절차

1. 터미널을 열고 IdM 서버에 연결합니다.

2. ipa 도움말 주제를 입력하여 도움말에서 다루는 주제 목록을 표시합니다.

   $ ipa help topics

3. 주제 중 하나를 선택하고 다음 패턴에 따라 명령을 만듭니다. ipa help [topic_name]. topic_name 문자열 대신 이전 단계에서 나열한 주제 중 하나를 추가합니다.

   이 예제에서는 다음 주제를 사용합니다. user

   $ ipa help user

4. IPA 도움말 출력이 너무 길어 전체 텍스트를 볼 수 없는 경우 다음 구문을 사용하십시오.

   $ ipa help user | less

   그런 다음 아래로 스크롤하여 전체 도움을 읽을 수 있습니다.

절차

1. 터미널을 열고 IdM 서버에 연결합니다.

2. ipa help 명령을 입력하여 도움말에서 다루는 명령 목록을 표시합니다.

   $ ipa help commands

3. 명령 중 하나를 선택하고 다음 패턴에 따라 help 명령을 생성합니다. ipa help < COMMAND>. &lt ;COMMAND& gt; 문자열 대신 이전 단계에서 나열한 명령 중 하나를 추가합니다.

   $ ipa help user-add

절차

1. 터미널을 열고 IdM 서버에 연결합니다.

2. 새 사용자를 추가하려면 명령을 입력합니다.

   $ ipa user-add

   이 명령은 사용자 계정을 생성하는 데 필요한 기본 데이터를 제공하도록 요청하는 스크립트를 실행합니다.

3. First name: 필드에 새 사용자의 첫 번째 이름을 입력하고 Enter 키를 누릅니다.
4. 성: 필드에 새 사용자의 성을 입력하고 Enter 키를 누릅니다.

5. User login [suggested user name]: 사용자 이름을 입력하거나 Enter 키를 눌러 제안된 사용자 이름을 수락합니다.

   사용자 이름은 전체 IdM 데이터베이스에 대해 고유해야 합니다. 해당 사용자 이름이 이미 존재하기 때문에 오류가 발생하면 ipa user-add 명령을 사용하여 프로세스를 반복하고 다른 고유한 사용자 이름을 사용합니다.

절차

1. 터미널을 열고 IdM 서버에 연결합니다.

2. ipa user-mod 명령을 입력하고 수정할 사용자를 지정하고, 암호를 추가하기 위해 --password 와 같은 옵션을 지정합니다.

   $ ipa user-mod euser --password

   이 명령은 새 암호를 추가할 수 있는 스크립트를 실행합니다.

3. 새 암호를 입력하고 Enter 키를 누릅니다.

절차

1. 터미널을 열고 IdM 서버에 연결합니다.

2. 사용자 로그인, 사용자의 이름, 성을 추가하고 필요한 경우 이메일 주소를 추가할 수도 있습니다.

   $ ipa user-add user_login --first=first_name --last=last_name --email=email_address

   IdM에서는 다음 정규식으로 설명할 수 있는 사용자 이름을 지원합니다.

   [a-zA-Z0-9_.][a-zA-Z0-9_.-]{0,252}[a-zA-Z0-9_.$-]?

   참고

   후행 달러 기호($)로 끝나는 사용자 이름은 Samba 3.x 시스템 지원을 활성화하기 위해 지원됩니다.

   대문자가 포함된 사용자 이름을 추가하는 경우 IdM은 자동으로 이름을 저장할 때 소문자로 변환합니다. 따라서 IdM은 로그인할 때 항상 사용자 이름을 소문자로 입력해야 합니다. 또한 사용자 및 사용자 등 문자 캐싱에서만 다른 사용자 이름을 추가할 수 없습니다 .

   사용자 이름의 기본 최대 길이는 32자입니다. 변경하려면 ipa config-mod --maxusername 명령을 사용합니다. 예를 들어 최대 사용자 이름 길이를 64자로 늘리려면 다음을 수행합니다.

   $ ipa config-mod --maxusername=64
    Maximum username length: 64
    ...

   ipa user-add 명령에는 많은 매개 변수가 포함되어 있습니다. 모두 나열하려면 ipa help 명령을 사용합니다.

   $ ipa help user-add

   ipa help 명령에 대한 자세한 내용은 IPA 도움말을 참조하십시오.

절차

1. 터미널을 열고 IdM 서버에 연결합니다.

2. 다음 명령으로 사용자 계정을 활성화합니다.

   $ ipa stageuser-activate user_login
   -------------------------
   Stage user user_login activated
   -------------------------
   ...

절차

1. 터미널을 열고 IdM 서버에 연결합니다.

2. 다음 명령을 사용하여 사용자 계정을 보존합니다.

   $ ipa user-del --preserve user_login
   --------------------
   Deleted user "user_login"
   --------------------

   참고

   사용자 계정이 삭제되었다는 출력에도 불구하고 보존되었습니다.

절차

1. 터미널을 열고 IdM 서버에 연결합니다.

2. 다음 명령을 사용하여 사용자 계정을 삭제합니다.

   $ ipa user-del user_login
   --------------------
   Deleted user "user_login"
   --------------------

절차

1. 터미널을 열고 IdM 서버에 연결합니다.

2. 다음 명령으로 사용자 계정을 활성화합니다.

   $ ipa user-undel user_login
   ------------------------------
   Undeleted user account "user_login"
   ------------------------------

   또는 사용자 계정을 스테이징된 상태로 복원할 수 있습니다.

   $ ipa user-stage user_login
   ------------------------------
   Staged user account "user_login"
   ------------------------------

절차

1. IdM 웹 UI에 로그인합니다.

   자세한 내용은 웹 브라우저에서 IdM 웹 UI 액세스를 참조하십시오.

2. 사용자 → 사용자 단계 탭으로 이동합니다.

   또는 사용자 → 활성 사용자에게 사용자 계정을 추가할 수도 있지만 계정에 사용자 그룹을 추가할 수는 없습니다.

3. + Add(추가) 아이콘을 클릭합니다.
4. Add stage user ( 단계 사용자 추가) 대화 상자에 새 사용자의 이름 및 이름을 입력합니다.

5. [선택 사항] 사용자 로그인 필드에 로그인 이름을 추가합니다.

   비워 두면 IdM 서버에서 다음 패턴으로 로그인 이름을 생성합니다. 이름 및 성의 첫 글자. 전체 로그인 이름은 최대 32자를 가질 수 있습니다.

6. [선택 사항] GID 드롭다운 메뉴에서 사용자가 포함해야 하는 그룹을 선택합니다.
7. [선택 사항] Password 및 Verify password 필드에 암호를 입력하고 확인하고 둘 다 일치하는지 확인합니다.

8. Add(추가) 단추를 클릭합니다.

   

절차

1. IdM 웹 UI에 로그인합니다.

   자세한 내용은 웹 브라우저에서 IdM 웹 UI 액세스를 참조하십시오.

2. 사용자 → 사용자 탭으로 이동합니다.
3. 활성화하려는 사용자 계정의 확인란을 클릭합니다.

4. Activate(활성화 ) 버튼을 클릭합니다.

   

5. 확인 대화 상자에서 확인을 클릭합니다.

절차

1. IdM 웹 UI에 로그인합니다.

   자세한 내용은 웹 브라우저에서 IdM 웹 UI 액세스를 참조하십시오.

2. 사용자 → 활성 사용자 탭으로 이동합니다.
3. 비활성화하려는 사용자 계정의 확인란을 클릭합니다.

4. Disable(비활성화 ) 버튼을 클릭합니다.

   

5. Confirmation(확인 ) 대화 상자에서 OK (확인) 버튼을 클릭합니다.

절차

1. IdM 웹 UI에 로그인합니다.
2. 사용자 → 활성 사용자 탭으로 이동합니다.
3. 활성화하려는 사용자 계정의 확인란을 클릭합니다.

4. Enable 단추를 클릭합니다.

   

5. Confirmation(확인 ) 대화 상자에서 OK (확인) 버튼을 클릭합니다.

절차

1. IdM 웹 UI에 로그인합니다.

   자세한 내용은 웹 브라우저에서 IdM 웹 UI 액세스를 참조하십시오.

2. 사용자 → 활성 사용자 탭으로 이동합니다.
3. 보존할 사용자 계정의 확인란을 클릭합니다.

4. Delete(삭제) 단추를 클릭합니다.

   

5. Remove users(사용자 제거 ) 대화 상자에서 Delete mode(삭제 모드) 라디오 버튼을 전환하여 보존합니다.

6. Delete(삭제) 단추를 클릭합니다.

   

절차

1. IdM 웹 UI에 로그인합니다.

   자세한 내용은 웹 브라우저에서 IdM 웹 UI 액세스를 참조하십시오.

2. 사용자 → 보존된 사용자 탭으로 이동합니다.
3. 복원할 사용자 계정에서 체크박스를 클릭합니다.

4. Restore (복구) 버튼을 클릭합니다.

   

5. Confirmation(확인 ) 대화 상자에서 OK (확인) 버튼을 클릭합니다.

절차

1. IdM 웹 UI에 로그인합니다.

   자세한 내용은 웹 브라우저에서 IdM 웹 UI 액세스를 참조하십시오.

2. 사용자 → 활성 사용자 탭으로 이동합니다.

   또는 사용자 → 사용자 단계 또는 사용자 → 보존된 사용자의 사용자 계정을 삭제할 수 있습니다.

3. Delete(삭제) 아이콘을 클릭합니다.
4. Remove users(사용자 제거 ) 대화 상자에서 Delete mode(삭제 모드 ) 라디오 버튼을 삭제 하도록 전환합니다.
5. Delete(삭제) 단추를 클릭합니다.

절차

1. 인벤토리 파일(예: inventory.file )을 생성하고 여기에 ipaserver 를 정의합니다.

   [ipaserver]
   server.idm.example.com

2. IdM에 있는 사용자의 데이터를 사용하여 Ansible 플레이북 파일을 생성합니다. 이 단계를 간소화하기 위해 /usr/share/doc/ansible-freeipa/playbooks/user/add-user.yml 파일에서 예제를 복사하고 수정할 수 있습니다. 예를 들어 idm_user 라는 사용자를 생성하고 Password123 을 사용자 암호로 추가하려면 다음을 수행합니다.

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create user idm_user
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: idm_user
         first: Alice
         last: Acme
         uid: 1000111
         gid: 10011
         phone: "+555123457"
         email: idm_user@acme.com
         passwordexpiration: "2023-01-19 23:59:59"
         password: "Password123"
         update_password: on_create

   사용자를 추가하려면 다음 옵션을 사용해야 합니다.

