RHEL 10에서 Identity Management로 마이그레이션

1. 시스템을 최신 RHEL 9 버전으로 업그레이드합니다.

2. ipa-* 패키지를 최신 버전으로 업데이트합니다.

   [root@rhel9 ~]# dnf update ipa-*

   Copy to Clipboard Toggle word wrap
   주의

   여러 IdM(Identity Management) 서버를 업그레이드할 때 각 업그레이드 사이에 최소 10분 정도 기다립니다.

   두 개 이상의 서버가 동시에 업그레이드되거나 업그레이드 사이에 짧은 간격만 있는 경우 토폴로지 전체에서 업그레이드 후 데이터 변경을 복제할 시간이 부족하여 복제 이벤트가 충돌할 수 있습니다.

1. 시스템에 최신 버전의 Red Hat Enterprise Linux를 설치합니다. 자세한 내용은 설치 미디어에서 RHEL 상호 작용 설치를 참조하십시오.
2. 시스템이 rhel9.example.com IdM 서버가 권한이 있는 도메인에 등록된 IdM 클라이언트인지 확인합니다. 자세한 내용은 IdM 클라이언트 설치: 기본 시나리오를 참조하십시오.
3. 시스템이 IdM 서버 설치 요구 사항을 충족하는지 확인합니다. IdM 서버 설치를 위한 시스템 준비를 참조하십시오.

4. 시간 서버 rhel9.example.com 이 다음과 동기화되었는지 확인합니다.

   [root@rhel9 ~]# ntpstat
   synchronised to NTP server (ntp.example.com) at stratum 3
      time correct to within 42 ms
      polling server every 1024 s

   Copy to Clipboard Toggle word wrap
5. 시스템에 IdM 복제본 설치에 대한 권한이 있는지 확인합니다. IdM 클라이언트에 복제본 설치 인증을 참조하십시오.

6. ipa-* 패키지를 최신 버전으로 업데이트합니다.

   [root@rhel9 ~]# dnf update ipa-*

   Copy to Clipboard Toggle word wrap

1. RHEL 9 환경에 있는 서버 역할을 나열합니다.

   [root@rhel9 ~]# ipa server-role-find --status enabled --server rhel9.example.com
   ----------------------
   3 server roles matched
   ----------------------
     Server name: rhel9.example.com
     Role name: CA server
     Role status: enabled
   
     Server name: rhel9.example.com
     Role name: DNS server
     Role status: enabled
   [... output truncated ...]

   Copy to Clipboard Toggle word wrap

2. 선택 사항: rhel9.example.com 에서 사용하는 rhel10.example.com 에 동일한 서버 전달자를 사용하려면 rhel9.example.com 에 대한 서버별 전달자를 확인합니다.

   [root@rhel9 ~]# ipa dnsserver-show rhel9.example.com
   -----------------------------
   1 DNS server matched
   -----------------------------
     Server name: rhel9.example.com
     SOA mname: rhel9.example.com.
     Forwarders: 192.0.2.20
     Forward policy: only
   --------------------------------------------------
   Number of entries returned 1
   --------------------------------------------------

   Copy to Clipboard Toggle word wrap

1. CLI 및 CLI를 사용하여 토폴로지 세그먼트 보기 및 웹 UI를 사용하여 복제 토폴로지 보기 또는 토폴로지 접미사 보기의 단계를 사용하여 복제 계약 토폴로지를 검토합니다.

2. rhel9.example.com 에 있는 모든 서버 역할을 포함하여 rhel10.example.com 에 IdM 서버 소프트웨어를 설치하여 RHEL 9 IdM 서버의 복제본으로 구성합니다. 위의 예에서 역할을 설치하려면 ipa-replica-install 명령과 함께 다음 옵션을 사용합니다.

   • --setup-ca: 인증서 시스템 구성 요소 설정

   • --setup-dns 및 --forwarder: 통합 DNS 서버를 구성하고 IdM 도메인 외부에서 이동하는 DNS 쿼리를 처리하도록 서버별 전달자를 설정합니다.

