第12章 ユーザーの外部プロビジョニングのための IdM 設定

手順

1. IdM 管理者としてログインします。

   $ kinit admin

   Copy to Clipboard Toggle word wrap

2. ステージユーザーを追加する特権指定して provisionator という名前のユーザーを作成します。

   1. provisionator ユーザーアカウントを追加します。

      $ ipa user-add provisionator --first=provisioning --last=account --password

      Copy to Clipboard Toggle word wrap

   2. provisionator ユーザーに必要な特権を割り当てます。

      1. ステージユーザーの追加を管理する System Provisioning というカスタムロールを作成します。

         $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

         Copy to Clipboard Toggle word wrap

      2. Stage User Provisioning の特権をロールに追加します。この特権により、ステージユーザーを追加できます。

         $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

         Copy to Clipboard Toggle word wrap

      3. provisionator ユーザーをロールに追加します。

         $ ipa role-add-member --users=provisionator "System Provisioning"

         Copy to Clipboard Toggle word wrap

      4. provisionator が IdM に存在することを確認します。

         $ ipa user-find provisionator --all --raw
         --------------
         1 user matched
         --------------
           dn: uid=provisionator,cn=users,cn=accounts,dc=idm,dc=example,dc=com
           uid: provisionator
           [...]

         Copy to Clipboard Toggle word wrap

3. ユーザーアカウントを管理する特権を指定して activator ユーザーを作成します。

   1. activator ユーザーアカウントを追加します。

      $ ipa user-add activator --first=activation --last=account --password

      Copy to Clipboard Toggle word wrap

   2. デフォルトの User Administrator ロールにユーザーを追加して、activator ユーザーに必要な特権を付与します。

      $ ipa role-add-member --users=activator "User Administrator"

      Copy to Clipboard Toggle word wrap

4. アプリケーションアカウントのユーザーグループを作成します。

   $ ipa group-add application-accounts

   Copy to Clipboard Toggle word wrap

5. グループのパスワードポリシーを更新します。以下のポリシーは、アカウントのパスワードの有効期限やロックアウトを防ぎますが、複雑なパスワードを必要とすることでリスクの可能性を低減します。

   $ ipa pwpolicy-add application-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=8 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

   Copy to Clipboard Toggle word wrap

6. オプション: IdM にパスワードポリシーが存在することを確認します。

   $ ipa pwpolicy-show application-accounts
     Group: application-accounts
     Max lifetime (days): 10000
     Min lifetime (hours): 0
     History size: 0
   [...]

   Copy to Clipboard Toggle word wrap

7. プロビジョニング用アカウントとアクティブ化用アカウントをアプリケーションアカウントのグループに追加します。

   $ ipa group-add-member application-accounts --users={provisionator,activator}

   Copy to Clipboard Toggle word wrap

8. ユーザーアカウントのパスワードを変更します。

   $ kpasswd provisionator
   $ kpasswd activator

   Copy to Clipboard Toggle word wrap

   新しい IdM ユーザーのパスワードはすぐに失効するため、パスワードの変更が必要になります。