ndsbackupを使用しながらオブジェクトを多数(100万個程度)持つコンテナをバックアップするには、コンテナ内のオブジェクトのリストを取得し、個々のバックアップを開始するために、かなりの時間がかかる可能性があります。
OpenText eDirectoryに繰り返しログインすると、使用可能なメモリがすべて消費される可能性があります。iMonitorを使用してログイン更新属性を無効にすると、この問題を解決できます。
OpenText eDirectoryでイベントが発生して消費されるたびに、そのイベントの時刻関連の統計が保持されます。この情報は、イベントコンシューマの問題を解決するのに役立ちます。この統計はディレクトリの通常の機能に必要ではないため、パフォーマンス上の理由で無効にされています。iMonitor詳細設定パラメータを使用することで、イベント統計を実行時に有効にすることができます。
イベント統計を表示するには、ENABLE_EVENT_STATISTICSパラメータを設定して、サーバを再起動します。このパラメータは永続的な設定パラメータです。
Linuxプラットフォームで、OpenText eDirectoryはデフォルトのメモリアロケータとしてGoogle malloc (libtcmalloc)を使用します。
メモリ破損の問題をトラッキングするには、ndsd起動スクリプトにMALLOC_CHECK_環境変数を設定します。起動スクリプトはこの変数が設定されているか確認します。設定されている場合は、デフォルトシステムのmallocが使用され、設定されていない場合は、libtcmallocがロードされます。
ndsdでのMALLOC_CHECK_の設定
MALLOC_CHECK_が0に設定されている場合、検出されたヒープ破損は無視されて通知されません。
MALLOC_CHECK_が2に設定されている場合、直ちに中止が呼び出されます。
このおかげで、メモリ破損の本当の原因を早い段階で特定することができます。さもなければ、原因を後で追求することは難しくなります。
ワークステーションのクラッシュまたは停電のために突然に停止したクライアントホストを、OES Linuxサーバが検出できないことがあります。しかし、接続はアクティブのままで、デフォルトのタイムアウト時間(12～15分間ほど)が経過してから切断されます。同時接続数を1に設定している場合は、接続を手動で終了するか、またはタイムアウトまでの時間を予測して待ってから再びログインすることをお勧めします。この状況は、ウォッチドッグプロセスが接続を正常に閉じることができなかったときに発生します。そのため、同時接続数が1に設定されていて、接続がウォッチドッグによって正常に閉じられていないと、ユーザはログインすることができません。Linuxカーネルには、keepaliveプローブのサーバ側動作を変更するための3つのパラメータが提供されています。TCPレベルで対処方法を実行するには、これらのパラメータを使用します。
これらのパラメータは/proc/sys/net/ipv4/ディレクトリにあります。
tcp_keepalive_time: 接続が使用されていない場合に、接続を生かしておくためにTCP keepaliveパケットを送信する頻度を指定します。この値はkeepaliveが有効である場合にのみ使用します。
tcp_keepalive_timeには、秒数を整数で指定します。デフォルト値は7200秒すなわち2時間です。この値はたいていのホストに適しており、多くのネットワークリソースを必要としません。この値を低く設定すると、不要なトラフィックのためにネットワークリソースを使用することになります。
tcp_keepalive_probes: 接続が切断されたと判断するまでにTCP keepaliveプローブを送信する頻度を指定します。
tcp_keepalive_probesには整数値を指定します。推奨値は50未満で、tcp_keepalive_time値とtcp_keepalive_interval値によって決まります。デフォルトは、9プローブ送信後に接続が切断されているとアプリケーションに通知するよう設定されています。
tcp_keepalive_intvl: 各keepaliveプローブの応答の持続期間を指定します。この値は、接続のkeepaliveが停止するまでの時間を計算するために重要です。
tcp_keepalive_intvlには整数値を指定します。デフォルトは75秒です。1プローブが75秒だとすると、9プローブは約11分となります。tcp_keepalive_probes変数およびtcp_keepalive_intvl変数のデフォルト値を使用して、keepaliveによって接続が時間切れになるまでのデフォルト時間を評価できます。
余分なネットワークトラフィックが大量に発生せずかつ問題は解決されるように、これら3つのパラメータを変更します。一例として、次のように変更できます(検出時間は3分)。
tcp_keepalive_time set -120
tcp_keepalive_probes - 3
tcp_keepalive_intvl - 20
メモ:パラメータ設定値に注意し、すでに有効である接続の設定をしないようにします。
設定はファイルが変更された直後に有効になります。どのサービスも再起動する必要はありません。ただし、設定は現行のセッションにのみ有効です。サーバを再起動すると、設定はデフォルト設定に戻ります。
