跳至主要內容

管理身份管理中的复制

大约 28 分钟

管理身份管理中的复制

来源：官方文档 原始多页入口：管理身份管理中的复制 内容规模：约 26,068 字符，33 个章节标题，46 个命令/代码块，8 条提示框

阅读提要

  • 副标题：准备和验证复制环境
  • 摘要：在 Red Hat Identity Management (IdM)环境中，复制启用了故障转移和负载平衡。您可以使用命令行、Web UI 和 Ansible Playbook 配置、验证和停止服务器之间的复制。
  • 主要章节：准备和验证复制环境；对红帽文档提供反馈；第 1 章 管理复制拓扑；第 2 章 使用 Ansible 管理 IdM 中的复制拓扑；第 3 章 使用 Healthcheck 检查 IdM 复制
  • 推荐阅读顺序：先看“阅读提要”和目录，再按章节查看“关键点/命令/注意”；需要原文细节时点击来源链接。

章节笔记

概览

  • 该章节主要为下一级主题的入口。

准备和验证复制环境

  • 要点：摘要

对红帽文档提供反馈

  • 要点：我们致力于为您提供高质量的文档，您的反馈将对我们有很大帮助。为帮助我们改进，您可以通过 Red Hat Jira 跟踪系统提交建议或报告错误。
  • 要点：流程
  • 列表：登录到 Jira 网站。 如果您还没有帐户，请创建一个。
  • 列表：单击顶部导航栏中的 Create。
  • 列表：在 Summary 字段中输入描述性标题。
  • 列表：在 Description 字段中输入您对改进的建议。包括文档相关部分的链接。
  • 列表：点窗口底部的 Create。

第 1 章 管理复制拓扑

  • 要点：为确保 IdM 域间的持续服务可用性和数据一致性，请在服务器之间配置复制协议，以便数据自动同步，防止个别服务器出现故障时服务中断。
  • 要点：当您创建副本时，身份管理(IdM)会在初始服务器和副本之间创建一个复制协议。然后，复制的数据会存储在拓扑后缀中，当两个副本在它们的后缀之间有复制协议时，后缀会形成一个拓扑段。本章论述了如何在 IdM 域中的服务器间主动管理复制。

1.1. 其他资源

  • 列表：规划副本拓扑
  • 列表：卸载 IdM 服务器
  • 列表：IdM 中的故障转移、负载平衡和高可用性
  • 列表：身份管理性能调优

1.2. IdM 副本之间的复制协议

  • 要点：了解 IdM 如何在服务器之间创建双向复制协议来同步身份和证书数据，确保数据冗余并防止域中的服务中断。
  • 要点：当管理员基于现有服务器创建副本时，身份管理 (IdM) 会在初始服务器和副本之间创建复制协议。复制协议确保两个服务器之间不断复制数据和配置。
  • 列表：域复制协议 复制身份信息。
  • 列表：证书复制协议 复制证书信息。

1.3. 拓扑后缀

  • 要点：身份管理(IdM)将复制的数据组织到域和证书颁发机构(CA)后缀中。此结构支持服务器之间的目标复制并确保高效的数据同步。
  • 要点：拓扑后缀 存储复制的数据。IdM 支持两种类型的拓扑后缀：domain 和 ca。每个后缀代表一个单独的服务器，即一个单独的复制拓扑。

1.4. 拓扑片段

  • 要点：了解拓扑片段如何代表两个 IdM 服务器之间的双向复制协议，确保两个方向的数据流在两个方向中保持同步。
  • 要点：当两个副本在其后缀之间具有复制协议时，后缀组成一个 拓扑片段。每个拓扑段由一个 左节点和一个 右节点 组成。节点代表复制协议中加入的服务器。

