流程

1. 要登录到 IdM

   • 在当前登录到本地系统的用户的用户名下，使用 kinit ，而不指定用户名。例如，如果您在本地系统中以 example_user 身份登录：

     [example_user@server ~]$ kinit
     Password for example_user@EXAMPLE.COM:
     [example_user@server ~]$

     如果本地用户的用户名与 IdM 中的任何用户条目都不匹配，则身份验证尝试失败：

     [example_user@server ~]$ kinit
     kinit: Client 'example_user@EXAMPLE.COM' not found in Kerberos database while getting initial credentials

   • 使用与您的本地用户名不对应的 Kerberos 主体，将所需的用户名传递给 kinit 工具。例如，要以 admin 用户身份登录：

     [example_user@server ~]$ kinit admin
     Password for admin@EXAMPLE.COM:
     [example_user@server ~]$

2. 另外，要验证登录是否成功，请使用 klist 工具来显示缓存的 TGT。在以下示例中，缓存包含了 example_user 主体的票，这意味着在这个特定的主机上，当前只允许 example_user 访问 IdM 服务：

   $ klist
   Ticket cache: KEYRING:persistent:0:0
   Default principal: example_user@EXAMPLE.COM
   
   Valid starting     	Expires            	Service principal
   11/10/2019 08:35:45  	11/10/2019 18:35:45  	krbtgt/EXAMPLE.COM@EXAMPLE.COM

流程

1. 销毁您的 Kerberos 票：

   [example_user@server ~]$ kdestroy

2. （可选）检查 Kerberos 票是否已被销毁：

   [example_user@server ~]$ klist
   klist: Credentials cache keyring 'persistent:0:0' not found

流程

1. 将 /etc/krb5.conf 文件从 IdM 服务器复制到外部系统。例如：

   # scp /etc/krb5.conf root@externalsystem.example.com:/etc/krb5_ipa.conf

   警告

   不要覆盖外部系统上现有的 krb5.conf 文件。

2. 在外部系统上，将终端会话设置为使用复制的 IdM Kerberos 配置文件：

   $ export KRB5_CONFIG=/etc/krb5_ipa.conf

   KRB5_CONFIG 变量仅在退出之前暂时存在。要防止其丢失，请使用其他文件名导出变量。

3. 将 Kerberos 配置代码段从 /etc/krb5.conf.d/ 目录复制到外部系统。

流程

1. 打开一个终端，接到 IdM 服务器。

2. 输入 ipa help topics 来显示帮助所涵盖的主题列表。

   $ ipa help topics

3. 选择其中一个主题，按照以下模式创建一个命令： ipa help [topic_name]。添加在上一步中列出的主题之一，而不是 topic_name 字符串。

   在这个示例中，我们使用以下主题：user

   $ ipa help user

4. 如果 IPA 帮助输出太长，您不能整个文本，请用以下语法：

   $ ipa help user | less

   然后您可以向下滚动，并阅读全部帮助。

流程

1. 打开一个终端，接到 IdM 服务器。

2. 输入 ipa help commands 来显示 help 所涵盖的命令列表。

   $ ipa help commands

3. 选择一个命令，并按照下模式创建一个help 命令： ipa help <COMMAND>。添加在上一步中列出的其中一个命令，而不是 <COMMAND> 字符串。

   $ ipa help user-add

流程

1. 打开一个终端，接到 IdM 服务器。

2. 输入命令来添加新用户：

   $ ipa user-add

   命令运行一个脚本，提示您提供创建用户帐户所需的基本数据。

3. 在 First name: 字段中，输入新用户的名字，然后按 Enter 键。
4. 在 Last name: 字段中，输入新用户的姓氏，然后按 Enter 键。

5. 在 User login [suggested user name]: 输入用户名，或者只是按 Enter 键来接受推荐的用户名。

   整个 IdM 数据库的用户名必须是唯一的。如果因为用户名已存在而发生错误，使用 ipa user-add 命令重复该过程，并使用不同的、唯一的用户名。

流程

1. 打开一个终端，接到 IdM 服务器。

2. 输入 ipa user-mod 命令，指定要修改的用户，以及任何选项，如添加密码的 --password ：

   $ ipa user-mod euser --password

   命令将运行脚本，您可以在其中添加新密码。

3. 输入新密码并按 Enter 键。

流程

1. 在浏览器地址栏中输入 IdM 服务器 URL。名称类似以下示例：

   https://server.example.com

   您只需要将 server.example.com 更改为您 IdM 服务器的 DNS 名称。

   这会在您的浏览器中打开 IdM Web UI 登录屏幕。

   

   • 如果服务器没有响应或者登录屏幕没有打开，请检查您要连接的 IdM 服务器上的 DNS 设置。

   • 如果您使用自签名证书，浏览器会发出警告。检查证书并接受安全例外以进行登录。

     为避免安全异常，请安装由证书颁发机构签名的证书。

2. 在 Web UI 登录屏幕上，输入您在 IdM 服务器安装过程中添加的管理员帐户凭证。

   详情请参阅 安装身份管理服务器：使用集成的 DNS，以及集成的 CA。

   如果您已经进入到 IdM 服务器中，您还可以输入您的个人帐户凭证。

   

3. 单击 Log in。

流程

1. 要登录到 IdM

   • 在当前登录到本地系统的用户的用户名下，使用 kinit ，而不指定用户名。例如，如果您在本地系统中以 example_user 身份登录：

     [example_user@server ~]$ kinit
     Password for example_user@EXAMPLE.COM:
     [example_user@server ~]$

     如果本地用户的用户名与 IdM 中的任何用户条目都不匹配，则身份验证尝试失败：

     [example_user@server ~]$ kinit
     kinit: Client 'example_user@EXAMPLE.COM' not found in Kerberos database while getting initial credentials

   • 使用与您的本地用户名不对应的 Kerberos 主体，将所需的用户名传递给 kinit 工具。例如，要以 admin 用户身份登录：

     [example_user@server ~]$ kinit admin
     Password for admin@EXAMPLE.COM:
     [example_user@server ~]$

2. 另外，要验证登录是否成功，请使用 klist 工具来显示缓存的 TGT。在以下示例中，缓存包含了 example_user 主体的票，这意味着在这个特定的主机上，当前只允许 example_user 访问 IdM 服务：

   $ klist
   Ticket cache: KEYRING:persistent:0:0
   Default principal: example_user@EXAMPLE.COM
   
   Valid starting     	Expires            	Service principal
   11/10/2019 08:35:45  	11/10/2019 18:35:45  	krbtgt/EXAMPLE.COM@EXAMPLE.COM

流程

1. 在 Web 浏览器中打开 IdM Web UI 登录对话框。

2. 在 Web UI 登录屏幕上，单击浏览器配置的链接。

   

3. 按照配置页面中的步骤进行操作。

   

流程

1. 将 /etc/krb5.conf 文件从 IdM 服务器复制到外部系统。例如：

   # scp /etc/krb5.conf root@externalsystem.example.com:/etc/krb5_ipa.conf

   警告

   不要覆盖外部系统上现有的 krb5.conf 文件。

2. 在外部系统上，将终端会话设置为使用复制的 IdM Kerberos 配置文件：

   $ export KRB5_CONFIG=/etc/krb5_ipa.conf

   KRB5_CONFIG 变量仅在退出之前暂时存在。要防止其丢失，请使用其他文件名导出变量。

3. 将 Kerberos 配置代码段从 /etc/krb5.conf.d/ 目录复制到外部系统。
4. 在外部系统上配置浏览器，如 为 Kerberos 身份验证配置浏览器 中所述。

流程

1. 使用您的用户名和密码登录到 IdM Web UI。

2. 打开 Identity → Users → Active users 选项卡。

   

3. 单击您的用户名来打开用户设置。
4. 在 User authentication types 中，选择 Two factor authentication (password + OTP) 。
5. 点击 Save。

