を採用します。デフォルトのツリー名は$LOGNAME-$HOSTNAME-NDStreeです。

-n server context

サーバオブジェクトを追加するサーバのコンテキストを指定します。最大で64文字の名前を付けることができます。このコンテキストが指定されていない場合、ndsconfigは/etc/opt/novell/eDirectory/conf/nds.confファイルのn4u.nds.server-context環境設定パラメータに指定されているコンテキストを採用します。サーバコンテキストはタイプつきの形式で指定する必要があります。デフォルトのコンテキストはorgです。

-d path for dib

データベースファイルの格納先になる場所のディレクトリパスです。

-r

このオプションを使用すると、サーバにすでに追加されているサーバの数にかかわらず、サーバのレプリカが強制的に追加されます。

-L ldap_port

LDAPサーバのTCPポート番号を指定します。デフォルトのポートである389が使用中の場合は、新しいポート番号を要求するプロンプトが表示されます。

-l ssl_port

LDAPサーバのSSLポート番号を指定します。デフォルトのポートである636が使用中の場合は、新しいポート番号を要求するプロンプトが表示されます。

-a admin FDN

サーバオブジェクトとディレクトリサービスの作成先のコンテキストに対するスーパバイザ権を持つ、ユーザオブジェクトの完全識別名を指定します。admin名はタイプつきの形式で指定する必要があります。最大で64文字の名前を付けることができます。デフォルトのadmin名はadmin.orgです。

-e

LDAPオブジェクトのクリアテキストパスワードを有効にします。

-m modulename

設定するモジュール名を指定します。新しいツリーを設定するときは、DSモジュールのみを設定できます。DSモジュールを設定してから、addコマンドを使用して、NMAS、LDAP、SAS、SNMP、HTTPの各サービス、およびSecretStore (ss)を追加することができます。モジュール名が指定されていない場合は、すべてのモジュールがインストールされます。

メモ:nds-installを使ったeDirectoryアップグレード中にSecretStoreを設定しない場合は、このオプションにno_ssという値を渡します。たとえば、nds-install '-m no_ss'などです。

-o

HTTPクリアポート番号を指定します。

-O

HTTPセキュアポート番号を指定します。

-p <IPアドレス:[ポート]>

このオプションは、セカンダリサーバをツリーに追加する場合(addコマンド)に使われます。このサーバを追加するパーティションのレプリカを保持するリモートホストのIPアドレスを指定します。デフォルトのポート番号は524です。これにより、SLPルックアップが回避されるため、ツリーのルックアップが高速化されます。

-R

デフォルトでは、サーバの追加先のパーティションのレプリカは、ローカルサーバに複製されます。このオプションを使用すると、レプリカをローカルサーバに追加することは許可されません。

-c

このオプションを使用すると、ndsconfig操作中(操作を続行するためのyes/noの選択など)のプロンプトや、競合が発生した場合にポート番号の再入力を求めるプロンプトなどが表示されなくなります。コマンドラインで必須パラメータを渡さなかった場合のみ、必須パラメータの入力を求めるプロンプトが表示されます。

-w <管理パスワード>

このオプションを使用すると、管理ユーザパスワードをクリアテキストで渡すことができます。

メモ:パスワードをクリアテキストで渡すと、安全が確保できないため、このオプションは推奨されません。

-E

追加するサーバに対して暗号化レプリケーションを有効にします。

-j

eDirectoryインストール前のヘルスチェックオプションをジャンプまたは無効化します。

-b port to bind

特定のインスタンスが監視に使用するデフォルトのポート番号を設定します。これにより、n4u.server.tcp-portとn4u.server.udp-portにデフォルトのポート番号が設定されます。-bオプションを使用してNCPポートが渡されると、デフォルトのポートと見なされ、それに応じてTCPとUDPのパラメータが更新されます。

メモ:-bと-Bは排他的に使われます。

-B interface1@port1, interface2@port2,...

