9.4. 使用 Ansible 设置信任协议

流程

1. 进入您的 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 根据您的用例选择以下场景之一：

   • 要创建 ID 映射信任协议，其中 SSSD 会根据其 SID 自动为 AD 用户和组群生成 UID 和 GID，请创建一个带有以下内容的 add-trust.yml playbook：

     ---
     - name: Playbook to create a trust
       hosts: ipaserver
     
       vars_files:
       - /home/user_name/MyPlaybooks/secret.yml
       tasks:
         - name: ensure the trust is present
           ipatrust:
             ipaadmin_password: "{{ ipaadmin_password }}"
             realm: ad.example.com
             admin: Administrator
             password: secret_password
             state: present

     在示例中：

     • realm 定义 AD 领域名称字符串。
     • admin 定义 AD 域管理员字符串。
     • password 定义 AD 域管理员密码字符串。

   • 要创建 POSIX 信任协议，其中 SSSD 会处理存储在 AD 中的 POSIX 属性，如 uidNumber 和 gidNumber，请创建一个包含以下内容的 add-trust.yml playbook：

     ---
     - name: Playbook to create a trust
       hosts: ipaserver
     
       vars_files:
       - /home/user_name/MyPlaybooks/secret.yml
       tasks:
         - name: ensure the trust is present
           ipatrust:
             ipaadmin_password: "{{ ipaadmin_password }}"
             realm: ad.example.com
             admin: Administrator
             password: secret_password
             range_type: ipa-ad-trust-posix
             state: present

   • 要通过请求林根域中 AD 域控制器的详情来创建信任协议，其中 IdM 试图自动选择适当的范围类型、ipa-ad-trust 或 ipa-ad-trust-posix，请创建一个带有以下内容的 add-trust.yml playbook：

     ---
     - name: Playbook to create a trust
       hosts: ipaserver
     
       vars_files:
       - /home/user_name/MyPlaybooks/secret.yml
       tasks:
         - name: ensure the trust is present
           ipatrust:
             ipaadmin_password: "{{ ipaadmin_password }}"
             realm: ad.example.com
             admin: Administrator
             password: secret_password
             state: present

   警告

   如果您在创建信任时没有指定 ID 范围类型，且 IdM 没有在 AD 林根域中检测到任何 POSIX 属性，则信任安装脚本会选择 Active Directory domain ID 范围。

   如果 IdM 检测到林根域中的任何 POSIX 属性，则信任安装脚本选择 带有 POSIX 属性 ID 范围的 Active Directory 域，并假定 AD 中正确配置了 UID 和 GID。

   但是，如果 POSIX 属性没有在 AD 中正确设置，则您将无法解析 AD 用户。例如，如果需要访问 IdM 系统的用户和组不是林根域的一部分，而是位于林域的子域中，则安装脚本可能不会检测子 AD 域中定义的 POSIX 属性。在这种情况下，在建立信任时明确选择 POSIX ID 范围类型。

3. 保存该文件。

4. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory add-trust.yml