절차

1. 환경의 다른 복제본에서 해당 환경의 다른 CA 복제본을 승격하여 새 CA 갱신 서버 역할을 합니다. IdM CA 갱신 서버 변경 및 재설정 을 참조하십시오.
2. 환경의 다른 복제본에서 손실된 CA 갱신 서버에 대한 복제 계약을 제거합니다. CLI를 사용하여 토폴로지에서 서버 제거를 참조하십시오.
3. 새 CA 복제본을 설치하여 손실된 CA 복제본을 교체합니다. CA를 사용하여 IdM 복제본 설치를 참조하십시오.
4. 복제 토폴로지의 변경 사항을 반영하도록 DNS를 업데이트합니다. IdM DNS를 사용하면 DNS 서비스 레코드가 자동으로 업데이트됩니다.
5. IdM 클라이언트가 IdM 서버에 연결할 수 있는지 확인합니다. 복구 중에 IdM 클라이언트 조정을 참조하십시오.

검증 단계

1. Kerberos ticket-Granting-Ticket를 IdM 사용자로 성공적으로 검색하여 새 복제본에서 Kerberos 서버를 테스트합니다.

   [root@server ~]# kinit admin
   Password for admin@EXAMPLE.COM:
   
   [root@server ~]# klist
   Ticket cache: KCM:0
   Default principal: admin@EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   10/31/2019 15:51:37  11/01/2019 15:51:02  HTTP/server.example.com@EXAMPLE.COM
   10/31/2019 15:51:08  11/01/2019 15:51:02  krbtgt/EXAMPLE.COM@EXAMPLE.COM

2. 사용자 정보를 검색하여 Directory Server 및 SSSD 구성을 테스트합니다.

   [root@server ~]# ipa user-show admin
     User login: admin
     Last name: Administrator
     Home directory: /home/admin
     Login shell: /bin/bash
     Principal alias: admin@EXAMPLE.COM
     UID: 1965200000
     GID: 1965200000
     Account disabled: False
     Password: True
     Member of groups: admins, trust admins
     Kerberos keys available: True

3. ipa cert-show 명령을 사용하여 CA 구성을 테스트합니다.

   [root@server ~]# ipa cert-show 1
     Issuing CA: ipa
     Certificate: MIIEgjCCAuqgAwIBAgIjoSIP...
     Subject: CN=Certificate Authority,O=EXAMPLE.COM
     Issuer: CN=Certificate Authority,O=EXAMPLE.COM
     Not Before: Thu Oct 31 19:43:29 2019 UTC
     Not After: Mon Oct 31 19:43:29 2039 UTC
     Serial number: 1
     Serial number (hex): 0x1
     Revoked: False

절차

1. 손실된 서버에 대한 복제 계약 제거. IdM 서버 제거를 참조하십시오.
2. 원하는 서비스(CA, KRA, DNS)를 사용하여 새 복제본을 배포합니다. IdM 복제본 설치를 참조하십시오.
3. 복제 토폴로지의 변경 사항을 반영하도록 DNS를 업데이트합니다. IdM DNS를 사용하면 DNS 서비스 레코드가 자동으로 업데이트됩니다.
4. IdM 클라이언트가 IdM 서버에 연결할 수 있는지 확인합니다. 복구 중에 IdM 클라이언트 조정을 참조하십시오.

검증 단계

1. Kerberos ticket-Granting-Ticket를 IdM 사용자로 성공적으로 검색하여 새 복제본에서 Kerberos 서버를 테스트합니다.

   [root@newreplica ~]# kinit admin
   Password for admin@EXAMPLE.COM:
   
   [root@newreplica ~]# klist
   Ticket cache: KCM:0
   Default principal: admin@EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   10/31/2019 15:51:37  11/01/2019 15:51:02  HTTP/server.example.com@EXAMPLE.COM
   10/31/2019 15:51:08  11/01/2019 15:51:02  krbtgt/EXAMPLE.COM@EXAMPLE.COM

2. 사용자 정보를 검색하여 새 복제본에서 Directory Server 및 SSSD 구성을 테스트합니다.

