1. FIPS 모드에서 새 IdM 영역 생성
2. 모든 주요 자료를 차단하는 필터를 사용하여 비FIPS 영역에서 새 FIPS 모드 영역으로 데이터 마이그레이션을 수행합니다.

절차

1. firewalld 서비스가 실행 중인지 확인합니다.

   • firewalld 가 현재 실행되고 있는지 확인하려면 다음을 수행합니다.

     # systemctl status firewalld.service

   • firewalld 를 시작하고 시스템이 부팅될 때 자동으로 시작하도록 구성하려면 다음을 수행합니다.

     # systemctl start firewalld.service
     # systemctl enable firewalld.service

2. firewall-cmd 유틸리티를 사용하여 필요한 포트를 엽니다. 다음 옵션 중 하나를 선택합니다.

   1. firewall-cmd --add-port 명령을 사용하여 방화벽에 개별 포트를 추가합니다. 예를 들어 기본 영역에서 포트를 엽니다.

      # firewall-cmd --permanent --add-port={80/tcp,443/tcp,389/tcp,636/tcp,88/tcp,88/udp,464/tcp,464/udp,53/tcp,53/udp}

   2. firewall-cmd --add-service 명령을 사용하여 방화벽에 firewalld 서비스를 추가합니다. 예를 들어 기본 영역에서 포트를 엽니다.

      # firewall-cmd --permanent --add-service={freeipa-4,dns}

      firewall-cmd 를 사용하여 시스템에서 포트를 여는 방법에 대한 자세한 내용은 firewall-cmd(1) 매뉴얼 페이지를 참조하십시오.

3. firewall-cmd 구성을 다시 로드하여 변경 사항이 즉시 수행되었는지 확인합니다.

   # firewall-cmd --reload

   프로덕션 환경에서 시스템에서 firewalld 를 다시 로드하면 DNS 연결이 시간 초과될 수 있습니다. 필요한 경우 시간 초과를 방지하고 실행 중인 시스템에서 변경 사항을 영구적으로 만들려면 firewall-cmd 명령의 --runtime-to-permanent 옵션을 사용합니다. 예를 들면 다음과 같습니다.

   # firewall-cmd --runtime-to-permanent

4. 선택 사항: 포트를 사용할 수 있는지 확인하려면 nc,telnet 또는 nmap 유틸리티를 사용하여 포트에 연결하거나 포트 스캔을 실행합니다.

절차

1. idm:DL1 스트림을 활성화합니다.

   # yum module enable idm:DL1

2. idm:DL1 스트림을 통해 제공되는 RPM으로 전환합니다.

   # yum distro-sync

3. IdM 요구 사항에 따라 다음 옵션 중 하나를 선택합니다.

   • 통합 DNS 없이 IdM 서버 설치에 필요한 패키지를 다운로드하려면 다음을 수행하십시오.

     # yum module install idm:DL1/server

   • 통합 DNS를 사용하여 IdM 서버를 설치하는 데 필요한 패키지를 다운로드하려면 다음을 수행합니다.

     # yum module install idm:DL1/dns

   • Active Directory와의 신뢰 관계가 있는 IdM 서버 설치에 필요한 패키지를 다운로드하려면 다음을 수행합니다.

     # yum module install idm:DL1/adtrust

   • 여러 프로필에서 패키지를 다운로드하려면 (예: adtrust 및 dns 프로필)

     # yum module install idm:DL1/{dns,adtrust}

   • IdM 클라이언트 설치에 필요한 패키지를 다운로드하려면 다음을 수행합니다.

     # yum module install idm:DL1/client

절차

1. (선택 사항) 현재 umask 를 표시합니다.

   # umask
   0027

2. bookinfo를 0022 로 설정합니다.

   # umask 0022

3. (선택 사항) IdM 설치가 완료된 후 CCO를 원래 값으로 다시 설정합니다.

   # umask 0027

절차

1. ipa-server-install 유틸리티를 실행합니다.

   # ipa-server-install

2. 스크립트에서 통합 DNS 서비스를 구성하라는 메시지가 표시됩니다. yes 를 입력합니다.

   Do you want to configure integrated DNS (BIND)? [no]: yes

3. 이 스크립트는 몇 가지 필수 설정을 입력하라는 메시지를 표시하고 대괄호에 권장되는 기본값을 제공합니다.

   • 기본값을 허용하려면 Enter 를 누릅니다.

   • 사용자 지정 값을 제공하려면 필요한 값을 입력합니다.

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     주의

     이러한 이름을 신중하게 계획하십시오. 설치가 완료된 후에는 변경할 수 없습니다.

4. Directory Server 슈퍼 유저(cn=Directory Manager)의 암호와 IdM(Identity Management) 관리 시스템 사용자 계정(admin)에 대해 암호를 입력합니다.

   Directory Manager password:
   IPA admin password:

5. 스크립트에서 서버별 DNS 전달자를 입력하라는 메시지를 표시합니다.

   Do you want to configure DNS forwarders? [yes]:

   • 서버별 DNS 전달자를 구성하려면 yes 를 입력한 다음 명령줄의 지침을 따릅니다. 설치 프로세스에서 IdM LDAP에 전달자 IP 주소를 추가합니다.

     • 전달 정책 기본 설정의 경우 ipa-dns-install(1) 도움말 페이지의 --forward-policy 설명을 참조하십시오.

   • DNS 전달을 사용하지 않으려면 no 를 입력합니다.

     DNS 전달자가 없으면 IdM 도메인의 호스트에서 인프라의 다른 내부 DNS 도메인의 이름을 확인할 수 없습니다. 호스트는 DNS 쿼리를 확인하기 위해 공용 DNS 서버에서만 유지됩니다.

6. 스크립트에서 서버와 연결된 IP 주소에 대한 DNS 역방향(PTR) 레코드가 구성되어 있는지 확인하라는 메시지가 표시됩니다.

   Do you want to search for missing reverse zones? [yes]:

   검색 및 누락된 역방향 영역을 실행하는 경우 스크립트는 PTR 레코드와 함께 역방향 영역을 생성할지 여부를 요청합니다.

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   참고

   IdM을 사용하여 역방향 영역을 관리하는 것은 선택 사항입니다. 대신 외부 DNS 서비스를 사용할 수 있습니다.

7. yes 를 입력하여 서버 구성을 확인합니다.

   Continue to configure the system with these values? [no]: yes

8. 이제 설치 스크립트가 서버를 구성합니다. 작업이 완료될 때까지 기다립니다.

9. 설치 스크립트가 완료되면 다음과 같은 방식으로 DNS 레코드를 업데이트합니다.

   1. 상위 도메인의 DNS 위임을 IdM DNS 도메인에 추가합니다. 예를 들어 IdM DNS 도메인이 idm.example.com 인 경우 example.com 상위 도메인에 이름 서버(NS) 레코드를 추가합니다.

      중요

      IdM DNS 서버가 설치되면 이 단계를 반복합니다.

   2. 시간 서버의 _ntp._udp 서비스(SRV) 레코드를 IdM DNS에 추가합니다. IdM DNS에 새로 설치된 IdM 서버의 시간 서버에 SRV 레코드가 있으면 이 기본 IdM 서버에서 사용하는 시간 서버와 동기화되도록 향후 복제본 및 클라이언트 설치가 자동으로 구성됩니다.

절차

1. 옵션을 사용하여 ipa-server-install 유틸리티를 실행하여 필요한 모든 정보를 제공합니다. 비대화형 설치에 필요한 최소 옵션은 다음과 같습니다.

   • --realm: Kerberos 영역 이름을 제공합니다.
   • --ds-password: 디렉터리 서버 슈퍼 사용자 디렉터리 관리자(DM)의 암호를 제공합니다.
   • --admin-password: admin, IdM(Identity Management) 관리자의 암호를 제공합니다.
   • --unattended: 설치 프로세스에서 호스트 이름 및 도메인 이름에 대한 기본 옵션을 선택하도록 합니다.

   통합 DNS를 사용하여 서버를 설치하려면 다음 옵션도 추가합니다.

   • --setup-dns: 통합 DNS를 구성
   • --forwarder 또는 --no-forwarders: DNS 전달자 구성 여부에 따라 사용
   • --auto-reverse 또는 --no-reverse: IdM DNS에서 생성해야 하는 역방향 DNS 영역의 자동 탐지를 구성하려는 여부에 따라 또는 역방향 영역 자동 탐지 구성 여부에 따라 기능을 설정 가능

   예를 들어 다음과 같습니다.

   # ipa-server-install --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended --setup-dns --forwarder 192.0.2.1 --no-reverse

2. 설치 스크립트가 완료되면 다음과 같은 방식으로 DNS 레코드를 업데이트합니다.

   1. 상위 도메인의 DNS 위임을 IdM DNS 도메인에 추가합니다. 예를 들어 IdM DNS 도메인이 idm.example.com 인 경우 example.com 상위 도메인에 이름 서버(NS) 레코드를 추가합니다.

      중요

      IdM DNS 서버가 설치되면 이 단계를 반복합니다.

   2. 시간 서버의 _ntp._udp 서비스(SRV) 레코드를 IdM DNS에 추가합니다. IdM DNS에 새로 설치된 IdM 서버의 시간 서버에 SRV 레코드가 있으면 이 기본 IdM 서버에서 사용하는 시간 서버와 동기화되도록 향후 복제본 및 클라이언트 설치가 자동으로 구성됩니다.

절차

1. --external-ca 옵션을 사용하여 ipa-server-install 유틸리티를 실행합니다.

   # ipa-server-install --external-ca

   • Microsoft 인증서 서비스(MS CS) CA를 사용하는 경우 --external-ca-type 옵션 및 선택적으로 --external-ca-profile 옵션을 사용합니다.

     [root@server ~]# ipa-server-install --external-ca --external-ca-type=ms-cs --external-ca-profile=<oid>/<name>/default

   • IdM CA의 서명 인증서를 생성하는 데 MS CS를 사용하지 않는 경우 다른 옵션이 필요하지 않을 수 있습니다.

     # ipa-server-install --external-ca

2. 스크립트에서 통합 DNS 서비스를 구성하라는 메시지가 표시됩니다. yes 또는 no를 입력합니다. 이 절차에서는 통합 DNS가 있는 서버를 설치하고 있습니다.

   Do you want to configure integrated DNS (BIND)? [no]: yes

   참고

   통합 DNS 없이 서버를 설치하려는 경우 아래 단계에 설명된 대로 설치 스크립트에서 DNS 구성을 요청하는 메시지를 표시하지 않습니다. DNS 없이 서버를 설치하는 단계에 대한 자세한 내용은 6장. IdM 서버 설치: 통합 DNS 없이, 루트 CA로 통합된 CA를 포함 을 참조하십시오.

3. 이 스크립트는 몇 가지 필수 설정을 입력하라는 메시지를 표시하고 대괄호에 권장되는 기본값을 제공합니다.

   • 기본값을 허용하려면 Enter 를 누릅니다.

   • 사용자 지정 값을 제공하려면 필요한 값을 입력합니다.

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     주의

     이러한 이름을 신중하게 계획하십시오. 설치가 완료된 후에는 변경할 수 없습니다.

4. Directory Server 슈퍼 유저(cn=Directory Manager)의 암호와 IdM(Identity Management) 관리 시스템 사용자 계정(admin)에 대해 암호를 입력합니다.

   Directory Manager password:
   IPA admin password:

5. 스크립트에서 서버별 DNS 전달자를 입력하라는 메시지를 표시합니다.

   Do you want to configure DNS forwarders? [yes]:

   • 서버별 DNS 전달자를 구성하려면 yes 를 입력한 다음 명령줄의 지침을 따릅니다. 설치 프로세스에서 IdM LDAP에 전달자 IP 주소를 추가합니다.

     • 전달 정책 기본 설정의 경우 ipa-dns-install(1) 도움말 페이지의 --forward-policy 설명을 참조하십시오.

   • DNS 전달을 사용하지 않으려면 no 를 입력합니다.

     DNS 전달자가 없으면 IdM 도메인의 호스트에서 인프라의 다른 내부 DNS 도메인의 이름을 확인할 수 없습니다. 호스트는 DNS 쿼리를 확인하기 위해 공용 DNS 서버에서만 유지됩니다.

6. 스크립트에서 서버와 연결된 IP 주소에 대한 DNS 역방향(PTR) 레코드가 구성되어 있는지 확인하라는 메시지가 표시됩니다.

