オンラインネットワーク環境での Satellite Server のインストール

手順

1. 使用する追加オプションを指定し、以下のコマンドを入力します。

   # satellite-installer --scenario satellite \
   --foreman-initial-organization "My_Organization" \
   --foreman-initial-location "My_Location" \
   --foreman-initial-admin-username admin_user_name \
   --foreman-initial-admin-password admin_password

   このスクリプトは、進捗を表示し、/var/log/foreman-installer/satellite.log にログを記録します。

手順

1. Satellite Web UI で、コンテンツ > Red Hat リポジトリー に移動します。
2. Available Repositories ペインで、Recommended Repositories を有効にして、リポジトリーのリストを取得します。
3. Red Hat Satellite Client 6 for RHEL 9 x86_64 (RPMs) または Red Hat Satellite Client 6 for RHEL 8 x86_64 (RPMs) をクリックして、リポジトリーセットをデプロイします。

4. x86_64 アーキテクチャーの場合、+ アイコンをクリックしてリポジトリーを有効にします。

   Satellite Client 6 の項目が表示されていない場合は、カスタマーポータルから取得した Red Hat サブスクリプションマニフェストにその項目が含まれないことが原因として考えられます。この問題を修正するには、カスタマーポータルにログインし、これらのリポジトリーを追加し、Red Hat サブスクリプションマニフェストをダウンロードして、Satellite にインポートします。詳細は、コンテンツの管理 の Red Hat サブスクリプションの管理 を参照してください。

   ホストで実行している Red Hat Enterprise Linux の各サポート対象メジャーバージョンに対して Satellite Client 6 リポジトリーを有効にします。Red Hat リポジトリーの有効後に、このリポジトリーの製品が自動的に作成されます。

手順

1. Satellite Web UI で、コンテンツ > Red Hat リポジトリー に移動します。
2. Available Repositories ペインで、Recommended Repositories を有効にして、リポジトリーのリストを取得します。

3. Available Repositories ペインで、Satellite Client 6 (for RHEL 7 Server) (RPMs) または Satellite Client 6 (for RHEL 6 Server - ELS) (RPMs) をクリックしてリポジトリーセットをデプロイします。

   Satellite Client 6 の項目が表示されていない場合は、カスタマーポータルから取得した Red Hat サブスクリプションマニフェストにその項目が含まれないことが原因として考えられます。この問題を修正するには、カスタマーポータルにログインし、これらのリポジトリーを追加し、Red Hat サブスクリプションマニフェストをダウンロードして、Satellite にインポートします。詳細は、コンテンツの管理 の Red Hat サブスクリプションの管理 を参照してください。

4. x86_64 アーキテクチャーの場合、+ アイコンをクリックしてリポジトリーを有効にします。ホストで実行している Red Hat Enterprise Linux の各サポート対象メジャーバージョンに対して Satellite Client 6 リポジトリーを有効にします。Red Hat リポジトリーの有効後に、このリポジトリーの製品が自動的に作成されます。

手順

1. Satellite Web UI で、Content > Sync Status に移動します。
2. Red Hat Enterprise Linux for x86_64 製品の横にある矢印をクリックして、利用可能なコンテンツを表示します。
3. Red Hat Satellite Client 6 for RHEL 9 x86_64 RPMs または Red Hat Satellite Client 6 for RHEL 8 x86_64 RPMs (該当する方) を選択します。
4. Synchronize Now をクリックします。

手順

1. Satellite Web UI で、Content > Sync Status に移動します。
2. Red Hat Enterprise Linux Server または Red Hat Enterprise Linux Server - Extended Life Cycle Support 製品 (該当する方) の横にある矢印をクリックして、利用可能なコンテンツを表示します。
3. お使いのオペレーティングシステムのバージョンに応じて、Red Hat Satellite Client 6 (for RHEL 7 Server) RPMs x86_64 または Red Hat Satellite Client 6 for RHEL 6 Server - ELS RPMs x86_64 を選択します。
4. Synchronize Now をクリックします。

手順

1. Satellite Web UI で、Infrastructure > HTTP Proxies に移動します。
2. 新しい HTTP プロキシー をクリックします。
3. 名前 フィールドで、HTTP プロキシーの名前を入力します。
4. Url フィールドで、https://proxy.example.com:8080 の形式で HTTP プロキシーの URL を入力します。
5. オプション: 認証が必要な場合には、Username フィールドに認証に使用するユーザー名を入力します。
6. オプション: 認証が必要な場合には、Password フィールドに認証に使用するパスワードを入力します。
7. プロキシーへの接続をテストするには、Test Connection をクリックします。
8. Submit をクリックします。
9. Satellite Web UI で、Administer > Settings に移動して、Content タブをクリックします。
10. 作成した HTTP プロキシーに Default HTTP Proxy 設定を指定します。

CLI 手順

1. http_proxy、https_proxy および no_proxy 変数が設定されていないことを確認します。

   # unset http_proxy
   # unset https_proxy
   # unset no_proxy

2. HTTP プロキシーエントリーを Satellite に追加します。

   # hammer http-proxy create --name=myproxy \
   --url http://myproxy.example.com:8080  \
   --username=proxy_username \
   --password=proxy_password

3. Satellite がデフォルトでこの HTTP プロキシーを使用するように設定します。

   # hammer settings set --name=content_default_http_proxy --value=myproxy

手順

1. Satellite で以下のコマンドを実行して、SELinux で HTTP キャッシュに許可されているポートを確認します。

   # semanage port -l | grep http_cache
   http_cache_port_t       tcp    8080, 8118, 8123, 10001-10010
   [output truncated]

2. 以下のコマンドを実行して、SELinux が HTTP キャッシュにポート (たとえば、8088) を許可するよう設定します。

   # semanage port -a -t http_cache_port_t -p tcp 8088

手順

1. Satellite Web UI で、Administer > Settings に移動します。
2. HTTP(S) プロキシー 行で、隣接する Value 列を選択し、プロキシー URL を入力します。
3. チェックのアイコンをクリックして変更を保存します。

手順

1. Satellite Web UI で、Administer > Settings に移動します。
2. HTTP(S) proxy except hosts の行で、隣接する Value の列を選択して、プロキシー要求から除外する、1 つまたは複数のホストの名前を入力します。
3. チェックのアイコンをクリックして変更を保存します。

