Zen

Translation


Privileges

A privilege combines permissions into a logical task. A permission provides
the rights to do a single task. There are some IPA operations that require
multiple permissions to succeed. A privilege is where permissions are
combined in order to perform a specific task.

For example, adding a user requires the following permissions:
* Creating a new user entry
* Resetting a user password
* Adding the new user to the default IPA users group

Combining these three low-level tasks into a higher level task in the
form of a privilege named "Add User" makes it easier to manage Roles.

A privilege may not contain other privileges.

See role and permission for additional information.
743/6970 · 697

Sign in to save the translation.

English Ukrainian Actions

Note the distinction between attributes and entries. The permissions are
independent, so being able to add a user does not mean that the user will
be editable.

Зауважте відмінність між атрибутами і записами. Права доступу є незалежними,
отже можливість додавання запису користувача не означає, що цей запис згодом
буде придатним до редагування.

OTP Tokens

Жетони OTP

OTP Tokens

Manage OTP tokens.

IPA supports the use of OTP tokens for multi-factor authentication. This
code enables the management of OTP tokens.

EXAMPLES:

Add a new token:
ipa otptoken-add --type=totp --owner=jdoe --desc="My soft token"

Examine the token:
ipa otptoken-show a93db710-a31a-4639-8647-f15b2c70b78a

Change the vendor:
ipa otptoken-mod a93db710-a31a-4639-8647-f15b2c70b78a --vendor="Red Hat"

Delete a token:
ipa otptoken-del a93db710-a31a-4639-8647-f15b2c70b78a

Жетони OTP

Керування жетонами OTP.

У IPA передбачено підтримку використання жетонів OTP для багатофакторного розпізнавання.
За допомогою цього коду уможливлюється керування жетонами OTP.

Додати новий жетон:
ipa otptoken-add --type=totp --owner=jdoe --desc="My soft token"

Перевірити жетон:
ipa otptoken-show a93db710-a31a-4639-8647-f15b2c70b78a

Змінити постачальника:
ipa otptoken-mod a93db710-a31a-4639-8647-f15b2c70b78a --vendor="Red Hat"

Вилучити жетон:
ipa otptoken-del a93db710-a31a-4639-8647-f15b2c70b78a

OTP configuration

Manage the default values that IPA uses for OTP tokens.

EXAMPLES:

Show basic OTP configuration:
ipa otpconfig-show

Show all OTP configuration options:
ipa otpconfig-show --all

Change maximum TOTP authentication window to 10 minutes:
ipa otpconfig-mod --totp-auth-window=600

Change maximum TOTP synchronization window to 12 hours:
ipa otpconfig-mod --totp-sync-window=43200

Change maximum HOTP authentication window to 5:
ipa hotpconfig-mod --hotp-auth-window=5

Change maximum HOTP synchronization window to 50:
ipa hotpconfig-mod --hotp-sync-window=50

Налаштування OTP

Керування типовими значеннями, які IPA використовує для ключів OTP.

ПРИКЛАДИ:

Показати базові налаштування OTP:
ipa otpconfig-show

Показати усі параметри налаштування OTP:
ipa otpconfig-show --all

Змінити тривалість максимального вікна розпізнавання TOTP на 10 хвилин:
ipa otpconfig-mod --totp-auth-window=600

Змінити тривалість максимального вікна синхронізації TOTP на 12 годин:
ipa otpconfig-mod --totp-sync-window=43200

Змінити тривалість максимального вікна розпізнавання HOTP на 5:
ipa hotpconfig-mod --hotp-auth-window=5

Змінити тривалість максимального вікна синхронізації HOTP на 50:
ipa hotpconfig-mod --hotp-sync-window=50

Password policy

A password policy sets limitations on IPA passwords, including maximum
lifetime, minimum lifetime, the number of passwords to save in
history, the number of character classes required (for stronger passwords)
and the minimum password length.

By default there is a single, global policy for all users. You can also
create a password policy to apply to a group. Each user is only subject
to one password policy, either the group policy or the global policy. A
group policy stands alone; it is not a super-set of the global policy plus
custom settings.

Each group password policy requires a unique priority setting. If a user
is in multiple groups that have password policies, this priority determines
which password policy is applied. A lower value indicates a higher priority
policy.

Group password policies are automatically removed when the groups they
are associated with are removed.

EXAMPLES:

Modify the global policy:
ipa pwpolicy-mod --minlength=10

Add a new group password policy:
ipa pwpolicy-add --maxlife=90 --minlife=1 --history=10 --minclasses=3 --minlength=8 --priority=10 localadmins

Display the global password policy:
ipa pwpolicy-show

Display a group password policy:
ipa pwpolicy-show localadmins

Display the policy that would be applied to a given user:
ipa pwpolicy-show --user=tuser1

Modify a group password policy:
ipa pwpolicy-mod --minclasses=2 localadmins

Правила паролів

Правила паролів встановлюють обмеження щодо використання паролів IPA,
зокрема максимальний строк дії, мінімальний строк дії, кількість паролів,
які зберігатимуться у журналі, потрібна кількість класів символів (для
складних паролів) та мінімальну довжину пароля.

Типово, визначено одні загальні правила для всіх користувачів. Ви можете
створити правило паролів, яке стосуватиметься однієї групи. Для одного
користувача може бути використано лише один набір правил паролів: груповий
або загальний. Групові правила паролів є незалежними, вони не є загальними
правилами з додаванням нетипових параметрів.

