1. 시스템을 최신 RHEL 8 버전으로 업그레이드합니다.

   중요

   RHEL 9.0로 마이그레이션하는 경우 RHEL 8.6보다 최신 버전으로 업데이트하지 마십시오. RHEL 8.7에서 마이그레이션하는 것은 RHEL 9.1에서만 지원됩니다.

2. ipa-* 패키지를 최신 버전으로 업데이트합니다.

   [root@rhel8 ~]# dnf update ipa-*

   주의

   IdM(Identity Management) 서버를 여러 개 업그레이드하는 경우 각 업그레이드 사이에 최소 10분 정도 기다립니다.

   두 개 이상의 서버를 동시에 업그레이드하거나 업그레이드 간의 짧은 간격만 사용하여 토폴로지 전체에서 업그레이드 후 데이터 변경 사항을 복제하는 데 시간이 충분하지 않으므로 복제 이벤트가 충돌할 수 있습니다.

1. 최신 버전의 Red Hat Enterprise Linux가 시스템에 설치되어 있습니다. 자세한 내용은 표준 RHEL 9 설치 수행 에서 참조하십시오.
2. 시스템이 rhel8.example.com IdM 서버에 권한이 있는 도메인에 등록된 IdM 클라이언트인지 확인합니다. 자세한 내용은 IdM 클라이언트 설치: 기본 시나리오를 참조하십시오.
3. 시스템이 IdM 서버 설치에 대한 요구 사항을 충족하는지 확인합니다. IdM 서버 설치를 위한 시스템 준비를 참조하십시오.

4. 시간 서버 rhel8.example.com 이 동기화되었는지 확인합니다.

   [root@rhel8 ~]# ntpstat
   synchronised to NTP server (ntp.example.com) at stratum 3
      time correct to within 42 ms
      polling server every 1024 s

5. IdM 복제본 설치에 대해 시스템이 승인되었는지 확인합니다. IdM 클라이언트의 복제본 설치 승인을 참조하십시오.

6. ipa-* 패키지를 최신 버전으로 업데이트합니다.

   [root@rhel8 ~]# dnf update ipa-*

검증

1. IdM 서비스가 rhel9.example.com 에서 실행 중인지 확인합니다.

   [root@rhel9 ~]# ipactl status
   Directory Service: RUNNING
   [... output truncated ...]
   ipa: INFO: The ipactl command was successful

2. rhel9.example.com 의 서버 역할이 rhel8.example.com 과 동일한지 확인합니다.

   [root@rhel9 ~]# kinit admin
   [root@rhel9 ~]# ipa server-role-find --status enabled --server rhel9.example.com
   ----------------------
   2 server roles matched
   ----------------------
     Server name: rhel9.example.com
     Role name: CA server
     Role status: enabled
   
     Server name: rhel9.example.com
     Role name: DNS server
     Role status: enabled

3. (선택 사항) rhel8.example.com 과 rhel9.example.com 간의 복제 계약에 대한 세부 정보를 표시합니다.

   [root@rhel9 ~]# ipa-csreplica-manage list --verbose rhel9.example.com
   Directory Manager password:
   
   rhel8.example.com
   last init status: None
   last init ended: 1970-01-01 00:00:00+00:00
   last update status: Error (0) Replica acquired successfully: Incremental update succeeded
   last update ended: 2019-02-13 13:55:13+00:00

4. (선택 사항) IdM 배포가 AD와의 신뢰 관계에 있는 경우 작동하는지 확인하십시오.

   1. Kerberos 구성 확인

   2. rhel9.example.com 에서 AD 사용자를 확인하려고 합니다.

      [root@rhel9 ~]# id aduser@ad.domain

5. rhel9.example.com 이 NTP 서버와 동기화되었는지 확인합니다.

   [root@rhel8 ~]# chronyc tracking
   Reference ID    : CB00710F (ntp.example.com)
   Stratum         : 3
   Ref time (UTC)  : Wed Feb 16 09:49:17 2022
   [... output truncated ...]