ポート番号をIPアドレスまたはインタフェースとともに指定します。次に例を示します。 

-B eth0@524

または

-B 100.1.1.2@524

メモ:-bと-Bは互いに排他的です。

--config-file configuration file

nds.conf環境設定ファイルを保存するための絶対パスとファイル名を指定します。たとえば、環境設定ファイルを/etc/opt/novell/eDirectory/ディレクトリに保存する場合には、--config-file /etc/opt/novell/eDirectory/nds.confと入力します。

-P <LDAP URL>

LDAP URLで、LDAPサーバオブジェクト上のLDAPインタフェースを設定できるようにします。

例: -P ldap://1.2.3.4:1389,ldaps://1.2.3.4:1636

-D path_for_data

指定したパスにdata、dib、およびlogのディレクトリを作成します。

set valuelist

指定したeDirectory環境設定パラメータに対して値を設定します。ツリーを設定する前に、ブートストラップパラメータの設定に使用します。環境設定パラメータを変更した場合、新しい値を有効にするにはndsdを再起動する必要があります。ただし、環境設定パラメータによってはndsdを再起動する必要がない場合があります。

再起動の必要のないパラメータは次のとおりです。

  • n4u.nds.inactivity-synchronization-interval

  • n4u.nds.synchronization-restrictions

  • n4u.nds.janitor-interval

  • n4u.nds.backlink-interval

  • n4u.nds.drl-interval

  • n4u.nds.flatcleaning-interval

  • n4u.nds.server-state-up-threshold

  • n4u.nds.heartbeat-schema

  • n4u.nds.heartbeat-data

  • n4u.server.fips_tls

  • n4u.server.eba_enabled

get help paramlist

指定したeDirectory環境設定パラメータに関するヘルプを表示します。パラメータリストが指定されていない場合は、ndsconfigはすべてのeDirectory環境設定パラメータに関するヘルプ文字列を表示します。

set valuelist

指定したeDirectory環境設定パラメータに対して値を設定します。ツリーを設定する前に、ブートストラップパラメータの設定に使用します。

環境設定パラメータを変更した場合、新しい値を有効にするにはndsdを再起動する必要があります。

get paramlist

指定したeDirectory環境設定パラメータの現在の値を表示します。パラメータリストが指定されていない場合は、ndsconfigはすべてのeDirectory環境設定パラメータを表示します。

configure-eba-now

拡張バックグラウンド認証用にeDirectoryサーバを設定するには、このスイッチを使用します。

2.6.5 ndsconfigの使用によるeDirectory 9.2の複数インスタンスの設定

単一のホスト上でeDirectory 9.2の複数インスタンスを設定できます。eDirectory 9.2では複数インスタンスの機能がサポートされるため、次の設定が可能です。

  • 1台のホスト上に複数インスタンスのeDirectoryを設定する

  • 1台のホスト上に複数のユーザ用に複数のツリーを設定する

  • 1台のホスト上に同じツリーまたはパーティションの複数のレプリカを設定する

警告:同じユーザに対して複数のツリーを設定することはできません。1ユーザに対する複数のツリーでサーバのインスタンスを設定することはできません。複数のツリーにサーバを設定する場合は、別々のユーザアカウントを使用してください。

次の表に、複数インスタンスをサポートするプラットフォームを示します。

機能

Linux

Windows

複数インスタンスのサポート

複数インスタンスの設定方法は、1つのインスタンスを複数回設定する場合と同様です。各インスタンスは、次のように固有のインスタンス識別子を持つ必要があります。

  • 異なるデータとログファイルの場所

    ndsconfig --config-file、-d、および-Dオプションを使用して、これを実行できます。

  • リスン対象インスタンスの固有のポート番号

    ndsconfigの-bと-Bオプションを使って、これを実行できます。

  • インスタンスの一意なサーバ名

    ndsconfig -S server nameオプションを使用して、これを行えます。

    重要:eDirectoryの設定中、デフォルトのNCPサーバ名がホストサーバ名として設定されます。複数のインスタンスを設定する場合、NCPサーバ名を変更する必要があります。ndsconfigのコマンドラインオプションである-S <server_name>を使って、別のサーバ名を指定します。

