Prozedur 2.2. Einrichten eines benutzerdefinierten Serverzertifikats bei der ersten Ausführung von katello-installer

• Führen Sie diesen Befehl auf dem Red Hat Satellite Server aus:

  katello-installer --certs-server-cert ~/path/to/server.crt\
                    --certs-server-cert-req ~/path/to/server.crt.req\
                    --certs-server-key ~/path/to/server.crt.key\
                    --certs-server-ca-cert ~/path/to/cacert.crt
  

  Dabei gilt:

  • certs-server-cert ist der Pfad zu Ihrem Zertifikat, signiert von Ihrer Zertifizierungsstelle (oder selbst signiert).
  • certs-server-cert-req ist der Pfad zur Datei Ihrer Zertifikatssignierungsanfrage, mit der Ihr Zertifikat erstellt wurde.
  • certs-server-key ist der private Schlüssel, mit dem das Zertifkat signiert wurde.
  • certs-server-ca-cert ist der Pfad zum CA-Zertifikat auf diesem System.

Prozedur 2.3. Einrichten eines benutzerdefinierten Serverzertifikats nach der Ausführung von katello-installer

1. Bei der ersten Ausführung von katello-installer werden die Standard-CA-Zertifikate als Server- und Clientzertifikate verwendet. Um die Verwendung von benutzerdefinierten Zertifikaten zu erzwingen, setzen Sie den Parameter --certs-update-server und den Parameter --certs-update-server-ca, um das CA-Zertifikat zu aktualisieren:

   katello-installer --certs-server-cert ~/path/to/server.crt\ --certs-server-cert-req ~/path/to/server.crt.req\ --certs-server-key ~/path/to/server.crt.req\ --certs-server-ca-cert ~/path/to/cacert.crt\ --certs-update-server --certs-update-server-ca
   

   Dadurch wird das Paket katello-ca-consumer und das Server-CA-Zertifikat neu generiert.
2. Nachdem das Server-CA-Zertifikat geändert wurde, installieren Sie die neue Version des Pakets consumer-ca-consumer auf den Clientsystemen:

   rpm -Uvh http://katello.example.com/pub/katello-ca-consumer-latest.noarch.rpm
   

Prozedur 3.1. Erstellen einer neuen Organisation

1. Klicken Sie auf den Menüpunkt Verwaltung → Organisationen oben rechts auf dem Bildschirm.
2. Klicken Sie auf die Schaltfläche Organisation erstellen.
3. Geben Sie den Namen der neuen Organisation im Feld Name ein.
4. Geben Sie die Kennung der neuen Organisation im Feld Kennung ein.
5. Geben Sie eine Beschreibung der neuen Organisation im Feld Beschreibung ein.
6. Klicken Sie auf Absenden.
7. Wählen Sie die Hosts, die der neuen Organisation zugewiesen werden sollen.
   • Klicken Sie auf die Schaltfläche Alle auswählen, um alle Hosts ohne Organisation der neuen Organisation zuzuweisen.
   • Klicken Sie auf die Schaltfläche Manuell zuweisen, um manuell Hosts ohne Organisation auszuwählen und diese der neuen Organisation zuzuweisen.
   • Klicken Sie auf die Schaltfläche Mit Bearbeiten fortfahren, um das Zuweisen von Hosts zu überspringen.

Prozedur 3.2. Bearbeiten einer Organisation

1. Klicken Sie auf den Menüpunkt Verwaltung → Organisationen oben rechts auf dem Bildschirm.
2. Klicken Sie auf den Namen der Organisation, die Sie bearbeiten möchten.
3. Wählen Sie aus der Liste links die Ressource, die Sie bearbeiten möchten.
4. Klicken Sie auf den Namen des gewünschten Objekts und fügen Sie dieses zur Liste Ausgewählte Elemente hinzu.
5. Klicken Sie auf Absenden.

Prozedur 3.3. Entfernen einer Organisation

1. Klicken Sie auf den Menüpunkt Verwaltung → Organisationen oben rechts auf dem Bildschirm.
2. Wählen Sie Löschen aus der Auswahlliste rechts neben dem Namen der Organisation, die Sie entfernen möchten.
3. Es erscheint eine Warnmeldung:

   Organisationsname löschen?

