29.8. Ansible を使用して、統合された eDNS と統合されたルート CA を備えた IdM サーバーをインストールする

手順

1. オプション: 外部認証局が発行した DoT 用のカスタム PEM 形式の証明書とキーを使用する場合:

   1. IdM サーバーをインストールするホストに SSH で接続します。

      $ ssh root@server.idm.example.com

   2. 2 つのファイルを作成し、named デーモンに所有権を割り当てます。

      # openssl req \
        -newkey rsa:2048 \
        -nodes \
        -keyout /etc/pki/tls/certs/privkey.pem \
        -x509 \
        -days 36500 \
        -out /etc/pki/tls/certs/certificate.pem \
        -subj "/C=<country_code>/ST=<state>/L=<location>/O=<organization>/OU=<organizational_unit>/CN=<idm_server_fqdn>/emailAddress=<email>" && \
        chown named:named /etc/pki/tls/certs/privkey.pem /etc/pki/tls/certs/certificate.pem

   3. IdM サーバー上の SSH セッションを終了します。

      # exit

2. Ansible コントローラーで、統合された IdM CA を備えた IdM サーバーをインストールするための手順を含む、install-server-integrated-ca.yml という名前の Playbook ファイルを作成します。

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     vars:
       ipaserver_domain: idm.example.com
       ipaserver_realm: IDM.EXAMPLE.COM
       ipaserver_hostname: server.idm.example.com
       ipa_admin_password: "{{ vault_admin_password }}"
       ipadm_password: "{{ vault_dm_password }}"
       ipaserver_setup_dns: true
       ipaserver_dot_forwarders:
         - "<server_ip>#<dns_server_hostname>"
       ipaserver_dns_over_tls: true
       ipaserver_auto_reverse: true
   
     roles:
     - role: freeipa.ansible_freeipa.ipaserver

   外部認証局によって発行された DoT 用のカスタム PEM 形式の証明書とキーを使用している場合は、vars セクションに以下を追加します。

   ipaserver_dns_over_tls_cert: /etc/pki/tls/certs/certificate.pem
   ipaserver_dns_over_tls_key: /etc/pki/tls/certs/privkey.pem

3. Ansible Playbook の実行:

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory ~/MyPlaybooks/install-server-integrated-ca.yml

トラブルシューティング

1. IdM サーバーに SSH 接続します。

   # ssh root@server.idm.example.com

2. unbound サービスの詳細ロギングを有効にします。

   # unbound-control verbosity 3

3. 更新された設定を適用するには、unbound サービスを再起動します。

   # systemctl restart unbound

4. unbound サービスのリアルタイムログを監視します。

   $ journalctl -u unbound -f