使用 Ansible 在 RHEL 中安装和管理身份管理

流程

1. 创建一个 ~/MyPlaybooks/ 目录：

   $ mkdir MyPlaybooks

   Copy to Clipboard
2. 创建一个 ~/MyPlaybooks/inventory 文件。

3. 打开清单文件进行编辑。指定您要用作 IdM 服务器的主机的完全限定域名(FQDN)。确保 FQDN 满足以下条件：

   • 只允许字母数字字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。
4. 指定 IdM 域和域信息。

5. 通过添加以下选项来指定您要使用集成的 DNS：

   ipaserver_setup_dns=true

   Copy to Clipboard

6. 指定 DNS 转发设置。选择以下选项之一：

   • 如果您希望安装程序使用 /etc/resolv.conf 文件中的转发器，请使用 ipaserver_auto_forwarders=true 选项。如果在 /etc/resolv.conf 文件中指定的名称服务器是 localhost 127.0.0.1 地址，或者位于虚拟专用网络中，且您使用的 DNS 服务器通常无法从公共互联网访问，则不要使用这个选项。
   • 使用 ipaserver_forwarders 选项手动指定您的转发器。安装过程将转发器 IP 地址添加到安装的 IdM 服务器上的 /etc/named.conf 文件中。

   • 使用 ipaserver_no_forwarders=true 选项配置要使用的根 DNS 服务器。

     注意

     如果没有 DNS 转发器，您的环境是隔离的，且您基础架构中来自其他 DNS 域的名称不能被解决。

7. 指定 DNS 反向记录和区设置。从以下选项中选择：

   • 使用 ipaserver_allow_zone_overlap=true 选项允许创建（反向）区域，即使区域已可以解析。
   • 使用 ipaserver_reverse_zones 选项来手动指定反向区。

   • 如果您不希望安装程序创建反向 DNS 区域，请使用 ipaserver_no_reverse=true 选项。

     注意

     使用 IdM 管理反向区是可选的。您可以改为使用外部 DNS 服务来实现这一目的。

8. 指定 admin 和 Directory Manager 的密码。使用 Ansible Vault 存储密码，并从 playbook 文件中引用 Vault 文件。或者，在清单文件中直接指定密码，这不太安全。

9. 可选：指定一个要被 IdM 服务器使用的自定义 firewalld 区域。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区中。预定义的默认区是 public。

   重要

   指定的 firewalld 区必须存在，并且是永久的。

   一个具有所需服务器信息的清单文件示例（不包括密码）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   [...]

   Copy to Clipboard

   一个具有所需服务器信息的清单文件示例（包括密码）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   Copy to Clipboard

   一个具有自定义 firewalld 区域的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone

   Copy to Clipboard

   使用存储在 Ansible Vault 文件中的 admin 和 Directory Manager 密码设置 IdM 服务器的 playbook 示例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
   
     roles:
     - role: freeipa.ansible_freeipa.ipaserver
       state: present

   Copy to Clipboard

   使用清单文件中的 admin 和 Directory Manager 密码来设置 IdM 服务器的 playbook 示例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
   
     roles:
     - role: freeipa.ansible_freeipa.ipaserver
       state: present

   Copy to Clipboard

流程

1. 创建一个 ~/MyPlaybooks/ 目录：

   $ mkdir MyPlaybooks

   Copy to Clipboard
2. 创建一个 ~/MyPlaybooks/inventory 文件。

3. 打开清单文件进行编辑。指定您要用作 IdM 服务器的主机的完全限定域名(FQDN)。确保 FQDN 满足以下条件：

   • 只允许字母数字字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。
4. 指定 IdM 域和域信息。
5. 确保 ipaserver_setup_dns 选项被设为 no 或空缺。
6. 指定 admin 和 Directory Manager 的密码。使用 Ansible Vault 存储密码，并从 playbook 文件中引用 Vault 文件。或者，在清单文件中直接指定密码，这不太安全。

7. 可选：指定一个要被 IdM 服务器使用的自定义 firewalld 区域。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区中。预定义的默认区是 public。

   重要

   指定的 firewalld 区必须存在，并且是永久的。

   一个具有所需服务器信息的清单文件示例（不包括密码）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   [...]

   Copy to Clipboard

   一个具有所需服务器信息的清单文件示例（包括密码）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   Copy to Clipboard

   一个具有自定义 firewalld 区域的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone

   Copy to Clipboard

   使用存储在 Ansible Vault 文件中的 admin 和 Directory Manager 密码设置 IdM 服务器的 playbook 示例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
   
     roles:
     - role: freeipa.ansible_freeipa.ipaserver
       state: present

   Copy to Clipboard

   使用清单文件中的 admin 和 Directory Manager 密码来设置 IdM 服务器的 playbook 示例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
   
     roles:
     - role: freeipa.ansible_freeipa.ipaserver
       state: present

   Copy to Clipboard

流程

1. 运行 Ansible playbook:

   $ ansible-playbook -i ~/MyPlaybooks/inventory ~/MyPlaybooks/install-server.yml

   Copy to Clipboard

2. 选择以下选项之一：

   • 如果您的 IdM 部署使用外部 DNS：将包含在 /tmp/ipa.system.records.UFRPto.db 文件中的 DNS 资源记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

     ...
     Restarting the KDC
     Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
     Restarting the web server
     ...

     Copy to Clipboard
   重要

   在将 DNS 记录添加到现有 DNS 服务器之前，服务器安装不会完成。

   • 如果您的 IdM 部署使用集成的 DNS:

     • 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

       重要

       每次安装 IdM DNS 服务器后都会重复这个步骤。

     • 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

流程

1. 创建一个 ~/MyPlaybooks/ 目录：

   $ mkdir MyPlaybooks

   Copy to Clipboard
2. 创建一个 ~/MyPlaybooks/inventory 文件。

3. 打开清单文件进行编辑。指定您要用作 IdM 服务器的主机的完全限定域名(FQDN)。确保 FQDN 满足以下条件：

   • 只允许字母数字字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。
4. 指定 IdM 域和域信息。

5. 通过添加以下选项来指定您要使用集成的 DNS：

   ipaserver_setup_dns=true

   Copy to Clipboard

6. 指定 DNS 转发设置。选择以下选项之一：

   • 如果您希望安装进程使用 /etc/resolv.conf 文件中的转发器，请使用 ipaserver_auto_forwarders=true 选项。如果 /etc/resolv.conf 文件中指定的名字服务器是 localhost 127.0.0.1 地址，或者如果您在虚拟私有网络中，并且您使用的 DNS 服务器通常无法从公共互联网访问，则不建议使用此选项。
   • 使用 ipaserver_forwarders 选项手动指定您的转发器。安装过程将转发器 IP 地址添加到安装的 IdM 服务器上的 /etc/named.conf 文件中。

   • 使用 ipaserver_no_forwarders=true 选项配置要使用的根 DNS 服务器。

     注意

     如果没有 DNS 转发器，您的环境是隔离的，且您基础架构中来自其他 DNS 域的名称不能被解决。

7. 指定 DNS 反向记录和区设置。从以下选项中选择：

   • 使用 ipaserver_allow_zone_overlap=true 选项允许创建（反向）区域，即使区域已可以解析。
   • 使用 ipaserver_reverse_zones 选项来手动指定反向区。

   • 如果您不希望安装过程创建反向 DNS 区域，请使用 ipaserver_no_reverse=true 选项。

     注意

     使用 IdM 管理反向区是可选的。您可以改为使用外部 DNS 服务来实现这一目的。

8. 指定 admin 和 Directory Manager 的密码。使用 Ansible Vault 存储密码，并从 playbook 文件中引用 Vault 文件。或者，在清单文件中直接指定密码，这不太安全。

9. 可选：指定一个要被 IdM 服务器使用的自定义 firewalld 区域。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区。预定义的默认区是 public。

   重要

   指定的 firewalld 区必须存在，并且是永久的。

   一个具有所需服务器信息的清单文件示例（不包括密码）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   [...]

   Copy to Clipboard

   一个具有所需服务器信息的清单文件示例（包括密码）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   Copy to Clipboard

   一个具有自定义 firewalld 区域的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone
   
   [...]

