跳至主要內容

准备身份管理的灾难恢复

大约 28 分钟

准备身份管理的灾难恢复

来源：官方文档 原始多页入口：准备身份管理的灾难恢复 内容规模：约 29,428 字符，31 个章节标题，86 个命令/代码块，12 条提示框

阅读提要

  • 副标题：在 IdM 环境中缓解服务器和数据丢失场景的影响
  • 摘要：服务器和数据丢失场景（例如因为硬件故障）是 IT 环境中的最大风险。为了减轻这些情况的影响，身份管理 (IdM) 包括复制、虚拟机 (VM) 快照和数据备份等功能。规划弹性拓扑，评估潜在的故障场景，并实施稳健的恢复策略，保护您的环境免受服务器和数据丢失的影响。
  • 主要章节：在 IdM 环境中缓解服务器和数据丢失场景的影响；对红帽文档提供反馈；第 1 章 IdM 中的灾难恢复工具；第 2 章 IdM 中的灾难情况；第 3 章 通过使用复制来为服务器丢失的情况做准备；第 4 章 使用虚拟机快照为数据丢失的情况做准备；第 5 章 准备使用 IdM 备份数据丢失；第 6 章 备份和恢复 IdM；第 7 章 使用 Ansible playbook 备份和恢复 IdM 服务器
  • 推荐阅读顺序：先看“阅读提要”和目录，再按章节查看“关键点/命令/注意”；需要原文细节时点击来源链接。

章节笔记

概览

  • 该章节主要为下一级主题的入口。

在 IdM 环境中缓解服务器和数据丢失场景的影响

  • 要点：摘要

对红帽文档提供反馈

  • 要点：我们致力于为您提供高质量的文档，您的反馈将对我们有很大帮助。为帮助我们改进，您可以通过 Red Hat Jira 跟踪系统提交建议或报告错误。
  • 要点：流程
  • 列表：登录到 Jira 网站。 如果您还没有帐户，请创建一个。
  • 列表：单击顶部导航栏中的 Create。
  • 列表：在 Summary 字段中输入描述性标题。
  • 列表：在 Description 字段中输入您对改进的建议。包括文档相关部分的链接。
  • 列表：点窗口底部的 Create。

第 1 章 IdM 中的灾难恢复工具

  • 要点：身份管理 (IdM) 提供了一套工具，旨在最大限度地减少数据丢失，并尽快从灾难中恢复。您可以结合这些工具构建全面的灾难恢复战略，平衡实时数据冗余与时间点恢复功能。

第 2 章 IdM 中的灾难情况

  • 要点：在身份管理(IdM)系统中准备和响应各种影响服务器、数据或整个基础架构的灾难场景。识别特定的灾难场景及其对域操作的影响有助于确定适当的恢复策略。
  • 注意：警告 当所有证书颁发机构(CA)副本或所有 IdM 服务器丢失了，且没有用于恢复的虚拟机(VM)快照或备份时，会发生完全丢失的情况。如果没有 CA 副本，IdM 环境无法部署额外的副本或重建其自身，从而无法恢复。为避免这种情况，请确保备份存储在异地，维护多个地理冗余的 CA 副本，并将每个副本连接到至少两个其它的副本。
  • 表格样本（共 4 行）：
    • 灾难类型 | 原因示例 | 如何准备 | 如何响应
    • Server loss ：IdM 部署丢失了一个或多个服务器。 | 硬件故障 | 通过使用复制来为服务器丢失的情况做准备 | 使用复制恢复单个服务器
    • Data loss ：一个服务器上的 IdM 数据被意外修改，其变化传播到其他服务器中。 | 用户意外删除数据 软件错误修改数据 | 使用虚拟机快照为数据丢失的情况做准备 计划使用IdM备份进行数据恢复 | 使用虚拟机快照恢复数据丢失 使用 IdM 备份恢复数据丢失 管理数据丢失
    • Total infrastructure loss ：所有 IdM 服务器或证书颁发机构(CA)副本都丢失了，且没有可用的虚拟机快照或数据备份。 | 缺少异地备份或冗余阻碍了故障或灾难后的恢复。 | 使用虚拟机快照为数据丢失的情况做准备 | 这个情形是完全丢失的情况。

