Identity Management 설치

1. FIPS 모드에서 새 IdM 영역 생성
2. 모든 주요 자료를 차단하는 필터를 사용하여 비FIPS 영역에서 새 FIPS 모드 영역으로 데이터 마이그레이션을 수행합니다.

절차

1. firewalld 서비스가 실행 중인지 확인합니다.

   • firewalld 가 현재 실행되고 있는지 확인하려면 다음을 수행합니다.

     # systemctl status firewalld.service

     Copy to Clipboard Toggle word wrap

   • firewalld 를 시작하고 시스템이 부팅될 때 자동으로 시작하도록 구성하려면 다음을 수행합니다.

     # systemctl start firewalld.service
     # systemctl enable firewalld.service

     Copy to Clipboard Toggle word wrap

2. firewall-cmd 유틸리티를 사용하여 필요한 포트를 엽니다. 다음 옵션 중 하나를 선택합니다.

   1. firewall-cmd --add-port 명령을 사용하여 방화벽에 개별 포트를 추가합니다. 예를 들어 기본 영역에서 포트를 엽니다.

      # firewall-cmd --permanent --add-port={80/tcp,443/tcp,389/tcp,636/tcp,88/tcp,88/udp,464/tcp,464/udp,53/tcp,53/udp}

      Copy to Clipboard Toggle word wrap

   2. firewall-cmd --add-service 명령을 사용하여 방화벽에 firewalld 서비스를 추가합니다. 예를 들어 기본 영역에서 포트를 엽니다.

      # firewall-cmd --permanent --add-service={freeipa-4,dns}

      Copy to Clipboard Toggle word wrap

      firewall-cmd 를 사용하여 시스템에서 포트를 여는 방법에 대한 자세한 내용은 firewall-cmd(1) 매뉴얼 페이지를 참조하십시오.

3. firewall-cmd 구성을 다시 로드하여 변경 사항이 즉시 수행되었는지 확인합니다.

   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

   프로덕션 환경에서 시스템에서 firewalld 를 다시 로드하면 DNS 연결이 시간 초과될 수 있습니다. 필요한 경우 시간 초과를 방지하고 실행 중인 시스템에서 변경 사항을 영구적으로 만들려면 firewall-cmd 명령의 --runtime-to-permanent 옵션을 사용합니다. 예를 들면 다음과 같습니다.

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

절차

1. idm:DL1 스트림을 활성화합니다.

   # yum module enable idm:DL1

   Copy to Clipboard Toggle word wrap

2. idm:DL1 스트림을 통해 제공되는 RPM으로 전환합니다.

   # yum distro-sync

   Copy to Clipboard Toggle word wrap

3. IdM 요구 사항에 따라 다음 옵션 중 하나를 선택합니다.

   • 통합 DNS 없이 IdM 서버 설치에 필요한 패키지를 다운로드하려면 다음을 수행하십시오.

     # yum module install idm:DL1/server

     Copy to Clipboard Toggle word wrap

   • 통합 DNS를 사용하여 IdM 서버를 설치하는 데 필요한 패키지를 다운로드하려면 다음을 수행합니다.

     # yum module install idm:DL1/dns

     Copy to Clipboard Toggle word wrap

   • Active Directory와의 신뢰 관계가 있는 IdM 서버 설치에 필요한 패키지를 다운로드하려면 다음을 수행합니다.

     # yum module install idm:DL1/adtrust

     Copy to Clipboard Toggle word wrap

   • 여러 프로필에서 패키지를 다운로드하려면 (예: adtrust 및 dns 프로필)

     # yum module install idm:DL1/{dns,adtrust}

     Copy to Clipboard Toggle word wrap

   • IdM 클라이언트 설치에 필요한 패키지를 다운로드하려면 다음을 수행합니다.

     # yum module install idm:DL1/client

     Copy to Clipboard Toggle word wrap

절차

1. 선택 사항: 현재 Cryostat를 표시합니다.

   # umask
   0027

   Copy to Clipboard Toggle word wrap

2. bookinfo를 0022 로 설정합니다.

   # umask 0022

   Copy to Clipboard Toggle word wrap

3. 선택 사항: IdM 설치가 완료되면 Cryostat 를 원래 값으로 다시 설정합니다.

   # umask 0027

   Copy to Clipboard Toggle word wrap

절차

1. ipa-server-install 유틸리티를 실행합니다.

   # ipa-server-install

   Copy to Clipboard Toggle word wrap

2. 스크립트에서 통합 DNS 서비스를 구성하라는 메시지가 표시됩니다. yes 를 입력합니다.

   Do you want to configure integrated DNS (BIND)? [no]: yes

   Copy to Clipboard Toggle word wrap

3. 이 스크립트는 몇 가지 필수 설정을 입력하라는 메시지를 표시하고 대괄호에 권장되는 기본값을 제공합니다.

   • 기본값을 허용하려면 Enter 를 누릅니다.

   • 사용자 지정 값을 제공하려면 필요한 값을 입력합니다.

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard Toggle word wrap
     주의

     이러한 이름을 신중하게 계획하십시오. 설치가 완료된 후에는 변경할 수 없습니다.

4. Directory Server 슈퍼 유저(cn=Directory Manager)의 암호와 IdM(Identity Management) 관리 시스템 사용자 계정(admin)에 대해 암호를 입력합니다.

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard Toggle word wrap

5. 스크립트에서 서버별 DNS 전달자를 입력하라는 메시지를 표시합니다.

   Do you want to configure DNS forwarders? [yes]:

   Copy to Clipboard Toggle word wrap

   • 서버별 DNS 전달자를 구성하려면 yes 를 입력한 다음 명령줄의 지침을 따릅니다. 설치 프로세스에서 IdM LDAP에 전달자 IP 주소를 추가합니다.

