43.10. 委托对主机和服务的访问

流程

1. 使用 service-add-host 命令将服务管理委托给特定的主机：

   ipa service-add-host principal --hosts=<hostname>

   Copy to Clipboard Toggle word wrap

   您必须使用 principal 参数指定服务主体，使用 --hosts 选项指定带有控制的主机。

   例如：

   [root@server ~]# ipa service-add HTTP/web.example.com
   [root@server ~]# ipa service-add-host HTTP/web.example.com --hosts=client1.example.com

   Copy to Clipboard Toggle word wrap

2. 主机委托授权后，主机主体可用于管理服务：

   [root@client1 ~]# kinit -kt /etc/krb5.keytab host/client1.example.com
   [root@client1 ~]# ipa-getkeytab -s server.example.com -k /tmp/test.keytab -p HTTP/web.example.com
   Keytab successfully retrieved and stored in: /tmp/test.keytab

   Copy to Clipboard Toggle word wrap

3. 要为委托的服务生成证书，请使用委托的颁发机构在主机上创建一个证书请求：

   [root@client1]# kinit -kt /etc/krb5.keytab host/client1.example.com
   [root@client1]# openssl req -newkey rsa:2048 -subj '/CN=web.example.com/O=EXAMPLE.COM' -keyout /etc/pki/tls/web.key -out /tmp/web.csr -nodes
   Generating a 2048 bit RSA private key
   .............................................................+++
   ............................................................................................+++
   Writing new private key to '/etc/pki/tls/private/web.key'

   Copy to Clipboard Toggle word wrap

4. 使用 cert-request 工具来提交证书请求，并加载认证信息：

   [root@client1]# ipa cert-request --principal=HTTP/web.example.com web.csr
   Certificate: MIICETCCAXqgA...[snip]
   Subject: CN=web.example.com,O=EXAMPLE.COM
   Issuer: CN=EXAMPLE.COM Certificate Authority
   Not Before: Tue Feb 08 18:51:51 2011 UTC
   Not After: Mon Feb 08 18:51:51 2016 UTC
   Serial number: 1005

   Copy to Clipboard Toggle word wrap

流程

1. 以 admin 用户身份登录：

   [root@server ~]# kinit admin

   Copy to Clipboard Toggle word wrap

2. 添加 managedby 条目。例如，这通过 client2 将授权委托给 client1 ：

   [root@server ~]# ipa host-add-managedby client2.example.com --hosts=client1.example.com

   Copy to Clipboard Toggle word wrap

3. 获取作为主机 client1 的票据：

   [root@client1 ~]# kinit -kt /etc/krb5.keytab host/client1.example.com

   Copy to Clipboard Toggle word wrap

4. 检索 client2 的 keytab：

   [root@client1 ~]# ipa-getkeytab -s server.example.com -k /tmp/client2.keytab -p host/client2.example.com
   Keytab successfully retrieved and stored in: /tmp/client2.keytab

   Copy to Clipboard Toggle word wrap