Zen

Translation


Hosts/Machines

A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry
Узлы/Компьютеры Узел представляет собой отдельный компьютер. Термин может использоваться в нескольких контекстах: - записи служб, связанные с определённым узлом - узел сохраняет учётную запись узла / службы - узел может использоваться в правилах управления доступом на основе узла (Host-based Access Control, HBAC) - каждый зарегистрированный клиент создаёт запись узла
374/2850 · 285

Sign in to save translations.

English Russian Actions

Group to Group Delegation

A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.

Group to Group Delegations grants the members of one group to update a set
of attributes of members of another group.

EXAMPLES:

Add a delegation rule to allow managers to edit employee's addresses:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"

When managing the list of attributes you need to include all attributes
in the list, including existing ones. Add postalCode to the list:
ipa delegation-mod --attrs=street,postalCode --group=managers --membergroup=employees "managers edit employees' street"

Display our updated rule:
ipa delegation-show "managers edit employees' street"

Delete a rule:
ipa delegation-del "managers edit employees' street"

Межгрупповое делегирование

С помощью разрешений самообслуживания можно очень точно делегировать разрешения. Правила или инструкции управления доступом (ACI) предоставляют разрешениям разрешение на выполнение конкретных задач, таких как добавление пользователя, изменение группы и так далее.

Межгрупповое делегирование предоставляет участникам одной группы возможность обновлять набор атрибутов участников другой группы.

ПРИМЕРЫ:

Добавить правило делегирования, чтобы разрешить руководителям редактировать адреса сотрудников:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees" street"

В список атрибутов необходимо включить все атрибуты, в том числе уже существующие. Добавить postalCode в список:
ipa delegation-mod --attrs=street,postalCode --group=managers --membergroup=employees "managers edit employees" street"

Показать обновлённое правило:
ipa delegation-show "managers edit employees" street"

Удалить правило:
ipa delegation-del "managers edit employees" street"

Groups of Sudo Commands

Manage groups of Sudo Commands.

EXAMPLES:

Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds

Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds

Manage Sudo Command Group membership, commands:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds

Show a Sudo Command Group:
ipa group-show localadmins

Группы команд Sudo

Управление группами команд Sudo.

ПРИМЕРЫ:

Добавить новую группу команд Sudo:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Удалить группу команд Sudo:
ipa sudocmdgroup-del admincmds

Управлять участием в группе команд Sudo, команды:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds

Управлять участием в группе команд Sudo, команды:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds

Показать группу команд Sudo:
ipa group-show localadmins

Groups of Sudo Commands

Manage groups of Sudo Commands.

EXAMPLES:

Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds

Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds

Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-remove-member --sudocmds=/usr/bin/less admincmds

Show a Sudo Command Group:
ipa sudocmdgroup-show admincmds

Группы команд Sudo

Управление группами команд Sudo.

ПРИМЕРЫ:

Добавить новую группу команд Sudo:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Удалить группу команд Sudo:
ipa sudocmdgroup-del admincmds

Управлять участием в группе команд Sudo, команды:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds

Управлять участием в группе команд Sudo, команды:
ipa sudocmdgroup-remove-member --sudocmds=/usr/bin/less admincmds

Показать группу команд Sudo:
ipa sudocmdgroup-show admincmds

Groups of Sudo Commands

Manage groups of Sudo Commands.

EXAMPLES:

Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds

Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less,/usr/bin/vim admincmds

Manage Sudo Command Group membership, commands:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds

Show a Sudo Command Group:
ipa group-show localadmins

Группы команд Sudo

Управление группами команд Sudo.

ПРИМЕРЫ:

Добавить новую группу команд Sudo:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Удалить группу команд Sudo:
ipa sudocmdgroup-del admincmds

Управлять участием в группе команд Sudo, команды:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less,/usr/bin/vim admincmds

Управлять участием в группе команд Sudo, команды:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds

Показать группу команд Sudo:
ipa group-show localadmins

Groups of hosts.

Manage groups of hosts. This is useful for applying access control to a
number of hosts by using Host-based Access Control.

EXAMPLES:

Add a new host group:
ipa hostgroup-add --desc="Baltimore hosts" baltimore

Add another new host group:
ipa hostgroup-add --desc="Maryland hosts" maryland

Add members to the hostgroup (using Bash brace expansion):
ipa hostgroup-add-member --hosts={box1,box2,box3} baltimore

Add a hostgroup as a member of another hostgroup:
ipa hostgroup-add-member --hostgroups=baltimore maryland

Remove a host from the hostgroup:
ipa hostgroup-remove-member --hosts=box2 baltimore

Display a host group:
ipa hostgroup-show baltimore

Delete a hostgroup:
ipa hostgroup-del baltimore

Группы узлов.

Управление группами узлов. Оно полезно при применении управления доступом к ряду узлов с помощью управления доступом на основе узла (HBAC).

