Zen

Translation


Groups of users

Manage groups of users. By default, new groups are POSIX groups. You
can add the --nonposix option to the group-add command to mark a new group
as non-POSIX. You can use the --posix argument with the group-mod command
to convert a non-POSIX group into a POSIX group. POSIX groups cannot be
converted to non-POSIX groups.

Every group must have a description.

POSIX groups must have a Group ID (GID) number. Changing a GID is
supported but can have an impact on your file permissions. It is not necessary
to supply a GID when creating a group. IPA will generate one automatically
if it is not provided.

EXAMPLES:

Add a new group:
ipa group-add --desc='local administrators' localadmins

Add a new non-POSIX group:
ipa group-add --nonposix --desc='remote administrators' remoteadmins

Convert a non-POSIX group to posix:
ipa group-mod --posix remoteadmins

Add a new POSIX group with a specific Group ID number:
ipa group-add --gid=500 --desc='unix admins' unixadmins

Add a new POSIX group and let IPA assign a Group ID number:
ipa group-add --desc='printer admins' printeradmins

Remove a group:
ipa group-del unixadmins

To add the "remoteadmins" group to the "localadmins" group:
ipa group-add-member --groups=remoteadmins localadmins

Add multiple users to the "localadmins" group:
ipa group-add-member --users=test1 --users=test2 localadmins

Remove a user from the "localadmins" group:
ipa group-remove-member --users=test2 localadmins

Display information about a named group.
ipa group-show localadmins

External group membership is designed to allow users from trusted domains
to be mapped to local POSIX groups in order to actually use IPA resources.
External members should be added to groups that specifically created as
external and non-POSIX. Such group later should be included into one of POSIX
groups.

An external group member is currently a Security Identifier (SID) as defined by
the trusted domain. When adding external group members, it is possible to
specify them in either SID, or DOM\name, or name@domain format. IPA will attempt
to resolve passed name to SID with the use of Global Catalog of the trusted domain.

Example:

1. Create group for the trusted domain admins' mapping and their local POSIX group:

ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins

2. Add security identifier of Domain Admins of the <ad.domain> to the ad_admins_external
group:

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Allow members of ad_admins_external group to be associated with ad_admins POSIX group:

ipa group-add-member ad_admins --groups ad_admins_external

4. List members of external members of ad_admins_external group to see their SIDs:

ipa group-show ad_admins_external
2964/28880 · 2888

Sign in to save the translation.

English Ukrainian Actions

EXAMPLES:

ПРИКЛАДИ:

Each option needs to be added separately and no validation is done whether
the option is known by sudo or is in a valid format. Environment variables
also need to be set individually. For example env_keep="FOO BAR" in sudoers
needs be represented as --sudooption env_keep=FOO --sudooption env_keep+=BAR.

Усі параметри слід додавати окремо. Перевірки коректності щодо обробки
параметра у sudo або коректності формату не виконуватиметься. Також слід
окремо встановлювати значення змінних середовища. Наприклад,
env_keep="ЩОСЬ ДЕСЬ" у sudoers має бути представлено як
--sudooption env_keep=ЩОСЬ --sudooption env_keep+=ДЕСЬ.

Entitlements

Manage entitlements for client machines

Entitlements can be managed either by registering with an entitlement
server with a username and password or by manually importing entitlement
certificates. An entitlement certificate contains embedded information
such as the product being entitled, the quantity and the validity dates.

An entitlement server manages the number of client entitlements available.
To mark these entitlements as used by the IPA server you provide a quantity
and they are marked as consumed on the entitlement server.

Register with an entitlement server:
ipa entitle-register consumer

Import an entitlement certificate:
ipa entitle-import /home/user/ipaclient.pem

Display current entitlements:
ipa entitle-status

Retrieve details on entitlement certificates:
ipa entitle-get

Consume some entitlements from the entitlement server:
ipa entitle-consume 50

The registration ID is a Unique Identifier (UUID). This ID will be
IMPORTED if you have used entitle-import.

Changes to /etc/rhsm/rhsm.conf require a restart of the httpd service.

Іменування

Керування іменуванням для клієнтських комп’ютерів

Іменуванням можна керувати або шляхом реєстрації на сервері іменування
з визначенням імені користувача і пароля, або вручну, імпортуванням сертифікатів
іменування. Сертифікат іменування містить вбудовані дані, зокрема те, як
слід іменувати продукт, щодо кількості та дат чинності.

Сервер іменування керує кількістю доступних іменувань клієнтів.
Для позначення іменувань як таких, що використовуються сервером IPA, ви надаєте
кількість, а система позначає їх як використані на сервері іменування.

Зареєструватися на сервері іменування:
ipa entitle-register consumer

Імпортувати сертифікат іменування:
ipa entitle-import /home/user/ipaclient.pem

Показати поточні іменування:
ipa entitle-status

Отримати подробиці щодо сертифікатів іменування:
ipa entitle-get

Вжити деякі іменування із сервера іменувань:
ipa entitle-consume 50

Реєстраційним ідентифікатором є унікальний ідентифікатор (UUID). Цей ідентифікатор
буде ІМПОРТОВАНО, якщо ви скористалися entitle-import.

Зміни у /etc/rhsm/rhsm.conf для набуття чинності потребуватимуть перезапуску служби httpd.

Get information about installed IPA servers.

Отримати дані щодо встановлених серверів IPA.

Get status of roles (DNS server, CA, etc.) provided by IPA masters.

Отримати стан ролей (сервер DNS, CA тощо), що надається основними серверами IPA.

Group to Group Delegation

A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.

Group to Group Delegations grants the members of one group to update a set
of attributes of members of another group.

EXAMPLES:

Add a delegation rule to allow managers to edit employee's addresses:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"

When managing the list of attributes you need to include all attributes
in the list, including existing ones. Add postalCode to the list:
ipa delegation-mod --attrs=street --attrs=postalCode --group=managers --membergroup=employees "managers edit employees' street"

Display our updated rule:
ipa delegation-show "managers edit employees' street"

Delete a rule:
ipa delegation-del "managers edit employees' street"

Міжгрупове уповноваження

Права доступу може бути точно налаштовано. Правила керування доступом
або інструкції (ACI), надання дозволу на виконання певних завдань, зокрема
додавання користувача, внесення змін до групи тощо.

Міжгрупові уповноваження надають учасникам однієї групи можливість
оновлювати набір атрибутів учасників іншої групи.

ПРИКЛАДИ:

Додати правило уповноваження, яке надасть змогу керівникам (managers)
редагувати адреси співробітників:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"

Під час керування списком атрибутів слід включати всі атрибути списку
разом з вже створеними. Додавання до списку postalCode:
ipa delegation-mod --attrs=street --attrs=postalCode --group=managers --membergroup=employees "managers edit employees' street"

Показ нашого оновленого правила:
ipa delegation-show "managers edit employees' street"

Вилучення правила:
ipa delegation-del "managers edit employees' street"

Group to Group Delegation

A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.

Group to Group Delegations grants the members of one group to update a set
of attributes of members of another group.

EXAMPLES:

Add a delegation rule to allow managers to edit employee's addresses:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"

When managing the list of attributes you need to include all attributes
in the list, including existing ones. Add postalCode to the list:
ipa delegation-mod --attrs=street,postalCode --group=managers --membergroup=employees "managers edit employees' street"

Display our updated rule:
ipa delegation-show "managers edit employees' street"

Delete a rule:
ipa delegation-del "managers edit employees' street"

Міжгрупове уповноваження

Права доступу може бути точно налаштовано. Правила керування доступом
або інструкції (ACI), надання дозволу на виконання певних завдань, зокрема
додавання користувача, внесення змін до групи тощо.

Міжгрупові уповноваження надають учасникам однієї групи можливість
оновлювати набір атрибутів учасників іншої групи.

ПРИКЛАДИ:

Додати правило уповноваження, яке надасть змогу керівникам (managers)
редагувати адреси співробітників:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"

Під час керування списком атрибутів слід включати всі атрибути списку
разом з вже створеними. Додавання до списку postalCode:
ipa delegation-mod --attrs=street,postalCode --group=managers --membergroup=employees "managers edit employees' street"

Показ нашого оновленого правила:
ipa delegation-show "managers edit employees' street"

Вилучення правила:
ipa delegation-del "managers edit employees' street"

Groups of Sudo Commands

Manage groups of Sudo Commands.

EXAMPLES:

Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds

Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds

Manage Sudo Command Group membership, commands:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds

Show a Sudo Command Group:
ipa group-show localadmins

Групи команд sudo

Керування групами команд sudo.

ПРИКЛАДИ:

Додати нову групу команд sudo:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Вилучити групу команд sudo:
ipa sudocmdgroup-del admincmds

Керування участю групи команд sudo, команди:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds

Керування участю групи команд sudo, команди:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds

Показ групи команд sudo:
ipa group-show localadmins

Groups of Sudo Commands

Manage groups of Sudo Commands.

EXAMPLES:

Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds

Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds

Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-remove-member --sudocmds=/usr/bin/less admincmds

Show a Sudo Command Group:
ipa sudocmdgroup-show admincmds

Групи команд sudo

Керування групами команд sudo.

ПРИКЛАДИ:

Додати нову групу команд sudo:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Вилучити групу команд sudo:
ipa sudocmdgroup-del admincmds

Керування участю групи команд sudo, команди:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds

Керування участю групи команд sudo, команди:
ipa sudocmdgroup-remove-member --sudocmds=/usr/bin/less admincmds

Показ групи команд sudo:
ipa sudocmdgroup-show admincmds

Groups of Sudo Commands

Manage groups of Sudo Commands.

EXAMPLES:

Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds

Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less,/usr/bin/vim admincmds

Manage Sudo Command Group membership, commands:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds

Show a Sudo Command Group:
ipa group-show localadmins

Групи команд sudo

Керування групами команд sudo.

ПРИКЛАДИ:

Додати нову групу команд sudo:
ipa sudocmdgroup-add --desc='administrators commands' admincmds

Вилучити групу команд sudo:
ipa sudocmdgroup-del admincmds

Керування участю групи команд sudo, команди:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less,/usr/bin/vim admincmds

Керування участю групи команд sudo, команди:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds

Показ групи команд sudo:
ipa group-show localadmins

Groups of hosts.

Manage groups of hosts. This is useful for applying access control to a
number of hosts by using Host-based Access Control.

