迁移到 RHEL 8 上的身份管理

1. 将系统升级到最新的 RHEL 7 版本。
2. 确保域的域级别设置为 1。如需更多信息，请参阅 RHEL 7 的 Linux 域身份、身份验证和策略指南 中的 显示和提升域级别 。

3. 将 ipa-* 软件包更新至其最新版本：

   [root@rhel7 ~]# yum update ipa-*

   Copy to Clipboard Toggle word wrap
   警告

   当升级多个身份管理(IdM)服务器时，在每次升级之间至少等待 10 分钟。

   当两个或更多个服务器同时升级，或在不同升级之间只能简短的间隔，则可能没有足够的时间来在整个拓扑间复制升级后的数据变化，从而会导致复制事件冲突。

1. 在系统上安装最新版本的 Red Hat Enterprise Linux。如需更多信息，请参阅 从安装介质主动安装 RHEL。

2. 确定时间服务器 rhel7.example.com 与以下内容同步：

   [root@rhel7 ~]# ntpstat
   synchronised to NTP server (ntp.example.com) at stratum 3
      time correct to within 42 ms
      polling server every 1024 s

   Copy to Clipboard Toggle word wrap
   重要

   在 RHEL 8 中，IdM 不提供它自己的时间服务器：在 rhel8.example.com 上安装 IdM 不会导致在主机上安装 NTP 服务器。因此，您需要使用单独的 NTP 服务器，如 ntp.example.com。如需更多信息，请参阅 迁移到 chrony 和 IdM 的时间服务要求。

   尽管 rhel7.example.com 可用于 NTP 服务器角色，但作为迁移过程的一部分，您将停用服务器。因此，rhel8.example.com 需要直接与 ntp.example.com 同步。您可以在客户端安装过程中指定它。

3. 将系统作为 IdM 客户端注册到 rhel7.example.com IdM 服务器具有权威的域。如需更多信息，请参阅 安装 IdM 客户端。安装客户端时，指定上一步中的时间服务器：

   [root@rhel8]# ipa-client-install --mkhomedir --ntp-server ntp.example.com

   Copy to Clipboard Toggle word wrap

   如果您使用 NTP 服务器池，请使用 --ntp-pool 选项。

   如果您没有手动指定 NTP 服务器，它将自动从 DNS 记录设置。这可能导致 rhel8.example.com 与 rhel7.example.com 同步。在 RHEL 7 服务器停用时，这会导致问题。

   如果 RHEL8 系统已经正确配置为 NTP 客户端，您可以在执行 IdM 客户端安装时使用 --no-ntp 选项。

   重要

   不要使用单标签域名，如 .company。从 RHEL 8 开始，IDM 不接受单标记的域名，域名必须由一个或多个子域和一个顶级域组成，如 example.com 或 company.example.com。

   如果现有域是单标记的，则无法使用这些说明执行迁移。在这些情况下，请使用 将 LDAP 服务器迁移到身份管理。

4. 为 IdM 服务器安装准备系统。请参阅 为 IdM 服务器安装准备系统。
5. 授权系统安装 IdM 副本。请参阅 在 IdM 客户端上授权副本安装。

6. 将 ipa-* 软件包更新至其最新版本：

   [root@rhel7 ~]# yum update ipa-*

   Copy to Clipboard Toggle word wrap

步骤

1. 列出拓扑中的服务器以及每个服务器上启用的角色：

   [root@rhel7 ~]# ipa server-find --all
   ---------------------
   2 IPA servers matched
   ---------------------
     dn: cn=ipa1.example.com,cn=masters,cn=ipa,cn=etc,dc=example,dc=com
     Server name: ipa1.example.com
     Managed suffixes: domain, ca
     Min domain level: 1
     Max domain level: 1
     Enabled server roles: AD trust agent, AD trust controller, CA server, DNS server, IPA master, KRA server
   
     dn: cn=ipa2.example.com,cn=masters,cn=ipa,cn=etc,dc=example,dc=com
     Server name: ipa2.example.com
     Managed suffixes: domain, ca
     Min domain level: 1
     Max domain level: 1
     Enabled server roles: AD trust agent, AD trust controller, CA server, IPA master
   ----------------------------
   Number of entries returned 2
   ----------------------------

