在身份管理中使用外部的红帽实用程序

1. IdM 客户端用户启动 OAuth 2.0 设备授权流，例如，通过在命令行中使用 kinit 工具检索 Kerberos Ticket Granting Ticket Granting Ticket (TGT)。
2. 一个特殊的代码和网站链接从授权服务器发送到 IdM 密钥分发中心(KDC)后端。
3. IdM 客户端显示用户的链接和代码。在本例中，IdM 客户端会在命令行上输出链接和代码。

4. 用户在浏览器中打开网站链接，可以在另一个主机上、移动电话等：

   1. 用户输入特殊代码。
   2. 如有必要，用户登录到基于 OAuth 2.0 的 IdP。
   3. 系统将提示用户授权客户端访问信息。
5. 用户在原始设备提示符处确认访问。在这个示例中，用户在命令行中点 Enter 键。
6. IdM KDC 后端轮询 OAuth 2.0 授权服务器以访问用户信息。

流程

1. 在 IdM 服务器中作为 IdM 管理员进行身份验证。

   [root@server ~]# kinit admin

2. 根据 Keycloak 模板，创建一个到 IdP 的名为 my-keycloak-idp 的引用，其中 --base-url 选项指定到 Keycloak 服务器的 URL，格式为 server-name.$DOMAIN:$PORT/prefix。

   [root@server ~]# ipa idp-add my-keycloak-idp \ --provider keycloak --organization main \ --base-url keycloak.idm.example.com:8443/auth \ --client-id id13778
   ------------------------------------------------
   Added Identity Provider reference "my-keycloak-idp"
   ------------------------------------------------
     Identity Provider reference name: my-keycloak-idp
     Authorization URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/auth
     Device authorization URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/auth/device
     Token URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/token
     User info URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/userinfo
     Client identifier: ipa_oidc_client
     Scope: openid email
     External IdP user identifier attribute: email

步骤

1. 在 IdM 服务器中作为 IdM 管理员进行身份验证。

   [root@server ~]# kinit admin

2. 管理 IdP 参考。

   • 查找 IdP 参考，其条目包括字符串 keycloak ：

     [root@server ~]# ipa idp-find keycloak

   • 显示名为 my-keycloak-idp 的 IdP 参考：

     [root@server ~]# ipa idp-show my-keycloak-idp

   • 要修改 IdP 参考，请使用 ipa idp-mod 命令。例如，要更改名为 my-keycloak-idp 的 IdP 参考的 secret，请指定要提示输入 secret 的 --secret 选项：

     [root@server ~]# ipa idp-mod my-keycloak-idp --secret

   • 删除名为 my-keycloak-idp 的 IdP 参考：

     [root@server ~]# ipa idp-del my-keycloak-idp

1. 在本地检索和存储匿名 Kerberos 票据。
2. 使用kinit 和 -T 选项为 idm-user-with-external-idp 用户请求 TGT，以通过 Secure Tunneling (FAST)渠道启用灵活的身份验证，来在 Kerberos 客户端和 Kerberos 分发中心(KDC)之间提供安全连接。

步骤

1. 使用 Anonymous PKINIT 获取 Kerberos 票据，并将其存储在名为 ./fast.ccache 的文件中。

   $ kinit -n -c ./fast.ccache

2. 可选：查看检索到的票据：

   $ klist -c fast.ccache
   Ticket cache: FILE:fast.ccache
   Default principal: WELLKNOWN/ANONYMOUS@WELLKNOWN:ANONYMOUS
   
   Valid starting       Expires              Service principal
   03/03/2024 13:36:37  03/04/2024 13:14:28  krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

3. 以 IdM 用户身份开始身份验证，使用 -T 选项启用 FAST 通信渠道。

   [root@client ~]# kinit -T ./fast.ccache idm-user-with-external-idp
   Authenticate at https://oauth2.idp.com:8443/auth/realms/master/device?user_code=YHMQ-XKTL and press ENTER.:

4. 在浏览器中，以命令输出中提供的网站的用户身份进行身份验证。
5. 在命令行中，按 Enter 键来完成身份验证过程。

步骤

1. 尝试通过 SSH 登录到 IdM 客户端。

   [user@client ~]$ ssh idm-user-with-external-idp@client.idm.example.com
   (idm-user-with-external-idp@client.idm.example.com) Authenticate at https://oauth2.idp.com:8443/auth/realms/main/device?user_code=XYFL-ROYR and press ENTER.