   Copy to Clipboard

10. 为安装的第一个步骤创建一个 playbook。输入有关生成证书签名请求(CSR)，并将其从控制器复制到受管节点的说明。

    ---
    - name: Playbook to configure IPA server Step 1
      hosts: ipaserver
      become: true
      vars_files:
      - playbook_sensitive_data.yml
      vars:
        ipaserver_external_ca: true
    
      roles:
      - role: freeipa.ansible_freeipa.ipaserver
        state: present
    
      post_tasks:
      - name: Copy CSR /root/ipa.csr from node to "{{ groups.ipaserver[0] + '-ipa.csr' }}"
        fetch:
          src: /root/ipa.csr
          dest: "{{ groups.ipaserver[0] + '-ipa.csr' }}"
          flat: true

    Copy to Clipboard

11. 为安装的最后步骤创建另一个 playbook。

    ---
    - name: Playbook to configure IPA server Step 2
      hosts: ipaserver
      become: true
      vars_files:
      - playbook_sensitive_data.yml
      vars:
        ipaserver_external_cert_files:
          - "/root/servercert20240601.pem"
          - "/root/cacert.pem"
    
      pre_tasks:
      - name: Copy "{{ groups.ipaserver[0] }}-{{ item }}" to "/root/{{ item }}" on node
        ansible.builtin.copy:
          src: "{{ groups.ipaserver[0] }}-{{ item }}"
          dest: "/root/{{ item }}"
          force: true
        with_items:
        - servercert20240601.pem
        - cacert.pem
    
      roles:
      - role: freeipa.ansible_freeipa.ipaserver
        state: present

    Copy to Clipboard

流程

1. 创建一个 ~/MyPlaybooks/ 目录：

   $ mkdir MyPlaybooks

   Copy to Clipboard
2. 创建一个 ~/MyPlaybooks/inventory 文件。

3. 打开清单文件进行编辑。指定您要用作 IdM 服务器的主机的完全限定域名(FQDN)。确保 FQDN 满足以下条件：

   • 只允许字母数字字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。
4. 指定 IdM 域和域信息。
5. 确保 ipaserver_setup_dns 选项被设为 no 或空缺。
6. 指定 admin 和 Directory Manager 的密码。使用 Ansible Vault 存储密码，并从 playbook 文件中引用 Vault 文件。或者，在清单文件中直接指定密码，这不太安全。

7. 可选：指定一个要被 IdM 服务器使用的自定义 firewalld 区域。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区中。预定义的默认区是 public。

   重要

   指定的 firewalld 区必须存在，并且是永久的。

   一个具有所需服务器信息的清单文件示例（不包括密码）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   [...]

   Copy to Clipboard

   一个具有所需服务器信息的清单文件示例（包括密码）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   Copy to Clipboard

   一个具有自定义 firewalld 区域的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone
   
   [...]

   Copy to Clipboard

8. 为安装的第一个步骤创建一个 playbook。输入有关生成证书签名请求(CSR)，并将其从控制器复制到受管节点的说明。

   ---
   - name: Playbook to configure IPA server Step 1
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
     vars:
       ipaserver_external_ca: true
   
     roles:
     - role: freeipa.ansible_freeipa.ipaserver
       state: present
   
     post_tasks:
     - name: Copy CSR /root/ipa.csr from node to "{{ groups.ipaserver[0] + '-ipa.csr' }}"
       fetch:
         src: /root/ipa.csr
         dest: "{{ groups.ipaserver[0] + '-ipa.csr' }}"
         flat: true

   Copy to Clipboard

9. 为安装的最后步骤创建另一个 playbook。

   ---
   - name: Playbook to configure IPA server Step 2
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
     vars:
       ipaserver_external_cert_files:
         - "/root/servercert20240601.pem"
         - "/root/cacert.pem"
   
     pre_tasks:
     - name: Copy "{{ groups.ipaserver[0] }}-{{ item }}" to "/root/{{ item }}" on node
       ansible.builtin.copy:
         src: "{{ groups.ipaserver[0] }}-{{ item }}"
         dest: "/root/{{ item }}"
         force: true
       with_items:
       - servercert20240601.pem
       - cacert.pem
   
     roles:
     - role: freeipa.ansible_freeipa.ipaserver
       state: present

   Copy to Clipboard

流程

1. 使用安装第一步的说明运行 Ansible playbook，如 install-server-step1.yml ：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory ~/MyPlaybooks/install-server-step1.yml

   Copy to Clipboard
2. 在控制器上找到 ipa.csr 证书签名请求文件，并提交给外部的 CA。
3. 将外部 CA 签名的 IdM CA 证书放在控制器文件系统中，以便下一步中的 playbook 可以找到它。

4. 使用安装最后一步的说明运行 Ansible playbook，如 install-server-step2.yml ：

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory ~/MyPlaybooks/install-server-step2.yml

   Copy to Clipboard

5. 选择以下选项之一：

   • 如果您的 IdM 部署使用外部 DNS：将包含在 /tmp/ipa.system.records.UFRPto.db 文件中的 DNS 资源记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

     ...
     Restarting the KDC
     Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
     Restarting the web server
     ...

     Copy to Clipboard
   重要

   在将 DNS 记录添加到现有 DNS 服务器之前，服务器安装不会完成。

   • 如果您的 IdM 部署使用集成的 DNS:

     • 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

       重要

       每次安装 IdM DNS 服务器后都会重复这个步骤。

     • 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

流程

1. 使用以下内容创建 Ansible playbook 文件 uninstall-server.yml ：

   ---
   - name: Playbook to uninstall an IdM replica
     hosts: ipaserver
     become: true
   
     roles:
     - role: freeipa.ansible_freeipa.ipaserver
       ipaserver_remove_from_domain: true
       state: absent

   Copy to Clipboard

   ipaserver_remove_from_domain 选项从 IdM 拓扑中取消主机注册。

   注意

   如果 server123.idm.example.com 的删除导致断开连接的拓扑，则删除操作将被中止。如需更多信息，请参阅 如果这会导致断开连接的拓扑，请使用 Ansible playbook 卸载 IdM 服务器。

2. 卸载副本：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/inventory <path_to_playbooks_directory>/uninstall-server.yml

   Copy to Clipboard
3. 确保指向 server123.idm.example.com 的所有名称服务器(NS) DNS 记录都从 DNS 区域中删除。无论您使用由 IdM 还是外部 DNS 管理的集成 DNS，这个均适用。

流程

1. 使用以下内容创建 Ansible playbook 文件 uninstall-server.yml ：

   ---
   - name: Playbook to uninstall an IdM replica
     hosts: ipaserver
     become: true
   
     roles:
     - role: freeipa.ansible_freeipa.ipaserver
       ipaserver_remove_from_domain: true
       ipaserver_remove_on_server: server456.idm.example.com
       ipaserver_ignore_topology_disconnect: true
       state: absent

   Copy to Clipboard
   注意

   正常情况下，如果删除 server123 不会造成断开连接的拓扑：如果 ipaserver_remove_on_server 的值没有设置，则 server123 上的副本会使用 server123 的复制协议自动删除。

2. 卸载副本：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/uninstall-server.yml

   Copy to Clipboard
3. 确保指向 server123.idm.example.com 的所有名称服务器(NS) DNS 记录都从 DNS 区域中删除。无论您使用由 IdM 还是外部 DNS 管理的集成 DNS，这个均适用。

流程

1. 打开清单文件进行编辑。指定要成为 IdM 副本的主机的完全限定域名(FQDN)。FQDN 必须是有效的 DNS 名称：

   • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。

   • 主机名必须都是小写。

     仅定义副本 FQDN 的简单清单主机文件示例

     [ipareplicas]
     replica1.idm.example.com
     replica2.idm.example.com
     replica3.idm.example.com
     [...]

