1. 시스템을 최신 RHEL 7 버전으로 업그레이드합니다.
2. 도메인의 도메인 수준이 1로 설정되어 있는지 확인합니다. 자세한 내용은 RHEL 7 의 Linux 도메인 ID, 인증 및 정책 가이드의 도메인 수준 표시 및 상승을 참조하십시오.

3. ipa-* 패키지를 최신 버전으로 업데이트합니다.

   [root@rhel7 ~]# yum update ipa-*

   주의

   IdM(Identity Management) 서버를 여러 개 업그레이드하는 경우 각 업그레이드 사이에 최소 10분 정도 기다립니다.

   두 개 이상의 서버를 동시에 업그레이드하거나 업그레이드 간의 짧은 간격만 사용하여 토폴로지 전체에서 업그레이드 후 데이터 변경 사항을 복제하는 데 시간이 충분하지 않으므로 복제 이벤트가 충돌할 수 있습니다.

1. 최신 버전의 Red Hat Enterprise Linux가 시스템에 설치되어 있습니다. 자세한 내용은 표준 RHEL 8 설치 수행을 참조하십시오.

2. 시간 서버 rhel7.example.com 이 동기화되었는지 확인합니다.

   [root@rhel7 ~]# ntpstat
   synchronised to NTP server (ntp.example.com) at stratum 3
      time correct to within 42 ms
      polling server every 1024 s

   중요

   RHEL 8에서는 IdM이 자체 시간 서버를 제공하지 않습니다. rhel8.example.com 에 IdM을 설치하면 호스트에 NTP 서버가 설치되지 않습니다. 따라서 별도의 NTP 서버(예: ntp.example.com )를 사용해야 합니다. 자세한 내용은 IdM의 chrony 및 시간 서비스 요구 사항으로 마이그레이션 을 참조하십시오.

   rhel7.example.com 을 NTP 서버 역할에서 사용할 수 있지만 마이그레이션 프로세스의 일부로 서버를 해제할 수 있습니다. 따라서 rhel8.example.com 을 대신 ntp.example.com 과 직접 동기화해야 합니다. 클라이언트 설치 프로세스 중에 이를 지정할 수 있습니다.

3. 시스템이 rhel7.example.com IdM 서버에 권한이 있는 도메인에 등록된 IdM 클라이언트인지 확인합니다. 자세한 내용은 IdM 클라이언트 설치를 참조하십시오.

   중요

   클라이언트를 설치할 때 --ntp-server 옵션을 사용하여 이전 단계의 시간 서버를 지정합니다. NTP 서버 풀을 사용하는 경우 --ntp-pool 옵션을 사용합니다.

   NTP 서버를 수동으로 지정하지 않으면 DNS 레코드에서 자동으로 설정됩니다. 이로 인해 rhel8.example.com 이 rhel7.example.com 과 동기화될 수 있습니다. 이로 인해 RHEL 7 서버가 해제될 때 문제가 발생합니다.

   RHEL8 시스템이 이미 NTP 클라이언트로 올바르게 구성된 경우 IdM 클라이언트 설치를 수행할 때 --no-ntp 옵션을 사용할 수 있습니다.

4. 시스템이 IdM 서버 설치에 대한 요구 사항을 충족하는지 확인합니다. IdM 서버 설치 준비를 참조하십시오.
5. IdM 복제본 설치에 대해 시스템이 승인되었는지 확인합니다. IdM 클라이언트의 복제본 설치 인증을 참조하십시오.

6. ipa-* 패키지를 최신 버전으로 업데이트합니다.

   [root@rhel7 ~]# yum update ipa-*

검증

1. IdM 서비스가 rhel8.example.com 에서 실행 중인지 확인합니다.

   [root@rhel8 ~]# ipactl status
   Directory Service: RUNNING
   [... output truncated ...]
   ipa: INFO: The ipactl command was successful

2. rhel8.example.com 의 서버 역할이 NTP 서버 역할을 제외한 rhel7.example.com 과 동일한지 확인합니다.

