========================================================================== SOLARIS용 DCE 3.1 README 추가 정보 (C) COPYRIGHT International Business Machines Corp. 1999 All Rights Reserved Licensed Materials - Property of IBM 이 파일에는 Solaris용 DCE 버전 3.1과 함께 전달된 README 파일에 추가적인 변경사항들이 있습니다. ========================================================================== 내용 A.1 설치, 설치해제, 이주 및 구성 A.1.1 이주시 파일 시스템이 가득 참 A.1.2 세마포어에 대한 시스템 설정값 추가 A.1.3 DCE WebSecure 및 "dceback" 또는 "uninstall" A.1.4 "dcesetup upgrade_uninstall" 이후 웹 서버 시작 실패 A.1.5 PAM(Pluggable Authentication Module) 이주 A.1.6 이주 또는 설치 동안의 사용 중인 포트 135 A.1.7 이주 전 DCE 1.1의 백업 A.1.8 비 영어권 로케일 설치 A.1.9 혼합된 DCE 환경에서의 "dcecp -c show cell" A.1.10 최대 셀 이름 제한 A.1.11 DCEBACK을 사용할 때 경로를 100개의 문자로 제한 A.1.12 새로 구성된 기계상에서 idms 서버 구성의 문제점 A.2 보안 A.2.1 "maxtktrenew" 및 "maxtktlife" 속성 설정 A.2.2 인터셀 및 암호 능력 서버 A.2.3 암호 능력 서버 "mindiff", "histexpire" 및 "histsize" 규칙 A.2.4 이벤트 관리 서비스를 사용한 새로운 DCE 감사 조치 A.2.5 향상된 암호 능력 서버 명령 행 옵션 ================================ A.1 설치, 설치해제, 이주 및 구성 ================================== A.1.1 이주시 파일 시스템이 가득 참 DCE 3.1을 이주하고 Solaris 7을 설치하기 전에, 사용자의 시스템을 백업하고 불필요한 파일들을 제거하는 것이 좋습니다. ======================================== A.1.2 세마포어에 대한 시스템 설정값 추가 DCE를 시작하려고 할 때, 다음과 같은 오류 메시지를 볼 수 있습니다. 디바이스에 남은 공간이 없습니다. 이 메시지는 세마포어 자원이 요구되는 조작에 더 이상 사용할 수 없음을 의미합니다. 세마포어 자원을 추가하려면, /etc/system 파일에 다음과 같은 Solaris 커널 매개변수를 설정하십시오. set semsys:seminfo_semns=100 set semsys:seminfo_semnu=50 set semesys:seminfo_semmsl=50 DCE를 시작하기 전에, 사용자 시스템에 위와 같은 값을 설정하도록 권장합니다. ================================================== A.1.3 DCE WebSecure 및 "dceback" 또는 "uninstall" 이미 구성된 DCE WebSecure Netscape 서버가 있는 경우, 다음 중 하나를 수행하기 전에 먼저 각각의 DCE WebSecure Netscape 서버의 구성을 해제 (rmdceweb)해야 합니다. * uninstall 각 DCE WebSecure Netscape 서버에서 "dcesetup uninstall -all"을 실행하기 전에 "rmdceweb"을 실행함으로써 Netscape 서버 구성 파일에 유효하지 않은 DCE WebSecure 구성 데이타가 남아 있지 않도록 할 수 있습니다. * dceback "dceback restoremisc"을 실행하기 전에 Netscape 서버 구성을 변경하는 경우에는 각 DCE WebSecure Netscape server에 대해 "dceback dumpmisc" 을 실행하기 전에 "rmdceweb"을 실행함으로써 기계에 복원될 DCE WebSecure 구성 데이타가 유효한 상태가 되도록 할 수 있습니다. DCE WebSecure 구성 정보의 일부가 Netscape 