集成配置基础架构服务

流程

1. 在作为身份管理域成员的主机上，为 admin 用户获取 Kerberos ticket：

   # kinit admin

   Copy to Clipboard Toggle word wrap

2. 在身份管理服务器上创建一个新的 Kerberos 主体 Satellite 服务器用于身份验证：

   # ipa service-add capsule/satellite.example.com

   Copy to Clipboard Toggle word wrap

3. 可选：添加一个 forward DNS 区：

   # ipa dnszone-add example.com

   Copy to Clipboard Toggle word wrap

4. 显示转发区的 BIND 更新策略：

   # ipa dnszone-show example.com --all | \
   grep "BIND update policy"

   Copy to Clipboard Toggle word wrap

   输出示例：

   BIND update policy: grant EXAMPLE.COM krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM krb5-self * SSHFP;

   Copy to Clipboard Toggle word wrap

   请注意设置的值。

5. 更新 forward 区设置：

   # ipa dnszone-mod example.com \
   --dynamic-update=TRUE \
   --allow-sync-ptr=TRUE \
   --update-policy="<existing_policy> grant smartproxy\047foreman.example.com@EXAMPLE.COM wildcard * ANY;"

   Copy to Clipboard Toggle word wrap

   这个命令修改区设置，如下所示：

   • 启用动态区更新。
   • 如果在转发区中更新 A 或 AAAA 记录，身份管理会更新反向 DNS 区域中对应的 PTR 记录。
   • 上一步中创建的 Kerberos 主体有权修改任何类型的任何数据记录。请注意，您必须将此设置附加到现有值中。

6. 可选：添加反向 DNS 区：

   # ipa dnszone-add 0.168.192.in-addr.arpa

   Copy to Clipboard Toggle word wrap

7. 显示反向区的 BIND 更新策略：

   # ipa dnszone-show 0.168.192.in-addr.arpa --all | \
   grep "BIND update policy"

   Copy to Clipboard Toggle word wrap

   输出示例：

   BIND update policy: grant EXAMPLE.COM krb5-subdomain 0.168.192.in-addr.arpa. PTR;

   Copy to Clipboard Toggle word wrap

   请注意设置的值。

8. 更新反向区设置：

   # ipa dnszone-mod 0.168.192.in-addr.arpa \
   --dynamic-update=TRUE \
   --update-policy="<existing_policy> grant smartproxy\047foreman.example.com@EXAMPLE.COM wildcard * ANY;"

   Copy to Clipboard Toggle word wrap

   请注意，您必须将更新策略附加到现有值中。

流程

1. 如果您的 Satellite 服务器或 Capsule 服务器还没有是身份管理域的成员：

   1. 安装 ipa-client 软件包：

      # satellite-maintain packages install ipa-client

      Copy to Clipboard Toggle word wrap

   2. 安装身份管理客户端：

      # ipa-client-install

      Copy to Clipboard Toggle word wrap

      按照屏幕提示进行操作。

2. 为 admin 用户获取 Kerberos ticket：

   # kinit admin

   Copy to Clipboard Toggle word wrap

3. 删除 /etc/foreman-proxy/dns.keytab 文件：

   # rm --force /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

4. 为您的胶囊获取 Kerberos keytab 文件，并将其存储在 /etc/foreman-proxy/dns.keytab 文件中：

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -k /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap
   重要

   当将 keytab 添加到与服务中原始系统相同的主机名时，请将 -r 选项传给 ipa-getkeytab 命令，以防止生成新凭证并在原始系统上呈现凭证无效。

5. 将 /etc/foreman-proxy/dns.keytab 的所有者和组设置为 foreman-proxy ：

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

6. 验证 /etc/foreman-proxy/dns.keytab 文件是否有效：

   1. 使用该文件获取 Kerberos ticket：

      # kinit -kt /etc/foreman-proxy/dns.keytab \
      capsule/satellite.example.com@EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

   2. 显示 Kerberos ticket：

      # klist

      Copy to Clipboard Toggle word wrap

      输出示例：

      Ticket cache: KCM:0:50473
      Default principal: smartproxy/satellite.example.com@EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      05/20/2025 12:12:35  05/21/2025 11:54:31  krbtgt/EXAMPLE.COM@EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