     참고

     또한 IdM 배포가 {AD}(AD)와의 신뢰 관계에 있는 경우 ipa-replica-install 명령에 --setup-adtrust 옵션을 추가하여 rhel10.example.com 에서 AD 신뢰 기능을 구성합니다.

   • --ntp-server: NTP 서버 풀을 지정할 NTP 서버 또는 --ntp-pool 을 지정합니다.

     IP 주소 192.0.2.20과 함께 서버별 전달자를 사용하는 192.0.2.1의 IP 주소로 IdM 서버를 설정하고 ntp.example.com NTP 서버와 동기화하려면 다음을 수행합니다.

     [root@rhel10 ~]# ipa-replica-install --setup-ca --ip-address 192.0.2.1 --setup-dns --forwarder 192.0.2.20 --ntp-server ntp.example.com

     Copy to Clipboard Toggle word wrap

     DNS가 올바르게 작동하는 경우 rhel10.example.com 에서 DNS 자동 검색을 사용하여 RHEL 9 IdM 서버 자체를 지정할 필요가 없습니다.

3. 선택 사항: 외부 NTP 시간 서버의 _ntp._udp 서비스(SRV) 레코드를 새로 설치한 IdM 서버 rhel10.example.com 의 DNS에 추가합니다. IdM DNS에 시간 서버에 대한 SRV 레코드가 있으면 rhel10.example.com 에서 사용하는 시간 서버와 동기화되도록 향후 RHEL 10 복제본 및 클라이언트 설치가 자동으로 구성됩니다. 설치 CLI(명령줄 인터페이스)에 --ntp-server 또는 --ntp-pool 옵션이 제공되지 않는 한 ipa-client-install 에서 _ntp._udp DNS 항목을 찾기 때문입니다.
4. 웹 UI를 사용하여 두 서버 간에 복제 설정 또는 CLI를 사용하여 두 서버 간 복제 설정 단계를 사용하여 이전 토폴로지를 다시 생성하는 데 필요한 복제 계약을 만듭니다.

검증

1. IdM 서비스가 rhel10.example.com 에서 실행 중인지 확인합니다.

   [root@rhel10 ~]# ipactl status
   Directory Service: RUNNING
   [... output truncated ...]
   ipa: INFO: The ipactl command was successful

   Copy to Clipboard Toggle word wrap

2. rhel10.example.com 의 서버 역할이 rhel9.example.com 과 동일한지 확인합니다.

   [root@rhel10 ~]# kinit admin
   [root@rhel10 ~]# ipa server-role-find --status enabled --server rhel10.example.com
   ----------------------
   2 server roles matched
   ----------------------
     Server name: rhel10.example.com
     Role name: CA server
     Role status: enabled
   
     Server name: rhel10.example.com
     Role name: DNS server
     Role status: enabled

   Copy to Clipboard Toggle word wrap

3. 선택 사항: rhel9.example.com 과 rhel10.example.com 간의 복제 계약에 대한 세부 정보를 표시합니다.

   [root@rhel10 ~]# ipa-csreplica-manage list --verbose rhel10.example.com
   Directory Manager password:
   
   rhel9.example.com
   last init status: None
   last init ended: 1970-01-01 00:00:00+00:00
   last update status: Error (0) Replica acquired successfully: Incremental update succeeded
   last update ended: 2019-02-13 13:55:13+00:00

   Copy to Clipboard Toggle word wrap

4. 선택 사항: IdM 배포가 AD와의 신뢰 관계에 있는 경우 작동하는지 확인합니다.

   1. Kerberos 구성 확인

   2. rhel10.example.com 에서 AD 사용자 확인을 시도합니다.

      [root@rhel10 ~]# id aduser@ad.domain

      Copy to Clipboard Toggle word wrap

5. rhel10.example.com 이 NTP 서버와 동기화되었는지 확인합니다.

   [root@rhel9 ~]# chronyc tracking
   Reference ID    : CB00710F (ntp.example.com)
   Stratum         : 3
   Ref time (UTC)  : Wed Feb 16 09:49:17 2022
   [... output truncated ...]

