11.6. 소유자 서버 설치, 구성 및 실행
fdo-owner-cli
및 fdo-owner-onboarding-server
RPM 패키지를 설치하여 시스템이 첫 번째 장치 부팅 중에 제조 서버에서 생성한 바우처를 수신할 수 있도록 합니다. 그러면 Rendezvous 서버가 대상 플랫폼 또는 클라우드와 장치 UUID와 일치하고 장치가 사용해야 하는 소유자 서버 엔드포인트에 대해 장치에 알립니다.
사전 요구 사항
- 서버가 배포되는 장치에는 디스크를 암호화할 신뢰할 수 있는 플랫폼 모듈(TPM) 장치가 있습니다. 그렇지 않은 경우 RHEL for Edge 장치를 부팅할 때 오류가 발생합니다.
-
키와 인증서가 있는
device_ca_cert.pem
,owner_key.der
,owner_cert.pem
을 생성한 후 해당 키를/etc/fdo/keys
디렉터리에 복사합니다.
절차
이 서버에 필요한 RPM을 설치합니다.
# dnf install -y fdo-owner-cli fdo-owner-onboarding-server
owner-onboarding-server.yml
구성 파일을 준비하여/etc/fdo/
디렉터리에 저장합니다. 이미 복사한 인증서의 경로와 이 파일에 Owner 서버 서비스를 게시할 위치에 대한 정보를 포함합니다.다음은
/usr/share/doc/fdo/owner-onboarding-server.yml
에서 사용할 수 있는 예입니다. URL 또는 인증 토큰과 같은 Service Info API에 대한 참조를 찾을 수 있습니다.--- ownership_voucher_store_driver: Directory: path: /etc/fdo/stores/owner_vouchers session_store_driver: Directory: path: /etc/fdo/stores/owner_onboarding_sessions trusted_device_keys_path: /etc/fdo/keys/device_ca_cert.pem owner_private_key_path: /etc/fdo/keys/owner_key.der owner_public_key_path: /etc/fdo/keys/owner_cert.pem bind: "0.0.0.0:8081" service_info_api_url: "http://localhost:8083/device_info" service_info_api_authentication: BearerToken: token: Kpt5P/5flBkaiNSvDYS3cEdBQXJn2Zv9n1D50431/lo= owner_addresses: - transport: http addresses: - ip_address: 192.168.122.149
Service Info API를 생성하고 구성합니다.
사용자 생성, 복사 또는 생성, 실행할 명령, 암호화할 디스크 등 온보딩을 위한 자동화된 정보를 추가합니다.
/usr/share/doc/fdo/serviceinfo-api-server.yml
의 Service Info API 구성 파일 예제를 템플릿으로 사용하여/etc/fdo/
에 구성 파일을 생성합니다.--- service_info: initial_user: username: admin sshkeys: - "ssh-rsa AAAA...." files: - path: /root/resolv.conf source_path: /etc/resolv.conf commands: - command: touch args: - /root/test return_stdout: true return_stderr: true diskencryption_clevis: - disk_label: /dev/vda4 binding: pin: tpm2 config: "{}" reencrypt: true additional_serviceinfo: ~ bind: "0.0.0.0:8083" device_specific_store_driver: Directory: path: /etc/fdo/stores/serviceinfo_api_devices service_info_auth_token: Kpt5P/5flBkaiNSvDYS3cEdBQXJn2Zv9n1D50431/lo= admin_auth_token: zJNoErq7aa0RusJ1w0tkTjdITdMCWYkndzVv7F0V42Q=
systemd 장치의 상태를 확인합니다.
# systemctl list-unit-files | grep fdo fdo-owner-onboarding-server.service disabled disabled fdo-serviceinfo-api-server.service disabled disabled
서비스가 중지 및 비활성화된 경우 활성화 및 시작합니다.
# systemctl enable --now fdo-owner-onboarding-server.service # systemctl enable --now fdo-serviceinfo-api-server.service
참고구성 파일을 변경할 때마다
systemd
서비스를 다시 시작해야 합니다.
서버가 기본 구성된 포트 8083에서 수신 대기 중인지 확인합니다.
# ss -ltn
이 서버에 방화벽을 구성한 경우 포트를 엽니다.
# firewall-cmd --add-port=8081/tcp --permanent # firewall-cmd --add-port=8083/tcp --permanent # systemctl restart firewalld