8.5. 置备主机的外部身份验证

过程 8.7. 为 IdM Realm 支持配置 Satellite 服务器或 Capsule 服务器：

1. 在 Satellite 服务器或 Capsule 服务器中安装以下软件包：

   # yum install ipa-client foreman-proxy ipa-admintools

   Copy to Clipboard Toggle word wrap
2. 将 Satellite 服务器（或 Capsule 服务器）配置为 IdM 客户端：

   # ipa-client-install

   Copy to Clipboard Toggle word wrap
3. 在 Satellite 服务器或 Capsule 服务器上的 Red Hat Identity Management 中创建一个 realm-capsule 用户以及相关角色：

   # foreman-prepare-realm admin realm-capsule

   Copy to Clipboard Toggle word wrap
   运行 foreman-prepare-realm 将准备一个 IdM 服务器，以用于胶囊服务器。它创建一个带有 Satellite 所需的权限的专用角色，创建具有该角色的用户并检索 keytab 文件。在这一步中，您将需要您的身份管理服务器配置详情。
   如果命令成功执行，您应该可以看到以下命令输出：

   Keytab successfully retrieved and stored in: freeipa.keytab
   Realm Proxy User:    realm-capsule
   Realm Proxy Keytab:  /root/freeipa.keytab
   

   Copy to Clipboard Toggle word wrap
   注意
   要为具有相同主体和域的 IdM Realm 支持配置 Satellite 服务器和至少一个外部胶囊服务器，您必须在运行 foreman-prepare-realm 脚本后将 /root/freeipa.keytab 文件复制到所有之前加入的 Capsule 服务器。

   # scp /root/freeipa.keytab your_username@capsule.example.com:/etc/foreman-proxy/freeipa.keytab

   Copy to Clipboard Toggle word wrap
4. 将 /root/freeipa.keytab 移到 /etc/foreman-proxy 目录，并将所有权设置设置为用户 foreman-proxy ：

   # mv /root/freeipa.keytab /etc/foreman-proxy
   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/freeipa.keytab
   

   Copy to Clipboard Toggle word wrap
5. 根据您是否使用 Satellite 服务器或 Capsule 服务器来配置域：
   • 如果您在 Satellite 服务器中使用集成胶囊服务器，请使用 satellite-installer 配置域：

     # satellite-installer --foreman-proxy-realm true \
     --foreman-proxy-realm-keytab /etc/foreman-proxy/freeipa.keytab \
     --foreman-proxy-realm-principal 'realm-capsule@EXAMPLE.COM' \
     --foreman-proxy-realm-provider freeipa
     

     Copy to Clipboard Toggle word wrap
     注意
     您也可以在首次配置 Red Hat Satellite Server 时运行这些选项。
   • 如果您使用独立的 Capsule 服务器，请使用 satellite-installer --scenario-capsule 来配置域：

     # satellite-installer --scenario-capsule --realm true \
     --realm-keytab /etc/foreman-proxy/freeipa.keytab \
     --realm-principal 'realm-capsule@EXAMPLE.COM' \
     --realm-provider freeipa
     

     Copy to Clipboard Toggle word wrap
6. 确保安装了 ca-certificates 软件包的最更新版本，并信任 IdM 证书颁发机构：

   # cp /etc/ipa/ca.crt /etc/pki/ca-trust/source/anchors/ipa.crt
   # update-ca-trust enable
   # update-ca-trust
   

   Copy to Clipboard Toggle word wrap
7. （可选）如果您要在现有 Satellite 服务器或 Capsule 服务器中配置 IdM，应该执行以下步骤以确保配置更改生效：
   1. 重启 foreman-proxy 服务：

      # service foreman-proxy restart

      Copy to Clipboard Toggle word wrap
   2. 登录卫星服务器，再单击 Infrastructure Capsules。
   3. 单击您为 IdM 配置的胶囊服务器右侧的下拉菜单，然后选择 Refresh Features。
8. 最后，在 Satellite 服务器用户界面中创建一个新的域条目：
   1. 单击主页面右侧的 Infrastructure Realms 和，单击 New Realm。
   2. 在以下子选项卡中填写字段：
      1. 在 Realm 子选项卡上，提供 realm 名称、要使用的域的类型以及 realm 代理。
      2. 在 Locations 子选项卡上，选择新域要使用的位置。
      3. 在 组织 子选项卡上，选择用于新域的组织。
   3. 单击 Submit。

过程 8.8. 要将主机添加到 IdM 主机组：

1. 在 IdM 服务器上，创建一个主机组：

   # ipa hostgroup-add hostgroup_name
   Description: hostgroup_description
   ----------------------------
   Added hostgroup "hostgroup_name"
   ----------------------------
   Host-group: hostgroup_name
   Description: hostgroup_description

   Copy to Clipboard Toggle word wrap
   其中：
   1. hostgroup_name 是主机组的名称。
   2. hostgroup_description 是主机组的描述。
2. 创建自动成员规则：

   # ipa automember-add --type=hostgroup automember_rule
   ----------------------------------
   Added automember rule "automember_rule"
   ----------------------------------
   Automember Rule: automember_rule

   Copy to Clipboard Toggle word wrap
   其中：
   1. automember-add 将组标记为自动成员组。
   2. --type=hostgroup 标识目标组是主机组，而不是用户组。
   3. automember_rule 是您要通过以下方法识别自动成员规则的名称。
3. 根据 userclass 属性定义自动成员条件：

   # ipa automember-add-condition --key=userclass --type=hostgroup --inclusive-regex=^webserver hostgroup_name
   ----------------------------------
   Added condition(s) to "hostgroup_name"
   ----------------------------------
   Automember Rule: automember_rule
   Inclusive Regex: userclass=^webserver
   ----------------------------
   Number of conditions added 1
   ----------------------------
   

   Copy to Clipboard Toggle word wrap
   其中：
   1. automember-add-condition 允许您添加正则表达式条件来识别组成员。
   2. --key=userclass 将 key 属性指定为 userclass。
   3. --type=hostgroup 标识目标组是主机组，而不是用户组。
   4. --inclusive-regex=^webserver 是一个正则表达式模式，用于识别匹配值。
   5. hostgroup_name 是目标主机组的名称。