步骤

1. 识别冗余 CA 服务，并按照在托管此服务的 IdM 副本上 卸载 IdM 服务器 中的流程操作。
2. 在同一个主机上，按照 安装 IdM 服务器：带有集成的 DNS，没有 CA 或 安装 IdM 服务器：没有集成的 DNS，有一个外部 CA 作为 root CA 中的流程操作，具体取决于您的用例。

步骤

1. 要在 CLI 中显示当前搜索时间和大小限制，请使用 ipa config-show 命令：

   $ ipa config-show
   
   Search time limit: 2
   Search size limit: 100

2. 要为所有查询调整 全局 限制，请使用 ipa config-mod 命令，并添加 --searchrecordslimit 和 --searchtimelimit 选项。例如：

   $ ipa config-mod --searchrecordslimit=500 --searchtimelimit=5

3. 要仅为特定查询 暂时 调整限制，请在命令中添加 --sizelimit 或 --timelimit 选项。例如：

步骤

1. 登录到 IdM Web UI。

2. 点 IPA Server。

   

3. 在 IPA Server 选项卡中点 Configuration。

4. 在搜索选项区域中设置所需的值。

   默认值为：

   • 搜索大小限制： 100 个条目
   • 搜索时间限值： 2 秒

5. 点页面顶部的 Save。

   

流程

1. 禁用自动缓存调整。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --cache-autosize=0

2. 显示数据库后缀及其对应的后端。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   这个命令显示每个后缀旁的后端数据库名称。在下一步中使用后缀的数据库名称。

3. 为数据库设置条目缓存大小。这个示例将 userroot 数据库的条目缓存设置为 2GB。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix set --cache-memsize=2147483648 userroot

4. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

5. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程并将 cache-memsize 调整为不同的值，或者重新启用缓存自动大小。

流程

1. 禁用自动缓存调整，并设置数据库缓存大小。这个示例将数据库缓存设置为 256MB。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --cache-autosize=0 --dbcachesize=268435456

2. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

3. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程并将 dbcachesize 调整为不同的值，或者重新启用缓存自动大小。

流程

1. 停止 Directory 服务器。

   [root@server ~]# systemctl stop dirsrv.target

2. 在进行任何进一步的修改前，请备份 /etc/dirsrv/slapd-instance_name/dse.ldif 文件。

   [root@server ~]# *cp /etc/dirsrv/slapd-instance_name/dse.ldif \
        /etc/dirsrv/slapd-instance_name/dse.ldif.bak.$(date "+%F_%H-%M-%S")

3. 编辑 /etc/dirsrv/slapd-instance_name/dse.ldif 文件：

   1. 设置用于数据库的可用系统 RAM 百分比，恢复默认的 10% 可用 RAM。

      nsslapd-cache-autosize: 10

   2. 将可用系统 RAM 中数据库缓存使用的百分比设置为默认的 25%：

      nsslapd-cache-autosize-split: 25

4. 将更改保存到 /etc/dirsrv/slapd-instance_name/dse.ldif 文件。

5. 启动 Directory 服务器。

   [root@server ~]# systemctl start dirsrv.target

流程

1. （可选） 显示数据库后缀及其对应的数据库名称。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userroot)

   这个命令显示每个后缀旁的后端数据库名称。在下一步中使用后缀的数据库名称。

2. 为数据库设置 DN 缓存大小。这个示例将 DN 缓存设置为 20MB。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix set --dncache-memsize=20971520 userroot

3. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

4. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程并将 dncache-memsize 调整为不同的值，或者返回到默认值 10MB。

流程

1. 确保启用了 NDN 缓存。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ndn-cache-enabled
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-enabled: on

   如果缓存关闭，使用以下命令启用它。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ndn-cache-enabled=on
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ndn-cache-enabled"

2. 检索 nsslapd-ndn-cache-max-size 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ndn-cache-max-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-max-size: 20971520

3. 修改 nsslapd-ndn-cache-max-size 属性的值。这个示例将值增加到 41943040 (40 MB)。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ndn-cache-max-size=41943040

4. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程并将 nsslapd-ndn-cache-max-size 调整为不同的值，或者重新启用缓存自动大小。

流程

1. 检索 nsslapd-maxbersize 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-maxbersize
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxbersize: 2097152

2. 修改 nsslapd-maxbersize 属性的值。这个示例将值增加到 4194304，4MB。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-maxbersize=4194304

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxbersize"

4. 监控 IdM 目录服务器的性能。如果它没有以希望的方式改变，请重复这个过程并将 nsslapd-maxbersize 调整为不同的值，或者回到默认值 2097152。

