Identity Management での外部 Red Hat ユーティリティーの使用

1. IdM クライアントユーザーは、たとえば、コマンドラインで kinit ユーティリティーを使用して Kerberos Ticket Granting Ticket (TGT) を取得しようとするなどして、OAuth 2.0 Device Authorization Grant フローを開始します。
2. 特別なコードと Web サイトリンクが認可サーバーから IdM Key Distribution Center (KDC) バックエンドに送信されます。
3. IdM クライアントは、リンクとコードをユーザーに表示します。この例では、IdM クライアントはコマンドラインにリンクとコードを出力します。

4. ユーザーは、別のホストや携帯電話などのブラウザーで Web サイトのリンクを開きます。

   1. ユーザーは特別なコードを入力します。
   2. 必要に応じて、ユーザーは OAuth 2.0 ベースの IdP にログインします。
   3. ユーザーは、クライアントによる情報へのアクセスを許可するよう求められます。
5. ユーザーは、元のデバイスのプロンプトでアクセスを確認します。この例では、ユーザーはコマンドラインで Enter キーを押します。
6. IdM KDC バックエンドは、ユーザー情報にアクセスするために OAuth 2.0 認可サーバーをポーリングします。

手順

1. IdM サーバーで IdM 管理者として認証します。

   [root@server ~]# kinit admin

2. Keycloak テンプレートに基づいて IdP への my-keycloak-idp という参照を作成します。--base-url オプションは、Keycloak サーバーへの URL を server-name.$DOMAIN:$PORT/prefix という形式で指定します。

   [root@server ~]# ipa idp-add my-keycloak-idp \ --provider keycloak --organization main \ --base-url keycloak.idm.example.com:8443/auth \ --client-id id13778
   ------------------------------------------------
   Added Identity Provider reference "my-keycloak-idp"
   ------------------------------------------------
     Identity Provider reference name: my-keycloak-idp
     Authorization URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/auth
     Device authorization URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/auth/device
     Token URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/token
     User info URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/userinfo
     Client identifier: ipa_oidc_client
     Scope: openid email
     External IdP user identifier attribute: email

手順

1. IdM サーバーで IdM 管理者として認証します。

   [root@server ~]# kinit admin

2. IdP 参照を管理します。

   • エントリーに文字列 keycloak が含まれる IdP 参照を見つけるには、以下を実行します。

     [root@server ~]# ipa idp-find keycloak

   • my-keycloak-idp という名前の IdP 参照を表示するには、以下を実行します。

     [root@server ~]# ipa idp-show my-keycloak-idp

   • IdP 参照を変更するには、ipa idp-mod コマンドを使用します。たとえば、my-keycloak-idp という名前の IdP 参照のシークレットを変更するには、--secret オプションを指定してシークレットの入力を求めます。

     [root@server ~]# ipa idp-mod my-keycloak-idp --secret

   • my-keycloak-idp という名前の IdP 参照を削除するには、以下を実行します。

     [root@server ~]# ipa idp-del my-keycloak-idp

1. 匿名の Kerberos チケットを取得してローカルに保存します。
2. -T オプションを指定した kinit を使用して idm-user-with-external-idp ユーザーの TGT を要求し、Flexible Authentication via Secure Tunneling (FAST) チャネルを有効にして、Kerberos クライアントと Kerberos Distribution Center (KDC) 間のセキュアな接続を提供します。

手順

1. 匿名 PKINIT を使用して Kerberos チケットを取得し、それを ./fast.ccache という名前のファイルに保存します。

   $ kinit -n -c ./fast.ccache

2. オプション: 取得したチケットを表示します。

   $ klist -c fast.ccache
   Ticket cache: FILE:fast.ccache
   Default principal: WELLKNOWN/ANONYMOUS@WELLKNOWN:ANONYMOUS
   
   Valid starting       Expires              Service principal
   03/03/2024 13:36:37  03/04/2024 13:14:28  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

