4.4. 使用外部 IdM DNS 配置 Capsule 服务器

在 IdM 服务器上创建 Kerberos 主体

1. 为从 IdM 管理员获取的帐户获取 Kerberos 票据：

   # kinit idm_user

   Copy to Clipboard Toggle word wrap

2. 为 Capsule 服务器创建一个新的 Kerberos 主体，用于在 IdM 服务器上进行身份验证。

   # ipa service-add capsule.example.com

   Copy to Clipboard Toggle word wrap

安装和配置 IdM 客户端

1. 在管理部署的 DNS 服务的 Satellite 或 Capsule 的基本操作系统中，安装 ipa-client 软件包：

   # satellite-maintain packages install ipa-client

   Copy to Clipboard Toggle word wrap

2. 运行安装脚本并遵循屏幕提示来配置 IdM 客户端：

   # ipa-client-install

   Copy to Clipboard Toggle word wrap

3. 获取Kerberos ticket：

   # kinit admin

   Copy to Clipboard Toggle word wrap

4. 删除任何已存在的 keytab ：

   # rm /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

5. 获取此系统的 keytab ：

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -s idm1.example.com -k /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap
   注意

   将 keytab 添加到与服务原始系统相同的主机名的备用系统中时，添加 r 选项以防止生成新凭证并在原始系统上呈现凭据无效。

6. 对于 dns.keytab 文件，将所有者和组设置为 foreman-proxy ：

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

7. 可选： 要验证 keytab 文件是否有效，请输入以下命令：

   # kinit -kt /etc/foreman-proxy/dns.keytab \
   capsule/satellite.example.com@EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

在 IdM Web UI 中配置 DNS 区域

1. 创建并配置您要管理的区：

   1. 进入 Network Services > DNS > DNS Zones。
   2. 选择 Add 并输入区域名称。例如： example.com。
   3. 点 Add and Edit。

   4. 点 Settings 选项卡，在 BIND 更新策略 框中，将以下内容添加到分号分开的列表中：

      grant capsule/047satellite.example.com@EXAMPLE.COM wildcard * ANY;

      Copy to Clipboard Toggle word wrap
   5. 将 Dynamic update 设置为 True。
   6. 启用 Allow PTR 同步。
   7. 点 Save 保存更改。

2. 创建并配置反向区：

   1. 进入 Network Services > DNS > DNS Zones。
   2. 点击 Add。
   3. 选择 Reverse zone IP network 并使用 CIDR 格式添加网络地址来启用反向查找。
   4. 点 Add and Edit。

   5. 点 Settings 选项卡，在 BIND 更新策略 框中，将以下内容添加到分号分开的列表中：

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

      Copy to Clipboard Toggle word wrap
   6. 将 Dynamic update 设置为 True。
   7. 点 Save 保存更改。

配置管理域的 DNS 服务的 Satellite 或 Capsule 服务器

1. 使用 satellite-installer 命令配置管理域的 DNS 服务的 Satellite 或 Capsule：

   • 在 Satellite 中输入以下命令：

     satellite-installer --scenario satellite \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=false \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab

     Copy to Clipboard Toggle word wrap

   • 在 Capsule 中输入以下命令：

     satellite-installer --scenario capsule \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=false \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab

     Copy to Clipboard Toggle word wrap

在 Satellite Web UI 中更新配置

1. 在 Satellite Web UI 中，导航到 Infrastructure > Capsules，找到 Capsule Server，并从 Actions 列中的列表，选择 Refresh。

2. 配置域：

   1. 在 Satellite Web UI 中，导航到 Infrastructure > Domains 并选择域名。
   2. 在 Domain 选项卡中，确保将 DNS Capsule 设置为子网连接的 Capsule。

3. 配置子网：

   1. 在 Satellite Web UI 中，导航到 Infrastructure > Subnets 并选择子网名称。
   2. 在 子网 选项卡中，将 IPAM 设置为 None。
   3. 在 Domains 选项卡中，选择您要使用 IdM 服务器管理的域。
   4. 在 Capsules 选项卡中，确保将 Reverse DNS Capsule 设置为子网连接的 Capsule。
   5. 点 Submit 保存更改。

在 IdM 服务器中启用对 DNS 区的外部更新

1. 在 IdM 服务器上，将以下内容添加到 /etc/named.conf 文件的顶部：

   ########################################################################
   
   include "/etc/rndc.key";
   controls  {
   inet _IdM_Server_IP_Address_ port 953 allow { _Satellite_IP_Address_; } keys { "rndc-key"; };
   };
   ########################################################################