7. 配置 Satellite 服务器或 Capsule 服务器以连接到身份管理 DNS 服务：

   # satellite-installer \
   --foreman-proxy-dns true \
   --foreman-proxy-dns-provider nsupdate_gss \
   --foreman-proxy-dns-managed false \
   --foreman-proxy-dns-server "idm-server.example.com" \
   --foreman-proxy-dns-tsig-keytab /etc/foreman-proxy/dns.keytab \
   --foreman-proxy-dns-tsig-principal "capsule/satellite.example.com@EXAMPLE.COM"

   Copy to Clipboard Toggle word wrap
8. 对于每个受影响的胶囊，在卫星 Web UI 中更新该胶囊的配置。如需更多信息，请参阅 第 1.8 节 “将 DNS 服务与域和子网关联”。

流程

1. 创建安全令牌：

   # tsig-keygen -a hmac-md5 omapi_key

   Copy to Clipboard Toggle word wrap

   请注意，Satellite 仅支持 OMAPI 验证的 hmac-md5 算法。

   输出示例：

   key "omapi_key" {
   	algorithm hmac-md5;
   	secret "4z1jwYO0RGUTJbWDepFBdg==";
   };

   Copy to Clipboard Toggle word wrap

2. 编辑 /etc/dhcp/dhcpd.conf 文件，并附加以下设置：

   key omapi_key {
   	algorithm hmac-md5;
   	secret "key_secret";
   };
   omapi-port 7911;
   omapi-key omapi_key;

   Copy to Clipboard Toggle word wrap

   示例中指定的设置包括：

   key omapi_key

   定义密钥、算法和加密密码。在这个指令中使用 tsig-keygen 命令的输出。

   OMAPI-port 7911;

   在 ISC DHCP 中启用 OMAPI 协议，并定义协议的端口。

   omapi-key omapi_key

   定义 OMAPI 接口使用的密钥的名称。该名称必须与您在 tsig-keygen 命令中指定的名称匹配。

3. 重启 dhcpd 服务：

   # systemctl restart dhcpd

   Copy to Clipboard Toggle word wrap

4. 在 firewalld 服务中打开 OMAPI 端口：

   # firewall-cmd --add-port=7911/tcp

   Copy to Clipboard Toggle word wrap

5. 使更改具有持久性：

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

流程

1. 在 Satellite 服务器上，确定 foreman-proxy 用户的 UID 和主 GID：

   # id -u foreman-proxy
   # id -g foreman-proxy

   Copy to Clipboard Toggle word wrap

   下一步需要这些 ID。

2. 在 DHCP 服务器上，通过 NFS 共享 DHCP 服务和租期数据库：

   1. 使用与 Satellite 服务器上相同的组 ID 创建 foreman-proxy 组：

      # groupadd -g My_User_ID foreman-proxy

      Copy to Clipboard Toggle word wrap

   2. 使用与 Satellite 服务器上相同的用户 ID 和主组 ID 创建 foreman-proxy 用户：

      # useradd -u My_User_ID -g My_Group_ID -s /sbin/nologin foreman-proxy

      Copy to Clipboard Toggle word wrap

   3. 确保 foreman-proxy 组的成员可以访问 DHCP 服务的配置文件：

      # chgrp -R foreman-proxy /etc/dhcp/
      # chmod g+rx /etc/dhcp/
      # chmod g+r /etc/dhcp/dhcpd.conf

      Copy to Clipboard Toggle word wrap

   4. 安装 nfs-server 软件包：

      # dnf install nfs-utils

      Copy to Clipboard Toggle word wrap

   5. 编辑 /etc/exports 文件，并为 /etc/dhcp/ 和 /var/lib/dhcpd/ 目录附加共享条目：

      /etc/dhcp        satellite.example.com(ro)
      /var/lib/dhcpd   satellite.example.com(ro)