   [root@newreplica ~]# ipa user-show admin
     User login: admin
     Last name: Administrator
     Home directory: /home/admin
     Login shell: /bin/bash
     Principal alias: admin@EXAMPLE.COM
     UID: 1965200000
     GID: 1965200000
     Account disabled: False
     Password: True
     Member of groups: admins, trust admins
     Kerberos keys available: True

절차

1. 다른 CA 복제본을 승격하여 CA 갱신 서버 역할을 수행합니다. 복구가 CA 갱신 서버 손실에서 참조하십시오.
2. 손실된 다른 모든 복제본을 교체합니다. 복구가 일반 복제본 손실에서 참조하십시오.

절차

1. CA 복제본 VM의 원하는 스냅샷을 부팅합니다.

2. 손실된 복제본에 대한 복제 계약을 제거합니다.

   [root@server ~]# ipa server-del lost-server1.example.com
   [root@server ~]# ipa server-del lost-server2.example.com
   ...

3. 두 번째 CA 복제본을 설치합니다. IdM 복제본 설치를 참조하십시오.
4. 이제 VM CA 복제본이 CA 갱신 서버입니다. Red Hat은 환경에서 다른 CA 복제본을 승격하여 CA 갱신 서버 역할을 하는 것이 좋습니다. IdM CA 갱신 서버 변경 및 재설정 을 참조하십시오.
5. 원하는 서비스(CA, DNS)를 사용하여 추가 복제본을 배포하여 원하는 복제본 토폴로지를 다시 생성합니다. IdM 복제본 설치를참조하십시오.
6. 새 복제본 토폴로지를 반영하도록 DNS를 업데이트합니다. IdM DNS를 사용하면 DNS 서비스 레코드가 자동으로 업데이트됩니다.
7. IdM 클라이언트가 IdM 서버에 연결할 수 있는지 확인합니다. 복구 중에 IdM 클라이언트 조정을 참조하십시오.

검증 단계

1. Kerberos 티켓 통합 티켓을 IdM 사용자로 성공적으로 검색하여 모든 복제본에서 Kerberos 서버를 테스트합니다.

   [root@server ~]# kinit admin
   Password for admin@EXAMPLE.COM:
   
   [root@server ~]# klist
   Ticket cache: KCM:0
   Default principal: admin@EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   10/31/2019 15:51:37  11/01/2019 15:51:02  HTTP/server.example.com@EXAMPLE.COM
   10/31/2019 15:51:08  11/01/2019 15:51:02  krbtgt/EXAMPLE.COM@EXAMPLE.COM

2. 사용자 정보를 검색하여 모든 복제본에서 Directory Server 및 SSSD 구성을 테스트합니다.

   [root@server ~]# ipa user-show admin
     User login: admin
     Last name: Administrator
     Home directory: /home/admin
     Login shell: /bin/bash
     Principal alias: admin@EXAMPLE.COM
     UID: 1965200000
     GID: 1965200000
     Account disabled: False
     Password: True
     Member of groups: admins, trust admins
     Kerberos keys available: True

3. ipa cert-show 명령을 사용하여 모든 CA 복제본에서 CA 서버를 테스트합니다.

   [root@server ~]# ipa cert-show 1
     Issuing CA: ipa
     Certificate: MIIEgjCCAuqgAwIBAgIjoSIP...
     Subject: CN=Certificate Authority,O=EXAMPLE.COM
     Issuer: CN=Certificate Authority,O=EXAMPLE.COM
     Not Before: Thu Oct 31 19:43:29 2019 UTC
     Not After: Mon Oct 31 19:43:29 2039 UTC
     Serial number: 1
     Serial number (hex): 0x1
     Revoked: False

절차

1. 손실된 서버에 대한 모든 복제 계약을 제거합니다. IdM 서버 제거를 참조하십시오.
2. CA 복제본 VM의 원하는 스냅샷을 부팅합니다.

3. 복원된 서버와 손실된 서버 간의 복제 계약을 모두 제거합니다.

   [root@restored-CA-replica ~]# ipa server-del lost-server1.example.com
   [root@restored-CA-replica ~]# ipa server-del lost-server2.example.com
   ...

4. 복원된 서버에 아직 프로덕션 중인 서버에 복제 계약이 없는 경우 복원된 서버를 다른 서버와 연결하여 복원된 서버를 업데이트합니다.

