从断开连接的网络安装 Satellite 服务器

流程

1. 使用以下命令，包括您要使用的任何附加选项：

   # satellite-installer --scenario satellite \
   --foreman-initial-organization "initial_organization_name" \
   --foreman-initial-location "initial_location_name" \
   --foreman-initial-admin-username admin_user_name \
   --foreman-initial-admin-password admin_password

   该脚本显示其进度，并将日志写入 /var/log/foreman-installer/satellite-installer --scenario satellite.log。

2. 卸载 ISO 镜像：

   # umount /media/sat6
   # umount /media/rhel7-server

流程

1. 访问 https://access.redhat.com/ 并登录红帽客户门户网站。
2. 在窗口的左上角，单击 Downloads。
3. 在 Red Hat Enterprise Linux 7 右侧，点击 Versions 7 及以下。
4. 在 Version 列表中选择 Red Hat Enterprise Linux 7 所需的版本，如 7.7。
5. 在 Download Red Hat Enterprise Linux 窗口中，找到 ISO 镜像的二进制 DVD 版本，例如： Red Hat Enterprise Linux 7.7 Binary DVD，然后点击 Download Now。
6. 下载完成后，将 ISO 镜像复制到卫星服务器。

7. 在卫星服务器上，创建一个挂载点，并在该位置临时挂载 ISO 镜像：

   # mkdir /mnt/iso
   # mount -o loop rhel-binary-dvd.iso /mnt/iso

8. 创建 Kickstart 目录：

   # mkdir --parents \
   /var/www/html/pub/sat-import/content/dist/rhel/server/7/7.7/x86_64/kickstart/

9. 从 ISO 镜像复制 kickstart 文件：

   # cp -a /mnt/iso/* /var/www/html/pub/sat-import/content/dist/rhel/server/7/7.7/x86_64/kickstart/

10. 在列出文件中添加以下条目：

    至 /var/www/html/pub/sat-import/content/dist/rhel/server/7/listing 文件，请使用新行附加版本号。例如，对于 RHEL 7.7 ISO，请附加 7.7。

    至 /var/www/html/pub/sat-import/content/dist/rhel/server/7/7.7/listing 文件，请使用新行附加架构。例如，x86_64。

    至 /var/www/html/pub/sat-import/content/dist/rhel/server/7/7.7.7/x86_64/listing 文件，使用新行附加 kickstart。

11. 从 ISO 镜像复制 .treeinfo 文件：

    # cp /mnt/iso/.treeinfo \
    /var/www/html/pub/sat-import/content/dist/rhel/server/7/7.7/x86_64/kickstart/treeinfo

12. 如果您不计划使用挂载的二进制 DVD ISO 镜像，请卸载并删除目录：

    # umount /mnt/iso
    # rmdir /mnt/iso

13. 在卫星 Web UI 中，启用 Kickstart 存储库。

流程

1. 访问 https://access.redhat.com/ 并登录红帽客户门户网站。
2. 在窗口的左上角，单击 Downloads。
3. 单击 Red Hat Enterprise Linux 8。
4. 在 Download Red Hat Enterprise Linux 窗口中，找到 ISO 镜像的二进制 DVD 版本，例如： Red Hat Enterprise Linux 8.1 Binary DVD 并点 Download Now。
5. 下载完成后，将 ISO 镜像复制到卫星服务器。

6. 在卫星服务器上，创建一个挂载点，并在该位置临时挂载 ISO 镜像：

   # mkdir /mnt/iso
   # mount -o loop rhel-binary-dvd.iso /mnt/iso

7. Create directories for Red Hat Enterprise Linux 8 AppStream and BaseOS Kickstart repositories:

   # mkdir --parents \
   /var/www/html/pub/sat-import/content/dist/rhel8/8.1/x86_64/appstream/kickstart
   
   # mkdir --parents \
    /var/www/html/pub/sat-import/content/dist/rhel8/8.1/x86_64/baseos/kickstart

8. 从 ISO 镜像复制 kickstart 文件：

   # cp -a /mnt/iso/AppStream/* \
   /var/www/html/pub/sat-import/content/dist/rhel8/8.1/x86_64/appstream/kickstart
   
   # cp -a /mnt/iso/BaseOS/* /mnt/iso/images/ \
   /var/www/html/pub/sat-import/content/dist/rhel8/8.1/x86_64/baseos/kickstart

