Procédure

1. Configurez trois répliques ou plus pour fournir des services de CA.

   1. Pour installer une nouvelle réplique avec les services CA, exécutez ipa-replica-install avec l'option --setup-ca.

      [root@server ~]# ipa-replica-install --setup-ca

   2. Pour installer les services CA sur une réplique préexistante, exécutez ipa-ca-install.

      [root@replica ~]# ipa-ca-install

2. Créez des accords de réplication CA entre vos répliques CA.

   [root@careplica1 ~]# ipa topologysegment-add
   Suffix name: ca
   Left node: ca-replica1.example.com
   Right node: ca-replica2.example.com
   Segment name [ca-replica1.example.com-to-ca-replica2.example.com]: new_segment
   ---------------------------
   Added segment "new_segment"
   ---------------------------
     Segment name: new_segment
     Left node: ca-replica1.example.com
     Right node: ca-replica2.example.com
     Connectivity: both

Procédure

1. Installer et configurer l'utilitaire pinentry.

   [root@server ~]# dnf install pinentry
   [root@server ~]# mkdir ~/.gnupg -m 700
   [root@server ~]# echo "pinentry-program /usr/bin/pinentry-curses" >> ~/.gnupg/gpg-agent.conf

2. Créez un fichier key-input utilisé pour générer une paire de clés GPG avec les détails de votre choix. Par exemple :

   [root@server ~]# cat >key-input <<EOF
   %echo Generating a standard key
   Key-Type: RSA
   Key-Length: 2048
   Name-Real: GPG User
   Name-Comment: first key
   Name-Email: root@example.com
   Expire-Date: 0
   %commit
   %echo Finished creating standard key
   EOF

3. (Optional) Par défaut, GPG2 stocke son trousseau de clés dans le fichier ~/.gnupg. Pour utiliser un emplacement de trousseau personnalisé, définissez la variable d'environnement GNUPGHOME dans un répertoire accessible uniquement par root.

   [root@server ~]# export GNUPGHOME=/root/backup
   
   [root@server ~]# mkdir -p $GNUPGHOME -m 700

4. Générer une nouvelle clé GPG2 basée sur le contenu du fichier key-input.

   [root@server ~]# gpg2 --batch --gen-key key-input

5. Saisissez une phrase de passe pour protéger la clé GPG2. Cette phrase d'authentification permet d'accéder à la clé privée pour le décryptage.

   ┌──────────────────────────────────────────────────────┐
   │ Please enter the passphrase to                       │
   │ protect your new key                                 │
   │                                                      │
   │ Passphrase: <passphrase>                             │
   │                                                      │
   │	 <OK>                             <Cancel>         │
   └──────────────────────────────────────────────────────┘

6. Confirmez la phrase d'authentification correcte en la saisissant à nouveau.

   ┌──────────────────────────────────────────────────────┐
   │ Please re-enter this passphrase                      │
   │                                                      │
   │ Passphrase: <passphrase>                             │
   │                                                      │
   │	 <OK>                             <Cancel>         │
   └──────────────────────────────────────────────────────┘

7. Vérifiez que la nouvelle clé GPG2 a été créée avec succès.

   gpg: keybox '/root/backup/pubring.kbx' created
   gpg: Generating a standard key
   gpg: /root/backup/trustdb.gpg: trustdb created
   gpg: key BF28FFA302EF4557 marked as ultimately trusted
   gpg: directory '/root/backup/openpgp-revocs.d' created
   gpg: revocation certificate stored as '/root/backup/openpgp-revocs.d/8F6FCF10C80359D5A05AED67BF28FFA302EF4557.rev'
   gpg: Finished creating standard key

Procédure

1. Créez un répertoire pour votre configuration Ansible et vos playbooks dans votre répertoire personnel :

   $ mkdir ~/MyPlaybooks/

2. Allez dans le répertoire ~/MyPlaybooks/:

   $ cd ~/MyPlaybooks

3. Créez le fichier ~/MyPlaybooks/ansible.cfg avec le contenu suivant :

   [defaults]
   inventory = /home/your_username/MyPlaybooks/inventory
   
   [privilege_escalation]
   become=True

4. Créez le fichier ~/MyPlaybooks/inventory avec le contenu suivant :

   [ipaserver]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   
   [ipacluster:children]
   ipaserver
   ipareplicas
   
   [ipacluster:vars]
   ipaadmin_password=SomeADMINpassword
   
   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword

   Cette configuration définit deux groupes d'hôtes, eu et us, pour les hôtes de ces sites. En outre, cette configuration définit le groupe d'hôtes ipaserver, qui contient tous les hôtes des groupes eu et us.

