流程

1. 要安装 PostgreSQL，请输入以下命令：

   # dnf install postgresql-server postgresql-evr

2. 要初始化 PostgreSQL，请输入以下命令：

   # postgresql-setup initdb

3. 编辑 /var/lib/pgsql/data/postgresql.conf 文件：

   # vi /var/lib/pgsql/data/postgresql.conf

4. 删除 sVirt 并编辑以侦听入站连接：

   listen_addresses = '*'

5. 编辑 /var/lib/pgsql/data/pg_hba.conf 文件：

   # vi /var/lib/pgsql/data/pg_hba.conf

6. 在文件中添加以下行：

     host  all   all   Satellite_ip/24   md5

7. 要启动并启用 PostgreSQL 服务，请输入以下命令：

   # systemctl start postgresql
   # systemctl enable postgresql

8. 在外部 PostgreSQL 服务器上打开 postgresql 端口：

   # firewall-cmd --add-service=postgresql
   # firewall-cmd --runtime-to-permanent

9. 切换到 postgres 用户并启动 PostgreSQL 客户端：

   $ su - postgres -c psql

10. 创建三个数据库和专用角色：一个用于 Satellite，一个用于 Candlepin，另一个用于 Pulp：

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE USER "pulp" WITH PASSWORD 'Pulpcore_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;
    CREATE DATABASE pulpcore OWNER pulp;

11. 退出 postgres 用户：

    # \q

12. 在 Satellite 服务器中测试您可以访问数据库。如果连接成功，命令会返回 1。

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"
    # PGPASSWORD='Pulpcore_Password' psql -h postgres.example.com -p 5432 -U pulp -d pulpcore -c "SELECT 1 as ping"

流程

1. 要安装 PostgreSQL，请输入以下命令：

   # yum install rh-postgresql12-postgresql-server \
   rh-postgresql12-syspaths \
   rh-postgresql12-postgresql-evr

2. 要初始化 PostgreSQL，请输入以下命令：

   # postgresql-setup initdb

3. 编辑 /var/opt/rh/rh-postgresql12/lib/pgsql/data/postgresql.conf 文件：

   # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/postgresql.conf

4. 删除 sVirt 并编辑以侦听入站连接：

   listen_addresses = '*'

5. 编辑 /var/opt/rh/rh-postgresql12/lib/pgsql/data/pg_hba.conf 文件：

   # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/pg_hba.conf

6. 在文件中添加以下行：

     host  all   all   Satellite_ip/24   md5

7. 要启动并启用 PostgreSQL 服务，请输入以下命令：

   # systemctl start postgresql
   # systemctl enable postgresql

8. 在外部 PostgreSQL 服务器上打开 postgresql 端口：

   # firewall-cmd --add-service=postgresql
   # firewall-cmd --runtime-to-permanent

9. 切换到 postgres 用户并启动 PostgreSQL 客户端：

   $ su - postgres -c psql

10. 创建三个数据库和专用角色：一个用于 Satellite，一个用于 Candlepin，另一个用于 Pulp：

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE USER "pulp" WITH PASSWORD 'Pulpcore_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;
    CREATE DATABASE pulpcore OWNER pulp;

11. 退出 postgres 用户：

    # \q

12. 在 Satellite 服务器中测试您可以访问数据库。如果连接成功，命令会返回 1。

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"
    # PGPASSWORD='Pulpcore_Password' psql -h postgres.example.com -p 5432 -U pulp -d pulpcore -c "SELECT 1 as ping"

流程

1. 在 Satellite Web UI 中，导航到 Administer > Users。
2. 单击创建用户。
3. 在 Login 字段中，为用户输入用户名。
4. 在 Firstname 和 Lastname 字段中，输入用户的实际名字和姓氏。
5. 在 Mail 字段中，输入用户的电子邮件地址。
6. 在 Description 字段中，添加新用户的描述。
7. 从 Language 列表中选择用户的特定语言。

8. 从 Timezone 列表中选择用户的时区。

   默认情况下，Satellite 服务器使用用户浏览器的语言和时区设置。

9. 为该用户设置密码：

   1. 从 Authorized by 列表中，选择验证用户的源。

      • INTERNAL ：要在 Satellite 服务器中管理用户。
      • EXTERNAL ：配置外部身份验证，如 第 15 章 配置外部身份验证 所述。
   2. 在 Password 字段中输入用户的初始密码和 Verify 字段。
10. 点 Submit 创建用户。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Users。

2. 单击要分配给一个或多个角色的用户的 username。

   注意

   如果没有列出用户帐户，请检查您当前是否查看正确的机构。要列出 Satellite 中的所有用户，请单击 Default Organization，然后单击 Any Organization。

