管理 Red Hat Satellite

1. 进入 Administer > Users。
2. 单击 创建用户。
3. 在 Login 项中输入用户的用户名。
4. 在 Firstname 和 Lastname 字段中输入用户的真实名字和姓氏。
5. 在 Mail 字段中，输入用户的电子邮件地址。
6. 在 Description 字段中，添加新用户的描述。
7. 从 Language 列表中选择用户的具体语言。

8. 从 Timezone 列表中选择该用户的时区。

   默认情况下，卫星服务器使用用户浏览器的语言和时区设置。

9. 为该用户设置密码：

   1. 从 Authorized by 列表中，选择用户通过身份验证的来源。

      • INTERNAL ：允许用户在卫星服务器中管理。
      • EXTERNAL ：配置外部身份验证，如 第 13 章 配置外部身份验证 所述。
   2. 在 Password 字段和 Verify 字段中输入用户 的初始密码。
10. 单击 Submit 以创建用户。

流程

1. 进入 Administer > Users。

2. 单击要分配一个或多个角色的用户的用户名。

   注意

   如果某个用户帐户没有被列出，请检查您是否当前查看正确的机构。若要列出卫星中的所有用户，请单击 Default Organization，然后单击 Any Organization。

3. 单击位置选项卡，如果不分配，则选择一个位置。
4. 单击 Organizations 选项卡，然后检查是否分配了组织。
5. 单击 Roles 选项卡，以显示可用角色的列表。

6. 从 Roles 列表中选择要分配的角色。

   要授予所有可用权限，请选中 Admin 复选框。

7. 点 Submit。

1. 在 Satellite Web UI 中，导航到 Administer > Users。
2. 在您要模拟的用户右侧，从 Actions 列中的列表中选择 Impersonate。

流程

1. 进入 Administer > Users。
2. 从 Username 列中，单击所需用户的用户名。

3. 点 SSH Keys 选项卡。

   • 添加 SSH 密钥

     1. 在剪贴板中准备公共 SSH 密钥的内容。
     2. 点 Add SSH Key。
     3. 在 Key 字段中，粘贴剪贴板中的公共 SSH 密钥内容。
     4. 在 Name 字段中输入 SSH 密钥的名称。
     5. 点 Submit。

   • 删除 SSH 密钥

     1. 点要删除的 SSH 密钥行上的 Delete。
     2. 在确认提示中点 OK。

流程

1. 进入 Administer > User Groups。
2. 点 Create User group。

3. 在 User Group 选项卡中，指定新用户组的名称并选择组成员：

   • 从 User Groups 列表中选择之前创建的用户组。
   • 从 Users 列表中选择用户。
4. 在角色 选项卡中，选择您要分配给用户组的角色。或者，选择 Admin 复选框来分配所有可用权限。
5. 点 Submit。

流程

1. 进入 Administer > User Groups。
2. 点击您要删除的用户组右侧的 Delete。
3. 在出现的警报框中，单击 OK 以删除用户组。

流程

1. 导航到 Administer > Roles。
2. 点 Create Role。
3. 为角色提供一个 Name。
4. 单击 Submit 以保存您的新角色。

流程

1. 导航到 Administer > Roles，然后从所需角色右侧的下拉菜单中选择 Clone。
2. 为角色提供一个 Name。
3. 单击 Submit 以克隆角色。
4. 点击克隆角色的名称并导航到 过滤器。
5. 根据需要编辑权限。
6. 单击 Submit 以保存您的新角色。

流程

1. 导航到 Administer > Roles。
2. 从所需角色右侧的下拉列表中选择 Add Filter。
3. 从下拉列表中选择 Resource type。(Miscellaneous) 组收集不与任何资源组关联的权限。
4. 点击您要从 Permission 列表中选择的权限。
5. 根据所选的 资源类型，您可以选择或取消选择 Unlimited 和 Override 复选框。默认选择 无限 复选框，这表示在所选类型的所有资源中应用该权限。当您禁用 unrestricted 复选框 时，Search 字段会自动激活。在此字段中，您可以使用 Red Hat Satellite 6 搜索语法指定进一步过滤。详情请查看 第 5.5 节 “细粒度权限过滤”。启用 Override 复选框时，您可以添加附加位置和组织，以允许该角色访问附加位置和机构中的资源类型；您还可以从资源类型中删除已经关联的位置和机构来限制访问权限。
6. 点击 Next。
7. 单击 Submit 以保存更改。

