37.3. IdM クライアントの AD ユーザーのデフォルト信頼ビューの属性を ID ビューでオーバーライドする。

手順

1. IdM サーバーで ID ビューを作成します。たとえば、example_for_client1 という名前の ID ビューを作成するには、次のコマンドを実行します。

   $ ipa idview-add example_for_client1
   ---------------------------
   Added ID View "example_for_client1"
   ---------------------------
     ID View Name: example_for_client1

2. IdM サーバーで、example_for_client1 ID ビューにユーザーオーバーライドを追加します。ユーザーの GID をオーバーライドするには、以下を実行します。

   • ipa idoverrideuser-add コマンドを入力します。
   • ID ビューの名前を追加します。
   • ユーザー名 (アンカーとも呼ばれます) を追加します。
   • --gidnumber= オプションを追加します。

   $ ipa idoverrideuser-add example_for_client1 ad_user@ad.example.com --gidnumber=732001337
   -----------------------------
   Added User ID override "ad_user@ad.example.com"
   -----------------------------
     Anchor to override: ad_user@ad.example.com
     GID: 732001337

3. IdM サーバーで、example_for_client1 を client1.idm.example.com IdM クライアントに適用します。

   $ ipa idview-apply example_for_client1 --hosts=client1.idm.example.com
   -----------------------------
   Applied ID View "example_for_client1"
   -----------------------------
   hosts: client1.idm.example.com
   ---------------------------------------------
   Number of hosts the ID View was applied to: 1
   ---------------------------------------------

   注記

   ipa idview-apply コマンドでは、--hostgroups オプションも使用できます。このオプションは、ID ビューを、指定のホストグループに所属するホストに適用しますが、ホストグループ自体との関連付けは行いません。代わりに、--hostgroups オプションは、指定されたホストグループのメンバーを拡張して、各メンバーに --hosts オプションを個別に適用します。

   つまり、今後ホストがホストグループに追加されても、ID ビューは新しいホストには適用されません。

4. IdM クライアントで、client1.idm.example.com IdM クライアントの SSSD キャッシュから、ad_user@ad.example.com ユーザーのエントリーをクリアします。これにより、古いデータが削除され、新しいオーバーライド値が適用されるようになります。

   # sssctl cache-expire -u ad_user@ad.example.com

検証

1. ad_user@ad.example.com としてクライアントシステムに SSH 接続します。

   # ssh ad_user@ad.example.com@client1.idm.example.com

2. クライアントシステムで、ad_user@ad.example.com ユーザーの情報を取得し、GID に新しい値が反映されていることを確認します。

   [ad_user@ad.example.com@client1 ~]$ id ad_user@ad.example.com
   uid=702801456(ad_user@ad.example.com) gid=732001337(admins2)
   groups=732001337(admins2),702800513(domain users@ad.example.com)