ipa-replica-manage - Online in de cloud

PROGRAMMA:

NAAM

ipa-replica-manage - Beheer een IPA-replica

KORTE INHOUD

ipa-replica-beheren [OPTIE]... [OPDRACHT]

PRODUCTBESCHRIJVING

Beheert de replicatieovereenkomsten van een IPA-server.

Om IPA-replicatieovereenkomsten in een domein op domeinniveau 1 te beheren, gebruikt u IPA CLI of Web UI,
zie `ipa help topologie` voor aanvullende informatie.

De beschikbare commando's zijn:

connect [SERVER_A]
- Voegt een nieuwe replicatieovereenkomst toe tussen SERVER_A/localhost en SERVER_B. Bij
domeinniveau 1 alleen van toepassing op winsync-overeenkomsten.

loskoppelen [SERVER_A]
- Verwijdert een replicatieovereenkomst tussen SERVER_A/localhost en SERVER_B. Bij
domeinniveau 1 alleen van toepassing op winsync-overeenkomsten.

del
- Verwijdert alle replicatieovereenkomsten en gegevens over SERVER. Op domeinniveau 1 it
verwijdert gegevens en overeenkomsten voor beide achtervoegsels - domein en ca.

lijst [SERVER]
- Geeft een overzicht van alle servers of de lijst met overeenkomsten van SERVER

opnieuw initialiseren
- Forceert een volledige herinitialisatie van de IPA-server, waarbij gegevens van de server worden opgehaald
opgegeven met de optie --from

geforceerde synchronisatie
- Wis onmiddellijk alle gegevens die moeten worden gerepliceerd vanaf een server die is opgegeven met de
--van optie

lijst-ruv
- Vermeld de replicatie-ID's op deze server.

schoon-ruv [REPLICATION_ID]
- Voer de taak CLEANALLRUV uit om een ​​replicatie-ID te verwijderen.

schoon-bungelende-ruv
- Zorgt ervoor dat alle RUV's en CS-RUV's die in het systeem achterblijven, niet meer worden verwijderd
replica's.

afbreken-schoon-ruv [REPLICATION_ID]
- Een actieve CLEANALLRUV-taak afbreken. Met de optie --force wacht de taak niet op
alle replicaservers moeten eerder de afbreektaak hebben ontvangen of online zijn geweest
voltooien.

lijst-schoon-ruv
- Maak een lijst van alle actieve CLEANALLRUV en beëindig CLEANALLRUV-taken.

dnarange-show [SERVER]
- Maak een lijst van de DNA-reeksen

dnarange-set SERVER BEGIN HET EINDE
- Stel het DNA-bereik in op een master

dnanextrange-show [SERVER]
- Noem de volgende DNA-reeksen

dnanextrange-set SERVER BEGIN HET EINDE
- Zet het DNA-volgende bereik op een master

De opties voor verbinden en verbreken worden gebruikt om de replicatietopologie te beheren. Wanneer een
replica is gemaakt, is deze alleen verbonden met de master die deze heeft gemaakt. De verbinding
optie kan worden gebruikt om het te verbinden met andere bestaande replica's.

De optie voor het verbreken van de verbinding kan niet worden gebruikt om de laatste link van een replica te verwijderen. Om een
replica van de topologie gebruikt de optie del.

Als een replica binnen een kort tijdsbestek wordt verwijderd en vervolgens opnieuw wordt toegevoegd, wordt de 389-ds
exemplaar op de master die het heeft gemaakt, moet opnieuw worden opgestart voordat het
replica. Bij de master worden de oude service-principals in de cache opgeslagen, wat zal leiden tot
replicatie mislukt.