   Copy to Clipboard Toggle word wrap

2. 验证 CA 续订服务器是否已分配给一个服务器：

   [root@rhel7 ~]# ipa config-show | grep "CA renewal master"
   IPA CA renewal master: ipa1.example.com

   Copy to Clipboard Toggle word wrap

3. 验证 DNSSEC 密钥 master 角色是否已分配给只有一个服务器：

   [root@rhel7 ~]# ipa dnsconfig-show | grep 'DNSSec key master'
   IPA DNSSec key master: ipa1.example.com

   Copy to Clipboard Toggle word wrap
4. 记录哪些服务器提供其他关键角色（如 CA、DNS、KRA、AD 信任代理和 AD 信任控制器）。在将角色分配给新副本或在迁移过程中验证冗余时，您将引用此列表。

5. 如果您的 IdM 部署与活动目录(AD)林信任，请计划在迁移过程中确保：

   1. 至少一个信任控制器始终保持在线。
   2. 每当可能的情况下，每个副本也会运行信任代理，以便客户端可以解析 AD 用户，而不考虑它们联系的服务器。
6. 查看复制协议和站点布局，以确认每个站点在整个迁移中保持冗余连接： Replica topology example。
7. 确保每个服务器的复制协议数量与四个或更少链接的长期指南一致： 在拓扑中连接 IdM 副本指南指南。

步骤

1. 在要停用的每个服务器上，显示当前分配的 DNA ID 范围：

   [root@rhel7 ~]# ipa-replica-manage dnarange-show

   Copy to Clipboard Toggle word wrap

2. 显示已排队以进行分配的下一个 DNA 范围，以便您可以知道在当前子范围被使用后将分配什么：

   [root@rhel7 ~]# ipa-replica-manage dnanextrange-show

   Copy to Clipboard Toggle word wrap
3. 在迁移备注中记录收集的范围。在弃用旧服务器前，在确保新副本的 DNA 范围覆盖时，您将引用这些值。丢失拥有未记录的子范围的服务器可能会阻止新用户或组的创建。

步骤

1. 从不同副本上的拓扑中删除服务器。例如，要删除 rhel7.example.com ：

   [root@rhel8 ~]# ipa-replica-manage del rhel7.example.com --cleanup

   Copy to Clipboard Toggle word wrap

   确认命令成功完成，并且移除已复制到剩余的服务器。

2. 在您要停用的 RHEL 7 主机上，卸载 IdM 服务器来清理服务和证书：

   [root@rhel7 ~]# ipa-server-install --uninstall

   Copy to Clipboard Toggle word wrap
3. 在使用相同的主机名重新安装副本前，允许复制在所有剩余的服务器间聚合。在高延迟环境中，等待至少一个完整复制循环，并确认主机不再出现在 ipa server-find 输出中。
4. 复制完全聚合后，您确认了旧服务器不再出现在拓扑中，继续使用重复使用的主机名安装新的 RHEL 8 副本。请参阅 安装 RHEL 8 副本。

5. 安装完成后，在新的 RHEL 8 副本上运行 IdM Healthcheck，以验证没有引入复制冲突：

   [root@rhel8 ~]# ipa-healthcheck

   Copy to Clipboard Toggle word wrap

   请特别注意与复制相关的检查，以确保主机名重复使用不会造成冲突。

验证

1. 验证 IdM 服务是否在 rhel8.example.com 上运行：

   [root@rhel8 ~]# ipactl status
   Directory Service: RUNNING
   [... output truncated ...]
   ipa: INFO: The ipactl command was successful