1.5. 使用 Web UI 查看并修改复制拓扑的可视化表示

  • 要点：通过交互式图可视化复制拓扑，以识别潜在的问题，如单一故障点，并确保您的服务器保持正确的数据冗余连接。
  • 要点：使用 Web UI，您可以查看、操作和转换复制拓扑的表示。Web UI 中的拓扑图显示域中服务器之间的关系。您可以使用拖放来移动单个拓扑节点。
  • 列表：您以 IdM 管理员身份登录。
  • 列表：选择 IPA Server → Topology → Topology Graph。
  • 列表：更改拓扑： 您可以使用拖放来移动拓扑图形节点： 您可以使用鼠标 wheel 缩放拓扑图： 您可以通过按鼠标左键移动拓扑图的画面：
  • 列表：您可以使用拖放来移动拓扑图形节点：
  • 列表：您可以使用鼠标 wheel 缩放拓扑图：
  • 列表：您可以通过按鼠标左键移动拓扑图的画面：

1.6. 使用 CLI 查看拓扑后缀

  • 要点：在复制协议中，拓扑后缀存储复制的数据。使用 CLI 在 IdM 部署中显示拓扑后缀，以确保正确配置域和证书数据同步。
  • 要点：步骤
  • 列表：输入 ipa topologysuffix-find 命令显示拓扑后缀的列表： $ ipa topologysuffix-find --------------------------- 2 topology suffixes matched --------------------------- Suffix name: ca Managed LDAP suffix DN: o=ipaca Suffix name: domain Managed LDAP suffix DN: dc=example,dc=com ---------------------------- Number of entries returned…
  • 列表：拓扑后缀
  • 命令/配置摘录：
$ ipa topologysuffix-find --------------------------- 2 topology suffixes matched ---------------------------  Suffix name: ca  Managed LDAP suffix DN: o=ipaca  Suffix name: domain  Managed LDAP suffix DN: dc=example,dc=com ---------------------------- Number of entries returned 2 ----------------------------

1.7. 使用 CLI 查看拓扑段

  • 要点：在复制协议中，当两个副本在它们的后缀之间共享协议时，后缀会形成一个拓扑段。您可以使用 CLI 列出拓扑片段以验证连接是否正确，并确定哪些服务器正在共享数据，这有助于维护弹性拓扑。
  • 要点：步骤
  • 列表：输入 ipa topologysegment-find 命令显示为域或 CA 后缀配置的当前拓扑段。例如，对于域后缀： $ ipa topologysegment-find Suffix name: domain ----------------- 1 segment matched ----------------- Segment name: server1.example.com-to-server2.example.com Left node: server1.example.com Right node: server2.example.com Connectivity: both ---------------…
  • 列表：可选：要只显示特定片段的详情，请输入 ipa topologysegment-show 命令： $ ipa topologysegment-show Suffix name: domain Segment name: server1.example.com-to-server2.example.com Segment name: server1.example.com-to-server2.example.com Left node: server1.example.com Right node: server2.example.com Connectivity: both
  • 列表：拓扑片段
  • 命令/配置摘录：
$ ipa topologysegment-find Suffix name: domain ----------------- 1 segment matched -----------------  Segment name: server1.example.com-to-server2.example.com  Left node: server1.example.com  Right node: server2.example.com  Connectivity: both ---------------------------- Number of entries returned 1 ----------------------------
$ ipa topologysegment-show Suffix name: domain Segment name: server1.example.com-to-server2.example.com  Segment name: server1.example.com-to-server2.example.com  Left node: server1.example.com  Right node: server2.example.com  Connectivity: both

1.8. 使用 Web UI 在两个服务器之间设置复制

  • 要点：通过 Web 界面创建特定 IdM 服务器之间的复制协议，以扩展您的域拓扑，确保新服务器自动接收现有用户和配置数据，以进行一致的服务交付。
  • 要点：使用身份管理(IdM) Web UI，您可以选择两个服务器，并在它们之间创建新的复制协议。
  • 列表：您以 IdM 管理员身份登录。
  • 列表：在拓扑图中，将鼠标悬停在其中一个服务器节点上。 域或 CA 选项
  • 列表：点击 域 或圆圈的 ca 部分，具体取决于您要创建的拓扑网类型。
  • 列表：在鼠标指针下会显示代表新复制协议的新箭头。将鼠标移到其他服务器节点，然后单击它。 创建新片段
  • 列表：在 Add topology segment 窗口中，单击 Add 以确认新网段的属性。 两台服务器之间的新拓扑网段将它们加入到复制协议中。拓扑图现在显示更新的复制拓扑： 创建新片段

1.9. 使用 Web UI 停止两个服务器之间的复制

  • 要点：在重新配置拓扑或停用服务器时，通过身份管理(IdM) Web UI 删除两个服务器之间的复制协议。删除复制协议会停止数据同步。
  • 要点：先决条件
  • 列表：您以 IdM 管理员身份登录。
  • 列表：单击代表您要删除的复制协议的箭头。这会突出显示箭头。 拓扑片段突出显示
  • 列表：点删除。
  • 列表：在 Confirmation 窗口中，单击 OK。 IdM 删除了两台服务器之间的拓扑网段，这将删除它们的复制协议。拓扑图现在显示更新的复制拓扑： 已删除拓扑片段

1.10. 使用 CLI 在两个服务器之间设置复制

  • 要点：通过 CLI 在特定的 IdM 服务器之间创建复制协议，以扩展您的域拓扑，确保新服务器自动接收现有用户和配置数据，以进行一致的服务交付。
  • 要点：使用 ipa topologysegment-add 命令在两个副本之间创建新的复制协议。
  • 列表：有 IdM 管理员凭证。
  • 列表：为两台服务器创建一个拓扑段。在提示时，提供： 所需的拓扑后缀：domain 或 ca 左节点和右节点，代表两台服务器 可选：片段的自定义名称 例如： $ ipa topologysegment-add Suffix name: domain Left node: server1.example.com Right node: server2.example.com Segment name [server1.example.com-to-server2.example.com]: new_segment --------------------------- Added segment "new_segment" --------…
  • 列表：所需的拓扑后缀：domain 或 ca
  • 列表：左节点和右节点，代表两台服务器
  • 列表：可选：片段的自定义名称 例如： $ ipa topologysegment-add Suffix name: domain Left node: server1.example.com Right node: server2.example.com Segment name [server1.example.com-to-server2.example.com]: new_segment --------------------------- Added segment "new_segment" --------------------------- Segment name: new_segment Left node: …
  • 列表：验证新段是否已配置： $ ipa topologysegment-show Suffix name: domain Segment name: new_segment Segment name: new_segment Left node: server1.example.com Right node: server2.example.com Connectivity: both
  • 命令/配置摘录：
$ ipa topologysegment-add Suffix name: domain Left node: server1.example.com Right node: server2.example.com Segment name [server1.example.com-to-server2.example.com]: new_segment --------------------------- Added segment "new_segment" ---------------------------  Segment name: new_segment  Left node: server1.example.com  Right node: server2.example.com  Connectivity: both
$ ipa topologysegment-show Suffix name: domain Segment name: new_segment  Segment name: new_segment  Left node: server1.example.com  Right node: server2.example.com  Connectivity: both

1.11. 使用 CLI 停止两个服务器之间的复制

  • 要点：在重新配置拓扑或停用服务器时，在两台服务器间删除复制协议。使用 ipa topology segment-del 命令停止数据同步。
  • 要点：先决条件
  • 列表：有 IdM 管理员凭证。
  • 列表：可选：如果您不知道要删除的特定复制片段的名称，请显示所有可用的片段。使用 ipa topologysegment-find 命令。出现提示时，请提供所需的拓扑后缀： domain 或 ca。例如： $ ipa topologysegment-find Suffix name: domain ------------------ 8 segments matched ------------------ Segment name: new_segment Left node: server1.example.com Right node: server2.example.com Connectivity: both ... …
  • 列表：删除连接两个服务器的拓扑段： $ ipa topologysegment-del Suffix name: domain Segment name: new_segment ----------------------------- Deleted segment "new_segment" ----------------------------- 删除片段会移除复制协议。
  • 列表：验证段是否不再列出： $ ipa topologysegment-find Suffix name: domain ------------------ 7 segments matched ------------------ Segment name: server2.example.com-to-server3.example.com Left node: server2.example.com Right node: server3.example.com Connectivity: both ... ---------------------------- Number of entries returned 7…
  • 命令/配置摘录：
$ ipa topologysegment-find Suffix name: domain ------------------ 8 segments matched ------------------  Segment name: new_segment  Left node: server1.example.com  Right node: server2.example.com  Connectivity: both ... ---------------------------- Number of entries returned 8 ----------------------------
$ ipa topologysegment-del Suffix name: domain Segment name: new_segment ----------------------------- Deleted segment "new_segment" -----------------------------

