14.2. 使用红帽身份管理

流程

1. 在 Red Hat Identity Management 服务器上，要进行身份验证，请输入以下命令并在提示时输入您的密码：

   # kinit admin

   Copy to Clipboard Toggle word wrap

2. 要验证您是否经过身份验证，请输入以下命令：

   # klist

   Copy to Clipboard Toggle word wrap

3. 在 Red Hat Identity Management 服务器上，为 Satellite 服务器创建一个主机条目并生成一次性密码，例如：

   # ipa host-add --random hostname

   Copy to Clipboard Toggle word wrap
   注意

   生成的一次性密码必须在客户端上使用，以完成 Red Hat Identity Management-enrollment。

   有关主机配置属性的更多信息，请参阅 Red Hat Enterprise Linux 7 Linux 域身份、身份验证和策略指南中的 关于 主机条目配置属性。

4. 为 Satellite 服务器创建 HTTP 服务，例如：

   # ipa service-add HTTP/hostname

   Copy to Clipboard Toggle word wrap

   有关管理服务的更多信息，请参阅 Red Hat Enterprise Linux 7 Linux 域身份、身份验证和策略指南中的管理服务。https://access.redhat.com/documentation/zh-cn/red_hat_enterprise_linux/7/html/linux_domain_identity_authentication_and_policy_guide/services

5. 在 Satellite 服务器中，安装 IPA 客户端：

   警告

   此命令可能会在安装软件包的过程中重新启动 Satellite 服务。有关在 Satellite 上安装和更新软件包的详情请参考 第 11.8 节 “在 Satellite 服务器或 Capsule 服务器的基本操作系统中管理软件包”。

   # satellite-maintain packages install ipa-client

   Copy to Clipboard Toggle word wrap

6. 在 Satellite 服务器上，以 root 用户身份输入以下命令来配置 Red Hat Identity Management-enrollment：

   # ipa-client-install --password OTP

   Copy to Clipboard Toggle word wrap

   将 OTP 替换为 Red Hat Identity Management 管理员提供的一次性密码。

7. 如果 Satellite 服务器在 Red Hat Enterprise Linux 7 上运行，请执行以下命令：

   # subscription-manager repos --enable rhel-7-server-optional-rpms

   Copy to Clipboard Toggle word wrap

   安装程序依赖于 Red Hat Enterprise Linux 7 上的软件包，它们位于可选存储库 rhel-7-server-optional-rpms 中。

8. 使用以下命令将 foreman-ipa-authentication 设置为 true：

   # satellite-installer --foreman-ipa-authentication=true

   Copy to Clipboard Toggle word wrap

9. 重启 Satellite 服务：

   # satellite-maintain service restart

   Copy to Clipboard Toggle word wrap

流程

1. 在 Red Hat Identity Management 服务器上，要进行身份验证，请输入以下命令并在提示时输入您的密码：

   # kinit admin

   Copy to Clipboard Toggle word wrap

2. 要验证您是否经过身份验证，请输入以下命令：

   # klist

   Copy to Clipboard Toggle word wrap

3. 在红帽身份管理服务器上创建 HBAC 服务和规则，并将它们链接在一起。以下示例使用 PAM 服务名称 satellite-prod。在 Red Hat Identity Management 服务器上执行以下命令：

   # ipa hbacsvc-add satellite-prod
   # ipa hbacrule-add allow_satellite_prod
   # ipa hbacrule-add-service allow_satellite_prod --hbacsvcs=satellite-prod

   Copy to Clipboard Toggle word wrap

4. 添加需要访问服务 satellite-prod 的用户，以及 Satellite 服务器的主机名：

   # ipa hbacrule-add-user allow_satellite_prod --user=username
   # ipa hbacrule-add-host allow_satellite_prod --hosts=satellite.example.com

   Copy to Clipboard Toggle word wrap

   或者，主机组和用户组可以添加到 allow_satellite_prod 规则中。

5. 要检查规则的状态，请执行：

   # ipa hbacrule-find satellite-prod
   # ipa hbactest --user=username --host=satellite.example.com --service=satellite-prod

   Copy to Clipboard Toggle word wrap
6. 确保 Red Hat Identity Management 服务器上禁用了 allow_all 规则。有关如何在不破坏其他服务的情况下执行此操作的说明，请参阅红帽客户门户网站中的 IdM 文章 如何在 IdM 中配置 HBAC 规则。

7. 配置红帽身份管理与 Satellite 服务器集成，如 第 14.2.1 节 “在 Satellite 服务器上配置红帽身份管理身份验证” 所述。在 Satellite 服务器上，将 PAM 服务定义为 root ：

   # satellite-installer --foreman-pam-service=satellite-prod

   Copy to Clipboard Toggle word wrap