使用 Ansible 安装和管理身份管理

1. 如果您的系统在 RHEL 8.5 及更早版本中运行，请启用所需的软件仓库：

   # subscription-manager repos --enable ansible-2.8-for-rhel-8-x86_64-rpms

2. 如果您的系统在 RHEL 8.5 及更早版本中运行，请安装 ansible 软件包：

   # yum install ansible

3. 安装 ansible-freeipa 软件包：

   # yum install ansible-freeipa

   角色和模块安装到 /usr/share/ansible/roles/ 和 /usr/share/ansible/plugins/modules 目录中。

流程

1. 创建 ~/MyPlaybooks/ 目录：

   $ mkdir MyPlaybooks

2. 创建 ~/MyPlaybooks/inventory 文件。

3. 打开清单文件进行编辑。指定您要用作 IdM 服务器的主机的完全限定域名(FQDN)。确保 FQDN 满足以下条件：

   • 只允许字母数字字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。
4. 指定 IdM 域和域信息。

5. 通过添加以下选项来指定您要使用集成的 DNS：

   ipaserver_setup_dns=true

6. 指定 DNS 转发设置。选择以下选项之一：

   • 如果您希望安装程序使用 /etc/resolv.conf 文件中的正向解析器，请使用 ipaserver_auto_forwarders=true 选项。如果在 /etc/resolv.conf 文件中指定的名称服务器是 localhost 127.0.0.1 地址，或者位于虚拟私有网络中，并且您使用的 DNS 服务器通常无法从公共互联网访问，则不要使用这个选项。
   • 使用 ipaserver_forwarders 选项手动指定您的转发器。安装过程将转发器 IP 地址添加到安装的 IdM 服务器上的 /etc/named.conf 文件中。

   • 使用 ipaserver_no_forwarders=true 选项配置要使用的根 DNS 服务器。

     注意

     如果没有 DNS 转发器，您的环境会被隔离，且基础架构中的其他 DNS 域的名称不会被解析。

7. 指定 DNS 反向记录和区域设置。从以下选项中选择：

   • 使用 ipaserver_allow_zone_overlap=true 选项来允许创建（反向）区域，即使区已经可解析。
   • 使用 ipaserver_reverse_zones 选项来手动指定反向区域。

   • 如果您不希望安装程序创建反向 DNS 区域，请使用 ipaserver_no_reverse=true 选项。

     注意

     使用 IdM 管理反向区是可选的。您可以改为使用外部 DNS 服务来实现这一目的。

8. 指定 admin 和 Directory Manager 的密码。使用 Ansible Vault 来存储密码，并从 playbook 文件中引用 Vault 文件。另外，也可以更安全地指定清单文件中直接的密码。

9. 可选：指定一个 IdM 服务器使用的自定义 firewalld 区。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区域中。预定义的默认区域是 public。

   重要

   指定的 firewalld 区域必须存在，并且是永久的。

   包含所需服务器信息的清单文件示例（密码除外）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   [...]

   包含所需服务器信息（包括密码）的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   带有自定义 firewalld 区的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone

   使用存储在 Ansible Vault 文件中的 admin 和 Directory Manager 密码设置 IdM 服务器的 playbook 示例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
   
     roles:
     - role: ipaserver
       state: present

   使用清单文件中的 admin 和 Directory Manager 密码来设置 IdM 服务器的 playbook 示例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       state: present

流程

1. 创建 ~/MyPlaybooks/ 目录：

   $ mkdir MyPlaybooks

2. 创建 ~/MyPlaybooks/inventory 文件。

3. 打开清单文件进行编辑。指定您要用作 IdM 服务器的主机的完全限定域名(FQDN)。确保 FQDN 满足以下条件：

   • 只允许字母数字字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。
4. 指定 IdM 域和域信息。
5. 确保 ipaserver_setup_dns 选项被设为 no 或空缺。
6. 指定 admin 和 Directory Manager 的密码。使用 Ansible Vault 来存储密码，并从 playbook 文件中引用 Vault 文件。另外，也可以更安全地指定清单文件中直接的密码。

7. 可选：指定一个 IdM 服务器使用的自定义 firewalld 区。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区域中。预定义的默认区域是 public。

   重要

   指定的 firewalld 区域必须存在，并且是永久的。

   包含所需服务器信息的清单文件示例（密码除外）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   [...]

   包含所需服务器信息（包括密码）的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   带有自定义 firewalld 区的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone

   使用存储在 Ansible Vault 文件中的 admin 和 Directory Manager 密码设置 IdM 服务器的 playbook 示例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
   
     roles:
     - role: ipaserver
       state: present

   使用清单文件中的 admin 和 Directory Manager 密码来设置 IdM 服务器的 playbook 示例

   ---
   - name: Playbook to configure IPA server
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       state: present

流程

1. 运行 Ansible playbook:

   $ ansible-playbook -i ~/MyPlaybooks/inventory ~/MyPlaybooks/install-server.yml

2. 选择以下选项之一：

   • 如果您的 IdM 部署使用外部 DNS：将包含在 /tmp/ipa.system.records.UFRPto.db 文件中的 DNS 资源记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

     ...
     Restarting the KDC
     Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
     Restarting the web server
     ...

   重要

   在将 DNS 记录添加到现有 DNS 服务器之前，服务器安装不会完成。

   • 如果您的 IdM 部署使用集成的 DNS:

     • 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

       重要

       每次安装 IdM DNS 服务器后都会重复这个步骤。

     • 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

流程

1. 创建 ~/MyPlaybooks/ 目录：

   $ mkdir MyPlaybooks

2. 创建 ~/MyPlaybooks/inventory 文件。

3. 打开清单文件进行编辑。指定您要用作 IdM 服务器的主机的完全限定域名(FQDN)。确保 FQDN 满足以下条件：

   • 只允许字母数字字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。
4. 指定 IdM 域和域信息。

5. 通过添加以下选项来指定您要使用集成的 DNS：

   ipaserver_setup_dns=true

6. 指定 DNS 转发设置。选择以下选项之一：

   • 如果您希望安装过程使用 /etc/resolv.conf 文件中的正向解析器，请使用 ipaserver_auto_forwarders=true 选项。如果 /etc/resolv.conf 文件中指定的名字服务器是 localhost 127.0.0.1 地址，或者如果您在虚拟私有网络中，并且您使用的 DNS 服务器通常无法从公共互联网访问，则不建议使用此选项。
   • 使用 ipaserver_forwarders 选项手动指定您的转发器。安装过程将转发器 IP 地址添加到安装的 IdM 服务器上的 /etc/named.conf 文件中。

   • 使用 ipaserver_no_forwarders=true 选项配置要使用的根 DNS 服务器。

     注意

     如果没有 DNS 转发器，您的环境会被隔离，且基础架构中的其他 DNS 域的名称不会被解析。

7. 指定 DNS 反向记录和区域设置。从以下选项中选择：

   • 使用 ipaserver_allow_zone_overlap=true 选项来允许创建（反向）区域，即使区已经可解析。
   • 使用 ipaserver_reverse_zones 选项来手动指定反向区域。

   • 如果您不希望安装过程创建反向 DNS 区域，请使用 ipaserver_no_reverse=true 选项。

     注意

     使用 IdM 管理反向区是可选的。您可以改为使用外部 DNS 服务来实现这一目的。

8. 指定 admin 和 Directory Manager 的密码。使用 Ansible Vault 来存储密码，并从 playbook 文件中引用 Vault 文件。另外，也可以更安全地指定清单文件中直接的密码。

9. 可选：指定一个 IdM 服务器使用的自定义 firewalld 区。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区中。预定义的默认区域是 public。

   重要

   指定的 firewalld 区域必须存在，并且是永久的。

   包含所需服务器信息的清单文件示例（密码除外）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   [...]

   包含所需服务器信息（包括密码）的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   带有自定义 firewalld 区的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=true
   ipaserver_auto_forwarders=true
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone
   
   [...]

