1. Satellite Infrastructure サブスクリプションのプール ID を特定します。

   # subscription-manager list --all --available --matches 'Red Hat Satellite Infrastructure Subscription'

   このコマンドを実行すると、以下のような出力が表示されます。

   Subscription Name:   Red Hat Satellite Infrastructure Subscription
   Provides:            Red Hat Satellite
                         Red Hat Software Collections (for RHEL Server)
                         Red Hat CodeReady Linux Builder for x86_64
                         Red Hat Ansible Engine
                         Red Hat Enterprise Linux Load Balancer (for RHEL Server)
                         Red Hat
                         Red Hat Software Collections (for RHEL Server)
                         Red Hat Enterprise Linux Server
                         Red Hat Satellite Capsule
                         Red Hat Enterprise Linux for x86_64
                         Red Hat Enterprise Linux High Availability for x86_64
                         Red Hat Satellite
                         Red Hat Satellite 5 Managed DB
                         Red Hat Satellite 6
                         Red Hat Discovery
   SKU:                 MCT3719
   Contract:            11878983
   Pool ID:             8a85f99968b92c3701694ee998cf03b8
   Provides Management: No
   Available:           1
   Suggested:           1
   Service Level:       Premium
   Service Type:        L1-L3
   Subscription Type:   Standard
   Ends:                03/04/2020
   System Type:         Physical

2. サブスクリプションプール IDを書き留めます。上記の例と、実際のサブスクリプションプール ID は異なります。

3. Satellite Server の実行先のベースシステムに、Satellite Infrastructure サブスクリプションを割り当てます。

   # subscription-manager attach --pool=pool_id

   このコマンドを実行すると、以下のような出力が表示されます。

   サブスクリプションを正常に割り当てます: Red Hat Satellite Infrastructure サブスクリプション

4. オプション: Satellite Infrastructure サブスクリプションが割り当てられていることを確認します。

   # subscription-manager list --consumed

1. すべてのリポジトリーを無効にします。

   # subscription-manager repos --disable "*"

2. 次のリポジトリーを有効にします。

   # subscription-manager repos --enable=rhel-7-server-rpms \
   --enable=rhel-7-server-satellite-6.6-rpms \
   --enable=rhel-7-server-satellite-maintenance-6-rpms \
   --enable=rhel-server-rhscl-7-rpms \
   --enable=rhel-7-server-ansible-2.8-rpms

   注記

   Red Hat Virtualization (RHV) がホストする仮想マシンとして、Satellite Server をインストールする場合は、Red Hat Common リポジトリーを有効にして、RHV ゲストエージェントとドライバーもインストールする必要があります。詳細は『仮想マシン管理ガイド』の「ゲストエージェントおよびドライバーのインストール」を参照してください。

3. yum メタデータを消去します。

   # yum clean all

4. オプション: 必要なリポジトリーが有効になっていることを確認します。

   # yum repolist enabled

1. すべてのパッケージを更新します。

   # yum update

2. Satellite Server パッケージをインストールします。

   # yum install satellite

1. chrony パッケージをインストールします。

   # yum install chrony

2. chronyd サービスを起動して、有効にします。

   # systemctl start chronyd
   # systemctl enable chronyd

1. ブラウザーで https://access.redhat.com/ を開き、Red Hat サブスクリプション管理にシステムを登録する時に使用したアカウントにログインします。
2. カスタマーポータルの左上にある サブスクリプション に移動します。
3. サブスクリプション割り当て に移動します。
4. 新規サブスクリプションの割り当てを作成 をクリックします。
5. 名前 フィールドに名前を入力します。
6. タイプ の一覧から、お使いの Satellite Server に一致するタイプとバージョンを選択します。
7. 作成 をクリックします。

