配置和管理身份管理

流程

1. 将 /etc/krb5.conf 文件从 IdM 服务器复制到外部系统。例如：

   # scp /etc/krb5.conf root@externalsystem.example.com:/etc/krb5_ipa.conf

   Copy to Clipboard Toggle word wrap
   警告

   不要覆盖外部系统上现有的 krb5.conf 文件。

2. 在外部系统上，将终端会话设置为使用复制的 IdM Kerberos 配置文件：

   $ export KRB5_CONFIG=/etc/krb5_ipa.conf

   Copy to Clipboard Toggle word wrap

   KRB5_CONFIG 变量仅在退出之前暂时存在。要防止其丢失，请使用其他文件名导出变量。

3. 将 Kerberos 配置代码段从 /etc/krb5.conf.d/ 目录复制到外部系统。

流程

1. 打开一个终端，接到 IdM 服务器。

2. 输入 ipa help topics 来显示帮助所涵盖的主题列表。

   $ ipa help topics

   Copy to Clipboard Toggle word wrap

3. 选择其中一个主题，按照以下模式创建一个命令： ipa help [topic_name]。添加在上一步中列出的主题之一，而不是 topic_name 字符串。

   在这个示例中，我们使用以下主题：user

   $ ipa help user

   Copy to Clipboard Toggle word wrap

4. （可选）如果 IPA 帮助输出太长，且您无法看到整个文本，请使用以下语法：

   $ ipa help user | less

   Copy to Clipboard Toggle word wrap

   然后您可以向下滚动，并阅读全部帮助。

流程

1. 打开一个终端，接到 IdM 服务器。

2. 输入 ipa help commands 来显示 help 所涵盖的命令列表。

   $ ipa help commands

   Copy to Clipboard Toggle word wrap

3. 选择一个命令，并按照下模式创建一个help 命令： ipa help <COMMAND>。添加在上一步中列出的其中一个命令，而不是 <COMMAND> 字符串。

   $ ipa help user-add

   Copy to Clipboard Toggle word wrap

1. 在地址栏中输入 about:config 以访问 Mozilla Firefox 首选项菜单。
2. 在搜索栏中输入 security.tls.enable_post_handshake_auth。
3. 点击切换按钮将参数设为 true。

1. 打开 /etc/httpd/conf.d/ssl.conf 配置文件。

2. 将 -TLSv1.3 添加到 SSLProtocol 选项中：

   SSLProtocol all -TLSv1 -TLSv1.1 -TLSv1.3

   Copy to Clipboard Toggle word wrap

3. 重启 httpd 服务：

   service httpd restart

   Copy to Clipboard Toggle word wrap

步骤

1. 在浏览器地址栏中输入 IdM 服务器 URL。名称类似以下示例：

   https://server.example.com

   Copy to Clipboard Toggle word wrap

   您只需要将 server.example.com 更改为您 IdM 服务器的 DNS 名称。

   这会在您的浏览器中打开 IdM Web UI 登录屏幕。

   

   • 如果服务器没有响应或者登录屏幕没有打开，请检查您要连接的 IdM 服务器上的 DNS 设置。

   • 如果您使用自签名证书，浏览器会发出警告。检查证书并接受安全例外以进行登录。

     为避免安全异常，请安装由证书颁发机构签名的证书。

2. 在 Web UI 登录屏幕上，输入您在 IdM 服务器安装过程中添加的管理员帐户凭证。

   详情请参阅 安装身份管理服务器：具有集成的 DNS，集成的 CA。

   如果您已经进入到 IdM 服务器中，您还可以输入您的个人帐户凭证。

   

3. 单击 Log in。

步骤

1. 在 Web 浏览器中打开 IdM Web UI 登录对话框。

2. 在 Web UI 登录屏幕上，单击浏览器配置的链接。

   

3. 按照配置页面中的步骤进行操作。

   

步骤

1. 将 /etc/krb5.conf 文件从 IdM 服务器复制到外部系统。例如：

   # scp /etc/krb5.conf root@externalsystem.example.com:/etc/krb5_ipa.conf

   Copy to Clipboard Toggle word wrap
   警告

   不要覆盖外部系统上现有的 krb5.conf 文件。

2. 在外部系统上，将终端会话设置为使用复制的 IdM Kerberos 配置文件：

   $ export KRB5_CONFIG=/etc/krb5_ipa.conf

   Copy to Clipboard Toggle word wrap

   KRB5_CONFIG 变量仅在退出之前暂时存在。要防止其丢失，请使用其他文件名导出变量。

3. 将 Kerberos 配置代码段从 /etc/krb5.conf.d/ 目录复制到外部系统。
4. 在外部系统上配置浏览器，如 为 Kerberos 身份验证配置浏览器 中所述。

流程

1. 使用 IdM admin 特权登录到 IdM Web UI。

2. 打开 Identity → Users → Active users 选项卡。

   

