在连接的网络环境中安装 Satellite 服务器

流程

1. 输入以下命令以及您要使用的任何附加选项：

   # satellite-installer --scenario satellite \
   --foreman-initial-organization "My_Organization" \
   --foreman-initial-location "My_Location" \
   --foreman-initial-admin-username admin_user_name \
   --foreman-initial-admin-password admin_password

   脚本显示其进度，并将日志写入 /var/log/foreman-installer/satellite.log。

流程

1. 在 Satellite Web UI 中，进入到 Content > Red Hat Repositories。
2. 在 Available Repositories 窗格中，启用 recommended Repositories 来获取存储库列表。
3. 点 Red Hat Satellite Client 6 for RHEL 9 x86_64 (RPMs) 或 Red Hat Satellite Client 6 for RHEL 8 x86_64 (RPMs) 来扩展存储库集。

4. 对于 x86_64 架构，请单击 + 图标以启用该存储库。

   如果 Satellite Client 6 项不可见，这可能是因为它们没有包含在从客户门户网站获取的 Red Hat Subscription Manifest 中。要更正这一点，请登录到客户门户网站，添加这些软件仓库，下载 Red Hat Subscription Manifest 并将其导入到 Satellite。如需更多信息， 请参阅管理内容中的 管理红帽订阅。

   为每个主机上运行的 Red Hat Enterprise Linux 主版本启用 Satellite Client 6 软件仓库。启用红帽软件仓库后，会自动创建此软件仓库的产品。

流程

1. 在 Satellite Web UI 中，进入到 Content > Red Hat Repositories。
2. 在 Available Repositories 窗格中，启用 recommended Repositories 来获取存储库列表。

3. 在 Available Repositories 窗格中，点 Satellite Client 6 (for RHEL 7 Server) (RPMs) 或 Satellite Client 6 (for RHEL 6 Server - ELS) (RPMs) 来扩展存储库集。

   如果 Satellite Client 6 项不可见，这可能是因为它们没有包含在从客户门户网站获取的 Red Hat Subscription Manifest 中。要更正这一点，请登录到客户门户网站，添加这些软件仓库，下载 Red Hat Subscription Manifest 并将其导入到 Satellite。如需更多信息， 请参阅管理内容中的 管理红帽订阅。

4. 对于 x86_64 架构，请单击 + 图标以启用该存储库。为每个主机上运行的 Red Hat Enterprise Linux 主版本启用 Satellite Client 6 软件仓库。启用红帽软件仓库后，会自动创建此软件仓库的产品。

流程

1. 在 Satellite Web UI 中，进入到 Content > Sync Status。
2. 单击 Red Hat Enterprise Linux for x86_64 产品旁边的箭头，以查看可用的内容。
3. 选择 Red Hat Satellite Client 6 for RHEL 9 x86_64 RPMs 或 Red Hat Satellite Client 6 for RHEL 8 x86_64 RPMs。
4. 点 Synchronize Now。

流程

1. 在 Satellite Web UI 中，进入到 Content > Sync Status。
2. 单击 Red Hat Enterprise Linux Server 或 Red Hat Enterprise Linux Server - Extended Lifecycle Support （每个产品）查看可用内容旁边的箭头。
3. 根据您的操作系统版本，选择 Red Hat Satellite Client 6 (RHEL 7 Server) RPMs x86_64 或 Red Hat Satellite Client 6 for RHEL 6 Server - ELS RPMs x86_64。
4. 点 Synchronize Now。

流程

1. 在 Satellite Web UI 中，进入到 Infrastructure > HTTP Proxies。
2. 单击 New HTTP Proxy。
3. 在 Name 字段中输入 HTTP 代理的名称。
4. 在 Url 字段中，以以下格式输入 HTTP 代理的 URL ：https://proxy.example.com:8080
5. 可选：如果需要身份验证，请在 Username 字段中输入要进行身份验证的用户名。
6. 可选：如果需要身份验证，请在 Password 字段中输入要进行身份验证的密码。
7. 要测试到代理的连接，请点 Test Connection。
8. 点 Submit。
9. 在 Satellite Web UI 中，进入到 Administer > Settings，然后点击 Content 选项卡。
10. 将 Default HTTP Proxy 设置设置为创建的 HTTP 代理。

CLI 过程

1. 验证 http_proxy、https_proxy 和 no_proxy 变量没有被设置。

   # unset http_proxy
   # unset https_proxy
   # unset no_proxy

2. 在 Satellite 中添加 HTTP 代理条目：

   # hammer http-proxy create --name=myproxy \
   --url http://myproxy.example.com:8080  \
   --username=proxy_username \
   --password=proxy_password

3. 将 Satellite 配置为默认使用此 HTTP 代理：

   # hammer settings set --name=content_default_http_proxy --value=myproxy

流程

1. 在 Satellite 上，要验证 SELinux 允许 HTTP 缓存的端口，请输入以下命令：

   # semanage port -l | grep http_cache
   http_cache_port_t       tcp    8080, 8118, 8123, 10001-10010
   [output truncated]

2. 要将 SELinux 配置为允许 HTTP 缓存的端口，如 8088，请输入如下命令：

   # semanage port -a -t http_cache_port_t -p tcp 8088

流程

1. 在 Satellite Web UI 中，进入到 Administer > Settings。
2. 在 HTTP (S)代理 行中，选择 adjacent Value 列并输入代理 URL。
3. 点 tick 图标保存您的更改。

流程

1. 在 Satellite Web UI 中，进入到 Administer > Settings。
2. 在 HTTP (S)代理除了主机 行外，选择 adjacent Value 列，并输入您要从代理请求中排除的一个或多个主机的名称。
3. 点 tick 图标保存您的更改。

流程

1. 在 Satellite Web UI 中，进入到 Administer > Settings，然后点击 Content 选项卡。
2. 将 Default HTTP Proxy 设置设置为 no global default。

