AIX(R) 및 SOLARIS용 IBM(R) DISTRIBUTED COMPUTING ENVIRONMENT(DCE) 버전 3.2 README ADDENDA ===================================================== (C) Copyright IBM Corporation 2001. All rights reserved. 참고: 자세한 저작권 내용은 12.0 주의사항을 참조하십시오. ===================================================== 목차 1.0 README ADDENDA에 대한 정보 2.0 LDAP 고려사항 2.1 IBM SecureWay(R) Directory 서버에 대한 E-fix 2.2 동시 읽기/쓰기 요구사항 2.3 IBM SecureWay Directory 서버에서 dcecp 카탈로그 명령에 대한 LDAP 크기 한계 변경 2.4 ldif2db 및 복제를 사용하는 CreatorsName 속성 2.5 스키마 수정 시 오류 3.0 AIX 고려사항 3.1 AIX에서 고객 응용프로그램 실행 시 고려사항 3.2 dcecp에 추가된 dcf_ulimit 명령 3.3 dcf_ulimit 명령 4.0 DCE 3.2 성능 고려사항 및 조정 팁 4.1 secd 조정 4.1.1 LDAP 서버에 대한 복수 연결 조정 4.1.2 전파 스레드 수 조정 4.1.3 init_rep의 개시자인 secd 조정 4.2 IBM SecureWay LDAP 사용 시 DB2(R) 조정 4.3 LDAP 조정 4.3.1 IBM SecureWay LDAP 서버 조정 4.3.2 iPlanet/Netscape LDAP 서버 조정 4.4 하드웨어 4.5 네트워크 4.6 초기 이주 기대 사항 4.7 DCE 응용프로그램 고려사항 4.8 사용자 작업(로그인, 암호 변경) 4.9 관리자 작업(사용자 작성, 사용자 삭제) 5.0 로케일 고려사항 5.1 UTF-8에 대한 Solaris LDAP 클라이언트 문제점(Solaris만 해당) 5.2 지원되지 않는 로케일 설정에 관련된 LDAP 실패 6.0 필요한 레지스트리 버전 수정 6.1 LDAP 마스터로 이주하기 전에 모든 복제본의 레지스트리 버전 번호가 같은지 확인 6.2 Registry modify -version 명령이 일련 번호가 일치할 때까지 대기 7.0 이주 고려사항 및 가능한 오류 상황 7.1 레지스트리 이주 시 일부 완전한 매개변수 필요 7.2 레지스트리 이주를 중단해도 LDAP로 DCE 데이터 전파 지속 7.3 LDAP 슬래이브 이주 실패 7.4 LDAP 마스터 이주 실패 7.5 이주 중 티켓 만기 후의 메시지 8.0 SECD 재시작 조건 8.1 SSL을 사용하여 키 데이터베이스 파일을 변경하기 위해 secd 재시작 8.2 LDAP_SERVER_DOWN 조건 9.0 TRY PE_SITE 환경 변수를 사용하여 레지스트리 선택 9.1 CDS 1차 서버를 항상 현재 보안 서버로 지정 9.2 강제 이주에서 pe_site 파일에 추가 보안 서버 IP 주소 필요 10.0 LDAP 사용 시 레지스트리 제한사항 10.1 이름지정 제한사항 10.2 기존 LDAP 계정 삭제 불가 11.0 기타 11.1 dceback이 백업할 수 없는 파일의 수동 백업 11.2 분할 구성 환경에서 IP 주소 변경 11.3 DCE 문서 - start_dcedoc 12.0 주의사항 12.1 상표 및 서비스표 ===================================================== 1.0 README ADDENDA에 대한 정보 이 파일에는 AIX 및 Solaris용 DCE 버전 3.2와 함께 제공된 README 파일에 대한 추가 변경 및 갱신 사항이 수록되어 있습니다. 참고: 명령에 따옴표를 넣지 마십시오. ===================================================== 2.0 LDAP 고려사항 ===================================================== 2.1 IBM SecureWay(R) Directory 서버에 대한 E-fix "DCE Security Registry and LDAP Integration Guide"의 "Chapter 2, Planning Considerations"에 있는 "Supported versions of LDAP" 절에서 다음 문장이 틀렸습니다. "The IBM SecureWay Directory client requires a minimum e-fix of 3.2.2-SWD-0001". 앞의 문장은 다음으로 대체해야 합니다. "The IBM SecureWay Directory server requires a minimum e-fix of 3.2.1-SWD-004". 또한 Solaris의 UTF-8 로케일에서 실행 중이면, E-fix 3.2.1-SWD-005가 필요합니다. 자세한 내용은 5.1 절을 참조하십시오. E-fix는 IBM SecureWay 웹 사이트 www.ibm.com/secureway/directory에서 볼 수 있습니다. ===================================================== 2.2 동시 읽기/쓰기 요구사항 IBM SecureWay Directory 서버를 예비 저장소로 사용 중이면, LDAP 서버가 동시 읽기/쓰기를 사용하도록 설정해야 합니다. 