手順

1. オプションとして、すでに使用されている接尾辞とバックエンドデータベースをリストアップします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userroot)

   括弧内の名前は、対応する接尾辞のデータを保存するバックエンドデータベースです。次のステップでルート接尾辞を作成する際に、既存のデータベース名を使用することはできません。

2. ルート接尾辞の DN を --suffix 引数で指定し、--be-name 引数で新しいデータベースと関連付ける。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend create --suffix="dc=example,dc=net" --be-name="example"

手順

1. Database で、設定ツリーの下にあるCreate Suffixボタンをクリックします。
2. Suffix DN と Database Name を記入する。
3. Create The Top Suffix Entry を選択し、Create Suffix をクリックします。

手順

1. オプション: 現在のデフォルトネーミングコンテキストを表示します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-defaultnamingcontext
   nsslapd-defaultnamingcontext: dc=example,dc=com

2. nsslapd-defaultnamingcontext パラメーターの値を、必要なネーミングコンテキストに置き換えます。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-defaultnamingcontext=dc=example,dc=net

手順

1. オプションとして、すでに使用されている接尾辞とバックエンドデータベースをリストアップします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userroot)

   括弧内の名前は、対応する接尾辞のデータを保存するバックエンドデータベースです。次のステップでサブ接尾辞を作成する際に、既存のデータベース名を使用することはできません。

2. --suffix 引数にサブ接尾辞のフル DN を指定し、--be-name 引数で新規データベースと、--parent-suffix 引数で既存の親接尾辞と関連付けることができます。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend create --suffix="ou=People,dc=example,dc=com" --be-name="example" --parent-suffix="dc=example,dc=com"

手順

1. Database で、サブ接尾辞の親である設定ツリーから接尾辞を選択します。
2. Suffix Tasks をクリックし、Create Sub-Suffix を選択します。
3. ou=People および Database Name などの Sub-Suffix DN を入力します。
4. Create the Top Suffix Entry を選択し、Create Sub-Suffix をクリックします。

手順

1. オプション: バックエンドを一覧表示し、データベースをインデックス化します。

   # dsconf -D "cn=Directory Manager" instance_name backend suffix list
   dc=example,dc=com (userroot)

   (括弧で) 選択したデータベース名を書き留めておきます。

2. 選択したバックエンドのデータベースの dsconfig ユーティリティーを使用してインデックス設定を作成します。

   特に国際化されたインスタンスの場合、属性名、インデックスタイプと、任意で照合順序 (OID) を設定するためのマッチングルールを指定します。

   # dsconf -D "cn=Directory Manager" instance_name backend index add --attr roomNumber --index-type sub userroot

   view フィルターで使用される属性ごとに、このステップを繰り返します。

3. 新規インデックスを適用するためにデータベースを再インデックスします。

   # dsconf -D "cn=Directory Manager" instance_name backend index reindex userroot

検証

1. ビューで使用するフィルターが同じ標準ディレクトリーツリーに基づく検索を実行します。

   # ldapsearch -D "cn=Directory Manager" -W -H ldap://server.example.com -x -b dc=example,dc=com (&(objectClass=inetOrgPerson)(roomNumber=*66))
   # ldapsearch -D "cn=Directory Manager" -W -H ldap://server.example.com -x -b dc=example,dc=com "(&(objectClass=inetOrgPerson)(roomNumber=*66))"

2. /var/log/dirsrv/slapd-instance_name/access.のアクセスログを見る。

   検索の RESULT には note=U または Partially Unindexed Filter が詳細に含まれていないはずです。

手順

1. Database で、インデックスを作成する設定ツリーから接尾辞を選択します。
2. Indexes および Database Indexes に移動します。
3. Add Index ボタンをクリックします。
4. 属性の名前を入力し、属性を選択します。
5. この属性に対して作成する必要のある Index Types を選択します。
6. 必要に応じて、特に国際化されたインスタンスの場合に、照合順序 (OID) を指定するための Matching Rules を追加します。
7. Index attribute after creation を選択し、後でインデックスを再ビルドします。
8. Create Index をクリックします。
9. インデックス化される各属性に対して手順を繰り返します。

手順

1. 接尾辞とそれに対応するデータベースを一覧表示します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userroot)
   o=test (test_database)

