常见问题

按症状定位原因，分安装、登录、AD 信任、许可、客户端、复制六组。多数问题出在 DNS 或时间。

本页面向排查 IDMatrix 故障的管理员。每条以症状开头，给出原因和处理。多数问题出在 DNS 或时间，先执行下面三条命令：

sudo ipactl status                                  # 哪个服务没有启动
chronyc tracking                                    # 时间偏移
getent hosts $(hostname -f); dig +short -x <本机IP>  # 正反解

安装

症状	原因	处理
`ipa-server-install` 报主机名不可解析或 loopback	`IPA_HOSTNAME` 没有正反解，或 `/etc/hosts` 把它写在 `127.0.0.1` 或 `::1` 行	修正 DNS 或 `/etc/hosts` 指向真实 IP；`nsswitch.conf` 去掉 `myhostname`
DNS 转发器校验失败	`IPA_FORWARDERS` 不可达，或保留了 `IPA_AUTO_FORWARDERS=true` 读到 `resolv.conf` 的坏地址	三种布局选一种，见快速开始
时间相关任务 `FAILED`	裸机 `IPA_NO_NTP=true` 且没有外部对时	设置 `IPA_NO_NTP=false`
`setup_dns` 子参数被拒绝	`IPA_SETUP_DNS=false` 时又传了 DNS 子选项	使用交付包里的 `render-inventory.sh`，它自动中和这些选项
collections 版本不匹配	控制节点 ansible-core 与打包时不同	使用包内 `collections/`，在该目录内执行 `ansible-galaxy collection install -r requirements.yml`
ansible ping 不通	ssh 用户没有 `NOPASSWD` sudo，或私钥错误	用 `ansible -i deploy/inventory.generated.yml all -m ping` 单独测试
重跑 playbook 在 `ipa-server-install` 卡住	上次失败没有清理	先执行 `ipa-server-install --uninstall -U`，见部署
装到 `configuring mod_ssl` 报 `ssl.conf` 不存在	目标机缺 `mod_ssl`	`dnf install mod_ssl`，包内 RPM 仓有该包
装到 httpd keytab 或 pkispawn 报目录不存在	目标机不干净，`/var/lib/ipa/gssproxy`、`/var/log/pki` 等被删过	`rpm -Va --nofiledigest \| grep ^missing` 全盘检查，`dnf reinstall` 对应的包
验收第 5 条（未激活时的写操作）没有被拒绝	许可闸门未生效	重跑 playbook 部署许可层，确认 `status.json` 可读。仍未拒绝则不要交付，联系 Reallysec

登录与管理台

症状	原因	处理
浏览器提示证书不受信任	出厂使用 IPA 内置 CA	属正常。把 `/etc/ipa/ca.crt` 导入浏览器信任库，或换成客户 CA 的证书
`ERR_CERT_AUTHORITY_INVALID` 且无法继续	用 IP 访问	使用 FQDN
管理台打不开	443 没有放行或被占用	`ss -lntp \| grep :443`；在 firewalld 放行
`kinit admin` 报 `Clock skew too great`	时差超过 5 分钟	对时
登录后每个写操作都返回 403	未激活，或该模块不在许可内	查看 `status.json` 的 `valid` 和 `mods`
某个导航组不见了	许可不含该模块	同上，与缓存无关
经典界面可用、新管理台空白	`dist/` 没有部署或路径不对	确认 `IDM_WEBUI_DIST_DST` 下有 `index.html`，`ipa.conf` 有 `/ipa/modern-ui` 别名

AD 信任

症状	原因	处理
`trust-add` 找不到 AD 域	没有建转发区	`ipa dnsforwardzone-add <AD域> --forwarder <AD DNS> --skip-overlap-check`
`WERR_CONNECTION_REFUSED`	使用了双向信任	改单向：`--range-type=ipa-ad-trust`，不加 `--two-way`
`KRB5KDC_ERR_SKEW`	与域控时差超过 5 分钟	使用同一 NTP 源
信任已建立，`id <AD用户>@<AD域>` 无返回	sssd 没有取到，或 winbind 没有运行	`ipactl status` 查看 smb 和 winbind；执行 `sss_cache -E`
AD 用户 `id` 正常但 ssh 被拒绝	HBAC 没有放行	`ipa hbactest --user <AD用户>@<AD域> --host <主机> --service sshd`
管理台没有 Trusts	许可不含 AD 域信任模块	需要企业版

更多见 AD 信任前置。

许可

症状	原因	处理
红色横幅显示未激活	出厂态，没有上传 `.lic`	在 License Activation 页取指纹，上传 `.lic`
横幅显示未授权在此服务器	指纹不符：换机、重装、克隆、`machine-id` 变化	用新指纹重签
上传返回 `许可证文件为空或过大`	`curl --data-binary @` 路径不对	使用绝对路径
`status.json` 里 `degraded: true`	见 `reason`：过期、超主机数、吊销、指纹不符	按原因处理
`ipa host-add` 报错	受管主机数达到上限	`ipa host-find --sizelimit=0 \| tail -1` 查看数量；扩容重签
httpd 日志找不到 `LicenseModuleLocked`	闸门拒绝时不写日志	只看 `status.json`
修改 `idmatrix-license.service` 的 env 不生效	缺少 `daemon-reload` 和 `systemctl start`	执行两者；timer 一天只跑一次

客户端

症状	原因	处理
`ipa-client-install` 报 `Failed to upload host SSH public keys`	1.0.2 之前的许可闸门把主机公钥算入 ssh-keys 模块	升级到 1.0.2；已注册的主机执行 `ipa host-mod <FQDN> --sshpubkey="$(cat /etc/ssh/ssh_host_ed25519_key.pub)"` 补录
客户端用户登录慢或超时	sssd 找不到 KDC，DNS SRV 不通	在客户端执行 `dig +short _kerberos._tcp.<域> SRV`
首次登录没有家目录	客户端没有开启 mkhomedir	`authselect enable-feature with-mkhomedir`，启动 oddjobd
sudo 规则不生效	sssd 缓存	`sss_cache -E`；用 `sudo -l` 查看拿到的规则

复制（多 master）

症状	原因	处理
`Invalid credentials (49)`，DS 日志 `gss_accept_sec_context`	新主机缺 `/etc/krb5.conf.d/crypto-policies`，KDC 签发 camellia 票据	见添加第二台
`topologysegment` 是 `both` 但 `user-add` 不同步	RUV 里有僵尸 replica id	`dsconf ... cleanallruv --replica-id <id>`
replica 安装报 `CA_UNREACHABLE`	第一台的许可缺证书签发模块（1.0.2 前）	升级或重签

联系支持

联系 Reallysec 前收集以下输出：

sudo ipactl status
cat /var/lib/idmatrix-license/status.json
sudo ipa-healthcheck --failures-only
sudo tail -100 /var/log/ipaserver-install.log      # 安装问题
sudo tail -100 /var/log/dirsrv/slapd-<REALM>/errors  # 复制问题

安装

登录与管理台

AD 信任

许可

客户端

复制（多 master）

联系支持

本页内容