     Copy to Clipboard

     如果 IdM 服务器已经部署，且在 IdM DNS 区中正确设置了 SRV 记录，那么脚本会自动发现所有其他必需的值。

2. 可选：根据您设计拓扑的方式在清单文件中提供额外的信息：

   场景 1

   如果要避免自动发现，并且使 [ipareplicas] 部分中列出的所有副本都使用特定的 IdM 服务器，请在清单文件的 [ipaservers] 部分中设置服务器。

   带有 IdM 服务器 FQDN 和定义的副本的清单主机文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]

   Copy to Clipboard

   场景 2

   或者，如果要避免自动发现，但希望使用特定服务器部署特定副本，请在清单文件的 ipareplicas 部分中单独为特定副本设置服务器。

   为特定副本定义了特定 IdM 服务器的清单文件示例

   [ipaservers]
   server.idm.example.com
   replica1.idm.example.com
   
   [ipareplicas]
   replica2.idm.example.com
   replica3.idm.example.com ipareplica_servers=replica1.idm.example.com

   Copy to Clipboard

   在上例中，replica3.idm.example.com 使用已部署的 replica1.idm.example.com 作为其复制源。

   场景 3

   如果您在一个批处理中部署多个副本，并且时间是您关心的问题，那么多层副本部署可能对您很有用。在清单文件中定义特定的副本组，如 [ipareplicas_tier1] 和 [ipareplicas_tier2]，并在 install-replica.yml playbook 中为每个组设计单独的 play。

   定义了副本层的清单文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas_tier1]
   replica1.idm.example.com
   
   [ipareplicas_tier2]
   replica2.idm.example.com \ ipareplica_servers=replica1.idm.example.com,server.idm.example.com

   Copy to Clipboard

   将使用 ipareplica_servers 中的第一个条目。第二个条目将用作回退选项。在使用多个层来部署 IdM 副本时，您必须在 playbook 中有单独的任务来首先从 tier1 部署副本，然后从 tier2 部署副本。

   为不同副本组使用不同 play 的 playbook 文件示例

   ---
   - name: Playbook to configure IPA replicas (tier1)
     hosts: ipareplicas_tier1
     become: true
   
     roles:
     - role: freeipa.ansible_freeipa.ipareplica
       state: present
   
   - name: Playbook to configure IPA replicas (tier2)
     hosts: ipareplicas_tier2
     become: true
   
     roles:
     - role: freeipa.ansible_freeipa.ipareplica
       state: present

   Copy to Clipboard

3. 可选：提供有关 firewalld 和 DNS 的额外信息：

   场景 1

   如果您希望副本使用指定的 firewalld 区域，如一个内部区域，您可以在清单文件中指定它。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区中。预定义的默认区是 public。

   重要

   指定的 firewalld 区必须存在，并且是永久的。

   带有自定义 firewalld 区域的简单清单主机文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]
   
   [ipareplicas:vars]
   ipareplica_firewalld_zone=custom zone

   Copy to Clipboard

   场景 2

   如果您希望副本托管 IdM DNS 服务，请将 ipareplica_setup_dns=true 行添加到 [ipareplicas:vars] 部分中。另外，请指定您是否要使用每服务器 DNS 转发器：

   • 要配置每服务器转发器，请将 ipareplica_forwarders 变量和字符串列表添加到 [ipareplicas:vars] 部分，例如：ipareplica_forwarders=192.0.2.1,192.0.2.2
   • 若要配置无每服务器转发器，请将以下行添加到 [ipareplicas:vars] 部分中：ipareplica_no_forwarders=true。
   • 要根据副本的 /etc/resolv.conf 文件中列出的转发器配置每服务器转发器，请将 ipareplica_auto_forwarders 变量添加到 [ipareplicas:vars] 部分。

   带有在副本上设置 DNS 和每个服务器转发器的指令的清单文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]
   
   [ipareplicas:vars]
   ipareplica_setup_dns=true
   ipareplica_forwarders=192.0.2.1,192.0.2.2

   Copy to Clipboard

   场景 3

   使用 ipaclient_configure_dns_resolve 和 ipaclient_dns_servers 选项指定 DNS 解析器，以简化集群部署。这在您的 IdM 部署使用集成的 DNS 时特别有用：

   指定 DNS 解析器的清单文件片段：

   [...]
   [ipaclient:vars]
   ipaclient_configure_dns_resolver=true
   ipaclient_dns_servers=192.168.100.1

   Copy to Clipboard

   注意

   ipaclient_dns_servers 列表必须仅包含 IP 地址。主机名不允许。

流程

1. 指定 授权部署副本的用户的密码，如 IdM admin。

   • 使用 Ansible Vault 来存储密码，并从 playbook 文件（如 install-replica.yml）中引用 Vault 文件：

     使用来自清单文件和 Ansible Vault 文件中的密码的主体的 playbook 文件示例

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
       vars_files:
       - playbook_sensitive_data.yml
     
       roles:
       - role: freeipa.ansible_freeipa.ipareplica
         state: present

     Copy to Clipboard

     有关如何使用 Ansible Vault 的详细信息，请参阅官方 Ansible Vault 文档。

   • 直接在清单文件中提供 admin 的凭证不太安全。请在清单文件的 [ipareplicas:vars] 部分中使用 ipaadmin_password 选项。然后，清单文件和 install-replica.yml playbook 文件类似如下：

     清单 hosts.replica 文件示例

     [...]
     [ipareplicas:vars]
     ipaadmin_password=Secret123

     Copy to Clipboard

     使用清单文件中的主体和密码的 playbook 示例

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
     
       roles:
       - role: freeipa.ansible_freeipa.ipareplica
         state: present

     Copy to Clipboard

   • 或者，在清单文件中提供授权直接部署副本的另一个用户的凭证也不太安全。要指定不同的授权用户，请使用 ipaadmin_principal 选项作为用户名，使用 ipaadmin_password 选项作为密码。然后，清单文件和 install-replica.yml playbook 文件类似如下：

     清单 hosts.replica 文件示例

     [...]
     [ipareplicas:vars]
     ipaadmin_principal=my_admin
     ipaadmin_password=my_admin_secret123

     Copy to Clipboard

     使用清单文件中的主体和密码的 playbook 示例

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
     
       roles:
       - role: freeipa.ansible_freeipa.ipareplica
         state: present

     Copy to Clipboard

流程

1. 打开 inventory 文件进行编辑。

2. 指定要成为 IdM 客户端的主机的完全限定主机名(FQDN)。完全限定域名必须是有效的 DNS 名称：

   • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。不允许使用大写字母。

   如果在 IdM DNS 区中正确设置了 SRV 记录，该脚本会自动发现所有其他必要的值。

   只带有客户端 FQDN 定义的简单的清单主机文件示例

   [ipaclients]
   client.idm.example.com
   [...]

   Copy to Clipboard

3. 指定注册客户端的凭证。可用的验证方法如下：

   • 注册 客户端的用户权限的密码。这是默认选项。

     • 使用 Ansible Vault 来存储密码，并从 playbook 文件（如 install-client.yml）中引用 Vault 文件：

       使用来自清单文件和 Ansible Vault 文件中的密码的主体的 playbook 文件示例

       - name: Playbook to configure IPA clients with username/password
         hosts: ipaclients
         become: true
         vars_files:
         - playbook_sensitive_data.yml
       
         roles:
         - role: freeipa.ansible_freeipa.ipaclient
           state: present

       Copy to Clipboard

     • 在 inventory/hosts 文件的 [ipaclients:vars] 部分中使用 ipaadmin_password 选项来提供 admin 的凭证不太安全。或者，指定不同的授权用户，请使用 ipaadmin_principal 选项作为用户名，使用 ipaadmin_password 选项作为密码。然后，inventory/hosts 清单文件和 install-client.yml playbook 文件类似如下：

       清单主机文件示例

       [...]
       [ipaclients:vars]
       ipaadmin_principal=my_admin
       ipaadmin_password=Secret123

       Copy to Clipboard

       使用清单文件中的主体和密码的 Playbook 示例

       - name: Playbook to unconfigure IPA clients
         hosts: ipaclients
         become: true
       
         roles:
         - role: freeipa.ansible_freeipa.ipaclient
           state: true

       Copy to Clipboard

   • 之前的注册的 客户端 keytab ，如果其仍然可用。

     如果系统之前作为身份管理客户端注册，则可以使用这个选项。要使用此身份验证方法，请取消 #ipaclient_keytab 选项的注释，指定存储 keytab 的文件的路径，例如在 inventory/hosts 的 [ipaclient:vars] 部分。