이를 수행하지 않으면, LDAP 및 DCE 사이에 교착상태가 발생할 수 있습니다. slapd32.conf 파일에서 다음 스탠자를 수정하여 LDAP_CONCURRENTRW 속성을 추가하십시오. dn: cn=Front End, cn=Configuration cn: Front End ibm-slapdSetenv: LDAP_CONCURRENTRW=ON objectClass: top objectClass: ibm-slapdFrontEnd iPlanet/Netscape Directory에서는 동시 읽기/쓰기가 기본 구성입니다. ===================================================== 2.3 IBM SecureWay Directory 서버에서 dcecp 카탈로그 명령에 대한 LDAP 크기 한계 변경 "dcecp -c principal cat" 및 "dcecp -c account cat"와 같은 dcecp 카탈로그 명령은 ibm-slapdSizeLimit 값이 너무 낮게 설정된 경우, 모든 프린시펄 데이터를 리턴하지는 못할 수도 있습니다. 기본값은 500이며, 이는 대략 480개의 프린시펄에 대한 정보가 리턴될 수 있는 값입니다. ibm-slapdSizeLimit는 /usr/ldap/etc/slapd32.conf에서 정의합니다. ===================================================== 2.4 ldif2db 및 복제를 사용하는 CreatorsName 속성 krbTrustedAdmObject 속성 또는 krbKdcServiceObject 속성에는 LDAP에서 DCE 데이터를 작성할 것으로 예상되는 모든 사용자나 응용프로그램에 대한 구별 이름(DN)이 있어야 합니다. 여기에는 모든 DCE 보안 서버, 네트워크 인증 서비스 KDC 서버 및 기타 LDAP 관리 응용프로그램이 포함됩니다. DCE 셀에 대한 LDAP 디렉토리가 디렉토리 반입 툴을 사용하여 복원될 경우, 셀에 대한 LDAP 항목의 krbTrustedAdmObject 속성 또는 krbKdcServiceObject 속성이 DCE 시작 이전에 툴에서 사용한 권한 DN을 포함하도록 갱신되어야 합니다. ldif2db를 사용하여 IBM SecureWay 디렉토리를 복원할 경우, 이는 LDAP 디렉토리 관리자의 DN입니다. 또한 디렉토리 서버의 복제 기능이 레지스트리의 LDAP 복제본을 제공하는 데 사용될 경우, LDAP 마스터 서버에서 셀 항목에 대한 krbTrustedAdmObject 및 krbKdcServiceObject 속성은 각 복제본에 대해 LDAP 제공업체 또는 고객이 사용하는 DN을 포함하도록 갱신되어야 합니다. ===================================================== 2.5 스키마 수정 시 오류 iPlanet Directory 서버에 대한 스키마를 수정할 경우, 시도한 passwordMinAge 및 gecos 속성 수정에 대해 오류가 보고될 수 있습니다. 이러한 수정은 속성의 OID 또는 구문을 처리합니다. 어느 오류도 DCE 작동이나 iPlanet Directory 서버를 사용하는 기타 응용프로그램에 영향을 주지는 않습니다. ===================================================== 3.0 AIX 고려사항 ===================================================== 3.1 AIX에서 고객 응용프로그램 실행 시 고려사항 응용프로그램에서 메시지(또는 예외)가 발생할 경우: RPC에 대한 메모리가 없음(dce/rpc) 응용프로그램이 기본 데이터 크기 한계인 128MB에 도달하였을 수 있습니다. 이러한 문제점을 극복하려면 응용프로그램에 대한 데이터 크기 한계를 늘리십시오. 또한 사용 공간이 256MB보다 큰 응용프로그램에 대해서는 AIX 대형 메모리 모델 사용을 고려할 수도 있습니다. ===================================================== 3.2 dcecp에 추가된 dcf_ulimit 명령 DCE의 데이터 크기 ulimit만 변경하고 시스템에서 실행 중인 다른 응용프로그램은 변경하지 않으려면, /opt/dcelocal/tcl/user_cmd.tcl 파일 내에서 "dcecp -c dcf_ulimit" 명령을 사용하면 됩니다. user_cmd.tcl 파일에서 이 명령을 사용하는 방법에 대한 샘플이 /opt/dcelocal/tcl/user_cmd.sample.tcl에 있습니다. 이 명령의 구문에 대해서는 3.3 절을 참조하십시오. ===================================================== 3.3 dcf_ulimit 명령 명령이 dcf_ulimit라는 dcecp에 추가되었습니다. 