1. ブラウザーで https://access.redhat.com/ を開き、Red Hat サブスクリプション管理にシステムを登録する時に使用したアカウントにログインします。
2. カスタマーポータルの左上にある サブスクリプション に移動します。
3. サブスクリプション割り当て に移動します。
4. 更新する割り当てをクリックします。
5. サブスクリプション タブをクリックします。
6. サブスクリプションの追加 をクリックします。
7. Red Hat 製品サブスクリプションの一覧が表示されます。各製品に対するエンタイトルメントの数量 を入力します。
8. 送信 をクリックして割り当てを完了します。

Web UI をご利用の場合

1. コンテキストが、使用する組織に設定されていることを確認します。
2. コンテンツ > サブスクリプション に移動します。
3. マニフェストの管理 をクリックして、組織のマニフェストページを表示します。
4. ファイルの選択 をクリックしてサブスクリプションマニフェストを選択し、アップロード をクリックします。
5. ファイルの選択 をクリックして、カスタマーポータルからエクスポートした .zip 形式のマニフェストアーカイブを選択します。

1. ソースの証明書ファイルすべてを保存するには、root ユーザーだけがアクセスできるディレクトリーを作成します。

   # mkdir /root/satellite_cert

2. Certificate Signing Request (CSR) を署名する秘密鍵を作成します。

   秘密鍵は暗号化する必要がないことに注意してください。パスワードで保護された秘密鍵を使用する場合は、秘密鍵のパスワードを削除します。

   Satellite Server 向けの秘密鍵がすでにある場合は、この手順を省略します。

   # openssl genrsa -out /root/satellite_cert/satellite_cert_key.pem 4096

3. 証明書署名要求 (CSR) 用の /root/satellite_cert/openssl.cnf 設定ファイルを作成して、以下のコンテンツを追加します。

   [ req ]
   req_extensions = v3_req
   distinguished_name = req_distinguished_name
   x509_extensions = usr_cert
   prompt = no
   
   [ req_distinguished_name ] 1
   C  = Country Name (2 letter code)
   ST = State or Province Name (full name)
   L  = Locality Name (eg, city)
   O  = Organization Name (eg, company)
   OU = The division of your organization handling the certificate
   CN = satellite.example.com 2
   
   [ v3_req ]
   basicConstraints = CA:FALSE
   keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   subjectAltName = @alt_names
   
   [ usr_cert ]
   basicConstraints=CA:FALSE
   nsCertType = client, server, email
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   nsComment = "OpenSSL Generated Certificate"
   subjectKeyIdentifier=hash
   authorityKeyIdentifier=keyid,issuer
   
   [ alt_names ]
   DNS.1 = satellite.example.com 3

   1

   [ req_distinguished_name ] セクションに、貴社の組織の情報を入力します。

   2

   証明書のコモンネーム CN を、Satellite Server の完全修飾ドメイン名 (FQDN) と一致するように設定します。FQDN を確認するには、対象の Satellite Server で hostname -f コマンドを入力します。これは、katello-certs-check コマンドが証明書を正しく検証することを確認するために必要です。

   3

   サブジェクトの別名 (SAN: Subject Alternative Name) DNS.1 を、お使いのサーバーの完全修飾ドメイン名 (FQDN) に一致する用に設定します。

4. 証明書署名要求 (CSR) を作成します。

   # openssl req -new \
   -key /root/satellite_cert/satellite_cert_key.pem \ 1
   -config /root/satellite_cert/openssl.cnf \ 2
   -out /root/satellite_cert/satellite_cert_csr.pem 3

   1

   秘密鍵へのパス

   2

   設定ファイルへのパス

   3

   生成する CSRへのパス

5. 証明局に証明書署名要求を送信します。同じ証明局が Satellite Server と Capsule Server の証明書に署名する必要があります。

   要求を送信する場合は、証明書の有効期限を指定してください。証明書要求を送信する方法は異なるため、推奨の方法について認証局にお問い合わせください。要求への応答で、認証局バンドルと署名済み証明書を別々のファイルで受け取ることになります。