Для кожного набору групових правил паролів має бути встановлено окреме
значення пріоритету. Якщо користувач є учасником декількох груп, для яких
встановлено правила паролів, пріоритет визначає, які з правил має бути
застосовано. Менші значення відповідають вищому пріоритету правил.

Групові правила паролів автоматично вилучаються під час вилучення
відповідних груп.

ПРИКЛАДИ:

Внесення змін до загальних правил:
ipa pwpolicy-mod --minlength=10

Додавання нових групових правил паролів:
ipa pwpolicy-add --maxlife=90 --minlife=1 --history=10 --minclasses=3 --minlength=8 --priority=10 localadmins

Показ загальних правил паролів:
ipa pwpolicy-show

Показ групових правил паролів:
ipa pwpolicy-show localadmins

Показ правил, які має бути застосовано до певного користувача:
ipa pwpolicy-show --user=tuser1

Внесення змін до групових правил паролів:
ipa pwpolicy-mod --minclasses=2 localadmins

Password policy

A password policy sets limitations on IPA passwords, including maximum
lifetime, minimum lifetime, the number of passwords to save in
history, the number of character classes required (for stronger passwords)
and the minimum password length.

By default there is a single, global policy for all users. You can also
create a password policy to apply to a group. Each user is only subject
to one password policy, either the group policy or the global policy. A
group policy stands alone; it is not a super-set of the global policy plus
custom settings.

Each group password policy requires a unique priority setting. If a user
is in multiple groups that have password policies, this priority determines
which password policy is applied. A lower value indicates a higher priority
policy.

Group password policies are automatically removed when the groups they
are associated with are removed.

Grace period defines the number of LDAP logins allowed after expiration.
-1 means do not enforce expiration to match previous behavior. 0 allows
no additional logins after expiration.

EXAMPLES:

Modify the global policy:
ipa pwpolicy-mod --minlength=10

Add a new group password policy:
ipa pwpolicy-add --maxlife=90 --minlife=1 --history=10 --minclasses=3 --minlength=8 --priority=10 localadmins

Display the global password policy:
ipa pwpolicy-show

Display a group password policy:
ipa pwpolicy-show localadmins

Display the policy that would be applied to a given user:
ipa pwpolicy-show --user=tuser1

Modify a group password policy:
ipa pwpolicy-mod --minclasses=2 localadmins

Правила паролів

Правила паролів встановлюють обмеження щодо використання паролів IPA,
зокрема максимальний строк дії, мінімальний строк дії, кількість паролів,
які зберігатимуться у журналі, потрібна кількість класів символів (для
складних паролів) та мінімальну довжину пароля.

Типово, визначено одні загальні правила для всіх користувачів. Ви можете
створити правило паролів, яке стосуватиметься однієї групи. Для одного
користувача може бути використано лише один набір правил паролів: груповий
або загальний. Групові правила паролів є незалежними, вони не є загальними
правилами з додаванням нетипових параметрів.

Для кожного набору групових правил паролів має бути встановлено окреме
значення пріоритету. Якщо користувач є учасником декількох груп, для яких
встановлено правила паролів, пріоритет визначає, які з правил має бути
застосовано. Менші значення відповідають вищому пріоритету правил.

Групові правила паролів автоматично вилучаються під час вилучення
відповідних груп.

Період лояльності визначає кількість дозволених входів LDAP після завершення строку дії.
-1 означає, що примусове вичерпання строку дії не буде застосовано (попередня поведінка).
0 забороняє додаткові входи після завершення строку дії.

ПРИКЛАДИ:

Внесення змін до загальних правил:
ipa pwpolicy-mod --minlength=10

Додавання нових групових правил паролів:
ipa pwpolicy-add --maxlife=90 --minlife=1 --history=10 --minclasses=3 --minlength=8 --priority=10 localadmins

Показ загальних правил паролів:
ipa pwpolicy-show

Показ групових правил паролів:
ipa pwpolicy-show localadmins

Показ правил, які має бути застосовано до певного користувача:
ipa pwpolicy-show --user=tuser1

Внесення змін до групових правил паролів:
ipa pwpolicy-mod --minclasses=2 localadmins

Permissions

Права доступу

Permissions

A permission enables fine-grained delegation of rights. A permission is
a human-readable form of a 389-ds Access Control Rule, or instruction (ACI).
A permission grants the right to perform a specific task such as adding a
user, modifying a group, etc.

A permission may not contain other permissions.

* A permission grants access to read, write, add or delete.
* A privilege combines similar permissions (for example all the permissions
needed to add a user).
* A role grants a set of privileges to users, groups, hosts or hostgroups.

A permission is made up of a number of different parts:

1. The name of the permission.
2. The target of the permission.
3. The rights granted by the permission.

Rights define what operations are allowed, and may be one or more
of the following:
1. write - write one or more attributes
2. read - read one or more attributes
3. add - add a new entry to the tree
4. delete - delete an existing entry
5. all - all permissions are granted

Read permission is granted for most attributes by default so the read
permission is not expected to be used very often.

Note the distinction between attributes and entries. The permissions are
independent, so being able to add a user does not mean that the user will
be editable.