   • name: 로그인 이름
   • first: 첫 번째 이름 문자열
   • last: 성 문자열

   사용 가능한 사용자 옵션의 전체 목록은 /usr/share/doc/ansible-freeipa/README-user.md Markdown 파일을 참조하십시오.

   참고

   update_password: on_create 옵션을 사용하는 경우 Ansible은 사용자를 생성할 때만 사용자 암호를 생성합니다. 사용자가 이미 암호를 사용하여 생성된 경우 Ansible에서 새 암호를 생성하지 않습니다.

3. 플레이북을 실행합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-IdM-user.yml

절차

1. 인벤토리 파일(예: inventory.file )을 생성하고 여기에 ipaserver 를 정의합니다.

   [ipaserver]
   server.idm.example.com

2. IdM에서 확인할 사용자의 데이터로 Ansible 플레이북 파일을 생성합니다. 이 단계를 간소화하기 위해 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 파일에서 예제를 복사하고 수정할 수 있습니다. 예를 들어 idm_user_1, idm_user _2 및 idm_user _3 사용자를 생성하고, Password123 을 idm_user_1 의 암호로 추가하려면 다음을 수행합니다.

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create user idm_users
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users:
         - name: idm_user_1
           first: Alice
           last: Acme
           uid: 10001
           gid: 10011
           phone: "+555123457"
           email: idm_user@acme.com
           passwordexpiration: "2023-01-19 23:59:59"
           password: "Password123"
         - name: idm_user_2
           first: Bob
           last: Acme
           uid: 100011
           gid: 10011
         - name: idm_user_3
           first: Eve
           last: Acme
           uid: 1000111
           gid: 10011

   참고

   update_password: on_create 옵션을 지정하지 않으면 Ansible은 플레이북을 실행할 때마다 사용자 암호를 다시 설정합니다. 플레이북이 마지막으로 실행된 이후 사용자가 암호를 변경한 경우 Ansible은 암호를 다시 설정합니다.

3. 플레이북을 실행합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-users.yml

절차

1. 인벤토리 파일(예: inventory.file )을 생성하고 여기에 ipaserver 를 정의합니다.

   [ipaserver]
   server.idm.example.com

2. 필요한 작업을 사용하여 Ansible 플레이북 파일을 생성합니다. 확인하고자 하는 사용자의 데이터로 JSON 파일을 참조합니다. 이 단계를 간소화하기 위해 /usr/share/doc/ansible-freeipa/ensure-users-present-ymlfile.yml 파일에서 예제를 복사하고 수정할 수 있습니다.

   ---
   - name: Ensure users' presence
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Include users.json
       include_vars:
         file: users.json
   
     - name: Users present
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users: "{{ users }}"

3. users.json 파일을 생성하고 IdM 사용자를 추가합니다. 이 단계를 간소화하기 위해 /usr/share/doc/ansible-freeipa/playbooks/user/users.json 파일에서 예제를 복사하고 수정할 수 있습니다. 예를 들어 idm_user_1, idm_user _2 및 idm_user _3 사용자를 생성하고, Password123 을 idm_user_1 의 암호로 추가하려면 다음을 수행합니다.

   {
     "users": [
      {
       "name": "idm_user_1",
       "first": "Alice",
       "last": "Acme",
       "password": "Password123"
      },
      {
       "name": "idm_user_2",
       "first": "Bob",
       "last": "Acme"
      },
      {
       "name": "idm_user_3",
       "first": "Eve",
       "last": "Acme"
      }
     ]
   }

4. Ansible 플레이북을 실행합니다. Playbook 파일, secret.yml 파일을 보호하는 암호를 저장하는 파일, 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-users-present-jsonfile.yml

절차

1. 인벤토리 파일(예: inventory.file )을 생성하고 여기에 ipaserver 를 정의합니다.

   [ipaserver]
   server.idm.example.com

2. IdM에 없는 사용자로 Ansible 플레이북 파일을 생성합니다. 이 단계를 간소화하기 위해 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 파일에서 예제를 복사하고 수정할 수 있습니다. 예를 들어 idm_user_1, idm_user _2 및 idm_user _3 사용자를 삭제하려면 다음을 수행합니다.

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Delete users idm_user_1, idm_user_2, idm_user_3
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users:
         - name: idm_user_1
         - name: idm_user_2
         - name: idm_user_3
         state: absent

3. Ansible 플레이북을 실행합니다. Playbook 파일, secret.yml 파일을 보호하는 암호를 저장하는 파일, 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/delete-users.yml

1. 관리자로 ipaserver 에 로그인합니다.

   $ ssh administrator@server.idm.example.com
   Password:
   [admin@server /]$

2. idm_user_1 에 대한 정보를 요청합니다.

   $ ipa user-show idm_user_1
   ipa: ERROR: idm_user_1: user not found

   이름이 idm_user_1 인 사용자는 IdM에 없습니다.

절차

1. 오른쪽 상단에서 사용자 이름 → 암호 변경을 클릭합니다.

   그림 5.1. 암호 재설정

   
2. 현재 및 새 암호를 입력합니다.

절차

1. Identity → Users 를 선택합니다.
2. 편집할 사용자 이름을 클릭합니다.

3. Actions → Reset password (암호 재설정)를 클릭합니다.

   그림 5.2. 암호 재설정

   

4. 새 암호를 입력하고 암호 재설정 을 클릭합니다.

   그림 5.3. 새 암호 확인

   

절차

1. pwdhash 명령을 사용하여 새 암호 해시를 생성합니다. 예를 들면 다음과 같습니다.

   # pwdhash -D /etc/dirsrv/slapd-IDM-EXAMPLE-COM password
   {PBKDF2_SHA256}AAAgABU0bKhyjY53NcxY33ueoPjOUWtl4iyYN5uW...

   Directory Server 구성의 경로를 지정하면 nsslapd-rootpwstoragescheme 속성에 설정된 암호 스토리지 스키마를 자동으로 사용하여 새 암호를 암호화합니다.

2. 토폴로지의 모든 IdM 서버에서 다음 단계를 실행합니다.

   1. 서버에 설치된 모든 IdM 서비스를 중지합니다.

      # ipactl stop

   2. /etc/dirsrv/IDM-EXAMPLE-COM/dse.ldif 파일을 편집하고 nsslapd-rootpw 속성을 pwdhash 명령으로 생성된 값으로 설정합니다.

      nsslapd-rootpw: {PBKDF2_SHA256}AAAgABU0bKhyjY53NcxY33ueoPjOUWtl4iyYN5uW...

   3. 서버에 설치된 모든 IdM 서비스를 시작합니다.

   # ipactl start

절차

1. 도메인의 모든 IdM(Identity Management) 서버에서 다음과 같이 변경합니다.

   1. ldapmodify 명령을 입력하여 LDAP 항목을 수정합니다. IdM 서버 이름과 389 포트의 이름을 지정하고 Enter 키를 누릅니다.

      $ ldapmodify -x -D "cn=Directory Manager" -W -h server.idm.example.com -p 389
      Enter LDAP Password:

   2. Directory Manager 암호를 입력합니다.

   3. ipa_pwd_extop 암호 동기화 항목의 고유 이름을 입력하고 Enter 키를 누릅니다.

      dn: cn=ipa_pwd_extop,cn=plugins,cn=config

   4. 변경 유형 지정 및 Enter 키를 누릅니다.

      changetype: modify

   5. 실행할 LDAP와 어떤 속성에 대해 수정 유형을 지정합니다. Enter를 누릅니다.

      add: passSyncManagersDNs

   6. passSyncManagersDNs 속성에 관리 사용자 계정을 지정합니다. 속성은 다중 값입니다. 예를 들어 admin 사용자에게 Directory Manager의 전원을 재설정하는 암호를 부여하려면 다음을 수행합니다.

      passSyncManagersDNs: \
      uid=admin,cn=users,cn=accounts,dc=example,dc=com

   7. Enter를 두 번 눌러 항목 편집을 중지합니다.

절차

1. 사용자 계정 상태를 표시하여 실패한 로그인 수를 확인합니다.

   $ ipa user-status example_user
   -----------------------
   Account disabled: False
   -----------------------
     Server: idm.example.com
     Failed logins: 8
     Last successful authentication: N/A
     Last failed authentication: 20220229080317Z
     Time now: 2022-02-29T08:04:46Z
   ----------------------------
   Number of entries returned 1
   ----------------------------

2. 특정 사용자에 대해 허용된 로그인 시도 횟수를 표시합니다.

   1. IdM 관리자로 IdM 웹 UI에 로그인합니다.
   2. Identity → 사용자 → 활성 사용자 탭을 엽니다.

   

   1. 사용자 이름을 클릭하여 사용자 설정을 엽니다.
   2. 암호 정책 섹션에서 최대 실패 항목을 찾습니다.
3. ipa user-status 명령 출력에 표시된 실패한 로그인 수와 IdM 웹 UI에 표시된 최대 오류 수를 비교합니다. 실패한 로그인 수가 허용되는 최대 로그인 시도 횟수와 동일한 경우 사용자 계정이 잠깁니다.

절차

1. 현재 활성화된 암호 플러그인 기능을 표시합니다.

   # ipa config-show | grep "Password plugin features"
     Password plugin features: AllowNThash, KDC:Disable Last Success

   출력에 DASD :Disable Last Success 플러그인이 활성화되어 있음을 보여줍니다. 플러그인은 ipa user-status 출력에 마지막으로 성공한 Kerberos 인증 시도가 표시되지 않도록 숨깁니다.

2. ArgoCD :Disable Last Success 를 제외하고 현재 활성화된 ipa config-mod 명령에 모든 기능에 대해 --ipaconfigstring=feature 매개 변수를 추가합니다.

   # ipa config-mod --ipaconfigstring='AllowNThash'

   이 명령은 AllowNThash 플러그인만 활성화합니다. 여러 기능을 활성화하려면 각 기능에 대해 --ipaconfigstring=기능 매개변수를 별도로 지정합니다.

3. IdM을 다시 시작하십시오.

   # ipactl restart

절차

1. 인벤토리 파일(예: inventory.file )을 생성하고 [ipaserver] 섹션에 IdM 서버의 FQDN 을 정의합니다.

   [ipaserver]
   server.idm.example.com

2. 확인하려는 암호 정책을 정의하는 Ansible 플레이북 파일을 생성합니다. 이 단계를 단순화하려면 /usr/share/doc/ansible-freeipa/playbooks/pwpolicy/pwpolicy_present.yml 파일의 예제를 복사하고 수정합니다.

   ---
   - name: Tests
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure presence of pwpolicy for group ops
       ipapwpolicy:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: ops
         minlife: 7
         maxlife: 49
         history: 5
         priority: 1
         lockouttime: 300
         minlength: 8
         minclasses: 4
         maxfail: 3
         failinterval: 5

   개별 변수가 무엇을 의미하는지에 대한 자세한 내용은 Password policy attributes 을 참조하십시오.