第 3 章 通过使用复制来为服务器丢失的情况做准备

  • 要点：身份管理 (IdM) 复制提供了高可用性，并保护了单个服务器的丢失。在服务器发生故障时，其余副本将保持服务的连续性，并充当恢复丢失节点的数据源。正确的复制拓扑可确保环境在硬件故障或维护期间保持弹性和功能。

3.1. 拓扑中连接 IdM 副本的指南

  • 要点：在拓扑中正确调整 IdM 副本的大小并连接它们，对于确保您的基础架构保持高可用性、提供最佳性能并在整个域中实现数据一致性至关重要。
  • 要点：每个服务器有大量的复制协议不会带来很大的好处。接收副本一次只能被另外一个副本更新，而其他复制协议则处于闲置状态。每个副本有超过四个复制协议通常意味着资源不足。
  • 列表：如果某些副本没有在线或没有响应时，您需要使用故障切换路径。
  • 列表：在大型部署中，您需要特定节点间的其他直接链接。
  • 注意：注意 本建议适用于证书复制协议和域复制协议。

3.2. 副本拓扑示例

  • 要点：这些示例提供了拓扑准则的实际应用。它们说明了如何构建 IdM deployment 以构建弹性和可扩展的 IdM 基础架构，从而保证跨多个数据中心的高可用性和最佳性能。
  • 要点：图 3.1. 具有四个数据中心的副本拓扑，每个数据中心有四个使用复制协议连接的服务器

3.3. 保护 IdM CA 数据

  • 要点：具有集成证书颁发机构 (CA) 的身份管理 (IdM) 部署通过使用多个 CA 副本来保持高可用性。安装多个 CA 副本以确保环境保持弹性，并提供必要的数据源以替换任何丢失的节点。
  • 要点：流程
  • 列表：配置三个或更多副本来提供 CA 服务。 要安装一个带有 CA 服务的新副本，运行带有 --setup-ca 选项的 ipa-replica-install 命令。 [root@server ~]# ipa-replica-install --setup-ca 要在一个预先存在的副本中安装 CA 服务，请运行 ipa-ca-install。 [root@replica ~]# ipa-ca-install
  • 列表：要安装一个带有 CA 服务的新副本，运行带有 --setup-ca 选项的 ipa-replica-install 命令。 [root@server ~]# ipa-replica-install --setup-ca
  • 列表：要在一个预先存在的副本中安装 CA 服务，请运行 ipa-ca-install。 [root@replica ~]# ipa-ca-install
  • 列表：在 CA 副本之间创建 CA 复制协议。 [root@careplica1 ~]# ipa topologysegment-add Suffix name: ca Left node: ca-replica1.example.com Right node: ca-replica2.example.com Segment name [ca-replica1.example.com-to-ca-replica2.example.com]: new_segment --------------------------- Added segment "new_segment" --------------------------- Se…
  • 列表：规划您的 CA 服务
  • 列表：安装 IdM 副本
  • 命令/配置摘录：
[root@server ~]# ipa-replica-install --setup-ca
[root@replica ~]# ipa-ca-install
  • 注意：警告 如果只有一个服务器提供 CA 服务，当这个服务器被损坏时，则整个环境将会丢失。如果您使用 IdM CA，红帽 强烈建议 安装三个或更多具有 CA 服务的副本，它们之间有 CA 复制协议。