   [root@restored-CA-replica ~]# ipa topologysegment-add
   Suffix name: domain
   Left node: restored-CA-replica.example.com
   Right node: server3.example.com
   Segment name [restored-CA-replica.com-to-server3.example.com]: new_segment
   ---------------------------
   Added segment "new_segment"
   ---------------------------
     Segment name: new_segment
     Left node: restored-CA-replica.example.com
     Right node: server3.example.com
     Connectivity: both

5. /var/log/dirsrv/slapd-YOUR-INSTANCE/errors 에서 Directory Server 오류 로그를 검토하여 스냅샷의 CA 복제본이 나머지 IdM 서버와 올바르게 동기화되는지 확인합니다.

6. 데이터베이스가 너무 오래되어 복원된 서버의 복제가 실패하면 복원된 서버를 다시 초기화합니다.If replication on the restored server fails because its database is too older, reinitialize the restored server.

   [root@restored-CA-replica ~]# ipa-replica-manage re-initialize --from server2.example.com

7. 복원된 서버의 데이터베이스가 올바르게 동기화된 경우 IdM 복제본 설치에 따라 원하는 서비스(CA, DNS)를 사용하여 추가 복제본 을 계속 배포합니다.

검증 단계

1. Kerberos 티켓 통합 티켓을 IdM 사용자로 성공적으로 검색하여 모든 복제본에서 Kerberos 서버를 테스트합니다.

   [root@server ~]# kinit admin
   Password for admin@EXAMPLE.COM:
   
   [root@server ~]# klist
   Ticket cache: KCM:0
   Default principal: admin@EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   10/31/2019 15:51:37  11/01/2019 15:51:02  HTTP/server.example.com@EXAMPLE.COM
   10/31/2019 15:51:08  11/01/2019 15:51:02  krbtgt/EXAMPLE.COM@EXAMPLE.COM

2. 사용자 정보를 검색하여 모든 복제본에서 Directory Server 및 SSSD 구성을 테스트합니다.

   [root@server ~]# ipa user-show admin
     User login: admin
     Last name: Administrator
     Home directory: /home/admin
     Login shell: /bin/bash
     Principal alias: admin@EXAMPLE.COM
     UID: 1965200000
     GID: 1965200000
     Account disabled: False
     Password: True
     Member of groups: admins, trust admins
     Kerberos keys available: True

3. ipa cert-show 명령을 사용하여 모든 CA 복제본에서 CA 서버를 테스트합니다.

   [root@server ~]# ipa cert-show 1
     Issuing CA: ipa
     Certificate: MIIEgjCCAuqgAwIBAgIjoSIP...
     Subject: CN=Certificate Authority,O=EXAMPLE.COM
     Issuer: CN=Certificate Authority,O=EXAMPLE.COM
     Not Before: Thu Oct 31 19:43:29 2019 UTC
     Not After: Mon Oct 31 19:43:29 2039 UTC
     Serial number: 1
     Serial number (hex): 0x1
     Revoked: False

절차

1. CA 복제본 VM의 원하는 스냅샷을 부팅합니다.

2. 모든 복제 토폴로지 세그먼트를 제거하여 현재 배포의 나머지 부분에서 복원된 서버를 분리합니다.

   1. 먼저 모든 도메인 복제 토폴로지 세그먼트를 표시합니다.

      [root@restored-CA-replica ~]# ipa topologysegment-find
      Suffix name: domain
      ------------------
      8 segments matched
      ------------------
        Segment name: new_segment
        Left node: restored-CA-replica.example.com
        Right node: server2.example.com
        Connectivity: both
      
      ...
      
      ----------------------------
      Number of entries returned 8
      ----------------------------

   2. 다음으로 복원된 서버를 포함하는 모든 도메인 토폴로지 세그먼트를 삭제합니다.

      [root@restored-CA-replica ~]# ipa topologysegment-del
      Suffix name: domain
      Segment name: new_segment
      -----------------------------
      Deleted segment "new_segment"
      -----------------------------

   3. 마지막으로 모든 ca 토폴로지 세그먼트를 사용하여 동일한 작업을 수행합니다.