     • 전달 정책 기본 설정의 경우 ipa-dns-install(1) 도움말 페이지의 --forward-policy 설명을 참조하십시오.

   • DNS 전달을 사용하지 않으려면 no 를 입력합니다.

     DNS 전달자가 없으면 IdM 도메인의 호스트에서 인프라의 다른 내부 DNS 도메인의 이름을 확인할 수 없습니다. 호스트는 DNS 쿼리를 확인하기 위해 공용 DNS 서버에서만 유지됩니다.

6. 스크립트에서 서버와 연결된 IP 주소에 대한 DNS 역방향(PTR) 레코드가 구성되어 있는지 확인하라는 메시지가 표시됩니다.

   Do you want to search for missing reverse zones? [yes]:

   Copy to Clipboard Toggle word wrap

   검색 및 누락된 역방향 영역을 실행하는 경우 스크립트는 PTR 레코드와 함께 역방향 영역을 생성할지 여부를 요청합니다.

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   Copy to Clipboard Toggle word wrap
   참고

   IdM을 사용하여 역방향 영역을 관리하는 것은 선택 사항입니다. 대신 외부 DNS 서비스를 사용할 수 있습니다.

7. yes 를 입력하여 서버 구성을 확인합니다.

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard Toggle word wrap
8. 이제 설치 스크립트가 서버를 구성합니다. 작업이 완료될 때까지 기다립니다.

9. 설치 스크립트가 완료되면 다음과 같은 방식으로 DNS 레코드를 업데이트합니다.

   1. 상위 도메인의 DNS 위임을 IdM DNS 도메인에 추가합니다. 예를 들어 IdM DNS 도메인이 idm.example.com 인 경우 example.com 상위 도메인에 이름 서버(NS) 레코드를 추가합니다.

      중요

      IdM DNS 서버가 설치되면 이 단계를 반복합니다.

   2. 시간 서버의 _ntp._udp 서비스(SRV) 레코드를 IdM DNS에 추가합니다. IdM DNS에 새로 설치된 IdM 서버의 시간 서버에 SRV 레코드가 있으면 이 기본 IdM 서버에서 사용하는 시간 서버와 동기화되도록 향후 복제본 및 클라이언트 설치가 자동으로 구성됩니다.

절차

1. 옵션을 사용하여 ipa-server-install 유틸리티를 실행하여 필요한 모든 정보를 제공합니다. 비대화형 설치에 필요한 최소 옵션은 다음과 같습니다.

   • --realm: Kerberos 영역 이름을 제공합니다.
   • --ds-password: 디렉터리 서버 슈퍼 사용자 디렉터리 관리자(DM)의 암호를 제공합니다.
   • --admin-password: admin, IdM(Identity Management) 관리자의 암호를 제공합니다.
   • --unattended: 설치 프로세스에서 호스트 이름 및 도메인 이름에 대한 기본 옵션을 선택하도록 합니다.

   통합 DNS를 사용하여 서버를 설치하려면 다음 옵션도 추가합니다.

   • --setup-dns: 통합 DNS를 구성
   • --forwarder 또는 --no-forwarders: DNS 전달자 구성 여부에 따라 사용
   • --auto-reverse 또는 --no-reverse: IdM DNS에서 생성해야 하는 역방향 DNS 영역의 자동 탐지를 구성하려는 여부에 따라 또는 역방향 영역 자동 탐지 구성 여부에 따라 기능을 설정 가능

   예를 들어 다음과 같습니다.

   # ipa-server-install --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended --setup-dns --forwarder 192.0.2.1 --no-reverse

   Copy to Clipboard Toggle word wrap

2. 설치 스크립트가 완료되면 다음과 같은 방식으로 DNS 레코드를 업데이트합니다.

   1. 상위 도메인의 DNS 위임을 IdM DNS 도메인에 추가합니다. 예를 들어 IdM DNS 도메인이 idm.example.com 인 경우 example.com 상위 도메인에 이름 서버(NS) 레코드를 추가합니다.

      중요

      IdM DNS 서버가 설치되면 이 단계를 반복합니다.

   2. 시간 서버의 _ntp._udp 서비스(SRV) 레코드를 IdM DNS에 추가합니다. IdM DNS에 새로 설치된 IdM 서버의 시간 서버에 SRV 레코드가 있으면 이 기본 IdM 서버에서 사용하는 시간 서버와 동기화되도록 향후 복제본 및 클라이언트 설치가 자동으로 구성됩니다.

절차

1. --external-ca 옵션을 사용하여 ipa-server-install 유틸리티를 실행합니다.

   # ipa-server-install --external-ca

   Copy to Clipboard Toggle word wrap

   • Microsoft 인증서 서비스(MS CS) CA를 사용하는 경우 --external-ca-type 옵션 및 선택적으로 --external-ca-profile 옵션을 사용합니다.

     [root@server ~]# ipa-server-install --external-ca --external-ca-type=ms-cs --external-ca-profile=<oid>/<name>/default

     Copy to Clipboard Toggle word wrap

   • IdM CA의 서명 인증서를 생성하는 데 MS CS를 사용하지 않는 경우 다른 옵션이 필요하지 않을 수 있습니다.

     # ipa-server-install --external-ca

     Copy to Clipboard Toggle word wrap

2. 스크립트에서 통합 DNS 서비스를 구성하라는 메시지가 표시됩니다. yes 또는 no를 입력합니다. 이 절차에서는 통합 DNS가 있는 서버를 설치하고 있습니다.

