3.6. 사용자 및 역할

절차

1. Red Hat Virtualization Manager에서 LDAP 확장 패키지를 설치합니다.

   # dnf install ovirt-engine-extension-aaa-ldap-setup

2. ovirt-engine-extension-aaa-ldap-setup 을 실행하여 대화형 설정을 시작합니다.

   # ovirt-engine-extension-aaa-ldap-setup

3. 해당 번호를 입력하여 LDAP 유형을 선택합니다. LDAP 서버가 어떤 스키마인지 확실하지 않은 경우 LDAP 서버 유형의 표준 스키마를 선택합니다. Active Directory의 경우 Attaching_an_Active_Directory 에 있는 절차를 따릅니다.

   Available LDAP implementations:
    1 - 389ds
    2 - 389ds RFC-2307 Schema
    3 - Active Directory
    4 - IBM Security Directory Server
    5 - IBM Security Directory Server RFC-2307 Schema
    6 - IPA
    7 - Novell eDirectory RFC-2307 Schema
    8 - OpenLDAP RFC-2307 Schema
    9 - OpenLDAP Standard Schema
   10 - Oracle Unified Directory RFC-2307 Schema
   11 - RFC-2307 Schema (Generic)
   12 - RHDS
   13 - RHDS RFC-2307 Schema
   14 - iPlanet
   Please select:

4. Enter 를 눌러 기본값을 승인하고 LDAP 서버 이름에 대한 도메인 이름 확인을 구성합니다.

   It is highly recommended to use DNS resolution for LDAP server.
   If for some reason you intend to use hosts or plain address disable DNS usage.
   Use DNS (Yes, No) [Yes]:

5. DNS 정책 방법을 선택합니다.

   • 옵션 1의 경우 /etc/resolv.conf 에 나열된 DNS 서버를 사용하여 IP 주소를 확인합니다. /etc/resolv.conf 파일이 올바른 DNS 서버로 업데이트되었는지 확인합니다.

   • 옵션 2의 경우 FQDN(정규화된 도메인 이름) 또는 LDAP 서버의 IP 주소를 입력합니다. dig 명령을 SRV 레코드와 함께 사용하여 도메인 이름을 확인할 수 있습니다. SRV 레코드는 다음 형식을 취합니다.

     _service._protocol.domain_name

     예: dig _ldap._tcp.redhat.com SRV.

   • 옵션 3의 경우 공백으로 구분된 LDAP 서버 목록을 입력합니다. 서버의 FQDN 또는 IP 주소를 사용합니다. 이 정책은 LDAP 서버 간에 부하 분산을 제공합니다. 쿼리는 라운드 로빈 알고리즘에 따라 모든 LDAP 서버에 분산됩니다.

   • 옵션 4의 경우 공백으로 구분된 LDAP 서버 목록을 입력합니다. 서버의 FQDN 또는 IP 주소를 사용합니다. 이 정책은 쿼리에 응답할 첫 번째 LDAP 서버를 기본 LDAP 서버로 정의합니다. 첫 번째 서버를 사용할 수 없는 경우 쿼리는 목록의 다음 LDAP 서버로 이동합니다.

     1 - Single server
     2 - DNS domain LDAP SRV record
     3 - Round-robin between multiple hosts
     4 - Failover between multiple hosts
     Please select:

6. LDAP 서버에서 지원하는 보안 연결 방법을 선택하고 PEM 인코딩 CA 인증서를 가져올 방법을 지정합니다.

   • 파일을 사용하면 인증서의 전체 경로를 제공할 수 있습니다.
   • URL 을 사용하면 인증서의 URL을 지정할 수 있습니다.
   • 인라인 을 사용하면 인증서의 내용을 터미널에 붙여넣을 수 있습니다.
   • 시스템을 사용하면 모든 CA 파일의 기본 위치를 지정할 수 있습니다.

   • 안전하지 않은 경우 인증서 유효성 검사를 건너뛰지만 연결은 계속 TLS를 사용하여 암호화됩니다.

     NOTE:
     It is highly recommended to use secure protocol to access the LDAP server.
     Protocol startTLS is the standard recommended method to do so.
     Only in cases in which the startTLS is not supported, fallback to non standard ldaps protocol.
     Use plain for test environments only.
     Please select protocol to use (startTLS, ldaps, plain) [startTLS]: startTLS
     Please select method to obtain PEM encoded CA certificate (File, URL, Inline, System, Insecure):
     Please enter the password:

     참고

     LDAPS는 Lightweight Directory Access Protocol over Secure Socket Links의 약어입니다. SSL 연결의 경우 ldaps 옵션을 선택합니다.

7. 검색 사용자 고유 이름(DN)을 입력합니다. 사용자는 디렉터리 서버에서 모든 사용자와 그룹을 찾아볼 수 있는 권한이 있어야 합니다. LDAP 주석에 검색 사용자를 지정해야 합니다. 익명 검색이 허용되는 경우 입력 없이 Enter를 누릅니다.

   Enter search user DN (for example uid=username,dc=example,dc=com or leave empty for anonymous): uid=user1,ou=Users,ou=department-1,dc=example,dc=com
   Enter search user password:

8. 기본 DN을 입력합니다.

   Please enter base DN (dc=redhat,dc=com) [dc=redhat,dc=com]: ou=department-1,dc=redhat,dc=com

9. 가상 시스템에 대해 Single Sign-On을 구성하려면 Yes 를 선택합니다. 이 기능은 관리 포털 기능에 대한 SSO(Single Sign-On)와 함께 사용할 수 없습니다. 스크립트에서 프로필 이름이 도메인 이름과 일치해야 함을 상기시킵니다. 가상 시스템 관리 가이드 의 가상 시스템에 대한 SSO(Single Sign-On ) 구성의 지침을 따라야 합니다.

   Are you going to use Single Sign-On for Virtual Machines (Yes, No) [Yes]:

10. 프로필 이름을 지정합니다. 프로필 이름은 로그인 페이지에 있는 사용자에게 표시됩니다. 이 예에서는 redhat.com 을 사용합니다.

    참고

    도메인을 구성한 후 프로필 이름을 바꾸려면 /etc/ovirt- engine/extensions.d/redhat.com -authn.properties 파일에서 ovirt.engine.aaa.authn.profile. name 속성을 편집합니다. ovirt-engine 서비스를 다시 시작하여 변경 사항을 적용합니다.

    Please specify profile name that will be visible to users: redhat.com

    그림 3.1. 관리 포털 로그인 페이지

    
    참고

    사용자는 처음 로그인할 때 드롭다운 목록에서 프로필을 선택해야 합니다. 정보는 브라우저 쿠키에 저장되며 다음에 로그인할 때 미리 선택됩니다.

