手順

1. firewalld サービスが実行されていることを確認します。

   • firewalld が実行中であることを確認するには、次のコマンドを実行します。

     # systemctl status firewalld.service

   • firewalld を起動し、システム起動時に自動的に起動するように設定するには、次のコマンドを実行します。

     # systemctl start firewalld.service
     # systemctl enable firewalld.service

2. firewall-cmd ユーティリティーを使用して必要なポートを開きます。以下のいずれかのオプションを選択します。

   1. firewall-cmd --add-port コマンドを使用して個別のポートをファイアウォールに追加します。たとえば、デフォルトゾーンでポートを開くには、次のコマンドを実行します。

      # firewall-cmd --permanent --add-port={80/tcp,443/tcp,389/tcp,636/tcp,88/tcp,88/udp,464/tcp,464/udp,53/tcp,53/udp}

   2. firewall-cmd --add-service コマンドを使用して、firewalld サービスをファイアウォールに追加します。たとえば、デフォルトゾーンでポートを開くには、次のコマンドを実行します。

      # firewall-cmd --permanent --add-service={freeipa-4,dns}

      firewall-cmd を使用してシステムでポートを開く方法は firewall-cmd(1) の man ページを参照してください。

3. firewall-cmd 設定を再ロードして、変更が即座に反映されるようにします。

   # firewall-cmd --reload

   実稼働システムで firewalld を再ロードすると、DNS の接続がタイムアウトになる可能性があることに注意してください。必要な場合は、以下の例のように firewall-cmd コマンドで --runtime-to-permanent オプションを指定して、タイムアウトが発生しないようにし、変更を永続化します。

   # firewall-cmd --runtime-to-permanent

4. オプション:ポートが現在利用可能であるかを確認するには、nc ユーティリティー、telnet ユーティリティー、または nmap ユーティリティーを使用して、ポートへの接続またはポートスキャンの実行を行います。

手順

1. (オプション) 現在の umask を表示します。

   # umask
   0027

2. umask を 0022 に設定します。

   # umask 0022

3. (オプション) IdM のインストールが完了したら、umask を元の値に戻します。

   # umask 0027

手順

1. ipa-server-install ユーティリティーを実行します。

   # ipa-server-install

2. スクリプトにより、統合 DNS サービスの設定が求められます。yes を入力します。

   Do you want to configure integrated DNS (BIND)? [no]: yes

3. このスクリプトでは、いくつかの設定を入力することが求められます。括弧で囲まれた値が推奨されるデフォルト値になります。

   • デフォルト値を使用する場合は Enter を押します。

   • カスタム値を指定する場合は、指定する値を入力します。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     警告

     名前は慎重に指定してください。インストール完了後に変更することはできません。

4. Directory Server のスーパーユーザー (cn=Directory Manager) のパスワードと、Identity Management (IdM) の管理者システムユーザーアカウント (admin) のパスワードを入力します。

   Directory Manager password:
   IPA admin password:

5. スクリプトにより、サーバーごとの DNS フォワーダー設定のプロンプトが表示されます。

   Do you want to configure DNS forwarders? [yes]:

   • サーバーごとの DNS フォワーダーを設定するには、yes を入力して表示されたコマンドラインの指示に従います。インストールプロセスにより、IdM LDAP にフォワーダーの IP アドレスが追加されます。

     • フォワードポリシーのデフォルト設定は、 ipa-dns-install(1) の man ページに記載されている --forward-policy の説明を参照してください。

   • DNS 転送を使用しない場合は、no と入力します。

     DNS フォワーダーがないと、IdM ドメインのホストは、インフラストラクチャー内にある他の内部 DNS ドメインから名前を解決できません。ホストは、DNS クエリーを解決するためにパブリック DNS サーバーでのみ残ります。

6. そのサーバーと関連する IP アドレスの DNS 逆引き (PTR) レコードを設定する必要性を確認するスクリプトプロンプトが出されます。

   Do you want to search for missing reverse zones? [yes]:

   検索を実行して欠落している逆引きゾーンが見つかると、PTR レコードの逆引きゾーンを作成するかどうかが尋ねられます。

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   注記

   オプションで、逆引きゾーンの管理に IdM を使用できます。代わりに、この目的で外部 DNS サービスを使用することもできます。

7. サーバー設定をする場合は、yes と入力します。

   Continue to configure the system with these values? [no]: yes

8. インストールスクリプトにより、サーバーが設定されます。動作が完了するまで待ちます。

9. インストールスクリプトが完了したら、次の方法で DNS レコードを更新します。

   1. 親ドメインから ldM DNS ドメインに DNS 委譲を追加します。たとえば、IdM DNS ドメインが idm.example.com の場合は、ネームサーバー (NS) レコードを親ドメイン example.com に追加します。

      重要

      IdM DNS サーバーをインストールするたびに、この手順を繰り返します。

   2. タイムサーバーの _ntp._udp サービス (SRV) レコードを IdM DNS に追加します。IdM DNS に新たにインストールした IdM サーバーのタイムサーバーの SRV レコードが存在すると、このプライマリー IdM サーバーが使用するタイムサーバーと同期するように、今後のレプリカおよびクライアントインストールが自動的に設定されます。

手順

1. オプションで必要な情報をすべて指定して、ipa-server-install ユーティリティーを実行します。非対話型インストールで最低限必要なオプションは次のとおりです。

   • --realm - Kerberos レルム名を指定します。
   • --ds-password - Directory Server のスーパーユーザーである Directory Manager (DM) のパスワードを指定します。
   • --admin-password - Identity Management (IdM) の管理者である admin のパスワードを指定します。
   • --unattended - インストールプロセスでホスト名およびドメイン名のデフォルトオプションを選択するようにします。

   統合 DNS のあるサーバーをインストールする場合は、以下のオプションも追加します。

   • --setup-dns - 統合 DNS 名を設定します。
   • --forwarder または --no-forwarders - DNS フォワーダーを設定するかを指定します。
   • --auto-reverse または --no-reverse - IdM DNS で作成する必要がある逆引き DNS ゾーンの自動検出を設定するかどうかを指定します。

   以下に例を示します。

   # ipa-server-install --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended --setup-dns --forwarder 192.0.2.1 --no-reverse

2. インストールスクリプトが完了したら、次の方法で DNS レコードを更新します。

   1. 親ドメインから ldM DNS ドメインに DNS 委譲を追加します。たとえば、IdM DNS ドメインが idm.example.com の場合は、ネームサーバー (NS) レコードを親ドメイン example.com に追加します。

      重要

      IdM DNS サーバーをインストールするたびに、この手順を繰り返します。

   2. タイムサーバーの _ntp._udp サービス (SRV) レコードを IdM DNS に追加します。IdM DNS に新たにインストールした IdM サーバーのタイムサーバーの SRV レコードが存在すると、このプライマリー IdM サーバーが使用するタイムサーバーと同期するように、今後のレプリカおよびクライアントインストールが自動的に設定されます。

手順

1. --external-ca オプションを使用して ipa-server-install ユーティリティーを実行します。

   # ipa-server-install --external-ca

   • Microsoft 証明書サービス (MS CS) CA を使用している場合は、--external-ca-type オプションと、任意で --external-ca-profile オプションを使用します。

     [root@server ~]# ipa-server-install --external-ca --external-ca-type=ms-cs --external-ca-profile=<oid>/<name>/default

   • MS CS を使用して IdM CA の署名証明書を生成していない場合は、他のオプションは必要ありません。

     # ipa-server-install --external-ca

2. スクリプトにより、統合 DNS サービスの設定が求められます。yes または no を入力します。この手順では、統合 DNS のあるサーバーをインストールします。

   Do you want to configure integrated DNS (BIND)? [no]: yes

   注記

   統合 DNS のないサーバーをインストールする場合は、以下の手順にある DNS 設定のプロンプトが表示されません。DNS のないサーバーをインストールする手順の詳細は、5章IdM サーバーのインストール: 統合 DNS がなく統合 CA が root CA としてある場合 を参照してください。

3. このスクリプトでは、いくつかの設定を入力することが求められます。括弧で囲まれた値が推奨されるデフォルト値になります。

   • デフォルト値を使用する場合は Enter を押します。

   • カスタム値を指定する場合は、指定する値を入力します。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     警告

     名前は慎重に指定してください。インストール完了後に変更することはできません。

4. Directory Server のスーパーユーザー (cn=Directory Manager) のパスワードと、Identity Management (IdM) の管理者システムユーザーアカウント (admin) のパスワードを入力します。

   Directory Manager password:
   IPA admin password:

5. スクリプトにより、サーバーごとの DNS フォワーダー設定のプロンプトが表示されます。

   Do you want to configure DNS forwarders? [yes]:

   • サーバーごとの DNS フォワーダーを設定するには、yes を入力して表示されたコマンドラインの指示に従います。インストールプロセスにより、IdM LDAP にフォワーダーの IP アドレスが追加されます。

     • フォワードポリシーのデフォルト設定は、 ipa-dns-install(1) の man ページに記載されている --forward-policy の説明を参照してください。

   • DNS 転送を使用しない場合は、no と入力します。

     DNS フォワーダーがないと、IdM ドメインのホストは、インフラストラクチャー内にある他の内部 DNS ドメインから名前を解決できません。ホストは、DNS クエリーを解決するためにパブリック DNS サーバーでのみ残ります。

6. そのサーバーと関連する IP アドレスの DNS 逆引き (PTR) レコードを設定する必要性を確認するスクリプトプロンプトが出されます。

   Do you want to search for missing reverse zones? [yes]:

   検索を実行して欠落している逆引きゾーンが見つかると、PTR レコードの逆引きゾーンを作成するかどうかが尋ねられます。

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   注記

   オプションで、逆引きゾーンの管理に IdM を使用できます。代わりに、この目的で外部 DNS サービスを使用することもできます。

7. サーバー設定をする場合は、yes と入力します。

   Continue to configure the system with these values? [no]: yes

8. Certificate System インスタンスの設定時、このユーティリティーが証明書署名要求 (CSR) の場所 (/root/ipa.csr) を出力します。

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   この場合は、以下を行います。

   1. /root/ipa.csr にある CSR を外部 CA に提出します。このプロセスは、外部 CA として使用するサービスにより異なります。

   2. 発行した証明書と、Base64 エンコードされたブロブ (PEM ファイルか Windows CA からの Base_64 証明書) で CA を発行する CA 証明書チェーンを取得します。繰り返しになりますが、プロセスは各証明書サービスによって異なります。通常は Web ページか通知メールにダウンロードリンクがあり、管理者が必要なすべての証明書をダウンロードできるようになっています。

      重要

      CA 証明書のみではなく、CA 用の完全な証明書チェーンを取得してください。

   3. 新たに発行された CA 証明書と CA チェーンファイルの場所と名前を指定して ipa-server-install を再度実行します。以下に例を示します。

