管理 IdM 用户、组、主机和访问控制规则

流程

1. 打开一个终端，再连接到 IdM 服务器。

2. 输入 ipa help topics 来显示帮助所涵盖的主题列表。

   $ ipa help topics

   Copy to Clipboard Toggle word wrap

3. 选择其中一个主题并按照以下模式创建一个命令： ipa help [topic_name]。添加在上一步中列出的主题之一，而不是 topic_name 字符串。

   在这个示例中，我们使用以下主题：user

   $ ipa help user

   Copy to Clipboard Toggle word wrap

4. 如果 IPA help 的输出太长，且您无法看到整个文本，请使用以下语法：

   $ ipa help user | less

   Copy to Clipboard Toggle word wrap

   然后您可以向下滚动，并阅读全部帮助。

流程

1. 打开一个终端，再连接到 IdM 服务器。

2. 输入 ipa help commands 来显示 help 所涵盖的命令列表。

   $ ipa help commands

   Copy to Clipboard Toggle word wrap

3. 选择一个命令并根据以下模式创建 help 命令：ipa help <COMMAND>。添加在上一步中列出的其中一个命令，而不是 <COMMAND> 字符串。

   $ ipa help user-add

   Copy to Clipboard Toggle word wrap

流程

1. 打开一个终端，再连接到 IdM 服务器。

2. 输入命令来添加新用户：

   $ ipa user-add

   Copy to Clipboard Toggle word wrap

   该命令将运行一个脚本，用于提示您提供创建用户帐户所需的基本数据。

3. 在 First name: 字段中，输入新用户的名字，然后按 Enter 键。
4. 在 Last name: 字段中，输入新用户的姓氏，然后按 Enter 键。

5. 在 User login [suggested user name]: 中输入用户名，或者按 Enter 键接受推荐的用户名。

   整个 IdM 数据库的用户名必须是唯一的。如果因为用户名已存在而发生了错误，使用 ipa user-add 命令重复该过程，并使用一个不同的唯一用户名。

流程

1. 打开一个终端，再连接到 IdM 服务器。

2. 输入 ipa user-mod 命令，指定要修改的用户，以及任何选项，如 --password 来添加密码：

   $ ipa user-mod euser --password

   Copy to Clipboard Toggle word wrap

   命令将运行脚本，您可以在其中添加新密码。

3. 输入新密码并按 Enter 键。

步骤

1. 打开终端并连接到 IdM 服务器。

2. 添加用户登录、用户名、姓氏以及可选，您也可以添加其电子邮件地址。

   $ ipa user-add user_login --first=first_name --last=last_name --email=email_address

   Copy to Clipboard Toggle word wrap

   IdM 支持可通过以下正则表达式描述的用户名：

   [a-zA-Z0-9_.][a-zA-Z0-9_.-]{0,252}[a-zA-Z0-9_.$-]?

   Copy to Clipboard Toggle word wrap
   注意

   支持以末尾的美元符号($)结尾的用户名，以启用 Samba 3.x 机器支持。

   如果您添加了包含大写字符的用户名，IdM 会在保存名称时自动将其转换为小写。因此，IdM 总是需要在登录时以小写形式输入用户名。此外，不能添加仅在字母大小写上不同的用户名，比如 user 和 User。

   用户名的默认最大长度为 32 个字符。要更改它，请使用 ipa config-mod --maxusername 命令。例如，要将最大用户名长度增加到 64 个字符：

   $ ipa config-mod --maxusername=64
    Maximum username length: 64
    ...

   Copy to Clipboard Toggle word wrap

   ipa user-add 命令包含许多参数。要全部列出它们，请使用 ipa help 命令：

   $ ipa help user-add

   Copy to Clipboard Toggle word wrap

   有关 ipa help 命令的详情，请查看 什么是 IPA help 。

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令激活用户帐户：

   $ ipa stageuser-activate user_login
   -------------------------
   Stage user user_login activated
   -------------------------
   ...

   Copy to Clipboard Toggle word wrap

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令保留用户帐户：

   $ ipa user-del --preserve user_login
   --------------------
   Deleted user "user_login"
   --------------------

   Copy to Clipboard Toggle word wrap
   注意

   尽管输出说用户帐户已删除，但实际上是被保留了。

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令删除用户帐户：

   $ ipa user-del user_login
   --------------------
   Deleted user "user_login"
   --------------------

   Copy to Clipboard Toggle word wrap

步骤

1. 打开终端并连接到 IdM 服务器。

2. 使用以下命令激活用户帐户：

   $ ipa user-undel user_login
   ------------------------------
   Undeleted user account "user_login"
   ------------------------------

   Copy to Clipboard Toggle word wrap

   或者，您可以将用户帐户恢复为暂存的用户帐户：

   $ ipa user-stage user_login
   ------------------------------
   Staged user account "user_login"
   ------------------------------

   Copy to Clipboard Toggle word wrap

步骤

1. 登录到 IdM Web UI。

   详情请参阅 在 Web 浏览器中访问 IdM Web UI。

2. 进到 Users → Stage Users 选项卡。

   另外，您可以在 Users → Active users 中添加用户帐户，但是您无法将用户组添加到帐户中。

3. 单击 + Add 图标。
4. 在 Add stage user 对话框中，输入新用户的 First name 和 Last name。

5. [可选] 在 User login 字段中，添加一个登录名称。

   如果您将其留空，IdM 服务器将以以下形式创建登录名称：名字的第一个字母和姓氏。整个登录名最多可有 32 个字符。

6. [可选] 在 GID 下拉菜单中，选择应包含该用户的组。
7. [可选] 在 Password 和 Verify password 字段中，输入您的密码并确认，确保它们都匹配。

8. 点击 Add 按钮。

   

步骤

1. 登录到 IdM Web UI。

   详情请参阅 在 Web 浏览器中访问 IdM Web UI。

2. 进到 Users → Stage users 选项卡。
3. 单击您要激活的用户帐户的复选框。

4. 单击 Activate 按钮。

   

