1. 禁用所有软件仓库：

   # subscription-manager repos --disable "*"

2. 启用以下软件仓库：

   # subscription-manager repos --enable=rhel-8-for-x86_64-baseos-rpms \
   --enable=rhel-8-for-x86_64-appstream-rpms \
   --enable=satellite-6.11-for-rhel-8-x86_64-rpms \
   --enable=satellite-maintenance-6.11-for-rhel-8-x86_64-rpms

3. 启用模块：

   # dnf module enable satellite:el8

   注意

   启用模块 satellite:el8 会警告与 postgresql:10 和 ruby:2.5 冲突，因为这些模块被设置为 Red Hat Enterprise Linux 8 上的默认模块版本。模块 satellite:el8 依赖于 postgresql:12 和 ruby:2.7 的模块，可通过 satellite:el8 模块启用。这些警告不会造成安装过程失败，因此可以安全地忽略。有关 Red Hat Enterprise Linux 8 中模块和生命周期的详情，请查看 Red Hat Enterprise Linux 应用程序流生命周期。

1. 禁用所有软件仓库：

   # subscription-manager repos --disable "*"

2. 启用以下软件仓库：

   # subscription-manager repos --enable=rhel-7-server-rpms \
   --enable=rhel-server-rhscl-7-rpms \
   --enable=rhel-7-server-ansible-2.9-rpms \
   --enable=rhel-7-server-satellite-6.11-rpms \
   --enable=rhel-7-server-satellite-maintenance-6.11-rpms

流程

1. 更新所有软件包：

   # dnf update

2. 安装 Satellite 服务器软件包：

   # dnf install satellite

1. 更新所有软件包：

   # yum update

2. 安装 Satellite 服务器软件包：

   # yum install satellite

流程

1. 输入以下命令以及您要使用的任何附加选项：

   # satellite-installer --scenario satellite \
   --foreman-initial-organization "My_Organization" \
   --foreman-initial-location "My_Location" \
   --foreman-initial-admin-username admin_user_name \
   --foreman-initial-admin-password admin_password

   这个脚本会显示其进度，并将日志写入 /var/log/foreman-installer/satellite.log。

流程

1. 在 Satellite Web UI 中，导航到 Infrastructure > HTTP Proxies。
2. 单击 New HTTP Proxy。
3. 在 Name 字段中输入 HTTP 代理的名称。
4. 在 Url 字段中，以以下格式输入 HTTP 代理的 URL ：
5. 可选：如果需要身份验证，在 Username 字段中输入用户名以进行身份验证。
6. 可选： 如果需要身份验证，在 Password 字段中输入密码以进行身份验证。
7. 要测试与代理的连接，请单击 Test Connection 按钮。
8. 点 Submit。
9. 在 Satellite Web UI 中，导航到 Administer > Settings，然后点 Content 选项卡。
10. 将 Default HTTP Proxy 设置设置为创建的 HTTP 代理。

CLI 过程

1. 验证 http_proxy、https_proxy 和 no_proxy 变量是否未设置。

   # unset http_proxy
   # unset https_proxy
   # unset no_proxy

2. 在 Satellite 中添加 HTTP 代理条目：

   # hammer http-proxy create --name=myproxy \
   --url http://myproxy.example.com:8080  \
   --username=proxy_username \
   --password=proxy_password

3. 将 Satellite 配置为默认使用此 HTTP 代理：

   # hammer settings set --name=content_default_http_proxy --value=myproxy

流程

1. 在网络网关和 HTTP 代理中，为以下主机名启用 TCP：

   主机名	端口	协议
   subscription.rhsm.redhat.com	443	HTTPS
   cdn.redhat.com	443	HTTPS
   *.akamaiedge.net	443	HTTPS
   cert-api.access.redhat.com (if using Red Hat Insights)	443	HTTPS
   api.access.redhat.com (if using Red Hat Insights)	443	HTTPS