手順

1. Satellite Web UI で、Administer > Settings に移動して、Content タブをクリックします。
2. Default HTTP Proxy の設定を no global default に指定します。

手順

1. ソースの証明書ファイルすべてを保存するには、root ユーザーだけがアクセスできるディレクトリーを作成します。

   # mkdir /root/satellite_cert

2. 証明書署名要求 (CSR) に署名する秘密鍵を作成します。

   秘密鍵は暗号化する必要がないことに注意してください。パスワードで保護された秘密鍵を使用する場合は、秘密鍵のパスワードを削除します。

   この Satellite Server の秘密鍵がすでにある場合は、この手順を省略します。

   # openssl genrsa -out /root/satellite_cert/satellite_cert_key.pem 4096

3. CSR 用の /root/satellite_cert/openssl.cnf 設定ファイルを作成して、以下のコンテンツを追加します。

1. オプション: CSR に識別名 (DN) の詳細を追加する場合は、[ req_distinguished_name ] セクションに次の情報を追加します。

   [req_distinguished_name]
   CN = satellite.example.com
   countryName =My_Country_Name 1
   stateOrProvinceName = My_State_Or_Province_Name 2
   localityName = My_Locality_Name 3
   organizationName = My_Organization_Or_Company_Name
   organizationalUnitName = My_Organizational_Unit_Name 4

   1

   2 文字コード

   2

   名前

   3

   フルネーム (例: ニューヨーク)

   4

   証明書を担当する部門 (例:IT 部門)

2. CSR を生成します。

   # openssl req -new \
   -key /root/satellite_cert/satellite_cert_key.pem \ 1
   -config /root/satellite_cert/openssl.cnf \ 2
   -out /root/satellite_cert/satellite_cert_csr.pem 3

   1

   秘密鍵へのパス

   2

   設定ファイルへのパス

   3

   生成する CSR へのパス

3. 認証局 (CA) に証明書署名要求を送信します。Satellite Server と Capsule Server の証明書には同じ CA が署名する必要があります。

   要求を送信する場合は、証明書の有効期限を指定してください。証明書要求の送信方法にはさまざまなものがあるため、推奨される方法について CA にお問い合わせください。要求すると、CA バンドルと署名済み証明書を別々のファイルで受け取ることになります。

手順

1. カスタムの SSL 証明書入力ファイルを検証します。katello-certs-check コマンドが正しく実行されるには、証明書のコモンネーム (CN) が Satellite Server の FQDN と一致する必要があることに注意してください。

   # katello-certs-check \
   -c /root/satellite_cert/satellite_cert.pem \      1
   -k /root/satellite_cert/satellite_cert_key.pem \  2
   -b /root/satellite_cert/ca_cert_bundle.pem        3

   1

   認証局が署名した Satellite Server の証明書ファイルへのパス

   2

   Satellite Server 証明書の署名に使用された秘密鍵へのパス。

   3

   認証局バンドルへのパス

   このコマンドに成功すると、2 つの satellite-installer コマンドが返されます。1 つは、Satellite Server に証明書をデプロイするのに使用する必要があります。

   katello-certs-check の出力例

   Validation succeeded.
   
   To install the Red Hat Satellite Server with the custom certificates, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem"
   
   To update the certificates on a currently running Red Hat Satellite installation, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem" \
       --certs-update-server --certs-update-server-ca

   /root/ssl-build にアクセスしたり変更したりしないでください。

2. 要件に合わせて katello-certs-check コマンドの出力から、satellite-installer コマンドを入力し、カスタムの SSL 証明書で新しい Satellite をインストールするか、現在実行中の Satellite の証明書を更新します。

   実行するコマンドが不明な場合には、/etc/foreman-installer/scenarios.d/.installed が存在するかをチェックし、Satellite がインストールされていることが確認できます。ファイルが存在する場合には、2 番目の satellite-installer コマンドを実行すると証明書が更新されます。

   重要

   証明書をデプロイした後、satellite-installer には証明書アーカイブファイルが必要になります。変更したり削除したりしないでください。Satellite Server のアップグレード時などに必要です。

3. Satellite Server にネットワークでアクセスできるコンピューターで、この URL (https://satellite.example.com) に移動します。
4. ブラウザーで、証明書の詳細を表示して、デプロイした証明書を確認します。

手順

1. Satellite Infrastructure サブスクリプションの割り当て の手順に従って、Satellite サブスクリプションをサーバーに割り当てます。

2. すべてのリポジトリーを無効にし、以下のリポジトリーのみを有効にします。

   # subscription-manager repos --disable '*'
   # subscription-manager repos \
   --enable=satellite-6.14-for-rhel-8-x86_64-rpms \
   --enable=satellite-maintenance-6.14-for-rhel-8-x86_64-rpms \
   --enable=rhel-8-for-x86_64-baseos-rpms \
   --enable=rhel-8-for-x86_64-appstream-rpms

3. 次のモジュールを有効にします。

   # dnf module enable satellite:el8

   注記

   モジュール satellite:el8 を有効にすると、postgresql:10 および ruby:2.5 との競合について警告が表示されます。これは、これらのモジュールが Red Hat Enterprise Linux 8 でデフォルトのモジュールバージョンに設定されているためです。モジュール satellite:el8 には、モジュール postgresql:12 および ruby:2.7 への依存関係があり、satellite:el8 モジュールで有効になります。これらの警告はインストールプロセスの失敗の原因にはならないため、安全に無視できます。Red Hat Enterprise Linux 8 のモジュールとライフサイクルストリームの詳細は、Red Hat Enterprise Linux Application Streams のライフサイクル を参照してください。

手順

1. PostgreSQL をインストールするには、以下のコマンドを入力します。

   # dnf install postgresql-server postgresql-evr postgresql-contrib

2. PostgreSQL を初期化するには、以下のコマンドを入力します。

   # postgresql-setup initdb

3. /var/lib/pgsql/data/postgresql.conf ファイルで以下を行います。

   # vi /var/lib/pgsql/data/postgresql.conf

   Satellite で機能するには、外部 PostgreSQL のデフォルト設定を調整する必要があることに注意してください。基本的に推奨される外部データベース設定の調整は次のとおりです。

   • checkpoint_completion_target: 0.9
   • max_connections: 500
   • shared_buffers: 512MB
   • work_mem: 4MB

4. # を削除して、着信接続をリッスンするようにします。

   listen_addresses = '*'

