流程

1. 打开一个终端，再连接到 IdM 服务器。

2. 输入 ipa help topics 来显示帮助所涵盖的主题列表。

   $ ipa help topics

3. 选择其中一个主题并按照以下模式创建一个命令： ipa help [topic_name]。添加在上一步中列出的主题之一，而不是 topic_name 字符串。

   在这个示例中，我们使用以下主题：user

   $ ipa help user

4. 如果 IPA help 的输出太长，且您无法看到整个文本，请使用以下语法：

   $ ipa help user | less

   然后您可以向下滚动，并阅读全部帮助。

流程

1. 打开一个终端，再连接到 IdM 服务器。

2. 输入 ipa help commands 来显示 help 所涵盖的命令列表。

   $ ipa help commands

3. 选择一个命令并根据以下模式创建 help 命令：ipa help <COMMAND>。添加在上一步中列出的其中一个命令，而不是 <COMMAND> 字符串。

   $ ipa help user-add

流程

1. 打开一个终端，再连接到 IdM 服务器。

2. 输入命令来添加新用户：

   $ ipa user-add

   该命令将运行一个脚本，用于提示您提供创建用户帐户所需的基本数据。

3. 在 First name: 字段中，输入新用户的名字，然后按 Enter 键。
4. 在 Last name: 字段中，输入新用户的姓氏，然后按 Enter 键。

5. 在 User login [suggested user name]: 中输入用户名，或者按 Enter 键接受推荐的用户名。

   整个 IdM 数据库的用户名必须是唯一的。如果因为用户名已存在而发生了错误，使用 ipa user-add 命令重复该过程，并使用一个不同的唯一用户名。

流程

1. 打开一个终端，再连接到 IdM 服务器。

2. 输入 ipa user-mod 命令，指定要修改的用户，以及任何选项，如 --password 来添加密码：

   $ ipa user-mod euser --password

   命令将运行脚本，您可以在其中添加新密码。

3. 输入新密码并按 Enter 键。

步骤

1. 打开终端并连接到 IdM 服务器。

2. 添加用户登录、用户名、姓氏以及可选，您也可以添加其电子邮件地址。

   $ ipa user-add user_login --first=first_name --last=last_name --email=email_address

   IdM 支持可通过以下正则表达式描述的用户名：

   [a-zA-Z0-9_.][a-zA-Z0-9_.-]{0,252}[a-zA-Z0-9_.$-]?

   注意

   支持以末尾的美元符号($)结尾的用户名，以启用 Samba 3.x 机器支持。

   如果您添加了包含大写字符的用户名，IdM 会在保存名称时自动将其转换为小写。因此，IdM 总是需要在登录时以小写形式输入用户名。此外，不能添加仅在字母大小写上不同的用户名，比如 user 和 User。

   用户名的默认最大长度为 32 个字符。要更改它，请使用 ipa config-mod --maxusername 命令。例如，要将最大用户名长度增加到 64 个字符：

   $ ipa config-mod --maxusername=64
    Maximum username length: 64
    ...

   ipa user-add 命令包含许多参数。要全部列出它们，请使用 ipa help 命令：

   $ ipa help user-add

   有关 ipa help 命令的详情，请查看 什么是 IPA help 。

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令激活用户帐户：

   $ ipa stageuser-activate user_login
   -------------------------
   Stage user user_login activated
   -------------------------
   ...

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令保留用户帐户：

   $ ipa user-del --preserve user_login
   --------------------
   Deleted user "user_login"
   --------------------

   注意

   尽管输出说用户帐户已删除，但实际上是被保留了。

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令删除用户帐户：

   $ ipa user-del user_login
   --------------------
   Deleted user "user_login"
   --------------------

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令激活用户帐户：

   $ ipa user-undel user_login
   ------------------------------
   Undeleted user account "user_login"
   ------------------------------

   或者，您可以将用户帐户恢复为暂存的用户帐户：

   $ ipa user-stage user_login
   ------------------------------
   Staged user account "user_login"
   ------------------------------

步骤

1. 登录到 IdM Web UI。

2. 进到 Users → Stage Users 选项卡。

   另外，您可以在 Users → Active users 中添加用户帐户，但是您无法将用户组添加到帐户中。

3. 单击 + Add 图标。
4. 在 Add stage user 对话框中，输入新用户的 First name 和 Last name。

5. [可选] 在 User login 字段中，添加一个登录名称。

   如果您将其留空，IdM 服务器将以以下形式创建登录名称：名字的第一个字母和姓氏。整个登录名最多可有 32 个字符。

6. [可选] 在 GID 下拉菜单中，选择应包含该用户的组。
7. [可选] 在 Password 和 Verify password 字段中，输入您的密码并确认，确保它们都匹配。

8. 点击 Add 按钮。

   

步骤

1. 登录到 IdM Web UI。
2. 进到 Users → Stage users 选项卡。
3. 单击您要激活的用户帐户的复选框。

4. 单击 Activate 按钮。

   

5. 在 Confirmation 对话框中，单击 OK。

步骤

1. 登录到 IdM Web UI。
2. 进到 Users → Active users 选项卡。
3. 点击您要禁用的用户帐户的复选框。

4. 单击 Disable 按钮。

   

5. 在 Confirmation 对话框中，单击 OK 按钮。

步骤

1. 登录到 IdM Web UI。
2. 进到 Users → Active users 选项卡。
3. 单击您要启用的用户帐户的复选框。

4. 单击 Enable 按钮。

   

5. 在 Confirmation 对话框中，单击 OK 按钮。

步骤

1. 登录到 IdM Web UI。
2. 进到 Users → Active users 选项卡。
3. 单击您要保留的用户帐户的复选框。

4. 单击 Delete 按钮。

   

5. 在 Remove users 对话框中，将 Delete mode 单选按钮切换到 preserve。

6. 单击 Delete 按钮。

   

步骤

1. 登录到 IdM Web UI。
2. 进到 Users → Preserved users 选项卡。
3. 单击您要恢复的用户帐户的复选框。

4. 单击 Restore 按钮。

   

5. 在 Confirmation 对话框中，单击 OK 按钮。

步骤

1. 登录到 IdM Web UI。

2. 进到 Users → Active users 选项卡。

   或者，您可以在 Users → Stage users 或 Users → Preserved users 删除用户账户。

3. 点 Delete 图标。
4. 在 Remove users 对话框中，将 Delete mode 单选按钮切换到 delete。
5. 单击 Delete 按钮。

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建一个 Ansible playbook 文件，其中包含您要确保的 IdM 中存在的用户数据。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/add-user.yml 文件中的示例。例如，创建名为 idm_user 的用户并添加 Password123 作为用户密码：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create user idm_user
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: idm_user
         first: Alice
         last: Acme
         uid: 1000111
         gid: 10011
         phone: "+555123457"
         email: idm_user@acme.com
         passwordexpiration: "2023-01-19 23:59:59"
         password: "Password123"
         update_password: on_create

   您必须使用以下选项来添加用户：

   • name：登录名称
   • first：名（字符串）
   • last：姓（字符串）

   有关可用用户选项的完整列表，请参阅 /usr/share/doc/ansible-freeipa/README-user.md Markdown 文件。

   注意

   如果您使用 update_password: on_create 选项，Ansible 仅在创建用户时创建用户密码。如果已使用密码创建了用户，Ansible 不会生成新的密码。

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-IdM-user.yml

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建一个 Ansible playbook 文件，其中包含您要在 IdM 中确保存在的用户的数据。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create user idm_users
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users:
         - name: idm_user_1
           first: Alice
           last: Acme
           uid: 10001
           gid: 10011
           phone: "+555123457"
           email: idm_user@acme.com
           passwordexpiration: "2023-01-19 23:59:59"
           password: "Password123"
         - name: idm_user_2
           first: Bob
           last: Acme
           uid: 100011
           gid: 10011
         - name: idm_user_3
           first: Eve
           last: Acme
           uid: 1000111
           gid: 10011

   注意

   如果没有指定 update_password: on_create 选项，Ansible 每次运行 playbook 时都会重新设置用户密码：如果用户自上次运行 playbook 起更改了密码，则 Ansible 重新设置密码。

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-users.yml

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建包含必要任务的 Ansible playbook 文件。使用您要确保存在的用户数据引用 JSON 文件。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/ensure-users-present-ymlfile.yml 文件中的示例：

   ---
   - name: Ensure users' presence
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Include users.json
       include_vars:
         file: users.json
   
     - name: Users present
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users: "{{ users }}"

