Red Hat Training

A Red Hat training course is available for RHEL 8

35.13. Ansible を使用して、IdM ユーザーが 2 つの証明書を使用して IdM クライアントにログインできるようにする

通常はパスワードを使用して IdM にログインする Identity Management (IdM) ユーザーが、スマートカードのみを使用して特定の IdM クライアントに認証されるようにする場合は、そのクライアントでそのユーザーの証明を要求する ID ビューを作成します。

この手順では、ansible-freeipa idoverrideuser モジュールを使用して以下を実行します。

  • idview_for_host01 という名前の ID ビューを host01 に適用します。
  • idview_for_host01 で、2 つの証明書を持つ idm_user のユーザー ID オーバーライドが存在することを確認します。

前提条件

  • 次の要件を満たすように Ansible コントロールノードを設定している。

    • Ansible バージョン 2.14 以降を使用している。
    • Ansible コントローラーに ansible-freeipa パッケージがインストールされている。
    • RHEL 9.4 以降を使用している。
    • この例では、~/MyPlaybooks/ ディレクトリーに、IdM サーバーの完全修飾ドメイン名 (FQDN) を使用して Ansible インベントリーファイル を作成したことを前提としている。
    • この例では、secret.yml Ansible vault に ipaadmin_password が保存されていることを前提としています。
    • この例では、cert1.b64 および cert2.b64 証明書が、Playbook を実行しているディレクトリーと同じディレクトリーにあることを前提としています。
  • idview_for_host01 ID ビューが存在する。

手順

  1. Ansible コントロールノードで、次の内容の ensure-idmuser-present-in-idview-with-certificates.yml Playbook を作成します。

    ---
    - name: Ensure both local user and IdM user have access to same files
      hosts: ipaserver
      become: false
      gather_facts: false
    
      tasks:
      - name: Ensure idview_for_host1 is applied to host01.idm.example.com
        ipaidview:
          ipaadmin_password: "{{ ipaadmin_password }}"
          name: idview_for_host01
          host: host01.idm.example.com
    
      - name: Ensure an IdM user is present in ID view with two certificates
        ipaidoverrideuser:
          ipaadmin_password: "{{ ipaadmin_password }}"
          idview: idview_for_host01
          anchor: idm_user
          certificate:
          - "{{ lookup('file', 'cert1.b64', rstrip=False) }}"
          - "{{ lookup('file', 'cert2.b64', rstrip=False) }}"

    rstrip=False ディレクティブにより、検索されたファイルの末尾から空白が削除されるのを防ぎます。

  2. ファイルを保存します。
  3. Playbook を実行します。Playbook ファイル、secret.yml ファイルを保護するパスワードを格納するファイル、およびインベントリーファイルを指定します。

    $ ansible-playbook --vault-password-file=password_file -v -i inventory ensure-idmuser-present-in-idview-with-certificates.yml

関連情報

  • ansible-freeipa アップストリームドキュメントの idoverrideuser モジュール