Capsule Server のインストール

手順

1. 新規インストールの場合は、fapolicyd をインストールします。

   # dnf install fapolicyd

   Copy to Clipboard Toggle word wrap

2. 既存のインストールの場合は、satellite-maintain packages install を使用して fapolicyd をインストールします。

   # satellite-maintain packages install fapolicyd

   Copy to Clipboard Toggle word wrap

3. fapolicyd サービスを開始します。

   # systemctl enable --now fapolicyd

   Copy to Clipboard Toggle word wrap

手順

1. Satellite Server で Capsule Server の全ソース証明書ファイルを保存するには、root ユーザーのみがアクセスできるディレクトリーを作成します (例: /root/capsule_cert)。

   # mkdir /root/capsule_cert

   Copy to Clipboard Toggle word wrap

2. Satellite Server で、Capsule Server の /root/capsule_cert/capsule.example.com -certs.tar 証明書アーカイブを生成します。

   # capsule-certs-generate \
   --foreman-proxy-fqdn capsule.example.com \
   --certs-tar /root/capsule_cert/capsule.example.com-certs.tar

   Copy to Clipboard Toggle word wrap

   capsule-certs-generate コマンドが返す satellite-installer コマンドのコピーをメモし、Capsule Server に証明書をデプロイします。

   capsule-certs-generate の出力例

   output omitted
   satellite-installer --scenario capsule \
   --certs-tar-file "/root/capsule_cert/capsule.example.com-certs.tar" \
   --foreman-proxy-register-in-foreman "true" \
   --foreman-proxy-foreman-base-url "https://satellite.example.com" \
   --foreman-proxy-trusted-hosts "satellite.example.com" \
   --foreman-proxy-trusted-hosts "capsule.example.com" \
   --foreman-proxy-oauth-consumer-key "s97QxvUAgFNAQZNGg4F9zLq2biDsxM7f" \
   --foreman-proxy-oauth-consumer-secret "6bpzAdMpRAfYaVZtaepYetomgBVQ6ehY"

   Copy to Clipboard Toggle word wrap

3. Satellite Server から、証明書アーカイブファイルを Capsule Server にコピーします。

   # scp /root/capsule_cert/capsule.example.com-certs.tar \
   root@capsule.example.com:/root/capsule.example.com-certs.tar

   Copy to Clipboard Toggle word wrap

4. Capsule Server で、証明書をデプロイするには、capsule-certs-generate コマンドにより返された satellite-installer コマンドを入力します。

   Satellite へのネットワーク接続やポートをまだ開いていない場合は、--foreman-proxy-register-in-foreman オプションを false に設定すると、Capsule が Satellite へ接続を試行しなくなり、エラー報告がなくなります。ネットワークとファイアウォールを適切に設定したら、このオプションを true にして再度インストーラーを実行します。

   重要

   証明書のデプロイ後に、証明書のアーカイブファイルを削除しないでください。このアーカイブは、Capsule Server のアップグレード時などに必要になります。

1. 「Capsule Server 用のカスタム SSL 証明書の作成」
2. 「Capsule Server へのカスタム SSL 証明書のデプロイ」
3. 「ホストへのカスタム SSL 証明書のデプロイ」

手順

1. Red Hat Enterprise Linux ホストに、ISC DHCP Service と Berkeley Internet Name Domain (BIND) ユーティリティーパッケージをインストールします。

   # dnf install dhcp-server bind-utils

   Copy to Clipboard Toggle word wrap

2. セキュリティートークンを生成します。

   # tsig-keygen -a hmac-md5 omapi_key

   Copy to Clipboard Toggle word wrap

3. すべてのサブネットの dhcpd 設定ファイルを編集し、tsig-keygen によって生成された鍵を追加します。以下に例を示します。

   # cat /etc/dhcp/dhcpd.conf
   default-lease-time 604800;
   max-lease-time 2592000;
   log-facility local7;
   
   subnet 192.168.38.0 netmask 255.255.255.0 {
   	range 192.168.38.10 192.168.38.100;
   	option routers 192.168.38.1;
   	option subnet-mask 255.255.255.0;
   	option domain-search "virtual.lan";
   	option domain-name "virtual.lan";
   	option domain-name-servers 8.8.8.8;
   }
   
   omapi-port 7911;
   key omapi_key {
   	algorithm hmac-md5;
   	secret "My_Secret";
   };
   omapi-key omapi_key;

