13.2. 使用 Red Hat Identity Management

流程

1. 在 Red Hat Identity Management 服务器中要进行身份验证，请输入以下命令并在提示时输入您的密码：

   # kinit admin

   Copy to Clipboard Toggle word wrap

2. 要验证您是否已通过身份验证，请输入以下命令：

   # klist

   Copy to Clipboard Toggle word wrap

3. 在 Red Hat Identity Management 服务器上，为 Satellite 服务器创建一个主机条目并生成一次性密码，例如：

   # ipa host-add --random hostname

   Copy to Clipboard Toggle word wrap
   注意

   必须在客户端中使用生成的一次性密码来完成 Red Hat Identity Management-enrollment。

   有关主机配置属性的更多信息，请参阅 Red Hat Enterprise Linux 7 Linux 域身份、身份验证和策略指南中的 关于 主机条目 配置属性。

4. 为 Satellite 服务器创建 HTTP 服务，例如：

   # ipa service-add HTTP/hostname

   Copy to Clipboard Toggle word wrap

   有关管理服务的更多信息，请参阅 Red Hat Enterprise Linux 7 Linux 域身份、身份验证和策略 指南中的管理服务。https://access.redhat.com/documentation/zh-cn/red_hat_enterprise_linux/7/html/linux_domain_identity_authentication_and_policy_guide/services

5. 在 Satellite 服务器中安装 IPA 客户端：

   警告

   此命令可能会在安装软件包的过程中重启 Satellite 服务。有关在 Satellite 中安装和更新软件包的详情，请参考 第 11.5 节 “在 Satellite 或 Capsule 的基本操作系统上管理软件包”。

   # satellite-maintain packages install ipa-client

   Copy to Clipboard Toggle word wrap

6. 在卫星服务器上，以 root 用户身份输入以下命令来配置 Red Hat Identity Management-enrollment:

   # ipa-client-install --password OTP

   Copy to Clipboard Toggle word wrap

   使用 Red Hat Identity Management 管理员提供的一次性密码替换 OTP。

7. 如果 Satellite 服务器在 Red Hat Enterprise Linux 7 上运行，请执行以下命令：

   # subscription-manager repos --enable rhel-7-server-optional-rpms

   Copy to Clipboard Toggle word wrap

   安装程序依赖于 Red Hat Enterprise Linux 7 上的软件包，它们位于 rhel-7-server-optional-rpms 的可选存储库中。

8. 使用以下命令将 foreman-ipa-authentication 设置为 true：

   # satellite-installer --foreman-ipa-authentication=true

   Copy to Clipboard Toggle word wrap

9. 重启 satellite-maintain 服务：

   # satellite-maintain service restart

   Copy to Clipboard Toggle word wrap

流程

1. 在 Red Hat Identity Management 服务器中要进行身份验证，请输入以下命令并在提示时输入您的密码：

   # kinit admin

   Copy to Clipboard Toggle word wrap

2. 要验证您是否已通过身份验证，请输入以下命令：

   # klist

   Copy to Clipboard Toggle word wrap

3. 在 Red Hat Identity Management 服务器上创建 HBAC 服务和规则，并将它们链接到一起。以下示例使用 PAM 服务名称 satellite-prod。在 Red Hat Identity Management 服务器中执行以下命令：

   # ipa hbacsvc-add satellite-prod
   # ipa hbacrule-add allow_satellite_prod
   # ipa hbacrule-add-service allow_satellite_prod --hbacsvcs=satellite-prod

   Copy to Clipboard Toggle word wrap

4. 添加要有权访问服务 satellite-prod 和 Satellite Server 主机名的用户：

   # ipa hbacrule-add-user allow_satellite_prod --user=username
   # ipa hbacrule-add-host allow_satellite_prod --hosts=satellite.example.com

   Copy to Clipboard Toggle word wrap

   或者，也可以将主机组和用户组添加到 allowsatellite_prod_ 规则。

5. 要检查规则的状态，请执行：

   # ipa hbacrule-find satellite-prod
   # ipa hbactest --user=username --host=satellite.example.com --service=satellite-prod

   Copy to Clipboard Toggle word wrap
6. 确保 Red Hat Identity Management 服务器上禁用 allow_all 规则。有关如何在不中断其他服务的情况下进行此操作的步骤，请参阅红帽客户门户网站中的 IdM 中的如何配置 HBAC 规则。

7. 配置红帽身份管理与卫星服务器集成，如 第 13.2.1 节 “在卫星服务器上配置红帽身份管理身份验证” 所述。在卫星服务器上，以 root 用户身份定义 PAM 服务：

   # satellite-installer --foreman-pam-service=satellite-prod

   Copy to Clipboard Toggle word wrap