Введение

FreeIPA Health Check – утилита для диагностики работоспособности сервера FreeIPA.
Её основное назначение – автоматическая проверка корректности настроек, безопасности, доступности репликации и работы сервисов FreeIPA.
Программа предназначена для администраторов, требующих быстрой диагностики и своевременного обнаружения неисправностей.

Цели использования:

• Обеспечение устойчивости работы серверов FreeIPA.

• Выявление потенциальных ошибок в настройке.

• Контроль состояния репликации и конфигурации Kerberos.

• Своевременное оповещение о сбоях и нарушениях в системе.

Описание стенда

Запуск утилиты производится на настроенном контроллере ЕПП FreeIPA. Порядок установки см. в статье:

• Контроллер ЕПП FreeIPA в Astra Linux

Также утилита может проверять корректность работы реплик и доверительных отношений. Порядок установки см. в статьях:

• Настройка доверительных отношений FreeIPA - Active Directory
• FreeIPA: настройка репликации

Установка пакета

Пакет freeipa-healthcheck входит в репозитории Astra Linux. Установить необходимый пакет можно используя Графический менеджер пакетов synaptic, или из командной строки:

sudo apt install freeipa-healthcheck

После установки будут созданы конфигурационный файл /etc/ipahealthcheck/ipahealthcheck.conf и службы ipa-healthcheck.service и ipa-healthcheck.timer в systemd.

Конфигурация и интеграция

Файл конфигурации разделён как минимум на два раздела:

• Раздел [default]. В этом разделе задаются значения параметров, влияющих на работу инструмента проверки состояния.
• Раздел [excludes]. Этот раздел используется для фильтрации или подавления определённых результатов по имени источника, имени проверки или конкретному ключу результата. Это особенно полезно для игнорирования известных незначительных проблем в окружении.

Пример готовой конфигурации может выглядеть так:

[default] 
cert_expiration_days = 7
timeout = 25
output_type = json
output_file = /var/log/ipa-health.log
indent = 2
verbose = True
severity = ERROR CRITICAL
debug = False

[excludes]
source = ipahealthcheck.ipa.certs
check = IPADNSSystemRecordsCheck

Также все параметры конфигурации поддерживаются в виде аргументов командой строки.

Пример готовых команд может выглядеть так:

• Выполнение конкретной проверки сертификатов с фильтрацией по уровню серьезности и показом только ошибок:

  sudo ipa-healthcheck --source=ipahealthcheck.ipa.certs --check=IPACertExpirationCheck --severity=ERROR --severity=CRITICAL --failures-only --output-type=human

• Запуск с использованием собственного файла конфигурации, сохранением результата в файл, режимами подробного логирования и отладки:

  sudo ipa-healthcheck --config=/etc/ipahealthcheck/myconfig.conf --output-file=/var/log/ipa/healthcheck/healthcheck.log --indent=4 --verbose --debug

• Запуск проверки топологии с выводом в формате Prometheus и заданным префиксом для метрик:

  sudo ipa-healthcheck --source=ipahealthcheck.ipa.topology --check=IPATopologyDomainCheck --output-type=prometheus --metric-prefix=ipa_health

Интеграция ipa‑healthcheck с systemd

После установки пакета в systemd появятся два системных юнита:

• ipa-healthcheck.service - основной юнит-сервис, который запускает программу ipa‑healthcheck, выполняет проверки состояния установки FreeIPA и формирует отчёт об обнаруженных проблемах.
  
• ipa-healthcheck.timer - юнит-таймер, который по заданному интервалу инициирует запуск ipa‑healthcheck.service. Он позволяет автоматизировать регулярное выполнение проверок, что особенно полезно для постоянного мониторинга системы.

Порядок настройки таймеров в Astra Linux см. в статье:

• Использование таймеров systemd вместо заданий cron

Запуск таймера в системе производится так:

sudo systemctl enable ipa-healthcheck.timer && systemctl start ipa-healthcheck.timer

Эта команда включает автоматический запуск таймера и инициирует его немедленный старт.

В файле /usr/libexec/ipa/ipa-healthcheck.sh можно указать, с какими параметрами командной строки будет запускаться служба ipa-healthcheck.service:

#!/bin/sh

LOGDIR=/var/log/ipa/healthcheck

/usr/bin/ipa-healthcheck --output-file $LOGDIR/healthcheck.log --source=ipahealthcheck.ipa.certs --check=IPACertExpirationCheck --severity=ERROR --severity=CRITICAL

Кроме передачи опций через командную строку, параметры работы ipa‑healthcheck можно задать и в конфигурационном файле. См. Конфигурация и интеграция

sudo journalctl -u ipa-healthcheck.service

Обзор проверок для диагностики и мониторинга FreeIPA

Программа поддерживает следующие проверки:

• ipahealthcheck.dogtag.ca
  Отвечает за проверки, связанные с сервером Dogtag (служба CA).

