步骤

1. 打开一个终端，再连接到 IdM 服务器。

2. 输入 ipa help topics 来显示帮助所涵盖的主题列表。

   $ ipa help topics

3. 选择其中一个主题并按照以下模式创建一个命令： ipa help [topic_name].添加在上一步中列出的主题之一，而不是 topic_name 字符串。

   在这个示例中，我们使用以下主题：user

   $ ipa help user

4. 如果 IPA 帮助输出太长且您无法看到整个文本，则使用以下语法：

   $ ipa help user | less

   然后您可以向下滚动，并阅读全部帮助。

步骤

1. 打开一个终端，再连接到 IdM 服务器。

2. 输入 ipa help commands 来显示 help 所涵盖的命令列表。

   $ ipa help commands

3. 根据以下模式选择一个命令并创建 help 命令： ipa help < COMMAND>.添加在上一步中列出的其中一个命令，而不是 < COMMAND > 字符串。

   $ ipa help user-add

步骤

1. 打开一个终端，再连接到 IdM 服务器。

2. 输入命令来添加新用户：

   $ ipa user-add

   该命令将运行一个脚本，用于提示您提供创建用户帐户所需的基本数据。

3. 在 First name: 字段中，输入新用户的名字，然后按 Enter 键。
4. 在 Last name: 字段中，输入新用户的姓氏，然后按 Enter 键。

5. 在 User login [suggested 用户名]: 输入用户名，或者按 Enter 键接受推荐的用户名。

   整个 IdM 数据库的用户名必须是唯一的。如果发生错误，因为用户名已存在，使用 ipa user-add 命令重复该过程，并使用不同的唯一用户名。

步骤

1. 打开一个终端，再连接到 IdM 服务器。

2. 输入 ipa user-mod 命令，指定要修改的用户，以及任何选项，如 --password 来添加密码：

   $ ipa user-mod euser --password

   命令将运行脚本，您可以在其中添加新密码。

3. 输入新密码并按 Enter 键。

步骤

1. 打开终端并连接到 IdM 服务器。

2. 添加用户登录、用户名、姓氏以及可选，您也可以添加其电子邮件地址。

   $ ipa user-add user_login --first=first_name --last=last_name --email=email_address

   IdM 支持可通过以下正则表达式描述的用户名：

   [a-zA-Z0-9_.][a-zA-Z0-9_.-]{0,252}[a-zA-Z0-9_.$-]?

   注意

   支持以末尾的美元符号($)结尾的用户名，以启用 Samba 3.x 机器支持。

   如果您添加了包含大写字符的用户名，IdM 会在保存名称时自动将其转换为小写。因此，IdM 总是需要在登录时以小写形式输入用户名。此外，不能添加仅在字母大小写上不同的用户名，比如 user 和 User。

   用户名的默认最大长度为 32 个字符。要更改它，请使用 ipa config-mod --maxusername 命令。例如，要将最大用户名长度增加到 64 个字符：

   $ ipa config-mod --maxusername=64
    Maximum username length: 64
    ...

   ipa user-add 命令包含许多参数。要全部列出它们，请使用 ipa help 命令：

   $ ipa help user-add

   有关 ipa help 命令的详情，请查看 什么是 IPA help 。

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令激活用户帐户：

   $ ipa stageuser-activate user_login
   -------------------------
   Stage user user_login activated
   -------------------------
   ...

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令保留用户帐户：

   $ ipa user-del --preserve user_login
   --------------------
   Deleted user "user_login"
   --------------------

   注意

   尽管输出说用户帐户已删除，但实际上是被保留了。

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令删除用户帐户：

   $ ipa user-del user_login
   --------------------
   Deleted user "user_login"
   --------------------

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令激活用户帐户：

   $ ipa user-undel user_login
   ------------------------------
   Undeleted user account "user_login"
   ------------------------------

   或者，您可以将用户帐户恢复为暂存的用户帐户：

   $ ipa user-stage user_login
   ------------------------------
   Staged user account "user_login"
   ------------------------------

步骤

1. 登录到 IdM Web UI。

2. 进到 Users → Stage Users 选项卡。

   另外，您可以在 Users → Active users 中添加用户帐户，但是您无法将用户组添加到帐户中。

3. 单击 + Add 图标。
4. 在 Add stage user 对话框中，输入新用户的 First name 和 Last name。

5. [可选] 在 User login 字段中，添加一个登录名称。

   如果您将其留空，IdM 服务器将以以下形式创建登录名称：名字的第一个字母和姓氏。整个登录名最多可有 32 个字符。

6. [可选] 在 GID 下拉菜单中，选择应包含该用户的组。
7. [可选] 在 Password 和 Verify password 字段中，输入您的密码并确认，确保它们都匹配。

8. 点击 Add 按钮。

   

步骤

1. 登录到 IdM Web UI。
2. 进到 Users → Stage users 选项卡。
3. 单击您要激活的用户帐户的复选框。

4. 单击 Activate 按钮。

   

5. 在 Confirmation 对话框中，单击 OK 按钮。

步骤

1. 登录到 IdM Web UI。
2. 进到 Users → Active users 选项卡。
3. 点击您要禁用的用户帐户的复选框。

4. 单击 Disable 按钮。

   

5. 在 Confirmation 对话框中，单击 OK 按钮。

步骤

1. 登录到 IdM Web UI。
2. 进到 Users → Active users 选项卡。
3. 单击您要启用的用户帐户的复选框。

4. 单击 Enable 按钮。

   

5. 在 Confirmation 对话框中，单击 OK 按钮。

步骤

1. 登录到 IdM Web UI。
2. 进到 Users → Active users 选项卡。
3. 单击您要保留的用户帐户的复选框。

4. 单击 Delete 按钮。

   

5. 在 Remove users 对话框中，将 Delete mode 单选按钮切换到 preserve。

6. 单击 Delete 按钮。

   

步骤

1. 登录到 IdM Web UI。
2. 进到 Users → Preserved users 选项卡。
3. 单击您要恢复的用户帐户的复选框。

4. 单击 Restore 按钮。

   

5. 在 Confirmation 对话框中，单击 OK 按钮。

步骤

1. 登录到 IdM Web UI。

2. 进到 Users → Active users 选项卡。

   或者，您可以在 Users → Stage users 或 Users → Preserved users 删除用户账户。

3. 点 Delete 图标。
4. 在 Remove users 对话框中，将 Delete mode 单选按钮切换到 delete。
5. 单击 Delete 按钮。

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建一个 Ansible playbook 文件，其中包含您要确保的 IdM 中存在的用户数据。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/add-user.yml 文件中的示例。例如，创建名为 idm_user 的用户并添加 Password123 作为用户密码：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Create user idm_user
       ipauser:
         ipaadmin_password: MySecret123
         name: idm_user
         first: Alice
         last: Acme
         uid: 1000111
         gid: 10011
         phone: "+555123457"
         email: idm_user@acme.com
         passwordexpiration: "2023-01-19 23:59:59"
         password: "Password123"
         update_password: on_create

   您必须使用以下选项来添加用户：

   • name：登录名称
   • first：名（字符串）
   • last：姓（字符串）

   有关可用用户选项的完整列表，请参阅 /usr/share/doc/ansible-freeipa/README-user.md Markdown 文件。

   注意

   如果您使用 update_password: on_create 选项，Ansible 仅在创建用户时创建用户密码。如果已使用密码创建了用户，Ansible 不会生成新的密码。

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-IdM-user.yml

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建一个 Ansible playbook 文件，其中包含您要在 IdM 中确保存在的用户的数据。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Create user idm_users
       ipauser:
         ipaadmin_password: MySecret123
         users:
         - name: idm_user_1
           first: Alice
           last: Acme
           uid: 10001
           gid: 10011
           phone: "+555123457"
           email: idm_user@acme.com
           passwordexpiration: "2023-01-19 23:59:59"
           password: "Password123"
         - name: idm_user_2
           first: Bob
           last: Acme
           uid: 100011
           gid: 10011
         - name: idm_user_3
           first: Eve
           last: Acme
           uid: 1000111
           gid: 10011