ПРИМЕРЫ:

Добавить новую группу узлов:
ipa hostgroup-add --desc="Baltimore hosts" baltimore

Добавить другую новую группу узлов:
ipa hostgroup-add --desc="Maryland hosts" maryland

Добавить участников в группу узлов (с использованием выражения Bash в фигурных скобках):
ipa hostgroup-add-member --hosts={box1,box2,box3} baltimore

Добавить группу узлов как участника другой группы узлов:
ipa hostgroup-add-member --hostgroups=baltimore maryland

Удалить узел из группы узлов:
ipa hostgroup-remove-member --hosts=box2 baltimore

Показать группу узлов:
ipa hostgroup-show baltimore

Удалить группу узлов:
ipa hostgroup-del baltimore

Groups of hosts.

Manage groups of hosts. This is useful for applying access control to a
number of hosts by using Host-based Access Control.

EXAMPLES:

Add a new host group:
ipa hostgroup-add --desc="Baltimore hosts" baltimore

Add another new host group:
ipa hostgroup-add --desc="Maryland hosts" maryland

Add members to the hostgroup:
ipa hostgroup-add-member --hosts=box1,box2,box3 baltimore

Add a hostgroup as a member of another hostgroup:
ipa hostgroup-add-member --hostgroups=baltimore maryland

Remove a host from the hostgroup:
ipa hostgroup-remove-member --hosts=box2 baltimore

Display a host group:
ipa hostgroup-show baltimore

Delete a hostgroup:
ipa hostgroup-del baltimore

Группы узлов.

Управление группами узлов. Оно полезно при применении управления доступом к ряду узлов с помощью управления доступом на основе узла (HBAC).

ПРИМЕРЫ:

Добавить новую группу узлов:
ipa hostgroup-add --desc="Baltimore hosts" baltimore

Добавить другую новую группу узлов:
ipa hostgroup-add --desc="Maryland hosts" maryland

Добавить участников в группу узлов:
ipa hostgroup-add-member --hosts=box1,box2,box3 baltimore

Добавить группу узлов как участника другой группы узлов:
ipa hostgroup-add-member --hostgroups=baltimore maryland

Удалить узел из группы узлов:
ipa hostgroup-remove-member --hosts=box2 baltimore

Показать группу узлов:
ipa hostgroup-show baltimore

Удалить группу узлов:
ipa hostgroup-del baltimore

Groups of users

Manage groups of users. By default, new groups are POSIX groups. You
can add the --nonposix option to the group-add command to mark a new group
as non-POSIX. You can use the --posix argument with the group-mod command
to convert a non-POSIX group into a POSIX group. POSIX groups cannot be
converted to non-POSIX groups.

Every group must have a description.

POSIX groups must have a Group ID (GID) number. Changing a GID is
supported but can have an impact on your file permissions. It is not necessary
to supply a GID when creating a group. IPA will generate one automatically
if it is not provided.

EXAMPLES:

Add a new group:
ipa group-add --desc='local administrators' localadmins

Add a new non-POSIX group:
ipa group-add --nonposix --desc='remote administrators' remoteadmins

Convert a non-POSIX group to posix:
ipa group-mod --posix remoteadmins

Add a new POSIX group with a specific Group ID number:
ipa group-add --gid=500 --desc='unix admins' unixadmins

Add a new POSIX group and let IPA assign a Group ID number:
ipa group-add --desc='printer admins' printeradmins

Remove a group:
ipa group-del unixadmins

To add the "remoteadmins" group to the "localadmins" group:
ipa group-add-member --groups=remoteadmins localadmins

Add multiple users to the "localadmins" group:
ipa group-add-member --users=test1 --users=test2 localadmins

Remove a user from the "localadmins" group:
ipa group-remove-member --users=test2 localadmins

Display information about a named group.
ipa group-show localadmins

External group membership is designed to allow users from trusted domains
to be mapped to local POSIX groups in order to actually use IPA resources.
External members should be added to groups that specifically created as
external and non-POSIX. Such group later should be included into one of POSIX
groups.

An external group member is currently a Security Identifier (SID) as defined by
the trusted domain. When adding external group members, it is possible to
specify them in either SID, or DOM\name, or name@domain format. IPA will attempt
to resolve passed name to SID with the use of Global Catalog of the trusted domain.

Example:

1. Create group for the trusted domain admins' mapping and their local POSIX group:

ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins

2. Add security identifier of Domain Admins of the <ad.domain> to the ad_admins_external
group:

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Allow members of ad_admins_external group to be associated with ad_admins POSIX group:

ipa group-add-member ad_admins --groups ad_admins_external

4. List members of external members of ad_admins_external group to see their SIDs:

ipa group-show ad_admins_external

Группы пользователей

Управление группами пользователей. По умолчанию все новые группы являются POSIX-группами. Можно добавить параметр --nonposix в команду group-add, чтобы отметить новую группу в качестве не-POSIX-группы. В команде group-mod можно использовать аргумент --posix, чтобы преобразовать не-POSIX-группу в POSIX-группу. POSIX-группы нельзя преобразовать в не-POSIX-группы.

У каждой группы должно быть описание.