CLI 过程

1. 列出所有可用权限：

   # hammer filter available-permissions

2. 为角色添加权限：

   # hammer filter create \
   --role role_name \
   --permission-ids perm_ID1,perm_ID2...

流程

1. 导航到 Administer > Roles。
2. 点所需角色右侧的 Filters 以进入 Filters 页面。

流程

1. 确保安装了所需的软件包。在 Satellite 服务器中执行以下命令：

   # satellite-maintain packages install foreman-console

2. 使用以下命令启动 Satellite 控制台：

   # foreman-rake console

   将以下代码插入到控制台中：

   f = File.open('/tmp/table.html', 'w')
   
   result = Foreman::AccessControl.permissions {|a,b| a.security_block <=> b.security_block}.collect do |p|
         actions = p.actions.collect { |a| "<li>#{a}</li>" }
         "<tr><td>#{p.name}</td><td><ul>#{actions.join('')}</ul></td><td>#{p.resource_type}</td></tr>"
   end.join("\n")
   
   f.write(result)

   以上语法创建了权限表，并将其保存到 /tmp/table.html 文件中。

3. 按 Ctrl + D 退出 Satellite 控制台。在 /tmp/table.html 的第一行中插入以下文本：

   <table border="1"><tr><td>Permission name</td><td>Actions</td><td>Resource type</td></tr>

   在 /tmp/table.html 末尾附加以下文本：

   </table>

4. 在 Web 浏览器中打开 /tmp/table.html，以查看表。

流程

1. 导航到 Administer > Roles。
2. 从要删除的角色右侧的下拉列表中选择 Delete。
3. 在出现的警报框中，单击 OK 以删除该角色。

流程

1. 在 Satellite Web UI 中，导航到 Configure > Environments。
2. 单击 Import environments from satellite.example.com。

3. 选择与您要审计的主机关联的 Puppet 环境复选框。

   如果没有 Puppet 环境，请选择 production 环境复选框。默认情况下，在生产环境中为 OpenSCAP 所需的 Puppet 类是。

4. 点 Update。

流程

1. 导航到 Hosts > Policies，并选择您要手动、Ansible 或 Puppet 部署。
2. 输入此策略的名称、描述（可选），然后单击下一步。

3. 选择要应用的 SCAP Content 和 XCCDF Profile，然后单击 Next。

   在 BZ#1704582 得到解决之前，请注意 Default XCCDF Profile 可能会返回空报告。

4. 指定应用策略时调度的时间，然后点 Next。

   从 Period 列表中选择 Weekly、Monthly 或 Custom。

   • 如果选择 Weekly，也可从 Weekday 列表中选择一周的所需日期。
   • 如果您选择了 Monthly，在月的几号中指定下月的所需日期。

   • 如果您选择 Custom，在 Cron line 字段中输入有效的 Cron 表达式。

     Custom 选项允许策略调度的灵活性大于周或几 月 选项。

5. 选择要应用策略的位置，然后点 Next。
6. 选择要应用策略的组织，然后点 Next。
7. 选择要应用该策略的主机组，然后单击 Submit。

流程

1. 进入 Hosts > Policies。
2. 单击 Show Guide。

流程

1. 进入 Hosts > Policies。
2. 从策略名称右侧的下拉列表中，选择 Edit。
3. 编辑必要的属性。
4. 点 Submit。

1. 进入 Hosts > Policies。
2. 从策略名称右侧的下拉列表中，选择 Delete。
3. 在确认消息中点 OK。

流程

1. 导航到 Hosts > Compliance - Tailoring Files，再单击 New Tailoring File。
2. 在 Name 文本框中输入名称。
3. 单击 Choose File，导航到包含 SCAP DataStream Tailoring File 的位置，然后选择 Open。
4. 单击 Submit 以上传所选的 Tailoring File。

流程

1. 进入 Hosts > Compliance - Policies。
2. 如果有现有的 Compliance Policies，则单击 New Policy 或 New Compliance Policy。
3. 在 Name 文本框中输入名称，然后单击下一步。
4. 从下拉菜单中选择 Scap 内容。
5. 从下拉菜单中选择 XCCDF Profile。
6. 从下拉菜单中选择 Tailoring File。