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem

9. インストールスクリプトにより、サーバーが設定されます。動作が完了するまで待ちます。

10. インストールスクリプトが完了したら、次の方法で DNS レコードを更新します。

    1. 親ドメインから ldM DNS ドメインに DNS 委譲を追加します。たとえば、IdM DNS ドメインが idm.example.com の場合は、ネームサーバー (NS) レコードを親ドメイン example.com に追加します。

       重要

       IdM DNS サーバーをインストールするたびに、この手順を繰り返します。

    2. タイムサーバーの _ntp._udp サービス (SRV) レコードを IdM DNS に追加します。IdM DNS に新たにインストールした IdM サーバーのタイムサーバーの SRV レコードが存在すると、このプライマリー IdM サーバーが使用するタイムサーバーと同期するように、今後のレプリカおよびクライアントインストールが自動的に設定されます。

1. 次のシェルスクリプトを使用して *_proxy 環境変数の設定を解除します。

   # for i in ftp http https; do unset ${i}_proxy; done

2. pkidestroy ユーティリティーを実行して、インストールに失敗した認証局 (CA) サブシステムを削除します。

   # pkidestroy -s CA -i pki-tomcat; rm -rf /var/log/pki/pki-tomcat /etc/sysconfig/pki-tomcat /etc/sysconfig/pki/tomcat/pki-tomcat /var/lib/pki/pki-tomcat /etc/pki/pki-tomcat /root/ipa.csr

3. インストールに失敗した Identity Management (IdM) サーバーを削除します。

   # ipa-server-install --uninstall

4. ipa-server-install --external-ca を再度実行します。

手順

1. ipa-server-install ユーティリティーを実行し、必要な証明書をすべて提供します。以下に例を示します。

   [root@server ~]# ipa-server-install \
       --http-cert-file /tmp/server.crt \
       --http-cert-file /tmp/server.key \
       --http-pin secret \
       --dirsrv-cert-file /tmp/server.crt \
       --dirsrv-cert-file /tmp/server.key \
       --dirsrv-pin secret \
       --ca-cert-file ca.crt

   提供される証明書の詳細は、CA なしで IdM サーバーをインストールするために必要な証明書 を参照してください。

2. スクリプトにより、統合 DNS サービスの設定が求められます。yes または no を入力します。この手順では、統合 DNS のあるサーバーをインストールします。

   Do you want to configure integrated DNS (BIND)? [no]: yes

   注記

   統合 DNS のないサーバーをインストールする場合は、以下の手順にある DNS 設定のプロンプトが表示されません。DNS のないサーバーをインストールする手順の詳細は、IdM サーバーのインストール: 統合 DNS がなく統合 CA が root CA としてある場合 を参照してください。

3. このスクリプトでは、いくつかの設定を入力することが求められます。括弧で囲まれた値が推奨されるデフォルト値になります。

   • デフォルト値を使用する場合は Enter を押します。

   • カスタム値を指定する場合は、指定する値を入力します。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     警告

     名前は慎重に指定してください。インストール完了後に変更することはできません。

4. Directory Server のスーパーユーザー (cn=Directory Manager) のパスワードと、Identity Management (IdM) の管理者システムユーザーアカウント (admin) のパスワードを入力します。

   Directory Manager password:
   IPA admin password:

5. スクリプトにより、サーバーごとの DNS フォワーダー設定のプロンプトが表示されます。

   Do you want to configure DNS forwarders? [yes]:

   • サーバーごとの DNS フォワーダーを設定するには、yes を入力して表示されたコマンドラインの指示に従います。インストールプロセスにより、IdM LDAP にフォワーダーの IP アドレスが追加されます。

     • フォワードポリシーのデフォルト設定は、 ipa-dns-install(1) の man ページに記載されている --forward-policy の説明を参照してください。

   • DNS 転送を使用しない場合は、no と入力します。

     DNS フォワーダーがないと、IdM ドメインのホストは、インフラストラクチャー内にある他の内部 DNS ドメインから名前を解決できません。ホストは、DNS クエリーを解決するためにパブリック DNS サーバーでのみ残ります。

6. そのサーバーと関連する IP アドレスの DNS 逆引き (PTR) レコードを設定する必要性を確認するスクリプトプロンプトが出されます。

   Do you want to search for missing reverse zones? [yes]:

   検索を実行して欠落している逆引きゾーンが見つかると、PTR レコードの逆引きゾーンを作成するかどうかが尋ねられます。

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   注記

   オプションで、逆引きゾーンの管理に IdM を使用できます。代わりに、この目的で外部 DNS サービスを使用することもできます。

7. サーバー設定をする場合は、yes と入力します。

   Continue to configure the system with these values? [no]: yes

8. インストールスクリプトにより、サーバーが設定されます。動作が完了するまで待ちます。

9. インストールスクリプトが完了したら、次の方法で DNS レコードを更新します。

   1. 親ドメインから ldM DNS ドメインに DNS 委譲を追加します。たとえば、IdM DNS ドメインが idm.example.com の場合は、ネームサーバー (NS) レコードを親ドメイン example.com に追加します。

      重要

      IdM DNS サーバーをインストールするたびに、この手順を繰り返します。

   2. タイムサーバーの _ntp._udp サービス (SRV) レコードを IdM DNS に追加します。IdM DNS に新たにインストールした IdM サーバーのタイムサーバーの SRV レコードが存在すると、このプライマリー IdM サーバーが使用するタイムサーバーと同期するように、今後のレプリカおよびクライアントインストールが自動的に設定されます。

手順

1. ipa-server-install ユーティリティーを実行します。

   # ipa-server-install

2. スクリプトにより、統合 DNS サービスの設定が求められます。Enter を押して、no オプションを選択します。

   Do you want to configure integrated DNS (BIND)? [no]:

3. このスクリプトでは、いくつかの設定を入力することが求められます。括弧で囲まれた値が推奨されるデフォルト値になります。

   • デフォルト値を使用する場合は Enter を押します。

   • カスタム値を指定する場合は、指定する値を入力します。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     警告

     名前は慎重に指定してください。インストール完了後に変更することはできません。

4. Directory Server のスーパーユーザー (cn=Directory Manager) のパスワードと、IdM の管理者システムユーザーアカウント (admin) のパスワードを入力します。

   Directory Manager password:
   IPA admin password:

5. このスクリプトでは、いくつかの設定を入力することが求められます。括弧で囲まれた値が推奨されるデフォルト値になります。

   • デフォルト値を使用する場合は Enter を押します。

   • カスタム値を指定する場合は、指定する値を入力します。

     NetBIOS domain name [EXAMPLE]:
     Do you want to configure chrony with NTP server or pool address? [no]:

6. サーバー設定をする場合は、yes と入力します。

   Continue to configure the system with these values? [no]: yes

7. インストールスクリプトにより、サーバーが設定されます。動作が完了するまで待ちます。

8. インストールスクリプトは、以下の出力例の DNS リソースレコード でファイル (/tmp/ipa.system.records.UFRPto.db) を生成します。これらのレコードを既存の外部 DNS サーバーに追加します。DNS レコードの更新プロセスは、特定の DNS ソリューションによって異なります。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   重要

   既存の DNS サーバーに DNS レコードを追加するまで、サーバーのインストールは完了しません。

手順

1. 必要に応じて必要な情報をすべて指定して、ipa-server-install ユーティリティーを実行します。非対話型インストールで最低限必要なオプションは次のとおりです。

   • --realm - Kerberos レルム名を指定します。
   • --ds-password - Directory Server のスーパーユーザーである Directory Manager (DM) のパスワードを指定します。
   • --admin-password - IdM 管理者である admin のパスワードを指定します。
   • --unattended - インストールプロセスでホスト名およびドメイン名のデフォルトオプションを選択するようにします。

   以下に例を示します。

   # ipa-server-install --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

2. インストールスクリプトは、以下の出力例の DNS リソースレコード でファイル (/tmp/ipa.system.records.UFRPto.db) を生成します。これらのレコードを既存の外部 DNS サーバーに追加します。DNS レコードの更新プロセスは、特定の DNS ソリューションによって異なります。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   重要

   既存の DNS サーバーに DNS レコードを追加するまで、サーバーのインストールは完了しません。

手順

1. --external-ca オプションを使用して ipa-server-install ユーティリティーを実行します。

   • Microsoft 証明書サービス (MS CS) CA を使用している場合は、--external-ca-type オプションと、任意で --external-ca-profile オプションを使用します。

     [root@server ~]# ipa-server-install --external-ca --external-ca-type=ms-cs --external-ca-profile=<oid>/<name>/default

   • MS CS を使用して IdM CA の署名証明書を生成していない場合は、他のオプションは必要ありません。

     # ipa-server-install --external-ca

2. スクリプトにより、統合 DNS サービスの設定が求められます。Enter を押して、no オプションを選択します。

   Do you want to configure integrated DNS (BIND)? [no]:

3. このスクリプトでは、いくつかの設定を入力することが求められます。括弧で囲まれた値が推奨されるデフォルト値になります。

   • デフォルト値を使用する場合は Enter を押します。

   • カスタム値を指定する場合は、指定する値を入力します。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     警告

     名前は慎重に指定してください。インストール完了後に変更することはできません。

4. Directory Server のスーパーユーザー (cn=Directory Manager) のパスワードと、IdM の管理者システムユーザーアカウント (admin) のパスワードを入力します。

   Directory Manager password:
   IPA admin password:

5. サーバー設定をする場合は、yes と入力します。

   Continue to configure the system with these values? [no]: yes

6. Certificate System インスタンスの設定時、このユーティリティーが証明書署名要求 (CSR) の場所 (/root/ipa.csr) を出力します。

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   この場合は、以下を行います。

   1. /root/ipa.csr にある CSR を外部 CA に提出します。このプロセスは、外部 CA として使用するサービスにより異なります。

   2. 発行した証明書と、Base64 エンコードされたブロブ (PEM ファイルか Windows CA からの Base_64 証明書) で CA を発行する CA 証明書チェーンを取得します。繰り返しになりますが、プロセスは各証明書サービスによって異なります。通常は Web ページか通知メールにダウンロードリンクがあり、管理者が必要なすべての証明書をダウンロードできるようになっています。

      重要

      CA 証明書のみではなく、CA 用の完全な証明書チェーンを取得してください。

   3. 新たに発行された CA 証明書と CA チェーンファイルの場所と名前を指定して ipa-server-install を再度実行します。以下に例を示します。

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem

7. インストールスクリプトにより、サーバーが設定されます。動作が完了するまで待ちます。

8. インストールスクリプトは、以下の出力例の DNS リソースレコード でファイル (/tmp/ipa.system.records.UFRPto.db) を生成します。これらのレコードを既存の外部 DNS サーバーに追加します。DNS レコードの更新プロセスは、特定の DNS ソリューションによって異なります。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   重要

   既存の DNS サーバーに DNS レコードを追加するまで、サーバーのインストールは完了しません。

手順

1. 必要に応じて必要な情報をすべて指定して、ipa-server-install ユーティリティーを実行します。外部 CA をルート CA として使用する IdM サーバーを非対話的にインストールする場合の最小要件オプションは以下のとおりです。

   • --external-ca - 外部 CA をルート CA として指定します。
   • --realm - Kerberos レルム名を指定します。
   • --ds-password - Directory Server のスーパーユーザーである Directory Manager (DM) のパスワードを指定します。
   • --admin-password - IdM 管理者である admin のパスワードを指定します。

   • --unattended - インストールプロセスでホスト名およびドメイン名のデフォルトオプションを選択するようにします。

     以下に例を示します。

     # ipa-server-install --external-ca --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

   Microsoft 証明書サービス (MS CS) CA を使用している場合は、--external-ca-type オプションと、任意で --external-ca-profile オプションを使用します。詳細は、root CA として外部 CA と共に IdM CA をインストールする際に使用されるオプション を参照してください。

2. Certificate System インスタンスの設定時、このユーティリティーが証明書署名要求 (CSR) の場所 (/root/ipa.csr) を出力します。

   ...
   
