oVirt AAA LDAP

Diese Rolle stellt die oVirt AAA LDAP-Konfiguration bereit.

Voraussetzungen

Nur Ansible.

Rollenvariablen

• aaa_profile_type: Definieren Sie den Profiltyp, einer der folgenden:

  • 389ds
  • iplanet
  • rfc2307-389ds
  • rfc2307-generic
  • rfc2307-openldap
  • rfc2307-rhds
  • ad
  • ipa
  • openldap
  • rfc2307-edir
  • rhds

• aaa_user: Benutzer, der zum Suchen von Benutzern für die Autorisierung verwendet werden soll.

• aaa_password: Passwort des Suchbenutzers.

• aaa_profile_name: Name des Profils (sichtbar auf der Anmeldeseite).

• aaa_ldap: Liste der LDAP-Server oder der LDAP-Domain. Wenn mehrere Server angegeben werden, wird die Failover-Politik verwendet.

• aaa_ldap_is_domain: Ob aaa_ldap eine Domain mit über SRV-Einträgen entdeckten Servern ist oder nicht. Standardmäßig ist dies falsch (außer wenn aaa_profile_type auf ad gesetzt ist, dann ist der Standardwert true).

• aaa_base_dn: Benutzerdefinierter Basis-DN, falls der Benutzer etwas Besonderes festlegen möchte.

• aaa_legacy_api_authn: Ob /ovirt-engine/api zu den Pfaden gehört, die HTTP-Authentifizierung auslösen (war vor oVirt 4.0 notwendig). Standardmäßig deaktiviert.

• aaa_sso_keytab: Pfad zur Keytab auf dem Ansible-Control-Server, die das Principal für SSO speichert. Dieses Parameter oder aaa_sso_remote_keytab ist notwendig, wenn SSO bereitgestellt werden soll. Die Keytab wird nach /etc/httpd/http.keytab kopiert.

• aaa_sso_remote_keytab: Pfad zur Keytab, die bereits auf der Zielmaschine vorhanden ist. Muss von Apache zugänglich und lesbar sein.

Beispiel: Um eine HTTP-Keytab für die oVirt-Engine in IPA zu erhalten, verwenden Sie den folgenden Befehl:

$ ipa-getkeytab --server=ipa.example.com --principal=HTTP/ovirt.example.com --keytab=ovirt.keytab

Abhängigkeiten

Keine.

Beispiel Playbook

Dies ist ein Beispiel, wie man IPA mit einem einzelnen Server bereitstellt:

    - name: oVirt AAA IPA bereitstellen
      hosts: localhost
      gather_facts: no
      vars:
        aaa_profile_type: ipa
        aaa_user: uid=search,cn=users,cn=accounts,dc=example,dc=com
        aaa_password: password
        aaa_profile_name: ipa
        aaa_ldap:
          - ldap.example.com
    
      roles:
        - machacekondra.ovirt-aaa-ldap

Dies ist ein Beispiel, wie man IPA mit Failover-Servern bereitstellt:

    - name: oVirt AAA IPA Failover bereitstellen
      hosts: localhost
      gather_facts: no
      vars:
        aaa_profile_type: ipa
        aaa_user: uid=search,cn=users,cn=accounts,dc=example,dc=com
        aaa_password: password
        aaa_profile_name: ipa
        aaa_ldap:
          - ldap1.example.com
          - ldap2.example.com
    
      roles:
        - machacekondra.ovirt-aaa-ldap

Dies ist ein Beispiel, wie man IPA mit SSO bereitstellt:

    - name: oVirt AAA IPA SSO bereitstellen
      hosts: localhost
      gather_facts: no
      vars:
        aaa_profile_type: ipa
        aaa_user: uid=search,cn=users,cn=accounts,dc=example,dc=com
        aaa_password: password
        aaa_profile_name: ipa
        aaa_ldap:
          - ldap1.example.com
          - ldap2.example.com
        aaa_sso_keytab: /path/to/ovirt.keytab
    
      roles:
        - machacekondra.ovirt-aaa-ldap

Lizenz

BSD

Autoreninformation

Ondra Machacek (@machacekondra)