搜索

5.8. 置备的主机的外部身份验证

download PDF

使用本节为 Red Hat Identity Management 域支持配置 Satellite 服务器或 Capsule 服务器,然后将主机添加到 Red Hat Identity Management 域组中。

先决条件

  • 注册到 Content Delivery Network 或注册到 Satellite 服务器的外部胶囊服务器的 Satellite 服务器。
  • 一个部署的领域或域提供商,如红帽身份管理。

在 Satellite 服务器或 Capsule 服务器上安装和配置红帽身份管理软件包:

要将 Red Hat Identity Management 用于置备的主机,请完成以下步骤在 Satellite 服务器或 Capsule 服务器上安装和配置 Red Hat Identity Management 软件包:

  1. 在 Satellite 服务器或 Capsule 服务器上安装 ipa-client 软件包:

    # satellite-maintain packages install ipa-client
  2. 将服务器配置为 Red Hat Identity Management 客户端:

    # ipa-client-install
  3. 在 Red Hat Identity Management 中创建 realm 代理用户、realm-capsule 以及相关角色:

    # foreman-prepare-realm admin realm-capsule

    请注意返回和红帽身份管理服务器配置详情的主体名称,因为您需要以下步骤。

为 Red Hat Identity Management 域配置 Satellite 服务器或 Capsule 服务器支持:

在 Satellite 和您要使用的每个 Capsule 上完成以下步骤:

  1. /root/freeipa.keytab 文件复制到您要包含在同一主体和域中的任何 Capsule 服务器中:

    # scp /root/freeipa.keytab root@capsule.example.com:/etc/foreman-proxy/freeipa.keytab
  2. /root/freeipa.keytab 文件移到 /etc/foreman-proxy 目录中,并将所有权设置设置为 foreman-proxy 用户:

    # mv /root/freeipa.keytab /etc/foreman-proxy
    # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/freeipa.keytab
  3. 在您要包含在域中的所有 Capsule 上输入以下命令。如果您在 Satellite 上使用集成 Capsule,请在 Satellite 服务器上输入以下命令:

    # satellite-installer --foreman-proxy-realm true \
    --foreman-proxy-realm-keytab /etc/foreman-proxy/freeipa.keytab \
    --foreman-proxy-realm-principal realm-capsule@EXAMPLE.COM \
    --foreman-proxy-realm-provider freeipa

    您也可以在首次配置 Satellite 服务器时使用这些选项。

  4. 确保已安装 ca-certificates 软件包的最新版本,并信任 Red Hat Identity Management 证书颁发机构:

    # cp /etc/ipa/ca.crt /etc/pki/ca-trust/source/anchors/ipa.crt
    # update-ca-trust enable
    # update-ca-trust
  5. 可选:如果您在现有 Satellite 服务器或 Capsule 服务器上配置 Red Hat Identity Management,请完成以下步骤以确保配置更改生效:

    1. 重启 foreman-proxy 服务:

      # systemctl restart foreman-proxy
    2. 在 Satellite Web UI 中,进入到 Infrastructure > Capsules
    3. 找到您为 Red Hat Identity Management 配置的 Capsule,然后从 Actions 列中的列表中,选择 Refresh

为启用了 Red Hat Identity Management 的 Capsule 创建一个域

在使用红帽身份管理配置集成或外部胶囊后,您必须创建一个域,并将红帽身份管理配置的 Capsule 添加到域中。

流程

  1. 在 Satellite Web UI 中,进入到 Infrastructure > Realms 并点 Create Realm
  2. Name 字段中输入域的名称。
  3. Realm Type 列表中,选择 realm 的类型。
  4. Realm Capsule 列表中,选择您配置 Red Hat Identity Management 的 Capsule 服务器。
  5. 单击位置选项卡 并从 Locations 列表中选择您要添加新域的位置。
  6. 单击 Organizations 选项卡并从 Organizations 列表中选择您要添加新域的组织。
  7. Submit

使用域信息更新主机组

您必须更新要用于新域信息的任何主机组。

  1. 在 Satellite Web UI 中,进入到 Configure > Host Groups,选择您要更新的主机组,然后点击 Network 选项卡。
  2. Realm 列表中,选择您创建的域作为此流程的一部分,然后单击 Submit

将主机添加到红帽身份管理主机组

Red Hat Identity Management 支持根据系统的属性设置自动成员资格规则。Red Hat Satellite 的域功能使管理员能够将 Red Hat Satellite 主机组映射到红帽身份管理参数 userclass,供管理员配置自动成员。

使用嵌套的主机组时,它们会在 Red Hat Satellite 用户界面中显示时发送到红帽身份管理服务器。例如:"Parent/Child/Child"。

Satellite 服务器或 Capsule 服务器向红帽身份管理服务器发送更新,但自动成员规则仅在初始注册时应用。

将主机添加到 Red Hat Identity Management 主机组:

  1. 在 Red Hat Identity Management 服务器上,创建一个主机组:

    # ipa hostgroup-add hostgroup_name --desc=hostgroup_description
  2. 创建自动成员规则

    # ipa automember-add --type=hostgroup hostgroup_name automember_rule

    您可以使用以下选项:

    • automember-add 将组标记为自动成员组。
    • --type=hostgroup 标识目标组是主机组,而不是用户组。
    • automember_rule 添加您要用来识别自动成员规则的名称。
  3. 根据 userclass 属性定义自动成员条件:

    # ipa automember-add-condition --key=userclass --type=hostgroup --inclusive-regex=^webserver hostgroup_name
    ----------------------------------
    Added condition(s) to "hostgroup_name"
    ----------------------------------
    Automember Rule: automember_rule
    Inclusive Regex: userclass=^webserver
    ----------------------------
    Number of conditions added 1
    ----------------------------

    您可以使用以下选项:

    • automember-add-condition 添加正则表达式条件来识别组成员。
    • --key=userclass 将 key 属性指定为 userclass
    • --type=hostgroup 标识目标组是主机组,而不是用户组。
    • --inclusive-regex= ^webserver 使用正则表达式模式标识匹配值。
    • hostgroup_name - 标识目标主机组的名称。

当系统添加到 Satellite 服务器的 hostgroup_name 主机组时,它会自动添加到红帽身份管理服务器的"hostgroup_name"主机组中。Red Hat Identity Management 主机组允许基于主机的访问控制(HBAC)、sudo 策略和其他红帽身份管理功能。

Red Hat logoGithubRedditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务,以及可以信赖的内容,帮助红帽用户创新并实现他们的目标。

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情,请参阅红帽博客.

關於紅帽

我们提供强化的解决方案,使企业能够更轻松地跨平台和环境(从核心数据中心到网络边缘)工作。

© 2024 Red Hat, Inc.