第 4 章 使用虚拟机快照为数据丢失的情况做准备

  • 要点：虚拟机 (VM) 快照提供身份管理 (IdM) 服务器上的操作系统软件和设置、配置以及数据的时间点记录。通过 IdM 证书颁发机构(CA)副本的虚拟机快照，您可以在灾难后重建整个 IdM deployment。
  • 要点：先决条件
  • 列表：有一个可托管 RHEL 虚拟机的虚拟机管理程序。
  • 列表：在部署中至少配置一个 CA 副本，在虚拟机内运行。 如果环境中使用了 IdM DNS 或 KRA，请考虑在这个副本中安装 DNS 和 KRA 服务。 可选：将此虚拟机副本配置为 隐藏的副本。
  • 列表：如果环境中使用了 IdM DNS 或 KRA，请考虑在这个副本中安装 DNS 和 KRA 服务。
  • 列表：可选：将此虚拟机副本配置为 隐藏的副本。
  • 列表：定期关闭此虚拟机，生成完整的快照，并使其重新上线，以便继续接收复制更新。如果虚拟机是一个隐藏的副本，则以上过程不会影响 IdM 客户端的正常运行。
  • 列表：哪个 hypervisor 经过了认证可运行 Red Hat Enterprise Linux？
  • 注意：警告 如果您的环境使用集成的 CA，在没有 CA 的情况下，没有 CA 的副本快照不足以重建部署，因为证书数据将无法保留。 同样，如果您的环境使用 IdM 密钥恢复授权(KRA)，请确保您创建了 KRA 副本的快照，否则您可能会丢失存储密钥。 红帽建议，对一个带有安装了所以在您的部署中使用的 IdM 服务器角色（CA、KRA、DNS）的虚拟机进行快照。

第 5 章 准备使用 IdM 备份数据丢失

  • 要点：IdM 提供了 ipa-backup 程序来备份 IdM 数据，并可以使用 ipa-restore 程序从这些备份中恢复服务器和数据。主动备份计划可确保配置和数据库存档可用，以将您的环境恢复到功能状态。
  • 注意：注意 如果环境使用集成的 IdM CA ，在安装了所有服务器角色，特别是证书颁发机构(CA)角色的 隐藏副本 上根据需要经常运行备份。

5.1. IdM 备份类型

  • 要点：要选择正确的策略来保护 IdM 数据，您必须了解全服务器备份和纯数据备份之间的区别。
  • 列表：包含与 IdM 相关的所有服务器配置文件，以及 LDAP 数据交换格式 (LDIF) 文件中的 LDAP 数据。
  • 列表：IdM 服务必须离线。
  • 列表：适合从头开始重建 IdM 部署。
  • 列表：在 LDIF 文件和复制更改日志中包含 LDAP 数据。
  • 列表：IdM 服务可以为在线或者离线。
  • 列表：适用于将 IdM 数据恢复到一个过去的状态。

5.2. IdM 备份文件的命名惯例

  • 要点：默认情况下，IdM 存储被备份为 .tar 存档，并保存在 /var/lib/ipa/backup/ 目录的子目录中。要帮助您查找、归档和区分全服务器与仅数据备份，请查看 IdM 备份文件的自动命名规则。
  • 要点：归档和子目录遵循以下命名约定：
  • 命令/配置摘录：
[root@server ~]# ll /var/lib/ipa/backup/ipa-full-2021-01-29-12-11-46
total 3056 -rw-r--r--. 1 root root 158 Jan 29 12:11 header -rw-r--r--. 1 root root 3121511 Jan 29 12:11 ipa-full.tar
  • 注意：注意 卸载 IdM 服务器不会自动删除任何备份文件。