   [root@rhel8 ~]$ kinit admin
   [root@rhel8 ~]$ ipa server-role-find --status enabled --server rhel8.example.com
   ----------------------
   2 server roles matched
   ----------------------
     Server name: rhel8.example.com
     Role name: CA server
     Role status: enabled
   
     Server name: rhel8.example.com
     Role name: DNS server
     Role status: enabled

3. [선택 사항] rhel7.example.com 과 rhel8.example.com 간의 복제 계약에 대한 세부 정보를 표시합니다.

   [root@rhel8 ~]# ipa-csreplica-manage list --verbose rhel8.example.com
   Directory Manager password:
   
   rhel7.example.com
   last init status: None
   last init ended: 1970-01-01 00:00:00+00:00
   last update status: Error (0) Replica acquired successfully: Incremental update succeeded
   last update ended: 2019-02-13 13:55:13+00:00

4. [선택 사항] IdM 배포가 AD와의 신뢰 관계에 있는 경우 작동하는지 확인하십시오.

   1. 링크: Kerberos 구성 확인

   2. rhel8.example.com 에서 AD 사용자를 확인하려고 합니다.

      [root@rhel8 ~]# id aduser@ad.domain

5. rhel8.example.com 이 NTP 서버와 동기화되었는지 확인합니다.

   [root@rhel8 ~]# chronyc tracking
   Reference ID    : CB00710F (ntp.example.com)
   Stratum         : 3
   Ref time (UTC)  : Tue Nov 16 09:49:17 2021
   [... output truncated ...]

1. CA 하위 시스템 인증서 업데이트를 처리하도록 rhel8.example.com 을 구성합니다.

   [root@rhel8 ~]# ipa config-mod --ca-renewal-master-server rhel8.example.com
     ...
     IPA masters: rhel7.example.com, rhel8.example.com
     IPA CA servers: rhel7.example.com, rhel8.example.com
     IPA NTP servers: rhel7.example.com, rhel8.example.com
     IPA CA renewal master: rhel8.example.com

   출력에 업데이트가 성공했는지 확인합니다.

2. rhel8.example.com 에서 인증서 업데이트r 작업을 활성화합니다.

   1. 편집을 위해 /etc/pki/pki-tomcat/ca/CS.cfg 구성 파일을 엽니다.
   2. ca.certStatusUpdateInterval 항목을 제거하거나 원하는 간격을 초 단위로 설정합니다. 기본값은 600 입니다.
   3. /etc/pki/pki-tomcat/ca/CS.cfg 구성 파일을 저장하고 종료합니다.

   4. IdM 서비스를 다시 시작하십시오.

      [user@rhel8 ~]$ ipactl restart

3. rhel7.example.com 에서 인증서 업데이트r 작업을 비활성화합니다.

   1. 편집을 위해 /etc/pki/pki-tomcat/ca/CS.cfg 구성 파일을 엽니다.

   2. ca.certStatusUpdateInterval 을 0 으로 변경하거나 존재하지 않는 경우 다음 항목을 추가합니다.

      ca.certStatusUpdateInterval=0

   3. /etc/pki/pki-tomcat/ca/CS.cfg 구성 파일을 저장하고 종료합니다.

   4. IdM 서비스를 다시 시작하십시오.

      [user@rhel7 ~]$ ipactl restart

절차

1. 선택적으로 rhel7.example.com 이 CRL을 생성하는지 확인합니다.

   [root@rhel7 ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2019-10-31 12:00:00
   Last CRL Number: 6
   The ipa-crlgen-manage command was successful

2. rhel7.example.com 서버에서 CRL 생성을 중지합니다.

   [root@rhel7 ~]# ipa-crlgen-manage disable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   CRL generation disabled on the local host. Please make sure to configure CRL generation on another master with ipa-crlgen-manage enable.
   The ipa-crlgen-manage command was successful

3. 선택적으로 rhel7.example.com 서버가 CRL 생성을 중지했는지 확인합니다.