11. 로그인 기능을 테스트하여 LDAP 서버가 Red Hat Virtualization 환경에 올바르게 연결되어 있는지 확인합니다. 로그인 쿼리의 경우 사용자 이름과 암호를 입력합니다 :

    NOTE:
    It is highly recommended to test drive the configuration before applying it into engine.
    Login sequence is executed automatically, but it is recommended to also execute Search sequence manually after successful Login sequence.
    
    Please provide credentials to test login flow:
    Enter user name:
    Enter user password:
    [ INFO  ] Executing login sequence…​
    …​
    [ INFO  ] Login sequence executed successfully

12. 사용자 세부 정보가 올바른지 확인합니다. 사용자 세부 정보가 올바르지 않으면 Abort:를 선택합니다.

    Please make sure that user details are correct and group membership meets expectations (search for PrincipalRecord and GroupRecord titles).
    Abort if output is incorrect.
    Select test sequence to execute (Done, Abort, Login, Search) [Abort]:

13. 수동으로 검색 기능을 테스트하는 것이 좋습니다. 검색 쿼리의 경우 Principal for user accounts 또는 Group for group accounts를 선택합니다. 사용자 계정의 그룹 계정 정보를 반환하려면 Yes to Resolve Groups 를 선택합니다. 3개의 구성 파일이 생성되고 화면 출력에 표시됩니다.

    Select test sequence to execute (Done, Abort, Login, Search) [Search]: Search
    Select entity to search (Principal, Group) [Principal]:
    Term to search, trailing '*' is allowed: testuser1
    Resolve Groups (Yes, No) [No]:

14. Done(완료) 을 선택하여 설정을 완료합니다.

    Select test sequence to execute (Done, Abort, Login, Search) [Abort]: Done
    [ INFO  ] Stage: Transaction setup
    [ INFO  ] Stage: Misc configuration
    [ INFO  ] Stage: Package installation
    [ INFO  ] Stage: Misc configuration
    [ INFO  ] Stage: Transaction commit
    [ INFO  ] Stage: Closing up
    CONFIGURATION SUMMARY
    Profile name is: redhat.com
    The following files were created:
        /etc/ovirt-engine/aaa/redhat.com.properties
        /etc/ovirt-engine/extensions.d/redhat.com.properties
        /etc/ovirt-engine/extensions.d/redhat.com-authn.properties
    [ INFO  ] Stage: Clean up
    Log file is available at /tmp/ovirt-engine-extension-aaa-ldap-setup-20171004101225-mmneib.log:
    [ INFO  ] Stage: Pre-termination
    [ INFO  ] Stage: Termination

15. ovirt-engine 서비스를 다시 시작합니다. 생성한 프로필을 이제 관리 포털 및 VM 포털 로그인 페이지에서 사용할 수 있습니다. 예를 들어 VM 포털에 로그인하는 것과 같이 LDAP 서버의 사용자 계정에 적절한 역할 및 권한을 할당하려면 Manager User Tasks 를 참조하십시오.

    # systemctl restart ovirt-engine.service

절차

1. Red Hat Virtualization Manager에서 LDAP 확장 패키지를 설치합니다.

   # dnf install ovirt-engine-extension-aaa-ldap-setup

2. ovirt-engine-extension-aaa-ldap-setup 을 실행하여 대화형 설정을 시작합니다.

   # ovirt-engine-extension-aaa-ldap-setup

3. 해당 번호를 입력하여 LDAP 유형을 선택합니다. 이 단계 이후의 LDAP 관련 질문은 LDAP 유형에 따라 다릅니다.

   Available LDAP implementations:
    1 - 389ds
    2 - 389ds RFC-2307 Schema
    3 - Active Directory
    4 - IBM Security Directory Server
    5 - IBM Security Directory Server RFC-2307 Schema
    6 - IPA
    7 - Novell eDirectory RFC-2307 Schema
    8 - OpenLDAP RFC-2307 Schema
    9 - OpenLDAP Standard Schema
   10 - Oracle Unified Directory RFC-2307 Schema
   11 - RFC-2307 Schema (Generic)
   12 - RHDS
   13 - RHDS RFC-2307 Schema
   14 - iPlanet
   Please select: 3

4. Active Directory forest 이름을 입력합니다. Manager의 DNS에서 포레스트 이름을 확인할 수 없는 경우 스크립트에서 공백으로 구분된 Active Directory DNS 서버 이름을 입력하라는 메시지를 표시합니다.

   Please enter Active Directory Forest name: ad-example.redhat.com
   [ INFO  ] Resolving Global Catalog SRV record for ad-example.redhat.com
   [ INFO  ] Resolving LDAP SRV record for ad-example.redhat.com

5. LDAP 서버에서 지원하는 보안 연결 방법을 선택하고 PEM 인코딩 CA 인증서를 가져올 방법을 지정합니다. file 옵션을 사용하면 인증서의 전체 경로를 제공할 수 있습니다. URL 옵션을 사용하면 인증서에 URL을 지정할 수 있습니다. 인라인 옵션을 사용하여 터미널에 인증서의 콘텐츠를 붙여넣습니다. 시스템 옵션을 사용하면 모든 CA 파일의 위치를 지정할 수 있습니다. 비보안 옵션을 사용하면 비보안 모드에서 startTLS를 사용할 수 있습니다.

   NOTE:
   It is highly recommended to use secure protocol to access the LDAP server.
   Protocol startTLS is the standard recommended method to do so.
   Only in cases in which the startTLS is not supported, fallback to non standard ldaps protocol.
   Use plain for test environments only.
   Please select protocol to use (startTLS, ldaps, plain) [startTLS]: startTLS
   Please select method to obtain PEM encoded CA certificate (File, URL, Inline, System, Insecure): File
   Please enter the password:

   참고

   LDAPS는 Lightweight Directory Access Protocol over Secure Socket Links의 약어입니다. SSL 연결의 경우 ldaps 옵션을 선택합니다.

   PEM 인코딩 CA 인증서를 만드는 방법에 대한 자세한 내용은 Manager와 LDAP 서버 간 SSL 또는 TLS 연결 설정을 참조하십시오.

6. 검색 사용자 고유 이름(DN)을 입력합니다. 사용자는 디렉터리 서버에서 모든 사용자와 그룹을 찾아볼 수 있는 권한이 있어야 합니다. 검색 사용자는 LDAP 주석이어야 합니다. 익명 검색이 허용되는 경우 입력 없이 Enter를 누릅니다.

   Enter search user DN (empty for anonymous): cn=user1,ou=Users,dc=test,dc=redhat,dc=com
   Enter search user password:

7. 가상 시스템에 Single Sign-On 사용 여부를 지정합니다. 이 기능은 기본적으로 활성화되어 있지만 관리 포털에 대한 SSO(Single Sign-On)가 활성화된 경우에는 사용할 수 없습니다. 스크립트에서 프로필 이름이 도메인 이름과 일치해야 함을 상기시킵니다. 가상 시스템 관리 가이드 의 가상 시스템에 대한 SSO(Single Sign-On ) 구성의 지침을 따라야 합니다.