   切り替えるデータベースの名前または接尾辞を書き留めておきます。

2. --enable-readonly パラメーターで読み取り専用モードを有効にし、名前または接尾辞でデータベースを指定します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix set --enable-readonly "test_database"

手順

1. Database で、設定ツリーの接尾辞を選択します。
2. Database Read-Only Mode オプションを確認します。
3. Save Configuration をクリックします。

手順

1. Server で、Advanced Settings タブを選択します。
2. Server Read-Only オプションを確認します。
3. Save をクリックします。

手順

1. 接尾辞とそれに対応するデータベースを一覧表示します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userroot)
   o=test (test_database)

   削除するデータベースの名前を書き留めます。

2. dsconf backend delete コマンドを入力し、データベースの名前を指定します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend delete "test_database"

3. プロンプトで Yes I am sure を入力して、削除を確認します。

   Deleting Backend cn=test_database,cn=ldbm database,cn=plugins,cn=config :
   Type 'Yes I am sure' to continue: Yes I am sure

手順

1. Database で、削除する接尾辞を選択します。
2. Suffix Tasks → Delete Suffix に移動します。
3. Yes, I am sure.を選択します。
4. Delete Suffixをクリックします。

手順

1. 必要に応じて、インスタンスのバックエンドデータベースを一覧表示します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userRoot)

2. インスタンスを停止します。

   # dsctl instance_name stop

3. データベースを確認します。たとえば、userroot データベースを確認するには、以下のコマンドを実行します。

   # dsctl instance_name dbverify userRoot
   [04/Feb/2022:13:11:02.453624171 +0100] - INFO - ldbm_instance_config_cachememsize_set - force a minimal value 512000
   [04/Feb/2022:13:11:02.465339507 +0100] - WARN - ldbm_instance_add_instance_entry_callback - ldbm instance userroot already exists
   [04/Feb/2022:13:11:02.468060144 +0100] - ERR - ldbm_config_read_instance_entries - Failed to add instance entry cn=userroot,cn=ldbm database,cn=plugins,cn=config
   [04/Feb/2022:13:11:02.471079045 +0100] - ERR - bdb_config_load_dse_info - failed to read instance entries
   [04/Feb/2022:13:11:02.476173304 +0100] - ERR - libdb - BDB0522 Page 0: metadata page corrupted
   [04/Feb/2022:13:11:02.481684604 +0100] - ERR - libdb - BDB0523 Page 0: could not check metadata page
   [04/Feb/2022:13:11:02.484113053 +0100] - ERR - libdb - /var/lib/dirsrv/slapd-instance_name/db/userroot/entryrdn.db: BDB0090 DB_VERIFY_BAD: Database verification failed
   [04/Feb/2022:13:11:02.486449603 +0100] - ERR - dbverify_ext - verify failed(-30970): /var/lib/dirsrv/slapd-instance_name/db/userroot/entryrdn.db
   dbverify failed

4. 検証プロセスで問題が報告された場合は、手動で修正するか、またはバックアップを復元します。

5. インスタンスを起動します。

   # dsctl instance_name start

手順

1. userRoot データベースをエクスポートします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend export -E userRoot

   サーバーは、エクスポートを /var/lib/dirsrv/slapd-instance_name/ldif/ ディレクトリーの LDIF ファイルに保存します。-E オプションは、エクスポート中にすでに暗号化されている属性を復号化します。

2. telephoneNumber 属性の AES 暗号化を有効にします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend attr-encrypt --add-attr telephoneNumber dc=example,dc=com

3. インスタンスを停止します。

   # dsctl instance_name stop

4. LDIF ファイルをインポートします。

   # dsctl instance_name ldif2db --encrypted userRoot /var/lib/dirsrv/slapd-instance_name/ldif/None-userroot-2022_01_24_10_28_27.ldif

   --encrypted パラメーターを使用すると、スクリプトで属性を暗号化して、インポート中に暗号化を設定できます。

5. インスタンスを起動します。

   # dsctl instance_name start

手順

1. userRoot データベースをエクスポートします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend export -E userRoot

   サーバーは、エクスポートを /var/lib/dirsrv/slapd-instance_name/ldif/ ディレクトリーの LDIF ファイルに保存します。-E オプションは、エクスポート中にすでに暗号化されている属性を復号化します。

2. Web コンソールで、Database → Suffixes → suffix_entry → Encrypted Attributes に移動します。
3. 暗号化する属性を入力し、Add Attribute をクリックします。
4. Actions メニューで、Stop Instance を選択します。