   请注意，对于 BaseOS，还必须复制 /mnt/iso/images/ 目录的内容。

9. 在列出文件中添加以下条目：

   至 /var/www/html/pub/sat-import/content/dist/rhel8/8.1/x86_64/appstream/listing 文件，使用新行附加 kickstart。

   进入 /var/www/html/pub/sat-import/content/dist/rhel8/8.1/x86_64/baseos/listing 文件，使用新行附加 kickstart ：

   至 /var/www/html/pub/sat-import/content/dist/rhel8/listing 文件，请使用新行附加版本号。例如，对于 RHEL 8.1 二进制 ISO，请附加 8.1。

10. 从 ISO 镜像复制 .treeinfo 文件：

    # cp /mnt/iso/.treeinfo \
    /var/www/html/pub/sat-import/content/dist/rhel8/8.1/x86_64/appstream/kickstart/treeinfo
    
    # cp /mnt/iso/.treeinfo \
    /var/www/html/pub/sat-import/content/dist/rhel8/8.1/x86_64/baseos/kickstart/treeinfo

11. 打开 /var/www/html/pub/sat-import/content/dist/rhel8/8.1/x86_64/baseos/kickstart/treeinfo 文件进行编辑。

12. 在 [general] 部分，进行以下更改：

    • 将 packagedir = AppStream/Packages 更改为 packagedir = Packages
    • 更改 存储库 = AppStream to repository = .
    • 更改 变体 = AppStream to variants = BaseOS
    • 更改 变体 = AppStream,BaseOS to variants = BaseOS
13. 在 [tree] 部分中，将 变体 = AppStream,BaseOS 更改为 variants = BaseOS。

14. 在 [variant-BaseOS] 部分中，进行以下更改：

    • 将 package = BaseOS/Packages 更改为 packages = Packages
    • 更改 repository = BaseOS to repository = .
15. 删除 [media] 和 [variant-AppStream] 部分。
16. 保存并关闭该文件。

17. 验证 /var/www/html/pub/sat-import/content/dist/rhel8/8.1/x86_64/baseos/kickstart/treeinfo 文件具有以下格式：

    [checksums]
    images/efiboot.img = sha256:9ad9beee4c906cd05d227a1be7a499c8d2f20b3891c79831325844c845262bb6
    images/install.img = sha256:e246bf4aedfff3bb54ae9012f959597cdab7387aadb3a504f841bdc2c35fe75e
    images/pxeboot/initrd.img = sha256:a66e3c158f02840b19c372136a522177a2ab4bd91cb7269fb5bfdaaf7452efef
    images/pxeboot/vmlinuz = sha256:789028335b64ddad343f61f2abfdc9819ed8e9dfad4df43a2694c0a0ba780d16
    
    [general]
    ; WARNING.0 = This section provides compatibility with pre-productmd treeinfos.
    ; WARNING.1 = Read productmd documentation for details about new format.
    arch = x86_64
    family = Red Hat Enterprise Linux
    name = Red Hat Enterprise Linux 8.1.0
    packagedir = Packages
    platforms = x86_64,xen
    repository = .
    timestamp = 1571146127
    variant = BaseOS
    variants = BaseOS
    version = 8.1.0
    
    [header]
    type = productmd.treeinfo
    version = 1.2
    
    [images-x86_64]
    efiboot.img = images/efiboot.img
    initrd = images/pxeboot/initrd.img
    kernel = images/pxeboot/vmlinuz
    
    [images-xen]
    initrd = images/pxeboot/initrd.img
    kernel = images/pxeboot/vmlinuz
    
    [release]
    name = Red Hat Enterprise Linux
    short = RHEL
    version = 8.1.0
    
    [stage2]
    mainimage = images/install.img
    
    [tree]
    arch = x86_64
    build_timestamp = 1571146127
    platforms = x86_64,xen
    variants = BaseOS
    
    [variant-BaseOS]
    id = BaseOS
    name = BaseOS
    packages = Packages
    repository = .
    type = variant
    uid = BaseOS

