2장. 복제를 사용하여 단일 서버 복구

단일 서버가 심각하게 중단되거나 손실된 경우 복제본이 여러 개 있으면 대체 복제본을 생성하고 이전 수준의 중복성을 신속하게 복원할 수 있습니다.

IdM 토폴로지에 통합 CA(인증 기관)가 포함된 경우 손상된 복제본을 제거하고 교체하는 단계는 CA 갱신 서버 및 기타 복제본에 따라 다릅니다.

2.1. CA 갱신 서버 손실에서 복구

CA(인증 기관) 갱신 서버가 손실된 경우 먼저 다른 CA 복제본을 승격하여 CA 갱신 서버 역할을 충족한 다음 교체 CA 복제본을 배포해야 합니다.

사전 요구 사항

  • 배포 시 IdM의 내부 인증 기관(CA)을 사용합니다.
  • 환경의 다른 복제본에는 CA 서비스가 설치되어 있습니다.
주의

다음과 같은 경우 IdM 배포를 복구할 수 없습니다.

  1. CA 갱신 서버가 손실되었습니다.
  2. 다른 서버에는 CA가 설치되어 있지 않습니다.

  3. CA 역할이 있는 복제본의 백업이 없습니다.

    인증서 데이터가 보호되도록 CA 역할이 있는 복제본에서 백업을 생성하는 것이 중요합니다. 백업에서 생성 및 복원하는 방법에 대한 자세한 내용은 IdM 백업을 사용하여 데이터 손실 준비를 참조하십시오.

절차

  1. 환경의 다른 복제본에서 해당 환경의 다른 CA 복제본을 승격하여 새 CA 갱신 서버 역할을 합니다. IdM CA 갱신 서버 변경 및 재설정 을 참조하십시오.
  2. 환경의 다른 복제본에서 손실된 CA 갱신 서버에 대한 복제 계약을 제거합니다. CLI를 사용하여 토폴로지에서 서버 제거를 참조하십시오.
  3. 새 CA 복제본을 설치하여 손실된 CA 복제본을 교체합니다. CA를 사용하여 IdM 복제본 설치를 참조하십시오.
  4. 복제 토폴로지의 변경 사항을 반영하도록 DNS를 업데이트합니다. IdM DNS를 사용하면 DNS 서비스 레코드가 자동으로 업데이트됩니다.
  5. IdM 클라이언트가 IdM 서버에 연결할 수 있는지 확인합니다. 복구 중에 IdM 클라이언트 조정을 참조하십시오.

검증 단계

  1. Kerberos ticket-Granting-Ticket를 IdM 사용자로 성공적으로 검색하여 새 복제본에서 Kerberos 서버를 테스트합니다. 

    [root@server ~]# kinit admin
Password for admin@EXAMPLE.COM:

[root@server ~]# klist
Ticket cache: KCM:0
Default principal: admin@EXAMPLE.COM

Valid starting       Expires              Service principal
10/31/2019 15:51:37  11/01/2019 15:51:02  HTTP/server.example.com@EXAMPLE.COM
10/31/2019 15:51:08  11/01/2019 15:51:02  krbtgt/EXAMPLE.COM@EXAMPLE.COM

  2. 사용자 정보를 검색하여 Directory Server 및 SSSD 구성을 테스트합니다. 

    [root@server ~]# ipa user-show admin
  User login: admin
  Last name: Administrator
  Home directory: /home/admin
  Login shell: /bin/bash
  Principal alias: admin@EXAMPLE.COM
  UID: 1965200000
  GID: 1965200000
  Account disabled: False
  Password: True
  Member of groups: admins, trust admins
  Kerberos keys available: True

  3. ipa cert-show 명령을 사용하여 CA 구성을 테스트합니다. 

    [root@server ~]# ipa cert-show 1
  Issuing CA: ipa
  Certificate: MIIEgjCCAuqgAwIBAgIjoSIP...
  Subject: CN=Certificate Authority,O=EXAMPLE.COM
  Issuer: CN=Certificate Authority,O=EXAMPLE.COM
  Not Before: Thu Oct 31 19:43:29 2019 UTC
  Not After: Mon Oct 31 19:43:29 2039 UTC
  Serial number: 1
  Serial number (hex): 0x1
  Revoked: False

추가 리소스