2. 在浏览器中，以命令输出中提供的网站的用户身份进行身份验证。
3. 在命令行中，按 Enter 键来完成身份验证过程。

步骤

1. 安装所需的软件包：

   [root@ipaserver ~]# dnf install ipa-server-trust-ad samba-client

2. 以 IdM 管理用户身份进行身份验证：

   [root@ipaserver ~]# kinit admin

3. 运行 ipa-adtrust-install 工具：

   [root@ipaserver ~]# ipa-adtrust-install

   如果 IdM 安装了集成的 DNS 服务器，则会自动创建 DNS 服务记录。

   如果您在没有集成 DNS 服务器的情况下安装了 IdM，ipa-adtrust-install 会打印一个服务记录列表，您必须手动将它们添加到 DNS ，然后才能继续操作。

4. 该脚本提示您 /etc/samba/smb.conf 已存在，并将被重写：

   WARNING: The smb.conf already exists. Running ipa-adtrust-install will break your existing Samba configuration.
   
   Do you wish to continue? [no]: yes

5. 该脚本提示您配置 slapi-nis 插件，这是一个兼容插件，允许旧的 Linux 客户端与受信任的用户一起工作：

   Do you want to enable support for trusted domains in Schema Compatibility plugin?
   This will allow clients older than SSSD 1.9 and non-Linux clients to work with trusted users.
   
   Enable trusted domains support in slapi-nis? [no]: yes

6. 系统会提示您运行 SID 生成任务，以便为任何现有用户创建 SID：

   Do you want to run the ipa-sidgen task? [no]: yes

   这是一个资源密集型任务，因此如果您有大量的用户，您可以在其他时间运行此操作。

7. 可选：默认情况下，对于 Windows Server 2008 及更高版本，动态 RPC 端口范围定义为 49152-65535。如果需要为您的环境定义一个不同的动态 RPC 端口范围，请将 Samba 配置为使用不同的端口，并在防火墙设置中开放这些端口。以下示例将端口范围设置为55000-65000。

   [root@ipaserver ~]# net conf setparm global 'rpc server dynamic port range' 55000-65000
   [root@ipaserver ~]# firewall-cmd --add-port=55000-65000/tcp
   [root@ipaserver ~]# firewall-cmd --runtime-to-permanent

8. 重启ipa服务：

   [root@ipaserver ~]# ipactl restart

9. 使用smbclient工具来验证 Samba 是否响应 IdM 端的 Kerberos 身份验证：

   [root@ipaserver ~]# smbclient -L ipaserver.idm.example.com -U user_name --use-kerberos=required
   lp_load_ex: changing to config backend registry
       Sharename       Type      Comment
       ---------       ----      -------
       IPC$            IPC       IPC Service (Samba 4.15.2)
   ...

流程

1. 安装ipa-client-samba软件包：

   [root@idm_client]# dnf install ipa-client-samba

2. 使用ipa-client-samba工具准备客户端并创建初始 Samba 配置：

   [root@idm_client]# ipa-client-samba
   Searching for IPA server...
   IPA server: DNS discovery
   Chosen IPA master: idm_server.idm.example.com
   SMB principal to be created: cifs/idm_client.idm.example.com@IDM.EXAMPLE.COM
   NetBIOS name to be used: IDM_CLIENT
   Discovered domains to use:
   
    Domain name: idm.example.com
   NetBIOS name: IDM
            SID: S-1-5-21-525930803-952335037-206501584
       ID range: 212000000 - 212199999
   
    Domain name: ad.example.com
   NetBIOS name: AD
            SID: None
       ID range: 1918400000 - 1918599999
   
   Continue to configure the system with these values? [no]: yes
   Samba domain member is configured. Please check configuration at /etc/samba/smb.conf and start smb and winbind services

3. 默认情况下，ipa-client-samba会自动将[homes]部分添加到/etc/samba/smb.conf文件中，该文件在用户连接时动态共享用户的主目录。如果用户在这个服务器上没有主目录，或者您不想共享主目录，请从/etc/samba/smb.conf中删除以下行：

   [homes]
       read only = no

4. 共享目录和打印机。详情请查看以下部分：

   • 设置使用 POSIX ACL 的 Samba 文件共享
   • 设置使用 Windows ACL 的共享
   • 将 Samba 设置为打印服务器

5. 在本地防火墙中打开 Samba 客户端所需的端口：

   [root@idm_client]# firewall-cmd --permanent --add-service=samba-client
   [root@idm_client]# firewall-cmd --reload