   Copy to Clipboard Toggle word wrap

2. 重新载入 named 服务以使更改生效：

   # systemctl reload named

   Copy to Clipboard Toggle word wrap

3. 在 IdM Web UI 中，导航到 Network Services > DNS > DNS Zones，然后点击区的名称。在 Settings 选项卡中，应用以下更改：

   1. 在 BIND 更新策略框中添加以下内容 ：

      grant "rndc-key" zonesub ANY;

      Copy to Clipboard Toggle word wrap
   2. 将 Dynamic update 设置为 True。
   3. 点 Update 保存更改。

4. 将 /etc/rndc.key 文件从 IdM 服务器复制到 Satellite 服务器的基本操作系统。使用以下命令：

   # scp /etc/rndc.key root@satellite.example.com:/etc/rndc.key

   Copy to Clipboard Toggle word wrap

5. 要为 rndc.key 文件设置正确的所有权、权限和 SELinux 上下文，请输入以下命令：

   # restorecon -v /etc/rndc.key
   # chown -v root:named /etc/rndc.key
   # chmod -v 640 /etc/rndc.key

   Copy to Clipboard Toggle word wrap

6. 手动将 foreman-proxy 用户分配给 named 组。通常，satellite-installer 确保 foreman-proxy 用户属于 named UNIX 组，但是在这种情况下，Satellite 不管理用户和组，因此您需要手动将 foreman-proxy 用户分配给 named 组。

   # usermod -a -G named foreman-proxy

   Copy to Clipboard Toggle word wrap

7. 在 Satellite 服务器上，输入以下 satellite-installer 命令将 Satellite 配置为使用外部 DNS 服务器：

   # satellite-installer --scenario satellite \
   --foreman-proxy-dns=true \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="IdM_Server_IP_Address" \
   --foreman-proxy-keyfile=/etc/rndc.key \
   --foreman-proxy-dns-ttl=86400

   Copy to Clipboard Toggle word wrap

测试 IdM 服务器中的 DNS 区的外部更新

1. 确保 Satellite 服务器上的 /etc/rndc.key 文件中的密钥与 IdM 服务器中使用的密钥文件相同：

   key "rndc-key" {
           algorithm hmac-md5;
           secret "secret-key==";
   };

   Copy to Clipboard Toggle word wrap

2. 在 Satellite 服务器上，为主机创建一个测试 DNS 条目。例如，在 192.168.25.1 的 IdM 服务器上的 A 记录 192.168.25.20 的主机 test.example.com。

   # echo -e "server 192.168.25.1\n \
   update add test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

   Copy to Clipboard Toggle word wrap

3. 在 Satellite 服务器上，测试 DNS 条目：

   # nslookup test.example.com 192.168.25.1
   Server:		192.168.25.1
   Address:	192.168.25.1#53
   
   Name:	test.example.com
   Address: 192.168.25.20

   Copy to Clipboard Toggle word wrap
4. 要查看 IdM Web UI 中的条目，请导航到 Network Services > DNS > DNS Zones。单击区域的名称，再按名称搜索主机。

5. 如果成功解析，请删除 test DNS 条目：

   # echo -e "server 192.168.25.1\n \
   update delete test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

   Copy to Clipboard Toggle word wrap

6. 确认 DNS 条目已被删除：

   # nslookup test.example.com 192.168.25.1

   Copy to Clipboard Toggle word wrap

   以上 nslookup 命令失败，并在成功删除记录时返回 SERVFAIL 错误消息。

在 Satellite Web UI 中更新配置

1. 在 Satellite Web UI 中，导航到 Infrastructure > Capsules。
2. 对于您要更新的每个 Capsule，请从 Actions 列表中选择 Refresh。

3. 配置域：

   1. 在 Satellite Web UI 中，导航到 Infrastructure > Domains，然后点击您要配置的域名。
   2. 在 Domain 选项卡中，将 DNS Capsule 设置为子网连接的 Capsule。

4. 配置子网：

   1. 在 Satellite Web UI 中，导航到 Infrastructure > Subnets 并选择子网名称。
   2. 在 子网 选项卡中，将 IPAM 设置为 DHCP 或 内部 DB。
   3. 在 Domains 选项卡中，选择您要使用 Satellite 或 Capsule 管理的域。
   4. 在 Capsules 选项卡中，将 Reverse DNS Capsule 设置为子网连接的 Capsule。
   5. 点 Submit 保存更改。