Elke IPA-masterserver heeft een unieke replicatie-ID. Deze ID wordt gebruikt door 389-ds-base wanneer
het opslaan van informatie over de replicatiestatus. De uitvoer bestaat uit de masters en hun
respectieve replicatie-ID. Zien schoon-ruv

Wanneer een master wordt verwijderd, moeten alle andere masters de replicatie-ID ervan verwijderen uit de
lijst van meesters. Normaal gesproken gebeurt dit automatisch wanneer een master wordt verwijderd
ipa-replica-beheren. Als een of meer masters offline of onbereikbaar waren tijdens ipa-replica-manage
is uitgevoerd, bestaat deze replica-ID mogelijk nog steeds. Hiervoor kan het commando clean-ruv worden gebruikt
een ongebruikte replicatie-ID opschonen.

NOTITIE: schoon-ruv is ZEER GEVAARLIJKE. Uitvoering tegen de verkeerde replicatie-ID kan het gevolg zijn
in inconsistente gegevens over die master. De master moet opnieuw worden geïnitialiseerd vanaf een andere if
dit gebeurt.

De replicatietopologie wordt onderzocht wanneer een master wordt verwijderd en zal proberen dit te voorkomen
een meester die wees is geworden. Als uw topologie bijvoorbeeld A <-> B <-> C is en u
poging om master B te verwijderen, zal mislukken omdat er dan masters en A en C overblijven
wees.

De lijst met masters wordt opgeslagen in cn=masters,cn=ipa,cn=etc,dc=example,dc=com. Dit zou
automatisch worden opgeschoond wanneer een master wordt verwijderd. Als het voorkomt dat u heeft verwijderd
de master en alle overeenkomsten, maar als deze vermeldingen nog steeds bestaan, kunt u dat niet doen
om IPA er opnieuw op te installeren, mislukt de installatie met:

Een IPA-masterhost kan niet worden verwijderd of uitgeschakeld met behulp van standaardopdrachten (host-del, for
voorbeeld).

Een verweesde master kan worden opgeschoond met behulp van de del richtlijn met de --cleanup optie.
Hierdoor worden de vermeldingen uit cn=masters,cn=ipa,cn=etc verwijderd die anders host-del verhinderen
van het werken, het DNA-profiel, de s4u2proxy-configuratie, service-principals en verwijder deze
van het standaard DUA-profiel defaultServerList.

OPTIES

-H HOST, --gastheer=HOST
De IPA-server die moet worden beheerd. De standaardwaarde is de machine waarop de opdracht wordt uitgevoerd
Niet gehonoreerd door het commando opnieuw initialiseren.

-p DM_WACHTWOORD, --wachtwoord=DM_WACHTWOORD
Het Directory Manager-wachtwoord dat moet worden gebruikt voor verificatie

-v, --uitgebreid
Geef aanvullende informatie

-f, --kracht
Negeer bepaalde soorten fouten en vraag niet wanneer u een master verwijdert

-c, --niet opzoeken
Voer geen DNS-lookup-controles uit.

-c, --schoonmaken
Wanneer u een master verwijdert met de vlag --force, verwijdert u de overgebleven verwijzingen naar een
al verwijderde master.

--bindn=ADMIN_DN
Bind DN voor gebruik met externe server (standaard is cn=Directory Manager) - Wees voorzichtig
citeer deze waarde op de opdrachtregel

--bindpw=ADMIN_PWD
Wachtwoord voor Bind DN om te gebruiken met externe server (standaard is het DM_PASSWORD hierboven)

--winsync
Geeft aan dat er een Windows Sync-overeenkomst moet worden gemaakt/gebruikt

--cacert=/pad/naar/cacertbestand
Volledig pad en bestandsnaam van CA-certificaat voor gebruik met TLS/SSL naar de externe server -
dit CA-certificaat wordt geïnstalleerd in het certificaat van de directoryserver
databank

--win-subboom=cn=Gebruikers,dc=voorbeeld,dc=com
DN van de Windows-substructuur met de gebruikers die u wilt synchroniseren (standaard
cn=Gebruikers, - dit is doorgaans wat Windows AD standaard gebruikt
waarde) - Zorg ervoor dat u deze waarde op de opdrachtregel vermeldt

--passsynchronisatie=PASSSYNC_PWD
Wachtwoord voor de IPA-systeemgebruiker die door de Windows PassSync-plug-in wordt gebruikt om te synchroniseren
wachtwoorden. Vereist bij gebruik van --winsync. Dit betekent niet dat u gebruik hoeft te maken van de
PassSync-service.