   Copy to Clipboard Toggle word wrap

2. 在 rhel8.example.com 上运行 IdM Healthcheck 以验证服务、复制和证书健康状况：

   [root@rhel8 ~]# ipa-healthcheck

   Copy to Clipboard Toggle word wrap

   如果 Healthcheck 报告警告或错误，请在弃用任何 RHEL 7 服务器前调查并解决它们。对于目标复制测试，您可以运行：

   [root@rhel8 ~]# ipa-healthcheck --source=ipahealthcheck.ds.replication --source=ipahealthcheck.ipa.topology

   Copy to Clipboard Toggle word wrap

3. 验证 rhel8.example.com 的服务器角色与 rhel7.example.com 的服务器角色相同，但 NTP 服务器角色除外：

   [root@rhel8 ~]$ kinit admin
   [root@rhel8 ~]$ ipa server-role-find --status enabled --server rhel8.example.com
   ----------------------
   2 server roles matched
   ----------------------
     Server name: rhel8.example.com
     Role name: CA server
     Role status: enabled
   
     Server name: rhel8.example.com
     Role name: DNS server
     Role status: enabled

   Copy to Clipboard Toggle word wrap

4. 可选：显示 rhel7.example.com 和 rhel8.example.com 之间的复制协议详情：

   [root@rhel8 ~]# ipa-csreplica-manage list --verbose rhel8.example.com
   Directory Manager password:
   
   rhel7.example.com
   last init status: None
   last init ended: 1970-01-01 00:00:00+00:00
   last update status: Error (0) Replica acquired successfully: Incremental update succeeded
   last update ended: 2019-02-13 13:55:13+00:00

   Copy to Clipboard Toggle word wrap

5. 可选：如果您的 IdM 部署与 AD 有信任关系，请验证它是否正常工作：

   1. 链接：验证 Kerberos 配置

   2. 尝试解析 rhel8.example.com 上的 AD 用户：

      [root@rhel8 ~]# id aduser@ad.domain

      Copy to Clipboard Toggle word wrap

6. 验证 rhel8.example.com 是否与 NTP 服务器同步：

   [root@rhel8 ~]# chronyc tracking
   Reference ID    : CB00710F (ntp.example.com)
   Stratum         : 3
   Ref time (UTC)  : Tue Nov 16 09:49:17 2021
   [... output truncated ...]

   Copy to Clipboard Toggle word wrap

1. 配置 rhel8.example.com ，以处理 CA 子系统证书续订：

   [root@rhel8 ~]# ipa config-mod --ca-renewal-master-server rhel8.example.com
     ...
     IPA masters: rhel7.example.com, rhel8.example.com
     IPA CA servers: rhel7.example.com, rhel8.example.com
     IPA NTP servers: rhel7.example.com, rhel8.example.com
     IPA CA renewal master: rhel8.example.com

   Copy to Clipboard Toggle word wrap

   输出确认更新成功。

2. 在 rhel8.example.com 上，启用证书更新器任务：

   1. 打开 /etc/pki/pki-tomcat/ca/CS.cfg 配置文件进行编辑。
   2. 删除 ca.certStatusUpdateInterval 条目，或者将其设置为所需的间隔（以秒为单位）。默认值为 600。
   3. 保存并关闭 /etc/pki/pki-tomcat/ca/CS.cfg 配置文件。

   4. 重启 IdM 服务：

      [user@rhel8 ~]$ ipactl restart

      Copy to Clipboard Toggle word wrap

3. 在 rhel7.example.com 上，禁用证书更新器任务：

   1. 打开 /etc/pki/pki-tomcat/ca/CS.cfg 配置文件进行编辑。

   2. 将 ca.certStatusUpdateInterval 改为 0，或者如果以下条目不存在，就添加它：

      ca.certStatusUpdateInterval=0

      Copy to Clipboard Toggle word wrap
   3. 保存并关闭 /etc/pki/pki-tomcat/ca/CS.cfg 配置文件。

