16.2. IdM へのアンダークラウドの追加

1. novajoin サービスは、デフォルトで無効にされます。有効にするには、以下のように設定します。

   [DEFAULT]
   enable_novajoin = true

2. アンダークラウドノードを IdM に登録するためのワンタイムパスワード (OTP) を設定する必要があります。

   ipa_otp = <otp>

3. neutron の DHCP サーバーによって提供されるオーバークラウドのドメイン名が IdM ドメインと一致するようにします (小文字の kerberos レルム)。

   overcloud_domain_name = <domain>

4. アンダークラウドに適切なホスト名を設定します。

   undercloud_hostname = <undercloud FQDN>

5. アンダークラウドのネームサーバーとして IdM を設定します。

   undercloud_nameservers = <IdM IP>

6. より大きな環境の場合には、novajoin の接続タイムアウト値を確認する必要があります。undercloud.conf で、undercloud-timeout.yaml という名前の新規ファイルへの参照を追加します。

   hieradata_override = /home/stack/undercloud-timeout.yaml

   undercloud-timeout.yaml に以下のオプションを追加します。タイムアウト値は秒単位で指定することができます (例: 5)。

   nova::api::vendordata_dynamic_connect_timeout: <timeout value>
   nova::api::vendordata_dynamic_read_timeout: <timeout value>

7. undercloud.conf ファイルを保存します。

8. アンダークラウドのデプロイコマンドを実行して、既存のアンダークラウドに変更を適用します。

   $ openstack undercloud install

検証

1. keytab ファイルでアンダークラウドのキーエントリーを確認します。

    [root@undercloud-0 ~]# klist -kt
    Keytab name: FILE:/etc/krb5.keytab
    KVNO Timestamp           Principal
    ---- ------------------- ------------------------------------------------------
       1 04/28/2020 12:22:06 host/undercloud-0.redhat.local@REDHAT.LOCAL
       1 04/28/2020 12:22:06 host/undercloud-0.redhat.local@REDHAT.LOCAL
   
   
    [root@undercloud-0 ~]# klist -kt /etc/novajoin/krb5.keytab
    Keytab name: FILE:/etc/novajoin/krb5.keytab
    KVNO Timestamp           Principal
    ---- ------------------- ------------------------------------------------------
       1 04/28/2020 12:22:26 nova/undercloud-0.redhat.local@REDHAT.LOCAL
       1 04/28/2020 12:22:26 nova/undercloud-0.redhat.local@REDHAT.LOCAL

2. ホストプリンシパルが含まれるシステム /etc/krb.keytab ファイルをテストします。

    [root@undercloud-0 ~]# kinit -k
    [root@undercloud-0 ~]# klist
    Ticket cache: KEYRING:persistent:0:0
    Default principal: host/undercloud-0.redhat.local@REDHAT.LOCAL
   
    Valid starting       Expires              Service principal
    05/04/2020 10:34:30  05/05/2020 10:34:30  krbtgt/REDHAT.LOCAL@REDHAT.LOCAL
   
    [root@undercloud-0 ~]# kdestroy
    Other credential caches present, use -A to destroy all

3. nova プリンシパルが含まれる novajoin /etc/novajoin/krb.keytab ファイルをテストします。

    [root@undercloud-0 ~]# kinit -kt /etc/novajoin/krb5.keytab 'nova/undercloud-0.redhat.local@REDHAT.LOCAL'
    [root@undercloud-0 ~]# klist
    Ticket cache: KEYRING:persistent:0:0
    Default principal: nova/undercloud-0.redhat.local@REDHAT.LOCAL
   
    Valid starting       Expires              Service principal
    05/04/2020 10:39:14  05/05/2020 10:39:14  krbtgt/REDHAT.LOCAL@REDHAT.LOCAL