1.12. 使用 Web UI 从拓扑中删除服务器

  • 要点：在停用基础架构时，通过身份管理 IdM Web UI 从 IdM 拓扑中删除服务器，同时确保剩余的服务器保持复制连接。此操作不会从主机卸载服务器组件。
  • 要点：先决条件
  • 列表：您以 IdM 管理员身份登录。
  • 列表：您希望删除的服务器 并不是 唯一将其他服务器与拓扑中其余部分连接的服务器；这会导致其他服务器变为隔离状态，这是不允许的。
  • 列表：要删除的服务器 不是 您的最后一个 CA 或 DNS 服务器。
  • 列表：选择 IPA 服务器 → 拓扑 → IPA 服务器。
  • 列表：单击您要删除的服务器的名称。 选择服务器
  • 列表：单击 Delete Server。
  • 注意：警告 删除服务器是一项不当操作。如果您删除了服务器，在拓扑中重新引入它的唯一方法是在机器上安装新副本。

1.13. 使用 CLI 从拓扑中删除服务器

  • 要点：在停用基础架构时，通过身份管理 IdM CLI 从 IdM 拓扑中删除服务器，同时确保剩余的服务器保持复制连接。此操作不会从主机卸载服务器组件。
  • 要点：先决条件
  • 列表：有 IdM 管理员凭证。
  • 列表：您希望删除的服务器 并不是 唯一将其他服务器与拓扑中其余部分连接的服务器；这会导致其他服务器变为隔离状态，这是不允许的。
  • 列表：要删除的服务器 不是 您的最后一个 CA 或 DNS 服务器。
  • 列表：在 server2.example.com 上，运行 ipa server-del 命令来删除 server1.example.com。该命令删除指向服务器的所有拓扑片段： [user@server2 ~]$ ipa server-del Server name: server1.example.com Removing server1.example.com from replication topology, please wait... ---------------------------------------------------------- Deleted IPA server "server1.example.…
  • 列表：可选：在 server1.example.com 上，运行 ipa server-install --uninstall 命令来从机器中卸载服务器组件。 [root@server1 ~]# ipa server-install --uninstall
  • 命令/配置摘录：
[user@server2 ~]$ ipa server-del Server name: server1.example.com Removing server1.example.com from replication topology, please wait... ---------------------------------------------------------- Deleted IPA server "server1.example.com" ----------------------------------------------------------
[root@server1 ~]# ipa server-install --uninstall
  • 注意：重要 删除服务器是一项不当操作。如果您删除了服务器，在拓扑中重新引入它的唯一方法是在机器上安装新副本。

1.14. 删除过时的 RUV 记录

  • 要点：当副本被删除时，从剩余的服务器清理过时的副本更新向量(RUV)记录，而不正确地删除其复制协议，恢复正常的复制行为。
  • 要点：如果您从 IdM 拓扑中删除了一台服务器，而没有正确地删除其复制协议，则过时的副本更新向量(RUV)记录将保留在拓扑中的一个或多个剩余的服务器上。例如，可能会由于自动化而发生这种情况。这些服务器预期会从现在已删除的服务器接收更新。在这种情况下，您需要从剩余的服务器中清理过时的 RUV 记录。
  • 列表：有 IdM 管理员凭证。
  • 列表：您知道哪些副本已损坏或已被错误地删除。
  • 列表：使用 ipa-replica-manage list-ruv 命令列出 RUV 的详细信息。命令显示副本 ID： $ ipa-replica-manage list-ruv server1.example.com:389: 6 server2.example.com:389: 5 server3.example.com:389: 4 server4.example.com:389: 12 重要 ipa-replica-manage list-ruv 命令列出拓扑中的所有副本，而不仅仅是有故障或错误删除的副本。
  • 列表：使用 ipa-replica-manage clean-ruv 命令删除与指定副本关联的过时的 RUV。对具有过时 RUV 的每个副本 ID 重复此命令。例如，如果您知道 server1.example.com 和 server2.example.com 有故障或者错误地删除了副本： ipa-replica-manage clean-ruv 6 ipa-replica-manage clean-ruv 5 警告 使用 ipa-replica-manage clean-ruv 时要非常小心。对有效副本 ID 运行命令将破坏复制数据库中与该副本关联的所有数据。 如果发生这种情况，请使用 $ ipa-replica-manage re-…
  • 列表：再次运行 ipa-replica-manage list-ruv。如果命令不再显示任何损坏的 RUV，则记录已被成功清理。
  • 列表：如果命令仍然显示损坏的 RUV，则使用此任务手动清除它们： dn: cn=clean replica_ID, cn=cleanallruv, cn=tasks, cn=config objectclass: extensibleObject replica-base-dn: dc=example,dc=com replica-id: replica_ID replica-force-cleaning: no cn: clean replica_ID
  • 命令/配置摘录：
$ ipa-replica-manage list-ruv server1.example.com:389: 6 server2.example.com:389: 5 server3.example.com:389: 4 server4.example.com:389: 12
ipa-replica-manage clean-ruv 6 ipa-replica-manage clean-ruv 5
  • 注意：重要 ipa-replica-manage list-ruv 命令列出拓扑中的所有副本，而不仅仅是有故障或错误删除的副本。
  • 注意：警告 使用 ipa-replica-manage clean-ruv 时要非常小心。对有效副本 ID 运行命令将破坏复制数据库中与该副本关联的所有数据。 如果发生这种情况，请使用 $ ipa-replica-manage re-initialize --from server1.example.com 从另一个副本重新初始化副本。

