从连接的网络安装卫星服务器

流程

1. 输入以下命令以及您要使用的任何附加选项：

   # satellite-installer --scenario satellite \
   --foreman-initial-organization "initial_organization_name" \
   --foreman-initial-location "initial_location_name" \
   --foreman-initial-admin-username admin_user_name \
   --foreman-initial-admin-password admin_password

   Copy to Clipboard Toggle word wrap

   这个脚本会显示其进度，并将日志写入 /var/log/foreman-installer/satellite.log。

流程

1. 将默认回答文件 /etc/foreman-installer/scenarios.d/satellite-answers.yaml 复制到本地文件系统中的位置。

   # cp /etc/foreman-installer/scenarios.d/satellite-answers.yaml \
   /etc/foreman-installer/scenarios.d/my-answer-file.yaml

   Copy to Clipboard Toggle word wrap
2. 要查看所有可配置的选项，请输入 satellite-installer --scenario satellite --help 命令。
3. 打开回答文件的副本，编辑值以适应您的环境，并保存文件。

4. 打开 /etc/foreman-installer/scenarios.d/satellite.yaml 文件，并编辑回答文件以指向您的自定义回答文件。

   :answer_file: /etc/foreman-installer/scenarios.d/my-answer-file.yaml

   Copy to Clipboard Toggle word wrap

5. 运行 satellite-installer 脚本。

   # satellite-installer --scenario satellite

   Copy to Clipboard Toggle word wrap

流程

1. 在 Satellite Web UI 中，导航到 Infrastructure > HTTP Proxies。
2. 单击 New HTTP Proxy。
3. 在 Name 字段中输入 HTTP 代理的名称。
4. 在 Url 字段中，以下列格式输入 HTTP 代理的 URL： https://proxy.example.com:8080。
5. 可选：如果需要身份验证，在 Username 字段中输入用户名以进行身份验证。
6. 可选： 如果需要身份验证，在 Password 字段中输入密码以进行身份验证。
7. 要测试与代理的连接，请单击 Test Connection 按钮。
8. 点 Submit。
9. 导航到 Administer > Settings，然后点 Content 选项卡。
10. 将 Default HTTP Proxy 设置设置为创建的 HTTP 代理。

对于 CLI 用户

1. 验证 http_proxy、https_proxy 和 no_proxy 变量是否未设置。

   # unset http_proxy
   # unset https_proxy
   # unset no_proxy

   Copy to Clipboard Toggle word wrap

2. 在 Satellite 中添加 HTTP 代理条目：

   # hammer http-proxy create --name=myproxy \
   --url http://myproxy.example.com:8080  \
   --username=proxy_username \
   --password=proxy_password

   Copy to Clipboard Toggle word wrap

3. 将 Satellite 配置为默认使用此 HTTP 代理：

   # hammer settings set --name=content_default_http_proxy --value=myproxy

   Copy to Clipboard Toggle word wrap

流程

1. 在网络网关和 HTTP 代理中，为以下主机名启用 TCP：

   Expand

   主机名	端口	协议
   subscription.rhsm.redhat.com	443	HTTPS
   cdn.redhat.com	443	HTTPS
   *.akamaiedge.net	443	HTTPS
   cert-api.access.redhat.com（如果使用 Red Hat Insights）	443	HTTPS
   api.access.redhat.com（如果使用 Red Hat Insights）	443	HTTPS

   Show more

   Satellite 服务器使用 SSL 来安全地与红帽 CDN 通信。使用 SSL 拦截器会干扰这个通信。这些主机必须在代理上列入白名单。

   如需红帽 CDN(cdn.redhat.com)使用的 IP 地址列表，请参阅红帽客户门户网站中 红帽公共 CIDR 列表 文章。

2. 在控制台中，在 /etc/rhsm/rhsm.conf 文件中完成以下详情：

   # an http proxy server to use (enter server FQDN)
   proxy_hostname = myproxy.example.com
   
   # port for http proxy server
   proxy_port = 8080
   
   # user name for authenticating to an http proxy, if needed
   proxy_user =
   
   # password for basic http proxy auth, if needed
   proxy_password =

   Copy to Clipboard Toggle word wrap

流程

1. 在 Satellite 中，要验证 SELinux 为 HTTP 缓存允许的端口，请输入以下命令：

   # semanage port -l | grep http_cache
   http_cache_port_t       tcp    8080, 8118, 8123, 10001-10010
   [output truncated]

