1. 安装 ansible-freeipa 软件包
2. 使用 Ansible playbook 部署带有集成 CA 的 IdM 服务器
3. 使用 Ansible-playbook 部署带有外部 CA 的 IdM 服务器

1. 启用所需的仓库：

   # subscription-manager repos --enable ansible-2.8-for-rhel-8-x86_64-rpms

2. 安装 Ansible：

   # yum install ansible

3. 安装 IdM Ansible 角色：

   # yum install ansible-freeipa

   角色安装到 /usr/share/ansible/roles/ 目录中。

1. 设置 IdM 副本部署的参数

   • 指定用于安装 IdM 副本的基础、服务器和客户端变量
   • 使用 Ansible playbook 指定用于安装 IdM 副本的凭证
2. 使用 Ansible playbook 部署 IdM 副本

1. 将 IdM 客户端部署的参数设置为与您的部署场景相符 ：

   • 为自动发现客户端安装模式设置清单文件的参数 ；
   • 在客户端安装过程中无法自动发现时，为无法设置清单文件的参数 ；
2. 检查 install-client.yml 中的参数 ；
3. 使用 Ansible playbook 部署 IdM 客户端 ；
4. 安装后测试身份管理客户端.

流程

1. 创建一个清单文件，如 inventory.file，并在 [ipaserver] 部分中定义要从中检索 IdM 配置的 IdM 服务器。例如，要指示 Ansible 从 server.idm.example.com 检索数据，请输入：

   [ipaserver]
   server.idm.example.com

2. 打开 /usr/share/doc/ansible-freeipa/playbooks/config/retrieve-config.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to handle global IdM configuration
     hosts: ipaserver
     become: no
     gather_facts: no
   
     tasks:
     - name: Query IPA global configuration
       ipaconfig:
         ipaadmin_password: Secret123
       register: serverconfig
   
     - debug:
         msg: "{{ serverconfig }}"

3. 通过更改以下内容来调整文件：

   • IdM 管理员的密码。
   • 其他值（如有必要）。
4. 保存该文件。

5. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/config/retrieve-config.yml
   [...]
   TASK [debug]
   ok: [server.idm.example.com] => {
       "msg": {
           "ansible_facts": {
               "discovered_interpreter_
           },
           "changed": false,
           "config": {
               "ca_renewal_master_server": "server.idm.example.com",
               "configstring": [
                   "AllowNThash",
                   "KDC:Disable Last Success"
               ],
               "defaultgroup": "ipausers",
               "defaultshell": "/bin/bash",
               "emaildomain": "idm.example.com",
               "enable_migration": false,
               "groupsearch": [
                   "cn",
                   "description"
               ],
               "homedirectory": "/home",
               "maxhostname": "64",
               "maxusername": "64",
               "pac_type": [
                   "MS-PAC",
                   "nfs:NONE"
               ],
               "pwdexpnotify": "4",
               "searchrecordslimit": "100",
               "searchtimelimit": "2",
               "selinuxusermapdefault": "unconfined_u:s0-s0:c0.c1023",
               "selinuxusermaporder": [
                   "guest_u:s0$xguest_u:s0$user_
               ],
               "usersearch": [
                   "uid",
                   "givenname",
                   "sn",
                   "telephonenumber",
                   "ou",
                   "title"
               ]
           },
           "failed": false
       }
   }

流程

1. 可选：识别当前 IdM CA 续订服务器：

   $ ipa config-show | grep 'CA renewal'
     IPA CA renewal master: server.idm.example.com

2. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

3. 打开 /usr/share/doc/ansible-freeipa/playbooks/config/set-ca-renewal-master-server.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to handle global DNS configuration
     hosts: ipaserver
     become: no
     gather_facts: no
   
     tasks:
     - name: set ca_renewal_master_server
       ipaconfig:
         ipaadmin_password: SomeADMINpassword
         ca_renewal_master_server: carenewal.idm.example.com

4. 通过更改调整文件：

   • ipaadmin_password 变量设置的 IdM 管理员密码。
   • ca_renewal_master_server 变量所设置的 CA 续订服务器的名称。
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件和清单文件：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/config/set-ca-renewal-master-server.yml

1. 以 IdM 管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 请求 IdM CA 续订服务器的身份：

   $ ipa config-show | grep ‘CA renewal’
   IPA CA renewal master:  carenewal.idm.example.com

   输出显示 watchnewal.idm.example.com 服务器是新的 CA 续订服务器。

流程

1. 可选： 使用 retrieve-config.yml Ansible playbook 来识别 IdM 用户的当前 shell。详情请参阅使用 Ansible playbook 检索 IdM 配置。

2. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

3. 打开 /usr/share/doc/ansible-freeipa/playbooks/config/ensure-config-options-are-set.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to ensure some config options are set
     hosts: ipaserver
     become: true
   
     tasks:
     # Set defaultlogin and maxusername
     - ipaconfig:
         ipaadmin_password: Secret123
         defaultshell: /bin/bash
         maxusername: 64

4. 通过更改以下内容来调整文件：

   • ipaadmin_password 变量设置的 IdM 管理员密码。
   • IdM 用户的默认 shell，默认 shell 变量设置为 /bin/sh。
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件和清单文件：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/config/ensure-config-options-are-set.yml

1. 以 IdM 管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示当前的 shell:

   [admin@server /]$ echo "$SHELL"
   /bin/sh

   登录用户正在使用 sh shell。

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建一个 Ansible playbook 文件，其中包含您要确保的 IdM 中存在的用户数据。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/add-user.yml 文件中的示例。例如，创建名为 idm_user 的用户并添加 Password123 作为用户密码：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Create user idm_user
       ipauser:
         ipaadmin_password: MySecret123
         name: idm_user
         first: Alice
         last: Acme
         uid: 1000111
         gid: 10011
         phone: "+555123457"
         email: idm_user@acme.com
         passwordexpiration: "2023-01-19 23:59:59"
         password: "Password123"
         update_password: on_create

   您必须使用以下选项来添加用户：

   • name ：登录名称
   • 首先 ：第一个名称字符串
   • 最后 ：姓氏字符串

   有关可用用户选项的完整列表，请参阅 /usr/share/doc/ansible-freeipa/README-user.md Markdown 文件。

   注意

   如果您使用 update_password: on_create 选项，Ansible 仅在创建用户时创建用户密码。如果已使用密码创建了用户，Ansible 不会生成新的密码。

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-IdM-user.yml

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建一个 Ansible playbook 文件，其中包含您要在 IdM 中确保存在的用户的数据。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Create user idm_users
       ipauser:
         ipaadmin_password: MySecret123
         users:
         - name: idm_user_1
           first: Alice
           last: Acme
           uid: 10001
           gid: 10011
           phone: "+555123457"
           email: idm_user@acme.com
           passwordexpiration: "2023-01-19 23:59:59"
           password: "Password123"
         - name: idm_user_2
           first: Bob
           last: Acme
           uid: 100011
           gid: 10011
         - name: idm_user_3
           first: Eve
           last: Acme
           uid: 1000111
           gid: 10011