   Are you going to use Single Sign-On for Virtual Machines (Yes, No) [Yes]:

8. 프로필 이름을 지정합니다. 프로필 이름은 로그인 페이지에 있는 사용자에게 표시됩니다. 이 예에서는 redhat.com 을 사용합니다.

   Please specify profile name that will be visible to users:redhat.com

   그림 3.2. 관리 포털 로그인 페이지

   
   참고

   사용자는 처음 로그인할 때 드롭다운 목록에서 원하는 프로필을 선택해야 합니다. 정보가 브라우저 쿠키에 저장되고 다음에 로그인할 때 미리 선택됩니다.

9. 검색 및 로그인 기능을 테스트하여 LDAP 서버가 Red Hat Virtualization 환경에 올바르게 연결되어 있는지 확인합니다. 로그인 쿼리에는 계정 이름과 암호를 입력합니다. 검색 쿼리의 경우 Principal for user accounts(사용자 계정에 대해 Principal )를 선택하고 그룹 계정의 Group(그룹 )을 선택합니다. 사용자 계정 의 그룹 계정 정보를 반환하려면 Yes 를 입력하여 그룹을 복구합니다. Done(완료) 을 선택하여 설정을 완료합니다. 3개의 구성 파일이 생성되고 화면 출력에 표시됩니다.

   NOTE:
   It is highly recommended to test drive the configuration before applying it into engine.
   Login sequence is executed automatically, but it is recommended to also execute Search sequence manually after successful Login sequence.
   Select test sequence to execute (Done, Abort, Login, Search) [Abort]: Login
   Enter search user name: testuser1
   Enter search user password:
   [ INFO  ] Executing login sequence...
   ...
   Select test sequence to execute (Done, Abort, Login, Search) [Abort]: Search
   Select entity to search (Principal, Group) [Principal]:
   Term to search, trailing '*' is allowed: testuser1
   Resolve Groups (Yes, No) [No]:
   [ INFO  ] Executing login sequence...
   ...
   Select test sequence to execute (Done, Abort, Login, Search) [Abort]: Done
   [ INFO  ] Stage: Transaction setup
   [ INFO  ] Stage: Misc configuration
   [ INFO  ] Stage: Package installation
   [ INFO  ] Stage: Misc configuration
   [ INFO  ] Stage: Transaction commit
   [ INFO  ] Stage: Closing up
             CONFIGURATION SUMMARY
             Profile name is: redhat.com
             The following files were created:
                 /etc/ovirt-engine/aaa/redhat.com.properties
                 /etc/ovirt-engine/extensions.d/redhat.com-authz.properties
                 /etc/ovirt-engine/extensions.d/redhat.com-authn.properties
   [ INFO  ] Stage: Clean up
             Log file is available at /tmp/ovirt-engine-extension-aaa-ldap-setup-20160114064955-1yar9i.log:
   [ INFO  ] Stage: Pre-termination
   [ INFO  ] Stage: Termination

10. 생성한 프로필을 이제 관리 포털 및 VM 포털 로그인 페이지에서 사용할 수 있습니다. 예를 들어 VM 포털에 로그인하는 것과 같이 LDAP 서버의 사용자 계정에 적절한 역할 및 권한을 할당하려면 Manager User Tasks 를 참조하십시오.

절차

1. Red Hat Virtualization Manager에서 LDAP 확장 패키지를 설치합니다.

   # dnf install ovirt-engine-extension-aaa-ldap

2. LDAP 구성 템플릿 파일을 /etc/ovirt-engine 디렉터리에 복사합니다. 템플릿 파일은 활성 디렉토리(ad) 및 기타 디렉토리 유형(단순)에 사용할 수 있습니다. 이 예에서는 간단한 구성 템플릿을 사용합니다.

   # cp -r /usr/share/ovirt-engine-extension-aaa-ldap/examples/simple/. /etc/ovirt-engine

3. 관리 포털 및 VM 포털 로그인 페이지의 사용자에게 표시할 프로필 이름과 일치하도록 구성 파일의 이름을 변경합니다.

   # mv /etc/ovirt-engine/aaa/profile1.properties /etc/ovirt-engine/aaa/example.properties
   # mv /etc/ovirt-engine/extensions.d/profile1-authn.properties /etc/ovirt-engine/extensions.d/example-authn.properties
   # mv /etc/ovirt-engine/extensions.d/profile1-authz.properties /etc/ovirt-engine/extensions.d/example-authz.properties

4. LDAP 서버 유형의 주석 처리를 제거하고 도메인 및 암호 필드를 업데이트하여 LDAP 속성 구성 파일을 편집합니다.

   #  vi /etc/ovirt-engine/aaa/example.properties

   예 3.5. 프로필 예: LDAP 서버 섹션

   # Select one
   #
   include = <openldap.properties>
   #include = <389ds.properties>
   #include = <rhds.properties>
   #include = <ipa.properties>
   #include = <iplanet.properties>
   #include = <rfc2307-389ds.properties>
   #include = <rfc2307-rhds.properties>
   #include = <rfc2307-openldap.properties>
   #include = <rfc2307-edir.properties>
   #include = <rfc2307-generic.properties>
   
   # Server
   #
   vars.server = ldap1.company.com
   
   # Search user and its password.
   #
   vars.user = uid=search,cn=users,cn=accounts,dc=company,dc=com
   vars.password = 123456
   
   pool.default.serverset.single.server = ${global:vars.server}
   pool.default.auth.simple.bindDN = ${global:vars.user}
   pool.default.auth.simple.password = ${global:vars.password}

   TLS 또는 SSL 프로토콜을 사용하여 LDAP 서버와 상호 작용하려면 LDAP 서버의 루트 CA 인증서를 가져와 공개 키 저장소 파일을 만드는 데 사용합니다. 다음 행의 주석을 제거하고 공개 키 저장소 파일의 전체 경로와 암호를 지정하여 파일에 액세스합니다.

   참고

   공개 키 저장소 파일 생성에 대한 자세한 내용은 Manager와 LDAP Server 간의 SSL 또는 TLS 연결 설정을 참조하십시오.

   예 3.6. profile: keystore 섹션 예

   # Create keystore, import certificate chain and uncomment
   # if using tls.
   pool.default.ssl.startTLS = true
   pool.default.ssl.truststore.file = /full/path/to/myrootca.jks
   pool.default.ssl.truststore.password = password

5. 인증 구성 파일을 검토합니다. 관리 포털의 사용자에게 표시되는 프로필 이름과 VM 포털 로그인 페이지는 ovirt.engine.aaa.authn.profile.name 에서 정의합니다. 구성 프로필 위치는 LDAP 구성 파일 위치와 일치해야 합니다. 모든 필드는 기본값으로 둘 수 있습니다.