流程

1. 使用您的用户名和密码登录到 IdM Web UI。
2. 要在您的手机中创建令牌，请打开 Authentication → OTP Tokens 选项卡。

3. 点击 Add。

   

4. 在 Add OTP 令牌 对话框中，保留所有内容未填充，并点击 Add。

   在这个阶段，IdM 服务器在服务器上创建一个带有默认参数的令牌，并打开一个带有 QR 代码的页面。

5. 将 QR 代码复制到您的手机。
6. 单击 OK 来关闭 QR 代码。

流程

1. 在身份管理登录屏幕中，输入您的用户名或 IdM 服务器管理员帐户的用户名。
2. 为上面输入的用户名添加密码。
3. 在您的设备上生成一次性密码。
4. 在密码后面输入一次性密码（不带空格）。

5. 点击 Log in。

   如果身份验证失败，请同步 OTP 令牌。

   如果您的 CA 使用自签名证书，则浏览器会发出警告。检查证书并接受安全例外以进行登录。

   如果 IdM Web UI 没有打开，请验证您的身份管理服务器的 DNS 配置。

流程

1. 在 IdM Web UI 登录屏幕上，单击 Sync OTP Token。

   

2. 在登录屏幕中，输入您的用户名和身份管理密码。
3. 生成一次性密码，并将它输入到 First OTP 字段中。
4. 再生成一次性密码，并将它输入到 Second OTP 字段中。

5. （可选）输入令牌 ID。

   

6. 单击 Sync OTP Token。

流程

1. 在密码过期登录屏幕中，输入用户名。
2. 为上面输入的用户名添加密码。

3. 在 OTP 字段中，如果使用一次性密码身份验证，请生成一次性密码。

   如果您没有启用 OTP 身份验证，请将该字段留空。

4. 输入两次新密码进行验证。

5. 单击 Reset Password。

   

1. getent 命令会触发来自 libc 库的 getpwnam 调用。
2. libc 库引用 /etc/nsswitch.conf 配置文件来检查哪个服务负责提供用户信息，并发现 SSSD 服务的条目。
3. libc 库打开 ss_sss 模块。
4. nss_sss 模块检查内存映射缓存以获取用户信息。如果缓存中存在数据，则 ss_sss 模块会返回它。
5. 如果用户信息不在内存映射缓存中，则会将请求传递给 SSSD sssd_nss 响应程序进程。
6. SSSD 服务检查其缓存。如果缓存中存在数据并有效，sssd_nss 响应程序会从缓存中读取数据并将其返回到应用。
7. 如果缓存中没有数据或数据已过期，sssd_nss 响应器将查询相应的后端进程并等待回复。SSSD 服务在 IdM 环境中使用 IPA 后端，通过 sssd.conf 配置文件中的 id_provider=ipa 启用。
8. sssd_be 后端进程连接到 IdM 服务器，并从 IdM LDAP 目录服务器请求信息。
9. IdM 服务器上的 SSSD 后端响应 IdM 客户端上的 SSSD 后端进程。
10. 客户端上的 SSSD 后端将生成的数据存储在 SSSD 缓存中，并提醒已更新缓存的响应程序进程。
11. sssd_nss 前端响应器进程从 SSSD 缓存检索信息。
12. sssd_nss 响应器将用户信息发送到 ss_sss 响应者，以完成请求。
13. libc 库将用户信息返回到请求它的应用程序。

1. IdM 客户端为 AD 用户信息查找其本地 SSSD 缓存。
2. 如果 IdM 客户端没有用户信息，或者信息是 stale，客户端上的 SSSD 服务会联系 IdM 服务器上的 extdom_extop 插件来执行 LDAP 扩展操作并请求信息。
3. IdM 服务器上的 SSSD 服务在其本地缓存中查找 AD 用户信息。
4. 如果 IdM 服务器在其 SSSD 缓存中没有用户信息，或者其信息为过时，它将执行 LDAP 搜索，以从 AD 域控制器请求用户信息。
5. IdM 服务器上的 SSSD 服务从 AD 域控制器接收 AD 用户信息，并将其存储在其缓存中。
6. extdom_extop 插件从 IdM 服务器上的 SSSD 服务接收信息，该服务完成 LDAP 扩展操作。
7. IdM 客户端上的 SSSD 服务从 LDAP 扩展操作接收 AD 用户信息。
8. IdM 客户端将 AD 用户信息存储在其 SSSD 缓存中，并将信息返回给请求它的应用程序。

1. 使用 ssh 命令尝试身份验证会触发 libpam 库。

2. libpam 库引用 /etc/pam.d/ 目录中与请求身份验证尝试的服务对应的 PAM 文件。在本例中，libpam 库涉及通过本地主机上的 SSH 服务进行身份验证，libpam 库检查 /etc/pam.d/system-auth 配置文件并发现 SSSD PAM 的 pam_sss.so 条目：

   auth    sufficient    pam_sss.so

3. 要确定哪些身份验证方法可用，libpam 库会打开 pam_sss 模块，并将 SSS_PAM_PREAUTH 请求发送到 SSSD 服务的 sssd_pam PAM 响应者。
4. 如果配置了智能卡验证，SSSD 服务会生成一个临时 p11_child 进程，以检查智能卡并从中检索证书。
5. 如果为用户配置了智能卡验证，sssd_pam 响应程序会尝试将智能卡中的证书与用户匹配。sssd_pam 响应器还搜索用户所属的组，因为组成员身份可能会影响访问控制。
6. sssd_pam 响应程序将 SSS_PAM_PREAUTH 请求发送到 sssd_be 后端响应程序，以查看服务器支持的身份验证方法，如密码或双因素身份验证。在 IdM 环境中，SSSD 服务使用 IPA 响应器，默认的身份验证方法是 Kerberos。在本例中，用户使用简单的 Kerberos 密码进行身份验证。
7. sssd_be 响应器生成一个临时 krb5_child 进程。
8. krb5_child 进程联系 IdM 服务器上的 KDC，并检查可用的身份验证方法。

9. KDC 响应请求：

   1. krb5_child 进程评估回复，并将结果发回到 sssd_be 后端进程。
   2. sssd_be 后端进程会收到结果。
   3. sssd_pam 响应器会收到结果。
   4. pam_sss 模块会收到结果。
10. 如果为用户配置了密码身份验证，pam_sss 模块将提示用户输入其密码。如果配置了智能卡验证，pam_sss 模块会提示用户输入其智能卡 PIN。

11. 模块会发送带有用户名和密码的 SSS_PAM_AUTHENTICATE 请求，该请求经过以下操作：

    1. sssd_pam 响应器。
    2. sssd_be 后端进程。
12. sssd_be 进程生成一个临时 krb5_child 进程来联系 KDC。
13. krb5_child 进程尝试使用用户提供的用户名和密码从 KDC 检索 Kerberos Ticket Granting Ticket (TGT)。
14. krb5_child 进程接收身份验证尝试的结果。

15. krb5_child 进程：

    1. 将 TGT 存储到凭据缓存中。
    2. 将身份验证结果返回到 sssd_be 后端进程。

16. 身份验证结果从 sssd_be 进程传输到：

    1. sssd_pam 响应器。
    2. pam_sss 模块。
17. pam_sss 模块使用用户 TGT 的位置设置环境变量，以便其他应用可以引用它。

流程

1. 验证 SSSD 服务及其进程是否正在运行。

   [root@client ~]# pstree -a | grep sssd
     |-sssd -i --logger=files
     |   |-sssd_be --domain implicit_files --uid 0 --gid 0 --logger=files
     |   |-sssd_be --domain example.com --uid 0 --gid 0 --logger=files
     |   |-sssd_ifp --uid 0 --gid 0 --logger=files
     |   |-sssd_nss --uid 0 --gid 0 --logger=files
     |   |-sssd_pac --uid 0 --gid 0 --logger=files
     |   |-sssd_pam --uid 0 --gid 0 --logger=files
     |   |-sssd_ssh --uid 0 --gid 0 --logger=files
     |   `-sssd_sudo --uid 0 --gid 0 --logger=files
     |-sssd_kcm --uid 0 --gid 0 --logger=files

