跳至主要內容

迁移到 RHEL 10 上的身份管理

大约 46 分钟

迁移到 RHEL 10 上的身份管理

来源：官方文档 原始多页入口：迁移到 RHEL 10 上的身份管理 内容规模：约 38,962 字符，49 个章节标题，78 个命令/代码块，26 条提示框

阅读提要

  • 副标题：将 IdM 环境从 RHEL 9 升级到 RHEL 10，并将外部 LDAP 解决方案迁移到 IdM
  • 摘要：红帽仅支持 Red Hat Enterprise Linux (RHEL)上的身份管理(IdM)。如果在 RHEL 9 或 LDAP 目录上运行 IdM，您可以将这些解决方案迁移到 RHEL 10 上的 IdM。
  • 主要章节：将 IdM 环境从 RHEL 9 升级到 RHEL 10，并将外部 LDAP 解决方案迁移到 IdM；对红帽文档提供反馈；第 1 章 Identity Management Upgrade Helper 应用程序；第 2 章 将 IdM 环境从 RHEL 9 服务器迁移到 RHEL 10 服务器；第 3 章 RHEL 9 到 RHEL 10 IdM 客户端升级；第 4 章 从一个 IdM 服务器迁移到另一个 IdM 服务器；第 5 章 从非 RHEL Linux 发行版上的 FreeIPA 迁移到 RHEL 10 上的 IdM；第 6 章 从 LDAP 目录迁移到 IdM
  • 推荐阅读顺序：先看“阅读提要”和目录，再按章节查看“关键点/命令/注意”；需要原文细节时点击来源链接。

章节笔记

概览

  • 该章节主要为下一级主题的入口。

将 IdM 环境从 RHEL 9 升级到 RHEL 10，并将外部 LDAP 解决方案迁移到 IdM

  • 要点：摘要

对红帽文档提供反馈

  • 要点：我们致力于为您提供高质量的文档，您的反馈将对我们有很大帮助。为帮助我们改进，您可以通过 Red Hat Jira 跟踪系统提交建议或报告错误。
  • 要点：流程
  • 列表：登录到 Jira 网站。 如果您还没有帐户，请创建一个。
  • 列表：单击顶部导航栏中的 Create。
  • 列表：在 Summary 字段中输入描述性标题。
  • 列表：在 Description 字段中输入您对改进的建议。包括文档相关部分的链接。
  • 列表：点窗口底部的 Create。

第 1 章 Identity Management Upgrade Helper 应用程序

  • 要点：Identity Management Upgrade Helper 应用程序可帮助您准备升级 IdM 部署。您可以使用应用程序创建带有整个过程的特定分步说明的自定义升级计划，从设置新副本以弃用旧服务器。
  • 要点：要使用此应用程序，请参阅红帽客户门户网站上的 Identity Management Upgrade Helper。

第 2 章 将 IdM 环境从 RHEL 9 服务器迁移到 RHEL 10 服务器

  • 要点：将 IdM 环境从 RHEL 9 升级到 RHEL 10 需要在现有部署中添加新的 RHEL 10 副本，传输 CA 和 CRL 角色，然后停用 RHEL 9 服务器。不支持 IdM 服务器的原位升级。
  • 要点：迁移涉及将所有身份管理(IdM)数据和配置从 Red Hat Enterprise Linux (RHEL) 9 服务器移到 RHEL 10 服务器中。

2.1. IdM 迁移步骤概述

  • 要点：为了帮助规划您的身份管理(IdM)从 RHEL 9 迁移到 RHEL 10，请查看主要流程、复杂部署和迁移限制的可选流程。
  • 要点：主要迁移步骤包括：
  • 列表：配置 RHEL 10 IdM 服务器并将其作为副本添加到您当前的 RHEL 9 IdM 环境中。
  • 列表：使 RHEL 10 服务器成为证书颁发机构(CA)续订服务器。
  • 列表：在 RHEL 9 服务器上停止生成证书撤销列表(CRL)，并将 CRL 请求重定向到 RHEL 10。
  • 列表：在 RHEL 10 服务器上启动 CRL 的生成。
  • 列表：停止并弃用原始 RHEL 9 CA 续订服务器。
  • 列表：在 IdM 拓扑中执行角色清单
  • 注意：重要 尽快迁移 IdM 部署中的所有服务器。在同一部署中长时间混合使用不同的 IdM 版本可能导致不兼容，甚至可能导致无法恢复的数据损坏。
  • 注意：警告 不支持 RHEL 9 IdM 服务器和 IdM 服务器节点到 RHEL 10 的原位升级。 在将 IdM 环境迁移到 RHEL 10 之前，红帽建议首先运行 ipa-healthcheck 来防止问题。 有关在 FIPS 模式下将 RHEL 10 IdM 副本添加到 FIPS 模式的 RHEL 9 IdM 部署的更多信息，请参阅使用 RHEL 10 一节中的身份管理部分。 不支持直接从 RHEL 8 或更早版本迁移到 RHEL 10。要正确更新 IdM 数据，您必须执行增量迁移。 例如，要将 RHEL 8 IdM 环境迁移到 RHEL 10： 从 RHEL 8 服务器迁移到 RHEL 9 服务器。 从 RHEL 9 服务器迁移到 RHEL 10 服务器，如本节中所述。

2.2. 迁移大型和标准 IdM 部署的策略

  • 要点：为了帮助确保成功迁移大型或复杂的身份管理(IdM)部署，您可以执行其他清单和验证步骤。
  • 要点：虽然核心迁移步骤（安装新副本、将其建立为 CA 续订服务器和弃用旧服务器）均适用于所有部署，但大型环境受益于更严格的清单和验证过程。下表重点介绍了与标准单服务器或小型集群迁移相比，大型或复杂拓扑的建议额外步骤。
  • 列表：维护冗余： 在停用副本前，确保至少有一个服务器提供关键服务(CA、DNS、KRA、AD Trust)。
  • 列表：复制 Lag： 在地理上分散的部署中，允许在拓扑更改之间实现复制。快速删除/添加周期可能会导致在高延迟链路中解决冲突。
  • 列表：批处理： 对于非常大的拓扑，请迁移 site-by-site，在每个 wave 后验证健康状况。避免同时弃用单一站点中的所有服务器。
  • 表格样本（共 9 行）：
    • 步骤 | 标准迁移 | 大型/复杂迁移
    • 1.清单拓扑 | 可选。 | 强烈推荐.记录所有服务器角色和复制协议，以确保在副本替换过程中不会丢失任何关键服务(CA、DNS、KRA、AD Trust)。
    • 2.记录 DNA ID 范围 | 可选。 | 强烈推荐.记录分配的 ID 范围，以防止在没有重新分配的情况下停用大量范围的服务器。
    • 3.重复使用服务器主机名 | 很少需要。 | 条件.如果重复使用主机名，请等待重复完全聚合，然后再重新安装。快速移除和添加可能会导致高延迟拓扑冲突。