   Configuring certificate server (pki-tomcatd). Estimated time: 3 minutes
     [1/11]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /usr/sbin/ipa-server-install as:
   /usr/sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
   The ipa-server-install command was successful

   この場合は、以下を行います。

   1. /root/ipa.csr にある CSR を外部 CA に提出します。このプロセスは、外部 CA として使用するサービスにより異なります。

   2. 発行した証明書と、Base64 エンコードされたブロブ (PEM ファイルか Windows CA からの Base_64 証明書) で CA を発行する CA 証明書チェーンを取得します。繰り返しになりますが、プロセスは各証明書サービスによって異なります。通常は Web ページか通知メールにダウンロードリンクがあり、管理者が必要なすべての証明書をダウンロードできるようになっています。

      重要

      CA 証明書のみではなく、CA 用の完全な証明書チェーンを取得してください。

   3. 新たに発行された CA 証明書と CA チェーンファイルの場所と名前を指定して ipa-server-install を再度実行します。以下に例を示します。

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

3. インストールスクリプトにより、サーバーが設定されます。動作が完了するまで待ちます。

4. インストールスクリプトは、以下の出力例の DNS リソースレコードでファイル (/tmp/ipa.system.records.UFRPto.db) を生成します。これらのレコードを既存の外部 DNS サーバーに追加します。DNS レコードの更新プロセスは、特定の DNS ソリューションによって異なります。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

手順

1. tail コマンドを使用して、ログファイルの最後の行を表示します。以下の例では、/var/log/ipaserver-install.log の最後の 10 行を表示しています。

   [user@server ~]$ sudo tail -n 10 /var/log/ipaserver-install.log
   [sudo] password for user:
   value = gen.send(prev_value)
   File "/usr/lib/python3.6/site-packages/ipapython/install/common.py", line 65, in _install
   for unused in self._installer(self.parent):
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/init.py", line 564, in main
   master_install(self)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/install.py", line 291, in decorated
   raise ScriptError()
   
   2020-05-27T22:59:41Z DEBUG The ipa-server-install command failed, exception: ScriptError:
   2020-05-27T22:59:41Z ERROR The ipa-server-install command failed. See /var/log/ipaserver-install.log for more information

2. ログファイルを対話的に確認するには、less ユーティリティーを使用してログファイルの最後を開き、↑ および ↓キーを使用して移動します。以下の例では、/var/log/ipaserver-install.log ファイルを対話的に開きます。

   [user@server ~]$ sudo less -N +G /var/log/ipaserver-install.log

3. ログファイルの残りで、このレビュープロセスを繰り返して、追加のトラブルシューティング情報を収集します。

   [user@server ~]$ sudo less -N +G /var/log/httpd/error_log
   
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors

手順

1. ログファイルを対話的に確認するには、less ユーティリティーを使用してログファイルの最後を開き、↑ および ↓キーを使用して移動し、ScriptError を検索します。以下の例では、/var/log/pki/pki-ca-spawn.$TIME_OF_INSTALLATION.log を開きます。

   [user@server ~]$ sudo less -N +G /var/log/pki/pki-ca-spawn.20200527185902.log

2. 上記のすべてのログファイルを使用してこの確認プロセスを繰り返して、追加のトラブルシューティング情報を収集します。

手順

1. IdM サーバーとして設定するホストから、IdM サーバーソフトウェアをアンインストールします。

   [root@server ~]# ipa-server-install --uninstall

2. インストールに繰り返し失敗したことが原因で IdM サーバーのインストールに問題が生じた場合は、オペレーティングシステムを再インストールします。

   カスタマイズなしの新規インストールシステムというのが、IdM サーバーのインストール要件の 1 つとなっています。インストールに失敗した場合は、予期せずにシステムファイルが変更されてホストの整合性が保てない可能性があります。

手順

1. IdM クライアントとして設定するシステムで ipa-client-install ユーティリティーを実行します。

   # ipa-client-install --mkhomedir

   以下のいずれか条件に該当する場合は、--enable-dns-updates オプションを追加して、クライアントシステムの IP アドレスで DNS レコードを更新します。

   • クライアントを登録する IdM サーバーが、統合 DNS とともにインストールされた場合。
   • ネットワーク上の DNS サーバーが、GSS-TSIG プロトコルを用いた DNS エントリー更新を受け入れる場合。

   # ipa-client-install --enable-dns-updates --mkhomedir

   DNS 更新を有効にすると、クライアントが以下の条件に当てはまる場合に便利です。

   • クライアントに、DHCP (Dynamic Host Configuration Protocol) を使用して発行した動的 IP アドレスがある。
   • クライアントに、静的 IP アドレスが割り当てられたばかりで、IdM サーバーがそのアドレスを認識していない。

2. インストールスクリプトは、DNS レコードなどの必要な設定をすべて自動的に取得しようとします。

   • IdM DNS ゾーンで SRV レコードが正しく設定されていると、スクリプトはその他に必要な値をすべて自動的に検出し、表示します。yes を入力して確定します。

     Client hostname: client.example.com
     Realm: EXAMPLE.COM
     DNS Domain: example.com
     IPA Server: server.example.com
     BaseDN: dc=example,dc=com
     
     Continue to configure the system with these values? [no]: yes

   • システムを別の値でインストールする場合は no を入力します。その後、ipa-client-install を再度実行し、コマンドラインオプションを ipa-client-install に追加して必要な値を指定します。以下に例を示します。

     • --hostname
     • --realm
     • --domain
     • --server
     • --mkhomedir
     重要

     完全修飾ドメイン名は、有効な DNS 名である必要があります。

     • 数字、アルファベット、およびハイフン (-) のみを使用できる。たとえば、アンダーラインは使用できないため、DNS の障害が発生する原因となる可能性があります。
     • ホスト名がすべて小文字である。大文字は使用できません。
   • スクリプトが一部の設定を自動的に取得できなかった場合は、値を入力するように求められます。

3. スクリプトにより、アイデンティティーがクライアントの登録に使用されるユーザーの入力が求められます。たとえば、登録管理者 (Enrollment Administrator) ロールを持つ hostadmin ユーザーなどが該当します。

   User authorized to enroll computers: hostadmin
   Password for hostadmin@EXAMPLE.COM:

4. インストールスクリプトにより、クライアントが設定されます。動作が完了するまで待ちます。

   Client configuration complete.

手順

1. IdM クライアントとして設定するシステムで ipa-client-install ユーティリティーを実行します。

   --password オプションを使用して、無作為に生成されたワンタイムパスワードを提供します。パスワードに特殊文字が含まれることが多いため、パスワードを一重引用符 (') で囲みます。

   # ipa-client-install --mkhomedir --password=password

   以下のいずれか条件に該当する場合は、--enable-dns-updates オプションを追加して、クライアントシステムの IP アドレスで DNS レコードを更新します。

   • クライアントを登録する IdM サーバーが、統合 DNS とともにインストールされた場合。
   • ネットワーク上の DNS サーバーが、GSS-TSIG プロトコルを用いた DNS エントリー更新を受け入れる場合。

   # ipa-client-install --password 'W5YpARl=7M.n' --enable-dns-updates --mkhomedir

   DNS 更新を有効にすると、クライアントが以下の条件に当てはまる場合に便利です。

   • クライアントに、DHCP (Dynamic Host Configuration Protocol) を使用して発行した動的 IP アドレスがある。
   • クライアントに、静的 IP アドレスが割り当てられたばかりで、IdM サーバーがそのアドレスを認識していない。

2. インストールスクリプトは、DNS レコードなどの必要な設定をすべて自動的に取得しようとします。

   • IdM DNS ゾーンで SRV レコードが正しく設定されていると、スクリプトはその他に必要な値をすべて自動的に検出し、表示します。yes を入力して確定します。

     Client hostname: client.example.com
     Realm: EXAMPLE.COM
     DNS Domain: example.com
     IPA Server: server.example.com
     BaseDN: dc=example,dc=com
     
     Continue to configure the system with these values? [no]: yes

   • システムを別の値でインストールする場合は no を入力します。その後、ipa-client-install を再度実行し、コマンドラインオプションを ipa-client-install に追加して必要な値を指定します。以下に例を示します。

     • --hostname
     • --realm
     • --domain
     • --server
     • --mkhomedir
     重要

     完全修飾ドメイン名は、有効な DNS 名である必要があります。

     • 数字、アルファベット、およびハイフン (-) のみを使用できる。たとえば、アンダーラインは使用できないため、DNS の障害が発生する原因となる可能性があります。
     • ホスト名がすべて小文字である。大文字は使用できません。
   • スクリプトが一部の設定を自動的に取得できなかった場合は、値を入力するように求められます。

3. インストールスクリプトにより、クライアントが設定されます。動作が完了するまで待ちます。

   Client configuration complete.

1. /etc/openldap/ldap.conf および /etc/sssd/sssd.conf を開きます。
2. 以前の設定を削除します。
3. 新しい IdM 設定のコメントを解除します。
4. システム全体の LDAP 設定に依存するサーバープロセスの中には、再起動しないと変更が適用されない場合があります。openldap ライブラリーを使用するアプリケーションでは通常、起動時に設定がインポートされます。

手順

1. IdM サーバーでホストエントリーを事前作成し、エントリーの一時パスワードを設定します。

   $ ipa host-add client.example.com --password=secret

   キックスタートがこのパスワードを使用して、クライアントのインストール時に認証し、最初の認証試行後に無効にします。クライアントが正常にインストールされると、キータブを使用して認証が行われます。

2. 「クライアントインストール用のキックスタートファイル」 に記載されている内容でキックスタートファイルを作成します。network コマンドを使用して、ネットワークがキックスタートファイルで適切に設定されているようにしてください。
3. キックスタートファイルを使用して、IdM クライアントをインストールします。

手順

1. grep ユーティリティーを使用して、/var/log/ipaserver-install.log ファイルからキーワード ScriptError があれば、すべて取得します。

   [user@server ~]$ sudo grep ScriptError /var/log/ipaclient-install.log
   [sudo] password for user:
   2020-05-28T18:24:50Z DEBUG The ipa-client-install command failed, exception: ScriptError: One of password / principal / keytab is required.

