[root@server ~]# ip addr show
...
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
	link/ether 00:1a:4a:10:4e:33 brd ff:ff:ff:ff:ff:ff
	inet 192.0.2.1/24 brd 192.0.2.255 scope global dynamic eth0
		valid_lft 106694sec preferred_lft 106694sec
	inet6 2001:DB8::1111/32 scope global dynamic 
 		valid_lft 2591521sec preferred_lft 604321sec
	inet6 fe80::56ee:75ff:fe2b:def6/64 scope link 
	       valid_lft forever preferred_lft forever

1. firewall-cmd --add-port コマンドを使用して個別ポートをファイアウォールに追加します。たとえば、デフォルトゾーンのポートを開くには、以下を実行します。

   # firewall-cmd --permanent --add-port={80/tcp,443/tcp,list_of_ports}

2. firewall-cmd --add-service コマンドを使用して firewalld サービスをファイアウォールに追加します。たとえば、デフォルトゾーンのポートを開くには、以下を実行します。

   # firewall-cmd --permanent --add-service={freeipa-ldap,list_of_services}

# firewall-cmd --reload

# ipa-server-install --external-cert-file=/tmp/servercert20110601.pem --external-cert-file=/tmp/cacert.pem

1. DNS ゾーンおよび SRV レコードがシステム上で正しく設定されている場合には、スクリプトは自動的に必要な値がすべて検出され、出力されます。yes と入力して確定します。

   Client hostname: client.example.com
   Realm: EXAMPLE.COM
   DNS Domain: example.com
   IPA Server: server.example.com
   BaseDN: dc=example,dc=com
   
   Continue to configure the system with these values? [no]: yes

   別の値でシステムをインストールするには現在のインストールをキャンセルし、ipa-client-install をもう一度実行して、コマンドラインオプションを使用して必要な値を指定します。
   詳細は、ipa-client-install(1) の man ページの DNS Autodiscovery セクションを参照してください。
2. スクリプトで自動的に設定が取得されなかった場合には、値を入力するようにプロンプトが表示されます。

   重要

   完全修飾ドメイン名は有効な DNS 名である必要があります。つまり、許可されるのは数字、アルファベット、ハイフン (-) のみです。ホスト名にアンダースコアのような他の文字があると、DNS エラーが発生します。また、ホスト名はすべて小文字を使用する必要があり、大文字は使用できません。

   命名プラクティスに関する他の推奨事項については、Red Hat Enterprise Linux セキュリティーガイド を参照してください。

User authorized to enroll computers: admin
Password for admin@EXAMPLE.COM

Client configuration complete.

$ kinit admin

$ ipa host-add client.example.com --password=secret

# ipa-client-install --force-join

User authorized to enroll computers: admin
Password for admin@EXAMPLE.COM

# ipa-client-install --keytab /tmp/krb5.keytab

1. 管理者としてログインします。

   $ kinit admin

2. クライアントマシンを ipaservers のホストグループに追加します。

   $ ipa hostgroup-add-member ipaservers --hosts client.example.com
     Host-group: ipaservers
     Description: IPA server hosts
     Member hosts: server.example.com, client.example.com
   -------------------------
   Number of members added 1
   -------------------------

   ipaservers のメンバーは、管理者の認証情報とよく似た特権にマシンを昇格します。

# ipa-replica-install

1. 管理者としてログインします。

   $ kinit admin

2. IdM ホストとして新規マシンを追加します。--random オプションを指定して ipa host-add コマンドを使用して、レプリカのインストールに使用する無作為のワンタイムパスワードを生成します。

   $ ipa host-add client.example.com --random
   --------------------------------------------------
   Added host "client.example.com"
   --------------------------------------------------
     Host name: client.example.com
     Random password: W5YpARl=7M.n
     Password: True
     Keytab: False
     Managed by: server.example.com

   生成パスワードは、IdM ドメインへのマシン登録に使用した後は無効になります。登録が完了すると正しいホストの keytab に置き換えられます。
3. マシンを ipaservers のホストグループに追加します。