設定を(再起動後も)永続的なものにするには、以下の手順を行います。
次のエントリを/etc/sysctl.confに追加します。
net.ipv4.tcp_keepalive_time=120
net.ipv4.tcp_keepalive_probes=3
net.ipv4.tcp_keepalive_intvl=20
すべてのクライアントおよびサーバはLAN経由で接続されている場合にのみ、上記の設定を推奨します。
簡易パスワードを使用してユーザオブジェクトをインポートし、ユーザオブジェクトがインポートされたコンテナのユニバーサルパスワードを有効にします。DSサーバを停止してNDSD_TRY_NMASLOGIN_FIRST=trueを環境に設定してから、DSサーバを起動します。簡易パスワードを使用してインポートされたユーザオブジェクトに対してldapsearchを実行すると、次のようなエラーが発生します。
ldap_bind: Unknown error, additional info: NDS error: system failure (-632)
この問題を解決するには、ユーザオブジェクトに対してldapsearchを実行する前に、デフォルトのログインシーケンスを、ユーザオブジェクトがインポートされたコンテナの簡易パスワードとして設定してください。
LDAPがNMASにユーザのログインを要求する際、NMASはデフォルトのログインシーケンスを使用します。これらのユーザに対してデフォルトのログインシーケンスを指定しない場合、NMASはNDSシーケンスを使用します。ユーザをインポートした際にこれらのユーザにNDSパスワードが割り当てられていない場合は、NDSシーケンスは動作しません。ユニバーサルパスワードを有効にすると、ユーザが簡易パスワードを使用してログインする際に、簡易パスワードはNDSパスワードおよびユニバーサルパスワードと同期されます。
OpenText eDirectory管理者は、次の処理を使用してLinuxでSecretStoreを無効にできます。
nds-modulesディレクトリに移動して、次のSecretStoreモジュールの名前を変更して移動します。
サーバを再起動します。
OpenText eDirectory管理者は、次の処理を使用してWindowsでSecretStoreを無効にできます。
novell\ndsディレクトリに移動して、次のSecretStoreモジュールを名前変更するか移動します。
サーバを再起動します。
dsbk.confファイルは、OpenText eDirectoryの特定のインスタンスに関連した場所ではなく、/etc内に格納されています。
dibディレクトリがデフォルト以外の場所に移動されている場合、ldif2dibではデフォルトのログファイル(ldif2dib.log)を開くことができません。
この問題を回避するには、-bスイッチを使用してログファイルの場所を明示的に指定します。
システムクラッシュや電源障害の後に、OpenText eDirectoryサービス(ndsd)が起動しないことがあります。OpenText eDirectoryを再起動するには、次の手順を実行します。
/var/opt/novell/eDirectory/data/ndsd.pidファイルを削除します。
/etc/init.d/ndsd startコマンドを入力します。
すべてのタグが有効になっている場合、次の場所ではDSTRaceを実行しないでください。
ジャーナルモードでロードされたシステム: ndsdメモリを構築する可能性があります。
インラインモードのサーバ: ndsdがクラッシュします。
匿名バインドが無効になっているときに認証されていない検索をクライアントが行うと、LDAPサーバは検索結果の代わりに、不適切な認証であることを示すバインド結果operationsErrorを返します。
OpenText eDirectory 9.0で、インスタンスのデフォルトサーバがダウンしたときに、カスタムロケーションに新しいインスタンスを設定する場合、インスタンスのデフォルトポートが取得されます。デフォルトインスタンスのポートはカスタムロケーションのインスタンスに割り当てられるため、デフォルトインスタンスは開始されません。
ホストを再起動する前に「eDirectory 8.8のカスタムインスタンスでのポートのトラブルシューティング
」の手順に従ってください。
ホストを再起動すると、デフォルトのインスタンスバイナリを使用して作成されたデフォルトインスタンスのみが開始されます。
パスを設定し、ndsmanageを使用して、その他のインスタンスを開始させることができます。
複数のOpenText eDirectoryインスタンスが存在する場合、2番目以降のインスタンスは、ループバックアドレス上のNCPポートではなくデフォルトの524ポートをリスンしようとします。
この問題を回避するには、2番目のインスタンスの「n4u.server.tcp-port」パラメータを監視対象のポートに設定します。n4u.server.tcp-portパラメータはnds.confファイルに記載されています。
重要:OpenText eDirectory 9.0にアップグレードする前に、OpenText eDirectoryのすべてのインスタンスを起動する必要があります。
