手順

1. 端末を開き、IdM サーバーに接続します。

2. ヘルプに記載されているトピックの一覧を表示するには、ipa help topics を実行します。

   $ ipa help topics

3. トピックのいずれかを選択し、ipa help [topic_name] のパターンに従ってコマンドを作成します。topic_name 文字列の代わりに、前のステップで説明したトピックのいずれかを追加します。

   この例では、user トピックを使用します。

   $ ipa help user

4. IPA ヘルプ出力が長すぎてテキスト全体を表示できない場合は、以下の構文を使用します。

   $ ipa help user | less

   スクロールダウンすれば、ヘルプ全体を表示できます

手順

1. 端末を開き、IdM サーバーに接続します。

2. ヘルプで使用できるコマンドの一覧を表示するには、ipa help commands コマンドを実行します。

   $ ipa help commands

3. コマンドのいずれかを選択し、ipa help < COMMAND> のパターンに従って help コマンドを使用します。< COMMAND> 文字列 の代わりに、直前の手順で表示したコマンドのいずれかを追加します。

   $ ipa help user-add

手順

1. 端末を開き、IdM サーバーに接続します。

2. 新しいユーザーを追加するコマンドを入力します。

   $ ipa user-add

   このコマンドは、ユーザーアカウントの作成に必要な基本データを提供するように要求するスクリプトを実行します。

3. First name: フィールドに、新規ユーザーの名前を入力して、Enter キーを押します。
4. Last name: フィールドに、新規ユーザーの苗字を入力し、Enter キーを押します。

5. User login [suggested user name]: にユーザー名を入力するか、Enter キーを押して提案されたユーザー名を受け入れます。

   ユーザー名は、IdM データベース全体で一意でなければなりません。ユーザー名がすでに存在しているためにエラーが発生した場合は、ipa user-add コマンドでプロセスを繰り返し、別の一意のユーザー名を使用します。

手順

1. 端末を開き、IdM サーバーに接続します。

2. ipa user-mod コマンドを入力し、変更するユーザーと、パスワードを追加するための --password などのオプションを指定します。

   $ ipa user-mod euser --password

   このコマンドは、新しいパスワードを追加できるスクリプトを実行します。

3. 新しいパスワードを入力し、Enter キーを押します。

手順

1. 端末を開き、IdM サーバーに接続します。

2. ユーザーのログイン、ユーザーの名前、および名字を追加します。メールアドレスを追加することもできます。

   $ ipa user-add user_login --first=first_name --last=last_name --email=email_address

   IdM は、以下の正規表現で説明できるユーザー名をサポートします。

   [a-zA-Z0-9_.][a-zA-Z0-9_.-]{0,252}[a-zA-Z0-9_.$-]?

   注記

   ユーザー名の末尾がドル記号 ($) で終わる場合は、Samba 3.x マシンでのサポートが有効になります。

   大文字を含むユーザー名を追加すると、IdM が名前を保存する際に自動的に小文字に変換されます。したがって、IdM にログインする場合は、常にユーザー名を小文字で入力する必要があります。また、user と User など、大文字と小文字のみが異なるユーザー名を追加することはできません。

   ユーザー名のデフォルトの長さは、最大 32 文字です。これを変更するには、ipa config-mod --maxusername コマンドを使用します。たとえば、ユーザー名の最大長を 64 文字にするには、次のコマンドを実行します。

   $ ipa config-mod --maxusername=64
    Maximum username length: 64
    ...

   ipa user-add コマンドには、多くのパラメーターが含まれます。一覧を表示するには、ipa help コマンドを使用します。

   $ ipa help user-add

   ipa help コマンドの詳細は、「 IPA のヘルプとは」を 参照してください。

手順

1. 端末を開き、IdM サーバーに接続します。

2. 次のコマンドで、ユーザーアカウントをアクティベートします。

   $ ipa stageuser-activate user_login
   -------------------------
   Stage user user_login activated
   -------------------------
   ...

手順

1. 端末を開き、IdM サーバーに接続します。

2. 次のコマンドで、ユーザーアカウントを保存します。

   $ ipa user-del --preserve user_login
   --------------------
   Deleted user "user_login"
   --------------------

   注記

   ユーザーアカウントが削除されたという出力が表示されたにもかかわらず、アカウントは保持されています。

手順

1. 端末を開き、IdM サーバーに接続します。

2. 次のコマンドで、ユーザーアカウントを削除します。

   $ ipa user-del user_login
   --------------------
   Deleted user "user_login"
   --------------------

手順

1. 端末を開き、IdM サーバーに接続します。

2. 次のコマンドで、ユーザーアカウントをアクティベートします。

   $ ipa user-undel user_login
   ------------------------------
   Undeleted user account "user_login"
   ------------------------------

   または、ユーザーアカウントをステージユーザーとして復元することもできます。

   $ ipa user-stage user_login
   ------------------------------
   Staged user account "user_login"
   ------------------------------

手順

1. IdM Web UI にログインします。

2. ユーザー → ステージユーザー タブに移動します。

   または、ユーザー → アクティブユーザー にユーザーアカウントを追加できますが、アカウントにユーザーグループを追加することはできません。

3. + 追加 アイコンをクリックします。
4. ステージユーザーの追加 ダイアログボックスで、新規ユーザーの 名前 と 名字 を入力します。

5. (必要に応じて) ユーザーログイン フィールドにログイン名を追加します。

   空のままにすると、IdM サーバーは、名字の前に、名前の最初の 1 文字が追加された形式で、ログイン名を作成します。ログイン名には、32 文字まで使用できます。

6. (必要に応じて) GID ドロップダウンメニューで、ユーザーに含まれるグループを選択します。
7. [オプション] パスワード および パスワードの確認 フィールドに、パスワードを入力して確定し、両方が一致していることを確認します。

8. 追加 ボタンをクリックします。

   

手順

1. IdM Web UI にログインします。
2. ユーザー → ステージユーザー タブに移動します。
3. 有効にするユーザーアカウントのチェックボックスをクリックします。

4. アクティベート ボタンをクリックします。

   

5. 確認 ダイアログボックスで、OK ボタンをクリックします。

手順

1. IdM Web UI にログインします。
2. ユーザー → アクティブユーザー タブに移動します。
3. 無効にするユーザーアカウントのチェックボックスをクリックします。

4. 無効 ボタンをクリックします。

   

5. 確認 ダイアログボックスで、OK ボタンをクリックします。

手順

1. IdM Web UI にログインします。
2. ユーザー → アクティブユーザー タブに移動します。
3. 有効にするユーザーアカウントのチェックボックスをクリックします。

4. 有効 ボタンをクリックします。

   

5. 確認 ダイアログボックスで、OK ボタンをクリックします。

手順

1. IdM Web UI にログインします。
2. ユーザー → アクティブユーザー タブに移動します。
3. 保存するユーザーアカウントのチェックボックスをクリックします。

4. 削除 ボタンをクリックします。

   

5. ユーザーの削除 ダイアログボックスで、削除モード ラジオボタンを、保存 に切り替えます。

6. 削除 ボタンをクリックします。

   

手順

1. IdM Web UI にログインします。
2. ユーザー → 保存済みユーザー タブに移動します。
3. 復元するユーザーアカウントのチェックボックスをクリックします。

4. 復元 ボタンをクリックします。

   

5. 確認 ダイアログボックスで、OK ボタンをクリックします。

手順

1. IdM Web UI にログインします。

2. ユーザー → アクティブユーザー タブに移動します。

   ユーザー → ステージユーザー または ユーザー → 保存済みユーザー でも、ユーザーアカウントを削除できます。

3. 削除 アイコンをクリックします。
4. ユーザーの削除 ダイアログボックスで、モードの削除 ラジオボタンを、削除 に切り替えます。
5. 削除 ボタンをクリックします。

手順

1. inventory.file などのインベントリーファイルを作成して、そのファイルに ipaserver を定義します。

   [ipaserver]
   server.idm.example.com

2. IdM に存在するユーザーのデータで Ansible Playbook ファイルを作成します。この手順を単純化するには、/usr/share/doc/ansible-freeipa/playbooks/user/add-user.yml ファイルのサンプルをコピーして変更できます。たとえば、idm_user という名前のユーザーを作成し、Password123 をユーザーパスワードとして追加するには、次のコマンドを実行します。

   ---
   - name: Playbook to handle users
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Create user idm_user
       ipauser:
         ipaadmin_password: MySecret123
         name: idm_user
         first: Alice
         last: Acme
         uid: 1000111
         gid: 10011
         phone: "+555123457"
         email: idm_user@acme.com
         passwordexpiration: "2023-01-19 23:59:59"
         password: "Password123"
         update_password: on_create

   ユーザーを追加するには、以下のオプションを使用する必要があります。

   • 名前: ログイン名
   • first: 最初の name 文字列
   • last: 最後の名前文字列

   利用可能なユーザーオプションの完全な一覧は、/usr/share/doc/ansible-freeipa/README-user.md Markdown ファイルを参照してください。

   注記

   update_password: on_create オプションを使用する場合、Ansible はユーザーの作成時にのみユーザーパスワードを作成します。ユーザーがパスワードで作成されている場合、Ansible は新しいパスワードを生成しません。