   Satellite 服务器使用 SSL 来安全地与红帽 CDN 通信。使用 SSL 拦截器会干扰这个通信。这些主机必须在代理上列入白名单。

   如需红帽 CDN(cdn.redhat.com)使用的 IP 地址列表，请参阅红帽客户门户网站中 红帽公共 CIDR 列表 文章。

2. 在控制台中，在 /etc/rhsm/rhsm.conf 文件中完成以下详情：

   # an http proxy server to use (enter server FQDN)
   proxy_hostname = myproxy.example.com
   
   # port for http proxy server
   proxy_port = 8080
   
   # user name for authenticating to an http proxy, if needed
   proxy_user =
   
   # password for basic http proxy auth, if needed
   proxy_password =

流程

1. 在 Satellite 中，要验证 SELinux 为 HTTP 缓存允许的端口，请输入以下命令：

   # semanage port -l | grep http_cache
   http_cache_port_t       tcp    8080, 8118, 8123, 10001-10010
   [output truncated]

2. 要将 SELinux 配置为允许 HTTP 缓存的端口，如 8088，请输入以下命令：

   # semanage port -a -t http_cache_port_t -p tcp 8088

流程

1. 在 Satellite Web UI 中，导航到 Administer > Settings。
2. 在 HTTP(S)代理 行中，选择相邻的 Value 列并输入代理 URL。
3. 点 tick 图标保存您的更改。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Settings。
2. 在 HTTP(S)代理中，选择主机行，选择相邻的 Value 列，并输入您要从代理请求中排除的一个或多个主机的名称。
3. 点 tick 图标保存您的更改。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Settings，然后点 Content 选项卡。
2. 将 Default HTTP Proxy 设置设置为 no global default。

流程

1. 要存储所有源证书文件，请创建一个仅可供 root 用户访问的目录。

   # mkdir /root/satellite_cert

2. 创建为证书签名请求(CSR)签名的私钥。

   请注意，私钥必须未加密的。如果您使用受密码保护的私钥，请删除私钥密码。

   如果您已拥有此卫星服务器的私钥，请跳过这一步。

   # openssl genrsa -out /root/satellite_cert/satellite_cert_key.pem 4096

3. 为证书签名请求(CSR)创建 /root/satellite_cert/openssl.cnf 配置文件并包含以下内容：

   [ req ]
   req_extensions = v3_req
   distinguished_name = req_distinguished_name
   x509_extensions = usr_cert
   prompt = no
   
   [ req_distinguished_name ] 1
   C  = Country Name (2 letter code)
   ST = State or Province Name (full name)
   L  = Locality Name (eg, city)
   O  = Organization Name (eg, company)
   OU = The division of your organization handling the certificate
   CN = satellite.example.com 2
   
   [ v3_req ]
   basicConstraints = CA:FALSE
   keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   subjectAltName = @alt_names
   
   [ usr_cert ]
   basicConstraints=CA:FALSE
   nsCertType = client, server, email
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   nsComment = "OpenSSL Generated Certificate"
   subjectKeyIdentifier=hash
   authorityKeyIdentifier=keyid,issuer
   
   [ alt_names ]
   DNS.1 = satellite.example.com 3

   1

   在 [ req_distinguished_name ] 部分，输入您的机构信息。

   2

   将证书的 Common Name CN 设置为与 Satellite 服务器的完全限定域名(FQDN)匹配。要确认该服务器上的 FQDN，请输入 hostname -f 命令。这需要确保 katello-certs-check 命令正确验证证书。

   3

   将 Subject Alternative Name(SAN) DNS.1 设置为与服务器的完全限定域名(FQDN)匹配。

4. 生成证书签名请求(CSR)：

   # openssl req -new \
   -key /root/satellite_cert/satellite_cert_key.pem \ 1
   -config /root/satellite_cert/openssl.cnf \ 2
   -out /root/satellite_cert/satellite_cert_csr.pem 3

   1

   私钥路径。

   2

   配置文件的路径。

   3

   要生成的 CSR 的路径。

5. 将证书签名请求发送到证书颁发机构。相同的证书颁发机构必须签署卫星服务器和胶囊服务器的证书。

   提交请求时，指定证书的寿命。发送证书请求的方法各不相同，因此请查阅证书颁发机构以获取首选方法。为了响应请求，预计可以在单独的文件中接收证书颁发机构捆绑包和签名证书。