流程

1. 要存储所有源证书文件，请创建一个只能被 root 用户访问的目录：

   # mkdir /root/satellite_cert

2. 创建为证书签名请求(CSR)签名的私钥。

   请注意，私钥必须未加密。如果您使用密码保护的私钥，请删除私钥密码。

   如果您已有此 Satellite 服务器的私钥，请跳过这一步。

   # openssl genrsa -out /root/satellite_cert/satellite_cert_key.pem 4096

3. 为 CSR 创建 /root/satellite_cert/openssl.cnf 配置文件并包含以下内容：

1. 可选： 如果要向 CSR 添加可辨识名称(DN)详情，请在 [ req_distinguished_name ] 部分添加以下信息：

   [req_distinguished_name]
   CN = satellite.example.com
   countryName =My_Country_Name 1
   stateOrProvinceName = My_State_Or_Province_Name 2
   localityName = My_Locality_Name 3
   organizationName = My_Organization_Or_Company_Name
   organizationalUnitName = My_Organizational_Unit_Name 4

   1

   两个字母代码

   2

   全名

   3

   全名（例如：New York）

   4

   负责证书的部门（示例：IT 部门）

2. 生成 CSR：

   # openssl req -new \
   -key /root/satellite_cert/satellite_cert_key.pem \ 1
   -config /root/satellite_cert/openssl.cnf \ 2
   -out /root/satellite_cert/satellite_cert_csr.pem 3

   1

   私钥的路径

   2

   配置文件的路径

   3

   要生成的 CSR 的路径

3. 将证书签名请求发送到证书颁发机构(CA)。同一 CA 必须为 Satellite 服务器和 Capsule 服务器签名证书。

   提交请求时，指定证书的寿命。发送证书请求的方法会有所不同，因此请查阅 CA 查看首选方法。为了响应请求，您可以在单独的文件中接收 CA 捆绑包和签名证书。

流程

1. 验证自定义 SSL 证书输入文件。请注意，对于 katello-certs-check 命令正常工作，证书中的通用名称(CN)必须与 Satellite 服务器的 FQDN 匹配。

   # katello-certs-check \
   -c /root/satellite_cert/satellite_cert.pem \      1
   -k /root/satellite_cert/satellite_cert_key.pem \  2
   -b /root/satellite_cert/ca_cert_bundle.pem        3

   1

   由证书颁发机构签名的 Satellite 服务器证书文件的路径。

   2

   用于为 Satellite 服务器证书签名的私钥的路径。

   3

   证书颁发机构捆绑包的路径。

   如果命令成功，它会返回两个 satellite-installer 命令，其中之一必须用于部署证书到 Satellite 服务器。

   katello-certs-check的输出示例

   Validation succeeded.
   
   To install the Red Hat Satellite Server with the custom certificates, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem"
   
   To update the certificates on a currently running Red Hat Satellite installation, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem" \
       --certs-update-server --certs-update-server-ca

   请注意，不得访问或修改 /root/ssl-build。

2. 根据您的要求，在 katello-certs-check 命令的输出中，输入 satellite-installer 命令，该命令使用自定义 SSL 证书或更新当前运行的 Satellite 上的证书。

   如果您不确定要运行的命令，您可以通过检查文件 /etc/foreman-installer/scenarios.d/.installed 来验证是否安装了 Satellite。如果文件存在，请运行第二个 satellite-installer 命令来更新证书。

   重要

   在部署证书后，Satellite-installer 需要证书存档文件。不要修改或删除它。例如，升级 Satellite 服务器时需要这样做。

3. 在可访问 Satellite 服务器的计算机上，导航到以下 URL ：
4. 在您的浏览器中，查看证书详情以验证部署的证书。

流程

1. 使用附加 Satellite 基础架构订阅 中的说明，将 Satellite 订阅附加到您的服务器。

2. 禁用所有软件仓库并只启用以下软件仓库：

   # subscription-manager repos --disable '*'
   # subscription-manager repos \
   --enable=satellite-6.14-for-rhel-8-x86_64-rpms \
   --enable=satellite-maintenance-6.14-for-rhel-8-x86_64-rpms \
   --enable=rhel-8-for-x86_64-baseos-rpms \
   --enable=rhel-8-for-x86_64-appstream-rpms

3. 启用以下模块：

   # dnf module enable satellite:el8

   注意

   启用模块 satellite:el8 会警告与 postgresql:10 和 ruby:2.5 冲突，因为这些模块被设置为 Red Hat Enterprise Linux 8 上的默认模块版本。模块 satellite:el8 具有模块 postgresql:12 和 ruby:2.7 的依赖项，它将通过 satellite:el8 模块启用。这些警告不会导致安装过程失败，因此可以安全地忽略。有关 Red Hat Enterprise Linux 8 模块和生命周期流的更多信息，请参阅 Red Hat Enterprise Linux Application Streams 生命周期。

流程

1. 要安装 PostgreSQL，请输入以下命令：

   # dnf install postgresql-server postgresql-evr postgresql-contrib

2. 要初始化 PostgreSQL，请输入以下命令：

   # postgresql-setup initdb

3. 编辑 /var/lib/pgsql/data/postgresql.conf 文件：

   # vi /var/lib/pgsql/data/postgresql.conf

   请注意，需要调整外部 PostgreSQL 的默认配置才能使用 Satellite。基础推荐的外部数据库配置调整如下：

   • checkpoint_completion_target: 0.9
   • max_connections: 500
   • shared_buffers: 512MB
   • work_mem: 4MB

4. 删除 # 并编辑以侦听入站连接：

   listen_addresses = '*'

5. 编辑 /var/lib/pgsql/data/pg_hba.conf 文件：

   # vi /var/lib/pgsql/data/pg_hba.conf

6. 在文件中添加以下行：

     host  all   all   Satellite_ip/32   md5

7. 要启动并启用 PostgreSQL 服务，请输入以下命令：

   # systemctl enable --now postgresql

8. 在外部 PostgreSQL 服务器上打开 postgresql 端口：

   # firewall-cmd --add-service=postgresql
   # firewall-cmd --runtime-to-permanent

9. 切换到 postgres 用户并启动 PostgreSQL 客户端：

   $ su - postgres -c psql

10. 创建三个数据库和专用角色：一个用于 Satellite，一个用于 Candlepin，另一个用于 Pulp：

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE USER "pulp" WITH PASSWORD 'Pulpcore_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;
    CREATE DATABASE pulpcore OWNER pulp;

11. 连接到 Pulp 数据库：

    postgres=# \c pulpcore
    You are now connected to database "pulpcore" as user "postgres".

12. 创建 hstore 扩展：

    pulpcore=# CREATE EXTENSION IF NOT EXISTS "hstore";
    CREATE EXTENSION

13. 退出 postgres 用户：

    # \q

14. 从 Satellite 服务器中，测试您可以访问数据库。如果连接成功，命令会返回 1。

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"
    # PGPASSWORD='Pulpcore_Password' psql -h postgres.example.com -p 5432 -U pulp -d pulpcore -c "SELECT 1 as ping"

流程

1. 要为 Satellite 配置外部数据库，请输入以下命令：

   # satellite-installer --scenario satellite \
   --foreman-db-database foreman \
   --foreman-db-host postgres.example.com \
   --foreman-db-manage false \
   --foreman-db-password Foreman_Password \
   --foreman-proxy-content-pulpcore-manage-postgresql false \
   --foreman-proxy-content-pulpcore-postgresql-db-name pulpcore \
   --foreman-proxy-content-pulpcore-postgresql-host postgres.example.com \
   --foreman-proxy-content-pulpcore-postgresql-password Pulpcore_Password \
   --foreman-proxy-content-pulpcore-postgresql-user pulp \
   --katello-candlepin-db-host postgres.example.com \
   --katello-candlepin-db-name candlepin \
   --katello-candlepin-db-password Candlepin_Password \
   --katello-candlepin-manage-db false

   要为这些外部数据库启用安全套接字层(SSL)协议，请添加以下选项：

   --foreman-db-root-cert <path_to_CA>
   --foreman-db-sslmode verify-full
   --foreman-proxy-content-pulpcore-postgresql-ssl true
   --foreman-proxy-content-pulpcore-postgresql-ssl-root-ca <path_to_CA>
   --katello-candlepin-db-ssl true
   --katello-candlepin-db-ssl-ca <path_to_CA>
   --katello-candlepin-db-ssl-verify true

流程

1. 从 LDAP 服务器获取证书。

   1. 如果您使用 Active Directory 证书服务，请使用以 Base-64 编码的 X.509 格式导出企业 PKI CA 证书。有关从 Active Directory 服务器创建和导出 CA 证书的信息，请参阅 如何通过 Satellite 上的 TLS 配置活动目录身份验证。

   2. 将 LDAP 服务器证书下载到卫星服务器上的临时位置，并在完成后删除它。

      例如： /tmp/example.crt。文件名扩展 .cer 和 .crt 只是约定，可以引用 DER 二进制或 PEM ASCII 格式证书。

2. 信任 LDAP 服务器的证书。

   Satellite 服务器要求 LDAP 身份验证的 CA 证书是 /etc/pki/tls/certs/ 目录中的单个文件。

   1. 使用 install 命令将导入的证书安装到具有正确权限的 /etc/pki/tls/certs/ 目录中：

      # install /tmp/example.crt /etc/pki/tls/certs/

   2. 以 root 用户身份输入以下命令，以信任从 LDAP 服务器获取的 example.crt 证书：

      # ln -s example.crt /etc/pki/tls/certs/$(openssl \
      x509 -noout -hash -in \
      /etc/pki/tls/certs/example.crt).0

   3. 重启 httpd 服务：

      # systemctl restart httpd

流程

1. 将网络信息系统(NIS)服务布尔值设置为 true，以防止 SELinux 停止传出的 LDAP 连接：

   # setsebool -P nis_enabled on

2. 在 Satellite Web UI 中，进入到 Administer > Authentication Sources。
3. 单击 Create LDAP Authentication Source。
4. 在 LDAP 服务器 选项卡上，输入 LDAP 服务器的名称、主机名、端口和服务器类型。默认端口是 389，默认服务器类型是 POSIX （根据身份验证服务器的类型，也可以选择 FreeIPA 或 Active Directory）。对于 TLS 加密连接，请选择 LDAPS 复选框来启用加密。端口应更改为 636，这是 LDAPS 的默认设置。
5. 在帐户选项卡上，输入帐户信息和域名详细信息。有关描述和示例，请参阅 第 5.1.3 节 “LDAP 设置的描述”。
6. 在 属性映射 选项卡上，将 LDAP 属性映射到 Satellite 属性。您可以映射登录名称、名字、姓氏、电子邮件地址和照片属性。如需示例，请参阅 第 5.1.4 节 “LDAP 连接设置示例”。
7. 在 位置 选项卡上，从左侧表中选择位置。所选位置分配给从 LDAP 身份验证源创建的用户，并在首次登录后可用。
8. 在 组织 选项卡上，从左侧表中选择组织。所选机构被分配给从 LDAP 身份验证源创建的用户，并在用户首次登录后可用。
9. 点 Submit。

10. 为 LDAP 用户配置新帐户：

    • 如果您没有选择 Automatically Create Accounts In Satellite 复选框，请参阅 管理 Red Hat Satellite 中的 创建用户 来手动创建用户帐户。
    • 如果您选择了 Automatically Create Accounts In Satellite 复选框，LDAP 用户现在可以使用其 LDAP 帐户和密码登录 Satellite。第一次登录后，卫星管理员必须手动将角色分配给它们。有关在 Satellite 中分配用户帐户的更多信息，请参阅 管理 Red Hat Satellite 中的为用户分配角色。https://docs.redhat.com/en/documentation/red_hat_satellite/6.14/html-single/administering_red_hat_satellite/index#Assigning_Roles_to_a_User_admin