   注意

   如果没有指定 update_password: on_create 选项，Ansible 每次运行 playbook 时都会重新设置用户密码：如果用户自上次运行 playbook 起更改了密码，则 Ansible 重新设置密码。

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-users.yml

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建包含必要任务的 Ansible playbook 文件。使用您要确保存在的用户数据引用 JSON 文件。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/ensure-users-present-ymlfile.yml 文件中的示例：

   ---
   - name: Ensure users' presence
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Include users.json
       include_vars:
         file: users.json
   
     - name: Users present
       ipauser:
         ipaadmin_password: MySecret123
         users: "{{ users }}"

3. 创建 users.json 文件，并将 IdM 用户添加到其中。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/users.json 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   {
     "users": [
      {
       "name": "idm_user_1",
       "first": "Alice",
       "last": "Acme",
       "password": "Password123"
      },
      {
       "name": "idm_user_2",
       "first": "Bob",
       "last": "Acme"
      },
      {
       "name": "idm_user_3",
       "first": "Eve",
       "last": "Acme"
      }
     ]
   }

4. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-users-present-jsonfile.yml

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建 Ansible playbook 文件，使其包含没有 IdM 的用户。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要删除用户 idm_user_1、idm_user_2 和 idm_user_3 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Delete users idm_user_1, idm_user_2, idm_user_3
       ipauser:
         ipaadmin_password: MySecret123
         users:
         - name: idm_user_1
         - name: idm_user_2
         - name: idm_user_3
         state: absent

3. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/delete-users.yml

1. 以管理员身份登录到 ipaserver：

   $ ssh administrator@server.idm.example.com
   Password:
   [admin@server /]$

2. 请求有关 idm_user_1 的信息：

   $ ipa user-show idm_user_1
   ipa: ERROR: idm_user_1: user not found

   IdM 中不存在名为 idm_user_1 的用户。

步骤

1. 获取 Kerberos 票据作为 IdM admin。

   [root@idmclient ~]# kinit admin

2. 在 sudo 命令的 IdM 数据库中添加 /usr/sbin/reboot 命令：

   [root@idmclient ~]# ipa sudocmd-add /usr/sbin/reboot
   -------------------------------------
   Added Sudo Command "/usr/sbin/reboot"
   -------------------------------------
     Sudo Command: /usr/sbin/reboot

3. 创建名为 idm_user_reboot 的 sudo 规则：

   [root@idmclient ~]# ipa sudorule-add idm_user_reboot
   ---------------------------------
   Added Sudo Rule "idm_user_reboot"
   ---------------------------------
     Rule name: idm_user_reboot
     Enabled: TRUE

4. 在 idm_user_reboot 规则中添加 /usr/sbin/reboot 命令：

   [root@idmclient ~]# ipa sudorule-add-allow-command idm_user_reboot --sudocmds '/usr/sbin/reboot'
     Rule name: idm_user_reboot
     Enabled: TRUE
     Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

5. 将 idm_user_reboot 规则应用到 IdM idmclient 主机：

   [root@idmclient ~]# ipa sudorule-add-host idm_user_reboot --hosts idmclient.idm.example.com
   Rule name: idm_user_reboot
   Enabled: TRUE
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

6. 在 idm_user_reboot 规则中添加 idm_user 帐户：

   [root@idmclient ~]# ipa sudorule-add-user idm_user_reboot --users idm_user
   Rule name: idm_user_reboot
   Enabled: TRUE
   Users: idm_user
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

验证步骤

1. 以 idm_user 帐户身份登录 idmclient 主机。

2. 显示允许 idm_user 帐户执行的 sudo 规则。

   [idm_user@idmclient ~]$ sudo -l
   Matching Defaults entries for idm_user on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User idm_user may run the following commands on idmclient:
       (root) /usr/sbin/reboot

3. 使用 sudo 重新启动计算机。在提示时输入 idm_user 的密码：

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

步骤

1. 在 sudo 命令的 IdM 数据库中添加 /usr/sbin/reboot 命令：

   1. 导航到 Policy → Sudo → Sudo Commands。
   2. 单击右上角的 Add，以打开 Add sudo 命令对话框。

   3. 输入您希望用户能够使用 sudo 执行的命令：/usr/sbin/reboot。

      图 5.1. 添加 IdM sudo 命令

      
   4. 点击 Add。

2. 使用新的 sudo 命令条目创建一个 sudo 规则来允许 idm_user 重启 idmclient 机器：

   1. 导航到 Policy → Sudo → Sudo rules。
   2. 单击右上角的 Add，以打开 Add sudo 规则对话框。
   3. 输入 sudo 规则的名称： idm_user_reboot。
   4. 点 Add and Edit。

   5. 指定用户：

      1. 在 Who 部分中，选中指定的用户和组单选按钮。
      2. 在 User category the rule applies to 子小节中，点 Add 打开 Add users into sudo rule "idm_user_reboot" 对话框。
      3. 在 Available 栏的 Add users into sudo rule "idm_user_reboot" 对话框中，选择 idm_user，并把它移到 Prospective 栏。
      4. 点击 Add。

   6. 指定主机：

      1. 在 Access this host 部分中，选中指定的 Hosts and Groups 单选按钮。
      2. 在 Host category this rule applies to 子小节中，点 Add 打开 Add hosts into sudo rule "idm_user_reboot" 对话框。
      3. 在 Available 列中的 Add hosts to sudo rule "idm_user_reboot" 对话框中，选中 idmclient.idm.example.com 复选框，并将它移到 Prospective 列。
      4. 点击 Add。

   7. 指定命令：

      1. 在 Run Commands 一节的 Command category the rule applies to 子小节中，选择 Specified Commands and Groups 单选按钮。
      2. 在 Sudo Allow Commands 子节中，单击 Add 以打开 Add allow sudo commands into sudo rule "idm_user_reboot"对话框。
      3. 在 Available 列中的 Add allow sudo commands into sudo rule "idm_user_reboot" 对话框中，选中 /usr/sbin/reboot 复选框，并将它移到 Prospective 列。
      4. 点 Add 返回到 idm_sudo_reboot 页。

      图 5.2. 添加 IdM sudo 规则

      
   8. 单击左上角的 Save。

验证步骤

1. 以 idm_user 用户身份登录 idmclient。

2. 使用 sudo 重新启动计算机。在提示时输入 idm_user 的密码：

   $ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

步骤

1. 获取 Kerberos 票据作为 IdM admin。

   [root@idmclient ~]# kinit admin

2. 将 /opt/third-party-app/bin/report 命令添加到 sudo 命令的 IdM 数据库：

   [root@idmclient ~]# ipa sudocmd-add /opt/third-party-app/bin/report
   ----------------------------------------------------
   Added Sudo Command "/opt/third-party-app/bin/report"
   ----------------------------------------------------
     Sudo Command: /opt/third-party-app/bin/report

3. 创建名为 run_third-party-app_report 的 sudo 规则：

   [root@idmclient ~]# ipa sudorule-add run_third-party-app_report
   --------------------------------------------
   Added Sudo Rule "run_third-party-app_report"
   --------------------------------------------
     Rule name: run_third-party-app_report
     Enabled: TRUE

4. 使用 --users= <user > 选项指定 sudorule-add-runasuser 命令的 RunAs 用户：

   [root@idmclient ~]# ipa sudorule-add-runasuser run_third-party-app_report --users=thirdpartyapp
     Rule name: run_third-party-app_report
     Enabled: TRUE
     RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