There are a number of allowed targets:
1. type: a type of object (user, group, etc).
2. memberof: a member of a group or hostgroup
3. filter: an LDAP filter
4. subtree: an LDAP filter specifying part of the LDAP DIT. This is a
super-set of the "type" target.
5. targetgroup: grant access to modify a specific group (such as granting
the rights to manage group membership)

EXAMPLES:

Add a permission that grants the creation of users:
ipa permission-add --type=user --permissions=add "Add Users"

Add a permission that grants the ability to manage group membership:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"

Права доступу

Запис правил доступу уможливлює точне делегування прав. Запис прав доступу
є зручною для читання обгорткою навколо правила керування доступом 389-ds
або інструкції (ACI).
Право доступу надає право виконувати специфічне завдання, зокрема додавання
запису користувача, внесення зміни до групи тощо.

Запис прав доступу не може містити інших прав доступу.

* Права доступу надають можливість читати, записувати, вилучати, шукати або
порівнювати.
* Привілеї поєднують подібні права доступу (наприклад усі права доступу,
потрібні для додавання запису користувача).
* Роль надає набір привілеїв користувачам, групам, вузлам або групам вузлів.

Запис права доступу складається з декількох різних частин:

1. Назви запису права доступу.
2. Призначення права доступу.
3. Права, які надаються записом.

Права визначають список дій, які можна виконувати. Запис прав може
бути один або може бути декілька записів з такого набору:
1. write - запис одного або декількох атрибутів
2. read - читання одного або декількох атрибутів
3. search - пошук одного або декількох атрибутів
4. compare - порівняння одного або декількох атрибутів
5. add - додавання нового запису до ієрархії
6. delete - вилучення наявного запису
7. all - надати усі права доступу

Типово, доступ до читання надається до більшості з атрибутів, отже потреба
у визначенні прав доступу до читання має виникати доволі нечасто.

Зауважте відмінність між атрибутами і записами. Права доступу є незалежними,
отже можливість додавання запису користувача не означає, що цей запис згодом
буде придатним до редагування.

Передбачено декілька можливих призначень:
1. type: тип об’єкта (user, group тощо).
2. memberof: учасник групи або групи вузлів
3. filter: фільтр LDAP
4. subtree: фільтр LDAP, що визначає частину DIT LDAP. Є надмножиною
призначення «type».
5. targetgroup: надати доступ до зміни вказаної групи (зокрема надати доступ
до керування участю у групі)

ПРИКЛАДИ:

Додати право доступу до створення записів користувачів:
ipa permission-add --type=user --permissions=add "Add Users"

Додати право доступу, яке надає можливість керувати участю у групах:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"

Permissions

A permission enables fine-grained delegation of rights. A permission is
a human-readable wrapper around a 389-ds Access Control Rule,
or instruction (ACI).
A permission grants the right to perform a specific task such as adding a
user, modifying a group, etc.

A permission may not contain other permissions.

* A permission grants access to read, write, add, delete, read, search,
or compare.
* A privilege combines similar permissions (for example all the permissions
needed to add a user).
* A role grants a set of privileges to users, groups, hosts or hostgroups.

A permission is made up of a number of different parts:

1. The name of the permission.
2. The target of the permission.
3. The rights granted by the permission.

Rights define what operations are allowed, and may be one or more
of the following:
1. write - write one or more attributes
2. read - read one or more attributes
3. search - search on one or more attributes
4. compare - compare one or more attributes
5. add - add a new entry to the tree
6. delete - delete an existing entry
7. all - all permissions are granted

Note the distinction between attributes and entries. The permissions are
independent, so being able to add a user does not mean that the user will
be editable.

There are a number of allowed targets:
1. subtree: a DN; the permission applies to the subtree under this DN
2. target filter: an LDAP filter
3. target: DN with possible wildcards, specifies entries permission applies to

Additionally, there are the following convenience options.
Setting one of these options will set the corresponding attribute(s).
1. type: a type of object (user, group, etc); sets subtree and target filter.
2. memberof: apply to members of a group; sets target filter
3. targetgroup: grant access to modify a specific group (such as granting
the rights to manage group membership); sets target.

Managed permissions

Permissions that come with IPA by default can be so-called "managed"
permissions. These have a default set of attributes they apply to,
but the administrator can add/remove individual attributes to/from the set.

Deleting or renaming a managed permission, as well as changing its target,
is not allowed.

EXAMPLES:

Add a permission that grants the creation of users:
ipa permission-add --type=user --permissions=add "Add Users"

Add a permission that grants the ability to manage group membership:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"

Права доступу

Запис правил доступу уможливлює точне делегування прав. Запис прав доступу
є зручною для читання обгорткою навколо правила керування доступом 389-ds
або інструкції (ACI).
Право доступу надає право виконувати специфічне завдання, зокрема додавання
запису користувача, внесення зміни до групи тощо.

Запис прав доступу не може містити інших прав доступу.

* Права доступу надають можливість читати, записувати, вилучати, шукати або
порівнювати.
* Привілеї поєднують подібні права доступу (наприклад усі права доступу,
потрібні для додавання запису користувача).
* Роль надає набір привілеїв користувачам, групам, вузлам або групам вузлів.

Запис права доступу складається з декількох різних частин:

1. Назви запису права доступу.
2. Призначення права доступу.
3. Права, які надаються записом.

