Zen

Translation


Groups of users

Manage groups of users. By default, new groups are POSIX groups. You
can add the --nonposix option to the group-add command to mark a new group
as non-POSIX. You can use the --posix argument with the group-mod command
to convert a non-POSIX group into a POSIX group. POSIX groups cannot be
converted to non-POSIX groups.

Every group must have a description.

POSIX groups must have a Group ID (GID) number. Changing a GID is
supported but can have an impact on your file permissions. It is not necessary
to supply a GID when creating a group. IPA will generate one automatically
if it is not provided.

EXAMPLES:

Add a new group:
ipa group-add --desc='local administrators' localadmins

Add a new non-POSIX group:
ipa group-add --nonposix --desc='remote administrators' remoteadmins

Convert a non-POSIX group to posix:
ipa group-mod --posix remoteadmins

Add a new POSIX group with a specific Group ID number:
ipa group-add --gid=500 --desc='unix admins' unixadmins

Add a new POSIX group and let IPA assign a Group ID number:
ipa group-add --desc='printer admins' printeradmins

Remove a group:
ipa group-del unixadmins

To add the "remoteadmins" group to the "localadmins" group:
ipa group-add-member --groups=remoteadmins localadmins

Add multiple users to the "localadmins" group:
ipa group-add-member --users=test1 --users=test2 localadmins

Remove a user from the "localadmins" group:
ipa group-remove-member --users=test2 localadmins

Display information about a named group.
ipa group-show localadmins

External group membership is designed to allow users from trusted domains
to be mapped to local POSIX groups in order to actually use IPA resources.
External members should be added to groups that specifically created as
external and non-POSIX. Such group later should be included into one of POSIX
groups.

An external group member is currently a Security Identifier (SID) as defined by
the trusted domain. When adding external group members, it is possible to
specify them in either SID, or DOM
ame, or name@domain format. IPA will attempt
to resolve passed name to SID with the use of Global Catalog of the trusted domain.

Example:

1. Create group for the trusted domain admins' mapping and their local POSIX group:

ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins

2. Add security identifier of Domain Admins of the <ad.domain> to the ad_admins_external
group:

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Allow members of ad_admins_external group to be associated with ad_admins POSIX group:

ipa group-add-member ad_admins --groups ad_admins_external

4. List members of external members of ad_admins_external group to see their SIDs:

ipa group-show ad_admins_external
3277/28870 · 2887

Sign in to save the translation.

English French Actions

Classes to manage trust joins using DCE-RPC calls

The code in this module relies heavily on samba4-python package
and Samba4 python bindings.

Classes pour gérer des jonctions de confiance avec des appels DCE-RPC

Le code de ce module s'appuie pour l'essentiel sur le paquet
« samba4-python » et les liaisons python de Samba4.

Cross-realm trusts

Manage trust relationship between IPA and Active Directory domains.

In order to allow users from a remote domain to access resources in IPA
domain, trust relationship needs to be established. Currently IPA supports
only trusts between IPA and Active Directory domains under control of Windows
Server 2008 or later, with functional level 2008 or later.

Please note that DNS on both IPA and Active Directory domain sides should be
configured properly to discover each other. Trust relationship relies on
ability to discover special resources in the other domain via DNS records.

Examples:

1. Establish cross-realm trust with Active Directory using AD administrator
credentials:

ipa trust-add --type=ad <ad.domain> --admin <AD domain administrator> --password

2. List all existing trust relationships:

ipa trust-find

3. Show details of the specific trust relationship:

ipa trust-show <ad.domain>

4. Delete existing trust relationship:

ipa trust-del <ad.domain>

Once trust relationship is established, remote users will need to be mapped
to local POSIX groups in order to actually use IPA resources. The mapping should
be done via use of external membership of non-POSIX group and then this group
should be included into one of local POSIX groups.

Example:

1. Create group for the trusted domain admins' mapping and their local POSIX group:

ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins

2. Add security identifier of Domain Admins of the <ad.domain> to the ad_admins_external
group:

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Allow members of ad_admins_external group to be associated with ad_admins POSIX group:

ipa group-add-member ad_admins --groups ad_admins_external

4. List members of external members of ad_admins_external group to see their SIDs:

ipa group-show ad_admins_external


GLOBAL TRUST CONFIGURATION

When IPA AD trust subpackage is installed and ipa-adtrust-install is run,
a local domain configuration (SID, GUID, NetBIOS name) is generated. These
identifiers are then used when communicating with a trusted domain of the
particular type.

1. Show global trust configuration for Active Directory type of trusts:

ipa trustconfig-show --type ad

2. Modify global configuration for all trusts of Active Directory type and set
a different fallback primary group (fallback primary group GID is used as
a primary user GID if user authenticating to IPA domain does not have any other
primary GID already set):

ipa trustconfig-mod --type ad --fallback-primary-group "alternative AD group"

3. Change primary fallback group back to default hidden group (any group with
posixGroup object class is allowed):

ipa trustconfig-mod --type ad --fallback-primary-group "Default SMB Group"

Relations d'approbation entre domaines

Gestion des relations d'approbation entre les domaines IPA et Active Directory.