   Do you want to search for missing reverse zones? [yes]:

   검색 및 누락된 역방향 영역을 실행하는 경우 스크립트는 PTR 레코드와 함께 역방향 영역을 생성할지 여부를 요청합니다.

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   참고

   IdM을 사용하여 역방향 영역을 관리하는 것은 선택 사항입니다. 대신 외부 DNS 서비스를 사용할 수 있습니다.

7. yes 를 입력하여 서버 구성을 확인합니다.

   Continue to configure the system with these values? [no]: yes

8. 인증서 시스템 인스턴스를 구성하는 동안 유틸리티는 인증서 서명 요청(CSR): /root/ipa.csr:

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   이 경우:

   1. /root/ipa.csr에 있는 CSR을 외부 CA에 제출합니다. 이 프로세스는 외부 CA로 사용할 서비스에 따라 다릅니다.

   2. 기본 64로 인코딩된 Blob(Windows CA의 PEM 파일 또는 Base_64 인증서)에서 발급한 인증서와 CA의 CA 인증서 체인을 검색합니다. 다시 말하지만, 프로세스는 모든 인증서 서비스에 따라 다릅니다. 일반적으로 웹 페이지 또는 알림 이메일의 다운로드 링크를 사용하면 관리자가 필요한 모든 인증서를 다운로드할 수 있습니다.

      중요

      CA 인증서뿐만 아니라 CA의 전체 인증서 체인을 가져옵니다.

   3. ipa-server-install을 다시 실행합니다. 이번에는 새로 발급한 CA 인증서와 CA 체인 파일의 위치 및 이름을 지정합니다. 예를 들어 다음과 같습니다.

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem

9. 이제 설치 스크립트가 서버를 구성합니다. 작업이 완료될 때까지 기다립니다.

10. 설치 스크립트가 완료되면 다음과 같은 방식으로 DNS 레코드를 업데이트합니다.

    1. 상위 도메인의 DNS 위임을 IdM DNS 도메인에 추가합니다. 예를 들어 IdM DNS 도메인이 idm.example.com 인 경우 example.com 상위 도메인에 이름 서버(NS) 레코드를 추가합니다.

       중요

       IdM DNS 서버가 설치되면 이 단계를 반복합니다.

    2. 시간 서버의 _ntp._udp 서비스(SRV) 레코드를 IdM DNS에 추가합니다. IdM DNS에 새로 설치된 IdM 서버의 시간 서버에 SRV 레코드가 있으면 이 기본 IdM 서버에서 사용하는 시간 서버와 동기화되도록 향후 복제본 및 클라이언트 설치가 자동으로 구성됩니다.

1. 다음 쉘 스크립트를 사용하여 *_proxy 환경 변수를 설정 해제합니다.

   # for i in ftp http https; do unset ${i}_proxy; done

2. pkidestroy 유틸리티를 실행하여 실패한 CA(인증 기관) 하위 시스템 설치를 제거합니다.

   # pkidestroy -s CA -i pki-tomcat; rm -rf /var/log/pki/pki-tomcat /etc/sysconfig/pki-tomcat /etc/sysconfig/pki/tomcat/pki-tomcat /var/lib/pki/pki-tomcat /etc/pki/pki-tomcat /root/ipa.csr

3. 실패한 IdM(Identity Management) 서버 설치를 제거합니다.

   # ipa-server-install --uninstall

4. ipa-server-install --external-ca 를 실행합니다.

절차

1. ipa-server-install 유틸리티를 실행하고 필요한 모든 인증서를 제공합니다. 예를 들어 다음과 같습니다.

   [root@server ~]# ipa-server-install \
       --http-cert-file /tmp/server.crt \
       --http-cert-file /tmp/server.key \
       --http-pin secret \
       --dirsrv-cert-file /tmp/server.crt \
       --dirsrv-cert-file /tmp/server.key \
       --dirsrv-pin secret \
       --ca-cert-file ca.crt

   제공된 인증서에 대한 자세한 내용은 CA 없이 IdM 서버를 설치하는 데 필요한 인증서 를 참조하십시오.

2. 스크립트에서 통합 DNS 서비스를 구성하라는 메시지가 표시됩니다. yes 또는 no를 입력합니다. 이 절차에서는 통합 DNS가 있는 서버를 설치하고 있습니다.

   Do you want to configure integrated DNS (BIND)? [no]: yes

   참고

   통합 DNS 없이 서버를 설치하려는 경우 아래 단계에 설명된 대로 설치 스크립트에서 DNS 구성을 요청하는 메시지를 표시하지 않습니다. IdM 서버 설치를 참조하십시오. DNS를 통합하지 않고 루트 CA로 통합 CA가 있는 경우 DNS 없이 서버를 설치하는 단계에 대한 세부 사항.

3. 이 스크립트는 몇 가지 필수 설정을 입력하라는 메시지를 표시하고 대괄호에 권장되는 기본값을 제공합니다.

   • 기본값을 허용하려면 Enter 를 누릅니다.

   • 사용자 지정 값을 제공하려면 필요한 값을 입력합니다.

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     주의

     이러한 이름을 신중하게 계획하십시오. 설치가 완료된 후에는 변경할 수 없습니다.

4. Directory Server 슈퍼 유저(cn=Directory Manager)의 암호와 IdM(Identity Management) 관리 시스템 사용자 계정(admin)에 대해 암호를 입력합니다.

   Directory Manager password:
   IPA admin password:

5. 스크립트에서 서버별 DNS 전달자를 입력하라는 메시지를 표시합니다.

   Do you want to configure DNS forwarders? [yes]:

   • 서버별 DNS 전달자를 구성하려면 yes 를 입력한 다음 명령줄의 지침을 따릅니다. 설치 프로세스에서 IdM LDAP에 전달자 IP 주소를 추가합니다.

     • 전달 정책 기본 설정의 경우 ipa-dns-install(1) 도움말 페이지의 --forward-policy 설명을 참조하십시오.

   • DNS 전달을 사용하지 않으려면 no 를 입력합니다.

     DNS 전달자가 없으면 IdM 도메인의 호스트에서 인프라의 다른 내부 DNS 도메인의 이름을 확인할 수 없습니다. 호스트는 DNS 쿼리를 확인하기 위해 공용 DNS 서버에서만 유지됩니다.

6. 스크립트에서 서버와 연결된 IP 주소에 대한 DNS 역방향(PTR) 레코드가 구성되어 있는지 확인하라는 메시지가 표시됩니다.

   Do you want to search for missing reverse zones? [yes]:

   검색 및 누락된 역방향 영역을 실행하는 경우 스크립트는 PTR 레코드와 함께 역방향 영역을 생성할지 여부를 요청합니다.

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   참고

   IdM을 사용하여 역방향 영역을 관리하는 것은 선택 사항입니다. 대신 외부 DNS 서비스를 사용할 수 있습니다.

7. yes 를 입력하여 서버 구성을 확인합니다.

   Continue to configure the system with these values? [no]: yes

8. 이제 설치 스크립트가 서버를 구성합니다. 작업이 완료될 때까지 기다립니다.

9. 설치 스크립트가 완료되면 다음과 같은 방식으로 DNS 레코드를 업데이트합니다.

   1. 상위 도메인의 DNS 위임을 IdM DNS 도메인에 추가합니다. 예를 들어 IdM DNS 도메인이 idm.example.com 인 경우 example.com 상위 도메인에 이름 서버(NS) 레코드를 추가합니다.

      중요

      IdM DNS 서버가 설치되면 이 단계를 반복합니다.

   2. 시간 서버의 _ntp._udp 서비스(SRV) 레코드를 IdM DNS에 추가합니다. IdM DNS에 새로 설치된 IdM 서버의 시간 서버에 SRV 레코드가 있으면 이 기본 IdM 서버에서 사용하는 시간 서버와 동기화되도록 향후 복제본 및 클라이언트 설치가 자동으로 구성됩니다.

절차

1. ipa-server-install 유틸리티를 실행합니다.

   # ipa-server-install

2. 스크립트에서 통합 DNS 서비스를 구성하라는 메시지가 표시됩니다. Enter 를 눌러 기본 no 옵션을 선택합니다.

   Do you want to configure integrated DNS (BIND)? [no]:

3. 이 스크립트는 몇 가지 필수 설정을 입력하라는 메시지를 표시하고 대괄호에 권장되는 기본값을 제공합니다.

   • 기본값을 허용하려면 Enter 를 누릅니다.

   • 사용자 지정 값을 제공하려면 필요한 값을 입력합니다.

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     주의

     이러한 이름을 신중하게 계획하십시오. 설치가 완료된 후에는 변경할 수 없습니다.

4. Directory Server superuser(cn=Directory Manager)의 암호와 IdM 관리 시스템 사용자 계정(관리자)을 입력합니다.

   Directory Manager password:
   IPA admin password:

5. 이 스크립트는 몇 가지 필수 설정을 입력하라는 메시지를 표시하고 대괄호에 권장되는 기본값을 제공합니다.

   • 기본값을 허용하려면 Enter 를 누릅니다.

   • 사용자 지정 값을 제공하려면 필요한 값을 입력합니다.

     NetBIOS domain name [EXAMPLE]:
     Do you want to configure chrony with NTP server or pool address? [no]:

6. yes 를 입력하여 서버 구성을 확인합니다.

   Continue to configure the system with these values? [no]: yes

7. 이제 설치 스크립트가 서버를 구성합니다. 작업이 완료될 때까지 기다립니다.

8. 설치 스크립트는 DNS 리소스 레코드가 있는 파일을 생성합니다. /tmp/ipa.system.records.UFRPto.db 파일은 아래 예제 출력에 있습니다. 이러한 레코드를 기존 외부 DNS 서버에 추가합니다. DNS 레코드를 업데이트하는 프로세스는 특정 DNS 솔루션에 따라 다릅니다.

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   중요

   기존 DNS 서버에 DNS 레코드를 추가할 때까지 서버 설치가 완료되지 않습니다.

절차

1. 옵션을 사용하여 ipa-server-install 유틸리티를 실행하여 필요한 모든 정보를 제공합니다. 비대화형 설치에 필요한 최소 옵션은 다음과 같습니다.

   • --realm: Kerberos 영역 이름을 제공합니다.
   • --ds-password: 디렉터리 서버 슈퍼 사용자 디렉터리 관리자(DM)의 암호를 제공합니다.
   • --admin-password: IdM 관리자인 admin의 암호를 제공합니다.
   • --unattended: 설치 프로세스에서 호스트 이름 및 도메인 이름에 대한 기본 옵션을 선택하도록 합니다.

   예를 들어 다음과 같습니다.

   # ipa-server-install --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

2. 설치 스크립트는 DNS 리소스 레코드가 있는 파일을 생성합니다. /tmp/ipa.system.records.UFRPto.db 파일은 아래 예제 출력에 있습니다. 이러한 레코드를 기존 외부 DNS 서버에 추가합니다. DNS 레코드를 업데이트하는 프로세스는 특정 DNS 솔루션에 따라 다릅니다.

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   중요

   기존 DNS 서버에 DNS 레코드를 추가할 때까지 서버 설치가 완료되지 않습니다.

절차

1. --external-ca 옵션을 사용하여 ipa-server-install 유틸리티를 실행합니다.

   • Microsoft 인증서 서비스(MS CS) CA를 사용하는 경우 --external-ca-type 옵션 및 선택적으로 --external-ca-profile 옵션을 사용합니다.

     [root@server ~]# ipa-server-install --external-ca --external-ca-type=ms-cs --external-ca-profile=<oid>/<name>/default

   • IdM CA의 서명 인증서를 생성하는 데 MS CS를 사용하지 않는 경우 다른 옵션이 필요하지 않을 수 있습니다.

     # ipa-server-install --external-ca

2. 스크립트에서 통합 DNS 서비스를 구성하라는 메시지가 표시됩니다. Enter 를 눌러 기본 no 옵션을 선택합니다.

   Do you want to configure integrated DNS (BIND)? [no]:

3. 이 스크립트는 몇 가지 필수 설정을 입력하라는 메시지를 표시하고 대괄호에 권장되는 기본값을 제공합니다.

   • 기본값을 허용하려면 Enter 를 누릅니다.

   • 사용자 지정 값을 제공하려면 필요한 값을 입력합니다.

