8.2. IdM でシステムアカウントを設定してユーザーパスワードを変更する

手順

1. 特権認証情報を取得します。

   $ kinit admin

2. 以下のいずれかの方法を使用して、システムアカウントを作成します。

   • システムアカウントの LDAP 認証に使用するランダムなパスワードを生成するには、ipa sysaccount-add コマンドで --random オプションを使用します。

     $ ipa sysaccount-add 'my-app' --random

   • 任意のパスワードをプロンプトに表示するには、ipa sysaccount-add で --password オプションを使用します。

     $ ipa sysaccount-add 'my-app' --password

3. 特権を作成します。

   $ ipa privilege-add 'my-app password change privilege'

4. my-app password change privilege に、ユーザーパスワードを変更する権限を追加します。

   $ ipa privilege-add-permission 'my-app password change privilege' --permission 'System: Change User password'

5. my-app ロールを作成します。

   $ ipa role-add 'my-app role'

6. my-app ロールに my-app password change privilege 特権を追加します。

   $ ipa role-add-privilege 'my-app role' --privilege 'my-app password change privilege'

7. my-app システムアカウントを my-app role ロールにメンバーとして追加します。

   $ ipa role-add-member 'my-app role' --sysaccounts 'my-app'

8. オプション: パスワードをリセットせずに変更できるようにするには、以下を入力します。

   $ ipa sysaccount-policy 'my-app' --privileged=true

検証

1. 外部の認証情報管理システムを使用して、IdM ユーザーのパスワードを変更します。

2. IdM ユーザーとして IdM にログインします。

   $ kinit idmuser

3. プロンプトが表示されたら、新しいパスワードを入力します。

   idmuser's password:

4. idmuser の Kerberos Ticket-Granting Ticket があることを確認します。

   $ klist

   Credentials cache: API:0A481BBD-C3AA-473D-B43A-42CD19C7F045
           Principal: idmuser@IDM.EXAMPLE.COM
   
     Issued                Expires               Principal
   Feb 23 16:06:56 2026  Feb 24 02:04:54 2026  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

   この出力は、有効な Kerberos チケットを所有していることを示しています。idmuser のパスワードをリセットすることなくログインできました。