3. 选择 example.user 以打开用户设置。
4. 在 User authentication types 中，选择 Two factor authentication (password + OTP) 。
5. 点击 Save。

流程

1. 添加一个 RADIUS 代理：

   $ ipa radiusproxy-add proxy_name --secret secret

   Copy to Clipboard Toggle word wrap

   命令提示您插入所需的信息。

   RADIUS 代理的配置需要在客户端和服务器之间使用通用 secret 来包装凭证。在 --secret 参数中指定此 secret。

2. 向添加的代理分配用户：

   ipa user-mod radiususer --radius=proxy_name

   Copy to Clipboard Toggle word wrap

3. 如果需要，配置要发送到 RADIUS 的用户名：

   ipa user-mod radiususer --radius-username=radius_user

   Copy to Clipboard Toggle word wrap

流程

1. 使用您的用户名和密码登录到 IdM Web UI。
2. 要在您的手机中创建令牌，请打开 Authentication → OTP Tokens 选项卡。

3. 点击 Add。

   

4. 在 Add OTP 令牌 对话框中，保留所有内容未填充，并点击 Add。

   在这个阶段，IdM 服务器在服务器上创建一个带有默认参数的令牌，并打开一个带有 QR 代码的页面。

5. 将 QR 代码复制到您的手机。
6. 单击 OK 来关闭 QR 代码。

流程

1. 在身份管理登录屏幕中，输入您的用户名或 IdM 服务器管理员帐户的用户名。
2. 为上面输入的用户名添加密码。
3. 在您的设备上生成一次性密码。
4. 在密码后输入一次性密码，而无需空格。

5. 点登录。

   如果身份验证失败，请同步 OTP 令牌。

   如果您的 CA 使用自签名证书，则浏览器会发出警告。检查证书并接受安全例外以进行登录。

   如果 IdM Web UI 未打开，请验证您的身份管理服务器的 DNS 配置。

流程

1. 在 IdM Web UI 登录屏幕上，单击 Sync OTP Token。

   

2. 在登录屏幕中，输入您的用户名和身份管理密码。
3. 生成一次性密码，并将它输入到 First OTP 字段中。
4. 再生成一次性密码，并将它输入到 Second OTP 字段中。

5. 可选：输入令牌 ID。

   

6. 单击 Sync OTP Token。

流程

1. 在密码过期登录屏幕中，输入用户名。
2. 为上面输入的用户名添加密码。
3. 在 OTP 字段中，如果使用一次性密码身份验证，请生成一次性密码。
4. 输入两次新密码进行验证。

5. 单击 Reset Password。

   

流程

1. 运行以下命令来初始化凭证缓存：

   [root@client ~]# kinit -n @IDM.EXAMPLE.COM -c FILE:armor.ccache

   Copy to Clipboard Toggle word wrap

   请注意，这个命令会创建 armor.ccache 文件，每当您请求新的 Kerberos 票据时，您都需要指向该文件。

2. 运行以下命令来请求一个 Kerberos 票据：

   [root@client ~]# kinit -T FILE:armor.ccache <username>@IDM.EXAMPLE.COM
   Enter your OTP Token Value.

   Copy to Clipboard Toggle word wrap

1. getent 命令会触发来自 libc 库的 getpwnam 调用。
2. libc 库引用 /etc/nsswitch.conf 配置文件来检查哪个服务负责提供用户信息，并发现 SSSD 服务的条目。
3. libc 库打开 ss_sss 模块。
4. nss_sss 模块检查内存映射缓存以获取用户信息。如果缓存中存在数据，则 ss_sss 模块会返回它。
5. 如果用户信息不在内存映射缓存中，则会将请求传递给 SSSD sssd_nss 响应程序进程。
6. SSSD 服务检查其缓存。如果缓存中存在数据并有效，sssd_nss 响应程序会从缓存中读取数据并将其返回到应用。
7. 如果缓存中没有数据或数据已过期，sssd_nss 响应器将查询相应的后端进程并等待回复。SSSD 服务在 IdM 环境中使用 IPA 后端，通过 sssd.conf 配置文件中的 id_provider=ipa 启用。
8. sssd_be 后端进程连接到 IdM 服务器，并从 IdM LDAP 目录服务器请求信息。
9. IdM 服务器上的 SSSD 后端响应 IdM 客户端上的 SSSD 后端进程。
10. 客户端上的 SSSD 后端将生成的数据存储在 SSSD 缓存中，并提醒已更新缓存的响应程序进程。
11. sssd_nss 前端响应器进程从 SSSD 缓存检索信息。
12. sssd_nss 响应器将用户信息发送到 ss_sss 响应者，以完成请求。
13. libc 库将用户信息返回到请求它的应用程序。

