20.6. 在 IdM Web UI 中创建一个 sudo 规则，该规则在 IdM 客户端上以服务帐户的身份运行命令

步骤

1. 将 /opt/third-party-app/bin/report 命令添加到 sudo 命令的 IdM 数据库：

   1. 导航到 Policy>Sudo>Sudo Commands。
   2. 单击右上角的 Add，以打开 Add sudo 命令对话框。
   3. 输入命令：/opt/third-party-app/bin/report。
   4. 点击 Add。

2. 使用新的 sudo 命令条目来创建新的 sudo 规则：

   1. 导航到 Policy Sudo Sudo rules。
   2. 单击右上角的 Add，以打开 Add sudo 规则对话框。
   3. 输入 sudo 规则的名称：run_third-party-app_report。
   4. 点 Add and Edit。

   5. 指定用户：

      1. 在 Who 部分中，选中指定的用户和组单选按钮。
      2. 在 User 部分中，单击 Add 以打开 Add users into sudo rule "run_third-party-app_report" 对话框。
      3. 在 Available 列中，选中 idm_user 复选框，并将它移到 Prospective 列中。
      4. 点击 Add。

   6. 指定主机：

      1. 在 Access this host 部分中，选中指定的 Hosts and Groups 单选按钮。
      2. 在 Hosts 部分中，单击 Add 以打开 Add hosts into sudo rule "run_third-party-app_report" 对话框。
      3. 在 Available 列中，选中 idmclient.idm.example.com 复选框，并将其移到 Prospective 列中。
      4. 点击 Add。

   7. 指定命令：

      1. 在 Run Commands 部分中，选中指定的命令和组 单选按钮。
      2. 在 Sudo Allow Commands 部分中，单击 Add 以打开 Add allow sudo commands into sudo rule "run_third-party-app_report" 对话框。
      3. 在 Available 列中，选中 /opt/third-party-app/bin/report 复选框，并将它移到 Prospective 列。
      4. 单击 Add 以返回到 run_third-party-app_report 页面。

   8. 指定 RunAs 用户：

      1. 在 As Whom 部分中，选中 指定的用户和组 单选按钮。
      2. 在 RunAs Users 部分中，单击 Add 以打开 Add RunAs users into sudo rule "run_third-party-app_report" 对话框。
      3. 在 External 框中输入 thirdpartyapp 服务帐户，并将它移到 Prospective 列中。
      4. 单击 Add 以返回到 run_third-party-app_report 页面。
   9. 单击左上角的 Save。

验证

1. 以 idm_user 帐户身份登录 idmclient 主机。

2. 测试新的 sudo 规则：

   1. 显示允许 idm_user 帐户执行的 sudo 规则。

      [idm_user@idmclient ~]$ sudo -l
      Matching Defaults entries for idm_user@idm.example.com on idmclient:
          !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
          env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
          env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
          env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
          env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
          env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY KRB5CCNAME",
          secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
      
      User idm_user@idm.example.com may run the following commands on idmclient:
          (thirdpartyapp) /opt/third-party-app/bin/report

      Copy to Clipboard Toggle word wrap

   2. 作为 thirdpartyapp 服务帐户，运行 report 命令。

      [idm_user@idmclient ~]$ sudo -u thirdpartyapp /opt/third-party-app/bin/report
      [sudo] password for idm_user@idm.example.com:
      Executing report...
      Report successful.

      Copy to Clipboard Toggle word wrap