安装身份管理

流程

1. 验证 firewalld 服务是否正在运行。

   • 查看 firewalld 当前是否正在运行：

     # systemctl status firewalld.service

     Copy to Clipboard

   • 启动 firewalld 并将其配置为在系统引导时自动启动：

     # systemctl start firewalld.service
     # systemctl enable firewalld.service

     Copy to Clipboard

2. 使用 firewall-cmd 工具打开所需的端口。选择以下选项之一：

   1. 使用 firewall-cmd --add-port 命令在防火墙中添加各个端口。例如，要在默认区中打开端口：

      # firewall-cmd --permanent --add-port={80/tcp,443/tcp,389/tcp,636/tcp,88/tcp,88/udp,464/tcp,464/udp,53/tcp,53/udp}

      Copy to Clipboard

   2. 使用 firewall-cmd --add-service 命令在防火墙中添加 firewalld 服务。例如，要在默认区中打开端口：

      # firewall-cmd --permanent --add-service={freeipa-4,dns}

      Copy to Clipboard

      有关使用 firewall-cmd 开放系统上端口的详情，请参考 firewall-cmd(1)手册页。

3. 重新载入 firewall-cmd 配置以确保修改立即生效：

   # firewall-cmd --reload

   Copy to Clipboard

   请注意，在生产环境的系统上重新载入 firewalld 可能会导致 DNS 连接超时。如果需要，为了避免超时的风险并在运行的系统上永久保留修改，请使用 firewall-cmd 命令的 --runtime-to-permanent 选项，例如：

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard

流程

1. 可选：显示当前的 umask ：

   # umask
   0027

   Copy to Clipboard

2. 将 umask 设为 0022 ：

   # umask 0022

   Copy to Clipboard

3. 可选：在 IdM 安装完成后，将 umask 设置回其原始值：

   # umask 0027

   Copy to Clipboard

流程

1. 运行 ipa-server-install 工具程序。

   # ipa-server-install

   Copy to Clipboard

2. 此脚本提示配置集成的 DNS 服务。输入 yes。

   Do you want to configure integrated DNS (BIND)? [no]: yes

   Copy to Clipboard

3. 该脚本提示输入一些必需的设置，并在括号中提供推荐的默认值。

   • 要接受默认值，请按 Enter 键。

   • 要提供自定义值，请输入所需的值。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard
     警告

     仔细规划这些名称。安装完成后您将无法更改它们。

4. 输入目录服务器超级用户(cn=Directory Manager)和 RHEL Identity Management (IdM)管理系统用户帐户(admin)的密码。

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard

5. 脚本提示每台服务器的 DNS 转发器。

   Do you want to configure DNS forwarders? [yes]:

   Copy to Clipboard

   • 要配置每台服务器的 DNS 转发器，请输入 yes，然后按照命令行中的说明操作。安装过程会将转发器 IP 地址添加到 IdM LDAP。

     • 有关转发策略默认设置，请参阅 ipa-dns -install (1)手册页中的--forward-policy描述。

   • 如果您不想使用 DNS 正向解析，请输入 no。

     如果没有 DNS 转发器，您 IdM 域中的主机将不能解析来自基础架构中其他的、内部的、DNS 域的名称。主机将只剩下公共 DNS 服务器来解析其 DNS 查询。

6. 脚本会提示检查是否需要配置与服务器关联的 IP 地址的任何 DNS 反向(PTR)记录。

   Do you want to search for missing reverse zones? [yes]:

   Copy to Clipboard

   如果您运行搜索并发现丢失了反向区，脚本会询问您是否创建反向区以及 PTR 记录。

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   Copy to Clipboard
   注意

   使用 IdM 管理反向区是可选的。您可以改为使用外部 DNS 服务来实现这一目的。

7. 输入 yes 以确认服务器配置。

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard
8. 安装脚本现在配置服务器。等待操作完成。

9. 安装脚本完成后，使用以下方法更新您的 DNS 记录：

   1. 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

      重要

      每次安装 IdM DNS 服务器后都会重复这个步骤。

   2. 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

流程

1. 使用选项运行 ipa-server-install 程序来提供所有所需信息。非互动安装的最低所需选项是：

   • --realm 提供 Kerberos 领域名
   • --ds-password 为目录管理者(DM)（目录服务器超级用户）提供密码
   • --admin-password 为 admin 提供密码，即 RHEL Identity Management (IdM)管理员
   • --unattended ，让安装进程为主机名和域名选择默认选项

   要安装使用集成 DNS 的服务器，还要添加以下选项：

   • --setup-dns 用于配置集成 DNS
   • --forwarder 或 --no-forwarders，取决于您是否要配置 DNS 正向解析器
   • --auto-reverse 或 --no-reverse，取决于您是否要配置在 IdM DNS 中创建的反向 DNS 区的自动检测，或者不需要反向区自动检测

   例如：

   # ipa-server-install --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended --setup-dns --forwarder 192.0.2.1 --no-reverse

   Copy to Clipboard

2. 安装脚本完成后，使用以下方法更新您的 DNS 记录：

   1. 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

      重要

      每次安装 IdM DNS 服务器后都会重复这个步骤。

   2. 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

流程

1. 使用 --external-ca 选项来运行 ipa-server-install 工具。

   # ipa-server-install --external-ca

   Copy to Clipboard

   • 如果您使用 Microsoft 证书服务(MS CS) CA，还使用 --external-ca-type 选项，并可选使用 --external-ca-profile 选项：

     [root@server ~]# ipa-server-install --external-ca --external-ca-type=ms-cs --external-ca-profile=<oid>/<name>/default

     Copy to Clipboard

   • 如果您没有使用 MS CS 为 IdM CA 生成签名证书，则不需要其他选项：

     # ipa-server-install --external-ca

     Copy to Clipboard

2. 此脚本提示配置集成的 DNS 服务。输入 yes 或 no。在此过程中，我们安装了带有集成 DNS 的服务器。

   Do you want to configure integrated DNS (BIND)? [no]: yes

   Copy to Clipboard
   注意

   如果您要安装没有集成 DNS 的服务器，安装脚本将不会提示您进行 DNS 配置，如下面步骤所述。有关安装没有 DNS 的服务器的步骤的详情，请查看 第 5 章 安装 IdM 服务器： 在不集成 DNS 的情况，将集成的 CA 作为 root CA。

3. 该脚本提示输入一些必需的设置，并在括号中提供推荐的默认值。

   • 要接受默认值，请按 Enter 键。

   • 要提供自定义值，请输入所需的值。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard
     警告

     仔细规划这些名称。安装完成后您将无法更改它们。

4. 输入目录服务器超级用户(cn=Directory Manager)和 RHEL Identity Management (IdM)管理系统用户帐户(admin)的密码。