18. 打开 /var/www/html/pub/sat-import/content/dist/rhel8/8.1/x86_64/appstream/kickstart/treeinfo 文件进行编辑。

19. 在 [general] 部分，进行以下更改：

    • 将 packagedir = AppStream/Packages 更改为 packagedir = Packages
    • 更改 存储库 = AppStream to repository = .
    • 更改 变体 = AppStream,BaseOS to variants = AppStream
20. 在 [tree] 部分中，将 变体 = AppStream,BaseOS 更改为 variants = AppStream

21. 在 [variant-AppStream] 部分中，进行以下更改：

    • 将 软件包 = AppStream/Packages 更改为 packages = Packages
    • 更改 存储库 = AppStream to repository = .
22. 从文件中删除以下部分：[checksums] , [images-x86_64] , [images-xen], [media], [stage2], [variant-BaseOS].
23. 保存并关闭该文件。

24. 验证 /var/www/html/pub/sat-import/content/dist/rhel8/8.1/x86_64/appstream/kickstart/treeinfo 文件具有以下格式：

    [general]
    ; WARNING.0 = This section provides compatibility with pre-productmd treeinfos.
    ; WARNING.1 = Read productmd documentation for details about new format.
    arch = x86_64
    family = Red Hat Enterprise Linux
    name = Red Hat Enterprise Linux 8.1.0
    packagedir = Packages
    platforms = x86_64,xen
    repository = .
    timestamp = 1571146127
    variant = AppStream
    variants = AppStream
    version = 8.1.0
    
    [header]
    type = productmd.treeinfo
    version = 1.2
    
    [release]
    name = Red Hat Enterprise Linux
    short = RHEL
    version = 8.1.0
    
    [tree]
    arch = x86_64
    build_timestamp = 1571146127
    platforms = x86_64,xen
    variants = AppStream
    
    [variant-AppStream]
    id = AppStream
    name = AppStream
    packages = Packages
    repository = .
    type = variant
    uid = AppStream

25. 如果您不计划使用挂载的二进制 DVD ISO 镜像，请卸载并删除目录：

    # umount /mnt/iso
    # rmdir /mnt/iso

26. 在卫星 Web UI 中，启用 Kickstart 存储库。

流程

1. 要存储所有源证书文件，请创建一个只可由 root 用户访问的目录。

   # mkdir /root/satellite_cert

2. 创建为证书签名请求(CSR)签名的私钥。

   请注意，私钥必须未加密。如果您使用受密码保护的私钥，请删除私钥密码。

   如果您已拥有此卫星服务器的私钥，请跳过这一步。

   # openssl genrsa -out /root/satellite_cert/satellite_cert_key.pem 4096

3. 为证书签名请求(CSR)创建 /root/satellite_cert/openssl.cnf 配置文件，并包含以下内容：

   [ req ]
   req_extensions = v3_req
   distinguished_name = req_distinguished_name
   x509_extensions = usr_cert
   prompt = no
   
   [ req_distinguished_name ] 1
   C  = Country Name (2 letter code)
   ST = State or Province Name (full name)
   L  = Locality Name (eg, city)
   O  = Organization Name (eg, company)
   OU = The division of your organization handling the certificate
   CN = satellite.example.com 2
   
   [ v3_req ]
   basicConstraints = CA:FALSE
   keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   subjectAltName = @alt_names
   
   [ usr_cert ]
   basicConstraints=CA:FALSE
   nsCertType = client, server, email
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   nsComment = "OpenSSL Generated Certificate"
   subjectKeyIdentifier=hash
   authorityKeyIdentifier=keyid,issuer
   
   [ alt_names ]
   DNS.1 = satellite.example.com 3

   1

   在 [ req_distinguished_name ] 部分中，输入有关您的机构的信息。

   2

   将证书的通用名称 CN 设置为与卫星服务器的完全限定域名(FQDN)匹配。若要确认 FQDN，可在该卫星服务器上输入 hostname -f 命令。这需要确保 katello-certs-check 命令正确验证证书。

   3

   将 Subject Alternative Name (SAN) DNS.1 设置为与您的服务器的完全限定域名(FQDN)匹配。

4. 生成证书签名请求(CSR)：

   # openssl req -new \
   -key /root/satellite_cert/satellite_cert_key.pem \ 1
   -config /root/satellite_cert/openssl.cnf \ 2
   -out /root/satellite_cert/satellite_cert_csr.pem 3