2. 验证客户端可以通过 IP 地址联系用户数据库服务器。

   [user@client ~]$ ping <IP_address_of_the_database_server>

   如果此步骤失败，请检查您的网络和防火墙设置是否允许 IdM 客户端和服务器之间进行直接通信。请参阅使用和配置 firewalld。

3. 验证客户端可以通过完全限定的主机名发现并联系 IdM LDAP 服务器（适用于 IdM 用户）或 AD 域控制器（ AD 用户）。

   [user@client ~]$ dig -t SRV _ldap._tcp.example.com @<name_server>
   [user@client ~]$ ping <fully_qualified_host_name_of_the_server>

   如果此步骤失败，请检查您的 Dynamic Name Service (DNS) 设置，包括 /etc/resolv.conf 文件。请参阅配置 DNS 服务器顺序。

   注意

   默认情况下，SSSD 服务会尝试通过 DNS 服务 (SRV) 记录自动发现 LDAP 服务器和 AD DC。另外，您可以通过在 sssd.conf 配置文件中设置以下选项，将 SSSD 服务限制为使用特定的服务器：

   • ipa_server = <fully_qualified_host_name_of_the_server>
   • ad_server = <fully_qualified_host_name_of_the_server>
   • ldap_uri = <fully_qualified_host_name_of_the_server>

   如果使用这些选项，请验证您可以联系它们中列出的服务器。

4. 验证客户端是否可以对 LDAP 服务器进行身份验证，并使用 ldapsearch 命令检索用户信息。

   1. 如果您的 LDAP 服务器是 IdM 服务器，如 server.example.com，检索主机的 Kerberos 票据，并使用主机 Kerberos 主体进行身份验证数据库搜索：

      [user@client ~]$ kinit -k 'host/client.example.com@EXAMPLE.COM'
      [user@client ~]$ ldapsearch -LLL -Y GSSAPI -h server.example.com -b “dc=example,dc=com” uid=<user_name>

   2. 如果您的 LDAP 服务器是 Active Directory (AD) 域控制器 (DC)，如 server.ad.example.com，请检索主机的 Kerberos 票据，并使用主机 Kerberos 主体执行数据库搜索：

      [user@client ~]$ kinit -k 'CLIENT$@AD.EXAMPLE.COM'
      [user@client ~]$ ldapsearch -LLL -Y GSSAPI -h server.ad.example.com -b “dc=example,dc=com” sAMAccountname=<user_name>

   3. 如果您的 LDAP 服务器是普通 LDAP 服务器，且您在 sssd.conf 文件中设置了 ldap_default_bind_dn 和 ldap_default_authtok 选项，请验证是同一个 ldap_default_bind_dn 帐户：

      [user@client ~]$ ldapsearch -xLLL -D "cn=ldap_default_bind_dn_value" -W -h ldapserver.example.com -b “dc=example,dc=com” uid=<user_name>

   如果此步骤失败，请验证您的数据库设置是否允许您的主机搜索 LDAP 服务器。

5. 由于 SSSD 服务使用 Kerberos 加密，因此请以无法登录的用户身份获得 Kerberos 票据。

   1. 如果您的 LDAP 服务器是 IdM 服务器：

      [user@client ~]$ kinit <user_name>

   2. 如果 LDAP 服务器数据库是 AD 服务器：

      [user@client ~]$ kinit <user_name@AD.EXAMPLE.COM>

   如果此步骤失败，请验证您的 Kerberos 服务器是否正常运行，所有服务器都已同步其时间，并且用户帐户未被锁定。

6. 验证您是否可以检索有关命令行的用户信息。

   [user@client ~]$ getent passwd <user_name>
   [user@client ~]$ id <user_name>

   如果这一步失败，请验证客户端上的 SSSD 服务是否可以接收用户数据库的信息：

   1. 查看 /var/log/messages 日志文件中的错误。
   2. 在 SSSD 服务中启用详细的日志记录，收集调试日志，并查看日志以确定问题的根源。
   3. （可选）创建一个红帽技术支持问题单，并提供您收集的故障排除信息。

7. 如果您被允许在主机上运行 sudo，请使用 sssctl 工具来验证用户是否被允许登录。

   [user@client ~]$ sudo sssctl user-checks -a auth -s ssh <user_name>

   如果这一步失败，请验证您的授权设置，如 PAM 配置、IdM HBAC 规则和 IdM RBAC 规则：

   1. 确保用户的 UID 等于或大于 UID_MIN，它在 /etc/login.defs 文件中定义。
   2. 查看 /var/log/secure 和 /var/log/messages 日志文件中的授权错误。
   3. 在 SSSD 服务中启用详细的日志记录，收集调试日志，并查看日志以确定问题的根源。
   4. （可选）创建一个红帽技术支持问题单，并提供您收集的故障排除信息。

流程

1. 在文本编辑器中打开 /etc/sssd/sssd.conf 文件。

2. 将 debug_level 选项添加到文件的每个部分，并将 debug 级别设置为您选择的详细程度。

   [domain/example.com]
   debug_level = 6
   id_provider = ipa
   ...
   
   [sssd]
   debug_level = 6
   services = nss, pam, ifp, ssh, sudo
   domains = example.com
   
   [nss]
   debug_level = 6
   
   [pam]
   debug_level = 6
   
   [sudo]
   debug_level = 6
   
   [ssh]
   debug_level = 6
   
   [pac]
   debug_level = 6
   
   [ifp]
   debug_level = 6

3. 保存并关闭 sssd.conf 文件。

4. 重启 SSSD 服务以加载新的配置设置。

   [root@server ~]# systemctl restart sssd

流程

1. 在 IdM 服务器上启用详细的 SSSD 调试日志。

   [root@server ~]# sssctl debug-level 6

2. 对于遇到身份验证问题的用户，在 SSSD 缓存中使相关的对象无效，这样使您不会绕过 LDAP 服务器来从缓存的 SSSD 中获取信息。

   [root@server ~]# sssctl cache-expire -u idmuser

3. 通过删除旧的 SSSD 日志来最大程度减少数据集的故障排除。

   [root@server ~]# sssctl logs-remove

4. 尝试切换至遇到身份验证问题的用户，同时在尝试前后收集时间戳。这些时间戳进一步缩小了数据集的范围。

   [root@server sssd]# date; su idmuser; date
   Mon Mar 29 15:33:48 EDT 2021
   su: user idmuser does not exist
   Mon Mar 29 15:33:49 EDT 2021

5. （可选）如果您不想继续收集详细的 SSSD 日志，请降低 debug 级别。

   [root@server ~]# sssctl debug-level 2

6. 查看 SSSD 日志，了解失败请求的信息。例如，检查 /var/log/sssd/sssd_example.com.log 文件表明 SSSD 服务没有在 cn=accounts,dc=example,dc=com LDAP 子树中找到用户。这可能表示用户不存在，或者存在于其他位置。

   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [dp_get_account_info_send] (0x0200): Got request for [0x1][BE_REQ_USER][name=idmuser@example.com]
   ...
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sdap_get_generic_ext_step] (0x0400): calling ldap_search_ext with [(&(uid=idmuser)(objectclass=posixAccount)(uid=)(&(uidNumber=)(!(uidNumber=0))))][cn=accounts,dc=example,dc=com].
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sdap_get_generic_op_finished] (0x0400): Search result: Success(0), no errmsg set
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sdap_search_user_process] (0x0400): Search for users, returned 0 results.
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sysdb_search_by_name] (0x0400): No such entry
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sysdb_delete_user] (0x0400): Error: 2 (No such file or directory)
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sysdb_search_by_name] (0x0400): No such entry
   (Mon Mar 29 15:33:49 2021) [sssd[be[example.com]]] [ipa_id_get_account_info_orig_done] (0x0080): Object not found, ending request

7. 如果您无法确定导致身份验证问题的原因：

   1. 收集您最近生成的 SSSD 日志。

      [root@server ~]# sssctl logs-fetch sssd-logs-Mar29.tar

   2. 创建一个红帽技术支持问题单并提供：

      1. SSSD 日志：sssd-logs-Mar29.tar

      2. 与日志对应的请求的控制台输出，包括时间戳和用户名：

         [root@server sssd]# date; id idmuser; date
         Mon Mar 29 15:33:48 EDT 2021
         id: ‘idmuser’: no such user
         Mon Mar 29 15:33:49 EDT 2021

流程

1. 在客户端上： 在文本编辑器中打开 /etc/sssd/sssd.conf 文件。

2. 在客户端： 将 ipa_server 选项添加到文件的 [domain] 部分，并将其设置为 IdM 服务器。这可避免 IdM 客户端自动发现其他 IdM 服务器，从而将此测试限制为一个客户端和一个服务器。

   [domain/example.com]
   ipa_server = server.example.com
   ...

