第 58 章 管理复制拓扑
本章论述了如何管理身份管理(IdM)域中服务器之间的复制。
其它资源
58.1. 解释复制协议、拓扑后缀和拓扑片段
当您创建副本时,身份管理(IdM)会在初始服务器和副本之间创建一个复制协议。然后,复制的数据会存储在拓扑后缀中,当两个副本在它们的后缀之间有复制协议时,后缀会形成一个拓扑段。在以下部分中更为详细地解释了这些概念:
58.1.1. IdM 副本之间的复制协议
当管理员基于现有服务器创建副本时,身份管理 (IdM) 会在初始服务器和副本之间创建复制协议。复制协议确保两个服务器之间不断复制数据和配置。
IdM 使用多读/写副本复制。在这种配置中,所有副本都加入到复制协议中接收并提供更新,因此被视为供应商和消费者。复制协议始终是强制的。
图 58.1. 服务器和副本协议
![包含两组复制协议的两台服务器:一个数据复制协议,与目录服务器数据库相关联,以及一个与其证书系统数据相关的证书复制协议](https://access.redhat.com/webassets/avalon/d/Red_Hat_Enterprise_Linux-8-Configuring_and_managing_Identity_Management-zh-CN/images/d06b1dd2052f1e330862ea59ba3cf9db/64_RHEL_IdM_0120_2.1.png)
IdM 使用两种复制协议:
- 域复制协议
- 这些协议复制身份信息。
- 证书复制协议
- 这些协议复制证书信息。
两个复制频道都是独立的。两个服务器可以有一类或两种类型的复制协议。例如,当服务器 A 和服务器 B 仅配置了域复制协议时,它们之间仅复制身份信息,而不复制证书信息。
58.1.2. 拓扑后缀
拓扑后缀 存储复制的数据。IdM 支持两种类型的拓扑后缀:domain
和 ca
。每个后缀代表一个单独的服务器,即一个单独的复制拓扑。
配置复制协议时,它会在两个不同的服务器上加入同一类型的两个拓扑后缀。
域
后缀:dc=示例,dc=com域
后缀包含与域相关的所有数据。当两个副本在其
域
后缀之间具有复制协议时,它们共享目录数据,如用户、组和策略。ca
后缀:o=ipacaca
后缀包含证书系统组件的数据。它仅存在于安装有证书颁发机构 (CA) 的服务器上。当两个副本在其
ca
后缀之间具有复制协议时,它们会共享证书数据。
图 58.2. 拓扑后缀
![拓扑后缀](https://access.redhat.com/webassets/avalon/d/Red_Hat_Enterprise_Linux-8-Configuring_and_managing_Identity_Management-zh-CN/images/fa33c5d5e4147da3c6802434b88b38ee/topology_suffix.png)
在安装新副本时,ipa- replica-install
脚本会在两个服务器之间设置初始拓扑复制协议。
例 58.1. 查看拓扑后缀
ipa topologysuffix-find
命令显示拓扑后缀列表:
$ ipa topologysuffix-find --------------------------- 2 topology suffixes matched --------------------------- Suffix name: ca Managed LDAP suffix DN: o=ipaca Suffix name: domain Managed LDAP suffix DN: dc=example,dc=com ---------------------------- Number of entries returned 2 ----------------------------
58.1.3. 拓扑片段
当两个副本在其后缀之间具有复制协议时,后缀组成一个 拓扑片段。每个拓扑段由一个 左节点和一个 右节点 组成。节点代表复制协议中加入的服务器。
IdM 中的拓扑片段始终是双向的。每个部分代表两种复制协议:从服务器 A 到服务器 B,从服务器 B 复制到服务器 A。因此数据会同时复制到服务器 A。
图 58.3. 拓扑片段
![拓扑片段](https://access.redhat.com/webassets/avalon/d/Red_Hat_Enterprise_Linux-8-Configuring_and_managing_Identity_Management-zh-CN/images/9148063b300b50cc2a573ed8067a83d4/topology_segment.png)
例 58.2. 查看拓扑片段
ipa topologysegment-find
命令显示为域或 CA 后缀配置的当前拓扑片段。例如,对于域后缀:
$ ipa topologysegment-find Suffix name: domain ----------------- 1 segment matched ----------------- Segment name: server1.example.com-to-server2.example.com Left node: server1.example.com Right node: server2.example.com Connectivity: both ---------------------------- Number of entries returned 1 ----------------------------
在本例中,域相关数据仅在两个服务器之间复制:server1.example.com
和 server2.example.com
。
要只显示特定片段的详情,请使用 ipa topologysegment-show
命令:
$ ipa topologysegment-show Suffix name: domain Segment name: server1.example.com-to-server2.example.com Segment name: server1.example.com-to-server2.example.com Left node: server1.example.com Right node: server2.example.com Connectivity: both