   1

   私钥的路径。

   2

   到配置文件的路径。

   3

   要生成的 CSR 的路径。

5. 将证书签名请求发送到证书颁发机构。相同的证书颁发机构必须签署卫星服务器和胶囊服务器的证书。

   提交请求时，指定证书的 lifespan。发送证书请求的方法会有所不同，因此请查阅证书颁发机构来获得首选方法。为响应请求，预计可在单独的文件中接收证书颁发机构捆绑包和签名证书。

流程

1. 验证自定义 SSL 证书输入文件。请注意，对于 katello-certs-check 命令正常工作，证书中的通用名称(CN)必须与卫星服务器的 FQDN 匹配。

   # katello-certs-check \
   -c /root/satellite_cert/satellite_cert.pem \      1
   -k /root/satellite_cert/satellite_cert_key.pem \  2
   -b /root/satellite_cert/ca_cert_bundle.pem        3

   1

   由证书颁发机构签名的卫星服务器证书文件的路径。

   2

   用于签署卫星服务器证书的私钥的路径。

   3

   证书颁发机构捆绑包的路径。

   如果命令成功，它会返回两个 satellite-installer 命令，其中一个命令必须使用它来将证书部署到卫星服务器。

   要使用自定义证书安装 Red Hat Satellite 服务器，请运行：

     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite.example.com_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite.example.com_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/CA-Chain.pem"

   要更新当前运行的 Satellite 安装中的证书，请运行：

     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite.example.com_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite.example.com_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/CA-Chain.pem" \
       --certs-update-server \
       --certs-update-server-ca

2. 根据您的要求，输入 satellite-installer 命令，该命令使用自定义 SSL 证书或在当前运行的 Satellite 服务器上更新证书。在某些情况下，katello-certs-check 命令的输出可能并不准确。因此，您必须遵循上述步骤，而不是命令输出。

   如果您不确定要运行哪些命令，可以通过检查 /etc/foreman-installer/scenarios.d/.installed.d/.installed 文件来验证是否安装了卫星。如果文件存在，请运行更新证书的第二个 satellite-installer 命令。

   重要

   部署证书后，请勿删除证书存档文件。例如，在升级卫星服务器时，需要它。

3. 在有网络访问卫星服务器的计算机中，导航到以下 URL： \https://satellite.example.com。
4. 在浏览器中，查看证书详情以验证部署的证书。

流程

1. 使用 Attaching Satellite Infrastructure Subscription 中的说明将 Satellite 订阅附加到您的服务器。

2. 禁用所有软件仓库并只启用以下软件仓库：

   # subscription-manager repos --disable '*'
   # subscription-manager repos --enable=rhel-server-rhscl-7-rpms \
   --enable=rhel-7-server-rpms --enable=rhel-7-server-satellite-6.10-rpms

流程

1. 要安装 PostgreSQL，请输入以下命令：

   # yum install rh-postgresql12-postgresql-server \
   rh-postgresql12-syspaths \
   rh-postgresql12-postgresql-evr

2. 要初始化 PostgreSQL，请输入以下命令：

   # postgresql-setup initdb

3. 编辑 /var/opt/rh/rh-postgresql12/lib/pgsql/data/postgresql.conf 文件：

   # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/postgresql.conf

4. 删除 # 和 edit 以侦听入站连接：

   listen_addresses = '*'

5. Edit the /var/opt/rh/rh-postgresql12/lib/pgsql/data/pg_hba.conf file:

   # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/pg_hba.conf

6. 在文件中添加以下行：

     host  all   all   Satellite_ip/24   md5

7. 要启动并启用 PostgreSQL 服务，请输入以下命令：

   # systemctl start postgresql
   # systemctl enable postgresql

8. 在外部 PostgreSQL 服务器上打开 postgresql 端口：

   # firewall-cmd --add-service=postgresql
   # firewall-cmd --runtime-to-permanent

9. 切换到 postgres 用户并启动 PostgreSQL 客户端：

   $ su - postgres -c psql

10. 创建三个数据库和专用角色：一个用于 Satellite，一个用于 Candlepin，另一个用于 Pulp：

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE USER "pulp" WITH PASSWORD 'Pulpcore_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;
    CREATE DATABASE pulpcore OWNER pulp;