2.3. 准备将 IdM 从 RHEL 9 迁移到 10

  • 要点：查看两个主机的所有先决条件，包括软件更新、客户端注册和服务器要求，以确保您的 IdM 环境成功且无冲突地传输 IdM 环境。
  • 要点：流程
  • 列表：在 rhel9.example.com 上： 将系统升级到最新的 RHEL 9 版本。 将 ipa-* 软件包更新至其最新版本： [root@rhel9 ~]# dnf update ipa-* 警告 当升级多个身份管理(IdM)服务器时，在每次升级之间至少等待 10 分钟。 当两个或更多个服务器同时升级，或在不同升级之间只能简短的间隔，则可能没有足够的时间来在整个拓扑间复制升级后的数据变化，从而会导致复制事件冲突。
  • 列表：将系统升级到最新的 RHEL 9 版本。
  • 列表：将 ipa-* 软件包更新至其最新版本： [root@rhel9 ~]# dnf update ipa-*
  • 列表：在 rhel10.example.com 上： 在系统上安装最新版本的 Red Hat Enterprise Linux。如需更多信息，请参阅 从安装介质交互式安装 RHEL。 确保系统是已注册到 rhel9.example.com IdM 服务器是权威的域的 IdM 客户端。如需更多信息，请参阅安装 IdM 客户端：基本场景 。 确定系统满足 IdM 服务器安装的要求。请参阅为 IdM 服务器安装准备系统。 确保您知道时间服务器 rhel9.example.com 已与以下服务器同步： [root@rhel9 ~]# ntpstat synchronised to NTP server (ntp.example.com) at …
  • 列表：在系统上安装最新版本的 Red Hat Enterprise Linux。如需更多信息，请参阅 从安装介质交互式安装 RHEL。
  • 列表：确保系统是已注册到 rhel9.example.com IdM 服务器是权威的域的 IdM 客户端。如需更多信息，请参阅安装 IdM 客户端：基本场景 。
  • 命令/配置摘录：
[root@rhel9 ~]# dnf update ipa-*
[root@rhel9 ~]# ntpstat synchronised to NTP server (ntp.example.com) at stratum 3  time correct to within 42 ms  polling server every 1024 s
  • 注意：注意 如果要使用硬件安全模块(HSM)来存储 CA 和 KRA 密钥和证书，则无法将没有在 HSM 上生成密钥的现有安装升级到基于 HSM 的安装。
  • 注意：警告 当升级多个身份管理(IdM)服务器时，在每次升级之间至少等待 10 分钟。 当两个或更多个服务器同时升级，或在不同升级之间只能简短的间隔，则可能没有足够的时间来在整个拓扑间复制升级后的数据变化，从而会导致复制事件冲突。

2.4. 在 IdM 拓扑中执行角色清单

  • 要点：在替换副本前，使用此流程捕获当前的 IdM 服务器角色和复制布局。这个过程是可选的，但强烈建议，特别是对于大型或复杂的拓扑，以防止角色覆盖差距。
  • 要点：先决条件
  • 列表：以管理员身份登录到 IdM 服务器。
  • 列表：列出拓扑中的服务器以及每个服务器上启用的角色： [root@rhel9 ~]# ipa server-find --all --------------------- 2 IPA servers matched --------------------- dn: cn=rhel9-1.example.com,cn=masters,cn=ipa,cn=etc,dc=example,dc=com Server name: rhel9-1.example.com Managed suffixes: domain, ca Min domain level: 1 Max domain level: 1 Enabled serve…
  • 列表：验证 CA 续订服务器是否已分配给一个服务器： [root@rhel9 ~]# ipa config-show | grep "CA renewal master" IPA CA renewal master: rhel9-1.example.com
  • 列表：验证 DNSSEC 密钥 master 角色是否已分配给只有一个服务器： [root@rhel9 ~]# ipa dnsconfig-show | grep 'DNSSec key master' IPA DNSSec key master: rhel9-1.example.com
  • 列表：记录哪些服务器提供其他关键角色（如 CA、DNS、KRA、AD 信任代理和 AD 信任控制器）。在将角色分配给新副本或在迁移过程中验证冗余时，您将引用此列表。
  • 列表：如果您的 IdM 部署与活动目录(AD)林信任，请计划在迁移过程中确保： 至少一个信任控制器始终保持在线。 每当可能的情况下，每个副本也会运行信任代理，以便客户端可以解析 AD 用户，而不考虑它们联系的服务器。
  • 命令/配置摘录：
[root@rhel9 ~]# ipa server-find --all --------------------- 2 IPA servers matched ---------------------  dn: cn=rhel9-1.example.com,cn=masters,cn=ipa,cn=etc,dc=example,dc=com  Server name: rhel9-1.example.com  Managed suffixes: domain, ca  Min domain level: 1  Max domain level: 1  Enabled server roles: AD trust agent, AD trust controller, CA server, DNS server, IPA master, KRA server  dn: cn=rhel9-2.example.com,cn=masters,cn=ipa,cn=etc,dc=example,dc=com  Server name: rhel9-2.example.com  Managed suffixes: domain, ca  Min domain level: 1  Max domain level: 1  Enabled server roles: AD trust agent, AD trust controller, CA server, IPA master ---…
[root@rhel9 ~]# ipa config-show | grep "CA renewal master" IPA CA renewal master: rhel9-1.example.com

2.5. 在迁移过程中记录 DNA ID 范围

  • 要点：记录当前分配的分布式数字分配(DNA) ID 范围，以便您可以在迁移过程中重新分配它们。记录 DNA 范围是可选的，但强烈建议，特别是对于大型或复杂的拓扑，以防止阻止用户创建。
  • 要点：先决条件
  • 列表：以管理员身份登录到 IdM 服务器。
  • 列表：在要停用的每个服务器上，显示当前分配的 DNA ID 范围： [root@rhel9 ~]# ipa-replica-manage dnarange-show
  • 列表：显示已排队以进行分配的下一个 DNA 范围，以便您可以知道在当前子范围被使用后将分配什么： [root@rhel9 ~]# ipa-replica-manage dnanextrange-show
  • 列表：在迁移备注中记录收集的范围。在弃用旧服务器前，在确保新副本的 DNA 范围覆盖时，您将引用这些值。丢失拥有未记录的子范围的服务器可能会阻止新用户或组的创建。
  • 列表：显示当前分配的 DNA ID 范围
  • 列表：手动分配 DNA ID 范围
  • 命令/配置摘录：
[root@rhel9 ~]# ipa-replica-manage dnarange-show
[root@rhel9 ~]# ipa-replica-manage dnanextrange-show

2.6. 安全地重复使用 IdM 服务器主机名

  • 要点：当您需要在迁移过程中为新副本重复使用现有 IdM 服务器主机名时，请按照以下步骤操作。在以下情况下通常需要主机名重复使用：
  • 要点：这个过程是可选的；只有在需要主机名重复使用时才使用它。对于大型或地理位置的分布式拓扑，需要格外小心，以便在重复使用主机名时防止复制冲突。
  • 列表：DNS 或防火墙规则与特定的主机名紧密耦合
  • 列表：客户端配置明确引用必须保留的主机名
  • 列表：网络或安全策略需要特定的服务器名称
  • 列表：您有对 IdM 拓扑和被替换的服务器的管理访问权限。
  • 列表：如果 IP 地址发生更改，可以更新主机名的 DNS 记录。
  • 列表：在您计划删除的服务器上运行 IdM Healthcheck 并解决任何问题，因此在开始前拓扑处于干净状态：使用 IdM Healthcheck 来监控 IdM 环境。
  • 命令/配置摘录：
[root@rhel10-replica ~]# ipa-replica-manage del rhel9.example.com --cleanup
[root@rhel9 ~]# ipa-server-install --uninstall
  • 注意：警告 这个步骤描述了在迁移过程中重复使用现有服务器主机名的专用工作流。只有在特别需要保留 DNS、防火墙规则或客户端配置要求时，才按照以下步骤操作。 如果您使用新主机名执行标准迁移，请跳过这个过程并直接安装新副本。