10. 为安装的第一个步骤创建一个 playbook。输入有关生成证书签名请求(CSR)，并将其从控制器复制到受管节点的说明。

    ---
    - name: Playbook to configure IPA server Step 1
      hosts: ipaserver
      become: true
      vars_files:
      - playbook_sensitive_data.yml
      vars:
        ipaserver_external_ca: true
    
      roles:
      - role: ipaserver
        state: present
    
      post_tasks:
      - name: Copy CSR /root/ipa.csr from node to "{{ groups.ipaserver[0] + '-ipa.csr' }}"
        fetch:
          src: /root/ipa.csr
          dest: "{{ groups.ipaserver[0] + '-ipa.csr' }}"
          flat: true

11. 为安装的最后步骤创建另一个 playbook。

    ---
    - name: Playbook to configure IPA server Step 2
      hosts: ipaserver
      become: true
      vars_files:
      - playbook_sensitive_data.yml
      vars:
        ipaserver_external_cert_files:
          - "/root/servercert20240601.pem"
          - "/root/cacert.pem"
    
      pre_tasks:
      - name: Copy "{{ groups.ipaserver[0] }}-{{ item }}" to "/root/{{ item }}" on node
        ansible.builtin.copy:
          src: "{{ groups.ipaserver[0] }}-{{ item }}"
          dest: "/root/{{ item }}"
          force: true
        with_items:
        - servercert20240601.pem
        - cacert.pem
    
      roles:
      - role: ipaserver
        state: present

流程

1. 创建 ~/MyPlaybooks/ 目录：

   $ mkdir MyPlaybooks

2. 创建 ~/MyPlaybooks/inventory 文件。

3. 打开清单文件进行编辑。指定您要用作 IdM 服务器的主机的完全限定域名(FQDN)。确保 FQDN 满足以下条件：

   • 只允许字母数字字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。
4. 指定 IdM 域和域信息。
5. 确保 ipaserver_setup_dns 选项被设为 no 或空缺。
6. 指定 admin 和 Directory Manager 的密码。使用 Ansible Vault 来存储密码，并从 playbook 文件中引用 Vault 文件。另外，也可以更安全地指定清单文件中直接的密码。

7. 可选：指定一个 IdM 服务器使用的自定义 firewalld 区。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区域中。预定义的默认区域是 public。

   重要

   指定的 firewalld 区域必须存在，并且是永久的。

   包含所需服务器信息的清单文件示例（密码除外）

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   [...]

   包含所需服务器信息（包括密码）的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   
   [...]

   带有自定义 firewalld 区的清单文件示例

   [ipaserver]
   server.idm.example.com
   
   [ipaserver:vars]
   ipaserver_domain=idm.example.com
   ipaserver_realm=IDM.EXAMPLE.COM
   ipaserver_setup_dns=no
   ipaadmin_password=MySecretPassword123
   ipadm_password=MySecretPassword234
   ipaserver_firewalld_zone=custom zone
   
   [...]

8. 为安装的第一个步骤创建一个 playbook。输入有关生成证书签名请求(CSR)，并将其从控制器复制到受管节点的说明。

   ---
   - name: Playbook to configure IPA server Step 1
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
     vars:
       ipaserver_external_ca: true
   
     roles:
     - role: ipaserver
       state: present
   
     post_tasks:
     - name: Copy CSR /root/ipa.csr from node to "{{ groups.ipaserver[0] + '-ipa.csr' }}"
       fetch:
         src: /root/ipa.csr
         dest: "{{ groups.ipaserver[0] + '-ipa.csr' }}"
         flat: true

9. 为安装的最后步骤创建另一个 playbook。

   ---
   - name: Playbook to configure IPA server Step 2
     hosts: ipaserver
     become: true
     vars_files:
     - playbook_sensitive_data.yml
     vars:
       ipaserver_external_cert_files:
         - "/root/servercert20240601.pem"
         - "/root/cacert.pem"
   
     pre_tasks:
     - name: Copy "{{ groups.ipaserver[0] }}-{{ item }}" to "/root/{{ item }}" on node
       ansible.builtin.copy:
         src: "{{ groups.ipaserver[0] }}-{{ item }}"
         dest: "/root/{{ item }}"
         force: true
       with_items:
       - servercert20240601.pem
       - cacert.pem
   
     roles:
     - role: ipaserver
       state: present

流程

1. 使用安装第一步的说明运行 Ansible playbook，如 install-server-step1.yml ：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory ~/MyPlaybooks/install-server-step1.yml

2. 在控制器上找到 ipa.csr 证书签名请求文件，并提交给外部的 CA。
3. 将外部 CA 签名的 IdM CA 证书放在控制器文件系统中，以便下一步中的 playbook 可以找到它。

4. 使用安装最后一步的说明运行 Ansible playbook，如 install-server-step2.yml ：

   $ ansible-playbook -v -i ~/MyPlaybooks/inventory ~/MyPlaybooks/install-server-step2.yml

5. 选择以下选项之一：

   • 如果您的 IdM 部署使用外部 DNS：将包含在 /tmp/ipa.system.records.UFRPto.db 文件中的 DNS 资源记录添加到现有的外部 DNS 服务器中。更新 DNS 记录的过程因特定的 DNS 解决方案而异。

     ...
     Restarting the KDC
     Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
     Restarting the web server
     ...

   重要

   在将 DNS 记录添加到现有 DNS 服务器之前，服务器安装不会完成。

   • 如果您的 IdM 部署使用集成的 DNS:

     • 将父域中的 DNS 委托程序添加到 IdM DNS 域。例如，如果 IdM DNS 域是 idm.example.com，请在 example.com 父域中添加一个名字服务器(NS)记录。

       重要

       每次安装 IdM DNS 服务器后都会重复这个步骤。

     • 将时间服务器的 _ntp._udp 服务(SRV)记录添加到您的 IdM DNS。IdM DNS 中新安装的 IdM 服务器的时间服务器的 SRV 记录可确保将来的副本和客户端安装会自动配置为与此主 IdM 服务器使用的时间服务器同步。

流程

1. 使用以下内容创建 Ansible playbook 文件 uninstall-server.yml ：

   ---
   - name: Playbook to uninstall an IdM replica
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       ipaserver_remove_from_domain: true
       state: absent

   ipaserver_remove_from_domain 选项从 IdM 拓扑中取消主机注册。

   注意

   如果 server123.idm.example.com 的删除导致断开连接的拓扑，则删除操作将被中止。如需更多信息，请参阅 如果这会导致断开连接的拓扑，请使用 Ansible playbook 卸载 IdM 服务器。

2. 卸载副本：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/inventory <path_to_playbooks_directory>/uninstall-server.yml

3. 确保指向 server123.idm.example.com 的所有名称服务器(NS) DNS 记录都从 DNS 区域中删除。无论您使用由 IdM 还是外部 DNS 管理的集成 DNS，这个均适用。有关如何从 IdM 中删除 DNS 记录的更多信息，请参阅 在 IdM CLI 中删除 DNS 记录。

流程

1. 使用以下内容创建 Ansible playbook 文件 uninstall-server.yml ：

   ---
   - name: Playbook to uninstall an IdM replica
     hosts: ipaserver
     become: true
   
     roles:
     - role: ipaserver
       ipaserver_remove_from_domain: true
       ipaserver_remove_on_server: server456.idm.example.com
       ipaserver_ignore_topology_disconnect: true
       state: absent

   注意

   正常情况下，如果删除 server123 不会造成断开连接的拓扑：如果 ipaserver_remove_on_server 的值没有设置，则 server123 上的副本会使用 server123 的复制协议自动删除。

2. 卸载副本：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/uninstall-server.yml

3. 确保指向 server123.idm.example.com 的所有名称服务器(NS) DNS 记录都从 DNS 区域中删除。无论您使用由 IdM 还是外部 DNS 管理的集成 DNS，这个均适用。有关如何从 IdM 中删除 DNS 记录的更多信息，请参阅 在 IdM CLI 中删除 DNS 记录。

流程

1. 打开清单文件进行编辑。指定主机的完全限定域名(FQDN)来成为 IdM 副本。FQDN 必须是有效的 DNS 名称：

   • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。

   • 主机名必须都是小写。

     仅定义副本 FQDN 的简单清单主机文件示例

     [ipareplicas]
     replica1.idm.example.com
     replica2.idm.example.com
     replica3.idm.example.com
     [...]