6. 启用并启动smb和winbind服务：

   [root@idm_client]# systemctl enable --now smb winbind

步骤

1. 使用主机的 keytab 进行身份验证：

   [root@idm_client]# kinit -k

2. 使用ipa idrange-find命令来显示新域的基本 ID 和 ID 范围大小。例如，以下命令显示了ad.example.com域的值：

   [root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw
   ---------------
   1 range matched
   ---------------
     cn: AD.EXAMPLE.COM_id_range
     ipabaseid: 1918400000
     ipaidrangesize: 200000
     ipabaserid: 0
     ipanttrusteddomainsid: S-1-5-21-968346183-862388825-1738313271
     iparangetype: ipa-ad-trust
   ----------------------------
   Number of entries returned 1
   ----------------------------

   在后续步骤中，您需要ipabaseid和ipaidrangesize属性的值。

3. 要计算可用最高的 ID，请使用以下公式：

   maximum_range = ipabaseid + ipaidrangesize - 1

   使用上一步中的值，ad.example.com域的最大可用 ID 是1918599999(1918400000 + 200000 - 1)。

4. 编辑/etc/samba/smb.conf文件，并将域的 ID 映射配置添加到[global]部分：

   idmap config AD : range = 1918400000 - 1918599999
   idmap config AD : backend = sss

   将ipabaseid属性的值指定为最小值，将上一步中的计算值指定为该范围的最大值。

5. 重启smb和winbind服务：

   [root@idm_client]# systemctl restart smb winbind

步骤

1. 在 IdM 服务器中启用 NIS 侦听程序和兼容性插件：

   [root@ipaserver ~]# ipa-nis-manage enable
   [root@ipaserver ~]# ipa-compat-manage enable

2. 可选： 对于更严格的防火墙配置，请设置固定的端口。

   例如，将端口设置为未使用的端口 514 ：

   [root@ipaserver ~]# ldapmodify -x -D 'cn=directory manager' -W
   dn: cn=NIS Server,cn=plugins,cn=config
   changetype: modify
   add: nsslapd-pluginarg0
   nsslapd-pluginarg0: 514

   警告

   为了避免与其他服务冲突，不要使用任何超过 1024 的端口号。

3. 启用并启动端口 mapper 服务：

   [root@ipaserver ~]# systemctl enable rpcbind.service
   [root@ipaserver ~]# systemctl start rpcbind.service

4. 重启 Directory 服务器：

   [root@ipaserver ~]# systemctl restart dirsrv.target

步骤

1. 安装 yp-tools 软件包：

   [root@nis-server ~]# dnf install yp-tools -y

2. 在 NIS 服务器中，使用以下内容创建 /root/nis-users.sh 脚本：

   #!/bin/sh
   # $1 is the NIS domain, $2 is the primary NIS server
   ypcat -d $1 -h $2 passwd > /dev/shm/nis-map.passwd 2>&1
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.passwd) ; do
   	IFS=' '
   	username=$(echo $line | cut -f1 -d:)
   	# Not collecting encrypted password because we need cleartext password
   	# to create kerberos key
   	uid=$(echo $line | cut -f3 -d:)
   	gid=$(echo $line | cut -f4 -d:)
   	gecos=$(echo $line | cut -f5 -d:)
   	homedir=$(echo $line | cut -f6 -d:)
   	shell=$(echo $line | cut -f7 -d:)
   
   	# Now create this entry
   	echo passw0rd1 | ipa user-add $username --first=NIS --last=USER \
   	     --password --gidnumber=$gid --uid=$uid --gecos="$gecos" --homedir=$homedir \
   	     --shell=$shell
   	ipa user-show $username
   done

3. 以 IdM admin 用户身份进行身份验证：

   [root@nis-server ~]# kinit admin

4. 运行脚本。例如：

   [root@nis-server ~]# sh /root/nis-users.sh nisdomain nis-server.example.com

   重要

   此脚本在名字、姓氏中使用硬编码的值，并将密码设置为 passw0rd1。用户必须在下一次登录时更改临时密码。

步骤

1. 安装 yp-tools 软件包：

   [root@nis-server ~]# dnf install yp-tools -y

2. 在 NIS 服务器中使用以下内容创建 /root/nis-groups.sh 脚本：

   #!/bin/sh
   # $1 is the NIS domain, $2 is the primary NIS server
   ypcat -d $1 -h $2 group > /dev/shm/nis-map.group 2>&1
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.group); do
   	IFS=' '
   	groupname=$(echo $line | cut -f1 -d:)
   	# Not collecting encrypted password because we need cleartext password
   	# to create kerberos key
   	gid=$(echo $line | cut -f3 -d:)
   	members=$(echo $line | cut -f4 -d:)
   
