4.3. 从虚拟机快照恢复以建立新的 IdM 环境

流程

1. 引导 CA 副本虚拟机所需的快照。

2. 通过移除所有复制拓扑片段，将恢复的服务器与当前部署的其余部分隔离。

   1. 首先，显示所有 domain 复制拓扑片段。

      [root@restored-CA-replica ~]# ipa topologysegment-find
      Suffix name: domain
      ------------------
      8 segments matched
      ------------------
        Segment name: new_segment
        Left node: restored-CA-replica.example.com
        Right node: server2.example.com
        Connectivity: both
      
      ...
      
      ----------------------------
      Number of entries returned 8
      ----------------------------

   2. 接下来，删除涉及恢复的服务器的每个 domain 拓扑片段。

      [root@restored-CA-replica ~]# ipa topologysegment-del
      Suffix name: domain
      Segment name: new_segment
      -----------------------------
      Deleted segment "new_segment"
      -----------------------------

   3. 最后，在任何 ca 拓扑片段中执行相同的操作。

      [root@restored-CA-replica ~]# ipa topologysegment-find
      Suffix name: ca
      ------------------
      1 segments matched
      ------------------
        Segment name: ca_segment
        Left node: restored-CA-replica.example.com
        Right node: server4.example.com
        Connectivity: both
      ----------------------------
      Number of entries returned 1
      ----------------------------
      
      [root@restored-CA-replica ~]# ipa topologysegment-del
      Suffix name: ca
      Segment name: ca_segment
      -----------------------------
      Deleted segment "ca_segment"
      -----------------------------

3. 从恢复的服务器安装足够数量的 IdM 副本来处理部署负载。现在，有两个断开连接的 IdM 部署并行运行。
4. 通过对新 IdM 副本进行硬编码引用，将 IdM 客户端切换为使用新部署。请参阅在恢复过程中调整 IdM 客户端。
5. 停止并卸载之前部署中的 IdM 服务器。请参阅卸载 IdM 服务器。

验证

1. 以 IdM 用户身份成功检索 Kerberos ticket-granting ticket，在每个新副本中测试 Kerberos 服务器。

   [root@server ~]# kinit admin
   Password for admin@EXAMPLE.COM:
   
   [root@server ~]# klist
   Ticket cache: KCM:0
   Default principal: admin@EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   10/31/2019 15:51:37  11/01/2019 15:51:02  HTTP/server.example.com@EXAMPLE.COM
   10/31/2019 15:51:08  11/01/2019 15:51:02  krbtgt/EXAMPLE.COM@EXAMPLE.COM

2. 通过检索用户信息，测试每个新副本上的 Directory 服务器和 SSSD 配置。

   [root@server ~]# ipa user-show admin
     User login: admin
     Last name: Administrator
     Home directory: /home/admin
     Login shell: /bin/bash
     Principal alias: admin@EXAMPLE.COM
     UID: 1965200000
     GID: 1965200000
     Account disabled: False
     Password: True
     Member of groups: admins, trust admins
     Kerberos keys available: True

3. 使用 ipa cert-show 命令测试每个新 CA 副本上的 CA 服务器。

   [root@server ~]# ipa cert-show 1
     Issuing CA: ipa
     Certificate: MIIEgjCCAuqgAwIBAgIjoSIP...
     Subject: CN=Certificate Authority,O=EXAMPLE.COM
     Issuer: CN=Certificate Authority,O=EXAMPLE.COM
     Not Before: Thu Oct 31 19:43:29 2019 UTC
     Not After: Mon Oct 31 19:43:29 2039 UTC
     Serial number: 1
     Serial number (hex): 0x1
     Revoked: False