おウチで nis+

□NIS+ ってナニよっ？

○nis とは大違いってことで

Solaris2.0 からだったかにバンドルされるようになった、新しいネーミングサービスで、それまで使われていた NIS に置き換わるもの、としてリリースされたようです。
NIS+ は NIS の上位互換などとゆう位置づけではなく、まったくベツモノのネーミングサービスで、一部の例外を除いては、お互いに互換性はありません。
NIS+ サーバは、 NIS クライアントのリクエストに答えられませんし、テーブルを見せることもできません。

○NIS+の良いトコロ

大規模なネットワークでテーブルを分散して置いておける
kerberos5 と DES による強力な暗号化とセキュリティ
BIND 構造のサポート
サブネットを越えた NIS+ サーバへのリクエストができる
テーブルに対して、きめ細かいアクセス制御ができる

ってなトコです。一見、すると、良いことづくめの機能のような気がしますが、反面、管理や設定がコムズカシく、(メンドくはないと思います)中々、理解できなくて、結局は、イマイチ世の中には広まらなかったイワクつきの (笑)ネーミングサービスです。
Solaris2.6 アタリまでは、 NIS+ のみバンドルしていて、 NIS はアンバンドルされていたんですけれども、Solaris 7 アタリで、最終的には、 NIS も NIS+ も両方バンドルしたようです。

Solaris8 では、両方使えますよ。

□動作モードはどーしよーか？

○できれば NIS 互換にしたいよね

基本的に NIS と NIS+ の間に互換性はないのですが、設定しだいで互換性を保つことができるようになります。その名も

NIS コンパチビリティモード

まんまな名前ですね(^_^;)。ネットワーク中に NIS+ クライアントになれないとか、移行できない事情のあるクライアントがある場合は、このモードで NIS+ マスタサーバを動かしておけば良いでしょう。
ただし、デメリットがあります。NIS は、まったくセキュリティを確保していないので、 NIS+ のウリのひとつである、「kerberos5 と DES による強力な暗号化とセキュリティ」が、アマクなります。
NIS クライアントとの通信がバレバレだからねー。

んで、このモードは、NIS+ マスタサーバの構築時のコマンドにオプションを付けて、/etc/rc2.d/S71rpc アタリを書き換えることで「NIS コンパチビリティモード」になります。具体的な説明は、もう少しあとで・・・・

□NIS+ の構築とメンテに使うコマンド

○いっぱいあるよ

nis+ コマンド
/usr/lib/nis	/usr/bin	/usr/sbin
nisaddent nisclient nisopaccess nispopulate nissetup nisstat nisauthconf nisctl nisping nisserver nisshowcache nisupdkeys	nisaddcred nischmod nisdefaults nisgrpadm nismatch nispath nisrmdir niscat nischown niserror nisln nismkdir nisprefadm nistbladm nischgrp nischttl nisgrep nisls nispasswd nisrm nistest	nis_cachemgr nisbackup nisinit nislog nisrestore

などなど・・・が、あります。ちゃんとインストールされていましたか？

いまさら、ないとかってゆーなよなっ！

□NIS+ マスタサーバを構築するぞっ！

○騙されたと思ってこのコマンドを叩けっ！(笑)

細かいハナシや理論はオンラインマニュアルに任せて・・・・
任せてどーするっつーツッコミはナシ(笑)。
最低限、構築してゆくのに必要なコマンドと手順を列記してゆきます。

○NIS+ マスタサーバのマシンでやっておくこと

NIS+ ドメインネームを決める
テーブルのファイルをカキ集めて適当なトコにコピーしておく
テーブルの内容を必要に応じて編集
/usr/lib/nis/nisserver -r -Y -d hoge.local.jp
/usr/lib/nis/nispopulate -F -d hoge.local.jp -p テーブルのレポジトリ

