41.3. ホストの登録に必要なユーザー権限
ホストを Identity Management (IdM) に登録するには、ホストのエントリーがすでに存在するかどうか、およびワンタイムパスワードが使用されるかどうかに応じて、特定のユーザー特権が必要になります。これらの要件を理解することで、登録の失敗やドメインへの不正なマシンの追加を防ぐことができます。
- 必要に応じて IdM LDAP にホストエントリーを手動で作成するためのユーザー特権
-
ipa host-addCLI コマンドまたは IdM Web UI を使用して IdM LDAP にホストエントリーを作成するために必要なユーザー特権は、Host Administratorsです。Host Administrators特権は、IT Specialistロールを通じて取得できます。 - クライアントを IdM ドメインに参加させるためのユーザー特権
-
ホストは、
ipa-client-installコマンドの実行時に IdM クライアントとして設定されます。ipa-client-installコマンドの実行に必要な認証情報のレベルは、以下のような登録シナリオのどれに該当するかによって異なります。
-
IdM LDAP のホストエントリーが存在しない。この場合、完全な管理者の認証情報または
Host Administratorsロールが必要です。完全な管理者とはadminsグループのメンバーです。Host Administratorsロールは、ホストの追加およびホストの登録の特権を提供します。 -
IdM LDAP のホストエントリーが存在する。この場合、
ipa-client-installを正常に実行するために、制限付き管理者の認証情報が必要です。この場合の制限付き管理者には、Host Enrollment特権を提供するEnrollment Administratorロールが付与されます。 -
IdM LDAP にホストエントリーが存在し、完全または限定された管理者により、ホストの OTP が生成されました。このシナリオでは、正しい OTP を指定して
--passwordオプションを指定してipa-client-installコマンドを実行すると、通常のユーザーとして IdM クライアントをインストールできます。
登録後、IdM ホストは、IdM リソースにアクセスできるように、新しいセッションをすべて認証します。IdM サーバーがマシンを信頼し、そのマシンにインストールされているクライアントソフトウェアからの IdM 接続を受け入れるには、マシン認証が必要です。クライアントを認証すると、IdM サーバーはそのリクエストに応答できます。