手順

1. 現在の検索時間およびサイズ制限を CLI で表示するには、ipa config-show コマンドを使用します。

   $ ipa config-show
   
   Search time limit: 2
   Search size limit: 100

2. すべてのクエリーに対して グローバルに 制限を調整するには、ipa config-mod コマンドを使用して、--searchrecordslimit および --searchtimelimit のオプションを追加します。以下に例を示します。

   $ ipa config-mod --searchrecordslimit=500 --searchtimelimit=5

3. 特定のクエリに対してのみ 一時的に 制限を調整するには、コマンドに --sizelimit または --timelimit オプションを追加してください。以下に例を示します。

手順

1. IdM Web UI にログインします。

2. IPA Server をクリックします。

   

3. IPA Server タブで、Configuration をクリックします。

4. Search Options エリアに必要な値を設定します。

   デフォルト値は以下の通りです。

   • 検索サイズの制限 - 100 エントリー
   • 検索時間の制限 - 2 秒

5. ページ上部にある Save をクリックします。

   

手順

1. 自動キャッシュチューニングを無効にします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --cache-autosize=0

2. データベースの接尾辞と、対応するバックエンドを表示します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   このコマンドにより、各接尾辞の横にバックエンドデータベースが表示されます。次の手順では、接尾辞のデータベース名を使用します。

3. データベースのエントリーキャッシュサイズを設定します。この例では、userrooot データベースのエントリーキャッシュを 2 ギガバイトに設定します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix set --cache-memsize=2147483648 userroot

4. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

5. IdM ディレクトリーサーバーのパフォーマンスを監視します。望ましい方法で変更が行われない場合は、この手順を繰り返して cache-memsize を別の値に調整するか、キャッシュの自動サイズ設定を再度有効にします。

手順

1. 自動キャッシュチューニングを無効にし、データベースのキャッシュサイズを設定します。この例では、データベースキャッシュを 256 メガバイトに設定します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --cache-autosize=0 --dbcachesize=268435456

2. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

3. IdM ディレクトリーサーバーのパフォーマンスを監視します。望ましい方法で変更が行われない場合は、この手順を繰り返して dbcachesize を別の値に調整するか、キャッシュの自動サイズ設定を再度有効にします。

手順

1. Directory Server を停止します。

   [root@server ~]# systemctl stop dirsrv.target

2. /etc/dirsrv/slapd-instance_name/dse.ldif のバックアップを作成してから、修正を行ってください。

   [root@server ~]# *cp /etc/dirsrv/slapd-instance_name/dse.ldif \
        /etc/dirsrv/slapd-instance_name/dse.ldif.bak.$(date "+%F_%H-%M-%S")

3. /etc/dirsrv/slapd-instance_name/dse.ldif ファイルを編集します。

   1. データベースおよびエントリーキャッシュに使用する空きシステム RAM の割合を設定し、デフォルトの空き RAM の 10% に戻します。

      nsslapd-cache-autosize: 10

   2. データベースキャッシュの空きシステム RAM から使用されている割合を、デフォルトの 25% に設定します。

      nsslapd-cache-autosize-split: 25

4. 変更を /etc/dirsrv/slapd-instance_name/dse.ldif に保存します。

5. Directory Server を起動します。

   [root@server ~]# systemctl start dirsrv.target

手順

1. (任意) データベースの接尾辞と、対応するデータベース名を表示します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userroot)

   このコマンドにより、各接尾辞の横にバックエンドデータベースが表示されます。次の手順では、接尾辞のデータベース名を使用します。

2. データベースの DN キャッシュサイズを設定します。この例では、DN キャッシュを 20 メガバイトに設定します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix set --dncache-memsize=20971520 userroot

3. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

4. IdM ディレクトリーサーバーのパフォーマンスを監視します。適切な変更が行われない場合は、この手順を繰り返して dncache-memsize を別の値に調整するか、デフォルトの 10MB に戻します。

手順

1. NDN キャッシュが有効になっていることを確認します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ndn-cache-enabled
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-enabled: on

   キャッシュが off の場合は、次のコマンドを使用して有効にします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ndn-cache-enabled=on
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ndn-cache-enabled"