1. CA 하위 시스템 인증서 업데이트를 처리하도록 rhel9.example.com 을 구성합니다.

   [root@rhel9 ~]# ipa config-mod --ca-renewal-master-server rhel9.example.com
     ...
     IPA masters: rhel8.example.com, rhel9.example.com
     IPA CA servers: rhel8.example.com, rhel9.example.com
     IPA CA renewal master: rhel9.example.com

   출력에 업데이트가 성공했는지 확인합니다.

2. rhel9.example.com 에서 인증서 업데이트r 작업을 활성화합니다.

   1. 편집을 위해 /etc/pki/pki-tomcat/ca/CS.cfg 구성 파일을 엽니다.
   2. ca.certStatusUpdateInterval 항목을 제거하거나 원하는 간격을 초 단위로 설정합니다. 기본값은 600 입니다.
   3. /etc/pki/pki-tomcat/ca/CS.cfg 구성 파일을 저장하고 종료합니다.

   4. IdM 서비스를 다시 시작하십시오.

      [user@rhel9 ~]$ ipactl restart

3. rhel8.example.com 에서 인증서 업데이트r 작업을 비활성화합니다.

   1. 편집을 위해 /etc/pki/pki-tomcat/ca/CS.cfg 구성 파일을 엽니다.

   2. ca.certStatusUpdateInterval 을 0 으로 변경하거나 존재하지 않는 경우 다음 항목을 추가합니다.

      ca.certStatusUpdateInterval=0

   3. /etc/pki/pki-tomcat/ca/CS.cfg 구성 파일을 저장하고 종료합니다.

   4. IdM 서비스를 다시 시작하십시오.

      [user@rhel8 ~]$ ipactl restart

절차

1. (선택 사항) rhel8.example.com 이 CRL을 생성하고 있는지 확인합니다.

   [root@rhel8 ~]# ipa-crlgen-manage status
   CRL generation: enabled
   Last CRL update: 2021-10-31 12:00:00
   Last CRL Number: 6
   The ipa-crlgen-manage command was successful

2. rhel8.example.com 서버에서 CRL 생성을 중지합니다.

   [root@rhel8 ~]# ipa-crlgen-manage disable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   CRL generation disabled on the local host. Please make sure to configure CRL generation on another master with ipa-crlgen-manage enable.
   The ipa-crlgen-manage command was successful

3. 선택적으로 rhel8.example.com 서버가 CRL 생성을 중지했는지 확인합니다.

   [root@rhel7 ~]# ipa-crlgen-manage status

절차

1. rhel9.example.com 에서 CRL 생성을 시작하려면 ipa-crlgen-manage enable 명령을 사용합니다.

   [root@rhel9 ~]# ipa-crlgen-manage enable
   Stopping pki-tomcatd
   Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg
   Starting pki-tomcatd
   Editing /etc/httpd/conf.d/ipa-pki-proxy.conf
   Restarting httpd
   Forcing CRL update
   CRL generation enabled on the local host. Please make sure to have only a single CRL generation master.
   The ipa-crlgen-manage command was successful

절차

1. IdM이 아직 설치되지 않은 경우 사용자 정의 LDAP 디렉터리 스키마를 포함하여 IdM 서버를 설치합니다. 기존 LDAP 디렉터리가 설치된 것과 다른 시스템에 사용자 지정 LDAP 디렉터리 스키마를 포함합니다. 자세한 내용은 Identity Management 설치를 참조하십시오.

   참고

   사용자 지정 사용자 또는 그룹 스키마는 IdM에서 지원이 제한됩니다. 호환되지 않는 오브젝트 정의로 인해 마이그레이션 중에 문제가 발생할 수 있습니다.

2. 성능상의 이유로 compat 플러그인을 비활성화합니다.

   # ipa-compat-manage disable

   스키마 호환성 기능 및 마이그레이션을 위해 비활성화할 때의 이점에 대한 자세한 내용은 LDAP에서 IdM으로 마이그레이션할 때 사용할 스키마 및 스키마 호환성 기능을 참조하십시오.

