????
Your IP : 216.73.217.139
�� �
�n y �� �' �' 8 �' �' X �' C L( ! �( / �( $ �( 7 ) M ?) � �) � ]- $ . 4 <. D q. & �. A �. / ! 10 S0 � k0 K F1 p �1 x 2 2 |2 W �2 _ 3 - g3 ) �3 2 �3 N �3 V A4 G �4 : �4 = 5 g Y5 ] �5 H 6 D h6 L �6 s �6 � n7 n _8 X �8 0 '9 \ X9 r �9 m (: ` �: U �: W M; P �; � �; v �< ^ = { q= � �= L �> Z �> � 0? � �? � �@ � A �B q D � �D g >F O �F m �F � dG v H � �H s I � �I � 0J { �J V YK h �K � L � N � �N � %O w �O > PP a �P 3 �P � %Q : �Q 2 R K ER ^ �R z �R [ kS | �S � DT � �T T �U e �U o eV | �V 7 RW > �W O �W n X < �X g �X q -Y 9 �Y K �Y P %Z � v[ � \ 5 �\ U ] � l] v 9^ U �^ � _ 5 �` � a �a � b � �b P Qc L �c w �c c gd � �d � Pe � �e � �f � #g � �g � hh � i ^ k � sk ] ;l Z �l 7 �l Z ,m � �m 8 n 9 Wn n �n � r �r t � u � �u �v � �w 1 dx } �x y a !y � �| � ~ � � � ~� � � Ё 6
� n � x �� ? � � G� � � \ �� � � �� o � \ �� ߟ � �� ǡ . ӡ E � � H� � , ?� � l� � ^� � B� � 2� � P� "� p 2� ? �� �� ��
�� u � � ~� � :� *� � B� �� K �� p #� ' �� �� �� �� � � 0� % K� � q� � N� =� � M� � 4� � � � [ � � 2�
� � � � � K ^ � � * d
�
l �
'
; � Y \ R H � k � \ d � � � � � v � F! [ �& � W/ � �6 # �8 � Q � �Q � �R � qS CT � PT � U � �U q nV t �W � UX x =Y C �Y S �Y # NZ � rZ � b[ W` `` oa �c �c �c R �c #
d 1d Ld ld �d �d �d �d �d e e 8e ! Qe se �e �e �e �e f !f ;f % [f �f ! �f p �f � .g , �g 2 "h * Uh : �h H �h 8 i J =i > �i 4 �i < �i > 9j : xj 8 �j L �j F 9k J �k > �k 8
l F Cl @ �l J �l @ m < Wm : �m 0 �m . n 8 /n 6 hn : �n 0 �n 8 o 4 Do 0 yo . �o / �o 4 p < >p T {p X �p 4 )q E ^q 0 �q . �q r 0 r < Ir A �r �r
�r �r �r s E s ^ cs 8 �s �s ! t 8 &t - _t �t �t �t �t
u 2 u L Fu �u �u �u �u
�u �u �u v .v Lv lv ~v �v �v �v �v �v �v w w :w Tw pw sw }w �w �w �w �w �w �w
x 0 (x ' Yx �x 6 �x 7 �x % y -y :y X Sy " �y �y � �{ � �} q � 2 � G � F
� ) Q� & {� �� �� ۀ �� ' � % E� . k� ( �� ) Á . � � 1� / H� . x� P �� �� P � 3 R� �� ��
�� �� �� у ݃ � " �
� � /� L� Q� ^ Z� �� Ȅ w ݄ U�
d� r� � x ��
� �
� #� 2� E� V� b� l� t� �� �� �� Ć ̆ ! Ն �� � % &� 0 L� }� - �� 2 ɇ �� 0 � F� S� _� c� x� # �� �� Έ % �� � 3� P� n� �� �� �� ȉ � �� � .� J� g� }� �� �� Ê � � � " %� H� ( ^� �� 8 �� 0 Ћ 9 � \ ;� �� �� Ќ
� � �� ; � % Z� ��
�� = �� ! ڍ / �� $ ,� ' Q� . y� 0 �� " َ �� � 0� K� g� ~� % �� E �� � ! � $ A� % f� 8 �� . Ő � � ,�
L� Z� t� �� �� , Ƒ 0 � < $� . a� ) �� ( �� � + �� , $� ! Q� % s� 1 �� % ˓
� �� 2 � K� # d� �� �� $ Ô � � � ;� Z� % v� " �� �� $ ޕ � " � ! B� ( d� �� $ �� Җ & � 0 � 3 J� & ~� ! �� Ǘ � �� � /� J� % k� 6 �� 1 Ș �� � 3� J� d� �� ) �� + ƙ � # � ! 3� U� l� �� ! �� �� ֚ � � � 0� :� . >� * m� @ �� ٛ ߛ $ � : � N� \ e� 2 ߜ � D � P c� �� 5 Ý J �� M D� L �� O ߞ /� >� U� n� 3 �� �� П �
� / �� 0 -� ^� + � � �� F :� * �� �� �� ơ ҡ ܡ � � �� � � � � �� 0� " 6� Y� n� ( }� �� $ �� Y � , @� 1 m� ? �� * ߤ 1
� + <� 2 h� * �� 1 ƥ 1 �� B *� + m� 0 �� ) ʦ . � @ #� / d� / �� 2 ħ �� 7 �� 7� - H� * v� 5 �� ר
� � Q �
U� `� � |� | � 0 �� / �� � * �� * &� 5 Q� + �� �� �� ȫ � �� � .� $ N� s� �� ! �� ��
~ �
d� o� , � * ��
� � �� � -�
A� O� ^� r� �� �� �� ̮ ֮ � � �� � 9� K� f� n� �� 1 �� Ư " � #
� .� " O� r� �� % �� 8 �� � ! �� !� $� 8� ?�
G� U� > a� �� �� α � * � � !� 7� L� Y� e� , }� # �� β ڲ � � V �� V� Z� 5 a� * �� D ³ _ � + g� � �� � "� �� � =� � Ѷ ( Y� & �� & �� � з ? S� ! �� ) �� ߸ � �� � ,� B� S� l� �� �� �� Ĺ ݹ � ( � # )� # M� 4 q� & �� ͺ I � ( -� V� f� s� �� �� �� ͻ � � � & #� 2 J� }� 8 �� Ѽ ּ O ܼ ,� 2 ?� 1 r� @ �� � � � � � % +� & Q� x� $ �� �� �� Ӿ ܾ " � $ �
0� >� } S� / ѿ � � ?� R� _� # l� �� �� � & � H � I ;� �� $ �� C �� � � ' � E� R� g� � �� �� �� �� " � % .� ' T� |� �� �� �� �� ! ��
� ,� E� [� ) j� �� �� �� ' �� i �� f� �� �� �� �� ��
��
�� �� �
� ) "� < L� 4 �� 3 �� �� # � -� :� G� K� \� n� ; �� �� ��
�� �� � � � .� 7 8� p� z� �� ��
�� � �� R� - h� - �� 4 �� A �� - ;� i� }� �� R ��
�� ~ � � �� ! � 3� ?� H� V d� & �� ��
�� 3 �� } .� �� �� ��
�� �� 9 �� \ !� ~� �� �� �� , �� �� �� ? � - I� + w� �� �� �� ! �� �� ( � % @� f� 2 �� �� $ ��
�� �� ' � + ?� . k� ! �� �� �� 1 �� � 0� A�
S� ^� n� z� �� �� �� �� �� �� �
(� 6� Q� f� x� �� �� �� �� �� � )� 8� L� _� t� �� �� ! �� �� �� ��
� 9 � R� a� {� �� �� �� �� �� � � /� C� [� r� �� [ �� �� � 3� Q� j�
��
�� �� ! �� �� �� � � $ :� _� ~� % �� �� �� & � '� C� c� �� �� �� ' �� $ � +� & L� s� $ �� # �� ! �� & �� ! #� E� d� ~� �� �� �� �� � +� F� _� {� �� & �� - �� � # +� O� i� �� �� C �� U �� @ N� �� �� �� �� �� $ �� # �� 0 !� R� d Y� A �� C � D� ! Z� |� �� ) �� �� �� �� � � � .� @ B� �� �� �� �� �� �� �� ! � .� : H� E ��
�� 7 �� � � % 4� Z� x� % �� �� �� �� ! � ! .� M P� P �� O �� R ?� �� �� �� �� �� ' � (� B� a� & {� , �� - �� 2 �� 0 0� + a� . �� $ �� ' �� ' � ! 1� & S� ( z� : �� < �� % � ' A� & i� " �� ! �� 4 �� '
� " 2� ! U� , w� " �� / �� 0 �� * (� % S� ) y� * �� ) �� ' �� . � - O� * }� C �� �� W �� + Q� " }� # �� �� 0 �� 2 � ' H� 2 p� �� & �� F �� . (� + W� P �� ) ��
�� � � @ '� h� t� �� E �� ��
�� � '� < B� � �� �� $ �� �� + �� � � 4� L� [� `� o�
�� �� ��
�� �� �� �� �� � � 2� G� h� # ~� �� �� �� $ �� �� � $ 2� W� n� �� �� �� �� ��
� � ! (� J� W d� V �� � -� 3� K� ^� u� , �� �� � * � ) � 8� U� - r� I �� f � Q� a� z� �� �� �� ��
��
� & �
�� � ; � L� 4 k�
�� : �� 6 �
� .� >� , M� z�
�� �� �� �� ! � ��
� � 1�
@� N� ^� |� ��
�� �� T � .� R I� ? �� 3 � 1 � B� ^� y� �� �� � � � � 5� L� k� # �� �� $ � � � < � U� 0 q� , �� � 0 � + B Y F _ % �
�
� � I � C [ % { & � ( � & � ) " B % e $ � " � � ! � ; $ ` g � ! � � � � � �
� � ; # ( _ $ � % �
� � $ � F = V J � � & � 5 I . ^ 3 � � �
� � X , q �
� � � � � � � � � ( � ' 8 4 m 1 �
� � � ! �
s 0
T �
�
$ * D T f
y �
� � �
� � � � "
4 " B e l ! � � � 7 �
1
E
S
]
g
. �
�
�
�
�
�
* E
c q �
� � � � �
% * / P
� � � = � � � � % A ? �
� � � $ � & �
, O : � ! � � � * � 2 $ H m � 3 � � " �
� � � � d m } � � � ; � > $ V ' { � � " � , � + 4 > F S k � � � � � � � A � � �
� ; � + � � ! : P _ o � � � � �
� l � u `
� � � U v � � � �
�
� * � # # 7 [ o ) � . � / � -
;
E S c l @ ~ @ � 0 1 F ] 3 w � � � �
3 & N u / � � � � � ! ( ! 1 H!
z! �! �! �! * �! �! �! " " '" >" Z" p" �" �" �" �" �" # # +# @# V# # _# �# . �# , �# Q �# P @$ �$ J �$ �$ # % -% ?% \% |% $ �% �% 3 �% + & .& A& Q& W& a& k& u& % �& �& # �& �& �& �&
' 4 ' F' P'
c' n' �'
�' �' D �' �' ( & ( ) @( j( �( I �( ' �( 4 ) # H) l) �) L �) �) % * (* ,* ;* C* J* 0 [* �* + �* �* % �* �*
�* % + /+ X ;+ �+ �+ �+ �+ �+ �+
, ", ;, P, f, {, �, �,
�, �, �, $ �, �, - - + 0- \- % f- ' �- " �- �- �- �- -
. 8. P. n. 2 �. X �. / / A @/ , �/ �/ �/ �/
�/ �/ �/ 0 0 0 &0 -0
:0 H0 R0 b0 o0 ) �0 & �0 �0
�0 �0 1 = 1 T1 i1 q1 z1 ~1 + �1 �1 �1
�1
�1 �1 �1 2
2 2 D (2 H m2 �2 ( �2 �2 " 3 3 83 5 l3 : �3 ? �3 # 4 A4 a4 w4 �4 �4 �4 �4 �4 �4 5 5 15 F5
R5 `5 s5 �5 �5 �5 �5 �5 �5 �5 �5 6 6 26 H6 X6 j6 ; w6 �6 ! �6 ( �6 V 7 4 u7 �7
�7 �7 �7 �7 # 8 $ /8 T8 j8 �8 �8 �8 �8 , �8 9 9 89 I9 c9 |9 �9 �9 ( �9 �9 �9 �9 ( : B: b: ! �: ' �: �: ! �: ; +; ( J; % s; ! �; ' �; �; ) < ,< # L< ( p< $ �< " �< " �< = $= ?= Y= x= �= �= �= �= > -> J> $ j> C �> �> �> ? ? ;? G? ) `? �? �? �? �? �? ! @ 3@ N@ c@ u@ �@ �@ �@ �@ �@ A &A 6A JA ]A rA �A �A ! �A �A �A �A B B 4B IB gB B �B �B �B �B �B C 2C PC " qC �C ) �C ' �C D D P =D �D �D " �D �D �D = �D 2E EE QE ]E nE �E
�E �E �E 2 �E �E F }
F / �F �F �F �F J �F 1G 6G RG lG G �G �G 4 �G �G A H 9 VH � �H I ,I 9I BI TI
iI wI �I �I �I �I �I �I �I �I J ' (J PJ cJ tJ �J ' �J / �J e �J n DK �K �K �K �K L !L 1L GL `L - zL - �L 3 �L
M M 'M GM _M �M �M ) �M �M �M L �M JN PN
ZN eN yN �N �N C �N O 5 $O ZO lO O �O �O �O 8 �O * P ;P - VP + �P �P �P �P �P Q .Q LQ eQ �Q u �Q ' R ;R >R BR TR ^R
qR |R �R �R
�R 3 �R 2 �R 4 S 3 OS �S �S �S , �S �S T + T i LT 8 �T �T U U 'U 4U J AU d �U b �U V TV �V 4 �V 2 �V > W ; ZW G �W = �W X = "X `X jX wX �X �X �X �X �X �X �X Y Y . ,Y [Y kY � �Y Z -Z
IZ WZ ]Z fZ sZ �Z �Z �Z �Z �Z �Z �Z �Z
�Z [ [
[
[ = ([ f[ r[ ' {[ �[ �[ 2 �[ ( �[ !\ :\ N\ d\ " }\ ! �\ �\ �\ �\ � ] ^ � !^ w �^ � E_ u �_ 8 e` . �`
�` �` �` a %a 5a Ia > Za �a 5 �a 3 �a b % *b Pb fb 7 ob �b ! �b �b �b �b . c 4c 5 Hc
~c C �c �c P �c 1d @d Pd Ud 8 fd �d �d < �d u �d E me ; �e 8 �e (f 7f Sf B of + �f �f : �f $ "g Gg Qg dg xg �g
�g
�g G �g ( �g $h # 5h Yh / oh �h �h �h �h �h
�h 5 i # 6i R Zi �i d �i .j & :j aj hj
�j �j �j �j �j �j �j k k 7 >k vk �k �k �k
�k
�k
�k �k
�k �k �k
l l ,l =l Ol al ql �l �l �l �l �l �l �l �l m m )m :m Lm \m km }m �m �m �m �m �m �m �m n > n * Rn
}n 0 �n
�n
�n �n �n �n * o ` 3o �o �o 0 �o & �o & p = Dp �p �p �p �p �p �p �p �p �p q q 5 'q ]q oq � �q 9 Mr ( �r �r �r �r G �r :s Ts js ( |s " �s ; �s 3 t # 8t \t " }t # �t > �t * u : .u iu �u $ �u �u 2 �u ' �u * v 3 Hv 5 |v . �v ' �v w &w Gw gw �w �w * �w ; �w 1 'x % Yx x $ �x ( �x % �x y .y 4 My �y 3 �y 1 �y 5 z A =z . z / �z & �z * { 6 0{ ( g{ % �{ 4 �{ * �{ 4 | 7 K| * �| % �| ; �| 8 } 5 I} % } > �} �} �} ~ # ~ # 5~ Y~ s~ " �~ �~ �~ �~ , 2 ~ > � � 6 � < ,� 8 i� Q ��
� �� � 7� N� ]� f� u� �� 3 �� ˁ Ձ � �� ( � C >� �� �� �� �� 1 �� 8 � < '� 8 d� = �� ; ۃ @ � > X� 8 �� > Є 9 � : I� G �� ̅ ԅ ! � J � + _� % �� # �� * Ն � � 1 &� / X� M �� \ և 3� K� R� d� k� �� �� & ��
�� $ Έ
� & �� %� @ ,� m�
r� �� �� �� A �� މ � � �� � 5 � L� Y�
b� ( p� + �� Ŋ ڊ � ( � ,� 9� ' M� u� 5 �� 4 �� 3 � � 2� B� O� `� v� �� < �� / ܌ / � 0 <� m� �� �� �� �� Í % ڍ 7 � s 8� 9 �� �
�� �
� � #� 4� K� c� y� �� ��
��
�� �� Ǐ
ԏ
ߏ
� �� � � /� ?� O� a� x� 4 �� �� �� ̐ ѐ ؐ � � K � N j� 2 �� � � � 1� O� i� # �� �� �� ֒ 2 � #� ;� T� j� �� �� ɓ � �� % � 6� ! W� y� �� �� ˔ ! �
� '� D� `� u� ! �� �� # ͕ � � � 1 3� 2 e� 5 �� / Ζ 4 �� 3� . E� 3 t� - �� 1 ֗ 4 � - =� 1 k� 6 �� 0 Ԙ 4 � 7 :� 0 r� �� �� ҙ � % �� $ � B� Z� x� �� �� ǚ ٚ , � � &� 8� J�
V� a� t� �� �� �� �� Λ ޛ
� �� � � "� :� S� @ e� W �� [ �� Z� d�
k� y�
�� �� > �� � 3 �� 2 )� \� h� t� �� �� ) �� # מ # �� � '� 8� ( L� u� ] }� 4 ۟ � $� 3� C� T� # e� $ �� �� Ơ ߠ �� � '� ! 4� V� h� C �� S ġ � 0� F� J U� C �� D � )�
2� . @� o� � �� �� �� �� � �� 7 J� 7 �� �� ä ߤ � � � � � 5� L� Y� u� �� �� # ȥ � * � 4 7� l� �� / �� æ * צ �
� L � 4 _� �� @ �� � �� � � 5� M� `� m� y� ( ��
�� Ũ � � � "� @� , [� �� ��
�� �� �� ة � � � )� 0� . C� B r� �� Ϫ
ު �
� �� % � % =� c� k� �� �� �� �� �� ҫ � � �
� (� A� T� `�
j�
u� ��
�� �� - �� � � � #� >� H� ! T� v� ��
�� �� �� ֭ + � , � ' J� r� $ ~� �� �� �� Ʈ Ӯ 6 ߮ � 5� R� Z� i� , z� �� ! �� � ӯ 8 ��
ڰ � � � �� ; d� & �� ) Dz " � b � > w� �� 1 γ ) � *� ) H� * r� �� W �� 0 � 4 B� + w� : �� - G � M T� H �� � � j �� L � k� S �� ߸ 1 �� ) ,� 5 V� v �� Z � ! ^� �� ( �� ú � � � * :� 1 e� �� E �� ( �� 5 $� Z� & i�
�� �� 0 �� � �� % � (� :� B� i T� �� ؽ & � � � & >� ! e� �� & �� ˾ � � � � � D /� t� 6 �� Ŀ Կ ( � � %� % *� ' P� x� ~� �� �� ��
�� - �� � � �� = �� - � 8 � O� f� v� �� �� �� * ��
�� �� > �� 0� & B� i� m� z� ~� �� �� * �� �� �� � * � C K� ' �� c �� " � u >� �� - �� # � 9 $� W ^� < �� �� � ' .� V� ( n� & �� , �� �� " � .� 3� <� \� " n� �� �� �� ��
�� �� �� � � *� 6� R� \� l� y� �� �� �� �� * �� A �� 8�
=� H� T� \� 7 k� �� �� �� �� �� ��
� O � j� ! �� ��
�� �� �� �� ! � 0 *�
[� f� p� ��
�� �� �� - �� 9 �� K 2� ~� �� �� �� �� ��
�
� + "� N� ) a� �� , �� �� * ��
� � '� 0� =� L� R� b� s� % �� ��
�� �� �� ��
��
�
�
� +� 2� 9� I� c� k� ~� �� �� ' �� �� & �� �� & � L ?� �� �� c �� f � 0 y� �� �� # �� � �� ^ w� 2 �� 8 � # B� & f� Y �� �� �� �� � � &� " 7� Z� & p� / �� ' �� + �� � 8 :� R s� �� % �� =
� S H� % �� �� �� 4 �� = 0� 3 n�
�� �� �� ��
�� �� � &
� + 1�
]� ! k� " �� ' �� �� �� L � ]� & m� $ �� ! �� P �� Q ,� " ~� ! �� D �� , � H 5� $ ~� # �� �� ? �� � 5� E� h M� % �� �� 4 �� + � / F� v� ) �� # ��
�� �� �� �� $ � ( )� R� Y� r� @ �� 0 �� 4 �� /� ?� L� T� 7 Z� ' �� ) �� S �� 8� U� * ^� * �� # �� ; �� " � " 7� ' Z� �� �� 1 �� � �� $ �� �� �� �� 1 �� �
� ,� M� ^� B c�
�� �� �� �� �� � Z �
g� r� 0 {� X �� � . � ( :� c� p� ��
�� �� �� �� �� ��
� F $� k� �� �� �� �� �� �� ( � 2� " S� v� �� # �� �� �� * �� � /� J� k� �� �� �� �� �� - � . 5� & d� �� �� �� �� �� �� ' � 1� O� e� o� �� �� �� �� �� �� �� � $ � : 7� r� � �� �� �� �� �� �� � $ "� ) G� q� �� �� �� �� �� � % ,� R� l� ! }� �� �� �� Y �� C� M� ^� % r� �� �� 1 �� # � " /� $ R� . w� �� �� % �� W �� B� V� o� �� % �� \ �� % &� C L� A �� �� �� � "� A :� |� P �� , � � T � g� # }� # �� & � � �� � % �
=� % H� n� z� �� + �� �� ( � ' � D � a� k� |� " �� $ ��
� H � 4 -� D b� 1 �� & � � R
� `� r� ~� F �� " � % �� J � 0 j� �� �� �� ��
� � � � O � V� p� �� s �� � "� *� 3� K� d� k� w� �� �� H �� � �� � (� C� 4 L� �� 9 �� � � �
� � = ,� 9 j� ' �� � � �
# ;
E P W ` - o K � # � *
6 8 T o � � � 1
>
L W m � � D � < � 4 1 O � � � � B � " C B . � , � � - = D ^ � u S A b � q � Q 6 . � @ � 0 � K ) Z u � � � ^ / L A | Y � 2 ^ K ^ � ) 3 � P [ * � � � = � j � n = ; � 4 � < k Z o � Q 6 I � ` � v 3 n � S Z m _ � � ( � � � � a 4 8 � q � � A w � k J a � b [ { � � � � v ! � }! � " [ �" h # � �# � 4$ � �$ �% 3 �' � �( � A) } + ^ �+ � �+ � t, | :- � �- { M. � �. � �/ n s0 o �0 � R1 � �1 � �3 � t4 � 5 � �5 @ {6 i �6 C &7 � j7 ? (8 9 h8 Q �8 p �8 � e9 q �9 � g: � �: � �; v �< y &= v �= � > H �> @ �> Q 2? � �? R @ y j@ � �@ R yA _ �A � ,B � �C � WD H SE �E F � $G \ �G
H G J � ^J � K � �K � SL ` 9M b �M �M q }N � �N � |O � P � �P � iQ � 9R � �R � �S u 5V � �V p |W � �W @ rX � �X � 8Y K �Y J !Z ~ lZ 1 �] , _ ] J` � �a � �b ) �c � �d ; De � �e !f - 4f , bj � �l Kn � ^o � -p !
q v /q � �� � B� o � � W� � B� �
� 2 �� Ȓ � ^ � H� c�
y� B �� R ʗ L � � j� � � M �� 3 Ԥ � �
� ` �� �
�� �� � �� Y ?� �� � �� P� � _� � � �� �� � �� c ��
X� � f� : W� �� * �� �� �� � # ,� 1 P� � �� � -� � M �� � E .
� < � �
�
� O � W 4 � 2 � � � � � � # 3 0 W � � ` � | u * � �% � -- k . � �2 � U9 � C � �K �N � �i 9 pj � �k � �l �m � �m � yn
o z +p � �q 1r � 5s 5 �s b �s - ]t N �t �u �{ f | M s} � � � g � 4 ]� $ �� # �� ۀ " �� $ � D� " e� �� " �� $ ́ & � ( � $ A� f� �� �� ł � � ! !� $ C� h� ' �� � �� � 2� 7 � E (� 8 n� I �� { � K m� ` �� J � Y e� e �� Q %� I w� A �� e � i i� b Ӊ L 6� H �� ̊ a L� m �� c � G �� M Ȍ ? � < V� P �� N � F 3� 5 z� F �� ? �� < 7� < t� A �� @ � h 4� w �� u � @ �� [ ̑ G (� H p� �� I ͒ M � K e� ��
œ ӓ � � K � b [� C �� � # � @ /� < p� 2 �� # � ! � ! &�
H� Q S� c �� ' � 1� ;� K� ]� n� $ �� & �� ' ͗ ) �� � 2� G� \� s� �� �� �� ! ˘ # � $ � & 6� ]� `� r� ��
�� �� љ � ) �� & $� B K� * �� �� > ՚ D � 3 Y� �� " �� m �� , *� A W� ( �� > # � %� ? 2� Y r� ` ̣ + -� 0 Y� �� �� ! ¤ " � * � + 2� 9 ^� 4 �� 2 ͥ + � ,� G� F a� @ �� X � B� p S� R ħ � 4� F� % S� y� �� �� �� # �� Ϩ ި ! �� �
� � -� ǩ � � � �� Ϫ ߪ � � � �� ȫ ի � �� � "� 3� @� G� ]� m� ! �� �� �� 2 �� " � � * !� < L� ( �� - �� L � -� < F� �� �� �� �� ! ʮ 6 � - #� Q� < c� 4 �� կ 9 �� + /� [� ' |� - �� " Ұ �� � 5� - R� ; �� % �� " � / � 5� # N� " r� �� �� ղ � 1
� ) <� 2 f� �� M �� ? � ; F� k �� $ � % � 9� X� j� / ~� P �� 5 �� ! 5� W� W j� 2 ¶ D �� 0 :� 2 k� C �� : � 3 � ! Q� * s� ) �� % ȸ � & � 2 6� e i� 3 Ϲ + � 2 /� < b� ] �� < �� : :� - u� ) �� ͻ $ � $ � % ,� ( R� > {� E �� Q � C R� 8 �� - Ͻ �� A � D ]� 4 �� 7 G � 1 W� �� �� E �� # �� > !� & `� & �� 1 �� - � 3 � # B� * f� # �� 3 �� 7 � ( !� 2 J� & }� @ �� 2 �� : � 0 S� 7 �� 2 �� 1 �� B !� > d� 7 �� + �� ' � /� O� ) o� ( �� - �� + �� 8 � E U� % �� $ �� �� � 6 '� ! ^� < �� ; �� 0 �� , *� . W� % �� $ �� �� ) �� � $ 2� W� p� ��
�� �� 4 �� 8 �� U � t� ~� . �� L �� ' � � C� & �� G �� B� T U� a �� � C #� b g� _ �� g *� s �� � � ' :� , b� F �� �� �� � � A � @ _� " �� @ �� � � X �� 4 %� Z� o� x� �� �� �� ��
�� �� � �� � �� I� 6 S� �� �� ) �� * �� 9 � d N� 1 �� E �� O +� 0 {� C �� 2 �� E #� . i� A �� 1 �� P � 8 ]� F �� @ �� P � d o� D �� C � A ]� �� D �� �� : � 8 G� @ �� �� �� �� e �� [� ) e� � �� � 8� 5 �� : � L� - c� / �� 7 �� 0 �� *� 0� A� `� ~� �� . �� 2 �� � ! 3� & U� * |�
�� � �� �� �� H �� P �� F� Z� q� " �� * �� # �� �� � ,� K� i� }� ! ��
�� ! �� �� �� 5
� 6 @� w� % ��
�� & ��
�� 6 �� ( -� & V� ( }� . �� / �� �
!� , /� T \� �� �� �� 6 �� %� 2� ?� L� a \� , �� �� �� � Q � k� {� �� �� �� & �� @ �� 7 ;� s� �� �� �� c �� � � L #� A p� e �� � � 7 �� � �� � �� � K� � �� � �� = W� 7 �� : �� � � P �� 7 '� 4 _� $ ��
�� �� �� � � .� N� c� �� �� �� �� �� + �� * %� " P� B s� 5 �� �� R � 7 S� �� �� �� % �� �� �� � , 5� b� y� / �� ; �� 1 �� O )� y� � c �� � Q � B T� M �� � �� � - � C� ; P� 1 �� �� 7 �
� � 8� B� % L� ' r�
�� �� � �� , \� ' �� ' �� � �
� ' � 6� $ M� r� ( |� H �� O � >� 3 W� ] �� � � @ � P� _� }� 0 �� + � �� , � F� , `� 5 �� 4 � �� # � ;� X� + q� 2 �� + � " �� @ 5 a � � � A � � 2 ) � � ! + M c x
� � � � \ � Q 2 A � F �
B % h t � � � � X � 1 ! R t � � � � � J �
$ A Y r � � 9 7 U 4 � / � Y � J L � & � ! � \ ] � i �
$ �
�
�
�
{ = } � � D � �
� � � �
Q
i g
�
�
�
�
3 I b d � U � U = � & � � . � = ? W = � & � I � F 4 a % � D � 8 9 : ? t 0 � � ( L / | � � � �
� � % � # & 6 . ] + � � ) � � & 8 U m " � � ' � * � ( 0 Y m � � � � � * $ . " S v � U � � & > ' X � 2 � � % � ! ' ' O j � � 4 � s � & b % � + � & � # & ; P / a 0 � � � # 4 % ' Z % � > � ( � ( 3 9 - m 3 � % � + � ' ! % I 3 o : � * � 4 ( > @ g 4 � 3 � 9 4 K ) � " � ! � + � * ! ' F! & n! �! * �! ! �! # " 8 '" # `" < �" ; �" 2 �" 0 0# & a# ' �# - �# " �# Q $ ^ S$ B �$ �$ �$ % %% ?% K% 1 j% E �%
�% x �% Y f& g �& (' ) F' ) p' % �' 3 �' �' �' ( ( ( 2( H( M _( �( ( �( �( �( ) " 2) U) , r) ( �) ? �) R * [* B p* �* % �* 6 �* ' + * D+ ; o+ # �+ # �+ % �+ / , 0 I, b z, c �, g A- h �- - . % @. f. �. �. " �. $ �. ) �. % #/ 3 I/ 7 }/ A �/ G �/ ; ?0 5 {0 8 �0 + �0 / 1 1 F1 ' x1 1 �1 - �1 K 2 C L2 - �2 - �2 , �2 ( 3 ' B3 > j3 8 �3 8 �3 * 4 : F4 - �4 D �4 9 �4 . .5 3 ]5 9 �5 / �5 - �5 / )6 F Y6 E �6 < �6 U #7 y7 ~ �7 * 8 * 08 ) [8 # �8 4 �8 < �8 , 9 I H9 �9 0 �9 W �9 2 6: 1 i: \ �: A �:
:; H; b; [ j; �; �; . �; c < {< �< �< $ �< C �< #= 3= B= 0 a= �= : �= �= �= > ,> C> L> _> s> �> �> �> �> $ �> �> �> ? %? D? ( ]? �? & �? �?