--van=SERVER
De server waar de gegevens vandaan worden gehaald, gebruikt voor het opnieuw initialiseren en forceren van synchronisatie
commando's.

BEREIKEN

IPA gebruikt de 389-ds Distributed Numeric Assignment (DNA) Plugin om POSIX-id's toe te wijzen voor
gebruikers en groepen. Er wordt een bereik aangemaakt wanneer IPA wordt geïnstalleerd en de helft van het bereik wordt toegewezen
aan de eerste IPA-master met het oog op toewijzing.

Nieuwe IPA-masters krijgen niet automatisch een DNA-reekstoewijzing. Een bereiktoewijzing is
alleen gedaan wanneer een gebruiker of POSIX-groep aan die master is toegevoegd.

De DNA-plug-in ondersteunt ook een "on-deck" of next-range-configuratie. Wanneer de primaire
bereik is uitgeput, in plaats van naar een andere meester te gaan om meer te vragen, zal het zijn gebruik maken
bereik op het dek, indien gedefinieerd. Elke master kan slechts één bereik en één bereik op het dek hebben
gedefinieerd.

Wanneer een master wordt verwijderd, wordt geprobeerd zijn DNA-reeks(en) op een andere master op te slaan
in zijn bereik op het dek. IPA zal niet proberen reeksen uit te breiden of samen te voegen. Als er geen
beschikbare bereikslots op het dek, wordt dit aan de gebruiker gerapporteerd. Het bereik is effectief
verloren tenzij het handmatig wordt samengevoegd in het bereik van een andere master.

Het DNA-bereik en de on-deck (volgende) waarden kunnen worden beheerd met behulp van de dnarange-set en
dnanextrange-set-opdrachten. De regels voor het beheren van deze bereiken zijn:
- Het bereik moet volledig binnen een lokaal bereik liggen zoals gedefinieerd door de ipa
idrange-opdracht.

- Het bereik mag het DNA-bereik of het bereik op het dek van een andere IPA-master niet overlappen.

- Het bereik mag het ID-bereik van een AD Trust niet overlappen.

- Het primaire DNA-bereik kan niet worden verwijderd.

- Een bereikbereik op het dek kan worden verwijderd door dit in te stellen op 0-0. De veronderstelling is
dat het bereik handmatig wordt verplaatst of ergens anders wordt samengevoegd.

Het bereik en het volgende bereik van een specifieke master kunnen worden weergegeven door de FQDN daarvan door te geven
master naar de opdracht dnarange-show of dnanextrange-show.

Bereikwijzigingen uitvoeren als gedelegeerd beheerder (bijvoorbeeld zonder gebruik te maken van de Directory
Managerwachtwoord) vereist extra 389-ds ACI's. Deze worden geïnstalleerd in geüpgradede masters
maar geen bestaande. De wijzigingen worden aangebracht in cn=config, wat niet wordt gerepliceerd. De
Het resultaat is dat DNA-reeksen niet als gedelegeerde kunnen worden beheerd op niet-opgewaardeerde masters
beheerder.

Voorbeelden

Lijst van alle meesters:
# ipa-replica-beheerlijst
srv1.voorbeeld.com
srv2.voorbeeld.com
srv3.voorbeeld.com
srv4.voorbeeld.com

Maak een lijst van de replicatieovereenkomsten van een server.
# ipa-replica-manage lijst srv1.example.com
srv2.voorbeeld.com
srv3.voorbeeld.com

Een replica opnieuw initialiseren:
# ipa-replica-manage opnieuw initialiseren --van srv2.example.com

Hierdoor worden de gegevens op de server waarop u de opdracht uitvoert opnieuw geïnitialiseerd.
het ophalen van de gegevens uit de srv2.example.com-replica

Voeg een nieuwe replicatieovereenkomst toe:
# ipa-replica-manage connect srv2.example.com srv4.example.com

Een bestaande replicatieovereenkomst verwijderen:
# ipa-replica-manage ontkoppelen srv1.example.com srv3.example.com

Een replica volledig verwijderen:
# ipa-replica-beheer van srv4.example.com

Met connect/disconnect kunt u de replicatietopologie beheren.