ってなトコかな？順番にいってみやうっ！

○NIS+ ドメインネームを決める

お好きなドメインネームをどうぞ(笑)ただ、 DNS と同じドメインネームにしておくと、混乱しにくくて良いぞっ！って、Sun Microsystems が推奨しているので、素直にそーしたほうが良いでしょう。えっっ？ BIND なんて動いてねーよって？。そん時は、 BIND を NIS+ と同じドメインネームにしましょう(爆)

○テーブルのファイルをカキ集めて適当なトコにコピーしておく

NIS+ でクライアントに提供できるテーブルは、こんなのものがあります。

見たっ？？んで、/var/nis/map とかってゆー適当なディレクトリを作って、テーブルの元のファイルを格納しておくとこを作って、コピーしまくりましょう。


cp /etc/auto_master /var/nis/map cp /etc/auto_home /var/nis/map cp /etc/TIMEZONE /var/nis/map/timezone cp /etc/inet/ipnodes /var/nis/map cp /etc/bootparams /var/nis/map cp /etc/netconfig /var/nis/map cp /etc/security/prof_attr /var/nis/map cp /etc/user_attr /var/nis/map cp /etc/mail/aliases /var/nis/map cp /etc/ethers /var/nis/map cp /etc/netgroup /var/nis/map cp /etc/protocols /var/nis/map cp /etc/security/audit_user /var/nis/map cp /etc/security/exec_attr /var/nis/map cp /etc/netmasks /var/nis/map cp /etc/rpc /var/nis/map cp /etc/security/auth_attr /var/nis/map cp /etc/group /var/nis/map cp /etc/networks /var/nis/map cp /etc/services /var/nis/map cp /etc/hosts /var/nis/map cp /etc/passwd /var/nis/map cp /etc/shadow /var/nis/map

とかしてコピーして下さい。コピーが終わったら構築するぞっ！コマンドは・・・・

# /usr/lib/nis/nisserver -r -Y -d hoge.local.jp

です。オプションの意味は、

-r :マスタサーバとする
-Y :NIS-compatibility MODE で動作させる
-d :ドメインネーム

ってことです。ここでやってるのは、マスタサーバの設定と、テーブルの ”型”を作ることです。この処理が終わっても、テーブルの中身は、まだカラッポです。テーブルの中身に実体を作るのは、この次の処理になります。

この処理中に、/etc/defaultdomain が作られたり、 /etc/nsswitch.conf が NIS+ 用に書き換えられたりもします。

ホイ、次は、ポピュレートね。nisserver コマンドでテーブルの”型”を作ったら、次は、中身を入れましょう。それが　 /usr/lib/nis/nispopulate コマンドです。コマンドは・・・

# /usr/lib/nis/nispopulate -F -d hoge.local.jp -p /var/nis/map

です。オプションの意味は、

-F :ファイルからテーブルの実体を生成する
-d :ドメインネーム
-p :実体にするテーブルのファイルのレポジトリ

です。これで、マスタサーバの構築は終わり。でも、クライアントのアクセス許可の設定はまだまだあるよ。あと、NIS+ の daemon を起動するスクリプトも書き換えないとイケマセン。

/etc/init.d/rpc と、 /etc/rc2.d/S71rpc を書き換えましょう。書き換えるトコは両方ともいっしょです。テキストエディタで開いてもらっといて、

#EMULYP="-Y"

ってトコを探して下さい。みての通り、ここの行は、デフォルトではコメントアウトされています。ここのコメントを取って、さらに

"-B"

を書き加えて下さい。編集後は

EMULYP="-Y -B"

と、こんな感じになります。この編集を、/etc/init.d/rpc と、 /etc/rc2.d/S71rpc の 2 つのファイルにやって下さい。これで、 NIS+ マスタをリブートした場合なんかに、NIS コンパチビリティモードで rpc.nisd が起動して、 NIS クライアントのリクエストにも応えられるようになります。

□DES Key を発行しやう

○暗号化の為に

NIS+ のウリのひとつである、暗号化の為に、DES Key ってヤツを発行しておきます。とりあえず、

このコマンドたたいとけっ！

# nisaddcred des
# nisgrpadm -c admin.hoge.local.jp.
# nisgrpadm -a admin.hoge.local.jp. server.hoge.local.jp
# /usr/lib/nis/nisupdkeys hoge.local.jp.
# /usr/lib/nis/nisupdkeys org_dir.hoge.local.jp.
# /usr/lib/nis/nisupdkeys groups_dir.hoge.local.jp.