�? ! �? 2 @ # 8@ & \@ 7 �@ �@ �@ 1 �@ , %A RA + rA �A �A �A . �A " B { (B � �B ) 3C ]C eC C 4 �C : �C 6 D =D + DD < pD B �D - �D 3 E J RE t �E � F �F �F �F
�F �F �F �F
G G ; )G
eG pG ] xG ' �G K �G JH e ^H R �H I (I 7I @ VI �I
�I �I �I : �I @ 2J ! sJ �J �J �J �J �J % K ( .K WK jK - �K � �K $ =L _ bL N �L @ M C RM + �M & �M * �M ! N , 6N 3 cN * �N * �N ( �N * O 3 AO ( uO ? �O 5 �O 1 P ) FP pP Q �P . �P E
Q < PQ �Q D �Q ) �Q R 7 5R mR N rR 1 �R �R S S � 9S �S * �S , T 8 1T : jT 6 �T 8 �T 0 U 0 FU 1 wU , �U ' �U * �U )V F DV �V ! �V
�V & �V �V �V W
W W %W 2W >W < [W / �W + �W = �W 2X :X 3 DX xX M X S �X _ !Y �Y 3 �Y W �Y $Z 8 EZ d ~Z ' �Z [ [ 4[ K[ � d[ 8 �[ "\ ?\ T\ > m\ �] �] �] �] �] 9 �] 2^
<^ F J^ ! �^ A �^
�^ _ _ % _ 1 D_ v_ � �_ m ` �` �` �` ! �` �` ! a $ +a Pa ba xa �a �a
�a �a �a �a b 1b Gb * Vb �b 0 �b 5 �b �b c M c hc uc �c �c
�c �c �c �c ` �c Yd fd sd �d & �d �d # �d % e
1e ?e Xe se �e �e , �e , �e "f ) .f 7 Xf �f �f �f A �f �f g +g Kg bg " hg W �g �g �g h )h 9 :h > th �h �h �h �h R �h 0 Oi 4 �i �i �i ? �i ,j Aj 1 bj ( �j �j = �j " k 1 *k \k � lk � 6l m +m >m Xm / _m 4 �m L �m \ n 3 nn 4 �n ! �n �n 3 o 4 No
�o �o �o �o $ �o * �o + p ( Fp ) op �p �p 8 �p � �p V �q � !r
�r ? �r 4 s ' Js . rs % �s # �s �s �s t (t @t
]t ht zt �t �t � �t � Au �u �u �u v v S )v }v * �v � �v ex ( rx �x �x 6 �x 1 �x - y My hy B �y I �y : z > Iz �z
�z �z �z �z i �z J U{ 7 �{ ! �{ �{ ! | L 7| �| �| & �| �| } ; } 7 X} ! �} C �} �}
~ ! ~ A~ X~ 5 k~ A �~ �~ �~ , % R [ % { � " � � $ � $ � A� " ]� �� �� ' �� ۀ �� � ; #� _� G y� ; �� g �� ` e� Ƃ Z � ?� & N� u� $ �� % �� % Ӄ & �� � F =� 3 �� �� Մ � �� �
� � * )� T� c� �� �� ��
�� B ̅ � � 7� J�
j� x� �� ^ ��
�� � 2 � 9 P� $ �� �� i ͇ 0 7� ? h� % �� Έ � p �� m� ( �� �� �� ̉ ߉ " � F � Z� R b� �� ; �� �� � 0 #� T� | a� ދ �� � !� 9� R� l� �� �� �� ӌ �
� � *�
=� H� D P� ) �� �� # Í 7 � � 0 /� ( `� ) �� �� - �� 0 � 5 � O� % f� �� 5 �� z 1 W� B �� 9 ̐ � � � ,� A� V� m� �� �� ��
�� �� Α �
� �� < � = O� ��
�� �� ˒ Q � 3� P� ]� e�
k� > y� �� ȓ ד � �� � .� 7� V� G j� G �� �� , � ' A� $ i� 7 �� ; ƕ @ � H C� 3 �� ; �� �� ! � & 8� _� �
�� �� �� ۗ � �� � ,� ?� X� g� ~� �� �� �� ǘ ؘ � � � 6� R� c� �� C �� ! ٙ ' �� 2 #� o V� L ƚ � *� <� [� ! u� ( �� 3 �� � � .� B� W� / m� 3 �� / ќ # � %� % :� & `� �� �� �� F �� �� � " <� - _� & �� ' �� ' ܞ 2 � $ 7� * \� �� $ �� 2 ͟ 8 � ) 9� 4 c� ' �� = �� + �� 2 *� ? ]� 3 �� 2 ѡ 3 � ( 8� ! a� �� * �� * Ϣ & �� & !� H� " i� 7 �� " ģ 1 � / � c I� & �� & Ԥ �� $ � =� ! O� 4 q� % �� ( ̥ * �� � * 4� * _� % �� �� ̦ � - �� +� % A� ) g� �� 1 �� ާ � � ,� E� ]� p� ) �� # �� ! Ө �� � 1 '� Y� % s� �� �� & ԩ 3 �� * /� $ Z� % � �� & �� & � > � % K� / q� + �� ! ͫ - � g � �� �� : �� � �� L � `� u� �� �� �� ��
ӭ � �� A � K� Z� � l� L � e� y� �� c �� � � /� N� e� |� �� 4 �� � K � G P� � �� " L� o� {� �� �� Ʋ ܲ � �� � %� ! :� \� " i� �� " �� / ϳ # �� #� =�
S� 3 ^� L �� { ߴ � [� � � / "� ) R� |� �� ! �� ! Ŷ & � = � = L� ? �� ʷ ߷ + � � > 7� v�
�� M �� " � ! � d -� ��
�� �� �� ι � �� B � 2 Q� = �� º ں � �� � 0� 8 Q� % �� �� > ͻ D � Q� l� ! �� # �� ϼ ! � � -� L� � k� ) � � � 4 !� V� `�
z� ? �� ž Ծ
< � A &� H h� N �� " � $ #� H� E f� - �� � . �� � )� @ � � #� ?� Z� j� a {� � �� � g� n �� `� N h� W �� h � ` x� q �� b K� �� J �� �� � %� >� Y� " x� �� �� �� �� �� �� . � D� ]� � x� # E� % i� ��
�� �� �� �� �� ( � * 4� _� k� o� v� |� �� �� �� ��
�� L �� (� 9� 1 F� x� & �� J �� ? � & E� l� ( �� ) �� 0 �� $ � 4 0� & e� ( �� ! �� & �� � �� � �� � i� � @� H �� < �
T� , _� �� �� �� �� �� T � [� S g� _ �� � . ;� $ j� �� E �� # �� ( � .� 8� =� ; T� �� D �� �� ] �� [� } n� �� � � -� D D� �� �� F �� � �� Q �� B �� F �
\� j� % �� e �� . � E� J O� % ��
�� �� �� �� � $� 0� i =� �� �� 3 �� � D � c� y� 1 �� �� ��
�� N �� & B� h i� ' �� y ��
t� 1 �� �� & �� �� �� * � ,� F� g� / �� �� ' �� Q �� 7� I� ^� v� �� ��
�� �� �� ��
� %� A� [� v� �� �� �� �� � � 6� U� o� �� �� �� �� �� � '� A� Z� v� �� �� �� �� �� � /� J� _ \� A �� �� B � Z� n� }� �� �� * �� � �� * l� , �� = �� 5 � < 8� < u� �� , �� �� � $� @� V� f� �� % �� �� G ��
� "� � 9� A 4� 6 v� �� # �� �� Y � [� {� �� B �� 6 �� N *� A y� + �� % �� &
� 1 4� P f� ; �� O �� C� a� 0 s� �� D �� 2 �� 4 1� D f� ; �� 8 �� 4 � " U� + x� * �� % �� ! �� ' � 3 ?� B s� 7 �� ; �� . *� * Y� 7 �� , �� % �� # � B 3� $ v� D �� 3 �� D � R Y� A �� D �� 3 3� : g� H �� 3 � - � : M� 3 �� D �� C � 9 E� + � J �� C �� G :� . �� Q �� � � )� ! ;� 2 ]� 0 �� �� 6 � # � 7� " O� C r� �� � � ! x� �� P �� N � H [� ` �� � 3 � 3 S� & �� �� � � * � � 0 � A� U� " t� ! �� - �� a � I� S� ]� x� 8 �� V � Z ! V | [ � W / ^ � \ � V C \ � W � X O e �
- # G b k / � < � E ; > � 4 �
� A A B ^ � g � K f p � � � � . � � $ 4 0 D u C | � � � � � ^ �
] k ~ � � < � �
'
@ 4
+ u
�
" �
�
? A U > s � E � D H Q � � � � $ � &
?
X ]
D �
Y �
S U * � � � � � / 6 A f � � I ) s �
� � � � * � . . ; ) j � � � � �
� � 0 O c w � � � / � � �
! ( 6 ' _ S � S � G / w � & � ( � 1 � % / B r � � H � 4 Q + i , � ) � � ' , E 2 r ( � " � ( � 4 & O , v ' � ( � # � 2 # P + t 4 � � � 7 - ; e ; � 1 � : J B a K � A � J 2 D } G � I
R T H � Q � D B N � � �
$ 0 ; 1 l ' � % � % � % 8 S p @ � � � ! (!
4! B! Y! n! �! �! �! �! �! �! ( "
," 7" A" ]" % z" D �" i �" k O# �# �# �# �# $ $ F *$ q$ I y$ A �$ %
% "% # 1% U% * d% 9 �% < �% & & ! 0& * R& }& � �& I ' \' r' �' �' �' 3 �' 7 �' ! 2( " T( w( ! �( �( �( �( ) ) H <) ] �) �) " �) * v 0* k �* _ + s+ |+ 9 �+ ! �+ �+ �+ + , =, * R, � }, T %- N z- �- ! �- �- . - . C. V. $ n. �. �. ' �. > �. 0/ ( L/ ( u/ # �/ & �/ > �/ ) (0 R0 7 l0 �0 J �0 1 1 M %1 7 s1 �1 S �1 ' 2 C2 S2 . c2 # �2 �2 �2 �2 �2 < 3
D3 R3 p3 �3 �3 �3 ! �3 6 �3 &4 D4 U4 " u4 ! �4 �4 / �4 5 "5 15 75 ? F5 X �5 �5 �5
6 6
6 $6 2 >6 1 q6
�6 ! �6 - �6 �6 7 7 ' 7 =7
Z7 h7 �7 �7 & �7 �7 �7 �7 8
8 8 +8 & 58 4 \8 �8 �8 �8 , �8 9 #9 ( 79 `9 9 �9 �9 �9 �9 9 : 6 ;: 1 r: �: ) �: �: �: �:
; ; F #; j; * �; �; �; �; - �;
(< , 6< S c< C �= �= �
> � ? C �? 3 �? - 0@ # ^@ e �@ P �@ 9A : PA 4 �A & �A - �A < B & RB h yB R �B ; 5C > qC V �C - D ^ 5D \ �D F �D � 8E � %F g �F * G e ?G # �G B �G 6 H H CH � �H h *I 0 �I �I 4 �I J % 5J ! [J ! }J . �J 8 �J " K N *K 8 yK a �K L 4 $L YL / nL B �L �L
�L 3 �L 2M JM ^M | zM # �M N - 'N UN ) tN 5 �N 3 �N " O 2 +O ^O qO �O �O �O �O V �O &P F EP �P �P 4 �P �P Q 5 Q ( ?Q hQ rQ �Q ) �Q �Q �Q 9 �Q 1R � CR S ,S 5 �S @ �S �S T +T HT $ \T
�T ! �T �T �T S �T
U 3 +U _U cU pU tU xU 7 �U L �U & V 7V % VV 0 |V K �V 3 �V � -W - �W � �W # jX E �X 1 �X Y Y i `Y Q �Y # Z * @Z 2 kZ " �Z 1 �Z / �Z < #[ * `[ . �[ �[ �[ / �[ �[ % \ A\ `\ {\ �\ �\ �\ �\ 3 �\ �\ ] * /] Z] g] �] �] �] �] �] 1 �] H "^ \ k^ �^ �^ �^ _ ! _ L ;_ # �_ & �_ �_ �_ $ �_ "` =` a V` 6 �` : �` *a Ba 1 Xa �a ! �a 6 �a P b Qb jb |b " �b �b �b �b / c E ?c Z �c �c * �c d 5 *d : `d �d �d �d + �d e ' ,e Te = pe �e 3 �e �e
f f )f ;f Qf ]f xf �f C �f �f g #g ?g [g xg �g �g �g
�g �g �g & h ,h 4h Ih Xh ah 1 xh �h , �h * �h 3 i o @i �i �i x �i y Oj ; �j k k 2 k � Mk k �k A Ml 9 �l , �l - �l r $m �m �m �m �m �m �m 5 n ' 7n 7 _n 9 �n 4 �n 9 o @o D `o s �o ! p 6 ;p Z rp � �p 2 Oq �q ! �q 9 �q @ �q 5 <r rr �r " �r # �r �r s s 4 (s ; ]s �s ) �s ) �s . t . 4t ct i �t �t : u = @u 5 ~u � �u � Jv 3 �v 4 !w _ Vw E �w e �w H bx + �x �x j �x ^y y �y | �y 4 z Jz \ Tz / �z 0 �z { - +{ 5 Y{ �{
�{ �{ �{ ! �{ / �{ | | ! :| O \| 7 �| = �| "} 4} @} I} G Q} 5 �} ? �} � ~ ! �~ �~ : �~ Z 2 ^ \ � , � % � 1 A� s� B �� A ς � � D � Q� f� m� I z� Ą ̄ " ߄ � � h � �� �� �� Å & � � � � �� �� H �� � � �� W �� H � 0� B� V� _� r� �� & �� & Ĉ � �� N � h� �� �� �� ډ �
� : '� % b� 3 �� �� Ԋ 6 � " $�
G� 6 R� - �� �� % Ջ # �� ' � * G� % r� ' �� �� = ь E � 3 U� ' �� �� ʍ ֍ # � � 4 &� # [� � �� �� ��
֎ � � � � <� W� 7 p� I �� � � %� ( >� ( g� �� �� ʐ ܐ * �� / #� . S� ! �� # �� ȑ � ! � ) &� . P� & � �� $ �� $ ޒ . � 2� � A� Ó ӓ � 9 � E� ( f� < �� - ̔ 4 �� - /� B ]� �� �� 0 ŕ m �� d� |� % �� ! �� 7 � w � = �� S З J $� ! o� �� �� # ɘ N � <� g O� 4 �� � } �� # {� , �� ; ̚ E � N� [� v� P ��
� - � � '�
6� A A� �� / �� < ʜ V �
^� i� �� . �� . Ν �� d � W n� S ƞ : � 1 U� �� l �� � � 1� g F� 0 �� - ߠ V
� E d� �� �� ��
ˡ ١ � �� � p :� # �� Ϣ � � � �� �� �� �� ң �
�� � � � m %� ! �� " �� ؤ ! �� � Q $� / v� C �� � # �
%� 3� :� | R� v Ϧ 7 F�
~� �� �� �� Χ � � � � %� .� = M� S �� ) ߨ 8 � C B� r �� ! �� � 6� T� ) ^� �� �� �� �� ' ت , �
-� r 8� \ �� " � > +� , j� 0 �� Ȭ ) Ԭ t �� s� @ �� } �� c ?� K �� ' � � 1� 8� D� S�
c� q� �� �
m
�
= Q b 5
w �
M � $ � v x 7 h
�
2 W 3 R & % � z � )
O � O ; � � r � � �
i � -
� � � O � � � � 5
o
e �
� � x � + � 0 a �
�
? � n �
, �
P
� j j W 8 I $ � T � � H o
� ` � �
f t
� � �
�
{ m � � � � L � ~ Y
� � & H 7
$ � � o �
N
3 � � � � � � C
� G � � �
q � � O * � < n 5 � u
� . / 5 �
� � �
l 1 � � � � � � m
� � � � � W ] � c 7 � y O
� M � / � � � � # P � + � � �
� +
� � � z
k � R
� � � � �
q � K g { d
� [ H R � � ` � � � i | n � � � � o � P
*
�
F � � � i � e n �
; � s �
f � 1 3
G �
� � x �
�
� _ � � � � r o > � l � � L � U D 1 4 7 K � � � � �
` � K � �
� � � W
<
L
R � 0 U � � � �
� 7 9 � � � 2 �
�
�
� r M � � k � � N s � � � � � i � � � � h 5 � � s
� � � � � � �
@ Q � B �
� � � Y �
�
H � � � � J V
9 � � �
D � z � ] D
� C m � � �
?
y � N � � ^
0 � " � � �
^ �
� [ �
0 A
� � � � � � r
i + � � � � C
� � \ � q � � [ B � �
� � b ~
Z � � � \ � � 0 - & � y
G � � � � � i � : F � � i � 3 � J � 3 � 1 � E � Q } �
� � � u � x
� � � � � �
�
� � �
� � � ' � � � � p F E � O
{
� � � A O 4 %
t �
n 2 � � � � � � � �
� � � � u � w �
4 �
� D � � q 9
�
� �
�
�
[ � � � � � � � � � Q \ � � M F 5 � � l . � n
r �
� �
� u � � � �
� ? �
l
> E � � @
/ D g � '
3 ? � e i ) $
) W � � �
� m . ]
l � � E W �
f
� Z � � e � � ?
�
h ` z � � % a 5 � � f b � ! g � C q � � W
O
R � / � � � � � � � m � � � X : C
� � � %
= � q
� � � 9 > �
� ~ � � A m � C e
H % V
' �
� 1 j � U
� �
2
� � �
s � ` < � � � � � N o � � � 4 � ] � z h � A � � H � �
g R
F N
� ; S � � A � � � � @ h
� �
� �
� � � � � � ? � � f � ^
� � � � Y 1 / N �
� q 9 � p
X ? � � � � � � �
� �
C ) � �
! �
8 m = _ �
�
h � V 2 |
9 �
� �
� x
E )
� k � � �
�
� s � � S � � � � � � + & � � W % " �
n � � X � � �
� � � C � w � m � a : � � � � + � � e � � � E � � � S c � � D f
N z � ; !
� B � E v
� � 1 � { 0 6 � � � I e � H v
� ! � 6
�
� � c
] � � ! } � d � j � 7 } $ �
� � �
� > > � 4 � � � � K X �
� R P � a } o h � { � � M
� � � �
r � � � �
� � � � Z h T
� B ' l K
�
� I
X
� g � � V � � �
� = � ] s � �
� � � � [ � � �
� Z � . J �
� � D u � ~
G
� � �
� p � � � Y ` j
X v � � � b Z � � � � � E � � � 5 t + * �
z
w 3 � � � � � � r � � � f � a �
!
R � � � ` � � U e p � �
� � � � %
� � M # � � �
8 � \ � � � �
� � m � � � t
j S � w V
s � 1 3 � � � � C ` 6 � C � �
6 q h
� � w
r J
�
Z p a � R � �
� i � �
Y � f � � � � k
� �
_
% o � 7 � �
n � � � J &
� �
� h � � �
� D
� k � �
� � o : k
� � � | j � 2 � �
� }
� � � - � Z
� s
�
@ � � � � � S ` � f � � U � @ a � � � � U 3 � � � � � L
S - $ � � � �
v � ? & �
Z � �
� F ~ * � J � a S N � � �
| � �
k � � ? � - � � �
� � � x �
� � � � I
� � M v I � � < � � � � � � � �
6 �
B
� � � � � r � � � % � # � S
| s X � � � y � � p B 6 � � � �
F � � � ^ � � t � " � �
� n
� � � � �
� d 7
� � � # �
I � � �
P � � � T � �
� � C � 2 , � B
c F
� � : �
� � R � b � � � [ % T � f *
f �
B � � ? � � /
� � 8 u Z P � � � �
� � j
V � _ � g
� % { � � � � � A _ � `
�
| �
c & � � � � 8 d
� � W - R � > e �
�
� q � � � � & � �
� � � � �
+ / � � � z R ] �
� x � " � � [ , � � d t � � � A �
�
� � ' X
� S � s � � �
� � >
� �
x �
� � �
� � �
�
$ S � � �
0
i 2 � 5 ! � � @ � � � & { /
�
� �
+ � � � � �
� � � � 3 6 m H
� � x � � u � B � � @ v �
8 * � X / $ � � c � � � � � p
� " { y K � & � ) x � 0 � � � � � / � y � � W � � @ . | � � , � � $ � � � i
� h � , 9 � = � y g H [ � �
+ @ � � � $
� � :
�
� Z � � ^ - � � � �
� G J � I � u �
Q � w \ � A � � � , � ' �
� w � � �
\ } J � � � � [ l J B ) � � � � � �
# �
* � � � � � y Y � t 5 O � t � � #
� } �
d � � 6 [ �
I � s 1
� �
;
� � N } � � � � � � _ �
i � � �
� c z � a � � � � M �
| � � � � � � ; � � 6 ~ y
� N a
! �
� � � � K � � ( ' I � � � � � � / � * a
= � K � ^ � � y ;
+ � � = f � ?
F � 0 � � � � X B A � �
� * G �
� � ! � � � ~ � � � � l O = L � �
p � L
� �
� � p � > � ? - � (
P ' ` s � �
� D � L
8 �
M � t
� 9 z � � w �
� t � 9 � Y Q R > : � P � � 8 �
* � n � G � � � � . � � � < � ) 8 � �
U � � � � � @
� J � j � � � � G � � < � 0 = * � T � � � � @ � � � n � >
� � � 5
� � � � s k
� � 4 � # +
� c � � � j
� � � 6 �
� E � ` � � � � ( � � � 2
� g � �
� � � � U
}
� � � e � � � � w � c
� T � �
�
� b
e d � � � �
o W
� �
� � . [ 8
e 8 �
� X � {
W � � I 9 s � � G S
� � � 6 �
b �
� 3 Z
� � � 4
� � � � � Y � � �
M
� � l � � w � f � � X 2 �
� U 9 � �
� E { � � � ; \ j P
. K � #
D � b G � � d � _ � O G : u _ � r
J
�
� � � 0 � � � � w � d � Q
� � V A
W � � G
� � q J � � � a 6
b ,
x J � ; U Q � � � " � � � � � � N � � � T J `
� � � A z K � � � d � � ( � ( j H �
3 o � � �
� S � ] , P !
j � � B \ ] P 5 F 2 � � �
� � �
D p _ ^ T N v � w
� � � �
� ( / �
� n �
\ ( � R � � � � � ^ � 4
k 9
�
�
G : � v d � � v � � � " 7 z � - 8
V k � * � � o � � � � U
� �
� �
� F � 3 < \
� ) _ * � �
� c �
� � �
� ,
! 4 ~ 0 � � � $ � V 1 � l � i
A ' �
� =
" � M � H Q � �
) � � � � p � � > � L ; � �
� � � o � } X � " � w : � , �
k �
� 4 2 �
� D & K
� � I � k � �
� ~ P � � q �
! � � , � � � �
�
: m � � � � � � � [ # � ] % p
� .
� 3
.
� � � "
(
- � � 7
W � � � � ] ^
1 &
� 4 ]
# } �
� T
E
� � "
� � \ v � � �
o # & 7 � / � �
� �
� � �
) � < ( � � � � � �
� 2 )
� � � � �
�
l �
� { � c | � � � �
y �
� H
q t � �
F � � � � ! L
] � h � � � � O T # Y � �
Q � � u O � H � � � m
� 1 & d � @
� �
6
� �
� �
-
� ? � � v � < g M � � � � F t � { D � �
; : u
� � � _ � _
� �
�
5 r y � S � �
� = � 8 V �
4 � + ( � n ) z 9 � 7 � �
� � _
� Z � V B ^ � � M � � _ � I
� � ( � � �
I i �
x � � d . � � 2 � P
� � � 7 �
� � } V b
� � � � � # � � �
� � � � � � � + � � �
|
� � � � . � � t � $
� �
) � � ( Z
< � � E
� � � A � � Y O � q
l � � F
� E � � % � r . � L b g M a � < �
�
� X � � @ � P U �
� " Q � �
� � � � l
x � c � � � � K D � �
� � T 4 �
r � { b � � � � * -
�
� N � � = � � � b ; d
� c ~ �
� : u h S T � . � C =
� � N
�
� y
�
% k � � V
�
� � �
( 7 ; � > <
�
B � g p > � � � �
� � � � � � � ~ �
:
L | � $ � � , h � l � g
�
� p � x � � @ H � � � � A j ? L � ^ \ g - � � � � Q � � ~ � ` � �
C � 8 I 1 � � � � < � � V Y K 0 �
~ z Q � � < C | � $ e
U k � , � - G ~ � ' ' � � y / � � � � U �
5 �
� � � �
� 4 L � � � � � ; > E � u T � � Y
e n � � � � � 1
� � \ a � # | ^ '
� [
� �
�
" � � f � � K � ' � [
� � � � � (
� � v Z � � b = 6 ^ � L u � �
T Y } � 9 � � ' �
m �
� � , � ]
� " t � � � g � � � Y {
r �
� Q
� � � � q | � � \
� }
c 0
� ^ ! � �
� � � v � � �
� �
EXAMPLES:
Examples:
Find all IPA servers:
ipa server-find
GLOBAL DNS CONFIGURATION
Override this so we can add completed and failed to the return result.
Override this so we can set completed and failed.
Add an automember rule.
Add conditions to an automember rule.
Delete an automember rule.
Display information about an automember rule.
Display information about the default (fallback) automember groups.
Lockout status of a user account
An account may become locked if the password is entered incorrectly too
many times within a specific time period as controlled by password
policy. A locked account is a temporary condition and may be unlocked by
an administrator.
This connects to each IPA master and displays the lockout status on
each one.
To determine whether an account is locked on a given server you need
to compare the number of failed logins and the time of the last failure.
For an account to be locked it must exceed the maxfail failures within
the failinterval duration as specified in the password policy associated
with the user.
The failed login counter is modified only when a user attempts a log in
so it is possible that an account may appear locked but the last failed
login attempt is older than the lockouttime of the password policy. This
means that the user may attempt a login again.
Modify a trust (for future use).
Currently only the default option to modify the LDAP attributes is
available. More specific options will be added in coming releases.
Modify an automember rule.
Remove conditions from an automember rule.
Remove default (fallback) group for all unmatched entries.
Search for automember rules.
Set default (fallback) group for all unmatched entries.
Unlock a user account
An account may become locked if the password is entered incorrectly too
many times within a specific time period as controlled by password
policy. A locked account is a temporary condition and may be unlocked by
an administrator.
Vault Container object.
Vault object.