2.7. 安装 RHEL 10 副本

  • 要点：您必须安装 RHEL 10 IdM 服务器，并将其配置为现有 RHEL 9 拓扑中的副本。这通过传输完整的 IdM 数据并将所有现有服务器角色复制到新主机来开始迁移过程。
  • 要点：流程
  • 列表：列出您的 RHEL 9 环境中存在哪些服务器角色： [root@rhel9 ~]# ipa server-role-find --status enabled --server rhel9.example.com ---------------------- 3 server roles matched ---------------------- Server name: rhel9.example.com Role name: CA server Role status: enabled Server name: rhel9.example.com Role name: DNS server Role status…
  • 列表：可选：如果要对 rhel9.example.com 使用的 rhel10.example.com 使用同样的每服务器转发器，请查看 rhel9.example.com 的每服务器转发器： [root@rhel9 ~]# ipa dnsserver-show rhel9.example.com ----------------------------- 1 DNS server matched ----------------------------- Server name: rhel9.example.com SOA mname: rhel9.example.com. Forwarders: 192.0.2.20 For…
  • 列表：使用 Web UI 或使用 CLI 查看 拓扑片段中的查看复制拓扑中的步骤， 查看复制协议拓扑拓扑。
  • 列表：在 rhel10.example.com 上安装 IdM 服务器软件，来将其配置为 RHEL 9 IdM 服务器的副本，包括 rhel9.example.com 上存在的所有服务器角色。要安装上例中的角色，请使用 ipa-replica-install 命令的这些选项： --setup-ca 用来安装证书系统组件 --setup-dns 和 --forwarder 配置集成的 DNS 服务器，并设置每服务器转发器来处理 IdM 域外的 DNS 查询 注意 另外，如果您的 IdM 部署与活动目录(AD)是信任关系，请将 --setup-adtrust 选项添加到 ipa-replica-install 命令中，来在 rhel10.e…
  • 列表：--setup-ca 用来安装证书系统组件
  • 列表：--setup-dns 和 --forwarder 配置集成的 DNS 服务器，并设置每服务器转发器来处理 IdM 域外的 DNS 查询 注意 另外，如果您的 IdM 部署与活动目录(AD)是信任关系，请将 --setup-adtrust 选项添加到 ipa-replica-install 命令中，来在 rhel10.example.com 上配置 AD 信任功能。
  • 命令/配置摘录：
[root@rhel9 ~]# ipa server-role-find --status enabled --server rhel9.example.com ---------------------- 3 server roles matched ----------------------  Server name: rhel9.example.com  Role name: CA server  Role status: enabled  Server name: rhel9.example.com  Role name: DNS server  Role status: enabled [... output truncated ...]
[root@rhel9 ~]# ipa dnsserver-show rhel9.example.com ----------------------------- 1 DNS server matched -----------------------------  Server name: rhel9.example.com  SOA mname: rhel9.example.com.  Forwarders: 192.0.2.20  Forward policy: only -------------------------------------------------- Number of entries returned 1 --------------------------------------------------
  • 注意：注意 另外，如果您的 IdM 部署与活动目录(AD)是信任关系，请将 --setup-adtrust 选项添加到 ipa-replica-install 命令中，来在 rhel10.example.com 上配置 AD 信任功能。

2.8. 向 RHEL 10 IdM 服务器分配 CA 续订服务器角色

  • 要点：如果您的 IdM 部署使用嵌入式证书颁发机构(CA)，请将 CA 续订服务器角色分配给 Red Hat Enterprise Linux (RHEL) 10 IdM 服务器，以确保迁移后继续证书管理。
  • 要点：流程
  • 列表：在 rhel10.example.com 上，将 rhel10.example.com 配置为新的 CA 续订服务器： [root@rhel10 ~]# ipa config-mod --ca-renewal-master-server rhel10.example.com ... IPA masters: rhel9.example.com, rhel10.example.com IPA CA servers: rhel9.example.com, rhel10.example.com IPA CA renewal master: rhel10.example.com 输出确认更新成功。
  • 列表：在 rhel10.example.com 上，启用证书更新器任务： 打开 /etc/pki/pki-tomcat/ca/CS.cfg 配置文件进行编辑。 删除 ca.certStatusUpdateInterval 条目，或者将其设置为所需的间隔（以秒为单位）。默认值为 600。 保存并关闭 /etc/pki/pki-tomcat/ca/CS.cfg 配置文件。 重启 IdM 服务： [user@rhel10 ~]$ ipactl restart
  • 列表：打开 /etc/pki/pki-tomcat/ca/CS.cfg 配置文件进行编辑。
  • 列表：删除 ca.certStatusUpdateInterval 条目，或者将其设置为所需的间隔（以秒为单位）。默认值为 600。
  • 列表：保存并关闭 /etc/pki/pki-tomcat/ca/CS.cfg 配置文件。
  • 列表：重启 IdM 服务： [user@rhel10 ~]$ ipactl restart
  • 命令/配置摘录：
[root@rhel10 ~]# ipa config-mod --ca-renewal-master-server rhel10.example.com  ...  IPA masters: rhel9.example.com, rhel10.example.com  IPA CA servers: rhel9.example.com, rhel10.example.com  IPA CA renewal master: rhel10.example.com
[user@rhel10 ~]$ ipactl restart

2.9. 在 IdM 服务器中停止 CRL 生成

  • 要点：使用 ipa-crlgen-manage 命令停止在 IdM CRL 发布程序服务器上生成证书撤销列表(CRL)。您必须在当前服务器上禁用 CRL 生成，然后才能在新服务器上启用它，因为每次只有一个服务器应生成 CRL。
  • 要点：先决条件
  • 列表：您必须以 root 身份登录。
  • 列表：检查您的服务器是否正在生成 CRL: [root@server ~]# ipa-crlgen-manage status CRL generation: enabled Last CRL update: 2019-10-31 12:00:00 Last CRL Number: 6 The ipa-crlgen-manage command was successful
  • 列表：停止在服务器上生成 CRL： [root@server ~]# ipa-crlgen-manage disable Stopping pki-tomcatd Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg Starting pki-tomcatd Editing /etc/httpd/conf.d/ipa-pki-proxy.conf Restarting httpd CRL generation disabled on the local host. Please make sure to configure CRL generation on another master with…
  • 列表：检查服务器是否停止生成 CRL: [root@server ~]# ipa-crlgen-manage status 服务器停止生成 CRL。下一步是在 IdM 副本上启用 CRL 生成。
  • 命令/配置摘录：
[root@server ~]# ipa-crlgen-manage status
CRL generation: enabled Last CRL update: 2019-10-31 12:00:00 Last CRL Number: 6 The ipa-crlgen-manage command was successful

2.10. 在新的 RHEL 10 IdM CA 服务器上启动 CRL 生成

  • 要点：如果您的 IdM 部署使用嵌入式证书颁发机构(CA)，请在旧服务器上停止后在新的 Red Hat Enterprise Linux (RHEL) 10 IdM CA 服务器上启动证书撤销列表(CRL)生成，以维护证书撤销服务。
  • 要点：先决条件
  • 列表：您必须以 root 用户身份登录到 rhel10.example.com 机器。
  • 列表：要在 rhel10.example.com 上开始生成 CRL，请使用 ipa-crlgen-manage enable 命令： [root@rhel10 ~]# ipa-crlgen-manage enable Stopping pki-tomcatd Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg Starting pki-tomcatd Editing /etc/httpd/conf.d/ipa-pki-proxy.conf Restarting httpd Forcing CRL update CRL generation enabled on the local host. …
  • 列表：要检查是否启用了 CRL 生成，请使用 ipa-crlgen-manage status 命令： [root@rhel10 ~]# ipa-crlgen-manage status CRL generation: enabled Last CRL update: 2021-10-31 12:10:00 Last CRL Number: 7 The ipa-crlgen-manage command was successful
  • 命令/配置摘录：
[root@rhel10 ~]# ipa-crlgen-manage enable Stopping pki-tomcatd Editing /var/lib/pki/pki-tomcat/conf/ca/CS.cfg Starting pki-tomcatd Editing /etc/httpd/conf.d/ipa-pki-proxy.conf Restarting httpd Forcing CRL update CRL generation enabled on the local host. Please make sure to have only a single CRL generation master. The ipa-crlgen-manage command was successful
[root@rhel10 ~]# ipa-crlgen-manage status CRL generation: enabled Last CRL update: 2021-10-31 12:10:00 Last CRL Number: 7 The ipa-crlgen-manage command was successful