У POSIX-групп должен быть идентификатор группы (GID). Изменение GID поддерживается, но может повлиять на разрешения для файлов. При создании группы необязательно предоставлять GID. Если он не будет предоставлен, IPA создаст его автоматически.

ПРИМЕРЫ:

Добавить новую группу:
ipa group-add --desc='local administrators' localadmins

Добавить новую не-POSIX-группу:
ipa group-add --nonposix --desc='remote administrators' remoteadmins

Преобразовать не-POSIX-группу в posix-группу:
ipa group-mod --posix remoteadmins

Добавить новую POSIX-группу с определённым ID группы:
ipa group-add --gid=500 --desc='unix admins' unixadmins

Добавить новую POSIX-группу и позволить IPA назначить ID группы:
ipa group-add --desc='printer admins' printeradmins

Удалить группу:
ipa group-del unixadmins

Чтобы добавить группу "remoteadmins" в группу "localadmins":
ipa group-add-member --groups=remoteadmins localadmins

Добавить нескольких пользователей в группу "localadmins":
ipa group-add-member --users=test1 --users=test2 localadmins

Удалить пользователя из группы "localadmins":
ipa group-remove-member --users=test2 localadmins

Показать сведения об именованной группе:
ipa group-show localadmins

Участие внешних групп создано для того, чтобы сделать возможной привязку пользователей из доверенных доменов к локальным POSIX-группам с целью использования ресурсов IPA. Внешние участники должны быть добавлены в группы, которые специально созданы, как внешние и не-POSIX. Такая группа затем должна быть включена в одну из групп POSIX.

В текущей версии участник внешней группы является идентификатором безопасности (Security Identifier или SID), определённым доверенным доменом. Добавление участников внешней группы можно выполнить в формате SID, DOM\имя или имя@домен. IPA попытается определить SID по переданному имени путём использования общего каталога доверенного домена.

Пример:

1. Создать группу для привязки администраторов (admins) доверенного домена и их локальную POSIX-группу:

ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins

2. Добавить идентификатор безопасности Domain Admins домена <ad.domain> группе ad_admins_external:

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Разрешить привязку группы ad_admins_external к POSIX-группе ad_admins:

ipa group-add-member ad_admins --groups ad_admins_external

4. Вывести список внешних участников группы ad_admins_external, чтобы определить их SID:

ipa group-show ad_admins_external

HBAC Service Groups

HBAC service groups can contain any number of individual services,
or "members". Every group must have a description.

EXAMPLES:

Add a new HBAC service group:
ipa hbacsvcgroup-add --desc="login services" login

Add members to an HBAC service group:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd --hbacsvcs=login login

Display information about a named group:
ipa hbacsvcgroup-show login

Delete an HBAC service group:
ipa hbacsvcgroup-del login

Группы служб HBAC

Группы служб HBAC могут содержать любое количество отдельных служб (так называемых "участников"). У каждой группы должно быть описание.

ПРИМЕРЫ:

Добавить новую группу служб HBAC:
ipa hbacsvcgroup-add --desc="login services" login

Добавить участников в группу служб HBAC:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd --hbacsvcs=login login

Показать сведения об именованной группе:
ipa hbacsvcgroup-show login

Удалить группу служб HBAC:
ipa hbacsvcgroup-del login

HBAC Service Groups

HBAC service groups can contain any number of individual services,
or "members". Every group must have a description.

EXAMPLES:

Add a new HBAC service group:
ipa hbacsvcgroup-add --desc="login services" login

Add members to an HBAC service group:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd,login login

Display information about a named group:
ipa hbacsvcgroup-show login

Add a new group to the "login" group:
ipa hbacsvcgroup-add --desc="switch users" login
ipa hbacsvcgroup-add-member --hbacsvcs=su,su-l login

Delete an HBAC service group:
ipa hbacsvcgroup-del login

Группы служб HBAC

Группы служб HBAC могут содержать любое количество отдельных служб (так называемых "участников"). У каждой группы должно быть описание.

ПРИМЕРЫ:

Добавить новую группу служб HBAC:
ipa hbacsvcgroup-add --desc="login services" login

Добавить участников в группу служб HBAC:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd,login login

Показать сведения об именованной группе:
ipa hbacsvcgroup-show login

Добавить новую группу в группу "login":
ipa hbacsvcgroup-add --desc="switch users" login
ipa hbacsvcgroup-add-member --hbacsvcs=su,su-l login

Удалить группу служб HBAC:
ipa hbacsvcgroup-del login

HBAC Services

The PAM services that HBAC can control access to. The name used here
must match the service name that PAM is evaluating.

EXAMPLES:

Add a new HBAC service:
ipa hbacsvc-add tftp

Modify an existing HBAC service:
ipa hbacsvc-mod --desc="TFTP service" tftp

Search for HBAC services. This example will return two results, the FTP
service and the newly-added tftp service:
ipa hbacsvc-find ftp

Delete an HBAC service:
ipa hbacsvc-del tftp

Службы HBAC

Службы PAM, доступом к которым управляет HBAC. Используемое здесь имя должно соответствовать имени службы, которую оценивает PAM.