7. 从下拉菜单选择 XCCDF Profile in Tailoring File。

   选择 XCCDF Profile 非常重要，因为 Tailoring Files 可以包含多个 XCCDF 配置集。

8. 点击 Next。
9. 从下拉菜单中选择一个 时段。
10. 从下拉菜单中选择 Weekday，然后单击 Next。
11. 选择一个 Location 以将它移到已 选项窗口，然后单击 Next。
12. 选择一个 组织 来将它移到已 选项窗口，然后单击 Next。
13. 选择一个 Hostgroup 以将它移到已 选项 窗口，然后单击 Submit。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > Policies。

2. 点所需的策略名称。仪表板提供以下信息：

   • 演示了使用该策略主机合规的高级环图。
   • 统计分类，以表格格式使用策略合规主机。
   • 每个主机的最新策略报告链接。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > Reports 以列出所有合规性报告。
2. 单击特定主机行中的 View Report，以查看单个报告的详情。

3. 点击规则的标题查看更多详情：

   • 规则的描述，包含使主机符合条件的规则信息（如果可用）。
   • 规则的比率。
   • 在某些情况下，一个补救脚本。

1. 在 Satellite Web UI 中，导航到 Hosts > Reports。
2. 在 Compliance Reports 窗口中，标识要删除的策略，并在策略名称右侧的右侧选择 Delete。
3. 点击 OK。

1. 在 Satellite Web UI 中，导航到 Hosts > Reports。
2. 在 Compliance Reports 窗口中，选择您要删除的合规性报告。
3. 在列表右上角，选择 Delete Reports。
4. 对要删除的多页重复这些步骤。

流程

1. 要同步外部胶囊，请在 Web UI 中选择相关组织和位置，或者选择 Any Organization 和 Any Location。
2. 导航到 Infrastructure > Capsules，再单击要同步的 Capsule 的名称。
3. 在 Overview 选项卡中，选择 Synchronize。

流程

1. 从 LDAP 服务器获取证书。

   1. 如果您使用 Active Directory 证书服务，请使用 Base-64 编码的 X.509 格式导出企业 PKI CA 证书。如需有关 从 Active Directory 服务器创建和导出 CA 证书的信息，请参阅如何使用 Satellite 6 上的 TLS 配置 Active Directory 身份验证。

   2. 将 LDAP 服务器证书下载到安装卫星服务器的 Red Hat Enterprise Linux 系统上的临时位置，并在完成后将其移除。

      例如： /tmp/example.crt。文件名扩展 .cer 和 .crt 只包括惯例，可以引用 DER 二进制或 PEM ASCII 格式证书。

2. 信任 LDAP 服务器中的证书。

   Red Hat Satellite Server 需要 CA 证书使 LDAP 身份验证成为 /etc/pki/tls/certs/ 目录中的单个文件。

   1. 使用 install 命令将导入的证书安装到具有正确权限的 /etc/pki/tls/certs/ 目录中：

      # install /tmp/example.crt /etc/pki/tls/certs/

   2. 以 root 用户身份输入以下命令信任从 LDAP 服务器获得的 example.crt 证书：

      # ln -s example.crt /etc/pki/tls/certs/$(openssl \
      x509 -noout -hash -in \
      /etc/pki/tls/certs/example.crt).0

   3. 重启 httpd 服务：

      # systemctl restart httpd

流程

1. 将 Network Information System(NIS)服务布尔值设置为 true，以防止 SELinux 停止传出 LDAP 连接：

   # setsebool -P nis_enabled on

2. 进入 Administer > LDAP Authentication。
3. 点 Create Authentication Source。
4. 在 LDAP 服务器 选项卡中，输入 LDAP 服务器的名称、主机名、端口和服务器类型。默认端口为 389，默认服务器类型是 POSIX（您可以原生选择 FreeIPA 或 Active Directory，具体取决于身份验证服务器类型）。对于 TLS 加密的连接，请选择 LDAPS 复选框来启用加密。端口应更改为 636，这是 LDAPS 的默认设置。
5. 在 帐户 选项卡中，输入帐户信息和域名详情。有关描述和示例，请参阅 第 13.1.3 节 “LDAP 设置的描述”。
6. 在 Attribute mappings 选项卡上，将 LDAP 属性映射到 Satellite 属性。您可以映射登录名称、名字、姓氏、电子邮件地址和照片属性。如需示例，请参阅 第 13.1.4 节 “LDAP 连接的设置示例”。
7. 在位置 选项卡上，从左侧列表中选择位置。选择的位置分配给从 LDAP 身份验证源创建的用户，并在第一次登录时可用。
8. 在 Organizations 选项卡上，从左侧列表中选择机构。所选机构被分配给从 LDAP 身份验证源创建的用户，并在第一次登录时可用。
9. 点 Submit。