2. nsslapd-ndn-cache-max-size パラメーターの現在値を取得し、メモを取ってから、調整を行ってください (復元が必要な場合)。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ndn-cache-max-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-max-size: 20971520

3. nsslapd-ndn-cache-max-size 属性の値を変更します。この例では、数値を 41943040 (40MB) に上げています。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ndn-cache-max-size=41943040

4. IdM ディレクトリーサーバーのパフォーマンスを監視します。望ましい方法で変更が行われない場合は、この手順を繰り返してnsslapd-ndn-cache-max-size を別の値に調整するか、キャッシュの自動サイズ設定を再度有効にします。

手順

1. nsslapd-maxbersize パラメーターの現在値を取得し、メモを取ってから、調整を行ってください (復元が必要な場合)。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-maxbersize
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxbersize: 209715200

2. nsslapd-maxbersize 属性の値を変更します。この例では、数値を 419430400 に上げています。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-maxbersize=419430400

3. Directory Manager として認証して、設定を変更します。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxbersize"

4. IdM ディレクトリーサーバーのパフォーマンスを監視します。適切な変更が行われない場合は、この手順を繰り返してnsslapd-maxbersize を別の値に調整するか、209715200 の既定値に戻します。

手順

1. nsslapd-maxdescriptors パラメーターの現在値を取得し、メモを取ってから、調整を行ってください (復元が必要な場合)。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-maxdescriptors
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxdescriptors: 4096

2. nsslapd-maxdescriptors 属性の値を変更します。この例では、数値を 8192 に上げています。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-maxdescriptors=8192

3. Directory Manager として認証して、設定を変更します。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxdescriptors"

4. IdM ディレクトリーサーバーのパフォーマンスを監視します。適切な変更が行われない場合は、この手順を繰り返してnsslapd-maxdescriptors を別の値に調整するか、4096 の既定値に戻します。

手順

1. nsslapd-listen-backlog-size パラメーターの現在値を取得し、メモを取ってから、調整を行ってください (復元が必要な場合)。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-listen-backlog-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-listen-backlog-size: 128

2. nsslapd-listen-backlog-size 属性の値を変更します。この例では、数値を 192 に上げています。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-listen-backlog-size=192

3. Directory Manager として認証して、設定を変更します。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-listen-backlog-size"

手順

1. nsslapd-db-locks パラメーターの現在値を取得し、メモを取ってから、調整を行ってください (復元が必要な場合)。

   [root@server ~]# ldapsearch -D "cn=directory manager" -w DirectoryManagerPassword -b "cn=bdb,cn=config,cn=ldbm database,cn=plugins,cn=config" | grep nsslapd-db-locks
   nsslapd-db-locks: 50000

2. locks の値を変更します。この例では、値を 100000 ロック の倍にしています。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --locks=100000

3. Directory Manager として認証して、設定を変更します。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully updated database configuration

4. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

手順

1. nsslapd-ioblocktimeout パラメーターの現在値を取得し、メモを取ってから、調整を行ってください (復元が必要な場合)。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ioblocktimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ioblocktimeout: 10000

2. nsslapd-ioblocktimeout 属性の値を変更します。この例では、値を 8000 に下げています。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ioblocktimeout=8000

3. Directory Manager として認証して、設定を変更します。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ioblocktimeout"

4. IdM ディレクトリーサーバーのパフォーマンスを監視します。適切な変更が行われない場合は、この手順を繰り返し nsslapd-ioblocktimeout を別の値に調整するか、10000 の既定値に戻します。

手順

1. nsslapd-idletimeout パラメーターの現在値を取得し、メモを取ってから、調整を行ってください (復元が必要な場合)。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-idletimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-idletimeout: 3600

2. nsslapd-idletimeout 属性の値を変更します。この例では、値を 1800 (30 分) に下げています。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-idletimeout=1800

