Capítulo 25. Configuración de IdM para el aprovisionamiento externo de usuarios

Procedimiento

1. Inicie sesión como administrador de IdM:

   $ kinit admin

   Copy to Clipboard Toggle word wrap

2. Cree un usuario llamado provisionator con privilegios para añadir usuarios de escenario.

   1. Añade la cuenta de usuario del provisionador:

   $ ipa user-add provisionator --first=provisioning --last=account --password

   Copy to Clipboard Toggle word wrap

   1. Conceder al usuario provisionador los privilegios necesarios.

      1. Cree un rol personalizado, System Provisioning, para gestionar la adición de usuarios del escenario:

         $ ipa role-add --desc \ "Responsable de los usuarios de la etapa de aprovisionamiento" \ "Aprovisionamiento del sistema"

         Copy to Clipboard Toggle word wrap

      2. Añada el privilegio Stage User Provisioning al rol. Este privilegio proporciona la capacidad de añadir usuarios de escenario:

         $ ipa role-add-privilege \ "System Provisioning" --privileges="Stage User Provisioning"

         Copy to Clipboard Toggle word wrap

      3. Añade el usuario provisionador al rol:

         $ ipa role-add-member --users=provisionator \ "System Provisioning"

         Copy to Clipboard Toggle word wrap
      4. Verifique que el provisionador existe en IdM:

      $ ipa user-find provisionator --all --raw
      --------------
      1 user matched
      --------------
        dn: uid=provisionator,cn=users,cn=accounts,dc=idm,dc=example,dc=com
        uid: provisionator
        [...]

      Copy to Clipboard Toggle word wrap

3. Cree un usuario, activator, con los privilegios para gestionar las cuentas de usuario.

   1. Añade la cuenta de usuario del activador:

      $ ipa user-add activator --first=activation --last=account --password

      Copy to Clipboard Toggle word wrap

   2. Conceda al usuario activador los privilegios necesarios añadiendo el usuario a la función predeterminada User Administrator:

      $ ipa role-add-member --users=activator \ "User Administrator"

      Copy to Clipboard Toggle word wrap

4. Cree un grupo de usuarios para las cuentas de la aplicación:

   $ ipa group-add application-accounts

   Copy to Clipboard Toggle word wrap

5. Actualice la política de contraseñas para el grupo. La siguiente política evita la caducidad de la contraseña y el bloqueo de la cuenta, pero compensa los posibles riesgos exigiendo contraseñas complejas:

   $ ipa pwpolicy-add application-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=8 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

   Copy to Clipboard Toggle word wrap

6. (Opcional) Compruebe que la política de contraseñas existe en IdM:

   $ ipa pwpolicy-show application-accounts
     Group: application-accounts
     Max lifetime (days): 10000
     Min lifetime (hours): 0
     History size: 0
   [...]

   Copy to Clipboard Toggle word wrap

7. Añade las cuentas de aprovisionamiento y activación al grupo de cuentas de aplicación:

   $ ipa group-add-member application-accounts --users={provisionator,activator}

   Copy to Clipboard Toggle word wrap

8. Cambie las contraseñas de las cuentas de usuario:

   $ kpasswd provisionator
   $ kpasswd activator

   Copy to Clipboard Toggle word wrap

   El cambio de las contraseñas es necesario porque las contraseñas de los nuevos usuarios de IdM caducan inmediatamente.