4.2. 部分的に機能する環境間の仮想マシンのスナップショットからの復旧

手順

1. すべてのレプリカ合意を失われたサーバーから削除します。IdM サーバーのアンインストール を参照してください。
2. CA レプリカ仮想マシンで使用するスナップショットを起動します。

3. 復元したサーバーと失われたサーバー間のレプリカ合意を削除します。

   [root@restored-CA-replica ~]# ipa server-del lost-server1.example.com
   [root@restored-CA-replica ~]# ipa server-del lost-server2.example.com
   ...

4. 復元されたサーバーに、実稼働のサーバーとのレプリカ合意がない場合は、復元されたサーバーをその他のサーバーのいずれかに接続して、復元されたサーバーを更新します。

   [root@restored-CA-replica ~]# ipa topologysegment-add
   Suffix name: domain
   Left node: restored-CA-replica.example.com
   Right node: server3.example.com
   Segment name [restored-CA-replica.com-to-server3.example.com]: new_segment
   ---------------------------
   Added segment "new_segment"
   ---------------------------
     Segment name: new_segment
     Left node: restored-CA-replica.example.com
     Right node: server3.example.com
     Connectivity: both

5. /var/log/dirsrv/slapd-YOUR-INSTANCE/errors で Directory Server のエラーログを確認し、スナップショットの CA レプリカが残りの IdM サーバーと正しく同期しているかどうかを確認します。

6. データベースが古くて復元されたサーバーのレプリケーションが失敗すると、復元されたサーバーを再初期化します。

   [root@restored-CA-replica ~]# ipa-replica-manage re-initialize --from server2.example.com

7. 復元されたサーバーのデータベースが正しく同期されている場合は、IdM レプリカのインストール に従って、必要なサービス (CA、DNS) で追加のレプリカをデプロイし、続行します。

検証手順

1. Kerberos TGT (Ticket-Granting-Ticket) を IdM ユーザーとして正常に取得して、すべてのレプリカで Kerberos サーバーをテストします。

   [root@server ~]# kinit admin
   Password for admin@EXAMPLE.COM:
   
   [root@server ~]# klist
   Ticket cache: KCM:0
   Default principal: admin@EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   10/31/2019 15:51:37  11/01/2019 15:51:02  HTTP/server.example.com@EXAMPLE.COM
   10/31/2019 15:51:08  11/01/2019 15:51:02  krbtgt/EXAMPLE.COM@EXAMPLE.COM

2. ユーザー情報を取得して、すべてのレプリカで Directory Server および SSSD 設定をテストします。

   [root@server ~]# ipa user-show admin
     User login: admin
     Last name: Administrator
     Home directory: /home/admin
     Login shell: /bin/bash
     Principal alias: admin@EXAMPLE.COM
     UID: 1965200000
     GID: 1965200000
     Account disabled: False
     Password: True
     Member of groups: admins, trust admins
     Kerberos keys available: True

3. ipa cert-show コマンドを使用して、すべての CA レプリカで CA サーバーをテストします。

   [root@server ~]# ipa cert-show 1
     Issuing CA: ipa
     Certificate: MIIEgjCCAuqgAwIBAgIjoSIP...
     Subject: CN=Certificate Authority,O=EXAMPLE.COM
     Issuer: CN=Certificate Authority,O=EXAMPLE.COM
     Not Before: Thu Oct 31 19:43:29 2019 UTC
     Not After: Mon Oct 31 19:43:29 2039 UTC
     Serial number: 1
     Serial number (hex): 0x1
     Revoked: False