11.6. 사용자 및 그룹에 외부 프로비저닝 시스템 사용

1. provisionator 사용자 계정을 추가합니다.

   $ ipa user-add provisionator --first=provisioning --last=account --password

2. Provision ator 사용자에게 필요한 권한을 부여합니다.
   사용자 지정 역할 시스템 프로비저닝 을 생성하여 스테이지 사용자 추가를 관리합니다.

   $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

   역할에 Stage User Provisioning 권한을 추가합니다. 이 권한은 스테이징 사용자를 추가할 수 있는 기능을 제공합니다.

   $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

   Provision ator 사용자를 역할에 추가합니다.

   $ ipa role-add-member --users=provisionator "System Provisioning"

1. activator 사용자 계정을 추가합니다.

   $ ipa user-add activator --first=activation --last=account --password

2. 활성화 기 사용자에게 필요한 권한을 부여합니다.
   기본 사용자 관리자 역할에 사용자를 추가합니다.

   $ ipa role-add-member --users=activator "User Administrator"

$ ipa group-add service-accounts

$ ipa pwpolicy-add service-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=20 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

$ ipa group-add-member service-accounts --users={provisionator,activator}

$ kpasswd provisionator
$ kpasswd activator

# ipa-getkeytab -s example.com -p "activator" -k /etc/krb5.ipa-activation.keytab

#!/bin/bash

kinit -k -i activator

ipa stageuser-find --all --raw | grep "  uid:" | cut -d ":" -f 2 | while read uid; do ipa stageuser-activate ${uid}; done

# chmod 755 /usr/local/sbin/ipa-activate-all
# chown root:root /usr/local/sbin/ipa-activate-all

[Unit]
Description=Scan IdM every minute for any stage users that must be activated

[Service]
Environment=KRB5_CLIENT_KTNAME=/etc/krb5.ipa-activation.keytab
Environment=KRB5CCNAME=FILE:/tmp/krb5cc_ipa-activate-all
ExecStart=/usr/local/sbin/ipa-activate-all

[Unit]
Description=Scan IdM every minute for any stage users that must be activated

[Timer]
OnBootSec=15min
OnUnitActiveSec=1min

[Install]
WantedBy=multi-user.target

# systemctl enable ipa-activate-all.timer