   Do you want to configure integrated DNS (BIND)? [no]: yes

   Copy to Clipboard Toggle word wrap
   참고

   통합 DNS 없이 서버를 설치하려는 경우 아래 단계에 설명된 대로 설치 스크립트에서 DNS 구성을 요청하는 메시지를 표시하지 않습니다. DNS 없이 서버를 설치하는 단계에 대한 자세한 내용은 6장. IdM 서버 설치: 통합 DNS 없이, 루트 CA로 통합된 CA를 포함 을 참조하십시오.

3. 이 스크립트는 몇 가지 필수 설정을 입력하라는 메시지를 표시하고 대괄호에 권장되는 기본값을 제공합니다.

   • 기본값을 허용하려면 Enter 를 누릅니다.

   • 사용자 지정 값을 제공하려면 필요한 값을 입력합니다.

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard Toggle word wrap
     주의

     이러한 이름을 신중하게 계획하십시오. 설치가 완료된 후에는 변경할 수 없습니다.

4. Directory Server 슈퍼 유저(cn=Directory Manager)의 암호와 IdM(Identity Management) 관리 시스템 사용자 계정(admin)에 대해 암호를 입력합니다.

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard Toggle word wrap

5. 스크립트에서 서버별 DNS 전달자를 입력하라는 메시지를 표시합니다.

   Do you want to configure DNS forwarders? [yes]:

   Copy to Clipboard Toggle word wrap

   • 서버별 DNS 전달자를 구성하려면 yes 를 입력한 다음 명령줄의 지침을 따릅니다. 설치 프로세스에서 IdM LDAP에 전달자 IP 주소를 추가합니다.

     • 전달 정책 기본 설정의 경우 ipa-dns-install(1) 도움말 페이지의 --forward-policy 설명을 참조하십시오.

   • DNS 전달을 사용하지 않으려면 no 를 입력합니다.

     DNS 전달자가 없으면 IdM 도메인의 호스트에서 인프라의 다른 내부 DNS 도메인의 이름을 확인할 수 없습니다. 호스트는 DNS 쿼리를 확인하기 위해 공용 DNS 서버에서만 유지됩니다.

6. 스크립트에서 서버와 연결된 IP 주소에 대한 DNS 역방향(PTR) 레코드가 구성되어 있는지 확인하라는 메시지가 표시됩니다.

   Do you want to search for missing reverse zones? [yes]:

   Copy to Clipboard Toggle word wrap

   검색 및 누락된 역방향 영역을 실행하는 경우 스크립트는 PTR 레코드와 함께 역방향 영역을 생성할지 여부를 요청합니다.

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   Copy to Clipboard Toggle word wrap
   참고

   IdM을 사용하여 역방향 영역을 관리하는 것은 선택 사항입니다. 대신 외부 DNS 서비스를 사용할 수 있습니다.

7. yes 를 입력하여 서버 구성을 확인합니다.

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard Toggle word wrap

8. 인증서 시스템 인스턴스를 구성하는 동안 유틸리티는 인증서 서명 요청(CSR): /root/ipa.csr:

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   Copy to Clipboard Toggle word wrap

   이 경우:

   1. /root/ipa.csr에 있는 CSR을 외부 CA에 제출합니다. 이 프로세스는 외부 CA로 사용할 서비스에 따라 다릅니다.

   2. 기본 64로 인코딩된 Blob(Windows CA의 PEM 파일 또는 Base_64 인증서)에서 발급한 인증서와 CA의 CA 인증서 체인을 검색합니다. 다시 말하지만, 프로세스는 모든 인증서 서비스에 따라 다릅니다. 일반적으로 웹 페이지 또는 알림 이메일의 다운로드 링크를 사용하면 관리자가 필요한 모든 인증서를 다운로드할 수 있습니다.

      중요

      CA 인증서뿐만 아니라 CA의 전체 인증서 체인을 가져옵니다.

   3. ipa-server-install을 다시 실행합니다. 이번에는 새로 발급한 CA 인증서와 CA 체인 파일의 위치 및 이름을 지정합니다. 예를 들어 다음과 같습니다.

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem

      Copy to Clipboard Toggle word wrap
9. 이제 설치 스크립트가 서버를 구성합니다. 작업이 완료될 때까지 기다립니다.

10. 설치 스크립트가 완료되면 다음과 같은 방식으로 DNS 레코드를 업데이트합니다.

    1. 상위 도메인의 DNS 위임을 IdM DNS 도메인에 추가합니다. 예를 들어 IdM DNS 도메인이 idm.example.com 인 경우 example.com 상위 도메인에 이름 서버(NS) 레코드를 추가합니다.

       중요

       IdM DNS 서버가 설치되면 이 단계를 반복합니다.

    2. 시간 서버의 _ntp._udp 서비스(SRV) 레코드를 IdM DNS에 추가합니다. IdM DNS에 새로 설치된 IdM 서버의 시간 서버에 SRV 레코드가 있으면 이 기본 IdM 서버에서 사용하는 시간 서버와 동기화되도록 향후 복제본 및 클라이언트 설치가 자동으로 구성됩니다.

1. 다음 쉘 스크립트를 사용하여 *_proxy 환경 변수를 설정 해제합니다.

   # for i in ftp http https; do unset ${i}_proxy; done

   Copy to Clipboard Toggle word wrap

2. pkidestroy 유틸리티를 실행하여 실패한 CA(인증 기관) 하위 시스템 설치를 제거합니다.

   # pkidestroy -s CA -i pki-tomcat; rm -rf /var/log/pki/pki-tomcat /etc/sysconfig/pki-tomcat /etc/sysconfig/pki/tomcat/pki-tomcat /var/lib/pki/pki-tomcat /etc/pki/pki-tomcat /root/ipa.csr

   Copy to Clipboard Toggle word wrap

3. 실패한 IdM(Identity Management) 서버 설치를 제거합니다.

