安装 Capsule 服务器

1. 禁用所有软件仓库：

   # subscription-manager repos --disable "*"

   Copy to Clipboard Toggle word wrap

2. 启用以下软件仓库：

   # subscription-manager repos \
   --enable=rhel-9-for-x86_64-baseos-rpms \
   --enable=rhel-9-for-x86_64-appstream-rpms \
   --enable=satellite-capsule-6.16-for-rhel-9-x86_64-rpms \
   --enable=satellite-maintenance-6.16-for-rhel-9-x86_64-rpms

   Copy to Clipboard Toggle word wrap

1. 禁用所有软件仓库：

   # subscription-manager repos --disable "*"

   Copy to Clipboard Toggle word wrap

2. 启用以下软件仓库：

   # subscription-manager repos \
   --enable=rhel-8-for-x86_64-baseos-rpms \
   --enable=rhel-8-for-x86_64-appstream-rpms \
   --enable=satellite-capsule-6.16-for-rhel-8-x86_64-rpms \
   --enable=satellite-maintenance-6.16-for-rhel-8-x86_64-rpms

   Copy to Clipboard Toggle word wrap

3. 启用模块：

   # dnf module enable satellite-capsule:el8

   Copy to Clipboard Toggle word wrap

流程

1. 对于新安装，请安装 fapolicyd ：

   # dnf install fapolicyd

   Copy to Clipboard Toggle word wrap

2. 对于现有安装，使用 satellite-maintain 软件包安装 fapolicyd：

   # satellite-maintain packages install fapolicyd

   Copy to Clipboard Toggle word wrap

3. 启动 fapolicyd 服务：

   # systemctl enable --now fapolicyd

   Copy to Clipboard Toggle word wrap

流程

1. 在 Satellite 服务器上，要为您的胶囊服务器存储所有源证书文件，请创建一个只能被 root 用户访问的目录，如 /root/capsule_cert ：

   # mkdir /root/capsule_cert

   Copy to Clipboard Toggle word wrap

2. 在 Satellite 服务器上，为您的 Capsule 服务器生成 /root/capsule_cert/capsule.example.com-certs.tar 证书存档：

   # capsule-certs-generate \
   --foreman-proxy-fqdn capsule.example.com \
   --certs-tar /root/capsule_cert/capsule.example.com-certs.tar

   Copy to Clipboard Toggle word wrap

   保留 satellite-installer 命令的副本，使 capsule-certs-generate 命令将证书部署到您的胶囊服务器。

   capsule-certs-generate的输出示例

   output omitted
   satellite-installer --scenario capsule \
   --certs-tar-file "/root/capsule_cert/capsule.example.com-certs.tar" \
   --foreman-proxy-register-in-foreman "true" \
   --foreman-proxy-foreman-base-url "https://satellite.example.com" \
   --foreman-proxy-trusted-hosts "satellite.example.com" \
   --foreman-proxy-trusted-hosts "capsule.example.com" \
   --foreman-proxy-oauth-consumer-key "s97QxvUAgFNAQZNGg4F9zLq2biDsxM7f" \
   --foreman-proxy-oauth-consumer-secret "6bpzAdMpRAfYaVZtaepYetomgBVQ6ehY"

   Copy to Clipboard Toggle word wrap

3. 在 Satellite 服务器上，将证书存档文件复制到您的胶囊服务器中：

   # scp /root/capsule_cert/capsule.example.com-certs.tar \
   root@capsule.example.com:/root/capsule.example.com-certs.tar

   Copy to Clipboard Toggle word wrap

4. 在 Capsule 服务器上，要部署证书，请输入 capsule-certs-generate 命令返回的 satellite-installer 命令。

   当网络连接或端口到 Satellite 尚未打开时，您可以将 --foreman-proxy-register-in-foreman 选项设置为 false，以防止 Capsule 尝试连接 Satellite 并报告错误。在正确配置网络和防火墙时，再次运行安装程序，此选项设为 true。