流程

1. 在 Red Hat Identity Management 服务器中，要进行身份验证，请输入以下命令并在提示时输入密码：

   # kinit admin

2. 要验证您是否已通过身份验证，请输入以下命令：

   # klist

3. 在 Red Hat Identity Management 服务器上，为 Satellite 服务器创建一个主机条目并生成一次性密码，例如：

   # ipa host-add --random hostname

   注意

   生成的一次性密码必须在客户端上使用，以完成 Red Hat Identity Management-enrollment。

   有关主机配置属性的更多信息，请参阅 配置和管理身份管理 中的 IdM LDAP 中的主机条目。

4. 为 Satellite 服务器创建 HTTP 服务，例如：

   # ipa service-add HTTP/hostname

   有关管理服务的更多信息，请参阅 Red Hat Enterprise Linux 8 访问身份管理服务指南。

5. 在 Satellite 服务器上安装 IPA 客户端：

   警告

   此命令可能会在安装软件包的过程中重启 Satellite 服务。有关在 Satellite 上安装和更新软件包的更多信息，请参阅 管理 Red Hat Satellite 中的 管理 Satellite 服务器或 Capsule 服务器上的软件包。

   # satellite-maintain packages install ipa-client

6. 在 Satellite 服务器上，以 root 用户身份输入以下命令来配置 Red Hat Identity Management-enrollment：

   # ipa-client-install --password OTP

   将 OTP 替换为红帽身份管理管理员提供的一次性密码。

7. 使用以下命令之一将 Red Hat Identity Management 设置为身份验证供应商：

   • 如果您只想启用对 Satellite Web UI 的访问，而不是 Satellite API，请输入：

     # satellite-installer \
     --foreman-ipa-authentication=true

   • 如果要启用 Satellite Web UI 和 Satellite API 的访问，请输入：

     # satellite-installer \
     --foreman-ipa-authentication-api=true \
     --foreman-ipa-authentication=true

     警告

     启用访问 Satellite API 和 Satellite Web UI 可能会导致安全问题。在 IdM 用户通过输入 kinit user_name 接收 Kerberos 票据授予票(TGT)后，攻击者可以获取 API 会话。即使用户之前没有在任何位置输入 Satellite 登录凭据，如浏览器中，也可以进行攻击。

8. 重启 Satellite 服务：

   # satellite-maintain service restart

流程

1. 在 Red Hat Identity Management 服务器中，要进行身份验证，请输入以下命令并在提示时输入密码：

   # kinit admin

2. 要验证您是否已通过身份验证，请输入以下命令：

   # klist

3. 在 Red Hat Identity Management 服务器上创建 HBAC 服务和规则，并将它们链接在一起。以下示例使用 PAM 服务名称 satellite-prod。在 Red Hat Identity Management 服务器上执行以下命令：

   # ipa hbacsvc-add satellite-prod
   # ipa hbacrule-add allow_satellite_prod
   # ipa hbacrule-add-service allow_satellite_prod --hbacsvcs=satellite-prod

4. 添加有权访问服务 satellite-prod 的用户，以及 Satellite 服务器的主机名：

   # ipa hbacrule-add-user allow_satellite_prod --user=username
   # ipa hbacrule-add-host allow_satellite_prod --hosts=satellite.example.com

   或者，可以将主机组和用户组添加到 allow_satellite_prod 规则中。

5. 要检查规则的状态，请执行：

   # ipa hbacrule-find satellite-prod
   # ipa hbactest --user=username --host=satellite.example.com --service=satellite-prod

6. 确保 Red Hat Identity Management 服务器上禁用了 allow_all 规则。有关如何在不中断其他服务的情况下进行此操作的说明，请参阅红帽客户门户网站中的 如何在 IdM 中配置 HBAC 规则。

7. 配置红帽身份管理与 Satellite 服务器集成，如 第 5.2.1 节 “在 Satellite 服务器中配置红帽身份管理身份验证” 所述。在 Satellite 服务器上，将 PAM 服务定义为 root ：

   # satellite-installer --foreman-pam-service=satellite-prod

流程

1. 安装所需的软件包：

   # satellite-maintain packages install sssd adcli realmd ipa-python-compat krb5-workstation samba-common-tools

2. 将 Satellite 服务器注册到 AD 服务器。您可能需要具有管理员权限才能执行以下命令：

   # realm join -v EXAMPLE.ORG --membership-software=samba -U Administrator

   注意

   您必须使用 Samba 客户端软件注册 AD 服务器，才能在 第 5.3.3 节 “使用 GSS-Proxy 配置直接 AD 集成” 中创建 HTTP keytab。

流程

1. 创建 /etc/ipa/ 目录和 default.conf 文件：

   # mkdir /etc/ipa
   # touch /etc/ipa/default.conf

2. 在 default.conf 文件中添加以下内容：

   [global]
   server = unused
   realm = EXAMPLE.ORG

3. 使用以下内容创建 /etc/net-keytab.conf 文件：

   [global]
   workgroup = EXAMPLE
   realm = EXAMPLE.ORG
   kerberos method = system keytab
   security = ads

4. 确定 Apache 用户的有效用户 ID：

   # id apache

   Apache 用户不能访问 keytab 文件。

5. 使用以下内容创建 /etc/gssproxy/00-http.conf 文件：

   [service/HTTP]
   mechs = krb5
   cred_store = keytab:/etc/httpd/conf/http.keytab
   cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
   euid = ID_of_Apache_User

6. 创建 keytab 条目：

   # KRB5_KTNAME=FILE:/etc/httpd/conf/http.keytab net ads keytab add HTTP -U administrator -d3 -s /etc/net-keytab.conf
   # chown root.apache /etc/httpd/conf/http.keytab
   # chmod 640 /etc/httpd/conf/http.keytab

7. 在 Satellite 中启用 IPA 身份验证：

   # satellite-installer --foreman-ipa-authentication=true

8. 启动并启用 gssproxy 服务：

   # systemctl restart gssproxy
   # systemctl enable --now gssproxy

9. 要将 Apache 服务器配置为使用 gssproxy 服务，请创建一个 systemd 置入文件，并将以下内容添加到其中：

   # mkdir -p /etc/systemd/system/httpd.service.d/
   # vi /etc/systemd/system/httpd.service.d/gssproxy.conf
   [Service]
   Environment=GSS_USE_PROXY=1