3. 点 Locations 选项卡，并在没有分配时选择一个位置。
4. 单击 Organizations 选项卡，并检查是否分配了组织。
5. 单击 Roles 选项卡，以显示可用角色的列表。

6. 从 Roles 列表中选择要分配的角色。

   要授予所有可用权限，可选中 Admin 复选框。

7. 点 Submit。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Users。
2. 在您要模拟的用户右侧，从 Actions 列中的列表中选择 Impersonate。

前提条件

1. 您已创建了用户并为其分配的角色。请注意，此用户必须在内部授权。如需更多信息 ，请参阅 创建用户并将角色分配给用户。

流程

1. 以 admin 用户身份登录您的 Satellite。
2. 导航到 Administer > Users 并选择用户。

3. 在 User 选项卡中，设置密码。不要保存或传达这个密码与其他密码。您可以在控制台中创建伪随机字符串：

   # openssl rand -hex 32

4. 为用户创建个人访问令牌。如需更多信息，请参阅 第 5.3.1 节 “创建个人访问令牌”。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Users。
2. 在 Username 列中点击所需用户的用户名。

3. 点 SSH Keys 选项卡。

   • 添加 SSH 密钥

     1. 在剪贴板中准备公共 SSH 密钥的内容。
     2. 单击 Add SSH Key。
     3. 在 Key 字段中，粘贴剪贴板中的公共 SSH 密钥内容。
     4. 在 Name 字段中输入 SSH 密钥的名称。
     5. 点 Submit。

   • 删除 SSH 密钥

     1. 点要删除的 SSH 密钥行上的 Delete。
     2. 在确认提示符处，单击 OK。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Users。
2. 选择您要为其创建个人访问令牌的用户。
3. 在 个人访问令牌 选项卡中，单击 Add Personal Access Token。
4. 输入个人访问令牌的名称。
5. 可选： 选择 过期日期来设置过期日期。如果您没有设置过期日期，您的个人访问令牌将永远不会过期，除非撤销。

6. 点 Submit。现在，您已在个人访问令牌 选项卡中有 个人访问令牌。

   重要

   确保存储您的个人访问令牌，因为您将无法在页面离开或创建新的个人访问令牌后再次访问它。您可以点击 Copy to clipboard 复制个人访问令牌。

验证

1. 向 Satellite 服务器发出 API 请求，并使用您的个人访问令牌进行身份验证：

   # curl https://satellite.example.com/api/status --user My_Username:My_Personal_Access_Token

2. 您应该收到状态为 200 的响应，例如：

   {"satellite_version":"6.11.0","result":"ok","status":200,"version":"3.5.1.10","api_version":2}

   如果您返回 个人访问令牌 选项卡，您可以看到个人访问令牌旁的更新的 Last Used 时间。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Users。
2. 选择您要撤销个人访问令牌的用户。
3. 在 个人访问令牌 选项卡中，找到您要撤销的个人访问令牌。
4. 在您要撤销的个人访问令牌旁边的 Actions 列中点 Revoke。

验证

1. 向 Satellite 服务器发出 API 请求，并尝试使用撤销的个人访问令牌进行身份验证：

   # curl https://satellite.example.com/api/status --user My_Username:My_Personal_Access_Token

2. 您会收到以下出错信息：

   {
     "error": {"message":"Unable to authenticate user My_Username"}
   }

流程

1. 在 Satellite Web UI 中，导航到 Administer > User Groups。
2. 单击 Create User group。

3. 在 User Group 选项卡中，指定新用户组的名称并选择组成员：

   • 从 User Groups 列表中选择之前创建的用户组。
   • 从 Users 列表中选择用户。
4. 在 Roles 选项卡上，选择您要分配给用户组的角色。或者，选择 Admin 复选框来分配所有可用的权限。
5. 点 Submit。

