3.4. 使用 Ansible playbook 来确保 IdM 中存在带有多个变量的主 DNS 区域

步骤

1. 进入 /usr/share/doc/ansible-freeipa/playbooks/dnszone 目录：

   $ cd /usr/share/doc/ansible-freeipa/playbooks/dnszone

2. 打开您的清单文件，并确保您要配置的 IdM 服务器列在 [ipaserver] 部分。例如，要指示 Ansible 配置 server.idm.example.com，请输入：

   [ipaserver]
   server.idm.example.com

3. 复制 dnszone-all-params.yml Ansible playbook 文件。例如：

   $ cp dnszone-all-params.yml dnszone-all-params-copy.yml

4. 打开 dnszone-all-params-copy.yml 文件进行编辑。

5. 通过在 ipadnszone task 部分中设置以下变量来修改该文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员密码。
   • 将 zone_name 变量设置为 zone.idm.example.com。
   • 如果要允许同步转发和反向记录，请将 allow_sync_ptr 变量设置为 true，即 A 和 AAAA 记录与 PTR 记录同步。
   • 将 dynamic_update 变量设置为 true，以启用 IdM 客户端机器添加或更新其 IP 地址。
   • 将 dnssec 变量设置为 true，以允许在区域中进行内联 DNSSEC 签名。
   • 将 allow_transfer 变量设置为区域中次要名称服务器的 IP 地址。
   • 将 allow_query 变量设置为允许发出查询的 IP 地址或网络。
   • 将 forwarders 变量设置为全局转发器的 IP 地址。
   • 将 serial 变量设置为 SOA 记录序列号。
   • 为区中的 DNS 定义 refresh, retry, expire, minimum, ttl, 和 default_ttl 值。
   • 使用 nsec3param_rec 变量，为区域定义 NSEC3PARAM 记录。
   • 将 skip_overlap_check 变量设置为 true，以便在它与现有区重叠时也强制进行 DNS 创建。

   • 将 skip_nameserver_check 设置为 true，以便在名称服务器无法解析时也强制进行 DNS 区创建。

     这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Ensure dnszone present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure zone is present.
       ipadnszone:
         ipaadmin_password: "{{ ipaadmin_password }}"
         zone_name: zone.idm.example.com
         allow_sync_ptr: true
         dynamic_update: true
         dnssec: true
         allow_transfer:
           - 1.1.1.1
           - 2.2.2.2
         allow_query:
           - 1.1.1.1
           - 2.2.2.2
         forwarders:
           - ip_address: 8.8.8.8
           - ip_address: 8.8.4.4
             port: 52
         serial: 1234
         refresh: 3600
         retry: 900
         expire: 1209600
         minimum: 3600
         ttl: 60
         default_ttl: 90
         name_server: server.idm.example.com.
         admin_email: admin.admin@idm.example.com
         nsec3param_rec: "1 7 100 0123456789abcdef"
         skip_overlap_check: true
         skip_nameserver_check: true
         state: present

6. 保存这个文件。

7. 运行 playbook:

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file dnszone-all-params-copy.yml