ipa-replica-manage - En ligne dans le Cloud

PROGRAMME:

Nom

ipa-replica-manage - Gérer une réplique IPA

SYNOPSIS

ipa-réplique-gérer [OPTION]... [COMMANDE]

DESCRIPTION

Gère les accords de réplication d'un serveur IPA.

Pour gérer les accords de réplication IPA dans un domaine au niveau de domaine 1, utilisez IPA CLI ou Web UI,
voir `ipa help topology` pour plus d'informations.

Les commandes disponibles sont :

connect [SERVER_A]
- Ajoute un nouvel accord de réplication entre SERVER_A/localhost et SERVER_B. À
domaine de niveau 1 applicable uniquement pour les accords winsync.

couper [SERVER_A]
- Supprime un accord de réplication entre SERVER_A/localhost et SERVER_B. À
domaine de niveau 1 applicable uniquement pour les accords winsync.

de la
- Supprime tous les accords de réplication et les données sur SERVER. Au niveau de domaine 1, il
supprime les données et les accords pour les deux suffixes - domaine et ca.

liste [SERVEUR]
- Répertorie tous les serveurs ou la liste des accords de SERVER

réinitialiser
- Force une réinitialisation complète du serveur IPA en récupérant les données du serveur
spécifié avec l'option --from

synchronisation forcée
- Videz immédiatement toutes les données à répliquer à partir d'un serveur spécifié avec le
--de l'option

liste-ruv
- Répertoriez les ID de réplication sur ce serveur.

nettoyer-ruv [REPLICATION_ID]
- Exécutez la tâche CLEANALLRUV pour supprimer un ID de réplication.

nettoyer-pendant-ruv
- Nettoie tous les RUV et CS-RUV qui restent dans le système de la désinstallation
les répliques.

avorter-nettoyer-ruv [REPLICATION_ID]
- Abandonner une tâche CLEANALLRUV en cours d'exécution. Avec l'option --force la tâche n'attend pas
tous les serveurs répliques doivent avoir reçu la tâche d'abandon, ou être en ligne, avant
compléter.

liste-nettoyage-ruv
- Répertoriez toutes les tâches CLEANALLRUV en cours d'exécution et annulez les tâches CLEANALLRUV.

dnarange-spectacle [SERVEUR]
- Lister les gammes d'ADN

dnarange-ensemble SERVEUR DÉBUT FIN
- Définir la gamme DNA sur un master

dnanextraterrestre-spectacle [SERVEUR]
- Lister les prochaines gammes d'ADN

dnanexrange-set SERVEUR DÉBUT FIN
- Définir la prochaine gamme DNA sur un maître

Les options de connexion et de déconnexion sont utilisées pour gérer la topologie de réplication. Lorsqu'un
la réplique est créée, elle n'est connectée qu'au maître qui l'a créée. La connexion
L'option peut être utilisée pour le connecter à d'autres répliques existantes.

L'option de déconnexion ne peut pas être utilisée pour supprimer le dernier lien d'une réplique. Pour supprimer un
réplique de la topologie utilise l'option del.

Si un réplica est supprimé puis rajouté dans un court laps de temps, le 389-ds
instance sur le maître qui l'a créé doit être redémarré avant de réinstaller le
réplique. Le maître aura les anciens principaux de service mis en cache, ce qui entraînera
la réplication échoue.

Chaque serveur maître IPA a un ID de réplication unique. Cet ID est utilisé par 389-ds-base lorsque
stocker des informations sur l'état de la réplication. La sortie se compose des maîtres et de leurs
ID de réplication respectif. Voir nettoyer-ruv

Lorsqu'un maître est supprimé, tous les autres maîtres doivent supprimer son ID de réplication du
liste des maîtres. Normalement, cela se produit automatiquement lorsqu'un master est supprimé avec
ipa-réplique-gérer. Si un ou plusieurs masters étaient en panne ou inaccessibles lors de l'ipa-replica-manage
a été exécuté, cet ID de réplica existe peut-être encore. La commande clean-ruv peut être utilisée pour
nettoyer un ID de réplication inutilisé.

REMARQUE: clean-ruv est TRÈS DANGEREUX. L'exécution contre le mauvais ID de réplication peut entraîner
dans des données incohérentes sur ce maître. Le maître doit être réinitialisé à partir d'un autre si
ça arrive.

La topologie de réplication est examinée lorsqu'un maître est supprimé et tentera d'empêcher
un maître d'être orphelin. Par exemple, si votre topologie est A <-> B <-> C et que vous
tenter de supprimer le maître B, cela échouera car cela laisserait les maîtres et A et C
orphelin.

