9.2. IdM でシステムアカウントを設定してユーザーパスワードを変更する

手順

1. 特権認証情報を取得してください:

   $ kinit admin

2. 以下のいずれかの方法を使用してシステムアカウントを作成してください。

   • システムアカウントの LDAP 認証に使用するランダムなパスワードを生成するには、ipa sysaccount-add コマンドで --random オプションを使用します。

     $ ipa sysaccount-add 'my-app' --random

   • 任意のパスワードを入力するように求められるには、ipa sysaccount-add コマンド で --password オプションを使用してください。

     $ ipa sysaccount-add 'my-app' --password

3. 特権を作成する:

   $ ipa privilege-add 'my-app password change privilege'

4. my- アプリケーションのパスワード変更特権 に、ユーザーパスワードを変更する権限を追加します。

   $ ipa privilege-add-permission 'my-app password change privilege' --permission 'System: Change User password'

5. my- アプリケーション ロールを作成します。

   $ ipa role-add 'my-app role'

6. my- アプリケーション ロールに my- アプリケーションパスワード特権 特権を追加します。

   $ ipa role-add-privilege 'my-app role' --privilege 'my-app password change privilege'

7. my- アプリケーション システムアカウントを my- アプリケーション ロールにメンバーとして追加します。

   $ ipa role-add-member 'my-app role' --sysaccounts 'my-app'

8. オプション: パスワードをリセットせずに変更できるようにするには、以下を入力してください。

   $ ipa sysaccount-policy 'my-app' --privileged=true

検証

1. 外部の認証情報管理システムを使用して、IdM ユーザーのパスワードを変更します。

2. IdM ユーザーとして IdM にログインしてください。

   $ kinit idmuser

3. プロンプトが表示されたら、新しいパスワードを入力します。

   idmuser's password:

4. idmuser の KerberosTicket-Granting Ticket を所有していることを確認してください。

   $ klist

   Credentials cache: API:0A481BBD-C3AA-473D-B43A-42CD19C7F045
           Principal: idmuser@IDM.EXAMPLE.COM
   
     Issued                Expires               Principal
   Feb 23 16:06:56 2026  Feb 24 02:04:54 2026  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

   この出力は、有効な Kerberos チケットを所有していることを示しています。idmuser のパスワードをリセットすることなくログインできました。