3. 在客户端上： 保存并关闭 sssd.conf 文件。

4. 在客户端上：重启 SSSD 服务以加载配置更改。

   [root@client ~]# systemctl restart sssd

5. 在服务器和客户端上：启用详细的 SSSD 调试日志。

   [root@server ~]# sssctl debug-level 6

   [root@client ~]# sssctl debug-level 6

6. 在服务器和客户端中：为遇到身份验证问题的用户验证 SSSD 缓存中的对象，因此您不用绕过 LDAP 数据库，并检索 SSSD 信息已经缓存。

   [root@server ~]# sssctl cache-expire -u idmuser

   [root@client ~]# sssctl cache-expire -u idmuser

7. 在服务器和客户端上：通过删除旧的 SSSD 日志来最小化 dataset 故障排除。

   [root@server ~]# sssctl logs-remove

   [root@server ~]# sssctl logs-remove

8. 在客户端上：尝试切换至遇到身份验证问题的用户，同时在尝试前后收集时间戳。这些时间戳进一步缩小了数据集的范围。

   [root@client sssd]# date; su idmuser; date
   Mon Mar 29 16:20:13 EDT 2021
   su: user idmuser does not exist
   Mon Mar 29 16:20:14 EDT 2021

9. （可选）在服务器和客户端上：如果您不想继续收集详细的 SSSD 日志，请降低 debug 级别。

   [root@server ~]# sssctl debug-level 0

   [root@client ~]# sssctl debug-level 0

10. 服务器和客户端：查看 SSSD 日志以获取有关失败请求的信息。

    1. 在客户端日志中查看来自客户端的请求。
    2. 在服务器日志中查看来自客户端的请求。
    3. 在服务器日志中检查请求的结果。
    4. 查看客户端收到来自服务器的请求结果的结果。

11. 如果您无法确定导致身份验证问题的原因：

    1. 收集您最近在 IdM 服务器和 IdM 客户端中生成的 SSSD 日志。根据主机名或角色标记它们。

       [root@server ~]# sssctl logs-fetch sssd-logs-server-Mar29.tar

       [root@client ~]# sssctl logs-fetch sssd-logs-client-Mar29.tar

    2. 创建一个红帽技术支持问题单并提供：

       1. SSSD 调试日志：

          1. 来自服务器的 sssd-logs-server-Mar29.tar。
          2. 来自客户端的 sssd-logs-client-Mar29.tar

       2. 与日志对应的请求的控制台输出，包括时间戳和用户名：

          [root@client sssd]# date; su idmuser; date
          Mon Mar 29 16:20:13 EDT 2021
          su: user idmuser does not exist
          Mon Mar 29 16:20:14 EDT 2021

流程

1. 要查看 SSSD 日志文件，请使用 less 工具打开日志文件。例如，查看 /var/log/sssd/sssd_example.com.log ：

   [root@server ~]# less /var/log/sssd/sssd_example.com.log

2. 查看 SSSD 日志，以获取有关客户端请求的信息。

   (2021-07-26 18:26:37): [be[testidm.com]] [dp_req_destructor] (0x0400): [RID#3] Number of active DP request: 0
   (2021-07-26 18:26:37): [be[testidm.com]] [dp_req_reply_std] (0x1000): [RID#3] DP Request AccountDomain #3: Returning [Internal Error]: 3,1432158301,GetAccountDomain() not supported
   (2021-07-26 18:26:37): [be[testidm.com]] [dp_attach_req] (0x0400): [RID#4] DP Request Account #4: REQ_TRACE: New request. [sssd.nss CID #1] Flags [0x0001].
   (2021-07-26 18:26:37): [be[testidm.com]] [dp_attach_req] (0x0400): [RID#4] Number of active DP request: 1

   SSSD 日志文件中的这个示例输出显示了两个不同的请求的唯一标识符 RID#3 和 RID#4。

流程

1. 在主目录中为您的 Ansible 配置和 playbook 创建目录：

   $ mkdir ~/MyPlaybooks/

2. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks

3. 使用以下内容创建 ~/MyPlaybooks/ansible.cfg 文件：

   [defaults]
   inventory = /home/your_username/MyPlaybooks/inventory
   remote_user = admin

4. 使用以下内容创建 ~/MyPlaybooks/inventory 文件：

   [eu]
   server.idm.example.com
   
   [us]
   replica.idm.example.com
   
   [ipaserver:children]
   eu
   us

   此配置定义了两个主机组，即 eu 和 us，用于这些位置中的主机。此外，此配置定义了 ipaserver 主机组，它包含来自 eu 和 us 组的所有主机。

5. [可选] 创建 SSH 公钥和私钥。要在测试环境中简化访问，请不要在私钥中设置密码：

   $ ssh-keygen

6. 将 SSH 公钥复制到每个受管节点上的 IdM admin 帐户：

   $ ssh-copy-id admin@server.idm.example.com
   $ ssh-copy-id admin@replica.idm.example.com

   这些命令要求您输入 IdM admin 密码。

7. 创建包含 vault 密码的 password_file 文件：

   redhat

8. 更改权限以修改该文件：

   $ chmod 0600 password_file

9. 创建一个 secret.yml Ansible 库来存储 IdM admin 密码：

   1. 配置 password_file 以存储 vault 密码：

      $ ansible-vault create --vault-password-file=password_file secret.yml

   2. 出现提示时，输入 secret.yml 文件的内容：

      ipaadmin_password: Secret123

流程

1. 打开 /usr/share/doc/ansible-freeipa/playbooks/config/retrieve-config.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to handle global IdM configuration
     hosts: ipaserver
     become: no
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Query IPA global configuration
       ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
       register: serverconfig
   
     - debug:
         msg: "{{ serverconfig }}"

2. 通过更改以下内容来调整文件：

   • IdM 管理员的密码。
   • 其他值（如有必要）。
3. 保存该文件。

4. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/config/retrieve-config.yml
   [...]
   TASK [debug]
   ok: [server.idm.example.com] => {
       "msg": {
           "ansible_facts": {
               "discovered_interpreter_
           },
           "changed": false,
           "config": {
               "ca_renewal_master_server": "server.idm.example.com",
               "configstring": [
                   "AllowNThash",
                   "KDC:Disable Last Success"
               ],
               "defaultgroup": "ipausers",
               "defaultshell": "/bin/bash",
               "emaildomain": "idm.example.com",
               "enable_migration": false,
               "groupsearch": [
                   "cn",
                   "description"
               ],
               "homedirectory": "/home",
               "maxhostname": "64",
               "maxusername": "64",
               "pac_type": [
                   "MS-PAC",
                   "nfs:NONE"
               ],
               "pwdexpnotify": "4",
               "searchrecordslimit": "100",
               "searchtimelimit": "2",
               "selinuxusermapdefault": "unconfined_u:s0-s0:c0.c1023",
               "selinuxusermaporder": [
                   "guest_u:s0$xguest_u:s0$user_
               ],
               "usersearch": [
                   "uid",
                   "givenname",
                   "sn",
                   "telephonenumber",
                   "ou",
                   "title"
               ]
           },
           "failed": false
       }
   }