1. IdM 客户端为 AD 用户信息查找其本地 SSSD 缓存。
2. 如果 IdM 客户端没有用户信息，或者信息是 stale，客户端上的 SSSD 服务会联系 IdM 服务器上的 extdom_extop 插件来执行 LDAP 扩展操作并请求信息。
3. IdM 服务器上的 SSSD 服务在其本地缓存中查找 AD 用户信息。
4. 如果 IdM 服务器在其 SSSD 缓存中没有用户信息，或者其信息为过时，它将执行 LDAP 搜索，以从 AD 域控制器请求用户信息。
5. IdM 服务器上的 SSSD 服务从 AD 域控制器接收 AD 用户信息，并将其存储在其缓存中。
6. extdom_extop 插件从 IdM 服务器上的 SSSD 服务接收信息，该服务完成 LDAP 扩展操作。
7. IdM 客户端上的 SSSD 服务从 LDAP 扩展操作接收 AD 用户信息。
8. IdM 客户端将 AD 用户信息存储在其 SSSD 缓存中，并将信息返回给请求它的应用程序。

1. 使用 ssh 命令尝试身份验证会触发 libpam 库。

2. libpam 库引用 /etc/pam.d/ 目录中与请求身份验证尝试的服务对应的 PAM 文件。在本例中，libpam 库涉及通过本地主机上的 SSH 服务进行身份验证，libpam 库检查 /etc/pam.d/system-auth 配置文件并发现 SSSD PAM 的 pam_sss.so 条目：

   auth    sufficient    pam_sss.so

   Copy to Clipboard Toggle word wrap
3. 要确定哪些身份验证方法可用，libpam 库会打开 pam_sss 模块，并将 SSS_PAM_PREAUTH 请求发送到 SSSD 服务的 sssd_pam PAM 响应者。
4. 如果配置了智能卡验证，SSSD 服务会生成一个临时 p11_child 进程，以检查智能卡并从中检索证书。
5. 如果为用户配置了智能卡验证，sssd_pam 响应程序会尝试将智能卡中的证书与用户匹配。sssd_pam 响应器还搜索用户所属的组，因为组成员身份可能会影响访问控制。
6. sssd_pam 响应程序将 SSS_PAM_PREAUTH 请求发送到 sssd_be 后端响应程序，以查看服务器支持的身份验证方法，如密码或双因素身份验证。在 IdM 环境中，SSSD 服务使用 IPA 响应器，默认的身份验证方法是 Kerberos。在本例中，用户使用简单的 Kerberos 密码进行身份验证。
7. sssd_be 响应器生成一个临时 krb5_child 进程。
8. krb5_child 进程联系 IdM 服务器上的 KDC，并检查可用的身份验证方法。

9. KDC 响应请求：

   1. krb5_child 进程评估回复，并将结果发回到 sssd_be 后端进程。
   2. sssd_be 后端进程会收到结果。
   3. sssd_pam 响应器会收到结果。
   4. pam_sss 模块会收到结果。
10. 如果为用户配置了密码身份验证，pam_sss 模块将提示用户输入其密码。如果配置了智能卡验证，pam_sss 模块会提示用户输入其智能卡 PIN。

11. 模块会发送带有用户名和密码的 SSS_PAM_AUTHENTICATE 请求，该请求经过以下操作：

    1. sssd_pam 响应器。
    2. sssd_be 后端进程。
12. sssd_be 进程生成一个临时 krb5_child 进程来联系 KDC。
13. krb5_child 进程尝试使用用户提供的用户名和密码从 KDC 检索 Kerberos Ticket Granting Ticket (TGT)。
14. krb5_child 进程接收身份验证尝试的结果。

15. krb5_child 进程：

    1. 将 TGT 存储到凭据缓存中。
    2. 将身份验证结果返回到 sssd_be 后端进程。

16. 身份验证结果从 sssd_be 进程传输到：

    1. sssd_pam 响应器。
    2. pam_sss 模块。
17. pam_sss 模块使用用户 TGT 的位置设置环境变量，以便其他应用可以引用它。

流程

1. 验证 SSSD 服务及其进程是否正在运行。

   [root@client ~]# pstree -a | grep sssd
     |-sssd -i --logger=files
     |   |-sssd_be --domain implicit_files --uid 0 --gid 0 --logger=files
     |   |-sssd_be --domain <domain_name> --uid 0 --gid 0 --logger=files
     |   |-sssd_ifp --uid 0 --gid 0 --logger=files
     |   |-sssd_nss --uid 0 --gid 0 --logger=files
     |   |-sssd_pac --uid 0 --gid 0 --logger=files
     |   |-sssd_pam --uid 0 --gid 0 --logger=files
     |   |-sssd_ssh --uid 0 --gid 0 --logger=files
     |   `-sssd_sudo --uid 0 --gid 0 --logger=files
     |-sssd_kcm --uid 0 --gid 0 --logger=files

   Copy to Clipboard Toggle word wrap

2. 验证客户端可以通过 IP 地址联系用户数据库服务器。

   [user@client ~]$ ping <IP_address_of_the_database_server>

   Copy to Clipboard Toggle word wrap

   如果此步骤失败，请检查您的网络和防火墙设置是否允许 IdM 客户端和服务器之间进行直接通信。请参阅使用和配置 firewalld。

3. 验证客户端可以通过完全限定的主机名发现并联系 IdM LDAP 服务器（适用于 IdM 用户）或 AD 域控制器（ AD 用户）。

   [user@client ~]$ dig -t SRV ldap._tcp.<domain>@<server_name>
   [user@client ~]$ ping <fully_qualified_host_name_of_the_server>

   Copy to Clipboard Toggle word wrap

   如果此步骤失败，请检查您的 Dynamic Name Service (DNS) 设置，包括 /etc/resolv.conf 文件。请参阅配置 DNS 服务器顺序。

   注意

   默认情况下，SSSD 服务会尝试通过 DNS 服务 (SRV) 记录自动发现 LDAP 服务器和 AD DC。要将 SSSD 限制到特定的服务器，请使用以下选项在 sssd.conf 配置文件中定义它们：

   • ipa_server = <fully_qualified_host_name_of_the_server>
   • ad_server = <fully_qualified_host_name_of_the_server>
   • ldap_uri = <fully_qualified_host_name_of_the_server>

   如果使用这些选项，请验证您可以联系它们中列出的服务器。

4. 验证客户端是否可以对 LDAP 服务器进行身份验证，并使用 ldapsearch 命令检索用户信息。

   1. 如果您的 LDAP 服务器是 IdM 服务器，如 server.example.com，检索主机的 Kerberos 票据，并使用主机 Kerberos 主体进行身份验证数据库搜索：

      [user@client ~]$ kinit -k 'host/client.example.com@EXAMPLE.COM'
      [user@client ~]$ ldapsearch -LLL -Y GSSAPI -h server.example.com -b “dc=example,dc=com” uid=<idm_user>

      Copy to Clipboard Toggle word wrap

   2. 如果您的 LDAP 服务器是 Active Directory (AD) 域控制器 (DC)，如 server.ad.example.com，请检索主机的 Kerberos 票据，并使用主机 Kerberos 主体执行数据库搜索：

      [user@client ~]$ kinit -k 'CLIENT$@AD.EXAMPLE.COM'
      [user@client ~]$ ldapsearch -LLL -Y GSSAPI -h server.ad.example.com -b “dc=example,dc=com” sAMAccountname=<idm_user>

      Copy to Clipboard Toggle word wrap

   3. 如果您的 LDAP 服务器是普通 LDAP 服务器，且您在 sssd.conf 文件中设置了 ldap_default_bind_dn 和 ldap_default_authtok 选项，请验证是同一个 ldap_default_bind_dn 帐户：

      [user@client ~]$ ldapsearch -xLLL -D "cn=ldap_default_bind_dn_value" -W -h ldapserver.example.com -b “dc=example,dc=com” uid=<idm_user>

      Copy to Clipboard Toggle word wrap

   如果此步骤失败，请验证您的数据库设置是否允许您的主机搜索 LDAP 服务器。

5. 由于 SSSD 服务使用 Kerberos 加密，因此请以无法登录的用户身份获得 Kerberos 票据。

   1. 如果您的 LDAP 服务器是 IdM 服务器：

      [user@client ~]$ kinit <idm_user>

      Copy to Clipboard Toggle word wrap

   2. 如果 LDAP 服务器数据库是 AD 服务器：

      [user@client ~]$ kinit <ad_user@AD.EXAMPLE.COM>

      Copy to Clipboard Toggle word wrap

   如果此步骤失败，请验证您的 Kerberos 服务器是否正常运行，所有服务器都已同步其时间，并且用户帐户未被锁定。

6. 验证您是否可以检索有关命令行的用户信息。

   [user@client ~]$ getent passwd <idm_user>
   [user@client ~]$ id <idm_user>

   Copy to Clipboard Toggle word wrap

   如果这一步失败，请验证客户端上的 SSSD 服务是否可以接收用户数据库的信息：

   1. 查看 /var/log/messages 日志文件中的错误。
   2. 在 SSSD 服务中启用详细的日志记录，收集调试日志，并查看日志以确定问题的根源。
   3. 可选：创建一个红帽技术支持问题单，并提供您收集的故障排除信息。

7. 如果主机上具有 sudo 权限，请使用 sssctl 工具来验证该用户是否被允许登录。

   [user@client ~]$ sudo sssctl user-checks -a auth -s ssh <idm_user>

   Copy to Clipboard Toggle word wrap

   如果这一步失败，请验证您的授权设置，如 PAM 配置、IdM HBAC 规则和 IdM RBAC 规则：

   1. 确保用户的 UID 等于或大于 UID_MIN，它在 /etc/login.defs 文件中定义。
   2. 查看 /var/log/secure 和 /var/log/messages 日志文件中的授权错误。
   3. 在 SSSD 服务中启用详细的日志记录，收集调试日志，并查看日志以确定问题的根源。
   4. 可选：创建一个红帽技术支持问题单，并提供您收集的故障排除信息。

流程

1. 在文本编辑器中打开 /etc/sssd/sssd.conf 文件。

2. 将 debug_level 选项添加到文件的每个部分，并将 debug 级别设置为您选择的详细程度。

   [domain/<domain_name>]
   debug_level = 6
   id_provider = ipa
   ...
   
   [sssd]
   debug_level = 6
   services = nss, pam, ifp, ssh, sudo
   domains = <domain_name>
   
   [nss]
   debug_level = 6
   
   [pam]
   debug_level = 6
   
   [sudo]
   debug_level = 6
   
   [ssh]
   debug_level = 6
   
   [pac]
   debug_level = 6
   
   [ifp]
   debug_level = 6

   Copy to Clipboard Toggle word wrap
3. 保存并关闭 sssd.conf 文件。

4. 重启 SSSD 服务以加载新的配置设置。

   [root@server ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap

流程

1. 在 IdM 服务器上启用详细的 SSSD 调试日志。

   [root@server ~]# sssctl debug-level 6

   Copy to Clipboard Toggle word wrap

2. 对于遇到身份验证问题的用户，在 SSSD 缓存中使相关的对象无效，这样使您不会绕过 LDAP 服务器来从缓存的 SSSD 中获取信息。

   [root@server ~]# sssctl cache-expire -u <idm_user>

   Copy to Clipboard Toggle word wrap

3. 通过删除旧的 SSSD 日志来最大程度减少数据集的故障排除。

   [root@server ~]# sssctl logs-remove

   Copy to Clipboard Toggle word wrap

4. 尝试切换至遇到身份验证问题的用户，同时在尝试前后收集时间戳。这些时间戳进一步缩小了数据集的范围。

   [root@server sssd]# date; su <idm_user>; date
   Mon Mar 29 15:33:48 EDT 2021
   su: user idm_user does not exist
   Mon Mar 29 15:33:49 EDT 2021

   Copy to Clipboard Toggle word wrap

5. 可选：如果您不想继续收集详细的 SSSD 日志，请降低 debug 级别。

   [root@server ~]# sssctl debug-level 2

   Copy to Clipboard Toggle word wrap

6. 查看 SSSD 日志，了解失败请求的信息。例如，检查 /var/log/sssd/sssd_example.com.log 文件表明 SSSD 服务没有在 cn=accounts,dc=example,dc=com LDAP 子树中找到用户。这可能表示用户不存在，或者存在于其他位置。

   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [dp_get_account_info_send] (0x0200): Got request for [0x1][BE_REQ_USER][name=idm_user@example.com]
   ...
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sdap_get_generic_ext_step] (0x0400): calling ldap_search_ext with [(&(uid=idm_user)(objectclass=posixAccount)(uid=)(&(uidNumber=)(!(uidNumber=0))))][cn=accounts,dc=example,dc=com].
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sdap_get_generic_op_finished] (0x0400): Search result: Success(0), no errmsg set
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sdap_search_user_process] (0x0400): Search for users, returned 0 results.
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sysdb_search_by_name] (0x0400): No such entry
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sysdb_delete_user] (0x0400): Error: 2 (No such file or directory)
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sysdb_search_by_name] (0x0400): No such entry
   (Mon Mar 29 15:33:49 2021) [sssd[be[example.com]]] [ipa_id_get_account_info_orig_done] (0x0080): Object not found, ending request

   Copy to Clipboard Toggle word wrap

7. 如果您无法确定导致身份验证问题的原因：

   1. 收集您最近生成的 SSSD 日志。

      [root@server ~]# sssctl logs-fetch sssd-logs-Mar29.tar

      Copy to Clipboard Toggle word wrap

   2. 创建一个红帽技术支持问题单并提供：

      1. SSSD 日志：sssd-logs-Mar29.tar

      2. 与日志对应的请求的控制台输出，包括时间戳和用户名：

         [root@server sssd]# date; id <idm_user>; date
         Mon Mar 29 15:33:48 EDT 2021
         id: 'idm_user': no such user
         Mon Mar 29 15:33:49 EDT 2021

         Copy to Clipboard Toggle word wrap

流程

1. 在客户端上： 在文本编辑器中打开 /etc/sssd/sssd.conf 文件。

2. 在客户端： 将 ipa_server 选项添加到文件的 [domain] 部分，并使用其完全限定域名(FQDN)将其设置为 IdM 服务器。这可避免 IdM 客户端自动发现其他 IdM 服务器，从而将此测试限制为一个客户端和一个服务器。

   [domain/<idm_domain_name>]
   ipa_server = <idm_server_fqdn>
   ...

   Copy to Clipboard Toggle word wrap
3. 在客户端上： 保存并关闭 sssd.conf 文件。

4. 在客户端上：重启 SSSD 服务以加载配置更改。

   [root@client ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap

5. 在服务器和客户端上：启用详细的 SSSD 调试日志。

   [root@server ~]# sssctl debug-level 6

   Copy to Clipboard Toggle word wrap

   [root@client ~]# sssctl debug-level 6

   Copy to Clipboard Toggle word wrap

6. 在服务器和客户端中：为遇到身份验证问题的用户验证 SSSD 缓存中的对象，因此您不用绕过 LDAP 数据库，并检索 SSSD 信息已经缓存。

   [root@server ~]# sssctl cache-expire -u <idm_user>

   Copy to Clipboard Toggle word wrap

   [root@client ~]# sssctl cache-expire -u <idm_user>

   Copy to Clipboard Toggle word wrap

7. 在服务器和客户端上：通过删除旧的 SSSD 日志来最小化 dataset 故障排除。

   [root@server ~]# sssctl logs-remove

   Copy to Clipboard Toggle word wrap

   [root@server ~]# sssctl logs-remove

   Copy to Clipboard Toggle word wrap

8. 在客户端上：尝试切换至遇到身份验证问题的用户，同时在尝试前后收集时间戳。这些时间戳进一步缩小了数据集的范围。

   [root@client sssd]# date; su <idm_user>; date
   Mon Mar 29 16:20:13 EDT 2021
   su: user idm_user does not exist
   Mon Mar 29 16:20:14 EDT 2021

   Copy to Clipboard Toggle word wrap

9. 可选： 在服务器和客户端上： 如果您不想继续收集详细的 SSSD 日志，请降低 debug 级别。

   [root@server ~]# sssctl debug-level 0

   Copy to Clipboard Toggle word wrap

   [root@client ~]# sssctl debug-level 0

   Copy to Clipboard Toggle word wrap

10. 服务器和客户端：查看 SSSD 日志以获取有关失败请求的信息。

    1. 在客户端日志中查看来自客户端的请求。
    2. 在服务器日志中查看来自客户端的请求。
    3. 在服务器日志中检查请求的结果。
    4. 查看客户端收到来自服务器的请求结果的结果。

11. 如果您无法确定导致身份验证问题的原因：

    1. 收集您最近在 IdM 服务器和 IdM 客户端中生成的 SSSD 日志。根据主机名或角色标记它们。

       [root@server ~]# sssctl logs-fetch sssd-logs-server-Mar29.tar

       Copy to Clipboard Toggle word wrap

       [root@client ~]# sssctl logs-fetch sssd-logs-client-Mar29.tar

       Copy to Clipboard Toggle word wrap

    2. 创建一个红帽技术支持问题单并提供：

       1. SSSD 调试日志：

          1. 来自服务器的 sssd-logs-server-Mar29.tar。
          2. 来自客户端的 sssd-logs-client-Mar29.tar

       2. 与日志对应的请求的控制台输出，包括时间戳和用户名：

          [root@client sssd]# date; su <idm_user>; date
          Mon Mar 29 16:20:13 EDT 2021
          su: user idm_user does not exist
          Mon Mar 29 16:20:14 EDT 2021

          Copy to Clipboard Toggle word wrap

流程

1. 要查看 SSSD 日志文件，请使用 less 工具打开日志文件 /var/log/sssd/sssd_<domain_name>.log。例如：

   [root@server ~]# less /var/log/sssd/sssd_example.com.log

   Copy to Clipboard Toggle word wrap

2. 查看 SSSD 日志，以获取有关客户端请求的信息。

   (2021-07-26 18:26:37): [be[testidm.com]] [dp_req_destructor] (0x0400): [RID#3] Number of active DP request: 0
   (2021-07-26 18:26:37): [be[testidm.com]] [dp_req_reply_std] (0x1000): [RID#3] DP Request AccountDomain #3: Returning [Internal Error]: 3,1432158301,GetAccountDomain() not supported
   (2021-07-26 18:26:37): [be[testidm.com]] [dp_attach_req] (0x0400): [RID#4] DP Request Account #4: REQ_TRACE: New request. [sssd.nss CID #1] Flags [0x0001].
   (2021-07-26 18:26:37): [be[testidm.com]] [dp_attach_req] (0x0400): [RID#4] Number of active DP request: 1

   Copy to Clipboard Toggle word wrap

   SSSD 日志文件中的这个示例输出显示了两个不同的请求的唯一标识符 RID#3 和 RID#4。

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks

   Copy to Clipboard Toggle word wrap

2. 使用以下内容创建 ~/MyPlaybooks/ansible.cfg 文件：

   [defaults]
   inventory = /home/your_username/MyPlaybooks/inventory
   remote_user = admin

   Copy to Clipboard Toggle word wrap

3. 使用以下内容创建 ~/MyPlaybooks/inventory 文件：

   [eu]
   server.idm.example.com
   
   [us]
   replica.idm.example.com
   
   [ipaserver:children]
   eu
   us

   Copy to Clipboard Toggle word wrap

   此配置定义了两个主机组，即 eu 和 us，用于这些位置中的主机。此外，此配置定义了 ipaserver 主机组，它包含来自 eu 和 us 组的所有主机。

4. 可选：创建一个 SSH 公钥和私钥。要在测试环境中简化访问，请不要在私钥中设置密码：

   $ ssh-keygen

   Copy to Clipboard Toggle word wrap

5. 将 SSH 公钥复制到每个受管节点上的 IdM admin 帐户：

   $ ssh-copy-id admin@server.idm.example.com
   $ ssh-copy-id admin@replica.idm.example.com

   Copy to Clipboard Toggle word wrap

   这些命令要求您输入 IdM admin 密码。

6. 创建一个包含 vault 密码的 password_file 文件：

   redhat

   Copy to Clipboard Toggle word wrap

7. 更改权限以修改文件：

   $ chmod 0600 password_file

   Copy to Clipboard Toggle word wrap

8. 创建一个 secret.yml Ansible vault 来存储 IdM admin 密码：

   1. 配置 password_file 以存储 vault 密码：

      $ ansible-vault create --vault-password-file=password_file secret.yml

      Copy to Clipboard Toggle word wrap

   2. 出现提示时，输入 secret.yml 文件的内容：

      ipaadmin_password: Secret123

      Copy to Clipboard Toggle word wrap

流程

1. 打开 /usr/share/doc/ansible-freeipa/playbooks/config/retrieve-config.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to handle global IdM configuration
     hosts: ipaserver
     become: no
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Query IPA global configuration
       ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
       register: serverconfig
   
     - debug:
         msg: "{{ serverconfig }}"

   Copy to Clipboard Toggle word wrap

2. 通过更改以下内容来调整文件：

   • IdM 管理员的密码。
   • 其他值（如有必要）。
3. 保存该文件。

4. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/config/retrieve-config.yml
   [...]
   TASK [debug]
   ok: [server.idm.example.com] => {
       "msg": {
           "ansible_facts": {
               "discovered_interpreter_
           },
           "changed": false,
           "config": {
               "ca_renewal_master_server": "server.idm.example.com",
               "configstring": [
                   "AllowNThash",
                   "KDC:Disable Last Success"
               ],
               "defaultgroup": "ipausers",
               "defaultshell": "/bin/bash",
               "emaildomain": "idm.example.com",
               "enable_migration": false,
               "groupsearch": [
                   "cn",
                   "description"
               ],
               "homedirectory": "/home",
               "maxhostname": "64",
               "maxusername": "64",
               "pac_type": [
                   "MS-PAC",
                   "nfs:NONE"
               ],
               "pwdexpnotify": "4",
               "searchrecordslimit": "100",
               "searchtimelimit": "2",
               "selinuxusermapdefault": "unconfined_u:s0-s0:c0.c1023",
               "selinuxusermaporder": [
                   "guest_u:s0$xguest_u:s0$user_
               ],
               "usersearch": [
                   "uid",
                   "givenname",
                   "sn",
                   "telephonenumber",
                   "ou",
                   "title"
               ]
           },
           "failed": false
       }
   }

   Copy to Clipboard Toggle word wrap

流程

1. 可选：识别当前 IdM CA 续订服务器：

   $ ipa config-show | grep 'CA renewal'
     IPA CA renewal master: server.idm.example.com

   Copy to Clipboard Toggle word wrap

2. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

   Copy to Clipboard Toggle word wrap

3. 打开 /usr/share/doc/ansible-freeipa/playbooks/config/set-ca-renewal-master-server.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to handle global DNS configuration
     hosts: ipaserver
     become: no
     gather_facts: no
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: set ca_renewal_master_server
       ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
         ca_renewal_master_server: carenewal.idm.example.com

   Copy to Clipboard Toggle word wrap

4. 通过更改调整文件：

   • ipaadmin_password 变量设置的 IdM 管理员密码。
   • ca_renewal_master_server 变量所设置的 CA 续订服务器的名称。
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/config/set-ca-renewal-master-server.yml

   Copy to Clipboard Toggle word wrap

1. 以 IdM 管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

   Copy to Clipboard Toggle word wrap

2. 请求 IdM CA 续订服务器的身份：

   $ ipa config-show | grep ‘CA renewal’
   IPA CA renewal master:  carenewal.idm.example.com

   Copy to Clipboard Toggle word wrap

   输出显示 watchnewal.idm.example.com 服务器是新的 CA 续订服务器。

流程

1. 可选： 使用 retrieve-config.yml Ansible playbook 来识别 IdM 用户的当前 shell。详情请参阅 使用 Ansible playbook 检索 IdM 配置。

2. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

   Copy to Clipboard Toggle word wrap

3. 打开 /usr/share/doc/ansible-freeipa/playbooks/config/ensure-config-options-are-set.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to ensure some config options are set
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     # Set defaultlogin and maxusername
     - ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
         defaultshell: /bin/bash
         maxusername: 64

   Copy to Clipboard Toggle word wrap

4. 通过更改以下内容来调整文件：

   • ipaadmin_password 变量设置的 IdM 管理员密码。
   • IdM 用户的默认 shell 由 /bin/sh 中的 defaultshell 设置。
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/config/ensure-config-options-are-set.yml

   Copy to Clipboard Toggle word wrap

1. 以 IdM 管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

   Copy to Clipboard Toggle word wrap

2. 显示当前的 shell：

   [admin@server /]$ echo "$SHELL"
   /bin/sh

   Copy to Clipboard Toggle word wrap

   登录用户正在使用 sh shell。

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap
2. 创建一个 netbios-domain-name-present.yml Ansible playbook 文件。

3. 在文件中添加以下内容：

   ---
   - name: Playbook to change IdM domain netbios name
     hosts: ipaserver
     become: no
     gather_facts: no
   
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
       - name: Set IdM domain netbios name
         ipaconfig:
           ipaadmin_password: "{{ ipaadmin_password }}"
           netbios_name: IPADOM

   Copy to Clipboard Toggle word wrap
4. 保存该文件。

5. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory netbios-domain-name-present.yml

   Copy to Clipboard Toggle word wrap

   出现提示时，提供 vault 文件密码。

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap
2. 创建一个 sids-for-users-and-groups-present.yml Ansible playbook 文件。

3. 在文件中添加以下内容：

   ---
   - name: Playbook to ensure SIDs are enabled and users and groups have SIDs
     hosts: ipaserver
     become: no
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
       - name: Enable SID and generate users and groups SIDS
         ipaconfig:
           ipaadmin_password: "{{ ipaadmin_password }}"
           enable_sid: true
           add_sids: true

   Copy to Clipboard Toggle word wrap

   enable_sid 变量为将来的 IdM 用户和组启用 SID 生成。add_sids 变量为现有的 IdM 用户和组生成 SID。

   注意

   使用 add_sids: true 时，您还必须将 enable_sid 变量设置为 true。

4. 保存该文件。

5. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory sids-for-users-and-groups-present.yml

   Copy to Clipboard Toggle word wrap

   出现提示时，提供 vault 文件密码。

步骤

1. 打开终端并连接到 IdM 服务器。

2. 添加用户登录、用户名、姓氏以及可选，您也可以添加其电子邮件地址。

   $ ipa user-add user_login --first=first_name --last=last_name --email=email_address

   Copy to Clipboard Toggle word wrap

   IdM 支持可通过以下正则表达式描述的用户名：

   [a-zA-Z0-9_.][a-zA-Z0-9_.-]{0,252}[a-zA-Z0-9_.$-]?

   Copy to Clipboard Toggle word wrap
   注意

   支持以末尾的美元符号($)结尾的用户名，以启用 Samba 3.x 机器支持。

   如果您添加了包含大写字符的用户名，IdM 会在保存名称时自动将其转换为小写。因此，IdM 总是需要在登录时以小写形式输入用户名。此外，不能添加仅在字母大小写上不同的用户名，比如 user 和 User。

   用户名的默认最大长度为 32 个字符。要更改它，请使用 ipa config-mod --maxusername 命令。例如，要将最大用户名长度增加到 64 个字符：

   $ ipa config-mod --maxusername=64
    Maximum username length: 64
    ...

   Copy to Clipboard Toggle word wrap

   ipa user-add 命令包含许多参数。要全部列出它们，请使用 ipa help 命令：

   $ ipa help user-add

   Copy to Clipboard Toggle word wrap

   有关 ipa help 命令的详情，请查看 什么是 IPA help 。

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令激活用户帐户：

   $ ipa stageuser-activate user_login
   -------------------------
   Stage user user_login activated
   -------------------------
   ...

   Copy to Clipboard Toggle word wrap

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令保留用户帐户：

   $ ipa user-del --preserve user_login
   --------------------
   Deleted user "user_login"
   --------------------

   Copy to Clipboard Toggle word wrap
   注意

   尽管输出说用户帐户已删除，但实际上是被保留了。

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令删除用户帐户：

   $ ipa user-del user_login
   --------------------
   Deleted user "user_login"
   --------------------

   Copy to Clipboard Toggle word wrap

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令激活用户帐户：

   $ ipa user-undel user_login
   ------------------------------
   Undeleted user account "user_login"
   ------------------------------

   Copy to Clipboard Toggle word wrap

   或者，您可以将用户帐户恢复为暂存的用户帐户：

   $ ipa user-stage user_login
   ------------------------------
   Staged user account "user_login"
   ------------------------------

   Copy to Clipboard Toggle word wrap