     如果 IdM 服务器已经部署，且在 IdM DNS 区中正确设置了 SRV 记录，那么脚本会自动发现所有其他必需的值。

2. 可选：根据您设计拓扑的方式在清单文件中提供额外的信息：

   场景 1

   如果要避免自动发现，并且使 [ipareplicas] 部分中列出的所有副本都使用特定的 IdM 服务器，请在清单文件的 [ipaservers] 部分中设置服务器。

   带有 IdM 服务器 FQDN 和定义的副本的清单主机文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]

   场景 2

   或者，如果您想避免自动发现，但希望使用特定的服务器来部署特定副本，请分别在清单文件的 [ipareplicas] 部分中为特定副本设置服务器。

   为特定副本定义了特定 IdM 服务器的清单文件示例

   [ipaservers]
   server.idm.example.com
   replica1.idm.example.com
   
   [ipareplicas]
   replica2.idm.example.com
   replica3.idm.example.com ipareplica_servers=replica1.idm.example.com

   在上例中，replica3.idm.example.com 使用已部署的 replica1.idm.example.com 作为其复制源。

   场景 3

   如果您在一个批处理中部署多个副本，并且时间是您关心的问题，那么多层副本部署可能对您很有用。在清单文件中定义特定的副本组，如 [ipareplicas_tier1] 和 [ipareplicas_tier2]，并在 install-replica.yml playbook 中为每个组设计单独的 play。

   定义了副本层的清单文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas_tier1]
   replica1.idm.example.com
   
   [ipareplicas_tier2]
   replica2.idm.example.com \ ipareplica_servers=replica1.idm.example.com,server.idm.example.com

   将使用 ipareplica_servers 中的第一个条目。第二个条目将用作回退选项。在使用多个层来部署 IdM 副本时，您必须在 playbook 中有单独的任务来首先从 tier1 部署副本，然后从 tier2 部署副本。

   为不同副本组使用不同 play 的 playbook 文件示例

   ---
   - name: Playbook to configure IPA replicas (tier1)
     hosts: ipareplicas_tier1
     become: true
   
     roles:
     - role: ipareplica
       state: present
   
   - name: Playbook to configure IPA replicas (tier2)
     hosts: ipareplicas_tier2
     become: true
   
     roles:
     - role: ipareplica
       state: present

3. 可选：提供有关 firewalld 和 DNS 的更多信息：

   场景 1

   如果您希望副本使用指定的 firewalld 区，如内部区，您可以在清单文件中指定它。如果您没有设置自定义区，IdM 会将其服务添加到默认的 firewalld 区域中。预定义的默认区域是 public。

   重要

   指定的 firewalld 区域必须存在，并且是永久的。

   带有自定义 firewalld 区域的简单清单主机文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]
   
   [ipareplicas:vars]
   ipareplica_firewalld_zone=custom zone

   场景 2

   如果您希望副本托管 IdM DNS 服务，请将 ipareplica_setup_dns=true 行添加到 [ipareplicas:vars] 部分。另外，请指定您是否要使用每服务器 DNS 转发器：

   • 要配置每服务器转发器，请将 ipareplica_forwarders 变量和字符串列表添加到 [ipareplicas:vars] 部分，例如：ipareplica_forwarders=192.0.2.1,192.0.2.2
   • 若要配置无每服务器转发器，请将以下行添加到 [ipareplicas:vars] 部分： ipareplica_no_forwarders=true。
   • 要根据副本的 /etc/resolv.conf 文件中列出的转发器配置每服务器转发器，请将 ipareplica_auto_forwarders 变量添加到 [ipareplicas:vars] 部分。

   带有在副本上设置 DNS 和每个服务器转发器的指令的清单文件示例

   [ipaservers]
   server.idm.example.com
   
   [ipareplicas]
   replica1.idm.example.com
   replica2.idm.example.com
   replica3.idm.example.com
   [...]
   
   [ipareplicas:vars]
   ipareplica_setup_dns=true
   ipareplica_forwarders=192.0.2.1,192.0.2.2

   场景 3

   使用 ipaclient_configure_dns_resolve 和 ipaclient_dns_servers 选项指定 DNS 解析器，以简化集群部署。这在您的 IdM 部署使用集成的 DNS 时特别有用：

   指定 DNS 解析器的清单文件片段：

   [...]
   [ipaclient:vars]
   ipaclient_configure_dns_resolver=true
   ipaclient_dns_servers=192.168.100.1

   注意

   ipaclient_dns_servers 列表必须仅包含 IP 地址。主机名不允许。

流程

1. 指定 授权部署副本的用户的密码，如 IdM admin。

   • 红帽建议使用 Ansible Vault 来存储密码，并从 playbook 文件引用 Vault 文件，如 install-replica.yml ：

     使用来自清单文件和 Ansible Vault 文件中的密码的主体的 playbook 文件示例

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
       vars_files:
       - playbook_sensitive_data.yml
     
       roles:
       - role: ipareplica
         state: present

     有关如何使用 Ansible Vault 的详细信息，请参阅官方 Ansible Vault 文档。

   • 直接在清单文件中提供 admin 的凭证不太安全。请在清单文件的 [ipareplicas:vars] 部分中使用 ipaadmin_password 选项。然后，清单文件和 install-replica.yml playbook 文件类似如下：

     清单 hosts.replica 文件示例

     [...]
     [ipareplicas:vars]
     ipaadmin_password=Secret123

     使用清单文件中的主体和密码的 playbook 示例

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
     
       roles:
       - role: ipareplica
         state: present

   • 或者，在清单文件中提供授权直接部署副本的另一个用户的凭证也不太安全。要指定不同的授权用户，请使用 ipaadmin_principal 选项作为用户名，使用 ipaadmin_password 选项作为密码。然后，清单文件和 install-replica.yml playbook 文件类似如下：

     清单 hosts.replica 文件示例

     [...]
     [ipareplicas:vars]
     ipaadmin_principal=my_admin
     ipaadmin_password=my_admin_secret123

     使用清单文件中的主体和密码的 playbook 示例

     - name: Playbook to configure IPA replicas
       hosts: ipareplicas
       become: true
     
       roles:
       - role: ipareplica
         state: present

流程

1. 打开清单文件 进行编辑。

2. 指定主机的完全限定主机名(FQDN)，使其成为 IdM 客户端。完全限定域名必须是有效的 DNS 名称：

   • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。不允许使用大写字母。

   如果在 IdM DNS 区域中正确设置了 SRV 记录，该脚本会自动发现所有其他必要的值。

   只带有客户端 FQDN 定义的简单的清单主机文件示例

   [ipaclients]
   client.idm.example.com
   [...]

3. 指定注册客户端的凭证。可用的验证方法如下：

   • 注册 客户端的用户权限的密码。这是默认选项。

     • 红帽建议使用 Ansible Vault 来存储密码，并从 playbook 文件引用 Vault 文件，如 install-client.yml ：

       使用来自清单文件和 Ansible Vault 文件中的密码的主体的 playbook 文件示例

       - name: Playbook to configure IPA clients with username/password
         hosts: ipaclients
         become: true
         vars_files:
         - playbook_sensitive_data.yml
       
         roles:
         - role: ipaclient
           state: present

     • 在 inventory/hosts 文件的 [ipaclients:vars] 部分中使用 ipaadmin_password 选项来提供 admin 的凭证不太安全。或者，指定不同的授权用户，请使用 ipaadmin_principal 选项作为用户名，使用 ipaadmin_password 选项作为密码。然后，inventory/hosts 清单文件和 install-client.yml playbook 文件类似如下：

       清单主机文件示例

       [...]
       [ipaclients:vars]
       ipaadmin_principal=my_admin
       ipaadmin_password=Secret123

       使用清单文件中的主体和密码的 Playbook 示例

       - name: Playbook to unconfigure IPA clients
         hosts: ipaclients
         become: true
       
         roles:
         - role: ipaclient
           state: true

   • 之前注册的客户端 keytab，(如果其仍然可用）：

     如果系统之前作为身份管理客户端注册，则可以使用这个选项。要使用此身份验证方法，请取消 #ipaclient_keytab 选项的注释，指定存储 keytab 的文件的路径，例如在 inventory/hosts 的 [ipaclient:vars] 部分。

   • 在注册过程中生成的随机一次性密码 (OTP)。要使用此身份验证方法，请在清单文件中使用 ipaclient_use_otp=true 选项。例如，您可以取消 inventory/hosts 文件的 [ipaclients:vars] 部分中的 ipaclient_use_otp=true 选项的注释。请注意，对于 OTP，还必须指定以下选项之一：

     • 授权注册客户端的用户的密码 ，例如，为 inventory/hosts 文件的 [ipaclients:vars] 部分的 ipaadmin_password 提供值。
     • admin keytab，例如，为 inventory/hosts 的 [ipaclients:vars] 部分中的 ipaadmin_keytab 提供值。

4. 可选：使用 ipaclient_configure_dns_resolve 和 ipaclient_dns_servers 选项（如果可用）指定 DNS 解析器来简化集群部署。这在您的 IdM 部署使用集成的 DNS 时特别有用：