1.15. 使用 IdM Web UI 查看 IdM 拓扑中可用的服务器角色

  • 要点：使用身份管理(IdM) Web UI 来识别哪些 IdM 服务器执行 CA、DNS 或密钥恢复授权(KRA) 服务器角色。验证服务是否在拓扑间正确分布。
  • 要点：流程
  • 列表：有关支持的服务器角色的完整列表，请参阅 IPA 服务器 → Topology → Server Roles。 注意 缺少 角色状态意味着拓扑中没有服务器执行该角色。 启用 角色状态意味着拓扑中的一个或多个服务器正在执行该角色。 Web UI 中的服务器角色
  • 注意：注意 缺少 角色状态意味着拓扑中没有服务器执行该角色。 启用 角色状态意味着拓扑中的一个或多个服务器正在执行该角色。

1.16. 使用 IdM CLI 查看 IdM 拓扑中可用的服务器角色

  • 要点：使用身份管理(IdM) CLI 来识别哪些 IdM 服务器执行 CA、DNS 或密钥恢复授权(KRA) 服务器角色。验证服务是否在拓扑间正确分布。
  • 要点：流程
  • 列表：要显示拓扑中所有 CA 服务器和当前 CA 续订服务器： $ ipa config-show ... IPA masters: server1.example.com, server2.example.com, server3.example.com IPA CA servers: server1.example.com, server2.example.com IPA CA renewal master: server1.example.com
  • 列表：或者，要显示特定服务器（如 server.example.com）上启用的角色的列表 ： $ ipa server-show Server name: server.example.com ... Enabled server roles: CA server, DNS server, KRA server
  • 列表：或者，使用 ipa server-find --servrole 命令搜索启用了特定服务器角色的所有服务器。例如，搜索所有 CA 服务器： $ ipa server-find --servrole "CA server" --------------------- 2 IPA servers matched --------------------- Server name: server1.example.com ... Server name: server2.example.com ... ---------------------------- Number of entries returned 2 ------…
  • 命令/配置摘录：
$ ipa config-show  ...  IPA masters: server1.example.com, server2.example.com, server3.example.com  IPA CA servers: server1.example.com, server2.example.com  IPA CA renewal master: server1.example.com
$ ipa server-show Server name: server.example.com  ...  Enabled server roles: CA server, DNS server, KRA server

1.17. 将副本提升到 CA 续订服务器和 CRL 发布程序服务器

  • 要点：将 CA 续订服务器或 CRL 发布程序角色传送到另一个 IdM CA 服务器，以重新分发证书管理职责或准备服务器维护。
  • 要点：如果您的 IdM 部署使用嵌入式证书颁发机构(CA)，其中一个身份管理(IdM) CA 服务器充当 CA 续订服务器，即管理 CA 子系统证书的续订服务器。其中一台 IdM CA 服务器也充当 IdM CRL 发布程序服务器，这是生成证书撤销列表的服务器。
  • 列表：有 IdM 管理员凭证。
  • 列表：更改当前的 CA 续订服务器。
  • 列表：配置副本来生成 CRL。

