ipa-replica-manage - Online sa Cloud

PROGRAMA:

NAME

ipa-replica-manage - Pamahalaan ang isang IPA replica

SINOPSIS

ipa-replica-manage [OPTION]... [UTOS]

DESCRIPTION

Pinamamahalaan ang mga kasunduan sa pagtitiklop ng isang IPA server.

Upang pamahalaan ang mga kasunduan sa pagtitiklop ng IPA sa isang domain sa antas 1 ng domain, gamitin ang IPA CLI o Web UI,
tingnan ang `ipa help topology` para sa karagdagang impormasyon.

Ang magagamit na mga utos ay:

ikabit [SERVER_A]
- Nagdaragdag ng bagong kasunduan sa pagtitiklop sa pagitan ng SERVER_A/localhost at SERVER_B. Sa
domain level 1 na naaangkop lang para sa mga winsync agreement.

kalagin [SERVER_A]
- Tinatanggal ang isang kasunduan sa pagtitiklop sa pagitan ng SERVER_A/localhost at SERVER_B. Sa
domain level 1 na naaangkop lang para sa mga winsync agreement.

del
- Tinatanggal ang lahat ng mga kasunduan sa pagtitiklop at data tungkol sa SERVER. Sa domain level 1 ito
nag-aalis ng data at mga kasunduan para sa parehong mga suffix - domain at ca.

listahan [SERVER]
- Inililista ang lahat ng mga server o ang listahan ng mga kasunduan ng SERVER

muling simulan
- Pinipilit ang isang buong muling pagsisimula ng IPA server na kumukuha ng data mula sa server
tinukoy gamit ang --from na opsyon

force-sync
- Kaagad na i-flush ang anumang data na kukupyahin mula sa isang server na tinukoy sa
--mula sa opsyon

listahan-ruv
- Ilista ang mga replication ID sa server na ito.

malinis-ruv [REPLICATION_ID]
- Patakbuhin ang CLEANALLRUV na gawain upang alisin ang isang replication ID.

malinis-nakalawit-ruv
- Nililinis ang lahat ng RUV at CS-RUV na naiwan sa system mula sa pag-uninstall
mga replika.

abort-clean-ruv [REPLICATION_ID]
- Itigil ang tumatakbong CLEANALLRUV na gawain. Sa --force na opsyon ang gawain ay hindi naghihintay
lahat ng mga replica server ay naipadala na sa abort task, o maging online, dati
pagkumpleto.

list-clean-ruv
- Ilista ang lahat ng tumatakbong CLEANALLRUV at i-abort ang mga gawain sa CLEANALLRUV.

dnarange-show [SERVER]
- Ilista ang mga hanay ng DNA

dnarange-set SERVER START-END
- Itakda ang hanay ng DNA sa isang master

dnanextrange-show [SERVER]
- Ilista ang mga susunod na hanay ng DNA

dnanextrange-set SERVER START-END
- Itakda ang susunod na hanay ng DNA sa isang master

Ang mga opsyon sa pagkonekta at pagdiskonekta ay ginagamit upang pamahalaan ang topology ng pagtitiklop. Kapag a
replica ay nilikha ito ay konektado lamang sa master na lumikha nito. Ang connect
ang opsyon ay maaaring gamitin upang ikonekta ito sa iba pang umiiral na mga replika.

Hindi magagamit ang opsyon sa pagdiskonekta upang alisin ang huling link ng isang replika. Upang alisin ang a
replica mula sa topology gamitin ang del opsyon.

Kung ang isang replica ay tinanggal at pagkatapos ay muling idinagdag sa loob ng maikling panahon, ang 389-ds
instance sa master na lumikha nito ay dapat na i-restart bago muling i-install ang
replika. Ipapa-cache ng master ang mga lumang punong-guro ng serbisyo na magiging sanhi
mabibigo ang pagtitiklop.