5. コマンドラインで、LDIF ファイルをインポートします。

   # dsctl instance_name ldif2db --encrypted userRoot /var/lib/dirsrv/slapd-instance_name/ldif/None-userroot-2022_01_24_10_28_27.ldif

   --encrypted パラメーターを使用すると、スクリプトで属性を暗号化して、インポート中に暗号化を設定できます。

6. Web コンソールで Actions メニューを開き、Start Instance を選択します。

手順

1. userRoot データベースをエクスポートします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com backend export -E userRoot

   サーバーは、エクスポートを /var/lib/dirsrv/slapd-instance_name/ldif/ ディレクトリーの LDIF ファイルに保存します。-E オプションは、エクスポート中にすでに暗号化されている属性を復号化します。

2. プライベートキーおよび証明書署名要求 (CSR) を作成します。外部ユーティリティーを使用して作成する場合は、この手順を省略します。

   • ホストが 1 つの名前のみで到達可能である場合は、以下を実行します。

     # dsctl instance_name tls generate-server-cert-csr -s "CN=server.example.com,O=example_organization"

   • 複数の名前でホストにアクセスできる場合は、以下を行います。

     # dsctl instance_name tls generate-server-cert-csr -s "CN=server.example.com,O=example_organization" server.example.com server.example.net

     最後のパラメーターとしてホスト名を指定した場合、このコマンドは DNS:server.example.com, DNS:server.example.net エントリーで SAN (Subject Alternative Name) 拡張を CSR に追加します。

   -s subject パラメーターで指定した文字列は、RFC 1485 に従って有効なサブジェクト名である必要があります。サブジェクトの CN フィールドが必要で、サーバーの完全修飾ドメイン名 (FQDN) の 1 つに設定する必要があります。このコマンドは、/etc/dirsrv/slapd-instance_name/Server-Cert.csr ファイルに CSR を保存します。

3. 認証局 (CA) に CSR を送信し、発行した証明書を取得します。詳細は、CA のドキュメントを参照してください。

4. CA が発行するサーバー証明書を NSS データベースにインポートします。

   • dsctl tls generate-server-cert-csr コマンドを使用して秘密鍵を作成した場合は、以下を入力します。

     # dsconf -D "cn=Directory Manager" ldap://server.example.com security certificate add --file /root/instance_name.crt --name "server-cert" --primary-cert

     --name _certificate_nickname パラメーターで設定した証明書の名前を書き留めておきます。これは後のステップで必要になります。

   • 外部ユーティリティーを使用して秘密鍵を作成した場合は、サーバー証明書および秘密鍵をインポートします。

     # dsctl instance_name tls import-server-key-cert /root/server.crt /root/server.key

     このコマンドでは、最初にサーバー証明書へのパスを指定してから、秘密鍵へのパスを指定する必要があります。このメソッドは、証明書のニックネームを Server-Cert に設定します。

5. CA 証明書を NSS データベースにインポートします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com security ca-certificate add --file /root/ca.crt --name "Example CA"

6. CA 証明書の信頼フラグを設定します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com security ca-certificate set-trust-flags "Example CA" --flags "CT,,"

   これにより、Directory Server が、TLS による暗号化および証明書ベースの認証に対して CA を信頼するように設定します。

7. インスタンスを停止します。

   # dsctl instance_name stop

8. /etc/dirsrv/slapd-instance_name/dse.ldif ファイルを編集し、属性を含む以下のエントリーを削除します。

   • cn=AES,cn=encrypted attribute keys,cn=database_name,cn=ldbm database,cn=plugins,cn=config
   • cn=3DES,cn=encrypted attribute keys,cn=database_name,cn=ldbm database,cn=plugins,cn=config
   重要

   全データベースのエントリーを削除します。nsSymmetricKey 属性を含むエントリーが `/etc/dirsrv/slapd-instance_name/dse.ldi ファイルに残されると、Directory Server は起動に失敗します。

9. LDIF ファイルをインポートします。

   # dsctl instance_name ldif2db --encrypted userRoot /var/lib/dirsrv/slapd-instance_name/ldif/None-userroot-2022_01_24_10_28_27.ldif

   --encrypted パラメーターを使用すると、スクリプトで属性を暗号化して、インポート中に暗号化を設定できます。

10. インスタンスを起動します。

    # dsctl instance_name start