1.18. 演示或提升隐藏副本

  • 要点：将副本配置为隐藏或可见，以控制客户端和其他服务器是否可以发现它，从而启用专用的备份副本或维护场景。
  • 要点：安装身份管理(IdM)副本后，您可以配置副本是隐藏还是可见。
  • 列表：确保副本不是 CA 续订服务器。如果是，在隐藏此副本前将服务移到另一个副本。详情请参阅 更改和重置 IdM CA 续订服务器
  • 列表：要隐藏副本： # ipa server-state replica.idm.example.com --state=hidden
  • 列表：要使副本再次可见： # ipa server-state replica.idm.example.com --state=enabled
  • 列表：要查看拓扑中所有隐藏的副本的列表： # ipa config-show 如果启用了所有副本，命令输出不会提到隐藏的副本。
  • 命令/配置摘录：
# ipa server-state replica.idm.example.com --state=hidden
# ipa server-state replica.idm.example.com --state=enabled

第 2 章 使用 Ansible 管理 IdM 中的复制拓扑

  • 要点：使用 Ansible playbook 自动管理 IdM 服务器复制，以维护冗余服务器配置，启用对服务器故障的快速恢复，并确保您的机构不间断的域服务。
  • 要点：当您创建副本时，身份管理(IdM)会在初始服务器和副本之间创建一个复制协议。然后，复制的数据会存储在拓扑后缀中，当两个副本在它们的后缀之间有复制协议时，后缀会形成一个拓扑段。
  • 列表：如何配置其他服务器以保持向域提供服务，以防一台服务器出现故障。
  • 列表：如何根据剩余的服务器创建新副本来恢复丢失的服务器。

2.1. 使用 Ansible 确保 IdM 中存在复制协议

  • 要点：自动化服务器到服务器数据共享，以保持冗余并防止服务中断。
  • 要点：存储在身份管理 (IdM) 服务器上的数据存储基于复制协议：配置了两个服务器时，它们共享其数据。复制协议始终为现实：数据从第一个副本复制到另一个副本，另一个副本复制到第一个副本。
  • 列表：确保您了解 在拓扑中连接 IdM 副本的准则 中列出的 IdM 拓扑的建议。
  • 列表：您已配置了 Ansible 控制节点以满足以下要求： 您在使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您在使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 命令/配置摘录：
$ cd ~/MyPlaybooks/
$ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/topology/add-topologysegment.yml add-topologysegment-copy.yml

2.2. 使用 Ansible 确保多个 IdM 副本之间存在复制协议

  • 要点：自动化验证并在服务器基础架构中建立数据共享连接，以保持高可用性。
  • 要点：存储在身份管理 (IdM) 服务器上的数据存储基于复制协议：配置了两个服务器时，它们共享其数据。复制协议始终为现实：数据从第一个副本复制到另一个副本，另一个副本复制到第一个副本。
  • 列表：您已查看了 在拓扑中连接副本中列出的 IdM 拓扑 的建议。
  • 列表：您已配置了 Ansible 控制节点以满足以下要求： 您在使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您在使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 命令/配置摘录：
$ cd ~/MyPlaybooks/
$ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/topology/add-topologysegments.yml add-topologysegments-copy.yml

2.3. 使用 Ansible 检查两个副本之间是否存在复制协议

  • 要点：验证 IdM 中的多个副本对是否存在复制协议，维护高可用性。与 使用 Ansible 确保复制协议在 IdM 中存在 相反，这个流程不会修改现有的配置。
  • 要点：存储在身份管理 (IdM) 服务器上的数据存储基于复制协议：配置了两个服务器时，它们共享其数据。复制协议始终为现实：数据从第一个副本复制到另一个副本，另一个副本复制到第一个副本。
  • 列表：确保您了解拓扑中连接副本中列出的 IdM 拓扑的建议。
  • 列表：您已配置了 Ansible 控制节点以满足以下要求： 您在使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您在使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 命令/配置摘录：
$ cd ~/MyPlaybooks/
$ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/topology/check-topologysegments.yml check-topologysegments-copy.yml