3. Playbook を実行します。

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-IdM-user.yml

手順

1. inventory.file などのインベントリーファイルを作成して、そのファイルに ipaserver を定義します。

   [ipaserver]
   server.idm.example.com

2. IdM に存在するユーザーのデータで Ansible Playbook ファイルを作成します。この手順を単純化するには、/usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml ファイルのサンプルをコピーして変更できます。たとえば、ユーザー idm_user_1、idm_user_2、および idm_user_3 を作成し、Password123 を idm_user_1 のパスワードとして追加するには、次のコマンドを実行します。

   ---
   - name: Playbook to handle users
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Create user idm_users
       ipauser:
         ipaadmin_password: MySecret123
         users:
         - name: idm_user_1
           first: Alice
           last: Acme
           uid: 10001
           gid: 10011
           phone: "+555123457"
           email: idm_user@acme.com
           passwordexpiration: "2023-01-19 23:59:59"
           password: "Password123"
         - name: idm_user_2
           first: Bob
           last: Acme
           uid: 100011
           gid: 10011
         - name: idm_user_3
           first: Eve
           last: Acme
           uid: 1000111
           gid: 10011

   注記

   update_password: on_create オプションを指定しないと、Ansible は Playbook が実行されるたびにユーザーパスワードを再設定します。最後にプレイブックが実行されてからユーザーがパスワードを変更した場合、Ansibleはパスワードを再設定します。

3. Playbook を実行します。

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-users.yml

手順

1. inventory.file などのインベントリーファイルを作成して、そのファイルに ipaserver を定義します。

   [ipaserver]
   server.idm.example.com

2. 必要なタスクで Ansible Playbook ファイルを作成します。確認するユーザーのデータで JSON ファイルを参照します。この手順を単純化するには、/usr/share/doc/ansible-freeipa/ensure-users-present-ymlfile.yml ファイルのサンプルをコピーして変更できます。

   ---
   - name: Ensure users' presence
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Include users.json
       include_vars:
         file: users.json
   
     - name: Users present
       ipauser:
         ipaadmin_password: MySecret123
         users: "{{ users }}"

3. users.json ファイルを作成し、IdM ユーザーを追加します。この手順を簡素化するには、/usr/share/doc/ansible-freeipa/playbooks/user/users.json ファイルのサンプルをコピーして変更できます。たとえば、ユーザー idm_user_1、idm_user_2、および idm_user_3 を作成し、Password123 を idm_user_1 のパスワードとして追加するには、次のコマンドを実行します。

   {
     "users": [
      {
       "name": "idm_user_1",
       "first": "Alice",
       "last": "Acme",
       "password": "Password123"
      },
      {
       "name": "idm_user_2",
       "first": "Bob",
       "last": "Acme"
      },
      {
       "name": "idm_user_3",
       "first": "Eve",
       "last": "Acme"
      }
     ]
   }

4. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-users-present-jsonfile.yml

手順

1. inventory.file などのインベントリーファイルを作成して、そのファイルに ipaserver を定義します。

   [ipaserver]
   server.idm.example.com

2. IdM がないユーザーで Ansible Playbook ファイルを作成します。この手順を単純化するには、/usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml ファイルのサンプルをコピーして変更できます。たとえば、ユーザー idm_user_1、idm_user_2、および idm_user_3 を削除するには、次のコマンドを実行します。

   ---
   - name: Playbook to handle users
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Delete users idm_user_1, idm_user_2, idm_user_3
       ipauser:
         ipaadmin_password: MySecret123
         users:
         - name: idm_user_1
         - name: idm_user_2
         - name: idm_user_3
         state: absent

3. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/delete-users.yml

1. 管理者として ipaserver にログインします。

   $ ssh administrator@server.idm.example.com
   Password:
   [admin@server /]$

2. idm_user_1 に関する要求情報

   $ ipa user-show idm_user_1
   ipa: ERROR: idm_user_1: user not found

   idm_user_1 という名前のユーザーは IdM に存在しません。

手順

1. IdM の 管理者 として Kerberos チケットを取得します。

   [root@idmclient ~]# kinit admin

2. sudo コマンドの IdM データベースに /usr/sbin/reboot コマンドを追加します。

   [root@idmclient ~]# ipa sudocmd-add /usr/sbin/reboot
   -------------------------------------
   Added Sudo Command "/usr/sbin/reboot"
   -------------------------------------
     Sudo Command: /usr/sbin/reboot

3. idm_user_reboot という名前の sudo ルールを作成します。

   [root@idmclient ~]# ipa sudorule-add idm_user_reboot
   ---------------------------------
   Added Sudo Rule "idm_user_reboot"
   ---------------------------------
     Rule name: idm_user_reboot
     Enabled: TRUE

4. /usr/sbin/reboot コマンドを idm_user_reboot ルールに追加します。

   [root@idmclient ~]# ipa sudorule-add-allow-command idm_user_reboot --sudocmds '/usr/sbin/reboot'
     Rule name: idm_user_reboot
     Enabled: TRUE
     Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

5. idm_user_reboot ルールを IdM idmclient ホストに適用します。

   [root@idmclient ~]# ipa sudorule-add-host idm_user_reboot --hosts idmclient.idm.example.com
   Rule name: idm_user_reboot
   Enabled: TRUE
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

6. idm_user アカウントを idm_ user_reboot ルールに追加します。

   [root@idmclient ~]# ipa sudorule-add-user idm_user_reboot --users idm_user
   Rule name: idm_user_reboot
   Enabled: TRUE
   Users: idm_user
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

検証手順

1. idmclient ホストに idm_user アカウントとしてログインします。

2. idm_user アカウントが実行可能な sudo ルールを表示します。

   [idm_user@idmclient ~]$ sudo -l
   Matching Defaults entries for idm_user on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User idm_user may run the following commands on idmclient:
       (root) /usr/sbin/reboot

3. sudo を使用してマシンを再起動します。プロンプトが表示されたら、idm_user のパスワードを入力します。

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

手順

1. sudo コマンドの IdM データベースに /usr/sbin/reboot コマンドを追加します。

   1. Policy → Sudo → Sudo Commands の順に移動します。
   2. 右上にある Add をクリックして、Add sudo command ダイアログボックスを開きます。

   3. sudo: /usr/sbin/reboot を使用してユーザーが実行できるコマンドを入力します。

      図5.1 IdM sudo コマンドの追加

      
   4. Add をクリックします。

2. 新しい sudo コマンドエントリーを使用して sudo ルールを作成し、idm_user が idmclient マシンを再起動できるようにします。

   1. Policy → Sudo → Sudo ルールに移動します。
   2. 右上にある Add をクリックして、Add sudo rule ダイアログボックスを開きます。
   3. sudo ルールの名前を入力します (idm_user_reboot)。
   4. Add and Edit をクリックします。

   5. ユーザーを指定します。

      1. Who セクションで、ラジオボタン Specified Users and Groups を選択します。
      2. サブセクション User category the rule applies to で Add をクリックして、Add users into sudo rule "idm_user_reboot" ダイアログボックスを開きます。
      3. Add users into sudo rule "idm_user_reboot" ダイアログボックスにある Available 列で、idm_user チェックボックスを選択し、これを Prospective 列に移動します。
      4. Add をクリックします。

   6. ホストを指定します。

      1. Access this host セクションで、Specified Hosts and Groups ラジオボタンを確認します。
      2. サブセクション Host category this rule applies to で Add をクリックして、Add hosts into sudo rule "idm_user_reboot" ダイアログボックスを開きます。
      3. Add hosts into sudo rule "idm_user_reboot" ダイアログボックスにある Available 列で、idmclient.idm.example.com チェックボックスを選択し、これを Prospective 列に移動します。
      4. Add をクリックします。

   7. コマンドを指定します。

      1. Run Commands セクションの Command category the rule applies to サブセクションで、Specified Commands and Groups ラジオボタンを確認します。
      2. サブセクション Sudo Allow Commands で Add をクリックして、Add allow sudo commands into sudo rule "idm_user_reboot" ダイアログボックスを開きます。
      3. Add allow sudo commands into sudo rule "idm_user_reboot" ダイアログボックスにある Available 列で、/usr/sbin/reboot チェックボックスを選択し、これを Prospective 列に移動します。
      4. Add をクリックして、idm_sudo_reboot ページに戻ります。

      図5.2 IdM sudo ルールの追加

      
   8. 左上隅にある Save をクリックします。

検証手順

1. idmclient に idm_user としてログインします。

2. sudo を使用してマシンを再起動します。プロンプトが表示されたら、idm_user のパスワードを入力します。

   $ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

手順

1. IdM の 管理者 として Kerberos チケットを取得します。

   [root@idmclient ~]# kinit admin

2. /opt/third-party-app/bin/report コマンドを、sudo コマンドの IdM データベースに追加します。

   [root@idmclient ~]# ipa sudocmd-add /opt/third-party-app/bin/report
   ----------------------------------------------------
   Added Sudo Command "/opt/third-party-app/bin/report"
   ----------------------------------------------------
     Sudo Command: /opt/third-party-app/bin/report

3. run_third-party-app_report という名前の sudo ルールを作成します。

   [root@idmclient ~]# ipa sudorule-add run_third-party-app_report
   --------------------------------------------
   Added Sudo Rule "run_third-party-app_report"
   --------------------------------------------
     Rule name: run_third-party-app_report
     Enabled: TRUE