3. IdM Directory Server 인스턴스를 다시 시작합니다.

   # systemctl restart dirsrv.target

4. 마이그레이션을 허용하도록 IdM 서버를 구성합니다.

   # ipa config-mod --enable-migration=TRUE

   --enable-migration 을 TRUE로 설정하면 다음을 수행합니다.

   • LDAP 추가 작업 중에 사전 해시된 암호를 허용합니다.
   • 초기 Kerberos 인증에 실패하는 경우 암호 마이그레이션 시퀀스를 시도하도록 SSSD를 구성합니다. 자세한 내용은 LDAP에서 IdM으로 암호를 마이그레이션할 때 SSSD 사용 의 워크플로 섹션을 참조하십시오.

5. 사용 사례에 맞는 옵션을 사용하여 IdM 마이그레이션 스크립트 ipa migrate-ds. 자세한 내용은 LDAP에서 IdM으로 마이그레이션 사용자 지정을 참조하십시오.

   # ipa migrate-ds --your-options ldap://ldap.example.com:389

   참고

   이전 단계 중 하나에서 compat 플러그인을 비활성화하지 않은 경우 ipa migrate-ds 에 --with-compat 옵션을 추가합니다.

   # ipa migrate-ds --your-options --with-compat ldap://ldap.example.com:389

6. compat 플러그인을 다시 활성화합니다.

   # ipa-compat-manage enable

7. IdM 디렉터리 서버를 다시 시작하십시오.

   # systemctl restart dirsrv.target

8. 모든 사용자가 암호를 마이그레이션한 경우 마이그레이션 모드를 비활성화합니다.

   # ipa config-mod --enable-migration=FALSE

9. [선택 사항] 모든 사용자를 마이그레이션하고 비SSSD 클라이언트를 재구성하여 Kerberos 인증을 사용하도록 재구성합니다. 즉, LDAP 인증 대신 pam_ krb5 입니다. 자세한 내용은 RHEL 7 시스템 수준 인증 가이드 의 Kerberos 클라이언트 구성을 참조하십시오.

10. 사용자가 해시된 Kerberos 암호를 생성하도록 합니다. LDAP에서 IdM으로 마이그레이션할 때 계획 암호 마이그레이션에 설명된 방법 중 하나를 선택합니다.

    • SSSD 방법을 결정하는 경우 :

      • SSSD가 LDAP 디렉터리에서 IdM 디렉터리로 설치된 클라이언트를 이동하고 IdM에 클라이언트로 등록합니다. 이렇게 하면 필요한 키와 인증서가 다운로드됩니다.

        Red Hat Enterprise Linux 클라이언트에서 ipa-client-install 명령을 사용하여 이 작업을 수행할 수 있습니다. 예를 들면 다음과 같습니다.

        # ipa-client-install --enable-dns-update

    • IdM 마이그레이션 웹 페이지 방법을 결정하는 경우:

      • 마이그레이션 웹 페이지를 사용하여 IdM에 로그인하도록 사용자에게 지시합니다.

        https://ipaserver.example.com/ipa/migration

11. 사용자 마이그레이션 프로세스를 모니터링하려면 기존 LDAP 디렉터리를 쿼리하여 암호가 있지만 Kerberos 보안 키가 없는 사용자 계정을 확인합니다.

    $ ldapsearch -LL -x -D 'cn=Directory Manager' -w secret -b 'cn=users,cn=accounts,dc=example,dc=com' '(&(!(krbprincipalkey=))(userpassword=))' uid

    참고

    쉘에서 해석하지 않도록 필터 주변의 작은따옴표를 포함합니다.

12. 모든 클라이언트 및 사용자의 마이그레이션이 완료되면 LDAP 디렉토리를 제거하십시오.

검증

1. ipa user-add 명령을 사용하여 IdM에 테스트 사용자를 생성합니다. 마이그레이션된 사용자의 출력을 test 사용자의 출력과 비교합니다. 마이그레이션된 사용자에게 테스트 사용자에게 최소한의 속성 및 개체 클래스가 포함되어 있는지 확인합니다. 예를 들면 다음과 같습니다.

