Come configurare la replica FreeIPA su Ubuntu/CentOS

Come posso configurare la replica FreeIPA?. Hai un singolo server FreeIPA e hai paura di un singolo punto di guasto?. In questo post, tratteremo i passaggi completi per configurare la replica FreeIPA su Ubuntu 18.04, Ubuntu 16.04 e server CentOS. Quando si dispone della configurazione della replica FreeIPA, i client FreeIPA possono continuare ad autenticarsi anche se un server è inattivo.

Se sei interessato a seguire questa guida, dovresti avere FreeIPA Server già installato e perfettamente funzionante, con account di prova. Per l'installazione di FreeIPA Server, abbiamo delle guide per te:

Come installare FreeIPA Server su Ubuntu
Come installare FreeIPA Server su CentOS 7
Installa FreeIPA Server su CentOS/RHEL 8

Una volta installato e configurato il server FreeIPA, non sono richiesti altri prerequisiti. È possibile avviare la replica FreeIPA.

Configurazione del mio laboratorio

Ho un server FreeIPA primario con nome host ipa.computingforgeeks.com e la replica verrà configurata su ipa-replica.computingforgeeks.com. Gli indirizzi IP dei due server sono i seguenti:

Passaggio 1: configura il file host locale DNS

Su entrambi i server, assicurati di avere nomi host per ciascun server configurato. Questo è importante se non hai un servizio DNS attivo nella tua infrastruttura.

sudo vim /etc/hosts

Assicurati di avere righe come di seguito, sostituisci i nomi host con la tua corrispondenza.

192.168.10.10 ipa.computingforgeeks.com ipa
192.168.10.11 ipa-replica.computingforgeeks.com ipa-replica

Assicurati che il nome host sia configurato correttamente:

sudo hostnamectl set-hostname ipa-replica.computingforgeeks.com

Passaggio 2: installare il client FreeIPA sul server di replica

Per l'installazione del client FreeIPA su entrambi i server CentOS 7 e Ubuntu, fare riferimento alla nostra guida precedente: Come configurare il client FreeIPA su Ubuntu/CentOS.

In sintesi, gli unici passaggi richiesti sono:

Per CentOS7

sudo yum install ipa-client

sudo ipa-client-install --hostname=`hostname -f` \
--mkhomedir \
--server=ipa.computingforgeeks.com \
--domain computingforgeeks.com \
--realm COMPUTINGFORGEEKS.COM

Per Ubuntu:

### Install package ###
sudo  apt update && sudo apt install freeipa-client

### Enable auto create home dir for users ###
sudo bash -c "cat > /usr/share/pam-configs/mkhomedir" <<EOF
Name: activate mkhomedir
Default: yes
Priority: 900
Session-Type: Additional
Session:
required pam_mkhomedir.so umask=0022 skel=/etc/skel
EOF

### Update configs ###
sudo pam-auth-update

Passaggio 3: installa FreeIPA Server sulla replica

Una volta installato e configurato il server FreeIPA, il passaggio successivo è installare FreeIPA Server su una replica.

Per Ubuntu, utilizzare:

sudo apt-get install freeipa-server

Per CentOS 7. esegui:

sudo yum -y install ipa-server

Testare richiedendo un ticket Kerberos sulla replica:

[root@ipa-replica ~]# kinit admin
Password for [email : 
[root@ipa-replica ~]# klist 
Ticket cache: KEYRING:persistent:0:0
Default principal: [email 
Valid starting Expires Service principal
06/30/2018 11:58:58 07/01/2018 11:58:56 krbtgt/[email

Passaggio 4: aggiungi il server di replica al gruppo ipaservers

Accedi a FreeIPA Server e aggiungi il server replica al gruppo ipaservers:

[root@ipa ~]# kinit admin
Password for [email 

[root@ipa ~]# ipa hostgroup-add-member ipaservers --hosts ipa-replica.computingforgeeks.com
Host-group: ipaservers
Description: IPA server hosts
Member hosts: ipa.computingforgeeks.com, ipa-replica.computingforgeeks.com
-------------------------
Number of members added 1
-------------------------