   Copy to Clipboard Toggle word wrap

2. 要将 SELinux 配置为允许 HTTP 缓存的端口，如 8088，请输入以下命令：

   # semanage port -a -t http_cache_port_t -p tcp 8088

   Copy to Clipboard Toggle word wrap

流程

1. 在 Satellite Web UI 中，导航到 Administer > Settings。
2. 在 HTTP(S)代理 行中，选择相邻的 Value 列并输入代理 URL。
3. 点 tick 图标保存您的更改。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Settings。
2. 在 HTTP(S)代理中，选择主机行，选择相邻的 Value 列，并输入您要从代理请求中排除的一个或多个主机的名称。
3. 点 tick 图标保存您的更改。

流程

1. 导航到 Administer > Settings，然后点 Content 选项卡。
2. 将 Default HTTP Proxy 设置设置为 no global default。

1. 要存储所有源证书文件，请创建一个仅可供 root 用户访问的目录。

   # mkdir /root/satellite_cert

   Copy to Clipboard Toggle word wrap

2. 创建为证书签名请求(CSR)签名的私钥。

   请注意，私钥必须未加密的。如果您使用受密码保护的私钥，请删除私钥密码。

   如果您已拥有此卫星服务器的私钥，请跳过这一步。

   # openssl genrsa -out /root/satellite_cert/satellite_cert_key.pem 4096

   Copy to Clipboard Toggle word wrap

3. 为证书签名请求(CSR)创建 /root/satellite_cert/openssl.cnf 配置文件并包含以下内容：

   [ req ]
   req_extensions = v3_req
   distinguished_name = req_distinguished_name
   x509_extensions = usr_cert
   prompt = no
   
   [ req_distinguished_name ] 

   1

   
   C  = Country Name (2 letter code)
   ST = State or Province Name (full name)
   L  = Locality Name (eg, city)
   O  = Organization Name (eg, company)
   OU = The division of your organization handling the certificate
   CN = satellite.example.com 

   2

   
   
   [ v3_req ]
   basicConstraints = CA:FALSE
   keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   subjectAltName = @alt_names
   
   [ usr_cert ]
   basicConstraints=CA:FALSE
   nsCertType = client, server, email
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   nsComment = "OpenSSL Generated Certificate"
   subjectKeyIdentifier=hash
   authorityKeyIdentifier=keyid,issuer
   
   [ alt_names ]
   DNS.1 = satellite.example.com 

   3

   Copy to Clipboard Toggle word wrap

   1

   在 [ req_distinguished_name ] 部分，输入您的机构信息。

   2

   将证书的 Common Name CN 设置为与 Satellite 服务器的完全限定域名(FQDN)匹配。要确认该服务器上的 FQDN，请输入 hostname -f 命令。这需要确保 katello-certs-check 命令正确验证证书。

   3

   将 Subject Alternative Name(SAN) DNS.1 设置为与服务器的完全限定域名(FQDN)匹配。

4. 生成证书签名请求(CSR)：

   # openssl req -new \
   -key /root/satellite_cert/satellite_cert_key.pem \ 

   1

   
   -config /root/satellite_cert/openssl.cnf \ 

   2

   
   -out /root/satellite_cert/satellite_cert_csr.pem 

   3

   Copy to Clipboard Toggle word wrap

   1

   私钥路径。

   2

   配置文件的路径。

   3

   要生成的 CSR 的路径。

5. 将证书签名请求发送到证书颁发机构。相同的证书颁发机构必须签署卫星服务器和胶囊服务器的证书。

   提交请求时，指定证书的寿命。发送证书请求的方法各不相同，因此请查阅证书颁发机构以获取首选方法。为了响应请求，预计可以在单独的文件中接收证书颁发机构捆绑包和签名证书。

1. 验证自定义 SSL 证书输入文件。请注意，对于 katello-certs-check 命令可以正常工作，证书中的 Common Name(CN)必须与卫星服务器的 FQDN 匹配。

