如何在 Ubuntu Server 18.04 上安装 FreeIPA 客户端

在此页

1. 先决条件
2. 我们会做什么？
3. 第 1 步 - 添加客户端 DNS 记录
4. 第 2 步 - 设置 DNS 解析器
5. 第 3 步 - 设置 FQDN
6. 第 4 步 - 安装 FreeIPA 客户端包
7. 第 5 步 - 设置自动创建主目录
8. 第 6 步 - 验证 FreeIPA 客户端安装
9. 第 7 步 - 测试 FreeIPA 客户端
10. 链接

FreeIPA 是由 RedHat 赞助的免费开源身份、策略和审计 (IPA) 套件。它是 Linux (Fedora)、389 Directory Server、MIT Kerberos、NTP、DNS Bind、Dogtag、Apache Web 服务器和 Python 的 IPA 解决方案组合。

在我们之前的指南中，我们已经向您展示了 FreeIPA 在 CentOS 7 服务器上的安装和配置。但是，本指南将向您展示 FreeIPA 客户端的安装和配置。

目前，FreeIPA 有 CentOS 7、Fedora 和 Ubuntu 的客户端包。对于本指南，我们将在 Ubuntu 18.04 Bionic Beaver 服务器上安装和配置 FreeIPA 客户端。

先决条件

• 安装了 FreeIPA 服务器的服务器。
• Ubuntu 18.04 仿生海狸
• 根权限

我们将要做什么？

1. 添加客户端 DNS 记录
2. 设置客户端 DNS 解析器
3. 设置 FQDN
4. 在 Ubuntu 18.04 上安装 FreeIPA 客户端
5. 启用自动创建主目录
6. 验证 FreeIPA 客户端安装
7. 测试

第 1 步 - 添加客户端 DNS 记录

首先，我们需要将客户端主机的DNS记录添加到FreeIPA服务器中。

使用以下命令登录到 FreeIPA 服务器并向 Kerberos 管理员进行身份验证。

kinit admin
 TYPE YOUR PASSWORD

之后，将客户端主机的DNS记录添加到FreeIPA服务器。

ipa dnsrecord-add hakase-labs.io client1 --a-rec 10.9.9.16

第 2 步 - 设置 DNS 解析器

为了使用 DNS 自动发现设置配置客户端，我们需要编辑客户端 DNS 解析器以使用 FreeIPA 服务器 IP 地址作为名称服务器。

编辑 /etc/resolv.conf 文件。

vim /etc/resolv.conf

将域名和IP地址替换成自己的FreeIPA服务器，粘贴进去。

search hakase-labs.io
nameserver 10.9.9.15

第 3 步 - 设置 FQDN

配置完DNS解析器后，我们需要配置客户端主机的FQDN（Fully Qualified Domain Name）。然后将FreeIPA服务器IP地址和域名添加到/etc/hosts文件中。

通过运行以下命令更改客户端的 FQDN。

hostnamectl set-hostname client1.hakase-labs.io

接下来，使用 vim 编辑器编辑 /etc/hosts 文件。

vim /etc/hosts

在配置中进行以下更改并粘贴到其中。

10.9.9.15   ipa.hakase-labs.io  ipa
10.9.9.16   client1.hakase-labs.io client1

保存并关闭，然后键入 exit 命令从服务器注销。

现在再次登录到服务器并使用以下命令验证 FQDN。

hostname -f

第 4 步 - 安装 FreeIPA 客户端包

默认情况下，Ubuntu 在其自己的存储库中提供 FreeIPA 客户端包。因此，我们只需在下面运行以下命令即可安装 FreeIPA 客户端包。

sudo apt-get install freeipa-client oddjob-mkhomedir -y

之后，运行下面的FreeIPA客户端命令安装。

ipa-client-install --mkhomedir --no-ntp

键入 yes 以使用从 DNS 自动发现生成的配置文件值应用系统更改。安装完成后，您将得到如 The ipa-client-install command was successful 的结果。

此外：

• 如果自动发现主机失败，请确保 FreeIPA 服务器的 DNS 位于 /etc/resolv.conf 文件的第一行，并确保服务器上的 DNS 端口 53 已打开。
• 如果在加入 FreeIPA 服务器的过程中出现错误，您可以使用 --force-join 选项。

第 5 步 - 设置自动创建主目录

在 Ubuntu 服务器上，为每个用户自动创建的主目录一开始是行不通的。即使是使用 --mkhomedir 选项的 ipa 客户端安装。

为了让这个东西在 Ubuntu 服务器上运行，我们需要安装额外的包并添加额外的 PAM（可插入身份验证模块）配置。

额外的包已经安装在顶部，所以我们只需要创建一个新的 PAM 配置。

通过运行以下命令添加新的 PAM 配置以自动创建主目录。

cat > /usr/share/pam-configs/mkhomedir <<EOF
 Name: create home directory FreeIPA
 Default: yes
 Priority: 900
 Session-Type: Additional
 Session:
 required pam_mkhomedir.so umask=0022 skel=/etc/skel
 EOF

之后，应用新的 PAM 配置。

sudo pam-auth-update

现在所有使用 FreeIPA 用户登录到客户端主机的用户都将自动创建主目录。

第 6 步 - 验证 FreeIPA 客户端安装

在 FreeIPA 客户端安装和配置之后，我们要通过从 FreeIPA 服务器检查客户端主机来进行验证。

在 FreeIPA 服务器上运行以下命令。

ipa host-show client1.hakase-labs.io

使用您自己的信息更改主机的名称，您将看到您的主机信息。

此外，我们想从 FreeIPA web-UI 仪表板再次检查。

登录到 FreeIPA 仪表板，单击“主机”选项卡。您将看到自己的主机信息。

第 7 步 - 测试 FreeIPA 客户端

对于这个例子，我们想通过在 FreeIPA 服务器上创建一个新用户来测试 FreeIPA 客户端安装。

运行以下命令以创建新用户。

ipa user-add misaka  --first=misaka --last=mikoto   --shell=/bin/bash --password

之后，尝试从 FreeIPA 服务器通过 SSH 登录客户端主机。

ssh 

最后，您将使用最近创建的 FreeIPA 用户登录到客户端。

链接

• https://www.freeipa.org/page/Documentation