2. ログファイルを対話的に確認するには、less ユーティリティーを使用してログファイルの最後を開き、↑ および ↓キーを使用して移動します。

   [user@server ~]$ sudo less -N +G /var/log/ipaclient-install.log

手順

1. クライアントが所属する DNS ゾーンの動的更新が有効になっていることを確認します。

   [user@server ~]$ ipa dnszone-mod idm.example.com. --dynamic-update=TRUE

2. DNS サービスを実行している IdM サーバーで、TCP プロトコルと UDP プロトコルの両方でポート 53 が開かれていることを確認します。

   [user@server ~]$ sudo firewall-cmd --permanent --add-port=53/tcp --add-port=53/udp
   [sudo] password for user:
   success
   [user@server ~]$ firewall-cmd --runtime-to-permanent
   success

3. grep ユーティリティーを使用して、/var/log/client-install.log から nsupdate コマンドの内容を取得し、どの DNS レコードの更新に失敗しているかを確認します。

   [user@server ~]$ sudo grep nsupdate /var/log/ipaclient-install.log

手順

1. /etc/krb5.keytab を削除します。

   [user@client ~]$ sudo rm /etc/krb5.keytab
   [sudo] password for user:
   [user@client ~]$ ls /etc/krb5.keytab
   ls: cannot access '/etc/krb5.keytab': No such file or directory

2. IdM クライアントのインストールを再試行します。

1. 同じホスト名のクライアントマシンを再作成します。

2. クライアントマシンで ipa-client-install --force-join コマンドを実行します。

   # ipa-client-install --force-join

3. スクリプトにより、アイデンティティーがクライアントの再登録に使用されるユーザーの入力が求められます。たとえば、登録管理者 (Enrollment Administrator) ロールを持つ hostadmin ユーザーなどが該当します。

   User authorized to enroll computers: hostadmin
   Password for hostadmin@EXAMPLE.COM:

1. 同じホスト名のクライアントマシンを再作成します。
2. バックアップした場所から、再作成したクライアントマシンの /etc/ ディレクトリーにキータブファイルをコピーします。

3. ipa-client-install ユーティリティーを使用してクライアントを再登録し、--keytab オプションでキータブの場所を指定します。

   # ipa-client-install --keytab /etc/krb5.keytab

   注記

   登録を開始するために認証する場合は、--keytab オプションで指定するキータブのみが使用されます。再登録中、IdM はクライアントに対して新しいキータブを生成します。

手順

1. ipa-client-install --uninstall コマンドを入力します。

   [root@client ~]# ipa-client-install --uninstall

2. (オプション) IdM ユーザーの Kerberos Ticket-granting Ticket (TGT) を取得できないことを確認します。

   [root@client ~]# kinit admin
   kinit: Client 'admin@EXAMPLE.COM' not found in Kerberos database while getting initial credentials
   [root@client ~]#

   Kerberos TGT チケットが正常に返された場合には、IdM クライアントのアンインストール: 以前に複数回インストールを行った場合の追加手順 にあるアンインストール手順を実行してください。

3. クライアントで、特定した Keytab から以前の Kerberos プリンシパル (/etc/krb5.keytab を除く) を削除します。

   [root@client ~]# ipa-rmkeytab -k /path/to/keytab -r EXAMPLE.COM

4. IdM サーバーで、IdM からクライアントホストの DNS エントリーをすべて削除します。

   [root@server ~]# ipa dnsrecord-del
   Record name: old-client-name
   Zone name: idm.example.com
   No option to delete specific record provided.
   Delete all? Yes/No (default No): yes
   ------------------------
   Deleted record "old-client-name"

5. IdM サーバーで、IdM LDAP サーバーからクライアントホストエントリーを削除します。これにより、すべてのサービスが削除され、そのホストに発行されたすべての証明書が無効になります。

   [root@server ~]# ipa host-del client.idm.example.com

   重要

   クライアントホストエントリーを、別の IP アドレスまたは別のホスト名を使用して今後再登録する場合に、IdM LDAP サーバーからクライアントホストエントリーを削除することが重要です。

手順

1. /etc/krb5.conf.ipa ファイルを確認します。

   • /etc/krb5.conf.ipa ファイルの内容が、IdM クライアントのインストール前の krb5.conf ファイルの内容と同じ場合は、以下の手順を実行します。

     1. /etc/krb5.conf ファイルを削除します。

        # rm /etc/krb5.conf

     2. /etc/krb5.conf.ipa ファイルの名前を /etc/krb5.conf に変更します。

        # mv /etc/krb5.conf.ipa /etc/krb5.conf

   • /etc/krb5.conf.ipa ファイルの内容が、IdM クライアントのインストール前の krb5.conf ファイルの内容と同じでない場合には、オペレーティングシステムのインストール直後の状態には Kerberos 設定を復元できます。

   1. krb5-libs パッケージを再インストールします。

      # dnf reinstall krb5-libs

      このコマンドは、依存関係として krb5-workstation パッケージと、/etc/krb5.conf ファイルの元のバージョンを再インストールします。

2. var/log/ipaclient-install.log ファイルが存在する場合は削除します。

手順

1. ipa-client-install --uninstall コマンドを入力します。

   [root@client ~]# ipa-client-install --uninstall

2. (オプション) IdM ユーザーの Kerberos Ticket-granting Ticket (TGT) を取得できないことを確認します。

   [root@client ~]# kinit admin
   kinit: Client 'admin@EXAMPLE.COM' not found in Kerberos database while getting initial credentials
   [root@client ~]#

   Kerberos TGT チケットが正常に返された場合には、IdM クライアントのアンインストール: 以前に複数回インストールを行った場合の追加手順 にあるアンインストール手順を実行してください。

3. クライアントで、特定した Keytab から以前の Kerberos プリンシパル (/etc/krb5.keytab を除く) を削除します。

   [root@client ~]# ipa-rmkeytab -k /path/to/keytab -r EXAMPLE.COM

4. IdM サーバーで、IdM からクライアントホストの DNS エントリーをすべて削除します。

   [root@server ~]# ipa dnsrecord-del
   Record name: old-client-name
   Zone name: idm.example.com
   No option to delete specific record provided.
   Delete all? Yes/No (default No): yes
   ------------------------
   Deleted record "old-client-name"

5. IdM サーバーで、IdM LDAP サーバーからクライアントホストエントリーを削除します。これにより、すべてのサービスが削除され、そのホストに発行されたすべての証明書が無効になります。

   [root@server ~]# ipa host-del client.idm.example.com

   重要

   クライアントホストエントリーを、別の IP アドレスまたは別のホスト名を使用して今後再登録する場合に、IdM LDAP サーバーからクライアントホストエントリーを削除することが重要です。

手順

1. /etc/krb5.conf.ipa ファイルを確認します。

   • /etc/krb5.conf.ipa ファイルの内容が、IdM クライアントのインストール前の krb5.conf ファイルの内容と同じ場合は、以下の手順を実行します。

     1. /etc/krb5.conf ファイルを削除します。

        # rm /etc/krb5.conf

     2. /etc/krb5.conf.ipa ファイルの名前を /etc/krb5.conf に変更します。

        # mv /etc/krb5.conf.ipa /etc/krb5.conf

   • /etc/krb5.conf.ipa ファイルの内容が、IdM クライアントのインストール前の krb5.conf ファイルの内容と同じでない場合には、オペレーティングシステムのインストール直後の状態には Kerberos 設定を復元できます。

   1. krb5-libs パッケージを再インストールします。

      # dnf reinstall krb5-libs

      このコマンドは、依存関係として krb5-workstation パッケージと、/etc/krb5.conf ファイルの元のバージョンを再インストールします。

2. var/log/ipaclient-install.log ファイルが存在する場合は削除します。

手順

1. 以下のオプションを使用して、ipa-replica-install を実行します。

   • レプリカを DNS サーバーとして設定する --setup-dns

   • --forwarder - サーバーごとのフォワーダーを指定します。サーバーごとのフォワーダーを使用しない場合は --no-forwarder を指定します。フェイルオーバーのためにサーバーごとのフォワーダーを複数指定するには、--forwarder を複数回使用します。

     注記

     ipa-replica-install ユーティリティーは、--no-reverse や --no-host-dns などの DNS 設定に関する複数のオプションを受け入れます。詳細は、ipa-replica-install(1) の man ページを参照してください。

   • レプリカに CA を含める --setup-ca

   たとえば、IdM サーバーが管理していないすべての DNS 要求を、IP アドレス 192.0.2.1 で実行している DNS サーバーに転送する統合 DNS サーバーおよび CA にレプリカをセットアップするには、次のコマンドを実行します。

   # ipa-replica-install --setup-dns --forwarder 192.0.2.1 --setup-ca

2. インストールスクリプトが完了したら、親ドメインから IdM DNS ドメインに DNS 委譲を追加します。たとえば、IdM DNS ドメインが ipa.example.com の場合は、ネームサーバー (NS) レコードを親ドメイン example.com に追加します。

   重要

   IdM DNS サーバーをインストールするたびに、この手順を繰り返します。

手順

1. 以下のオプションを使用して、ipa-replica-install を実行します。

   • レプリカを DNS サーバーとして設定する --setup-dns
   • --forwarder - サーバーごとのフォワーダーを指定します。サーバーごとのフォワーダーを使用しない場合は --no-forwarder を指定します。フェイルオーバーのためにサーバーごとのフォワーダーを複数指定するには、--forwarder を複数回使用します。

   たとえば、IdM サーバーが管理していないすべての DNS 要求を、IP アドレス 192.0.2.1 で実行している DNS サーバーに転送する統合 DNS サーバーにレプリカをセットアップするには、次のコマンドを実行します。

   # ipa-replica-install --setup-dns --forwarder 192.0.2.1

   注記

   ipa-replica-install ユーティリティーは、--no-reverse や --no-host-dns などの DNS 設定に関する複数のオプションを受け入れます。詳細は、ipa-replica-install(1) の man ページを参照してください。

2. インストールスクリプトが完了したら、親ドメインから IdM DNS ドメインに DNS 委譲を追加します。たとえば、IdM DNS ドメインが ipa.example.com の場合は、ネームサーバー (NS) レコードを親ドメイン example.com に追加します。

   重要

   IdM DNS サーバーをインストールするたびに、この手順を繰り返します。

手順

1. --setup-ca オプションを指定して ipa-replica-install を実行します。

   # ipa-replica-install --setup-ca

2. 新規作成された IdM DNS サービスレコードを DNS サーバーに追加します。

   1. IdM DNS サービスレコードを nsupdate 形式のファイルにエクスポートします。

      $ ipa dns-update-system-records --dry-run --out dns_records_file.nsupdate

   2. nsupdate ユーティリティーおよび dns_records_file.nsupdate ファイルを使用して DNS サーバーに DNS 更新リクエストを送信します。詳細は、RHEL 7 ドキュメントの nsupdate を使用した外部 DNS レコード更新 を参照してください。または、DNS レコードの追加については、お使いの DNS サーバーのドキュメントを参照してください。

手順

1. 新しいレプリカでユーザーを作成します。

   [admin@new_replica ~]$ ipa user-add test_user

2. ユーザーが他のレプリカでも表示されるようにします。

   [admin@another_replica ~]$ ipa user-show test_user

手順

1. tail コマンドを使用して、プライマリーログファイル /var/log/ipareplica-install.log からの最新のエラーを表示します。以下の例は、最後の 10 行を表示しています。

   [user@replica ~]$ sudo tail -n 10 /var/log/ipareplica-install.log
   [sudo] password for user:
     func(installer)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/replicainstall.py", line 424, in decorated
     func(installer)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/replicainstall.py", line 785, in promote_check
     ensure_enrolled(installer)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/replicainstall.py", line 740, in ensure_enrolled
     raise ScriptError("Configuration of client side components failed!")
   