   Copy to Clipboard Toggle word wrap

1. CA 하위 시스템 인증서 갱신을 처리하도록 rhel10.example.com 을 구성합니다.

   [root@rhel10 ~]# ipa config-mod --ca-renewal-master-server rhel10.example.com
     ...
     IPA masters: rhel9.example.com, rhel10.example.com
     IPA CA servers: rhel9.example.com, rhel10.example.com
     IPA CA renewal master: rhel10.example.com

   Copy to Clipboard Toggle word wrap

   출력은 업데이트가 성공적으로 수행되었음을 확인합니다.

2. rhel10.example.com 에서 인증서 업데이트기 작업을 활성화합니다.

   1. 편집을 위해 /etc/pki/pki-tomcat/ca/CS.cfg 구성 파일을 엽니다.
   2. ca.certStatusUpdateInterval 항목을 제거하거나 원하는 간격으로 초 단위로 설정합니다. 기본값은 600 입니다.
   3. /etc/pki/pki-tomcat/ca/CS.cfg 구성 파일을 저장하고 닫습니다.

   4. IdM 서비스를 다시 시작합니다.

      [user@rhel10 ~]$ ipactl restart

      Copy to Clipboard Toggle word wrap

3. rhel9.example.com 에서 인증서 업데이트기 작업을 비활성화합니다.

   1. 편집을 위해 /etc/pki/pki-tomcat/ca/CS.cfg 구성 파일을 엽니다.

   2. ca.certStatusUpdateInterval 을 0 으로 변경하거나 존재하지 않는 경우 다음 항목을 추가합니다.

      ca.certStatusUpdateInterval=0

      Copy to Clipboard Toggle word wrap
   3. /etc/pki/pki-tomcat/ca/CS.cfg 구성 파일을 저장하고 닫습니다.

   4. IdM 서비스를 다시 시작합니다.

      [user@rhel9 ~]$ ipactl restart

      Copy to Clipboard Toggle word wrap

프로세스

1. 서버가 CRL을 생성하는지 확인합니다.

   [root@server ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2019-10-31 12:00:00
   Last CRL Number: 6
   The ipa-crlgen-manage command was successful

   Copy to Clipboard Toggle word wrap

2. 서버에서 CRL 생성을 중지합니다.

   [root@server ~]# ipa-crlgen-manage disable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   CRL generation disabled on the local host. Please make sure to configure CRL generation on another master with ipa-crlgen-manage enable.
   The ipa-crlgen-manage command was successful

   Copy to Clipboard Toggle word wrap

3. 서버가 CRL 생성을 중지했는지 확인합니다.

   [root@server ~]# ipa-crlgen-manage status

   Copy to Clipboard Toggle word wrap

프로세스

1. rhel10.example.com 에서 CRL 생성을 시작하려면 ipa-crlgen-manage enable 명령을 사용합니다.

   [root@rhel10 ~]# ipa-crlgen-manage enable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   Forcing CRL update
   CRL generation enabled on the local host. Please make sure to have only a single CRL generation master.
   The ipa-crlgen-manage command was successful

   Copy to Clipboard Toggle word wrap

1. 최신 변경 사항을 포함한 모든 데이터가 rhel9.example.com 에서 rhel10.example.com 으로 올바르게 마이그레이션되었는지 확인합니다. 예를 들면 다음과 같습니다.

   1. rhel9.example.com 에 새 사용자를 추가합니다.

      [root@rhel9 ~]# ipa user-add random_user
      First name: random
      Last name: user

      Copy to Clipboard Toggle word wrap

   2. 사용자가 rhel10.example.com 에 복제되었는지 확인합니다.

      [root@rhel10 ~]# ipa user-find random_user
      --------------
      1 user matched
      --------------
        User login: random_user
        First name: random
        Last name: user

      Copy to Clipboard Toggle word wrap

2. DCNA(Distributed Numeric Assignment) ID 범위가 rhel10.example.com 에 할당되었는지 확인합니다. 다음 방법 중 하나를 사용합니다.

   • 다른 테스트 사용자를 생성하여 rhel10.example.com 에서 DNA 플러그인을 직접 활성화합니다.

     [root@rhel10 ~]# ipa user-add another_random_user
     First name: another
     Last name: random_user

     Copy to Clipboard Toggle word wrap

   • 특정 DNA ID 범위를 rhel10.example.com 에 할당합니다.

