从连接的网络安装 Satellite 服务器

1. 禁用所有软件仓库：

   # subscription-manager repos --disable "*"

2. 启用以下软件仓库：

   # subscription-manager repos --enable=rhel-7-server-rpms \
   --enable=rhel-7-server-satellite-6.10-rpms \
   --enable=rhel-7-server-satellite-maintenance-6-rpms \
   --enable=rhel-server-rhscl-7-rpms \
   --enable=rhel-7-server-ansible-2.9-rpms

流程

1. 更新所有软件包：

   # yum update

2. 安装 Satellite 服务器软件包：

   # yum install satellite

流程

1. 使用以下命令，包括您要使用的任何附加选项：

   # satellite-installer --scenario satellite \
   --foreman-initial-organization "initial_organization_name" \
   --foreman-initial-location "initial_location_name" \
   --foreman-initial-admin-username admin_user_name \
   --foreman-initial-admin-password admin_password

   该脚本显示其进度，并将日志写入 /var/log/foreman-installer/satellite-installer --scenario satellite.log。

流程

1. 在 Satellite Web UI 中，导航到 Infrastructure > HTTP Proxies。
2. 点 New HTTP Proxy。
3. 在 Name 字段中输入 HTTP 代理的名称。
4. 在 Url 字段中，以以下格式输入 HTTP 代理的 URL: \https://proxy.example.com:8080。
5. 可选：如果需要身份验证，在 Username 字段中输入要进行身份验证的用户名。
6. 可选： 如果需要验证，在 Password 字段中输入要进行身份验证的密码。
7. 要测试到代理的连接，请单击 Test Connection 按钮。
8. 点 Submit。
9. 导航到 Administer > Settings，然后点 Content 选项卡。
10. 将默认 HTTP Proxy 设置设置为创建的 HTTP 代理。

CLI 过程

1. 验证 http_proxy、https_proxy 和 no_proxy 变量是否已设置。

   # unset http_proxy
   # unset https_proxy
   # unset no_proxy

2. 在 Satellite 中添加 HTTP 代理条目：

   # hammer http-proxy create --name=myproxy \
   --url http://myproxy.example.com:8080  \
   --username=proxy_username \
   --password=proxy_password

3. 将 Satellite 配置为默认使用此 HTTP 代理：

   # hammer settings set --name=content_default_http_proxy --value=myproxy

流程

1. 在网络网关和 HTTP 代理上，为以下主机名启用 TCP：

   主机名	端口	协议
   subscription.rhsm.redhat.com	443	HTTPS
   cdn.redhat.com	443	HTTPS
   *.akamaiedge.net	443	HTTPS
   cert.cloud.redhat.com （如果使用 Red Hat Insights）	443	HTTPS
   cert-api.access.redhat.com （如果使用 Red Hat Insights）	443	HTTPS
   api.access.redhat.com （如果使用 Red Hat Insights）	443	HTTPS

   卫星服务器使用 SSL 安全地与红帽 CDN 通信。使用 SSL 拦截器代理会干扰这个通信。这些主机必须在代理上列在白名单中。

   有关 Red Hat CDN (cdn.redhat.com)使用的 IP 地址列表，请查看红帽客户门户网站中的知识库文章公共 CIDR 列表。

2. 在卫星服务器上，在 /etc/rhsm/rhsm.conf 文件中完成以下详情：

   # an http proxy server to use (enter server FQDN)
   proxy_hostname = myproxy.example.com
   
   # port for http proxy server
   proxy_port = 8080
   
   # user name for authenticating to an http proxy, if needed
   proxy_user =
   
   # password for basic http proxy auth, if needed
   proxy_password =

流程

1. 在 Satellite 上，要验证 SELinux 允许用于 HTTP 缓存的端口，请输入以下命令：

   # semanage port -l | grep http_cache
   http_cache_port_t       tcp    8080, 8118, 8123, 10001-10010
   [output truncated]