5. /var/lib/pgsql/data/pg_hba.conf ファイルを編集します。

   # vi /var/lib/pgsql/data/pg_hba.conf

6. 以下の行をファイルに追加します。

     host  all   all   Satellite_ip/32   md5

7. PostgreSQL サービスを起動し、有効にするには、以下のコマンドを実行します。

   # systemctl enable --now postgresql

8. 外部 PostgreSQL サーバーで postgresql ポートを開きます。

   # firewall-cmd --add-service=postgresql
   # firewall-cmd --runtime-to-permanent

9. postgres ユーザーに切り替え、PostgreSQL クライアントを起動します。

   $ su - postgres -c psql

10. 3 つのデータベースと専用のロールを作成します。1 つは Satellite 用、1 つは Candlepin 用、もう 1 つは Pulp 用です。

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE USER "pulp" WITH PASSWORD 'Pulpcore_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;
    CREATE DATABASE pulpcore OWNER pulp;

11. Pulp データベースに接続します。

    postgres=# \c pulpcore
    You are now connected to database "pulpcore" as user "postgres".

12. hstore エクステンションを作成します。

    pulpcore=# CREATE EXTENSION IF NOT EXISTS "hstore";
    CREATE EXTENSION

13. postgres ユーザーをログアウトします。

    # \q

14. Satellite Server から、データベースにアクセスできることをテストします。接続に成功した場合には、コマンドは 1 を返します。

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"
    # PGPASSWORD='Pulpcore_Password' psql -h postgres.example.com -p 5432 -U pulp -d pulpcore -c "SELECT 1 as ping"

手順

1. Satellite の外部データベースを設定するには以下のコマンドを入力します。

   # satellite-installer --scenario satellite \
   --foreman-db-database foreman \
   --foreman-db-host postgres.example.com \
   --foreman-db-manage false \
   --foreman-db-password Foreman_Password \
   --foreman-proxy-content-pulpcore-manage-postgresql false \
   --foreman-proxy-content-pulpcore-postgresql-db-name pulpcore \
   --foreman-proxy-content-pulpcore-postgresql-host postgres.example.com \
   --foreman-proxy-content-pulpcore-postgresql-password Pulpcore_Password \
   --foreman-proxy-content-pulpcore-postgresql-user pulp \
   --katello-candlepin-db-host postgres.example.com \
   --katello-candlepin-db-name candlepin \
   --katello-candlepin-db-password Candlepin_Password \
   --katello-candlepin-manage-db false

   これらの外部データベースに対して Secure Sockets Layer (SSL) プロトコルを有効にするには、次のオプションを追加します。

   --foreman-db-root-cert <path_to_CA>
   --foreman-db-sslmode verify-full
   --foreman-proxy-content-pulpcore-postgresql-ssl true
   --foreman-proxy-content-pulpcore-postgresql-ssl-root-ca <path_to_CA>
   --katello-candlepin-db-ssl true
   --katello-candlepin-db-ssl-ca <path_to_CA>
   --katello-candlepin-db-ssl-verify true

手順

1. LDAP サーバーから証明書を取得します。

   1. Active Directory 証明書サービスを使用する場合は、ベース 64 エンコード X.509 形式を使用してエンタープライズ PKI CA 証明書をエクスポートします。Active Directory サーバーでの CA 証明書の作成およびエクスポートについては、How to configure Active Directory authentication with TLS on Satellite を参照してください。

   2. LDAP サーバー証明書を一時的な場所の Satellite Server にダウンロードし、終了したら削除します。

      たとえば、/tmp/example.crt です。ファイル名の拡張子を .cer と .crt にすることが唯一の規則であり、この拡張子は、DER バイナリーまたは PEM ASCII の形式の証明書を参照できます。

2. LDAP サーバーからの証明書を信頼します。

   Satellite Server では、LDAP 認証用の CA 証明書は /etc/pki/tls/certs/ ディレクトリー内の個別ファイルである必要があります。

   1. install コマンドを使用して適切なパーミッションでインポート済みの証明書を /etc/pki/tls/certs/ ディレクトリーにインストールします。

      # install /tmp/example.crt /etc/pki/tls/certs/

   2. root で以下のコマンドを実行して、LDAP サーバーから取得した example.crt 証明書を信頼します。

      # ln -s example.crt /etc/pki/tls/certs/$(openssl \
      x509 -noout -hash -in \
      /etc/pki/tls/certs/example.crt).0

   3. httpd サービスを再起動します。

      # systemctl restart httpd

手順

1. Network Information System (NIS) サービスのブール値を true に設定して SELinux により LDAP の送信接続がブロックされないようにします。

   # setsebool -P nis_enabled on

2. Satellite Web UI で、Administer > Authentication Sources に移動します。
3. Create LDAP Authentication Source をクリックします。
4. LDAP サーバータブで LDAP サーバーの名前、ホスト名、ポート、およびサーバータイプを入力します。デフォルトポートは 389、デフォルトサーバータイプは POSIX です (認証サーバーのタイプに応じて FreeIPA または Active Directory を選択することもできます)。TLS 暗号化接続に対しては、LDAPS チェックボックスを選択して暗号化を有効にします。ポートは LDAPS のデフォルト値である 636 に変更されるはずです。
5. アカウント タブで、アカウント情報とドメイン名の詳細を入力します。説明と例については、「LDAP 設定の説明」 を参照してください。
6. 属性マッピング タブで、LDAP 属性を Satellite 属性にマッピングします。ログイン名、名、姓、メールアドレス、および写真の属性をマッピングできます。サンプルについては、「LDAP 接続の設定例」 を参照してください。
7. ロケーション タブで、左側の表からロケーションを選択します。選択したロケーションは、LDAP 認証ソースから作成されたユーザーに割り当てられ、初回ログイン以降、利用可能となります。
8. 組織 タブで、左側の表から組織を選択します。選択した組織は、LDAP 認証ソースから作成されたユーザーに割り当てられ、初回ログイン以降、利用可能となります。
9. Submit をクリックします。

10. LDAP ユーザーの新しいアカウントを設定します。

    • Automatically Create Accounts In Satellite チェックボックスを選択しなかった場合は、Red Hat Satellite の管理 の ユーザーの作成 を参照して、ユーザーアカウントを手動で作成します。
    • Satellite でアカウントを自動作成する のチェックボックスを選択した場合は、LDAP ユーザーは LDAP アカウントおよびパスワードを使用して Satellite にログインできます。初回ログイン後に、Satellite 管理者はロールを手動で割り当てる必要があります。Satellite でユーザーアカウントに適切なロールを割り当てる方法の詳細は、Red Hat Satellite の管理 の ユーザーへのロールの割り当て を参照してください。

