35.3. Remplacement des attributs de la vue de confiance par défaut pour un utilisateur AD sur un client IdM avec une vue ID

Procédure

1. Créez une vue d'identification. Par exemple, pour créer une vue ID nommée example_for_host1:

   $ ipa idview-add example_for_host1
   ---------------------------
   Added ID View "example_for_host1"
   ---------------------------
     ID View Name: example_for_host1

2. Ajoutez une dérogation pour l'utilisateur à la vue example_for_host1 ID. Pour remplacer le GID de l'utilisateur :

   • Entrez la commande ipa idoverrideuser-add
   • Ajouter le nom de la vue ID
   • Ajouter le nom d'utilisateur, également appelé l'ancre
   • Ajouter l'option --gidnumber=:

   $ ipa idoverrideuser-add example_for_host1 ad_user@ad.example.com --gidnumber=732001337
   -----------------------------
   Added User ID override "ad_user@ad.example.com"
   -----------------------------
     Anchor to override: ad_user@ad.example.com
     GID: 732001337

3. Appliquer example_for_host1 au client host1.idm.example.com IdM :

   $ ipa idview-apply example_for_host1 --hosts=host1.idm.example.com
   -----------------------------
   Applied ID View "example_for_host1"
   -----------------------------
   hosts: host1.idm.example.com
   ---------------------------------------------
   Number of hosts the ID View was applied to: 1
   ---------------------------------------------

   Note

   La commande ipa idview-apply accepte également l'option --hostgroups. Cette option applique la vue ID aux hôtes qui appartiennent au groupe d'hôtes spécifié, mais n'associe pas la vue ID au groupe d'hôtes lui-même. Au lieu de cela, l'option --hostgroups développe les membres du groupe d'hôtes spécifié et applique l'option --hosts individuellement à chacun d'entre eux.

   Cela signifie que si un hôte est ajouté au groupe d'hôtes dans le futur, la vue ID ne s'applique pas au nouvel hôte.

4. Effacez l'entrée de l'utilisateur ad_user@ad.example.com du cache SSSD sur le client IdM host1.idm.example.com. Cela supprime les données périmées et permet d'appliquer la nouvelle valeur d'annulation.

   [root@host1 ~]# sssctl cache-expire -u ad_user@ad.example.com

Étapes de la vérification

1. SSH à host1 comme ad_user@ad.example.com:

   [root@r8server ~]# ssh ad_user@ad.example.com@host1.idm.example.com

2. Récupérer les informations relatives à l'utilisateur ad_user@ad.example.com pour vérifier que le GID reflète la valeur mise à jour.

   [ad_user@ad.example.com@host1 ~]$ id ad_user@ad.example.com
   uid=702801456(ad_user@ad.example.com) gid=732001337(admins2)
   groups=732001337(admins2),702800513(domain users@ad.example.com)