EXAMPLES:

Add a new host group:
ipa hostgroup-add --desc="Baltimore hosts" baltimore

Add another new host group:
ipa hostgroup-add --desc="Maryland hosts" maryland

Add members to the hostgroup (using Bash brace expansion):
ipa hostgroup-add-member --hosts={box1,box2,box3} baltimore

Add a hostgroup as a member of another hostgroup:
ipa hostgroup-add-member --hostgroups=baltimore maryland

Remove a host from the hostgroup:
ipa hostgroup-remove-member --hosts=box2 baltimore

Display a host group:
ipa hostgroup-show baltimore

Add a member manager:
ipa hostgroup-add-member-manager --users=user1 baltimore

Remove a member manager
ipa hostgroup-remove-member-manager --users=user1 baltimore

Delete a hostgroup:
ipa hostgroup-del baltimore

Групи вузлів.

Керування групами вузлів. Корисні для застосування керування
до декількох вузлів на основі заснованого на вузлах керування
доступом (Host-based Access Control або HBAC).

ПРИКЛАДИ:

додавання нової групи вузлів:
ipa hostgroup-add --desc="Baltimore hosts" baltimore

Додавання нової групи вузлів:
ipa hostgroup-add --desc="Maryland hosts" maryland

Додавання учасників до групи вузлів з використанням виразу Bash у фігурних дужках):
ipa hostgroup-add-member --hosts={box1,box2,box3} baltimore

Додавання групи вузлів як учасника іншої групи вузлів:
ipa hostgroup-add-member --hostgroups=baltimore maryland

Вилучення вузла з групи вузлів:
ipa hostgroup-remove-member --hosts=box2 baltimore

Показ списку групи вузлів:
ipa hostgroup-show baltimore

Додавання керівника учасниками:
ipa hostgroup-add-member-manager --users=user1 baltimore

Вилучення керівника учасниками
ipa hostgroup-remove-member-manager --users=user1 baltimore

Вилучення групи вузлів:
ipa hostgroup-del baltimore

Groups of hosts.

Manage groups of hosts. This is useful for applying access control to a
number of hosts by using Host-based Access Control.

EXAMPLES:

Add a new host group:
ipa hostgroup-add --desc="Baltimore hosts" baltimore

Add another new host group:
ipa hostgroup-add --desc="Maryland hosts" maryland

Add members to the hostgroup (using Bash brace expansion):
ipa hostgroup-add-member --hosts={box1,box2,box3} baltimore

Add a hostgroup as a member of another hostgroup:
ipa hostgroup-add-member --hostgroups=baltimore maryland

Remove a host from the hostgroup:
ipa hostgroup-remove-member --hosts=box2 baltimore

Display a host group:
ipa hostgroup-show baltimore

Delete a hostgroup:
ipa hostgroup-del baltimore

Групи вузлів.

Керування групами вузлів. Корисні для застосування керування
до декількох вузлів на основі заснованого на вузлах керування
доступом (Host-based Access Control або HBAC).

ПРИКЛАДИ:

додавання нової групи вузлів:
ipa hostgroup-add --desc="Baltimore hosts" baltimore

Додавання нової групи вузлів:
ipa hostgroup-add --desc="Maryland hosts" maryland

Додавання учасників до групи вузлів з використанням виразу Bash у фігурних дужках):
ipa hostgroup-add-member --hosts={box1,box2,box3} baltimore

Додавання групи вузлів як учасника іншої групи вузлів:
ipa hostgroup-add-member --hostgroups=baltimore maryland

Вилучення вузла з групи вузлів:
ipa hostgroup-remove-member --hosts=box2 baltimore

Показ списку групи вузлів:
ipa hostgroup-show baltimore

Вилучення групи вузлів:
ipa hostgroup-del baltimore

Groups of hosts.

Manage groups of hosts. This is useful for applying access control to a
number of hosts by using Host-based Access Control.

EXAMPLES:

Add a new host group:
ipa hostgroup-add --desc="Baltimore hosts" baltimore

Add another new host group:
ipa hostgroup-add --desc="Maryland hosts" maryland

Add members to the hostgroup:
ipa hostgroup-add-member --hosts=box1,box2,box3 baltimore

Add a hostgroup as a member of another hostgroup:
ipa hostgroup-add-member --hostgroups=baltimore maryland

Remove a host from the hostgroup:
ipa hostgroup-remove-member --hosts=box2 baltimore

Display a host group:
ipa hostgroup-show baltimore

Delete a hostgroup:
ipa hostgroup-del baltimore

Групи вузлів.

Керування групами вузлів. Корисні для застосування керування
до декількох вузлів на основі заснованого на вузлах керування
доступом (Host-based Access Control або HBAC).

ПРИКЛАДИ:

додавання нової групи вузлів:
ipa hostgroup-add --desc="Baltimore hosts" baltimore

Додавання нової групи вузлів:
ipa hostgroup-add --desc="Maryland hosts" maryland

Додавання учасників до групи вузлів:
ipa hostgroup-add-member --hosts=box1,box2,box3 baltimore

Додавання групи вузлів як учасника іншої групи вузлів:
ipa hostgroup-add-member --hostgroups=baltimore maryland

Вилучення вузла з групи вузлів:
ipa hostgroup-remove-member --hosts=box2 baltimore

Показ списку групи вузлів:
ipa hostgroup-show baltimore

Вилучення групи вузлів:
ipa hostgroup-del baltimore

Groups of users

Manage groups of users. By default, new groups are POSIX groups. You
can add the --nonposix option to the group-add command to mark a new group
as non-POSIX. You can use the --posix argument with the group-mod command
to convert a non-POSIX group into a POSIX group. POSIX groups cannot be
converted to non-POSIX groups.

Every group must have a description.

POSIX groups must have a Group ID (GID) number. Changing a GID is
supported but can have an impact on your file permissions. It is not necessary
to supply a GID when creating a group. IPA will generate one automatically
if it is not provided.

EXAMPLES:

Add a new group:
ipa group-add --desc='local administrators' localadmins

Add a new non-POSIX group:
ipa group-add --nonposix --desc='remote administrators' remoteadmins

Convert a non-POSIX group to posix:
ipa group-mod --posix remoteadmins

Add a new POSIX group with a specific Group ID number:
ipa group-add --gid=500 --desc='unix admins' unixadmins

Add a new POSIX group and let IPA assign a Group ID number:
ipa group-add --desc='printer admins' printeradmins

Remove a group:
ipa group-del unixadmins

To add the "remoteadmins" group to the "localadmins" group:
ipa group-add-member --groups=remoteadmins localadmins

Add multiple users to the "localadmins" group:
ipa group-add-member --users=test1 --users=test2 localadmins

Remove a user from the "localadmins" group:
ipa group-remove-member --users=test2 localadmins

Display information about a named group.
ipa group-show localadmins

External group membership is designed to allow users from trusted domains
to be mapped to local POSIX groups in order to actually use IPA resources.
External members should be added to groups that specifically created as
external and non-POSIX. Such group later should be included into one of POSIX
groups.

An external group member is currently a Security Identifier (SID) as defined by
the trusted domain. When adding external group members, it is possible to
specify them in either SID, or DOM\name, or name@domain format. IPA will attempt
to resolve passed name to SID with the use of Global Catalog of the trusted domain.

Example:

1. Create group for the trusted domain admins' mapping and their local POSIX group:

ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins

2. Add security identifier of Domain Admins of the <ad.domain> to the ad_admins_external
group:

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Allow members of ad_admins_external group to be associated with ad_admins POSIX group:

ipa group-add-member ad_admins --groups ad_admins_external

4. List members of external members of ad_admins_external group to see their SIDs:

ipa group-show ad_admins_external

Групи користувачів

Керування групами користувачів. Типово нові групи є групами POSIX. Ви можете
додати параметр --nonposix до команди group-add з метою позначення нової
групи як групи не-POSIX. Ви можете скористатися аргументом --posix команди group-mod
для перетворення групи не-POSIX на групу POSIX. Групи POSIX не можна
перетворювати на групи не-POSIX.

Кожна група повинна мати опис.

Групи POSIX повинні мати номер ідентифікатора групи (GID). Передбачено підтримку
зміни GID, але ця зміна може вплинути на права доступу до ваших файлів. Для
створення групи слід вказати GID. IPA створить одну групу автоматично, якщо
таку не вказано.

ПРИКЛАДИ:

Додавання нової групи:
ipa group-add --desc='local administrators' localadmins

Додавання нової групи не-POSIX:
ipa group-add --nonposix --desc='remote administrators' remoteadmins

Перетворити групу не-POSIX на групу posix:
ipa group-mod --posix remoteadmins

Додати нову групу POSIX з вказаним ідентифікатором групи:
ipa group-add --gid=500 --desc='unix admins' unixadmins

Додати нову групу POSIX і надати IPA змогу призначити ідентифікатор:
ipa group-add --desc='printer admins' printeradmins

Вилучення групи:
ipa group-del unixadmins

Додати групу "remoteadmins" до групи "localadmins":
ipa group-add-member --groups=remoteadmins localadmins

Додати список користувачів до групи "localadmins":
ipa group-add-member --users=test1 --users=test2 localadmins

Вилучення користувача з групи "localadmins":
ipa group-remove-member --users=test2 localadmins

Показати інформацію щодо іменованої групи.
ipa group-show localadmins

Участь із зовнішніх груп створено для того, щоб уможливити прив’язку
користувачів з довірених доменів до локальних груп POSIX з метою
використання ресурсів IPA. Зовнішніх користувачів слід додавати до груп
які спеціально створено як зовнішні або групи не-POSIX. Таку групу
слід пізніше включити до одної з груп POSIX.

У поточній версії учасник зовнішньої групи є ідентифікатором безпеки
(Security Identifier або SID) визначеним довіреним доменом. Додавання
учасників зовнішньої групи можна виконати у форматі SID, DOM\ім’я або
ім’я@домен. IPA намагатиметься визначити за переданим іменем SID за
допомогою використання Загального каталогу довіреного домену.

Приклад:

1. Створити групу для прив’язки адміністраторів довіреного домену до
відповідної локальної групи POSIX:

ipa group-add --desc='<домен.ad> admins external map' ad_admins_external --external
ipa group-add --desc='<домен.ad> admins' ad_admins

2. Додати ідентифікатор Domain Admins домену <домен.ad> до
групи ad_admins_external:

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Дозволити прив’язку групи ad_admins_external до групи POSIX ad_admins:

ipa group-add-member ad_admins --groups ad_admins_external

4. Показати список зовнішніх учасників групи ad_admins_external, щоб визначити
їхні SIDs:

ipa group-show ad_admins_external

HBAC Service Groups

HBAC service groups can contain any number of individual services,
or "members". Every group must have a description.

