安装身份管理

步骤

1. 验证 firewalld 服务是否正在运行。

   • 查看 firewalld 当前是否正在运行：

     # systemctl status firewalld.service

   • 启动 firewalld 并将其配置为在系统引导时自动启动：

     # systemctl start firewalld.service
     # systemctl enable firewalld.service

2. 使用 firewall-cmd 工具打开所需的端口。选择以下选项之一：

   1. 使用 firewall-cmd --add-port 命令在防火墙中添加各个端口。例如，要在默认区中打开端口：

      # firewall-cmd --permanent --add-port={80/tcp,443/tcp,389/tcp,636/tcp,88/tcp,88/udp,464/tcp,464/udp,53/tcp,53/udp}

   2. 使用 firewall-cmd --add-service 命令在防火墙中添加 firewalld 服务。例如，要在默认区中打开端口：

      # firewall-cmd --permanent --add-service={freeipa-4,dns}

      有关使用 firewall-cmd 开放系统上端口的详情，请参考 firewall-cmd(1)手册页。

3. 重新载入 firewall-cmd 配置以确保修改立即生效：

   # firewall-cmd --reload

   请注意，在生产环境的系统上重新载入 firewalld 可能会导致 DNS 连接超时。如果需要，为了避免超时的风险并在运行的系统上永久保留修改，请使用 firewall-cmd 命令的 --runtime-to-permanent 选项，例如：

   # firewall-cmd --runtime-to-permanent

流程

1. 可选：显示当前的 umask ：

   # umask
   0027

2. 将 umask 设为 0022 ：

   # umask 0022

3. 可选：在 IdM 安装完成后，将 umask 设置回其原始值：

   # umask 0027

流程

1. 运行 ipa-server-install 工具。

   # ipa-server-install

2. 此脚本提示配置集成的 DNS 服务。输入 yes。

   Do you want to configure integrated DNS (BIND)? [no]: yes

3. 该脚本提示输入一些必需的设置，并在括号中提供推荐的默认值。

   • 要接受默认值，请按 Enter 键。

   • 要提供自定义值，请输入所需的值。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     警告

     仔细规划这些名称。安装完成后您将无法更改它们。

4. 输入目录服务器超级用户(cn=Directory Manager)以及身份管理(IdM)管理系统用户帐户(admin)的密码。

   Directory Manager password:
   IPA admin password:

5. 脚本提示每台服务器的 DNS 转发器。

   Do you want to configure DNS forwarders? [yes]:

   • 要配置每台服务器的 DNS 转发器，请输入 yes，然后按照命令行中的说明操作。安装过程会将转发器 IP 地址添加到 IdM LDAP。

     • 有关正向解析策略的默认设置，请查看 ipa-dns-install(1)手册页中的 --forward-policy 描述。

   • 如果您不想使用 DNS 正向解析，请输入 no。

     如果没有 DNS 转发器，您 IdM 域中的主机将不能解析来自基础架构中其他的、内部的、DNS 域的名称。主机将只剩下公共 DNS 服务器来解析其 DNS 查询。

6. 脚本会提示检查是否需要配置与服务器关联的 IP 地址的任何 DNS 反向(PTR)记录。

   Do you want to search for missing reverse zones? [yes]:

   如果您运行搜索并发现丢失了反向区，脚本会询问您是否创建反向区以及 PTR 记录。

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   注意

   使用 IdM 管理反向区是可选的。您可以改为使用外部 DNS 服务来实现这一目的。

7. 输入 yes 以确认服务器配置。

   Continue to configure the system with these values? [no]: yes

8. 安装脚本现在配置服务器。等待操作完成。

9. 安装脚本完成后，使用以下方法更新您的 DNS 记录：

   1. 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

      重要

      每次安装 IdM DNS 服务器后都会重复这个步骤。

   2. 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

流程

1. 使用选项运行 ipa-server-install 程序来提供所有所需信息。非互动安装的最低所需选项是：

   • --realm 提供 Kerberos 领域名
   • --ds-password 为目录管理者(DM)（目录服务器超级用户）提供密码
   • --admin-password 为 admin（身份管理(IdM)管理员）提供密码
   • --unattended ，让安装进程为主机名和域名选择默认选项

   要安装使用集成 DNS 的服务器，还要添加以下选项：

   • --setup-dns 用于配置集成 DNS
   • --forwarder 或 --no-forwarders，取决于您是否要配置 DNS 正向解析器
   • --auto-reverse 或 --no-reverse，取决于您是否要配置在 IdM DNS 中创建的反向 DNS 区的自动检测，或者不需要反向区自动检测

   例如：

   # ipa-server-install --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended --setup-dns --forwarder 192.0.2.1 --no-reverse

2. 安装脚本完成后，使用以下方法更新您的 DNS 记录：

   1. 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

      重要

      每次安装 IdM DNS 服务器后都会重复这个步骤。

   2. 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

步骤

1. 使用 --external-ca 选项来运行 ipa-server-install 工具。

   # ipa-server-install --external-ca

   • 如果您使用 Microsoft 证书服务(MS CS) CA，也使用 --external-ca-type 选项，可以选择使用 --external-ca-profile 选项：

     [root@server ~]# ipa-server-install --external-ca --external-ca-type=ms-cs --external-ca-profile=<oid>/<name>/default

   • 如果您没有使用 MS CS 为 IdM CA 生成签名证书，则不需要其他选项：

     # ipa-server-install --external-ca

2. 此脚本提示配置集成的 DNS 服务。输入 yes 或 no。在此过程中，我们安装了带有集成 DNS 的服务器。

   Do you want to configure integrated DNS (BIND)? [no]: yes

   注意

   如果您要安装没有集成 DNS 的服务器，安装脚本将不会提示您进行 DNS 配置，如下面步骤所述。如需了解安装没有 DNS 的服务器的步骤的详情，请参阅 第 5 章 安装 IdM 服务器：没有集成的 DNS，只有集成的 CA 作为 root CA。

3. 该脚本提示输入一些必需的设置，并在括号中提供推荐的默认值。

   • 要接受默认值，请按 Enter 键。

   • 要提供自定义值，请输入所需的值。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     警告

     仔细规划这些名称。安装完成后您将无法更改它们。

4. 输入目录服务器超级用户(cn=Directory Manager)以及身份管理(IdM)管理系统用户帐户(admin)的密码。

   Directory Manager password:
   IPA admin password:

5. 脚本提示每台服务器的 DNS 转发器。

   Do you want to configure DNS forwarders? [yes]:

   • 要配置每台服务器的 DNS 转发器，请输入 yes，然后按照命令行中的说明操作。安装过程会将转发器 IP 地址添加到 IdM LDAP。

     • 有关正向解析策略的默认设置，请查看 ipa-dns-install(1)手册页中的 --forward-policy 描述。

   • 如果您不想使用 DNS 正向解析，请输入 no。

     如果没有 DNS 转发器，您 IdM 域中的主机将不能解析来自基础架构中其他的、内部的、DNS 域的名称。主机将只剩下公共 DNS 服务器来解析其 DNS 查询。

6. 脚本会提示检查是否需要配置与服务器关联的 IP 地址的任何 DNS 反向(PTR)记录。

   Do you want to search for missing reverse zones? [yes]:

   如果您运行搜索并发现丢失了反向区，脚本会询问您是否创建反向区以及 PTR 记录。

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   注意

   使用 IdM 管理反向区是可选的。您可以改为使用外部 DNS 服务来实现这一目的。

7. 输入 yes 以确认服务器配置。

   Continue to configure the system with these values? [no]: yes

8. 在证书系统实例配置过程中，该工具会打印证书签名请求(CSR)的位置： /root/ipa.csr:

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   当发生这种情况时：

   1. 将位于 /root/ipa.csr 中的 CSR 提交给外部 CA。这个过程根据要用作外部 CA 的服务的不同而有所不同。

   2. 在基础 64 编码 blob 中检索颁发的证书和颁发 CA 的 CA 证书链（Windows CA 的 PEM 文件或 Base_64 证书）。同样，不同的证书服务的进程会有所不同。通常，网页或通知电子邮件中的下载链接允许管理员下载所有需要的证书。

      重要

      确保获取 CA 的完整证书链，而不只是 CA 证书。

   3. 再次运行 ipa-server-install，这次指定新发布的 CA 证书和 CA 链文件的位置和名称。例如：

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem

9. 安装脚本现在配置服务器。等待操作完成。

10. 安装脚本完成后，使用以下方法更新您的 DNS 记录：

    1. 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

       重要

       每次安装 IdM DNS 服务器后都会重复这个步骤。

    2. 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

1. 使用以下 shell 脚本取消设置 *_proxy 环境变量：

   # for i in ftp http https; do unset ${i}_proxy; done

2. 运行 pkidestroy 工具来删除失败的证书颁发机构(CA)子系统的安装：

   # pkidestroy -s CA -i pki-tomcat; rm -rf /var/log/pki/pki-tomcat /etc/sysconfig/pki-tomcat /etc/sysconfig/pki/tomcat/pki-tomcat /var/lib/pki/pki-tomcat /etc/pki/pki-tomcat /root/ipa.csr