4. Klicken Sie auf die Schaltfläche OK.

Prozedur 4.11. Konfigurieren Sie einen Host wie folgt zur Synchronisation und zum Export von Inhalten vom Red Hat CDN:

1. Verwenden Sie den Red Hat Subscription Manager, um den Synchronisationshost beim RHN zu registrieren.
2. Listen Sie alle verfügbaren Subskriptionen auf, um die korrekten Produkte für Red Hat Satellite zu finden und zu Ihrem System zuzuweisen:

   # subscription-manager list --available --all

   Dieser Befehl zeigt eine Ausgabe, die etwa wie folgt aussieht:

   +-------------------------------------------+
       Verfügbare Subskriptionen
   +-------------------------------------------+
   
   
   Produktname:        Red Hat Satellite
   Produkt-ID:         SKU123456
   Pool-ID:            e1730d1f4eaa448397bfd30c8c7f3d334bd8b
   Anzahl:             10
   Multi-Berechtigung: Nein
   Läuft ab:           08/20/2013
   Rechnertyp:         physisch
   

   Anmerkung

   Die SKU und Pool-ID hängen vom Red Hat Satellite-Produkttyp ab, das Ihrer Systemversion und dem Produkttyp entspricht.
3. Subskribieren Sie den Pool mithilfe des folgenden Befehls:

   # subscription-manager subscribe --pool=Red_Hat_Satellite_Pool_Id
   # subscription-manager subscribe --pool=Red_Hat_Enterprise_Linux_Pool_Id
   # subscription-manager subscribe --pool=Red_Hat_Enterprise_Linux_Software_Collections_Pool_Id
   

4. Deaktivieren Sie alle vorhandenen Repositorys:

   # subscription-manager repos --disable "*"
   

5. Aktivieren Sie die Repositorys für Red Hat Satellite, Red Hat Enterprise Linux und Red Hat Software Collections. Vergewissern Sie sich, dass das Red Hat Enterprise Linux-Repository der von Ihnen verwendeten Version entspricht.

   # subscription-manager repos --enable rhel-6-server-rpms \
   --enable rhel-server-rhscl-6-rpms \
   --enable rhel-6-server-satellite-6.0-rpms
   

6. Installieren Sie katello-utils und zugehörige RPMs:

   # yum install python-qpid-qmf python-qpid  qpid-cpp-server-store katello-utils
   

   katello-utils enthält das Dienstprogramm katello-disconnected, das notwendig ist, um Repositorys für den Import einzurichten. Die qpid-Pakete sind notwendig zur Konfiguration von pulp.
7. Generieren Sie eine geheime 32-stellige, alphanumerische Zeichenkette für den Eintrag oauth_secret in der Datei /etc/pulp/server.conf:

   # tr -dc "[:alnum:]" < /dev/urandom | head -c 32 
   randomly_generated_value

8. Entfernen Sie in der Datei /etc/pulp/server.conf die Kommentierung für den Eintrag [oauth] und fügen Sie den zufällig generierten Wert aus dem vorherigen Schritt als Wert für oauth_secret hinzu:

   [oauth]
   enabled: true
   oauth_key: katello
   oauth_secret: randomly_generated_value

9. Deaktivieren Sie die Authentifizierung in /etc/qpid/qpidd.conf:

   # Configuration file for qpidd. Entries are of the form: 
   #   name=value 
   #
   # (Note: no spaces on either side of '=').
   # Run "qpidd --help" or see "man qpidd" for more details.
   
   auth=no
   

   Alle eingehenden Verbindungen authentifizieren sich beim Standardbereich des Satellites.
10. Konfigurieren Sie die Verbindung von katello-disconnected zu Pulp mit dem zuvor generierten Wert für die Option --oauth-secret:

    # katello-disconnected setup --oauth-key=katello --oauth-secret=randomly_generated_value

    Dadurch wird ein Konfigurationswert in ~/.katello-disconnected abgelegt.
11. Konfigurieren Sie Pulp auf dem Synchronisationsserver:

    sudo service qpidd start
    sudo chkconfig qpidd on
    sudo service mongod start
    sleep 10
    sudo chkconfig mongod on
    sudo -u apache pulp-manage-db
    sudo service httpd restart
    sudo chkconfig pulp_workers on
    sudo service pulp_workers start
    sudo chkconfig pulp_celerybeat on
    sudo service pulp_celerybeat start
    sudo chkconfig pulp_resource_manager on
    sudo service pulp_resource_manager start
    

12. Importieren Sie das Manifest:

    # katello-disconnected import -m ./manifest.zip
    

    Durch den Import des Manifests wird die Liste der verfügbaren Repositorys zur Synchronisation eingerichtet, basierend auf den von Ihnen ausgewählten Subskriptionen.