1. カスタムの SSL 証明書入力ファイルを検証します。katello-certs-check コマンドが正しく実行されるには、証明書のコモンネーム (CN) が Satellite Server の FQDN と一致する必要があることに注意してください。

   # katello-certs-check \
   -c /root/satellite_cert/satellite_cert.pem \      1
   -k /root/satellite_cert/satellite_cert_key.pem \  2
   -b /root/satellite_cert/ca_cert_bundle.pem        3

   1

   認証局が署名した Satellite Server の証明書ファイルへのパス

   2

   Capsule Server 証明書の署名に使用した秘密鍵へのパス

   3

   認証局バンドルへのパス

   このコマンドに成功すると、2 つの satellite-installer コマンドが返されます。1 つは、Satellite Server に証明書をデプロイするのに使用する必要があります。

   katello-certs-check の出力例

   Validation succeeded.
   
   To install the Red Hat Satellite Server with the custom certificates, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem"
   
   To update the certificates on a currently running Red Hat Satellite installation, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem" \
       --certs-update-server --certs-update-server-ca

2. 要件に合わせて、katello-certs-check コマンドの出力から、新しい Satellite にデプロイする satellite-installer コマンドか、現在実行中の Satellite の証明書を更新するコマンドを入力します。

   重要

   証明書のデプロイ後に、証明書のアーカイブファイルを削除しないでください。Satellite Server のアップグレード時などに必要です。

3. Satellite Server にネットワークでアクセスできるコンピューターで、この URL ( https://satellite.example.com) に移動します。
4. ブラウザーで、証明書の詳細を表示して、デプロイした証明書を確認します。

1. ホストで現行の katello-ca-consumer パッケージを削除します。

   # yum remove 'katello-ca-consumer*'

2. ホストに katello-ca-consumer パッケージをインストールします。

   # yum localinstall \
   http://satellite.example.com/pub/katello-ca-consumer-latest.noarch.rpm

1. 「ストレージの要件とガイドライン」を使用して、外部データベースのストレージ要件をプランニングします。
2. PostgreSQL で Foreman および Candlepin 用のデータベースを準備し、Foreman と Candlepin の所有権を持つ専用ユーザーを作成します。
3. pulp_database を所有している pulp ユーザーで MongoDB を準備します。
4. 最初の手順に従い、Satellite をインストールし、データベースが Satellite からアクセスできることを確認します。
5. satellite-installer のパラメーターを、新規データベースを参照するように編集し、satellite-installer を実行します。

1. 「Satellite Infrastructure サブスクリプションのアタッチ」の説明を使用して、サーバーに Satellite サブスクリプションをアタッチします。

2. MongoDB および PostgreSQL サーバーを Red Hat Enterprise Linux Server 7 にインストールするには、すべてのリポジトリーを無効にし、以下のリポジトリーのみを有効にする必要があります。

   # subscription-manager repos --disable '*'
   # subscription-manager repos --enable=rhel-server-rhscl-7-rpms \
   --enable=rhel-7-server-rpms

1. MongoDB をインストールするには、以下のコマンドを入力します。

   # yum install rh-mongodb34 rh-mongodb34-syspaths

2. rh-mongodb34 サービスを起動して有効にします。

   # systemctl start rh-mongodb34-mongod
   # systemctl enable rh-mongodb34-mongod

3. pulp_database データベース用に、MongoDB に Pulp ユーザーを作成します。

   # mongo pulp_database \
   --eval "db.createUser({user:'pulp',pwd:'pulp_password',roles:[{role:'dbOwner', db:'pulp_database'},{ role: 'readWrite', db: 'pulp_database'}]})"