   [root@rhel7 ~]# ipa-crlgen-manage status

절차

1. rhel8.example.com 에서 CRL 생성을 시작하려면 ipa-crlgen-manage enable 명령을 사용합니다.

   [root@rhel8 ~]# ipa-crlgen-manage enable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   Forcing CRL update
   CRL generation enabled on the local host. Please make sure to have only a single CRL generation master.
   The ipa-crlgen-manage command was successful

2. CRL 생성이 활성화되어 있는지 확인하려면 ipa-crlgen-manage status 명령을 사용합니다.

   [root@rhel8 ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2019-10-31 12:10:00
   Last CRL Number: 7
   The ipa-crlgen-manage command was successful

절차

1. IdM이 아직 설치되지 않은 경우 사용자 정의 LDAP 디렉터리 스키마를 포함하여 IdM 서버를 설치합니다. 기존 LDAP 디렉터리가 설치된 것과 다른 시스템에 사용자 지정 LDAP 디렉터리 스키마를 포함합니다. 자세한 내용은 Identity Management 설치를 참조하십시오.

   참고

   사용자 지정 사용자 또는 그룹 스키마는 IdM에서 지원이 제한됩니다. 호환되지 않는 오브젝트 정의로 인해 마이그레이션 중에 문제가 발생할 수 있습니다.

2. 성능상의 이유로 compat 플러그인을 비활성화합니다.

   # ipa-compat-manage disable

   스키마 호환성 기능 및 마이그레이션을 위해 비활성화할 때의 이점에 대한 자세한 내용은 LDAP에서 IdM으로 마이그레이션할 때 사용할 스키마 및 스키마 호환성 기능을 참조하십시오.

3. IdM Directory Server 인스턴스를 다시 시작합니다.

   # systemctl restart dirsrv.target

4. 마이그레이션을 허용하도록 IdM 서버를 구성합니다.

   # ipa config-mod --enable-migration=TRUE

   --enable-migration 을 TRUE로 설정하면 다음을 수행합니다.

   • LDAP 추가 작업 중에 사전 해시된 암호를 허용합니다.
   • 초기 Kerberos 인증에 실패하는 경우 암호 마이그레이션 시퀀스를 시도하도록 SSSD를 구성합니다. 자세한 내용은 LDAP에서 IdM으로 암호를 마이그레이션할 때 SSSD 사용 의 워크플로 섹션을 참조하십시오.

5. 사용 사례에 맞는 옵션을 사용하여 IdM 마이그레이션 스크립트 ipa migrate-ds. 자세한 내용은 LDAP에서 IdM으로 마이그레이션 사용자 지정을 참조하십시오.

   # ipa migrate-ds --your-options ldap://ldap.example.com:389

   참고

   이전 단계 중 하나에서 compat 플러그인을 비활성화하지 않은 경우 ipa migrate-ds 에 --with-compat 옵션을 추가합니다.

   # ipa migrate-ds --your-options --with-compat ldap://ldap.example.com:389

6. compat 플러그인을 다시 활성화합니다.

   # ipa-compat-manage enable

7. IdM 디렉터리 서버를 다시 시작하십시오.

   # systemctl restart dirsrv.target

8. 모든 사용자가 암호를 마이그레이션한 경우 마이그레이션 모드를 비활성화합니다.

   # ipa config-mod --enable-migration=FALSE

9. [선택 사항] 모든 사용자를 마이그레이션하고 비SSSD 클라이언트를 재구성하여 Kerberos 인증을 사용하도록 재구성합니다. 즉, LDAP 인증 대신 pam_ krb5 입니다. 자세한 내용은 RHEL 7 시스템 수준 인증 가이드 의 Kerberos 클라이언트 구성을 참조하십시오.

