在连接的网络环境中安装 Satellite 服务器

Red Hat Satellite 6.11

安装在连接到互联网的网络中部署的 Red Hat Satellite 服务器

Red Hat Satellite Documentation Team

摘要

本指南论述了如何从连接的网络安装 Red Hat Satellite,执行初始配置和配置外部服务。

向红帽文档提供反馈

我们感谢您对文档提供反馈信息。请让我们了解如何改进文档。

您可以通过在 Bugzilla 中记录一个 ticket 来提交反馈:

  1. 导航到 Bugzilla 网站。
  2. Component 字段中,使用 Documentation
  3. Description 字段中,输入您要改进的建议。包括文档相关部分的链接。
  4. Submit Bug

第 1 章 为安装准备您的环境

在安装 Satellite 前,请确保您的环境满足以下要求:

1.1. 系统要求

以下要求适用于网络的基本操作系统:

  • x86_64 架构
  • Red Hat Enterprise Linux 8 或 Red Hat Enterprise Linux 7 服务器的最新版本
  • 至少 4 核 2.0 IANA CPU
  • Satellite 服务器正常工作至少需要 20 GB RAM。另外,还推荐最少使用 4 GB 的 swap 空间。与最小值小的 RAM 运行 Satellite 可能无法正常工作。
  • 唯一的主机名,可以包含小写字母、数字、点(.)和连字符(-)
  • 当前 Red Hat Satellite 订阅
  • 管理用户(root)访问
  • 系统 umask 为 0022
  • 使用完全限定域名的全正向和反向 DNS 解析

Satellite 只支持 UTF-8 编码。如果您的要求是美国并且您的语言为英语,请将 en_US.utf-8 设置为系统范围的区域设置。有关在 Red Hat Enterprise Linux 中配置系统区域设置的更多信息,请参阅配置系统区域设置指南

您的 Satellite 必须在您的客户门户网站中有 Red Hat Satellite Infrastructure Subscription 清单。Satellite 必须启用并同步 satellite-capsule-6.x 存储库。要在客户门户网站中创建、管理和导出红帽订阅清单,请参阅在 Subscription Central 中为连接的 Satellite 服务器创建和管理清单

Satellite 服务器和 Capsule 服务器不支持主机名中的短名称。在使用自定义证书时,自定义证书的通用名称(CN)必须是完全限定域名(FQDN),而不是短名称。这不适用于 Satellite 的客户端。

在安装 Satellite 服务器前,请确保您的环境满足安装要求。

除了运行 Satellite 服务器外,必须在不是运行 Satellite 服务器外提供任何功能的新调配系统上安装 Satellite 服务器。新置备的系统不得有外部身份提供程序提供的以下用户,以避免与 Satellite 服务器创建的本地用户冲突:

  • Apache
  • foreman
  • foreman-proxy
  • postgres
  • Pulp
  • puppet
  • qdrouterd
  • qpidd
  • redis
  • tomcat

认证的虚拟机监控程序

在支持运行 Red Hat Enterprise Linux 的虚拟机监控程序上运行的物理系统和虚拟机上完全支持 Satellite 服务器。有关认证虚拟机监控程序的更多信息,请参阅 Red Hat OpenStack Platform、Red Hat Virtualization、Red Hat OpenShift Virtualization 和带有 KVM 的 Red Hat Enterprise Linux 中的认证的客户机操作系统

SELinux Mode

必须启用 SELinux,可以是 enforcing 模式或 permissive 模式。不支持使用禁用 SELinux 的安装。

FIPS 模式

您可以在以 FIPS 模式运行的 Red Hat Enterprise Linux 系统上安装 Satellite。安装 Satellite 后您无法启用 FIPS 模式。如需更多信息,请参阅 Red Hat Enterprise Linux 安全强化指南 中的 安装启用了 FIPS 模式的 RHEL 8 系统。有关在 Red Hat Enterprise Linux 7 系统中 FIPS 的详情,请参考 Red Hat Enterprise Linux 安全指南 中的 启用 FIPS 模式

注意

Satellite 支持 DEFAULT 和 FIPS 加密策略。FUTURE 加密策略不支持 Satellite 和 Capsule 安装 。

Satellite 同步(ISS)

在具有 air-gapped Satellite 服务器的场景中,所有 Satellite 服务器都必须位于同一 Satellite 版本,才能使 ISS 导出同步正常工作。ISS 网络同步在所有支持它的 Satellite 版本间工作。如需更多信息,请参阅 管理内容 中的 在 Satellite 服务器间同步 内容

1.2. 存储要求

下表详细介绍了特定目录的存储要求。这些值基于预期的用例,并根据单个环境而有所不同。

运行时大小通过 Red Hat Enterprise Linux 6、7 和 8 软件仓库同步。

1.2.1. Red Hat Enterprise Linux 8

表 1.1. Satellite 服务器安装的存储要求

目录安装大小运行时大小

/var/log

10 MB

10 GB

/var/lib/pgsql

100 MB

20 GB

/usr

5 GB

不适用

/opt/puppetlabs

500 MB

不适用

/var/lib/pulp

1 MB

300 GB

/var/lib/qpidd

25 MB

请参阅存储指南

对于外部数据库服务器: /var/lib/pgsql,安装大小为 100 MB,运行时大小为 20 GB。

有关分区和大小的详情,请参考 Red Hat Enterprise Linux 8 分区指南

1.2.2. Red Hat Enterprise Linux 7

表 1.2. Satellite 服务器安装的存储要求

目录安装大小运行时大小

/var/log

10 MB

10 GB

/var/opt/rh/rh-postgresql12

100 MB

20 GB

/usr

3 GB

不适用

/opt

3 GB

不适用

/opt/puppetlabs

500 MB

不适用

/var/lib/pulp

1 MB

300 GB

/var/lib/qpidd

25 MB

请参阅存储指南

对于外部数据库服务器: /var/lib/pgsql,安装大小为 100 MB,运行时大小为 20 GB。

1.3. 存储指南

安装 Satellite 服务器以提高效率时,请考虑以下准则:

  • 如果将 /tmp 目录挂载为单独的文件系统,则必须在 /etc/fstab 文件中使用 exec 挂载选项。如果 /tmp 已使用 noexec 选项挂载,您必须将选项改为 exec 并重新挂载文件系统。这是 puppetserver 服务正常工作的要求。
  • 因为大多数 Satellite 服务器数据存储在 /var 目录中,所以在 LVM 存储中挂载 /var 可以帮助系统扩展。
  • /var/lib/qpidd/ 目录在每个由 goferd 服务管理的内容主机使用大约 2 MB 以上。例如,10 000 内容主机需要 /var/lib/qpidd/ 中的 20 GB 磁盘空间。
  • /var/lib/pulp/ 目录使用高带宽、低延迟存储。由于 Red Hat Satellite 具有许多 I/O 密集型操作,因此使用高延迟,低带宽存储会导致性能下降。确保您的安装速度在每秒 60 – 80 MB。

您可以使用 storage-benchmark 脚本获取这些数据。有关使用 storage-benchmark 脚本的更多信息,请参阅 Satellite 操作的影响

文件系统指南

  • 不要使用 GFS2 文件系统,因为输入输出延迟太高。

日志文件存储

日志文件被写入 /var/log/messages//var/log/httpd//var/lib/foreman-proxy/openscap/content/。您可以使用 logrotate 管理这些文件的大小。如需更多信息,请参阅 Red Hat Enterprise Linux 7 系统管理员指南中的日志轮转

日志消息所需的存储量取决于您的安装和设置。

NFS 挂载的 SELinux 注意事项

当使用 NFS 共享挂载 /var/lib/pulp 目录时,SELinux 会阻止同步过程。要避免这种情况,请在文件系统表中指定 /var/lib/pulp 目录的 SELinux 上下文,方法是在 /etc/fstab 中添加以下行:

nfs.example.com:/nfsshare  /var/lib/pulp  nfs  context="system_u:object_r:var_lib_t:s0"  1 2

如果已经挂载了 NFS 共享,请使用上述配置重新挂载它,并输入以下命令:

# restorecon -R /var/lib/pulp

重复的软件包

不同存储库中重复的软件包仅存储一次在磁盘上。包含重复软件包的额外软件仓库需要较少的额外存储。存储批量位于 /var/lib/pulp/ 目录中。这些端点不可手动配置。确保存储在 /var 文件系统中可用,以防止存储问题。

Software Collections

软件集合安装在 /opt/rh//opt/theforeman/ 目录中。

在安装到 /opt 目录时,需要 root 用户写入和执行权限。

符号链接

您不能将符号链接用于 /var/lib/pulp/

同步 RHEL ISO

如果您计划将 RHEL 内容 ISO 与 Satellite 同步,请注意所有 Red Hat Enterprise Linux 次要版本也同步。您必须计划在 Satellite 上有足够的存储来管理此功能。

1.4. 支持的操作系统

您可以从红帽支持的磁盘、本地 ISO 镜像、Kickstart 或者任何其他方法安装操作系统。Red Hat Satellite Server 在 Red Hat Enterprise Linux 8 的最新版本上被支持,并在安装 Satellite 服务器时提供 Red Hat Enterprise Linux 7 服务器。不支持 Red Hat Enterprise Linux 的早期版本,包括 EUS 或 z-stream。

安装程序支持以下操作系统,有软件包,并已测试用于部署 Satellite:

表 1.3. satellite-installer 支持的操作系统

操作系统

架构

备注

Red Hat Enterprise Linux 8

仅 x86_64

 

Red Hat Enterprise Linux 7

仅 x86_64

 

在安装 Satellite 之前,请尽可能应用所有操作系统更新。

Red Hat Satellite Server 需要带有 @Base 软件包组的 Red Hat Enterprise Linux 安装,没有其他软件包组修改,无需直接对服务器直接操作不需要第三方配置或软件。这个限制包括强化和其他非红帽安全软件。如果您的基础架构中需要此类软件,请先安装并验证完整的 Satellite 服务器,然后在添加任何非红帽软件前创建系统的备份。

在全新调配的系统上安装 Satellite 服务器。

红帽不支持将系统用于运行 Satellite 服务器以外的任何内容。

1.5. 支持的浏览器

Satellite 支持最新版本的 Firefox 和 Google Chrome 浏览器。

Satellite Web UI 和命令行界面支持英语、意大利语、简体中文、韩语、日语、意大利语、西班牙语、俄语、法语、法语和西班牙语。

1.6. 端口和防火墙要求

对于 Satellite 架构的组件进行通信,请确保在基础操作系统上打开所需的网络端口并空闲。您还必须确保在任何基于网络的防火墙上打开所需的网络端口。

使用此信息来配置任何基于网络的防火墙。请注意,有些虚拟化解决方案必须特别配置为允许机器之间的通信,因为它们与基于网络的防火墙类似。如果您使用基于应用程序的防火墙,请确保基于应用程序的防火墙允许表中列出的所有应用程序,并在防火墙中知道。如果可能,禁用应用程序检查并允许根据协议打开端口通信。

集成的 Capsule

Satellite 服务器具有集成的 Capsule,并且任何直接连接到 Satellite 的主机都是本节上下文中 Satellite 的客户端。这包括在其上运行胶囊式服务器的基本操作系统。

Capsule 的客户端

是 Satellite 集成胶囊之外的 Capsule 客户端的主机不需要访问 Satellite 服务器。有关 Satellite 拓扑和端口连接的更多信息,请参阅规划 Red Hat Satellite 中的 Capsule 网络

所需的端口可以根据您的配置而改变。

下表表示目标端口和网络流量方向:

表 1.4. Satellite 服务器传入的流量

目的地端口

协议

服务

需要强制

描述

53

TCP 和 UDP

DNS

DNS 服务器和客户端

名称解析

DNS (可选)

67

UDP

DHCP

客户端

动态 IP

DHCP (可选)

69

UDP

TFTP

客户端

TFTP Server (可选)

 

443

TCP

HTTPS

Capsule

Red Hat Satellite API

来自 Capsule 的通信

443, 80

TCP

HTTPS, HTTP

客户端

内容检索

内容

443, 80

TCP

HTTPS, HTTP

Capsule

内容检索

内容

443, 80

TCP

HTTPS, HTTP

客户端

内容主机注册

Capsule CA RPM 安装

443

TCP

HTTPS

客户端

内容主机注册

启动

上传事实

发送安装的软件包和追踪

443

TCP

HTTPS

Red Hat Satellite

内容镜像

管理

443

TCP

HTTPS

Red Hat Satellite

Capsule API

智能卡功能

5646

TCP

AMQP

Capsule

Katello 代理

将消息转发到 Satellite 上的 Qpid 分配路由器(可选)

5910 – 5930

TCP

HTTPS

浏览器

计算资源的虚拟控制台

 

8000

TCP

HTTP

客户端

置备模板

客户端安装程序、iPXE 或 UEFI HTTP 引导的模板检索

8000

TCP

HTTPS

客户端

PXE 引导

安装

8140

TCP

HTTPS

客户端

Puppet 代理

客户端连接(可选)

9090

TCP

HTTPS

客户端

OpenSCAP

配置客户端

9090

TCP

HTTPS

发现的节点

Discovery(发现)

主机发现和置备

9090

TCP

HTTPS

Red Hat Satellite

Capsule API

Capsule 功能

在此上下文中,任何直接连接到 Satellite 服务器的受管主机都是客户端,因为它是集成胶囊的客户端。这包括在其上运行 Capsule 服务器的基本操作系统。

DHCP Capsule 执行 ICMP ping 或 TCP 回显连接尝试到设置了 DHCP IPAM 的子网中的主机,以查找是否被视为使用的 IP 地址是空闲的。可以使用 satellite-installer --foreman-proxy-dhcp-ping-free-ip=false 关闭此行为。

注意

有些传出流量返回到 Satellite,以启用内部通信和安全操作。

表 1.5. Satellite 服务器传出流量

目的地端口协议服务目的地需要强制描述
 

ICMP

ping

客户端

DHCP

可用 IP 检查(可选)

7

TCP

echo

客户端

DHCP

可用 IP 检查(可选)

22

TCP

SSH

目标主机

远程执行

运行作业

22, 16514

TCP

SSH SSH/TLS

计算资源

Satellite 源自通信,用于 libvirt 中的计算资源

 

53

TCP 和 UDP

DNS

Internet 上的 DNS 服务器

DNS 服务器

解析 DNS 记录(可选)

53

TCP 和 UDP

DNS

DNS 服务器

Capsule DNS

DNS 冲突验证(可选)

53

TCP 和 UDP

DNS

DNS 服务器

编配

DNS 冲突验证

68

UDP

DHCP

客户端

动态 IP

DHCP (可选)

80

TCP

HTTP

远程存储库

内容同步

远程 yum 存储库

389, 636

TCP

LDAP, LDAPS

外部 LDAP 服务器

LDAP

LDAP 身份验证,只有在启用了外部身份验证时才需要。定义 LDAPAuthSource 时可以自定义端口

443

TCP

HTTPS

Satellite

Capsule

Capsule

配置管理

模板检索

OpenSCAP

远程执行结果上传

443

TCP

HTTPS

Amazon EC2, Azure, Google GCE

计算资源

虚拟机交互(查询/创建/销毁)(可选)

443

TCP

HTTPS

console.redhat.com

Red Hat Cloud plugin API 调用

 

443

TCP

HTTPS

cdn.redhat.com

内容同步

Red Hat CDN

443

TCP

HTTPS

api.access.redhat.com

SOS 报告

通过红帽客户门户网站 提供支持问题单(可选)

443

TCP

HTTPS

cert-api.access.redhat.com

Telemetry 数据上传和报告

 

443

TCP

HTTPS

Capsule

内容镜像

启动

443

TCP

HTTPS

Infoblox DHCP 服务器

DHCP 管理

当将 Infoblox 用于 DHCP 时,管理 DHCP 租期(可选)

623

  

客户端

电源管理

BMC On/Off/Cycle/Status

5000

TCP

HTTPS

OpenStack Compute 资源

计算资源

虚拟机交互(查询/创建/销毁)(可选)

5646

TCP

AMQP

Satellite Server

Katello 代理

将消息转发到 Capsule 上的 Qpid 分配路由器(可选)

5671

  

qpid

远程安装

向客户端发送 install 命令

5671

  

分配路由器(hub)

远程安装

转发消息以在 Satellite 上分配路由器

5671

  

Satellite Server

Katello 代理的远程安装

向客户端发送 install 命令

5671

  

Satellite Server

Katello 代理的远程安装

转发消息以在 Satellite 上分配路由器

5900 – 5930

TCP

SSL/TLS

虚拟机监控程序

noVNC 控制台

启动 noVNC 控制台

7911

TCP

DHCP, OMAPI

DHCP Server

DHCP

DHCP 目标使用 --foreman-proxy-dhcp-server 配置,默认为 localhost

ISC 和 remote_isc 使用一个可配置的端口,默认为 7911,并使用 OMAPI

8443

TCP

HTTPS

客户端

Discovery(发现)

Capsule 将 reboot 命令发送到发现的主机(可选)

9090

TCP

HTTPS

Capsule

Capsule API

管理 Capsule

1.7. 启用从客户端到 Satellite 服务器的连接

作为 Satellite 服务器内部 Capsule 客户端的客户端的 Capsule 和 Content 主机需要通过基于 Satellite 主机的防火墙和任何基于网络的防火墙进行访问。

使用这个流程在安装 Satellite 的系统中配置基于主机的防火墙,以启用来自客户端的进入连接,并使配置在系统重启后保留。有关使用的端口的更多信息 ,请参阅 端口和防火墙要求

流程

  1. 要为客户端打开端口到 Satellite 通信,请在您要在其上安装 Satellite 的基本操作系统中输入以下命令:

    # firewall-cmd \
    --add-port="53/udp" --add-port="53/tcp" \
    --add-port="67/udp" \
    --add-port="69/udp" \
    --add-port="80/tcp" --add-port="443/tcp" \
    --add-port="5647/tcp" \
    --add-port="8000/tcp" --add-port="9090/tcp" \
    --add-port="8140/tcp"
  2. 使更改持久:

    # firewall-cmd --runtime-to-permanent

验证

  • 输入以下命令:

    # firewall-cmd --list-all

如需更多信息,请参阅 Red Hat Enterprise Linux 8 安全指南 中的 使用和配置 firewalld,以及 Red Hat Enterprise Linux 7 安全指南 中的 firewalld 入门

1.8. 验证 DNS 解析

使用完全限定域名验证完整的正向和反向 DNS 解析,以防止在安装 Satellite 时出现问题。

流程

  1. 确保主机名和本地主机正确解析:

    # ping -c1 localhost
    # ping -c1 `hostname -f` # my_system.domain.com

    成功名称解析结果类似如下:

    # ping -c1 localhost
    PING localhost (127.0.0.1) 56(84) bytes of data.
    64 bytes from localhost (127.0.0.1): icmp_seq=1 ttl=64 time=0.043 ms
    
    --- localhost ping statistics ---
    1 packets transmitted, 1 received, 0% packet loss, time 0ms
    rtt min/avg/max/mdev = 0.043/0.043/0.043/0.000 ms
    
    # ping -c1 `hostname -f`
    PING hostname.gateway (XX.XX.XX.XX) 56(84) bytes of data.
    64 bytes from hostname.gateway (XX.XX.XX.XX): icmp_seq=1 ttl=64 time=0.019 ms
    
    --- localhost.gateway ping statistics ---
    1 packets transmitted, 1 received, 0% packet loss, time 0ms
    rtt min/avg/max/mdev = 0.019/0.019/0.019/0.000 ms
  2. 为了避免使用静态和临时主机名差异,请输入以下命令在系统中设置所有主机名:

    # hostnamectl set-hostname name

如需更多信息,请参阅 Red Hat Enterprise Linux 7 网络指南中的 使用 hostnamectl 配置主机名

警告

名称解析对于 Satellite 操作至关重要。如果 Satellite 无法正确解析其完全限定域名,则内容管理、订阅管理和置备等任务将失败。

第 2 章 在 IPv6 网络中为 Satellite 安装准备您的环境

您可以在 IPv6 网络中安装和使用 Satellite。在 IPv6 网络中安装 Satellite 之前,请查看限制并确保您满足要求。

要在安装 Satellite 后置备 IPv6 网络中的主机,还必须为 UEFI HTTP 引导置备配置 Satellite。更多信息请参阅 第 4.5 节 “在 IPv6 网络中为 UEFI HTTP 引导置备配置 Satellite”

2.1. IPv6 网络中 Satellite 安装的限制

IPv6 网络中 Satellite 安装有以下限制:

  • 您可以在 IPv6 系统中安装 Satellite 和 Capsule,不支持双栈安装。
  • 虽然 Satellite 置备模板包括对 PXE 和 HTTP (iPXE)置备的 IPv6 支持,但唯一经过测试和验证的调配工作流是 UEFI HTTP 引导配置。这个限制仅与计划使用 Satellite 调配主机的用户相关。

2.2. 在 IPv6 网络中安装 Satellite 的要求

在 IPv6 网络中安装 Satellite 前,请确保您满足以下要求:

  • 如果您计划从 Satellite 或 Capsule 置备主机,您必须在 Red Hat Enterprise Linux 版本 7.9 或更高版本上安装 Satellite 和 Capsule,因为这些版本包括 grub2 软件包的最新版本。
  • 您必须将外部 DHCP IPv6 服务器部署为单独的非受管服务,将客户端引导到 GRUB2 中,然后使用 DHCPv6 或分配静态 IPv6 地址来配置 IPv6 网络。这是必要的,因为 Red Hat Enterprise Linux (ISC DHCP)中的 DHCP 服务器不提供用于管理 IPv6 记录的集成 API,因此提供 DHCP 管理的 Capsule DHCP 插件仅限于 IPv4 子网。
  • 您必须部署外部 IPv4 HTTP 代理服务器。这是必要的,因为红帽内容交付网络只通过 IPv4 网络分发内容,因此您必须使用此代理将内容拉取到 IPv6 网络上的 Satellite 中。
  • 您必须将 Satellite 配置为使用此 IPv4 HTTP 代理服务器作为默认代理。如需更多信息,请参阅 向 Satellite 添加默认 HTTP 代理

第 3 章 安装 Satellite 服务器

从连接的网络安装 Satellite 服务器时,您可以从 Red Hat Content Delivery Network 获取软件包并直接接收更新。

注意

您不能将 Satellite 服务器注册到自己。

使用以下步骤安装 Satellite 服务器、执行初始配置和导入订阅清单。如需有关订阅清单的更多信息 ,请参阅 内容管理指南中的管理 红帽订阅

请注意,Satellite 安装脚本基于 Puppet,这意味着如果您多次运行安装脚本,则可能会覆盖任何手动配置更改。要避免这种情况,并确定以后应用的更改,在运行安装脚本时使用 --noop 参数。此参数确保不进行实际更改。潜在的更改被写入 /var/log/foreman-installer/satellite.log

文件总是被备份,以便您可以恢复任何不需要的更改。例如,在 foreman-installer 日志中,您可以看到类似如下的条目:

/Stage[main]/Dhcp/File[/etc/dhcp/dhcpd.conf]: Filebucketed /etc/dhcp/dhcpd.conf to puppet with sum 622d9820b8e764ab124367c68f5fa3a1

您可以按如下方式恢复上一个文件:

# puppet filebucket -l \
restore /etc/dhcp/dhcpd.conf 622d9820b8e764ab124367c68f5fa3a1

3.1. 将 HTTP 代理配置为连接到 Red Hat CDN

先决条件

您的网络网关和 HTTP 代理必须允许访问以下主机:

主机名端口协议

subscription.rhsm.redhat.com

443

HTTPS

cdn.redhat.com

443

HTTPS

*.akamaiedge.net

443

HTTPS

cert.console.redhat.com (如果使用 Red Hat Insights)

443

HTTPS

api.access.redhat.com (如果使用 Red Hat Insights)

443

HTTPS

cert-api.access.redhat.com (如果使用 Red Hat Insights)

443

HTTPS

Satellite 服务器使用 SSL 安全地与红帽 CDN 通信。使用 SSL 拦截器代理会干扰这个通信。这些主机必须在代理中列入白名单。

有关 Red Hat CDN (cdn.redhat.com)使用的 IP 地址列表,请参阅红帽客户门户网站中的 公共 CIDR 列表

要使用 HTTP 代理配置 subscription-manager,请按照以下步骤操作。

流程

  1. 在 Satellite 服务器上,在 /etc/rhsm/rhsm.conf 文件中完成以下详情:

    # an http proxy server to use (enter server FQDN)
    proxy_hostname = myproxy.example.com
    
    # port for http proxy server
    proxy_port = 8080
    
    # user name for authenticating to an http proxy, if needed
    proxy_user =
    
    # password for basic http proxy auth, if needed
    proxy_password =

3.2. 注册红帽订阅管理

将主机注册到红帽订阅管理可让主机订阅并消耗用户可用的任何订阅的内容。这包括 Red Hat Enterprise Linux 和 Red Hat Satellite 等内容。对于 Red Hat Enterprise Linux 7,它还提供对 Red Hat Software Collections (RHSCL)的访问。

流程

  • 在 Red Hat Content Delivery Network 中注册您的系统,在提示时输入您的客户门户网站用户名和密码:

    # subscription-manager register

    该命令显示类似如下的输出:

    # subscription-manager register
    Username: user_name
    Password:
    The system has been registered with ID: 541084ff2-44cab-4eb1-9fa1-7683431bcf9a

3.3. 附加 Satellite 基础架构订阅

注意

如果您在红帽客户门户网站上启用了 SCA,请跳过这一步。不需要使用 subscription-manager 将 Red Hat Satellite Infrastructure 订阅附加到 Satellite Server。有关 SCA 的更多信息,请参阅简单内容访问

注册 Satellite 服务器后,您必须识别您的订阅池 ID 并附加可用的订阅。Red Hat Satellite Infrastructure 订阅提供对 Red Hat Satellite 和 Red Hat Enterprise Linux 内容的访问。对于 Red Hat Enterprise Linux 7,它还提供对 Red Hat Software Collections (RHSCL)的访问。这是唯一需要的订阅。

Red Hat Satellite Infrastructure 包含在所有包括 Satellite 的订阅(以前称为 智能管理)。如需更多信息,请参阅红帽知识库中的 Satellite 基础架构订阅 MCT3718 MCT3719

如果订阅还没有附加到系统,则会将其归类为 available。如果您无法找到可用的 Satellite 订阅,请查看红帽知识库解决方案 如何找出在 Red Hat Subscription Manager 下注册的客户端使用了哪个订阅? 运行脚本以查看另一个系统是否消耗了您的订阅。

流程

  1. 确定 Satellite 基础架构订阅的池 ID:

    # subscription-manager list --all --available --matches 'Red Hat Satellite Infrastructure Subscription'

    该命令显示类似如下的输出:

    Subscription Name:   Red Hat Satellite Infrastructure Subscription
    Provides:            Red Hat Satellite
                          Red Hat Software Collections (for RHEL Server)
                          Red Hat CodeReady Linux Builder for x86_64
                          Red Hat Ansible Engine
                          Red Hat Enterprise Linux Load Balancer (for RHEL Server)
                          Red Hat
                          Red Hat Software Collections (for RHEL Server)
                          Red Hat Enterprise Linux Server
                          Red Hat Satellite Capsule
                          Red Hat Enterprise Linux for x86_64
                          Red Hat Enterprise Linux High Availability for x86_64
                          Red Hat Satellite
                          Red Hat Satellite 5 Managed DB
                          Red Hat Satellite 6
                          Red Hat Discovery
    SKU:                 MCT3719
    Contract:            11878983
    Pool ID:             8a85f99968b92c3701694ee998cf03b8
    Provides Management: No
    Available:           1
    Suggested:           1
    Service Level:       Premium
    Service Type:        L1-L3
    Subscription Type:   Standard
    Ends:                03/04/2020
    System Type:         Physical
  2. 记录订阅池 ID。您的订阅池 ID 与提供的示例不同。
  3. 将 Satellite 基础架构订阅连接到您的 Satellite Server 在其上运行的基本操作系统中。如果 Satellite 服务器上启用了 SCA,您可以跳过此步骤:

    # subscription-manager attach --pool=pool_id

    该命令显示类似如下的输出:

    Successfully attached a subscription for: Red Hat Satellite Infrastructure Subscription
  4. 可选:验证 Satellite Infrastructure 订阅是否已附加:

    # subscription-manager list --consumed

3.4. 配置软件仓库

使用这个流程启用安装 Satellite 服务器所需的软件仓库。从您要安装的操作系统和版本列表中选择:

3.4.1. Red Hat Enterprise Linux 8

  1. 禁用所有软件仓库:

    # subscription-manager repos --disable "*"
  2. 启用以下软件仓库:

    # subscription-manager repos --enable=rhel-8-for-x86_64-baseos-rpms \
    --enable=rhel-8-for-x86_64-appstream-rpms \
    --enable=satellite-6.11-for-rhel-8-x86_64-rpms \
    --enable=satellite-maintenance-6.11-for-rhel-8-x86_64-rpms
  3. 启用模块:

    # dnf module enable satellite:el8
    注意

    启用模块 satellite:el8 会警告与 postgresql:10ruby:2.5 冲突,因为这些模块被设置为 Red Hat Enterprise Linux 8 上的默认模块版本。模块 satellite:el8 依赖于模块 postgresql:12ruby:2.7,该模块将使用 satellite:el8 模块启用。这些警告不会导致安装过程失败,因此可以安全地忽略。有关 Red Hat Enterprise Linux 8 中的模块和生命周期流的更多信息,请参阅 Red Hat Enterprise Linux Application Streams 生命周期

3.4.2. Red Hat Enterprise Linux 7

  1. 禁用所有软件仓库:

    # subscription-manager repos --disable "*"
  2. 启用以下软件仓库:

    # subscription-manager repos --enable=rhel-7-server-rpms \
    --enable=rhel-server-rhscl-7-rpms \
    --enable=rhel-7-server-ansible-2.9-rpms \
    --enable=rhel-7-server-satellite-6.11-rpms \
    --enable=rhel-7-server-satellite-maintenance-6.11-rpms
注意

如果要将 Satellite 服务器安装为托管在 Red Hat Virtualization 上的虚拟机,还必须启用 Red Hat Common 软件仓库,并安装 Red Hat Virtualization 客户机代理和驱动程序。如需更多信息,请参阅 虚拟机管理指南 中的 在 Red Hat Enterprise Linux 上安装客户机代理和驱动程序

3.5. 安装 Satellite 服务器软件包

3.5.1. Red Hat Enterprise Linux 8

流程

  1. 更新所有软件包:

    # dnf update
  2. 安装 Satellite 服务器软件包:

    # dnf install satellite

3.5.2. Red Hat Enterprise Linux 7

  1. 更新所有软件包:

    # yum update
  2. 安装 Satellite 服务器软件包:

    # yum install satellite

3.6. 使用 chronyd 同步系统时钟

要最大程度降低时间偏移的影响,您必须在要在其上使用网络时间协议(NTP)服务器安装 Satellite 服务器的基本操作系统上同步系统时钟。如果正确配置了基础操作系统时钟,证书验证可能会失败。

有关 chrony 套件的更多信息,请参阅 Red Hat Enterprise Linux 8 配置基本系统设置 中的 使用 Chrony 套件配置 NTP,以及 Red Hat Enterprise Linux 7 系统管理员指南中的 使用 chrony 套件配置 NTP。

流程

  1. 安装 chrony 软件包:

    # yum install chrony
  2. 启动并启用 chronyd 服务:

    # systemctl start chronyd
    # systemctl enable chronyd

3.7. 在基本操作系统中安装 SOS 软件包

在基本操作系统上安装 sos 软件包,以便您可以从 Red Hat Enterprise Linux 系统收集配置和诊断信息。您还可以使用它来提供初始系统分析,这是通过红帽技术支持打开服务请求时所需的。有关使用 sos 的更多信息,请参阅知识库文章 什么是 sosreport 以及如何在 Red Hat Enterprise Linux 4.6 及之后的版本中创建?

流程

  1. 安装 sos 软件包:

    # yum install sos

3.8. 配置 Satellite 服务器

使用 satellite-installer 安装脚本安装 Satellite 服务器。

此方法通过使用一个或多个命令选项运行安装脚本来实现。命令选项覆盖对应的默认初始配置选项,并在 Satellite 回答文件中记录。您可以根据需要运行脚本来配置任何必要选项。

注意

根据您在运行 Satellite 安装程序时使用的选项,配置可能需要几分钟才能完成。

3.8.1. 配置 Satellite 安装

此初始配置过程创建机构、位置、用户名和密码。在初始配置后,您可以根据需要创建额外的机构和位置。初始配置还会在同一服务器上安装 PostgreSQL 数据库。

安装过程可能需要十分钟才能完成。如果您要远程连接到系统,请使用 tmux 等工具,允许暂停和重新附加通信会话,以便在与远程系统断开连接时检查安装进度。如果您丢失了到运行安装命令的 shell 的连接,请参阅 /var/log/foreman-installer/satellite.log 的日志以确定进程是否已成功完成。

注意事项

  • 使用 satellite-installer --scenario satellite --help 命令显示可用选项和任何默认值。如果没有指定任何值,则使用默认值。
  • 为选项指定一个有意义的值 :--foreman-initial-organization。这可以是您的公司名称。还会创建与值匹配的内部标签,之后无法更改。如果没有指定值,则会创建一个名为 Default Organization 的组织,其标签为 Default_Organization。您可以重命名机构名称,但不能重命名标签。
  • 远程执行是管理内容主机上软件包的主要方法。如果要使用已弃用的 Katello Agent 而不是 Remote Execution SSH,请使用 --foreman-proxy-content-enable-katello-agent=true 选项启用它。同一选项应当在任何 Capsule 服务器上和 Satellite 服务器上指定。
  • 默认情况下,安装程序配置的所有配置文件都由 Puppet 管理。在 satellite-installer 运行时,它会使用初始值覆盖对 Puppet 管理文件的任何更改。默认情况下,Satellite 服务器与作为服务运行的 Puppet 代理一起安装。如果需要,您可以使用 --puppet-runmode=none 选项在 Satellite 服务器上禁用 Puppet 代理。
  • 如果要手动管理 DNS 文件和 DHCP 文件,请使用 --foreman-proxy-dns-managed=false--foreman-proxy-dhcp-managed=false 选项,以便 Puppet 不管理与对应服务相关的文件。有关如何在其他服务中应用自定义配置的更多信息,请参阅将自定义 配置应用到 Satellite

流程

  1. 输入以下命令以及您要使用的任何其他选项:

    # satellite-installer --scenario satellite \
    --foreman-initial-organization "My_Organization" \
    --foreman-initial-location "My_Location" \
    --foreman-initial-admin-username admin_user_name \
    --foreman-initial-admin-password admin_password

    该脚本显示其进度,并将日志写入 /var/log/foreman-installer/satellite.log

3.9. 将 Red Hat Subscription 清单导入到 Satellite 服务器中

使用以下步骤将红帽订阅清单导入到 Satellite 服务器中。

先决条件

  • 您必须有从客户门户网站导出的红帽订阅清单文件。如需更多信息,请参阅 使用红帽订阅管理 中的创建和管理 清单。

流程

  1. 在 Satellite Web UI 中,确保将上下文设置为您要使用的组织。
  2. 在 Satellite Web UI 中,导航到 Content > Subscriptions 并点 Manage Manifest
  3. 在 Manage Manifest 窗口中,单击 Browse
  4. 导航到包含红帽订阅清单文件的位置,然后单击 Open。如果 Manage Manifest 窗口没有自动关闭,点 Close 返回到 Subscriptions 窗口。

CLI 过程

  1. 将红帽订阅清单文件从您的客户端复制到 Satellite 服务器:

    $ scp ~/manifest_file.zip root@satellite.example.com:~/.
  2. root 用户身份登录 Satellite 服务器,再导入 Red Hat 订阅清单文件:

    # hammer subscription upload \
    --file ~/manifest_file.zip \
    --organization "My_Organization"

现在,您可以启用软件仓库并导入红帽内容。如需更多信息,请参阅内容 管理指南中的导入内容

第 4 章 在 Satellite 服务器上执行其他配置

4.1. 在 Satellite 服务器中使用 Red Hat Insights

您可以使用 Red Hat Insights 来诊断与安全漏洞、性能下降和稳定性故障相关的系统和停机时间。您可以使用控制面板快速识别稳定性、安全性和性能的关键风险。您可以按类别排序,查看影响和分辨率的详细信息,然后确定哪些系统会受到影响。

请注意,您不需要在订阅清单中具有 Red Hat Insights 权利。有关 Satellite 和 Red Hat Insights 的更多信息,请参阅 Satellite Red Hat Enterprise Linux (RHEL)上的 Red Hat Insights

要维护 Satellite 服务器,并改进您监控并诊断 Satellite 可能存在的问题的能力,请在 Satellite 服务器上安装 Red Hat Insights,并将 Satellite Server 注册到 Red Hat Insights。

调度 insights-client

请注意,您可以通过在 Satellite 上配置 insights-client.timer 来更改运行 insights-client 的默认调度。如需更多信息,请参阅 Red Hat Insights 的客户端配置指南中的更改 insights-client 调度

流程

  1. 要在 Satellite 服务器上安装 Red Hat Insights,请输入以下命令:

    # satellite-maintain packages install insights-client
  2. 要将 Satellite Server 注册到 Red Hat Insights,请输入以下命令:

    # satellite-installer --register-with-insights

4.2. 禁用 Red Hat Insights 注册

安装或升级 Satellite 后,您可以根据需要选择取消注册或注册 Red Hat Insights。例如,如果您需要在断开连接的环境中使用 Satellite,您可以从 Satellite 服务器取消注册 insights-client

先决条件

  1. 您已在红帽客户门户网站中注册了 Satellite。

流程

  1. 可选: 要从 Satellite 服务器中取消 Red Hat Insights 取消注册,请输入以下命令:

    # insights-client --unregister
  2. 可选: 要在 Red Hat Insights 中注册 Satellite 服务器,请输入以下命令:

    # satellite-installer --register-with-insights

4.3. 启用 Satellite 客户端 6 存储库

Satellite Client 6 存储库为注册到 Satellite 服务器的客户端提供 katello-agentkatello-host-toolspuppet 软件包。您必须为每个需要管理主机的 Red Hat Enterprise Linux 版本启用软件仓库。根据您要启用 Satellite 客户端 6 存储库的操作系统版本,继续以下流程。

4.3.1. Red Hat Enterprise Linux 9 & Red Hat Enterprise Linux 8

要使用 CLI 而不是 Satellite Web UI,请查看与 Red Hat Enterprise Linux 版本相关的流程:

流程

  1. 在 Satellite Web UI 中,导航到 Content > Red Hat Repositories
  2. 在 Available Repositories 窗格中,启用 推荐的存储库 来获取存储库列表。
  3. Red Hat Satellite Client 6 for RHEL 9 x86_64 (RPMs)Red Hat Satellite Client 6 for RHEL 8 x86_64 (RPMs) 来扩展存储库集。
  4. 对于 x86_64 架构,点 + 图标启用存储库。

    如果 Satellite 客户端 6 项目不可见,这可能是因为它们没有包括在红帽客户门户网站获取的 Red Hat Subscription Manifest 中。要更正这一点,请登录到客户门户网站,添加这些软件仓库,下载红帽订阅清单并将其导入到 Satellite 中。如需更多信息,请参阅 管理内容 中的 管理红帽订阅

    为主机上运行的每个受支持的 Red Hat Enterprise Linux 主版本启用 Satellite 客户端 6 存储库。启用红帽软件仓库后,会自动创建此软件仓库的产品。

Red Hat Enterprise Linux 9 的 CLI 过程

  • 使用 hammer repository-set enable 命令启用 Satellite 客户端 6 存储库:

    # hammer repository-set enable \
    --basearch="x86_64" \
    --name "Red Hat Satellite Client 6 for RHEL 9 x86_64 (RPMs)" \
    --organization "My_Organization" \
    --product "Red Hat Enterprise Linux for x86_64"

Red Hat Enterprise Linux 8 的 CLI 过程

  • 使用 hammer repository-set enable 命令启用 Satellite 客户端 6 存储库:

    # hammer repository-set enable \
    --basearch="x86_64" \
    --name "Red Hat Satellite Client 6 for RHEL 8 x86_64 (RPMs)" \
    --organization "My_Organization" \
    --product "Red Hat Enterprise Linux for x86_64"

4.3.2. Red Hat Enterprise Linux 7 & Red Hat Enterprise Linux 6

注意

您需要 Red Hat Enterprise Linux 延长生命周期支持(ELS)附加服务 订阅来启用 Red Hat Enterprise Linux 6 的软件仓库。如需更多信息,请参阅 Red Hat Enterprise Linux 延长生命周期支持(ELS)附加服务 指南。

要使用 CLI 而不是 Satellite Web UI,请查看与 Red Hat Enterprise Linux 版本相关的流程:

流程

  1. 在 Satellite Web UI 中,导航到 Content > Red Hat Repositories
  2. Available Repositories 窗格中,启用 推荐的存储库 来获取存储库列表。
  3. Available Repositories 窗格中,点 Satellite Client 6 (for RHEL 7 Server) (RPMs)Satellite Client 6 (for RHEL 6 Server - ELS) (RPMs) 来扩展存储库集。

    如果 Satellite 客户端 6 项目不可见,这可能是因为它们没有包括在红帽客户门户网站获取的 Red Hat Subscription Manifest 中。要更正这一点,请登录到客户门户网站,添加这些软件仓库,下载红帽订阅清单并将其导入到 Satellite 中。如需更多信息,请参阅 管理内容 中的 管理红帽订阅

  4. 对于 x86_64 架构,点 + 图标启用存储库。为主机上运行的每个受支持的 Red Hat Enterprise Linux 主版本启用 Satellite 客户端 6 存储库。启用红帽软件仓库后,会自动创建此软件仓库的产品。

