Плагин FreeIPA для клонирования ролей в ALD Pro

Описание

Плагин для FreeIPA, позволяющий создавать новые роли в системе ALD Pro на основе существующих через API с использованием Kerberos-аутентификации. Плагин выполняет полный цикл клонирования роли:

• Проверка Kerberos-билета
• Аутентификация в ALD Pro
• Получение данных исходной роли
• Создание новой роли
• Обновление параметров роли
• Активация роли (опционально)

Требования

• Установленный и настроенный ALD Pro сервер
• Действующий Kerberos-билет (выполнить kinit <username>)
• Доступ к серверу ALD Pro по HTTPS
• Права доступа для создания ролей в ALD Pro

Установка плагина

1. Скопируйте файл плагина в директорию плагинов FreeIPA на контроллере домена ALD Pro:

cp plugin_without_req.py /usr/lib/python3/dist-packages/ipaserver/plugins/

1. Перезапустите службу IPA:

sudo ipactl restart

1. Проверьте доступность команды:

ipa role-clone --help

Использование

Базовый синтаксис

ipa role-clone --srcrole="Исходная роль" --newrole="Новая роль" --server=<URL сервера ALD Pro>

Обязательные параметры

Опциональные параметры

Примеры использования

Пример 1: Простое клонирование роли

ipa role-clone --srcrole="ALDPRO - Automation Tasks Administrators" --newrole="New Role" --server="aldprodc2.ald.pro"

Пример 2: Клонирование с указанием OU

ipa role-clone --srcrole="ALDPRO - Automation Tasks Administrators" --newrole="New Role OU1" --targetou="ou=ou1,ou=ald.pro,cn=orgunits,cn=accounts,dc=ald,dc=pro" --server="aldprodc2.ald.pro"

Пример 3: Клонирование с кастомным описанием и неактивным статусом

ipa role-clone --srcrole="ALDPRO - Automation Tasks Administrators" --newrole="New Role" --description="Тестовая роль для отдела IT" --status="inactive" --server="aldprodc2.ald.pro"

Пример 4: Полный пример со всеми параметрами

ipa role-clone --srcrole="ALDPRO - Automation Tasks Administrators" --newrole="New Role IT Dept" --targetou="ou=it,ou=ald.pro,cn=orgunits,cn=accounts,dc=ald,dc=pro" --description="Роль для автоматизации задач отдела IT" --status="active" --server="aldprodc2.ald.pro"

Формат OU (Organizational Unit)

OU указывается в формате Distinguished Name (DN). Примеры:

ou=buh,ou=ald.pro,cn=orgunits,cn=accounts,dc=ald,dc=pro
ou=it,ou=company,cn=orgunits,cn=accounts,dc=example,dc=com

Работа с Kerberos

Получение Kerberos-билета

Перед использованием плагина необходимо получить Kerberos-билет:

kinit <username>

Проверка билета

Убедитесь, что билет действителен:

klist

Примечания

1. Аутентификация: Плагин использует Kerberos-аутентификацию (SPNEGO). Убедитесь, что у вас есть действующий билет.
2. Имена ролей: Имена ролей с пробелами должны быть заключены в кавычки.
3. Права доступа: Убедитесь, что пользователь, от имени которого выполняется команда, имеет права на создание ролей в ALD Pro.
4. Статус роли: При создании неактивной роли (--status=inactive) активация не выполняется.
5. Логирование: Все операции логируются сервером ALD Pro в соответствующих логах.

Обработка ошибок

Плагин предоставляет подробные сообщения об ошибках:

• Отсутствие Kerberos-билета
• Ошибки аутентификации
• Ненайденная исходная роль
• Ошибки создания/обновления роли