1. Deaktivieren Sie alle Repositorys:

   # katello-disconnected disable --all
   

   katello-disconnected aktiviert standardmäßig alle Repositorys.
2. Wählen Sie, welche Repositorys Sie synchronisieren möchten. Zeigen Sie dazu alle im Manifest verfügbaren Repositorys an:

   # katello-disconnected list --disabled
   rhel-5-server-debug-rpms-5Server-i386
   rhel-5-server-debug-rpms-5Server-ia64
   rhel-5-server-debug-rpms-5Server-x86_64
   rhel-5-server-debug-rpms-5_7-i386
   rhel-5-server-debug-rpms-5_7-ia64
   rhel-5-server-debug-rpms-5_7-x86_64
   rhel-5-server-debug-rpms-5_8-i386
   rhel-5-server-debug-rpms-5_8-ia64
   rhel-5-server-debug-rpms-5_8-x86_64
   rhel-5-server-debug-rpms-5_9-i386
   rhel-5-server-debug-rpms-5_9-ia64
   rhel-5-server-debug-rpms-5_9-x86_64
   rhel-5-server-isos-5Server-i386
   

3. Aktivieren Sie die gewünschten Repositorys zur Synchronisation:

   # katello-disconnected enable -r rhel-6-server-sam-rpms-6_4-x86_64
   

4. Erstellen Sie die Repositorys und übertragen Sie sie nach Pulp, um die Synchronisation zu ermöglichen:

   # katello-disconnected configure
   

   Anmerkung

   Die Option configure für katello-disconnected liest das Manifest, erstellt Pulp-Repositorys und generiert Skripte vor der Synchronisation. Es muss jedes Mal ausgeführt werden, wenn ein Repository aktiviert oder deaktiviert wird.
5. Synchronisieren Sie die Repositorys:

   # katello-disconnected sync
   

   Sie können die Option watch verwenden, um den Synchronisationsvorgang zu überwachen.

   # katello-disconnected watch
   Watching sync... (this may be safely interrupted with Ctrl+C)
   running:
   rhel-6-server-sam-rpms-6_4-x86_64 
   
   running:
   rhel-6-server-sam-rpms-6_4-x86_64 
   ...
   finished:
   rhel-6-server-sam-rpms-6_4-x86_64 
   
   
   Watching finished
   

1. Exportieren Sie die synchronisierten Repositorys:

   # katello-disconnected export -t /var/tmp/export
   

   Die Ausgabe sieht etwa wie folgt aus:

   
   # katello-disconnected export -t /var/tmp/export
   # katello-disconnected watch
   Watching sync... (this may be safely interrupted with Ctrl+C)
   running:
   rhel-6-server-sam-rpms-6_4-x86_64
   
   finished:
   rhel-6-server-sam-rpms-6_4-x86_64
   Watching finished
   Done watching ...
    Copying content to /var/tmp/export
    Archiving contents of /var/tmp/export into 4600M tar archives.
    NOTE: This may take a while.
   tar: Removing leading `/' from member names
   
   Done exporting content, please copy /var/tmp/export/* to your disconnected host
   

   Diese Operation erstellt die folgenden Dateien in /var/tmp/export:

   # ls /var/tmp/export/
   content-export-00 content-export-01 content-export-02 expand_export.sh
   

2. Kopieren Sie die Dateien von /var/tmp/export auf den externen Datenträger.

   Anmerkung

   Falls die Dateien zu groß für einen einzelnen externen Datenträger sind, können sie stattdessen nacheinander auf eine Reihe von DVDs kopiert werden.