ドメインネームの後ろにピリオドを付けたり、付けなかったりしてるので、そのヘンのトコ、気を付けるよーに。あと、3 行目のコマンド中の "server" は、 NIS+ マスタサーバのホストネームです。

まんま server っていれるなよなっ！

んで、 NIS キャッシュマネージャを再起動します。

# nis_cachemgr
# ps -ef | grep rpc.nisd
# kill -9 nis_cachemgr の pid
# rpc.nisd -Y -B

□admin の設定をするぞっ！

○adminの設定

# nisaddcred -p xxxx -P hogeadmin.hoge.local.jp. local
# nisaddcred -p unix.xxxx@hoge.local.jp -P hogeadmin.hoge.local.jp. des
# nisgrpadm -a admin.hoge.local.jp. hogeadmin.hoge.local.jp

ってなとこだっ。オプションの

xxx :admin になる人の uid
hogeadmin: admin になる人のlogin ネーム

です。ここも、ドメインネームの後ろにピリオドが付いたり付かなかったりするのでちぅいして下さい。

□ここで、ちょこっと実験

○カンタンな動作テスト

NIS+ マスタサーバで、

# niscat hosts.org_dir

とかやって見て下さい。テーブルの中身が表示されませんか・・・・？ hosts.org_dir :unreachable ってメッセージが表示されたときは、ザンネンながら、 DES Key の暗号がうまく復元できていません。その場合は、NIS+ マスタサーバで、

# newkey -h hostname -s nisplus

してみてください。NIS+ クライアントホストの root のパスワードを聞いてくるので答えて下さい。その後、もう 1 回、 niscat してテーブルを見てみて下さい。

□NIS+ クライアントの設定

○もう少しだよっ

# /usr/lib/nis/nlisclient -i -c -h NIS+ サーバの hostname

で、うまくいきませんか・・・？（弱気）で、１回 reboot して、クライアントで、

# niscat hosts.org_dir.

とかやって、テーブルの中身が見えたらおっけーでぇーす！あ、この時、クレデンシャルをきちんと設定してないと、一般のユーザは、 niscat コマンドでテーブルを参照できません。なので、NIS+ マスタサーバの root で niscat するか、クレデンシャルを設定したユーザで niscat してみて下さい。

□NIS+ サーバの普段のメンテナンス

○メンテナンスもできなくっちゃね。

テーブル中の、各エントリを追加・削除しようとする度に、マップの元ファイルを編集して、nisserver / nispopulate するワケにもゆきませんよね。普段使うメンテナンス用のコマンドがちゃんとあります。

それと、エントリをうまく追加・削除できないからって不用意にテーブルの元ファイルを編集して、 nisserver / nispopulate を実行すると、折角設定した DES Key とか、クレデンシャルが全部初期化されて消えてしまうので、やらないほーが良いです。メンテもカンタンだから、そんなに心配してくても大丈夫だよ。

○設定しておくと、便利になる環境変数

niscat とかする度に、

# niscat hosts.org_dir.hoge.local.jp.

と、フルパスを入力するのもメンドイので、ドメインネーム部分を省略させる環境変数があります。NIS_PATH ってヤツが、その環境変数で、 Born Shell なら、${HOME}/.profile に、

NIS_PATH=hoge.local.jp.
export NIS_PATH ;

して下さい。 csh なら、 ~/.cshrc に、

setenv NIS_PATH hoge.local.jp.

