Identity Management와 함께 외부 Red Hat 유틸리티 사용

1. IdM 클라이언트 사용자는 예를 들어 명령줄에서 kinit 유틸리티를 사용하여 TGT(Kerberos ticket)를 검색하여 OAuth 2.0 장치 권한 부여 부여 흐름을 시작합니다.
2. 특수 코드 및 웹 사이트 링크는 권한 부여 서버에서 IdM KMS(Key Distribution Center) 백엔드로 전송됩니다.
3. IdM 클라이언트는 링크와 코드를 사용자에게 표시합니다. 이 예에서 IdM 클라이언트는 명령줄에 링크 및 코드를 출력합니다.

4. 사용자는 다른 호스트, 휴대폰 등에 있을 수 있는 브라우저에서 웹 사이트 링크를 엽니다.

   1. 사용자가 특수 코드를 입력합니다.
   2. 필요한 경우 사용자는 OAuth 2.0 기반 IdP에 로그인합니다.
   3. 사용자에게 정보에 액세스할 수 있도록 클라이언트에 권한을 부여하라는 메시지가 표시됩니다.
5. 사용자는 원래 장치 프롬프트에서 액세스를 확인합니다. 이 예제에서 사용자는 명령줄에서 Enter 키를 누릅니다.
6. IdM KDC 백엔드는 OAuth 2.0 인증 서버를 폴링하여 사용자 정보에 액세스합니다.

절차

1. IdM 서버에서 IdM 관리자로 인증합니다.

   [root@server ~]# kinit admin

2. Keycloak 템플릿을 기반으로 IdP에 my-keycloak-idp 라는 참조를 생성합니다. 여기서 --base-url 옵션은 server-name.$DOMAIN:$PORT/prefix 형식으로 Keycloak 서버에 대한 URL을 지정합니다.

   [root@server ~]# ipa idp-add my-keycloak-idp \ --provider keycloak --organization main \ --base-url keycloak.idm.example.com:8443/auth \ --client-id id13778
   ------------------------------------------------
   Added Identity Provider reference "my-keycloak-idp"
   ------------------------------------------------
     Identity Provider reference name: my-keycloak-idp
     Authorization URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/auth
     Device authorization URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/auth/device
     Token URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/token
     User info URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/userinfo
     Client identifier: ipa_oidc_client
     Scope: openid email
     External IdP user identifier attribute: email

절차

1. IdM 서버에서 IdM 관리자로 인증합니다.

   [root@server ~]# kinit admin

2. IdP 참조를 관리합니다.

   • 항목에 string keycloak 이 포함된 IdP 참조를 찾으려면 다음을 수행합니다.

     [root@server ~]# ipa idp-find keycloak

   • my-keycloak-idp 라는 IdP 참조를 표시하려면 다음을 수행합니다.

     [root@server ~]# ipa idp-show my-keycloak-idp

   • IdP 참조를 수정하려면 ipa idp-mod 명령을 사용합니다. 예를 들어 my-keycloak-idp 라는 IdP 참조의 시크릿을 변경하려면 시크릿을 입력하라는 메시지를 표시하도록 --secret 옵션을 지정합니다.

     [root@server ~]# ipa idp-mod my-keycloak-idp --secret

   • my-keycloak-idp 라는 IdP 참조를 삭제하려면 다음을 수행합니다.

     [root@server ~]# ipa idp-del my-keycloak-idp

1. 익명 Kerberos 티켓을 로컬로 검색하고 저장합니다.
2. kinit 를 -T 옵션과 함께 사용하여 idm-user-with-external-idp 사용자에게 FAST(Secure tunneling) 채널을 통해 유연한 인증을 활성화하여 Kerberos 클라이언트와 KDC(Kerberos Distribution Center) 간에 보안 연결을 제공하도록 TGT를 요청합니다.

절차

1. 익명 PKINIT를 사용하여 Kerberos 티켓을 얻고 ./fast.ccache 라는 파일에 저장합니다.

   $ kinit -n -c ./fast.ccache

2. 선택 사항: 검색된 티켓을 확인합니다.

   $ klist -c fast.ccache
   Ticket cache: FILE:fast.ccache
   Default principal: WELLKNOWN/ANONYMOUS@WELLKNOWN:ANONYMOUS
   
   Valid starting       Expires              Service principal
   03/03/2024 13:36:37  03/04/2024 13:14:28  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

3. -T 옵션을 사용하여 IdM 사용자로 인증을 시작하여 gRPCST 통신 채널을 활성화합니다.