This is the equivalent of:
ipa dnszone-mod example.com --dynamic-update=TRUE \
--update-policy="grant EXAMPLE.COM krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM krb5-self * SSHFP;"
Add location:
ipa location-add location --description 'My location'
Add topology segment to 'ca' suffix:
ipa topologysegment-add ca --left IPA_SERVER_A --right IPA_SERVER_B
Add topology segment to 'domain' suffix:
ipa topologysegment-add domain --left IPA_SERVER_A --right IPA_SERVER_B
Delete location:
ipa location-del location
Delete topology segment in 'ca' suffix:
ipa topologysegment-del ca segment_name
Delete topology segment in 'domain' suffix:
ipa topologysegment-del domain segment_name
Find all locations:
ipa location-find
Find all servers:
ipa server-find
Find all suffixes:
ipa topologysuffix-find
List all topology segments in 'ca' suffix:
ipa topologysegment-find ca
List all topology segments in 'domain' suffix:
ipa topologysegment-find domain
Show configuration of a specific DNS server:
ipa dnsserver-show
Show specific location:
ipa location-show location
Show specific server:
ipa server-show ipa.example.com
Show status of 'DNS server' role on a server:
ipa server-role-show ipa.example.com "DNS server"
Show status of all configured roles on a server:
ipa server-role-find ipa.example.com
Update configuration of a specific DNS server:
ipa dnsserver-mod
Verify topology of 'ca' suffix:
ipa topologysuffix-verify ca
Verify topology of 'domain' suffix:
ipa topologysuffix-verify domain
Add LOC record for example.com:
ipa dnsrecord-add example.com @ --loc-rec="49 11 42.4 N 16 36 29.6 E 227.64m"
Add a condition to the rule:
ipa automember-add-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
ipa automember-add-condition --key=manager --type=group --inclusive-regex=^uid=mscott devel
Add a host that can manage this host's keytab and certificate:
ipa host-add-managedby --hosts=test2 test
Add a host to the rule:
ipa sudorule-add-host readfiles --hosts server.example.com
Add a host:
ipa host-add web1.example.com
Add a mail server for example.com:
ipa dnsrecord-add example.com @ --mx-rec="10 mail1"
Add a new host with a one-time password:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com
Add a new host with a random one-time password:
ipa host-add --os='Fedora 12' --random test.example.com
Add a new host:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com
Add a new server:
ipa radiusproxy-add MyRADIUS --server=radius.example.com:1812
Add a new token:
ipa otptoken-add --type=totp --owner=jdoe --desc="My soft token"
Add a new token:
ipa otptoken-add-yubikey --owner=jdoe --desc="My YubiKey"
Add a permission that grants the ability to manage group membership:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"
Add a permission that grants the creation of users:
ipa permission-add --type=user --permissions=add "Add Users"
Add a special Sudo rule for default Sudo server configuration:
ipa sudorule-add defaults
Add a standard vault:
ipa vault-add <name>
[--user <user>|--service <service>|--shared]
--type standard
Add a symmetric vault:
ipa vault-add <name>
[--user <user>|--service <service>|--shared]
--type symmetric --password-file password.txt
Add a user to the rule:
ipa sudorule-add-user readfiles --users jsmith
Add a user:
ipa user-add --first=Tim --last=User --password tuser1 --manager=mscott
Add an asymmetric vault:
ipa vault-add <name>
[--user <user>|--service <service>|--shared]
--type asymmetric --public-key-file public.pem
Add an exclusive condition to the rule to prevent auto assignment:
ipa automember-add-condition --key=fqdn --type=hostgroup --exclusive-regex=^web5\.example\.com webservers
Add another record using MX record specific options:
ipa dnsrecord-add example.com @ --mx-preference=20 --mx-exchanger=mail2
Add another record using interactive mode (started when dnsrecord-add, dnsrecord-mod,
or dnsrecord-del are executed with no options):
ipa dnsrecord-add example.com @
Please choose a type of DNS resource record to be added
The most common types for this type of zone are: NS, MX, LOC
DNS resource record type: MX
MX Preference: 30
MX Exchanger: mail3
Record name: example.com
MX record: 10 mail1, 20 mail2, 30 mail3
NS record: nameserver.example.com., nameserver2.example.com.
Add new A record for www.example.com. Create a reverse record in appropriate
reverse zone as well. In this case a PTR record "2" pointing to www.example.com
will be created in zone 2.0.192.in-addr.arpa.
ipa dnsrecord-add example.com www --a-rec=192.0.2.2 --a-create-reverse
Add new PTR record for www.example.com
ipa dnsrecord-add 2.0.192.in-addr.arpa. 2 --ptr-rec=www.example.com.
Add new SRV records for LDAP servers. Three quarters of the requests
should go to fast.example.com, one quarter to slow.example.com. If neither
is available, switch to backup.example.com.
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 3 389 fast.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 1 389 slow.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="1 1 389 backup.example.com"
Add new reverse zone specified by network IP address:
ipa dnszone-add --name-from-ip=192.0.2.0/24
Add new zone:
ipa dnszone-add example.com --admin-email=admin@example.com
Add second nameserver for example.com:
ipa dnsrecord-add example.com @ --ns-rec=nameserver2.example.com
Add sudo command object and add it as allowed command in the rule:
ipa sudocmd-add /usr/bin/less
ipa sudorule-add-allow-command readfiles --sudocmds /usr/bin/less
Add system permission that can be used for per-zone privilege delegation:
ipa dnszone-add-permission example.com
Add the initial group or hostgroup:
ipa hostgroup-add --desc="Web Servers" webservers
ipa group-add --desc="Developers" devel
Add the initial rule:
ipa automember-add --type=hostgroup webservers
ipa automember-add --type=group devel
Add vault members:
ipa vault-add-member <name>
[--user <user>|--service <service>|--shared]
[--users <users>] [--groups <groups>] [--services <services>]
Add vault owners:
ipa vault-add-owner <name>
[--user <user>|--service <service>|--shared]
[--users <users>] [--groups <groups>] [--services <services>]
After this modification, three fifths of the requests should go to
fast.example.com and two fifths to slow.example.com.
Allow user to create a keytab:
ipa host-allow-create-keytab test2 --users=tuser1
Allow user to create a keytab:
ipa service-allow-create-keytab HTTP/web.example.com --users=tuser1
An example of the interactive mode for dnsrecord-del command:
ipa dnsrecord-del example.com www
No option to delete specific record provided.
Delete all? Yes/No (default No): (do not delete all records)
Current DNS record contents:
A record: 192.0.2.2, 192.0.2.3
Delete A record '192.0.2.2'? Yes/No (default No):
Delete A record '192.0.2.3'? Yes/No (default No): y
Record name: www
A record: 192.0.2.2 (A record 192.0.2.3 has been deleted)
Archive data into asymmetric vault:
ipa vault-archive <name>
[--user <user>|--service <service>|--shared]
--in <input file>
Archive data into standard vault:
ipa vault-archive <name>
[--user <user>|--service <service>|--shared]
--in <input file>
Archive data into symmetric vault:
ipa vault-archive <name>
[--user <user>|--service <service>|--shared]
--in <input file>
--password-file password.txt
Change forward-policy for external.example.com:
ipa dnsforwardzone-mod external.example.com --forward-policy=only
Change the secret:
ipa radiusproxy-mod MyRADIUS --secret
Change the vendor:
ipa otptoken-mod a93db710-a31a-4639-8647-f15b2c70b78a --vendor="Red Hat"
Create a new rule:
ipa sudorule-add readfiles
Delegate zone sub.example to another nameserver:
ipa dnsrecord-add example.com ns.sub --a-rec=203.0.113.1
ipa dnsrecord-add example.com sub --ns-rec=ns.sub.example.com.
Delete a configuration:
ipa radiusproxy-del MyRADIUS
Delete a host:
ipa host-del test.example.com
Delete a token:
ipa otptoken-del a93db710-a31a-4639-8647-f15b2c70b78a
Delete a vault:
ipa vault-del <name>
[--user <user>|--service <service>|--shared]
Delete an automember rule:
ipa automember-del --type=hostgroup webservers
ipa automember-del --type=group devel
Delete forward zone external.example.com:
ipa dnsforwardzone-del external.example.com
Delete previously added nameserver from example.com:
ipa dnsrecord-del example.com @ --ns-rec=nameserver2.example.com.
Delete vault members:
ipa vault-remove-member <name>
[--user <user>|--service <service>|--shared]
[--users <users>] [--groups <groups>] [--services <services>]
Delete vault owners:
ipa vault-remove-owner <name>
[--user <user>|--service <service>|--shared]
[--users <users>] [--groups <groups>] [--services <services>]
Delete zone example.com with all resource records:
ipa dnszone-del example.com
Disable global forwarding for given sub-tree:
ipa dnszone-mod example.com --forward-policy=none
Disable the host Kerberos key, SSL certificate and all of its services:
ipa host-disable test.example.com
Display a automember rule:
ipa automember-show --type=hostgroup webservers
ipa automember-show --type=group devel
Display vault configuration:
ipa vaultconfig-show
Examine the configuration:
ipa radiusproxy-show MyRADIUS
Examine the token:
ipa otptoken-show a93db710-a31a-4639-8647-f15b2c70b78a
Find A records with value 192.0.2.2 in zone example.com
ipa dnsrecord-find example.com --a-rec=192.0.2.2
Find all of the automember rules:
ipa automember-find
Find all servers whose entries include the string "example.com":
ipa radiusproxy-find example.com
Find records for resources with "www" in their name in zone example.com:
ipa dnsrecord-find example.com www
Find user-find parameters:
ipa param-find user-find
Find zone with "example" in its domain name:
ipa dnszone-find example
Forward all requests for the zone external.example.com to another forwarder
using a "first" policy (it will send the queries to the selected forwarder
and if not answered it will use global root servers):
ipa dnsforwardzone-add external.example.com --forward-policy=first \
--forwarder=203.0.113.1
Generate and retrieve a keytab for an IPA service:
ipa-getkeytab -s ipa.example.com -p HTTP/web.example.com -k /etc/httpd/httpd.keytab
If a global forwarder is configured, all queries for which this server is not
authoritative (e.g. sub.example.com) will be routed to the global forwarder.
Global forwarding configuration can be overridden per-zone.
List all forward zones:
ipa dnsforwardzone-find
List vaults:
ipa vault-find
[--user <user>|--service <service>|--shared]
Modify asymmetric vault keys:
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--private-key-file <old private key file>
--public-key-file <new public key file>
Modify global DNS configuration and set a list of global forwarders:
ipa dnsconfig-mod --forwarder=203.0.113.113
Modify information about a host:
ipa host-mod --os='Fedora 12' test.example.com
Modify symmetric vault password:
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--change-password
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--old-password <old password>
--new-password <new password>
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--old-password-file <old password file>
--new-password-file <new password file>
Modify the automember rule:
ipa automember-mod
Modify the zone to allow dynamic updates for hosts own records in realm EXAMPLE.COM:
ipa dnszone-mod example.com --dynamic-update=TRUE
Modify the zone to allow zone transfers for local network only:
ipa dnszone-mod example.com --allow-transfer=192.0.2.0/24
Modify vault description:
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--desc <description>
Modify vault type:
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--type <type>
[old password/private key]
[new password/public key]
Rebuild membership for all hosts:
ipa automember-rebuild --type=hostgroup
Rebuild membership for all users:
ipa automember-rebuild --type=group
Rebuild membership for specified hosts:
ipa automember-rebuild --hosts=web1.example.com --hosts=web2.example.com
Rebuild membership for specified users:
ipa automember-rebuild --users=tuser1 --users=tuser2
Remove SSH public keys of a host and update DNS to reflect this change:
ipa host-mod --sshpubkey= --updatedns test.example.com
Remove a condition from the rule:
ipa automember-remove-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
Remove the default (fallback) target group:
ipa automember-default-group-remove --type=hostgroup
ipa automember-default-group-remove --type=group
Resolve a host name to see if it exists (will add default IPA domain
if one is not included):
ipa dns-resolve www.example.com
ipa dns-resolve www
Retrieve data from asymmetric vault:
ipa vault-retrieve <name>
[--user <user>|--service <service>|--shared]
--out <output file> --private-key-file private.pem
Retrieve data from standard vault:
ipa vault-retrieve <name>
[--user <user>|--service <service>|--shared]
--out <output file>
Retrieve data from symmetric vault:
ipa vault-retrieve <name>
[--user <user>|--service <service>|--shared]
--out <output file>
--password-file password.txt
Semantics of forwarding in IPA matches BIND semantics and depends on the type
of zone:
* Master zone: local BIND replies authoritatively to queries for data in
the given zone (including authoritative NXDOMAIN answers) and forwarding
affects only queries for names below zone cuts (NS records) of locally
served zones.
* Forward zone: forward zone contains no authoritative data. BIND forwards
queries, which cannot be answered from its local cache, to configured
forwarders.
Set a default Sudo option:
ipa sudorule-add-option defaults --sudooption '!authenticate'
Set the default (fallback) target group:
ipa automember-default-group-set --default-group=webservers --type=hostgroup
ipa automember-default-group-set --default-group=ipausers --type=group
Show a vault:
ipa vault-show <name>
[--user <user>|--service <service>|--shared]
Show forward zone external.example.com:
ipa dnsforwardzone-show external.example.com
Show global DNS configuration:
ipa dnsconfig-show
Show records for resource www in zone example.com
ipa dnsrecord-show example.com www
Show the default (fallback) target group:
ipa automember-default-group-show --type=hostgroup
ipa automember-default-group-show --type=group
Show user-find details:
ipa command-show user-find
Show zone example.com:
ipa dnszone-show example.com
The interactive mode can be used for easy modification:
ipa dnsrecord-mod example.com _ldap._tcp
No option to modify specific record provided.
Current DNS record contents:
SRV record: 0 3 389 fast.example.com, 0 1 389 slow.example.com, 1 1 389 backup.example.com
Modify SRV record '0 3 389 fast.example.com'? Yes/No (default No):
Modify SRV record '0 1 389 slow.example.com'? Yes/No (default No): y
SRV Priority [0]: (keep the default value)
SRV Weight [1]: 2 (modified value)
SRV Port [389]: (keep the default value)
SRV Target [slow.example.com]: (keep the default value)
1 SRV record skipped. Only one value per DNS record type can be modified at one time.
Record name: _ldap._tcp
SRV record: 0 3 389 fast.example.com, 1 1 389 backup.example.com, 0 2 389 slow.example.com
This configuration forwards all queries for names outside the example.com
sub-tree to global forwarders. Normal recursive resolution process is used
for names inside the example.com sub-tree (i.e. NS records are followed etc.).
Verify automembership:
ipa hostgroup-show webservers
Host-group: webservers
Description: Web Servers
Member hosts: web1.example.com
ipa group-show devel
Group name: devel
Description: Developers
GID: 1004200000
Member users: tuser
* A permission grants access to read, write, add, delete, read, search,
or compare.
* A privilege combines similar permissions (for example all the permissions
needed to add a user).
* A role grants a set of privileges to users, groups, hosts or hostgroups.
A condition is a regular expression used by 389-ds to match a new incoming
entry with an automember rule. If it matches an inclusive rule then the
entry is added to the appropriate group or hostgroup.
A default group or hostgroup could be specified for entries that do not
match any rule. In case of user entries this group will be a fallback group
because all users are by default members of group specified in IPA config.
A permission enables fine-grained delegation of rights. A permission is
a human-readable wrapper around a 389-ds Access Control Rule,
or instruction (ACI).
A permission grants the right to perform a specific task such as adding a
user, modifying a group, etc.
A permission is made up of a number of different parts:
1. The name of the permission.
2. The target of the permission.
3. The rights granted by the permission.
A permission may not contain other permissions.
A rule is directly associated with a group by name, so you cannot create
a rule without an accompanying group or hostgroup.
API Schema
Add new ID range.
To add a new ID range you always have to specify
--base-id
--range-size
Additionally
--rid-base
--secondary-rid-base
may be given for a new ID range for the local domain while
--rid-base
--dom-sid
must be given to add a new range for a trusted AD domain.
WARNING:
DNA plugin in 389-ds will allocate IDs based on the ranges configured for the
local domain. Currently the DNA plugin *cannot* be reconfigured itself based
on the local ranges set via this family of commands.
Manual configuration change has to be done in the DNA plugin configuration for
the new local range. Specifically, The dnaNextRange attribute of 'cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config' has to be
modified to match the new range.
Add new trust to use.
This command establishes trust relationship to another domain
which becomes 'trusted'. As result, users of the trusted domain
may access resources of this domain.
Only trusts to Active Directory domains are supported right now.
The command can be safely run multiple times against the same domain,
this will cause change to trust relationship credentials on both
sides.
Additionally, there are the following convenience options.
Setting one of these options will set the corresponding attribute(s).
1. type: a type of object (user, group, etc); sets subtree and target filter.
2. memberof: apply to members of a group; sets target filter
3. targetgroup: grant access to modify a specific group (such as granting
the rights to manage group membership); sets target.
Agreements are represented by topology segments. By default topology segment
represents 2 replication agreements - one for each direction, e.g., A to B and
B to A. Creation of unidirectional segments is not allowed.
An order can be added to a sudorule to control the order in which they
are evaluated (if the client supports it). This order is an integer and
must be unique.
Asymmetric vault is similar to the standard vault, but it
pre-encrypts the secret using a public key before transport.
The secret can only be retrieved using the private key.
Auto Membership Rule.
Automount
Stores automount(8) configuration for autofs(8) in IPA.
The base of an automount configuration is the configuration file auto.master.
This is also the base location in IPA. Multiple auto.master configurations
can be stored in separate locations. A location is implementation-specific
with the default being a location named 'default'. For example, you can have
locations by geographic region, by floor, by type, etc.
Automount has three basic object types: locations, maps and keys.
A location defines a set of maps anchored in auto.master. This allows you
to store multiple automount configurations. A location in itself isn't
very interesting, it is just a point to start a new automount map.
A map is roughly equivalent to a discrete automount file and provides
storage for keys.
A key is a mount point associated with a map.
When a new location is created, two maps are automatically created for
it: auto.master and auto.direct. auto.master is the root map for all
automount maps for the location. auto.direct is the default map for
direct mounts and is mounted on /-.
An automount map may contain a submount key. This key defines a mount
location within the map that references another map. This can be done
either using automountmap-add-indirect --parentmap or manually
with automountkey-add and setting info to "-type=autofs :<mapname>".
EXAMPLES:
Locations:
Create a named location, "Baltimore":
ipa automountlocation-add baltimore
Display the new location:
ipa automountlocation-show baltimore
Find available locations:
ipa automountlocation-find
Remove a named automount location:
ipa automountlocation-del baltimore
Show what the automount maps would look like if they were in the filesystem:
ipa automountlocation-tofiles baltimore
Import an existing configuration into a location:
ipa automountlocation-import baltimore /etc/auto.master
The import will fail if any duplicate entries are found. For
continuous operation where errors are ignored, use the --continue
option.
Maps:
Create a new map, "auto.share":
ipa automountmap-add baltimore auto.share
Display the new map:
ipa automountmap-show baltimore auto.share
Find maps in the location baltimore:
ipa automountmap-find baltimore
Create an indirect map with auto.share as a submount:
ipa automountmap-add-indirect baltimore --parentmap=auto.share --mount=sub auto.man
This is equivalent to:
ipa automountmap-add-indirect baltimore --mount=/man auto.man
ipa automountkey-add baltimore auto.man --key=sub --info="-fstype=autofs ldap:auto.share"
Remove the auto.share map:
ipa automountmap-del baltimore auto.share
Keys:
Create a new key for the auto.share map in location baltimore. This ties
the map we previously created to auto.master:
ipa automountkey-add baltimore auto.master --key=/share --info=auto.share
Create a new key for our auto.share map, an NFS mount for man pages:
ipa automountkey-add baltimore auto.share --key=man --info="-ro,soft,rsize=8192,wsize=8192 ipa.example.com:/shared/man"
Find all keys for the auto.share map:
ipa automountkey-find baltimore auto.share
Find all direct automount keys:
ipa automountkey-find baltimore --key=/-
Remove the man key from the auto.share map:
ipa automountkey-del baltimore auto.share --key=man
Based on the ownership there are three vault categories:
* user/private vault
* service vault
* shared vault
Based on the security mechanism there are three types of
vaults:
* standard vault
* symmetric vault
* asymmetric vault
Baseuser
This contains common definitions for user/stageuser
Bring clarity to the membership of hosts and users by configuring inclusive
or exclusive regex patterns, you can automatically assign a new entries into
a group or hostgroup based upon attribute information.
Classes to manage trust joins using DCE-RPC calls
The code in this module relies heavily on samba4-python package
and Samba4 python bindings.
Cross-realm trusts
Manage trust relationship between IPA and Active Directory domains.
In order to allow users from a remote domain to access resources in IPA
domain, trust relationship needs to be established. Currently IPA supports
only trusts between IPA and Active Directory domains under control of Windows
Server 2008 or later, with functional level 2008 or later.
Please note that DNS on both IPA and Active Directory domain sides should be
configured properly to discover each other. Trust relationship relies on
ability to discover special resources in the other domain via DNS records.
Examples:
1. Establish cross-realm trust with Active Directory using AD administrator
credentials:
ipa trust-add --type=ad <ad.domain> --admin <AD domain administrator> --password
2. List all existing trust relationships:
ipa trust-find
3. Show details of the specific trust relationship:
ipa trust-show <ad.domain>
4. Delete existing trust relationship:
ipa trust-del <ad.domain>
Once trust relationship is established, remote users will need to be mapped
to local POSIX groups in order to actually use IPA resources. The mapping should
be done via use of external membership of non-POSIX group and then this group
should be included into one of local POSIX groups.
Example:
1. Create group for the trusted domain admins' mapping and their local POSIX group:
ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins
2. Add security identifier of Domain Admins of the <ad.domain> to the ad_admins_external
group:
ipa group-add-member ad_admins_external --external 'AD\Domain Admins'
3. Allow members of ad_admins_external group to be associated with ad_admins POSIX group:
ipa group-add-member ad_admins --groups ad_admins_external
4. List members of external members of ad_admins_external group to see their SIDs:
ipa group-show ad_admins_external
GLOBAL TRUST CONFIGURATION
When IPA AD trust subpackage is installed and ipa-adtrust-install is run,
a local domain configuration (SID, GUID, NetBIOS name) is generated. These
identifiers are then used when communicating with a trusted domain of the
particular type.
1. Show global trust configuration for Active Directory type of trusts:
ipa trustconfig-show --type ad
2. Modify global configuration for all trusts of Active Directory type and set
a different fallback primary group (fallback primary group GID is used as
a primary user GID if user authenticating to IPA domain does not have any other
primary GID already set):
ipa trustconfig-mod --type ad --fallback-primary-group "alternative AD group"
3. Change primary fallback group back to default hidden group (any group with
posixGroup object class is allowed):
ipa trustconfig-mod --type ad --fallback-primary-group "Default SMB Group"
DNS configuration passed to command line install script is stored in a local
configuration file on each IPA server where DNS service is configured. These
local settings can be overridden with a common configuration stored in LDAP
server:
DNS server configuration
Data stored on IPA servers is replicated to other IPA servers. The way it is
replicated is defined by replication agreements. Replication agreements needs
to be set for both suffixes separately. On domain level 0 they are managed
using ipa-replica-manage and ipa-csreplica-manage tools. With domain level 1
they are managed centrally using `ipa topology*` commands.
Deleting or renaming a managed permission, as well as changing its target,
is not allowed.
Domain Name System (DNS)
ENROLLMENT:
There are three enrollment scenarios when enrolling a new client:
1. You are enrolling as a full administrator. The host entry may exist
or not. A full administrator is a member of the hostadmin role
or the admins group.
2. You are enrolling as a limited administrator. The host must already
exist. A limited administrator is a member a role with the
Host Enrollment privilege.
3. The host has been created with a one-time password.
EXAMPLES:
Get information about installed IPA servers.
Get status of roles (DNS server, CA, etc.) provided by IPA masters.
Group to Group Delegation
A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.
Group to Group Delegations grants the members of one group to update a set
of attributes of members of another group.
EXAMPLES:
Add a delegation rule to allow managers to edit employee's addresses:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"
When managing the list of attributes you need to include all attributes
in the list, including existing ones. Add postalCode to the list:
ipa delegation-mod --attrs=street --attrs=postalCode --group=managers --membergroup=employees "managers edit employees' street"
Display our updated rule:
ipa delegation-show "managers edit employees' street"
Delete a rule:
ipa delegation-del "managers edit employees' street"
Groups of Sudo Commands
Manage groups of Sudo Commands.
EXAMPLES:
Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds
Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds
Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds
Manage Sudo Command Group membership, commands:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds
Show a Sudo Command Group:
ipa group-show localadmins
Groups of Sudo Commands
Manage groups of Sudo Commands.
EXAMPLES:
Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds
Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds
Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds
Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-remove-member --sudocmds=/usr/bin/less admincmds
Show a Sudo Command Group:
ipa sudocmdgroup-show admincmds
Groups of hosts.
Manage groups of hosts. This is useful for applying access control to a
number of hosts by using Host-based Access Control.
EXAMPLES:
Add a new host group:
ipa hostgroup-add --desc="Baltimore hosts" baltimore
Add another new host group:
ipa hostgroup-add --desc="Maryland hosts" maryland
Add members to the hostgroup (using Bash brace expansion):
ipa hostgroup-add-member --hosts={box1,box2,box3} baltimore
Add a hostgroup as a member of another hostgroup:
ipa hostgroup-add-member --hostgroups=baltimore maryland
Remove a host from the hostgroup:
ipa hostgroup-remove-member --hosts=box2 baltimore
Display a host group:
ipa hostgroup-show baltimore
Delete a hostgroup:
ipa hostgroup-del baltimore
HBAC Service Groups
HBAC service groups can contain any number of individual services,
or "members". Every group must have a description.
EXAMPLES:
Add a new HBAC service group:
ipa hbacsvcgroup-add --desc="login services" login
Add members to an HBAC service group:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd --hbacsvcs=login login
Display information about a named group:
ipa hbacsvcgroup-show login
Delete an HBAC service group:
ipa hbacsvcgroup-del login
HBAC Services
The PAM services that HBAC can control access to. The name used here
must match the service name that PAM is evaluating.
EXAMPLES:
Add a new HBAC service:
ipa hbacsvc-add tftp
Modify an existing HBAC service:
ipa hbacsvc-mod --desc="TFTP service" tftp
Search for HBAC services. This example will return two results, the FTP
service and the newly-added tftp service:
ipa hbacsvc-find ftp
Delete an HBAC service:
ipa hbacsvc-del tftp
Host-based access control
Control who can access what services on what hosts. You
can use HBAC to control which users or groups can
access a service, or group of services, on a target host.
You can also specify a category of users and target hosts.
This is currently limited to "all", but might be expanded in the
future.
Target hosts in HBAC rules must be hosts managed by IPA.
The available services and groups of services are controlled by the
hbacsvc and hbacsvcgroup plug-ins respectively.
EXAMPLES:
Create a rule, "test1", that grants all users access to the host "server" from
anywhere:
ipa hbacrule-add --usercat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1
Display the properties of a named HBAC rule:
ipa hbacrule-show test1
Create a rule for a specific service. This lets the user john access
the sshd service on any machine from any machine:
ipa hbacrule-add --hostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd
Create a rule for a new service group. This lets the user john access
the FTP service on any machine from any machine:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp --hbacsvcs=sftp ftpers
ipa hbacrule-add --hostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp
Disable a named HBAC rule:
ipa hbacrule-disable test1
Remove a named HBAC rule:
ipa hbacrule-del allow_server
Hosts/Machines
A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry
IPA certificate operations
Implements a set of commands for managing server SSL certificates.
Certificate requests exist in the form of a Certificate Signing Request (CSR)
in PEM format.
The dogtag CA uses just the CN value of the CSR and forces the rest of the
subject to values configured in the server.
A certificate is stored with a service principal and a service principal
needs a host.
In order to request a certificate:
* The host must exist
* The service must exist (or you use the --add option to automatically add it)
SEARCHING:
Certificates may be searched on by certificate subject, serial number,
revocation reason, validity dates and the issued date.
When searching on dates the _from date does a >= search and the _to date
does a <= search. When combined these are done as an AND.
Dates are treated as GMT to match the dates in the certificates.
The date format is YYYY-mm-dd.
EXAMPLES:
Request a new certificate and add the principal:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr
Retrieve an existing certificate:
ipa cert-show 1032
Revoke a certificate (see RFC 5280 for reason details):
ipa cert-revoke --revocation-reason=6 1032
Remove a certificate from revocation hold status:
ipa cert-remove-hold 1032
Check the status of a signing request:
ipa cert-status 10
Search for certificates by hostname:
ipa cert-find --subject=ipaserver.example.com
Search for revoked certificates by reason:
ipa cert-find --revocation-reason=5
Search for certificates based on issuance date
ipa cert-find --issuedon-from=2013-02-01 --issuedon-to=2013-02-07
IPA currently immediately issues (or declines) all certificate requests so
the status of a request is not normally useful. This is for future use
or the case where a CA does not immediately issue a certificate.
The following revocation reasons are supported:
* 0 - unspecified
* 1 - keyCompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
* 10 - aACompromise
Note that reason code 7 is not used. See RFC 5280 for more details:
http://www.ietf.org/rfc/rfc5280.txt
IPA locations
IPA provides a designated binddn to use with Sudo located at:
uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com
IPA provides a means to configure the various aspects of Sudo:
Users: The user(s)/group(s) allowed to invoke Sudo.
Hosts: The host(s)/hostgroup(s) which the user is allowed to to invoke Sudo.
Allow Command: The specific command(s) permitted to be run via Sudo.
Deny Command: The specific command(s) prohibited to be run via Sudo.
RunAsUser: The user(s) or group(s) of users whose rights Sudo will be invoked with.
RunAsGroup: The group(s) whose gid rights Sudo will be invoked with.
Options: The various Sudoers Options that can modify Sudo's behavior.
IPA server roles
IPA server's data is stored in LDAP server in two suffixes:
* domain suffix, e.g., 'dc=example,dc=com', contains all domain related data
* ca suffix, 'o=ipaca', is present only on server with CA installed. It
contains data for Certificate Server component
IPA servers
IPA supports the use of OTP tokens for multi-factor authentication. This
code enables the management of OTP tokens.
IPA supports the use of an external RADIUS proxy server for krb5 OTP
authentications. This permits a great deal of flexibility when
integrating with third-party authentication services.
It may be difficult to manipulate such DNS records without making a mistake
and entering an invalid value. DNS module provides an abstraction over these
raw records and allows to manipulate each RR type with specific options. For
each supported RR type, DNS module provides a standard option to manipulate
a raw records with format --<rrtype>-rec, e.g. --mx-rec, and special options
for every part of the RR structure with format --<rrtype>-<partname>, e.g.
--mx-preference and --mx-exchanger.
Joining an IPA domain
Kerberos pkinit options
Enable or disable anonymous pkinit using the principal
WELLKNOWN/ANONYMOUS@REALM. The server must have been installed with
pkinit support.