と、して下さい。この設定をしておくと、

# niscat hosts.org_dir.hoge.local.jp.

と、しなければいけないところを、

# niscat hosts

だけで、テーブルを見られるようになります。モチロン、クレデンシャルの設定がマズイと見れないぞ。

○テーブルの構造を調べるてみる

NIS+ のテーブルは、1 エントリにつき、いくつかのアイテムを併せ持った構造になっています。参考までに、hosts.org_dir の構造を見てみると、

[0] Name : cname Attributes : (SEARCHABLE, TEXTUAL DATA, CASE INSENSITIVE) Access Rights : ---------------- [1] Name : name Attributes : (SEARCHABLE, TEXTUAL DATA, CASE INSENSITIVE) Access Rights : ---------------- [2] Name : addr Attributes : (SEARCHABLE, TEXTUAL DATA, CASE INSENSITIVE) Access Rights : ---------------- [3] Name : comment Attributes : (TEXTUAL DATA) Access Rights : ----------------

[0]     Name		   : cname
		Attributes    : (SEARCHABLE, TEXTUAL DATA, CASE INSENSITIVE)
		Access Rights : ----------------
[1]     Name		   : name
		Attributes    : (SEARCHABLE, TEXTUAL DATA, CASE INSENSITIVE)
		Access Rights : ----------------
[2]     Name		   : addr
		Attributes    : (SEARCHABLE, TEXTUAL DATA, CASE INSENSITIVE)
		Access Rights : ----------------
[3]     Name		   : comment
		Attributes    : (TEXTUAL DATA)
		Access Rights : ----------------

に、なっています。テーブルの構造を見るコマンドは、

# niscat -o hosts.org_dir.hoge.local.jp.

です。環境変数に NIS_PATH を設定してあれば、

# niscat -o hosts

でもおっけーです。当然、hosts 以外にも、

# niscat -o services
# niscat -o passwd
# niscat -o group
# niscat -o auto_master
# niscat -o auto_home
# niscat -o ethers

とかってなります。テーブルに応じて、アイテムの数も変ってきます。これから先は、hosts テーブルを例に取って記述してゆきます。

○エントリの削除

エントリの削除コマンドは、/usr/bin/nistbladm コマンドを使います。削除の場合、

# /usr/bin/nistbladm -r hoge=hoge table-name

となります。hosts テーブル中に、削除したいエントリが、 192.168.126.1 であった場合を仮定します。まずは、先に記述した通りに、niscat hosts | grep 192.168.126.1 とかのコマンドで、そのエントリがテーブル中に存在していることを確認します。他のコマンドとしては、/usr/bin/nismatch があります。この例の場合の hosts のサーチは、

# /usr/bin/nismatch addr=192.168.126.1 hosts

とかってなります。 nismatch コマンドはこの他にも、色々サーチのしかたがあるので、man nismatch コマンドで調べてみて下さい。grep で代用できるんぢゃねーのっ？って思ったヒト・・・・

そのとぉーりっ！

ですが、サーチするエントリの数が、膨大な数になっている場合、 nismatch コマンドの方が、すばやくサーチしてくれるそうです。ちゃんと、使えるようになった方が良いと思うよ。

○実際に削除してみる

それでは、具体的に削除の方法です。コマンドとオプションは、

# /usr/bin/nistbladm -r cname=hogehost name=hogehost addr=192.168.126.1 comment=hogehoge hosts.org_dir.hoge.local.jp.

です。

長っ！

ですが、指定するアイテム 1 つでエントリが特定できる場合は、

# /usr/bin/nistbladm -r cname=hogehost hosts.org_dir.hoge.local.jp.

でも削除できます。モチロン、他のアイテムでも特定できる場合があるでしょうから、あ、あと、NIS_PATH が設定してあれば、

# /usr/bin/nistbladm -r name=hogehost hosts とか、
# /usr/bin/nistbladm -r addr=192.168.126.1 hosts でも、

192.168.126.1 のエントリが削除できます。削除してみたら、 nismatch コマンドでサーチしてみてください。テーブルから削除されていると思います。