4. --users=<user> オプションを使用して、sudorule-add-runasuser コマンドに RunAs ユーザーを指定します。

   [root@idmclient ~]# ipa sudorule-add-runasuser run_third-party-app_report --users=thirdpartyapp
     Rule name: run_third-party-app_report
     Enabled: TRUE
     RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

   ユーザー (または --groups=* オプションで指定したグループ) は、ローカルサービスアカウントや Active Directory ユーザーなどの IdM の外部に配置できます。グループ名には % 接頭辞を追加しないでください。

5. idm_user_reboot ルールに /opt/third-party-app/bin/report コマンドを追加します。

   [root@idmclient ~]# ipa sudorule-add-allow-command run_third-party-app_report --sudocmds '/opt/third-party-app/bin/report'
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

6. run_third-party-app_report ルールを IdM idmclient ホストに適用します。

   [root@idmclient ~]# ipa sudorule-add-host run_third-party-app_report --hosts idmclient.idm.example.com
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

7. idm_user アカウントーを run_third-party-app_report ルールに追加します。

   [root@idmclient ~]# ipa sudorule-add-user run_third-party-app_report --users idm_user
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Users: idm_user
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1

検証手順

1. idmclient ホストに idm_user アカウントとしてログインします。

2. 新しい sudo ルールをテストします。

   1. idm_user アカウントが実行可能な sudo ルールを表示します。

      [idm_user@idmclient ~]$ sudo -l
      Matching Defaults entries for idm_user@idm.example.com on idmclient:
          !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
          env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
          env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
          env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
          env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
          env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
          secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
      
      User idm_user@idm.example.com may run the following commands on idmclient:
          (thirdpartyapp) /opt/third-party-app/bin/report

   2. report コマンドを thirdpartyapp サービスアカウントとして実行します。

      [idm_user@idmclient ~]$ sudo -u thirdpartyapp /opt/third-party-app/bin/report
      [sudo] password for idm_user@idm.example.com:
      Executing report...
      Report successful.

手順

1. /opt/third-party-app/bin/report コマンドを、sudo コマンドの IdM データベースに追加します。

   1. Policy → Sudo → Sudo Commands の順に移動します。
   2. 右上にある Add をクリックして、Add sudo command ダイアログボックスを開きます。

   3. コマンド /opt/third-party-app/bin/report を入力します。

      
   4. Add をクリックします。

2. 新しいsudo コマンドエントリーを使用して、新しいsudo ルールを作成します。

   1. Policy → Sudo → Sudo ルールに移動します。
   2. 右上にある Add をクリックして、Add sudo rule ダイアログボックスを開きます。

   3. sudoルールの名前 run_third-party-app_report を入力します。

      
   4. Add and Edit をクリックします。

   5. ユーザーを指定します。

      1. Who セクションで、ラジオボタン Specified Users and Groups を選択します。
      2. User category the rule applies to のサブセクションで Add をクリックして、Add users into sudo rule "run_third-party-app_report" ダイアログボックスを開きます。

      3. Available 列の Add users into sudo rule "run_third-party-app_report" ダイアログボックスで、idm_user チェックボックスをオンにして、これを Prospective 列に移動します。

         
      4. Add をクリックします。

   6. ホストを指定します。

      1. Access this host セクションで、Specified Hosts and Groups ラジオボタンを確認します。
      2. Host category this rule applies to サブセクションで Add をクリックして、 Add hosts into sudo rule "run_third-party-app_report" ダイアログボックスを開きます。

      3. Available 列の Add hosts into sudo rule "run_third-party-app_report" ダイアログボックスで、idmclient.idm.example.com チェックボックスをオンにして、これを Prospective 列に移動します。

         
      4. Add をクリックします。

   7. コマンドを指定します。

      1. Run Commands セクションの Command category the rule applies to サブセクションで、Specified Commands and Groups ラジオボタンを確認します。
      2. Sudo Allow Commands サブセクションで Add をクリックして、Add allow sudo commands into sudo rule "run_third-party-app_report" ダイアログボックスを開きます。

      3. Available 列の Add allow sudo commands into sudo rule "run_third-party-app_report" ダイアログボックスで、/opt/third-party-app/bin/report チェックボックスをオンにして、これを Prospective 列に移動します。

         
      4. Add をクリックして、run_third-party-app_report のページに戻ります。

   8. RunAs ユーザーを指定します。

      1. As Whom で、指定したユーザーとグループ のラジオボタンを確認します。
      2. RunAs ユーザー サブセクションで Add をクリックして、Add RunAs users into sudo rule "run_third-party-app_report" ダイアログボックスを開きます。

      3. Add RunAs users into sudo rule "run_third-party-app_report" ダイアログボックスで、External ボックスに thirdpartyapp サービスアカウントを入力し、これを Prospective 列に移動します。

         
      4. Add をクリックして、run_third-party-app_report のページに戻ります。
   9. 左上隅にある Save をクリックします。

検証手順

1. idmclient ホストに idm_user アカウントとしてログインします。

2. 新しい sudo ルールをテストします。

   1. idm_user アカウントが実行可能な sudo ルールを表示します。

      [idm_user@idmclient ~]$ sudo -l
      Matching Defaults entries for idm_user@idm.example.com on idmclient:
          !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
          env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
          env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
          env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
          env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
          env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
          secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
      
      User idm_user@idm.example.com may run the following commands on idmclient:
          (thirdpartyapp) /opt/third-party-app/bin/report

   2. report コマンドを thirdpartyapp サービスアカウントとして実行します。

      [idm_user@idmclient ~]$ sudo -u thirdpartyapp /opt/third-party-app/bin/report
      [sudo] password for idm_user@idm.example.com:
      Executing report...
      Report successful.

手順

1. /etc/sssd/sssd.conf 設定ファイルを開きます。

2. [domain/<domain_name>] セクションに以下のエントリーを追加します。

   [domain/<domain_name>]
   pam_gssapi_services = sudo, sudo-i

3. /etc/sssd/sssd.conf ファイルを保存して閉じます。

4. SSSD サービスを再起動して、設定の変更を読み込みます。

   [root@idmclient ~]# systemctl restart sssd

5. /etc/pam.d/sudo の PAM 設定ファイルを開きます。

6. 以下のエントリーを、/etc/pam.d/sudo ファイルの auth セクションの最初の行に追加します。

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      system-auth
   account    include      system-auth
   password   include      system-auth
   session    include      system-auth

7. /etc/pam.d/sudo ファイルを保存して閉じます。
8. /etc/pam.d/sudo-i の PAM 設定ファイルを開きます。

9. 以下のエントリーを、/etc/pam.d/sudo-i ファイルの auth セクションの最初の行に追加します。

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      sudo
   account    include      sudo
   password   include      sudo
   session    optional     pam_keyinit.so force revoke
   session    include      sudo

10. /etc/pam.d/sudo-i ファイルを保存して閉じます。

検証手順

1. idm_user アカウントとしてホストにログインします。

   [root@idm-client ~]# ssh -l idm_user@idm.example.com localhost
   idm_user@idm.example.com's password:

2. idm_user アカウントで Ticket-Granting Ticket があることを確認します。

   [idmuser@idmclient ~]$ klist
   Ticket cache: KCM:1366201107
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   01/08/2021 09:11:48  01/08/2021 19:11:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 01/15/2021 09:11:44

3. (オプション) idm_user アカウントの Kerberos 認証情報がない場合は、現在の Kerberos 認証情報を破棄し、正しい認証情報を要求します。

   [idm_user@idmclient ~]$ kdestroy -A
   
   [idm_user@idmclient ~]$ kinit idm_user@IDM.EXAMPLE.COM
   Password for idm_user@idm.example.com:

4. パスワードを指定せずに sudo を使用してマシンを再起動します。

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot

手順

1. /etc/sssd/sssd.conf 設定ファイルを開きます。

2. [domain/<domain_name>] セクションに以下のエントリーを追加します。

   [domain/<domain_name>]
   pam_gssapi_services = sudo, sudo-i
   pam_gssapi_indicators_map = sudo:pkinit, sudo-i:pkinit

3. /etc/sssd/sssd.conf ファイルを保存して閉じます。

4. SSSD サービスを再起動して、設定の変更を読み込みます。

   [root@idmclient ~]# systemctl restart sssd

5. /etc/pam.d/sudo の PAM 設定ファイルを開きます。

6. 以下のエントリーを、/etc/pam.d/sudo ファイルの auth セクションの最初の行に追加します。

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      system-auth
   account    include      system-auth
   password   include      system-auth
   session    include      system-auth

7. /etc/pam.d/sudo ファイルを保存して閉じます。
8. /etc/pam.d/sudo-i の PAM 設定ファイルを開きます。

9. 以下のエントリーを、/etc/pam.d/sudo-i ファイルの auth セクションの最初の行に追加します。

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      sudo
   account    include      sudo
   password   include      sudo
   session    optional     pam_keyinit.so force revoke
   session    include      sudo