      [root@restored-CA-replica ~]# ipa topologysegment-find
      Suffix name: ca
      ------------------
      1 segments matched
      ------------------
        Segment name: ca_segment
        Left node: restored-CA-replica.example.com
        Right node: server4.example.com
        Connectivity: both
      ----------------------------
      Number of entries returned 1
      ----------------------------
      
      [root@restored-CA-replica ~]# ipa topologysegment-del
      Suffix name: ca
      Segment name: ca_segment
      -----------------------------
      Deleted segment "ca_segment"
      -----------------------------

3. 복원된 서버에서 충분한 IdM 복제본을 설치하여 배포 로드를 처리합니다. 이제 두 개의 연결이 끊긴 IdM 배포가 병렬로 실행됩니다.
4. 새 IdM 복제본에 대한 하드 코딩 참조를 적용하여 IdM 클라이언트를 전환하여 새 배포를 사용합니다. 복구 중에 IdM 클라이언트 조정을 참조하십시오.
5. 이전 배포에서 IdM 서버를 중지하고 설치 제거합니다. IdM 서버 제거를 참조하십시오.

검증 단계

1. Kerberos 티켓 통합 티켓을 IdM 사용자로 성공적으로 검색하여 모든 새 복제본에서 Kerberos 서버를 테스트합니다.

   [root@server ~]# kinit admin
   Password for admin@EXAMPLE.COM:
   
   [root@server ~]# klist
   Ticket cache: KCM:0
   Default principal: admin@EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   10/31/2019 15:51:37  11/01/2019 15:51:02  HTTP/server.example.com@EXAMPLE.COM
   10/31/2019 15:51:08  11/01/2019 15:51:02  krbtgt/EXAMPLE.COM@EXAMPLE.COM

2. 사용자 정보를 검색하여 모든 새 복제본에서 Directory Server 및 SSSD 구성을 테스트합니다.

   [root@server ~]# ipa user-show admin
     User login: admin
     Last name: Administrator
     Home directory: /home/admin
     Login shell: /bin/bash
     Principal alias: admin@EXAMPLE.COM
     UID: 1965200000
     GID: 1965200000
     Account disabled: False
     Password: True
     Member of groups: admins, trust admins
     Kerberos keys available: True

3. ipa cert-show 명령을 사용하여 모든 새 CA 복제본에서 CA 서버를 테스트합니다.

   [root@server ~]# ipa cert-show 1
     Issuing CA: ipa
     Certificate: MIIEgjCCAuqgAwIBAgIjoSIP...
     Subject: CN=Certificate Authority,O=EXAMPLE.COM
     Issuer: CN=Certificate Authority,O=EXAMPLE.COM
     Not Before: Thu Oct 31 19:43:29 2019 UTC
     Not After: Mon Oct 31 19:43:29 2039 UTC
     Serial number: 1
     Serial number (hex): 0x1
     Revoked: False

절차

1. ipa-restore 유틸리티를 사용하여 전체 서버 또는 데이터 전용 백업을 복원합니다.

   • 백업 디렉터리가 기본 /var/lib/ipa/backup/ 위치에 있는 경우 디렉터리 이름만 입력합니다.

     [root@server1 ~]# ipa-restore ipa-full-2020-01-14-12-02-32

   • 백업 디렉터리가 기본 위치에 없는 경우 전체 경로를 입력합니다.

     [root@server1 ~]# ipa-restore /mybackups/ipa-data-2020-02-01-05-30-00

     참고

     ipa-restore 유틸리티는 디렉터리에서 포함하는 백업 유형을 자동으로 감지하고 기본적으로 동일한 유형의 복원을 수행합니다. 전체 서버 백업에서 데이터 전용 복원을 수행하려면 ipa-restore 명령에 --data 옵션을 추가합니다.

     [root@server1 ~]# ipa-restore --data ipa-full-2020-01-14-12-02-32

2. Directory Manager 암호를 입력합니다.

   Directory Manager (existing master) password:

3. yes 를 입력하여 현재 데이터를 백업으로 덮어쓰는 것을 확인합니다.