流程

1. 在 Satellite Web UI 中，导航到 Administer > User Groups。
2. 点您要删除的用户组右侧的 Delete。
3. 在出现的警报框中，单击 OK 以删除用户组。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Roles。
2. 点 Create Role。
3. 为角色提供 Name。
4. 点 Submit 保存您的新角色。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Roles，然后从所需角色右侧的下拉菜单中选择 Clone。
2. 为角色提供 Name。
3. 点 Submit 以克隆角色。
4. 单击克隆的角色的名称，再导航到 Filters。
5. 根据需要编辑权限。
6. 点 Submit 保存您的新角色。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Roles。
2. 从所需角色右侧的下拉列表中选择 Add Filter。
3. 从下拉列表中选择 资源类型。(Miscellaneous) 组收集与任何资源组关联的权限。
4. 点您要从 Permission 列表中选择的权限。
5. 根据所选的 资源类型，您可以选择或取消选择 附件 和 Override 复选框。默认情况下，会选中 kiosk 复选框，这意味着权限将应用到所选类型的所有资源。当您禁用 kiosk 复选框时，Search 字段会激活。在此字段中，您可以使用 Satellite 搜索语法指定进一步过滤。更多信息请参阅 第 5.7 节 “粒度权限过滤”。启用 Override 复选框时，您可以添加额外的位置和机构来允许角色访问额外位置和机构中的资源类型；您还可以从资源类型中删除已关联的位置和机构来限制访问。
6. 点击 Next。
7. 点 Submit 保存更改。

CLI 过程

1. 列出所有可用权限：

   # hammer filter available-permissions

2. 为角色添加权限：

   # hammer filter create \
   --permission-ids My_Permission_ID_1,My_Permission_ID_2 \
   --role My_Role_Name

流程

1. 在 Satellite Web UI 中，导航到 Administer > Roles。
2. 单击所需角色右侧的 Filters，以进入 Filters 页面。

流程

1. 确保安装了所需的软件包。在 Satellite 服务器上执行以下命令：

   # satellite-maintain packages install foreman-console

2. 使用以下命令启动 Satellite 控制台：

   # foreman-rake console

   将以下代码插入到控制台中：

   f = File.open('/tmp/table.html', 'w')
   
   result = Foreman::AccessControl.permissions {|a,b| a.security_block <=> b.security_block}.collect do |p|
         actions = p.actions.collect { |a| "<li>#{a}</li>" }
         "<tr><td>#{p.name}</td><td><ul>#{actions.join('')}</ul></td><td>#{p.resource_type}</td></tr>"
   end.join("\n")
   
   f.write(result)

   以上语法创建了权限表，并将其保存到 /tmp/table.html 文件中。

3. 按 Ctrl + D 退出 Satellite 控制台。在 /tmp/table.html 的第一行中插入以下文本：

   <table border="1"><tr><td>Permission name</td><td>Actions</td><td>Resource type</td></tr>

   在 /tmp/table.html 末尾附加以下文本：

   </table>

4. 在 Web 浏览器中打开 /tmp/table.html 来查看表。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Roles。
2. 从要删除的角色右侧的下拉列表中，选择 Delete。
3. 在出现的警报框中，单击 OK 以删除该角色。

流程

1. 在 Satellite Web UI 中，导航到 Configure > Environments。
2. 点 satellite.example.com中的 Import environments。

3. 选中与您要审计的主机关联的 Puppet 环境复选框。

   如果没有 Puppet 环境，请选中 production environment 复选框。默认情况下，OpenSCAP 所需的 Puppet 类位于生产环境中。

4. 点 Update。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > Policies，然后选择您要手动、Ansible 或 Puppet 部署。
2. 输入此策略的名称，描述（可选），然后单击 Next。

3. 选择要应用的 SCAP 内容和 XCCDF 配置文件，然后单击 Next。

   请注意，openSCAP 插件不会检测 SCAP 内容角色是否有内容，这意味着 Default XCCDF Profile 可能会返回空报告。

4. 指定应用策略时的调度时间，然后单击 Next。

   从 Period 列表中选择 Weekly、Monthly 或 Custom。

   • 如果您选择 Weekly，还要从 Weekday 列表中选择星期所需的天数。
   • 如果您选择了 Monthly，还在 Day of month 字段中指定了日期。

   • 如果您选择 Custom，请在 Cron line 字段中输入有效的 Cron 表达式。

     与 Weekly 或 Monthly 选项相比，Custom 选项在策略调度中允许更大的灵活性。

5. 选择要应用策略的位置，然后单击 Next。
6. 选择要应用策略的组织，然后单击 Next。
7. 选择要应用策略的主机组，然后单击 Submit。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > Policies。
2. 在所需策略的 Actions 列中，点 Show Guide 或从列表中选择它。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > Policies。
2. 从策略名称右侧的下拉列表中，选择 Edit。
3. 编辑必要的属性。
4. 点 Submit。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > Policies。
2. 从策略名称右侧的下拉列表中，选择 Delete。
3. 在确认消息中点 OK。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > Compliance - Tailoring Files，再点 New Tailoring File。
2. 在 Name 文本框中输入名称。
3. 单击 Choose File，导航到包含 SCAP DataStream Tailoring File 的位置，然后选择 Open。
4. 点 Submit 上传所选的 Tailoring 文件。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > Compliance - Policies。
2. 现有合规政策，请单击 New Policy 或 New Compliance Policy。
3. 在 Name 文本框中输入名称，然后单击 Next。
4. 从下拉菜单中选择 Scap 内容。
5. 从下拉菜单中选择 XCCDF Profile。
6. 从下拉菜单中选择 Tailoring 文件。

