51.2. 使用 ID 覆盖来启用 AD 用户管理 IdM

按照以下流程，为 AD 用户创建和使用 ID 覆盖，来为该用户授予与 IdM 用户相同的权利。在此过程中，可在配置为信任控制器或信任代理的 IdM 服务器中工作。

先决条件

流程

作为 IdM 管理员，为 Default Trust View 中的 AD 用户创建一个 ID 覆盖。例如，要为用户 ad_user@ad.example.com 创建 ID 覆盖：
```
# kinit admin
# ipa idoverrideuser-add 'default trust view' ad_user@ad.example.com
```
将 Default Trust View 中的 ID 覆盖添加为 IdM 组的成员。这必须是非 POSIX 组，因为它与活动目录进行交互。
如果问题中的组是 IdM 角色的成员，则 ID 覆盖代表的 AD 用户在使用 IdM API 时获得角色授予的所有权限，包括命令行界面和 IdM Web UI。
例如，要将 ad_user@ad.example.com 用户的 ID 覆盖添加到 IdM admins 组中：
```
# ipa group-add-member admins --idoverrideusers=ad_user@ad.example.com
```

或者，您可以在角色中添加 ID 覆盖，如 User Administrator 角色：

# ipa role-add-member 'User Administrator' --idoverrideusers=ad_user@ad.example.com