oVirt AAA LDAP

この役割はoVirt AAA LDAPの設定をデプロイします。

要件

Ansibleが必要です。

役割の変数

• aaa_profile_type: プロファイルの種類を定義します。次のいずれかを選択します：

  • 389ds
  • iplanet
  • rfc2307-389ds
  • rfc2307-generic
  • rfc2307-openldap
  • rfc2307-rhds
  • ad
  • ipa
  • openldap
  • rfc2307-edir
  • rhds

• aaa_user: 認証のためにユーザーを検索する際に使用されるユーザー。

• aaa_password: 検索ユーザーのパスワード。

• aaa_profile_name: プロファイルの名前（ログインページで表示される）。

• aaa_ldap: LDAPサーバーまたはLDAPドメインのリスト。複数のサーバーが指定されている場合、フェイルオーバーポリシーが適用されます。

• aaa_ldap_is_domain: aaa_ldapがSRVレコードで発見されたサーバーのドメインかどうか。デフォルトはfalse（aaa_profile_typeがadの場合、デフォルトはtrue）。

• aaa_base_dn: 特別な設定を希望する場合のカスタムベースDN。

• aaa_legacy_api_authn: /ovirt-engine/apiがHTTP認証をトリガーするパスに含まれるかどうか（oVirt 4.0以前は必要でした）。デフォルトで無効。

• aaa_sso_keytab: SSOに使用するプリンシパルを保存するためのansibleコントロールマシン上のkeytabのパス。このパラメータまたはaaa_sso_remote_keytabは、SSOをデプロイする場合に必要です。Keytabは/etc/httpd/http.keytabにコピーされます。

• aaa_sso_remote_keytab: ターゲットマシンにすでに存在するkeytabのパス。Apacheによってアクセス可能で読み取れる必要があります。

例えば、IPAでoVirtエンジンのHTTP keytabを取得するには、次のコマンドを使用します：

$ ipa-getkeytab --server=ipa.example.com --principal=HTTP/ovirt.example.com --keytab=ovirt.keytab

依存関係

なし。

サンプルプレイブック

単一サーバーでIPAをデプロイする例：

    - name: oVirt AAA IPAをデプロイ
      hosts: localhost
      gather_facts: no
      vars:
        aaa_profile_type: ipa
        aaa_user: uid=search,cn=users,cn=accounts,dc=example,dc=com
        aaa_password: password
        aaa_profile_name: ipa
        aaa_ldap:
          - ldap.example.com
    
      roles:
        - machacekondra.ovirt-aaa-ldap

フェイルオーバーサーバーでIPAをデプロイする例：

    - name: oVirt AAA IPAフェイルオーバーをデプロイ
      hosts: localhost
      gather_facts: no
      vars:
        aaa_profile_type: ipa
        aaa_user: uid=search,cn=users,cn=accounts,dc=example,dc=com
        aaa_password: password
        aaa_profile_name: ipa
        aaa_ldap:
          - ldap1.example.com
          - ldap2.example.com
    
      roles:
        - machacekondra.ovirt-aaa-ldap

SSOでIPAをデプロイする例：

    - name: oVirt AAA IPA SSOをデプロイ
      hosts: localhost
      gather_facts: no
      vars:
        aaa_profile_type: ipa
        aaa_user: uid=search,cn=users,cn=accounts,dc=example,dc=com
        aaa_password: password
        aaa_profile_name: ipa
        aaa_ldap:
          - ldap1.example.com
          - ldap2.example.com
        aaa_sso_keytab: /path/to/ovirt.keytab
    
      roles:
        - machacekondra.ovirt-aaa-ldap

ライセンス

BSD

著者情報

Ondra Machacek (@machacekondra)