   # katello-certs-check \
   -c /root/satellite_cert/satellite_cert.pem \      

   1

   
   -k /root/satellite_cert/satellite_cert_key.pem \  

   2

   
   -b /root/satellite_cert/ca_cert_bundle.pem        

   3

   Copy to Clipboard Toggle word wrap

   1

   由证书颁发机构签名的 Satellite 服务器证书文件的路径。

   2

   用于为胶囊服务器证书签名的私钥的路径。

   3

   证书颁发机构捆绑包的路径。

   如果命令成功，它将返回两个 satellite-installer 命令，其中一个必须使用它来将证书部署到卫星服务器。

   katello-certs-check输出示例

   Validation succeeded.
   
   To install the Red Hat Satellite Server with the custom certificates, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem"
   
   To update the certificates on a currently running Red Hat Satellite installation, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem" \
       --certs-update-server --certs-update-server-ca

   Copy to Clipboard Toggle word wrap

2. 在 katello-certs-check 命令的输出中，根据您的要求，输入 satellite-installer 命令，该命令使用自定义 SSL 证书在当前正在运行的 Satellite 上安装新 Satellite 或更新证书。

   如果您不确定要运行的命令，您可以通过检查文件 /etc/foreman-installer/scenarios.d/.installed 来验证是否安装了 Satellite。如果文件存在，请运行更新证书的第二个 satellite-installer 命令。

   重要

   不要在部署证书后删除证书归档文件。例如，升级卫星服务器时需要它。

3. 在可访问卫星服务器的计算机中，导航到以下 URL: https://satellite.example.com。
4. 在浏览器中，查看证书详情以验证部署的证书。

流程

1. 使用 将 Satellite Infrastructure 订阅附加到服务器中的说明。

2. 禁用所有软件仓库并只启用以下软件仓库：

   # subscription-manager repos --disable '*'
   # subscription-manager repos --enable=rhel-server-rhscl-7-rpms \
   --enable=rhel-7-server-rpms --enable=rhel-7-server-satellite-6.9-rpms

   Copy to Clipboard Toggle word wrap

流程

1. 要安装 MongoDB，请输入以下命令：

   # yum install rh-mongodb34 rh-mongodb34-syspaths

   Copy to Clipboard Toggle word wrap

2. 启动并启用 rh-mongodb34 服务：

   # systemctl start rh-mongodb34-mongod
   # systemctl enable rh-mongodb34-mongod

   Copy to Clipboard Toggle word wrap

3. 在 MongoDB 上为数据库 pulp_database 创建 Pulp 用户：

   # mongo pulp_database \
   --eval "db.createUser({user:'pulp',pwd:'pulp_password',roles:[{role:'dbOwner', db:'pulp_database'},{ role: 'readWrite', db: 'pulp_database'}]})"

   Copy to Clipboard Toggle word wrap

4. 在 /etc/opt/rh/rh-mongodb34/mongod.conf 文件中，指定绑定 IP：

   bindIp: your_mongodb_server_bind_IP,::1

   Copy to Clipboard Toggle word wrap

5. 编辑 /etc/opt/rh/rh-mongodb34/mongod.conf 文件，以便在 security 部分启用身份验证：

   security:
     authorization: enabled

   Copy to Clipboard Toggle word wrap

6. 重启 rh-mongodb34-mongod 服务：

   # systemctl restart rh-mongodb34-mongod

   Copy to Clipboard Toggle word wrap

7. 为 MongoDB 打开端口 27017：

   # firewall-cmd --add-port=27017/tcp
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

8. 从卫星服务器，测试您可以访问数据库。如果连接成功，命令会返回 1。

   # scl enable rh-mongodb34 " mongo --host mongo.example.com \
   -u pulp -p pulp_password --port 27017 --eval 'ping:1' pulp_database"