2. 要将 SELinux 配置为允许 HTTP 缓存的端口，如 8088，请输入以下命令：

   # semanage port -a -t http_cache_port_t -p tcp 8088

流程

1. 在 Satellite Web UI 中，导航到 Administer > Settings。
2. 在 HTTP (S)代理 行中，选择相邻 值 列并输入代理 URL。
3. 点 tick 图标保存您的更改。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Settings。
2. 在 HTTP (S)代理（除 hosts 行外），选择相邻 值 列并输入您要从代理请求中排除的一个或多个主机的名称。
3. 点 tick 图标保存您的更改。

流程

1. 导航到 Administer > Settings，然后点 Content 选项卡。
2. 将默认 HTTP 代理服务器 设置为 no global default。

流程

1. 要存储所有源证书文件，请创建一个只可由 root 用户访问的目录。

   # mkdir /root/satellite_cert

2. 创建为证书签名请求(CSR)签名的私钥。

   请注意，私钥必须未加密。如果您使用受密码保护的私钥，请删除私钥密码。

   如果您已拥有此卫星服务器的私钥，请跳过这一步。

   # openssl genrsa -out /root/satellite_cert/satellite_cert_key.pem 4096

3. 为证书签名请求(CSR)创建 /root/satellite_cert/openssl.cnf 配置文件，并包含以下内容：

   [ req ]
   req_extensions = v3_req
   distinguished_name = req_distinguished_name
   x509_extensions = usr_cert
   prompt = no
   
   [ req_distinguished_name ] 1
   C  = Country Name (2 letter code)
   ST = State or Province Name (full name)
   L  = Locality Name (eg, city)
   O  = Organization Name (eg, company)
   OU = The division of your organization handling the certificate
   CN = satellite.example.com 2
   
   [ v3_req ]
   basicConstraints = CA:FALSE
   keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   subjectAltName = @alt_names
   
   [ usr_cert ]
   basicConstraints=CA:FALSE
   nsCertType = client, server, email
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   nsComment = "OpenSSL Generated Certificate"
   subjectKeyIdentifier=hash
   authorityKeyIdentifier=keyid,issuer
   
   [ alt_names ]
   DNS.1 = satellite.example.com 3

   1

   在 [ req_distinguished_name ] 部分中，输入有关您的机构的信息。

   2

   将证书的通用名称 CN 设置为与卫星服务器的完全限定域名(FQDN)匹配。若要确认 FQDN，可在该卫星服务器上输入 hostname -f 命令。这需要确保 katello-certs-check 命令正确验证证书。

   3

   将 Subject Alternative Name (SAN) DNS.1 设置为与您的服务器的完全限定域名(FQDN)匹配。

4. 生成证书签名请求(CSR)：

   # openssl req -new \
   -key /root/satellite_cert/satellite_cert_key.pem \ 1
   -config /root/satellite_cert/openssl.cnf \ 2
   -out /root/satellite_cert/satellite_cert_csr.pem 3

   1

   私钥的路径。

   2

   到配置文件的路径。

   3

   要生成的 CSR 的路径。

5. 将证书签名请求发送到证书颁发机构。相同的证书颁发机构必须签署卫星服务器和胶囊服务器的证书。

   提交请求时，指定证书的 lifespan。发送证书请求的方法会有所不同，因此请查阅证书颁发机构来获得首选方法。为响应请求，预计可在单独的文件中接收证书颁发机构捆绑包和签名证书。

流程

1. 验证自定义 SSL 证书输入文件。请注意，对于 katello-certs-check 命令正常工作，证书中的通用名称(CN)必须与卫星服务器的 FQDN 匹配。

   # katello-certs-check \
   -c /root/satellite_cert/satellite_cert.pem \      1
   -k /root/satellite_cert/satellite_cert_key.pem \  2
   -b /root/satellite_cert/ca_cert_bundle.pem        3