   # ipa-server-install --uninstall

   Copy to Clipboard Toggle word wrap
4. ipa-server-install --external-ca 를 실행합니다.

절차

1. ipa-server-install 유틸리티를 실행하고 필요한 모든 인증서를 제공합니다. 예를 들어 다음과 같습니다.

   [root@server ~]# ipa-server-install \
       --http-cert-file /tmp/server.crt \
       --http-cert-file /tmp/server.key \
       --http-pin secret \
       --dirsrv-cert-file /tmp/server.crt \
       --dirsrv-cert-file /tmp/server.key \
       --dirsrv-pin secret \
       --ca-cert-file ca.crt

   Copy to Clipboard Toggle word wrap

   제공된 인증서에 대한 자세한 내용은 CA 없이 IdM 서버를 설치하는 데 필요한 인증서 를 참조하십시오.

2. 스크립트에서 통합 DNS 서비스를 구성하라는 메시지가 표시됩니다. yes 또는 no를 입력합니다. 이 절차에서는 통합 DNS가 있는 서버를 설치하고 있습니다.

   Do you want to configure integrated DNS (BIND)? [no]: yes

   Copy to Clipboard Toggle word wrap
   참고

   통합 DNS 없이 서버를 설치하려는 경우 아래 단계에 설명된 대로 설치 스크립트에서 DNS 구성을 요청하는 메시지를 표시하지 않습니다. IdM 서버 설치를 참조하십시오. DNS를 통합하지 않고 루트 CA로 통합 CA가 있는 경우 DNS 없이 서버를 설치하는 단계에 대한 세부 사항.

3. 이 스크립트는 몇 가지 필수 설정을 입력하라는 메시지를 표시하고 대괄호에 권장되는 기본값을 제공합니다.

   • 기본값을 허용하려면 Enter 를 누릅니다.

   • 사용자 지정 값을 제공하려면 필요한 값을 입력합니다.

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard Toggle word wrap
     주의

     이러한 이름을 신중하게 계획하십시오. 설치가 완료된 후에는 변경할 수 없습니다.

4. Directory Server 슈퍼 유저(cn=Directory Manager)의 암호와 IdM(Identity Management) 관리 시스템 사용자 계정(admin)에 대해 암호를 입력합니다.

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard Toggle word wrap

5. 스크립트에서 서버별 DNS 전달자를 입력하라는 메시지를 표시합니다.

   Do you want to configure DNS forwarders? [yes]:

   Copy to Clipboard Toggle word wrap

   • 서버별 DNS 전달자를 구성하려면 yes 를 입력한 다음 명령줄의 지침을 따릅니다. 설치 프로세스에서 IdM LDAP에 전달자 IP 주소를 추가합니다.

     • 전달 정책 기본 설정의 경우 ipa-dns-install(1) 도움말 페이지의 --forward-policy 설명을 참조하십시오.

   • DNS 전달을 사용하지 않으려면 no 를 입력합니다.

     DNS 전달자가 없으면 IdM 도메인의 호스트에서 인프라의 다른 내부 DNS 도메인의 이름을 확인할 수 없습니다. 호스트는 DNS 쿼리를 확인하기 위해 공용 DNS 서버에서만 유지됩니다.

6. 스크립트에서 서버와 연결된 IP 주소에 대한 DNS 역방향(PTR) 레코드가 구성되어 있는지 확인하라는 메시지가 표시됩니다.

   Do you want to search for missing reverse zones? [yes]:

   Copy to Clipboard Toggle word wrap

   검색 및 누락된 역방향 영역을 실행하는 경우 스크립트는 PTR 레코드와 함께 역방향 영역을 생성할지 여부를 요청합니다.

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   Copy to Clipboard Toggle word wrap
   참고

   IdM을 사용하여 역방향 영역을 관리하는 것은 선택 사항입니다. 대신 외부 DNS 서비스를 사용할 수 있습니다.

7. yes 를 입력하여 서버 구성을 확인합니다.

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard Toggle word wrap
8. 이제 설치 스크립트가 서버를 구성합니다. 작업이 완료될 때까지 기다립니다.

9. 설치 스크립트가 완료되면 다음과 같은 방식으로 DNS 레코드를 업데이트합니다.

   1. 상위 도메인의 DNS 위임을 IdM DNS 도메인에 추가합니다. 예를 들어 IdM DNS 도메인이 idm.example.com 인 경우 example.com 상위 도메인에 이름 서버(NS) 레코드를 추가합니다.

      중요

      IdM DNS 서버가 설치되면 이 단계를 반복합니다.

   2. 시간 서버의 _ntp._udp 서비스(SRV) 레코드를 IdM DNS에 추가합니다. IdM DNS에 새로 설치된 IdM 서버의 시간 서버에 SRV 레코드가 있으면 이 기본 IdM 서버에서 사용하는 시간 서버와 동기화되도록 향후 복제본 및 클라이언트 설치가 자동으로 구성됩니다.

절차

1. ipa-server-install 유틸리티를 실행합니다.

   # ipa-server-install

   Copy to Clipboard Toggle word wrap

2. 스크립트에서 통합 DNS 서비스를 구성하라는 메시지가 표시됩니다. Enter 를 눌러 기본 no 옵션을 선택합니다.

   Do you want to configure integrated DNS (BIND)? [no]:

   Copy to Clipboard Toggle word wrap

3. 이 스크립트는 몇 가지 필수 설정을 입력하라는 메시지를 표시하고 대괄호에 권장되는 기본값을 제공합니다.