   Copy to Clipboard Toggle word wrap

   option routers の値は、外部 DHCP サービスで使用する Satellite Server または Capsule Server の IP アドレスであることに注意してください。

4. Satellite Server で各サブネットを定義します。定義済みのサブネットに DHCP Capsule は設定しないでください。

   競合を回避するには、リースと予約範囲を別に設定します。たとえば、リース範囲を 192.168.38.10 から 192.168.38.100 に設定した場合には、Satellite Web UI で予約範囲を 192.168.38.101 から 192.168.38.250 に設定します。

5. DHCP サーバーに外部アクセスできるように、ファイアウォールを設定します。

   # firewall-cmd --add-service dhcp

   Copy to Clipboard Toggle word wrap

6. 変更を永続化します。

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

7. Satellite Server で foreman ユーザーの UID と GID を指定します。

   # id -u foreman
   993
   # id -g foreman
   990

   Copy to Clipboard Toggle word wrap

8. DHCP サーバーで、1 つ前の手順で定義した ID と同じ foreman ユーザーとグループを作成します。

   # groupadd -g 990 foreman
   # useradd -u 993 -g 990 -s /sbin/nologin foreman

   Copy to Clipboard Toggle word wrap

9. 設定ファイルにアクセスできるように、読み取りおよび実行フラグを復元します。

   # chmod o+rx /etc/dhcp/
   # chmod o+r /etc/dhcp/dhcpd.conf
   # chattr +i /etc/dhcp/ /etc/dhcp/dhcpd.conf

   Copy to Clipboard Toggle word wrap

10. DHCP サービスを有効にして開始します。

    # systemctl enable --now dhcpd

    Copy to Clipboard Toggle word wrap

11. NFS を使用して DHCP 設定ファイルおよびリースファイルをエクスポートします。

    # dnf install nfs-utils
    # systemctl enable --now nfs-server

    Copy to Clipboard Toggle word wrap

12. NFS を使用してエクスポートする DHCP 設定ファイルとリースファイルのディレクトリーを作成します。

    # mkdir -p /exports/var/lib/dhcpd /exports/etc/dhcp

    Copy to Clipboard Toggle word wrap

13. 作成したディレクトリーにマウントポイントを作成するには、以下の行を /etc/fstab ファイルに追加します。

    /var/lib/dhcpd /exports/var/lib/dhcpd none bind,auto 0 0
    /etc/dhcp /exports/etc/dhcp none bind,auto 0 0

    Copy to Clipboard Toggle word wrap

14. /etc/fstab のファイルシステムをマウントします。

    # mount -a

    Copy to Clipboard Toggle word wrap

15. /etc/exports に以下の行があることを確認します。

    /exports 192.168.38.1(rw,async,no_root_squash,fsid=0,no_subtree_check)
    
    /exports/etc/dhcp 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)
    
    /exports/var/lib/dhcpd 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)