EXAMPLES:

Add a new HBAC service group:
ipa hbacsvcgroup-add --desc="login services" login

Add members to an HBAC service group:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd --hbacsvcs=login login

Display information about a named group:
ipa hbacsvcgroup-show login

Delete an HBAC service group:
ipa hbacsvcgroup-del login

Групи служб HBAC

Групи служб HBAC можуть містити будь-яку кількість окремих служб
або «учасників». Кожна з груп повинна мати опис.

ПРИКЛАДИ:

Додавання нової групи служб HBAC:
ipa hbacsvcgroup-add --desc="login services" login

Додавання учасників до групи служб HBAC:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd --hbacsvcs=login login

Показ даних щодо вказаної групи:
ipa hbacsvcgroup-show login

Вилучення групи служб HBAC:
ipa hbacsvcgroup-del login

HBAC Service Groups

HBAC service groups can contain any number of individual services,
or "members". Every group must have a description.

EXAMPLES:

Add a new HBAC service group:
ipa hbacsvcgroup-add --desc="login services" login

Add members to an HBAC service group:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd,login login

Display information about a named group:
ipa hbacsvcgroup-show login

Add a new group to the "login" group:
ipa hbacsvcgroup-add --desc="switch users" login
ipa hbacsvcgroup-add-member --hbacsvcs=su,su-l login

Delete an HBAC service group:
ipa hbacsvcgroup-del login

Групи служб HBAC

Групи служб HBAC можуть містити будь-яку кількість окремих служб
або «учасників». Кожна з груп повинна мати опис.

ПРИКЛАДИ:

Додавання нової групи служб HBAC:
ipa hbacsvcgroup-add --desc="login services" login

Додавання учасників до групи служб HBAC:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd --hbacsvcs=login login

Показ даних щодо вказаної групи:
ipa hbacsvcgroup-show login

Додавання нової групи до групи «login»:
ipa hbacsvcgroup-add --desc="switch users" login
ipa hbacsvcgroup-add-member --hbacsvcs=su,su-l login

Вилучення групи служб HBAC:
ipa hbacsvcgroup-del login

HBAC Services

The PAM services that HBAC can control access to. The name used here
must match the service name that PAM is evaluating.

EXAMPLES:

Add a new HBAC service:
ipa hbacsvc-add tftp

Modify an existing HBAC service:
ipa hbacsvc-mod --desc="TFTP service" tftp

Search for HBAC services. This example will return two results, the FTP
service and the newly-added tftp service:
ipa hbacsvc-find ftp

Delete an HBAC service:
ipa hbacsvc-del tftp

Служби HBAC

Служби PAM, якими може керувати HBAC. Назва, використана тут, має
відповідати назві служби, з якою працює PAM.

ПРИКЛАДИ:

Додати нову службу HBAC:
ipa hbacsvc-add tftp

Змінити вже створену службу HBAC:
ipa hbacsvc-mod --desc="TFTP service" tftp

Шукати служби HBAC. У нашому прикладі буде повернуто два результати
службу FTP і щойно додану службу tftp:
ipa hbacsvc-find ftp

Вилучення служби HBAC:
ipa hbacsvc-del tftp

HBAC Services

The PAM services that HBAC can control access to. The name used here
must match the service name that PAM is evaluating.

EXAMPLES:

Add a new HBAC service:
ipa hbacsvc-add tftp

Modify an existing HBAC service:
ipa hbacsvc-mod --desc="TFTP service" tftp

Search for HBAC services. This example will return two results, the FTP
service and the newly-added tftp service:
ipa hbacsvc-find ftp

Delete an HBAC service:
ipa hbacsvc-del tftp

Служби HBAC

Служби PAM, якими може керувати HBAC. Назва, використана тут, має
відповідати назві служби, з якою працює PAM.

ПРИКЛАДИ:

Додати нову службу HBAC:
ipa hbacsvc-add tftp

Змінити вже створену службу HBAC:
ipa hbacsvc-mod --desc="TFTP service" tftp

Шукати служби HBAC. У нашому прикладі буде повернуто два результати
службу FTP і щойно додану службу tftp:
ipa hbacsvc-find ftp

Вилучення служби HBAC:
ipa hbacsvc-del tftp

Host-based access control

Control who can access what services on what hosts and from where. You
can use HBAC to control which users or groups on a source host can
access a service, or group of services, on a target host.

You can also specify a category of users, target hosts, and source
hosts. This is currently limited to "all", but might be expanded in the
future.

Target hosts and source hosts in HBAC rules must be hosts managed by IPA.

The available services and groups of services are controlled by the
hbacsvc and hbacsvcgroup plug-ins respectively.

EXAMPLES:

Create a rule, "test1", that grants all users access to the host "server" from
anywhere:
ipa hbacrule-add --usercat=all --srchostcat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1

Display the properties of a named HBAC rule:
ipa hbacrule-show test1

Create a rule for a specific service. This lets the user john access
the sshd service on any machine from any machine:
ipa hbacrule-add --hostcat=all --srchostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd

Create a rule for a new service group. This lets the user john access
the FTP service on any machine from any machine:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp,sftp ftpers
ipa hbacrule-add --hostcat=all --srchostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp

Disable a named HBAC rule:
ipa hbacrule-disable test1

Remove a named HBAC rule:
ipa hbacrule-del allow_server

Керування доступом на основі вузлів

Керуйте тим, хто, на яких вузлах і з яких вузлів зможе отримувати доступ
до певних служб. Ви можете скористатися HBAC для визначення
користувачів і груп на вузлі походження запиту зможе отримувати
доступ до певної служби або групи служб.

Ви також можете визначити категорію користувачів та вузли призначення.
У поточній версії можливі варіанти
обмежено варіантом "all", але перелік варіантів може бути
розширено у майбутніх версіях.

Вузли призначення та вузли походження у правилах HBAC мають бути
вузлами, керованими IPA.

Доступними службами і групами служб є служби, керовані hbacsvc
та додатками hbacsvcgroup, відповідно.

ПРИКЛАДИ:

Створення правила "test1", яке надає всім користувачам доступ
до вузла "server" звідусюди:
ipa hbacrule-add --usercat=all --srchostcat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1

Показ властивостей вказаного правила HBAC:
ipa hbacrule-show test1

Створення правила для певної служби. Це правило надасть користувачу john
доступ до служби sshd у будь-якій системі звідусіль:
ipa hbacrule-add --hostcat=all --srchostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd

Створення правила для нової групи служб. Користувачу john
надається доступ до служби FTP у будь-якій системі звідусіль:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp,sftp ftpers
ipa hbacrule-add --type=allow --hostcat=all --srchostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp

Вимикання вказаного правила HBAC:
ipa hbacrule-disable test1

Вилучення вказаного правила HBAC:
ipa hbacrule-del allow_server

Host-based access control

Control who can access what services on what hosts. You
can use HBAC to control which users or groups can
access a service, or group of services, on a target host.

You can also specify a category of users and target hosts.
This is currently limited to "all", but might be expanded in the
future.

Target hosts in HBAC rules must be hosts managed by IPA.

The available services and groups of services are controlled by the
hbacsvc and hbacsvcgroup plug-ins respectively.

EXAMPLES:

Create a rule, "test1", that grants all users access to the host "server" from
anywhere:
ipa hbacrule-add --usercat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1

Display the properties of a named HBAC rule:
ipa hbacrule-show test1

Create a rule for a specific service. This lets the user john access
the sshd service on any machine from any machine:
ipa hbacrule-add --hostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd

Create a rule for a new service group. This lets the user john access
the FTP service on any machine from any machine:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp --hbacsvcs=sftp ftpers
ipa hbacrule-add --hostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp

Disable a named HBAC rule:
ipa hbacrule-disable test1

Remove a named HBAC rule:
ipa hbacrule-del allow_server

Керування доступом на основі вузлів

Керуйте тим, хто, з яких вузлів зможе отримувати доступ
до певних служб. Ви можете скористатися HBAC для визначення
користувачів і груп на вузлі походження запиту зможе отримувати
доступ до певної служби або групи служб.

Ви також можете визначити категорію користувачів та вузли призначення.
У поточній версії можливі варіанти
обмежено варіантом "all", але перелік варіантів може бути
розширено у майбутніх версіях.

Вузли призначення та вузли походження у правилах HBAC мають бути
вузлами, керованими IPA.

Доступними службами і групами служб є служби, керовані hbacsvc
та додатками hbacsvcgroup, відповідно.

ПРИКЛАДИ:

Створення правила "test1", яке надає всім користувачам доступ
до вузла "server" звідусюди:
ipa hbacrule-add --usercat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1

Показ властивостей вказаного правила HBAC:
ipa hbacrule-show test1

Створення правила для певної служби. Це правило надасть користувачу john
доступ до служби sshd у будь-якій системі звідусіль:
ipa hbacrule-add --hostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd

Створення правила для нової групи служб. Користувачу john
надається доступ до служби FTP у будь-якій системі звідусіль:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp --hbacsvcs=sftp ftpers
ipa hbacrule-add --type=allow --hostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp

Вимикання вказаного правила HBAC:
ipa hbacrule-disable test1

Вилучення вказаного правила HBAC:
ipa hbacrule-del allow_server

Hosts/Machines

A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry

Вузли/Комп’ютери

Вузол — це окремий комп’ютер. Термін може використовуватися у декількох контекстах:
- записи служб, пов’язані з певним вузлом
- вузол зберігає реєстраційні дані вузол/служба
- вузол можна використовувати у правилах Host-based Access Control (HBAC)
- для усіх зареєстрованих клієнтів створюється запис вузла

Hosts/Machines

A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry

ENROLLMENT:

There are three enrollment scenarios when enrolling a new client:

1. You are enrolling as a full administrator. The host entry may exist
or not. A full administrator is a member of the hostadmin role
or the admins group.
2. You are enrolling as a limited administrator. The host must already
exist. A limited administrator is a member a role with the
Host Enrollment privilege.
3. The host has been created with a one-time password.

A host can only be enrolled once. If a client has enrolled and needs to
be re-enrolled, the host entry must be removed and re-created. Note that
re-creating the host entry will result in all services for the host being
removed, and all SSL certificates associated with those services being
revoked.

A host can optionally store information such as where it is located,
the OS that it runs, etc.