ПРИМЕРЫ:

Добавить новую службу HBAC:
ipa hbacsvc-add tftp

Изменить существующую службу HBAC:
ipa hbacsvc-mod --desc="TFTP service" tftp

Поиск служб HBAC. В этом примере будут возвращены два результата, служба FTP
и добавленная выше служба tftp:
ipa hbacsvc-find ftp

Удалить службу HBAC:
ipa hbacsvc-del tftp

HBAC Services

The PAM services that HBAC can control access to. The name used here
must match the service name that PAM is evaluating.

EXAMPLES:

Add a new HBAC service:
ipa hbacsvc-add tftp

Modify an existing HBAC service:
ipa hbacsvc-mod --desc="TFTP service" tftp

Search for HBAC services. This example will return two results, the FTP
service and the newly-added tftp service:
ipa hbacsvc-find ftp

Delete an HBAC service:
ipa hbacsvc-del tftp


Службы HBAC

Службы PAM, доступом к которым управляет HBAC. Используемое здесь имя должно соответствовать имени службы, которую оценивает PAM.

ПРИМЕРЫ:

Добавить новую службу HBAC:
ipa hbacsvc-add tftp

Изменить существующую службу HBAC:
ipa hbacsvc-mod --desc="TFTP service" tftp

Поиск служб HBAC. В этом примере будут возвращены два результата, служба FTP
и добавленная выше служба tftp:
ipa hbacsvc-find ftp

Удалить службу HBAC:
ipa hbacsvc-del tftp

Host-based access control

Control who can access what services on what hosts and from where. You
can use HBAC to control which users or groups on a source host can
access a service, or group of services, on a target host.

You can also specify a category of users, target hosts, and source
hosts. This is currently limited to "all", but might be expanded in the
future.

Target hosts and source hosts in HBAC rules must be hosts managed by IPA.

The available services and groups of services are controlled by the
hbacsvc and hbacsvcgroup plug-ins respectively.

EXAMPLES:

Create a rule, "test1", that grants all users access to the host "server" from
anywhere:
ipa hbacrule-add --usercat=all --srchostcat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1

Display the properties of a named HBAC rule:
ipa hbacrule-show test1

Create a rule for a specific service. This lets the user john access
the sshd service on any machine from any machine:
ipa hbacrule-add --hostcat=all --srchostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd

Create a rule for a new service group. This lets the user john access
the FTP service on any machine from any machine:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp,sftp ftpers
ipa hbacrule-add --hostcat=all --srchostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp

Disable a named HBAC rule:
ipa hbacrule-disable test1

Remove a named HBAC rule:
ipa hbacrule-del allow_server

Управление доступом на основе узла

Управляйте тем, кто, на каких узлах и из каких узлов сможет получать доступ к определённым службам. Вы можете воспользоваться HBAC для определения тех пользователей и групп на узле происхождения запроса, которые будут иметь доступ к определённой службе или группе служб на целевом узле.

Также можно указать категорию пользователей, целевых узлов и узлов происхождения запроса. В текущей версии доступен только вариант "all", но в будущих версиях, возможно, появятся и другие варианты.

Целевые узлы и узлы происхождения запроса в правилах HBAC должны быть узлами под управлением IPA.

Доступные службы и группы служб управляются, соответственно, с помощью подключаемых модулей hbacsvc и hbacsvcgroup.

ПРИМЕРЫ:

Создать правило, "test1", которое предоставляет всем пользователям доступ на узел "server" отовсюду:
ipa hbacrule-add --usercat=all --srchostcat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1

Показать свойства именованного правила HBAC:
ipa hbacrule-show test1

Создать правило для определённой службы. Это правило предоставит пользователю john доступ к службе sshd на любом компьютере с любого компьютера:
ipa hbacrule-add --hostcat=all --srchostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd

Создать правило для новой группы служб. Это правило предоставит пользователю john доступ к службе FTP на любом компьютере с любого компьютера:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp,sftp ftpers
ipa hbacrule-add --hostcat=all --srchostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp

Отключить именованное правило HBAC:
ipa hbacrule-disable test1

Удалить именованное правило HBAC:
ipa hbacrule-del allow_server

Host-based access control

Control who can access what services on what hosts. You
can use HBAC to control which users or groups can
access a service, or group of services, on a target host.

You can also specify a category of users and target hosts.
This is currently limited to "all", but might be expanded in the
future.

Target hosts in HBAC rules must be hosts managed by IPA.

The available services and groups of services are controlled by the
hbacsvc and hbacsvcgroup plug-ins respectively.