   [root@client ~]# kinit -T ./fast.ccache idm-user-with-external-idp
   Authenticate at https://oauth2.idp.com:8443/auth/realms/master/device?user_code=YHMQ-XKTL and press ENTER.:

4. 브라우저에서 명령 출력에 제공된 웹 사이트에서 사용자로 인증합니다.
5. 명령줄에서 Enter 키를 눌러 인증 프로세스를 완료합니다.

절차

1. SSH를 통해 IdM 클라이언트에 로그인합니다.

   [user@client ~]$ ssh idm-user-with-external-idp@client.idm.example.com
   (idm-user-with-external-idp@client.idm.example.com) Authenticate at https://oauth2.idp.com:8443/auth/realms/main/device?user_code=XYFL-ROYR and press ENTER.

2. 브라우저에서 명령 출력에 제공된 웹 사이트에서 사용자로 인증합니다.
3. 명령줄에서 Enter 키를 눌러 인증 프로세스를 완료합니다.

절차

1. 필수 패키지를 설치합니다.

   [root@ipaserver ~]# dnf install ipa-server-trust-ad samba-client

2. IdM 관리자로 인증합니다.

   [root@ipaserver ~]# kinit admin

3. ipa-adtrust-install 유틸리티를 실행합니다.

   [root@ipaserver ~]# ipa-adtrust-install

   IdM이 통합된 DNS 서버와 함께 설치된 경우 DNS 서비스 레코드가 자동으로 생성됩니다.

   통합된 DNS 서버 없이 IdM을 설치한 경우, ipa-adtrust-install 은 DNS에 수동으로 추가해야 하는 서비스 레코드 목록을 인쇄합니다.

4. 스크립트에서 /etc/samba/smb.conf가 이미 존재하고 다시 작성됨을 묻는 메시지를 표시합니다.

   WARNING: The smb.conf already exists. Running ipa-adtrust-install will break your existing Samba configuration.
   
   Do you wish to continue? [no]: yes

5. 스크립트에서 이전 Linux 클라이언트가 신뢰할 수 있는 사용자로 작업할 수 있는 호환성 플러그인인 slapi-nis 플러그인을 구성하도록 프롬프트를 표시합니다.

   Do you want to enable support for trusted domains in Schema Compatibility plugin?
   This will allow clients older than SSSD 1.9 and non-Linux clients to work with trusted users.
   
   Enable trusted domains support in slapi-nis? [no]: yes

6. SID 생성 작업을 실행하여 기존 사용자의 SID를 생성하라는 메시지가 표시됩니다.

   Do you want to run the ipa-sidgen task? [no]: yes

   이는 리소스 집약적인 작업이므로 사용자가 많은 경우 한 번에 이 작업을 실행할 수 있습니다.

7. 선택 사항: 기본적으로 Dynamic RPC 포트 범위는 Windows Server 2008 이상에서는 49152-65535 로 정의됩니다. 환경에 대해 다른 Dynamic RPC 포트 범위를 정의해야 하는 경우 다른 포트를 사용하도록 Samba를 구성하고 방화벽 설정에서 해당 포트를 엽니다. 다음 예제에서는 포트 범위를 55000-65000으로 설정합니다.

   [root@ipaserver ~]# net conf setparm global 'rpc server dynamic port range' 55000-65000
   [root@ipaserver ~]# firewall-cmd --add-port=55000-65000/tcp
   [root@ipaserver ~]# firewall-cmd --runtime-to-permanent

8. ipa 서비스를 다시 시작하십시오.

   [root@ipaserver ~]# ipactl restart

9. smbclient 유틸리티를 사용하여 Samba가 IdM 측에서 Kerberos 인증에 응답하는지 확인합니다.

   [root@ipaserver ~]# smbclient -L ipaserver.idm.example.com -U user_name --use-kerberos=required
   lp_load_ex: changing to config backend registry
       Sharename       Type      Comment
       ---------       ----      -------
       IPC$            IPC       IPC Service (Samba 4.15.2)
   ...

절차

1. ipa-client-samba 패키지를 설치합니다.

   [root@idm_client]# dnf install ipa-client-samba

2. ipa-client-samba 유틸리티를 사용하여 클라이언트를 준비하고 초기 Samba 구성을 생성합니다.