EXAMPLES:

Add a new host:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com

Delete a host:
ipa host-del test.example.com

Add a new host with a one-time password:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com

Add a new host with a random one-time password:
ipa host-add --os='Fedora 12' --random test.example.com

Modify information about a host:
ipa host-mod --os='Fedora 12' test.example.com

Remove SSH public keys of a host and update DNS to reflect this change:
ipa host-mod --sshpubkey= --updatedns test.example.com

Disable the host Kerberos key, SSL certificate and all of its services:
ipa host-disable test.example.com

Add a host that can manage this host's keytab and certificate:
ipa host-add-managedby --hosts=test2 test

Вузли/Комп’ютери

Вузол — це окремий комп’ютер. Термін може використовуватися у декількох контекстах:
- записи служб, пов’язані з певним вузлом
- вузол зберігає реєстраційні дані вузол/служба
- вузол можна використовувати у правилах Host-based Access Control (HBAC)
- для усіх зареєстрованих клієнтів створюється запис вузла

РЕЄСТРАЦІЯ:

Передбачено три сценарії реєстрації нових клієнтів:

1. Ви реєструєтеся як повноцінний адміністратор. Запис вузла може існувати
або не існувати. Повноцінний адміністратор виконує роль hostadmin або є
учасником групи admins.
2. Ви реєструєтеся як адміністратор з обмеженими правами. Вузол вже має
існувати. Обмежений адміністратор виконує роль з привілеями
Host Enrollment.
3. Вузол було створено з одноразовим паролем.

Вузлу можна надати роль лише один раз. Якщо клієнту вже надано роль і
роль слід змінити, запис вузла має бути вилучено і створено повторно.
Зауважте, що повторне створення запису вузла призведе до вилучення усіх
служб для вузла, а усі сертифікати SSL, пов’язані із цими службами
буде відкликано.

Запис вузла може, якщо потрібно, містити дані щодо його розташування,
типу операційної системи тощо.

ПРИКЛАДИ:


Додати новий вузол:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com

Вилучити вузол:
ipa host-del test.example.com

Додати новий вузол з одноразовим паролем:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com

Додати новий вузол з випадковим одноразовим паролем:
ipa host-add --os='Fedora 12' --random test.example.com

Змінити відомості щодо вузла:
ipa host-mod --os='Fedora 12' test.example.com

Вилучити відкриті ключі SSH вузла і оновити DNS відповідно до внесених змін:
ipa host-mod --sshpubkey= --updatedns test.example.com

Вимкнути ключ Kerberos вузла, сертифікат SSL та усі його служби:
ipa host-disable test.example.com

Додати вузол, який може керувати сховищем ключів та сертифікатом цього вузла :
ipa host-add-managedby --hosts=test2 test

Hosts/Machines

A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry

ENROLLMENT:

There are three enrollment scenarios when enrolling a new client:

1. You are enrolling as a full administrator. The host entry may exist
or not. A full administrator is a member of the hostadmin role
or the admins group.
2. You are enrolling as a limited administrator. The host must already
exist. A limited administrator is a member a role with the
Host Enrollment privilege.
3. The host has been created with a one-time password.

RE-ENROLLMENT:

Host that has been enrolled at some point, and lost its configuration (e.g. VM
destroyed) can be re-enrolled.

For more information, consult the manual pages for ipa-client-install.

A host can optionally store information such as where it is located,
the OS that it runs, etc.

EXAMPLES:

Add a new host:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com

Delete a host:
ipa host-del test.example.com

Add a new host with a one-time password:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com

Add a new host with a random one-time password:
ipa host-add --os='Fedora 12' --random test.example.com

Modify information about a host:
ipa host-mod --os='Fedora 12' test.example.com

Remove SSH public keys of a host and update DNS to reflect this change:
ipa host-mod --sshpubkey= --updatedns test.example.com

Disable the host Kerberos key, SSL certificate and all of its services:
ipa host-disable test.example.com

Add a host that can manage this host's keytab and certificate:
ipa host-add-managedby --hosts=test2 test

Allow user to create a keytab:
ipa host-allow-create-keytab test2 --users=tuser1

Вузли/Комп’ютери

Вузол — це окремий комп’ютер. Термін може використовуватися у декількох контекстах:
- записи служб, пов’язані з певним вузлом
- вузол зберігає реєстраційні дані вузол/служба
- вузол можна використовувати у правилах Host-based Access Control (HBAC)
- для усіх зареєстрованих клієнтів створюється запис вузла

РЕЄСТРАЦІЯ:

Передбачено три сценарії реєстрації нових клієнтів:

1. Ви реєструєтеся як повноцінний адміністратор. Запис вузла може існувати
або не існувати. Повноцінний адміністратор виконує роль hostadmin або є
учасником групи admins.
2. Ви реєструєтеся як адміністратор з обмеженими правами. Вузол вже має
існувати. Обмежений адміністратор виконує роль з привілеями
Host Enrollment.
3. Вузол було створено з одноразовим паролем.

ПОВТОРНА РЕЄСТРАЦІЯ:

Вузол, якому вже колись було надано певну роль, але налаштування було втрачено
(наприклад через знищення віртуальної машини), можна знову зареєструвати (надати роль).

Щоб дізнатися більше, зверніться до сторінок підручника (man) щодо ipa-client-install.

Запис вузла може, якщо потрібно, зберігати відомості щодо розташування, запущеної
операційної системи тощо.

ПРИКЛАДИ:


Додати новий вузол:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com

Вилучити вузол:
ipa host-del test.example.com

Додати новий вузол з одноразовим паролем:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com

Додати новий вузол з випадковим одноразовим паролем:
ipa host-add --os='Fedora 12' --random test.example.com

Змінити відомості щодо вузла:
ipa host-mod --os='Fedora 12' test.example.com

Вилучити відкриті ключі SSH вузла і оновити DNS відповідно до внесених змін:
ipa host-mod --sshpubkey= --updatedns test.example.com

Вимкнути ключ Kerberos вузла, сертифікат SSL та усі його служби:
ipa host-disable test.example.com

Додати вузол, який може керувати сховищем ключів та сертифікатом цього вузла :
ipa host-add-managedby --hosts=test2 test

Дозволити користувачеві створення таблиці ключів:
ipa host-allow-create-keytab test2 --users=tuser1

ID Views

Manage ID Views

IPA allows to override certain properties of users and groups per each host.
This functionality is primarily used to allow migration from older systems or
other Identity Management solutions.

Перегляди ідентифікаторів

Керування переглядами ідентифікаторів

IPA надає вам змогу перевизначити певні властивості записів користувачів та груп для окремих вузлів.
В основному, ці функціональні можливості призначено для уможливлення перенесення даних із застарілих
систем або інших рішень для керування профілями.

ID ranges

Manage ID ranges used to map Posix IDs to SIDs and back.

There are two type of ID ranges which are both handled by this utility:

- the ID ranges of the local domain
- the ID ranges of trusted remote domains

Both types have the following attributes in common:

- base-id: the first ID of the Posix ID range
- range-size: the size of the range

With those two attributes a range object can reserve the Posix IDs starting
with base-id up to but not including base-id+range-size exclusively.

Additionally an ID range of the local domain may set
- rid-base: the first RID(*) of the corresponding RID range
- secondary-rid-base: first RID of the secondary RID range

and an ID range of a trusted domain must set
- rid-base: the first RID of the corresponding RID range
- dom_sid: domain SID of the trusted domain



EXAMPLE: Add a new ID range for a trusted domain

Since there might be more than one trusted domain the domain SID must be given
while creating the ID range.

ipa idrange-add --base-id=1200000 --range-size=200000 --rid-base=0 --dom-sid=S-1-5-21-123-456-789 trusted_dom_range

This ID range is then used by the IPA server and the SSSD IPA provider to
assign Posix UIDs to users from the trusted domain.

If e.g. a range for a trusted domain is configured with the following values:
base-id = 1200000
range-size = 200000
rid-base = 0
the RIDs 0 to 199999 are mapped to the Posix ID from 1200000 to 13999999. So
RID 1000 <-> Posix ID 1201000



EXAMPLE: Add a new ID range for the local domain

To create an ID range for the local domain it is not necessary to specify a
domain SID. But since it is possible that a user and a group can have the same
value as Posix ID a second RID interval is needed to handle conflicts.

ipa idrange-add --base-id=1200000 --range-size=200000 --rid-base=1000 --secondary-rid-base=1000000 local_range

The data from the ID ranges of the local domain are used by the IPA server
internally to assign SIDs to IPA users and groups. The SID will then be stored
in the user or group objects.

If e.g. the ID range for the local domain is configured with the values from
the example above then a new user with the UID 1200007 will get the RID 1007.
If this RID is already used by a group the RID will be 1000007. This can only
happen if a user or a group object was created with a fixed ID because the
automatic assignment will not assign the same ID twice. Since there are only
users and groups sharing the same ID namespace it is sufficient to have only
one fallback range to handle conflicts.

To find the Posix ID for a given RID from the local domain it has to be
checked first if the RID falls in the primary or secondary RID range and
the rid-base or the secondary-rid-base has to be subtracted, respectively,
and the base-id has to be added to get the Posix ID.

Typically the creation of ID ranges happens behind the scenes and this CLI
must not be used at all. The ID range for the local domain will be created
during installation or upgrade from an older version. The ID range for a
trusted domain will be created together with the trust by 'ipa trust-add ...'.

USE CASES:

Add an ID range from a transitively trusted domain

If the trusted domain (A) trusts another domain (B) as well and this trust
is transitive 'ipa trust-add domain-A' will only create a range for
domain A. The ID range for domain B must be added manually.

Add an additional ID range for the local domain

If the ID range of the local domain is exhausted, i.e. no new IDs can be
assigned to Posix users or groups by the DNA plugin, a new range has to be
created to allow new users and groups to be added. (Currently there is no
connection between this range CLI and the DNA plugin, but a future version
might be able to modify the configuration of the DNS plugin as well)

In general it is not necessary to modify or delete ID ranges. If there is no
other way to achieve a certain configuration than to modify or delete an ID
range it should be done with great care. Because UIDs are stored in the file
system and are used for access control it might be possible that users are
allowed to access files of other users if an ID range got deleted and reused
for a different domain.

(*) The RID is typically the last integer of a user or group SID which follows
the domain SID. E.g. if the domain SID is S-1-5-21-123-456-789 and a user from
this domain has the SID S-1-5-21-123-456-789-1010 then 1010 is the RID of the
user. RIDs are unique in a domain, 32bit values and are used for users and
groups.

WARNING:

DNA plugin in 389-ds will allocate IDs based on the ranges configured for the
local domain. Currently the DNA plugin *cannot* be reconfigured itself based
on the local ranges set via this family of commands.