流程

1. 可选：识别当前 IdM CA 续订服务器：

   $ ipa config-show | grep 'CA renewal'
     IPA CA renewal master: server.idm.example.com

2. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

3. 打开 /usr/share/doc/ansible-freeipa/playbooks/config/set-ca-renewal-master-server.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to handle global DNS configuration
     hosts: ipaserver
     become: no
     gather_facts: no
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: set ca_renewal_master_server
       ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
         ca_renewal_master_server: carenewal.idm.example.com

4. 通过更改调整文件：

   • ipaadmin_password 变量设置的 IdM 管理员密码。
   • ca_renewal_master_server 变量所设置的 CA 续订服务器的名称。
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/config/set-ca-renewal-master-server.yml

1. 以 IdM 管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 请求 IdM CA 续订服务器的身份：

   $ ipa config-show | grep ‘CA renewal’
   IPA CA renewal master:  carenewal.idm.example.com

   输出显示 watchnewal.idm.example.com 服务器是新的 CA 续订服务器。

流程

1. 可选： 使用 retrieve-config.yml Ansible playbook 来识别 IdM 用户的当前 shell。详情请参阅 使用 Ansible playbook 检索 IdM 配置。

2. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

3. 打开 /usr/share/doc/ansible-freeipa/playbooks/config/ensure-config-options-are-set.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to ensure some config options are set
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     # Set defaultlogin and maxusername
     - ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
         defaultshell: /bin/bash
         maxusername: 64

4. 通过更改以下内容来调整文件：

   • ipaadmin_password 变量设置的 IdM 管理员密码。
   • IdM 用户的默认 shell 由 /bin/sh 中的 defaultshell 设置。
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/config/ensure-config-options-are-set.yml

1. 以 IdM 管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示当前的 shell：

   [admin@server /]$ echo "$SHELL"
   /bin/sh

   登录用户正在使用 sh shell。

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建一个 netbios-domain-name-present.yml Ansible playbook 文件。

3. 在文件中添加以下内容：

   ---
   - name: Playbook to change IdM domain netbios name
     hosts: ipaserver
     become: no
     gather_facts: no
   
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
       - name: Set IdM domain netbios name
         ipaconfig:
           ipaadmin_password: "{{ ipaadmin_password }}"
           netbios_name: IPADOM

4. 保存该文件。

5. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory netbios-domain-name-present.yml

   出现提示时，提供 vault 文件密码。

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建一个 sids-for-users-and-groups-present.yml Ansible playbook 文件。

3. 在文件中添加以下内容：

   ---
   - name: Playbook to ensure SIDs are enabled and users and groups have SIDs
     hosts: ipaserver
     become: no
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
       - name: Enable SID and generate users and groups SIDS
         ipaconfig:
           ipaadmin_password: "{{ ipaadmin_password }}"
           enable_sid: true
           add_sids: true

   enable_sid 变量为将来的 IdM 用户和组启用 SID 生成。add_sids 变量为现有的 IdM 用户和组生成 SID。

   注意

   使用 add_sids: true 时，您还必须将 enable_sid 变量设置为 true。

4. 保存该文件。

5. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory sids-for-users-and-groups-present.yml

   出现提示时，提供 vault 文件密码。

流程

1. 打开终端并连接到 IdM 服务器。

2. 添加用户登录、用户名、姓氏以及可选，您也可以添加其电子邮件地址。

   $ ipa user-add user_login --first=first_name --last=last_name --email=email_address

   IdM 支持可通过以下正则表达式描述的用户名：

   [a-zA-Z0-9_.][a-zA-Z0-9_.-]{0,252}[a-zA-Z0-9_.$-]?

   注意

   支持以末尾的美元符号($)结尾的用户名，以启用 Samba 3.x 机器支持。

   如果您添加了包含大写字符的用户名，IdM 会在保存名称时自动将其转换为小写。因此，IdM 总是需要在登录时以小写形式输入用户名。此外，不能添加仅在字母大小写上不同的用户名，比如 user 和 User。

   用户名的默认最大长度为 32 个字符。要更改它，请使用 ipa config-mod --maxusername 命令。例如，要将最大用户名长度增加到 64 个字符：

   $ ipa config-mod --maxusername=64
    Maximum username length: 64
    ...

   ipa user-add 命令包含许多参数。要全部列出它们，请使用 ipa help 命令：

   $ ipa help user-add

   有关 ipa help 命令的详情，请查看 什么是 IPA help 。

流程

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令激活用户帐户：

   $ ipa stageuser-activate user_login
   -------------------------
   Stage user user_login activated
   -------------------------
   ...

流程

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令保留用户帐户：

   $ ipa user-del --preserve user_login
   --------------------
   Deleted user "user_login"
   --------------------

   注意

   尽管输出说用户帐户已删除，但实际上是被保留了。

流程

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令删除用户帐户：

   $ ipa user-del user_login
   --------------------
   Deleted user "user_login"
   --------------------

流程

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令激活用户帐户：

   $ ipa user-undel user_login
   ------------------------------
   Undeleted user account "user_login"
   ------------------------------

   或者，您可以将用户帐户恢复为暂存的用户帐户：

   $ ipa user-stage user_login
   ------------------------------
   Staged user account "user_login"
   ------------------------------

流程

1. 登录到 IdM Web UI。

   详情请参阅 在 Web 浏览器中访问 IdM Web UI。

2. 进到 Users → Stage Users 选项卡。

   另外，您可以在 Users → Active users 中添加用户帐户，但是您无法将用户组添加到帐户中。

3. 单击 + Add 图标。
4. 在 Add stage user 对话框中，输入新用户的 First name 和 Last name。

5. [可选] 在 User login 字段中，添加一个登录名称。

   如果您将其留空，IdM 服务器将以以下形式创建登录名称：名字的第一个字母和姓氏。整个登录名最多可有 32 个字符。

6. [可选] 在 GID 下拉菜单中，选择应包含该用户的组。
7. [可选] 在 Password 和 Verify password 字段中，输入您的密码并确认，确保它们都匹配。

8. 点击 Add 按钮。

   

流程

1. 登录到 IdM Web UI。

   详情请参阅 在 Web 浏览器中访问 IdM Web UI。

2. 进到 Users → Stage users 选项卡。
3. 单击您要激活的用户帐户的复选框。

4. 单击 Activate 按钮。

   

5. 在 Confirmation 对话框中，单击 OK。

流程

1. 登录到 IdM Web UI。

   详情请参阅 在 Web 浏览器中访问 IdM Web UI。

2. 进到 Users → Active users 选项卡。
3. 点击您要禁用的用户帐户的复选框。

4. 单击 Disable 按钮。

   

5. 在 Confirmation 对话框中，单击 OK 按钮。

流程

1. 登录到 IdM Web UI。
2. 进到 Users → Active users 选项卡。
3. 单击您要启用的用户帐户的复选框。

4. 单击 Enable 按钮。

   

5. 在 Confirmation 对话框中，单击 OK 按钮。

流程

1. 登录到 IdM Web UI。

   详情请参阅 在 Web 浏览器中访问 IdM Web UI。

2. 进到 Users → Active users 选项卡。
3. 单击您要保留的用户帐户的复选框。

4. 单击 Delete 按钮。

   

5. 在 Remove users 对话框中，将 Delete mode 单选按钮切换到 preserve。

6. 单击 Delete 按钮。

   

流程

1. 登录到 IdM Web UI。

   详情请参阅 在 Web 浏览器中访问 IdM Web UI。

2. 进到 Users → Preserved users 选项卡。
3. 单击您要恢复的用户帐户的复选框。

4. 单击 Restore 按钮。

   

5. 在 Confirmation 对话框中，单击 OK 按钮。

流程

1. 登录到 IdM Web UI。

   详情请参阅 在 Web 浏览器中访问 IdM Web UI。

2. 进到 Users → Active users 选项卡。

   或者，您可以在 Users → Stage users 或 Users → Preserved users 删除用户账户。

3. 点 Delete 图标。
4. 在 Remove users 对话框中，将 Delete mode 单选按钮切换到 delete。
5. 单击 Delete 按钮。