3. -T オプションを使用して FAST 通信チャネルを有効にし、IdM ユーザーとして認証を開始します。

   [root@client ~]# kinit -T ./fast.ccache idm-user-with-external-idp
   Authenticate at https://oauth2.idp.com:8443/auth/realms/master/device?user_code=YHMQ-XKTL and press ENTER.:

4. ブラウザーで、コマンド出力に提供される Web サイトでユーザーとして認証します。
5. コマンドラインで Enter キーを押して、認証プロセスを終了します。

手順

1. SSH 経由で IdM クライアントへのログインを試みます。

   [user@client ~]$ ssh idm-user-with-external-idp@client.idm.example.com
   (idm-user-with-external-idp@client.idm.example.com) Authenticate at https://oauth2.idp.com:8443/auth/realms/main/device?user_code=XYFL-ROYR and press ENTER.

2. ブラウザーで、コマンド出力に提供される Web サイトでユーザーとして認証します。
3. コマンドラインで Enter キーを押して、認証プロセスを終了します。

手順

1. 必要なパッケージをインストールします。

   [root@ipaserver ~]# dnf install ipa-server-trust-ad samba-client

2. IdM 管理ユーザーとして認証します。

   [root@ipaserver ~]# kinit admin

3. ipa-adtrust-install ユーティリティーを実行します。

   [root@ipaserver ~]# ipa-adtrust-install

   統合 DNS サーバーとともに IdM がインストールされていると、DNS サービスレコードが自動的に作成されます。

   IdM が統合 DNS サーバーなしで IdM をインストールすると、ipa-adtrust-install は、続行する前に DNS に手動で追加する必要があるサービスレコードのリストを出力します。

4. スクリプトにより、/etc/samba/smb.conf がすでに存在し、書き換えられることが求められます。

   WARNING: The smb.conf already exists. Running ipa-adtrust-install will break your existing Samba configuration.
   
   Do you wish to continue? [no]: yes

5. このスクリプトは、従来の Linux クライアントが信頼できるユーザーと連携できるようにする互換性プラグインである slapi-nis プラグインを設定するように求めるプロンプトを表示します。

   Do you want to enable support for trusted domains in Schema Compatibility plugin?
   This will allow clients older than SSSD 1.9 and non-Linux clients to work with trusted users.
   
   Enable trusted domains support in slapi-nis? [no]: yes

6. SID 生成タスクを実行して、既存ユーザーに SID を作成するように求められます。

   Do you want to run the ipa-sidgen task? [no]: yes

   これはリソースを集中的に使用するタスクであるため、ユーザー数が多い場合は別のタイミングで実行できます。

7. オプション: Windows Server 2008 以降では、動的 RPC ポート範囲が、デフォルトで 49152-65535 に定義されています。ご使用の環境に異なる動的 RPC ポート範囲を定義する必要がある場合は、Samba が異なるポートを使用するように設定し、ファイアウォール設定でそのポートを開くように設定します。以下の例では、ポート範囲を 55000-65000 に設定します。

   [root@ipaserver ~]# net conf setparm global 'rpc server dynamic port range' 55000-65000
   [root@ipaserver ~]# firewall-cmd --add-port=55000-65000/tcp
   [root@ipaserver ~]# firewall-cmd --runtime-to-permanent

8. ipa サービスを再起動します。

   [root@ipaserver ~]# ipactl restart

9. smbclient ユーティリティーを使用して、Samba が IdM サイドからの Kerberos 認証に応答することを確認します。

   [root@ipaserver ~]# smbclient -L ipaserver.idm.example.com -U user_name --use-kerberos=required
   lp_load_ex: changing to config backend registry
       Sharename       Type      Comment
       ---------       ----      -------
       IPC$            IPC       IPC Service (Samba 4.15.2)
   ...