EXAMPLES:
Enable anonymous pkinit:
ipa pkinit-anonymous enable
Disable anonymous pkinit:
ipa pkinit-anonymous disable
For more information on anonymous pkinit see:
http://k5wiki.kerberos.org/wiki/Projects/Anonymous_pkinit
Kerberos ticket policy
There is a single Kerberos ticket policy. This policy defines the
maximum ticket lifetime and the maximum renewal age, the period during
which the ticket is renewable.
You can also create a per-user ticket policy by specifying the user login.
For changes to the global policy to take effect, restarting the KDC service
is required, which can be achieved using:
service krb5kdc restart
Changes to per-user policies take effect immediately for newly requested
tickets (e.g. when the user next runs kinit).
EXAMPLES:
Display the current Kerberos ticket policy:
ipa krbtpolicy-show
Reset the policy to the default:
ipa krbtpolicy-reset
Modify the policy to 8 hours max life, 1-day max renewal:
ipa krbtpolicy-mod --maxlife=28800 --maxrenew=86400
Display effective Kerberos ticket policy for user 'admin':
ipa krbtpolicy-show admin
Reset per-user policy for user 'admin':
ipa krbtpolicy-reset admin
Modify per-user policy for user 'admin':
ipa krbtpolicy-mod admin --maxlife=3600
Manage CA ACL rules.
This plugin is used to define rules governing which principals are
permitted to have certificates issued using a given certificate
profile.
PROFILE ID SYNTAX:
A Profile ID is a string without spaces or punctuation starting with a letter
and followed by a sequence of letters, digits or underscore ("_").
EXAMPLES:
Create a CA ACL "test" that grants all users access to the
"UserCert" profile:
ipa caacl-add test --usercat=all
ipa caacl-add-profile test --certprofiles UserCert
Display the properties of a named CA ACL:
ipa caacl-show test
Create a CA ACL to let user "alice" use the "DNP3" profile:
ipa caacl-add-profile alice_dnp3 --certprofiles DNP3
ipa caacl-add-user alice_dnp3 --user=alice
Disable a CA ACL:
ipa caacl-disable test
Remove a CA ACL:
ipa caacl-del test
Manage Certificate Profiles
Certificate Profiles are used by Certificate Authority (CA) in the signing of
certificates to determine if a Certificate Signing Request (CSR) is acceptable,
and if so what features and extensions will be present on the certificate.
The Certificate Profile format is the property-list format understood by the
Dogtag or Red Hat Certificate System CA.
PROFILE ID SYNTAX:
A Profile ID is a string without spaces or punctuation starting with a letter
and followed by a sequence of letters, digits or underscore ("_").
EXAMPLES:
Import a profile that will not store issued certificates:
ipa certprofile-import ShortLivedUserCert \
--file UserCert.profile --desc "User Certificates" \
--store=false
Delete a certificate profile:
ipa certprofile-del ShortLivedUserCert
Show information about a profile:
ipa certprofile-show ShortLivedUserCert
Save profile configuration to a file:
ipa certprofile-show caIPAserviceCert --out caIPAserviceCert.cfg
Search for profiles that do not store certificates:
ipa certprofile-find --store=false
PROFILE CONFIGURATION FORMAT:
The profile configuration format is the raw property-list format
used by Dogtag Certificate System. The XML format is not supported.
The following restrictions apply to profiles managed by IPA:
- When importing a profile the "profileId" field, if present, must
match the ID given on the command line.
- The "classId" field must be set to "caEnrollImpl"
- The "auth.instance_id" field must be set to "raCertAuth"
- The "certReqInputImpl" input class and "certOutputImpl" output
class must be used.
Manage DNS zone and resource records.
Manage OTP tokens.
Manage RADIUS Proxy Servers.
Manage YubiKey tokens.
Manage vaults.
Managed permissions
Manipulate DNS locations
Manipulate DNS server configuration
Migration to IPA
Migrate users and groups from an LDAP server to IPA.
This performs an LDAP query against the remote server searching for
users and groups in a container. In order to migrate passwords you need
to bind as a user that can read the userPassword attribute on the remote
server. This is generally restricted to high-level admins such as
cn=Directory Manager in 389-ds (this is the default bind user).
The default user container is ou=People.
The default group container is ou=Groups.
Users and groups that already exist on the IPA server are skipped.
Two LDAP schemas define how group members are stored: RFC2307 and
RFC2307bis. RFC2307bis uses member and uniquemember to specify group
members, RFC2307 uses memberUid. The default schema is RFC2307bis.
The schema compat feature allows IPA to reformat data for systems that
do not support RFC2307bis. It is recommended that this feature is disabled
during migration to reduce system overhead. It can be re-enabled after
migration. To migrate with it enabled use the "--with-compat" option.
Migrated users do not have Kerberos credentials, they have only their
LDAP password. To complete the migration process, users need to go
to http://ipa.example.com/ipa/migration and authenticate using their
LDAP password in order to generate their Kerberos credentials.
Migration is disabled by default. Use the command ipa config-mod to
enable it:
ipa config-mod --enable-migration=TRUE
If a base DN is not provided with --basedn then IPA will use either
the value of defaultNamingContext if it is set or the first value
in namingContexts set in the root of the remote LDAP server.
Users are added as members to the default user group. This can be a
time-intensive task so during migration this is done in a batch
mode for every 100 users. As a result there will be a window in which
users will be added to IPA but will not be members of the default
user group.
EXAMPLES:
The simplest migration, accepting all defaults:
ipa migrate-ds ldap://ds.example.com:389
Specify the user and group container. This can be used to migrate user
and group data from an IPA v1 server:
ipa migrate-ds --user-container='cn=users,cn=accounts' --group-container='cn=groups,cn=accounts' ldap://ds.example.com:389
Since IPA v2 server already contain predefined groups that may collide with
groups in migrated (IPA v1) server (for example admins, ipausers), users
having colliding group as their primary group may happen to belong to
an unknown group on new IPA v2 server.
Use --group-overwrite-gid option to overwrite GID of already existing groups
to prevent this issue:
ipa migrate-ds --group-overwrite-gid --user-container='cn=users,cn=accounts' --group-container='cn=groups,cn=accounts' ldap://ds.example.com:389
Migrated users or groups may have object class and accompanied attributes
unknown to the IPA v2 server. These object classes and attributes may be
left out of the migration process:
ipa migrate-ds --user-container='cn=users,cn=accounts' --group-container='cn=groups,cn=accounts' --user-ignore-objectclass=radiusprofile --user-ignore-attribute=radiusgroupname ldap://ds.example.com:389
LOGGING
Migration will log warnings and errors to the Apache error log. This
file should be evaluated post-migration to correct or investigate any
issues that were discovered.
For every 100 users migrated an info-level message will be displayed to
give the current progress and duration to make it possible to track
the progress of migration.
If the log level is debug, either by setting debug = True in
/etc/ipa/default.conf or /etc/ipa/server.conf, then an entry will be printed
for each user added plus a summary when the default user group is
updated.
Migration to IPA
Migrate users and groups from an LDAP server to IPA.
This performs an LDAP query against the remote server searching for
users and groups in a container. In order to migrate passwords you need
to bind as a user that can read the userPassword attribute on the remote
server. This is generally restricted to high-level admins such as
cn=Directory Manager in 389-ds (this is the default bind user).
The default user container is ou=People.
The default group container is ou=Groups.
Users and groups that already exist on the IPA server are skipped.
Two LDAP schemas define how group members are stored: RFC2307 and
RFC2307bis. RFC2307bis uses member and uniquemember to specify group
members, RFC2307 uses memberUid. The default schema is RFC2307bis.
The schema compat feature allows IPA to reformat data for systems that
do not support RFC2307bis. It is recommended that this feature is disabled
during migration to reduce system overhead. It can be re-enabled after
migration. To migrate with it enabled use the "--with-compat" option.
Migrated users do not have Kerberos credentials, they have only their
LDAP password. To complete the migration process, users need to go
to http://ipa.example.com/ipa/migration and authenticate using their
LDAP password in order to generate their Kerberos credentials.
Migration is disabled by default. Use the command ipa config-mod to
enable it:
ipa config-mod --enable-migration=TRUE
If a base DN is not provided with --basedn then IPA will use either
the value of defaultNamingContext if it is set or the first value
in namingContexts set in the root of the remote LDAP server.
Users are added as members to the default user group. This can be a
time-intensive task so during migration this is done in a batch
mode for every 100 users. As a result there will be a window in which
users will be added to IPA but will not be members of the default
user group.
EXAMPLES:
The simplest migration, accepting all defaults:
ipa migrate-ds ldap://ds.example.com:389
Specify the user and group container. This can be used to migrate user
and group data from an IPA v1 server:
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Since IPA v2 server already contain predefined groups that may collide with
groups in migrated (IPA v1) server (for example admins, ipausers), users
having colliding group as their primary group may happen to belong to
an unknown group on new IPA v2 server.
Use --group-overwrite-gid option to overwrite GID of already existing groups
to prevent this issue:
ipa migrate-ds --group-overwrite-gid \
--user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Migrated users or groups may have object class and accompanied attributes
unknown to the IPA v2 server. These object classes and attributes may be
left out of the migration process:
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
--user-ignore-objectclass=radiusprofile \
--user-ignore-attribute=radiusgroupname \
ldap://ds.example.com:389
LOGGING
Migration will log warnings and errors to the Apache error log. This
file should be evaluated post-migration to correct or investigate any
issues that were discovered.
For every 100 users migrated an info-level message will be displayed to
give the current progress and duration to make it possible to track
the progress of migration.
If the log level is debug, either by setting debug = True in
/etc/ipa/default.conf or /etc/ipa/server.conf, then an entry will be printed
for each user added plus a summary when the default user group is
updated.
Misc plug-ins
Netgroups
A netgroup is a group used for permission checking. It can contain both
user and host values.
EXAMPLES:
Add a new netgroup:
ipa netgroup-add --desc="NFS admins" admins
Add members to the netgroup:
ipa netgroup-add-member --users=tuser1 --users=tuser2 admins
Remove a member from the netgroup:
ipa netgroup-remove-member --users=tuser2 admins
Display information about a netgroup:
ipa netgroup-show admins
Delete a netgroup:
ipa netgroup-del admins
Note the distinction between attributes and entries. The permissions are
independent, so being able to add a user does not mean that the user will
be editable.
OTP Tokens
OTP Tokens
Manage OTP tokens.
IPA supports the use of OTP tokens for multi-factor authentication. This
code enables the management of OTP tokens.
EXAMPLES:
Add a new token:
ipa otptoken-add --type=totp --owner=jdoe --desc="My soft token"
Examine the token:
ipa otptoken-show a93db710-a31a-4639-8647-f15b2c70b78a
Change the vendor:
ipa otptoken-mod a93db710-a31a-4639-8647-f15b2c70b78a --vendor="Red Hat"
Delete a token:
ipa otptoken-del a93db710-a31a-4639-8647-f15b2c70b78a
OTP configuration
Manage the default values that IPA uses for OTP tokens.
EXAMPLES:
Show basic OTP configuration:
ipa otpconfig-show
Show all OTP configuration options:
ipa otpconfig-show --all
Change maximum TOTP authentication window to 10 minutes:
ipa otpconfig-mod --totp-auth-window=600
Change maximum TOTP synchronization window to 12 hours:
ipa otpconfig-mod --totp-sync-window=43200
Change maximum HOTP authentication window to 5:
ipa hotpconfig-mod --hotp-auth-window=5
Change maximum HOTP synchronization window to 50:
ipa hotpconfig-mod --hotp-sync-window=50
Password policy
A password policy sets limitations on IPA passwords, including maximum
lifetime, minimum lifetime, the number of passwords to save in
history, the number of character classes required (for stronger passwords)
and the minimum password length.
By default there is a single, global policy for all users. You can also
create a password policy to apply to a group. Each user is only subject
to one password policy, either the group policy or the global policy. A
group policy stands alone; it is not a super-set of the global policy plus
custom settings.
Each group password policy requires a unique priority setting. If a user
is in multiple groups that have password policies, this priority determines
which password policy is applied. A lower value indicates a higher priority
policy.
Group password policies are automatically removed when the groups they
are associated with are removed.
EXAMPLES:
Modify the global policy:
ipa pwpolicy-mod --minlength=10
Add a new group password policy:
ipa pwpolicy-add --maxlife=90 --minlife=1 --history=10 --minclasses=3 --minlength=8 --priority=10 localadmins
Display the global password policy:
ipa pwpolicy-show
Display a group password policy:
ipa pwpolicy-show localadmins
Display the policy that would be applied to a given user:
ipa pwpolicy-show --user=tuser1
Modify a group password policy:
ipa pwpolicy-mod --minclasses=2 localadmins
Permissions
Permissions that come with IPA by default can be so-called "managed"
permissions. These have a default set of attributes they apply to,
but the administrator can add/remove individual attributes to/from the set.
Ping the remote IPA server to ensure it is running.
The ping command sends an echo request to an IPA server. The server
returns its version information. This is used by an IPA client
to confirm that the server is available and accepting requests.
The server from xmlrpc_uri in /etc/ipa/default.conf is contacted first.
If it does not respond then the client will contact any servers defined
by ldap SRV records in DNS.
EXAMPLES:
Ping an IPA server:
ipa ping
------------------------------------------
IPA server version 2.1.9. API version 2.20
------------------------------------------
Ping an IPA server verbosely:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server 'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
IPA server version 2.1.9. API version 2.20
-----------------------------------------------------
Plugins not accessible directly through the CLI, commands used internally
Privileges
A privilege combines permissions into a logical task. A permission provides
the rights to do a single task. There are some IPA operations that require
multiple permissions to succeed. A privilege is where permissions are
combined in order to perform a specific task.
For example, adding a user requires the following permissions:
* Creating a new user entry
* Resetting a user password
* Adding the new user to the default IPA users group
Combining these three low-level tasks into a higher level task in the
form of a privilege named "Add User" makes it easier to manage Roles.
A privilege may not contain other privileges.
See role and permission for additional information.
Provides API introspection capabilities.
RADIUS Proxy Servers
RADIUS Proxy Servers
Manage RADIUS Proxy Servers.
IPA supports the use of an external RADIUS proxy server for krb5 OTP
authentications. This permits a great deal of flexibility when
integrating with third-party authentication services.
EXAMPLES:
Add a new server:
ipa radiusproxy-add MyRADIUS --server=radius.example.com:1812
Find all servers whose entries include the string "example.com":
ipa radiusproxy-find example.com
Examine the configuration:
ipa radiusproxy-show MyRADIUS
Change the secret:
ipa radiusproxy-mod MyRADIUS --secret
Delete a configuration:
ipa radiusproxy-del MyRADIUS
RE-ENROLLMENT:
Host that has been enrolled at some point, and lost its configuration (e.g. VM
destroyed) can be re-enrolled.
For more information, consult the manual pages for ipa-client-install.
A host can optionally store information such as where it is located,
the OS that it runs, etc.
Raise the IPA Domain Level.
Realm domains
Manage the list of domains associated with IPA realm.
EXAMPLES:
Display the current list of realm domains:
ipa realmdomains-show
Replace the list of realm domains:
ipa realmdomains-mod --domain=example.com
ipa realmdomains-mod --domain={example1.com,example2.com,example3.com}
Add a domain to the list of realm domains:
ipa realmdomains-mod --add-domain=newdomain.com
Delete a domain from the list of realm domains:
ipa realmdomains-mod --del-domain=olddomain.com
Removal of '%(hostname)s' leads to disconnected topology in suffix '%(suffix)s':
%(errors)s
Replication topology in suffix '%(suffix)s' is disconnected:
%(errors)s
Rights define what operations are allowed, and may be one or more
of the following:
1. write - write one or more attributes
2. read - read one or more attributes
3. search - search on one or more attributes
4. compare - compare one or more attributes
5. add - add a new entry to the tree
6. delete - delete an existing entry
7. all - all permissions are granted
Roles
A role is used for fine-grained delegation. A permission grants the ability
to perform given low-level tasks (add a user, modify a group, etc.). A
privilege combines one or more permissions into a higher-level abstraction
such as useradmin. A useradmin would be able to add, delete and modify users.
Privileges are assigned to Roles.
Users, groups, hosts and hostgroups may be members of a Role.
Roles can not contain other roles.
EXAMPLES:
Add a new role:
ipa role-add --desc="Junior-level admin" junioradmin
Add some privileges to this role:
ipa role-add-privilege --privileges=addusers junioradmin
ipa role-add-privilege --privileges=change_password junioradmin
ipa role-add-privilege --privileges=add_user_to_default_group junioradmin
Add a group of users to this role:
ipa group-add --desc="User admins" useradmins
ipa role-add-member --groups=useradmins junioradmin
Display information about a role:
ipa role-show junioradmin
The result of this is that any users in the group 'junioradmin' can
add users, reset passwords or add a user to the default IPA user group.
SELinux User Mapping
Map IPA users to SELinux users by host.
Hosts, hostgroups, users and groups can be either defined within
the rule or it may point to an existing HBAC rule. When using
--hbacrule option to selinuxusermap-find an exact match is made on the
HBAC rule name, so only one or zero entries will be returned.
EXAMPLES:
Create a rule, "test1", that sets all users to xguest_u:s0 on the host "server":
ipa selinuxusermap-add --usercat=all --selinuxuser=xguest_u:s0 test1
ipa selinuxusermap-add-host --hosts=server.example.com test1
Create a rule, "test2", that sets all users to guest_u:s0 and uses an existing HBAC rule for users and hosts:
ipa selinuxusermap-add --usercat=all --hbacrule=webserver --selinuxuser=guest_u:s0 test2
Display the properties of a rule:
ipa selinuxusermap-show test2
Create a rule for a specific user. This sets the SELinux context for
user john to unconfined_u:s0-s0:c0.c1023 on any machine:
ipa selinuxusermap-add --hostcat=all --selinuxuser=unconfined_u:s0-s0:c0.c1023 john_unconfined
ipa selinuxusermap-add-user --users=john john_unconfined
Disable a rule:
ipa selinuxusermap-disable test1
Enable a rule:
ipa selinuxusermap-enable test1
Find a rule referencing a specific HBAC rule:
ipa selinuxusermap-find --hbacrule=allow_some
Remove a rule:
ipa selinuxusermap-del john_unconfined
SEEALSO:
The list controlling the order in which the SELinux user map is applied
and the default SELinux user are available in the config-show command.
SUPPORTED ZONE TYPES
* Master zone (dnszone-*), contains authoritative data.
* Forward zone (dnsforwardzone-*), forwards queries to configured forwarders
(a set of DNS servers).
Self-service Permissions
A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.
A Self-service permission defines what an object can change in its own entry.
EXAMPLES:
Add a self-service rule to allow users to manage their address (using Bash
brace expansion):
ipa selfservice-add --permissions=write --attrs={street,postalCode,l,c,st} "Users manage their own address"
When managing the list of attributes you need to include all attributes
in the list, including existing ones.
Add telephoneNumber to the list (using Bash brace expansion):
ipa selfservice-mod --attrs={street,postalCode,l,c,st,telephoneNumber} "Users manage their own address"
Display our updated rule:
ipa selfservice-show "Users manage their own address"
Delete a rule:
ipa selfservice-del "Users manage their own address"
Server configuration
Manage the default values that IPA uses and some of its tuning parameters.
NOTES:
The password notification value (--pwdexpnotify) is stored here so it will
be replicated. It is not currently used to notify users in advance of an
expiring password.
Some attributes are read-only, provided only for information purposes. These
include:
Certificate Subject base: the configured certificate subject base,
e.g. O=EXAMPLE.COM. This is configurable only at install time.
Password plug-in features: currently defines additional hashes that the
password will generate (there may be other conditions).
When setting the order list for mapping SELinux users you may need to
quote the value so it isn't interpreted by the shell.
EXAMPLES:
Show basic server configuration:
ipa config-show
Show all configuration options:
ipa config-show --all
Change maximum username length to 99 characters:
ipa config-mod --maxusername=99
Increase default time and size limits for maximum IPA server search:
ipa config-mod --searchtimelimit=10 --searchrecordslimit=2000
Set default user e-mail domain:
ipa config-mod --emaildomain=example.com
Enable migration mode to make "ipa migrate-ds" command operational:
ipa config-mod --enable-migration=TRUE
Define SELinux user map order:
ipa config-mod --ipaselinuxusermaporder='guest_u:s0$xguest_u:s0$user_u:s0-s0:c0.c1023$staff_u:s0-s0:c0.c1023$unconfined_u:s0-s0:c0.c1023'
Service Constrained Delegation
Manage rules to allow constrained delegation of credentials so
that a service can impersonate a user when communicating with another
service without requiring the user to actually forward their TGT.
This makes for a much better method of delegating credentials as it
prevents exposure of the short term secret of the user.
The naming convention is to append the word "target" or "targets" to
a matching rule name. This is not mandatory but helps conceptually
to associate rules and targets.
A rule consists of two things:
- A list of targets the rule applies to
- A list of memberPrincipals that are allowed to delegate for
those targets
A target consists of a list of principals that can be delegated.
In English, a rule says that this principal can delegate as this
list of principals, as defined by these targets.
EXAMPLES:
Add a new constrained delegation rule:
ipa servicedelegationrule-add ftp-delegation
Add a new constrained delegation target:
ipa servicedelegationtarget-add ftp-delegation-target
Add a principal to the rule:
ipa servicedelegationrule-add-member --principals=ftp/ipa.example.com ftp-delegation
Add our target to the rule:
ipa servicedelegationrule-add-target --servicedelegationtargets=ftp-delegation-target ftp-delegation
Add a principal to the target:
ipa servicedelegationtarget-add-member --principals=ldap/ipa.example.com ftp-delegation-target
Display information about a named delegation rule and target:
ipa servicedelegationrule_show ftp-delegation
ipa servicedelegationtarget_show ftp-delegation-target
Remove a constrained delegation:
ipa servicedelegationrule-del ftp-delegation-target
ipa servicedelegationtarget-del ftp-delegation
In this example the ftp service can get a TGT for the ldap service on
the bound user's behalf.
It is strongly discouraged to modify the delegations that ship with
IPA, ipa-http-delegation and its targets ipa-cifs-delegation-targets and
ipa-ldap-delegation-targets. Incorrect changes can remove the ability
to delegate, causing the framework to stop functioning.
Services
A IPA service represents a service that runs on a host. The IPA service
record can store a Kerberos principal, an SSL certificate, or both.
An IPA service can be managed directly from a machine, provided that
machine has been given the correct permission. This is true even for
machines other than the one the service is associated with. For example,
requesting an SSL certificate using the host service principal credentials
of the host. To manage a service using host credentials you need to
kinit as the host:
# kinit -kt /etc/krb5.keytab host/ipa.example.com@EXAMPLE.COM
Adding an IPA service allows the associated service to request an SSL
certificate or keytab, but this is performed as a separate step; they
are not produced as a result of adding the service.
Only the public aspect of a certificate is stored in a service record;
the private key is not stored.
EXAMPLES:
Add a new IPA service:
ipa service-add HTTP/web.example.com
Allow a host to manage an IPA service certificate:
ipa service-add-host --hosts=web.example.com HTTP/web.example.com
ipa role-add-member --hosts=web.example.com certadmin
Override a default list of supported PAC types for the service:
ipa service-mod HTTP/web.example.com --pac-type=MS-PAC
A typical use case where overriding the PAC type is needed is NFS.
Currently the related code in the Linux kernel can only handle Kerberos
tickets up to a maximal size. Since the PAC data can become quite large it
is recommended to set --pac-type=NONE for NFS services.
Delete an IPA service:
ipa service-del HTTP/web.example.com
Find all IPA services associated with a host:
ipa service-find web.example.com
Find all HTTP services:
ipa service-find HTTP
Disable the service Kerberos key and SSL certificate:
ipa service-disable HTTP/web.example.com
Request a certificate for an IPA service:
ipa cert-request --principal=HTTP/web.example.com example.csr
Set a user's password
If someone other than a user changes that user's password (e.g., Helpdesk
resets it) then the password will need to be changed the first time it
is used. This is so the end-user is the only one who knows the password.
The IPA password policy controls how often a password may be changed,
what strength requirements exist, and the length of the password history.
EXAMPLES:
To reset your own password:
ipa passwd
To change another user's password:
ipa passwd tuser1
Simulate use of Host-based access controls
HBAC rules control who can access what services on what hosts.
You can use HBAC to control which users or groups can access a service,
or group of services, on a target host.
Since applying HBAC rules implies use of a production environment,
this plugin aims to provide simulation of HBAC rules evaluation without
having access to the production environment.
Test user coming to a service on a named host against
existing enabled rules.
ipa hbactest --user= --host= --service=
[--rules=rules-list] [--nodetail] [--enabled] [--disabled]
[--sizelimit= ]
--user, --host, and --service are mandatory, others are optional.
If --rules is specified simulate enabling of the specified rules and test
the login of the user using only these rules.
If --enabled is specified, all enabled HBAC rules will be added to simulation
If --disabled is specified, all disabled HBAC rules will be added to simulation
If --nodetail is specified, do not return information about rules matched/not matched.
If both --rules and --enabled are specified, apply simulation to --rules _and_
all IPA enabled rules.
If no --rules specified, simulation is run against all IPA enabled rules.
By default there is a IPA-wide limit to number of entries fetched, you can change it
with --sizelimit option.
EXAMPLES:
1. Use all enabled HBAC rules in IPA database to simulate:
$ ipa hbactest --user=a1a --host=bar --service=sshd
--------------------
Access granted: True
--------------------
Not matched rules: my-second-rule
Not matched rules: my-third-rule
Not matched rules: myrule
Matched rules: allow_all
2. Disable detailed summary of how rules were applied:
$ ipa hbactest --user=a1a --host=bar --service=sshd --nodetail
--------------------
Access granted: True
--------------------
3. Test explicitly specified HBAC rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd \
--rules=myrule --rules=my-second-rule
---------------------
Access granted: False
---------------------
Not matched rules: my-second-rule
Not matched rules: myrule
4. Use all enabled HBAC rules in IPA database + explicitly specified rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd \
--rules=myrule --rules=my-second-rule --enabled
--------------------
Access granted: True
--------------------
Not matched rules: my-second-rule
Not matched rules: my-third-rule
Not matched rules: myrule
Matched rules: allow_all
5. Test all disabled HBAC rules in IPA database:
$ ipa hbactest --user=a1a --host=bar --service=sshd --disabled
---------------------
Access granted: False
---------------------
Not matched rules: new-rule
6. Test all disabled HBAC rules in IPA database + explicitly specified rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd \
--rules=myrule --rules=my-second-rule --disabled
---------------------
Access granted: False
---------------------
Not matched rules: my-second-rule
Not matched rules: my-third-rule
Not matched rules: myrule
7. Test all (enabled and disabled) HBAC rules in IPA database:
$ ipa hbactest --user=a1a --host=bar --service=sshd \
--enabled --disabled
--------------------
Access granted: True
--------------------
Not matched rules: my-second-rule
Not matched rules: my-third-rule
Not matched rules: myrule
Not matched rules: new-rule
Matched rules: allow_all
HBACTEST AND TRUSTED DOMAINS
When an external trusted domain is configured in IPA, HBAC rules are also applied
on users accessing IPA resources from the trusted domain. Trusted domain users and
groups (and their SIDs) can be then assigned to external groups which can be
members of POSIX groups in IPA which can be used in HBAC rules and thus allowing
access to resources protected by the HBAC system.
hbactest plugin is capable of testing access for both local IPA users and users
from the trusted domains, either by a fully qualified user name or by user SID.
Such user names need to have a trusted domain specified as a short name
(DOMAIN\Administrator) or with a user principal name (UPN), Administrator@ad.test.
Please note that hbactest executed with a trusted domain user as --user parameter
can be only run by members of "trust admins" group.
EXAMPLES:
1. Test if a user from a trusted domain specified by its shortname matches any
rule:
$ ipa hbactest --user 'DOMAIN\Administrator' --host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Matched rules: can_login
2. Test if a user from a trusted domain specified by its domain name matches
any rule:
$ ipa hbactest --user 'Administrator@domain.com' --host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Matched rules: can_login
3. Test if a user from a trusted domain specified by its SID matches any rule:
$ ipa hbactest --user S-1-5-21-3035198329-144811719-1378114514-500 \
--host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Matched rules: can_login
4. Test if other user from a trusted domain specified by its SID matches any rule:
$ ipa hbactest --user S-1-5-21-3035198329-144811719-1378114514-1203 \
--host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Not matched rules: can_login
5. Test if other user from a trusted domain specified by its shortname matches
any rule:
$ ipa hbactest --user 'DOMAIN\Otheruser' --host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Not matched rules: can_login
Standard vault uses a secure mechanism to transport and
store the secret. The secret can only be retrieved by users
that have access to the vault.
Sudo (su "do") allows a system administrator to delegate authority to
give certain users (or groups of users) the ability to run some (or all)
commands as root or another user while providing an audit trail of the
commands and their arguments.
Sudo Commands
Commands used as building blocks for sudo
EXAMPLES:
Create a new command
ipa sudocmd-add --desc='For reading log files' /usr/bin/less
Remove a command
ipa sudocmd-del /usr/bin/less
Sudo Commands
Commands used as building blocks for sudo
EXAMPLES:
Create a new command
ipa sudocmd-add --desc='For reading log files' /usr/bin/less
Remove a command
ipa sudocmd-del /usr/bin/less
Sudo Rules
Symmetric vault is similar to the standard vault, but it
pre-encrypts the secret using a password before transport.
The secret can only be retrieved using the same password.
The automember-rebuild command can be used to retroactively run automember rules
against existing entries, thus rebuilding their membership.
There are a number of allowed targets:
1. subtree: a DN; the permission applies to the subtree under this DN
2. target filter: an LDAP filter
3. target: DN with possible wildcards, specifies entries permission applies to
There are many structured DNS RR types where DNS data stored in LDAP server
is not just a scalar value, for example an IP address or a domain name, but
a data structure which may be often complex. A good example is a LOC record
[RFC1876] which consists of many mandatory and optional parts (degrees,
minutes, seconds of latitude and longitude, altitude or precision).