   指定 DNS 解析器的清单文件片段：

   [...]
   [ipaclients:vars]
   ipaadmin_password: "{{ ipaadmin_password }}"
   ipaclient_domain=idm.example.com
   ipaclient_configure_dns_resolver=true
   ipaclient_dns_servers=192.168.100.1

   注意

   ipaclient_dns_servers 列表必须仅包含 IP 地址。主机名不允许。

5. 从 RHEL 8.9 开始，您还可以指定 ipaclient_subid: true 选项，以便为 IdM 级别上的 IdM 用户配置 subid 范围。

流程

1. 指定主机的完全限定主机名(FQDN)，使其成为 IdM 客户端。完全限定域名必须是有效的 DNS 名称：

   • 仅允许数字、字母字符和连字符(-)。例如，不允许使用下划线，这可能导致 DNS 失败。
   • 主机名必须都是小写。不允许使用大写字母。

2. 在 inventory/hosts 文件的相关部分中指定其他选项：

   • [ipaservers] 部分中服务器的 FQDN，用于指示客户端将注册到哪个 IdM 服务器

   • 以下两个选项之一：

     • [ipaclients:vars] 部分中的 ipaclient_domain 选项，用来指示客户端将注册到的 IdM 服务器的 DNS 域名

     • [ipaclients:vars] 部分中的 ipaclient_realm 选项，用于指示 IdM 服务器控制的 Kerberos 域的名称

       带有客户端 FQDN、服务器 FQDN 和定义的域的清单主机文件示例

       [ipaclients]
       client.idm.example.com
       
       [ipaservers]
       server.idm.example.com
       
       [ipaclients:vars]
       ipaclient_domain=idm.example.com
       [...]

3. 指定注册客户端的凭证。可用的验证方法如下：

   • 注册 客户端的用户权限的密码。这是默认选项。

     • 红帽建议使用 Ansible Vault 来存储密码，并从 playbook 文件引用 Vault 文件，如 install-client.yml ：

       使用来自清单文件和 Ansible Vault 文件中的密码的主体的 playbook 文件示例

       - name: Playbook to configure IPA clients with username/password
         hosts: ipaclients
         become: true
         vars_files:
         - playbook_sensitive_data.yml
       
         roles:
         - role: ipaclient
           state: present

   • 不太安全的是，使用 inventory/hosts 文件的 [ipaclients:vars] 部分中的 ipaadmin_password 选项提供 admin 的凭证。或者，指定不同的授权用户，请使用 ipaadmin_principal 选项作为用户名，使用 ipaadmin_password 选项作为密码。install-client.yml playbook 文件类似如下：

     清单主机文件示例

     [...]
     [ipaclients:vars]
     ipaadmin_principal=my_admin
     ipaadmin_password=Secret123

     使用清单文件中的主体和密码的 Playbook 示例

     - name: Playbook to unconfigure IPA clients
       hosts: ipaclients
       become: true
     
       roles:
       - role: ipaclient
         state: true

   • 之前注册的客户端 keytab，如果仍然可用：

     如果系统之前作为身份管理客户端注册，则可以使用这个选项。要使用此身份验证方法，请取消 ipaclient_keytab 选项的注释，指定存储 keytab 的文件的路径，例如在 inventory/hosts 的 [ipaclient:vars] 部分。

   • 在注册过程中生成的随机一次性密码 (OTP)。要使用此身份验证方法，请在清单文件中使用 ipaclient_use_otp=true 选项。例如，您可以取消 inventory/hosts 文件的 [ipaclients:vars] 部分中的 #ipaclient_use_otp=true 选项的注释。请注意，对于 OTP，还必须指定以下选项之一：

     • 授权注册客户端的用户的密码 ，例如，为 inventory/hosts 文件的 [ipaclients:vars] 部分的 ipaadmin_password 提供值。
     • admin keytab，例如，为 inventory/hosts 的 [ipaclients:vars] 部分中的 ipaadmin_keytab 提供值。
4. 从 RHEL 8.9 开始，您还可以指定 ipaclient_subid: true 选项，以便为 IdM 级别上的 IdM 用户配置 subid 范围。

流程

1. 以具有 Host Enrollment 权限和添加 DNS 记录权限的 IdM 用户身份 SSH 到 IdM 主机：

   $ ssh admin@server.idm.example.com

2. 为新客户端生成 OTP：

   [admin@server ~]$ ipa host-add client.idm.example.com --ip-address=172.25.250.11 --random
    --------------------------------------------------
    Added host "client.idm.example.com"
    --------------------------------------------------
     Host name: client.idm.example.com
     Random password: W5YpARl=7M.n
     Password: True
     Keytab: False
     Managed by: server.idm.example.com

   --ip-address= <your_host_ip_address > 选项将主机添加到带有指定 IP 地址的 IdM DNS 中。

3. 退出 IdM 主机：

   $ exit
   logout
   Connection to server.idm.example.com closed.

4. 在 ansible 控制器上，更新清单文件使其包含随机密码：

   [...]
   [ipaclients]
   client.idm.example.com
   
   [ipaclients:vars]
   ipaclient_domain=idm.example.com
   ipaclient_otp=W5YpARl=7M.n
   [...]

5. 如果您的 ansible 控制器正在运行 RHEL 8.7 或更早版本，请安装 krb5-workstation 软件包提供的 kinit 工具：

   $ sudo dnf install krb5-workstation

6. 运行 playbook 来安装客户端：

   $ ansible-playbook -i inventory install-client.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks

2. 使用以下内容创建 ~/MyPlaybooks/ansible.cfg 文件：

   [defaults]
   inventory = /home/your_username/MyPlaybooks/inventory
   remote_user = admin

3. 使用以下内容创建 ~/MyPlaybooks/inventory 文件：

   [eu]
   server.idm.example.com
   
   [us]
   replica.idm.example.com
   
   [ipaserver:children]
   eu
   us

   此配置定义了两个主机组，即eu 和 us，用于这些位置中的主机。此外，此配置定义了 ipaserver 主机组，它包含来自 eu 和 us 的所有主机。

4. 可选：创建一个 SSH 公钥和私钥。要在测试环境中简化访问，请不要在私钥中设置密码：

   $ ssh-keygen

5. 将 SSH 公钥复制到每个受管节点上的 IdM admin 帐户：

   $ ssh-copy-id admin@server.idm.example.com
   $ ssh-copy-id admin@replica.idm.example.com

   这些命令要求您输入 IdM admin 密码。

6. 创建一个包含 vault 密码的 password_file 文件：

   redhat

7. 更改权限以修改文件：

   $ chmod 0600 password_file

8. 创建一个 secret.yml Ansible vault 来存储 IdM admin 密码：

   1. 配置 password_file 以存储 vault 密码：

      $ ansible-vault create --vault-password-file=password_file secret.yml

   2. 出现提示时，输入 secret.yml 文件的内容：

      ipaadmin_password: Secret123

流程

1. 打开 /usr/share/doc/ansible-freeipa/playbooks/config/retrieve-config.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to handle global IdM configuration
     hosts: ipaserver
     become: no
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Query IPA global configuration
       ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
       register: serverconfig
   
     - debug:
         msg: "{{ serverconfig }}"

2. 通过更改以下内容来调整文件：

   • IdM 管理员的密码。
   • 其他值（如有必要）。
3. 保存该文件。

4. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/config/retrieve-config.yml
   [...]
   TASK [debug]
   ok: [server.idm.example.com] => {
       "msg": {
           "ansible_facts": {
               "discovered_interpreter_
           },
           "changed": false,
           "config": {
               "ca_renewal_master_server": "server.idm.example.com",
               "configstring": [
                   "AllowNThash",
                   "KDC:Disable Last Success"
               ],
               "defaultgroup": "ipausers",
               "defaultshell": "/bin/bash",
               "emaildomain": "idm.example.com",
               "enable_migration": false,
               "groupsearch": [
                   "cn",
                   "description"
               ],
               "homedirectory": "/home",
               "maxhostname": "64",
               "maxusername": "64",
               "pac_type": [
                   "MS-PAC",
                   "nfs:NONE"
               ],
               "pwdexpnotify": "4",
               "searchrecordslimit": "100",
               "searchtimelimit": "2",
               "selinuxusermapdefault": "unconfined_u:s0-s0:c0.c1023",
               "selinuxusermaporder": [
                   "guest_u:s0$xguest_u:s0$user_
               ],
               "usersearch": [
                   "uid",
                   "givenname",
                   "sn",
                   "telephonenumber",
                   "ou",
                   "title"
               ]
           },
           "failed": false
       }
   }