   	# Now create this entry
   	ipa group-add $groupname --desc=NIS_GROUP_$groupname --gid=$gid
   	if [ -n "$members" ]; then
   		useropts=$(eval echo --users={$members})
   		ipa group-add-member $groupname $useropts
   	fi
   	ipa group-show $groupname
   done

   注意

   确保您的用户名不包含任何特殊字符，以确保成功迁移用户组。

3. 以 IdM admin 用户身份进行身份验证：

   [root@nis-server ~]# kinit admin

4. 运行脚本。例如：

   [root@nis-server ~]# sh /root/nis-groups.sh nisdomain nis-server.example.com

步骤

1. 安装 yp-tools 软件包：

   [root@nis-server ~]# dnf install yp-tools -y

2. 在 NIS 服务器中使用以下内容创建 /root/nis-hosts.sh 脚本：

   #!/bin/sh
   # $1 is the NIS domain, $2 is the primary NIS server
   ypcat -d $1 -h $2 hosts | egrep -v "localhost|127.0.0.1" > /dev/shm/nis-map.hosts 2>&1
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.hosts); do
   	IFS=' '
   	ipaddress=$(echo $line | awk '{print $1}')
   	hostname=$(echo $line | awk '{print $2}')
   	primary=$(ipa env xmlrpc_uri | tr -d '[:space:]' | cut -f3 -d: | cut -f3 -d/)
   	domain=$(ipa env domain | tr -d '[:space:]' | cut -f2 -d:)
   	if [ $(echo $hostname | grep "\." |wc -l) -eq 0 ] ; then
   		hostname=$(echo $hostname.$domain)
   	fi
   	zone=$(echo $hostname | cut -f2- -d.)
   	if [ $(ipa dnszone-show $zone 2>/dev/null | wc -l) -eq 0 ] ; then
   		ipa dnszone-add --name-server=$primary --admin-email=root.$primary
   	fi
   	ptrzone=$(echo $ipaddress | awk -F. '{print $3 "." $2 "." $1 ".in-addr.arpa."}')
   	if [ $(ipa dnszone-show $ptrzone 2>/dev/null | wc -l) -eq 0 ] ; then
   		ipa dnszone-add  $ptrzone --name-server=$primary --admin-email=root.$primary
   	fi
   	# Now create this entry
   	ipa host-add $hostname --ip-address=$ipaddress
   	ipa host-show $hostname
   done

3. 以 IdM admin 用户身份进行身份验证：

   [root@nis-server ~]# kinit admin

4. 运行脚本。例如：

   [root@nis-server ~]# sh /root/nis-hosts.sh nisdomain nis-server.example.com

   注意

   此脚本不会迁移特殊主机配置，如别名。

步骤

1. 安装 yp-tools 软件包：

   [root@nis-server ~]# dnf install yp-tools -y

2. 在 NIS 服务器中使用以下内容创建 /root/nis-netgroups.sh 脚本：

   #!/bin/sh
   # $1 is the NIS domain, $2 is the primary NIS server
   ypcat -k -d $1 -h $2 netgroup > /dev/shm/nis-map.netgroup 2>&1
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.netgroup); do
   	IFS=' '
   	netgroupname=$(echo $line | awk '{print $1}')
   	triples=$(echo $line | sed "s/^$netgroupname //")
   	echo "ipa netgroup-add $netgroupname --desc=NIS_NG_$netgroupname"
   	if [ $(echo $line | grep "(," | wc -l) -gt 0 ]; then
   		echo "ipa netgroup-mod $netgroupname --hostcat=all"
   	fi
   	if [ $(echo $line | grep ",," | wc -l) -gt 0 ]; then
   		echo "ipa netgroup-mod $netgroupname --usercat=all"
   	fi
   
   	for triple in $triples; do
   		triple=$(echo $triple | sed -e 's/-//g' -e 's/(//' -e 's/)//')
   		if [ $(echo $triple | grep ",.*," | wc -l) -gt 0 ]; then
   			hostname=$(echo $triple | cut -f1 -d,)
   			username=$(echo $triple | cut -f2 -d,)
   			domain=$(echo $triple | cut -f3 -d,)
   			hosts=""; users=""; doms="";
   			[ -n "$hostname" ] && hosts="--hosts=$hostname"
   			[ -n "$username" ] && users="--users=$username"
   			[ -n "$domain"   ] && doms="--nisdomain=$domain"
   			echo "ipa netgroup-add-member $netgroup $hosts $users $doms"
   		else
   			netgroup=$triple
   			echo "ipa netgroup-add $netgroup --desc=<NIS_NG>_$netgroup"
   		fi
   	done
   done