3. 删除失败的身份管理(IdM)服务器的安装：

   # ipa-server-install --uninstall

4. 重新运行 ipa-server-install --external-ca。

步骤

1. 运行 ipa-server-install 工具，并提供所有所需的证书。例如：

   [root@server ~]# ipa-server-install \
       --http-cert-file /tmp/server.crt \
       --http-cert-file /tmp/server.key \
       --http-pin secret \
       --dirsrv-cert-file /tmp/server.crt \
       --dirsrv-cert-file /tmp/server.key \
       --dirsrv-pin secret \
       --ca-cert-file ca.crt

   有关提供的证书的详情，请参阅 安装 IdM 服务器所需的不带 CA 的证书 。

2. 此脚本提示配置集成的 DNS 服务。输入 yes 或 no。在此过程中，我们安装了带有集成 DNS 的服务器。

   Do you want to configure integrated DNS (BIND)? [no]: yes

   注意

   如果您要安装没有集成 DNS 的服务器，安装脚本将不会提示您进行 DNS 配置，如下面步骤所述。请参阅 安装 IdM 服务器：没有集成的 DNS，只有集成 CA 作为 root CA，有关安装没有 DNS 的服务器的步骤。

3. 该脚本提示输入一些必需的设置，并在括号中提供推荐的默认值。

   • 要接受默认值，请按 Enter 键。

   • 要提供自定义值，请输入所需的值。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     警告

     仔细规划这些名称。安装完成后您将无法更改它们。

4. 输入目录服务器超级用户(cn=Directory Manager)以及身份管理(IdM)管理系统用户帐户(admin)的密码。

   Directory Manager password:
   IPA admin password:

5. 脚本提示每台服务器的 DNS 转发器。

   Do you want to configure DNS forwarders? [yes]:

   • 要配置每台服务器的 DNS 转发器，请输入 yes，然后按照命令行中的说明操作。安装过程会将转发器 IP 地址添加到 IdM LDAP。

     • 有关正向解析策略的默认设置，请查看 ipa-dns-install(1)手册页中的 --forward-policy 描述。

   • 如果您不想使用 DNS 正向解析，请输入 no。

     如果没有 DNS 转发器，您 IdM 域中的主机将不能解析来自基础架构中其他的、内部的、DNS 域的名称。主机将只剩下公共 DNS 服务器来解析其 DNS 查询。

6. 脚本会提示检查是否需要配置与服务器关联的 IP 地址的任何 DNS 反向(PTR)记录。

   Do you want to search for missing reverse zones? [yes]:

   如果您运行搜索并发现丢失了反向区，脚本会询问您是否创建反向区以及 PTR 记录。

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   注意

   使用 IdM 管理反向区是可选的。您可以改为使用外部 DNS 服务来实现这一目的。

7. 输入 yes 以确认服务器配置。

   Continue to configure the system with these values? [no]: yes

8. 安装脚本现在配置服务器。等待操作完成。

9. 安装脚本完成后，使用以下方法更新您的 DNS 记录：

   1. 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

      重要

      每次安装 IdM DNS 服务器后都会重复这个步骤。

   2. 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

步骤

1. 运行 ipa-server-install 工具。

   # ipa-server-install

2. 此脚本提示配置集成的 DNS 服务。按 Enter 键选择默认的 no 选项。

   Do you want to configure integrated DNS (BIND)? [no]:

3. 该脚本提示输入一些必需的设置，并在括号中提供推荐的默认值。

   • 要接受默认值，请按 Enter 键。

   • 要提供自定义值，请输入所需的值。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     警告

     仔细规划这些名称。安装完成后您将无法更改它们。

4. 输入目录服务器超级用户(cn=Directory Manager)和 IdM 管理系统用户帐户(admin)的密码。

   Directory Manager password:
   IPA admin password:

5. 该脚本提示输入一些必需的设置，并在括号中提供推荐的默认值。

   • 要接受默认值，请按 Enter 键。

   • 要提供自定义值，请输入所需的值。

     NetBIOS domain name [EXAMPLE]:
     Do you want to configure chrony with NTP server or pool address? [no]:

6. 输入 yes 以确认服务器配置。

   Continue to configure the system with these values? [no]: yes

7. 安装脚本现在配置服务器。等待操作完成。

8. 安装脚本生成包含 DNS 资源记录的文件：下面示例输出中的 /tmp/ipa.system.records.UFRPto.db 文件。将这些记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   重要

   在将 DNS 记录添加到现有 DNS 服务器之前，服务器安装不会完成。

步骤

1. 运行带有选项的 ipa-server-install 工具以提供所有必需的信息。非互动安装的最低所需选项是：

   • --realm 提供 Kerberos 领域名
   • --ds-password 为目录管理者(DM)（目录服务器超级用户）提供密码
   • --admin-password 为 admin （IdM 管理员）提供密码
   • --unattended ，让安装进程为主机名和域名选择默认选项

   例如：

   # ipa-server-install --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

2. 安装脚本生成包含 DNS 资源记录的文件：下面示例输出中的 /tmp/ipa.system.records.UFRPto.db 文件。将这些记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   重要

   在将 DNS 记录添加到现有 DNS 服务器之前，服务器安装不会完成。

步骤

1. 使用 --external-ca 选项来运行 ipa-server-install 工具。

   • 如果您使用 Microsoft 证书服务(MS CS) CA，也使用 --external-ca-type 选项，可以选择使用 --external-ca-profile 选项：

     [root@server ~]# ipa-server-install --external-ca --external-ca-type=ms-cs --external-ca-profile=<oid>/<name>/default

   • 如果您没有使用 MS CS 为 IdM CA 生成签名证书，则不需要其他选项：

     # ipa-server-install --external-ca

2. 此脚本提示配置集成的 DNS 服务。按 Enter 键选择默认的 no 选项。

   Do you want to configure integrated DNS (BIND)? [no]:

3. 该脚本提示输入一些必需的设置，并在括号中提供推荐的默认值。

   • 要接受默认值，请按 Enter 键。

   • 要提供自定义值，请输入所需的值。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     警告

     仔细规划这些名称。安装完成后您将无法更改它们。

4. 输入目录服务器超级用户(cn=Directory Manager)和 IdM 管理系统用户帐户(admin)的密码。

   Directory Manager password:
   IPA admin password:

5. 输入 yes 以确认服务器配置。

   Continue to configure the system with these values? [no]: yes

6. 在证书系统实例配置过程中，该工具会打印证书签名请求(CSR)的位置： /root/ipa.csr:

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   当发生这种情况时：

   1. 将位于 /root/ipa.csr 中的 CSR 提交给外部 CA。这个过程根据要用作外部 CA 的服务的不同而有所不同。

   2. 在基础 64 编码 blob 中检索颁发的证书和颁发 CA 的 CA 证书链（Windows CA 的 PEM 文件或 Base_64 证书）。同样，不同的证书服务的进程会有所不同。通常，网页或通知电子邮件中的下载链接允许管理员下载所有需要的证书。

      重要

      确保获取 CA 的完整证书链，而不只是 CA 证书。

   3. 再次运行 ipa-server-install，这次指定新发布的 CA 证书和 CA 链文件的位置和名称。例如：

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem

7. 安装脚本现在配置服务器。等待操作完成。

8. 安装脚本生成包含 DNS 资源记录的文件：下面示例输出中的 /tmp/ipa.system.records.UFRPto.db 文件。将这些记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   重要

   在将 DNS 记录添加到现有 DNS 服务器之前，服务器安装不会完成。

步骤

1. 运行带有选项的 ipa-server-install 工具以提供所有必需的信息。使用外部 CA 的 IdM 服务器非互动安装的最低必需选项是：

   • --external-ca 用于指定外部 CA 是根CA
   • --realm 提供 Kerberos 领域名
   • --ds-password 为目录管理者(DM)（目录服务器超级用户）提供密码
   • --admin-password 为 admin （IdM 管理员）提供密码

   • --unattended ，让安装进程为主机名和域名选择默认选项

     例如：

     # ipa-server-install --external-ca --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

   如果您使用 Microsoft 证书服务(MS CS) CA，也使用 --external-ca-type 选项，可以选择使用 --external-ca-profile 选项。如需更多信息，请参阅 安装外部 CA 作为根 CA 的 IdM CA 时使用的选项。

2. 在证书系统实例配置过程中，该工具会打印证书签名请求(CSR)的位置： /root/ipa.csr:

   ...
   