   注意

   如果没有指定 update_password: on_create 选项，Ansible 每次运行 playbook 时都会重新设置用户密码：如果用户自上次运行 playbook 起更改了密码，则 Ansible 重新设置密码。

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-users.yml

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建包含必要任务的 Ansible playbook 文件。使用您要确保存在的用户数据引用 JSON 文件。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/ensure-users-present-ymlfile.yml 文件中的示例：

   ---
   - name: Ensure users' presence
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Include users.json
       include_vars:
         file: users.json
   
     - name: Users present
       ipauser:
         ipaadmin_password: MySecret123
         users: "{{ users }}"

3. 创建 users.json 文件，并将 IdM 用户添加到其中。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/users.json 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   {
     "users": [
      {
       "name": "idm_user_1",
       "first": "Alice",
       "last": "Acme",
       "password": "Password123"
      },
      {
       "name": "idm_user_2",
       "first": "Bob",
       "last": "Acme"
      },
      {
       "name": "idm_user_3",
       "first": "Eve",
       "last": "Acme"
      }
     ]
   }

4. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-users-present-jsonfile.yml

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建 Ansible playbook 文件，使其包含没有 IdM 的用户。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要删除用户 idm_user_1、idm_user_2 和 idm_user_3 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Delete users idm_user_1, idm_user_2, idm_user_3
       ipauser:
         ipaadmin_password: MySecret123
         users:
         - name: idm_user_1
         - name: idm_user_2
         - name: idm_user_3
         state: absent

3. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/delete-users.yml

1. 以管理员身份登录到 ipaserver ：

   $ ssh administrator@server.idm.example.com
   Password:
   [admin@server /]$

2. 请求有关 idm_user_1 的信息：

   $ ipa user-show idm_user_1
   ipa: ERROR: idm_user_1: user not found

   IdM 中不存在名为 idm_user_1 的用户。

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的用户和组信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle groups
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Create group ops with gid 1234
       ipagroup:
         ipaadmin_password: MySecret123
         name: ops
         gidnumber: 1234
   
     - name: Create group sysops
       ipagroup:
         ipaadmin_password: MySecret123
         name: sysops
         user:
         - idm_user
   
     - name: Create group appops
       ipagroup:
         ipaadmin_password: MySecret123
         name: appops
   
     - name: Add group members sysops and appops to group ops
       ipagroup:
         ipaadmin_password: MySecret123
         name: ops
         group:
         - sysops
         - appops

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-group-members.yml

1. 以管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示关于 ops 的信息：

   ipaserver]$ ipa group-show ops
     Group name: ops
     GID: 1234
     Member groups: sysops, appops
     Indirect Member users: idm_user

   IdM 中已存在 appops 和 sysops 组，后者包括 idm_user 用户。

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的用户和组成员管理信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle membership management
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure user test is present for group_a
       ipagroup:
         ipaadmin_password: MySecret123
         name: group_a
         membermanager_user: test
   
     - name: Ensure group_admins is present for group_a
       ipagroup:
         ipaadmin_password: MySecret123
         name: group_a
         membermanager_group: group_admins

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-member-managers-user-groups.yml

1. 以管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示 managergroup1 的信息：

   ipaserver]$ ipa group-show group_a
     Group name: group_a
     GID: 1133400009
     Membership managed by groups: group_admins
     Membership managed by users: test

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的用户和组成员管理信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle membership management
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure member manager user and group members are absent for group_a
       ipagroup:
         ipaadmin_password: MySecret123
         name: group_a
         membermanager_user: test
         membermanager_group: group_admins
         action: member
         state: absent

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-member-managers-are-absent.yml

1. 以管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示 group_a 的信息：

   ipaserver]$ ipa group-show group_a
     Group name: group_a
     GID: 1133400009

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/selfservice/ 目录中的 selfservice- present.yml 文件副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-present.yml selfservice-present-copy.yml

3. 打开 selfservice-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为新自助服务规则的名称。
   • 将 权限 变量设置为以逗号分隔的权限列表，以授予： 读取和写入 。
   • 将 属性 变量设置为用户可以自己管理的属性列表： givenname、displayname、name 和 initials。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is present
       ipaselfservice:
         ipaadmin_password: Secret123
         name: "Users can manage their own name details"
         permission: read, write
         attribute:
         - givenname
         - displayname
         - title
         - initials

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory selfservice-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建位于 /usr/share/doc/ansible -freeipa/playbooks/selfservice/ 目录中的 selfservice- absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-absent.yml selfservice-absent-copy.yml

3. 打开 selfservice-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为自助服务规则的名称。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service absent
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is absent
       ipaselfservice:
         ipaadmin_password: Secret123
         name: "Users can manage their own name details"
         state: absent

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory selfservice-absent-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建位于 /usr/share/doc/ansible -freeipa/playbooks/selfservice/ 目录中的 selfservice- member-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-member-present.yml selfservice-member-present-copy.yml

3. 打开 selfservice-member-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为要修改的自助服务规则的名称。
   • 将 属性 变量设置为ur name。
   • 将 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service member present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attribute surname is present
       ipaselfservice:
         ipaadmin_password: Secret123
         name: "Users can manage their own name details"
         attribute:
         - surname
         action: member

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory selfservice-member-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/selfservice/ 目录的 selfservice- member-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-member-absent.yml selfservice-member-absent-copy.yml

3. 打开 selfservice-member-absent-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要修改的自助服务规则的名称。
   • 将 属性 变量设置为 givenname 和 top name。
   • 将 action 变量设置为 member。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service member absent
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attributes givenname and surname are absent
       ipaselfservice:
         ipaadmin_password: Secret123
         name: "Users can manage their own name details"
         attribute:
         - givenname
         - surname
         action: member
         state: absent

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory selfservice-member-absent-copy.yml

流程

1. 在主目录中为您的 Ansible 配置和 playbook 创建目录：

   $ mkdir ~/MyPlaybooks/

2. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks

3. 使用以下内容创建 ~/MyPlaybooks/ansible.cfg 文件：

   [defaults]
   inventory = /home/<username>/MyPlaybooks/inventory
   
   [privilege_escalation]
   become=True

4. 使用以下内容创建 ~/MyPlaybooks/inventory 文件：

   [eu]
   server.idm.example.com
   
   [us]
   replica.idm.example.com
   
   [ipaserver:children]
   eu
   us

   此配置定义了两个主机组，即eu 和 us，用于这些位置中的主机。此外，此配置定义 ipaserver 主机组，它包含来自 theeu 和 us 组的所有主机。

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/delegation/ 目录中的 delegation- present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-present.yml delegation-present-copy.yml