流程

1. 可选：识别当前 IdM CA 续订服务器：

   $ ipa config-show | grep 'CA renewal'
     IPA CA renewal master: server.idm.example.com

2. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

3. 打开 /usr/share/doc/ansible-freeipa/playbooks/config/set-ca-renewal-master-server.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to handle global DNS configuration
     hosts: ipaserver
     become: no
     gather_facts: no
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: set ca_renewal_master_server
       ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
         ca_renewal_master_server: carenewal.idm.example.com

4. 通过更改调整文件：

   • ipaadmin_password 变量设置的 IdM 管理员密码。
   • ca_renewal_master_server 变量所设置的 CA 续订服务器的名称。
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/config/set-ca-renewal-master-server.yml

1. 以 IdM 管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 请求 IdM CA 续订服务器的身份：

   $ ipa config-show | grep ‘CA renewal’
   IPA CA renewal master:  carenewal.idm.example.com

   输出显示 watchnewal.idm.example.com 服务器是新的 CA 续订服务器。

流程

1. 可选： 使用 retrieve-config.yml Ansible playbook 来识别 IdM 用户的当前 shell。详情请参阅 使用 Ansible playbook 检索 IdM 配置。

2. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

3. 打开 /usr/share/doc/ansible-freeipa/playbooks/config/ensure-config-options-are-set.yml Ansible playbook 文件进行编辑：

   ---
   - name: Playbook to ensure some config options are set
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     # Set defaultlogin and maxusername
     - ipaconfig:
         ipaadmin_password: "{{ ipaadmin_password }}"
         defaultshell: /bin/bash
         maxusername: 64

4. 通过更改以下内容来调整文件：

   • ipaadmin_password 变量设置的 IdM 管理员密码。
   • IdM 用户的默认 shell 由 /bin/sh 中的 defaultshell 设置。
5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/config/ensure-config-options-are-set.yml

1. 以 IdM 管理员身份登录到 ipaserver ：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示当前的 shell：

   [admin@server /]$ echo "$SHELL"
   /bin/sh

   登录用户正在使用 sh shell。

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建一个 netbios-domain-name-present.yml Ansible playbook 文件。

3. 在文件中添加以下内容：

   ---
   - name: Playbook to change IdM domain netbios name
     hosts: ipaserver
     become: no
     gather_facts: no
   
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
       - name: Set IdM domain netbios name
         ipaconfig:
           ipaadmin_password: "{{ ipaadmin_password }}"
           netbios_name: IPADOM

4. 保存该文件。

5. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory netbios-domain-name-present.yml

   出现提示时，提供 vault 文件密码。

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建一个 sids-for-users-and-groups-present.yml Ansible playbook 文件。

3. 在文件中添加以下内容：

   ---
   - name: Playbook to ensure SIDs are enabled and users and groups have SIDs
     hosts: ipaserver
     become: no
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
       - name: Enable SID and generate users and groups SIDS
         ipaconfig:
           ipaadmin_password: "{{ ipaadmin_password }}"
           enable_sid: true
           add_sids: true

   enable_sid 变量为将来的 IdM 用户和组启用 SID 生成。add_sids 变量为现有的 IdM 用户和组生成 SID。

   注意

   使用 add_sids: true 时，您还必须将 enable_sid 变量设置为 true。

4. 保存该文件。

5. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory sids-for-users-and-groups-present.yml

   出现提示时，提供 vault 文件密码。

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建一个 Ansible playbook 文件，其中包含您要确保的 IdM 中存在的用户数据。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/add-user.yml 文件中的示例。例如，创建名为 idm_user 的用户并添加 Password123 作为用户密码：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create user idm_user
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: idm_user
         first: Alice
         last: Acme
         uid: 1000111
         gid: 10011
         phone: "+555123457"
         email: idm_user@acme.com
         passwordexpiration: "2023-01-19 23:59:59"
         password: "Password123"
         update_password: on_create

   您必须使用以下选项来添加用户：

   • name：登录名称
   • first：名（字符串）
   • last：姓（字符串）

   有关可用用户选项的完整列表，请参阅 /usr/share/doc/ansible-freeipa/README-user.md Markdown 文件。

   注意

   如果您使用 update_password: on_create 选项，Ansible 仅在创建用户时创建用户密码。如果已使用密码创建了用户，Ansible 不会生成新的密码。

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-IdM-user.yml

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建一个 Ansible playbook 文件，其中包含您要在 IdM 中确保存在的用户的数据。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create user idm_users
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users:
         - name: idm_user_1
           first: Alice
           last: Acme
           uid: 10001
           gid: 10011
           phone: "+555123457"
           email: idm_user@acme.com
           passwordexpiration: "2023-01-19 23:59:59"
           password: "Password123"
         - name: idm_user_2
           first: Bob
           last: Acme
           uid: 100011
           gid: 10011
         - name: idm_user_3
           first: Eve
           last: Acme
           uid: 1000111
           gid: 10011

   注意

   如果没有指定 update_password: on_create 选项，Ansible 每次运行 playbook 时都会重新设置用户密码：如果用户自上次运行 playbook 起更改了密码，则 Ansible 重新设置密码。

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-users.yml

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建包含必要任务的 Ansible playbook 文件。使用您要确保存在的用户数据引用 JSON 文件。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/README-user.md 文件中的示例：

   ---
   - name: Ensure users' presence
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Include users_present.json
       include_vars:
         file: users_present.json
   
     - name: Users present
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users: "{{ users }}"

3. 创建 users.json 文件，并将 IdM 用户添加到其中。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/README-user.md 文件中的示例。例如，要创建用户 idm_user_1、idm_user_2 和 idm_user_3，并添加 Password123 作为密码 idm_user_1 ：

   {
     "users": [
      {
       "name": "idm_user_1",
       "first": "First 1",
       "last": "Last 1",
       "password": "Password123"
      },
      {
       "name": "idm_user_2",
       "first": "First 2",
       "last": "Last 2"
      },
      {
       "name": "idm_user_3",
       "first": "First 3",
       "last": "Last 3"
      }
     ]
   }

4. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-users-present-jsonfile.yml

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 创建 Ansible playbook 文件，使其包含没有 IdM 的用户。要简化此步骤，您可以复制并修改 /usr/share/doc/ansible-freeipa/playbooks/user/ensure-users-present.yml 文件中的示例。例如，要删除用户 idm_user_1、idm_user_2 和 idm_user_3 ：

   ---
   - name: Playbook to handle users
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Delete users idm_user_1, idm_user_2, idm_user_3
       ipauser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         users:
         - name: idm_user_1
         - name: idm_user_2
         - name: idm_user_3
         state: absent

3. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/delete-users.yml

1. 以管理员身份登录到 ipaserver：

   $ ssh administrator@server.idm.example.com
   Password:
   [admin@server /]$

2. 请求有关 idm_user_1 的信息：

   $ ipa user-show idm_user_1
   ipa: ERROR: idm_user_1: user not found

   IdM 中不存在名为 idm_user_1 的用户。

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的用户和组信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle groups
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Create group ops with gid 1234
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: ops
         gidnumber: 1234
   
     - name: Create group sysops
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: sysops
         user:
         - idm_user
   
     - name: Create group appops
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: appops
   
     - name: Add group members sysops and appops to group ops
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: ops
         group:
         - sysops
         - appops

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-group-members.yml

1. 以管理员身份登录到 ipaserver：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示关于 ops 的信息：

   ipaserver]$ ipa group-show ops
     Group name: ops
     GID: 1234
     Member groups: sysops, appops
     Indirect Member users: idm_user

   IdM 中已存在 appops 和 sysops 组，后者包括 idm_user 用户。

流程

1. 使用以下内容创建 Ansible playbook 文件 add-nonposix-and-external-groups.yml ：

   ---
   - name: Playbook to add nonposix and external groups
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
   
     tasks:
     - name: Add nonposix group sysops and external group appops
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         groups:
         - name: sysops
           nonposix: true
         - name: appops
           external: true

2. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i <path_to_inventory_directory>/hosts <path_to_playbooks_directory>/add-nonposix-and-external-groups.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 使用以下内容创建 add-useridoverride-to-group.yml playbook：

   ---
   - name: Playbook to ensure presence of users in a group
     hosts: ipaserver
   
   
     - name: Ensure the ad_user@ad.example.com user ID override is a member of the admins group:
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: admins
         idoverrideuser:
         - ad_user@ad.example.com