10. 为 LDAP 用户配置新帐户：

    • 如果您没有选择 Automatically Create Accounts In Satellite 复选框，请参阅 第 5.1.1 节 “创建用户” 来手动创建用户帐户。
    • 如果您选择了 Automatically Create Accounts In Satellite 复选框，LDAP 用户现在可以使用其 LDAP 帐户和密码登录到 Satellite。第一次登录后，Satellite 管理员必须手动为其分配角色。请参阅 第 5.1.2 节 “为用户分配角色” 在 Satellite 中分配适当的角色。

流程

1. 在 Red Hat Identity Management 服务器中要进行身份验证，请输入以下命令并在提示时输入您的密码：

   # kinit admin

2. 要验证您是否已通过身份验证，请输入以下命令：

   # klist

3. 在 Red Hat Identity Management 服务器上，为 Satellite 服务器创建一个主机条目并生成一次性密码，例如：

   # ipa host-add --random hostname

   注意

   必须在客户端中使用生成的一次性密码来完成 Red Hat Identity Management-enrollment。

   有关主机配置属性的更多信息，请参阅 Red Hat Enterprise Linux 7 Linux 域身份、身份验证和策略指南中的 关于 主机条目 配置属性。

4. 为 Satellite 服务器创建 HTTP 服务，例如：

   # ipa service-add HTTP/hostname

   有关管理服务的更多信息，请参阅 Red Hat Enterprise Linux 7 Linux 域身份、身份验证和策略 指南中的管理服务。https://access.redhat.com/documentation/zh-cn/red_hat_enterprise_linux/7/html/linux_domain_identity_authentication_and_policy_guide/services

5. 在 Satellite 服务器中安装 IPA 客户端：

   警告

   此命令可能会在安装软件包的过程中重启 Satellite 服务。有关在 Satellite 中安装和更新软件包的详情，请参考 第 11.5 节 “在 Satellite 或 Capsule 的基本操作系统上管理软件包”。

   # satellite-maintain packages install ipa-client

6. 在卫星服务器上，以 root 用户身份输入以下命令来配置 Red Hat Identity Management-enrollment:

   # ipa-client-install --password OTP

   使用 Red Hat Identity Management 管理员提供的一次性密码替换 OTP。

7. 如果 Satellite 服务器在 Red Hat Enterprise Linux 7 上运行，请执行以下命令：

   # subscription-manager repos --enable rhel-7-server-optional-rpms

   安装程序依赖于 Red Hat Enterprise Linux 7 上的软件包，它们位于 rhel-7-server-optional-rpms 的可选存储库中。

8. 使用以下命令将 foreman-ipa-authentication 设置为 true：

   # satellite-installer --foreman-ipa-authentication=true

9. 重启 satellite-maintain 服务：

   # satellite-maintain service restart

流程

1. 在 Red Hat Identity Management 服务器中要进行身份验证，请输入以下命令并在提示时输入您的密码：

   # kinit admin

2. 要验证您是否已通过身份验证，请输入以下命令：

   # klist

3. 在 Red Hat Identity Management 服务器上创建 HBAC 服务和规则，并将它们链接到一起。以下示例使用 PAM 服务名称 satellite-prod。在 Red Hat Identity Management 服务器中执行以下命令：

   # ipa hbacsvc-add satellite-prod
   # ipa hbacrule-add allow_satellite_prod
   # ipa hbacrule-add-service allow_satellite_prod --hbacsvcs=satellite-prod

4. 添加要有权访问服务 satellite-prod 和 Satellite Server 主机名的用户：

   # ipa hbacrule-add-user allow_satellite_prod --user=username
   # ipa hbacrule-add-host allow_satellite_prod --hosts=satellite.example.com

