13.3. Utiliser Ansible pour s'assurer qu'un privilège IdM RBAC n'inclut pas une permission

Procédure

1. Naviguez jusqu'au répertoire ~/MyPlaybooks/ répertoire :

   $ cd ~/MyPlaybooks/

2. Faites une copie du fichier privilege-member-present.yml situé dans le répertoire /usr/share/doc/ansible-freeipa/playbooks/privilege/:

   $ cp /usr/share/doc/ansible-freeipa/playbooks/privilege/privilege-member-absent.yml privilege-member-absent-copy.yml

3. Ouvrez le fichier privilege-member-absent-copy.yml Ansible playbook pour l'éditer.

4. Adaptez le fichier en définissant les variables suivantes dans la section ipaprivilege task :

   • Adaptez le site name de la tâche pour qu'il corresponde à votre cas d'utilisation.
   • Définissez la variable ipaadmin_password avec le mot de passe de l'administrateur IdM.
   • Attribuez à la variable name le nom du privilège.
   • Définissez la liste permission sur les noms des autorisations que vous souhaitez supprimer du privilège.
   • Assurez-vous que la variable action est fixée à member.
   • Assurez-vous que la variable state est fixée à absent.

   Il s'agit du fichier playbook Ansible modifié pour l'exemple actuel :

   ---
   - name: Privilege absent example
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure that the "Request Certificate ignoring CA ACLs" permission is absent from the "Certificate Administrators" privilege
       ipaprivilege:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: Certificate Administrators
         permission:
         - "Request Certificate ignoring CA ACLs"
         action: member
         state: absent

5. Enregistrer le fichier.

6. Exécutez le playbook Ansible. Spécifiez le fichier du livre de jeu, le fichier contenant le mot de passe protégeant le fichier secret.yml et le fichier d'inventaire :

   $ ansible-playbook --vault-password-file=password_file -v -i inventory privilege-member-absent-copy.yml