手順

1. ipa-client-samba パッケージをインストールします。

   [root@idm_client]# dnf install ipa-client-samba

2. ipa-client-samba ユーティリティーを使用して、クライアントを準備し、初期 Samba 設定を作成します。

   [root@idm_client]# ipa-client-samba
   Searching for IPA server...
   IPA server: DNS discovery
   Chosen IPA master: idm_server.idm.example.com
   SMB principal to be created: cifs/idm_client.idm.example.com@IDM.EXAMPLE.COM
   NetBIOS name to be used: IDM_CLIENT
   Discovered domains to use:
   
    Domain name: idm.example.com
   NetBIOS name: IDM
            SID: S-1-5-21-525930803-952335037-206501584
       ID range: 212000000 - 212199999
   
    Domain name: ad.example.com
   NetBIOS name: AD
            SID: None
       ID range: 1918400000 - 1918599999
   
   Continue to configure the system with these values? [no]: yes
   Samba domain member is configured. Please check configuration at /etc/samba/smb.conf and start smb and winbind services

3. デフォルトでは、ipa-client-samba は、ユーザーが接続したときにそのユーザーのホームディレクトリーを動的に共有するために、/etc/samba/smb.conf ファイルに [homes] セクションが自動的に追加されます。ユーザーがこのサーバーにホームディレクトリーがない場合、または共有したくない場合は、/etc/samba/smb.conf から次の行を削除します。

   [homes]
       read only = no

4. ディレクトリーとプリンターを共有します。詳細は、次のセクションを参照してください。

   • POSIX ACL を使用した Samba ファイル共有の設定
   • Windows ACL で共有の設定
   • プリントサーバーとしての Samba の設定

5. ローカルファイアウォールで Samba クライアントに必要なポートを開きます。

   [root@idm_client]# firewall-cmd --permanent --add-service=samba-client
   [root@idm_client]# firewall-cmd --reload

6. smb サービスおよび winbind サービスを有効にして開始します。

   [root@idm_client]# systemctl enable --now smb winbind

手順

1. ホストのキータブを使用して認証します。

   [root@idm_client]# kinit -k

2. ipa idrange-find コマンドを使用して、新しいドメインのベース ID と ID 範囲のサイズの両方を表示します。たとえば、次のコマンドは ad.example.com ドメインの値を表示します。

   [root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw
   ---------------
   1 range matched
   ---------------
     cn: AD.EXAMPLE.COM_id_range
     ipabaseid: 1918400000
     ipaidrangesize: 200000
     ipabaserid: 0
     ipanttrusteddomainsid: S-1-5-21-968346183-862388825-1738313271
     iparangetype: ipa-ad-trust
   ----------------------------
   Number of entries returned 1
   ----------------------------

   次の手順で、ipabaseid 属性および ipaidrangesize 属性の値が必要です。

3. 使用可能な最高の ID を計算するには、次の式を使用します。

   maximum_range = ipabaseid + ipaidrangesize - 1

   前の手順の値を使用すると、ad.example.com ドメインで使用可能な最大 ID は 1918599999 (1918400000 + 200000 - 1) です。

4. /etc/samba/smb.conf ファイルを編集し、ドメインの ID マッピング設定を [global] セクションに追加します。

   idmap config AD : range = 1918400000 - 1918599999
   idmap config AD : backend = sss

   ipabaseid 属性の値を最小値として指定し、前の手順で計算された値を範囲の最大値として指定します。

5. smb サービスおよび winbind サービスを再起動します。

   [root@idm_client]# systemctl restart smb winbind

手順

1. IdM サーバーで NIS リスナーと互換性プラグインを有効にします。

   [root@ipaserver ~]# ipa-nis-manage enable
   [root@ipaserver ~]# ipa-compat-manage enable

2. オプション: より厳密なファイアウォール設定の場合は、固定ポートを設定します。

   たとえば、ポートを未使用のポート 514 に設定するには、次のコマンドを実行します。

   [root@ipaserver ~]# ldapmodify -x -D 'cn=directory manager' -W
   dn: cn=NIS Server,cn=plugins,cn=config
   changetype: modify
   add: nsslapd-pluginarg0
   nsslapd-pluginarg0: 514

   警告

   他のサービスとの競合を回避するため、1024 を超えるポート番号は使用しないようにしてください。

3. ポートマッパーサービスを有効にして起動します。

   [root@ipaserver ~]# systemctl enable rpcbind.service
   [root@ipaserver ~]# systemctl start rpcbind.service