   Copy to Clipboard Toggle word wrap

流程

1. 要安装 PostgreSQL，请输入以下命令：

   # yum install rh-postgresql12-postgresql-server \
   rh-postgresql12-syspaths \
   rh-postgresql12-postgresql-evr

   Copy to Clipboard Toggle word wrap

2. 要初始化 PostgreSQL，请输入以下命令：

   # postgresql-setup initdb

   Copy to Clipboard Toggle word wrap

3. 编辑 /var/opt/rh-postgresql12/lib/pgsql/data/postgresql.conf 文件：

   # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/postgresql.conf

   Copy to Clipboard Toggle word wrap

4. 删除 # 并编辑 以侦听入站连接：

   listen_addresses = '*'

   Copy to Clipboard Toggle word wrap

5. 编辑 /var/opt/rh-postgresql12/lib/pgsql/data/pg_hba.conf 文件：

   # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/pg_hba.conf

   Copy to Clipboard Toggle word wrap

6. 在文件中添加以下行：

     host  all   all   Satellite_ip/24   md5

   Copy to Clipboard Toggle word wrap

7. 要启动并启用 PostgreSQL 服务，请输入以下命令：

   # systemctl start postgresql
   # systemctl enable postgresql

   Copy to Clipboard Toggle word wrap

8. 打开外部 PostgreSQL 服务器上的 postgresql 端口：

   # firewall-cmd --add-service=postgresql
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

9. 切换到 postgres 用户并启动 PostgreSQL 客户端：

   $ su - postgres -c psql

   Copy to Clipboard Toggle word wrap

10. 创建三个数据库和专用角色：一个用于 Satellite，一个用于 Candlepin，另一个用于 Pulp：

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE USER "pulp" WITH PASSWORD 'Pulpcore_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;
    CREATE DATABASE pulpcore OWNER pulp;

    Copy to Clipboard Toggle word wrap

11. 退出 postgres 用户：

    # \q

    Copy to Clipboard Toggle word wrap

12. 从卫星服务器，测试您可以访问数据库。如果连接成功，命令会返回 1。

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"
    # PGPASSWORD='Pulpcore_Password' psql -h postgres.example.com -p 5432 -U pulpcore -d pulpcore -c "SELECT 1 as ping"

    Copy to Clipboard Toggle word wrap

流程

1. 要为 Satellite 配置外部数据库，请输入以下命令：

   satellite-installer --scenario satellite \
     --foreman-db-host postgres.example.com \
     --foreman-db-password Foreman_Password \
     --foreman-db-database foreman \
     --foreman-db-manage false \
     --katello-candlepin-db-host postgres.example.com \
     --katello-candlepin-db-name candlepin \
     --katello-candlepin-db-password Candlepin_Password \
     --katello-candlepin-manage-db false \
     --foreman-proxy-content-pulpcore-manage-postgresql false \
     --foreman-proxy-content-pulpcore-postgresql-host postgres.example.com \
     --foreman-proxy-content-pulpcore-postgresql-db-name pulpcore \
     --foreman-proxy-content-pulpcore-postgresql-password Pulpcore_Password \
     --katello-pulp-db-username pulp \
     --katello-pulp-db-password pulp_password \
     --katello-pulp-db-seeds mongo.example.com:27017 \
     --katello-pulp-db-name pulp_database

   Copy to Clipboard Toggle word wrap

2. 验证数据库的状态：

   • 对于 PostgreSQL，请输入以下命令：

     # satellite-maintain service status --only postgresql

     Copy to Clipboard Toggle word wrap

   • 对于 MongoDB，请输入以下命令：

     # satellite-maintain service status --only rh-mongodb34-mongod

     Copy to Clipboard Toggle word wrap

流程

1. 在 Red Hat Enterprise Linux Server 服务器中，安装 ISC DHCP Service 和 Berkeley Internet Name Domain(BIND)软件包：

