コンテナー Identity Management サービスの使用

atomic install rhel7/ipa-server publish --hostname fully_qualified_domain_name ipa-server-install コマンドを実行してインストールを開始します。

ipa-server-install セットアップスクリプトが起動します。

The log file for this installation can be found in /var/log/ipaserver-install.log
========================================
This program will set up the IPA Server.
[... output truncated ...]

このプロセスは、ipa-server-install ユーティリティーを使用して非コンテナーサーバーをインストールする場合と同じです。

atomic install rhel7/ipa-server publish --hostname fully_qualified_domain_name ipa-server-install --external-ca コマンドを実行してインストールを開始します。

ipa-server-install セットアップスクリプトが起動します。

The log file for this installation can be found in /var/log/ipaserver-install.log
========================================
This program will set up the IPA Server.
[... output truncated ...]

このプロセスは、ipa-server-install ユーティリティーを使用して非コンテナーサーバーをインストールする場合と同じです。

コンテナーのインストールスクリプトは、/var/lib/<container_name>/root/ipa.csr ファイルに証明書署名要求 (CSR) を生成します。外部 CA に CSR を送信します。発行した証明書および発行している CA の CA 証明書チェーンを取得します。

詳細は、Linux ドメイン ID、認証、およびポリシーガイドの 外部 CA を Root CA としてサーバーをインストールする手順 を参照してください。

署名付き CA 証明書とルート CA 証明書を /var/lib/<container_name>/ ディレクトリーにコピーします。

$ cp /root/{ipa,ca}.crt /var/lib/server-container/.

--external-cert-file オプションを指定して atomic run コマンドを実行し、証明書の場所を指定します。インストーラーによりコンテナー内の呼び出しが実行されるため、/data/ ディレクトリーには相対的な場所を指定します。

$ atomic run rhel7/ipa-server ipa-server-install --external-cert-file /data/ipa.crt --external-cert-file /data/ca.crt

コンテナーの永続ストレージディレクトリーを /var/lib/<container_name>/ に手動で作成します。

$ mkdir -p /var/lib/ipa-server

証明書チェーンを含むファイルをディレクトリーにコピーします。

$ cp /root/server-*.p12 /var/lib/ipa-server/.

必要なファイルに関する詳細は、Linux ドメイン ID、認証、およびポリシーガイド の CA なしのインストール を参照してください。

atomic install コマンドを使用し、サードパーティーの認証局から必要な証明書を指定します。

$ atomic install --name server-container rhel7/ipa-server publish \
   --hostname server.example.com \
   ipa-server-install \
   --dirsrv-cert-file=/data/server-dirsrv-cert.p12 \
   --dirsrv-pin=1234 \
   --http-cert-file=/data/server-http-cert.p12 \
   --http-pin=1234 \
   --pkinit-cert-file=/data/server-pkinit-cert.p12 \
   --pkinit-pin=1234

ipa-server-install セットアップスクリプトが起動します。

The log file for this installation can be found in /var/log/ipaserver-install.log
========================================
This program will set up the IPA Server.
[... output truncated ...]

このプロセスは、ipa-server-install ユーティリティーを使用して非コンテナーサーバーをインストールする場合と同じです。

atomic install rhel7/ipa-server publish --hostname fully_qualified_domain_name ipa-replica-install コマンドを使用してインストールを開始します。Identity Management のホスト名とドメイン名を指定するために --server および --domain オプションを含めます。

コンテナーの永続ストレージディレクトリーを /var/lib/<container_name>/ に手動で作成します。

$ mkdir -p /var/lib/ipa-server

証明書チェーンを含むファイルをディレクトリーにコピーします。

$ cp /root/server-*.p12 /var/lib/ipa-server/.

