第 9 章 使用 Ansible 在 IdM 中自动化组成员资格
通过自动化组成员资格，您可以根据其属性自动分配用户、主机用户组和主机组。例如，您可以：
-
根据员工的经理、地点、职位或任何其他属性将员工的用户条目分成不同的组。您可以通过在命令行中输入
ipa user-add --help来列出所有属性。 -
根据它们的类、位置或任何其他属性，将主机分成不同的组。您可以通过在命令行中输入
ipa host-add --help来列出所有属性。 - 将所有用户或全部主机添加到单个全局组。
您可以使用 Red Hat Ansible Engine 来自动管理身份管理(IdM)中的自动化组成员资格。
本节涵盖了以下主题：
9.1. 使用 Ansible 确保 IdM 用户组的自动成员规则存在
以下流程描述了如何使用 Ansible playbook 确保身份管理(IdM)组的 自动成员 规则存在。在示例中，确保 testing_group 用户组的 自动成员 规则存在。
先决条件
-
您需要知道 IdM
admin密码。 - IdM 中存在 testing_group 用户组。
您已配置了 Ansible 控制节点以满足以下要求：
- 您使用 Ansible 版本 2.14 或更高版本。
-
您已在 Ansible 控制器上安装了
ansible-freeipa软件包。 - 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了带有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
-
示例假定 secret.yml Ansible vault 存储了
ipaadmin_password。
-
目标节点（这是执行
ansible-freeipa模块的节点）是 IdM 域的一部分，来作为 IdM 客户端、服务器或副本。
流程
进入您的 ~/MyPlaybooks/ 目录：
$ cd ~/MyPlaybooks/复制位于
/usr/share/doc/ansible-freeipa/playbooks/automember/目录中的automember-group-present.ymlAnsible playbook 文件：$ cp /usr/share/doc/ansible-freeipa/playbooks/automember/automember-group-present.yml automember-group-present-copy.yml-
打开
automember-group-present-copy.yml文件进行编辑。 通过在
ipaautomember任务部分中设置以下变量来调整该文件：-
将
ipaadmin_password变量设置为 IdMadmin的密码。 -
将
name变量设为 testing_group。 -
将
automember_type变量设为 group。 -
确保
state变量设置为present。
这是当前示例修改的 Ansible playbook 文件：
--- - name: Automember group present example hosts: ipaserver vars_files: - /home/user_name/MyPlaybooks/secret.yml tasks: - name: Ensure group automember rule admins is present ipaautomember: ipaadmin_password: "{{ ipaadmin_password }}" name: testing_group automember_type: group state: present-
将
- 保存这个文件。
运行 Ansible playbook。指定 playbook 文件、存储保护 secret.yml 文件的密码，以及清单文件：
$ ansible-playbook --vault-password-file=password_file -v -i inventory automember-group-present-copy.yml