   # vi /etc/ovirt-engine/extensions.d/example-authn.properties

   예 3.7. 인증 구성 파일 예

   ovirt.engine.extension.name = example-authn
   ovirt.engine.extension.bindings.method = jbossmodule
   ovirt.engine.extension.binding.jbossmodule.module = org.ovirt.engine.extension.aaa.ldap
   ovirt.engine.extension.binding.jbossmodule.class = org.ovirt.engine.extension.aaa.ldap.AuthnExtension
   ovirt.engine.extension.provides = org.ovirt.engine.api.extensions.aaa.Authn
   ovirt.engine.aaa.authn.profile.name = example
   ovirt.engine.aaa.authn.authz.plugin = example-authz
   config.profile.file.1 = ../aaa/example.properties

6. 권한 부여 구성 파일을 검토합니다. 구성 프로필 위치는 LDAP 구성 파일 위치와 일치해야 합니다. 모든 필드는 기본값으로 둘 수 있습니다.

   # vi /etc/ovirt-engine/extensions.d/example-authz.properties

   예 3.8. 권한 부여 구성 파일의 예

   ovirt.engine.extension.name = example-authz
   ovirt.engine.extension.bindings.method = jbossmodule
   ovirt.engine.extension.binding.jbossmodule.module = org.ovirt.engine.extension.aaa.ldap
   ovirt.engine.extension.binding.jbossmodule.class = org.ovirt.engine.extension.aaa.ldap.AuthzExtension
   ovirt.engine.extension.provides = org.ovirt.engine.api.extensions.aaa.Authz
   config.profile.file.1 = ../aaa/example.properties

7. 구성 프로필의 소유권과 사용 권한이 적절한지 확인합니다.

   # chown ovirt:ovirt /etc/ovirt-engine/aaa/example.properties
   # chmod 600 /etc/ovirt-engine/aaa/example.properties

8. engine 서비스를 다시 시작하십시오.

   # systemctl restart ovirt-engine.service

9. 생성한 예제 프로필을 이제 관리 포털 및 VM 포털 로그인 페이지에서 사용할 수 있습니다. 예를 들어 VM 포털에 로그인하는 것과 같이 LDAP 서버의 사용자 계정에 적절한 권한을 부여하려면 Manager User Tasks 를 참조하십시오.

절차

1. LDAP 공급자 구성 파일을 제거하고 기본 이름 profile1 을 교체합니다.

   # rm /etc/ovirt-engine/extensions.d/profile1-authn.properties
   # rm /etc/ovirt-engine/extensions.d/profile1-authz.properties
   # rm /etc/ovirt-engine/aaa/profile1.properties

2. ovirt-engine 서비스를 다시 시작하십시오.

   # systemctl restart ovirt-engine

3. 관리 포털의 Users (사용자) 리소스 탭에서 이 공급업체의 사용자(권한 프로바이더가 profile 1-authz인 사용자)를 선택하고 Remove(제거 )를 클릭합니다.

1. KDC 서버에서 kadmin 유틸리티를 사용하여 Red Hat Virtualization Manager에서 Apache 서비스에 대한 서비스 주체를 만듭니다. 서비스 주체는 Apache 서비스의 KDC에 대한 참조 ID입니다.

   # kadmin
   kadmin> addprinc -randkey HTTP/fqdn-of-rhevm@REALM.COM

2. Apache 서비스에 대한 키탭 파일을 생성합니다. keytab 파일은 공유 비밀 키를 저장합니다.

   참고

   engine-backup 명령에는 백업 및 복원 시 /etc/httpd/http.keytab 파일이 포함되어 있습니다. keytab 파일에 다른 이름을 사용하는 경우 백업하고 복원해야 합니다.

   kadmin> ktadd -k /tmp/http.keytab HTTP/fqdn-of-rhevm@REALM.COM
   kadmin> quit

3. KDC 서버에서 Red Hat Virtualization Manager로 keytab 파일을 복사합니다.

   # scp /tmp/http.keytab root@rhevm.example.com:/etc/httpd

   == VM 포털 또는 관리 포털에 대한 SSO(Single Sign-on) 구성

4. Red Hat Virtualization Manager에서 keytab의 소유권 및 권한이 적절한지 확인합니다.

   # chown apache /etc/httpd/http.keytab
   # chmod 400 /etc/httpd/http.keytab

5. 인증 확장 패키지, LDAP 확장 패키지 및 mod_auth_gssapi 및 mod_session Apache 모듈을 설치합니다.

   # dnf install ovirt-engine-extension-aaa-misc ovirt-engine-extension-aaa-ldap mod_auth_gssapi mod_session

   참고

   ovirt-engine-extension-aaa-ldap 는 더 이상 사용되지 않습니다. 새로 설치하는 경우 Red Hat Single Sign On을 사용하십시오. 자세한 내용은 관리 가이드의 Red Hat Single Sign-On 설치 및 구성을 참조하십시오.

6. SSO 구성 템플릿 파일을 /etc/ovirt-engine 디렉터리에 복사합니다. 템플릿 파일은 Active Directory(ad-sso) 및 기타 디렉토리 유형(Simple-sso)에서 사용할 수 있습니다. 이 예에서는 간단한 SSO 구성 템플릿을 사용합니다.

   # cp -r /usr/share/ovirt-engine-extension-aaa-ldap/examples/simple-sso/. /etc/ovirt-engine

7. ovirt-sso.conf 를 Apache 구성 디렉터리로 이동합니다.

   참고

   engine-backup 명령에는 백업 및 복원 시 /etc/httpd/conf.d/ovirt-sso.conf 파일이 포함되어 있습니다. 이 파일에 다른 이름을 사용하는 경우 백업하고 복원해야 합니다.

   # mv /etc/ovirt-engine/aaa/ovirt-sso.conf /etc/httpd/conf.d

8. 인증 방법 파일을 검토합니다. 영역이 keytab 파일에서 자동으로 가져오기 때문에 이 파일을 편집할 필요가 없습니다.

   # vi /etc/httpd/conf.d/ovirt-sso.conf

   예 3.9. 인증 방법 파일 예

   <LocationMatch ^/ovirt-engine/sso/(interactive-login-negotiate|oauth/token-http-auth)|^/ovirt-engine/api>
     <If "req('Authorization') !~ /^(Bearer|Basic)/i">
       RewriteEngine on
       RewriteCond %{LA-U:REMOTE_USER} ^(.*)$
       RewriteRule ^(.*)$ - [L,NS,P,E=REMOTE_USER:%1]
       RequestHeader set X-Remote-User %{REMOTE_USER}s
   
       AuthType GSSAPI
       AuthName "Kerberos Login"
   
       # Modify to match installation
       GssapiCredStore keytab:/etc/httpd/http.keytab
       GssapiUseSessions On
       Session On
       SessionCookieName ovirt_gssapi_session path=/private;httponly;secure;
   
       Require valid-user
       ErrorDocument 401 "<html><meta http-equiv=\"refresh\" content=\"0; url=/ovirt-engine/sso/login-unauthorized\"/><body><a href=\"/ovirt-engine/sso/login-unauthorized\">Here</a></body></html>"
     </If>
   </LocationMatch>

9. 관리 포털 및 VM 포털 로그인 페이지의 사용자에게 표시할 프로필 이름과 일치하도록 구성 파일의 이름을 변경합니다.