2.11. 更新固定到特定服务器的 IdM 客户端

  • 要点：在替换或停用 IdM 副本后，使用此流程更新不依赖于 DNS 服务发现的客户端。更新固定客户端是可选的，但强烈建议使用静态配置的大型或复杂拓扑。
  • 要点：先决条件
  • 列表：您对需要更新的每个客户端都有 root 访问权限。
  • 列表：替换的 IdM 服务器位于服务中，并可访问。
  • 列表：更新受影响客户端上的系统解析器，以便它们指向当前的 IdM DNS 服务器。调整 /etc/resolv.conf 或您的网络配置工具，以删除对已停用服务器的引用。
  • 列表：如果客户端使用 /etc/ipa/default.conf 中定义的回退注册服务器，请将以下两个参数中的 hostname 替换为活动的 IdM 服务器： xmlrpc_uri = https://ipa_new.example.com/ipa/xml server = ipa_new.example.com
  • 列表：查看 /etc/sssd/sssd.conf 中的 ipa_server 参数： 如果它列出了特定的服务器，请更新列表，使其只包含活跃的副本，或使用 srv 切换到仅限 SRV 的发现。 如果它引用了停用的主机名，请将其替换为新的服务器名称。
  • 列表：如果它列出了特定的服务器，请更新列表，使其只包含活跃的副本，或使用 srv 切换到仅限 SRV 的发现。
  • 命令/配置摘录：
xmlrpc_uri = https://ipa_new.example.com/ipa/xml server = ipa_new.example.com
[root@client ~]# systemctl restart sssd

2.12. 停止并停用 RHEL 9 服务器

  • 要点：将所有关键身份管理(IdM)角色传输到 RHEL 10 副本后，停用 RHEL 9 服务器以将其从拓扑中完全删除。
  • 要点：流程
  • 列表：确保所有数据（包括最新的更改）都已从 rhel9.example.com 正确迁移到 rhel10.example.com。例如： 在 rhel9.example.com 上添加新用户： [root@rhel9 ~]# ipa user-add random_user First name: random Last name: user 检查用户是否已复制到 rhel10.example.com ： [root@rhel10 ~]# ipa user-find random_user -------------- 1 user matched -------------- User login: random_user Fir…
  • 列表：在 rhel9.example.com 上添加新用户： [root@rhel9 ~]# ipa user-add random_user First name: random Last name: user
  • 列表：检查用户是否已复制到 rhel10.example.com ： [root@rhel10 ~]# ipa user-find random_user -------------- 1 user matched -------------- User login: random_user First name: random Last name: user
  • 列表：确保分布式数字分配(DNA) ID 范围已分配给 rhel10.example.com 。如果您之前记录的 DNA 范围（请参阅 迁移前记录 DNA ID 范围），您可以在重新分配范围时引用这些值。使用以下方法之一： 通过创建另一个测试用户，来直接在 rhel10.example.com 上激活 DNA 插件： [root@rhel10 ~]# ipa user-add another_random_user First name: another Last name: random_user 将特定的 DNA ID 范围分配给 rhel10.example.com ： 在 rhel9.example.com 上，显示 IdM I…
  • 列表：通过创建另一个测试用户，来直接在 rhel10.example.com 上激活 DNA 插件： [root@rhel10 ~]# ipa user-add another_random_user First name: another Last name: random_user
  • 列表：将特定的 DNA ID 范围分配给 rhel10.example.com ： 在 rhel9.example.com 上，显示 IdM ID 范围： [root@rhel9 ~]# ipa idrange-find ---------------- 3 ranges matched ---------------- Range name: EXAMPLE.COM_id_range First Posix ID of the range: 196600000 Number of IDs in the range: 200000 First RID of the corresponding RID range: 1000 F…
  • 命令/配置摘录：
[root@rhel9 ~]# ipa user-add random_user First name: random Last name: user
[root@rhel10 ~]# ipa user-find random_user -------------- 1 user matched --------------  User login: random_user  First name: random  Last name: user

第 3 章 RHEL 9 到 RHEL 10 IdM 客户端升级

  • 要点：您可以使用 leapp 工具执行 IdM 客户端从 RHEL 9 原位升级到 RHEL 10，工具会自动处理所有必要的配置更改。但是，IdM 服务器和 IdM 服务器节点不支持原位升级。

第 4 章 从一个 IdM 服务器迁移到另一个 IdM 服务器

  • 要点：使用 ipa-migrate 工具将所有身份管理(IdM)数据（包括配置、模式和数据库内容）从一个 IdM 服务器迁移到另一个 IdM 服务器。此工具可用于将部署从暂存移到生产环境，或将数据迁移至生产服务器。

4.1. IdM 到 IdM 的迁移

  • 要点：您可以使用 ipa-migrate 管理工具在两个服务器之间迁移 IdM 数据，例如将部署从暂存移到生产环境时。在新的本地 IdM 服务器上运行该工具，以从原始远程 IdM 服务器传输模式、配置和数据库内容。
  • 要点：使用该工具，您可以从远程服务器传输大多数数据：
  • 列表：模式 ：所有 LDAP 对象类和属性。
  • 列表：配置 ：核心目录服务器设置(dse.ldif)，包括性能调优、安全设置、插件和数据库设置。
  • 列表：数据库 ：大多数子树和条目，包括用户、组、角色、主机、服务、sudo 规则、HBAC 规则和 DNS 记录（可选）。
  • 列表：Kerberos 主密钥
  • 列表：自签名 CA 证书和 KRA 密钥
  • 列表：admin 和 Directory Manager 密码

4.2. 将 IdM 环境从 staging 迁移到生产环境

  • 要点：您可以在暂存模式中使用 ipa-migrate 工具，将 IdM 环境从暂存服务器传输到生产环境的服务器，为新环境重新生成身份号。
  • 要点：这个示例使用混合迁移方法，其中数据库使用 LDIF 文件进行离线迁移，以提高性能和稳定性，同时在线迁移了配置和模式。迁移以 staging-mode 的形式执行，以确保为新生产环境重新生成身份号(UID/GID)。
  • 列表：您使用 RHEL 10.1 或更高版本。
  • 列表：在新生产（本地）服务器中： 您已执行了 IdM 的标准安装。 IdM 域和域设置为其最终的 production 值。
  • 列表：您已执行了 IdM 的标准安装。
  • 列表：IdM 域和域设置为其最终的 production 值。
  • 列表：在 staging （远程）服务器上： 您有 root 访问权限来导出用户数据库。 您有目录管理器密码。 服务器没有未解决的复制冲突。复制冲突会导致迁移失败。
  • 列表：您有 root 访问权限来导出用户数据库。
  • 命令/配置摘录：
# dsctl slapd-EXAMPLE-COM stop
# dsctl slapd-EXAMPLE-COM db2ldif userroot /root/userroot.ldif
  • 注意：注意 迁移过程包括运行 ipa-server-upgrade 任务，这可能需要大量时间，具体取决于您的数据库的大小。
  • 注意：注意 迁移工具的主要日志文件位于 /var/log/ipa-migrate.log。在每次运行时都会附加此文件，保留多个迁移尝试的历史记录。