이 dcf_ulimit는 ulimit처럼 작동하며, 복수 명령 매개변수를사용합니다. dcf_ulimit 명령에서 -?, -help 또는 help를 입력하면, 다음이 표시됩니다. dcf_ulimit [-S|-H] -f -c -t -d -s -m -n dcecp(또는 tcl 스크립트) 내에서 ulimit -a 명령을 사용하여 현재 ulimit 설정을 볼 수 있습니다. 그러나 -a 매개변수는 dcf_ulimit로 지원되지 않습니다. 운영체제에서 ulimit 명령은 64비트 값을 사용합니다. dcecp는 32비트 프로그램이므로, setrlimit API에 전달해야 하는 정수 크기에 의해 제한됩니다. 다음은 dcf_ulimit 명령을 사용하여 전달할 수 있는 최대값입니다. -f FSIZE 4194303 -c CORE 4194303 -t CPU 2147483647 -d DATA 2097151 -s STACK 2097151 -m RSS 2097151 -n NOFILE 2147483647 키워드 "unlimited"도 모든 매개변수에 대한 값으로 허용됩니다. 일반적으로 dcf_ulimit 명령은 ulimit 명령과 같은 방식으로 작동합니다. ===================================================== 4.0 DCE 3.2 성능 고려사항 및 조정 팁 ===================================================== DCE 3.2 기능을 사용하여 DCE 보안 정보를 LDAP 디렉토리에 이주할 경우 고려해야 할 특정 성능이 있습니다. 메모리 내 데이터베이스(레거시 DCE의 모델)에서 디스크의 데이터베이스로 DCE 보안 레지스트리를 이동할 경우 성능에 영향이 미칩니다. 이러한 영향은 셀이 있는 이주 단계에 따라 달라집니다. 고객은 LDAP에 완전히 이주된 셀보다 하이브리드 셀(레거시 보안 서버 및 공존하는 LDAP 서버를 포함하는 셀) 성능에 더 많은 영향이 미친다는 점을 볼 수 있습니다. 이는 LDAP와 레거시 DCE 보안 서버로 갱신사항을 전파하는 것과 연관되는 오버헤드 때문입니다. 일반적으로, 보안 레지스트리를 자주 갱신하며 그러한 갱신사항에 바로 액세스하는 DCE 응용프로그램을 사용하는 고객은 다음 중 하나를 수행하는 것이 바람직합니다. o 연장 기간 동안 하이브리드 환경에서 실행하지 마십시오. o 보안 사용 시 응용프로그램의 보안 요청이 레거시 DCE 보안 서버로 보내지도록 선택하십시오. 다음 절에 설명된 것처럼 LDAP 통합 기능과 연관되는 몇 가지 추가 성능 조정 고려사항이 있습니다. ===================================================== 4.1 secd 조정 ===================================================== 4.1.1 LDAP 서버에 대한 복수 연결 조정 MAX_CONNECTIONS 환경 변수는 보안 서버가 LDAP 데이터베이스에 대해 가지고 있어야 하는 연결 수를 결정합니다. 현재 기본값은 8이며, 이는 대부분의 고객 환경에 충분한 값입니다. 그러나 추가 연결이 필요할 수 있는 시나리오가 있습니다. 하나의 예로, 중요한 동시 로그인 워크로드를 지탱하는 환경을 들 수 있습니다. 멀티프로세서 환경에서는 증가된 시스템 용량을 이용하기 위해 연결 수를 늘릴 수도 있습니다. 언제든지 MAX_CONNECTIONS 환경 변수를 수정하면 해당 시스템의 보안 서버를 다시 시작해야 합니다. 지원되는 최대 연결 수는 64개입니다. ===================================================== 4.1.2 전파 스레드 수 조정 보안 서버가 세 개인 셀에서 레거시 복제본 및 LDAP 이주 서버로 동시 전파를 이행하려면, 마스터 보안 서버에서 기존의 MAX_SEC_PROP_THREADS 환경 변수를 2로 설정하십시오. 셀에 네 개 이상의 보안 서버가 있는 경우, 스레드 수는 secd에 의해 자동으로 2로 증가됩니다. ===================================================== 4.1.3 init_rep의 개시자인 secd 조정 LDAP로 이주하는 동안 보안 레지스트리가 수신되는 레거시 복제본을 지정하려면 마스터 보안 서버에서 SEC_REP_INIT_FROM_UUID 환경 변수를 사용하십시오. 이주 서버에서 dcecp 레지스트리 이주 명령을 발행하기 전에 이 변수를 레거시 복제본의 UUID(Universal Unique Identifier)로 설정하십시오. UUID를 확보하려면, "sec_admin" 명령을 발행한 다음 "lr -all"을 입력하십시오. UUID는 서버의 인스턴스 ID입니다. 이 환경 변수를 설정하고 나면, 마스터 보안 서버를 중단한 다음 다시 시작해야 합니다. 이 환경 변수를 사용하면 초기화에 레거시 마스터가 사용되지 않습니다. 초기화에 레거시 마스터가 사용될 경우, 이주 동안 유지보수 모드에 놓입니다. 