4. Directory Server を再起動します。

   [root@ipaserver ~]# systemctl restart dirsrv.target

手順

1. yp-tools パッケージをインストールします。

   [root@nis-server ~]# dnf install yp-tools -y

2. NIS サーバーで、以下の内容を含む /root/nis-users.sh スクリプトを作成します。

   #!/bin/sh
   # $1 is the NIS domain, $2 is the primary NIS server
   ypcat -d $1 -h $2 passwd > /dev/shm/nis-map.passwd 2>&1
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.passwd) ; do
   	IFS=' '
   	username=$(echo $line | cut -f1 -d:)
   	# Not collecting encrypted password because we need cleartext password
   	# to create kerberos key
   	uid=$(echo $line | cut -f3 -d:)
   	gid=$(echo $line | cut -f4 -d:)
   	gecos=$(echo $line | cut -f5 -d:)
   	homedir=$(echo $line | cut -f6 -d:)
   	shell=$(echo $line | cut -f7 -d:)
   
   	# Now create this entry
   	echo passw0rd1 | ipa user-add $username --first=NIS --last=USER \
   	     --password --gidnumber=$gid --uid=$uid --gecos="$gecos" --homedir=$homedir \
   	     --shell=$shell
   	ipa user-show $username
   done

3. IdM admin ユーザーとして認証します。

   [root@nis-server ~]# kinit admin

4. スクリプトを実行します。以下に例を示します。

   [root@nis-server ~]# sh /root/nis-users.sh nisdomain nis-server.example.com

   重要

   このスクリプトは、名、姓にハードコードされた値を使用し、パスワードを passw0rd1 に設定します。ユーザーは、次回ログイン時に一時パスワードを変更する必要があります。

手順

1. yp-tools パッケージをインストールします。

   [root@nis-server ~]# dnf install yp-tools -y

2. 以下の内容を含めて、NIS サーバーに /root/nis-groups.sh スクリプトを作成します。

   #!/bin/sh
   # $1 is the NIS domain, $2 is the primary NIS server
   ypcat -d $1 -h $2 group > /dev/shm/nis-map.group 2>&1
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.group); do
   	IFS=' '
   	groupname=$(echo $line | cut -f1 -d:)
   	# Not collecting encrypted password because we need cleartext password
   	# to create kerberos key
   	gid=$(echo $line | cut -f3 -d:)
   	members=$(echo $line | cut -f4 -d:)
   
   	# Now create this entry
   	ipa group-add $groupname --desc=NIS_GROUP_$groupname --gid=$gid
   	if [ -n "$members" ]; then
   		useropts=$(eval echo --users={$members})
   		ipa group-add-member $groupname $useropts
   	fi
   	ipa group-show $groupname
   done