3. 创建 users.json 文件，并将 IdM 用户添加到其中。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/users.json 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   {
     "users": [
      {
       "name": "idm_user_1",
       "first": "Alice",
       "last": "Acme",
       "password": "Password123"
      },
      {
       "name": "idm_user_2",
       "first": "Bob",
       "last": "Acme"
      },
      {
       "name": "idm_user_3",
       "first": "Eve",
       "last": "Acme"
      }
     ]
   }

4. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-users-present-jsonfile.yml

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建 Ansible playbook 文件，使其包含没有 IdM 的用户。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要删除用户 idm_user_1、idm_user_2 和 idm_user_3 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Delete users idm_user_1, idm_user_2, idm_user_3
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users:
         - name: idm_user_1
         - name: idm_user_2
         - name: idm_user_3
         state: absent

3. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/delete-users.yml

1. 以管理员身份登录到 ipaserver：

   $ ssh administrator@server.idm.example.com
   Password:
   [admin@server /]$

2. 请求有关 idm_user_1 的信息：

   $ ipa user-show idm_user_1
   ipa: ERROR: idm_user_1: user not found

   IdM 中不存在名为 idm_user_1 的用户。

流程

1. 在右上角，点击 User name → Change password。

   图 5.1. 重置密码

   
2. 输入当前的密码以及新密码。

流程

1. 选择 Identity → Users。
2. 单击要编辑的用户的名称。

3. 单击 Actions → Reset password。

   图 5.2. 重置密码

   

4. 输入新密码，然后单击 Reset Password。

   图 5.3. 确认新密码

   

流程

1. 使用 pwdhash 命令生成新的密码哈希。例如：

   # pwdhash -D /etc/dirsrv/slapd-IDM-EXAMPLE-COM password
   {PBKDF2_SHA256}AAAgABU0bKhyjY53NcxY33ueoPjOUWtl4iyYN5uW...

   通过指定目录服务器配置的路径，您可以自动使用 nsslapd-rootpwstoragescheme 属性中设置的密码存储模式来加密新密码。

2. 在拓扑中的每个 IdM 服务器上执行以下步骤：

   1. 停止服务器上安装的所有 IdM 服务：

      # ipactl stop

   2. 编辑 /etc/dirsrv/IDM-EXAMPLE-COM/dse.ldif 文件，并将 nsslapd-rootpw 属性设为 pwdhash 命令所生成的值：

      nsslapd-rootpw: {PBKDF2_SHA256}AAAgABU0bKhyjY53NcxY33ueoPjOUWtl4iyYN5uW...

   3. 启动服务器上安装的所有 IdM 服务：

   # ipactl start

流程

1. 在域中的每个身份管理(IdM)服务器上进行以下更改：

   1. 输入 ldapmodify 命令来修改 LDAP 条目。指定 IdM 服务器的名称和 389 端口，然后按回车：

      $ ldapmodify -x -D "cn=Directory Manager" -W -h server.idm.example.com -p 389
      Enter LDAP Password:

   2. 输入 Directory Manager 密码。

   3. 输入 ipa_pwd_extop 密码同步条目的可区别的名称，然后按回车

      dn: cn=ipa_pwd_extop,cn=plugins,cn=config

   4. 指定更改的 modify 类型，并按回车：

      changetype: modify

   5. 指定您希望 LDAP 执行哪种类型的修改，以及指定对哪个属性的修改。按回车：

      add: passSyncManagersDNs

   6. 在 passSyncManagersDNs 属性中指定管理用户帐户。属性是多值的。例如，要授予 admin 用户目录管理者重置密码的权力：

      passSyncManagersDNs: \
      uid=admin,cn=users,cn=accounts,dc=example,dc=com

   7. 按回车两次以停止编辑条目。

流程

1. 显示用户帐户的状态，来查看失败的登录次数：

   $ ipa user-status example_user
   -----------------------
   Account disabled: False
   -----------------------
     Server: idm.example.com
     Failed logins: 8
     Last successful authentication: N/A
     Last failed authentication: 20220229080317Z
     Time now: 2022-02-29T08:04:46Z
   ----------------------------
   Number of entries returned 1
   ----------------------------

2. 显示特定用户允许的登录尝试次数：

   1. 以 IdM 管理员身份登录到 IdM Web UI。
   2. 打开 Identity → Users → Active users 选项卡。

   

   1. 点击用户名以打开用户设置。
   2. 在 Password policy 部分中，找到 Max failures 项。
3. 将 ipa user-status 命令的输出中显示的失败的登录数与 IdM Web UI 中显示的 Max failures 数进行比较。如果失败的登录次数等于最大允许登录尝试次数，则用户帐户被锁住。

流程

1. 显示当前启用的密码插件功能：

   # ipa config-show | grep "Password plugin features"
     Password plugin features: AllowNThash, KDC:Disable Last Success

   输出显示 KDC:Disable Last Success 插件已启用。插件隐藏了最后一次成功的 Kerberos 身份验证，以防在 ipa user-status 输出中可见。

2. 将每个功能的 --ipaconfigstring=feature 参数添加到当前启用的 ipa config-mod 命令中，KDC:Disable Last Success 除外:

   # ipa config-mod --ipaconfigstring='AllowNThash'

   这个命令只启用 AllowNThash 插件。要启用多个功能，请为每个功能单独指定 --ipaconfigstring=feature 参数。

3. 重启 IdM:

   # ipactl restart

步骤

1. 创建一个清单文件，如 inventory.file，并在 [ipaserver] 部分中定义 IdM 服务器的 FQDN ：

   [ipaserver]
   server.idm.example.com

2. 创建 Ansible playbook 文件，以定义您要确保的密码策略。要简化此步骤，请复制并修改 /usr/share/doc/ansible-freeipa/playbooks/pwpolicy/pwpolicy_present.yml 文件中的示例：

   ---
   - name: Tests
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure presence of pwpolicy for group ops
       ipapwpolicy:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: ops
         minlife: 7
         maxlife: 49
         history: 5
         priority: 1
         lockouttime: 300
         minlength: 8
         minclasses: 4
         maxfail: 3
         failinterval: 5

   有关单个变量含义的详情，请参阅密码策略属性。

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory_/new_pwpolicy_present.yml

步骤

1. 将用户名检查应用到 managers 组中用户建议的所有新密码：

   $ ipa pwpolicy-mod --usercheck=True managers

   注意

   如果没有指定密码策略的名称，则会修改默认的 global_policy。

2. 在 manager 密码策略中，将相同连续字符的最大数量设置为 2：

   $ ipa pwpolicy-mod --maxrepeat=2 managers

   现在不接受包含 2 个以上连续相同的字符的密码。例如，eR873mUi111YJQ 组合是不可接受的，因为它包含三个连续的 1。

验证

1. 添加名为 test_user 的测试用户：

   $ ipa user-add test_user
   First name: test
   Last name: user
   ----------------------------
   Added user "test_user"
   ----------------------------

2. 将 test 用户添加到 managers 组：

   1. 在 IdM Web UI 中，点 Identity → Groups → User Groups。
   2. 点 managers。
   3. 点 Add。
   4. 在 Add users to user group 'managers' 页面中，检查 test_user。
   5. 点击 > 箭头将用户移到 Prospect ive 列中。
   6. 点 Add。

3. 重置测试用户的密码：

   1. 进入 Identity → Users。
   2. 单击 test_user。
   3. 在 Actions 菜单中，单击 Reset Password。
   4. 输入用户的临时密码。

4. 在命令行中，尝试为 test_user 获取 Kerberos 票据授予票据 (TGT)：

   $ kinit test_user

   1. 输入临时密码。

   2. 系统会通知您必须更改密码。输入包含用户名 test_user 的密码：

      Password expired. You must change it now.
      Enter new password:
      Enter it again:
      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.

      注意

      Kerberos 没有精细的错误密码策略报告，在某些情况下，没有提供拒绝密码的明确原因。

   3. 系统通知您输入的密码被拒绝。输入包含连续三个或多个相同字符的密码：

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

   4. 系统通知您输入的密码被拒绝。输入满足 managers 密码策略条件的密码：

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

5. 查看获取的 TGT:

   $ klist
   Ticket cache: KCM:0:33945
   Default principal: test_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   07/07/2021 12:44:44  07/08/2021 12:44:44  krbtgt@IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

步骤

1. 创建 Ansible playbook 文件 manager_pwpolicy_present.yml，其定义您要确保其存在的密码策略。要简化此步骤，请复制并修改以下示例：

   ---
   - name: Tests
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure presence of usercheck and maxrepeat pwpolicy for group managers
       ipapwpolicy:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: managers
         usercheck: True
         maxrepeat: 2
         maxsequence: 3

2. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory_/manager_pwpolicy_present.yml

验证

1. 添加名为 test_user 的测试用户：

   $ ipa user-add test_user
   First name: test
   Last name: user
   ----------------------------
   Added user "test_user"
   ----------------------------

2. 将 test 用户添加到 managers 组：

   1. 在 IdM Web UI 中，点 Identity → Groups → User Groups。
   2. 点 managers。
   3. 点 Add。
   4. 在 Add users to user group 'managers' 页面中，检查 test_user。
   5. 点击 > 箭头将用户移到 Prospect ive 列中。
   6. 点 Add。

3. 重置测试用户的密码：

   1. 进入 Identity → Users。
   2. 单击 test_user。
   3. 在 Actions 菜单中，单击 Reset Password。
   4. 输入用户的临时密码。

4. 在命令行中，尝试为 test_user 获取 Kerberos 票据授予票据 (TGT)：

   $ kinit test_user

   1. 输入临时密码。

   2. 系统会通知您必须更改密码。输入包含用户名 test_user 的密码：

      Password expired. You must change it now.
      Enter new password:
      Enter it again:
      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.

