28.4. 使用 Ansible playbook 来确保 IdM 中存在一个带有多个变量的主 DNS 区域

流程

1. 导航到 /usr/share/doc/ansible-freeipa/playbooks/dnszone 目录：

   $ cd /usr/share/doc/ansible-freeipa/playbooks/dnszone

2. 打开清单文件，并确保 [ipaserver] 部分中列出了您要配置的 IdM 服务器。例如，要指示 Ansible 配置 server.idm.example.com，请输入：

   [ipaserver]
   server.idm.example.com

3. 制作一个 dnszone-all-params.yml Ansible playbook 文件的副本。例如：

   $ cp dnszone-all-params.yml dnszone-all-params-copy.yml

4. 打开 dnszone-all-params-copy.yml 文件进行编辑。

5. 通过在 ipadnszone 任务部分中设置以下变量来修改文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员密码。
   • 将 zone_name 变量设为 zone.idm.example.com。
   • 如果要允许正向和反向记录的同步，也就是是 A 和 AAAA 记录与 PTR 记录的同步，请将 allow_sync_ptr 变量设为 true 。
   • 将 dynamic_update 变量设为 true，以使 IdM 客户端机器添加或更新其 IP 地址。
   • 将 dnssec 变量设为 true，以允许区域中记录的内联 DNSSEC 签名。
   • 将 allow_transfer 变量设为区域中次要名字服务器的 IP 地址。
   • 将 allow_query 变量设为允许发出查询的 IP 地址或网络。
   • 将 forwarders 变量设为全局转发器的 IP 地址。
   • 将 serial 变量设为 SOA 记录序列号。
   • 为区域中的 DNS 记录定义 refresh、retry、expire 、minimum、ttl 和 default_ttl 值。
   • 使用 nsec3param_rec 变量，为区域定义 NSEC3PARAM 记录。
   • 将 skip_overlap_check 变量设为 true，来强制创建 DNS，即使它与现有的区域重叠。

   • 将 skip_nameserver_check 设为 true，来强制 DNS 区域创建，即使名字服务器不能解析。

     这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Ensure dnszone present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure zone is present.
       ipadnszone:
         ipaadmin_password: "{{ ipaadmin_password }}"
         zone_name: zone.idm.example.com
         allow_sync_ptr: true
         dynamic_update: true
         dnssec: true
         allow_transfer:
           - 1.1.1.1
           - 2.2.2.2
         allow_query:
           - 1.1.1.1
           - 2.2.2.2
         forwarders:
           - ip_address: 8.8.8.8
           - ip_address: 8.8.4.4
             port: 52
         serial: 1234
         refresh: 3600
         retry: 900
         expire: 1209600
         minimum: 3600
         ttl: 60
         default_ttl: 90
         name_server: server.idm.example.com.
         admin_email: admin.admin@idm.example.com
         nsec3param_rec: "1 7 100 0123456789abcdef"
         skip_overlap_check: true
         skip_nameserver_check: true
         state: present

6. 保存该文件。

7. 运行 playbook:

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file dnszone-all-params-copy.yml