10. 对服务应用更改：

    # systemctl daemon-reload

11. 启动并启用 httpd 服务：

    # systemctl restart httpd

1. 使用以下命令，检索 LDAP 用户的 Kerberos 票据：

   # kinit ldapuser

2. 使用以下命令查看 Kerberos 票据：

   # klist

3. 使用以下命令，查看成功基于 SSO 的身份验证的输出：

   # curl -k -u : --negotiate https://satellite.example.com/users/extlogin

   这会返回以下响应：

   <html><body>You are being <a href="https://satellite.example.com/users/4-ldapuserexample-com/edit">redirected</a>.</body></html>

流程

1. 启用 HBAC ：

   1. 创建一个外部组，并将 AD 组添加到其中。
   2. 将新的外部组添加到 POSIX 组。
   3. 在 HBAC 规则中使用 POSIX 组。

2. 配置 sssd 以传输 AD 用户的额外属性。

   • 将 AD 用户属性添加到 /etc/sssd/sssd.conf 中的 nss 和 domain 部分。例如：

     [nss]
     user_attributes=+mail, +sn, +givenname
     [domain/EXAMPLE.com]
     ...
     krb5_store_password_if_offline = True
     ldap_user_extra_attrs=email:mail, lastname:sn, firstname:givenname
     
     [ifp]
     allowed_uids = ipaapi, root
     user_attributes=+email, +firstname, +lastname

   • 验证 AD 属性值。

     # dbus-send --print-reply --system --dest=org.freedesktop.sssd.infopipe /org/freedesktop/sssd/infopipe org.freedesktop.sssd.infopipe.GetUserAttr string:ad-user@ad-domain array:string:email,firstname,lastname

1. 用户使用 Satellite Web UI 向 Satellite 进行身份验证。
2. 用户使用 Satellite CLI 向 Satellite 进行身份验证。

流程

1. 在 Satellite 服务器中安装以下软件包：

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install python3-lxml

2. 将 Satellite 注册到 Red Hat Single Sign-On 作为客户端。请注意，您使用 Web UI 和 CLI 登录的注册过程会有所不同。您可以将两个客户端 Satellite 客户端注册到红帽单点登录，以便能够通过 Web UI 和 CLI 登录 Satellite。

   • 如果您希望用户使用 Web UI 向 Satellite 进行身份验证，请按如下所示创建一个客户端：

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     出现提示时，输入 管理帐户的密码。此命令在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

     然后，将 Satellite 配置为使用 Red Hat Single Sign-On 作为身份验证源：

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请按如下所示创建一个客户端：

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     出现提示时，输入 管理帐户的密码。此命令在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

3. 重启 httpd 服务：

   # systemctl restart httpd

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Clients 并单击 Satellite 客户端。

2. 配置访问类型：

   • 如果您希望用户使用 Satellite Web UI 向 Satellite 进行身份验证，请从 Access Type 列表中选择 confidential。
   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请从 Access Type 列表中选择 public。

3. 在 Valid redirect URI 字段中，添加有效的重定向 URI。

   • 如果您希望用户使用 Satellite Web UI 向 Satellite 进行身份验证，请在现有 URI 下的空白字段中输入 URI https://satellite.example.com/users/extlogin。请注意，您必须在 Satellite FQDN 后添加字符串 /users/extlogin。

     完成此步骤后，使用 Satellite Web UI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • 如果您希望用户使用 CLI 对 Satellite 进行身份验证，请在现有 URI 的空白字段中输入 urn:ietf:wg:oauth:2.0:oob。

     完成此步骤后，使用 CLI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. 点击 Save。
5. 点 Mappers 选项卡，然后点 Create 添加受众映射程序。
6. 在 Name 字段中输入 audience mapper 的名称。
7. 从 Mapper Type 列表中，选择 Audience。
8. 从 Included Client Audience 列表中，选择 Satellite 客户端。
9. 点击 Save。
10. 点 Create 添加组映射器，以便您可以根据组成员资格在 Satellite 中指定授权。
11. 在 Name 字段中输入组映射程序的名称。
12. 从 Mapper Type 列表中，选择 Group Membership。
13. 在 Token Claim Name 字段中输入组。
14. 将 Full group path 设置为 OFF。
15. 点击 Save。

流程

1. 要使用代码授权类型向 Satellite CLI 进行身份验证，请输入以下命令：

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   该命令会提示您输入一个成功的代码。

2. 若要检索成功代码，请导航到命令返回的 URL，并提供所需的信息。
3. 复制 Web UI 返回的成功代码。
4. 在 hammer auth 登录 oauth 的命令提示符中，输入用于向 Satellite CLI 进行身份验证的成功代码。

流程

1. 在 Satellite Web UI 中，进入到 Administer > User Groups。
2. 单击 Create User Group。
3. 在 Name 字段中输入用户组的名称。名称不应与 Active Directory 中的名称相同。
4. 不要将用户和用户组添加到右列中。点 Roles 选项卡。
5. 选中 Administer 复选框。
6. 点 External Groups 选项卡。
7. 单击 Add external user group。
8. 在 Name 字段中输入 Active Directory 组的名称。
9. 从列表中选择 EXTERNAL。

1. 用户使用 Satellite Web UI 向 Satellite 进行身份验证。
2. 用户使用 Satellite CLI 向 Satellite 进行身份验证。

流程

1. 在 Satellite 服务器中安装以下软件包：

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install python3-lxml

2. 将 Satellite 注册到 Red Hat Single Sign-On 作为客户端。请注意，您使用 Web UI 和 CLI 登录的注册过程会有所不同。您可以将两个客户端 Satellite 客户端注册到红帽单点登录，以便能够通过 Web UI 和 CLI 登录 Satellite。

   • 如果您希望用户使用 Web UI 向 Satellite 进行身份验证，请按如下所示创建一个客户端：

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     出现提示时，输入 管理帐户的密码。此命令在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

