2. freeipa
3. ipa-4-9
4. Ukrainian

Server location

Місце сервера

Maximum password life must be greater than minimum.

Максимальний строк дії пароля має перевищувати мінімальний строк його дії.

Defines an allow list for Authentication Indicators. Use 'otp' to allow OTP-based 2FA authentications. Use 'radius' to allow RADIUS-based 2FA authentications. Use 'pkinit' to allow PKINIT-based 2FA authentications. Use 'hardened' to allow brute-force hardened password authentication by SPAKE or FAST. With no indicator specified, all authentication mechanisms are allowed.

Визначає список дозволених індикаторів розпізнавання. Скористайтеся значенням «otp», щоб дозволити розпізнавання 2FA на основі OTP. Скористайтеся значенням «radius», щоб дозволити розпізнавання 2FA на основі RADIUS. Скористайтеся значенням «pkinit», щоб дозволити розпізнавання 2FA на основі PKINIT. Скористайтеся значенням «hardened», щоб дозволити захищене від простого перебирання розпізнавання за паролем на основі SPAKE або FAST. Якщо індикатор не буде вказано, буде дозволено усі механізми.

Are you sure you want to rebuild auto membership?

Ви справді хочете перебудувати записи автоматичної участі?

=======
WARNING:

DNA plugin in 389-ds will allocate IDs based on the ranges configured for the
local domain. Currently the DNA plugin *cannot* be reconfigured itself based
on the local ranges set via this family of commands.

Manual configuration change has to be done in the DNA plugin configuration for
the new local range. Specifically, The dnaNextRange attribute of 'cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config' has to be
modified to match the new range.
=======

=======
ПОПЕРЕДЖЕННЯ:

Додаток DNA у 389-ds розподілятиме ідентифікатори на основі діапазонів,
налаштованих для локального домену. У поточній версії додаток DNA *не може*
переналаштуватися на основі локальних діапазонів, встановлених цим
сімейством команд.

Для використання нового локального діапазону до налаштувань додатка DNA
слід внести зміни вручну. Зокрема, слід змінити атрибут dnaNextRange 'cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config' так, щоб
він відповідав новому діапазону.
=======

To enable the binddn run the following command to set the password:
LDAPTLS_CACERT=/etc/ipa/ca.crt /usr/bin/ldappasswd -S -W -h ipa.example.com -ZZ -D "cn=Directory Manager" uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

Щоб увімкнути binddn, віддайте таку команду для встановлення пароля:
LDAPTLS_CACERT=/etc/ipa/ca.crt /usr/bin/ldappasswd -S -W -h ipa.example.com -ZZ -D "cn=Directory Manager" uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

Sudo Rules

Sudo (su "do") allows a system administrator to delegate authority to
give certain users (or groups of users) the ability to run some (or all)
commands as root or another user while providing an audit trail of the
commands and their arguments.

IPA provides a means to configure the various aspects of Sudo:
Users: The user(s)/group(s) allowed to invoke Sudo.
Hosts: The host(s)/hostgroup(s) which the user is allowed to to invoke Sudo.
Allow Command: The specific command(s) permitted to be run via Sudo.
Deny Command: The specific command(s) prohibited to be run via Sudo.
RunAsUser: The user(s) or group(s) of users whose rights Sudo will be invoked with.
RunAsGroup: The group(s) whose gid rights Sudo will be invoked with.
Options: The various Sudoers Options that can modify Sudo's behavior.

An order can be added to a sudorule to control the order in which they
are evaluated (if the client supports it). This order is an integer and
must be unique.

IPA provides a designated binddn to use with Sudo located at:
uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

To enable the binddn run the following command to set the password:
LDAPTLS_CACERT=/etc/ipa/ca.crt /usr/bin/ldappasswd -S -W -h ipa.example.com -ZZ -D "cn=Directory Manager" uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

For more information, see the IPA Documentation to Sudo.

Правила sudo

Sudo (su "do") надає системному адміністратору змогу делегувати
повноваження певним користувачам (або групам користувачів) на виконання
деяких (або усіх) команд від імені адміністратора (root) або іншого
користувача, зберігаючи водночас журнал виконання команд та
аргументів.