구성 파일에 있으며 dceback으로는 백업할 수 없으므로 이 작업은 필수적입니다. "dceback dumpmisc"을 실행한 이후에 Netscape 서버를 다시 설치할 경우에 이런 상황이 발생하게 됩니다. * upgrade_uninstall "dcesetup upgrade_uninstall"이 dceback을 실행하므로 이전 항목의 dceback에 대한 동일한 조건이 upgrade_uninstall에 적용됩니다. "dceback restoremisc"을 실행하기 전에 "dceback dumpmisc"을 실행하고 새로운 DCE WebSecure 서버를 구성한 경우라면, "dceback restoremisc"을 실행하기 전에 추가된 DCE WebSecure 서버의 구성을 해제해야 합니다. 이 구성해제 작업을 수행하지 않는 경우에는 해당 서버에 대한 DCE WebSecure 구성이 상실되며 "rmdceweb"을 사용하여 Netscape 서버의 obj.conf 파일에 있는 DCE WebSecure 항목을 제거할 수 없습니다. ========================================================= A.1.4 "dcesetup upgrade_uninstall" 이후 웹 서버 시작 실패 "dcesetup upgrade_uninstall"이 수행되었을 때 dceweb 서버가 구성된 경우에는 "dcesetup upgrade-install"이 수행될 때까지 dceweb이 구성된 Netscape 서버를 시작할 수 없습니다. 이러한 Netscape 서버 중에서 하나를 시작하려고 시도하는 경우에는 서버의 obj.conf 파일에서 참조되는 dceweb 프로그램이 나타나지 않으며 서버가 시작되지 않습니다. =============================================== A.1.5 PAM(Pluggable Authentication Module) 이주 DCE 제공 라이브러리를 사용하기 위해 PAM(Pluggable Authentication Module) 이 구성된 경우에는 이주 프로세스 동안 시스템을 재부팅하기 전에 /etc/pam.conf 파일을 수정하여 DCE 라이브러리에 대한 모든 참조를 제거해야 합니다. 'dcesetup upgrade_uninstall' 명령을 사용하여 /etc/pam.conf에서 참조되는 DCE 라이브러리를 제거할 수 있습니다. 수정 작업을 하지 않은 경우에는 PAM이 업그레이드 설치 해제 동안 제거된 DCE 라이브러리를 찾으려고 시도하므로 재부팅 이후에는 시스템에 로그인할 수 없습니다. 이주 이후에 PAM을 사용하고자 하는 경우에는 DCE 라이브러리에 대한 참조를 제거하기 전에 /etc/pam.conf의 백업 사본을 작성하십시오. 그런 다음 'dcesetup upgrade_install' 프로세스를 완료한 이후에 다시 복원하십시오. 다음은 UNIX 라이브러리만을 참조하는 Solaris 7에 구성된 기본값 /etc/pam.conf 파일의 예입니다. # # PAM configuration # # Authentication management # login auth required /usr/lib/security/pam_unix.so.1 login auth required /usr/lib/security/pam_dial_auth.so.1 # rlogin auth sufficient /usr/lib/security/pam_rhosts_auth.so.1 rlogin auth required /usr/lib/security/pam_unix.so.1 # dtlogin auth required /usr/lib/security/pam_unix.so.1 # rsh auth required /usr/lib/security/pam_rhosts_auth.so.1 other auth required /usr/lib/security/pam_unix.so.1 # # Account management # login account required /usr/lib/security/pam_unix.so.1 dtlogin account required /usr/lib/security/pam_unix.so.1 # other account required /usr/lib/security/pam_unix.so.1 # # Session management # other session required /usr/lib/security/pam_unix.so.1 # # Password management # other password required /usr/lib/security/pam_unix.so.1 /etc/pam.conf에 있는 DCE 라이브러리 참조를 제거하지 않고 시스템을 재부팅한 경우에는 기본값 로그인으로 시스템에 로그인할 수 없습니다. 