29.5. 使用 Ansible playbook 确保 IdM 中存在一个带有多个变量的主 DNS 区域

流程

1. 导航到 /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/dnszone 目录：

   $ cd /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/dnszone

2. 生成 dnszone-all-params.yml Ansible playbook 文件的副本。例如：

   $ cp dnszone-all-params.yml dnszone-all-params-copy.yml

3. 打开 dnszone-all-params-copy.yml 文件进行编辑。

4. 通过在 freeipa.ansible_freeipa.ipadnszone 任务部分中设置以下变量来调整文件：

   • 表示 ipaadmin_password 变量的值已在 secret.yml Ansible vault 文件中定义。
   • 将 zone_name 变量设置为 zone.idm.example.com。
   • 如果要允许正向和反向记录同步，这是 A 和 AAAA 记录与 PTR 记录的同步，请将 allow_sync_ptr 变量设置为 true。
   • 将 dynamic_update 变量设置为 true，以启用 IdM 客户端计算机添加或更新其 IP 地址。
   • 将 dnssec 变量设置为 true，以允许区域中的记录内联 DNSSEC 签名。
   • 将 allow_transfer 变量设置为区域中次要名称服务器的 IP 地址。
   • 将 allow_query 变量设置为允许发出查询的 IP 地址或网络。
   • 将 forwarders 变量设置为全局转发器的 IP 地址。
   • 将 serial 变量设置为 SOA 记录序列号。
   • 定义区域中 DNS 记录的 refresh、retry、expire、minimum、ttl 和 default_ttl 值。
   • 使用 nsec3param_rec 变量，为区域定义 NSEC3 PARAM 记录。
   • 将 skip_overlap_check 变量设置为 true，从而强制创建 DNS，即使它与现有区域重叠。

   • 将 skip_nameserver_check 设置为 true，从而强制 DNS 区域创建，即使名称服务器不可解析。

     这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Ensure dnszone present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure zone is present.
       freeipa.ansible_freeipa.ipadnszone:
         ipaadmin_password: "{{ ipaadmin_password }}"
         zone_name: zone.idm.example.com
         allow_sync_ptr: true
         dynamic_update: true
         dnssec: true
         allow_transfer:
           - 1.1.1.1
           - 2.2.2.2
         allow_query:
           - 1.1.1.1
           - 2.2.2.2
         forwarders:
           - ip_address: 8.8.8.8
           - ip_address: 8.8.4.4
             port: 52
         serial: 1234
         refresh: 3600
         retry: 900
         expire: 1209600
         minimum: 3600
         ttl: 60
         default_ttl: 90
         name_server: server.idm.example.com.
         admin_email: admin.admin@idm.example.com
         nsec3param_rec: "1 7 100 0123456789abcdef"
         skip_overlap_check: true
         skip_nameserver_check: true
         state: present

5. 保存这个文件。

   有关 FreeIPA Ansible 集合中变量和示例 playbook 的详情，请查看控制节点上的 /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/README-dnszone.md 文件和 /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/dnszone 目录。

6. 运行 playbook:

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file dnszone-all-params-copy.yml