Ang bawat master server ng IPA ay may natatanging replication ID. Ang ID na ito ay ginagamit ng 389-ds-base kapag
pag-iimbak ng impormasyon tungkol sa katayuan ng pagtitiklop. Ang output ay binubuo ng mga masters at kanilang
kani-kanilang replication ID. Tingnan mo malinis-ruv

Kapag inalis ang isang master, kailangang alisin ng lahat ng ibang master ang replication ID nito mula sa
listahan ng mga masters. Karaniwan ito ay awtomatikong nangyayari kapag ang isang master ay tinanggal gamit ang
ipa-replica-manage. Kung ang isa o higit pang mga master ay down o hindi maabot kapag ipa-replica-manage
ay naisakatuparan at maaaring umiiral pa rin ang replica ID na ito. Maaaring gamitin ang clean-ruv command upang
linisin ang hindi nagamit na replication ID.

NOTA: ang clean-ruv ay Napaka MAPANGANIB. Maaaring magresulta ang pagpapatupad laban sa maling replication ID
sa hindi pantay na data sa master na iyon. Dapat na muling simulan ang master mula sa isa pa kung
nangyayari ito.

Ang replication topology ay sinusuri kapag ang isang master ay tinanggal at susubukan na pigilan
isang master mula sa pagiging ulila. Halimbawa, kung ang iyong topology ay A <-> B <-> C at ikaw
pagtatangka na tanggalin ang master B ay mabibigo ito dahil iiwan nito ang mga master at A at C
ulila.

Ang listahan ng mga master ay nakaimbak sa cn=masters,cn=ipa,cn=etc,dc=example,dc=com. Ito ay dapat
ay awtomatikong linisin kapag ang isang master ay tinanggal. Kung ito ay nangyari na ikaw ay tinanggal
the master and all the agreements but these entries still exist tapos hindi mo magagawa
upang muling i-install ang IPA dito, mabibigo ang pag-install sa:

Ang isang master host ng IPA ay hindi maaaring tanggalin o hindi paganahin gamit ang mga karaniwang command (host-del, para sa
halimbawa).

Maaaring linisin ang isang naulilang master gamit ang del directive na may opsyong --cleanup.
Aalisin nito ang mga entry mula sa cn=masters,cn=ipa,cn=etc na kung hindi man ay pumipigil sa host-del
mula sa pagtatrabaho, ang dna profile nito, s4u2proxy configuration, mga service principal at alisin ito
mula sa default na DUA profile defaultServerList.

Opsyon

-H HOST, --host=HOST
Ang IPA server upang pamahalaan. Ang default ay ang makina kung saan pinapatakbo ang command
Hindi pinarangalan ng re-initialize command.

-p DM_PASSWORD, --password=DM_PASSWORD
Ang password ng Directory Manager na gagamitin para sa pagpapatunay

-v, --verbose
Magbigay ng karagdagang impormasyon

-f, --puwersa
Huwag pansinin ang ilang uri ng mga error, huwag mag-prompt kapag nagde-delete ng master

-c, --walang-lookup
Huwag magsagawa ng DNS lookup checks.

-c, --Maglinis
Kapag nagtanggal ng master na may --force flag, alisin ang mga natitirang reference sa isang
natanggal na master.

--binddn=ADMIN_DN
I-bind ang DN para gamitin sa remote server (default ay cn=Directory Manager) - Mag-ingat sa
quote ang halagang ito sa command line

--bindpw=ADMIN_PWD
Password para sa Bind DN na gagamitin sa malayuang server (default ang DM_PASSWORD sa itaas)

--winsync
Tinutukoy upang lumikha/gumamit ng Windows Sync Agreement

--cacert=/path/to/cacertfile
Buong path at filename ng CA certificate na gagamitin kasama ng TLS/SSL sa remote server -
ang CA certificate na ito ay mai-install sa certificate ng directory server
database

--win-subtree=cn=Users,dc=example,dc=com
DN ng Windows subtree na naglalaman ng mga user na gusto mong i-sync (default
cn=Mga Gumagamit, - ito ang karaniwang ginagamit ng Windows AD bilang default
value) - Mag-ingat sa pag-quote ng value na ito sa command line

--passsync=PASSSYNC_PWD
Password para sa IPA system user na ginagamit ng Windows PassSync plugin upang i-synchronize
mga password. Kinakailangan kapag gumagamit ng --winsync. Hindi ito nangangahulugan na kailangan mong gamitin ang
Serbisyo ng PassSync.