   或者，也可以将主机组和用户组添加到 allowsatellite_prod_ 规则。

5. 要检查规则的状态，请执行：

   # ipa hbacrule-find satellite-prod
   # ipa hbactest --user=username --host=satellite.example.com --service=satellite-prod

6. 确保 Red Hat Identity Management 服务器上禁用 allow_all 规则。有关如何在不中断其他服务的情况下进行此操作的步骤，请参阅红帽客户门户网站中的 IdM 中的如何配置 HBAC 规则。

7. 配置红帽身份管理与卫星服务器集成，如 第 13.2.1 节 “在卫星服务器上配置红帽身份管理身份验证” 所述。在卫星服务器上，以 root 用户身份定义 PAM 服务：

   # satellite-installer --foreman-pam-service=satellite-prod

流程

1. 安装所需的软件包：

   # satellite-maintain packages install sssd adcli realmd ipa-python-compat krb5-workstation samba-common-tools

2. 将卫星服务器注册到 AD 服务器。您可能需要具有管理员权限才能执行以下操作：

   # realm join -v EXAMPLE.ORG

流程

1. 创建 /etc/ipa/ 目录和 default.conf 文件：

   # mkdir /etc/ipa
   # touch /etc/ipa/default.conf

2. 在 default.conf 文件中添加以下内容：

   [global]
   server = unused
   realm = EXAMPLE.ORG

3. 使用以下内容创建 /etc/net-keytab.conf 文件：

   [global]
   workgroup = EXAMPLE
   realm = EXAMPLE.ORG
   kerberos method = system keytab
   security = ads

4. 确定 Apache 用户的有效用户 ID：

   # id apache

   Apache 用户不能访问 keytab 文件。

5. 使用以下内容创建 /etc/gssproxy/00-http.conf 文件：

   [service/HTTP]
   mechs = krb5
   cred_store = keytab:/etc/krb5.keytab
   cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
   euid = ID_of_Apache_User

6. 创建 keytab 条目：

   # KRB5_KTNAME=FILE:/etc/httpd/conf/http.keytab net ads keytab add HTTP -U administrator -d3 -s /etc/net-keytab.conf
   # chown root.apache /etc/httpd/conf/http.keytab
   # chmod 640 /etc/httpd/conf/http.keytab

7. 在 Satellite 中启用 IPA 验证：

   # satellite-installer --foreman-ipa-authentication=true

8. 启动并启用 gssproxy 服务：

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service

9. 将 Apache 服务器配置为使用 gssproxy 服务：

   1. 使用以下内容创建 /etc/systemd/system/httpd.service 文件：

      .include /lib/systemd/system/httpd.service
      [Service]
      Environment=GSS_USE_PROXY=1

   2. 对服务应用更改：

      # systemctl daemon-reload

10. 启动并启用 httpd 服务：

    # systemctl restart httpd.service

11. 验证 SSO 是否按预期工作。

    在运行 Apache 服务器时，如果客户端具有有效的 Kerberos 票据，则发出对服务器的 HTTP 请求的用户会被身份验证。

    1. 使用以下命令检索 LDAP 用户的 Kerberos ticket：

       # kinit ldapuser

    2. 使用以下命令查看 Kerberos ticket：

       # klist

    3. 使用以下命令，查看成功基于 SSO 的身份验证的输出：

       # curl -k -u : --negotiate https://satellite.example.com/users/extlogin

       这会返回以下响应：

       <html><body>You are being <a href="https://satellite.example.com/users/4-ldapuserexample-com/edit">redirected</a>.</body></html>

流程

1. 启用 HBAC：

   1. 创建一个外部组，并将 AD 组添加到其中。
   2. 将新的外部组添加到 POSIX 组。
   3. 在 HBAC 规则中使用 POSIX 组。

2. 配置 sssd 以传输 AD 用户的其他属性。

   • 将 AD 用户属性添加到 /etc/sssd/sssd.conf 中的 nss 和 domain 部分。

     例如：

     [nss]
     user_attributes=+mail, +sn, +givenname
     
     [domain/EXAMPLE]
     ldap_user_extra_attrs=mail, sn, givenname

1. 用户使用卫星 Web UI 验证卫星。
2. 用户使用 Satellite CLI 对 Satellite 进行身份验证。

流程

1. 在 Satellite 服务器中安装以下软件包：

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install

2. 将 Satellite 注册到红帽单点登录作为客户端。请注意，您使用 Web UI 和 CLI 登录的注册过程有所不同。您可以将两个客户端注册到红帽单点登录，以便能够通过 Web UI 和 CLI 登录卫星。