3. Directory Manager として認証して、設定を変更します。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-idletimeout"

4. IdM ディレクトリーサーバーのパフォーマンスを監視します。適切な変更が行われない場合は、この手順を繰り返してnsslapd-idletimeout を別の値に調整するか、3600 の既定値に戻します。

手順

1. データベースの接尾辞と、対応するバックエンドを表示します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   このコマンドは、バックエンドデータベースの接尾辞の横に名前を表示します。次の手順で接尾辞の名前を使用します。

2. メインユーザールートデータベースの repl-release-timeout 属性の値を変更します。この例では、値を 90 秒に増加させています。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com replication set --suffix="dc=example,dc=com" --repl-release-timeout=90

3. Directory Manager として認証して、設定を変更します。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

4. (必要に応じて) IdM 環境が IdM 認証局 (CA) を使用する場合は、CA データベースの repl-release-timeout 属性の値を変更できます。この例では、値を 90 秒に増加させています。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com replication set --suffix="o=ipaca" --repl-release-timeout=90
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

5. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

6. IdM ディレクトリーサーバーのパフォーマンスを監視します。適切な変更が行われない場合は、この手順を繰り返してrepl-release-timeout を別の値に調整するか、60 秒の既定値に戻します。

手順

1. カスタムデータベース設定で LDIF 形式のテキストファイルを作成します。LDAP 属性の変更はダッシュ (-) で区切ります。この例では、idle タイムアウトおよび最大ファイルディスクリプターにデフォルト以外の値を設定します。

   dn: cn=config
   changetype: modify
   replace: nsslapd-idletimeout
   nsslapd-idletimeout=1800
   -
   replace: nsslapd-maxdescriptors
   nsslapd-maxdescriptors=8192

2. --dirsrv-config-file パラメーターを使用して、LDIF ファイルをインストールスクリプトに渡します。

   1. IdM サーバーをインストールするには、次のコマンドを実行します。

      # ipa-server-install --dirsrv-config-file filename.ldif

   2. IdM レプリカをインストールするには、次のコマンドを実行します。

      # ipa-replica-install --dirsrv-config-file filename.ldif

手順

1. テキストエディターで /var/kerberos/krb5kdc/kdc.conf を開きます。

2. TCP リッスンバックログを 7 などの目的の値に設定します。

   [kdcdefaults]
    ...
    kdc_tcp_listen_backlog = 7

3. /var/kerberos/krb5kdc/kdc.conf ファイルを保存して閉じます。
4. KDC を再起動して、新しい設定を読み込みます。

手順

1. テキストエディターで /etc/krb5.conf を開きます。

2. [dbmodules] セクションと、各 Kerberos レルムで、オプションと必要な値を指定します。この例では、EXAMPLE.COM Kerberos レルムの disable_last_success 変数を設定します。

   [dbmodules]
       EXAMPLE.COM = {
           disable_last_success = true
       }

3. /etc/krb5.conf を保存して閉じます。
4. KDC を再起動して、新しい設定を読み込みます。

手順

1. /etc/sysconfig/krb5kdc ファイルをテキストエディターで開きます。

2. KRB5KDC_ARGS パラメーターの値を指定します。この例では、プロセスの数を 10 に設定しています。

   KRB5KDC_ARGS='-w 10'
   [...]

3. /etc/sysconfig/krb5kdc ファイルを保存して閉じます。

4. systemd 設定をリロードします。

   # systemctl daemon-reload

5. krb5kdc サービスを再起動します。

   # systemctl restart krb5kdc.service

手順

1. テキストエディターで /etc/sssd/sssd.conf 設定ファイルを開きます。

2. Active Directory ドメインの [ドメイン] に次のオプションを追加します。AD ドメインのドメインセクションがない場合は、作成します。

   [domain/ad.example.com]
   ignore_group_members = true
   subdomain_inherit = ignore_group_members
   ...