   [root@idm_client]# ipa-client-samba
   Searching for IPA server...
   IPA server: DNS discovery
   Chosen IPA master: idm_server.idm.example.com
   SMB principal to be created: cifs/idm_client.idm.example.com@IDM.EXAMPLE.COM
   NetBIOS name to be used: IDM_CLIENT
   Discovered domains to use:
   
    Domain name: idm.example.com
   NetBIOS name: IDM
            SID: S-1-5-21-525930803-952335037-206501584
       ID range: 212000000 - 212199999
   
    Domain name: ad.example.com
   NetBIOS name: AD
            SID: None
       ID range: 1918400000 - 1918599999
   
   Continue to configure the system with these values? [no]: yes
   Samba domain member is configured. Please check configuration at /etc/samba/smb.conf and start smb and winbind services

3. 기본적으로 ipa-client- 915는 사용자가 연결할 때 사용자의 홈 디렉터리를 동적으로 공유하는 /etc/ controlPlane/dpdk.conf 파일에 [homes] 섹션을 자동으로 추가합니다. 이 서버에 홈 디렉터리가 없거나 공유하려는 경우 /etc/samba/smb.conf에서 다음 행을 제거하십시오.

   [homes]
       read only = no

4. 디렉토리와 프린터를 공유합니다. 자세한 내용은 다음 섹션을 참조하십시오.

   • POSIX ACL을 사용하는 Samba 파일 공유 설정
   • Windows ACL을 사용하는 공유 설정
   • Samba를 인쇄 서버로 설정

5. 로컬 방화벽에서 Samba 클라이언트에 필요한 포트를 엽니다.

   [root@idm_client]# firewall-cmd --permanent --add-service=samba-client
   [root@idm_client]# firewall-cmd --reload

6. smb 및 winbind 서비스를 활성화하고 시작합니다.

   [root@idm_client]# systemctl enable --now smb winbind

절차

1. 호스트의 keytab을 사용하여 인증합니다.

   [root@idm_client]# kinit -k

2. ipa idrange-find 명령을 사용하여 새 도메인의 기본 ID와 ID 범위 크기를 모두 표시합니다. 예를 들어 다음 명령은 ad.example.com 도메인의 값을 표시합니다.

   [root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw
   ---------------
   1 range matched
   ---------------
     cn: AD.EXAMPLE.COM_id_range
     ipabaseid: 1918400000
     ipaidrangesize: 200000
     ipabaserid: 0
     ipanttrusteddomainsid: S-1-5-21-968346183-862388825-1738313271
     iparangetype: ipa-ad-trust
   ----------------------------
   Number of entries returned 1
   ----------------------------

   다음 단계에서 ipabaseid 및 ipaidrangesize 속성의 값이 필요합니다.

3. 사용 가능한 최고 ID를 계산하려면 다음 공식을 사용합니다.

   maximum_range = ipabaseid + ipaidrangesize - 1

   이전 단계의 값을 사용하면 ad.example.com 도메인에서 사용 가능한 가장 높은 ID는 1918599999 (1918400000 + 200000 - 1)입니다.

4. /etc/samba/smb.conf 파일을 편집하고 도메인의 ID 매핑 구성을 [global] 섹션에 추가합니다.

   idmap config AD : range = 1918400000 - 1918599999
   idmap config AD : backend = sss

   ipabaseid 속성의 값을 가장 낮은 값으로 지정하고 이전 단계에서 계산된 값을 범위의 가장 높은 값으로 지정합니다.

5. smb 및 winbind 서비스를 다시 시작합니다.

   [root@idm_client]# systemctl restart smb winbind

절차

1. IdM 서버에서 NIS 리스너 및 호환성 플러그인을 활성화합니다.

   [root@ipaserver ~]# ipa-nis-manage enable
   [root@ipaserver ~]# ipa-compat-manage enable

2. 선택 사항: 보다 엄격한 방화벽 구성을 위해 고정 포트를 설정합니다.

   예를 들어 포트를 사용하지 않는 포트 514 로 설정하려면 다음을 수행합니다.

   [root@ipaserver ~]# ldapmodify -x -D 'cn=directory manager' -W
   dn: cn=NIS Server,cn=plugins,cn=config
   changetype: modify
   add: nsslapd-pluginarg0
   nsslapd-pluginarg0: 514

   주의

   다른 서비스와 충돌하지 않도록 하려면 1024 이상의 포트 번호를 사용하지 않습니다.