LDAPトランザクションのサポートでは、supportedGroupingTypesとtransactionGroupingType OIDの値は同じ(2.16.840.1.113719.1.27.103.7)になります。
LDAPトレースの-5871エラーと-5875エラーは、通常、LDAPクライアントがアンバインドを実行せずに閉じようとすると起きます。そのため、これらのエラーを心配する必要はなく、無視できます。これらのエラーの詳細については、エラーコードWebサイトを参照してください。
プライマリサーバのツリーの名前を変更してセカンダリサーバのDHostをシャットダウンすると、NDSConsユーティリティはセカンダリサーバに転送失敗エラーメッセージ-625を表示しますが、DHostはプライマリサーバとセカンダリサーバの両方で実行し続けます。エラーが起きるのは、プライマリサーバでツリーの名前が変更されたときに、NDSConsがセカンダリサーバで実行中であったためです。NDSConsを閉じてから再起動すると、NDSConsは正常に動作します。
メモ:ツリー名の変更は、EBA有効のサーバがツリーに含まれている場合にはサポートされない操作です。
この問題を回避するには次の手順に従ってください。
環境設定ファイルで、ldapsearchのパフォーマンスを低下させるNICを無効にします。
または
DSTraceでset NDSTRACE =!ARC1コマンドを使用して、詳細参照コスト(ARC)を有効にします。
Linuxプラットフォームでは同時接続ユーザ数を制限できません。従来の動作(厳密なポートベースのチェック)を実行するには、nds.confファイルで次のパラメータを設定します。
n4u.server.mask-port-number=0
ネットワーク上にSLPディレクトリエージェント(DA)を設定していない場合、SLPを使用するサービスの検索に時間がかかることがあります。OpenText eDirectoryのシャットダウン中に、ndsdはSLPを使用する操作を実行しようとしますが、initスクリプトによって通常許可されているよりも長い時間がそれにかかる場合、強制的にシャットダウンされます。
この問題を解決するには:
configディレクトリにhosts.ndsという名前の空のファイルを作成します。サーバのconfigディレクトリは、ndsconfig get n4u.server.confdirコマンドを実行して取得できます。
/opt/novell/eDirectory/sbin/pre_ndsd_startでexport NDS_USESLP=0を指定することによって、環境変数NDS_USESLPを0に設定します。
OpenText eDirectoryを再起動します。
NLDAPを停止した後に、サーバを再起動してNLDAPをロードする必要があります。
SecretStore機能は、LDAP経由では動作しません。この問題を解決するには、アンロード($ nldap -u)を実行してから、ロード(nldap -l)を実行します。
ユーザの資格情報と誤ったパスフレーズでログインして、忘れたパスワードを取得しようとすると、SecretStoreはロックされます。SecretStoreのロックは、管理者権限で解除できます。また、OpenText SecureLoginクライアントを使用すると、パスフレーズなしでログインできます。パスフレーズを変更しようとすると、ログインは失敗し、エラーが返されます。
OpenText eDirectoryの古いバージョンからOpenText eDirectory 9.0にアップグレードした場合、HTTPサーバでは、SSL CertificateIPの有効期限が切れた後も、引き続きその証明書を使用します。これは、eDirectory 8.8 SP8が、SSL CertificateIPを保守せず、SSL CertificateIPの有効期限が切れたり、SSL CertificateIPが削除されたりした場合でも、その証明書を再発行しないためです。
このため、SSL CertificateIPの有効期限が切れたり、SSL CertificateIPが削除されたりした場合は、OpenText Identity Consoleを使用するか、SSL CertificateIPの代わりにSSL CertificateDNSを使用して、手動で作成する必要があります。
LDAPツールのセット(ldapadd、ldapconfig、ldapdelete、ldapmodify、ldapmodrdn、およびldapsearch)が2つ、OpenText eDirectoryがインストールされているSLESシステム上に(openldap2-client rpmとともに)存在します。一方のセットは、SLESオペレーティングシステムによってインストールされて/usr/binにあり、他方のセットは、OpenText eDirectoryによってインストールされて/opt/novell/eDirectory/binにあります。
両方のLDAPツールのセットの基本機能は同じですが、それぞれのセットで、基本機能のほかに独自の機能を追加しています。PATH環境変数のパスの設定によって、使用するツールのセットは異なります。このため使用できる機能も異なります。