3. 打开 delegation-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipadelegation 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为新委派规则的名称。
   • 将 权限 变量设置为以逗号分隔的权限列表，以授予： 读取和写入 。
   • 将 属性 变量设置为委派的用户组可以管理的属性列表： Business category、Departmentnumber、workernumber 和 employees type。
   • 将 group 变量设置为被授予查看或修改属性访问权限的组名称。
   • 将 membergroup 变量设置为组的名称，其属性可以查看或修改。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage a delegation rule
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure delegation "basic manager attributes" is present
       ipadelegation:
         ipaadmin_password: Secret123
         name: "basic manager attributes"
         permission: read, write
         attribute:
         - businesscategory
         - departmentnumber
         - employeenumber
         - employeetype
         group: managers
         membergroup: employees

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory delegation-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks>/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/delegation/ 目录中的 delegation- absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-present.yml delegation-absent-copy.yml

3. 打开 delegation-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipadelegation 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为委派规则的名称。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Delegation absent
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure delegation "basic manager attributes" is absent
       ipadelegation:
         ipaadmin_password: Secret123
         name: "basic manager attributes"
         state: absent

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory delegation-absent-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/delegation/ 目录中的 delegation- member-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-member-present.yml delegation-member-present-copy.yml

3. 打开 delegation-member-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipadelegation 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为要修改的委派规则的名称。
   • 将 属性 变量设置为 Departmentnumber。
   • 将 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Delegation member present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure delegation "basic manager attributes" member attribute departmentnumber is present
       ipadelegation:
         ipaadmin_password: Secret123
         name: "basic manager attributes"
         attribute:
         - departmentnumber
         action: member

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory delegation-member-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/delegation/ 目录的 delegation- member-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-member-absent.yml delegation-member-absent-copy.yml

3. 打开 delegation-member-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipadelegation 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为要修改的委派规则的名称。
   • 将 属性 变量设置为 employeesnumber 和 employeestype。
   • 将 action 变量设置为 member。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Delegation member absent
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure delegation "basic manager attributes" member attributes employeenumber and employeetype are absent
       ipadelegation:
         ipaadmin_password: Secret123
         name: "basic manager attributes"
         attribute:
         - employeenumber
         - employeetype
         action: member
         state: absent

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory delegation-member-absent-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 创建位于 /usr/share/doc/ansible -freeipa/playbooks/role/ 目录的 role- member-user-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-member-user-present.yml role-member-user-present-copy.yml

3. 打开 role-member-user-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为新角色的名称。
   • 将 特权 列表设置为您要包含在新角色中的 IdM 权限的名称。
   • （可选）将 user 变量设置为您要授予新角色的用户名称。
   • （可选）将 group 变量设置为要授予新角色的组的名称。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: yes
     gather_facts: no
   
     tasks:
     - iparole:
         ipaadmin_password: Secret123
         name: user_and_host_administrator
         user: idm_user01
         group: idm_group01
         privilege:
         - Group Administrators
         - User Administrators
         - Stage User Administrators
         - Group Administrators

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/<MyPlaybooks>/inventory role-member-user-present-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/role/ 目录的 role- is-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-is-absent.yml role-is-absent-copy.yml

3. 打开 role-is-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为角色的名称。
   • 确保 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: yes
     gather_facts: no
   
     tasks:
     - iparole:
         ipaadmin_password: Secret123
         name: user_and_host_administrator
         state: absent

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/<MyPlaybooks>/inventory role-is-absent-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 创建位于 /usr/share/doc/ansible -freeipa/playbooks/role/ 目录的 role- member-group-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-member-group-present.yml role-member-group-present-copy.yml

3. 打开 role-member-group-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要分配的角色的名称。
   • 将 group 变量设置为组的名称。
   • 将 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: yes
     gather_facts: no
   
     tasks:
     - iparole:
         ipaadmin_password: Secret123
         name: helpdesk
         group: junior_sysadmins
         action: member

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/<MyPlaybooks>/inventory role-member-group-present-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 生成位于 /usr/share/doc/ansible -freeipa/playbooks/role/ 目录的 role-member- user-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-member-user-absent.yml role-member-user-absent-copy.yml

3. 打开 role-member-user-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要分配的角色的名称。
   • 将 用户 列表设置为用户的名称。
   • 将 action 变量设置为 member。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: yes
     gather_facts: no
   
     tasks:
     - iparole:
         ipaadmin_password: Secret123
         name: helpdesk
         user
         - user_01
         - user_02
         action: member
         state: absent

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/<MyPlaybooks>/inventory role-member-user-absent-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 创建位于 /usr/share/doc/ansible -freeipa/playbooks/role/ 目录的 role- member-service-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-member-service-present-absent.yml role-member-service-present-copy.yml

3. 打开 role-member-service-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要分配的角色的名称。
   • 将 服务 列表设置为服务的名称。
   • 将 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: yes
     gather_facts: no
   
     tasks:
     - iparole:
         ipaadmin_password: Secret123
         name: web_administrator
         service:
         - HTTP/client01.idm.example.com
         action: member

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/<MyPlaybooks>/inventory role-member-service-present-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 创建位于 /usr/share/doc/ansible -freeipa/playbooks/role/ 目录的 role- member-host-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-member-host-present.yml role-member-host-present-copy.yml

3. 打开 role-member-host-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要分配的角色的名称。
   • 将主机 列表设置为主机的名称。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: yes
     gather_facts: no
   
     tasks:
     - iparole:
         ipaadmin_password: Secret123
         name: web_administrator
         host:
         - client01.idm.example.com
         action: member

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/<MyPlaybooks>/inventory role-member-host-present-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 创建位于 /usr/share/doc/ansible -freeipa/playbooks/role/ 目录的 role-member- hostgroup-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-member-hostgroup-present.yml role-member-hostgroup-present-copy.yml

3. 打开 role-member-hostgroup-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要分配的角色的名称。
   • 将 hostgroup 列表设置为 hostgroup 的名称。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: yes
     gather_facts: no
   
     tasks:
     - iparole:
         ipaadmin_password: Secret123
         name: web_administrator
         hostgroup:
         - web_servers
         action: member

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/<MyPlaybooks>/inventory role-member-hostgroup-present-copy.yml

1. 创建没有附加权限的特权。
2. 将您选择的权限添加到特权。

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 生成位于 /usr/share/doc/ansible -freeipa/playbooks/privilege/ 目录中的 privilege- present.yml 文件副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/privilege/privilege-present.yml privilege-present-copy.yml

3. 打开 privilege-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaprivilege 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为新特权 full_host_administration 的名称。
   • （可选）利用 description 变量描述 特权。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Privilege present example
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure privilege full_host_administration is present
       ipaprivilege:
         ipaadmin_password: Secret123
         name: full_host_administration
         description: This privilege combines all IdM permissions related to host administration

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory privilege-present-copy.yml

1. 创建没有附加权限的特权。
2. 将您选择的权限添加到特权。

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建位于 /usr/share/doc/ansible -freeipa/playbooks/privilege/ 目录中的 privilege- member-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/privilege/privilege-member-present.yml privilege-member-present-copy.yml

3. 打开 privilege-member-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaprivilege 任务部分设置以下变量来调整文件：