Права визначають список дій, які можна виконувати. Запис прав може
бути один або може бути декілька записів з такого набору:
1. write - запис одного або декількох атрибутів
2. read - читання одного або декількох атрибутів
3. search - пошук одного або декількох атрибутів
4. compare - порівняння одного або декількох атрибутів
5. add - додавання нового запису до ієрархії
6. delete - вилучення наявного запису
7. all - надати усі права доступу

Зауважте відмінність між атрибутами і записами. Права доступу є незалежними,
отже можливість додавання запису користувача не означає, що цей запис згодом
буде придатним до редагування.

Передбачено декілька можливих призначень:
1. subtree: DN; право доступу застосовується до піддерева DN
2. target filter: фільтр LDAP
3. target: DN з можливими символами-замінниками, що визначає записи, яких стосуються права доступу

Крім того, передбачено вказані нижче параметри.
Встановлення одного з цих параметрів призводить до встановлення відповідних атрибутів.
1. type: тип об’єкта (користувач, група тощо); встановлює фільтрування за піддеревом (subtree) та фільтрування за призначенням (target filter).
2. memberof: застосовувати до учасників групи; встановлює фільтр за призначенням (target filter).
3. targetgroup: надає доступ до внесення змін до певної групи (зокрема, доступ до
надання можливості керування участю у групі); встановлює призначення (target).

Керовані права доступу

Права доступу, які типово встановлюються разом з IPA, можуть бути
так званими «керованим» правами доступу. Такі права доступу мають
типовий набір атрибутів, до яких вони застосовуються. Втім, адміністратор
може додавати або вилучати окремі атрибути набору.

Вилучення або перейменування керованих прав доступу, а також зміну призначення
таких прав, заборонено.

ПРИКЛАДИ:

Додати право доступу до створення записів користувачів:
ipa permission-add --type=user --permissions=add "Add Users"

Додати право доступу, яке надає можливість керувати участю у групах:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"

Permissions that come with IPA by default can be so-called "managed"
permissions. These have a default set of attributes they apply to,
but the administrator can add/remove individual attributes to/from the set.

Права доступу, які типово встановлюються разом з IPA, можуть бути
так званими «керованим» правами доступу. Такі права доступу мають
типовий набір атрибутів, до яких вони застосовуються. Втім, адміністратор
може додавати або вилучати окремі атрибути набору.

Ping the remote IPA server to ensure it is running.

The ping command sends an echo request to an IPA server. The server
returns its version information. This is used by an IPA client
to confirm that the server is available and accepting requests.

The server from xmlrpc_uri in /etc/ipa/default.conf is contacted first.
If it does not respond then the client will contact any servers defined
by ldap SRV records in DNS.

EXAMPLES:

Ping an IPA server:
ipa ping
------------------------------------------
IPA server version 2.1.9. API version 2.20
------------------------------------------

Ping an IPA server verbosely:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server 'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
IPA server version 2.1.9. API version 2.20
-----------------------------------------------------

Перевірка віддаленого сервера IPA з метою переконатися, що він є працездатним.

Програма ping надсилає луна-запит до сервера IPA. Сервер повертає
дані щодо його версії. Ці дані використовуються клієнтом IPA
для підтвердження, що сервер є доступним і що він приймає запити.

Сервер з xmlrpc_uri у /etc/ipa/default.conf перевіряється першим.
Якщо він не відповідає, клієнт намагається встановити зв’язок з
будь-яким сервером, визначеним записами SRV ldap у DNS.

ПРИКЛАДИ:

Перевірити луна-імпульсом сервер IPA:
ipa ping
------------------------------------------
Сервер IPA версії 2.1.9. Версія API 2.20
------------------------------------------

Перевірити луна-імпульсом сервер IPA і отримати докладні дані:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server 'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
Сервер IPA версії 2.1.9. Версія API 2.20
-----------------------------------------------------

Ping the remote IPA server to ensure it is running.

The ping command sends an echo request to an IPA server. The server
returns its version information. This is used by an IPA client
to confirm that the server is available and accepting requests.

The server from xmlrpc_uri in /etc/ipa/default.conf is contacted first.
If it does not respond then the client will contact any servers defined
by ldap SRV records in DNS.

EXAMPLES:

Ping an IPA server:
ipa ping
------------------------------------------
IPA server version 2.1.9. API version 2.20
------------------------------------------

Ping an IPA server verbosely:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server u'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
IPA server version 2.1.9. API version 2.20
-----------------------------------------------------

Перевірка віддаленого сервера IPA з метою переконатися, що він є працездатним.

Програма ping надсилає луна-запит до сервера IPA. Сервер повертає
дані щодо його версії. Ці дані використовуються клієнтом IPA
для підтвердження, що сервер є доступним і що він приймає запити.

Сервер з xmlrpc_uri у /etc/ipa/default.conf перевіряється першим.
Якщо він не відповідає, клієнт намагається встановити зв’язок з
будь-яким сервером, визначеним записами SRV ldap у DNS.