3. 플레이북을 실행합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory_/new_pwpolicy_present.yml

절차

1. managers 그룹의 사용자가 지정한 모든 새 암호에 사용자 이름 검사를 적용합니다.

   $ ipa pwpolicy-mod --usercheck=True managers

   참고

   암호 정책의 이름을 지정하지 않으면 기본 global_policy 가 수정됩니다.

2. managers 암호 정책에서 동일한 연속 문자의 최대 수를 2로 설정합니다.

   $ ipa pwpolicy-mod --maxrepeat=2 managers

   2개 이상의 연속 문자가 포함된 경우 암호를 사용할 수 없습니다. 예를 들어 eR873mUi111YJQ 조합은 연속 3 개s가 포함되어 있기 때문에 허용되지 않습니다.

검증

1. test_user 라는 테스트 사용자를 추가합니다.

   $ ipa user-add test_user
   First name: test
   Last name: user
   ----------------------------
   Added user "test_user"
   ----------------------------

2. managers 그룹에 test 사용자를 추가합니다.

   1. IdM 웹 UI에서 Identity → Groups → User Groups (사용자 그룹) 를 클릭합니다.
   2. 관리자.
   3. 추가를 클릭합니다.
   4. 사용자 그룹 'managers'에 사용자 사용자 추가 페이지에서 test_user 를 확인합니다.
   5. &gt ; 화살표를 클릭하여 사용자를 Prospective 열로 이동합니다.
   6. 추가를 클릭합니다.

3. test 사용자의 암호를 재설정합니다.

   1. Identity → Users 로 이동합니다.
   2. test_user 를 클릭합니다.
   3. 작업 메뉴에서 암호 재설정 을 클릭합니다.
   4. 사용자에 대한 임시 암호를 입력합니다.

4. 명령줄에서 test_user 에 대한 Kerberos TGT( ticket-granting ticket)를 받으십시오.

   $ kinit test_user

   1. 임시 암호를 입력합니다.

   2. 시스템에서 암호를 변경해야 함을 알려줍니다. test_user 의 사용자 이름이 포함된 암호를 입력합니다.

      Password expired. You must change it now.
      Enter new password:
      Enter it again:
      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.

      참고

      Kerberos는 세분화된 오류 암호 정책 보고가 없으며, 경우에 따라 암호가 거부된 명확한 이유를 제공하지 않습니다.

   3. 시스템에서 입력한 암호가 거부되었음을 알려줍니다. 3개 이상의 동일한 문자가 포함된 암호를 입력합니다.

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

   4. 시스템에서 입력한 암호가 거부되었음을 알려줍니다. 관리자 암호 정책의 기준을 충족하는 암호를 입력합니다.

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

5. 가져온 TGT를 확인합니다.

   $ klist
   Ticket cache: KCM:0:33945
   Default principal: test_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   07/07/2021 12:44:44  07/08/2021 12:44:44  krbtgt@IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

절차

1. 확인하려는 암호 정책을 정의하는 Ansible 플레이북 파일 manager_pwpolicy_present.yml 을 생성합니다. 이 단계를 간소화하려면 다음 예제를 복사 및 수정합니다.

   ---
   - name: Tests
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure presence of usercheck and maxrepeat pwpolicy for group managers
       ipapwpolicy:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: managers
         usercheck: True
         maxrepeat: 2
         maxsequence: 3

2. 플레이북을 실행합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory_/manager_pwpolicy_present.yml

검증

1. test_user 라는 테스트 사용자를 추가합니다.

   $ ipa user-add test_user
   First name: test
   Last name: user
   ----------------------------
   Added user "test_user"
   ----------------------------

2. managers 그룹에 test 사용자를 추가합니다.

   1. IdM 웹 UI에서 Identity → Groups → User Groups (사용자 그룹) 를 클릭합니다.
   2. 관리자.
   3. 추가를 클릭합니다.
   4. 사용자 그룹 'managers'에 사용자 사용자 추가 페이지에서 test_user 를 확인합니다.
   5. &gt ; 화살표를 클릭하여 사용자를 Prospective 열로 이동합니다.
   6. 추가를 클릭합니다.

3. test 사용자의 암호를 재설정합니다.

   1. Identity → Users 로 이동합니다.
   2. test_user 를 클릭합니다.
   3. 작업 메뉴에서 암호 재설정 을 클릭합니다.
   4. 사용자에 대한 임시 암호를 입력합니다.

4. 명령줄에서 test_user 에 대한 Kerberos TGT( ticket-granting ticket)를 받으십시오.

   $ kinit test_user

   1. 임시 암호를 입력합니다.

   2. 시스템에서 암호를 변경해야 함을 알려줍니다. test_user 의 사용자 이름이 포함된 암호를 입력합니다.

      Password expired. You must change it now.
      Enter new password:
      Enter it again:
      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.

      참고

      Kerberos는 세분화된 오류 암호 정책 보고가 없으며, 경우에 따라 암호가 거부된 명확한 이유를 제공하지 않습니다.

   3. 시스템에서 입력한 암호가 거부되었음을 알려줍니다. 3개 이상의 동일한 문자가 포함된 암호를 입력합니다.

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

   4. 시스템에서 입력한 암호가 거부되었음을 알려줍니다. 3자를 초과하는 단조 문자 시퀀스가 포함된 암호를 입력합니다. 이러한 서열의 예는 1234 및 fedc 를 포함한다:

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

   5. 시스템에서 입력한 암호가 거부되었음을 알려줍니다. 관리자 암호 정책의 기준을 충족하는 암호를 입력합니다.

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

5. 유효한 암호를 입력한 후에만 TGT를 받을 수 있는지 확인합니다.

   $ klist
   Ticket cache: KCM:0:33945
   Default principal: test_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   07/07/2021 12:44:44  07/08/2021 12:44:44  krbtgt@IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

절차

1. epn.conf 구성 파일을 업데이트하여 EPN 툴에 대한 옵션을 설정하여 향후 암호 만료를 사용자에게 알립니다.

   # vi /etc/ipa/epn.conf

2. 필요에 따라 notify_ttls 를 업데이트합니다. 기본값은 암호가 28, 14, 7, 3 및 1일 후에 만료되는 사용자에게 알리는 것입니다.

   notify_ttls = 28, 14, 7, 3, 1

3. SMTP 서버 및 포트를 구성합니다.

   smtp_server = localhost
   smtp_port = 25

4. 이메일 만료 알림이 전송되는 이메일 주소를 지정합니다. 실패한 모든 이메일은 이 주소로 반환됩니다.

   mail_from =admin-email@example.com

5. /etc/ipa/epn.conf 파일을 저장합니다.

6. 시험 실행 모드에서 EPN 도구를 실행하여 --dry-run 옵션 없이 도구를 실행하면 암호 만료 이메일 알림이 전송되는 사용자 목록을 생성합니다.

   ipa-epn --dry-run
   [
       {
        "uid": "user5",
        "cn": "user 5",
        "krbpasswordexpiration": "2020-04-17 15:51:53",
        "mail": "['user5@ipa.test']"
       }
   ]
   [
       {
        "uid": "user6",
        "cn": "user 6",
        "krbpasswordexpiration": "2020-12-17 15:51:53",
        "mail": "['user5@ipa.test']"
        }
   ]
   The IPA-EPN command was successful

   참고

   반환된 사용자 목록이 매우 크고 --dry-run 옵션 없이 툴을 실행하면 이메일 서버에 문제가 발생할 수 있습니다.

7. dry-run 옵션 없이 EPN 도구를 실행하여 시험 실행 모드에서 EPN 도구를 실행할 때 반환된 모든 사용자 목록에 만료 이메일을 보냅니다.

   ipa-epn
   [
     {
        "uid": "user5",
        "cn": "user 5",
        "krbpasswordexpiration": "2020-10-01 15:51:53",
        "mail": "['user5@ipa.test']"
     }
   ]
   [
     {
       "uid": "user6",
       "cn": "user 6",
       "krbpasswordexpiration": "2020-12-17 15:51:53",
       "mail": "['user5@ipa.test']"
     }
   ]
   The IPA-EPN command was successful

8. 모든 모니터링 시스템에 EPN을 추가하고 --from-nbdays 및 --to-nbdays 옵션을 사용하여 호출할 수 있습니다.

   # ipa-epn --from-nbdays 8 --to-nbdays 12

   참고

   --from-nbdays 및 --to-nbdays 옵션과 함께 EPN 도구를 호출하면 시험 실행 모드에서 자동으로 실행됩니다.

절차

1. EPN 메시지 템플릿을 엽니다.

   # vi /etc/ipa/epn/expire_msg.template

2. 필요에 따라 템플릿 텍스트를 업데이트합니다.

   Hi {{ fullname }},
   
   Your password will expire on {{ expiration }}.
   
   Please change it as soon as possible.

   템플릿에서 다음 변수를 사용할 수 있습니다.

   • 사용자 ID: uid
   • 전체 이름: fullname
   • 첫 번째 이름: first
   • 성: last
   • 암호 만료일: 만료
3. 메시지 템플릿 파일을 저장합니다.

절차

1. IdM 관리자로 Kerberos 티켓을 검색합니다.

   [root@idmclient ~]# kinit admin

2. /usr/sbin/reboot 명령을 sudo 명령의 IdM 데이터베이스에 추가합니다.

   [root@idmclient ~]# ipa sudocmd-add /usr/sbin/reboot
   -------------------------------------
   Added Sudo Command "/usr/sbin/reboot"
   -------------------------------------
     Sudo Command: /usr/sbin/reboot

3. idm_user_reboot:라는 sudo 규칙을 만듭니다.

   [root@idmclient ~]# ipa sudorule-add idm_user_reboot
   ---------------------------------
   Added Sudo Rule "idm_user_reboot"
   ---------------------------------
     Rule name: idm_user_reboot
     Enabled: TRUE

4. /usr/sbin/reboot 명령을 idm_user_reboot 규칙에 추가합니다.

   [root@idmclient ~]# ipa sudorule-add-allow-command idm_user_reboot --sudocmds '/usr/sbin/reboot'
     Rule name: idm_user_reboot
     Enabled: TRUE
     Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

5. IdM idmclient 호스트에 idm_user_reboot 규칙을 적용합니다.

   [root@idmclient ~]# ipa sudorule-add-host idm_user_reboot --hosts idmclient.idm.example.com
   Rule name: idm_user_reboot
   Enabled: TRUE
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

6. idm_user 계정을 idm_user_reboot 규칙에 추가합니다.

   [root@idmclient ~]# ipa sudorule-add-user idm_user_reboot --users idm_user
   Rule name: idm_user_reboot
   Enabled: TRUE
   Users: idm_user
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

7. 선택적으로 idm_user_reboot 규칙의 유효성을 정의합니다.

