31.10. Utiliser Ansible pour s'assurer qu'un service est membre d'un rôle IdM RBAC

En tant qu'administrateur système gérant le contrôle d'accès basé sur les rôles (RBAC) dans la gestion des identités (IdM), vous pouvez vouloir vous assurer qu'un service spécifique inscrit dans l'IdM est membre d'un rôle particulier. L'exemple suivant décrit comment s'assurer que le rôle personnalisé web_administrator peut gérer le service HTTP qui s'exécute sur le serveur client01.idm.example.com.

Conditions préalables

  • Vous connaissez le mot de passe de l'administrateur IdM.

  • Vous avez configuré votre nœud de contrôle Ansible pour qu'il réponde aux exigences suivantes :

    • Vous utilisez la version 2.8 ou ultérieure d'Ansible.
    • Vous avez installé le paquetage ansible-freeipa sur le contrôleur Ansible.
    • L'exemple suppose que dans le répertoire ~/MyPlaybooks/ vous avez créé un fichier d'inventaire Ansible avec le nom de domaine complet (FQDN) du serveur IdM.
    • L'exemple suppose que le coffre-fort secret.yml Ansible stocke votre ipaadmin_password.
  • Le rôle web_administrator existe dans IdM.
  • Le service HTTP/client01.idm.example.com@IDM.EXAMPLE.COM existe dans IdM.

Procédure

  1. Naviguez jusqu'au répertoire ~/<MyPlaybooks>/ répertoire : 

    $ cd ~/<MyPlaybooks>/

  2. Faites une copie du fichier role-member-service-present.yml situé dans le répertoire /usr/share/doc/ansible-freeipa/playbooks/role/: 

    $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-member-service-present-absent.yml role-member-service-present-copy.yml
  3. Ouvrez le fichier role-member-service-present-copy.yml Ansible playbook pour l'éditer.

  4. Adaptez le fichier en définissant les variables suivantes dans la section iparole task :

    • Définissez la variable ipaadmin_password avec le mot de passe de l'administrateur IdM.
    • Définissez la variable name avec le nom du rôle que vous souhaitez attribuer.
    • Définissez la liste service avec le nom du service.
    • Fixer la variable action à member.

    Il s'agit du fichier playbook Ansible modifié pour l'exemple actuel : 

    ---
- name: Playbook to manage IPA role with members.
  hosts: ipaserver
  become: yes
  gather_facts: no

  vars_files:
  - /home/user_name/MyPlaybooks/secret.yml
  tasks:
  - iparole:
      ipaadmin_password: "{{ ipaadmin_password }}"
      name: web_administrator
      service:
      - HTTP/client01.idm.example.com
      action: member
  5. Enregistrer le fichier.

  6. Exécutez le playbook Ansible. Spécifiez le fichier du livre de jeu, le fichier contenant le mot de passe protégeant le fichier secret.yml et le fichier d'inventaire : 

    $ ansible-playbook --vault-password-file=password_file -v -i ~/<MyPlaybooks>/inventory role-member-service-present-copy.yml

Ressources supplémentaires