Manual configuration change has to be done in the DNA plugin configuration for
the new local range. Specifically, The dnaNextRange attribute of 'cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config' has to be
modified to match the new range.

Діапазони ідентифікаторів

Керування діапазонами ідентифікаторів, використаних для відображення
ідентифікаторів POSIX на SID, і навпаки.

За допомогою цієї програми можна керувати обома типами діапазонів ідентифікаторів:

- діапазони ідентифікаторів локального домену
- діапазони ідентифікаторів довірених віддалених доменів

Обидва типи мають такі спільні атрибути:

- base-id: перший ідентифікатор діапазону ідентифікаторів POSIX
- range-size: розмір діапазону

На основі цих двох атрибутів об’єкт діапазону може зарезервувати ідентифікатори
POSIX, починаючи з base-id аж до, але не включно, base-id+range-size.

Крім того, можна встановити діапазон ідентифікаторів локального домену
- rid-base: перший RID(*) відповідного діапазону RID
- secondary-rid-base: перший RID вторинного діапазону RID

а діапазон ідентифікаторів довіреного домену слід задавати за допомогою
- rid-base: перший RID відповідного діапазону RID
- dom_sid: SID довіреного домену



ПРИКЛАД: додавання нового діапазону ідентифікаторів для довіреного домену

Оскільки може бути декілька довірених доменів, під час створення діапазону
ідентифікаторів слід вказати SID домену.

ipa idrange-add --base-id=1200000 --range-size=200000 --rid-base=0 \
--dom-sid=S-1-5-21-123-456-789 trusted_dom_range

Цей діапазон ідентифікаторів потім використовуватиметься сервером IPA
та надавачем даних IPA SSSD для призначення UID Posix користувачам з
довіреного домену.

Якщо, наприклад, налаштовано діапазон для довіреного домену з такими
значеннями:
base-id = 1200000
range-size = 200000
rid-base = 0
RID від 0 до 199999 прив’язуються до ідентифікаторів Posix від 1200000 до
13999999. Отже RID 1000 <-> Posix ID 1201000



ПРИКЛАД: додавання нового діапазону ідентифікаторів до локального домену

Щоб створити діапазон ідентифікаторів для локального домену не потрібно
вказувати SID домену. Але оскільки можливий конфлікт між ідентифікаторами
користувача і групи та ідентифікаторами POSIX, потрібен вторинний інтервал
RID.

ipa range-add --base-id=1200000 --range-size=200000 --rid-base=1000 \
--secondary-rid-base=1000000 local_range

Дані з діапазонів ідентифікаторів локального домену використовуються
сервером IPA на внутрішньому рівні для призначення SID користувачам і групам
IPA. SID буде збережено у об’єктах користувача або групи.

Якщо, наприклад, для діапазону ідентифікаторів локального домену визначено
значення з наведеного вище прикладу, новий користувач з UID 1200007 отримає
RID 1007. Якщо цей RID вже буде використано групою, його буде змінено на 1000007.
Таке може трапитися лише, якщо об’єкт користувача або групи було створено з
фіксованим ідентифікатором, оскільки у разі автоматичного призначення один
ідентифікатор не може бути призначено двічі. Оскільки спільний простір назв
є лише у користувачів і груп, достатньо одного резервного діапазону для
того, щоб повністю позбутися конфліктів.

Для визначення ідентифікатора POSIX за вказаним RID з локального домену слід
спочатку перевірити, чи потрапляє RID у основний або вторинний діапазон RID,
також, щоб отримати ідентифікатор POSIX, слід відняти від ідентифікатор rid-base
або secondary-rid-base, відповідно, і додати base-id.

Типово, створення діапазонів ідентифікаторів є зовні непомітним і потреби у
цьому інтерфейсі командного рядка не виникає. Діапазон ідентифікаторів
для локального домену буде створено під час встановлення або оновлення
попередньої версії. Діапазон ідентифікаторів для довіреного домену буде
створено разом з записом довіри командою «ipa trust-add ...».
Нижче наведено можливі випадки використання цього командного інтерфейсу.

ВИПАДКИ ВИКОРИСТАННЯ:

Додавання діапазону ідентифікаторів з перехідного довіреного домену

Якщо довірений домен (A) довіряється іншому домену (B) і цей запис
довіри є перехідним, «ipa trust-add домен-A» створить лише діапазон
для домену A. Діапазон ідентифікаторів домену B має бути додано вручну.

Додавання додаткового діапазону ідентифікаторів для локального домену

Якщо діапазон ідентифікаторів локального домену вичерпано, тобто додатком
DNA не може бути призначено нові ідентифікатори користувачам або групам
POSIX, має бути створено новий діапазон для додавання нових користувачів
та груп. (У поточній версії між цим командним інтерфейсом і додатком DNA
немає безпосереднього зв’язку, але у майбутній версії може бути передбачено
можливість внесення змін і до налаштувань додатка DNS.)

Загалом, потреби у зміні або вилученні діапазонів ідентифікаторів немає.
Якщо немає іншого виходу, окрім внесення змін або вилучення діапазону
ідентифікаторів, робити це слід дуже обережно. Оскільки UID зберігаються у
файловій системі і використовуються для керування доступом, можлива ситуація,
коли одні користувачі отримуватимуть доступ до файлів інших користувачів
у разі вилучення діапазону ідентифікаторів і повторного його використання
у іншому домені.

(*) RID типово є останнім цілим числом SID користувача або групи, перед якими
має бути вказано SID домену. Наприклад, якщо SID домену S-1-5-21-123-456-789, а
користувач з цього домену має SID S-1-5-21-123-456-789-1010, RID користувача
буде 1010. RID є унікальними в межах домену, є 32-бітовими значенням і
використовуються для користувачів і груп.

ПОПЕРЕДЖЕННЯ:

Додаток DNA у 389-ds розміщуватиме ідентифікатори на основі діапазонів
налаштованих для локального домену. У поточній версії додаток DNA *не можна*
переналаштовувати самостійно на основі локальних діапазонів, встановлених
за допомогою цього сімейства команд.

Зміни налаштувань вручну має бути виконано у налаштуваннях додатка DNA
для локального діапазону. Зокрема слід змінити атрибут dnaNextRange «cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config» так, щоб
він відповідав новому діапазону.

ID ranges

Manage ID ranges used to map Posix IDs to SIDs and back.

There are two type of ID ranges which are both handled by this utility:

- the ID ranges of the local domain
- the ID ranges of trusted remote domains

Both types have the following attributes in common:

- base-id: the first ID of the Posix ID range
- range-size: the size of the range

With those two attributes a range object can reserve the Posix IDs starting
with base-id up to but not including base-id+range-size exclusively.

Additionally an ID range of the local domain may set
- rid-base: the first RID(*) of the corresponding RID range
- secondary-rid-base: first RID of the secondary RID range

and an ID range of a trusted domain must set
- rid-base: the first RID of the corresponding RID range
- sid: domain SID of the trusted domain



EXAMPLE: Add a new ID range for a trusted domain

Since there might be more than one trusted domain the domain SID must be given
while creating the ID range.

ipa idrange-add --base-id=1200000 --range-size=200000 --rid-base=0 --dom-sid=S-1-5-21-123-456-789 trusted_dom_range

This ID range is then used by the IPA server and the SSSD IPA provider to
assign Posix UIDs to users from the trusted domain.

If e.g. a range for a trusted domain is configured with the following values:
base-id = 1200000
range-size = 200000
rid-base = 0
the RIDs 0 to 199999 are mapped to the Posix ID from 1200000 to 13999999. So
RID 1000 <-> Posix ID 1201000



EXAMPLE: Add a new ID range for the local domain

To create an ID range for the local domain it is not necessary to specify a
domain SID. But since it is possible that a user and a group can have the same
value as Posix ID a second RID interval is needed to handle conflicts.

ipa idrange-add --base-id=1200000 --range-size=200000 --rid-base=1000 --secondary-rid-base=1000000 local_range

The data from the ID ranges of the local domain are used by the IPA server
internally to assign SIDs to IPA users and groups. The SID will then be stored
in the user or group objects.

If e.g. the ID range for the local domain is configured with the values from
the example above then a new user with the UID 1200007 will get the RID 1007.
If this RID is already used by a group the RID will be 1000007. This can only
happen if a user or a group object was created with a fixed ID because the
automatic assignment will not assign the same ID twice. Since there are only
users and groups sharing the same ID namespace it is sufficient to have only
one fallback range to handle conflicts.

To find the Posix ID for a given RID from the local domain it has to be
checked first if the RID falls in the primary or secondary RID range and
the rid-base or the secondary-rid-base has to be subtracted, respectively,
and the base-id has to be added to get the Posix ID.

Typically the creation of ID ranges happens behind the scenes and this CLI
must not be used at all. The ID range for the local domain will be created
during installation or upgrade from an older version. The ID range for a
trusted domain will be created together with the trust by 'ipa trust-add ...'.

USE CASES:

Add an ID range from a transitively trusted domain

If the trusted domain (A) trusts another domain (B) as well and this trust
is transitive 'ipa trust-add domain-A' will only create a range for
domain A. The ID range for domain B must be added manually.

Add an additional ID range for the local domain

If the ID range of the local domain is exhausted, i.e. no new IDs can be
assigned to Posix users or groups by the DNA plugin, a new range has to be
created to allow new users and groups to be added. (Currently there is no
connection between this range CLI and the DNA plugin, but a future version
might be able to modify the configuration of the DNS plugin as well)

In general it is not necessary to modify or delete ID ranges. If there is no
other way to achieve a certain configuration than to modify or delete an ID
range it should be done with great care. Because UIDs are stored in the file
system and are used for access control it might be possible that users are
allowed to access files of other users if an ID range got deleted and reused
for a different domain.

(*) The RID is typically the last integer of a user or group SID which follows
the domain SID. E.g. if the domain SID is S-1-5-21-123-456-789 and a user from
this domain has the SID S-1-5-21-123-456-789-1010 then 1010 is the RID of the
user. RIDs are unique in a domain, 32bit values and are used for users and
groups.

=======
WARNING:

DNA plugin in 389-ds will allocate IDs based on the ranges configured for the
local domain. Currently the DNA plugin *cannot* be reconfigured itself based
on the local ranges set via this family of commands.

Manual configuration change has to be done in the DNA plugin configuration for
the new local range. Specifically, The dnaNextRange attribute of 'cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config' has to be
modified to match the new range.
=======

Діапазони ідентифікаторів

Керування діапазонами ідентифікаторів, використаних для відображення
ідентифікаторів POSIX на SID, і навпаки.