   • 在注册过程中生成的随机一次性密码 (OTP)。要使用此身份验证方法，请在清单文件中使用 ipaclient_use_otp=true 选项。例如，您可以取消 inventory/hosts 文件的 [ipaclients:vars] 部分中的 ipaclient_use_otp=true 选项的注释。请注意，对于 OTP，还必须指定以下选项之一：

     • 授权注册客户端的用户的密码 ，例如，为 inventory/hosts 文件的 [ipaclients:vars] 部分的 ipaadmin_password 提供值。
     • admin keytab，例如，为 inventory/hosts 的 [ipaclients:vars] 部分中的 ipaadmin_keytab 提供值。

4. 可选：使用 ipaclient_configure_dns_resolve 和 ipaclient_dns_servers 选项（如果可用）指定 DNS 解析器来简化集群部署。这在您的 IdM 部署使用集成的 DNS 时特别有用：

   指定 DNS 解析器的清单文件片段：

   [...]
   [ipaclients:vars]
   ipaadmin_password: "{{ ipaadmin_password }}"
   ipaclient_domain=idm.example.com
   ipaclient_configure_dns_resolver=true
   ipaclient_dns_servers=192.168.100.1

   Copy to Clipboard

   注意

   ipaclient_dns_servers 列表必须仅包含 IP 地址。主机名不允许。

5. 您还可以指定 ipaclient_subid: true 选项，使为 IdM 级别上的 IdM 用户配置了子范围。

流程

1. 指定要成为 IdM 客户端的主机的完全限定主机名(FQDN)。完全限定域名必须是有效的 DNS 名称：

   • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。不允许使用大写字母。

2. 在 inventory/hosts 文件的相关部分中指定其他选项：

   • [ipaservers] 部分中服务器的 FQDN，用于指示客户端将注册到哪个 IdM 服务器

   • 以下两个选项之一：

     • [ipaclients:vars] 部分中的 ipaclient_domain 选项，用来指示客户端将注册到的 IdM 服务器的 DNS 域名

     • [ipaclients:vars] 部分中的 ipaclient_realm 选项，用于指示 IdM 服务器控制的 Kerberos 域的名称

       带有客户端 FQDN、服务器 FQDN 和定义的域的清单主机文件示例

       [ipaclients]
       client.idm.example.com
       
       [ipaservers]
       server.idm.example.com
       
       [ipaclients:vars]
       ipaclient_domain=idm.example.com
       [...]

       Copy to Clipboard

3. 指定注册客户端的凭证。可用的验证方法如下：

   • 注册 客户端的用户权限的密码。这是默认选项。

     • 使用 Ansible Vault 来存储密码，并从 playbook 文件（如 install-client.yml）中引用 Vault 文件：

       使用来自清单文件和 Ansible Vault 文件中的密码的主体的 playbook 文件示例

       - name: Playbook to configure IPA clients with username/password
         hosts: ipaclients
         become: true
         vars_files:
         - playbook_sensitive_data.yml
       
         roles:
         - role: freeipa.ansible_freeipa.ipaclient
           state: present

       Copy to Clipboard

   • 不太安全的是，使用 inventory/hosts 文件的 [ipaclients:vars] 部分中的 ipaadmin_password 选项提供 admin 的凭证。或者，指定不同的授权用户，请使用 ipaadmin_principal 选项作为用户名，使用 ipaadmin_password 选项作为密码。install-client.yml playbook 文件类似如下：

     清单主机文件示例

     [...]
     [ipaclients:vars]
     ipaadmin_principal=my_admin
     ipaadmin_password=Secret123

     Copy to Clipboard

     使用清单文件中的主体和密码的 Playbook 示例

     - name: Playbook to unconfigure IPA clients
       hosts: ipaclients
       become: true
     
       roles:
       - role: freeipa.ansible_freeipa.ipaclient
         state: true

     Copy to Clipboard

   • 之前注册的客户端 keytab，如果仍然可用：

     如果系统之前作为身份管理客户端注册，则可以使用这个选项。要使用此身份验证方法，请取消 ipaclient_keytab 选项的注释，指定存储 keytab 的文件的路径，例如在 inventory/hosts 的 [ipaclient:vars] 部分。

   • 在注册过程中生成的随机一次性密码 (OTP)。要使用此身份验证方法，请在清单文件中使用 ipaclient_use_otp=true 选项。例如，您可以取消 inventory/hosts 文件的 [ipaclients:vars] 部分中的 #ipaclient_use_otp=true 选项的注释。请注意，对于 OTP，还必须指定以下选项之一：

     • 授权注册客户端的用户的密码 ，例如，为 inventory/hosts 文件的 [ipaclients:vars] 部分的 ipaadmin_password 提供值。
     • admin keytab，例如，为 inventory/hosts 的 [ipaclients:vars] 部分中的 ipaadmin_keytab 提供值。
4. 您还可以指定 ipaclient_subid: true 选项，使为 IdM 级别上的 IdM 用户配置了子范围。

流程

1. 以具有 Host Enrollment 特权和添加 DNS 记录权限的 IdM 用户的身份 SSH 到 IdM 主机：

   $ ssh admin@server.idm.example.com

   Copy to Clipboard

2. 为新客户端生成一个 OTP：

   [admin@server ~]$ ipa host-add client.idm.example.com --ip-address=172.25.250.11 --random
    --------------------------------------------------
    Added host "client.idm.example.com"
    --------------------------------------------------
     Host name: client.idm.example.com
     Random password: W5YpARl=7M.n
     Password: True
     Keytab: False
     Managed by: server.idm.example.com

   Copy to Clipboard

   --ip-address=<your_host_ip_address> 选项将主机添加到具有指定 IP 地址的 IdM DNS 中。

3. 退出 IdM 主机：

   $ exit
   logout
   Connection to server.idm.example.com closed.

   Copy to Clipboard

4. 在 ansible 控制器上，更新清单文件以包含随机密码：

   [...]
   [ipaclients]
   client.idm.example.com
   
   [ipaclients:vars]
   ipaclient_domain=idm.example.com
   ipaclient_otp=W5YpARl=7M.n
   [...]

   Copy to Clipboard

5. 运行 playbook 来安装客户端：

   $ ansible-playbook -i inventory install-client.yml

   Copy to Clipboard

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks

   Copy to Clipboard

2. 使用以下内容创建 ~/MyPlaybooks/ansible.cfg 文件：

   [defaults]
   inventory = /home/your_username/MyPlaybooks/inventory
   remote_user = admin

   Copy to Clipboard

3. 使用以下内容创建 ~/MyPlaybooks/inventory 文件：

   [eu]
   server.idm.example.com
   
   [us]
   replica.idm.example.com
   
   [ipaserver:children]
   eu
   us

   Copy to Clipboard

   此配置定义了两个主机组，即 eu 和 us，用于这些位置中的主机。此外，此配置定义了 ipaserver 主机组，它包含来自 eu 和 us 组的所有主机。

4. 可选：创建一个 SSH 公钥和私钥。要在测试环境中简化访问，请不要在私钥中设置密码：

   $ ssh-keygen

   Copy to Clipboard

5. 将 SSH 公钥复制到每个受管节点上的 IdM admin 帐户：

   $ ssh-copy-id admin@server.idm.example.com
   $ ssh-copy-id admin@replica.idm.example.com

   Copy to Clipboard

   这些命令要求您输入 IdM admin 密码。

6. 创建一个包含 vault 密码的 password_file 文件：

   redhat

   Copy to Clipboard

7. 更改权限以修改文件：

   $ chmod 0600 password_file

   Copy to Clipboard

8. 创建一个 secret.yml Ansible vault 来存储 IdM admin 密码：

   1. 配置 password_file 以存储 vault 密码：

      $ ansible-vault create --vault-password-file=password_file secret.yml

      Copy to Clipboard

   2. 出现提示时，输入 secret.yml 文件的内容：

      ipaadmin_password: Secret123

      Copy to Clipboard

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 制作位于 /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks 目录中的 backup-server.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/backup-server.yml backup-my-server.yml