11. 退出 postgres 用户：

    # \q

12. 从卫星服务器，测试您可以访问数据库。如果连接成功，命令会返回 1。

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"
    # PGPASSWORD='Pulpcore_Password' psql -h postgres.example.com -p 5432 -U pulp -d pulpcore -c "SELECT 1 as ping"

流程

1. 要为 Satellite 配置外部数据库，请输入以下命令：

   satellite-installer --scenario satellite \
     --foreman-db-host postgres.example.com \
     --foreman-db-password Foreman_Password \
     --foreman-db-database foreman \
     --foreman-db-manage false \
     --katello-candlepin-db-host postgres.example.com \
     --katello-candlepin-db-name candlepin \
     --katello-candlepin-db-password Candlepin_Password \
     --katello-candlepin-manage-db false \
     --foreman-proxy-content-pulpcore-manage-postgresql false \
     --foreman-proxy-content-pulpcore-postgresql-host postgres.example.com \
     --foreman-proxy-content-pulpcore-postgresql-db-name pulpcore \
     --foreman-proxy-content-pulpcore-postgresql-password Pulpcore_Password
     --foreman-proxy-content-pulpcore-postgresql-user pulp

   要为这些外部数据库启用安全套接字层(SSL)协议，请添加以下选项：

   --foreman-db-sslmode verify-full
   --foreman-db-root-cert <path_to_CA>
   --katello-candlepin-db-ssl true
   --katello-candlepin-db-ssl-verify true
   --foreman-proxy-content-pulpcore-postgresql-ssl true
   --foreman-proxy-content-pulpcore-postgresql-ssl-root-ca <path_to_CA>

流程

1. 在 Red Hat Enterprise Linux 服务器服务器中，安装 ISC DHCP Service 和 Berkeley Internet Name Domain (BIND)软件包：

   # yum install dhcp bind

2. 生成安全令牌：

   # dnssec-keygen -a HMAC-MD5 -b 512 -n HOST omapi_key

   因此，在当前目录中创建由两个文件组成的密钥对。

3. 从密钥复制 secret 哈希：

   # cat Komapi_key.+*.private |grep ^Key|cut -d ' ' -f2

4. 编辑所有子网的 dhcpd 配置文件并添加该密钥。以下是一个示例：

   # cat /etc/dhcp/dhcpd.conf
   default-lease-time 604800;
   max-lease-time 2592000;
   log-facility local7;
   
   subnet 192.168.38.0 netmask 255.255.255.0 {
   	range 192.168.38.10 192.168.38.100;
   	option routers 192.168.38.1;
   	option subnet-mask 255.255.255.0;
   	option domain-search "virtual.lan";
   	option domain-name "virtual.lan";
   	option domain-name-servers 8.8.8.8;
   }
   
   omapi-port 7911;
   key omapi_key {
   	algorithm HMAC-MD5;
   	secret "jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw==";
   };
   omapi-key omapi_key;

   请注意，选项路由器 值是您要用于外部 DHCP 服务的卫星或胶囊 IP 地址。

5. 从在其中创建的目录中删除这两个密钥文件。

6. 在卫星服务器上，定义各个子网。暂时不要为定义的子网设置 DHCP 胶囊。

   要防止冲突，请单独设置租期和保留范围。例如，如果租期范围是 192.168.38.10 到 192.168.38.100，在卫星 Web UI 中将保留范围定义为 192.168.38.101 到 192.168.38.250。

7. 配置外部对 DHCP 服务器的防火墙：

   # firewall-cmd --add-service dhcp \
   && firewall-cmd --runtime-to-permanent

8. 在卫星服务器上，确定 foreman 用户的 UID 和 GID：

   # id -u foreman
   993
   # id -g foreman
   990

9. 在 DHCP 服务器上，使用与上一步中确定相同的 ID 创建 foreman 用户和组：

   # groupadd -g 990 foreman
   # useradd -u 993 -g 990 -s /sbin/nologin foreman

10. 为确保配置文件可以访问，请恢复读取和执行标志：

    # chmod o+rx /etc/dhcp/
    # chmod o+r /etc/dhcp/dhcpd.conf
    # chattr +i /etc/dhcp/ /etc/dhcp/dhcpd.conf

11. 启动 DHCP 服务：

    # systemctl start dhcpd

12. 使用 NFS 导出 DHCP 配置和租期文件：

    # yum install nfs-utils
    # systemctl enable rpcbind nfs-server
    # systemctl start rpcbind nfs-server nfs-lock nfs-idmapd