За допомогою цієї програми можна керувати обома типами діапазонів ідентифікаторів:

- діапазони ідентифікаторів локального домену
- діапазони ідентифікаторів довірених віддалених доменів

Обидва типи мають такі спільні атрибути:

- base-id: перший ідентифікатор діапазону ідентифікаторів POSIX
- range-size: розмір діапазону

На основі цих двох атрибутів об’єкт діапазону може зарезервувати ідентифікатори
POSIX, починаючи з base-id аж до, але не включно, base-id+range-size.

Крім того, можна встановити діапазон ідентифікаторів локального домену
- rid-base: перший RID(*) відповідного діапазону RID
- secondary-rid-base: перший RID вторинного діапазону RID

а діапазон ідентифікаторів довіреного домену слід задавати за допомогою
- rid-base: перший RID відповідного діапазону RID
- dom_sid: SID довіреного домену



ПРИКЛАД: додавання нового діапазону ідентифікаторів для довіреного домену

Оскільки може бути декілька довірених доменів, під час створення діапазону
ідентифікаторів слід вказати SID домену.

ipa idrange-add --base-id=1200000 --range-size=200000 --rid-base=0 \
--dom-sid=S-1-5-21-123-456-789 trusted_dom_range

Цей діапазон ідентифікаторів потім використовуватиметься сервером IPA
та надавачем даних IPA SSSD для призначення UID Posix користувачам з
довіреного домену.

Якщо, наприклад, налаштовано діапазон для довіреного домену з такими
значеннями:
base-id = 1200000
range-size = 200000
rid-base = 0
RID від 0 до 199999 прив’язуються до ідентифікаторів Posix від 1200000 до
13999999. Отже RID 1000 <-> Posix ID 1201000



ПРИКЛАД: додавання нового діапазону ідентифікаторів до локального домену

Щоб створити діапазон ідентифікаторів для локального домену не потрібно
вказувати SID домену. Але оскільки можливий конфлікт між ідентифікаторами
користувача і групи та ідентифікаторами POSIX, потрібен вторинний інтервал
RID.

ipa range-add --base-id=1200000 --range-size=200000 --rid-base=1000 \
--secondary-rid-base=1000000 local_range

Дані з діапазонів ідентифікаторів локального домену використовуються
сервером IPA на внутрішньому рівні для призначення SID користувачам і групам
IPA. SID буде збережено у об’єктах користувача або групи.

Якщо, наприклад, для діапазону ідентифікаторів локального домену визначено
значення з наведеного вище прикладу, новий користувач з UID 1200007 отримає
RID 1007. Якщо цей RID вже буде використано групою, його буде змінено на 1000007.
Таке може трапитися лише, якщо об’єкт користувача або групи було створено з
фіксованим ідентифікатором, оскільки у разі автоматичного призначення один
ідентифікатор не може бути призначено двічі. Оскільки спільний простір назв
є лише у користувачів і груп, достатньо одного резервного діапазону для
того, щоб повністю позбутися конфліктів.

Для визначення ідентифікатора POSIX за вказаним RID з локального домену слід
спочатку перевірити, чи потрапляє RID у основний або вторинний діапазон RID,
також, щоб отримати ідентифікатор POSIX, слід відняти від ідентифікатор rid-base
або secondary-rid-base, відповідно, і додати base-id.

Типово, створення діапазонів ідентифікаторів є зовні непомітним і потреби у
цьому інтерфейсі командного рядка не виникає. Діапазон ідентифікаторів
для локального домену буде створено під час встановлення або оновлення
попередньої версії. Діапазон ідентифікаторів для довіреного домену буде
створено разом з записом довіри командою «ipa trust-add ...».
Нижче наведено можливі випадки використання цього командного інтерфейсу.

ВИПАДКИ ВИКОРИСТАННЯ:

Додавання діапазону ідентифікаторів з перехідного довіреного домену

Якщо довірений домен (A) довіряється іншому домену (B) і цей запис
довіри є перехідним, «ipa trust-add домен-A» створить лише діапазон
для домену A. Діапазон ідентифікаторів домену B має бути додано вручну.

Додавання додаткового діапазону ідентифікаторів для локального домену

Якщо діапазон ідентифікаторів локального домену вичерпано, тобто додатком
DNA не може бути призначено нові ідентифікатори користувачам або групам
POSIX, має бути створено новий діапазон для додавання нових користувачів
та груп. (У поточній версії між цим командним інтерфейсом і додатком DNA
немає безпосереднього зв’язку, але у майбутній версії може бути передбачено
можливість внесення змін і до налаштувань додатка DNS.)

Загалом, потреби у зміні або вилученні діапазонів ідентифікаторів немає.
Якщо немає іншого виходу, окрім внесення змін або вилучення діапазону
ідентифікаторів, робити це слід дуже обережно. Оскільки UID зберігаються у
файловій системі і використовуються для керування доступом, можлива ситуація,
коли одні користувачі отримуватимуть доступ до файлів інших користувачів
у разі вилучення діапазону ідентифікаторів і повторного його використання
у іншому домені.

(*) RID типово є останнім цілим числом SID користувача або групи, перед якими
має бути вказано SID домену. Наприклад, якщо SID домену S-1-5-21-123-456-789, а
користувач з цього домену має SID S-1-5-21-123-456-789-1010, RID користувача
буде 1010. RID є унікальними в межах домену, є 32-бітовими значенням і
використовуються для користувачів і груп.

=======
ПОПЕРЕДЖЕННЯ:

Додаток DNA у 389-ds розміщуватиме ідентифікатори на основі діапазонів
налаштованих для локального домену. У поточній версії додаток DNA *не можна*
переналаштовувати самостійно на основі локальних діапазонів, встановлених
за допомогою цього сімейства команд.

Зміни налаштувань вручну має бути виконано у налаштуваннях додатка DNA
для локального діапазону. Зокрема слід змінити атрибут dnaNextRange «cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config» так, щоб
він відповідав новому діапазону.
=======

ID ranges

Manage ID ranges used to map Posix IDs to SIDs and back.

There are two type of ID ranges which are both handled by this utility:

- the ID ranges of the local domain
- the ID ranges of trusted remote domains

Both types have the following attributes in common:

- base-id: the first ID of the Posix ID range
- range-size: the size of the range

With those two attributes a range object can reserve the Posix IDs starting
with base-id up to but not including base-id+range-size exclusively.

Additionally an ID range of the local domain may set
- rid-base: the first RID(*) of the corresponding RID range
- secondary-rid-base: first RID of the secondary RID range

and an ID range of a trusted domain must set
- rid-base: the first RID of the corresponding RID range
- sid: domain SID of the trusted domain



EXAMPLE: Add a new ID range for a trusted domain

Since there might be more than one trusted domain the domain SID must be given
while creating the ID range.

ipa idrange-add --base-id=1200000 --range-size=200000 --rid-base=0 --dom-sid=S-1-5-21-123-456-789 trusted_dom_range

This ID range is then used by the IPA server and the SSSD IPA provider to
assign Posix UIDs to users from the trusted domain.

If e.g. a range for a trusted domain is configured with the following values:
base-id = 1200000
range-size = 200000
rid-base = 0
the RIDs 0 to 199999 are mapped to the Posix ID from 1200000 to 13999999. So
RID 1000 <-> Posix ID 1201000



EXAMPLE: Add a new ID range for the local domain

To create an ID range for the local domain it is not necessary to specify a
domain SID. But since it is possible that a user and a group can have the same
value as Posix ID a second RID interval is needed to handle conflicts.

ipa idrange-add --base-id=1200000 --range-size=200000 --rid-base=1000 --secondary-rid-base=1000000 local_range

The data from the ID ranges of the local domain are used by the IPA server
internally to assign SIDs to IPA users and groups. The SID will then be stored
in the user or group objects.

If e.g. the ID range for the local domain is configured with the values from
the example above then a new user with the UID 1200007 will get the RID 1007.
If this RID is already used by a group the RID will be 1000007. This can only
happen if a user or a group object was created with a fixed ID because the
automatic assignment will not assign the same ID twice. Since there are only
users and groups sharing the same ID namespace it is sufficient to have only
one fallback range to handle conflicts.

To find the Posix ID for a given RID from the local domain it has to be
checked first if the RID falls in the primary or secondary RID range and
the rid-base or the secondary-rid-base has to be subtracted, respectively,
and the base-id has to be added to get the Posix ID.

Typically the creation of ID ranges happens behind the scenes and this CLI
must not be used at all. The ID range for the local domain will be created
during installation or upgrade from an older version. The ID range for a
trusted domain will be created together with the trust by 'ipa trust-add ...'.

USE CASES:

Add an ID range from a transitively trusted domain

If the trusted domain (A) trusts another domain (B) as well and this trust
is transitive 'ipa trust-add domain-A' will only create a range for
domain A. The ID range for domain B must be added manually.

Add an additional ID range for the local domain

If the ID range of the local domain is exhausted, i.e. no new IDs can be
assigned to Posix users or groups by the DNA plugin, a new range has to be
created to allow new users and groups to be added. (Currently there is no
connection between this range CLI and the DNA plugin, but a future version
might be able to modify the configuration of the DNS plugin as well)

In general it is not necessary to modify or delete ID ranges. If there is no
other way to achieve a certain configuration than to modify or delete an ID
range it should be done with great care. Because UIDs are stored in the file
system and are used for access control it might be possible that users are
allowed to access files of other users if an ID range got deleted and reused
for a different domain.

(*) The RID is typically the last integer of a user or group SID which follows
the domain SID. E.g. if the domain SID is S-1-5-21-123-456-789 and a user from
this domain has the SID S-1-5-21-123-456-789-1010 then 1010 is the RID of the
user. RIDs are unique in a domain, 32bit values and are used for users and
groups.

WARNING:

DNA plugin in 389-ds will allocate IDs based on the ranges configured for the
local domain. Currently the DNA plugin *cannot* be reconfigured itself based
on the local ranges set via this family of commands.

Manual configuration change has to be done in the DNA plugin configuration for
the new local range. Specifically, The dnaNextRange attribute of 'cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config' has to be
modified to match the new range.

Діапазони ідентифікаторів

Керування діапазонами ідентифікаторів, використаних для відображення
ідентифікаторів POSIX на SID, і навпаки.

За допомогою цієї програми можна керувати обома типами діапазонів ідентифікаторів:

- діапазони ідентифікаторів локального домену
- діапазони ідентифікаторів довірених віддалених доменів

Обидва типи мають такі спільні атрибути:

- base-id: перший ідентифікатор діапазону ідентифікаторів POSIX
- range-size: розмір діапазону

На основі цих двох атрибутів об’єкт діапазону може зарезервувати ідентифікатори
POSIX, починаючи з base-id аж до, але не включно, base-id+range-size.

