4.4. SSSD 和 FreeIPA 身份管理集成

流程

1. 使用以下命令运行 FreeIPA 服务器：

    docker run --name freeipa-server-container -it \
    -h server.freeipa.local -e PASSWORD=YOUR_PASSWORD \
    -v /sys/fs/cgroup:/sys/fs/cgroup:ro \
    -v /var/lib/ipa-data:/data:Z freeipa/freeipa-server

   server.freeipa.local 的参数 -h 代表 FreeIPA/IdM 服务器主机名。将 YOUR_PASSWORD 更改为您自己的密码。

2. 容器启动后，将 /etc/hosts 文件改为包括：

   x.x.x.x     server.freeipa.local

   如果没有进行此更改，您必须设置 DNS 服务器。

3. 使用以下命令在 IPA 域中注册您的 Linux 服务器，以便 SSSD 联邦供应商在红帽构建的 Keycloak 上启动并运行：

    ipa-client-install --mkhomedir -p admin -w password

4. 在客户端上运行以下命令验证安装是否正常工作：

    kinit admin

5. 输入您的密码。

6. 使用以下命令将用户添加到 IPA 服务器：

   $ ipa user-add <username> --first=<first name> --last=<surname> --email=<email address> --phone=<telephoneNumber> --street=<street> --city=<city> --state=<state> --postalcode=<postal code> --password

7. 使用 kinit 强制设置用户的密码。

    kinit <username>

8. 输入以下内容来恢复普通的 IPA 操作：

   kdestroy -A
   kinit admin

流程

1. 安装 sssd-dbus RPM。

   $ sudo yum install sssd-dbus

2. 运行以下置备脚本：

   $ bin/federation-sssd-setup.sh

   该脚本也可以用作为红帽构建的 Keycloak 配置 SSSD 和 PAM 的指南。它对 /etc/sssd/sssd.conf 进行以下更改：

     [domain/your-hostname.local]
     ...
     ldap_user_extra_attrs = mail:mail, sn:sn, givenname:givenname, telephoneNumber:telephoneNumber
     ...
     [sssd]
     services = nss, sudo, pam, ssh, ifp
     ...
     [ifp]
     allowed_uids = root, yourOSUsername
     user_attributes = +mail, +telephoneNumber, +givenname, +sn

   ifp 服务添加到 SSSD 中，并配置为允许 OS 用户通过这个接口对 IPA 服务器进行干预。

   该脚本还会创建一个新的 PAM 服务 /etc/pam.d/keycloak 以通过 SSSD 验证用户：

   auth    required   pam_sss.so
   account required   pam_sss.so

3. 运行 dbus-send 以确保设置成功。

   dbus-send --print-reply --system --dest=org.freedesktop.sssd.infopipe /org/freedesktop/sssd/infopipe org.freedesktop.sssd.infopipe.GetUserAttr string:<username> array:string:mail,givenname,sn,telephoneNumber
   
   dbus-send --print-reply --system --dest=org.freedesktop.sssd.infopipe /org/freedesktop/sssd/infopipe org.freedesktop.sssd.infopipe.GetUserGroups string:<username>

   如果设置成功，则每个命令分别显示用户的属性和组。如果有超时或错误，则在红帽构建的 Keycloak 上运行的联邦供应商无法检索任何数据。这个错误通常是因为服务器没有在 FreeIPA IdM 服务器中注册，或者没有访问 SSSD 服务的权限。

   如果您没有访问 SSSD 服务的权限，请确保运行红帽构建的 Keycloak 服务器的用户位于以下部分的 /etc/sssd/sssd.conf 文件中：

   [ifp]
   allowed_uids = root, yourOSUsername

   ipaapi 系统用户是在主机内创建的。ifp 服务需要此用户。检查用户是否已在系统中创建。

   grep ipaapi /etc/passwd
   ipaapi:x:992:988:IPA Framework User:/:/sbin/nologin

流程

1. 点菜单中的 User Federation。
2. 如果一切设置成功，则 Add Sssd providers 按钮将显示在页面中。点它。
3. 为新提供程序分配名称。
4. 点击 Save。