跳至主要內容

在身份管理中使用外部的红帽实用程序

大约 33 分钟

在身份管理中使用外部的红帽实用程序

来源：官方文档 原始多页入口：在身份管理中使用外部的红帽实用程序 内容规模：约 38,855 字符，35 个章节标题，92 个命令/代码块，10 条提示框

阅读提要

  • 副标题：在 IdM 中集成服务和红帽产品
  • 摘要：管理员可以将服务和红帽产品集成到 Red Hat Enterprise Linux Identity Management (IdM)域中。这包括 Samba、Ansible 和自动挂载等服务，以及 OpenShift Container Platform、OpenStack 和 Satellite 等产品。然后，IdM 用户可以访问这些服务和产品。
  • 主要章节：在 IdM 中集成服务和红帽产品；对红帽文档提供反馈；第 1 章 IdM 与红帽产品集成；第 2 章 使用外部身份提供者向 IdM 进行身份验证；第 3 章 在 IdM 域成员中设置 Samba；第 4 章 从 NIS 迁移到身份管理；第 5 章 使用 Ansible 为 IdM 用户自动挂载 NFS 共享
  • 推荐阅读顺序：先看“阅读提要”和目录，再按章节查看“关键点/命令/注意”；需要原文细节时点击来源链接。

章节笔记

概览

  • 该章节主要为下一级主题的入口。

在 IdM 中集成服务和红帽产品

  • 要点：摘要

对红帽文档提供反馈

  • 要点：我们感谢您对我们文档的反馈。让我们了解如何改进它。
  • 要点：通过 Jira 提交反馈（需要帐户）
  • 列表：登录到 Jira 网站。
  • 列表：在顶部导航栏中点 Create
  • 列表：在 Summary 字段中输入描述性标题。
  • 列表：在 Description 字段中输入您对改进的建议。包括文档相关部分的链接。
  • 列表：点对话框底部的 Create。

第 1 章 IdM 与红帽产品集成

  • 要点：查找与 IdM 集成的其他红帽产品的文档。您可以配置这些产品，以允许 IdM 用户可以访问它们的服务。
  • 列表：Ansible Automation Platform
  • 列表：OpenShift Container Platform
  • 列表：Red Hat OpenStack Platform
  • 列表：Red Hat Satellite
  • 列表：红帽单点登录
  • 列表：Red Hat Virtualization

第 2 章 使用外部身份提供者向 IdM 进行身份验证

  • 要点：您可以将用户与支持 OAuth 2 设备授权流的外部身份提供者(IdP)关联。
  • 要点：当这些用户与 SSSD 进行身份验证时，它们会在外部 IdP 执行身份验证和授权后获得带有 Kerberos 票据的 RHEL 身份管理(IdM)单点登录功能。
  • 列表：使用 ipa idp-* 命令添加、修改和删除对外部 IdP 的引用。
  • 列表：使用 ipa user-mod --user-auth-type=idp 命令为用户启用 IdP 身份验证。 支持什么
  • 列表：启用了 键盘互动 验证方法通过 SSH 远程登录，它允许调用可插拔式身份验证模块 (PAM) 库。
  • 列表：通过 logind 服务，使用控制台本地登录。
  • 列表：使用 kinit 工具检索 Kerberos 票据授予票据 (TGT)。 当前不支持什么
  • 列表：直接登录到 IdM WebUI。要登录到 IdM WebUI，您必须首先获取一个 Kerberos ticket。

2.1. 将 IdM 连接到外部 IdP 的好处

  • 要点：作为管理员，您可能想要允许存储在外部身份源（如云服务供应商）中的用户访问连接到 Identity Management (IdM) 环境的 RHEL 系统。要达到此目的，您可以将这些用户的 Kerberos 票据的身份验证和授权过程委托给该外部实体。
  • 要点：您可以使用此功能扩展 IdM 的功能，并允许存储在外部身份提供者(IdP) 中的用户访问由 IdM 管理的 Linux 系统。

2.2. IdM 如何通过外部 IdP 融合登录

  • 要点：SSSD 2.7.0 包含 sssd-idp 软件包，该软件包可实施 idp Kerberos pre-authentication 方法。这个验证方法遵循 OAuth 2.0 设备授权流，将授权决策委托给外部 IdP：
  • 要点：用户在浏览器中打开网站链接，可以在另一个主机上、移动电话等：
  • 列表：IdM 客户端用户启动 OAuth 2.0 设备授权流，例如，通过在命令行中使用 kinit 实用程序检索 Kerberos TGT。
  • 列表：一个特殊的代码和网站链接从授权服务器发送到 IdM KDC 后端。
  • 列表：IdM 客户端显示用户的链接和代码。在本例中，IdM 客户端会在命令行上输出链接和代码。
  • 列表：用户在浏览器中打开网站链接，可以在另一个主机上、移动电话等： 用户输入特殊代码。 如有必要，用户登录到基于 OAuth 2.0 的 IdP。 系统将提示用户授权客户端访问信息。
  • 列表：用户输入特殊代码。
  • 列表：如有必要，用户登录到基于 OAuth 2.0 的 IdP。

2.3. 创建一个到外部身份提供者的引用

  • 要点：要将外部身份提供者(IdP)连接到您的身份管理(IdM)环境，请在 IdM 中创建 IdP 引用。完成此流程，来根据 Keycloak 模板创建一个到 IdP 的名为 my-keycloak-idp 的引用。有关更多参考模板，请参阅 IdM 中对不同外部 IdP 的参考示例。
  • 要点：先决条件
  • 列表：您已将 IdM 作为 OAuth 应用程序注册到外部 IdP，并获取了客户端 ID。
  • 列表：您可以作为 IdM admin 帐户进行身份验证。
  • 列表：在 IdM 服务器中作为 IdM 管理员进行身份验证。 [root@server ~]# kinit admin
  • 列表：根据 Keycloak 模板，创建一个到 IdP 的名为 my-keycloak-idp 的引用，其中 --base-url 选项指定到 Keycloak 服务器的 URL，格式为 server-name.$DOMAIN:$PORT/prefix。 [root@server ~]# ipa idp-add my-keycloak-idp \ --provider keycloak --organization main \ --base-url keycloak.idm.example.com:8443/auth \ --client-id id13778 ----------------------------------…
  • 列表：验证 ipa idp-show 命令的输出显示您创建的 IdP 引用。 [root@server ~]# ipa idp-show my-keycloak-idp
  • 列表：IdM 中到不同外部 IdP 的引用示例
  • 命令/配置摘录：
[root@server ~]# kinit admin
[root@server ~]# ipa idp-add my-keycloak-idp \  --provider keycloak --organization main \  --base-url keycloak.idm.example.com:8443/auth \  --client-id id13778 ------------------------------------------------ Added Identity Provider reference "my-keycloak-idp" ------------------------------------------------  Identity Provider reference name: my-keycloak-idp  Authorization URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/auth  Device authorization URI: https://keycloak.idm.example.com:8443/auth/realms/main/protocol/openid-connect/auth/device  Token URI: https://keycloak.idm.example.com:8443/auth/realms/main…