    同じツリーまたは複数の異なるツリーのどちらであっても、複数インスタンスを設定する場合は、NCPサーバ名が固有でなければなりません。

複数インスタンスの必要性

複数インスタンスは、次のことを行う必要性から提供されるようになりました。

  • eDirectoryのインスタンスを複数設定することによって、ハイエンドのハードウェアを活用する。

  • 必要なハードウェアに投資する前に、1台のホスト上でセットアップをテスト運用する。

複数インスタンスを展開する場合のシナリオ

同じツリーまたは複数のツリーに属する複数インスタンスは、次のようなシナリオで効果的に使用できます。

大企業におけるeDirectoryの使用

  • 大企業では、eDirectoryの負荷分散と高い可用性を提供することができます。

    たとえば、ポート1524、2524、および3524でLDAPサービスを実行するレプリカサーバ3台がある場合、eDirectoryの新しいインスタンスを設定し、新しいポート636で高い可用性のLDAPサービスを提供できます。

  • 1台のホストに複数インスタンスを設定すると、組織内の複数の部門にまたがってハイエンドのハードウェアを活用できます。

評価用セットアップにおけるeDirectoryの使用

  • 大学: 大勢の熱心なユーザ(学生)が、複数インスタンスを使用して1台のホストからeDirectoryを評価できます。

  • eDirectory管理のトレーニング:

    • 参加者は、複数インスタンスを使用して、実際に管理を行ってみることができます。

    • 講師は、1台のホストを使用してクラスの受講者に教えることができます。各受講者に専用のツリーを用意できます。

複数インスタンスの使用

eDirectory 9.2によって、複数インスタンスの設定が容易になります。複数インスタンスを効果的に使用するためには、セットアップを慎重に計画してから、複数インスタンスを設定する必要があります。

セットアップの計画

この機能を有効に使用するためには、eDirectoryのインスタンスを複数計画し、各インスタンスが、ホスト名、ポート番号、サーバ名、または環境設定ファイルのように、確定的なインスタンス識別子を持つように設定することをお勧めします。

複数インスタンスの設定時には、次のことについて計画したかどうかを確認する必要があります。

  • 環境設定ファイルの場所

  • 変数データの場所(ログファイルなど)

  • DIBの場所

  • NCPインタフェース、各インスタンスを識別する一意のポート、および他のサービスのポート(LDAP、LDAPS、HTTP、HTTPSポートなど)

  • 各インスタンスの一意なサーバ名

複数インスタンスを設定する

複数インスタンスのeDirectoryは、ndsconfigユーティリティを使用して設定できます。次の表に、複数インスタンスの設定時に指定する必要があるndsconfigオプションを示します。

メモ:すべてのインスタンスは同じサーバキー(NICI)を共有します。

オプション

説明

--config-file

nds.conf環境設定ファイルを保存するための絶対パスとファイル名を指定します。

たとえば、環境設定ファイルを/etc/opt/novell/eDirectory/ディレクトリに保存する場合には、--config-file /etc/opt/novell/eDirectory/nds.confを使用します。

-b

新しいインスタンスが監視するときのポート番号を指定します。

メモ:-bと-Bは排他的に使われます。

-B

ポート番号をIPアドレスまたはインタフェースとともに指定します。次に例を示します。

-B eth0@524

または

-B 100.1.1.2@524

メモ:-bと-Bは排他的に使われます。

-D

data、dib、およびlogのディレクトリを、新しいインスタンス用に指定したパスに作成します。

S

サーバ名を指定します。

オプションを使用して、eDirectoryの新しいインスタンスを設定できます。

ndsmanageユーティリティを使用して、新しいインスタンスを設定することもできます。詳細については、「ndsmanageによるインスタンスの作成」を参照してください。

複数インスタンスを管理する

このセクションでは、次の情報を紹介します。

ndsmanageユーティリティ

ndsmanageユーティリティを使用すると、次の操作を実行できます。

インスタンスの表示

次の表で、eDirectoryインスタンスを表示する方法について説明します。

表 2-1 インスタンスを表示するためのndsmanageの使用

構文

説明

ndsmanage

設定したすべてのインスタンスを表示します。

ndsmanage -a|--all

eDirectoryの特定のインストールを使用しているすべてのユーザのインスタンスを表示します。

ndsmanage ユーザ名

特定のユーザによって設定されたインスタンスを表示します。

各インスタンスについて、次のフィールドが表示されます。

  • 環境設定ファイルのパス

  • サーバのFDNおよびポート

  • ステータス(インスタンスがアクティブか非アクティブか)