5.3. 创建备份时的注意事项

  • 要点：在尝试创建 IdM deployment 备份之前，请查看有关 ipa-backup 实用程序的先决条件和重要注意事项。
  • 要点：ipa-backup 命令的重要行为和限制包括：
  • 列表：默认情况下，ipa-backup 工具以离线模式运行，这会停止所有 IdM 服务。该程序会在备份完成后自动重启 IdM 服务。
  • 列表：全服务器备份必须 始终 在 IdM 服务离线的情况下运行，但可以在服务在线时执行仅数据备份。
  • 列表：默认情况下，ipa-backup 实用程序会在包含 /var/lib/ipa/backup/ 目录的文件系统中创建备份。红帽建议在与 IdM 使用的生产文件系统分开的文件系统上定期创建备份，并将备份归档到固定介质，如磁带或光存储。
  • 列表：考虑对隐藏的副本执行备份。IdM 服务可在隐藏的副本中关闭，而不会影响到 IdM 客户端。
  • 列表：ipa-backup 实用程序检查您的 IdM 集群中使用的所有服务（如证书颁发机构(CA)、域名系统 (DNS) 和密钥恢复代理 (KRA) 是否安装在您要运行备份的服务器上。如果服务器没有安装所有这些服务，ipa-backup 实用程序会以警告方式退出，因为在该主机上进行的备份不足以完全恢复集群。 例如，如果您的 IdM 部署使用集成证书认证机构（CA），非副本中运行的备份将无法捕获 CA 数据。红帽建议验证您执行 ipa-backup 的副本是否安装了在集群中使用的所有 IdM 服务。 您可以使用 ipa-backup --disable-role-check 命令绕过 IdM 服务器角色检查，但生成的备份不会包含完全恢复 …

5.4. 其他资源

  • 列表：安装 IdM 隐藏的副本
  • 列表：备份和恢复 IdM
  • 列表：使用 Ansible playbook 备份和恢复 IdM 服务器

第 6 章 备份和恢复 IdM

  • 要点：通过创建备份和恢复计划，保护您的 Identity Management (IdM) deployment 免受系统故障的影响。您可以手动备份 IdM 系统，以确保在数据丢失事件后完全恢复 IdM 配置。

6.1. 创建 IdM 备份

  • 要点：使用 ipa-backup 命令在离线和在线模式下创建全服务器及仅数据备份。
  • 要点：先决条件
  • 列表：您必须具有 root 权限才能运行 ipa-backup 实用程序。
  • 列表：要在离线模式中创建全服务器备份，请使用 ipa-backup 工具，而无需附加选项。 [root@server ~]# ipa-backup Preparing backup on server.example.com Stopping IPA services Backing up ipaca in EXAMPLE-COM to LDIF Backing up userRoot in EXAMPLE-COM to LDIF Backing up EXAMPLE-COM Backing up files Starting IPA service Backed up to /var/lib/ipa/backup/ipa-full-2…
  • 列表：要创建仅离线数据备份，请指定 --data 选项。 [root@server ~]# ipa-backup --data
  • 列表：要创建包含 IdM 日志文件的完整服务器备份，请使用 --logs 选项。 [root@server ~]# ipa-backup --logs
  • 列表：要在 IdM 服务运行时创建仅数据备份，请指定 --data 和 --online 选项。 [root@server ~]# ipa-backup --data --online 注意 如果因为 /tmp 目录中空间不足造成备份失败，请使用 TMPDIR 环境变量更改备份过程创建的临时文件的目标位置： [root@server ~]# TMPDIR=/new/location ipa-backup
  • 列表：确保备份目录包含带有备份的存档。 [root@server ~]# ls /var/lib/ipa/backup/ipa-full-2020-01-14-11-26-06 header ipa-full.tar
  • 命令/配置摘录：
[root@server ~]# ipa-backup Preparing backup on server.example.com Stopping IPA services Backing up ipaca in EXAMPLE-COM to LDIF Backing up userRoot in EXAMPLE-COM to LDIF Backing up EXAMPLE-COM Backing up files Starting IPA service Backed up to /var/lib/ipa/backup/ipa-full-2020-01-14-11-26-06 The ipa-backup command was successful
[root@server ~]# ipa-backup --data
  • 注意：注意 如果因为 /tmp 目录中空间不足造成备份失败，请使用 TMPDIR 环境变量更改备份过程创建的临时文件的目标位置： [root@server ~]# TMPDIR=/new/location ipa-backup