手順

1. Red Hat Identity Management サーバーで、次のコマンドを入力し、プロンプトが表示されたら、パスワードを入力して、認証します。

   # kinit admin

2. 認証されたことを確認するには、次のコマンドを入力します。

   # klist

3. 以下のように、Red Hat Identity Management サーバー上で Satellite Server のホストエントリーを作成し、ワンタイムパスワードを生成します。

   # ipa host-add --random hostname

   注記

   Red Hat Identity Management 登録を完了するには、生成されたワンタイムパスワードをクライアントで使用する必要があります。

   ホスト設定プロパティーの詳細は、Identity Management の設定と管理 の IdM LDAP のホストエントリー を参照してください。

4. 以下のように、Satellite Server 向けの HTTP サービスを作成します。

   # ipa service-add HTTP/hostname

   サービスの管理に関する詳細は、Red Hat Enterprise Linux 8 Identity Management サービスへのアクセス を参照してください。

5. Satellite Server で、IPA クライアントをインストールします。

   警告

   このコマンドは、パッケージのインストール中に Satellite サービスを再起動する可能性があります。Satellite でのパッケージのインストールおよび更新に関する詳細は、Red Hat Satellite の管理 の Satellite Server または Capsule Server のベースオペレーティングシステムでのパッケージの管理 を参照してください。

   # satellite-maintain packages install ipa-client

6. Satellite Server で、以下のコマンドを root として入力し、Red Hat Identity Management 登録を設定します。

   # ipa-client-install --password OTP

   OTP を、Red Hat Identity Management 管理者により提供されたワンタイムパスワードに置き換えます。

7. 次のコマンドのいずれかを使用して、Red Hat Identity Management を認証プロバイダーとして設定します。

   • Satellite API ではなく、Satellite Web UI へのアクセスのみを有効にする場合は、次のように入力します。

     # satellite-installer \
     --foreman-ipa-authentication=true

   • Satellite Web UI と Satellite API の両方へのアクセスを有効にする場合は、次のように入力します。

     # satellite-installer \
     --foreman-ipa-authentication-api=true \
     --foreman-ipa-authentication=true

     警告

     Satellite API と Satellite Web UI の両方へのアクセスを有効にすると、セキュリティー上の問題が発生する可能性があります。IdM ユーザーが kinit user_name を入力して Kerberos Ticket-Granting Ticket (TGT) を受け取った後、攻撃者は API セッションを取得できます。ユーザーが以前にブラウザーなど、どこにも Satellite ログイン認証情報を入力していなかった場合でも、攻撃は可能です。

8. Satellite サービスを再起動します。

   # satellite-maintain service restart

手順

1. Red Hat Identity Management サーバーで、次のコマンドを入力し、プロンプトが表示されたら、パスワードを入力して、認証します。

   # kinit admin

2. 認証されたことを確認するには、次のコマンドを入力します。

   # klist

3. HBAC サービスおよびルールを Red Hat Identity Management サーバーで作成し、リンクします。以下の例では、satellite-prod という PAM サービス名を使用しています。Red Hat Identity Management サーバー上で以下のコマンドを実行してください。

   # ipa hbacsvc-add satellite-prod
   # ipa hbacrule-add allow_satellite_prod
   # ipa hbacrule-add-service allow_satellite_prod --hbacsvcs=satellite-prod

4. satellite-prod サービスへのアクセス権があるユーザーと Satellite Server のホスト名を追加します。

   # ipa hbacrule-add-user allow_satellite_prod --user=username
   # ipa hbacrule-add-host allow_satellite_prod --hosts=satellite.example.com

   または、allow_satellite_prod ルールにホストグループとユーザーグループを追加できます。

5. ルールのステータスを確認するために、以下のコマンドを実行します。

   # ipa hbacrule-find satellite-prod
   # ipa hbactest --user=username --host=satellite.example.com --service=satellite-prod

6. Red Hat Identity Management サーバーで allow_all ルールが無効であることを確認します。他のサービスに影響を与えずにこのルールを無効にする方法については、Red Hat カスタマーポータルのアーティクル How to configure HBAC rules in IdM to allow specific users to login to clients via ssh を参照してください。

7. 「Satellite Server での Red Hat Identity Management 認証の設定」 で説明されているように、Satellite Server で Red Hat Identity Management 統合を設定します。Satellite Server で、root として PAM サービスを定義します。

   # satellite-installer --foreman-pam-service=satellite-prod

手順

1. 必要なパッケージをインストールします。

   # satellite-maintain packages install sssd adcli realmd ipa-python-compat krb5-workstation samba-common-tools

2. Satellite Server を AD サーバーに登録します。以下のコマンドを実行するには、管理者パーミッションが必要な場合があります。

   # realm join -v EXAMPLE.ORG --membership-software=samba -U Administrator

   注記

   「GSS-Proxy を使用した直接 AD 統合の設定」 で HTTP キータブを作成できるようにするには、Samba クライアントソフトウェアを使用して AD サーバーに登録する必要があります。

手順

1. /etc/ipa/ ディレクトリーと default.conf ファイルを作成します。

   # mkdir /etc/ipa
   # touch /etc/ipa/default.conf

2. default.conf ファイルに以下のコンテンツを追加します。

   [global]
   server = unused
   realm = EXAMPLE.ORG

3. 以下の内容で /etc/net-keytab.conf ファイルを作成します。

   [global]
   workgroup = EXAMPLE
   realm = EXAMPLE.ORG
   kerberos method = system keytab
   security = ads

4. Apache ユーザーの有効なユーザー ID を特定します。

   # id apache

   Apache ユーザーには keytab ファイルへのアクセス権を割り当てないでください。

5. 以下の内容で /etc/gssproxy/00-http.conf ファイルを作成します。

   [service/HTTP]
   mechs = krb5
   cred_store = keytab:/etc/httpd/conf/http.keytab
   cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
   euid = ID_of_Apache_User

6. keytab エントリーを作成します。

   # KRB5_KTNAME=FILE:/etc/httpd/conf/http.keytab net ads keytab add HTTP -U administrator -d3 -s /etc/net-keytab.conf
   # chown root.apache /etc/httpd/conf/http.keytab
   # chmod 640 /etc/httpd/conf/http.keytab