5. [Facultatif] Créez une clé publique et une clé privée SSH. Pour simplifier l'accès dans votre environnement de test, ne définissez pas de mot de passe pour la clé privée :

   $ ssh-keygen

6. Copiez la clé publique SSH dans le compte IdM admin sur chaque nœud géré :

   $ ssh-copy-id admin@server.idm.example.com
   $ ssh-copy-id admin@replica.idm.example.com

   Vous devez saisir le mot de passe IdM admin lorsque vous entrez dans ces commandes.

Procédure

1. Naviguez jusqu'au répertoire ~/MyPlaybooks/:

   $ cd ~/MyPlaybooks/

2. Faites une copie du fichier backup-server.yml situé dans le répertoire /usr/share/doc/ansible-freeipa/playbooks:

   $ cp /usr/share/doc/ansible-freeipa/playbooks/backup-server.yml backup-my-server.yml

3. Ouvrez le fichier backup-my-server.yml Ansible playbook pour l'éditer.

4. Adaptez le fichier en fixant la variable hosts à un groupe d'hôtes de votre fichier d'inventaire. Dans cet exemple, il s'agit du groupe d'hôtes ipaserver:

   ---
   - name: Playbook to backup IPA server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipabackup
       state: present

5. Enregistrer le fichier.

6. Exécutez le playbook Ansible, en spécifiant le fichier d'inventaire et le fichier du playbook :

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory backup-my-server.yml

Verification steps

1. Connectez-vous au serveur IdM que vous avez sauvegardé.

2. Vérifiez que la sauvegarde se trouve dans le répertoire /var/lib/ipa/backup.

   [root@server ~]# ls /var/lib/ipa/backup/
   ipa-full-2021-04-30-13-12-00

Procédure

1. Pour stocker les sauvegardes, créez un sous-répertoire dans votre répertoire personnel sur le contrôleur Ansible.

   $ mkdir ~/ipabackups

2. Naviguez jusqu'au répertoire ~/MyPlaybooks/:

   $ cd ~/MyPlaybooks/

3. Faites une copie du fichier backup-server-to-controller.yml situé dans le répertoire /usr/share/doc/ansible-freeipa/playbooks:

   $ cp /usr/share/doc/ansible-freeipa/playbooks/backup-server-to-controller.yml backup-my-server-to-my-controller.yml

4. Ouvrez le fichier backup-my-server-to-my-controller.yml pour le modifier.

5. Adaptez le fichier en définissant les variables suivantes :

   1. Définissez la variable hosts sur un groupe d'hôtes de votre fichier d'inventaire. Dans cet exemple, il s'agit du groupe d'hôtes ipaserver.

   2. (Optional) Pour conserver une copie de la sauvegarde sur le serveur IdM, décommentez la ligne suivante :

       # ipabackup_keep_on_server: yes

6. Par défaut, les sauvegardes sont stockées dans le répertoire de travail actuel du contrôleur Ansible. Pour spécifier le répertoire de sauvegarde que vous avez créé à l'étape 1, ajoutez la variable ipabackup_controller_path et définissez-la sur le répertoire /home/user/ipabackups.

   ---
   - name: Playbook to backup IPA server to controller
     hosts: ipaserver
     become: true
     vars:
       ipabackup_to_controller: yes
       # ipabackup_keep_on_server: yes
       ipabackup_controller_path: /home/user/ipabackups
   
     roles:
     - role: ipabackup
       state: present

7. Enregistrer le fichier.

8. Exécutez le playbook Ansible, en spécifiant le fichier d'inventaire et le fichier du playbook :

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory backup-my-server-to-my-controller.yml

Procédure

1. Pour stocker les sauvegardes, créez un sous-répertoire dans votre répertoire personnel sur le contrôleur Ansible.

   $ mkdir ~/ipabackups

2. Naviguez jusqu'au répertoire ~/MyPlaybooks/:

   $ cd ~/MyPlaybooks/

3. Faites une copie du fichier copy-backup-from-server.yml situé dans le répertoire /usr/share/doc/ansible-freeipa/playbooks:

   $ cp /usr/share/doc/ansible-freeipa/playbooks/copy-backup-from-server.yml copy-backup-from-my-server-to-my-controller.yml

4. Ouvrez le fichier copy-my-backup-from-my-server-to-my-controller.yml pour le modifier.

5. Adaptez le fichier en définissant les variables suivantes :

   1. Définissez la variable hosts sur un groupe d'hôtes de votre fichier d'inventaire. Dans cet exemple, il s'agit du groupe d'hôtes ipaserver.
   2. Définissez la variable ipabackup_name avec le nom de ipabackup sur votre serveur IdM à copier dans votre contrôleur Ansible.

   3. Par défaut, les sauvegardes sont stockées dans le répertoire de travail actuel du contrôleur Ansible. Pour spécifier le répertoire que vous avez créé à l'étape 1, ajoutez la variable ipabackup_controller_path et définissez-la sur le répertoire /home/user/ipabackups.

      ---
      - name: Playbook to copy backup from IPA server
        hosts: ipaserver
        become: true
        vars:
          ipabackup_name: ipa-full-2021-04-30-13-12-00
          ipabackup_to_controller: yes
          ipabackup_controller_path: /home/user/ipabackups
      
        roles:
        - role: ipabackup
          state: present

6. Enregistrer le fichier.

7. Exécutez le playbook Ansible, en spécifiant le fichier d'inventaire et le fichier du playbook :

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory copy-backup-from-my-server-to-my-controller.yml

Procédure

1. Naviguez jusqu'au répertoire ~/MyPlaybooks/:

   $ cd ~/MyPlaybooks/

2. Faites une copie du fichier copy-backup-from-controller.yml situé dans le répertoire /usr/share/doc/ansible-freeipa/playbooks:

   $ cp /usr/share/doc/ansible-freeipa/playbooks/copy-backup-from-controller.yml copy-backup-from-my-controller-to-my-server.yml

3. Ouvrez le fichier copy-my-backup-from-my-controller-to-my-server.yml pour le modifier.

4. Adaptez le fichier en définissant les variables suivantes :

   1. Définissez la variable hosts sur un groupe d'hôtes de votre fichier d'inventaire. Dans cet exemple, il s'agit du groupe d'hôtes ipaserver.

   2. Définissez la variable ipabackup_name avec le nom de ipabackup sur votre contrôleur Ansible à copier sur le serveur IdM.

      ---
      - name: Playbook to copy a backup from controller to the IPA server
        hosts: ipaserver
        become: true
      
        vars:
          ipabackup_name: server.idm.example.com_ipa-full-2021-04-30-13-12-00
          ipabackup_from_controller: yes
      
        roles:
        - role: ipabackup
          state: copied

5. Enregistrer le fichier.

6. Exécutez le playbook Ansible, en spécifiant le fichier d'inventaire et le fichier du playbook :

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory copy-backup-from-my-controller-to-my-server.yml

Procédure

1. Naviguez jusqu'au répertoire ~/MyPlaybooks/ :

   $ cd ~/MyPlaybooks/

2. Faites une copie du fichier remove-backup-from-server.yml situé dans le répertoire /usr/share/doc/ansible-freeipa/playbooks:

   $ cp /usr/share/doc/ansible-freeipa/playbooks/remove-backup-from-server.yml remove-backup-from-my-server.yml

3. Ouvrez le fichier remove-backup-from-my-server.yml pour le modifier.

4. Adaptez le fichier en définissant les variables suivantes :

   1. Définissez la variable hosts sur un groupe d'hôtes de votre fichier d'inventaire. Dans cet exemple, il s'agit du groupe d'hôtes ipaserver.

   2. Attribuez à la variable ipabackup_name le nom du site ipabackup à supprimer de votre serveur IdM.

      ---
      - name: Playbook to remove backup from IPA server
        hosts: ipaserver
        become: true
      
        vars:
          ipabackup_name: ipa-full-2021-04-30-13-12-00
      
        roles:
        - role: ipabackup
          state: absent

5. Enregistrer le fichier.

6. Exécutez le playbook Ansible, en spécifiant le fichier d'inventaire et le fichier du playbook :

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory remove-backup-from-my-server.yml