メモ:このユーティリティは、単一のバイナリに対して設定されたすべてのインスタンスを表示します。

ndsmanageによるインスタンスの作成

ndsmanageを使用して新しいインスタンスを作成するには、次の手順を実行します。

  1. 次のコマンドを入力します。

                      ndsmanage

  2. 新しいインスタンスを作成するには、「c」と入力します。

    新しいツリーを作成するか、既存のツリーにサーバを追加できます。画面の指示に従って、新しいインスタンスを作成します。

特定のインスタンスに対する操作の実行

各インスタンスについて、次の操作を実行できます。

下記の操作以外に、選択したインスタンスに対してDSTraceを実行することもできます。

特定のインスタンスの開始

自分が設定したインスタンスを開始するには、次の操作を実行します。

  1. 次のように入力します。

                      ndsmanage

  2. 開始するインスタンスを選択します。

    メニューが拡張し、特定のインスタンスに対して実行可能なオプションが表示されます。

    図 2-1 ndsmanageユーティリティのインスタンスオプションの出力画面

  3. インスタンスを開始するには、「s」と入力します。

または、コマンドプロンプトに次のコマンドを入力することもできます。

ndsmanage start --config-file configuration_file_of_the_instance_configured_by_you

特定のインスタンスの停止

自分が設定したインスタンスを停止するには、次の操作を実行します。

  1. 次のように入力します。

                      ndsmanage

  2. 停止するインスタンスを選択します。

    メニューが拡張し、特定のインスタンスに対して実行可能なオプションが表示されます。詳細については、「ndsmanageユーティリティのインスタンスオプションの出力画面」を参照してください。

  3. インスタンスを停止するには、「k」と入力します。

または、コマンドプロンプトに次のコマンドを入力することもできます。

ndsmanage stop --config-file configuration_file_of_the_instance_configured_by_you

インスタンスの設定解除

インスタンスの設定を解除するには、次の手順を実行します。

  1. 次のように入力します。

                      ndsmanage

  2. 設定解除するインスタンスを選択します。

    メニューが拡張し、特定のインスタンスに対して実行可能なオプションが表示されます。詳細については、「ndsmanageユーティリティのインスタンスオプションの出力画面」を参照してください。

  3. インスタンスを設定解除するには、「d」と入力します。

すべてのインスタンスの開始と停止

自分が設定したすべてのインスタンスを開始および停止できます。

すべてのインスタンスの開始

自分が設定したすべてのインスタンスを開始するには、コマンドプロンプトで次のコマンドを入力します。

ndsmanage startall

特定のインスタンスを開始するには、「特定のインスタンスの開始」を参照してください。

特定のインスタンスの識別

複数インスタンスの設定中に、ホスト名、ポート番号、および一意な環境設定ファイルのパスを、各インスタンスに割り当てます。このホスト名とポート番号が、インスタンスの識別子になります。

ほとんどのユーティリティには、特定のインスタンスを指定することができる「-hホスト名:ポート」オプションまたは「--config-file環境設定ファイルの場所」オプションが用意されています。詳細については、ユーティリティのマニュアルページを参照してください。

特定のインスタンスに対するユーティリティの呼び出し

特定のインスタンスに対してユーティリティを実行する場合は、ユーティリティのコマンドにインスタンスの識別子を含める必要があります。インスタンスの識別子になるのは、環境設定ファイルのパス、ホスト名、およびポート番号です。「--config-file環境設定ファイルの場所」または「-hホスト名:ポート」を使用すると、特定のインスタンスに対してユーティリティを実行できます。

コマンドにインスタンス識別子を指定しないと、ユーザが所有するさまざまなインスタンスが表示され、ユーティリティの実行対象にするインスタンスを選択するように求められます。