   • 调整任务 的名称，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为特权的名称。
   • 将 权限 列表设置为您要包含在权限中的权限名称。
   • 确保 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Privilege member present example
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure that permissions are present for the "full_host_administration" privilege
       ipaprivilege:
         ipaadmin_password: Secret123
         name: full_host_administration
         permission:
         - "System: Add krbPrincipalName to a Host"
         - "System: Enroll a Host"
         - "System: Manage Host Certificates"
         - "System: Manage Host Enrollment Password"
         - "System: Manage Host Keytab"
         - "System: Manage Host Principals"
         - "Retrieve Certificates from the CA"
         - "Revoke Certificate"
         - "System: Add Hosts"
         - "System: Add krbPrincipalName to a Host"
         - "System: Enroll a Host"
         - "System: Manage Host Certificates"
         - "System: Manage Host Enrollment Password"
         - "System: Manage Host Keytab"
         - "System: Manage Host Keytab Permissions"
         - "System: Manage Host Principals"
         - "System: Manage Host SSH Public Keys"
         - "System: Manage Service Keytab"
         - "System: Manage Service Keytab Permissions"
         - "System: Modify Hosts"
         - "System: Remove Hosts"
         - "System: Add Hostgroups"
         - "System: Modify Hostgroup Membership"
         - "System: Modify Hostgroups"
         - "System: Remove Hostgroups"

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory privilege-member-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建位于 /usr/share/doc/ansible -freeipa/playbooks/privilege/ 目录中的 privilege- member-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/privilege/privilege-member-absent.yml privilege-member-absent-copy.yml

3. 打开 privilege-member-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaprivilege 任务部分设置以下变量来调整文件：

   • 调整任务 的名称，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为特权的名称。
   • 将 权限 列表设置为您要从特权中删除的权限名称。
   • 确保 action 变量设置为 member。
   • 确保 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Privilege absent example
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure that the "Request Certificate ignoring CA ACLs" permission is absent from the "Certificate Administrators" privilege
       ipaprivilege:
         ipaadmin_password: Secret123
         name: Certificate Administrators
         permission:
         - "Request Certificate ignoring CA ACLs"
         action: member
         state: absent

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory privilege-member-absent-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 生成位于 /usr/share/doc/ansible -freeipa/playbooks/privilege/ 目录中的 privilege- present.yml 文件副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/privilege/privilege-present.yml rename-privilege.yml

3. 打开 rename-privilege.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaprivilege 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为特权的当前名称。
   • 添加 重命名 变量，并将它设置为特权的新名称。
   • 添加 state 变量，并将它设置为 重命名。

5. 重新命名 playbook 本身，例如：

   ---
   - name: Rename a privilege
     hosts: ipaserver
     become: true

6. 在 playbook 中重命名任务，例如：

   [...]
   tasks:
   - name: Ensure the full_host_administration privilege is renamed to limited_host_administration
     ipaprivilege:
     [...]

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Rename a privilege
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure the full_host_administration privilege is renamed to limited_host_administration
       ipaprivilege:
         ipaadmin_password: Secret123
         name: full_host_administration
         rename: limited_host_administration
         state: renamed

7. 保存该文件。

8. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory rename-privilege.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/privilege/ 目录中的 privilege- absent.yml 文件副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/privilege/privilege-absent.yml privilege-absent-copy.yml

3. 打开 privilege-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaprivilege 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要删除的特权的名称。
   • 确保 state 变量设置为 absent。

5. 在 playbook 中重命名任务，例如：

   [...]
   tasks:
   - name: Ensure privilege "CA administrator" is absent
     ipaprivilege:
     [...]

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Privilege absent example
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure privilege "CA administrator" is absent
       ipaprivilege:
         ipaadmin_password: Secret123
         name: CA administrator
         state: absent

6. 保存该文件。

7. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory privilege-absent-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/permission/ 目录中的 permission- present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/permission/permission-present.yml permission-present-copy.yml

3. 打开 permission-present-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipapermission 任务部分中设置以下变量来调整文件：

   • 调整任务 的名称，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为权限的名称。
   • 将 object_type 变量设置为 host。
   • 将 正确的 变量设置为 all。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Permission present example
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure that the "MyPermission" permission is present
       ipapermission:
         ipaadmin_password: Secret123
         name: MyPermission
         object_type: host
         right: all

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory permission-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/permission/ 目录中的 permission- present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/permission/permission-present.yml permission-present-with-attribute.yml

3. 打开 permission-present-with-attribute.yml Ansible playbook 文件进行编辑。

4. 通过在 ipapermission 任务部分中设置以下变量来调整文件：

   • 调整任务 的名称，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为权限的名称。
   • 将 object_type 变量设置为 host。
   • 将 正确的 变量设置为 all。
   • 将 attrs 变量设置为 description。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Permission present example
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure that the "MyPermission" permission is present with an attribute
       ipapermission:
         ipaadmin_password: Secret123
         name: MyPermission
         object_type: host
         right: all
         attrs: description

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory permission-present-with-attribute.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/permission/ 目录中的 permission- absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/permission/permission-absent.yml permission-absent-copy.yml

3. 打开 permission-absent-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipapermission 任务部分中设置以下变量来调整文件：

   • 调整任务 的名称，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为权限的名称。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Permission absent example
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure that the "MyPermission" permission is absent
       ipapermission:
         ipaadmin_password: Secret123
         name: MyPermission
         state: absent

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory permission-absent-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/permission/ 目录中的 permission- member-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/permission/permission-member-present.yml permission-member-present-copy.yml

3. 打开 permission-member-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipapermission 任务部分中设置以下变量来调整文件：

   • 调整任务 的名称，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为权限的名称。
   • 将 attrs 列表设置为 description 和 gecos 变量。
   • 确保 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Permission member present example
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure that the "gecos" and "description" attributes are present in "MyPermission"
       ipapermission:
         ipaadmin_password: Secret123
         name: MyPermission
         attrs:
         - description
         - gecos
         action: member

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory permission-member-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/permission/ 目录的 permission- member-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/permission/permission-member-absent.yml permission-member-absent-copy.yml

3. 打开 permission-member-absent-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipapermission 任务部分中设置以下变量来调整文件：

   • 调整任务 的名称，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为权限的名称。
   • 将 attrs 变量设置为 description。
   • 将 action 变量设置为 member。
   • 确保 state 变量设置为 absent

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Permission absent example
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure that an attribute is not a member of "MyPermission"
       ipapermission:
         ipaadmin_password: Secret123
         name: MyPermission
         attrs: description
         action: member
         state: absent

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory permission-member-absent-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible -freeipa/playbooks/permission/ 目录中的 permission- renamed.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/permission/permission-renamed.yml permission-renamed-copy.yml

3. 打开 permission-renamed-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipapermission 任务部分中设置以下变量来调整文件：

   • 调整任务 的名称，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为权限的名称。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Permission present example
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Rename the "MyPermission" permission
       ipapermission:
         ipaadmin_password: Secret123
         name: MyPermission
         rename: MyNewPermission
         state: renamed