Red Hat Enterprise Linux 7 的 CLI 过程

  • 使用 hammer repository-set enable 命令启用 Satellite 客户端 6 存储库:

    # hammer repository-set enable \
    --basearch="x86_64" \
    --name "Red Hat Satellite Client 6 (for RHEL 7 Server) (RPMs)" \
    --organization "My_Organization" \
    --product "Red Hat Enterprise Linux Server"

Red Hat Enterprise Linux 6 的 CLI 过程

  • 使用 hammer repository-set enable 命令启用 Satellite 客户端 6 存储库:

    # hammer repository-set enable \
    --basearch="x86_64" \
    --name "Red Hat Satellite Client 6 (for RHEL 6 Server - ELS) (RPMs)" \
    --organization "My_Organization" \
    --product "Red Hat Enterprise Linux Server - Extended Life Cycle Support"

4.4. 同步 Satellite 客户端 6 存储库

使用这个部分将 Satellite 客户端 6 存储库从 Red Hat Content Delivery Network (CDN)同步到 Satellite。此存储库为注册到 Satellite 服务器的客户端提供 katello-agentkatello-host-toolspuppet 软件包。根据您要同步 Satellite 客户端 6 存储库的操作系统版本继续以下步骤。

4.4.1. Red Hat Enterprise Linux 9 & Red Hat Enterprise Linux 8

要使用 CLI 而不是 Satellite Web UI,请查看与 Red Hat Enterprise Linux 版本相关的流程:

流程

  1. 在 Satellite Web UI 中,导航到 Content > Sync Status
  2. Red Hat Enterprise Linux for x86_64 产品旁的箭头查看可用的内容。
  3. 选择 Red Hat Satellite Client 6 for RHEL 9 x86_64 RPMsRed Hat Satellite Client 6 for RHEL 8 x86_64 RPM
  4. 单击 Sync Now

Red Hat Enterprise Linux 9 的 CLI 过程

  • 使用 hammer repository synchronize 命令同步您的 Satellite 客户端 6 存储库:

    # hammer repository synchronize \
    --name "Red Hat Satellite Client 6 for RHEL 9 x86_64 RPMs" \
    --organization "My_Organization" \
    --product "Red Hat Enterprise Linux for x86_64"

Red Hat Enterprise Linux 8 的 CLI 过程

  • 使用 hammer repository synchronize 命令同步您的 Satellite 客户端 6 存储库:

    # hammer repository synchronize \
    --name "Red Hat Satellite Client 6 for RHEL 8 x86_64 RPMs" \
    --organization "My_Organization" \
    --product "Red Hat Enterprise Linux for x86_64"

4.4.2. Red Hat Enterprise Linux 7 和 Red Hat Enterprise Linux 6

注意

您需要 Red Hat Enterprise Linux 延长生命周期支持(ELS)附加服务订阅来 同步 Red Hat Enterprise Linux 6 的软件仓库。如需更多信息,请参阅 Red Hat Enterprise Linux 延长生命周期支持(ELS)附加服务 指南。

要使用 CLI 而不是 Satellite Web UI,请查看与 Red Hat Enterprise Linux 版本相关的流程:

流程

  1. 在 Satellite Web UI 中,导航到 Content > Sync Status
  2. Red Hat Enterprise Linux ServerRed Hat Enterprise Linux Server - 延长生命周期支持 旁的箭头,无论产品都适用于查看可用内容。
  3. 根据您的操作系统版本,选择 Red Hat Satellite Client 6 (for RHEL 7 Server) RPMs x86_64Red Hat Satellite Client 6 for RHEL 6 Server - ELS RPMs x86_64
  4. 单击 Sync Now

Red Hat Enterprise Linux 7 的 CLI 过程

  • 使用 hammer repository synchronize 命令同步您的 Satellite 客户端 6 存储库:

    # hammer repository synchronize \
    --async \
    --name "Red Hat Satellite Client 6 for RHEL 7 Server RPMs x86_64" \
    --organization "My_Organization" \
    --product "Red Hat Enterprise Linux Server"

Red Hat Enterprise Linux 6 的 CLI 过程

  • 使用 hammer repository synchronize 命令同步您的 Satellite 客户端 6 存储库:

    # hammer repository synchronize \
    --async \
    --name "Red Hat Satellite Client 6 for RHEL 6 Server - ELS RPMs x86_64" \
    --organization "My_Organization" \
    --product "Red Hat Enterprise Linux Server - Extended Life Cycle Support"

4.5. 在 IPv6 网络中为 UEFI HTTP 引导置备配置 Satellite

使用这个流程将 Satellite 配置为置备带有 UEFI HTTP 引导置备的 IPv6 网络中的主机。

先决条件

  • 确保您的客户端可以访问 DHCP 和 HTTP 服务器。
  • 确保客户端可以访问 UDP 端口 67 和 68,以便客户端可以发送 DHCP 请求并接收 DHCP 提供。
  • 确保为客户端打开 TCP 端口 8000,以便从 Satellite 和 Capsule 下载文件和 Kickstart 模板。
  • 确保主机调配接口子网设置了 HTTP 引导 Capsule 和 Templates Capsule。如需更多信息, 请参阅置备 指南中的向 Satellite 服务器添加 子网。
  • 在 Satellite Web UI 中,导航到 Administer > Settings > Provisioning,并确保 Token duration 设置没有设为 0。由于非受管 DHCPv6 服务,Satellite 无法通过远程 IPv6 地址识别从网络引导的客户端,因此必须启用调配令牌。

流程

  1. 您必须在安装程序中禁用 DHCP 管理,或者不使用它。
  2. 对于 Satellite 中创建的所有 IPv6 子网,请将 DHCP 胶囊 设置为空白。
  3. 可选:如果主机和 DHCP 服务器由路由器分开,请配置 DHCP 转发代理并指向 DHCP 服务器。
  4. 在您置备的 Satellite 或 Capsule 中,将 grub2-efi 软件包更新至最新版本:

    # satellite-maintain packages update grub2-efi
  5. 同步 Red Hat Enterprise Linux 8 kickstart 软件仓库。

4.6. 使用 HTTP 代理配置 Satellite 服务器

使用以下步骤使用 HTTP 代理配置 Satellite。

4.6.1. 在 Satellite 中添加默认 HTTP 代理

如果您的网络使用 HTTP 代理,您可以将 Satellite 服务器配置为使用 HTTP 代理向 Red Hat Content Delivery Network (CDN)或其他内容源的请求。尽可能使用 FQDN 而不是 IP 地址,以避免因为网络更改而丢失连接。

以下流程只为 Satellite 下载内容配置代理。要使用 CLI 而不是 Satellite Web UI,请参阅 CLI 过程

流程

  1. 在 Satellite Web UI 中,导航到 Infrastructure > HTTP Proxies
  2. 单击 New HTTP Proxy
  3. Name 字段中输入 HTTP 代理的名称。
  4. Url 字段中,以以下格式输入 HTTP 代理的 URL :https://proxy.example.com:8080
  5. 可选:如果需要身份验证,请在 Username 字段中输入要进行身份验证的用户名。
  6. 可选:如果需要身份验证,请在 Password 字段中输入要进行身份验证的密码。
  7. 要测试到代理的连接,请点 Test Connection 按钮。
  8. Submit
  9. 在 Satellite Web UI 中,导航到 Administer > Settings,然后点 Content 选项卡。
  10. Default HTTP Proxy 设置设置为创建的 HTTP 代理。

CLI 过程

  1. 验证 http_proxyhttps_proxyno_proxy 变量没有被设置。

    # unset http_proxy
    # unset https_proxy
    # unset no_proxy
  2. 在 Satellite 中添加 HTTP 代理条目:

    # hammer http-proxy create --name=myproxy \
    --url http://myproxy.example.com:8080  \
    --username=proxy_username \
    --password=proxy_password
  3. 将 Satellite 配置为默认使用此 HTTP 代理:

    # hammer settings set --name=content_default_http_proxy --value=myproxy

4.6.2. 配置 SELinux 以确保在自定义端口上访问 Satellite

SELinux 可确保仅访问 Red Hat Satellite 和 Subscription Manager。如果是 HTTP 缓存,TCP 端口为 8080、8118、8123 和 10001598- 10010。如果您使用没有 SELinux 类型 http_cache_port_t 的端口,请完成以下步骤。

流程

  1. 在 Satellite 中,要验证 SELinux 为 HTTP 缓存允许的端口,请输入以下命令:

    # semanage port -l | grep http_cache
    http_cache_port_t       tcp    8080, 8118, 8123, 10001-10010
    [output truncated]
  2. 要将 SELinux 配置为允许 HTTP 缓存的端口,如 8088,请输入以下命令:

    # semanage port -a -t http_cache_port_t -p tcp 8088

4.6.3. 将 HTTP 代理用于所有 Satellite HTTP 请求

如果您的 Satellite 服务器必须保留在阻止 HTTP 和 HTTPS 的防火墙后,您可以配置代理以与外部系统通信,包括计算资源。

请注意,如果您使用计算资源来置备,并且您想要将不同的 HTTP 代理与计算资源搭配使用,则为所有 Satellite 通信设置的代理优先于您为计算资源设置的代理。

流程

  1. 在 Satellite Web UI 中,导航到 Administer > Settings
  2. HTTP (S)代理 行中,选择 adjacent Value 列并输入代理 URL。
  3. 点 tick 图标保存您的更改。

CLI 过程

  • 使用以下命令:

    # hammer settings set --name=http_proxy --value=Proxy_URL

4.6.4. 从接收请求中排除主机

如果将 HTTP 代理用于所有 Satellite HTTP 或 HTTPS 请求,您可以防止某些主机通过代理进行通信。

流程

  1. 在 Satellite Web UI 中,导航到 Administer > Settings
  2. 在主机行 以外的 HTTP (S) 代理中,选择 adjacent Value 列,并输入您要从代理请求中排除的一个或多个主机名称。
  3. 点 tick 图标保存您的更改。

CLI 过程

  • 使用以下命令:

    # hammer settings set --name=http_proxy_except_list --value=[hostname1.hostname2...]

4.6.5. 重置 HTTP 代理

如果要重置当前的 HTTP 代理设置,请取消设置 Default HTTP Proxy 设置。

流程

  1. 在 Satellite Web UI 中,导航到 Administer > Settings,然后点 Content 选项卡。
  2. Default HTTP Proxy 设置设置为 没有全局默认值

CLI 过程

  • content_default_http_proxy 设置设置为空字符串:

    # hammer settings set --name=content_default_http_proxy --value=""

4.7. 在受管主机上启用电源管理

要使用智能平台管理接口(IPMI)或类似的协议在受管主机上执行电源管理任务,您必须在 Satellite 服务器上启用基板管理控制器(BMC)模块。

先决条件

  • 所有受管主机都必须有一个 BMC 类型的网络接口。Satellite 服务器使用此 NIC 将适当的凭据传递给主机。如需更多信息,请参阅 管理主机 指南中的 添加基板管理控制器(BMC)接口

流程

  • 要启用 BMC,请输入以下命令:

    # satellite-installer --foreman-proxy-bmc "true" \
    --foreman-proxy-bmc-default-provider "freeipmi"

4.8. 在 Satellite 服务器上配置 DNS、DHCP 和 TFTP

要在 Satellite 服务器上配置 DNS、DHCP 和 TFTP 服务,请使用 satellite-installer 命令和适合您的环境的选项。要查看可配置选项的完整列表,请输入 satellite-installer --scenario satellite --help 命令。

对设置的任何更改都需要再次输入 satellite-installer 命令。您可以多次输入命令,每次使用更改的值更新所有配置文件时。

要使用外部 DNS、DHCP 和 TFTP 服务,请参阅 第 5 章 使用外部服务配置 Satellite 服务器

添加多宿 DHCP 详情

如果要使用 Multihomed DHCP,您必须通知安装程序。

先决条件

  • 确保以下信息可供您使用:

    • DHCP IP 地址范围
    • DHCP 网关 IP 地址
    • DHCP 名称服务器 IP 地址
    • DNS 信息
    • TFTP 服务器名称
  • 在网络更改时,尽可能使用 FQDN 而不是 IP 地址。
  • 请联系您的网络管理员,以确保您有正确的设置。

流程

  • 输入 satellite-installer 命令,以及适合您的环境的选项。以下示例演示了配置完整的置备服务:

    # satellite-installer --scenario satellite \
    --foreman-proxy-dns true \
    --foreman-proxy-dns-managed true \
    --foreman-proxy-dns-interface eth0 \
    --foreman-proxy-dns-zone example.com \
    --foreman-proxy-dns-reverse 2.0.192.in-addr.arpa \
    --foreman-proxy-dhcp true \
    --foreman-proxy-dhcp-managed true \
    --foreman-proxy-dhcp-interface eth0 \
    --foreman-proxy-dhcp-additional-interfaces eth1 \
    --foreman-proxy-dhcp-additional-interfaces eth2 \
    --foreman-proxy-dhcp-range "192.0.2.100 192.0.2.150" \
    --foreman-proxy-dhcp-gateway 192.0.2.1 \
    --foreman-proxy-dhcp-nameservers 192.0.2.2 \
    --foreman-proxy-tftp true \
    --foreman-proxy-tftp-managed true \
    --foreman-proxy-tftp-servername 192.0.2.3

您可以监控提示符中显示的 satellite-installer 命令的进度。您可以查看 /var/log/foreman-installer/satellite.log 中的日志。您可以在 /etc/foreman-installer/scenarios.d/satellite-answers.yaml 文件中查看使用的设置,包括 initial_admin_password 参数。

有关配置 DHCP、DNS 和 TFTP 服务的更多信息,请参阅置备指南中的配置网络服务https://access.redhat.com/documentation/zh-cn/red_hat_satellite/6.11/html-single/provisioning_hosts/index#Configuring_Network_Services_provisioning

4.9. 为非受管网络禁用 DNS、DHCP 和 TFTP

如果要手动管理 TFTP、DHCP 和 DNS 服务,则必须防止 Satellite 在操作系统中维护这些服务,并禁用编配以避免 DHCP 和 DNS 验证错误。但是,Satellite 不会删除操作系统上的后端服务。

流程

  1. 在 Satellite 服务器中输入以下命令:

    # satellite-installer --foreman-proxy-dhcp false \
    --foreman-proxy-dns false \
    --foreman-proxy-tftp false
  2. 在 Satellite Web UI 中,导航到 Infrastructure > Subnets 并选择子网。
  3. Capsules 选项卡,清除 DHCP CapsuleTFTP CapsuleReverse DNS Capsule 字段。
  4. 在 Satellite Web UI 中,导航到 Infrastructure > Domains 并选择域。
  5. 清除 DNS Capsule 字段。
  6. 可选:如果您使用由第三方提供的 DHCP 服务,请将 DHCP 服务器配置为传递以下选项:

    Option 66: IP address of Satellite or Capsule
    Option 67: /pxelinux.0

    有关 DHCP 选项的更多信息,请参阅 RFC 2132

注意

当没有为给定子网和域设置 Capsule 时,Satellite 不会执行编配。在启用或禁用 Capsule 关联时,如果预期的记录和配置文件不存在,则现有主机的编配命令可能会失败。当关联 Capsule 以打开编配时,请确保为现有 Satellite 主机提供所需的 DHCP 和 DNS 记录以及 TFTP 文件,以防止以后出现主机删除失败。

4.10. 为传出电子邮件配置 Satellite 服务器

要从 Satellite 服务器发送电子邮件消息,您可以使用 SMTP 服务器或 sendmail 命令。

前提条件

  • 一些带有 anti-spam 保护或问候列表功能的 SMTP 服务器已知导致问题。要使用此类服务设置传出电子邮件,可在 Satellite 服务器上安装和配置 vanilla SMTP 服务以进行中继,或者使用 sendmail 命令。

流程

  1. 在 Satellite Web UI 中,导航到 Administer > Settings
  2. 单击 Email 选项卡,再设置配置选项以匹配您首选的发送方法。更改会立即生效。

    1. 以下示例显示了使用 SMTP 服务器的配置选项:

      表 4.1. 使用 SMTP 服务器作为发送方法

      Name示例值

      交付方法

      SMTP

      SMTP 地址

      smtp.example.com

      SMTP 身份验证

      login

      SMTP HELO/EHLO 域

      example.com

      SMTP 密码

      password

      SMTP 端口

      25

      SMTP 用户名

      user@example.com

      SMTP 用户名和 SMTP 密码 指定 SMTP 服务器的登录凭证。

    2. 以下示例使用 gmail.com 作为 SMTP 服务器:

      表 4.2. 使用 gmail.com 作为 SMTP 服务器

      Name示例值

      交付方法

      SMTP

      SMTP 地址

      smtp.gmail.com

      SMTP 身份验证

      plain

      SMTP HELO/EHLO 域

      smtp.gmail.com

      SMTP 启用 StartTLS auto

      SMTP 密码

      password

      SMTP 端口

      587

      SMTP 用户名

      user@gmail.com

    3. 以下示例使用 sendmail 命令作为发送方法:

      表 4.3. 使用 sendmail 作为交付方法

      Name示例值

      交付方法

      sendmail

      Sendmail 位置

      /usr/sbin/sendmail

      Sendmail 参数

      -i

      出于安全考虑,Sendmail 位置和 Sendmail 参数设置都是只读的,且只能在 /etc/foreman/settings.yaml 中设置。目前无法通过 satellite-installer 设置这两个设置。如需更多信息,请参阅 sendmail 1 man page。

  3. 如果您决定使用 TLS 身份验证的 SMTP 服务器发送电子邮件,还要执行以下步骤之一:

    • 将 SMTP 服务器的 CA 证书标记为可信。要做到这一点,在 Satellite 服务器上执行以下命令:

      # cp mailca.crt /etc/pki/ca-trust/source/anchors/
      # update-ca-trust enable
      # update-ca-trust

      其中 mailca.crt 是 SMTP 服务器的 CA 证书。

    • 或者,在 Satellite Web UI 中,将 SMTP enable StartTLS auto 选项设置为 No
  4. 单击 Test email,将测试消息发送到用户的电子邮件地址,以确认配置是否正常工作。如果消息无法发送,Satellite Web UI 会显示错误。详情请查看位于 /var/log/foreman/production.log 的日志。
注意

有关为单个用户或用户组配置电子邮件通知的详情,请参考 管理 Red Hat Satellite 中的 配置电子邮件通知

4.11. 为 Satellite 配置 Alternate CNAME

您可以为 Satellite 配置备用 CNAME。如果要将 Satellite Web 界面部署到不同于客户端系统用于连接 Satellite 的域名中的域名,这可能很有用。您必须预先规划备用 CNAME 配置,然后才能将主机注册到 Satellite,以避免将新证书重新部署到主机。

4.11.1. 使用 Alternate CNAME 配置 Satellite

使用这个流程配置带有备用 CNAME 的 Satellite。请注意,默认 Satellite 证书用户和自定义证书用户的步骤会有所不同。

对于默认 Satellite 证书用户

  • 如果您安装了带有默认 Satellite 证书的 Satellite,并希望使用备用 CNAME 配置 Satellite,请在 Satellite 上输入以下命令,以使用额外的 CNAME 生成新的默认 Satellite SSL 证书。

    # satellite-installer --certs-cname alternate_fqdn --certs-update-server
  • 如果您还没有安装 Satellite,您可以在 satellite-installer 命令中添加 --certs-cname alternate_fqdn 选项来使用备用 CNAME 安装 Satellite。

对于自定义证书用户

如果您将 Satellite 与自定义证书搭配使用,请在创建自定义证书时,将备用 CNAME 记录包含在自定义证书中。如需更多信息,请参阅为 Satellite 服务器创建自定义 SSL 证书

4.11.2. 配置主机以使用 Alternate Satellite CNAME 进行内容管理

如果使用备用 CNAME 配置 Satellite,您可以将主机配置为使用备用 Satellite CNAME 进行内容管理。为此,您必须在将主机注册到 Satellite 之前将主机指向备用 Satellite CNAME。您可以使用 bootstrap 脚本或手动进行此操作。

使用 bootstrap 脚本配置主机

在主机上,使用 --server alternate_fqdn.example.com 选项运行 bootstrap 脚本,将主机注册到备用 Satellite CNAME:

# ./bootstrap.py --server alternate_fqdn.example.com

手动配置主机

在主机上,编辑 /etc/rhsm/rhsm.conf 文件以更新 主机名和 baseurl 设置以指向备用主机名,例如:

[server]
# Server hostname:
hostname = alternate_fqdn.example.com

content omitted

[rhsm]
# Content base URL:
baseurl=https://alternate_fqdn.example.com/pulp/content/

现在,您可以使用 subscription-manager 注册主机。

4.12. 使用自定义 SSL 证书配置 Satellite 服务器

默认情况下,Red Hat Satellite 使用自签名 SSL 证书来启用 Satellite 服务器、外部 Capsule 服务器和所有主机之间的加密通信。如果无法使用 Satellite 自签名证书,您可以将 Satellite 服务器配置为使用由外部证书颁发机构(CA)签名的 SSL 证书。

当使用自定义 SSL 证书配置 Red Hat Satellite 时,您必须满足以下要求:

  • 您必须对 SSL 证书使用隐私增强型邮件(PEM)编码。
  • 您不能将相同的 SSL 证书用于 Satellite 服务器和 Capsule 服务器。
  • 同一 CA 必须为 Satellite 服务器和 Capsule 服务器签名证书。
  • SSL 证书也不能是 CA 证书。
  • SSL 证书必须包含与通用名称(CN)匹配的主题 alt name (SAN)条目。
  • 在使用密钥用法扩展时,必须允许 SSL 证书。
  • SSL 证书不能有短名称作为 CN。
  • 您不能为私钥设置密码短语。

要使用自定义证书配置 Satellite 服务器,请完成以下步骤:

  1. 第 4.12.1 节 “为 Satellite 服务器创建自定义 SSL 证书”
  2. 第 4.12.2 节 “将自定义 SSL 证书部署到 Satellite 服务器”
  3. 第 4.12.3 节 “将自定义 SSL 证书部署到主机”
  4. 如果您的外部胶囊服务器注册到 Satellite 服务器,请使用自定义 SSL 证书进行配置。如需更多信息,请参阅安装 Capsule 服务器 中的 配置带有自定义 SSL 证书的 Capsule 服务器

4.12.1. 为 Satellite 服务器创建自定义 SSL 证书

使用这个流程为 Satellite 服务器创建自定义 SSL 证书。如果您已有 Satellite 服务器的自定义 SSL 证书,请跳过此步骤。

流程

  1. 要存储所有源证书文件,请创建一个只能被 root 用户访问的目录:

    # mkdir /root/satellite_cert
  2. 创建为证书签名请求(CSR)签名的私钥。

    请注意,私钥必须未加密。如果您使用密码保护的私钥,请删除私钥密码。

    如果您已有此 Satellite 服务器的私钥,请跳过这一步。

    # openssl genrsa -out /root/satellite_cert/satellite_cert_key.pem 4096
  3. 为 CSR 创建 /root/satellite_cert/openssl.cnf 配置文件并包含以下内容:

    [ req ]
    req_extensions = v3_req
    distinguished_name = req_distinguished_name
    x509_extensions = usr_cert
    prompt = no
    
    [ req_distinguished_name ]
    CN = satellite.example.com
    
    [ v3_req ]
    basicConstraints = CA:FALSE
    keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
    extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
    subjectAltName = @alt_names
    
    [ usr_cert ]
    basicConstraints=CA:FALSE
    nsCertType = client, server, email
    keyUsage = nonRepudiation, digitalSignature, keyEncipherment
    extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
    nsComment = "OpenSSL Generated Certificate"
    subjectKeyIdentifier=hash
    authorityKeyIdentifier=keyid,issuer
    
    [ alt_names ]
    DNS.1 = satellite.example.com
  4. 生成 CSR:

    # openssl req -new \
    -key /root/satellite_cert/satellite_cert_key.pem \ 1
    -config /root/satellite_cert/openssl.cnf \ 2
    -out /root/satellite_cert/satellite_cert_csr.pem 3
    1
    私钥的路径。
    2
    配置文件的路径。
    3
    要生成的 CSR 的路径。
  5. 将证书签名请求发送到证书颁发机构(CA)。同一 CA 必须为 Satellite 服务器和 Capsule 服务器签名证书。

    提交请求时,指定证书的寿命。发送证书请求的方法会有所不同,因此请查阅 CA 查看首选方法。为了响应请求,您可以在单独的文件中接收 CA 捆绑包和签名证书。

4.12.2. 将自定义 SSL 证书部署到 Satellite 服务器

使用这个流程将 Satellite 服务器配置为使用证书颁发机构签名的自定义 SSL 证书。katello-certs-check 命令验证输入证书文件,并返回将自定义 SSL 证书部署到 Satellite 服务器所需的命令。

重要

不要将 SSL 证书或 .tar 捆绑包存储在 /tmp/var/tmp 目录中。操作系统定期从这些目录中删除文件。因此,satellite-installer 在启用功能或升级 Satellite 服务器时无法执行。

流程

  1. 验证自定义 SSL 证书输入文件。请注意,为了使 katello-certs-check 命令正常工作,证书中的通用名称(CN)必须与 Satellite 服务器的 FQDN 匹配。

    # katello-certs-check \
    -c /root/satellite_cert/satellite_cert.pem \      1
    -k /root/satellite_cert/satellite_cert_key.pem \  2
    -b /root/satellite_cert/ca_cert_bundle.pem        3
    1
    由证书颁发机构签名的 Satellite 服务器证书文件的路径。
    2
    用于为 Satellite 服务器证书签名的私钥的路径。
    3
    证书颁发机构捆绑包的路径。

    如果命令成功,它会返回两个 satellite-installer 命令,则必须使用该命令之一将证书部署到 Satellite 服务器。

    katello-certs-check的输出示例

    Validation succeeded.
    
    To install the Red Hat Satellite Server with the custom certificates, run:
    
      satellite-installer --scenario satellite \
        --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
        --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
        --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem"
    
    To update the certificates on a currently running Red Hat Satellite installation, run:
    
      satellite-installer --scenario satellite \
        --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
        --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
        --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem" \
        --certs-update-server --certs-update-server-ca

    请注意,不得访问或修改 /root/ssl-build

  2. 根据您的要求,在 katello-certs-check 命令的输出中,输入 satellite-installer 命令来安装带有自定义 SSL 证书的新 Satellite 或更新当前运行的 Satellite。

    如果您不确定要运行的命令,您可以通过检查文件 /etc/foreman-installer/scenarios.d/.installed 来验证已安装了 Satellite。如果文件存在,请运行第二个 satellite-installer 命令来更新证书。

    重要

    在部署证书后,Satellite-installer 需要证书存档文件。不要修改或删除它。例如,需要升级 Satellite 服务器。

  3. 在对 Satellite 服务器有网络访问的计算机中,导航到以下 URL :https://satellite.example.com。
  4. 在您的浏览器中,查看证书详细信息以验证部署的证书。

4.12.3. 将自定义 SSL 证书部署到主机

将 Satellite 服务器配置为使用自定义 SSL 证书后,还必须在注册到此 Satellite 服务器的每个主机上安装 katello-ca-consumer 软件包。

流程

  • 在每个主机上安装 katello-ca-consumer 软件包:

    # yum localinstall \
    http://satellite.example.com/pub/katello-ca-consumer-latest.noarch.rpm

4.13. 在 Satellite 中使用外部数据库

作为 Red Hat Satellite 的安装过程的一部分,satellite-installer 命令在与 Satellite 相同的服务器上安装 PostgreSQL 数据库。在某些 Satellite 部署中,使用外部数据库而不是默认的本地数据库有助于服务器负载。

红帽不提供对外部数据库维护的支持或工具。这包括备份、升级和数据库调整。您必须具有自己的数据库管理员才能支持和维护外部数据库。

要为 Satellite 创建和使用外部数据库,您必须完成以下步骤:

  1. 第 4.13.2 节 “为外部数据库准备主机”.准备 Red Hat Enterprise Linux 8 或 Red Hat Enterprise Linux 7 服务器来托管外部数据库。
  2. 第 4.13.3 节 “安装 PostgreSQL”.为 Satellite、Candlepin 和 Pulp 准备 PostgreSQL,并带有拥有它们的专用用户。
  3. 第 4.13.4 节 “配置 Satellite 服务器以使用外部数据库”.编辑 satellite-installer 的参数以指向新数据库,并运行 satellite-installer

4.13.1. PostgreSQL 作为外部数据库注意事项

Foreman、Katello 和 Candlepin 使用 PostgreSQL 数据库。如果要将 PostgreSQL 用作外部数据库,以下信息可帮助您决定此选项是否适合您的 Satellite 配置。Satellite 支持 PostgreSQL 版本 12。

外部 PostgreSQL 的优点:

  • 在 Satellite 上增加可用内存和空闲 CPU
  • 将 PostgreSQL 数据库上的 shared_buffers 设置为大量数量的灵活性,而无需干扰 Satellite 上的其他服务
  • 在不影响 Satellite 操作的情况下调整 PostgreSQL 服务器系统的灵活性

外部 PostgreSQL 的缺点

  • 增加了部署复杂性,以便更困难
  • 外部 PostgreSQL 服务器是补丁和维护的额外系统
  • 如果 Satellite 或 PostgreSQL 数据库服务器出现硬件或存储故障,Satellite 无法正常工作
  • 如果 Satellite 服务器和数据库服务器之间存在延迟,则性能可能会遇到

如果您疑 Satellite 上的 PostgreSQL 数据库导致性能问题,请使用 Satellite 6 中的信息:如何启用 postgres 查询日志来检测运行缓慢的 查询来确定是否有较慢的查询。超过一秒的查询通常是由于大型安装的性能问题导致的,而迁移到外部数据库可能并无法帮助。如果您有较慢的查询,请联系红帽支持团队。

4.13.2. 为外部数据库准备主机

使用最新的 Red Hat Enterprise Linux 8 或 Red Hat Enterprise Linux 7 服务器安装一个新的置备系统来托管外部数据库。

Red Hat Software Collections 和 Red Hat Enterprise Linux 的订阅不提供将 Satellite 与外部数据库搭配使用的正确服务级别协议。您还必须将 Satellite 订阅附加到要用于外部数据库的基本操作系统。

先决条件

流程

  1. 使用附加 Satellite Infrastructure 订阅 中的说明将 Satellite 订阅附加到您的服务器。
  2. 禁用所有软件仓库,仅启用以下软件仓库:

    • Red Hat Enterprise Linux 7:

      # subscription-manager repos --disable '*'
      # subscription-manager repos --enable=rhel-server-rhscl-7-rpms \
      --enable=rhel-7-server-rpms --enable=rhel-7-server-satellite-6.11-rpms
    • Red Hat Enterprise Linux 8:

      # subscription-manager repos --disable '*'
      # subscription-manager repos \
      --enable=satellite-6.11-for-rhel-8-x86_64-rpms \
      --enable=rhel-8-for-x86_64-baseos-rpms \
      --enable=rhel-8-for-x86_64-appstream-rpms
  3. 在 Red Hat Enterprise Linux 8 中,启用以下模块:

    # dnf module enable satellite:el8
    注意

    启用模块 satellite:el8 会警告与 postgresql:10ruby:2.5 冲突,因为这些模块被设置为 Red Hat Enterprise Linux 8 上的默认模块版本。模块 satellite:el8 依赖于模块 postgresql:12ruby:2.7,该模块将使用 satellite:el8 模块启用。这些警告不会导致安装过程失败,因此可以安全地忽略。有关 Red Hat Enterprise Linux 8 中的模块和生命周期流的更多信息,请参阅 Red Hat Enterprise Linux Application Streams 生命周期

4.13.3. 安装 PostgreSQL

您只能安装在内部数据库安装过程中使用 satellite-installer 工具安装的同一版本的 PostgreSQL。您可以使用 Red Hat Enterprise Linux 8 或 Red Hat Enterprise Linux Server 7 软件仓库安装 PostgreSQL。Satellite 支持 PostgreSQL 版本 12。

4.13.3.1. 在 Red Hat Enterprise Linux 8 上安装 PostgreSQL

流程

  1. 要安装 PostgreSQL,请输入以下命令:

    # dnf install postgresql-server postgresql-evr
  2. 要初始化 PostgreSQL,请输入以下命令:

    # postgresql-setup initdb
  3. 编辑 /var/lib/pgsql/data/postgresql.conf 文件:

    # vi /var/lib/pgsql/data/postgresql.conf
  4. 删除 sVirt 并编辑以侦听入站连接:

    listen_addresses = '*'
  5. 编辑 /var/lib/pgsql/data/pg_hba.conf 文件:

    # vi /var/lib/pgsql/data/pg_hba.conf
  6. 在文件中添加以下行:

      host  all   all   Satellite_ip/24   md5
  7. 要启动并启用 PostgreSQL 服务,请输入以下命令:

    # systemctl start postgresql
    # systemctl enable postgresql
  8. 在外部 PostgreSQL 服务器上打开 postgresql 端口:

    # firewall-cmd --add-service=postgresql
    # firewall-cmd --runtime-to-permanent
  9. 切换到 postgres 用户并启动 PostgreSQL 客户端:

    $ su - postgres -c psql
  10. 创建三个数据库和专用角色:一个用于 Satellite,一个用于 Candlepin,另一个用于 Pulp:

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE USER "pulp" WITH PASSWORD 'Pulpcore_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;
    CREATE DATABASE pulpcore OWNER pulp;
  11. 退出 postgres 用户:

    # \q
  12. 在 Satellite 服务器中测试您可以访问数据库。如果连接成功,命令会返回 1

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"
    # PGPASSWORD='Pulpcore_Password' psql -h postgres.example.com -p 5432 -U pulp -d pulpcore -c "SELECT 1 as ping"

4.13.3.2. 在 Red Hat Enterprise Linux 7 上安装 PostgreSQL

流程

  1. 要安装 PostgreSQL,请输入以下命令:

    # yum install rh-postgresql12-postgresql-server \
    rh-postgresql12-syspaths \
    rh-postgresql12-postgresql-evr
  2. 要初始化 PostgreSQL,请输入以下命令:

    # postgresql-setup initdb
  3. 编辑 /var/opt/rh/rh-postgresql12/lib/pgsql/data/postgresql.conf 文件:

    # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/postgresql.conf
  4. 删除 sVirt 并编辑以侦听入站连接:

    listen_addresses = '*'
  5. 编辑 /var/opt/rh/rh-postgresql12/lib/pgsql/data/pg_hba.conf 文件:

    # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/pg_hba.conf
  6. 在文件中添加以下行:

      host  all   all   Satellite_ip/24   md5
  7. 要启动并启用 PostgreSQL 服务,请输入以下命令:

    # systemctl start postgresql
    # systemctl enable postgresql
  8. 在外部 PostgreSQL 服务器上打开 postgresql 端口:

    # firewall-cmd --add-service=postgresql
    # firewall-cmd --runtime-to-permanent
  9. 切换到 postgres 用户并启动 PostgreSQL 客户端:

    $ su - postgres -c psql
  10. 创建三个数据库和专用角色:一个用于 Satellite,一个用于 Candlepin,另一个用于 Pulp:

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE USER "pulp" WITH PASSWORD 'Pulpcore_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;
    CREATE DATABASE pulpcore OWNER pulp;
  11. 退出 postgres 用户:

    # \q
  12. 在 Satellite 服务器中测试您可以访问数据库。如果连接成功,命令会返回 1

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"
    # PGPASSWORD='Pulpcore_Password' psql -h postgres.example.com -p 5432 -U pulp -d pulpcore -c "SELECT 1 as ping"

4.13.4. 配置 Satellite 服务器以使用外部数据库

使用 satellite-installer 命令将 Satellite 配置为连接到外部 PostgreSQL 数据库。

前提条件

  • 您已在 Red Hat Enterprise Linux 服务器上安装并配置了 PostgreSQL 数据库。

流程

  1. 要为 Satellite 配置外部数据库,请输入以下命令:

    satellite-installer --scenario satellite \
      --foreman-db-host postgres.example.com \
      --foreman-db-password Foreman_Password \
      --foreman-db-database foreman \
      --foreman-db-manage false \
      --katello-candlepin-db-host postgres.example.com \
      --katello-candlepin-db-name candlepin \
      --katello-candlepin-db-password Candlepin_Password \
      --katello-candlepin-manage-db false \
      --foreman-proxy-content-pulpcore-manage-postgresql false \
      --foreman-proxy-content-pulpcore-postgresql-host postgres.example.com \
      --foreman-proxy-content-pulpcore-postgresql-db-name pulpcore \
      --foreman-proxy-content-pulpcore-postgresql-password Pulpcore_Password
      --foreman-proxy-content-pulpcore-postgresql-user pulp

    要为这些外部数据库启用安全套接字层(SSL)协议,请添加以下选项:

    --foreman-db-sslmode verify-full
    --foreman-db-root-cert <path_to_CA>
    --katello-candlepin-db-ssl true
    --katello-candlepin-db-ssl-verify true
    --katello-candlepin-db-ssl-ca <path_to_CA>
    --foreman-proxy-content-pulpcore-postgresql-ssl true
    --foreman-proxy-content-pulpcore-postgresql-ssl-root-ca <path_to_CA>

4.14. 使用预定义的配置集调整 Satellite 服务器

如果您的 Satellite 部署包含超过 5000 个主机,您可以使用预定义的调优配置文件来提高 Satellite 的性能。

请注意,您不能在 Capsule 上使用调优配置文件。

您可以根据 Satellite 管理的主机数量以及可用的硬件资源,选择其中一个配置文件。

调优的配置文件位于 /usr/share/foreman-installer/config/foreman.hiera/tuning/sizes 目录中。

当您使用 --tuning 选项运行 satellite-installer 命令时,部署配置设置会按以下顺序应用到 Satellite:

  1. /usr/share/foreman-installer/config/foreman.hiera/tuning/common.yaml 文件中定义的默认性能优化配置集
  2. 要应用到部署的调优配置集,并在 /usr/share/foreman-installer/config/foreman.hiera/tuning/sizes/ 目录中定义
  3. 可选:如果您配置了 /etc/foreman-installer/custom-hiera.yaml 文件,Satellite 会应用这些配置设置。

请注意,/etc/foreman-installer/custom-hiera.yaml 文件中定义的配置设置会覆盖 tuned 配置集中定义的配置设置。

因此,在应用 tuned 配置集前,您必须比较 /usr/share/foreman-installer/config/foreman.hiera/tuning/common.yaml 文件中的 default 调整配置集和 /etc/foreman-installer/custom-hiera.yaml 文件中定义的配置设置,并从 /etc/foreman-installer/custom-hiera.yaml 文件中删除任何重复的配置。

default

受管主机数量: 039)- the5000

RAM: 20G

CPU 内核数: 4

受管主机数量:5001945- the10000

RAM: 32G

CPU 内核数: 8

Large

受管主机数量: 10001945- the20000

RAM: 64G

CPU 内核数:16

extra-large

受管主机数量: 20001945- the60000

RAM:128G

CPU 内核数: 32

extra-extra-large

受管主机数量:60000+

RAM: 256G

CPU 内核数: 48+

流程

  1. 可选:如果您在 Satellite 服务器上配置了 custom-hiera.yaml 文件,请将 /etc/foreman-installer/custom-hiera.yaml 文件备份到 custom-hiera.original。如果 /etc/foreman-installer/custom-hiera.yaml 文件损坏,则可以使用备份文件将其恢复到其原始状态:

    # cp /etc/foreman-installer/custom-hiera.yaml \
    /etc/foreman-installer/custom-hiera.original
  2. 可选:如果您在 Satellite 服务器上配置了 custom-hiera.yaml 文件,请查看 /usr/share/foreman-installer/config/foreman.hiera/tuning/common.yaml 和您要应用到 /usr/share/foreman-installer/config/foreman.hiera/config/foreman.hiera/config/foreman.hiera/config /foreman.hiera/config/foreman.hiera/config/foreman.hiera/tuning/common.yaml 的调优配置集。将配置条目与 /etc/foreman-installer/custom-hiera.yaml 文件中的条目进行比较,并删除 /etc/foreman-installer/custom-hiera.yaml 文件中的任何重复的配置设置。
  3. 输入 satellite-installer 命令,其中包含您要应用的配置集的 --tuning 选项。例如,要应用中型性能优化配置集设置,请输入以下命令:

    # satellite-installer --tuning medium

第 5 章 使用外部服务配置 Satellite 服务器

如果您不想在 Satellite 服务器上配置 DNS、DHCP 和 TFTP 服务,请使用本节将 Satellite 服务器配置为与外部 DNS、DHCP 和 TFTP 服务配合使用。

5.1. 使用外部 DNS 配置 Satellite 服务器

您可以使用外部 DNS 配置 Satellite 服务器。Satellite 服务器使用 nsupdate 实用程序更新远程服务器上的 DNS 记录。

要使任何更改持久,您必须输入 satellite-installer 命令以及适合您的环境的选项。

先决条件

  • 您必须已配置了外部 DNS 服务器。
  • 本指南假设您已有安装。

流程

  1. /etc/rndc.key 文件从外部 DNS 服务器复制到 Satellite 服务器:

    # scp root@dns.example.com:/etc/rndc.key /etc/foreman-proxy/rndc.key
  2. 配置所有权、权限和 SELinux 上下文:

    # restorecon -v /etc/foreman-proxy/rndc.key
    # chown -v root:foreman-proxy /etc/foreman-proxy/rndc.key
    # chmod -v 640 /etc/foreman-proxy/rndc.key
  3. 要测试 nsupdate 工具,请远程添加主机:

    # echo -e "server DNS_IP_Address\n \
    update add aaa.example.com 3600 IN A Host_IP_Address\n \
    send\n" | nsupdate -k /etc/foreman-proxy/rndc.key
    # nslookup aaa.example.com DNS_IP_Address
    # echo -e "server DNS_IP_Address\n \
    update delete aaa.example.com 3600 IN A Host_IP_Address\n \
    send\n" | nsupdate -k /etc/foreman-proxy/rndc.key
  4. 输入 satellite-installer 命令,对 /etc/foreman-proxy/settings.d/dns.yml 文件进行以下更改:

    # satellite-installer --foreman-proxy-dns=true \
    --foreman-proxy-dns-managed=false \
    --foreman-proxy-dns-provider=nsupdate \
    --foreman-proxy-dns-server="DNS_IP_Address" \
    --foreman-proxy-keyfile=/etc/foreman-proxy/rndc.key
  5. 在 Satellite Web UI 中,导航到 Infrastructure > Capsules
  6. 找到 Satellite 服务器,然后从 Actions 列中的列表中选择 Refresh
  7. 将 DNS 服务与适当的子网和域关联。

5.2. 使用外部 DHCP 配置 Satellite 服务器

要使用外部 DHCP 配置 Satellite 服务器,您必须完成以下步骤:

5.2.1. 配置外部 DHCP 服务器以用于 Satellite 服务器

要将运行 Red Hat Enterprise Linux 的外部 DHCP 服务器配置为与 Satellite 服务器搭配使用,您必须安装 ISC DHCP Service 和 Berkeley Internet Name Domain (BIND)或其实用程序软件包。您还必须与 Satellite 服务器共享 DHCP 配置和租期文件。此流程中的示例使用分布式网络文件系统(NFS)协议来共享 DHCP 配置和租期文件。

注意

如果您使用 dnsmasq 作为外部 DHCP 服务器,请启用 dhcp-no-override 设置。这是必要的,因为 Satellite 在 grub2/ 子目录下在 TFTP 服务器上创建配置文件。如果禁用了 dhcp-no-override 设置,客户端会从根目录中获取引导装载程序及其配置,这可能会导致错误。

流程

  1. 在您的 Red Hat Enterprise Linux 主机上,根据您的主机版本安装 ISC DHCP Service 和 BIND 软件包。

    • 对于 Red Hat Enterprise Linux 7 主机:

      # yum install dhcp bind
    • 对于 Red Hat Enterprise Linux 8 主机:

      # yum install dhcp-server bind-utils
  2. 生成安全令牌:

    # dnssec-keygen -a HMAC-MD5 -b 512 -n HOST omapi_key

    因此,当前目录中会创建一个由两个文件组成的密钥对。

  3. 从密钥复制 secret 哈希:

    # grep ^Key Komapi_key.+*.private | cut -d ' ' -f2
  4. 编辑所有子网的 dhcpd 配置文件并添加密钥。以下是一个示例:

    # cat /etc/dhcp/dhcpd.conf
    default-lease-time 604800;
    max-lease-time 2592000;
    log-facility local7;
    
    subnet 192.168.38.0 netmask 255.255.255.0 {
    	range 192.168.38.10 192.168.38.100;
    	option routers 192.168.38.1;
    	option subnet-mask 255.255.255.0;
    	option domain-search "virtual.lan";
    	option domain-name "virtual.lan";
    	option domain-name-servers 8.8.8.8;
    }
    
    omapi-port 7911;
    key omapi_key {
    	algorithm HMAC-MD5;
    	secret "jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw==";
    };
    omapi-key omapi_key;

    请注意,options router 值是您要与外部 DHCP 服务一起使用的 Satellite 或 Capsule IP 地址。

  5. 从在其中创建的目录中删除两个密钥文件。
  6. 在 Satellite 服务器上,定义每个子网。不要为定义的子网设置 DHCP Capsule。

    要防止冲突,请单独设置租期和保留范围。例如,如果租期范围为 192.168.38.10 到 192.168.38.100,在 Satellite Web UI 中将保留范围定义为 192.168.38.101 到 192.168.38.250。

  7. 配置防火墙以从外部访问 DHCP 服务器:

    # firewall-cmd --add-service dhcp \
    && firewall-cmd --runtime-to-permanent
  8. 在 Satellite 服务器上,确定 foreman 用户的 UID 和 GID:

    # id -u foreman
    993
    # id -g foreman
    990
  9. 在 DHCP 服务器上,使用与上一步中确定相同的 ID 创建 foreman 用户和组:

    # groupadd -g 990 foreman
    # useradd -u 993 -g 990 -s /sbin/nologin foreman
  10. 要确保配置文件可以访问,请恢复 read 和 execute 标记:

    # chmod o+rx /etc/dhcp/
    # chmod o+r /etc/dhcp/dhcpd.conf
    # chattr +i /etc/dhcp/ /etc/dhcp/dhcpd.conf
  11. 启动 DHCP 服务:

    # systemctl start dhcpd
  12. 使用 NFS 导出 DHCP 配置和租期文件:

    # yum install nfs-utils
    # systemctl enable rpcbind nfs-server
    # systemctl start rpcbind nfs-server nfs-lock nfs-idmapd
  13. 为您要使用 NFS 导出的 DHCP 配置和租期文件创建目录:

    # mkdir -p /exports/var/lib/dhcpd /exports/etc/dhcp
  14. 要为创建的目录创建挂载点,请在 /etc/fstab 文件中添加以下行:

    /var/lib/dhcpd /exports/var/lib/dhcpd none bind,auto 0 0
    /etc/dhcp /exports/etc/dhcp none bind,auto 0 0
  15. /etc/fstab 中挂载文件系统:

    # mount -a
  16. 确保 /etc/exports 中存在以下行:

    /exports 192.168.38.1(rw,async,no_root_squash,fsid=0,no_subtree_check)
    
    /exports/etc/dhcp 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)
    
    /exports/var/lib/dhcpd 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)

    请注意,您输入的 IP 地址是要用于外部 DHCP 服务的 Satellite 或 Capsule IP 地址。

  17. 重新载入 NFS 服务器:

    # exportfs -rva
  18. 为 DHCP omapi 端口 7911 配置防火墙:

    # firewall-cmd --add-port=7911/tcp
    # firewall-cmd --runtime-to-permanent
  19. 可选:配置防火墙以从外部访问 NFS。客户端使用 NFSv3 配置。

    # firewall-cmd --zone public --add-service mountd \
    && firewall-cmd --zone public --add-service rpc-bind \
    && firewall-cmd --zone public --add-service nfs \
    && firewall-cmd --runtime-to-permanent

5.2.2. 使用外部 DHCP 服务器配置 Satellite 服务器

您可以使用外部 DHCP 服务器配置 Satellite 服务器。

前提条件

流程

  1. 安装 nfs-utils 工具:

    # yum install nfs-utils
  2. 为 NFS 创建 DHCP 目录:

    # mkdir -p /mnt/nfs/etc/dhcp /mnt/nfs/var/lib/dhcpd
  3. 更改文件所有者:

    # chown -R foreman-proxy /mnt/nfs
  4. 验证与 NFS 服务器和远程过程调用(RPC)通信路径的通信:

    # showmount -e DHCP_Server_FQDN
    # rpcinfo -p DHCP_Server_FQDN
  5. /etc/fstab 文件中添加以下行:

    DHCP_Server_FQDN:/exports/etc/dhcp /mnt/nfs/etc/dhcp nfs
    ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcp_etc_t:s0" 0 0
    
    DHCP_Server_FQDN:/exports/var/lib/dhcpd /mnt/nfs/var/lib/dhcpd nfs
    ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcpd_state_t:s0" 0 0
  6. /etc/fstab 中挂载文件系统:

    # mount -a
  7. 要验证 foreman-proxy 用户可以访问通过网络共享的文件,请显示 DHCP 配置和租期文件:

    # su foreman-proxy -s /bin/bash
    bash-4.2$ cat /mnt/nfs/etc/dhcp/dhcpd.conf
    bash-4.2$ cat /mnt/nfs/var/lib/dhcpd/dhcpd.leases
    bash-4.2$ exit
  8. 输入 satellite-installer 命令,对 /etc/foreman-proxy/settings.d/dhcp.yml 文件进行以下更改:

    # satellite-installer --foreman-proxy-dhcp=true \
    --foreman-proxy-dhcp-provider=remote_isc \
    --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /mnt/nfs/etc/dhcp/dhcpd.conf \
    --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /mnt/nfs/var/lib/dhcpd/dhcpd.leases \
    --foreman-proxy-plugin-dhcp-remote-isc-key-name=omapi_key \
    --foreman-proxy-plugin-dhcp-remote-isc-key-secret=jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw== \
    --foreman-proxy-plugin-dhcp-remote-isc-omapi-port=7911 \
    --enable-foreman-proxy-plugin-dhcp-remote-isc \
    --foreman-proxy-dhcp-server=DHCP_Server_FQDN
  9. 重启 foreman-proxy 服务:

    # systemctl restart foreman-proxy
  10. 在 Satellite Web UI 中,导航到 Infrastructure > Capsules
  11. 找到 Satellite 服务器,然后从 Actions 列中的列表中选择 Refresh
  12. 将 DHCP 服务与适当的子网和域关联。

5.3. 使用外部 TFTP 配置 Satellite 服务器

您可以使用外部 TFTP 服务配置 Satellite 服务器。

流程

  1. 为 NFS 创建 TFTP 目录:

    # mkdir -p /mnt/nfs/var/lib/tftpboot
  2. /etc/fstab 文件中添加以下行:

    TFTP_Server_IP_Address:/exports/var/lib/tftpboot /mnt/nfs/var/lib/tftpboot nfs rw,vers=3,auto,nosharecache,context="system_u:object_r:tftpdir_rw_t:s0" 0 0
  3. /etc/fstab 中挂载文件系统:

    # mount -a
  4. 输入 satellite-installer 命令,对 /etc/foreman-proxy/settings.d/tftp.yml 文件进行以下更改:

    # satellite-installer --foreman-proxy-tftp=true \
    --foreman-proxy-tftp-root /mnt/nfs/var/lib/tftpboot
  5. 如果 TFTP 服务在 DHCP 服务不同的服务器上运行,请使用 TFTP 服务在其中运行的服务器的 FQDN 或 IP 地址更新 tftp_servername 设置:

    # satellite-installer --foreman-proxy-tftp-servername=TFTP_Server_FQDN
  6. 在 Satellite Web UI 中,导航到 Infrastructure > Capsules
  7. 找到 Satellite 服务器,然后从 Actions 列中的列表中选择 Refresh
  8. 将 TFTP 服务与适当的子网和域关联。

5.4. 使用外部 IdM DNS 配置 Satellite 服务器

当 Satellite 服务器为主机添加 DNS 记录时,首先确定哪个 Capsule 为该域提供 DNS。然后,它将与配置为为您的部署提供 DNS 服务的 Capsule 通信并添加记录。此过程中不涉及该主机。因此,您必须在 Satellite 或 Capsule 上安装和配置 IdM 客户端,该客户端当前配置为为您要使用 IdM 服务器管理的域提供 DNS 服务。

可将 Satellite 服务器配置为使用红帽身份管理(IdM)服务器来提供 DNS 服务。有关红帽身份管理的更多信息,请参阅 Linux 域身份、身份验证和策略指南

要将 Satellite 服务器配置为使用 Red Hat Identity Management (IdM)服务器来提供 DNS 服务,请使用以下流程之一:

要恢复到内部 DNS 服务,请使用以下流程:

注意

您不需要使用 Satellite 服务器来管理 DNS。当您使用 Satellite 的域注册功能时,置备的主机会自动注册到 IdM,ipa-client-install 脚本会为客户端创建 DNS 记录。使用外部 IdM DNS 和域注册配置 Satellite 服务器是互斥的。有关配置域注册的更多信息,请参阅 管理 Red Hat Satellite 指南中的置备主机 外部身份验证。

5.4.1. 使用 GSS-TSIG 身份验证配置动态 DNS 更新

您可以将 IdM 服务器配置为将通用安全服务算法用于 RFC3645 中定义的 secret 密钥事务(GSS-TSIG)技术。要将 IdM 服务器配置为使用 GSS-TSIG 技术,您必须在 Satellite 服务器基础操作系统上安装 IdM 客户端。

先决条件

  • 您必须确保 IdM 服务器已部署,并且基于主机的防火墙已正确配置。如需更多信息,请参阅 Linux 域身份、身份验证和策略指南 中的 端口要求
  • 您必须联系 IdM 服务器管理员,以确保获取 IdM 服务器上的帐户,并有权在 IdM 服务器上创建区域。
  • 您应该创建回答文件的备份。如果回答文件损坏,您可以使用备份将其恢复到其原始状态。如需更多信息,请参阅配置 Satellite 服务器

流程

要使用 GSS-TSIG 身份验证配置动态 DNS 更新,请完成以下步骤:

在 IdM 服务器上创建 Kerberos 主体

  1. 为从 IdM 管理员获取的帐户获取 Kerberos 票据:

    # kinit idm_user
  2. 为 Satellite 服务器创建一个新的 Kerberos 主体,用于在 IdM 服务器上进行身份验证。

    # ipa service-add capsule/satellite.example.com

安装和配置 IdM 客户端

  1. 在管理部署的 DNS 服务的 Satellite 或 Capsule 的基本操作系统中,安装 ipa-client 软件包:

    # satellite-maintain packages install ipa-client
  2. 运行安装脚本并遵循屏幕提示来配置 IdM 客户端:

    # ipa-client-install
  3. 获取Kerberos ticket:

    # kinit admin
  4. 删除任何已存在的 keytab

    # rm /etc/foreman-proxy/dns.keytab
  5. 获取此系统的 keytab

    # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
    -s idm1.example.com -k /etc/foreman-proxy/dns.keytab
    注意

    将 keytab 添加到与服务原始系统相同的主机名的备用系统中时,添加 r 选项以防止生成新凭证并在原始系统上呈现凭据无效。

  6. 对于 dns.keytab 文件,将所有者和组设置为 foreman-proxy

    # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab
  7. 可选: 要验证 keytab 文件是否有效,请输入以下命令:

    # kinit -kt /etc/foreman-proxy/dns.keytab \
    capsule/satellite.example.com@EXAMPLE.COM

在 IdM Web UI 中配置 DNS 区域

  1. 创建并配置您要管理的区:

    1. 进入 Network Services > DNS > DNS Zones
    2. 选择 Add 并输入区域名称。例如: example.com
    3. Add and Edit
    4. 点 Settings 选项卡,在 BIND 更新策略 框中,将以下内容添加到分号分开的列表中:

      grant capsule/047satellite.example.com@EXAMPLE.COM wildcard * ANY;
    5. Dynamic update 设置为 True
    6. 启用 Allow PTR 同步
    7. Save 保存更改。
  2. 创建并配置反向区:

    1. 进入 Network Services > DNS > DNS Zones
    2. 点击 Add
    3. 选择 Reverse zone IP network 并使用 CIDR 格式添加网络地址来启用反向查找。
    4. Add and Edit
    5. Settings 选项卡,在 BIND 更新策略 框中,将以下内容添加到分号分开的列表中:

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;
    6. Dynamic update 设置为 True
    7. Save 保存更改。

配置管理域的 DNS 服务的 Satellite 或 Capsule 服务器

  1. 使用 satellite-installer 命令配置管理域的 DNS 服务的 Satellite 或 Capsule:

    • 在 Satellite 中输入以下命令:

      satellite-installer --scenario satellite \
      --foreman-proxy-dns=true \
      --foreman-proxy-dns-managed=false \
      --foreman-proxy-dns-provider=nsupdate_gss \
      --foreman-proxy-dns-server="idm1.example.com" \
      --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
      --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab
    • 在 Capsule 中输入以下命令:

      satellite-installer --scenario capsule \
      --foreman-proxy-dns=true \
      --foreman-proxy-dns-managed=false \
      --foreman-proxy-dns-provider=nsupdate_gss \
      --foreman-proxy-dns-server="idm1.example.com" \
      --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
      --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab

运行 satellite-installer 命令对 Capsule 配置进行任何更改后,您必须在 Satellite Web UI 中更新每个受影响的 Capsule 的配置。

在 Satellite Web UI 中更新配置

  1. 在 Satellite Web UI 中,导航到 Infrastructure > Capsules,找到 Satellite Server,并从 Actions 列中的列表,选择 Refresh
  2. 配置域:

    1. 在 Satellite Web UI 中,导航到 Infrastructure > Domains 并选择域名。
    2. Domain 选项卡中,确保将 DNS Capsule 设置为子网连接的 Capsule。
  3. 配置子网:

    1. 在 Satellite Web UI 中,导航到 Infrastructure > Subnets 并选择子网名称。
    2. 子网 选项卡中,将 IPAM 设置为 None
    3. Domains 选项卡中,选择您要使用 IdM 服务器管理的域。
    4. Capsules 选项卡中,确保将 Reverse DNS Capsule 设置为子网连接的 Capsule。
    5. Submit 保存更改。

5.4.2. 使用 TSIG 身份验证配置动态 DNS 更新

您可以将 IdM 服务器配置为对使用 rndc.key 密钥文件的 DNS (TSIG)技术进行 secret 密钥事务身份验证。TSIG 协议在 RFC2845 中定义。

先决条件

  • 您必须确保 IdM 服务器已部署,并且基于主机的防火墙已正确配置。如需更多信息,请参阅 Linux 域身份、身份验证和策略指南 中的 端口要求
  • 您必须在 IdM 服务器上获取 root 用户访问权限。
  • 您必须确认 Satellite 服务器或 Capsule 服务器是否已配置为为您的部署提供 DNS 服务。
  • 您必须在管理部署的 DNS 服务的 Satellite 或 Capsule 的基础操作系统上配置 DNS、DHCP 和 TFTP 服务。
  • 您必须创建回答文件的备份。如果回答文件损坏,您可以使用备份将其恢复到其原始状态。如需更多信息,请参阅配置 Satellite 服务器

流程

要使用 TSIG 身份验证配置动态 DNS 更新,请完成以下步骤:

在 IdM 服务器中启用对 DNS 区的外部更新

  1. 在 IdM 服务器上,将以下内容添加到 /etc/named.conf 文件的顶部:

    ########################################################################
    
    include "/etc/rndc.key";
    controls  {
    inet _IdM_Server_IP_Address_ port 953 allow { _Satellite_IP_Address_; } keys { "rndc-key"; };
    };
    ########################################################################
  2. 重新载入 named 服务以使更改生效:

    # systemctl reload named
  3. 在 IdM Web UI 中,导航到 Network Services > DNS > DNS Zones,然后点击区的名称。在 Settings 选项卡中,应用以下更改:

    1. BIND 更新策略框中添加以下内容

      grant "rndc-key" zonesub ANY;
    2. Dynamic update 设置为 True
    3. Update 保存更改。
  4. /etc/rndc.key 文件从 IdM 服务器复制到 Satellite 服务器的基本操作系统。使用以下命令:

    # scp /etc/rndc.key root@satellite.example.com:/etc/rndc.key
  5. 要为 rndc.key 文件设置正确的所有权、权限和 SELinux 上下文,请输入以下命令:

    # restorecon -v /etc/rndc.key
    # chown -v root:named /etc/rndc.key
    # chmod -v 640 /etc/rndc.key
  6. 手动将 foreman-proxy 用户分配给 named 组。通常,satellite-installer 确保 foreman-proxy 用户属于 named UNIX 组,但是在这种情况下,Satellite 不管理用户和组,因此您需要手动将 foreman-proxy 用户分配给 named 组。

    # usermod -a -G named foreman-proxy
  7. 在 Satellite 服务器上,输入以下 satellite-installer 命令将 Satellite 配置为使用外部 DNS 服务器:

    # satellite-installer --scenario satellite \
    --foreman-proxy-dns=true \
    --foreman-proxy-dns-managed=false \
    --foreman-proxy-dns-provider=nsupdate \
    --foreman-proxy-dns-server="IdM_Server_IP_Address" \
    --foreman-proxy-keyfile=/etc/rndc.key \
    --foreman-proxy-dns-ttl=86400

测试 IdM 服务器中的 DNS 区的外部更新

  1. 确保 Satellite 服务器上的 /etc/rndc.key 文件中的密钥与 IdM 服务器中使用的密钥文件相同:

    key "rndc-key" {
            algorithm hmac-md5;
            secret "secret-key==";
    };
  2. 在 Satellite 服务器上,为主机创建一个测试 DNS 条目。例如,在 192.168.25.1 的 IdM 服务器上的 A 记录 192.168.25.20 的主机 test.example.com

    # echo -e "server 192.168.25.1\n \
    update add test.example.com 3600 IN A 192.168.25.20\n \
    send\n" | nsupdate -k /etc/rndc.key
  3. 在 Satellite 服务器上,测试 DNS 条目:

    # nslookup test.example.com 192.168.25.1
    Server:		192.168.25.1
    Address:	192.168.25.1#53
    
    Name:	test.example.com
    Address: 192.168.25.20
  4. 要查看 IdM Web UI 中的条目,请导航到 Network Services > DNS > DNS Zones。单击区域的名称,再按名称搜索主机。
  5. 如果成功解析,请删除 test DNS 条目:

    # echo -e "server 192.168.25.1\n \
    update delete test.example.com 3600 IN A 192.168.25.20\n \
    send\n" | nsupdate -k /etc/rndc.key
  6. 确认 DNS 条目已被删除:

    # nslookup test.example.com 192.168.25.1

    以上 nslookup 命令失败,并在成功删除记录时返回 SERVFAIL 错误消息。

5.4.3. 恢复到内部 DNS 服务

您可以恢复到使用 Satellite 服务器和 Capsule 服务器作为 DNS 提供程序。您可以使用配置外部 DNS 之前创建的回答文件的备份,或者您可以创建回答文件的备份。有关回答文件的更多信息,请参阅配置 Satellite 服务器

流程

在您要配置为管理域的 DNS 服务的 Satellite 或 Capsule 服务器上,完成以下步骤:

将 Satellite 或 Capsule 配置为 DNS 服务器

  • 如果您在配置外部 DNS 前创建了回答文件的备份,请恢复回答文件,然后输入 satellite-installer 命令:

    # satellite-installer
  • 如果您没有回答文件的合适的备份,请立即创建回答文件的备份。要在不使用回答文件的情况下将 Satellite 或 Capsule 配置为 DNS 服务器,请在 Satellite 或 Capsule 中输入以下 satellite-installer 命令:

    # satellite-installer \
    --foreman-proxy-dns=true \
    --foreman-proxy-dns-managed=true \
    --foreman-proxy-dns-provider=nsupdate \
    --foreman-proxy-dns-server="127.0.0.1"

    如需更多信息,请参阅在 Capsule 服务器上配置 DNS、DHCP 和 TFTP

运行 satellite-installer 命令对 Capsule 配置进行任何更改后,您必须在 Satellite Web UI 中更新每个受影响的 Capsule 的配置。

在 Satellite Web UI 中更新配置

  1. 在 Satellite Web UI 中,导航到 Infrastructure > Capsules
  2. 对于您要更新的每个 Capsule,请从 Actions 列表中选择 Refresh
  3. 配置域:

    1. 在 Satellite Web UI 中,导航到 Infrastructure > Domains,然后点击您要配置的域名。
    2. Domain 选项卡中,将 DNS Capsule 设置为子网连接的 Capsule。
  4. 配置子网:

    1. 在 Satellite Web UI 中,导航到 Infrastructure > Subnets 并选择子网名称。
    2. 子网 选项卡中,将 IPAM 设置为 DHCP内部 DB
    3. Domains 选项卡中,选择您要使用 Satellite 或 Capsule 管理的域。
    4. Capsules 选项卡中,将 Reverse DNS Capsule 设置为子网连接的 Capsule。
    5. Submit 保存更改。

附录 A. 将自定义配置应用到 Red Hat Satellite

当您使用 satellite-installer 首次安装和配置 Satellite 时,您可以使用安装程序标志 --foreman-proxy-dns-managed=false 指定 DNS 和 DHCP 配置文件不由 Puppet 管理。如果在初始安装程序运行时没有指定这些标志,则重新运行安装程序会覆盖所有手动更改,例如重新运行用于升级目的。如果更改被覆盖,您必须运行恢复过程来恢复手动更改。如需更多信息,请参阅 Puppet 运行所覆盖的手动更改

要查看可用于自定义配置的所有安装程序标志,请运行 satellite-installer --scenario satellite --full-help。有些 Puppet 类没有公开给 Satellite 安装程序。要手动管理它们并防止安装程序覆盖其值,请通过将条目添加到配置文件 /etc/foreman-installer/custom-hiera.yaml 来指定配置值。此配置文件采用 YAML 格式,每行以 < puppet class>::<parameter name>: <value> 格式组成。此文件中指定的配置值会在安装程序重新运行后保留。

常见示例包括:

  • 对于 Apache,要将 ServerTokens 指令设置为仅返回 产品名称:

    apache::server_tokens: Prod
  • 完全关闭 Apache 服务器签名:

    apache::server_signature: Off

Satellite 安装程序的 Puppet 模块存储在 /usr/share/foreman-installer/modules 下。检查 .pp 文件(例如: moduleName/manifests/example.pp)以查找类、参数和值。或者,使用 grep 命令进行关键字搜索。

设置某些值可能会产生影响 Red Hat Satellite 性能或功能的意外结果。在应用更改前,请考虑更改的影响,并首先在非生产环境中测试更改。如果您没有非生产环境的 Satellite 环境,请使用 --noop--verbose 选项运行 Satellite 安装程序。如果您的更改导致问题,请从 custom-hiera.yaml 中删除异常行,并重新运行 Satellite 安装程序。如果您对特定值是否安全更改有疑问,请联系红帽支持。

附录 B. 使用 Puppet 运行恢复手动更改

如果您的手动配置已被 Puppet 运行覆盖,您可以将文件恢复到以前的状态。以下示例演示了如何恢复由 Puppet 运行覆盖的 DHCP 配置文件。

流程

  1. 复制您要恢复的文件。这可让您比较文件来检查升级所需的任何强制更改。这不是 DNS 或 DHCP 服务通用的。

    # cp /etc/dhcp/dhcpd.conf /etc/dhcp/dhcpd.backup
  2. 检查日志文件,以记下覆盖文件的 md5sum。例如:

    # journalctl -xe
    ...
    /Stage[main]/Dhcp/File[/etc/dhcp/dhcpd.conf]: Filebucketed /etc/dhcp/dhcpd.conf to puppet with sum 622d9820b8e764ab124367c68f5fa3a1
    ...
  3. 恢复覆盖的文件:

    # puppet filebucket restore --local --bucket \
    /var/lib/puppet/clientbucket /etc/dhcp/dhcpd.conf \ 622d9820b8e764ab124367c68f5fa3a1
  4. 比较备份文件和恢复的文件,并编辑恢复的文件,使其包含升级所需的任何强制更改。

法律通告

Copyright © 2023 Red Hat, Inc.
The text of and illustrations in this document are licensed by Red Hat under a Creative Commons Attribution–Share Alike 3.0 Unported license ("CC-BY-SA"). An explanation of CC-BY-SA is available at http://creativecommons.org/licenses/by-sa/3.0/. In accordance with CC-BY-SA, if you distribute this document or an adaptation of it, you must provide the URL for the original version.
Red Hat, as the licensor of this document, waives the right to enforce, and agrees not to assert, Section 4d of CC-BY-SA to the fullest extent permitted by applicable law.
Red Hat, Red Hat Enterprise Linux, the Shadowman logo, the Red Hat logo, JBoss, OpenShift, Fedora, the Infinity logo, and RHCE are trademarks of Red Hat, Inc., registered in the United States and other countries.
Linux® is the registered trademark of Linus Torvalds in the United States and other countries.
Java® is a registered trademark of Oracle and/or its affiliates.
XFS® is a trademark of Silicon Graphics International Corp. or its subsidiaries in the United States and/or other countries.
MySQL® is a registered trademark of MySQL AB in the United States, the European Union and other countries.
Node.js® is an official trademark of Joyent. Red Hat is not formally related to or endorsed by the official Joyent Node.js open source or commercial project.
The OpenStack® Word Mark and OpenStack logo are either registered trademarks/service marks or trademarks/service marks of the OpenStack Foundation, in the United States and other countries and are used with the OpenStack Foundation's permission. We are not affiliated with, endorsed or sponsored by the OpenStack Foundation, or the OpenStack community.
All other trademarks are the property of their respective owners.