10. /etc/pam.d/sudo-i ファイルを保存して閉じます。

検証手順

1. idm_user アカウントとしてホストにログインし、スマートカードで認証します。

   [root@idmclient ~]# ssh -l idm_user@idm.example.com localhost
   PIN for smart_card

2. スマートカードユーザーを使用して Ticket-Granting Ticket があることを確認します。

   [idm_user@idmclient ~]$ klist
   Ticket cache: KEYRING:persistent:1358900015:krb_cache_TObtNMd
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   02/15/2021 16:29:48  02/16/2021 02:29:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 02/22/2021 16:29:44

3. idm_user アカウントが実行可能な sudo ルールを表示します。

   [idm_user@idmclient ~]$ sudo -l
   Matching Defaults entries for idmuser on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User idm_user may run the following commands on idmclient:
       (root) /usr/sbin/reboot

4. パスワードを指定せずに sudo を使用してマシンを再起動します。

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot

手順

1. inventory.file などのインベントリーファイルを作成し、そこに ipaservers を定義します。

   [ipaservers]
   server.idm.example.com

2. sudo コマンドを追加します。

   1. ensure-reboot-sudocmd-is-present.yml Ansible Playbook を作成し、sudo コマンドの IdM データベースに /usr/sbin/reboot コマンドが存在するようにします。この手順を単純化するには、/usr/share/doc/ansible-freeipa/playbooks/sudocmd/ensure-sudocmd-is-present.yml ファイルのサンプルをコピーして変更できます。

      ---
      - name: Playbook to manage sudo command
        hosts: ipaserver
        become: true
      
        tasks:
        # Ensure sudo command is present
        - ipasudocmd:
            ipaadmin_password: MySecret123
            name: /usr/sbin/reboot
            state: present

   2. Playbook を実行します。

      $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-reboot-sudocmd-is-present.yml

3. コマンドを参照する sudo ルールを作成します。

   1. sudo コマンドエントリーを使用して sudo ルールが存在することを確認する ensure-sudorule-for-idmuser-on-idmclient-is-present.yml Ansible Playbook を作成します。sudo ルールは、idm_user が idmclient マシンを再起動することを許可します。この手順を単純化するには、/usr/share/doc/ansible-freeipa/playbooks/sudorule/ensure-sudorule-is-present.yml ファイルのサンプルをコピーして変更できます。

      ---
      - name: Tests
        hosts: ipaserver
        become: true
      
        tasks:
        # Ensure a sudorule is present granting idm_user the permission to run /usr/sbin/reboot on idmclient
        - ipasudorule:
            ipaadmin_password: MySecret123
            name: idm_user_reboot
            description: A test sudo rule.
            allow_sudocmd: /usr/sbin/reboot
            host: idmclient.idm.example.com
            user: idm_user
            state: present

   2. Playbook を実行します。

      $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-sudorule-for-idmuser-on-idmclient-is-present.yml

1. idmclient に idm_user としてログインします。

2. sudo を使用してマシンを再起動します。プロンプトが表示されたら、idm_user のパスワードを入力します。

   $ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

手順

1. ユーザーを保存するロールを持つ IdM ユーザーとしてログインします。

   $ kinit admin

2. ldapmodify コマンドを入力し、Generic Security Services API (GSSAPI) を認証に使用する Simple Authentication and Security Layer (SASL) メカニズムとして指定します。

   # ldapmodify -Y GSSAPI
   SASL/GSSAPI authentication started
   SASL username: admin@IDM.EXAMPLE.COM
   SASL SSF: 256
   SASL data security layer installed.

3. 保存するユーザーの dn を入力します。

   dn: uid=user1,cn=users,cn=accounts,dc=idm,dc=example,dc=com

4. 実行する変更のタイプとして modrdn を入力します。

   changetype: modrdn

5. ユーザーの newrdn を指定します。

   newrdn: uid=user1

6. ユーザーを保存することを示します。

   deleteoldrdn: 0

7. 新しい上位 DN を指定します。

   newsuperior: cn=deleted users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com

   ユーザーを保存すると、そのエントリーをディレクトリー情報ツリー (DIT) 内の新しい場所に移動します。このため、新しい親エントリーの DN を新しい上位 DN として指定する必要があります。

8. Enter を再度押して、これがエントリーの最後であることを確認します。

   [Enter]
   
   modifying rdn of entry "uid=user1,cn=users,cn=accounts,dc=idm,dc=example,dc=com"

9. Ctrl + C を使用して接続を終了します。

手順

1. IdM 管理者としてログインします。

   $ kinit admin

2. stage ユーザーを追加する権限を持つ provisionator という名前のユーザーを作成します。

   1. provisionator ユーザーアカウントを追加します。

   $ ipa user-add provisionator --first=provisioning --last=account --password

   1. provisionator ユーザーに必要な権限を割り当てます。

      1. stage ユーザーの追加を管理する System Provisioning というカスタムロールを作成します。

         $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

      2. Stage User Provisioning の権限をロールに追加します。この権限により、stage ユーザーを追加することができます。

         $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

      3. provisionator ユーザーをロールに追加します。

         $ ipa role-add-member --users=provisionator "System Provisioning"

      4. provisionator が IdM に存在することを確認します。

      $ ipa user-find provisionator --all --raw
      --------------
      1 user matched
      --------------
        dn: uid=provisionator,cn=users,cn=accounts,dc=idm,dc=example,dc=com
        uid: provisionator
        [...]

3. ユーザーアカウントを管理する権限を持つ activator ユーザーを作成します。

   1. activator ユーザーアカウントを追加します。

      $ ipa user-add activator --first=activation --last=account --password

   2. デフォルトの User Administrator ロールにユーザーを追加して、activator ユーザーに必要な権限を付与します。

      $ ipa role-add-member --users=activator "User Administrator"

4. アプリケーションアカウントのユーザーグループを作成します。

   $ ipa group-add application-accounts

5. グループのパスワードポリシーを更新します。以下のポリシーは、アカウントのパスワードの有効期限やロックアウトを防ぎますが、複雑なパスワードを必要とすることでリスクの可能性を低減します。

   $ ipa pwpolicy-add application-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=8 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

6. (必要に応じて) パスワードポリシーが IdM に存在することを確認します。

   $ ipa pwpolicy-show application-accounts
     Group: application-accounts
     Max lifetime (days): 10000
     Min lifetime (hours): 0
     History size: 0
   [...]

7. アプリケーションアカウントのグループにプロビジョニングアカウントおよびアクティベーションアカウントを追加します。

   $ ipa group-add-member application-accounts --users={provisionator,activator}

8. ユーザーアカウントのパスワードを変更します。

   $ kpasswd provisionator
   $ kpasswd activator

   新しい IdM ユーザーのパスワードはすぐに失効するため、パスワードの変更が必要になります。

手順

1. アカウントのアクティベーション用に keytab ファイルを生成します。

   # ipa-getkeytab -s server.idm.example.com -p "activator" -k /etc/krb5.ipa-activation.keytab

   複数の IdM サーバーでアクティベーションプロセスを有効にする場合は、1 つのサーバーで keytab ファイルのみを生成します。次に、キータブファイルを他のサーバーにコピーします。

2. 以下の内容を含む /usr/local/sbin/ipa-activate-all スクリプトを作成して全ユーザーをアクティベートします。

   #!/bin/bash
   
   kinit -k -i activator
   
   ipa stageuser-find --all --raw | grep "  uid:" | cut -d ":" -f 2 | while read uid; do ipa stageuser-activate ${uid}; done

3. ipa-activate-all スクリプトのパーミッションおよび所有権を編集して、実行可能なファイルに変更します。

   # chmod 755 /usr/local/sbin/ipa-activate-all
   # chown root:root /usr/local/sbin/ipa-activate-all

4. systemd ユニットファイル /etc/systemd/system/ipa-activate-all.service を作成して、以下の内容を追加します。

   [Unit]
   Description=Scan IdM every minute for any stage users that must be activated
   
   [Service]
   Environment=KRB5_CLIENT_KTNAME=/etc/krb5.ipa-activation.keytab
   Environment=KRB5CCNAME=FILE:/tmp/krb5cc_ipa-activate-all
   ExecStart=/usr/local/sbin/ipa-activate-all

5. systemd タイマー /etc/systemd/system/ipa-activate-all.timer を作成して、以下の内容を追加します。

   [Unit]
   Description=Scan IdM every minute for any stage users that must be activated
   
   [Timer]
   OnBootSec=15min
   OnUnitActiveSec=1min
   
   [Install]
   WantedBy=multi-user.target

6. 新しい設定を再読み込みします。

   # systemctl daemon-reload

7. ipa-activate-all.timer を有効にします。

   # systemctl enable ipa-activate-all.timer

8. ipa-activate-all.timer を起動します。

   # systemctl start ipa-activate-all.timer

9. (必要に応じて) ipa-activate-all.timer デーモンが実行していることを確認します。

   # systemctl status ipa-activate-all.timer
   ● ipa-activate-all.timer - Scan IdM every minute for any stage users that must be activated
      Loaded: loaded (/etc/systemd/system/ipa-activate-all.timer; enabled; vendor preset: disabled)
      Active: active (waiting) since Wed 2020-06-10 16:34:55 CEST; 15s ago
     Trigger: Wed 2020-06-10 16:35:55 CEST; 44s left
   
   Jun 10 16:34:55 server.idm.example.com systemd[1]: Started Scan IdM every minute for any stage users that must be activated.

