25.5. Utilisation d'un playbook Ansible pour permettre aux utilisateurs, groupes, hôtes ou groupes d'hôtes IdM de créer un keytab d'un service

Procédure

1. Créer un fichier d'inventaire, par exemple inventory.file:

   $ touch inventory.file

2. Ouvrez le site inventory.file et définissez le serveur IdM que vous souhaitez configurer dans la section [ipaserver]. Par exemple, pour demander à Ansible de configurer server.idm.example.com, entrez :

   [ipaserver]
   server.idm.example.com

3. Faites une copie du fichier /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_create_keytab-present.yml Ansible playbook. Par exemple :

   $ cp /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_create_keytab-present.yml /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_create_keytab-present-copy.yml

4. Ouvrez le fichier /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_create_keytab-present-copy.yml Ansible playbook pour l'éditer.

5. Adaptez le fichier en modifiant les éléments suivants :

   • Le mot de passe de l'administrateur IdM spécifié par la variable ipaadmin_password.
   • Le nom du client IdM sur lequel le service HTTP est exécuté. Dans l'exemple actuel, il s'agit de HTTP/client.idm.example.com
   • Les noms des utilisateurs IdM répertoriés dans la section allow_create_keytab_user:. Dans l'exemple actuel, il s'agit de user01.
   • Les noms des groupes d'utilisateurs IdM qui sont répertoriés dans la section allow_create_keytab_group:.
   • Les noms des hôtes IdM répertoriés dans la section allow_create_keytab_host:.
   • Les noms des groupes d'hôtes IdM répertoriés dans la section allow_create_keytab_hostgroup:.

   • Le nom de la tâche spécifiée par la variable name dans la section tasks.

     Après avoir été adapté à l'exemple présent, le fichier copié se présente comme suit :

   ---
   - name: Service member allow_create_keytab present
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Service HTTP/client.idm.example.com members allow_create_keytab present for user01
       ipaservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: HTTP/client.idm.example.com
         allow_create_keytab_user:
         - user01
         action: member

6. Enregistrer le fichier.

7. Exécutez le playbook Ansible. Spécifiez le fichier du livre de jeu, le fichier contenant le mot de passe protégeant le fichier secret.yml et le fichier d'inventaire :

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_create_keytab-present-copy.yml

Verification steps

1. SSH vers un serveur IdM en tant qu'utilisateur IdM ayant le privilège de créer un keytab pour le service HTTP en question :

   $ ssh user01@server.idm.example.com
   Password:

2. Utilisez la commande ipa-getkeytab pour générer le nouveau keytab pour le service HTTP :

   $ ipa-getkeytab -s server.idm.example.com -p HTTP/client.idm.example.com -k /etc/httpd/conf/krb5.keytab

   L'option -s spécifie un serveur de centre de distribution de clés (KDC) pour générer le fichier de clés.

   L'option -p spécifie le principal dont vous voulez créer le keytab.

   L'option -k indique le fichier keytab auquel ajouter la nouvelle clé. Le fichier sera créé s'il n'existe pas.