Pour permettre aux utilisateurs d'un domaine distant l'accès aux ressources
d'un domaine IPA, des relations d'approbation doivent être établies.
Actuellement IPA ne prend en charge que les relations d'approbation entre des
domaines IPA et Active Directory sous le contrôle de Windows Server 2008 ou
ultérieur, avec le niveau fonctionnel 2008 ou ultérieur.

Veuillez noter que DNS doit être correctement configuré à la fois côté
domaine IPA et côté Active Directory pour une découverte mutuelle. La
relation de confiance repose sur la capacité à repérer des ressources
spéciales dans l'autre domaine via des enregistrements DNS.

Exemples :

1. Établir des relations d'approbation croisées entre royaumes avec Active
Directory avec les autorisations d'accès d'un administrateur AD :

ipa trust-add --type=ad <ad.domain> --admin <AD domain administrator> --password

2. Lister toutes les relations d'approbation existantes :

ipa trust-find

3. Voir les détails d'une relation de confiance donnée :

ipa trust-show <ad.domain>

4. Supprimer une relation de confiance existante :

ipa trust-del <ad.domain>

Une fois la relation de confiance établie, les utilisateurs distants doivent
être mis en relation avec des groupes POSIX locaux pour utiliser réellement
des ressources IPA. La relation doit se faire via l'appartenance à un groupe
non-POSIX externe, puis ce groupe doit être intégré dans l'un des groupes
POSIX locaux.

Exemples :

1. Créer un groupe pour la mise en relation avec le domaine approuvé
« admins » et leur groupe POSIX local :

ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins

2. Ajouter un identifiant de sécurité de <ad.domain> de Domain Admins au
groupe « ad_admins_external » :

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Autoriser des membres du groupe « ad_admins_external » à s'associer
avec le groupe POSIX ad_admins :

ipa group-add-member ad_admins --groups ad_admins_external

4. Lister les membres externes du groupe externe « ad_admins_external »
pour voir leur SID :

ipa group-show ad_admins_external


CONFIGURATION D'UNE CONFIANCE GLOBALE

Une fois le sous-paquet « IPA AD trust » installé et « ipa-adtrust-install »
exécuté, une configuration de domaine local (SID, GUID, nom NetBIOS) est
créée. Ces identifiants sont alors utilisés lors de communications avec un
domaine approuvé de type particulier.

1. Afficher la configuration de confiance globale pour les types de
confiance Active Directory :

ipa trustconfig-show --type ad

2. Modifier la configuration globale de toutes les confiances de type
Active Directory et définir un groupe principal de recours (le GID du
groupe principal de recours est utilisé comme GID d'utilisateur principal
si l'utilisateur s'authentifiant auprès du domaine IPA n'a pas d'autre
GID principal déjà défini) :

ipa trustconfig-mod --type ad --fallback-primary-group "alternative AD group"

3. Revenir au groupe caché par défaut comme groupe de recours principal
(tout groupe de la classe objet « posixGroup » est autorisé) :

ipa trustconfig-mod --type ad --fallback-primary-group "Default SMB Group"

DNS configuration passed to command line install script is stored in a local
configuration file on each IPA server where DNS service is configured. These
local settings can be overridden with a common configuration stored in LDAP
server:

La configuration DNS, passée en ligne de commande du script d'installation,
est stockée dans un ficher de configuration local sur chaque serveur IPA
dans lequel le service DNS est configuré. Ces réglages locaux peuvent être
surchargés par une configuration commune stockée dans le serveur LDAP :

DNS server configuration

Configuration du serveur DNS

Data stored on IPA servers is replicated to other IPA servers. The way it is
replicated is defined by replication agreements. Replication agreements needs
to be set for both suffixes separately. On domain level 0 they are managed
using ipa-replica-manage and ipa-csreplica-manage tools. With domain level 1
they are managed centrally using `ipa topology*` commands.

Les données enregistrées dans les serveurs IPA sont répliquées vers les autres
serveurs IPA. Les agréments de réplication définissent la manière dont la
réplication s'opère. Les agréments de réplication doivent être définis pour
les deux suffixes de manière séparée. Sur les domaines de niveau 0, ils sont
gérés par les outils ipa-replica-manage et ipa-csreplica-manage tools. Sur
les domaines de niveau 1, ils sont gérés de manière centralisée par les commandes
« ipa topology* ».

Deleting or renaming a managed permission, as well as changing its target,
is not allowed.

Supprimer ou renommer une permission administrée, ou changer sa cible,
n'est pas autorisé.

Domain Name System (DNS)

Domain Name System (DNS)

ENROLLMENT:

There are three enrollment scenarios when enrolling a new client:

1. You are enrolling as a full administrator. The host entry may exist
or not. A full administrator is a member of the hostadmin role
or the admins group.
2. You are enrolling as a limited administrator. The host must already
exist. A limited administrator is a member a role with the
Host Enrollment privilege.
3. The host has been created with a one-time password.