4. /etc/opt/rh/rh-mongodb34/mongod.conf ファイルでバインド IP を指定します。

   bindIp: your_mongodb_server_bind_IP,::1

5. /etc/opt/rh/rh-mongodb34/mongod.conf ファイルを編集して security セクションの認証を有効にします。

   security:
     authorization: enabled

6. rh-mongodb34-mongod サービスを再起動します。

   # systemctl restart rh-mongodb34-mongod

7. MongoDB にポート 27017 を開きます。

   # firewall-cmd --add-port=27017/tcp
   # firewall-cmd --runtime-to-permanent

8. Satellite Server からデータベースにアクセスできることをテストします。接続が成功すると、コマンドから 1 が返ります。

   # scl enable rh-mongodb34 " mongo --host mongo.example.com \
   -u pulp -p pulp_password --port 27017 --eval 'ping:1' pulp_database"

1. PostgreSQL をインストールするには、以下のコマンドを入力します。

   # yum install postgresql-server

2. PostgreSQL サービスを初期化して起動し、有効にするには、以下のコマンドを実行します。

   # postgresql-setup initdb
   # systemctl start postgresql
   # systemctl enable postgresql

3. /var/lib/pgsql/data/postgresql.conf ファイルを編集します。

   # vi /var/lib/pgsql/data/postgresql.conf

4. # を削除して、着信接続をリッスンするようにします。

   listen_addresses = '*'

5. /var/lib/pgsql/data/pg_hba.conf ファイルを編集します。

   # vi /var/lib/pgsql/data/pg_hba.conf

6. 以下の行を追加します。

     host  all   all   satellite_server_ip/24   md5

7. PostgreSQL サービスを再起動して、変更を適用します。

   # systemctl restart postgresql

8. 外部 PostgreSQL サーバーで postgresql ポートを開きます。

   # firewall-cmd --add-service=postgresql
   # firewall-cmd --runtime-to-permanent

9. postgres ユーザーに切り替え、PostgreSQL クライアントを起動します。

   $ su - postgres -c psql

10. Satellite と Candlepin 用にそれぞれ、データベース、および専用ロールを作成します。

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;

11. postgres ユーザーをログアウトします。

    # \q

12. Satellite Server から、データベースにアクセスできることをテストします。接続に成功した場合には、コマンドは 1 を返します。

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"

13. Satellite 用にリモートデータベースをインストールして設定するには以下のコマンドを入力します。

    satellite-installer --scenario satellite \
      --foreman-db-host postgres.example.com \
      --foreman-db-password Foreman_Password \
      --foreman-db-database foreman \
      --katello-candlepin-db-host postgres.example.com \
      --katello-candlepin-db-name candlepin \
      --katello-candlepin-db-password Candlepin_Password \
      --katello-candlepin-manage-db false \
      --katello-pulp-db-username pulp \
      --katello-pulp-db-password pulp_password \
      --katello-pulp-db-seeds mongo.example.com:27017 \
      --katello-pulp-db-name pulp_database

1. Red Hat Enterprise Linux Server で、ISC DHCP サービスおよび BIND (Berkeley Internet Name Domain) パッケージをインストールします。

   # yum install dhcp bind

2. セキュリティートークンを生成します。

   # dnssec-keygen -a HMAC-MD5 -b 512 -n HOST omapi_key

   上記のコマンドを実行すると、2 つのファイルで構成されるキーペアが現在のディレクトリーに作成されます。

3. キーからシークレットハッシュをコピーします。

   # cat Komapi_key.+*.private |grep ^Key|cut -d ' ' -f2

4. すべてのサブネットに対して dhcpd 設定ファイルを編集し、キーを追加します。以下に例を示します。

   # cat /etc/dhcp/dhcpd.conf
   default-lease-time 604800;
   max-lease-time 2592000;
   log-facility local7;
   
   subnet 192.168.38.0 netmask 255.255.255.0 {
   	range 192.168.38.10 192.168.38.100;
   	option routers 192.168.38.1;
   	option subnet-mask 255.255.255.0;
   	option domain-search "virtual.lan";
   	option domain-name "virtual.lan";
   	option domain-name-servers 8.8.8.8;
   }
   
   omapi-port 7911;
   key omapi_key {
   	algorithm HMAC-MD5;
   	secret "jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw==";
   };
   omapi-key omapi_key;

   option routers の値は、外部の DHCP サービスと使用する Satellite または Capsule IP アドレスに置き換える点に注意してください。