Puoi vedere che ora abbiamo due host membri. ipa e replica ipa

Per CentOS 7 FreeIPA Server, apri freeipa-replication su Firewalld se hai il servizio firewalld attivo:

Sul server IPA:

sudo firewall-cmd --add-service=freeipa-replication --permanent
sudo firewall-cmd --reload

Passaggio 5: esegui `ipa-replica-install` sul server di replica

A questo punto, devi solo eseguire il comando ipa-replica-installsul server di replica per sincronizzare le configurazioni di FreeIPA Server e preparare il server per la connessione dei client.

[root@ipa-replica ~]# ipa-replica-install 
WARNING: conflicting time&date synchronization service 'chronyd' will
be disabled in favor of ntpd

Run connection check to master
Connection check OK
Configuring NTP daemon (ntpd)
  [1/4]: stopping ntpd
  [2/4]: writing configuration
  [3/4]: configuring ntpd to start on boot
  [4/4]: starting ntpd
Done configuring NTP daemon (ntpd).
Configuring directory server (dirsrv). Estimated time: 30 seconds
  [1/42]: creating directory server instance
  [2/42]: enabling ldapi
  [3/42]: configure autobind for root
  [4/42]: stopping directory server
  [5/42]: updating configuration in dse.ldif
  [6/42]: starting directory server
  [7/42]: adding default schema
  [8/42]: enabling memberof plugin
  [9/42]: enabling winsync plugin
  [10/42]: configuring replication version plugin
  [11/42]: enabling IPA enrollment plugin
  [12/42]: configuring uniqueness plugin
  [13/42]: configuring uuid plugin
  [14/42]: configuring modrdn plugin
  [15/42]: configuring DNS plugin
  [16/42]: enabling entryUSN plugin
  [17/42]: configuring lockout plugin
  [18/42]: configuring topology plugin
  [19/42]: creating indices
  [20/42]: enabling referential integrity plugin
  [21/42]: configuring certmap.conf
  [22/42]: configure new location for managed entries
  [23/42]: configure dirsrv ccache
  [24/42]: enabling SASL mapping fallback
  [25/42]: restarting directory server
  [26/42]: creating DS keytab
  [27/42]: ignore time skew for initial replication
  [28/42]: setting up initial replication
Starting replication, please wait until this has completed.
Update in progress, 3 seconds elapsed
Update succeeded