   # mv /etc/ovirt-engine/aaa/profile1.properties /etc/ovirt-engine/aaa/example.properties

   # mv /etc/ovirt-engine/extensions.d/profile1-http-authn.properties /etc/ovirt-engine/extensions.d/example-http-authn.properties

   # mv /etc/ovirt-engine/extensions.d/profile1-http-mapping.properties /etc/ovirt-engine/extensions.d/example-http-mapping.properties

   # mv /etc/ovirt-engine/extensions.d/profile1-authz.properties /etc/ovirt-engine/extensions.d/example-authz.properties

10. LDAP 서버 유형의 주석 처리를 제거하고 도메인 및 암호 필드를 업데이트하여 LDAP 속성 구성 파일을 편집합니다.

    #  vi /etc/ovirt-engine/aaa/example.properties

    예 3.10. 프로필 예: LDAP 서버 섹션

    # Select one
    include = <openldap.properties>
    #include = <389ds.properties>
    #include = <rhds.properties>
    #include = <ipa.properties>
    #include = <iplanet.properties>
    #include = <rfc2307-389ds.properties>
    #include = <rfc2307-rhds.properties>
    #include = <rfc2307-openldap.properties>
    #include = <rfc2307-edir.properties>
    #include = <rfc2307-generic.properties>
    
    # Server
    #
    vars.server = ldap1.company.com
    
    # Search user and its password.
    #
    vars.user = uid=search,cn=users,cn=accounts,dc=company,dc=com
    vars.password = 123456
    
    pool.default.serverset.single.server = ${global:vars.server}
    pool.default.auth.simple.bindDN = ${global:vars.user}
    pool.default.auth.simple.password = ${global:vars.password}

    TLS 또는 SSL 프로토콜을 사용하여 LDAP 서버와 상호 작용하려면 LDAP 서버의 루트 CA 인증서를 가져와 공개 키 저장소 파일을 만드는 데 사용합니다. 다음 행의 주석을 제거하고 공개 키 저장소 파일의 전체 경로와 암호를 지정하여 파일에 액세스합니다.

    참고

    공개 키 저장소 파일 생성에 대한 자세한 내용은 Manager와 LDAP Server 간의 SSL 또는 TLS 연결 설정을 참조하십시오.

    예 3.11. profile: keystore 섹션 예

    # Create keystore, import certificate chain and uncomment
    # if using ssl/tls.
    pool.default.ssl.startTLS = true
    pool.default.ssl.truststore.file = /full/path/to/myrootca.jks
    pool.default.ssl.truststore.password = password

11. 인증 구성 파일을 검토합니다. 관리 포털의 사용자에게 표시되는 프로필 이름과 VM 포털 로그인 페이지는 ovirt.engine.aaa.authn.profile.name 에서 정의합니다. 구성 프로필 위치는 LDAP 구성 파일 위치와 일치해야 합니다. 모든 필드는 기본값으로 둘 수 있습니다.

    # vi /etc/ovirt-engine/extensions.d/example-http-authn.properties

    예 3.12. 인증 구성 파일 예

    ovirt.engine.extension.name = example-http-authn
    ovirt.engine.extension.bindings.method = jbossmodule
    ovirt.engine.extension.binding.jbossmodule.module = org.ovirt.engine.extension.aaa.misc
    ovirt.engine.extension.binding.jbossmodule.class = org.ovirt.engine.extension.aaa.misc.http.AuthnExtension
    ovirt.engine.extension.provides = org.ovirt.engine.api.extensions.aaa.Authn
    ovirt.engine.aaa.authn.profile.name = example-http
    ovirt.engine.aaa.authn.authz.plugin = example-authz
    ovirt.engine.aaa.authn.mapping.plugin = example-http-mapping
    config.artifact.name = HEADER
    config.artifact.arg = X-Remote-User

12. 권한 부여 구성 파일을 검토합니다. 구성 프로필 위치는 LDAP 구성 파일 위치와 일치해야 합니다. 모든 필드는 기본값으로 둘 수 있습니다.

    #  vi /etc/ovirt-engine/extensions.d/example-authz.properties

    예 3.13. 권한 부여 구성 파일의 예

    ovirt.engine.extension.name = example-authz
    ovirt.engine.extension.bindings.method = jbossmodule
    ovirt.engine.extension.binding.jbossmodule.module = org.ovirt.engine.extension.aaa.ldap
    ovirt.engine.extension.binding.jbossmodule.class = org.ovirt.engine.extension.aaa.ldap.AuthzExtension
    ovirt.engine.extension.provides = org.ovirt.engine.api.extensions.aaa.Authz
    config.profile.file.1 = ../aaa/example.properties

13. 인증 매핑 구성 파일을 검토합니다. 구성 프로필 위치는 LDAP 구성 파일 위치와 일치해야 합니다. 구성 프로필 확장 이름은 인증 구성 파일의 ovirt.engine.aaa.authn.mapping.plugin 값과 일치해야 합니다. 모든 필드는 기본값으로 둘 수 있습니다.

    # vi /etc/ovirt-engine/extensions.d/example-http-mapping.properties

    예 3.14. 인증 매핑 구성 파일의 예

    ovirt.engine.extension.name = example-http-mapping
    ovirt.engine.extension.bindings.method = jbossmodule
    ovirt.engine.extension.binding.jbossmodule.module = org.ovirt.engine.extension.aaa.misc
    ovirt.engine.extension.binding.jbossmodule.class = org.ovirt.engine.extension.aaa.misc.mapping.MappingExtension
    ovirt.engine.extension.provides = org.ovirt.engine.api.extensions.aaa.Mapping
    config.mapAuthRecord.type = regex
    config.mapAuthRecord.regex.mustMatch = true
    config.mapAuthRecord.regex.pattern = ^(?<user>.*?)((\\\\(?<at>@)(?<suffix>.*?)@.*)|(?<realm>@.*))$
    config.mapAuthRecord.regex.replacement = ${user}${at}${suffix}

14. 구성 파일의 소유권과 사용 권한이 적절한지 확인합니다.