   2020-05-28T18:24:51Z DEBUG The ipa-replica-install command failed, exception: ScriptError: Configuration of client side components failed!
   2020-05-28T18:24:51Z ERROR Configuration of client side components failed!
   2020-05-28T18:24:51Z ERROR The ipa-replica-install command failed. See /var/log/ipareplica-install.log for more information

2. ログファイルを対話的に確認するには、less ユーティリティーを使用してログファイルの最後を開き、↑ および ↓キーを使用して移動します。

   [user@replica ~]$ sudo less -N +G /var/log/ipareplica-install.log

3. (オプション) /var/log/ipareplica-install.log は、レプリカのインストールの主なログファイルですが、レプリカおよびサーバーの追加のファイルを使用して、このレビュープロセスを繰り返して、追加のトラブルシューティング情報を収集できます。

   レプリカの場合:

   [user@replica ~]$ sudo less -N +G /var/log/ipareplica-conncheck.log
   [user@replica ~]$ sudo less -N +G /var/log/ipaclient-install.log
   [user@replica ~]$ sudo less -N +G /var/log/httpd/error_log
   [user@replica ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   [user@replica ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors
   [user@replica ~]$ sudo less -N +G /var/log/ipaserver-install.log

   サーバーの場合:

   [user@server ~]$ sudo less -N +G /var/log/httpd/error_log
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors

手順

1. ログファイルを対話的に確認するには、less ユーティリティーを使用してログファイルの最後を開き、↑ および ↓キーを使用して移動し、ScriptError を検索します。以下の例では、/var/log/pki/pki-ca-spawn.$TIME_OF_INSTALLATION.log を開きます。

   [user@server ~]$ sudo less -N +G /var/log/pki/pki-ca-spawn.20200527185902.log

2. すべての CA インストールエラーログファイルでこのレビュープロセスを繰り返して、追加のトラブルシューティング情報を収集します。

手順

1. IdM レプリカとして設定するホストで IdM サーバーソフトウェアをアンインストールします。

   [root@replica ~]# ipa-server-install --uninstall

2. トポロジー内の他のすべてのサーバーで ipa server-del コマンドを使用して、適切にインストールされていないレプリカへの参照を削除します。

   [root@other-replica ~]# ipa server-del replica.idm.example.com

3. レプリカのインストールを試行します。

4. インストールに繰り返し失敗したことが原因で IdM レプリカのインストールに問題が生じた場合は、オペレーティングシステムを再インストールします。

   カスタマイズなしの新規インストールシステムというのが、IdM レプリカのインストール要件の 1 つとなっています。インストールに失敗した場合は、予期せずにシステムファイルが変更されてホストの整合性が保てない可能性があります。

手順

1. システムクロックは、手動または chronyd により同期します。

   手動同期

   サーバー上のシステム時間を表示し、この時間と一致するようにレプリカの時間設定します。

   [user@server ~]$ date
   Thu May 28 21:03:57 EDT 2020
   
   [user@replica ~]$ sudo timedatectl set-time '2020-05-28 21:04:00'

   • chronyd と同期します。

     chrony ツールでシステム時間を設定および設定するには、Chrony スイートを使用した NTP の設定を参照してください。

2. IdM レプリカのインストールを再試行します。

1. IPA Server → Topology → Topology Graph を選択します。
2. トポロジーに加えた変更がグラフに反映されていない場合は、Refresh をクリックします。

手順

1. トポロジーグラフで、サーバーノードの 1 つにマウスを合わせます。

   図23.9 ドメインまたは CA オプション

   
2. 作成するトポロジーセグメントのタイプに応じて、domain または円の ca 部分をクリックします。

3. 新しいレプリカ合意を表す新しい矢印が、マウスポインターの下に表示されます。マウスを他のサーバーノードに移動し、そこでクリックします。

   図23.10 新規セグメントの作成

   
4. Add Topology Segment ウィンドウで Add をクリックして、新規セグメントのプロパティーを確認します。

手順

1. 削除するレプリカ合意を表す矢印をクリックします。これにより、矢印がハイライト表示されます。

   図23.12 トポロジーセグメントのハイライト表示

   
2. Delete をクリックします。
3. Confirmation ウィンドウで OK をクリックします。

手順

1. ipa topologysegment-add コマンドを使用して、2 つのサーバーのトポロジーセグメントを作成します。プロンプトが表示されたら、以下を指定します。

   • 必要なトポロジー接尾辞: domain または ca
   • 2 つのサーバーを表す、左ノードと右のノード

   • オプションで、セグメントのカスタム名

     以下に例を示します。

     $ ipa topologysegment-add
     Suffix name: domain
     Left node: server1.example.com
     Right node: server2.example.com
     Segment name [server1.example.com-to-server2.example.com]: new_segment
     ---------------------------
     Added segment "new_segment"
     ---------------------------
       Segment name: new_segment
       Left node: server1.example.com
       Right node: server2.example.com
       Connectivity: both

     新しいセグメントを追加すると、サーバーをレプリカ合意に参加させます。

2. オプション:ipa topologysegment-show コマンドを使用して、新しいセグメントが設定されたことを確認します。

   $ ipa topologysegment-show
   Suffix name: domain
   Segment name: new_segment
     Segment name: new_segment
     Left node: server1.example.com
     Right node: server2.example.com
     Connectivity: both

手順

1. レプリケーションを停止するには、サーバー間の対応するレプリケーションセグメントを削除する必要があります。これを実行するには、セグメント名を知っている必要があります。

   名前が分からない場合は、ipa topologysegment-find コマンドを使用してすべてのセグメントを表示し、出力で必要なセグメントを見つけます。プロンプトが表示されたら、必要なトポロジー接尾辞 (domain または ca) を指定します。以下に例を示します。

   $ ipa topologysegment-find
   Suffix name: domain
   ------------------
   8 segments matched
   ------------------
     Segment name: new_segment
     Left node: server1.example.com
     Right node: server2.example.com
     Connectivity: both
   
   ...
   
   ----------------------------
   Number of entries returned 8
   ----------------------------

2. ipa topologysegment-del コマンドを使用して、2 台のサーバー間のトポロジーセグメントを削除します。

   $ ipa topologysegment-del
   Suffix name: domain
   Segment name: new_segment
   -----------------------------
   Deleted segment "new_segment"
   -----------------------------

   セグメントを削除すると、レプリカ合意が削除されます。

3. オプション:ipa topologysegment-find コマンドを使用して、セグメントが表示されなくなったことを確認します。

   $ ipa topologysegment-find
   Suffix name: domain
   ------------------
   7 segments matched
   ------------------
     Segment name: server2.example.com-to-server3.example.com
     Left node: server2.example.com
     Right node: server3.example.com
     Connectivity: both
   
   ...
   
   ----------------------------
   Number of entries returned 7
   ----------------------------

1. IPA Server → Topology → IPA Servers を選択します。

2. 削除するサーバーの名前をクリックします。

   図23.14 サーバーの選択

   
3. Delete Server をクリックします。

1. 別のサーバーで ipa server-del コマンドを実行して、server1.example.com を削除します。このコマンドは、サーバーを参照するすべてのトポロジーセグメントを削除します。

   [user@server2 ~]$ ipa server-del
   Server name: server1.example.com
   Removing server1.example.com from replication topology, please wait...
   ----------------------------------------------------------
   Deleted IPA server "server1.example.com"
   ----------------------------------------------------------

2. オプション: server1.example.com で、ipa server-install --uninstall コマンドを実行して、マシンからサーバーコンポーネントをアンインストールします。

   [root@server1 ~]# ipa server-install --uninstall

1. 必要なリポジトリーを有効にします。

   # subscription-manager repos --enable rhel-9-for-x86_64-appstream-rpms

2. IdM Ansible ロールをインストールします。

   # dnf install ansible-freeipa

手順

1. ~/MyPlaybooks/ ディレクトリーを作成します。

   $ mkdir MyPlaybooks

2. ~/MyPlaybooks/inventory ファイルを作成します。

3. 編集するインベントリーファイルを開きます。IdM サーバーとして使用するホストの完全修飾ドメイン名 (FQDN) を指定します。FQDN が以下の基準を満たしていることを確認してください。

   • 英数字およびハイフン (-) のみが使用できる。たとえば、アンダーラインは使用できないため、DNS の障害が発生する原因となる可能性があります。
   • ホスト名がすべて小文字である。
4. IdM ドメインおよびレルムの情報を指定します。

5. 以下のオプションを追加して、統合 DNS を使用することを指定します。

   ipaserver_setup_dns=yes

6. DNS 転送設定を指定します。以下のいずれかのオプションを選択します。

   • インストーラーが /etc/resolv.conf ファイルからのフォワーダーを使用する場合は、ipaserver_auto_forwarders=yes オプションを使用します。/etc/resolv.conf ファイルで指定する nameserver が localhost 127.0.0.1 アドレスである場合、または仮想プライベートネットワークにあり、使用している DNS サーバーが通常パブリックインターネットから到達できない場合は、このオプションは使用しないでください。
   • ipaserver_forwarders を使用して、フォワーダーを手動で指定します。インストールプロセスにより、インストールした IdM サーバーの /etc/named.conf ファイルに、フォワーダーの IP アドレスが追加されます。

   • 代わりに使用する root DNS サーバーを設定する場合は、ipaserver_no_forwarders=yes オプションを使用します。

     注記

     DNS フォワーダーがないと、環境は分離され、インフラストラクチャー内の他の DNS ドメインからの名前は解決されません。

7. DNS の逆引きレコードとゾーンの設定を指定します。次のいずれかのオプションを選択します。

   • ゾーンがすでに解決可能であっても、ipaserver_allow_zone_overlap=yes オプションを使用して (リバース) ゾーンの作成を許可します。
   • ipaserver_reverse_zones オプションを使用して、手動でリバースゾーンを指定します。

   • インストーラーが DNS ゾーンを逆引きで作成しない場合は、ipaserver_no_reverse=yes オプションを使用します。

     注記

     オプションで、逆引きゾーンの管理に IdM を使用できます。代わりに、この目的で外部 DNS サービスを使用することもできます。

8. admin と Directory Manager のパスワードを指定します。Ansible Vault を使用してパスワードを保存し、Playbook ファイルから Vault ファイルを参照します。あるいは、安全性は低くなりますが、インベントリーファイルにパスワードを直接指定します。

9. (必要に応じて) IdM サーバーで使用する個別の firewalld ゾーンを指定します。カスタムゾーンを設定しないと、サービスがデフォルトの firewalld ゾーンに追加されます。事前定義されたデフォルトゾーンは public です。

   重要

   指定する firewalld ゾーンは存在し、永続的でなければなりません。

   必要なサーバー情報を含むインベントリーファイルの例 (パスワードを除く)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=yes
   ipaserver_auto_forwarders=yes
   [...]