手順

1. 外部サーバーで、新規ユーザーに関する情報が含まれる LDIF ファイルを作成します。

   dn: uid=stageidmuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com
   changetype: add
   objectClass: top
   objectClass: inetorgperson
   uid: stageidmuser
   sn: surname
   givenName: first_name
   cn: full_name

2. 外部サーバーから IdM サーバーへの LDIF ファイルを転送します。

   $ scp add-stageidmuser.ldif provisionator@server.idm.example.com:/provisionator/
   Password:
   add-stageidmuser.ldif                                                                                          100%  364   217.6KB/s   00:00

3. SSH プロトコルを使用して、provisionator として IdM サーバーに接続します。

   $ ssh provisionator@server.idm.example.com
   Password:
   [provisionator@server ~]$

4. IdM サーバーで、provisionator アカウントの Kerberos チケット保証チケット (TGT) を取得します。

   [provisionator@server ~]$ kinit provisionator

5. -f オプションと LDIF ファイルの名前を指定して ldapadd コマンドを入力します。IdM サーバー名とポート番号を指定します。

   ~]$ ldapadd -h server.idm.example.com -p 389 -f  add-stageidmuser.ldif
   SASL/GSSAPI authentication started
   SASL username: provisionator@IDM.EXAMPLE.COM
   SASL SSF: 256
   SASL data security layer installed.
   adding the entry "uid=stageidmuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com"

手順

1. IdM の ID および認証情報を使用して、SSH プロトコルを使用して IdM サーバーに接続します。

   $ ssh provisionator@server.idm.example.com
   Password:
   [provisionator@server ~]$

2. 新規 stage ユーザーを追加するロールを持つ IdM ユーザーである provisionator アカウントの TGT を取得します。

   $ kinit provisionator

3. ldapmodify コマンドを入力し、Generic Security Services API (GSSAPI) を認証に使用する Simple Authentication and Security Layer (SASL) メカニズムとして指定します。IdM サーバーとポート名を指定します。

   # ldapmodify -h server.idm.example.com -p 389 -Y GSSAPI
   SASL/GSSAPI authentication started
   SASL username: provisionator@IDM.EXAMPLE.COM
   SASL SSF: 56
   SASL data security layer installed.

4. 追加するユーザーの dn を入力します。

   dn: uid=stageuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com

5. 実行している変更のタイプとして add を入力します。

   changetype: add

6. ユーザーのライフサイクルの正しい処理を許可するのに必要な LDAP オブジェクトクラスのカテゴリーを指定します。

   objectClass: top
   objectClass: inetorgperson

   追加のオブジェクトクラスを指定できます。

7. ユーザーの uid を入力します。

   uid: stageuser

8. ユーザーの cn を入力します。

   cn: Babs Jensen

9. ユーザーの名字を入力します。

   sn: Jensen

10. Enter を再度押して、これがエントリーの最後であることを確認します。

    [Enter]
    
    adding new entry "uid=stageuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com"

11. Ctrl + C を使用して接続を終了します。

手順

1. オプション: ipa selfservice-find コマンドを使用して、既存のセルフサービスルールを表示します。
2. オプション: ipa selfservice-show コマンドを使用して、変更するセルフサービスルールの詳細を表示します。
3. ipa selfservice-mod コマンドを使用してセルフサービスルールを編集します。

手順

1. IPA Server タブで Role-Based Access Control サブメニューを開き、Self Service Permissions を選択します。

2. セルフサービスアクセスルールの一覧の右上にある Add をクリックします。

   

3. Add Self Service Permission ウィンドウが開きます。Self-service name フィールドに新しいセルフサービスルールの名前を入力します。空白を使用できます。

   

4. ユーザーが編集できるようにする属性の横にあるチェックボックスを選択します。

5. 必要に応じて アクセスを提供する属性が一覧にない場合は、その一覧を追加できます。

   1. Add ボタンをクリックします。
   2. 以下の Add Custom Attribute ウィンドウの Attribute テキストフィールドに属性名を入力します。
   3. OK ボタンをクリックして属性を追加します。
   4. 新しい属性が選択されていることを確認します。
6. フォームの下部にある Add ボタンをクリックして、新しいセルフサービスルールを保存します。
   または、Add and Edit ボタンをクリックしてセルフサービスルールを編集するか、Add and Add another ボタンをクリックしてさらにルールを保存および追加できます。

手順

1. IPA Server タブで Role-Based Access Control サブメニューを開き、Self Service Permissions を選択します。

2. 変更するセルフサービスルールの名前をクリックします。

   

3. 編集ページでは、セルフサービスルールに追加または削除する属性の一覧のみを編集できます。適切なチェックボックスを選択または選択解除します。
4. Save ボタンをクリックして、セルフサービスルールへの変更を保存します。

手順

1. IPA Server タブで Role-Based Access Control サブメニューを開き、Self Service Permissions を選択します。

2. 削除するルールの横にあるチェックボックスを選択し、一覧の右側にある Delete ボタンをクリックします。

   

3. ダイアログが開き、Delete をクリックして確認します。

手順

1. ~/ MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks/selfservice/ ディレクトリーにある selfservice-present.yml のコピーを作成します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-present.yml selfservice-present-copy.yml

3. Ansible Playbook ファイル (selfservice-present-copy.yml) を開きます。

4. ipaselfservice タスクセクションに以下の変数を設定してファイルを調整します。

   • ipaadmin_password 変数は IdM 管理者のパスワードに設定します。
   • name 変数は、新しいセルフサービスルールの名前に設定します。
   • permission 変数は、付与するパーミッションをコンマ区切りの一覧（read および write）で設定します。
   • attribute 変数は、ユーザーが管理できる属性 (givenname、displayname、title、および initials) を一覧として設定します。

   以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Self-service present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is present
       ipaselfservice:
         ipaadmin_password: Secret123
         name: "Users can manage their own name details"
         permission: read, write
         attribute:
         - givenname
         - displayname
         - title
         - initials

5. ファイルを保存します。

6. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i inventory selfservice-present-copy.yml

手順

1. ~/ MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks/selfservice/ ディレクトリーにある selfservice-absent.yml ファイルのコピーを作成します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-absent.yml selfservice-absent-copy.yml

3. Ansible Playbook ファイル (selfservice-absent-copy.yml) を開きます。

4. ipaselfservice タスクセクションに以下の変数を設定してファイルを調整します。

   • ipaadmin_password 変数は IdM 管理者のパスワードに設定します。
   • name 変数は、セルフサービスルールの名前に設定します。
   • state 変数は absent に設定します。

   以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Self-service absent
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is absent
       ipaselfservice:
         ipaadmin_password: Secret123
         name: "Users can manage their own name details"
         state: absent

5. ファイルを保存します。

6. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i inventory selfservice-absent-copy.yml

手順

1. ~/ MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks/selfservice/ ディレクトリーにある selfservice-member-present.yml ファイルのコピーを作成します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-member-present.yml selfservice-member-present-copy.yml

3. Ansible Playbook ファイル (selfservice-member-present-copy.yml) を開きます。

4. ipaselfservice タスクセクションに以下の変数を設定してファイルを調整します。

   • ipaadmin_password 変数は IdM 管理者のパスワードに設定します。
   • name 変数は、変更するセルフサービスルールの名前に設定します。
   • attribte 変数は surname に設定します。
   • action 変数は member に設定します。

   以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Self-service member present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attribute surname is present
       ipaselfservice:
         ipaadmin_password: Secret123
         name: "Users can manage their own name details"
         attribute:
         - surname
         action: member

5. ファイルを保存します。

6. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i inventory selfservice-member-present-copy.yml

手順

1. ~/ MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks/selfservice/ ディレクトリーにある selfservice-member-absent.yml ファイルのコピーを作成します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-member-absent.yml selfservice-member-absent-copy.yml

3. Ansible Playbook ファイル (selfservice-member-absent-copy.yml) を開きます。

4. ipaselfservice タスクセクションに以下の変数を設定してファイルを調整します。

   • ipaadmin_password 変数は IdM 管理者のパスワードに設定します。
   • name 変数は、変更するセルフサービスルールの名前に設定します。
   • 属性 変数は givenname および surname に設定します。
   • action 変数は member に設定します。
   • state 変数は absent に設定します。

   以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Self-service member absent
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attributes givenname and surname are absent
       ipaselfservice:
         ipaadmin_password: Secret123
         name: "Users can manage their own name details"
         attribute:
         - givenname
         - surname
         action: member
         state: absent

5. ファイルを保存します。

6. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i inventory selfservice-member-absent-copy.yml

手順

1. オプション。ipa group-show コマンドを使用して、削除するメンバーがグループに含まれていることを確認します。

2. ipa group-remove-member コマンドを使用して、ユーザーグループからメンバーを削除します。

   以下のオプションを使用して、削除するメンバーを指定します。

   • --users は、IdM ユーザーを削除します
   • --external は、DOMAIN\user_name または user_name@domain の形式で、IdM ドメイン外に存在するユーザーを削除します
   • --groups は、IdM ユーザーグループを削除します