   使用 --groups=* 选项指定的用户（或组）可以在 IdM 的外部，如本地服务帐户或 Active Directory 用户。不要为组名称添加 % 前缀。

5. 将 /opt/third-party-app/bin/report 命令添加到 idm_user_reboot 规则中：

   [root@idmclient ~]# ipa sudorule-add-allow-command run_third-party-app_report --sudocmds '/opt/third-party-app/bin/report'
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

6. 将 run_third- party-app_report 规则应用到 IdM idmclient 主机：

   [root@idmclient ~]# ipa sudorule-add-host run_third-party-app_report --hosts idmclient.idm.example.com
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

7. 将 idm_user 帐户添加到 run_third- party-app_report 规则中：

   [root@idmclient ~]# ipa sudorule-add-user run_third-party-app_report --users idm_user
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Users: idm_user
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1

验证步骤

1. 以 idm_user 帐户身份登录 idmclient 主机。

2. 测试新的 sudo 规则：

   1. 显示允许 idm_user 帐户执行的 sudo 规则。

      [idm_user@idmclient ~]$ sudo -l
      Matching Defaults entries for idm_user@idm.example.com on idmclient:
          !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
          env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
          env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
          env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
          env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
          env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
          secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
      
      User idm_user@idm.example.com may run the following commands on idmclient:
          (thirdpartyapp) /opt/third-party-app/bin/report

   2. 作为 thirdpartyapp 服务帐户，运行 report 命令。

      [idm_user@idmclient ~]$ sudo -u thirdpartyapp /opt/third-party-app/bin/report
      [sudo] password for idm_user@idm.example.com:
      Executing report...
      Report successful.

步骤

1. 将 /opt/third-party-app/bin/report 命令添加到 sudo 命令的 IdM 数据库：

   1. 导航到 Policy → Sudo → Sudo Commands。
   2. 单击右上角的 Add，以打开 Add sudo 命令对话框。

   3. 输入命令： /opt/third-party-app/bin/report.

      
   4. 点击 Add。

2. 使用新的 sudo 命令条目创建新 sudo 规则：

   1. 导航到 Policy → Sudo → Sudo rules。
   2. 单击右上角的 Add，以打开 Add sudo 规则对话框。

   3. 输入 sudo 规则的名称： run_third-party-app_report。

      
   4. 点 Add and Edit。

   5. 指定用户：

      1. 在 Who 部分中，选中指定的用户和组单选按钮。
      2. 在 User category the rule applies to 子小节中，点 Add 打开 Add users into sudo rule "run_third-party-app_report" 对话框。

      3. 在 Available 栏的 Add users into sudo rule "run_third-party-app_report" 对话框中，选择 idm_user，并把它移到 Prospective 栏。

         
      4. 点击 Add。

   6. 指定主机：

      1. 在 Access this host 部分中，选中指定的 Hosts and Groups 单选按钮。
      2. 在 Host category the rule applies to 子小节中，点 Add 打开 Add hosts into sudo rule "run_third-party-app_report" 对话框。

      3. 在 Available 栏的 Add hosts to sudo rule "run_third- party-app_report" 对话框中，选中 idmclient.idm.example.com 复选框，并将它移到 Prospective 列。

         
      4. 点击 Add。

   7. 指定命令：

      1. 在 Run Commands 一节的 Command category the rule applies to 子小节中，选择 Specified Commands and Groups 单选按钮。
      2. 在 Sudo Allow Commands 子节中，单击 Add 以打开 Add allow sudo commands into sudo rule "run_third-party-app_report"对话框。

      3. 在 Available 栏的 Add allow sudo commands into sudo rule "run_third-party-app_report" 对话框中，选中 /opt/third-party-app/bin/report 并将其移到 Prospective 栏。

         
      4. 单击 Add，以返回到 run_third-party-app_report 页面。

   8. 指定 RunAs 用户：

      1. 在 As Whom 部分中 ，选中指定的用户和组 单选按钮。
      2. 在 RunAs Users 子节中，点 Add 以打开 Add RunAs users into sudo rule "run_third-party-app_report"对话框。

      3. 在 Add RunAs users into sudo rule "run_third-party-app_report" 对话框中，在 External 部分输入 thirdpartyapp 服务账户，并将它移到 Prospective 栏。

         
      4. 单击 Add，以返回到 run_third-party-app_report 页面。
   9. 单击左上角的 Save。

验证步骤

1. 以 idm_user 帐户身份登录 idmclient 主机。

2. 测试新的 sudo 规则：

   1. 显示允许 idm_user 帐户执行的 sudo 规则。

      [idm_user@idmclient ~]$ sudo -l
      Matching Defaults entries for idm_user@idm.example.com on idmclient:
          !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
          env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
          env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
          env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
          env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
          env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
          secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
      
      User idm_user@idm.example.com may run the following commands on idmclient:
          (thirdpartyapp) /opt/third-party-app/bin/report

   2. 作为 thirdpartyapp 服务帐户，运行 report 命令。

      [idm_user@idmclient ~]$ sudo -u thirdpartyapp /opt/third-party-app/bin/report
      [sudo] password for idm_user@idm.example.com:
      Executing report...
      Report successful.

步骤

1. 打开 /etc/sssd/sssd.conf 配置文件：

2. 在 [domain/<domain_name> ] 部分中添加以下条目。

   [domain/<domain_name>]
   pam_gssapi_services = sudo, sudo-i

3. 保存并关闭 /etc/sssd/sssd.conf 文件。

4. 重启 SSSD 服务以载入配置更改。

   [root@idmclient ~]# systemctl restart sssd

5. 打开 /etc/pam.d/sudo PAM 配置文件。

6. 添加下列条目，作为 /etc/pam.d/sudo 文件中的 auth 部分的第一行。

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      system-auth
   account    include      system-auth
   password   include      system-auth
   session    include      system-auth

7. 保存并关闭 /etc/pam.d/sudo 文件。
8. 打开 /etc/pam.d/sudo-i PAM 配置文件。

9. 添加下列条目，作为 /etc/pam.d/sudo-i 文件中的 auth 部分的第一行。

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      sudo
   account    include      sudo
   password   include      sudo
   session    optional     pam_keyinit.so force revoke
   session    include      sudo

10. 保存并关闭 /etc/pam.d/sudo-i 文件。

验证步骤

1. 以 idm_user 帐户身份登录到主机。

   [root@idm-client ~]# ssh -l idm_user@idm.example.com localhost
   idm_user@idm.example.com's password:

2. 验证您有一个票据授予票据作为 idm_user 帐户。

   [idmuser@idmclient ~]$ klist
   Ticket cache: KCM:1366201107
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   01/08/2021 09:11:48  01/08/2021 19:11:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 01/15/2021 09:11:44

3. （可选） 如果您没有 idm_user 帐户的 Kerberos 凭证，请销毁您当前的 Kerberos 凭证，并请求正确的凭证。

   [idm_user@idmclient ~]$ kdestroy -A
   
   [idm_user@idmclient ~]$ kinit idm_user@IDM.EXAMPLE.COM
   Password for idm_user@idm.example.com:

4. 使用 sudo 重启机器，而不用指定密码。

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot

步骤

1. 打开 /etc/sssd/sssd.conf 配置文件：

2. 将以下条目添加到 [domain/<domain_name>] 部分中。

   [domain/<domain_name>]
   pam_gssapi_services = sudo, sudo-i
   pam_gssapi_indicators_map = sudo:pkinit, sudo-i:pkinit

3. 保存并关闭 /etc/sssd/sssd.conf 文件。

4. 重启 SSSD 服务以载入配置更改。

   [root@idmclient ~]# systemctl restart sssd

5. 打开 /etc/pam.d/sudo PAM 配置文件。

6. 添加下列条目，作为 /etc/pam.d/sudo 文件中的 auth 部分的第一行。

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      system-auth
   account    include      system-auth
   password   include      system-auth
   session    include      system-auth