    Copy to Clipboard Toggle word wrap

    入力する IP アドレスは、外部 DHCP サービスで使用する Satellite または Capsule IP アドレスを指定する点に注意してください。

16. NFS サーバーをリロードします。

    # exportfs -rva

    Copy to Clipboard Toggle word wrap

17. ファイアウォールで DHCP omapi ポート 7911 を設定します。

    # firewall-cmd --add-port=7911/tcp

    Copy to Clipboard Toggle word wrap

18. オプション: NFS に外部からアクセスできるようにファイアウォールを設定します。クライアントは NFSv3 を使用して設定します。

    # firewall-cmd \
    --add-service mountd \
    --add-service nfs \
    --add-service rpc-bind \
    --zone public

    Copy to Clipboard Toggle word wrap

19. 変更を永続化します。

    # firewall-cmd --runtime-to-permanent

    Copy to Clipboard Toggle word wrap

手順

1. nfs-utils パッケージをインストールします。

   # satellite-maintain packages install nfs-utils

   Copy to Clipboard Toggle word wrap

2. NFS 用の DHCP ディレクトリーを作成します。

   # mkdir -p /mnt/nfs/etc/dhcp /mnt/nfs/var/lib/dhcpd

   Copy to Clipboard Toggle word wrap

3. ファイルの所有者を変更します。

   # chown -R foreman-proxy /mnt/nfs

   Copy to Clipboard Toggle word wrap

4. NFS サーバーとの通信とリモートプロシージャコール (RPC: Remote Procedure Call) 通信パスを検証します。

   # showmount -e DHCP_Server_FQDN
   # rpcinfo -p DHCP_Server_FQDN

   Copy to Clipboard Toggle word wrap

5. /etc/fstab ファイルに以下の行を追加します。

   DHCP_Server_FQDN:/exports/etc/dhcp /mnt/nfs/etc/dhcp nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcp_etc_t:s0" 0 0
   
   DHCP_Server_FQDN:/exports/var/lib/dhcpd /mnt/nfs/var/lib/dhcpd nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcpd_state_t:s0" 0 0

   Copy to Clipboard Toggle word wrap

6. /etc/fstab でファイルシステムをマウントします。

   # mount -a

   Copy to Clipboard Toggle word wrap

7. foreman-proxy ユーザーがネットワークで共有したファイルにアクセスできることを確認するには、DHCP 設定ファイルとリースファイルを表示します。

   # su foreman-proxy -s /bin/bash
   $ cat /mnt/nfs/etc/dhcp/dhcpd.conf
   $ cat /mnt/nfs/var/lib/dhcpd/dhcpd.leases
   $ exit

   Copy to Clipboard Toggle word wrap

8. satellite-installer コマンドを入力して、以下の永続的な変更を /etc/foreman-proxy/settings.d/dhcp.yml ファイルに加えます。

   # satellite-installer \
   --enable-foreman-proxy-plugin-dhcp-remote-isc \
   --foreman-proxy-dhcp-provider=remote_isc \
   --foreman-proxy-dhcp-server=My_DHCP_Server_FQDN \
   --foreman-proxy-dhcp=true \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /mnt/nfs/etc/dhcp/dhcpd.conf \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /mnt/nfs/var/lib/dhcpd/dhcpd.leases \
   --foreman-proxy-plugin-dhcp-remote-isc-key-name=omapi_key \
   --foreman-proxy-plugin-dhcp-remote-isc-key-secret=My_Secret \
   --foreman-proxy-plugin-dhcp-remote-isc-omapi-port=7911

   Copy to Clipboard Toggle word wrap
9. DHCP サービスに適切なサブネットとドメインを関連付けます。

IdM サーバーでの Kerberos プリンシパルの作成

1. IdM 管理者から取得したアカウントの Kerberos チケットを取得します。

   # kinit idm_user

   Copy to Clipboard Toggle word wrap

2. IdM サーバーでの認証に使用する Capsule Server の新しい Kerberos プリンシパルを作成します。

   # ipa service-add capsule.example.com

   Copy to Clipboard Toggle word wrap

IdM クライアントのインストールおよび設定

1. デプロイメントの DNS サービスを管理する Satellite または Capsule のベースオペレーティングシステムで ipa-client パッケージをインストールします。

   # satellite-maintain packages install ipa-client

   Copy to Clipboard Toggle word wrap

2. インストールスクリプトとそれに続くプロンプトを実行して、IdM クライアントを設定します。

   # ipa-client-install

   Copy to Clipboard Toggle word wrap

3. Kerberos チケットを取得します。

   # kinit admin

   Copy to Clipboard Toggle word wrap

4. 既存の keytab を削除します。

   # rm /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

5. このシステムの keytab を取得します。

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -s idm1.example.com -k /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap
   注記

