8.2. 使用身份管理

过程 8.2. 在 Satellite 服务器上配置 IdM 身份验证：

1. 在 IdM 服务器上，为 Satellite 服务器创建一个主机条目并生成一次性密码，例如：

   # ipa host-add --random hostname

   Copy to Clipboard Toggle word wrap
   注意
   生成的一次性密码必须在客户端中使用，以完成 IdM 注册。
   有关主机配置属性的更多信息，请参阅 Red Hat Enterprise Linux 7 Linux 域身份、身份验证和策略指南^[5].
2. 为 Satellite 服务器创建 HTTP 服务，例如：

   # ipa service-add servicename/hostname

   Copy to Clipboard Toggle word wrap
   有关管理服务的更多信息，请参阅 Red Hat Enterprise Linux 7 Linux 域身份、身份验证和策略指南^[6].
3. 在 Satellite 服务器上，以 root 用户身份执行以下命令来配置 IdM 注册：

   # ipa-client-install --password OTP

   Copy to Clipboard Toggle word wrap
   将 OTP 替换为 IdM 管理员提供的一次性密码。
4. 如果 Satellite 服务器在 Red Hat Enterprise Linux 7 上运行，请执行以下命令：

   # subscription-manager repos --enable rhel-7-server-optional-rpms

   Copy to Clipboard Toggle word wrap
   安装程序依赖于 Red Hat Enterprise Linux 7 上的软件包，这些软件包位于可选存储库 rhel-7-server-optional-rpms 中。在 Red Hat Enterprise Linux 6 中，所有必要的软件包都位于 基础 存储库中。
5. 执行以下命令：

   # satellite-installer --foreman-ipa-authentication=true

   Copy to Clipboard Toggle word wrap
   此命令不仅限于全新的 Satellite 安装；您可以使用该命令修改现有的 Satellite 安装。
6. 重启 Katello 服务：

   # katello-service restart

   Copy to Clipboard Toggle word wrap

过程 8.3. 配置 HBAC:

1. 在 IdM 服务器上创建 HBAC 服务及规则，并将它们链接在一起。以下示例使用 PAM 服务名称 satellite-prod。在 IdM 服务器上执行以下命令：

   $ ipa hbacsvc-add satellite-prod
   $ ipa hbacrule-add allow_satellite_prod
   $ ipa hbacrule-add-service allow_satellite_prod --hbacsvcs=satellite-prod
   

   Copy to Clipboard Toggle word wrap
2. 添加有权访问 satellite-prod 服务的用户，以及 Satellite 服务器的主机名：

   $ ipa hbacrule-add-user allow_satellite_prod --user=username
   $ ipa hbacrule-add-host allow_satellite_prod --hosts=the-satellite-fqdn

   Copy to Clipboard Toggle word wrap
   此外，也可将主机组和用户组添加到 allow_satellite_prod 规则中。
3. 要检查规则的状态，请执行：

   $ ipa hbacrule-find satellite-prod
   $ ipa hbactest --user=username --host=the-satellite-fqdn --service=satellite-prod
   

   Copy to Clipboard Toggle word wrap
4. 确保 IdM 服务器上禁用了 allow_all 规则。有关如何在不中断其他服务的情况下进行此操作的说明，请参阅红帽客户门户网站中的 如何在 IdM 中配置 HBAC 规则^[8].
5. 配置 IdM 与 Satellite 服务器的集成，如 过程 8.2, “在 Satellite 服务器上配置 IdM 身份验证：” 所述。在 Satellite 服务器上，将 PAM 服务定义为 root ：

   # satellite-installer --foreman-pam-service=satellite-prod
   

   Copy to Clipboard Toggle word wrap