   $ ipa hostgroup-add-member ipaservers --hosts client.example.com
     Host-group: ipaservers
     Description: IPA server hosts
     Member hosts: server.example.com, client.example.com
   -------------------------
   Number of members added 1
   -------------------------

   ipaservers のメンバーは、必須サーバーサービスの設定に必要な特権にマシンを昇格します。

# ipa-replica-install --password 'W5YpARl=7M.n'

# ipa-replica-install --setup-dns --forwarder 192.0.2.1

1. DOMAIN および NAMESERVER 変数に適切な値を設定します。

   # DOMAIN=example.com
   # NAMESERVER=replica

2. 以下のコマンドを使用して、DNS エントリーの有無を確認します。

   # for i in _ldap._tcp _kerberos._tcp _kerberos._udp _kerberos-master._tcp _kerberos-master._udp _ntp._udp ; do
   dig @${NAMESERVER} ${i}.${DOMAIN} srv +nocmd +noquestion +nocomments +nostats +noaa +noadditional +noauthority
   done | egrep "^_"
   
   _ldap._tcp.example.com. 86400     IN    SRV     0 100 389 server1.example.com.
   _ldap._tcp.example.com. 86400     IN    SRV     0 100 389 server2.example.com.
   _kerberos._tcp.example.com. 86400 IN    SRV     0 100 88  server1.example.com.
   ...

[root@replica ~]# ipa-replica-install --setup-ca

# scp /etc/krb5.conf root@externalmachine.example.com:/etc/krb5_ipa.conf

$ export KRB5_CONFIG=/etc/krb5_ipa.conf

$ ipa topologysegment-add
Suffix name: domain
Left node: server1.example.com
Right node: server2.example.com
Segment name [server1.example.com-to-server2.example.com]: new_segment
---------------------------
Added segment "new_segment"
---------------------------
  Segment name: new_segment
  Left node: server1.example.com
  Right node: server2.example.com
  Connectivity: both

$ ipa topologysegment-show
Suffix name: domain
Segment name: new_segment
  Segment name: new_segment
  Left node: server1.example.com
  Right node: server2.example.com
  Connectivity: both

$ ipa topologysegment-find
Suffix name: domain
------------------
8 segments matched
------------------
  Segment name: new_segment
  Left node: server1.example.com
  Right node: server2.example.com
  Connectivity: both

...

----------------------------
Number of entries returned 8
----------------------------

$ ipa topologysegment-del
Suffix name: domain
Segment name: new_segment
-----------------------------
Deleted segment "new_segment"
-----------------------------

$ ipa topologysegment-find
Suffix name: domain
------------------
7 segments matched
------------------
  Segment name: server2.example.com-to-server3.example.com
  Left node: server2.example.com
  Right node: server3.example.com
  Connectivity: both

...

----------------------------
Number of entries returned 7
----------------------------

[user@server2 ~]$ ipa server-del
Server name: server1.example.com
Removing server1.example.com from replication topology, please wait...
----------------------------------------------------------
Deleted IPA server "server1.example.com"
----------------------------------------------------------

[root@server1 ~]# ipa server-install --uninstall

[root@rhel7 ~]# scp /usr/share/ipa/copy-schema-to-ca.py root@rhel6:/root/

[root@rhel6 ~]# python copy-schema-to-ca.py
ipa         : INFO     Installed /etc/dirsrv/slapd-PKI-IPA//schema/60kerberos.ldif
[... output truncated ...]
ipa         : INFO     Schema updated successfully

[root@rhel6 ~]# ipa-replica-prepare rhel7.example.com --ip-address 192.0.2.1

Directory Manager (existing master) password:
Preparing replica for rhel7.example.com from rhel6.example.com
[... output truncated ...]
The ipa-replica-prepare command was successful

[root@rhel6 ~]# scp /var/lib/ipa/replica-info-replica.example.com.gpg root@rhel7:/var/lib/ipa/

[root@rhel7 ~]# ipa-replica-install /var/lib/ipa/replica-info-rhel7.example.com.gpg --setup-ca --ip-address 192.0.2.1 --setup-dns --forwarder 192.0.2.20
Directory Manager (existing master) password: 

Checking DNS forwarders, please wait ...
Run connection check to master
[... output truncated ...]
Client configuration complete.