    # chown ovirt:ovirt /etc/ovirt-engine/aaa/example.properties

    # chown ovirt:ovirt /etc/ovirt-engine/extensions.d/example-http-authn.properties

    # chown ovirt:ovirt /etc/ovirt-engine/extensions.d/example-http-mapping.properties

    # chown ovirt:ovirt /etc/ovirt-engine/extensions.d/example-authz.properties

    # chmod 600 /etc/ovirt-engine/aaa/example.properties

    # chmod 640 /etc/ovirt-engine/extensions.d/example-http-authn.properties

    # chmod 640 /etc/ovirt-engine/extensions.d/example-http-mapping.properties

    # chmod 640 /etc/ovirt-engine/extensions.d/example-authz.properties

15. Apache 서비스와 ovirt-engine 서비스를 다시 시작하십시오.

    # systemctl restart httpd.service
    # systemctl restart ovirt-engine.service

절차

1. 다음 정보를 사용하여 LDAP 그룹 매퍼를 추가합니다.

   • 이름: ldapgroups
   • 매퍼 유형: group-ldap-mapper
   • LDAP 그룹 DN: ou=groups,dc=example,dc=com
   • 그룹 객체 클래스: groupofuniquenames (LDAP 서버 설정에 따라이 클래스를 조정)
   • 멤버십 LDAP 속성: uniquemember (LDAP서버 설정에 따라이 클래스 조정)
2. 저장을 클릭합니다.
3. Sync LDAP Groups to KeyCloak (LDAP 그룹으로 동기화)을 클릭합니다.
4. User Federation Provider (사용자 페더) 페이지 하단에서 Synchronize all users(모든 사용자 동기화 )를 클릭합니다.
5. Clients (클라이언트) 탭에서 Add Client (클라이언트 추가) 탭에서 ovirt-engine 을 클라이언트 ID 로 추가하고 엔진 URL을 루트 URL 로 입력합니다.
6. 클라이언트 프로토콜을 openid-connect 로 수정하고 액세스 유형을 기밀 로 수정합니다.
7. Clients(클라이언트 ) 탭의 Ovirt-engine > 고급 설정에서 Access Token Lifespan 을 늘립니다.
8. https://rhvm.example.com:443/* 을 유효한 리디렉션 URI로 추가합니다.
9. 클라이언트 시크릿이 생성되며 Credentials(자격 증명) 탭에서 볼 수 있습니다.

10. Create Mapper Protocol (매퍼 프로토콜 생성)의 Clients (클라이언트) 탭에서 다음 설정을 사용하여 매퍼를 생성합니다.

    • 이름: 그룹
    • 매퍼 유형: Group Membership
    • 토큰 클레임 이름: 그룹
    • 전체 그룹 경로: ON
    • ID 토큰에 추가: ON
    • 액세스 토큰에 추가: ON
    • userinfo에 추가합니다. ON
11. username 에 대한 builtin Protocol Mapper 를 추가합니다.
12. ovirt-engine, ovirt-app- api, ovirt-app- admin 및 ovirt- ext=auth:sequence-priority=~ 에 필요한 범위를 만듭니다.
13. 이전 단계에서 생성된 범위를 사용하여 ovirt-engine 클라이언트에 대한 선택적 클라이언트 범위를 설정합니다.

1. mod_auth_openidc 모듈을 활성화합니다.

   # dnf module enable mod_auth_openidc:2.3 -y

2. Manager에서 Apache 설정

   # dnf install mod_auth_openidc

3. 다음 콘텐츠를 사용하여 /etc/httpd/ conf.d/에 새 httpd 구성 파일 ovirt-openidc.conf 를 만듭니다.

   LoadModule auth_openidc_module modules/mod_auth_openidc.so
   
   OIDCProviderMetadataURL https://SSO.example.com/auth/realms/master/.well-known/openid-configuration
   OIDCSSLValidateServer Off
   
   OIDCClientID ovirt-engine
   OIDCClientSecret <client_SSO _generated_key>
   OIDCRedirectURI https://rhvm.example.com/ovirt-engine/callback
   OIDCDefaultURL https://rhvm.example.com/ovirt-engine/login?scope=ovirt-app-admin+ovirt-app-portal+ovirt-ext%3Dauth%3Asequence-priority%3D%7E
   
   # maps the prefered_username claim to the REMOTE_USER environment variable:
   
   OIDCRemoteUserClaim <preferred_username>
   OIDCCryptoPassphrase <random1234>
   
   <LocationMatch ^/ovirt-engine/sso/(interactive-login-negotiate|oauth/token-http-auth)|^/ovirt-engine/callback>
       <If "req('Authorization') !~ /^(Bearer|Basic)/i">
   
         Require valid-user
         AuthType openid-connect
   
         ErrorDocument 401 "<html><meta http-equiv=\"refresh\" content=\"0; url=/ovirt-engine/sso/login-unauthorized\"/><body><a href=\"/ovirt-engine/sso/login-unauthorized\">Here</a></body></html>"
       </If>
   </LocationMatch>
   
   OIDCOAuthIntrospectionEndpoint https://SSO.example.com/auth/realms/master/protocol/openid-connect/token/introspect
   OIDCOAuthSSLValidateServer    Off
   OIDCOAuthIntrospectionEndpointParams token_type_hint=access_token
   OIDCOAuthClientID ovirt-engine
   OIDCOAuthClientSecret <client_SSO _generated_key>
   OIDCOAuthRemoteUserClaim sub
   
   <LocationMatch ^/ovirt-engine/(api$|api/)>
      AuthType oauth20
      Require valid-user
   </LocationMatch>

4. 구성 변경 사항을 저장하려면 httpd 및 ovirt-engine 을 다시 시작하십시오 :

   # systemctl restart httpd
   # systemctl restart ovirt-engine

5. 다음 콘텐츠를 사용하여 /etc/ovirt -engine/extensions.d/에 openidc-authn. properties 파일을 생성합니다.

   ovirt.engine.extension.name = openidc-authn
   ovirt.engine.extension.bindings.method = jbossmodule
   ovirt.engine.extension.binding.jbossmodule.module = org.ovirt.engine.extension.aaa.misc
   ovirt.engine.extension.binding.jbossmodule.class = org.ovirt.engine.extension.aaa.misc.http.AuthnExtension
   ovirt.engine.extension.provides = org.ovirt.engine.api.extensions.aaa.Authn
   ovirt.engine.aaa.authn.profile.name = openidchttp
   ovirt.engine.aaa.authn.authz.plugin = openidc-authz
   ovirt.engine.aaa.authn.mapping.plugin = openidc-http-mapping
   config.artifact.name = HEADER
   config.artifact.arg = OIDC_CLAIM_preferred_username

6. 다음 콘텐츠를 사용하여 /etc/ovirt -engine/extensions.d/에 openidc-http-mapping. properties 파일을 생성합니다.

