第11章 ユーザーの外部プロビジョニングのための IdM 設定

手順

1. IdM 管理者としてログインします。

   $ kinit admin

2. ステージユーザーを追加する特権指定して provisionator という名前のユーザーを作成します。

   1. provisionator ユーザーアカウントを追加します。

   $ ipa user-add provisionator --first=provisioning --last=account --password

   1. provisionator ユーザーに必要な特権を割り当てます。

      1. ステージユーザーの追加を管理する System Provisioning というカスタムロールを作成します。

         $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

      2. Stage User Provisioning の特権をロールに追加します。この特権により、ステージユーザーを追加できます。

         $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

      3. provisionator ユーザーをロールに追加します。

         $ ipa role-add-member --users=provisionator "System Provisioning"

      4. provisionator が IdM に存在することを確認します。

      $ ipa user-find provisionator --all --raw
      --------------
      1 user matched
      --------------
        dn: uid=provisionator,cn=users,cn=accounts,dc=idm,dc=example,dc=com
        uid: provisionator
        [...]

3. ユーザーアカウントを管理する特権を指定して activator ユーザーを作成します。

   1. activator ユーザーアカウントを追加します。

      $ ipa user-add activator --first=activation --last=account --password

   2. デフォルトの User Administrator ロールにユーザーを追加して、activator ユーザーに必要な特権を付与します。

      $ ipa role-add-member --users=activator "User Administrator"

4. アプリケーションアカウントのユーザーグループを作成します。

   $ ipa group-add application-accounts

5. グループのパスワードポリシーを更新します。以下のポリシーは、アカウントのパスワードの有効期限やロックアウトを防ぎますが、複雑なパスワードを必要とすることでリスクの可能性を低減します。

   $ ipa pwpolicy-add application-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=8 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

6. オプション: IdM にパスワードポリシーが存在することを確認します。

   $ ipa pwpolicy-show application-accounts
     Group: application-accounts
     Max lifetime (days): 10000
     Min lifetime (hours): 0
     History size: 0
   [...]

7. アプリケーションアカウントのグループにプロビジョニングアカウントおよびアクティベーションアカウントを追加します。

   $ ipa group-add-member application-accounts --users={provisionator,activator}

8. ユーザーアカウントのパスワードを変更します。

   $ kpasswd provisionator
   $ kpasswd activator

   新しい IdM ユーザーのパスワードはすぐに失効するため、パスワードの変更が必要になります。