25.6. Utilisation d'un playbook Ansible pour permettre aux utilisateurs, groupes, hôtes ou groupes d'hôtes IdM de récupérer un keytab d'un service

Procédure

1. Créer un fichier d'inventaire, par exemple inventory.file:

   touche inventory.file

2. Ouvrez le site inventory.file et définissez le serveur IdM que vous souhaitez configurer dans la section [ipaserver]. Par exemple, pour demander à Ansible de configurer server.idm.example.com, entrez :

   [ipaserver]
   server.idm.example.com

3. Faites une copie du fichier /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present.yml Ansible playbook. Par exemple :

   $ cp /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present.yml /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present-copy.yml

4. Ouvrez le fichier copié, /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present-copy.yml, pour le modifier :

5. Adapter le dossier :

   • Définissez la variable ipaadmin_password avec votre mot de passe d'administrateur IdM.
   • Définissez la variable name de la tâche ipaservice comme étant le principal du service HTTP. Dans l'exemple actuel, il s'agit de HTTP/client.idm.example.com
   • Spécifiez les noms des utilisateurs IdM dans la section allow_retrieve_keytab_group:. Dans l'exemple actuel, il s'agit de user01.
   • Spécifiez les noms des groupes d'utilisateurs IdM dans la section allow_retrieve_keytab_group:.
   • Spécifiez les noms des hôtes IdM dans la section allow_retrieve_keytab_group:.
   • Spécifiez les noms des groupes d'hôtes IdM dans la section allow_retrieve_keytab_group:.

   • Spécifiez le nom de la tâche en utilisant la variable name dans la section tasks.

     Après avoir été adapté à l'exemple présent, le fichier copié se présente comme suit :

   ---
   - name: Service member allow_retrieve_keytab present
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Service HTTP/client.idm.example.com members allow_retrieve_keytab present for user01
       ipaservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: HTTP/client.idm.example.com
         allow_retrieve_keytab_user:
         - user01
         action: member

6. Enregistrer le fichier.

7. Exécutez le playbook Ansible. Spécifiez le fichier du livre de jeu, le fichier contenant le mot de passe protégeant le fichier secret.yml et le fichier d'inventaire :

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present-copy.yml

Verification steps

1. SSH à un serveur IdM en tant qu'utilisateur IdM avec le privilège de récupérer un keytab pour le service HTTP :

   $ ssh user01@server.idm.example.com
   Password:

2. Utilisez la commande ipa-getkeytab avec l'option -r pour récupérer le fichier de clés :

   $ ipa-getkeytab -r -s server.idm.example.com -p HTTP/client.idm.example.com -k /etc/httpd/conf/krb5.keytab

   L'option -s spécifie un serveur Key Distribution Center (KDC) à partir duquel vous souhaitez récupérer le keytab.

   L'option -p spécifie le principal dont vous souhaitez récupérer le keytab.

   L'option -k indique le fichier keytab auquel vous souhaitez ajouter la clé récupérée. Le fichier sera créé s'il n'existe pas.