   Copy to Clipboard
3. 打开 backup-my-server.yml Ansible playbook 文件以进行编辑。

4. 通过将您的清单文件中的 hosts 变量设置为主机组来调整 文件。在本例中，将其设置为 ipaserver 主机组：

   ---
   - name: Playbook to backup IPA server
     hosts: ipaserver
     become: true
   
     roles:
     - role: freeipa.ansible_freeipa.ipabackup
       state: present

   Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook，指定清单文件和 playbook 文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory backup-my-server.yml

   Copy to Clipboard

验证

1. 登录到您备份的 IdM 服务器。

2. 验证备份是否位于 /var/lib/ipa/backup 目录中。

   [root@server ~]# ls /var/lib/ipa/backup/
   ipa-full-2021-04-30-13-12-00

   Copy to Clipboard

流程

1. 若要存储备份，请在 Ansible 控制器上的主目录中创建一个子目录。

   $ mkdir ~/ipabackups

   Copy to Clipboard

2. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

3. 制作位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/ansible_freeipa/playbooks 目录中的 backup-server-to-controller.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/backup-server-to-controller.yml backup-my-server-to-my-controller.yml

   Copy to Clipboard
4. 打开 backup-my-server-to-my-controller.yml 文件进行编辑。

5. 通过设置以下变量来调整文件：

   1. 将 hosts 变量设置为清单文件中的主机组。在本例中，将它设置为 ipaserver 主机组。

   2. 可选：要在 IdM 服务器上维护备份的副本，请取消以下行的注释：

       # ipabackup_keep_on_server: true

      Copy to Clipboard

6. 默认情况下，备份存储在 Ansible 控制器的当前工作目录中。要指定在第 1 步中创建的备份目录，请添加 ipabackup_controller_path 变量并将其设置为 /home/user/ipabackups 目录。

   ---
   - name: Playbook to backup IPA server to controller
     hosts: ipaserver
     become: true
     vars:
       ipabackup_to_controller: true
       # ipabackup_keep_on_server: true
       ipabackup_controller_path: /home/user/ipabackups
   
     roles:
     - role: freeipa.ansible_freeipa.ipabackup
       state: present

   Copy to Clipboard
7. 保存该文件。

8. 运行 Ansible playbook，指定清单文件和 playbook 文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory backup-my-server-to-my-controller.yml

   Copy to Clipboard

流程

1. 若要存储备份，请在 Ansible 控制器上的主目录中创建一个子目录。

   $ mkdir ~/ipabackups

   Copy to Clipboard

2. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

3. 制作位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/ansible_freeipa/playbooks 目录中的 copy-backup-from-server.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/copy-backup-from-server.yml copy-backup-from-my-server-to-my-controller.yml

   Copy to Clipboard
4. 打开 copy-my-backup-from-my-server-to-my-controller.yml 文件进行编辑。

5. 通过设置以下变量来调整文件：

   1. 将 hosts 变量设置为清单文件中的主机组。在本例中，将它设置为 ipaserver 主机组。
   2. 将 ipabackup_name 变量设置为 IdM 服务器上的 ipabackup 的名称，以复制到您的 Ansible 控制器。

   3. 默认情况下，备份存储在 Ansible 控制器的当前工作目录中。要指定在第 1 步中创建的目录，请添加 ipabackup_controller_path 变量并将其设置为 /home/user/ipabackups 目录。

      ---
      - name: Playbook to copy backup from IPA server
        hosts: ipaserver
        become: true
        vars:
          ipabackup_name: ipa-full-2021-04-30-13-12-00
          ipabackup_to_controller: true
          ipabackup_controller_path: /home/user/ipabackups
      
        roles:
        - role: freeipa.ansible_freeipa.ipabackup
          state: present

      Copy to Clipboard
6. 保存该文件。

7. 运行 Ansible playbook，指定清单文件和 playbook 文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory copy-backup-from-my-server-to-my-controller.yml

   Copy to Clipboard

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 制作位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/ansible_freeipa/playbooks 目录中的 copy-backup-from-controller.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/copy-backup-from-controller.yml copy-backup-from-my-controller-to-my-server.yml

   Copy to Clipboard
3. 打开 copy-my-backup-from-my-controller-to-my-server.yml 文件进行编辑。

4. 通过设置以下变量来调整文件：

   1. 将 hosts 变量设置为清单文件中的主机组。在本例中，将它设置为 ipaserver 主机组。

   2. 将 ipabackup_name 变量设置为 Ansible 控制器上 ipabackup 的名称，以复制到 IdM 服务器。

      ---
      - name: Playbook to copy a backup from controller to the IPA server
        hosts: ipaserver
        become: true
      
        vars:
          ipabackup_name: server.idm.example.com_ipa-full-2021-04-30-13-12-00
          ipabackup_from_controller: true
      
        roles:
        - role: freeipa.ansible_freeipa.ipabackup
          state: copied

      Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook，指定清单文件和 playbook 文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory copy-backup-from-my-controller-to-my-server.yml

   Copy to Clipboard

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 制作位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/ansible_freeipa/playbooks 目录中的 remove-backup-from-server.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/remove-backup-from-server.yml remove-backup-from-my-server.yml

   Copy to Clipboard
3. 打开 remove-backup-from-my-server.yml 文件以进行编辑。

4. 通过设置以下变量来调整文件：

   1. 将 hosts 变量设置为清单文件中的主机组。在本例中，将它设置为 ipaserver 主机组。

   2. 将 ipabackup_name 变量设置为 ipabackup 的名称，以从 IdM 服务器中删除。

      ---
      - name: Playbook to remove backup from IPA server
        hosts: ipaserver
        become: true
      
        vars:
          ipabackup_name: ipa-full-2021-04-30-13-12-00
      
        roles:
        - role: freeipa.ansible_freeipa.ipabackup
          state: absent

      Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook，指定清单文件和 playbook 文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory remove-backup-from-my-server.yml

   Copy to Clipboard

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 在 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks 目录中生成 restore-server.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/restore-server.yml restore-my-server.yml

   Copy to Clipboard
3. 打开 restore-my-server.yml Ansible playbook 文件以进行编辑。

4. 通过设置以下变量来调整文件：

   1. 将 hosts 变量设置为清单文件中的主机组。在本例中，将它设置为 ipaserver 主机组。
   2. 将 ipabackup_name 变量设置为要恢复的 ipabackup 的名称。

   3. 将 ipabackup_password 变量设置为 LDAP Directory Manager 密码。

      ---
      - name: Playbook to restore an IPA server
        hosts: ipaserver
        become: true
      
        vars:
          ipabackup_name: ipa-full-2021-04-30-13-12-00
          ipabackup_password: <your_LDAP_DM_password>
      
        roles:
        - role: freeipa.ansible_freeipa.ipabackup
          state: restored

      Copy to Clipboard
5. 保存该文件。

6. 运行指定清单文件和 playbook 文件的 Ansible playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory restore-my-server.yml

   Copy to Clipboard

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 制作位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/ansible_freeipa/playbooks 目录中的 restore-server-from-controller.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/restore-server-from-controller.yml restore-my-server-from-my-controller.yml

   Copy to Clipboard
3. 打开 restore-my-server-from-my-controller.yml 文件进行编辑。

4. 通过设置以下变量来调整文件：

   1. 将 hosts 变量设置为清单文件中的主机组。在本例中，将它设置为 ipaserver 主机组。
   2. 将 ipabackup_name 变量设置为要恢复的 ipabackup 的名称。

   3. 将 ipabackup_password 变量设置为 LDAP Directory Manager 密码。

      ---
      - name: Playbook to restore IPA server from controller
        hosts: ipaserver
        become: true
      
        vars:
          ipabackup_name: server.idm.example.com_ipa-full-2021-04-30-13-12-00
          ipabackup_password: <your_LDAP_DM_password>
          ipabackup_from_controller: true
      
        roles:
        - role: freeipa.ansible_freeipa.ipabackup
          state: restored

      Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook，指定清单文件和 playbook 文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory restore-my-server-from-my-controller.yml

   Copy to Clipboard

流程

1. [可选] 查看 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/config/retrieve-config.yml Ansible playbook 文件：