7. 从下拉菜单中选择 XCCDF 配置文件。

   选择 XCCDF 配置文件非常重要，因为 Tailoring File 能够包含多个 XCCDF 配置文件。

8. 点击 Next。
9. 从下拉菜单中选择 Period。
10. 从下拉菜单中选择 Weekday，然后单击 Next。
11. 选择一个 Location 将其移到 Selected items 窗口，然后单击 Next。
12. 选择一个 Organization 以将其移到 Selected items 窗口，然后单击 Next。
13. 选择 Hostgroup 以将其移到 Selected items 窗口，然后单击 Submit。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > Policies。

2. 点所需的策略名称。仪表板提供以下信息：

   • 演示主机与策略合规的高级视图的环图。
   • 统计将主机的合规性与策略划分，格式为 tabular。
   • 到每个主机的最新策略报告的链接。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > Reports 以列出所有合规性报告。
2. 点特定主机行中的 View Report 查看单个报告的详情。

3. 点击规则的标题查看更多详情：

   • 规则的描述，其中包含将主机置于合规的说明（如果可用）。
   • 规则的比率。
   • 在某些情况下，补救脚本。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > Reports。
2. 在 Compliance Reports 窗口中，确定您要删除的策略，并在策略名称右侧选择 Delete。
3. 点击 确定。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > Reports。
2. 在 Compliance Reports 窗口中，选择您要删除的合规性报告。
3. 在列表右上角，选择 Delete report。
4. 对您要删除的页面多次重复这些步骤。

流程

1. 要同步外部 Capsule，请在 Satellite Web UI 中选择相关的机构和位置，或者选择 任何机构 和 任何位置。
2. 在 Satellite Web UI 中，导航到 Infrastructure > Capsules，再点击要同步的 Capsule 的名称。
3. 在 Overview 选项卡中，选择 defer 。

流程

1. 在 /etc/foreman/settings.yaml 中设置日志级别：

   :logging:
     :production:
       :type: file
       :layout: pattern
       :level: debug

2. 在 /etc/foreman/settings.yaml 中启用所选日志记录器：

   :loggers:
     :ldap:
       :enabled: true
     :permissions:
       :enabled: true
     :sql:
       :enabled: true

   请注意，若要查看某些区域中的日志记录，必须设置调试日志。

3. 重启 Satellite 服务：

   # satellite-maintain service restart

流程

1. 在 /etc/puppetlabs/puppet/puppet.conf 文件中的 [agent] 块中添加以下行：

   [agent]
       log_level = debug

流程

1. 在 /etc/puppetlabs/puppet/puppet.conf 文件中的 [master] 块中添加以下行：

   [master]
       log_level = debug

2. 重启 Puppet 服务器：

   # satellite-maintain service restart --only puppetserver

流程

1. 从 LDAP 服务器获取证书。

   1. 如果您使用 Active Directory 证书服务，请使用 Base-64 编码的 X.509 格式导出 Enterprise PKI CA 证书。有关从 Active Directory 服务器创建和导出 CA 证书的信息，请参阅如何在 Satellite 上使用 TLS 配置 Active Directory 身份验证。