   # yum install dhcp bind

   Copy to Clipboard Toggle word wrap

2. 生成安全令牌：

   # dnssec-keygen -a HMAC-MD5 -b 512 -n HOST omapi_key

   Copy to Clipboard Toggle word wrap

   因此，在当前目录中创建由两个文件组成的密钥对。

3. 从密钥复制 secret 哈希：

   # cat Komapi_key.+*.private |grep ^Key|cut -d ' ' -f2

   Copy to Clipboard Toggle word wrap

4. 编辑所有子网的 dhcpd 配置文件并添加该密钥。以下是一个示例：

   # cat /etc/dhcp/dhcpd.conf
   default-lease-time 604800;
   max-lease-time 2592000;
   log-facility local7;
   
   subnet 192.168.38.0 netmask 255.255.255.0 {
   	range 192.168.38.10 192.168.38.100;
   	option routers 192.168.38.1;
   	option subnet-mask 255.255.255.0;
   	option domain-search "virtual.lan";
   	option domain-name "virtual.lan";
   	option domain-name-servers 8.8.8.8;
   }
   
   omapi-port 7911;
   key omapi_key {
   	algorithm HMAC-MD5;
   	secret "jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw==";
   };
   omapi-key omapi_key;

   Copy to Clipboard Toggle word wrap

   请注意，选项路由器 值是您要用于外部 DHCP 服务的 Satellite 或 Capsule IP 地址。

5. 从其在其中创建的目录中删除这两个密钥文件。

6. 在卫星服务器上，定义每个子网。暂时不要为定义的子网设置 DHCP Capsule。

   要防止冲突，请单独设置租期和保留范围。例如，如果租期范围是 192.168.38.10 到 192.168.38.100，在 Satellite Web UI 中将保留范围定义为 192.168.38.101 到 192.168.38.250。

7. 配置防火墙以从外部访问 DHCP 服务器：

   # firewall-cmd --add-service dhcp \
   && firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

8. 在卫星服务器上，确定 foreman 用户的 UID 和 GID：

   # id -u foreman
   993
   # id -g foreman
   990

   Copy to Clipboard Toggle word wrap

9. 在 DHCP 服务器中，创建 foreman 用户和组，其 ID 与上一步中确定的 ID 相同：

   # groupadd -g 990 foreman
   # useradd -u 993 -g 990 -s /sbin/nologin foreman

   Copy to Clipboard Toggle word wrap

10. 要确保配置文件可以访问，请恢复读和执行标志：

    # chmod o+rx /etc/dhcp/
    # chmod o+r /etc/dhcp/dhcpd.conf
    # chattr +i /etc/dhcp/ /etc/dhcp/dhcpd.conf

    Copy to Clipboard Toggle word wrap

11. 启动 DHCP 服务：

    # systemctl start dhcpd

    Copy to Clipboard Toggle word wrap

12. 使用 NFS 导出 DHCP 配置和租期文件：

    # yum install nfs-utils
    # systemctl enable rpcbind nfs-server
    # systemctl start rpcbind nfs-server nfs-lock nfs-idmapd

    Copy to Clipboard Toggle word wrap

13. 为您要使用 NFS 导出的 DHCP 配置和租期文件创建目录：

    # mkdir -p /exports/var/lib/dhcpd /exports/etc/dhcp

    Copy to Clipboard Toggle word wrap

14. 要为创建的目录创建挂载点，请在 /etc/fstab 文件中添加以下行：

    /var/lib/dhcpd /exports/var/lib/dhcpd none bind,auto 0 0
    /etc/dhcp /exports/etc/dhcp none bind,auto 0 0

    Copy to Clipboard Toggle word wrap

15. 在 /etc/fstab 中挂载文件系统：

    # mount -a

    Copy to Clipboard Toggle word wrap

16. 确定 /etc/exports 中存在以下行：

    /exports 192.168.38.1(rw,async,no_root_squash,fsid=0,no_subtree_check)
    
    /exports/etc/dhcp 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)
    
    /exports/var/lib/dhcpd 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)

    Copy to Clipboard Toggle word wrap

    请注意，您输入的 IP 地址是您要用于外部 DHCP 服务的 Satellite 或 Capsule IP 地址。

17. 重新载入 NFS 服务器：

    # exportfs -rva

    Copy to Clipboard Toggle word wrap

18. 配置 DHCP omapi 端口 7911 的防火墙：

    # firewall-cmd --add-port="7911/tcp" \
    && firewall-cmd --runtime-to-permanent

    Copy to Clipboard Toggle word wrap

19. 可选：配置用于从外部访问 NFS 的防火墙。客户端使用 NFSv3 配置。

    # firewall-cmd --zone public --add-service mountd \
    && firewall-cmd --zone public --add-service rpc-bind \
    && firewall-cmd --zone public --add-service nfs \
    && firewall-cmd --runtime-to-permanent