必要なファイルに関する詳細は、Linux ドメイン ID、認証、およびポリシーガイド の CA なしのインストール を参照してください。

atomic install rhel7/ipa-server publish --hostname fully_qualified_domain_name ipa-replica-install コマンドを使用して --server および --domain オプションを指定して、Identity Management サーバーのホスト名およびドメイン名を指定し、サードパーティーの認証局から必要な証明書を指定します。

$ atomic install --name replica-container rhel7/ipa-server publish \
    --hostname replica.example.com \
    ipa-replica-install \
    --server server.example.com \
    --domain example.com \
    --dirsrv-cert-file=/data/replica-dirsrv-cert.p12 \
    --dirsrv-pin=1234 \
    --http-cert-file=/data/replica-http-cert.p12 \
    --http-pin=1234 \
    --pkinit-cert-file=/data/replica-pkinit-cert.p12 \
    --pkinit-pin=1234

ホストシステムをコンテナーに対して Identity Management レプリカとして登録します。後で Identity Management サーバーでコンテナーを停止する場合は、認証局 (CA) が設定されたレプリカを作成してください。

Identity Management のレプリカのインストールとアンインストール を参照してください。

コンテナー内のサーバーから CA マスターのロールをホストシステムの新しいレプリカに移行します。

レプリカのマスター CA サーバーへのプロモート を参照してください。

コンテナーでサーバーを停止します。

5章サーバーおよびレプリカコンテナーのアンインストール を参照してください。

既存のトポロジーに属するレプリカコンテナーがそのトポロジーから適切に削除されるようにするには、登録したホストで ipa server-del <container-host-name> コマンドを実行します。

atomic uninstall コマンドでは以下を行えないため、この手順は重要です。

atomic uninstall コマンドを実行して、コンテナー名とイメージ名を追加します。

$ atomic uninstall --name <container_name> rhel7/ipa-server

atomic install コマンドを実行して sssd コンテナーインストールを開始し、新しいホストの登録が可能な IdM ユーザーの無作為なパスワードまたは認証情報を指定します。多くの場合、これは admin ユーザーです。

# atomic install rhel7/sssd --password "4Re[>5]OB$3K($qYs:M&}B"
[... output truncated ...]
Service sssd.service configured to run SSSD container.
[... output truncated ...]

# atomic install rhel7/sssd -p admin -w <admin_password>
[... output truncated ...]
Service sssd.service configured to run SSSD container.
[... output truncated ...]

atomic install rhel7/sssd コマンドでは、標準の ipa-client-install オプションを指定できます。設定によっては、これらのオプションを指定して追加情報を入力する必要がある場合があります。たとえば、ipa-client-install がサーバーのホスト名およびドメイン名を判断できない場合は、--server および --domain オプションを指定します。

# atomic install rhel7/sssd --password "4Re[>5]OB$3K($qYs:M&}B" --server <server.example.com> --domain <example.com>

--password=4Re[>5]OB$3K($qYs:M&}B
--server=server.example.com
--domain=example.com

以下のいずれかのコマンドを実行して、コンテナーで SSSD を起動します。

# atomic run rhel7/sssd

# systemctl start sssd

任意。コンテナーが実行していることを確認します。

# docker ps
CONTAINER ID        IMAGE
5859b9366f0f        rhel7/sssd

任意。Atomic Host の SSSD が Identity Management ドメインの ID を解決していることを確認します。

管理者など Active Directory ドメインにシステムを登録することができるユーザーのパスワードを、Atomic Host システムの /etc/sssd/realm-join-password ファイルに保存します。

# echo <password> > /etc/sssd/realm-join-password

realm join コマンドは、パスワードをコマンドラインパラメーターとして受け付けないため、ファイルにパスワードを指定する必要があります。

atomic install コマンドを実行して sssd コンテナーインストールを開始し、参加するレルムを指定します。操作にデフォルトの管理者ユーザーアカウントを使用している場合は、以下を実行します。

# atomic install rhel7/sssd realm join <ad.example.com>
docker run --rm=true --privileged --net=host -v /:/host -e NAME=sssd -e IMAGE=rhel7/sssd -e HOST=/host rhel7/sssd /bin/install.sh realm join ad.example.com
Initializing configuration context from host ...
Password for Administrator:
Copying new configuration to host ...
Service sssd.service configured to run SSSD container.