   重要

   部署证书后，不要删除证书存档文件。例如，在升级 Capsule 服务器时需要它。

1. 第 2.5.2.1 节 “为胶囊服务器创建自定义 SSL 证书”
2. 第 2.5.2.2 节 “将自定义 SSL 证书部署到胶囊服务器”
3. 第 2.5.2.3 节 “将自定义 SSL 证书部署到主机”

流程

1. 在 Red Hat Enterprise Linux 主机上，安装 ISC DHCP Service 和 Berkeley Internet Name Domain (BIND)工具软件包：

   # dnf install dhcp-server bind-utils

   Copy to Clipboard Toggle word wrap

2. 生成安全令牌：

   # tsig-keygen -a hmac-md5 omapi_key

   Copy to Clipboard Toggle word wrap

3. 编辑所有子网的 dhcpd 配置文件并添加 tsig-keygen 生成的密钥。以下是一个示例：

   # cat /etc/dhcp/dhcpd.conf
   default-lease-time 604800;
   max-lease-time 2592000;
   log-facility local7;
   
   subnet 192.168.38.0 netmask 255.255.255.0 {
   	range 192.168.38.10 192.168.38.100;
   	option routers 192.168.38.1;
   	option subnet-mask 255.255.255.0;
   	option domain-search "virtual.lan";
   	option domain-name "virtual.lan";
   	option domain-name-servers 8.8.8.8;
   }
   
   omapi-port 7911;
   key omapi_key {
   	algorithm hmac-md5;
   	secret "My_Secret";
   };
   omapi-key omapi_key;

   Copy to Clipboard Toggle word wrap

   请注意，选项 router 值是您要与外部 DHCP 服务一起使用的 Satellite 服务器或 Capsule 服务器的 IP 地址。

4. 在服务器上，定义每个子网。不要为定义的子网设置 DHCP Capsule。

   要防止冲突，请单独设置租期和保留范围。例如，如果租期范围是 192.168.38.10 到 192.168.38.100，在 Satellite Web UI 中，将保留范围定义为 192.168.38.101 到 192.168.38.250。

5. 配置防火墙以从外部访问 DHCP 服务器：

   # firewall-cmd --add-service dhcp

   Copy to Clipboard Toggle word wrap

6. 使更改持久：

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

7. 在 Satellite 服务器上，确定 foreman 用户的 UID 和 GID：

   # id -u foreman
   993
   # id -g foreman
   990

   Copy to Clipboard Toggle word wrap

8. 在 DHCP 服务器上，创建 foreman 用户和组，其 ID 与上一步中决定的相同：

   # groupadd -g 990 foreman
   # useradd -u 993 -g 990 -s /sbin/nologin foreman

   Copy to Clipboard Toggle word wrap

9. 要确保配置文件可以访问，请恢复 read 和 execute 标记：

   # chmod o+rx /etc/dhcp/
   # chmod o+r /etc/dhcp/dhcpd.conf
   # chattr +i /etc/dhcp/ /etc/dhcp/dhcpd.conf

   Copy to Clipboard Toggle word wrap

10. 启用并启动 DHCP 服务：

    # systemctl enable --now dhcpd

    Copy to Clipboard Toggle word wrap

11. 使用 NFS 导出 DHCP 配置和租期文件：

    # dnf install nfs-utils
    # systemctl enable --now nfs-server

    Copy to Clipboard Toggle word wrap

12. 为您要使用 NFS 导出的 DHCP 配置和租期文件创建目录：

    # mkdir -p /exports/var/lib/dhcpd /exports/etc/dhcp

    Copy to Clipboard Toggle word wrap

13. 要为创建的目录创建挂载点，请在 /etc/fstab 文件中添加以下行：

    /var/lib/dhcpd /exports/var/lib/dhcpd none bind,auto 0 0
    /etc/dhcp /exports/etc/dhcp none bind,auto 0 0

    Copy to Clipboard Toggle word wrap

14. 在 /etc/fstab 中挂载文件系统：

    # mount -a

    Copy to Clipboard Toggle word wrap

15. 确保 /etc/exports 中存在以下行：

    /exports 192.168.38.1(rw,async,no_root_squash,fsid=0,no_subtree_check)
    
    /exports/etc/dhcp 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)
    
    /exports/var/lib/dhcpd 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)