   ---
   - name: Playbook to handle global IdM configuration
     hosts: ipaserver
     become: no
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Query IPA global configuration
       freeipa.ansible_freeipa.ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
       register: serverconfig
   
     - debug:
         msg: "{{ serverconfig }}"

   Copy to Clipboard

2. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/config/retrieve-config.yml
   [...]
   TASK [debug]
   ok: [server.idm.example.com] => {
       "msg": {
           "ansible_facts": {
               "discovered_interpreter_
           },
           "changed": false,
           "config": {
               "ca_renewal_master_server": "server.idm.example.com",
               "configstring": [
                   "AllowNThash",
                   "KDC:Disable Last Success"
               ],
               "defaultgroup": "ipausers",
               "defaultshell": "/bin/bash",
               "emaildomain": "idm.example.com",
               "enable_migration": false,
               "groupsearch": [
                   "cn",
                   "description"
               ],
               "homedirectory": "/home",
               "maxhostname": "64",
               "maxusername": "64",
               "pac_type": [
                   "MS-PAC",
                   "nfs:NONE"
               ],
               "pwdexpnotify": "4",
               "searchrecordslimit": "100",
               "searchtimelimit": "2",
               "selinuxusermapdefault": "unconfined_u:s0-s0:c0.c1023",
               "selinuxusermaporder": [
                   "guest_u:s0$xguest_u:s0$user_
               ],
               "usersearch": [
                   "uid",
                   "givenname",
                   "sn",
                   "telephonenumber",
                   "ou",
                   "title"
               ]
           },
           "failed": false
       }
   }

   Copy to Clipboard

流程

1. 可选：识别当前 IdM CA 续订服务器：

   $ ipa config-show | grep 'CA renewal'
     IPA CA renewal master: server.idm.example.com

   Copy to Clipboard

2. 打开 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/config/set-ca-renewal-master-server.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to handle global DNS configuration
     hosts: ipaserver
     become: no
     gather_facts: no
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: set ca_renewal_master_server
       freeipa.ansible_freeipa.ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
         ca_renewal_master_server: carenewal.idm.example.com

   Copy to Clipboard
3. 使用 ca_renewal_master_server 变量设置 CA 续订服务器的名称。
4. 保存该文件。

5. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/config/set-ca-renewal-master-server.yml

   Copy to Clipboard

1. 以 IdM 管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

   Copy to Clipboard

2. 请求 IdM CA 续订服务器的身份：

   $ ipa config-show | grep ‘CA renewal'
   IPA CA renewal master:  carenewal02.idm.example.com

   Copy to Clipboard

   输出显示 watchnewal.idm.example.com 服务器是新的 CA 续订服务器。

流程

1. 可选： 使用 retrieve-config.yml Ansible playbook 来识别 IdM 用户的当前 shell。详情请参阅 使用 Ansible playbook 检索 IdM 配置。

2. 打开 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/config/ensure-config-options-are-set.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to ensure some config options are set
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     # Set defaultlogin and maxusername
     - freeipa.ansible_freeipa.ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
         defaultshell: /bin/bash
         maxusername: 64

   Copy to Clipboard
3. 使用 defaultshell 变量，将 IdM 用户的默认 shell 设置为 /bin/sh。
4. 保存该文件。

5. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/config/ensure-config-options-are-set.yml

   Copy to Clipboard

1. 以 IdM 管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

   Copy to Clipboard

2. 显示当前的 shell：

   [admin@server /]$ echo "$SHELL"
   /bin/sh

   Copy to Clipboard

   登录用户正在使用 sh shell。

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard
2. 创建一个 netbios-domain-name-present.yml Ansible playbook 文件。

3. 在文件中添加以下内容：

   ---
   - name: Playbook to change IdM domain netbios name
     hosts: ipaserver
     become: no
     gather_facts: no
   
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Set IdM domain netbios name
       freeipa.ansible_freeipa.ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
         netbios_name: IPADOM

   Copy to Clipboard
4. 保存该文件。

5. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory netbios-domain-name-present.yml

   Copy to Clipboard

   出现提示时，提供 vault 文件密码。

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard
2. 创建一个 sids-for-users-and-groups-present.yml Ansible playbook 文件。

3. 在文件中添加以下内容：

   ---
   - name: Playbook to ensure SIDs are enabled and users and groups have SIDs
     hosts: ipaserver
     become: no
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Enable SID and generate users and groups SIDS
       freeipa.ansible_freeipa.ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
         enable_sid: true
         add_sids: true

   Copy to Clipboard

   enable_sid 变量为将来的 IdM 用户和组启用 SID 生成。add_sids 变量为现有的 IdM 用户和组生成 SID。

   注意

   使用 add_sids: true 时，您还必须将 enable_sid 变量设置为 true。

4. 保存该文件。

5. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory sids-for-users-and-groups-present.yml

   Copy to Clipboard

   出现提示时，提供 vault 文件密码。

流程

1. 创建一个 Ansible playbook 文件，其中包含您要确保的 IdM 中存在的用户数据。要简化此步骤，您可以复制并修改 /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/user/add-user.yml 文件中的示例。例如，创建名为 idm_user 的用户并添加 Password123 作为用户密码：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create user idm_user
       freeipa.ansible_freeipa.ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: idm_user
         first: Alice
         last: Acme
         uid: 1000111
         gid: 10011
         phone: "+555123457"
         email: idm_user@acme.com
         passwordexpiration: "2023-01-19 23:59:59"
         password: "Password123"
         update_password: on_create

   Copy to Clipboard

   您必须使用以下选项来添加用户：

   • name：登录名称
   • first：名（字符串）
   • last：姓（字符串）

   有关可用用户选项的完整列表，请参阅 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/README-user.md Markdown 文件。

   注意

   如果您使用 update_password: on_create 选项，Ansible 仅在创建用户时创建用户密码。如果已使用密码创建了用户，Ansible 不会生成新的密码。

2. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-IdM-user.yml

   Copy to Clipboard

流程

1. 创建一个 Ansible playbook 文件，其中包含您要在 IdM 中确保存在的用户的数据。要简化此步骤，您可以复制并修改 /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create user idm_users
       freeipa.ansible_freeipa.ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users:
         - name: idm_user_1
           first: Alice
           last: Acme
           uid: 10001
           gid: 10011
           phone: "+555123457"
           email: idm_user@acme.com
           passwordexpiration: "2023-01-19 23:59:59"
           password: "Password123"
         - name: idm_user_2
           first: Bob
           last: Acme
           uid: 100011
           gid: 10011
         - name: idm_user_3
           first: Eve
           last: Acme
           uid: 1000111
           gid: 10011

   Copy to Clipboard
   注意

   如果没有指定 update_password: on_create 选项，Ansible 每次运行 playbook 时都会重新设置用户密码：如果用户自上次运行 playbook 起更改了密码，则 Ansible 重新设置密码。

2. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-users.yml

   Copy to Clipboard

流程

1. 创建包含必要任务的 Ansible playbook 文件。使用您要确保存在的用户数据引用 JSON 文件。要简化此步骤，您可以复制并修改 /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/README-user.md 文件中的示例：

   ---
   - name: Ensure users' presence
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Include users_present.json
       include_vars:
         file: users_present.json
   
     - name: Users present
       freeipa.ansible_freeipa.ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users: "{{ users }}"

   Copy to Clipboard

2. 创建 users.json 文件，并将 IdM 用户添加到其中。要简化此步骤，您可以复制并修改 /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/README-user.md 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   {
     "users": [
      {
       "name": "idm_user_1",
       "first": "First 1",
       "last": "Last 1",
       "password": "Password123"
      },
      {
       "name": "idm_user_2",
       "first": "First 2",
       "last": "Last 2"
      },
      {
       "name": "idm_user_3",
       "first": "First 3",
       "last": "Last 3"
      }
     ]
   }

   Copy to Clipboard

3. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-users-present-jsonfile.yml

   Copy to Clipboard

流程

1. 创建 Ansible playbook 文件，使其包含没有 IdM 的用户。要简化此步骤，您可以复制并修改 /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要删除用户 idm_user_1、idm_user_2 和 idm_user_3 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Delete users idm_user_1, idm_user_2, idm_user_3
       freeipa.ansible_freeipa.ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users:
         - name: idm_user_1
         - name: idm_user_2
         - name: idm_user_3
         state: absent