ПРИКЛАДИ:

Перевірити луна-імпульсом сервер IPA:
ipa ping
------------------------------------------
Сервер IPA версії 2.1.9. Версія API 2.20
------------------------------------------

Перевірити луна-імпульсом сервер IPA і отримати докладні дані:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server 'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
Сервер IPA версії 2.1.9. Версія API 2.20
-----------------------------------------------------

Plugin to make multiple ipa calls via one remote procedure call

To run this code in the lite-server

curl -H "Content-Type:application/json" -H "Accept:application/json" -H "Accept-Language:en" --negotiate -u : --cacert /etc/ipa/ca.crt -d @batch_request.json -X POST http://localhost:8888/ipa/json

where the contents of the file batch_request.json follow the below example

{"method":"batch","params":[[
{"method":"group_find","params":[[],{}]},
{"method":"user_find","params":[[],{"whoami":"true","all":"true"}]},
{"method":"user_show","params":[["admin"],{"all":true}]}
],{}],"id":1}

The format of the response is nested the same way. At the top you will see
"error": null,
"id": 1,
"result": {
"count": 3,
"results": [


And then a nested response for each IPA command method sent in the request

Додаток для виконання декількох викликів ipa за допомогою одного віддаленого виклику процедури

Щоб запустити цей код на легкому сервері, віддайте такі команди:

curl -H "Content-Type:application/json" -H "Accept:application/json" -H "Accept-Language:en" --negotiate -u : --cacert /etc/ipa/ca.crt -d @batch_request.json -X POST http://localhost:8888/ipa/json

де у файлі batch_request.json міститься десь такий код:

{"method":"batch","params":[[
{"method":"group_find","params":[[],{}]},
{"method":"user_find","params":[[],{"whoami":"true","all":"true"}]},
{"method":"user_show","params":[["admin"],{"all":true}]}
],{}],"id":1}

Формат відповіді має бути розподілений за рівнями вкладеності у подібний же спосіб. На початку ви побачите таке:
"error": null,
"id": 1,
"result": {
"count": 3,
"results": [


а далі буде вкладена відповідь для кожного методу команди IPA, який було надіслано у запиті

Plugin to make multiple ipa calls via one remote procedure call

To run this code in the lite-server

curl -H "Content-Type:application/json" -H "Accept:application/json" -H "Accept-Language:en" --negotiate -u : --cacert /etc/ipa/ca.crt -d @batch_request.json -X POST http://localhost:8888/ipa/json

where the contents of the file batch_request.json follow the below example

{"method":"batch","params":[[
{"method":"group_find","params":[[],{}]},
{"method":"user_find","params":[[],{"whoami":"true","all":"true"}]},
{"method":"user_show","params":[["admin"],{"all":true}]}
],{}],"id":1}

The format of the response is nested the same way. At the top you will see
"error": null,
"id": 1,
"result": {
"count": 3,
"results": [


And then a nested response for each IPA command method sent in the request

Додаток для виконання декількох викликів ipa за допомогою одного віддаленого виклику процедури

Щоб запустити цей код на легкому сервері, віддайте такі команди:

curl -H "Content-Type:application/json" -H "Accept:application/json" -H "Accept-Language:en" --negotiate -u : --cacert /etc/ipa/ca.crt -d @batch_request.json -X POST http://localhost:8888/ipa/json

де у файлі batch_request.json міститься десь такий код:

{"method":"batch","params":[[
{"method":"group_find","params":[[],{}]},
{"method":"user_find","params":[[],{"whoami":"true","all":"true"}]},
{"method":"user_show","params":[["admin"],{"all":true}]}
],{}],"id":1}

Формат відповіді має бути розподілений за рівнями вкладеності у подібний же спосіб. На початку ви побачите таке:
"error": null,
"id": 1,
"result": {
"count": 3,
"results": [


а далі буде вкладена відповідь для кожного методу команди IPA, який було надіслано у запиті

Plugins not accessible directly through the CLI, commands used internally

Інтерфейс командного рядка не надає безпосереднього доступу до додатків, команди використано для внутрішньої обробки

Privileges

A privilege combines permissions into a logical task. A permission provides
the rights to do a single task. There are some IPA operations that require
multiple permissions to succeed. A privilege is where permissions are
combined in order to perform a specific task.

For example, adding a user requires the following permissions:
* Creating a new user entry
* Resetting a user password
* Adding the new user to the default IPA users group

Combining these three low-level tasks into a higher level task in the
form of a privilege named "Add User" makes it easier to manage Roles.

A privilege may not contain other privileges.

See role and permission for additional information.

Привілей

Привілей поєднує права доступу у одне логічне завдання. Право доступу
надає можливість виконувати лише одне завдання. У IPA є декілька дій,
виконання яких потребує одразу декількох прав доступу. У привілеї такі
права доступу поєднуються з метою виконання певної дії.

Наприклад, додавання запису користувача потребує таких прав доступу:
* право створення запису користувача;
* право скидання пароля користувача;
* право додавання користувача до типової групи користувачів IPA.

Поєднання цих трьох низькорівневих завдань у високорівневе завдання у
форматі привілею з назвою «Add User» полегшує керування ролями.

Привілей не може містити інших привілеїв.

Щоб дізнатися більше, ознайомтеся з довідною щодо ролей та прав доступу.

Provides API introspection capabilities.

Надає можливості інтроспекції програмного інтерфейсу.

RADIUS Proxy Servers

Проксі-сервери RADIUS

RADIUS Proxy Servers

Manage RADIUS Proxy Servers.

IPA supports the use of an external RADIUS proxy server for krb5 OTP
authentications. This permits a great deal of flexibility when
integrating with third-party authentication services.

EXAMPLES:

Add a new server:
ipa radiusproxy-add MyRADIUS --server=radius.example.com:1812

Find all servers whose entries include the string "example.com":
ipa radiusproxy-find example.com

Examine the configuration:
ipa radiusproxy-show MyRADIUS

Change the secret:
ipa radiusproxy-mod MyRADIUS --secret

Delete a configuration:
ipa radiusproxy-del MyRADIUS

Проксі-сервери RADIUS

Керування проксі-серверами RADIUS.