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建一个 Ansible playbook 文件，其中包含您要确保的 IdM 中存在的用户数据。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/add-user.yml 文件中的示例。例如，创建名为 idm_user 的用户并添加 Password123 作为用户密码：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create user idm_user
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: idm_user
         first: Alice
         last: Acme
         uid: 1000111
         gid: 10011
         phone: "+555123457"
         email: idm_user@acme.com
         passwordexpiration: "2023-01-19 23:59:59"
         password: "Password123"
         update_password: on_create

   您必须使用以下选项来添加用户：

   • name：登录名称
   • first：名（字符串）
   • last：姓（字符串）

   有关可用用户选项的完整列表，请参阅 /usr/share/doc/ansible-freeipa/README-user.md Markdown 文件。

   注意

   如果您使用 update_password: on_create 选项，Ansible 仅在创建用户时创建用户密码。如果已使用密码创建了用户，Ansible 不会生成新的密码。

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-IdM-user.yml

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建一个 Ansible playbook 文件，其中包含您要在 IdM 中确保存在的用户的数据。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create user idm_users
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users:
         - name: idm_user_1
           first: Alice
           last: Acme
           uid: 10001
           gid: 10011
           phone: "+555123457"
           email: idm_user@acme.com
           passwordexpiration: "2023-01-19 23:59:59"
           password: "Password123"
         - name: idm_user_2
           first: Bob
           last: Acme
           uid: 100011
           gid: 10011
         - name: idm_user_3
           first: Eve
           last: Acme
           uid: 1000111
           gid: 10011

   注意

   如果没有指定 update_password: on_create 选项，Ansible 每次运行 playbook 时都会重新设置用户密码：如果用户自上次运行 playbook 起更改了密码，则 Ansible 重新设置密码。

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-users.yml

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建包含必要任务的 Ansible playbook 文件。使用您要确保存在的用户数据引用 JSON 文件。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/ensure-users-present-ymlfile.yml 文件中的示例：

   ---
   - name: Ensure users' presence
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Include users.json
       include_vars:
         file: users.json
   
     - name: Users present
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users: "{{ users }}"

3. 创建 users.json 文件，并将 IdM 用户添加到其中。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/users.json 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   {
     "users": [
      {
       "name": "idm_user_1",
       "first": "Alice",
       "last": "Acme",
       "password": "Password123"
      },
      {
       "name": "idm_user_2",
       "first": "Bob",
       "last": "Acme"
      },
      {
       "name": "idm_user_3",
       "first": "Eve",
       "last": "Acme"
      }
     ]
   }

4. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-users-present-jsonfile.yml

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建 Ansible playbook 文件，使其包含没有 IdM 的用户。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要删除用户 idm_user_1、idm_user_2 和 idm_user_3 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Delete users idm_user_1, idm_user_2, idm_user_3
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users:
         - name: idm_user_1
         - name: idm_user_2
         - name: idm_user_3
         state: absent

3. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/delete-users.yml

1. 以管理员身份登录到 ipaserver：

   $ ssh administrator@server.idm.example.com
   Password:
   [admin@server /]$

2. 请求有关 idm_user_1 的信息：

   $ ipa user-show idm_user_1
   ipa: ERROR: idm_user_1: user not found

   IdM 中不存在名为 idm_user_1 的用户。

流程

1. 可选。使用 ipa group-show 命令确认组是否包含您要删除的成员。

2. 使用 ipa group-remove-member 命令从用户组中删除成员。

   使用这些选项来指定要删除的成员：

   • --users 删除 IdM 用户
   • --external 删除存在于 IdM 域外的用户，格式为 DOMAIN\user_name 或 user_name@domain
   • --groups 删除 IdM 用户组

   例如，要从名为 group_name 的组中删除 user1、user2 和 group1：

   $ ipa group-remove-member group_name --users=user1 --users=user2 --groups=group1

流程

1. 将 [SUCCESS=merge] 添加到 /etc/nsswitch.conf 文件中：

   # Allow initgroups to default to the setting for group.
   initgroups: sss [SUCCESS=merge] files

2. 将 idmuser 添加到 IdM：

   # ipa user-add idmuser
   First name: idm
   Last name: user
   ---------------------
   Added user "idmuser"
   ---------------------
   User login: idmuser
   First name: idm
   Last name: user
   Full name: idm user
   Display name: idm user
   Initials: tu
   Home directory: /home/idmuser
   GECOS: idm user
   Login shell: /bin/sh
   Principal name: idmuser@IPA.TEST
   Principal alias: idmuser@IPA.TEST
   Email address: idmuser@ipa.test
   UID: 19000024
   GID: 19000024
   Password: False
   Member of groups: ipausers
   Kerberos keys available: False

3. 验证本地 音频 组的 GID。

   $ getent group audio
   ---------------------
   audio:x:63

4. 将组 音频 添加到 IdM：

   $ ipa group-add audio --gid 63
   -------------------
   Added group "audio"
   -------------------
   Group name: audio
   GID: 63

   注意

   您在将 音频 组添加到 IdM 时定义的 GID 必须与本地 音频 组的 GID 相同。

5. 将 idmuser 用户添加到 IdM 音频 组中：

   $ ipa group-add-member audio --users=idmuser
   Group name: audio
   GID: 63
   Member users: idmuser
   -------------------------
   Number of members added 1
   -------------------------

验证

1. 以 idmuser 身份登录。

2. 验证 idmuser 在其会话中是否有本地组：

   $ id idmuser
   uid=1867800003(idmuser) gid=1867800003(idmuser) groups=1867800003(idmuser),63(audio),10(wheel)

流程

1. 点击 Identity → Groups，然后选择左侧栏中的 User Groups。
2. 单击 Add 开始添加组。

3. 填写有关组的信息。有关用户组类型的更多信息，请参阅 IdM 中不同的组类型。

   您可以为组指定自定义的 GID。如果您这样做，请小心以避免 ID 冲突。如果没有指定自定义的 GID，IdM 会自动从可用的 ID 范围内分配一个 GID。

   
4. 单击 Add 确认。

流程

1. 点击 Identity → Groups ，并选择 User Groups。
2. 选择要删除的组。
3. 单击 Delete。
4. 单击 Delete 确认。

流程

1. 单击 Identity → Groups ，并选择左侧栏中的 User Groups。
2. 单击组的名称。

3. 选择您要添加的组成员的类型： User、User Groups 或 External。

   
4. 点击 Add。
5. 选中您要添加的一个或多个成员旁边的复选框。

6. 单击向右箭头，将选定的成员移到组中。

   
7. 单击 Add 确认。

流程

1. 单击 Identity → Groups ，并选择左侧栏中的 User Groups。
2. 单击组的名称。

3. 选择您要添加的组成员管理者的类型：Users 或 User Groups。

   
4. 点击 Add。
5. 选中您要添加的一个或多个成员旁边的复选框。

6. 单击向右箭头，将选定的成员移到组中。

   
7. 单击 Add 确认。

流程

1. 选择 Identity → Groups。
2. 在左侧栏中选择 User Groups 。
3. 单击您要查看的组的名称。

4. 在 Direct Membership 和 Indirect Membership 之间切换。

   

流程

1. 单击 Identity → Groups ，并选择左侧栏中的 User Groups。
2. 单击组的名称。

3. 选择要删除的组成员的类型： User、User Groups 或 External。

   
4. 选中您要删除的成员旁边的复选框。
5. 单击 Delete。
6. 单击 Delete 确认。

流程

1. 单击 Identity → Groups ，并选择左侧栏中的 User Groups。
2. 单击组的名称。

3. 选择您要删除的成员管理者的类型： Users 或 User Groups。

   
4. 选中您要删除的成员管理者旁边的复选框。
5. 单击 Delete。
6. 单击 Delete 确认。

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的用户和组信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle groups
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create group ops with gid 1234
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: ops
         gidnumber: 1234
   
