4.4. 外部 IdM DNS を使用した Capsule Server の設定

IdM サーバーでの Kerberos プリンシパルの作成

1. IdM 管理者から取得したアカウントの Kerberos チケットを取得します。

   # kinit idm_user

2. IdM サーバーでの認証に使用する Capsule Server 用の新規 Kerberos プリンシパルを作成します。

   # ipa service-add capsule.example.com

IdM クライアントのインストールおよび設定

1. デプロイメントの DNS サービスを管理する Satellite または Capsule のベースオペレーティングシステムで ipa-client パッケージをインストールします。

   # satellite-maintain packages install ipa-client

2. インストールスクリプトとそれに続くプロンプトを実行して、IdM クライアントを設定します。

   # ipa-client-install

3. Kerberos チケットを取得します。

   # kinit admin

4. 既存の keytab を削除します。

   # rm /etc/foreman-proxy/dns.keytab

5. このシステムの keytab を取得します。

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -s idm1.example.com -k /etc/foreman-proxy/dns.keytab

   注記

   サービス中の元のシステムと同じホスト名を持つスタンバイシステムに keytab を追加する際には、r オプションを追加します。これにより、新規の認証情報が生成されることを防ぎ、元のシステムの認証情報が無効になります。

6. dns.keytab ファイルのグループと所有者を foreman-proxy に設定します。

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

7. オプション: keytab ファイルが有効であることを確認するには、以下のコマンドを入力します。

   # kinit -kt /etc/foreman-proxy/dns.keytab \
   capsule/satellite.example.com@EXAMPLE.COM

IdM Web UI での DNS ゾーンの設定

1. 管理するゾーンを作成して、設定します。

   1. Network Services (ネットワークサービス) > DNS > DNS Zones (DNS ゾーン) に移動します。
   2. 追加 を選択し、ゾーン名を入力します。(例: example.com)
   3. Add and Edit をクリックします。

   4. 設定タブをクリックして BIND 更新ポリシー ボックスで、以下のようにセミコロン区切りのエントリーを追加します。

      grant capsule/047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   5. Dynamic update を True に設定します。
   6. Allow PTR sync を有効にします。
   7. 送信 をクリックして、変更を保存します。

2. 逆引きゾーンを作成して設定します。

   1. Network Services (ネットワークサービス) > DNS > DNS Zones (DNS ゾーン) に移動します。
   2. Add をクリックします。
   3. Reverse zone IP network を選択して、CIDR 形式でネットワークアドレスを追加し、逆引き参照を有効にします。
   4. Add and Edit をクリックします。

   5. 設定 タブの BIND 更新ポリシー ボックスで、以下のようにセミコロン区切りのエントリーを追加します。

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   6. Dynamic update を True に設定します。
   7. 送信 をクリックして、変更を保存します。

ドメインの DNS サービスを管理する Satellite または Capsule Server の設定

1. satellite-installer コマンドを使用して、ドメインの DNS サービスを管理するように Satellite または Capsule を設定します。

   • Satellite で以下のコマンドを入力します。

     satellite-installer --scenario satellite \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=true \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-reverse="55.168.192.in-addr.arpa" \
     --foreman-proxy-dns-zone=example.com \
     --foreman-proxy-dns-ttl=86400

   • Capsule で、以下のコマンドを実行します。

     satellite-installer --scenario capsule \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=true \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-reverse="55.168.192.in-addr.arpa" \
     --foreman-proxy-dns-zone=example.com \
     --foreman-proxy-dns-ttl=86400

2. Satellite または Capsule のプロキシーサービスを再起動します。

   # systemctl restart foreman-proxy

Satellite Web UI での設定更新

1. インフラストラクチャー > Capsules に移動し、Capsule Server の場所を特定して、Actions コラムの一覧から、Refresh を選択します。

2. ドメインを設定します。

   1. インフラストラクチャー > ドメイン に移動し、ドメイン名を選択します。
   2. ドメイン タブで、DNS Capsule が、サブネットが接続されている Capsule に設定されていることを確認します。

3. サブネットを設定します。

   1. インフラストラクチャー > サブネット に移動し、サブネット名を選択します。
   2. サブネット タブで、IPAM を None に設定します。
   3. ドメイン タブで、IdM サーバーを使用して管理するドメインを選択します。
   4. Capsules タブで、Reverse DNS Capsule が、サブネットが接続されている Capsule に設定されていることを確認します。
   5. 送信 をクリックして変更を保存します。