INSCRIPTION :

Trois scenarii d'inscriptions d'un nouveau client sont possibles :

1. La machine est enregistrée par un administrateur de plein droit.
L'entrée système peut pré-exister ou non. Un administrateur de
plein droit est membre du rôle hostadmin ou du groupe admins
2. L'inscription est faite par un administrateur limité. L'hôte
doit avoir été préalablement créé. Un administrateur limité
possède le privilège Host Enrollment.
3. Le système a été créé avec un mot de passe à usage unique.

EXAMPLES:

EXEMPLES :

Get information about installed IPA servers.

Afficher les informations au sujet des serveurs IPA installés.

Get status of roles (DNS server, CA, etc.) provided by IPA masters.

Obtenir l'état des rôles (serveur DNS, AC, etc. )fournis par les maîtres IPA.

Group to Group Delegation

A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.

Group to Group Delegations grants the members of one group to update a set
of attributes of members of another group.

EXAMPLES:

Add a delegation rule to allow managers to edit employee's addresses:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"

When managing the list of attributes you need to include all attributes
in the list, including existing ones. Add postalCode to the list:
ipa delegation-mod --attrs=street --attrs=postalCode --group=managers --membergroup=employees "managers edit employees' street"

Display our updated rule:
ipa delegation-show "managers edit employees' street"

Delete a rule:
ipa delegation-del "managers edit employees' street"

Délégation de groupe à groupe

Une permission permet une délégation fine des autorisations. Les règles de
contrôle d'accès, ou les instructions (ACI), accordent la possibilité aux
permissions de réaliser certaines tâches comme l'ajout d'utilisateur, la
modification d'un groupe, etc.

La délégation de groupe à groupe permet aux membres d'un groupe de modifier
un jeu d'attributs de membres d'un autre groupe.

EXEMPLES:

Ajouter une règle de délégation permettant aux gestionnaires de modifier
les adresses des employés :
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"

En gérant une liste d'attributs, vous devez inclure tous les attributs,
y compris les existants. Ajouter « postalCode » à la liste :
ipa delegation-mod --attrs=street --attrs=postalCode --group=managers --membergroup=employees "managers edit employees' street"

Afficher la règle modifiée :
ipa delegation-show "managers edit employees' street"

Supprimer une règle :
ipa delegation-del "managers edit employees' street"

Groups of Sudo Commands

Manage groups of Sudo Commands.

EXAMPLES:

Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds

Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds

Manage Sudo Command Group membership, commands:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds

Show a Sudo Command Group:
ipa group-show localadmins

Groupes de commandes sudo

Administre les groupes de commandes sudo.

EXEMPLES :

Ajouter un nouveau groupe de commandes sudo :
ipa sudocmdgroup-add --desc='commandes administrateurs' admincmds

Supprimer un groupe de commandes sudo :
ipa sudocmdgroup-del admincmds

Gérer les commandes, l'appartenance d'un groupe de commandes sudo :
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds

Administrer les commandes, l'appartenance d'un groupe de commandes sudo :
ipa group-remove-member --sudocmds=/usr/bin/less admincmds

Afficher un groupe de commandes sudo :
ipa group-show localadmins

Groups of Sudo Commands

Manage groups of Sudo Commands.

EXAMPLES:

Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds

Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds

Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-remove-member --sudocmds=/usr/bin/less admincmds

Show a Sudo Command Group:
ipa sudocmdgroup-show admincmds

Groupes de commandes sudo

Administre les groupes de commandes sudo.

EXEMPLES :

Ajouter un nouveau groupe de commandes sudo :
ipa sudocmdgroup-add --desc='commandes administrateurs' admincmds

Supprimer un groupe de commandes sudo :
ipa sudocmdgroup-del admincmds

Gérer les commandes, l'appartenance d'un groupe de commandes sudo :
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds

Administrer les commandes, l'appartenance d'un groupe de commandes sudo :
ipa sudocmdgroup-remove-member --sudocmds=/usr/bin/less admincmds

Afficher un groupe de commandes sudo :
ipa sudocmdgroup-show admincmds

Groups of hosts.

Manage groups of hosts. This is useful for applying access control to a
number of hosts by using Host-based Access Control.

EXAMPLES:

Add a new host group:
ipa hostgroup-add --desc="Baltimore hosts" baltimore

Add another new host group:
ipa hostgroup-add --desc="Maryland hosts" maryland

Add members to the hostgroup (using Bash brace expansion):
ipa hostgroup-add-member --hosts={box1,box2,box3} baltimore

Add a hostgroup as a member of another hostgroup:
ipa hostgroup-add-member --hostgroups=baltimore maryland

Remove a host from the hostgroup:
ipa hostgroup-remove-member --hosts=box2 baltimore

Display a host group:
ipa hostgroup-show baltimore

Delete a hostgroup:
ipa hostgroup-del baltimore

Groupes d'hôtes.

Gestion des groupes d'hôtes. Permet d'appliquer des contrôles d'accès
à plusieurs hôtes en utilisant HBAC (Host-based Access Control).

EXEMPLES :

Ajouter un nouveau groupe d'hôtes :
ipa hostgroup-add --desc="Systèmes de Baltimore" baltimore

Ajouter un nouveau groupe d'hôtes :
ipa hostgroup-add --desc="Systèmes du Maryland" maryland

Ajouter des membres à un groupe d'hôtes :
ipa hostgroup-add-member --hosts={box1,box2,box3} baltimore

Ajouter un groupe d'hôtes en tant que membre d'un autre groupe d'hôtes :
ipa hostgroup-add-member --hostgroups=baltimore maryland

Supprimer un hôte d'un groupe :
ipa hostgroup-remove-member --hosts=box2 baltimore

Afficher un groupe d'hôtes :
ipa hostgroup-show baltimore

Supprimer un groupe d'hôtes :
ipa hostgroup-del baltimore

Groups of users

Manage groups of users. By default, new groups are POSIX groups. You
can add the --nonposix option to the group-add command to mark a new group
as non-POSIX. You can use the --posix argument with the group-mod command
to convert a non-POSIX group into a POSIX group. POSIX groups cannot be
converted to non-POSIX groups.

Every group must have a description.

POSIX groups must have a Group ID (GID) number. Changing a GID is
supported but can have an impact on your file permissions. It is not necessary
to supply a GID when creating a group. IPA will generate one automatically
if it is not provided.

EXAMPLES:

Add a new group:
ipa group-add --desc='local administrators' localadmins

Add a new non-POSIX group:
ipa group-add --nonposix --desc='remote administrators' remoteadmins

Convert a non-POSIX group to posix:
ipa group-mod --posix remoteadmins

Add a new POSIX group with a specific Group ID number:
ipa group-add --gid=500 --desc='unix admins' unixadmins

Add a new POSIX group and let IPA assign a Group ID number:
ipa group-add --desc='printer admins' printeradmins

Remove a group:
ipa group-del unixadmins

To add the "remoteadmins" group to the "localadmins" group:
ipa group-add-member --groups=remoteadmins localadmins

Add multiple users to the "localadmins" group:
ipa group-add-member --users=test1 --users=test2 localadmins

Remove a user from the "localadmins" group:
ipa group-remove-member --users=test2 localadmins

Display information about a named group.
ipa group-show localadmins

External group membership is designed to allow users from trusted domains
to be mapped to local POSIX groups in order to actually use IPA resources.
External members should be added to groups that specifically created as
external and non-POSIX. Such group later should be included into one of POSIX
groups.

An external group member is currently a Security Identifier (SID) as defined by
the trusted domain. When adding external group members, it is possible to
specify them in either SID, or DOM
ame, or name@domain format. IPA will attempt
to resolve passed name to SID with the use of Global Catalog of the trusted domain.

Example:

1. Create group for the trusted domain admins' mapping and their local POSIX group:

ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins

2. Add security identifier of Domain Admins of the <ad.domain> to the ad_admins_external
group:

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Allow members of ad_admins_external group to be associated with ad_admins POSIX group:

ipa group-add-member ad_admins --groups ad_admins_external

4. List members of external members of ad_admins_external group to see their SIDs:

ipa group-show ad_admins_external

Groupes d'utilisateurs

Gérer des groupes d'utilisateurs. Par défaut, tout nouveau groupe est POSIX.
On peut ajouter l'option « --nonposix » à la commande « group-add » pour
marquer un nouveau groupe comme non-POSIX et utiliser l'option « --posix »
de la commande « group-mod » pour convertir un groupe non-POSIX en groupe
POSIX. Les groupes POSIX ne peuvent pas être convertis en groupes non-POSIX.

Chaque groupe doit avoir une description.

Les groupes POSIX doivent avoir un numéro d'ID de groupe (GID). Modifier un
GID est faisable, mais cela peut avoir un impact sur vos droits d'accès aux
fichiers. Il n'est pas nécessaire d'indiquer un GID à la création du groupe.
IPA en générera un automatiquement s'il n'est pas fourni.

EXEMPLES :

Ajouter un nouveau groupe :
ipa group-add --desc='local administrators' localadmins

Ajouter un nouveau groupe non-POSIX :
ipa group-add --nonposix --desc='remote administrators' remoteadmins

Convertir un groupe non-POSIX en groupe POSIX :
ipa group-mod --posix remoteadmins

Ajouter un nouveau groupe POSIX avec un numéro d'ID de groupe donné :
ipa group-add --gid=500 --desc='unix admins' unixadmins

Ajouter un nouveau groupe POSIX et laisser IPA assigner un numéro d'ID de groupe :
ipa group-add --desc='printer admins' printeradmins

Supprimer un groupe :
ipa group-del unixadmins

Ajouter le groupe « remoteadmins » au groupe « localadmins » :
ipa group-add-member --groups=remoteadmins localadmins

Ajouter plusieurs utilisateurs au groupe « localadmins » :
ipa group-add-member --users=test1 --users=test2 localadmins

Supprimer un utilisateur du groupe « localadmins » :
ipa group-remove-member --users=test2 localadmins

Afficher des informations à propos d'un groupe donné :
ipa group-show localadmins

L'adhésion à un groupe externe est conçue pour permettre aux utilisateurs de
domaines approuvés d'être assimilés aux groupes POSIX locaux pour pouvoir
utiliser réellement les ressources IPA. Des membres externes peuvent être
ajoutés aux groupes spécifiquement crées comme externes et non-POSIX. Un tel
groupe peut plus tard être incorporé dans un des groupes POSIX

Un membre de groupe externe est actuellement identifié par un « Security
Identifier (SID) » tel que défini pour le domaine approuvé. Pour ajouter
un membre de groupe externe, il est possible de le définir, soit au format
SID, soit DOM\name, soit name@domain. IPA essayera de résoudre le nom passé
en SID en se servant du « Global Catalog » des domaines approuvés.