     1. rhel9.example.com 에서 IdM ID 범위를 표시합니다.

        [root@rhel9 ~]# ipa idrange-find
        ----------------
        3 ranges matched
        ----------------
          Range name: EXAMPLE.COM_id_range
          First Posix ID of the range: 196600000
          Number of IDs in the range: 200000
          First RID of the corresponding RID range: 1000
          First RID of the secondary RID range: 100000000
          Range type: local domain range

        Copy to Clipboard Toggle word wrap

     2. rhel9.example.com 에서 할당된 DNA ID 범위를 표시합니다.

        [root@rhel9 ~]# ipa-replica-manage dnarange-show
        rhel9.example.com: 196600026-196799999
        rhel10.example.com: No range set

        Copy to Clipboard Toggle word wrap

     3. rhel9.example.com 에 할당된 DNA ID 범위를 줄이면 rhel10.example.com 에서 섹션을 사용할 수 있습니다.

        [root@rhel9 ~]# ipa-replica-manage dnarange-set rhel9.example.com 196600026-196699999

        Copy to Clipboard Toggle word wrap

     4. IdM ID 범위의 나머지 부분을 rhel10.example.com 에 할당합니다.

        [root@rhel9 ~]# ipa-replica-manage dnarange-set rhel10.example.com 196700000-196799999

        Copy to Clipboard Toggle word wrap

3. rhel9.example.com 에서 모든 IdM 서비스를 중지하여 도메인 검색을 새 rhel10.example.com 서버로 강제 적용합니다.

   [root@rhel9 ~]# ipactl stop
   Stopping CA Service
   Stopping pki-ca:                                           [  OK  ]
   Stopping HTTP Service
   Stopping httpd:                                            [  OK  ]
   Stopping MEMCACHE Service
   Stopping ipa_memcached:                                    [  OK  ]
   Stopping DNS Service
   Stopping named:                                            [  OK  ]
   Stopping KPASSWD Service
   Stopping Kerberos 5 Admin Server:                          [  OK  ]
   Stopping KDC Service
   Stopping Kerberos 5 KDC:                                   [  OK  ]
   Stopping Directory Service
   Shutting down dirsrv:
       EXAMPLE-COM...                                         [  OK  ]
       PKI-IPA...                                             [  OK  ]

   Copy to Clipboard Toggle word wrap

   이 후 ipa 유틸리티는 원격 프로시저 호출(RPC)을 통해 새 서버에 연결합니다.

4. RHEL 10 서버에서 제거 명령을 실행하여 토폴로지에서 RHEL 9 서버를 제거합니다. 자세한 내용은 IdM 서버 설치 제거를 참조하십시오.

프로세스

1. IdM이 아직 설치되지 않은 경우: 사용자 지정 LDAP 디렉터리 스키마를 포함하여 기존 LDAP 디렉터리가 설치된 것과 다른 머신에 IdM 서버를 설치합니다. 자세한 내용은 Identity Management 설치를 참조하십시오.

   참고

   사용자 정의 사용자 또는 그룹 스키마는 IdM에서 지원이 제한됩니다. 호환되지 않는 오브젝트 정의로 인해 마이그레이션 중에 문제가 발생할 수 있습니다.

2. 성능상의 이유로 compat 플러그인을 비활성화합니다.

   # ipa-compat-manage disable

   Copy to Clipboard Toggle word wrap

   스키마 호환성 기능 및 마이그레이션을 위해 비활성화할 때의 이점에 대한 자세한 내용은 LDAP에서 IdM으로 마이그레이션할 때 사용할 스키마 및 스키마 호환성 기능을 참조하십시오.

3. IdM Directory Server 인스턴스를 다시 시작합니다.

   # systemctl restart dirsrv.target

   Copy to Clipboard Toggle word wrap

4. 마이그레이션을 허용하도록 IdM 서버를 구성합니다.

   # ipa config-mod --enable-migration=TRUE

   Copy to Clipboard Toggle word wrap

   --enable-migration 을 TRUE로 설정하면 다음을 수행합니다.