   • 기본값을 허용하려면 Enter 를 누릅니다.

   • 사용자 지정 값을 제공하려면 필요한 값을 입력합니다.

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard Toggle word wrap
     주의

     이러한 이름을 신중하게 계획하십시오. 설치가 완료된 후에는 변경할 수 없습니다.

4. Directory Server superuser(cn=Directory Manager)의 암호와 IdM 관리 시스템 사용자 계정(관리자)을 입력합니다.

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard Toggle word wrap

5. 이 스크립트는 몇 가지 필수 설정을 입력하라는 메시지를 표시하고 대괄호에 권장되는 기본값을 제공합니다.

   • 기본값을 허용하려면 Enter 를 누릅니다.

   • 사용자 지정 값을 제공하려면 필요한 값을 입력합니다.

     NetBIOS domain name [EXAMPLE]:
     Do you want to configure chrony with NTP server or pool address? [no]:

     Copy to Clipboard Toggle word wrap

6. yes 를 입력하여 서버 구성을 확인합니다.

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard Toggle word wrap
7. 이제 설치 스크립트가 서버를 구성합니다. 작업이 완료될 때까지 기다립니다.

8. 설치 스크립트는 DNS 리소스 레코드가 있는 파일을 생성합니다. /tmp/ipa.system.records.UFRPto.db 파일은 아래 예제 출력에 있습니다. 이러한 레코드를 기존 외부 DNS 서버에 추가합니다. DNS 레코드를 업데이트하는 프로세스는 특정 DNS 솔루션에 따라 다릅니다.

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   Copy to Clipboard Toggle word wrap
   중요

   기존 DNS 서버에 DNS 레코드를 추가할 때까지 서버 설치가 완료되지 않습니다.

절차

1. 옵션을 사용하여 ipa-server-install 유틸리티를 실행하여 필요한 모든 정보를 제공합니다. 비대화형 설치에 필요한 최소 옵션은 다음과 같습니다.

   • --realm: Kerberos 영역 이름을 제공합니다.
   • --ds-password: 디렉터리 서버 슈퍼 사용자 디렉터리 관리자(DM)의 암호를 제공합니다.
   • --admin-password: IdM 관리자인 admin의 암호를 제공합니다.
   • --unattended: 설치 프로세스에서 호스트 이름 및 도메인 이름에 대한 기본 옵션을 선택하도록 합니다.

   예를 들어 다음과 같습니다.

   # ipa-server-install --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

   Copy to Clipboard Toggle word wrap

2. 설치 스크립트는 DNS 리소스 레코드가 있는 파일을 생성합니다. /tmp/ipa.system.records.UFRPto.db 파일은 아래 예제 출력에 있습니다. 이러한 레코드를 기존 외부 DNS 서버에 추가합니다. DNS 레코드를 업데이트하는 프로세스는 특정 DNS 솔루션에 따라 다릅니다.

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   Copy to Clipboard Toggle word wrap
   중요

   기존 DNS 서버에 DNS 레코드를 추가할 때까지 서버 설치가 완료되지 않습니다.

절차

1. --external-ca 옵션을 사용하여 ipa-server-install 유틸리티를 실행합니다.

   • Microsoft 인증서 서비스(MS CS) CA를 사용하는 경우 --external-ca-type 옵션 및 선택적으로 --external-ca-profile 옵션을 사용합니다.

     [root@server ~]# ipa-server-install --external-ca --external-ca-type=ms-cs --external-ca-profile=<oid>/<name>/default

     Copy to Clipboard Toggle word wrap

   • IdM CA의 서명 인증서를 생성하는 데 MS CS를 사용하지 않는 경우 다른 옵션이 필요하지 않을 수 있습니다.

     # ipa-server-install --external-ca

     Copy to Clipboard Toggle word wrap

2. 스크립트에서 통합 DNS 서비스를 구성하라는 메시지가 표시됩니다. Enter 를 눌러 기본 no 옵션을 선택합니다.

   Do you want to configure integrated DNS (BIND)? [no]:

   Copy to Clipboard Toggle word wrap

3. 이 스크립트는 몇 가지 필수 설정을 입력하라는 메시지를 표시하고 대괄호에 권장되는 기본값을 제공합니다.

   • 기본값을 허용하려면 Enter 를 누릅니다.

   • 사용자 지정 값을 제공하려면 필요한 값을 입력합니다.

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard Toggle word wrap
     주의

     이러한 이름을 신중하게 계획하십시오. 설치가 완료된 후에는 변경할 수 없습니다.

4. Directory Server superuser(cn=Directory Manager)의 암호와 IdM 관리 시스템 사용자 계정(관리자)을 입력합니다.

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard Toggle word wrap

5. yes 를 입력하여 서버 구성을 확인합니다.

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard Toggle word wrap

6. 인증서 시스템 인스턴스를 구성하는 동안 유틸리티는 인증서 서명 요청(CSR): /root/ipa.csr:

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   Copy to Clipboard Toggle word wrap

   이 경우:

   1. /root/ipa.csr에 있는 CSR을 외부 CA에 제출합니다. 이 프로세스는 외부 CA로 사용할 서비스에 따라 다릅니다.

   2. 기본 64로 인코딩된 Blob(Windows CA의 PEM 파일 또는 Base_64 인증서)에서 발급한 인증서와 CA의 CA 인증서 체인을 검색합니다. 다시 말하지만, 프로세스는 모든 인증서 서비스에 따라 다릅니다. 일반적으로 웹 페이지 또는 알림 이메일의 다운로드 링크를 사용하면 관리자가 필요한 모든 인증서를 다운로드할 수 있습니다.