  DogtagCertsConfigCheck Сравнивает значение сертификатов центра сертификации (а также KRA, если установлен) с значением, найденным в файле CS.cfg. Если значения не совпадают, то, вероятно, CS не сможет запуститься. { "source": "ipahealthcheck.dogtag.ca", "check": "DogtagCertsConfigCheck", "result": "ERROR", "kw": { "key": "ocspSigningCert cert-pki-ca", "directive": "ca.ocsp_signing.cert", "configfile": "/var/lib/pki/pki-tomcat/conf/ca/CS.cfg", "msg": "Certificate 'ocspSigningCert cert-pki-ca' does not match the value of ca.ocsp_signing.cert in /var/lib/pki/pki-tomcat/conf/ca/CS.cfg" } } DogtagCertsConnectivityCheck Выполняет эквивалент команды ipa cert-show 1 для проверки базовой доступности. { "source": "ipahealthcheck.dogtag.ca", "check": "DogtagCertsConnectivityCheck", "result": "ERROR", "kw": { "msg": "Request for certificate failed, Certificate operation cannot be completed: Unable to communicate with CMS (503)" } }

• ipahealthcheck.ds.backends
  Контролирует работоспособность backend‑модулей, которые отвечают за хранение данных (например, в LDAP‑хранилище)

• ipahealthcheck.ds.config
  Проводит анализ конфигурационных настроек LDAP‑сервера и сопутствующих компонентов, чтобы удостовериться, что все параметры установлены корректно.

• ipahealthcheck.ds.disk_space
  Проверяет состояние свободного места на дисках, особенно на критичных разделах, таких как каталоги логов или резервных копий, чтобы предупредить о риске переполнения.

• ipahealthcheck.ds.dse
  Осуществляет диагностику DSE (Directory Server Engine) — базовой части LDAP‑сервера, которая отвечает за хранение и обработку данных.

• ipahealthcheck.ds.encryption
  Анализирует настройки шифрования и криптографические параметры, что обеспечивает безопасную передачу и хранение данных.

• ipahealthcheck.ds.fs_checks
  Выполняет проверки файловой системы, включая права доступа, целостность и корректность разрешений на важных файлах и каталогах.

• ipahealthcheck.ds.nss_ssl
  Проверяет настройки NSS‑базы, которая используется для хранения сертификатов и ключей, а также тестирует соответствующие SSL‑настройки.

• ipahealthcheck.ds.ds_plugins
  Отвечает за проверку дополнительных плагинов LDAP‑сервера, которые могут расширять его функциональность или влиять на безопасность.

• ipahealthcheck.ds.replication
  Контролирует репликацию данных между серверами, проверяя синхронизацию данных и анализируя журналы изменений (changelogs) для обнаружения ошибок.

  ReplicationConflictCheck Ищет записи в LDAP, соответствующие фильтру (&(!(objectclass=nstombstone))(nsds5ReplConflict=*)) { "source": "ipahealthcheck.ds.replication", "check": "ReplicationConflictCheck", "result": "ERROR", "kw": { "key": "nsuniqueid=66446001-1dd211b2+uid=bjenkins,cn=users,cn=accounts,dc=example,dc=test", "conflict": "namingConflict", "msg": "Replication conflict" } }

• ipahealthcheck.ds.ruv
  Следит за корректностью записей RUV (Replication Update Values), необходимых для правильной работы репликации.

• ipahealthcheck.ipa.certs
  Содержит набор проверок, связанных с сертификатами FreeIPA: от контроля срока действия, проверки цепочки доверия до сравнения сертификатов, а также отслеживания их состояния с помощью certmonger.