   サービス中の元のシステムと同じホスト名を持つスタンバイシステムに keytab を追加する際には、r オプションを追加します。これにより、新規の認証情報が生成されることを防ぎ、元のシステムの認証情報が無効になります。

6. dns.keytab ファイルのグループと所有者を foreman-proxy に設定します。

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

7. オプション: keytab ファイルが有効であることを確認するには、以下のコマンドを入力します。

   # kinit -kt /etc/foreman-proxy/dns.keytab \
   capsule/satellite.example.com@EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

IdM Web UI での DNS ゾーンの設定

1. 管理するゾーンを作成して、設定します。

   1. Network Services > DNS > DNS Zones に移動します。
   2. Add を選択し、ゾーン名を入力します。(例: example.com)
   3. Add and Edit をクリックします。

   4. 設定タブをクリックして BIND update policy ボックスで、以下のようにセミコロン区切りのエントリーを追加します。

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

      Copy to Clipboard Toggle word wrap
   5. Dynamic update を True に設定します。
   6. Allow PTR sync を有効にします。
   7. Save をクリックして、変更を保存します。

2. 逆引きゾーンを作成して設定します。

   1. Network Services > DNS > DNS Zones に移動します。
   2. Add をクリックします。
   3. Reverse zone IP network を選択して、CIDR 形式でネットワークアドレスを追加し、逆引き参照を有効にします。
   4. Add and Edit をクリックします。

   5. Settings タブの BIND update policy ボックスで、以下のようにセミコロン区切りのエントリーを追加します。

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

      Copy to Clipboard Toggle word wrap
   6. Dynamic update を True に設定します。
   7. Save をクリックして、変更を保存します。

ドメインの DNS サービスを管理する Satellite または Capsule Server の設定

1. DNS サービスに接続するように Satellite Server または Capsule Server を設定します。

   # satellite-installer \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate_gss \
   --foreman-proxy-dns-server="idm1.example.com" \
   --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
   --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
   --foreman-proxy-dns=true

   Copy to Clipboard Toggle word wrap

2. 影響を受ける各 Capsule に対して、Satellite Web UI でその Capsule の設定を更新します。

   1. Satellite Web UI で、Infrastructure > Capsules に移動し、Capsule Server を見つけて、Actions 列のリストから Refresh を選択します。

   2. ドメインを設定します。

      1. Satellite Web UI で、Infrastructure > Domains に移動し、ドメイン名を選択します。
      2. Domain タブで、DNS Capsule が、サブネットが接続されている Capsule に設定されていることを確認します。

   3. サブネットを設定します。

      1. Satellite Web UI で、Infrastructure > Subnets に移動し、サブネット名を選択します。
      2. Subnet タブで、IPAM を None に設定します。
      3. Domains タブで、IdM サーバーを使用して管理するドメインを選択します。
      4. Capsules タブで、Reverse DNS Capsule が、サブネットが接続されている Capsule に設定されていることを確認します。
      5. Submit をクリックして変更を保存します。

IdM サーバーの DNS ゾーンに対する外部更新の有効化

1. IdM サーバーで、以下の内容を /etc/named.conf ファイルの先頭に追加します。

   ########################################################################
   
   include "/etc/rndc.key";
   controls  {
   inet _IdM_Server_IP_Address_ port 953 allow { _Satellite_IP_Address_; } keys { "rndc-key"; };
   };
   ########################################################################

   Copy to Clipboard Toggle word wrap

2. named サービスをリロードして、変更を有効にします。

   # systemctl reload named

   Copy to Clipboard Toggle word wrap

3. IdM Web UI で、Network Services > DNS > DNS Zones に移動して、ゾーンの名前をクリックします。Settings タブで、以下の変更を適用します。

   1. BIND update policy ボックスで以下の内容を追加します。

      grant "rndc-key" zonesub ANY;