7. 保存并关闭 /etc/pam.d/sudo 文件。
8. 打开 /etc/pam.d/sudo-i PAM 配置文件。

9. 添加下列条目，作为 /etc/pam.d/sudo-i 文件中的 auth 部分的第一行。

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      sudo
   account    include      sudo
   password   include      sudo
   session    optional     pam_keyinit.so force revoke
   session    include      sudo

10. 保存并关闭 /etc/pam.d/sudo-i 文件。

验证步骤

1. 以 idm_user 帐户登录到主机，并使用智能卡进行身份验证。

   [root@idmclient ~]# ssh -l idm_user@idm.example.com localhost
   PIN for smart_card

2. 验证作为智能卡用户，您有一个票据授予票据。

   [idm_user@idmclient ~]$ klist
   Ticket cache: KEYRING:persistent:1358900015:krb_cache_TObtNMd
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   02/15/2021 16:29:48  02/16/2021 02:29:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 02/22/2021 16:29:44

3. 显示允许 idm_user 帐户执行的 sudo 规则。

   [idm_user@idmclient ~]$ sudo -l
   Matching Defaults entries for idmuser on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User idm_user may run the following commands on idmclient:
       (root) /usr/sbin/reboot

4. 使用 sudo 重启机器，而不用指定密码。

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot

步骤

1. 创建一个清单文件，如 inventory.file，并在其中定义 ipaservers ：

   [ipaservers]
   server.idm.example.com

2. 添加一个或多个 sudo 命令：

   1. 创建一个 ensure-reboot-sudocmd-is-present.yml Ansible playbook，来确保 sudo 命令的 IdM 数据库中存在 /usr/sbin/reboot 命令。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/sudocmd/ensure-sudocmd-is-present.yml 文件中的示例：

      ---
      - name: Playbook to manage sudo command
        hosts: ipaserver
        become: true
      
        tasks:
        # Ensure sudo command is present
        - ipasudocmd:
            ipaadmin_password: MySecret123
            name: /usr/sbin/reboot
            state: present

   2. 运行 playbook：

      $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-reboot-sudocmd-is-present.yml

3. 创建一个引用命令的 sudo 规则：

   1. 创建一个 ensure-sudorule-for-idmuser-on-idmclient-is-present.yml Ansible playbook，来使用 sudo 命令条目确保存在 sudo 规则。sudo 规则允许 idm_user 重新启动 idmclient 机器。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/sudorule/ensure-sudorule-is-present.yml 文件中的示例：

      ---
      - name: Tests
        hosts: ipaserver
        become: true
      
        tasks:
        # Ensure a sudorule is present granting idm_user the permission to run /usr/sbin/reboot on idmclient
        - ipasudorule:
            ipaadmin_password: MySecret123
            name: idm_user_reboot
            description: A test sudo rule.
            allow_sudocmd: /usr/sbin/reboot
            host: idmclient.idm.example.com
            user: idm_user
            state: present

   2. 运行 playbook：

      $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-sudorule-for-idmuser-on-idmclient-is-present.yml

1. 以 idm_user 用户身份登录到 idmclient。

2. 使用 sudo 重新启动计算机。在提示时输入 idm_user 的密码：

   $ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

步骤

1. 以具有角色的 IdM 用户身份登录，来保留用户：

   $ kinit admin

2. 输入 ldapmodify 命令，并指定通用安全服务API(GSSAPI)作为用于身份验证的简单身份验证和安全层(SASL)机制：

   # ldapmodify -Y GSSAPI
   SASL/GSSAPI authentication started
   SASL username: admin@IDM.EXAMPLE.COM
   SASL SSF: 256
   SASL data security layer installed.

3. 输入您要保留的用户的 dn：

   dn: uid=user1,cn=users,cn=accounts,dc=idm,dc=example,dc=com

4. 输入 modrdn 作为您要执行的更改的类型：

   changetype: modrdn

5. 为用户指定 newrdn ：

   newrdn: uid=user1

6. 表示您要保留用户：

   deleteoldrdn: 0

7. 指定 新的高级 DN:

   newsuperior: cn=deleted users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com

   保存用户会将条目移到目录信息树(DIT)中的新位置。因此，您必须将新父条目的 DN 指定为新的高级 DN。

8. 再次按 Enter 键确认输入结束：

   [Enter]
   
   modifying rdn of entry "uid=user1,cn=users,cn=accounts,dc=idm,dc=example,dc=com"

9. 使用 Ctrl + C 退出连接。

步骤

1. 以 IdM 管理员身份登录：

   $ kinit admin

2. 创建名为 provisionator 的用户，其具有用于添加 stage 用户的特权。

   1. 添加 provisionator 用户帐户：

   $ ipa user-add provisionator --first=provisioning --last=account --password

   1. 为 provisionator 用户授予所需的特权。

      1. 创建一个自定义角色 System Provisioning ，来管理添加 stage 用户：

         $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

      2. 将 Stage User Provisioning 特权添加到该角色。这个特权提供了添加 stage 用户的能力：

         $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

      3. 将 provisionator 用户添加到角色中：

         $ ipa role-add-member --users=provisionator "System Provisioning"

      4. 验证 provisionator 在 IdM 中是否存在：

      $ ipa user-find provisionator --all --raw
      --------------
      1 user matched
      --------------
        dn: uid=provisionator,cn=users,cn=accounts,dc=idm,dc=example,dc=com
        uid: provisionator
        [...]

3. 创建用户 activator，其具有管理用户帐户的特权。

   1. 添加 activator 用户帐户：

      $ ipa user-add activator --first=activation --last=account --password

   2. 通过将用户添加到默认的 User Administrator 角色来授予 activator 用户所需的特权：

      $ ipa role-add-member --users=activator "User Administrator"

4. 为应用程序帐户创建用户组：

   $ ipa group-add application-accounts

5. 更新组的密码策略。以下策略可防止帐户的密码过期和锁住，但通过要求复杂的密码来弥补潜在的风险：

   $ ipa pwpolicy-add application-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=8 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

6. （可选）验证密码策略是否在 IdM 中存在：

   $ ipa pwpolicy-show application-accounts
     Group: application-accounts
     Max lifetime (days): 10000
     Min lifetime (hours): 0
     History size: 0
   [...]

7. 将调配和激活帐户添加到应用程序帐户的组中：

   $ ipa group-add-member application-accounts --users={provisionator,activator}

8. 更改用户帐户的密码：

   $ kpasswd provisionator
   $ kpasswd activator

   更改密码是必需的，因为新的 IdM 用户密码会立即过期。

步骤

1. 为激活帐户生成 keytab 文件：

   # ipa-getkeytab -s server.idm.example.com -p "activator" -k /etc/krb5.ipa-activation.keytab

   如果您要在多个 IdM 服务器上启用激活过程，请仅在一个服务器上生成 keytab 文件。然后，将 keytab 文件复制到其他服务器上。

2. 创建一个包含以下内容的 /usr/local/sbin/ipa-activate-all 脚本来激活所有用户：

   #!/bin/bash
   
   kinit -k -i activator
   
   ipa stageuser-find --all --raw | grep "  uid:" | cut -d ":" -f 2 | while read uid; do ipa stageuser-activate ${uid}; done

3. 编辑 ipa-activate-all 脚本的权限和所有权来使其可执行：

   # chmod 755 /usr/local/sbin/ipa-activate-all
   # chown root:root /usr/local/sbin/ipa-activate-all

4. 创建一个 systemd 单元文件 /etc/systemd/system/ipa-activate-all.service，内容如下：

   [Unit]
   Description=Scan IdM every minute for any stage users that must be activated
   
   [Service]
   Environment=KRB5_CLIENT_KTNAME=/etc/krb5.ipa-activation.keytab
   Environment=KRB5CCNAME=FILE:/tmp/krb5cc_ipa-activate-all
   ExecStart=/usr/local/sbin/ipa-activate-all