     然后，将 Satellite 配置为使用 Red Hat Single Sign-On 作为身份验证源：

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请按如下所示创建一个客户端：

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     出现提示时，输入 管理帐户的密码。此命令在 Red Hat Single Sign-On 中为 Satellite 创建客户端。

3. 重启 httpd 服务：

   # systemctl restart httpd

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Clients 并单击 Satellite 客户端。

2. 配置访问类型：

   • 如果您希望用户使用 Satellite Web UI 向 Satellite 进行身份验证，请从 Access Type 列表中选择 confidential。
   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请从 Access Type 列表中选择 public。

3. 在 Valid redirect URI 字段中，添加有效的重定向 URI。

   • 如果您希望用户使用 Satellite Web UI 向 Satellite 进行身份验证，请在现有 URI 下的空白字段中输入 URI https://satellite.example.com/users/extlogin。请注意，您必须在 Satellite FQDN 后添加字符串 /users/extlogin。

     完成此步骤后，使用 Satellite Web UI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • 如果您希望用户使用 CLI 对 Satellite 进行身份验证，请在现有 URI 的空白字段中输入 urn:ietf:wg:oauth:2.0:oob。

     完成此步骤后，使用 CLI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. 点击 Save。
5. 点 Mappers 选项卡，然后点 Create 添加受众映射程序。
6. 在 Name 字段中输入 audience mapper 的名称。
7. 从 Mapper Type 列表中，选择 Audience。
8. 从 Included Client Audience 列表中，选择 Satellite 客户端。
9. 点击 Save。
10. 点 Create 添加组映射器，以便您可以根据组成员资格在 Satellite 中指定授权。
11. 在 Name 字段中输入组映射程序的名称。
12. 从 Mapper Type 列表中，选择 Group Membership。
13. 在 Token Claim Name 字段中输入组。
14. 将 Full group path 设置为 OFF。
15. 点击 Save。

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Satellite 域。
2. 导航到 Authentication，再单击 OTP Policy 选项卡。
3. 确保 支持的 Applications 字段包含 FreeOTP 或 Google Authenticator。
4. 配置 OTP 设置以满足您的要求。
5. 可选： 如果要使用 TOTP 身份验证作为所有用户的默认验证方法，点 Flows 选项卡，并在 OTP Form 设置右侧，选择 REQUIRED。
6. 点 Required Actions 选项卡。
7. 在 Configure OTP 行右侧，选中 Default Action 复选框。

流程

1. 登录 Satellite，Satellite 会将您重定向到 Red Hat Single Sign-On 登录屏幕。
2. 输入您的用户名和密码，然后点 Log In。
3. 第一次尝试登录，Red Hat Single Sign-On 请求您通过扫描 barcode 并输入显示的 pin 来配置客户端。
4. 配置客户端并输入有效的 PIN 后，Red Hat Single Sign-On 会将您重定向到 Satellite 并登录您的日志。

流程

1. 要使用代码授权类型向 Satellite CLI 进行身份验证，请输入以下命令：

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   该命令会提示您输入一个成功的代码。

2. 若要检索成功代码，请导航到命令返回的 URL，并提供所需的信息。
3. 复制 Web UI 返回的成功代码。
4. 在 hammer auth 登录 oauth 的命令提示符中，输入用于向 Satellite CLI 进行身份验证的成功代码。

流程

1. 在 Satellite Web UI 中，进入到 Administer > User Groups。
2. 单击 Create User Group。
3. 在 Name 字段中输入用户组的名称。名称不应与 Active Directory 中的名称相同。
4. 不要将用户和用户组添加到右列中。点 Roles 选项卡。
5. 选中 Administer 复选框。
6. 点 External Groups 选项卡。
7. 单击 Add external user group。
8. 在 Name 字段中输入 Active Directory 组的名称。
9. 从列表中选择 EXTERNAL。

流程

1. 在 Red Hat Enterprise Linux 主机上，安装 ISC DHCP 服务和 Berkeley Internet Name Domain (BIND)工具软件包：

   # dnf install dhcp-server bind-utils

2. 生成安全令牌：

   # dnssec-keygen -a HMAC-MD5 -b 512 -n HOST omapi_key

   因此，当前目录中创建由两个文件组成的密钥对。

3. 从密钥复制 secret 哈希：

   # grep ^Key Komapi_key.+*.private  | cut -d ' ' -f2

4. 编辑所有子网的 dhcpd 配置文件并添加密钥。以下是一个示例：

   # cat /etc/dhcp/dhcpd.conf
   default-lease-time 604800;
   max-lease-time 2592000;
   log-facility local7;
   
   subnet 192.168.38.0 netmask 255.255.255.0 {
   	range 192.168.38.10 192.168.38.100;
   	option routers 192.168.38.1;
   	option subnet-mask 255.255.255.0;
   	option domain-search "virtual.lan";
   	option domain-name "virtual.lan";
   	option domain-name-servers 8.8.8.8;
   }
   
   omapi-port 7911;
   key omapi_key {
   	algorithm HMAC-MD5;
   	secret "jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw==";
   };
   omapi-key omapi_key;

   请注意，选项 router 值是您要与外部 DHCP 服务一起使用的 Satellite 或 Capsule IP 地址。

5. 从在其中创建文件的目录中删除这两个密钥文件。

6. 在管理门户中，定义每个子网。不要为定义的子网设置 DHCP Capsule。

   要防止冲突，请单独设置租期和保留范围。例如，如果租期范围是 192.168.38.10 到 192.168.38.100，在 Satellite Web UI 中将保留范围定义为 192.168.38.101 to 192.168.38.250。