Крім того, можна встановити діапазон ідентифікаторів локального домену
- rid-base: перший RID(*) відповідного діапазону RID
- secondary-rid-base: перший RID вторинного діапазону RID

а діапазон ідентифікаторів довіреного домену слід задавати за допомогою
- rid-base: перший RID відповідного діапазону RID
- dom_sid: SID довіреного домену



ПРИКЛАД: додавання нового діапазону ідентифікаторів для довіреного домену

Оскільки може бути декілька довірених доменів, під час створення діапазону
ідентифікаторів слід вказати SID домену.

ipa idrange-add --base-id=1200000 --range-size=200000 --rid-base=0 \
--dom-sid=S-1-5-21-123-456-789 trusted_dom_range

Цей діапазон ідентифікаторів потім використовуватиметься сервером IPA
та надавачем даних IPA SSSD для призначення UID Posix користувачам з
довіреного домену.

Якщо, наприклад, налаштовано діапазон для довіреного домену з такими
значеннями:
base-id = 1200000
range-size = 200000
rid-base = 0
RID від 0 до 199999 прив’язуються до ідентифікаторів Posix від 1200000 до
13999999. Отже RID 1000 <-> Posix ID 1201000



ПРИКЛАД: додавання нового діапазону ідентифікаторів до локального домену

Щоб створити діапазон ідентифікаторів для локального домену не потрібно
вказувати SID домену. Але оскільки можливий конфлікт між ідентифікаторами
користувача і групи та ідентифікаторами POSIX, потрібен вторинний інтервал
RID.

ipa range-add --base-id=1200000 --range-size=200000 --rid-base=1000 \
--secondary-rid-base=1000000 local_range

Дані з діапазонів ідентифікаторів локального домену використовуються
сервером IPA на внутрішньому рівні для призначення SID користувачам і групам
IPA. SID буде збережено у об’єктах користувача або групи.

Якщо, наприклад, для діапазону ідентифікаторів локального домену визначено
значення з наведеного вище прикладу, новий користувач з UID 1200007 отримає
RID 1007. Якщо цей RID вже буде використано групою, його буде змінено на 1000007.
Таке може трапитися лише, якщо об’єкт користувача або групи було створено з
фіксованим ідентифікатором, оскільки у разі автоматичного призначення один
ідентифікатор не може бути призначено двічі. Оскільки спільний простір назв
є лише у користувачів і груп, достатньо одного резервного діапазону для
того, щоб повністю позбутися конфліктів.

Для визначення ідентифікатора POSIX за вказаним RID з локального домену слід
спочатку перевірити, чи потрапляє RID у основний або вторинний діапазон RID,
також, щоб отримати ідентифікатор POSIX, слід відняти від ідентифікатор rid-base
або secondary-rid-base, відповідно, і додати base-id.

Типово, створення діапазонів ідентифікаторів є зовні непомітним і потреби у
цьому інтерфейсі командного рядка не виникає. Діапазон ідентифікаторів
для локального домену буде створено під час встановлення або оновлення
попередньої версії. Діапазон ідентифікаторів для довіреного домену буде
створено разом з записом довіри командою «ipa trust-add ...».
Нижче наведено можливі випадки використання цього командного інтерфейсу.

ВИПАДКИ ВИКОРИСТАННЯ:

Додавання діапазону ідентифікаторів з перехідного довіреного домену

Якщо довірений домен (A) довіряється іншому домену (B) і цей запис
довіри є перехідним, «ipa trust-add домен-A» створить лише діапазон
для домену A. Діапазон ідентифікаторів домену B має бути додано вручну.

Додавання додаткового діапазону ідентифікаторів для локального домену

Якщо діапазон ідентифікаторів локального домену вичерпано, тобто додатком
DNA не може бути призначено нові ідентифікатори користувачам або групам
POSIX, має бути створено новий діапазон для додавання нових користувачів
та груп. (У поточній версії між цим командним інтерфейсом і додатком DNA
немає безпосереднього зв’язку, але у майбутній версії може бути передбачено
можливість внесення змін і до налаштувань додатка DNS.)

Загалом, потреби у зміні або вилученні діапазонів ідентифікаторів немає.
Якщо немає іншого виходу, окрім внесення змін або вилучення діапазону
ідентифікаторів, робити це слід дуже обережно. Оскільки UID зберігаються у
файловій системі і використовуються для керування доступом, можлива ситуація,
коли одні користувачі отримуватимуть доступ до файлів інших користувачів
у разі вилучення діапазону ідентифікаторів і повторного його використання
у іншому домені.

(*) RID типово є останнім цілим числом SID користувача або групи, перед якими
має бути вказано SID домену. Наприклад, якщо SID домену S-1-5-21-123-456-789, а
користувач з цього домену має SID S-1-5-21-123-456-789-1010, RID користувача
буде 1010. RID є унікальними в межах домену, є 32-бітовими значенням і
використовуються для користувачів і груп.

ПОПЕРЕДЖЕННЯ:

Додаток DNA у 389-ds розміщуватиме ідентифікатори на основі діапазонів
налаштованих для локального домену. У поточній версії додаток DNA *не можна*
переналаштовувати самостійно на основі локальних діапазонів, встановлених
за допомогою цього сімейства команд.

Зміни налаштувань вручну має бути виконано у налаштуваннях додатка DNA
для локального діапазону. Зокрема слід змінити атрибут dnaNextRange «cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config» так, щоб
він відповідав новому діапазону.

ID ranges

Manage ID ranges used to map Posix IDs to SIDs and back.

There are two type of ID ranges which are both handled by this utility:

- the ID ranges of the local domain
- the ID ranges of trusted remote domains

Both types have the following attributes in common:

- base-id: the first ID of the Posix ID range
- range-size: the size of the range

With those two attributes a range object can reserve the Posix IDs starting
with base-id up to but not including base-id+range-size exclusively.

Additionally an ID range of the local domain may set
- rid-base: the first RID(*) of the corresponding RID range
- secondary-rid-base: first RID of the secondary RID range

and an ID range of a trusted domain must set
- rid-base: the first RID of the corresponding RID range
- sid: domain SID of the trusted domain

and an ID range of a trusted domain may set
- auto-private-groups: [true|false|hybrid] automatic creation of private groups



EXAMPLE: Add a new ID range for a trusted domain

Since there might be more than one trusted domain the domain SID must be given
while creating the ID range.

ipa idrange-add --base-id=1200000 --range-size=200000 --rid-base=0 \
--dom-sid=S-1-5-21-123-456-789 trusted_dom_range

This ID range is then used by the IPA server and the SSSD IPA provider to
assign Posix UIDs to users from the trusted domain.

If e.g. a range for a trusted domain is configured with the following values:
base-id = 1200000
range-size = 200000
rid-base = 0
the RIDs 0 to 199999 are mapped to the Posix ID from 1200000 to 13999999. So
RID 1000 <-> Posix ID 1201000



EXAMPLE: Add a new ID range for the local domain

To create an ID range for the local domain it is not necessary to specify a
domain SID. But since it is possible that a user and a group can have the same
value as Posix ID a second RID interval is needed to handle conflicts.

ipa idrange-add --base-id=1200000 --range-size=200000 --rid-base=1000 \
--secondary-rid-base=1000000 local_range

The data from the ID ranges of the local domain are used by the IPA server
internally to assign SIDs to IPA users and groups. The SID will then be stored
in the user or group objects.

If e.g. the ID range for the local domain is configured with the values from
the example above then a new user with the UID 1200007 will get the RID 1007.
If this RID is already used by a group the RID will be 1000007. This can only
happen if a user or a group object was created with a fixed ID because the
automatic assignment will not assign the same ID twice. Since there are only
users and groups sharing the same ID namespace it is sufficient to have only
one fallback range to handle conflicts.

To find the Posix ID for a given RID from the local domain it has to be
checked first if the RID falls in the primary or secondary RID range and
the rid-base or the secondary-rid-base has to be subtracted, respectively,
and the base-id has to be added to get the Posix ID.

Typically the creation of ID ranges happens behind the scenes and this CLI
must not be used at all. The ID range for the local domain will be created
during installation or upgrade from an older version. The ID range for a
trusted domain will be created together with the trust by 'ipa trust-add ...'.

USE CASES:

Add an ID range from a transitively trusted domain

If the trusted domain (A) trusts another domain (B) as well and this trust
is transitive 'ipa trust-add domain-A' will only create a range for
domain A. The ID range for domain B must be added manually.

Add an additional ID range for the local domain

If the ID range of the local domain is exhausted, i.e. no new IDs can be
assigned to Posix users or groups by the DNA plugin, a new range has to be
created to allow new users and groups to be added. (Currently there is no
connection between this range CLI and the DNA plugin, but a future version
might be able to modify the configuration of the DNS plugin as well)

In general it is not necessary to modify or delete ID ranges. If there is no
other way to achieve a certain configuration than to modify or delete an ID
range it should be done with great care. Because UIDs are stored in the file
system and are used for access control it might be possible that users are
allowed to access files of other users if an ID range got deleted and reused
for a different domain.

(*) The RID is typically the last integer of a user or group SID which follows
the domain SID. E.g. if the domain SID is S-1-5-21-123-456-789 and a user from
this domain has the SID S-1-5-21-123-456-789-1010 then 1010 is the RID of the
user. RIDs are unique in a domain, 32bit values and are used for users and
groups.

Діапазони ідентифікаторів

Керування діапазонами ідентифікаторів, використаних для відображення
ідентифікаторів POSIX на SID, і навпаки.

За допомогою цієї програми можна керувати обома типами діапазонів ідентифікаторів:

- діапазони ідентифікаторів локального домену
- діапазони ідентифікаторів довірених віддалених доменів

Обидва типи мають такі спільні атрибути:

- base-id: перший ідентифікатор діапазону ідентифікаторів POSIX
- range-size: розмір діапазону

На основі цих двох атрибутів об’єкт діапазону може зарезервувати ідентифікатори
POSIX, починаючи з base-id аж до, але не включно, base-id+range-size.

