第 26 章 使用 Ansible 确保 IdM 中存在和不存在服务
使用 Ansible service 模块，Identity Management(IdM)管理员可以确保 IdM 中没有对于 IdM 为非原生的特定服务。例如，您可以使用 service 模块来：
检查 IdM 客户端中是否存在手动安装的服务，并在缺少该服务时自动安装该服务。详情请查看：
- 检查在 IdM 中注册的服务是否附加了证书，并在缺少证书时自动安装该证书。详情请查看：
- 确保 IdM 服务条目中存在外部签名的证书。
允许 IdM 用户和主机检索并创建 service keytab。详情请查看：
允许 IdM 用户和主机向服务中添加 Kerberos 别名。详情请查看：
检查 IdM 客户端中是否不存在服务，并在服务存在时自动删除该服务。详情请查看：
26.1. 使用 Ansible playbook 确保 IdM 中是否存在 HTTP 服务
按照以下流程，使用 Ansible playbook 确保 HTTP 服务器在 IdM 中存在。
先决条件
- 托管 HTTP 服务的系统是 IdM 客户端。
- 您有 IdM 管理员密码。
流程
创建一个清单文件，如
inventory.file：$ touch inventory.file打开
inventory.file，并在[ipaserver]部分定义您要配置的 IdM 服务器。例如，要指示 Ansible 配置 server.idm.example.com，请输入：[ipaserver] server.idm.example.com
复制
/usr/share/doc/ansible-freeipa/playbooks/service/service-is-present.ymlAnsible playbook 文件。例如：$ cp /usr/share/doc/ansible-freeipa/playbooks/service/service-is-present.yml /usr/share/doc/ansible-freeipa/playbooks/service/service-is-present-copy.yml打开
/usr/share/doc/ansible-freeipa/playbooks/service/service-is-present-copy.ymlAnsible playbook 文件进行编辑：--- - name: Playbook to manage IPA service. hosts: ipaserver gather_facts: false vars_files: - /home/user_name/MyPlaybooks/secret.yml tasks: # Ensure service is present - ipaservice: ipaadmin_password: "{{ ipaadmin_password }}" name: HTTP/client.idm.example.com改写文件：
-
更改
ipaadmin_password变量定义的 IdM 管理员密码。 -
更改运行 HTTP 服务的 IdM 客户端的名称，如
ipaservice任务的name变量所定义。
-
更改
- 保存并退出 文件。
运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：
$ ansible-playbook --vault-password-file=password_file -v -i path_to_inventory_directory/inventory.file /usr/share/doc/ansible-freeipa/playbooks/service/service-is-present-copy.yml
验证
- 以 IdM 管理员身份登录 IdM Web UI。
-
进入到
IdentityServices。
如果在 Services 列表中列出了 HTTP/client.idm.example.com@IDM.EXAMPLE.COM，代表 Ansible playbook 已成功添加到 IdM。
其他资源
- 要保护 HTTP 服务器和浏览器客户端之间的通信，请参阅 向 Apache HTTP 服务器 添加 TLS 加密。
- 要为 HTTP 服务请求证书，请参阅 使用 certmonger 为服务获取 IdM 证书 中描述的流程。