   1. sudo 규칙이 유효한 시간을 정의하려면 ipa sudo rule-mod sudo_rule_name 명령과 --setattr sudonotbefore=DATE 옵션을 사용합니다. DATE 값은 yyyymmddHHMMSSZ 형식을 따라야 하며, 초는 명시적으로 지정해야 합니다. 예를 들어, idm_user_reboot 규칙의 유효성 시작을 2025년 12월 31일 12:34:00으로 설정하려면 다음을 입력합니다.

      [root@idmclient ~]# ipa sudorule-mod idm_user_reboot --setattr sudonotbefore=20251231123400Z

   2. sudo 규칙이 유효한 중지 시간을 정의하려면 --setattr sudonotafter=DATE 옵션을 사용합니다. 예를 들어, idm_user_reboot 규칙 유효 기간을 2026년 12월 31일 12:34:00으로 설정하려면 다음을 입력합니다.

      [root@idmclient ~]# ipa sudorule-mod idm_user_reboot --setattr sudonotafter=20261231123400Z

검증 단계

1. idmclient 호스트에 idm_user 계정으로 로그인합니다.

2. idm_user 계정에서 수행할 수 있는 sudo 규칙을 표시합니다.

   [idm_user@idmclient ~]$ sudo -l
   Matching Defaults entries for idm_user on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User idm_user may run the following commands on idmclient:
       (root) /usr/sbin/reboot

3. sudo 를 사용하여 시스템을 재부팅합니다. 메시지가 표시되면 idm_user 의 암호를 입력합니다.

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

1. POSIX가 아닌 외부 IdM 그룹에 AD 사용자 또는 그룹을 추가합니다.
2. POSIX 이외의 외부 IdM 그룹을 IdM POSIX 그룹에 추가합니다.

절차

1. administrator@ad-domain 멤버가 있는 ad_users _external 그룹이 포함된 ad_users 그룹을 생성합니다.

   1. 선택 사항: IdM 영역에서 AD 사용자를 관리하는 데 사용할 AD 도메인에서 해당 그룹을 생성하거나 선택합니다. 여러 AD 그룹을 사용하여 IdM 측면의 다른 그룹에 추가할 수 있습니다.

   2. ad_users_external 그룹을 생성하고 --external 옵션을 추가하여 IdM 도메인 외부에서 멤버가 포함되어 있음을 나타냅니다.

      [root@ipaserver ~]# ipa group-add --desc='AD users external map' ad_users_external --external
      -------------------------------
      Added group "ad_users_external"
      -------------------------------
        Group name: ad_users_external
        Description: AD users external map

      참고

      여기에서 지정하는 외부 그룹이 Active Directory 보안 그룹 문서에 정의된 대로 글로벌 또는 Universal 그룹 범위가 있는 AD 보안 그룹 인지 확인합니다. 예를 들어, 해당 그룹 범위가 도메인 로컬 이므로 도메인 사용자 또는 도메인 관리자 AD 보안 그룹을 사용할 수 없습니다.

   3. ad_users 그룹을 생성합니다.

      [root@ipaserver ~]# ipa group-add --desc='AD users' ad_users
      ----------------------
      Added group "ad_users"
      ----------------------
        Group name: ad_users
        Description: AD users
        GID: 129600004

   4. administrator@ad-domain.com AD 사용자를 ad_users_external 에 외부 멤버로 추가합니다.

      [root@ipaserver ~]# ipa group-add-member ad_users_external --external "administrator@ad-domain.com"
       [member user]:
       [member group]:
        Group name: ad_users_external
        Description: AD users external map
        External member: S-1-5-21-3655990580-1375374850-1633065477-513
      -------------------------
      Number of members added 1
      -------------------------

      AD 사용자는 DOMAIN\user_name 또는 user_name@DOMAIN 과 같은 정규화된 이름으로 식별되어야 합니다. 그러면 AD ID가 사용자의 AD SID에 매핑됩니다. AD 그룹 추가에도 동일하게 적용됩니다.

   5. ad_users_external 을 ad_users 에 멤버로 추가합니다.

      [root@ipaserver ~]# ipa group-add-member ad_users --groups ad_users_external
        Group name: ad_users
        Description: AD users
        GID: 129600004
        Member groups: ad_users_external
      -------------------------
      Number of members added 1
      -------------------------

2. ad_users 의 멤버에게 idmclient 호스트에서 /usr/sbin/reboot 를 실행할 수 있는 권한을 부여합니다.

   1. /usr/sbin/reboot 명령을 sudo 명령의 IdM 데이터베이스에 추가합니다.

      [root@idmclient ~]# ipa sudocmd-add /usr/sbin/reboot
      -------------------------------------
      Added Sudo Command "/usr/sbin/reboot"
      -------------------------------------
        Sudo Command: /usr/sbin/reboot

   2. ad_users_reboot:라는 sudo 규칙을 만듭니다.

      [root@idmclient ~]# ipa sudorule-add ad_users_reboot
      ---------------------------------
      Added Sudo Rule "ad_users_reboot"
      ---------------------------------
        Rule name: ad_users_reboot
        Enabled: True

   3. ad_users_reboot 규칙에 /usr/sbin/reboot 명령을 추가합니다.

      [root@idmclient ~]# ipa sudorule-add-allow-command ad_users_reboot --sudocmds '/usr/sbin/reboot'
        Rule name: ad_users_reboot
        Enabled: True
        Sudo Allow Commands: /usr/sbin/reboot
      -------------------------
      Number of members added 1
      -------------------------

   4. IdM idmclient 호스트에 ad_users_reboot 규칙을 적용합니다.

      [root@idmclient ~]# ipa sudorule-add-host ad_users_reboot --hosts idmclient.idm.example.com
      Rule name: ad_users_reboot
      Enabled: True
      Hosts: idmclient.idm.example.com
      Sudo Allow Commands: /usr/sbin/reboot
      -------------------------
      Number of members added 1
      -------------------------

   5. ad_users _ reboot 규칙에 ad_users 그룹을 추가합니다.

      [root@idmclient ~]# ipa sudorule-add-user ad_users_reboot --groups ad_users
      Rule name: ad_users_reboot
      Enabled: TRUE
      User Groups: ad_users
      Hosts: idmclient.idm.example.com
      Sudo Allow Commands: /usr/sbin/reboot
      -------------------------
      Number of members added 1
      -------------------------

검증 단계

1. idmclient 호스트에 administrator@ad-domain.com, ad_users 그룹의 간접 멤버로 로그인합니다.

   $ ssh administrator@ad-domain.com@ipaclient
   Password:

2. 필요한 경우 administrator@ad-domain.com 을 실행할 수 있는 sudo 명령을 표시합니다.

   [administrator@ad-domain.com@idmclient ~]$ sudo -l
   Matching Defaults entries for administrator@ad-domain.com on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User administrator@ad-domain.com may run the following commands on idmclient:
       (root) /usr/sbin/reboot

3. sudo 를 사용하여 시스템을 재부팅합니다. 메시지가 표시되면 administrator@ad-domain.com 의 암호를 입력합니다.

   [administrator@ad-domain.com@idmclient ~]$ sudo /usr/sbin/reboot
   [sudo] password for administrator@ad-domain.com:

절차

1. /usr/sbin/reboot 명령을 sudo 명령의 IdM 데이터베이스에 추가합니다.

   1. 정책 → Sudo → Sudo 명령으로 이동합니다.
   2. 오른쪽 상단 모서리에서 Add (추가)를 클릭하여 Add sudo 명령 대화 상자를 엽니다.

   3. sudo:/usr/sbin/reboot 를 사용하여 사용자가 수행할 수 있는 명령을 입력합니다.

      그림 8.1. IdM sudo 명령 추가

      
   4. 추가를 클릭합니다.

2. 새 sudo 명령 항목을 사용하여 idm_user가 idm client 시스템을 재부팅할 수 있도록 sudo 규칙을 생성합니다.

   1. 정책 → Sudo → Sudo 규칙으로 이동합니다.
   2. 오른쪽 상단 모서리에서 Add(추가 )를 클릭하여 Add sudo rule( sudo 규칙 추가) 대화 상자를 엽니다.
   3. sudo 규칙의 이름을 idm_user_reboot 로 입력합니다.
   4. Add and Edit(추가 및 편집)를 클릭합니다.

   5. 사용자를 지정합니다.

      1. who(사용자 ) 섹션에서 Specified Users and Groups(지정된 사용자 및 그룹 ) 라디오 단추를 선택합니다.
      2. User 카테고리에서 규칙이 하위 섹션에 적용되는 경우 Add(추가)를 클릭하여 Add users into sudo rule "idm_user_reboot" 대화 상자를 엽니다.
      3. Add users into sudo rule "idm_user_reboot" 대화 상자의 Available 열에서 idm_user 확인란을 선택하고 Prospective 열로 이동합니다.
      4. 추가를 클릭합니다.

   6. 호스트를 지정합니다.

      1. Access this host (이 호스트에 액세스) 섹션에서 Specified Hosts and Groups(지정된 호스트 및 그룹 ) 라디오 단추를 선택합니다.
      2. 호스트 범주에서 이 규칙이 하위 섹션에 적용되는 경우 Add(추가 )를 클릭하여 Add hosts into sudo rule "idm_user_reboot" 대화 상자를 엽니다.
      3. Add hosts to sudo rule "idm_user_reboot" 대화 상자의 Available 열에서 idmclient.idm.example.com 확인란을 선택하고 Prospective 열로 이동합니다.
      4. 추가를 클릭합니다.

   7. 명령을 지정합니다.

      1. Command 카테고리에서 규칙이 Run Commands(명령 실행) 섹션의 하위 섹션에 적용되는 경우 Specified Commands and Groups(지정된 명령) 및 Groups (그룹) 라디오 버튼을 선택합니다.
      2. Sudo Allow Commands (Sudo Allow Commands) 하위 섹션에서 Add allow sudo 명령을 sudo rule "idm_user_reboot" 대화 상자에 엽니다.
      3. Add allow sudo 명령을 sudo 규칙 "idm_user_reboot" 대화 상자의 Available 열에서 /usr/sbin/reboot 확인란을 선택하고 Prospective 열로 이동합니다.
      4. Add(추가 )를 클릭하여 idm_sudo_reboot 페이지로 돌아갑니다.

      그림 8.2. IdM sudo 규칙 추가

      
   8. 왼쪽 상단 모서리에서 Save(저장 )를 클릭합니다.

검증 단계

1. idmclient에 idm _user 로 로그인합니다.

2. sudo 를 사용하여 시스템을 재부팅합니다. 메시지가 표시되면 idm_user 의 암호를 입력합니다.