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     주의

     이러한 이름을 신중하게 계획하십시오. 설치가 완료된 후에는 변경할 수 없습니다.

4. Directory Server superuser(cn=Directory Manager)의 암호와 IdM 관리 시스템 사용자 계정(관리자)을 입력합니다.

   Directory Manager password:
   IPA admin password:

5. yes 를 입력하여 서버 구성을 확인합니다.

   Continue to configure the system with these values? [no]: yes

6. 인증서 시스템 인스턴스를 구성하는 동안 유틸리티는 인증서 서명 요청(CSR): /root/ipa.csr:

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   이 경우:

   1. /root/ipa.csr에 있는 CSR을 외부 CA에 제출합니다. 이 프로세스는 외부 CA로 사용할 서비스에 따라 다릅니다.

   2. 기본 64로 인코딩된 Blob(Windows CA의 PEM 파일 또는 Base_64 인증서)에서 발급한 인증서와 CA의 CA 인증서 체인을 검색합니다. 다시 말하지만, 프로세스는 모든 인증서 서비스에 따라 다릅니다. 일반적으로 웹 페이지 또는 알림 이메일의 다운로드 링크를 사용하면 관리자가 필요한 모든 인증서를 다운로드할 수 있습니다.

      중요

      CA 인증서뿐만 아니라 CA의 전체 인증서 체인을 가져옵니다.

   3. ipa-server-install을 다시 실행합니다. 이번에는 새로 발급한 CA 인증서와 CA 체인 파일의 위치 및 이름을 지정합니다. 예를 들어 다음과 같습니다.

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem

7. 이제 설치 스크립트가 서버를 구성합니다. 작업이 완료될 때까지 기다립니다.

8. 설치 스크립트는 DNS 리소스 레코드가 있는 파일을 생성합니다. /tmp/ipa.system.records.UFRPto.db 파일은 아래 예제 출력에 있습니다. 이러한 레코드를 기존 외부 DNS 서버에 추가합니다. DNS 레코드를 업데이트하는 프로세스는 특정 DNS 솔루션에 따라 다릅니다.

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   중요

   기존 DNS 서버에 DNS 레코드를 추가할 때까지 서버 설치가 완료되지 않습니다.

절차

1. 옵션을 사용하여 ipa-server-install 유틸리티를 실행하여 필요한 모든 정보를 제공합니다. 루트 CA로 외부 CA를 사용하여 IdM 서버를 비대화형 설치에 필요한 최소 옵션은 다음과 같습니다.

   • 외부 CA를 지정하는 --external-ca 는 루트 CA입니다.
   • --realm: Kerberos 영역 이름을 제공합니다.
   • --ds-password: 디렉터리 서버 슈퍼 사용자 디렉터리 관리자(DM)의 암호를 제공합니다.
   • --admin-password: IdM 관리자인 admin의 암호를 제공합니다.

   • --unattended: 설치 프로세스에서 호스트 이름 및 도메인 이름에 대한 기본 옵션을 선택하도록 합니다.

     예를 들어 다음과 같습니다.

     # ipa-server-install --external-ca --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

   Microsoft 인증서 서비스(MS CS) CA를 사용하는 경우 --external-ca-type 옵션 및 선택적으로 --external-ca-profile 옵션을 사용합니다. 자세한 내용은 외부 CA를 사용하여 IdM CA를 설치할 때 루트 CA로 사용되는 옵션을 참조하십시오.

2. 인증서 시스템 인스턴스를 구성하는 동안 유틸리티는 인증서 서명 요청(CSR): /root/ipa.csr:

   ...
   
   Configuring certificate server (pki-tomcatd). Estimated time: 3 minutes
     [1/11]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /usr/sbin/ipa-server-install as:
   /usr/sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
   The ipa-server-install command was successful

   이 경우:

   1. /root/ipa.csr에 있는 CSR을 외부 CA에 제출합니다. 이 프로세스는 외부 CA로 사용할 서비스에 따라 다릅니다.

   2. 기본 64로 인코딩된 Blob(Windows CA의 PEM 파일 또는 Base_64 인증서)에서 발급한 인증서와 CA의 CA 인증서 체인을 검색합니다. 다시 말하지만, 프로세스는 모든 인증서 서비스에 따라 다릅니다. 일반적으로 웹 페이지 또는 알림 이메일의 다운로드 링크를 사용하면 관리자가 필요한 모든 인증서를 다운로드할 수 있습니다.

      중요

      CA 인증서뿐만 아니라 CA의 전체 인증서 체인을 가져옵니다.

   3. ipa-server-install을 다시 실행합니다. 이번에는 새로 발급한 CA 인증서와 CA 체인 파일의 위치 및 이름을 지정합니다. 예를 들어 다음과 같습니다.

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

3. 이제 설치 스크립트가 서버를 구성합니다. 작업이 완료될 때까지 기다립니다.

4. 설치 스크립트는 DNS 리소스 레코드가 있는 파일을 생성합니다. /tmp/ipa.system.records.UFRPto.db 파일은 아래 예제 출력에 있습니다. 이러한 레코드를 기존 외부 DNS 서버에 추가합니다. DNS 레코드를 업데이트하는 프로세스는 특정 DNS 솔루션에 따라 다릅니다.

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

절차

1. tail 명령을 사용하여 로그 파일의 마지막 행을 표시합니다. 다음 예제는 /var/log/ipaserver-install.log 의 마지막 10행을 표시합니다.

   [user@server ~]$ sudo tail -n 10 /var/log/ipaserver-install.log
   [sudo] password for user:
   value = gen.send(prev_value)
   File "/usr/lib/python3.6/site-packages/ipapython/install/common.py", line 65, in _install
   for unused in self._installer(self.parent):
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/init.py", line 564, in main
   master_install(self)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/install.py", line 291, in decorated
   raise ScriptError()
   
   2020-05-27T22:59:41Z DEBUG The ipa-server-install command failed, exception: ScriptError:
   2020-05-27T22:59:41Z ERROR The ipa-server-install command failed. See /var/log/ipaserver-install.log for more information

2. 로그 파일을 대화형으로 검토하려면 less 유틸리티를 사용하여 로그 파일의 끝을 열고 ↑ 및 ↓ 화살표 키를 사용하여 이동합니다. 다음 예제에서는 /var/log/ipaserver-install.log 파일을 대화식으로 엽니다.

   [user@server ~]$ sudo less -N +G /var/log/ipaserver-install.log

3. 이 검토 프로세스를 나머지 로그 파일과 함께 반복하여 추가 문제 해결 정보를 수집합니다.

   [user@server ~]$ sudo less -N +G /var/log/httpd/error_log
   
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors

절차

1. 로그 파일을 대화형으로 검토하려면 less 유틸리티를 사용하여 로그 파일의 끝을 열고 ScriptError 항목을 검색하는 동안 ↑ 및 ↓ 화살표 키를 사용하여 이동합니다. 다음 예제에서는 /var/log/pki/pki-ca-spawn.$TIME_OF_INSTALLATION.log를 엽니다.

   [user@server ~]$ sudo less -N +G /var/log/pki/pki-ca-spawn.20200527185902.log

2. 위에 나열된 모든 로그 파일과 함께 이 검토 프로세스를 반복하여 추가 문제 해결 정보를 수집합니다.

절차

1. IdM 서버로 구성하려는 호스트에서 IdM 서버 소프트웨어를 설치 제거합니다.

   [root@server ~]# ipa-server-install --uninstall

2. 반복적으로 실패한 설치로 인해 IdM 서버를 설치하는 데 어려움이 있는 경우 운영 체제를 다시 설치하십시오.

   IdM 서버를 설치하기 위한 요구 사항 중 하나는 사용자 지정이 없는 클린 시스템입니다. 실패한 설치로 인해 시스템 파일을 예기치 않게 수정하여 호스트의 무결성이 손상될 수 있습니다.

절차

1. idm:DL1 스트림을 통해 제공되는 RPM으로 전환하려면 다음을 수행합니다.

   # yum module enable idm:DL1
   # yum distro-sync

2. IdM 클라이언트 설치에 필요한 패키지를 다운로드하려면 다음을 수행합니다.

   # yum module install idm:DL1/client

절차

1. IdM 클라이언트로 구성하려는 시스템에서 ipa-client-install 유틸리티를 실행합니다.

   # ipa-client-install --mkhomedir

   다음 조건 중 하나가 적용되는 경우 --enable-dns-updates 옵션을 추가하여 클라이언트 시스템의 IP 주소로 DNS 레코드를 업데이트합니다.

   • 클라이언트가 등록된 IdM 서버는 통합된 DNS를 사용하여 설치됨
   • 네트워크의 DNS 서버는 GSS-TSIG 프로토콜을 사용하여 DNS 항목 업데이트를 허용합니다.

   # ipa-client-install --enable-dns-updates --mkhomedir

   클라이언트가 DNS 업데이트를 활성화하는 경우 유용합니다.

   • 동적 호스트 구성 프로토콜을 사용하여 발행된 동적 IP 주소 보유
   • 고정 IP 주소가 있지만 할당되었지만 IdM 서버는 이에 대해 알 수 없습니다.

2. 설치 스크립트는 DNS 레코드와 같은 모든 필요한 설정을 자동으로 가져옵니다.

   • IdM DNS 영역에 SRV 레코드가 올바르게 설정된 경우 스크립트에서 다른 모든 필수 값을 자동으로 검색하고 표시합니다. 확인하려면 yes 를 입력합니다.

     Client hostname: client.example.com
     Realm: EXAMPLE.COM
     DNS Domain: example.com
     IPA Server: server.example.com
     BaseDN: dc=example,dc=com
     
     Continue to configure the system with these values? [no]: yes

   • 다른 값으로 시스템을 설치하려면 no 를 입력합니다. 그런 다음 ipa-client-install 을 다시 실행하고 ipa-client-install 에 명령줄 옵션을 추가하여 필요한 값을 지정합니다. 예를 들면 다음과 같습니다.

     • --hostname
     • --realm
     • --domain
     • --server
     • --mkhomedir
     중요

     정규화된 도메인 이름은 유효한 DNS 이름이어야 합니다.

     • 숫자, 영문자 및 하이픈(-)만 허용됩니다. 예를 들어 밑줄은 허용되지 않으며 DNS 오류가 발생할 수 있습니다.
     • 호스트 이름은 모두 소문자여야 합니다. 대문자는 사용할 수 없습니다.
   • 스크립트에서 일부 설정을 자동으로 가져오지 못하면 값을 입력하라는 메시지를 표시합니다.

3. 이 스크립트는 ID가 클라이언트를 등록하는 데 사용할 사용자의 메시지를 표시합니다. 예를 들어 Enrollment Administrator 역할이 있는 hostadmin 사용자일 수 있습니다.

   User authorized to enroll computers: hostadmin
   Password for hostadmin@EXAMPLE.COM:

4. 이제 설치 스크립트가 클라이언트를 구성합니다. 작업이 완료될 때까지 기다립니다.

   Client configuration complete.

절차

1. IdM 클라이언트로 구성하려는 시스템에서 ipa-client-install 유틸리티를 실행합니다.

   일회성 임의 암호를 제공하려면 --password 옵션을 사용합니다. 암호에는 종종 특수 문자가 포함되어 있으므로 작은따옴표(')로 묶습니다.

   # ipa-client-install --mkhomedir --password=password

   다음 조건 중 하나가 적용되는 경우 --enable-dns-updates 옵션을 추가하여 클라이언트 시스템의 IP 주소로 DNS 레코드를 업데이트합니다.

   • 클라이언트가 등록된 IdM 서버는 통합된 DNS를 사용하여 설치됨
   • 네트워크의 DNS 서버는 GSS-TSIG 프로토콜을 사용하여 DNS 항목 업데이트를 허용합니다.

   # ipa-client-install --password 'W5YpARl=7M.n' --enable-dns-updates --mkhomedir

   클라이언트가 DNS 업데이트를 활성화하는 경우 유용합니다.

   • 동적 호스트 구성 프로토콜을 사용하여 발행된 동적 IP 주소 보유
   • 고정 IP 주소가 있지만 할당되었지만 IdM 서버는 이에 대해 알 수 없습니다.

2. 설치 스크립트는 DNS 레코드와 같은 모든 필요한 설정을 자동으로 가져옵니다.

   • IdM DNS 영역에 SRV 레코드가 올바르게 설정된 경우 스크립트에서 다른 모든 필수 값을 자동으로 검색하고 표시합니다. 확인하려면 yes 를 입력합니다.