   Configuring certificate server (pki-tomcatd). Estimated time: 3 minutes
     [1/11]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /usr/sbin/ipa-server-install as:
   /usr/sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
   The ipa-server-install command was successful

   当发生这种情况时：

   1. 将位于 /root/ipa.csr 中的 CSR 提交给外部 CA。这个过程根据要用作外部 CA 的服务的不同而有所不同。

   2. 在基础 64 编码 blob 中检索颁发的证书和颁发 CA 的 CA 证书链（Windows CA 的 PEM 文件或 Base_64 证书）。同样，不同的证书服务的进程会有所不同。通常，网页或通知电子邮件中的下载链接允许管理员下载所有需要的证书。

      重要

      确保获取 CA 的完整证书链，而不只是 CA 证书。

   3. 再次运行 ipa-server-install，这次指定新发布的 CA 证书和 CA 链文件的位置和名称。例如：

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

3. 安装脚本现在配置服务器。等待操作完成。

4. 安装脚本生成包含 DNS 资源记录的文件：下面示例输出中的 /tmp/ipa.system.records.UFRPto.db 文件。将这些记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

步骤

1. 使用 tail 命令来显示日志文件的最后几行。以下示例显示了 /var/log/ipaserver-install.log 的最后 10 行。

   [user@server ~]$ sudo tail -n 10 /var/log/ipaserver-install.log
   [sudo] password for user:
   value = gen.send(prev_value)
   File "/usr/lib/python3.6/site-packages/ipapython/install/common.py", line 65, in _install
   for unused in self._installer(self.parent):
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/init.py", line 564, in main
   master_install(self)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/install.py", line 291, in decorated
   raise ScriptError()
   
   2020-05-27T22:59:41Z DEBUG The ipa-server-install command failed, exception: ScriptError:
   2020-05-27T22:59:41Z ERROR The ipa-server-install command failed. See /var/log/ipaserver-install.log for more information

2. 要以交互方式查看日志文件，请使用 less 工具打开日志文件的末尾，然后使用↑ 和 ↓ 箭头键来导航。以下示例以交互方式打开 /var/log/ipaserver-install.log 文件。

   [user@server ~]$ sudo less -N +G /var/log/ipaserver-install.log

3. 通过使用剩余的日志文件重复此查看过程来收集额外的故障排除信息。

   [user@server ~]$ sudo less -N +G /var/log/httpd/error_log
   
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors

步骤

1. 要以交互方式查看日志文件，请使用 less 程序打开日志文件的末尾，并在搜索 ScriptError 条目时，使用↑ 和 ↓箭头键来导航。以下示例将打开 /var/log/pki/pki-ca-spawn.$TIME_OF_INSTALLATION.log。

   [user@server ~]$ sudo less -N +G /var/log/pki/pki-ca-spawn.20200527185902.log

2. 通过使用以上列出的所有日志文件重复此查看过程来收集额外的故障排除信息。

步骤

1. 从您要配置为 IdM 服务器的主机中卸载 IdM 服务器软件。

   [root@server ~]# ipa-server-install --uninstall

2. 如果您因为重复安装失败而无法安装 IdM 服务器，请重新安装操作系统。

   安装 IdM 服务器的要求之一是使用一个没有自定义的“干净”系统。失败的安装可能会因为意外修改系统文件而破坏主机的完整性。

步骤

1. 在您要配置为 IdM 客户端的系统中运行 ipa-client-install 工具。

   # ipa-client-install --mkhomedir

   添加 --enable-dns-updates 选项，以便在以下任何一个条件适用时，使用客户端系统的 IP 地址更新 DNS 记录：

   • 已安装带有集成的 DNS 的 IdM 服务器
   • 网络中的 DNS 服务器接受使用 GSS-TSIG 协议的 DNS 条目更新

   # ipa-client-install --enable-dns-updates --mkhomedir

   启用 DNS 更新对以下客户端很有用：

   • 具有使用动态主机配置协议发布的动态 IP 地址
   • 有一个已分配的静态 IP 地址，但 IdM 服务器不知道它

2. 安装脚本尝试自动获取所有所需的设置，如 DNS 记录。

   • 如果在 IdM DNS 区中正确设置了 SRV 记录，该脚本会自动发现所有其他必要的值并显示它们。输入 yes 以确认。

     Client hostname: client.example.com
     Realm: EXAMPLE.COM
     DNS Domain: example.com
     IPA Server: server.example.com
     BaseDN: dc=example,dc=com
     
     Continue to configure the system with these values? [no]: yes

   • 要使用不同的值安装系统，请输入 no。然后再次运行 ipa-client-install，并通过在 ipa-client-install 中添加命令行选项来指定所需的值，例如：

     • --hostname
     • --realm
     • --domain
     • --server
     • --mkhomedir
     重要

     完全限定域名必须是有效的 DNS 名称：

     • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
     • 主机名必须都是小写。不允许使用大写字母。
   • 如果脚本自动获取一些设置，它会提示您输入这些值。

3. 该脚本提示其身份用于注册客户端的用户。例如，这可能是具有注册管理员角色的 hostadmin 用户：

   User authorized to enroll computers: hostadmin
   Password for hostadmin@EXAMPLE.COM:

4. 安装脚本现在配置客户端。等待操作完成。

   Client configuration complete.

步骤

1. 在您要配置为 IdM 客户端的系统中运行 ipa-client-install 工具。

   使用 --password 选项来提供一次性随机密码。由于密码通常包含特殊字符，因此用单引号(')括起来。

   # ipa-client-install --mkhomedir --password=password

   添加 --enable-dns-updates 选项，以便在以下任何一个条件适用时，使用客户端系统的 IP 地址更新 DNS 记录：

   • 已安装带有集成的 DNS 的 IdM 服务器
   • 网络中的 DNS 服务器接受使用 GSS-TSIG 协议的 DNS 条目更新

   # ipa-client-install --password 'W5YpARl=7M.n' --enable-dns-updates --mkhomedir

   启用 DNS 更新对以下客户端很有用：

   • 具有使用动态主机配置协议发布的动态 IP 地址
   • 有一个已分配的静态 IP 地址，但 IdM 服务器不知道它

2. 安装脚本尝试自动获取所有所需的设置，如 DNS 记录。

   • 如果在 IdM DNS 区中正确设置了 SRV 记录，该脚本会自动发现所有其他必要的值并显示它们。输入 yes 以确认。

     Client hostname: client.example.com
     Realm: EXAMPLE.COM
     DNS Domain: example.com
     IPA Server: server.example.com
     BaseDN: dc=example,dc=com
     
     Continue to configure the system with these values? [no]: yes

   • 要使用不同的值安装系统，请输入 no。然后再次运行 ipa-client-install，并通过在 ipa-client-install 中添加命令行选项来指定所需的值，例如：

     • --hostname
     • --realm
     • --domain
     • --server
     • --mkhomedir
     重要

     完全限定域名必须是有效的 DNS 名称：

     • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
     • 主机名必须都是小写。不允许使用大写字母。
   • 如果脚本自动获取一些设置，它会提示您输入这些值。

3. 安装脚本现在配置客户端。等待操作完成。

   Client configuration complete.

1. 打开 /etc/openldap/ldap.conf 和 /etc/sssd/sssd.conf。
2. 删除前面的配置。
3. 取消对新 IdM 配置的注释。
4. 依赖于系统范围的 LDAP 配置的服务器进程可能需要重启来应用更改。使用 openldap 库的应用程序通常会在启动时导入配置。

步骤

1. 在 IdM 服务器上预先创建主机条目，并为该条目设置临时密码：

   $ ipa host-add client.example.com --password=secret

   Kickstart 使用密码在客户端安装过程中进行验证，并在第一次验证尝试后过期。成功安装客户端后，它会使用它的 keytab 进行验证。

2. 创建一个包含 第 14.2 节 “用于客户端安装的 Kickstart 文件” 中描述的内容的 Kickstart 文件。使用 network 命令，确保在 Kickstart 文件中正确配置了网络。
3. 使用 Kickstart 文件安装 IdM 客户端。

步骤

1. 使用 grep 工具从 /var/log/ipaserver-install.log 文件中检索任何出现关键字 ScriptError 的内容。

   [user@server ~]$ sudo grep ScriptError /var/log/ipaclient-install.log
   [sudo] password for user:
   2020-05-28T18:24:50Z DEBUG The ipa-client-install command failed, exception: ScriptError: One of password / principal / keytab is required.