7. Satellite で IPA 認証を有効にします。

   # satellite-installer --foreman-ipa-authentication=true

8. gssproxy サービスを起動して、有効にします。

   # systemctl restart gssproxy
   # systemctl enable --now gssproxy

9. Apache サーバーが gssproxy サービスを使用するように設定するには、systemd ドロップインファイルを作成し、以下の内容を追加します。

   # mkdir -p /etc/systemd/system/httpd.service.d/
   # vi /etc/systemd/system/httpd.service.d/gssproxy.conf
   [Service]
   Environment=GSS_USE_PROXY=1

10. 変更をサービスに適用します。

    # systemctl daemon-reload

11. httpd サービスを起動して、有効にします。

    # systemctl restart httpd

1. 次のコマンドを使用して、LDAP ユーザーの Kerberos チケットを取得します。

   # kinit ldapuser

2. 以下のコマンドを使用して、Kerberos チケットを表示します。

   # klist

3. 以下のコマンドを使用して、SSO 認証に成功時の出力を表示します。

   # curl -k -u : --negotiate https://satellite.example.com/users/extlogin

   これにより、以下の応答が返されます。

   <html><body>You are being <a href="https://satellite.example.com/users/4-ldapuserexample-com/edit">redirected</a>.</body></html>

手順

1. HBAC を有効にします。

   1. 外部グループを作成して、この外部グループに AD グループを追加します。
   2. 新しい外部グループを POSIX グループに追加します。
   3. HBAC ルールで POSIX グループを使用します。

2. AD ユーザーの追加属性を転送するよう sssd を設定します。

   • この AD ユーザー属性を /etc/sssd/sssd.conf の nss セクションと domain セクションに追加します。以下に例を示します。

     [nss]
     user_attributes=+mail, +sn, +givenname
     [domain/EXAMPLE.com]
     ...
     krb5_store_password_if_offline = True
     ldap_user_extra_attrs=email:mail, lastname:sn, firstname:givenname
     
     [ifp]
     allowed_uids = ipaapi, root
     user_attributes=+email, +firstname, +lastname

   • AD 属性値を確認します。

     # dbus-send --print-reply --system --dest=org.freedesktop.sssd.infopipe /org/freedesktop/sssd/infopipe org.freedesktop.sssd.infopipe.GetUserAttr string:ad-user@ad-domain array:string:email,firstname,lastname

1. Satellite Web UI を使用した Satellite への認証。
2. Satellite CLI を使用した Satellite への認証。

手順

1. Satellite Server で、以下のパッケージをインストールします。

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install python3-lxml

2. Satellite をクライアントとして Red Hat Single Sign-On に登録します。Web UI と CLI とでログインの登録プロセスが異なる点に注意してください。Red Hat Single Sign-On に 2 つの Satellite クライアントを登録すると、Web UI と CLI から Satellite にログインできます。

   • Web UI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

     次に、認証ソースとして Red Hat Single Sign On を使用するように Satellite を設定します。

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • CLI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

3. httpd サービスを再起動します。

   # systemctl restart httpd

手順

1. Red Hat Single Sign-On Web UI で、クライアント に移動し、Satellite クライアントをクリックします。

2. アクセスタイプを設定します。

   • Satellite web UI を使用して Satellite への認証を行うには、アクセスタイプ リストから 機密 を選択します。
   • CLI を使用して Satellite への認証を行うには、アクセスタイプ リストから 公開 を選択します。

3. 有効なリダイレクト URI フィールドに有効なリダイレクト URI を追加します。

   • Satellite web UI を使用して Satellite への認証を行うには、https://satellite.example.com/users/extlogin の形式で URI を入力します。Satellite FQDN の後に /users/extlogin の文字列を追加する必要があります。

     この手順の完了後に、Satellite クライアントが Satellite web UI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • CLI を使用してユーザーが Satellite への認証を行うには、既存の URI の下の空白フィールドに urn:ietf:wg:wg:oauth:2.0:oob を入力します。

     この手順の完了後に、Satellite クライアントが CLI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. Save をクリックします。
5. マッパー タブ、作成 の順にクリックし、オーディエンスマッパーを追加します。
6. 名前 フィールドに、オーディエンスマッパーの名前を入力します。
7. マッパータイプ リストから、オーディエンス を選択します。
8. 組み込み済みクライアントオーディエンス リストから、Satellite クライアントを選択します。
9. Save をクリックします。
10. 作成 をクリックして、グループメンバーシップをもとに Satellite の認証を指定できるようにグループマッパーを追加します。
11. 名前 フィールドにグループマッパーの名前を入力します。
12. マッパータイプ リストから、グループメンバーシップ を選択します。
13. トークンクレーム名 に groups と入力します。
14. フルグループパス のトグルを OFF に設定します。
15. Save をクリックします。

手順

1. コード付与タイプを使用して Satellite CLI への認証を行うには、以下のコマンドを入力します。

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   このコマンドは、サクセスコードの入力を要求します。

2. サクセスコードを取得するには、コマンドが返す URL に移動し、必要な情報を提供します。
3. Web UI が返すサクセスコードをコピーします。
4. hammer auth login oauth のコマンドプロンプトに、サクセスコードを入力して Satellite CLI に対して認証を行います。

手順

1. Satellite Web UI で、Administer > User Groups に移動します。
2. Create User Group をクリックします。
3. 名前 フィールドにユーザーグループの名前を入力します。名前は Active Directory と同じにしないでください。
4. 右側の列には、ユーザーおよびユーザーグループを追加しないでください。ロール タブをクリックします。
5. 管理 チェックボックスを選択します。
6. 外部グループ タブをクリックします。
7. 外部ユーザーグループの追加 をクリックします。
8. 名前 フィールドに、Active Directory の名前を入力します。
9. リストから 外部 を選択します。

1. Satellite Web UI を使用した Satellite への認証。
2. Satellite CLI を使用した Satellite への認証。

手順

1. Satellite Server で、以下のパッケージをインストールします。

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install python3-lxml

2. Satellite をクライアントとして Red Hat Single Sign-On に登録します。Web UI と CLI とでログインの登録プロセスが異なる点に注意してください。Red Hat Single Sign-On に 2 つの Satellite クライアントを登録すると、Web UI と CLI から Satellite にログインできます。