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard

5. 脚本提示每台服务器的 DNS 转发器。

   Do you want to configure DNS forwarders? [yes]:

   Copy to Clipboard

   • 要配置每台服务器的 DNS 转发器，请输入 yes，然后按照命令行中的说明操作。安装过程会将转发器 IP 地址添加到 IdM LDAP。

     • 有关转发策略默认设置，请参阅 ipa-dns -install (1)手册页中的--forward-policy描述。

   • 如果您不想使用 DNS 正向解析，请输入 no。

     如果没有 DNS 转发器，您 IdM 域中的主机将不能解析来自基础架构中其他的、内部的、DNS 域的名称。主机将只剩下公共 DNS 服务器来解析其 DNS 查询。

6. 脚本会提示检查是否需要配置与服务器关联的 IP 地址的任何 DNS 反向(PTR)记录。

   Do you want to search for missing reverse zones? [yes]:

   Copy to Clipboard

   如果您运行搜索并发现丢失了反向区，脚本会询问您是否创建反向区以及 PTR 记录。

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   Copy to Clipboard
   注意

   使用 IdM 管理反向区是可选的。您可以改为使用外部 DNS 服务来实现这一目的。

7. 输入 yes 以确认服务器配置。

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard

8. 在证书系统实例配置过程中，该工具会打印证书签名请求(CSR)的位置： /root/ipa.csr:

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   Copy to Clipboard

   当发生这种情况时：

   1. 将位于 /root/ipa.csr 中的 CSR 提交给外部 CA。这个过程根据要用作外部 CA 的服务的不同而有所不同。

   2. 在基础 64 编码 blob 中检索颁发的证书和颁发 CA 的 CA 证书链（Windows CA 的 PEM 文件或 Base_64 证书）。同样，不同的证书服务的进程会有所不同。通常，网页或通知电子邮件中的下载链接允许管理员下载所有需要的证书。

      重要

      确保获取 CA 的完整证书链，而不只是 CA 证书。

   3. 再次运行 ipa-server-install，这次指定新发布的 CA 证书和 CA 链文件的位置和名称。例如：

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem

      Copy to Clipboard
9. 安装脚本现在配置服务器。等待操作完成。

10. 安装脚本完成后，使用以下方法更新您的 DNS 记录：

    1. 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

       重要

       每次安装 IdM DNS 服务器后都会重复这个步骤。

    2. 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

1. 使用以下 shell 脚本取消设置 *_proxy 环境变量：

   # for i in ftp http https; do unset ${i}_proxy; done

   Copy to Clipboard

2. 运行 pkidestroy 工具来删除失败的证书颁发机构(CA)子系统的安装：

   # pkidestroy -s CA -i pki-tomcat; rm -rf /var/log/pki/pki-tomcat /etc/sysconfig/pki-tomcat /etc/sysconfig/pki/tomcat/pki-tomcat /var/lib/pki/pki-tomcat /etc/pki/pki-tomcat /root/ipa.csr

   Copy to Clipboard

3. 删除失败的 RHEL 身份管理(IdM)服务器安装：

   # ipa-server-install --uninstall

   Copy to Clipboard
4. 重新运行 ipa-server-install --external-ca。

流程

1. 运行 ipa-server-install 工具，并提供所有所需的证书。例如：

   [root@server ~]# ipa-server-install \
       --http-cert-file /tmp/server.crt \
       --http-cert-file /tmp/server.key \
       --http-pin secret \
       --dirsrv-cert-file /tmp/server.crt \
       --dirsrv-cert-file /tmp/server.key \
       --dirsrv-pin secret \
       --ca-cert-file ca.crt

   Copy to Clipboard

   有关 提供的证书的详情，请参阅 安装没有 CA 的 IdM 服务器 所需的证书。

2. 此脚本提示配置集成的 DNS 服务。输入 yes 或 no。在此过程中，我们安装了带有集成 DNS 的服务器。

   Do you want to configure integrated DNS (BIND)? [no]: yes

   Copy to Clipboard
   注意

   如果您要安装没有集成 DNS 的服务器，安装脚本将不会提示您进行 DNS 配置，如下面步骤所述。如需了解 安装没有 DNS 的服务器的详情，请参阅安装 IdM 服务器：没有集成的 DNS，集成的 CA 作为 root CA。

3. 该脚本提示输入一些必需的设置，并在括号中提供推荐的默认值。

   • 要接受默认值，请按 Enter 键。

   • 要提供自定义值，请输入所需的值。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard
     警告

     仔细规划这些名称。安装完成后您将无法更改它们。

4. 输入目录服务器超级用户(cn=Directory Manager)和 RHEL Identity Management (IdM)管理系统用户帐户(admin)的密码。

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard

5. 脚本提示每台服务器的 DNS 转发器。

   Do you want to configure DNS forwarders? [yes]:

   Copy to Clipboard

   • 要配置每台服务器的 DNS 转发器，请输入 yes，然后按照命令行中的说明操作。安装过程会将转发器 IP 地址添加到 IdM LDAP。

     • 有关转发策略默认设置，请参阅 ipa-dns -install (1)手册页中的--forward-policy描述。

   • 如果您不想使用 DNS 正向解析，请输入 no。

     如果没有 DNS 转发器，您 IdM 域中的主机将不能解析来自基础架构中其他的、内部的、DNS 域的名称。主机将只剩下公共 DNS 服务器来解析其 DNS 查询。

6. 脚本会提示检查是否需要配置与服务器关联的 IP 地址的任何 DNS 反向(PTR)记录。

   Do you want to search for missing reverse zones? [yes]:

   Copy to Clipboard

   如果您运行搜索并发现丢失了反向区，脚本会询问您是否创建反向区以及 PTR 记录。

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   Copy to Clipboard
   注意

   使用 IdM 管理反向区是可选的。您可以改为使用外部 DNS 服务来实现这一目的。

7. 输入 yes 以确认服务器配置。

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard
8. 安装脚本现在配置服务器。等待操作完成。

9. 安装脚本完成后，使用以下方法更新您的 DNS 记录：

   1. 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

      重要

      每次安装 IdM DNS 服务器后都会重复这个步骤。

   2. 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

流程

1. 运行 ipa-server-install 工具。

   # ipa-server-install

   Copy to Clipboard

2. 此脚本提示配置集成的 DNS 服务。按 Enter 键选择默认的 no 选项。

   Do you want to configure integrated DNS (BIND)? [no]:

   Copy to Clipboard

3. 该脚本提示输入一些必需的设置，并在括号中提供推荐的默认值。

   • 要接受默认值，请按 Enter 键。

   • 要提供自定义值，请输入所需的值。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard
     警告