2. 要以交互方式查看日志文件，请使用 less 工具打开日志文件的末尾，然后使用↑ 和 ↓ 箭头键来导航。

   [user@server ~]$ sudo less -N +G /var/log/ipaclient-install.log

流程

1. 确保客户端所在的 DNS 区的动态更新已被启用：

   [user@server ~]$ ipa dnszone-mod idm.example.com. --dynamic-update=TRUE

2. 确保运行 DNS 服务的 IdM 服务器对 TCP 和 UDP 协议开放了端口 53。

   [user@server ~]$ sudo firewall-cmd --permanent --add-port=53/tcp --add-port=53/udp
   [sudo] password for user:
   success
   [user@server ~]$ firewall-cmd --runtime-to-permanent
   success

3. 使用 grep 工具从 /var/log/client-install.log 中检索 nsupdate 命令的内容，以查看哪个 DNS 记录更新失败了。

   [user@server ~]$ sudo grep nsupdate /var/log/ipaclient-install.log

步骤

1. 删除 /etc/krb5.keytab。

   [user@client ~]$ sudo rm /etc/krb5.keytab
   [sudo] password for user:
   [user@client ~]$ ls /etc/krb5.keytab
   ls: cannot access '/etc/krb5.keytab': No such file or directory

2. 重试 IdM 客户端安装。

1. 重新创建具有相同主机名的客户端机器。

2. 在客户端机器上运行 ipa-client-install --force-join 命令：

   # ipa-client-install --force-join

3. 该脚本提示其身份用于重新注册客户端的用户。例如，这可能是具有注册管理员角色的 hostadmin 用户：

   User authorized to enroll computers: hostadmin
   Password for hostadmin@EXAMPLE.COM:

步骤

1. 重新创建具有相同主机名的客户端机器。

2. 将 keytab 文件从备份位置复制到重新创建的客户端机器上，例如其 /tmp/ 目录。

   重要

   不要将 keytab 放在 /etc/krb5.keytab 文件中，因为在执行 ipa-client-install 安装脚本过程中，会从这个位置删除旧密钥。

3. 使用 ipa-client-install 工具重新注册客户端。使用 --keytab 选项指定 keytab 位置：

   # ipa-client-install --keytab /tmp/krb5.keytab

   注意

   在 --keytab 选项中指定的 keytab 仅在进行身份验证启动重新注册时使用。在重新注册过程中，IdM 为客户端生成一个新的 keytab。

步骤

1. 输入 ipa-client-install --uninstall 命令：

   [root@client ~]# ipa-client-install --uninstall

2. 可选：检查您是否不能获取 IdM 用户的 Kerberos 票据授予票据(TGT)：

   [root@client ~]# kinit admin
   kinit: Client 'admin@EXAMPLE.COM' not found in Kerberos database while getting initial credentials
   [root@client ~]#

   如果成功返回 Kerberos TGT 单，请遵循 卸载 IdM 客户端：多次安装后的其它步骤 中的其他卸载步骤。

3. 在客户端上，从每个已识别的 keytab ，而不是 /etc/krb5.keytab 中删除旧的 Kerberos 主体：

   [root@client ~]# ipa-rmkeytab -k /path/to/keytab -r EXAMPLE.COM

4. 在 IdM 服务器中，从 IdM 中删除客户端主机的所有 DNS 条目：

   [root@server ~]# ipa dnsrecord-del
   Record name: old-client-name
   Zone name: idm.example.com
   No option to delete specific record provided.
   Delete all? Yes/No (default No): true
   ------------------------
   Deleted record "old-client-name"

5. 在 IdM 服务器中，从 IdM LDAP 服务器中删除客户端主机条目。这会删除所有服务并撤销为该主机发布的所有证书：

   [root@server ~]# ipa host-del client.idm.example.com

   重要

   如果您认为将来可能会使用不同的 IP 地址或不同的主机名来重新注册客户端，那么从 IdM LDAP 服务器中删除客户端主机条目至关重要。

步骤

1. 检查 /etc/krb5.conf.ipa 文件：

   • 如果 /etc/krb5.conf.conf.ipa 文件的内容与安装 IdM 客户端之前的 krb5.conf 文件的内容相同，您可以：

     1. 删除 /etc/krb5.conf 文件：

        # rm /etc/krb5.conf

     2. 将 /etc/krb5.conf.ipa 文件重命名为 /etc/krb5.conf ：

        # mv /etc/krb5.conf.ipa /etc/krb5.conf

   • 如果 /etc/krb5.conf.ipa 文件的内容与安装 IdM 客户端之前的 krb5.conf 文件的内容不同，那么您可以至少将 Kerberos 配置直接恢复到安装操作系统之后的状态：

   1. 重新安装 krb5-libs 软件包：

      # dnf reinstall krb5-libs

      作为依赖项，此命令还将重新安装 krb5-workstation 软件包和 /etc/krb5.conf 文件的原始版本。

2. 删除 var/log/ipaclient-install.log 文件（如果存在的话）。

步骤

1. 输入 ipa-client-install --uninstall 命令：

   [root@client ~]# ipa-client-install --uninstall

2. 可选：检查您是否不能获取 IdM 用户的 Kerberos 票据授予票据(TGT)：

   [root@client ~]# kinit admin
   kinit: Client 'admin@EXAMPLE.COM' not found in Kerberos database while getting initial credentials
   [root@client ~]#

   如果成功返回 Kerberos TGT 单，请遵循 卸载 IdM 客户端：多次安装后的其它步骤 中的其他卸载步骤。

3. 在客户端上，从每个已识别的 keytab ，而不是 /etc/krb5.keytab 中删除旧的 Kerberos 主体：

   [root@client ~]# ipa-rmkeytab -k /path/to/keytab -r EXAMPLE.COM

4. 在 IdM 服务器中，从 IdM 中删除客户端主机的所有 DNS 条目：

   [root@server ~]# ipa dnsrecord-del
   Record name: old-client-name
   Zone name: idm.example.com
   No option to delete specific record provided.
   Delete all? Yes/No (default No): true
   ------------------------
   Deleted record "old-client-name"

5. 在 IdM 服务器中，从 IdM LDAP 服务器中删除客户端主机条目。这会删除所有服务并撤销为该主机发布的所有证书：

   [root@server ~]# ipa host-del client.idm.example.com

   重要

   如果您认为将来可能会使用不同的 IP 地址或不同的主机名来重新注册客户端，那么从 IdM LDAP 服务器中删除客户端主机条目至关重要。

步骤

1. 检查 /etc/krb5.conf.ipa 文件：

   • 如果 /etc/krb5.conf.conf.ipa 文件的内容与安装 IdM 客户端之前的 krb5.conf 文件的内容相同，您可以：

     1. 删除 /etc/krb5.conf 文件：

        # rm /etc/krb5.conf

     2. 将 /etc/krb5.conf.ipa 文件重命名为 /etc/krb5.conf ：

        # mv /etc/krb5.conf.ipa /etc/krb5.conf

   • 如果 /etc/krb5.conf.ipa 文件的内容与安装 IdM 客户端之前的 krb5.conf 文件的内容不同，那么您可以至少将 Kerberos 配置直接恢复到安装操作系统之后的状态：

   1. 重新安装 krb5-libs 软件包：

      # dnf reinstall krb5-libs

      作为依赖项，此命令还将重新安装 krb5-workstation 软件包和 /etc/krb5.conf 文件的原始版本。

2. 删除 var/log/ipaclient-install.log 文件（如果存在的话）。

步骤

1. 在 ipa-replica-install 中输入以下选项：

   • --setup-dns 用来将副本配置为 DNS 服务器

   • 如果您不想使用任何每服务器转发器，请使用 --forwarder 来指定每服务器转发器或 --no-forwarder。要为故障转移的原因指定多个每服务器转发器，请多次使用 --forwarder。

     注意

     ipa-replica-install 工具接受与 DNS 设置相关的许多其他选项，如 --no-reverse 或 --no-host-dns。有关它们的更多信息，请参阅 ipa-replica-install(1)手册页。

   • --setup-ca 用来在副本中包含一个 CA

   例如，要设置带有集成 DNS 服务器和 CA 的副本，其将不是由 IdM 服务器管理的所有 DNS 请求转发到运行在 IP 192.0.2.1 上的 DNS 服务器：

   # ipa-replica-install --setup-dns --forwarder 192.0.2.1 --setup-ca

2. 安装完成后，将父域的 DNS 委派添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

   重要

   在每次安装完 IdM DNS 服务器后重复此步骤。

步骤

1. 在 ipa-replica-install 中输入以下选项：

   • --setup-dns 用来将副本配置为 DNS 服务器
   • 如果您不想使用任何每服务器转发器，请使用 --forwarder 来指定每服务器转发器或 --no-forwarder。要为故障转移的原因指定多个每服务器转发器，请多次使用 --forwarder。

   例如，要设置一个带有集成 DNS 服务器的副本，其将不是由 IdM 服务器管理的所有 DNS 请求转发到运行在 IP 192.0.2.1 上的 DNS 服务器：

   # ipa-replica-install --setup-dns --forwarder 192.0.2.1

   注意

   ipa-replica-install 工具接受与 DNS 设置相关的许多其他选项，如 --no-reverse 或 --no-host-dns。有关它们的更多信息，请参阅 ipa-replica-install(1)手册页。

2. 安装完成后，将父域的 DNS 委派添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

   重要

   在每次安装完 IdM DNS 服务器后重复此步骤。

步骤

1. 在 ipa-replica-install 中输入 --setup-ca 选项。

   # ipa-replica-install --setup-ca

2. 在您的 DNS 服务器中添加新创建的 IdM DNS 服务记录：

   1. 以 nsupdate 格式将 IdM DNS 服务记录导出到文件中：

      $ ipa dns-update-system-records --dry-run --out dns_records_file.nsupdate

   2. 使用 nsupdate 工具和 dns_records_file.nsupdate 文件向 DNS 服务器提交 DNS 更新请求。如需更多信息，请参阅 RHEL 7 文档中的 使用 nsupdate 更新外部 DNS 记录。或者，请参阅 DNS 服务器文档来添加 DNS 记录。

流程

1. 在新副本中创建用户：

   [admin@new_replica ~]$ ipa user-add test_user

2. 确保用户在另一个副本中可见：

   [admin@another_replica ~]$ ipa user-show test_user

步骤

1. 使用 tail 命令来显示主日志文件 /var/log/ipareplica-install.log 中的最新的错误。以下示例显示了最后 10 行。

   [user@replica ~]$ sudo tail -n 10 /var/log/ipareplica-install.log
   [sudo] password for user:
     func(installer)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/replicainstall.py", line 424, in decorated
     func(installer)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/replicainstall.py", line 785, in promote_check
     ensure_enrolled(installer)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/replicainstall.py", line 740, in ensure_enrolled
     raise ScriptError("Configuration of client side components failed!")
   