     Client hostname: client.example.com
     Realm: EXAMPLE.COM
     DNS Domain: example.com
     IPA Server: server.example.com
     BaseDN: dc=example,dc=com
     
     Continue to configure the system with these values? [no]: yes

   • 다른 값으로 시스템을 설치하려면 no 를 입력합니다. 그런 다음 ipa-client-install 을 다시 실행하고 ipa-client-install 에 명령줄 옵션을 추가하여 필요한 값을 지정합니다. 예를 들면 다음과 같습니다.

     • --hostname
     • --realm
     • --domain
     • --server
     • --mkhomedir
     중요

     정규화된 도메인 이름은 유효한 DNS 이름이어야 합니다.

     • 숫자, 영문자 및 하이픈(-)만 허용됩니다. 예를 들어 밑줄은 허용되지 않으며 DNS 오류가 발생할 수 있습니다.
     • 호스트 이름은 모두 소문자여야 합니다. 대문자는 사용할 수 없습니다.
   • 스크립트에서 일부 설정을 자동으로 가져오지 못하면 값을 입력하라는 메시지를 표시합니다.

3. 이제 설치 스크립트가 클라이언트를 구성합니다. 작업이 완료될 때까지 기다립니다.

   Client configuration complete.

1. /etc/openldap/ldap.conf 및 /etc/sssd/sssd.conf 를 엽니다.
2. 이전 구성을 삭제합니다.
3. 새 IdM 구성의 주석을 제거합니다.
4. 시스템 전체 LDAP 구성에 의존하는 서버 프로세스에 변경 사항을 적용하려면 다시 시작해야 할 수 있습니다. openldap 라이브러리를 사용하는 애플리케이션은 일반적으로 시작 시 구성을 가져옵니다.

절차

1. IdM 서버에서 호스트 항목을 미리 만들고 항목의 임시 암호를 설정합니다.

   $ ipa host-add client.example.com --password=secret

   Kickstart에서 암호를 사용하여 클라이언트 설치 중에 인증하고 첫 번째 인증 시도 후에 만료됩니다. 클라이언트가 성공적으로 설치되면 keytab을 사용하여 인증합니다.

2. 15.2절. “클라이언트 설치를 위한 Kickstart 파일” 에 설명된 콘텐츠로 Kickstart 파일을 만듭니다. network 명령을 사용하여 Kickstart 파일에 네트워크가 올바르게 구성되었는지 확인합니다.
3. Kickstart 파일을 사용하여 IdM 클라이언트를 설치합니다.

절차

1. grep 유틸리티를 사용하여 /var/log/ipaserver-install.log 파일에서 ScriptError 키워드를 모두 검색합니다.

   [user@server ~]$ sudo grep ScriptError /var/log/ipaclient-install.log
   [sudo] password for user:
   2020-05-28T18:24:50Z DEBUG The ipa-client-install command failed, exception: ScriptError: One of password / principal / keytab is required.

2. 로그 파일을 대화형으로 검토하려면 less 유틸리티를 사용하여 로그 파일의 끝을 열고 ↑ 및 ↓ 화살표 키를 사용하여 이동합니다.

   [user@server ~]$ sudo less -N +G /var/log/ipaclient-install.log

절차

1. 클라이언트가 있는 DNS 영역의 동적 업데이트가 활성화되어 있는지 확인합니다.

   [user@server ~]$ ipa dnszone-mod idm.example.com. --dynamic-update=TRUE

2. DNS 서비스를 실행하는 IdM 서버에 TCP 및 UDP 프로토콜 모두에 대해 포트 53이 열려 있는지 확인합니다.

   [user@server ~]$ sudo firewall-cmd --permanent --add-port=53/tcp --add-port=53/udp
   [sudo] password for user:
   success
   [user@server ~]$ firewall-cmd --runtime-to-permanent
   success

3. grep 유틸리티를 사용하여 /var/log/client-install.log에서 nsupdate 명령의 내용을 검색하여 실패하는 DNS 레코드 업데이트를 확인합니다.

   [user@server ~]$ sudo grep nsupdate /var/log/ipaclient-install.log

절차

1. /etc/krb5.keytab을 제거합니다.

   [user@client ~]$ sudo rm /etc/krb5.keytab
   [sudo] password for user:
   [user@client ~]$ ls /etc/krb5.keytab
   ls: cannot access '/etc/krb5.keytab': No such file or directory

2. IdM 클라이언트 설치를 다시 시도합니다.

1. 클라이언트 시스템을 동일한 호스트 이름으로 다시 생성합니다.

2. 클라이언트 시스템에서 ipa-client-install --force-join 명령을 실행합니다.

   # ipa-client-install --force-join

3. 스크립트에서 클라이언트를 다시 할당하는 데 사용할 ID를 사용자에게 묻는 메시지를 표시합니다. 예를 들어 Enrollment Administrator 역할이 있는 hostadmin 사용자일 수 있습니다.

   User authorized to enroll computers: hostadmin
   Password for hostadmin@EXAMPLE.COM:

1. 클라이언트 시스템을 동일한 호스트 이름으로 다시 생성합니다.
2. 백업 위치의 키탭 파일을 다시 생성한 클라이언트 시스템의 /etc/ 디렉터리에 복사합니다.

3. ipa-client-install 유틸리티를 사용하여 클라이언트를 다시 등록하고 --keytab 옵션으로 키탭 위치를 지정합니다.

   # ipa-client-install --keytab /etc/krb5.keytab

   참고

   --keytab 옵션에 지정된 키탭은 등록을 시작하도록 인증하는 경우에만 사용됩니다. 다시 등록할 때 IdM은 클라이언트에 대한 새 키탭을 생성합니다.

절차

1. ipa-client-install --uninstall 명령을 입력합니다.

   [root@client ~]# ipa-client-install --uninstall

2. 선택 사항: IdM 사용자에 대해 Kerberos 티켓(TGT)을 받을 수 없는지 확인합니다.

   [root@client ~]# kinit admin
   kinit: Client 'admin@EXAMPLE.COM' not found in Kerberos database while getting initial credentials
   [root@client ~]#

   Kerberos TGT 티켓이 성공적으로 반환되면 IdM 클라이언트 설치 제거의 추가 제거 단계를 따르십시오. 이전의 여러 설치 후 추가 단계는 다음과 같습니다.

3. 클라이언트에서 /etc/krb5.keytab이 아닌 다른 각 키탭에서 이전 Kerberos 보안 주체를 제거합니다.

   [root@client ~]# ipa-rmkeytab -k /path/to/keytab -r EXAMPLE.COM

4. IdM 서버에서 IdM에서 클라이언트 호스트의 모든 DNS 항목을 제거합니다.

   [root@server ~]# ipa dnsrecord-del
   Record name: old-client-name
   Zone name: idm.example.com
   No option to delete specific record provided.
   Delete all? Yes/No (default No): yes
   ------------------------
   Deleted record "old-client-name"

5. IdM 서버에서 IdM LDAP 서버에서 클라이언트 호스트 항목을 제거합니다. 이렇게 하면 모든 서비스가 제거되고 해당 호스트에 대해 발행된 모든 인증서가 취소됩니다.

   [root@server ~]# ipa host-del client.idm.example.com

   중요

   IdM LDAP 서버에서 클라이언트 호스트 항목을 제거하는 것은 다른 IP 주소 또는 다른 호스트 이름으로 나중에 클라이언트를 다시 등록할 때 중요합니다.

절차

1. /etc/krb5.conf.ipa 파일을 확인합니다.

   • /etc/ krb5.conf.ipa 파일의 내용이 IdM 클라이언트를 설치하기 전에 jenkinsfile5.conf 파일의 내용과 동일한 경우 다음을 수행할 수 있습니다.

     1. /etc/krb5.conf 파일을 삭제합니다.

        # rm /etc/krb5.conf

     2. /etc/krb5.conf.ipa 파일의 이름을 /etc/krb5.conf로 바꿉니다.

        # mv /etc/krb5.conf.ipa /etc/krb5.conf

   • IdM 클라이언트 설치 전에 /etc/ krb5.conf.ipa 파일의 내용과 동일하지 않은 경우 운영 체제 설치 후 Kerberos 구성을 상태로 직접 복원할 수 있습니다.

   1. krb5-libs 패키지를 다시 설치합니다.

      # yum reinstall krb5-libs

      종속성으로 이 명령은 또한 jenkinsfile krb5-workstation 패키지 및/etc/krb5.conf 파일의 원래 버전을 다시 설치합니다.

2. 존재하는 경우 var/log/ipaclient-install.log 파일을 제거하십시오.

절차

1. ipa-client-install --uninstall 명령을 입력합니다.

   [root@client ~]# ipa-client-install --uninstall

2. 선택 사항: IdM 사용자에 대해 Kerberos 티켓(TGT)을 받을 수 없는지 확인합니다.

   [root@client ~]# kinit admin
   kinit: Client 'admin@EXAMPLE.COM' not found in Kerberos database while getting initial credentials
   [root@client ~]#

   Kerberos TGT 티켓이 성공적으로 반환되면 IdM 클라이언트 설치 제거의 추가 제거 단계를 따르십시오. 이전의 여러 설치 후 추가 단계는 다음과 같습니다.

3. 클라이언트에서 /etc/krb5.keytab이 아닌 다른 각 키탭에서 이전 Kerberos 보안 주체를 제거합니다.

   [root@client ~]# ipa-rmkeytab -k /path/to/keytab -r EXAMPLE.COM

4. IdM 서버에서 IdM에서 클라이언트 호스트의 모든 DNS 항목을 제거합니다.

   [root@server ~]# ipa dnsrecord-del
   Record name: old-client-name
   Zone name: idm.example.com
   No option to delete specific record provided.
   Delete all? Yes/No (default No): yes
   ------------------------
   Deleted record "old-client-name"

5. IdM 서버에서 IdM LDAP 서버에서 클라이언트 호스트 항목을 제거합니다. 이렇게 하면 모든 서비스가 제거되고 해당 호스트에 대해 발행된 모든 인증서가 취소됩니다.

   [root@server ~]# ipa host-del client.idm.example.com

   중요

   IdM LDAP 서버에서 클라이언트 호스트 항목을 제거하는 것은 다른 IP 주소 또는 다른 호스트 이름으로 나중에 클라이언트를 다시 등록할 때 중요합니다.

절차

1. /etc/krb5.conf.ipa 파일을 확인합니다.

   • /etc/ krb5.conf.ipa 파일의 내용이 IdM 클라이언트를 설치하기 전에 jenkinsfile5.conf 파일의 내용과 동일한 경우 다음을 수행할 수 있습니다.

     1. /etc/krb5.conf 파일을 삭제합니다.

        # rm /etc/krb5.conf

     2. /etc/krb5.conf.ipa 파일의 이름을 /etc/krb5.conf로 바꿉니다.

        # mv /etc/krb5.conf.ipa /etc/krb5.conf

   • IdM 클라이언트 설치 전에 /etc/ krb5.conf.ipa 파일의 내용과 동일하지 않은 경우 운영 체제 설치 후 Kerberos 구성을 상태로 직접 복원할 수 있습니다.

   1. krb5-libs 패키지를 다시 설치합니다.

      # yum reinstall krb5-libs

      종속성으로 이 명령은 또한 jenkinsfile krb5-workstation 패키지 및/etc/krb5.conf 파일의 원래 버전을 다시 설치합니다.

2. 존재하는 경우 var/log/ipaclient-install.log 파일을 제거하십시오.

절차

1. 다음 옵션을 사용하여 ipa-replica-install 을 입력합니다.

   • --setup-dns: 복제본을 DNS 서버로 구성

   • --forwarder: 서버별 전달자를 사용하지 않으려면 --forwarder 또는 --no-forwarder 를 지정합니다. 페일오버 이유로 여러 서버별 전달자를 지정하려면 --forwarder 를 여러 번 사용합니다.

     참고

     ipa-replica-install 유틸리티는 DNS 설정과 관련된 다른 여러 옵션(예: --no-reverse 또는 --no-host-dns )을 허용합니다. 이에 대한 자세한 내용은 ipa-replica-install(1) 매뉴얼 페이지를 참조하십시오.

   • --setup-ca - 복제본에 CA를 포함

   예를 들어 통합 DNS 서버와 IdM 서버에서 관리하지 않는 모든 DNS 요청을 IP 192.0.2.1에서 실행되는 DNS 서버로 전달하는 CA를 설정하려면 다음을 실행합니다.