Крім того, можна встановити діапазон ідентифікаторів локального домену
- rid-base: перший RID(*) відповідного діапазону RID
- secondary-rid-base: перший RID вторинного діапазону RID

а діапазон ідентифікаторів довіреного домену слід задавати за допомогою
- rid-base: перший RID відповідного діапазону RID
- dom_sid: SID довіреного домену

також можна встановити діапазон ідентифікаторів довіреного домену
- auto-private-groups: [true|false|hybrid] automatic creation of private groups



ПРИКЛАД: додавання нового діапазону ідентифікаторів для довіреного домену

Оскільки може бути декілька довірених доменів, під час створення діапазону
ідентифікаторів слід вказати SID домену.

ipa idrange-add --base-id=1200000 --range-size=200000 --rid-base=0 \
--dom-sid=S-1-5-21-123-456-789 trusted_dom_range

Цей діапазон ідентифікаторів потім використовуватиметься сервером IPA
та надавачем даних IPA SSSD для призначення UID Posix користувачам з
довіреного домену.

Якщо, наприклад, налаштовано діапазон для довіреного домену з такими
значеннями:
base-id = 1200000
range-size = 200000
rid-base = 0
RID від 0 до 199999 прив’язуються до ідентифікаторів Posix від 1200000 до
13999999. Отже RID 1000 <-> Posix ID 1201000



ПРИКЛАД: додавання нового діапазону ідентифікаторів до локального домену

Щоб створити діапазон ідентифікаторів для локального домену не потрібно
вказувати SID домену. Але оскільки можливий конфлікт між ідентифікаторами
користувача і групи та ідентифікаторами POSIX, потрібен вторинний інтервал
RID.

ipa range-add --base-id=1200000 --range-size=200000 --rid-base=1000 \
--secondary-rid-base=1000000 local_range

Дані з діапазонів ідентифікаторів локального домену використовуються
сервером IPA на внутрішньому рівні для призначення SID користувачам і групам
IPA. SID буде збережено у об’єктах користувача або групи.

Якщо, наприклад, для діапазону ідентифікаторів локального домену визначено
значення з наведеного вище прикладу, новий користувач з UID 1200007 отримає
RID 1007. Якщо цей RID вже буде використано групою, його буде змінено на 1000007.
Таке може трапитися лише, якщо об’єкт користувача або групи було створено з
фіксованим ідентифікатором, оскільки у разі автоматичного призначення один
ідентифікатор не може бути призначено двічі. Оскільки спільний простір назв
є лише у користувачів і груп, достатньо одного резервного діапазону для
того, щоб повністю позбутися конфліктів.

Для визначення ідентифікатора POSIX за вказаним RID з локального домену слід
спочатку перевірити, чи потрапляє RID у основний або вторинний діапазон RID,
також, щоб отримати ідентифікатор POSIX, слід відняти від ідентифікатор rid-base
або secondary-rid-base, відповідно, і додати base-id.

Типово, створення діапазонів ідентифікаторів є зовні непомітним і потреби у
цьому інтерфейсі командного рядка не виникає. Діапазон ідентифікаторів
для локального домену буде створено під час встановлення або оновлення
попередньої версії. Діапазон ідентифікаторів для довіреного домену буде
створено разом з записом довіри командою «ipa trust-add ...».
Нижче наведено можливі випадки використання цього командного інтерфейсу.

ВИПАДКИ ВИКОРИСТАННЯ:

Додавання діапазону ідентифікаторів з перехідного довіреного домену

Якщо довірений домен (A) довіряється іншому домену (B) і цей запис
довіри є перехідним, «ipa trust-add домен-A» створить лише діапазон
для домену A. Діапазон ідентифікаторів домену B має бути додано вручну.

Додавання додаткового діапазону ідентифікаторів для локального домену

Якщо діапазон ідентифікаторів локального домену вичерпано, тобто додатком
DNA не може бути призначено нові ідентифікатори користувачам або групам
POSIX, має бути створено новий діапазон для додавання нових користувачів
та груп. (У поточній версії між цим командним інтерфейсом і додатком DNA
немає безпосереднього зв’язку, але у майбутній версії може бути передбачено
можливість внесення змін і до налаштувань додатка DNS.)

Загалом, потреби у зміні або вилученні діапазонів ідентифікаторів немає.
Якщо немає іншого виходу, окрім внесення змін або вилучення діапазону
ідентифікаторів, робити це слід дуже обережно. Оскільки UID зберігаються у
файловій системі і використовуються для керування доступом, можлива ситуація,
коли одні користувачі отримуватимуть доступ до файлів інших користувачів
у разі вилучення діапазону ідентифікаторів і повторного його використання
у іншому домені.

(*) RID типово є останнім цілим числом SID користувача або групи, перед якими
має бути вказано SID домену. Наприклад, якщо SID домену S-1-5-21-123-456-789, а
користувач з цього домену має SID S-1-5-21-123-456-789-1010, RID користувача
буде 1010. RID є унікальними в межах домену, є 32-бітовими значенням і
використовуються для користувачів і груп.

IPA certificate operations

Дії з сертифікатами IPA

Loading…

User avatar None

String updated in the repository

Groups of users

Manage groups of users. By default, new groups are POSIX groups. You
can add the --nonposix option to the group-add command to mark a new group
as non-POSIX. You can use the --posix argument with the group-mod command
to convert a non-POSIX group into a POSIX group. POSIX groups cannot be
converted to non-POSIX groups.

Every group must have a description.

POSIX groups must have a Group ID (GID) number. Changing a GID is
supported but can have an impact on your file permissions. It is not necessary
to supply a GID when creating a group. IPA will generate one automatically
if it is not provided.

EXAMPLES:

Add a new group:
ipa group-add --desc='local administrators' localadmins

Add a new non-POSIX group:
ipa group-add --nonposix --desc='remote administrators' remoteadmins

Convert a non-POSIX group to posix:
ipa group-mod --posix remoteadmins

Add a new POSIX group with a specific Group ID number:
ipa group-add --gid=500 --desc='unix admins' unixadmins

Add a new POSIX group and let IPA assign a Group ID number:
ipa group-add --desc='printer admins' printeradmins

Remove a group:
ipa group-del unixadmins

To add the "remoteadmins" group to the "localadmins" group:
ipa group-add-member --groups=remoteadmins localadmins

Add multiple users to the "localadmins" group:
ipa group-add-member --users=test1 --users=test2 localadmins

Remove a user from the "localadmins" group:
ipa group-remove-member --users=test2 localadmins

Display information about a named group.
ipa group-show localadmins

External group membership is designed to allow users from trusted domains
to be mapped to local POSIX groups in order to actually use IPA resources.
External members should be added to groups that specifically created as
external and non-POSIX. Such group later should be included into one of POSIX
groups.

An external group member is currently a Security Identifier (SID) as defined by
the trusted domain. When adding external group members, it is possible to
specify them in either SID, or DOM\name, or name@domain format. IPA will attempt
to resolve passed name to SID with the use of Global Catalog of the trusted domain.

Example:

1. Create group for the trusted domain admins' mapping and their local POSIX group:

ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins

2. Add security identifier of Domain Admins of the <ad.domain> to the ad_admins_external
group:

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Allow members of ad_admins_external group to be associated with ad_admins POSIX group:

ipa group-add-member ad_admins --groups ad_admins_external

4. List members of external members of ad_admins_external group to see their SIDs:

ipa group-show ad_admins_external

Групи користувачів

Керування групами користувачів. Типово нові групи є групами POSIX. Ви можете
додати параметр --nonposix до команди group-add з метою позначення нової
групи як групи не-POSIX. Ви можете скористатися аргументом --posix команди group-mod
для перетворення групи не-POSIX на групу POSIX. Групи POSIX не можна
перетворювати на групи не-POSIX.

Кожна група повинна мати опис.

Групи POSIX повинні мати номер ідентифікатора групи (GID). Передбачено підтримку
зміни GID, але ця зміна може вплинути на права доступу до ваших файлів. Для
створення групи слід вказати GID. IPA створить одну групу автоматично, якщо
таку не вказано.

ПРИКЛАДИ:

Додавання нової групи:
ipa group-add --desc='local administrators' localadmins

Додавання нової групи не-POSIX:
ipa group-add --nonposix --desc='remote administrators' remoteadmins

Перетворити групу не-POSIX на групу posix:
ipa group-mod --posix remoteadmins

Додати нову групу POSIX з вказаним ідентифікатором групи:
ipa group-add --gid=500 --desc='unix admins' unixadmins

Додати нову групу POSIX і надати IPA змогу призначити ідентифікатор:
ipa group-add --desc='printer admins' printeradmins

Вилучення групи:
ipa group-del unixadmins

Додати групу "remoteadmins" до групи "localadmins":
ipa group-add-member --groups=remoteadmins localadmins

Додати список користувачів до групи "localadmins":
ipa group-add-member --users=test1 --users=test2 localadmins

Вилучення користувача з групи "localadmins":
ipa group-remove-member --users=test2 localadmins

Показати інформацію щодо іменованої групи.
ipa group-show localadmins

Участь із зовнішніх груп створено для того, щоб уможливити прив’язку
користувачів з довірених доменів до локальних груп POSIX з метою
використання ресурсів IPA. Зовнішніх користувачів слід додавати до груп
які спеціально створено як зовнішні або групи не-POSIX. Таку групу
слід пізніше включити до одної з груп POSIX.

У поточній версії учасник зовнішньої групи є ідентифікатором безпеки
(Security Identifier або SID) визначеним довіреним доменом. Додавання
учасників зовнішньої групи можна виконати у форматі SID, DOM\ім’я або
ім’я@домен. IPA намагатиметься визначити за переданим іменем SID за
допомогою використання Загального каталогу довіреного домену.

Приклад:

1. Створити групу для прив’язки адміністраторів довіреного домену до
відповідної локальної групи POSIX:

ipa group-add --desc='<домен.ad> admins external map' ad_admins_external --external
ipa group-add --desc='<домен.ad> admins' ad_admins

2. Додати ідентифікатор Domain Admins домену <домен.ad> до
групи ad_admins_external:

ipa group-add-member ad_admins_external --external 'AD\Domain Admins'

3. Дозволити прив’язку групи ad_admins_external до групи POSIX ad_admins:

ipa group-add-member ad_admins --groups ad_admins_external

4. Показати список зовнішніх учасників групи ad_admins_external, щоб визначити
їхні SIDs:

ipa group-show ad_admins_external
a year ago
Browse all string changes

Things to check

Mismatched \n

Number of \n literals in translation does not match source

Reset

Mismatching line breaks

Number of new lines in translation does not match source

Reset

Glossary

English Ukrainian
No related strings found in the glossary.

String information

String age
a year ago
Last updated
a year ago
Source string age
a year ago
Translation file
po/uk.po, string 245