ipa-replica-manage - Online nel cloud

PROGRAMMA:

NOME

ipa-replica-manage - Gestire una replica IPA

SINOSSI

ipa-replica-gestire [OPZIONE]... [COMANDO]

DESCRIZIONE

Gestisce gli accordi di replica di un server IPA.

Per gestire gli accordi di replica IPA in un dominio a livello di dominio 1, utilizzare la CLI IPA o l'interfaccia utente Web,
vedere `topologia della guida di ipa` per ulteriori informazioni.

I comandi disponibili sono:

connect [SERVER_A]
- Aggiunge un nuovo accordo di replica tra SERVER_A/localhost e SERVER_B. In
livello di dominio 1 applicabile solo per gli accordi winsync.

sconnettere [SERVER_A]
- Rimuove un accordo di replica tra SERVER_A/localhost e SERVER_B. In
livello di dominio 1 applicabile solo per gli accordi winsync.

del
- Rimuove tutti gli accordi di replica ei dati sul SERVER. A livello di dominio 1 è
rimuove i dati e gli accordi per entrambi i suffissi - dominio e ca.

stratagemma [SERVER]
- Elenca tutti i server o l'elenco degli accordi di SERVER

reinizializzare
- Forza una reinizializzazione completa del server IPA recuperando i dati dal server
specificato con l'opzione --from

sincronizzazione forzata
- Svuota immediatamente tutti i dati da replicare da un server specificato con il
--da opzione

list-ruv
- Elenca gli ID di replica su questo server.

pulito-ruv [REPLICAZIONE_ID]
- Eseguire l'attività CLEANALLRUV per rimuovere un ID di replica.

pulito-pendente-ruv
- Pulisce tutti i RUV e CS-RUV rimasti nel sistema dalla disinstallazione
repliche.

abortire-pulire-ruv [REPLICAZIONE_ID]
- Interrompere un'attività CLEANALLRUV in esecuzione. Con l'opzione --force l'attività non aspetta
a tutti i server di replica è stata inviata l'attività di interruzione o essere online prima
completando.

list-clean-ruv
- Elenca tutte le attività CLEANALLRUV in esecuzione e interrompe le attività CLEANALLRUV.

dnarange-spettacolo [SERVER]
- Elenca le gamme del DNA

dnarange-set SERVER INIZIO-FINE
- Imposta la gamma DNA su un master

dnanextrange-show [SERVER]
- Elenca i prossimi intervalli di DNA

dnanextrange-set SERVER INIZIO-FINE
- Imposta il range successivo del DNA su un master

Le opzioni di connessione e disconnessione vengono utilizzate per gestire la topologia di replica. Quando un
viene creata la replica è collegata solo al master che l'ha creata. La connessione
l'opzione può essere utilizzata per collegarlo ad altre repliche esistenti.

L'opzione di disconnessione non può essere utilizzata per rimuovere l'ultimo collegamento di una replica. Per rimuovere un
replica dalla topologia utilizzare l'opzione del.

Se una replica viene eliminata e quindi aggiunta nuovamente entro un breve lasso di tempo, il 389-ds
istanza sul master che l'ha creata dovrebbe essere riavviata prima di reinstallare il
replica. Il master avrà le vecchie entità di servizio memorizzate nella cache, il che causerà
replica fallire.

Ciascun server principale IPA ha un ID di replica univoco. Questo ID è utilizzato da 389-ds-base quando
memorizzazione delle informazioni sullo stato della replica. L'output è costituito dai master e dai loro
rispettivo ID di replica. Vedere pulito-ruv

Quando un master viene rimosso, tutti gli altri master devono rimuovere il suo ID di replica dal
elenco dei maestri. Normalmente questo si verifica automaticamente quando un master viene cancellato con
ipa-replica-gestire. Se uno o più master erano inattivi o irraggiungibili quando ipa-replica-manage
è stato eseguito, questo ID di replica potrebbe ancora esistere. Il comando clean-ruv può essere usato per
ripulire un ID di replica inutilizzato.

NOTA: clean-ruv è MOLTO PERICOLOSO. Può risultare l'esecuzione contro l'ID di replica errato
in dati incoerenti su quel master. Il master dovrebbe essere reinizializzato da un altro se
questo succede.

La topologia di replica viene esaminata quando un master viene eliminato e tenterà di impedire
un maestro dall'essere orfano. Ad esempio, se la tua topologia è A <-> B <-> C e tu
tentativo di eliminare il master B fallirà perché ciò lascerebbe i master e A e C
orfano.