   1

   由证书颁发机构签名的卫星服务器证书文件的路径。

   2

   用于签署卫星服务器证书的私钥的路径。

   3

   证书颁发机构捆绑包的路径。

   如果命令成功，它会返回两个 satellite-installer 命令，其中一个命令必须使用它来将证书部署到卫星服务器。

   要使用自定义证书安装 Red Hat Satellite 服务器，请运行：

     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite.example.com_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite.example.com_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/CA-Chain.pem"

   要更新当前运行的 Satellite 安装中的证书，请运行：

     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite.example.com_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite.example.com_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/CA-Chain.pem" \
       --certs-update-server \
       --certs-update-server-ca

2. 根据您的要求，输入 satellite-installer 命令，该命令使用自定义 SSL 证书安装新的卫星服务器，或在当前运行的卫星服务器上更新证书。在某些情况下，katello-certs-check 命令的输出可能并不准确。因此，您必须遵循上述步骤，而不是命令输出。

   如果您不确定要运行哪些命令，可以通过检查 /etc/foreman-installer/scenarios.d/.installed.d/.installed 文件来验证是否安装了卫星。如果文件存在，请运行更新证书的第二个 satellite-installer 命令。

   重要

   部署证书后，请勿删除证书存档文件。例如，在升级卫星服务器时，需要它。

3. 在有网络访问卫星服务器的计算机中，导航到以下 URL： \https://satellite.example.com。
4. 在浏览器中，查看证书详情以验证部署的证书。

流程

1. 使用 Attaching Satellite Infrastructure Subscription 中的说明将 Satellite 订阅附加到您的服务器。

2. 禁用所有软件仓库并只启用以下软件仓库：

   # subscription-manager repos --disable '*'
   # subscription-manager repos --enable=rhel-server-rhscl-7-rpms \
   --enable=rhel-7-server-rpms --enable=rhel-7-server-satellite-6.10-rpms

流程

1. 要安装 PostgreSQL，请输入以下命令：

   # yum install rh-postgresql12-postgresql-server \
   rh-postgresql12-syspaths \
   rh-postgresql12-postgresql-evr

2. 要初始化 PostgreSQL，请输入以下命令：

   # postgresql-setup initdb

3. 编辑 /var/opt/rh/rh-postgresql12/lib/pgsql/data/postgresql.conf 文件：

   # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/postgresql.conf

4. 删除 # 和 edit 以侦听入站连接：

   listen_addresses = '*'

5. Edit the /var/opt/rh/rh-postgresql12/lib/pgsql/data/pg_hba.conf file:

   # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/pg_hba.conf

6. 在文件中添加以下行：

     host  all   all   Satellite_ip/24   md5

7. 要启动并启用 PostgreSQL 服务，请输入以下命令：

   # systemctl start postgresql
   # systemctl enable postgresql

8. 在外部 PostgreSQL 服务器上打开 postgresql 端口：

   # firewall-cmd --add-service=postgresql
   # firewall-cmd --runtime-to-permanent

9. 切换到 postgres 用户并启动 PostgreSQL 客户端：

   $ su - postgres -c psql

10. 创建三个数据库和专用角色：一个用于 Satellite，一个用于 Candlepin，另一个用于 Pulp：

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE USER "pulp" WITH PASSWORD 'Pulpcore_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;
    CREATE DATABASE pulpcore OWNER pulp;

11. 退出 postgres 用户：

    # \q

12. 从卫星服务器，测试您可以访问数据库。如果连接成功，命令会返回 1。

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"
    # PGPASSWORD='Pulpcore_Password' psql -h postgres.example.com -p 5432 -U pulp -d pulpcore -c "SELECT 1 as ping"