--mula sa=SERVER
Ang server kung saan kukunin ang data, na ginagamit ng muling pagsisimula at puwersang pag-sync
utos.

PAGBABAGO

Ginagamit ng IPA ang 389-ds Distributed Numeric Assignment (DNA) Plugin upang maglaan ng mga POSIX id para sa
mga gumagamit at grupo. Ang isang hanay ay nilikha kapag ang IPA ay naka-install at kalahati ng hanay ay itinalaga
sa unang master ng IPA para sa mga layunin ng paglalaan.

Ang mga bagong master ng IPA ay hindi awtomatikong nakakakuha ng pagtatalaga ng hanay ng DNA. Ang isang hanay ng pagtatalaga ay
tapos lang kapag may user o POSIX group na idinagdag sa master na iyon.

Sinusuportahan din ng plugin ng DNA ang isang "on-deck" o susunod na pagsasaayos ng hanay. Kapag ang primary
naubos na ang hanay, sa halip na pumunta sa ibang master para humingi ng higit pa, gagamitin nito
on-deck range kung isa ang tinukoy. Ang bawat master ay maaari lamang magkaroon ng isang range at isang on-deck range
tinukoy.

Kapag ang isang master ay tinanggal, isang pagtatangka na i-save ang (mga) hanay ng DNA nito sa isa pang master
sa hanay ng on-deck nito. Hindi susubukan ng IPA na palawigin o pagsamahin ang mga saklaw. Kung wala
available on-deck range slots pagkatapos ito ay iuulat sa user. Ang hanay ay epektibo
nawala maliban kung ito ay manu-manong pinagsama sa hanay ng isa pang master.

Ang hanay ng DNA at on-deck (susunod) na mga halaga ay maaaring pamahalaan gamit ang dnarange-set at
dnanextrange-set na mga utos. Ang mga patakaran para sa pamamahala ng mga saklaw na ito ay:
- Ang saklaw ay dapat na ganap na nakapaloob sa loob ng isang lokal na hanay gaya ng tinukoy ng ipa
utos ng idrange.

- Ang hanay ay hindi maaaring mag-overlap sa hanay ng DNA o hanay ng on-deck sa isa pang master ng IPA.

- Ang hanay ay hindi maaaring mag-overlap sa hanay ng ID ng isang AD Trust.

- Ang pangunahing hanay ng DNA ay hindi maaaring alisin.

- Maaaring alisin ang hanay ng on-deck sa pamamagitan ng pagtatakda nito sa 0-0. Ang palagay ay
na ang hanay ay manu-manong ililipat o isasama sa ibang lugar.

Ang saklaw at susunod na hanay ng isang partikular na master ay maaaring ipakita sa pamamagitan ng pagpasa sa FQDN ng iyon
master sa dnarange-show o dnanextrange-show na utos.

Ang pagsasagawa ng mga pagbabago sa hanay bilang isang itinalagang administrator (hal. hindi gumagamit ng Directory
Manager password) ay nangangailangan ng karagdagang 389-ds ACIs. Ang mga ito ay naka-install sa mga na-upgrade na master
ngunit hindi mga umiiral. Ang mga pagbabago ay ginawa sa cn=config na hindi ginagaya. Ang
Ang resulta ay ang mga hanay ng DNA ay hindi maaaring pamahalaan sa mga hindi na-upgrade na master bilang isang delegado
administrator.