L'elenco dei master è memorizzato in cn=masters,cn=ipa,cn=etc,dc=example,dc=com. Questo dovrebbe
essere ripulito automaticamente quando un master viene eliminato. Se si verifica che hai cancellato
il master e tutti gli accordi ma queste voci esistono ancora quindi non potrai
per reinstallare IPA su di esso, l'installazione fallirà con:

Un host master IPA non può essere eliminato o disabilitato utilizzando i comandi standard (host-del, per
esempio).

Un master orfano può essere ripulito utilizzando la direttiva del con l'opzione --cleanup.
Questo rimuoverà le voci da cn=masters,cn=ipa,cn=etc che altrimenti impediscono l'host-del
dal lavoro, il suo profilo DNA, la configurazione s4u2proxy, i principali servizi e rimuoverlo
dal profilo DUA predefinito defaultServerList.

VERSIONI

-H HOST, --ospite=HOST
Il server IPA da gestire. L'impostazione predefinita è la macchina su cui viene eseguito il comando
Non onorato dal comando re-inizializza.

-p DM_PASSWORD, --parola d'ordine=DM_PASSWORD
La password del gestore directory da utilizzare per l'autenticazione

-v, --verboso
Fornisci informazioni aggiuntive

-f, --vigore
Ignora alcuni tipi di errori, non chiedere quando si elimina un master

-c, --no-ricerca
Non eseguire controlli di ricerca DNS.

-c, --ripulire
Quando elimini un master con il flag --force, rimuovi i riferimenti rimanenti a an
maestro già cancellato.

--bindn=ADMIN_DN
Bind DN da utilizzare con il server remoto (l'impostazione predefinita è cn=Directory Manager) - Fare attenzione a
citare questo valore sulla riga di comando

--bindpw=ADMIN_PWD
Password per Bind DN da utilizzare con il server remoto (l'impostazione predefinita è DM_PASSWORD sopra)

--winsync
Specifica di creare/utilizzare un contratto di sincronizzazione di Windows

--cacerto=/percorso/di/cacertfile
Percorso completo e nome file del certificato CA da utilizzare con TLS/SSL sul server remoto -
questo certificato CA verrà installato nel certificato del server di directory
banca dati

--win-sottoalbero=cn=Utenti,dc=esempio,dc=com
DN della sottostruttura di Windows contenente gli utenti che desideri sincronizzare (impostazione predefinita
cn=Utenti, - questo è in genere ciò che Windows AD utilizza come predefinito
value) - Fai attenzione a quotare questo valore sulla riga di comando

--passsync=PASSSYNC_PWD
Password per l'utente del sistema IPA utilizzata dal plug-in Windows PassSync per la sincronizzazione
Le password. Richiesto quando si usa --winsync. Questo non significa che devi usare il
Servizio PassSync.

--a partire dal=SERVER
Il server da cui estrarre i dati, utilizzato dalla reinizializzazione e dalla sincronizzazione forzata
comandi.

GAMME

IPA utilizza il plug-in Distributed Numeric Assignment (DNA) 389-ds per allocare ID POSIX per
utenti e gruppi. Viene creato un intervallo quando viene installato IPA e viene assegnata metà dell'intervallo
al primo master IPA ai fini dell'assegnazione.

I nuovi master IPA non ottengono automaticamente un'assegnazione dell'intervallo del DNA. Un'assegnazione di intervallo è
fatto solo quando un utente o un gruppo POSIX viene aggiunto su quel master.

Il plug-in DNA supporta anche una configurazione "on-deck" o di intervallo successivo. Quando il primario
gamma è esaurita, piuttosto che andare da un altro master per chiedere di più, userà il suo
intervallo in coperta, se ne è stato definito uno. Ogni master può avere solo una gamma e una gamma in coperta
definito.

Quando un master viene rimosso, viene fatto un tentativo di salvare il suo intervallo di DNA su un altro master
nella sua gamma in coperta. IPA non tenterà di estendere o unire gli intervalli. Se non ci sono
slot disponibili sul ponte, questo viene segnalato all'utente. La gamma è efficace
perso a meno che non venga unito manualmente all'intervallo di un altro master.

L'intervallo DNA e i valori sul ponte (successivo) possono essere gestiti utilizzando dnarange-set e
comandi dnanextrange-set. Le regole per la gestione di questi intervalli sono:
- L'intervallo deve essere completamente contenuto all'interno di un intervallo locale come definito dall'ipa
comando idrange.

- L'intervallo non può sovrapporsi all'intervallo DNA o all'intervallo sul ponte su un altro master IPA.

- L'intervallo non può sovrapporsi all'intervallo ID di un AD Trust.