   # ipa-replica-install --setup-dns --forwarder 192.0.2.1 --setup-ca

2. 설치가 완료되면 상위 도메인의 DNS 위임을 IdM DNS 도메인에 추가합니다. 예를 들어 IdM DNS 도메인이 idm.example.com 인 경우 example.com 상위 도메인에 이름 서버(NS) 레코드를 추가합니다.

   중요

   IdM DNS 서버를 설치한 후 매번 이 단계를 반복합니다.

절차

1. 다음 옵션을 사용하여 ipa-replica-install 을 입력합니다.

   • --setup-dns: 복제본을 DNS 서버로 구성
   • --forwarder: 서버별 전달자를 사용하지 않으려면 --forwarder 또는 --no-forwarder 를 지정합니다. 페일오버 이유로 여러 서버별 전달자를 지정하려면 --forwarder 를 여러 번 사용합니다.

   예를 들어 IdM 서버에서 관리하지 않는 모든 DNS 요청을 IP 192.0.2.1에서 실행되는 DNS 서버로 전달하는 통합 DNS 서버로 복제본을 설정하려면 다음을 실행합니다.

   # ipa-replica-install --setup-dns --forwarder 192.0.2.1

   참고

   ipa-replica-install 유틸리티는 DNS 설정과 관련된 다른 여러 옵션(예: --no-reverse 또는 --no-host-dns )을 허용합니다. 이에 대한 자세한 내용은 ipa-replica-install(1) 매뉴얼 페이지를 참조하십시오.

2. 설치가 완료되면 상위 도메인의 DNS 위임을 IdM DNS 도메인에 추가합니다. 예를 들어 IdM DNS 도메인이 idm.example.com 인 경우 example.com 상위 도메인에 이름 서버(NS) 레코드를 추가합니다.

   중요

   IdM DNS 서버를 설치한 후 매번 이 단계를 반복합니다.

절차

1. --setup-ca 옵션을 사용하여 ipa-replica-install 을 입력합니다.

   # ipa-replica-install --setup-ca

2. 새로 생성된 IdM DNS 서비스 레코드를 DNS 서버에 추가합니다.

   1. IdM DNS 서비스 레코드를 nsupdate 형식의 파일로 내보냅니다.

      $ ipa dns-update-system-records --dry-run --out dns_records_file.nsupdate

   2. nsupdate 유틸리티 및 dns_ historys_file.nsupdate 파일을 사용하여 DNS 서버에 DNS 업데이트 요청을 제출합니다. 자세한 내용은 RHEL 7 설명서에서 nsupdate를 사용하여 외부 DNS 레코드 업데이트에서 참조하십시오. 또는 DNS 레코드 추가에는 DNS 서버 설명서를 참조하십시오.

절차

1. 새 복제본에 사용자를 생성합니다.

   [admin@new_replica ~]$ ipa user-add test_user

2. 사용자가 다른 복제본에 표시되는지 확인합니다.

   [admin@another_replica ~]$ ipa user-show test_user

절차

1. tail 명령을 사용하여 기본 로그 파일 /var/log/ipareplica-install.log의 최신 오류를 표시합니다. 다음 예제에서는 마지막 10행을 표시합니다.

   [user@replica ~]$ sudo tail -n 10 /var/log/ipareplica-install.log
   [sudo] password for user:
     func(installer)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/replicainstall.py", line 424, in decorated
     func(installer)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/replicainstall.py", line 785, in promote_check
     ensure_enrolled(installer)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/replicainstall.py", line 740, in ensure_enrolled
     raise ScriptError("Configuration of client side components failed!")
   
   2020-05-28T18:24:51Z DEBUG The ipa-replica-install command failed, exception: ScriptError: Configuration of client side components failed!
   2020-05-28T18:24:51Z ERROR Configuration of client side components failed!
   2020-05-28T18:24:51Z ERROR The ipa-replica-install command failed. See /var/log/ipareplica-install.log for more information

2. 로그 파일을 대화형으로 검토하려면 less 유틸리티를 사용하여 로그 파일의 끝을 열고 ↑ 및 ↓ 화살표 키를 사용하여 이동합니다.

   [user@replica ~]$ sudo less -N +G /var/log/ipareplica-install.log

3. (선택 사항) /var/log/ipareplica-install.log는 복제본 설치의 기본 로그 파일이지만, 복제본 및 서버의 추가 파일과 함께 이 검토 프로세스를 반복하여 추가 문제 해결 정보를 수집할 수 있습니다.

   복제본에서 다음을 수행합니다.

   [user@replica ~]$ sudo less -N +G /var/log/ipareplica-conncheck.log
   [user@replica ~]$ sudo less -N +G /var/log/ipaclient-install.log
   [user@replica ~]$ sudo less -N +G /var/log/httpd/error_log
   [user@replica ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   [user@replica ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors
   [user@replica ~]$ sudo less -N +G /var/log/ipaserver-install.log

   서버에서 다음을 수행합니다.

   [user@server ~]$ sudo less -N +G /var/log/httpd/error_log
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors

절차

1. 로그 파일을 대화형으로 검토하려면 less 유틸리티를 사용하여 로그 파일의 끝을 열고 ScriptError 항목을 검색하는 동안 ↑ 및 ↓ 화살표 키를 사용하여 이동합니다. 다음 예제에서는 /var/log/pki/pki-ca-spawn.$TIME_OF_INSTALLATION.log를 엽니다.

   [user@server ~]$ sudo less -N +G /var/log/pki/pki-ca-spawn.20200527185902.log

2. 모든 CA 설치 오류 로그 파일에서 이 검토 프로세스를 반복하여 추가 문제 해결 정보를 수집합니다.

절차

1. IdM 복제본으로 구성하려는 호스트에서 IdM 서버 소프트웨어를 설치 제거합니다.

   [root@replica ~]# ipa-server-install --uninstall

2. 토폴로지의 다른 모든 서버에서 ipa server-del 명령을 사용하여 제대로 설치하지 않은 복제본에 대한 참조를 삭제합니다.

   [root@other-replica ~]# ipa server-del replica.idm.example.com

3. 복제본 설치를 시도합니다.

4. 반복적으로 실패한 설치로 인해 IdM 복제본을 설치하는 데 어려움이 있는 경우 운영 체제를 다시 설치하십시오.

   IdM 복제본을 설치하기 위한 요구 사항 중 하나는 사용자 지정이 없는 클린 시스템입니다. 실패한 설치로 인해 시스템 파일을 예기치 않게 수정하여 호스트의 무결성이 손상될 수 있습니다.

절차

1. 시스템 클럭을 수동으로 또는 chronyd와 동기화합니다.

   수동으로 동기화

   서버에 시스템 시간을 표시하고 일치하도록 복제본의 시간을 설정합니다.

   [user@server ~]$ date
   Thu May 28 21:03:57 EDT 2020
   
   [user@replica ~]$ sudo timedatectl set-time '2020-05-28 21:04:00'

   • chronyd와 동기화:

     chrony 툴을 사용하여 시스템 시간을 구성 및 설정하도록 Chrony 제품군을 사용하여 NTP 구성을 참조하십시오.

2. IdM 복제본 설치를 다시 시도합니다.

절차

1. idmserver 에서 IdM 인증서 서버 CA를 설치합니다.

   [root@idmserver ~] ipa-ca-install

2. 토폴로지의 각 IdM 호스트에서 ipa-certupdate 유틸리티를 실행하여 IdM LDAP의 새 인증서에 대한 정보로 호스트를 업데이트합니다.

   중요

   IdM CA 인증서를 생성한 후 ipa-certupdate 를 실행하지 않으면 인증서가 다른 IdM 시스템에 배포되지 않습니다.

절차

1. 설치를 시작합니다.

   [root@idmserver ~] ipa-ca-install --external-ca

2. 명령줄 인터페이스에서 CSR(인증서 서명 요청)이 저장되었음을 알립니다.
3. CSR을 외부 CA에 제출합니다.
4. 발급한 인증서를 IdM 서버에 복사합니다.

5. ipa-ca-install:에 외부 CA 파일에 인증서 및 전체 경로를 추가하여 설치를 계속합니다.

   [root@idmserver ~]# ipa-ca-install --external-cert-file=/root/master.crt --external-cert-file=/root/ca.crt

6. 토폴로지의 각 IdM 호스트에서 ipa-certupdate 유틸리티를 실행하여 IdM LDAP의 새 인증서에 대한 정보로 호스트를 업데이트합니다.

   중요

   IdM CA 인증서를 생성한 후 ipa-certupdate 를 실행하지 않으면 인증서가 다른 IdM 시스템에 배포되지 않습니다.

1. IPA 서버 → 토폴로지 → 토폴로지 그래프를 선택합니다.
2. 그래프에 즉시 반영되지 않는 토폴로지를 변경하는 경우 새로 고침을 클릭합니다.

절차

1. 토폴로지 그래프에서 서버 노드 중 하나에 마우스를 올려 놓습니다.

   그림 27.9. 도메인 또는 CA 옵션

   
2. 생성할 토폴로지 세그먼트 유형에 따라 도메인 또는 원의 ca 부분을 클릭합니다.

3. 새 복제 계약을 나타내는 새 화살표가 마우스 포인터 아래에 표시됩니다. 마우스를 다른 서버 노드로 이동하여 클릭합니다.

   그림 27.10. 새 세그먼트 생성

   
4. 토폴로지 세그먼트 추가 창에서 추가를 클릭하여 새 세그먼트의 속성을 확인합니다.

절차

1. 제거할 복제 계약을 나타내는 화살표를 클릭합니다. 이것은 화살표를 강조합니다.

   그림 27.12. 토폴로지 세그먼트가 강조 표시됨

   
2. 삭제를 클릭합니다.
3. 확인 창에서 확인을 클릭합니다.

절차

1. ipa topologysegment-add 명령을 사용하여 두 서버의 토폴로지 세그먼트를 생성합니다. 메시지가 표시되면 다음을 제공합니다.

   • 필수 토폴로지 접미사: domain 또는 ca
   • 두 서버를 나타내는 왼쪽 노드와 올바른 노드

   • 필요에 따라 세그먼트에 대한 사용자 정의 이름

     예를 들어 다음과 같습니다.

     $ ipa topologysegment-add
     Suffix name: domain
     Left node: server1.example.com
     Right node: server2.example.com
     Segment name [server1.example.com-to-server2.example.com]: new_segment
     ---------------------------
     Added segment "new_segment"
     ---------------------------
       Segment name: new_segment
       Left node: server1.example.com
       Right node: server2.example.com
       Connectivity: both

     새 세그먼트를 추가하면 복제 계약의 서버에 연결됩니다.

2. 선택 사항: ipa topologysegment-show 명령을 사용하여 새 세그먼트가 구성되었는지 확인합니다.

   $ ipa topologysegment-show
   Suffix name: domain
   Segment name: new_segment
     Segment name: new_segment
     Left node: server1.example.com
     Right node: server2.example.com
     Connectivity: both

절차

1. 복제를 중지하려면 서버 간 해당 복제 세그먼트를 삭제해야 합니다. 이를 위해서는 세그먼트 이름을 알아야 합니다.

   이름을 모르는 경우 ipa topologysegment-find 명령을 사용하여 모든 세그먼트를 표시하고 출력에서 필요한 세그먼트를 찾습니다. 메시지가 표시되면 필요한 토폴로지 접미사: domain 또는 ca 를 입력합니다. 예를 들어 다음과 같습니다.

   $ ipa topologysegment-find
   Suffix name: domain
   ------------------
   8 segments matched
   ------------------
     Segment name: new_segment
     Left node: server1.example.com
     Right node: server2.example.com
     Connectivity: both
   
   ...
   
   ----------------------------
   Number of entries returned 8
   ----------------------------

2. ipa topologysegment-del 명령을 사용하여 두 서버에 연결된 토폴로지 세그먼트를 제거합니다.

   $ ipa topologysegment-del
   Suffix name: domain
   Segment name: new_segment
   -----------------------------
   Deleted segment "new_segment"
   -----------------------------

   세그먼트를 삭제하면 복제 계약이 제거됩니다.

3. 선택 사항: ipa topologysegment-find 명령을 사용하여 세그먼트가 더 이상 나열되지 않는지 확인합니다.

