2.4. 컨테이너에 ID 관리 서버 설치: 외부 CA
이 절차에서는 외부 CA에 종속된 통합 CA(ID 관리 인증 기관)를 사용하여 서버를 설치하는 방법을 설명합니다.
컨테이너화된 ID 관리 서버 및 Atomic Host 시스템은 컨테이너에 바인드 마운트를 사용하여 마운트된 파일 시스템의 일부만 공유합니다. 따라서 외부 파일과 관련된 작업을 이 볼륨 내에서 수행해야 합니다.
ipa-server 컨테이너 이미지는 /var/lib/<container_name>/ 디렉터리를 사용하여 Atomic Host 파일 시스템에 영구 파일을 저장합니다. 영구 스토리지 볼륨은 컨테이너 내부의 /data/ 디렉터리에 매핑됩니다.
시작하기 전
컨테이너 설치에서는
ipa-server-install을 사용하여 컨테이너가 아닌 설치와 동일한 기본 구성을 사용합니다. 사용자 정의 구성을 지정하려면 아래 절차에 사용된atomic install명령에 옵션을 추가합니다.- ipa-server 컨테이너에 사용할 수 있는 Atomic 옵션입니다. 전체 목록은 컨테이너 도움말 페이지를 참조하십시오.
-
ipa-server-install에서 승인한 ID 관리 설치 프로그램 옵션은 Linux 도메인 ID, 인증 및 정책 가이드의 ID 관리 서버 설치 및 제거에 설명되어 있습니다.
절차
atomic install rhel7/ipa-server publish --hostname fully_qualified_domain_name ipa-server-install --external-ca명령을 사용하여 설치를 시작합니다.컨테이너에는 자체 호스트 이름이 필요합니다. Atomic Host 시스템의 호스트 이름과 컨테이너의 다른 호스트 이름을 사용합니다. 컨테이너의 호스트 이름은 DNS 또는 /etc/hosts 파일을 통해 확인할 수 있어야 합니다.
참고서버 또는 복제본 컨테이너를 설치하면 Atomic Host 시스템 자체를 Identity Management 도메인에 등록하지 않습니다. 서버 또는 복제본에 Atomic Host 시스템의 호스트 이름을 사용하는 경우 나중에 Atomic Host 시스템을 등록할 수 없습니다.
중요서버 또는 복제본 컨테이너를 설치할 때 항상
atomic install과 함께--hostname옵션을 사용하십시오. 이 경우--hostname은 Identity Management 설치 프로그램 옵션이 아닌 Atomic 옵션으로 간주되므로ipa-server-install옵션보다 먼저 사용하십시오.ipa-server-install다음에 사용하면 설치 시--hostname을 무시합니다.-
통합 DNS를 사용하여 서버를 설치하는 경우
--ip-address옵션도 추가하여 네트워크에서 연결할 수 있는 Atomic Host의 공용 IP 주소를 지정합니다.--ip-address를 여러 번 사용할 수 있습니다.
주의테스트 목적으로만 컨테이너를 설치하려는 경우가 아니면 항상
게시옵션을 사용합니다.게시하지않으면 Atomic Host 시스템에 포트를 게시하지 않으며 컨테이너 외부에서 서버에 연결할 수 없습니다.ipa-server-install설정 스크립트가 시작됩니다.The log file for this installation can be found in /var/log/ipaserver-install.log ======================================== This program will set up the IPA Server. [... output truncated ...]
이 프로세스는
ipa-server-install유틸리티를 사용하여 컨테이너가 아닌 서버를 설치할 때와 동일합니다.컨테이너 설치 스크립트는
/var/lib/<container_name>/root/ipa.csr파일에 인증서 서명 요청(CSR)을 생성합니다. CSR을 외부 CA에 제출하고 발급된 CA의 인증서 및 CA 인증서 체인을 검색합니다.자세한 내용은 Linux 도메인 ID, 인증 및 정책 가이드에서 외부 CA를 사용하여 서버 설치를 참조하십시오.
서명된 CA 인증서와 루트 CA 인증서를
/var/lib/<container_name>/디렉터리에 복사합니다.$ cp /root/{ipa,ca}.crt /var/lib/server-container/.atomic run명령을--external-cert-file옵션과 함께 사용하여 인증서의 위치를 지정합니다. 설치 프로그램이 컨테이너 내부에서 호출을 수행하므로/data/디렉터리를 기준으로 위치를 지정합니다.$ atomic run rhel7/ipa-server ipa-server-install --external-cert-file /data/ipa.crt --external-cert-file /data/ca.crt- 설치가 다시 시작됩니다. 이제 설치 프로그램에서 제공된 인증서를 사용하여 하위 CA를 설정합니다.