   • Web UI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

     次に、認証ソースとして Red Hat Single Sign On を使用するように Satellite を設定します。

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • CLI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

3. httpd サービスを再起動します。

   # systemctl restart httpd

手順

1. Red Hat Single Sign-On Web UI で、クライアント に移動し、Satellite クライアントをクリックします。

2. アクセスタイプを設定します。

   • Satellite web UI を使用して Satellite への認証を行うには、アクセスタイプ リストから 機密 を選択します。
   • CLI を使用して Satellite への認証を行うには、アクセスタイプ リストから 公開 を選択します。

3. 有効なリダイレクト URI フィールドに有効なリダイレクト URI を追加します。

   • Satellite web UI を使用して Satellite への認証を行うには、https://satellite.example.com/users/extlogin の形式で URI を入力します。Satellite FQDN の後に /users/extlogin の文字列を追加する必要があります。

     この手順の完了後に、Satellite クライアントが Satellite web UI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • CLI を使用してユーザーが Satellite への認証を行うには、既存の URI の下の空白フィールドに urn:ietf:wg:wg:oauth:2.0:oob を入力します。

     この手順の完了後に、Satellite クライアントが CLI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. Save をクリックします。
5. マッパー タブ、作成 の順にクリックし、オーディエンスマッパーを追加します。
6. 名前 フィールドに、オーディエンスマッパーの名前を入力します。
7. マッパータイプ リストから、オーディエンス を選択します。
8. 組み込み済みクライアントオーディエンス リストから、Satellite クライアントを選択します。
9. Save をクリックします。
10. 作成 をクリックして、グループメンバーシップをもとに Satellite の認証を指定できるようにグループマッパーを追加します。
11. 名前 フィールドにグループマッパーの名前を入力します。
12. マッパータイプ リストから、グループメンバーシップ を選択します。
13. トークンクレーム名 に groups と入力します。
14. フルグループパス のトグルを OFF に設定します。
15. Save をクリックします。

手順

1. Red Hat Single Sign-On Web UI で、Satellite レルムに移動します。
2. Authentication に移動し、OTP Policy タブをクリックします。
3. サポートされるアプリケーション フィールドに FreeOTP または Google Authenticator が含まれていることを確認します。
4. 要件に合わせて OTP を設定します。
5. 必要に応じて、すべてのユーザーのデフォルト認証方法として TOTP 認証を使用する場合は、Flows タブをクリックして OTP Form 設定の右側にある REQUIRED を選択します。
6. Required Actions タブをクリックします。
7. Configure OTP 行の右側にある Default Action チェックボックスを選択します。

手順

1. Satellite にログインすると、Satellite は Red Hat Single Sign-On のログイン画面にリダイレクトします。
2. ユーザー名とパスワードを入力し、ログイン をクリックします。
3. 初回ログインの場合には、Red Hat Single Sign-On により、バーコードをスキャンし、表示された暗証番号を入力してクライアントを設定するように求められます。
4. クライアントを設定して有効な暗証番号を入力すると、Red Hat Single Sign-On で Satellite にリダイレクト後にログインされます。

手順

1. コード付与タイプを使用して Satellite CLI への認証を行うには、以下のコマンドを入力します。

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   このコマンドは、サクセスコードの入力を要求します。

2. サクセスコードを取得するには、コマンドが返す URL に移動し、必要な情報を提供します。
3. Web UI が返すサクセスコードをコピーします。
4. hammer auth login oauth のコマンドプロンプトに、サクセスコードを入力して Satellite CLI に対して認証を行います。

手順

1. Satellite Web UI で、Administer > User Groups に移動します。
2. Create User Group をクリックします。
3. 名前 フィールドにユーザーグループの名前を入力します。名前は Active Directory と同じにしないでください。
4. 右側の列には、ユーザーおよびユーザーグループを追加しないでください。ロール タブをクリックします。
5. 管理 チェックボックスを選択します。
6. 外部グループ タブをクリックします。
7. 外部ユーザーグループの追加 をクリックします。
8. 名前 フィールドに、Active Directory の名前を入力します。
9. リストから 外部 を選択します。

手順

1. Red Hat Enterprise Linux ホストに、ISC DHCP Service と Berkeley Internet Name Domain (BIND) ユーティリティーパッケージをインストールします。

   # dnf install dhcp-server bind-utils

2. セキュリティートークンを生成します。

   # dnssec-keygen -a HMAC-MD5 -b 512 -n HOST omapi_key

   上記のコマンドを実行すると、2 つのファイルで設定されるキーペアが現在のディレクトリーに作成されます。

3. キーからシークレットハッシュをコピーします。

   # grep ^Key Komapi_key.+*.private  | cut -d ' ' -f2

4. すべてのサブネットの dhcpd 設定ファイルを編集し、キーを追加します。以下に例を示します。

   # cat /etc/dhcp/dhcpd.conf
   default-lease-time 604800;
   max-lease-time 2592000;
   log-facility local7;
   
   subnet 192.168.38.0 netmask 255.255.255.0 {
   	range 192.168.38.10 192.168.38.100;
   	option routers 192.168.38.1;
   	option subnet-mask 255.255.255.0;
   	option domain-search "virtual.lan";
   	option domain-name "virtual.lan";
   	option domain-name-servers 8.8.8.8;
   }
   
   omapi-port 7911;
   key omapi_key {
   	algorithm HMAC-MD5;
   	secret "jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw==";
   };
   omapi-key omapi_key;

   option routers の値は、外部の DHCP サービスと使用する Satellite または Capsule IP アドレスに置き換える点に注意してください。

5. キーファイルが作成されたディレクトリーから、2 つのキーファイルを削除します。

6. Satellite Server で各サブネットを定義します。定義済みのサブネットに DHCP Capsule は設定しないでください。

   競合を回避するには、リースと予約範囲を別に設定します。たとえば、リース範囲を 192.168.38.10 から 192.168.38.100 に設定した場合には、Satellite Web UI で予約範囲を 192.168.38.101 から 192.168.38.250 に設定します。