У IPA передбачено декілька параметрів налаштовування роботи sudo:
Users: користувачі або групи, які можуть викликати sudo.
Hosts: вузли або групи вузлів, користувачі якого можуть викликати sudo.
Allow Command: специфічні команди, які можна виконувати за допомогою sudo.
Deny Command: специфічні команди, які не можна виконувати за допомогою sudo.
RunAsUser: користувачі або групи, від імені яких sudo виконуватиме команди.
RunAsGroup: групи, ідентифікатори яких буде використано sudo для виконання команд.
Options: різноманітні параметри sudoers, які можуть змінити поведінку sudo.

До правила sudo можна додати порядок, який керуватиме порядком
обробки записів (якщо такий порядок передбачено на клієнтському боці).
Порядок визначається числовим індексом, який не повинен повторюватися.

У IPA передбачено визначений binddn для використання з sudo, який розташовано у
uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

Щоб увімкнути binddn, віддайте таку команду для встановлення пароля:
LDAPTLS_CACERT=/etc/ipa/ca.crt /usr/bin/ldappasswd -S -W -h ipa.example.com -ZZ -D "cn=Directory Manager" uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

Докладніші відомості наведено у документації з IPA щодо sudo.

Sudo Rules

Sudo (su "do") allows a system administrator to delegate authority to
give certain users (or groups of users) the ability to run some (or all)
commands as root or another user while providing an audit trail of the
commands and their arguments.

IPA provides a means to configure the various aspects of Sudo:
Users: The user(s)/group(s) allowed to invoke Sudo.
Hosts: The host(s)/hostgroup(s) which the user is allowed to to invoke Sudo.
Allow Command: The specific command(s) permitted to be run via Sudo.
Deny Command: The specific command(s) prohibited to be run via Sudo.
RunAsUser: The user(s) or group(s) of users whose rights Sudo will be invoked with.
RunAsGroup: The group(s) whose gid rights Sudo will be invoked with.
Options: The various Sudoers Options that can modify Sudo's behavior.

An order can be added to a sudorule to control the order in which they
are evaluated (if the client supports it). This order is an integer and
must be unique.

IPA provides a designated binddn to use with Sudo located at:
uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

To enable the binddn run the following command to set the password:
LDAPTLS_CACERT=/etc/ipa/ca.crt /usr/bin/ldappasswd -S -W -h ipa.example.com -ZZ -D "cn=Directory Manager" uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

EXAMPLES:

Create a new rule:
ipa sudorule-add readfiles

Add sudo command object and add it as allowed command in the rule:
ipa sudocmd-add /usr/bin/less
ipa sudorule-add-allow-command readfiles --sudocmds /usr/bin/less

Add a host to the rule:
ipa sudorule-add-host readfiles --hosts server.example.com

Add a user to the rule:
ipa sudorule-add-user readfiles --users jsmith

Add a special Sudo rule for default Sudo server configuration:
ipa sudorule-add defaults

Set a default Sudo option:
ipa sudorule-add-option defaults --sudooption '!authenticate'

Правила sudo

Sudo (su "do") надає системному адміністратору змогу делегувати
повноваження певним користувачам (або групам користувачів) на виконання
деяких (або усіх) команд від імені адміністратора (root) або іншого
користувача, зберігаючи водночас журнал виконання команд та
аргументів.

У IPA передбачено декілька параметрів налаштовування роботи sudo:
Users: користувачі або групи, які можуть викликати sudo.
Hosts: вузли або групи вузлів, користувачі якого можуть викликати sudo.
Allow Command: специфічні команди, які можна виконувати за допомогою sudo.
Deny Command: специфічні команди, які не можна виконувати за допомогою sudo.
RunAsUser: користувачі або групи, від імені яких sudo виконуватиме команди.
RunAsGroup: групи, ідентифікатори яких буде використано sudo для виконання команд.
Options: різноманітні параметри sudoers, які можуть змінити поведінку sudo.

До правила sudo можна додати порядок, який керуватиме порядком
обробки записів (якщо такий порядок передбачено на клієнтському боці).
Порядок визначається числовим індексом, який не повинен повторюватися.

