8.3. 运行 EPN 工具，向密码即将过期的用户发送电子邮件

步骤

1. 打开 epn.conf 配置文件。

   # vi /etc/ipa/epn.conf

2. 根据需要更新 notify_ttls 选项。默认是通知用户其密码将在 28、14、7、3 和 1 天后过期。

   notify_ttls = 28, 14, 7, 3, 1

   注意

   您还必须 激活 ipa-epn.timer 工具，以确保发送电子邮件。

3. 配置 SMTP 服务器和端口：

   smtp_server = localhost
   smtp_port = 25

4. 指定发送电子邮件过期通知的电子邮件地址。任何未成功发送的电子邮件都将返回到此地址。

   mail_from = admin-email@example.com

5. [可选] 如果要使用加密的通信频道，请指定要使用的凭证：

   • 指定 PEM 格式的单个文件的路径，其中包含 EPN 使用的证书与 SMTP 服务器进行身份验证：

     smtp_client_cert = /etc/pki/tls/certs/client.pem

     注意

     EPN 是 SMTP 客户端。证书的目的是客户端身份验证，而不是安全 SMTP 传输。

   • 您可以指定包含私钥的文件的路径。如果未指定，则会从证书文件获取私钥。

     smtp_client_key = /etc/pki/tls/certs/client.key

   • 如果私钥加密，请指定解密的密码。

     smtp_client_key_pass = Secret123!

6. 保存 /etc/ipa/epn.conf 文件。

7. 以 dry-run 模式运行 EPN 工具，来生成一个用户列表，如果您不使用 --dry-run 选项来运行工具，则密码过期电子邮件通知将发送给这些用户。

   ipa-epn --dry-run
   [
       {
        "uid": "user5",
        "cn": "user 5",
        "krbpasswordexpiration": "2020-04-17 15:51:53",
        "mail": "['user5@ipa.test']"
       }
   ]
   [
       {
        "uid": "user6",
        "cn": "user 6",
        "krbpasswordexpiration": "2020-12-17 15:51:53",
        "mail": "['user5@ipa.test']"
        }
   ]
   The IPA-EPN command was successful

   注意

   如果返回的用户列表非常大，并且运行工具时没有 --dry-run 选项，这可能会导致您的电子邮件服务器出现问题。

8. 不使用 --dry-run 选项运行 EPN 工具，来将到期电子邮件发送给当您在 dry-run 模式下运行 EPN 工具时返回的所有用户的列表：

   ipa-epn
   [
     {
        "uid": "user5",
        "cn": "user 5",
        "krbpasswordexpiration": "2020-10-01 15:51:53",
        "mail": "['user5@ipa.test']"
     }
   ]
   [
     {
       "uid": "user6",
       "cn": "user 6",
       "krbpasswordexpiration": "2020-12-17 15:51:53",
       "mail": "['user5@ipa.test']"
     }
   ]
   The IPA-EPN command was successful

9. 您可以将 EPN 添加到任何监控系统，并使用 --from-nbdays 和 --to-nbdays 选项调用它，以确定在特定时间范围内将有多少个用户的密码即将过期：

   # ipa-epn --from-nbdays 8 --to-nbdays 12

   注意

   如果您使用 --from-nbdays 和 --to-nbdays 选项调用 EPN 工具，它将自动在 dry-run 模式下执行。