     仔细规划这些名称。安装完成后您将无法更改它们。

4. 输入目录服务器超级用户(cn=Directory Manager)和 IdM 管理系统用户帐户(admin)的密码。

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard

5. 该脚本提示输入一些必需的设置，并在括号中提供推荐的默认值。

   • 要接受默认值，请按 Enter 键。

   • 要提供自定义值，请输入所需的值。

     NetBIOS domain name [EXAMPLE]:
     Do you want to configure chrony with NTP server or pool address? [no]:

     Copy to Clipboard

6. 输入 yes 以确认服务器配置。

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard
7. 安装脚本现在配置服务器。等待操作完成。

8. 安装脚本生成包含 DNS 资源记录的文件：下面示例输出中的 /tmp/ipa.system.records.UFRPto.db 文件。将这些记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

   _kerberos-master._tcp.example.com. 86400 IN SRV 0 100 88 server.example.com.
   _kerberos-master._udp.example.com. 86400 IN SRV 0 100 88 server.example.com.
   _kerberos._tcp.example.com. 86400 IN SRV 0 100 88 server.example.com.
   _kerberos._udp.example.com. 86400 IN SRV 0 100 88 server.example.com.
   _kerberos.example.com. 86400 IN TXT "EXAMPLE.COM"
   _kpasswd._tcp.example.com. 86400 IN SRV 0 100 464 server.example.com.
   _kpasswd._udp.example.com. 86400 IN SRV 0 100 464 server.example.com.
   _ldap._tcp.example.com. 86400 IN SRV 0 100 389 server.example.com.

   Copy to Clipboard
   重要

   在将 DNS 记录添加到现有 DNS 服务器之前，服务器安装不会完成。

流程

1. 运行带有选项的 ipa-server-install 工具以提供所有必需的信息。非互动安装的最低所需选项是：

   • --realm 提供 Kerberos 领域名
   • --ds-password 为目录管理者(DM)（目录服务器超级用户）提供密码
   • --admin-password 为 admin （IdM 管理员）提供密码
   • --unattended ，让安装进程为主机名和域名选择默认选项

   例如：

   # ipa-server-install --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

   Copy to Clipboard

2. 安装脚本生成包含 DNS 资源记录的文件：下面示例输出中的 /tmp/ipa.system.records.UFRPto.db 文件。将这些记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   Copy to Clipboard
   重要

   在将 DNS 记录添加到现有 DNS 服务器之前，服务器安装不会完成。

流程

1. 使用 --external-ca 选项来运行 ipa-server-install 工具。

   • 如果您使用 Microsoft 证书服务(MS CS) CA，还使用 --external-ca-type 选项，并可选使用 --external-ca-profile 选项：

     [root@server ~]# ipa-server-install --external-ca --external-ca-type=ms-cs --external-ca-profile=<oid>/<name>/default

     Copy to Clipboard

   • 如果您没有使用 MS CS 为 IdM CA 生成签名证书，则不需要其他选项：

     # ipa-server-install --external-ca

     Copy to Clipboard

2. 此脚本提示配置集成的 DNS 服务。按 Enter 键选择默认的 no 选项。

   Do you want to configure integrated DNS (BIND)? [no]:

   Copy to Clipboard

3. 该脚本提示输入一些必需的设置，并在括号中提供推荐的默认值。

   • 要接受默认值，请按 Enter 键。

   • 要提供自定义值，请输入所需的值。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard
     警告

     仔细规划这些名称。安装完成后您将无法更改它们。

4. 输入目录服务器超级用户(cn=Directory Manager)和 IdM 管理系统用户帐户(admin)的密码。

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard

5. 输入 yes 以确认服务器配置。

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard

6. 在证书系统实例配置过程中，该工具会打印证书签名请求(CSR)的位置： /root/ipa.csr:

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   Copy to Clipboard

   当发生这种情况时：

   1. 将位于 /root/ipa.csr 中的 CSR 提交给外部 CA。这个过程根据要用作外部 CA 的服务的不同而有所不同。

   2. 在基础 64 编码 blob 中检索颁发的证书和颁发 CA 的 CA 证书链（Windows CA 的 PEM 文件或 Base_64 证书）。同样，不同的证书服务的进程会有所不同。通常，网页或通知电子邮件中的下载链接允许管理员下载所有需要的证书。

      重要

      确保获取 CA 的完整证书链，而不只是 CA 证书。

   3. 再次运行 ipa-server-install，这次指定新发布的 CA 证书和 CA 链文件的位置和名称。例如：

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem

      Copy to Clipboard
7. 安装脚本现在配置服务器。等待操作完成。

8. 安装脚本生成包含 DNS 资源记录的文件：下面示例输出中的 /tmp/ipa.system.records.UFRPto.db 文件。将这些记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   Copy to Clipboard
   重要

   在将 DNS 记录添加到现有 DNS 服务器之前，服务器安装不会完成。

流程

1. 运行带有选项的 ipa-server-install 工具以提供所有必需的信息。使用外部 CA 的 IdM 服务器非互动安装的最低必需选项是：

   • --external-ca 用于指定外部 CA 是根CA
   • --realm 提供 Kerberos 领域名
   • --ds-password 为目录管理者(DM)（目录服务器超级用户）提供密码
   • --admin-password 为 admin （IdM 管理员）提供密码

   • --unattended ，让安装进程为主机名和域名选择默认选项

     例如：

     # ipa-server-install --external-ca --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

     Copy to Clipboard

   如果您使用 Microsoft 证书服务(MS CS) CA，也使用 --external-ca-type 选项，并选择使用 --external-ca-profile 选项。如需更多信息，请参阅 安装外部 CA 作为根 CA 的 IdM CA 时使用的选项。

2. 在证书系统实例配置过程中，该工具会打印证书签名请求(CSR)的位置： /root/ipa.csr:

   ...
   