10. 사용자가 해시된 Kerberos 암호를 생성하도록 합니다. LDAP에서 IdM으로 마이그레이션할 때 계획 암호 마이그레이션에 설명된 방법 중 하나를 선택합니다.

    • SSSD 방법을 결정하는 경우 :

      • SSSD가 LDAP 디렉터리에서 IdM 디렉터리로 설치된 클라이언트를 이동하고 IdM에 클라이언트로 등록합니다. 이렇게 하면 필요한 키와 인증서가 다운로드됩니다.

        Red Hat Enterprise Linux 클라이언트에서 ipa-client-install 명령을 사용하여 이 작업을 수행할 수 있습니다. 예를 들면 다음과 같습니다.

        # ipa-client-install --enable-dns-update

    • IdM 마이그레이션 웹 페이지 방법을 결정하는 경우:

      • 마이그레이션 웹 페이지를 사용하여 IdM에 로그인하도록 사용자에게 지시합니다.

        https://ipaserver.example.com/ipa/migration

11. 사용자 마이그레이션 프로세스를 모니터링하려면 기존 LDAP 디렉터리를 쿼리하여 암호가 있지만 Kerberos 보안 키가 없는 사용자 계정을 확인합니다.

    $ ldapsearch -LL -x -D 'cn=Directory Manager' -w secret -b 'cn=users,cn=accounts,dc=example,dc=com' '(&(!(krbprincipalkey=))(userpassword=))' uid

    참고

    쉘에서 해석하지 않도록 필터 주변의 작은따옴표를 포함합니다.

12. 모든 클라이언트 및 사용자의 마이그레이션이 완료되면 LDAP 디렉토리를 제거하십시오.

검증

1. ipa user-add 명령을 사용하여 IdM에 테스트 사용자를 생성합니다. 마이그레이션된 사용자의 출력을 test 사용자의 출력과 비교합니다. 마이그레이션된 사용자에게 테스트 사용자에게 최소한의 속성 및 개체 클래스가 포함되어 있는지 확인합니다. 예를 들면 다음과 같습니다.

   $ ipa user-show --all testing_user
   dn: uid=testing_user,cn=users,cn=accounts,dc=idm,dc=example,dc=com
   User login: testing_user
   First name: testing
   Last name: user
   Full name: testing user
   Display name: testing user
   Initials: tu
   Home directory: /home/testing_user
   GECOS: testing user
   Login shell: /bin/sh
   Principal name: testing_user@IDM.EXAMPLE.COM
   Principal alias: testing_user@IDM.EXAMPLE.COM
   Email address: testing_user@idm.example.com
   UID: 1689700012
   GID: 1689700012
   Account disabled: False
   Preserved user: False
   Password: False
   Member of groups: ipausers
   Kerberos keys available: False
   ipauniqueid: 843b1ac8-6e38-11ec-8dfe-5254005aad3e
   mepmanagedentry: cn=testing_user,cn=groups,cn=accounts,dc=idm,dc=example,dc=com
   objectclass: top, person, organizationalperson, inetorgperson, inetuser, posixaccount, krbprincipalaux, krbticketpolicyaux, ipaobject,
                ipasshuser, ipaSshGroupOfPubKeys, mepOriginEntry

2. 원래 LDAP 서버에 표시된 것처럼 마이그레이션된 사용자의 출력을 소스 사용자와 비교합니다. 가져온 속성이 두 번 복사되지 않고 올바른 값이 있는지 확인합니다.

절차

1. 향후 IdM 서버의 파일에 원격 LDAP 서버 인증서를 발급한 CA 인증서를 저장합니다. 예: /tmp/remote.crt.

2. LDAP 서버를 IdM으로 마이그레이션하는 방법에 설명된 단계를 따르십시오. 그러나 마이그레이션 중에 암호화된 LDAP 연결의 경우 URL에서 ldaps 프로토콜을 사용하고 --ca-cert-file 옵션을 ipa migrate-ds 명령에 전달합니다. 예를 들면 다음과 같습니다.