5. 在 Confirmation 对话框中，单击 OK。

步骤

1. 登录到 IdM Web UI。

   详情请参阅 在 Web 浏览器中访问 IdM Web UI。

2. 进到 Users → Active users 选项卡。
3. 点击您要禁用的用户帐户的复选框。

4. 单击 Disable 按钮。

   

5. 在 Confirmation 对话框中，单击 OK 按钮。

步骤

1. 登录到 IdM Web UI。
2. 进到 Users → Active users 选项卡。
3. 单击您要启用的用户帐户的复选框。

4. 单击 Enable 按钮。

   

5. 在 Confirmation 对话框中，单击 OK 按钮。

步骤

1. 登录到 IdM Web UI。

   详情请参阅 在 Web 浏览器中访问 IdM Web UI。

2. 进到 Users → Active users 选项卡。
3. 单击您要保留的用户帐户的复选框。

4. 单击 Delete 按钮。

   

5. 在 Remove users 对话框中，将 Delete mode 单选按钮切换到 preserve。

6. 单击 Delete 按钮。

   

步骤

1. 登录到 IdM Web UI。

   详情请参阅 在 Web 浏览器中访问 IdM Web UI。

2. 进到 Users → Preserved users 选项卡。
3. 单击您要恢复的用户帐户的复选框。

4. 单击 Restore 按钮。

   

5. 在 Confirmation 对话框中，单击 OK 按钮。

步骤

1. 登录到 IdM Web UI。

   详情请参阅 在 Web 浏览器中访问 IdM Web UI。

2. 进到 Users → Active users 选项卡。

   或者，您可以在 Users → Stage users 或 Users → Preserved users 删除用户账户。

3. 点 Delete 图标。
4. 在 Remove users 对话框中，将 Delete mode 单选按钮切换到 delete。
5. 单击 Delete 按钮。

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

   Copy to Clipboard Toggle word wrap

2. 创建一个 Ansible playbook 文件，其中包含您要确保的 IdM 中存在的用户数据。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/add-user.yml 文件中的示例。例如，创建名为 idm_user 的用户并添加 Password123 作为用户密码：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create user idm_user
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: idm_user
         first: Alice
         last: Acme
         uid: 1000111
         gid: 10011
         phone: "+555123457"
         email: idm_user@acme.com
         passwordexpiration: "2023-01-19 23:59:59"
         password: "Password123"
         update_password: on_create

   Copy to Clipboard Toggle word wrap

   您必须使用以下选项来添加用户：

   • name：登录名称
   • first：名（字符串）
   • last：姓（字符串）

   有关可用用户选项的完整列表，请参阅 /usr/share/doc/ansible-freeipa/README-user.md Markdown 文件。

   注意

   如果您使用 update_password: on_create 选项，Ansible 仅在创建用户时创建用户密码。如果已使用密码创建了用户，Ansible 不会生成新的密码。

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-IdM-user.yml

   Copy to Clipboard Toggle word wrap

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

   Copy to Clipboard Toggle word wrap

2. 创建一个 Ansible playbook 文件，其中包含您要在 IdM 中确保存在的用户的数据。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create user idm_users
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users:
         - name: idm_user_1
           first: Alice
           last: Acme
           uid: 10001
           gid: 10011
           phone: "+555123457"
           email: idm_user@acme.com
           passwordexpiration: "2023-01-19 23:59:59"
           password: "Password123"
         - name: idm_user_2
           first: Bob
           last: Acme
           uid: 100011
           gid: 10011
         - name: idm_user_3
           first: Eve
           last: Acme
           uid: 1000111
           gid: 10011

   Copy to Clipboard Toggle word wrap
   注意

   如果没有指定 update_password: on_create 选项，Ansible 每次运行 playbook 时都会重新设置用户密码：如果用户自上次运行 playbook 起更改了密码，则 Ansible 重新设置密码。

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-users.yml

   Copy to Clipboard Toggle word wrap

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

   Copy to Clipboard Toggle word wrap

2. 创建包含必要任务的 Ansible playbook 文件。使用您要确保存在的用户数据引用 JSON 文件。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/ensure-users-present-ymlfile.yml 文件中的示例：

   ---
   - name: Ensure users' presence
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Include users.json
       include_vars:
         file: users.json
   
     - name: Users present
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users: "{{ users }}"

   Copy to Clipboard Toggle word wrap

3. 创建 users.json 文件，并将 IdM 用户添加到其中。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/users.json 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   {
     "users": [
      {
       "name": "idm_user_1",
       "first": "Alice",
       "last": "Acme",
       "password": "Password123"
      },
      {
       "name": "idm_user_2",
       "first": "Bob",
       "last": "Acme"
      },
      {
       "name": "idm_user_3",
       "first": "Eve",
       "last": "Acme"
      }
     ]
   }

   Copy to Clipboard Toggle word wrap

4. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-users-present-jsonfile.yml

   Copy to Clipboard Toggle word wrap

步骤

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

   Copy to Clipboard Toggle word wrap

2. 创建 Ansible playbook 文件，使其包含没有 IdM 的用户。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要删除用户 idm_user_1、idm_user_2 和 idm_user_3 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Delete users idm_user_1, idm_user_2, idm_user_3
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users:
         - name: idm_user_1
         - name: idm_user_2
         - name: idm_user_3
         state: absent

   Copy to Clipboard Toggle word wrap

3. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/delete-users.yml

   Copy to Clipboard Toggle word wrap

1. 以管理员身份登录到 ipaserver：

   $ ssh administrator@server.idm.example.com
   Password:
   [admin@server /]$

   Copy to Clipboard Toggle word wrap

2. 请求有关 idm_user_1 的信息：

   $ ipa user-show idm_user_1
   ipa: ERROR: idm_user_1: user not found

   Copy to Clipboard Toggle word wrap

   IdM 中不存在名为 idm_user_1 的用户。

流程

1. 在右上角，点击 User name → Change password。

   图 5.1. 重置密码

   