   Configuring certificate server (pki-tomcatd). Estimated time: 3 minutes
     [1/11]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /usr/sbin/ipa-server-install as:
   /usr/sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
   The ipa-server-install command was successful

   Copy to Clipboard

   当发生这种情况时：

   1. 将位于 /root/ipa.csr 中的 CSR 提交给外部 CA。这个过程根据要用作外部 CA 的服务的不同而有所不同。

   2. 在基础 64 编码 blob 中检索颁发的证书和颁发 CA 的 CA 证书链（Windows CA 的 PEM 文件或 Base_64 证书）。同样，不同的证书服务的进程会有所不同。通常，网页或通知电子邮件中的下载链接允许管理员下载所有需要的证书。

      重要

      确保获取 CA 的完整证书链，而不只是 CA 证书。

   3. 再次运行 ipa-server-install，这次指定新发布的 CA 证书和 CA 链文件的位置和名称。例如：

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

      Copy to Clipboard
3. 安装脚本现在配置服务器。等待操作完成。

4. 安装脚本生成包含 DNS 资源记录的文件：下面示例输出中的 /tmp/ipa.system.records.UFRPto.db 文件。将这些记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   Copy to Clipboard

流程

1. 运行 install 命令，确保您指定 PKCS modprobe 库的位置、令牌名称和令牌密码：

   ipa-server-install -a <password> -p <dmpassword>-r <IDM.EXAMPLE.COM> -U --setup-dns --allow-zone-overlap --no-forwarders -N --auto-reverse --random-serial-numbers -–token-name=<HSM-TOKEN> --token-library-path=/opt/nfast/toolkits/pkcs11/libcknfast.so

   Copy to Clipboard
2. 提示时指定令牌密码。

验证

1. 运行 certutil 以显示 CA 证书信息：

   certutil -L -d /etc/pki/pki-tomcat/alias
   
   Certificate Nickname                    Trust Attributes
                                           SSL,S/MIME,JAR/XPI
   
   caSigningCert cert-pki-ca               CT,C,C
   ocspSigningCert cert-pki-ca             ,,
   Server-Cert cert-pki-ca                 u,u,u
   subsystemCert cert-pki-ca               ,,
   auditSigningCert cert-pki-ca            ,,P

   Copy to Clipboard

   请注意，如果证书的 Trust Attributes 下没有列出 u，这表示私钥存储在令牌中。在这种情况下，只有 Server-Cert cert-pki-ca 有 u 标志，因为它不会因为性能的原因在 HSM 上安装。

2. 验证密钥和证书存储在 HSM 中：

   certutil -L -d /etc/pki/pki-tomcat/alias -h <HSM-TOKEN>
   
   Certificate Nickname                                Trust Attributes
   	   SSL,S/MIME,JAR/XPI
   
   Enter Password or Pin for "<HSM-TOKEN>":
   <HSM-TOKEN>:subsystemCert cert-pki-ca                  	u,u,u
   <HSM-TOKEN>:ocspSigningCert cert-pki-ca                	u,u,u
   <HSM-TOKEN>:caSigningCert cert-pki-ca                  	CTu,Cu,Cu
   <HSM-TOKEN>:auditSigningCert cert-pki-ca               	u,u,Pu

   Copy to Clipboard

   证书名称前缀为 HSM 令牌名称，这表示私钥和证书存储在令牌中。

   存储密钥不会影响用户获取或使用证书的方式。

流程

1. 运行 install 命令，确保您指定了使用外部 CA。

   # ipa-server-install --external-ca

   Copy to Clipboard

   在安装过程中，工具会输出证书签名请求(CSR) /root/ipa.csr 的位置：

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   Copy to Clipboard

2. 要完成证书过程，使用安装工具生成的 CSR，请完成以下步骤：

   1. 将位于 /root/ipa.csr 中的 CSR 提交给外部 CA。这个过程根据要用作外部 CA 的服务的不同而有所不同。

   2. 在基础 64 编码 blob 中检索颁发的证书和颁发 CA 的 CA 证书链（Windows CA 的 PEM 文件或 Base_64 证书）。同样，不同的证书服务的进程会有所不同。通常，网页或通知电子邮件中的下载链接允许管理员下载所有需要的证书。

      重要

      获取 CA 的完整证书链，而不只是 CA 证书。

3. 再次运行 ipa-server-install 工具，以指定新发布的 CA 证书的路径和名称以及 PKCS modprobe 库的位置、令牌名称和令牌密码：

   # ipa-server-install --external-cert-file=</tmp/servercert20170601.pem> --external-cert-file=</tmp/cacert.pem> -–token-name=<HSM-TOKEN> --token-library-path=/opt/nfast/toolkits/pkcs11/libcknfast.so

   Copy to Clipboard
4. 提示时指定令牌密码。
5. 安装脚本现在配置服务器。等待操作完成。

验证

1. 运行 certutil 以显示 CA 证书信息：

   certutil -L -d /etc/pki/pki-tomcat/alias
   
   Certificate Nickname                    Trust Attributes
                                           SSL,S/MIME,JAR/XPI
   
   caSigningCert cert-pki-ca               CT,C,C
   ocspSigningCert cert-pki-ca             ,,
   Server-Cert cert-pki-ca                 u,u,u
   subsystemCert cert-pki-ca               ,,
   auditSigningCert cert-pki-ca            ,,P

   Copy to Clipboard

   您可以看到证书 ， 但 表示私钥不会存储在令牌中。

2. 验证密钥和证书存储在 HSM 中：

   certutil -L -d /etc/pki/pki-tomcat/alias - h <HSM-TOKEN>
   
   Certificate Nickname                                Trust Attributes
   	   SSL,S/MIME,JAR/XPI
   
   Enter Password or Pin for "<HSM-TOKEN>":
   <HSM-TOKEN>:subsystemCert cert-pki-ca                  	u,u,u
   <HSM-TOKEN>:ocspSigningCert cert-pki-ca                	u,u,u
   <HSM-TOKEN>:caSigningCert cert-pki-ca                  	CTu,Cu,Cu
   <HSM-TOKEN>:auditSigningCert cert-pki-ca               	u,u,Pu

   Copy to Clipboard

   证书名称前缀为 HSM 令牌名称，这表示私钥和证书存储在令牌中。

   存储密钥不会影响用户获取或使用证书的方式。

流程

1. 运行 install 命令，确保您指定令牌名称：

   # ipa-replica-install --token-name=<HSM-TOKEN> --setup-ca -P admin -w <password> -U

   Copy to Clipboard
2. 提示时指定令牌密码。

流程

1. 运行 install 命令，确保您指定令牌名称和令牌密码：

   # ipa-kra-install -p <password>

   Copy to Clipboard
2. 提示时指定令牌密码。

流程

1. 要安装 KRA 克隆，请在副本中执行以下命令：

   # ipa-kra-install -p <Secret.123 >

   Copy to Clipboard
2. 提示时指定令牌密码。

流程

1. 使用自定义 DS 设置，创建 LDIF 格式的文本文件。使用短划线(-)分隔 LDAP 属性修改。这个示例为空闲超时和最大文件描述符设置了非默认值。

   dn: cn=config
   changetype: modify
   replace: nsslapd-idletimeout
   nsslapd-idletimeout: 1800
   -
   replace: nsslapd-maxdescriptors
   nsslapd-maxdescriptors: 8192