○エントリの追加

エントリの追加も/usr/bin/nistbladm コマンドを使います。 hosts への追加の場合、

# /usr/bin/nistbladm -r cname=hogehost name=hogehost addr=192.168.126.1 comment=hogehoge hosts.org_dir.hoge.local.jp.

となります。

長っ！

ですが、指定しても差し支えないアイテムは省略しても構いません。 hosts の場合、 comment アイテムがなくても、困らなければ省略して、 comment アイテムの記述そのものを省略しても構いません。その場合は、

# /usr/bin/nistbladm -r cname=hogehost name=hogehost addr=192.168.126.1 hosts

となります。
追加できたら、 nismatch コマンドでエントリが追加できているか確認てみましょう。

○エントリの編集

エントリ中のどれかのアイテムを他の文字列や数値に変更したくなる場合もあるよね。そんな時にも /usr/bin/nistbladm コマンドを使います。一例として、 hosts テーブルエントリの IP アドレスを他の値に変更したい場合を仮定します。使い方は、

# /usr/bin/nistbladm -e item=valu

○NIS+ テーブルをバックアップしておきましょう

不慮の事故にそなえて、常にバックアップを確保しておきたいものです。なんかある度に、 nisserver / nispopulate / クレデンシャル / オーセンティケーションなんかの設定をしなおすのはめんどいですよね。なので、NIS+ テーブルのバックアップを取るコマンドがちゃんと用意されています。使い方はカンタンで、

# /usr/sbin/nisbackup -a -v backup-directory-path

です。オプションは、

-a : NIS+ オブジェクトの全てをバックアップする
-v : syslog に出力されます。(未確認)

Verbose モードのメッセージは、 syslog に出力されるようですが (未確認) /etc/syslog.conf になんか設定しないと書き出してくれないようです。一例としては、予め、/var/nis/backup とかゆーディレクトリを作っておいたと仮定すると、

# /usr/sbin/nisbackup -a -v /var/nis/backup

に、なります。 backup が正常におこなわれると、

/var/nis/backup/backup_list
/var/nis/backup/hogehogge.com.
/var/nis/backup/groups_dir.hogehogge.com.
/var/nis/backup/org_dir.hogehogge.com.

と、ゆったディレクトリができていれば、バックアップが取れています。ちなみに、/usr/sbin/nisbackup コマンドは、 NIS+ マスタサーバでしか実行できないようです。

○Restore もできなくっちゃね

バックアップできて、リストアできないってーんぢゃ、バックアップの意味があんまりないので、次は、リストアの方法です。 /var/nis/backup にバックアップを取ってあると仮定して・・・

# /usr/sbin/nisrestore -a -f -v /var/nis/backup

です。オプションは、

-a : 全てのテーブルをリストアする。
-f : フォースモード。強制的にリストアする。
-v : Verbose モード。

です。その他のオプションは、 -t のリスト出力があります。

# /usr/sbin/nisrestore -t /var/nis/backup

こんなかんぢですね。実際に実行すると、


# ./nisrestore -t /var/nis/backup ORATORIO-TANGRAM.com. org_dir.ORATORIO-TANGRAM.com. groups_dir.ORATORIO-TANGRAM.com.

ってリストが表示されます。

○オリジナルのテーブルを作ろう with nismkdir / nisrmdir

NIS+ は、ユーザ環境に合せたオリジナルのテーブルを作ることもできます。テーブルの作成も /usr/bin/nistbladm コマンドを使います。まずは、テーブルの利用目的とアイテムを事前に設計して頂いて・・・