   2. 将 LDAP 服务器证书下载到 Satellite 服务器上的临时位置，并在完成后将其删除。

      例如： /tmp/example.crt。文件名扩展 .cer 和 .crt 只是惯例，可以参考 DER 二进制文件或 PEM ASCII 格式证书。

2. 信任 LDAP 服务器的证书。

   Satellite 服务器要求 LDAP 身份验证的 CA 证书是 /etc/pki/tls/certs/ 目录中的单个文件。

   1. 使用 install 命令将导入的证书安装到具有正确权限的 /etc/pki/tls/certs/ 目录中：

      # install /tmp/example.crt /etc/pki/tls/certs/

   2. 以 root 用户身份输入以下命令，信任从 LDAP 服务器获取的 example.crt 证书：

      # ln -s example.crt /etc/pki/tls/certs/$(openssl \
      x509 -noout -hash -in \
      /etc/pki/tls/certs/example.crt).0

   3. 重启 httpd 服务：

      # systemctl restart httpd

流程

1. 将网络信息系统(NIS)服务布尔值设置为 true，以防止 SELinux 停止传出的 LDAP 连接：

   # setsebool -P nis_enabled on

2. 在 Satellite Web UI 中，导航到 Administer > Authentication Sources。
3. 单击 Create LDAP Authentication Source。
4. 在 LDAP server 选项卡中，输入 LDAP 服务器的名称、主机名、端口和服务器类型。默认端口为 389，默认服务器类型是 POSIX （您可以根据身份验证服务器的类型选择 FreeIPA 或 Active Directory）。对于 TLS 加密连接，请选择 LDAPS 复选框以启用加密。端口应更改为 636，这是 LDAPS 的默认端口。
5. 在 Account 选项卡中，输入帐户信息和域名详情。有关描述和示例，请参阅 第 15.1.3 节 “LDAP 设置的描述”。
6. 在 属性映射选项卡上，将 LDAP 属性映射到 Satellite 属性。您可以映射登录名称、名字、姓氏、电子邮件地址和取消部署属性。例如，请参阅 第 15.1.4 节 “LDAP 连接设置示例”。
7. 在 位置 选项卡上，从左表中选择位置。所选位置分配给从 LDAP 身份验证源创建的用户，并在首次登录时可用。
8. 在 Organizations 选项卡上，从左侧表中选择机构。所选组织分配给从 LDAP 身份验证源创建的用户，并在首次登录时可用。
9. 点 Submit。

10. 为 LDAP 用户配置新帐户：

    • 如果您没有选择 Automatically Create Accounts In Satellite 复选框，请参阅 第 5.1.1 节 “创建用户” 以手动创建用户帐户。
    • 如果您选择了 Automatically Create Accounts In Satellite 复选框，则 LDAP 用户现在可以使用其 LDAP 帐户和密码登录 Satellite。首次登录后，Satellite 管理员必须手动为他们分配角色。请参阅 第 5.1.2 节 “为用户分配角色” 在 Satellite 中分配用户帐户适当的角色。

流程

1. 在 Red Hat Identity Management 服务器上，要进行身份验证，请输入以下命令并在提示时输入您的密码：

   # kinit admin

2. 要验证您是否经过身份验证，请输入以下命令：

   # klist

3. 在 Red Hat Identity Management 服务器上，为 Satellite 服务器创建一个主机条目并生成一次性密码，例如：

   # ipa host-add --random hostname

   注意

   生成的一次性密码必须在客户端上使用，以完成 Red Hat Identity Management-enrollment。

   有关主机配置属性的更多信息，请参阅 Red Hat Enterprise Linux 7 Linux 域身份、身份验证和策略指南中的 关于 主机条目配置属性。

4. 为 Satellite 服务器创建 HTTP 服务，例如：

   # ipa service-add HTTP/hostname

   有关管理服务的更多信息，请参阅 Red Hat Enterprise Linux 7 Linux 域身份、身份验证和策略指南中的管理服务。https://access.redhat.com/documentation/zh-cn/red_hat_enterprise_linux/7/html/linux_domain_identity_authentication_and_policy_guide/services

5. 在 Satellite 服务器中，安装 IPA 客户端：

   警告

   此命令可能会在安装软件包的过程中重新启动 Satellite 服务。有关在 Satellite 上安装和更新软件包的详情请参考 第 12.8 节 “在 Satellite 服务器或 Capsule 服务器的基本操作系统中管理软件包”。

   # satellite-maintain packages install ipa-client

6. 在 Satellite 服务器上，以 root 用户身份输入以下命令来配置 Red Hat Identity Management-enrollment：

   # ipa-client-install --password OTP

   将 OTP 替换为 Red Hat Identity Management 管理员提供的一次性密码。

7. 如果 Satellite 服务器在 Red Hat Enterprise Linux 7 上运行，请执行以下命令：

   # subscription-manager repos --enable rhel-7-server-optional-rpms

   安装程序依赖于 Red Hat Enterprise Linux 7 上的软件包，它们位于可选存储库 rhel-7-server-optional-rpms 中。

8. 使用以下命令将 foreman-ipa-authentication 设置为 true：

   # satellite-installer --foreman-ipa-authentication=true

9. 重启 Satellite 服务：

   # satellite-maintain service restart

流程

1. 在 Red Hat Identity Management 服务器上，要进行身份验证，请输入以下命令并在提示时输入您的密码：

   # kinit admin

2. 要验证您是否经过身份验证，请输入以下命令：

   # klist

3. 在红帽身份管理服务器上创建 HBAC 服务和规则，并将它们链接在一起。以下示例使用 PAM 服务名称 satellite-prod。在 Red Hat Identity Management 服务器上执行以下命令：