第 5 章 从非 RHEL Linux 发行版上的 FreeIPA 迁移到 RHEL 10 上的 IdM

  • 要点：要将非 RHEL Linux 发行版上的 FreeIPA 部署迁移到 RHEL 10 上的身份管理(IdM)，您必须将新的 RHEL 10 IdM 证书颁发机构(CA)副本添加到现有 FreeIPA 环境中，然后将与证书相关的角色转移到其中，然后停用非 RHEL FreeIPA 服务器。
  • 要点：先决条件
  • 列表：在系统上已安装了最新版本的Red Hat Enterprise Linux。如需更多信息，请参阅 从安装介质交互式安装 RHEL。
  • 列表：确保系统是注册到 FreeIPA 服务器授权的域的 IdM 客户端。如需更多信息，请参阅安装 IdM 客户端：基本场景 。
  • 列表：确定系统满足 IdM 服务器安装的要求。请参阅为 IdM 服务器安装准备系统。
  • 列表：确定系统被授权安装 IdM 副本。请参阅授权 IdM 客户端中的副本安装。
  • 列表：确定您知道系统与之同步的时间服务器： [root@freeipaserver ~]# ntpstat synchronised to NTP server (ntp.example.com) at stratum 3 time correct to within 42 ms polling server every 1024 s
  • 列表：将 ipa-* 软件包更新至其最新版本： [root@freeipaserver ~]# dnf update ipa-*
  • 命令/配置摘录：
# update-crypto-policies --set LEGACY
[root@freeipaserver ~]# ntpstat synchronised to NTP server (ntp.example.com) at stratum 3  time correct to within 42 ms  polling server every 1024 s
  • 注意：警告 不支持使用 Convert2RHEL 工具执行非 RHEL FreeIPA 服务器到 RHEL 10 IdM 服务器的原位升级转换。
  • 注意：重要 如果您的环境与 Active Directory (AD)信任，并使用公钥加密 Initial Authentication (PKINIT)，请注意 RHEL 10 默认禁用 SHA-1。较旧版本的 AD 需要用于 PKINIT 的 SHA-1。 如果您要与 Windows Server 2025 旧的 AD 环境集成，您必须在 RHEL 10 服务器上设置 LEGACY 加密策略，以允许 PKINIT 正常工作： # update-crypto-policies --set LEGACY Windows Server 2025 及更新的版本支持 SHA-2，因此不需要 LEGACY 策略。

第 6 章 从 LDAP 目录迁移到 IdM

  • 要点：IdM 提供了迁移工具，来从现有 LDAP 服务器传输用户帐户、密码和组成员身份，同时最大程度减少客户端系统的配置变化。
  • 要点：如果您之前为身份和身份验证查找部署了 LDAP 服务器，您可以将查找服务迁移到身份管理(IdM)。IdM 提供了一个迁移工具来帮助您执行以下任务：
  • 列表：传输用户帐户，包括密码和组成员身份，而不会丢失数据。
  • 列表：避免在客户端上进行昂贵的配置更新。

6.1. 从 LDAP 迁移到 IdM 时的注意事项

  • 要点：从 LDAP 迁移到身份管理(IdM)涉及多个阶段。仔细规划每个阶段可确保在没有数据丢失或服务中断的情况下平稳过渡。
  • 要点：从 LDAP 服务器移到 IdM 的过程有以下阶段：
  • 列表：迁移 客户端。仔细规划此阶段。确定您当前基础架构中的每个客户端都使用哪些服务。例如，这些服务可能包括 Kerberos 或系统安全服务守护进程(SSSD)。然后，确定您可以在最终的 IdM 部署中使用哪些服务。
  • 列表：迁移 数据。
  • 列表：迁移 密码。仔细规划此阶段。除了密码，IdM 还需要每个用户帐户的 Kerberos 哈希。
  • 列表：在从 LDAP 迁移到 IdM 时规划客户端配置
  • 列表：在从 LDAP 迁移到 IdM 时规划密码迁移
  • 列表：LDAP 到 IdM 的迁移序列
  • 注意：重要 强烈建议您在尝试迁移真实的 LDAP 环境前创建测试 LDAP 环境并测试迁移过程。在测试环境时，请执行以下操作： 在 IdM 中创建测试用户，并将迁移的用户的输出与测试用户的输出进行比较。确保迁移的用户包含测试用户上存在的最小属性和对象类集合。 将迁移的用户的输出（如 IdM 上所示）与源用户进行比较，如原始 LDAP 服务器上所示。确保导入的属性不会复制两次，并且它们具有正确的值。

6.2. 在从 LDAP 迁移到 IdM 时规划客户端配置

  • 要点：身份管理(IdM)支持多个客户端配置，它们具有不同功能、灵活性和安全性。根据操作系统、功能要求和您的 IT 维护优先级，确定每个客户端的最佳配置。
  • 要点：还要考虑客户端的功能区域：开发计算机通常需要的配置与生产服务器或用户笔记本电脑不同。
  • 注意：重要 大多数环境都混合有客户端连接到 IdM 域的不同方式。管理员必须决定哪种场景最适合每个客户端。

6.2.1. 初始的、迁移前的客户端配置

  • 要点：在决定身份管理(IdM)中客户端配置的具体内容前，首先确定需要重新配置的当前、迁移前配置的具体信息，以确定需要重新配置哪些服务。
  • 要点：要迁移的几乎所有 LDAP 部署的初始状态是，有一个提供身份和身份验证服务的 LDAP 服务。
  • 列表：IdM 简介 - 使用标准 LDAP 目录对比 IdM

6.2.2. 推荐的 RHEL 客户端配置

  • 要点：使用系统安全服务守护进程(SSSD)将 RHEL 客户端连接到 IdM 以完全与身份验证和身份功能集成，包括离线登录功能。
  • 要点：RHEL 中的 SSSD 使用特殊的 PAM 和 NSS 库 pam_sss 和 nss_sss。通过使用这些库，SSSD 可以与 IdM 非常紧密集成，并从其完整的身份验证和身份功能中获益。SSSD 具有一些有用的特性，如缓存身份信息，因此即使与中央服务器的连接丢失，用户也可以登录。
  • 列表：身份验证
  • 列表：身份查找
  • 列表：权限
  • 列表：密码更改
  • 列表：了解 SSSD 及其优势
  • 注意：注意 描述的客户端配置只支持 RHEL 6.1 及之后的版本以及 RHEL 5.7 之后的版本，它支持最新版本的 SSSD 和 ipa-client 软件包。

6.2.3. 替代的支持的配置

  • 要点：对于无法使用现代 SSSD 版本（如旧的 RHEL 版本或非 Linux Unix 系统）的系统，您可以将客户端配置为使用 LDAP 连接到 IdM，以进行身份查找和 Kerberos 进行验证。
  • 要点：UNIX 和 Linux 系统（如 Mac、Solaris、HP-UX、AIX 和 Scientific Linux）支持身份管理(IdM)管理的所有服务，但不使用 SSSD。同样，旧的 Red Hat Enterprise Linux(RHEL)版本（特别是 6.1 和 5.6）支持 SSSD，但有一个旧版本，它不支持 IdM 作为身份提供者。
  • 列表：客户端使用 nss_ldap 连接到 IdM 服务器，就像它是用于身份查找的 LDAP 目录服务器一样。
  • 列表：客户端使用 pam_krb5 连接到 IdM 服务器，就像它是常规的 Kerberos KDC 一样。
  • 列表：为 SSSD 配置身份和身份验证供应商

6.3. 在从 LDAP 迁移到 IdM 时规划密码迁移

  • 要点：将用户密码从 LDAP 迁移到 IdM 需要生成 Kerberos 哈希，可以使用 SSSD 或迁移网页进行透明操作。或者，您可以迁移没有密码的用户，并需要重置密码。

6.3.1. 从 LDAP 迁移到 IdM 时的密码迁移选项

  • 要点：在规划迁移 LDAP 到身份管理(IdM)迁移时，请考虑是否迁移具有或没有密码的用户。使用密码迁移需要更多准备，但迁移后的手动工作要少。
  • 要点：在将用户从 LDAP 迁移到身份管理(IdM)之前，需要回答的一个关键问题是是否迁移用户密码。可用的选项如下：
  • 列表：更改和重置用户密码
  • 列表：在将 LDAP 迁移到 IdM 时迁移密码的方法
  • 注意：重要 默认情况下，用户无法验证到 IdM 域或访问 IdM 资源，除非它们有 Kerberos 哈希 - 即使用户帐户已经存在。有一个临时解决方案：在 IdM 中使用 LDAP 身份验证，而不是 Kerberos 身份验证。在这个临时解决方案中，用户不需要 Kerberos 哈希。但是，这个临时解决方案限制了 IdM 的功能，我们不推荐。

