Задачи по обслуживанию SymasLDAP

Расположение файла журнала

Файлы журналов SymasLDAP находятся в каталоге /opt/apigee/var/log. Эти файлы можно периодически архивировать и удалять, чтобы они не занимали слишком много места на диске. Информацию о ведении, архивировании и удалении журналов SymasLDAP можно найти в разделе 19.2 руководства по SymasLDAP на странице https://kb.symas.com/configuration/logging-configuration.

Как задать пароль пользователя вручную

Пользователи могут запросить новый пароль Edge в новом интерфейсе Edge. Пользователь получит электронное письмо с информацией о том, как задать пароль. Однако если SMTP-сервер не работает или пользователь по какой-либо причине не может получить электронное письмо, вы можете вручную задать пароль пользователя с помощью команд SymasLDAP.

Чтобы задать пароль пользователя:

  1. Используйте ldapsearch, чтобы скачать информацию о пользователях: 
    /opt/symas/bin/ldapsearch -w ldapAdminPWord -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -x -H ldap://LDAP_IP:10389 > ldap.txt
  2. Найдите в файле ldap.txt адрес электронной почты пользователя. Вы увидите блок в форме: 
    dn: uid=29383a67-9279-4aa8-a75b-cfbf901578fc,ou=users,ou=global,dc=apigee,dc=com
mail: foo@bar.com
userPassword:: e1NTSEF9a01UUDdSd01BYXRuUURXdXN5OWNPRzBEWWlYZFBRTm14MHlNVWc9PQ==
uid: 29383a67-9279-4aa8-a75b-cfbf901578fc
  3. Используйте ldappasswd, чтобы задать пароль пользователя на основе его UID: 
    /opt/symas/bin/ldappasswd -x -H ldap://LDAP_IP:10389 -D "cn=manager,dc=apigee,dc=com" -W -s newPassWord \
  "uid=29383a67-9279-4aa8-a75b-cfbf901578fc,ou=users,ou=global,dc=apigee,dc=com"

    Вам будет предложено ввести пароль администратора SymasLDAP.

Теперь пользователь может войти в систему, используя newPassWord.

Как вручную задать системный пароль SymasLDAP

В разделе Сброс паролей Edge описывается, как изменить системный пароль SymasLDAP, но для этого необходимо знать существующий пароль. Если вы забыли пароль, его можно сбросить, выполнив следующие действия.

  1. Чтобы создать зашифрованный пароль SSHA для нового пароля, используйте slappasswd: 
    /opt/symas/sbin/slappasswd -h {SSHA} -s newPassWord

    Эта команда возвращает строку в следующем формате: 

    {SSHA}+DOup9d6l+czfWzkIvajwYPArjPurhS6
  2. Откройте файл /opt/apigee/data/apigee-openldap/slapd.d/cn=config/olcDatabase={2}mdb.ldif в редакторе: 
    vi /opt/apigee/data/apigee-openldap/slapd.d/cn=config/olcDatabase={2}mdb.ldif
  3. Найдите в форме следующую строку: 
    olcRootPW:: OldPasswordString
  4. Замените OldPasswordString строкой, возвращенной из slappasswd. Если после olcRootPw указано два двоеточия, удалите одно из них и убедитесь, что после двоеточия есть пробел: 
    olcRootPW: {SSHA}RGon+bLCe+Sk+HyHholFBj8ONQfabrhw
  5. Перезапустите SymasLDAP: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap restart
  6. Проверьте, работает ли новый пароль, с помощью ldapsearch: 
    /opt/symas/bin/ldapsearch -W -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -x -H ldap://LDAP_IP:10389

    Появится запрос на ввод пароля администратора SymasLDAP.

  7. Повторите эти шаги на всех остальных серверах SymasLDAP, которые используются для репликации.
  8. Обновите сервер управления, чтобы использовать новый пароль: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_ldap_credentials -p newPassWord

Как вручную задать пароль администратора Edge

В статье Как сбросить пароли Edge описано, как изменить системный пароль Edge, но для этого нужно знать текущий пароль. Если вы потеряли системный пароль Edge, его можно сбросить, выполнив следующие действия.

  1. На узле New Edge UI остановите New Edge UI: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui stop
  2. Используйте ldappasswd, чтобы задать пароль системного администратора Edge: 
    /opt/symas/bin/ldappasswd -x -H ldap://localhost:10389 -D "cn=manager,dc=apigee,dc=com" -W -s newPassWord \
  "uid=admin,ou=users,ou=global,dc=apigee,dc=com"

    Появится запрос на ввод пароля администратора SymasLDAP.

  3. Обновите файл конфигурации, который вы использовали для установки нового пользовательского интерфейса Edge, указав новый системный пароль Edge: 
    APIGEE_ADMINPW=newPassWord
  4. Настройте и перезапустите новый интерфейс Edge: 
    /opt/apigee/apigee-setup/bin/setup.sh -p ue -f configFile
  5. (Только если TLS включен в новом интерфейсе Edge) Повторно включите TLS в новом интерфейсе Edge, как описано в статье Настройка TLS для нового интерфейса Edge.

