IPA - Revision history

Rens at 19:57, 24 September 2018

2018-09-24T19:57:44Z

Samh at 18:42, 16 March 2018

2018-03-16T18:42:39Z

Samh at 18:42, 16 March 2018

2018-03-16T18:42:06Z

Samh at 11:41, 12 March 2018

2018-03-12T11:41:13Z

Juriaan at 19:00, 26 February 2018

2018-02-26T19:00:32Z

Samh at 18:37, 26 February 2018

2018-02-26T18:37:11Z

Samh at 18:36, 26 February 2018

2018-02-26T18:36:41Z

Juriaan at 18:32, 26 February 2018

2018-02-26T18:32:36Z

Albertp: /* Client installatie */ iets meer tekst bij sudo en hbac

2017-01-23T19:06:04Z

‎Client installatie: iets meer tekst bij sudo en hbac

Albertp: gebruik toegevoegd

2017-01-23T18:52:06Z

gebruik toegevoegd

@@ Line 7: / Line 7: @@
 FreeIPA aims to provide support not just for Linux and Unix based computers but ultimately Microsoft Windows and Apple Macintosh computers also.
-De webinterface van de IPA van A-Eskwadraat is te benaderen via [http://ipa01.a-eskwadraat.nl http://ipa01.a-eskwadraat.nl]. Hiervoor moet je wel op het netwerk van A-Eskwadraat zitten, dit is niet van buiten af te benaderen.
+De webinterface van de IPA van A-Eskwadraat is te benaderen via [http://ipa05.a-eskwadraat.nl http://ipa05.a-eskwadraat.nl]. Hiervoor moet je wel op het netwerk van A-Eskwadraat zitten, dit is niet van buiten af te benaderen.
 == Server installatie ==

@@ Line 113: / Line 113: @@
 Sommige instellingen, bijvoorbeeld de home directory van een user, zijn als sysop-user niet aan te passen. Hiervoor moet je inloggen als admin. Dit doe je via de webinterface of via de terminal met het volgende command:
 kinit admin
 === Host-based access control ===

@@ Line 112: / Line 112: @@
 Op de webinterface van IPA zijn alle eigenschappen van gebruikers en groepen te wijzigen onder het tabblad "Identity". Dit spreekt redelijk voor zich. Bij "Policy" zijn host-based access control en sudoregels in te stellen.
-Sommige instellingen, bijvoorbeeld de home directory van een user, zijn als sysop-user niet aan te passen. Hiervoor moet je inloggen als admin.
+Sommige instellingen, bijvoorbeeld de home directory van een user, zijn als sysop-user niet aan te passen. Hiervoor moet je inloggen als admin. Dit doe je via de webinterface of via de terminal met het volgende command:
 === Host-based access control ===

← Older revision		Revision as of 11:41, 12 March 2018
Line 129:		Line 129:
	Als ext4 read only is dan staat het filesysteem van ipa01 in read only en moet je de vm opnieuw opstarten ("reboot now"). Wanneer de vm herstart is staat het filesysteem weer in read write (rw). De database van ipa is nog corrupt en daarom kunnen we ipa niet in een keer starten. Eerst moeten we de directory service los starten dit kan met het volgende commando:		Als ext4 read only is dan staat het filesysteem van ipa01 in read only en moet je de vm opnieuw opstarten ("reboot now"). Wanneer de vm herstart is staat het filesysteem weer in read write (rw). De database van ipa is nog corrupt en daarom kunnen we ipa niet in een keer starten. Eerst moeten we de directory service los starten dit kan met het volgende commando:
	/usr/sbin/start-dirsrv		/usr/sbin/start-dirsrv
		+
		+	Als dit zonder errors wordt afgerond moeten we de directory service weer stoppen, dit kan met het volgende commando:
		+	/usr/sbin/stop-dirsrv
		+
		+	Nadat dit zonder errors is afgerond moeten we ipa starten. Dit doen we met het volgende commando:
		+	ipactl start
		+
		+	Op het moment dat er errors zijn bij het opstarten van de directory service moet er helaas een backup worden teruggezet. Dit wordt gedaan door het volgende te doen:
		+	Hier moet nog komen hoe je een backup terugzet

@@ Line 124: / Line 124: @@
 === Wat te doen als ipa01 eruit ligt ===
-Eerst log je in als root op ipa01 (met de sysop key). De directory service raakt corrupt en dan komt wordt het filesystem read only. Met het volgende command kan je controleren of het filesystem inderdaad read only is:
+Eerst ssh je naar ipa01 als root (met de sysop key).  De directory service raakt corrupt en dan komt wordt het filesysteem read only (ro). Met het volgende command kan je controleren of het filesystem inderdaad read only is:
    grep "\sro[\s,]" /proc/mounts

← Older revision		Revision as of 18:37, 26 February 2018
Line 113:		Line 113:

	Sommige instellingen, bijvoorbeeld de home directory van een user, zijn als sysop-user niet aan te passen. Hiervoor moet je inloggen als admin.		Sommige instellingen, bijvoorbeeld de home directory van een user, zijn als sysop-user niet aan te passen. Hiervoor moet je inloggen als admin.
−