      중요

      CA 인증서뿐만 아니라 CA의 전체 인증서 체인을 가져옵니다.

   3. ipa-server-install을 다시 실행합니다. 이번에는 새로 발급한 CA 인증서와 CA 체인 파일의 위치 및 이름을 지정합니다. 예를 들어 다음과 같습니다.

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem

      Copy to Clipboard Toggle word wrap
7. 이제 설치 스크립트가 서버를 구성합니다. 작업이 완료될 때까지 기다립니다.

8. 설치 스크립트는 DNS 리소스 레코드가 있는 파일을 생성합니다. /tmp/ipa.system.records.UFRPto.db 파일은 아래 예제 출력에 있습니다. 이러한 레코드를 기존 외부 DNS 서버에 추가합니다. DNS 레코드를 업데이트하는 프로세스는 특정 DNS 솔루션에 따라 다릅니다.

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   Copy to Clipboard Toggle word wrap
   중요

   기존 DNS 서버에 DNS 레코드를 추가할 때까지 서버 설치가 완료되지 않습니다.

절차

1. 옵션을 사용하여 ipa-server-install 유틸리티를 실행하여 필요한 모든 정보를 제공합니다. 루트 CA로 외부 CA를 사용하여 IdM 서버를 비대화형 설치에 필요한 최소 옵션은 다음과 같습니다.

   • 외부 CA를 지정하는 --external-ca 는 루트 CA입니다.
   • --realm: Kerberos 영역 이름을 제공합니다.
   • --ds-password: 디렉터리 서버 슈퍼 사용자 디렉터리 관리자(DM)의 암호를 제공합니다.
   • --admin-password: IdM 관리자인 admin의 암호를 제공합니다.

   • --unattended: 설치 프로세스에서 호스트 이름 및 도메인 이름에 대한 기본 옵션을 선택하도록 합니다.

     예를 들어 다음과 같습니다.

     # ipa-server-install --external-ca --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

     Copy to Clipboard Toggle word wrap

   Microsoft 인증서 서비스(MS CS) CA를 사용하는 경우 --external-ca-type 옵션 및 선택적으로 --external-ca-profile 옵션을 사용합니다. 자세한 내용은 외부 CA를 사용하여 IdM CA를 설치할 때 루트 CA로 사용되는 옵션을 참조하십시오.

2. 인증서 시스템 인스턴스를 구성하는 동안 유틸리티는 인증서 서명 요청(CSR): /root/ipa.csr:

   ...
   
   Configuring certificate server (pki-tomcatd). Estimated time: 3 minutes
     [1/11]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /usr/sbin/ipa-server-install as:
   /usr/sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
   The ipa-server-install command was successful

   Copy to Clipboard Toggle word wrap

   이 경우:

   1. /root/ipa.csr에 있는 CSR을 외부 CA에 제출합니다. 이 프로세스는 외부 CA로 사용할 서비스에 따라 다릅니다.

   2. 기본 64로 인코딩된 Blob(Windows CA의 PEM 파일 또는 Base_64 인증서)에서 발급한 인증서와 CA의 CA 인증서 체인을 검색합니다. 다시 말하지만, 프로세스는 모든 인증서 서비스에 따라 다릅니다. 일반적으로 웹 페이지 또는 알림 이메일의 다운로드 링크를 사용하면 관리자가 필요한 모든 인증서를 다운로드할 수 있습니다.

      중요

      CA 인증서뿐만 아니라 CA의 전체 인증서 체인을 가져옵니다.

   3. ipa-server-install을 다시 실행합니다. 이번에는 새로 발급한 CA 인증서와 CA 체인 파일의 위치 및 이름을 지정합니다. 예를 들어 다음과 같습니다.

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

      Copy to Clipboard Toggle word wrap
3. 이제 설치 스크립트가 서버를 구성합니다. 작업이 완료될 때까지 기다립니다.

4. 설치 스크립트는 DNS 리소스 레코드가 있는 파일을 생성합니다. /tmp/ipa.system.records.UFRPto.db 파일은 아래 예제 출력에 있습니다. 이러한 레코드를 기존 외부 DNS 서버에 추가합니다. DNS 레코드를 업데이트하는 프로세스는 특정 DNS 솔루션에 따라 다릅니다.

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   Copy to Clipboard Toggle word wrap

절차

1. tail 명령을 사용하여 로그 파일의 마지막 행을 표시합니다. 다음 예제는 /var/log/ipaserver-install.log 의 마지막 10행을 표시합니다.

   [user@server ~]$ sudo tail -n 10 /var/log/ipaserver-install.log
   [sudo] password for user:
   value = gen.send(prev_value)
   File "/usr/lib/python3.6/site-packages/ipapython/install/common.py", line 65, in _install
   for unused in self._installer(self.parent):
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/init.py", line 564, in main
   master_install(self)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/install.py", line 291, in decorated
   raise ScriptError()
   
   2020-05-27T22:59:41Z DEBUG The ipa-server-install command failed, exception: ScriptError:
   2020-05-27T22:59:41Z ERROR The ipa-server-install command failed. See /var/log/ipaserver-install.log for more information

   Copy to Clipboard Toggle word wrap

2. 로그 파일을 대화형으로 검토하려면 less 유틸리티를 사용하여 로그 파일의 끝을 열고 ↑ 및 ↓ 화살표 키를 사용하여 이동합니다. 다음 예제에서는 /var/log/ipaserver-install.log 파일을 대화식으로 엽니다.