Удалите файл блокировки SLAPD

Если при попытке запустить SymasLDAP появляется сообщение об ошибке, указывающее на то, что существует файл блокировки slapd.pid, вы можете удалить этот файл.

Он находится в каталоге /opt/apigee/apigee-openldap/var/run/slapd.pid. Удалите файл и попробуйте перезапустить SymasLDAP:

/opt/apigee/apigee-service/bin/apigee-service apigee-openldap restart

Если SymasLDAP не запускается, попробуйте запустить его в режиме отладки и проверьте наличие ошибок:

/opt/symas/lib/slapd -h ldap://:10389/ -u apigee -d 255 -F /opt/apigee/data/apigee-openldap/slapd.d

Ошибки могут указывать на проблемы с ресурсами, памятью или использованием ЦП.

Изменение репликации SymasLDAP

В этом разделе объясняется, как изменить репликацию SymasLDAP.

Выполните описанные ниже действия на узле репликатора SymasLDAP, который реплицирует свои данные на другой узел SymasLDAP. Например, если вы настраиваете репликацию с узла node1 на узел node2, выполните команды на узле node1.

  1. Проверьте текущий статус: 
    /opt/symas/bin/ldapsearch -H ldap://HOST:PORT -LLL -x -b "cn=config" -D "cn=admin,cn=config" -w PASSWORD -o ldif-wrap=no 'olcSyncRepl' | grep olcSyncrepl

    Выходные данные должны быть похожи на эти:

    olcSyncrepl: {0}rid=001 provider=ldap://HOST:PORT/ binddn="cn=manager,dc=apigee,dc=com" bindmethod=simple credentials=PASSWORD searchbase="dc=apigee,dc=com" attrs="*,+" type=refreshAndPersist retry="60 1 300 12 7200 +" timeout=1
  2. Создайте файл repl.ldif и вставьте в него следующие команды: 
    dn: olcDatabase={2}mdb,cn=config
changetype: modify
replace: olcSyncRepl
    olcSyncRepl: rid=001
    provider=ldap://NEW_HOST:PORT/
    binddn="cn=manager,dc=apigee,dc=com"
    bindmethod=simple
    credentials=PASSWORD
    searchbase="dc=apigee,dc=com"
    attrs="*,+"
    type=refreshAndPersist
    retry="60 1 300 12 7200 +"
    timeout=1

    Замените значения следующих плейсхолдеров:

    • NEW_HOST – новый хост SymasLDAP, на который вы планируете выполнить репликацию.
    • PORT – порт SymasLDAP. Порт по умолчанию – 10389.
    • PASSWORD – пароль SymasLDAP.
  3. Выполните команду ldapmodify: 
    /opt/symas/bin/ldapmodify -x -w PASSWORD -D "cn=admin,cn=config" -H "ldap://HOST:PORT/" -f repl.ldif

    Выходные данные должны быть похожи на эти:

    modifying entry "olcDatabase={2}mdb,cn=config"
  4. Проверьте репликацию: 
    /opt/symas/bin/ldapsearch -H ldap://HOST:PORT -LLL -x -b "cn=config" -D "cn=admin,cn=config" -w PASSWORD -o ldif-wrap=no 'olcSyncRepl' | grep olcSyncrepl

    Выходные данные должны быть похожи на эти: 

    olcSyncrepl: {0}rid=001 provider=ldap://NEW_HOST:PORT/ binddn="cn=manager,dc=apigee,dc=com" bindmethod=simple credentials=PASSWORD searchbase="dc=apigee,dc=com" attrs="*,+" type=refreshAndPersist retry="60 1 300 12 7200 +" timeout=1

    Чтобы убедиться, что репликация работает правильно, прочитайте и сравните значение contextCSN на каждом сервере. Они должны совпадать.

    /opt/symas/bin/ldapsearch -w PASSWORD -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -x -H ldap://localhost:10389 contextCSN | grep contextCSN

Устранение неполадок с репликацией SymasLDAP

Если в вашей установке используется несколько серверов SymasLDAP, вы можете проверить настройки репликации, чтобы убедиться, что серверы работают правильно.

  1. Убедитесь, что ldapsearch возвращает данные с каждого сервера SymasLDAP: 
    /opt/symas/bin/ldapsearch -W -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -x -H ldap://LDAP_IP:10389

    Вам будет предложено ввести пароль администратора SymasLDAP.

  2. Проверьте конфигурацию репликации, изучив файл /opt/apigee/data/apigee-openldap/slapd.d/cn=config/olcDatabase={2}mdb.ldif.
  3. Убедитесь, что на каждом сервере OpenLDAP используется один и тот же системный пароль.
  4. Проверьте настройки iptables и tcp wrapper.