   Preparing restore from /var/lib/ipa/backup/ipa-full-2020-01-14-12-02-32 on server1.example.com
   Performing FULL restore from FULL backup
   Temporary setting umask to 022
   Restoring data will overwrite existing live data. Continue to restore? [no]: yes

4. ipa-restore 유틸리티는 사용 가능한 모든 서버에서 복제를 비활성화합니다.

   Each master will individually need to be re-initialized or
   re-created from this one. The replication agreements on
   masters running IPA 3.1 or earlier will need to be manually
   re-enabled. See the man page for details.
   Disabling all replication.
   Disabling replication agreement on server1.example.com to caReplica2.example.com
   Disabling CA replication agreement on server1.example.com to caReplica2.example.com
   Disabling replication agreement on caReplica2.example.com to server1.example.com
   Disabling replication agreement on caReplica2.example.com to replica3.example.com
   Disabling CA replication agreement on caReplica2.example.com to server1.example.com
   Disabling replication agreement on replica3.example.com to caReplica2.example.com

   그런 다음 유틸리티를 통해 IdM 서비스를 중지하고 백업을 복원한 다음 서비스를 다시 시작합니다.

   Stopping IPA services
   Systemwide CA database updated.
   Restoring files
   Systemwide CA database updated.
   Restoring from userRoot in EXAMPLE-COM
   Restoring from ipaca in EXAMPLE-COM
   Restarting GSS-proxy
   Starting IPA services
   Restarting SSSD
   Restarting oddjobd
   Restoring umask to 18
   The ipa-restore command was successful

5. 복원된 서버에 연결된 모든 복제본을 다시 초기화합니다.

   1. 도메인 접미사의 모든 복제 토폴로지 세그먼트를 나열하고 복원된 서버와 관련된 토폴로지 세그먼트를 기록합니다.

      [root@server1 ~]# ipa topologysegment-find domain
      ------------------
      2 segments matched
      ------------------
        Segment name: server1.example.com-to-caReplica2.example.com
        Left node: server1.example.com
        Right node: caReplica2.example.com
        Connectivity: both
      
        Segment name: caReplica2.example.com-to-replica3.example.com
        Left node: caReplica2.example.com
        Right node: replica3.example.com
        Connectivity: both
      ----------------------------
      Number of entries returned 2
      ----------------------------

   2. 복원된 서버를 사용하여 모든 토폴로지 세그먼트에 대한 도메인 접미사를 다시 초기화합니다.

      이 예에서는 server1 의 데이터를 사용하여 caReplica2 의 다시 초기화를 수행합니다.

      [root@caReplica2 ~]# ipa-replica-manage re-initialize --from=server1.example.com
      Update in progress, 2 seconds elapsed
      Update succeeded

   3. 인증 기관 데이터로 이동하여 ca 접미사의 모든 복제 토폴로지 세그먼트를 나열합니다.

      [root@server1 ~]# ipa topologysegment-find ca
      -----------------
      1 segment matched
      -----------------
        Segment name: server1.example.com-to-caReplica2.example.com
        Left node: server1.example.com
        Right node: caReplica2.example.com
        Connectivity: both
      ----------------------------
      Number of entries returned 1
      ----------------------------

   4. 복원된 서버에 연결된 모든 CA 복제본을 다시 초기화합니다.

      이 예에서는 server1 의 데이터를 사용하여 csreplica 2의 re-initialization of caReplica2 를 수행합니다.

      [root@caReplica2 ~]# ipa-csreplica-manage re-initialize --from=server1.example.com
      Directory Manager password:
      
      Update in progress, 3 seconds elapsed
      Update succeeded

6. 복원된 server1.example.com 에서 데이터로 모든 서버가 업데이트될 때까지 복제 토폴로지를 계속하여 연속 복제본을 다시 시작합니다.

   이 예제에서는 caReplica2 의 데이터가 포함된 replica3 에서 도메인 접미사만 다시 초기화해야 합니다.

   [root@replica3 ~]# ipa-replica-manage re-initialize --from=caReplica2.example.com
   Directory Manager password:
   
   Update in progress, 3 seconds elapsed
   Update succeeded

7. 잘못된 데이터로 인해 인증 문제를 방지하려면 모든 서버에서 SSSD의 캐시를 지우십시오.