13. 为您要使用 NFS 导出的 DHCP 配置和租期文件创建目录：

    # mkdir -p /exports/var/lib/dhcpd /exports/etc/dhcp

14. 要为创建的目录创建挂载点，请在 /etc/fstab 文件中添加以下行：

    /var/lib/dhcpd /exports/var/lib/dhcpd none bind,auto 0 0
    /etc/dhcp /exports/etc/dhcp none bind,auto 0 0

15. 在 /etc/fstab 中挂载文件系统：

    # mount -a

16. 确保 /etc/exports 中存在以下行：

    /exports 192.168.38.1(rw,async,no_root_squash,fsid=0,no_subtree_check)
    
    /exports/etc/dhcp 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)
    
    /exports/var/lib/dhcpd 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)

    请注意，您输入的 IP 地址是卫星或胶囊 IP 地址，您要用于外部 DHCP 服务。

17. 重新载入 NFS 服务器：

    # exportfs -rva

18. 配置 DHCP omapi 端口 7911 的防火墙：

    # firewall-cmd --add-port="7911/tcp" \
    && firewall-cmd --runtime-to-permanent

19. 可选：配置对 NFS 外部访问的防火墙。客户端使用 NFSv3 配置。

    # firewall-cmd --zone public --add-service mountd \
    && firewall-cmd --zone public --add-service rpc-bind \
    && firewall-cmd --zone public --add-service nfs \
    && firewall-cmd --runtime-to-permanent

流程

1. 安装 nfs-utils 工具：

   # yum install nfs-utils

2. 为 NFS 创建 DHCP 目录：

   # mkdir -p /mnt/nfs/etc/dhcp /mnt/nfs/var/lib/dhcpd

3. 更改文件所有者：

   # chown -R foreman-proxy /mnt/nfs

4. 验证与 NFS 服务器和远程过程调用(RPC)通信路径的通信：

   # showmount -e DHCP_Server_FQDN
   # rpcinfo -p DHCP_Server_FQDN

5. 在 /etc/fstab 文件中添加以下几行：

   DHCP_Server_FQDN:/exports/etc/dhcp /mnt/nfs/etc/dhcp nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcp_etc_t:s0" 0 0
   
   DHCP_Server_FQDN:/exports/var/lib/dhcpd /mnt/nfs/var/lib/dhcpd nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcpd_state_t:s0" 0 0

6. 在 /etc/fstab 上挂载文件系统：

   # mount -a

7. 要验证 foreman-proxy 用户可以访问通过网络共享的文件，显示 DHCP 配置和租期文件：

   # su foreman-proxy -s /bin/bash
   bash-4.2$ cat /mnt/nfs/etc/dhcp/dhcpd.conf
   bash-4.2$ cat /mnt/nfs/var/lib/dhcpd/dhcpd.leases
   bash-4.2$ exit

8. 输入 satellite-installer 命令，对 /etc/foreman-proxy/settings.d/dhcp.yml 文件进行以下持久更改：

   # satellite-installer --foreman-proxy-dhcp=true \
   --foreman-proxy-dhcp-provider=remote_isc \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /mnt/nfs/etc/dhcp/dhcpd.conf \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /mnt/nfs/var/lib/dhcpd/dhcpd.leases \
   --foreman-proxy-plugin-dhcp-remote-isc-key-name=omapi_key \
   --foreman-proxy-plugin-dhcp-remote-isc-key-secret=jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw== \
   --foreman-proxy-plugin-dhcp-remote-isc-omapi-port=7911 \
   --enable-foreman-proxy-plugin-dhcp-remote-isc \
   --foreman-proxy-dhcp-server=DHCP_Server_FQDN