2.4. 使用 Ansible 验证 IdM 中是否存在拓扑后缀

  • 要点：在配置新协议前，使用 Ansible 确认 IdM 部署中存在所需的拓扑后缀来验证您的复制基础架构。
  • 要点：在身份管理 (IdM) 中的复制协议中，拓扑后缀存储要复制的数据。IdM 支持两种类型的拓扑后缀：domain 和 ca。每个后缀代表一个单独的后端，即一个单独的复制拓扑。配置复制协议时，它会在两个不同的服务器上加入同一类型的两个拓扑后缀。
  • 列表：您已配置了 Ansible 控制节点以满足以下要求： 您在使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您在使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：目标节点（也就是在其上执行 freeipa.ansible_freeipa 模块的节点）作为 IdM 客户端、服务器或副本，是 IdM 域的一部分。
  • 命令/配置摘录：
$ cd ~/MyPlaybooks/
$ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/topology/ verify-topologysuffix.yml verify-topologysuffix-copy.yml

2.5. 使用 Ansible 重新初始化 IdM 副本

  • 要点：恢复损坏的或过时的副本数据库，以确保 IdM 基础架构中的一致性数据。
  • 要点：如果副本离线很长时间或者其数据库已损坏，您可以重新初始化它。重新初始化会使用更新的一组数据刷新副本。例如，如果需要从备份进行权威恢复，可以使用重新初始化。
  • 列表：您已配置了 Ansible 控制节点以满足以下要求： 您在使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您在使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：目标节点（也就是在其上执行 freeipa.ansible_freeipa 模块的节点）作为 IdM 客户端、服务器或副本，是 IdM 域的一部分。
  • 命令/配置摘录：
$ cd ~/MyPlaybooks/
$ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/topology/reinitialize-topologysegment.yml reinitialize-topologysegment-copy.yml
  • 注意：注意 与复制更新不同，副本仅互相发送更改的条目，重新初始化会刷新整个数据库。

2.6. 使用 Ansible 确保 IdM 中没有复制协议

  • 要点：在重新创建拓扑或停止特定副本之间的数据同步时，使用 Ansible 删除 IdM 服务器之间的不需要的复制协议。
  • 要点：存储在身份管理 (IdM) 服务器上的数据存储基于复制协议：配置了两个服务器时，它们共享其数据。复制协议始终为现实：数据从第一个副本复制到另一个副本，另一个副本复制到第一个副本。
  • 列表：您了解设计 在拓扑中连接副本 中列出的 IdM 拓扑的建议。
  • 列表：您已配置了 Ansible 控制节点以满足以下要求： 您在使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您在使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 命令/配置摘录：
$ cd ~/MyPlaybooks/
$ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/topology/delete-topologysegment.yml delete-topologysegment-copy.yml

2.7. 其他资源

  • 列表：规划副本拓扑
  • 列表：安装 IdM 副本

第 3 章 使用 Healthcheck 检查 IdM 复制

  • 要点：在 IdM 复制拓扑上运行 Healthcheck 测试，以早期识别配置问题，防止可能影响用户身份验证和域资源访问的数据不一致和服务中断。
  • 要点：您可以使用 Healthcheck 工具测试身份管理(IdM)复制。

3.1. IdM 复制和拓扑 Healthcheck 测试

  • 要点：使用内置 Healthcheck 测试验证您的 IdM 复制拓扑是否满足连接和协议要求，防止隔离服务器和复制冲突可能会破坏数据完整性。
  • 要点：Identity Management (IdM) Healthcheck 工具包括 IdM 拓扑配置的测试。测试会搜索复制冲突问题。
  • 列表：没有 IdM 服务器与拓扑断开连接。
  • 列表：IdM 服务器没有超过推荐的复制协议数。
  • 注意：注意 测试为 domain 后缀运行 ipa topologysuffix-verify 命令。如果在此服务器上配置了 IdM Certificate Authority server 角色，它也会为 ca 后缀运行命令。