This code is an extension to the otptoken plugin and provides support for
reading/writing YubiKey tokens directly.
To enable the binddn run the following command to set the password:
LDAPTLS_CACERT=/etc/ipa/ca.crt /usr/bin/ldappasswd -S -W -H ldap://ipa.example.com -ZZ -D "cn=Directory Manager" uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com
To verify that no server is disconnected in the topology of the given suffix,
use:
ipa topologysuffix-verify $suffix
Topology
Management of a replication topology at domain level 1.
Topology
Management of a replication topology.
Requires minimum domain level 1.
USING STRUCTURED PER-TYPE OPTIONS
User vaults are vaults owned used by a particular user. Private
vaults are vaults owned the current user. Service vaults are
vaults owned by a service. Shared vaults are owned by the admin
but they can be used by other users or services.
Users
Manage user entries. All users are POSIX users.
IPA supports a wide range of username formats, but you need to be aware of any
restrictions that may apply to your particular environment. For example,
usernames that start with a digit or usernames that exceed a certain length
may cause problems for some UNIX systems.
Use 'ipa config-mod' to change the username format allowed by IPA tools.
Disabling a user account prevents that user from obtaining new Kerberos
credentials. It does not invalidate any credentials that have already
been issued.
Password management is not a part of this module. For more information
about this topic please see: ipa help passwd
Account lockout on password failure happens per IPA master. The user-status
command can be used to identify which master the user is locked out on.
It is on that master the administrator must unlock the user.
EXAMPLES:
Add a new user:
ipa user-add --first=Tim --last=User --password tuser1
Find all users whose entries include the string "Tim":
ipa user-find Tim
Find all users with "Tim" as the first name:
ipa user-find --first=Tim
Disable a user account:
ipa user-disable tuser1
Enable a user account:
ipa user-enable tuser1
Delete a user:
ipa user-del tuser1
Vaults
Verify replication topology for suffix.
Checks done:
1. check if a topology is not disconnected. In other words if there are
replication paths between all servers.
2. check if servers don't have more than the recommended number of
replication agreements
When adding a record, either RR specific options or standard option for a raw
value can be used, they just should not be combined in one add operation. When
modifying an existing entry, new RR specific options can be used to change
one part of a DNS record, where the standard option for raw value is used
to specify the modified value. The following example demonstrates
a modification of MX record preference from 0 to 1 in a record without
modifying the exchanger:
ipa dnsrecord-mod --mx-rec="0 mx.example.com." --mx-preference=1
YubiKey Tokens
ipa <command> --help -8 '${cn}' Alternatively, following servers are capable of running this command: %(masters)s "%s" is not a valid permission type "%s" is not an object type ${count} certificate(s) present ${count} item(s) added ${count} item(s) deleted ${count} item(s) disabled ${count} item(s) enabled ${count} item(s) removed ${count} option(s) removed ${count} user(s) activated ${count} user(s) restored ${count} users(s) staged ${entity} ${primary_key} Settings ${entity} ${primary_key} updated ${entity} successfully added ${primary_key} applies to: ${primary_key} is a member of: ${primary_key} is managed by: ${primary_key} members: ${primary_key} overrides: ${product}, version: ${version} %(attr)s does not contain '%(value)s' %(attr)s: Invalid syntax. %(attr)s: Only one value allowed. %(container)s LDAP search did not return any result (search base: %(search_base)s, objectclass: %(objectclass)s) %(count)d %(type)s record skipped. Only one value per DNS record type can be modified at one time. %(count)d %(type)s records skipped. Only one value per DNS record type can be modified at one time. %(count)d ACI matched %(count)d ACIs matched %(count)d CA ACL matched %(count)d CA ACLs matched %(count)d CA matched %(count)d CAs matched %(count)d DNS server matched %(count)d DNS servers matched %(count)d Group ID override matched %(count)d Group ID overrides matched %(count)d HBAC rule matched %(count)d HBAC rules matched %(count)d HBAC service group matched %(count)d HBAC service groups matched %(count)d HBAC service matched %(count)d HBAC services matched %(count)d ID View matched %(count)d ID Views matched %(count)d ID override matched %(count)d ID overrides matched %(count)d IPA location matched %(count)d IPA locations matched %(count)d IPA server matched %(count)d IPA servers matched %(count)d OTP token matched %(count)d OTP tokens matched %(count)d RADIUS proxy server matched %(count)d RADIUS proxy servers matched %(count)d SELinux User Map matched %(count)d SELinux User Maps matched %(count)d Sudo Command Group matched %(count)d Sudo Command Groups matched %(count)d Sudo Command matched %(count)d Sudo Commands matched %(count)d Sudo Rule matched %(count)d Sudo Rules matched %(count)d User ID override matched %(count)d User ID overrides matched %(count)d automount key matched %(count)d automount keys matched %(count)d automount location matched %(count)d automount locations matched %(count)d automount map matched %(count)d automount maps matched %(count)d certificate matched %(count)d certificates matched %(count)d delegation matched %(count)d delegations matched %(count)d group matched %(count)d groups matched %(count)d host matched %(count)d hosts matched %(count)d hostgroup matched %(count)d hostgroups matched %(count)d netgroup matched %(count)d netgroups matched %(count)d permission matched %(count)d permissions matched %(count)d plugin loaded %(count)d plugins loaded %(count)d privilege matched %(count)d privileges matched %(count)d profile matched %(count)d profiles matched %(count)d range matched %(count)d ranges matched %(count)d role matched %(count)d roles matched %(count)d rules matched %(count)d rules matched %(count)d segment matched %(count)d segments matched %(count)d selfservice matched %(count)d selfservices matched %(count)d service delegation rule matched %(count)d service delegation rules matched %(count)d service delegation target matched %(count)d service delegation targets matched %(count)d service matched %(count)d services matched %(count)d topology suffix matched %(count)d topology suffixes matched %(count)d trust matched %(count)d trusts matched %(count)d user matched %(count)d users matched %(count)d variables %(count)d vault matched %(count)d vaults matched %(count)s server role matched %(count)s server roles matched %(cver)s client incompatible with %(sver)s server at '%(server)s' %(desc)s: %(info)s %(exception)s %(host)s failed %(host)s failed: %(error)s %(info)s %(key)s cannot be deleted because %(label)s %(dependent)s requires it %(key)s cannot be deleted or disabled because it is the last member of %(label)s %(container)s %(label)s %(key)s cannot be deleted/modified: %(reason)s %(line)s %(name)s certificate is not valid %(obj)s default attribute %(attr)s would not be allowed! %(oname)s with name "%(pkey)s" already exists %(otype)s "%(oname)s" not found %(parent)s: %(oname)s not found %(pkey)s: %(oname)s not found %(port)s is not a valid port %(reason)s %(task)s LDAP task timeout, Task DN: '%(task_dn)s' %(type)s category cannot be set to 'all' while there are allowed %(objects)s %(user)s is not a POSIX user %(value)s %i CA added. %i CA removed. %i CAs added. %i CAs removed. %i host or hostgroup added. %i host or hostgroup removed. %i hosts or hostgroups added. %i hosts or hostgroups removed. %i profile added. %i profile removed. %i profiles added. %i profiles removed. %i service added. %i service removed. %i services added. %i services removed. %i user or group added. %i user or group removed. %i users or groups added. %i users or groups removed. %s %s Record %s is not a valid attribute. %s record %s to add %s to exclude from migration %s to remove %s: group not found %s: user is already preserved '${port}' is not a valid port '%(command)s' is deprecated. %(additional_info)s '%(entry)s' doesn't have a certificate. '%(name)s' is required '%(option)s' option is deprecated. %(additional_info)s '%(required)s' must not be empty when '%(name)s' is set '%s' is a required part of DNS record (deprecated) (see RFC %s for details) . Check GID of the existing group. Use --group-overwrite-gid option to overwrite the GID 7 is not a valid revocation reason <ol> <li>Create a certificate database or use an existing one. To create a new database:<br/> <code># certutil -N -d <database path></code> </li> <li>Create a CSR with subject <em>CN=<${cn_name}>,O=<realm></em>, for example:<br/> <code># certutil -R -d <database path> -a -g <key size> -s 'CN=${cn},O=${realm}'${san}</code> </li> <li> Copy and paste the CSR (from <em>-----BEGIN NEW CERTIFICATE REQUEST-----</em> to <em>-----END NEW CERTIFICATE REQUEST-----</em>) into the text area below: </li> </ol> <p>Implicit method (password) will be used if no method is chosen.</p><p><strong>Password + Two-factor:</strong> LDAP and Kerberos allow authentication with either one of the authentication types but Kerberos uses pre-authentication method which requires to use armor ccache.</p><p><strong>RADIUS with another type:</strong> Kerberos always use RADIUS, but LDAP never does. LDAP only recognize the password and two-factor authentication options.</p> <p>Per-user setting, overwrites the global setting if any option is checked.</p><p><strong>Password + Two-factor:</strong> LDAP and Kerberos allow authentication with either one of the authentication types but Kerberos uses pre-authentication method which requires to use armor ccache.</p><p><strong>RADIUS with another type:</strong> Kerberos always use RADIUS, but LDAP never does. LDAP only recognize the password and two-factor authentication options.</p> A Create reverse A IP Address A SYSTEM permission may not be modified or removed A comma-separated list of fields to search in when searching for groups A comma-separated list of fields to search in when searching for users A description of this RADIUS proxy server A description of this auto member rule A description of this command A description of this host A description of this host-group A description of this role-group A dictionary representing an LDAP entry A group may not be a member of itself A group may not be added as a member of itself A host willing to act as a key exchanger A host willing to act as a mail exchanger A hostname which this alias hostname points to A list of ACI values A list of LDAP entries A list of SELinux users delimited by $ expected A managed group cannot have a password policy. A problem was encountered when verifying that all members were %(verb)s: %(exc)s A record A space separated list of attributes which are removed from replication updates. A string searched in all relevant object attributes A6 Record data A6 record AA Compromise AAAA Create reverse AAAA IP Address AAAA record ACI ACI name ACI of permission %s was not found ACI prefix ACI prefix is required ACI with name "%s" not found ACIs ACL name AD DC was unable to reach any IPA domain controller. Most likely it is a DNS or firewall issue AD Trust setup AD domain controller AD domain controller complains about communication sequence. It may mean unsynchronized time on both sides, for example AFSDB Hostname AFSDB Subtype AFSDB record API Browser API Version number was not sent, forward compatibility not guaranteed. Assuming server's API version, %(server_version)s APL record About Access Denied Access Granted Access granted: %s Access this host Access time Accessing Account Account Settings Account Status Account disabled Account disabled: %(disabled)s Actions Activate Activate a stage user "%(value)s" Activate a stage user. Active Directory domain Active Directory domain administrator Active Directory domain administrator's password Active Directory domain range Active Directory domain with POSIX attributes Active Directory trust range with POSIX attributes Active Directory winsync Active directory domain administrator's password Active users Active zone Add Add CAs to a CA ACL. Add Custom Attribute Add Custom Authentication Indicator Add Kerberos Principal Alias Add Many Add a manager to the stage user entry Add a manager to the user entry Add a new DNS server. Add a new Group ID override. Add a new HBAC service group. Add a new HBAC service. Add a new ID View. Add a new ID override. Add a new IPA location. Add a new IPA new service. Add a new IPA service. Add a new OTP token. Add a new RADIUS proxy server. Add a new User ID override. Add a new YubiKey OTP token. Add a new delegation. Add a new group password policy. Add a new host. Add a new hostgroup. Add a new netgroup. Add a new permission. Add a new privilege. Add a new role. Add a new segment. Add a new self-service permission. Add a new stage user. Add a new topology suffix to be managed. Add a new user. Add a permission for per-forward zone access delegation. Add a permission for per-zone access delegation. Add a system permission without an ACI (internal command) Add an attribute/value pair. Format is attr=value. The attribute
must be part of the schema. Add an automember rule. Add an option to the Sudo Rule. Add and Add Another Add and Close Add and Edit Add certificates to host entry Add commands and sudo command groups affected by Sudo Rule. Add conditions to an automember rule. Add custom value Add domain Add forward record for nameserver located in the created zone Add group for Sudo to execute as. Add hosts and hostgroups affected by Sudo Rule. Add hosts that can manage this host. Add hosts that can manage this service. Add member to a named service delegation rule. Add member to a named service delegation target. Add members to Sudo Command Group. Add members to a group. Add members to a hostgroup. Add members to a netgroup. Add members to a privilege. Add members to a role. Add members to a vault. Add members to an HBAC service group. Add migrated users without a group to a default group (default: true) Add new DNS resource record. Add new certificates to a service Add new principal alias to a service Add new principal alias to host entry Add one or more certificates to the idoverrideuser entry Add one or more certificates to the user entry Add owners to a vault container. Add owners to a vault. Add permissions to a privilege. Add principal Add privileges to a role. Add profiles to a CA ACL. Add services to a CA ACL. Add services to an HBAC rule. Add target hosts and hostgroups to a CA ACL. Add target hosts and hostgroups to an HBAC rule. Add target hosts and hostgroups to an SELinux User Map rule. Add target to a named service delegation rule. Add target to a named service delegation. Add the host to DNS with this IP address Add to default group Add users and groups affected by Sudo Rule. Add users and groups for Sudo to execute as. Add users and groups to a CA ACL. Add users and groups to an HBAC rule. Add users and groups to an SELinux User Map rule. Add users that can manage this token. Added %(map)s Added %(src)s to %(dst)s Added Active Directory trust for realm "%(value)s" Added CA ACL "%(value)s" Added Group ID override "%(value)s" Added HBAC rule "%(value)s" Added HBAC service "%(value)s" Added HBAC service group "%(value)s" Added ID View "%(value)s" Added ID override "%(value)s" Added ID range "%(value)s" Added IPA location "%(value)s" Added OTP token "%(value)s" Added RADIUS proxy server "%(value)s" Added SELinux User Map "%(value)s" Added Sudo Command "%(value)s" Added Sudo Command Group "%(value)s" Added Sudo Rule "%(value)s" Added User ID override "%(value)s" Added automember rule "%(value)s" Added automount indirect map "%(value)s" Added automount key "%(value)s" Added automount location "%(value)s" Added automount map "%(value)s" Added certificates to host "%(value)s" Added certificates to idoverrideuser "%(value)s" Added certificates to service principal "%(value)s" Added certificates to user "%(value)s" Added condition(s) to "%(value)s" Added delegation "%(value)s" Added group "%(value)s" Added host "%(value)s" Added hostgroup "%(value)s" Added netgroup "%(value)s" Added new DNS server "%(value)s" Added new aliases to host "%(value)s" Added new aliases to the service principal "%(value)s" Added option "%(option)s" to Sudo Rule "%(rule)s" Added permission "%(value)s" Added privilege "%(value)s" Added role "%(value)s" Added segment "%(value)s" Added selfservice "%(value)s" Added service "%(value)s" Added service delegation rule "%(value)s" Added service delegation target "%(value)s" Added stage user "%(value)s" Added system permission "%(value)s" Added topology suffix "%(value)s" Added user "%(value)s" Added vault "%(value)s" Additional instructions: Address not valid, can't redirect Administrative account Administrator e-mail address Advertised by servers Affiliation Changed Agreements deleted Algorithm All All attributes to which the permission applies All commands should at least have a result All target filters, including those implied by type and memberof Allow Allow PTR sync Allow access from the trusted domain Allow adding external non-IPA members from trusted domains Allow dynamic updates. Allow falling back to AD DC LDAP when resolving AD trusted objects. For two-way trusts only. Allow in-line DNSSEC signing Allow inline DNSSEC signing of records in the zone Allow query Allow synchronization of forward (A, AAAA) and reverse (PTR) records Allow synchronization of forward (A, AAAA) and reverse (PTR) records in the zone Allow transfer Allow use of IPA resources by the domain of the trust Allow users, groups, hosts or host groups to create a keytab of this host. Allow users, groups, hosts or host groups to create a keytab of this service. Allow users, groups, hosts or host groups to retrieve a keytab of this host. Allow users, groups, hosts or host groups to retrieve a keytab of this service. Allowed Target Allowed to Impersonate Allowed to create keytab Allowed to retrieve keytab Allows migration despite the usage of compat plugin Already registered Alternative UPN suffixes Altitude Always ask Ambiguous search, user domain was not specified An IPA master host cannot be deleted or disabled An error has occurred (${error}) An error occurred while fetching dns zones. An id range already exists for this trust. You should either delete the old range, or exclude --base-id/--range-size options from the command. An interval between regular polls of the name server for new DNS zones Anchor '%(anchor)s' could not be resolved. Anchor to override Any CA Any Command Any Group Any Host Any Profile Any Service Anyone Applied to hosts Applies ID View to specified hosts or current members of specified hostgroups. If any other ID View is applied to the host, it is overridden. Applies ID View to specified hosts or current members of specified hostgroups. If any other ID View is applied to the host, it is overriden. Apply Apply ACI to your own entry (self) Apply to host groups Apply to hosts Arbitrary string identifying the segment Archive data into a vault. Archived data into vault "%(value)s" Are you sure you want to ${action} the user?<br/>The change will take effect immediately. Are you sure you want to activate ${object}? Are you sure you want to activate selected users? Are you sure you want to add permission for DNS Zone ${object}? Are you sure you want to delete ${object}? Are you sure you want to delete selected entries? Are you sure you want to disable ${object}? Are you sure you want to disable selected entries? Are you sure you want to enable ${object}? Are you sure you want to enable selected entries? Are you sure you want to proceed with the action? Are you sure you want to remove permission for DNS Zone ${object}? Are you sure you want to restore ${object}? Are you sure you want to restore selected users? Are you sure you want to stage ${object}? Are you sure you want to stage selected users? Are you sure you want to un-apply ID view from selected entries? Are you sure you want to unlock user ${object}? Are you sure you want to unprovision this host? Are you sure you want to unprovision this service? As Whom Asks for a non-random password to use for the principal Assigned ID View Assigned manager of the token (default: self) Assigned user of the token (default: self) At least the domain or IP address should be specified Attribute Attribute Key Attribute breakdown Attribute to filter via regex. For example fqdn for a host, or manager for a user Attributes Attributes for total update Attributes that are not replicated to a consumer server during a fractional update. E.g., `(objectclass=*) $ EXCLUDE accountlockout memberof Attributes that are not replicated to a consumer server during a total update. E.g. (objectclass=*) $ EXCLUDE accountlockout Attributes to be ignored for group entries in DS Attributes to be ignored for user entries in DS Attributes to strip Attributes to which the delegation applies Attributes to which the permission applies Attributes to which the permission applies by default Attributes to which the permission applies. Audit Authentication Authentication Indicators Authentication indicator Authentication indicators Authoritative nameserver Authoritative nameserver change Authoritative nameserver domain name Authority ID Auto Membership Rule Auto Membership is not configured Auto member rule: %s not found! Autogenerated Automatic update of DNS system records failed. Please re-run update of system records manually to get list of missing records. Automember Automember Rule Automember rebuild membership task completed Automember rebuild membership task started Automount Automount Key Automount Keys Automount Location Automount Location Settings Automount Locations Automount Map Automount Maps Automount key name. Automount key object. Automount location name. Automount map name. Automount master file. Available BIND update policy Back Back to Top Bad format in credentials cache Bad or unsupported salt type.
Bad search filter Bad search filter %(info)s Base DN Base DN on remote LDAP server Base ID Base for certificate subjects (OU=Test,O=Example) Base-64 encoded host certificate Base-64 encoded server certificate Base-64 encoded service certificate Base-64 encoded user certificate Base64 decoding failed: %(reason)s Binary data to archive Bind DN Bind password already provided (-w).
Bind password required when using a bind DN (-w or -W).
Bind rule type Brief description of this profile CA CA '%s' is disabled CA ACL CA ACLs CA Compromise CA category CA category cannot be set to 'all' while there are allowed CAs CA category the ACL applies to CA certificate CA is not configured CAs CAs cannot be added when CA category='all' CERT Algorithm CERT Certificate Type CERT Certificate/CRL CERT Key Tag CERT record CIFS credentials object CIFS server %(host)s denied your credentials CIFS server denied your credentials CLI metavar CLI name CNAME Hostname CNAME record CNAME record is not allowed to coexist with any other record (RFC 1034, section 3.6.2) CSR Cancel Cannot create reverse record for "%(value)s": %(exc)s Cannot decode file '%(filename)s': %(exc)s Cannot establish LSA connection to %(host)s. Is CIFS server running? Cannot establish a trust to AD deployed in the same domain as IPA. Such setup is not supported. Cannot find specified domain or server name Cannot perform SID validation without Samba 4 support installed. Make sure you have installed server-trust-ad sub-package of IPA on the server Cannot perform external member validation without Samba 4 support installed. Make sure you have installed server-trust-ad sub-package of IPA on the server Cannot perform join operation without own domain configured. Make sure you have run ipa-adtrust-install on the IPA server first Cannot perform the selected command without Samba 4 instance configured on this machine. Make sure you have run ipa-adtrust-install on this server. Cannot perform the selected command without Samba 4 support installed. Make sure you have installed server-trust-ad sub-package of IPA. Cannot read file '%(filename)s': %(exc)s Cannot resolve KDC for requested realm Cannot retrieve trusted domain GC list Cannot search in trusted domains without own domain configured. Make sure you have run ipa-adtrust-install on the IPA server first Cannot specify both SASL mechanism and bind DN simultaneously.
Cannot store permission ACI to %s Cannot use %(old_name)s with %(new_name)s Car License Certificate Certificate Association Data Certificate Authorities Certificate Authority Certificate Hold Certificate Hold Removed Certificate Profile Certificate Profile to use Certificate Profiles Certificate Revoked Certificate Subject base Certificate Type Certificate Usage Certificate for ${entity} ${primary_key} Certificate format error: %(error)s Certificate in base64 or PEM format Certificate operation cannot be completed: %(error)s Certificate profiles cannot be renamed Certificate requested Certificate with serial number %(serial)s issued by CA '%(ca)s' not found Certificate(s) stored in file '%(file)s' Certificate/CRL Certificates Cessation of Operation Change current Domain Level. Change password Change to POSIX group Change to external group Changed password for "%(value)s" Character classes Check DNS Check connection to remote IPA server. Check the status of a certificate signing request. Checking if record exists. Checks if any of the servers has the CA service enabled. City Class Clears ID View from specified hosts or current members of specified hostgroups. Click to ${action} Client credentials may be delegated to the service Client is not configured. Run ipa-client-install. Client version. Used to determine if server will accept request. Clock interval Clock offset Close Closing keytab failed
Collapse All Comma separated encryption types list Command '%(name)s' has been deprecated Command category Command category the rule applies to Command name Command not implemented Commands Common Name Conditions that could not be added Conditions that could not be removed Configuration Configure your token Configure your token by scanning the QR code below. Click on the QR code if you see this on the device you want to configure. Configured administrative server limit exceeded Configured size limit exceeded Configured time limit exceeded Confirm (password) Confirmation Connectivity Consecutive failures before lockout Contact Settings Contact this specific KDC Server Continue Continuous mode: Don't stop on errors. Continuous operation mode. Errors are reported but the process continues Continuous operation mode. Errors are reported but the process continues. Convert on server Could not get %(name)s interactively Could not read UPG Definition originfilter. Check your permissions. Counter Counter-based (HOTP) Create Stage user in from a delete user Create a CA. Create a new CA ACL. Create a new HBAC rule. Create a new SELinux User Map. Create a new automount key. Create a new automount location. Create a new automount map. Create a new group. Create a new indirect mount point. Create a new service delegation rule. Create a new service delegation target. Create a new vault. Create as a non-POSIX group Create dns record Create new ACI. Create new DNS forward zone. Create new DNS zone (SOA record). Create new Sudo Command Group. Create new Sudo Command. Create new Sudo Rule. Create reverse Create reverse record for this IP Address Created ACI "%(value)s" Created CA "%(value)s" Creating record. Credentials cache permissions incorrect Cross-realm trusts are not configured. Make sure you have run ipa-adtrust-install on the IPA server first Current DNS record contents:
Current Password Current domain level: Current password is required Custom value DHCID record DLV Algorithm DLV Digest DLV Digest Type DLV Key Tag DLV record DN commonName does not match user's login DN emailAddress does not match any of user's email addresses DN of container for groups in DS relative to base DN DN of container for users in DS relative to base DN DN of the started task DN to bind as if not using kerberos DNAME Target DNAME record DNS DNS Forward Zone DNS Forward Zones DNS Global Configuration DNS RR type "%s" is not supported by bind-dyndb-ldap plugin DNS Resource Record DNS Resource Records DNS Server DNS Server name DNS Servers DNS Zone DNS Zone Settings DNS Zones DNS check failed: Expected {%(expected)s} got {%(got)s} DNS class DNS configuration options DNS forward zone DNS forward zones DNS forwarder DNS forwarder semantics changed since IPA 4.0.
You may want to use forward zones (dnsforwardzone-*) instead.
For more details read the docs. DNS is not configured DNS label cannot be longer than 63 characters DNS label cannot be longer that 63 characters DNS record was deleted because it contained no data. DNS record(s) of host %(host)s could not be removed. (%(reason)s) DNS records can be only updated one at a time DNS resource record DNS resource record type DNS resource records DNS reverse zone %(revzone)s for IP address %(addr)s is not managed by this server DNS server DNS server %(server)s does not support DNSSEC: %(error)s.
If DNSSEC validation is enabled on IPA server(s), please disable it. DNS server %(server)s does not support EDNS0 (RFC 6891): %(error)s.
If DNSSEC validation is enabled on IPA server(s), please disable it. DNS server %(server)s: %(error)s. DNS servers DNS zone DNS zone %(zone)s not found DNS zone for each realmdomain must contain SOA or NS records. No records found for: %s DNS zone root record cannot be renamed DNS zones DNSKEY record DNSSEC support is experimental.
%(additional_info)s DNSSEC validation failed: %(error)s.