6.2. 创建 GPG2 加密的 IdM 备份

  • 要点：您可以使用 GNU Privacy Guard (GPG) 加密创建加密 IdM 备份，从而保护您的关键 deployment 数据免遭未经授权的访问，并增强整体安全性。
  • 要点：先决条件
  • 列表：您已创建了一个 GPG2 密钥。请参阅 创建 GPG2 密钥。
  • 列表：通过指定 --gpg 选项创建 GPG 加密备份。 [root@server ~]# ipa-backup --gpg Preparing backup on server.example.com Stopping IPA services Backing up ipaca in EXAMPLE-COM to LDIF Backing up userRoot in EXAMPLE-COM to LDIF Backing up EXAMPLE-COM Backing up files Starting IPA service Encrypting /var/lib/ipa/backup/ipa-full-2020-01-13-14-…
  • 列表：确保备份目录包含带有一个 .gpg 文件扩展名的加密存档。 [root@server ~]# ls /var/lib/ipa/backup/ipa-full-2020-01-13-14-38-00 header ipa-full.tar.gpg
  • 列表：创建一个 IdM 备份
  • 命令/配置摘录：
[root@server ~]# ipa-backup --gpg Preparing backup on server.example.com Stopping IPA services Backing up ipaca in EXAMPLE-COM to LDIF Backing up userRoot in EXAMPLE-COM to LDIF Backing up EXAMPLE-COM Backing up files Starting IPA service Encrypting /var/lib/ipa/backup/ipa-full-2020-01-13-14-38-00/ipa-full.tar Backed up to /var/lib/ipa/backup/ipa-full-2020-01-13-14-38-00 The ipa-backup command was successful
[root@server ~]# ls /var/lib/ipa/backup/ipa-full-2020-01-13-14-38-00 header ipa-full.tar.gpg

6.3. 创建一个 GPG2 密钥

  • 要点：您必须创建 GPG2 密钥来加密 IdM 备份文件。
  • 要点：先决条件
  • 列表：您需要 root 权限。
  • 列表：安装并配置 pinentry 工具。 [root@server ~]# dnf install pinentry [root@server ~]# mkdir ~/.gnupg -m 700 [root@server ~]# echo "pinentry-program /usr/bin/pinentry-curses" >> ~/.gnupg/gpg-agent.conf
  • 列表：创建一个 key-input 文件来生成附带您想要的详细信息的 GPG 密钥对。例如： [root@server ~]# cat >key-input <<EOF %echo Generating a standard key Key-Type: RSA Key-Length: 2048 Name-Real: GPG User Name-Comment: first key Name-Email: root@example.com Expire-Date: 0 %commit %echo Finished creating standard key EOF
  • 列表：可选：默认情况下，GPG2 在 ~/.gnupg 文件中存储其 keyring 。要使用自定义的密钥环位置，请将 GNUPGHOME 环境变量设置为只可由根用户访问的目录。 [root@server ~]# export GNUPGHOME=/root/backup [root@server ~]# mkdir -p $GNUPGHOME -m 700
  • 列表：根据 key-input 文件的内容生成一个新的 GPG2 密钥。 [root@server ~]# gpg2 --batch --gen-key key-input
  • 列表：输入密码短语来保护 GPG2 密钥。您可以使用这个密码短语访问解密的私钥。 ┌──────────────────────────────────────────────────────┐ │ Please enter the passphrase to │ │ protect your new key │ │ │ │ Passphrase: <passphrase> │ │ │ │ <OK> <Cancel> │ └──────────────────────────────────────────────────────┘
  • 命令/配置摘录：
[root@server ~]# dnf install pinentry [root@server ~]# mkdir ~/.gnupg -m 700 [root@server ~]# echo "pinentry-program /usr/bin/pinentry-curses" >> ~/.gnupg/gpg-agent.conf
[root@server ~]# cat >key-input <<EOF %echo Generating a standard key Key-Type: RSA Key-Length: 2048 Name-Real: GPG User Name-Comment: first key Name-Email: root@example.com Expire-Date: 0 %commit %echo Finished creating standard key EOF