9. 重启 foreman-proxy 服务：

   # systemctl restart foreman-proxy

10. 登录卫星服务器 Web UI。
11. 导航到 Infrastructure > Capsules，找到 Satellite Server，然后从 Actions 列中的列表中，选择 Refresh。
12. 将 DHCP 服务与适当的子网和域关联。

在 IdM 服务器中创建 Kerberos 主体

1. 为从 IdM 管理员获取的帐户获取了一个 Kerberos ticket：

   # kinit idm_user

2. 为卫星服务器创建一个新的 Kerberos 主体，以用于在 IdM 服务器中进行身份验证。

   # ipa service-add satellite.example.com

安装和配置 IdM 客户端

1. 在管理部署的 DNS 服务的 Satellite 或 Capsule 的基本操作系统上，安装 ipa-client 软件包：

   # satellite-maintain packages install ipa-client

2. 运行安装脚本并根据屏幕提示来配置 IdM 客户端：

   # ipa-client-install

3. 获取Kerberos ticket：

   # kinit admin

4. 删除任何预先存在的 keytab ：

   # rm /etc/foreman-proxy/dns.keytab

5. 获取此系统的 keytab:

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -s idm1.example.com -k /etc/foreman-proxy/dns.keytab

   注意

   当在服务中使用与原始系统相同的主机名添加 keytab 系统时，添加 r 选项以防止生成新凭证并在原始系统中呈现凭证无效。

6. 对于 dns.keytab 文件，请将组和拥有者设置为 foreman-proxy ：

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

7. 可选： 要验证 keytab 文件是否有效，请输入以下命令：

   # kinit -kt /etc/foreman-proxy/dns.keytab \
   capsule/satellite.example.com@EXAMPLE.COM

在 IdM web UI 中配置 DNS 区域

1. 创建并配置您要管理的区域：

   1. 导航到 Network Services > DNS > DNS Zones。
   2. 选择 Add 并输入区名称。例如： example.com。
   3. 点 Add and Edit。

   4. 点 Settings 选项卡并在 BIND 更新策略 框中，将以下内容添加到分号分开的列表：

      grant capsule/047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   5. 将 Dynamic update 设置为 True。
   6. 启用 允许 PTR 同步。
   7. 点 Save 保存更改。

2. 创建并配置反向区：

   1. 导航到 Network Services > DNS > DNS Zones。
   2. 点 Add。
   3. 选择 Reverse zone IP 网络，并以 CIDR 格式添加网络地址以启用反向查找。
   4. 点 Add and Edit。

   5. 点 Settings 选项卡并在 BIND 更新策略 框中，将以下内容添加到分号分开的列表：

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   6. 将 Dynamic update 设置为 True。
   7. 点 Save 保存更改。

配置管理域的 DNS 服务的卫星或胶囊服务器

1. 使用 satellite-installer 命令配置管理域的 DNS 服务的 Satellite 或 Capsule：

   • 在 Satellite 上输入以下命令：

     satellite-installer --scenario satellite \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=true \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-reverse="55.168.192.in-addr.arpa" \
     --foreman-proxy-dns-zone=example.com \
     --foreman-proxy-dns-ttl=86400

   • 在 Capsule 上输入以下命令：

     satellite-installer --scenario capsule \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=true \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-reverse="55.168.192.in-addr.arpa" \
     --foreman-proxy-dns-zone=example.com \
     --foreman-proxy-dns-ttl=86400

2. 重启 Satellite 或 Capsule 的 Proxy 服务。

   # systemctl restart foreman-proxy

在卫星 Web UI 中更新配置

1. 导航到 Infrastructure > Capsules，找到 Satellite Server，然后从 Actions 列中的列表中，选择 Refresh。

2. 配置域：

   1. 导航到 Infrastructure > Domains 并选择域名。
   2. 在 Domain 选项卡中，确保将 DNS Capsule 设置为连接子网的胶囊。

3. 配置子网：

   1. 导航到 Infrastructure > Subnets 并选择子网名称。
   2. 在 子网 选项卡中，将 IPAM 设置为 None。
   3. 在 Domains 选项卡中，选择您要使用 IdM 服务器管理的域。
   4. 在 Capsules 选项卡中，确保 Reverse DNS Capsule 设置为连接子网的胶囊。
   5. 单击 Submit 以保存更改。