Please verify your DNSSEC configuration or disable DNSSEC validation on all IPA servers. DS Algorithm DS Digest DS Digest Type DS Key Tag DS record DS record must not be in zone apex (RFC 4035 section 2.4) DS record requires to coexist with an NS record (RFC 4592 section 4.6, RFC 4035 section 2.4) Data Debugging output Default Default (fallback) Group Default (fallback) group for entries to land Default PAC types Default SELinux user Default SELinux user when no match is found in SELinux map rule Default Trust View cannot be applied on hosts Default Trust View cannot contain IPA users Default attributes Default e-mail domain Default from Default group for entries to land Default group for new users Default group for new users is not POSIX Default group for new users not found Default group objectclasses Default group objectclasses (comma-separated list) Default host group Default location of home directories Default shell Default shell for new users Default ticket policy could not be read Default types of PAC supported for services Default types of supported user authentication Default user authentication types Default user group Default user objectclasses Default user objectclasses (comma-separated list) Default users group Degrees Latitude Degrees Longitude Delegation Delegation name Delegations Delete Delete %(name)s '%(value)s'? Delete ACI. Delete DNS forward zone. Delete DNS resource record. Delete DNS zone (SOA record). Delete IPA server. Delete Key, Unprovision Delete Server Delete Sudo Command Group. Delete Sudo Command. Delete Sudo Rule. Delete a CA ACL. Delete a Certificate Profile. Delete a DNS server Delete a RADIUS proxy server. Delete a SELinux User Map. Delete a delegation. Delete a group password policy. Delete a host. Delete a hostgroup. Delete a netgroup. Delete a permission. Delete a privilege. Delete a role. Delete a segment. Delete a self-service permission. Delete a stage user. Delete a topology suffix. Delete a trust. Delete a user Delete a user, keeping the entry available for future use Delete a user. Delete a vault container. Delete a vault. Delete all associated records Delete all? Delete an Group ID override. Delete an HBAC rule. Delete an HBAC service group. Delete an ID View. Delete an ID override. Delete an ID range. Delete an IPA location. Delete an IPA service. Delete an OTP token. Delete an User ID override. Delete an attribute/value pair. The option will be evaluated
last, after all sets and adds. Delete an automember rule. Delete an automount key. Delete an automount location. Delete an automount map. Delete an existing HBAC service. Delete domain Delete group. Delete mode Delete service delegation target. Delete service delegation. Deleted ACI "%(value)s" Deleted CA "%(value)s" Deleted CA ACL "%(value)s" Deleted DNS forward zone "%(value)s" Deleted DNS server "%(value)s" Deleted DNS zone "%(value)s" Deleted Group ID override "%(value)s" Deleted HBAC rule "%(value)s" Deleted HBAC service "%(value)s" Deleted HBAC service group "%(value)s" Deleted ID View "%(value)s" Deleted ID override "%(value)s" Deleted ID range "%(value)s" Deleted IPA location "%(value)s" Deleted IPA server "%(value)s" Deleted OTP token "%(value)s" Deleted RADIUS proxy server "%(value)s" Deleted SELinux User Map "%(value)s" Deleted Sudo Command "%(value)s" Deleted Sudo Command Group "%(value)s" Deleted Sudo Rule "%(value)s" Deleted User ID override "%(value)s" Deleted automember rule "%(value)s" Deleted automount key "%(value)s" Deleted automount location "%(value)s" Deleted automount map "%(value)s" Deleted delegation "%(value)s" Deleted group "%(value)s" Deleted host "%(value)s" Deleted hostgroup "%(value)s" Deleted netgroup "%(value)s" Deleted permission "%(value)s" Deleted privilege "%(value)s" Deleted profile "%(value)s" Deleted record "%(value)s" Deleted role "%(value)s" Deleted segment "%(value)s" Deleted selfservice "%(value)s" Deleted service "%(value)s" Deleted service delegation "%(value)s" Deleted service delegation target "%(value)s" Deleted stage user "%(value)s" Deleted topology suffix "%(value)s" Deleted trust "%(value)s" Deleted user "%(value)s" Deleted vault "%(value)s" Deleted vault container Deleting a managed group is not allowed. It must be detached first. Deleting this server is not allowed as it would leave your installation without a CA. Deleting this server will leave your installation without a DNS. Deny Department Number Deprecated options Deprecated; use %s Description Description of the purpose of the CA Detach a managed group from a user. Detached group "%(value)s" from user "%(value)s" Detect Determine whether Schema Compatibility plugin is configured to serve trusted domain users and groups Determine whether ipa-adtrust-install has been run on this system Determine whether ipa-adtrust-install has been run with sidgen task Dict of I18N messages Dict of JSON encoded IPA Commands Dict of JSON encoded IPA Methods Dict of JSON encoded IPA Objects Dictionary mapping variable name to value Digest Digest Type Digits Direct Direct Membership Direction Latitude Direction Longitude Direction of replication between left and right replication node Disable Disable DNS Forward Zone. Disable DNS Zone. Disable a CA ACL. Disable a Sudo Rule. Disable a user account. Disable an HBAC rule. Disable an SELinux User Map rule. Disable per-user override Disable the Kerberos key and SSL certificate of a service. Disable the Kerberos key, SSL certificate and all services of a host. Disable token Disable use of IPA resources by the domain of the trust Disabled Disabled CA ACL "%(value)s" Disabled DNS forward zone "%(value)s" Disabled DNS zone "%(value)s" Disabled HBAC rule "%(value)s" Disabled SELinux User Map "%(value)s" Disabled Sudo Rule "%s" Disabled host "%(value)s" Disabled service "%(value)s" Disabled trust domain "%(value)s" Disabled user account "%(value)s" Disallow users, groups, hosts or host groups to create a keytab of this host. Disallow users, groups, hosts or host groups to create a keytab of this service. Disallow users, groups, hosts or host groups to retrieve a keytab of this host. Disallow users, groups, hosts or host groups to retrieve a keytab of this service. Display DNS resource. Display Sudo Command Group. Display Sudo Command. Display Sudo Rule. Display a segment. Display a single ACI given an ACI name. Display an automount key. Display an automount location. Display an automount map. Display configuration of a DNS server. Display effective policy for a specific user Display information about a DNS forward zone. Display information about a DNS zone (SOA record). Display information about a RADIUS proxy server. Display information about a command output. Display information about a command parameter. Display information about a command. Display information about a delegation. Display information about a help topic. Display information about a host. Display information about a hostgroup. Display information about a named group. Display information about a named service delegation rule. Display information about a named service delegation target. Display information about a netgroup. Display information about a permission. Display information about a privilege. Display information about a range. Display information about a role. Display information about a self-service permission. Display information about a stage user. Display information about a trust. Display information about a user. Display information about a vault container. Display information about a vault. Display information about an Group ID override. Display information about an HBAC service group. Display information about an HBAC service. Display information about an ID View. Display information about an ID override. Display information about an IPA location. Display information about an IPA service. Display information about an OTP token. Display information about an User ID override. Display information about an automember rule. Display information about password policy. Display information about the default (fallback) automember groups. Display name Display the access rights of this entry (requires --all). See ipa man page for details. Display the current Kerberos ticket policy. Display the list of realm domains. Display the properties of a CA ACL. Display the properties of a CA. Display the properties of a Certificate Profile. Display the properties of a SELinux User Map rule. Display the properties of an HBAC rule. Display user record for current Kerberos principal Do not display QR code Do you also want to perform DNS check? Do you want to check if new authoritative nameserver address is in DNS Do you want to remove kerberos alias ${alias}? Do you want to remove the certificate hold? Do you want to revoke this certificate? Select a reason from the pull-down list. Do you want to update system DNS records? Documentation Dogtag Authority ID Domain Domain '%(domain)s' is not a root domain for forest '%(forest)s' Domain GUID Domain Level Domain Level cannot be lowered. Domain Level cannot be raised to {0}, server {1} does not support it. Domain NetBIOS name Domain SID Domain SID of the trusted domain Domain Security Identifier Domain controller for the Active Directory domain (optional) Domain enabled Domain name Don't create user private group Don't wait for rebuilding membership Download Download certificate as PEM formatted file. Dry run Duplicate keys skipped: Duplicate maps skipped: Dynamic update Edit Edit ${entity} Effective attributes Email address Employee Information Employee Number Employee Type Enable Enable DNS Forward Zone. Enable DNS Zone. Enable a CA ACL. Enable a Sudo Rule. Enable a user account. Enable an HBAC rule. Enable an SELinux User Map rule. Enable migration mode Enable or Disable Anonymous PKINIT. Enable token Enabled Enabled CA ACL "%(value)s" Enabled DNS forward zone "%(value)s" Enabled DNS zone "%(value)s" Enabled HBAC rule "%(value)s" Enabled SELinux User Map "%(value)s" Enabled Sudo Rule "%s" Enabled server roles Enabled trust domain "%(value)s" Enabled user account "%(value)s" Encryption types to request Enctype comparison failed!
Enrolled Enrollment Enrollment failed. %s
Enter %(label)s again to verify: Enter trusted group name. Enter trusted or IPA group name. Note: search doesn't list groups from trusted domains. Enter trusted or IPA user login. Note: search doesn't list users from trusted domains. Enter trusted user login. Entry Entry %s does not exist Entry %s not found Entry RDN is not 'uid' Entry has no '%(attribute)s' Enumerate all the hosts the view applies to. Error Error changing account status Error getting default Kerberos realm: %s.
Error obtaining initial credentials: %s.
Error parsing "%1$s": %2$s.
Error resolving keytab: %s.
Error storing creds in credential cache: %s.
Establish bi-directional trust. By default trust is inbound one-way only. Establish external trust to a domain in another forest. The trust is not transitive beyond the domain. Establish using Established and verified Exchanger Exclude from Excluded attributes Exclusive Exclusive Regex Expand All Expires On Export plugin meta-data for the webUI. Expression External External Group the commands can run as (sudorule-find only) External Groups of RunAs Users External Groups of users that the command can run as External User External User the commands can run as (sudorule-find only) External User the rule applies to (sudorule-find only) External host External member External trust Extra hashes to generate in password plug-in Extra target filter Failed CAs Failed RunAs Failed RunAsGroup Failed allowed to create keytab Failed allowed to retrieve keytab Failed hosts/hostgroups Failed logins Failed managedby Failed members Failed owners Failed profiles Failed service/service groups Failed source hosts/hostgroups Failed targets Failed to add Failed to add key to the keytab
Failed to add user to the default group. Use 'ipa group-add-member' to add manually. Failed to bind to server!
Failed to clean memberPrincipal %(principal)s from s4u2proxy entry %(dn)s: %(err)s Failed to clean up DNA hostname entries for %(master)s: %(err)s Failed to cleanup %(hostname)s DNS entries: %(err)s Failed to cleanup server principals/keys: %(err)s Failed to close the keytab
Failed to create control!
Failed to create key material
Failed to create key!
Failed to create random key!
Failed to decode control reply!
Failed to get keytab
Failed to get keytab!
Failed to get result: %s
Failed to open Keytab
Failed to open config file %s
Failed to open keytab
Failed to open keytab '%1$s': %2$s
Failed to parse config file %s
Failed to parse extended result: %s
Failed to parse result: %s
Failed to remove Failed to remove server %(master)s from server list: %(err)s Failed to retrieve any keys Failed to retrieve encryption type %1$s (#%2$d)
Failed to retrieve encryption type type #%d
Failed users/groups Failure decoding Certificate Signing Request: %s Failure reset interval Fallback primary group Fallback to AD DC LDAP False False if migration fails because the compatibility plug-in is enabled. False if migration mode was disabled. Fax Number Fetch domains Fetching DNS zones. Fetching domains from trusted forest failed. See details in the error_log File %(file)s not found File containing data to archive File containing profile configuration File containing the new vault password File containing the new vault public key File containing the old vault password File containing the old vault private key File containing the vault password File containing the vault private key File containing the vault public key File to load the certificate from. File to store retrieved data File to store the certificate in. Filename is empty Filename of a raw profile. The XML format is not supported. Filter Filter available ${other_entity} Find Find a server role on a server(s) Fingerprint Fingerprint (SHA1) Fingerprint Type Fingerprints First First Code First OTP First Posix ID of the range First Posix ID of the range reserved for the trusted domain First RID of the corresponding RID range First RID of the secondary RID range First date/time the token can be used First name Flags Following segments were not deleted: Force Force DNS zone creation even if it will overlap with an existing zone. Force DNS zone creation even if nameserver is not resolvable. Force DNS zone creation even if nameserver is not resolvable. (Deprecated) Force Update Force adding domain even if not in DNS Force nameserver change even if nameserver not in DNS Force server removal Force server removal even if it does not exist Force the host join. Rejoin even if already joined. Forcing removal of %(hostname)s Format error Forward first Forward only Forward policy Forward policy is defined for it in IPA DNS, perhaps forwarder points to incorrect host? Forward to server instead of running locally Forward zones only Forwarders Forwarding disabled Forwarding policy conflicts with some automatic empty zones. Queries for zones specified by RFC 6303 will ignore forwarding and recursion and always result in NXDOMAIN answers. To override this behavior use forward policy 'only'. Found '%(value)s' Full name Fully Qualified Host Name GECOS GID GID (use this option to set it manually) General Generate OTP Generate a random password to be used in bulk enrollment Generate a random user password Generate automount files for a specific location. Generated OTP Get Get Certificate Global DNS configuration is empty Global Trust Configuration Global forwarders Global forwarders. A custom port can be specified for each forwarder using a standard format "IP_ADDRESS port PORT" Global forwarding policy. Set to "none" to disable any configured global forwarders. Granted rights Granting privilege to roles Group Group '%s' does not exist Group ID Number Group ID override Group ID overrides Group Options Group Settings Group Type Group container Group description Group name Group object class Group object overrides Group search fields Group to apply ACI to Group to override Grouping Type Grouping to which the rule applies Groups Groups allowed to create keytab Groups allowed to retrieve keytab Groups of RunAs Users HBAC Rule HBAC Rule that defines the users, groups and hostgroups HBAC Rules HBAC Service HBAC Service Group HBAC Service Groups HBAC Services HBAC Test HBAC rule HBAC rule %(rule)s not found HBAC rule and local members cannot both be set HBAC rules HBAC service HBAC service description HBAC service group HBAC service group description HBAC service groups HBAC service groups to add HBAC service groups to remove HBAC services HBAC services to add HBAC services to remove HIP record HOTP Authentication Window HOTP Synchronization Window HOTP authentication skip-ahead HOTP synchronization skip-ahead HTTP Error Hardware MAC address(es) on this host Hardware platform of the host (e.g. Lenovo T61) Help topic Hide Hide details Hide details which rules are matched, not matched, or invalid History size Home directory Home directory base Horizontal Precision Host Host '%(host)s' not found Host '%(hostname)s' does not have corresponding DNS A/AAAA record Host Certificate Host Group Host Group Settings Host Groups Host Groups allowed to create keytab Host Groups allowed to retrieve keytab Host Masks Host Name Host Settings Host category Host category (semantics placed on this attribute are for local interpretation) Host category the ACL applies to Host category the rule applies to Host group rule Host group rules Host hardware platform (e.g. "Lenovo T61") Host is already joined.
Host is not supported Host locality (e.g. "Baltimore, MD") Host location (e.g. "Lab 2") Host name Host operating system and version (e.g. "Fedora 9") Host unprovisioned Host-based access control commands Host-group Hostgroups to whose hosts apply the ID View to. Please note that view is not applied automatically to any hosts added to the hostgroup after running the idview-apply command. Hostgroups whose hosts should have ID Views cleared. Note that view is not cleared automatically from any host added to the hostgroup after running idview-unapply command. Hostname Hostname (FQDN) Hostname of this server Hosts Hosts allowed to create keytab Hosts allowed to retrieve keytab Hosts or hostgroups that ID View could not be cleared from. Hosts or hostgroups that this ID View could not be applied to. Hosts that ID View was cleared from. Hosts that this ID View was applied to. Hosts the view applies to Hosts to apply the ID View to Hosts to clear (any) ID View from. How long should negative responses be cached ID Range ID Ranges ID View ID View Name ID View already applied ID View applied to %i host. ID View applied to %i hosts. ID View cleared from %i host. ID View cleared from %i hosts. ID Views ID override ID overrides cannot be renamed ID range for the trusted domain already exists, but it has a different type. Please remove the old range manually, or do not enforce type via --range-type option. ID range type, one of ipa-ad-trust-posix, ipa-ad-trust, ipa-local ID range with the same name but different domain SID already exists. The ID range for the new trusted domain must be created manually. IP Address IP address %(ip)s is already assigned in domain %(domain)s. IP network to create reverse zone name from IPA AD trust agents IPA AD trust controllers IPA CA cannot be deleted IPA CA renewal master IPA CA servers IPA DNS records IPA DNS servers IPA DNS version IPA DNSSec key master IPA Error IPA KRA servers IPA Location IPA Location description IPA Locations IPA Range type must be one of ipa-ad-trust or ipa-ad-trust-posix when SID of the trusted domain is specified IPA Range type must not be one of ipa-ad-trust or ipa-ad-trust-posix when SID of the trusted domain is not specified. IPA Server IPA Server Role IPA Server Roles IPA Server to use IPA Servers IPA does not manage the zone %(zone)s, please add records to your DNS server manually IPA location name IPA location records IPA master denied trust validation requests from AD DC %(count)d times. Most likely AD DC contacted a replica that has no trust information replicated yet. Additionally, please check that AD DNS is able to resolve %(records)s SRV records to the correct IPA server. IPA masters IPA namingContext not found
IPA object IPA role name IPA server configured as DNSSec key master IPA server domain cannot be deleted IPA server domain cannot be omitted IPA server hostname IPA server role name IPA servers configured as AD trust agents IPA servers configured as AD trust controllers IPA servers configured as certificate authority IPA servers configured as key recovery agents IPA trust IPA unique ID IPSECKEY record Identity Identity Settings If no CAs are specified, requests to the default CA are allowed. If the problem persists please contact the system administrator. Ignore check for last remaining CA or DNS server Ignore compat plugin Ignore group attribute Ignore group object class Ignore topology connectivity problems after removal Ignore topology errors Ignore user attribute Ignore user object class Ignored %(src)s to %(dst)s Ignored keys: Ignoring these warnings and proceeding with removal Ignoring topology connectivity errors. Import a Certificate Profile. Import automount files for a specific location. Imported keys: Imported maps: Imported profile "%(value)s" Include Disabled Include Enabled Include all disabled IPA rules into test Include all enabled IPA rules into test [default] Include in Included attributes Inclusive Inclusive Regex Incompatible options provided (-r and -P)
Indirect Indirect Member HBAC service Indirect Member HBAC service group Indirect Member groups Indirect Member host-groups Indirect Member hosts Indirect Member netgroups Indirect Member of host-group Indirect Member of roles Indirect Member permissions Indirect Member users Indirect Membership Inherited from server configuration Initialize left node Initialize right node Initials Input data specified multiple times Input filename Input form contains invalid or missing values. Insufficient 'add' privilege for entry '%s'. Insufficient 'write' privilege to the 'krbLastPwdChange' attribute of entry '%s'. Insufficient 'write' privilege to the 'userCertificate' attribute of entry '%s'. Insufficient access: %(info)s Insufficient privilege to create a certificate with subject alt name '%s'. Internal Error Invalid JSON-RPC request: %(error)s Invalid LDAP URI. Invalid SASL bind mechanism
Invalid Service Principal Name
Invalid credentials Invalid format. Should be name=value Invalid number of parts! Invalid or unsupported type. Allowed values are: %s Invalid or unsupported vault public key: %s Invalid vault type Is zone active? Issue Issued By Issued On Issued To Issued on from Issued on from this date (YYYY-mm-dd) Issued on to Issued on to this date (YYYY-mm-dd) Issuer Issuer DN Issuer Distinguished Name Issuing CA It is used only for setting the SOA MNAME attribute. Job Title Join an IPA domain KEY record KRA service is not enabled KX Exchanger KX Preference KX record Kerberos Credential Cache not found. Do you have a Kerberos Ticket?
Kerberos Key Kerberos Key Not Present Kerberos Key Present, Host Provisioned Kerberos Key Present, Service Provisioned Kerberos Service Principal Name Kerberos Ticket Policy Kerberos User Principal not found. Do you have a valid Credential Cache?
Kerberos context initialization failed
Kerberos context initialization failed: %1$s (%2$d)
Kerberos error: %(major)s/%(minor)s Kerberos keys available Kerberos principal Kerberos principal %s already exists. Use 'ipa user-mod' to set it manually. Kerberos principal expiration Kerberos principal name for this host Key Key Compromise Key Tag Keytab Keytab File Name Keytab successfully retrieved and stored in: %s
LDAP DN LDAP SASL bind mechanism if no bindd/bindpw LDAP URI LDAP URI of DS server to migrate from LDAP basedn LDAP password LDAP password (if not using Kerberos) LDAP schema LDAP search scope for users and groups: base, onelevel, or subtree. Defaults to onelevel LDAP suffix to be managed LDAP timeout LOC Altitude LOC Degrees Latitude LOC Degrees Longitude LOC Direction Latitude LOC Direction Longitude LOC Horizontal Precision LOC Minutes Latitude LOC Minutes Longitude LOC Seconds Latitude LOC Seconds Longitude LOC Size LOC Vertical Precision LOC record Label Last Last date/time the token can be used Last failed authentication Last name Last successful authentication Leading and trailing spaces are not allowed Left node Left replication node - an IPA server Legal LDAP filter (e.g. ou=Engineering) Length of TOTP token code validity Level List all service vaults List all user vaults List of IPA masters configured as DNS servers List of all IPA masters List of deletions that failed List of enabled roles List of servers which advertise the given location List of trust domains successfully refreshed. Use trustdomain-find command to list them. Lists of objects migrated; categorized by type. Lists of objects that could not be migrated; categorized by type. Load CA certificate of LDAP server from FILE Local domain Locality Location Location name Location of the ACI Lockout duration Logged In As Login shell MAC address MS-PAC MX Exchanger MX Preference MX record Mailing Address Malformed DN Malformed principal Manage password policy for specific group Manage ticket policy for specific user Managed LDAP suffix DN Managed by Managed suffix Managed suffixes Managed topology requires minimal domain level ${domainlevel} Managedby permission Manager Managing Map Map Type Mark the token as disabled (default: false) Master file Matched Matched rules Matching Type Max domain level Max failures Max life Max lifetime (days) Max renew Maximum amount of time (seconds) for a search (-1 or 0 is unlimited) Maximum amount of time (seconds) for a search (> 0, or -1 for unlimited) Maximum domain level Maximum number of agreements per replica Maximum number of certs returned Maximum number of entries returned Maximum number of entries returned (0 is unlimited) Maximum number of records to search (-1 is unlimited) Maximum number of records to search (-1 or 0 is unlimited) Maximum number of rules to process when no --rules is specified Maximum password lifetime (in days) Maximum renewable age (seconds) Maximum serial number Maximum ticket life (seconds) Maximum username length Maximum value is ${value} May not be empty Member Group Member HBAC service Member HBAC service groups Member Host Member Hostgroup Member Sudo commands Member User Member groups Member host-groups Member hosts Member netgroups Member of Member of HBAC rule Member of Sudo rule Member of a group Member of group Member of groups Member of host-groups Member of netgroups Member principals Member service groups Member services Member user group Member users Members of a trusted domain in DOM\name or name@domain form Members that could not be added Members that could not be removed Migrate users and groups from DS to IPA. Migration mode is disabled.
Use 'ipa config-mod --enable-migration=TRUE' to enable it. Migration of LDAP search reference is not supported. Min domain level Min length Min lifetime (hours) Minimum domain level Minimum length of password Minimum number of character classes Minimum password lifetime (in hours) Minimum serial number Minimum value is ${value} Minutes Latitude Minutes Longitude Misc. Information Missing new vault public key Missing or invalid HTTP Referer, %(referer)s Missing reply control list!
Missing reply control!
Missing values: Missing vault private key Missing vault public key Mobile Telephone Number Model Modified Modified "%(value)s" trust configuration Modified ACI "%(value)s" Modified CA "%(value)s" Modified CA ACL "%(value)s" Modified Certificate Profile "%(value)s" Modified DNS server "%(value)s" Modified HBAC rule "%(value)s" Modified HBAC service "%(value)s" Modified HBAC service group "%(value)s" Modified ID range "%(value)s" Modified IPA location "%(value)s" Modified IPA server "%(value)s" Modified OTP token "%(value)s" Modified RADIUS proxy server "%(value)s" Modified SELinux User Map "%(value)s" Modified Sudo Command "%(value)s" Modified Sudo Command Group "%(value)s" Modified Sudo Rule "%(value)s" Modified an Group ID override "%(value)s" Modified an ID View "%(value)s" Modified an ID override "%(value)s" Modified an User ID override "%(value)s" Modified automember rule "%(value)s" Modified automount key "%(value)s" Modified automount map "%(value)s" Modified delegation "%(value)s" Modified group "%(value)s" Modified host "%(value)s" Modified hostgroup "%(value)s" Modified netgroup "%(value)s" Modified permission "%(value)s" Modified privilege "%(value)s" Modified role "%(value)s" Modified segment "%(value)s" Modified selfservice "%(value)s" Modified service "%(value)s" Modified stage user "%(value)s" Modified topology suffix "%(value)s" Modified trust "%(value)s" (change will be effective in 60 seconds) Modified user "%(value)s" Modified vault "%(value)s" Modified: key not set Modify %(name)s '%(value)s'? Modify ACI. Modify CA configuration. Modify Certificate Profile configuration. Modify DNS forward zone. Modify DNS server configuration Modify DNS zone (SOA record). Modify ID range. Modify Kerberos ticket policy. Modify OTP configuration options. Modify Sudo Command Group. Modify Sudo Command. Modify Sudo Rule. Modify a CA ACL. Modify a DNS resource record. Modify a OTP token. Modify a RADIUS proxy server. Modify a SELinux User Map. Modify a delegation. Modify a group password policy. Modify a group. Modify a hostgroup. Modify a netgroup. Modify a permission. Modify a privilege. Modify a role. Modify a segment. Modify a self-service permission. Modify a stage user. Modify a topology suffix. Modify a user. Modify a vault. Modify an Group ID override. Modify an HBAC rule. Modify an HBAC service group. Modify an HBAC service. Modify an ID View. Modify an ID override. Modify an User ID override. Modify an automember rule. Modify an automount key. Modify an automount map. Modify an existing IPA service. Modify configuration options. Modify global DNS configuration. Modify global trust configuration. Modify information about a host. Modify information about an IPA location. Modify information about an IPA server. Modify realm domains. Modify trustdomain of the trust More than one entry with key %(key)s found, use --info to select specific entry. Mount information Mount point Move deleted user into staged area Multi-value Must be a decimal number Must be an UTC date/time value (e.g., "2014-01-20 17:58:01Z") Must be an integer NAPTR Flags NAPTR Order NAPTR Preference NAPTR Regular Expression NAPTR Replacement NAPTR Service NAPTR record NIS domain name NONE value cannot be combined with other PAC types NS Hostname NS record NS record is not allowed to coexist with an %(type)s record except when located in a zone root record (RFC 2181, section 6.1) NS record(s) can be edited in zone apex - '@'. NSEC record NSEC3 record NSEC3PARAM record NSEC3PARAM record for zone in format: hash_algorithm flags iterations salt Name Name for referencing the CA Name of command to export Name of host-group Name of issuing CA Name of method to export Name of object to export Name of parent automount map (default: auto.master). Name of the trusted domain Nameserver '%(host)s' does not have a corresponding A/AAAA record Nameserver for reverse zone cannot be a relative DNS name Neither --del-all nor options to delete a specific record provided.
Command help may be consulted for all supported record types. Nested Methods to execute NetBIOS name Netgroup Netgroup Settings Netgroup description Netgroup name Netgroups Network Services New ACI name New Certificate New Password New Principal Password New Test New kerberos principal alias New mount information New password is required New public key specified multiple times New vault password New: key not set New: key set Next No A, AAAA, SSHFP or PTR records found. No Common Name was found in subject of request. No DNS servers in IPA location %(location)s. Without DNS servers location is not working as expected. No DNSSEC key master is installed. DNSSEC zone signing will not work until the DNSSEC key master is installed. No Valid Certificate No archived data. No credentials cache found No default (fallback) group set No entries. No file to read No free YubiKey slot! No keys accepted by KDC
No matching entries found No option to delete specific record provided. No option to modify specific record provided. No permission to join this host to the IPA domain.
No private group No response No such attribute on this entry No such virtual command No system preferred enctypes ?!
No values for %s No wait No write permissions on keytab file '%s'
Non-Active Directory domain Non-existent or invalid rules Non-transitive external trust to a domain in another Active Directory forest Nonce Not After Not Before Not a managed group Not a valid IP address Not a valid IPv4 address Not a valid IPv6 address Not a valid network address (examples: 2001:db8::/64, 192.0.2.0/24) Not allowed on non-leaf entry Not enough arguments specified to perform trust setup Not matched rules Not registered yet Note Number of IDs in the range Number of conditions added Number of conditions removed Number of days's notice of impending password expiration Number of digits each token code will have Number of entries returned Number of hosts that had a ID View was unset: Number of hosts the ID View was applied to: Number of members added Number of members removed Number of owners added Number of owners removed Number of permissions added Number of permissions removed Number of plugins loaded Number of privileges added Number of privileges removed Number of seconds outbound LDAP operations waits for a response from the remote replica before timing out and failing Number of variables returned (<= total) OK OTP OTP Configuration OTP Token OTP Token Settings OTP Tokens OTP configuration options OTP set OTP token OTP tokens Objectclasses to be ignored for group entries in DS Objectclasses to be ignored for user entries in DS Objectclasses used to search for group entries in DS Objectclasses used to search for user entries in DS Old vault password Old vault private key One Time Password One of group, permission or self is required One time password commands Only one value is allowed Only one zone type is allowed per zone name Only the ipa-ad-trust and ipa-ad-trust-posix are allowed values for --range-type when adding an AD trust. Operating System and version of the host (e.g. Fedora 9) Operating system Operation failed: %s
Operations Error Option added Option group Option rid-base must not be used when IPA range type is ipa-ad-trust-posix Optional DN subtree from where an entry can be moved (must be in the subtree, but may not yet exist) Optional DN subtree where an entry can be moved to (must be in the subtree, but may not yet exist) Optional DN to apply the permission to (must be in the subtree, but may not yet exist) Options Options dom-sid and dom-name cannot be used together Options dom-sid and rid-base must be used together Options dom-sid and secondary-rid-base cannot be used together Options dom-sid/dom-name and rid-base must be used together Options dom-sid/dom-name and secondary-rid-base cannot be used together Options secondary-rid-base and rid-base must be used together Order Order in increasing priority of SELinux users, delimited by $ Org. Unit Organization Organizational Unit Origin DN subtree Other Record Types Our domain is not configured Out of Memory!
Out of memory
Out of memory
Out of memory! Out of memory!
Out of memory!?
Output file to store the transport certificate Output filename Output only on errors Override default list of supported PAC types. Use 'NONE' to disable PAC support for this service, e.g. this might be necessary for NFS services. Override existing password Override inherited settings Overwrite GID Owner Owner %s Owner groups Owner services Owner users Owners that could not be added Owners that could not be removed PAC type PAD PKINIT POSIX PTR Hostname PTR record Page Pager Number Parameters Parent map Parse all raw DNS records and return them in a structured way Parse error Password Password Expiration Notification (days) Password Policies Password Policy Password can be specified only for symmetric vault Password cannot be set on enrolled host. Password change complete Password expiration Password history size Password plugin features Password reset was not successful. Password specified multiple times Password used in bulk enrollment Passwords do not match Passwords do not match! Passwords have been migrated in pre-hashed format.