たとえば、--config-fileオプションを指定して特定のユーティリティに対してDSTraceを実行する場合は、次のように入力します。

ndstrace --config-file configuration_filename_with_location

複数インスタンスのシナリオ

非ルートユーザであるMaryが、1台のホストマシン上で、1つのバイナリに対し2つのツリーを設定しようとしています。

セットアップの計画

Maryは次のインスタンス識別子を指定します。

  • インスタンス1:

    インスタンスが監視するポート番号

    1524

    環境設定ファイルのパス

    /home/maryinst1/nds.conf

    DIBディレクトリ

    /home/mary/inst1/var

  • インスタンス2:

    インスタンスが監視するポート番号

    2524

    環境設定ファイルのパス

    /home/mary/inst2/nds.conf

    DIBディレクトリ

    /home/mary/inst2/var

インスタンスの設定

前述のインスタンス識別子に基づいてインスタンスを設定するために、Maryは次のコマンドを入力する必要があります。

  • インスタンス1: 

    ndsconfig new -t mytree -n o=novell -a cn=admin.o=company -b 1524 -D 
/home/mary/inst1/var --config-file /home/mary/inst1/nds.conf

  • インスタンス2: 

    ndsconfig new -t corptree -n o=novell -a cn=admin.o=company -b 2524 -D 
/home/mary/inst2/var --config-file /home/mary/inst2/nds.conf

インスタンスに対するユーティリティの呼び出し

Maryは、ポート1524でリスンしているインスタンス1に対してDSTraceユーティリティを実行しようと思っています。環境設定ファイルは/home/mary/inst1/nds.confにあり、DIBファイルは/home/mary/inst1/varにあります。この場合、以下のようにユーティリティを実行することができます。

ndstrace --config-file /home/mary/inst1/nds.conf

または

ndstrace -h 164.99.146.109:1524

インスタンス識別子を指定しないと、Maryが所有するすべてのインスタンスが表示され、インスタンスを選択するように求められます。

インスタンスの表示

Maryがホストのインスタンスの詳細を知りたい場合は、ndsmanageユーティリティを実行できます。

  • Maryが所有するすべてのインスタンスを表示するには、次のコマンドを実行します。

    ndsmanage

  • John(ユーザ名john)が所有するすべてのインスタンスを表示するには、次のコマンドを実行します。

    ndsmanage john

  • eDirectoryの特定のインストールを使用しているすべてのユーザのインスタンスをすべて表示するには、次のコマンドを実行します。

    ndsmanage -a

2.6.6 ndsconfigを使用してコンテナ名にドットを使用したツリーにLinuxサーバをインストールする

ndsconfigを使用して、名前にドットを使用したコンテナ(novell.comなど)を含むeDirectoryツリーにLinuxサーバをインストールできます。

ndsconfigはコマンドラインユーティリティのため、名前にドットを含むコンテナを使用する場合はそれらのドットをエスケープする必要があります。また、ドットを含むコンテキストが含まれたパラメータは二重引用符で囲む必要があります。たとえば、名前をOとして"O=netiq.com"を使用しているLinuxサーバに新しいeDirectoryのツリーをインストールするには、次のコマンドを使用します。

ndsconfig new -a 'admin.netiq.com' -t netiq_tree -n 'OU=servers.O=netiq.com'

管理者名のパラメータ、サーバとサーバコンテキストのパラメータを二重引用符で囲み、novell.comのドット(「.」)だけを「\」(円記号)文字を使用してエスケープします。

このフォーマットは、既存のツリーにサーバをインストールする場合にも使用できます。

メモ:DSRepair、Backup、DSMerge、DSLogin、およびldapconfigなどのユーティリティを使用する際に、ドットを含む管理者名やコンテキストを入力する場合も、この形式を使用してください。

2.6.7 nmasinstユーティリティを使用してNMASを設定する

デフォルトでは、ndsconfigを使用してNMASを設定します。nmasinstを使用してNMASを設定することもできます。

ndsconfigが行うのはNMAS設定のみです。ログインメソッドのインストールは行いません。ログインメソッドのインストールには、nmasinstを使用できます。

重要:NMASログインメソッドをインストールする前に、ndsconfigを使用してeDirectoryを設定する必要があります。ツリーに対する管理権限も必要です。