   在示例中：

   • Secret123 是 IdM admin 密码。
   • admins 是您要添加 ad_user@ad.example.com ID 覆盖的 IdM POSIX 组的名称。此组中的成员具有全部的管理员特权。
   • ad_user@ad.example.com 是 AD 管理员的用户 ID 覆盖。用户存储在已建立信任的 AD 域中。
3. 保存该文件。

4. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory add-useridoverride-to-group.yml

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的用户和组成员管理信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle membership management
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure user test is present for group_a
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: group_a
         membermanager_user: test
   
     - name: Ensure group_admins is present for group_a
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: group_a
         membermanager_group: group_admins

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/add-member-managers-user-groups.yml

1. 以管理员身份登录到 ipaserver：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示 managergroup1 的信息：

   ipaserver]$ ipa group-show group_a
     Group name: group_a
     GID: 1133400009
     Membership managed by groups: group_admins
     Membership managed by users: test

流程

1. 创建一个清单文件，如 inventory.file，并在该文件中定义 ipaserver ：

   [ipaserver]
   server.idm.example.com

2. 使用必要的用户和组成员管理信息创建一个 Ansible playbook 文件：

   ---
   - name: Playbook to handle membership management
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure member manager user and group members are absent for group_a
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: group_a
         membermanager_user: test
         membermanager_group: group_admins
         action: member
         state: absent

3. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file path_to_playbooks_directory/ensure-member-managers-are-absent.yml

1. 以管理员身份登录到 ipaserver：

   $ ssh admin@server.idm.example.com
   Password:
   [admin@server /]$

2. 显示 group_a 的信息：

   ipaserver]$ ipa group-show group_a
     Group name: group_a
     GID: 1133400009

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/automember/ 目录中的 automember-group-present.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-group-present.yml automember-group-present-copy.yml

3. 打开 automember-group-present-copy.yml 文件进行编辑。

4. 通过在 ipaautomember 任务部分中设置以下变量来调整该文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
   • 将 name 变量设为 testing_group。
   • 将 automember_type 变量设为 group。
   • 确保 state 变量设置为 present。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember group present example
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure group automember rule admins is present
       ipaautomember:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: testing_group
         automember_type: group
         state: present

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automember-group-present-copy.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/automember/ 目录中的 automember-hostgroup-rule-present.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-hostgroup-rule-present.yml automember-hostgroup-rule-present-copy.yml

3. 打开 automember-hostgroup-rule-present-copy.yml 文件进行编辑。

4. 通过在 ipaautomember 任务部分中设置以下变量来调整该文件：

   • 将 ipaadmin_password 变量设置为 IdM admin 的密码。
   • 将 name 变量设为 primary_dns_domain_hosts。
   • 将 automember_type 变量设为 hostgroup。
   • 确保 state 变量设置为 present。
   • 确保 action 变量设为 member。
   • 确保 inclusive key 变量设为 fqdn。
   • 将对应的 inclusive expression 变量设为 .*.idm.example.com。
   • 将 exclusive key 变量设为 fqdn。
   • 将对应的 exclusive expression 变量设为 .*.example.org。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automember user group rule member present
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure an automember condition for a user group is present
       ipaautomember:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: primary_dns_domain_hosts
         automember_type: hostgroup
         state: present
         action: member
         inclusive:
           - key: fqdn
             expression: .*.idm.example.com
         exclusive:
           - key: fqdn
             expression: .*.example.org

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automember-hostgroup-rule-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/selfservice/ 目录中的 selfservice-present.yml 文件副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-present.yml selfservice-present-copy.yml

3. 打开 selfservice-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为新自助服务规则的名称。
   • 将 permission 变量设置为以逗号分隔的权限列表，以授予：read 和 write。
   • 将 attribute 变量设置为用户可以自己管理的属性列表：givenname、displayname、title 和 initials。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service present
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is present
       ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         permission: read, write
         attribute:
         - givenname
         - displayname
         - title
         - initials

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/selfservice/ 目录中的 selfservice-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-absent.yml selfservice-absent-copy.yml

3. 打开 selfservice-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为自助服务规则的名称。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service absent
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure self-service rule "Users can manage their own name details" is absent
       ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         state: absent

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-absent-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/selfservice/ 目录中的 selfservice-member-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-member-present.yml selfservice-member-present-copy.yml

3. 打开 selfservice-member-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为要修改的自助服务规则的名称。
   • 将 attribute 变量设置为 surname。
   • 将 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service member present
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attribute surname is present
       ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         attribute:
         - surname
         action: member

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-member-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/selfservice/ 目录中的 selfservice-member-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/selfservice/selfservice-member-absent.yml selfservice-member-absent-copy.yml

3. 打开 selfservice-member-absent-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipaselfservice 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要修改的自助服务规则的名称。
   • 将 attribute 变量设置为 givenname 和 top name。
   • 将 action 变量设置为 member。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Self-service member absent
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure selfservice "Users can manage their own name details" member attributes givenname and surname are absent
       ipaselfservice:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "Users can manage their own name details"
         attribute:
         - givenname
         - surname
         action: member
         state: absent

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory selfservice-member-absent-copy.yml

流程

1. 在主目录中为您的 Ansible 配置和 playbook 创建目录：

   $ mkdir ~/MyPlaybooks/

2. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks

3. 使用以下内容创建 ~/MyPlaybooks/ansible.cfg 文件：

   [defaults]
   inventory = /home/<username>/MyPlaybooks/inventory
   
   [privilege_escalation]
   become=True

4. 使用以下内容创建 ~/MyPlaybooks/inventory 文件：

   [eu]
   server.idm.example.com
   
   [us]
   replica.idm.example.com
   
   [ipaserver:children]
   eu
   us

   此配置定义了两个主机组，即eu 和 us，用于这些位置中的主机。此外，此配置定义了 ipaserver 主机组，它包含来自 eu 和 us 组的所有主机。

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible-freeipa/playbooks/delegation/ 目录中的 delegation-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-present.yml delegation-present-copy.yml

3. 打开 delegation-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipadelegation 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为新委派规则的名称。
   • 将 permission 变量设置为以逗号分隔的权限列表，以授予：read 和 write。
   • 将 attribute 变量设置为委派的用户组可以管理的属性列表：businesscategory、departmentnumber、employeenumber 和 employeetype。
   • 将 group 变量设置为被授予查看或修改属性访问权限的组名称。
   • 将 membergroup 变量设置为组的名称，其属性可以查看或修改。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage a delegation rule
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure delegation "basic manager attributes" is present
       ipadelegation:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "basic manager attributes"
         permission: read, write
         attribute:
         - businesscategory
         - departmentnumber
         - employeenumber
         - employeetype
         group: managers
         membergroup: employees

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory delegation-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks>/

2. 制作位于 /usr/share/doc/ansible-freeipa/playbooks/delegation/ 目录中的 delegation-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-present.yml delegation-absent-copy.yml

3. 打开 delegation-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipadelegation 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为委派规则的名称。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Delegation absent
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure delegation "basic manager attributes" is absent
       ipadelegation:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "basic manager attributes"
         state: absent

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory delegation-absent-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible-freeipa/playbooks/delegation/ 目录中的 delegation-member-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-member-present.yml delegation-member-present-copy.yml

3. 打开 delegation-member-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipadelegation 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为要修改的委派规则的名称。
   • 将 attribute 变量设置为 departmentnumber。
   • 将 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Delegation member present
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure delegation "basic manager attributes" member attribute departmentnumber is present
       ipadelegation:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "basic manager attributes"
         attribute:
         - departmentnumber
         action: member

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory delegation-member-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible-freeipa/playbooks/delegation/ 目录中的 delegation-member-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/delegation/delegation-member-absent.yml delegation-member-absent-copy.yml

3. 打开 delegation-member-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipadelegation 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为要修改的委派规则的名称。
   • 将 attribute 变量设置为 employeenumber 和 employeetype。
   • 将 action 变量设置为 member。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Delegation member absent
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure delegation "basic manager attributes" member attributes employeenumber and employeetype are absent
       ipadelegation:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: "basic manager attributes"
         attribute:
         - employeenumber
         - employeetype
         action: member
         state: absent

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/MyPlaybooks/inventory delegation-member-absent-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/role/ 目录的 role-member-user-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-member-user-present.yml role-member-user-present-copy.yml