   ovirt.engine.extension.name = openidc-http-mapping
   ovirt.engine.extension.bindings.method = jbossmodule
   ovirt.engine.extension.binding.jbossmodule.module = org.ovirt.engine.extension.aaa.misc
   ovirt.engine.extension.binding.jbossmodule.class = org.ovirt.engine.extension.aaa.misc.mapping.MappingExtension
   ovirt.engine.extension.provides = org.ovirt.engine.api.extensions.aaa.Mapping
   config.mapAuthRecord.type = regex
   config.mapAuthRecord.regex.mustMatch = false
   config.mapAuthRecord.regex.pattern = ^(?<user>.*?)((\\\\(?<at>@)(?<suffix>.*?)@.*)|(?<realm>@.*))$
   config.mapAuthRecord.regex.replacement = ${user}${at}${suffix}

7. 다음 콘텐츠를 사용하여 /etc/ovirt -engine/extensions.d/에 openidc-authz. properties 파일을 생성합니다.

   ovirt.engine.extension.name = openidc-authz
   ovirt.engine.extension.bindings.method = jbossmodule
   ovirt.engine.extension.binding.jbossmodule.module = org.ovirt.engine.extension.aaa.misc
   ovirt.engine.extension.binding.jbossmodule.class = org.ovirt.engine.extension.aaa.misc.http.AuthzExtension
   ovirt.engine.extension.provides = org.ovirt.engine.api.extensions.aaa.Authz
   config.artifact.name.arg = OIDC_CLAIM_preferred_username
   config.artifact.groups.arg = OIDC_CLAIM_groups

8. 다음 콘텐츠를 사용하여 /etc/ovirt -engine/engine.conf에 99-enable-external-auth.conf 파일을 생성합니다.

   ENGINE_SSO_ENABLE_EXTERNAL_SSO=true
   ENGINE_SSO_EXTERNAL_SSO_LOGOUT_URI="${ENGINE_URI}/callback"
   EXTERNAL_OIDC_USER_INFO_END_POINT=https://SSO.example.com/auth/realms/master/protocol/openid-connect/userinfo
   EXTERNAL_OIDC_TOKEN_END_POINT=https://SSO.example.com/auth/realms/master/protocol/openid-connect/token
   EXTERNAL_OIDC_LOGOUT_END_POINT=https://SSO.example.com/auth/realms/master/protocol/openid-connect/logout
   EXTERNAL_OIDC_CLIENT_ID=ovirt-engine
   EXTERNAL_OIDC_CLIENT_SECRET="<client_SSO _generated_key>"
   EXTERNAL_OIDC_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
   EXTERNAL_OIDC_HTTPS_PKI_TRUST_STORE_PASSWORD=""
   EXTERNAL_OIDC_SSL_VERIFY_CHAIN=false
   EXTERNAL_OIDC_SSL_VERIFY_HOST=false

절차

1. /etc/ ovirt-provider-ovn/conf에 파일 20setup -ovirt-provider-ovn.conf를 만듭니다. 여기서 user1 은 LDAP 그룹 ovirt-administrator 에 속하고 openidchttp 는 aaa-ldap-misc 에 구성된 프로필입니다.

   [OVIRT]
   ovirt-admin-user-name=user1@openidchttp

2. ovirt-provider-ovn 을 다시 시작하십시오.

   # systemctl restart ovirt-provider-ovn

3. 관리 포털에 로그인하고 Administration Providers (관리 공급업체) 로 이동하여 ovirt-provider-ovn 을 선택한 다음 Edit (편집)를 클릭하여 ovn 공급자의 암호를 업데이트합니다.

절차

1. 클라이언트의 유효한 리디렉션 URL을 구성합니다.

   1. 이전 단계에서 구성한 클라이언트 선택(예: ovirt-engine)
   2. 모니터링 포털(Grafana)에 유효한 리디렉션 URI를 추가합니다. 유효한 리디렉션 URI: https://rhvm.example.com:443/ovirt-engine-grafana/login/generic_oauth/
   3. Mappers 탭을 선택합니다.

   4. 생성을 클릭하여 새 매퍼를 만들고 다음 필드를 작성합니다.

      • 이름: 영역 역할
      • 매퍼 유형: 사용자 Realm 역할
      • 토큰 클레임 이름: realm_access.roles
      • Claim JSON 유형: 문자열

2. Grafana 특정 역할을 구성합니다.

   1. 주 메뉴에서 Roles(역할 )를 선택합니다.
   2. admin,editor,viewer 역할을 추가합니다.

3. 원하는 그룹에 Grafana 특정 역할을 할당합니다.

   1. 주 메뉴에서 Groups (그룹)를 선택하고 원하는 그룹을 선택합니다.
   2. Role Mappings (역할 매핑)를 선택합니다.
   3. 원하는 역할을 Available Roles(사용 가능한 역할)에서 Assigned Roles (할당된 역할)로 이동합니다.

4. Grafana 구성 - 다음과 같이 /etc/grafana/grafana .ini에서 auth. generic_oauth 섹션을 수정합니다. 필요에 따라 화살표 괄호에서 < > 값을 바꿉니다.

   (...)
   #################################### Generic OAuth #######################
   [auth.generic_oauth]
   name = oVirt Engine Auth
   enabled = true
   allow_sign_up = true
   client_id = ovirt-engine
   client_secret = <client-secret-of-RH-SSO>
   scopes = openid,ovirt-app-admin,ovirt-app-portal,ovirt-ext=auth:sequence-priority=~
   email_attribute_name = email:primary
   role_attribute_path = "contains(realm_access.roles[*], 'admin') && 'Admin' || contains(realm_access.roles[*], 'editor') && 'Editor' || 'Viewer'"
   auth_url = https://<rh-sso-hostname>/auth/realms/<RH-SSO-REALM>/protocol/openid-connect/auth
   token_url = https://<rh-sso-hostname>/auth/realms/<RH-SSO-REALM>/protocol/openid-connect/token
   api_url = https://<rh-sso-hostname>/auth/realms/<RH-SSO-REALM>/protocol/openid-connect/userinfo
   team_ids =
   allowed_organizations =
   tls_skip_verify_insecure = false
   tls_client_cert =
   tls_client_key =
   tls_client_ca = /etc/pki/ovirt-engine/apache-ca.pem
   send_client_credentials_via_post = false
   (...)

절차

1. 헤더 표시줄에서 Administration(관리 Configure (구성) 를 클릭합니다. 그러면 Configure(구성 ) 창이 열립니다.
2. System Permissions (시스템 권한)를 클릭합니다.
3. 추가를 클릭합니다. 그러면 Add System Permission to User (사용자에게 시스템 권한 추가) 창이 열립니다.
4. Search (검색)에서 프로필을 선택합니다. 프로필은 검색할 도메인입니다. 검색 텍스트 필드에 이름 또는 부분을 입력하고 GO (이동)를 클릭합니다. 또는 GO (이동)를 클릭하여 모든 사용자와 그룹 목록을 봅니다.
5. 적절한 사용자 또는 그룹의 확인란을 선택합니다.
6. Role to Assign (할당할 역할)에서 할당할 적절한 역할을 선택합니다. UserRole 역할은 VM 포털에 로그인할 수 있는 권한을 사용자에게 제공합니다.
7. OK(확인)를 클릭합니다.

