プロビジョニングインフラストラクチャーサービスの統合

手順

1. Identity Management ドメインのメンバーであるホストで、admin ユーザーの Kerberos チケットを取得します。

   # kinit admin

   Copy to Clipboard Toggle word wrap

2. Identity Management サーバーでの認証に使用するために、Satellite Server 用の新しい Kerberos プリンシパルを作成します。

   # ipa service-add capsule/satellite.example.com

   Copy to Clipboard Toggle word wrap

3. オプション: 正引き DNS ゾーンを追加します。

   # ipa dnszone-add example.com

   Copy to Clipboard Toggle word wrap

4. 正引きゾーンの BIND 更新ポリシーを表示します。

   # ipa dnszone-show example.com --all | \
   grep "BIND update policy"

   Copy to Clipboard Toggle word wrap

   出力例:

   BIND update policy: grant EXAMPLE.COM krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM krb5-self * SSHFP;

   Copy to Clipboard Toggle word wrap

   設定の値をメモします。

5. 正引きゾーンの設定を更新します。

   # ipa dnszone-mod example.com \
   --dynamic-update=TRUE \
   --allow-sync-ptr=TRUE \
   --update-policy="<existing_policy> grant smartproxy\047foreman.example.com@EXAMPLE.COM wildcard * ANY;"

   Copy to Clipboard Toggle word wrap

   このコマンドは、ゾーン設定を次のように変更します。

   • 動的ゾーン更新が有効になります。
   • A レコードまたは AAAA レコードが正引きゾーンで更新された場合、Identity Management が逆引き DNS ゾーン内の対応する PTR レコードを更新します。
   • 前のステップで作成した Kerberos プリンシパルに、あらゆるタイプのデータレコードを変更する権限が与えられます。この設定を既存の値に追加する必要があることに注意してください。

6. オプション: 逆引き DNS ゾーンを追加します。

   # ipa dnszone-add 0.168.192.in-addr.arpa

   Copy to Clipboard Toggle word wrap

7. 逆引きゾーンの BIND 更新ポリシーを表示します。

   # ipa dnszone-show 0.168.192.in-addr.arpa --all | \
   grep "BIND update policy"

   Copy to Clipboard Toggle word wrap

   出力例:

   BIND update policy: grant EXAMPLE.COM krb5-subdomain 0.168.192.in-addr.arpa. PTR;

   Copy to Clipboard Toggle word wrap

   設定の値をメモします。

8. 逆引きゾーンの設定を更新します。

   # ipa dnszone-mod 0.168.192.in-addr.arpa \
   --dynamic-update=TRUE \
   --update-policy="<existing_policy> grant smartproxy\047foreman.example.com@EXAMPLE.COM wildcard * ANY;"

   Copy to Clipboard Toggle word wrap

   既存の値に更新ポリシーを追加する必要があることに注意してください。

手順

1. Satellite Server または Capsule Server がまだ Identity Management ドメインのメンバーでない場合は、次の手順を実行します。

   1. ipa-client パッケージをインストールします。

      # satellite-maintain packages install ipa-client

      Copy to Clipboard Toggle word wrap

   2. Identity Management クライアントをインストールします。

      # ipa-client-install

      Copy to Clipboard Toggle word wrap

      画面上の指示に従ってください。

2. admin ユーザーの Kerberos チケットを取得します。

   # kinit admin

   Copy to Clipboard Toggle word wrap

3. /etc/foreman-proxy/dns.keytab ファイルを削除します。

   # rm --force /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

4. Capsule 用の Kerberos キータブファイルを取得し、/etc/foreman-proxy/dns.keytab ファイルに保存します。

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -k /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap
   重要

   稼働中の元のシステムと同じホスト名を持つスタンバイシステムにキータブを追加する場合は、新しい認証情報が生成されて元のシステムの認証情報が無効になるのを防ぐために、ipa-getkeytab コマンドに -r オプションを渡してください。

5. /etc/foreman-proxy/dns.keytab の所有者とグループを foreman-proxy に設定します。

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

6. /etc/foreman-proxy/dns.keytab ファイルが有効であることを確認します。

   1. 次のファイルを使用して Kerberos チケットを取得します。

      # kinit -kt /etc/foreman-proxy/dns.keytab \
      capsule/satellite.example.com@EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

   2. Kerberos チケットを表示します。

      # klist

      Copy to Clipboard Toggle word wrap

      出力例:

      Ticket cache: KCM:0:50473
      Default principal: smartproxy/satellite.example.com@EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      05/20/2025 12:12:35  05/21/2025 11:54:31  krbtgt/EXAMPLE.COM@EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