   • 如果您希望用户使用 Web UI 验证 Satellite，请按如下所示创建客户端：

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     在提示时输入 manage 帐户的密码。此命令会在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

     然后，将 Satellite 配置为使用 Red Hat Single Sign-On 作为身份验证源：

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • 如果您希望用户通过 CLI 验证 Satellite，请按如下所示创建客户端：

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     在提示时输入 manage 帐户的密码。此命令会在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

3. 重启 httpd 服务：

   # systemctl restart httpd

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Clients 并单击 Satellite 客户端。

2. 配置访问类型：

   • 如果您希望用户使用 Web UI 向 Satellite 进行身份验证，从 Access Type 列表中选择 confidential。
   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，从 Access Type 列表中选择 public。

3. 在 Valid redirect URI 字段中，添加有效的重定向 URI。

   • 如果您希望用户使用 Web UI 验证 Satellite，在现有 URI 下的空白字段中，以 https://satellite.example.com/users/extlogin 格式输入 URI。请注意，您必须在 Satellite FQDN 之后添加字符串 /users/extlogin。

     完成此步骤后，使用 Web UI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，在现有 URI 下的空白字段中，输入 urn:ietf:wg:oauth:2.0:oob。

     完成此步骤后，使用 CLI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. 点 Save。
5. 点 mappers 选项卡，然后点 Create 添加 audience mapper。
6. 在 Name 字段中输入 audience mapper 的名称。
7. 从 映射类型 列表中，选择 Audience。
8. 从 Included Client Audience 列表中，选择 Satellite 客户端。
9. 点 Save。
10. 点 Create 添加组映射程序，以便您可以根据组成员资格在 Satellite 中指定授权。
11. 在 Name 字段中输入组映射程序的名称。
12. 从 映射类型 列表中，选择 Group Membership。
13. 在 Token Claim Name 字段中输入组 。
14. 将 Full group path 设置设为 OFF。
15. 点 Save。

流程

1. 要使用代码授权类型验证 Satellite CLI，请输入以下命令：

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   该命令提示您输入成功代码。

2. 要检索成功代码，请导航到命令返回并提供所需信息的 URL。
3. 复制 Web UI 返回的成功代码。
4. 在 hammer auth login oauth 命令提示符下，输入成功代码以向 Satellite CLI 进行身份验证。

流程

1. 在 Satellite Web UI 中，导航到 Administer > User Groups，然后单击 Create User Group 按钮。
2. 在 Name 字段中输入用户组群的名称。名称不应与 Active Directory 中的相同。
3. 不要在右列中添加用户和用户组。点 Roles 选项卡。
4. 选中 Administer 复选框。
5. 点 External Groups 选项卡。
6. 点 Add external user group。
7. 在 Name 字段中输入 Active Directory 组的名称。
8. 从列表中，选择 EXTERNAL。

1. 用户使用卫星 Web UI 验证卫星。
2. 用户使用 Satellite CLI 对 Satellite 进行身份验证。

流程

1. 在 Satellite 服务器中安装以下软件包：

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install

2. 将 Satellite 注册到红帽单点登录作为客户端。请注意，您使用 Web UI 和 CLI 登录的注册过程有所不同。您可以将两个客户端注册到红帽单点登录，以便能够通过 Web UI 和 CLI 登录卫星。

   • 如果您希望用户使用 Web UI 验证 Satellite，请按如下所示创建客户端：

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     在提示时输入 manage 帐户的密码。此命令会在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

     然后，将 Satellite 配置为使用 Red Hat Single Sign-On 作为身份验证源：

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • 如果您希望用户通过 CLI 验证 Satellite，请按如下所示创建客户端：

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     在提示时输入 manage 帐户的密码。此命令会在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

3. 重启 httpd 服务：

   # systemctl restart httpd

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Clients 并单击 Satellite 客户端。

2. 配置访问类型：

   • 如果您希望用户使用 Web UI 向 Satellite 进行身份验证，从 Access Type 列表中选择 confidential。
   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，从 Access Type 列表中选择 public。