3. 포트 매퍼 서비스를 활성화하고 시작합니다.

   [root@ipaserver ~]# systemctl enable rpcbind.service
   [root@ipaserver ~]# systemctl start rpcbind.service

4. 디렉터리 서버 재시작:

   [root@ipaserver ~]# systemctl restart dirsrv.target

절차

1. yp-tools 패키지를 설치합니다.

   [root@nis-server ~]# dnf install yp-tools -y

2. NIS 서버에서 다음 콘텐츠를 사용하여 /root/nis-users.sh 스크립트를 만듭니다.

   #!/bin/sh
   # $1 is the NIS domain, $2 is the primary NIS server
   ypcat -d $1 -h $2 passwd > /dev/shm/nis-map.passwd 2>&1
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.passwd) ; do
   	IFS=' '
   	username=$(echo $line | cut -f1 -d:)
   	# Not collecting encrypted password because we need cleartext password
   	# to create kerberos key
   	uid=$(echo $line | cut -f3 -d:)
   	gid=$(echo $line | cut -f4 -d:)
   	gecos=$(echo $line | cut -f5 -d:)
   	homedir=$(echo $line | cut -f6 -d:)
   	shell=$(echo $line | cut -f7 -d:)
   
   	# Now create this entry
   	echo passw0rd1 | ipa user-add $username --first=NIS --last=USER \
   	     --password --gidnumber=$gid --uid=$uid --gecos="$gecos" --homedir=$homedir \
   	     --shell=$shell
   	ipa user-show $username
   done

3. IdM 관리자로 인증합니다.

   [root@nis-server ~]# kinit admin

4. 스크립트를 실행합니다. 예를 들어 다음과 같습니다.

   [root@nis-server ~]# sh /root/nis-users.sh nisdomain nis-server.example.com

   중요

   이 스크립트는 첫 번째 이름, 성에 하드 코딩된 값을 사용하고 암호를 passw0rd1 로 설정합니다. 사용자는 다음 로그인 시 임시 암호를 변경해야 합니다.

절차

1. yp-tools 패키지를 설치합니다.

   [root@nis-server ~]# dnf install yp-tools -y

2. NIS 서버에서 다음 콘텐츠를 사용하여 /root/nis-groups.sh 스크립트를 생성합니다.

   #!/bin/sh
   # $1 is the NIS domain, $2 is the primary NIS server
   ypcat -d $1 -h $2 group > /dev/shm/nis-map.group 2>&1
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.group); do
   	IFS=' '
   	groupname=$(echo $line | cut -f1 -d:)
   	# Not collecting encrypted password because we need cleartext password
   	# to create kerberos key
   	gid=$(echo $line | cut -f3 -d:)
   	members=$(echo $line | cut -f4 -d:)
   
   	# Now create this entry
   	ipa group-add $groupname --desc=NIS_GROUP_$groupname --gid=$gid
   	if [ -n "$members" ]; then
   		useropts=$(eval echo --users={$members})
   		ipa group-add-member $groupname $useropts
   	fi
   	ipa group-show $groupname
   done

   참고

   사용자 그룹을 성공적으로 마이그레이션하기 위해 사용자 이름에 특수 문자가 포함되어 있지 않은지 확인합니다.

3. IdM 관리자로 인증합니다.

   [root@nis-server ~]# kinit admin

4. 스크립트를 실행합니다. 예를 들어 다음과 같습니다.

   [root@nis-server ~]# sh /root/nis-groups.sh nisdomain nis-server.example.com

절차

1. yp-tools 패키지를 설치합니다.

