4.5. 配置 Satellite 以管理注册到身份管理域的主机的生命周期

1. 在 Satellite 服务器或 Capsule 服务器中安装 ipa-client 软件包：

   # satellite-maintain packages install ipa-client

2. 将服务器配置为身份管理客户端：

   # ipa-client-install

3. 在身份管理中创建 realm 代理用户 realm-capsule 以及相关角色：

   # foreman-prepare-realm admin realm-capsule

   请注意，返回主体名称和身份管理服务器配置详情，因为您需要它们用于以下流程。

1. 将 /root/freeipa.keytab 文件复制到您要在同一主体和域中包含的任何 Capsule 服务器：

   # scp /root/freeipa.keytab root@capsule.example.com:/etc/foreman-proxy/freeipa.keytab

2. 将 /root/freeipa.keytab 文件移到 /etc/foreman-proxy 目录中，并将所有权设置设置为 foreman-proxy 用户：

   # mv /root/freeipa.keytab /etc/foreman-proxy
   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/freeipa.keytab

3. 在您要包含在域中的所有 Capsule 上输入以下命令。如果您在 Satellite 上使用集成胶囊，请在 Satellite 服务器上输入以下命令：

   # satellite-installer --foreman-proxy-realm true \
   --foreman-proxy-realm-keytab /etc/foreman-proxy/freeipa.keytab \
   --foreman-proxy-realm-principal realm-capsule@EXAMPLE.COM \
   --foreman-proxy-realm-provider freeipa

   您也可以在首次配置 Satellite 服务器时使用这些选项。

4. 确保安装了 ca-certificates 软件包的最更新版本，并信任身份管理证书颁发机构：

   # cp /etc/ipa/ca.crt /etc/pki/ca-trust/source/anchors/ipa.crt
   # update-ca-trust enable
   # update-ca-trust

5. 可选：如果您在现有 Satellite 服务器或 Capsule 服务器上配置身份管理，请完成以下步骤以确保配置更改生效：

   1. 重启 foreman-proxy 服务：

      # systemctl restart foreman-proxy

   2. 在 Satellite Web UI 中，进入到 Infrastructure > Capsules。
   3. 找到您为身份管理配置的胶囊，并从 Actions 列中的列表中，选择 Refresh。

流程

1. 在 Satellite Web UI 中，进入到 Infrastructure > Realms，再点 Create Realm。
2. 在 Name 字段中输入域的名称。
3. 从 Realm Type 列表中，选择 realm 的类型。
4. 从 Realm Capsule 列表中，选择您配置的身份管理的 Capsule 服务器。
5. 单击 Locations 选项卡，然后从 Locations 列表中选择您要添加新域的位置。
6. 单击 Organizations 选项卡，再从 Organizations 列表中选择您要添加新域的组织。
7. 点 Submit。

1. 在 Satellite Web UI 中，进入 Configure > Host Groups，选择您要更新的主机组，然后点击 Network 选项卡。
2. 从 Realm 列表中，选择您创建的域作为此流程的一部分，然后单击 Submit。

将主机添加到身份管理主机组中：

1. 在身份管理服务器上，创建一个主机组：

   # ipa hostgroup-add hostgroup_name --desc=hostgroup_description

2. 创建自动成员规则 ：

   # ipa automember-add --type=hostgroup hostgroup_name automember_rule

   其中您可以使用以下选项：

   • automember-add 将组标记为自动成员组。
   • --type=hostgroup 标识目标组是主机组，而不是用户组。
   • automember_rule 添加您要用来识别自动成员规则的名称。

3. 根据 userclass 属性定义自动成员条件：

   # ipa automember-add-condition --key=userclass --type=hostgroup --inclusive-regex=^webserver hostgroup_name
   ----------------------------------
   Added condition(s) to "hostgroup_name"
   ----------------------------------
   Automember Rule: automember_rule
   Inclusive Regex: userclass=^webserver
   ----------------------------
   Number of conditions added 1
   ----------------------------

   其中您可以使用以下选项：

   • automember-add-condition 添加正则表达式条件来识别组成员。
   • --key=userclass 指定 key 属性作为 userclass。
   • --type=hostgroup 标识目标组是主机组，而不是用户组。
   • --inclusive-regex= ^webserver 使用正则表达式模式标识匹配值。
   • hostgroup_name - 标识目标主机组的名称。