IPA is unable to generate Kerberos keys unless provided
with clear text passwords. All migrated users need to
login at https://your.domain/ipa/migration/ before they
can use their Kerberos accounts. Passwords must match Per-server conditional forwarding policy. Set to "none" to disable forwarding to global forwarder for this zone. In that case, conditional zone forwarders are disregarded. Per-server forwarders. A custom port can be specified for each forwarder using a standard format "IP_ADDRESS port PORT" Per-zone conditional forwarding policy. Set to "none" to disable forwarding to global forwarder for this zone. In that case, conditional zone forwarders are disregarded. Per-zone forwarders. A custom port can be specified for each forwarder using a standard format "IP_ADDRESS port PORT" Period after which failure count will be reset (seconds) Period for which lockout is enforced (seconds) Permission Permission ACI grants access to Permission denied: %(file)s Permission flags Permission name Permission settings Permission value Permission with unknown flag %s may not be modified or removed Permissions Permissions to grant (read, write). Default is write. Permissions to grant(read, write, add, delete, all) Permitted Encryption Types Permitted to have certificates issued Ping a remote server. Platform Please choose a type of DNS resource record to be added Please specify forwarders. Please try the following options: Policy Port Positional arguments Pre-authentication is required for the service Pre-shared password Predefined profile '%(profile_id)s' cannot be deleted Preference Preference given to this exchanger. Lower values are more preferred Preferred Language Prefix used to distinguish ACI types (permission, delegation, selfservice, none) Preserved user Preserved users Prev Primary RID base Primary RID range and secondary RID range cannot overlap Primary key only Principal Principal %(principal)s cannot be authenticated: %(message)s Principal '%(principal)s' is not permitted to use CA '%(ca)s' with profile '%(profile_id)s' for certificate issuance. Principal '%s' in subject alt name does not match requested principal Principal for this certificate (e.g. HTTP/test.example.com) Principal is not of the form user@REALM: '%(principal)s' Principal name Print as little as possible Print debugging information Print entries as stored on the server. Only affects output format. Print the raw XML-RPC output in GSSAPI mode Priority Priority of the policy (higher number means lower priority Private key specified multiple times Privilege Privilege Settings Privilege Withdrawn Privilege description Privilege name Privileges Profile ID Profile ID '%(cli_value)s' does not match profile data '%(file_value)s' Profile ID for referring to this profile Profile category Profile category the ACL applies to Profile configuration Profile configuration stored in file '%(file)s' Profile description Profiles Prompt to set the user password Prospective Provisioning Public key Public key can be specified only for asymmetric vault Public key specified multiple times QR code width is greater than that of the output tty. Please resize your terminal. Query current Domain Level. Query returned more results than the configured size limit. Displaying the first ${counter} results. Quick Links Quiet mode. Only errors are displayed. RADIUS RADIUS Proxy Server Settings RADIUS Server RADIUS Servers RADIUS proxy configuration RADIUS proxy server RADIUS proxy server name RADIUS proxy servers RADIUS proxy username REVOKED RFC4120-compliant Kerberos realm RFC822Name does not match any of user's email addresses RP record RRSIG record Random password Range Settings Range name Range size Range type Raw %s records Raw A records Raw A6 records Raw AAAA records Raw AFSDB records Raw APL records Raw CERT records Raw CNAME records Raw DHCID records Raw DLV records Raw DNAME records Raw DNSKEY records Raw DS records Raw HIP records Raw IPSECKEY records Raw KEY records Raw KX records Raw LOC records Raw MX records Raw NAPTR records Raw NS records Raw NSEC records Raw NSEC3 records Raw PTR records Raw RP records Raw RRSIG records Raw SIG records Raw SPF records Raw SRV records Raw SSHFP records Raw TA records Raw TKEY records Raw TLSA records Raw TSIG records Raw target filter Raw value of a DNS record was already set by "%(name)s" option Re-established trust to domain "%(value)s" Realm Domains Realm administrator password should be specified Realm domains Realm name Realm-domain mismatch Reason Reason for Revocation Reason for revoking the certificate (0-10) Reason for revoking the certificate (0-10). Type "ipa help cert" for revocation reason details. Rebuild auto membership Rebuild auto membership. Rebuild membership for all members of a grouping Rebuild membership for specified hosts Rebuild membership for specified users Recommended maximum number of agreements per replica exceeded Record Type Record creation failed. Record data Record name Record not found. Record type Records Records for DNS Zone Redirection Redirection to PTR record Refresh Refresh list of the domains associated with the trust Refresh the page. Regular Expression Relative record name '%(record)s' contains the zone name '%(zone)s' as a suffix, which results in FQDN '%(fqdn)s'. This is usually a mistake caused by a missing dot at the end of the name specification. Relative weight for server services (counts per location) Reload current settings from the server. Reload the browser. Remote IPA server hostname Remote server name Remove A, AAAA, SSHFP and PTR records of the host(s) managed by IPA DNS Remove CAs from a CA ACL. Remove Kerberos Alias Remove Permission Remove a manager to the stage user entry Remove a manager to the user entry Remove a permission for per-forward zone access delegation. Remove a permission for per-zone access delegation. Remove all principals in this realm Remove an option from Sudo Rule. Remove certificates from a service Remove certificates from host entry Remove commands and sudo command groups affected by Sudo Rule. Remove conditions from an automember rule. Remove default (fallback) group for all unmatched entries. Remove entries from DNS Remove from CRL Remove group for Sudo to execute as. Remove hold Remove hosts and hostgroups affected by Sudo Rule. Remove hosts that can manage this host. Remove hosts that can manage this service. Remove member from a named service delegation rule. Remove member from a named service delegation target. Remove member from a named service delegation. Remove members from Sudo Command Group. Remove members from a group. Remove members from a hostgroup. Remove members from a netgroup. Remove members from a privilege Remove members from a role. Remove members from a vault. Remove members from an HBAC service group. Remove one or more certificates to the idoverrideuser entry Remove one or more certificates to the user entry Remove owners from a vault container. Remove owners from a vault. Remove permissions from a privilege. Remove principal alias from a host entry Remove principal alias from a service Remove privileges from a role. Remove profiles from a CA ACL. Remove service and service groups from an HBAC rule. Remove services from a CA ACL. Remove target from a named service delegation rule. Remove target hosts and hostgroups from a CA ACL. Remove target hosts and hostgroups from an HBAC rule. Remove target hosts and hostgroups from an SELinux User Map rule. Remove users and groups affected by Sudo Rule. Remove users and groups for Sudo to execute as. Remove users and groups from a CA ACL. Remove users and groups from an HBAC rule. Remove users and groups from an SELinux User Map rule. Remove users that can manage this token. Removed aliases from host "%(value)s" Removed aliases to the service principal "%(value)s" Removed certificates from host "%(value)s" Removed certificates from idoverrideuser "%(value)s" Removed certificates from service principal "%(value)s" Removed certificates from user "%(value)s" Removed condition(s) from "%(value)s" Removed default (fallback) group for automember "%(value)s" Removed information about the trusted domain "%(value)s" Removed option "%(option)s" from Sudo Rule "%(rule)s" Removed system permission "%(value)s" Removing %(servers)s from replication topology, please wait... Removing principal %s
Rename Rename an ACI. Rename the %(ldap_obj_name)s object Rename the Group ID override object Rename the ID View object Rename the OTP token object Rename the User ID override object Rename the automount key object Rename the group object Renamed ACI to "%(value)s" Renewal master for IPA certificate authority Replacement Replica is active DNSSEC key master. Uninstall could break your DNS system. Please disable or replace DNSSEC key master first. Replication agreement enabled Replication configuration Replication refresh for segment: "%(pkey)s" requested. Replication topology of suffix "%(suffix)s" contains errors. Replication topology of suffix "%(suffix)s" is in order. Request a full re-initialization of the node retrieving data from the other node. Request id Request is missing "method" Request is missing "params" Request must be a dict Request status Required Required field Requires pre-authentication Reset Reset Kerberos ticket policy to the default values. Reset OTP Reset Password Reset your password. Resolve a host name in DNS. Resolve a host name in DNS. (Deprecated) Resolve security identifiers of users and groups in trusted domains Restore Result Result of simulation Result of the command Results are truncated, try a more specific search Results should contain primary key attribute only ("%s") Results should contain primary key attribute only ("anchor") Results should contain primary key attribute only ("cn") Results should contain primary key attribute only ("command") Results should contain primary key attribute only ("group") Results should contain primary key attribute only ("group-name") Results should contain primary key attribute only ("hostname") Results should contain primary key attribute only ("id") Results should contain primary key attribute only ("location") Results should contain primary key attribute only ("map") Results should contain primary key attribute only ("name") Results should contain primary key attribute only ("sudocmdgroup-name") Retries Retrieve a data from a vault. Retrieve an existing certificate. Retrieve and print all attributes from the server. Affects command output. Retrieve current keys without changing them Retrieved data from vault "%(value)s" Retrieving CA cert chain failed: %s Retrieving CA status failed with status %d Retrieving CA status failed: %s Retry Retrying with pre-4.0 keytab retrieval method...
Return to the main page and retry the operation Reverse record for IP address %(ip)s already exists in reverse zone %(zone)s. Reverse zone %(name)s requires exactly %(count)d IP address components, %(user_count)d given Reverse zone IP network Revert Revocation reason Revoke Revoke a certificate. Revoked Revoked on from Revoked on from this date (YYYY-mm-dd) Revoked on to Revoked on to this date (YYYY-mm-dd) Right node Right replication node - an IPA server Rights Rights to grant (read, search, compare, write, add, delete, all) Role Role Settings Role name Role status Roles Root domain of the trust is always enabled for the existing trust Rule name Rule status Rule type Rule type (allow) Rules Rules to test. If not specified, --enabled is assumed Run Commands Run Test Run as a user Run as any user within a specified group Run with the gid of a specified POSIX group RunAs External Group RunAs External User RunAs Group category RunAs Group category the rule applies to RunAs Groups RunAs User category RunAs User category the rule applies to RunAs Users RunAsGroup does not accept '%(name)s' as a group name RunAsUser does not accept '%(name)s' as a group name RunAsUser does not accept '%(name)s' as a user name SASL Bind failed
SELinux Options SELinux User SELinux User Map SELinux User Map rule SELinux User Map rules SELinux User Maps SELinux user %(user)s not found in ordering list (in config) SELinux user '%(user)s' is not valid: %(error)s SELinux user map default user not in order list SELinux user map list not found in configuration SELinux user map order SHA1 Fingerprint SHA256 Fingerprint SID SID blacklist incoming SID blacklist outgoing SID does not match any trusted domain SID does not match exactlywith any trusted domain's SID SID for the specified trusted domain name could not be found. Please specify the SID directly using dom-sid option. SID is not recognized as a valid SID for a trusted domain SID is not valid SIG record SOA class SOA expire SOA minimum SOA record class SOA record expire time SOA record refresh time SOA record retry time SOA record serial number SOA refresh SOA retry SOA serial SPF record SRV Port SRV Priority SRV Target SRV Weight SRV record SSH public key SSH public key fingerprint SSH public key: SSH public keys SSHFP Algorithm SSHFP Fingerprint SSHFP Fingerprint Type SSHFP record SSSD was unable to resolve the object to a valid SID Salt Same as --%s Save Search Search Options Search command parameters. Search domains of the trust Search for %(searched_object)s with these %(relationship)s %(ldap_object)s. Search for %(searched_object)s without these %(relationship)s %(ldap_object)s. Search for %1$s on rootdse failed with error %2$d
Search for CA ACLs. Search for CAs. Search for Certificate Profiles. Search for DNS forward zones. Search for DNS resources. Search for DNS servers. Search for DNS zones (SOA records). Search for HBAC rules. Search for HBAC services. Search for IPA locations. Search for IPA namingContext failed with error %d
Search for IPA servers. Search for IPA services. Search for OTP token. Search for RADIUS proxy servers. Search for SELinux User Maps. Search for Sudo Command Groups. Search for Sudo Commands. Search for Sudo Rule. Search for a netgroup. Search for a self-service permission. Search for an Group ID override. Search for an HBAC service group. Search for an ID View. Search for an ID override. Search for an User ID override. Search for an automount key. Search for an automount location. Search for an automount map. Search for automember rules. Search for command outputs. Search for commands. Search for delegations. Search for existing certificates. Search for forward zones only Search for group password policies. Search for groups. Search for help topics. Search for hostgroups. Search for hosts with these member of HBAC rules. Search for hosts with these member of host groups. Search for hosts without these member of host groups. Search for hosts without these member of roles. Search for hosts without these member of sudo rules. Search for hosts. Search for netgroups with these member groups. Search for netgroups with these member host groups. Search for netgroups with these member hosts. Search for netgroups with these member netgroups. Search for netgroups with these member of netgroups. Search for netgroups with these member users. Search for netgroups without these member groups. Search for netgroups without these member host groups. Search for netgroups without these member hosts. Search for netgroups without these member netgroups. Search for netgroups without these member of netgroups. Search for netgroups without these member users. Search for permissions. Search for privileges. Search for ranges. Search for roles. Search for service delegation target. Search for service delegations rule. Search for stage users. Search for topology segments. Search for topology suffices. Search for topology suffixes. Search for trusts. Search for users. Search for vaults. Search result has been truncated: %(reason)s Search scope Search size limit Search time limit Second Code Second OTP Secondary RID base Seconds Latitude Seconds Longitude Secret Security Identifier Security Identifiers (SIDs) Segment details Segment name Select All Select entries to be removed. Selector Self Self Service Permission Self Service Permissions Self-service name Semantic of %(label)s was changed. %(current_behavior)s
%(hint)s Semicolon separated list of IP addresses or networks which are allowed to issue queries Semicolon separated list of IP addresses or networks which are allowed to transfer the zone Sensitive Serial Serial Number Serial Number (hex) Serial number Serial number (hex) Serial number in decimal or if prefixed with 0x in hexadecimal Server Server "%(srv)s" has %(n)d agreements with servers: Server %(srv)s can't contact servers: %(replicas)s Server Name Server Role Server Roles Server has already been deleted Server name Server name not provided and unavailable
Server removal aborted: %(reason)s. Server will check DNS forwarder(s). Servers Servers details: Servers in location Servers that belongs to the IPA location Service Service %(service)s requires restart on IPA server %(server)s to apply configuration changes. Service '%(service)s' not found in Kerberos database Service Certificate Service Groups Service Options Service Settings Service category Service category the ACL applies to Service category the rule applies to Service delegation rule Service delegation rules Service delegation target Service delegation targets Service group name Service name Service name of the service vault Service principal Service principal alias Service principal for this certificate (e.g. HTTP/test.example.com) Service principal is not of the form: service/fully-qualified host name: %(reason)s Service relative weight Service unprovisioned Service weight Service(s), shared, and user(s) options cannot be specified simultaneously Service, shared and user options cannot be specified simultaneously Service, shared, and user options cannot be specified simultaneously Services Session error Session key wrapped with transport certificate Session timeout Set Set Domain Level Set OTP Set SSH key Set a user's password. Set an attribute to a name/value pair. Format is attr=value.
For multi-valued attributes, the command replaces the values already present. Set default (fallback) group for all unmatched entries. Set default (fallback) group for automember "%(value)s" Settings Shared secret for the trust Shared vault Show Show IPA server. Show QR code Show Results Show all loaded plugins. Show configuration uri Show details Show environment variables. Show global trust configuration. Show managed suffix. Show role status on a server Show the current OTP configuration. Show the current configuration. Show the current global DNS configuration. Show the list of permitted encryption types and exit Show vault configuration. Show/Set key Showing ${start} to ${end} of ${total} entries. Simple bind failed
Simulate use of Host-based access controls Size Size Limit Size of data exceeds the limit. Current vault data size limit is %(limit)d B Size of the ID range reserved for the trusted domain Skip DNS check Skip a check whether the last CA master or DNS server is removed Skip overlap check Skipped %(key)s Skipped %(map)s Some entries were not deleted Some operations failed. Source Host Groups Source Hosts Source host Source host category Source host category the rule applies to Specified CAs Specified Commands and Groups Specified Groups Specified Hosts and Groups Specified Profiles Specified Services and Groups Specified Users and Groups Specifies where to store keytab information. Specify external ${entity} Stage Stage User Stage Users Stage user %s activated Stage users Staged user account "%(value)s" Standard Record Types State/Province Status Status of the role Stop already started refresh of chosen node(s) Stopping of replication refresh for segment: "%(pkey)s" requested. Store issued certificates Street address Structured Subject Subject DN Subject Distinguished Name Subject alt name type %s is forbidden Submit a certificate signing request. Subtree Subtree to apply ACI to Subtree to apply permissions to Subtype Success Sudo Sudo Allow Command Groups Sudo Allow Commands Sudo Command Sudo Command Group Sudo Command Groups Sudo Commands Sudo Deny Command Groups Sudo Deny Commands Sudo Option Sudo Rule Sudo Rules Sudo order Suffix name Superseded Supported encryption types:
Suppress processing of membership attributes. Sync OTP Token Synchronize an OTP token. Syntax Error: %(error)s System DNS records updated TA record TKEY record TLSA Certificate Association Data TLSA Certificate Usage TLSA Matching Type TLSA Selector TLSA record TOTP Synchronization Window TOTP authentication Window TOTP authentication time variance (seconds) TOTP synchronization time variance (seconds) TOTP token / IPA server time difference TSIG record Take a revoked certificate off hold. Target Target DN Target DN subtree Target group Target host Target members of a group (sets memberOf targetfilter) Target reverse zone not found. Target your own entry (self) Task DN Task DN = '%s' Telephone Number Test the ACI syntax but don't write anything Text Data Text does not match field pattern The --domain option cannot be used together with --add-domain or --del-domain. Use --domain to specify the whole realm domain list explicitly, to add/remove individual domains, use --add-domain/del-domain. The ACI for permission %(name)s was not found in %(dn)s The IPA realm The _kerberos TXT record from domain %(domain)s could not be created (%(error)s).
This can happen if the zone is not managed by IPA. Please create the record manually, containing the following value: '%(realm)s' The _kerberos TXT record from domain %(domain)s could not be removed (%(error)s).
This can happen if the zone is not managed by IPA. Please remove the record manually. The automount key %(key)s with info %(info)s does not exist The character %(char)r is not allowed. The default users group cannot be removed The deny type has been deprecated. The domain name of the target host or '.' if the service is decidedly not available at this domain The following domains do not belong to this realm: %(domains)s The group doesn't exist The host '%s' does not exist to add a service to. The hostname must be fully-qualified: %s
The hostname must not be: %s
The hostname or IP (with or without port) The hostname this reverse record points to The hostname to register as The key,info pair must be unique. A key named %(key)s with info %(info)s already exists The keytab file to remove the principcal(s) from The most common types for this type of zone are: %s
The number of times to retry authentication The primary_key value of the entry, e.g. 'jdoe' for a user The principal for this request doesn't exist. The principal to get a keytab for (ex: ftp/ftp.example.com@EXAMPLE.COM) The principal to remove from the keytab (ex: ftp/ftp.example.com@EXAMPLE.COM) The realm for the principal does not match the realm for this IPA server The realm of the following domains could not be detected: %(domains)s. If these are domains that belong to the this realm, please create a _kerberos TXT record containing "%(realm)s" in each of them. The schema used on the LDAP server. Supported values are RFC2307 and RFC2307bis. The default is RFC2307bis The search criteria was not specific enough. Expected 1 and found %(found)d. The secret used to encrypt data The service principal for subject alt name %s in certificate request does not exist The topic or command name. The total timeout across all retries (in seconds) The username attribute on the user object The username, password or token codes are not correct This command can not be used to change ID allocation for local IPA domain. Run `ipa help idrange` for more information This command relies on the existence of the "editors" group, but this group was not found. This command requires root access This entry already exists This entry cannot be enabled or disabled This entry is already a member This entry is already disabled This entry is already enabled This entry is not a member This group already allows external members This group cannot be posix because it is external This is already a posix group This is already a posix group and cannot be converted to external one This may take some time, please wait ... This page has unsaved changes. Please save or revert. Ticket expired Ticket policy for %s could not be read Time Limit Time limit of search in seconds Time limit of search in seconds (0 is unlimited) Time now Time to live Time to live for records at zone apex Time-based (TOTP) Timeout Timeout exceeded. To establish trust with Active Directory, the domain name and the realm name of the IPA server must match To get command help, use: Token ID Token description (informational only) Token hash algorithm Token model (informational only) Token secret (Base32; default: random) Token serial (informational only) Token synchronization failed Token vendor name (informational only) Token was synchronized Topic commands: Topic or Command Topology Topology Segment Topology Segments Topology does not allow server %(server)s to replicate with servers: Topology is disconnected Topology management requires minimum domain level {0} Topology suffix Topology suffixes Total number of variables env (>= count) Transport Certificate True True if not all results were returned True means the operation was successful Trust Trust Settings Trust direction Trust setup Trust status Trust type Trust type (ad for Active Directory, default) Trusted domain Trusted domain %(domain)s is included among IPA realm domains. It needs to be removed prior to establishing the trust. See the "ipa realmdomains-mod --del-domain" command. Trusted domain and administrator account use different realms Trusted domain did not return a unique object Trusted domain did not return a valid SID for the object Trusted domain partner Trusted domains Trusted for delegation Trusted forest Trusting forest Trusts Two factor authentication (password + OTP) Two-way trust Type Type of IPA object (sets subtree and objectClass targetfilter) Type of the token Types of supported user authentication UID UPN suffixes URI URL Un-apply Un-apply ID Views from hosts Un-apply ID Views from hosts of hostgroups Un-apply from host groups Un-apply from hosts Unable to communicate with CMS Unable to communicate with CMS (status %d) Unable to create private group. A group '%(group)s' already exists. Unable to determine IPA server from %s
Unable to determine if Kerberos principal %s already exists. Use 'ipa user-mod' to set it manually. Unable to determine root DN of %s
Unable to display QR code using the configured output encoding. Please use the token URI to configure your OTP device Unable to enable SSL in LDAP
Unable to generate Kerberos Credential Cache
Unable to initialize ldap library!
Unable to join host: Kerberos Credential Cache not found
Unable to join host: Kerberos User Principal not found and host password not provided.
Unable to join host: Kerberos context initialization failed
Unable to parse principal
Unable to parse principal name
Unable to parse principal: %1$s (%2$d)
Unable to remove entry
Unable to set LDAP_OPT_PROTOCOL_VERSION
Unable to set LDAP_OPT_X_SASL_NOCANON
Unable to verify write permissions to the AD Undelete a delete user account. Undeleted user account "%(value)s" Undo Undo All Undo all changes in this field. Undo this change. Unenroll this host from IPA server Unenrollment failed.
Unenrollment successful.
Unique ID Unknown Unknown Error Unknown option: %(option)s Unlock Unlocked account "%(value)s" Unmatched Unprovision Unresolved rules in --rules Unrevoked Unsaved Changes Unselect All Unspecified Unsupported value Update Update DNS entries Update System DNS Records Update location and IPA server DNS records Update of system record '%(record)s' failed with error: %(error)s User User Group User Groups User ID User ID Number User ID Number (system will assign one if not provided) User ID override User ID overrides User Options User attribute User authentication types User categories User category User category (semantics placed on this attribute are for local interpretation) User category the ACL applies to User category the rule applies to User container User group User group ACI grants access to User group rule User group rules User group to apply delegation to User group to apply permissions to (sets target) User login User name User object class User object overrides User password User search fields User to override User-friendly description of action performed User-specified attributes to which the permission applies User-specified attributes to which the permission explicitly does not apply Username Username of the user vault Users Users allowed to create keytab Users allowed to retrieve keytab Valid Certificate Present Valid from Valid not after from Valid not after from this date (YYYY-mm-dd) Valid not after to Valid not after to this date (YYYY-mm-dd) Valid not before from Valid not before from this date (YYYY-mm-dd) Valid not before to Valid not before to this date (YYYY-mm-dd) Valid to Validation error Validity Validity end Validity start Vault Vault Container Vault Containers Vault configuration Vault data encrypted with session key Vault description Vault name Vault password Vault private key Vault public key Vault salt Vault service Vault type Vault user Vaults Vendor Verify Password Verify Principal Password Version Vertical Precision Via Service View View Certificate Waiting for confirmation by remote side Warning Warning unrecognized encryption type.
Warning unrecognized salt type.
Warning: failed to convert type (#%d)
Warning: salt types are not honored with randomized passwords (see opt. -P)
Weight Weight for server services When migrating a group already existing in IPA domain overwrite the group GID and report as success Whether a replication agreement is active, meaning whether replication is occurring per that agreement Whether to store certs issued using this profile Who Working Write profile configuration to file You are trying to reference a magic private group which is not allowed to be overridden. Try overriding the GID attribute of the corresponding user instead. You can use <a href="${link}" target="_blank">FreeOTP<a/> as a software OTP token application. You may need to manually remove them from the tree You must enroll a host in order to create a host service You will be redirected to DNS Zone. Your password expires in ${days} days. Your trust to %(domain)s is broken. Please re-create it by running 'ipa trust-add' again. YubiKey slot ZIP Zone forwarders Zone found: ${zone} Zone name Zone name (FQDN) Zone record '%s' cannot be deleted Zone refresh interval access() on %1$s failed: errno = %2$d
active user with name "%(user)s" already exists algorithm value: allowed interval 0-255 all masters must have %(role)s role enabled an internal error has occurred an internal error has occurred on server at '%(server)s' answer to query '%(owner)s %(rtype)s' is missing DNSSEC signatures (no RRSIG data) any of the configured servers api has no such namespace: '%(name)s' at least one of options: type, users, hosts must be specified at least one of: type, filter, subtree, targetgroup, attrs or memberof are required attribute "%(attribute)s" not allowed attribute "%s" not allowed attribute is not configurable attrs and included attributes are mutually exclusive attrs and included/excluded attributes are mutually exclusive automatically add the principal if it doesn't exist automount key automount keys automount location automount locations automount map automount maps basedn ber_init() failed, Invalid control ?!
ber_scanf() failed, unable to find kvno ?!
bind password can be at most %(len)d characters can be at most %(maxlength)d bytes can be at most %(maxlength)d characters can be at most %(maxvalue)d can be at most %(maxvalue)s cannot add permission "%(perm)s" with bindtype "%(bindtype)s" to a privilege cannot be empty cannot connect to '%(uri)s': %(error)s cannot delete global password policy cannot delete managed permissions cannot delete root domain of the trust, use trust-del to delete the trust itself cannot disable root domain of the trust, use trust-del to delete the trust itself cannot open configuration file %s
cannot rename managed permissions cannot set bindtype for a permission that is assigned to a privilege cannot specify both raw certificate and file cannot specify full target filter and extra target filter simultaneously cannot stat() configuration file %s
change collided with another change change to a POSIX group change to support external non-IPA members from trusted domains child exited with %d
cn is immutable command command '%(name)s' takes at most %(count)d argument command '%(name)s' takes at most %(count)d arguments command '%(name)s' takes no arguments commands commands cannot be added when command category='all' commands for controlling sudo configuration communication with CIFS server was unsuccessful configuration options container entry (%(container)s) not found default CA ACL can be only disabled delegation delegations delete description did not receive Kerberos credentials does not match any of accepted formats: domain domain is not configured domain is not trusted domain name '%(domain)s' should be normalized to: %(normalized)s domain name cannot be longer than 255 characters each ACL element must be terminated with a semicolon empty DNS label empty filter entries entry error marshalling data for XML-RPC transport: %(error)s error on server '%(server)s': %(error)s executing ipa-getkeytab failed, errno %d
expected format: <0-255> <0-255> <0-65535> even-length_hexadecimal_digits_or_hyphen file to store certificate in filename filter and memberof are mutually exclusive flags must be one of "S", "A", "U", or "P" flags value: allowed interval 0-255 force NS record creation even if its hostname is not in DNS force delete of SYSTEM permissions force host name even if not in DNS force principal name even if not in DNS fork() failed
format must be specified as
"d1 [m1 [s1]] {"N"|"S"} d2 [m2 [s2]] {"E"|"W"} alt["m"] [siz["m"] [hp["m"] [vp["m"]]]]"
where:
d1: [0 .. 90] (degrees latitude)
d2: [0 .. 180] (degrees longitude)
m1, m2: [0 .. 59] (minutes latitude/longitude)
s1, s2: [0 .. 59.999] (seconds latitude/longitude)
alt: [-100000.00 .. 42849672.95] BY .01 (altitude in meters)
siz, hp, vp: [0 .. 90000000.00] (size/precision in meters)
See RFC 1876 for details format must be specified as "%(format)s" %(rfcs)s forward zone "%(fwzone)s" is not effective because of missing proper NS delegation in authoritative zone "%(authzone)s". Please add NS record "%(ns_rec)s" to parent zone "%(authzone)s". gid cannot be set for external group givenname is required group group runAs group, permission and self are mutually exclusive groups groups to add groups to exclude from migration groups to remove host host category cannot be set to 'all' while there are allowed hosts host group host groups host groups to add host groups to remove host masks of allowed hosts hostgroup hostgroup with name "%s" already exists. Hostgroups and netgroups share a common namespace hostgroups hostname hostname contains empty label (consecutive dots) hostname in subject of request '%(cn)s' does not match principal hostname '%(hostname)s' hosts hosts cannot be added when host category='all' hosts cannot be set when type is 'group' hosts to add hosts to remove id range id range type incomplete time value incorrect type integer to order the Sudo rules invalid '%(name)s': %(error)s invalid DN (%s) invalid IP address format invalid IP address version (is %(value)d, must be %(required_value)d)! invalid IP network format invalid Profile ID invalid SSH public key invalid address format invalid attribute name invalid domain name invalid domain-name: %s invalid domain-name: not fully qualified invalid e-mail format: %(email)s invalid escape code in domain name invalid hostmask invalid port number ipa-getkeytab has bad permissions?
ipa-getkeytab not found
is required iterations value: allowed interval 0-65535 kerberos ticket policy settings key %(key)s already exists key named %(key)s already exists krb5_kt_close %1$d: %2$s
krb5_kt_get_entry %1$d: %2$s
krb5_kt_remove_entry %1$d: %2$s
krb5_parse_name %1$d: %2$s
krb5_unparse_name %1$d: %2$s
kvno %d
left node and right node must not be the same left node is not a topology node: %(leftnode)s left or right node has to be specified limits exceeded for this query local domain range location locations manager %(manager)s not found map %(map)s already exists maps not connected to /etc/auto.master: match the common name exactly maximum serial number member %s member HBAC service member HBAC service group member group member host member host group member netgroup member sudo command minimum serial number missing base_id modifying primary key is not allowed mount point is relative to parent map, cannot begin with / must be "%s" must be '%(value)s' must be DNS name must be TRUE or FALSE must be True or False must be Unicode text must be a decimal number must be absolute must be an integer must be at least %(minlength)d bytes must be at least %(minlength)d characters must be at least %(minvalue)d must be at least %(minvalue)s must be binary data must be datetime value must be dictionary must be enclosed in parentheses must be exactly %(length)d bytes must be exactly %(length)d characters must be one of %(values)s must be relative must contain a tuple (list, dict) must have %(role)s role enabled must match pattern "%(pattern)s" netgroup netgroup with name "%s" already exists. Hostgroups and netgroups share a common namespace netgroups netgroups to add netgroups to remove no command nor help topic '%(topic)s' no modifications to be performed no trusted domain is configured no trusted domain matched the specified flat name not allowed to modify group entries not allowed to modify user entries not allowed to perform operation: %s not allowed to perform server connection check not found not fully qualified not modifiable on managed permissions number class '%(cls)s' is not included in a list of allowed number classes: %(allowed)s number of passwords objectclass %s not found one or more values to remove only "ad" is supported only available on managed permissions only letters, numbers, %(chars)s are allowed. DNS label may not start or end with %(chars2)s only master zones can contain records only one CNAME record is allowed per name (RFC 2136, section 1.1.5) only one DNAME record is allowed per name (RFC 6672, section 2.4) only one node can be specified operation not defined option was renamed; use %s options are not allowed order must be a unique value (%(order)d already used by %(rule)s) out of memory
out-of-zone data: record name must be a subdomain of the zone or a relative name overlapping arguments and options: %(names)s owner %s owner of %(types)s records should not be a wildcard domain name (RFC 4592 section 4) params must be a list params must contain [args, options] params[0] (aka args) must be a list params[1] (aka options) must be a dict password password policies password policy password to use if not using kerberos permission permission "%(value)s" already exists permissions pkinit preserve preserve and no-preserve cannot be both set principal not found
principal not found in XML-RPC response
priority cannot be set on global policy priority must be a unique value (%(prio)d already used by %(gname)s) privilege privileged group privileged hostgroup privileged service delegation rule privileged service delegation target privileges profile category cannot be set to 'all' while there are allowed profiles profiles cannot be added when profile category='all' pysss_murmur is not available on the server and no base-id is given. query '%(owner)s %(rtype)s' with EDNS0: %(error)s query '%(owner)s %(rtype)s': %(error)s range exists range modification leaving objects with ID out of the defined range is not allowed range type change read error
realm not found
record '%(owner)s %(rtype)s' failed DNSSEC validation on server %(ip)s request failed with HTTP status %d result not found in XML-RPC response
retrieve and print all attributes from the server. Affects command output. right node is not a topology node: %(rightnode)s role roles roles to remove runAs groups runAs user runAs users salt value: %(err)s search for POSIX groups search for groups with support of external non-IPA members from trusted domains search for managed groups search for non-POSIX groups search for private groups search results for objects to be migrated
have been truncated by the server;
migration process might be incomplete
seconds segment segments self service permission self service permissions server server role server roles servers service service category cannot be set to 'all' while there are allowed services service delegation rule service delegation rules service delegation target service delegation targets services services cannot be added when service category='all' setting Authoritative nameserver should not be a wildcard domain name (RFC 4592 section 4) sidgen_was_run skip reverse DNS detection sn is required stage user stage users subject alt name type %s is forbidden for non-user principals subject alt name type %s is forbidden for user principals subtree and type are mutually exclusive sudo command sudo command group sudo command groups sudo commands sudo commands to add sudo commands to remove sudo rule sudo rules suffix suffixes system ID View target and targetgroup are mutually exclusive the IPA server and the remote domain cannot share the same NetBIOS name: %s the certificate with serial number the entry was deleted while being modified the value does not follow "YYYYMMDDHHMMSS" time format there must be at least one target entry specifier (e.g. target, targetfilter, attrs) this option has been deprecated. this option is deprecated too many '@' characters trust trust configuration trust domain trust domains trust type trusted domain object trusted domain object not found trusted domain user not found trusts type of IPA object (user, group, host, hostgroup, service, netgroup) type, filter, subtree and targetgroup are mutually exclusive unknown command '%(name)s' unknown error %(code)d from %(server)s: %(error)s unsupported functional level unsupported trust type user user "%s" is already active user category cannot be set to 'all' while there are allowed users users users and hosts cannot both be set users cannot be added when runAs user or runAs group category='all' users cannot be added when user category='all' users cannot be set when type is 'hostgroup' users to exclude from migration users to remove value vault vaultcontainer vaultcontainers vaults {attr}: no such attribute {role}: role not found Project-Id-Version: freeipa 4.9.0.dev201908140712+gitc9938e3d8
Report-Msgid-Bugs-To: https://pagure.io/freeipa/new_issue
PO-Revision-Date: 2024-06-27 10:36+0000
Last-Translator: Léane GRASSER <leane.grasser@proton.me>
Language-Team: French <https://translate.fedoraproject.org/projects/freeipa/master/fr/>
Language: fr
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
Plural-Forms: nplurals=2; plural=n > 1;
X-Generator: Weblate 5.5.5
EXEMPLES :
Exemples :
Trouver tous les serveurs :
ipa server-find
CONFIGURATION GLOBALE du DNS
Surcharger ceci afin de pouvoir ajouter réussites et échecs aux
résultats renvoyés.