[root@rhel7 ~]# ipactl status
Directory Service: RUNNING
[... output truncated ...]
ipa: INFO: The ipactl command was successful

[root@rhel6 ~]# getcert stop-tracking -d /var/lib/pki-ca/alias -n "auditSigningCert cert-pki-ca"
Request "20171127184547" removed.
[root@rhel6 ~]# getcert stop-tracking -d /var/lib/pki-ca/alias -n "ocspSigningCert cert-pki-ca"
Request "20171127184548" removed.
[root@rhel6 ~]# getcert stop-tracking -d /var/lib/pki-ca/alias -n "subsystemCert cert-pki-ca"
Request "20171127184549" removed.
[root@rhel6 ~]# getcert stop-tracking -d /etc/httpd/alias -n ipaCert
Request "20171127184550" removed.

1. certmonger サービスディレクトリーに更新ヘルパースクリプトをコピーに、適切なパーミッションを設定します。

   [root@rhel6 ~]# cp /usr/share/ipa/ca_renewal /var/lib/certmonger/cas/
   [root@rhel6 ~]# chmod 0600 /var/lib/certmonger/cas/ca_renewal

2. SELinux 設定を更新します。

   [root@rhel6 ~]# restorecon /var/lib/certmonger/cas/ca_renewal

3. certmonger を再起動します。

   [root@rhel6 ~]# service certmonger restart

4. CA が証明書を取得するようになっているかチェックします。

   [root@rhel6 ~]# getcert list-cas
   ...
   CA 'dogtag-ipa-retrieve-agent-submit':
           is-default: no
           ca-type: EXTERNAL
   	helper-location: /usr/libexec/certmonger/dogtag-ipa-retrieve-agent-submit

5. CA 証明書データベース PIN を取得します。

   [root@rhel6 ~]# grep internal= /var/lib/pki-ca/conf/password.conf

6. certmonger が外部更新用の証明書を追跡するよう設定します。これには、データベース PIN が必要です。

   [root@rhel6 ~]# getcert start-tracking \
       -c dogtag-ipa-retrieve-agent-submit \
       -d /var/lib/pki-ca/alias \
       -n "auditSigningCert cert-pki-ca" \
       -B /usr/lib64/ipa/certmonger/stop_pkicad \
       -C '/usr/lib64/ipa/certmonger/restart_pkicad \
       "auditSigningCert cert-pki-ca"' \
       -T "auditSigningCert cert-pki-ca" \
       -P database_pin
   New tracking request "20171127184743" added.
   [root@rhel6 ~]# getcert start-tracking \
       -c dogtag-ipa-retrieve-agent-submit \
       -d /var/lib/pki-ca/alias \
       -n "ocspSigningCert cert-pki-ca" \
       -B /usr/lib64/ipa/certmonger/stop_pkicad \
       -C '/usr/lib64/ipa/certmonger/restart_pkicad \
       "ocspSigningCert cert-pki-ca"' \
       -T "ocspSigningCert cert-pki-ca" \
       -P database_pin
   New tracking request "20171127184744" added.
   [root@rhel6 ~]# getcert start-tracking \
       -c dogtag-ipa-retrieve-agent-submit \
       -d /var/lib/pki-ca/alias \
       -n "subsystemCert cert-pki-ca" \
       -B /usr/lib64/ipa/certmonger/stop_pkicad \
       -C '/usr/lib64/ipa/certmonger/restart_pkicad \
       "subsystemCert cert-pki-ca"' \
       -T "subsystemCert cert-pki-ca" \
       -P database_pin
   New tracking request "20171127184745" added.
   [root@rhel6 ~]# getcert start-tracking \
       -c dogtag-ipa-retrieve-agent-submit \
       -d /etc/httpd/alias \
       -n ipaCert \
       -C /usr/lib64/ipa/certmonger/restart_httpd \
       -T ipaCert \
       -p /etc/httpd/alias/pwdfile.txt
   New tracking request "20171127184746" added.