5. 创建一个 systemd 计时器 /etc/systemd/system/ipa-activate-all.timer，内容如下：

   [Unit]
   Description=Scan IdM every minute for any stage users that must be activated
   
   [Timer]
   OnBootSec=15min
   OnUnitActiveSec=1min
   
   [Install]
   WantedBy=multi-user.target

6. 重新载入新配置：

   # systemctl daemon-reload

7. 启用 ipa-activate-all.timer:

   # systemctl enable ipa-activate-all.timer

8. 启动 ipa-activate-all.timer:

   # systemctl start ipa-activate-all.timer

9. （可选）验证 ipa-activate-all.timer 守护进程是否正在运行：

   # systemctl status ipa-activate-all.timer
   ● ipa-activate-all.timer - Scan IdM every minute for any stage users that must be activated
      Loaded: loaded (/etc/systemd/system/ipa-activate-all.timer; enabled; vendor preset: disabled)
      Active: active (waiting) since Wed 2020-06-10 16:34:55 CEST; 15s ago
     Trigger: Wed 2020-06-10 16:35:55 CEST; 44s left
   
   Jun 10 16:34:55 server.idm.example.com systemd[1]: Started Scan IdM every minute for any stage users that must be activated.

步骤

1. 在外部服务器上，创建一个包含有关新用户信息的 LDIF 文件：

   dn: uid=stageidmuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com
   changetype: add
   objectClass: top
   objectClass: inetorgperson
   uid: stageidmuser
   sn: surname
   givenName: first_name
   cn: full_name

2. 将 LDIF 文件从外部服务器传到 IdM 服务器：

   $ scp add-stageidmuser.ldif provisionator@server.idm.example.com:/provisionator/
   Password:
   add-stageidmuser.ldif                                                                                          100%  364   217.6KB/s   00:00

3. 使用 SSH 协议，以 provisionator 身份连接到 IdM 服务器：

   $ ssh provisionator@server.idm.example.com
   Password:
   [provisionator@server ~]$

4. 在 IdM 服务器上，获取 provisionator 帐户的 Kerberos 票据授予票(TGT)：

   [provisionator@server ~]$ kinit provisionator

5. 输入 ldapadd 命令，以及 -f 选项和 LDIF 文件的名称。指定 IdM 服务器的名称和端口号：

   ~]$ ldapadd -h server.idm.example.com -p 389 -f  add-stageidmuser.ldif
   SASL/GSSAPI authentication started
   SASL username: provisionator@IDM.EXAMPLE.COM
   SASL SSF: 256
   SASL data security layer installed.
   adding the entry "uid=stageidmuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com"

步骤

1. 使用您的 IdM 身份和凭证，通过 SSH 协议连接到 IdM 服务器：

   $ ssh provisionator@server.idm.example.com
   Password:
   [provisionator@server ~]$

2. 获取 provisionator 帐户的 TGT，这是具有添加新 stage 用户角色的 IdM 用户：

   $ kinit provisionator

3. 输入 ldapmodify 命令，并将通用安全服务 API(GSSAPI)指定为用于身份验证的简单身份验证和安全层(SASL)机制。指定 IdM 服务器的名称和端口：

   # ldapmodify -h server.idm.example.com -p 389 -Y GSSAPI
   SASL/GSSAPI authentication started
   SASL username: provisionator@IDM.EXAMPLE.COM
   SASL SSF: 56
   SASL data security layer installed.

4. 输入您要添加的用户的 dn ：

   dn: uid=stageuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com

5. 输入 add 作为您要执行的更改的类型：

   changetype: add

6. 指定允许正确处理用户生命周期所需的 LDAP 对象类类别：

   objectClass: top
   objectClass: inetorgperson

   您可以指定其他对象类。

7. 输入用户的 uid ：

   uid: stageuser

8. 输入用户的 cn:

   cn: Babs Jensen

9. 输入用户的姓氏：

   sn: Jensen

10. 再次按 Enter 键确认输入结束：

    [Enter]
    
    adding new entry "uid=stageuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com"

11. 使用 Ctrl + C 退出连接。

流程

1. 可选 ：使用 ipa selfservice-find 命令显示现有的自助服务规则。
2. 可选 ：使用 ipa selfservice-show 命令显示您要修改的自助服务规则的详情。
3. 使用 ipa selfservice-mod 命令来编辑自助服务规则。

步骤

1. 在 IPA Server 选项卡中，打开 Role-Based Access Control 子菜单，然后选择 Self Service Permissions。

2. 点击自助服务访问规则列表右上角的 Add ：

   

3. 此时将打开 Add Self Service Permission 窗口。在 Self-service name 字段中输入新自助服务规则的名称。允许空格：

   

4. 选中您希望用户能够编辑的属性旁边的复选框。

5. 可选 ：如果您要提供访问权限的属性没有列出，您可以为其添加一个列表：

   1. 点击 Add 按钮。
   2. 在以下 Add Custom Attribute 窗口的 Attribute 文本字段中输入属性名称。
   3. 单击 OK 按钮来添加该属性
   4. 验证是否已选中新属性
6. 单击表单底部的 Add 按钮，来保存新的自助服务规则。
   或者，您可以通过单击 Add and Edit 按钮来保存并继续编辑自助服务规则，或者通过单击 Add and Add another 按钮来保存并添加其他规则。

步骤

1. 在 IPA Server 选项卡中，打开 Role-Based Access Control 子菜单，然后选择 Self Service Permissions。

2. 单击您要修改的自助服务规则的名称。

   

3. 编辑页面只允许您编辑您要添加或删除自助服务规则的属性列表。选择或取消选择合适的复选框。
4. 单击 Save 按钮，将更改保存到自助服务规则。

步骤

1. 在 IPA Server 选项卡中，打开 Role-Based Access Control 子菜单，然后选择 Self Service Permissions。

2. 选中您要删除的规则旁边的复选框，然后单击列表右侧的 Delete 按钮。

   

3. 此时会打开一个对话框，单击 Delete 进行确认。

步骤

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/selfservice/ 目录中的 selfservice-present.yml 文件副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-present.yml selfservice-present-copy.yml

3. 打开 selfservice-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为新自助服务规则的名称。
   • 将 权限 变量设置为以逗号分隔的权限列表，以授予：read 和 write。
   • 将 attribute 变量设置为用户可以自己管理的属性列表：givenname、displayname、title 和 initials。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is present
       ipaselfservice:
         ipaadmin_password: Secret123
         name: "Users can manage their own name details"
         permission: read, write
         attribute:
         - givenname
         - displayname
         - title
         - initials

5. 保存这个文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory selfservice-present-copy.yml

步骤

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/selfservice/ 目录中的 selfservice-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-absent.yml selfservice-absent-copy.yml

3. 打开 selfservice-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为自助服务规则的名称。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service absent
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is absent
       ipaselfservice:
         ipaadmin_password: Secret123
         name: "Users can manage their own name details"
         state: absent

5. 保存这个文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory selfservice-absent-copy.yml

步骤

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/selfservice/ 目录中的 selfservice-member-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-member-present.yml selfservice-member-present-copy.yml

3. 打开 selfservice-member-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为要修改的自助服务规则的名称。
   • 将 attribute 变量设置为 surname。
   • 将 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service member present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attribute surname is present
       ipaselfservice:
         ipaadmin_password: Secret123
         name: "Users can manage their own name details"
         attribute:
         - surname
         action: member

5. 保存这个文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory selfservice-member-present-copy.yml

步骤

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/selfservice/ 目录中的 selfservice-member-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-member-absent.yml selfservice-member-absent-copy.yml