流程

1. 要为 Satellite 配置外部数据库，请输入以下命令：

   satellite-installer --scenario satellite \
     --foreman-db-host postgres.example.com \
     --foreman-db-password Foreman_Password \
     --foreman-db-database foreman \
     --foreman-db-manage false \
     --katello-candlepin-db-host postgres.example.com \
     --katello-candlepin-db-name candlepin \
     --katello-candlepin-db-password Candlepin_Password \
     --katello-candlepin-manage-db false \
     --foreman-proxy-content-pulpcore-manage-postgresql false \
     --foreman-proxy-content-pulpcore-postgresql-host postgres.example.com \
     --foreman-proxy-content-pulpcore-postgresql-db-name pulpcore \
     --foreman-proxy-content-pulpcore-postgresql-password Pulpcore_Password
     --foreman-proxy-content-pulpcore-postgresql-user pulp

   要为这些外部数据库启用安全套接字层(SSL)协议，请添加以下选项：

   --foreman-db-sslmode verify-full
   --foreman-db-root-cert <path_to_CA>
   --katello-candlepin-db-ssl true
   --katello-candlepin-db-ssl-verify true
   --foreman-proxy-content-pulpcore-postgresql-ssl true
   --foreman-proxy-content-pulpcore-postgresql-ssl-root-ca <path_to_CA>

流程

1. 在 Red Hat Enterprise Linux 服务器服务器中，安装 ISC DHCP Service 和 Berkeley Internet Name Domain (BIND)软件包：

   # yum install dhcp bind

2. 生成安全令牌：

   # dnssec-keygen -a HMAC-MD5 -b 512 -n HOST omapi_key

   因此，在当前目录中创建由两个文件组成的密钥对。

3. 从密钥复制 secret 哈希：

   # cat Komapi_key.+*.private |grep ^Key|cut -d ' ' -f2

4. 编辑所有子网的 dhcpd 配置文件并添加该密钥。以下是一个示例：

   # cat /etc/dhcp/dhcpd.conf
   default-lease-time 604800;
   max-lease-time 2592000;
   log-facility local7;
   
   subnet 192.168.38.0 netmask 255.255.255.0 {
   	range 192.168.38.10 192.168.38.100;
   	option routers 192.168.38.1;
   	option subnet-mask 255.255.255.0;
   	option domain-search "virtual.lan";
   	option domain-name "virtual.lan";
   	option domain-name-servers 8.8.8.8;
   }
   
   omapi-port 7911;
   key omapi_key {
   	algorithm HMAC-MD5;
   	secret "jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw==";
   };
   omapi-key omapi_key;

   请注意，选项路由器 值是您要用于外部 DHCP 服务的卫星或胶囊 IP 地址。

5. 从在其中创建的目录中删除这两个密钥文件。

6. 在卫星服务器上，定义各个子网。暂时不要为定义的子网设置 DHCP 胶囊。

   要防止冲突，请单独设置租期和保留范围。例如，如果租期范围是 192.168.38.10 到 192.168.38.100，在卫星 Web UI 中将保留范围定义为 192.168.38.101 到 192.168.38.250。

7. 配置外部对 DHCP 服务器的防火墙：

   # firewall-cmd --add-service dhcp \
   && firewall-cmd --runtime-to-permanent

8. 在卫星服务器上，确定 foreman 用户的 UID 和 GID：

   # id -u foreman
   993
   # id -g foreman
   990

9. 在 DHCP 服务器上，使用与上一步中确定相同的 ID 创建 foreman 用户和组：

   # groupadd -g 990 foreman
   # useradd -u 993 -g 990 -s /sbin/nologin foreman

10. 为确保配置文件可以访问，请恢复读取和执行标志：

    # chmod o+rx /etc/dhcp/
    # chmod o+r /etc/dhcp/dhcpd.conf
    # chattr +i /etc/dhcp/ /etc/dhcp/dhcpd.conf

11. 启动 DHCP 服务：

    # systemctl start dhcpd

12. 使用 NFS 导出 DHCP 配置和租期文件：

    # yum install nfs-utils
    # systemctl enable rpcbind nfs-server
    # systemctl start rpcbind nfs-server nfs-lock nfs-idmapd

