身份管理(IdM)中的 Healthcheck 工具可帮助发现可能影响 IdM 环境健康的问题。

这部分论述了如何安装 IdM Healthcheck 工具。

Healthcheck 可以手动运行，也可以使用 日志循环 自动运行。

身份管理(IdM)中的 Healthcheck 工具可帮助发现可能影响 IdM 环境健康的问题。

日志轮转每日创建新的日志文件，并且按日期组织这些文件。由于日志文件保存在同一目录中，因此您可以根据日期选择特定的日志文件。

轮转意味着为最多日志文件数配置一个数字，如果超过这个数字，则最新文件重写并重命名最旧的文件。例如，如果轮转编号为 30，则第三十个日志文件将取代第一个（最旧的）日志文件。

日志轮转会减少大量日志文件并组织它们，这有助于分析日志。

本节论述了如何使用以下方法配置日志轮转：

systemd 定时器定期运行 Healthcheck 工具并生成日志。默认值为每天设为 4 点。

crond 服务用于日志轮转。

默认日志名称为 healthcheck.log，轮转的日志使用 healthcheck.log-YYYMMDD 格式。

要开始生成日志，启动 IPA healthcheck 服务：

# systemctl start ipa-healthcheck

要验证结果，请转至 /var/log/ipa/healthcheck/，并检查日志是否已正确创建。

Healthcheck 工具包括一个测试，用于检查是否任何 IdM 服务没有在运行。此测试很重要，因为未运行的服务会在其他测试中造成失败。因此，请先检查所有服务是否都在运行。然后您可以检查所有其他测试结果。

要查看所有服务测试，请使用 --list -sources 选项运行 ipa- healthcheck ：

# ipa-healthcheck --list-sources

您可以在 ipahealthcheck.meta.services 源下找到使用 Healthcheck 测试的所有服务：

本节介绍了使用 Healthcheck 工具在 Identity Management(IdM)服务器中运行的服务的独立手动测试。

Healthcheck 工具包括许多测试，其结果可通过以下方法缩短：

成功测试会显示空括号：

[ ]

如果其中一个服务失败，则结果可能类似以下示例：

{
  "source": "ipahealthcheck.meta.services",
  "check": "httpd",
  "result": "ERROR",
  "kw": {
    "status": false,
    "msg": "httpd: not running"
  }
}

Healthcheck 工具包括多个测试，用于测试您的身份管理(IdM)和 Active Directory(AD)信任状态。

要查看所有信任测试，请使用 --list -sources 选项运行 ipa- healthcheck ：

# ipa-healthcheck --list-sources

您可以在 ipahealthcheck.ipa.trust 源下找到所有测试：

本节论述了使用 Healthcheck 工具对 Identity Management(IdM)和 Active Directory(AD)信任健康检查的独立手动测试。

因此，Healthcheck 工具包含许多测试，您可以通过以下方式缩短结果：

成功测试会显示空括号：

# ipa-healthcheck --source=ipahealthcheck.ipa.trust --failures-only
[]

Healthcheck 工具包括多个测试，用于验证 Identity Management(IdM)中由 certmonger 维护的证书状态。有关 certmonger 的详情，请参阅使用 certmonger 为服务获取 IdM 证书。

此测试套件检查过期、验证、信任和其他问题。对于相同的根本问题，可能会抛出多个错误。

要查看所有证书测试，请使用 --list -sources 选项运行 ipa- healthcheck ：

# ipa-healthcheck --list-sources

您可以在 ipahealthcheck.ipa.certs 源下找到所有测试：

本节论述了使用 Healthcheck 工具对 Identity Management(IdM)证书健康检查的独立手动测试。

因此，Healthcheck 工具包括了许多测试，您可以使用以下方法缩短结果：

成功测试会显示空括号：

[]

失败的测试会显示以下输出：

{
  "source": "ipahealthcheck.ipa.certs",
  "check": "IPACertfileExpirationCheck",
  "result": "ERROR",
  "kw": {
    "key": 1234,
    "dbdir": "/path/to/nssdb",
    "error": [error],
    "msg": "Unable to open NSS database '/path/to/nssdb': [error]"
  }
}

在打开 NSS 数据库时，这个 IPACertfileExpirationCheck 测试失败。

Healthcheck 工具包括一些用于验证系统(DogTag)证书的测试。

要查看所有测试，请使用 --list -sources 选项运行 ipa- healthcheck ：

# ipa-healthcheck --list-sources

您可以在 ipahealthcheck.dogtag.ca 源下找到所有测试：

本节论述了使用 Healthcheck 工具对 Identity Management(IdM)证书的独立手动测试。

由于 Healthcheck 工具包含许多测试，因此您可以通过仅包含 DogTag 测试来缩小结果范围：-- source=ipahealthcheck.dogtag.ca

