История страницы

Сценарий применения:

1. Первый

1. контролер домена FreeIPA инициализируется с помощью инструмента astra-freeipa-server с использованием автоматического выпуска самоподписанного корневого сертификата.
   При этом в каталоге /etc/ssl/freeipa автоматически создаются файлы:
   1. /etc/ssl/freeipa/ca.key - закрытый ключ удостоверяющего центра;
   2. /etc/ssl/freeipa/ca.crt - сертификат закрытого ключа удостоверяющего центра;
   3. /etc/ssl/freeipa/server.key - закрытый ключ сервера;
   4. /etc/ssl/freeipa/server.crt - сертификат закрытого ключа сервера; 
      
      

2. Для выпуска сертификатов следующих

1. устанавливаемых контроллеров-реплик

1. используется инструмент astra-freeipa-server-ctr. Пример команды:

   Command
   astra-freeipa-server-ctr --host replica1.ipadomain.

1. ru --export --push localadm@192.168.32.1 --pin 12345

   где:
   --host - полное доменное имя нового сервера:
   --export - указание выгрузить контейнер закрытого ключа и сертификата

1. в формате pksc12;
   --push - указание скопировать контейнер pkcs12 на сервер, где будет выполняться установка, в домашний каталог пользователя localadm (в общем случае это пользователь-администратор, заданный при установке системы) в файл с именем replica1.ipadomain.ru.p12;
   --pin - пароль к созданному контейнеру

1. ;
   
   

2. Пользователь-администратор на сервере-реплике выполняет настройки параметров хоста (IP-адрес, адрес сервера DNS, hostname) и установку пакетов;
   
   

3. Установка FreeIPA на сервере-реплике выполняется

1. пользователем-администратором, из его домашнего каталога, в который на предыдушем шаге скопирован контейнер pksc12. Команда:

   Command
   astra-freeipa-replica -a replica1.ipadomain.ru.p12 --pin 12345

   
   
   

2. По мере необходимости (напр. истечение срока действия сертификатов) обновление сертификатов выполняется командой:

   Command
   astra-freeipa-server-ctr --host replica1.ipadomain.ru --push admin

   
   где
   --host - полное доменное имя сервера-реплики;
   --push - указание автоматически установить выпущенный сертификат на сервере реплике, действуя от имени пользователя admin