第 32 章 使用 Ansible playbook 安装身份管理副本

流程

1. 打开清单文件进行编辑。指定主机的完全限定域名(FQDN)来成为 IdM 副本。FQDN 必须是有效的 DNS 名称：

   • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。

   • 主机名必须都是小写。

     仅定义副本 FQDN 的简单清单主机文件示例

     [ipareplicas]
     replica1.idm.example.com
     replica2.idm.example.com
     replica3.idm.example.com
     [...]

     如果 IdM 服务器已经部署，且在 IdM DNS 区中正确设置了 SRV 记录，那么脚本会自动发现所有其他必需的值。

2. 可选：根据您设计拓扑的方式在清单文件中提供额外的信息：

   场景 1

   如果要避免自动发现，并且使 [ipareplicas] 部分中列出的所有副本都使用特定的 IdM 服务器，请在清单文件的 [ipaservers] 部分中设置服务器。

   带有 IdM 服务器 FQDN 和定义的副本的清单主机文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]

   场景 2

   或者，如果您想避免自动发现，但希望使用特定的服务器来部署特定副本，请分别在清单文件的 [ipareplicas] 部分中为特定副本设置服务器。

   为特定副本定义了特定 IdM 服务器的清单文件示例

   [ipaservers]
   server.idm.example.com
   replica1.idm.example.com
   
   [ipareplicas]
   replica2.idm.example.com
   replica3.idm.example.com ipareplica_servers=replica1.idm.example.com

   在上例中，replica3.idm.example.com 使用已部署的 replica1.idm.example.com 作为其复制源。

   场景 3

   如果您在一个批处理中部署多个副本，并且时间是您关心的问题，那么多层副本部署可能对您很有用。在清单文件中定义特定的副本组，如 [ipareplicas_tier1] 和 [ipareplicas_tier2]，并在 install-replica.yml playbook 中为每个组设计单独的 play。

   定义了副本层的清单文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas_tier1]
   replica1.idm.example.com
   
   [ipareplicas_tier2]
   replica2.idm.example.com \ ipareplica_servers=replica1.idm.example.com,server.idm.example.com

   将使用 ipareplica_servers 中的第一个条目。第二个条目将用作回退选项。在使用多个层来部署 IdM 副本时，您必须在 playbook 中有单独的任务来首先从 tier1 部署副本，然后从 tier2 部署副本。

   为不同副本组使用不同 play 的 playbook 文件示例

   ---
   - name: Playbook to configure IPA replicas (tier1)
     hosts: ipareplicas_tier1
     become: true
   
     roles:
     - role: ipareplica
       state: present
   
   - name: Playbook to configure IPA replicas (tier2)
     hosts: ipareplicas_tier2
     become: true
   
     roles:
     - role: ipareplica
       state: present

3. 可选：提供有关 firewalld 和 DNS 的更多信息：

   场景 1

   如果您希望副本使用指定的 firewalld 区，如内部区，您可以在清单文件中指定它。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区域中。预定义的默认区域是 public。

   重要

   指定的 firewalld 区域必须存在，并且是永久的。

   带有自定义 firewalld 区域的简单清单主机文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]
   
   [ipareplicas:vars]
   ipareplica_firewalld_zone=custom zone

   场景 2

   如果您希望副本托管 IdM DNS 服务，请将 ipareplica_setup_dns=true 行添加到 [ipareplicas:vars] 部分。另外，请指定您是否要使用每服务器 DNS 转发器：

   • 要配置每服务器转发器，请将 ipareplica_forwarders 变量和字符串列表添加到 [ipareplicas:vars] 部分，例如：ipareplica_forwarders=192.0.2.1,192.0.2.2
   • 若要配置无每服务器转发器，请将以下行添加到 [ipareplicas:vars] 部分： ipareplica_no_forwarders=true。
   • 要根据副本的 /etc/resolv.conf 文件中列出的转发器配置每服务器转发器，请将 ipareplica_auto_forwarders 变量添加到 [ipareplicas:vars] 部分。

   带有在副本上设置 DNS 和每个服务器转发器的指令的清单文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]
   
   [ipareplicas:vars]
   ipareplica_setup_dns=true
   ipareplica_forwarders=192.0.2.1,192.0.2.2

   场景 3

   使用 ipaclient_configure_dns_resolve 和 ipaclient_dns_servers 选项（如果可用的话）指定 DNS 解析器，来简化集群部署。这在您的 IdM 部署使用集成的 DNS 时特别有用：

   指定 DNS 解析器的清单文件片段：

   [...]
   [ipaclient:vars]
   ipaclient_configure_dns_resolver=true
   ipaclient_dns_servers=192.168.100.1

   注意

   ipaclient_dns_servers 列表必须仅包含 IP 地址。主机名不允许。