Exemple:

1. Créer un groupe par assimilation au domaine approuvé « admins »
et à leur groupe POSIX local :

ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins

2. Ajouter l'identifiant de sécurité <ad.domain> de « Domain Admins » au
groupe externe « ad_admins_external » :

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Autoriser des membres du groupe « ad_admins_external » à être associés au
groupe POSIX « ad_admins » :

ipa group-add-member ad_admins --groups ad_admins_external

4. Lister les membres externes du groupe « ad_admins_external » pour voir
leur SID :

ipa group-show ad_admins_external

HBAC Service Groups

HBAC service groups can contain any number of individual services,
or "members". Every group must have a description.

EXAMPLES:

Add a new HBAC service group:
ipa hbacsvcgroup-add --desc="login services" login

Add members to an HBAC service group:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd --hbacsvcs=login login

Display information about a named group:
ipa hbacsvcgroup-show login

Delete an HBAC service group:
ipa hbacsvcgroup-del login

Groupes de services HBAC

Les groupes de services HBAC peuvent contenir n'importe quel nombre de
services « membres » individuels. Chaque groupe doit avoir une description.

EXEMPLES:

Ajouter un nouveau groupe de services HBAC :
ipa hbacsvcgroup-add --desc="login services" login

Ajouter des membres à un groupe de services HBAC :
ipa hbacsvcgroup-add-member --hbacsvcs=sshd --hbacsvcs=login login

Afficher les informations d'un groupe nommé :
ipa hbacsvcgroup-show login

Supprimer un groupe de services HBAC :
ipa hbacsvcgroup-del login

HBAC Services

The PAM services that HBAC can control access to. The name used here
must match the service name that PAM is evaluating.

EXAMPLES:

Add a new HBAC service:
ipa hbacsvc-add tftp

Modify an existing HBAC service:
ipa hbacsvc-mod --desc="TFTP service" tftp

Search for HBAC services. This example will return two results, the FTP
service and the newly-added tftp service:
ipa hbacsvc-find ftp

Delete an HBAC service:
ipa hbacsvc-del tftp


Services HBAC

Les services PAM dont le système HBAC peut contrôler l'accès. Le nom utilisé
ici doit correspondre au nom du service analysé par PAM.
EXEMPLES:

Ajouter un nouveau service HBAC :
ipa hbacsvc-add tftp

Modifier un service HBAC existant :
ipa hbacsvc-mod --desc="TFTP service" tftp

Chercher des services HBAC. Cet exemple renvoie deux résultats, le service
FTP et le service tftp nouvellement ajouté :
ipa hbacsvc-find ftp

Supprimer un service HBAC :
ipa hbacsvc-del tftp


Host-based access control

Control who can access what services on what hosts. You
can use HBAC to control which users or groups can
access a service, or group of services, on a target host.

You can also specify a category of users and target hosts.
This is currently limited to "all", but might be expanded in the
future.

Target hosts in HBAC rules must be hosts managed by IPA.

The available services and groups of services are controlled by the
hbacsvc and hbacsvcgroup plug-ins respectively.

EXAMPLES:

Create a rule, "test1", that grants all users access to the host "server" from
anywhere:
ipa hbacrule-add --usercat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1

Display the properties of a named HBAC rule:
ipa hbacrule-show test1

Create a rule for a specific service. This lets the user john access
the sshd service on any machine from any machine:
ipa hbacrule-add --hostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd

Create a rule for a new service group. This lets the user john access
the FTP service on any machine from any machine:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp --hbacsvcs=sftp ftpers
ipa hbacrule-add --hostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp

Disable a named HBAC rule:
ipa hbacrule-disable test1

Remove a named HBAC rule:
ipa hbacrule-del allow_server

Contrôle d'accès des systèmes (HBAC)

HBAC (Host-based acces control) permet de contrôler qui peut accéder
à quels services sur quels systèmes, et d'où. Il est possible
d'utiliser le système HBAC afin de contrôler quels utilisateurs ou quels
groupes d'un système source peuvent accéder à quels services, ou groupes
de services, sur un hôte cible.

Vous pouvez aussi indiquer une catégorie d'utilisateur, d'hôtes cibles.
La seule catégorie existante pour le moment est "all", mais elles
pourront être étendues dans le futur.

Les hôtes cible des règles HBAC doivent être des hôtes administrés par IPA.

Les services et groupes de services disponibles sont gérés respectivement
par les greffons « hbacsvc » et « hbacsvcgroup ».