7. Identity Management DNS サービスに接続するように Satellite Server または Capsule Server を設定します。

   # satellite-installer \
   --foreman-proxy-dns true \
   --foreman-proxy-dns-provider nsupdate_gss \
   --foreman-proxy-dns-managed false \
   --foreman-proxy-dns-server "idm-server.example.com" \
   --foreman-proxy-dns-tsig-keytab /etc/foreman-proxy/dns.keytab \
   --foreman-proxy-dns-tsig-principal "capsule/satellite.example.com@EXAMPLE.COM"

   Copy to Clipboard Toggle word wrap
8. 対象の Capsule ごとに、Satellite Web UI で Capsule の設定を更新します。詳細は、「DNS サービスをドメインおよびサブネットに関連付ける」 を参照してください。

手順

1. セキュリティートークンを作成します。

   # tsig-keygen -a hmac-md5 omapi_key

   Copy to Clipboard Toggle word wrap

   Satellite が OMAPI 認証に対してサポートしているアルゴリズムは、hmac-md5 だけであることに注意してください。

   出力例:

   key "omapi_key" {
   	algorithm hmac-md5;
   	secret "4z1jwYO0RGUTJbWDepFBdg==";
   };

   Copy to Clipboard Toggle word wrap

2. /etc/dhcp/dhcpd.conf ファイルを編集し、次の設定を追加します。

   key omapi_key {
   	algorithm hmac-md5;
   	secret "key_secret";
   };
   omapi-port 7911;
   omapi-key omapi_key;

   Copy to Clipboard Toggle word wrap

   この例で指定されている設定は次のとおりです。

   key omapi_key

   鍵、そのアルゴリズム、および暗号化されたパスワードを定義します。このディレクティブには、tsig-keygen コマンドの出力を使用します。

   omapi-port 7911;

   ISC DHCP で OMAPI プロトコルを有効にし、プロトコルのポートを定義します。

   omapi-key omapi_key

   OMAPI インターフェイスが使用する鍵の名前を定義します。この名前は、tsig-keygen コマンドで指定した名前と一致させる必要があります。

3. dhcpd サービスを再起動します。

   # systemctl restart dhcpd

   Copy to Clipboard Toggle word wrap

4. firewalld サービスで OMAPI ポートを開きます。

   # firewall-cmd --add-port=7911/tcp

   Copy to Clipboard Toggle word wrap

5. 変更を永続化します。

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

手順

1. Satellite Server で foreman-proxy ユーザーの UID とプライマリー GID の両方を特定します。

   # id -u foreman-proxy
   # id -g foreman-proxy

   Copy to Clipboard Toggle word wrap

   これらの ID は次のステップで必要です。

2. DHCP サーバーで、DHCP サービスとリースデータベースの設定を NFS 経由で共有します。

   1. Satellite Server 上のグループと同じグループ ID を持つ foreman-proxy グループを作成します。

      # groupadd -g My_User_ID foreman-proxy

      Copy to Clipboard Toggle word wrap

   2. Satellite Server 上のユーザーと同じユーザー ID およびプライマリーグループ ID を持つ foreman-proxy ユーザーを作成します。

      # useradd -u My_User_ID -g My_Group_ID -s /sbin/nologin foreman-proxy

      Copy to Clipboard Toggle word wrap

   3. foreman-proxy グループのメンバーが DHCP サービスの設定ファイルにアクセスできることを確認します。

      # chgrp -R foreman-proxy /etc/dhcp/
      # chmod g+rx /etc/dhcp/
      # chmod g+r /etc/dhcp/dhcpd.conf

      Copy to Clipboard Toggle word wrap

   4. nfs-server パッケージをインストールします。

      # dnf install nfs-utils

      Copy to Clipboard Toggle word wrap

   5. /etc/exports ファイルを編集し、/etc/dhcp/ および /var/lib/dhcpd/ ディレクトリーの共有エントリーを追加します。

      /etc/dhcp        satellite.example.com(ro)
      /var/lib/dhcpd   satellite.example.com(ro)