   注記

   ユーザーグループが正常に移行されるように、ユーザー名に特殊文字が含まれていないことを確認してください。

3. IdM admin ユーザーとして認証します。

   [root@nis-server ~]# kinit admin

4. スクリプトを実行します。以下に例を示します。

   [root@nis-server ~]# sh /root/nis-groups.sh nisdomain nis-server.example.com

手順

1. yp-tools パッケージをインストールします。

   [root@nis-server ~]# dnf install yp-tools -y

2. 以下の内容を含めて、NIS サーバーに /root/nis-hosts.sh スクリプトを作成します。

   #!/bin/sh
   # $1 is the NIS domain, $2 is the primary NIS server
   ypcat -d $1 -h $2 hosts | egrep -v "localhost|127.0.0.1" > /dev/shm/nis-map.hosts 2>&1
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.hosts); do
   	IFS=' '
   	ipaddress=$(echo $line | awk '{print $1}')
   	hostname=$(echo $line | awk '{print $2}')
   	primary=$(ipa env xmlrpc_uri | tr -d '[:space:]' | cut -f3 -d: | cut -f3 -d/)
   	domain=$(ipa env domain | tr -d '[:space:]' | cut -f2 -d:)
   	if [ $(echo $hostname | grep "\." |wc -l) -eq 0 ] ; then
   		hostname=$(echo $hostname.$domain)
   	fi
   	zone=$(echo $hostname | cut -f2- -d.)
   	if [ $(ipa dnszone-show $zone 2>/dev/null | wc -l) -eq 0 ] ; then
   		ipa dnszone-add --name-server=$primary --admin-email=root.$primary
   	fi
   	ptrzone=$(echo $ipaddress | awk -F. '{print $3 "." $2 "." $1 ".in-addr.arpa."}')
   	if [ $(ipa dnszone-show $ptrzone 2>/dev/null | wc -l) -eq 0 ] ; then
   		ipa dnszone-add  $ptrzone --name-server=$primary --admin-email=root.$primary
   	fi
   	# Now create this entry
   	ipa host-add $hostname --ip-address=$ipaddress
   	ipa host-show $hostname
   done

3. IdM admin ユーザーとして認証します。

   [root@nis-server ~]# kinit admin

4. スクリプトを実行します。以下に例を示します。

   [root@nis-server ~]# sh /root/nis-hosts.sh nisdomain nis-server.example.com

   注記

   このスクリプトでは、エイリアスなどの特別なホスト設定は移行されません。

手順

1. yp-tools パッケージをインストールします。

   [root@nis-server ~]# dnf install yp-tools -y

2. 以下の内容を含めて NIS サーバーに /root/nis-netgroups.sh スクリプトを作成します。

   #!/bin/sh
   # $1 is the NIS domain, $2 is the primary NIS server
   ypcat -k -d $1 -h $2 netgroup > /dev/shm/nis-map.netgroup 2>&1
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.netgroup); do
   	IFS=' '
   	netgroupname=$(echo $line | awk '{print $1}')
   	triples=$(echo $line | sed "s/^$netgroupname //")
   	echo "ipa netgroup-add $netgroupname --desc=NIS_NG_$netgroupname"
   	if [ $(echo $line | grep "(," | wc -l) -gt 0 ]; then
   		echo "ipa netgroup-mod $netgroupname --hostcat=all"
   	fi
   	if [ $(echo $line | grep ",," | wc -l) -gt 0 ]; then
   		echo "ipa netgroup-mod $netgroupname --usercat=all"
   	fi
   
   	for triple in $triples; do
   		triple=$(echo $triple | sed -e 's/-//g' -e 's/(//' -e 's/)//')
   		if [ $(echo $triple | grep ",.*," | wc -l) -gt 0 ]; then
   			hostname=$(echo $triple | cut -f1 -d,)
   			username=$(echo $triple | cut -f2 -d,)
   			domain=$(echo $triple | cut -f3 -d,)
   			hosts=""; users=""; doms="";
   			[ -n "$hostname" ] && hosts="--hosts=$hostname"
   			[ -n "$username" ] && users="--users=$username"
   			[ -n "$domain"   ] && doms="--nisdomain=$domain"
   			echo "ipa netgroup-add-member $netgroup $hosts $users $doms"
   		else
   			netgroup=$triple
   			echo "ipa netgroup-add $netgroup --desc=<NIS_NG>_$netgroup"
   		fi
   	done
   done

3. IdM admin ユーザーとして認証します。

   [root@nis-server ~]# kinit admin

4. スクリプトを実行します。以下に例を示します。

   [root@nis-server ~]# sh /root/nis-netgroups.sh nisdomain nis-server.example.com

手順

1. yp-tools パッケージをインストールします。

   [root@nis-server ~]# dnf install yp-tools -y

2. 以下の内容を含めて、NIS サーバーに /root/nis-automounts.sh スクリプトを作成します。

   #!/bin/sh
   # $1 is for the automount entry in ipa
   
   ipa automountlocation-add $1
   
   # $2 is the NIS domain, $3 is the primary NIS server, $4 is the map name
   
   ypcat -k -d $2 -h $3 $4 > /dev/shm/nis-map.$4 2>&1
   
   ipa automountmap-add $1 $4
   
   basedn=$(ipa env basedn | tr -d '[:space:]' | cut -f2 -d:)
   cat > /tmp/amap.ldif <<EOF
   dn: nis-domain=$2+nis-map=$4,cn=NIS Server,cn=plugins,cn=config
   objectClass: extensibleObject
   nis-domain: $2
   nis-map: $4
   nis-base: automountmapname=$4,cn=$1,cn=automount,$basedn
   nis-filter: (objectclass=\*)
   nis-key-format: %{automountKey}
   nis-value-format: %{automountInformation}
   EOF
   