   Copy to Clipboard

2. 使用 --dirsrv-config-file 参数将 LDIF 文件传给安装脚本。

   1. 要安装 IdM 服务器：

      # ipa-server-install --dirsrv-config-file <filename.ldif>

      Copy to Clipboard

   2. 要安装 IdM 副本：

      # ipa-replica-install --dirsrv-config-file <filename.ldif>

      Copy to Clipboard

流程

1. 使用自定义 CA 设置，创建 INI 格式的文本文件。在新行中写入每个参数。这个示例将 CA 签名密钥大小设置为 4096 位。

   [CA]
   pki_ca_signing_key_size=4096

   Copy to Clipboard

2. 使用 --pki-config-override 参数，将 INI 文件传递给安装脚本。

   1. 要安装 IdM 服务器：

      # ipa-server-install --pki-config-override <pkiconfig.ini>

      Copy to Clipboard

   2. 要安装 IdM 副本：

      # ipa-replica-install --pki-config-override <pkiconfig.ini>

      Copy to Clipboard

流程

1. 使用 tail 命令来显示日志文件的最后几行。以下示例显示了 /var/log/ipaserver-install.log 的最后 10 行。

   [user@server ~]$ sudo tail -n 10 /var/log/ipaserver-install.log
   [sudo] password for user:
   value = gen.send(prev_value)
   File "/usr/lib/python3.6/site-packages/ipapython/install/common.py", line 65, in _install
   for unused in self._installer(self.parent):
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/init.py", line 564, in main
   master_install(self)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/install.py", line 291, in decorated
   raise ScriptError()
   
   2020-05-27T22:59:41Z DEBUG The ipa-server-install command failed, exception: ScriptError:
   2020-05-27T22:59:41Z ERROR The ipa-server-install command failed. See /var/log/ipaserver-install.log for more information

   Copy to Clipboard

2. 要以交互方式查看日志文件，请使用 less 工具打开日志文件的末尾，然后使用↑ 和 ↓ 箭头键来导航。以下示例以交互方式打开 /var/log/ipaserver-install.log 文件。

   [user@server ~]$ sudo less -N +G /var/log/ipaserver-install.log

   Copy to Clipboard

3. 通过使用剩余的日志文件重复此查看过程来收集额外的故障排除信息。

   [user@server ~]$ sudo less -N +G /var/log/httpd/error_log
   
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors

   Copy to Clipboard

流程

1. 要以交互方式查看日志文件，请使用 less 工具打开日志文件的末尾，并在搜索 ScriptError 条目时使用 kbd:[] 箭头键导航。以下示例将打开 /var/log/pki/pki-ca-spawn.$TIME_OF_INSTALLATION.log。

   [user@server ~]$ sudo less -N +G /var/log/pki/pki-ca-spawn.20200527185902.log

   Copy to Clipboard
2. 通过使用以上列出的所有日志文件重复此查看过程来收集额外的故障排除信息。

流程

1. 从您要配置为 IdM 服务器的主机中卸载 IdM 服务器软件。

   [root@server ~]# ipa-server-install --uninstall

   Copy to Clipboard

2. 如果您因为重复安装失败而无法安装 IdM 服务器，请重新安装操作系统。

   安装 IdM 服务器的要求之一是使用一个没有自定义的“干净”系统。失败的安装可能会因为意外修改系统文件而破坏主机的完整性。

流程

1. 在您要配置为 IdM 客户端的系统中运行 ipa-client-install 工具。

   # ipa-client-install --mkhomedir

   Copy to Clipboard

   添加 -enable-dns-updates 选项，以便在满足以下条件之一时使用客户端系统的 IP 地址更新 DNS 记录：

   • 已安装带有集成的 DNS 的 IdM 服务器
   • 网络中的 DNS 服务器接受使用 GSS-TSIG 协议的 DNS 条目更新

   # ipa-client-install --enable-dns-updates --mkhomedir

   Copy to Clipboard

   启用 DNS 更新对以下客户端很有用：

   • 具有使用动态主机配置协议发布的动态 IP 地址
   • 有一个已分配的静态 IP 地址，但 IdM 服务器不知道它

2. 安装脚本尝试自动获取所有所需的设置，如 DNS 记录。

   • 如果在 IdM DNS 区中正确设置了 SRV 记录，该脚本会自动发现所有其他必要的值并显示它们。输入 yes 以确认。

     Client hostname: client.example.com
     Realm: EXAMPLE.COM
     DNS Domain: example.com
     IPA Server: server.example.com
     BaseDN: dc=example,dc=com
     
     Continue to configure the system with these values? [no]: yes

     Copy to Clipboard

   • 要使用不同的值安装系统，请输入 no。然后再次运行 ipa-client-install，并通过在 ipa-client-install 中添加命令行选项来指定所需的值，例如：

     • --hostname
     • --realm
     • --domain
     • --server
     • --mkhomedir
     重要

     完全限定域名必须是有效的 DNS 名称：

     • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
     • 主机名必须都是小写。不允许使用大写字母。
   • 如果脚本自动获取一些设置，它会提示您输入这些值。

3. 该脚本提示其身份用于注册客户端的用户。例如，这可能是具有注册管理员角色的 hostadmin 用户：

   User authorized to enroll computers: hostadmin
   Password for hostadmin@EXAMPLE.COM:

   Copy to Clipboard

4. 安装脚本现在配置客户端。等待操作完成。

   Client configuration complete.

   Copy to Clipboard

流程

1. 在您要配置为 IdM 客户端的系统中运行 ipa-client-install 工具。

   使用--password 选项提供一次性随机密码。由于密码通常包含特殊字符，因此用单引号(')括起来。

   # ipa-client-install --mkhomedir --password=password

   Copy to Clipboard

   添加 -enable-dns-updates 选项，以便在满足以下条件之一时使用客户端系统的 IP 地址更新 DNS 记录：

   • 已安装带有集成的 DNS 的 IdM 服务器
   • 网络中的 DNS 服务器接受使用 GSS-TSIG 协议的 DNS 条目更新

   # ipa-client-install --password 'W5YpARl=7M.n' --enable-dns-updates --mkhomedir

   Copy to Clipboard

   启用 DNS 更新对以下客户端很有用：

   • 具有使用动态主机配置协议发布的动态 IP 地址
   • 有一个已分配的静态 IP 地址，但 IdM 服务器不知道它

2. 安装脚本尝试自动获取所有所需的设置，如 DNS 记录。

   • 如果在 IdM DNS 区中正确设置了 SRV 记录，该脚本会自动发现所有其他必要的值并显示它们。输入 yes 以确认。

     Client hostname: client.example.com
     Realm: EXAMPLE.COM
     DNS Domain: example.com
     IPA Server: server.example.com
     BaseDN: dc=example,dc=com
     
     Continue to configure the system with these values? [no]: yes

     Copy to Clipboard

   • 要使用不同的值安装系统，请输入 no。然后再次运行 ipa-client-install，并通过在 ipa-client-install 中添加命令行选项来指定所需的值，例如：

     • --hostname
     • --realm
     • --domain
     • --server
     • --mkhomedir
     重要

     完全限定域名必须是有效的 DNS 名称：

     • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
     • 主机名必须都是小写。不允许使用大写字母。
   • 如果脚本自动获取一些设置，它会提示您输入这些值。

3. 安装脚本现在配置客户端。等待操作完成。

   Client configuration complete.