7. DHCP サーバーに外部アクセスできるように、ファイアウォールを設定します。

   # firewall-cmd --add-service dhcp \
   && firewall-cmd --runtime-to-permanent

8. Satellite Server で foreman ユーザーの UID と GID を指定します。

   # id -u foreman
   993
   # id -g foreman
   990

9. DHCP サーバーで、1 つ前の手順で定義した ID と同じ foreman ユーザーとグループを作成します。

   # groupadd -g 990 foreman
   # useradd -u 993 -g 990 -s /sbin/nologin foreman

10. 設定ファイルにアクセスできるように、読み取りおよび実行フラグを復元します。

    # chmod o+rx /etc/dhcp/
    # chmod o+r /etc/dhcp/dhcpd.conf
    # chattr +i /etc/dhcp/ /etc/dhcp/dhcpd.conf

11. DHCP サービスを有効にして開始します。

    # systemctl enable --now dhcpd

12. NFS を使用して DHCP 設定ファイルおよびリースファイルをエクスポートします。

    # dnf install nfs-utils
    # systemctl enable --now nfs-server

13. NFS を使用してエクスポートする DHCP 設定ファイルとリースファイルのディレクトリーを作成します。

    # mkdir -p /exports/var/lib/dhcpd /exports/etc/dhcp

14. 作成したディレクトリーにマウントポイントを作成するには、以下の行を /etc/fstab ファイルに追加します。

    /var/lib/dhcpd /exports/var/lib/dhcpd none bind,auto 0 0
    /etc/dhcp /exports/etc/dhcp none bind,auto 0 0

15. /etc/fstab のファイルシステムをマウントします。

    # mount -a

16. /etc/exports に以下の行があることを確認します。

    /exports 192.168.38.1(rw,async,no_root_squash,fsid=0,no_subtree_check)
    
    /exports/etc/dhcp 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)
    
    /exports/var/lib/dhcpd 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)

    入力する IP アドレスは、外部 DHCP サービスで使用する Satellite または Capsule IP アドレスを指定する点に注意してください。

17. NFS サーバーをリロードします。

    # exportfs -rva

18. ファイアウォールで DHCP omapi ポート 7911 を設定します。

    # firewall-cmd --add-port=7911/tcp
    # firewall-cmd --runtime-to-permanent

19. オプション: NFS に外部からアクセスできるようにファイアウォールを設定します。クライアントは NFSv3 を使用して設定します。

    # firewall-cmd --zone public --add-service mountd \
    && firewall-cmd --zone public --add-service rpc-bind \
    && firewall-cmd --zone public --add-service nfs \
    && firewall-cmd --runtime-to-permanent

手順

1. nfs-utils パッケージをインストールします。

   # dnf install nfs-utils

2. NFS 用の DHCP ディレクトリーを作成します。

   # mkdir -p /mnt/nfs/etc/dhcp /mnt/nfs/var/lib/dhcpd

3. ファイルの所有者を変更します。

   # chown -R foreman-proxy /mnt/nfs

4. NFS サーバーとの通信とリモートプロシージャコール (RPC: Remote Procedure Call) 通信パスを検証します。

   # showmount -e DHCP_Server_FQDN
   # rpcinfo -p DHCP_Server_FQDN

5. /etc/fstab ファイルに以下の行を追加します。

   DHCP_Server_FQDN:/exports/etc/dhcp /mnt/nfs/etc/dhcp nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcp_etc_t:s0" 0 0
   
   DHCP_Server_FQDN:/exports/var/lib/dhcpd /mnt/nfs/var/lib/dhcpd nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcpd_state_t:s0" 0 0

6. /etc/fstab でファイルシステムをマウントします。

   # mount -a

7. foreman-proxy ユーザーがネットワークで共有したファイルにアクセスできることを確認するには、DHCP 設定ファイルとリースファイルを表示します。

   # su foreman-proxy -s /bin/bash
   bash-4.2$ cat /mnt/nfs/etc/dhcp/dhcpd.conf
   bash-4.2$ cat /mnt/nfs/var/lib/dhcpd/dhcpd.leases
   bash-4.2$ exit

8. satellite-installer コマンドを入力して、以下の永続的な変更を /etc/foreman-proxy/settings.d/dhcp.yml ファイルに加えます。

   # satellite-installer --foreman-proxy-dhcp=true \
   --foreman-proxy-dhcp-provider=remote_isc \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /mnt/nfs/etc/dhcp/dhcpd.conf \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /mnt/nfs/var/lib/dhcpd/dhcpd.leases \
   --foreman-proxy-plugin-dhcp-remote-isc-key-name=omapi_key \
   --foreman-proxy-plugin-dhcp-remote-isc-key-secret=jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw== \
   --foreman-proxy-plugin-dhcp-remote-isc-omapi-port=7911 \
   --enable-foreman-proxy-plugin-dhcp-remote-isc \
   --foreman-proxy-dhcp-server=DHCP_Server_FQDN

9. DHCP サービスに適切なサブネットとドメインを関連付けます。

IdM サーバーでの Kerberos プリンシパルの作成

1. IdM 管理者から取得したアカウントの Kerberos チケットを取得します。

   # kinit idm_user

2. IdM サーバーでの認証に使用する Satellite Server の新規 Kerberos プリンシパルを作成します。

   # ipa service-add capsule/satellite.example.com

IdM クライアントのインストールおよび設定

1. デプロイメントの DNS サービスを管理する Satellite または Capsule のベースオペレーティングシステムで ipa-client パッケージをインストールします。

   # satellite-maintain packages install ipa-client

2. インストールスクリプトとそれに続くプロンプトを実行して、IdM クライアントを設定します。

   # ipa-client-install

3. Kerberos チケットを取得します。

   # kinit admin

4. 既存の keytab を削除します。

   # rm /etc/foreman-proxy/dns.keytab

5. このシステムの keytab を取得します。

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -s idm1.example.com -k /etc/foreman-proxy/dns.keytab

   注記

   サービス中の元のシステムと同じホスト名を持つスタンバイシステムに keytab を追加する際には、r オプションを追加します。これにより、新規の認証情報が生成されることを防ぎ、元のシステムの認証情報が無効になります。

6. dns.keytab ファイルのグループと所有者を foreman-proxy に設定します。

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

7. オプション: keytab ファイルが有効であることを確認するには、以下のコマンドを入力します。

   # kinit -kt /etc/foreman-proxy/dns.keytab \
   capsule/satellite.example.com@EXAMPLE.COM

IdM Web UI での DNS ゾーンの設定

1. 管理するゾーンを作成して、設定します。

   1. Network Services > DNS > DNS Zones に移動します。
   2. Add を選択し、ゾーン名を入力します。(例: example.com)
   3. Add and Edit をクリックします。

   4. 設定タブをクリックして BIND update policy ボックスで、以下のようにセミコロン区切りのエントリーを追加します。

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   5. Dynamic update を True に設定します。
   6. Allow PTR sync を有効にします。
   7. Save をクリックして、変更を保存します。