   View larger image

   
2. 输入当前的密码以及新密码。

流程

1. 选择 Identity → Users。
2. 单击要编辑的用户的名称。

3. 单击 Actions → Reset password。

   图 5.2. 重置密码

   

   View larger image

   

4. 输入新密码，然后单击 Reset Password。

   图 5.3. 确认新密码

   

   View larger image

   

流程

1. 使用 pwdhash 命令生成新的密码哈希。例如：

   # pwdhash -D /etc/dirsrv/slapd-IDM-EXAMPLE-COM password
   {PBKDF2_SHA256}AAAgABU0bKhyjY53NcxY33ueoPjOUWtl4iyYN5uW...

   Copy to Clipboard Toggle word wrap

   通过指定目录服务器配置的路径，您可以自动使用 nsslapd-rootpwstoragescheme 属性中设置的密码存储模式来加密新密码。

2. 在拓扑中的每个 IdM 服务器上执行以下步骤：

   1. 停止服务器上安装的所有 IdM 服务：

      # ipactl stop

      Copy to Clipboard Toggle word wrap

   2. 编辑 /etc/dirsrv/IDM-EXAMPLE-COM/dse.ldif 文件，并将 nsslapd-rootpw 属性设为 pwdhash 命令所生成的值：

      nsslapd-rootpw: {PBKDF2_SHA256}AAAgABU0bKhyjY53NcxY33ueoPjOUWtl4iyYN5uW...

      Copy to Clipboard Toggle word wrap
   3. 启动服务器上安装的所有 IdM 服务：

   # ipactl start

   Copy to Clipboard Toggle word wrap

流程

1. 在域中的每个身份管理(IdM)服务器上进行以下更改：

   1. 输入 ldapmodify 命令来修改 LDAP 条目。指定 IdM 服务器的名称和 389 端口，然后按回车：

      $ ldapmodify -x -D "cn=Directory Manager" -W -h server.idm.example.com -p 389
      Enter LDAP Password:

      Copy to Clipboard Toggle word wrap
   2. 输入 Directory Manager 密码。

   3. 输入 ipa_pwd_extop 密码同步条目的可区别的名称，然后按回车

      dn: cn=ipa_pwd_extop,cn=plugins,cn=config

      Copy to Clipboard Toggle word wrap

   4. 指定更改的 modify 类型，并按回车：

      changetype: modify

      Copy to Clipboard Toggle word wrap

   5. 指定您希望 LDAP 执行哪种类型的修改，以及指定对哪个属性的修改。按回车：

      add: passSyncManagersDNs

      Copy to Clipboard Toggle word wrap

   6. 在 passSyncManagersDNs 属性中指定管理用户帐户。属性是多值的。例如，要授予 admin 用户目录管理者重置密码的权力：

      passSyncManagersDNs: \
      uid=admin,cn=users,cn=accounts,dc=example,dc=com

      Copy to Clipboard Toggle word wrap
   7. 按回车两次以停止编辑条目。

流程

1. 显示用户帐户的状态，来查看失败的登录次数：

   $ ipa user-status example_user
   -----------------------
   Account disabled: False
   -----------------------
     Server: idm.example.com
     Failed logins: 8
     Last successful authentication: N/A
     Last failed authentication: 20220229080317Z
     Time now: 2022-02-29T08:04:46Z
   ----------------------------
   Number of entries returned 1
   ----------------------------

   Copy to Clipboard Toggle word wrap

2. 显示特定用户允许的登录尝试次数：

   1. 以 IdM 管理员身份登录到 IdM Web UI。
   2. 打开 Identity → Users → Active users 选项卡。

   

   1. 点击用户名以打开用户设置。
   2. 在 Password policy 部分中，找到 Max failures 项。
3. 将 ipa user-status 命令的输出中显示的失败的登录数与 IdM Web UI 中显示的 Max failures 数进行比较。如果失败的登录次数等于最大允许登录尝试次数，则用户帐户被锁住。

流程

1. 显示当前启用的密码插件功能：

   # ipa config-show | grep "Password plugin features"
     Password plugin features: AllowNThash, KDC:Disable Last Success

   Copy to Clipboard Toggle word wrap

   输出显示 KDC:Disable Last Success 插件已启用。插件隐藏了最后一次成功的 Kerberos 身份验证，以防在 ipa user-status 输出中可见。

2. 将每个功能的 --ipaconfigstring=feature 参数添加到当前启用的 ipa config-mod 命令中，KDC:Disable Last Success 除外:

   # ipa config-mod --ipaconfigstring='AllowNThash'

   Copy to Clipboard Toggle word wrap

   这个命令只启用 AllowNThash 插件。要启用多个功能，请为每个功能单独指定 --ipaconfigstring=feature 参数。

3. 重启 IdM:

   # ipactl restart

   Copy to Clipboard Toggle word wrap

步骤

1. 创建一个清单文件，如 inventory.file，并在 [ipaserver] 部分中定义 IdM 服务器的 FQDN ：

   [ipaserver]
   server.idm.example.com

   Copy to Clipboard Toggle word wrap

2. 创建 Ansible playbook 文件，以定义您要确保的密码策略。要简化此步骤，请复制并修改 /usr/share/doc/ansible-freeipa/playbooks/pwpolicy/pwpolicy_present.yml 文件中的示例：

   ---
   - name: Tests
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure presence of pwpolicy for group ops
       ipapwpolicy:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: ops
         minlife: 7
         maxlife: 49
         history: 5
         priority: 1
         lockouttime: 300
         minlength: 8
         minclasses: 4
         maxfail: 3
         failinterval: 5

   Copy to Clipboard Toggle word wrap

   有关单个变量含义的详情，请参阅密码策略属性。

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory_/new_pwpolicy_present.yml

   Copy to Clipboard Toggle word wrap

步骤

1. 将用户名检查应用到 managers 组中用户建议的所有新密码：

   $ ipa pwpolicy-mod --usercheck=True managers

   Copy to Clipboard Toggle word wrap
   注意

   如果没有指定密码策略的名称，则会修改默认的 global_policy。

2. 在 manager 密码策略中，将相同连续字符的最大数量设置为 2：

   $ ipa pwpolicy-mod --maxrepeat=2 managers

   Copy to Clipboard Toggle word wrap

   现在不接受包含 2 个以上连续相同的字符的密码。例如，eR873mUi111YJQ 组合是不可接受的，因为它包含三个连续的 1。

验证

1. 添加名为 test_user 的测试用户：

   $ ipa user-add test_user
   First name: test
   Last name: user
   ----------------------------
   Added user "test_user"
   ----------------------------

   Copy to Clipboard Toggle word wrap

2. 将 test 用户添加到 managers 组：

   1. 在 IdM Web UI 中，点 Identity → Groups → User Groups。
   2. 点 managers。
   3. 点 Add。
   4. 在 Add users to user group 'managers' 页面中，检查 test_user。
   5. 点击 > 箭头将用户移到 Prospect ive 列中。
   6. 点 Add。

3. 重置测试用户的密码：

   1. 进入 Identity → Users。
   2. 单击 test_user。
   3. 在 Actions 菜单中，单击 Reset Password。
   4. 输入用户的临时密码。

4. 在命令行中，尝试为 test_user 获取 Kerberos 票据授予票据 (TGT)：

   $ kinit test_user

   Copy to Clipboard Toggle word wrap
   1. 输入临时密码。

   2. 系统会通知您必须更改密码。输入包含用户名 test_user 的密码：

      Password expired. You must change it now.
      Enter new password:
      Enter it again:
      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.

      Copy to Clipboard Toggle word wrap
      注意

      Kerberos 没有精细的错误密码策略报告，在某些情况下，没有提供拒绝密码的明确原因。

   3. 系统通知您输入的密码被拒绝。输入包含连续三个或多个相同字符的密码：

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

      Copy to Clipboard Toggle word wrap

   4. 系统通知您输入的密码被拒绝。输入满足 managers 密码策略条件的密码：

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

      Copy to Clipboard Toggle word wrap

5. 查看获取的 TGT:

   $ klist
   Ticket cache: KCM:0:33945
   Default principal: test_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   07/07/2021 12:44:44  07/08/2021 12:44:44  krbtgt@IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

步骤

1. 创建 Ansible playbook 文件 manager_pwpolicy_present.yml，其定义您要确保其存在的密码策略。要简化此步骤，请复制并修改以下示例：

   ---
   - name: Tests
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure presence of usercheck and maxrepeat pwpolicy for group managers
       ipapwpolicy:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: managers
         usercheck: True
         maxrepeat: 2
         maxsequence: 3

   Copy to Clipboard Toggle word wrap

2. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory_/manager_pwpolicy_present.yml

   Copy to Clipboard Toggle word wrap

验证

1. 添加名为 test_user 的测试用户：

   $ ipa user-add test_user
   First name: test
   Last name: user
   ----------------------------
   Added user "test_user"
   ----------------------------

   Copy to Clipboard Toggle word wrap

2. 将 test 用户添加到 managers 组：

   1. 在 IdM Web UI 中，点 Identity → Groups → User Groups。
   2. 点 managers。
   3. 点 Add。
   4. 在 Add users to user group 'managers' 页面中，检查 test_user。
   5. 点击 > 箭头将用户移到 Prospect ive 列中。
   6. 点 Add。

3. 重置测试用户的密码：

   1. 进入 Identity → Users。
   2. 单击 test_user。
   3. 在 Actions 菜单中，单击 Reset Password。
   4. 输入用户的临时密码。

4. 在命令行中，尝试为 test_user 获取 Kerberos 票据授予票据 (TGT)：

   $ kinit test_user

   Copy to Clipboard Toggle word wrap
   1. 输入临时密码。

   2. 系统会通知您必须更改密码。输入包含用户名 test_user 的密码：

      Password expired. You must change it now.
      Enter new password:
      Enter it again:
      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.

      Copy to Clipboard Toggle word wrap
      注意

      Kerberos 没有精细的错误密码策略报告，在某些情况下，没有提供拒绝密码的明确原因。

   3. 系统通知您输入的密码被拒绝。输入包含连续三个或多个相同字符的密码：

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

      Copy to Clipboard Toggle word wrap

   4. 系统通知您输入的密码被拒绝。输入包含超过 3 个字符的单调字符序列的密码。此类序列的示例包括 1234 和 fedc ：

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

      Copy to Clipboard Toggle word wrap

   5. 系统通知您输入的密码被拒绝。输入满足 managers 密码策略条件的密码：

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

      Copy to Clipboard Toggle word wrap

5. 验证您已获得 TGT，这只有在输入有效密码后才有可能：

   $ klist
   Ticket cache: KCM:0:33945
   Default principal: test_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   07/07/2021 12:44:44  07/08/2021 12:44:44  krbtgt@IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

步骤

1. 更新 epn.conf 配置文件，来为 EPN 工具设置选项，以通知用户密码即将过期。

   # vi /etc/ipa/epn.conf

   Copy to Clipboard Toggle word wrap

2. 根据需要更新 notify_ttls。默认是通知用户其密码将在 28、14、7、3 和 1 天后过期。

   notify_ttls = 28, 14, 7, 3, 1

   Copy to Clipboard Toggle word wrap

3. 配置 SMTP 服务器和端口：

   smtp_server = localhost
   smtp_port = 25

   Copy to Clipboard Toggle word wrap

4. 指定发送电子邮件过期通知的电子邮件地址。任何未成功发送的电子邮件都将返回到此地址。

   mail_from =admin-email@example.com

   Copy to Clipboard Toggle word wrap
5. 保存 /etc/ipa/epn.conf 文件。

6. 以 dry-run 模式运行 EPN 工具，来生成一个用户列表，如果您不使用 --dry-run 选项来运行工具，则密码过期电子邮件通知将发送给这些用户。

   ipa-epn --dry-run
   [
       {
        "uid": "user5",
        "cn": "user 5",
        "krbpasswordexpiration": "2020-04-17 15:51:53",
        "mail": "['user5@ipa.test']"
       }
   ]
   [
       {
        "uid": "user6",
        "cn": "user 6",
        "krbpasswordexpiration": "2020-12-17 15:51:53",
        "mail": "['user5@ipa.test']"
        }
   ]
   The IPA-EPN command was successful

   Copy to Clipboard Toggle word wrap
   注意

   如果返回的用户列表非常大，并且运行工具时没有 --dry-run 选项，这可能会导致您的电子邮件服务器出现问题。

7. 不使用 --dry-run 选项运行 EPN 工具，来将到期电子邮件发送给当您在 dry-run 模式下运行 EPN 工具时返回的所有用户的列表：

   ipa-epn
   [
     {
        "uid": "user5",
        "cn": "user 5",
        "krbpasswordexpiration": "2020-10-01 15:51:53",
        "mail": "['user5@ipa.test']"
     }
   ]
   [
     {
       "uid": "user6",
       "cn": "user 6",
       "krbpasswordexpiration": "2020-12-17 15:51:53",
       "mail": "['user5@ipa.test']"
     }
   ]
   The IPA-EPN command was successful

   Copy to Clipboard Toggle word wrap

8. 您可以将 EPN 添加到任何监控系统，并使用 --from-nbdays 和 --to-nbdays 选项调用它，以确定在特定时间范围内将有多少个用户的密码即将过期：

   # ipa-epn --from-nbdays 8 --to-nbdays 12

   Copy to Clipboard Toggle word wrap
   注意

   如果您使用 --from-nbdays 和 --to-nbdays 选项调用 EPN 工具，它将自动在 dry-run 模式下执行。

步骤

1. 打开 EPN 消息模板：

   # vi /etc/ipa/epn/expire_msg.template

   Copy to Clipboard Toggle word wrap

2. 根据需要更新模板文本。

   Hi {{ fullname }},
   
   Your password will expire on {{ expiration }}.
   
   Please change it as soon as possible.

   Copy to Clipboard Toggle word wrap

   您可以在模板中使用以下变量：

   • 用户 ID：uid
   • 全名：fullname
   • 名字：first
   • 姓氏：last
   • 密码过期日期：过期
3. 保存消息模板文件。

步骤

1. 获取 Kerberos 票据作为 IdM admin。

   [root@idmclient ~]# kinit admin

   Copy to Clipboard Toggle word wrap

2. 在 sudo 命令的 IdM 数据库中添加 /usr/sbin/reboot 命令：

   [root@idmclient ~]# ipa sudocmd-add /usr/sbin/reboot
   -------------------------------------
   Added Sudo Command "/usr/sbin/reboot"
   -------------------------------------
     Sudo Command: /usr/sbin/reboot

   Copy to Clipboard Toggle word wrap

3. 创建名为 idm_user_reboot 的 sudo 规则：

   [root@idmclient ~]# ipa sudorule-add idm_user_reboot
   ---------------------------------
   Added Sudo Rule "idm_user_reboot"
   ---------------------------------
     Rule name: idm_user_reboot
     Enabled: TRUE

   Copy to Clipboard Toggle word wrap

4. 在 idm_user_reboot 规则中添加 /usr/sbin/reboot 命令：

   [root@idmclient ~]# ipa sudorule-add-allow-command idm_user_reboot --sudocmds '/usr/sbin/reboot'
     Rule name: idm_user_reboot
     Enabled: TRUE
     Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

5. 将 idm_user_reboot 规则应用到 IdM idmclient 主机：

   [root@idmclient ~]# ipa sudorule-add-host idm_user_reboot --hosts idmclient.idm.example.com
   Rule name: idm_user_reboot
   Enabled: TRUE
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

6. 在 idm_user_reboot 规则中添加 idm_user 帐户：

   [root@idmclient ~]# ipa sudorule-add-user idm_user_reboot --users idm_user
   Rule name: idm_user_reboot
   Enabled: TRUE
   Users: idm_user
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /usr/sbin/reboot
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

7. （可选）定义 idm_user_reboot 规则的有效性：

   1. 要定义 sudo 规则开始有效的时间，请使用带有 --setattr sudonotbefore=DATE 选项的 ipa sudorule-mod sudo_rule_name 命令。DATE 值必须遵循 yyyymmddHHMMSSZ 格式，以秒为单位。例如，要将 idm_user_reboot 规则的有效性的开始时间设置为 2025 年 12 月 31 日 12:34:00，请输入：

      [root@idmclient ~]# ipa sudorule-mod idm_user_reboot --setattr sudonotbefore=20251231123400Z

      Copy to Clipboard Toggle word wrap

   2. 要定义 sudo 规则不再有效的时间，请使用 --setattr sudonotafter=DATE 选项。例如：要将 idm_user_reboot 规则有效期结束的时间设置为 2026 年 12 月 31 日 12:34:00 12:34:00，请输入：

      [root@idmclient ~]# ipa sudorule-mod idm_user_reboot --setattr sudonotafter=20261231123400Z

      Copy to Clipboard Toggle word wrap

验证步骤

1. 以 idm_user 帐户身份登录 idmclient 主机。

2. 显示允许 idm_user 帐户执行的 sudo 规则。

   [idm_user@idmclient ~]$ sudo -l
   Matching Defaults entries for idm_user on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User idm_user may run the following commands on idmclient:
       (root) /usr/sbin/reboot

   Copy to Clipboard Toggle word wrap

3. 使用 sudo 重新启动计算机。在提示时输入 idm_user 的密码：

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

   Copy to Clipboard Toggle word wrap

1. 将 AD 用户或组添加到 non-POSIX 外部 IdM 组中。
2. 将 non-POSIX 外部 IdM 组添加到 IdM POSIX 组。

流程

1. 创建 ad_users 组，它包括带有 administrator@ad-domain 成员的 ad_users_external 组：

   1. 可选 ：创建或选择 AD 域中的对应组，用来管理 IdM 域中的 AD 用户。您可以使用多个 AD 组，并将它们添加到 IdM 端的不同组中。

   2. 创建 ad_users_external 组，并通过添加 --external 选项来指示它包含 IdM 域外部的成员：

      [root@ipaserver ~]# ipa group-add --desc='AD users external map' ad_users_external --external
      -------------------------------
      Added group "ad_users_external"
      -------------------------------
        Group name: ad_users_external
        Description: AD users external map

      Copy to Clipboard Toggle word wrap
      注意

      确保此处指定的外部组是带有 global 或 universal 组范围的 AD 安全组，如 Active Directory 安全组文档中所述。例如，Domain users 或 Domain admins AD 安全组不能使用，因为组的范围是 domain local。

   3. 创建 ad_users 组：

      [root@ipaserver ~]# ipa group-add --desc='AD users' ad_users
      ----------------------
      Added group "ad_users"
      ----------------------
        Group name: ad_users
        Description: AD users
        GID: 129600004

      Copy to Clipboard Toggle word wrap

   4. 将 administrator@ad-domain.com AD 用户作为外部成员添加到 ad_users_external 中：

      [root@ipaserver ~]# ipa group-add-member ad_users_external --external "administrator@ad-domain.com"
       [member user]:
       [member group]:
        Group name: ad_users_external
        Description: AD users external map
        External member: S-1-5-21-3655990580-1375374850-1633065477-513
      -------------------------
      Number of members added 1
      -------------------------

      Copy to Clipboard Toggle word wrap

      AD 用户必须通过完全限定名称来标识，如 DOMAIN\user_name 或 user_name@DOMAIN。AD ID 然后会被映射到用户的 AD SID。这同样适用于添加 AD 组。

   5. 将 ad_users_external 添加到 ad_users 作为成员：

      [root@ipaserver ~]# ipa group-add-member ad_users --groups ad_users_external
        Group name: ad_users
        Description: AD users
        GID: 129600004
        Member groups: ad_users_external
      -------------------------
      Number of members added 1
      -------------------------

      Copy to Clipboard Toggle word wrap

2. 授予 ad_users 成员在 idmclient 主机上运行 /usr/sbin/reboot 的权限 ：

   1. 在 sudo 命令的 IdM 数据库中添加 /usr/sbin/reboot 命令：

      [root@idmclient ~]# ipa sudocmd-add /usr/sbin/reboot
      -------------------------------------
      Added Sudo Command "/usr/sbin/reboot"
      -------------------------------------
        Sudo Command: /usr/sbin/reboot

      Copy to Clipboard Toggle word wrap

   2. 创建名为 ad_users_reboot 的 sudo 规则：

      [root@idmclient ~]# ipa sudorule-add ad_users_reboot
      ---------------------------------
      Added Sudo Rule "ad_users_reboot"
      ---------------------------------
        Rule name: ad_users_reboot
        Enabled: True

      Copy to Clipboard Toggle word wrap

   3. 在 ad_users_reboot 规则中添加 /usr/sbin/reboot 命令：

      [root@idmclient ~]# ipa sudorule-add-allow-command ad_users_reboot --sudocmds '/usr/sbin/reboot'
        Rule name: ad_users_reboot
        Enabled: True
        Sudo Allow Commands: /usr/sbin/reboot
      -------------------------
      Number of members added 1
      -------------------------

      Copy to Clipboard Toggle word wrap

   4. 将 ad_users_reboot 规则应用到 IdM idmclient 主机：

      [root@idmclient ~]# ipa sudorule-add-host ad_users_reboot --hosts idmclient.idm.example.com
      Rule name: ad_users_reboot
      Enabled: True
      Hosts: idmclient.idm.example.com
      Sudo Allow Commands: /usr/sbin/reboot
      -------------------------
      Number of members added 1
      -------------------------

      Copy to Clipboard Toggle word wrap

   5. 将 ad_users 组添加到 ad_users_reboot 规则中：

      [root@idmclient ~]# ipa sudorule-add-user ad_users_reboot --groups ad_users
      Rule name: ad_users_reboot
      Enabled: TRUE
      User Groups: ad_users
      Hosts: idmclient.idm.example.com
      Sudo Allow Commands: /usr/sbin/reboot
      -------------------------
      Number of members added 1
      -------------------------

      Copy to Clipboard Toggle word wrap

验证步骤

1. 以 administrator@ad-domain.com 身份登录 idmclient 主机，这是 ad_users 组的间接成员：

   $ ssh administrator@ad-domain.com@ipaclient
   Password:

   Copy to Clipboard Toggle word wrap

2. 另外，还可显示 administrator@ad-domain.com 允许执行的 sudo 命令：

   [administrator@ad-domain.com@idmclient ~]$ sudo -l
   Matching Defaults entries for administrator@ad-domain.com on idmclient:
       !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
       env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
       env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
       env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
       env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
       env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
       secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
   
   User administrator@ad-domain.com may run the following commands on idmclient:
       (root) /usr/sbin/reboot

   Copy to Clipboard Toggle word wrap

3. 使用 sudo 重新启动计算机。提示时输入 administrator@ad-domain.com 密码：

   [administrator@ad-domain.com@idmclient ~]$ sudo /usr/sbin/reboot
   [sudo] password for administrator@ad-domain.com:

   Copy to Clipboard Toggle word wrap

步骤

1. 在 sudo 命令的 IdM 数据库中添加 /usr/sbin/reboot 命令：

   1. 导航到 Policy → Sudo → Sudo Commands。
   2. 单击右上角的 Add，以打开 Add sudo 命令对话框。

   3. 输入您希望用户能够使用 sudo 执行的命令：/usr/sbin/reboot。

      图 8.1. 添加 IdM sudo 命令

      

      View larger image

      
   4. 点 Add。

2. 使用新的 sudo 命令条目创建一个 sudo 规则来允许 idm_user 重启 idmclient 机器：

   1. 导航到 Policy → Sudo → Sudo rules。
   2. 单击右上角的 Add，以打开 Add sudo 规则对话框。
   3. 输入 sudo 规则的名称： idm_user_reboot。
   4. 点 Add and Edit。

   5. 指定用户：

      1. 在 Who 部分中，选中指定的用户和组单选按钮。
      2. 在 User category the rule applies to 子小节中，点 Add 打开 Add users into sudo rule "idm_user_reboot" 对话框。
      3. 在 Available 栏的 Add users into sudo rule "idm_user_reboot" 对话框中，选择 idm_user，并把它移到 Prospective 栏。
      4. 点击 Add。

   6. 指定主机：

      1. 在 Access this host 部分中，选中指定的 Hosts and Groups 单选按钮。
      2. 在 Host category this rule applies to 子小节中，点 Add 打开 Add hosts into sudo rule "idm_user_reboot" 对话框。
      3. 在 Available 列中的 Add hosts to sudo rule "idm_user_reboot" 对话框中，选中 idmclient.idm.example.com 复选框，并将它移到 Prospective 列。
      4. 点击 Add。

   7. 指定命令：

      1. 在 Run Commands 一节的 Command category the rule applies to 子小节中，选择 Specified Commands and Groups 单选按钮。
      2. 在 Sudo Allow Commands 子节中，单击 Add 以打开 Add allow sudo commands into sudo rule "idm_user_reboot"对话框。
      3. 在 Available 列中的 Add allow sudo commands into sudo rule "idm_user_reboot" 对话框中，选中 /usr/sbin/reboot 复选框，并将它移到 Prospective 列。
      4. 点 Add 返回到 idm_sudo_reboot 页。

      图 8.2. 添加 IdM sudo 规则

      

      View larger image

      
   8. 单击左上角的 Save。

验证步骤

1. 以 idm_user 用户身份登录 idmclient。

2. 使用 sudo 重新启动计算机。在提示时输入 idm_user 的密码：

   $ sudo /usr/sbin/reboot
   [sudo] password for idm_user:

   Copy to Clipboard Toggle word wrap

步骤

1. 获取 Kerberos 票据作为 IdM admin。

   [root@idmclient ~]# kinit admin

   Copy to Clipboard Toggle word wrap

2. 将 /opt/third-party-app/bin/report 命令添加到 sudo 命令的 IdM 数据库中：

   [root@idmclient ~]# ipa sudocmd-add /opt/third-party-app/bin/report
   ----------------------------------------------------
   Added Sudo Command "/opt/third-party-app/bin/report"
   ----------------------------------------------------
     Sudo Command: /opt/third-party-app/bin/report

   Copy to Clipboard Toggle word wrap

3. 创建一个名为 run_third-party-app_report 的 sudo 规则：

   [root@idmclient ~]# ipa sudorule-add run_third-party-app_report
   --------------------------------------------
   Added Sudo Rule "run_third-party-app_report"
   --------------------------------------------
     Rule name: run_third-party-app_report
     Enabled: TRUE

   Copy to Clipboard Toggle word wrap

4. 使用 --users=<user> 选项来为 sudorule-add-runasuser 命令指定 RunAs 用户：

   [root@idmclient ~]# ipa sudorule-add-runasuser run_third-party-app_report --users=thirdpartyapp
     Rule name: run_third-party-app_report
     Enabled: TRUE
     RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

   用户（或用 --groups=* 选项指定的组）可以是来自 IdM 外部，如本地服务帐户或活动目录用户。不要为组名称添加 % 前缀。

5. 将 /opt/third-party-app/bin/report 命令添加到 run_third-party-app_report 规则中：

   [root@idmclient ~]# ipa sudorule-add-allow-command run_third-party-app_report --sudocmds '/opt/third-party-app/bin/report'
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

6. 将 run_third- party-app_report 规则应用到 IdM idmclient 主机：

   [root@idmclient ~]# ipa sudorule-add-host run_third-party-app_report --hosts idmclient.idm.example.com
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1
   -------------------------

   Copy to Clipboard Toggle word wrap

7. 将 idm_user 帐户添加到 run_third- party-app_report 规则中：

   [root@idmclient ~]# ipa sudorule-add-user run_third-party-app_report --users idm_user
   Rule name: run_third-party-app_report
   Enabled: TRUE
   Users: idm_user
   Hosts: idmclient.idm.example.com
   Sudo Allow Commands: /opt/third-party-app/bin/report
   RunAs External User: thirdpartyapp
   -------------------------
   Number of members added 1

   Copy to Clipboard Toggle word wrap

验证步骤

1. 以 idm_user 帐户身份登录 idmclient 主机。

2. 测试新的 sudo 规则：

   1. 显示允许 idm_user 帐户执行的 sudo 规则。

      [idm_user@idmclient ~]$ sudo -l
      Matching Defaults entries for idm_user@idm.example.com on idmclient:
          !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
          env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
          env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
          env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
          env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
          env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
          secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
      
      User idm_user@idm.example.com may run the following commands on idmclient:
          (thirdpartyapp) /opt/third-party-app/bin/report

      Copy to Clipboard Toggle word wrap

   2. 作为 thirdpartyapp 服务帐户，运行 report 命令。

      [idm_user@idmclient ~]$ sudo -u thirdpartyapp /opt/third-party-app/bin/report
      [sudo] password for idm_user@idm.example.com:
      Executing report...
      Report successful.

      Copy to Clipboard Toggle word wrap

步骤

1. 将 /opt/third-party-app/bin/report 命令添加到 sudo 命令的 IdM 数据库中：

   1. 导航到 Policy → Sudo → Sudo Commands。
   2. 单击右上角的 Add，以打开 Add sudo 命令对话框。

   3. 输入命令：/opt/third-party-app/bin/report。

      

      View larger image

      
   4. 点 Add。

2. 使用新的 sudo 命令条目来创建新的 sudo 规则：

   1. 导航到 Policy → Sudo → Sudo rules。
   2. 单击右上角的 Add，以打开 Add sudo 规则对话框。

   3. 输入 sudo 规则的名称：run_third-party-app_report。

      

      View larger image

      
   4. 点 Add and Edit。

   5. 指定用户：

      1. 在 Who 部分中，选中指定的用户和组单选按钮。
      2. 在 User category the rule applies to 子部分中，单击 Add 来打开 将用户添加到 sudo 规则 "run_third-party-app_report" 对话框。

      3. 在 Available 栏的 Add users into sudo rule "run_third-party-app_report" 对话框中，选择 idm_user，并把它移到 Prospective 栏。

         

         View larger image

         
      4. 点 Add。

   6. 指定主机：

      1. 在 Access this host 部分中，选中指定的 Hosts and Groups 单选按钮。
      2. 在 Host category this rule applies to 子部分中，单击Add 来打开 将用户添加到 sudo 规则 "run_third-party-app_report" 对话框。

      3. 在 Available 栏的 Add hosts to sudo rule "run_third- party-app_report" 对话框中，选中 idmclient.idm.example.com 复选框，并将它移到 Prospective 列。

         

         View larger image

         
      4. 点 Add。

   7. 指定命令：

      1. 在 Run Commands 一节的 Command category the rule applies to 子小节中，选择 Specified Commands and Groups 单选按钮。
      2. 在 Sudo Allow Commands 子部分中，单击 Add 来打开 将允许 sudo 命令添加到 sudo 规则 "run_third-party-app_report" 对话框。

      3. 在 Available 栏的 Add allow sudo commands into sudo rule "run_third-party-app_report" 对话框中，选中 /opt/third-party-app/bin/report 并将其移到 Prospective 栏。

         

         View larger image

         
      4. 单击 Add 以返回到 run_third-party-app_report 页。

   8. 指定 RunAs 用户：

      1. 在 As Whom 部分中，选中 Specified Users and Groups 单选按钮。
      2. 在 RunAs Users 子部分中，单击 Add 以将 Add RunAs 用户打开 sudo 规则 "run_third-party-app_report" 对话框。

      3. 在 Add RunAs users in sudo rule "run_third-party-app_report" 对话框中，在 External 框中输入 thirdpartyapp 服务帐户，并将它移到 Prospective 列中。

         

         View larger image

         
      4. 单击 Add 以返回到 run_third-party-app_report 页。
   9. 单击左上角的 Save。

验证步骤

1. 以 idm_user 帐户身份登录 idmclient 主机。

2. 测试新的 sudo 规则：

   1. 显示允许 idm_user 帐户执行的 sudo 规则。

      [idm_user@idmclient ~]$ sudo -l
      Matching Defaults entries for idm_user@idm.example.com on idmclient:
          !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
          env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
          env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
          env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
          env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
          env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
          secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
      
      User idm_user@idm.example.com may run the following commands on idmclient:
          (thirdpartyapp) /opt/third-party-app/bin/report

      Copy to Clipboard Toggle word wrap

   2. 作为 thirdpartyapp 服务帐户，运行 report 命令。

      [idm_user@idmclient ~]$ sudo -u thirdpartyapp /opt/third-party-app/bin/report
      [sudo] password for idm_user@idm.example.com:
      Executing report...
      Report successful.

      Copy to Clipboard Toggle word wrap

步骤

1. 打开 /etc/sssd/sssd.conf 配置文件：

2. 将以下条目添加到 [domain/<domain_name>] 部分中。

   [domain/<domain_name>]
   pam_gssapi_services = sudo, sudo-i

   Copy to Clipboard Toggle word wrap
3. 保存并关闭 /etc/sssd/sssd.conf 文件。

4. 重启 SSSD 服务以载入配置更改。

   [root@idmclient ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap

5. 如果您正在运行 RHEL 8.8 或更高版本：

   1. [可选] 确定您是否选择了 sssd authselect 配置文件：

      # authselect current
      Profile ID: sssd

      Copy to Clipboard Toggle word wrap

      输出显示选择了 sssd authselect 配置文件。

   2. 如果选择了 sssd authselect 配置文件，请启用 GSSAPI 身份验证：

      # authselect enable-feature with-gssapi

      Copy to Clipboard Toggle word wrap

   3. 如果没有选择 sssd authselect 配置文件，请选择它，并启用 GSSAPI 身份验证：

      # authselect select sssd with-gssapi

      Copy to Clipboard Toggle word wrap

6. 如果您正在运行 RHEL 8.7 或更早版本：

   1. 打开 /etc/pam.d/sudo PAM 配置文件。

   2. 添加下列条目，来作为 /etc/pam.d/sudo 文件中 auth 部分的第一行。

      #%PAM-1.0
      auth sufficient pam_sss_gss.so
      auth       include      system-auth
      account    include      system-auth
      password   include      system-auth
      session    include      system-auth

      Copy to Clipboard Toggle word wrap
   3. 保存并关闭 /etc/pam.d/sudo 文件。

验证步骤

1. 以 idm_user 帐户的身份登录主机。

   [root@idm-client ~]# ssh -l idm_user@idm.example.com localhost
   idm_user@idm.example.com's password:

   Copy to Clipboard Toggle word wrap

2. 验证您作为 idm_user 帐户有一个票据授予票据。

   [idmuser@idmclient ~]$ klist
   Ticket cache: KCM:1366201107
   Default principal: idm_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   01/08/2021 09:11:48  01/08/2021 19:11:48  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM
   	renew until 01/15/2021 09:11:44

   Copy to Clipboard Toggle word wrap

3. （可选） 如果您没有 idm_user 帐户的 Kerberos 凭证，请删除您当前的 Kerberos 凭证，并请求正确的凭证。

   [idm_user@idmclient ~]$ kdestroy -A
   
   [idm_user@idmclient ~]$ kinit idm_user@IDM.EXAMPLE.COM
   Password for idm_user@idm.example.com:

   Copy to Clipboard Toggle word wrap

4. 使用 sudo 而不指定密码来重新启动机器。

   [idm_user@idmclient ~]$ sudo /usr/sbin/reboot

   Copy to Clipboard Toggle word wrap