    Copy to Clipboard Toggle word wrap

    请注意，您输入的 IP 地址是您要用于外部 DHCP 服务的 Satellite 或 Capsule IP 地址。

16. 重新载入 NFS 服务器：

    # exportfs -rva

    Copy to Clipboard Toggle word wrap

17. 为 DHCP omapi 端口 7911 配置防火墙：

    # firewall-cmd --add-port=7911/tcp

    Copy to Clipboard Toggle word wrap

18. 可选：配置防火墙以从外部访问 NFS。客户端使用 NFSv3 配置。

    # firewall-cmd \
    --add-service mountd \
    --add-service nfs \
    --add-service rpc-bind \
    --zone public

    Copy to Clipboard Toggle word wrap

19. 使更改持久：

    # firewall-cmd --runtime-to-permanent

    Copy to Clipboard Toggle word wrap

流程

1. 安装 nfs-utils 软件包：

   # satellite-maintain packages install nfs-utils

   Copy to Clipboard Toggle word wrap

2. 为 NFS 创建 DHCP 目录：

   # mkdir -p /mnt/nfs/etc/dhcp /mnt/nfs/var/lib/dhcpd

   Copy to Clipboard Toggle word wrap

3. 更改文件所有者：

   # chown -R foreman-proxy /mnt/nfs

   Copy to Clipboard Toggle word wrap

4. 验证与 NFS 服务器和远程过程调用(RPC)通信路径的通信：

   # showmount -e DHCP_Server_FQDN
   # rpcinfo -p DHCP_Server_FQDN

   Copy to Clipboard Toggle word wrap

5. 在 /etc/fstab 文件中添加以下行：

   DHCP_Server_FQDN:/exports/etc/dhcp /mnt/nfs/etc/dhcp nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcp_etc_t:s0" 0 0
   
   DHCP_Server_FQDN:/exports/var/lib/dhcpd /mnt/nfs/var/lib/dhcpd nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcpd_state_t:s0" 0 0

   Copy to Clipboard Toggle word wrap

6. 在 /etc/fstab 中挂载文件系统：

   # mount -a

   Copy to Clipboard Toggle word wrap

7. 要验证 foreman-proxy 用户可以访问通过网络共享的文件，请显示 DHCP 配置和租期文件：

   # su foreman-proxy -s /bin/bash
   $ cat /mnt/nfs/etc/dhcp/dhcpd.conf
   $ cat /mnt/nfs/var/lib/dhcpd/dhcpd.leases
   $ exit

   Copy to Clipboard Toggle word wrap

8. 输入 satellite-installer 命令，对 /etc/foreman-proxy/settings.d/dhcp.yml 文件进行以下更改：

   # satellite-installer \
   --enable-foreman-proxy-plugin-dhcp-remote-isc \
   --foreman-proxy-dhcp-provider=remote_isc \
   --foreman-proxy-dhcp-server=My_DHCP_Server_FQDN \
   --foreman-proxy-dhcp=true \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /mnt/nfs/etc/dhcp/dhcpd.conf \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /mnt/nfs/var/lib/dhcpd/dhcpd.leases \
   --foreman-proxy-plugin-dhcp-remote-isc-key-name=omapi_key \
   --foreman-proxy-plugin-dhcp-remote-isc-key-secret=My_Secret \
   --foreman-proxy-plugin-dhcp-remote-isc-omapi-port=7911

   Copy to Clipboard Toggle word wrap
9. 将 DHCP 服务与适当的子网和域关联。

在 IdM 服务器上创建 Kerberos 主体

1. 获取从 IdM 管理员获取的帐户的 Kerberos 票据：

   # kinit idm_user

   Copy to Clipboard Toggle word wrap

2. 为 Capsule 服务器创建一个新的 Kerberos 主体，用于在 IdM 服务器上进行身份验证：

   # ipa service-add capsule.example.com

   Copy to Clipboard Toggle word wrap

安装和配置 idM 客户端

1. 在管理部署的 DNS 服务的 Satellite 或 Capsule 的基本操作系统中，安装 ipa-client 软件包：

   # satellite-maintain packages install ipa-client

   Copy to Clipboard Toggle word wrap

2. 运行安装脚本并遵循屏幕提示来配置 IdM 客户端：

   # ipa-client-install

   Copy to Clipboard Toggle word wrap

3. 获取Kerberos ticket：

   # kinit admin

   Copy to Clipboard Toggle word wrap

4. 删除任何已存在的 keytab ：

   # rm /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

5. 获取此系统的 keytab ：

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -s idm1.example.com -k /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap
   注意