   [user@server ~]$ sudo less -N +G /var/log/ipaserver-install.log

   Copy to Clipboard Toggle word wrap

3. 이 검토 프로세스를 나머지 로그 파일과 함께 반복하여 추가 문제 해결 정보를 수집합니다.

   [user@server ~]$ sudo less -N +G /var/log/httpd/error_log
   
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors

   Copy to Clipboard Toggle word wrap

절차

1. 로그 파일을 대화형으로 검토하려면 less 유틸리티를 사용하여 로그 파일의 끝을 열고 ScriptError 항목을 검색하는 동안 kbd:[] 화살표 키를 사용하여 이동합니다. 다음 예제에서는 /var/log/pki/pki-ca-spawn.$TIME_OF_INSTALLATION.log를 엽니다.

   [user@server ~]$ sudo less -N +G /var/log/pki/pki-ca-spawn.20200527185902.log

   Copy to Clipboard Toggle word wrap
2. 위에 나열된 모든 로그 파일과 함께 이 검토 프로세스를 반복하여 추가 문제 해결 정보를 수집합니다.

절차

1. IdM 서버로 구성하려는 호스트에서 IdM 서버 소프트웨어를 설치 제거합니다.

   [root@server ~]# ipa-server-install --uninstall

   Copy to Clipboard Toggle word wrap

2. 반복적으로 실패한 설치로 인해 IdM 서버를 설치하는 데 어려움이 있는 경우 운영 체제를 다시 설치하십시오.

   IdM 서버를 설치하기 위한 요구 사항 중 하나는 사용자 지정이 없는 클린 시스템입니다. 실패한 설치로 인해 시스템 파일을 예기치 않게 수정하여 호스트의 무결성이 손상될 수 있습니다.

절차

1. idm:DL1 스트림을 통해 제공되는 RPM으로 전환하려면 다음을 수행합니다.

   # yum module enable idm:DL1
   # yum distro-sync

   Copy to Clipboard Toggle word wrap

2. IdM 클라이언트 설치에 필요한 패키지를 다운로드하려면 다음을 수행합니다.

   # yum module install idm:DL1/client

   Copy to Clipboard Toggle word wrap

절차

1. IdM 클라이언트로 구성하려는 시스템에서 ipa-client-install 유틸리티를 실행합니다.

   # ipa-client-install --mkhomedir

   Copy to Clipboard Toggle word wrap

   다음 조건 중 하나가 적용되는 경우 --enable-dns-updates 옵션을 추가하여 클라이언트 시스템의 IP 주소로 DNS 레코드를 업데이트합니다.

   • 클라이언트가 등록된 IdM 서버는 통합된 DNS를 사용하여 설치됨
   • 네트워크의 DNS 서버는 GSS-TSIG 프로토콜을 사용하여 DNS 항목 업데이트를 허용합니다.

   # ipa-client-install --enable-dns-updates --mkhomedir

   Copy to Clipboard Toggle word wrap

   클라이언트가 DNS 업데이트를 활성화하는 경우 유용합니다.

   • 동적 호스트 구성 프로토콜을 사용하여 발행된 동적 IP 주소 보유
   • 고정 IP 주소가 있지만 할당되었지만 IdM 서버는 이에 대해 알 수 없습니다.

2. 설치 스크립트는 DNS 레코드와 같은 모든 필요한 설정을 자동으로 가져옵니다.

   • IdM DNS 영역에 SRV 레코드가 올바르게 설정된 경우 스크립트에서 다른 모든 필수 값을 자동으로 검색하고 표시합니다. 확인하려면 yes 를 입력합니다.

     Client hostname: client.example.com
     Realm: EXAMPLE.COM
     DNS Domain: example.com
     IPA Server: server.example.com
     BaseDN: dc=example,dc=com
     
     Continue to configure the system with these values? [no]: yes

     Copy to Clipboard Toggle word wrap

   • 다른 값으로 시스템을 설치하려면 no 를 입력합니다. 그런 다음 ipa-client-install 을 다시 실행하고 ipa-client-install 에 명령줄 옵션을 추가하여 필요한 값을 지정합니다. 예를 들면 다음과 같습니다.

     • --hostname
     • --realm
     • --domain
     • --server
     • --mkhomedir
     중요

     정규화된 도메인 이름은 유효한 DNS 이름이어야 합니다.

     • 숫자, 영문자 및 하이픈(-)만 허용됩니다. 예를 들어 밑줄은 허용되지 않으며 DNS 오류가 발생할 수 있습니다.
     • 호스트 이름은 모두 소문자여야 합니다. 대문자는 사용할 수 없습니다.
   • 스크립트에서 일부 설정을 자동으로 가져오지 못하면 값을 입력하라는 메시지를 표시합니다.

3. 이 스크립트는 ID가 클라이언트를 등록하는 데 사용할 사용자의 메시지를 표시합니다. 예를 들어 Enrollment Administrator 역할이 있는 hostadmin 사용자일 수 있습니다.

   User authorized to enroll computers: hostadmin
   Password for hostadmin@EXAMPLE.COM:

   Copy to Clipboard Toggle word wrap

4. 이제 설치 스크립트가 클라이언트를 구성합니다. 작업이 완료될 때까지 기다립니다.

   Client configuration complete.

   Copy to Clipboard Toggle word wrap

절차

1. IdM 클라이언트로 구성하려는 시스템에서 ipa-client-install 유틸리티를 실행합니다.

   일회성 임의 암호를 제공하려면 --password 옵션을 사용합니다. 암호에는 종종 특수 문자가 포함되어 있으므로 작은따옴표(')로 묶습니다.

   # ipa-client-install --mkhomedir --password=password

   Copy to Clipboard Toggle word wrap

   다음 조건 중 하나가 적용되는 경우 --enable-dns-updates 옵션을 추가하여 클라이언트 시스템의 IP 주소로 DNS 레코드를 업데이트합니다.