   • LDAP 추가 작업 중에 미리 해시된 암호를 허용합니다.
   • 초기 Kerberos 인증이 실패하는 경우 암호 마이그레이션 시퀀스를 시도하도록 SSSD를 구성합니다. 자세한 내용은 LDAP에서 IdM으로 암호를 마이그레이션할 때 SSSD 사용의 워크플로우 섹션을 참조하십시오.

5. 사용 사례와 관련된 옵션을 사용하여 IdM 마이그레이션 스크립트인 ipa migrate-ds 를 실행합니다. 자세한 내용은 LDAP에서 IdM으로 마이그레이션 사용자 지정을 참조하십시오.

   # ipa migrate-ds --your-options ldap://ldap.example.com:389

   Copy to Clipboard Toggle word wrap
   참고

   이전 단계 중 하나에서 compat 플러그인을 비활성화하지 않은 경우 ipa migrate-ds 에 --with-compat 옵션을 추가합니다.

   # ipa migrate-ds --your-options --with-compat ldap://ldap.example.com:389

   Copy to Clipboard Toggle word wrap

6. compat 플러그인을 다시 활성화합니다.

   # ipa-compat-manage enable

   Copy to Clipboard Toggle word wrap

7. IdM 디렉터리 서버를 다시 시작합니다.

   # systemctl restart dirsrv.target

   Copy to Clipboard Toggle word wrap

8. 모든 사용자가 암호를 마이그레이션한 경우 마이그레이션 모드를 비활성화합니다.

   # ipa config-mod --enable-migration=FALSE

   Copy to Clipboard Toggle word wrap
9. 선택 사항: 모든 사용자가 마이그레이션된 경우 LDAP 인증 대신 pam_krb5인 pam_krb5 인증을 사용하도록 SSSD 이외의 클라이언트를 재구성 하십시오. 자세한 내용은 RHEL 7 시스템 수준 인증 가이드의 Kerberos 클라이언트 구성 을 참조하십시오.

10. 사용자가 해시된 Kerberos 암호를 생성하도록 합니다. LDAP에서 IdM으로 마이그레이션할 때 계획 암호 마이그레이션 에 설명된 방법 중 하나를 선택합니다.

    • SSSD 방법을 결정하는 경우:

      • LDAP 디렉터리에서 IdM 디렉터리로 SSSD가 설치된 클라이언트를 IdM 디렉터리에 이동하고 IdM에 클라이언트로 등록합니다. 이렇게 하면 필요한 키와 인증서가 다운로드됩니다.

        Red Hat Enterprise Linux 클라이언트에서는 ipa-client-install 명령을 사용하여 이 작업을 수행할 수 있습니다. 예를 들면 다음과 같습니다.

        # ipa-client-install --enable-dns-update

        Copy to Clipboard Toggle word wrap

    • IdM 마이그레이션 웹 페이지 방법을 결정하는 경우:

      • 마이그레이션 웹 페이지를 사용하여 IdM에 로그인하도록 사용자에게 지시합니다.

        https://ipaserver.example.com/ipa/migration

        Copy to Clipboard Toggle word wrap

11. 사용자 마이그레이션 프로세스를 모니터링하려면 기존 LDAP 디렉터리를 쿼리하여 암호가 있지만 아직 Kerberos 주체 키가 없는 사용자 계정을 확인합니다.

    $ ldapsearch -LL -x -D 'cn=Directory Manager' -w secret -b 'cn=users,cn=accounts,dc=example,dc=com' '(&(!(krbprincipalkey=))(userpassword=))' uid

    Copy to Clipboard Toggle word wrap
    참고

    쉘에서 해석되지 않도록 필터 주위에 작은따옴표를 포함합니다.

12. 모든 클라이언트 및 사용자의 마이그레이션이 완료되면 LDAP 디렉터리를 해제합니다.

검증

1. ipa user-add 명령을 사용하여 IdM에 테스트 사용자를 생성합니다. 마이그레이션된 사용자의 출력을 test 사용자의 출력과 비교합니다. 마이그레이션된 사용자에게 테스트 사용자에게 최소한의 속성 및 개체 클래스 세트가 포함되어 있는지 확인합니다. 예를 들면 다음과 같습니다.