   # ipa hbacsvc-add satellite-prod
   # ipa hbacrule-add allow_satellite_prod
   # ipa hbacrule-add-service allow_satellite_prod --hbacsvcs=satellite-prod

4. 添加需要访问服务 satellite-prod 的用户，以及 Satellite 服务器的主机名：

   # ipa hbacrule-add-user allow_satellite_prod --user=username
   # ipa hbacrule-add-host allow_satellite_prod --hosts=satellite.example.com

   或者，主机组和用户组可以添加到 allow_satellite_prod 规则中。

5. 要检查规则的状态，请执行：

   # ipa hbacrule-find satellite-prod
   # ipa hbactest --user=username --host=satellite.example.com --service=satellite-prod

6. 确保 Red Hat Identity Management 服务器上禁用了 allow_all 规则。有关如何在不破坏其他服务的情况下执行此操作的说明，请参阅红帽客户门户网站中的 IdM 文章 如何在 IdM 中配置 HBAC 规则。

7. 配置红帽身份管理与 Satellite 服务器集成，如 第 15.2.1 节 “在 Satellite 服务器上配置红帽身份管理身份验证” 所述。在 Satellite 服务器上，将 PAM 服务定义为 root ：

   # satellite-installer --foreman-pam-service=satellite-prod

流程

1. 安装所需的软件包：

   # satellite-maintain packages install sssd adcli realmd ipa-python-compat krb5-workstation samba-common-tools

2. 将 Satellite 服务器注册到 AD 服务器。您可能需要具有管理员权限才能执行以下命令：

   # realm join -v EXAMPLE.ORG --membership-software=samba -U Administrator

流程

1. 创建 /etc/ipa/ 目录和 default.conf 文件：

   # mkdir /etc/ipa
   # touch /etc/ipa/default.conf

2. 在 default.conf 文件中添加以下内容：

   [global]
   server = unused
   realm = EXAMPLE.ORG

3. 使用以下内容创建 /etc/net-keytab.conf 文件：

   [global]
   workgroup = EXAMPLE
   realm = EXAMPLE.ORG
   kerberos method = system keytab
   security = ads

4. 确定 Apache 用户的有效用户 ID：

   # id apache

   Apache 用户不能能够访问 keytab 文件。

5. 使用以下内容创建 /etc/gssproxy/00-http.conf 文件：

   [service/HTTP]
   mechs = krb5
   cred_store = keytab:/etc/httpd/conf/http.keytab
   cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
   euid = ID_of_Apache_User

6. 创建 keytab 条目：

   警告

   在创建 keytab 条目前，主机不得注册到域中。

   # KRB5_KTNAME=FILE:/etc/httpd/conf/http.keytab net ads keytab add HTTP -U administrator -d3 -s /etc/net-keytab.conf
   # chown root.apache /etc/httpd/conf/http.keytab
   # chmod 640 /etc/httpd/conf/http.keytab

7. 在 Satellite 中启用 IPA 身份验证：

   # satellite-installer --foreman-ipa-authentication=true

8. 启动并启用 gssproxy 服务：

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service

9. 要将 Apache 服务器配置为使用 gssproxy 服务，请创建一个 systemd drop-in 文件并为其添加以下内容：

   # mkdir -p /etc/systemd/system/httpd.service.d/
   # vi /etc/systemd/system/httpd.service.d/gssproxy.conf
   [Service]
   Environment=GSS_USE_PROXY=1

10. 将更改应用到该服务：

    # systemctl daemon-reload

11. 启动并启用 httpd 服务：

    # systemctl restart httpd.service

1. 使用以下命令检索 LDAP 用户的 Kerberos 票据：

   # kinit ldapuser

2. 使用以下命令查看 Kerberos ticket：

   # klist

3. 使用以下命令，查看基于 SSO 的身份验证的输出：

   # curl -k -u : --negotiate https://satellite.example.com/users/extlogin

   这会返回以下响应：

   <html><body>You are being <a href="https://satellite.example.com/users/4-ldapuserexample-com/edit">redirected</a>.</body></html>

流程

1. 启用 HBAC：

   1. 创建一个外部组，并将 AD 组添加到其中。
   2. 将新的外部组添加到 POSIX 组。
   3. 在 HBAC 规则中使用 POSIX 组。

2. 配置 sssd 以传输 AD 用户的额外属性。

   • 将 AD 用户属性添加到 /etc/sssd/sssd.conf 中的 nss 和 domain 部分。例如：

     [nss]
     user_attributes=+mail, +sn, +givenname
     [domain/EXAMPLE.com]
     ...
     krb5_store_password_if_offline = True
     ldap_user_extra_attrs=email:mail, lastname:sn, firstname:givenname
     