   # $5 is the LDAP server
   
   ldapadd -x -h $5 -D "cn=Directory Manager" -W -f /tmp/amap.ldif
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.$4); do
   	IFS=" "
   	key=$(echo "$line" | awk '{print $1}')
   	info=$(echo "$line" | sed -e "s^$key[ \t]*")
   	ipa automountkey-add nis $4 --key="$key" --info="$info"
   done

   注記

   このスクリプトでは、NIS 自動マウント情報のエクスポート、自動マウントの場所と関連マップの LDAP データ交換形式 (LDIF) の生成、IdM Directory Server への LDIF ファイルのインポートが行われます。

3. IdM admin ユーザーとして認証します。

   [root@nis-server ~]# kinit admin

4. スクリプトを実行します。以下に例を示します。

   [root@nis-server ~]# sh /root/nis-automounts.sh location nisdomain
        nis-server.example.com map_name

手順

1. IdM 管理者として Kerberos チケットを取得します。

   # kinit admin

2. nfs/<FQDN> サービスプリンシパルを作成します。

   # ipa service-add nfs/nfs_server.idm.example.com

3. IdM から nfs サービスプリンシパルを取得し、/etc/krb5.keytab ファイルに保存します。

   # ipa-getkeytab -s idm_server.idm.example.com -p nfs/nfs_server.idm.example.com -k /etc/krb5.keytab

4. オプション: /etc/krb5.keytab ファイル内のプリンシパルを表示します。

   # klist -k /etc/krb5.keytab
   Keytab name: FILE:/etc/krb5.keytab
   KVNO Principal
   ---- --------------------------------------------------------------------------
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM

   デフォルトでは、ホストを IdM ドメインに参加させると、IdM クライアントがホストプリンシパルを /etc/krb5.keytab ファイルに追加します。ホストプリンシパルがない場合は、ipa-getkeytab -s idm_server.idm.example.com -p host/nfs_server.idm.example.com -k /etc/krb5.keytab コマンドを使用して追加します。

5. ipa-client-automount ユーティリティーを使用して、IdM ID のマッピングを設定します。

   #  ipa-client-automount
   Searching for IPA server...
   IPA server: DNS discovery
   Location: default
   Continue to configure the system with these values? [no]: yes
   Configured /etc/idmapd.conf
   Restarting sssd, waiting for it to become available.
   Started autofs

6. /etc/exports ファイルを更新し、クライアントオプションに Kerberos セキュリティー方式を追加します。以下に例を示します。

   /nfs/projects/      	192.0.2.0/24(rw,sec=krb5i)

   クライアントが複数のセキュリティー方式を選択できるようにするには、それらをコロンで区切って指定します。

   /nfs/projects/      	192.0.2.0/24(rw,sec=krb5:krb5i:krb5p)

7. エクスポートされたファイルシステムを再ロードします。

   # exportfs -r

手順

1. raleigh の自動マウントの場所を作成します。

   $ ipa automountlocation-add raleigh
   ----------------------------------
   Added automount location "raleigh"
   ----------------------------------
     Location: raleigh

2. raleighの場所に、auto.devel 自動マウントマップを作成します。

   $ ipa automountmap-add raleigh auto.devel
   --------------------------------
   Added automount map "auto.devel"
   --------------------------------
     Map: auto.devel