2.4. IdM 中到不同外部 IdP 的引用示例

  • 要点：下表列出了在 IdM 中创建到不同 IdP 的引用的 ipa idp-add 命令的示例。
  • 要点：其他资源
  • 列表：创建一个到外部身份提供者的引用
  • 列表：在 IdM 中管理外部身份提供者的 ipa idp-* 命令的选项
  • 列表：ipa idp-* 命令中的 --provider 选项
  • 列表：将 IdM 配置为使用 Google 作为外部 IdP （红帽知识库）
  • 列表：将 IdM 配置为使用 Entra ID (Azure AD)作为外部 IdP （红帽知识库）
  • 列表：将 IdM 配置为使用 GitHub 作为外部 IdP （红帽知识库）
  • 注意：注意 Keycloak 17 及更新版本的 Quarkus 版本已删除 URI 的 /auth/ 部分。如果您在部署中使用 Keycloak 的非Quarkus 分发，请在 --base-url 选项中包含 /auth/。
  • 表格样本（共 6 行）：
    • 身份供应商 | 重要选项 | 命令示例
    • Microsoft Identity Platform、Azure AD | --provider microsoft --organization | # ipa idp-add my-azure-idp \ --provider microsoft \ --organization main \ --client-id <azure_client_id>
    • Google | --provider google | # ipa idp-add my-google-idp \ --provider google \ --client-id <google_client_id>
    • GitHub | --provider github | # ipa idp-add my-github-idp \ --provider github \ --client-id <github_client_id>

2.5. 在 IdM 中管理外部身份提供者的 ipa idp-* 命令的选项

  • 要点：以下示例演示了如何根据不同的 IdP 模板配置到外部 IdP 的引用。使用以下选项指定设置：
  • 要点：其他资源
  • 列表：创建一个到外部身份提供者的引用
  • 列表：IdM 中到不同外部 IdP 的引用示例
  • 列表：ipa idp-* 命令中的 --provider 选项

2.6. 管理对外部 IdP 的引用

  • 要点：创建到外部身份提供者(IdP) 的引用后，您可以找到、显示、修改和删除该引用。本例演示了如何管理对名为 keycloak-server1 的外部 IdP 的引用。
  • 要点：先决条件
  • 列表：您可以作为 IdM admin 帐户进行身份验证。
  • 列表：您已在 IdM 中创建了到外部 IdP 的引用。请参阅创建对外部身份提供者的引用。
  • 列表：在 IdM 服务器中作为 IdM 管理员进行身份验证。 [root@server ~]# kinit admin
  • 列表：管理 IdP 参考。 查找 IdP 参考，其条目包括字符串 keycloak ： [root@server ~]# ipa idp-find keycloak 显示名为 my-keycloak-idp 的 IdP 参考： [root@server ~]# ipa idp-show my-keycloak-idp 要修改 IdP 参考，请使用 ipa idp-mod 命令。例如，要更改名为 my-keycloak-idp 的 IdP 参考的 secret，请指定要提示输入 secret 的 --secret 选项： [root@server ~]# ipa idp-mod my-keycloak-idp --secret 删除名为 …
  • 列表：查找 IdP 参考，其条目包括字符串 keycloak ： [root@server ~]# ipa idp-find keycloak
  • 列表：显示名为 my-keycloak-idp 的 IdP 参考： [root@server ~]# ipa idp-show my-keycloak-idp
  • 命令/配置摘录：
[root@server ~]# kinit admin
[root@server ~]# ipa idp-find keycloak

2.7. 启用 IdM 用户通过外部 IdP 进行身份验证

  • 要点：要使 IdM 用户能够通过外部身份提供者(IdP)进行身份验证，请将之前创建的外部 IdP 引用与用户帐户关联。这个示例将外部 IdP 引用 keycloak-server1 与用户 idm-user-with-external-idp 相关联。
  • 要点：先决条件
  • 列表：您已在 IdM 中创建了到外部 IdP 的引用。请参阅创建对外部身份提供者的引用。
  • 列表：修改 IdM 用户条目，将 IdP 引用与用户帐户关联： [root@server ~]# ipa user-mod idm-user-with-external-idp \ --idp my-keycloak-idp \ --idp-user-id idm-user-with-external-idp@idm.example.com \ --user-auth-type=idp --------------------------------- Modified user "idm-user-with-external-idp" --------------------------------- User login: …
  • 列表：验证该用户的 ipa user-show 命令的输出是否显示对 IdP 的引用： [root@server ~]# ipa user-show idm-user-with-external-idp User login: idm-user-with-external-idp First name: Test Last name: User1 Home directory: /home/idm-user-with-external-idp Login shell: /bin/sh Principal name: idm-user-with-external-idp@idm.example.com Principal a…
  • 命令/配置摘录：
[root@server ~]# ipa user-mod idm-user-with-external-idp \  --idp my-keycloak-idp \  --idp-user-id idm-user-with-external-idp@idm.example.com \  --user-auth-type=idp --------------------------------- Modified user "idm-user-with-external-idp" ---------------------------------  User login: idm-user-with-external-idp  First name: Test  Last name: User1  Home directory: /home/idm-user-with-external-idp  Login shell: /bin/sh  Principal name: idm-user-with-external-idp@idm.example.com  Principal alias: idm-user-with-external-idp@idm.example.com  Email address: idm-user-with-external-idp@idm.example.com  UID: 35000003  GID: 35000003  User authenti…
[root@server ~]# ipa user-show idm-user-with-external-idp  User login: idm-user-with-external-idp  First name: Test  Last name: User1  Home directory: /home/idm-user-with-external-idp  Login shell: /bin/sh  Principal name: idm-user-with-external-idp@idm.example.com  Principal alias: idm-user-with-external-idp@idm.example.com  Email address: idm-user-with-external-idp@idm.example.com  ID: 35000003  GID: 35000003  User authentication types: idp  External IdP configuration: keycloak  External IdP user identifier: idm-user-with-external-idp@idm.example.com  Account disabled: False  Password: False  Member of groups: ipausers  Kerberos keys avail…