  IPACertmongerExpirationCheck Перебирает все ожидаемые запросы certmonger и проверяет срок действия сертификата, основываясь на информации, которой располагает certmonger. Если сертификат истекает в пределах cert_expiration_days (по умолчанию 28 дней), выдается предупреждение. Истекший сертификат: { "source": "ipahealthcheck.ipa.certs", "check": "IPACertmongerExpirationCheck", "result": "ERROR", "kw": { "key": 1234, "expiration_date": "20160101001704Z", "msg": "Request id 1234 expired on 20160101001704Z" } } Сертификат, истекающий скоро: { "source": "ipahealthcheck.ipa.certs", "check": "IPACertmongerExpirationCheck", "result": "WARNING", "kw": { "key": 1234, "expiration_date": "20160101001704Z", "days": 9, "msg": "Request id 1234 expires in 9 days" } } IPACertfileExpirationCheck Похожа на IPACertmongerExpirationCheck, но сертификат извлекается из PEM-файла или базы NSS и повторно проверяется. Это используется в случае, если сведения certmonger устарели по сравнению с сертификатом, находящимся на диске. Если файл сертификата не может быть открыт: { "source": "ipahealthcheck.ipa.certs", "check": "IPACertfileExpirationCheck", "result": "ERROR", "kw": { "key": 1234, "certfile": "/path/to/cert.pem", "error": [error], "msg": "Unable to open cert file '/path/to/cert.pem': [error]" } } Если NSS-база не может быть открыта: { "source": "ipahealthcheck.ipa.certs", "check": "IPACertfileExpirationCheck", "result": "ERROR", "kw": { "key": 1234, "dbdir": "/path/to/nssdb", "error": [error], "msg": "Unable to open NSS database '/path/to/nssdb': [error]" } } Если отслеживаемый никнейм не найден в NSS-базе: { "source": "ipahealthcheck.ipa.certs", "check": "IPACertfileExpirationCheck", "result": "ERROR", "kw": { "key": 1234, "dbdir": "/path/to/nssdb", "nickname": [nickname], "error": [error], "msg": "Unable to retrieve cert '[nickname]' from '/path/to/nssdb': [error]" } } Истекший сертификат: { "source": "ipahealthcheck.ipa.certs", "check": "IPACertfileExpirationCheck", "result": "ERROR", "kw": { "key": 1234, "expiration_date", "20160101001704Z", "msg": "Request id 1234 expired on 20160101001704Z" } } Сертификат, истекающий скоро: { "source": "ipahealthcheck.ipa.certs", "check": "IPACertfileExpirationCheck", "result": "WARNING", "kw": { "key": 1234, "expiration_date", "20160101001704Z", "days": 9, "msg": "Request id 1234 expires in 9 days" } } IPACAChainExpirationCheck Загружает цепочку сертификатов из файла /etc/ipa/ca.crt и проверяет срок действия каждого сертификата в цепочке. Это тест, предназначенный для подтверждения валидности всей цепочки доверия (включая случаи, когда сертификаты веб-сервера или LDAP были заменены, а цепочка находится в /etc/ipa/ca.crt). Сертификат, истекающий скоро: { "source": "ipahealthcheck.ipa.certs", "check": "IPACAChainExpirationCheck", "result": "WARNING", "kw": { "path": "/etc/ipa/ca.crt", "key": "CN=Certificate Authority,O=EXAMPLE.TEST", "days": 2, "msg": "CA '{key}' is expiring in {days} days." } } Истекший сертификат: { "source": "ipahealthcheck.ipa.certs", "check": "IPACAChainExpirationCheck", "result": "WARNING", "kw": { "path": "/etc/ipa/ca.crt", "key": "CN=Certificate Authority,O=EXAMPLE.TEST", "days": 2, "msg": "CA '{key}' is expiring in {days} days." } } IPACertTracking Сравнивает информацию отслеживания (tracking) сертификатов, полученную от certmonger, с ожидаемыми значениями. Результат показывает ошибку, если какая-либо часть отслеживания отсутствует или отличается от ожидаемой. Если отслеживание отсутствует: json Копировать {   "source": "ipahealthcheck.ipa.certs",   "check": "IPACertTracking",   "result": "ERROR",   "kw": {     "key": "cert-file=/var/lib/ipa/ra-agent.pem, key-file=/var/lib/ipa/ra-agent.key, ca-name=dogtag-ipa-ca-renew-agent, cert-storage=FILE, cert-presave-command=/usr/libexec/ipa/certmonger/renew_ra_cert_pre, cert-postsave-command=/usr/libexec/ipa/certmonger/renew_ca_cert",     "msg": "Missing tracking for cert-file=/var/lib/ipa/ra-agent.pem, key-file=/var/lib/ipa/ra-agent.key, ca-name=dogtag-ipa-ca-renew-agent, cert-storage=FILE, cert-presave-command=/usr/libexec/ipa/certmonger/renew_ra_cert_pre, cert-postsave-command=/usr/libexec/ipa/certmonger/renew_ca_cert"   } } Если отслеживается неизвестный сертификат: json Копировать {   "source": "ipahealthcheck.ipa.certs",   "check": "IPACertTracking",   "result": "WARNING",   "kw": {     "key": 1234,     "msg": "Unknown certmonger id 1234"   } } IPACertNSSTrust Сравнивает настройки