13.6. ユーザーおよびホストの自動グループメンバーシップの定義
13.6.1. IdM での自動グループメンバーシップの機能方法
13.6.1.1. 自動グループメンバーシップとは
- 従業員のマネージャー、場所またはその他の属性をもとに従業員のユーザーエントリーを複数のグループに分割することができます。
- クラス、場所、またはその他の属性をもとにホストを分割できます。
- 全ユーザーまたは全ホストを単一のグローバグループに追加できます。
13.6.1.2. 自動グループメンバーシップの利点
- グループメンバーシップの手動管理によるオーバーヘッドの削減
- 自動グループメンバーシップでは、管理者はユーザーとホストをグループに手動で割り当てる必要がありません。
- ユーザーおよびホスト管理での一貫性向上
- 自動グループメンバーシップでは、厳密に定義され、自動評価された基準をもとに、ユーザーおよびホストが割り当てられます。
- グループベースの設定管理の容易化
- 様々な設定がグループに定義されており、
sudo
ルール、automount
、またはアクセス制御など、個別のグループメンバーに適用されます。自動グループメンバーを使用する場合には、ユーザーおよびホストは自動的に特定のグループに追加され、グループベースの設定の管理が簡素化されます。
13.6.1.3. Automember ルール
- 包含条件
- ユーザーまたはホストのエントリーが包含ルールを満たす場合には、グループに含まれます。
- 除外の条件
- ユーザーまたはホストのエントリーが除外の条件を満たす場合にはグループに追加 されません。
13.6.2. automember ルールの追加
- IdM web UI を使用する場合は「Web UI: Automember ルールの追加」を参照してください。
- コマンドラインを使用する場合は「コマンドライン: Automember ルールの追加」を参照してください。
- 今後作成されるエントリーはすべて、指定したグループに所属します。エントリーが複数の automember ルールで指定した条件を満たす場合には、該当するすべてのグループに追加されます。
- 既存のエントリーは、指定のグループのメンバーには追加されません。詳しい情報は、「automember ルールの既存のユーザーおよびホストへの適用」を参照してください。
Web UI: Automember ルールの追加
- Automember rule フィールで、ルールを適用するグループを選択します。 をクリックします。
- 包含および除外条件を 1 つ以上定義します。詳細は「Automember ルール」を参照してください。
- Inclusive または Exclusive セクションで をクリックします。
- Attribute フィールドで、必要な属性を選択します。
- Expression フィールドで、正規表現を定義します。
たとえば、以下の条件は、ユーザーログインの属性 (uid
) のすべての値 (.*
) を対象としています。図13.5 Automember ルール条件の追加
コマンドライン: Automember ルールの追加
ipa automember-add
コマンドを使用して、automember ルールを追加します。プロンプトが表示されたら、以下を指定します。- 対象のグループ名と一致する
Automember rule
- ルールの対象がユーザーグループか、ホストグループかを指定する
Grouping Type
。ユーザーグループを対象とするにはgroup
、ホストグループを対象とする場合はhostgroup
を入力してください。
たとえばuser_group
という名前のユーザーグループの automember ルールを追加するには以下を実行します。$ ipa automember-add
Automember Rule:user_group
Grouping Type:group
-------------------------------- Added automember rule "user_group" -------------------------------- Automember Rule: user_group- 包含および除外条件を 1 つ以上定義します。詳細は「Automember ルール」を参照してください。
- 条件を追加するには
ipa automember-add-condition
コマンドを使用します。プロンプトが表示されたら、以下を指定します。- 対象のグループ名と一致する
Automember rule
- フィルターを適用するエントリー属性を指定する
Attribute Key
。たとえば、ユーザーのmanager
などです。 - ルールの対象がユーザーグループか、ホストグループかを指定する
Grouping Type
。ユーザーグループを対象とするにはgroup
、ホストグループを対象とする場合はhostgroup
を入力してください。 - 正規表現として 1 つまたは複数の条件を指定する
Inclusive regex
およびExclusive regex
。条件を 1 つだけ指定する場合は、他の条件を指定するようにプロンプトが表示されたら、Enter を押してください。
たとえば、以下の条件は、ユーザーログインの属性 (uid
) のすべての値 (.*
) を対象としています。$ ipa automember-add-condition
Automember Rule:user_group
Attribute Key:uid
Grouping Type:group
[Inclusive Regex]:.*
[Exclusive Regex]: ---------------------------------- Added condition(s) to "user_group" ---------------------------------- Automember Rule: user_group Inclusive Regex: uid=.* ---------------------------- Number of conditions added 1 ---------------------------- - 条件を削除するには
ipa automember-remove-condition
コマンドを使用します。
例13.5 コマンドライン: 単一のグループに全エントリーを追加する Automember ルールの作成
cn
または fqdn
など、全ユーザーまたはホストエントリーが含む属性の包含条件を作成すると、今後作成されるユーザーまたはホストのすべてが単一のグループに追加されるようになります。
all_hosts
当名前のホストグループなど、グループを作成します。「ユーザーまたはホストグループの追加および削除」を参照してください。- 以下のように、新規ホストグループの automember ルールを追加します。
$ ipa automember-add
Automember Rule:all_hosts
Grouping Type:hostgroup
------------------------------------- Added automember rule "all_hosts" ------------------------------------- Automember Rule: all_hosts - 全ホストを対象とする包含条件を追加します。以下の例では、包含条件は
fqdn
属性に含まれるホストすべて (.*
) を対象としています。$ ipa automember-add-condition
Automember Rule:all_hosts
Attribute Key:fqdn
Grouping Type:hostgroup
[Inclusive Regex]:.*
[Exclusive Regex]: --------------------------------- Added condition(s) to "all_hosts" --------------------------------- Automember Rule: all_hosts Inclusive Regex: fqdn=.* ---------------------------- Number of conditions added 1 ----------------------------
all_hosts
グループに所属します。
例13.6 コマンドライン: 同期済みの AD ユーザー用の Automember ルールの作成
ntUser
オブジェクトクラスを共有します。objectclass
属性に ntUser
が含まれる全ユーザーを対象とする automember の条件を作成すると、今後作成される同期済みの AD ユーザーは AD ユーザーの共通グループに追加されるようになります。
ad_users
などの AD ユーザーのユーザーグループを作成します。「ユーザーまたはホストグループの追加および削除」を参照してください。- 以下のように、新規ユーザーグループの automember ルールを追加します。
$ ipa automember-add
Automember Rule:ad_users
Grouping Type:group
------------------------------------- Added automember rule "ad_users" ------------------------------------- Automember Rule: ad_users - AD ユーザーを絞り込む包含条件を追加します。以下の例では、
objectclass
属性にntUser
の値が含まれる全ユーザーを対象とします。$ ipa automember-add-condition
Automember Rule:ad_users
Attribute Key:objectclass
Grouping Type:group
[Inclusive Regex]:ntUser
[Exclusive Regex]: ------------------------------------- Added condition(s) to "ad_users" ------------------------------------- Automember Rule: ad_users Inclusive Regex: objectclass=ntUser ---------------------------- Number of conditions added 1 ----------------------------
ad_users
ユーザーグループに所属します。
13.6.3. automember ルールの既存のユーザーおよびホストへの適用
Web UI: 既存のエントリーの自動メンバーシップの再構築
図13.6 全ユーザーまたはホストの自動メンバーシップの再構築
図13.7 単一のユーザーまたはホストの自動メンバーシップの再構築
コマンドライン: 既存のエントリーの自動メンバーシップの再構築
ipa automember-rebuild --type=group
コマンドを使用します。
$ ipa automember-rebuild --type=group
--------------------------------------------------------
Automember rebuild task finished. Processed (9) entries.
--------------------------------------------------------
ipa automember-rebuild --type=hostgroup
コマンドを使用します。
ipa automember-rebuild --users=user
コマンドを使用します。
$ ipa automember-rebuild --users=user1 --users=user2 -------------------------------------------------------- Automember rebuild task finished. Processed (2) entries. --------------------------------------------------------
ipa automember-rebuild --hosts=example.com
コマンドを使用します。
13.6.4. デフォルトの Automember グループ設定
ipa automember-default-group-set
コマンドを使用して、デフォルトの automember グループを設定します。プロンプトが表示されたら、以下を指定します。- 対象となるグループ名を指定する
Default (fallback) Group
- 対象がユーザーグループか、ホストグループかを指定する
Grouping Type
。ユーザーグループを対象とするにはgroup
、ホストグループを対象とする場合はhostgroup
を入力してください。
例を示します。$ ipa automember-default-group-set
Default (fallback) Group:default_user_group
Grouping Type:group
--------------------------------------------------- Set default (fallback) group for automember "default_user_group" --------------------------------------------------- Default (fallback) Group: cn=default_user_group,cn=groups,cn=accounts,dc=example,dc=com- グループが正しく設定されていることを確認するには、
ipa automember-default-group-show
コマンドを使用します。このコマンドでは、現在のデフォルト automember グループが表示されます。以下に例を示します。$ ipa automember-default-group-show
Grouping Type:group
Default (fallback) Group: cn=default_user_group,cn=groups,cn=accounts,dc=example,dc=com
ipa automember-default-group-remove
コマンドを使用します。
このページには機械翻訳が使用されている場合があります (詳細はこちら)。