第12章 ユーザーの外部プロビジョニングのための IdM 設定

手順

1. IdM 管理者としてログインします。

   Copy to Clipboard Toggle word wrap

   $ kinit admin

2. ステージユーザーを追加する特権指定して provisionator という名前のユーザーを作成します。

   1. provisionator ユーザーアカウントを追加します。

      Copy to Clipboard Toggle word wrap

      $ ipa user-add provisionator --first=provisioning --last=account --password

   2. provisionator ユーザーに必要な特権を割り当てます。

      1. ステージユーザーの追加を管理する System Provisioning というカスタムロールを作成します。

         Copy to Clipboard Toggle word wrap

         $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

      2. Stage User Provisioning の特権をロールに追加します。この特権により、ステージユーザーを追加できます。

         Copy to Clipboard Toggle word wrap

         $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

      3. provisionator ユーザーをロールに追加します。

         Copy to Clipboard Toggle word wrap

         $ ipa role-add-member --users=provisionator "System Provisioning"

      4. provisionator が IdM に存在することを確認します。

         Copy to Clipboard Toggle word wrap

         $ ipa user-find provisionator --all --raw
         --------------
         1 user matched
         --------------
           dn: uid=provisionator,cn=users,cn=accounts,dc=idm,dc=example,dc=com
           uid: provisionator
           [...]

3. ユーザーアカウントを管理する特権を指定して activator ユーザーを作成します。

   1. activator ユーザーアカウントを追加します。

      Copy to Clipboard Toggle word wrap

      $ ipa user-add activator --first=activation --last=account --password

   2. デフォルトの User Administrator ロールにユーザーを追加して、activator ユーザーに必要な特権を付与します。

      Copy to Clipboard Toggle word wrap

      $ ipa role-add-member --users=activator "User Administrator"

4. アプリケーションアカウントのユーザーグループを作成します。

   Copy to Clipboard Toggle word wrap

   $ ipa group-add application-accounts

5. グループのパスワードポリシーを更新します。以下のポリシーは、アカウントのパスワードの有効期限やロックアウトを防ぎますが、複雑なパスワードを必要とすることでリスクの可能性を低減します。

   Copy to Clipboard Toggle word wrap

   $ ipa pwpolicy-add application-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=8 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

6. オプション: IdM にパスワードポリシーが存在することを確認します。

   Copy to Clipboard Toggle word wrap

   $ ipa pwpolicy-show application-accounts
     Group: application-accounts
     Max lifetime (days): 10000
     Min lifetime (hours): 0
     History size: 0
   [...]

7. プロビジョニング用アカウントとアクティブ化用アカウントをアプリケーションアカウントのグループに追加します。

   Copy to Clipboard Toggle word wrap

   $ ipa group-add-member application-accounts --users={provisionator,activator}

8. ユーザーアカウントのパスワードを変更します。

   Copy to Clipboard Toggle word wrap

   $ kpasswd provisionator
   $ kpasswd activator

   新しい IdM ユーザーのパスワードはすぐに失効するため、パスワードの変更が必要になります。