    Copy to Clipboard Toggle word wrap

流程

1. 安装 nfs-utils 工具：

   # yum install nfs-utils

   Copy to Clipboard Toggle word wrap

2. 为 NFS 创建 DHCP 目录：

   # mkdir -p /mnt/nfs/etc/dhcp /mnt/nfs/var/lib/dhcpd

   Copy to Clipboard Toggle word wrap

3. 更改文件所有者：

   # chown -R foreman-proxy /mnt/nfs

   Copy to Clipboard Toggle word wrap

4. 验证与 NFS 服务器和远程过程调用(RPC)通信路径的通信：

   # showmount -e DHCP_Server_FQDN
   # rpcinfo -p DHCP_Server_FQDN

   Copy to Clipboard Toggle word wrap

5. 在 /etc/fstab 文件中添加以下几行：

   DHCP_Server_FQDN:/exports/etc/dhcp /mnt/nfs/etc/dhcp nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcp_etc_t:s0" 0 0
   
   DHCP_Server_FQDN:/exports/var/lib/dhcpd /mnt/nfs/var/lib/dhcpd nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcpd_state_t:s0" 0 0

   Copy to Clipboard Toggle word wrap

6. 在 /etc/fstab 中挂载文件系统：

   # mount -a

   Copy to Clipboard Toggle word wrap

7. 要验证 foreman-proxy 用户可以访问通过网络共享的文件，请显示 DHCP 配置和租期文件：

   # su foreman-proxy -s /bin/bash
   bash-4.2$ cat /mnt/nfs/etc/dhcp/dhcpd.conf
   bash-4.2$ cat /mnt/nfs/var/lib/dhcpd/dhcpd.leases
   bash-4.2$ exit

   Copy to Clipboard Toggle word wrap

8. 输入 satellite-installer 命令，对 /etc/foreman-proxy/settings.d/dhcp.yml 文件进行以下更改：

   # satellite-installer --foreman-proxy-dhcp=true \
   --foreman-proxy-dhcp-provider=remote_isc \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /mnt/nfs/etc/dhcp/dhcpd.conf \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /mnt/nfs/var/lib/dhcpd/dhcpd.leases \
   --foreman-proxy-plugin-dhcp-remote-isc-key-name=omapi_key \
   --foreman-proxy-plugin-dhcp-remote-isc-key-secret=jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw== \
   --foreman-proxy-plugin-dhcp-remote-isc-omapi-port=7911 \
   --enable-foreman-proxy-plugin-dhcp-remote-isc \
   --foreman-proxy-dhcp-server=DHCP_Server_FQDN

   Copy to Clipboard Toggle word wrap

9. 重启 foreman-proxy 服务：

   # systemctl restart foreman-proxy

   Copy to Clipboard Toggle word wrap
10. 登录卫星服务器 Web UI。
11. 导航到 Infrastructure > Capsules，找到 Satellite Server，然后从 Actions 列的列表中，选择 Refresh。
12. 将 DHCP 服务与适当的子网和域关联。

在 IdM 服务器上创建 Kerberos 主体

1. 获取从 IdM 管理员获取的帐户的 Kerberos ticket：

   # kinit idm_user

   Copy to Clipboard Toggle word wrap

2. 为 Satellite 服务器创建一个新的 Kerberos 主体，用于在 IdM 服务器中进行身份验证。

   # ipa service-add satellite.example.com

   Copy to Clipboard Toggle word wrap

安装和配置 IdM 客户端

1. 在管理用于部署的 DNS 服务的 Satellite 或 Capsule 的基础操作系统上，安装 ipa-client 软件包：

   # satellite-maintain packages install ipa-client

   Copy to Clipboard Toggle word wrap

2. 运行安装脚本并根据屏幕提示配置 IdM 客户端：

   # ipa-client-install

   Copy to Clipboard Toggle word wrap

3. 获取Kerberos ticket：

   # kinit admin

   Copy to Clipboard Toggle word wrap

4. 删除任何已存在的 keytab ：

   # rm /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

5. 获取此系统的 keytab ：

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -s idm1.example.com -k /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap
   注意