      Copy to Clipboard Toggle word wrap

      以只读模式共享目录，仅与 Satellite 服务器或胶囊服务器共享。

   6. 启用并启动 NFS 服务器服务：

      # systemctl enable --now nfs-server

      Copy to Clipboard Toggle word wrap

   7. 在 firewalld 服务中打开 NFSv4 端口：

      # firewall-cmd --add-service=nfs

      Copy to Clipboard Toggle word wrap

   8. 使更改具有持久性：

      # firewall-cmd --runtime-to-permanent

      Copy to Clipboard Toggle word wrap

流程

1. 安装所需的软件包：

   # satellite-maintain packages install nfs-utils

   Copy to Clipboard Toggle word wrap

2. 创建稍后挂载 NFS 共享的目录：

   # mkdir -p \
   /srv/nfs/etc/dhcp \
   /srv/nfs/var/lib/dhcpd

   Copy to Clipboard Toggle word wrap

3. 编辑 /etc/fstab 文件，并为 NFS 共享添加条目，以便在系统引导时自动挂载它们：

   dhcp_server_fqdn:/etc/dhcp       /srv/nfs/etc/dhcp       nfs  ro,auto,context="system_u:object_r:dhcp_etc_t:s0"     0 0
   dhcp_server_fqdn:/var/lib/dhcpd  /srv/nfs/var/lib/dhcpd  nfs  ro,auto,context="system_u:object_r:dhcpd_state_t:s0"  0 0

   Copy to Clipboard Toggle word wrap

4. 重新载入 systemd，以便该服务使用更新的 /etc/fstab 文件：

   # systemctl daemon-reload

   Copy to Clipboard Toggle word wrap

5. 挂载 NFS 共享：

   # mount /srv/nfs/etc/dhcp/
   # mount /srv/nfs/var/lib/dhcpd/

   Copy to Clipboard Toggle word wrap

6. 验证 foreman-proxy 用户可以访问 NFS 服务器上的文件。例如：

   1. 显示 /srv/nfs/etc/dhcp/dhcpd.conf 文件的前 5 行：

      $ su - foreman-proxy -c 'head -5 /srv/nfs/etc/dhcp/dhcpd.conf'

      Copy to Clipboard Toggle word wrap

   2. 显示 /srv/nfs/var/lib/dhcpd/dhcpd.leases 文件的前 5 行：

      $ su - foreman-proxy -c 'head -5 /srv/nfs/var/lib/dhcpd/dhcpd.leases'

      Copy to Clipboard Toggle word wrap

7. 将 Satellite 服务器或 Capsule 服务器配置为使用 DHCP 服务器：

   # satellite-installer \
   --foreman-proxy-dhcp true \
   --foreman-proxy-dhcp-provider remote_isc \
   --enable-foreman-proxy-plugin-dhcp-remote-isc \
   --foreman-proxy-dhcp-server dhcp_server_fqdn \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /srv/nfs/etc/dhcp/dhcpd.conf \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /srv/nfs/var/lib/dhcpd/dhcpd.leases \
   --foreman-proxy-plugin-dhcp-remote-isc-key-name omapi_key \
   --foreman-proxy-plugin-dhcp-remote-isc-key-secret key_secret \
   --foreman-proxy-plugin-dhcp-remote-isc-omapi-port 7911

   Copy to Clipboard Toggle word wrap
8. 对于每个受影响的胶囊，在卫星 Web UI 中更新该胶囊的配置。如需更多信息，请参阅 第 2.5 节 “将 DHCP 服务与子网关联”。

流程

1. 创建稍后挂载 NFS 共享的目录：

   # mkdir -p /mnt/nfs/var/lib/tftpboot

   Copy to Clipboard Toggle word wrap

2. 编辑 /etc/fstab 文件，并为 NFS 共享添加条目，以便在系统引导时自动挂载它们：

   tftp_server_fqdn:/exports/var/lib/tftpboot  /mnt/nfs/var/lib/tftpboot  nfs  rw,vers=3,auto,nosharecache,context="system_u:object_r:tftpdir_rw_t:s0"  0 0

   Copy to Clipboard Toggle word wrap

3. 挂载 NFS 共享：

   # mount /mnt/nfs/var/lib/tftpboot/

   Copy to Clipboard Toggle word wrap

4. 将 Satellite 服务器或 Capsule 服务器配置为使用 TFTP 服务器：

   # satellite-installer \
   --foreman-proxy-tftp true \
   --foreman-proxy-managed false \
   --foreman-proxy-tftp-root /mnt/nfs/var/lib/tftpboot \
   --foreman-proxy-tftp-servername tftp_server_fqdn

   Copy to Clipboard Toggle word wrap
5. 对于每个受影响的胶囊，在卫星 Web UI 中更新该胶囊的配置。如需更多信息，请参阅 第 3.3 节 “将 TFTP 服务与子网关联”。