流程

1. 检索 nsslapd-maxdescriptors 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-maxdescriptors
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxdescriptors: 4096

2. 修改 nsslapd-maxdescriptors 属性的值。这个示例将值增加到 8192。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-maxdescriptors=8192

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxdescriptors"

4. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程将 nsslapd-maxdescriptors 调整为不同的值，或者重新使用默认的 4096。

流程

1. 检索 nsslapd-listen-backlog-size 参数的当前值，并在进行任何调整前记录它，以备需要恢复时使用。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-listen-backlog-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-listen-backlog-size: 128

2. 修改 nsslapd-listen-backlog-size 属性的值。这个示例将值增加到 192。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-listen-backlog-size=192

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-listen-backlog-size"

流程

1. 检索 nsslapd-db-locks 参数的当前值，并在需要恢复任何调整前记录它。

   [root@server ~]# ldapsearch -D "cn=directory manager" -w DirectoryManagerPassword -b "cn=bdb,cn=config,cn=ldbm database,cn=plugins,cn=config" | grep nsslapd-db-locks
   nsslapd-db-locks: 50000

2. 修改 locks 属性的值。这个示例将值加倍到 100000 个锁定。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --locks=100000

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully updated database configuration

4. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

流程

1. 检索 nsslapd-ioblocktimeout 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ioblocktimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ioblocktimeout: 10000

2. 修改 nsslapd-ioblocktimeout 属性的值。这个示例将值降低为 8000。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ioblocktimeout=8000

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ioblocktimeout"

4. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程将 nsslapd-ioblocktimeout 调整为不同的值，或者重新使用默认的 10000。

流程

1. 检索 nsslapd-idletimeout 参数的当前值，并在需要恢复任何调整前记录它。提示时输入 Directory Manager 密码。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-idletimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-idletimeout: 3600

2. 修改 nsslapd-idletimeout 属性的值。这个示例将值降低为 1800 （30 分钟）。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-idletimeout=1800

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-idletimeout"

4. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程将 nsslapd-idletimeout 调整为不同的值，或者重新使用默认的 3600。

流程

1. 显示数据库后缀及其对应的后端。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   这个命令会在后缀旁的显示后端数据库名称。在下一步中使用后缀名称。

2. 修改主 userroot 数据库的 repl-release-timeout 属性的值。这个示例将值增加到 90 秒。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com replication set --suffix="dc=example,dc=com" --repl-release-timeout=90

3. 身份验证为 Directory Manager 以进行配置更改。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

4. （可选）如果您的 IdM 环境使用 IdM 证书颁发机构(CA)，您可以修改 CA 数据库的 repl-release-timeout 属性的值。这个示例将值增加到 90 秒。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com replication set --suffix="o=ipaca" --repl-release-timeout=90
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

5. 重启 Directory 服务器。

   [root@server ~]# systemctl restart dirsrv.target

6. 监控 IdM 目录服务器的性能。如果它没有以理想的方式改变，请重复这个过程并将 repl-release-timeout 调整为不同的值，或者返回使用默认值 60 秒。

流程

1. 使用自定义数据库设置，创建一个 LDIF 格式的文本文件。使用短划线(-)分隔 LDAP 属性修改。这个示例为空闲超时和最大文件描述符设置了非默认值。

   dn: cn=config
   changetype: modify
   replace: nsslapd-idletimeout
   nsslapd-idletimeout=1800
   -
   replace: nsslapd-maxdescriptors
   nsslapd-maxdescriptors=8192

2. 使用 --dirsrv-config-file 参数将 LDIF 文件传递给安装脚本。

   1. 要安装 IdM 服务器：

      # ipa-server-install --dirsrv-config-file filename.ldif

   2. 要安装 IdM 副本：

      # ipa-replica-install --dirsrv-config-file filename.ldif

流程

1. 在文本编辑器中打开 /var/kerberos/krb5kdc/kdc.conf 文件。

2. 将 TCP 侦听功能设置为所需值，如 7。

   [kdcdefaults]
    ...
    kdc_tcp_listen_backlog = 7

3. 保存并关闭 /var/kerberos/krb5kdc/kdc.conf 文件。
4. 重启 KDC 来加载新设置。

流程

1. 在文本编辑器中打开 /etc/krb5.conf 文件。

2. 在 [dbmodules] 部分中指定任意选项及其所需值，并在相应的 Kerberos 域中指定。在本例中，您要为 EXAMPLE.COM Kerberos 域设置 disable_last_success 变量。

   [dbmodules]
       EXAMPLE.COM = {
           disable_last_success = true
       }

3. 保存并关闭 /etc/krb5.conf 文件。
4. 重启 KDC 来加载新设置。

流程

1. 在文本编辑器中打开 /etc/sysconfig/krb5kdc 文件。

2. 指定 KRB5KDC_ARGS 参数的值。在本例中，您要将进程数设置为 10：

   KRB5KDC_ARGS='-w 10'
   [...]