EXEMPLES:

Créer une règle "test1" autorisant tous les utilisateurs à accéder
le serveur « server » depuis n'importe où :
ipa hbacrule-add --usercat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1

Afficher les propriétés d'une règle HBAC nommée :
ipa hbacrule-show test1

Créer une règle pour un service donné. Elle permet d'avoir accés au
service sshd sur toute machine depuis n'importe quelle autre machine :
ipa hbacrule-add --hostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd

Créer une règle pour un nouveau groupe de services. Elle permet d'avoir
accès au service FTP de toute machine depuis n'importe quelle machine.
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp --hbacsvcs=sftp ftpers
ipa hbacrule-add --hostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp

Désactiver une règle HBAC nommée :
ipa hbacrule-disable test1

Supprimer une règle HBAC nommée :
ipa hbacrule-del allow_server


Hosts/Machines

A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry

Hôtes/Machines

Un hôte représente une machine. Il peut être utilisé dans de nombreux contextes :
- les entrées de services sont associées à un hôte,
- un hôte stocke le principal des hôtes/des services,
- un hôte est utilisable dans les règles HBAC (Host-based Access Control),
- chaque client enregistré génère une entrée d'hôte.

IPA certificate operations

Implements a set of commands for managing server SSL certificates.

Certificate requests exist in the form of a Certificate Signing Request (CSR)
in PEM format.

The dogtag CA uses just the CN value of the CSR and forces the rest of the
subject to values configured in the server.

A certificate is stored with a service principal and a service principal
needs a host.

In order to request a certificate:

* The host must exist
* The service must exist (or you use the --add option to automatically add it)

SEARCHING:

Certificates may be searched on by certificate subject, serial number,
revocation reason, validity dates and the issued date.

When searching on dates the _from date does a >= search and the _to date
does a <= search. When combined these are done as an AND.

Dates are treated as GMT to match the dates in the certificates.

The date format is YYYY-mm-dd.

EXAMPLES:

Request a new certificate and add the principal:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr

Retrieve an existing certificate:
ipa cert-show 1032

Revoke a certificate (see RFC 5280 for reason details):
ipa cert-revoke --revocation-reason=6 1032

Remove a certificate from revocation hold status:
ipa cert-remove-hold 1032

Check the status of a signing request:
ipa cert-status 10

Search for certificates by hostname:
ipa cert-find --subject=ipaserver.example.com

Search for revoked certificates by reason:
ipa cert-find --revocation-reason=5

Search for certificates based on issuance date
ipa cert-find --issuedon-from=2013-02-01 --issuedon-to=2013-02-07

IPA currently immediately issues (or declines) all certificate requests so
the status of a request is not normally useful. This is for future use
or the case where a CA does not immediately issue a certificate.

The following revocation reasons are supported:

* 0 - unspecified
* 1 - keyCompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
* 10 - aACompromise

Note that reason code 7 is not used. See RFC 5280 for more details:

http://www.ietf.org/rfc/rfc5280.txt

Gestion de certficats IPA

Implémente un jeu de commandes pour gérer les certificats SSL du serveur.

Les demandes de certificats existent sous la forme de
« Certificate Signing Request (CSR) » au format PEM.

La plaque d'identité CA n'utilise que la valeur CN du CSR et force le reste
du sujet aux valeurs configurées dans le serveur.

Un certificat est enregistré avec un principal de service et un principal
de service a besoin d'un hôte.

Donc, pour demander un certificat :

* l'hôte doit exister
* le service doit exister (utiliser --add pour l'ajouter automatiquement)

RECHERCHE :

Les certificats peuvent être recherchés par sujet, numéro de série,
motif de révocation, dates de validité et date d'émission.

En recherchant par dates, _from effectue une recherche >= à la date et _to
une recherche <= à la date. Combinées, elles sont équivalentes à un AND.

La date est traitée comme GMT pour correspondre aux dates de certificats.

La date est au format YYYY-mm-dd.

EXEMPLES :

Demander un nouveau certificat et ajouter le principal :
ipa cert-request --add --principal=HTTP/lion.example.com example.csr

Retrouver un certificat existant :
ipa cert-show 1032

Révoquer un certificat (voir RFC 5280 pour le détail des raisons) :
ipa cert-revoke --revocation-reason=6 1032

Lever l'état de maintien de révocation d'un certificat :
ipa cert-remove-hold 1032

Vérifier l'état d'une demande de signature :
ipa cert-status 10

Rechercher des certificats par nom d'hôte :
ipa cert-find --subject=ipaserver.example.com

Rechercher les certificats révoqués par motif :
ipa cert-find --revocation-reason=5

Rechercher les certificats selon la date d'émission :
ipa cert-find --issuedon-from=2013-02-01 --issuedon-to=2013-02-07

Actuellement IPA émet (ou refuse) aussitôt toute demande de certificat, donc
l'état d'une requête ne sert normalement pas. C'est en vue d'une utilisation
future ou au cas où un CA n'émettrait pas immédiatement un certificat.