6.3.2. 在将 LDAP 迁移到 IdM 时迁移密码的方法

  • 要点：身份管理(IdM)提供了两种迁移 LDAP 用户帐户的方法，而无需强制用户更改密码：一个迁移网页，其中用户输入凭证一次，或者 SSSD，这会在用户登录时以透明的方式生成 Kerberos 密钥。
  • 要点：方法 1：使用迁移网页
  • 列表：用户尝试使用 SSSD 登录到机器。
  • 列表：SSSD 尝试对 IdM 服务器执行 Kerberos 身份验证。
  • 列表：即使用户在系统中存在，但会出现错误为 key type is not supported 的身份验证失败，因为 Kerberos哈希不存在。
  • 列表：SSSD 通过安全连接执行纯文本 LDAP 绑定。
  • 列表：IdM 截获此绑定请求。如果用户有 Kerberos 主体，但没有 Kerberos 哈希，则 IdM 身份提供者会生成哈希，并将其存储在用户条目中。
  • 列表：如果身份验证成功，SSSD 会断开与 IdM 的连接，并再次尝试 Kerberos 身份验证。这一次，请求会成功，因为条目中存在哈希。

6.3.3. 规划明文 LDAP 密码的迁移

  • 要点：IdM 不支持明文密码，因此 LDAP 中具有明文密码的用户使用过期的密码迁移，且必须在下次登录时重置它们。
  • 要点：尽管大多数部署中 LDAP 密码都被加密存储，但可能有一些用户或一些环境对用户条目使用明文密码。
  • 列表：规划不满足 IdM 要求的 LDAP 密码的迁移

6.3.4. 规划不满足 IdM 要求的 LDAP 密码的迁移

  • 要点：如果原始 LDAP 目录中的用户密码不符合身份管理(IdM)中定义的密码策略，在迁移后密码无效，用户必须在第一次 Kerberos 身份验证尝试时更改它们。
  • 要点：当用户通过输入 kinit 第一次尝试获得 IdM 域中的 Kerberos 票据授予票据(TGT)时，会自动重置密码。强制用户更改其密码：
  • 命令/配置摘录：
[migrated_idm_user@idmclient ~]$ kinit Password for migrated_idm_user@IDM.EXAMPLE.COM: Password expired. You must change it now. Enter new password: Enter it again:

6.4. 进一步的迁移注意事项和要求

  • 要点：当您计划从 LDAP 服务器迁移到身份管理(IdM)时，请确保您的 LDAP 环境满足 IdM 迁移脚本的要求，包括支持的目录、模式兼容性和 IdM 系统资源，以成功迁移。

6.4.1. 支持迁移的 LDAP 服务器

  • 要点：从 LDAP 服务器到 IdM 的迁移过程使用特殊的脚本 ipa migrate-ds 来执行迁移。
  • 要点：此脚本对 LDAP 目录的结构和 LDAP 条目有具体的要求。仅支持对符合 LDAPv3 的目录服务的迁移，其中包括几个通用目录：
  • 列表：Sun ONE 目录服务器
  • 列表：Apache 目录服务器
  • 列表：OpenLDAP
  • 注意：注意 Microsoft 活动目录 不支持 使用迁移脚本进行迁移，因为它不是符合 LDAPv3 的目录。如需从活动目录进行迁移的帮助，请联系红帽专业服务。

6.4.2. LDAP 环境迁移要求

  • 要点：要成功进行 LDAP 到身份管理(IdM)迁移，源 LDAP 环境必须满足特定的配置假设。
  • 要点：LDAP 服务器和 IdM 存在许多不同的配置场景，这会影响迁移过程的平稳性。对于示例迁移流程，这些是关于环境的假设：
  • 列表：正在将一个 LDAP 目录域迁移到一个 IdM 域。不涉及整合。
  • 列表：用户密码作为哈希存储在 LDAP 目录中。
  • 列表：LDAP 目录实例是身份存储和身份验证方法。客户端机器被配置为使用 pam_ldap 或 nss_ldap 库连接 LDAP 服务器。
  • 列表：条目仅使用标准的 LDAP 模式。包含自定义对象类或属性的条目不会迁移到 IdM。
  • 列表：ipa migrate-ds 命令只迁移以下帐户： 哪些包含 gidNumber 属性的账户。posixAccount 对象类需要此属性。 哪些包含 sn 属性的账户。person 对象类需要此属性。
  • 列表：哪些包含 gidNumber 属性的账户。posixAccount 对象类需要此属性。
  • 注意：注意 通用 LDAP 支持与组织单元(OU)深度嵌套的结构。这允许 LDAP 目录以分层方式构建，并具有多级 OU、组和用户。IdM 中无法这种层次结构，其中所有用户都存储在 cn=users,cn=accounts,$SUFFIX flat 用户容器中。因此，在将带有深度嵌套结构的 LDAP 数据库迁移到 IdM 时，您可以选择： 为来自不同 OU 的用户执行多个迁移。 执行子树搜索以涵盖多个 OU。 有关这些选项的详情，请查看 ipa migrate-ds --help。

6.4.3. IdM 系统迁移要求

  • 要点：目标 IdM 系统必须具有足够的硬件资源来处理迁移工作负载。
  • 要点：对于约 10,000 个用户和 10 个组的中等大小的目录，必须具有足够强大的目标 IdM 系统才能允许处理迁移。迁移的最低要求是：
  • 列表：4 个核
  • 列表：4GB RAM
  • 列表：30GB 磁盘空间
  • 列表：2 MB 的 SASL 缓冲区 ，这是 IdM 服务器的默认大小 如果出现迁移错误，请增加缓冲大小： [root@ipaserver ~]# ldapmodify -x -D 'cn=directory manager' -w password -h ipaserver.example.com -p 389 dn: cn=config changetype: modify replace: nsslapd-sasl-max-buffer-size nsslapd-sasl-max-buffer-size: 4194304 modifying entry "cn=config" 设置 nsslapd-sasl-max-buffer-…
  • 列表：IdM 服务器硬件建议
  • 命令/配置摘录：
[root@ipaserver ~]# ldapmodify -x -D 'cn=directory manager' -w password -h ipaserver.example.com -p 389 dn: cn=config changetype: modify replace: nsslapd-sasl-max-buffer-size nsslapd-sasl-max-buffer-size: 4194304 modifying entry "cn=config"

6.4.4. 用户和组 ID 号

  • 要点：当从 LDAP 迁移到 IdM 部署时，请确保部署之间没有用户 ID (UID)和组 ID (GID)冲突。
  • 要点：迁移前，请验证：
  • 列表：您知道您的 LDAP ID 范围。
  • 列表：您知道您的 IdM ID 范围。
  • 列表：LDAP 服务器上的 UID 和 GID 之间没有重叠，在 RHEL 系统或 IdM 部署上的现有 UID 或 GID 之间没有重叠。
  • 列表：迁移的 LDAP UID 和 GID 适合 IdM ID 范围。 如果需要，在迁移前创建一个新的 IdM ID 范围。
  • 列表：如果需要，在迁移前创建一个新的 IdM ID 范围。
  • 列表：添加新的 IdM ID 范围

6.4.5. 关于 sudo 规则的注意事项

  • 要点：存储在 LDAP 中的 sudo 规则必须手动迁移到身份管理(IdM)。
  • 要点：如果您将 sudo 与 LDAP 一起使用，您必须手动将存储在 LDAP 中的 sudo 规则迁移到 IdM。红帽建议在 IdM 中重新创建 netgroups 作为主机组，IdM 会自动显示为不使用 SSSD sudo 供应商的 sudo 配置的传统 netgroups。