   たとえば、group_name という名前のグループから、user1、user2、および group1 を削除するには、次のコマンドを実行します。

   $ ipa group-remove-member group_name --users=user1 --users=user2 --groups=group1

手順

1. Identity → Groups の順にクリックし、左のサイドバーで User Groups を選択します。
2. Add をクリックして、グループを追加します。

3. グループの情報を入力します。ユーザーグループタイプの詳細は、IdM のさまざまなグループタイプ を参照してください。

   グループのカスタム GID を指定できます。これを行う場合は、ID の競合を避けるように注意してください。カスタム GID を指定しない場合、IdM は使用可能な ID 範囲から GID を自動的に割り当てます。

   
4. Add をクリックして確定します。

手順

1. Identity → Groups の順にクリックし、User Groups を選択します。
2. 削除するグループを選択します。
3. Delete をクリックします。
4. Delete をクリックして確定します。

手順

1. Identity → Groups の順にクリックし、左のサイドバーで User Groups を選択します。
2. グループ名をクリックします。

3. 追加するグループメンバーのタイプ (Users, User Groups, または External) を選択します。

   
4. Add をクリックします。
5. 追加するメンバーの横にあるチェックボックスを 1 つ以上選択します。

6. 右矢印をクリックして、選択したメンバーをグループに移動します。

   
7. Add をクリックして確定します。

手順

1. Identity → Groups の順にクリックし、左のサイドバーで User Groups を選択します。
2. グループ名をクリックします。

3. 追加するグループメンバーマネージャーのタイプ (Users または User Groups) を選択します。

   
4. Add をクリックします。
5. 追加するメンバーの横にあるチェックボックスを 1 つ以上選択します。

6. 右矢印をクリックして、選択したメンバーをグループに移動します。

   
7. Add をクリックして確定します。

手順

1. Identity → Groupsを選択します。
2. 左のサイドバーで User Groups を選択します。
3. 表示するグループの名前をクリックします。

4. 直接メンバーシップ と 間接メンバーシップ を切り替えます。

   

手順

1. Identity → Groups の順にクリックし、左のサイドバーで User Groups を選択します。
2. グループ名をクリックします。

3. 削除するグループメンバーのタイプ (Users, User Groups、または External) を選択します。

   
4. 削除するメンバーの横にあるチェックボックスを選択します。
5. Delete をクリックします。
6. Delete をクリックして確定します。

手順

1. Identity → Groups の順にクリックし、左のサイドバーで User Groups を選択します。
2. グループ名をクリックします。

3. 削除するメンバーマネージャーのタイプ (Users または User Groups) を選択します。

   
4. 削除するメンバーマネージャーの横にあるチェックボックスを選択します。
5. Delete をクリックします。
6. Delete をクリックして確定します。

手順

1. inventory.file などのインベントリーファイルを作成して、そのファイルに ipaserver を定義します。

   [ipaserver]
   server.idm.example.com

2. 必要なユーザーおよびグループ情報を使用して Ansible Playbook ファイルを作成します。

   ---
   - name: Playbook to handle groups
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Create group ops with gid 1234
       ipagroup:
         ipaadmin_password: MySecret123
         name: ops
         gidnumber: 1234
   
     - name: Create group sysops
       ipagroup:
         ipaadmin_password: MySecret123
         name: sysops
         user:
         - idm_user
   
     - name: Create group appops
       ipagroup:
         ipaadmin_password: MySecret123
         name: appops
   
     - name: Add group members sysops and appops to group ops
       ipagroup:
         ipaadmin_password: MySecret123
         name: ops
         group:
         - sysops
         - appops

3. Playbook を実行します。

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-group-members.yml

1. 管理者として ipaserver にログインします。

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. ops についての情報を表示します。

   ipaserver]$ ipa group-show ops
     Group name: ops
     GID: 1234
     Member groups: sysops, appops
     Indirect Member users: idm_user

   appops および sysops グループ - idm_user ユーザーを含む後者は IdM に存在します。

手順

1. inventory.file などのインベントリーファイルを作成して、そのファイルに ipaserver を定義します。

   [ipaserver]
   server.idm.example.com

2. 必要なユーザーおよびグループメンバー管理情報を使用して、Ansible Playbook ファイルを作成します。

   ---
   - name: Playbook to handle membership management
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure user test is present for group_a
       ipagroup:
         ipaadmin_password: MySecret123
         name: group_a
         membermanager_user: test
   
     - name: Ensure group_admins is present for group_a
       ipagroup:
         ipaadmin_password: MySecret123
         name: group_a
         membermanager_group: group_admins

3. Playbook を実行します。

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-member-managers-user-groups.yml

1. 管理者として ipaserver にログインします。

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. managergroup1 についての情報を表示します。

   ipaserver]$ ipa group-show group_a
     Group name: group_a
     GID: 1133400009
     Membership managed by groups: group_admins
     Membership managed by users: test

手順

1. inventory.file などのインベントリーファイルを作成して、そのファイルに ipaserver を定義します。

   [ipaserver]
   server.idm.example.com

2. 必要なユーザーおよびグループメンバー管理情報を使用して、Ansible Playbook ファイルを作成します。

   ---
   - name: Playbook to handle membership management
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure member manager user and group members are absent for group_a
       ipagroup:
         ipaadmin_password: MySecret123
         name: group_a
         membermanager_user: test
         membermanager_group: group_admins
         action: member
         state: absent

3. Playbook を実行します。

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-member-managers-are-absent.yml

1. 管理者として ipaserver にログインします。

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. group_a についての情報を表示します。

   ipaserver]$ ipa group-show group_a
     Group name: group_a
     GID: 1133400009

手順

1. ipa automember-add コマンドを入力して、automember ルールを追加します。

2. プロンプトが表示されたら、以下を指定します。

   • automember ルール。これはターゲットグループ名です。
   • グループタイプ。これは、ルールがユーザーグループまたはホストグループをターゲットにするかどうかを指定します。ユーザーグループをターゲットにするには、group を入力します。ホストグループをターゲットに設定するには、ホストグループ を入力します。

   たとえば、user_group という名前のユーザーグループの automember ルールを追加するには、以下を実行します。

   $ ipa automember-add
   Automember Rule: user_group
   Grouping Type: group
   --------------------------------
   Added automember rule "user_group"
   --------------------------------
       Automember Rule: user_group

手順

1. ipa automember-add-condition コマンドを使用して、包含または除外の条件を定義します。

2. プロンプトが表示されたら、以下を指定します。

   • automember ルール。これはターゲットルール名です。詳細は、「Automember rules」を参照してください。
   • 属性キー。これは、フィルターが適用される entry 属性を指定します。たとえば、ユーザーの uid です。
   • グループタイプ。これは、ルールがユーザーグループまたはホストグループをターゲットにするかどうかを指定します。ユーザーグループをターゲットにするには、group を入力します。ホストグループをターゲットに設定するには、ホストグループ を入力します。
   • 包含正規表現 および 除外正規表現。正規表現として条件を指定します。ある条件のみを指定する場合は、他の条件が求められたら Enter を押します。

   たとえば、以下の条件は、ユーザーログイン属性 (uid) のすべての値 (.*) を対象にしています。

   $ ipa automember-add-condition
   Automember Rule: user_group
   Attribute Key: uid
   Grouping Type: group
   [Inclusive Regex]: .*
   [Exclusive Regex]:
   ----------------------------------
   Added condition(s) to "user_group"
   ----------------------------------
     Automember Rule: user_group
     Inclusive Regex: uid=.*
   ----------------------------
   Number of conditions added 1
   ----------------------------

   別の例として、automembership ルールを使用して、Active Directory (AD) から同期したすべての Windows ユーザーをターゲットにできます。これを行うには、objectClass 属性で ntUser を持つすべてのユーザーをターゲットにする条件を作成します。これは、すべての AD ユーザーが共有します。

   $ ipa automember-add-condition
   Automember Rule: ad_users
   Attribute Key: objectclass
   Grouping Type: group
   [Inclusive Regex]: ntUser
   [Exclusive Regex]:
   -------------------------------------
   Added condition(s) to "ad_users"
   -------------------------------------
     Automember Rule: ad_users
     Inclusive Regex: objectclass=ntUser
   ----------------------------
   Number of conditions added 1
   ----------------------------

手順

1. ipa automember-find コマンドを入力します。

2. プロンプトが表示されたら、Grouping タイプ を指定します。

   • ユーザーグループをターゲットにするには、group を入力します。

   • ホストグループをターゲットに設定するには、ホストグループ を入力します。

     以下に例を示します。

   $ ipa automember-find
   Grouping Type: group
   ---------------
   1 rules matched
   ---------------
     Automember Rule: user_group
     Inclusive Regex: uid=.*
   ----------------------------
   Number of entries returned 1
   ----------------------------

手順

1. ipa automember-del コマンドを実行します。

2. プロンプトが表示されたら、以下を指定します。

   • automember ルール。これは、削除するルールです。
   • グループルール。これは、削除するルールがユーザーグループまたはホストグループのルールであるかどうかを指定します。group または hostgroup を入力します。

手順

1. ipa automember-remove-condition コマンドを実行します。

2. プロンプトが表示されたら、以下を指定します。

   • automember ルール。これは、条件を削除するルールの名前です。
   • 属性キー。これはターゲットエントリー属性です。たとえば、ユーザーの uid です。
   • グループタイプ。これは、削除する条件がユーザーグループまたはホストグループのどちらであるかを指定します。group または hostgroup を入力します。