   Copy to Clipboard

2. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/delete-users.yml

   Copy to Clipboard

1. 以管理员身份登录到 ipaserver：

   $ ssh administrator@server.idm.example.com
   Password:
   [admin@server /]$

   Copy to Clipboard

2. 请求有关 idm_user_1 的信息：

   $ ipa user-show idm_user_1
   ipa: ERROR: idm_user_1: user not found

   Copy to Clipboard

   IdM 中不存在名为 idm_user_1 的用户。

流程

1. 使用必要的用户和组信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle groups
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create group ops with gid 1234
       freeipa.ansible_freeipa.ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: ops
         gidnumber: 1234
   
     - name: Create group sysops
       freeipa.ansible_freeipa.ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: sysops
         user:
         - idm_user
   
     - name: Create group appops
       freeipa.ansible_freeipa.ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: appops
   
     - name: Add group members sysops and appops to group ops
       freeipa.ansible_freeipa.ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: ops
         group:
         - sysops
         - appops

   Copy to Clipboard

2. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-group-members.yml

   Copy to Clipboard

1. 以管理员身份登录到 ipaserver：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

   Copy to Clipboard

2. 显示关于 ops 的信息：

   ipaserver]$ ipa group-show ops
     Group name: ops
     GID: 1234
     Member groups: sysops, appops
     Indirect Member users: idm_user

   Copy to Clipboard

   IdM 中已存在 appops 和 sysops 组，后者包括 idm_user 用户。

流程

1. 使用以下内容创建 Ansible playbook 文件 add-nonposix-and-external-groups.yml ：

   ---
   - name: Playbook to add nonposix and external groups
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Add nonposix group sysops and external group appops
       freeipa.ansible_freeipa.ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         groups:
         - name: sysops
           nonposix: true
         - name: appops
           external: true

   Copy to Clipboard

2. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/add-nonposix-and-external-groups.yml

   Copy to Clipboard

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 使用以下内容创建一个 add-useridoverride-to-group.yml playbook：

   ---
   - name: Playbook to ensure presence of users in a group
     hosts: ipaserver
   
     tasks:
     - name: Ensure the ad_user@ad.example.com user ID override is a member of the admins group:
       freeipa.ansible_freeipa.ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: admins
         idoverrideuser:
         - ad_user@ad.example.com

   Copy to Clipboard

   在示例中：

   • admins 是您要添加 ad_user@ad.example.com ID 覆盖的 IdM POSIX 组的名称。此组成员具有全部的管理员特权。
   • ad_user@ad.example.com 是 AD 管理员的用户 ID 覆盖。用户存储在已建立信任的 AD 域中。
3. 保存该文件。

4. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory add-useridoverride-to-group.yml

   Copy to Clipboard

流程

1. 使用必要的用户和组成员管理信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle membership management
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure user test is present for group_a
       freeipa.ansible_freeipa.ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: group_a
         membermanager_user: test
   
     - name: Ensure group_admins is present for group_a
       freeipa.ansible_freeipa.ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: group_a
         membermanager_group: group_admins

   Copy to Clipboard

2. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-member-managers-user-groups.yml

   Copy to Clipboard

1. 以管理员身份登录到 ipaserver：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

   Copy to Clipboard

2. 显示 managergroup1 的信息：

   ipaserver]$ ipa group-show group_a
     Group name: group_a
     GID: 1133400009
     Membership managed by groups: group_admins
     Membership managed by users: test

   Copy to Clipboard

流程

1. 使用必要的用户和组成员管理信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle membership management
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure member manager user and group members are absent for group_a
       freeipa.ansible_freeipa.ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: group_a
         membermanager_user: test
         membermanager_group: group_admins
         action: member
         state: absent

   Copy to Clipboard

2. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-member-managers-are-absent.yml

   Copy to Clipboard

1. 以管理员身份登录到 ipaserver：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

   Copy to Clipboard

2. 显示 group_a 的信息：

   ipaserver]$ ipa group-show group_a
     Group name: group_a
     GID: 1133400009

   Copy to Clipboard

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 复制位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/automember/ 目录中的 automember -group-present.yml Ansible playbook 文件：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/automember/automember-group-present.yml automember-group-present-copy.yml

   Copy to Clipboard
3. 打开 automember-group-present-copy.yml 文件进行编辑。

4. 通过在 freeipa.ansible_freeipa.ipaautomember 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设为 IdM admin 的密码。
   • 将 name 变量设为 testing_group。
   • 将 automember_type 变量设为 group。
   • 确保 state 变量设置为 present。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember group present example
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure group automember rule admins is present
       freeipa.ansible_freeipa.ipaautomember:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: testing_group
         automember_type: group
         state: present

   Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automember-group-present-copy.yml

   Copy to Clipboard

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 复制位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/automember/ 目录的 automember-hostgroup-rule-present.yml Ansible playbook 文件，并将其命名为 automember-usergroup-rule-present.yml ：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/automember/automember-hostgroup-rule-present.yml automember-usergroup-rule-present.yml

   Copy to Clipboard
3. 打开 automember-usergroup-rule-present.yml 文件进行编辑。

4. 通过修改以下参数来调整文件：

   • 重命名 playbook 以便对应于您的用例，例如：自动成员用户组规则成员存在。
   • 重命名任务以便对应于您的用例，例如：确保用户组的自动成员条件存在。

   • 在 freeipa.ansible_freeipa.ipaautomember 任务部分设置以下变量：

     • 将 ipaadmin_password 变量设为 IdM admin 的密码。
     • 将 name 变量设为 testing_group。
     • 将 automember_type 变量设为 group。
     • 确保 state 变量设置为 present。
     • 确保 action 变量设为 member。
     • 将 inclusive key 变量设为 UID。
     • 将 inclusive expression 变量设为 .*

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember user group rule member present
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure an automember condition for a user group is present
       freeipa.ansible_freeipa.ipaautomember:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: testing_group
         automember_type: group
         state: present
         action: member
         inclusive:
           - key: UID
             expression: .*

   Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automember-usergroup-rule-present.yml

   Copy to Clipboard

验证

1. 以 IdM 管理员身份登录。

   $ kinit admin

   Copy to Clipboard

2. 例如，添加用户：

   $ ipa user-add user101 --first user --last 101
   -----------------------
   Added user "user101"
   -----------------------
     User login: user101
     First name: user
     Last name: 101
     ...
     Member of groups: ipausers, testing_group
     ...

   Copy to Clipboard

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 复制位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/automember/playbooks/automember/ 目录的 automember -hostgroup-rule-absent.yml Ansible playbook 文件，并将其命名为 automember-usergroup-rule-absent.yml ：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/automember/automember-hostgroup-rule-absent.yml automember-usergroup-rule-absent.yml

   Copy to Clipboard
3. 打开 automember-usergroup-rule-absent.yml 文件进行编辑。

4. 通过修改以下参数来调整文件：

   • 重命名 playbook 以对应于您的用例，例如：自动成员用户组规则成员不存在。
   • 重命名任务以对应于您的用例，例如：确保用户组的自动成员条件不存在。

   • 在 freeipa.ansible_freeipa.ipaautomember 任务部分设置以下变量：

     • 将 ipaadmin_password 变量设为 IdM admin 的密码。
     • 将 name 变量设为 testing_group。
     • 将 automember_type 变量设为 group。
     • 确保 state 变量设置为 absent。
     • 确保 action 变量设为 member。
     • 将 inclusive key 变量设为 initials。
     • 将 inclusive expression 变量设为 dp。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember user group rule member absent
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure an automember condition for a user group is absent
       freeipa.ansible_freeipa.ipaautomember:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: testing_group
         automember_type: group
         state: absent
         action: member
         inclusive:
           - key: initials
             expression: dp

   Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automember-usergroup-rule-absent.yml

   Copy to Clipboard

验证

1. 以 IdM 管理员身份登录。

   $ kinit admin

   Copy to Clipboard

2. 查看自动成员组：

   $ ipa automember-show --type=group testing_group
    Automember Rule: testing_group