У IPA передбачено підтримку зовнішнього проксі-сервера RADIUS для
виконання розпізнавання OTP krb5. Це надає системі значної гнучкості
з метою інтеграції зі сторонніми службами розпізнавання.

ПРИКЛАДИ:

Додати новий сервер:
ipa radiusproxy-add MyRADIUS --server=radius.example.com:1812

Знайти усі сервери, чиї запис містять рядок «example.com»:
ipa radiusproxy-find example.com

Перевірити налаштування:
ipa radiusproxy-show MyRADIUS

Змінити реєстраційні дані:
ipa radiusproxy-mod MyRADIUS --secret

Вилучити налаштування:
ipa radiusproxy-del MyRADIUS

RE-ENROLLMENT:

Host that has been enrolled at some point, and lost its configuration (e.g. VM
destroyed) can be re-enrolled.

For more information, consult the manual pages for ipa-client-install.

A host can optionally store information such as where it is located,
the OS that it runs, etc.

ПОВТОРНА РЕЄСТРАЦІЯ:

Вузол, якому вже колись було надано певну роль, але налаштування було втрачено
(наприклад через знищення віртуальної машини), можна знову зареєструвати (надати роль).

Щоб дізнатися більше, зверніться до сторінок підручника (man) щодо ipa-client-install.

Запис вузла може, якщо потрібно, зберігати відомості щодо розташування, запущеної
операційної системи тощо.

Raise the IPA Domain Level.

Підняти рівень домену IPA.

Realm domains

Manage the list of domains associated with IPA realm.

EXAMPLES:

Display the current list of realm domains:
ipa realmdomains-show

Replace the list of realm domains:
ipa realmdomains-mod --domain=example.com
ipa realmdomains-mod --domain={example1.com,example2.com,example3.com}

Add a domain to the list of realm domains:
ipa realmdomains-mod --add-domain=newdomain.com

Delete a domain from the list of realm domains:
ipa realmdomains-mod --del-domain=olddomain.com

Домени області

Керування списком доменів, пов’язаних з областю IPA.

ПРИКЛАДИ:

Показати поточний список доменів області:
ipa realmdomains-show

Замірити список доменів області:
ipa realmdomains-mod --domain=example.com
ipa realmdomains-mod --domain={example1.com,example2.com,example3.com}

Додати домен до списку доменів області:
ipa realmdomains-mod --add-domain=newdomain.com

Вилучити домен зі списку доменів області:
ipa realmdomains-mod --del-domain=olddomain.com

Realm domains

Manage the list of domains associated with IPA realm.

This list is useful for Domain Controllers from other realms which have
established trust with this IPA realm. They need the information to know
which request should be forwarded to KDC of this IPA realm.

Automatic management: a domain is automatically added to the realm domains
list when a new DNS Zone managed by IPA is created. Same applies for deletion.

Externally managed DNS: domains which are not managed in IPA server DNS
need to be manually added to the list using ipa realmdomains-mod command.

EXAMPLES:

Display the current list of realm domains:
ipa realmdomains-show

Replace the list of realm domains:
ipa realmdomains-mod --domain=example.com
ipa realmdomains-mod --domain={example1.com,example2.com,example3.com}

Add a domain to the list of realm domains:
ipa realmdomains-mod --add-domain=newdomain.com

Delete a domain from the list of realm domains:
ipa realmdomains-mod --del-domain=olddomain.com

Домени області

Керування списком доменів, пов’язаних з областю IPA.

Цей список є корисним для контролерів доменів з інших областей, які
мають встановити відносини довіри із цією областю IPA. Цим контролерам
потрібні дані щодо того, які запити слід переспрямовувати до KDC цієї
області IPA.

Автоматичне керування: домен автоматично додається до списку доменів
області, коли створюється нова зона DNS, керована IPA. Те саме стосується
вилучення.

Керована ззовні DNS: домени, які не керуються у DNS сервера IPA, має бути
вручну додано до списку за допомогою команди ipa realmdomains-mod.

ПРИКЛАДИ:

Показати поточний список доменів області:
ipa realmdomains-show

Замірити список доменів області:
ipa realmdomains-mod --domain=example.com
ipa realmdomains-mod --domain={example1.com,example2.com,example3.com}

Додати домен до списку доменів області:
ipa realmdomains-mod --add-domain=newdomain.com

Вилучити домен зі списку доменів області:
ipa realmdomains-mod --del-domain=olddomain.com

Removal of '%(hostname)s' leads to disconnected topology in suffix '%(suffix)s':
%(errors)s

Вилучення запису «%(hostname)s» призведе до нез’єднаної топології у суфіксу «%(suffix)s»:
%(errors)s

Replication topology in suffix '%(suffix)s' is disconnected:
%(errors)s

Топологія реплікації у суфіксі «%(suffix)s» є нез’єднаною:
%(errors)s

Return information about currently authenticated identity

Who am I command returns information on how to get
more details about the identity authenticated for this
request. The information includes:

* type of object
* command to retrieve details of the object
* arguments and options to pass to the command

The information is returned as a dictionary. Examples below use
'key: value' output for illustrative purposes.