이런 경우에는 단일 사용자 모드로 시스템을 재부팅할 수 있습니다. /etc/pam.conf의 백업 사본을 저장하십시오. /etc/pam.conf에서 DCE 라이브러리에 대한 참조를 제거하십시오. 정상 모드로 다시 부팅하십시오. 로그인하여 이주 작업의 나머지 부분을 완료하십시오. 그런 다음 /etc/pam.conf의 백업 사본을 복원하여 PAM 기능을 다시 작동가능하도록 만드십시오. ============================================== A.1.6 이주 또는 설치 동안의 사용 중인 포트 135 이주 또는 설치 동안, 135 포트가 이미 사용 중이므로 DCED를 시작할 수 없다는 내용의 오류가 표시되는 경우, 그 이유는 사용권 관리자가 이미 이 포트를 사용하고 있기 때문입니다. 해결 방법은 사용권 관리자를 제거한 다음 DCE가 이주된 이후에 다시 시작하는 것입니다. ============================ A.1.7 이주 전 DCE 1.1의 백업 DCE 1.1 upgrade_uninstall은 -backdir 옵션을 사용할 수 없습니다. 이주 전에 현재의 DCE를 백업하려면 수동으로 이 단계를 해야 합니다. 이 백업 단계는 -backdir 옵션을 사용할 수 있는 DCE 2.0을 이주할 때 필요하지 않습니다. 파일은 사용자가 선택한 디렉토리(예, /backup)에 백업이 되어야 합니다. 이 작업은 설치 해제 동안 실패한 경우에 파일을 복구할 수 있도록 하기 위한 예방 차원의 작업입니다. 파일 이름 dceback.cds, dceback.misc 및 dceback.security는 다음과 같이 사용되어야 합니다. dceback dumpcds -host local -destfile /backup/dceback.cds dceback dumpmisc -host local -destfile /backup/dceback.misc dceback dumpsecurity -host local -destfile /backup/dceback.security DCE를 중단하고 DCE 데이타를 백업하고 이전의 DCE 제품의 설치를 지우려면 다음과 같은 명령을 사용하십시오, dcesetup upgrade_uninstall 위의 명령은 재설치된 파일의 목록을 포함하여 이전에 백업된 파일을 일부 변경합니다. 이러한 변경사항을 선택하려면 dceback 명령을 반복하되, 사용자의 선택에 따라 newback 등의 다른 디렉토리를 사용해야 합니다. 주: 방금 DCE 클라이언트를 설치 및 구성하였으며 Solaris용 DCE 버전 3.1, 기본 서비스 CD에서 설치할 예정인 경우, dceback 명령을 두번째로 실행하기 전에 /opt/dcelocal/etc/setup_state 파일을 편집했는지 확인하십시오. "dcesetup upgrade_uninstall"이 실행된 이후에는 setup_state 파일이 "reinstall_components" 항목 내의 모든 구성요소를 나열하게 됩니다. 이 항목에서 "cds" 및 "sec"를 제거한 다음 dceback 명령을 실행하십시오. CDS 및 보안 패키지는 기본 서비스 CD에 포함되어 있지 않습니다. "dcesetup upgrade_install"이 CD에서 찾을 수 없는 패키지를 설치하려고 시도하는 경우에는 실패하게 됩니다. dceback dumpcds -host local -destfile /newback/dceback.cds dceback dumpmisc -host local -destfile /newback/dceback.misc dceback dumpsecurity -host local -destfile /newback/dceback.security 운영체제를 업그레이드한 후, dcesetup upgrade_install 명령을 사용하여 DCE를 다시 설치할 때 두번째 디렉토리(newback)를 지정할 필요가 있습니다. =========================== A.1.8 비 영어권 로케일 설치 Solaris 7에 설치하거나 설치를 해제할 때, 언어 환경 변수는 pkgadd 및 pkgrm에 의해 무시됩니다. 