8.3. EPN ツールを実行してパスワードが失効するユーザーへのメール送信

手順

1. epn.conf 設定ファイルを開きます。

   # vi /etc/ipa/epn.conf

2. 必要に応じて notify_ttls オプションを更新します。デフォルトでは、28、14、7、3 および 1 日以内にパスワードが期限切れになるユーザーに通知します。

   notify_ttls = 28, 14, 7, 3, 1

   注記

   また、メールが送信されるように、ipa-epn.timer ツールもアクティブ化 する必要があります。

3. SMTP サーバーおよびポートを設定します。

   smtp_server = localhost
   smtp_port = 25

4. メールで失効通知を送信するメールアドレスを指定します。配信に失敗したメールは以下のアドレスに返されます。

   mail_from = admin-email@example.com

5. [オプション] 暗号化された通信チャンネルを使用する場合は、使用する認証情報を指定します。

   • EPN が SMTP サーバーでの認証に使用する証明書を含む単一ファイルへのパスを PEM 形式で指定します。

     smtp_client_cert = /etc/pki/tls/certs/client.pem

     注記

     EPN は SMTP クライアントです。証明書の目的はクライアント認証であり、安全な SMTP 配信ではありません。

   • 秘密鍵が含まれるファイルへのパスを指定できます。指定しない場合、秘密鍵は証明書ファイルから取得されます。

     smtp_client_key = /etc/pki/tls/certs/client.key

   • 秘密鍵が暗号化されている場合は、復号化するためのパスワードを指定します。

     smtp_client_key_pass = Secret123!

6. /etc/ipa/epn.conf ファイルを保存します。

7. --dry-run オプションなしでツールを実行した場合には、EPN ツールをドライランモードで実行し、パスワード失効メールの通知を送信するユーザーのリストを生成します。

   ipa-epn --dry-run
   [
       {
        "uid": "user5",
        "cn": "user 5",
        "krbpasswordexpiration": "2020-04-17 15:51:53",
        "mail": "['user5@ipa.test']"
       }
   ]
   [
       {
        "uid": "user6",
        "cn": "user 6",
        "krbpasswordexpiration": "2020-12-17 15:51:53",
        "mail": "['user5@ipa.test']"
        }
   ]
   The IPA-EPN command was successful

   注記

   返されたユーザーのリストが非常に大きく、かつ --dry-run オプションなしでツールを実行すると、メールサーバーで問題が発生する可能性があります。

8. ドライランモードで EPN ツールを実行時に返された全ユーザーのリストに失効メールを送信するには、--dry-run オプションをなしで EPN ツールを実行します。

   ipa-epn
   [
     {
        "uid": "user5",
        "cn": "user 5",
        "krbpasswordexpiration": "2020-10-01 15:51:53",
        "mail": "['user5@ipa.test']"
     }
   ]
   [
     {
       "uid": "user6",
       "cn": "user 6",
       "krbpasswordexpiration": "2020-12-17 15:51:53",
       "mail": "['user5@ipa.test']"
     }
   ]
   The IPA-EPN command was successful

9. EPN を監視システムに追加して、--from-nbdays および --to-nbdays オプションで EPN を呼び出し、特定の時間内に期限切れになるユーザーパスワード数を確認できます。

   # ipa-epn --from-nbdays 8 --to-nbdays 12

   注記

   --from-nbdays および --to-nbdays で EPN ツールを呼び出すと、自動的にドライランモードで実行されます。