      注意

      Kerberos 没有精细的错误密码策略报告，在某些情况下，没有提供拒绝密码的明确原因。

   3. 系统通知您输入的密码被拒绝。输入包含连续三个或多个相同字符的密码：

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

   4. 系统通知您输入的密码被拒绝。输入包含超过 3 个字符的单调字符序列的密码。此类序列的示例包括 1234 和 fedc ：

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

   5. 系统通知您输入的密码被拒绝。输入满足 managers 密码策略条件的密码：

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

5. 验证是否您已获得 TGT，这只有在输入有效密码后才能获得：

   $ klist
   Ticket cache: KCM:0:33945
   Default principal: test_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   07/07/2021 12:44:44  07/08/2021 12:44:44  krbtgt@IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

步骤

1. 更新 epn.conf 配置文件，来为 EPN 工具设置选项，以通知用户密码即将过期。

   # vi /etc/ipa/epn.conf

2. 根据需要更新 notify_ttls。默认是通知用户其密码将在 28、14、7、3 和 1 天后过期。

   notify_ttls = 28, 14, 7, 3, 1

3. 配置 SMTP 服务器和端口：

   smtp_server = localhost
   smtp_port = 25

4. 指定发送电子邮件过期通知的电子邮件地址。任何未成功发送的电子邮件都将返回到此地址。

   mail_from =admin-email@example.com

5. 保存 /etc/ipa/epn.conf 文件。

6. 以 dry-run 模式运行 EPN 工具，来生成一个用户列表，如果您不使用 --dry-run 选项来运行工具，则密码过期电子邮件通知将发送给这些用户。

   ipa-epn --dry-run
   [
       {
        "uid": "user5",
        "cn": "user 5",
        "krbpasswordexpiration": "2020-04-17 15:51:53",
        "mail": "['user5@ipa.test']"
       }
   ]
   [
       {
        "uid": "user6",
        "cn": "user 6",
        "krbpasswordexpiration": "2020-12-17 15:51:53",
        "mail": "['user5@ipa.test']"
        }
   ]
   The IPA-EPN command was successful

   注意

   如果返回的用户列表非常大，并且运行工具时没有 --dry-run 选项，这可能会导致您的电子邮件服务器出现问题。

7. 不使用 --dry-run 选项运行 EPN 工具，来将到期电子邮件发送给当您在 dry-run 模式下运行 EPN 工具时返回的所有用户的列表：

   ipa-epn
   [
     {
        "uid": "user5",
        "cn": "user 5",
        "krbpasswordexpiration": "2020-10-01 15:51:53",
        "mail": "['user5@ipa.test']"
     }
   ]
   [
     {
       "uid": "user6",
       "cn": "user 6",
       "krbpasswordexpiration": "2020-12-17 15:51:53",
       "mail": "['user5@ipa.test']"
     }
   ]
   The IPA-EPN command was successful

8. 您可以将 EPN 添加到任何监控系统，并使用 --from-nbdays 和 --to-nbdays 选项调用它，以确定在特定时间范围内将有多少个用户的密码即将过期：

   # ipa-epn --from-nbdays 8 --to-nbdays 12

   注意

   如果您使用 --from-nbdays 和 --to-nbdays 选项调用 EPN 工具，它将自动在 dry-run 模式下执行。

步骤

1. 打开 EPN 消息模板：

   # vi /etc/ipa/epn/expire_msg.template

2. 根据需要更新模板文本。

   Hi {{ fullname }},
   
   Your password will expire on {{ expiration }}.
   
   Please change it as soon as possible.

   您可以在模板中使用以下变量：

   • 用户 ID：uid
   • 全名：fullname
   • 名字：first
   • 姓氏：last
   • 密码过期日期：过期
3. 保存消息模板文件。

步骤

1. 获取 Kerberos 票据作为 IdM admin。

   [root@idmclient ~]# kinit admin

2. 在 sudo 命令的 IdM 数据库中添加 /usr/sbin/reboot 命令：

   [root@idmclient ~]# ipa sudocmd-add /usr/sbin/reboot
   -------------------------------------
   Added Sudo Command "/usr/sbin/reboot"
   -------------------------------------
     Sudo Command: /usr/sbin/reboot

3. 创建名为 idm_user_reboot 的 sudo 规则：

   [root@idmclient ~]# ipa sudorule-add idm_user_reboot
   ---------------------------------
   Added Sudo Rule "idm_user_reboot"
   ---------------------------------
     Rule name: idm_user_reboot
     Enabled: TRUE

4. 在 idm_user_reboot 规则中添加 /usr/sbin/reboot 命令：

   [root@idmclient ~]# ipa sudorule-add-allow-command idm_user_reboot --sudocmds '/usr/sbin/reboot'
     Rule name: idm_user_reboot
     Enabled: TRUE
     Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

5. 将 idm_user_reboot 规则应用到 IdM idmclient 主机：

   [root@idmclient ~]# ipa sudorule-add-host idm_user_reboot --hosts idmclient.idm.example.com
   Rule name: idm_user_reboot
   Enabled: TRUE
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

6. 在 idm_user_reboot 规则中添加 idm_user 帐户：

   [root@idmclient ~]# ipa sudorule-add-user idm_user_reboot --users idm_user
   Rule name: idm_user_reboot
   Enabled: TRUE
   Users: idm_user
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

7. （可选）定义 idm_user_reboot 规则的有效性：

   1. 要定义 sudo 规则开始有效的时间，请使用带有 --setattr sudonotbefore=DATE 选项的 ipa sudorule-mod sudo_rule_name 命令。DATE 值必须遵循 yyyymmddHHMMSSZ 格式，以秒为单位。例如，要将 idm_user_reboot 规则的有效性的开始时间设置为 2025 年 12 月 31 日 12:34:00，请输入：

      [root@idmclient ~]# ipa sudorule-mod idm_user_reboot --setattr sudonotbefore=20251231123400Z

   2. 要定义 sudo 规则不再有效的时间，请使用 --setattr sudonotafter=DATE 选项。例如：要将 idm_user_reboot 规则有效期结束的时间设置为 2026 年 12 月 31 日 12:34:00 12:34:00，请输入：

      [root@idmclient ~]# ipa sudorule-mod idm_user_reboot --setattr sudonotafter=20261231123400Z

验证步骤

1. 以 idm_user 帐户身份登录 idmclient 主机。

2. 显示允许 idm_user 帐户执行的 sudo 规则。

   [idm_user@idmclient ~]$ sudo -l
   Matching Defaults entries for idm_user on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User idm_user may run the following commands on idmclient:
       (root) /usr/sbin/reboot

3. 使用 sudo 重新启动计算机。在提示时输入 idm_user 的密码：

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

1. 将 AD 用户或组添加到 non-POSIX 外部 IdM 组中。
2. 将 non-POSIX 外部 IdM 组添加到 IdM POSIX 组。

流程

1. 创建 ad_users 组，它包括带有 administrator@ad-domain 成员的 ad_users_external 组：

   1. 可选 ：创建或选择 AD 域中的对应组，用来管理 IdM 域中的 AD 用户。您可以使用多个 AD 组，并将它们添加到 IdM 端的不同组中。

   2. 创建 ad_users_external 组，并通过添加 --external 选项来指示它包含 IdM 域外部的成员：

      [root@ipaserver ~]# ipa group-add --desc='AD users external map' ad_users_external --external
      -------------------------------
      Added group "ad_users_external"
      -------------------------------
        Group name: ad_users_external
        Description: AD users external map

      注意

      确保此处指定的外部组是带有 global 或 universal 组范围的 AD 安全组，如 Active Directory 安全组文档中所述。例如，Domain users 或 Domain admins AD 安全组不能使用，因为组的范围是 domain local。