   [root@nis-server ~]# dnf install yp-tools -y

2. NIS 서버에서 다음 콘텐츠를 사용하여 /root/nis-hosts.sh 스크립트를 만듭니다.

   #!/bin/sh
   # $1 is the NIS domain, $2 is the primary NIS server
   ypcat -d $1 -h $2 hosts | egrep -v "localhost|127.0.0.1" > /dev/shm/nis-map.hosts 2>&1
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.hosts); do
   	IFS=' '
   	ipaddress=$(echo $line | awk '{print $1}')
   	hostname=$(echo $line | awk '{print $2}')
   	primary=$(ipa env xmlrpc_uri | tr -d '[:space:]' | cut -f3 -d: | cut -f3 -d/)
   	domain=$(ipa env domain | tr -d '[:space:]' | cut -f2 -d:)
   	if [ $(echo $hostname | grep "\." |wc -l) -eq 0 ] ; then
   		hostname=$(echo $hostname.$domain)
   	fi
   	zone=$(echo $hostname | cut -f2- -d.)
   	if [ $(ipa dnszone-show $zone 2>/dev/null | wc -l) -eq 0 ] ; then
   		ipa dnszone-add --name-server=$primary --admin-email=root.$primary
   	fi
   	ptrzone=$(echo $ipaddress | awk -F. '{print $3 "." $2 "." $1 ".in-addr.arpa."}')
   	if [ $(ipa dnszone-show $ptrzone 2>/dev/null | wc -l) -eq 0 ] ; then
   		ipa dnszone-add  $ptrzone --name-server=$primary --admin-email=root.$primary
   	fi
   	# Now create this entry
   	ipa host-add $hostname --ip-address=$ipaddress
   	ipa host-show $hostname
   done

3. IdM 관리자로 인증합니다.

   [root@nis-server ~]# kinit admin

4. 스크립트를 실행합니다. 예를 들어 다음과 같습니다.

   [root@nis-server ~]# sh /root/nis-hosts.sh nisdomain nis-server.example.com

   참고

   이 스크립트는 별칭과 같은 특수 호스트 구성을 마이그레이션하지 않습니다.

절차

1. yp-tools 패키지를 설치합니다.

   [root@nis-server ~]# dnf install yp-tools -y

2. NIS 서버에서 다음 콘텐츠를 사용하여 /root/nis-netgroups.sh 스크립트를 만듭니다.

   #!/bin/sh
   # $1 is the NIS domain, $2 is the primary NIS server
   ypcat -k -d $1 -h $2 netgroup > /dev/shm/nis-map.netgroup 2>&1
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.netgroup); do
   	IFS=' '
   	netgroupname=$(echo $line | awk '{print $1}')
   	triples=$(echo $line | sed "s/^$netgroupname //")
   	echo "ipa netgroup-add $netgroupname --desc=NIS_NG_$netgroupname"
   	if [ $(echo $line | grep "(," | wc -l) -gt 0 ]; then
   		echo "ipa netgroup-mod $netgroupname --hostcat=all"
   	fi
   	if [ $(echo $line | grep ",," | wc -l) -gt 0 ]; then
   		echo "ipa netgroup-mod $netgroupname --usercat=all"
   	fi
   
   	for triple in $triples; do
   		triple=$(echo $triple | sed -e 's/-//g' -e 's/(//' -e 's/)//')
   		if [ $(echo $triple | grep ",.*," | wc -l) -gt 0 ]; then
   			hostname=$(echo $triple | cut -f1 -d,)
   			username=$(echo $triple | cut -f2 -d,)
   			domain=$(echo $triple | cut -f3 -d,)
   			hosts=""; users=""; doms="";
   			[ -n "$hostname" ] && hosts="--hosts=$hostname"
   			[ -n "$username" ] && users="--users=$username"
   			[ -n "$domain"   ] && doms="--nisdomain=$domain"
   			echo "ipa netgroup-add-member $netgroup $hosts $users $doms"
   		else
   			netgroup=$triple
   			echo "ipa netgroup-add $netgroup --desc=<NIS_NG>_$netgroup"
   		fi
   	done
   done

3. IdM 관리자로 인증합니다.

   [root@nis-server ~]# kinit admin

4. 스크립트를 실행합니다. 예를 들어 다음과 같습니다.

   [root@nis-server ~]# sh /root/nis-netgroups.sh nisdomain nis-server.example.com

절차

1. yp-tools 패키지를 설치합니다.

   [root@nis-server ~]# dnf install yp-tools -y

2. NIS 서버에서 다음 콘텐츠를 사용하여 /root/nis-automounts.sh 스크립트를 만듭니다.

   #!/bin/sh
   # $1 is for the automount entry in ipa
   
   ipa automountlocation-add $1
   
   # $2 is the NIS domain, $3 is the primary NIS server, $4 is the map name
   
   ypcat -k -d $2 -h $3 $4 > /dev/shm/nis-map.$4 2>&1
   
   ipa automountmap-add $1 $4
   
   basedn=$(ipa env basedn | tr -d '[:space:]' | cut -f2 -d:)
   cat > /tmp/amap.ldif <<EOF
   dn: nis-domain=$2+nis-map=$4,cn=NIS Server,cn=plugins,cn=config
   objectClass: extensibleObject
   nis-domain: $2
   nis-map: $4
   nis-base: automountmapname=$4,cn=$1,cn=automount,$basedn
   nis-filter: (objectclass=\*)
   nis-key-format: %{automountKey}
   nis-value-format: %{automountInformation}
   EOF
   