레거시 보안 복제본은 이 기능을 수행할 수 있지만 LDAP 서버는 수행할 수 없습니다. SEC_REP_INIT_FROM_UUID 환경 변수를 LDAP 슬래이브의 UUID로 설정해서는 안됩니다. ===================================================== 4.2 IBM SecureWay LDAP 사용 시 DB2(R) 조정 참고: 이 절의 지시사항에서는 사용자가 기본 LDAP DB2 사용자 ID (ldapdb2)를 사용한다고 가정합니다. 다른 LDAP DB2 사용자 ID를 사용 중이면 적절하게 대체하도록 하십시오. 항상 DB2 캐시가 클수록 I/O 액세스 횟수가 적어지는 것은 아닙니다. 보다 나은 계획은 LDAP 캐시의 용량을 늘리는 것입니다. 일반적으로, DB2 버퍼 풀 크기는 최소화하고 LDAP 항목 및 필터 캐시는 최대화하십시오. 다음 예제에서는 AIX 명령을 사용합니다. LDAP 서버의 위치에 따라 적절한 운영체제 명령을 사용하십시오. 예제 단계 - DB2(IBM SecureWay LDAP를 사용할 경우) 1. DB2 수퍼유저 ldapdb2로 로그인하십시오. 예: su -ldapdb2 2. 기존 SHEAPTHRES(정렬 힙 임계값)를 확인하십시오. 예: db2 get dbm config | grep SHEAP 3. 기존 SHEAPTHRES를 20000으로 재설정하십시오. 예: db2 update db manager config using SHEAPTHRES 20000 4. DB2를 시작하십시오. 예: db2start 5. LDAP/DB2에 연결하십시오. 예: db2 connect to ldapdb2 6. 기존 BUFFPAGE(버퍼 풀 크기)를 확인하십시오. 예: db2 get db config for ldapdb2 | grep BUFF 7. 시스템 메모리 크기(MB)를 확보하십시오. 예: lsattr -E -l mem0 8. DB2와 함께 제공된 기본 BUFFPAGE는 1000(4KB 페이지)로 대형 데이터베이스의 경우 충분히 크지 않을 수 있습니다. 시스템의 메모리 양이 클 경우(1GB 이상) 공통 감지 방식을 사용하여 BUFFPAGE 양에 할당하는 메모리 양(50%는 아님)을 계산하십시오. 대략 512MB 이하의 메모리를 사용하여 실행할 경우, 알고리즘을 따르는 것이 유용합니다. BUFFPAGE를 재설정할 경우: db2 update db config for ldapdb2 using BUFFPAGE nnnnn 여기서 nnnnn은 다음과 같이 계산됩니다(시스템의 50%가 버퍼 풀에 할당). nnnnn = 시스템 메모리 MB * 50% / 4KB(1 페이지 = 4KB) 9. BUFFPAGE 매개변수를 늘릴 경우, BUFFPAGE 매개변수에서 30이 증가될 때마다 DBHEAP 크기도 1씩 늘려야 합니다. 기본 DBHEAP(데이터베이스 힙)을 확인할 경우, 다음 명령을 실행하십시오. 예: db2 get db config for ldapdb2 | grep DBHEAP 10. 예를 들어, DBHEAP를 1700으로 재설정하려면 다음 명령을 실행하십시오. db2 update db config for ldapdb2 using DBHEAP 1700 11. 기존 SORTHEAP(정렬 목록 힙)를 확인하십시오. 예: db2 get db config for ldapdb2 | grep SORTHEAP 12. DB2 Database Monitor 툴을 사용하여 SORTHEAP 매개변수에 적절한 값을 계산하십시오. SORTHEAP를 재설정할 경우: db2 update db config for ldapdb2 using SORTHEAP nnnn nnnn = BUFFPAGE / 300씩 증가됨 13. 기존 MAXLOCKS(응용프로그램당 잠금 목록의 퍼센트)를 확인하십시오. 예: db2 get db config for ldapdb2 | grep MAXLOCKS 14. DB2 Database Monitor 툴을 사용하여 MAXLOCKS 매개변수에 적절한 값을 계산하십시오. MAXLOCKS를 100으로 재설정하려면 다음 명령을 실행하십시오. 예: db2 update db config for ldapdb2 using MAXLOCKS 100 15. 버퍼 풀을 재설정하십시오. 예: db2 alter bufferpool ibmdefaultbp size -1 (참고: -l은 L이 아니라 "1"(숫자)입니다.) 16. 위의 변경사항이 적용되도록 db2를 다시 시작하십시오. 예: db2stop db2start DB2 조정에 대한 자세한 정보는 www.software.ibm.com/data/db2/library를 참조하십시오. ===================================================== 4.3 LDAP 조정 LDAP 성능은 다양한 요소에 의해 영향을 받습니다. 기본 구성의 변경사항을 조정 및 작성하는 것은 성능 향상에 중요합니다. 이러한 캐시 이점을 실현하기 전에 LDAP(IBM SecureWay LDAP를 사용 중인 경우에는 DB2 캐시 포함)를 채워야 합니다. 항목 및 필터를 포함하여 몇 가지의 LDAP 캐시 유형이 있습니다. 특정 고객 환경을 기초로 캐시할 항목 수를 선택하십시오. 최상의 크기를 찾기 위해 실험을 해야 할 수도 있습니다. 일반적으로, DB2 버퍼 풀 크기는 최소화하고 LDAP 항목 및 필터 캐시는 최대화하십시오. DCE 3.2 데이터베이스는 DCE 스키마를 IBM SecureWay LDAP에 로드할 때 자동으로 색인화됩니다. iPlanet/Netscape Directory 서버를 사용 중일 경우, 스키마를 수동으로 색인화해야 합니다. 동시 읽기/쓰기를 사용하여 LDAP를 실행하는 것이 바람직합니다. IBM SecureWay Directory를 사용 중인 경우 (LDAP_CONCURRENTRW=ON)에서 동시 읽기/쓰기를 설정해야 합니다. iPlanet/Netscape Directory를 사용 중인 경우 기본적으로 설정되어 있습니다. 동시 읽기/쓰기를 설정하고 나면, slapd를 다시 시작해야 합니다. ===================================================== 4.3.1 IBM SecureWay LDAP 서버 조정 참고: 이 절의 지시사항에서는 사용자가 기본 slapd 구성 파일 (AIX에서 /usr/ldap/etc/slapd32.conf)과 기본 slapd 오류 로그 파일(AIX에서 /tmp/slapd.errors)을 사용하고 있는 것으로 가정합니다. LDAP 서버가 이러한 기본값을 사용하지 않을 경우, 적절하게 대체하도록 하십시오. IBM SecureWay slapd.errors 파일(AIX에서 /tmp/slapd.errors, Solaris에서 /var/ldap/slapd.errors, NT에서 C:\Program Files\IBM\LDAP\tmp\slapd32.errors)이 커질수록 LDAP 성능이 저하될 수 있습니다. 많은 오류가 발생할 것으로 예상되지는 않지만 장기 실행 환경에서 이 파일은 간혹 보지 못하고 넘어갈 수 있습니다. LDAP가 실행될 때 이 파일이 삭제되거나 이름이 변경될 수 있습니다. 새 slapd.errors 파일은 삭제되거나 이름이 변경될 때 자동으로 작성됩니다. IBM SecureWay LDAP 서버 캐시에서 캐시 크기에 직접 영향을 주는 네 가지 환경 변수가 있습니다. 이 값들은 특정 환경에서 플랫폼, 메모리 크기, 워크로드 등의 영향을 받습니다. 변수의 값을 설정하기 위해 자주 사용되는 방법은 /usr/ldap/etc/slapd32.conf 파일을 사용하는 것입니다. 예제 단계 - IBM SecureWay LDAP 1. 다음을 LDAP 구성 파일에 추가하십시오. /usr/ldap/etc/slapd32.conf: #ADDED LDAP TUNING dn: cn=Front End, cn=Configuration objectclass: top objectclass: ibm-slapdFrontEnd #Turn on concurrent read/write. This can prevent race conditions #that could result in entries being returned that no longer #match the search filter. This locking mechanism can have a #dramatic impact on the performance of LDAP searches when #update operations are in progress. Default is FALSE. #Note that this variable can be set to ON or TRUE in v3.2.2 #of IBM SecureWay LDAP. ibm-slapdSetEnv: LDAP_CONCURRENTRW=ON #RDBM_CACHE_SIZE=; Default is 1000. #Specifies the maximum numbers of entries to keep in the Entry cache. ibm-slapdSetEnv: RDBM_CACHE_SIZE=100000 #RDBM_FCACHE_SIZE=; Default is one fourth of the size of the #RDBM_CACHE_SIZE. #Specifies the maximum number of entries to keep in the search filter #cache. ibm-slapdSetEnv: RDBM_FCACHE_SIZE=100000 #ACLCACHE=; Default is YES. #Controls whether or not the server caches ACL information. ibm-slapdSetEnv: ACLCACHE=YES #ACLCACHESIZE=; Default is = RDBM_CACHE_SIZE. #Specifies the maximum number of entries to keep in the ACL cache. ibm-slapdSetEnv: ACLCACHESIZE=25000 2. LDAP 서버를 중단하십시오. 3. AIX의 경우, LDAP 서버를 다시 시작하기 전에 다음 환경 변수를 반출하십시오. export MALLOCMULTIHEAP=heaps:n (n = 해당 LDAP 호스트 기계의 프로세서 수 + 1) 4. LDAP 서버를 시작하십시오. ===================================================== 4.3.2 iPlanet/Netscape LDAP 서버 조정 iPlanet/Netscape Directory 서버를 사용 중이면, 해당 제품에 대해 사용 가능한 문서에서 성능 조정 정보 및 팁을 검토하십시오. 특히, 2001년 5월 날짜의 "iPlanet Directory Server Performance Tuning Guide"에는 "Top 10 List of Performance Tuning Tips"가 있습니다. 스키마는 iPlanet/Netscape Directory 서버를 사용할 때 수동으로 색인화해야 합니다. iPlanet/Netscape Directory 서버는 데이터를 메모리에 캐시합니다. 이러한 인메모리 캐시 역시 조정 가능합니다. 예제 단계 - iPlanet/Netscape LDAP 다음 DCE LDAP 속성을 동일한 색인 속성으로 구성하십시오. - krbRealmName-v2 - krbPrincipalName - krbPolicyName - krbKeyVersion - dceDirName - dceXattrName - dceGroupName - dceUUID - unixID DCE LDAP 이주를 수행하기 전에 iPlanet/Netscape LDAP를 사용하여 최대 항목 캐시 크기 및 데이터베이스 캐시 크기 값을 계산하여 설정하십시오. 항목 캐시 크기(cachesize)는 캐시의 메모리 크기가 아니라 캐시 당 항목 수를 지정합니다. 기본 규칙은 캐시 메모리의 75%를 dbcachesize 전용으로 지정하고 25%를 항목 캐시 크기로 지정하는 것입니다. "The iPlanet Market Maker 1.0 Deployment Guide"의 6장, "Performance Tuning and Monitoring"를 참조하십시오. LDAP 서버 구성 파일에서 cachesize 및 dbcachesize가 새 값을 갖도록 갱신해야 합니다. LDAP 서버를 다시 시작하여 이전 조정 사항을 적용하십시오. iPlanet/Netscape에 대한 4.13, 5.0 및 기타 권장사항 조정에 대해서는 http://docs.iplanet.com/docs/manuals/directory.html를 참조하십시오. ===================================================== 4.4 하드웨어 고속 기계 및 추가 메모리는 이 기능을 테스트할 때 성능에서 상당한 차이를 보입니다. IBM 테스트 시나리오는 보안 레지스트리에 LDAP를 사용하는 DCE 셀의 성능이 LDAP를 실행하는 시스템의 용량과 직접 관련이 있음을 보여줍니다. IBM 스트레스 테스트는 LDAP/DB2 서버 기계로 4GB의 메모리가 있는 IBM eServer pSeries(TM) 620 모델 6F1을 사용하여 실행되었습니다. LDAP 및 DB2 캐시에 모두 충분한 메모리가 필요합니다. 권장되는 최소 메모리 구성은 128MB입니다. I/O 성능 개선을 위해 LDAP/DB2 서버 기계에 드라이브를 추가할 것을 고려하십시오. I/O에서 대기하는 데 소요되는 시간 백분율을 감시할 수 있습니다(예를 들어, vmstat 유틸리티 사용). 0%가 아니면, 데이터베이스가 I/O 바인드될 것을 암시할 수 있습니다. 이는 LDAP가 효율적으로 채워지고 있음을 표시할 수 있습니다. I/O 대기 시간이 0%에 도달할 때까지 데이터베이스 버퍼 크기를 늘리는 것이 일반적으로 가장 효율적인 방법입니다. ===================================================== 4.5 네트워크 동일한 기계에서 LDAP 서버와 DCE 보안 이주 서버를 실행하면 성능을 향상시킬 수 있습니다. 특히 이주 중에는 더욱 성능이 향상됩니다. 네트워크를 거쳐 SSL을 사용하면 중요한 성능 영향을 미칠 수 있습니다. 전파 및 갱신 활동 횟수가 증가할 수도 있습니다. ===================================================== 4.6 초기 이주 기대 사항 이주 서버를 경유하여 LDAP로 보안 레지스트리를 초기 이주시키면 레거시 복제본의 초기화보다 현저하게 많은 시간이 소요됩니다. 10,000 프린시펄/계정 레지스트리 환경에서 레거시 복제본으로 이주하는 데 몇 분이 소요되는 반면, LDAP 환경에서는 거의 15시간이 소요될 수 있습니다. ===================================================== 4.7 DCE 응용프로그램 고려사항 하이브리드 셀, 복제, 특히 보안 정보 전파 시 LDAP 데이터베이스에 도달하는 데 많은 시간이 소요될 수 있습니다. 보안 정보를 갱신하고 즉시 그 데이터에 액세스하는 고객 응용프로그램은 "레지스트리 오브젝트를 찾을 수 없음" 오류를 생성할 수 있습니다. 오류 발생 원인은 정보를 LDAP에 가져오는 데 필요한 전파 지연입니다. 몇 가지의 방법으로 이러한 문제점을 완화시킬 수 있습니다. 한 가지 방법은 pe_site 파일을 사용하는 것입니다. TRY_PE_SITE 환경 변수를 사용하고, LDAP 이주 서버가 pe_site 파일에서 첫 번째 항목이 되지 않도록 보안 서버의 순서를 지정하십시오. 그러면 응용프로그램은 전파 지연이 중요하지 않은 레거시 secd 서버에 바인드합니다. 또 다른 방법은 기존 응용프로그램에 코드를 추가하여 전파에 필요한 시간이 갱신되도록 허용한 후 오류 발생 시 재시도하도록 하는 것입니다. 셀이 완전히 LDAP에 이주되고 나면 전파는 더 이상 발생하지 않습니다. ===================================================== 4.8 사용자 작업(로그인, 암호 변경) IBM은 LDAP 서버에 대한 복수 연결 지원을 구현하여, 동시 로그인 활동의 성능을 향상시켰습니다. 환경 변수 MAX_CONNECTIONS에 대한 설명은 앞의 "secd 조정" 절을 참조하십시오. 사용자는 암호를 변경한 후 바로 로그인할 경우에 간혹 전파 지연을 경험할 수 있습니다. 초기 실패는 암호 변경이 아직 LDAP에 전파되지 않아서 발생할 수 있습니다. 사용자가 다시 시도하면 로그인되어야 합니다. ===================================================== 4.9 관리자 작업(사용자 작성, 사용자 삭제) "dcecp -c user create" 명령이 찾기를 수행하는 방식으로 인해 관련 단계를 별도로 수행하는 것보다 LDAP에서 수행하는 것이 보통 속도가 느려집니다. 다음과 같은 개별 dcecp 명령을 대신 실행하는 것이 바람직합니다. principal create group create org create group add member org add member account create "dcecp -c user delete"에 대해서도 마찬가지입니다. "dcecp -c user create" 명령을 사용하는 스크립트를 실행할 경우, 앞의 "DCE 응용프로그램 고려사항" 절에 있는 pe_site 설명을 참조하십시오. pe_site 파일을 사용하여 요청을 레거시 secd 서버에 "보내어" 이주 도중 이주 서버로부터 분리하면 전파 지연이 어느 정도 완화될 수 있습니다. ===================================================== 5.0 로케일 고려사항 ===================================================== 5.1 UTF-8에 대한 Solaris LDAP 클라이언트 문제점(Solaris만 해당) Solaris용 IBM SecureWay Directory V3.2.1 클라이언트는 E-fix 3.2.1-SWD-005가 설치된 UTF-8 로케일에서 실행되도록 지원합니다. Solaris UTF-8 로케일에서 E-fix를 설치하지 않고 실행하는 동안 DCE를 사용하려고 하면, DCE는 다음과 유사한 LDAP 인코딩 오류로 실패합니다. 2001-07-09-15:47:53.898-05:00I----- secd ERROR sec ldap ldap_errors.c 666 0xfe8af9bc msgID=0x17122F9F ldap_simple_bind_s returned LDAP_ENCODING_ERROR during rgy_bind_to_ldap_server (1134). ===================================================== 5.2 지원되지 않는 로케일 설정에 관련된 LDAP 실패 IBM SecureWay Directory V3.2.1 클라이언트는 운영체제의 로케일 환경 변수 LANG 및 LC_ALL이 국지 호스트 기계에서 지원되지 않는 값으로 설정될 경우 올바르게 실행되지 않습니다. 설정이 올바르지 않으면 다음과 유사한 DCE 오류를 발생시키는 LDAP 오류를야기합니다. 2001-11-02-14:29:12.435-06:00I----- secd ERROR sec ldap ldap_errors.c 666 0xfea8f904 msgID=0x17122F9F ldap_simple_bind_s returned LDAP_ENCODING_ERROR during rgy_bind_to_ldap_server (1332). 2001-11-02-14:29:12.814-06:00I----- secd ERROR sec rs_ns rs_master_LDAP.c 550 0xfea8fbac msgID=0x17122084 Invalid data record 이러한 문제점을 해결하려면, LANG and LC_ALL 값을 기계에서 지원되는 값으로 설정하십시오. 현재 로케일 설정을 보려면 운영체제 "locale" 명령을 DCE 세션에서 실행하십시오. AIX에서 "locale -a" 명령은 로케일 기계에 대한 유효한 로케일 설정을 보여줍니다. 현재 로케일 설정이 나열되지 않으면, LANG 및 LC_ALL을 나열된 값으로 재설정해야 합니다. Solaris에서는 운영체제가 시스템 명령을 실행하는 동안 경고 메시지 "로케일을 올바르게 설정할 수 없음"을 표시하므로 올바르지 않은 설정을 발견할 수 있습니다. ===================================================== 6.0 필요한 레지스트리 버전 수정 ===================================================== 6.1 LDAP 마스터로 이주하기 전에 모든 복제본의 레지스트리 버전 번호가 같은지 확인 LDAP 마스터로 이주하기 전에, DCE 보안 레지스트리 버전을 1.3로 높여야 합니다. 따라서 두 버전을 수정해야 하므로, LDAP 마스터로 이주하기 전에 모든 복제본의 버전 번호가 동일한지 확인해야 합니다. 계속하기 전에 모든 복제본에 대해 갱신이 발생했는지 검증하기 위해 "lr -all"을 실행해야 합니다. "sec_admin" 명령을 발행한 후 "lr -all"을 입력하십시오. 모든 복제본이 1.3 버전이고 일련 번호가 같으면, LDAP 마스터로 이주해도 안전합니다. ===================================================== 6.2 Registry modify -version 명령이 일련 번호가 일치할 때까지 대기 DCE의 이전 릴리스에서는 짧은 시간 내에 레지스트리 버전을 두 번 수정하는 것은 일반적인 상황이 아니었습니다. DCE 3.2에서 LDAP 기능을 사용하기 위해 이주할 경우, 셀 레지스트리 버전이 아직 secd.dce.1.2.2a가 아니면(공용 키의 경우), 최소한 두 번은 레지스트리 버전을 수정해야 합니다. secd.dce.1.2.2 to secd.dce.1.2.2a 및 secd.dce.1.2.2a to secd.dce.1.3에서 버전 수정 DCE는 한 번에 두 개 이상의 버전이 이동하는 것을 지원하지 않으므로, 또 다른 버전에 대한 변경을 초기화하기 전에 하나의 버전에 대한 변경을 완전히 수행할 수 있는 시간이 필요합니다. 보안 복제본은 두 번째가 시작되기 전에 전파를 사용하여 첫 번째 버전 변경을 처리해야 합니다. 그렇지 않으면 보안 복제본이 한 번에 여러 버전에 의해 버전이 변경됨을 표시하는 오류를 리턴합니다. 레지스트리 버전을 변경하기 전에, 부속 명령 lr -all과 함께 sec_admin을 사용하여 모든 보안 복제본 일련 번호가 최근 번호인지 검증하십시오. 모든 일련 번호가 일치하면, 레지스트리 버전이 안전하게 변경될 수 있습니다. 이러한 확인은 각각의 "dcecp -c registry modify -version" 명령 이전에 수행하십시오. "dcecp -c registry modify -version" 명령은 sec_rgy_wait_until_consistent를 사용하여 이러한 확인을 자체로 시도합니다. 이 명령은 버전 갱신을 처리하기 전에 복제본에 모든 갱신사항이 적용될 때까지 마스터가 대기하도록 강요합니다. 보안 복제본의 일부가 최근 것이 아니면, 다음 메시지가 표시됩니다. "sec_rgy_wait_until_consistent"가 완료될 때까지 최대 600초까지 기다리십시오. 이 메시지는 dcecp가 sec_rgy_wait_until_consistent 리턴을 위해 15초 이상을 기다려야 할 경우에 표시됩니다. sec_rgy_wait_until_consistent API가 리턴되지 않으면 10분 후에 dcecp가 시간종료됩니다. 이러한 상황이 발생하면, 다음 메시지가 표시됩니다. 0x11315bbd 소프트웨어가 "sec_rgy_wait_until_consistent" 완료를 기다리는 중에 시간종료되었습니다. 버전 = secd.dce.1.2.2a 레지스트리 버전이 갱신되기 전후에 sec_rgy_wait_until_consistent에서 dcecp가 시간종료되었는지 알 수 있도록 현재 레지스트리 버전이 표시됩니다. 표시되는 버전이 원하는 버전이 아니면, 몇 분 동안 기다렸다가 다시 레지스트리를 수정하도록 하십시오. 대부분의 경우 "dcecp -c registry modify -version" 명령은 버전 갱신이 모든 보안 복제본에 전파되도록 기다립니다. dcecp가 일부 보안 복제본에서 모든 갱신사항이 확보되지 못했음을 감지 못하는 경우가 있습니다. 예를 들어, 마스터 보안 서버가 갱신을 넣었지만 복제본이 처리하지 못했거나 복제본이 현재 실행 중 상태가 아닐 경우에 그렇습니다. 모든 보안 복제본이 최신 버전이 되기 전에 레지스트리 버전을 갱신하면, 일부 복제본에서 버전 오류가 보고될 수 있습니다. 오류를 보고하는 보안 복제본 서버가 레거시 보안 복제본이면, 그 복제본을 다시 구성해야 합니다. 오류를 보고하는 보안 복제본 서버가 LDAP 보안 복제본이면, 오류가 없는 LDAP 슬래이브 또는 이주 슬래이브에서 /opt/dcelocal/var/security/rgy_data/master_info 파일을 복사하십시오. 오류가 발생하면 master_info 파일의 원래 버전을 저장하십시오. ==================================================== 7.0 이주 고려사항 및 가능한 오류 상황 ==================================================== 7.1 레지스트리 이주 시 일부 완전한 매개변수 필요 "dcecp -c registry migrate" 명령에서 -dce_master_key 및 -keyring 매개변수에 완전한 경로 이름이 필요합니다. 매개변수 중 하나에 대해 완전하지 않은 경로 이름이 제공되면, 다음 메시지가 표시됩니다.