EXAMPLES:

Create a rule, "test1", that grants all users access to the host "server" from
anywhere:
ipa hbacrule-add --usercat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1

Display the properties of a named HBAC rule:
ipa hbacrule-show test1

Create a rule for a specific service. This lets the user john access
the sshd service on any machine from any machine:
ipa hbacrule-add --hostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd

Create a rule for a new service group. This lets the user john access
the FTP service on any machine from any machine:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp --hbacsvcs=sftp ftpers
ipa hbacrule-add --hostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp

Disable a named HBAC rule:
ipa hbacrule-disable test1

Remove a named HBAC rule:
ipa hbacrule-del allow_server

Управление доступом на основе узла

Управляйте тем, кто и на каких узлах сможет получать доступ к определённым службам. Вы можете воспользоваться HBAC для определения тех пользователей и групп, которые будут иметь доступ к определённой службе или группе служб на целевом узле.

Также можно указать категорию пользователей и целевых узлов. В текущей версии доступен только вариант "all", но в будущих версиях, возможно, появятся и другие варианты.

Целевые узлы в правилах HBAC должны быть узлами под управлением IPA.

Доступные службы и группы служб управляются, соответственно, с помощью подключаемых модулей hbacsvc и hbacsvcgroup.

ПРИМЕРЫ:

Создать правило, "test1", которое предоставляет всем пользователям доступ на узел "server" отовсюду:
ipa hbacrule-add --usercat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1

Показать свойства именованного правила HBAC:
ipa hbacrule-show test1

Создать правило для определённой службы. Это правило предоставит пользователю john доступ к службе sshd на любом компьютере с любого компьютера:
ipa hbacrule-add --hostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd

Создать правило для новой группы служб. Это правило предоставит пользователю john доступ к службе FTP на любом компьютере с любого компьютера:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp --hbacsvcs=sftp ftpers
ipa hbacrule-add --hostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp

Отключить именованное правило HBAC:
ipa hbacrule-disable test1

Удалить именованное правило HBAC:
ipa hbacrule-del allow_server

Hosts/Machines

A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry

Узлы/Компьютеры

Узел представляет собой отдельный компьютер. Термин может использоваться в нескольких контекстах:
- записи служб, связанные с определённым узлом
- узел сохраняет учётную запись узла / службы
- узел может использоваться в правилах управления доступом на основе узла (Host-based Access Control, HBAC)
- каждый зарегистрированный клиент создаёт запись узла

Hosts/Machines

A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry

ENROLLMENT:

There are three enrollment scenarios when enrolling a new client:

1. You are enrolling as a full administrator. The host entry may exist
or not. A full administrator is a member of the hostadmin role
or the admins group.
2. You are enrolling as a limited administrator. The host must already
exist. A limited administrator is a member a role with the
Host Enrollment privilege.
3. The host has been created with a one-time password.

A host can only be enrolled once. If a client has enrolled and needs to
be re-enrolled, the host entry must be removed and re-created. Note that
re-creating the host entry will result in all services for the host being
removed, and all SSL certificates associated with those services being
revoked.

A host can optionally store information such as where it is located,
the OS that it runs, etc.

EXAMPLES:

Add a new host:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com

Delete a host:
ipa host-del test.example.com

Add a new host with a one-time password:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com

Add a new host with a random one-time password:
ipa host-add --os='Fedora 12' --random test.example.com

Modify information about a host:
ipa host-mod --os='Fedora 12' test.example.com

Remove SSH public keys of a host and update DNS to reflect this change:
ipa host-mod --sshpubkey= --updatedns test.example.com

Disable the host Kerberos key, SSL certificate and all of its services:
ipa host-disable test.example.com

Add a host that can manage this host's keytab and certificate:
ipa host-add-managedby --hosts=test2 test

Узлы/Компьютеры

Узел представляет собой отдельный компьютер. Термин может использоваться в нескольких контекстах:
- записи служб, связанные с определённым узлом
- узел сохраняет учётную запись узла / службы
- узел может использоваться в правилах управления доступом на основе узла (Host-based Access Control, HBAC)
- каждый зарегистрированный клиент создаёт запись узла

РЕГИСТРАЦИЯ:
Существует три сценария регистрации нового клиента:

1. Вы регистрируетесь как администратор с полными правами. Запись узла может существовать или отсутствовать. Полноправный администратор выполняет роль hostadmin или является участником группы admins.
2. Вы регистрируетесь как администратор с ограниченными правами. Узел уже должен существовать. Администратор с ограниченными правами выполняет роль с привилегией Host Enrollment.
3. Узел создан с одноразовым паролем.

Узлу можно назначить роль только один раз. Если клиенту уже назначена роль и эту роль требуется изменить, запись узла должна быть удалена и создана повторно. Обратите внимание, что повторное создание записи узла приведет к удалению всех служб узла и отзыву всех связанных с этими службами SSL-сертификатов.

В запись узла при необходимости можно включить данные о его расположении, типе используемой операционной системы и так далее.