3. exports/共有のキーとマウント情報を追加します。

   1. auto.devel マップのキーとマウント情報を追加します。

      $ ipa automountkey-add raleigh auto.devel --key='*' --info='-sec=krb5p,vers=4 nfs-server.idm.example.com:/exports/&'
      -----------------------
      Added automount key "*"
      -----------------------
        Key: *
        Mount information: -sec=krb5p,vers=4 nfs-server.idm.example.com:/exports/&

   2. auto.master マップのキーとマウント情報を追加します。

      $ ipa automountkey-add raleigh auto.master --key=/devel --info=auto.devel
      ----------------------------
      Added automount key "/devel"
      ----------------------------
        Key: /devel
        Mount information: auto.devel

手順

1. IdM クライアントで、ipa-client-automount コマンドを入力して場所を指定します。-U オプションを使用して、スクリプトを無人で実行します。

   # ipa-client-automount --location raleigh -U

2. autofs サービスを停止し、SSSD キャッシュをクリアし、autofs サービスを開始して新しい設定をロードします。

   # systemctl stop autofs ; sss_cache -E ; systemctl start autofs

手順

1. IdM ユーザーが read-write ディレクトリーにアクセスできることを確認します。

   1. IdM ユーザーとして IdM クライアントに接続します。

      $ ssh idm_user@idm-client.idm.example.com
      Password:

   2. IdM ユーザーの Ticket Granting Ticket (TGT) を取得します。

      $ kinit idm_user

   3. オプション: IdM ユーザーのグループメンバーシップを表示します。

      $ ipa user-show idm_user
        User login: idm_user
        [...]
        Member of groups: developers, ipausers

   4. /devel/project ディレクトリーに移動します。

      $ cd /devel/project

   5. ディレクトリーの内容をリスト表示します。

      $ ls
      rw_file

   6. ディレクトリーのファイルに行を追加し、write パーミッションをテストします。

      $ echo "idm_user can write into the file" > rw_file

   7. オプション: ファイルの更新された内容を表示します。

      $ cat rw_file
      this is a read-write file
      idm_user can write into the file

   出力は、idm_user がファイルに書き込めることを確認します。

手順

1. IdM 管理者として Kerberos チケットを取得します。

   # kinit admin

2. nfs/<FQDN> サービスプリンシパルを作成します。

   # ipa service-add nfs/nfs_server.idm.example.com

3. IdM から nfs サービスプリンシパルを取得し、/etc/krb5.keytab ファイルに保存します。

   # ipa-getkeytab -s idm_server.idm.example.com -p nfs/nfs_server.idm.example.com -k /etc/krb5.keytab

4. オプション: /etc/krb5.keytab ファイル内のプリンシパルを表示します。

   # klist -k /etc/krb5.keytab
   Keytab name: FILE:/etc/krb5.keytab
   KVNO Principal
   ---- --------------------------------------------------------------------------
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM

   デフォルトでは、ホストを IdM ドメインに参加させると、IdM クライアントがホストプリンシパルを /etc/krb5.keytab ファイルに追加します。ホストプリンシパルがない場合は、ipa-getkeytab -s idm_server.idm.example.com -p host/nfs_server.idm.example.com -k /etc/krb5.keytab コマンドを使用して追加します。

5. ipa-client-automount ユーティリティーを使用して、IdM ID のマッピングを設定します。

   #  ipa-client-automount
   Searching for IPA server...
   IPA server: DNS discovery
   Location: default
   Continue to configure the system with these values? [no]: yes
   Configured /etc/idmapd.conf
   Restarting sssd, waiting for it to become available.
   Started autofs

6. /etc/exports ファイルを更新し、クライアントオプションに Kerberos セキュリティー方式を追加します。以下に例を示します。

   /nfs/projects/      	192.0.2.0/24(rw,sec=krb5i)

   クライアントが複数のセキュリティー方式を選択できるようにするには、それらをコロンで区切って指定します。

   /nfs/projects/      	192.0.2.0/24(rw,sec=krb5:krb5i:krb5p)

7. エクスポートされたファイルシステムを再ロードします。

   # exportfs -r

手順

1. Ansible コントロールノードで、~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible-freeipa/playbooks/automount/ ディレクトリーにある automount-location-present.yml Ansible Playbook ファイルをコピーします。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automount/automount-location-present.yml automount-location-map-and-key-present.yml