6.4.6. LDAP 到 IdM 的迁移工具

  • 要点：您可以通过正确格式化和导入目录数据，使用命令来执行 LDAP 到身份管理(IdM)迁移。
  • 要点：IdM 使用特定的命令 ipa migrate-ds 来运行迁移过程，以便正确格式化 LDAP 目录数据并完全导入到 IdM 服务器中。使用 ipa migrate-ds 时，由 --bind-dn 选项指定的远程系统用户必须具有对 userPassword 属性的读权限，否则密码将不会被迁移。
  • 列表：将 LDAP 服务器迁移到 IdM

6.4.7. 提高 LDAP 到 IdM 的迁移性能

  • 要点：LDAP 迁移本质上是 IdM 服务器中 389 目录服务器(DS)实例的一个专门的导入操作。您可以通过调整 389 DS 实例来提高迁移性能，特别是条目缓存大小和系统进程限制。
  • 要点：有两个参数会直接影响导入性能：
  • 列表：nsslapd-cachememsize 属性定义条目缓存允许的大小。这是一个缓冲区，其自动设置为总缓存大小的 80%。对于大规模导入操作，您可以增加此参数以及可能的内存缓存本身。这一改进将提高目录服务处理大量条目或具有大量属性的条目的效率。
  • 列表：系统 ulimit 配置选项设置对系统用户允许的最大进程数。处理大型数据库可能会超出限制。如果发生这种情况，请增大值： [root@server ~]# ulimit -u 4096
  • 列表：调整 IdM 目录服务器性能
  • 列表：调整 IdM 目录服务器中的条目缓存大小
  • 命令/配置摘录：
[root@server ~]# ulimit -u 4096

6.4.8. LDAP 到 IdM 的迁移序列

  • 要点：您可以使用客户端优先方法迁移到 IdM，其中 SSSD 在 IdM 服务器之前部署，或首先迁移 IdM 服务器和数据的服务器优先方法。每种方法对客户端配置都有不同的影响。
  • 要点：SSSD 用于在配置身份管理(IdM)服务器时更改客户端配置：
  • 列表：部署 SSSD。
  • 列表：重新配置客户端来连接到当前 LDAP 服务器，然后故障转移到 IdM。
  • 列表：安装 IdM 服务器。
  • 列表：使用 IdM ipa migrate-ds 脚本迁移用户数据。这会从 LDAP 目录导出数据、IdM 模式的格式，然后将它导入到 IdM。
  • 列表：使 LDAP 服务器下线，并允许客户端透明地故障转移到 IdM。
  • 列表：使用 IdM ipa migrate-ds 脚本迁移用户数据。这会从 LDAP 目录导出数据，为 IdM 模式格式化数据，然后将其导入到 IdM 中。
  • 注意：重要 客户端优先和服务器优先迁移都提供了常规迁移流程，但它们可能无法在每个环境中都正常工作。在尝试迁移真实的 LDAP 环境之前，创建测试 LDAP 环境并测试迁移过程。
  • 注意：注意 不要长时间并行运行 LDAP 目录服务和 IdM 服务器。这增加了用户数据在两个服务间不一致的风险。

6.5. 自定义从 LDAP 到 IdM 的迁移

  • 要点：您可以使用 ipa migrate-ds 命令将身份验证和授权服务从 LDAP 服务器迁移到身份管理(IdM)。如果没有附加选项，命令会获取目录的 LDAP URL，来根据常见的默认设置迁移和导出数据。
  • 要点：您可以使用不同的 ipa migrate-ds 命令选项自定义迁移过程，以及数据是如何识别和导出的。如果您的 LDAP 目录树具有唯一的结构，或者您知道必须排除某些条目或条目中的某些属性，则可以自定义迁移。

6.5.1. 从 LDAP 迁移到 IdM 的过程中自定义绑定 DN 和基本 DN 的示例

  • 要点：当从 LDAP 迁移到身份管理(IdM)时，您可以使用 ipa migrate-ds 选项自定义绑定 DN 和基本 DN 设置，以匹配源 LDAP 目录结构。
  • 要点：使用 ipa migrate-ds 命令从 LDAP 迁移到 IdM。如果没有附加选项，命令会获取目录的 LDAP URL，来根据常见的默认设置迁移和导出数据。以下是修改默认设置的示例：
  • 命令/配置摘录：
# ipa migrate-ds ldap://ldap.example.com:389
# ipa migrate-ds ldap://ldap.example.com:389 --bind-dn=cn=Manager,dc=example,dc=com

6.5.2. 特定子树的迁移

  • 要点：如果您的 LDAP 目录对用户和组条目使用非标准结构，您可以指定自定义子树位置。
  • 要点：默认目录结构在 ou=People 子树中放置个人条目，在 ou=Groups 子树中放置组条目。这些子树是这些不同类型的目录数据的容器条目。如果 migrate-ds 命令没有使用任何选项，那么工具假定给定的 LDAP 目录使用 ou=People 和 ou=Groups 结构。
  • 列表：--user-container
  • 列表：--group-container
  • 列表：onelevel ：默认.仅迁移指定容器中的条目。
  • 列表：subtree: 指定容器中的条目，且所有子容器都已迁移。
  • 列表：base ：只迁移指定的对象本身。
  • 命令/配置摘录：
[ipaserver ~]# ipa migrate-ds --user-container=ou=employees \ --group-container="ou=employee groups" ldap://ldap.example.com:389
  • 注意：注意 在这两种情况下，子树都必须是相对区分名称(RDN)，并且必须相对于基本 DN。例如，您可以使用 --user-container=ou=Employees 迁移 >ou=Employees,dc=example,dc=com 目录树。

6.5.3. 条目的包含和排除

  • 要点：ipa migrate-ds 命令允许您在迁移过程中有选择地包含或排除特定的用户和组。
  • 要点：默认情况下，ipa migrate-ds 脚本导入具有 person 对象类的每个用户条目，以及带有 groupOfUniqueNames 或 groupOfNames 对象类的每个组条目。
  • 命令/配置摘录：
[root@ipaserver ~]# ipa migrate-ds --user-objectclass=fullTimeEmployee ldap://ldap.example.com:389
[root@ipaserver ~]# ipa migrate-ds --group-objectclass=groupOfNames --group-objectclass=groupOfUniqueNames ldap://ldap.example.com:389

6.5.4. 条目属性的排除

  • 要点：在 LDAP 迁移到 IdM 的过程中，您可以从用户或组条目中排除特定的属性和对象类。
  • 要点：默认情况下，用户或组条目的每个属性和对象类都将被迁移。在某些场景中，由于带宽和网络的约束，或者由于属性数据不再相关，这可能不太现实。例如，如果在用户在加入身份管理(IdM)域时为其分配了新用户证书，那么迁移 userCertificate 属性就毫无用处。
  • 列表：--user-ignore-objectclass
  • 列表：--user-ignore-attribute
  • 列表：--group-ignore-objectclass
  • 列表：--group-ignore-attribute
  • 列表：LDAP 环境迁移要求
  • 命令/配置摘录：
[root@ipaserver ~]# ipa migrate-ds --user-ignore-attribute=userCertificate --user-ignore-objectclass=strongAuthenticationUser --group-ignore-objectclass=groupOfCertificates ldap://ldap.example.com:389
  • 注意：注意 确保不要忽略任何必需的属性。另外，在排除对象类时，请确保排除该对象类只支持的任何属性。

6.5.5. 从 LDAP 迁移到 IdM 时使用的模式和模式兼容特性

  • 要点：身份管理(IdM)默认使用 RFC2307bis 模式，但如果需要，您可以从基于 RFC2307 的 LDAP 目录进行迁移。
  • 要点：如果用作迁移源的 LDAP 服务器使用 RFC2307 模式，请使用 ipa migrate-ds 命令指定 the- schema 选项：
  • 命令/配置摘录：
[root@ipaserver ~]# ipa migrate-ds --schema=RFC2307 ldap://ldap.example.com:389

