38.11. 使用 Ansible 为用户 ID 提供对 IdM 客户端上本地声卡的覆盖访问

流程

1. 在 client.idm.example.com 上，将 [SUCCESS=merge] 添加到 /etc/nsswitch.conf 文件中：

   [...]
   # Allow initgroups to default to the setting for group.
   initgroups: sss [SUCCESS=merge] files

2. 确定本地 audio 组的 GID：

   $ getent group audio
   ---------------------
   audio:x:63

3. 在 Ansible 控制节点上，创建一个带有一个任务的 add-aduser-to-audio-group.yml playbook，来将 aduser@addomain.com 用户覆盖添加到 Default Trust View 中：

   ---
   - name: Playbook to manage idoverrideuser
     hosts: ipaserver
     become: false
   
     tasks:
     - name: Add aduser@addomain.com user to the Default Trust View
       ipaidoverrideuser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         idview: "Default Trust View"
         anchor: aduser@addomain.com

4. 在同一 playbook 中使用另一个 playbook 任务，将 GID 为 63 的组 audio 添加到 IdM 中。将 aduser idoverrideuser 添加到组中：

     - name: Add the audio group with the aduser member and GID of 63
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: audio
         idoverrideuser:
         - aduser@addomain.com
         gidnumber: 63

5. 保存该文件。

6. 运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory add-aduser-to-audio-group.yml

验证

1. 以 AD 用户身份登录到 IdM 客户端：

   $ ssh aduser@addomain.com@client.idm.example.com

2. 验证 AD 用户的组成员资格：

   $ id aduser@addomain.com
   uid=702801456(aduser@addomain.com) gid=63(audio) groups=63(audio)