freeipa热备配置过程

注：参考了http://my.oschina.net/u/142602/blog/186481 

先在原ipaserver上执行如下命令

 

kinit admin
ipa-replica-prepare ipa2.xxx.com
scp /var/lib/ipa/replica-info-ipa2.xxx.com.gpg  root@ipa2.xxx.com:/root

在热备主机上（这里为ipa2）执行

 

 

yum  install ipa-server bind-dyndb-ldap -y
ipa-replica-install    replica-info-ipa2.xxx.com.gpg  --skip-conncheck

原文提到关闭防火墙，这里不建议这么做，完全开放端口很不安全，为了避免端口不通带来不必要的问题，可以在内网无限制，对外无需开放任何端口

 

执行

ipa-replica-manage list

 

发现有两台master了，到这里热备服务器的配置其实就完成了

接下来还需要更改客户端的配置，编辑/etc/krb5.conf文件，找到如下位置

 

[realms]
  xxx.com = {
    kdc = ipa.xxx.com:88
    master_kdc = ipa.xxx.com:88
    admin_server = ipa.xxx.com:749
    default_domain = xxx.com
    pkinit_anchors = FILE:/etc/ipa/ca.crt
  }

改为

 

 

[realms]
  YMT.IO = {
    kdc = ipa.xxx.com:88
    kdc = ipa2.xxx.com:88
    master_kdc = ipa.xxx.com:88
    master_kdc = ipa2.xxx.com:88
    admin_server = ipa.xxx.com:749
    admin_server = ipa2.xxx.com:749
    default_domain = xxx.com
    pkinit_anchors = FILE:/etc/ipa/ca.crt
  }

更改后我们测试一下，原文说down掉原ipaserver试下，其实不需要这样，因为客户端都是以域名通信的，更改下/etc/hosts，将ipa.xxx.com指向一个不存在的ip就可以模拟挂掉的情况了

 

这里我测试正常，done

 

--------------------------------------20170417更新------------------------------------

今天测试发现4.4.0版本的freeipa热备方法有些区别，记录一下，先在热备机器上安装freeipa客户端（系统为centos），然后执行

yum  install ipa-server  -y

安装后在热备主机上执行ipa-replica-install --setup-ca命令即可（执行前service dbus status看下dbus服务的状态，如果状态异常会安装失败）