   Copy to Clipboard

1. 打开 /etc/openldap/ldap.conf 和 /etc/sssd/sssd.conf。
2. 删除前面的配置。
3. 取消对新 IdM 配置的注释。
4. 依赖于系统范围的 LDAP 配置的服务器进程可能需要重启来应用更改。使用 openldap 库的应用程序通常会在启动时导入配置。

流程

1. 在 IdM 服务器上预先创建主机条目，并为该条目设置临时密码：

   $ ipa host-add client.example.com --password=secret

   Copy to Clipboard

   Kickstart 使用密码在客户端安装过程中进行验证，并在第一次验证尝试后过期。成功安装客户端后，它会使用它的 keytab 进行验证。

2. 使用 第 15.2 节 “用于客户端安装的 Kickstart 文件” 中描述的内容创建一个 Kickstart 文件。使用 network 命令，确保在 Kickstart 文件中正确配置了网络。
3. 使用 Kickstart 文件安装 IdM 客户端。

流程

1. 使用 grep 工具从 /var/log/ipaserver-install.log 文件中检索任何出现关键字 ScriptError。

   [user@server ~]$ sudo grep ScriptError /var/log/ipaclient-install.log
   [sudo] password for user:
   2020-05-28T18:24:50Z DEBUG The ipa-client-install command failed, exception: ScriptError: One of password / principal / keytab is required.

   Copy to Clipboard

2. 要以交互方式查看日志文件，请使用 less 工具打开日志文件的末尾，然后使用↑ 和 ↓ 箭头键来导航。

   [user@server ~]$ sudo less -N +G /var/log/ipaclient-install.log

   Copy to Clipboard

流程

1. 确保客户端所在的 DNS 区的动态更新已被启用：

   [user@server ~]$ ipa dnszone-mod idm.example.com. --dynamic-update=TRUE

   Copy to Clipboard

2. 确保运行 DNS 服务的 IdM 服务器对 TCP 和 UDP 协议开放了端口 53。

   [user@server ~]$ sudo firewall-cmd --permanent --add-port=53/tcp --add-port=53/udp
   [sudo] password for user:
   success
   [user@server ~]$ firewall-cmd --runtime-to-permanent
   success

   Copy to Clipboard

3. 使用 grep 工具从 /var/log/client-install.log 中检索 nsupdate 命令的内容，以查看哪个 DNS 记录更新失败。

   [user@server ~]$ sudo grep nsupdate /var/log/ipaclient-install.log

   Copy to Clipboard

流程

1. 删除 /etc/krb5.keytab。

   [user@client ~]$ sudo rm /etc/krb5.keytab
   [sudo] password for user:
   [user@client ~]$ ls /etc/krb5.keytab
   ls: cannot access '/etc/krb5.keytab': No such file or directory

   Copy to Clipboard
2. 重试 IdM 客户端安装。

流程

1. 重新创建具有相同主机名的客户端机器。

2. 在客户端机器上运行 ipa-client-install --force-join 命令：

   # ipa-client-install --force-join

   Copy to Clipboard

3. 该脚本提示其身份用于重新注册客户端的用户。例如，这可能是具有注册管理员角色的 hostadmin 用户：

   User authorized to enroll computers: hostadmin
   Password for hostadmin@EXAMPLE.COM:

   Copy to Clipboard

步骤

1. 重新创建具有相同主机名的客户端机器。

2. 将 keytab 文件从备份位置复制到重新创建的客户端机器，例如 /tmp/ 目录。

   重要

   不要将 keytab 放在 /etc/krb5.keytab 文件中，因为在执行 ipa-client-install 安装脚本过程中，已从这个位置删除了旧密钥。

3. 使用 ipa-client-install 工具重新注册客户端。使用 --keytab 选项指定 keytab 位置：

   # ipa-client-install --keytab /tmp/krb5.keytab

   Copy to Clipboard
   注意

   在 --keytab 选项中指定的 keytab 仅在进行身份验证启动重新注册时使用。在重新注册过程中，IdM 为客户端生成一个新的 keytab。

流程

1. 输入 ipa-client-install --uninstall 命令：

   [root@client ~]# ipa-client-install --uninstall

   Copy to Clipboard

2. 可选：检查您是否能为 IdM 用户获得 Kerberos 单据授予单(TGT)：

   [root@client ~]# kinit admin
   kinit: Client 'admin@EXAMPLE.COM' not found in Kerberos database while getting initial credentials
   [root@client ~]#

   Copy to Clipboard

   如果成功返回 Kerberos TGT 票据，请遵循 卸载 IdM 客户端：多次安装后的其他步骤 中的其他卸载步骤。

3. 在客户端上，从每个已识别的 keytab ，而不是 /etc/krb5.keytab 中删除旧的 Kerberos 主体：

   [root@client ~]# ipa-rmkeytab -k /path/to/keytab -r EXAMPLE.COM

   Copy to Clipboard

4. 在 IdM 服务器中，从 IdM 中删除客户端主机的所有 DNS 条目：

   [root@server ~]# ipa dnsrecord-del
   Record name: old-client-name
   Zone name: idm.example.com
   No option to delete specific record provided.
   Delete all? Yes/No (default No): true
   ------------------------
   Deleted record "old-client-name"

   Copy to Clipboard

5. 在 IdM 服务器中，从 IdM LDAP 服务器中删除客户端主机条目。这会删除所有服务并撤销为该主机发布的所有证书：

   [root@server ~]# ipa host-del client.idm.example.com

   Copy to Clipboard
   重要

   如果您认为将来可能会使用不同的 IP 地址或不同的主机名来重新注册客户端，那么从 IdM LDAP 服务器中删除客户端主机条目至关重要。

流程

1. 检查 /etc/krb5.conf.ipa 文件：

   • 如果 /etc/krb5.conf.conf.ipa 文件的内容与安装 IdM 客户端之前的 krb5.conf 文件的内容相同，您可以：

     1. 删除 /etc/krb5.conf 文件：

        # rm /etc/krb5.conf

        Copy to Clipboard

     2. 将 /etc/krb5.conf.ipa 文件重命名为 /etc/krb5.conf ：

        # mv /etc/krb5.conf.ipa /etc/krb5.conf

        Copy to Clipboard
   • 如果 /etc/krb5.conf.ipa 文件的内容与安装 IdM 客户端之前的 krb5.conf 文件的内容不同，那么您可以至少将 Kerberos 配置直接恢复到安装操作系统之后的状态：

   1. 重新安装 krb5-libs 软件包：

      # dnf reinstall krb5-libs

      Copy to Clipboard

      作为依赖项，此命令还将重新安装 krb5-workstation 软件包和 /etc/krb5.conf 文件的原始版本。

2. 删除 var/log/ipaclient-install.log 文件（如果存在的话）。

流程

1. 输入 ipa-client-install --uninstall 命令：

   [root@client ~]# ipa-client-install --uninstall

   Copy to Clipboard

2. 可选：检查您是否能为 IdM 用户获得 Kerberos 单据授予单(TGT)：

   [root@client ~]# kinit admin
   kinit: Client 'admin@EXAMPLE.COM' not found in Kerberos database while getting initial credentials
   [root@client ~]#

   Copy to Clipboard

   如果成功返回 Kerberos TGT 票据，请遵循 卸载 IdM 客户端：多次安装后的其他步骤 中的其他卸载步骤。

3. 在客户端上，从每个已识别的 keytab ，而不是 /etc/krb5.keytab 中删除旧的 Kerberos 主体：

   [root@client ~]# ipa-rmkeytab -k /path/to/keytab -r EXAMPLE.COM

   Copy to Clipboard

4. 在 IdM 服务器中，从 IdM 中删除客户端主机的所有 DNS 条目：

   [root@server ~]# ipa dnsrecord-del
   Record name: old-client-name
   Zone name: idm.example.com
   No option to delete specific record provided.
   Delete all? Yes/No (default No): true
   ------------------------
   Deleted record "old-client-name"

   Copy to Clipboard

5. 在 IdM 服务器中，从 IdM LDAP 服务器中删除客户端主机条目。这会删除所有服务并撤销为该主机发布的所有证书：

   [root@server ~]# ipa host-del client.idm.example.com

   Copy to Clipboard
   重要

   如果您认为将来可能会使用不同的 IP 地址或不同的主机名来重新注册客户端，那么从 IdM LDAP 服务器中删除客户端主机条目至关重要。

流程

1. 检查 /etc/krb5.conf.ipa 文件：

   • 如果 /etc/krb5.conf.conf.ipa 文件的内容与安装 IdM 客户端之前的 krb5.conf 文件的内容相同，您可以：

     1. 删除 /etc/krb5.conf 文件：

        # rm /etc/krb5.conf

        Copy to Clipboard

     2. 将 /etc/krb5.conf.ipa 文件重命名为 /etc/krb5.conf ：

        # mv /etc/krb5.conf.ipa /etc/krb5.conf

        Copy to Clipboard
   • 如果 /etc/krb5.conf.ipa 文件的内容与安装 IdM 客户端之前的 krb5.conf 文件的内容不同，那么您可以至少将 Kerberos 配置直接恢复到安装操作系统之后的状态：

   1. 重新安装 krb5-libs 软件包：

      # dnf reinstall krb5-libs

      Copy to Clipboard

      作为依赖项，此命令还将重新安装 krb5-workstation 软件包和 /etc/krb5.conf 文件的原始版本。

2. 删除 var/log/ipaclient-install.log 文件（如果存在的话）。

1. 在 RHEL 身份管理服务器上，为 准备 IdM 客户端以进行重命名 中标识的每个服务添加新的 keytab。

   [root@server ~]# ipa service-add service_name/new-client-name

   Copy to Clipboard

2. 为 准备 IdM 客户端以进行重命名 中分配了证书的服务生成证书。您可以做到这一点：

   • 使用 IdM 管理工具.请参阅管理用户、主机和服务的证书。
   • 使用 certmonger 工具
3. 将客户端重新添加到 准备 IdM 客户端以进行重命名 中标识的主机组。

流程

1. 在 ipa-replica-install 中输入以下选项：

   • --setup-dns 用来将副本配置为 DNS 服务器

   • 如果您不想使用任何每服务器转发器，请使用 --forwarder 来指定每服务器转发器或 --no-forwarder。要为故障转移的原因指定多个每服务器转发器，请多次使用 --forwarder。

     注意

     ipa-replica-install 工具接受与 DNS 设置相关的许多其他选项，如 --no-reverse 或 --no-host-dns。有关它们的更多信息，请参阅 ipa-replica-install(1)手册页。

   • --setup-ca 用来在副本中包含一个 CA

   例如，要设置带有集成 DNS 服务器和 CA 的副本，其将不是由 IdM 服务器管理的所有 DNS 请求转发到运行在 IP 192.0.2.1 上的 DNS 服务器：

   # ipa-replica-install --setup-dns --forwarder 192.0.2.1 --setup-ca

   Copy to Clipboard

2. 安装完成后，将父域的 DNS 委派添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

   重要

   在每次安装完 IdM DNS 服务器后重复此步骤。

流程

1. 在 ipa-replica-install 中输入以下选项：

   • --setup-dns 用来将副本配置为 DNS 服务器
   • 如果您不想使用任何每服务器转发器，请使用 --forwarder 来指定每服务器转发器或 --no-forwarder。要为故障转移的原因指定多个每服务器转发器，请多次使用 --forwarder。

   例如，要设置一个带有集成 DNS 服务器的副本，其将不是由 IdM 服务器管理的所有 DNS 请求转发到运行在 IP 192.0.2.1 上的 DNS 服务器：

   # ipa-replica-install --setup-dns --forwarder 192.0.2.1

   Copy to Clipboard
   注意

   ipa-replica-install 工具接受与 DNS 设置相关的许多其他选项，如 --no-reverse 或 --no-host-dns。有关它们的更多信息，请参阅 ipa-replica-install(1)手册页。

2. 安装完成后，将父域的 DNS 委派添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

   重要

   在每次安装完 IdM DNS 服务器后重复此步骤。

流程

1. 输入 ipa-replica-install with the -setup-ca 选项。

   # ipa-replica-install --setup-ca

   Copy to Clipboard

2. 在您的 DNS 服务器中添加新创建的 IdM DNS 服务记录：

   1. 以 nsupdate 格式将 IdM DNS 服务记录导出到文件中：

      $ ipa dns-update-system-records --dry-run --out dns_records_file.nsupdate

      Copy to Clipboard
   2. 使用 nsupdate 工具和 dns_records_file.nsupdate 文件向 DNS 服务器提交 DNS 更新请求。如需更多信息，请参阅 RHEL 7 文档中的使用 nsupdate 更新外部 DNS 记录。或者，请参阅 DNS 服务器文档来添加 DNS 记录。

流程

1. 在新副本中创建用户：

   [admin@new_replica ~]$ ipa user-add test_user

   Copy to Clipboard

2. 确保用户在另一个副本中可见：

   [admin@another_replica ~]$ ipa user-show test_user

   Copy to Clipboard

流程

1. 使用 tail 命令显示主日志文件 /var/log/ipareplica-install.log 中的最新错误。以下示例显示了最后 10 行。

   [user@replica ~]$ sudo tail -n 10 /var/log/ipareplica-install.log
   [sudo] password for user:
     func(installer)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/replicainstall.py", line 424, in decorated
     func(installer)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/replicainstall.py", line 785, in promote_check
     ensure_enrolled(installer)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/replicainstall.py", line 740, in ensure_enrolled
     raise ScriptError("Configuration of client side components failed!")
   