   当将 keytab 添加到与服务中原始系统相同的主机名时，请添加 r 选项，以防止生成新凭证并渲染原始系统上的凭证无效。

6. 对于 dns.keytab 文件，将 组和所有者设置为 foreman-proxy ：

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

7. 可选： 要验证 keytab 文件是否有效，请输入以下命令：

   # kinit -kt /etc/foreman-proxy/dns.keytab \
   capsule/satellite.example.com@EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

在 IdM Web UI 中配置 DNS 区域

1. 创建并配置您要管理的区：

   1. 导航到 Network Services > DNS > DNS Zones。
   2. 选择 Add 并输入区域名称。例如： example.com。
   3. 点 Add and Edit。

   4. 点 Settings 选项卡，在 BIND 更新策略 框中，将以下内容添加到分号分隔的列表：

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

      Copy to Clipboard Toggle word wrap
   5. 将 Dynamic update 设置为 True。
   6. 启用 Allow PTR sync。
   7. 点 Save 保存更改。

2. 创建并配置反向区：

   1. 导航到 Network Services > DNS > DNS Zones。
   2. 点击 Add。
   3. 选择 反向区 IP 网络，并以 CIDR 格式添加网络地址以启用反向查找。
   4. 点 Add and Edit。

   5. 点 Settings 选项卡，在 BIND 更新策略 框中，将以下内容添加到分号分隔的列表：

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

      Copy to Clipboard Toggle word wrap
   6. 将 Dynamic update 设置为 True。
   7. 点 Save 保存更改。

配置管理域的 DNS 服务的 Satellite 或 Capsule 服务器

1. 配置 Satellite 服务器或 Capsule 服务器以连接到您的 DNS 服务：

   # satellite-installer \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate_gss \
   --foreman-proxy-dns-server="idm1.example.com" \
   --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
   --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
   --foreman-proxy-dns=true

   Copy to Clipboard Toggle word wrap

2. 对于每个受影响的 Capsule，在 Satellite Web UI 中更新该 Capsule 的配置：

   1. 在 Satellite Web UI 中，导航到 Infrastructure > Capsules，找到 Capsule 服务器，然后从 Actions 列中的列表中，选择 Refresh。

   2. 配置域：

      1. 在 Satellite Web UI 中，进入到 Infrastructure > Domains 并选择域名。
      2. 在 Domain 选项卡中，确保 DNS Capsule 设置为连接子网的 Capsule。

   3. 配置子网：

      1. 在 Satellite Web UI 中，进入到 Infrastructure > Subnets 并选择子网名称。
      2. 在 Subnet 选项卡中，将 IPAM 设置为 None。
      3. 在 Domains 选项卡中，选择您要使用 IdM 服务器管理的域。
      4. 在 Capsules 选项卡中，确保将 Reverse DNS Capsule 设置为子网连接的 Capsule。
      5. 点 Submit 以保存更改。

在 IdM 服务器中启用对 DNS 区的外部更新

1. 在 IdM 服务器上，将以下内容添加到 /etc/named.conf 文件的顶部：

   ########################################################################
   
   include "/etc/rndc.key";
   controls  {
   inet _IdM_Server_IP_Address_ port 953 allow { _Satellite_IP_Address_; } keys { "rndc-key"; };
   };
   ########################################################################

   Copy to Clipboard Toggle word wrap

2. 重新载入 named 服务以使更改生效：

   # systemctl reload named

   Copy to Clipboard Toggle word wrap

3. 在 IdM Web UI 中，进入 Network Services & gt; DNS > DNS Zones 并点区的名称。在 Settings 选项卡中，应用以下更改：