   必要なサーバー情報を含むインベントリーファイルの例 (パスワードを含む)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=yes
   ipaserver_auto_forwarders=yes
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   カスタムの firewalld 損を使用したインベントリーファイルの例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=yes
   ipaserver_auto_forwarders=yes
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone

   Ansible Vault ファイルに保存された admin パスワードおよび Directory Manager パスワードを使用して IdM サーバーを設定する Playbook の例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
   
     roles:
     - role: ipaserver
       state: present

   インベントリーファイルの admin パスワードおよび Directory Manager パスワードを使用して IdM サーバーを設定する Playbook の例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       state: present

手順

1. ~/MyPlaybooks/ ディレクトリーを作成します。

   $ mkdir MyPlaybooks

2. ~/MyPlaybooks/inventory ファイルを作成します。

3. 編集するインベントリーファイルを開きます。IdM サーバーとして使用するホストの完全修飾ドメイン名 (FQDN) を指定します。FQDN が以下の基準を満たしていることを確認してください。

   • 英数字およびハイフン (-) のみが使用できる。たとえば、アンダーラインは使用できないため、DNS の障害が発生する原因となる可能性があります。
   • ホスト名がすべて小文字である。
4. IdM ドメインおよびレルムの情報を指定します。
5. ipaserver_setup_dns オプションが no に設定されているか、存在しないことを確認します。
6. admin と Directory Manager のパスワードを指定します。Ansible Vault を使用してパスワードを保存し、Playbook ファイルから Vault ファイルを参照します。あるいは、安全性は低くなりますが、インベントリーファイルにパスワードを直接指定します。

7. (必要に応じて) IdM サーバーで使用する個別の firewalld ゾーンを指定します。カスタムゾーンを設定しないと、サービスがデフォルトの firewalld ゾーンに追加されます。事前定義されたデフォルトゾーンは public です。

   重要

   指定する firewalld ゾーンは存在し、永続的でなければなりません。

   必要なサーバー情報を含むインベントリーファイルの例 (パスワードを除く)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   [...]

   必要なサーバー情報を含むインベントリーファイルの例 (パスワードを含む)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   カスタムの firewalld 損を使用したインベントリーファイルの例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone

   Ansible Vault ファイルに保存された admin パスワードおよび Directory Manager パスワードを使用して IdM サーバーを設定する Playbook の例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
   
     roles:
     - role: ipaserver
       state: present

   インベントリーファイルの admin パスワードおよび Directory Manager パスワードを使用して IdM サーバーを設定する Playbook の例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       state: present

手順

1. ansible-playbook コマンドを、Playbook ファイルの名前 (install-server.yml など) で実行します。-i オプションでインベントリーファイルを指定します。

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory ~/MyPlaybooks/install-server.yml

   -v オプション、-vv オプション、または -vvv オプションを使用して、詳細のレベルを指定します。

   コマンドラインインターフェイス (CLI) で Ansible Playbook スクリプトの出力を表示できます。次の出力は、失敗したタスクが 0 個のため、スクリプトが正常に実行されたことを示しています。

   PLAY RECAP
   server.idm.example.com : ok=18   changed=10   unreachable=0    failed=0    skipped=21   rescued=0    ignored=0

2. 以下のいずれかのオプションを選択します。

   • IdM デプロイメントで外部 DNS を使用する場合: /tmp/ipa.system.records.UFRPto.db ファイルに含まれる DNS リソースレコードを、既存の外部 DNS サーバーに追加します。DNS レコードの更新プロセスは、特定の DNS ソリューションによって異なります。

     ...
     Restarting the KDC
     Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
     Restarting the web server
     ...

   重要

   既存の DNS サーバーに DNS レコードを追加するまで、サーバーのインストールは完了しません。

   • IdM デプロイメントで統合 DNS を使用している場合は、次のコマンドを実行します。

     • 親ドメインから ldM DNS ドメインに DNS 委譲を追加します。たとえば、IdM DNS ドメインが idm.example.com の場合は、ネームサーバー (NS) レコードを親ドメイン example.com に追加します。

       重要

       IdM DNS サーバーをインストールするたびに、この手順を繰り返します。

     • タイムサーバーの _ntp._udp サービス (SRV) レコードを IdM DNS に追加します。IdM DNS に新たにインストールした IdM サーバーのタイムサーバーの SRV レコードが存在すると、このプライマリー IdM サーバーが使用するタイムサーバーと同期するように、今後のレプリカおよびクライアントインストールが自動的に設定されます。

手順

1. ~/MyPlaybooks/ ディレクトリーを作成します。

   $ mkdir MyPlaybooks

2. ~/MyPlaybooks/inventory ファイルを作成します。

3. 編集するインベントリーファイルを開きます。IdM サーバーとして使用するホストの完全修飾ドメイン名 (FQDN) を指定します。FQDN が以下の基準を満たしていることを確認してください。

   • 英数字およびハイフン (-) のみが使用できる。たとえば、アンダーラインは使用できないため、DNS の障害が発生する原因となる可能性があります。
   • ホスト名がすべて小文字である。
4. IdM ドメインおよびレルムの情報を指定します。

5. 以下のオプションを追加して、統合 DNS を使用することを指定します。

   ipaserver_setup_dns=yes

6. DNS 転送設定を指定します。以下のいずれかのオプションを選択します。

   • インストールプロセスで /etc/resolv.conf ファイルのフォワーダーを使用する場合は、ipaserver_auto_forwarders=yes を使用します。/etc/resolv.conf ファイルで指定する nameserver が localhost 127.0.0.1 アドレスである場合、または仮想プライベートネットワークにあり、使用している DNS サーバーが通常パブリックインターネットから到達できない場合は、このオプションを使用することが推奨されません。
   • ipaserver_forwarders を使用して、フォワーダーを手動で指定します。インストールプロセスにより、インストールした IdM サーバーの /etc/named.conf ファイルに、フォワーダーの IP アドレスが追加されます。

   • 代わりに使用する root DNS サーバーを設定する場合は、ipaserver_no_forwarders=yes オプションを使用します。

     注記

     DNS フォワーダーがないと、環境は分離され、インフラストラクチャー内の他の DNS ドメインからの名前は解決されません。

7. DNS の逆引きレコードとゾーンの設定を指定します。次のいずれかのオプションを選択します。

   • ゾーンがすでに解決可能であっても、ipaserver_allow_zone_overlap=yes オプションを使用して (リバース) ゾーンの作成を許可します。
   • ipaserver_reverse_zones オプションを使用して、手動でリバースゾーンを指定します。

   • インストールプロセスで DNS ゾーンの逆引きを作成しない場合は、ipaserver_no_reverse=yes オプションを使用します。

     注記

     オプションで、逆引きゾーンの管理に IdM を使用できます。代わりに、この目的で外部 DNS サービスを使用することもできます。

8. admin と Directory Manager のパスワードを指定します。Ansible Vault を使用してパスワードを保存し、Playbook ファイルから Vault ファイルを参照します。あるいは、安全性は低くなりますが、インベントリーファイルにパスワードを直接指定します。

9. (必要に応じて) IdM サーバーで使用する個別の firewalld ゾーンを指定します。カスタムゾーンを設定しないと、サービスがデフォルトのfirewalld ゾーンに追加されます。事前定義されたデフォルトゾーンは public です。

   重要

   指定する firewalld ゾーンは存在し、永続的でなければなりません。

   必要なサーバー情報を含むインベントリーファイルの例 (パスワードを除く)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=yes
   ipaserver_auto_forwarders=yes
   [...]

   必要なサーバー情報を含むインベントリーファイルの例 (パスワードを含む)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=yes
   ipaserver_auto_forwarders=yes
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   カスタムの firewalld 損を使用したインベントリーファイルの例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=yes
   ipaserver_auto_forwarders=yes
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone
   
   [...]

10. インストールの最初ステップ用の Playbook を作成します。証明書署名要求 (CSR) を生成し、それをコントローラーからマネージドノードにコピーする指示を入力します。

    ---
    - name: Playbook to configure IPA server Step 1
      hosts: ipaserver
      become: true
      vars_files:
      - playbook_sensitive_data.yml
      vars:
        ipaserver_external_ca: yes
    
      roles:
      - role: ipaserver
        state: present
    
      post_tasks:
      - name: Copy CSR /root/ipa.csr from node to "{{ groups.ipaserver[0] + '-ipa.csr' }}"
        fetch:
          src: /root/ipa.csr
          dest: "{{ groups.ipaserver[0] + '-ipa.csr' }}"
          flat: yes

11. インストールの最終ステップ用に、別の Playbook を作成します。

    ---
    - name: Playbook to configure IPA server Step -1
      hosts: ipaserver
      become: true
      vars_files:
      - playbook_sensitive_data.yml
      vars:
        ipaserver_external_cert_files: "/root/chain.crt"
    
      pre_tasks:
      - name: Copy "{{ groups.ipaserver[0] + '-chain.crt' }}" to /root/chain.crt on node
        copy:
          src: "{{ groups.ipaserver[0] + '-chain.crt' }}"
          dest: "/root/chain.crt"
          force: yes
    
      roles:
      - role: ipaserver
        state: present

手順

1. ~/MyPlaybooks/ ディレクトリーを作成します。

   $ mkdir MyPlaybooks

2. ~/MyPlaybooks/inventory ファイルを作成します。

3. 編集するインベントリーファイルを開きます。IdM サーバーとして使用するホストの完全修飾ドメイン名 (FQDN) を指定します。FQDN が以下の基準を満たしていることを確認してください。

   • 英数字およびハイフン (-) のみが使用できる。たとえば、アンダーラインは使用できないため、DNS の障害が発生する原因となる可能性があります。
   • ホスト名がすべて小文字である。
4. IdM ドメインおよびレルムの情報を指定します。
5. ipaserver_setup_dns オプションが no に設定されているか、存在しないことを確認します。
6. admin と Directory Manager のパスワードを指定します。Ansible Vault を使用してパスワードを保存し、Playbook ファイルから Vault ファイルを参照します。あるいは、安全性は低くなりますが、インベントリーファイルにパスワードを直接指定します。

7. (必要に応じて) IdM サーバーで使用する個別の firewalld ゾーンを指定します。カスタムゾーンを設定しないと、サービスがデフォルトの firewalld ゾーンに追加されます。事前定義されたデフォルトゾーンは public です。

   重要

   指定する firewalld ゾーンは存在し、永続的でなければなりません。

   必要なサーバー情報を含むインベントリーファイルの例 (パスワードを除く)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   [...]

