5.4. 使用外部 IdM DNS 配置 Satellite 服务器

在 IdM 服务器上创建 Kerberos 主体

1. 获取从 IdM 管理员获取的帐户的 Kerberos ticket：

   # kinit idm_user

   Copy to Clipboard Toggle word wrap

2. 为 Satellite 服务器创建一个新的 Kerberos 主体，用于在 IdM 服务器中进行身份验证。

   # ipa service-add satellite.example.com

   Copy to Clipboard Toggle word wrap

安装和配置 IdM 客户端

1. 在管理用于部署的 DNS 服务的 Satellite 或 Capsule 的基础操作系统上，安装 ipa-client 软件包：

   # satellite-maintain packages install ipa-client

   Copy to Clipboard Toggle word wrap

2. 运行安装脚本并根据屏幕提示配置 IdM 客户端：

   # ipa-client-install

   Copy to Clipboard Toggle word wrap

3. 获取Kerberos ticket：

   # kinit admin

   Copy to Clipboard Toggle word wrap

4. 删除任何已存在的 keytab ：

   # rm /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

5. 获取此系统的 keytab ：

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -s idm1.example.com -k /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap
   注意

   当将 keytab 添加到与服务中原始系统相同的主机名的备用系统中时，添加 r 选项以防止生成新凭证，并在原始系统上渲染凭证无效。

6. 对于 dns.keytab 文件，将 group 和 owner 设置为 foreman-proxy ：

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

   Copy to Clipboard Toggle word wrap

7. 可选： 要验证 keytab 文件是否有效，请输入以下命令：

   # kinit -kt /etc/foreman-proxy/dns.keytab \
   capsule/satellite.example.com@EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

在 IdM Web UI 中配置 DNS 区域

1. 创建并配置您要管理的区域：

   1. 进入 Network Services > DNS > DNS Zones。
   2. 选择 Add 并输入区域名称。例如： example.com。
   3. 点 Add and Edit。

   4. 点 Settings 标签页并在 BIND 更新策略 框中，在分号分开的列表中添加以下内容：

      grant capsule/047satellite.example.com@EXAMPLE.COM wildcard * ANY;

      Copy to Clipboard Toggle word wrap
   5. 将 Dynamic update 设置为 True。
   6. 启用 Allow PTR 同步。
   7. 点 Save 保存更改。

2. 创建并配置反向区：

   1. 进入 Network Services > DNS > DNS Zones。
   2. 点 Add。
   3. 选择 Reverse zone IP 网络 并使用 CIDR 格式添加网络地址以启用反向查找。
   4. 点 Add and Edit。

   5. 点 Settings 标签页并在 BIND 更新策略 框中，在分号分开的列表中添加以下内容：

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

      Copy to Clipboard Toggle word wrap
   6. 将 Dynamic update 设置为 True。
   7. 点 Save 保存更改。

配置为域管理 DNS 服务的 Satellite 或 Capsule Server

1. 使用 satellite-installer 命令配置管理域的 DNS 服务的 Satellite 或 Capsule:

   • 在 Satellite 上，输入以下命令：

     satellite-installer --scenario satellite \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=true \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-reverse="55.168.192.in-addr.arpa" \
     --foreman-proxy-dns-zone=example.com \
     --foreman-proxy-dns-ttl=86400

     Copy to Clipboard Toggle word wrap

   • 在 Capsule 上，输入以下命令：

     satellite-installer --scenario capsule \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=true \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-reverse="55.168.192.in-addr.arpa" \
     --foreman-proxy-dns-zone=example.com \
     --foreman-proxy-dns-ttl=86400

     Copy to Clipboard Toggle word wrap

2. 重启 Satellite 或 Capsule 的代理服务。

   # systemctl restart foreman-proxy

   Copy to Clipboard Toggle word wrap

在 Satellite Web UI 中更新配置

1. 导航到 Infrastructure > Capsules，找到 Satellite Server，然后从 Actions 列的列表中，选择 Refresh。

2. 配置域：

   1. 进入 Infrastructure > Domains 并选择域名。
   2. 在 Domain 选项卡中，确保 DNS Capsule 设置为连接子网的胶囊。

3. 配置子网：

   1. 进入 Infrastructure > Subnets 并选择子网名称。
   2. 在 Subnet 选项卡中，将 IPAM 设置为 None。
   3. 在 Domains 选项卡中，选择您要使用 IdM 服务器管理的域。
   4. 在 Capsules 选项卡中，确保将 Reverse DNS Capsule 设置为连接子网的胶囊。
   5. 点 Submit 保存更改。