     [ifp]
     allowed_uids = ipaapi, root
     user_attributes=+email, +firstname, +lastname

   • 验证 AD 属性值。

     # dbus-send --print-reply --system --dest=org.freedesktop.sssd.infopipe /org/freedesktop/sssd/infopipe org.freedesktop.sssd.infopipe.GetUserAttr string:ad-user@ad-domain array:string:email,firstname,lastname

1. 用户使用 Satellite Web UI 向 Satellite 进行身份验证。
2. 用户使用 Satellite CLI 向 Satellite 进行身份验证。

流程

1. 在 Satellite 服务器上安装以下软件包：

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install

2. 将 Satellite 注册到 Red Hat Single Sign-On 作为客户端。请注意，您使用 Web UI 和 CLI 登录的注册过程不同。您可以将两个客户端 Satellite 客户端注册到红帽单点登录，以便能够通过 Web UI 和 CLI 登录 Satellite。

   • 如果您希望用户使用 Web UI 向 Satellite 进行身份验证，请按如下所示创建客户端：

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     提示时输入管理帐户的密码。此命令在红帽单点登录中为 Satellite 创建客户端。

     然后，将 Satellite 配置为使用 Red Hat Single Sign-On 作为身份验证源：

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请创建客户端，如下所示：

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     提示时输入管理帐户的密码。此命令在红帽单点登录中为 Satellite 创建客户端。

3. 重启 httpd 服务：

   # systemctl restart httpd

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Clients 并点 Satellite 客户端。

2. 配置访问类型：

   • 如果您希望用户使用 Satellite Web UI 验证 Satellite，请从 Access Type 列表中选择 机密。
   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请从 Access Type 列表中选择 public。

3. 在 Valid redirect URI 字段中，添加有效的重定向 URI。

   • 如果您希望用户使用 Satellite Web UI 验证 Satellite，位于现有 URI 下的空白字段中，以 https://satellite.example.com/users/extlogin 格式输入 URI。请注意，您必须在 Satellite FQDN 后添加字符串 /users/extlogin。

     完成此步骤后，使用 Satellite Web UI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，在现有 URI 下的空白字段中，输入 urn:ietf:wg:oauth:2.0:oob。

     完成此步骤后，使用 CLI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. 点击 Save。
5. 点 Mappers 选项卡，点 Create 添加 audience mapper。
6. 在 Name 字段中输入 audience mapper 的名称。
7. 从 Mapper Type 列表中，选择 Audience。
8. 从 Included Client Audience 列表中，选择 Satellite 客户端。
9. 点击 Save。
10. 点 Create 添加组映射程序，以便您可以根据组成员资格在 Satellite 中指定授权。
11. 在 Name 字段中输入 group mapper 的名称。
12. 从 Mapper Type 列表中，选择 Group Membership。
13. 在 Token Claim Name 字段中输入 groups。
14. 将 Full group path 设置为 OFF。
15. 点击 Save。

流程

1. 要使用代码授权类型向 Satellite CLI 进行身份验证，请输入以下命令：

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   该命令会提示您输入成功代码。

2. 要检索成功代码，请导航到命令返回的 URL 并提供所需信息。
3. 复制 Web UI 返回的成功代码。
4. 在 hammer auth login oauth 命令提示符中，输入成功代码来向 Satellite CLI 进行身份验证。

流程

1. 在 Satellite Web UI 中，导航到 Administer > User Groups，然后点 Create User Group 按钮。
2. 在 Name 字段中输入用户组的名称。名称不应与 Active Directory 中相同。
3. 不要将用户和用户组添加到右侧列。点 Roles 选项卡。
4. 选中 Administer 复选框。
5. 点 External Groups 选项卡。
6. 单击 Add external user group。
7. 在 Name 字段中输入 Active Directory 组的名称。
8. 从列表中选择 EXTERNAL。

1. 用户使用 Satellite Web UI 向 Satellite 进行身份验证。
2. 用户使用 Satellite CLI 向 Satellite 进行身份验证。

流程

1. 在 Satellite 服务器上安装以下软件包：

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install

2. 将 Satellite 注册到 Red Hat Single Sign-On 作为客户端。请注意，您使用 Web UI 和 CLI 登录的注册过程不同。您可以将两个客户端 Satellite 客户端注册到红帽单点登录，以便能够通过 Web UI 和 CLI 登录 Satellite。

   • 如果您希望用户使用 Web UI 向 Satellite 进行身份验证，请按如下所示创建客户端：

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     提示时输入管理帐户的密码。此命令在红帽单点登录中为 Satellite 创建客户端。

