46.2. 使用 CLI 在 IdM 域中配置 HBAC 规则

流程

1. 使用 ipa hbacrule-add 命令添加规则。

   $ ipa hbacrule-add
   Rule name: rule_name
   ---------------------------
   Added HBAC rule "rule_name"
   ---------------------------
     Rule name: rule_name
     Enabled: TRUE

2. 要将 HBAC 规则只应用到 sysadmin 用户，请使用 ipa hbacrule-add-user 命令。

   $ ipa hbacrule-add-user --users=sysadmin
   Rule name: rule_name
     Rule name: rule_name
     Enabled: True
     Users: sysadmin
   -------------------------
   Number of members added 1
   -------------------------

   注意

   要将 HBAC 规则应用到所有用户，请使用 ipa hbacrule-mod 命令，并指定所有用户类别 --usercat=all。请注意，如果 HBAC 规则与单个用户或组关联，ipa hbacrule-mod --usercat=all 会失败。在这种情况下，使用 ipa hbacrule-remove-user 命令删除用户和组。

3. 指定目标主机。要将 HBAC 规则应用到所有主机，请使用 ipa hbacrule-mod 命令，并指定所有主机类别：

   $ ipa hbacrule-mod rule_name --hostcat=all
   ------------------------------
   Modified HBAC rule "rule_name"
   ------------------------------
     Rule name: rule_name
     Host category: all
     Enabled: TRUE
     Users: sysadmin

   注意

   如果 HBAC 规则与单个主机或组关联，ipa hbacrule-mod --hostcat=all 会失败。在这种情况下，使用 ipa hbacrule-remove-host 命令删除主机和组。

4. 指定目标 HBAC 服务。要将 HBAC 规则应用到所有服务，请使用 ipa hbacrule-mod 命令，并指定所有服务类别：

   $ ipa hbacrule-mod rule_name --servicecat=all
   ------------------------------
   Modified HBAC rule "rule_name"
   ------------------------------
     Rule name: rule_name
     Host category: all
     Service category: all
     Enabled: True
     Users: sysadmin

   注意

   如果 HBAC 规则与单个服务或组关联，ipa hbacrule-mod --servicecat=all 会失败。在这种情况下，使用 ipa hbacrule-remove-service 命令删除服务和组。