为 IdM 服务器中的 DNS 区启用外部更新

1. 在 IdM 服务器中，将以下内容添加到 /etc/named.conf 文件的顶部：

   ########################################################################
   
   include "/etc/rndc.key";
   controls  {
   inet _IdM_Server_IP_Address_ port 953 allow { _Satellite_IP_Address_; } keys { "rndc-key"; };
   };
   ########################################################################

2. 重新载入 命名的 服务以使更改生效：

   # systemctl reload named

3. 在 IdM web UI 中，进入 Network Services > DNS > DNS Zones 并点区的名称。在 Settings 选项卡中，应用以下更改：

   1. 在 BIND 更新策略 框中添加以下内容：

      grant "rndc-key" zonesub ANY;

   2. 将 Dynamic update 设置为 True。
   3. 点 Update 保存更改。

4. 将 /etc/rndc.key 文件从 IdM 服务器复制到 Satellite 服务器的基本操作系统。输入以下命令：

   # scp /etc/rndc.key root@satellite.example.com:/etc/rndc.key

5. 要为 rndc.key 文件设置正确的所有权、权限和 SELinux 上下文，请输入以下命令：

   # restorecon -v /etc/rndc.key
   # chown -v root:named /etc/rndc.key
   # chmod -v 640 /etc/rndc.key

6. 手动将 foreman-proxy 用户分配给 指定组。通常，satellite-installer 可确保 foreman-proxy 用户属于指定的 UNIX 组，但是在这种情况下，卫星不管理用户和组，因此您需要将 foreman-proxy 用户手动分配给指定组。

   # usermod -a -G named foreman-proxy

7. 在 Satellite 服务器中，输入以下 satellite-installer 命令，将 Satellite 配置为使用外部 DNS 服务器：

   # satellite-installer --scenario satellite \
   --foreman-proxy-dns=true \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="IdM_Server_IP_Address" \
   --foreman-proxy-keyfile=/etc/rndc.key \
   --foreman-proxy-dns-ttl=86400

在 IdM 服务器中测试到 DNS 区的外部更新

1. 确保 Satellite Server 中的 /etc/rndc.key 文件中的键是 IdM 服务器中使用的相同密钥文件：

   key "rndc-key" {
           algorithm hmac-md5;
           secret "secret-key==";
   };

2. 在卫星服务器上，为主机创建测试 DNS 条目。例如，在位于 192.168.25.1 的 IdM 服务器上的 A 记录为 192.168.25.20 的主机 test.example.com。

   # echo -e "server 192.168.25.1\n \
   update add test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

3. 在 Satellite 服务器中测试 DNS 条目：

   # nslookup test.example.com 192.168.25.1
   Server:		192.168.25.1
   Address:	192.168.25.1#53
   
   Name:	test.example.com
   Address: 192.168.25.20

4. 要在 IdM web UI 中查看条目，请导航至 Network Services > DNS > DNS Zones。单击区域的名称，再按名称搜索主机。

5. 如果成功解决，请删除测试 DNS 条目：

   # echo -e "server 192.168.25.1\n \
   update delete test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

6. 确认删除了 DNS 条目：

   # nslookup test.example.com 192.168.25.1

   以上 nslookup 命令会失败，并在成功删除记录时返回 SERVFAIL 错误消息。

在卫星 Web UI 中更新配置

1. 导航到 Infrastructure > Capsules。
2. 对于您要更新的每个胶囊，请从 Actions 列表中选择 Refresh。

3. 配置域：

   1. 进入 Infrastructure > Domains 并点您要配置的域名。
   2. 在 Domain 选项卡中，将 DNS Capsule 设置为连接子网的胶囊。

4. 配置子网：

   1. 导航到 Infrastructure > Subnets 并选择子网名称。
   2. 在 Subnet 选项卡中，将 IPAM 设置为 DHCP 或内部数据库。
   3. 在 Domains 选项卡中，选择您要使用卫星或胶囊管理的域。
   4. 在 Capsules 选项卡中，将 Reverse DNS Capsule 设置为连接子网的胶囊。
   5. 单击 Submit 以保存更改。