   • 包含正規表現 および 除外正規表現。削除する条件を指定します。ある条件のみを指定する場合は、他の条件が求められたら Enter を押します。

     以下に例を示します。

   $ ipa automember-remove-condition
   Automember Rule: user_group
   Attribute Key: uid
   Grouping Type: group
   [Inclusive Regex]: .*
   [Exclusive Regex]:
   -----------------------------------
   Removed condition(s) from "user_group"
   -----------------------------------
     Automember Rule: user_group
   ------------------------------
   Number of conditions removed 1
   ------------------------------

手順

1. ipa automember-default-group-set コマンドを入力して、デフォルトの automember グループを設定します。

2. プロンプトが表示されたら、以下を指定します。

   • ターゲットグループ名を指定する Default (fallback) Group。

   • グルーピングタイプ。ターゲットがユーザーグループか、ホストグループであるかを指定します。ユーザーグループをターゲットにするには、group を入力します。ホストグループをターゲットに設定するには、ホストグループ を入力します。

     以下に例を示します。

     $ ipa automember-default-group-set
     Default (fallback) Group: default_user_group
     Grouping Type: group
     ---------------------------------------------------
     Set default (fallback) group for automember "default_user_group"
     ---------------------------------------------------
       Default (fallback) Group: cn=default_user_group,cn=groups,cn=accounts,dc=example,dc=com

   注記

   現在のデフォルトの automember グループを削除するには、ipa automember-default-group-remove コマンドを実行します。

手順

1. Identity → Automember をクリックして、User group rule または Host group rules を選択します。
2. Add をクリックします。

3. Automember rule フィールドで、ルールを適用するグループを選択します。これはターゲットグループ名です。

   
4. Add をクリックして確定します。
5. 必要に応じて、「IdM Web UI で automember ルールへの条件の追加」で説明されている手順に従って、新しいルールに条件を追加できます。

手順

1. Identity → Automember をクリックして、User group rule または Host group rules を選択します。
2. 条件を追加するルールをクリックします。

3. Inclusive セクションまたは Exclusive セクションで、Add をクリックします。

   
4. Attribute フィールドで、必要な属性 (uid など) を選択します。
5. Expression フィールドに正規表現を定義します。

6. Add をクリックします。

   たとえば、以下の条件は、ユーザー ID (uid) 属性に値 (.*) が指定されているすべてのユーザーを対象とします。

   

手順

1. Identity → Automember をクリックして、User group rule または Host group rules を選択して、それぞれの automember ルールを表示します。

2. 必要に応じて、ルールをクリックして、Inclusive セクションまたは Exclusive セクションにそのルールの条件を表示します。

   

手順

1. Identity → Automember をクリックして、User group rule または Host group rules を選択して、それぞれの automember ルールを表示します。
2. 削除するルールの横にあるチェックボックスを選択します。

3. Delete をクリックします。

   
4. Delete をクリックして確定します。

手順

1. Identity → Automember をクリックして、User group rule または Host group rules を選択して、それぞれの automember ルールを表示します。
2. ルールをクリックして、Inclusive セクションまたは Exclusive セクションでそのルールの条件を表示します。
3. 削除する条件の横にあるチェックボックスを選択します。

4. Delete をクリックします。

   
5. Delete をクリックして確定します。

手順

1. Identity → Automember をクリックして、User group rules を選択します。

2. Default user group フィールドで、デフォルトのユーザーグループとして設定するグループを選択します。

   

手順

1. Identity → Automember をクリックして、Host group rules を選択します。

2. Default host group フィールドで、デフォルトのホストグループとして設定するグループを選択します。

   

手順

1. Ansible 設定および Playbook のディレクトリーをホームディレクトリーに作成します。

   $ mkdir ~/MyPlaybooks/

2. ~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks

3. ~/MyPlaybooks/ansible.cfg ファイルを以下の内容で作成します。

   [defaults]
   inventory = /home/your_username/MyPlaybooks/inventory
   
   [privilege_escalation]
   become=True

4. ~/MyPlaybooks/inventory ファイルを以下の内容で作成します。

   [eu]
   server.idm.example.com
   
   [us]
   replica.idm.example.com
   
   [ipaserver:children]
   eu
   us

   この設定は、これらの場所にあるホストの 2 つのホストグループ (eu と us) を定義します。さらに、この設定は、eu および us グループのすべてのホストを含む ipaserver ホストグループを定義します。

5. (必要に応じて) SSH 公開鍵および秘密鍵を作成します。テスト環境でのアクセスを簡素化するには、秘密鍵にパスワードを設定しないでください。

   $ ssh-keygen

6. 各管理対象ノードの IdM admin アカウントに SSH 公開鍵をコピーします。

   $ ssh-copy-id admin@server.idm.example.com
   $ ssh-copy-id admin@replica.idm.example.com

   これらのコマンドを入力する場合は、IdM admin パスワードを入力する必要があります。

手順

1. ~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks/automember/ ディレクトリーにある automember-group-present.yml Ansible Playbook ファイルをコピーします。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-group-present.yml automember-group-present-copy.yml

3. automember-group-present-copy.yml ファイルを開いて編集します。

4. ipaautomember タスクセクションで次の変数を設定して、ファイルを調整します。

   • ipaadmin_password 変数は IdM admin のパスワードに設定します。
   • name 変数を testing_group に設定します。
   • automember_type 変数を group に設定します。
   • state 変数は present に設定されていることを確認します。

   以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Automember group present example
     hosts: ipaserver
     become: true
     tasks:
     - name: Ensure group automember rule admins is present
       ipaautomember:
         ipaadmin_password: Secret123
         name: testing_group
         automember_type: group
         state: present

5. ファイルを保存します。

6. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i inventory automember-group-present-copy.yml

手順

1. ~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks/automember/ ディレクトリーにある automember-hostgroup-rule-present.yml Ansible Playbook ファイルをコピーして、名前を付けます (automember-usergroup-rule-present.yml など)。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-hostgroup-rule-present.yml automember-usergroup-rule-present.yml

3. automember-usergroup-rule-present.ymlを開いて編集します。

4. 次のパラメーターを変更して、ファイルを調整します。

   • ユースケースに対応するように Playbook の名前を変更します (例: Automember user group rule member present)。
   • ユースケースに合わせて、タスクの名前を変更します (例: Ensure an automember condition for a user group is present)。

   • ipaautomember タスクセクションで、以下の変数を設定します。

     • ipaadmin_password 変数は IdM admin のパスワードに設定します。
     • name 変数を testing_group に設定します。
     • automember_type 変数を group に設定します。
     • state 変数は present に設定されていることを確認します。
     • action 変数が member に設定されていることを確認します。
     • inclusive key 変数を UID に設定します。
     • inclusive expression 変数を .* に設定します。

   以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Automember user group rule member present
     hosts: ipaserver
     become: true
     tasks:
     - name: Ensure an automember condition for a user group is present
       ipaautomember:
         ipaadmin_password: Secret123
         name: testing_group
         automember_type: group
         state: present
         action: member
         inclusive:
           - key: UID
             expression: .*

5. ファイルを保存します。

6. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i inventory automember-usergroup-rule-present.yml

検証手順

1. IdM 管理者としてログインします。

   $ kinit admin

2. ユーザーを追加します。以下に例を示します。

   $ ipa user-add user101 --first user --last 101
   -----------------------
   Added user "user101"
   -----------------------
     User login: user101
     First name: user
     Last name: 101
     ...
     Member of groups: ipausers, testing_group
     ...

手順

1. ~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks/automember/ ディレクトリーにある automember-hostgroup-rule-absent.yml Ansible Playbook ファイルをコピーして、名前を付けます (automember-usergroup-rule-absent.yml など)。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-hostgroup-rule-absent.yml automember-usergroup-rule-absent.yml

3. automember-usergroup-rule-absent.ymlを開いて編集します。

4. 次のパラメーターを変更して、ファイルを調整します。

   • ユースケースに対応するように Playbook の名前を変更します (例: Automember user group rule member absent)。
   • ユースケースに合わせて、タスクの名前を変更します (例: Ensure an automember condition for a user group is absent)。

   • ipaautomember タスクセクションで、以下の変数を設定します。

     • ipaadmin_password 変数は IdM admin のパスワードに設定します。
     • name 変数を testing_group に設定します。
     • automember_type 変数を group に設定します。
     • state 変数は、absent に設定されていることを確認します。
     • action 変数が member に設定されていることを確認します。
     • inclusive key 変数を initials に設定します。
     • inclusive expression 変数を dp に設定します。

   以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Automember user group rule member absent
     hosts: ipaserver
     become: true
     tasks:
     - name: Ensure an automember condition for a user group is absent
       ipaautomember:
         ipaadmin_password: Secret123
         name: testing_group
         automember_type: group
         state: absent
         action: member
         inclusive:
           - key: initials
             expression: dp

5. ファイルを保存します。

6. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i inventory automember-usergroup-rule-absent.yml

