oVirt AAA LDAP

Ce rôle déploie la configuration LDAP pour oVirt AAA.

Exigences

Juste Ansible.

Variables du Rôle

• aaa_profile_type : Définit le type de profil, l'un des suivants :

  • 389ds
  • iplanet
  • rfc2307-389ds
  • rfc2307-générique
  • rfc2307-openldap
  • rfc2307-rhds
  • ad
  • ipa
  • openldap
  • rfc2307-edir
  • rhds

• aaa_user : Utilisateur qui doit être utilisé pour rechercher des utilisateurs pour l'autorisation.

• aaa_password : Mot de passe de l'utilisateur de recherche.

• aaa_profile_name : Nom du profil (visible sur la page de connexion).

• aaa_ldap : Liste des serveurs LDAP ou domaine LDAP. Quand plusieurs serveurs sont spécifiés, une politique de basculement sera utilisée.

• aaa_ldap_is_domain : Indique si aaa_ldap est un domaine avec des serveurs découverts via des enregistrements SRV ou non. La valeur par défaut est faux (à l'exception du type de profil aaa_profile_type défini sur ad, où la valeur par défaut est vrai).

• aaa_base_dn : DN de base personnalisé au cas où l'utilisateur voudrait définir une valeur spéciale.

• aaa_legacy_api_authn : Indique s'il faut inclure /ovirt-engine/api parmi les chemins qui déclenchent l'authentification HTTP (c'était nécessaire avant oVirt 4.0). Désactivé par défaut.

• aaa_sso_keytab : Chemin vers le keytab sur la machine de contrôle Ansible qui stocke le principal à utiliser pour le SSO. Ce paramètre ou aaa_sso_remote_keytab est requis si le SSO doit être déployé. Le keytab sera copié dans /etc/httpd/http.keytab.

• aaa_sso_remote_keytab : Chemin vers un keytab déjà présent sur la machine cible. Doit être accessible et lisible par Apache.

Par exemple, pour obtenir un keytab HTTP pour l'engin oVirt dans IPA, utilisez la commande suivante :

$ ipa-getkeytab --server=ipa.example.com --principal=HTTP/ovirt.example.com --keytab=ovirt.keytab

Dépendances

Aucune.

Exemple de Playbook

Voici un exemple de déploiement IPA avec un serveur unique :

    - name: Déployer oVirt AAA IPA
      hosts: localhost
      gather_facts: no
      vars:
        aaa_profile_type: ipa
        aaa_user: uid=search,cn=users,cn=accounts,dc=example,dc=com
        aaa_password: motdepasse
        aaa_profile_name: ipa
        aaa_ldap:
          - ldap.example.com
    
      roles:
        - machacekondra.ovirt-aaa-ldap

Voici un exemple de déploiement IPA avec des serveurs de basculement :

    - name: Déployer oVirt AAA IPA avec basculement
      hosts: localhost
      gather_facts: no
      vars:
        aaa_profile_type: ipa
        aaa_user: uid=search,cn=users,cn=accounts,dc=example,dc=com
        aaa_password: motdepasse
        aaa_profile_name: ipa
        aaa_ldap:
          - ldap1.example.com
          - ldap2.example.com
    
      roles:
        - machacekondra.ovirt-aaa-ldap

Voici un exemple de déploiement IPA avec SSO :

    - name: Déployer oVirt AAA IPA SSO
      hosts: localhost
      gather_facts: no
      vars:
        aaa_profile_type: ipa
        aaa_user: uid=search,cn=users,cn=accounts,dc=example,dc=com
        aaa_password: motdepasse
        aaa_profile_name: ipa
        aaa_ldap:
          - ldap1.example.com
          - ldap2.example.com
        aaa_sso_keytab: /chemin/vers/ovirt.keytab
    
      roles:
        - machacekondra.ovirt-aaa-ldap

Licence

BSD

Informations sur l'Auteur

Ondra Machacek (@machacekondra)