3. automount-location-map-and-key-present.yml ファイルを編集用に開きます。

4. ipaautomountlocation タスクセクションで次の変数を設定して、ファイルを調整します。

   • ipaadmin_password 変数は IdM admin のパスワードに設定します。
   • name 変数を raleigh に設定します。

   • state 変数は present に設定されていることを確認します。

     以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Automount location present example
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure automount location is present
       ipaautomountlocation:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: raleigh
         state: present

5. automount-location-map-and-key-present.yml ファイルの編集を続けます。

   1. tasks セクションで、自動マウントマップが存在することを確認するタスクを追加します。

      [...]
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
      [...]
        - name: ensure map named auto.devel in location raleigh is created
          ipaautomountmap:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: auto.devel
            location: raleigh
            state: present

   2. 別のタスクを追加して、マウントポイントと NFS サーバー情報をマップに追加します。

      [...]
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
      [...]
        - name: ensure automount key /devel/project is present
          ipaautomountkey:
            ipaadmin_password: "{{ ipaadmin_password }}"
            location: raleigh
            mapname: auto.devel
            key: /devel/project
            info: nfs-server.idm.example.com:/exports/project
            state: present

   3. auto.devel が auto.master に接続されていることを確認する別のタスクを追加します。

      [...]
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
      [...]
      - name: Ensure auto.devel is connected in auto.master:
        ipaautomountkey:
          ipaadmin_password: "{{ ipaadmin_password }}"
          location: raleigh
          mapname: auto.map
          key: /devel
          info: auto.devel
          state: present

6. ファイルを保存します。

7. Ansible Playbook を実行し、Playbook とインベントリーファイルを指定します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automount-location-map-and-key-present.yml

手順

1. Ansible コントロールノードで、~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. automount-location-map-and-key-present.yml ファイルを編集用に開きます。

3. tasks セクションで、IdM developers グループが存在し、idm_user がこのグループに追加されていることを確認するタスクを追加します。

   [...]
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
   [...]
     - ipagroup:
        ipaadmin_password: "{{ ipaadmin_password }}"
         name: developers
         user:
         - idm_user
         state: present

4. ファイルを保存します。

5. Ansible Playbook を実行し、Playbook とインベントリーファイルを指定します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automount-location-map-and-key-present.yml

6. NFS サーバーで、/exports/project ディレクトリーのグループ所有権を developers に変更して、グループ内のすべての IdM ユーザーがディレクトリーにアクセスできるようにします。

   # chgrp developers /exports/project

手順

1. IdM クライアントで、ipa-client-automount コマンドを入力して場所を指定します。-U オプションを使用して、スクリプトを無人で実行します。

   # ipa-client-automount --location raleigh -U

2. autofs サービスを停止し、SSSD キャッシュをクリアし、autofs サービスを開始して新しい設定をロードします。

   # systemctl stop autofs ; sss_cache -E ; systemctl start autofs

手順

1. IdM ユーザーが read-write ディレクトリーにアクセスできることを確認します。

   1. IdM ユーザーとして IdM クライアントに接続します。

      $ ssh idm_user@idm-client.idm.example.com
      Password:

   2. IdM ユーザーの Ticket Granting Ticket (TGT) を取得します。

      $ kinit idm_user

   3. オプション: IdM ユーザーのグループメンバーシップを表示します。

      $ ipa user-show idm_user
        User login: idm_user
        [...]
        Member of groups: developers, ipausers

   4. /devel/project ディレクトリーに移動します。

      $ cd /devel/project

   5. ディレクトリーの内容をリスト表示します。

      $ ls
      rw_file

   6. ディレクトリーのファイルに行を追加し、write パーミッションをテストします。

      $ echo "idm_user can write into the file" > rw_file

   7. オプション: ファイルの更新された内容を表示します。

      $ cat rw_file
      this is a read-write file
      idm_user can write into the file

   出力は、idm_user がファイルに書き込めることを確認します。