13. 为您要使用 NFS 导出的 DHCP 配置和租期文件创建目录：

    # mkdir -p /exports/var/lib/dhcpd /exports/etc/dhcp

14. 要为创建的目录创建挂载点，请在 /etc/fstab 文件中添加以下行：

    /var/lib/dhcpd /exports/var/lib/dhcpd none bind,auto 0 0
    /etc/dhcp /exports/etc/dhcp none bind,auto 0 0

15. 在 /etc/fstab 中挂载文件系统：

    # mount -a

16. 确保 /etc/exports 中存在以下行：

    /exports 192.168.38.1(rw,async,no_root_squash,fsid=0,no_subtree_check)
    
    /exports/etc/dhcp 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)
    
    /exports/var/lib/dhcpd 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)

    请注意，您输入的 IP 地址是卫星或胶囊 IP 地址，您要用于外部 DHCP 服务。

17. 重新载入 NFS 服务器：

    # exportfs -rva

18. 配置 DHCP omapi 端口 7911 的防火墙：

    # firewall-cmd --add-port="7911/tcp" \
    && firewall-cmd --runtime-to-permanent

19. 可选：配置对 NFS 外部访问的防火墙。客户端使用 NFSv3 配置。

    # firewall-cmd --zone public --add-service mountd \
    && firewall-cmd --zone public --add-service rpc-bind \
    && firewall-cmd --zone public --add-service nfs \
    && firewall-cmd --runtime-to-permanent

流程

1. 安装 nfs-utils 工具：

   # yum install nfs-utils

2. 为 NFS 创建 DHCP 目录：

   # mkdir -p /mnt/nfs/etc/dhcp /mnt/nfs/var/lib/dhcpd

3. 更改文件所有者：

   # chown -R foreman-proxy /mnt/nfs

4. 验证与 NFS 服务器和远程过程调用(RPC)通信路径的通信：

   # showmount -e DHCP_Server_FQDN
   # rpcinfo -p DHCP_Server_FQDN

5. 在 /etc/fstab 文件中添加以下几行：

   DHCP_Server_FQDN:/exports/etc/dhcp /mnt/nfs/etc/dhcp nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcp_etc_t:s0" 0 0
   
   DHCP_Server_FQDN:/exports/var/lib/dhcpd /mnt/nfs/var/lib/dhcpd nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcpd_state_t:s0" 0 0

6. 在 /etc/fstab 上挂载文件系统：

   # mount -a

7. 要验证 foreman-proxy 用户可以访问通过网络共享的文件，显示 DHCP 配置和租期文件：

   # su foreman-proxy -s /bin/bash
   bash-4.2$ cat /mnt/nfs/etc/dhcp/dhcpd.conf
   bash-4.2$ cat /mnt/nfs/var/lib/dhcpd/dhcpd.leases
   bash-4.2$ exit

8. 输入 satellite-installer 命令，对 /etc/foreman-proxy/settings.d/dhcp.yml 文件进行以下持久更改：

   # satellite-installer --foreman-proxy-dhcp=true \
   --foreman-proxy-dhcp-provider=remote_isc \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /mnt/nfs/etc/dhcp/dhcpd.conf \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /mnt/nfs/var/lib/dhcpd/dhcpd.leases \
   --foreman-proxy-plugin-dhcp-remote-isc-key-name=omapi_key \
   --foreman-proxy-plugin-dhcp-remote-isc-key-secret=jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw== \
   --foreman-proxy-plugin-dhcp-remote-isc-omapi-port=7911 \
   --enable-foreman-proxy-plugin-dhcp-remote-isc \
   --foreman-proxy-dhcp-server=DHCP_Server_FQDN

9. 重启 foreman-proxy 服务：

   # systemctl restart foreman-proxy

10. 登录卫星服务器 Web UI。
11. 导航到 Infrastructure > Capsules，找到 Satellite Server，然后从 Actions 列中的列表中，选择 Refresh。
12. 将 DHCP 服务与适当的子网和域关联。

