第 26 章 使用 Ansible 确保 IdM 中服务的存在或不存在
使用 Ansible service
模块,管理员可以确保不是原生 IdM 的特定服务在 IdM 中存在或不存在。例如,您可以使用 service
模块来:
检查 IdM 客户端上是否存在手动安装的服务,并在没有该服务时自动安装它。详情请查看:
- 检查在 IdM 中注册的服务是否已附加证书,并在没有证书时自动安装它。详情请查看:
- 确保 IdM 服务条目中存在外部签名的证书。
允许 IdM 用户和主机检索并创建服务 keytab。详情请查看:
允许 IdM 用户和组向服务中添加 Kerberos 别名。详情请查看:
检查 IdM 客户端上是否不存在某个服务,如果存在则自动删除它。详情请查看:
26.1. 使用 Ansible playbook 确保 IdM 中存在 HTTP 服务
按照以下流程,使用 Ansible playbook 确保 HTTP 服务器在 IdM 中存在。
先决条件
- 承载 HTTP 服务的系统是一个 IdM 客户端。
- 您有 IdM 管理员密码。
流程
创建一个清单文件,如
inventory.file
:$ touch inventory.file
打开
inventory.file
,并在[ipaserver]
部分中定义您要配置的 IdM 服务器。例如,要指示 Ansible 配置 server.idm.example.com,请输入:[ipaserver] server.idm.example.com
生成
/usr/share/doc/ansible-freeipa/playbooks/service/service-is-present.yml
Ansible playbook 文件的一个副本。例如:$ cp /usr/share/doc/ansible-freeipa/playbooks/service/service-is-present.yml /usr/share/doc/ansible-freeipa/playbooks/service/service-is-present-copy.yml
打开
/usr/share/doc/ansible-freeipa/playbooks/service/service-is-present-copy.yml
Ansible playbook 文件进行编辑:--- - name: Playbook to manage IPA service. hosts: ipaserver gather_facts: false vars_files: - /home/user_name/MyPlaybooks/secret.yml tasks: # Ensure service is present - ipaservice: ipaadmin_password: "{{ ipaadmin_password }}" name: HTTP/client.idm.example.com
修改文件:
-
更改
ipaadmin_password
变量定义的 IdM 管理员密码。 -
更改在其上运行 HTTP 服务的 IdM 客户端的名称,如
ipaservice
任务的name
变量所定义的那样。
-
更改
- 保存并退出文件。
运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码,以及清单文件:
$ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/service/service-is-present-copy.yml
验证
- 以 IdM 管理员的身份登录到 IdM Web UI。
-
导航到
Identity
Services
。
如果 Services 列表中列出了 HTTP/client.idm.example.com@IDM.EXAMPLE.COM,则 Ansible playbook 已成功添加到 IdM。
其它资源
- 为了保护 HTTP 服务器和浏览器客户端之间的通信,请参阅 将 TLS 加密添加到 Apache HTTP 服务器。
- 要请求 HTTP 服务的证书,请参阅 使用 certmonger 获取服务的 IdM 证书 中描述的流程。