7. 配置防火墙以从外部访问 DHCP 服务器：

   # firewall-cmd --add-service dhcp \
   && firewall-cmd --runtime-to-permanent

8. 在 Satellite 服务器上，确定 foreman 用户的 UID 和 GID：

   # id -u foreman
   993
   # id -g foreman
   990

9. 在 DHCP 服务器上，创建 foreman 用户和组，其 ID 与上一步中确定的 ID 相同：

   # groupadd -g 990 foreman
   # useradd -u 993 -g 990 -s /sbin/nologin foreman

10. 要确保配置文件可以访问，请恢复读取和执行标记：

    # chmod o+rx /etc/dhcp/
    # chmod o+r /etc/dhcp/dhcpd.conf
    # chattr +i /etc/dhcp/ /etc/dhcp/dhcpd.conf

11. 启用并启动 DHCP 服务：

    # systemctl enable --now dhcpd

12. 使用 NFS 导出 DHCP 配置和租期文件：

    # dnf install nfs-utils
    # systemctl enable --now nfs-server

13. 为您要使用 NFS 导出的 DHCP 配置和租期文件创建目录：

    # mkdir -p /exports/var/lib/dhcpd /exports/etc/dhcp

14. 要为创建的目录创建挂载点，请在 /etc/fstab 文件中添加以下行：

    /var/lib/dhcpd /exports/var/lib/dhcpd none bind,auto 0 0
    /etc/dhcp /exports/etc/dhcp none bind,auto 0 0

15. 在 /etc/fstab 中挂载文件系统：

    # mount -a

16. 确保 /etc/exports 中存在以下行：

    /exports 192.168.38.1(rw,async,no_root_squash,fsid=0,no_subtree_check)
    
    /exports/etc/dhcp 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)
    
    /exports/var/lib/dhcpd 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)

    请注意，您输入的 IP 地址是您要与外部 DHCP 服务一起使用的 Satellite 或 Capsule IP 地址。

17. 重新载入 NFS 服务器：

    # exportfs -rva

18. 为 DHCP omapi 端口 7911 配置防火墙：

    # firewall-cmd --add-port=7911/tcp
    # firewall-cmd --runtime-to-permanent

19. 可选：配置防火墙以从外部访问 NFS。客户端使用 NFSv3 配置。

    # firewall-cmd --zone public --add-service mountd \
    && firewall-cmd --zone public --add-service rpc-bind \
    && firewall-cmd --zone public --add-service nfs \
    && firewall-cmd --runtime-to-permanent

流程

1. 安装 nfs-utils 软件包：

   # dnf install nfs-utils

2. 为 NFS 创建 DHCP 目录：

   # mkdir -p /mnt/nfs/etc/dhcp /mnt/nfs/var/lib/dhcpd

3. 更改文件所有者：

   # chown -R foreman-proxy /mnt/nfs

4. 验证与 NFS 服务器和远程过程调用(RPC)通信路径的通信：

   # showmount -e DHCP_Server_FQDN
   # rpcinfo -p DHCP_Server_FQDN

5. 在 /etc/fstab 文件中添加以下行：

   DHCP_Server_FQDN:/exports/etc/dhcp /mnt/nfs/etc/dhcp nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcp_etc_t:s0" 0 0
   
   DHCP_Server_FQDN:/exports/var/lib/dhcpd /mnt/nfs/var/lib/dhcpd nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcpd_state_t:s0" 0 0

6. 在 /etc/fstab 中挂载文件系统：

   # mount -a

7. 要验证 foreman-proxy 用户可以访问通过网络共享的文件，请显示 DHCP 配置和租期文件：

   # su foreman-proxy -s /bin/bash
   bash-4.2$ cat /mnt/nfs/etc/dhcp/dhcpd.conf
   bash-4.2$ cat /mnt/nfs/var/lib/dhcpd/dhcpd.leases
   bash-4.2$ exit

8. 输入 satellite-installer 命令，对 /etc/foreman-proxy/settings.d/dhcp.yml 文件进行以下更改：

   # satellite-installer --foreman-proxy-dhcp=true \
   --foreman-proxy-dhcp-provider=remote_isc \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /mnt/nfs/etc/dhcp/dhcpd.conf \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /mnt/nfs/var/lib/dhcpd/dhcpd.leases \
   --foreman-proxy-plugin-dhcp-remote-isc-key-name=omapi_key \
   --foreman-proxy-plugin-dhcp-remote-isc-key-secret=jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw== \
   --foreman-proxy-plugin-dhcp-remote-isc-omapi-port=7911 \
   --enable-foreman-proxy-plugin-dhcp-remote-isc \
   --foreman-proxy-dhcp-server=DHCP_Server_FQDN

9. 将 DHCP 服务与适当的子网和域关联。

在 IdM 服务器中创建 Kerberos Principal

1. 为从 IdM 管理员获取的帐户获取 Kerberos 票据：

   # kinit idm_user

2. 为 Satellite 服务器创建一个新的 Kerberos 主体，用于在 IdM 服务器上进行身份验证。

   # ipa service-add capsule/satellite.example.com

安装和配置 IdM 客户端

1. 在为部署管理 DNS 服务的 Satellite 或 Capsule 的基本操作系统中，安装 ipa-client 软件包：

   # satellite-maintain packages install ipa-client

2. 运行安装脚本并根据屏幕提示配置 IdM 客户端：

   # ipa-client-install

3. 获取Kerberos ticket：

   # kinit admin

4. 删除任何已存在的 keytab ：

   # rm /etc/foreman-proxy/dns.keytab

5. 获取这个系统的 keytab ：

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -s idm1.example.com -k /etc/foreman-proxy/dns.keytab

   注意

   将 keytab 添加到与服务中原始系统相同的备用系统时，添加 r 选项以防止生成新凭证并在原始系统上渲染凭证无效。

6. 对于 dns.keytab 文件，将 group 和 owner 设置为 foreman-proxy ：

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

7. 可选： 要验证 keytab 文件是否有效，请输入以下命令：

   # kinit -kt /etc/foreman-proxy/dns.keytab \
   capsule/satellite.example.com@EXAMPLE.COM

在 IdM Web UI 中配置 DNS 区域

1. 创建并配置您要管理的区域：

   1. 导航到 Network Services > DNS > DNS Zones。
   2. 选择 Add 并输入区域名称。例如： example.com。
   3. 点 Add and Edit。

   4. 点 Settings 选项卡并在 BIND 更新策略 框中，将以下内容添加到分号分隔列表中：

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   5. 将 Dynamic update 设置为 True。
   6. 启用 Allow PTR 同步。
   7. 点 Save 保存更改。