流程

1. 验证自定义 SSL 证书输入文件。请注意，对于 katello-certs-check 命令可以正常工作，证书中的 Common Name(CN)必须与卫星服务器的 FQDN 匹配。

   # katello-certs-check \
   -c /root/satellite_cert/satellite_cert.pem \      1
   -k /root/satellite_cert/satellite_cert_key.pem \  2
   -b /root/satellite_cert/ca_cert_bundle.pem        3

   1

   由证书颁发机构签名的 Satellite 服务器证书文件的路径。

   2

   用于为卫星服务器证书签名的私钥的路径。

   3

   证书颁发机构捆绑包的路径。

   如果命令成功，它将返回两个 satellite-installer 命令，其中一个必须使用它来将证书部署到卫星服务器。

   katello-certs-check输出示例

   Validation succeeded.
   
   To install the Red Hat Satellite Server with the custom certificates, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem"
   
   To update the certificates on a currently running Red Hat Satellite installation, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem" \
       --certs-update-server --certs-update-server-ca

2. 在 katello-certs-check 命令的输出中，根据您的要求，输入 satellite-installer 命令，该命令使用自定义 SSL 证书在当前正在运行的 Satellite 上安装新 Satellite 或更新证书。

   如果您不确定要运行的命令，您可以通过检查文件 /etc/foreman-installer/scenarios.d/.installed 来验证是否安装了 Satellite。如果文件存在，请运行更新证书的第二个 satellite-installer 命令。

   重要

   不要在部署证书后删除证书归档文件。例如，升级卫星服务器时需要它。

3. 在可访问卫星服务器的计算机中，导航到以下 URL ：
4. 在浏览器中，查看证书详情以验证部署的证书。

流程

1. 使用 将 Satellite Infrastructure 订阅附加到服务器中的说明。

2. 禁用所有软件仓库并只启用以下软件仓库：

   # subscription-manager repos --disable '*'
   # subscription-manager repos --enable=rhel-server-rhscl-7-rpms \
   --enable=rhel-7-server-rpms --enable=rhel-7-server-satellite-6.11-rpms

流程

1. 要安装 PostgreSQL，请输入以下命令：

   # yum install rh-postgresql12-postgresql-server \
   rh-postgresql12-syspaths \
   rh-postgresql12-postgresql-evr

2. 要初始化 PostgreSQL，请输入以下命令：

   # postgresql-setup initdb

3. 编辑 /var/opt/rh-postgresql12/lib/pgsql/data/postgresql.conf 文件：

   # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/postgresql.conf

4. 删除 # 并编辑 以侦听入站连接：

   listen_addresses = '*'

5. 编辑 /var/opt/rh-postgresql12/lib/pgsql/data/pg_hba.conf 文件：

   # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/pg_hba.conf

6. 在文件中添加以下行：

     host  all   all   Satellite_ip/24   md5

7. 要启动并启用 PostgreSQL 服务，请输入以下命令：

   # systemctl start postgresql
   # systemctl enable postgresql

8. 打开外部 PostgreSQL 服务器上的 postgresql 端口：

   # firewall-cmd --add-service=postgresql
   # firewall-cmd --runtime-to-permanent

9. 切换到 postgres 用户并启动 PostgreSQL 客户端：

   $ su - postgres -c psql

10. 创建三个数据库和专用角色：一个用于 Satellite，一个用于 Candlepin，另一个用于 Pulp：

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE USER "pulp" WITH PASSWORD 'Pulpcore_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;
    CREATE DATABASE pulpcore OWNER pulp;

11. 退出 postgres 用户：

    # \q

12. 从卫星服务器，测试您可以访问数据库。如果连接成功，命令会返回 1。

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"
    # PGPASSWORD='Pulpcore_Password' psql -h postgres.example.com -p 5432 -U pulp -d pulpcore -c "SELECT 1 as ping"