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory permission-renamed-copy.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible -freeipa/playbooks/topology/ 目录中的 add-topology segment.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/topology/add-topologysegment.yml add-topologysegment-copy.yml

3. 打开 add-topologysegment-copy.yml 文件进行编辑。

4. 通过在 ipatopologysegment 任务部分 设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
   • 根据您要添加的分段类型，将 后缀 变量设置为 domain 或 ca。
   • 将 左侧 变量设置为您要作为复制协议左侧节点的 IdM 服务器的名称。
   • 将 right 变量设置为您要作为复制协议正确节点的 IdM 服务器的名称。
   • 确保 state 变量设置为 present。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to handle topologysegment
     hosts: ipaserver
     become: true
   
     tasks:
   - name: Add topology segment
       ipatopologysegment:
         ipaadmin_password: Secret123
         suffix: domain
         left: server.idm.example.com
         right: replica.idm.example.com
         state: present

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory add-topologysegment-copy.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible -freeipa/playbooks/topology/ 目录中的 add-topologysegments.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/topology/add-topologysegments.yml add-topologysegments-copy.yml

3. 打开 add-topologysegments-copy.yml 文件进行编辑。

4. 通过在 vars 部分中 设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。

   • 对于每个拓扑片段，在 ipatopology_segments 部分添加一个行并设置以下变量：

     • 根据您要添加的分段类型，将 后缀 变量设置为 domain 或 ca。
     • 将 左侧 变量设置为您要作为复制协议左侧节点的 IdM 服务器的名称。
     • 将 right 变量设置为您要作为复制协议正确节点的 IdM 服务器的名称。

5. 在 add-topologysegments-copy.yml 文件的 tasks 部分中，确保 state 变量设置为 present。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Add topology segments
     hosts: ipaserver
     become: true
     gather_facts: false
   
     vars:
       ipaadmin_password: Secret123
       ipatopology_segments:
       - {suffix: domain, left: replica1.idm.example.com , right: replica2.idm.example.com }
       - {suffix: domain, left: replica2.idm.example.com , right: replica3.idm.example.com }
       - {suffix: domain, left: replica3.idm.example.com , right: replica4.idm.example.com }
       - {suffix: domain+ca, left: replica4.idm.example.com , right: replica1.idm.example.com }
   
     tasks:
     - name: Add topology segment
       ipatopologysegment:
         ipaadmin_password: "{{ ipaadmin_password }}"
         suffix: "{{ item.suffix }}"
         name: "{{ item.name | default(omit) }}"
         left: "{{ item.left }}"
         right: "{{ item.right }}"
         state: present
         #state: absent
         #state: checked
         #state: reinitialized
       loop: "{{ ipatopology_segments | default([]) }}"

6. 保存该文件。

7. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory add-topologysegments-copy.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible -freeipa/playbooks/topology/ 目录中的 check-topologysegments.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/topology/check-topologysegments.yml check-topologysegments-copy.yml

3. 打开 check-topologysegments-copy.yml 文件进行编辑。

4. 通过在 vars 部分中 设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。

   • 对于每个拓扑片段，在 ipatopology_segments 部分添加一个行并设置以下变量：

     • 根据您要添加的分段类型，将 后缀 变量设置为 域 或 ca。
     • 将 左侧 变量设置为您要作为复制协议左侧节点的 IdM 服务器的名称。
     • 将 right 变量设置为您要作为复制协议正确节点的 IdM 服务器的名称。

5. 在 check-topologysegments-copy.yml 文件的 tasks 部分中，确保 state 变量设置为 present。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Add topology segments
     hosts: ipaserver
     become: true
     gather_facts: false
   
     vars:
       ipaadmin_password: Secret123
       ipatopology_segments:
       - {suffix: domain, left: replica1.idm.example.com, right: replica2.idm.example.com }
       - {suffix: domain, left: replica2.idm.example.com , right: replica3.idm.example.com }
       - {suffix: domain, left: replica3.idm.example.com , right: replica4.idm.example.com }
       - {suffix: domain+ca, left: replica4.idm.example.com , right: replica1.idm.example.com }
   
     tasks:
     - name: Check topology segment
       ipatopologysegment:
         ipaadmin_password: "{{ ipaadmin_password }}"
         suffix: "{{ item.suffix }}"
         name: "{{ item.name | default(omit) }}"
         left: "{{ item.left }}"
         right: "{{ item.right }}"
         state: checked
       loop: "{{ ipatopology_segments | default([]) }}"

6. 保存该文件。

7. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory check-topologysegments-copy.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible -freeipa/playbooks/topology/ 目录中的 verify-topologys uffix.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/topology/ verify-topologysuffix.yml verify-topologysuffix-copy.yml

3. 打开 verify-topologysuffix-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipatopologysuffix 部分中设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
   • 将 suffix 变量设置为 domain。如果您要验证 ca 后缀是否存在，请将 变量设置为 ca。
   • 确保 state 变量设置为 verify。不允许使用其他选项。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to handle topologysuffix
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Verify topology suffix
       ipatopologysuffix:
         ipaadmin_password: Secret123
         suffix: domain
         state: verified

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory verify-topologysuffix-copy.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible -freeipa/playbooks/topology/ 目录下的 reinitialize-topology segment.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/topology/reinitialize-topologysegment.yml reinitialize-topologysegment-copy.yml

3. 打开 reinitialize-topologysegment-copy.yml 文件进行编辑。

4. 通过在 ipatopologysegment 部分中设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
   • 将 suffix 变量设置为 domain。如果您要重新初始化 ca 数据，请将 变量设置为 ca。
   • 将 左侧 变量设置为复制协议的左侧节点。
   • 将 正确的 变量设置为复制协议的正确节点。
   • 将 方向 变量设置为重新初始化数据的方向。左向向右 方向表示数据从左侧节点流到右侧节点。

   • 确保将 state 变量设置为 重新初始化。

     这是当前示例修改的 Ansible playbook 文件：

     ---
     - name: Playbook to handle topologysegment
       hosts: ipaserver
       become: true
     
       tasks:
       - name: Reinitialize topology segment
         ipatopologysegment:
           ipaadmin_password: Secret123
           suffix: domain
           left: server.idm.example.com
           right: replica.idm.example.com
           direction: left-to-right
           state: reinitialized

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory reinitialize-topologysegment-copy.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible -freeipa/playbooks/topology/ 目录中的 delete-topology segment.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/topology/delete-topologysegment.yml delete-topologysegment-copy.yml

3. 打开 delete-topologysegment-copy.yml 文件进行编辑。

4. 通过在 ipatopologysegment 任务部分 设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
   • 将 suffix 变量设置为 domain。或者，如果您确保 ca 数据 不在左侧和右侧节点之间复制，请将 变量设置为 ca。
   • 将 左侧 变量设置为 IdM 服务器的名称，该服务器是复制协议的左侧节点。
   • 将 right 变量设置为 IdM 服务器的名称，该服务器是复制协议的正确节点。
   • 确保 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to handle topologysegment
     hosts: ipaserver
     become: true
   
     tasks:
   - name: Delete topology segment
       ipatopologysegment:
         ipaadmin_password: Secret123
         suffix: domain
         left: replica01.idm.example.com
         right: replica02.idm.example.com:
         state: absent