NMASの設定

デフォルトでは、ndsconfigを使用してNMASを設定します。nmasinstを同じ目的で使用することもできます。

NMASを設定し、eDirectoryにNMASオブジェクトを作成するには、サーバコンソールのコマンドラインで次のコマンドを入力します。

nmasinst -i admin.context tree_name

nmasinstからパスワードの入力が要求されます。

このコマンドではNMASに必要なセキュリティコンテナ内にオブジェクトが作成され、eDirectory内のLDAPサーバオブジェクトのNMASに対するLDAP拡張がインストールされます。

ツリー内で最初のNMASをインストールする場合、セキュリティコンテナ内にオブジェクトを作成できる十分な権利を持ったユーザがインストールする必要があります。ただし、それ以降のインストールはセキュリティコンテナに対して読み込み専用の権利のみを持つコンテナ管理者も実行できます。nmasinstは、NMASオブジェクトを作成しようとする前に、セキュリティコンテナ内にNMASオブジェクトが存在していることを確認します。

nmasinstではスキーマを拡張できません。NMASスキーマはeDirectoryのベーススキーマの一部としてインストールされます。

ログインメソッドのインストール

nmasinstを使用してログインメソッドをインストールするには、サーバコンソールのコマンドラインで次のコマンドを入力してください。

nmasinst -addmethod admin.context tree_name config.txt_path

最後のパラメータで、インストールするログインメソッドのconfig.txtファイルを指定します。各ログインメソッドに対して、config.txtファイルが1つ提供されています。

-addmethodコマンドの一例を次に示します。

nmasinst -addmethod admin.netiq MY_TREE ./nmas-methods/novell/Simple Password/config.txt

ログインメソッドがすでに存在する場合は、nmasinstによって更新されます。

詳細については、『NetIQ eDirectory管理ガイド』の「ログインおよびポストログインメソッドとシーケンスを管理する」を参照してください。

2.6.8 非ルートユーザのSNMP設定

NICIとNOVLsubagは、ルートユーザとしてインストールする必要があります。

  1. ルートユーザによるNICIのインストール。「ルートユーザによるNICIのインストール」を参照してください。

  2. ルートユーザによるNOVLsubagのインストール。

    NOVLsubagをインストールするには、次の手順を実行します。

    次のコマンドを入力します。

    rpm -ivh --nodeps NOVLsubag_rpm_file_name_with_path

    次に例を示します。

    rpm -ivh --nodeps novell-novell-NOVLsubag-9.2.0-0.x86_64.rpm

  3. 次を実行して、パスをエクスポートします。

    手動による環境変数のエクスポート.

    export LD_LIBRARY_PATH=custom_location/opt/novell/eDirectory/lib64:/opt/novell/eDirectory/lib64/nds-modules:/opt/novell/lib64:$LD_LIBRARY_PATH
    export   PATH=/opt/novell/eDirectory/bin:$PATH
    export MANPATH=/opt/novell/man:$MANPATH

2.6.9 ログファイルの場所

ndsd.log

ndsd.logファイルには、サーバシャットダウンおよび開始メッセージ、PKIやLDAPサービスの開始およびシャットダウンメッセージといったeDirectoryサーバ関連のメッセージに関する情報が含まれます。デフォルトでは、ファイルは/var/opt/novell/eDirectory/logディレクトリ内に格納されています。

/etc/opt/novell/eDirectory/conf/nds.confファイルで、nds.confファイル内の次の変数を変更することにより、ndsd.logファイルのデバッグレベルを大きくすることができます。

n4u.server.log-levels=Logxxxx

ndsdのログレベルの詳細については、「eDirectoryのエラーログを管理する」を参照してください。

Linuxでのログファイルサイズの指定

ログファイルのサイズを指定するには、nds.confファイルでn4u.server.log-file-sizeパラメータを使用します。最大ファイルサイズは2GBで、デフォルトのファイルサイズは1MBです。ただし、1MBより小さいサイズをファイルサイズに設定することもできます。

この設定はndsd.logファイルには適用できません。

ログファイルのサイズが指定した制限値に到達した場合は、ログファイルの先頭から上書きされます。