流程

1. 要为 Satellite 配置外部数据库，请输入以下命令：

   satellite-installer --scenario satellite \
     --foreman-db-host postgres.example.com \
     --foreman-db-password Foreman_Password \
     --foreman-db-database foreman \
     --foreman-db-manage false \
     --katello-candlepin-db-host postgres.example.com \
     --katello-candlepin-db-name candlepin \
     --katello-candlepin-db-password Candlepin_Password \
     --katello-candlepin-manage-db false \
     --foreman-proxy-content-pulpcore-manage-postgresql false \
     --foreman-proxy-content-pulpcore-postgresql-host postgres.example.com \
     --foreman-proxy-content-pulpcore-postgresql-db-name pulpcore \
     --foreman-proxy-content-pulpcore-postgresql-password Pulpcore_Password
     --foreman-proxy-content-pulpcore-postgresql-user pulp

   要为这些外部数据库启用安全套接字层(SSL)协议，请添加以下选项：

   --foreman-db-sslmode verify-full
   --foreman-db-root-cert <path_to_CA>
   --katello-candlepin-db-ssl true
   --katello-candlepin-db-ssl-verify true
   --foreman-proxy-content-pulpcore-postgresql-ssl true
   --foreman-proxy-content-pulpcore-postgresql-ssl-root-ca <path_to_CA>

流程

1. 在您的 Red Hat Enterprise Linux 主机上，安装 ISC DHCP Service 和 Berkeley Internet Name Domain(BIND)软件包：

   # yum install dhcp bind

2. 生成安全令牌：

   # dnssec-keygen -a HMAC-MD5 -b 512 -n HOST omapi_key

   因此，在当前目录中创建由两个文件组成的密钥对。

3. 从密钥复制 secret 哈希：

   # cat Komapi_key.+*.private |grep ^Key|cut -d ' ' -f2

4. 编辑所有子网的 dhcpd 配置文件并添加该密钥。以下是一个示例：

   # cat /etc/dhcp/dhcpd.conf
   default-lease-time 604800;
   max-lease-time 2592000;
   log-facility local7;
   
   subnet 192.168.38.0 netmask 255.255.255.0 {
   	range 192.168.38.10 192.168.38.100;
   	option routers 192.168.38.1;
   	option subnet-mask 255.255.255.0;
   	option domain-search "virtual.lan";
   	option domain-name "virtual.lan";
   	option domain-name-servers 8.8.8.8;
   }
   
   omapi-port 7911;
   key omapi_key {
   	algorithm HMAC-MD5;
   	secret "jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw==";
   };
   omapi-key omapi_key;

   请注意，选项路由器 值是您要用于外部 DHCP 服务的 Satellite 或 Capsule IP 地址。

5. 从其在其中创建的目录中删除这两个密钥文件。

6. 在卫星服务器上，定义每个子网。暂时不要为定义的子网设置 DHCP Capsule。

   要防止冲突，请单独设置租期和保留范围。例如，如果租期范围是 192.168.38.10 到 192.168.38.100，在 Satellite Web UI 中将保留范围定义为 192.168.38.101 到 192.168.38.250。

7. 配置防火墙以从外部访问 DHCP 服务器：

   # firewall-cmd --add-service dhcp \
   && firewall-cmd --runtime-to-permanent

8. 在卫星服务器上，确定 foreman 用户的 UID 和 GID：

   # id -u foreman
   993
   # id -g foreman
   990

9. 在 DHCP 服务器中，创建 foreman 用户和组，其 ID 与上一步中确定的 ID 相同：

   # groupadd -g 990 foreman
   # useradd -u 993 -g 990 -s /sbin/nologin foreman

10. 要确保配置文件可以访问，请恢复读和执行标志：

    # chmod o+rx /etc/dhcp/
    # chmod o+r /etc/dhcp/dhcpd.conf
    # chattr +i /etc/dhcp/ /etc/dhcp/dhcpd.conf

11. 启动 DHCP 服务：

    # systemctl start dhcpd

12. 使用 NFS 导出 DHCP 配置和租期文件：

    # yum install nfs-utils
    # systemctl enable rpcbind nfs-server
    # systemctl start rpcbind nfs-server nfs-lock nfs-idmapd

13. 为您要使用 NFS 导出的 DHCP 配置和租期文件创建目录：

    # mkdir -p /exports/var/lib/dhcpd /exports/etc/dhcp

14. 要为创建的目录创建挂载点，请在 /etc/fstab 文件中添加以下行：

    /var/lib/dhcpd /exports/var/lib/dhcpd none bind,auto 0 0
    /etc/dhcp /exports/etc/dhcp none bind,auto 0 0