   3. 创建 ad_users 组：

      [root@ipaserver ~]# ipa group-add --desc='AD users' ad_users
      ----------------------
      Added group "ad_users"
      ----------------------
        Group name: ad_users
        Description: AD users
        GID: 129600004

   4. 将 administrator@ad-domain.com AD 用户作为外部成员添加到 ad_users_external 中：

      [root@ipaserver ~]# ipa group-add-member ad_users_external --external "administrator@ad-domain.com"
       [member user]:
       [member group]:
        Group name: ad_users_external
        Description: AD users external map
        External member: S-1-5-21-3655990580-1375374850-1633065477-513
      -------------------------
      Number of members added 1
      -------------------------

      AD 用户必须通过完全限定名称来标识，如 DOMAIN\user_name 或 user_name@DOMAIN。AD ID 然后会被映射到用户的 AD SID。这同样适用于添加 AD 组。

   5. 将 ad_users_external 添加到 ad_users 作为成员：

      [root@ipaserver ~]# ipa group-add-member ad_users --groups ad_users_external
        Group name: ad_users
        Description: AD users
        GID: 129600004
        Member groups: ad_users_external
      -------------------------
      Number of members added 1
      -------------------------

2. 授予 ad_users 成员在 idmclient 主机上运行 /usr/sbin/reboot 的权限 ：

   1. 在 sudo 命令的 IdM 数据库中添加 /usr/sbin/reboot 命令：

      [root@idmclient ~]# ipa sudocmd-add /usr/sbin/reboot
      -------------------------------------
      Added Sudo Command "/usr/sbin/reboot"
      -------------------------------------
        Sudo Command: /usr/sbin/reboot

   2. 创建名为 ad_users_reboot 的 sudo 规则：

      [root@idmclient ~]# ipa sudorule-add ad_users_reboot
      ---------------------------------
      Added Sudo Rule "ad_users_reboot"
      ---------------------------------
        Rule name: ad_users_reboot
        Enabled: True

   3. 在 ad_users_reboot 规则中添加 /usr/sbin/reboot 命令：

      [root@idmclient ~]# ipa sudorule-add-allow-command ad_users_reboot --sudocmds '/usr/sbin/reboot'
        Rule name: ad_users_reboot
        Enabled: True
        Sudo Allow Commands: /usr/sbin/reboot
      -------------------------
      Number of members added 1
      -------------------------

   4. 将 ad_users_reboot 规则应用到 IdM idmclient 主机：

      [root@idmclient ~]# ipa sudorule-add-host ad_users_reboot --hosts idmclient.idm.example.com
      Rule name: ad_users_reboot
      Enabled: True
      Hosts: idmclient.idm.example.com
      Sudo Allow Commands: /usr/sbin/reboot
      -------------------------
      Number of members added 1
      -------------------------

   5. 将 ad_users 组添加到 ad_users_reboot 规则中：

      [root@idmclient ~]# ipa sudorule-add-user ad_users_reboot --groups ad_users
      Rule name: ad_users_reboot
      Enabled: TRUE
      User Groups: ad_users
      Hosts: idmclient.idm.example.com
      Sudo Allow Commands: /usr/sbin/reboot
      -------------------------
      Number of members added 1
      -------------------------

验证步骤

1. 以 administrator@ad-domain.com 身份登录 idmclient 主机，这是 ad_users 组的间接成员：

   $ ssh administrator@ad-domain.com@ipaclient
   Password:

2. 另外，还可显示 administrator@ad-domain.com 允许执行的 sudo 命令：

   [administrator@ad-domain.com@idmclient ~]$ sudo -l
   Matching Defaults entries for administrator@ad-domain.com on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User administrator@ad-domain.com may run the following commands on idmclient:
       (root) /usr/sbin/reboot

3. 使用 sudo 重新启动计算机。提示时输入 administrator@ad-domain.com 密码：

   [administrator@ad-domain.com@idmclient ~]$ sudo /usr/sbin/reboot
   [sudo] password for administrator@ad-domain.com:

步骤

1. 在 sudo 命令的 IdM 数据库中添加 /usr/sbin/reboot 命令：

   1. 导航到 Policy → Sudo → Sudo Commands。
   2. 单击右上角的 Add，以打开 Add sudo 命令对话框。

   3. 输入您希望用户能够使用 sudo 执行的命令：/usr/sbin/reboot。

      图 8.1. 添加 IdM sudo 命令

      
   4. 点 Add。

2. 使用新的 sudo 命令条目创建一个 sudo 规则来允许 idm_user 重启 idmclient 机器：

   1. 导航到 Policy → Sudo → Sudo rules。
   2. 单击右上角的 Add，以打开 Add sudo 规则对话框。
   3. 输入 sudo 规则的名称： idm_user_reboot。
   4. 点 Add and Edit。

   5. 指定用户：

      1. 在 Who 部分中，选中指定的用户和组单选按钮。
      2. 在 User category the rule applies to 子小节中，点 Add 打开 Add users into sudo rule "idm_user_reboot" 对话框。
      3. 在 Available 栏的 Add users into sudo rule "idm_user_reboot" 对话框中，选择 idm_user，并把它移到 Prospective 栏。
      4. 点击 Add。

   6. 指定主机：

      1. 在 Access this host 部分中，选中指定的 Hosts and Groups 单选按钮。
      2. 在 Host category this rule applies to 子小节中，点 Add 打开 Add hosts into sudo rule "idm_user_reboot" 对话框。
      3. 在 Available 列中的 Add hosts to sudo rule "idm_user_reboot" 对话框中，选中 idmclient.idm.example.com 复选框，并将它移到 Prospective 列。
      4. 点击 Add。

   7. 指定命令：

      1. 在 Run Commands 一节的 Command category the rule applies to 子小节中，选择 Specified Commands and Groups 单选按钮。
      2. 在 Sudo Allow Commands 子节中，单击 Add 以打开 Add allow sudo commands into sudo rule "idm_user_reboot"对话框。
      3. 在 Available 列中的 Add allow sudo commands into sudo rule "idm_user_reboot" 对话框中，选中 /usr/sbin/reboot 复选框，并将它移到 Prospective 列。
      4. 点 Add 返回到 idm_sudo_reboot 页。

      图 8.2. 添加 IdM sudo 规则

      
   8. 单击左上角的 Save。

验证步骤

1. 以 idm_user 用户身份登录 idmclient。

2. 使用 sudo 重新启动计算机。在提示时输入 idm_user 的密码：

   $ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

步骤

1. 获取 Kerberos 票据作为 IdM admin。

   [root@idmclient ~]# kinit admin

2. 将 /opt/third-party-app/bin/report 命令添加到 sudo 命令的 IdM 数据库中：

   [root@idmclient ~]# ipa sudocmd-add /opt/third-party-app/bin/report
   ----------------------------------------------------
   Added Sudo Command "/opt/third-party-app/bin/report"
   ----------------------------------------------------
     Sudo Command: /opt/third-party-app/bin/report

3. 创建一个名为 run_third-party-app_report 的 sudo 规则：

   [root@idmclient ~]# ipa sudorule-add run_third-party-app_report
   --------------------------------------------
   Added Sudo Rule "run_third-party-app_report"
   --------------------------------------------
     Rule name: run_third-party-app_report
     Enabled: TRUE

4. 使用 --users=<user> 选项来为 sudorule-add-runasuser 命令指定 RunAs 用户：

   [root@idmclient ~]# ipa sudorule-add-runasuser run_third-party-app_report --users=thirdpartyapp
     Rule name: run_third-party-app_report
     Enabled: TRUE
     RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

   用户（或用 --groups=* 选项指定的组）可以是来自 IdM 外部，如本地服务帐户或活动目录用户。不要为组名称添加 % 前缀。

5. 将 /opt/third-party-app/bin/report 命令添加到 run_third-party-app_report 规则中：

   [root@idmclient ~]# ipa sudorule-add-allow-command run_third-party-app_report --sudocmds '/opt/third-party-app/bin/report'
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

6. 将 run_third- party-app_report 规则应用到 IdM idmclient 主机：

   [root@idmclient ~]# ipa sudorule-add-host run_third-party-app_report --hosts idmclient.idm.example.com
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

7. 将 idm_user 帐户添加到 run_third- party-app_report 规则中：

   [root@idmclient ~]# ipa sudorule-add-user run_third-party-app_report --users idm_user
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Users: idm_user
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1

验证步骤

1. 以 idm_user 帐户身份登录 idmclient 主机。

2. 测试新的 sudo 规则：

   1. 显示允许 idm_user 帐户执行的 sudo 规则。

      [idm_user@idmclient ~]$ sudo -l
      Matching Defaults entries for idm_user@idm.example.com on idmclient:
          !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
          env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
          env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
          env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
          env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
          env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
          secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
      
      User idm_user@idm.example.com may run the following commands on idmclient:
          (thirdpartyapp) /opt/third-party-app/bin/report

   2. 作为 thirdpartyapp 服务帐户，运行 report 命令。

      [idm_user@idmclient ~]$ sudo -u thirdpartyapp /opt/third-party-app/bin/report
      [sudo] password for idm_user@idm.example.com:
      Executing report...
      Report successful.