   2020-05-28T18:24:51Z DEBUG The ipa-replica-install command failed, exception: ScriptError: Configuration of client side components failed!
   2020-05-28T18:24:51Z ERROR Configuration of client side components failed!
   2020-05-28T18:24:51Z ERROR The ipa-replica-install command failed. See /var/log/ipareplica-install.log for more information

2. 要以交互方式查看日志文件，请使用 less 工具打开日志文件的末尾，然后使用 ↑ 和 ↓ 箭头键来导航。

   [user@replica ~]$ sudo less -N +G /var/log/ipareplica-install.log

3. 可选：虽然 /var/log/ipareplica-install.log 是副本安装的主日志文件，但您可以通过对副本和服务器上的其他文件重复此查看过程来收集额外的故障排除信息。

   在副本上：

   [user@replica ~]$ sudo less -N +G /var/log/ipareplica-conncheck.log
   [user@replica ~]$ sudo less -N +G /var/log/ipaclient-install.log
   [user@replica ~]$ sudo less -N +G /var/log/httpd/error_log
   [user@replica ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   [user@replica ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors
   [user@replica ~]$ sudo less -N +G /var/log/ipaserver-install.log

   在服务器上：

   [user@server ~]$ sudo less -N +G /var/log/httpd/error_log
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors

步骤

1. 要以交互方式查看日志文件，请使用 less 程序打开日志文件的末尾，并在搜索 ScriptError 条目时，使用↑ 和 ↓箭头键来导航。以下示例将打开 /var/log/pki/pki-ca-spawn.$TIME_OF_INSTALLATION.log。

   [user@server ~]$ sudo less -N +G /var/log/pki/pki-ca-spawn.20200527185902.log

2. 通过对所有 CA 安装错误日志文件重复此查看过程来收集额外的故障排除信息。

步骤

1. 在您要配置为 IdM 副本的主机上卸载 IdM 服务器软件。

   [root@replica ~]# ipa-server-install --uninstall

2. 在拓扑中的所有其他服务器上，使用 ipa server-del 命令删除对未正确安装的副本的任何引用。

   [root@other-replica ~]# ipa server-del replica.idm.example.com

3. 尝试安装副本。

4. 如果您因为重复安装失败而无法安装 IdM 副本，请重新安装操作系统。

   安装 IdM 副本的要求之一是使用一个没有自定义的“干净”系统。失败的安装可能会因为意外修改系统文件而破坏主机的完整性。

步骤

1. 手动或使用 chronyd 同步系统时钟。

   手动同步

   在服务器上显示系统时间，并设置副本的时间与之相匹配。

   [user@server ~]$ date
   Thu May 28 21:03:57 EDT 2020
   
   [user@replica ~]$ sudo timedatectl set-time '2020-05-28 21:04:00'

   • 与 chronyd 同步 ：

     请参阅 使用 Chrony 套件配置 NTP，以使用 chrony 工具配置和设置系统时间。

2. 再次尝试 IdM 副本安装。

1. 选择 IPA Server → Topology → Topology Graph。
2. 如果您对拓扑所做的任何更改没有立即反映在图中，请点击 Refresh。

步骤

1. 在拓扑图中，将鼠标悬停在其中一台服务器节点上。

   图 23.9. 域或 CA 选项

   
2. 根据您要创建的拓扑段的类型，单击圆圈的 domain 或 ca 部分。

3. 在鼠标指针下会出现代表新复制协议的新箭头。将鼠标移到其他服务器节点，然后单击该节点。

   图 23.10. 创建新段

   
4. 在 Add topology segment 窗口中，单击 Add 来确认新段的属性。

步骤

1. 单击代表您要删除的复制协议的箭头。这会高亮显示箭头。

   图 23.12. 拓扑段高亮显示

   
2. 单击 Delete。

3. 在 Confirmation 窗口中，单击 OK。

   IdM 删除两个服务器之间的拓扑段，这将删除它们的复制协议。拓扑图现在显示更新的复制拓扑：

   图 23.13. 拓扑段删除了

   

步骤

1. [可选] 如果您不知道要删除的特定复制段的名称，请显示所有可用的段。使用 ipa topologysegment-find 命令。出现提示时，请提供所需的拓扑后缀： domain 或 ca。例如：

   $ ipa topologysegment-find
   Suffix name: domain
   ------------------
   8 segments matched
   ------------------
     Segment name: new_segment
     Left node: server1.example.com
     Right node: server2.example.com
     Connectivity: both
   
   ...
   
   ----------------------------
   Number of entries returned 8
   ----------------------------

   在输出中找到所需的段。

2. 删除加入两台服务器的拓扑段：

   $ ipa topologysegment-del
   Suffix name: domain
   Segment name: new_segment
   -----------------------------
   Deleted segment "new_segment"
   -----------------------------

   删除段会删除复制协议。

步骤

1. 选择 IPA Server → Topology → IPA Servers。

2. 单击要删除的服务器的名称。

   图 23.14. 选择服务器

   
3. 单击 Delete Server。

1. 启用所需的仓库：

   # subscription-manager repos --enable rhel-9-for-x86_64-appstream-rpms

2. 安装 IdM Ansible 角色：

   # dnf install ansible-freeipa

步骤

1. 创建 ~/MyPlaybooks/ 目录：

   $ mkdir MyPlaybooks

2. 创建 ~/MyPlaybooks/inventory 文件。

3. 打开清单文件进行编辑。指定您要用作 IdM 服务器的主机的完全限定域名(FQDN)。确保 FQDN 满足以下条件：

   • 只允许字母数字字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。
4. 指定 IdM 域和域信息。

5. 通过添加以下选项来指定您要使用集成的 DNS：

   ipaserver_setup_dns=true

6. 指定 DNS 转发设置。选择以下选项之一：

   • 如果您希望安装程序使用 /etc/resolv.conf 文件中的转发器，请使用 ipaserver_auto_forwarders=true 选项。如果 /etc/resolv.conf 文件中指定的名称服务器是 localhost 127.0.0.1 地址，或者您在虚拟专用网络中，且您使用的 DNS 服务器通常无法从公共互联网访问，则不要使用这个选项。
   • 使用 ipaserver_forwarders 选项手动指定您的转发器。安装过程将转发器 IP 地址添加到安装的 IdM 服务器上的 /etc/named.conf 文件中。

   • 使用 ipaserver_no_forwarders=true 选项来配置要使用的根 DNS 服务器。

     注意

     如果没有 DNS 转发器，您的环境是隔离的，且基础架构中的其他 DNS 域的名称不能解析。

7. 指定 DNS 反向记录和区设置。从以下选项中选择：

   • 使用 ipaserver_allow_zone_overlap=true 选项来允许创建（反向）区域，即使区域已经可解析。
   • 使用 ipaserver_reverse_zones 选项来手动指定反向区。

   • 如果您不希望安装程序创建反向 DNS 区域，请使用 ipaserver_no_reverse=true 选项。

     注意

     使用 IdM 管理反向区是可选的。您可以改为使用外部 DNS 服务来实现这一目的。

8. 指定 admin 和 Directory Manager 的密码。使用 Ansible Vault 来存储密码，并从 playbook 文件中引用 Vault 文件。另外，也可以更安全地指定清单文件中直接的密码。

9. 可选：指定 IdM 服务器要使用的自定义 firewalld 区域。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区中。预定义的默认区是 public。

   重要

   指定的 firewalld 区必须存在，并且是永久的。

   包含所需服务器信息的清单文件示例（密码除外）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   [...]