La liste des masters est stockée dans cn=masters,cn=ipa,cn=etc,dc=example,dc=com. Ceci devrait
être nettoyé automatiquement lorsqu'un master est supprimé. S'il s'avère que vous avez supprimé
le master et tous les accords mais ces entrées existent toujours alors vous ne pourrez pas
pour réinstaller IPA dessus, l'installation échouera avec :

Un hôte maître IPA ne peut pas être supprimé ou désactivé à l'aide de commandes standard (host-del, par
exemple).

Un maître orphelin peut être nettoyé en utilisant la directive del avec l'option --cleanup.
Cela supprimera les entrées de cn=masters,cn=ipa,cn=etc qui empêchent sinon host-del
de fonctionner, son profil ADN, la configuration s4u2proxy, les principaux de service et le supprimer
à partir du profil DUA par défaut defaultServerList.

OPTIONS

-H HÔTE, --hôte=HÔTE
Le serveur IPA à gérer. La valeur par défaut est la machine sur laquelle la commande est exécutée
Non honoré par la commande de réinitialisation.

-p DM_MOT DE PASSE, --le mot de passe=DM_MOT DE PASSE
Le mot de passe du gestionnaire d'annuaire à utiliser pour l'authentification

-v, --verbeux
Fournir des informations supplémentaires

-f, --Obliger
Ignorer certains types d'erreurs, ne pas demander lors de la suppression d'un maître

-c, --pas de recherche
N'effectuez pas de vérifications de recherche DNS.

-c, --nettoyer
Lors de la suppression d'un maître avec l'indicateur --force, supprimez les références restantes à un
maître déjà supprimé.

--binddn=ADMIN_DN
Lier le DN à utiliser avec le serveur distant (la valeur par défaut est cn=Directory Manager) - Veillez à
citer cette valeur sur la ligne de commande

--bindpw=ADMIN_PWD
Mot de passe pour Bind DN à utiliser avec le serveur distant (la valeur par défaut est le DM_PASSWORD ci-dessus)

--winsync
Spécifie de créer/utiliser un accord de synchronisation Windows

--cacert=/chemin/vers/fichiercacert
Chemin complet et nom de fichier du certificat CA à utiliser avec TLS/SSL vers le serveur distant -
ce certificat CA sera installé dans le certificat du serveur d'annuaire
base de données

--win-sous-arbre=cn=Utilisateurs,dc=exemple,dc=com
DN de la sous-arborescence Windows contenant les utilisateurs que vous souhaitez synchroniser (par défaut
cn=Utilisateurs, - c'est généralement ce que Windows AD utilise par défaut
value) - Attention à bien citer cette valeur sur la ligne de commande

--passsync=PASSSYNC_PWD
Mot de passe de l'utilisateur du système IPA utilisé par le plug-in Windows PassSync pour synchroniser
mots de passe. Obligatoire lors de l'utilisation de --winsync. Cela ne signifie pas que vous devez utiliser le
Service PassSync.

--de=SERVEUR
Le serveur à partir duquel extraire les données, utilisé par la réinitialisation et la synchronisation forcée
les commandes.

GAMMES

IPA utilise le plugin 389-ds Distributed Numeric Assignment (DNA) pour allouer des identifiants POSIX pour
utilisateurs et groupes. Une plage est créée lorsque IPA est installé et la moitié de la plage est attribuée
au premier maître IPA aux fins d'attribution.

Les nouveaux maîtres IPA n'obtiennent pas automatiquement une attribution de plage d'ADN. Une affectation de plage est
effectué uniquement lorsqu'un utilisateur ou un groupe POSIX est ajouté sur ce maître.

Le plugin DNA prend également en charge une configuration "sur le pont" ou la prochaine gamme. Lorsque le primaire
gamme est épuisée, plutôt que d'aller chez un autre maître pour en demander plus, il utilisera son
plage sur le pont si elle est définie. Chaque master ne peut avoir qu'une seule plage et une seule plage sur le pont
Défini.

Lorsqu'un maître est supprimé, une tentative est faite pour enregistrer sa ou ses plages d'ADN sur un autre maître
dans sa gamme sur le pont. IPA ne tentera pas d'étendre ou de fusionner des plages. S'il n'y a pas
emplacements disponibles sur le pont, cela est signalé à l'utilisateur. La gamme est effectivement
perdu à moins qu'il ne soit manuellement fusionné dans la plage d'un autre maître.

La plage d'ADN et les valeurs sur le pont (suivant) peuvent être gérées à l'aide du dnarange-set et
commandes dnanexrange-set. Les règles de gestion de ces plages sont :
- La plage doit être entièrement contenue dans une plage locale telle que définie par l'ipa
commande idrange.

- La plage ne peut pas chevaucher la plage DNA ou la plage sur le pont d'un autre maître IPA.

- La plage ne peut pas chevaucher la plage d'ID d'un AD Trust.

- La plage d'ADN primaire ne peut pas être supprimée.