步骤

1. 将 /opt/third-party-app/bin/report 命令添加到 sudo 命令的 IdM 数据库中：

   1. 导航到 Policy → Sudo → Sudo Commands。
   2. 单击右上角的 Add，以打开 Add sudo 命令对话框。

   3. 输入命令：/opt/third-party-app/bin/report。

      
   4. 点 Add。

2. 使用新的 sudo 命令条目来创建新的 sudo 规则：

   1. 导航到 Policy → Sudo → Sudo rules。
   2. 单击右上角的 Add，以打开 Add sudo 规则对话框。

   3. 输入 sudo 规则的名称：run_third-party-app_report。

      
   4. 点 Add and Edit。

   5. 指定用户：

      1. 在 Who 部分中，选中指定的用户和组单选按钮。
      2. 在 User category the rule applies to 子部分中，单击 Add 来打开 将用户添加到 sudo 规则 "run_third-party-app_report" 对话框。

      3. 在 Available 栏的 Add users into sudo rule "run_third-party-app_report" 对话框中，选择 idm_user，并把它移到 Prospective 栏。

         
      4. 点 Add。

   6. 指定主机：

      1. 在 Access this host 部分中，选中指定的 Hosts and Groups 单选按钮。
      2. 在 Host category this rule applies to 子部分中，单击Add 来打开 将用户添加到 sudo 规则 "run_third-party-app_report" 对话框。

      3. 在 Available 栏的 Add hosts to sudo rule "run_third- party-app_report" 对话框中，选中 idmclient.idm.example.com 复选框，并将它移到 Prospective 列。

         
      4. 点 Add。

   7. 指定命令：

      1. 在 Run Commands 一节的 Command category the rule applies to 子小节中，选择 Specified Commands and Groups 单选按钮。
      2. 在 Sudo Allow Commands 子部分中，单击 Add 来打开 将允许 sudo 命令添加到 sudo 规则 "run_third-party-app_report" 对话框。

      3. 在 Available 栏的 Add allow sudo commands into sudo rule "run_third-party-app_report" 对话框中，选中 /opt/third-party-app/bin/report 并将其移到 Prospective 栏。

         
      4. 单击 Add 以返回到 run_third-party-app_report 页。

   8. 指定 RunAs 用户：

      1. 在 As Whom 部分中，选中 Specified Users and Groups 单选按钮。
      2. 在 RunAs Users 子部分中，单击 Add 以将 Add RunAs 用户打开 sudo 规则 "run_third-party-app_report" 对话框。

      3. 在 Add RunAs users in sudo rule "run_third-party-app_report" 对话框中，在 External 框中输入 thirdpartyapp 服务帐户，并将它移到 Prospective 列中。

         
      4. 单击 Add 以返回到 run_third-party-app_report 页。
   9. 单击左上角的 Save。

验证步骤

1. 以 idm_user 帐户身份登录 idmclient 主机。

2. 测试新的 sudo 规则：

   1. 显示允许 idm_user 帐户执行的 sudo 规则。

      [idm_user@idmclient ~]$ sudo -l
      Matching Defaults entries for idm_user@idm.example.com on idmclient:
          !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
          env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
          env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
          env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
          env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
          env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
          secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
      
      User idm_user@idm.example.com may run the following commands on idmclient:
          (thirdpartyapp) /opt/third-party-app/bin/report

   2. 作为 thirdpartyapp 服务帐户，运行 report 命令。

      [idm_user@idmclient ~]$ sudo -u thirdpartyapp /opt/third-party-app/bin/report
      [sudo] password for idm_user@idm.example.com:
      Executing report...
      Report successful.

步骤

1. 打开 /etc/sssd/sssd.conf 配置文件：

2. 将以下条目添加到 [domain/<domain_name>] 部分中。

   [domain/<domain_name>]
   pam_gssapi_services = sudo, sudo-i

3. 保存并关闭 /etc/sssd/sssd.conf 文件。

4. 重启 SSSD 服务以载入配置更改。

   [root@idmclient ~]# systemctl restart sssd

5. 如果您正在运行 RHEL 9.2 或更高版本：

   1. [可选] 确定您是否选择了 sssd authselect 配置文件：

      # authselect current
      Profile ID: sssd

      输出显示选择了 sssd authselect 配置文件。

   2. 如果选择了 sssd authselect 配置文件，请启用 GSSAPI 身份验证：

      # authselect enable-feature with-gssapi

   3. 如果没有选择 sssd authselect 配置文件，请选择它并启用 GSSAPI 身份验证：

      # authselect select sssd with-gssapi

6. 如果您正在运行 RHEL 9.1 或更早版本：

   1. 打开 /etc/pam.d/sudo PAM 配置文件。

   2. 添加下列条目，来作为 /etc/pam.d/sudo 文件中 auth 部分的第一行。

      #%PAM-1.0
      auth sufficient pam_sss_gss.so
      auth       include      system-auth
      account    include      system-auth
      password   include      system-auth
      session    include      system-auth

   3. 保存并关闭 /etc/pam.d/sudo 文件。

验证步骤

1. 以 idm_user 帐户的身份登录主机。

   [root@idm-client ~]# ssh -l idm_user@idm.example.com localhost
   idm_user@idm.example.com's password:

2. 验证您作为 idm_user 帐户有一个票据授予票据。

   [idmuser@idmclient ~]$ klist
   Ticket cache: KCM:1366201107
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   01/08/2021 09:11:48  01/08/2021 19:11:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 01/15/2021 09:11:44

3. （可选） 如果您没有 idm_user 帐户的 Kerberos 凭证，请删除您当前的 Kerberos 凭证，并请求正确的凭证。

   [idm_user@idmclient ~]$ kdestroy -A
   
   [idm_user@idmclient ~]$ kinit idm_user@IDM.EXAMPLE.COM
   Password for idm_user@idm.example.com:

4. 使用 sudo 而不指定密码来重新启动机器。

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot

步骤

1. 打开 /etc/sssd/sssd.conf 配置文件：

2. 将以下条目添加到 [domain/<domain_name>] 部分中。

   [domain/<domain_name>]
   pam_gssapi_services = sudo, sudo-i
   pam_gssapi_indicators_map = sudo:pkinit, sudo-i:pkinit

3. 保存并关闭 /etc/sssd/sssd.conf 文件。

4. 重启 SSSD 服务以载入配置更改。

   [root@idmclient ~]# systemctl restart sssd

5. 打开 /etc/pam.d/sudo PAM 配置文件。

6. 添加下列条目，来作为 /etc/pam.d/sudo 文件中 auth 部分的第一行。

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      system-auth
   account    include      system-auth
   password   include      system-auth
   session    include      system-auth

7. 保存并关闭 /etc/pam.d/sudo 文件。
8. 打开 /etc/pam.d/sudo-i PAM 配置文件。

9. 添加下列条目，来作为 /etc/pam.d/sudo-i 文件中 auth 部分的第一行。

   #%PAM-1.0
   auth sufficient pam_sss_gss.so
   auth       include      sudo
   account    include      sudo
   password   include      sudo
   session    optional     pam_keyinit.so force revoke
   session    include      sudo

10. 保存并关闭 /etc/pam.d/sudo-i 文件。

验证步骤

1. 以 idm_user 帐户身份登录到主机，并使用智能卡进行身份验证。

   [root@idmclient ~]# ssh -l idm_user@idm.example.com localhost
   PIN for smart_card

2. 验证您是否有一个智能卡用户的票据授予票据。

   [idm_user@idmclient ~]$ klist
   Ticket cache: KEYRING:persistent:1358900015:krb_cache_TObtNMd
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   02/15/2021 16:29:48  02/16/2021 02:29:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 02/22/2021 16:29:44

3. 显示允许 idm_user 帐户执行的 sudo 规则。

   [idm_user@idmclient ~]$ sudo -l
   Matching Defaults entries for idmuser on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User idm_user may run the following commands on idmclient:
       (root) /usr/sbin/reboot

