38.14. 使用 Ansible 授予 IdM 组访问 IdM 客户端上声卡的权限
您可以使用 ansible-freeipa
idview
和 idoverridegroup
模块,使身份管理(IdM)或活动目录(AD)用户成为 IdM 客户端上本地 audio
组的成员。这授予 IdM 或 AD 用户对主机上声卡的特权访问。
流程使用 idview_for_host01 ID 视图的示例,其中 audio 组 ID 覆盖是使用 GID
63 添加的,该 GID 对应于 RHEL 主机上本地 audio
组的 GID。idview_for_host01 ID 视图被应用到名为 host01.idm.example.com 的 IdM 客户端。
先决条件
您已配置了 Ansible 控制节点以满足以下要求:
- 您使用 Ansible 版本 2.15 或更高版本。
-
您已在 Ansible 控制器上安装了
ansible-freeipa
软件包。 - 您正在使用 RHEL 9.4 或更高版本。
- 示例假定在 ~/MyPlaybooks/ 目录中,您已创建了一个带有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
-
示例假定 secret.yml Ansible vault 存储了
ipaadmin_password
。
流程
可选:识别 RHEL 主机上本地
audio
组的 GID:$ getent group audio --------------------- audio:x:63
在 Ansible 控制节点上,使用以下任务创建一个 give-idm-group-access-to-sound-card-on-idm-client.yml playbook:
--- - name: Playbook to give IdM group access to sound card on IdM client hosts: ipaserver become: false tasks: - name: Ensure the audio group exists in IdM ipagroup: ipaadmin_password: "{{ ipaadmin_password }}" name: audio - name: Ensure idview_for_host01 exists and is applied to host01.idm.example.com ipaidview: ipaadmin_password: ”{{ ipaadmin_password }}" name: idview_for_host01 host: host01.idm.example.com - name: Add an override for the IdM audio group with GID 63 to idview_for_host01 ipaidoverridegroup: ipaadmin_password: "{{ ipaadmin_password }}" idview: idview_for_host01 anchor: audio GID: 63
- 保存该文件。
运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码,以及清单文件:
$ ansible-playbook --vault-password-file=password_file -v -i inventory give-idm-group-access-to-sound-card-on-idm-client.yml
验证
在 IdM 客户端上,获取 IdM 管理员的凭证:
$ kinit admin Password:
创建一个 test IdM 用户:
$ ipa user-add testuser --first test --last user --password User login [tuser]: Password: Enter Password again to verify: ------------------ Added user "tuser" ------------------
将用户添加到 IdM audio 组中:
$ ipa group-add-member --tuser audio
以 tuser 用户身份登录到 host01.idm.example.com:
$ ssh tuser@host01.idm.example.com
验证用户的组成员资格:
$ id tuser uid=702801456(tuser) gid=63(audio) groups=63(audio)
其他资源
-
idoverridegroup、idview 和 ipagroup
ansible-freeipa
上游文档 - 为 IdM 中的本地和远程组启用组合并