이것은 설치하려는 패키지가 각 나라별 언어로 개발되었다하더라도 설치나 설치해제시 표시되는 모든 메시지가 영어라는 것을 의미합니다. SUN은 이 문제를 고치고 있습니다. 이번에, 수정 사항이 사용가능할 때 알려진 문제가 아니였습니다. 이 문제는 DCE 기능상에는 전혀 영향을 미치지 않습니다. ================================================ A.1.9 혼합된 DCE 환경에서의 "dcecp -c show cell" 혼합된 DCE 환경(예: Transarc DCE 1.1 및 Transarc DCE 2.0의 cds 서버)에서 DCE 1.1 서버에 "dcecp -c show cell"을 호출하는 DCE 3.1 클라이언트는 IP 주소만을 수신하게 됩니다. 정규화된 IP 주소를 받기 위해서는 DCE 클라이언트 및 서버가 같은 DCE 레벨에 있어야 합니다. ======================== A.1.10 최대 셀 이름 제한 DCE 셀을 구성할 때 사용할 수 있는 최대 셀 이름은 최대 파일 크기인 255를 기반으로 하여 계산합니다. DCE에 의해 작성된 최대 크기의 파일 이름은 #_ch.checkpoint<10 digit number>입니다. 이러한 제한사항때문에 셀 이름의 크기는 229 - 로 계산됩니다. 보안 마스터 서버 또는 초기/추가 CDS 서버를 구성할 때 이 제한사항이 강제로 적용됩니다. 기존 셀에 클라이언트 또는 기타 다른 서버를 구성할 때도 최대 셀 이름 크기인 255가 적용됩니다. ===================================================== A.1.11 DCEBACK을 사용할 때 경로를 100개의 문자로 제한 "dceback"은 정규화된 경로를 100개의 문자로 제한하고 있습니다. 이 문제는 Transarc DCE 1.1 및 DCE 2.0에서 이미 알려진 문제이고 현재 이를 고치고 있는 중입니다. 이 수정사항을 얻으려면, Transarc 지원부서에 문의하여 수정사항 문제점 번호 24778을 요청할 수 있습니다. ===================================================== A.1.12 새로 구성된 기계상에서 idms 서버 구성의 문제점 가끔 idms 서버의 구성이 idmsd 키탭을 작성하지 못하는 경우가 있습니다. dced의 초기화가 완료되기 전까지 키 표 항목을 작성할 수 없습니다. 다음 중 한 가지를 수행할 수 있습니다. * rpc, sec_cl, sec_srv (또는 sec_rep) 및 cds_cl을 구성한 후에 idms를 구성하기 전까지 약간의 시간이 필요합니다. 1분에서 5분까지 기다려야 합니다. * /opt/dcelocal/etc/usrstime.tcl을 편집하고 config.dce가 키 표를 작성하여 작업을 성공적으로 끝내기까지 대기하는 시간을 수정하십시오. wait_for_keytab_to_work의 값을 90에서 보다 큰 값으로 초 단위로 입력하십시오. * config.dce이 idms의 구성 동안 실패한 경우에는 "unconfig.dce idms"을 실행하고 잠시 기다린 다음 "config.dce idms" 명령을 다시 실행하십시오. 1분에서 5분까지 기다려야 합니다. ======== A.2 보안 ============================================= A.2.1 "maxtktrenew" 및 "maxtktlife" 속성 설정 dcecp "account modify" 명령을 사용하여 사용자 계정의 "maxtktrenew" 또는 "maxtktlife" 속성의 값을 설정한 경우에는 "msgID=0x17122084 유효하지 않은 데이타 레코드"라는 오류를 수신할 수 있습니다. 사용자가 처음으로 이러한 두 계정 속성 중 하나를 설정할 때 이런 오류가 발생할 수 있으며 이 속성에 유효한 값을 지정한 경우에도 오류 메시지를 수신할 수 있습니다. 처음으로 계정에 "maxtktrenew" 또는 "maxtktlife" 속성을 설정할 때에는 반드시 dcecp "계정 수정" 명령의 두 속성을 모두 지정해야 합니다. 