доверия для сертификатов, хранящихся в NSS-базе, с известным корректным состоянием. json Копировать {   "source": "ipahealthcheck.ipa.certs",   "check": "IPACertNSSTrust",   "result": "ERROR",   "kw": {     "key": "auditSigningCert cert-pki-ca",     "expected": "u,u,Pu",     "got": "u,u,u",     "nickname": "auditSigningCert cert-pki-ca",     "dbdir": "/etc/pki/pki-tomcat/alias",     "msg": "Incorrect NSS trust for auditSigningCert cert-pki-ca. Got u,u,u expected u,u,Pu"   } } IPACertMatchCheck Удостоверяется, что записи сертификата ЦС в LDAP совпадают с данными, полученными из NSS-базы (или файла). json Копировать {   "source": "ipahealthcheck.ipa.certs",   "check": "IPACertMatchCheck",   "result": "ERROR",   "kw": {     "msg": "CA Certificate from /etc/ipa/nssdb does not match /etc/ipa/ca.crt"   } } IPADogtagCertsMatchCheck Проверяет, совпадают ли сертификаты Dogtag, присутствующие как в NSS-базе, так и в LDAP. json Копировать {   "source": "ipahealthcheck.ipa.certs",   "check": "IPADogtagCertsMatchCheck",   "result": "ERROR",   "kw": {     "msg": "'subsystemCert cert-pki-ca' certificate in NSS DB does not match entry in LDAP"   } } IPANSSChainValidation Валидирует цепочку сертификатов, полученных из NSS-базы. Выполняется команда certutil -V -u V -e -d [dbdir] -n [nickname]. json Копировать {   "source": "ipahealthcheck.ipa.certs",   "check": "IPANSSChainValidation",   "result": "ERROR",   "kw": {     "key": "/etc/dirsrv/slapd-EXAMPLE-TEST:Server-Cert",     "nickname": "Server-Cert",     "dbdir": "[path to NSS database]",     "reason": "certutil: certificate is invalid: Peer's Certificate issuer is not recognized.\n: ",     "msg": "\"Validation of Server-Cert in /etc/dirsrv/slapd-EXAMPLE-TEST/ failed: certutil: certificate is invalid: Peer's Certificate issuer is not recognized.\n \""   } } IPAOpenSSLChainValidation Валидирует цепочку сертификатов для файлов OpenSSL. Выполняется команда openssl verify -verbose -show_chain -CAfile /etc/ipa/ca.crt /path/to/cert.pem. json Копировать {   "source": "ipahealthcheck.ipa.certs",   "check": "IPAOpenSSLChainValidation",   "result": "ERROR",   "kw": {     "key": "/var/lib/ipa/ra-agent.pem",     "reason": "O = EXAMPLE.TEST, CN = IPA RA\nerror 20 at 0 depth lookup: unable to get local issuer certificate\n",     "msg": "Certificate validation for /var/lib/ipa/ra-agent.pem failed: O = EXAMPLE.TEST, CN = IPA RA\nerror 20 at 0 depth lookup: unable to get local issuer certificate\n"   } } IPARAAgent Проверяет соответствие описания и значения атрибута userCertificate для RA-агента в LDAP. json Копировать {   "source": "ipahealthcheck.ipa.certs",   "check": "IPARAAgent",   "result": "ERROR",   "kw": {     "expected": "2;125;CN=Certificate Authority,O=EXAMPLE.TEST;CN=IPA RA,O=EXAMPLE.TEST",     "got": "2;7;CN=Certificate Authority,O=EXAMPLE.TEST;CN=IPA RA,O=EXAMPLE.TEST",     "msg": "RA agent description does not match. Found 2;7;CN=Certificate Authority,O=EXAMPLE.TEST;CN=IPA RA,O=EXAMPLE.TEST in LDAP and expected 2;125;CN=Certificate Authority,O=EXAMPLE.TEST;CN=IPA RA,O=EXAMPLE.TEST"   } } IPAKRAAgent Проверяет соответствие описания и значения атрибута userCertificate для KRA-агента в LDAP. json Копировать {   "source": "ipahealthcheck.ipa.certs",   "check": "IPAKRAAgent",   "result": "ERROR",   "kw": {     "expected": "2;125;CN=Certificate Authority,O=EXAMPLE.TEST;CN=IPA RA,O=EXAMPLE.TEST",     "got": "2;7;CN=Certificate Authority,O=EXAMPLE.TEST;CN=IPA RA,O=EXAMPLE.TEST",     "msg": "KRA agent description does not match. Found 2;7;CN=Certificate Authority,O=EXAMPLE.TEST;CN=IPA RA,O=EXAMPLE.TEST in LDAP and expected 2;125;CN=Certificate Authority,O=EXAMPLE.TEST;CN=IPA RA,O=EXAMPLE.TEST"   } } IPACertRevocation Подтверждает, что сертификаты IPA не отозваны, используя отслеживание certmonger для определения списка сертификатов, подлежащих проверке. json Копировать {   "source": "ipahealthcheck.ipa.certs",   "check": "IPACertRevocation",   "result": "ERROR",   "kw": {     "key": 1234,     "revocation_reason": "superseded",     "msg": "Certificate is revoked, superseded"   } } IPACertmongerCA Проверяет корректность конфигурации CA в certmonger, анализируя настройки dogtag-ipa-ca-renew-agent и dogtag-ipa-ca-renew-agent-reuse. json Копировать {   "source": "ipahealthcheck.ipa.certs",   "check": "IPACertmongerCA",   "result": "ERROR",   "kw": {     "key": "dogtag-ipa-ca-renew-agent",     "msg": "Certmonger CA 'dogtag-ipa-ca-renew-agent' missing"   } }