在 IdM 服务器中创建 Kerberos 主体

1. 为从 IdM 管理员获取的帐户获取了一个 Kerberos ticket：

   # kinit idm_user

2. 为卫星服务器创建一个新的 Kerberos 主体，以用于在 IdM 服务器中进行身份验证。

   # ipa service-add satellite.example.com

安装和配置 IdM 客户端

1. 在管理部署的 DNS 服务的 Satellite 或 Capsule 的基本操作系统上，安装 ipa-client 软件包：

   # satellite-maintain packages install ipa-client

2. 运行安装脚本并根据屏幕提示来配置 IdM 客户端：

   # ipa-client-install

3. 获取Kerberos ticket：

   # kinit admin

4. 删除任何预先存在的 keytab ：

   # rm /etc/foreman-proxy/dns.keytab

5. 获取此系统的 keytab:

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -s idm1.example.com -k /etc/foreman-proxy/dns.keytab

   注意

   当在服务中使用与原始系统相同的主机名添加 keytab 系统时，添加 r 选项以防止生成新凭证并在原始系统中呈现凭证无效。

6. 对于 dns.keytab 文件，请将组和拥有者设置为 foreman-proxy ：

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

7. 可选： 要验证 keytab 文件是否有效，请输入以下命令：

   # kinit -kt /etc/foreman-proxy/dns.keytab \
   capsule/satellite.example.com@EXAMPLE.COM

在 IdM web UI 中配置 DNS 区域

1. 创建并配置您要管理的区域：

   1. 导航到 Network Services > DNS > DNS Zones。
   2. 选择 Add 并输入区名称。例如： example.com。
   3. 点 Add and Edit。

   4. 点 Settings 选项卡并在 BIND 更新策略 框中，将以下内容添加到分号分开的列表：

      grant capsule/047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   5. 将 Dynamic update 设置为 True。
   6. 启用 允许 PTR 同步。
   7. 点 Save 保存更改。

2. 创建并配置反向区：

   1. 导航到 Network Services > DNS > DNS Zones。
   2. 点 Add。
   3. 选择 Reverse zone IP 网络，并以 CIDR 格式添加网络地址以启用反向查找。
   4. 点 Add and Edit。

   5. 点 Settings 选项卡并在 BIND 更新策略 框中，将以下内容添加到分号分开的列表：

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   6. 将 Dynamic update 设置为 True。
   7. 点 Save 保存更改。

配置管理域的 DNS 服务的卫星或胶囊服务器

1. 使用 satellite-installer 命令配置管理域的 DNS 服务的 Satellite 或 Capsule：

   • 在 Satellite 上输入以下命令：

     satellite-installer --scenario satellite \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=true \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-reverse="55.168.192.in-addr.arpa" \
     --foreman-proxy-dns-zone=example.com \
     --foreman-proxy-dns-ttl=86400

   • 在 Capsule 上输入以下命令：

     satellite-installer --scenario capsule \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=true \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-reverse="55.168.192.in-addr.arpa" \
     --foreman-proxy-dns-zone=example.com \
     --foreman-proxy-dns-ttl=86400

2. 重启 Satellite 或 Capsule 的 Proxy 服务。

   # systemctl restart foreman-proxy

在卫星 Web UI 中更新配置

1. 导航到 Infrastructure > Capsules，找到 Satellite Server，然后从 Actions 列中的列表中，选择 Refresh。

2. 配置域：

   1. 导航到 Infrastructure > Domains 并选择域名。
   2. 在 Domain 选项卡中，确保将 DNS Capsule 设置为连接子网的胶囊。

3. 配置子网：

   1. 导航到 Infrastructure > Subnets 并选择子网名称。
   2. 在 子网 选项卡中，将 IPAM 设置为 None。
   3. 在 Domains 选项卡中，选择您要使用 IdM 服务器管理的域。
   4. 在 Capsules 选项卡中，确保 Reverse DNS Capsule 设置为连接子网的胶囊。
   5. 单击 Submit 以保存更改。