3. 以 IdM admin 用户身份进行身份验证：

   [root@nis-server ~]# kinit admin

4. 运行脚本。例如：

   [root@nis-server ~]# sh /root/nis-netgroups.sh nisdomain nis-server.example.com

步骤

1. 安装 yp-tools 软件包：

   [root@nis-server ~]# dnf install yp-tools -y

2. 在 NIS 服务器中使用以下内容创建 /root/nis-automounts.sh 脚本：

   #!/bin/sh
   # $1 is for the automount entry in ipa
   
   ipa automountlocation-add $1
   
   # $2 is the NIS domain, $3 is the primary NIS server, $4 is the map name
   
   ypcat -k -d $2 -h $3 $4 > /dev/shm/nis-map.$4 2>&1
   
   ipa automountmap-add $1 $4
   
   basedn=$(ipa env basedn | tr -d '[:space:]' | cut -f2 -d:)
   cat > /tmp/amap.ldif <<EOF
   dn: nis-domain=$2+nis-map=$4,cn=NIS Server,cn=plugins,cn=config
   objectClass: extensibleObject
   nis-domain: $2
   nis-map: $4
   nis-base: automountmapname=$4,cn=$1,cn=automount,$basedn
   nis-filter: (objectclass=\*)
   nis-key-format: %{automountKey}
   nis-value-format: %{automountInformation}
   EOF
   
   # $5 is the LDAP server
   
   ldapadd -x -h $5 -D "cn=Directory Manager" -W -f /tmp/amap.ldif
   
   IFS=$'\n'
   for line in $(cat /dev/shm/nis-map.$4); do
   	IFS=" "
   	key=$(echo "$line" | awk '{print $1}')
   	info=$(echo "$line" | sed -e "s^$key[ \t]*")
   	ipa automountkey-add nis $4 --key="$key" --info="$info"
   done

   注意

   该脚本导出 NIS 自动挂载信息，为自动挂载位置和关联映射生成 LDAP 数据交换格式 (LDIF)，并将 LDIF 文件导入到 IdM Directory Server。

3. 以 IdM admin 用户身份进行身份验证：

   [root@nis-server ~]# kinit admin

4. 运行脚本。例如：

   [root@nis-server ~]# sh /root/nis-automounts.sh location nisdomain
        nis-server.example.com map_name

流程

1. 以 IdM 管理员身份获取 kerberos 票据：

   # kinit admin

2. 创建一个 nfs/<FQDN> 服务主体：

   # ipa service-add nfs/nfs_server.idm.example.com

3. 从 IdM 检索 nfs 服务主体，并将其存储在 /etc/krb5.keytab 文件中：

   # ipa-getkeytab -s idm_server.idm.example.com -p nfs/nfs_server.idm.example.com -k /etc/krb5.keytab

4. 可选：显示 /etc/krb5.keytab 文件中的主体：

   # klist -k /etc/krb5.keytab
   Keytab name: FILE:/etc/krb5.keytab
   KVNO Principal
   ---- --------------------------------------------------------------------------
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM

   默认情况下，当您将主机加入到 IdM 域时，IdM 客户端会将主机主体添加到 /etc/krb5.keytab 文件中。如果缺少主机主体，请使用 ipa-getkeytab -s idm_server.idm.example.com -p host/nfs_server.idm.example.com -k /etc/krb5.keytab 命令添加它。

5. 使用 ipa-client-automount 工具配置 IdM ID 的映射：

   #  ipa-client-automount
   Searching for IPA server...
   IPA server: DNS discovery
   Location: default
   Continue to configure the system with these values? [no]: yes
   Configured /etc/idmapd.conf
   Restarting sssd, waiting for it to become available.
   Started autofs