일단 두 속성이 계정에 대해 설정된 후에는 dcecp를 사용하여 각각을 별도로 수정할 수 있습니다. ============================== A.2.2 인터셀 및 암호 능력 서버 인터셀 및 암호 생성을 사용하려면 전체 정준 바인딩(full canonical binding) 및 외부 셀 이름이 사용자에 대해 2 또는 3의 pwd_val_type ERA를 사용하여 pwd_mgmt_binding ERA에서 지정되어야 합니다. 예를 들면, 국지 셀에서 다음과 같이 지정할 수 있습니다. dcecp -c principal modify -add {pwd_mgmt_binding {{ dce /...//pwd_strengthd pktprivay secret name} /...//subsys/dce/pwd_mgmt/pwd_strengthd}} 이 명령은 암호 생성이 필요할 때마다 기본값 국지 셀 대신 의 암호 생성에 을 지시합니다. 인터셀 연결이나 암호 능력 서버의 요구사항에 관한 자세한 정보는 AIX 및 Solaris용 IBM DCE 3.1: 관리 안내서 - 코어 구성요소를 참조하십시오. ================================================================ A.2.3 암호 능력 서버 "mindiff", "histexpire" 및 "histsize" 규칙 현재 암호와 새 암호를 비교하는 "mindiff", "histexpire" 및 "histsize"에 대한 규칙에서, 암호 능력 서버 상의 한 암호 변경은 반드시 규칙이 성공적으로 수행되기 전에 이미 발생되어 있어야 합니다. 확인 루틴은 암호 능력 히스토리 데이타베이스에서 현재 암호를 검색합니다. 현재 암호가 암호 능력 서버를 사용하여 변경되지 않은 경우에는 히스토리 데이타베이스에 존재하지 않습니다. 이런 경우, 새 암호가 공백과 비교되며 조작이 성공적으로 수행되지 않습니다. ===================================================== A.2.4 이벤트 관리 서비스를 사용한 새로운 DCE 감사 조치 감사 서비스에 대해 감사 필터를 수정 및 작성하는 경우에는 새로운 조치인 "ems"를 필터 가이드에 지정할 수 있습니다. "ems"가 필터 가이드의 조치로 지정된 경우에는 감사 이벤트가 이벤트 관리 서비스로 전송될 수 있습니다. 필터 가이드의 "모든" 조치는 이제 "log" 및 "alarm" 조치 외에 새로운 "ems" 조치를 포함하게 되었습니다. DCE 3.1로 이주할 때 DCE의 이전 릴리스에서 감사 필터를 작성하고 "모든" 조치를 지정한 경우에는 조치에 "log"와 "alarm" 조치만 포함되며 "ems"는 제외됩니다. 감사 필터를 작성 또는 수정할 때에는 DCE 코어 서비스(예: 보안 또는 cds) 에 대한 감사 이벤트를 포함하는 "ems" 조치를 필터 가이드 안에 지정하지 않아야 합니다. 그렇지 않으면 감사 필터링을 사용하는 경우에 DCE 코어 서비스가 중단됩니다. ======================================== A.2.5 향상된 암호 능력 서버 명령 행 옵션 이번 DCE 버전은 새롭게 향상된 암호 능력 서버를 제공합니다. 이전 버전의 암호 능력 서버에서 사용가능했던 몇가지 명령 행 옵션이 이번 버전에서는 없어졌습니다. 그러한 옵션들은 다음과 같습니다. +/-all_spaces +/-alpha_num -min_len 이러한 옵션이 호환성 목적으로 확장 서버에서도 계속 작업하기는 하지만 되도록 사용을 피해야 합니다. 대신 확장 서버는 레지스트리에서 유사한 암호 규칙을 판독할 수 있으며 이를 이용하여 사용자 암호를 확인할 수 있습니다. dcecp 명령인 "레지스트리 수정" 및 "조직 수정"을 사용하여 레지스트리 범위 또는 조직에 고유한 암호 방침을 설정하여 이 작업을 수행할 수 있습니다. 최소 길이의 암호를 설정하려면 IBM_pwd_comp_rules ERA에 "minlen" 값을 설정해야 합니다. 향상된 암호 능력 서버 사용자의 암호 규칙 설정 방법에 대한 정보와 예제에 대해서는 AIX 및 Solaris용 IBM DCE 3.1: 관리 안내서 - 코어 구성요소 문서를 참조하십시오. ===========================================================================