6.4. 从 IdM 备份中恢复的时间

  • 要点：查看特定场景以确定何时执行 IdM 恢复。仅在灾难性丢失后恢复数据，而不是用于简单的系统维护或服务器更换。
  • 要点：您可以通过从 IdM 备份中恢复来响应以下灾难情况：
  • 列表：对 LDAP 内容进行了不必要的更改：条目被修改或删除，在整个部署过程中复制这些更改，您希望恢复这些更改。仅恢复数据备份会将 LDAP 条目返回到之前的状态，而不影响 IdM 配置本身。
  • 列表：基础架构全部出问题或所有 CA 实例都丢失 ：如果灾难破坏了所有证书颁发机构副本，部署会失去通过部署其他服务器来重建自身的能力。在这种情况下，恢复 CA 副本的备份并从中构建新副本。
  • 列表：在隔离服务器上进行升级失败：操作系统可以正常工作，但 IdM 数据被破坏，因此您想要将 IdM 系统恢复到已知良好状态的原因。红帽建议与技术支持合作来诊断并排除问题。如果这些步骤失败，则从全服务器备份中恢复。 重要 硬件或升级失败的首选解决方案是从副本中重建丢失的服务器。
  • 列表：使用复制恢复单个服务器
  • 注意：重要 硬件或升级失败的首选解决方案是从副本中重建丢失的服务器。

6.5. 从 IdM 备份中恢复时的注意事项

  • 要点：在恢复 IdM 备份之前查看条件和技术限制。恢复要求目标服务器与原始配置完全匹配。
  • 要点：以下是从 IdM 备份中恢复时的主要注意事项：
  • 列表：您只能在符合最初创建备份的服务器配置的服务器中恢复备份。服务器必须具有： 相同的主机名 相同的 IP 地址 同一版本的 IdM 软件
  • 列表：相同的主机名
  • 列表：相同的 IP 地址
  • 列表：同一版本的 IdM 软件
  • 列表：如果很多 IdM 服务器被恢复，恢复的服务器就成为 IdM 的唯一信息来源。其它服务器必须从恢复的服务器中重新初始化。
  • 列表：由于上次备份后创建的任何数据都将丢失，请不要使用备份和恢复解决方案进行正常系统维护。
  • 注意：提示 从备份中恢复需要目标主机上安装的软件 (RPM) 版本与执行备份时安装的版本相同。因此，红帽建议从虚拟机快照而不是备份中恢复。

6.6. 从备份中恢复 IdM 服务器

  • 要点：如果您使用 ipa-restore 工具创建了备份，您可以将 IdM 服务器或 LDAP 内容恢复到创建备份时的状态。
  • 要点：图 6.1. 本例中使用的复制拓扑
  • 列表：server1.example.com： 要从备份中还原的服务器。
  • 列表：caReplica2.example.com: 连接到 server1.example.com 主机的证书颁发机构 (CA) 副本。
  • 列表：replica3.example.com: 连接到 caReplica2.example.com 主机的副本。
  • 列表：您已使用 ipa-backup 工具为 IdM 服务器生成全服务器或者仅数据备份。请参阅创建备份。
  • 列表：您的备份文件不在 /tmp 或 /var/tmp 目录中。
  • 列表：在从全服务器备份中执行全服务器恢复前，请从服务器中 卸载 IdM ，并使用与之前相同的服务器配置 重新安装 IdM。
  • 命令/配置摘录：
[root@server1 ~]# ipa-restore ipa-full-2020-01-14-12-02-32
[root@server1 ~]# ipa-restore /mybackups/ipa-data-2020-02-01-05-30-00
  • 注意：注意 ipa-restore 实用程序自动检测该目录包含的备份类型，并且默认执行同类型的恢复。要从全服务器备份中只执行数据恢复，请在 ipa-restore 命令中添加 --data 选项： [root@server1 ~]# ipa-restore --data ipa-full-2020-01-14-12-02-32