2.8. 以外部 IdP 用户身份检索 IdM 票据授予票据

  • 要点：如果您已将身份管理(IdM)用户的身份验证委派给外部身份提供者(IdP)，则 IdM 用户可以通过认证到外部 IdP 来请求 Kerberos 票据授予票据(TGT)。
  • 要点：完成此流程，来：
  • 列表：在本地检索和存储匿名 Kerberos 票据。
  • 列表：使用kinit 和 -T 选项为 idm-user-with-external-idp 用户请求 TGT，以通过 Secure Tunneling (FAST)渠道启用灵活的身份验证，来在 Kerberos 客户端和 Kerberos 分发中心(KDC)之间提供安全连接。
  • 列表：您已在 IdM 中创建了到外部 IdP 的引用。请参阅创建对外部身份提供者的引用。
  • 列表：您已与用户帐户关联了一个外部 IdP 参考。请参阅启用 IdM 用户来通过外部 IdP 进行身份验证。
  • 列表：您最初以其份登录的用户对本地文件系统中的目录有写权限。
  • 列表：使用 Anonymous PKINIT 获取 Kerberos 票据，并将其存储在名为 ./fast.ccache 的文件中。 $ kinit -n -c ./fast.ccache
  • 命令/配置摘录：
$ kinit -n -c ./fast.ccache
$ klist -c fast.ccache Ticket cache: FILE:fast.ccache Default principal: WELLKNOWN/ANONYMOUS@WELLKNOWN:ANONYMOUS Valid starting Expires Service principal 03/03/2024 13:36:37 03/04/2024 13:14:28 krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM

2.9. 以外部 IdP 用户身份通过 SSH 登录到 IdM 客户端

  • 要点：要以外部身份提供者(IdP) 用户的身份通过 SSH 登录到 IdM 客户端，请在命令行上开始登录过程。出现提示时，在与 IdP 关联的网站上执行身份验证过程，并在 Identity Management (IdM) 客户端上完成该过程。
  • 要点：先决条件
  • 列表：您已在 IdM 中创建了到外部 IdP 的引用。请参阅创建对外部身份提供者的引用。
  • 列表：您已与用户帐户关联了一个外部 IdP 参考。请参阅启用 IdM 用户来通过外部 IdP 进行身份验证。
  • 列表：尝试通过 SSH 登录到 IdM 客户端。 [user@client ~]$ ssh idm-user-with-external-idp@client.idm.example.com (idm-user-with-external-idp@client.idm.example.com) Authenticate at https://oauth2.idp.com:8443/auth/realms/main/device?user_code=XYFL-ROYR and press ENTER.
  • 列表：在浏览器中，以命令输出中提供的网站的用户身份进行身份验证。
  • 列表：在命令行中，按 Enter 键来完成身份验证过程。
  • 列表：显示您的 Kerberos ticket 信息，并确认对于带有外部 IdP 的预身份验证的行 config: pa_type 显示 152。 [idm-user-with-external-idp@client ~]$ klist -C Ticket cache: KCM:0:58420 Default principal: idm-user-with-external-idp@IDM.EXAMPLE.COM Valid starting Expires Service principal 05/09/22 07:48:23 05/10/22 07:03:07 krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.…
  • 命令/配置摘录：
[user@client ~]$ ssh idm-user-with-external-idp@client.idm.example.com (idm-user-with-external-idp@client.idm.example.com) Authenticate at https://oauth2.idp.com:8443/auth/realms/main/device?user_code=XYFL-ROYR and press ENTER.
[idm-user-with-external-idp@client ~]$ klist -C Ticket cache: KCM:0:58420 Default principal: idm-user-with-external-idp@IDM.EXAMPLE.COM Valid starting Expires Service principal 05/09/22 07:48:23 05/10/22 07:03:07 krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM config: fast_avail(krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM) = yes 08/17/2022 20:22:45 08/18/2022 20:22:43 krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM config: pa_type(krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM) = 152

2.10. ipa idp-* 命令中的 --provider 选项

  • 要点：以下身份提供者 (IdP) 支持 OAuth 2.0 设备授权流：
  • 要点：当使用 ipa idp-add 命令创建对其中一个外部 IdP 的引用时，您可以使用 --provider 选项指定 IdP 类型，它扩展至额外的选项，如下所述：
  • 列表：Microsoft Identity Platform，包括 Azure AD
  • 列表：Google
  • 列表：GitHub
  • 列表：Keycloak，包括 Red Hat Single Sign-On (SSO)
  • 列表：Okta
  • 列表：预填充的 IdP 模板
  • 命令/配置摘录：
[root@client ~]# ipa idp-add MySSO --provider keycloak \  --org main --base-url keycloak.domain.com:8443/auth \  --client-id <your-client-id>
[root@client ~]# ipa idp-add MyOkta --provider okta --base-url dev-12345.okta.com --client-id <your-client-id>
  • 表格样本（共 8 行）：
    • 选项 | 值
    • --auth-uri=URI | https://login.microsoftonline.com/${ipaidporg}/oauth2/v2.0/authorize
    • --dev-auth-uri=URI | https://login.microsoftonline.com/${ipaidporg}/oauth2/v2.0/devicecode
    • --token-uri=URI | https://login.microsoftonline.com/${ipaidporg}/oauth2/v2.0/token

2.11. 其他资源

  • 列表：使用 Ansible 将 IdM 用户的身份验证委派给外部身份提供者

第 3 章 在 IdM 域成员中设置 Samba

  • 要点：您可以在加入到 Red Hat Identity Management (IdM)域的主机上设置 Samba。来自IdM的用户，以及来自受信任的 Active Directory(AD)域的用户(如果有的话)可以访问 Samba 提供的共享和打印机服务。
  • 要点：如果 AD 域中的用户需要访问 Samba 提供的共享和打印机服务，请确保在 AD 中启用了 AES 加密类型。如需更多信息，请参阅 使用 GPO 在活动目录中启用 AES 加密类型。
  • 注意：重要 对 IdM 域成员使用 Samba 是一种不受支持的技术预览特性，且包含了某些限制。例如，IdM 信任控制器不支持活动目录全局目录服务，并且不支持使用分布式计算环境/远程过程调用(DCE/RPC)协议解析 IdM 组。因此，AD 用户在登录到其他 IdM 客户端时只能访问 IdM 客户端上托管的 Samba 共享和打印机；登录到 Windows 机器的 AD 用户无法访问 IdM 域成员上托管的 Samba 共享。 我们鼓励在 IdM 域成员中部署 Samba 的用户向红帽提供反馈意见。

