Red Hat Training

A Red Hat training course is available for RHEL 8

35.14. 使用 Ansible 为 IdM 客户端上的声音卡授予 IdM 组访问权限

您可以使用 ansible-freeipa idviewidoverridegroup 模块在 IdM 客户端上使身份管理(IdM)或 Active Directory (AD)用户成员。这会授予 IdM 或 AD 用户对主机上声音卡的特权访问权限。

该流程使用 idview_for_host01 ID 视图的示例,其 音频 组 ID 覆盖使用 GID 的 63 来添加,它对应于 RHEL 主机上本地 音频 组的 GID。idview_for_host01 ID 视图应用于名为 host01.idm.example.com 的 IdM 客户端。

先决条件

  • 您已配置了 Ansible 控制节点以满足以下要求:

    • 您使用 Ansible 版本 2.14 或更高版本。
    • 您已在 Ansible 控制器上安装了 ansible-freeipa 软件包。
    • 您使用 RHEL 8.10 或更高版本。
    • 示例假定在 ~/MyPlaybooks/ 目录中,您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件
    • 示例假定 secret.yml Ansible 库存储了 ipaadmin_password

流程

  1. [可选] 识别 RHEL 主机上本地 音频 组的 GID:

    $ getent group audio
    ---------------------
    audio:x:63
  2. 在 Ansible 控制节点上,使用以下任务创建一个 give-idm-group-access-to-sound-card-on-idm-client.yml playbook:

    ---
    - name: Playbook to give IdM group access to sound card on IdM client
      hosts: ipaserver
      become: false
    
      tasks:
      - name: Ensure the audio group exists in IdM
        ipagroup:
          ipaadmin_password: "{{ ipaadmin_password }}"
          name: audio
    
      - name: Ensure idview_for_host01 exists and is applied to host01.idm.example.com
        ipaidview:
          ipaadmin_password:  ”{{ ipaadmin_password }}"
          name: idview_for_host01
          host: host01.idm.example.com
    
      - name: Add an override for the IdM audio group with GID 63 to idview_for_host01
        ipaidoverridegroup:
          ipaadmin_password: "{{ ipaadmin_password }}"
          idview: idview_for_host01
          anchor: audio
          GID: 63
  3. 保存该文件。
  4. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件:

    $ ansible-playbook --vault-password-file=password_file -v -i inventory give-idm-group-access-to-sound-card-on-idm-client.yml

验证

  1. 在 IdM 客户端上,获取 IdM 管理员的凭证:

    $ kinit admin
    Password:
  2. 创建测试 IdM 用户:

    $ ipa user-add testuser --first test --last user --password
    User login [tuser]:
    Password:
    Enter Password again to verify:
    ------------------
    Added user "tuser"
    ------------------
  3. 将用户添加到 IdM 音频组中:

    $ ipa group-add-member --tuser audio
  4. 以 tuser 用户身份登录 host01.idm.example.com:

    $ ssh tuser@host01.idm.example.com
  5. 验证用户的组成员资格:

    $ id tuser
    uid=702801456(tuser) gid=63(audio) groups=63(audio)

其它资源