   1. SSSD 서비스를 중지합니다.

      [root@server ~]# systemctl stop sssd

   2. SSSD에서 캐시된 모든 콘텐츠를 삭제합니다.

      [root@server ~]# sss_cache -E

   3. SSSD 서비스를 시작합니다.

      [root@server ~]# systemctl start sssd

   4. 서버를 재부팅합니다.

절차

1. GPG2 키를 생성할 때 사용자 정의 인증 키 위치를 사용한 경우 $GNUPGHOME 환경 변수가 해당 디렉터리로 설정되어 있는지 확인합니다. GPG2 키 생성을 참조하십시오.

   [root@server ~]# echo $GNUPGHOME
   /root/backup

2. ipa-restore 유틸리티를 백업 디렉터리 위치에 제공합니다.

   [root@server ~]# ipa-restore ipa-full-2020-01-13-18-30-54

   1. Directory Manager 암호를 입력합니다.

      Directory Manager (existing master) password:

   2. GPG 키를 생성할 때 사용한 암호를 입력합니다.

      ┌────────────────────────────────────────────────────────────────┐
      │ Please enter the passphrase to unlock the OpenPGP secret key:  │
      │ "GPG User (first key) <root@example.com>"                      │
      │ 2048-bit RSA key, ID BF28FFA302EF4557,                         │
      │ created 2020-01-13.                                            │
      │                                                                │
      │                                                                │
      │ Passphrase: <passphrase>                                       │
      │                                                                │
      │         <OK>                                    <Cancel>       │
      └────────────────────────────────────────────────────────────────┘

3. 복원된 서버에 연결된 모든 복제본을 다시 초기화합니다. 백업에서 IdM 서버 복원을 참조하십시오.

절차

1. 홈 디렉터리에서 Ansible 구성 및 플레이북의 디렉터리를 생성합니다.

   $ mkdir ~/MyPlaybooks/

2. ~/MyPlaybooks/ 디렉터리로 변경합니다.

   $ cd ~/MyPlaybooks

3. 다음 콘텐츠를 사용하여 ~/MyPlaybooks/ansible.cfg 파일을 생성합니다.

   [defaults]
   inventory = /home/your_username/MyPlaybooks/inventory
   
   [privilege_escalation]
   become=True

4. 다음 콘텐츠를 사용하여 ~/MyPlaybooks/inventory 파일을 만듭니다.

   [ipaserver]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   
   [ipacluster:children]
   ipaserver
   ipareplicas
   
   [ipacluster:vars]
   ipaadmin_password=SomeADMINpassword
   
   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword

   이 구성은 이러한 위치에 있는 호스트에 대해 eu 와 us 이라는 두 개의 호스트 그룹을 정의합니다. 또한 이 구성은 eu 및 us 그룹의 모든 호스트를 포함하는 ipaserver 호스트 그룹을 정의합니다.

5. [선택 사항] SSH 공개 및 개인 키를 생성합니다. 테스트 환경에서 액세스를 단순화하려면 개인 키에 암호를 설정하지 마십시오.

   $ ssh-keygen

6. SSH 공개 키를 각 관리 노드의 IdM 관리자 계정에 복사합니다.

   $ ssh-copy-id admin@server.idm.example.com
   $ ssh-copy-id admin@replica.idm.example.com

   이러한 명령을 입력할 때 IdM 관리자 암호를 입력해야 합니다.

절차

1. ~/MyPlaybook/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks 디렉터리에 있는 restore-server.yml 파일의 사본을 만듭니다.

   $ cp /usr/share/doc/ansible-freeipa/playbooks/restore-server.yml restore-my-server.yml

3. 편집할 restore-my-server.yml Ansible 플레이북 파일을 엽니다.

4. 다음 변수를 설정하여 파일을 조정합니다.

   1. hosts 변수를 인벤토리 파일의 호스트 그룹으로 설정합니다. 이 예에서는 ipaserver 호스트 그룹으로 설정합니다.
   2. ipabackup_name 변수를 복원할 ipabackup 의 이름으로 설정합니다.

   3. ipabackup_password 변수를 LDAP Directory Manager 암호로 설정합니다.