   $ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

절차

1. IdM 관리자로 Kerberos 티켓을 검색합니다.

   [root@idmclient ~]# kinit admin

2. sudo 명령의 IdM 데이터베이스에 /opt/ third-party-app/bin/report 명령을 추가합니다.

   [root@idmclient ~]# ipa sudocmd-add /opt/third-party-app/bin/report
   ----------------------------------------------------
   Added Sudo Command "/opt/third-party-app/bin/report"
   ----------------------------------------------------
     Sudo Command: /opt/third-party-app/bin/report

3. run_ third-party-app_report 라는 sudo 규칙을 만듭니다.

   [root@idmclient ~]# ipa sudorule-add run_third-party-app_report
   --------------------------------------------
   Added Sudo Rule "run_third-party-app_report"
   --------------------------------------------
     Rule name: run_third-party-app_report
     Enabled: TRUE

4. --users=<user> 옵션을 사용하여 sudorule-add-runasuser 명령에 대해 RunAs 사용자를 지정합니다.

   [root@idmclient ~]# ipa sudorule-add-runasuser run_third-party-app_report --users=thirdpartyapp
     Rule name: run_third-party-app_report
     Enabled: TRUE
     RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

   --groups=* 옵션으로 지정된 사용자(또는 그룹 그룹)는 로컬 서비스 계정 또는 Active Directory 사용자와 같은 IdM 외부일 수 있습니다. 그룹 이름에 % 접두사를 추가하지 마십시오.

5. /opt/ bad-party-app/bin/report 명령을 run_knative-party-app_report 규칙에 추가합니다.

   [root@idmclient ~]# ipa sudorule-add-allow-command run_third-party-app_report --sudocmds '/opt/third-party-app/bin/report'
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

6. IdM idmclient 호스트에 run_ third-party-app_report 규칙을 적용합니다.

   [root@idmclient ~]# ipa sudorule-add-host run_third-party-app_report --hosts idmclient.idm.example.com
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

7. idm_user 계정을 run_ third-party-app_report 규칙에 추가합니다.

   [root@idmclient ~]# ipa sudorule-add-user run_third-party-app_report --users idm_user
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Users: idm_user
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1

검증 단계

1. idmclient 호스트에 idm _user 계정으로 로그인합니다.

2. 새 sudo 규칙을 테스트합니다.

   1. idm_user 계정이 수행할 수 있는 sudo 규칙을 표시합니다.

      [idm_user@idmclient ~]$ sudo -l
      Matching Defaults entries for idm_user@idm.example.com on idmclient:
          !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
          env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
          env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
          env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
          env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
          env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
          secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
      
      User idm_user@idm.example.com may run the following commands on idmclient:
          (thirdpartyapp) /opt/third-party-app/bin/report

   2. thirdpartyapp 서비스 계정으로 report 명령을 실행합니다.

      [idm_user@idmclient ~]$ sudo -u thirdpartyapp /opt/third-party-app/bin/report
      [sudo] password for idm_user@idm.example.com:
      Executing report...
      Report successful.

절차

1. sudo 명령의 IdM 데이터베이스에 /opt/ third-party-app/bin/report 명령을 추가합니다.

   1. 정책 → Sudo → Sudo 명령으로 이동합니다.
   2. 오른쪽 상단 모서리에서 Add (추가)를 클릭하여 Add sudo 명령 대화 상자를 엽니다.

   3. /opt/ third-party-app/bin/report 명령을 입력합니다.

      
   4. 추가를 클릭합니다.

2. 새 sudo 명령 항목을 사용하여 새 sudo 규칙을 만듭니다.

   1. 정책 → Sudo → Sudo 규칙으로 이동합니다.
   2. 오른쪽 상단 모서리에서 Add(추가 )를 클릭하여 Add sudo rule( sudo 규칙 추가) 대화 상자를 엽니다.

   3. sudo 규칙의 이름을 입력합니다. run_ third-party-app_report.

      
   4. Add and Edit(추가 및 편집)를 클릭합니다.

   5. 사용자를 지정합니다.

      1. who(사용자 ) 섹션에서 Specified Users and Groups(지정된 사용자 및 그룹 ) 라디오 단추를 선택합니다.
      2. User category the rule applies to 하위 섹션에 적용되는 규칙 추가 를 클릭하여 sudo 규칙 "run_ third-party-app_report" 대화 상자에 사용자 추가 를 엽니다.

      3. Add users into sudo rule "run_ third-party-app_report" 대화 상자에서 Available 열의 idm_user 확인란을 확인하고 Prospective 열로 이동합니다.

         
      4. 추가를 클릭합니다.

   6. 호스트를 지정합니다.

      1. Access this host (이 호스트에 액세스) 섹션에서 Specified Hosts and Groups(지정된 호스트 및 그룹 ) 라디오 단추를 선택합니다.
      2. Host category this rule applies to 하위 섹션에 적용되는 규칙 추가 를 클릭하여 sudo 규칙 "run_ third-party-app_report" 대화 상자에 호스트 추가 를 엽니다.

      3. Available 열의 Add hosts into sudo 규칙 "run_ third-party-app_report" 대화 상자에서 idmclient.idm.example.com 확인란을 선택하고 이를 Prospective 열로 이동합니다.

         
      4. 추가를 클릭합니다.

   7. 명령을 지정합니다.

      1. Command 카테고리에서 규칙이 Run Commands(명령 실행) 섹션의 하위 섹션에 적용되는 경우 Specified Commands and Groups(지정된 명령) 및 Groups (그룹) 라디오 버튼을 선택합니다.
      2. Sudo Allow Commands 하위 섹션에서 Add 를 클릭하여 Add allow sudo 명령을 sudo 규칙 "run_ third-party-app_report" 대화 상자에 엽니다.

      3. Add allow sudo 명령의 Available 열의 sudo 규칙 "run_ third-party-app_report" 대화 상자에서 /opt/ third-party-app/bin/report 확인란을 선택하고 이를 Prospective 열로 이동합니다.

         
      4. Add 를 클릭하여 run_ third-party-app_report 페이지로 돌아갑니다.

   8. RunAs 사용자를 지정합니다.

      1. As whom 섹션에서 지정된 사용자 및 그룹 라디오 버튼을 확인합니다.
      2. RunAs Users 하위 섹션에서 Add 를 클릭하여 Add RunAs 사용자를 sudo 규칙 "run_ third-party-app_report" 대화 상자에 엽니다.

      3. Add RunAs users into sudo rule "run_ third-party-app_report" 대화 상자에서 External 상자에 third partyapp 서비스 계정을 입력하고 Prospective 열로 이동합니다.

         
      4. Add 를 클릭하여 run_ third-party-app_report 페이지로 돌아갑니다.
   9. 왼쪽 상단 모서리에서 Save(저장 )를 클릭합니다.

검증 단계

1. idmclient 호스트에 idm _user 계정으로 로그인합니다.

2. 새 sudo 규칙을 테스트합니다.

   1. idm_user 계정이 수행할 수 있는 sudo 규칙을 표시합니다.

      [idm_user@idmclient ~]$ sudo -l
      Matching Defaults entries for idm_user@idm.example.com on idmclient:
          !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
          env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
          env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
          env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
          env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
          env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
          secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
      
      User idm_user@idm.example.com may run the following commands on idmclient:
          (thirdpartyapp) /opt/third-party-app/bin/report

   2. thirdpartyapp 서비스 계정으로 report 명령을 실행합니다.

      [idm_user@idmclient ~]$ sudo -u thirdpartyapp /opt/third-party-app/bin/report
      [sudo] password for idm_user@idm.example.com:
      Executing report...
      Report successful.

절차

1. /etc/sssd/sssd.conf 구성 파일을 엽니다.

2. 다음 항목을 [domain/<domain_name>] 섹션에 추가합니다.

   [domain/<domain_name>]
   pam_gssapi_services = sudo, sudo-i

3. /etc/sssd/sssd.conf 파일을 저장하고 닫습니다.

4. SSSD 서비스를 다시 시작하여 구성 변경 사항을 로드합니다.

   [root@idmclient ~]# systemctl restart sssd

5. RHEL 8.8 이상을 실행하는 경우:

   1. [선택 사항] sssd authselect 프로필을 선택한 경우 확인합니다.

      # authselect current
      Profile ID: sssd

      출력에 sssd authselect 프로필이 선택됩니다.

   2. sssd authselect 프로필이 선택된 경우 GSSAPI 인증을 활성화합니다.

      # authselect enable-feature with-gssapi

   3. sssd authselect 프로필이 선택되어 있지 않으면 해당 프로필을 선택하고 GSSAPI 인증을 활성화합니다.

      # authselect select sssd with-gssapi

6. RHEL 8.7 이하를 실행하는 경우:

   1. /etc/pam.d/sudo PAM 구성 파일을 엽니다.

   2. 다음 항목을 /etc/pam.d/sudo 파일에 있는 auth 섹션의 첫 번째 행으로 추가합니다.

      #%PAM-1.0
      auth sufficient pam_sss_gss.so
      auth       include      system-auth
      account    include      system-auth
      password   include      system-auth
      session    include      system-auth

   3. /etc/pam.d/sudo 파일을 저장하고 닫습니다.

검증 단계

1. idm_user 계정으로 호스트에 로그인합니다.

   [root@idm-client ~]# ssh -l idm_user@idm.example.com localhost
   idm_user@idm.example.com's password:

2. 티켓이 idm_user 계정으로 티켓을 부여했는지 확인합니다.

   [idmuser@idmclient ~]$ klist
   Ticket cache: KCM:1366201107
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   01/08/2021 09:11:48  01/08/2021 19:11:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 01/15/2021 09:11:44

3. (선택 사항) idm_user 계정에 대한 Kerberos 인증 정보가 없는 경우 현재 Kerberos 자격 증명을 삭제하고 올바른 정보를 요청합니다.

   [idm_user@idmclient ~]$ kdestroy -A
   
   [idm_user@idmclient ~]$ kinit idm_user@IDM.EXAMPLE.COM
   Password for idm_user@idm.example.com:

4. 암호를 지정하지 않고 sudo 를 사용하여 시스템을 재부팅합니다.

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot

절차

1. /etc/sssd/sssd.conf 구성 파일을 엽니다.

2. 다음 항목을 [domain/<domain_name>] 섹션에 추가합니다.

   [domain/<domain_name>]
   pam_gssapi_services = sudo, sudo-i
   pam_gssapi_indicators_map = sudo:pkinit, sudo-i:pkinit

3. /etc/sssd/sssd.conf 파일을 저장하고 닫습니다.

4. SSSD 서비스를 다시 시작하여 구성 변경 사항을 로드합니다.

   [root@idmclient ~]# systemctl restart sssd

5. /etc/pam.d/sudo PAM 구성 파일을 엽니다.