   $ ipa topologysegment-find
   Suffix name: domain
   ------------------
   7 segments matched
   ------------------
     Segment name: server2.example.com-to-server3.example.com
     Left node: server2.example.com
     Right node: server3.example.com
     Connectivity: both
   
   ...
   
   ----------------------------
   Number of entries returned 7
   ----------------------------

1. IPA 서버 → 토폴로지 → IPA 서버를 선택합니다.

2. 삭제할 서버 이름을 클릭합니다.

   그림 27.14. 서버 선택

   
3. Delete Server (서버 삭제)를 클릭합니다.

1. 다른 서버에서 ipa server-del 명령을 실행하여 server1.example.com 을 제거합니다. 이 명령은 서버를 가리키는 모든 토폴로지 세그먼트를 제거합니다.

   [user@server2 ~]$ ipa server-del
   Server name: server1.example.com
   Removing server1.example.com from replication topology, please wait...
   ----------------------------------------------------------
   Deleted IPA server "server1.example.com"
   ----------------------------------------------------------

2. 선택 사항: server1.example.com 에서 ipa server-install --uninstall 명령을 실행하여 시스템에서 서버 구성 요소를 제거합니다.

   [root@server1 ~]# ipa server-install --uninstall

1. 시스템이 RHEL 8.5 및 이전 버전에서 실행중인 경우 필요한 리포지토리를 활성화합니다.

   # subscription-manager repos --enable ansible-2.8-for-rhel-8-x86_64-rpms

2. 시스템이 RHEL 8.5 이하에서 실행 중인 경우 ansible 패키지를 설치합니다.

   # yum install ansible

3. ansible-freeipa 패키지를 설치합니다.

   # yum install ansible-freeipa

   역할 및 모듈은 /usr/share/ansible/roles/ 및 /usr/share/ansible/plugins/modules 디렉터리에 설치됩니다.

절차

1. 편집할 인벤토리 파일을 엽니다. IdM 서버로 사용하려는 호스트의 정규화된 도메인 이름(FQDN)을 지정합니다. FQDN 이 다음 기준을 충족하는지 확인합니다.

   • 영숫자 및 하이픈(-)만 허용됩니다. 예를 들어 밑줄은 허용되지 않으며 DNS 오류가 발생할 수 있습니다.
   • 호스트 이름은 모두 소문자여야 합니다.
2. IdM 도메인 및 영역 정보를 지정합니다.

3. 다음 옵션을 추가하여 통합 DNS를 사용할 것을 지정합니다.

   ipaserver_setup_dns=yes

4. DNS 전달 설정을 지정합니다. 다음 옵션 중 하나를 선택합니다.

   • 설치 프로그램이 /etc/resolv.conf 파일에서 forwarders를 사용하도록 하려면 ipaserver_auto_forwarders=yes 옵션을 사용합니다. /etc/resolv.conf 파일에 지정된 이름 서버가 localhost 127.0.0.1 주소이거나 가상 프라이빗 네트워크에 있고 사용 중인 DNS 서버는 일반적으로 공용 인터넷에서 연결할 수 없는 경우 이 옵션을 사용하지 마십시오.
   • ipaserver_forwarders 옵션을 사용하여 전달자를 수동으로 지정합니다. 설치 프로세스에서는 설치된 IdM 서버의 /etc/named.conf 파일에 전달자 IP 주소를 추가합니다.

   • ipaserver_no_forwarders=yes 옵션을 사용하여 대신 사용할 루트 DNS 서버를 구성합니다.

     참고

     DNS 전달자가 없으면 환경이 분리되어 있으며 인프라의 다른 DNS 도메인의 이름은 확인되지 않습니다.

5. DNS 역방향 레코드 및 영역 설정을 지정합니다. 다음 옵션 중에서 선택합니다.

   • ipaserver_allow_zone_overlap=yes 옵션을 사용하여 영역이 이미 확인 가능한 경우에도 (reverse) 영역을 생성할 수 있습니다.
   • ipaserver_reverse_zones 옵션을 사용하여 역방향 영역을 수동으로 지정합니다.

   • 설치 프로그램이 역방향 DNS 영역을 생성하지 않도록 하려면 ipaserver_no_reverse=yes 옵션을 사용합니다.

     참고

     IdM을 사용하여 역방향 영역을 관리하는 것은 선택 사항입니다. 대신 외부 DNS 서비스를 사용할 수 있습니다.

6. admin 및 Directory Manager 의 암호를 지정합니다. Ansible Vault를 사용하여 암호를 저장하고 플레이북 파일에서 Vault 파일을 참조합니다. 또는 덜 안전한 경우 인벤토리 파일에서 직접 암호를 지정합니다.

7. (선택 사항) IdM 서버에서 사용할 사용자 지정 firewalld 영역을 지정합니다. 사용자 지정 영역을 설정하지 않으면 IdM에서 서비스를 기본 firewalld 영역에 추가합니다. 사전 정의된 기본 영역은 public 입니다.

   중요

   지정된 firewalld 영역이 있어야 하며 영구적으로 있어야 합니다.

   필수 서버 정보가 있는 인벤토리 파일의 예(암호 제외)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=yes
   ipaserver_auto_forwarders=yes
   [...]

   필수 서버 정보가 있는 인벤토리 파일의 예(암호 포함)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=yes
   ipaserver_auto_forwarders=yes
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   사용자 지정 firewalld 영역이 있는 인벤토리 파일의 예

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=yes
   ipaserver_auto_forwarders=yes
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone

   Ansible Vault 파일에 저장된 admin 및 Directory Manager 암호를 사용하여 IdM 서버를 설정하는 플레이북의 예

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
   
     roles:
     - role: ipaserver
       state: present

   인벤토리 파일에서 admin 및 Directory Manager 암호를 사용하여 IdM 서버를 설정하는 플레이북의 예

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       state: present

절차

1. 편집할 인벤토리 파일을 엽니다. IdM 서버로 사용하려는 호스트의 정규화된 도메인 이름(FQDN)을 지정합니다. FQDN 이 다음 기준을 충족하는지 확인합니다.

   • 영숫자 및 하이픈(-)만 허용됩니다. 예를 들어 밑줄은 허용되지 않으며 DNS 오류가 발생할 수 있습니다.
   • 호스트 이름은 모두 소문자여야 합니다.
2. IdM 도메인 및 영역 정보를 지정합니다.
3. ipaserver_setup_dns 옵션이 no 로 설정되었거나 존재하지 않는지 확인합니다.
4. admin 및 Directory Manager 의 암호를 지정합니다. Ansible Vault를 사용하여 암호를 저장하고 플레이북 파일에서 Vault 파일을 참조합니다. 또는 덜 안전한 경우 인벤토리 파일에서 직접 암호를 지정합니다.

5. (선택 사항) IdM 서버에서 사용할 사용자 지정 firewalld 영역을 지정합니다. 사용자 지정 영역을 설정하지 않으면 IdM에서 서비스를 기본 firewalld 영역에 추가합니다. 사전 정의된 기본 영역은 public 입니다.

   중요

   지정된 firewalld 영역이 있어야 하며 영구적으로 있어야 합니다.

   필수 서버 정보가 있는 인벤토리 파일의 예(암호 제외)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   [...]

   필수 서버 정보가 있는 인벤토리 파일의 예(암호 포함)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   사용자 지정 firewalld 영역이 있는 인벤토리 파일의 예

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone

   Ansible Vault 파일에 저장된 admin 및 Directory Manager 암호를 사용하여 IdM 서버를 설정하는 플레이북의 예

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
   
     roles:
     - role: ipaserver
       state: present

   인벤토리 파일에서 admin 및 Directory Manager 암호를 사용하여 IdM 서버를 설정하는 플레이북의 예

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       state: present

절차

1. 플레이북 파일 이름(예: install-server.yml )을 사용하여 ansible-playbook 명령을 실행합니다. -i 옵션으로 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/install-server.yml

   v , -vv 또는 - vv v 옵션을 사용하여 상세 정보 표시 수준을 지정합니다.

   CLI(명령줄 인터페이스)에서 Ansible 플레이북 스크립트의 출력을 볼 수 있습니다. 다음 출력은 스크립트가 0개 작업으로 성공적으로 실행된 것을 보여줍니다.

   PLAY RECAP
   server.idm.example.com : ok=18   changed=10   unreachable=0    failed=0    skipped=21   rescued=0    ignored=0

2. 다음 옵션 중 하나를 선택합니다.

   • IdM 배포에서 외부 DNS를 사용하는 경우: /tmp/ipa.system. recordss.UFRPto.db 파일에 포함된 DNS 리소스 레코드 를 기존 외부 DNS 서버에 추가합니다. DNS 레코드를 업데이트하는 프로세스는 특정 DNS 솔루션에 따라 다릅니다.

     ...
     Restarting the KDC
     Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
     Restarting the web server
     ...

   중요

   기존 DNS 서버에 DNS 레코드를 추가할 때까지 서버 설치가 완료되지 않습니다.

   • IdM 배포에서 통합 DNS를 사용하는 경우:

     • 상위 도메인의 DNS 위임을 IdM DNS 도메인에 추가합니다. 예를 들어 IdM DNS 도메인이 idm.example.com 인 경우 example.com 상위 도메인에 이름 서버(NS) 레코드를 추가합니다.

       중요

       IdM DNS 서버가 설치되면 이 단계를 반복합니다.

     • 시간 서버의 _ntp._udp 서비스(SRV) 레코드를 IdM DNS에 추가합니다. IdM DNS에 새로 설치된 IdM 서버의 시간 서버에 SRV 레코드가 있으면 이 기본 IdM 서버에서 사용하는 시간 서버와 동기화되도록 향후 복제본 및 클라이언트 설치가 자동으로 구성됩니다.

절차

1. 편집할 인벤토리 파일을 엽니다. IdM 서버로 사용하려는 호스트의 정규화된 도메인 이름(FQDN)을 지정합니다. FQDN 이 다음 기준을 충족하는지 확인합니다.

   • 영숫자 및 하이픈(-)만 허용됩니다. 예를 들어 밑줄은 허용되지 않으며 DNS 오류가 발생할 수 있습니다.
   • 호스트 이름은 모두 소문자여야 합니다.
2. IdM 도메인 및 영역 정보를 지정합니다.

3. 다음 옵션을 추가하여 통합 DNS를 사용할 것을 지정합니다.

   ipaserver_setup_dns=yes

4. DNS 전달 설정을 지정합니다. 다음 옵션 중 하나를 선택합니다.

   • 설치 프로세스에서 /etc/resolv.conf 파일의 forwarders를 사용하도록 하려면 ipaserver_auto_forwarders=yes 옵션을 사용합니다. /etc/resolv.conf 파일에 지정된 이름 서버가 localhost 127.0.0.1 주소이거나 가상 프라이빗 네트워크에 있고 사용 중인 DNS 서버는 일반적으로 공용 인터넷에서 연결할 수 없는 경우 이 옵션을 사용하지 않는 것이 좋습니다.
   • ipaserver_forwarders 옵션을 사용하여 전달자를 수동으로 지정합니다. 설치 프로세스에서는 설치된 IdM 서버의 /etc/named.conf 파일에 전달자 IP 주소를 추가합니다.

   • ipaserver_no_forwarders=yes 옵션을 사용하여 대신 사용할 루트 DNS 서버를 구성합니다.

     참고

     DNS 전달자가 없으면 환경이 분리되어 있으며 인프라의 다른 DNS 도메인의 이름은 확인되지 않습니다.

5. DNS 역방향 레코드 및 영역 설정을 지정합니다. 다음 옵션 중에서 선택합니다.

   • ipaserver_allow_zone_overlap=yes 옵션을 사용하여 영역이 이미 확인 가능한 경우에도 (reverse) 영역을 생성할 수 있습니다.
   • ipaserver_reverse_zones 옵션을 사용하여 역방향 영역을 수동으로 지정합니다.

   • 설치 프로세스에서 역방향 DNS 영역을 생성하지 않으려면 ipaserver_no_reverse=yes 옵션을 사용합니다.

     참고

     IdM을 사용하여 역방향 영역을 관리하는 것은 선택 사항입니다. 대신 외부 DNS 서비스를 사용할 수 있습니다.

6. admin 및 Directory Manager 의 암호를 지정합니다. Ansible Vault를 사용하여 암호를 저장하고 플레이북 파일에서 Vault 파일을 참조합니다. 또는 덜 안전한 경우 인벤토리 파일에서 직접 암호를 지정합니다.