   $ ipa user-show --all testing_user
   dn: uid=testing_user,cn=users,cn=accounts,dc=idm,dc=example,dc=com
   User login: testing_user
   First name: testing
   Last name: user
   Full name: testing user
   Display name: testing user
   Initials: tu
   Home directory: /home/testing_user
   GECOS: testing user
   Login shell: /bin/sh
   Principal name: testing_user@IDM.EXAMPLE.COM
   Principal alias: testing_user@IDM.EXAMPLE.COM
   Email address: testing_user@idm.example.com
   UID: 1689700012
   GID: 1689700012
   Account disabled: False
   Preserved user: False
   Password: False
   Member of groups: ipausers
   Kerberos keys available: False
   ipauniqueid: 843b1ac8-6e38-11ec-8dfe-5254005aad3e
   mepmanagedentry: cn=testing_user,cn=groups,cn=accounts,dc=idm,dc=example,dc=com
   objectclass: top, person, organizationalperson, inetorgperson, inetuser, posixaccount, krbprincipalaux, krbticketpolicyaux, ipaobject,
                ipasshuser, ipaSshGroupOfPubKeys, mepOriginEntry

2. 원래 LDAP 서버에 표시된 것처럼 마이그레이션된 사용자의 출력을 소스 사용자와 비교합니다. 가져온 속성이 두 번 복사되지 않고 올바른 값이 있는지 확인합니다.

절차

1. 향후 IdM 서버의 파일에 원격 LDAP 서버 인증서를 발급한 CA 인증서를 저장합니다. 예: /tmp/remote.crt.

2. LDAP 서버를 IdM으로 마이그레이션하는 방법에 설명된 단계를 따르십시오. 그러나 마이그레이션 중에 암호화된 LDAP 연결의 경우 URL에서 ldaps 프로토콜을 사용하고 --ca-cert-file 옵션을 ipa migrate-ds 명령에 전달합니다. 예를 들면 다음과 같습니다.

   # ipa migrate-ds --ca-cert-file=/tmp/remote.crt --your-other-options ldaps://ldap.example.com:636

검증

1. ipa user-add 명령을 사용하여 IdM에 테스트 사용자를 생성합니다. 마이그레이션된 사용자의 출력을 test 사용자의 출력과 비교합니다. 마이그레이션된 사용자에게 테스트 사용자에게 최소한의 속성 및 개체 클래스가 포함되어 있는지 확인합니다. 예를 들면 다음과 같습니다.

   $ ipa user-show --all testing_user
   dn: uid=testing_user,cn=users,cn=accounts,dc=idm,dc=example,dc=com
   User login: testing_user
   First name: testing
   Last name: user
   Full name: testing user
   Display name: testing user
   Initials: tu
   Home directory: /home/testing_user
   GECOS: testing user
   Login shell: /bin/sh
   Principal name: testing_user@IDM.EXAMPLE.COM
   Principal alias: testing_user@IDM.EXAMPLE.COM
   Email address: testing_user@idm.example.com
   UID: 1689700012
   GID: 1689700012
   Account disabled: False
   Preserved user: False
   Password: False
   Member of groups: ipausers
   Kerberos keys available: False
   ipauniqueid: 843b1ac8-6e38-11ec-8dfe-5254005aad3e
   mepmanagedentry: cn=testing_user,cn=groups,cn=accounts,dc=idm,dc=example,dc=com
   objectclass: top, person, organizationalperson, inetorgperson, inetuser, posixaccount, krbprincipalaux, krbticketpolicyaux, ipaobject,
                ipasshuser, ipaSshGroupOfPubKeys, mepOriginEntry

2. 원래 LDAP 서버에 표시된 것처럼 마이그레이션된 사용자의 출력을 소스 사용자와 비교합니다. 가져온 속성이 두 번 복사되지 않고 올바른 값이 있는지 확인합니다.