   必要なサーバー情報を含むインベントリーファイルの例 (パスワードを含む)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   カスタムの firewalld 損を使用したインベントリーファイルの例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone
   
   [...]

8. インストールの最初ステップ用の Playbook を作成します。証明書署名要求 (CSR) を生成し、それをコントローラーからマネージドノードにコピーする指示を入力します。

   ---
   - name: Playbook to configure IPA server Step 1
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
     vars:
       ipaserver_external_ca: yes
   
     roles:
     - role: ipaserver
       state: present
   
     post_tasks:
     - name: Copy CSR /root/ipa.csr from node to "{{ groups.ipaserver[0] + '-ipa.csr' }}"
       fetch:
         src: /root/ipa.csr
         dest: "{{ groups.ipaserver[0] + '-ipa.csr' }}"
         flat: yes

9. インストールの最終ステップ用に、別の Playbook を作成します。

   ---
   - name: Playbook to configure IPA server Step -1
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
     vars:
       ipaserver_external_cert_files: "/root/chain.crt"
   
     pre_tasks:
     - name: Copy "{{ groups.ipaserver[0] + '-chain.crt' }}" to /root/chain.crt on node
       copy:
         src: "{{ groups.ipaserver[0] + '-chain.crt' }}"
         dest: "/root/chain.crt"
         force: yes
   
     roles:
     - role: ipaserver
       state: present

手順

1. ansible-playbook コマンドに、インストールの最初ステップの指示を含む Playbook ファイルの名前 (install-server-step1.yml など) を指定して実行します。-i オプションでインベントリーファイルを指定します。

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory ~/MyPlaybooks/install-server-step1.yml

   -v オプション、-vv オプション、または -vvv オプションを使用して、詳細のレベルを指定します。

   コマンドラインインターフェイス (CLI) で Ansible Playbook スクリプトの出力を表示できます。次の出力は、失敗したタスクが 0 個のため、スクリプトが正常に実行されたことを示しています。

   PLAY RECAP
   server.idm.example.com : ok=18   changed=10   unreachable=0    failed=0    skipped=21   rescued=0    ignored=0

2. コントローラー上の ipa.csr 証明書署名要求ファイルを見つけ、これを外部 CA に送信します。
3. 外部 CA が署名した IdM CA 証明書をコントローラーファイルシステムに配置して、次のステップの Playbook で見つけられるようにします。

4. ansible-playbook コマンドに、インストールの最終ステップの指示を含む Playbook ファイルの名前 (install-server-step2.yml など) を指定して実行します。-i オプションでインベントリーファイルを指定します。

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory ~/MyPlaybooks/install-server-step2.yml

5. 以下のいずれかのオプションを選択します。

   • IdM デプロイメントで外部 DNS を使用する場合: /tmp/ipa.system.records.UFRPto.db ファイルに含まれる DNS リソースレコードを、既存の外部 DNS サーバーに追加します。DNS レコードの更新プロセスは、特定の DNS ソリューションによって異なります。

     ...
     Restarting the KDC
     Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
     Restarting the web server
     ...

   重要

   既存の DNS サーバーに DNS レコードを追加するまで、サーバーのインストールは完了しません。

   • IdM デプロイメントで統合 DNS を使用している場合は、次のコマンドを実行します。

     • 親ドメインから ldM DNS ドメインに DNS 委譲を追加します。たとえば、IdM DNS ドメインが idm.example.com の場合は、ネームサーバー (NS) レコードを親ドメイン example.com に追加します。

       重要

       IdM DNS サーバーをインストールするたびに、この手順を繰り返します。

     • タイムサーバーの _ntp._udp サービス (SRV) レコードを IdM DNS に追加します。IdM DNS に新たにインストールした IdM サーバーのタイムサーバーの SRV レコードが存在すると、このプライマリー IdM サーバーが使用するタイムサーバーと同期するように、今後のレプリカおよびクライアントインストールが自動的に設定されます。

手順

1. Ansible Playbook ファイル uninstall-server.yml を次の内容で作成します。

   ---
   - name: Playbook to uninstall an IdM replica
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       ipaserver_remove_from_domain: true
       state: absent

   ipaserver_remove_from_domain オプションは、IdM トポロジーからホストを登録解除します。

   注記

   server123.idm.example.com を削除するとトポロジーが切断される場合は、削除は中止されます。詳細は、Ansible Playbook を使用した IdM サーバーのアンインストール (トポロジーが切断された場合でも) を参照してください。

2. レプリカをアンインストールします。

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/uninstall-server.yml

3. server123.idm.example.com を指しているネームサーバー (NS) DNS レコードがすべて DNS ゾーンから削除されていることを確認してください。使用する DNS が IdM により管理される統合 DNS であるか、外部 DNS であるかに関わらず、確認を行なってください。IdM から DNS レコードを削除する方法は、 Deleting DNS records in the IdM CLI を参照してください。

手順

1. Ansible Playbook ファイル uninstall-server.yml を次の内容で作成します。

   ---
   - name: Playbook to uninstall an IdM replica
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       ipaserver_remove_from_domain: true
       ipaserver_remove_on_server: server456.idm.example.com
       ipaserver_ignore_topology_disconnect: true
       state: absent

   注記

   通常の状況では、server123 を削除してもトポロジーが切断されない場合で、ipaserver_remove_on_server の値が設定されていない場合は、server123 が削除されたレプリカは server123 のレプリカ合意を使用して自動的に決定されます。

2. レプリカをアンインストールします。

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/uninstall-server.yml

3. server123.idm.example.com を指しているネームサーバー (NS) DNS レコードがすべて DNS ゾーンから削除されていることを確認してください。使用する DNS が IdM により管理される統合 DNS であるか、外部 DNS であるかに関わらず、確認を行なってください。IdM から DNS レコードを削除する方法は、 Deleting DNS records in the IdM CLI を参照してください。

手順

1. 編集するインベントリーファイルを開きます。IdM レプリカとなるホストの完全修飾ドメイン名 (FQDN) を指定します。FQDN は有効な DNS 名である必要があります。

   • 数字、アルファベット、およびハイフン (-) のみを使用できる。たとえば、アンダーラインは使用できないため、DNS の障害が発生する原因となる可能性があります。

   • ホスト名がすべて小文字である。

     レプリカの FQDN のみが定義されている単純なインベントリーホストファイルの例

     [ipareplicas]
     replica1.idm.example.com
     replica2.idm.example.com
     replica3.idm.example.com
     [...]

     IdM サーバーがデプロイされており、SRV レコードが IdM DNS ゾーンに適切に設定されている場合、スクリプトはその他に必要な値をすべて自動的に検出します。

2. [オプション] トポロジーの設計方法に基づいて、インベントリーファイルに追加情報を入力します。

   シナリオ 1

   自動検出を回避し、[ipareplicas] セクションに記載されているすべてのレプリカが特定の IdM サーバーを使用するようにするには、インベントリーファイルの [ipaservers] セクションにそのサーバーを設定します。

   IdM サーバーとレプリカの FQDN が定義されているインベントリーホストファイルの例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]

   シナリオ 2

   または、自動検出を回避して、特定のサーバーで特定のレプリカをデプロイする場合は、インベントリーファイルの [ipareplicas] セクションに、特定のレプリカのサーバーを個別に設定します。

   特定のレプリカ用に特定の IdM サーバーが定義されたインベントリーファイルの例

   [ipaservers]
   server.idm.example.com
   replica1.idm.example.com
   
   [ipareplicas]
   replica2.idm.example.com
   replica3.idm.example.com ipareplica_servers=replica1.idm.example.com

   上記の例では、replica3.idm.example.com が、すでにデプロイされた replica1.idm.example.com を複製元として使用します。

   シナリオ 3

   1 つのバッチに複数のレプリカをデプロイする場合は、多層レプリカのデプロイメントが役に立ちます。インベントリーファイルにレプリカの特定グループ (例: [ipareplicas_tier1] および [ipareplicas_tier2]) を定義し、Playbook install-replica.yml で各グループに個別のプレイを設計します。

   レプリカ階層が定義されているインベントリーファイルの例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas_tier1]
   replica1.idm.example.com
   
   [ipareplicas_tier2]
   replica2.idm.example.com \ ipareplica_servers=replica1.idm.example.com,server.idm.example.com

   ipareplica_servers の最初のエントリーが使用されます。次のエントリーは、フォールバックオプションとして使用されます。IdM レプリカのデプロイに複数の層を使用する場合は、最初に tier1 からレプリカをデプロイし、次に tier2 からレプリカをデプロイするように、Playbook に個別のタスクが必要です。

   レプリカグループごとに異なるプレイを定義した Playbook ファイルの例

   ---
   - name: Playbook to configure IPA replicas (tier1)
     hosts: ipareplicas_tier1
     become: true
   
     roles:
     - role: ipareplica
       state: present
   
   - name: Playbook to configure IPA replicas (tier2)
     hosts: ipareplicas_tier2
     become: true
   
     roles:
     - role: ipareplica
       state: present

3. [オプション] firewalld と DNS に関する追加情報を入力します。

   シナリオ 1

   レプリカが、デフォルトのゾーンの代わりに指定した firewalld ゾーンを使用するようにする場合は、インベントリーファイルに指定できます。これは、たとえば、デフォルトとして設定されているパブリックゾーンの代わりに、IdM インストールに内部 firewalld ゾーンを使用する場合に役立ちます。

   カスタムゾーンを設定しないと、サービスがデフォルトの firewalld ゾーンに追加されます。事前定義されたデフォルトゾーンは public です。

   重要

   指定する firewalld ゾーンは存在し、永続的でなければなりません。

   カスタム firewalld 帯を持つシンプルなインベントリーホストファイルの例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]
   
   [ipareplicas:vars]
   ipareplica_firewalld_zone=custom zone

   シナリオ 2

   レプリカが IdM DNS サービスをホストするようにする場合は、ipareplica_setup_dns=yes 行を [ipareplicas:vars] セクションに追加します。また、サーバーごとの DNS フォワーダーを使用するかどうかを指定します。

   • サーバーごとのフォワーダーを設定するには、ipareplica_forwarders 変数と文字列のリストを [ipareplicas:vars] セクションに追加します (例: ipareplica_forwarders=192.0.2.1,192.0.2.2)。
   • サーバーごとにフォワーダーを設定しない場合は、ipareplica_no_forwarders=yes の行を [ipareplicas:vars] セクションに追加します。
   • レプリカの /etc/resolv.conf ファイルにリスト表示されているフォワーダーに基づいてサーバーごとにフォワーダーを設定するには、[ipareplicas:vars] セクションに ipareplica_auto_forwarders を追加します。

