12장. 사용자의 외부 프로비저닝을 위한 IdM 구성

절차

1. IdM 관리자로 로그인합니다.

   $ kinit admin

   Copy to Clipboard Toggle word wrap

2. 스테이징 사용자를 추가할 권한이 있는 provisionator 라는 사용자를 만듭니다.

   1. provisionator 사용자 계정을 추가합니다.

      $ ipa user-add provisionator --first=provisioning --last=account --password

      Copy to Clipboard Toggle word wrap

   2. 프로비저너 사용자에게 필요한 권한을 부여합니다.

      1. 사용자 지정 역할인 System Provisioning 을 생성하여 스테이징 사용자 추가를 관리합니다.

         $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

         Copy to Clipboard Toggle word wrap

      2. 역할에 Stage User Provisioning(사용자 프로비저닝 단계) 권한을 추가합니다. 이 권한은 스테이징 사용자를 추가할 수 있는 기능을 제공합니다.

         $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

         Copy to Clipboard Toggle word wrap

      3. provisionator 사용자를 역할에 추가합니다.

         $ ipa role-add-member --users=provisionator "System Provisioning"

         Copy to Clipboard Toggle word wrap

      4. 프로비저너가 IdM에 있는지 확인합니다.

         $ ipa user-find provisionator --all --raw
         --------------
         1 user matched
         --------------
           dn: uid=provisionator,cn=users,cn=accounts,dc=idm,dc=example,dc=com
           uid: provisionator
           [...]

         Copy to Clipboard Toggle word wrap

3. 사용자 계정을 관리할 수 있는 권한을 가진 사용자 활성화 기를 만듭니다.

   1. 활성화기 사용자 계정을 추가합니다.

      $ ipa user-add activator --first=activation --last=account --password

      Copy to Clipboard Toggle word wrap

   2. 사용자를 기본 User Administrator 역할에 추가하여 필요한 권한을 활성화 사용자에게 부여합니다.

      $ ipa role-add-member --users=activator "User Administrator"

      Copy to Clipboard Toggle word wrap

4. 애플리케이션 계정의 사용자 그룹을 생성합니다.

   $ ipa group-add application-accounts

   Copy to Clipboard Toggle word wrap

5. 그룹의 암호 정책을 업데이트합니다. 다음 정책은 계정의 암호 만료 및 잠금을 방지하지만 복잡한 암호를 요구하여 잠재적인 위험을 보상합니다.

   $ ipa pwpolicy-add application-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=8 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

   Copy to Clipboard Toggle word wrap

6. 선택 사항: IdM에 암호 정책이 있는지 확인합니다.

   $ ipa pwpolicy-show application-accounts
     Group: application-accounts
     Max lifetime (days): 10000
     Min lifetime (hours): 0
     History size: 0
   [...]

   Copy to Clipboard Toggle word wrap

7. 애플리케이션 계정의 그룹에 프로비저닝 및 활성화 계정을 추가합니다.

   $ ipa group-add-member application-accounts --users={provisionator,activator}

   Copy to Clipboard Toggle word wrap

8. 사용자 계정의 암호를 변경합니다.

   $ kpasswd provisionator
   $ kpasswd activator

   Copy to Clipboard Toggle word wrap

   새 IdM 사용자 암호가 즉시 만료되기 때문에 암호를 변경해야 합니다.