	=== Host-based access control ===		=== Host-based access control ===

← Older revision		Revision as of 18:36, 26 February 2018
Line 111:		Line 111:

	Op de webinterface van IPA zijn alle eigenschappen van gebruikers en groepen te wijzigen onder het tabblad "Identity". Dit spreekt redelijk voor zich. Bij "Policy" zijn host-based access control en sudoregels in te stellen.		Op de webinterface van IPA zijn alle eigenschappen van gebruikers en groepen te wijzigen onder het tabblad "Identity". Dit spreekt redelijk voor zich. Bij "Policy" zijn host-based access control en sudoregels in te stellen.
		+
		+	Sommige instellingen, bijvoorbeeld de home directory van een user, zijn als sysop-user niet aan te passen. Hiervoor moet je inloggen als admin.
		+

	=== Host-based access control ===		=== Host-based access control ===

← Older revision		Revision as of 18:32, 26 February 2018
Line 119:		Line 119:

	Sudoregels staan toe dat een gebruiker een commando uitvoert als iemand anders. Het geeft gebruikers de mogelijkheid om commando's namens hun commissies uit te voeren, of sysop om overal sudo te gebruiken om root te worden. Deze zijn in de webinterface in te stellen bij Policy > Sudo. Een regel bestaat uit: welke gebruiker(s), welke computer(s), welke commando(s) en als welke gebruiker(s). Verder kunnen er opties worden toegevoegd, deze zijn gelijk aan opties die gewoonlijk in sudoers ingesteld kunnen worden, zoals !authenticate die bepaalt dat er geen wachtwoord ingevoerd hoeft te worden voor die regel.		Sudoregels staan toe dat een gebruiker een commando uitvoert als iemand anders. Het geeft gebruikers de mogelijkheid om commando's namens hun commissies uit te voeren, of sysop om overal sudo te gebruiken om root te worden. Deze zijn in de webinterface in te stellen bij Policy > Sudo. Een regel bestaat uit: welke gebruiker(s), welke computer(s), welke commando(s) en als welke gebruiker(s). Verder kunnen er opties worden toegevoegd, deze zijn gelijk aan opties die gewoonlijk in sudoers ingesteld kunnen worden, zoals !authenticate die bepaalt dat er geen wachtwoord ingevoerd hoeft te worden voor die regel.
		+
		+	=== Wat te doen als ipa01 eruit ligt ===
		+
		+	Eerst log je in als root op ipa01 (met de sysop key). De directory service raakt corrupt en dan komt wordt het filesystem read only. Met het volgende command kan je controleren of het filesystem inderdaad read only is:
		+	grep "\sro[\s,]" /proc/mounts

@@ Line 70: / Line 70: @@
 === sudo ===
-Zie [[Sudo|sudo]].
+Om sudoregels te gebruiken op systemen ouder dan CentOS 7, zie [[Sudo]].
 === httpd ===
-Zie [[HBAC]].
+Om in websites IPA te gebruiken is het nodig een PAM- en HBAC-service toe te voegen. Zie ook [[HBAC]].
 == Schema ==

← Older revision		Revision as of 18:52, 23 January 2017
Line 107:		Line 107:
	*<s>ipa02 <=> ipa03</s>		*<s>ipa02 <=> ipa03</s>
	[[Category:Software]] [[Category:Sysop]]		[[Category:Software]] [[Category:Sysop]]
		+
		+	== Gebruik ipa ==
		+
		+	Op de webinterface van IPA zijn alle eigenschappen van gebruikers en groepen te wijzigen onder het tabblad "Identity". Dit spreekt redelijk voor zich. Bij "Policy" zijn host-based access control en sudoregels in te stellen.
		+
		+	=== Host-based access control ===
		+
		+	Op alle clients waar ipa is geïnstalleerd, wordt bij het inloggen sssd gebruikt om te authenticeren. Deze controleert op de ipa server of de gebruiker op die machine mag inloggen. Het is gewone gebruikers bijvoorbeeld alleen toegestaan om in te loggen op workstations, niet op virtuele machines en een aantal daarvan zijn wel ipa client. Bij Policy > Host-based Access Control in de IPA webinterface zijn de regels in te stellen die bepalen wie waar mag inloggen. Een regel bevat: de gebruikers waarvoor deze van toepassing is, de computers waarop deze van toepassing is, en de services waarmee ingelogd kan worden. Bij alle drie is er een optie om alles/iedereen toe te staan.
		+
		+	=== Sudoregels ===
		+
		+	Sudoregels staan toe dat een gebruiker een commando uitvoert als iemand anders. Het geeft gebruikers de mogelijkheid om commando's namens hun commissies uit te voeren, of sysop om overal sudo te gebruiken om root te worden. Deze zijn in de webinterface in te stellen bij Policy > Sudo. Een regel bestaat uit: welke gebruiker(s), welke computer(s), welke commando(s) en als welke gebruiker(s). Verder kunnen er opties worden toegevoegd, deze zijn gelijk aan opties die gewoonlijk in sudoers ingesteld kunnen worden, zoals !authenticate die bepaalt dat er geen wachtwoord ingevoerd hoeft te worden voor die regel.