6. 更新 /etc/exports 文件，并将 Kerberos 安全方法添加到客户端选项中。例如：

   /nfs/projects/      	192.0.2.0/24(rw,sec=krb5i)

   如果您希望客户端可以从多个安全方法中选择，请使用冒号分割它们：

   /nfs/projects/      	192.0.2.0/24(rw,sec=krb5:krb5i:krb5p)

7. 重新载入导出的文件系统：

   # exportfs -r

流程

1. 创建 raleigh 自动挂载位置：

   $ ipa automountlocation-add raleigh
   ----------------------------------
   Added automount location "raleigh"
   ----------------------------------
     Location: raleigh

2. 在 raleigh 位置创建一个 auto.devel 自动挂载映射：

   $ ipa automountmap-add raleigh auto.devel
   --------------------------------
   Added automount map "auto.devel"
   --------------------------------
     Map: auto.devel

3. 添加 exports/ 共享的密钥和挂载信息：

   1. 为 auto.devel 映射添加密钥和挂载信息：

      $ ipa automountkey-add raleigh auto.devel --key='*' --info='-sec=krb5p,vers=4 nfs-server.idm.example.com:/exports/&'
      -----------------------
      Added automount key "*"
      -----------------------
        Key: *
        Mount information: -sec=krb5p,vers=4 nfs-server.idm.example.com:/exports/&

   2. 为 auto.master 映射添加密钥和挂载信息：

      $ ipa automountkey-add raleigh auto.master --key=/devel --info=auto.devel
      ----------------------------
      Added automount key "/devel"
      ----------------------------
        Key: /devel
        Mount information: auto.devel

流程

1. 在 IdM 客户端上，输入 ipa-client-automount 命令并指定位置。使用 -U 选项以无人值守方式运行脚本：

   # ipa-client-automount --location raleigh -U

2. 停止 autofs 服务，清除 SSSD 缓存，然后启动 autofs 服务来加载新的配置设置：

   # systemctl stop autofs ; sss_cache -E ; systemctl start autofs

流程

1. 验证 IdM 用户能否可以访问 读-写 目录：

   1. 以 IdM 用户身份连接到 IdM 客户端：

      $ ssh idm_user@idm-client.idm.example.com
      Password:

   2. 获取 IdM 用户的票据授权票据(TGT)：

      $ kinit idm_user

   3. 可选：查看 IdM 用户的组成员资格：

      $ ipa user-show idm_user
        User login: idm_user
        [...]
        Member of groups: developers, ipausers

   4. 进入到 /devel/project 目录：

      $ cd /devel/project

   5. 列出目录内容：

      $ ls
      rw_file

   6. 对目录中的文件添加一行来测试 写 权限：

      $ echo "idm_user can write into the file" > rw_file

   7. 可选：查看更新的文件内容：

      $ cat rw_file
      this is a read-write file
      idm_user can write into the file

   输出确认 idm_user 可以对该文件进行写入。

流程

1. 以 IdM 管理员身份获取 kerberos 票据：

   # kinit admin

2. 创建一个 nfs/<FQDN> 服务主体：

   # ipa service-add nfs/nfs_server.idm.example.com

3. 从 IdM 检索 nfs 服务主体，并将其存储在 /etc/krb5.keytab 文件中：

   # ipa-getkeytab -s idm_server.idm.example.com -p nfs/nfs_server.idm.example.com -k /etc/krb5.keytab

4. 可选：显示 /etc/krb5.keytab 文件中的主体：

   # klist -k /etc/krb5.keytab
   Keytab name: FILE:/etc/krb5.keytab
   KVNO Principal
   ---- --------------------------------------------------------------------------
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM
      7 host/nfs_server.idm.example.com@IDM.EXAMPLE.COM

   默认情况下，当您将主机加入到 IdM 域时，IdM 客户端会将主机主体添加到 /etc/krb5.keytab 文件中。如果缺少主机主体，请使用 ipa-getkeytab -s idm_server.idm.example.com -p host/nfs_server.idm.example.com -k /etc/krb5.keytab 命令添加它。

5. 使用 ipa-client-automount 工具配置 IdM ID 的映射：

   #  ipa-client-automount
   Searching for IPA server...
   IPA server: DNS discovery
   Location: default
   Continue to configure the system with these values? [no]: yes
   Configured /etc/idmapd.conf
   Restarting sssd, waiting for it to become available.
   Started autofs

6. 更新 /etc/exports 文件，并将 Kerberos 安全方法添加到客户端选项中。例如：

   /nfs/projects/      	192.0.2.0/24(rw,sec=krb5i)