     - name: Create group sysops
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: sysops
         user:
         - idm_user
   
     - name: Create group appops
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: appops
   
     - name: Add group members sysops and appops to group ops
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: ops
         group:
         - sysops
         - appops

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-group-members.yml

1. 以管理员身份登录到 ipaserver：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示关于 ops 的信息：

   ipaserver]$ ipa group-show ops
     Group name: ops
     GID: 1234
     Member groups: sysops, appops
     Indirect Member users: idm_user

   IdM 中已存在 appops 和 sysops 组，后者包括 idm_user 用户。

流程

1. 使用以下内容创建 Ansible playbook 文件 add-nonposix-and-external-groups.yml ：

   ---
   - name: Playbook to add nonposix and external groups
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Add nonposix group sysops and external group appops
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         groups:
         - name: sysops
           nonposix: true
         - name: appops
           external: true

2. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/add-nonposix-and-external-groups.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 使用以下内容创建 add-useridoverride-to-group.yml playbook：

   ---
   - name: Playbook to ensure presence of users in a group
     hosts: ipaserver
   
   
     - name: Ensure the ad_user@ad.example.com user ID override is a member of the admins group:
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: admins
         idoverrideuser:
         - ad_user@ad.example.com

   在示例中：

   • Secret123 是 IdM 管理员密码。
   • 管理员 是您要添加 ad_user@ad.example.com ID 覆盖的 IdM POSIX 组的名称。此组成员具有全部的管理员特权。
   • ad_user@ad.example.com 是 AD 管理员的用户 ID 覆盖。用户存储在已建立信任的 AD 域中。
3. 保存该文件。

4. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory add-useridoverride-to-group.yml

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的用户和组成员管理信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle membership management
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure user test is present for group_a
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: group_a
         membermanager_user: test
   
     - name: Ensure group_admins is present for group_a
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: group_a
         membermanager_group: group_admins

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-member-managers-user-groups.yml

1. 以管理员身份登录到 ipaserver：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示 managergroup1 的信息：

   ipaserver]$ ipa group-show group_a
     Group name: group_a
     GID: 1133400009
     Membership managed by groups: group_admins
     Membership managed by users: test

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的用户和组成员管理信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle membership management
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure member manager user and group members are absent for group_a
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: group_a
         membermanager_user: test
         membermanager_group: group_admins
         action: member
         state: absent

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-member-managers-are-absent.yml

1. 以管理员身份登录到 ipaserver：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示 group_a 的信息：

   ipaserver]$ ipa group-show group_a
     Group name: group_a
     GID: 1133400009

流程

1. 输入 ipa automember-add 命令，来添加自动成员规则。

2. 在提示时，指定：

   • 自动成员规则。这是目标组名称。
   • 分组类型。这将指定规则以用户组还是主机组为目标。要以用户组为目标，请输入 group。要以主机组为目标，请输入 hostgroup。

   例如，要为名为 user_group 的用户组添加自动成员规则：

   $ ipa automember-add
   Automember Rule: user_group
   Grouping Type: group
   --------------------------------
   Added automember rule "user_group"
   --------------------------------
       Automember Rule: user_group

流程

1. 使用 ipa automember-add-condition 命令定义一个或多个包含或排他条件。

2. 在提示时，指定：

   • 自动成员规则。这是目标规则名称。详情请查看 自动成员规则。
   • 属性键。这将指定过滤器将应用到的条目属性。例如，用户的 uid ：
   • 分组类型。这将指定规则以用户组还是主机组为目标。要以用户组为目标，请输入 group。要以主机组为目标，请输入 hostgroup。
   • 包含正则表达式 和 排他正则表达式。它们将一个或多个条件指定为正则表达式。如果您只想指定一个条件，请在提示输入其它条件时按 Enter 键。

   例如，以下条件针对用户登录属性(uid)中带有任何值(.*)的所有用户。

   $ ipa automember-add-condition
   Automember Rule: user_group
   Attribute Key: uid
   Grouping Type: group
   [Inclusive Regex]: .*
   [Exclusive Regex]:
   ----------------------------------
   Added condition(s) to "user_group"
   ----------------------------------
     Automember Rule: user_group
     Inclusive Regex: uid=.*
   ----------------------------
   Number of conditions added 1
   ----------------------------

   再举一个例子，您可以使用自动成员资格规则以从活动目录(AD)中同步的所有 Windows 用户为目标。要达到此目的，请创建一个条件，该条件以其objectClass 属性中带有 ntUser 的用户为目标，该属性由所有 AD 用户共享：

   $ ipa automember-add-condition
   Automember Rule: ad_users
   Attribute Key: objectclass
   Grouping Type: group
   [Inclusive Regex]: ntUser
   [Exclusive Regex]:
   -------------------------------------
   Added condition(s) to "ad_users"
   -------------------------------------
     Automember Rule: ad_users
     Inclusive Regex: objectclass=ntUser
   ----------------------------
   Number of conditions added 1
   ----------------------------

流程

1. 输入 ipa automember-find 命令。

2. 在提示时，指定 Grouping type ：

   • 要以用户组为目标，请输入 group。

   • 要以主机组为目标，请输入 hostgroup。

     例如：

   $ ipa automember-find
   Grouping Type: group
   ---------------
   1 rules matched
   ---------------
     Automember Rule: user_group
     Inclusive Regex: uid=.*
   ----------------------------
   Number of entries returned 1
   ----------------------------

流程

1. 输入 ipa automember-del 命令。

2. 在提示时，指定：

   • 自动成员规则。这是您要删除的规则。
   • 分组规则。这将指定您要删除的规则是针对用户组的还是主机组的。输入 group 或 hostgroup 。

流程

1. 输入 ipa automember-remove-condition 命令。

2. 在提示时，指定：

   • 自动成员规则。这是您要从中删除条件的规则的名称。
   • 属性键。这是目标条目属性。例如，用户的 uid ：
   • 分组类型。这将指定您要删除的条件是针对用户组的还是主机组的。输入 group 或 hostgroup 。

   • 包含正则表达式 和 排他正则表达式。它们指定您要删除的条件。如果您只想指定一个条件，请在提示输入其它条件时按 Enter 键。

     例如：

   $ ipa automember-remove-condition
   Automember Rule: user_group
   Attribute Key: uid
   Grouping Type: group
   [Inclusive Regex]: .*
   [Exclusive Regex]:
   -----------------------------------
   Removed condition(s) from "user_group"
   -----------------------------------
     Automember Rule: user_group
   ------------------------------
   Number of conditions removed 1
   ------------------------------

流程

1. 输入 ipa automember-default-group-set 命令，来配置默认的自动成员组。

2. 在提示时，指定：

   • Default (fallback) Group，指定目标组名称。

   • Grouping Type，指定目标是用户组还是主机组。要以用户组为目标，请输入 group。要以主机组为目标，请输入 hostgroup。

     例如：

     $ ipa automember-default-group-set
     Default (fallback) Group: default_user_group
     Grouping Type: group
     ---------------------------------------------------
     Set default (fallback) group for automember "default_user_group"
     ---------------------------------------------------
       Default (fallback) Group: cn=default_user_group,cn=groups,cn=accounts,dc=example,dc=com

   注意

   要删除当前的默认自动成员组，请输入 ipa automember-default-group-remove 命令。

流程

1. 点击 Identity → Automember，然后选择 User group rules 或 Host group rules。
2. 点击 Add。

3. 在 Automember rule 字段中，选择规则要应用的组。这是目标组名称。

   
4. 单击 Add 确认。
5. 可选： 您可以使用在 使用 IdM Web UI 向自动成员规则中添加条件 中所述的步骤，向新规则添加条件。

流程

1. 点击 Identity → Automember，然后选择 User group rules 或 Host group rules。
2. 点击您要向其添加条件的规则。