5. キーファイルが作成されたディレクトリーから、2 つのキーファイルを削除します。

6. Satellite Server で各サブネットを定義します。定義済みのサブネットに DHCP Capsule は設定しないでください。

   競合を回避するには、リースと予約範囲を別に設定します。たとえば、リース範囲を 192.168.38.10 から 192.168.38.100 に設定した場合には、Satellite Web UI で予約範囲を 192.168.38.101 から 192.168.38.250 に設定します。

7. DHCP サーバーに外部アクセスできるように、ファイアウォールを設定します。

   # firewall-cmd --add-service dhcp \
   && firewall-cmd --runtime-to-permanent

8. Satellite Server で foreman ユーザーの UID と GID を指定します。

   # id -u foreman
   993
   # id -g foreman
   990

9. DHCP サーバーで、1 つ前の手順で定義した ID と同じ foreman ユーザーとグループを作成します。

   # groupadd -g 990 foreman
   # useradd -u 993 -g 990 -s /sbin/nologin foreman

10. 設定ファイルにアクセスできるように、読み取りおよび実行フラグを復元します。

    # chmod o+rx /etc/dhcp/
    # chmod o+r /etc/dhcp/dhcpd.conf
    # chattr +i /etc/dhcp/ /etc/dhcp/dhcpd.conf

11. DHCP サービスを起動します。

    # systemctl start dhcpd

12. NFS を使用して DHCP 設定ファイルおよびリースファイルをエクスポートします。

    # yum install nfs-utils
    # systemctl enable rpcbind nfs-server
    # systemctl start rpcbind nfs-server nfs-lock nfs-idmapd

13. NFS を使用してエクスポートする DHCP 設定ファイルとリースファイルのディレクトリーを作成します。

    # mkdir -p /exports/var/lib/dhcpd /exports/etc/dhcp

14. 作成したディレクトリーにマウントポイントを作成するには、以下の行を /etc/fstab ファイルに追加します。

    /var/lib/dhcpd /exports/var/lib/dhcpd none bind,auto 0 0
    /etc/dhcp /exports/etc/dhcp none bind,auto 0 0

15. /etc/fstab のファイルシステムをマウントします。

    # mount -a

16. /etc/exports に以下の行があることを確認します。

    /exports 192.168.38.1(rw,async,no_root_squash,fsid=0,no_subtree_check)
    
    /exports/etc/dhcp 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)
    
    /exports/var/lib/dhcpd 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)

    入力する IP アドレスは、外部 DHCP サービスで使用する Satellite または Capsule IP アドレスを指定する点に注意してください。

17. NFS サーバーをリロードします。

    # exportfs -rva

18. ファイアウォールで DHCP omapi ポート 7911 を設定します。

    # firewall-cmd --add-port="7911/tcp" \
    && firewall-cmd --runtime-to-permanent

19. オプション: NFS に外部からアクセスできるようにファイアウォールを設定します。

    クライアントは NFSv3 を使用して設定されます。

    • firewalld NFS サービスを使用してファイアウォールを設定します。

      # firewall-cmd --zone public --add-service mountd \
      && firewall-cmd --zone public --add-service rpc-bind \
      && firewall-cmd --zone public --add-service nfs \
      && firewall-cmd --runtime-to-permanent

1. nfs-utils ユーティリティーをインストールします。

   # yum install nfs-utils

2. NFS 用の DHCP ディレクトリーを作成します。

   # mkdir -p /mnt/nfs/etc/dhcp /mnt/nfs/var/lib/dhcpd

3. ファイルの所有者を変更します。

   # chown -R foreman-proxy /mnt/nfs

4. NFS サーバーとの通信とリモートプロシージャコール (RPC: Remote Procedure Call) 通信パスを検証します。

   # showmount -e DHCP_Server_FQDN
   # rpcinfo -p DHCP_Server_FQDN

5. /etc/fstab ファイルに以下の行を追加します。

   DHCP_Server_FQDN:/exports/etc/dhcp /mnt/nfs/etc/dhcp nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcp_etc_t:s0" 0 0
   