   # $5 is the LDAP server
   
   ldapadd -x -h $5 -D "cn=Directory Manager" -W -f /tmp/amap.ldif
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.$4); do
   	IFS=" "
   	key=$(echo "$line" | awk '{print $1}')
   	info=$(echo "$line" | sed -e "s^$key[ \t]*")
   	ipa automountkey-add nis $4 --key="$key" --info="$info"
   done

   참고

   이 스크립트는 NIS 자동 마운트 정보를 내보내고 자동 마운트 위치 및 관련 맵을 위해 LDAP 데이터 상호 변경 형식(LDIF)을 생성하고, LDIF 파일을 IdM 디렉터리 서버로 가져옵니다.

3. IdM 관리자로 인증합니다.

   [root@nis-server ~]# kinit admin

4. 스크립트를 실행합니다. 예를 들어 다음과 같습니다.

   [root@nis-server ~]# sh /root/nis-automounts.sh location nisdomain
        nis-server.example.com map_name

절차

1. IdM 관리자로 kerberos 티켓을 받습니다.

   # kinit admin

2. nfs/<FQDN> 서비스 주체를 생성합니다.

   # ipa service-add nfs/nfs_server.idm.example.com

3. IdM에서 nfs 서비스 주체를 검색하여 /etc/krb5.keytab 파일에 저장합니다.

   # ipa-getkeytab -s idm_server.idm.example.com -p nfs/nfs_server.idm.example.com -k /etc/krb5.keytab

4. 선택 사항: /etc/krb5.keytab 파일에서 주체를 표시합니다.

   # klist -k /etc/krb5.keytab
   Keytab name: FILE:/etc/krb5.keytab
   KVNO Principal
   ---- --------------------------------------------------------------------------
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM

   기본적으로 IdM 클라이언트는 호스트를 IdM 도메인에 결합할 때 /etc/krb5.keytab 파일에 호스트 주체를 추가합니다. 호스트 주체가 없는 경우 ipa-getkeytab -s idm_server.idm.example.com -p host/nfs_server.idm.example.com -k /etc/krb5.keytab 명령을 사용하여 추가합니다.

5. ipa-client-automount 유틸리티를 사용하여 IdM ID의 매핑을 구성합니다.

   #  ipa-client-automount
   Searching for IPA server...
   IPA server: DNS discovery
   Location: default
   Continue to configure the system with these values? [no]: yes
   Configured /etc/idmapd.conf
   Restarting sssd, waiting for it to become available.
   Started autofs

6. /etc/exports 파일을 업데이트하고 Kerberos 보안 방법을 클라이언트 옵션에 추가합니다. 예를 들어 다음과 같습니다.

   /nfs/projects/      	192.0.2.0/24(rw,sec=krb5i)

   클라이언트가 여러 보안 방법 중에서 선택할 수 있도록 하려면 해당 방법을 콜론으로 구분하여 지정합니다.

   /nfs/projects/      	192.0.2.0/24(rw,sec=krb5:krb5i:krb5p)

7. 내보낸 파일 시스템을 다시 로드합니다.

   # exportfs -r

절차

1. raleigh Autoscaler 위치를 만듭니다.

   $ ipa automountlocation-add raleigh
   ----------------------------------
   Added automount location "raleigh"
   ----------------------------------
     Location: raleigh

2. raleigh 위치에 auto.devel 자동 자동 마운트 맵을 만듭니다.

   $ ipa automountmap-add raleigh auto.devel
   --------------------------------
   Added automount map "auto.devel"
   --------------------------------
     Map: auto.devel

3. exports/ share에 대한 키 및 마운트 정보를 추가합니다.

   1. auto.devel 맵의 키 및 마운트 정보를 추가합니다.

      $ ipa automountkey-add raleigh auto.devel --key='*' --info='-sec=krb5p,vers=4 nfs-server.idm.example.com:/exports/&'
      -----------------------
      Added automount key "*"
      -----------------------
        Key: *
        Mount information: -sec=krb5p,vers=4 nfs-server.idm.example.com:/exports/&

   2. auto.master 맵에 대한 키 및 마운트 정보를 추가합니다.

      $ ipa automountkey-add raleigh auto.master --key=/devel --info=auto.devel
      ----------------------------
      Added automount key "/devel"
      ----------------------------
        Key: /devel
        Mount information: auto.devel

절차

1. IdM 클라이언트에서 ipa-client-automount 명령을 입력하고 위치를 지정합니다. -U 옵션을 사용하여 축소 스크립트를 실행합니다.

   # ipa-client-automount --location raleigh -U

2. NetNamespace 서비스를 중지하고 SSSD 캐시를 지우고 NetNamespace 서비스를 시작하여 새 구성 설정을 로드합니다.

   # systemctl stop autofs ; sss_cache -E ; systemctl start autofs

절차

1. IdM 사용자가 읽기-쓰기 디렉터리에 액세스할 수 있는지 확인합니다.

   1. IdM 사용자로 IdM 클라이언트에 연결합니다.

      $ ssh idm_user@idm-client.idm.example.com
      Password:

   2. IdM 사용자의 티켓 통합 티켓 (TGT)을 받으십시오.

      $ kinit idm_user

   3. 선택 사항: IdM 사용자의 그룹 멤버십을 확인합니다.

      $ ipa user-show idm_user
        User login: idm_user
        [...]
        Member of groups: developers, ipausers

   4. /devel/project 디렉터리로 이동합니다.

      $ cd /devel/project

   5. 디렉터리 콘텐츠를 나열합니다.

      $ ls
      rw_file

   6. 디렉터리의 파일에 행을 추가하여 쓰기 권한을 테스트합니다.

      $ echo "idm_user can write into the file" > rw_file

   7. 선택 사항: 파일의 업데이트된 콘텐츠를 확인합니다.

      $ cat rw_file
      this is a read-write file
      idm_user can write into the file

   출력에서 idm_user 가 파일에 쓸 수 있는지 확인합니다.

절차

1. IdM 관리자로 kerberos 티켓을 받습니다.

   # kinit admin

2. nfs/<FQDN> 서비스 주체를 생성합니다.

   # ipa service-add nfs/nfs_server.idm.example.com

3. IdM에서 nfs 서비스 주체를 검색하여 /etc/krb5.keytab 파일에 저장합니다.

   # ipa-getkeytab -s idm_server.idm.example.com -p nfs/nfs_server.idm.example.com -k /etc/krb5.keytab

4. 선택 사항: /etc/krb5.keytab 파일에서 주체를 표시합니다.

   # klist -k /etc/krb5.keytab
   Keytab name: FILE:/etc/krb5.keytab
   KVNO Principal
   ---- --------------------------------------------------------------------------
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM

   기본적으로 IdM 클라이언트는 호스트를 IdM 도메인에 결합할 때 /etc/krb5.keytab 파일에 호스트 주체를 추가합니다. 호스트 주체가 없는 경우 ipa-getkeytab -s idm_server.idm.example.com -p host/nfs_server.idm.example.com -k /etc/krb5.keytab 명령을 사용하여 추가합니다.

5. ipa-client-automount 유틸리티를 사용하여 IdM ID의 매핑을 구성합니다.

   #  ipa-client-automount
   Searching for IPA server...
   IPA server: DNS discovery
   Location: default
   Continue to configure the system with these values? [no]: yes
   Configured /etc/idmapd.conf
   Restarting sssd, waiting for it to become available.
   Started autofs

6. /etc/exports 파일을 업데이트하고 Kerberos 보안 방법을 클라이언트 옵션에 추가합니다. 예를 들어 다음과 같습니다.

   /nfs/projects/      	192.0.2.0/24(rw,sec=krb5i)

   클라이언트가 여러 보안 방법 중에서 선택할 수 있도록 하려면 해당 방법을 콜론으로 구분하여 지정합니다.

   /nfs/projects/      	192.0.2.0/24(rw,sec=krb5:krb5i:krb5p)

7. 내보낸 파일 시스템을 다시 로드합니다.

   # exportfs -r

절차

1. Ansible 제어 노드에서 ~/MyPlaybooks/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

2. /usr/share/doc/ansible -freeipa/playbooks/automount/ 디렉터리에 있는mount-location-present.yml Ansible 플레이북 파일을 복사합니다.

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automount/automount-location-present.yml automount-location-map-and-key-present.yml

3. 편집을 위해 autoscale-location-map-and-key-present.yml 파일을 엽니다.