5. 保存该文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory delete-topologysegment-copy.yml

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建一个 Ansible playbook 文件，其中包含您要确保的 IdM 中的 FQDN。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/host/add-host.yml 文件中的示例：

   ---
   - name: Host present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Host host01.idm.example.com present
       ipahost:
         ipaadmin_password: MySecret123
         name: host01.idm.example.com
         state: present
         force: yes

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-host-is-present.yml

验证步骤

1. 以 admin 用户身份登录您的 IdM 服务器：

   $ ssh admin@server.idm.example.com
   Password:

2. 输入 ipa host-show 命令并指定主机名称：

   $ ipa host-show host01.idm.example.com
     Host name: host01.idm.example.com
     Principal name: host/host01.idm.example.com@IDM.EXAMPLE.COM
     Principal alias: host/host01.idm.example.com@IDM.EXAMPLE.COM
     Password: False
     Keytab: False
     Managed by: host01.idm.example.com

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建一个 Ansible playbook 文件，其中包含您要确保的 IdM 中的 完全限定域名 (FQDN)。另外，如果 IdM 服务器配置为管理 DNS，并且您知道主机的 IP 地址，请为 ip_address 参数指定一个值。主机需要 IP 地址才能存在于 DNS 资源记录中。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/host/host-present.yml 文件中的示例。您还可以包含其他附加信息：

   ---
   - name: Host present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure host01.idm.example.com is present
       ipahost:
         ipaadmin_password: MySecret123
         name: host01.idm.example.com
         description: Example host
         ip_address: 192.168.0.123
         locality: Lab
         ns_host_location: Lab
         ns_os_version: CentOS 7
         ns_hardware_platform: Lenovo T61
         mac_address:
         - "08:00:27:E3:B1:2D"
         - "52:54:00:BD:97:1E"
         state: present

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-host-is-present.yml

验证步骤

1. 以 admin 用户身份登录您的 IdM 服务器：

   $ ssh admin@server.idm.example.com
   Password:

2. 输入 ipa host-show 命令并指定主机名称：

   $ ipa host-show host01.idm.example.com
     Host name: host01.idm.example.com
     Description: Example host
     Locality: Lab
     Location: Lab
     Platform: Lenovo T61
     Operating system: CentOS 7
     Principal name: host/host01.idm.example.com@IDM.EXAMPLE.COM
     Principal alias: host/host01.idm.example.com@IDM.EXAMPLE.COM
     MAC address: 08:00:27:E3:B1:2D, 52:54:00:BD:97:1E
     Password: False
     Keytab: False
     Managed by: host01.idm.example.com

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用您要确保的 IdM 中存在的主机的 完全限定域名 (FQDN)创建一个 Ansible playbook 文件。要使 Ansible playbook 为各个主机生成随机密码，即使 IdM 中已存在主机，并且 update_password 仅限于 on_create，请添加 random: yes 和 force: yes 选项。要简化此步骤，您可以从 /usr/share/doc/ansible-freeipa/README-host.md Markdown 文件中复制并修改示例：

   ---
   - name: Ensure hosts with random password
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Hosts host01.idm.example.com and host02.idm.example.com present with random passwords
       ipahost:
         ipaadmin_password: MySecret123
         hosts:
         - name: host01.idm.example.com
           random: yes
           force: yes
         - name: host02.idm.example.com
           random: yes
           force: yes
       register: ipahost

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-hosts-are-present.yml
   [...]
   TASK [Hosts host01.idm.example.com and host02.idm.example.com present with random passwords]
   changed: [r8server.idm.example.com] => {"changed": true, "host": {"host01.idm.example.com": {"randompassword": "0HoIRvjUdH0Ycbf6uYdWTxH"}, "host02.idm.example.com": {"randompassword": "5VdLgrf3wvojmACdHC3uA3s"}}}

验证步骤

1. 以 admin 用户身份登录您的 IdM 服务器：

   $ ssh admin@server.idm.example.com
   Password:

2. 输入 ipa host-show 命令并指定其中一个主机的名称：

   $ ipa host-show host01.idm.example.com
     Host name: host01.idm.example.com
     Password: True
     Keytab: False
     Managed by: host01.idm.example.com

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建 Ansible playbook 文件。将主机的 完全限定域名(FQDN)指定为 ipa host 变量的名称，用于确保主机的 IdM 中存在。使用 - ip_address 语法在单独行中指定单独行中的多个 IPv4 和 IPv6 ip_address 值。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/host/host-member-ipaddresses-present.yml 文件中的示例。您还可以包含附加信息：

   ---
   - name: Host member IP addresses present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure host101.example.com IP addresses present
       ipahost:
         ipaadmin_password: MySecret123
         name: host01.idm.example.com
         ip_address:
         - 192.168.0.123
         - fe80::20c:29ff:fe02:a1b3
         - 192.168.0.124
         - fe80::20c:29ff:fe02:a1b4
         force: yes

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-host-with-multiple-IP-addreses-is-present.yml

验证步骤

1. 以 admin 用户身份登录您的 IdM 服务器：

   $ ssh admin@server.idm.example.com
   Password:

2. 输入 ipa host-show 命令并指定主机名称：

   $ ipa host-show host01.idm.example.com
     Principal name: host/host01.idm.example.com@IDM.EXAMPLE.COM
     Principal alias: host/host01.idm.example.com@IDM.EXAMPLE.COM
     Password: False
     Keytab: False
     Managed by: host01.idm.example.com

   输出确认 IdM 中存在 host01.idm.example.com。

3. 要验证 IdM DNS 记录中是否存在主机的多个 IP 地址，请输入 ipa dnsrecord-show 命令并指定以下信息：

   • IdM 域的名称

   • 主机的名称

     $ ipa dnsrecord-show idm.example.com host01
     [...]
       Record name: host01
       A record: 192.168.0.123, 192.168.0.124
       AAAA record: fe80::20c:29ff:fe02:a1b3, fe80::20c:29ff:fe02:a1b4

   输出确认 playbook 中指定的所有 IPv4 和 IPv6 地址都已与 host01.idm.example.com 主机条目正确关联。

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建 Ansible playbook 文件，使其包含主机的 完全限定域名 (FQDN)，但不来自 IdM。如果您的 IdM 域集成了 DNS，请使用 updatedns: yes 选项从 DNS 中删除主机任意类型的关联记录。

   要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/host/delete-host.yml 文件中的示例：

   ---
   - name: Host absent
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Host host01.idm.example.com absent
       ipahost:
         ipaadmin_password: MySecret123
         name: host01.idm.example.com
         updatedns: yes
         state: absent

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-host-absent.yml

验证步骤

1. 以 admin 用户身份登录 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示 host01.idm.example.com 的信息：