   DHCP_Server_FQDN:/exports/var/lib/dhcpd /mnt/nfs/var/lib/dhcpd nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcpd_state_t:s0" 0 0

6. /etc/fstab でファイルシステムをマウントします。

   # mount -a

7. foreman-proxy ユーザーがネットワークで共有したファイルにアクセスできることを確認するには、DHCP 設定ファイルとリースファイルを表示します。

   # su foreman-proxy -s /bin/bash
   bash-4.2$ cat /mnt/nfs/etc/dhcp/dhcpd.conf
   bash-4.2$ cat /mnt/nfs/var/lib/dhcpd/dhcpd.leases
   bash-4.2$ exit

8. satellite-installer コマンドを入力して、以下の永続的な変更を /etc/foreman-proxy/settings.d/dhcp.yml ファイルに加えます。

   # satellite-installer --foreman-proxy-dhcp=true \
   --foreman-proxy-dhcp-provider=remote_isc \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /mnt/nfs/etc/dhcp/dhcpd.conf \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /mnt/nfs/var/lib/dhcpd/dhcpd.leases \
   --foreman-proxy-plugin-dhcp-remote-isc-key-name=omapi_key \
   --foreman-proxy-plugin-dhcp-remote-isc-key-secret=jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw== \
   --foreman-proxy-plugin-dhcp-remote-isc-omapi-port=7911 \
   --enable-foreman-proxy-plugin-dhcp-remote-isc \
   --foreman-proxy-dhcp-server=DHCP_Server_FQDN

9. foreman-proxy サービスを再起動します。

   # systemctl restart foreman-proxy

10. Satellite Server Web UI にログインします。
11. Infrastructure > Capsules に移動して、DHCP サーバーで設定する Capsule Server を特定し、Actions コラムの一覧から Refresh を選択します。
12. DHCP サービスに適切なサブネットとドメインを関連付けます。

1. ファイアウォールを設定します (ポート 69 上の UDP)。

   # firewall-cmd --add-port="69/udp" \
   && firewall-cmd --runtime-to-permanent

作業開始前の準備

1. IdM サーバーがデプロイされ、ホストベースのファイアウォールが正確に設定されていることを確認します。詳細は『Linux ドメイン ID、認証、およびポリシーガイド』の「ポート要件」を参照してください。
2. IdM サーバーに、IdM サーバーにゾーンを作成するパーミッションのあるアカウントを作成します。
3. Satellite または外部 Capsule がドメインの DNS を管理していることを確認します。
4. Satellite または外部 Capsule が正常に機能していることを確認します。
5. 新たにインストールしたシステムの場合は、まず本ガイドにあるインストール手順を完了させます。特に、DNS と DHCP の設定は完了させてください。
6. 変更を元に戻す場合に備えて、応答ファイルのバックアップを作成します。詳細は「インストールオプションの指定」を参照してください。

IdM サーバー上で Kerberos プリンシパルの作成

1. Kerberos チケットがあることを確認します。

   # kinit idm_user

   ここでの idm_user は、IdM 管理者が作成したアカウントになります。

2. IdM サーバーに認証する際に使用する Satellite または Capsule 用の新規 Kerberos プリンシパルを作成します。

   # ipa service-add capsule/satellite.example.com

1. Satellite Server または Capsule Server に ipa-client パッケージをインストールします。

   • Satellite Server で以下のコマンドを入力します。

     # satellite-maintain packages install ipa-client

   • Capsule Server で以下のコマンドを入力します。

     # yum install ipa-client

2. インストールスクリプトとそれに続くプロンプトを実行して、IdM クライアントを設定します。

   # ipa-client-install

3. Kerberos チケットがあることを確認します。

   # kinit admin

4. 既存の keytab を削除します。

   # rm /etc/foreman-proxy/dns.keytab

5. このシステム用に作成された keytab を取得します。

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -s idm1.example.com -k /etc/foreman-proxy/dns.keytab