3. 保存并关闭 /etc/sysconfig/krb5kdc 文件。

4. 重新载入 systemd 配置：

   # systemctl daemon-reload

5. 重启 krb5kdc 服务：

   # systemctl restart krb5kdc.service

流程

1. 在文本编辑器中打开 /etc/sssd/sssd.conf 配置文件。

2. 在您的 Active Directory 域的 [domain] 部分添加以下选项。如果您还没有 AD 域的 domain 部分，请创建一个。

   [domain/ad.example.com]
   ignore_group_members = true
   subdomain_inherit = ignore_group_members
   ...

3. 保存并关闭服务器上的 /etc/sssd/sssd.conf 文件。

4. 重启 SSSD 服务以载入配置更改。

   [root@client ~]# systemctl restart sssd

流程

1. 检索 worker 线程的总数。

   # ldapsearch -xLLLD cn=directory\ manager -W -b cn=config -s base nsslapd-threadnumber
   Enter LDAP Password:
   dn: cn=config
   nsslapd-threadnumber: 16

   这意味着 ipaExtdomMaxInstances 的当前值是 13。

2. 调整实例的最大数量。本例将值改为 14：

   # ldapmodify -D "cn=directory manager" -W
   dn: cn=ipa_extdom_extop,cn=plugins,cn=config
   changetype: modify
   replace: ipaExtdomMaxInstances
   ipaExtdomMaxInstances: 14

3. 监控 IdM 目录服务器的性能，如果没有提高，请重复这个过程，并调整 ipaExtdomMaxInstances 变量的值。

流程

1. 确定单个未缓存登录所需的秒数。

   1. 清除 IdM 客户端 client.example.com 上的 SSSD 缓存。

      [root@client ~]# sss_cache -E

   2. 使用 time 命令测量以 AD 用户身份登录所需的时间。在本例中，从 IdM 客户端 client.example.com 中与 ad.example.com AD 域中的用户 ad-user 身份登录同一主机。

      [root@client ~]# time ssh ad-user@ad.example.com@client.example.com

   3. 尽快输入密码。

      Password:
      Last login: Sat Jan 23 06:29:54 2021 from 10.0.2.15
      [ad-user@ad.example.com@client ~]$

   4. 尽快注销以显示已经过的时间。在本例中，单个未缓存的登录大约需要 9 秒。

      [ad-user@ad.example.com@client /]$ exit
      logout
      Connection to client.example.com closed.
      
      real 0m8.755s
      user    0m0.017s
      sys     0m0.013s

2. 在文本编辑器中打开 /etc/sssd/sssd.conf 配置文件。

3. 在您的 Active Directory 域的 [domain] 部分添加以下选项。将 pam_id_timeout 和 krb5_auth_timeout 选项设置为未缓存登录所需的秒数。如果您还没有 AD 域的 domain 部分，请创建一个。

   [domain/example.com/ad.example.com]
   krb5_auth_timeout = 9
   ldap_deref_threshold = 0
   ...

4. 在 [pam] 部分添加以下选项：

   [pam]
   pam_id_timeout = 9

5. 保存并关闭服务器上的 /etc/sssd/sssd.conf 文件。

6. 重启 SSSD 服务以载入配置更改。

   [root@client ~]# systemctl restart sssd

流程

1. 创建 tmpfs 临时文件系统：

   1. 确认 SSSD 用户拥有 config.ldb 文件：

      # ls -al /var/lib/sss/db/config.ldb
      -rw-------. 1 sssd sssd 1286144 Jun  8 16:41 /var/lib/sss/db/config.ldb

   2. 将以下条目作为一行添加到 /etc/fstab 文件中：

      tmpfs /var/lib/sss/db/ tmpfs size=300M,mode=0700,uid=sssd,gid=sssd,rootcontext=system_u:object_r:sssd_var_lib_t:s0 0 0

      这个示例创建了一个 300MB 缓存。根据您的 IdM 和 AD 目录大小调整 size 参数，每个 10,000 LDAP 条目大约为 100 MBs。

2. 挂载新的 SSSD 缓存目录。

   [root@host ~]# mount /var/lib/sss/db/

3. 重启 SSSD 以反应这个配置更改。

   [root@host ~]# systemctl restart sssd