57.6. Utilização de um livro de jogo possível para permitir que usuários, grupos, anfitriões ou grupos anfitriões da IdM recuperem uma tabela de chaves de um serviço

Procedimento

1. Criar um arquivo de inventário, por exemplo inventory.file:

   $ toque inventory.file

2. Abra o inventory.file e defina o servidor IdM que você deseja configurar na seção [ipaserver]. Por exemplo, para instruir o Ansible a configurar server.idm.example.com, entre:

   [ipaserver]
   server.idm.example.com

3. Faça uma cópia do arquivo do livro de jogo /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present.yml. Por exemplo:

   $ cp /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present.yml /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present-copy.yml

4. Abra o arquivo copiado, /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present-copy.yml, para edição:

5. Adaptar o arquivo:

   • Defina a variável ipaadmin_password para sua senha de administrador IdM.
   • Defina a variável name da tarefa ipaservice para o diretor do serviço HTTP. No exemplo atual, ela é HTTP/client.idm.example.com
   • Especifique os nomes dos usuários da IdM na seção allow_retrieve_keytab_group:. No exemplo atual, é user01.
   • Especifique os nomes dos grupos de usuários do IdM na seção allow_retrieve_keytab_group:.
   • Especifique os nomes dos anfitriões da IdM na seção allow_retrieve_keytab_group:.
   • Especifique os nomes dos grupos anfitriões da IdM na seção allow_retrieve_keytab_group:.

   • Especifique o nome da tarefa usando a variável name na seção tasks.

     Depois de ser adaptado para o exemplo atual, o arquivo copiado tem este aspecto:

   ---
   - name: Service member allow_retrieve_keytab present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Service HTTP/client.idm.example.com members allow_retrieve_keytab present for user01
       ipaservice:
         ipaadmin_password: Secret123
         name: HTTP/client.idm.example.com
         allow_retrieve_keytab_user:
         - user01
         action: member

6. Salvar o arquivo.

7. Execute a Pasta de reprodução possível especificando o arquivo da Pasta de reprodução e o arquivo do inventário:

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present-copy.yml

Etapas de verificação

1. SSH para um servidor IdM como um usuário IdM com o privilégio de recuperar uma tabela de chaves para o serviço HTTP:

   $ ssh user01@server.idm.example.com
   Password:

2. Use o comando ipa-getkeytab com a opção -r para recuperar o keytab:

   $ ipa-getkeytab -r -s server.idm.example.com -p HTTP/client.idm.example.com -k /etc/httpd/conf/krb5.keytab

   A opção -s especifica um servidor do Centro de Distribuição de Chaves (KDC) a partir do qual você deseja recuperar a tabela de chaves.

   A opção -p especifica o principal cujo chaveiro você deseja recuperar.

   A opção -k especifica o arquivo keytab ao qual você deseja anexar a chave recuperada. O arquivo será criado se ele não existir.