   注記

   サービス中の元のシステムと同じホスト名を持つスタンバイシステムに keytab を追加する際には、r オプションを追加します。これにより、新規の認証情報が生成されることを防ぎ、元のシステムの認証情報が無効になります。

6. 以下のように、foreman-proxy への keytab ファイルのグループと所有者を設定します。

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

7. 必要に応じて、keytab が有効か確認します。

   # kinit -kt /etc/foreman-proxy/dns.keytab \
   capsule/satellite.example.com@EXAMPLE.COM

IdM Web UI での DNS ゾーンの設定

1. 管理するゾーンを作成して、設定します。

   1. Network Services (ネットワークサービス) > DNS > DNS Zones (DNS ゾーン) に移動します。
   2. 追加 を選択し、ゾーン名を入力します。この例では、example.com になります。
   3. Add and Edit をクリックします。

   4. 設定タブの BIND アップデートポリシー ボックスで、以下のようにセミコロン区切りのエントリーを追加します。

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   5. Dynamic update が True に設定されていることを確認します。
   6. Allow PTR sync を有効にします。
   7. Save を選択して、変更を保存します。

2. 逆引きゾーンを作成、設定します。

   1. Network Services (ネットワークサービス) > DNS > DNS Zones (DNS ゾーン) に移動します。
   2. Add を選択します。
   3. Reverse zone IP network を選択して、CIDR 形式でネットワークアドレスを追加し、逆引き参照を有効にします。
   4. Add and Edit をクリックします。

   5. 設定 タブの BIND アップデートポリシー ボックスで、以下のようにセミコロン区切りのエントリーを追加します。

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   6. Dynamic update が True に設定されていることを確認します。
   7. Save を選択して、変更を保存します。

1. インフラストラクチャー > Capsules (スマートプロキシー) に移動します。
2. 更新する Capsule で、アクション ドロップダウンメニューから リフレッシュ を選択します。

3. ドメインを設定します。

   1. インフラストラクチャー > ドメイン に移動し、ドメイン名を選択します。
   2. ドメイン タブで、DNS Capsule が、サブネットが接続されている Capsule に設定されていることを確認します。

4. サブネットを設定します。

   1. インフラストラクチャー > サブネット に移動し、サブネット名を選択します。
   2. サブネット タブで、IPAM を None に設定します。
   3. ドメイン タブで、IdM サーバーが管理するドメインが選択されていることを確認します。
   4. Capsules タブで、Reverse DNS Capsule が、サブネットが接続されている Capsule に設定されていることを確認します。
   5. 送信 をクリックして変更を保存します。

作業開始前の準備

1. IdM サーバーがデプロイされ、ホストベースのファイアウォールが正確に設定されていることを確認します。詳細は『Linux ドメイン ID、認証、およびポリシーガイド』の「ポート要件」を参照してください。
2. IdM サーバーで root 権限を取得します。
3. Satellite または外部 Capsule がドメインの DNS を管理していることを確認します。
4. Satellite または外部 Capsule が正常に機能していることを確認します。
5. 新たにインストールしたシステムの場合は、まず本ガイドにあるインストール手順を完了させます。特に、DNS と DHCP の設定は完了させてください。
6. 変更を元に戻す場合に備えて、応答ファイルのバックアップを作成します。詳細は「インストールオプションの指定」を参照してください。

IdM サーバーの DNS ゾーンに対する外部アップデートの有効化

1. IdM サーバーで、以下の内容を /etc/named.conf ファイルの先頭に追加します。

   // This was added to allow Satellite Server at 192.168.25.1 to make DNS updates.
   ########################################################################
   include "/etc/rndc.key";
   controls  {
   inet 192.168.25.2 port 953 allow { 192.168.25.1; } keys { "rndc-key"; };
   };
   ########################################################################