   1. 在 BIND 更新策略框中添加以下内容 ：

      grant "rndc-key" zonesub ANY;

      Copy to Clipboard Toggle word wrap
   2. 将 Dynamic update 设置为 True。
   3. 点 Update 保存更改。

4. 将 /etc/rndc.key 文件从 IdM 服务器复制到 Satellite 服务器的基本操作系统。使用以下命令：

   # scp /etc/rndc.key root@satellite.example.com:/etc/rndc.key

   Copy to Clipboard Toggle word wrap

5. 要为 rndc.key 文件设置正确的所有权、权限和 SELinux 上下文，请输入以下命令：

   # restorecon -v /etc/rndc.key
   # chown -v root:named /etc/rndc.key
   # chmod -v 640 /etc/rndc.key

   Copy to Clipboard Toggle word wrap

6. 手动将 foreman-proxy 用户分配给 named 组。通常，satellite-installer 确保 foreman-proxy 用户属于 named UNIX 组，但是在这种情况下，Satellite 不管理用户和组，因此您需要手动将 foreman-proxy 用户分配给 named 组。

   # usermod -a -G named foreman-proxy

   Copy to Clipboard Toggle word wrap

7. 在 Satellite 服务器上，输入以下 satellite-installer 命令将 Satellite 配置为使用外部 DNS 服务器：

   # satellite-installer \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="IdM_Server_IP_Address" \
   --foreman-proxy-dns-ttl=86400 \
   --foreman-proxy-dns=true \
   --foreman-proxy-keyfile=/etc/rndc.key

   Copy to Clipboard Toggle word wrap

在 IdM 服务器中测试 DNS 区域的外部更新

1. 确保 Satellite 服务器上的 /etc/rndc.key 文件中的密钥与 IdM 服务器中使用的密钥文件相同：

   key "rndc-key" {
           algorithm hmac-md5;
           secret "secret-key==";
   };

   Copy to Clipboard Toggle word wrap

2. 在服务器上，为主机创建测试 DNS 条目。例如，在 192.168.25.1 的 IdM 服务器上带有 A 记录 192.168.25.20 的主机 test.example.com。

   # echo -e "server 192.168.25.1\n \
   update add test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

   Copy to Clipboard Toggle word wrap

3. 在 Satellite 服务器上测试 DNS 条目：

   # nslookup test.example.com 192.168.25.1

   Copy to Clipboard Toggle word wrap

   输出示例：

   Server:		192.168.25.1
   Address:	192.168.25.1#53
   
   Name:	test.example.com
   Address: 192.168.25.20

   Copy to Clipboard Toggle word wrap
4. 要在 IdM web UI 中查看条目，请进入 Network Services > DNS > DNS Zones。单击区域的名称，再按名称搜索主机。

5. 如果成功解析，请删除测试 DNS 条目：

   # echo -e "server 192.168.25.1\n \
   update delete test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

   Copy to Clipboard Toggle word wrap

6. 确认 DNS 条目已被删除：

   # nslookup test.example.com 192.168.25.1

   Copy to Clipboard Toggle word wrap

   如果记录成功删除，则上面的 nslookup 命令失败，并返回 SERVFAIL 错误消息。

在 Satellite Web UI 中更新配置

1. 在 Satellite Web UI 中，进入到 Infrastructure > Capsules。
2. 对于您要更新的每个胶囊，从 Actions 列表中选择 Refresh。

3. 配置域：

   1. 在 Satellite Web UI 中，进入到 Infrastructure > Domains，然后点击您要配置的域名。
   2. 在 Domain 选项卡中，将 DNS Capsule 设置为子网连接的 Capsule。

4. 配置子网：

   1. 在 Satellite Web UI 中，进入到 Infrastructure > Subnets 并选择子网名称。
   2. 在 Subnet 选项卡中，将 IPAM 设置为 DHCP 或 Internal DB。
   3. 在 Domains 选项卡中，选择您要使用 Satellite 或 Capsule 管理的域。
   4. 在 Capsules 选项卡中，将 Reverse DNS Capsule 设置为子网连接的 Capsule。
   5. 点 Submit 以保存更改。