- Une plage de portée sur le pont peut être supprimée en la réglant sur 0-0. L'hypothèse est
que la plage sera déplacée manuellement ou fusionnée ailleurs.

La plage et la plage suivante d'un maître spécifique peuvent être affichées en passant le FQDN de ce
master à la commande dnarange-show ou dnanexrange-show.

Effectuer des changements de plage en tant qu'administrateur délégué (par exemple, ne pas utiliser le Répertoire
Mot de passe du gestionnaire) nécessite des ACI 389-ds supplémentaires. Ceux-ci sont installés dans les maîtres mis à niveau
mais pas ceux qui existent. Les modifications sont apportées dans cn=config qui n'est pas répliqué. Les
le résultat est que les plages d'ADN ne peuvent pas être gérées sur des maîtres non mis à niveau en tant que
administrateur.

EXEMPLES

Lister tous les maîtres :
# liste ipa-replica-manage
srv1.exemple.com
srv2.exemple.com
srv3.exemple.com
srv4.exemple.com

Répertoriez les accords de réplication d'un serveur.
# liste ipa-replica-manage srv1.example.com
srv2.exemple.com
srv3.exemple.com

Réinitialiser une réplique :
# ipa-replica-manage ré-initialiser --de srv2.example.com

Cela réinitialisera les données sur le serveur où vous exécutez la commande,
récupérer les données du réplica srv2.example.com

Ajoutez un nouvel accord de réplication :
# ipa-replica-manage connect srv2.exemple.com srv4.exemple.com

Supprimez un accord de réplication existant :
# ipa-replica-manage déconnecte srv1.example.com srv3.example.com

Supprimer complètement une réplique :
# ipa-replica-manage de srv4.example.com

À l'aide de la connexion/déconnexion, vous pouvez gérer la topologie de réplication.

Répertoriez les ID de réplication utilisés :
# ipa-replica-manage liste-ruv
srv1.exemple.com:389 : 7
srv2.exemple.com:389 : 4

Supprimer les références à un maître orphelin et supprimé :
# ipa-replica-manage del --force --cleanup master.example.com

WINSYNC

La création d'un accord de synchronisation Windows AD est similaire à la création d'une réplication IPA
accord, il n'y a que quelques étapes supplémentaires.

Une entrée d'utilisateur spéciale est créée pour le service PassSync. Le DN de cette entrée est
uid=passsync,cn=sysaccounts,cn=etc, . Vous n'êtes pas obligé d'utiliser PassSync pour utiliser un
Accord de synchronisation Windows mais la définition d'un mot de passe pour l'utilisateur est requise.

Les exemples suivants utilisent le compte administrateur AD comme utilisateur de synchronisation. Cette
n'est pas obligatoire mais l'utilisateur doit avoir un accès en lecture au sous-arbre.

1. Transférez le certificat CA Windows AD encodé en base64 sur votre serveur IPA

2. Supprimez toutes les informations d'identification Kerberos existantes
# kdestruction

3. Ajoutez l'accord de réplication winsync
# ipa-replica-manage connect --winsync --passsync=
will_be_used_for_agreement> --cacert=/chemin/vers/adscacert/WIN-CA.cer --binddn
"cn=administrator,cn=users,dc=ad,dc=example,dc=com" --bindpw
-v

Vous serez invité à fournir le mot de passe du gestionnaire d'annuaire.

Créez un accord de réplication winsync :

# ipa-replica-manage connect --winsync --passsync=MonSecret
--cacert=/root/WIN-CA.cer --binddn
"cn=administrator,cn=users,dc=ad,dc=example,dc=com" --bindpw MySecret -v
windows.ad.example.com

Supprimez un accord de réplication winsync :
# ipa-replica-manage déconnecte windows.ad.example.com

PASSSYNC

PassSync est un service Windows qui s'exécute sur les contrôleurs de domaine AD pour intercepter le mot de passe
changements. Il envoie ces modifications de mot de passe au serveur LDAP IPA via TLS. Ces mot de passe
les modifications contournent les paramètres de stratégie de mot de passe IPA normaux et le mot de passe n'est pas défini sur
expirer immédiatement. En effet, au moment où IPA reçoit le changement de mot de passe, il a
déjà été accepté par AD, il est donc trop tard pour le rejeter.

IPA maintient une liste de DN qui sont exemptés de la politique de mot de passe. Un utilisateur spécial est ajouté
automatiquement lorsqu'un accord de réplication winsync est créé. Le DN de cet utilisateur est
ajouté à la liste d'exemptions stockée dans passSyncManagersDNs dans l'entrée
cn=ipa_pwd_extop,cn=plugins,cn=config.

EXIT STATUT

0 si la commande a réussi

1 si une erreur s'est produite

Utilisez ipa-replica-manage en ligne à l'aide des services onworks.net