3.2. 使用 Healthcheck 进行复制

  • 要点：运行集中评估，以便在导致生产中断前识别复制问题。
  • 要点：您可以使用 Healthcheck 工具运行独立手动测试，以检查身份管理(IdM)服务器的复制和拓扑配置。
  • 列表：您有 root 特权。
  • 列表：要运行复制测试，请输入： # ipa-healthcheck --source=ipahealthcheck.ds.replication --source=ipahealthcheck.ipa.topology --source=ipahealthcheck.ds.replication 和 --source=ipahealthcheck.ipa.topology 选项确保 IdM Healthcheck 只执行复制冲突和拓扑测试。 可能会有四种不同的结果： SUCCESS — 测试成功通过。 { "source": "ipahealthcheck.ipa.topology", "check": "IPATopologyDo…
  • 列表：SUCCESS — 测试成功通过。 { "source": "ipahealthcheck.ipa.topology", "check": "IPATopologyDomainCheck", "result": "SUCCESS", "kw": { "suffix": "domain" } }
  • 列表：WARNING — 测试通过，但可能存在问题。
  • 列表：ERROR  — 测试失败。 { "source": "ipahealthcheck.ipa.topology", "check": "IPATopologyDomainCheck", "result": "ERROR", "uuid": d6ce3332-92da-423d-9818-e79f49ed321f "when": 20191007115449Z "duration": 0.005943 "kw": { "msg": "topologysuffix-verify domain failed, server2 is not connected (server2_139664377356472 in Mai…
  • 列表：CRITICAL — 测试失败，且它会影响 IdM 服务器功能。
  • 命令/配置摘录：
# ipa-healthcheck --source=ipahealthcheck.ds.replication --source=ipahealthcheck.ipa.topology
{  "source": "ipahealthcheck.ipa.topology",  "check": "IPATopologyDomainCheck",  "result": "SUCCESS",  "kw": {  "suffix": "domain"  } }
  • 注意：注意 当尝试检查问题时，在所有 IdM 服务器中运行这些测试。

3.3. 其他资源

  • 列表：IdM 中的 Healthcheck

完整目录

  • 准备和验证复制环境
  • 对红帽文档提供反馈
  • 第 1 章 管理复制拓扑
    • 1.1. 其他资源
    • 1.2. IdM 副本之间的复制协议
    • 1.3. 拓扑后缀
    • 1.4. 拓扑片段
    • 1.5. 使用 Web UI 查看并修改复制拓扑的可视化表示
    • 1.6. 使用 CLI 查看拓扑后缀
    • 1.7. 使用 CLI 查看拓扑段
    • 1.8. 使用 Web UI 在两个服务器之间设置复制
    • 1.9. 使用 Web UI 停止两个服务器之间的复制
    • 1.10. 使用 CLI 在两个服务器之间设置复制
    • 1.11. 使用 CLI 停止两个服务器之间的复制
    • 1.12. 使用 Web UI 从拓扑中删除服务器
    • 1.13. 使用 CLI 从拓扑中删除服务器
    • 1.14. 删除过时的 RUV 记录
    • 1.15. 使用 IdM Web UI 查看 IdM 拓扑中可用的服务器角色
    • 1.16. 使用 IdM CLI 查看 IdM 拓扑中可用的服务器角色
    • 1.17. 将副本提升到 CA 续订服务器和 CRL 发布程序服务器
    • 1.18. 演示或提升隐藏副本
  • 第 2 章 使用 Ansible 管理 IdM 中的复制拓扑
    • 2.1. 使用 Ansible 确保 IdM 中存在复制协议
    • 2.2. 使用 Ansible 确保多个 IdM 副本之间存在复制协议
    • 2.3. 使用 Ansible 检查两个副本之间是否存在复制协议
    • 2.4. 使用 Ansible 验证 IdM 中是否存在拓扑后缀
    • 2.5. 使用 Ansible 重新初始化 IdM 副本
    • 2.6. 使用 Ansible 确保 IdM 中没有复制协议
    • 2.7. 其他资源
  • 第 3 章 使用 Healthcheck 检查 IdM 复制
    • 3.1. IdM 复制和拓扑 Healthcheck 测试
    • 3.2. 使用 Healthcheck 进行复制
    • 3.3. 其他资源