3. 打开 selfservice-member-absent-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要修改的自助服务规则的名称。
   • 将 attribute 变量设置为 givenname 和 top name。
   • 将 action 变量设置为 member。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service member absent
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attributes givenname and surname are absent
       ipaselfservice:
         ipaadmin_password: Secret123
         name: "Users can manage their own name details"
         attribute:
         - givenname
         - surname
         action: member
         state: absent

5. 保存这个文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory selfservice-member-absent-copy.yml

步骤

1. 可选。使用 ipa group-show 命令确认组是否包含您要删除的成员。

2. 使用 ipa group-remove-member 命令从用户组中删除成员。

   使用这些选项来指定要删除的成员：

   • --users 删除 IdM 用户
   • --external 删除存在于 IdM 域外的用户，格式为 DOMAIN\user_name 或 user_name@domain
   • --groups 删除 IdM 用户组

   例如，要从名为 group_name 的组中删除 user1、user2 和 group1：

   $ ipa group-remove-member group_name --users=user1 --users=user2 --groups=group1

步骤

1. 点击 Identity → Groups，然后选择左侧栏中的 User Groups。
2. 单击 Add 开始添加组。

3. 填写有关组的信息。有关用户组类型的更多信息，请参阅 IdM 中不同的组类型。

   您可以为组指定自定义的 GID。如果您这样做，请小心以避免 ID 冲突。如果没有指定自定义的 GID，IdM 会自动从可用的 ID 范围内分配一个 GID。

   
4. 单击 Add 确认。

步骤

1. 点击 Identity → Groups ，并选择 User Groups。
2. 选择要删除的组。
3. 单击 Delete。
4. 单击 Delete 确认。

步骤

1. 单击 Identity → Groups ，并选择左侧栏中的 User Groups。
2. 单击组的名称。

3. 选择您要添加的组成员的类型： User、User Groups 或 External。

   
4. 点击 Add。
5. 选中您要添加的一个或多个成员旁边的复选框。

6. 单击向右箭头，将选定的成员移到组中。

   
7. 单击 Add 确认。

步骤

1. 单击 Identity → Groups ，并选择左侧栏中的 User Groups。
2. 单击组的名称。

3. 选择您要添加的组成员管理者的类型： User 或 User Groups。

   
4. 点击 Add。
5. 选中您要添加的一个或多个成员旁边的复选框。

6. 单击向右箭头，将选定的成员移到组中。

   
7. 单击 Add 确认。

步骤

1. 选择 Identity → Groups。
2. 在左侧栏中选择 User Groups 。
3. 单击您要查看的组的名称。

4. 在 Direct Membership 和 Indirect Membership 之间切换。

   

步骤

1. 单击 Identity → Groups ，并选择左侧栏中的 User Groups。
2. 单击组的名称。

3. 选择要删除的组成员的类型： User、User Groups 或 External。

   
4. 选中您要删除的成员旁边的复选框。
5. 单击 Delete。
6. 单击 Delete 确认。

步骤

1. 单击 Identity → Groups ，并选择左侧栏中的 User Groups。
2. 单击组的名称。

3. 选择您要删除的成员管理者的类型： Users 或 User Groups。

   
4. 选中您要删除的成员管理者旁边的复选框。
5. 单击 Delete。
6. 单击 Delete 确认。

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的用户和组信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle groups
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Create group ops with gid 1234
       ipagroup:
         ipaadmin_password: MySecret123
         name: ops
         gidnumber: 1234
   
     - name: Create group sysops
       ipagroup:
         ipaadmin_password: MySecret123
         name: sysops
         user:
         - idm_user
   
     - name: Create group appops
       ipagroup:
         ipaadmin_password: MySecret123
         name: appops
   
     - name: Add group members sysops and appops to group ops
       ipagroup:
         ipaadmin_password: MySecret123
         name: ops
         group:
         - sysops
         - appops

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-group-members.yml

1. 以管理员身份登录到 ipaserver：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示关于 ops 的信息：

   ipaserver]$ ipa group-show ops
     Group name: ops
     GID: 1234
     Member groups: sysops, appops
     Indirect Member users: idm_user

   IdM 中已存在 appops 和 sysops 组，后者包括 idm_user 用户。

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的用户和组成员管理信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle membership management
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure user test is present for group_a
       ipagroup:
         ipaadmin_password: MySecret123
         name: group_a
         membermanager_user: test
   
     - name: Ensure group_admins is present for group_a
       ipagroup:
         ipaadmin_password: MySecret123
         name: group_a
         membermanager_group: group_admins

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-member-managers-user-groups.yml

1. 以管理员身份登录到 ipaserver：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示 managergroup1 的信息：

   ipaserver]$ ipa group-show group_a
     Group name: group_a
     GID: 1133400009
     Membership managed by groups: group_admins
     Membership managed by users: test

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的用户和组成员管理信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle membership management
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure member manager user and group members are absent for group_a
       ipagroup:
         ipaadmin_password: MySecret123
         name: group_a
         membermanager_user: test
         membermanager_group: group_admins
         action: member
         state: absent

3. 运行 playbook：

   $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-member-managers-are-absent.yml

1. 以管理员身份登录到 ipaserver：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示 group_a 的信息：

   ipaserver]$ ipa group-show group_a
     Group name: group_a
     GID: 1133400009

步骤

1. 输入 ipa automember-add 命令，来添加自动成员规则。

2. 在提示时，指定：

   • 自动成员规则。这是目标组名称。
   • 分组类型。这将指定规则以用户组还是主机组为目标。要以用户组为目标，请输入 group。要以主机组为目标，请输入 hostgroup。

   例如，要为名为 user_group 的用户组添加自动成员规则：

   $ ipa automember-add
   Automember Rule: user_group
   Grouping Type: group
   --------------------------------
   Added automember rule "user_group"
   --------------------------------
       Automember Rule: user_group

步骤

1. 使用 ipa automember-add-condition 命令定义一个或多个包含或排他条件。

2. 在提示时，指定：

   • 自动成员规则。这是目标规则名称。详情请查看 自动成员规则。
   • 属性键。这将指定过滤器将应用到的条目属性。例如，用户的 uid ：
   • 分组类型。这将指定规则以用户组还是主机组为目标。要以用户组为目标，请输入 group。要以主机组为目标，请输入 hostgroup。
   • 包含正则表达式 和 排他正则表达式。它们将一个或多个条件指定为正则表达式。如果您只想指定一个条件，请在提示输入其它条件时按 Enter 键。

   例如，以下条件针对用户登录属性(uid)中带有任何值(.*)的所有用户。

   $ ipa automember-add-condition
   Automember Rule: user_group
   Attribute Key: uid
   Grouping Type: group
   [Inclusive Regex]: .*
   [Exclusive Regex]:
   ----------------------------------
   Added condition(s) to "user_group"
   ----------------------------------
     Automember Rule: user_group
     Inclusive Regex: uid=.*
   ----------------------------
   Number of conditions added 1
   ----------------------------

   再举一个例子，您可以使用自动成员资格规则以从活动目录(AD)中同步的所有 Windows 用户为目标。要达到此目的，请创建一个条件，该条件以其objectClass 属性中带有 ntUser 的用户为目标，该属性由所有 AD 用户共享：

   $ ipa automember-add-condition
   Automember Rule: ad_users
   Attribute Key: objectclass
   Grouping Type: group
   [Inclusive Regex]: ntUser
   [Exclusive Regex]:
   -------------------------------------
   Added condition(s) to "ad_users"
   -------------------------------------
     Automember Rule: ad_users
     Inclusive Regex: objectclass=ntUser
   ----------------------------
   Number of conditions added 1
   ----------------------------