      Copy to Clipboard Toggle word wrap

      このディレクトリーは、読み取り専用モードで、Satellite Server または Capsule Server とのみ共有します。

   6. NFS サーバーサービスを有効にして起動します。

      # systemctl enable --now nfs-server

      Copy to Clipboard Toggle word wrap

   7. firewalld サービスで NFSv4 ポートを開きます。

      # firewall-cmd --add-service=nfs

      Copy to Clipboard Toggle word wrap

   8. 変更を永続化します。

      # firewall-cmd --runtime-to-permanent

      Copy to Clipboard Toggle word wrap

手順

1. 必要なパッケージをインストールします。

   # satellite-maintain packages install nfs-utils

   Copy to Clipboard Toggle word wrap

2. 後で NFS 共有をマウントするディレクトリーを作成します。

   # mkdir -p \
   /srv/nfs/etc/dhcp \
   /srv/nfs/var/lib/dhcpd

   Copy to Clipboard Toggle word wrap

3. /etc/fstab ファイルを編集し、NFS 共有のエントリーを追加して、システムの起動時に自動的にマウントします。

   dhcp_server_fqdn:/etc/dhcp       /srv/nfs/etc/dhcp       nfs  ro,auto,context="system_u:object_r:dhcp_etc_t:s0"     0 0
   dhcp_server_fqdn:/var/lib/dhcpd  /srv/nfs/var/lib/dhcpd  nfs  ro,auto,context="system_u:object_r:dhcpd_state_t:s0"  0 0

   Copy to Clipboard Toggle word wrap

4. このサービスが更新された /etc/fstab ファイルを使用するように、systemd をリロードします。

   # systemctl daemon-reload

   Copy to Clipboard Toggle word wrap

5. NFS 共有をマウントします。

   # mount /srv/nfs/etc/dhcp/
   # mount /srv/nfs/var/lib/dhcpd/

   Copy to Clipboard Toggle word wrap

6. foreman-proxy ユーザーが NFS サーバー上のファイルにアクセスできることを確認します。以下に例を示します。

   1. /srv/nfs/etc/dhcp/dhcpd.conf ファイルの最初の 5 行を表示します。

      $ su - foreman-proxy -c 'head -5 /srv/nfs/etc/dhcp/dhcpd.conf'

      Copy to Clipboard Toggle word wrap

   2. /srv/nfs/var/lib/dhcpd/dhcpd.leases ファイルの最初の 5 行を表示します。

      $ su - foreman-proxy -c 'head -5 /srv/nfs/var/lib/dhcpd/dhcpd.leases'

      Copy to Clipboard Toggle word wrap

7. Satellite Server または Capsule Server が DHCP サーバーを使用するように設定します。

   # satellite-installer \
   --foreman-proxy-dhcp true \
   --foreman-proxy-dhcp-provider remote_isc \
   --enable-foreman-proxy-plugin-dhcp-remote-isc \
   --foreman-proxy-dhcp-server dhcp_server_fqdn \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /srv/nfs/etc/dhcp/dhcpd.conf \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /srv/nfs/var/lib/dhcpd/dhcpd.leases \
   --foreman-proxy-plugin-dhcp-remote-isc-key-name omapi_key \
   --foreman-proxy-plugin-dhcp-remote-isc-key-secret key_secret \
   --foreman-proxy-plugin-dhcp-remote-isc-omapi-port 7911

   Copy to Clipboard Toggle word wrap
8. 対象の Capsule ごとに、Satellite Web UI で Capsule の設定を更新します。詳細は、「DHCP サービスとサブネットの関連付け」 を参照してください。

手順

1. 後で NFS 共有をマウントするディレクトリーを作成します。

   # mkdir -p /mnt/nfs/var/lib/tftpboot

   Copy to Clipboard Toggle word wrap

2. /etc/fstab ファイルを編集し、NFS 共有のエントリーを追加して、システムの起動時に自動的にマウントします。

   tftp_server_fqdn:/exports/var/lib/tftpboot  /mnt/nfs/var/lib/tftpboot  nfs  rw,vers=3,auto,nosharecache,context="system_u:object_r:tftpdir_rw_t:s0"  0 0

   Copy to Clipboard Toggle word wrap

3. NFS 共有をマウントします。

   # mount /mnt/nfs/var/lib/tftpboot/

   Copy to Clipboard Toggle word wrap

4. Satellite Server または Capsule Server が TFTP サーバーを使用するように設定します。

   # satellite-installer \
   --foreman-proxy-tftp true \
   --foreman-proxy-managed false \
   --foreman-proxy-tftp-root /mnt/nfs/var/lib/tftpboot \
   --foreman-proxy-tftp-servername tftp_server_fqdn

   Copy to Clipboard Toggle word wrap
5. 対象の Capsule ごとに、Satellite Web UI で Capsule の設定を更新します。詳細は、「TFTP サービスとサブネットの関連付け」 を参照してください。