Chapitre 11. Configuration de l'IdM pour le provisionnement externe des utilisateurs

Procédure

1. Se connecter en tant qu'administrateur IdM :

   kinit admin

2. Créez un utilisateur nommé provisionator avec les privilèges d'ajouter des utilisateurs de scène.

   1. Ajouter le compte utilisateur du provisionneur :

   ipa user-add provisionator --first=provisioning --last=account --password

   1. Accorder à l'utilisateur du provisionneur les privilèges requis.

      1. Créez un rôle personnalisé, System Provisioning, pour gérer l'ajout d'utilisateurs de l'étape :

         $ ipa role-add --desc \N- "Responsable de l'approvisionnement des utilisateurs de l'étape\N" \N- "Provisionnement du système\N"

      2. Ajoutez le privilège Stage User Provisioning au rôle. Ce privilège permet d'ajouter des utilisateurs de scène :

         $ ipa role-add-privilege \N "System Provisioning" --privileges=\N "Stage User Provisioning" $ ipa role-add-privilege \N "System Provisioning" --privileges=\N "Stage User Provisioning"

      3. Ajouter l'utilisateur du provisionneur au rôle :

         $ ipa role-add-member --users=provisionator "System Provisioning"

      4. Vérifier que le provisionneur existe dans IdM :

      $ ipa user-find provisionator --all --raw
      --------------
      1 user matched
      --------------
        dn: uid=provisionator,cn=users,cn=accounts,dc=idm,dc=example,dc=com
        uid: provisionator
        [...]

3. Créez un utilisateur, activator, avec les privilèges nécessaires pour gérer les comptes d'utilisateurs.

   1. Ajouter le compte utilisateur de l'activateur :

      $ ipa user-add activator --first=activation --last=account --password

   2. Accordez à l'utilisateur de l'activateur les privilèges requis en ajoutant l'utilisateur au rôle par défaut User Administrator:

      $ ipa role-add-member --users=activator "User Administrator"

4. Créer un groupe d'utilisateurs pour les comptes d'application :

   ipa group-add application-accounts

5. Mettez à jour la politique de mot de passe pour le groupe. La politique suivante empêche l'expiration du mot de passe et le verrouillage du compte, mais compense les risques potentiels en exigeant des mots de passe complexes :

   $ ipa pwpolicy-add application-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=8 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

6. (Facultatif) Vérifier que la politique de mot de passe existe dans IdM :

   $ ipa pwpolicy-show application-accounts
     Group: application-accounts
     Max lifetime (days): 10000
     Min lifetime (hours): 0
     History size: 0
   [...]

7. Ajoutez les comptes de provisionnement et d'activation au groupe des comptes d'application :

   $ ipa group-add-member application-accounts --users={provisionator,activator}

8. Modifier les mots de passe des comptes utilisateurs :

   $ kpasswd provisionator
   $ kpasswd activator

   La modification des mots de passe est nécessaire car les mots de passe des nouveaux utilisateurs de l'IdM expirent immédiatement.