15. 在 /etc/fstab 中挂载文件系统：

    # mount -a

16. 确定 /etc/exports 中存在以下行：

    /exports 192.168.38.1(rw,async,no_root_squash,fsid=0,no_subtree_check)
    
    /exports/etc/dhcp 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)
    
    /exports/var/lib/dhcpd 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)

    请注意，您输入的 IP 地址是您要用于外部 DHCP 服务的 Satellite 或 Capsule IP 地址。

17. 重新载入 NFS 服务器：

    # exportfs -rva

18. 配置 DHCP omapi 端口 7911 的防火墙：

    # firewall-cmd --add-port="7911/tcp" \
    && firewall-cmd --runtime-to-permanent

19. 可选：配置用于从外部访问 NFS 的防火墙。客户端使用 NFSv3 配置。

    # firewall-cmd --zone public --add-service mountd \
    && firewall-cmd --zone public --add-service rpc-bind \
    && firewall-cmd --zone public --add-service nfs \
    && firewall-cmd --runtime-to-permanent

流程

1. 安装 nfs-utils 工具：

   # yum install nfs-utils

2. 为 NFS 创建 DHCP 目录：

   # mkdir -p /mnt/nfs/etc/dhcp /mnt/nfs/var/lib/dhcpd

3. 更改文件所有者：

   # chown -R foreman-proxy /mnt/nfs

4. 验证与 NFS 服务器和远程过程调用(RPC)通信路径的通信：

   # showmount -e DHCP_Server_FQDN
   # rpcinfo -p DHCP_Server_FQDN

5. 在 /etc/fstab 文件中添加以下几行：

   DHCP_Server_FQDN:/exports/etc/dhcp /mnt/nfs/etc/dhcp nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcp_etc_t:s0" 0 0
   
   DHCP_Server_FQDN:/exports/var/lib/dhcpd /mnt/nfs/var/lib/dhcpd nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcpd_state_t:s0" 0 0

6. 在 /etc/fstab 中挂载文件系统：

   # mount -a

7. 要验证 foreman-proxy 用户可以访问通过网络共享的文件，请显示 DHCP 配置和租期文件：

   # su foreman-proxy -s /bin/bash
   bash-4.2$ cat /mnt/nfs/etc/dhcp/dhcpd.conf
   bash-4.2$ cat /mnt/nfs/var/lib/dhcpd/dhcpd.leases
   bash-4.2$ exit

8. 输入 satellite-installer 命令，对 /etc/foreman-proxy/settings.d/dhcp.yml 文件进行以下更改：

   # satellite-installer --foreman-proxy-dhcp=true \
   --foreman-proxy-dhcp-provider=remote_isc \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /mnt/nfs/etc/dhcp/dhcpd.conf \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /mnt/nfs/var/lib/dhcpd/dhcpd.leases \
   --foreman-proxy-plugin-dhcp-remote-isc-key-name=omapi_key \
   --foreman-proxy-plugin-dhcp-remote-isc-key-secret=jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw== \
   --foreman-proxy-plugin-dhcp-remote-isc-omapi-port=7911 \
   --enable-foreman-proxy-plugin-dhcp-remote-isc \
   --foreman-proxy-dhcp-server=DHCP_Server_FQDN

9. 重启 foreman-proxy 服务：

   # systemctl restart foreman-proxy

10. 在 Satellite Web UI 中，导航到 Infrastructure > Capsules。
11. 找到卫星服务器，再从 Actions 列中的列表选择 Refresh。
12. 将 DHCP 服务与适当的子网和域关联。