步骤

1. 输入 ipa automember-find 命令。

2. 在提示时，指定 Grouping type ：

   • 要以用户组为目标，请输入 group。

   • 要以主机组为目标，请输入 hostgroup。

     例如：

   $ ipa automember-find
   Grouping Type: group
   ---------------
   1 rules matched
   ---------------
     Automember Rule: user_group
     Inclusive Regex: uid=.*
   ----------------------------
   Number of entries returned 1
   ----------------------------

步骤

1. 输入 ipa automember-del 命令。

2. 在提示时，指定：

   • 自动成员规则。这是您要删除的规则。
   • 分组规则。这将指定您要删除的规则是针对用户组的还是主机组的。输入 group 或 hostgroup 。

步骤

1. 输入 ipa automember-remove-condition 命令。

2. 在提示时，指定：

   • 自动成员规则。这是您要从中删除条件的规则的名称。
   • 属性键。这是目标条目属性。例如，用户的 uid ：
   • 分组类型。这将指定您要删除的条件是针对用户组的还是主机组的。输入 group 或 hostgroup 。

   • 包含正则表达式 和 排他正则表达式。它们指定您要删除的条件。如果您只想指定一个条件，请在提示输入其它条件时按 Enter 键。

     例如：

   $ ipa automember-remove-condition
   Automember Rule: user_group
   Attribute Key: uid
   Grouping Type: group
   [Inclusive Regex]: .*
   [Exclusive Regex]:
   -----------------------------------
   Removed condition(s) from "user_group"
   -----------------------------------
     Automember Rule: user_group
   ------------------------------
   Number of conditions removed 1
   ------------------------------

步骤

1. 输入 ipa automember-default-group-set 命令，来配置默认的自动成员组。

2. 在提示时，指定：

   • Default (fallback) Group，指定目标组名称。

   • Grouping Type，指定目标是用户组还是主机组。要以用户组为目标，请输入 group。要以主机组为目标，请输入 hostgroup。

     例如：

     $ ipa automember-default-group-set
     Default (fallback) Group: default_user_group
     Grouping Type: group
     ---------------------------------------------------
     Set default (fallback) group for automember "default_user_group"
     ---------------------------------------------------
       Default (fallback) Group: cn=default_user_group,cn=groups,cn=accounts,dc=example,dc=com

   注意

   要删除当前的默认自动成员组，请输入 ipa automember-default-group-remove 命令。

步骤

1. 点击 Identity → Automember，然后选择 User group rules 或 Host group rules。
2. 点击 Add。

3. 在 Automember rule 字段中，选择规则要应用的组。这是目标组名称。

   
4. 单击 Add 确认。
5. 可选： 您可以使用在 使用 IdM Web UI 向自动成员规则中添加条件 中所述的步骤，向新规则添加条件。

步骤

1. 点击 Identity → Automember，然后选择 User group rules 或 Host group rules。
2. 点击您要向其添加条件的规则。

3. 在 Inclusive 或 Exclusive 部分中，点击 Add。

   
4. 在 Attribute 字段中，选择需要的属性，如 uid。
5. 在 Expression 字段中，定义正则表达式。

6. 点击 Add。

   例如，以下条件以用户 ID(uid)属性中带有任何值(.*)的所有用户为目标。

   

步骤

1. 点击 Identity → Automember，然后选择 User group rules 或 Host group rules 来查看对应的自动成员规则。

2. 可选：点击规则，来查看 Inclusive 或 Exclusive 部分中规则的条件。

   

步骤

1. 点击 Identity → Automember，然后选择 User group rules 或 Host group rules 来查看对应的自动成员规则。
2. 选中您要删除的规则旁边的复选框。

3. 单击 Delete。

   
4. 单击 Delete 确认。

步骤

1. 点击 Identity → Automember，然后选择 User group rules 或 Host group rules 来查看对应的自动成员规则。
2. 点击规则，来查看 Inclusive 或 Exclusive 部分中规则的条件。
3. 选中您要删除的条件旁边的复选框。

4. 单击 Delete。

   
5. 单击 Delete 确认。

步骤

1. 点击 Identity → Automember，然后选择 User group rules。

2. 在 Default user group 字段中，选择您要设置为默认用户组的组。

   

步骤

1. 点击 Identity → Automember，然后选择 Host group rules。

2. 在 Default host group 字段中，选择您要设置为默认主机组的组。

   

步骤

1. 在主目录中为您的 Ansible 配置和 playbook 创建目录：

   $ mkdir ~/MyPlaybooks/

2. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks

3. 使用以下内容创建 ~/MyPlaybooks/ansible.cfg 文件：

   [defaults]
   inventory = /home/your_username/MyPlaybooks/inventory
   
   [privilege_escalation]
   become=True

4. 使用以下内容创建 ~/MyPlaybooks/inventory 文件：

   [eu]
   server.idm.example.com
   
   [us]
   replica.idm.example.com
   
   [ipaserver:children]
   eu
   us

   此配置定义了两个主机组，即 eu 和 us，用于这些位置中的主机。此外，此配置定义了 ipaserver 主机组，它包含来自 eu 和 us 组的所有主机。

5. [可选] 创建 SSH 公钥和私钥。要在测试环境中简化访问，请不要在私钥中设置密码：

   $ ssh-keygen

6. 将 SSH 公钥复制到每个受管节点上的 IdM admin 帐户：

   $ ssh-copy-id admin@server.idm.example.com
   $ ssh-copy-id admin@replica.idm.example.com

   输入这些命令时，您必须输入 IdM admin 密码。

步骤

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/automember/ 目录中的 automember-group-present.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-group-present.yml automember-group-present-copy.yml

3. 打开 automember-group-present-copy.yml 文件进行编辑。

4. 通过在 ipaautomember 任务部分中设置以下变量来调整该文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
   • 将 name 变量设为 testing_group。
   • 将 automember_type 变量设为 group。
   • 确保 state 变量设置为 present。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember group present example
     hosts: ipaserver
     become: true
     tasks:
     - name: Ensure group automember rule admins is present
       ipaautomember:
         ipaadmin_password: Secret123
         name: testing_group
         automember_type: group
         state: present

5. 保存这个文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory automember-group-present-copy.yml

步骤

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/automember/ 目录中的 automember-hostgroup-rule-present.yml Ansible playbook 文件，并将它命名为 automember-usergroup-rule-present.yml ：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-hostgroup-rule-present.yml automember-usergroup-rule-present.yml

3. 打开 automember-usergroup-rule-present.yml 文件进行编辑。

4. 通过修改以下参数来调整文件：

   • 重命名 playbook 以便对应于您的用例，例如：自动成员用户组规则成员存在。
   • 重命名任务以便对应于您的用例，例如：确保用户组的自动成员条件存在。

   • 在 ipaautomember 任务部分中设置以下变量：

     • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
     • 将 name 变量设为 testing_group。
     • 将 automember_type 变量设为 group。
     • 确保 state 变量设置为 present。
     • 确保 action 变量设为 member。
     • 将 inclusive key 变量设为 UID。
     • 将 inclusive expression 变量设为 .*

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember user group rule member present
     hosts: ipaserver
     become: true
     tasks:
     - name: Ensure an automember condition for a user group is present
       ipaautomember:
         ipaadmin_password: Secret123
         name: testing_group
         automember_type: group
         state: present
         action: member
         inclusive:
           - key: UID
             expression: .*

5. 保存这个文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory automember-usergroup-rule-present.yml

验证步骤

1. 以 IdM 管理员身份登录。

   $ kinit admin

2. 例如，添加用户：

   $ ipa user-add user101 --first user --last 101
   -----------------------
   Added user "user101"
   -----------------------
     User login: user101
     First name: user
     Last name: 101
     ...
     Member of groups: ipausers, testing_group
     ...