6. 다음 항목을 /etc/pam.d/sudo 파일에 있는 auth 섹션의 첫 번째 행으로 추가합니다.

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      system-auth
   account    include      system-auth
   password   include      system-auth
   session    include      system-auth

7. /etc/pam.d/sudo 파일을 저장하고 닫습니다.
8. /etc/pam.d/sudo-i PAM 구성 파일을 엽니다.

9. 다음 항목을 /etc/pam.d/sudo-i 파일에 있는 auth 섹션의 첫 행으로 추가합니다.

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      sudo
   account    include      sudo
   password   include      sudo
   session    optional     pam_keyinit.so force revoke
   session    include      sudo

10. /etc/pam.d/sudo-i 파일을 저장하고 닫습니다.

검증 단계

1. idm_user 계정으로 호스트에 로그인하고 스마트 카드로 인증합니다.

   [root@idmclient ~]# ssh -l idm_user@idm.example.com localhost
   PIN for smart_card

2. 스마트 카드 사용자로 티켓이 제공된지 확인합니다.

   [idm_user@idmclient ~]$ klist
   Ticket cache: KEYRING:persistent:1358900015:krb_cache_TObtNMd
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   02/15/2021 16:29:48  02/16/2021 02:29:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 02/22/2021 16:29:44

3. idm_user 계정이 수행할 수 있는 sudo 규칙을 표시합니다.

   [idm_user@idmclient ~]$ sudo -l
   Matching Defaults entries for idmuser on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User idm_user may run the following commands on idmclient:
       (root) /usr/sbin/reboot

4. 암호를 지정하지 않고 sudo 를 사용하여 시스템을 재부팅합니다.

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot

절차

1. 인벤토리 파일(예: inventory.file )을 생성하고 여기에 ipaservers 를 정의합니다.

   [ipaservers]
   server.idm.example.com

2. 하나 이상의 sudo 명령을 추가합니다.

   1. sudo 명령의 IdM 데이터베이스에 /usr/sbin/ reboot 명령이 있는지 확인하는 ensure-reboot -sudocmd-is-present.yml Ansible 플레이북을 생성합니다. 이 단계를 간소화하기 위해 /usr/share/doc/ansible-freeipa/playbooks/sudocmd/ensure-sudocmd-is-present.yml 파일에서 예제를 복사하고 수정할 수 있습니다.

      ---
      - name: Playbook to manage sudo command
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        # Ensure sudo command is present
        - ipasudocmd:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: /usr/sbin/reboot
            state: present

   2. 플레이북을 실행합니다.

      $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-reboot-sudocmd-is-present.yml

3. 명령을 참조하는 sudo 규칙을 생성합니다.

   1. sudo 명령 항목을 사용하여 sudo 규칙이 있는지 확인하는 ensure-sudorule-for-idmuser-on-idmclient-is-present.yml Ansible 플레이북을 만듭니다. sudo 규칙을 사용하면 idm_user 가 idmclient 시스템을 재부팅할 수 있습니다. 이 단계를 간소화하기 위해 /usr/share/doc/ansible-freeipa/playbooks/sudorule/ensure-sudorule-is-present.yml 파일에서 예제를 복사하고 수정할 수 있습니다.

      ---
      - name: Tests
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        # Ensure a sudorule is present granting idm_user the permission to run /usr/sbin/reboot on idmclient
        - ipasudorule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: idm_user_reboot
            description: A test sudo rule.
            allow_sudocmd: /usr/sbin/reboot
            host: idmclient.idm.example.com
            user: idm_user
            state: present

   2. 플레이북을 실행합니다.

      $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-sudorule-for-idmuser-on-idmclient-is-present.yml

1. idmclient에 idm _user 로 로그인합니다.

2. sudo 를 사용하여 시스템을 재부팅합니다. 메시지가 표시되면 idm_user 의 암호를 입력합니다.

   $ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

절차

1. 명령줄에서 LDAP Data Interchange Format(LDIF) 문을 ldapmodify 명령 뒤에 입력합니다.

   예 9.1. testuser의 전화 번호 변경

   # ldapmodify -Y GSSAPI -H ldap://server.example.com
   dn: uid=testuser,cn=users,cn=accounts,dc=example,dc=com
   changetype: modify
   replace: telephoneNumber
   telephonenumber: 88888888

   -Y 옵션을 사용하려면 Kerberos 티켓을 받아야 합니다.

2. Ctlr+D 를 눌러 대화형 모드를 종료합니다.

3. 또는 ldapmodify 명령 뒤에 LDIF 파일을 제공합니다.

   예 9.2. ldapmodify 명령은 LDIF 파일에서 수정 데이터를 읽습니다.

   # ldapmodify -Y GSSAPI -H ldap://server.example.com -f ~/example.ldif

절차

1. 사용자를 보존하려면 역할을 가진 IdM 사용자로 로그인합니다.

   $ kinit admin

2. ldapmodify 명령을 입력하고 인증에 사용할 SASL(Simple Authentication and Security Layer) 메커니즘으로 GSSAPI(Generic Security Services API)를 지정합니다.

   # ldapmodify -Y GSSAPI
   SASL/GSSAPI authentication started
   SASL username: admin@IDM.EXAMPLE.COM
   SASL SSF: 256
   SASL data security layer installed.

3. 보존할 사용자의 dn 을 입력합니다.

   dn: uid=user1,cn=users,cn=accounts,dc=idm,dc=example,dc=com

4. 수행할 변경 유형으로 modrdn 을 입력합니다.

   changetype: modrdn

5. 사용자에 대한 newrdn 을 지정합니다.

   newrdn: uid=user1

6. 사용자를 보존할 것을 나타냅니다.

   deleteoldrdn: 0

7. 새로운 우수 DN 을 지정합니다.

   newsuperior: cn=deleted users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com

   사용자를 보존하면 DIT(디렉토리 정보 트리)의 새 위치로 항목을 이동합니다. 따라서 새 상위 항목의 DN을 새 우수한 DN으로 지정해야 합니다.

8. Enter 를 다시 눌러 이것이 항목의 끝인지 확인합니다.

   [Enter]
   
   modifying rdn of entry "uid=user1,cn=users,cn=accounts,dc=idm,dc=example,dc=com"

9. Ctrl + C 를 사용하여 연결을 종료합니다.

절차

1. IdM 관리자로 로그인합니다.

   $ kinit admin

2. 스테이징 사용자를 추가할 권한이 있는 provisionator 라는 사용자를 만듭니다.

   1. provisionator 사용자 계정을 추가합니다.

   $ ipa user-add provisionator --first=provisioning --last=account --password

   1. 프로비저너 사용자에게 필요한 권한을 부여합니다.

      1. 사용자 지정 역할인 System Provisioning 을 생성하여 스테이징 사용자 추가를 관리합니다.

         $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

      2. 역할에 Stage User Provisioning(사용자 프로비저닝 단계) 권한을 추가합니다. 이 권한은 스테이징 사용자를 추가할 수 있는 기능을 제공합니다.

         $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

      3. provisionator 사용자를 역할에 추가합니다.

         $ ipa role-add-member --users=provisionator "System Provisioning"

      4. 프로비저너가 IdM에 있는지 확인합니다.

      $ ipa user-find provisionator --all --raw
      --------------
      1 user matched
      --------------
        dn: uid=provisionator,cn=users,cn=accounts,dc=idm,dc=example,dc=com
        uid: provisionator
        [...]

3. 사용자 계정을 관리할 수 있는 권한을 가진 사용자 활성화 기를 만듭니다.

   1. 활성화기 사용자 계정을 추가합니다.

      $ ipa user-add activator --first=activation --last=account --password

   2. 사용자를 기본 User Administrator 역할에 추가하여 필요한 권한을 활성화 사용자에게 부여합니다.

      $ ipa role-add-member --users=activator "User Administrator"

4. 애플리케이션 계정의 사용자 그룹을 생성합니다.

   $ ipa group-add application-accounts

5. 그룹의 암호 정책을 업데이트합니다. 다음 정책은 계정의 암호 만료 및 잠금을 방지하지만 복잡한 암호를 요구하여 잠재적인 위험을 보상합니다.

   $ ipa pwpolicy-add application-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=8 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

6. (선택 사항) 암호 정책이 IdM에 있는지 확인합니다.

   $ ipa pwpolicy-show application-accounts
     Group: application-accounts
     Max lifetime (days): 10000
     Min lifetime (hours): 0
     History size: 0
   [...]

7. 애플리케이션 계정의 그룹에 프로비저닝 및 활성화 계정을 추가합니다.

   $ ipa group-add-member application-accounts --users={provisionator,activator}

8. 사용자 계정의 암호를 변경합니다.

   $ kpasswd provisionator
   $ kpasswd activator

   새 IdM 사용자 암호가 즉시 만료되기 때문에 암호를 변경해야 합니다.

절차

1. 활성화 계정에 대한 keytab 파일을 생성합니다.

   # ipa-getkeytab -s server.idm.example.com -p "activator" -k /etc/krb5.ipa-activation.keytab

   둘 이상의 IdM 서버에서 활성화 프로세스를 활성화하려면 하나의 서버에만 keytab 파일을 생성합니다. 그런 다음 키탭 파일을 다른 서버에 복사합니다.

2. 다음 내용으로 /usr/local/sbin/ipa-activate-all 스크립트를 생성하여 모든 사용자를 활성화합니다.

   #!/bin/bash
   
   kinit -k -i activator
   
   ipa stageuser-find --all --raw | grep "  uid:" | cut -d ":" -f 2 | while read uid; do ipa stageuser-activate ${uid}; done

3. ipa-activate-all 스크립트의 권한 및 소유권을 편집하여 실행 가능하게 만듭니다.

   # chmod 755 /usr/local/sbin/ipa-activate-all
   # chown root:root /usr/local/sbin/ipa-activate-all

4. 다음 콘텐츠를 사용하여 systemd 장치 파일 /etc/systemd/system/ipa-activate-all.service 를 만듭니다.

   [Unit]
   Description=Scan IdM every minute for any stage users that must be activated
   
   [Service]
   Environment=KRB5_CLIENT_KTNAME=/etc/krb5.ipa-activation.keytab
   Environment=KRB5CCNAME=FILE:/tmp/krb5cc_ipa-activate-all
   ExecStart=/usr/local/sbin/ipa-activate-all

5. 다음 내용을 사용하여 systemd 타이머 /etc/systemd/system/ipa-activate-all.timer 을 만듭니다.

   [Unit]
   Description=Scan IdM every minute for any stage users that must be activated
   
   [Timer]
   OnBootSec=15min
   OnUnitActiveSec=1min
   
   [Install]
   WantedBy=multi-user.target

6. 새 구성을 다시 로드합니다.