절차

1. Administration(관리 Users (사용자) 를 클릭하여 권한 있는 사용자 목록을 표시합니다.
2. 사용자 이름을 클릭합니다. 그러면 일반적으로 General(일반 ) 탭과 함께 세부 정보 보기가 열립니다. 이때 사용자의 도메인 이름, 이메일 및 상태와 같은 일반 정보가 표시됩니다.
3. 기타 탭에서는 사용자의 그룹, 권한, 할당량 및 이벤트를 볼 수 있습니다.

절차

1. 리소스 이름을 찾아 클릭합니다. 그러면 세부 정보 보기가 열립니다.
2. Permissions(권한 ) 탭을 클릭하여 할당된 사용자, 사용자의 역할 및 선택한 리소스에 대한 상속된 권한을 나열합니다.

절차

1. Administration(관리 Users (사용자) 를 클릭하여 권한 있는 사용자 목록을 표시합니다.
2. 제거할 사용자를 선택합니다. 사용자가 가상 시스템을 실행 중이 아닌지 확인합니다.
3. Remove(제거)를 클릭한 다음 OK(확인 )를 클릭합니다.

1. Administration(관리 Active User Sessions (활성 사용자 세션) 를 클릭합니다.
2. 종료할 사용자 세션을 선택합니다.
3. Terminate Session (종료 세션)을 클릭합니다.
4. OK(확인)를 클릭합니다.

1. 관리 포털에서 Administration(관리) Providers (공급업체) 를 클릭합니다.
2. ovirt-provider-ovn 을 선택합니다.
3. Edit(편집 )를 클릭하고 Password(암호 ) 필드에 새 암호를 입력합니다.
4. Test (테스트)를 클릭하여 제공한 자격 증명을 사용하여 인증이 성공했는지 테스트합니다.
5. 인증 테스트에 성공하면 OK(확인 )를 클릭합니다.

1. 다음 명령을 실행합니다.

   # /usr/share/ovirt-engine/bin/ovirt-engine-crypto-tool.sh pbe-encode

   스크립트에서 암호를 입력하라는 메시지를 표시합니다.

   또는 --password=file:file 옵션을 사용하여 파일의 첫 번째 행으로 표시되는 단일 암호를 암호화할 수 있습니다. 이 옵션은 자동화에 유용합니다. 다음 예제에서 file 은 암호화를 위해 단일 암호를 포함하는 텍스트 파일입니다.

   # /usr/share/ovirt-engine/bin/ovirt-engine-crypto-tool.sh pbe-encode --password=file:file

2. --encrypted 옵션을 사용하여 ovirt-aaa-jdbc-tool 스크립트를 사용하여 새 암호를 설정합니다.

   # ovirt-aaa-jdbc-tool user password-reset test1 --password-valid-to="2025-08-01 12:00:00-0800" --encrypted

3. 암호화된 암호를 입력하고 확인합니다.

   Password:
   Reenter password:
   updating user test1...
   user updated successfully

절차

1. Red Hat Virtualization Manager가 설치된 시스템에 로그인합니다.
2. SuperUser 역할의 다른 사용자가 환경에 추가되었는지 확인합니다. 자세한 내용은 사용자 추가 를 참조하십시오.

3. 기본 admin 사용자를 비활성화합니다.

   # ovirt-aaa-jdbc-tool user edit admin --flag=+disabled

1. Red Hat Virtualization Manager가 설치된 시스템에 로그인합니다.

2. 새 그룹을 생성합니다.

   # ovirt-aaa-jdbc-tool group add group1

3. 사용자를 그룹에 추가합니다. 사용자를 이미 만들어야 합니다.

   # ovirt-aaa-jdbc-tool group-manage useradd group1 --user=test1

   참고

   group-manage 옵션의 전체 목록은 ovirt-aaa-jdbc-tool group-manage --help 를 실행합니다.

4. 그룹 계정 세부 정보 보기:

   # ovirt-aaa-jdbc-tool group show group1

5. 관리 포털에 새로 생성된 그룹을 추가하고 그룹에 적절한 역할과 권한을 할당합니다. 그룹의 사용자는 그룹의 역할 및 권한을 상속받습니다. 자세한 내용은 사용자 추가 를 참조하십시오.

1. Red Hat Virtualization Manager가 설치된 시스템에 로그인합니다.

2. 첫 번째 그룹을 생성합니다.

   # ovirt-aaa-jdbc-tool group add group1

3. 두 번째 그룹을 생성합니다.

   # ovirt-aaa-jdbc-tool group add group1-1

4. 두 번째 그룹을 첫 번째 그룹에 추가합니다.

   # ovirt-aaa-jdbc-tool group-manage groupadd group1 --group=group1-1

5. 관리 포털에 첫 번째 그룹을 추가하고 그룹에 적절한 역할 및 권한을 할당합니다. 자세한 내용은 사용자 추가 를 참조하십시오.

1. Red Hat Virtualization Manager가 설치된 시스템에 로그인합니다.

2. 계정 세부 정보를 나열합니다.

   • 모든 사용자 계정 세부 정보:

     # ovirt-aaa-jdbc-tool query --what=user

   • 모든 그룹 계정 세부 사항:

     # ovirt-aaa-jdbc-tool query --what=group

1. Red Hat Virtualization Manager가 설치된 시스템에 로그인합니다.

2. pattern 매개 변수를 사용하여 계정 세부 정보를 필터링합니다.

   • j 문자로 시작하는 이름으로 사용자 계정 세부 정보를 나열합니다.

     # ovirt-aaa-jdbc-tool query --what=user --pattern="name=j*"

   • marketing 으로 설정된 department 속성이 있는 그룹을 나열합니다 :

     # ovirt-aaa-jdbc-tool query --what=group --pattern="department=marketing"

1. Red Hat Virtualization Manager가 설치된 시스템에 로그인합니다.

2. 사용 가능한 모든 설정을 표시하려면 다음 명령을 실행합니다.

   # ovirt-aaa-jdbc-tool settings show

3. 원하는 설정을 변경합니다.

   • 이 예제에서는 모든 사용자 계정의 기본 로그인 세션 시간을 60분으로 업데이트합니다. 기본값은 10080분입니다.

     # ovirt-aaa-jdbc-tool settings set --name=MAX_LOGIN_MINUTES --value=60

   • 이 예제에서는 사용자 계정을 잠그기 전에 사용자가 수행할 수 있는 실패한 로그인 시도 횟수를 업데이트합니다. 기본값은 5입니다.

     # ovirt-aaa-jdbc-tool settings set --name=MAX_FAILURES_SINCE_SUCCESS --value=3

     참고

     잠긴 사용자 계정을 잠금 해제하려면 ovirt-aaa-jdbc-tool user unlock test1 을 실행합니다.