4. 使用 sudo 而不指定密码来重新启动机器。

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot

步骤

1. 创建一个清单文件，如 inventory.file，并在其中定义 ipaservers ：

   [ipaservers]
   server.idm.example.com

2. 添加一个或多个 sudo 命令：

   1. 创建一个 ensure-reboot-sudocmd-is-present.yml Ansible playbook，以确保在 sudo 命令的 IdM 数据库中存在 /usr/sbin/reboot 命令。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/sudocmd/ensure-sudocmd-is-present.yml 文件中的示例：

      ---
      - name: Playbook to manage sudo command
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        # Ensure sudo command is present
        - ipasudocmd:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: /usr/sbin/reboot
            state: present

   2. 运行 playbook：

      $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-reboot-sudocmd-is-present.yml

3. 创建引用命令的 sudo 规则：

   1. 创建一个 ensure-sudorule-for-idmuser-on-idmclient-is-present.yml Ansible playbook，其使用 sudo 命令条目来确保存在 sudo 规则。sudo 规则允许 idm_user 重新启动 idmclient 机器。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/sudorule/ensure-sudorule-is-present.yml 文件中的示例：

      ---
      - name: Tests
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        # Ensure a sudorule is present granting idm_user the permission to run /usr/sbin/reboot on idmclient
        - ipasudorule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: idm_user_reboot
            description: A test sudo rule.
            allow_sudocmd: /usr/sbin/reboot
            host: idmclient.idm.example.com
            user: idm_user
            state: present

   2. 运行 playbook：

      $ ansible-playbook -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-sudorule-for-idmuser-on-idmclient-is-present.yml

1. 以 idm_user 用户身份登录到 idmclient。

2. 使用 sudo 重新启动计算机。在提示时输入 idm_user 的密码：

   $ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

流程

1. 在命令行中，在 ldapmodify 命令后输入 LDAP Data Interchange Format (LDIF) 语句。

   例 9.1. 更改 testuser 的电话号码

   # ldapmodify -Y GSSAPI -H ldap://server.example.com
   dn: uid=testuser,cn=users,cn=accounts,dc=example,dc=com
   changetype: modify
   replace: telephoneNumber
   telephonenumber: 88888888

   请注意，您需要使用 -Y 选项获取 Kerberos ticket。

2. 按 Ctlr+D 退出交互模式。

3. 或者，在 ldapmodify 命令后提供 LDIF 文件：

   例 9.2. ldapmodify 命令从 LDIF 文件中读取修改数据

   # ldapmodify -Y GSSAPI -H ldap://server.example.com -f ~/example.ldif

步骤

1. 以具有角色的 IdM 用户身份登录，来保留用户：

   $ kinit admin

2. 输入 ldapmodify 命令，并指定通用安全服务API(GSSAPI)作为用于身份验证的简单身份验证和安全层(SASL)机制：

   # ldapmodify -Y GSSAPI
   SASL/GSSAPI authentication started
   SASL username: admin@IDM.EXAMPLE.COM
   SASL SSF: 256
   SASL data security layer installed.

3. 输入您要保留的用户的 dn：

   dn: uid=user1,cn=users,cn=accounts,dc=idm,dc=example,dc=com

4. 输入 modrdn 作为您要执行的更改的类型：

   changetype: modrdn

5. 为用户指定 newrdn ：

   newrdn: uid=user1

6. 表示您要保留用户：

   deleteoldrdn: 0

7. 指定 新的高级 DN:

   newsuperior: cn=deleted users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com

   保存用户会将条目移到目录信息树(DIT)中的新位置。因此，您必须将新父条目的 DN 指定为新的高级 DN。

8. 再次按 Enter 键确认输入结束：

   [Enter]
   
   modifying rdn of entry "uid=user1,cn=users,cn=accounts,dc=idm,dc=example,dc=com"

9. 使用 Ctrl + C 退出连接。

步骤

1. 以 IdM 管理员身份登录：

   $ kinit admin

2. 创建名为 provisionator 的用户，其具有用于添加 stage 用户的特权。

   1. 添加 provisionator 用户帐户：

   $ ipa user-add provisionator --first=provisioning --last=account --password

   1. 为 provisionator 用户授予所需的特权。

      1. 创建一个自定义角色 System Provisioning ，来管理添加 stage 用户：

         $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

      2. 将 Stage User Provisioning 特权添加到该角色。这个特权提供了添加 stage 用户的能力：

         $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

      3. 将 provisionator 用户添加到角色中：

         $ ipa role-add-member --users=provisionator "System Provisioning"

      4. 验证 provisionator 在 IdM 中是否存在：

      $ ipa user-find provisionator --all --raw
      --------------
      1 user matched
      --------------
        dn: uid=provisionator,cn=users,cn=accounts,dc=idm,dc=example,dc=com
        uid: provisionator
        [...]

3. 创建用户 activator，其具有管理用户帐户的特权。

   1. 添加 activator 用户帐户：

      $ ipa user-add activator --first=activation --last=account --password

   2. 通过将用户添加到默认的 User Administrator 角色来授予 activator 用户所需的特权：

      $ ipa role-add-member --users=activator "User Administrator"

4. 为应用程序帐户创建用户组：

   $ ipa group-add application-accounts

5. 更新组的密码策略。以下策略可防止帐户的密码过期和锁住，但通过要求复杂的密码来弥补潜在的风险：

   $ ipa pwpolicy-add application-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=8 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

6. （可选）验证密码策略是否在 IdM 中存在：

   $ ipa pwpolicy-show application-accounts
     Group: application-accounts
     Max lifetime (days): 10000
     Min lifetime (hours): 0
     History size: 0
   [...]

7. 将调配和激活帐户添加到应用程序帐户的组中：

   $ ipa group-add-member application-accounts --users={provisionator,activator}

8. 更改用户帐户的密码：

   $ kpasswd provisionator
   $ kpasswd activator

   更改密码是必需的，因为新的 IdM 用户密码会立即过期。

步骤

1. 为激活帐户生成 keytab 文件：

   # ipa-getkeytab -s server.idm.example.com -p "activator" -k /etc/krb5.ipa-activation.keytab

   如果您要在多个 IdM 服务器上启用激活过程，请仅在一个服务器上生成 keytab 文件。然后，将 keytab 文件复制到其他服务器上。

2. 创建一个包含以下内容的 /usr/local/sbin/ipa-activate-all 脚本来激活所有用户：

   #!/bin/bash
   
   kinit -k -i activator
   
   ipa stageuser-find --all --raw | grep "  uid:" | cut -d ":" -f 2 | while read uid; do ipa stageuser-activate ${uid}; done

3. 编辑 ipa-activate-all 脚本的权限和所有权来使其可执行：

   # chmod 755 /usr/local/sbin/ipa-activate-all
   # chown root:root /usr/local/sbin/ipa-activate-all

4. 创建一个 systemd 单元文件 /etc/systemd/system/ipa-activate-all.service，内容如下：

   [Unit]
   Description=Scan IdM every minute for any stage users that must be activated
   
   [Service]
   Environment=KRB5_CLIENT_KTNAME=/etc/krb5.ipa-activation.keytab
   Environment=KRB5CCNAME=FILE:/tmp/krb5cc_ipa-activate-all
   ExecStart=/usr/local/sbin/ipa-activate-all

5. 创建一个 systemd 计时器 /etc/systemd/system/ipa-activate-all.timer，内容如下：

   [Unit]
   Description=Scan IdM every minute for any stage users that must be activated
   
   [Timer]
   OnBootSec=15min
   OnUnitActiveSec=1min
   
   [Install]
   WantedBy=multi-user.target

6. 重新载入新配置：

   # systemctl daemon-reload

7. 启用 ipa-activate-all.timer:

   # systemctl enable ipa-activate-all.timer

8. 启动 ipa-activate-all.timer:

   # systemctl start ipa-activate-all.timer

9. （可选）验证 ipa-activate-all.timer 守护进程是否正在运行：

   # systemctl status ipa-activate-all.timer
   ● ipa-activate-all.timer - Scan IdM every minute for any stage users that must be activated
      Loaded: loaded (/etc/systemd/system/ipa-activate-all.timer; enabled; vendor preset: disabled)
      Active: active (waiting) since Wed 2020-06-10 16:34:55 CEST; 15s ago
     Trigger: Wed 2020-06-10 16:35:55 CEST; 44s left
   
   Jun 10 16:34:55 server.idm.example.com systemd[1]: Started Scan IdM every minute for any stage users that must be activated.