   2020-05-28T18:24:51Z DEBUG The ipa-replica-install command failed, exception: ScriptError: Configuration of client side components failed!
   2020-05-28T18:24:51Z ERROR Configuration of client side components failed!
   2020-05-28T18:24:51Z ERROR The ipa-replica-install command failed. See /var/log/ipareplica-install.log for more information

   Copy to Clipboard

2. 要以交互方式查看日志文件，请使用 less 工具打开日志文件的末尾，然后使用 ↑ 和 ↓ 箭头键来导航。

   [user@replica ~]$ sudo less -N +G /var/log/ipareplica-install.log

   Copy to Clipboard

3. 可选：虽然 /var/log/ipareplica-install.log 是副本安装的主日志文件，您可以通过在副本和服务器上使用其他文件重复此查看过程来收集额外的故障排除信息。

   在副本上：

   [user@replica ~]$ sudo less -N +G /var/log/ipareplica-conncheck.log
   [user@replica ~]$ sudo less -N +G /var/log/ipaclient-install.log
   [user@replica ~]$ sudo less -N +G /var/log/httpd/error_log
   [user@replica ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   [user@replica ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors
   [user@replica ~]$ sudo less -N +G /var/log/ipaserver-install.log

   Copy to Clipboard

   在服务器上：

   [user@server ~]$ sudo less -N +G /var/log/httpd/error_log
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors

   Copy to Clipboard

流程

1. 要以交互方式查看日志文件，请使用 less 工具打开日志文件的末尾，并在搜索 ScriptError 条目时使用 kbd:[] 箭头键导航。以下示例将打开 /var/log/pki/pki-ca-spawn.$TIME_OF_INSTALLATION.log。

   [user@server ~]$ sudo less -N +G /var/log/pki/pki-ca-spawn.20200527185902.log

   Copy to Clipboard
2. 通过对所有 CA 安装错误日志文件重复此查看过程来收集额外的故障排除信息。

流程

1. 在您要配置为 IdM 副本的主机上卸载 IdM 服务器软件。

   [root@replica ~]# ipa-server-install --uninstall

   Copy to Clipboard

2. 在拓扑中的所有其他服务器上，使用 ipa server-del 命令删除对未正确安装的副本的任何引用。

   [root@other-replica ~]# ipa server-del replica.idm.example.com

   Copy to Clipboard
3. 尝试安装副本。

4. 如果您因为重复安装失败而无法安装 IdM 副本，请重新安装操作系统。

   安装 IdM 副本的要求之一是使用一个没有自定义的“干净”系统。失败的安装可能会因为意外修改系统文件而破坏主机的完整性。

流程

1. 手动或使用 chronyd 同步系统时钟。

   手动同步

   在服务器上显示系统时间，并设置副本的时间与之相匹配。

   [user@server ~]$ date
   Thu May 28 21:03:57 EDT 2020
   
   [user@replica ~]$ sudo timedatectl set-time '2020-05-28 21:04:00'

   Copy to Clipboard

   • 与 chronyd 同步 ：

     请参阅 使用 Chrony 来配置和设置 chrony 工具的系统时间。

2. 再次尝试 IdM 副本安装。

流程

1. 选择 IPA Server → Topology → Topology Graph。

2. 更改拓扑：

   • 您可以使用鼠标左键移动拓扑图形节点：

     

   • 您可以使用鼠标 wheel 缩放拓扑图：

     

   • 您可以通过按鼠标左键移动拓扑图的画面：

     
3. 如果您对拓扑进行任何没有立即反映在图形中的更改，点 Refresh。

步骤

1. 输入 ipa topologysegment-find 命令显示为域或 CA 后缀配置的当前拓扑段。例如，对于域后缀：

   $ ipa topologysegment-find
   Suffix name: domain
   -----------------
   1 segment matched
   -----------------
     Segment name: server1.example.com-to-server2.example.com
     Left node: server1.example.com
     Right node: server2.example.com
     Connectivity: both
   ----------------------------
   Number of entries returned 1
   ----------------------------

   Copy to Clipboard

   在本例中，域相关数据仅在两个服务器之间复制：server1.example.com 和 server2.example.com 。

2. 可选： 要只显示特定片段的详情，请输入 ipa topologysegment-show 命令：

   $ ipa topologysegment-show
   Suffix name: domain
   Segment name: server1.example.com-to-server2.example.com
     Segment name: server1.example.com-to-server2.example.com
     Left node: server1.example.com
     Right node: server2.example.com
     Connectivity: both

   Copy to Clipboard

步骤

1. 在拓扑图中，将鼠标悬停在其中一个服务器节点上。

   图 24.6. 域或 CA 选项

   
2. 点击 域 或圆圈的 ca 部分，具体取决于您要创建的拓扑网类型。

3. 在鼠标指针下会显示代表新复制协议的新箭头。将鼠标移到其他服务器节点，然后单击它。

   图 24.7. 创建新片段

   
4. 在 Add topology segment 窗口中，单击 Add 以确认新网段的属性。

步骤

1. 单击代表您要删除的复制协议的箭头。这会突出显示箭头。

   图 24.9. 拓扑片段突出显示

   
2. 点删除。

3. 在 Confirmation 窗口中，单击 OK。

   IdM 删除了两台服务器之间的拓扑网段，这将删除它们的复制协议。拓扑图现在显示更新的复制拓扑：

   图 24.10. 已删除拓扑片段

   

流程

1. 可选：如果您不知道要删除的特定复制段的名称，请显示所有可用的片段。使用 ipa topologysegment-find 命令。出现提示时，请提供所需的拓扑后缀： domain 或 ca。例如：

   $ ipa topologysegment-find
   Suffix name: domain
   ------------------
   8 segments matched
   ------------------
     Segment name: new_segment
     Left node: server1.example.com
     Right node: server2.example.com
     Connectivity: both
   
   ...
   
   ----------------------------
   Number of entries returned 8
   ----------------------------

   Copy to Clipboard

   在输出中找到所需的段。

2. 删除连接两个服务器的拓扑段：

   $ ipa topologysegment-del
   Suffix name: domain
   Segment name: new_segment
   -----------------------------
   Deleted segment "new_segment"
   -----------------------------

   Copy to Clipboard

   删除片段会移除复制协议。