検証手順

1. IdM 管理者としてログインします。

   $ kinit admin

2. automember グループを表示します。

   $ ipa automember-show --type=group testing_group
    Automember Rule: testing_group

手順

1. ~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks/automember/ ディレクトリーにある automember-group-absent.yml Ansible Playbook ファイルをコピーします。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-group-absent.yml automember-group-absent-copy.yml

3. automember-group-absent-copy.ymlを開いて編集します。

4. ipaautomember タスクセクションで次の変数を設定して、ファイルを調整します。

   • ipaadmin_password 変数は IdM admin のパスワードに設定します。
   • name 変数を testing_group に設定します。
   • automember_type 変数を group に設定します。
   • state 変数は、absent に設定されていることを確認します。

   以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Automember group absent example
     hosts: ipaserver
     become: true
     tasks:
     - name: Ensure group automember rule admins is absent
       ipaautomember:
         ipaadmin_password: Secret123
         name: testing_group
         automember_type: group
         state: absent

5. ファイルを保存します。

6. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i inventory automember-group-absent.yml

手順

1. ~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks/automember/ ディレクトリーにある automember-hostgroup-rule-present.yml Ansible Playbook ファイルをコピーします。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-hostgroup-rule-present.yml automember-hostgroup-rule-present-copy.yml

3. automember-hostgroup-rule-present-copy.ymlを開いて編集します。

4. ipaautomember タスクセクションで次の変数を設定して、ファイルを調整します。

   • ipaadmin_password 変数は IdM admin のパスワードに設定します。
   • name 変数を primary_dns_domain_hosts に設定します。
   • automember_type を hostgroup に設定します。
   • state 変数は present に設定されていることを確認します。
   • action 変数が member に設定されていることを確認します。
   • inclusive key 変数がfqdnに設定されていることを確認します。
   • 対応するinclusive expression変数を.*.idm.example.comに設定します。
   • exclusive key 変数を UID に設定します。
   • 対応する exclusive expression 変数を .*.example.org に設定します。

   以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Automember user group rule member present
     hosts: ipaserver
     become: true
     tasks:
     - name: Ensure an automember condition for a user group is present
       ipaautomember:
         ipaadmin_password: Secret123
         name: primary_dns_domain_hosts
         automember_type: hostgroup
         state: present
         action: member
         inclusive:
           - key: fqdn
             expression: .*.idm.example.com
         exclusive:
           - key: fqdn
             expression: .*.example.org

5. ファイルを保存します。

6. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i inventory automember-hostgroup-rule-present-copy.yml

手順

1. IPA Server メニューから、Role-Based Access Control → Delegations をクリックします。

2. Add をクリックします。

   

3. Add delegation ウィンドウで、以下を実行します。

   1. 新しい委譲ルールに名前を付けます。
   2. 指定の属性を表示する権限 (read)、および指定の属性を追加または変更する権限 (write) をユーザーに指定しているかどうかを示すチェックボックスを選択して、パーミッションを設定します。
   3. ユーザーグループドロップダウンメニューで、パーミッションを付与している グループを選択し、メンバーグループのユーザーエントリーを表示または編集します。
   4. Member user group ドロップダウンメニューで、委譲グループのメンバーが エントリーを編集できる グループを選択します。

   5. 属性ボックスで、パーミッションを付与する属性のチェックボックスを選択します。

      
   6. Add ボタンをクリックして、新規委譲ルールを保存します。

手順

1. IPA Server メニューから、Role-Based Access Control → Delegations をクリックします。

   
2. 変更するルールをクリックします。

3. 必要な変更を行います。

   • ルールの名前を変更します。
   • 指定の属性を表示する権限 (read)、および指定の属性を追加または変更する権限 (write) をユーザーに指定しているかどうかを示すチェックボックスを選択して、付与されたパーミッションを変更します。
   • ユーザーグループドロップダウンメニューで、パーミッションを付与している グループを選択し、メンバーグループのユーザーエントリーを表示または編集します。
   • Member user group ドロップダウンメニューで、委譲グループのメンバーが エントリーを編集できる グループを選択します。

   • 属性ボックスで、パーミッションを付与する属性のチェックボックスを選択します。属性のパーミッションを削除するには、関連するチェックボックスの選択を解除します。

     
   • Save ボタンをクリックして変更を保存します。

手順

1. IPA Server メニューから、Role-Based Access Control → Delegations をクリックします。
2. 削除するルールの横にあるチェックボックスを選択します。

3. Delete をクリックします。

   
4. Delete をクリックして確定します。

手順

1. Ansible 設定および Playbook のディレクトリーをホームディレクトリーに作成します。

   $ mkdir ~/MyPlaybooks/

2. ~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks

3. ~/MyPlaybooks/ansible.cfg ファイルを以下の内容で作成します。

   [defaults]
   inventory = /home/<username>/MyPlaybooks/inventory
   
   [privilege_escalation]
   become=True

4. ~/MyPlaybooks/inventory ファイルを以下の内容で作成します。

   [eu]
   server.idm.example.com
   
   [us]
   replica.idm.example.com
   
   [ipaserver:children]
   eu
   us

   この設定は、これらの場所にあるホストの 2 つのホストグループ (eu と us) を定義します。さらに、この設定は、eu および us グループのすべてのホストを含む ipaserver ホストグループを定義します。

手順

1. ~/ MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks/delegation/ にある delegation-present.yml ファイルのコピーを作成します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-present.yml delegation-present-copy.yml

3. Ansible Playbook ファイル delegation-present-copy.yml を開きます。

4. ipadelegation タスクセクションに以下の変数を設定して、ファイルを調整します。

   • ipaadmin_password 変数は IdM 管理者のパスワードに設定します。
   • name 変数は新しい委譲ルールの名前に設定します。
   • permission 変数は、付与するパーミッションをコンマ区切りの一覧（read および write）で設定します。
   • attribute 変数は、委譲されたユーザーグループが管理できる属性の一覧 (businesscategory、departmentnumber、employeenumber および employeetype) に変数を設定します。
   • group 変数は、属性の表示や変更権限を付与したグループの名前に設定します。
   • membergroup 変数は、属性の表示または変更が可能なグループ名に設定します。

   以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Playbook to manage a delegation rule
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure delegation "basic manager attributes" is present
       ipadelegation:
         ipaadmin_password: Secret123
         name: "basic manager attributes"
         permission: read, write
         attribute:
         - businesscategory
         - departmentnumber
         - employeenumber
         - employeetype
         group: managers
         membergroup: employees

5. ファイルを保存します。

6. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory delegation-present-copy.yml

手順

1. ~/ MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks>/

2. /usr/share/doc/ansible-freeipa/playbooks/delegation/ ディレクトリーにある delegation-absent.yml ファイルのコピーを作成します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-present.yml delegation-absent-copy.yml

3. Ansible Playbook ファイル delegation-absent-copy.yml を開きます。

4. ipadelegation タスクセクションに以下の変数を設定して、ファイルを調整します。

   • ipaadmin_password 変数は IdM 管理者のパスワードに設定します。
   • name 変数は委譲ルールの名前に設定します。
   • state 変数は absent に設定します。

   以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Delegation absent
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure delegation "basic manager attributes" is absent
       ipadelegation:
         ipaadmin_password: Secret123
         name: "basic manager attributes"
         state: absent

5. ファイルを保存します。

6. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory delegation-absent-copy.yml

手順

1. ~/ MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks/delegation/ にある delegation-member-present.yml ファイルのコピーを作成します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-member-present.yml delegation-member-present-copy.yml

3. Ansible Playbook ファイル delegation-member-present-copy.yml を開きます。

4. ipadelegation タスクセクションに以下の変数を設定して、ファイルを調整します。

   • ipaadmin_password 変数は IdM 管理者のパスワードに設定します。
   • name 変数は、変更する委譲ルールの名前に設定します。
   • attribute 変数は departmentnumber に設定します。
   • action 変数は member に設定します。

   以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Delegation member present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure delegation "basic manager attributes" member attribute departmentnumber is present
       ipadelegation:
         ipaadmin_password: Secret123
         name: "basic manager attributes"
         attribute:
         - departmentnumber
         action: member

5. ファイルを保存します。

6. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory delegation-member-present-copy.yml

手順

1. ~/ MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks/delegation/ にある delegation-member-absent.yml ファイルのコピーを作成します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-member-absent.yml delegation-member-absent-copy.yml

3. Ansible Playbook ファイル delegation-member-absent-copy.yml を開きます。

4. ipadelegation タスクセクションに以下の変数を設定して、ファイルを調整します。

   • ipaadmin_password 変数は IdM 管理者のパスワードに設定します。
   • name 変数は、変更する委譲ルールの名前に設定します。
   • attribute 変数は employeenumber および employeetype に設定します。
   • action 変数は member に設定します。
   • state 変数は absent に設定します。

   以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Delegation member absent
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure delegation "basic manager attributes" member attributes employeenumber and employeetype are absent
       ipadelegation:
         ipaadmin_password: Secret123
         name: "basic manager attributes"
         attribute:
         - employeenumber
         - employeetype
         action: member
         state: absent

5. ファイルを保存します。

6. Playbook ファイルとインベントリーファイルを指定して Ansible Playbook を実行します。

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory delegation-member-absent-copy.yml