Capítulo 25. Configuração de IdM para provisionamento externo dos usuários

Procedimento

1. Entrar como administrador da IdM:

   $ parentes admin

2. Criar um usuário chamado provisionator com os privilégios de adicionar usuários de palco.

   1. Adicionar a conta de usuário do provisionador:

   $ ipa usuário-adicionador de provisão --first=provisionamento --last=conta --palavra-palavra

   1. Conceder ao usuário do provisionador os privilégios necessários.

      1. Criar uma função personalizada, System Provisioning, para gerenciar a adição de usuários de palco:

         $ ipa role-add --desc "Responsável pelos usuários da fase de provisionamento" "Provisionamento do sistema"

      2. Acrescente o privilégio Stage User Provisioning ao papel. Este privilégio proporciona a capacidade de adicionar usuários de palco:

         $ ipa role-add-privilege" --privileges="Stage User Provisioning"

      3. Adicionar o usuário provisionador à função:

         $ ipa role-add-member --usuários=provisionador {\i1}"System Provisioning

      4. Verificar se o provisionador existe na IdM:

      $ ipa user-find provisionator --all --raw
      --------------
      1 user matched
      --------------
        dn: uid=provisionator,cn=users,cn=accounts,dc=idm,dc=example,dc=com
        uid: provisionator
        [...]

3. Criar um usuário, activator, com os privilégios de gerenciar contas de usuário.

   1. Adicionar a conta do usuário ativador:

      $ ipa ativador-adicionado pelo usuário --first=ativação --last=conta --palavra-palavra

   2. Conceder ao usuário ativador os privilégios necessários, adicionando o usuário à função padrão User Administrator:

      $ ipa role-add-member --usuários=ativador {\i1}"Administrador de usuários

4. Criar um grupo de usuários para contas de aplicação:

   Contas de aplicação de $ ipa group-add

5. Atualizar a política de senhas para o grupo. A seguinte política impede a expiração e bloqueio da conta por senha, mas compensa os riscos potenciais ao exigir senhas complexas:

   $ ipa pwpolicy-add application-accounts --maxlife=10000 --minlife=0 --história=0 --minclasses=4 --minlength=8 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

6. (Opcional) Verificar se a política de senha existe na IdM:

   $ ipa pwpolicy-show application-accounts
     Group: application-accounts
     Max lifetime (days): 10000
     Min lifetime (hours): 0
     History size: 0
   [...]

7. Adicionar as contas de provisionamento e ativação ao grupo para contas de aplicação:

   $ ipa grupo-add-member application-accounts --usuários={provisionador,ativador}

8. Alterar as senhas para as contas dos usuários:

   $ kpasswd provisionator
   $ kpasswd activator

   A mudança das senhas é necessária porque as novas senhas de usuários IdM expiram imediatamente.