11.6. ユーザーおよびグループへの外部プロビジョニングシステムの使用

1. provisionator ユーザーアカウントを追加します。

   $ ipa user-add provisionator --first=provisioning --last=account --password

2. provisionator ユーザーに必要な権限を割り当てます。
   stage ユーザーの追加を管理する System Provisioning というカスタムロールを作成します。

   $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

   Stage User Provisioning の権限をロールに追加します。この特権により、ステージユーザーを追加できます。

   $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

   provisionator ユーザーをロールに追加します。

   $ ipa role-add-member --users=provisionator "System Provisioning"

1. activator ユーザーアカウントを追加します。

   $ ipa user-add activator --first=activation --last=account --password

2. activator ユーザーに必要な特権を付与します。
   ユーザーをデフォルトの User Administrator ロールに追加します。

   $ ipa role-add-member --users=activator "User Administrator"

$ ipa group-add service-accounts

$ ipa pwpolicy-add service-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=20 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

$ ipa group-add-member service-accounts --users={provisionator,activator}

$ kpasswd provisionator
$ kpasswd activator

# ipa-getkeytab -s example.com -p "activator" -k /etc/krb5.ipa-activation.keytab

#!/bin/bash

kinit -k -i activator

ipa stageuser-find --all --raw | grep "  uid:" | cut -d ":" -f 2 | while read uid; do ipa stageuser-activate ${uid}; done

# chmod 755 /usr/local/sbin/ipa-activate-all
# chown root:root /usr/local/sbin/ipa-activate-all

[Unit]
Description=Scan IdM every minute for any stage users that must be activated

[Service]
Environment=KRB5_CLIENT_KTNAME=/etc/krb5.ipa-activation.keytab
Environment=KRB5CCNAME=FILE:/tmp/krb5cc_ipa-activate-all
ExecStart=/usr/local/sbin/ipa-activate-all

[Unit]
Description=Scan IdM every minute for any stage users that must be activated

[Timer]
OnBootSec=15min
OnUnitActiveSec=1min

[Install]
WantedBy=multi-user.target

# systemctl enable ipa-activate-all.timer