Geef een overzicht van de replicatie-ID's die in gebruik zijn:
# ipa-replica-lijst-ruv beheren
srv1.voorbeeld.com:389: 7
srv2.voorbeeld.com:389: 4

Verwijder verwijzingen naar een verweesde en verwijderde master:
# ipa-replica-manage del --force --cleanup master.example.com

WINSYNC

Het maken van een Windows AD-synchronisatieovereenkomst is vergelijkbaar met het maken van een IPA-replicatie
overeenkomst, zijn er slechts een paar extra stappen.

Er wordt een speciale gebruikersinvoer aangemaakt voor de PassSync-service. De DN van deze vermelding is
uid=passsync,cn=sysaccounts,cn=etc, . U bent niet verplicht PassSync te gebruiken om een
Windows-synchronisatieovereenkomst, maar het instellen van een wachtwoord voor de gebruiker is vereist.

In de volgende voorbeelden wordt het AD-beheerdersaccount gebruikt als synchronisatiegebruiker. Dit
is niet verplicht, maar de gebruiker moet leestoegang hebben tot de subboom.

1. Breng het met base64 gecodeerde Windows AD CA-certificaat over naar uw IPA-server

2. Verwijder eventuele bestaande Kerberos-inloggegevens
#kdestroy

3. Voeg de winsync-replicatieovereenkomst toe
# ipa-replica-manage connect --winsync --passsync=
will_be_used_for_agreement> --cacert=/pad/naar/adscacert/WIN-CA.cer --binddn
"cn=beheerder,cn=gebruikers,dc=advertentie,dc=voorbeeld,dc=com" --bindpw
-v

U wordt gevraagd het wachtwoord van Directory Manager op te geven.

Maak een winsync-replicatieovereenkomst:

# ipa-replica-manage connect --winsync --passsync=MijnGeheim
--cacert=/root/WIN-CA.cer --binddn
"cn=beheerder,cn=gebruikers,dc=ad,dc=voorbeeld,dc=com" --bindpw MijnGeheim -v
windows.ad.voorbeeld.com

Een winsync-replicatieovereenkomst verwijderen:
# ipa-replica-manage ontkoppel windows.ad.example.com

PASSSYNC

PassSync is een Windows-service die op AD-domeincontrollers draait om wachtwoorden te onderscheppen
veranderingen. Het verzendt deze wachtwoordwijzigingen via TLS naar de IPA LDAP-server. Dit wachtwoord
wijzigingen omzeilen de normale IPA-wachtwoordbeleidsinstellingen en het wachtwoord is niet ingesteld op
vervallen onmiddellijk. Dit komt doordat IPA tegen de tijd dat het het wachtwoord ontvangt, het wachtwoord heeft gewijzigd
al door AD aanvaard, dus het is te laat om het af te wijzen.

IPA houdt een lijst bij van DN's die zijn vrijgesteld van het wachtwoordbeleid. Er is een speciale gebruiker toegevoegd
automatisch wanneer een winsync-replicatieovereenkomst wordt gemaakt. De DN van deze gebruiker is
toegevoegd aan de uitzonderingslijst die is opgeslagen in passSyncManagersDNs in het item
cn=ipa_pwd_extop,cn=plug-ins,cn=config.

EXIT STATUS

0 als de opdracht succesvol was

1 als er een fout is opgetreden

Gebruik ipa-replica-manage online met behulp van onworks.net-services