ПРИМЕРЫ:

Добавить новый узел:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com

Удалить узел:
ipa host-del test.example.com

Добавить новый узел с одноразовым паролем:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com

Добавить новый узел со случайным одноразовым паролем:
ipa host-add --os='Fedora 12' --random test.example.com

Изменить сведения об узле:
ipa host-mod --os='Fedora 12' test.example.com

Удалить открытые ключи SSH узла и обновить DNS для отображения изменений:
ipa host-mod --sshpubkey= --updatedns test.example.com

Отключить ключ Kerberos, SSL-сертификат и все службы узла:
ipa host-disable test.example.com

Добавить узел, который может управлять таблицей ключей и сертификатом этого узла:
ipa host-add-managedby --hosts=test2 test

Hosts/Machines

A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry

ENROLLMENT:

There are three enrollment scenarios when enrolling a new client:

1. You are enrolling as a full administrator. The host entry may exist
or not. A full administrator is a member of the hostadmin role
or the admins group.
2. You are enrolling as a limited administrator. The host must already
exist. A limited administrator is a member a role with the
Host Enrollment privilege.
3. The host has been created with a one-time password.

RE-ENROLLMENT:

Host that has been enrolled at some point, and lost its configuration (e.g. VM
destroyed) can be re-enrolled.

For more information, consult the manual pages for ipa-client-install.

A host can optionally store information such as where it is located,
the OS that it runs, etc.

EXAMPLES:

Add a new host:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com

Delete a host:
ipa host-del test.example.com

Add a new host with a one-time password:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com

Add a new host with a random one-time password:
ipa host-add --os='Fedora 12' --random test.example.com

Modify information about a host:
ipa host-mod --os='Fedora 12' test.example.com

Remove SSH public keys of a host and update DNS to reflect this change:
ipa host-mod --sshpubkey= --updatedns test.example.com

Disable the host Kerberos key, SSL certificate and all of its services:
ipa host-disable test.example.com

Add a host that can manage this host's keytab and certificate:
ipa host-add-managedby --hosts=test2 test

Allow user to create a keytab:
ipa host-allow-create-keytab test2 --users=tuser1

Узлы/Компьютеры

Узел представляет собой отдельный компьютер. Термин может использоваться в нескольких контекстах:
- записи служб, связанные с определённым узлом
- узел сохраняет учётную запись узла / службы
- узел может использоваться в правилах управления доступом на основе узла (Host-based Access Control, HBAC)
- каждый зарегистрированный клиент создаёт запись узла

РЕГИСТРАЦИЯ:
Существует три сценария регистрации нового клиента:

1. Вы регистрируетесь как администратор с полными правами. Запись узла может существовать или отсутствовать. Полноправный администратор выполняет роль hostadmin или является участником группы admins.
2. Вы регистрируетесь как администратор с ограниченными правами. Узел уже должен существовать. Администратор с ограниченными правами выполняет роль с привилегией Host Enrollment.
3. Узел создан с одноразовым паролем.

ПОВТОРНАЯ РЕГИСТРАЦИЯ

Если узел уже когда-то был зарегистрирован и затем утратил свою конфигурацию (например, была уничтожена виртуальная машина), его можно зарегистрировать повторно.

Дополнительные сведения доступны на страницах справочника по ipa-client-install.

В запись узла при необходимости можно включить данные о его расположении, типе используемой операционной системы и так далее.

ПРИМЕРЫ:

Добавить новый узел:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com

Удалить узел:
ipa host-del test.example.com

Добавить новый узел с одноразовым паролем:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com

Добавить новый узел со случайным одноразовым паролем:
ipa host-add --os='Fedora 12' --random test.example.com

Изменить сведения об узле:
ipa host-mod --os='Fedora 12' test.example.com

Удалить открытые ключи SSH узла и обновить DNS для отображения изменений:
ipa host-mod --sshpubkey= --updatedns test.example.com

Отключить ключ Kerberos, SSL-сертификат и все службы узла:
ipa host-disable test.example.com

Добавить узел, который может управлять таблицей ключей и сертификатом этого узла:
ipa host-add-managedby --hosts=test2 test

Разрешить пользователю создавать таблицу ключей:
ipa host-allow-create-keytab test2 --users=tuser1

ID Views

Manage ID Views

IPA allows to override certain properties of users and groups per each host.
This functionality is primarily used to allow migration from older systems or
other Identity Management solutions.

Представления идентификаторов

Управление представлениями идентификаторов

В IPA можно переопределять определённые свойства записей пользователей и групп для отдельных узлов. Эта возможность используется в основном для переноса данных из устаревших систем или других решений для управления идентификацией и учётными записями пользователей.

IPA certificate operations

Операции с сертификатами IPA

IPA certificate operations

Implements a set of commands for managing server SSL certificates.

Certificate requests exist in the form of a Certificate Signing Request (CSR)
in PEM format.

If using the selfsign back end then the subject in the CSR needs to match
the subject configured in the server. The dogtag CA uses just the CN
value of the CSR and forces the rest of the subject.

A certificate is stored with a service principal and a service principal
needs a host.

In order to request a certificate:

* The host must exist
* The service must exist (or you use the --add option to automatically add it)

EXAMPLES:

Request a new certificate and add the principal:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr

Retrieve an existing certificate:
ipa cert-show 1032

Revoke a certificate (see RFC 5280 for reason details):
ipa cert-revoke --revocation-reason=6 1032

Remove a certificate from revocation hold status:
ipa cert-remove-hold 1032

Check the status of a signing request:
ipa cert-status 10

IPA currently immediately issues (or declines) all certificate requests so
the status of a request is not normally useful. This is for future use
or the case where a CA does not immediately issue a certificate.