   包含所需服务器信息（包括密码）的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   带有自定义 firewalld 区的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone

   使用存储在 Ansible Vault 文件中的 admin 和 Directory Manager 密码设置 IdM 服务器的 playbook 示例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
   
     roles:
     - role: ipaserver
       state: present

   使用清单文件中的 admin 和 Directory Manager 密码来设置 IdM 服务器的 playbook 示例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       state: present

步骤

1. 创建 ~/MyPlaybooks/ 目录：

   $ mkdir MyPlaybooks

2. 创建 ~/MyPlaybooks/inventory 文件。

3. 打开清单文件进行编辑。指定您要用作 IdM 服务器的主机的完全限定域名(FQDN)。确保 FQDN 满足以下条件：

   • 只允许字母数字字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。
4. 指定 IdM 域和域信息。
5. 确保 ipaserver_setup_dns 选项被设为 no 或空缺。
6. 指定 admin 和 Directory Manager 的密码。使用 Ansible Vault 来存储密码，并从 playbook 文件中引用 Vault 文件。另外，也可以更安全地指定清单文件中直接的密码。

7. 可选：指定 IdM 服务器要使用的自定义 firewalld 区域。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区中。预定义的默认区是 public。

   重要

   指定的 firewalld 区必须存在，并且是永久的。

   包含所需服务器信息的清单文件示例（密码除外）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   [...]

   包含所需服务器信息（包括密码）的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   带有自定义 firewalld 区的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone

   使用存储在 Ansible Vault 文件中的 admin 和 Directory Manager 密码设置 IdM 服务器的 playbook 示例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
   
     roles:
     - role: ipaserver
       state: present

   使用清单文件中的 admin 和 Directory Manager 密码来设置 IdM 服务器的 playbook 示例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       state: present

步骤

1. 运行 Ansible playbook:

   $ ansible-playbook -i ~/MyPlaybooks/inventory ~/MyPlaybooks/install-server.yml

2. 选择以下选项之一：

   • 如果您的 IdM 部署使用外部 DNS：将包含在 /tmp/ipa.system.records.UFRPto.db 文件中的 DNS 资源记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

     ...
     Restarting the KDC
     Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
     Restarting the web server
     ...

   重要

   在将 DNS 记录添加到现有 DNS 服务器之前，服务器安装不会完成。

   • 如果您的 IdM 部署使用集成的 DNS:

     • 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

       重要

       每次安装 IdM DNS 服务器后都会重复这个步骤。

     • 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

步骤

1. 创建 ~/MyPlaybooks/ 目录：

   $ mkdir MyPlaybooks

2. 创建 ~/MyPlaybooks/inventory 文件。

3. 打开清单文件进行编辑。指定您要用作 IdM 服务器的主机的完全限定域名(FQDN)。确保 FQDN 满足以下条件：

   • 只允许字母数字字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。
4. 指定 IdM 域和域信息。

5. 通过添加以下选项来指定您要使用集成的 DNS：

   ipaserver_setup_dns=true

6. 指定 DNS 转发设置。选择以下选项之一：

   • 如果您希望安装过程使用 /etc/resolv.conf 文件中的转发器，请使用 ipaserver_auto_forwarders=true 选项。如果 /etc/resolv.conf 文件中指定的名字服务器是 localhost 127.0.0.1 地址，或者如果您在虚拟私有网络中，并且您使用的 DNS 服务器通常无法从公共互联网访问，则不建议使用此选项。
   • 使用 ipaserver_forwarders 选项手动指定您的转发器。安装过程将转发器 IP 地址添加到安装的 IdM 服务器上的 /etc/named.conf 文件中。

   • 使用 ipaserver_no_forwarders=true 选项来配置要使用的根 DNS 服务器。

     注意

     如果没有 DNS 转发器，您的环境是隔离的，且基础架构中的其他 DNS 域的名称不能解析。

7. 指定 DNS 反向记录和区设置。从以下选项中选择：

   • 使用 ipaserver_allow_zone_overlap=true 选项来允许创建（反向）区域，即使区域已经可解析。
   • 使用 ipaserver_reverse_zones 选项来手动指定反向区。

   • 如果您不希望安装过程创建反向 DNS 区域，请使用 ipaserver_no_reverse=true 选项。

     注意

     使用 IdM 管理反向区是可选的。您可以改为使用外部 DNS 服务来实现这一目的。

8. 指定 admin 和 Directory Manager 的密码。使用 Ansible Vault 来存储密码，并从 playbook 文件中引用 Vault 文件。另外，也可以更安全地指定清单文件中直接的密码。

9. 可选：指定 IdM 服务器要使用的自定义 firewalld 区域。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区。预定义的默认区是 public。

   重要

   指定的 firewalld 区必须存在，并且是永久的。

   包含所需服务器信息的清单文件示例（密码除外）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   [...]

   包含所需服务器信息（包括密码）的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   带有自定义 firewalld 区的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone
   
   [...]

10. 为安装的第一个步骤创建一个 playbook。输入有关生成证书签名请求(CSR)，并将其从控制器复制到受管节点的说明。

    ---
    - name: Playbook to configure IPA server Step 1
      hosts: ipaserver
      become: true
      vars_files:
      - playbook_sensitive_data.yml
      vars:
        ipaserver_external_ca: true
    
      roles:
      - role: ipaserver
        state: present
    
      post_tasks:
      - name: Copy CSR /root/ipa.csr from node to "{{ groups.ipaserver[0] + '-ipa.csr' }}"
        fetch:
          src: /root/ipa.csr
          dest: "{{ groups.ipaserver[0] + '-ipa.csr' }}"
          flat: true

11. 为安装的最后步骤创建另一个 playbook。

    ---
    - name: Playbook to configure IPA server Step 2
      hosts: ipaserver
      become: true
      vars_files:
      - playbook_sensitive_data.yml
      vars:
        ipaserver_external_cert_files:
          - "/root/servercert20240601.pem"
          - "/root/cacert.pem"
    
      pre_tasks:
      - name: Copy "{{ groups.ipaserver[0] }}-{{ item }}" to "/root/{{ item }}" on node
        ansible.builtin.copy:
          src: "{{ groups.ipaserver[0] }}-{{ item }}"
          dest: "/root/{{ item }}"
          force: true
        with_items:
        - servercert20240601.pem
        - cacert.pem
    
      roles:
      - role: ipaserver
        state: present

步骤

1. 创建 ~/MyPlaybooks/ 目录：

   $ mkdir MyPlaybooks

2. 创建 ~/MyPlaybooks/inventory 文件。

3. 打开清单文件进行编辑。指定您要用作 IdM 服务器的主机的完全限定域名(FQDN)。确保 FQDN 满足以下条件：

   • 只允许字母数字字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。
4. 指定 IdM 域和域信息。
5. 确保 ipaserver_setup_dns 选项被设为 no 或空缺。
6. 指定 admin 和 Directory Manager 的密码。使用 Ansible Vault 来存储密码，并从 playbook 文件中引用 Vault 文件。另外，也可以更安全地指定清单文件中直接的密码。

7. 可选：指定 IdM 服务器要使用的自定义 firewalld 区域。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区中。预定义的默认区是 public。

   重要

   指定的 firewalld 区必须存在，并且是永久的。

   包含所需服务器信息的清单文件示例（密码除外）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   [...]

   包含所需服务器信息（包括密码）的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   带有自定义 firewalld 区的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone
   
   [...]

8. 为安装的第一个步骤创建一个 playbook。输入有关生成证书签名请求(CSR)，并将其从控制器复制到受管节点的说明。

   ---
   - name: Playbook to configure IPA server Step 1
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
     vars:
       ipaserver_external_ca: true
   
     roles:
     - role: ipaserver
       state: present
   
     post_tasks:
     - name: Copy CSR /root/ipa.csr from node to "{{ groups.ipaserver[0] + '-ipa.csr' }}"
       fetch:
         src: /root/ipa.csr
         dest: "{{ groups.ipaserver[0] + '-ipa.csr' }}"
         flat: true

9. 为安装的最后步骤创建另一个 playbook。

   ---
   - name: Playbook to configure IPA server Step 2
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
     vars:
       ipaserver_external_cert_files:
         - "/root/servercert20240601.pem"
         - "/root/cacert.pem"
   
     pre_tasks:
     - name: Copy "{{ groups.ipaserver[0] }}-{{ item }}" to "/root/{{ item }}" on node
       ansible.builtin.copy:
         src: "{{ groups.ipaserver[0] }}-{{ item }}"
         dest: "/root/{{ item }}"
         force: true
       with_items:
       - servercert20240601.pem
       - cacert.pem
   
     roles:
     - role: ipaserver
       state: present

步骤

1. 使用安装第一步的说明运行 Ansible playbook，如 install-server-step1.yml ：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory ~/MyPlaybooks/install-server-step1.yml

2. 在控制器上找到 ipa.csr 证书签名请求文件，并提交给外部的 CA。
3. 将外部 CA 签名的 IdM CA 证书放在控制器文件系统中，以便下一步中的 playbook 可以找到它。

4. 使用安装最后一步的说明运行 Ansible playbook，如 install-server-step2.yml ：

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory ~/MyPlaybooks/install-server-step2.yml

5. 选择以下选项之一：

   • 如果您的 IdM 部署使用外部 DNS：将包含在 /tmp/ipa.system.records.UFRPto.db 文件中的 DNS 资源记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

     ...
     Restarting the KDC
     Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
     Restarting the web server
     ...