1. Kopieren Sie die exportierten Inhalte vom externen Datenträger in ein Verzeichnis auf dem nicht verbundenen Satellite.

   Anmerkung

   Falls die exportierten Inhalte auf mehrere externe Datenträger gespeichert wurden, stellen Sie sicher, dass Sie sämtliche Inhalte in ein Verzeichnis auf dem nicht verbundenen Satellite kopieren.
2. Führen Sie das Skript expand_export.sh aus, das Sie zusammen mit Ihren exportierten Inhalten kopiert haben:

   # ./expand_export.sh 
   *** Done expanding archives. ***
   

   Warnung

   Der nicht verbundene Satellite braucht zusätzlich dieselbe Menge an freiem Speicherplatz, um Ihre exportierten Inhalte zu entpacken.
   Das Skript entpackt das Archiv in ein Verzeichnis.
3. Verlegen Sie Inhalte der entpackten Verzeichnisstruktur nach /var/www/html auf dem Satellite Server und stellen Sie die SELinux-Kontexte auf den Dateien wieder her:

   # mv var/tmp/export/* /var/www/html/
   # cd /var/www/html
   # restorecon -r *
   

   Anmerkung

   Der Satellite fungiert nun selbst als CDN mit den Dateien unter http://localhost/content. Dies ist jedoch nicht erforderlich. Das CDN kann sich auf einem anderen Rechner innerhalb desselben nicht verbundenen Netzwerks befinden, sofern der Satellite Server per HTTP auf diesen Rechner zugreifen kann.
4. Fügen Sie die CDN-Adresse zur Weboberfläche des Satellites hinzu:
   1. Melden Sie sich auf der Weboberfläche des Satellites an.
   2. Klicken Sie auf Inhalt → Red Hat-Subskriptionen und anschließend auf Manifest verwalten.
   3. Suchen Sie auf dem Informationsbildschirm Subskriptionsmanifest den Punkt Red Hat Anbieterdetails. Klicken Sie auf das Bearbeiten-Symbol neben der Repository-URL und ändern Sie den Eintrag auf die Repository-URL des CDN.
   4. Klicken Sie auf Durchsuchen, um die Manifestdatei auszuwählen.
   5. Klicken Sie auf Hochladen, um Ihr Manifest zu importieren.
5. Aktivieren Sie die Repositorys vom lokalen CDN:
   1. Klicken Sie auf Inhalt → Red Hat-Repositorys
   2. Aktivieren Sie die Repositorys, die im Abschnitt "Synchronisieren von Inhalten" aktiviert und synchronisiert wurden.
6. Klicken Sie auf Inhalt → Synchronisationsstatus.
7. Wählen Sie die Repositorys, die Sie synchronisieren möchten, und klicken Sie auf Jetzt synchronisieren.

Prozedur 5.2. Einrichten eines benutzerdefinierten Serverzertifikats bei der ersten Ausführung von capsule-certs-generate

1. Führen Sie diesen Befehl auf dem Red Hat Satellite Server aus:

   capsule-certs-generate --capsule-fqdn "$CAPSULE"\
                          --certs-tar "~/$CAPSULE-certs.tar"\
                          --server-cert ~/path/to/server.crt\
                          --server-cert-req ~/path/to/server.crt.req\
                          --server-key ~/path/to/server.key\
                          --server-ca-cert ~/cacert.crt
   

   Dabei gilt:

   • capsule_FQDN ist der vollqualifizierte Domainname des Satellite Capsule Servers (erforderlich).
   • certs-tar ist der Name der zu erstellenden tar-Datei, die das Zertifikat enthält, das vom Satellite Capsule-Installationsprogramm verwendet werden soll.
   • server-cert ist der Pfad zu Ihrem Zertifikat, signiert von Ihrer Zertifizierungsstelle (oder selbst signiert).
   • server-cert-req ist der Pfad zur Datei Ihrer Zertifikatssignierungsanfrage, mit der Ihr Zertifikat erstellt wurde.
   • server-key ist der private Schlüssel, mit dem das Zertifkat signiert wurde.
   • server-ca-cert ist der Pfad zum CA-Zertifikat auf diesem System.
2. Kopieren Sie den generierten Tarball, capsule.example.com-certs.tar, vom Satellite Server zum Satellite Capsule-Hostsystem.
3. Führen Sie folgende Schritte auf dem Satellite Capsule Server aus:
   1. Registrieren Sie Ihren Satellite Capsule Server beim Satellite Server:

      # rpm -Uvh http://sat6host.example.redhat.com/pub/katello-ca-consumer-latest.noarch.rpm
      # subscription-manager register --org "ACME_Corporation" --env [environment]/[content_view_name]
      

      Anmerkung

      Der Satellite Capsule Server muss einer Organisation zugewiesen sein, da der Satellite Capsule Server eine Umgebung erfordert, um Inhalte vom Satellite Server zu synchronisieren. Nur Organisationen haben Umgebungen.

      Das Zuweisen eines Standorts ist optional, wird jedoch empfohlen, um die räumliche Nähe zu den Hosts anzugeben, die der Satellite Capsule Server verwaltet.
   2. Wählen Sie eine der folgenden Optionen abhängig vom gewünschten Satellite Capsule Server-Typ:
      1. Option 1: Satellite Capsule Server mit Smart Proxy: Dies installiert einen Satellite Capsule Server mit Smart Proxy-Features (DHCP, DNS, Puppet). Führen Sie die folgenden Befehle als Root-Benutzer auf dem Satellite Capsule Server aus:

           
         # capsule-installer --parent-fqdn          "satellite.example.com"\
                             --register-in-foreman  "true"\
                             --foreman-oauth-key    "xmmQCGYdkoCRcbviGfuPdX7ZiCsdExf
                             --foreman-oauth-secret "w5ZDpyPJ24eSBNo53AFybcnqoDYXgLUA"\
                             --pulp-oauth-secret    "doajBEXqNcANy93ZbciFyysWaiwt6BWU"\
                             --certs-tar            "/root/capsule.example.com-certs.tar"\
                             --puppet               "true"\
                             --puppetca             "true"\
                             --pulp                 "true"
                             --tftp                 "true"
                             --dhcp                 "true"\
                             --dhcp-interface       "virbr1
                            --dns                  "true"\
                            --dns-forwarders       "8.8.8.8"\
                            --dns-forwarders       "8.8.4.4"\
                            --dns-interface        "virbr1"\
                            --dns-zone             "example.com"
         
         

      2. Option 2 - Satellite Capsule Server als Inhaltsknoten: Dies installiert einen Satellite Capsule Server mit Features zur Inhaltsverwaltung und einen Puppet Master. Führen Sie die folgenden Befehle als Root-Benutzer auf dem Satellite Capsule Server aus:

         # capsule-installer --parent-fqdn          "sat6.example.com"\
                             --register-in-foreman  "true"\
                             --pulp-oauth-secret    "doajBEXqNcANy93ZbciFyysWaiwt6BWU"\
                             --certs-tar           "~/capsule.example.com-certs.tar"\
                             --puppet               "false"\
                             --puppetca             "false"\
                             --pulp                 "true"
         

      3. Option 3 - Satellite Capsule Server mit Smart Proxy: Dies installiert einen Satellite Capsule Server mit allen Features. Führen Sie die folgenden Befehle als Root-Benutzer auf dem Satellite Capsule Server aus:

         # capsule-installer --parent-fqdn          "sat6.example.com"\
                             --register-in-foreman  "true"\
                             --foreman-oauth-key    "xmmQCGYdkoCRcbviGfuPdX7ZiCsdExf
                             --foreman-oauth-secret "w5ZDpyPJ24eSBNo53AFybcnqoDYXgLUA"\
                             --pulp-oauth-secret    "doajBEXqNcANy93ZbciFyysWaiwt6BWU"\
                             --certs-tar            "/root/capsule.example.com-certs.tar"\
                             --puppet               "true"\
                             --puppetca             "true"\
                             --pulp                 "true"
                             --tftp                 "true"
                             --dhcp                 "true"\
                             --dhcp-interface       "virbr1
                            --dns                  "true"\
                            --dns-forwarders       "8.8.8.8"\
                            --dns-forwarders       "8.8.4.4"\
                            --dns-interface        "virbr1"\
                            --dns-zone             "example.com"
         
         