6.7. 从加密备份中恢复

  • 要点：可以从加密的 IdM 备份中恢复 IdM 服务器。ipa-restore 工具会自动检测 IdM 备份是否已加密，并使用 GPG2 根密钥环恢复它。
  • 要点：先决条件
  • 列表：GPG 加密的 IdM 备份。请参阅创建 GPG2 加密的 IdM 备份。
  • 列表：LDAP Directory Manager 密码
  • 列表：创建 GPG 密钥时使用的口令
  • 列表：如果您在创建 GPG2 密钥时使用了自定义密钥环位置，请验证 $GNUPGHOME 环境变量是否被设置为该目录。请参阅 创建 GPG2 密钥。 [root@server ~]# echo $GNUPGHOME /root/backup
  • 列表：为 ipa-restore 实用程序提供备份目录位置。 [root@server ~]# ipa-restore ipa-full-2020-01-13-18-30-54 输入 Directory Manager 密码。 Directory Manager (existing master) password: 输入您创建 GPG 密钥时使用的密码短语。 ┌────────────────────────────────────────────────────────────────┐ │ Please enter the passphrase to unlock the OpenPGP secret key: │ │ "GPG …
  • 列表：输入 Directory Manager 密码。 Directory Manager (existing master) password:
  • 命令/配置摘录：
[root@server ~]# echo $GNUPGHOME
/root/backup

6.8. 其他资源

  • 列表：通过使用复制来为服务器丢失的情况做准备

第 7 章 使用 Ansible playbook 备份和恢复 IdM 服务器

  • 要点：使用 Ansible 自动化 IdM 服务器备份和恢复，以简化灾难恢复并确保整个环境的一致性。

7.1. 使用 Ansible 创建 IdM 服务器的备份

  • 要点：您可以在 Ansible playbook 中使用 ipabackup 角色创建 IdM 服务器的备份，并将其存储在 IdM 服务器上。
  • 要点：先决条件
  • 列表：您已配置了 Ansible 控制节点以满足以下要求： 您使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：目标节点（即运行 freeipa.ansible_freeipa 模块的节点）是作为 IdM 客户端、服务器或副本的 IdM 域的一部分。
  • 命令/配置摘录：
$ cd ~/MyPlaybooks/
$ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/backup-server.yml backup-my-server.yml

7.2. 使用 Ansible 在 Ansible 控制器上创建 IdM 服务器的备份

  • 要点：您可以在 Ansible playbook 中使用 ipabackup 角色创建 IdM 服务器的备份，并在 Ansible 控制器上自动传输它。
  • 要点：先决条件
  • 列表：您已配置了 Ansible 控制节点以满足以下要求： 您使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：目标节点（即运行 freeipa.ansible_freeipa 模块的节点）是作为 IdM 客户端、服务器或副本的 IdM 域的一部分。
  • 命令/配置摘录：
$ mkdir ~/ipabackups
$ cd ~/MyPlaybooks/

7.3. 使用 Ansible 将 IdM 服务器的备份复制到 Ansible 控制器

  • 要点：您可以使用 Ansible Playbook 将 IdM 服务器的现有备份文件从 IdM 服务器复制到 Ansible 控制器。
  • 要点：先决条件
  • 列表：在控制节点上： 您使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：目标节点（即运行 freeipa.ansible_freeipa 模块的节点）是作为 IdM 客户端、服务器或副本的 IdM 域的一部分。
  • 命令/配置摘录：
$ mkdir ~/ipabackups
$ cd ~/MyPlaybooks/
  • 注意：注意 要将所有 IdM 备份复制到控制器，请将 Ansible playbook 中的 ipabackup_name 变量设置为 all ： vars: ipabackup_name: all ipabackup_to_controller: true 例如，请参阅 /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks 目录中的 copy-all-backups-from-server.yml Ansible playbook。

7.4. 使用 Ansible 将 IdM 服务器的备份从 Ansible 控制器复制到 IdM 服务器

  • 要点：您可以使用 Ansible Playbook 将 IdM 服务器的现有备份文件从 Ansible 控制器复制到 IdM 服务器。
  • 要点：先决条件
  • 列表：您已配置了 Ansible 控制节点以满足以下要求： 您使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：目标节点（即运行 freeipa.ansible_freeipa 模块的节点）是作为 IdM 客户端、服务器或副本的 IdM 域的一部分。
  • 命令/配置摘录：
$ cd ~/MyPlaybooks/
$ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/copy-backup-from-controller.yml copy-backup-from-my-controller-to-my-server.yml