3.1. 先决条件

  • 列表：主机作为 IdM 域的客户端加入。
  • 列表：IdM 服务器和客户端必须运行在 RHEL 10 上。

3.2. 准备 IdM 域以便在域成员中安装 Samba

  • 要点：在IdM客户端上设置Samba之前，必须在IdM服务器上使用ipa-adtrust-install工具来准备IdM域。
  • 要点：先决条件
  • 列表：IdM 服务器已安装。
  • 列表：您有 root 特权来安装软件包和重启 IdM 服务。
  • 列表：安装所需的软件包： [root@ipaserver ~]# dnf install ipa-server-trust-ad samba-client
  • 列表：以 IdM 管理用户身份进行身份验证： [root@ipaserver ~]# kinit admin
  • 列表：运行ipa-adtrust-install工具： [root@ipaserver ~]# ipa-adtrust-install 如果 IdM 安装了集成的 DNS 服务器，则会自动创建 DNS 服务记录。 如果您安装的IdM没有集成 DNS 服务器，ipa-adtrust-install会打印一个服务记录列表，您必须手动将其添加到DNS后才能继续操作。
  • 列表：该脚本会提示您/etc/samba/smb.conf已存在，并将被重写： WARNING: The smb.conf already exists. Running ipa-adtrust-install will break your existing Samba configuration. Do you wish to continue? [no]: yes
  • 命令/配置摘录：
[root@ipaserver ~]# dnf install ipa-server-trust-ad samba-client
[root@ipaserver ~]# kinit admin
  • 注意：注意 运行ipa-adtrust-install命令的任何系统都会自动成为 AD 信任控制器。但是，您只能在 IdM 服务器上运行ipa-adtrust-install一次。

3.3. 在 IdM 客户端中安装和配置 Samba 服务器

  • 要点：您可以在 IdM 客户端上安装和配置 Samba，以便安全地共享具有集成身份验证的文件，利用 IdM 域帐户访问。确保适当的先决条件和配置，以便在您的网络上启用无缝资源共享。
  • 要点：先决条件
  • 列表：IdM 服务器和客户端必须运行在 RHEL 10 或更高版本上。
  • 列表：IdM 域已就绪，如 准备 IdM 域以便在域成员上安装 Samba 中所述。
  • 列表：如果 IdM 具有配置了 AD 的信任，请为 Kerberos 启用 AES 加密类型。例如，使用组策略对象(GPO)来启用 AES 加密类型。详情请参阅 使用 GPO 在活动目录中启用 AES 加密。
  • 列表：安装ipa-client-samba软件包： [root@idm_client]# dnf install ipa-client-samba
  • 列表：使用ipa-client-samba工具准备客户端并创建初始 Samba 配置： [root@idm_client]# ipa-client-samba Searching for IPA server... IPA server: DNS discovery Chosen IPA master: idm_server.idm.example.com SMB principal to be created: cifs/idm_client.idm.example.com@IDM.EXAMPLE.COM NetBIOS name to be used: IDM_CLIENT Discovered domains to use: D…
  • 列表：默认情况下，ipa-client-samba会自动将[homes]部分添加到/etc/samba/smb.conf文件中，该文件在用户连接时动态共享用户的主目录。如果用户在这个服务器上没有主目录，或者您不想共享主目录，请从/etc/samba/smb.conf中删除以下行： [homes] read only = no
  • 命令/配置摘录：
[root@idm_client]# dnf install ipa-client-samba
[root@idm_client]# ipa-client-samba Searching for IPA server... IPA server: DNS discovery Chosen IPA master: idm_server.idm.example.com SMB principal to be created: cifs/idm_client.idm.example.com@IDM.EXAMPLE.COM NetBIOS name to be used: IDM_CLIENT Discovered domains to use:  Domain name: idm.example.com NetBIOS name: IDM  SID: S-1-5-21-525930803-952335037-206501584  ID range: 212000000 - 212199999  Domain name: ad.example.com NetBIOS name: AD  SID: None  ID range: 1918400000 - 1918599999 Continue to configure the system with these values? [no]: yes Samba domain member is configured. Please check configuration at /etc/samba/smb.conf and star…

3.4. 如果 IdM 信任新域，请手动添加 ID 映射配置

  • 要点：Samba 需要一个 ID 映射配置，用户可从该域访问资源。在 IdM 客户端上运行的现有 Samba 服务器上，在管理员向 Active Directory(AD)域添加了新的信任后，您必须手动添加 ID 映射配置。
  • 要点：先决条件
  • 列表：您在 IdM 客户端中配置了 Samba。之后，IdM 增加了一个新的信任。
  • 列表：在可信 AD 域中必须禁用 Kerberos 的 DES 和 RC4 加密类型。为了安全起见，RHEL 10 不支持这些弱加密类型。
  • 列表：使用主机的 keytab 进行身份验证： [root@idm_client]# kinit -k
  • 列表：使用ipa idrange-find命令来显示新域的基本 ID 和 ID 范围大小。例如，以下命令显示了ad.example.com域的值： [root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw --------------- 1 range matched --------------- cn: AD.EXAMPLE.COM_id_range ipabaseid: 1918400000 ipaidrangesize: 200000 ipabaserid: 0 ipanttrusteddomainsid: S-1-5-21-9…
  • 列表：要计算可用最高的 ID，请使用以下公式： maximum_range = ipabaseid + ipaidrangesize - 1 使用上一步中的值，ad.example.com域的最大可用 ID 是1918599999(1918400000 + 200000 - 1)。
  • 列表：编辑/etc/samba/smb.conf文件，并将域的 ID 映射配置添加到[global]部分： idmap config AD : range = 1918400000 - 1918599999 idmap config AD : backend = sss 将ipabaseid属性的值指定为最小值，将上一步中的计算值指定为该范围的最大值。
  • 命令/配置摘录：
[root@idm_client]# kinit -k
[root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw --------------- 1 range matched ---------------  cn: AD.EXAMPLE.COM_id_range  ipabaseid: 1918400000  ipaidrangesize: 200000  ipabaserid: 0  ipanttrusteddomainsid: S-1-5-21-968346183-862388825-1738313271  iparangetype: ipa-ad-trust ---------------------------- Number of entries returned 1 ----------------------------