   重要

   在将 DNS 记录添加到现有 DNS 服务器之前，服务器安装不会完成。

   • 如果您的 IdM 部署使用集成的 DNS:

     • 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

       重要

       每次安装 IdM DNS 服务器后都会重复这个步骤。

     • 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

流程

1. 使用以下内容创建 Ansible playbook 文件 uninstall-server.yml ：

   ---
   - name: Playbook to uninstall an IdM replica
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       ipaserver_remove_from_domain: true
       state: absent

   ipaserver_remove_from_domain 选项从 IdM 拓扑中取消主机注册。

   注意

   如果 server123.idm.example.com 的删除导致断开连接的拓扑，则删除操作将被中止。如需更多信息，请参阅 如果这会导致断开连接的拓扑，请使用 Ansible playbook 卸载 IdM 服务器。

2. 卸载副本：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/inventory <path_to_playbooks_directory>/uninstall-server.yml

3. 确保指向 server123.idm.example.com 的所有名称服务器(NS) DNS 记录都从 DNS 区域中删除。无论您使用由 IdM 还是外部 DNS 管理的集成 DNS，这个均适用。有关如何从 IdM 中删除 DNS 记录的更多信息，请参阅 在 IdM CLI 中删除 DNS 记录。

流程

1. 使用以下内容创建 Ansible playbook 文件 uninstall-server.yml ：

   ---
   - name: Playbook to uninstall an IdM replica
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       ipaserver_remove_from_domain: true
       ipaserver_remove_on_server: server456.idm.example.com
       ipaserver_ignore_topology_disconnect: true
       state: absent

   注意

   正常情况下，如果删除 server123 不会造成断开连接的拓扑：如果 ipaserver_remove_on_server 的值没有设置，则 server123 上的副本会使用 server123 的复制协议自动删除。

2. 卸载副本：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/uninstall-server.yml

3. 确保指向 server123.idm.example.com 的所有名称服务器(NS) DNS 记录都从 DNS 区域中删除。无论您使用由 IdM 还是外部 DNS 管理的集成 DNS，这个均适用。有关如何从 IdM 中删除 DNS 记录的更多信息，请参阅 在 IdM CLI 中删除 DNS 记录。

流程

1. 打开清单文件进行编辑。指定要成为 IdM 副本的主机的完全限定域名(FQDN)。FQDN 必须是有效的 DNS 名称：

   • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。

   • 主机名必须都是小写。

     仅定义副本 FQDN 的简单清单主机文件示例

     [ipareplicas]
     replica1.idm.example.com
     replica2.idm.example.com
     replica3.idm.example.com
     [...]

     如果 IdM 服务器已经部署，且在 IdM DNS 区中正确设置了 SRV 记录，那么脚本会自动发现所有其他必需的值。

2. 可选：根据您是如何设计拓扑的，来在清单文件中提供额外的信息：

   场景 1

   如果要避免自动发现，并且使 [ipareplicas] 部分中列出的所有副本都使用特定的 IdM 服务器，请在清单文件的 [ipaservers] 部分中设置服务器。

   带有 IdM 服务器 FQDN 和定义的副本的清单主机文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]

   场景 2

   或者，如果您想避免自动发现，但希望使用特定的服务器来部署特定副本，请分别在清单文件的 [ipareplicas] 部分中为特定副本设置服务器。

   为特定副本定义了特定 IdM 服务器的清单文件示例

   [ipaservers]
   server.idm.example.com
   replica1.idm.example.com
   
   [ipareplicas]
   replica2.idm.example.com
   replica3.idm.example.com ipareplica_servers=replica1.idm.example.com

   在上例中，replica3.idm.example.com 使用已部署的 replica1.idm.example.com 作为其复制源。

   场景 3

   如果您在一个批处理中部署多个副本，并且时间是您关心的问题，那么多层副本部署可能对您很有用。在清单文件中定义特定的副本组，如 [ipareplicas_tier1] 和 [ipareplicas_tier2]，并在 install-replica.yml playbook 中为每个组设计单独的 play。

   定义了副本层的清单文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas_tier1]
   replica1.idm.example.com
   
   [ipareplicas_tier2]
   replica2.idm.example.com \ ipareplica_servers=replica1.idm.example.com,server.idm.example.com

   将使用 ipareplica_servers 中的第一个条目。第二个条目将用作回退选项。在使用多个层来部署 IdM 副本时，您必须在 playbook 中有单独的任务来首先从 tier1 部署副本，然后从 tier2 部署副本。

   为不同副本组使用不同 play 的 playbook 文件示例

   ---
   - name: Playbook to configure IPA replicas (tier1)
     hosts: ipareplicas_tier1
     become: true
   
     roles:
     - role: ipareplica
       state: present
   
   - name: Playbook to configure IPA replicas (tier2)
     hosts: ipareplicas_tier2
     become: true
   
     roles:
     - role: ipareplica
       state: present

3. 可选：提供有关 firewalld 和 DNS 的其它信息：

   场景 1

   如果您希望副本使用指定的 firewalld 区域，如内部区域，您可以在清单文件中指定它。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区中。预定义的默认区是 public。

   重要

   指定的 firewalld 区必须存在，并且是永久的。

   带有自定义 firewalld 区域的简单清单主机文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]
   
   [ipareplicas:vars]
   ipareplica_firewalld_zone=custom zone

   场景 2

   如果您希望副本托管 IdM DNS 服务，请将 ipareplica_setup_dns=true 行添加到 [ipareplicas:vars] 部分中。另外，请指定您是否要使用每服务器 DNS 转发器：

   • 要配置每服务器转发器，请将 ipareplica_forwarders 变量和字符串列表添加到 [ipareplicas:vars] 部分，例如：ipareplica_forwarders=192.0.2.1,192.0.2.2
   • 要配置无每服务器转发器，请将以下行添加到 [ipareplicas:vars] 部分中：ipareplica_no_forwarders=true。
   • 要根据副本的 /etc/resolv.conf 文件中列出的转发器配置每服务器转发器，请将 ipareplica_auto_forwarders 变量添加到 [ipareplicas:vars] 部分。

   带有在副本上设置 DNS 和每个服务器转发器的指令的清单文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]
   
   [ipareplicas:vars]
   ipareplica_setup_dns=true
   ipareplica_forwarders=192.0.2.1,192.0.2.2

   场景 3

   使用 ipaclient_configure_dns_resolve 和 ipaclient_dns_servers 选项（如可用的话）指定 DNS 解析器，以简化集群部署。这在您的 IdM 部署使用集成的 DNS 时特别有用：

   指定 DNS 解析器的清单文件片段：

   [...]
   [ipaclient:vars]
   ipaclient_configure_dns_resolver=true
   ipaclient_dns_servers=192.168.100.1

   注意

   ipaclient_dns_servers 列表必须仅包含 IP 地址。主机名不允许。

步骤

1. 指定 授权部署副本的用户的密码，如 IdM admin。

   • 红帽建议使用 Ansible Vault 来存储密码，并从 playbook 文件引用 Vault 文件，如 install-replica.yml ：

     使用来自清单文件和 Ansible Vault 文件中的密码的主体的 playbook 文件示例

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
       vars_files:
       - playbook_sensitive_data.yml
     
       roles:
       - role: ipareplica
         state: present

     有关如何使用 Ansible Vault 的详细信息，请参阅官方 Ansible Vault 文档。

   • 直接在清单文件中提供 admin 的凭证不太安全。请在清单文件的 [ipareplicas:vars] 部分中使用 ipaadmin_password 选项。然后，清单文件和 install-replica.yml playbook 文件类似如下：

     清单 hosts.replica 文件示例

     [...]
     [ipareplicas:vars]
     ipaadmin_password=Secret123

     使用清单文件中的主体和密码的 playbook 示例

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
     
       roles:
       - role: ipareplica
         state: present

   • 或者，在清单文件中提供授权直接部署副本的另一个用户的凭证也不太安全。要指定不同的授权用户，请使用 ipaadmin_principal 选项作为用户名，使用 ipaadmin_password 选项作为密码。然后，清单文件和 install-replica.yml playbook 文件类似如下：

     清单 hosts.replica 文件示例

     [...]
     [ipareplicas:vars]
     ipaadmin_principal=my_admin
     ipaadmin_password=my_admin_secret123

     使用清单文件中的主体和密码的 playbook 示例

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
     
       roles:
       - role: ipareplica
         state: present

步骤

1. 打开 inventory 文件进行编辑。

2. 指定要成为 IdM 客户端的主机的完全限定主机名(FQDN)。完全限定域名必须是有效的 DNS 名称：

   • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。不允许使用大写字母。

   如果在 IdM DNS 区中正确设置了 SRV 记录，该脚本会自动发现所有其他必要的值。

   只带有客户端 FQDN 定义的简单的清单主机文件示例

   [ipaclients]
   client.idm.example.com
   [...]