別のユーザーアカウントを使用している場合は、--user オプションで指定します。

# atomic install rhel7/sssd realm join --user <user_name> <ad.example.com>

以下のいずれかのコマンドを実行して、コンテナーで SSSD を起動します。

# atomic run rhel7/sssd

# systemctl start sssd

任意。コンテナーが実行していることを確認します。

# docker ps
CONTAINER ID        IMAGE
5859b9366f0f        rhel7/sssd

任意。Atomic Host システムで、SSSD が Active Directory ドメインからアイデンティティーを解決していることを確認します。

# id administrator@<ad.example.com>
uid=1397800500(administrator@ad.example.com) gid=1397800513(domain users@ad.example.com)

atomic install コマンドを実行して、SSSD コンテナーを起動します。以下に例を示します。

# atomic install --opt1='--dns=192.0.2.1 --dns-search=idm.example.com --hostname=server.ad.example.com -e SSSD_CONTAINER_TYPE=application --net=default' --name=ad_sssd rhel7/sssd realm join -v ad.example.com

前述の例は、ad_sssd という名前の SSSD アプリケーションコンテナーを作成します。DNS サーバーの IP アドレス、検索ドメイン、ホスト名、および realm join コマンドを atomic install に渡し、コンテナーで稼働している SSSD を Active Directory ドメインに自動的にジョインさせます。

この手順は、SSSD コンテナーを提供する各アイデンティティープロバイダーに対して繰り返します。

コンテナーを起動します。以下に例を示します。

# atomic run ad_sssd

管理者など Active Directory ドメインにシステムを登録することができるユーザーのパスワードを、Atomic Host システムの /etc/sssd/realm-join-password ファイルに保存します。

# echo <password> > /etc/sssd/realm-join-password

realm join コマンドは、パスワードをコマンドラインパラメーターとして受け付けないため、ファイルにパスワードを指定する必要があります。

atomic install コマンドを実行して sssd コンテナーインストールを開始し、参加するレルムを指定します。操作にデフォルトの管理者ユーザーアカウントを使用している場合は、以下を実行します。

# atomic install --opt1='--dns=<DNS_server_IP> --dns-search=<DNS_domain> --hostname=<host_name> -e SSSD_CONTAINER_TYPE=application --net=default' rhel7/sssd realm join -v <ad.example.com>
docker run --rm=true --privileged --net=host -v /:/host -e NAME=sssd -e IMAGE=rhel7/sssd -e HOST=/host rhel7/sssd /bin/install.sh realm join -v ad.example.com
Initializing configuration context from host ...
 * Resolving: _ldap._tcp.ad.example.com
 * Performing LDAP DSE lookup on: 192.168.122.105
...
Service sssd.service configured to run SSSD container.

別のユーザーアカウントを使用している場合は、--user オプションで指定します。

# atomic install rhel7/sssd realm join --user <user_name> <ad.example.com>

以下のいずれかのコマンドを実行して、コンテナーで SSSD を起動します。

# atomic run rhel7/sssd

# systemctl start sssd

任意。コンテナーが実行していることを確認します。

# docker ps
CONTAINER ID        IMAGE
5859b9366f0f        rhel7/sssd

任意。Atomic Host システムで、SSSD が Active Directory ドメインからアイデンティティーを解決していることを確認します。

# id administrator@<ad.example.com>
uid=1397800500(administrator@ad.example.com) gid=1397800513(domain users@ad.example.com)

kinit オプションを docker exec コマンドに渡します。たとえば、管理者ユーザーとして認証するには、以下を実行します。

# docker exec -i <container_name> kinit administrator
Password for administrator@<DOMAIN>:

必要に応じて、Kerberos 認証情報キャッシュが Kerberos Credential Manager (KCM) に保存されていることを確認します。

# docker exec -i <container_name> klist
Ticket cache: KEYRING:persistent:0:0
Default principal: Administrator@<DOMAIN>

Valid starting     Expires            Service principal
08/11/17 11:51:06  08/11/17 21:51:06  krbtgt/<DOMAIN>@<DOMAIN>
	renew until 08/18/17 11:51:03

atomic uninstall コマンドを実行して、イメージ名を追加します。

# atomic uninstall rhel7/sssd
[... output truncated ...]
Unenrolling client from IPA server
[... output truncated ...]
Client uninstall complete
[... output truncated ...]

Identity Management サーバーで Atomic Host システムのホストエントリーを削除します。たとえば、コマンドラインでは、以下のようになります。

$ ipa host-del <atomic.example.com>

Atomic Host 上の sssd サービスが、現在では設定されていないコンテナーを起動しないようにするには、サービスの systemd ユニットファイルを削除して、systemd プロセスを再ロードします。

# rm /etc/systemd/system/sssd.service
# systemctl daemon-reload