The following revocation reasons are supported:

* 0 - unspecified
* 1 - keyCompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
* 10 - aACompromise

Note that reason code 7 is not used. See RFC 5280 for more details:

http://www.ietf.org/rfc/rfc5280.txt

Операции с сертификатами IPA

Применение набора команд для управления сертификатами SSL-серверов.

Запросы сертификатов существуют в виде запроса подписи сертификата (Certificate Signing Request, CSR) в формате PEM.

Если используется бэкенд с самоподписанным сертификатом, субъект в CSR должен соответствовать субъекту, настроенному на сервере. Система выдачи сертификатов Dogtag Certificate System использует только значение CN в CSR и принудительно устанавливает остальные параметры субъекта.

Сертификат хранится в учётной записи службы, а учётной записи службы требуется узел.

Чтобы запросить сертификат:

* Должен существовать узел
* Должна существовать служба (либо следует использовать параметр --add для её автоматического добавления)

ПРИМЕРЫ:

Запросить новый сертификат и добавить учётную запись:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr

Получить существующий сертификат:
ipa cert-show 1032

Отозвать сертификат (подробные сведения о причинах доступны в RFC 5280):
ipa cert-revoke --revocation-reason=6 1032

Удалить сертификат из списка отзыва:
ipa cert-remove-hold 1032

Проверить состояние запроса подписи:
ipa cert-status 10

В текущей версии IPA немедленно выполняет (или отклоняет) все запросы сертификатов, следовательно, данные о состоянии запроса не являются полезными. Эти данные могут понадобиться в следующих версиях или в случае, если CA не сразу выдаёт сертификат.

Поддерживаются следующие причины отзыва:

* 0 - не указано
* 1 - keyCompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
* 10 - aACompromise

Обратите внимание, что код причины 7 не используется. Подробные сведения в RFC 5280:

http://www.ietf.org/rfc/rfc5280.txt

IPA certificate operations

Implements a set of commands for managing server SSL certificates.

Certificate requests exist in the form of a Certificate Signing Request (CSR)
in PEM format.

The dogtag CA uses just the CN value of the CSR and forces the rest of the
subject to values configured in the server.

A certificate is stored with a service principal and a service principal
needs a host.

In order to request a certificate:

* The host must exist
* The service must exist (or you use the --add option to automatically add it)

SEARCHING:

Certificates may be searched on by certificate subject, serial number,
revocation reason, validity dates and the issued date.

When searching on dates the _from date does a >= search and the _to date
does a <= search. When combined these are done as an AND.

Dates are treated as GMT to match the dates in the certificates.

The date format is YYYY-mm-dd.

EXAMPLES:

Request a new certificate and add the principal:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr

Retrieve an existing certificate:
ipa cert-show 1032

Revoke a certificate (see RFC 5280 for reason details):
ipa cert-revoke --revocation-reason=6 1032

Remove a certificate from revocation hold status:
ipa cert-remove-hold 1032

Check the status of a signing request:
ipa cert-status 10

Search for certificates by hostname:
ipa cert-find --subject=ipaserver.example.com

Search for revoked certificates by reason:
ipa cert-find --revocation-reason=5

Search for certificates based on issuance date
ipa cert-find --issuedon-from=2013-02-01 --issuedon-to=2013-02-07

IPA currently immediately issues (or declines) all certificate requests so
the status of a request is not normally useful. This is for future use
or the case where a CA does not immediately issue a certificate.

The following revocation reasons are supported:

* 0 - unspecified
* 1 - keyCompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
* 10 - aACompromise

Note that reason code 7 is not used. See RFC 5280 for more details:

http://www.ietf.org/rfc/rfc5280.txt

Операции с сертификатами IPA

Применение набора команд для управления сертификатами SSL-серверов.

Запросы сертификатов существуют в виде запроса подписи сертификата (Certificate Signing Request, CSR) в формате PEM.

Система выдачи сертификатов Dogtag Certificate System использует только значение CN в CSR и принудительно устанавливает остальные параметры субъекта в соответствии со значениями, настроенными на сервере.

Сертификат хранится в учётной записи службы, а учётной записи службы требуется узел.

Чтобы запросить сертификат:

* Должен существовать узел
* Должна существовать служба (либо следует использовать параметр --add для её автоматического добавления)

ПОИСК:

Сертификаты можно искать по субъекту, серийному номеру, причине отзыва, датам действия и дате выдачи.

Если поиск выполняется по дате _с, используется сравнение >=, а если выполняется поиск _до — сравнение <=. Сочетание обоих видов поиска приводит к поиску с логической операцией И.

Даты обрабатываются как даты по Гринвичскому времени, в соответствии с датами, определёнными в в сертификатах.

Формат даты: ГГГГ-мм-дд.