测试成功示例：

{
  "source: ipahealthcheck.dogtag.ca",
  "check: DogtagCertsConfigCheck",
  "result: SUCCESS",
  "uuid: 9b366200-9ec8-4bd9-bb5e-9a280c803a9c",
  "when: 20191008135826Z",
  "duration: 0.252280",
  "kw:" {
    "key": "Server-Cert cert-pki-ca",
    "configfile":  "/var/lib/pki/pki-tomcat/conf/ca/CS.cfg"
    }
}

测试失败的示例：

{
  "source: ipahealthcheck.dogtag.ca",
  "check: DogtagCertsConfigCheck",
  "result: CRITICAL",
  "uuid: 59d66200-1447-4b3b-be01-89810c803a98",
  "when: 20191008135912Z",
  "duration: 0.002022",
  "kw:" {
    "exception": "NSDB /etc/pki/pki-tomcat/alias not initialized",
    }
}

Healthcheck 工具包括用于检查可用磁盘空间的测试。可用磁盘空间不足可能会导致以下问题：

测试检查以下路径：

要列出所有测试，请使用 --list -sources 选项运行 ipa- healthcheck ：

# ipa-healthcheck --list-sources

文件系统空间检查测试放在 ipahealthcheck.system.filesystemspace 源下：

本节论述了使用 Healthcheck 工具在身份管理(IdM)服务器上独立手动测试可用磁盘空间。

因为健康检查包括许多测试，因此您可以通过以下方式缩小结果范围：

成功测试会显示空括号：

[]

例如，测试失败可显示：

{
  "source": "ipahealthcheck.system.filesystemspace",
  "check": "FileSystemSpaceCheck",
  "result": "ERROR",
  "kw": {
    "msg": "/var/lib/dirsrv: free space under threshold: 0 MiB < 1024 MiB",
    "store": "/var/lib/dirsrv",
    "free_space": 0,
    "threshold": 1024
  }
}

失败的测试会通知您 /var/lib/dirsrv 目录已用尽空间。

Healthcheck 工具测试由 Identity Management(IdM)安装和配置的一些重要文件的所有权和权限。

如果您更改了任何测试文件的所有权或权限，测试会在 results 部分中 返回警告。虽然这不一定意味着配置不起作用，但这意味着 文件与默认配置不同。

要查看所有测试，请使用 --list -sources 选项运行 ipa- healthcheck ：

# ipa-healthcheck --list-sources

文件权限测试放在 ipahealthcheck.ipa.files 源下：

本节论述了使用 Healthcheck 工具对身份管理(IdM)服务器配置文件的独立手动测试。

Healthcheck 工具包含许多测试。可以通过以下方法缩小结果：

成功测试会显示空括号：

# ipa-healthcheck --source=ipahealthcheck.ipa.files --failures-only
[]

失败的测试显示结果 类似如下 ：

{
  "source": "ipahealthcheck.ipa.files",
  "check": "IPAFileNSSDBCheck",
  "result": "WARNING",
  "kw": {
    "key": "_etc_dirsrv_slapd-EXAMPLE-TEST_pkcs11.txt_mode",
    "path": "/etc/dirsrv/slapd-EXAMPLE-TEST/pkcs11.txt",
    "type": "mode",
    "expected": "0640",
    "got": "0666",
    "msg": "Permissions of /etc/dirsrv/slapd-EXAMPLE-TEST/pkcs11.txt are 0666 and should be 0640"
  }
}

Healthcheck 工具测试身份管理(IdM)拓扑配置，并搜索复制冲突问题。

要列出所有测试，请使用 --list -sources 选项运行 ipa- healthcheck ：

# ipa-healthcheck --list-sources

拓扑测试放置在 ipahealthcheck.ipa.topology 和 ipahealthcheck.ds.replication 源 下：

本节论述了使用 Healthcheck 工具对身份管理(IdM)复制拓扑和配置的独立手动测试。

因此，Healthcheck 工具包括了许多测试，您可以使用以下方法缩短结果：

可能会有四种不同的结果：

Healthcheck 工具包括一个测试，用于检查自动发现所需的预期 DNS 记录是否可以解析。

要列出所有测试，请使用 --list -sources 选项运行 ipa- healthcheck ：

# ipa-healthcheck --list-sources

DNS 记录检查测试放在 ipahealthcheck.ipa.idns 源下。

本节论述了使用 Healthcheck 工具在身份管理(IdM)服务器上独立手动测试 DNS 记录。

Healthcheck 工具包含许多测试。通过添加 --source ipahealthcheck.ipa.idns 选项，可以只包含 DNS 记录测试来缩小结果范围。