      ---
      - name: Playbook to restore an IPA server
        hosts: ipaserver
        become: true
      
        vars:
          ipabackup_name: ipa-full-2021-04-30-13-12-00
          ipabackup_password: <your_LDAP_DM_password>
      
        roles:
        - role: ipabackup
          state: restored

5. 파일을 저장합니다.

6. 인벤토리 파일 및 플레이북 파일을 지정하여 Ansible 플레이북을 실행합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory restore-my-server.yml

절차

1. ~/MyPlaybook/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks 디렉터리에 있는 restore-server-from-controller.yml 파일의 사본을 만듭니다.

   $ cp /usr/share/doc/ansible-freeipa/playbooks/restore-server-from-controller.yml restore-my-server-from-my-controller.yml

3. 편집하려면 restore-my-server-from-my-controller.yml 파일을 엽니다.

4. 다음 변수를 설정하여 파일을 조정합니다.

   1. hosts 변수를 인벤토리 파일의 호스트 그룹으로 설정합니다. 이 예에서는 ipaserver 호스트 그룹으로 설정합니다.
   2. ipabackup_name 변수를 복원할 ipabackup 의 이름으로 설정합니다.

   3. ipabackup_password 변수를 LDAP Directory Manager 암호로 설정합니다.

      ---
      - name: Playbook to restore IPA server from controller
        hosts: ipaserver
        become: true
      
        vars:
          ipabackup_name: server.idm.example.com_ipa-full-2021-04-30-13-12-00
          ipabackup_password: <your_LDAP_DM_password>
          ipabackup_from_controller: yes
      
        roles:
        - role: ipabackup
          state: restored

5. 파일을 저장합니다.

6. 인벤토리 파일 및 플레이북 파일을 지정하여 Ansible 플레이북을 실행합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory restore-my-server-from-my-controller.yml

절차

1. 백업을 저장하려면 Ansible 컨트롤러의 홈 디렉터리에 하위 디렉터리를 생성합니다.

   $ mkdir ~/ipabackups

2. ~/MyPlaybook/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

3. /usr/share/doc/ansible-freeipa/playbooks 디렉터리에 있는 copy-backup-from-server.yml 파일의 사본을 만듭니다.

   $ cp /usr/share/doc/ansible-freeipa/playbooks/copy-backup-from-server.yml copy-backup-from-my-server-to-my-controller.yml

4. 편집하려면 copy-my-backup-from-my-server-to-my-controller.yml 파일을 엽니다.

5. 다음 변수를 설정하여 파일을 조정합니다.

   1. hosts 변수를 인벤토리 파일의 호스트 그룹으로 설정합니다. 이 예에서는 ipaserver 호스트 그룹으로 설정합니다.
   2. ipabackup_name 변수를 Ansible 컨트롤러에 복사할 IdM 서버의 ipabackup 이름으로 설정합니다.

   3. 기본적으로 백업은 Ansible 컨트롤러의 현재 작업 디렉터리에 저장됩니다. 1단계에서 만든 디렉터리를 지정하려면 ipabackup_controller_path 변수를 추가하고 /home/user/ipabackups 디렉터리로 설정합니다.

      ---
      - name: Playbook to copy backup from IPA server
        hosts: ipaserver
        become: true
        vars:
          ipabackup_name: ipa-full-2021-04-30-13-12-00
          ipabackup_to_controller: yes
          ipabackup_controller_path: /home/user/ipabackups
      
        roles:
        - role: ipabackup
          state: present

6. 파일을 저장합니다.

7. 인벤토리 파일 및 플레이북 파일을 지정하여 Ansible 플레이북을 실행합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory copy-backup-from-my-server-to-my-controller.yml

절차

1. ~/MyPlaybook/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks 디렉터리에 있는 copy-backup-from-controller.yml 파일의 사본을 만듭니다.

   $ cp /usr/share/doc/ansible-freeipa/playbooks/copy-backup-from-controller.yml copy-backup-from-my-controller-to-my-server.yml

3. 편집하려면 copy-my-backup-from-my-controller-to-my-server.yml 파일을 엽니다.

4. 다음 변수를 설정하여 파일을 조정합니다.

   1. hosts 변수를 인벤토리 파일의 호스트 그룹으로 설정합니다. 이 예에서는 ipaserver 호스트 그룹으로 설정합니다.