3.5. 其它资源

  • 列表：安装身份管理客户端

第 4 章 从 NIS 迁移到身份管理

  • 要点：网络信息服务(NIS)服务器可以包含有关用户、组、主机、网络组和自动挂载映射的信息。作为系统管理员，您可以将这些条目类型、身份验证和授权从 NIS 服务器迁移到身份管理(IdM)服务器，以便在 IdM 服务器上执行所有用户管理操作。从 NIS 迁移到 IdM 还允许您访问更为安全的协议，如 Kerberos。

4.1. 在 IdM 中启用 NIS

  • 要点：要允许 NIS 和 Identity Management(IdM)服务器之间的通信，您必须在 IdM 服务器中启用 NIS 兼容性选项。
  • 要点：先决条件
  • 列表：在 IdM 服务器中具有 root 访问权限。
  • 列表：在 IdM 服务器中启用 NIS 侦听程序和兼容性插件： [root@ipaserver ~]# ipa-nis-manage enable [root@ipaserver ~]# ipa-compat-manage enable
  • 列表：可选：对于更严格的防火墙配置，请设置一个固定的端口。 例如，要将端口设置为未使用的端口 514 ： [root@ipaserver ~]# ldapmodify -x -D 'cn=directory manager' -W dn: cn=NIS Server,cn=plugins,cn=config changetype: modify add: nsslapd-pluginarg0 nsslapd-pluginarg0: 514 警告 为避免与其他服务冲突，请勿使用任何 1024 以上的端口号。
  • 列表：启用并启动端口映射器服务： [root@ipaserver ~]# systemctl enable rpcbind.service [root@ipaserver ~]# systemctl start rpcbind.service
  • 列表：重启目录服务器： [root@ipaserver ~]# systemctl restart dirsrv.target
  • 命令/配置摘录：
[root@ipaserver ~]# ipa-nis-manage enable [root@ipaserver ~]# ipa-compat-manage enable
[root@ipaserver ~]# ldapmodify -x -D 'cn=directory manager' -W dn: cn=NIS Server,cn=plugins,cn=config changetype: modify add: nsslapd-pluginarg0 nsslapd-pluginarg0: 514
  • 注意：警告 为避免与其他服务冲突，请勿使用任何 1024 以上的端口号。

4.2. 将用户条目从 NIS 迁移到 IdM

  • 要点：NIS passwd 映射包含有关用户的信息，如名称、UID、主组、GECOS、shell 和主目录。使用此数据将 NIS 用户帐户迁移到身份管理(IdM)：
  • 要点：先决条件
  • 列表：在 NIS 服务器中具有 root 访问权限.
  • 列表：在 IdM 中启用了 NIS。
  • 列表：NIS 服务器已加入 IdM。
  • 列表：您有可存储导入用户的 UID 的 ID 范围。
  • 列表：安装 yp-tools 软件包： [root@nis-server ~]# dnf install yp-tools -y
  • 列表：在 NIS 服务器中 创建包含以下内容的 /root/nis-users.sh 脚本： #!/bin/sh # $1 is the NIS domain, $2 is the primary NIS server ypcat -d $1 -h $2 passwd > /dev/shm/nis-map.passwd 2>&1 IFS=$'\n' for line in $(cat /dev/shm/nis-map.passwd) ; do IFS=' ' username=$(echo $line | cut -f1 -d:) # Not collecting encrypted password because we nee…
  • 命令/配置摘录：
[root@nis-server ~]# dnf install yp-tools -y
#!/bin/sh # $1 is the NIS domain, $2 is the primary NIS server ypcat -d $1 -h $2 passwd > /dev/shm/nis-map.passwd 2>&1 IFS=$'\n' for line in $(cat /dev/shm/nis-map.passwd) ; do  IFS=' '  username=$(echo $line | cut -f1 -d:)  # Not collecting encrypted password because we need cleartext password  # to create kerberos key  uid=$(echo $line | cut -f3 -d:)  gid=$(echo $line | cut -f4 -d:)  gecos=$(echo $line | cut -f5 -d:)  homedir=$(echo $line | cut -f6 -d:)  shell=$(echo $line | cut -f7 -d:)  # Now create this entry  echo passw0rd1 | ipa user-add $username --first=NIS --last=USER \  --password --gidnumber=$gid --uid=$uid --gecos="$gecos" --hom…
  • 注意：重要 此脚本对名字、姓氏使用硬编码值，并将密码设置为 passw0rd1。用户在下次登录时必须更改临时密码。

4.3. 将用户组从 NIS 迁移到 IdM

  • 要点：NIS 组 映射包含有关组的信息，如组名称、GID 或组成员。使用此数据将 NIS 组迁移到身份管理(IdM)：
  • 要点：先决条件
  • 列表：在 NIS 服务器中具有 root 访问权限.
  • 列表：在 IdM 中启用了 NIS。
  • 列表：NIS 服务器已加入 IdM。
  • 列表：安装 yp-tools 软件包： [root@nis-server ~]# dnf install yp-tools -y
  • 列表：在 NIS 服务器中使用以下内容创建 /root/nis-groups.sh 脚本： #!/bin/sh # $1 is the NIS domain, $2 is the primary NIS server ypcat -d $1 -h $2 group > /dev/shm/nis-map.group 2>&1 IFS=$'\n' for line in $(cat /dev/shm/nis-map.group); do IFS=' ' groupname=$(echo $line | cut -f1 -d:) # Not collecting encrypted password because we need cl…
  • 列表：以 IdM admin 用户身份进行身份验证： [root@nis-server ~]# kinit admin
  • 命令/配置摘录：
[root@nis-server ~]# dnf install yp-tools -y
#!/bin/sh # $1 is the NIS domain, $2 is the primary NIS server ypcat -d $1 -h $2 group > /dev/shm/nis-map.group 2>&1 IFS=$'\n' for line in $(cat /dev/shm/nis-map.group); do  IFS=' '  groupname=$(echo $line | cut -f1 -d:)  # Not collecting encrypted password because we need cleartext password  # to create kerberos key  gid=$(echo $line | cut -f3 -d:)  members=$(echo $line | cut -f4 -d:)  # Now create this entry  ipa group-add $groupname --desc=NIS_GROUP_$groupname --gid=$gid  if [ -n "$members" ]; then  useropts=$(eval echo --users={$members})  ipa group-add-member $groupname $useropts  fi  ipa group-show $groupname done
  • 注意：注意 确保您的用户名不包含任何特殊字符，以确保成功迁移用户组。

