freeipa热备配置过程

注：参考了http://my.oschina.net/u/142602/blog/186481 

先在原ipaserver上执行如下命令

kinit admin
ipa-replica-prepare ipa2.xxx.com
scp /var/lib/ipa/replica-info-ipa2.xxx.com.gpg  [email protected]:/root
           

在热备主机上（这里为ipa2）执行

yum  install ipa-server bind-dyndb-ldap -y
ipa-replica-install    replica-info-ipa2.xxx.com.gpg  --skip-conncheck
           

原文提到关闭防火墙，这里不建议这么做，完全开放端口很不安全，为了避免端口不通带来不必要的问题，可以在内网无限制，对外无需开放任何端口

执行

ipa-replica-manage list
           

发现有两台master了，到这里热备服务器的配置其实就完成了

接下来还需要更改客户端的配置，编辑/etc/krb5.conf文件，找到如下位置

[realms]
  xxx.com = {
    kdc = ipa.xxx.com:88
    master_kdc = ipa.xxx.com:88
    admin_server = ipa.xxx.com:749
    default_domain = xxx.com
    pkinit_anchors = FILE:/etc/ipa/ca.crt
  }
           

改为

[realms]
  YMT.IO = {
    kdc = ipa.xxx.com:88
    kdc = ipa2.xxx.com:88
    master_kdc = ipa.xxx.com:88
    master_kdc = ipa2.xxx.com:88
    admin_server = ipa.xxx.com:749
    admin_server = ipa2.xxx.com:749
    default_domain = xxx.com
    pkinit_anchors = FILE:/etc/ipa/ca.crt
  }
           

更改后我们测试一下，原文说down掉原ipaserver试下，其实不需要这样，因为客户端都是以域名通信的，更改下/etc/hosts，将ipa.xxx.com指向一个不存在的ip就可以模拟挂掉的情况了

这里我测试正常，done

--------------------------------------20170417更新------------------------------------

今天测试发现4.4.0版本的freeipa热备方法有些区别，记录一下，先在热备机器上安装freeipa客户端（系统为centos），然后执行

yum  install ipa-server  -y

安装后在热备主机上执行ipa-replica-install --setup-ca命令即可（执行前service dbus status看下dbus服务的状态，如果状态异常会安装失败）