Red Hat Training

A Red Hat training course is available for RHEL 8

6.2. Instalação não-interativa

Este procedimento instala um servidor:

  • Sem DNS integrado
  • com uma autoridade de certificação externa (CA) como a CA de raiz
Nota

O script de instalação ipa-server-install cria um arquivo de log em /var/log/ipaserver-install.log. Se a instalação falhar, o log pode ajudá-lo a identificar o problema.

Pré-requisitos

  • Decida sobre o tipo de CA externa que você utiliza (a opção --external-ca-type ). Veja a ipa-server-install(1) página de homem para detalhes.
  • Alternativamente, decidir sobre a opção --external-ca-profile que permite especificar um modelo alternativo do Active Directory Certificate Services (AD CS). Por exemplo, para especificar um identificador de objeto específico da instalação do AD CS:

    [root@server ~]# ipa-server-install --external-ca --external-ca-type=ms-cs --external-ca-profile=1.3.6.1.4.1.311.21.8.8950086.10656446.2706058.12775672.480128.147.7130143.4405632:1

Procedimento

  1. Execute o ipa-server-install com as opções para fornecer todas as informações necessárias. As opções mínimas necessárias para a instalação não interativa de um servidor IdM com uma CA externa como a CA raiz são:

    • --external-ca para especificar uma CA externa é a CA de raiz
    • --realm para fornecer o nome do reino de Kerberos
    • --ds-password para fornecer a senha para o Gerente de Diretório (DM), o super usuário do Servidor de Diretório
    • --admin-password para fornecer a senha para admin, o administrador da IdM
    • --unattended para deixar o processo de instalação selecionar opções padrão para o nome do host e nome de domínio

      Por exemplo:

      # ipa-server-install --external-ca --realm EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

    Se você estiver usando o Microsoft Certificate Services CA, use também a opção --external-ca-type. Para detalhes, consulte a página de manual ipa-server-install(1).

  2. Durante a configuração da instância do Sistema de Certificado, o utilitário imprime o local do pedido de assinatura do certificado (CSR): /root/ipa.csr:

    ...
    
    Configuring certificate server (pki-tomcatd). Estimated time: 3 minutes
      [1/11]: configuring certificate server instance
    The next step is to get /root/ipa.csr signed by your CA and re-run /usr/sbin/ipa-server-install as:
    /usr/sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
    The ipa-server-install command was successful

    Quando isto acontece:

    1. Submeter a RSE localizada em /root/ipa.csr à CA externa. O processo difere dependendo do serviço a ser usado como a CA externa.
    2. Recuperar o certificado emitido e a cadeia de certificados da CA para a CA emissora em um blob básico 64 codificado (um arquivo PEM ou um certificado Base_64 de uma CA Windows). Novamente, o processo difere para cada serviço de certificado. Normalmente, um link para download em uma página da web ou no e-mail de notificação permite ao administrador baixar todos os certificados exigidos.

      Importante

      Certifique-se de obter a cadeia completa de certificados para a CA, não apenas o certificado da CA.

    3. Execute ipa-server-install novamente, desta vez especificando os locais e nomes do certificado recém-emitido da CA e os arquivos da cadeia da CA. Por exemplo, o arquivo de corrente da CA:

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem --realm EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended
  3. O roteiro de instalação agora configura o servidor. Aguarde que a operação seja concluída.
  4. O script de instalação produz um arquivo com registros de recursos DNS: o arquivo /tmp/ipa.system.records.UFRPto.db no exemplo de saída abaixo. Acrescente estes registros aos servidores DNS externos existentes. O processo de atualização dos registros DNS varia de acordo com a solução DNS específica.

    ...
    Restarting the KDC
    Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
    Restarting the web server
    ...
Importante

A instalação do servidor não está completa até que você adicione os registros DNS aos servidores DNS existentes.