     然后，将 Satellite 配置为使用 Red Hat Single Sign-On 作为身份验证源：

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请创建客户端，如下所示：

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     提示时输入管理帐户的密码。此命令在红帽单点登录中为 Satellite 创建客户端。

3. 重启 httpd 服务：

   # systemctl restart httpd

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Clients 并点 Satellite 客户端。

2. 配置访问类型：

   • 如果您希望用户使用 Satellite Web UI 验证 Satellite，请从 Access Type 列表中选择 机密。
   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，请从 Access Type 列表中选择 public。

3. 在 Valid redirect URI 字段中，添加有效的重定向 URI。

   • 如果您希望用户使用 Satellite Web UI 验证 Satellite，位于现有 URI 下的空白字段中，以 https://satellite.example.com/users/extlogin 格式输入 URI。请注意，您必须在 Satellite FQDN 后添加字符串 /users/extlogin。

     完成此步骤后，使用 Satellite Web UI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • 如果您希望用户使用 CLI 向 Satellite 进行身份验证，在现有 URI 下的空白字段中，输入 urn:ietf:wg:oauth:2.0:oob。

     完成此步骤后，使用 CLI 登录的 Satellite 客户端必须具有以下 Valid Redirect URI ：

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. 点击 Save。
5. 点 Mappers 选项卡，点 Create 添加 audience mapper。
6. 在 Name 字段中输入 audience mapper 的名称。
7. 从 Mapper Type 列表中，选择 Audience。
8. 从 Included Client Audience 列表中，选择 Satellite 客户端。
9. 点击 Save。
10. 点 Create 添加组映射程序，以便您可以根据组成员资格在 Satellite 中指定授权。
11. 在 Name 字段中输入 group mapper 的名称。
12. 从 Mapper Type 列表中，选择 Group Membership。
13. 在 Token Claim Name 字段中输入 groups。
14. 将 Full group path 设置为 OFF。
15. 点击 Save。

流程

1. 在 Red Hat Single Sign-On Web UI 中，导航到 Satellite 域。
2. 导航到 Authentication，然后单击 OTP Policy 选项卡。
3. 确保 支持的 Applications 字段包含 FreeOTP 或 Google Authenticator。
4. 配置 OTP 设置以满足您的要求。
5. 可选：如果要将 TOTP 身份验证用作所有用户的默认身份验证方法，请点 Flows 选项卡，并在 OTP Form 设置右侧选择 REQUIRED。
6. 点 Required Actions 选项卡。
7. 在 Configure OTP 行右侧，选中 Default Action 复选框。

流程

1. 登录到 Satellite，Satellite 会重定向到 Red Hat Single Sign-On 登录屏幕。
2. 输入您的用户名和密码，然后单击 Log In。
3. 第一次尝试登录，Red Hat Single Sign-On 请求通过扫描 barcode 并输入 pin 来配置客户端。
4. 配置客户端并输入有效的 PIN 后，Red Hat Single Sign-On 会将您重定向到 Satellite 并登录。

流程

1. 要使用代码授权类型向 Satellite CLI 进行身份验证，请输入以下命令：

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   该命令会提示您输入成功代码。

2. 要检索成功代码，请导航到命令返回的 URL 并提供所需信息。
3. 复制 Web UI 返回的成功代码。
4. 在 hammer auth login oauth 命令提示符中，输入成功代码来向 Satellite CLI 进行身份验证。

流程

1. 在 Satellite Web UI 中，导航到 Administer > User Groups，然后点 Create User Group 按钮。
2. 在 Name 字段中输入用户组的名称。名称不应与 Active Directory 中相同。
3. 不要将用户和用户组添加到右侧列。点 Roles 选项卡。
4. 选中 Administer 复选框。
5. 点 External Groups 选项卡。
6. 单击 Add external user group。
7. 在 Name 字段中输入 Active Directory 组的名称。
8. 从列表中选择 EXTERNAL。

要调整超时设置：

1. 在 Satellite Web UI 中，导航到 Administer > Settings。
2. 在搜索框中输入 %_timeout，然后点 搜索。搜索应返回四个设置，包括描述。
3. 在 Value 列中，点数字旁边的图标编辑它。
4. 输入所需值（以秒为单位），然后单击 Save。

禁用检查服务：

1. 在 Satellite Web UI 中，导航到 Administer > Settings。
2. 在搜索框中输入 check_services_before_actions，然后点 Search。
3. 在 Value 列中，点图标编辑值。
4. 从下拉菜单中选择 false。
5. 点击 Save。