  [29/42]: prevent time skew after initial replication
  [30/42]: adding sasl mappings to the directory
  [31/42]: updating schema
  [32/42]: setting Auto Member configuration
  [33/42]: enabling S4U2Proxy delegation
  [34/42]: initializing group membership
  [35/42]: adding master entry
  [36/42]: initializing domain level
  [37/42]: configuring Posix uid/gid generation
  [38/42]: adding replication acis
  [39/42]: activating sidgen plugin
  [40/42]: activating extdom plugin
  [41/42]: tuning directory server
  [42/42]: configuring directory to start on boot
Done configuring directory server (dirsrv).
Configuring Kerberos KDC (krb5kdc)
  [1/5]: configuring KDC
  [2/5]: adding the password extension to the directory
  [3/5]: creating anonymous principal
  [4/5]: starting the KDC
  [5/5]: configuring KDC to start on boot
Done configuring Kerberos KDC (krb5kdc).
Configuring kadmin
  [1/2]: starting kadmin 
  [2/2]: configuring kadmin to start on boot
Done configuring kadmin.
Configuring directory server (dirsrv)
  [1/3]: configuring TLS for DS instance
  [2/3]: importing CA certificates from LDAP
  [3/3]: restarting directory server
Done configuring directory server (dirsrv).
Configuring the web interface (httpd)
  [1/22]: stopping httpd
  [2/22]: setting mod_nss port to 443
  [3/22]: setting mod_nss cipher suite
  [4/22]: setting mod_nss protocol list to TLSv1.0 - TLSv1.2
  [5/22]: setting mod_nss password file
  [6/22]: enabling mod_nss renegotiate
  [7/22]: disabling mod_nss OCSP
  [8/22]: adding URL rewriting rules
  [9/22]: configuring httpd
  [10/22]: setting up httpd keytab
  [11/22]: configuring Gssproxy
  [12/22]: setting up ssl
  [13/22]: configure certmonger for renewals
  [14/22]: importing CA certificates from LDAP
  [15/22]: publish CA cert
  [16/22]: clean up any existing httpd ccaches
  [17/22]: configuring SELinux for httpd
  [18/22]: create KDC proxy config
  [19/22]: enable KDC proxy
  [20/22]: starting httpd
  [21/22]: configuring httpd to start on boot
  [22/22]: enabling oddjobd
Done configuring the web interface (httpd).
Configuring ipa-otpd
  [1/2]: starting ipa-otpd 
  [2/2]: configuring ipa-otpd to start on boot
Done configuring ipa-otpd.
Configuring ipa-custodia
  [1/4]: Generating ipa-custodia config file
  [2/4]: Generating ipa-custodia keys
  [3/4]: starting ipa-custodia 
  [4/4]: configuring ipa-custodia to start on boot
Done configuring ipa-custodia.
Configuring certificate server (pki-tomcatd)
  [1/2]: configure certmonger for renewals
  [2/2]: Importing RA key
Done configuring certificate server (pki-tomcatd).
Configuring Kerberos KDC (krb5kdc)
  [1/1]: installing X509 Certificate for PKINIT
Done configuring Kerberos KDC (krb5kdc).
Applying LDAP updates
Upgrading IPA:. Estimated time: 1 minute 30 seconds
  [1/9]: stopping directory server
  [2/9]: saving configuration
  [3/9]: disabling listeners
  [4/9]: enabling DS global lock
  [5/9]: starting directory server
  [6/9]: upgrading server
  [7/9]: stopping directory server
  [8/9]: restoring configuration
  [9/9]: starting directory server
Done.
Restarting the KDC

Se l'installazione ha avuto successo, non dovresti riscontrare alcun errore.

Configura Firewalld sul server di replica (CentOS 7)

Apri le porte del server IPA sul server di replica eseguendo:

sudo firewall-cmd --add-service={ssh,dns,freeipa-ldap,freeipa-ldaps,freeipa-replication} --permanent
sudo firewall-cmd --reload

Passaggio 6: test (registra un client su FreeIPA Replica)

Facciamo un test configurando un client per utilizzare la replica FreeIPA configurata.

sudo yum -y install ipa-client    #CentOS
sudo apt install freeipa-client  #Ubuntu

Configura il client freeipa

$ sudo vim /etc/hosts
192.168.10.10 ipa.computingforgeeks.com ipa
192.168.10.11 ipa-replica.computingforgeeks.com ipa-replica

Quindi esegui il comando ipa-client-install:

sudo ipa-client-install --hostname=`hostname -f` \
--mkhomedir --server=ipa-replica.computingforgeeks.com \
--domain computingforgeeks.com --realm COMPUTINGFORGEEKS.COM

Rimozione della replica FreeIPA

Per rimuovere FreeIPA, disinstallalo innanzitutto sul server utilizzando:

[root@ipa-replica ~]# ipa-server-install --uninstall

Quindi elimina il server dal gruppo ipaservers:

# ipa-replica-manage del ipa-replica.computingforgeeks.com --force
# ipa hostgroup-remove-member ipaservers --hosts ipa-replica.computingforgeeks.com

Guide all'integrazione di FreeIPA:

Come configurare l'autenticazione GitLab FreeIPA
Configura l'autenticazione Jenkins FreeIPA
Registro portuale Integrazione FreeIPA/LDAP