   • 클라이언트가 등록된 IdM 서버는 통합된 DNS를 사용하여 설치됨
   • 네트워크의 DNS 서버는 GSS-TSIG 프로토콜을 사용하여 DNS 항목 업데이트를 허용합니다.

   # ipa-client-install --password 'W5YpARl=7M.n' --enable-dns-updates --mkhomedir

   Copy to Clipboard Toggle word wrap

   클라이언트가 DNS 업데이트를 활성화하는 경우 유용합니다.

   • 동적 호스트 구성 프로토콜을 사용하여 발행된 동적 IP 주소 보유
   • 고정 IP 주소가 있지만 할당되었지만 IdM 서버는 이에 대해 알 수 없습니다.

2. 설치 스크립트는 DNS 레코드와 같은 모든 필요한 설정을 자동으로 가져옵니다.

   • IdM DNS 영역에 SRV 레코드가 올바르게 설정된 경우 스크립트에서 다른 모든 필수 값을 자동으로 검색하고 표시합니다. 확인하려면 yes 를 입력합니다.

     Client hostname: client.example.com
     Realm: EXAMPLE.COM
     DNS Domain: example.com
     IPA Server: server.example.com
     BaseDN: dc=example,dc=com
     
     Continue to configure the system with these values? [no]: yes

     Copy to Clipboard Toggle word wrap

   • 다른 값으로 시스템을 설치하려면 no 를 입력합니다. 그런 다음 ipa-client-install 을 다시 실행하고 ipa-client-install 에 명령줄 옵션을 추가하여 필요한 값을 지정합니다. 예를 들면 다음과 같습니다.

     • --hostname
     • --realm
     • --domain
     • --server
     • --mkhomedir
     중요

     정규화된 도메인 이름은 유효한 DNS 이름이어야 합니다.

     • 숫자, 영문자 및 하이픈(-)만 허용됩니다. 예를 들어 밑줄은 허용되지 않으며 DNS 오류가 발생할 수 있습니다.
     • 호스트 이름은 모두 소문자여야 합니다. 대문자는 사용할 수 없습니다.
   • 스크립트에서 일부 설정을 자동으로 가져오지 못하면 값을 입력하라는 메시지를 표시합니다.

3. 이제 설치 스크립트가 클라이언트를 구성합니다. 작업이 완료될 때까지 기다립니다.

   Client configuration complete.

   Copy to Clipboard Toggle word wrap

1. /etc/openldap/ldap.conf 및 /etc/sssd/sssd.conf 를 엽니다.
2. 이전 구성을 삭제합니다.
3. 새 IdM 구성의 주석을 제거합니다.
4. 시스템 전체 LDAP 구성에 의존하는 서버 프로세스에 변경 사항을 적용하려면 다시 시작해야 할 수 있습니다. openldap 라이브러리를 사용하는 애플리케이션은 일반적으로 시작 시 구성을 가져옵니다.

절차

1. IdM 서버에서 호스트 항목을 미리 만들고 항목의 임시 암호를 설정합니다.

   $ ipa host-add client.example.com --password=secret

   Copy to Clipboard Toggle word wrap

   Kickstart에서 암호를 사용하여 클라이언트 설치 중에 인증하고 첫 번째 인증 시도 후에 만료됩니다. 클라이언트가 성공적으로 설치되면 keytab을 사용하여 인증합니다.

2. 15.2절. “클라이언트 설치를 위한 Kickstart 파일” 에 설명된 콘텐츠로 Kickstart 파일을 만듭니다. network 명령을 사용하여 Kickstart 파일에 네트워크가 올바르게 구성되었는지 확인합니다.
3. Kickstart 파일을 사용하여 IdM 클라이언트를 설치합니다.

절차

1. grep 유틸리티를 사용하여 /var/log/ipaserver-install.log 파일에서 ScriptError 키워드를 모두 검색합니다.

   [user@server ~]$ sudo grep ScriptError /var/log/ipaclient-install.log
   [sudo] password for user:
   2020-05-28T18:24:50Z DEBUG The ipa-client-install command failed, exception: ScriptError: One of password / principal / keytab is required.

   Copy to Clipboard Toggle word wrap

2. 로그 파일을 대화형으로 검토하려면 less 유틸리티를 사용하여 로그 파일의 끝을 열고 ↑ 및 ↓ 화살표 키를 사용하여 이동합니다.

   [user@server ~]$ sudo less -N +G /var/log/ipaclient-install.log

   Copy to Clipboard Toggle word wrap

절차

1. 클라이언트가 있는 DNS 영역의 동적 업데이트가 활성화되어 있는지 확인합니다.

   [user@server ~]$ ipa dnszone-mod idm.example.com. --dynamic-update=TRUE

   Copy to Clipboard Toggle word wrap

2. DNS 서비스를 실행하는 IdM 서버에 TCP 및 UDP 프로토콜 모두에 대해 포트 53이 열려 있는지 확인합니다.

   [user@server ~]$ sudo firewall-cmd --permanent --add-port=53/tcp --add-port=53/udp
   [sudo] password for user:
   success
   [user@server ~]$ firewall-cmd --runtime-to-permanent
   success

   Copy to Clipboard Toggle word wrap

3. grep 유틸리티를 사용하여 /var/log/client-install.log에서 nsupdate 명령의 내용을 검색하여 실패하는 DNS 레코드 업데이트를 확인합니다.

   [user@server ~]$ sudo grep nsupdate /var/log/ipaclient-install.log

   Copy to Clipboard Toggle word wrap