   Copy to Clipboard

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 复制位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/automember/ 目录中的 automember -group-absent.yml Ansible playbook 文件：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/automember/automember-group-absent.yml automember-group-absent-copy.yml

   Copy to Clipboard
3. 打开 automember-group-absent-copy.yml 文件进行编辑。

4. 通过在 freeipa.ansible_freeipa.ipaautomember 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设为 IdM admin 的密码。
   • 将 name 变量设为 testing_group。
   • 将 automember_type 变量设为 group。

   • 确保 state 变量设置为 absent。

     这是当前示例修改的 Ansible playbook 文件：

     ---
     - name: Automember group absent example
       hosts: ipaserver
       vars_files:
       - /home/user_name/MyPlaybooks/secret.yml
       tasks:
       - name: Ensure group automember rule admins is absent
         freeipa.ansible_freeipa.ipaautomember:
           ipaadmin_password: "{{ ipaadmin_password }}"
           name: testing_group
           automember_type: group
           state: absent

     Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automember-group-absent.yml

   Copy to Clipboard

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 复制位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/automember/ 目录中的 automember -hostgroup-rule-present.yml Ansible playbook 文件：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/automember/automember-hostgroup-rule-present.yml automember-hostgroup-rule-present-copy.yml

   Copy to Clipboard
3. 打开 automember-hostgroup-rule-present-copy.yml 文件进行编辑。

4. 通过在 freeipa.ansible_freeipa.ipaautomember 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设为 IdM admin 的密码。
   • 将 name 变量设为 primary_dns_domain_hosts。
   • 将 automember_type 变量设为 hostgroup。
   • 确保 state 变量设置为 present。
   • 确保 action 变量设为 member。
   • 确保 inclusive key 变量设为 fqdn。
   • 将对应的 inclusive expression 变量设为 .*.idm.example.com。
   • 将 exclusive key 变量设为 fqdn。
   • 将对应的 exclusive expression 变量设为 .*.example.org。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember user group rule member present
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure an automember condition for a user group is present
       freeipa.ansible_freeipa.ipaautomember:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: primary_dns_domain_hosts
         automember_type: hostgroup
         state: present
         action: member
         inclusive:
           - key: fqdn
             expression: .*.idm.example.com
         exclusive:
           - key: fqdn
             expression: .*.example.org

   Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automember-hostgroup-rule-present-copy.yml

   Copy to Clipboard

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 创建位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/selfservice/ 目录中的 selfservice -present.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/selfservice/selfservice-present.yml selfservice-present-copy.yml

   Copy to Clipboard
3. 打开 selfservice-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 freeipa.ansible_freeipa.ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 name 变量设置为新自助服务规则的名称。
   • 将 permission 变量设置为以逗号分隔的权限列表，以授予：read 和 write。
   • 将 attribute 变量设置为用户可以自己管理的属性列表：givenname、displayname、title 和 initials。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service present
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is present
       freeipa.ansible_freeipa.ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         permission: read, write
         attribute:
         - givenname
         - displayname
         - title
         - initials

   Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-present-copy.yml

   Copy to Clipboard

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 创建位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/selfservice/ 目录中的 selfservice -absent.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/selfservice/selfservice-absent.yml selfservice-absent-copy.yml

   Copy to Clipboard
3. 打开 selfservice-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 freeipa.ansible_freeipa.ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 name 变量设置为自助服务规则的名称。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service absent
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is absent
       freeipa.ansible_freeipa.ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         state: absent

   Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-absent-copy.yml

   Copy to Clipboard

步骤

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 制作位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/selfservice/ 目录中的 selfservice -member-present.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/selfservice/selfservice-member-present.yml selfservice-member-present-copy.yml

   Copy to Clipboard
3. 打开 selfservice-member-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 freeipa.ansible_freeipa.ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 name 变量设置为要修改的自助服务规则的名称。
   • 将 attribute 变量设置为 surname。
   • 将 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service member present
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attribute surname is present
       freeipa.ansible_freeipa.ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         attribute:
         - surname
         action: member

   Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-member-present-copy.yml

   Copy to Clipboard

步骤

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 制作位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/selfservice/ 目录中的 selfservice -member-absent.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/selfservice/selfservice-member-absent.yml selfservice-member-absent-copy.yml

   Copy to Clipboard
3. 打开 selfservice-member-absent-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 freeipa.ansible_freeipa.ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 name 变量设置为您要修改的自助服务规则的名称。
   • 将 attribute 变量设置为 givenname 和 top name。
   • 将 action 变量设置为 member。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service member absent
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attributes givenname and surname are absent
       freeipa.ansible_freeipa.ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         attribute:
         - givenname
         - surname
         action: member
         state: absent

   Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-member-absent-copy.yml

   Copy to Clipboard

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 制作位于 /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/delegation/ 目录中的 delegation-present.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/delegation/delegation-present.yml delegation-present-copy.yml

   Copy to Clipboard
3. 打开 delegation-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 freeipa.ansible_freeipa.ipadelegation 任务部分设置以下变量来调整文件：

   • 将 name 变量设置为新委托规则的名称。
   • 将 permission 变量设置为以逗号分隔的权限列表，以授予：read 和 write。
   • 将 attribute 变量设置为委托的用户组可以管理的属性的列表：businesscategory、departmentnumber、employeenumber 和 employeetype。
   • 将 group 变量设置为被授予查看或修改属性访问权限的组名称。
   • 将 membergroup 变量设置为组的名称，其属性可以查看或修改。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage a delegation rule
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure delegation "basic manager attributes" is present
       freeipa.ansible_freeipa.ipadelegation:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "basic manager attributes"
         permission: read, write
         attribute:
         - businesscategory
         - departmentnumber
         - employeenumber
         - employeetype
         group: managers
         membergroup: employees

   Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory delegation-present-copy.yml

   Copy to Clipboard

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks>/

   Copy to Clipboard

2. 制作位于 /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/delegation/ 目录中的 delegation-absent.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/delegation/delegation-present.yml delegation-absent-copy.yml

   Copy to Clipboard
3. 打开 delegation-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 freeipa.ansible_freeipa.ipadelegation 任务部分设置以下变量来调整文件：

   • 将 name 变量设置为委托规则的名称。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Delegation absent
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure delegation "basic manager attributes" is absent
       freeipa.ansible_freeipa.ipadelegation:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "basic manager attributes"
         state: absent

   Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory delegation-absent-copy.yml

   Copy to Clipboard

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 制作位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/delegation/ 目录中的 delegation -member-present.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/delegation/delegation-member-present.yml delegation-member-present-copy.yml

   Copy to Clipboard
3. 打开 delegation-member-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 freeipa.ansible_freeipa.ipadelegation 任务部分设置以下变量来调整文件：

   • 将 name 变量设置为要修改的委托规则的名称。
   • 将 attribute 变量设置为 departmentnumber。
   • 将 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Delegation member present
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure delegation "basic manager attributes" member attribute departmentnumber is present
       freeipa.ansible_freeipa.ipadelegation:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "basic manager attributes"
         attribute:
         - departmentnumber
         action: member

   Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory delegation-member-present-copy.yml

   Copy to Clipboard

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard

2. 制作位于 /usr/share/ansible/collections/ansible_collections/ansible_freeipa/playbooks/delegation/ 目录中的 delegation -member-absent.yml 文件的副本：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/delegation/delegation-member-absent.yml delegation-member-absent-copy.yml

   Copy to Clipboard
3. 打开 delegation-member-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 freeipa.ansible_freeipa.ipadelegation 任务部分设置以下变量来调整文件：

   • 将 name 变量设置为要修改的委托规则的名称。
   • 将 attribute 变量设置为 employeenumber 和 employeetype。
   • 将 action 变量设置为 member。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Delegation member absent
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure delegation "basic manager attributes" member attributes employeenumber and employeetype are absent
       freeipa.ansible_freeipa.ipadelegation:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "basic manager attributes"
         attribute:
         - employeenumber
         - employeetype
         action: member
         state: absent

   Copy to Clipboard
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory delegation-member-absent-copy.yml

   Copy to Clipboard