HALIMBAWA

Ilista ang lahat ng mga master:
# ipa-replica-manage list
srv1.example.com
srv2.example.com
srv3.example.com
srv4.example.com

Maglista ng mga kasunduan sa pagtitiklop ng server.
# ipa-replica-manage list srv1.example.com
srv2.example.com
srv3.example.com

Muling simulan ang isang replika:
# ipa-replica-manage re-initialize --from srv2.example.com

Ito ay muling magsisimula ng data sa server kung saan mo ipapatupad ang utos,
pagkuha ng data mula sa srv2.example.com replica

Magdagdag ng bagong kasunduan sa pagtitiklop:
# ipa-replica-manage connect srv2.example.com srv4.example.com

Alisin ang isang umiiral nang kasunduan sa pagtitiklop:
# ipa-replica-manage disconnect srv1.example.com srv3.example.com

Ganap na alisin ang isang kopya:
# ipa-replica-manage del srv4.example.com

Gamit ang connect/disconnect maaari mong pamahalaan ang replication topology.

Ilista ang mga replication ID na ginagamit:
# ipa-replica-manage list-ruv
srv1.example.com:389: 7
srv2.example.com:389: 4

Alisin ang mga sanggunian sa isang naulila at tinanggal na master:
# ipa-replica-manage del --force --cleanup master.example.com

WINSYNC

Ang paggawa ng kasunduan sa Windows AD Synchronization ay katulad ng paggawa ng IPA replication
kasunduan, mayroon lamang ilang karagdagang hakbang.

Ang isang espesyal na entry ng gumagamit ay nilikha para sa serbisyo ng PassSync. Ang DN ng entry na ito ay
uid=passsync,cn=sysaccounts,cn=etc, . Hindi mo kailangang gamitin ang PassSync para gumamit ng a
Kasunduan sa pag-synchronize ng Windows ngunit kailangan ang pagtatakda ng password para sa user.

Ginagamit ng mga sumusunod na halimbawa ang AD administrator account bilang gumagamit ng synchronization. Ito
ay hindi sapilitan ngunit ang user ay dapat na may read-access sa subtree.

1. Ilipat ang base64-encoded Windows AD CA Certificate sa iyong IPA Server

2. Alisin ang anumang mga umiiral na kredensyal ng kerberos
# kdestroy

3. Idagdag ang winsync replication agreement
# ipa-replica-manage connect --winsync --passsync=
will_be_used_for_agreement> --cacert=/path/to/adscacert/WIN-CA.cer --binddn
"cn=administrator,cn=users,dc=ad,dc=example,dc=com" --bindpw
-v

Ipo-prompt kang ibigay ang password ng Directory Manager.

Gumawa ng winsync replication agreement:

# ipa-replica-manage connect --winsync --passsync=MySecret
--cacert=/root/WIN-CA.cer --binddn
"cn=administrator,cn=users,dc=ad,dc=example,dc=com" --bindpw MySecret -v
windows.ad.example.com

Mag-alis ng kasunduan sa pagtitiklop ng winsync:
# ipa-replica-manage disconnect windows.ad.example.com

PASSSYNC

Ang PassSync ay isang serbisyo ng Windows na tumatakbo sa AD Domain Controllers upang harangin ang password
mga pagbabago. Ipinapadala nito ang mga pagbabago sa password sa IPA LDAP server sa TLS. Ang mga password na ito
binago ang bypass sa normal na mga setting ng patakaran sa password ng IPA at hindi nakatakda ang password sa
expired agad. Ito ay dahil sa oras na matanggap ng IPA ang pagbabago ng password na mayroon ito
tinanggap na ni AD kaya huli na para tanggihan ito.

Ang IPA ay nagpapanatili ng isang listahan ng mga DN na hindi kasama sa patakaran sa password. May idinagdag na espesyal na user
awtomatikong kapag ang isang winsync replication agreement ay ginawa. Ang DN ng user na ito ay
idinagdag sa listahan ng exemption na nakaimbak sa passSyncManagersDNs sa entry
cn=ipa_pwd_extop,cn=plugins,cn=config.

EXIT STATUS

0 kung matagumpay ang utos

1 kung may naganap na error

Gumamit ng ipa-replica-manage online gamit ang mga serbisyo ng onworks.net