7. (선택 사항) IdM 서버에서 사용할 사용자 지정 firewalld 영역을 지정합니다. 사용자 지정 영역을 설정하지 않으면 IdM에서 서비스를 기본 firewalld 영역에 추가합니다. 사전 정의된 기본 영역은 public 입니다.

   중요

   지정된 firewalld 영역이 있어야 하며 영구적으로 있어야 합니다.

   필수 서버 정보가 있는 인벤토리 파일의 예(암호 제외)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=yes
   ipaserver_auto_forwarders=yes
   [...]

   필수 서버 정보가 있는 인벤토리 파일의 예(암호 포함)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=yes
   ipaserver_auto_forwarders=yes
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   사용자 지정 firewalld 영역이 있는 인벤토리 파일의 예

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=yes
   ipaserver_auto_forwarders=yes
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone
   
   [...]

8. 설치의 첫 번째 단계에 대한 플레이북을 생성합니다. CSR(인증서 서명 요청)을 생성하고 컨트롤러에서 관리 노드로 복사하는 지침을 입력합니다.

   ---
   - name: Playbook to configure IPA server Step 1
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
     vars:
       ipaserver_external_ca: yes
   
     roles:
     - role: ipaserver
       state: present
   
     post_tasks:
     - name: Copy CSR /root/ipa.csr from node to "{{ groups.ipaserver[0] + '-ipa.csr' }}"
       fetch:
         src: /root/ipa.csr
         dest: "{{ groups.ipaserver[0] + '-ipa.csr' }}"
         flat: yes

9. 설치의 마지막 단계에 대해 다른 플레이북을 생성합니다.

   ---
   - name: Playbook to configure IPA server Step -1
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
     vars:
       ipaserver_external_cert_files: "/root/chain.crt"
   
     pre_tasks:
     - name: Copy "{{ groups.ipaserver[0] + '-chain.crt' }}" to /root/chain.crt on node
       copy:
         src: "{{ groups.ipaserver[0] + '-chain.crt' }}"
         dest: "/root/chain.crt"
         force: yes
   
     roles:
     - role: ipaserver
       state: present

절차

1. 편집할 인벤토리 파일을 엽니다. IdM 서버로 사용하려는 호스트의 정규화된 도메인 이름(FQDN)을 지정합니다. FQDN 이 다음 기준을 충족하는지 확인합니다.

   • 영숫자 및 하이픈(-)만 허용됩니다. 예를 들어 밑줄은 허용되지 않으며 DNS 오류가 발생할 수 있습니다.
   • 호스트 이름은 모두 소문자여야 합니다.
2. IdM 도메인 및 영역 정보를 지정합니다.
3. ipaserver_setup_dns 옵션이 no 로 설정되었거나 존재하지 않는지 확인합니다.
4. admin 및 Directory Manager 의 암호를 지정합니다. Ansible Vault를 사용하여 암호를 저장하고 플레이북 파일에서 Vault 파일을 참조합니다. 또는 덜 안전한 경우 인벤토리 파일에서 직접 암호를 지정합니다.

5. (선택 사항) IdM 서버에서 사용할 사용자 지정 firewalld 영역을 지정합니다. 사용자 지정 영역을 설정하지 않으면 IdM에서 서비스를 기본 firewalld 영역에 추가합니다. 사전 정의된 기본 영역은 public 입니다.

   중요

   지정된 firewalld 영역이 있어야 하며 영구적으로 있어야 합니다.

   필수 서버 정보가 있는 인벤토리 파일의 예(암호 제외)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   [...]

   필수 서버 정보가 있는 인벤토리 파일의 예(암호 포함)

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   사용자 지정 firewalld 영역이 있는 인벤토리 파일의 예

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone
   
   [...]

6. 설치의 첫 번째 단계에 대한 플레이북을 생성합니다. CSR(인증서 서명 요청)을 생성하고 컨트롤러에서 관리 노드로 복사하는 지침을 입력합니다.

   ---
   - name: Playbook to configure IPA server Step 1
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
     vars:
       ipaserver_external_ca: yes
   
     roles:
     - role: ipaserver
       state: present
   
     post_tasks:
     - name: Copy CSR /root/ipa.csr from node to "{{ groups.ipaserver[0] + '-ipa.csr' }}"
       fetch:
         src: /root/ipa.csr
         dest: "{{ groups.ipaserver[0] + '-ipa.csr' }}"
         flat: yes

7. 설치의 마지막 단계에 대해 다른 플레이북을 생성합니다.

   ---
   - name: Playbook to configure IPA server Step -1
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
     vars:
       ipaserver_external_cert_files: "/root/chain.crt"
   
     pre_tasks:
     - name: Copy "{{ groups.ipaserver[0] + '-chain.crt' }}" to /root/chain.crt on node
       copy:
         src: "{{ groups.ipaserver[0] + '-chain.crt' }}"
         dest: "/root/chain.crt"
         force: yes
   
     roles:
     - role: ipaserver
       state: present

절차

1. 설치의 첫 번째 단계에 대한 지침이 포함된 플레이북 파일의 이름으로 ansible-playbook 명령을 실행합니다(예: install-server-step1.yml ). -i 옵션으로 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/host.server <path_to_playbooks_directory>/install-server-step1.yml

   v , -vv 또는 - vv v 옵션을 사용하여 상세 정보 표시 수준을 지정합니다.

   CLI(명령줄 인터페이스)에서 Ansible 플레이북 스크립트의 출력을 볼 수 있습니다. 다음 출력은 스크립트가 0개 작업으로 성공적으로 실행된 것을 보여줍니다.

   PLAY RECAP
   server.idm.example.com : ok=18   changed=10   unreachable=0    failed=0    skipped=21   rescued=0    ignored=0

2. 컨트롤러에서 ipa.csr 인증서 서명 요청 파일을 찾아 외부 CA에 제출합니다.
3. 다음 단계의 플레이북에서 찾을 수 있도록 외부 CA가 컨트롤러 파일 시스템에 서명한 IdM CA 인증서를 배치합니다.

4. 설치의 최종 단계(예: install-server-step2.yml )에 대한 지침이 포함된 플레이북 파일의 이름으로 ansible-playbook 명령을 실행합니다. -i 옵션으로 인벤토리 파일을 지정합니다.

   $ ansible-playbook -v -i <path_to_inventory_directory>/host.server <path_to_playbooks_directory>/install-server-step2.yml

5. 다음 옵션 중 하나를 선택합니다.

   • IdM 배포에서 외부 DNS를 사용하는 경우: /tmp/ipa.system. recordss.UFRPto.db 파일에 포함된 DNS 리소스 레코드 를 기존 외부 DNS 서버에 추가합니다. DNS 레코드를 업데이트하는 프로세스는 특정 DNS 솔루션에 따라 다릅니다.

     ...
     Restarting the KDC
     Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
     Restarting the web server
     ...

   중요

   기존 DNS 서버에 DNS 레코드를 추가할 때까지 서버 설치가 완료되지 않습니다.

   • IdM 배포에서 통합 DNS를 사용하는 경우:

     • 상위 도메인의 DNS 위임을 IdM DNS 도메인에 추가합니다. 예를 들어 IdM DNS 도메인이 idm.example.com 인 경우 example.com 상위 도메인에 이름 서버(NS) 레코드를 추가합니다.

       중요

       IdM DNS 서버가 설치되면 이 단계를 반복합니다.

     • 시간 서버의 _ntp._udp 서비스(SRV) 레코드를 IdM DNS에 추가합니다. IdM DNS에 새로 설치된 IdM 서버의 시간 서버에 SRV 레코드가 있으면 이 기본 IdM 서버에서 사용하는 시간 서버와 동기화되도록 향후 복제본 및 클라이언트 설치가 자동으로 구성됩니다.

절차

1. 편집할 인벤토리 파일을 엽니다. IdM 복제본이 될 호스트의 FQDN(정규화된 도메인 이름)을 지정합니다. FQDN은 유효한 DNS 이름이어야 합니다.

   • 숫자, 영문자 및 하이픈(-)만 허용됩니다. 예를 들어 밑줄은 허용되지 않으며 DNS 오류가 발생할 수 있습니다.

   • 호스트 이름은 모두 소문자여야 합니다.

     정의된 복제본의 FQDN만 있는 간단한 인벤토리 호스트 파일의 예

     [ipareplicas]
     replica1.idm.example.com
     replica2.idm.example.com
     replica3.idm.example.com
     [...]

     IdM 서버가 이미 배포되어 있고 IdM DNS 영역에 SRV 레코드가 올바르게 설정된 경우 스크립트에서 다른 모든 필수 값을 자동으로 검색합니다.

2. [선택 사항] 토폴로지 설계 방법에 따라 인벤토리 파일에 추가 정보를 제공하십시오.

   시나리오 1

   자동 검색을 방지하고 [ipareplicas] 섹션에 나열된 모든 복제본이 있는 경우 인벤토리 파일의 [ipaservers] 섹션에 서버를 설정합니다.

   정의된 IdM 서버 및 복제본의 FQDN이 있는 인벤토리 호스트 파일의 예

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]

   시나리오 2

   또는 자동 검색을 방지하되 특정 서버로 특정 복제본을 배포하려는 경우 인벤토리 파일의 [ipareplicas] 섹션에서 특정 복제본의 서버를 개별적으로 설정합니다.

   특정 복제본에 대해 정의된 특정 IdM 서버가 있는 인벤토리 파일의 예

   [ipaservers]
   server.idm.example.com
   replica1.idm.example.com
   
   [ipareplicas]
   replica2.idm.example.com
   replica3.idm.example.com ipareplica_servers=replica1.idm.example.com

   위의 예에서 replica3.idm.example.com 은 이미 배포된 replica1.idm.example.com 을 해당 복제 소스로 사용합니다.

   시나리오 3

   하나의 배치에 여러 복제본을 배포하고 시간이 우려되는 경우 다중 계층 복제본 배포가 유용할 수 있습니다. 인벤토리 파일에 특정 복제본 그룹(예: [ipareplicas_tier1] 및 [ipareplicas_tier2] )을 정의하고 install-replica.yml 플레이북의 각 그룹에 대해 별도의 플레이를 설계합니다.

   복제본 계층이 정의된 인벤토리 파일 예

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas_tier1]
   replica1.idm.example.com
   
   [ipareplicas_tier2]
   replica2.idm.example.com \ ipareplica_servers=replica1.idm.example.com,server.idm.example.com

   ipareplica_servers 의 첫 번째 항목이 사용됩니다. 두 번째 항목은 대체 옵션으로 사용됩니다. IdM 복제본을 배포하기 위해 여러 계층을 사용하는 경우 플레이북에서 별도의 작업을 통해 먼저 tier1에서 복제본을 배포한 다음 tier2에서 복제본을 복제해야 합니다.

   다른 복제본 그룹에 대해 다른 플레이가 있는 플레이북 파일의 예

   ---
   - name: Playbook to configure IPA replicas (tier1)
     hosts: ipareplicas_tier1
     become: true
   
     roles:
     - role: ipareplica
       state: present
   
   - name: Playbook to configure IPA replicas (tier2)
     hosts: ipareplicas_tier2
     become: true
   
     roles:
     - role: ipareplica
       state: present

3. [선택 사항] firewalld 및 DNS에 대한 추가 정보를 제공하십시오.

   시나리오 1

   복제본이 기본 영역 대신 지정된 firewalld 영역을 사용하도록 하려면 인벤토리 파일에 지정할 수 있습니다. 예를 들어, 기본적으로 설정된 퍼블릭 영역 대신 IdM 설치에 내부 firewalld 영역을 사용하려는 경우 유용할 수 있습니다.

   사용자 지정 영역을 설정하지 않으면 IdM에서 서비스를 기본 firewalld 영역에 추가합니다. 사전 정의된 기본 영역은 public 입니다.

   중요

   지정된 firewalld 영역이 있어야 하며 영구적으로 있어야 합니다.

   사용자 지정 firewalld 영역이 있는 간단한 인벤토리 호스트 파일의 예

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]
   
   [ipareplicas:vars]
   ipareplica_firewalld_zone=custom zone

   시나리오 2

   복제본이 IdM DNS 서비스를 호스팅하도록 하려면 ipareplica_setup_dns=yes 행을 [ipareplicas:vars] 섹션에 추가합니다. 또한 서버당 DNS 전달자를 사용할지 여부를 지정합니다.