3. 指定注册客户端的凭证。可用的验证方法如下：

   • 注册 客户端的用户权限的密码。这是默认选项。

     • 红帽建议使用 Ansible Vault 来存储密码，并从 playbook 文件引用 Vault 文件，如 install-client.yml ：

       使用来自清单文件和 Ansible Vault 文件中的密码的主体的 playbook 文件示例

       - name: Playbook to configure IPA clients with username/password
         hosts: ipaclients
         become: true
         vars_files:
         - playbook_sensitive_data.yml
       
         roles:
         - role: ipaclient
           state: present

     • 在 inventory/hosts 文件的 [ipaclients:vars] 部分中使用 ipaadmin_password 选项来提供 admin 的凭证不太安全。或者，指定不同的授权用户，请使用 ipaadmin_principal 选项作为用户名，使用 ipaadmin_password 选项作为密码。然后，inventory/hosts 清单文件和 install-client.yml playbook 文件类似如下：

       清单主机文件示例

       [...]
       [ipaclients:vars]
       ipaadmin_principal=my_admin
       ipaadmin_password=Secret123

       使用清单文件中的主体和密码的 Playbook 示例

       - name: Playbook to unconfigure IPA clients
         hosts: ipaclients
         become: true
       
         roles:
         - role: ipaclient
           state: true

   • 之前的注册的 客户端 keytab ，如果其仍然可用。

     如果系统之前作为身份管理客户端注册，则可以使用这个选项。要使用此身份验证方法，请取消 #ipaclient_keytab 选项的注释，指定存储 keytab 的文件的路径，例如在 inventory/hosts 的 [ipaclient:vars] 部分。

   • 在注册过程中生成的随机一次性密码 (OTP)。要使用此身份验证方法，请在清单文件中使用 ipaclient_use_otp=true 选项。例如，您可以取消 inventory/hosts 文件的 [ipaclients:vars] 部分中 ipaclient_use_otp=true 选项的注释。请注意，对于 OTP，还必须指定以下选项之一：

     • 授权注册客户端的用户的密码 ，例如，为 inventory/hosts 文件的 [ipaclients:vars] 部分的 ipaadmin_password 提供值。
     • admin keytab，例如，为 inventory/hosts 的 [ipaclients:vars] 部分中的 ipaadmin_keytab 提供值。

4. 可选：使用 ipaclient_configure_dns_resolve 和 ipaclient_dns_servers 选项（如可用的话）指定 DNS 解析器，以简化集群部署。这在您的 IdM 部署使用集成的 DNS 时特别有用：

   指定 DNS 解析器的清单文件片段：

   [...]
   [ipaclients:vars]
   ipaadmin_password: "{{ ipaadmin_password }}"
   ipaclient_domain=idm.example.com
   ipaclient_configure_dns_resolver=true
   ipaclient_dns_servers=192.168.100.1

   注意

   ipaclient_dns_servers 列表必须仅包含 IP 地址。主机名不允许。

5. 从 RHEL 9.3 开始，您还可以指定 ipaclient_subid: true 选项，来在 IdM 级别上为 IdM 用户配置子范围。

步骤

1. 指定要成为 IdM 客户端的主机的完全限定主机名(FQDN)。完全限定域名必须是有效的 DNS 名称：

   • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。不允许使用大写字母。

2. 在 inventory/hosts 文件的相关部分中指定其他选项：

   • [ipaservers] 部分中的服务器的 FQDN 指示客户端将注册到哪个 IdM 服务器

   • 以下两个选项之一：

     • [ipaclients:vars] 部分中的 ipaclient_domain 选项指示客户端将注册到的 IdM 服务器的 DNS 域名

     • [ipaclients:vars] 部分中的 ipaclient_realm 选项指示 IdM 服务器控制的 Kerberos 域的名称

       带有客户端 FQDN、服务器 FQDN 和定义的域的清单主机文件示例

       [ipaclients]
       client.idm.example.com
       
       [ipaservers]
       server.idm.example.com
       
       [ipaclients:vars]
       ipaclient_domain=idm.example.com
       [...]

3. 指定注册客户端的凭证。可用的验证方法如下：

   • 注册 客户端的用户权限的密码。这是默认选项。

     • 红帽建议使用 Ansible Vault 来存储密码，并从 playbook 文件引用 Vault 文件，如 install-client.yml ：

       使用来自清单文件和 Ansible Vault 文件中的密码的主体的 playbook 文件示例

       - name: Playbook to configure IPA clients with username/password
         hosts: ipaclients
         become: true
         vars_files:
         - playbook_sensitive_data.yml
       
         roles:
         - role: ipaclient
           state: present

   • 不太安全的是，使用 inventory/hosts 文件的 [ipaclients:vars] 部分中的 ipaadmin_password 选项提供的 admin 的凭证。或者，指定不同的授权用户，请使用 ipaadmin_principal 选项作为用户名，使用 ipaadmin_password 选项作为密码。install-client.yml playbook 文件类似如下：

     清单主机文件示例

     [...]
     [ipaclients:vars]
     ipaadmin_principal=my_admin
     ipaadmin_password=Secret123

     使用清单文件中的主体和密码的 Playbook 示例

     - name: Playbook to unconfigure IPA clients
       hosts: ipaclients
       become: true
     
       roles:
       - role: ipaclient
         state: true

   • 之前注册的客户端 keytab，如果仍然可用：

     如果系统之前作为身份管理客户端注册，则可以使用这个选项。要使用此身份验证方法，请取消 ipaclient_keytab 选项的注释，指定存储 keytab 的文件的路径，例如在 inventory/hosts 的 [ipaclient:vars] 部分。

   • 在注册过程中生成的随机一次性密码 (OTP)。要使用此身份验证方法，请在清单文件中使用 ipaclient_use_otp=true 选项。例如，您可以取消 inventory/hosts 文件的 [ipaclients:vars] 部分中 #ipaclient_use_otp=true 选项的注释。请注意，对于 OTP，还必须指定以下选项之一：

     • 授权注册客户端的用户的密码 ，例如，为 inventory/hosts 文件的 [ipaclients:vars] 部分的 ipaadmin_password 提供值。
     • admin keytab，例如，为 inventory/hosts 的 [ipaclients:vars] 部分中的 ipaadmin_keytab 提供值。
4. 从 RHEL 9.3 开始，您还可以指定 ipaclient_subid: true 选项，来在 IdM 级别上为 IdM 用户配置子范围。

步骤

1. 以 IdM 用户身份 SSH 到 IdM 主机，该用户具有 Host Enrollment 权限和添加 DNS 记录权限的角色：

   $ ssh admin@server.idm.example.com

2. 为新客户端生成 OTP：

   [admin@server ~]$ ipa host-add client.idm.example.com --ip-address=172.25.250.11 --random
    --------------------------------------------------
    Added host "client.idm.example.com"
    --------------------------------------------------
     Host name: client.idm.example.com
     Random password: W5YpARl=7M.n
     Password: True
     Keytab: False
     Managed by: server.idm.example.com

   --ip-address=<your_host_ip_address> 选项将主机添加到具有指定 IP 地址的 IdM DNS 中。

3. 退出 IdM 主机：

   $ exit
   logout
   Connection to server.idm.example.com closed.

4. 在 ansible 控制器上，更新清单文件，以包含随机密码：

   [...]
   [ipaclients]
   client.idm.example.com
   
   [ipaclients:vars]
   ipaclient_domain=idm.example.com
   ipaclient_otp=W5YpARl=7M.n
   [...]

5. 如果您的 ansible 控制器正在运行 RHEL ⇐ 9.1，请安装 krb5-workstation 软件包提供的 kinit 工具：

   $ sudo dnf install krb5-workstation

6. 运行 playbook 来安装客户端：

   $ ansible-playbook -i inventory install-client.yml

步骤

1. 在 idmserver 上，安装 IdM 证书服务器 CA：

   [root@idmserver ~] ipa-ca-install

2. 在拓扑中的每个 IdM 主机上，运行 ipa-certupdate 工具来使用 IdM LDAP 中的新证书的信息更新主机。

   重要

   如果在生成 IdM CA 证书后不运行 ipa-certupdate，则证书不会分发到其他 IdM 机器。

步骤

1. 开始安装：

   [root@idmserver ~] ipa-ca-install --external-ca

2. 等待命令行界面通知您证书签名请求(CSR)已保存。
3. 将 CSR 提交到外部 CA。
4. 将发布的证书复制到 IdM 服务器。

5. 通过将证书和外部 CA 文件的路径添加到 ipa-ca-install 来继续安装：

   [root@idmserver ~]# ipa-ca-install --external-cert-file=/root/master.crt --external-cert-file=/root/ca.crt

6. 在拓扑中的每个 IdM 主机上，运行 ipa-certupdate 工具来使用 IdM LDAP 中的新证书的信息更新主机。

   重要

   在生成 IdM CA 证书后无法运行 ipa-certupdate 意味着证书不会被分发到其他 IdM 机器。