   # systemctl daemon-reload

7. ipa-activate-all.timer:

   # systemctl enable ipa-activate-all.timer

8. ipa-activate-all.timer 시작 :

   # systemctl start ipa-activate-all.timer

9. (선택 사항) ipa-activate-all.timer 데몬이 실행 중인지 확인합니다.

   # systemctl status ipa-activate-all.timer
   ● ipa-activate-all.timer - Scan IdM every minute for any stage users that must be activated
      Loaded: loaded (/etc/systemd/system/ipa-activate-all.timer; enabled; vendor preset: disabled)
      Active: active (waiting) since Wed 2020-06-10 16:34:55 CEST; 15s ago
     Trigger: Wed 2020-06-10 16:35:55 CEST; 44s left
   
   Jun 10 16:34:55 server.idm.example.com systemd[1]: Started Scan IdM every minute for any stage users that must be activated.

절차

1. 외부 서버에서 새 사용자에 대한 정보가 포함된 LDIF 파일을 생성합니다.

   dn: uid=stageidmuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com
   changetype: add
   objectClass: top
   objectClass: inetorgperson
   uid: stageidmuser
   sn: surname
   givenName: first_name
   cn: full_name

2. LDIF 파일을 외부 서버에서 IdM 서버로 전송합니다.

   $ scp add-stageidmuser.ldif provisionator@server.idm.example.com:/provisionator/
   Password:
   add-stageidmuser.ldif                                                                                          100%  364   217.6KB/s   00:00

3. SSH 프로토콜을 사용하여 IdM 서버에 프로비저너로 연결합니다.

   $ ssh provisionator@server.idm.example.com
   Password:
   [provisionator@server ~]$

4. IdM 서버에서 프로비저너 계정의 Kerberos 티켓을 받습니다.

   [provisionator@server ~]$ kinit provisionator

5. f 옵션과 LDIF 파일의 이름을 사용하여 ldapadd 명령을 입력합니다. IdM 서버의 이름과 포트 번호를 지정합니다.

   ~]$ ldapadd -h server.idm.example.com -p 389 -f  add-stageidmuser.ldif
   SASL/GSSAPI authentication started
   SASL username: provisionator@IDM.EXAMPLE.COM
   SASL SSF: 256
   SASL data security layer installed.
   adding the entry "uid=stageidmuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com"

절차

1. IdM ID 및 자격 증명을 사용하여 SSH 프로토콜을 사용하여 IdM 서버에 연결합니다.

   $ ssh provisionator@server.idm.example.com
   Password:
   [provisionator@server ~]$

2. 새 단계 사용자를 추가하는 역할의 IdM 사용자인 프로비저너 계정의 TGT를 가져옵니다.

   $ kinit provisionator

3. ldapmodify 명령을 입력하고 인증에 사용할 SASL(Simple Authentication and Security Layer) 메커니즘으로 GSSAPI(Generic Security Services API)를 지정합니다. IdM 서버 이름 및 포트를 지정합니다.

   # ldapmodify -h server.idm.example.com -p 389 -Y GSSAPI
   SASL/GSSAPI authentication started
   SASL username: provisionator@IDM.EXAMPLE.COM
   SASL SSF: 56
   SASL data security layer installed.

4. 추가하려는 사용자의 dn 을 입력합니다.

   dn: uid=stageuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com

5. 수행 중인 변경 유형으로 add 를 입력합니다.

   changetype: add

6. 사용자 라이프 사이클의 올바른 처리를 허용하는 데 필요한 LDAP 오브젝트 클래스 범주를 지정합니다.

   objectClass: top
   objectClass: inetorgperson

   추가 오브젝트 클래스를 지정할 수 있습니다.

7. 사용자의 uid 를 입력합니다.

   uid: stageuser

8. 사용자의 cn 을 입력합니다.

   cn: Babs Jensen

9. 사용자의 성을 입력합니다.

   sn: Jensen

10. Enter 를 다시 눌러 이것이 항목의 끝인지 확인합니다.

    [Enter]
    
    adding new entry "uid=stageuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com"

11. Ctrl + C 를 사용하여 연결을 종료합니다.

1. Kerberos 클라이언트는 Kerberos 보안 주체로 인증하여 NetNamespace에 자신을 식별합니다. 예를 들어 IdM 사용자는 kinit 사용자 이름을 수행하고 암호를 제공합니다.
2. NetNamespace는 데이터베이스의 주체를 확인하고, 클라이언트를 인증하고, Kerberos 티켓 정책을 평가하여 요청을 부여할지 여부를 결정합니다.
3. NetNamespace는 클라이언트에 적절한 티켓 정책에 따른 라이프사이클 및 인증 지표로 TGT(티켓 분석 티켓)를 발행합니다.
4. TGT를 사용하면 클라이언트는 NetNamespace에서 서비스 티켓을 요청하여 대상 호스트의 Kerberized 서비스와 통신합니다.
5. NetNamespace는 클라이언트의 TGT가 여전히 유효한지 확인하고 티켓 정책에 대해 서비스 티켓 요청을 평가합니다.
6. NetNamespace는 클라이언트에 서비스 티켓을 발행합니다.
7. 서비스 티켓으로 클라이언트는 대상 호스트에서 서비스와 암호화된 통신을 시작할 수 있습니다.

절차

1. 글로벌 티켓 정책을 수정하려면 다음을 수행합니다.

   [root@server ~]# ipa krbtpolicy-mod --maxlife=$((8*60*60)) --maxrenew=$((24*60*60))
     Max life: 28800
     Max renew: 86400

   이 예에서 최대 수명은 8시간 (8 * 60분 * 60초)으로 설정되고 최대 갱신 기간은 1일 (24 * 60 분 * 60 초)으로 설정됩니다.

2. 선택 사항: 글로벌 Kerberos 티켓 정책을 기본 설치 값으로 재설정하려면 다음을 수행합니다.

   [root@server ~]# ipa krbtpolicy-reset
     Max life: 86400
     Max renew: 604800

절차

1. 예를 들어 IdM 관리자 의 최대 티켓 수명을 2일로 설정하고 최대 갱신 기간을 2주로 설정하려면 다음을 수행합니다.

   [root@server ~]# ipa krbtpolicy-mod admin --maxlife=172800 --maxrenew=1209600
     Max life: 172800
     Max renew: 1209600

2. 선택 사항: 사용자의 티켓 정책을 재설정하려면 다음을 수행합니다.

   [root@server ~]# ipa krbtpolicy-reset admin

절차

1. 예를 들어, IdM 관리자 사용자가 일회성 암호 인증을 사용하여 얻은 경우 Kerberos 티켓을 2일 동안 갱신할 수 있도록 하려면 --otp-maxrenew 옵션을 설정합니다.

   [root@server ~]# ipa krbtpolicy-mod admin --otp-maxrenew=$((2*24*60*60))
     OTP max renew: 172800

2. 선택 사항: 사용자의 티켓 정책을 재설정하려면 다음을 수행합니다.

   [root@server ~]# ipa krbtpolicy-reset username

절차

1. 확인 중인 키 탭에 보안 주체의 KVNO를 표시합니다. 다음 예에서 /etc/named.keytab 파일에는 DNS/server1.idm.example.com@EXAMPLE.COM 의 KVNO가 2인 키가 있습니다.

   [root@server1 ~]# klist -ekt /etc/named.keytab
   Keytab name: FILE:/etc/named.keytab
   KVNO Timestamp           Principal
   ---- ------------------- ------------------------------------------------------
      2 11/26/2021 13:51:11 DNS/server1.idm.example.com@EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 11/26/2021 13:51:11 DNS/server1.idm.example.com@EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      2 11/26/2021 13:51:11 DNS/server1.idm.example.com@EXAMPLE.COM (camellia128-cts-cmac)
      2 11/26/2021 13:51:11 DNS/server1.idm.example.com@EXAMPLE.COM (camellia256-cts-cmac)

2. IdM 데이터베이스에 저장된 보안 주체의 KVNO를 표시합니다. 이 예에서 IdM 데이터베이스의 키 KVNO는 키 탭의 KVNO와 일치하지 않습니다.

   [root@server1 ~]# kvno DNS/server1.idm.example.com@EXAMPLE.COM
   DNS/server1.idm.example.com@EXAMPLE.COM: kvno = 3

3. IdM 관리자 계정으로 인증합니다.

   [root@server1 ~]# kinit admin
   Password for admin@IDM.EXAMPLE.COM:

4. 보안 주체에 대해 업데이트된 Kerberos 키를 검색하여 해당 키 탭에 저장합니다. 이름이 지정된 사용자가 소유한 /etc/ named.keytab 파일을 수정할 수 있도록 이 단계를 root 사용자로 수행합니다.

   [root@server1 ~]# ipa-getkeytab -s server1.idm.example.com -p DNS/server1.idm.example.com -k /etc/named.keytab

검증

1. 키 탭에 보안 주체의 업데이트된 KVNO를 표시합니다.

   [root@server1 ~]# klist -ekt /etc/named.keytab
   Keytab name: FILE:/etc/named.keytab
   KVNO Timestamp           Principal
   ---- ------------------- ------------------------------------------------------
      4 08/17/2022 14:42:11 DNS/server1.idm.example.com@EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      4 08/17/2022 14:42:11 DNS/server1.idm.example.com@EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      4 08/17/2022 14:42:11 DNS/server1.idm.example.com@EXAMPLE.COM (camellia128-cts-cmac)
      4 08/17/2022 14:42:11 DNS/server1.idm.example.com@EXAMPLE.COM (camellia256-cts-cmac)

2. IdM 데이터베이스에 저장된 보안 주체의 KVNO를 표시하고 키탭의 KVNO와 일치하는지 확인합니다.

   [root@server1 ~]# kvno DNS/server1.idm.example.com@EXAMPLE.COM
   DNS/server1.idm.example.com@EXAMPLE.COM: kvno = 4

절차

1. 편집할 /etc/krb5.conf 파일을 엽니다.

2. [realms] 섹션에 kdc,admin_server, kpasswd_server 옵션에 KKDCP의 URL을 입력합니다.

   [realms]
   EXAMPLE.COM = {
     kdc = https://kdc.example.com/KdcProxy
     admin_server = https://kdc.example.com/KdcProxy
     kpasswd_server = https://kdc.example.com/KdcProxy
     default_domain = example.com
   }

   중복성을 위해 kdc,admin_server 및 kpasswd_server 매개 변수를 여러 번 추가하여 다른 KKDCP 서버를 표시할 수 있습니다.

3. sssd 서비스를 다시 시작하여 변경 사항을 적용합니다.

   ~]# systemctl restart sssd

절차

1. 디렉터리에서 ipaConfigString=kdcProxyEnabled 속성 및 값 쌍을 제거합니다.

