37.3. ID 보기를 사용하여 IdM 클라이언트에서 AD 사용자의 AD 속성 덮어쓰기

프로세스

1. IdM 서버에서 ID 보기를 생성합니다. 예를 들어 example_for_client1 이라는 ID 뷰를 생성하려면 다음을 수행합니다.

   $ ipa idview-add example_for_client1
   ---------------------------
   Added ID View "example_for_client1"
   ---------------------------
     ID View Name: example_for_client1

   Copy to Clipboard Toggle word wrap

2. IdM 서버에서 사용자가 example_for_client1 ID 보기로 재정의됩니다. 사용자의 GID를 재정의하려면 다음을 수행합니다.

   • ipa idoverrideuser-add 명령을 입력합니다.
   • ID 뷰의 이름 추가
   • 앵커라고도 하는 사용자 이름을 추가합니다.
   • --gidnumber= 옵션을 추가합니다.

   $ ipa idoverrideuser-add example_for_client1 ad_user@ad.example.com --gidnumber=732001337
   -----------------------------
   Added User ID override "ad_user@ad.example.com"
   -----------------------------
     Anchor to override: ad_user@ad.example.com
     GID: 732001337

   Copy to Clipboard Toggle word wrap

3. IdM 서버에서 example_for_client1 을 client1.idm.example.com IdM 클라이언트에 적용합니다.

   $ ipa idview-apply example_for_client1 --hosts=client1.idm.example.com
   -----------------------------
   Applied ID View "example_for_client1"
   -----------------------------
   hosts: client1.idm.example.com
   ---------------------------------------------
   Number of hosts the ID View was applied to: 1
   ---------------------------------------------

   Copy to Clipboard Toggle word wrap
   참고

   ipa idview-apply 명령은 --hostgroups 옵션도 허용합니다. 옵션은 지정된 호스트 그룹에 속하는 호스트에 ID 보기를 적용하지만 ID 보기를 호스트 그룹 자체와 연결하지 않습니다. 대신 --hostgroups 옵션은 지정된 호스트 그룹의 멤버를 확장하고 --hosts 옵션을 각 그룹에 개별적으로 적용합니다.

   즉, 나중에 호스트를 호스트 그룹에 추가하면 ID 보기가 새 호스트에 적용되지 않습니다.

4. IdM 클라이언트에서 client1.idm.example.com IdM 클라이언트의 SSSD 캐시에서 ad_user@ad.example.com 사용자의 항목을 지웁니다. 이렇게 하면 오래된 데이터가 제거되고 새 재정의 값이 적용됩니다.

   # sssctl cache-expire -u ad_user@ad.example.com

   Copy to Clipboard Toggle word wrap

검증

1. ad_user@ad.example.com 로 클라이언트 시스템에 SSH 로 연결합니다.

   # ssh ad_user@ad.example.com@client1.idm.example.com

   Copy to Clipboard Toggle word wrap

2. 클라이언트 시스템에서 ad_user@ad.example.com 사용자의 정보를 검색하여 GID가 업데이트된 값을 반영하는지 확인합니다.

   [ad_user@ad.example.com@client1 ~]$ id ad_user@ad.example.com
   uid=702801456(ad_user@ad.example.com) gid=732001337(admins2)
   groups=732001337(admins2),702800513(domain users@ad.example.com)

   Copy to Clipboard Toggle word wrap