   4. 重启 IdM 服务：

      [user@rhel7 ~]$ ipactl restart

      Copy to Clipboard Toggle word wrap

流程

1. 可选：检查 rhel7.example.com 是否在生成 CRL:

   [root@rhel7 ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2019-10-31 12:00:00
   Last CRL Number: 6
   The ipa-crlgen-manage command was successful

   Copy to Clipboard Toggle word wrap

2. 在 rhel7.example.com 服务器上停止生成 CRL：

   [root@rhel7 ~]# ipa-crlgen-manage disable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   CRL generation disabled on the local host. Please make sure to configure CRL generation on another master with ipa-crlgen-manage enable.
   The ipa-crlgen-manage command was successful

   Copy to Clipboard Toggle word wrap

验证

1. 检查 rhel7.example.com 服务器是否停止生成 CRL：

   [root@rhel7 ~]# ipa-crlgen-manage status

   Copy to Clipboard Toggle word wrap

步骤

1. 要在 rhel8.example.com 上启动生成 CRL，请使用 ipa-crlgen-manage enable 命令：

   [root@rhel8 ~]# ipa-crlgen-manage enable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   Forcing CRL update
   CRL generation enabled on the local host. Please make sure to have only a single CRL generation master.
   The ipa-crlgen-manage command was successful

   Copy to Clipboard Toggle word wrap

2. 要检查是否启用了 CRL 生成，请使用 ipa-crlgen-manage status 命令：

   [root@rhel8 ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2019-10-31 12:10:00
   Last CRL Number: 7
   The ipa-crlgen-manage command was successful

   Copy to Clipboard Toggle word wrap

步骤

1. 更新受影响客户端上的系统解析器，以便它们指向当前的 IdM DNS 服务器。调整 /etc/resolv.conf 或您的网络配置工具，以删除对已停用服务器的引用。

2. 如果客户端使用 /etc/ipa/default.conf 中定义的回退注册服务器，请将以下两个参数中的 hostname 替换为活动的 IdM 服务器：

   xmlrpc_uri = https://ipa_new.example.com/ipa/xml
   server = ipa_new.example.com

   Copy to Clipboard Toggle word wrap

3. 查看 /etc/sssd/sssd.conf 中的 ipa_server 参数：

   • 如果它列出了特定的服务器，请更新列表，使其只包含活跃的副本，或使用 srv 切换到仅限 SRV 的发现。
   • 如果它引用了停用的主机名，请将其替换为新的服务器名称。

4. 重启 SSSD 以应用更新：

   [root@client ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap
5. 从客户端测试身份验证和查找，以确认它可以访问更新的服务器。

步骤

1. 如果 IdM 尚未安装：在安装了现有 LDAP 目录的不同机器上安装 IdM 服务器，包括任何自定义 LDAP 目录模式。详情请参阅 安装身份管理。

   注意

   自定义用户或组模式在 IdM 中的支持有限。它们可能会在迁移过程中导致问题，因为对象定义不兼容。

2. 出于性能考虑，禁用兼容插件：

   # ipa-compat-manage disable

   Copy to Clipboard Toggle word wrap

   有关模式兼容特性以及为迁移禁用它的好处的更多信息，请参阅 从 LDAP 迁移到 IdM 时使用的模式和模式兼容功能。

3. 重启 IdM 目录服务器实例：

   # systemctl restart dirsrv.target

   Copy to Clipboard Toggle word wrap

4. 配置 IdM 服务器来允许迁移：

   # ipa config-mod --enable-migration=TRUE

   Copy to Clipboard Toggle word wrap

   通过将 --enable-migration 设为 TRUE，您可以执行以下操作：

   • 在 LDAP 添加操作过程中允许预哈希密码。
   • 如果初始 Kerberos 身份验证失败，则将 SSSD 配置为尝试密码迁移序列。如需更多信息，请参阅 将密码从 LDAP 迁移到 IdM 时的使用 SSSD 中的工作流部分。