1. CA サービスを停止します。

   [root@rhel6 ~]# service pki-cad stop

2. rhel6.example.com 上での CRL 生成を無効にします。/var/lib/pki-ca/conf/CS.cfg ファイルを開いて、ca.crl.MasterCRL.enableCRLCache および ca.crl.MasterCRL.enableCRLUpdates のパラメーターの値を false に設定します。

   ca.crl.MasterCRL.enableCRLCache=false
   ca.crl.MasterCRL.enableCRLUpdates=false

3. CA サービスを起動します。

   [root@rhel6 ~]# service pki-cad start

1. /etc/httpd/conf.d/ipa-pki-proxy.conf ファイルを開き、RewriteRule 引数のコメントを解除します。サーバーホスト名をサーバー URL にある rhel7.example.com ホスト名で置き換えます。

   RewriteRule ^/ipa/crl/MasterCRL.bin https://rhel7.example.com/ca/ee/ca/getCRL?op=getCRL&crlIssuingPoint=MasterCRL [L,R=301,NC]

2. Apache を再起動します。

   [root@rhel6 ~]# service httpd restart

1. 「証明書更新を処理するサーバーの変更」 にあるように、rhel7.example.com が CA サブシステムの証明書更新を処理するように設定します。
2. 「サーバーが CRL を生成するように設定する」 にあるように、rhel7.example.com が証明書失効リスト (CRL) を生成するように設定します。

[root@server ~]# cat >keygen <<EOF
> %echo Generating a standard key
> Key-Type: RSA
> Key-Length:2048
> Name-Real: IPA Backup
> Name-Comment: IPA Backup
> Name-Email: root@example.com
> Expire-Date: 0
> %pubring /root/backup.pub
> %secring /root/backup.sec
> %commit
> %echo done
> EOF
[root@server ~]#

[root@server ~]# gpg --batch --gen-key keygen
[root@server ~]# gpg --no-default-keyring --secret-keyring /root/backup.sec \
		     --keyring /root/backup.pub --list-secret-keys

[root@server ~]# systemctl stop sssd

[root@server ~]# find /var/lib/sss/ ! -type d | xargs rm -f

[root@server ~]# systemctl start sssd

$ ipa automountlocation-add userdirs
Location: userdirs

$ ipa automountkey-add userdirs auto.direct --key=/share --info="-ro,soft, server.example.com:/home/share"

Key: /share
Mount information: -ro,soft, server.example.com:/home/share

1. provisionator ユーザーアカウントを追加します。

   $ ipa user-add provisionator --first=provisioning --last=account --password

2. provisionator ユーザーに必要な権限を割り当てます。
   stage ユーザーの追加を管理する System Provisioning というカスタムロールを作成します。

   $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

   Stage User Provisioning の権限をロールに割り当てます。この権限により、stage ユーザーが追加できるようになります。

   $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

   provisionator ユーザーをロールに追加します。

   $ ipa role-add-member --users=provisionator "System Provisioning"

1. activator ユーザーアカウントを追加します。

   $ ipa user-add activator --first=activation --last=account --password

2. activator ユーザーに必要な権限を割り当てます。
   デフォルトの User Administrator ロールにこのユーザーを追加します。

   $ ipa role-add-member --users=activator "User Administrator"

$ ipa group-add service-accounts

$ ipa pwpolicy-add service-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=20 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

$ ipa group-add-member service-accounts --users={provisionator,activator}

$ kpasswd provisionator
$ kpasswd activator

# ipa-getkeytab -s example.com -p "activator" -k /etc/krb5.ipa-activation.keytab

#!/bin/bash

kinit -k -i activator

ipa stageuser-find --all --raw | grep "  uid:" | cut -d ":" -f 2 | while read uid; do ipa stageuser-activate ${uid}; done

# chmod 755 /usr/local/sbin/ipa-activate-all
# chown root:root /usr/local/sbin/ipa-activate-all

[Unit]
Description=Scan IdM every minute for any stage users that must be activated

[Service]
Environment=KRB5_CLIENT_KTNAME=/etc/krb5.ipa-activation.keytab
Environment=KRB5CCNAME=FILE:/tmp/krb5cc_ipa-activate-all
ExecStart=/usr/local/sbin/ipa-activate-all

[Unit]
Description=Scan IdM every minute for any stage users that must be activated

[Timer]
OnBootSec=15min
OnUnitActiveSec=1min

[Install]
WantedBy=multi-user.target

# systemctl enable ipa-activate-all.timer

$ kinit admin

$ ipa-managed-entries --list

$ ipa-managed-entries -e "UPG Definition" disable
Disabling Plugin

# systemctl restart dirsrv.target

1. Inclusive または Exclusive セクションで Add をクリックします。
2. Attribute フィールドで、必要な属性を選択します。
3. Expression フィールドで、正規表現を定義します。
4. Add をクリックします。