26.7. Ansible Playbook を使用して IdM ユーザー、グループ、ホスト、またはホストグループでサービスのキータブを取得できるようにする手順

手順

1. inventory.file などのインベントリーファイルを作成します。

   $ touch inventory.file

2. inventory.file を開き、[ipaserver] セクションに、設定する IdM サーバーを定義します。たとえば、Ansible に対して server.idm.example.com を設定するように指示するには、次のコマンドを実行します。

   [ipaserver]
   server.idm.example.com

3. Ansible Playbook ファイル (/usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present.yml) のコピーを作成します。以下に例を示します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present.yml /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present-copy.yml

4. コピーしたファイル /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present-copy.yml を開きます。

5. ファイルを調整します。

   • ipaadmin_password 変数は IdM 管理者パスワードに設定します。
   • ipaservice タスクの name 変数は、HTTP サービスのプリンシパルに設定します。現在の例では、HTTP/client.idm.example.com です。
   • allow_retrieve_keytab_group: セクションで IdM ユーザーの名前を指定します。現在の例では user01 です。
   • allow_retrieve_keytab_group: セクションで、IdM ユーザーグループの名前を指定します。
   • allow_retrieve_keytab_group: セクションで IdM ホストの名前を指定します。
   • allow_retrieve_keytab_group: セクションで IdM ホストグループの名前を指定します。

   • tasks セクションの name 変数を使用して、タスク名を指定します。

     現在の例に合わせて調節すると、コピーされたファイルは以下のようになります。

   ---
   - name: Service member allow_retrieve_keytab present
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Service HTTP/client.idm.example.com members allow_retrieve_keytab present for user01
       ipaservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: HTTP/client.idm.example.com
         allow_retrieve_keytab_user:
         - user01
         action: member

6. ファイルを保存します。

7. Ansible Playbook を実行します。Playbook ファイル、secret.yml ファイルを保護するパスワードを格納するファイル、およびインベントリーファイルを指定します。

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/service/service-member-allow_retrieve_keytab-present-copy.yml

検証

1. HTTP サービスのキータブ取得権限がある IdM ユーザーとして、IdM サーバーに SSH 接続します。

   $ ssh user01@server.idm.example.com
   Password:

2. -r オプションを指定して ipa-getkeytab コマンドを使用してキータブを取得します。

   $ ipa-getkeytab -r -s server.idm.example.com -p HTTP/client.idm.example.com -k /etc/httpd/conf/krb5.keytab

   -s オプションは、キータブの取得元となるキー配布センター (KDC) サーバーを指定します。

   -p オプションは、キータブを取得するプリンシパルを指定します。

   -k オプションは、取得した鍵を追加するキータブファイルを指定します。ファイルが存在しない場合には、作成されます。