5. 运行 IdM 迁移脚本 ipa migrate-ds 以及与您的用例相关的选项。如需更多信息，请参阅 自定义从 LDAP 到 IdM 的迁移。

   # ipa migrate-ds --your-options ldap://ldap.example.com:389

   Copy to Clipboard Toggle word wrap
   注意

   如果您没有在前面的步骤中禁用兼容插件，请将 --with-compat 选项添加到 ipa migrate-ds ：

   # ipa migrate-ds --your-options --with-compat ldap://ldap.example.com:389

   Copy to Clipboard Toggle word wrap

6. 重新启用兼容插件：

   # ipa-compat-manage enable

   Copy to Clipboard Toggle word wrap

7. 重启 IdM 目录服务器：

   # systemctl restart dirsrv.target

   Copy to Clipboard Toggle word wrap

8. 当所有用户已迁移密码后，禁用迁移模式：

   # ipa config-mod --enable-migration=FALSE

   Copy to Clipboard Toggle word wrap
9. 可选：当所有用户都已迁移后，重新配置非 SSSD 客户端以使用 Kerberos 身份验证，即 pam_krb5，而不是 LDAP 身份验证，即 pam_ldap。如需更多信息，请参阅 RHEL 7 系统级身份验证指南 中的 配置 Kerberos 客户端。

10. 让用户生成哈希的 Kerberos 密码。选择 从 LDAP 迁移到 IdM 时规划密码迁移 中描述的方法之一。

    • 如果您决定使用 SSSD 方法 ：

      • 将已安装 SSSD 的客户端从 LDAP 目录移到 IdM 目录，并将它们注册为 IdM 的客户端。这会下载所需的密钥和证书。

        在 Red Hat Enterprise Linux 客户端上，可以使用 ipa-client-install 命令来实现。例如：

        # ipa-client-install --enable-dns-update

        Copy to Clipboard Toggle word wrap

    • 如果您决定使用 IdM 迁移 web 页面 方法：

      • 指示用户使用迁移网页登录到 IdM：

        https://ipaserver.example.com/ipa/migration

        Copy to Clipboard Toggle word wrap

11. 要监控用户迁移过程，请查询现有的 LDAP 目录，以查看哪些用户帐户拥有密码，但还没有 Kerberos 主体键。

    $ ldapsearch -LL -x -D 'cn=Directory Manager' -w secret -b 'cn=users,cn=accounts,dc=example,dc=com' '(&(!(krbprincipalkey=))(userpassword=))' uid

    Copy to Clipboard Toggle word wrap
    注意

    在过滤器两边包含单引号，以便 shell 不会对其进行解释。

12. 当所有客户端和用户的迁移完成后，请停用 LDAP 目录。

验证

1. 使用 ipa user-add 命令来在 IdM 中创建测试用户。将迁移的用户的输出与测试用户的输出进行比较。确保迁移的用户包含测试用户上存在的最小属性和对象类集合。例如：

   $ ipa user-show --all testing_user
   dn: uid=testing_user,cn=users,cn=accounts,dc=idm,dc=example,dc=com
   User login: testing_user
   First name: testing
   Last name: user
   Full name: testing user
   Display name: testing user
   Initials: tu
   Home directory: /home/testing_user
   GECOS: testing user
   Login shell: /bin/sh
   Principal name: testing_user@IDM.EXAMPLE.COM
   Principal alias: testing_user@IDM.EXAMPLE.COM
   Email address: testing_user@idm.example.com
   UID: 1689700012
   GID: 1689700012
   Account disabled: False
   Preserved user: False
   Password: False
   Member of groups: ipausers
   Kerberos keys available: False
   ipauniqueid: 843b1ac8-6e38-11ec-8dfe-5254005aad3e
   mepmanagedentry: cn=testing_user,cn=groups,cn=accounts,dc=idm,dc=example,dc=com
   objectclass: top, person, organizationalperson, inetorgperson, inetuser, posixaccount, krbprincipalaux, krbticketpolicyaux, ipaobject,
                ipasshuser, ipaSshGroupOfPubKeys, mepOriginEntry