7.5. 使用 Ansible 从 IdM 服务器中删除备份

  • 要点：您可以使用 Ansible Playbook 自动从 IdM 服务器中删除旧的或不必要的备份文件。
  • 要点：先决条件
  • 列表：在控制节点上： 您使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：目标节点（即运行 freeipa.ansible_freeipa 模块的节点）是作为 IdM 客户端、服务器或副本的 IdM 域的一部分。
  • 命令/配置摘录：
$ cd ~/MyPlaybooks/
$ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/remove-backup-from-server.yml remove-backup-from-my-server.yml
  • 注意：注意 要从 IdM 服务器中删除所有 IdM 备份，将 Ansible playbook 中的 ipabackup_name 变量设置为 all ： vars: ipabackup_name: all 例如，请参阅 /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks 目录中的 remove-all-backups-from-server.yml Ansible playbook。

7.6. 使用 Ansible 从服务器中存储的备份中恢复 IdM 服务器

  • 要点：您可以使用 Ansible playbook ，从存储在该主机上的备份恢复 IdM 服务器。
  • 要点：先决条件
  • 列表：在控制节点上： 您使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：目标节点（即运行 freeipa.ansible_freeipa 模块的节点）是作为 IdM 客户端、服务器或副本的 IdM 域的一部分。
  • 命令/配置摘录：
$ cd ~/MyPlaybooks/
$ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/restore-server.yml restore-my-server.yml

7.7. 使用 Ansible 从 Ansible 控制器中存储的备份中恢复 IdM 服务器

  • 要点：您可以使用 Ansible playbook ，从存储在 Ansible 控制器上的备份恢复 IdM 服务器。
  • 要点：先决条件
  • 列表：在控制节点上： 您使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：目标节点（即运行 freeipa.ansible_freeipa 模块的节点）是作为 IdM 客户端、服务器或副本的 IdM 域的一部分。
  • 命令/配置摘录：
$ cd ~/MyPlaybooks/
$ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/restore-server-from-controller.yml restore-my-server-from-my-controller.yml

完整目录

  • 在 IdM 环境中缓解服务器和数据丢失场景的影响
  • 对红帽文档提供反馈
  • 第 1 章 IdM 中的灾难恢复工具
  • 第 2 章 IdM 中的灾难情况
  • 第 3 章 通过使用复制来为服务器丢失的情况做准备
    • 3.1. 拓扑中连接 IdM 副本的指南
    • 3.2. 副本拓扑示例
    • 3.3. 保护 IdM CA 数据
  • 第 4 章 使用虚拟机快照为数据丢失的情况做准备
  • 第 5 章 准备使用 IdM 备份数据丢失
    • 5.1. IdM 备份类型
    • 5.2. IdM 备份文件的命名惯例
    • 5.3. 创建备份时的注意事项
    • 5.4. 其他资源
  • 第 6 章 备份和恢复 IdM
    • 6.1. 创建 IdM 备份
    • 6.2. 创建 GPG2 加密的 IdM 备份
    • 6.3. 创建一个 GPG2 密钥
    • 6.4. 从 IdM 备份中恢复的时间
    • 6.5. 从 IdM 备份中恢复时的注意事项
    • 6.6. 从备份中恢复 IdM 服务器
    • 6.7. 从加密备份中恢复
    • 6.8. 其他资源
  • 第 7 章 使用 Ansible playbook 备份和恢复 IdM 服务器
    • 7.1. 使用 Ansible 创建 IdM 服务器的备份
    • 7.2. 使用 Ansible 在 Ansible 控制器上创建 IdM 服务器的备份
    • 7.3. 使用 Ansible 将 IdM 服务器的备份复制到 Ansible 控制器
    • 7.4. 使用 Ansible 将 IdM 服务器的备份从 Ansible 控制器复制到 IdM 服务器
    • 7.5. 使用 Ansible 从 IdM 服务器中删除备份
    • 7.6. 使用 Ansible 从服务器中存储的备份中恢复 IdM 服务器
    • 7.7. 使用 Ansible 从 Ansible 控制器中存储的备份中恢复 IdM 服务器