51.2. 使用 ID 覆盖来启用 AD 用户管理 IdM

流程

1. 作为 IdM 管理员，为 Default Trust View 中的 AD 用户创建一个 ID 覆盖。例如，要为用户 ad_user@ad.example.com 创建 ID 覆盖：

   # kinit admin
   # ipa idoverrideuser-add 'default trust view' ad_user@ad.example.com

   Copy to Clipboard Toggle word wrap

2. 将 Default Trust View 中的 ID 覆盖添加为 IdM 组的成员。这必须是非 POSIX 组，因为它与活动目录进行交互。

   如果问题中的组是 IdM 角色的成员，则 ID 覆盖代表的 AD 用户在使用 IdM API 时获得角色授予的所有权限，包括命令行界面和 IdM Web UI。

   例如，要将 ad_user@ad.example.com 用户的 ID 覆盖添加到 IdM admins 组中：

   # ipa group-add-member admins --idoverrideusers=ad_user@ad.example.com

   Copy to Clipboard Toggle word wrap

3. 或者，您可以在角色中添加 ID 覆盖，如 User Administrator 角色：

   # ipa role-add-member 'User Administrator' --idoverrideusers=ad_user@ad.example.com

   Copy to Clipboard Toggle word wrap