7.8. Ansible Playbook を使用して追加のパスワードポリシーオプションを IdM グループに適用する

手順

1. Ansible Playbook ファイル manager_pwpolicy_present.yml を作成して、存在させるパスワードポリシーを定義します。この手順を簡素化するには、次の例をコピーして変更します。

   ---
   - name: Tests
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure presence of usercheck and maxrepeat pwpolicy for group managers
       ipapwpolicy:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: managers
         usercheck: True
         maxrepeat: 2
         maxsequence: 3

   Copy to Clipboard Toggle word wrap

2. Playbook を実行します。

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory_/manager_pwpolicy_present.yml

   Copy to Clipboard Toggle word wrap

検証

1. test_user という名前のテストユーザーを追加します。

   $ ipa user-add test_user
   First name: test
   Last name: user
   ----------------------------
   Added user "test_user"
   ----------------------------

   Copy to Clipboard Toggle word wrap

2. テストユーザーを マネージャー グループに追加します。

   1. IdM Web UI で、Identity>Groups>User Groups をクリックします。
   2. managers をクリックします。
   3. Add をクリックします。
   4. Add users into user group 'managers' ページで、test_user のチェックボックスをオンにします。
   5. > 矢印をクリックして、ユーザーを Prospective 列に移動します。
   6. Add をクリックします。

3. テストユーザーのパスワードをリセットします。

   1. Identity>Users に移動します。
   2. test_user をクリックします。
   3. Actions メニューで、Reset Password をクリックします。
   4. ユーザーの一時パスワードを入力します。

4. test_user の Kerberos Ticket-Granting Ticket (TGT) の取得を試みます。

   1. コマンドラインで次のコマンドを入力します。

      $ kinit test_user

      Copy to Clipboard Toggle word wrap
   2. 一時パスワードを入力します。

   3. パスワードを変更する必要があることがシステムから通知されます。test_user のユーザー名を含むパスワードを入力します。

      Password expired. You must change it now.
      Enter new password:
      Enter it again:
      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.

      Copy to Clipboard Toggle word wrap

   4. 入力したパスワードが拒否されたことがシステムから通知されます。連続して 3 文字以上の同一文字を含むパスワードを入力します。

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

      Copy to Clipboard Toggle word wrap

   5. 入力したパスワードが拒否されたことがシステムから通知されます。3 文字を超える単調な文字列を含むパスワードを入力します。たとえば、1234 や fedc などの文字列です。

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

      Copy to Clipboard Toggle word wrap

   6. 入力したパスワードが拒否されたことがシステムから通知されます。マネージャー パスワードポリシーの基準を満たすパスワードを入力します。

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

      Copy to Clipboard Toggle word wrap

5. TGT を取得したことを確認します。これは、有効なパスワードを入力した後にのみ可能です。

   $ klist
   Ticket cache: KCM:0:33945
   Default principal: test_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   07/07/2021 12:44:44  07/08/2021 12:44:44  krbtgt@IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap