11장. 사용자의 외부 프로비저닝을 위해 IdM 구성

절차

1. IdM 관리자로 로그인합니다.

   $ kinit admin

2. 스테이징 사용자를 추가할 권한이 있는 provisionator 라는 사용자를 생성합니다.

   1. provisionator 사용자 계정을 추가합니다.

   $ ipa user-add provisionator --first=provisioning --last=account --password

   1. 프로비저닝기 사용자에게 필요한 권한을 부여합니다.

      1. 스테이징 사용자 추가를 관리하기 위해 사용자 지정 역할인 시스템 프로비저닝 을 생성합니다.

         $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

      2. 스테이지 사용자 프로비저닝 권한을 역할에 추가합니다. 이 권한은 스테이징 사용자를 추가할 수 있는 기능을 제공합니다.

         $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

      3. 역할에 provisionator 사용자를 추가합니다.

         $ ipa role-add-member --users=provisionator "System Provisioning"

      4. IdM에 프로젝터가 있는지 확인합니다.

      $ ipa user-find provisionator --all --raw
      --------------
      1 user matched
      --------------
        dn: uid=provisionator,cn=users,cn=accounts,dc=idm,dc=example,dc=com
        uid: provisionator
        [...]

3. 사용자 계정을 관리할 수 있는 권한을 가진 사용자 activator 를 만듭니다.

   1. 활성화기 사용자 계정을 추가합니다.

      $ ipa user-add activator --first=activation --last=account --password

   2. 기본 사용자 관리자 역할에 사용자를 추가하여 activator 사용자에게 필요한 권한을 부여합니다.

      $ ipa role-add-member --users=activator "User Administrator"

4. 애플리케이션 계정에 대한 사용자 그룹을 생성합니다.

   $ ipa group-add application-accounts

5. 그룹의 암호 정책을 업데이트합니다. 다음 정책은 계정의 암호 만료 및 잠금을 방지하지만 복잡한 암호를 요구하는 경우 발생할 수 있는 위험을 보완합니다.

   $ ipa pwpolicy-add application-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=8 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

6. (선택 사항) IdM에 암호 정책이 있는지 확인합니다.

   $ ipa pwpolicy-show application-accounts
     Group: application-accounts
     Max lifetime (days): 10000
     Min lifetime (hours): 0
     History size: 0
   [...]

7. 애플리케이션 계정의 그룹에 프로비저닝 및 활성화 계정을 추가합니다.

   $ ipa group-add-member application-accounts --users={provisionator,activator}

8. 사용자 계정의 암호를 변경합니다.

   $ kpasswd provisionator
   $ kpasswd activator

   새 IdM 사용자 암호가 즉시 만료되므로 암호를 변경해야 합니다.