# nistbladm -c tbl-name item1=S item2=S item3=S .... nis-directory.hoge.local.jp.

です。具体例としては、電話番号なんかのテーブルを作りたい場合、テーブルネームを格納しておく tel ディレクトリを、mymap.hoge.local.jp. に作りたい場合、最初に /usr/bin/nismkdir で、mymap を作ります。その次に、テーブルの実体を作ってゆきます。手順は、次のようになります。

# /usr/bin/nismkdir mymap.hoge.local.jp.
# /usr/bin/nistbladm -c tel name=S phone=S incam=S tel.mymap.hoge.local.jp.

です。テーブルネームと、格納先の NIS+ レポジトリのレポジトリネームを同じにするのがポイントです。正しく作られたかどうか確認するには、

# /usr/bin/nisls -l mymap.hoge.local.jp.

と、すると、

nisls -l 実行結果
# nisls -l mymap.hogr.com. mymap.hoge.local.jp.: T ----rmcdr---r--- nisplus-server.hoge.local.jp. Tue Dec 11 17:08:10 2001 tbl

とゆったメッセージが表示されれば、正常に作成されています。niscat -o で構造を調べれば、

niscat -o によるテーブル構造の表示一例
niscat -o によるテーブル構造の表示一例
# niscat -o tbl.mymap.hoge.local.jp. Object Name : "tbl" Directory : "mymap.hoge.local.jp." Owner : "nisplus-server.hoge.local.jp." Group : "" Access Rights : ----rmcdr---r--- Time to Live : 12:0:0 Creation Time : Tue Dec 11 17:08:10 2001 Mod. Time : Tue Dec 11 17:08:10 2001 Object Type : TABLE Table Type : tel Number of Columns : 3 Character Separator : Search Path : Columns : [0] Name : name Attributes : (SEARCHABLE, TEXTUAL DATA, CASE SENSITIVE) Access Rights : ----rmcdr---r--- [1] Name : phone Attributes : (SEARCHABLE, TEXTUAL DATA, CASE SENSITIVE) Access Rights : ----rmcdr---r--- [2] Name : incam Attributes : (SEARCHABLE, TEXTUAL DATA, CASE SENSITIVE) Access Rights : ----rmcdr---r---

niscat -o によるテーブル構造の表示一例

# niscat -o tbl.mymap.hoge.local.jp.
Object Name   : "tbl"
Directory     : "mymap.hoge.local.jp."
Owner	      : "nisplus-server.hoge.local.jp."
Group	      : ""
Access Rights : ----rmcdr---r---
Time to Live  : 12:0:0
Creation Time : Tue Dec 11 17:08:10 2001
Mod. Time     : Tue Dec 11 17:08:10 2001
Object Type   : TABLE
Table Type	    : tel
Number of Columns   : 3
Character Separator :
Search Path	    :
Columns		    :
	[0]     Name		: name
		Attributes	: (SEARCHABLE, TEXTUAL DATA, CASE SENSITIVE)
		Access Rights	: ----rmcdr---r---
	[1]     Name		: phone
		Attributes	: (SEARCHABLE, TEXTUAL DATA, CASE SENSITIVE)
		Access Rights	: ----rmcdr---r---
	[2]     Name		: incam
		Attributes	: (SEARCHABLE, TEXTUAL DATA, CASE SENSITIVE)
		Access Rights	: ----rmcdr---r---

です。エントリの追加は、「◯エントリの追加」と同じ方法でできます。アイテム、テーブルの名前、NIS パスのレポジトリが違うだけね。

○テーブルを削除しよう

不必要なテーブルは削除することもできます。テーブルの削除も、 /usr/bin/nistbladm コマンドを使います。削除の方法は、

# /usr/bin/nistbladm -d tbl.mymap.hoge.loca.jp.

です。当然、削除されたテーブルの中身も全てなくなります。心配な方は、/usr/sbin/nisbackup でバックアップを取っておいてから、削除したほうが良いでしょうね。