3. 打开 role-member-user-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为新角色的名称。
   • 将 privilege 列表设置为您要包含在新角色中的 IdM 权限的名称。
   • （可选）将 user 变量设置为您要授予新角色的用户名称。
   • （可选）将 group 变量设置为要授予新角色的组的名称。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: true
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - iparole:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: user_and_host_administrator
         user: idm_user01
         group: idm_group01
         privilege:
         - Group Administrators
         - User Administrators
         - Stage User Administrators
         - Group Administrators

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/<MyPlaybooks>/inventory role-member-user-present-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/role/ 目录的 role-is-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-is-absent.yml role-is-absent-copy.yml

3. 打开 role-is-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为角色的名称。
   • 确保 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: true
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - iparole:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: user_and_host_administrator
         state: absent

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/<MyPlaybooks>/inventory role-is-absent-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/role/ 目录的 role-member-group-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-member-group-present.yml role-member-group-present-copy.yml

3. 打开 role-member-group-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要分配的角色的名称。
   • 将 group 变量设置为组的名称。
   • 将 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: true
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - iparole:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: helpdesk
         group: junior_sysadmins
         action: member

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/<MyPlaybooks>/inventory role-member-group-present-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/role/ 目录的 role-member-user-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-member-user-absent.yml role-member-user-absent-copy.yml

3. 打开 role-member-user-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要分配的角色的名称。
   • 将 user 列表设置为用户的名称。
   • 将 action 变量设置为 member。
   • 将 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: true
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - iparole:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: helpdesk
         user
         - user_01
         - user_02
         action: member
         state: absent

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/<MyPlaybooks>/inventory role-member-user-absent-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/role/ 目录的 role-member-service-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-member-service-present-absent.yml role-member-service-present-copy.yml

3. 打开 role-member-service-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要分配的角色的名称。
   • 将 service 列表设置为服务的名称。
   • 将 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: true
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - iparole:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: web_administrator
         service:
         - HTTP/client01.idm.example.com
         action: member

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/<MyPlaybooks>/inventory role-member-service-present-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/role/ 目录的 role-member-host-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-member-host-present.yml role-member-host-present-copy.yml

3. 打开 role-member-host-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要分配的角色的名称。
   • 将 host 列表设置为主机的名称。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: true
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - iparole:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: web_administrator
         host:
         - client01.idm.example.com
         action: member

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/<MyPlaybooks>/inventory role-member-host-present-copy.yml

流程

1. 进入 ~/<MyPlaybooks>/ 目录：

   $ cd ~/<MyPlaybooks>/

2. 创建位于 /usr/share/doc/ansible-freeipa/playbooks/role/ 目录的 role-member-hostgroup-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/role/role-member-hostgroup-present.yml role-member-hostgroup-present-copy.yml

3. 打开 role-member-hostgroup-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 iparole 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要分配的角色的名称。
   • 将 hostgroup 列表设置为 hostgroup 的名称。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to manage IPA role with members.
     hosts: ipaserver
     become: true
     gather_facts: no
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - iparole:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: web_administrator
         hostgroup:
         - web_servers
         action: member

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i ~/<MyPlaybooks>/inventory role-member-hostgroup-present-copy.yml

1. 创建没有附加权限的特权。
2. 将您选择的权限添加到特权。

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 生成位于 /usr/share/doc/ansible-freeipa/playbooks/privilege/ 目录中的 privilege-present.yml 文件副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/privilege/privilege-present.yml privilege-present-copy.yml

3. 打开 privilege-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaprivilege 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为新特权 full_host_administration 的名称。
   • （可选）利用 description 变量描述特权。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Privilege present example
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure privilege full_host_administration is present
       ipaprivilege:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: full_host_administration
         description: This privilege combines all IdM permissions related to host administration

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory privilege-present-copy.yml

1. 创建没有附加权限的特权。
2. 将您选择的权限添加到特权。

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 生成位于 /usr/share/doc/ansible-freeipa/playbooks/privilege/ 目录中的 privilege-member-present.yml 文件副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/privilege/privilege-member-present.yml privilege-member-present-copy.yml

3. 打开 privilege-member-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaprivilege 任务部分设置以下变量来调整文件：

   • 调整任务的 name，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为特权的名称。
   • 将 permission 列表设置为您要包含在权限中的权限名称。
   • 确保 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Privilege member present example
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure that permissions are present for the "full_host_administration" privilege
       ipaprivilege:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: full_host_administration
         permission:
         - "System: Add krbPrincipalName to a Host"
         - "System: Enroll a Host"
         - "System: Manage Host Certificates"
         - "System: Manage Host Enrollment Password"
         - "System: Manage Host Keytab"
         - "System: Manage Host Principals"
         - "Retrieve Certificates from the CA"
         - "Revoke Certificate"
         - "System: Add Hosts"
         - "System: Add krbPrincipalName to a Host"
         - "System: Enroll a Host"
         - "System: Manage Host Certificates"
         - "System: Manage Host Enrollment Password"
         - "System: Manage Host Keytab"
         - "System: Manage Host Keytab Permissions"
         - "System: Manage Host Principals"
         - "System: Manage Host SSH Public Keys"
         - "System: Manage Service Keytab"
         - "System: Manage Service Keytab Permissions"
         - "System: Modify Hosts"
         - "System: Remove Hosts"
         - "System: Add Hostgroups"
         - "System: Modify Hostgroup Membership"
         - "System: Modify Hostgroups"
         - "System: Remove Hostgroups"

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory privilege-member-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 生成位于 /usr/share/doc/ansible-freeipa/playbooks/privilege/ 目录中的 privilege-member-present.yml 文件副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/privilege/privilege-member-absent.yml privilege-member-absent-copy.yml

3. 打开 privilege-member-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaprivilege 任务部分设置以下变量来调整文件：

   • 调整任务的 name，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为特权的名称。
   • 将 permission 列表设置为您要从特权中删除的权限名称。
   • 确保 action 变量设置为 member。
   • 确保 state 变量设置为 absent。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Privilege absent example
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure that the "Request Certificate ignoring CA ACLs" permission is absent from the "Certificate Administrators" privilege
       ipaprivilege:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: Certificate Administrators
         permission:
         - "Request Certificate ignoring CA ACLs"
         action: member
         state: absent

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory privilege-member-absent-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 生成位于 /usr/share/doc/ansible-freeipa/playbooks/privilege/ 目录中的 privilege-present.yml 文件副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/privilege/privilege-present.yml rename-privilege.yml

3. 打开 rename-privilege.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaprivilege 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为特权的当前名称。
   • 添加 rename 变量，并将它设置为特权的新名称。
   • 添加 state 变量，并将它设置为 重命名。

5. 重新命名 playbook 本身，例如：

   ---
   - name: Rename a privilege
     hosts: ipaserver

6. 在 playbook 中重命名任务，例如：

   [...]
   tasks:
   - name: Ensure the full_host_administration privilege is renamed to limited_host_administration
     ipaprivilege:
     [...]

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Rename a privilege
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure the full_host_administration privilege is renamed to limited_host_administration
       ipaprivilege:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: full_host_administration
         rename: limited_host_administration
         state: renamed

7. 保存该文件。

8. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory rename-privilege.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 生成位于 /usr/share/doc/ansible-freeipa/playbooks/privilege/ 目录中的 privilege-absent.yml 文件副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/privilege/privilege-absent.yml privilege-absent-copy.yml

3. 打开 privilege-absent-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipaprivilege 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为您要删除的特权的名称。
   • 确保 state 变量设置为 absent。

5. 在 playbook 中重命名任务，例如：

   [...]
   tasks:
   - name: Ensure privilege "CA administrator" is absent
     ipaprivilege:
     [...]