EXAMPLES:

Look up as IPA user:
kinit admin
ipa console
>> api.Command.whoami()
------------------------------------------
object: user
command: user_show/1
arguments: admin
------------------------------------------

Look up as a user from a trusted domain:
kinit user@AD.DOMAIN
ipa console
>> api.Command.whoami()
------------------------------------------
object: idoverrideuser
command: idoverrideuser_show/1
arguments: ('default trust view', 'user@ad.domain')
------------------------------------------

Look up as a host:
kinit -k
ipa console
>> api.Command.whoami()
------------------------------------------
object: host
command: host_show/1
arguments: ipa.example.com
------------------------------------------

Look up as a Kerberos service:
kinit -k -t /path/to/keytab HTTP/ipa.example.com
ipa console
>> api.Command.whoami()
------------------------------------------
object: service
command: service_show/1
arguments: HTTP/ipa.example.com
------------------------------------------

Повернути дані щодо поточного розпізнаного профілю

Команда визначення профілю повертає дані щодо того, як
отримати більше даних про профіль, розпізнаний для
цього запиту. Дані:

* тип об’єкта
* команда для отримання подробиць щодо об’єкта
* аргументи та параметри, які слід передати команді

Дані повертаються у форматі словника. Нижче, як приклад,
наведено виведення у форматі «ключ: значення».

Приклади:

Пошук від імені користувача IPA:
kinit admin
ipa console
>> api.Command.whoami()
------------------------------------------
object: user
command: user_show/1
arguments: admin
------------------------------------------

Пошук від імені користувача довіреного домену:
kinit user@AD.DOMAIN
ipa console
>> api.Command.whoami()
------------------------------------------
object: idoverrideuser
command: idoverrideuser_show/1
arguments: ('default trust view', 'user@ad.domain')
------------------------------------------

Пошук від імені вузла:
kinit -k
ipa console
>> api.Command.whoami()
------------------------------------------
object: host
command: host_show/1
arguments: ipa.example.com
------------------------------------------

Пошук від імені служби Kerberos:
kinit -k -t /path/to/keytab HTTP/ipa.example.com
ipa console
>> api.Command.whoami()
------------------------------------------
object: service
command: service_show/1
arguments: HTTP/ipa.example.com
------------------------------------------

Rights define what operations are allowed, and may be one or more
of the following:
1. write - write one or more attributes
2. read - read one or more attributes
3. search - search on one or more attributes
4. compare - compare one or more attributes
5. add - add a new entry to the tree
6. delete - delete an existing entry
7. all - all permissions are granted

Права визначають список дій, які можна виконувати. Запис прав може
бути один або може бути декілька записів з такого набору:
1. write - запис одного або декількох атрибутів
2. read - читання одного або декількох атрибутів
3. search - пошук одного або декількох атрибутів
4. compare - порівняння одного або декількох атрибутів
5. add - додавання нового запису до ієрархії
6. delete - вилучення наявного запису
7. all - надати усі права доступу

Roles

A role is used for fine-grained delegation. A permission grants the ability
to perform given low-level tasks (add a user, modify a group, etc.). A
privilege combines one or more permissions into a higher-level abstraction
such as useradmin. A useradmin would be able to add, delete and modify users.

Privileges are assigned to Roles.

Users, groups, hosts and hostgroups may be members of a Role.

Roles can not contain other roles.

EXAMPLES:

Add a new role:
ipa role-add --desc="Junior-level admin" junioradmin

Add some privileges to this role:
ipa role-add-privilege --privileges=addusers junioradmin
ipa role-add-privilege --privileges=change_password junioradmin
ipa role-add-privilege --privileges=add_user_to_default_group junioradmin

Add a group of users to this role:
ipa group-add --desc="User admins" useradmins
ipa role-add-member --groups=useradmins junioradmin

Display information about a role:
ipa role-show junioradmin

The result of this is that any users in the group 'junioradmin' can
add users, reset passwords or add a user to the default IPA user group.

Ролі

Роль використовується для уточнення налаштування прав доступу. Право доступу
надає можливість виконувати деякі низькорівневі завдання (додавання запису
користувача, внесення змін до групи тощо). Привілей поєднують одне або декілька
прав доступу у високорівневу абстракцію, наприклад «адміністратор користувачів»
(useradmin). Такий useradmin зможе додавати, вилучати і вносити зміни до записів
користувачів.

Привілеї пов’язуються з ролями.

Учасниками ролі можуть бути користувачі, групи, вузли та групи вузлів.

Ролі можуть містити інші ролі.

ПРИКЛАДИ:

Додавання нової ролі:
ipa role-add --desc="Junior-level admin" junioradmin

Додавання привілеїв до цієї ролі:
ipa role-add-privilege --privileges=addusers junioradmin
ipa role-add-privilege --privileges=change_password junioradmin
ipa role-add-privilege --privileges=add_user_to_default_group junioradmin

Додавання користувачів до цієї ролі:
ipa group-add --desc="User admins" useradmins
ipa role-add-member --groups=useradmins junioradmin

Показ даних щодо ролі:
ipa role-show junioradmin

Результатом виконання команд буде те, що всі користувачі групи «useradmins»
зможуть додавати записи користувачів, скидати паролі або додавати користувача
до типової групи користувачів IPA.

SEARCHING:

ПОШУК:

SELinux User Mapping

Map IPA users to SELinux users by host.

Hosts, hostgroups, users and groups can be either defined within
the rule or it may point to an existing HBAC rule. When using
--hbacrule option to selinuxusermap-find an exact match is made on the
HBAC rule name, so only one or zero entries will be returned.