Les motifs de révocation suivants sont pris en charge :

* 0 - « unspecified » (non précisé)
* 1 - « keyCompromise » (clé compromise)
* 2 - « cACompromise » (CA compromis)
* 3 - « affiliationChanged » (affiliation modifiée)
* 4 - « superseded » (remplacé)
* 5 - « cessationOfOperation » (arrêt d'opération)
* 6 - « certificateHold » (certificat retenu)
* 8 - « removeFromCRL » (sorti du CRL)
* 9 - « privilegeWithdrawn » (retrait de privilège)
* 10 - « aACompromise » (compromission)

Notez que le motif code 7 ne sert pas. Voir RFC 5280 pour plus de détails :

http://www.ietf.org/rfc/rfc5280.txt


IPA locations

Emplacements IPA

IPA provides a designated binddn to use with Sudo located at:
uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

IPA permet la désignation d'un DN de liaison à utiliser avec sudo situé à :
uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

IPA provides a means to configure the various aspects of Sudo:
Users: The user(s)/group(s) allowed to invoke Sudo.
Hosts: The host(s)/hostgroup(s) which the user is allowed to to invoke Sudo.
Allow Command: The specific command(s) permitted to be run via Sudo.
Deny Command: The specific command(s) prohibited to be run via Sudo.
RunAsUser: The user(s) or group(s) of users whose rights Sudo will be invoked with.
RunAsGroup: The group(s) whose gid rights Sudo will be invoked with.
Options: The various Sudoers Options that can modify Sudo's behavior.

IPA offre les moyens de configurer les divers aspects de sudo :
Users : utilisateur/groupe autorisés à invoquer sudo.
Hosts : hôte/groupe d'hôte dont l'utilisateur peut invoquer sudo.
Allow Command : commande donnée pouvant être exécutée via sudo.
Deny Command : commande donnée interdite d'exécution avec sudo.
RunAsUser : utilisateur ou groupe dont les droits sudo pourront être invoqués.
RunAsGroup : groupe dont les droits sudo associés au GID pourront être invoqués.
Options : les diverses options de sudoers pouvant modifier le comportement de sudo.

IPA server roles

Rôles serveurs IPA

IPA server's data is stored in LDAP server in two suffixes:
* domain suffix, e.g., 'dc=example,dc=com', contains all domain related data
* ca suffix, 'o=ipaca', is present only on server with CA installed. It
contains data for Certificate Server component

Les données des serveurs IPA sont enregistrées dans le serveur LDAP
sous deux suffixes :
* le suffixe de domain, par exemple « dc=example,dc=com », qui contient toutes
les informations relatives au domaine ;
* le suffixe ca, « o=ipaca », qui n'est présent que sur les serveurs où l'autorité de certification
est installée. Il contient les données nécessaire au composant Certificate Server

IPA servers

Serveurs IPA

IPA supports the use of OTP tokens for multi-factor authentication. This
code enables the management of OTP tokens.

IPA prend en charge l'utilisation de jetons OTP pour une authentification
à facteurs multiples. Ce code active la gestion des jetons OTP.

IPA supports the use of an external RADIUS proxy server for krb5 OTP
authentications. This permits a great deal of flexibility when
integrating with third-party authentication services.

IPA prend en charge l'utilisation d'un serveur mandataire externe RADIUS
pour des authentifications OTP « krb5 ». Cela procure une grande souplesse
pour l'intégration des services d'authentification tierce partie.

It may be difficult to manipulate such DNS records without making a mistake
and entering an invalid value. DNS module provides an abstraction over these
raw records and allows to manipulate each RR type with specific options. For
each supported RR type, DNS module provides a standard option to manipulate
a raw records with format --<rrtype>-rec, e.g. --mx-rec, and special options
for every part of the RR structure with format --<rrtype>-<partname>, e.g.
--mx-preference and --mx-exchanger.

Il peut être difficile de manier de tels enregistrements DNS sans erreurs et
sans entrer de valeur invalide. Le module DNS fournit une abstraction pour
ces enregistrements bruts afin de manier chaque type RR avec des options
données. Pour tout type RR pris en charge, le module DNS fournit une option
standard pour manier l'enregistrement brut avec le format --<rrtype>-rec,
ex. --mx-rec, et des options spéciales pour chaque élément de structure RR
avec le format --<rrtype>-<partname>, ex. --mx-preference ou --mx-exchanger.

Joining an IPA domain

Rejoindre un domaine IPA

Loading…

User avatar None

String updated in the repository

Groups of users

Manage groups of users. By default, new groups are POSIX groups. You
can add the --nonposix option to the group-add command to mark a new group
as non-POSIX. You can use the --posix argument with the group-mod command
to convert a non-POSIX group into a POSIX group. POSIX groups cannot be
converted to non-POSIX groups.

Every group must have a description.

POSIX groups must have a Group ID (GID) number. Changing a GID is
supported but can have an impact on your file permissions. It is not necessary
to supply a GID when creating a group. IPA will generate one automatically
if it is not provided.