   当将 keytab 添加到与服务中原始系统相同的主机名的备用系统中时，添加 r 选项以防止生成新凭证，并在原始系统上渲染凭证无效。

6. 对于 dns.keytab 文件，将 group 和 owner 设置为 foreman-proxy ：

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

7. 可选： 要验证 keytab 文件是否有效，请输入以下命令：

   # kinit -kt /etc/foreman-proxy/dns.keytab \
   capsule/satellite.example.com@EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

在 IdM Web UI 中配置 DNS 区域

1. 创建并配置您要管理的区域：

   1. 进入 Network Services > DNS > DNS Zones。
   2. 选择 Add 并输入区域名称。例如： example.com。
   3. 点 Add and Edit。

   4. 点 Settings 标签页并在 BIND 更新策略 框中，在分号分开的列表中添加以下内容：

      grant capsule/047satellite.example.com@EXAMPLE.COM wildcard * ANY;

      Copy to Clipboard Toggle word wrap
   5. 将 Dynamic update 设置为 True。
   6. 启用 Allow PTR 同步。
   7. 点 Save 保存更改。

2. 创建并配置反向区：

   1. 进入 Network Services > DNS > DNS Zones。
   2. 点 Add。
   3. 选择 Reverse zone IP 网络 并使用 CIDR 格式添加网络地址以启用反向查找。
   4. 点 Add and Edit。

   5. 点 Settings 标签页并在 BIND 更新策略 框中，在分号分开的列表中添加以下内容：

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

      Copy to Clipboard Toggle word wrap
   6. 将 Dynamic update 设置为 True。
   7. 点 Save 保存更改。

配置为域管理 DNS 服务的 Satellite 或 Capsule Server

1. 使用 satellite-installer 命令配置管理域的 DNS 服务的 Satellite 或 Capsule:

   • 在 Satellite 上，输入以下命令：

     satellite-installer --scenario satellite \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=true \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-reverse="55.168.192.in-addr.arpa" \
     --foreman-proxy-dns-zone=example.com \
     --foreman-proxy-dns-ttl=86400

     Copy to Clipboard Toggle word wrap

   • 在 Capsule 上，输入以下命令：

     satellite-installer --scenario capsule \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=true \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-reverse="55.168.192.in-addr.arpa" \
     --foreman-proxy-dns-zone=example.com \
     --foreman-proxy-dns-ttl=86400

     Copy to Clipboard Toggle word wrap

2. 重启 Satellite 或 Capsule 的代理服务。

   # systemctl restart foreman-proxy

   Copy to Clipboard Toggle word wrap

在 Satellite Web UI 中更新配置

1. 导航到 Infrastructure > Capsules，找到 Satellite Server，然后从 Actions 列的列表中，选择 Refresh。

2. 配置域：

   1. 进入 Infrastructure > Domains 并选择域名。
   2. 在 Domain 选项卡中，确保 DNS Capsule 设置为连接子网的胶囊。

3. 配置子网：

   1. 进入 Infrastructure > Subnets 并选择子网名称。
   2. 在 Subnet 选项卡中，将 IPAM 设置为 None。
   3. 在 Domains 选项卡中，选择您要使用 IdM 服务器管理的域。
   4. 在 Capsules 选项卡中，确保将 Reverse DNS Capsule 设置为连接子网的胶囊。
   5. 点 Submit 保存更改。

在 IdM 服务器中启用对 DNS 区的外部更新

1. 在 IdM 服务器中，在 /etc/named.conf 文件的顶部添加以下内容：

   ########################################################################
   
   include "/etc/rndc.key";
   controls  {
   inet _IdM_Server_IP_Address_ port 953 allow { _Satellite_IP_Address_; } keys { "rndc-key"; };
   };
   ########################################################################

   Copy to Clipboard Toggle word wrap

2. 重新载入 named 服务以使更改生效：

   # systemctl reload named

   Copy to Clipboard Toggle word wrap

3. 在 IdM web UI 中，进入 Network Services > DNS > DNS Zones 并点区的名称。在 Settings 选项卡中，应用以下更改：