EXAMPLES:

Create a rule, "test1", that sets all users to xguest_u:s0 on the host "server":
ipa selinuxusermap-add --usercat=all --selinuxuser=xguest_u:s0 test1
ipa selinuxusermap-add-host --hosts=server.example.com test1

Create a rule, "test2", that sets all users to guest_u:s0 and uses an existing HBAC rule for users and hosts:
ipa selinuxusermap-add --usercat=all --hbacrule=webserver --selinuxuser=guest_u:s0 test2

Display the properties of a rule:
ipa selinuxusermap-show test2

Create a rule for a specific user. This sets the SELinux context for
user john to unconfined_u:s0-s0:c0.c1023 on any machine:
ipa selinuxusermap-add --hostcat=all --selinuxuser=unconfined_u:s0-s0:c0.c1023 john_unconfined
ipa selinuxusermap-add-user --users=john john_unconfined

Disable a rule:
ipa selinuxusermap-disable test1

Enable a rule:
ipa selinuxusermap-enable test1

Find a rule referencing a specific HBAC rule:
ipa selinuxusermap-find --hbacrule=allow_some

Remove a rule:
ipa selinuxusermap-del john_unconfined

SEEALSO:

The list controlling the order in which the SELinux user map is applied
and the default SELinux user are available in the config-show command.

Встановлення відповідності користувачів SELinux

Встановити відповідність користувачів IPA користувачам SELinux за вузлами.

Вузли, групи вузлів, користувачі і групи можна визначати або
в межах правила, або може вказувати на вже створене правило HBAC.
У разі використання параметра --hbacrule команди selinuxusermap-find
буде встановлено точну відповідність за назвою правила HBAC, отже буде
повернуто один або жодного запису.

ПРИКЛАДИ:

Створення правила, «test1», яке встановлює всіх користувачів у xguest_u:s0 на вузлі «server»:
ipa selinuxusermap-add --usercat=all --selinuxuser=xguest_u:s0 test1
ipa selinuxusermap-add-host --hosts=serverexample.com test1

Створення правила, "test2", яке встановлює всіх користувачів у guest_u:s0 і використовує вже створене правило HBAC для користувачів і вузлів:
ipa selinuxusermap-add --usercat=all --hbacrule=webserver --selinuxuser=guest_u:s0 test2

Показ властивостей правил:
ipa selinuxusermap-show test2

Створення правила для певного користувача. Встановлює контекст SELinux для користувача
john у unconfined_u:s0-s0:c0.c1023 на всіх комп’ютерах:
ipa selinuxusermap-add --hostcat=all --selinuxuser=unconfined_u:s0-s0:c0.c1023 john_unconfined
ipa selinuxusermap-add-user --users=john john_unconfined

Вимикання правила:
ipa selinuxusermap-disable test1

Увімкнення правила:
ipa selinuxusermap-enable test1

Пошук правила, що посилається на певне правило HBAC:
ipa selinuxusermap-find --hbacrule=allow_some

Вилучення правила:
ipa selinuxusermap-del john_unconfined

ТАКОЖ ОЗНАЙОМТЕСЯ:

Застосовується список, який визначає порядок, у якому встановлюється
відповідність користувачів. Типового користувача можна за допомогою
програми config-show.

SUPPORTED ZONE TYPES

* Master zone (dnszone-*), contains authoritative data.
* Forward zone (dnsforwardzone-*), forwards queries to configured forwarders
(a set of DNS servers).

ПІДТРИМУВАНІ ТИПИ ЗОН

* Основна зона (dnszone-*), містить довірені дані.
* Зона переспрямовування (dnsforwardzone-*), переспрямовує запити до налаштованих засобів обробки
(набору серверів DNS).

Loading…

User avatar None

String updated in the repository

Privileges

A privilege combines permissions into a logical task. A permission provides
the rights to do a single task. There are some IPA operations that require
multiple permissions to succeed. A privilege is where permissions are
combined in order to perform a specific task.

For example, adding a user requires the following permissions:
* Creating a new user entry
* Resetting a user password
* Adding the new user to the default IPA users group

Combining these three low-level tasks into a higher level task in the
form of a privilege named "Add User" makes it easier to manage Roles.

A privilege may not contain other privileges.

See role and permission for additional information.

Привілей

Привілей поєднує права доступу у одне логічне завдання. Право доступу
надає можливість виконувати лише одне завдання. У IPA є декілька дій,
виконання яких потребує одразу декількох прав доступу. У привілеї такі
права доступу поєднуються з метою виконання певної дії.

Наприклад, додавання запису користувача потребує таких прав доступу:
* право створення запису користувача;
* право скидання пароля користувача;
* право додавання користувача до типової групи користувачів IPA.

Поєднання цих трьох низькорівневих завдань у високорівневе завдання у
форматі привілею з назвою «Add User» полегшує керування ролями.

Привілей не може містити інших привілеїв.

Щоб дізнатися більше, ознайомтеся з довідною щодо ролей та прав доступу.
a year ago
Browse all string changes

Things to check

Consecutive duplicated words

Text contains the same word twice in a row: Привілей

Reset

Glossary

English Ukrainian
No related strings found in the glossary.

String information

String age
a year ago
Last updated
a year ago
Source string age
a year ago
Translation file
po/uk.po, string 319