EXAMPLES:

Add a new group:
ipa group-add --desc='local administrators' localadmins

Add a new non-POSIX group:
ipa group-add --nonposix --desc='remote administrators' remoteadmins

Convert a non-POSIX group to posix:
ipa group-mod --posix remoteadmins

Add a new POSIX group with a specific Group ID number:
ipa group-add --gid=500 --desc='unix admins' unixadmins

Add a new POSIX group and let IPA assign a Group ID number:
ipa group-add --desc='printer admins' printeradmins

Remove a group:
ipa group-del unixadmins

To add the "remoteadmins" group to the "localadmins" group:
ipa group-add-member --groups=remoteadmins localadmins

Add multiple users to the "localadmins" group:
ipa group-add-member --users=test1 --users=test2 localadmins

Remove a user from the "localadmins" group:
ipa group-remove-member --users=test2 localadmins

Display information about a named group.
ipa group-show localadmins

External group membership is designed to allow users from trusted domains
to be mapped to local POSIX groups in order to actually use IPA resources.
External members should be added to groups that specifically created as
external and non-POSIX. Such group later should be included into one of POSIX
groups.

An external group member is currently a Security Identifier (SID) as defined by
the trusted domain. When adding external group members, it is possible to
specify them in either SID, or DOM
ame, or name@domain format. IPA will attempt
to resolve passed name to SID with the use of Global Catalog of the trusted domain.

Example:

1. Create group for the trusted domain admins' mapping and their local POSIX group:

ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins

2. Add security identifier of Domain Admins of the <ad.domain> to the ad_admins_external
group:

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Allow members of ad_admins_external group to be associated with ad_admins POSIX group:

ipa group-add-member ad_admins --groups ad_admins_external

4. List members of external members of ad_admins_external group to see their SIDs:

ipa group-show ad_admins_external
Groupes d'utilisateurs

Gérer des groupes d'utilisateurs. Par défaut, tout nouveau groupe est POSIX.
On peut ajouter l'option « --nonposix » à la commande « group-add » pour
marquer un nouveau groupe comme non-POSIX et utiliser l'option « --posix »
de la commande « group-mod » pour convertir un groupe non-POSIX en groupe
POSIX. Les groupes POSIX ne peuvent pas être convertis en groupes non-POSIX.

Chaque groupe doit avoir une description.

Les groupes POSIX doivent avoir un numéro d'ID de groupe (GID). Modifier un
GID est faisable, mais cela peut avoir un impact sur vos droits d'accès aux
fichiers. Il n'est pas nécessaire d'indiquer un GID à la création du groupe.
IPA en générera un automatiquement s'il n'est pas fourni.

EXEMPLES :

Ajouter un nouveau groupe :
ipa group-add --desc='local administrators' localadmins

Ajouter un nouveau groupe non-POSIX :
ipa group-add --nonposix --desc='remote administrators' remoteadmins

Convertir un groupe non-POSIX en groupe POSIX :
ipa group-mod --posix remoteadmins

Ajouter un nouveau groupe POSIX avec un numéro d'ID de groupe donné :
ipa group-add --gid=500 --desc='unix admins' unixadmins

Ajouter un nouveau groupe POSIX et laisser IPA assigner un numéro d'ID de groupe :
ipa group-add --desc='printer admins' printeradmins

Supprimer un groupe :
ipa group-del unixadmins

Ajouter le groupe « remoteadmins » au groupe « localadmins » :
ipa group-add-member --groups=remoteadmins localadmins

Ajouter plusieurs utilisateurs au groupe « localadmins » :
ipa group-add-member --users=test1 --users=test2 localadmins

Supprimer un utilisateur du groupe « localadmins » :
ipa group-remove-member --users=test2 localadmins

Afficher des informations à propos d'un groupe donné :
ipa group-show localadmins

L'adhésion à un groupe externe est conçue pour permettre aux utilisateurs de
domaines approuvés d'être assimilés aux groupes POSIX locaux pour pouvoir
utiliser réellement les ressources IPA. Des membres externes peuvent être
ajoutés aux groupes spécifiquement crées comme externes et non-POSIX. Un tel
groupe peut plus tard être incorporé dans un des groupes POSIX

Un membre de groupe externe est actuellement identifié par un « Security
Identifier (SID) » tel que défini pour le domaine approuvé. Pour ajouter
un membre de groupe externe, il est possible de le définir, soit au format
SID, soit DOM\name, soit name@domain. IPA essayera de résoudre le nom passé
en SID en se servant du « Global Catalog » des domaines approuvés.

Exemple:

1. Créer un groupe par assimilation au domaine approuvé « admins »
et à leur groupe POSIX local :

ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins

2. Ajouter l'identifiant de sécurité <ad.domain> de « Domain Admins » au
groupe externe « ad_admins_external » :

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Autoriser des membres du groupe « ad_admins_external » à être associés au
groupe POSIX « ad_admins » :

ipa group-add-member ad_admins --groups ad_admins_external

4. Lister les membres externes du groupe « ad_admins_external » pour voir
leur SID :

ipa group-show ad_admins_external
2 years ago
Browse all string changes

Things to check

Mismatched \n

Number of \n literals in translation does not match source

Reset

Mismatching line breaks

Number of new lines in translation does not match source

Reset

Glossary

English French
No related strings found in the glossary.

11713827 String information

String age
2 years ago
Last updated
a year ago
Source string age
2 years ago
Translation file
po/fr.po, string 183