2. 逆引きゾーンを作成して設定します。

   1. Network Services > DNS > DNS Zones に移動します。
   2. Add をクリックします。
   3. Reverse zone IP network を選択して、CIDR 形式でネットワークアドレスを追加し、逆引き参照を有効にします。
   4. Add and Edit をクリックします。

   5. Settings タブの BIND update policy ボックスで、以下のようにセミコロン区切りのエントリーを追加します。

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   6. Dynamic update を True に設定します。
   7. Save をクリックして、変更を保存します。

ドメインの DNS サービスを管理する Satellite または Capsule Server の設定

1. satellite-installer コマンドを使用して、ドメインの DNS サービスを管理するように Satellite または Capsule を設定します。

   • Satellite で以下のコマンドを入力します。

     # satellite-installer --scenario satellite \
     --foreman-proxy-dns-managed=false \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns=true

   • Capsule で、以下のコマンドを実行します。

     # satellite-installer --scenario capsule \
     --foreman-proxy-dns-managed=false \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns=true

Satellite Web UI での設定更新

1. Satellite Web UI で、Infrastructure > Capsules に移動し、Satellite Server を見つけて、Actions 列のリストから Refresh を選択します。

2. ドメインを設定します。

   1. Satellite Web UI で、Infrastructure > Domains に移動し、ドメイン名を選択します。
   2. Domain タブで、DNS Capsule が、サブネットが接続されている Capsule に設定されていることを確認します。

3. サブネットを設定します。

   1. Satellite Web UI で、Infrastructure > Subnets に移動し、サブネット名を選択します。
   2. Subnet タブで、IPAM を None に設定します。
   3. Domains タブで、IdM サーバーを使用して管理するドメインを選択します。
   4. Capsules タブで、Reverse DNS Capsule が、サブネットが接続されている Capsule に設定されていることを確認します。
   5. Submit をクリックして変更を保存します。

IdM サーバーの DNS ゾーンに対する外部更新の有効化

1. IdM サーバーで、以下の内容を /etc/named.conf ファイルの先頭に追加します。

   ########################################################################
   
   include "/etc/rndc.key";
   controls  {
   inet _IdM_Server_IP_Address_ port 953 allow { _Satellite_IP_Address_; } keys { "rndc-key"; };
   };
   ########################################################################

2. named サービスをリロードして、変更を有効にします。

   # systemctl reload named

3. IdM Web UI で、Network Services > DNS > DNS Zones に移動して、ゾーンの名前をクリックします。Settings タブで、以下の変更を適用します。

   1. BIND update policy ボックスで以下の内容を追加します。

      grant "rndc-key" zonesub ANY;

   2. Dynamic update を True に設定します。
   3. Update をクリックして変更を保存します。

4. IdM サーバーから Satellite Server のベースオペレーティングシステムに /etc/rndc.key ファイルをコピーします。以下のコマンドを入力します。

   # scp /etc/rndc.key root@satellite.example.com:/etc/rndc.key

5. rndc.key ファイルに適切な所有者、パーミッション、SELinux コンテキストを設定するには、以下のコマンドを入力します。

   # restorecon -v /etc/rndc.key
   # chown -v root:named /etc/rndc.key
   # chmod -v 640 /etc/rndc.key

6. foreman-proxy ユーザーは、手動で named グループに割り当てます。通常、satellite-installer は foreman-proxy ユーザーが named UNIX グループに所属させますが、今回のシナリオでは、Satellite でユーザーとグループを管理していないので、foreman-proxy ユーザーを named グループに手作業で割り当てる必要があります。

   # usermod -a -G named foreman-proxy

7. Satellite Server で以下の satellite-installer コマンドを入力して、Satellite が外部の DNS サーバーを使用するように設定します。

   # satellite-installer --scenario satellite \
   --foreman-proxy-dns=true \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="IdM_Server_IP_Address" \
   --foreman-proxy-keyfile=/etc/rndc.key \
   --foreman-proxy-dns-ttl=86400

IdM サーバーの DNS ゾーンに対する外部更新のテスト

1. Satellite Server 上の /etc/rndc.key ファイルのキーが IdM サーバーで使用されているキーファイルと同じであることを確認します。

   key "rndc-key" {
           algorithm hmac-md5;
           secret "secret-key==";
   };

2. Satellite Server で、ホストのテスト DNS エントリーを作成します。(例: 192.168.25.1 の IdM サーバーに、192.168.25.20 の A レコードを指定した test.example.com ホストなど)

   # echo -e "server 192.168.25.1\n \
   update add test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

3. Satellite Server で、DNS エントリーをテストします。

   # nslookup test.example.com 192.168.25.1
   Server:		192.168.25.1
   Address:	192.168.25.1#53
   
   Name:	test.example.com
   Address: 192.168.25.20

4. IdM Web UI でエントリーを参照するために、Network Services > DNS > DNS Zones に移動します。ゾーンの名前をクリックし、名前でホストを検索します。

5. 正常に解決されたら、テスト DNS エントリーを削除します。

   # echo -e "server 192.168.25.1\n \
   update delete test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

6. DNS エントリーが削除されたことを確認します。

   # nslookup test.example.com 192.168.25.1

   レコードが正常に削除されている場合は、上記の nslookup コマンドが失敗し、SERVFAIL エラーメッセージを返します。

Satellite Web UI での設定更新

1. Satellite Web UI で、Infrastructure > Capsules に移動します。
2. 更新する各 Capsule で、Actions リストから Refresh を選択します。

3. ドメインを設定します。

   1. Satellite Web UI で、Infrastructure > Domains に移動し、設定するドメイン名をクリックします。
   2. Domain タブで、DNS Capsule を、サブネットの接続先の Capsule に設定します。

4. サブネットを設定します。

   1. Satellite Web UI で、Infrastructure > Subnets に移動し、サブネット名を選択します。
   2. Subnet タブで、IPAM を DHCP または Internal DB に設定します。
   3. Domains タブで、Satellite または Capsule で管理するドメインを選択します。
   4. Capsules タブで、Reverse DNS Capsule を、サブネットの接続先の Capsule に設定します。
   5. Submit をクリックして変更を保存します。