   $ ipa host-show host01.idm.example.com
   ipa: ERROR: host01.idm.example.com: host not found

流程

1. 创建一个清单文件，如 inventory.file，并使用目标 IdM 服务器列表定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的主机组信息，创建 Ansible playbook 文件。例如，若要确保存在名为 databases 的主机组，可在 - ipahostgroup 任务中指定 name: databases。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-hostgroup-is-present.yml 文件中的示例。

   ---
   - name: Playbook to handle hostgroups
     hosts: ipaserver
     become: true
   
     tasks:
     # Ensure host-group databases is present
     - ipahostgroup:
         ipaadmin_password: MySecret123
         name: databases
         state: present

   在 playbook 中，state: present 表示将主机组添加到 IdM 的请求，除非该主机组在那里已存在。

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-hostgroup-is-present.yml

验证步骤

1. 以 admin 用户身份登录 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 为 admin 请求 Kerberos ticket：

   $ kinit admin
   Password for admin@IDM.EXAMPLE.COM:

3. 显示在 IdM 中存在的主机组的信息，以确保：

   $ ipa hostgroup-show databases
     Host-group: databases

流程

1. 创建一个清单文件，如 inventory.file，并使用目标 IdM 服务器列表定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的主机信息，创建 Ansible playbook 文件。使用 ipahostgroup 变量的 name 参数，指定主机组的名称。使用 ipahostgroup 变量 的主机 参数指定主机名称。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/hostgroup/ensure-hosts-and-hostgroups-are-present-in-hostgroup.yml 文件中的示例：

   ---
   - name: Playbook to handle hostgroups
     hosts: ipaserver
     become: true
   
     tasks:
     # Ensure host-group databases is present
     - ipahostgroup:
         ipaadmin_password: MySecret123
         name: databases
         host:
         - db.idm.example.com
         action: member

   此 playbook 将 db.idm.example.com 主机添加到 databases 主机组。action: member 行表示在 playbook 运行时，不会尝试添加 databases 组本身。相反，只尝试将 db.idm.example.com 添加到数据库。

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-hosts-or-hostgroups-are-present-in-hostgroup.yml

验证步骤

1. 以 admin 用户身份登录 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 为 admin 请求 Kerberos ticket：

   $ kinit admin
   Password for admin@IDM.EXAMPLE.COM:

3. 显示主机组的信息以查看其中存在哪些主机：

   $ ipa hostgroup-show databases
     Host-group: databases
     Member hosts: db.idm.example.com

流程

1. 创建一个清单文件，如 inventory.file，并使用目标 IdM 服务器列表定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的主机组信息，创建 Ansible playbook 文件。为确保嵌套的主机组 A 存在于 Ansible playbook 中的主机组 B: 中，请使用 name 变量在 - ipahostgroup 变量中指定主机组 B 的名称。使用 hostgroup 变量指定嵌套主机组 A 的名称。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/hostgroup/ensure-hosts-and-hostgroups-are-present-in-hostgroup.yml 文件中的示例：

   ---
   - name: Playbook to handle hostgroups
     hosts: ipaserver
     become: true
   
     tasks:
     # Ensure hosts and hostgroups are present in existing databases hostgroup
     - ipahostgroup:
         ipaadmin_password: MySecret123
         name: databases
         hostgroup:
         - mysql-server
         - oracle-server
         action: member

   此 Ansible playbook 确保 databases 主机组中存在 myqsl-server 和 oracle-server 主机组。action: member 行表示在 playbook 运行时，不会尝试将 databases 组本身添加到 IdM。

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-hosts-or-hostgroups-are-present-in-hostgroup.yml

验证步骤

1. 以 admin 用户身份登录 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 为 admin 请求 Kerberos ticket：

   $ kinit admin
   Password for admin@IDM.EXAMPLE.COM:

3. 显示有关存在嵌套主机组的主机组的信息：

   $ ipa hostgroup-show databases
     Host-group: databases
     Member hosts: db.idm.example.com
     Member host-groups: mysql-server, oracle-server

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的主机和主机组成员管理信息创建一个 Ansible playbook 文件：

   ---
   
   - name: Playbook to handle host group membership management
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure member manager user example_member is present for group_name
         ipahostgroup:
           ipaadmin_password: MySecret123
           name: group_name
           membermanager_user: example_member
   
     - name: Ensure member manager group project_admins is present for group_name
         ipahostgroup:
           ipaadmin_password: MySecret123
           name: group_name
           membermanager_group: project_admins

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-member-managers-host-groups.yml

1. 以管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示有关 testhostgroup 的信息：

   ipaserver]$ ipa hostgroup-show group_name
     Host-group: group_name
     Member hosts: server.idm.example.com
     Member host-groups: testhostgroup2
     Membership managed by groups: project_admins
     Membership managed by users: example_member

流程

1. 创建一个清单文件，如 inventory.file，并使用目标 IdM 服务器列表定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建含有必要的主机和主机组信息的 Ansible playbook 文件。使用 ipahostgroup 变量的 name 参数，指定主机组的名称。指定不使用您要确保使用 ipahostgroup 变量 的主机参数的主机 名称。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/hostgroup/ensure-hosts-and-hostgroups-are-absent-in-hostgroup.yml 文件中的示例：

   ---
   - name: Playbook to handle hostgroups
     hosts: ipaserver
     become: true
   
     tasks:
     # Ensure host-group databases is absent
     - ipahostgroup:
         ipaadmin_password: MySecret123
         name: databases
         host:
         - db.idm.example.com
         action: member
         state: absent

   此 playbook 确保缺少来自 databases 主机组的 db.idm.example.com 主机。action: member 行表示在 playbook 运行时，不会尝试删除 databases 组本身。

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-hosts-or-hostgroups-are-absent-in-hostgroup.yml

验证步骤

1. 以 admin 用户身份登录 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 为 admin 请求 Kerberos ticket：

   $ kinit admin
   Password for admin@IDM.EXAMPLE.COM:

3. 显示主机组及其包含的主机的信息：

   $ ipa hostgroup-show databases
     Host-group: databases
     Member host-groups: mysql-server, oracle-server

流程

1. 创建一个清单文件，如 inventory.file，并使用目标 IdM 服务器列表定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的主机组信息，创建 Ansible playbook 文件。在 - ipahostgroup 变量中使用 name 变量指定外部主机组的名称。使用 hostgroup 变量指定嵌套主机组的名称。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/hostgroup/ensure-hosts-and-hostgroups-are-absent-in-hostgroup.yml 文件中的示例：

   ---
   - name: Playbook to handle hostgroups
     hosts: ipaserver
     become: true
   
     tasks:
     # Ensure hosts and hostgroups are absent in existing databases hostgroup
     - ipahostgroup:
         ipaadmin_password: MySecret123
         name: databases
         hostgroup:
         - mysql-server
         - oracle-server
         action: member
         state: absent

   此 playbook 确保 databases 主机组中没有 mysql-server 和 oracle-server 主机组。action: member 行表示在 playbook 运行时，不会尝试确保从 IdM 中删除 databases 组本身。