4. ipaautomountlocation 작업 섹션에서 다음 변수를 설정하여 파일을 조정합니다.

   • ipaadmin_password 변수를 IdM 관리자 의 암호로 설정합니다.
   • name 변수를 raleigh 로 설정합니다.

   • state 변수가 present 로 설정되어 있는지 확인합니다.

     이는 현재 예제에서 수정된 Ansible 플레이북 파일입니다.

   ---
   - name: Automount location present example
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure automount location is present
       ipaautomountlocation:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: raleigh
         state: present

5. autoscaling -location-map-and-key-present.yml 파일을 계속 편집합니다.

   1. tasks 섹션에서 자동 마운트 맵이 있는지 확인하는 작업을 추가합니다.

      [...]
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
      [...]
        - name: ensure map named auto.devel in location raleigh is created
          ipaautomountmap:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: auto.devel
            location: raleigh
            state: present

   2. 마운트 지점 및 NFS 서버 정보를 맵에 추가하는 또 다른 작업을 추가합니다.

      [...]
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
      [...]
        - name: ensure automount key /devel/project is present
          ipaautomountkey:
            ipaadmin_password: "{{ ipaadmin_password }}"
            location: raleigh
            mapname: auto.devel
            key: /devel/project
            info: nfs-server.idm.example.com:/exports/project
            state: present

   3. auto.devel 이 auto.master 에 연결되어 있는지 확인하는 다른 작업을 추가합니다.

      [...]
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
      [...]
      - name: Ensure auto.devel is connected in auto.master:
        ipaautomountkey:
          ipaadmin_password: "{{ ipaadmin_password }}"
          location: raleigh
          mapname: auto.map
          key: /devel
          info: auto.devel
          state: present

6. 파일을 저장합니다.

7. Ansible 플레이북을 실행하고 플레이북 및 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automount-location-map-and-key-present.yml

절차

1. Ansible 제어 노드에서 ~/MyPlaybooks/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

2. 편집을 위해 autoscale-location-map-and-key-present.yml 파일을 엽니다.

3. tasks 섹션에서 IdM 개발자 그룹이 존재하고 idm_user 가 이 그룹에 추가되었는지 확인하는 작업을 추가합니다.

   [...]
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
   [...]
     - ipagroup:
        ipaadmin_password: "{{ ipaadmin_password }}"
         name: developers
         user:
         - idm_user
         state: present

4. 파일을 저장합니다.

5. Ansible 플레이북을 실행하고 플레이북 및 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automount-location-map-and-key-present.yml

6. NFS 서버에서 /exports/project 디렉터리의 그룹 소유권을 developers 로 변경하여 그룹의 모든 IdM 사용자가 디렉터리에 액세스할 수 있도록 합니다.

   # chgrp developers /exports/project

절차

1. IdM 클라이언트에서 ipa-client-automount 명령을 입력하고 위치를 지정합니다. -U 옵션을 사용하여 축소 스크립트를 실행합니다.

   # ipa-client-automount --location raleigh -U

2. NetNamespace 서비스를 중지하고 SSSD 캐시를 지우고 NetNamespace 서비스를 시작하여 새 구성 설정을 로드합니다.

   # systemctl stop autofs ; sss_cache -E ; systemctl start autofs

절차

1. IdM 사용자가 읽기-쓰기 디렉터리에 액세스할 수 있는지 확인합니다.

   1. IdM 사용자로 IdM 클라이언트에 연결합니다.

      $ ssh idm_user@idm-client.idm.example.com
      Password:

   2. IdM 사용자의 티켓 통합 티켓 (TGT)을 받으십시오.

      $ kinit idm_user

   3. 선택 사항: IdM 사용자의 그룹 멤버십을 확인합니다.

      $ ipa user-show idm_user
        User login: idm_user
        [...]
        Member of groups: developers, ipausers

   4. /devel/project 디렉터리로 이동합니다.

      $ cd /devel/project

   5. 디렉터리 콘텐츠를 나열합니다.

      $ ls
      rw_file

   6. 디렉터리의 파일에 행을 추가하여 쓰기 권한을 테스트합니다.

      $ echo "idm_user can write into the file" > rw_file

   7. 선택 사항: 파일의 업데이트된 콘텐츠를 확인합니다.

      $ cat rw_file
      this is a read-write file
      idm_user can write into the file

   출력에서 idm_user 가 파일에 쓸 수 있는지 확인합니다.