   # ipa migrate-ds --ca-cert-file=/tmp/remote.crt --your-other-options ldaps://ldap.example.com:636

검증

1. ipa user-add 명령을 사용하여 IdM에 테스트 사용자를 생성합니다. 마이그레이션된 사용자의 출력을 test 사용자의 출력과 비교합니다. 마이그레이션된 사용자에게 테스트 사용자에게 최소한의 속성 및 개체 클래스가 포함되어 있는지 확인합니다. 예를 들면 다음과 같습니다.

   $ ipa user-show --all testing_user
   dn: uid=testing_user,cn=users,cn=accounts,dc=idm,dc=example,dc=com
   User login: testing_user
   First name: testing
   Last name: user
   Full name: testing user
   Display name: testing user
   Initials: tu
   Home directory: /home/testing_user
   GECOS: testing user
   Login shell: /bin/sh
   Principal name: testing_user@IDM.EXAMPLE.COM
   Principal alias: testing_user@IDM.EXAMPLE.COM
   Email address: testing_user@idm.example.com
   UID: 1689700012
   GID: 1689700012
   Account disabled: False
   Preserved user: False
   Password: False
   Member of groups: ipausers
   Kerberos keys available: False
   ipauniqueid: 843b1ac8-6e38-11ec-8dfe-5254005aad3e
   mepmanagedentry: cn=testing_user,cn=groups,cn=accounts,dc=idm,dc=example,dc=com
   objectclass: top, person, organizationalperson, inetorgperson, inetuser, posixaccount, krbprincipalaux, krbticketpolicyaux, ipaobject,
                ipasshuser, ipaSshGroupOfPubKeys, mepOriginEntry

2. 원래 LDAP 서버에 표시된 것처럼 마이그레이션된 사용자의 출력을 소스 사용자와 비교합니다. 가져온 속성이 두 번 복사되지 않고 올바른 값이 있는지 확인합니다.

절차

1. ipa-backup 유틸리티를 사용하여 IdM 설정을 백업합니다. IdM 백업 및 복원을 참조하십시오.

   참고

   마이그레이션은 IdM 구성 및 많은 사용자 계정의 중요한 부분에 영향을 미칩니다. 백업을 생성하면 필요한 경우 원래 설정을 복원할 수 있습니다.

2. 동기화된 도메인을 사용하여 신뢰를 생성합니다. 자세한 내용은 IdM과 AD 간의 신뢰 설치를 참조하십시오.

3. ipa-winsync-migrate 를 실행하고 AD 도메인 컨트롤러의 AD 영역 및 호스트 이름을 지정합니다.

   # ipa-winsync-migrate --realm example.com --server ad.example.com

   ipa-winsync-migrate 에서 생성한 덮어쓰기에서 충돌이 발생하면 충돌에 대한 정보가 표시되지만 마이그레이션이 계속됩니다.

4. AD 서버에서 암호 동기화 서비스를 설치 제거합니다. 그러면 AD 도메인 컨트롤러에서 동기화 계약이 제거됩니다.

절차

1. 원래 동기화된 사용자 및 그룹 항목의 백업을 만듭니다.
2. 동기화된 도메인을 사용하여 신뢰를 생성합니다. 자세한 내용은 IdM과 AD 간의 신뢰 설치를 참조하십시오.

3. 동기화된 모든 사용자 또는 그룹에 대해 다음 중 하나를 수행하여 IdM에서 생성한 UID 및 GID를 유지합니다.

   • 특정 호스트에 적용되는 ID 보기를 개별적으로 생성하고 뷰에 사용자 ID 덮어쓰기를 추가합니다.
   • Default Trust View에서 사용자 ID 덮어쓰기를 생성합니다.
   참고

   IdM 사용자만 ID 보기를 관리할 수 있습니다. AD 사용자는 할 수 없습니다.

4. 원본 동기화된 사용자 또는 그룹 항목을 삭제합니다.