在 IdM 服务器上创建 Kerberos 主体

1. 获取从 IdM 管理员获取的帐户的 Kerberos ticket：

   # kinit idm_user

2. 为 Satellite 服务器创建一个新的 Kerberos 主体，用于在 IdM 服务器中进行身份验证。

   # ipa service-add satellite.example.com

安装和配置 IdM 客户端

1. 在管理用于部署的 DNS 服务的 Satellite 或 Capsule 的基础操作系统上，安装 ipa-client 软件包：

   # satellite-maintain packages install ipa-client

2. 运行安装脚本并根据屏幕提示配置 IdM 客户端：

   # ipa-client-install

3. 获取Kerberos ticket：

   # kinit admin

4. 删除任何已存在的 keytab ：

   # rm /etc/foreman-proxy/dns.keytab

5. 获取此系统的 keytab ：

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -s idm1.example.com -k /etc/foreman-proxy/dns.keytab

   注意

   当将 keytab 添加到与服务中原始系统相同的主机名的备用系统中时，添加 r 选项以防止生成新凭证，并在原始系统上渲染凭证无效。

6. 对于 dns.keytab 文件，将 group 和 owner 设置为 foreman-proxy ：

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

7. 可选： 要验证 keytab 文件是否有效，请输入以下命令：

   # kinit -kt /etc/foreman-proxy/dns.keytab \
   capsule/satellite.example.com@EXAMPLE.COM

在 IdM Web UI 中配置 DNS 区域

1. 创建并配置您要管理的区域：

   1. 进入 Network Services > DNS > DNS Zones。
   2. 选择 Add 并输入区域名称。例如： example.com。
   3. 点 Add and Edit。

   4. 点 Settings 标签页并在 BIND 更新策略 框中，在分号分开的列表中添加以下内容：

      grant capsule/047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   5. 将 Dynamic update 设置为 True。
   6. 启用 Allow PTR 同步。
   7. 点 Save 保存更改。

2. 创建并配置反向区：

   1. 进入 Network Services > DNS > DNS Zones。
   2. 点击 Add。
   3. 选择 Reverse zone IP 网络 并使用 CIDR 格式添加网络地址以启用反向查找。
   4. 点 Add and Edit。

   5. 点 Settings 标签页并在 BIND 更新策略 框中，在分号分开的列表中添加以下内容：

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   6. 将 Dynamic update 设置为 True。
   7. 点 Save 保存更改。

配置为域管理 DNS 服务的 Satellite 或 Capsule Server

1. 使用 satellite-installer 命令配置管理域的 DNS 服务的 Satellite 或 Capsule:

   • 在 Satellite 上，输入以下命令：

     satellite-installer --scenario satellite \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=true \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-reverse="55.168.192.in-addr.arpa" \
     --foreman-proxy-dns-zone=example.com \
     --foreman-proxy-dns-ttl=86400

   • 在 Capsule 上，输入以下命令：

     satellite-installer --scenario capsule \
     --foreman-proxy-dns=true \
     --foreman-proxy-dns-managed=true \
     --foreman-proxy-dns-provider=nsupdate_gss \
     --foreman-proxy-dns-server="idm1.example.com" \
     --foreman-proxy-dns-tsig-principal="capsule/satellite.example.com@EXAMPLE.COM" \
     --foreman-proxy-dns-tsig-keytab=/etc/foreman-proxy/dns.keytab \
     --foreman-proxy-dns-reverse="55.168.192.in-addr.arpa" \
     --foreman-proxy-dns-zone=example.com \
     --foreman-proxy-dns-ttl=86400

2. 重启 Satellite 或 Capsule 的代理服务。

   # systemctl restart foreman-proxy

在 Satellite Web UI 中更新配置

1. 在卫星 Web UI 中，导航到 Infrastructure > Capsules，找到 Satellite Server，并从 Actions 列中的列表中选择 Refresh。

2. 配置域：

   1. 在 Satellite Web UI 中，导航到 Infrastructure > Domains 并选择域名。
   2. 在 Domain 选项卡中，确保 DNS Capsule 设置为连接子网的胶囊。

3. 配置子网：

   1. 在 Satellite Web UI 中，导航到 Infrastructure > Subnets 并选择子网名称。
   2. 在 Subnet 选项卡中，将 IPAM 设置为 None。
   3. 在 Domains 选项卡中，选择您要使用 IdM 服务器管理的域。
   4. 在 Capsules 选项卡中，确保将 Reverse DNS Capsule 设置为连接子网的胶囊。
   5. 点 Submit 保存更改。

