Interstage Application Server シングル・サインオン運用ガイド

1.6.1 負荷分散

　複数の利用者からの認証要求が集中すると認証サーバの負荷が高くなります。その場合には、認証サーバを追加することで認証サーバの負荷を分散することができます。
　認証サーバを複数配置し、認証サーバの負荷を分散させるシステム構成の設定例については“認証サーバを複数のマシンに、リポジトリサーバを1台のマシンに構築する場合”を参照してください。

　また、リポジトリサーバ(更新系)を増設したり、リポジトリサーバ(更新系)とリポジトリサーバ(参照系)に分散したりすることで、リポジトリサーバの負荷を分散することができます。

リポジトリサーバ(更新系)を増設する

　リポジトリサーバ(更新系)を増設することで、認証サーバからの認証やセション評価などの要求に対して負荷を分散することができます。

　上図は、認証サーバとリポジトリサーバの間にロードバランサを配置して、リポジトリサーバ(更新系)を複数台設置することにより、リポジトリサーバ(更新系)の負荷を分散しているシステム構成例です。

　また、以下のように、リポジトリサーバと認証サーバを1台のマシンに構築した小規模システムの前にロードバランサを配置して、リポジトリサーバと認証サーバを複数配置することにより、負荷分散することも可能です。

• SSOリポジトリは、複数のリポジトリサーバ(更新系)からの更新が可能で、更新が即時に反映される必要があります。ディレクトリサービスのデータベース共用機能を利用してSSOリポジトリを作成してください。
• 複数のリポジトリサーバ(更新系)は、論理的に１つのホスト名となるようにロードバランサを設定する必要があります。
• 運用可能なシステム構成は以下の通りです。各サーバのバージョン等に注意してシステム構築してください。

  セション管理の運用	業務サーバのバージョン	認証サーバのバージョン	リポジトリサーバのバージョン
  運用を行う	Interstage Application Server V9.0、およびInterstage Web Server V9.0	Interstage Application Server V9.0	Interstage Application Server V9.0 Enterprise Edition
  運用を行わない	Interstage Application Server V5以降	Interstage Application Server V5以降

リポジトリサーバ(更新系)とリポジトリサーバ(参照系)に分散する

　リポジトリサーバにおける認証処理を、リポジトリサーバ(更新系)とリポジトリサーバ(参照系)に分散して行うことにより、リポジトリサーバの認証処理に対する負荷を分散することができます。

　リポジトリサーバ(更新系)とリポジトリサーバ(参照系)に分散して認証処理を行うには、Interstage管理コンソールを使用して、[システム] > [セキュリティ] > [シングル・サインオン] > [認証基盤] > [認証サーバ] > [環境設定]タブの[詳細設定[表示]]をクリックし、[リポジトリサーバとの通信の設定]および[リポジトリサーバ(参照系)との通信の設定]にリポジトリサーバ(更新系)とリポジトリサーバ(参照系)を設定する必要があります。
　Interstage管理コンソールの定義詳細についてはInterstage管理コンソールのヘルプを参照してください。

　上図は、認証サーバ、リポジトリサーバによる負荷分散を示したものです。

　クライアントからの認証要求はロードバランサにより、各認証サーバに振り分けられます。
　各認証サーバはリポジトリサーバ(更新系)とリポジトリサーバ(参照系)を複数指定することで通常の認証依頼はリポジトリサーバ(参照系)に接続し、SSOリポジトリの情報を変更する必要が発生した場合(たとえば、利用者がロックアウトとなった場合など)にだけ、自動的にリポジトリサーバ(更新系)に接続します。各認証サーバでは異なるリポジトリサーバ(参照系)を指定することにより、リポジトリサーバの負荷分散を行うことができます。

　なお、リポジトリサーバ(更新系)のSSOリポジトリの情報を更新した場合は、ディレクトリサービスのレプリケーションを使用することによりリポジトリサーバ(参照系)のSSOリポジトリへ更新内容を自動的に反映することができます。

　各認証サーバで優先して接続するリポジトリサーバ(参照系)を別々に設定することで、リポジトリサーバの負荷分散を行うことができます。

　リポジトリサーバ(更新系)とリポジトリサーバ(参照系)を配置し、リポジトリサーバの負荷を分散させるシステム構成の設定例については“認証サーバとリポジトリサーバをそれぞれ複数のマシンに構築する場合”を参照してください。

　リポジトリサーバを更新系と参照系に分けた運用を行う場合は、SSOリポジトリ(マスタ)とSSOリポジトリ(スレーブ)の内容の同期を取り、データの不整合によって不正な認証が行われてしまうことを回避してください。回避方法としては、ディレクトリサービスのレプリケーションを利用してSSOリポジトリ(マスタ)の内容をSSOリポジトリ(スレーブ)に複写する方法があります。

• 更新系と参照系のリポジトリサーバは、同じエディション／バージョンのリポジトリサーバを使用してください。
• 複数の認証サーバは、論理的に１つのホスト名となるようにロードバランサを設定する必要があります。
• 認証サーバにてSSL通信を行う場合には、SSL通信で使用する証明書の所有者名を各認証サーバで同じにする必要があります。具体的には、ロードバランサのホスト名をSSL通信で使用する証明書の所有者名とし、証明書の取得申請や登録をしてください。証明書の申請や登録については“SSL通信を行うための準備”を参照してください。
• 同じクライアントからのリクエストは、同じ認証サーバにリクエストが転送されるようにロードバランサを設定してください。
• 統合Windows認証時には、リポジトリサーバを更新系と参照系に分けた運用を行わないでください。