- L'intervallo di DNA primario non può essere rimosso.

- Un intervallo di portata sul ponte può essere rimosso impostandolo su 0-0. L'ipotesi è
che l'intervallo verrà spostato manualmente o unito altrove.

L'intervallo e l'intervallo successivo di un master specifico possono essere visualizzati passando l'FQDN di quello
master al comando dnarange-show o dnanextrange-show.

Eseguire modifiche all'intervallo come amministratore delegato (ad es. non utilizzare la directory
Password manager) richiede ACI 389-ds aggiuntivi. Questi sono installati nei master aggiornati
ma non esistenti. Le modifiche vengono apportate in cn=config che non viene replicato. Il
il risultato è che gli intervalli DNA non possono essere gestiti su master non aggiornati come delegati
amministratore.

ESEMPI

Elenca tutti i master:
# elenco ipa-replica-gestire
srv1.esempio.com
srv2.esempio.com
srv3.esempio.com
srv4.esempio.com

Elenca gli accordi di replica di un server.
# ipa-replica-manage list srv1.example.com
srv2.esempio.com
srv3.esempio.com

Reinizializzare una replica:
# ipa-replica-manage re-inizializza --from srv2.example.com

Questo reinizializzerà i dati sul server in cui si esegue il comando,
recupero dei dati dalla replica srv2.example.com

Aggiungi un nuovo contratto di replica:
# ipa-replica-manage connetti srv2.example.com srv4.example.com

Rimuovere un contratto di replica esistente:
# ipa-replica-manage disconnettere srv1.example.com srv3.example.com

Rimuovere completamente una replica:
# ipa-replica-manage di srv4.example.com

Utilizzando Connetti/Disconnetti è possibile gestire la topologia di replica.

Elenca gli ID di replica in uso:
# ipa-replica-gestisci elenco-ruv
srv1.esempio.com:389: 7
srv2.esempio.com:389: 4

Rimuovere i riferimenti a un master orfano ed eliminato:
# ipa-replica-manage del --force --cleanup master.example.com

WINSYNC

La creazione di un contratto di sincronizzazione di Windows AD è simile alla creazione di una replica IPA
accordo, ci sono solo un paio di passaggi in più.

Viene creata una voce utente speciale per il servizio PassSync. Il DN di questa voce è
uid=passsync,cn=sysaccounts,cn=etc, . Non è necessario utilizzare PassSync per utilizzare a
È richiesto il contratto di sincronizzazione di Windows ma l'impostazione di una password per l'utente.

Gli esempi seguenti utilizzano l'account amministratore di AD come utente di sincronizzazione. Questo
non è obbligatorio ma l'utente deve avere accesso in lettura al sottoalbero.

1. Trasferisci il certificato CA Windows AD con codifica base64 al tuo server IPA

2. Rimuovere eventuali credenziali Kerberos esistenti
#kdestroy

3. Aggiungi l'accordo di replica winsync
# ipa-replica-manage connect --winsync --passsync=
will_be_used_for_agreement> --cacert=/path/to/adscacert/WIN-CA.cer --binddn
"cn=amministratore,cn=utenti,dc=ad,dc=esempio,dc=com" --bindpw
-v

Ti verrà chiesto di fornire la password del gestore della directory.

Creare un contratto di replica winsync:

# ipa-replica-manage connect --winsync --passsync=MySecret
--cacert=/root/WIN-CA.cer --binddn
"cn=amministratore,cn=utenti,dc=ad,dc=esempio,dc=com" --bindpw MySecret -v
windows.ad.esempio.com

Rimuovere un contratto di replica winsync:
# ipa-replica-manage disconnettere windows.ad.example.com

PASSSYNC

PassSync è un servizio Windows che viene eseguito sui controller di dominio AD per intercettare la password
i cambiamenti. Invia queste modifiche alla password al server LDAP IPA su TLS. Queste password
le modifiche ignorano le normali impostazioni dei criteri della password IPA e la password non è impostata su
scadono immediatamente. Questo perché nel momento in cui IPA riceve la modifica della password che ha
già stato accettato da AD quindi è troppo tardi per rifiutarlo.

IPA mantiene un elenco di DN esenti dalla politica delle password. Viene aggiunto un utente speciale
automaticamente quando viene creato un contratto di replica winsync. Il DN di questo utente è
aggiunto all'elenco delle esenzioni memorizzato in passSyncManagersDNs nella voce
cn=ipa_pwd_extop,cn=plugin,cn=config.

EXIT STATUS

0 se il comando ha avuto successo

1 se si è verificato un errore

Usa ipa-replica-manage online utilizzando i servizi onworks.net