步骤

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/automember/ 目录中的 automember-hostgroup-rule-absent.yml Ansible playbook 文件，并将其命名为 automember-usergroup-rule-absent.yml ：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-hostgroup-rule-absent.yml automember-usergroup-rule-absent.yml

3. 打开 automember-usergroup-rule-absent.yml 文件进行编辑。

4. 通过修改以下参数来调整文件：

   • 重命名 playbook 以对应于您的用例，例如：自动成员用户组规则成员不存在。
   • 重命名任务以对应于您的用例，例如：确保用户组的自动成员条件不存在。

   • 在 ipaautomember 任务部分中设置以下变量：

     • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
     • 将 name 变量设为 testing_group。
     • 将 automember_type 变量设为 group。
     • 确保 state 变量设置为 absent。
     • 确保 action 变量设为 member。
     • 将 inclusive key 变量设为 initials。
     • 将 inclusive expression 变量设为 dp。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember user group rule member absent
     hosts: ipaserver
     become: true
     tasks:
     - name: Ensure an automember condition for a user group is absent
       ipaautomember:
         ipaadmin_password: Secret123
         name: testing_group
         automember_type: group
         state: absent
         action: member
         inclusive:
           - key: initials
             expression: dp

5. 保存这个文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory automember-usergroup-rule-absent.yml

验证步骤

1. 以 IdM 管理员身份登录。

   $ kinit admin

2. 查看自动成员组：

   $ ipa automember-show --type=group testing_group
    Automember Rule: testing_group

步骤

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/automember/ 目录中的 automember-group-absent.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-group-absent.yml automember-group-absent-copy.yml

3. 打开 automember-group-absent-copy.yml 文件进行编辑。

4. 通过在 ipaautomember 任务部分中设置以下变量来调整该文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
   • 将 name 变量设为 testing_group。
   • 将 automember_type 变量设为 group。
   • 确保 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember group absent example
     hosts: ipaserver
     become: true
     tasks:
     - name: Ensure group automember rule admins is absent
       ipaautomember:
         ipaadmin_password: Secret123
         name: testing_group
         automember_type: group
         state: absent

5. 保存这个文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory automember-group-absent.yml

步骤

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/automember/ 目录中的 automember-hostgroup-rule-present.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-hostgroup-rule-present.yml automember-hostgroup-rule-present-copy.yml

3. 打开 automember-hostgroup-rule-present-copy.yml 文件进行编辑。

4. 通过在 ipaautomember 任务部分中设置以下变量来调整该文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
   • 将 name 变量设为 primary_dns_domain_hosts。
   • 将 automember_type 变量设为 hostgroup。
   • 确保 state 变量设置为 present。
   • 确保 action 变量设为 member。
   • 确保 inclusive key 变量设为 fqdn。
   • 将对应的 inclusive expression 变量设为 .*.idm.example.com。
   • 将 exclusive key 变量设为 fqdn。
   • 将对应的 exclusive expression 变量设为 .*.example.org。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember user group rule member present
     hosts: ipaserver
     become: true
     tasks:
     - name: Ensure an automember condition for a user group is present
       ipaautomember:
         ipaadmin_password: Secret123
         name: primary_dns_domain_hosts
         automember_type: hostgroup
         state: present
         action: member
         inclusive:
           - key: fqdn
             expression: .*.idm.example.com
         exclusive:
           - key: fqdn
             expression: .*.example.org

5. 保存这个文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i inventory automember-hostgroup-rule-present-copy.yml

步骤

1. 在 IPA Server 菜单中点击 Role-Based Access Control → Delegations。

2. 点击 Add。

   

3. 在 Add delegation 窗口中执行以下操作：

   1. 命名新的委派规则。
   2. 通过选择复选框来设置权限，以指示用户是否有权查看给定的属性（读），并添加或更改给定的属性（写）。
   3. 在"用户组"下拉菜单中，选择 被授予权限 来查看或编辑成员组中的用户条目的组。
   4. 在 Member user group 下拉菜单中，选择其条目可以被委派组的成员编辑 的组。

   5. 在属性框中，按您要为其授予权限的属性选择复选框。

      
   6. 单击 Add 按钮，以保存新的委派规则。

步骤

1. 在 IPA Server 菜单中点击 Role-Based Access Control → Delegations。

   
2. 点击您要修改的规则。

3. 进行所需的更改：

   • 更改规则的名称。
   • 通过选择复选框来更改授予的权限，这指示用户是否有权查看给定的属性（读），并添加或更改给定的属性（写）。
   • 在"用户组"下拉菜单中，选择 被授予权限 来查看或编辑成员组中的用户条目的组。
   • 在 Member user group 下拉菜单中，选择其条目可以被委派组的成员编辑 的组。

   • 在属性框中，按您要为其授予权限的属性选择复选框。要删除对属性的权限，可取消相关的复选框。

     
   • 单击 Save 按钮来保存更改。

步骤

1. 在 IPA Server 菜单中点击 Role-Based Access Control → Delegations。
2. 选中您要删除的规则旁边的复选框。

3. 单击 Delete。

   
4. 单击 Delete 确认。

步骤

1. 在主目录中为您的 Ansible 配置和 playbook 创建目录：

   $ mkdir ~/MyPlaybooks/

2. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks

3. 使用以下内容创建 ~/MyPlaybooks/ansible.cfg 文件：

   [defaults]
   inventory = /home/<username>/MyPlaybooks/inventory
   
   [privilege_escalation]
   become=True

4. 使用以下内容创建 ~/MyPlaybooks/inventory 文件：

   [eu]
   server.idm.example.com
   
   [us]
   replica.idm.example.com
   
   [ipaserver:children]
   eu
   us

   此配置定义了两个主机组，即 eu 和 us，用于这些位置中的主机。此外，此配置定义了 ipaserver 主机组，它包含来自 eu 和 us 组的所有主机。

步骤

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible-freeipa/playbooks/delegation/ 目录中的 delegation-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-present.yml delegation-present-copy.yml

3. 打开 delegation-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipadelegation 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为新委派规则的名称。
   • 将 permission 变量设置为以逗号分隔的权限列表，以授予：read 和 write。
   • 将 attribute 变量设置为委派的用户组可以管理的属性列表：businesscategory、departmentnumber、employeenumber 和 employeetype。
   • 将 group 变量设置为被授予查看或修改属性访问权限的组名称。
   • 将 membergroup 变量设置为组的名称，其属性可以查看或修改。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage a delegation rule
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure delegation "basic manager attributes" is present
       ipadelegation:
         ipaadmin_password: Secret123
         name: "basic manager attributes"
         permission: read, write
         attribute:
         - businesscategory
         - departmentnumber
         - employeenumber
         - employeetype
         group: managers
         membergroup: employees

5. 保存这个文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory delegation-present-copy.yml

步骤

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks>/

2. 制作位于 /usr/share/doc/ansible-freeipa/playbooks/delegation/ 目录中的 delegation-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-present.yml delegation-absent-copy.yml

3. 打开 delegation-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipadelegation 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为委派规则的名称。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Delegation absent
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure delegation "basic manager attributes" is absent
       ipadelegation:
         ipaadmin_password: Secret123
         name: "basic manager attributes"
         state: absent

5. 保存这个文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory delegation-absent-copy.yml

步骤

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible-freeipa/playbooks/delegation/ 目录中的 delegation-member-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-member-present.yml delegation-member-present-copy.yml

3. 打开 delegation-member-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipadelegation 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为要修改的委派规则的名称。
   • 将 attribute 变量设置为 departmentnumber。
   • 将 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Delegation member present
     hosts: ipaserver
     become: true
   
     tasks:
     - name: Ensure delegation "basic manager attributes" member attribute departmentnumber is present
       ipadelegation:
         ipaadmin_password: Secret123
         name: "basic manager attributes"
         attribute:
         - departmentnumber
         action: member

5. 保存这个文件。

6. 运行指定 playbook 文件和清单文件的 Ansible playbook：

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory delegation-member-present-copy.yml