SymasLDAP のメンテナンス タスク

ログファイルの場所

SymasLDAP ログファイルは /opt/apigee/var/log ディレクトリにあります。これらのファイルは、ディスク容量を過剰に消費しないように、定期的にアーカイブして削除できます。SymasLDAP ログの維持、アーカイブ、削除に関する情報は、SymasLDAP マニュアルのセクション 19.2（https://kb.symas.com/configuration/logging-configuration）に記載されています。

ユーザーのパスワードを手動で設定する

ユーザーは、新しい Edge UI で新しい Edge パスワードをリクエストできます。その後、パスワードの設定に関する情報が記載されたメールがユーザーに届きます。ただし、SMTP サーバーがダウンしている場合や、なんらかの理由でユーザーがメールを受信できない場合は、SymasLDAP コマンドを使用してユーザーのパスワードを手動で設定できます。

ユーザーのパスワードを設定するには:

1. ldapsearch を使用してユーザー情報をダウンロードします。

   /opt/symas/bin/ldapsearch -w ldapAdminPWord -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -x -H ldap://LDAP_IP:10389 > ldap.txt

2. ldap.txt ファイルでユーザーのメールアドレスを検索します。次のようなブロックが表示されます。

   dn: uid=29383a67-9279-4aa8-a75b-cfbf901578fc,ou=users,ou=global,dc=apigee,dc=com
   mail: foo@bar.com
   userPassword:: e1NTSEF9a01UUDdSd01BYXRuUURXdXN5OWNPRzBEWWlYZFBRTm14MHlNVWc9PQ==
   uid: 29383a67-9279-4aa8-a75b-cfbf901578fc

3. ldappasswd を使用して、ユーザーの uid に基づいてユーザーのパスワードを設定します。

   /opt/symas/bin/ldappasswd -x -H ldap://LDAP_IP:10389 -D "cn=manager,dc=apigee,dc=com" -W -s newPassWord \
     "uid=29383a67-9279-4aa8-a75b-cfbf901578fc,ou=users,ou=global,dc=apigee,dc=com"

   SymasLDAP 管理者パスワードの入力を求められます。

これで、ユーザーは newPassWord を使用してログインできるようになりました。

SymasLDAP システム パスワードを手動で設定する

Edge パスワードのリセットでは、SymasLDAP システム パスワードを変更する方法について説明していますが、既存のパスワードを知っている必要があります。パスワードを紛失した場合は、次の手順でリセットできます。

1. slappasswd を使用して、新しいパスワードの SSHA 暗号化パスワードを作成します。

   /opt/symas/sbin/slappasswd -h {SSHA} -s newPassWord

   このコマンドは、次の形式の文字列を返します。

   {SSHA}+DOup9d6l+czfWzkIvajwYPArjPurhS6

2. エディタで /opt/apigee/data/apigee-openldap/slapd.d/cn=config/olcDatabase={2}mdb.ldif ファイルを開きます。

   vi /opt/apigee/data/apigee-openldap/slapd.d/cn=config/olcDatabase={2}mdb.ldif

3. 次の形式の行を見つけます。

   olcRootPW:: OldPasswordString

4. OldPasswordString は、slappasswd から返された文字列に置き換えます。olcRootPw の後にコロンが 2 つある場合は、1 つを削除し、コロンの後にスペースがあることを確認します。

   olcRootPW: {SSHA}RGon+bLCe+Sk+HyHholFBj8ONQfabrhw

5. SymasLDAP を再起動します。

   /opt/apigee/apigee-service/bin/apigee-service apigee-openldap restart

6. ldapsearch を使用して、新しいパスワードが機能することを確認します。

   /opt/symas/bin/ldapsearch -W -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -x -H ldap://LDAP_IP:10389

   SymasLDAP 管理者パスワードの入力を求められます。

7. レプリケーションに使用されている他の SymasLDAP サーバーでも、上記の手順を繰り返します。
8. 新しいパスワードを使用するように Management Server を更新します。

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_ldap_credentials -p newPassWord

Edge 管理者パスワードを手動で設定する

Edge のパスワードをリセットするでは、Edge システムのパスワードを変更する方法について説明していますが、既存のパスワードを知っている必要があります。Edge システムのパスワードを紛失した場合は、次の手順でリセットできます。

1. 新しい Edge UI ノードで、新しい Edge UI を停止します。

   /opt/apigee/apigee-service/bin/apigee-service edge-management-ui stop

2. ldappasswd を使用して Edge システム管理者のパスワードを設定します。

   /opt/symas/bin/ldappasswd -x -H ldap://localhost:10389 -D "cn=manager,dc=apigee,dc=com" -W -s newPassWord \
     "uid=admin,ou=users,ou=global,dc=apigee,dc=com"

   SymasLDAP 管理者パスワードの入力を求められます。

3. New Edge UI のインストールに使用した構成ファイルを、新しい Edge システムのパスワードで更新します。

   APIGEE_ADMINPW=newPassWord

4. 新しい Edge UI を構成して再起動します。

   /opt/apigee/apigee-setup/bin/setup.sh -p ue -f configFile

5. （New Edge UI で TLS が有効になっている場合のみ）New Edge UI の TLS の構成の説明に従って、New Edge UI で TLS を再度有効にします。

SLAPD ロックファイルを削除する

SymasLDAP の起動時に slapd.pid ロック ファイルが存在するというエラーが表示された場合は、ファイルを削除できます。

このファイルは /opt/apigee/apigee-openldap/var/run/slapd.pid にあります。ファイルを削除して、SymasLDAP の再起動を試します。

/opt/apigee/apigee-service/bin/apigee-service apigee-openldap restart

SymasLDAP が起動しない場合は、デバッグモードで起動してエラーを確認します。

/opt/symas/lib/slapd -h ldap://:10389/ -u apigee -d 255 -F /opt/apigee/data/apigee-openldap/slapd.d

エラーは、リソースの問題、メモリ、CPU 使用率の問題を示している可能性があります。

SymasLDAP レプリケーションの変更

このセクションでは、SymasLDAP レプリケーションを変更する方法について説明します。

次の手順は、データを他の SymasLDAP ノードに複製する SymasLDAP レプリケータ ノードで実行します。たとえば、node1 から node2 へのレプリケーションを設定する場合は、node1 でコマンドを実行します。

1. 現在の状態を確認します。

   /opt/symas/bin/ldapsearch -H ldap://HOST:PORT -LLL -x -b "cn=config" -D "cn=admin,cn=config" -w PASSWORD -o ldif-wrap=no 'olcSyncRepl' | grep olcSyncrepl

   出力例を以下に示します。

   olcSyncrepl: {0}rid=001 provider=ldap://HOST:PORT/ binddn="cn=manager,dc=apigee,dc=com" bindmethod=simple credentials=PASSWORD searchbase="dc=apigee,dc=com" attrs="*,+" type=refreshAndPersist retry="60 1 300 12 7200 +" timeout=1

2. repl.ldif ファイルを作成し、次のコマンドをファイルに貼り付けます。

   dn: olcDatabase={2}mdb,cn=config
   changetype: modify
   replace: olcSyncRepl
       olcSyncRepl: rid=001
       provider=ldap://NEW_HOST:PORT/
       binddn="cn=manager,dc=apigee,dc=com"
       bindmethod=simple
       credentials=PASSWORD
       searchbase="dc=apigee,dc=com"
       attrs="*,+"
       type=refreshAndPersist
       retry="60 1 300 12 7200 +"
       timeout=1

   次のプレースホルダは適切な値に置き換えてください。

   • NEW_HOST: レプリケーションを計画している新しい SymasLDAP ホスト。
   • PORT: SymasLDAP ポート。デフォルトのポートは 10389 です。
   • PASSWORD: SymasLDAP のパスワード。
3. ldapmodify コマンドを実行します。

   /opt/symas/bin/ldapmodify -x -w PASSWORD -D "cn=admin,cn=config" -H "ldap://HOST:PORT/" -f repl.ldif

   出力例を以下に示します。

   modifying entry "olcDatabase={2}mdb,cn=config"

4. レプリケーションを検証します。

   /opt/symas/bin/ldapsearch -H ldap://HOST:PORT -LLL -x -b "cn=config" -D "cn=admin,cn=config" -w PASSWORD -o ldif-wrap=no 'olcSyncRepl' | grep olcSyncrepl

   出力例を以下に示します。

   olcSyncrepl: {0}rid=001 provider=ldap://NEW_HOST:PORT/ binddn="cn=manager,dc=apigee,dc=com" bindmethod=simple credentials=PASSWORD searchbase="dc=apigee,dc=com" attrs="*,+" type=refreshAndPersist retry="60 1 300 12 7200 +" timeout=1

   レプリケーションが正しく機能していることを確認するには、各サーバーから contextCSN 値を読み取って比較し、一致していることを確認します。

   /opt/symas/bin/ldapsearch -w PASSWORD -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -x -H ldap://localhost:10389 contextCSN | grep contextCSN

SymasLDAP レプリケーションの問題のトラブルシューティング

インストールで複数の SymasLDAP サーバーを使用している場合は、レプリケーション設定を確認して、サーバーが正しく機能していることを確認できます。

1. ldapsearch が各 SymasLDAP サーバーからデータを返すことを確認します。

   /opt/symas/bin/ldapsearch -W -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -x -H ldap://LDAP_IP:10389

   SymasLDAP 管理者パスワードの入力を求められます。

2. /opt/apigee/data/apigee-openldap/slapd.d/cn=config/olcDatabase={2}mdb.ldif ファイルを調べて、レプリケーション構成を確認します。
3. 各 OpenLDAP サーバーでシステム パスワードが同じであることを確認します。
4. iptables と tcp ラッパーの設定を確認します。