   レプリカに DNS とサーバーごとのフォワーダーを設定する手順を含むインベントリーファイルの例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]
   
   [ipareplicas:vars]
   ipareplica_setup_dns=yes
   ipareplica_forwarders=192.0.2.1,192.0.2.2

   シナリオ 3

   ipaclient_configure_dns_resolve および ipaclient_dns_servers オプション (使用可能な場合) を使用して DNS リゾルバーを指定し、クラスターのデプロイメントを簡素化します。これは、IdM デプロイメントが統合 DNS を使用している場合に特に便利です。

   DNS リゾルバーを指定するインベントリーファイルスニペット:

   [...]
   [ipaclient:vars]
   ipaclient_configure_dns_resolver=true
   ipaclient_dns_servers=192.168.100.1

   注記

   ipaclient_dns_servers リストには IP アドレスのみを含める必要があります。ホスト名を含めることはできません。

手順

1. レプリカをデプロイする権限のあるユーザーのパスワード (IdM の admin など) を指定します。

   • Red Hat は、Ansible Vault を使用してパスワードを保存し、Playbook ファイルから Vault ファイルを参照する (install-replica.yml など) ことを推奨します。

     Ansible Vault ファイルのインベントリーファイルおよびパスワードのプリンシパルを使用した Playbook ファイルの例

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
       vars_files:
       - playbook_sensitive_data.yml
     
       roles:
       - role: ipareplica
         state: present

     Ansible Vault の使用方法は、公式の Ansible Vault ドキュメントを参照してください。

   • あまり安全ではありませんが、インベントリーファイルで admin の認証情報を直接提供します。インベントリーファイルの [ipareplicas:vars] セクションで ipaadmin_password オプションを使用します。インベントリーファイルと、Playbook ファイル install-replica.yml は以下のようになります。

     インベントリーの hosts.replica ファイルの例

     [...]
     [ipareplicas:vars]
     ipaadmin_password=Secret123

     インベントリーファイルのプリンシパルおよびパスワードを使用した Playbook の例

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
     
       roles:
       - role: ipareplica
         state: present

   • または、安全性は低くなりますが、レプリカをインベントリーファイルに直接デプロイすることを許可されている別のユーザーの認証情報を提供します。別の認証ユーザーを指定するには、ユーザー名に ipaadmin_principal オプションを使用し、パスワードに ipaadmin_password オプションを使用します。インベントリーファイルと、Playbook ファイル install-replica.yml は以下のようになります。

     インベントリーの hosts.replica ファイルの例

     [...]
     [ipareplicas:vars]
     ipaadmin_principal=my_admin
     ipaadmin_password=my_admin_secret123

     インベントリーファイルのプリンシパルおよびパスワードを使用した Playbook の例

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
     
       roles:
       - role: ipareplica
         state: present

手順

1. IdM クライアントになるホストの完全修飾ホスト名 (FQDN) を指定します。完全修飾ドメイン名は、有効な DNS 名である必要があります。

   • 数字、アルファベット、およびハイフン (-) のみを使用できる。たとえば、アンダーラインは使用できないため、DNS の障害が発生する原因となる可能性があります。
   • ホスト名がすべて小文字である。大文字は使用できません。

   SRV レコードが IdM DNS ゾーンで正しく設定されている場合は、スクリプトが自動的に必要な値をすべて検出します。

   クライアントの FQDN のみが定義されている単純なインベントリーホストファイルの例

   [ipaclients]
   client.idm.example.com
   [...]

2. クライアントを登録するための認証情報を指定します。以下の認証方法を使用できます。

   • クライアントを登録する権限のあるユーザーのパスワード。以下はデフォルトのオプションになります。

     • Red Hat は、Ansible Vault を使用してパスワードを保存し、Playbook ファイル (install-client.yml など) から Vault ファイルを直接参照することを推奨します。

       Ansible Vault ファイルのインベントリーファイルおよびパスワードのプリンシパルを使用した Playbook ファイルの例

       - name: Playbook to configure IPA clients with username/password
         hosts: ipaclients
         become: true
         vars_files:
         - playbook_sensitive_data.yml
       
         roles:
         - role: ipaclient
           state: present

     • あまり安全ではありませんが、inventory/hosts ファイルの [ipaclients:vars] セクションに ipaadmin_password オプションを使用して、admin の認証情報を提供します。また、別の認証ユーザーを指定するには、ユーザー名に ipaadmin_principal オプション、パスワードに ipaadmin_password オプションを使用します。inventory/hosts インベントリーファイルと、Playbook ファイル install-client.yml は以下のようになります。

       インベントリーホストファイルの例

       [...]
       [ipaclients:vars]
       ipaadmin_principal=my_admin
       ipaadmin_password=Secret123

       インベントリーファイルのプリンシパルおよびパスワードを使用した Playbook の例

       - name: Playbook to unconfigure IPA clients
         hosts: ipaclients
         become: true
       
         roles:
         - role: ipaclient
           state: true

   • 以前登録した クライアントキータブ が利用できる場合は、以下を行います。

     このオプションは、システムが Identity Management クライアントとして登録されたことがある場合に使用できます。この認証方法を使用するには、#ipaclient_keytab オプションのコメントを解除して、キータブを保存するファイルへのパスを指定します (例: inventory/hosts の [ipaclient:vars] セクション)。

   • 登録時に生成される ランダムなワンタイムパスワード (OTP)。この認証方法を使用するには、インベントリーファイルの ipaclient_use_otp=yes オプションを使用します。たとえば、inventory/hosts ファイルの [ipaclients:vars] セクションで ipaclient_use_otp=yes オプションのコメントを解除できます。OTP では、以下のいずれかのオプションも指定する必要があります。

     • クライアントを登録する権限のあるユーザーのパスワード (例: inventory/hosts ファイルの [ipaclients:vars] セクションに ipaadmin_password の値を指定)。
     • 管理者キータブ (例: inventory/hosts の [ipaclients:vars] セクションに ipaadmin_keytab の値を指定)。

3. (オプション) ipaclient_configure_dns_resolve および ipaclient_dns_servers オプション (使用可能な場合) を使用して DNS リゾルバーを指定し、クラスターのデプロイメントを簡素化します。これは、IdM デプロイメントが統合 DNS を使用している場合に特に便利です。

   DNS リゾルバーを指定するインベントリーファイルスニペット:

   [...]
   [ipaclients:vars]
   ipaadmin_password: "{{ ipaadmin_password }}"
   ipaclient_domain=idm.example.com
   ipaclient_configure_dns_resolver=true
   ipaclient_dns_servers=192.168.100.1

   注記

   ipaclient_dns_servers リストには IP アドレスのみを含める必要があります。ホスト名を含めることはできません。

4. RHEL 9.3 以降では、ipaclient_subid: true オプションを指定して、IdM ユーザーのサブ ID 範囲を IdM レベルで設定することもできます。

手順

1. IdM クライアントになるホストの完全修飾ホスト名 (FQDN) を指定します。完全修飾ドメイン名は、有効な DNS 名である必要があります。

   • 数字、アルファベット、およびハイフン (-) のみを使用できる。たとえば、アンダーラインは使用できないため、DNS の障害が発生する原因となる可能性があります。
   • ホスト名がすべて小文字である。大文字は使用できません。

2. inventory/hosts ファイルの関連セクションに、他のオプションを指定します。

   • [ipaservers] セクションのサーバーの FQDN は、クライアントが登録される IdM サーバーを示します。

   • 以下のいずれかのオプションを使用できます。

     • クライアントが登録される IdM サーバーの DNS ドメイン名を指定する [ipaclients:vars] セクションの ipaclient_domain オプション

     • IdM サーバーが制御する Kerberos レルムの名前を示す [ipaclients:vars] セクションの ipaclient_realm オプション

       クライアント FQDN、サーバーの FQDN、およびドメインが定義されているインベントリーホストファイルの例

       [ipaclients]
       client.idm.example.com
       
       [ipaservers]
       server.idm.example.com
       
       [ipaclients:vars]
       ipaclient_domain=idm.example.com
       [...]

3. クライアントを登録するための認証情報を指定します。以下の認証方法を使用できます。

   • クライアントを登録する権限のあるユーザーのパスワード。以下はデフォルトのオプションになります。

     • Red Hat は、Ansible Vault を使用してパスワードを保存し、Playbook ファイル (install-client.yml など) から Vault ファイルを直接参照することを推奨します。

       Ansible Vault ファイルのインベントリーファイルおよびパスワードのプリンシパルを使用した Playbook ファイルの例

       - name: Playbook to configure IPA clients with username/password
         hosts: ipaclients
         become: true
         vars_files:
         - playbook_sensitive_data.yml
       
         roles:
         - role: ipaclient
           state: present

   • 安全性は低くなりますが、inventory/hosts ファイルの [ipaclients:vars] セクションの ipaadmin_password オプションを使用して、admin の認証情報が提供されます。また、別の認証ユーザーを指定するには、ユーザー名に ipaadmin_principal オプション、パスワードに ipaadmin_password オプションを使用します。これにより、Playbook ファイル install-client.yml は、以下のようになります。

     インベントリーホストファイルの例

     [...]
     [ipaclients:vars]
     ipaadmin_principal=my_admin
     ipaadmin_password=Secret123

     インベントリーファイルのプリンシパルおよびパスワードを使用した Playbook の例

     - name: Playbook to unconfigure IPA clients
       hosts: ipaclients
       become: true
     
       roles:
       - role: ipaclient
         state: true

   • 以前登録した クライアントキータブ が利用できる場合は、以下を行います。

     このオプションは、システムが Identity Management クライアントとして登録されたことがある場合に使用できます。この認証方法を使用するには、ipaclient_keytab オプションをコメント解除します。たとえば、inventory/hosts の [ipaclient:vars] セクションにあるように、キータブを格納しているファイルへのパスを指定します。

   • 登録時に生成される ランダムなワンタイムパスワード (OTP)。この認証方法を使用するには、インベントリーファイルの ipaclient_use_otp=yes オプションを使用します。たとえば、inventory/hosts ファイルの [ipaclients:vars] セクションで、#ipaclient_use_otp=yes オプションをコメント解除できます。OTP では、以下のいずれかのオプションも指定する必要があります。

     • クライアントを登録する権限のあるユーザーのパスワード (例: inventory/hosts ファイルの [ipaclients:vars] セクションに ipaadmin_password の値を指定)。
     • 管理者キータブ (例: inventory/hosts の [ipaclients:vars] セクションに ipaadmin_keytab の値を指定)。
4. RHEL 9.3 以降では、ipaclient_subid: true オプションを指定して、IdM ユーザーのサブ ID 範囲を IdM レベルで設定することもできます。