3. サーバー上の /etc/sssd/sssd.conf ファイルを保存して閉じます。

4. SSSD サービスを再起動して、設定の変更を読み込みます。

   [root@client ~]# systemctl restart sssd

手順

1. ワーカースレッドの合計数を取得します。

   # ldapsearch -xLLLD cn=directory\ manager -W -b cn=config -s base nsslapd-threadnumber
   Enter LDAP Password:
   dn: cn=config
   nsslapd-threadnumber: 16

   これは、ipaExtdomMaxInstances の現在の値が 13 であることを意味します。

2. インスタンスの最大数を調整します。この例では、値を 14 に変更します。

   # ldapmodify -D "cn=directory manager" -W
   dn: cn=ipa_extdom_extop,cn=plugins,cn=config
   changetype: modify
   replace: ipaExtdomMaxInstances
   ipaExtdomMaxInstances: 14

3. IdM ディレクトリーサーバーのパフォーマンスを監視し、改善しなかった場合には、この手順を繰り返して ipaExtdomMaxInstances 変数の値を調整します。

手順

1. キャッシュされていない 1 回のログインにかかる秒数を判定します。

   1. IdM クライアント client.example.com の SSSD キャッシュを消去します。

      [root@client ~]# sss_cache -E

   2. time で AD ユーザーとしてログインするのにかかる時間を測定します。この例では、IdM クライアントclient.example.comから、ad.example.com AD ドメインのユーザーアドユーザー と同じホストにログインします。

      [root@client ~]# time ssh ad-user@ad.example.com@client.example.com

   3. 早急にパスワードを入力してください。

      Password:
      Last login: Sat Jan 23 06:29:54 2021 from 10.0.2.15
      [ad-user@ad.example.com@client ~]$

   4. できるだけ早くログアウトして、経過時間を表示します。この例では、キャッシュされていないログインは 1 回で約 9 秒かかります。

      [ad-user@ad.example.com@client /]$ exit
      logout
      Connection to client.example.com closed.
      
      real 0m8.755s
      user    0m0.017s
      sys     0m0.013s

2. テキストエディターで /etc/sssd/sssd.conf 設定ファイルを開きます。

3. Active Directory ドメインの [ドメイン] に次のオプションを追加します。pam_id_timeout オプションおよび krb5_auth_timeout オプションを、キャッシュされていないログインにかかる秒数に設定します。AD ドメインのドメインセクションがない場合は、作成します。

   [domain/example.com/ad.example.com]
   krb5_auth_timeout = 9
   ldap_deref_threshold = 0
   ...

4. [pam] セクションに以下のオプションを追加します。

   [pam]
   pam_id_timeout = 9

5. サーバー上の /etc/sssd/sssd.conf ファイルを保存して閉じます。

6. SSSD サービスを再起動して、設定の変更を読み込みます。

   [root@client ~]# systemctl restart sssd

手順

1. tmpfs 一時ファイルを作成します。

   1. RHEL 8.6 以降では、SSSD ユーザーが config.ldb ファイルを所有していることを確認します。

      # ls -al /var/lib/sss/db/config.ldb
      -rw-------. 1 sssd sssd 1286144 Jun  8 16:41 /var/lib/sss/db/config.ldb

      この場合は、/etc/fstab ファイルに以下のエントリーを 1 行として追加します。

      tmpfs /var/lib/sss/db/ tmpfs size=300M,mode=0700,uid=sssd,gid=sssd,rootcontext=system_u:object_r:sssd_var_lib_t:s0 0 0

   2. 8.6 未満の RHEL 8 バージョンでは、config.ldb ファイルが root ユーザーによって所有されます。

      # ls -al /var/lib/sss/db/config.ldb
      -rw-------. 1 root root 1286144 Jun  8 14:15 /var/lib/sss/db/config.ldb

      この場合は、/etc/fstab ファイルに以下のエントリーを 1 行として追加します。

      tmpfs /var/lib/sss/db/ tmpfs size=300M,mode=0700,rootcontext=system_u:object_r:sssd_var_lib_t:s0 0 0

      この例では、300MB のキャッシュを作成します。IdM ディレクトリーおよび AD ディレクトリーのサイズに応じて size パラメーターを調整します。推定 10,000 の LDAP エントリーごとに 100MB です。

2. 新しい SSSD キャッシュディレクトリーをマウントします。

   [root@host ~]# mount /var/lib/sss/db/

3. この設定変更を反映するには、SSSD を再起動します。

   [root@host ~]# systemctl restart sssd