   # ipa-ldap-updater /usr/share/ipa/kdcproxy-disable.uldif
   Update complete
   The ipa-ldap-updater command was successful

2. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd.service

절차

1. 디렉터리에 ipaConfigString=kdcProxyEnabled 속성 및 값 쌍을 추가합니다.

   # ipa-ldap-updater /usr/share/ipa/kdcproxy-enable.uldif
   Update complete
   The ipa-ldap-updater command was successful

2. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd.service

절차

1. /etc/ipa/kdcproxy/kdcproxy.conf 파일의 [global] 섹션에서 use_dns 매개변수를 false 로 설정합니다.

   [global]
   use_dns = false

2. 프록시된 영역 정보를 /etc/ipa/kdcproxy/kdcproxy.conf 파일에 넣습니다. 예를 들어 프록시를 사용하는 [AD.EXAMPLE.COM] 영역의 경우 다음과 같이 영역 구성 매개 변수가 나열됩니다.

   [AD.EXAMPLE.COM]
   kerberos = kerberos+tcp://1.2.3.4:88 kerberos+tcp://5.6.7.8:88
   kpasswd = kpasswd+tcp://1.2.3.4:464 kpasswd+tcp://5.6.7.8:464

   중요

   영역 구성 매개 변수는 /etc/krb5.conf 및 kdc.conf 와 달리 공백으로 구분된 여러 서버를 나열해야 합니다. 이 경우 특정 옵션을 여러 번 지정할 수 있습니다.

3. IdM(Identity Management) 서비스 재시작:

   # ipactl restart

절차

1. /etc/ipa/kdcproxy/kdcproxy.conf 파일에서 [global] 섹션에서 use_dns 매개 변수를 true 로 설정합니다.

   [global]
   configs = mit
   use_dns = true

   configs 매개변수를 사용하면 다른 구성 모듈을 로드할 수 있습니다. 이 경우 구성은 MIT libkrb5 라이브러리에서 읽습니다.

2. 선택 사항: DNS 서비스 레코드를 사용하지 않으려면 /etc/krb5.conf 파일의 [realms] 섹션에 명시적인 AD 서버를 추가합니다. 프록시가 있는 영역(예: AD.EXAMPLE.COM )이 있는 경우 다음을 추가합니다.

   [realms]
   AD.EXAMPLE.COM = {
       kdc = ad-server.ad.example.com
       kpasswd_server = ad-server.ad.example.com
   }

3. IdM(Identity Management) 서비스 재시작:

   # ipactl restart

절차

1. 선택 사항: ipa selfservice-find 명령을 사용하여 기존 셀프 서비스 규칙을 표시합니다.
2. 선택 사항: ipa selfservice-show 명령을 사용하여 수정할 셀프 서비스 규칙에 대한 세부 정보를 표시합니다.
3. ipa selfservice-mod 명령을 사용하여 셀프 서비스 규칙을 편집합니다.

절차

1. IPA 서버 탭에서 역할 기반 액세스 제어 하위 메뉴를 열고 셀프 서비스 권한 을 선택합니다.

2. 셀프 서비스 액세스 규칙 목록의 오른쪽 상단에 있는 추가 를 클릭합니다.

   

3. Add self Service Permission(셀프 서비스 권한 추가) 창이 열립니다. 셀프 서비스 이름 필드에 새 셀프 서비스 규칙의 이름을 입력합니다. 공백을 사용할 수 있습니다.

   

4. 사용자가 편집할 속성 옆에 있는 확인란을 선택합니다.

5. 선택 사항: 액세스 권한을 제공하려는 특성이 나열되어 있지 않은 경우 목록을 추가할 수 있습니다.

   1. Add(추가) 버튼을 클릭합니다.
   2. 다음 Add Custom Attribute(사용자 지정 속성 추가) 창의 Attribute (특성) 텍스트 필드에 특성 이름을 입력합니다.
   3. OK(확인 ) 버튼을 클릭하여 속성을 추가합니다.
   4. 새 속성이 선택되었는지 확인합니다.
6. 양식 하단에서 Add(추가 ) 버튼을 클릭하여 새 셀프 서비스 규칙을 저장합니다.
   또는 Add and Edit (추가 및 편집) 버튼을 클릭하여 셀프 서비스 규칙을 저장하고 계속 편집하거나 추가 및 추가 버튼을 클릭하여 추가 규칙을 저장하고 추가할 수 있습니다.

절차

1. IPA 서버 탭에서 역할 기반 액세스 제어 하위 메뉴를 열고 셀프 서비스 권한 을 선택합니다.

2. 수정할 셀프 서비스 규칙의 이름을 클릭합니다.

   

3. 편집 페이지에서만 셀프 서비스 규칙에 추가하거나 제거할 속성 목록을 편집할 수 있습니다. 적절한 확인란을 선택하거나 선택 취소합니다.
4. Save(저장 ) 버튼을 클릭하여 셀프 서비스 규칙에 변경 사항을 저장합니다.

절차

1. IPA 서버 탭에서 역할 기반 액세스 제어 하위 메뉴를 열고 셀프 서비스 권한 을 선택합니다.

2. 삭제할 규칙 옆에 있는 확인란을 선택한 다음 목록 오른쪽에 있는 Delete (삭제) 버튼을 클릭합니다.

   

3. 대화 상자가 열리고 Delete(삭제)를 클릭하여 확인합니다.

절차

1. ~/MyPlaybooks/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible -freeipa/playbooks/selfservice/ 디렉터리에 있는 selfservice- present.yml 파일의 복사본을 만듭니다.

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-present.yml selfservice-present-copy.yml

3. 편집할 selfservice-present-copy.yml Ansible 플레이북 파일을 엽니다.

4. ipaselfservice 작업 섹션에서 다음 변수를 설정하여 파일을 조정합니다.

   • ipaadmin_password 변수를 IdM 관리자의 암호로 설정합니다.
   • name 변수를 새 셀프 서비스 규칙의 이름으로 설정합니다.
   • 권한 변수를 쉼표로 구분된 권한 목록( 읽기 및 쓰기 )으로 설정합니다.
   • attribute 변수를 givenname,displayname ,title, initials 등 사용자가 자체적으로 관리할 수 있는 속성 목록으로 설정합니다.

   이는 현재 예제에 대한 수정된 Ansible 플레이북 파일입니다.

   ---
   - name: Self-service present
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is present
       ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         permission: read, write
         attribute:
         - givenname
         - displayname
         - title
         - initials

5. 파일을 저장합니다.

6. Ansible 플레이북을 실행합니다. Playbook 파일, secret.yml 파일을 보호하는 암호를 저장하는 파일, 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-present-copy.yml

절차

1. ~/MyPlaybooks/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible -freeipa/playbooks/selfservice/ 디렉터리에 있는 selfservice- absent.yml 파일의 복사본을 만듭니다.

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-absent.yml selfservice-absent-copy.yml

3. selfservice-absent-copy.yml Ansible 플레이북 파일을 편집하여 편집합니다.

4. ipaselfservice 작업 섹션에서 다음 변수를 설정하여 파일을 조정합니다.

   • ipaadmin_password 변수를 IdM 관리자의 암호로 설정합니다.
   • name 변수를 셀프 서비스 규칙의 이름으로 설정합니다.
   • state 변수를 absent 로 설정합니다.

   이는 현재 예제에 대한 수정된 Ansible 플레이북 파일입니다.

   ---
   - name: Self-service absent
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is absent
       ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         state: absent

5. 파일을 저장합니다.

6. Ansible 플레이북을 실행합니다. Playbook 파일, secret.yml 파일을 보호하는 암호를 저장하는 파일, 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-absent-copy.yml

절차

1. ~/MyPlaybooks/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible -freeipa/playbooks/selfservice/ 디렉터리에 있는 selfservice- member-present.yml 파일의 복사본을 만듭니다.

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-member-present.yml selfservice-member-present-copy.yml

3. selfservice-member-present-copy.yml Ansible 플레이북 파일을 편집하여 편집합니다.

4. ipaselfservice 작업 섹션에서 다음 변수를 설정하여 파일을 조정합니다.

   • ipaadmin_password 변수를 IdM 관리자의 암호로 설정합니다.
   • name 변수를 수정할 셀프 서비스 규칙의 이름으로 설정합니다.
   • 특성 변수를 성으로 설정합니다.
   • action 변수를 member 로 설정합니다.

   이는 현재 예제에 대한 수정된 Ansible 플레이북 파일입니다.

   ---
   - name: Self-service member present
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attribute surname is present
       ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         attribute:
         - surname
         action: member

5. 파일을 저장합니다.

6. Ansible 플레이북을 실행합니다. Playbook 파일, secret.yml 파일을 보호하는 암호를 저장하는 파일, 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-member-present-copy.yml

절차

1. ~/MyPlaybooks/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible -freeipa/playbooks/selfservice/ 디렉터리에 있는 selfservice-member- absent.yml 파일의 복사본을 만듭니다.

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-member-absent.yml selfservice-member-absent-copy.yml

3. selfservice-member-absent-copy.yml Ansible 플레이북 파일을 편집하여 편집합니다.

4. ipaselfservice 작업 섹션에서 다음 변수를 설정하여 파일을 조정합니다.

   • ipaadmin_password 변수를 IdM 관리자의 암호로 설정합니다.
   • name 변수를 수정할 셀프 서비스 규칙의 이름으로 설정합니다.
   • 특성 변수를 주어진 이름 및 성으로 설정합니다.
   • action 변수를 member 로 설정합니다.
   • state 변수를 absent 로 설정합니다.

   이는 현재 예제에 대한 수정된 Ansible 플레이북 파일입니다.

   ---
   - name: Self-service member absent
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attributes givenname and surname are absent
       ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         attribute:
         - givenname
         - surname
         action: member
         state: absent

5. 파일을 저장합니다.

6. Ansible 플레이북을 실행합니다. Playbook 파일, secret.yml 파일을 보호하는 암호를 저장하는 파일, 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-member-absent-copy.yml

절차

1. 선택 사항: ipa group-show 명령을 사용하여 그룹에 제거할 멤버가 포함되어 있는지 확인합니다.

2. ipa group-remove-member 명령을 사용하여 사용자 그룹에서 멤버를 제거합니다.

   다음 옵션을 사용하여 제거할 멤버를 지정합니다.

   • --users 는 IdM 사용자를 제거합니다
   • --external 은 pamAIN \user_name 또는 user_name@domain 형식으로 IdM 도메인 외부에 있는 사용자를 제거합니다.
   • --groups 는 IdM 사용자 그룹을 제거합니다

   예를 들어 group _name 이라는 그룹에서 user1, user2 및 group1 을 제거하려면 다음을 수행합니다.

   $ ipa group-remove-member group_name --users=user1 --users=user2 --groups=group1