У IPA передбачено визначений binddn для використання з sudo, який розташовано у
uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

Щоб увімкнути binddn, віддайте таку команду для встановлення пароля:
LDAPTLS_CACERT=/etc/ipa/ca.crt /usr/bin/ldappasswd -S -W -h ipa.example.com -ZZ -D "cn=Directory Manager" uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com

ПРИКЛАДИ:

Створити правило:
ipa sudorule-add readfiles

Додати об’єкт команди sudo і записати його як дозволену команду до правила:
ipa sudocmd-add /usr/bin/less
ipa sudorule-add-allow-command readfiles --sudocmds /usr/bin/less

Додати запис вузла до правила:
ipa sudorule-add-host readfiles --hosts server.example.com

Додати запис користувача до правила:
ipa sudorule-add-user readfiles --users jsmith

Додати особливе правило sudo для типового налаштовування сервера sudo:
ipa sudorule-add defaults

Встановити типовий варіант дій для sudo:
ipa sudorule-add-option defaults --sudooption '!authenticate'

Stageusers

Manage stage user entries.

Stage user entries are directly under the container: "cn=stage users,
cn=accounts, cn=provisioning, SUFFIX".
Users can not authenticate with those entries (even if the entries
contain credentials). Those entries are only candidate to become Active entries.

Active user entries are Posix users directly under the container: "cn=accounts, SUFFIX".
Users can authenticate with Active entries, at the condition they have
credentials.

Deleted user entries are Posix users directly under the container: "cn=deleted users,
cn=accounts, cn=provisioning, SUFFIX".
Users can not authenticate with those entries, even if the entries contain credentials.

The stage user container contains entries:
- created by 'stageuser-add' commands that are Posix users,
- created by external provisioning system.

A valid stage user entry MUST have:
- entry RDN is 'uid',
- ipaUniqueID is 'autogenerate'.

IPA supports a wide range of username formats, but you need to be aware of any
restrictions that may apply to your particular environment. For example,
usernames that start with a digit or usernames that exceed a certain length
may cause problems for some UNIX systems.
Use 'ipa config-mod' to change the username format allowed by IPA tools.


EXAMPLES:

Add a new stageuser:
ipa stageuser-add --first=Tim --last=User --password tuser1

Add a stageuser from the deleted users container:
ipa stageuser-add --first=Tim --last=User --from-delete tuser1

Користувачі етапу

Керування записами користувачів етапу.

Записи користувачів етапу перебувають безпосередньо у контейнері:
"cn=stage users, cn=accounts, cn=provisioning, SUFFIX".
Користувач не може пройти розпізнавання за допомогою цих записів
(навіть якщо записи містять реєстраційні дані) і є кандидатами на
перетворення на активні записи.

Записи активних користувачів є користувачами Posix, що перебувають
безпосередньо у контейнері: "cn=accounts, SUFFIX".
Користувач може пройти розпізнавання за допомогою активних записів,
якщо для них передбачено реєстраційні дані

Вилучені записи користувачів є записами користувачів Posix, що
перебувають безпосередньо у контейнері: "cn=deleted users,
cn=accounts, cn=provisioning, SUFFIX".
Користувачі не можуть проходити розпізнавання за допомогою цих
записів (навіть якщо записи містять реєстраційні дані)

Контейнер користувачів етапу містить записи
- створені командами 'stageuser-add', які є користувачами Posix
- створені зовнішньою системою забезпечення

Коректний запис користувача етапу МАЄ відповідати таким вимогам:
- RDN запису має значення 'uid'
- ipaUniqueID має значення 'autogenerate'

У IPA передбачено підтримку широкого діапазону форматів імен користувачів,
але слід зважати на різноманітні обмеження, які можуть стосуватися середовища,
у якому ви працюєте. Наприклад, імена користувачів, що починаються з цифри,
або імена користувачів, довжина яких перевищує певну довжину, можуть
призвести до проблем у деяких системах UNIX.
Для зміни формату, який дозволено інструментами IPA, скористайтеся командою
'ipa config-mod'.


ПРИКЛАДИ:

Додати нового користувача етапу:
ipa stageuser-add --first=Tim --last=User --password tuser1

Додати користувача етапу з контейнера вилучених користувачів
ipa stageuser-add --first=Tim --last=User --from-delete tuser1