步骤

1. 在外部服务器上，创建一个包含有关新用户信息的 LDIF 文件：

   dn: uid=stageidmuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com
   changetype: add
   objectClass: top
   objectClass: inetorgperson
   uid: stageidmuser
   sn: surname
   givenName: first_name
   cn: full_name

2. 将 LDIF 文件从外部服务器传到 IdM 服务器：

   $ scp add-stageidmuser.ldif provisionator@server.idm.example.com:/provisionator/
   Password:
   add-stageidmuser.ldif                                                                                          100%  364   217.6KB/s   00:00

3. 使用 SSH 协议，以 provisionator 身份连接到 IdM 服务器：

   $ ssh provisionator@server.idm.example.com
   Password:
   [provisionator@server ~]$

4. 在 IdM 服务器上，获取 provisionator 帐户的 Kerberos 票据授予票(TGT)：

   [provisionator@server ~]$ kinit provisionator

5. 输入 ldapadd 命令，以及 -f 选项和 LDIF 文件的名称。指定 IdM 服务器的名称和端口号：

   ~]$ ldapadd -h server.idm.example.com -p 389 -f  add-stageidmuser.ldif
   SASL/GSSAPI authentication started
   SASL username: provisionator@IDM.EXAMPLE.COM
   SASL SSF: 256
   SASL data security layer installed.
   adding the entry "uid=stageidmuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com"

步骤

1. 使用您的 IdM 身份和凭证，通过 SSH 协议连接到 IdM 服务器：

   $ ssh provisionator@server.idm.example.com
   Password:
   [provisionator@server ~]$

2. 获取 provisionator 帐户的 TGT，这是具有添加新 stage 用户角色的 IdM 用户：

   $ kinit provisionator

3. 输入 ldapmodify 命令，并将通用安全服务 API(GSSAPI)指定为用于身份验证的简单身份验证和安全层(SASL)机制。指定 IdM 服务器的名称和端口：

   # ldapmodify -h server.idm.example.com -p 389 -Y GSSAPI
   SASL/GSSAPI authentication started
   SASL username: provisionator@IDM.EXAMPLE.COM
   SASL SSF: 56
   SASL data security layer installed.

4. 输入您要添加的用户的 dn ：

   dn: uid=stageuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com

5. 输入 add 作为您要执行的更改的类型：

   changetype: add

6. 指定允许正确处理用户生命周期所需的 LDAP 对象类类别：

   objectClass: top
   objectClass: inetorgperson

   您可以指定其他对象类。

7. 输入用户的 uid ：

   uid: stageuser

8. 输入用户的 cn:

   cn: Babs Jensen

9. 输入用户的姓氏：

   sn: Jensen

10. 再次按 Enter 键确认输入结束：

    [Enter]
    
    adding new entry "uid=stageuser,cn=staged users,cn=accounts,cn=provisioning,dc=idm,dc=example,dc=com"

11. 使用 Ctrl + C 退出连接。

1. Kerberos 客户端通过作为 Kerberos 主体进行身份验证来向 KDC 识别自己。例如，IdM 用户执行 kinit username ，并提供其密码。
2. KDC 会检查数据库中的主体，验证客户端，并评估 Kerberos 票据策略 来确定是否授予请求。
3. KDC 根据适当的票据策略，签发一个具有生命周期和 验证指标 的客户端票据授予票(TGT)。
4. 使用 TGT 时，客户端从 KDC 请求 服务票据，以便与目标主机上的 Kerberos 服务通信。
5. KDC 检查客户端的 TGT 是否仍然有效，并根据票据策略评估服务票据请求。
6. KDC 向客户端发出 服务票据。
7. 通过服务票据，客户端可以在目标主机上启动与服务的 加密通信。

步骤

1. 修改全局票据策略：

   [root@server ~]# ipa krbtpolicy-mod --maxlife=$((8*60*60)) --maxrenew=$((24*60*60))
     Max life: 28800
     Max renew: 86400

   在本例中，最长生命周期设置为 8 小时（8 * 60 分钟 * 60 秒），最长续订期限设置为一天（24 * 60 分钟 * 60 秒）。

2. 可选：将全局 Kerberos 票据策略重置为默认安装值：

   [root@server ~]# ipa krbtpolicy-reset
     Max life: 86400
     Max renew: 604800

步骤

1. 例如，将 IdM admin 用户的最长票据生命周期设置为两天，将最长续订期限设置为 2 周：

   [root@server ~]# ipa krbtpolicy-mod admin --maxlife=172800 --maxrenew=1209600
     Max life: 172800
     Max renew: 1209600

2. 可选：为用户重置票据策略：

   [root@server ~]# ipa krbtpolicy-reset admin

步骤

1. 例如，要允许 IdM admin 用户续订两天的 Kerberos 票据（如果是使用一次性密码身份验证获取的），请设置 --otp-maxrenew 选项：

   [root@server ~]# ipa krbtpolicy-mod admin --otp-maxrenew=$((2*24*60*60))
     OTP max renew: 172800

2. 可选：为用户重置票据策略：

   [root@server ~]# ipa krbtpolicy-reset username

流程

1. 检查服务器上是否启用了 PKINIT：

   # kinit admin
   
   Password for admin@IDM.EXAMPLE.COM:
   # ipa pkinit-status --server=server.idm.example.com
   1 server matched
   ----------------
   Server name: server.idm.example.com
   PKINIT status:enabled
   ----------------------------
   Number of entries returned 1
   ----------------------------

   如果 PKINIT 被禁用了，您将看到以下输出：

   # ipa pkinit-status --server server.idm.example.com
   -----------------
   0 servers matched
   -----------------
   ----------------------------
   Number of entries returned 0
   ----------------------------

   如果省略了 --server <server_fqdn> 参数，您可以使用命令来查找启用了 PKINIT 的所有服务器。

2. 如果您使用没有 CA 的 IdM：

   1. 在 IdM 服务器上，安装签名了 Kerberos 密钥分发中心(KDC)证书的 CA 证书：

      # ipa-cacert-manage install -t CT,C,C ca.pem

   2. 要更新所有 IPA 主机，请在所有副本和客户端上重复 ipa-certupdate 命令：

      # ipa-certupdate

   3. 使用 ipa-cacert-manage list 命令检查是否已添加了 CA 证书。例如：

      # ipa-cacert-manage list
      CN=CA,O=Example Organization
      The ipa-cacert-manage command was successful

   4. 使用 ipa-server-certinstall 工具安装外部 KDC 证书。KDC 证书必须满足以下条件：

      • 它使用通用名称 CN=fully_qualified_domain_name,certificate_subject_base 颁发。
      • 它包括 Kerberos 主体 krbtgt/REALM_NAME@REALM_NAME。

      • 它包含 KDC 身份验证的对象标识符(OID)：1.3.6.1.5.2.3.5。

        # ipa-server-certinstall --kdc kdc.pem kdc.key
        
        # systemctl restart krb5kdc.service

   5. 查看 PKINIT 状态：

      # ipa pkinit-status
        Server name: server1.example.com
        PKINIT status: enabled
        [...output truncated...]
        Server name: server2.example.com
        PKINIT status: disabled
        [...output truncated...]

3. 如果您使用带有 CA 证书的 IdM ，请启用 PKINIT，如下所示：

   # ipa-pkinit-manage enable
     Configuring Kerberos KDC (krb5kdc)
     [1/1]: installing X509 Certificate for PKINIT
     Done configuring Kerberos KDC (krb5kdc).
     The ipa-pkinit-manage command was successful

   如果您使用 IdM CA，该命令请求来自 CA 的 PKINIT KDC 证书。

流程

1. 显示您要验证的 keytab 中的主体的 KVNO。在以下示例中，/etc/named.keytab 文件具有作为 KVNO 为 2 的 DNS/server1.idm.example.com@EXAMPLE.COM 主体的密钥。

   [root@server1 ~]# klist -ekt /etc/named.keytab
   Keytab name: FILE:/etc/named.keytab
   KVNO Timestamp           Principal
   ---- ------------------- ------------------------------------------------------
      2 11/26/2021 13:51:11 DNS/server1.idm.example.com@EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 11/26/2021 13:51:11 DNS/server1.idm.example.com@EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      2 11/26/2021 13:51:11 DNS/server1.idm.example.com@EXAMPLE.COM (camellia128-cts-cmac)
      2 11/26/2021 13:51:11 DNS/server1.idm.example.com@EXAMPLE.COM (camellia256-cts-cmac)

2. 显示 IdM 数据库中存储的主体的 KVNO。在本例中，IdM 数据库中密钥的 KVNO 与 keytab 中的 KVNO 不匹配。

   [root@server1 ~]# kvno DNS/server1.idm.example.com@EXAMPLE.COM
   DNS/server1.idm.example.com@EXAMPLE.COM: kvno = 3

3. 作为 IdM admin 帐户进行身份验证。

   [root@server1 ~]# kinit admin
   Password for admin@IDM.EXAMPLE.COM:

4. 为主体检索更新的 Kerberos 密钥，并将其存储在其 keytab 中。以 root 用户身份执行此步骤，以便您可以修改 /etc/named.keytab 文件，它的所有者为 named 用户。

   [root@server1 ~]# ipa-getkeytab -s server1.idm.example.com -p DNS/server1.idm.example.com -k /etc/named.keytab

验证

1. 在 keytab 中显示主体的更新 KVNO。

   [root@server1 ~]# klist -ekt /etc/named.keytab
   Keytab name: FILE:/etc/named.keytab
   KVNO Timestamp           Principal
   ---- ------------------- ------------------------------------------------------
      4 08/17/2022 14:42:11 DNS/server1.idm.example.com@EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      4 08/17/2022 14:42:11 DNS/server1.idm.example.com@EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      4 08/17/2022 14:42:11 DNS/server1.idm.example.com@EXAMPLE.COM (camellia128-cts-cmac)
      4 08/17/2022 14:42:11 DNS/server1.idm.example.com@EXAMPLE.COM (camellia256-cts-cmac)

2. 显示 IdM 数据库中存储的主体的 KVNO，并确保它与 keytab 中的 KVNO 匹配。

   [root@server1 ~]# kvno DNS/server1.idm.example.com@EXAMPLE.COM
   DNS/server1.idm.example.com@EXAMPLE.COM: kvno = 4

流程

1. 在 USB 端口中插入 passkey 设备。

2. 为 IdM 用户注册 passkey：

   # ipa user-add-passkey user01 --register

   按照应用程序提示：

   1. 输入 passkey 设备的 PIN。
   2. 接触设备以验证您的身份。如果您使用 biometric 设备，请确保使用与注册该设备相同的 finger。

验证

1. 使用您配置为使用 passkey 身份验证的用户名登录到系统。系统会提示您插入 passkey 设备：

   Insert your passkey device, then press ENTER.

2. 将 passkey 设备插入到 USB 端口中，并在提示时输入您的 PIN：

   Enter PIN:
   Creating home directory for user01@example.com.

3. 确认已发布 Kerberos 票据：

   $ klist
   Default principal: user01@IPA.EXAMPLE.COM

流程

1. 打开 /etc/krb5.conf 文件进行编辑。

2. 在 [realms] 部分中，对 kdc、admin_server 和 kpasswd_server 选项输入 KKDCP 的 URL：

   [realms]
   EXAMPLE.COM = {
     kdc = https://kdc.example.com/KdcProxy
     admin_server = https://kdc.example.com/KdcProxy
     kpasswd_server = https://kdc.example.com/KdcProxy
     default_domain = example.com
   }

   要实现冗余，您可以多次添加参数 kdc、admin_server 和 kpasswd_server 来指示不同的 KKDCP 服务器。

3. 重启 sssd 服务以使更改生效：

   ~]# systemctl restart sssd

流程

1. 从目录中删除 ipaConfigString=kdcProxyEnabled 属性和值对：

   # ipa-ldap-updater /usr/share/ipa/kdcproxy-disable.uldif
   Update complete
   The ipa-ldap-updater command was successful

2. 重启 httpd 服务：

   # systemctl restart httpd.service

流程

1. 将 ipaConfigString=kdcProxyEnabled 属性和值对添加到目录中：

   # ipa-ldap-updater /usr/share/ipa/kdcproxy-enable.uldif
   Update complete
   The ipa-ldap-updater command was successful

2. 重启 httpd 服务：

   # systemctl restart httpd.service

流程

1. 将 /etc/ipa/kdcproxy/kdcproxy.conf 文件的 [global] 部分中的 use_dns 参数设为 false。

   [global]
   use_dns = false

2. 将代理域信息放在 /etc/ipa/kdcproxy/kdcproxy.conf 文件中。例如，对于具有代理的 [AD.EXAMPLE.COM] 域，请按如下所示列出域配置参数：

   [AD.EXAMPLE.COM]
   kerberos = kerberos+tcp://1.2.3.4:88 kerberos+tcp://5.6.7.8:88
   kpasswd = kpasswd+tcp://1.2.3.4:464 kpasswd+tcp://5.6.7.8:464

   重要

   域配置参数必须列出由空格分隔的多个服务器，而不是像 /etc/krb5.conf 和 kdc.conf 那样，其中某些选项可以被多次指定。

3. 重启身份管理(IdM)服务：

   # ipactl restart

流程

1. 在 /etc/ipa/kdcproxy/kdcproxy.conf 文件中的 [global] 部分，将 use_dns 参数设为 true。

   [global]
   configs = mit
   use_dns = true

   configs 参数允许您加载其他配置模块。在这种情况下，配置是从 MIT libkrb5 库中读取的。

2. 可选 ：在您不想使用 DNS 服务记录的情况，请在 /etc/krb5.conf 文件的 [realms] 部分中添加明确的 AD 服务器。如果带有代理的域是 AD.EXAMPLE.COM，请添加：

   [realms]
   AD.EXAMPLE.COM = {
       kdc = ad-server.ad.example.com
       kpasswd_server = ad-server.ad.example.com
   }

3. 重启身份管理(IdM)服务：

   # ipactl restart

流程

1. 可选 ：使用 ipa selfservice-find 命令显示现有的自助服务规则。
2. 可选 ：使用 ipa selfservice-show 命令显示您要修改的自助服务规则的详情。
3. 使用 ipa selfservice-mod 命令来编辑自助服务规则。

步骤

1. 在 IPA Server 选项卡中，打开 Role-Based Access Control 子菜单，然后选择 Self Service Permissions。

2. 点自助服务访问规则列表右上角的 Add ：

   

3. 此时将打开 Add Self Service Permission 窗口。在 Self-service name 字段中输入新自助服务规则的名称。允许空格：

   

4. 选中您希望用户能够编辑的属性旁边的复选框。

5. 可选 ：如果您要提供访问权限的属性没有列出，您可以为它添加一个列表：

   1. 点击 Add 按钮。
   2. 在以下 Add Custom Attribute 窗口的 Attribute 文本字段中输入属性名称。
   3. 单击 OK 按钮来添加该属性
   4. 验证是否已选中新属性
6. 单击表单底部的 Add 按钮，来保存新的自助服务规则。
   或者，您可以通过单击 Add and Edit 按钮来保存并继续编辑自助服务规则，或者通过单击 Add and Add another 按钮来保存并添加其他规则。

步骤

1. 在 IPA Server 选项卡中，打开 Role-Based Access Control 子菜单，然后选择 Self Service Permissions。

2. 单击您要修改的自助服务规则的名称。

   

3. 编辑页面只允许您编辑您要添加或删除自助服务规则的属性列表。选择或取消选择合适的复选框。
4. 单击 Save 按钮，将更改保存到自助服务规则。

步骤

1. 在 IPA Server 选项卡中，打开 Role-Based Access Control 子菜单，然后选择 Self Service Permissions。

2. 选中您要删除的规则旁边的复选框，然后单击列表右侧的 Delete 按钮。

   

3. 此时会打开一个对话框，单击 Delete 进行确认。

步骤

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/selfservice/ 目录中的 selfservice-present.yml 文件副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-present.yml selfservice-present-copy.yml

3. 打开 selfservice-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为新自助服务规则的名称。
   • 将 权限 变量设置为以逗号分隔的权限列表，以授予：read 和 write。
   • 将 attribute 变量设置为用户可以自己管理的属性列表：givenname、displayname、title 和 initials。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service present
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is present
       ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         permission: read, write
         attribute:
         - givenname
         - displayname
         - title
         - initials

5. 保存这个文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-present-copy.yml

步骤

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/selfservice/ 目录中的 selfservice-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-absent.yml selfservice-absent-copy.yml

3. 打开 selfservice-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为自助服务规则的名称。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service absent
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is absent
       ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         state: absent

5. 保存这个文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-absent-copy.yml

步骤

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/selfservice/ 目录中的 selfservice-member-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-member-present.yml selfservice-member-present-copy.yml

3. 打开 selfservice-member-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为要修改的自助服务规则的名称。
   • 将 attribute 变量设置为 surname。
   • 将 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service member present
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attribute surname is present
       ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         attribute:
         - surname
         action: member

5. 保存这个文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-member-present-copy.yml

步骤

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/selfservice/ 目录中的 selfservice-member-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-member-absent.yml selfservice-member-absent-copy.yml

3. 打开 selfservice-member-absent-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要修改的自助服务规则的名称。
   • 将 attribute 变量设置为 givenname 和 top name。
   • 将 action 变量设置为 member。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service member absent
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attributes givenname and surname are absent
       ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         attribute:
         - givenname
         - surname
         action: member
         state: absent

5. 保存这个文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-member-absent-copy.yml