   如果您希望客户端可以从多个安全方法中选择，请使用冒号分割它们：

   /nfs/projects/      	192.0.2.0/24(rw,sec=krb5:krb5i:krb5p)

7. 重新载入导出的文件系统：

   # exportfs -r

流程

1. 在 Ansible 控制节点上，导航到 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 复制位于 /usr/share/doc/ansible-freeipa/playbooks/automount/ 目录中的 automount-location-present.yml Ansible playbook 文件：

   $ cp /usr/share/doc/ansible-freeipa/playbooks/automount/automount-location-present.yml automount-location-map-and-key-present.yml

3. 打开 automount-location-map-and-key-present.yml 文件进行编辑。

4. 通过在 ipaautomountlocation 任务部分设置以下变量来调整文件：

   • 将 ipaadmin_password 变量设为 IdM admin 的密码。
   • 将 name 变量设为 raleigh。

   • 确保 state 变量设置为 present。

     这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Automount location present example
     hosts: ipaserver
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Ensure automount location is present
       ipaautomountlocation:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: raleigh
         state: present

5. 继续编辑 automount-location-map-and-key-present.yml 文件：

   1. 在 tasks 部分中，添加一个任务来确保存在一个自动挂载映射：

      [...]
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
      [...]
        - name: ensure map named auto.devel in location raleigh is created
          ipaautomountmap:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: auto.devel
            location: raleigh
            state: present

   2. 添加另一个任务，来将挂载点和 NFS 服务器信息添加到映射中：

      [...]
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
      [...]
        - name: ensure automount key /devel/project is present
          ipaautomountkey:
            ipaadmin_password: "{{ ipaadmin_password }}"
            location: raleigh
            mapname: auto.devel
            key: /devel/project
            info: nfs-server.idm.example.com:/exports/project
            state: present

   3. 添加另一个任务来确保 auto.devel 连接到 auto.master ：

      [...]
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
      [...]
      - name: Ensure auto.devel is connected in auto.master:
        ipaautomountkey:
          ipaadmin_password: "{{ ipaadmin_password }}"
          location: raleigh
          mapname: auto.map
          key: /devel
          info: auto.devel
          state: present

6. 保存该文件。

7. 运行 Ansible playbook ，并指定 playbook 和清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automount-location-map-and-key-present.yml

流程

1. 在 Ansible 控制节点上，进到 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 打开 automount-location-map-and-key-present.yml 文件进行编辑。

3. 在 tasks 部分，添加一个任务来确保 IdM developers 组存在，并且 idm_user 已添加到此组中：

   [...]
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
   [...]
     - ipagroup:
        ipaadmin_password: "{{ ipaadmin_password }}"
         name: developers
         user:
         - idm_user
         state: present

4. 保存该文件。

5. 运行 Ansible playbook ，并指定 playbook 和清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory automount-location-map-and-key-present.yml

6. 在 NFS 服务器上，将 /exports/project 目录的组所有权更改为 developers，以便组中的每个 IdM 用户都可以访问该目录：

   # chgrp developers /exports/project

流程

1. 在 IdM 客户端上，输入 ipa-client-automount 命令并指定位置。使用 -U 选项以无人值守方式运行脚本：

   # ipa-client-automount --location raleigh -U

2. 停止 autofs 服务，清除 SSSD 缓存，然后启动 autofs 服务来加载新的配置设置：

   # systemctl stop autofs ; sss_cache -E ; systemctl start autofs

流程

1. 验证 IdM 用户能否可以访问 读-写 目录：

   1. 以 IdM 用户身份连接到 IdM 客户端：

      $ ssh idm_user@idm-client.idm.example.com
      Password:

   2. 获取 IdM 用户的票据授权票据(TGT)：

      $ kinit idm_user

   3. 可选：查看 IdM 用户的组成员资格：

      $ ipa user-show idm_user
        User login: idm_user
        [...]
        Member of groups: developers, ipausers

   4. 进入到 /devel/project 目录：

      $ cd /devel/project

   5. 列出目录内容：

      $ ls
      rw_file

   6. 对目录中的文件添加一行来测试 写 权限：

      $ echo "idm_user can write into the file" > rw_file

   7. 可选：查看更新的文件内容：

      $ cat rw_file
      this is a read-write file
      idm_user can write into the file

   输出确认 idm_user 可以对该文件进行写入。