4.4. 将主机条目从 NIS 迁移到 IdM

  • 要点：NIS 主机 映射包含有关主机的信息，如主机名和 IP 地址。使用此数据将 NIS 主机条目迁移到身份管理(IdM)：
  • 要点：先决条件
  • 列表：在 NIS 服务器中具有 root 访问权限.
  • 列表：在 IdM 中启用了 NIS。
  • 列表：NIS 服务器已加入 IdM。
  • 列表：安装 yp-tools 软件包： [root@nis-server ~]# dnf install yp-tools -y
  • 列表：在 NIS 服务器中使用以下内容创建 /root/nis-hosts.sh 脚本： #!/bin/sh # $1 is the NIS domain, $2 is the primary NIS server ypcat -d $1 -h $2 hosts | egrep -v "localhost|127.0.0.1" > /dev/shm/nis-map.hosts 2>&1 IFS=$'\n' for line in $(cat /dev/shm/nis-map.hosts); do IFS=' ' ipaddress=$(echo $line | awk '{print $1}') hostname=$(echo $…
  • 列表：以 IdM admin 用户身份进行身份验证： [root@nis-server ~]# kinit admin
  • 命令/配置摘录：
[root@nis-server ~]# dnf install yp-tools -y
#!/bin/sh # $1 is the NIS domain, $2 is the primary NIS server ypcat -d $1 -h $2 hosts | egrep -v "localhost|127.0.0.1" > /dev/shm/nis-map.hosts 2>&1 IFS=$'\n' for line in $(cat /dev/shm/nis-map.hosts); do  IFS=' '  ipaddress=$(echo $line | awk '{print $1}')  hostname=$(echo $line | awk '{print $2}')  primary=$(ipa env xmlrpc_uri | tr -d '[:space:]' | cut -f3 -d: | cut -f3 -d/)  domain=$(ipa env domain | tr -d '[:space:]' | cut -f2 -d:)  if [ $(echo $hostname | grep "\." |wc -l) -eq 0 ] ; then  hostname=$(echo $hostname.$domain)  fi  zone=$(echo $hostname | cut -f2- -d.)  if [ $(ipa dnszone-show $zone 2>/dev/null | wc -l) -eq 0 ] ; then  ipa…
  • 注意：注意 当您在 IdM 中创建主机组时，会自动创建对应的 shadow NIS 组。不要对这些影子 NIS 组使用 ipa netgroup-* 命令。仅使用 ipa netgroup-* 命令来管理通过 netgroup-add 命令创建的原生 netgroup 。
  • 注意：注意 此脚本不会迁移特殊的主机配置，如别名。

4.5. 将 netgroup 条目从 NIS 迁移到 IdM

  • 要点：NIS netgroup 映射包含有关网络组的信息。使用此数据将 NIS 网络组迁移到身份管理(IdM)：
  • 要点：先决条件
  • 列表：在 NIS 服务器中具有 root 访问权限.
  • 列表：在 IdM 中启用了 NIS。
  • 列表：NIS 服务器已加入 IdM。
  • 列表：安装 yp-tools 软件包： [root@nis-server ~]# dnf install yp-tools -y
  • 列表：在 NIS 服务器中使用以下内容创建 /root/nis-netgroups.sh 脚本： #!/bin/sh # $1 is the NIS domain, $2 is the primary NIS server ypcat -k -d $1 -h $2 netgroup > /dev/shm/nis-map.netgroup 2>&1 IFS=$'\n' for line in $(cat /dev/shm/nis-map.netgroup); do IFS=' ' netgroupname=$(echo $line | awk '{print $1}') triples=$(echo $line | sed "s/^…
  • 列表：以 IdM admin 用户身份进行身份验证： [root@nis-server ~]# kinit admin
  • 命令/配置摘录：
[root@nis-server ~]# dnf install yp-tools -y
#!/bin/sh # $1 is the NIS domain, $2 is the primary NIS server ypcat -k -d $1 -h $2 netgroup > /dev/shm/nis-map.netgroup 2>&1 IFS=$'\n' for line in $(cat /dev/shm/nis-map.netgroup); do  IFS=' '  netgroupname=$(echo $line | awk '{print $1}')  triples=$(echo $line | sed "s/^$netgroupname //")  echo "ipa netgroup-add $netgroupname --desc=NIS_NG_$netgroupname"  if [ $(echo $line | grep "(," | wc -l) -gt 0 ]; then  echo "ipa netgroup-mod $netgroupname --hostcat=all"  fi  if [ $(echo $line | grep ",," | wc -l) -gt 0 ]; then  echo "ipa netgroup-mod $netgroupname --usercat=all"  fi  for triple in $triples; do  triple=$(echo $triple | sed -e 's/-//g'…

4.6. 将自动挂载映射从 NIS 迁移到 IdM

  • 要点：自动挂载映射是一系列嵌套的条目，它们定义位置（父条目）、关联的键和映射。将 NIS 自动挂载映射到身份管理(IdM)：
  • 要点：先决条件
  • 列表：在 NIS 服务器中具有 root 访问权限.
  • 列表：在 IdM 中启用了 NIS。
  • 列表：NIS 服务器已加入 IdM。
  • 列表：安装 yp-tools 软件包： [root@nis-server ~]# dnf install yp-tools -y
  • 列表：使用 NIS 服务器的以下内容创建 /root/nis-automounts.sh 脚本： #!/bin/sh # $1 is for the automount entry in ipa ipa automountlocation-add $1 # $2 is the NIS domain, $3 is the primary NIS server, $4 is the map name ypcat -k -d $2 -h $3 $4 > /dev/shm/nis-map.$4 2>&1 ipa automountmap-add $1 $4 basedn=$(ipa env basedn | tr -d '[:space:]' …
  • 列表：以 IdM admin 用户身份进行身份验证： [root@nis-server ~]# kinit admin
  • 命令/配置摘录：
[root@nis-server ~]# dnf install yp-tools -y
#!/bin/sh # $1 is for the automount entry in ipa ipa automountlocation-add $1 # $2 is the NIS domain, $3 is the primary NIS server, $4 is the map name ypcat -k -d $2 -h $3 $4 > /dev/shm/nis-map.$4 2>&1 ipa automountmap-add $1 $4 basedn=$(ipa env basedn | tr -d '[:space:]' | cut -f2 -d:) cat > /tmp/amap.ldif <<EOF dn: nis-domain=$2+nis-map=$4,cn=NIS Server,cn=plugins,cn=config objectClass: extensibleObject nis-domain: $2 nis-map: $4 nis-base: automountmapname=$4,cn=$1,cn=automount,$basedn nis-filter: (objectclass=\*) nis-key-format: %{automountKey} nis-value-format: %{automountInformation} EOF # $5 is the LDAP server ldapadd -x -h $5 -D "cn=D…
  • 注意：注意 脚本导出 NIS 自动挂载信息，为自动挂载位置和相关映射生成 LDAP 数据交换格式(LDIF)，并将 LDIF 文件导入到 IdM 目录服务器。