   Copy to Clipboard Toggle word wrap
2. 将迁移的用户的输出（如 IdM 上所示）与源用户进行比较，如原始 LDAP 服务器上所示。确保导入的属性不会复制两次，并且它们具有正确的值。

步骤

1. 将签发远程 LDAP 服务器证书的 CA 证书存储在未来 IdM 服务器的文件中。例如： /tmp/remote.crt。

2. 按照将 将 LDAP 服务器迁移到 IdM 中描述的步骤操作。但是，对于在迁移过程中加密的 LDAP 连接，请使用 URL 中的 ldaps 协议，并将 --ca-cert-file 选项传给 ipa migrate-ds 命令。例如：

   # ipa migrate-ds --ca-cert-file=/tmp/remote.crt --your-other-options ldaps://ldap.example.com:636

   Copy to Clipboard Toggle word wrap

验证

1. 使用 ipa user-add 命令来在 IdM 中创建测试用户。将迁移的用户的输出与测试用户的输出进行比较。确保迁移的用户包含测试用户上存在的最小属性和对象类集合。例如：

   $ ipa user-show --all testing_user
   dn: uid=testing_user,cn=users,cn=accounts,dc=idm,dc=example,dc=com
   User login: testing_user
   First name: testing
   Last name: user
   Full name: testing user
   Display name: testing user
   Initials: tu
   Home directory: /home/testing_user
   GECOS: testing user
   Login shell: /bin/sh
   Principal name: testing_user@IDM.EXAMPLE.COM
   Principal alias: testing_user@IDM.EXAMPLE.COM
   Email address: testing_user@idm.example.com
   UID: 1689700012
   GID: 1689700012
   Account disabled: False
   Preserved user: False
   Password: False
   Member of groups: ipausers
   Kerberos keys available: False
   ipauniqueid: 843b1ac8-6e38-11ec-8dfe-5254005aad3e
   mepmanagedentry: cn=testing_user,cn=groups,cn=accounts,dc=idm,dc=example,dc=com
   objectclass: top, person, organizationalperson, inetorgperson, inetuser, posixaccount, krbprincipalaux, krbticketpolicyaux, ipaobject,
                ipasshuser, ipaSshGroupOfPubKeys, mepOriginEntry

   Copy to Clipboard Toggle word wrap
2. 将迁移的用户的输出（如 IdM 上所示）与源用户进行比较，如原始 LDAP 服务器上所示。确保导入的属性不会复制两次，并且它们具有正确的值。

步骤

1. 使用 ipa-backup 工具备份您的 IdM 设置。请参阅 备份和恢复 IdM。

   注意

   迁移会影响 IdM 配置的很大一部分和许多用户帐户。创建备份可让您在需要时恢复原始设置。

2. 创建与同步域的信任。详情请参阅 在 IdM 和 AD 之间安装信任。

3. 运行 ipa-winsync-migrate ，并指定 AD 领域和 AD 域控制器的主机名：

   # ipa-winsync-migrate --realm example.com --server ad.example.com

   Copy to Clipboard Toggle word wrap

   如果在 ipa-winsync-migrate 创建的覆盖中发生冲突，则会显示有关冲突的信息，但迁移将继续。

4. 从 AD 服务器卸载 Password Sync 服务。这会从 AD 域控制器中删除同步协议。

步骤

1. 创建原始同步的用户和组条目的备份。
2. 创建与同步域的信任。详情请参阅 在 IdM 和 AD 之间安装信任。

3. 对于每个同步的用户或组，通过执行以下操作之一来保留 IdM 生成的 UID 和 GID：

   • 单独创建应用到特定主机的 ID 视图，并在视图中添加用户 ID 覆盖。
   • 在 Default Trust View 中创建用户 ID 覆盖。
   注意

   只有 IdM 用户可以管理 ID 视图。AD 用户不能。

4. 删除原始同步的用户或组条目。