   • 서버별 전달자를 구성하려면 ipareplica_forwarders 변수와 [ipareplicas:vars] 섹션에 문자열 목록을 추가합니다(예: ipareplica_forwarders=192.0.2.1,192.0.2.2).
   • per-server forwarders를 구성하지 않으려면 [ipareplicas:vars] 섹션에 다음 행을 추가합니다. ipareplica_no_forwarders=yes.
   • 복제본의 /etc/resolv.conf 파일에 나열된 forwarders에 따라 서버별 전달자를 구성하려면 ipareplica_auto_forwarders 변수를 [ipareplicas:vars] 섹션에 추가합니다.

   복제본에서 DNS 및 서버별 전달자를 설정하는 지침이 있는 인벤토리 파일의 예

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]
   
   [ipareplicas:vars]
   ipareplica_setup_dns=yes
   ipareplica_forwarders=192.0.2.1,192.0.2.2

   시나리오 3

   ipaclient_configure_dns_resolve 및 ipaclient_dns_servers 옵션(사용 가능한 경우)을 사용하여 클러스터 배포를 단순화하여 DNS 확인 프로그램을 지정합니다. IdM 배포가 통합된 DNS를 사용하는 경우 특히 유용합니다.

   DNS 확인자를 지정하는 인벤토리 파일 스니펫:

   [...]
   [ipaclient:vars]
   ipaclient_configure_dns_resolver=true
   ipaclient_dns_servers=192.168.100.1

   참고

   ipaclient_dns_servers 목록에는 IP 주소만 포함되어야 합니다. 호스트 이름은 허용되지 않습니다.

절차

1. 복제본을 배포할 권한이 있는 사용자의 암호를 지정합니다(예: IdM 관리자 ).

   • Red Hat은 Ansible Vault를 사용하여 암호를 저장하고 플레이북 파일에서 Vault 파일을 참조하는 것이 좋습니다(예: install-replica.yml ).

     Ansible Vault 파일의 인벤토리 파일 및 암호의 주체를 사용하는 플레이북 파일의 예

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
       vars_files:
       - playbook_sensitive_data.yml
     
       roles:
       - role: ipareplica
         state: present

     Ansible Vault를 사용하는 방법에 대한 자세한 내용은 공식 Ansible Vault 설명서를 참조하십시오.

   • 덜 안전한 경우, 인벤토리 파일에서 직접 admin 의 자격 증명을 제공하십시오. 인벤토리 파일의 [ipareplicas:vars] 섹션에서 ipaadmin_password 옵션을 사용합니다. 인벤토리 파일과 install-replica.yml 플레이북 파일은 다음과 같습니다.

     hosts.replica 파일의 예

     [...]
     [ipareplicas:vars]
     ipaadmin_password=Secret123

     인벤토리 파일의 principal 및 password를 사용하는 플레이북의 예

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
     
       roles:
       - role: ipareplica
         state: present

   • 또는 덜 안전하지 않은 경우 인벤토리 파일에 직접 복제본을 배포할 권한이 있는 다른 사용자의 자격 증명을 제공합니다. 다른 권한 있는 사용자를 지정하려면 사용자 이름에 ipaadmin_principal 옵션을 사용하고 암호에 ipaadmin_password 옵션을 사용합니다. 인벤토리 파일과 install-replica.yml 플레이북 파일은 다음과 같습니다.

     hosts.replica 파일의 예

     [...]
     [ipareplicas:vars]
     ipaadmin_principal=my_admin
     ipaadmin_password=my_admin_secret123

     인벤토리 파일의 principal 및 password를 사용하는 플레이북의 예

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
     
       roles:
       - role: ipareplica
         state: present

절차

1. IdM 클라이언트가 될 호스트의 정규화된 호스트 이름(FQDN)을 지정합니다. 정규화된 도메인 이름은 유효한 DNS 이름이어야 합니다.

   • 숫자, 영문자 및 하이픈(-)만 허용됩니다. 예를 들어 밑줄은 허용되지 않으며 DNS 오류가 발생할 수 있습니다.
   • 호스트 이름은 모두 소문자여야 합니다. 대문자는 사용할 수 없습니다.

   IdM DNS 영역에 SRV 레코드가 올바르게 설정된 경우 스크립트에서 다른 모든 필수 값을 자동으로 검색합니다.

   클라이언트 FQDN이 정의된 간단한 인벤토리 호스트 파일의 예

   [ipaclients]
   client.idm.example.com
   [...]

2. 클라이언트 등록 자격 증명을 지정합니다. 다음 인증 방법을 사용할 수 있습니다.

   • 클라이언트를 등록할 권한이 있는 사용자의 암호 입니다. 이는 기본 옵션입니다.

     • Ansible Vault를 사용하여 암호를 저장하고 플레이북 파일에서 Vault 파일을 참조하는 것이 좋습니다(예: install-client.yml ).

       Ansible Vault 파일의 인벤토리 파일 및 암호의 주체를 사용하는 플레이북 파일의 예

       - name: Playbook to configure IPA clients with username/password
         hosts: ipaclients
         become: true
         vars_files:
         - playbook_sensitive_data.yml
       
         roles:
         - role: ipaclient
           state: present

     • 더 안전하게 inventory/hosts 파일의 [ ipaclients:vars] 섹션에서 ipa admin _password 옵션을 사용하여 admin의 자격 증명을 제공하십시오. 또는 권한이 있는 다른 사용자를 지정하려면 사용자 이름에 ipaadmin_principal 옵션을 사용하고 암호에 ipaadmin_password 옵션을 사용합니다. inventory/hosts 인벤토리 파일 및 install-client.yml 플레이북 파일은 다음과 같습니다.

       인벤토리 호스트 파일 예

       [...]
       [ipaclients:vars]
       ipaadmin_principal=my_admin
       ipaadmin_password=Secret123

       인벤토리 파일에서 보안 주체 및 암호를 사용하는 플레이북의 예

       - name: Playbook to unconfigure IPA clients
         hosts: ipaclients
         become: true
       
         roles:
         - role: ipaclient
           state: true

   • 이전 등록의 클라이언트 키탭 이 계속 사용 가능한 경우.

     이 옵션은 시스템이 이전에 ID 관리 클라이언트로 등록된 경우 사용할 수 있습니다. 이 인증 방법을 사용하려면 #ipaclient_keytab 옵션의 주석을 제거하여 keytab을 저장하는 파일의 경로를 지정합니다(예: inventory/hosts 의 [ipaclient:vars] 섹션).

   • 등록 중에 생성할 임의의 일회용 암호 (OTP)입니다. 이 인증 방법을 사용하려면 인벤토리 파일에서 ipaclient_use_otp=yes 옵션을 사용합니다. 예를 들어 inventory/hosts 파일의 [ipaclients:vars] 섹션에서 ipaclient_use_otp=yes 옵션의 주석을 달 수 있습니다. OTP를 사용하면 다음 옵션 중 하나를 지정해야 합니다.

     • 예를 들어 inventory/hosts 파일 의 [ipaclients:vars] 섹션에 ipaadmin_password 값을 제공하여 클라이언트 등록 권한이 있는 사용자의 암호입니다.
     • 예를 들어 inventory/hosts 의 [ipaclients:vars] 섹션에 ipaadmin_keytab 의 값을 제공하여 admin keytab.

3. [선택 사항] [선택 사항] ipaclient_configure_dns_resolve 및 ipaclient_dns_servers 옵션(사용 가능한 경우)을 사용하여 DNS 확인 프로그램을 지정하여 클러스터 배포를 단순화합니다. IdM 배포가 통합된 DNS를 사용하는 경우 특히 유용합니다.

   DNS 확인자를 지정하는 인벤토리 파일 스니펫:

   [...]
   [ipaclients:vars]
   ipaadmin_password: "{{ ipaadmin_password }}"
   ipaclient_domain=idm.example.com
   ipaclient_configure_dns_resolver=true
   ipaclient_dns_servers=192.168.100.1

   참고

   ipaclient_dns_servers 목록에는 IP 주소만 포함되어야 합니다. 호스트 이름은 허용되지 않습니다.

절차

1. IdM 클라이언트가 될 호스트의 정규화된 호스트 이름(FQDN)을 지정합니다. 정규화된 도메인 이름은 유효한 DNS 이름이어야 합니다.

   • 숫자, 영문자 및 하이픈(-)만 허용됩니다. 예를 들어 밑줄은 허용되지 않으며 DNS 오류가 발생할 수 있습니다.
   • 호스트 이름은 모두 소문자여야 합니다. 대문자는 사용할 수 없습니다.

2. inventory/hosts 파일의 관련 섹션에 다른 옵션을 지정합니다.

   • 클라이언트가 등록할 IdM 서버를 나타내는 [ipaservers] 섹션에 있는 서버의 FQDN

   • 다음 두 옵션 중 하나입니다.

     • 클라이언트가 등록할 IdM 서버의 DNS 도메인 이름을 나타내는 [ipaclients:vars] 섹션의 ipaclient_domain 옵션

     • IdM 서버에서 제어하는 Kerberos 영역의 이름을 나타내는 [ipaclients:vars] 섹션의 ipaclient_realm 옵션

       클라이언트 FQDN, 서버 FQDN 및 정의된 도메인을 사용하는 인벤토리 호스트 파일의 예

       [ipaclients]
       client.idm.example.com
       
       [ipaservers]
       server.idm.example.com
       
       [ipaclients:vars]
       ipaclient_domain=idm.example.com
       [...]

3. 클라이언트 등록 자격 증명을 지정합니다. 다음 인증 방법을 사용할 수 있습니다.

   • 클라이언트를 등록할 권한이 있는 사용자의 암호 입니다. 이는 기본 옵션입니다.

     • Ansible Vault를 사용하여 암호를 저장하고 플레이북 파일에서 Vault 파일을 참조하는 것이 좋습니다(예: install-client.yml ).

       Ansible Vault 파일의 인벤토리 파일 및 암호의 주체를 사용하는 플레이북 파일의 예

       - name: Playbook to configure IPA clients with username/password
         hosts: ipaclients
         become: true
         vars_files:
         - playbook_sensitive_data.yml
       
         roles:
         - role: ipaclient
           state: present

   • 덜 안전하게, inventory/hosts 파일의 [ ipaclients:vars] 섹션에서 ipa admin _password 옵션을 사용하여 제공할 관리자의 자격 증명입니다. 또는 권한이 있는 다른 사용자를 지정하려면 사용자 이름에 ipaadmin_principal 옵션을 사용하고 암호에 ipaadmin_password 옵션을 사용합니다. install-client.yml Playbook 파일은 다음과 같이 표시될 수 있습니다.

     인벤토리 호스트 파일 예

     [...]
     [ipaclients:vars]
     ipaadmin_principal=my_admin
     ipaadmin_password=Secret123

     인벤토리 파일에서 보안 주체 및 암호를 사용하는 플레이북의 예

     - name: Playbook to unconfigure IPA clients
       hosts: ipaclients
       become: true
     
       roles:
       - role: ipaclient
         state: true

   • 이전 등록의 클라이언트 키탭 이 계속 사용 가능한 경우:

     이 옵션은 시스템이 이전에 ID 관리 클라이언트로 등록된 경우 사용할 수 있습니다. 이 인증 방법을 사용하려면 ipaclient_keytab 옵션의 주석을 제거하여 keytab을 저장하는 파일의 경로를 지정합니다(예: inventory/hosts 의 [ipaclient:vars] 섹션).

   • 등록 중에 생성할 임의의 일회용 암호 (OTP)입니다. 이 인증 방법을 사용하려면 인벤토리 파일에서 ipaclient_use_otp=yes 옵션을 사용합니다. 예를 들어 inventory/hosts 파일의 [ipaclients:vars] 섹션에서 #ipaclient_use_otp=yes 옵션의 주석을 달 수 있습니다. OTP를 사용하면 다음 옵션 중 하나를 지정해야 합니다.

     • 예를 들어 inventory/hosts 파일 의 [ipaclients:vars] 섹션에 ipaadmin_password 값을 제공하여 클라이언트 등록 권한이 있는 사용자의 암호입니다.
     • 예를 들어 inventory/hosts 의 [ipaclients:vars] 섹션에 ipaadmin_keytab 의 값을 제공하여 admin keytab.