87.5. 使用 Ansible 启用 AD 用户管理 IdM

流程

1. 在 Ansible 控制节点上，创建一个带有任务的 enable-ad-admin-to-administer-idm.yml playbook，将 administrator@addomain.com 用户覆盖添加到 Default Trust View 中：

   ---
   - name: Enable AD administrator to act as a FreeIPA admin
     hosts: ipaserver
     become: false
     gather_facts: false
   
     tasks:
     - name: Ensure idoverride for administrator@addomain.com in 'default trust view'
       ipaidoverrideuser:
         ipaadmin_password: "{{ ipaadmin_password }}"
         idview: "Default Trust View"
         anchor: administrator@addomain.com

2. 在同一 playbook 中使用另一个 playbook 任务，将 AD 管理员用户 ID 覆盖添加到 admins 组中：

     - name: Add the AD administrator as a member of admins
       ipagroup:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: admins
         idoverrideuser:
         - administrator@addomain.com

3. 保存该文件。

4. 运行 Ansible playbook。指定 playbook 文件、存储密码的文件保护 secret.yml 文件以及清单文件：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory enable-ad-admin-to-administer-idm.yml

验证

1. 以 AD Administrator 用户身份登录 IdM 客户端：

   $ ssh administrator@addomain.com@client.idm.example.com

2. 验证您是否获得了有效的票据授予票(TGT)：

   $ klist
   Ticket cache: KCM:325600500:99540
   Default principal: Administrator@ADDOMAIN.COM
   Valid starting Expires Service principal
   02/04/2024 11:54:16 02/04/2024 21:54:16 krbtgt/ADDOMAIN.COM@ADDOMAIN.COM
   renew until 02/05/2024 11:54:16

3. 在 IdM 中验证您的 admin 权限：

   $ ipa user-add testuser --first=test --last=user
   ------------------------
   Added user "tuser"
   ------------------------
     User login: tuser
     First name: test
     Last name: user
     Full name: test user
   [...]