6.6. 将 LDAP 服务器迁移到 IdM

  • 要点：您可以使用 ipa migrate-ds 命令将身份验证和授权服务从 LDAP 服务器迁移到身份管理(IdM)，同时保留用户帐户、密码和组成员资格。
  • 要点：先决条件
  • 列表：有 LDAP 目录的管理员特权。
  • 列表：如果已安装 IdM，则您有 IdM 的管理员权限。
  • 列表：您以 root 身份登录到运行以下流程的 RHEL 系统。
  • 列表：您已阅读并理解了以下章节： 从 LDAP 迁移到 IdM 时的注意事项。 在从 LDAP 迁移到 IdM 时规划客户端配置。 从 LDAP 迁移到 IdM 时规划密码迁移。 进一步的迁移注意事项和要求。 自定义从 LDAP 到 IdM 的迁移。
  • 列表：从 LDAP 迁移到 IdM 时的注意事项。
  • 列表：在从 LDAP 迁移到 IdM 时规划客户端配置。
  • 命令/配置摘录：
# ipa-compat-manage disable
# systemctl restart dirsrv.target
  • 注意：警告 这是一个通用的迁移流程，可能在每个环境中不一定能正常工作。 强烈建议您在尝试迁移真实的 LDAP 环境前创建测试 LDAP 环境并测试迁移过程。在测试环境时，请执行以下操作： 在 IdM 中创建测试用户，并将迁移的用户的输出与测试用户的输出进行比较。 将迁移的用户的输出（如 IdM 上所示）与源用户进行比较，如原始 LDAP 服务器上所示。 有关更多的指导，请参见下面的 验证 部分。
  • 注意：注意 自定义用户或组模式在 IdM 中的支持有限。它们可能会在迁移过程中导致问题，因为对象定义不兼容。

6.7. 通过 SSL 从 LDAP 迁移到 IdM

  • 要点：您可以使用 ipa migrate-ds 命令，通过加密的 SSL/TLS 连接将身份验证和授权服务从 LDAP 服务器迁移到身份管理(IdM)，以便在传输过程中保护敏感信息，如用户凭证。
  • 要点：先决条件
  • 列表：有 LDAP 目录的管理员特权。
  • 列表：如果已安装 IdM，则您有 IdM 的管理员权限。
  • 列表：您以 root 身份登录到运行以下流程的 RHEL 系统。
  • 列表：您已阅读并理解了以下章节： 从 LDAP 迁移到 IdM 时的注意事项。 在从 LDAP 迁移到 IdM 时规划客户端配置。 从 LDAP 迁移到 IdM 时规划密码迁移。 进一步的迁移注意事项和要求。 自定义从 LDAP 到 IdM 的迁移。
  • 列表：从 LDAP 迁移到 IdM 时的注意事项。
  • 列表：在从 LDAP 迁移到 IdM 时规划客户端配置。
  • 命令/配置摘录：
# ipa migrate-ds --ca-cert-file=/tmp/remote.crt --your-other-options ldaps://ldap.example.com:636
$ ipa user-show --all testing_user dn: uid=testing_user,cn=users,cn=accounts,dc=idm,dc=example,dc=com User login: testing_user First name: testing Last name: user Full name: testing user Display name: testing user Initials: tu Home directory: /home/testing_user GECOS: testing user Login shell: /bin/sh Principal name: testing_user@IDM.EXAMPLE.COM Principal alias: testing_user@IDM.EXAMPLE.COM Email address: testing_user@idm.example.com UID: 1689700012 GID: 1689700012 Account disabled: False Preserved user: False Password: False Member of groups: ipausers Kerberos keys available: False ipauniqueid: 843b1ac8-6e38-11ec-8dfe-5254005aad3e mepmanage…
  • 注意：警告 这是一个通用的迁移流程，可能在每个环境中不一定能正常工作。 强烈建议您在尝试迁移真实的 LDAP 环境前创建测试 LDAP 环境并测试迁移过程。在测试环境时，请执行以下操作： 在 IdM 中创建测试用户，并将迁移的用户的输出与测试用户的输出进行比较。 将迁移的用户的输出（如 IdM 上所示）与源用户进行比较，如原始 LDAP 服务器上所示。 有关更多的指导，请参见下面的 验证 部分。

完整目录

  • 将 IdM 环境从 RHEL 9 升级到 RHEL 10，并将外部 LDAP 解决方案迁移到 IdM
  • 对红帽文档提供反馈
  • 第 1 章 Identity Management Upgrade Helper 应用程序
  • 第 2 章 将 IdM 环境从 RHEL 9 服务器迁移到 RHEL 10 服务器
    • 2.1. IdM 迁移步骤概述
    • 2.2. 迁移大型和标准 IdM 部署的策略
    • 2.3. 准备将 IdM 从 RHEL 9 迁移到 10
    • 2.4. 在 IdM 拓扑中执行角色清单
    • 2.5. 在迁移过程中记录 DNA ID 范围
    • 2.6. 安全地重复使用 IdM 服务器主机名
    • 2.7. 安装 RHEL 10 副本
    • 2.8. 向 RHEL 10 IdM 服务器分配 CA 续订服务器角色
    • 2.9. 在 IdM 服务器中停止 CRL 生成
    • 2.10. 在新的 RHEL 10 IdM CA 服务器上启动 CRL 生成
    • 2.11. 更新固定到特定服务器的 IdM 客户端
    • 2.12. 停止并停用 RHEL 9 服务器
  • 第 3 章 RHEL 9 到 RHEL 10 IdM 客户端升级
  • 第 4 章 从一个 IdM 服务器迁移到另一个 IdM 服务器
    • 4.1. IdM 到 IdM 的迁移
    • 4.2. 将 IdM 环境从 staging 迁移到生产环境
  • 第 5 章 从非 RHEL Linux 发行版上的 FreeIPA 迁移到 RHEL 10 上的 IdM
  • 第 6 章 从 LDAP 目录迁移到 IdM
    • 6.1. 从 LDAP 迁移到 IdM 时的注意事项
    • 6.2. 在从 LDAP 迁移到 IdM 时规划客户端配置
      • 6.2.1. 初始的、迁移前的客户端配置
      • 6.2.2. 推荐的 RHEL 客户端配置
      • 6.2.3. 替代的支持的配置
    • 6.3. 在从 LDAP 迁移到 IdM 时规划密码迁移
      • 6.3.1. 从 LDAP 迁移到 IdM 时的密码迁移选项
      • 6.3.2. 在将 LDAP 迁移到 IdM 时迁移密码的方法
      • 6.3.3. 规划明文 LDAP 密码的迁移
      • 6.3.4. 规划不满足 IdM 要求的 LDAP 密码的迁移
    • 6.4. 进一步的迁移注意事项和要求
      • 6.4.1. 支持迁移的 LDAP 服务器
      • 6.4.2. LDAP 环境迁移要求
      • 6.4.3. IdM 系统迁移要求
      • 6.4.4. 用户和组 ID 号
      • 6.4.5. 关于 sudo 规则的注意事项
      • 6.4.6. LDAP 到 IdM 的迁移工具
      • 6.4.7. 提高 LDAP 到 IdM 的迁移性能
      • 6.4.8. LDAP 到 IdM 的迁移序列
    • 6.5. 自定义从 LDAP 到 IdM 的迁移
      • 6.5.1. 从 LDAP 迁移到 IdM 的过程中自定义绑定 DN 和基本 DN 的示例
      • 6.5.2. 特定子树的迁移
      • 6.5.3. 条目的包含和排除
      • 6.5.4. 条目属性的排除
      • 6.5.5. 从 LDAP 迁移到 IdM 时使用的模式和模式兼容特性
    • 6.6. 将 LDAP 服务器迁移到 IdM
    • 6.7. 通过 SSL 从 LDAP 迁移到 IdM