3. 在 Valid redirect URI 字段中，添加有效的重定向 URI。

   • 如果您希望用户使用 Web UI 验证 Satellite，在现有 URI 下的空白字段中，以 https://satellite.example.com/users/extlogin 格式输入 URI。请注意，您必须在 Satellite FQDN 之后添加字符串 /users/extlogin。

     完成此步骤后，使用 Web UI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，在现有 URI 下的空白字段中，输入 urn:ietf:wg:oauth:2.0:oob。

     完成此步骤后，使用 CLI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. 点 Save。
5. 点 mappers 选项卡，然后点 Create 添加 audience mapper。
6. 在 Name 字段中输入 audience mapper 的名称。
7. 从 映射类型 列表中，选择 Audience。
8. 从 Included Client Audience 列表中，选择 Satellite 客户端。
9. 点 Save。
10. 点 Create 添加组映射程序，以便您可以根据组成员资格在 Satellite 中指定授权。
11. 在 Name 字段中输入组映射程序的名称。
12. 从 映射类型 列表中，选择 Group Membership。
13. 在 Token Claim Name 字段中输入组 。
14. 将 Full group path 设置设为 OFF。
15. 点 Save。

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Satellite 域。
2. 导航到 Authentication，点 OTP Policy 选项卡。
3. 确保 支持的 Applications 字段包含 FreeOTP 或 Google Authenticator。
4. 配置 OTP 设置以符合您的要求。
5. 可选：如果要将 TOTP 身份验证用作所有用户的默认验证方法，点 Flows 选项卡，然后选择 OTP Form 设置的权利，请选择 REQUIRED。
6. 点 所需的 Actions 选项卡。
7. 在 Configure OTP 行的右侧，选择 Default Action 复选框。

流程

1. 登录卫星，Satellite 重定向到红帽单点登录登录屏幕。
2. 输入您的用户名和密码，然后点击 Log In。
3. 首先尝试登录，通过扫描 barcode 并输入显示 pin，来配置您的客户端的红帽单点登录请求。
4. 在配置客户端并输入有效的 PIN 后，Red Hat Single Sign-On 会将您重定向到 Satellite 并登录。

流程

1. 要使用代码授权类型验证 Satellite CLI，请输入以下命令：

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   该命令提示您输入成功代码。

2. 要检索成功代码，请导航到命令返回并提供所需信息的 URL。
3. 复制 Web UI 返回的成功代码。
4. 在 hammer auth login oauth 命令提示符下，输入成功代码以向 Satellite CLI 进行身份验证。

流程

1. 在 Satellite Web UI 中，导航到 Administer > User Groups，然后单击 Create User Group 按钮。
2. 在 Name 字段中输入用户组群的名称。名称不应与 Active Directory 中的相同。
3. 不要在右列中添加用户和用户组。点 Roles 选项卡。
4. 选中 Administer 复选框。
5. 点 External Groups 选项卡。
6. 点 Add external user group。
7. 在 Name 字段中输入 Active Directory 组的名称。
8. 从列表中，选择 EXTERNAL。

调整超时设置：

1. 进入 Administer > Settings。
2. 在搜索框中输入 %_timeout 并点 Search。搜索应该返回四个设置，包括描述。
3. 在 Value 列中，单击数字旁边的图标进行编辑。
4. 输入所需值（以秒为单位），然后单击 Save。

禁用服务的检查：

1. 进入 Administer > Settings。
2. 在搜索框中输入 check_services_before_actions，然后点击 Search。
3. 在 Value 列中，单击图标以编辑该值。
4. 从下拉菜单中选择 false。
5. 点 Save。

要创建书签：

1. 导航到您要创建书签的页面。
2. 在 Search 字段中输入您要保存的搜索查询。
3. 选择搜索按钮右侧的箭头，然后选择 此搜索标记。
4. 在 Name 字段中输入新书签的名称。
5. 在 Search query 字段中，确保搜索查询正确。

6. 确保正确设置公共复选框 ：

   • 选择 公共复选框，将书签设置为公共，并对所有用户可见。
   • 清除 公共复选框，将书签设置为私有，且仅对创建它的用户可见。
7. 点 Submit。

要删除书签：

1. 导航到 Administer > Bookmarks。
2. 在 Bookmarks 页面上，单击 Delete 作为您要删除的书签。
3. 确认窗口打开后，单击确定以确认 删除。