• ipahealthcheck.ipa.dna
  Отвечает за проверку диапазона DNA (Domain Number Allocation), который используется для распределения идентификаторов в системе, чтобы избежать конфликтов.

• ipahealthcheck.ipa.idns
  Производит диагностику системных DNS‑записей, необходимых для корректной работы инфраструктуры FreeIPA.

• ipahealthcheck.ipa.files
  Проверяет разрешения, владельцев и целостность основных файлов, используемых FreeIPA, таких как конфигурационные файлы и файлы NSS‑базы.

• ipahealthcheck.ipa.host
  Выполняет проверки, связанные с аутентификацией текущего хоста, включая проверку корректности файла keytab для различных сервисов (LDAP, HTTP, DNS и др.).

• ipahealthcheck.ipa.kdc
  Следит за состоянием рабочих процессов KDC (Kerberos Distribution Center), необходимых для работы аутентификации.

• ipahealthcheck.ipa.meta
  Собирает общую информацию о сервере FreeIPA (например, FQDN, версии продукта), предоставляя обзор состояния системы.

• ipahealthcheck.ipa.nss
  Проверяет корректность работы NSS‑подсистемы, например, правильное членство пользователей в группах, связанные с NSS‑базой.

• ipahealthcheck.ipa.proxy
  Контролирует настройки IPA Proxy, включая проверку корректности секретного ключа, используемого для безопасной коммуникации.

• ipahealthcheck.ipa.roles
  Выполняет проверки, связанные с ролями сервера в инфраструктуре FreeIPA — определяет, является ли сервер мастером обновления сертификатов, CRL-менеджером, и проверяет связанные с этим параметры.

• ipahealthcheck.ipa.topology
  Проводит проверки топологии репликации и сетевой конфигурации, убеждаясь, что все серверы правильно настроены и данные синхронизируются корректно.

• ipahealthcheck.ipa.trust
  Отвечает за диагностику доверительных отношений (trust) с Active Directory, проверяя настройки trust-агентов, списки доверенных доменов, корректность конфигураций principal, членство в группах и наличие необходимых пакетов.

• ipahealthcheck.meta.core
  Собирает основную информацию о FreeIPA-сервере, которая используется для формирования общего отчёта о состоянии системы.

• ipahealthcheck.meta.services
  Контролирует состояние основных сервисов FreeIPA (таких как certmonger, dirsrv, httpd, sssd и др.) и сигнализирует о сбоях или остановке их работы.

• ipahealthcheck.system.filesystemspace
  Анализирует свободное место на дисковых разделах, ключевых для работы системы FreeIPA, предупреждая о риске нехватки пространства, что может привести к проблемам с логированием и выполнением резервного копирования.

С полным списком можно также ознакомиться при помощи команды:

sudo ipa-healthcheck --list-sources

1111