Prozedur 5.3. Einrichten eines benutzerdefinierten Serverzertifikats nach der Ausführung von capsule-certs-generate

1. Generieren Sie ein neues Zertifikat basierend auf Ihrem benutzerdefinierten Serverzertifikat:

   capsule-certs-generate --capsule-fqdn "satcapsule.example.com"\
                          --certs-tar "~/$CAPSULE-certs.tar"\
                          --server-cert ~/path/to/server.crt\
                          --server-cert-req ~/path/to/server.crt.req\
                          --server-key ~/path/to/server.key\
                          --server-ca-cert ~/cacert.crt\
                          --certs-update-server --certs-update-server-ca
   

2. Kopieren Sie den generierten Tarball, capsule.example.com-certs.tar, vom Satellite Server zum Satellite Capsule-Hostsystem.
3. Führen Sie auf dem Satellite Capsule Server den Befehl capsule-installer erneut aus, um die Zertifikate zu aktualisieren. Wählen Sie eine der folgenden Optionen abhängig vom gewünschten Satellite Capsule Server-Typ:
   1. Option 1: Satellite Capsule Server mit Smart Proxy: Dies installiert einen Satellite Capsule Server mit Smart Proxy-Features (DHCP, DNS, Puppet). Führen Sie die folgenden Befehle als Root-Benutzer auf dem Satellite Capsule Server aus:

        
      # capsule-installer --parent-fqdn          "satellite.example.com"\
                          --register-in-foreman  "true"\
                          --foreman-oauth-key    "xmmQCGYdkoCRcbviGfuPdX7ZiCsdExf
                          --foreman-oauth-secret "w5ZDpyPJ24eSBNo53AFybcnqoDYXgLUA"\
                          --pulp-oauth-secret    "doajBEXqNcANy93ZbciFyysWaiwt6BWU"\
                          --certs-tar            "/root/capsule.example.com-certs.tar"\
                          --puppet               "true"\
                          --puppetca             "true"\
                          --pulp                 "true"
                          --tftp                 "true"
                          --dhcp                 "true"\
                          --dhcp-interface       "virbr1
                         --dns                  "true"\
                         --dns-forwarders       "8.8.8.8"\
                         --dns-forwarders       "8.8.4.4"\
                         --dns-interface        "virbr1"\
                         --dns-zone             "example.com"
      
      

   2. Option 2 - Satellite Capsule Server als Inhaltsknoten: Dies installiert einen Satellite Capsule Server mit Features zur Inhaltsverwaltung und einen Puppet Master. Führen Sie die folgenden Befehle als Root-Benutzer auf dem Satellite Capsule Server aus:

      # capsule-installer --parent-fqdn          "sat6.example.com"\
                          --register-in-foreman  "true"\
                          --pulp-oauth-secret    "doajBEXqNcANy93ZbciFyysWaiwt6BWU"\
                          --certs-tar           "~/capsule.example.com-certs.tar"\
                          --puppet               "false"\
                          --puppetca             "false"\
                          --pulp                 "true"
      

   3. Option 3 - Satellite Capsule Server mit Smart Proxy: Dies installiert einen Satellite Capsule Server mit allen Features. Führen Sie die folgenden Befehle als Root-Benutzer auf dem Satellite Capsule Server aus:

      # capsule-installer --parent-fqdn          "sat6.example.com"\
                          --register-in-foreman  "true"\
                          --foreman-oauth-key    "xmmQCGYdkoCRcbviGfuPdX7ZiCsdExf
                          --foreman-oauth-secret "w5ZDpyPJ24eSBNo53AFybcnqoDYXgLUA"\
                          --pulp-oauth-secret    "doajBEXqNcANy93ZbciFyysWaiwt6BWU"\
                          --certs-tar            "/root/capsule.example.com-certs.tar"\
                          --puppet               "true"\
                          --puppetca             "true"\
                          --pulp                 "true"
                          --tftp                 "true"
                          --dhcp                 "true"\
                          --dhcp-interface       "virbr1
                         --dns                  "true"\
                         --dns-forwarders       "8.8.8.8"\
                         --dns-forwarders       "8.8.4.4"\
                         --dns-interface        "virbr1"\
                         --dns-zone             "example.com"