      Copy to Clipboard Toggle word wrap
   2. Dynamic update を True に設定します。
   3. Update をクリックして変更を保存します。

4. IdM サーバーから Satellite Server のベースオペレーティングシステムに /etc/rndc.key ファイルをコピーします。以下のコマンドを実行します。

   # scp /etc/rndc.key root@satellite.example.com:/etc/rndc.key

   Copy to Clipboard Toggle word wrap

5. rndc.key ファイルに適切な所有者、パーミッション、SELinux コンテキストを設定するには、以下のコマンドを入力します。

   # restorecon -v /etc/rndc.key
   # chown -v root:named /etc/rndc.key
   # chmod -v 640 /etc/rndc.key

   Copy to Clipboard Toggle word wrap

6. foreman-proxy ユーザーは、手動で named グループに割り当てます。通常、satellite-installer は foreman-proxy ユーザーが named UNIX グループに所属させますが、今回のシナリオでは、Satellite でユーザーとグループを管理していないので、foreman-proxy ユーザーを named グループに手作業で割り当てる必要があります。

   # usermod -a -G named foreman-proxy

   Copy to Clipboard Toggle word wrap

7. Satellite Server で以下の satellite-installer コマンドを入力して、Satellite が外部の DNS サーバーを使用するように設定します。

   # satellite-installer \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="IdM_Server_IP_Address" \
   --foreman-proxy-dns-ttl=86400 \
   --foreman-proxy-dns=true \
   --foreman-proxy-keyfile=/etc/rndc.key

   Copy to Clipboard Toggle word wrap

IdM サーバーの DNS ゾーンに対する外部更新のテスト

1. Satellite Server 上の /etc/rndc.key ファイルのキーが IdM サーバーで使用されているキーファイルと同じであることを確認します。

   key "rndc-key" {
           algorithm hmac-md5;
           secret "secret-key==";
   };

   Copy to Clipboard Toggle word wrap

2. Satellite Server で、ホストのテスト DNS エントリーを作成します。(例: 192.168.25.1 の IdM サーバーに、192.168.25.20 の A レコードを指定した test.example.com ホストなど)

   # echo -e "server 192.168.25.1\n \
   update add test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

   Copy to Clipboard Toggle word wrap

3. Satellite Server で、DNS エントリーをテストします。

   # nslookup test.example.com 192.168.25.1
   Server:		192.168.25.1
   Address:	192.168.25.1#53
   
   Name:	test.example.com
   Address: 192.168.25.20

   Copy to Clipboard Toggle word wrap
4. IdM Web UI でエントリーを参照するために、Network Services > DNS > DNS Zones に移動します。ゾーンの名前をクリックし、名前でホストを検索します。

5. 正常に解決されたら、テスト DNS エントリーを削除します。

   # echo -e "server 192.168.25.1\n \
   update delete test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

   Copy to Clipboard Toggle word wrap

6. DNS エントリーが削除されたことを確認します。

   # nslookup test.example.com 192.168.25.1

   Copy to Clipboard Toggle word wrap

   レコードが正常に削除されている場合は、上記の nslookup コマンドが失敗し、SERVFAIL エラーメッセージを返します。

Satellite Web UI での設定更新

1. Satellite Web UI で、Infrastructure > Capsules に移動します。
2. 更新する各 Capsule で、Actions リストから Refresh を選択します。

3. ドメインを設定します。

   1. Satellite Web UI で、Infrastructure > Domains に移動し、設定するドメイン名をクリックします。
   2. Domain タブで、DNS Capsule を、サブネットの接続先の Capsule に設定します。

4. サブネットを設定します。

   1. Satellite Web UI で、Infrastructure > Subnets に移動し、サブネット名を選択します。
   2. Subnet タブで、IPAM を DHCP または Internal DB に設定します。
   3. Domains タブで、Satellite または Capsule で管理するドメインを選択します。
   4. Capsules タブで、Reverse DNS Capsule を、サブネットの接続先の Capsule に設定します。
   5. Submit をクリックして変更を保存します。