2.3. IdM トポロジーにおけるロールの現状確認

手順

1. トポロジー内のサーバーと、各サーバーで有効になっているロールをリスト表示します。

   [root@rhel8 ~]# ipa server-find --all
   ---------------------
   2 IPA servers matched
   ---------------------
     dn: cn=ipa1.example.com,cn=masters,cn=ipa,cn=etc,dc=example,dc=com
     Server name: ipa1.example.com
     Managed suffixes: domain, ca
     Min domain level: 1
     Max domain level: 1
     Enabled server roles: AD trust agent, AD trust controller, CA server, DNS server, IPA master, KRA server
   
     dn: cn=ipa2.example.com,cn=masters,cn=ipa,cn=etc,dc=example,dc=com
     Server name: ipa2.example.com
     Managed suffixes: domain, ca
     Min domain level: 1
     Max domain level: 1
     Enabled server roles: AD trust agent, AD trust controller, CA server, IPA master
   ----------------------------
   Number of entries returned 2
   ----------------------------

2. CA 更新マスターのロールが 1 台のサーバーに割り当てられていることを確認します。

   [root@rhel8 ~]# ipa config-show | grep "CA renewal master"
   IPA CA renewal master: ipa1.example.com

3. DNSSEC キーマスターのロールが 1 台のサーバーに割り当てられていることを確認します。

   [root@rhel8 ~]# ipa dnsconfig-show | grep 'DNSSec key master'
   IPA DNSSec key master: ipa1.example.com

4. その他の重要なロール (CA、DNS、KRA、AD 信頼エージェント、AD 信頼コントローラーなど) を、どのサーバーが提供しているかを記録します。このリストは、新しいレプリカにロールを割り当てるとき、または移行中に冗長性を検証するときに参照することになります。

5. IdM デプロイメントが Active Directory (AD) フォレストとの信頼関係にある場合は、移行中に以下のことが確実になるように計画します。

   1. 少なくとも 1 台の信頼コントローラーが常にオンラインであり続ける。
   2. 可能な限り、クライアントがどのサーバーに接続しても AD ユーザーを解決できるように、各レプリカでも信頼エージェントを実行する。
6. レプリカ合意とサイトレイアウトを確認し、移行全体を通して各サイトが冗長な接続を維持することを確認します。レプリカトポロジーの例。
7. サーバーごとのレプリカ合意の数が、4 つ以下のリンクという長期ガイドラインに合致していることを確認してください。トポロジーで IdM レプリカを接続するためのガイドラインを参照してください。

8. トポロジーを変更する前に、ipa-healthcheck を実行してレプリケーションの問題を特定します。

   [root@rhel8 ~]# ipa-healthcheck --source=ipahealthcheck.ds.replication --source=ipahealthcheck.ipa.topology