   2. ipabackup_name 변수를 IdM 서버에 복사할 Ansible 컨트롤러의 ipabackup 이름으로 설정합니다.

      ---
      - name: Playbook to copy a backup from controller to the IPA server
        hosts: ipaserver
        become: true
      
        vars:
          ipabackup_name: server.idm.example.com_ipa-full-2021-04-30-13-12-00
          ipabackup_from_controller: yes
      
        roles:
        - role: ipabackup
          state: copied

5. 파일을 저장합니다.

6. 인벤토리 파일 및 플레이북 파일을 지정하여 Ansible 플레이북을 실행합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory copy-backup-from-my-controller-to-my-server.yml

절차

1. ~/MyPlaybook/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks 디렉터리에 있는 remove-backup-from-server.yml 파일의 사본을 만듭니다.

   $ cp /usr/share/doc/ansible-freeipa/playbooks/remove-backup-from-server.yml remove-backup-from-my-server.yml

3. 편집할 remove-backup-from-my-server.yml 파일을 엽니다.

4. 다음 변수를 설정하여 파일을 조정합니다.

   1. hosts 변수를 인벤토리 파일의 호스트 그룹으로 설정합니다. 이 예에서는 ipaserver 호스트 그룹으로 설정합니다.

   2. IdM 서버에서 삭제하도록 ipabackup_name 변수를 ipabackup 으로 설정합니다.

      ---
      - name: Playbook to remove backup from IPA server
        hosts: ipaserver
        become: true
      
        vars:
          ipabackup_name: ipa-full-2021-04-30-13-12-00
      
        roles:
        - role: ipabackup
          state: absent

5. 파일을 저장합니다.

6. 인벤토리 파일 및 플레이북 파일을 지정하여 Ansible 플레이북을 실행합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory remove-backup-from-my-server.yml

절차

1. 데이터 손실을 복제하려면 복제 토폴로지 세그먼트를 제거하여 나머지 토폴로지에서 영향을 받는 모든 복제본의 연결을 끊습니다.

   1. 배포의 모든 도메인 복제 토폴로지 세그먼트를 표시합니다.

      [root@server ~]# ipa topologysegment-find
      Suffix name: domain
      ------------------
      8 segments matched
      ------------------
        Segment name: segment1
        Left node: server.example.com
        Right node: server2.example.com
        Connectivity: both
      
      ...
      
      ----------------------------
      Number of entries returned 8
      ----------------------------

   2. 영향을 받는 서버를 포함하는 모든 도메인 토폴로지 세그먼트를 삭제합니다.

      [root@server ~]# ipa topologysegment-del
      Suffix name: domain
      Segment name: segment1
      -----------------------------
      Deleted segment "segment1"
      -----------------------------

   3. 영향을 받는 서버를 포함하는 모든 ca 토폴로지 세그먼트에서 동일한 작업을 수행합니다.

      [root@server ~]# ipa topologysegment-find
      Suffix name: ca
      ------------------
      1 segments matched
      ------------------
        Segment name: ca_segment
        Left node: server.example.com
        Right node: server2.example.com
        Connectivity: both
      ----------------------------
      Number of entries returned 1
      ----------------------------
      
      [root@server ~]# ipa topologysegment-del
      Suffix name: ca
      Segment name: ca_segment
      -----------------------------
      Deleted segment "ca_segment"
      -----------------------------

2. 데이터 손실의 영향을 받는 서버를 중단해야 합니다. 대체 복제본을 생성하려면 복제를 사용하여 여러 서버 복구를 참조하십시오.

절차

1. 손실된 데이터를 검토해야 하는 경우 VM 스냅샷 또는 백업을 별도의 네트워크의 격리된 서버로 복원하십시오.
2. ipa 또는 ldapadd 명령을 사용하여 누락된 정보를 데이터베이스에 추가합니다.

절차

1. VM 스냅샷에서 알려진 양호한 상태로 IdM CA(인증 기관) 복제본을 복원하고 새 IdM 환경을 배포합니다. VM 스냅샷에서만 복구를 참조하십시오.
2. ipa 또는 ldapadd 명령을 사용하여 스냅샷을 만든 후 생성된 데이터를 추가합니다.