   1. 在 BIND 更新策略 框中添加以下内容：

      grant "rndc-key" zonesub ANY;

      Copy to Clipboard Toggle word wrap
   2. 将 Dynamic update 设置为 True。
   3. 点 Update 保存更改。

4. 将 /etc/rndc.key 文件从 IdM 服务器复制到 Satellite 服务器的基础操作系统。使用以下命令：

   # scp /etc/rndc.key root@satellite.example.com:/etc/rndc.key

   Copy to Clipboard Toggle word wrap

5. 要为 rndc.key 文件设置正确的所有权、权限和 SELinux 上下文，请输入以下命令：

   # restorecon -v /etc/rndc.key
   # chown -v root:named /etc/rndc.key
   # chmod -v 640 /etc/rndc.key

   Copy to Clipboard Toggle word wrap

6. 将 foreman-proxy 用户手动分配给 指定组。通常, satellite-installer 可确保 foreman-proxy 用户属于 命名 UNIX 组，但在这种情形中，卫星不管理用户和组，因此您需要手动将 foreman-proxy 用户分配给指定组。

   # usermod -a -G named foreman-proxy

   Copy to Clipboard Toggle word wrap

7. 在控制台中，输入以下 satellite-installer 命令，将 Satellite 配置为使用外部 DNS 服务器：

   # satellite-installer --scenario satellite \
   --foreman-proxy-dns=true \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="IdM_Server_IP_Address" \
   --foreman-proxy-keyfile=/etc/rndc.key \
   --foreman-proxy-dns-ttl=86400

   Copy to Clipboard Toggle word wrap

将外部更新测试到 IdM 服务器中的 DNS 区

1. 安装 bind-utils 工具：

   # yum install bind-utils

   Copy to Clipboard Toggle word wrap

2. 确保卫星服务器的 /etc/rndc.key 文件中的密钥与 IdM 服务器上的 /etc/rndc.key 文件中的密钥相同：

   key "rndc-key" {
           algorithm hmac-md5;
           secret "secret-key==";
   };

   Copy to Clipboard Toggle word wrap

3. 在卫星服务器上，为主机创建一个测试 DNS 条目。例如，在 IdM 服务器上具有 A 记录 192.168.25.20 的主机 test.example.com，地址为 192.168.25.1。

   # echo -e "server 192.168.25.1\n \
   update add test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

   Copy to Clipboard Toggle word wrap

4. 在 Satellite 服务器中测试 DNS 条目：

   # nslookup test.example.com 192.168.25.1
   Server:		192.168.25.1
   Address:	192.168.25.1#53
   
   Name:	test.example.com
   Address: 192.168.25.20

   Copy to Clipboard Toggle word wrap
5. 要在 IdM web UI 中查看条目，请导航至 Network Services > DNS Zones。点区域的名称，并按名称搜索主机。

6. 如果成功解析，请删除测试 DNS 条目：

   # echo -e "server 192.168.25.1\n \
   update delete test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

   Copy to Clipboard Toggle word wrap

7. 确认 DNS 条目已被删除：

   # nslookup test.example.com 192.168.25.1

   Copy to Clipboard Toggle word wrap

   如果成功删除了记录，上面的 nslookup 命令会失败并返回 SERVFAIL 错误消息。

在 Satellite Web UI 中更新配置

1. 进入 Infrastructure > Capsules。
2. 对于您要更新的每个胶囊，从 Actions 列表中选择 Refresh。

3. 配置域：

   1. 进入 Infrastructure > Domains 并点击您要配置的域名。
   2. 在 Domain 选项卡中，将 DNS Capsule 设置为连接子网的胶囊。

4. 配置子网：

   1. 进入 Infrastructure > Subnets 并选择子网名称。
   2. 在 子网 选项卡中，将 IPAM 设置为 DHCP 或内部数据库。
   3. 在 Domains 选项卡中，选择您要使用 Satellite 或 Capsule 管理的域。
   4. 在 Capsules 选项卡中，将 Reverse DNS Capsule 设置为连接子网的胶囊。
   5. 点 Submit 保存更改。