流程

1. 要在 CLI 中显示当前的搜索时间和大小限制，请使用 ipa config-show 命令：

   $ ipa config-show
   
   Search time limit: 2
   Search size limit: 100

2. 要为所有查询全局调整限制，请使用 ipa config-mod 命令并添加 --searchrecordslimit 和 --searchtimelimit 选项。例如：

   $ ipa config-mod --searchrecordslimit=500 --searchtimelimit=5

3. 要仅为特定查询调整限制，请在该命令中添加 --sizelimit 或 --timelimit 选项。例如：

1. 登录到 IdM Web UI。

2. 点 IPA Server。

   

3. 在 IPA Server 选项卡中点 Configuration。

4. 在搜索选项区域中设置所需的值。

   默认值为：

   • 搜索大小限制： 100 个条目
   • 搜索时间限值： 2 秒

5. 点页面顶部的 Save。

   

流程

1. 禁用自动缓存调整。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --cache-autosize=0

2. 显示数据库后缀及其对应的后端。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com 后端后缀列表
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   这个命令显示每个后缀旁的后端数据库名称。在下一步中使用后缀的数据库名称。

3. 为数据库设置条目缓存大小。这个示例将 userroot 数据库的条目缓存设置为 2GB。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix set --cache-memsize=2147483648 userroot

4. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

5. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程并将 cache-memsize 调整为不同的值，或者重新启用缓存自动大小。

流程

1. 禁用自动缓存调整，并设置数据库缓存大小。这个示例将数据库缓存设置为 256MB。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --cache-autosize=0 --dbcachesize=268435456

2. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

3. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程并将 dbcachesize 调整为不同的值，或者重新启用缓存自动大小。

流程

1. 停止 Directory 服务器。

   [root@server ~]# systemctl stop dirsrv.target

2. 在进行任何进一步修改前备份 /etc/dirsrv/slapd-instance_name/dse.ldif 文件。

   [root@server ~]# *cp /etc/dirsrv/slapd-instance_name/dse.ldif \
        /etc/dirsrv/slapd-instance_name/dse.ldif.bak.$(date "+%F_%H-%M-%S")

3. 编辑 /etc/dirsrv/slapd-instance_name/dse.ldif 文件：

   1. 设置用于数据库的可用系统 RAM 百分比，恢复默认的 10% 可用 RAM。

      nsslapd-cache-autosize: 10

   2. 将可用系统 RAM 中数据库缓存使用的百分比设置为默认的 25%：

      nsslapd-cache-autosize-split: 25

4. 将您的更改保存到 /etc/dirsrv/slapd-instance_name/dse.ldif 文件中。

5. 启动 Directory 服务器。

   [root@server ~]# systemctl start dirsrv.target

流程

1. （可选） 显示数据库后缀及其对应的数据库名称。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com 后端后缀列表
   dc=example,dc=com (userroot)

   这个命令显示每个后缀旁的后端数据库名称。在下一步中使用后缀的数据库名称。

2. 为数据库设置 DN 缓存大小。这个示例将 DN 缓存设置为 20MB。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix set --dncache-memsize=20971520 userroot

3. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

4. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程并将 dncache-memsize 调整为不同的值，或者返回到默认值 10MB。

流程

1. 确保启用了 NDN 缓存。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ndn-cache-enabled
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-enabled: on

   如果缓存是 off，使用以下命令启用它。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ndn-cache-enabled=on
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ndn-cache-enabled"

2. 检索 nsslapd-ndn-cache-max-size 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ndn-cache-max-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-max-size: 20971520

3. 修改 nsslapd-ndn-cache-max-size 属性的值。这个示例将值增加到 41943040 (40 MB)。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ndn-cache-max-size=41943040

4. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程并将 nsslapd-ndn-cache-max-size 调整为不同的值，或者重新启用缓存自动大小。

流程

1. 检索 nsslapd-maxbersize 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get _nsslapd-maxbersize
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxdescriptors: 209715200

2. 修改 nsslapd-maxbersize 属性的值。这个示例将值增加到 419430400。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-maxbersize=419430400

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxbersize"

4. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程并将 nsslapd-maxbersize 调整为不同的值，或者返回 209715200 默认值。

流程

1. 检索 nsslapd-maxdescriptors 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-maxdescriptors
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxdescriptors: 4096

2. 修改 nsslapd-maxdescriptors 属性的值。这个示例将值增加到 8192。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-maxdescriptors=8192

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxdescriptors"

4. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程并将 nsslapd-maxdescriptors 调整为不同的值，或者返回使用 4096 默认值。

流程

1. 检索 nsslapd-listen-backlog-size 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-listen-backlog-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-listen-backlog-size: 128

2. 修改 nsslapd-listen-backlog-size 属性的值。这个示例将值增加到 192。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-listen-backlog-size=192

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-listen-backlog-size"

流程

1. 检索 nsslapd-db-locks 参数的当前值，并在需要恢复任何调整前记录它。

   [root@server ~]# ldapsearch -D "cn=directory manager" -w DirectoryManagerPassword -b "cn=bdb,cn=config,cn=ldbm database,cn=plugins,cn=config" | grep nsslapd-db-locks
   nsslapd-db-locks: 50000

2. 修改 locks 属性的值。这个示例将值加倍为 100000 个锁定。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --locks=100000

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully updated database configuration

4. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

流程

1. 检索 nsslapd-ioblocktimeout 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ioblocktimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ioblocktimeout: 10000

2. 修改 nsslapd-ioblocktimeout 属性的值。这个示例将值降低到 8000。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ioblocktimeout=8000

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ioblocktimeout"

4. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程并将 nsslapd-ioblocktimeout 调整为不同的值，或者返回 10000 默认值。

流程

1. 检索 nsslapd-idletimeout 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-idletimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-idletimeout: 3600

2. 修改 nsslapd-idletimeout 属性的值。这个示例将值降低为 1800 （30 分钟）。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-idletimeout=1800

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-idletimeout"

4. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程并将 nsslapd-idletimeout 调整为不同的值，或者返回 3600 默认值。

流程

1. 显示数据库后缀及其对应的后端。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com 后端后缀列表
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   这个命令会在后缀旁的显示后端数据库名称。在下一步中使用后缀名称。

2. 修改主用户 root 数据库的 repl-release-timeout 属性值。这个示例将值增加到 90 秒。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com replication set --suffix="dc=example,dc=com" --repl-release-timeout=90

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

4. （可选）如果您的 IdM 环境使用 IdM 证书颁发机构(CA)，您可以修改 CA 数据库的 repl-release-timeout 属性的值。这个示例将值增加到 90 秒。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com replication set --suffix="o=ipaca" --repl-release-timeout=90
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

5. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

6. 监控 IdM 目录服务器的性能。如果没有以所需方式更改，请重复这个过程，将 repl-release-timeout 调整为不同的值，或者返回默认值 60 秒。

流程

1. 在文本编辑器中打开 /var/kerberos/krb5kdc/kdc.conf 文件。

2. 在 [kdcdefaults] 部分指定任意选项及其所需值。在这个示例中，您要将 TCP 侦听功能设置为 7。

   [kdcdefaults]
    ...
    kdc_tcp_listen_backlog = 7

3. 保存并关闭 /var/kerberos/krb5kdc/kdc.conf 文件。
4. 重启 KDC 来加载新设置。

流程

1. 在文本编辑器中打开 /etc/krb5.conf 文件。

2. 在 [dbmodules] 部分以及相应的 Kerberos 域中指定任意选项及其所需的值。在本例中，您要为 EXAMPLE.COM Kerberos 域设置 disable_last_success 变量。

   [dbmodules]
       EXAMPLE.COM = {
           disable_last_success = true
       }

3. 保存并关闭 /etc/krb5.conf 文件。
4. 重启 KDC 来加载新设置。

流程

1. 在文本编辑器中打开 /etc/sssd/sssd.conf 配置文件。

2. 在您的 Active Directory 域的 [domain] 部分添加以下选项。如果您还没有 AD 域的 domain 部分，请创建一个。

   [domain/ad.example.com]
   ignore_group_members = true
   subdomain_inherit = ignore_group_members
   ...

3. 保存并关闭服务器中的 /etc/sssd/sssd.conf 文件。

4. 重启 SSSD 服务以载入配置更改。

   [root@client ~]# systemctl restart sssd

流程

1. 确定单个未缓存登录所需的秒数。

   1. 清除 IdM 客户端 client.example.com 上的 SSSD 缓存。

      [root@client ~]# sss_cache -E

   2. 测量使用 time 命令以 AD 用户身份登录所需的时间。在这个示例中，使用 IdM 客户端 client.example.com ，从 ad.example.com AD 域登录到与用户 ad-user 相同的主机。

      [root@client ~]# time ssh ad-user@ad.example.com@client.example.com

   3. 尽快输入密码。

      Password:
      Last login: Sat Jan 23 06:29:54 2021 from 10.0.2.15
      [ad-user@ad.example.com@client ~]$

   4. 尽快注销以显示已经过的时间。在这个示例中，一个 un-cached 登录大约需要 9 秒。

      [ad-user@ad.example.com@client /]$ exit
      logout
      Connection to client.example.com closed.
      
      real 0m8.755s
      user    0m0.017s
      sys     0m0.013s

2. 在文本编辑器中打开 /etc/sssd/sssd.conf 配置文件。

3. 在您的 Active Directory 域的 [domain] 部分添加以下选项。将 pam_id_timeout 和 krb5_auth_timeout 选项设置为未缓存登录所需的秒数。如果您还没有 AD 域的 domain 部分，请创建一个。

   [domain/ad.example.com]
   pam_id_timeout = 9
   krb5_auth_timeout = 9
   ldap_deref_threshold = 0
   ...

4. 保存并关闭服务器中的 /etc/sssd/sssd.conf 文件。

5. 重启 SSSD 服务以载入配置更改。

   [root@client ~]# systemctl restart sssd

流程

1. 通过将以下条目添加到 /etc/fstab 作为一行来创建 tmpfs 临时文件系统：

   tmpfs /var/lib/sss/db/ tmpfs size=300M,mode=0700,rootcontext=system_u:object_r:sssd_var_lib_t:s0 0 0

   这个示例创建了一个 300MB 缓存。根据您的 IdM 和 AD 目录大小调整 size 参数，每个 10,000 LDAP 条目大约为 100 MBs。

2. 挂载新的 SSSD 缓存目录。

   [root@host ~]# mount /var/lib/sss/db/

3. 重启 SSSD 以反应这个配置更改。

   [root@host ~]# systemctl restart sssd