为 IdM 服务器中的 DNS 区启用外部更新

1. 在 IdM 服务器中，将以下内容添加到 /etc/named.conf 文件的顶部：

   ########################################################################
   
   include "/etc/rndc.key";
   controls  {
   inet _IdM_Server_IP_Address_ port 953 allow { _Satellite_IP_Address_; } keys { "rndc-key"; };
   };
   ########################################################################

2. 重新载入 命名的 服务以使更改生效：

   # systemctl reload named

3. 在 IdM web UI 中，进入 Network Services > DNS > DNS Zones 并点区的名称。在 Settings 选项卡中，应用以下更改：

   1. 在 BIND 更新策略 框中添加以下内容：

      grant "rndc-key" zonesub ANY;

   2. 将 Dynamic update 设置为 True。
   3. 点 Update 保存更改。

4. 将 /etc/rndc.key 文件从 IdM 服务器复制到 Satellite 服务器的基本操作系统。输入以下命令：

   # scp /etc/rndc.key root@satellite.example.com:/etc/rndc.key

5. 要为 rndc.key 文件设置正确的所有权、权限和 SELinux 上下文，请输入以下命令：

   # restorecon -v /etc/rndc.key
   # chown -v root:named /etc/rndc.key
   # chmod -v 640 /etc/rndc.key

6. 手动将 foreman-proxy 用户分配给 指定组。通常，satellite-installer 可确保 foreman-proxy 用户属于指定的 UNIX 组，但是在这种情况下，卫星不管理用户和组，因此您需要将 foreman-proxy 用户手动分配给指定组。

   # usermod -a -G named foreman-proxy

7. 在 Satellite 服务器中，输入以下 satellite-installer 命令，将 Satellite 配置为使用外部 DNS 服务器：

   # satellite-installer --scenario satellite \
   --foreman-proxy-dns=true \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="IdM_Server_IP_Address" \
   --foreman-proxy-keyfile=/etc/rndc.key \
   --foreman-proxy-dns-ttl=86400

在 IdM 服务器中测试到 DNS 区的外部更新

1. 确保 Satellite Server 中的 /etc/rndc.key 文件中的键是 IdM 服务器中使用的相同密钥文件：

   key "rndc-key" {
           algorithm hmac-md5;
           secret "secret-key==";
   };

2. 在卫星服务器上，为主机创建测试 DNS 条目。例如，在位于 192.168.25.1 的 IdM 服务器上的 A 记录为 192.168.25.20 的主机 test.example.com。

   # echo -e "server 192.168.25.1\n \
   update add test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

3. 在 Satellite 服务器中测试 DNS 条目：

   # nslookup test.example.com 192.168.25.1
   Server:		192.168.25.1
   Address:	192.168.25.1#53
   
   Name:	test.example.com
   Address: 192.168.25.20

4. 要在 IdM web UI 中查看条目，请导航至 Network Services > DNS > DNS Zones。单击区域的名称，再按名称搜索主机。

5. 如果成功解决，请删除测试 DNS 条目：

   # echo -e "server 192.168.25.1\n \
   update delete test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

6. 确认删除了 DNS 条目：

   # nslookup test.example.com 192.168.25.1

   以上 nslookup 命令会失败，并在成功删除记录时返回 SERVFAIL 错误消息。

在卫星 Web UI 中更新配置

1. 导航到 Infrastructure > Capsules。
2. 对于您要更新的每个胶囊，请从 Actions 列表中选择 Refresh。

3. 配置域：

   1. 进入 Infrastructure > Domains 并点您要配置的域名。
   2. 在 Domain 选项卡中，将 DNS Capsule 设置为连接子网的胶囊。

4. 配置子网：

   1. 导航到 Infrastructure > Subnets 并选择子网名称。
   2. 在 Subnet 选项卡中，将 IPAM 设置为 DHCP 或内部数据库。
   3. 在 Domains 选项卡中，选择您要使用卫星或胶囊管理的域。
   4. 在 Capsules 选项卡中，将 Reverse DNS Capsule 设置为连接子网的胶囊。
   5. 单击 Submit 以保存更改。