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Privilege absent example
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure privilege "CA administrator" is absent
       ipaprivilege:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: CA administrator
         state: absent

6. 保存该文件。

7. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory privilege-absent-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible-freeipa/playbooks/permission/ 目录中的 permission-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/permission/permission-present.yml permission-present-copy.yml

3. 打开 permission-present-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipapermission 任务部分中设置以下变量来调整文件：

   • 调整任务的 name，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为权限的名称。
   • 将 object_type 变量设置为 host。
   • 将 right 变量设置为 all。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Permission present example
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure that the "MyPermission" permission is present
       ipapermission:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: MyPermission
         object_type: host
         right: all

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory permission-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible-freeipa/playbooks/permission/ 目录中的 permission-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/permission/permission-present.yml permission-present-with-attribute.yml

3. 打开 permission-present-with-attribute.yml Ansible playbook 文件进行编辑。

4. 通过在 ipapermission 任务部分中设置以下变量来调整文件：

   • 调整任务的 name，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为权限的名称。
   • 将 object_type 变量设置为 host。
   • 将 right 变量设置为 all。
   • 将 attrs 变量设置为 description。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Permission present example
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure that the "MyPermission" permission is present with an attribute
       ipapermission:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: MyPermission
         object_type: host
         right: all
         attrs: description

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory permission-present-with-attribute.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible-freeipa/playbooks/permission/ 目录中的 permission-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/permission/permission-absent.yml permission-absent-copy.yml

3. 打开 permission-absent-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipapermission 任务部分中设置以下变量来调整文件：

   • 调整任务的 name，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为权限的名称。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Permission absent example
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure that the "MyPermission" permission is absent
       ipapermission:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: MyPermission
         state: absent

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory permission-absent-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible-freeipa/playbooks/permission/ 目录中的 permission-member-present.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/permission/permission-member-present.yml permission-member-present-copy.yml

3. 打开 permission-member-present-copy.yml Ansible playbook 文件以进行编辑。

4. 通过在 ipapermission 任务部分中设置以下变量来调整文件：

   • 调整任务的 name，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为权限的名称。
   • 将 attrs 列表设置为 description 和 gecos 变量。
   • 确保 action 变量设置为 member。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Permission member present example
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure that the "gecos" and "description" attributes are present in "MyPermission"
       ipapermission:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: MyPermission
         attrs:
         - description
         - gecos
         action: member

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory permission-member-present-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible-freeipa/playbooks/permission/ 目录中的 permission-member-absent.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/permission/permission-member-absent.yml permission-member-absent-copy.yml

3. 打开 permission-member-absent-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipapermission 任务部分中设置以下变量来调整文件：

   • 调整任务的 name，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为权限的名称。
   • 将 attrs 变量设置为 description。
   • 将 action 变量设置为 member。
   • 确保 state 变量设置为 absent

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Permission absent example
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure that an attribute is not a member of "MyPermission"
       ipapermission:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: MyPermission
         attrs: description
         action: member
         state: absent

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory permission-member-absent-copy.yml

流程

1. 进入 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 制作位于 /usr/share/doc/ansible-freeipa/playbooks/permission/ 目录中的 permission-renamed.yml 文件的副本：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/permission/permission-renamed.yml permission-renamed-copy.yml

3. 打开 permission-renamed-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipapermission 任务部分中设置以下变量来调整文件：

   • 调整任务的 name，使其与您的用例对应。
   • 将 ipaadmin_password 变量设置为 IdM 管理员的密码。
   • 将 name 变量设置为权限的名称。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Permission present example
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Rename the "MyPermission" permission
       ipapermission:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: MyPermission
         rename: MyNewPermission
         state: renamed

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory permission-renamed-copy.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制 ansible-freeipa 软件包提供的 add-topologysegment.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/topology/add-topologysegment.yml add-topologysegment-copy.yml

3. 打开 add-topologysegment-copy.yml 文件进行编辑。

4. 通过在 ipatopologysegment 任务部分设置以下变量来调整文件：

   • 指明 ipaadmin_password 变量的值在 secret.yml Ansible vault 文件中定义。
   • 根据您要添加的分段类型，将 suffix 变量设置为 domain 或 ca。
   • 将 left 变量设置为您要作为复制协议左侧节点的 IdM 服务器的名称。
   • 将 right 变量设置为您要作为复制协议正确节点的 IdM 服务器的名称。
   • 确保 state 变量设置为 present。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to handle topologysegment
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
   - name: Add topology segment
       ipatopologysegment:
         ipaadmin_password: "{{ ipaadmin_password }}"
         suffix: domain
         left: server.idm.example.com
         right: replica.idm.example.com
         state: present

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory add-topologysegment-copy.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制 ansible-freeipa 软件包提供的 add-topologysegments.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/topology/add-topologysegments.yml add-topologysegments-copy.yml

3. 打开 add-topologysegments-copy.yml 文件进行编辑。

4. 通过在 vars 部分中设置以下变量来调整文件：

   • 指明 ipaadmin_password 变量的值在 secret.yml Ansible vault 文件中定义。

   • 对于每个拓扑片段，在 ipatopology_segments 部分添加一个行并设置以下变量：

     • 根据您要添加的分段类型，将 suffix 变量设置为 domain 或 ca。
     • 将 left 变量设置为您要作为复制协议左侧节点的 IdM 服务器的名称。
     • 将 right 变量设置为您要作为复制协议正确节点的 IdM 服务器的名称。

5. 在 add-topologysegments-copy.yml 文件的 tasks 部分中，确保 state 变量设置为 present。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Add topology segments
     hosts: ipaserver
     gather_facts: false
   
     vars:
       ipaadmin_password: "{{ ipaadmin_password }}"
       ipatopology_segments:
       - {suffix: domain, left: replica1.idm.example.com , right: replica2.idm.example.com }
       - {suffix: domain, left: replica2.idm.example.com , right: replica3.idm.example.com }
       - {suffix: domain, left: replica3.idm.example.com , right: replica4.idm.example.com }
       - {suffix: domain+ca, left: replica4.idm.example.com , right: replica1.idm.example.com }
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Add topology segment
       ipatopologysegment:
         ipaadmin_password: "{{ ipaadmin_password }}"
         suffix: "{{ item.suffix }}"
         name: "{{ item.name | default(omit) }}"
         left: "{{ item.left }}"
         right: "{{ item.right }}"
         state: present
       loop: "{{ ipatopology_segments | default([]) }}"

6. 保存该文件。

7. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory add-topologysegments-copy.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制 ansible-freeipa 软件包提供的 check-topologysegments.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/topology/check-topologysegments.yml check-topologysegments-copy.yml

3. 打开 check-topologysegments-copy.yml 文件进行编辑。

4. 通过在 vars 部分中设置以下变量来调整文件：

   • 指明 ipaadmin_password 变量的值在 secret.yml Ansible vault 文件中定义。

   • 对于每个拓扑片段，在 ipatopology_segments 部分添加一个行并设置以下变量：

     • 根据您要添加的分段类型，将 suffix 变量设置为 domain 或 ca。
     • 将 left 变量设置为您要作为复制协议左侧节点的 IdM 服务器的名称。
     • 将 right 变量设置为您要作为复制协议正确节点的 IdM 服务器的名称。

5. 在 check-topologysegments-copy.yml 文件的 tasks 部分中，确保 state 变量设置为 present。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Add topology segments
     hosts: ipaserver
     gather_facts: false
   
     vars:
       ipaadmin_password: "{{ ipaadmin_password }}"
       ipatopology_segments:
       - {suffix: domain, left: replica1.idm.example.com, right: replica2.idm.example.com }
       - {suffix: domain, left: replica2.idm.example.com , right: replica3.idm.example.com }
       - {suffix: domain, left: replica3.idm.example.com , right: replica4.idm.example.com }
       - {suffix: domain+ca, left: replica4.idm.example.com , right: replica1.idm.example.com }
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Check topology segment
       ipatopologysegment:
         ipaadmin_password: "{{ ipaadmin_password }}"
         suffix: "{{ item.suffix }}"
         name: "{{ item.name | default(omit) }}"
         left: "{{ item.left }}"
         right: "{{ item.right }}"
         state: checked
       loop: "{{ ipatopology_segments | default([]) }}"

6. 保存该文件。

7. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory check-topologysegments-copy.yml

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制 ansible-freeipa 软件包提供的 verify-topologysuffix.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/topology/ verify-topologysuffix.yml verify-topologysuffix-copy.yml

3. 打开 verify-topologysuffix-copy.yml Ansible playbook 文件进行编辑。

4. 通过在 ipatopologysuffix 部分中设置以下变量来调整文件：

   • 指明 ipaadmin_password 变量的值在 secret.yml Ansible vault 文件中定义。
   • 将 suffix 变量设置为 domain。如果您要验证 ca 后缀是否存在，请将 变量设置为 ca。
   • 确保 state 变量设置为 verify。不允许使用其他选项。

   这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Playbook to handle topologysuffix
     hosts: ipaserver
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Verify topology suffix
       ipatopologysuffix:
         ipaadmin_password: "{{ ipaadmin_password }}"
         suffix: domain
         state: verified

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory verify-topologysuffix-copy.yml