在 IdM 服务器中启用对 DNS 区的外部更新

1. 在 IdM 服务器中，在 /etc/named.conf 文件的顶部添加以下内容：

   ########################################################################
   
   include "/etc/rndc.key";
   controls  {
   inet _IdM_Server_IP_Address_ port 953 allow { _Satellite_IP_Address_; } keys { "rndc-key"; };
   };
   ########################################################################

2. 重新载入 named 服务以使更改生效：

   # systemctl reload named

3. 在 IdM web UI 中，进入 Network Services > DNS > DNS Zones 并点区的名称。在 Settings 选项卡中，应用以下更改：

   1. 在 BIND 更新策略 框中添加以下内容：

      grant "rndc-key" zonesub ANY;

   2. 将 Dynamic update 设置为 True。
   3. 点 Update 保存更改。

4. 将 /etc/rndc.key 文件从 IdM 服务器复制到 Satellite 服务器的基础操作系统。使用以下命令：

   # scp /etc/rndc.key root@satellite.example.com:/etc/rndc.key

5. 要为 rndc.key 文件设置正确的所有权、权限和 SELinux 上下文，请输入以下命令：

   # restorecon -v /etc/rndc.key
   # chown -v root:named /etc/rndc.key
   # chmod -v 640 /etc/rndc.key

6. 将 foreman-proxy 用户手动分配给 指定组。通常, satellite-installer 可确保 foreman-proxy 用户属于 命名 UNIX 组，但在这种情形中，卫星不管理用户和组，因此您需要手动将 foreman-proxy 用户分配给指定组。

   # usermod -a -G named foreman-proxy

7. 在控制台中，输入以下 satellite-installer 命令，将 Satellite 配置为使用外部 DNS 服务器：

   # satellite-installer --scenario satellite \
   --foreman-proxy-dns=true \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="IdM_Server_IP_Address" \
   --foreman-proxy-keyfile=/etc/rndc.key \
   --foreman-proxy-dns-ttl=86400

将外部更新测试到 IdM 服务器中的 DNS 区

1. 确保卫星服务器的 /etc/rndc.key 文件中的密钥与 IdM 服务器上的 /etc/rndc.key 文件中的密钥相同：

   key "rndc-key" {
           algorithm hmac-md5;
           secret "secret-key==";
   };

2. 在卫星服务器上，为主机创建一个测试 DNS 条目。例如，在 IdM 服务器上具有 A 记录 192.168.25.20 的主机 test.example.com，地址为 192.168.25.1。

   # echo -e "server 192.168.25.1\n \
   update add test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

3. 在 Satellite 服务器中测试 DNS 条目：

   # nslookup test.example.com 192.168.25.1
   Server:		192.168.25.1
   Address:	192.168.25.1#53
   
   Name:	test.example.com
   Address: 192.168.25.20

4. 要在 IdM web UI 中查看条目，请导航至 Network Services > DNS Zones。点区域的名称，并按名称搜索主机。

5. 如果成功解析，请删除测试 DNS 条目：

   # echo -e "server 192.168.25.1\n \
   update delete test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

6. 确认 DNS 条目已被删除：

   # nslookup test.example.com 192.168.25.1

   如果成功删除了记录，上面的 nslookup 命令会失败并返回 SERVFAIL 错误消息。

在 Satellite Web UI 中更新配置

1. 在 Satellite Web UI 中，导航到 Infrastructure > Capsules。
2. 对于您要更新的每个胶囊，从 Actions 列表中选择 Refresh。

3. 配置域：

   1. 在 Satellite Web UI 中，进入 Infrastructure > Domains 并点您要配置的域名。
   2. 在 Domain 选项卡中，将 DNS Capsule 设置为连接子网的胶囊。

4. 配置子网：

   1. 在 Satellite Web UI 中，导航到 Infrastructure > Subnets 并选择子网名称。
   2. 在 子网 选项卡中，将 IPAM 设置为 DHCP 或内部数据库。
   3. 在 Domains 选项卡中，选择您要使用 Satellite 或 Capsule 管理的域。
   4. 在 Capsules 选项卡中，将 Reverse DNS Capsule 设置为连接子网的胶囊。
   5. 点 Submit 保存更改。