3. 在 Inclusive 或 Exclusive 部分中，点击 Add。

   
4. 在 Attribute 字段中，选择需要的属性，如 uid。
5. 在 Expression 字段中，定义正则表达式。

6. 点击 Add。

   例如，以下条件以用户 ID(uid)属性中带有任何值(.*)的所有用户为目标。

   

流程

1. 点击 Identity → Automember，然后选择 User group rules 或 Host group rules 来查看对应的自动成员规则。

2. 可选：点击规则，来查看 Inclusive 或 Exclusive 部分中规则的条件。

   

流程

1. 点击 Identity → Automember，然后选择 User group rules 或 Host group rules 来查看对应的自动成员规则。
2. 选中您要删除的规则旁边的复选框。

3. 单击 Delete。

   
4. 单击 Delete 确认。

流程

1. 点击 Identity → Automember，然后选择 User group rules 或 Host group rules 来查看对应的自动成员规则。
2. 点击规则，来查看 Inclusive 或 Exclusive 部分中规则的条件。
3. 选中您要删除的条件旁边的复选框。

4. 单击 Delete。

   
5. 单击 Delete 确认。

流程

1. 点击 Identity → Automember，然后选择 User group rules。

2. 在 Default user group 字段中，选择您要设置为默认用户组的组。

   

流程

1. 点击 Identity → Automember，然后选择 Host group rules。

2. 在 Default host group 字段中，选择您要设置为默认主机组的组。

   

流程

1. 在主目录中为您的 Ansible 配置和 playbook 创建目录：

   $ mkdir ~/MyPlaybooks/

2. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks

3. 使用以下内容创建 ~/MyPlaybooks/ansible.cfg 文件：

   [defaults]
   inventory = /home/your_username/MyPlaybooks/inventory
   
   [privilege_escalation]
   become=True

4. 使用以下内容创建 ~/MyPlaybooks/inventory 文件：

   [ipaserver]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   
   [ipacluster:children]
   ipaserver
   ipareplicas
   
   [ipacluster:vars]
   ipaadmin_password=SomeADMINpassword
   
   [ipaclients]
   ipaclient1.example.com
   ipaclient2.example.com
   
   [ipaclients:vars]
   ipaadmin_password=SomeADMINpassword

   此配置定义了两个主机组，即 eu 和 us，用于这些位置中的主机。此外，此配置定义了 ipaserver 主机组，它包含来自 eu 和 us 组的所有主机。

5. [可选] 创建 SSH 公钥和私钥。要在测试环境中简化访问，请不要在私钥中设置密码：

   $ ssh-keygen

6. 将 SSH 公钥复制到每个受管节点上的 IdM admin 帐户：

   $ ssh-copy-id admin@server.idm.example.com
   $ ssh-copy-id admin@replica.idm.example.com

   输入这些命令时，您必须输入 IdM admin 密码。

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/automember/ 目录中的 automember-group-present.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-group-present.yml automember-group-present-copy.yml

3. 打开 automember-group-present-copy.yml 文件进行编辑。

4. 通过在 ipaautomember 任务部分中设置以下变量来调整该文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
   • 将 name 变量设为 testing_group。
   • 将 automember_type 变量设为 group。
   • 确保 state 变量设置为 present。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember group present example
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure group automember rule admins is present
       ipaautomember:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: testing_group
         automember_type: group
         state: present

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automember-group-present-copy.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/automember/ 目录中的 automember-hostgroup-rule-present.yml Ansible playbook 文件，并将它命名为 automember-usergroup-rule-present.yml ：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-hostgroup-rule-present.yml automember-usergroup-rule-present.yml

3. 打开 automember-usergroup-rule-present.yml 文件进行编辑。

4. 通过修改以下参数来调整文件：

   • 重命名 playbook 以便对应于您的用例，例如：自动成员用户组规则成员存在。
   • 重命名任务以便对应于您的用例，例如：确保用户组的自动成员条件存在。

   • 在 ipaautomember 任务部分中设置以下变量：

     • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
     • 将 name 变量设为 testing_group。
     • 将 automember_type 变量设为 group。
     • 确保 state 变量设置为 present。
     • 确保 action 变量设为 member。
     • 将 inclusive key 变量设为 UID。
     • 将 inclusive expression 变量设为 .*

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember user group rule member present
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure an automember condition for a user group is present
       ipaautomember:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: testing_group
         automember_type: group
         state: present
         action: member
         inclusive:
           - key: UID
             expression: .*

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automember-usergroup-rule-present.yml

验证步骤

1. 以 IdM 管理员身份登录。

   $ kinit admin

2. 例如，添加用户：

   $ ipa user-add user101 --first user --last 101
   -----------------------
   Added user "user101"
   -----------------------
     User login: user101
     First name: user
     Last name: 101
     ...
     Member of groups: ipausers, testing_group
     ...

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/automember/ 目录中的 automember-hostgroup-rule-absent.yml Ansible playbook 文件，并将其命名为 automember-usergroup-rule-absent.yml ：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-hostgroup-rule-absent.yml automember-usergroup-rule-absent.yml

3. 打开 automember-usergroup-rule-absent.yml 文件进行编辑。

4. 通过修改以下参数来调整文件：

   • 重命名 playbook 以对应于您的用例，例如：自动成员用户组规则成员不存在。
   • 重命名任务以对应于您的用例，例如：确保用户组的自动成员条件不存在。

   • 在 ipaautomember 任务部分中设置以下变量：

     • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
     • 将 name 变量设为 testing_group。
     • 将 automember_type 变量设为 group。
     • 确保 state 变量设置为 absent。
     • 确保 action 变量设为 member。
     • 将 inclusive key 变量设为 initials。
     • 将 inclusive expression 变量设为 dp。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember user group rule member absent
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure an automember condition for a user group is absent
       ipaautomember:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: testing_group
         automember_type: group
         state: absent
         action: member
         inclusive:
           - key: initials
             expression: dp

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automember-usergroup-rule-absent.yml

验证步骤

1. 以 IdM 管理员身份登录。

   $ kinit admin

2. 查看自动成员组：

   $ ipa automember-show --type=group testing_group
    Automember Rule: testing_group

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/automember/ 目录中的 automember-group-absent.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-group-absent.yml automember-group-absent-copy.yml

3. 打开 automember-group-absent-copy.yml 文件进行编辑。

4. 通过在 ipaautomember 任务部分中设置以下变量来调整该文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
   • 将 name 变量设为 testing_group。
   • 将 automember_type 变量设为 group。
   • 确保 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember group absent example
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure group automember rule admins is absent
       ipaautomember:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: testing_group
         automember_type: group
         state: absent

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automember-group-absent.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/automember/ 目录中的 automember-hostgroup-rule-present.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-hostgroup-rule-present.yml automember-hostgroup-rule-present-copy.yml

3. 打开 automember-hostgroup-rule-present-copy.yml 文件进行编辑。

4. 通过在 ipaautomember 任务部分中设置以下变量来调整该文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
   • 将 name 变量设为 primary_dns_domain_hosts。
   • 将 automember_type 变量设为 hostgroup。
   • 确保 state 变量设置为 present。
   • 确保 action 变量设为 member。
   • 确保 inclusive key 变量设为 fqdn。
   • 将对应的 inclusive expression 变量设为 .*.idm.example.com。
   • 将 exclusive key 变量设为 fqdn。
   • 将对应的 exclusive expression 变量设为 .*.example.org。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember user group rule member present
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure an automember condition for a user group is present
       ipaautomember:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: primary_dns_domain_hosts
         automember_type: hostgroup
         state: present
         action: member
         inclusive:
           - key: fqdn
             expression: .*.idm.example.com
         exclusive:
           - key: fqdn
             expression: .*.example.org

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automember-hostgroup-rule-present-copy.yml

1. IdM 客户端将用户凭证发送到 IdM 服务器，作为绑定 操作的一部分。
2. IdM 服务器 DS 检查用户凭证。
3. IdM 服务器 DS 检查用户帐户，以查看用户是否有执行所请求的操作的权限。