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-hosts-or-hostgroups-are-absent-in-hostgroup.yml

验证步骤

1. 以 admin 用户身份登录 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 为 admin 请求 Kerberos ticket：

   $ kinit admin
   Password for admin@IDM.EXAMPLE.COM:

3. 显示应当缺少嵌套主机组的主机组的信息：

   $ ipa hostgroup-show databases
     Host-group: databases

流程

1. 创建一个清单文件，如 inventory.file，并使用目标 IdM 服务器列表定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的主机组信息，创建 Ansible playbook 文件。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-hostgroup-is-absent.yml 文件中的示例。

   ---
   - name: Playbook to handle hostgroups
     hosts: ipaserver
     become: true
   
     tasks:
     - Ensure host-group databases is absent
       ipahostgroup:
         ipaadmin_password: MySecret123
         name: databases
         state: absent

   此 playbook 确保 IdM 中缺少 databases 主机组。state: absent 表示从 IdM 中删除主机组的请求，除非它已被删除。

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-hostgroup-is-absent.yml

验证步骤

1. 以 admin 用户身份登录 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 为 admin 请求 Kerberos ticket：

   $ kinit admin
   Password for admin@IDM.EXAMPLE.COM:

3. 显示您没有保证的主机组的信息：

   $ ipa hostgroup-show databases
   ipa: ERROR: databases: host group not found

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的主机和主机组成员管理信息创建一个 Ansible playbook 文件：

   ---
   
   - name: Playbook to handle host group membership management
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure member manager host and host group members are absent for group_name
       ipahostgroup:
         ipaadmin_password: MySecret123
         name: group_name
         membermanager_user: example_member
         membermanager_group: project_admins
         action: member
         state: absent

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-member-managers-host-groups-are-absent.yml

1. 以管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示有关 testhostgroup 的信息：

   ipaserver]$ ipa hostgroup-show group_name
     Host-group: group_name
     Member hosts: server.idm.example.com
     Member host-groups: testhostgroup2

流程

1. 创建一个清单文件，如 inventory.file，并在 [ipaserver] 部分中定义 IdM 服务器的 FQDN ：

   [ipaserver]
   server.idm.example.com

2. 创建 Ansible playbook 文件，以定义您要确保的密码策略。要简化此步骤，请复制并修改 /usr/share/doc/ansible-freeipa/playbooks/pwpolicy/pwpolicy_present.yml 文件中的示例：

   ---
   - name: Tests
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure presence of pwpolicy for group ops
       ipapwpolicy:
         ipaadmin_password: MySecret123
         name: ops
         minlife: 7
         maxlife: 49
         history: 5
         priority: 1
         lockouttime: 300
         minlength: 8
         minclasses: 4
         maxfail: 3
         failinterval: 5

   有关单个变量含义的详情，请参阅密码策略属性。

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory_/new_pwpolicy_present.yml

流程

1. 将用户名检查应用到 managers 组中用户建议的所有新密码：

   $ ipa pwpolicy-mod --usercheck=True managers

   注意

   如果没有指定密码策略的名称，则会修改默认的 global_policy。

2. 在 manager 密码策略中，将相同连续字符的最大数量设置为 2：

   $ ipa pwpolicy-mod --maxrepeat=2 managers

   如果密码包含两个以上相同的连续字符，则现在不接受密码。例如，eR873mUi111YJQ 组合是不可接受的，因为它包含三个 1s。

验证

1. 添加名为 test_user 的测试用户 ：

   $ ipa user-add test_user
   First name: test
   Last name: user
   ----------------------------
   Added user "test_user"
   ----------------------------

2. 将 test 用户添加到 managers 组：

   1. 在 IdM Web UI Identity → Groups → User Groups。
   2. 单击 managers。
   3. 单击 Add。
   4. 在 Add users to user group 'managers' 页面中，检查 test_user。
   5. 点击 > 箭头将用户移到 Prospect ive 列中。
   6. 单击 Add。

3. 重置测试用户的密码：

   1. 前往身份 用户.
   2. 单击 test_user。
   3. 在 Actions 菜单中，单击 Reset Password。
   4. 输入用户的临时密码。

4. 在命令行中，尝试为 test_user 获取 Kerberos 票据授予票据(TGT)：

   $ kinit test_user

   1. 输入临时密码。

   2. 系统会通知您必须更改密码。输入包含用户名 test_user 的密码：

      Password expired. You must change it now.
      Enter new password:
      Enter it again:

      注意

      Kerberos 没有精细的错误密码策略报告，在某些情况下，没有提供拒绝密码的明确原因。

   3. 系统通知您输入的密码被拒绝。连续输入包含三个或多个相同字符的密码：

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

   4. 系统通知您输入的密码被拒绝。输入满足 managers 密码策略条件的密码：

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

5. 查看获取的 TGT:

   $ klist
   Ticket cache: KCM:0:33945
   Default principal: test_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   07/07/2021 12:44:44  07/08/2021 12:44:44  krbtgt@IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

流程

1. 检索作为 IdM 管理员 的 Kerberos 票据。

   [root@idmclient ~]# kinit admin

2. 在 sudo 命令的 IdM 数据库中添加 /usr/sbin/reboot 命令：

   [root@idmclient ~]# ipa sudocmd-add /usr/sbin/reboot
   -------------------------------------
   Added Sudo Command "/usr/sbin/reboot"
   -------------------------------------
     Sudo Command: /usr/sbin/reboot

3. 创建名为 idm_user_reboot 的 sudo 规则：

   [root@idmclient ~]# ipa sudorule-add idm_user_reboot
   ---------------------------------
   Added Sudo Rule "idm_user_reboot"
   ---------------------------------
     Rule name: idm_user_reboot
     Enabled: TRUE

4. 在 idm_user_ reboot 规则中添加 /usr/sbin/ reboot 命令：

   [root@idmclient ~]# ipa sudorule-add-allow-command idm_user_reboot --sudocmds '/usr/sbin/reboot'
     Rule name: idm_user_reboot
     Enabled: TRUE
     Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

5. 将 idm_user_reboot 规则应用到 IdM idmclient 主机：

   [root@idmclient ~]# ipa sudorule-add-host idm_user_reboot --hosts idmclient.idm.example.com
   Rule name: idm_user_reboot
   Enabled: TRUE
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

6. 在 idm_user_ reboot 规则中添加 idm_user 帐户：

   [root@idmclient ~]# ipa sudorule-add-user idm_user_reboot --users idm_user
   Rule name: idm_user_reboot
   Enabled: TRUE
   Users: idm_user
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

验证步骤

1. 以 idm _user 帐户身份登录 idm client 主机。

2. 显示允许 idm_user 帐户执行的 sudo 规则。

   [idm_user@idmclient ~]$ sudo -l
   Matching Defaults entries for idm_user on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User idm_user may run the following commands on idmclient:
       (root) /usr/sbin/reboot

3. 使用 sudo 重新启动计算机。在提示时输入 idm_user 的密码：

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot
   [sudo] password for idm_user: