8.3. 使用 CLI 向 IdM 客户端上的 AD 用户授予 sudo 访问权限

1. 将 AD 用户或组添加到 non-POSIX 外部 IdM 组中。
2. 将 non-POSIX 外部 IdM 组添加到 IdM POSIX 组。

流程

1. 创建 ad_users 组，它包括带有 administrator@ad-domain 成员的 ad_users_external 组：

   1. 可选 ：创建或选择 AD 域中的对应组，用来管理 IdM 域中的 AD 用户。您可以使用多个 AD 组，并将它们添加到 IdM 端的不同组中。

   2. 创建 ad_users_external 组，并通过添加 --external 选项来指示它包含 IdM 域外部的成员：

      [root@ipaserver ~]# ipa group-add --desc='AD users external map' ad_users_external --external
      -------------------------------
      Added group "ad_users_external"
      -------------------------------
        Group name: ad_users_external
        Description: AD users external map

      Copy to Clipboard Toggle word wrap
      注意

      确保此处指定的外部组是带有 global 或 universal 组范围的 AD 安全组，如 Active Directory 安全组文档中所述。例如，Domain users 或 Domain admins AD 安全组不能使用，因为组的范围是 domain local。

   3. 创建 ad_users 组：

      [root@ipaserver ~]# ipa group-add --desc='AD users' ad_users
      ----------------------
      Added group "ad_users"
      ----------------------
        Group name: ad_users
        Description: AD users
        GID: 129600004

      Copy to Clipboard Toggle word wrap

   4. 将 administrator@ad-domain.com AD 用户作为外部成员添加到 ad_users_external 中：

      [root@ipaserver ~]# ipa group-add-member ad_users_external --external "administrator@ad-domain.com"
       [member user]:
       [member group]:
        Group name: ad_users_external
        Description: AD users external map
        External member: S-1-5-21-3655990580-1375374850-1633065477-513
      -------------------------
      Number of members added 1
      -------------------------

      Copy to Clipboard Toggle word wrap

      AD 用户必须通过完全限定名称来标识，如 DOMAIN\user_name 或 user_name@DOMAIN。AD ID 然后会被映射到用户的 AD SID。这同样适用于添加 AD 组。

   5. 将 ad_users_external 添加到 ad_users 作为成员：

      [root@ipaserver ~]# ipa group-add-member ad_users --groups ad_users_external
        Group name: ad_users
        Description: AD users
        GID: 129600004
        Member groups: ad_users_external
      -------------------------
      Number of members added 1
      -------------------------

      Copy to Clipboard Toggle word wrap

2. 授予 ad_users 成员在 idmclient 主机上运行 /usr/sbin/reboot 的权限 ：

   1. 在 sudo 命令的 IdM 数据库中添加 /usr/sbin/reboot 命令：

      [root@idmclient ~]# ipa sudocmd-add /usr/sbin/reboot
      -------------------------------------
      Added Sudo Command "/usr/sbin/reboot"
      -------------------------------------
        Sudo Command: /usr/sbin/reboot

      Copy to Clipboard Toggle word wrap

   2. 创建名为 ad_users_reboot 的 sudo 规则：

      [root@idmclient ~]# ipa sudorule-add ad_users_reboot
      ---------------------------------
      Added Sudo Rule "ad_users_reboot"
      ---------------------------------
        Rule name: ad_users_reboot
        Enabled: True

      Copy to Clipboard Toggle word wrap

   3. 在 ad_users_reboot 规则中添加 /usr/sbin/reboot 命令：

      [root@idmclient ~]# ipa sudorule-add-allow-command ad_users_reboot --sudocmds '/usr/sbin/reboot'
        Rule name: ad_users_reboot
        Enabled: True
        Sudo Allow Commands: /usr/sbin/reboot
      -------------------------
      Number of members added 1
      -------------------------

      Copy to Clipboard Toggle word wrap

   4. 将 ad_users_reboot 规则应用到 IdM idmclient 主机：

      [root@idmclient ~]# ipa sudorule-add-host ad_users_reboot --hosts idmclient.idm.example.com
      Rule name: ad_users_reboot
      Enabled: True
      Hosts: idmclient.idm.example.com
      Sudo Allow Commands: /usr/sbin/reboot
      -------------------------
      Number of members added 1
      -------------------------

      Copy to Clipboard Toggle word wrap

   5. 将 ad_users 组添加到 ad_users_reboot 规则中：

      [root@idmclient ~]# ipa sudorule-add-user ad_users_reboot --groups ad_users
      Rule name: ad_users_reboot
      Enabled: TRUE
      User Groups: ad_users
      Hosts: idmclient.idm.example.com
      Sudo Allow Commands: /usr/sbin/reboot
      -------------------------
      Number of members added 1
      -------------------------

      Copy to Clipboard Toggle word wrap

验证步骤

1. 以 administrator@ad-domain.com 身份登录 idmclient 主机，这是 ad_users 组的间接成员：

   $ ssh administrator@ad-domain.com@ipaclient
   Password:

   Copy to Clipboard Toggle word wrap

2. 另外，还可显示 administrator@ad-domain.com 允许执行的 sudo 命令：

   [administrator@ad-domain.com@idmclient ~]$ sudo -l
   Matching Defaults entries for administrator@ad-domain.com on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User administrator@ad-domain.com may run the following commands on idmclient:
       (root) /usr/sbin/reboot

   Copy to Clipboard Toggle word wrap

3. 使用 sudo 重新启动计算机。提示时输入 administrator@ad-domain.com 密码：

   [administrator@ad-domain.com@idmclient ~]$ sudo /usr/sbin/reboot
   [sudo] password for administrator@ad-domain.com:

   Copy to Clipboard Toggle word wrap