   $ ipa user-show --all testing_user
   dn: uid=testing_user,cn=users,cn=accounts,dc=idm,dc=example,dc=com
   User login: testing_user
   First name: testing
   Last name: user
   Full name: testing user
   Display name: testing user
   Initials: tu
   Home directory: /home/testing_user
   GECOS: testing user
   Login shell: /bin/sh
   Principal name: testing_user@IDM.EXAMPLE.COM
   Principal alias: testing_user@IDM.EXAMPLE.COM
   Email address: testing_user@idm.example.com
   UID: 1689700012
   GID: 1689700012
   Account disabled: False
   Preserved user: False
   Password: False
   Member of groups: ipausers
   Kerberos keys available: False
   ipauniqueid: 843b1ac8-6e38-11ec-8dfe-5254005aad3e
   mepmanagedentry: cn=testing_user,cn=groups,cn=accounts,dc=idm,dc=example,dc=com
   objectclass: top, person, organizationalperson, inetorgperson, inetuser, posixaccount, krbprincipalaux, krbticketpolicyaux, ipaobject,
                ipasshuser, ipaSshGroupOfPubKeys, mepOriginEntry

   Copy to Clipboard Toggle word wrap
2. IdM에 표시된 대로 마이그레이션된 사용자의 출력을 원래 LDAP 서버에 표시된 대로 소스 사용자와 비교합니다. 가져온 속성이 두 번 복사되지 않고 올바른 값이 있는지 확인합니다.

프로세스

1. 원격 LDAP 서버 인증서를 향후 IdM 서버의 파일에 발행한 CA의 인증서를 저장합니다. 예: /tmp/remote.crt

2. LDAP 서버를 IdM으로 마이그레이션하는 방법에 설명된 단계를 따르십시오. 그러나 마이그레이션 중에 암호화된 LDAP 연결의 경우 URL에서 ldaps 프로토콜을 사용하고 --ca-cert-file 옵션을 ipa migrate-ds 명령에 전달합니다. 예를 들면 다음과 같습니다.

   # ipa migrate-ds --ca-cert-file=/tmp/remote.crt --your-other-options ldaps://ldap.example.com:636

   Copy to Clipboard Toggle word wrap

검증

1. ipa user-add 명령을 사용하여 IdM에 테스트 사용자를 생성합니다. 마이그레이션된 사용자의 출력을 test 사용자의 출력과 비교합니다. 마이그레이션된 사용자에게 테스트 사용자에게 최소한의 속성 및 개체 클래스 세트가 포함되어 있는지 확인합니다. 예를 들면 다음과 같습니다.

   $ ipa user-show --all testing_user
   dn: uid=testing_user,cn=users,cn=accounts,dc=idm,dc=example,dc=com
   User login: testing_user
   First name: testing
   Last name: user
   Full name: testing user
   Display name: testing user
   Initials: tu
   Home directory: /home/testing_user
   GECOS: testing user
   Login shell: /bin/sh
   Principal name: testing_user@IDM.EXAMPLE.COM
   Principal alias: testing_user@IDM.EXAMPLE.COM
   Email address: testing_user@idm.example.com
   UID: 1689700012
   GID: 1689700012
   Account disabled: False
   Preserved user: False
   Password: False
   Member of groups: ipausers
   Kerberos keys available: False
   ipauniqueid: 843b1ac8-6e38-11ec-8dfe-5254005aad3e
   mepmanagedentry: cn=testing_user,cn=groups,cn=accounts,dc=idm,dc=example,dc=com
   objectclass: top, person, organizationalperson, inetorgperson, inetuser, posixaccount, krbprincipalaux, krbticketpolicyaux, ipaobject,
                ipasshuser, ipaSshGroupOfPubKeys, mepOriginEntry

   Copy to Clipboard Toggle word wrap
2. IdM에 표시된 대로 마이그레이션된 사용자의 출력을 원래 LDAP 서버에 표시된 대로 소스 사용자와 비교합니다. 가져온 속성이 두 번 복사되지 않고 올바른 값이 있는지 확인합니다.