2. named をリロードして、変更を有効にします。

   # systemctl reload named

3. IdM Web UI で、ネットワークサービス > DNS > DNS ゾーン に移動します。ゾーンの名前を選択します。設定 タブで、以下の手順を実行します。

   1. BIND update policy (BIND アップデートポリシー) ボックスで以下の内容を追加します。

      grant "rndc-key" zonesub ANY;

   2. Dynamic update が True に設定されていることを確認します。
   3. Update (更新) をクリックして変更を保存します。

4. 以下のように、IdM サーバーから Satellite のベースシステムへ /etc/rndc.key ファイルをコピーします。

   # scp /etc/rndc.key root@satellite.example.com:/etc/rndc.key

5. 所有者、パーミッション、SELinux コンテキストが正しいことを確認します。

   # restorecon -v /etc/rndc.key
   # chown -v root:named /etc/rndc.key
   # chmod -v 640 /etc/rndc.key

6. Satellite Server で以下のようにインストールスクリプトを実行し、外部 DNS サーバーを使用します。

   # satellite-installer --scenario satellite \
   --foreman-proxy-dns=true \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="192.168.25.2" \
   --foreman-proxy-keyfile=/etc/rndc.key \
   --foreman-proxy-dns-ttl=86400

IdM サーバーの DNS ゾーンに対する外部アップデートのテスト

1. テストのために nsupdate とともに bind-utils をインストールします。

   # yum install bind-utils

2. Satellite Server 上の /etc/rndc.key ファイルのキーが IdM サーバーで使用されているものと同じであることを確認します。

   key "rndc-key" {
           algorithm hmac-md5;
           secret "secret-key==";
   };

3. Satellite Server で、ホスト向けのテスト DNS エントリーを作成します (たとえば、192.168.25.1 の IdM サーバー上に 192.168.25.20 の A レコードがあるホスト test.example.com)。

   # echo -e "server 192.168.25.1\n \
   update add test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

4. Satellite Server で、DNS エントリーをテストします。

   # nslookup test.example.com 192.168.25.1
   Server:		192.168.25.1
   Address:	192.168.25.1#53
   
   Name:	test.example.com
   Address: 192.168.25.20

5. IdM Web UI でエントリーを参照するために、Network Services (ネットワークサービス) > DNS > DNS Zones (DNS ゾーン) に移動します。ゾーンの名前を選択し、名前でホストを検索します。

6. 正常に解決されたら、テスト DNS エントリーを削除します。

   # echo -e "server 192.168.25.1\n \
   update delete test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

7. DNS エントリーが削除されたことを確認します。

   # nslookup test.example.com 192.168.25.1

   レコードが正常に削除されている場合は、上記の nslookup コマンドが失敗し、SERVFAIL エラーメッセージを返します。

1. インフラストラクチャー > Capsules (スマートプロキシー) に移動します。
2. 更新する Capsule で、アクション ドロップダウンメニューから リフレッシュ を選択します。

3. ドメインを設定します。

   1. インフラストラクチャー > ドメイン に移動し、ドメイン名を選択します。
   2. ドメイン タブで、DNS Capsule が、サブネットが接続されている Capsule に設定されていることを確認します。

4. サブネットを設定します。

   1. インフラストラクチャー > サブネット に移動し、サブネット名を選択します。
   2. サブネット タブで、IPAM を DHCP または Internal DB に設定します。
   3. ドメイン タブで、Satellite または Capsule が管理するドメインが選択されていることを確認します。
   4. Capsules タブで、Reverse DNS Capsule が、サブネットが接続されている Capsule に設定されていることを確認します。
   5. 送信 をクリックして変更を保存します。

1. Red Hat Enterprise Linux AMI の EC2 インスタンスを起動します。
2. 新規作成のインスタンスに接続します。