第 5 章 使用 Ansible 为 IdM 用户自动挂载 NFS 共享

  • 要点：自动挂载是在多个系统间管理、组织和访问目录的一种方式。每当请求访问一个目录时，Automount 会自动挂载该目录。这在身份管理(IdM)域中工作良好，因为它允许您在域中的客户端上轻松共享目录。
  • 要点：您可以使用 Ansible 配置 NFS 共享，以使其可以被 IdM 位置中登录到 IdM 客户端的 IdM 用户自动挂载。
  • 列表：nfs-server.idm.example.com 是网络文件系统(NFS)服务器的完全限定域名(FQDN)。
  • 列表：nfs-server.idm.example.com 是位于 raleigh 自动挂载位置的 IdM 客户端。
  • 列表：NFS 服务器以读写形式导出 /exports/project 目录。
  • 列表：属于 developers 组的任何 IdM 用户都可以访问导出的目录的内容，因为 IdM 客户端上的 /devel/project/ 位于与 NFS 服务器相同的 raleigh 自动挂载位置。
  • 列表：idm-client.idm.example.com 是位于 raleigh 自动挂载位置的 IdM 客户端。
  • 注意：重要 如果要使用 Samba 服务器而不是 NFS 服务器为 IdM 客户端提供共享，请参阅红帽知识库解决方案 如何在 IPA 环境中使用 Autofs 配置 Kerberos 化的 CIFS 挂载？。

5.1. IdM 中的 autofs 和自动挂载

  • 要点：autofs 服务可根据需要自动化目录的挂载，方法是在目录被访问时，将 automount 守护进程定向到挂载目录。此外，在不活动一段时间后，autofs 将automount 定向到未卸载的自动挂载的目录。与静态挂载不同，按需挂载可节省系统资源。
  • 要点：在使用 autofs 的系统上，automount 配置存储在几个不同的文件中。主要的 automount 配置文件是 /etc/auto.master，其中包含系统上 automount 的主映射以及相关的资源。此映射称为 自动挂载映射。
  • 列表：根据需要挂载文件系统
  • 命令/配置摘录：
dn: automountmapname=auto.master,cn=default,cn=automount,dc=idm,dc=example,dc=com objectClass: automountMap objectClass: top automountMapName: auto.master

5.2. 在 Red Hat Enterprise Linux Identity Management 域中设置带有 Kerberos 的 NFS 服务器

  • 要点：如果使用 Red Hat Enterprise Linux Identity Management (IdM)，您可以将 NFS 服务器加入到 IdM 域中。这可让您集中管理用户和组，并使用 Kerberos 进行身份验证、完整性保护和流量加密。
  • 要点：先决条件
  • 列表：NFS 服务器已在 Red Hat Enterprise Linux Identity Management (IdM)域中 注册了。
  • 列表：NFS 服务器正在运行并已配置。
  • 列表：以 IdM 管理员身份获取 kerberos 票据： # kinit admin
  • 列表：创建一个 nfs/<FQDN> 服务主体： # ipa service-add nfs/nfs_server.idm.example.com
  • 列表：从 IdM 检索 nfs 服务主体，并将其存储在 /etc/krb5.keytab 文件中： # ipa-getkeytab -s idm_server.idm.example.com -p nfs/nfs_server.idm.example.com -k /etc/krb5.keytab
  • 列表：可选：显示 /etc/krb5.keytab 文件中的主体： # klist -k /etc/krb5.keytab Keytab name: FILE:/etc/krb5.keytab KVNO Principal ---- -------------------------------------------------------------------------- 1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM 1 nfs/nfs_server.idm.example.com@IDM.EXAMPLE.COM 1 nfs/nfs_server.idm.example.…
  • 命令/配置摘录：
# kinit admin
# ipa service-add nfs/nfs_server.idm.example.com

5.3. 使用 Ansible 在 IdM 中配置自动挂载位置、映射和密钥

  • 要点：作为身份管理(IdM)系统管理员，您可以在 IdM 中配置自动挂载位置和映射，以便指定位置中的 IdM 用户可以通过导航到其主机上的特定挂载点来访问 NFS 服务器导出的共享。导出的 NFS 服务器目录和挂载点都在映射中指定。在 LDAP 术语中，位置是此类映射条目的一个容器。
  • 要点：这个示例描述了如何使用 Ansible 来配置 raleigh 位置和映射，其将 nfs-server.idm.example.com:/exports/project 共享作为读写目录挂载到 IdM 客户端上的 /devel/project 挂载点。
  • 列表：在控制节点上： 您在使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您在使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：目标节点（这是在其上执行 freeipa.ansible_freeipa 模块的节点）作为 IdM 客户端、服务器或副本，是 IdM 域的一部分。
  • 命令/配置摘录：
$ cd ~/MyPlaybooks/
$ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/automount/automount-location-present.yml automount-location-map-and-key-present.yml