バインドユーザが検索フィルタの一部である属性すべての読み込み権限を持っていないと、ldapsearchは結果を何も返しません。
この問題を回避するには、バインドユーザが、検索フィルタの一部である属性すべての読み込み権限があることを確認します。
OpenText eDirectory 9.1で、仮想一覧の表示(VLV)が実行されているOpenText eDirectoryサーバにパーティションレプリカすべてが存在しているわけではない場合、VLVがエラーメッセージを表示します。
すべてのパーティションレプリカが、VLMが実行されているOpenText eDirectoryサーバ内に存在するようにします。
SLES 12以降でOpenText eDirectoryを設定した後にdatadirを新しい場所に移動する場合は、次の手順を実行してください。
場所/usr/lib/systemd/system/にあるサービスファイル内で、ndsd.pidファイルを新しい場所に更新します。
たとえば、nds.confファイルがもともと/etc/opt/novell/eDirectoryに置かれている場合は、次のようにサンプルのサービスファイルが作成されます。
/usr/lib/systemd/system/ndsdtmpl-etc-opt-novell-eDirectory-conf-ds.conf@.service。
systemctl daemon-reloadコマンドを使用して、デーモンを再ロードします。
OpenText eDirectoryサーバを再起動します。
PowerShellに対するWindowsの実行ポリシーがRestrictedに設定されている場合、OpenText eDirectoryのインストールは失敗します。
この問題を回避するには、PowerShellに対するWindows実行ポリシーをRemotesignedに設定します。
複数のサーバ間で同一のユーザに対してLDAPバインド操作を同時に実行すると、1つのサーバで操作が成功する可能性はありますが、同期が次のレプリカサーバに対して直ちに発生します。ただし、異なるサーバでの操作のタイムスタンプが一致しないため、-659エラーコードが表示されて、ログインが失敗する場合があります。
この問題を解決するには、NDSD_CC_SKULK_DELAY環境変数の値を5以上に設定します。詳細については、同期メソッドを参照してください。それでも同じエラーが発生する場合は、NDSD_CC_SKULK_DELAYを5以上に設定するのに加えて、新たに導入された環境変数NDSD_RETRY_MODIFYをtrueに設定します。
メモ:
上記の環境変数を設定すると、サーバは100ミリ秒から最大2秒の遅延で同じ操作を再試行するため、OpenText eDirectoryのパフォーマンスに影響する可能性があります。
NDSD_RETRY_MODIFY環境変数を設定する前に、OpenText eDirectoryサーバを停止する必要があります。環境変数を設定した後で、サーバを再起動します。
NDSD_CC_SKULK_DELAY環境変数の値を5未満に設定すると、NDSD_RETRY_MODIFY環境変数は無効になります。
OpenText eDirectory 9.2.5以降では、最大値がある属性(DirXML-EntitlementResultおよびoidpInstanceData)がデフォルトのしきい値を超えると、OpenText eDirectoryはDSE_HIGH_VALUED_ATTRイベントを生成します。この情報は、次の場所にあるhvAttr-alert.logに記録されます。
Linux: /var/opt/novell/eDirectory /log
Windows: C:\NetIQ\eDirectory
DirXML-EntitlementResult属性の基本しきい値は、5000に設定されています。それ以降は、500ごとにイベントが生成されます。oidpInstanceData属性の場合、基本しきい値は16KBです。これらの値はデフォルトで設定されています。
Linuxプラットフォームでアラートを無効にする場合は、/etc/opt/novell/eDirectory/confディレクトリにあるenvファイルにNDSD_DISABLE_HIGHVALUED_ATTRIBUTES_ALERT環境変数を追加して、その値をtrueに設定します。Windowsプラットフォームでは、［コントロールパネル］>［システム］>［システムの詳細設定］>［環境変数］>［システム環境変数］>［新規］の順に移動して、新しい変数NDSD_DISABLE_HIGHVALUED_ATTRIBUTES_ALERTを追加し、その値をtrueに指定して、システムを再起動します。
この問題を回避するには、各リモートNCPサーバオブジェクトのCachedAttrsOnExtRefsからnsimAssignments属性を削除し、中央サーバにはその属性を残したままにします。
各サーバでndsrepair -R -I yesを実行し、その後にバックリンクプロセスの実行を強制する操作をトリガします。
メモ:この属性は、ndsconfig upgradeが実行されるか、その後のOpenText eDirectoryの更新時に再度追加されます。