51.4. Ansible을 사용하여 AD 사용자가 IdM을 관리하도록 지원

프로세스

1. Ansible 제어 노드에서 작업을 사용하여 enable-ad-admin-to-administer-idm.yml 플레이북을 생성하여 기본 신뢰 뷰에 ad_user@ad.example.com 사용자 덮어쓰기를 추가합니다.

   ---
   - name: Enable AD administrator to act as a FreeIPA admin
     hosts: ipaserver
     become: false
     gather_facts: false
   
     tasks:
     - name: Ensure idoverride for ad_user@ad.example.com in 'Default Trust View'
       ipaidoverrideuser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         idview: "Default Trust View"
         anchor: ad_user@ad.example.com

   예에서는 다음을 수행합니다.

   • ad_user@ad.example.com 는 신뢰가 설정된 AD 도메인에 저장된 AD 사용자의 사용자 ID 덮어쓰기입니다.

2. 동일한 플레이북에서 다른 플레이북 작업을 사용하여 admins 그룹에 AD 관리자 사용자 ID 덮어쓰기를 추가합니다.

     - name: Add the AD administrator as a member of admins
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: admins
         idoverrideuser:
         - ad_user@ad.example.com

   예에서는 다음을 수행합니다.

   • 관리자는 ad_user@ad.example.com ID 덮어쓰기를 추가하는 기본 IdM POSIX 그룹의 이름입니다. 이 그룹의 멤버에는 전체 관리자 권한이 있습니다.
3. 파일을 저장합니다.

4. Ansible 플레이북을 실행합니다. 플레이북 파일을 지정하고 secret.yml 파일을 보호하는 암호를 저장하는 파일 및 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory enable-ad-admin-to-administer-idm.yml

검증

1. AD 관리자로 IdM 클라이언트에 로그인합니다.

   $ ssh ad_user@ad.example.com@client.idm.example.com

2. 유효한 TGT( ticket-granting ticket)를 가져왔는지 확인합니다.

   $ klist
   Ticket cache: KCM:325600500:99540
   Default principal: ad_user@AD.EXAMPLE.COM
   Valid starting Expires Service principal
   02/04/2024 11:54:16 02/04/2024 21:54:16 krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
   renew until 02/05/2024 11:54:16

3. IdM에서 관리자 권한을 확인합니다.

   $ ipa user-add testuser --first=test --last=user
   ------------------------
   Added user "tuser"
   ------------------------
     User login: tuser
     First name: test
     Last name: user
     Full name: test user
   [...]