2. 创建并配置反向区：

   1. 导航到 Network Services > DNS > DNS Zones。
   2. 点击 Add。
   3. 选择 Reverse zone IP 网络，并以 CIDR 格式添加网络地址以启用反向查找。
   4. 点 Add and Edit。

   5. 点 Settings 选项卡并在 BIND 更新策略 框中，将以下内容添加到分号分隔列表中：

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   6. 将 Dynamic update 设置为 True。
   7. 点 Save 保存更改。

配置管理域的 DNS 服务的 Satellite 或 Capsule 服务器

1. 使用 satellite-installer 命令配置管理域的 DNS 服务的 Satellite 或 Capsule：

   • 在 Satellite 上输入以下命令：

     # satellite-installer --scenario satellite \
     --foreman-proxy-dns-managed=false \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns=true

   • 在 Capsule 上输入以下命令：

     # satellite-installer --scenario capsule \
     --foreman-proxy-dns-managed=false \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns=true

在 Satellite Web UI 中更新配置

1. 在 Satellite Web UI 中，进入到 Infrastructure > Capsules，找到 Satellite 服务器，从 Actions 列中的列表中，选择 Refresh。

2. 配置域：

   1. 在 Satellite Web UI 中，进入到 Infrastructure > Domains 并选择域名。
   2. 在 Domain 选项卡中，确保 DNS Capsule 设置为连接子网的胶囊。

3. 配置子网：

   1. 在 Satellite Web UI 中，进入到 Infrastructure > Subnets 并选择子网名称。
   2. 在 Subnet 选项卡中，将 IPAM 设置为 None。
   3. 在 Domains 选项卡中，选择您要使用 IdM 服务器管理的域。
   4. 在 Capsules 选项卡中，确保 Reverse DNS Capsule 设置为连接子网的 Capsule。
   5. 点 Submit 以保存更改。

为 IdM 服务器中的 DNS 区域启用外部更新

1. 在 IdM 服务器上，将以下内容添加到 /etc/named.conf 文件的顶部：

   ########################################################################
   
   include "/etc/rndc.key";
   controls  {
   inet _IdM_Server_IP_Address_ port 953 allow { _Satellite_IP_Address_; } keys { "rndc-key"; };
   };
   ########################################################################

2. 重新载入 named 服务以使更改生效：

   # systemctl reload named

3. 在 IdM Web UI 中，进入到 Network Services & gt; DNS > DNS Zones 并点区的名称。在 Settings 选项卡中，应用以下更改：

   1. 在 BIND 更新策略框中添加以下内容 ：

      grant "rndc-key" zonesub ANY;

   2. 将 Dynamic update 设置为 True。
   3. 点 Update 保存更改。

4. 将 /etc/rndc.key 文件从 IdM 服务器复制到 Satellite 服务器的基本操作系统。使用以下命令：

   # scp /etc/rndc.key root@satellite.example.com:/etc/rndc.key

5. 要为 rndc.key 文件设置正确的所有权、权限和 SELinux 上下文，请输入以下命令：

   # restorecon -v /etc/rndc.key
   # chown -v root:named /etc/rndc.key
   # chmod -v 640 /etc/rndc.key

6. 手动将 foreman-proxy 用户分配给 named 组。通常，satellite-installer 确保 foreman-proxy 用户属于 named UNIX 组，但是在这种情况下，Satellite 不管理用户和组，因此您需要手动将 foreman-proxy 用户分配给 named 组。

   # usermod -a -G named foreman-proxy

7. 在 Satellite 服务器上，输入以下 satellite-installer 命令，将 Satellite 配置为使用外部 DNS 服务器：

   # satellite-installer --scenario satellite \
   --foreman-proxy-dns=true \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="IdM_Server_IP_Address" \
   --foreman-proxy-keyfile=/etc/rndc.key \
   --foreman-proxy-dns-ttl=86400

测试到 IdM 服务器中的 DNS 区的外部更新

1. 确保 Satellite 服务器上的 /etc/rndc.key 文件中的密钥与 IdM 服务器上使用的密钥相同：

   key "rndc-key" {
           algorithm hmac-md5;
           secret "secret-key==";
   };

2. 在受管主机上，为主机创建测试 DNS 条目。例如，主机 test.example.com 在 IdM 服务器上 A 记录为 192.168.25.20，地址为 192.168.25.1。

   # echo -e "server 192.168.25.1\n \
   update add test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

3. 在 Satellite 服务器上，测试 DNS 条目：

   # nslookup test.example.com 192.168.25.1
   Server:		192.168.25.1
   Address:	192.168.25.1#53
   
   Name:	test.example.com
   Address: 192.168.25.20

4. 要在 IdM web UI 中查看条目，请进入 Network Services > DNS > DNS Zones。单击区域的名称，再按名称搜索主机。

5. 如果成功解析，请删除测试 DNS 条目：

   # echo -e "server 192.168.25.1\n \
   update delete test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

6. 确认 DNS 条目已被删除：

   # nslookup test.example.com 192.168.25.1

   以上 nslookup 命令失败，如果记录被成功删除，则返回 SERVFAIL 错误消息。

在 Satellite Web UI 中更新配置

1. 在 Satellite Web UI 中，进入到 Infrastructure > Capsules。
2. 对于您要更新的每个胶囊，从 Actions 列表中选择 Refresh。

3. 配置域：

   1. 在 Satellite Web UI 中，进入到 Infrastructure > Domains，然后点击您要配置的域名。
   2. 在 Domain 选项卡中，将 DNS Capsule 设置为连接子网的胶囊。

4. 配置子网：

   1. 在 Satellite Web UI 中，进入到 Infrastructure > Subnets 并选择子网名称。
   2. 在 Subnet 选项卡中，将 IPAM 设置为 DHCP 或 Internal DB。
   3. 在 Domains 选项卡中，选择您要使用 Satellite 或 Capsule 管理的域。
   4. 在 Capsules 选项卡中，将 Reverse DNS Capsule 设置为连接子网的胶囊。
   5. 点 Submit 以保存更改。