ПРИМЕРЫ:

Запросить новый сертификат и добавить учётную запись:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr

Получить существующий сертификат:
ipa cert-show 1032

Отозвать сертификат (подробные сведения о причинах доступны в RFC 5280):
ipa cert-revoke --revocation-reason=6 1032

Удалить сертификат из списка отзыва:
ipa cert-remove-hold 1032

Проверить состояние запроса подписи:
ipa cert-status 10

Поиск сертификатов по имени узла:
ipa cert-find --subject=ipaserver.example.com

Поиск отозванных сертификатов по причине отзыва:
ipa cert-find --revocation-reason=5

Поиск сертификатов по дате выдачи:
ipa cert-find --issuedon-from=2013-02-01 --issuedon-to=2013-02-07

В текущей версии IPA немедленно выполняет (или отклоняет) все запросы сертификатов, следовательно, данные о состоянии запроса не являются полезными. Эти данные могут понадобиться в следующих версиях или в случае, если CA не сразу выдаёт сертификат.

Поддерживаются следующие причины отзыва:

* 0 - не указано
* 1 - keyCompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
* 10 - aACompromise

Обратите внимание, что код причины 7 не используется. Подробные сведения в RFC 5280:

http://www.ietf.org/rfc/rfc5280.txt

IPA currently immediately issues (or declines) all certificate requests so
the status of a request is not normally useful. This is for future use
or the case where a CA does not immediately issue a certificate.

В текущей версии IPA немедленно выполняет (или отклоняет) все запросы сертификатов, следовательно, данные о состоянии запроса не являются полезными. Эти данные могут понадобиться в следующих версиях или в случае, если CA не сразу выдаёт сертификат.

IPA locations

расположения IPA

IPA provides a designated binddn to use with Sudo located at:
uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

IPA предусматривает специальную привязку DN (binddn) для использования с Sudo:
uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

IPA provides a means to configure the various aspects of Sudo:
Users: The user(s)/group(s) allowed to invoke Sudo.
Hosts: The host(s)/hostgroup(s) which the user is allowed to to invoke Sudo.
Allow Command: The specific command(s) permitted to be run via Sudo.
Deny Command: The specific command(s) prohibited to be run via Sudo.
RunAsUser: The user(s) or group(s) of users whose rights Sudo will be invoked with.
RunAsGroup: The group(s) whose gid rights Sudo will be invoked with.
Options: The various Sudoers Options that can modify Sudo's behavior.

IPA предоставляет возможности настройки различных аспектов Sudo:
Users: пользователь (пользователи) или группа (группы), которые могут вызывать Sudo.
Hosts: узел (узлы) или группа (группы) узлов, пользователи которых могут вызывать Sudo.
Allow Command: конкретная команда (команды), которые разрешены для выполнения с помощью Sudo.
Deny Command: конкретная команда (команды), которые запрещены для выполнения с помощью Sudo.
RunAsUser: пользователь (пользователи) или группа (группы) пользователей, от имени которых Sudo будет выполнять команды.
RunAsGroup: группа (группы), от имени которых Sudo будет выполнять команды.
Options: различные параметры sudoers (участники Sudo), которые могут изменить поведение Sudo.

IPA server roles

Роли IPA-сервера

IPA server's data is stored in LDAP server in two suffixes:
* domain suffix, e.g., 'dc=example,dc=com', contains all domain related data
* ca suffix, 'o=ipaca', is present only on server with CA installed. It
contains data for Certificate Server component

Данные IPA-сервера хранятся на LDAP-сервере в двух суффиксах:
* суффикс домена (domain), например, "dc=example,dc=com", содержит все связанные с доменом данные
* суффикс центра сертификации (ca), "o=ipaca", имеется только на серверах с установленным CA. Он содержит данные для компонента сервера сертификатов

IPA servers

IPA-серверы

IPA servers

Get information about installed IPA servers.

EXAMPLES:

Find all servers:
ipa server-find

Show specific server:
ipa server-show ipa.example.com

IPA-серверы

Получение сведений об установленных IPA-серверах.

ПРИМЕРЫ:

Найти все серверы:
ipa server-find

Показать определённый сервер:
ipa server-show ipa.example.com

IPA supports the use of OTP tokens for multi-factor authentication. This
code enables the management of OTP tokens.

В IPA реализована поддержка использования токенов OTP для многофакторной аутентификации. Этот код позволяет управлять токенами OTP.

Loading…

User avatar None

String updated in the repository

Hosts/Machines

A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry
Узлы/Компьютеры

Узел представляет собой отдельный компьютер. Термин может использоваться в нескольких контекстах:
- записи служб, связанные с определённым узлом
- узел сохраняет учётную запись узла / службы
- узел может использоваться в правилах управления доступом на основе узла (Host-based Access Control, HBAC)
- каждый зарегистрированный клиент создаёт запись узла
a year ago
Browse all string changes

Things to check

Double space 1

Translation contains double space.

Fix string

Reset

Glossary

English Russian
No related strings found in the glossary.

14970500 String information

String age
a year ago
Last updated
a year ago
Source string age
a year ago
Translation file
po/ru.po, string 243