5.4. 使用 Ansible 将 IdM 用户添加到拥有 NFS 共享的组中

  • 要点：作为身份管理(IdM)系统管理员，您可以使用 Ansible 来创建可以访问 NFS 共享的用户组，并将 IdM 用户添加到此组中。
  • 要点：本例描述了如何使用 Ansible playbook 来确保 idm_user 帐户属于 developers 组，以便 idm_user 可以访问 /exports/project NFS 共享。
  • 列表：您有访问 nfs-server.idm.example.com NFS 服务器的 root 权限，该服务器是一个位于 raleigh 自动挂载位置的 IdM 客户端。
  • 列表：在控制节点上： 您在使用 Ansible 版本 2.15 或更高版本。 您已安装了 ansible-freeipa 软件包。 示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。 示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 列表：您在使用 Ansible 版本 2.15 或更高版本。
  • 列表：您已安装了 ansible-freeipa 软件包。
  • 列表：示例假定在 ~/MyPlaybooks/ 目录中，您已创建了一个具有 IdM 服务器的完全限定域名(FQDN)的 Ansible 清单文件。
  • 列表：示例假定 secret.yml Ansible vault 存储了您的 ipaadmin_password，并且您可以访问存储了保护 secret.yml 文件的密码的文件。
  • 命令/配置摘录：
$ cd ~/MyPlaybooks/
[...]  vars_files:  - /home/user_name/MyPlaybooks/secret.yml  tasks: [...]  - ipagroup:  ipaadmin_password: "{{ ipaadmin_password }}"  name: developers  user:  - idm_user  state: present

5.5. 在 IdM 客户端上配置自动挂载

  • 要点：作为身份管理(IdM)系统管理员，您可以在 IdM 客户端上配置自动挂载服务，以便在用户登录客户端时 IdM 用户可以自动访问为已添加客户端的位置配置的 NFS 共享。这个示例描述了如何配置 IdM 客户端，以使用 raleigh 位置中可用的 automount 服务。
  • 要点：先决条件
  • 列表：您有访问 IdM 客户端的 root 权限。
  • 列表：以 IdM 管理员身份登录。
  • 列表：自动挂载位置存在。示例位置为 raleigh。
  • 列表：在 IdM 客户端上，输入 ipa-client-automount 命令并指定位置。使用 -U 选项以无人值守方式运行脚本： # ipa-client-automount --location raleigh -U
  • 列表：停止 autofs 服务，清除 SSSD 缓存，然后启动 autofs 服务来加载新的配置设置： # systemctl stop autofs ; sss_cache -E ; systemctl start autofs
  • 命令/配置摘录：
# ipa-client-automount --location raleigh -U
# systemctl stop autofs ; sss_cache -E ; systemctl start autofs

5.6. 验证 IdM 用户能否访问 IdM 客户端上的 NFS 共享

  • 要点：作为身份管理(IdM)系统管理员，您可以在登录到特定的 IdM 客户端时测试作为特定组一员的 IdM 用户是否可以访问 NFS 共享。
  • 要点：在示例中，测试了以下场景：
  • 列表：属于 developers 组的名为 idm_user 的 IdM 用户可以读写自动挂载在 idm-client.idm.example.com （一个位于 raleigh 自动挂载位置的 IdM 客户端）上的/devel/project 目录中的内容。
  • 列表：您已 在 IdM 主机上设置了一个带有 Kerberos 的 NFS 服务器。
  • 列表：您已在 IdM 中配置了自动挂载位置、映射和挂载点，并在其中配置了 IdM 用户如何访问 NFS 共享。
  • 列表：您已 使用 Ansible 将 IdM 用户添加到拥有 NFS 共享的 developers 组中。
  • 列表：您已 在 IdM 客户端上配置了自动挂载。
  • 列表：验证 IdM 用户能否可以访问 读-写 目录： 以 IdM 用户身份连接到 IdM 客户端： $ ssh idm_user@idm-client.idm.example.com Password: 获取 IdM 用户的票据授权票据(TGT)： $ kinit idm_user 可选：查看 IdM 用户的组成员资格： $ ipa user-show idm_user User login: idm_user [...] Member of groups: developers, ipausers 进入到 /devel/project 目录： $ cd /devel/project 列出目录内容： $ ls rw_file 对目…
  • 命令/配置摘录：
$ ssh idm_user@idm-client.idm.example.com Password:
$ kinit idm_user

完整目录

  • 在 IdM 中集成服务和红帽产品
  • 对红帽文档提供反馈
  • 第 1 章 IdM 与红帽产品集成
  • 第 2 章 使用外部身份提供者向 IdM 进行身份验证
    • 2.1. 将 IdM 连接到外部 IdP 的好处
    • 2.2. IdM 如何通过外部 IdP 融合登录
    • 2.3. 创建一个到外部身份提供者的引用
    • 2.4. IdM 中到不同外部 IdP 的引用示例
    • 2.5. 在 IdM 中管理外部身份提供者的 ipa idp-* 命令的选项
    • 2.6. 管理对外部 IdP 的引用
    • 2.7. 启用 IdM 用户通过外部 IdP 进行身份验证
    • 2.8. 以外部 IdP 用户身份检索 IdM 票据授予票据
    • 2.9. 以外部 IdP 用户身份通过 SSH 登录到 IdM 客户端
    • 2.10. ipa idp-* 命令中的 --provider 选项
    • 2.11. 其他资源
  • 第 3 章 在 IdM 域成员中设置 Samba
    • 3.1. 先决条件
    • 3.2. 准备 IdM 域以便在域成员中安装 Samba
    • 3.3. 在 IdM 客户端中安装和配置 Samba 服务器
    • 3.4. 如果 IdM 信任新域，请手动添加 ID 映射配置
    • 3.5. 其它资源
  • 第 4 章 从 NIS 迁移到身份管理
    • 4.1. 在 IdM 中启用 NIS
    • 4.2. 将用户条目从 NIS 迁移到 IdM
    • 4.3. 将用户组从 NIS 迁移到 IdM
    • 4.4. 将主机条目从 NIS 迁移到 IdM
    • 4.5. 将 netgroup 条目从 NIS 迁移到 IdM
    • 4.6. 将自动挂载映射从 NIS 迁移到 IdM
  • 第 5 章 使用 Ansible 为 IdM 用户自动挂载 NFS 共享
    • 5.1. IdM 中的 autofs 和自动挂载
    • 5.2. 在 Red Hat Enterprise Linux Identity Management 域中设置带有 Kerberos 的 NFS 服务器
    • 5.3. 使用 Ansible 在 IdM 中配置自动挂载位置、映射和密钥
    • 5.4. 使用 Ansible 将 IdM 用户添加到拥有 NFS 共享的组中
    • 5.5. 在 IdM 客户端上配置自动挂载
    • 5.6. 验证 IdM 用户能否访问 IdM 客户端上的 NFS 共享