47.2. CLI を使用した IdM ドメインでの HBAC ルールの設定

前提条件

• ユーザー sysadmin が IdM に存在する。

検証

• HBAC ルールが正しく追加されたことを確認します。

  1. ipa hbacrule-find コマンドを使用して、HBAC ルールが IdM に存在することを確認します。
  2. ipa hbacrule-show コマンドを使用して、HBAC ルールのプロパティーを確認します。

手順

• ipa hbactest コマンドを使用して、HBAC ルールをテストします。1 つの HBAC ルールをテストする方法と、複数の HBAC ルールをテストする方法があります。

  • 1 つの HBAC ルールをテストするには、以下を実行します。

    $ ipa hbactest --user=sysadmin --host=server.idm.example.com --service=sudo --rules=rule_name
    ---------------------
    Access granted: True
    ---------------------
      Matched rules: rule_name

    Copy to Clipboard Toggle word wrap

  • 複数の HBAC ルールをテストするには、以下を実行します。

    1. sysadmin にすべてのホストで ssh の使用のみを許可する 2 番目のルールを追加します。

       $ ipa hbacrule-add --hostcat=all rule2_name
       $ ipa hbacrule-add-user --users sysadmin rule2_name
       $ ipa hbacrule-add-service --hbacsvcs=sshd rule2_name
         Rule name: rule2_name
         Host category: all
         Enabled: True
         Users: admin
         HBAC Services: sshd
       -------------------------
       Number of members added 1
       -------------------------

       Copy to Clipboard Toggle word wrap

    2. 次のコマンドを実行して、複数の HBAC ルールをテストします。

       $ ipa hbactest --user=sysadmin --host=server.idm.example.com --service=sudo --rules=rule_name --rules=rule2_name
       --------------------
       Access granted: True
       --------------------
         Matched rules: rule_name
         Not matched rules: rule2_name

       Copy to Clipboard Toggle word wrap

       出力において、Matched rules には正常なアクセスを許可したルールがリスト表示され、Not matched rules にはアクセスを妨げたルールがリスト表示されます。--rules オプションを指定しない場合は、すべてのルールが適用されることに注意してください。--rules を使用すると、各ルールを個別にテストするのに役立ちます。

手順

• ipa hbacrule-disable コマンドを使用します。たとえば、allow_all ルールを無効にするには、次のコマンドを実行します。

  $ ipa hbacrule-disable allow_all
  ------------------------------
  Disabled HBAC rule "allow_all"
  ------------------------------

  Copy to Clipboard Toggle word wrap