Surcharger ceci afin de pouvoir définir réussites et échecs.
Ajouter une règle d'auto-adhésion.
Ajouter des conditions à une règle d'auto-adhésion.
Supprimer une règle d'auto-adhésion.
Afficher des informations au sujet d'une règle d'auto-adhésion.
Afficher des informations pour les groupes d'auto-adhésion par défaut (repli).
État verrouillé d'un compte utilisateur
Un compte peut être verrouillé si un mot de passe incorrect est entre à
plusieurs reprises dans un laps de temps donnée selon la politique de
contrôle des mots de passe. Le verrouillage du compte est un état
temporaire ; le compte peut être déverrouillé par un administrateur.
Ce dernier se connecte sur l'IPA maître et affiche l'état du
verrouillage de chacun.
Pour savoir si un compte est verrouillé sur un serveur donné, vous devez
comparer le nombre d'échecs de connexion et l'heure du dernier échec.
Pour qu'un compte soit verrouillé, le nombre d'échecs doit dépasser le
maximum autorisé dans l'intervalle de temps donné tel que défini dans la
politique de mot de passe propre à l'utilisateur.
Le compteur d'échecs de connexion n'est incrémenté que lorsqu'un
utilisateur tente une connexion, il est donc possible qu'un compte
paraisse bloqué mais que la dernière tentative de connexion soit
antérieure à la durée de verrouillage de la règle. Cela
signifie que l'utilisateur peut tenter de se connecter à nouveau.
Modifier la confiance (pour utilisation future).
Actuellement seule l'option par défaut pour modifier les attributs LDAP
est disponible. D'autres options particulières seront ajoutées
dans les versions à venir.
Modifier une règle d'auto-adhésion.
Supprimer des conditions d'une règle d'auto-adhésion.
Supprimer le groupe par défaut (repli) pour toute entrée sans correspondance.
Rechercher des règles d'auto-adhésion.
Définit un groupe par défaut (repli) pour toutes les entrées sans correspondance.
Déverrouiller un compte utilisateur
Un compte utilisateur peut se verrouiller si le mot de passe n'est pas
saisi correctement plusieurs fois de suite dans un laps de temps donné
défini par la politique du mot de passe. Le verrouillage d'un compte est
un état temporaire ; il peut être déverrouillé par un administrateur.
Objet conteneur de coffre-fort.
Objet coffre-fort.
C'est l'équivalent de :
ipa dnszone-mod example.com --dynamic-update=TRUE \
--update-policy="grant EXAMPLE.COM krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM krb5-self * SSHFP;"
Ajouter un emplacement :
ipa location-add location --description 'Mon emplacement'
Ajouter un segment de topologie au suffixe « ca » :
ipa topologysegment-add ca --left IPA_SERVER_A --right IPA_SERVER_B
Ajouter un segment de topologie au suffixe du domaine :
ipa topologysegment-add domain --left IPA_SERVER_A --right IPA_SERVER_B
Supprimer un emplacement :
ipa location-del location
Supprimer un segment de topologie du suffixe « ca » :
ipa topologysegment-del ca segment_name
Supprimer un segment de topologie du suffixe du domaine :
ipa topologysegment-del domain segment_name
Trouver tous les emplacements :
ipa location-find
Trouver tous les serveurs :
ipa server-find
Trouver tous les suffixes :
ipa topologysuffix-find
Énumérer tous les segments de topologie dans le suffixe « ca » :
ipa topologysegment-find ca
Énumérer tous les segments de topologie dans le suffixe du domaine :
ipa topologysegment-find domain
Afficher la configuration d'un serveur DNS spécifique :
ipa dnsserver-show
Afficher un emplacement spécifique :
ipa location-show location
Afficher les informations d'un serveur en particulier :
ipa server-show ipa.example.com
Afficher l'état du rôle « Serveur DNS » d'un serveur :
ipa server-role-show ipa.example.com "DNS server"
Afficher l'état de tous les rôles configurés sur un serveur :
ipa server-role-find ipa.example.com
Modifier la configuration d'un serveur DNS spécifique :
ipa dnsserver-mod
Vérification de la topologie du suffixe « ca » :
ipa topologysuffix-verify ca
Vérification de la topologie du suffixe du domaine :
ipa topologysuffix-verify domain
Ajouter un enregistrement LOC pour « example.com » :
ipa dnsrecord-add example.com @ --loc-rec="49 11 42.4 N 16 36 29.6 E 227.64m"
Ajouter une condition à la règle :
ipa automember-add-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
ipa automember-add-condition --key=manager --type=group --inclusive-regex=^uid=mscott devel
Ajouter un hôte pouvant gérer tableau de clés et certificat d'un hôte donné :
ipa host-add-managedby --hosts=test2 test
Ajout d'un hôte à la règle :
ipa sudorule-add-host readfiles --hosts server.example.com
Ajouter un hôte :
ipa host-add web1.example.com
Ajouter un serveur courriel pour « example.com » :
ipa dnsrecord-add example.com @ --mx-rec="10 mail1"
Ajouter un nouvel hôte à l'aide d'un mot de passe à usage unique :
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com
Ajouter un nouvel hôte avec un mot de passe aléatoire :
ipa host-add --os='Fedora 12' --random test.example.com
Ajouter un nouvel hôte :
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com
Ajouter un nouveau serveur :
ipa radiusproxy-add MyRADIUS --server=radius.example.com:1812
Ajouter un nouveau jeton :
ipa otptoken-add --type=totp --owner=jdoe --desc="My soft token"
Ajouter un nouveau jeton :
ipa otptoken-add-yubikey --owner=jdoe --desc="My YubiKey"
Ajouter une permission autorisant de gérer l'appartenance à un groupe :
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"
Ajouter une permission autorisant la création d'utilisateurs :
ipa permission-add --type=user --permissions=add "Add Users"
Ajout d'une règle sudo spéciale pour la configuration du serveur sudo par défaut :
ipa sudorule-add defaults
Ajouter un coffre-fort standard :
ipa vault-add <nom>
[--user <utilisateur>|--service <service>|--shared]
--type standard
Ajouter un coffre-fort symétrique :
ipa vault-add <nom>
[--user <utilisateur>|--service <service>|--shared]
--type symmetric --password-file mot_de_passe.txt
Ajout d'un utilisateur à la règle :
ipa sudorule-add-user readfiles --users jsmith
Ajouter un utilisateur :
ipa user-add --first=Tim --last=User --password tuser1 --manager=mscott
Ajouter un coffre-fort symétrique :
ipa vault-add <nom>
[--user <utilisateur>|--service <service>|--shared]
--type symmetric --public-key-file public.pem
Ajouter une condition d'exclusion à la règle pour empêcher l'auto-assignation :
ipa automember-add-condition --key=fqdn --type=hostgroup --exclusive-regex=^web5\.example\.com webservers
Ajouter un autre enregistrement avec des options propres à MX :
ipa dnsrecord-add example.com @ --mx-preference=20 --mx-exchanger=mail2
Ajouter un autre enregistrement en mode interactif (lancé si dnsrecord-add,
dnsrecord-mod, ou dnsrecord-del sont exécutés sans options) :
ipa dnsrecord-add example.com @
Please choose a type of DNS resource record to be added
The most common types for this type of zone are: NS, MX, LOC
DNS resource record type: MX
MX Preference: 30
MX Exchanger: mail3
Record name: example.com
MX record: 10 mail1, 20 mail2, 30 mail3
NS record: nameserver.example.com., nameserver2.example.com.
Ajouter un nouvel enregistrement A à www.example.com. Créer son inverse
dans la zone inverse appropriée. Dans ce cas, un enregistrement PTR « 2 »
pointant sur www.example.com sera créé dans la zone 2.0.192.in-addr.arpa.
ipa dnsrecord-add example.com www --a-rec=192.0.2.2 --a-create-reverse
Ajoutez un nouvel enregistrement PTR pour www.example.com
ipa dnsrecord-add 2.0.192.in-addr.arpa. 2 --ptr-rec=www.example.com.
Ajouter de nouveaux enregistrements SRV pour serveurs LDAP. 3 requêtes
sur 4 iront vers fast.example.com, unes sur 4 vers slow.example.com. Si ni
l'un ni l'autre, n'est disponible, basculer sur backup.example.com.
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 3 389 fast.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 1 389 slow.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="1 1 389 backup.example.com"
Ajouter une nouvelle zone inverse spécifiée par adresse IP de réseau :
ipa dnszone-add --name-from-ip=192.0.2.0/24
Ajouter une nouvelle zone :
ipa dnszone-add example.com --admin-email=admin@example.com
Ajouter un second serveur de noms pour « example.com » :
ipa dnsrecord-add example.com @ --ns-rec=nameserver2.example.com
Ajout d'un objet de commande sudo et ajout en tant que commande autorisée dans la règle :
ipa sudocmd-add /usr/bin/less
ipa sudorule-add-allow-command readfiles --sudocmds /usr/bin/less
Ajouter une permission système pour une délégation de privilège par zone :
ipa dnszone-add-permission example.com
Ajouter le groupe ou le groupe d'hôtes initial :
ipa hostgroup-add --desc="Web Servers" webservers
ipa group-add --desc="Developers" devel
Ajouter la règle initiale :
ipa automember-add --type=hostgroup webservers
ipa automember-add --type=group devel
Ajouter des membres à un coffre-fort :
ipa vault-add-member <nom>
[--user <utilisateur>|--service <service>|--shared]
[--users <utilisateurs>] [--groups <groupes>] [--services <services>]
Ajouter des propriétaires à un coffre-fort :
ipa vault-add-owner <nom>
[--user <utilisateur>|--service <service>|--shared]
[--users <utilisateurs>] [--groups <groupes>] [--services <services>]
Après cette modification, 3 requêtes sur 5 iront vers fast.example.com
et 2 sur 5 vers slow.example.com.
Autoriser un utilisateur à créer un tableau de clé :
ipa host-allow-create-keytab test2 --users=tuser1
Autoriser un utilisateur à créer un tableau de clé :
ipa service-allow-create-keytab HTTP/web.example.com --users=tuser1
Voici un exemple du mode interactif pour la commande dnsrecord-del :
ipa dnsrecord-del example.com www
No option to delete specific record provided.
Delete all? Yes/No (default No): (do not delete all records)
Current DNS record contents:
A record: 192.0.2.2, 192.0.2.3
Delete A record '192.0.2.2'? Yes/No (default No):
Delete A record '192.0.2.3'? Yes/No (default No): y
Record name: www
A record: 192.0.2.2 (A record 192.0.2.3 has been deleted)
Archiver des données dans un coffre-fort asymétrique :
ipa vault-archive <nom>
[--user <utilisateur>|--service <service>|--shared]
--in <fichier>
Archiver des données dans un coffre-fort standard :
ipa vault-archive <nom>
[--user <utilisateur>|--service <service>|--shared]
--in <fichier>
Archiver des données dans un coffre-fort symétrique :
ipa vault-archive <nom>
[--user <utilisateur>|--service <service>|--shared]
--in <fichier>
--password-file mot_de_passe.txt
Modifier la politique de redirection pour « external.example.com » :
ipa dnsforwardzone-mod external.example.com --forward-policy=only
Changer le secret :
ipa radiusproxy-mod MyRADIUS --secret
Modifier le fournisseur :
ipa otptoken-mod a93db710-a31a-4639-8647-f15b2c70b78a --vendor="Red Hat"
Création d'une nouvelle règle :
ipa sudorule-add readfiles
Déléguer la zone sub.example à un autre nom de serveur :
ipa dnsrecord-add example.com ns.sub --a-rec=203.0.113.1
ipa dnsrecord-add example.com sub --ns-rec=ns.sub.example.com.
Supprimer une configuration:
ipa radiusproxy-del MyRADIUS
Supprimer un hôte :
ipa host-del test.example.com
Supprimer un jeton :
ipa otptoken-del a93db710-a31a-4639-8647-f15b2c70b78a
Supprimer un coffre-fort :
ipa vault-del <nom>
[--user <utilisateur>|--service <service>|--shared]
Supprimer une règle d'adhésion automatique :
ipa automember-del --type=hostgroup webservers
ipa automember-del --type=group devel
Supprimer la rediretion de zone « external.example.com » :
ipa dnsforwardzone-del external.example.com
Supprimer le serveur de noms précédemment ajouté à « example.com » :
ipa dnsrecord-del example.com @ --ns-rec=nameserver2.example.com.
Supprimer des membres d'un coffre-fort :
ipa vault-remove-member <nom>
[--user <utilisateur>|--service <service>|--shared]
[--users <utilisateurs>] [--groups <groupes>] [--services <services>]
Supprimer des propriétaires d'un coffre-fort :
ipa vault-remove-owner <nom>
[--user <utilisateur>|--service <service>|--shared]
[--users <utilisateurs>] [--groups <groupes>] [--services <services>]
Supprimer la zone « example.com » avec tous les enregistrements de ressources :
ipa dnszone-del example.com
Désactive la redirection globale pour les sous-arbres donnés :
ipa dnszone-mod example.com --forward-policy=none
Désactiver la clé Kerberos, les certificats SSL et tout service d'un hôte :
ipa host-disable test.example.com
Afficher une règle d'adhésion automatique :
ipa automember-show --type=hostgroup webservers
ipa automember-show --type=group devel
Afficher la configuration des coffres-forts :
ipa vaultconfig-show
Examiner la configuration :
ipa radiusproxy-show MyRADIUS
Examiner un jeton :
ipa otptoken-show a93db710-a31a-4639-8647-f15b2c70b78a
Trouver des enregistrements A avec la valeur 192.0.2.2 dans la zone
« example.com » :
ipa dnsrecord-find example.com --a-rec=192.0.2.2
Retrouver toutes les règles d'adhésion automatique :
ipa automember-find
Trouver tous serveurs dont les entrées incluent la chaîne « example.com » :
ipa radiusproxy-find example.com
Trouver des enregistrements de ressources avec « www » dans le nom dans la
zone « example.com » :
ipa dnsrecord-find example.com www
Trouver les arguments disponibles pour user-find :
ipa param-find user-find
Trouver une zone avec « example » dans son nom de domaine :
ipa dnszone-find example
Redirige toutes les requêtes pour la zone « external.example.com » vers un
autre redirecteur avec la politique « first » (il adresse les requêtes au
redirecteur sélectionné et s'il n'y a pas de réponse, les serveurs racines
globaux sont sollicités) :
ipa dnsforwardzone-add external.example.com --forward-policy=first \
--forwarder=203.0.113.1
Générer et récupérer un tableau de clés d'un service IPA :
ipa-getkeytab -s ipa.example.com -p HTTP/web.example.com -k /etc/httpd/httpd.keytab
Si une redirection globale est configurée, toute requête pour laquelle ce
serveur ne fait pas autorité (ex. sub.example.com) sera routée vers le
redirecteur global.
La configuration d'une redirection globale peut être surchargée par zone.
Lister toutes les redirections de zones :
ipa dnsforwardzone-find
Énumérer les coffres-forts pour un service :
ipa vault-find
[--user <utilisateur>|--service <service>|--shared]
Modifier les clés d'un coffre-fort asymétrique :
ipa vault-mod <nom>
[--user <utilisateur>|--service <service>|--shared]
--private-key-file <fichier de l'ancienne clé privée>
--public-key-file <fichier de la nouvelle clé publique>
Modifier la configuration DNS globale et définir une liste de redirecteurs
globaux :
ipa dnsconfig-mod --forwarder=203.0.113.113
Modifier les informations d'un hôte :
ipa host-mod --os='Fedora 12' test.example.com
Modifier un coffre-fort symétrique :
ipa vault-mod <nom>
[--user <utilisateur>|--service <service>|--shared]
--change-password
ipa vault-mod <nom>
[--user <utilisateur>|--service <service>|--shared]
--old-password <ancien mot de passe>
--new-password <nouveau mot de passe>
ipa vault-mod <nom>
[--user <utilisateur>|--service <service>|--shared]
--old-password-file <ancien fichier de mot de passe>
--new-password-file <nouveau fichier de mot de passe>
Modifier la règle d'adhésion automatique :
ipa automember-mod
Modifier la zone pour permettre des mises à jour dynamiques des propres
enregistrements des hôtes dans le royaume EXAMPLE.COM :
ipa dnszone-mod example.com --dynamic-update=TRUE
Modifier la zone pour permettre des transferts de zone pour le réseau local uniquement :
ipa dnszone-mod example.com --allow-transfer=192.0.2.0/24
Modifier la description d'un coffre-fort :
ipa vault-mod <name>
[--user <utilisateur>|--service <service>|--shared]
--desc <description>
Modifier le type d'un coffre-fort :
ipa vault-mod <nom>
[--user <utilisateur>|--service <service>|--shared]
--type <type>
[ancient mot de passe/clé privée]
[nouveau mot de passe/clé publique]
Reconstruire l'appartenance de tous les hôtes :
ipa automember-rebuild --type=hostgroup
Reconstruire l'appartenance de tous les utilisateurs :
ipa automember-rebuild --type=group
Reconstruire l'appartenance d'hôtes donnés :
ipa automember-rebuild --hosts=web1.example.com --hosts=web2.example.com
Reconstruire l'appartenance d'utilisateurs donnés :
ipa automember-rebuild --users=tuser1 --users=tuser2
Supprimer les clés publiques SSH d'un hôte et modifier DNS en conséquence :
ipa host-mod --sshpubkey= --updatedns test.example.com
Supprimer une condition de la règle :
ipa automember-remove-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
Supprimer le groupe cible par défaut (repli) ::
ipa automember-default-group-remove --type=hostgroup
ipa automember-default-group-remove --type=group
Résoudre un nom d'hôte pour voir s'il existe (ajoute le domaine IPA par
défaut s'il n'est pas inclus) :
ipa dns-resolve www.example.com
ipa dns-resolve www
Récupérer des données d'un coffre-fort asymétrique :
ipa vault-retrieve <nom>
[--user <utilisateur>|--service <service>|--shared]
--out <fichier> --private-key-file clé_privée.pem
Récupérer des données d'un coffre-fort standard :
ipa vault-retrieve <nom>
[--user <utilisateur>|--service <service>|--shared]
--out <fichier>
Récupérer des données d'un coffre-fort symétrique :
ipa vault-retrieve <nom>
[--user <utilisateur>|--service <service>|--shared]
--out <fichier>
--password-file mot_de_passe.txt
La sémantique de la redirection de zone dans IPA est la même que
celle de BIND, et dépend du type de zone :
* Zone maître : le serveur BIND local répond avec autorité aux requêtes
de données dans la zone donnée (y compris les réponses ayant autorité
NXDOMAIN) et transfère uniquement les requêtes sur les noms dans les
sous-zones (enregistrements NS) des zones locales servies.
* Zone redirigée : les zones transférées ne contiennent aucune donnée
faisant autorité. BIND transmet les requêtes qui ne peuvent être
servies par son cache local aux serveurs de redirection configurés.
Définition d'une option par défaut pour sudo :
ipa sudorule-add-option defaults --sudooption '!authenticate'
Définir le groupe cible par défaut (recours) :
ipa automember-default-group-set --default-group=webservers --type=hostgroup
ipa automember-default-group-set --default-group=ipausers --type=group
Afficher un coffre-fort :
ipa vault-show <nom>
[--user <utilisateur>|--service <service>|--shared]
Afficher la politique de redirection pour la zone « external.example.com » :
ipa dnsforwardzone-show external.example.com
Afficher la configuration DNS globale :
ipa dnsconfig-show
Afficher les enregistrements de ressources « www » dans la zone
« example.com » :
ipa dnsrecord-show example.com www
Afficher le groupe cible par défaut (repki) :
ipa automember-default-group-show --type=hostgroup
ipa automember-default-group-show --type=group
Afficher les informations sur user-find :
ipa command-show user-find
Afficher la zone « example.com » :
ipa dnszone-show example.com
On peut utiliser le mode interactif pour faciliter les modifications :
ipa dnsrecord-mod example.com _ldap._tcp
No option to modify specific record provided.
Current DNS record contents:
SRV record: 0 3 389 fast.example.com, 0 1 389 slow.example.com, 1 1 389 backup.example.com
Modify SRV record '0 3 389 fast.example.com'? Yes/No (default No):
Modify SRV record '0 1 389 slow.example.com'? Yes/No (default No): y
SRV Priority [0]: (keep the default value)
SRV Weight [1]: 2 (modified value)
SRV Port [389]: (keep the default value)
SRV Target [slow.example.com]: (keep the default value)
1 SRV record skipped. Only one value per DNS record type can be modified at one time.
Record name: _ldap._tcp
SRV record: 0 3 389 fast.example.com, 1 1 389 backup.example.com, 0 2 389 slow.example.com
Cette configuration redirige toutes les requêtes pour les noms en dehors
du sous-arbre « example.com » vers les redirecteurs globaux. Le processus
normal de résolution récursive est utilisé pour les noms dans le sous-arbre
« example.com » (ex. les enregistrements NS sont suivis, etc.).
Vérifier une adhésion automatique :
ipa hostgroup-show webservers
Host-group: webservers
Description: Web Servers
Member hosts: web1.example.com
ipa group-show devel
Group name: devel
Description: Developers
GID: 1004200000
Member users: tuser
* Une permission donne le droit de lire, écrire, ajouter, supprimer,
rechercher, ou comparer.
* Un privilège combine des permissions semblables (par exemple
toutes les permissions nécessaires pour ajouter un utilisateur).
* Un rôle garantit un ensemble de privilèges pour des utilisateurs, des groupes, des hôtes ou des groupes d'hôtes.
Une condition est une expression rationnelle dont se sert « 389-ds » pour
associer nouvelle entrée et règle d'adhésion. Si l'entrée correspond à une
règle d'inclusion, elle est ajoutée au groupe ou groupe d'hôte approprié.
Un groupe ou groupe d'hôte par défaut peut être défini pour des entrées ne
correspondant à aucune règle. Tout utilisateur a ce groupe comme repli, car
il est par défaut membre du groupe indiqué dans la configuration de IPA.
Une permission permet une délégation de droits finement nuancée. Elle est
une enveloppe lisible par le commun de Règles de contrôle d'accès 389-ds,
ou d'instruction (ACI).
Une permission donne le droit d'effectuer des tâches données comme ajouter
un utilisateur, modifier un groupe, etc.
Une permission se compose de plusieurs parties :
1. le nom de la permission.
2. la cible de la permission.
3. les droits garantis par la permission.
Une permission ne peut pas contenir d'autres permissions.
Une règle est directement associée à un groupe par le nom, donc il n'est pas
possible de créer une règle sans groupe ou groupe d'hôtes d'accompagnement.
Schéma de l'API
Ajouter une nouvelle plage d'identifiants.
Pour ajouter une nouvelle plage d'identifiants vous devez toujours préciser
--base-id
--range-size
En outre,
--rid-base
--secondary-rid-base
seront indiqués pour une nouvelle plage d'ID dans le domaine local alors que
--rid-base
--dom-sid
doivent l'être pour ajouter une nouvelle plage pour un domaine AD de confiance.
AVERTISSEMENT :
Le greffon DNA dans 389-ds alloue des ID selon les plages configurées au
titre du domaine local. Actuellement le greffon DNA *ne peut pas* être
lui-même reconfiguré selon les plages locales définies par l'intermédiaire
de cette famille de commandes.
Un changement manuel de configuration doit être opéré dans la configuration
du greffon DNA pour cadrer avec la nouvelle plage locale. En particulier,
l'attribut « dnaNextRange » de « cn=Posix IDs »,^n« cn=Distributed Numeric Assignment Plugin », « cn=plugins », « cn=config »
doivent être modifiés pour correspondre à cette nouvelle plage.
Ajout d'une nouvelle relation de confiance.
Cette commande établit une relation de confiance avec un autre domaine
qui ainsi devient « de confiance ». En conséquence, des utilisateurs du
domaine approuvé peuvent avoir accès aux ressources de ce domaine.
Actuellement, seules les relations d'approbation avec les domaines
Active Directory sont prises en charge.
Cette commande peut être lancée plusieurs fois en toute sécurité à
l'encontre du même domaine, elle modifiera les références de la relation de
confiance des deux côtés.
En plus, il y a les options de commodité suivantes.
Activer une de ces options définit l'attribut correspondant.
1. type: un type d'objet (utilisateur, groupe, etc) ; définit le filtre du
sous-arbre et de la cible.
2. memberof : s'applique aux membres d'un groupe ; définit le filtre de la
cible.
3. targetgroup : permet la modification d'un groupe donné (comme ceux
de gestion de l'appartenance à un groupe); définit la cible.
Les agréments sont représentés par des segments de topologie. Un segment de topologie
représente par défaut deux agréments de réplication, un pour chaque direction, par exemple
de A vers B et de B vers A. La création de segments unidirectionnels n'est pas permise.
Il est possible d'ajouter aux règles sudo l'indication de l'ordre dans
lequel elles doivent être examinées (si le client le prend en charge).
Cet ordre est défini par un entier, qui doit être unique.
Le coffre-fort asymétrique est similaire au coffre standard, mais il
pré-chiffre le secret à l'aide d'une clé publique avant son transport.
Le secret ne peut être récupéré qu'avec la clé privée correspondante.
Règle d'adhésion automatique.
« Automount »
Enregistre la configuration de « automount(8) » pour « autofs(8) » dans IPA.
La base de configuration de « automount » est le fichier « auto.master ».
C'est aussi la base dans IPA. On peut enregistrer plusieurs configurations
« auto.master » à plusieurs endroits différents. Le lieu est propre à
l'implémentation, par défaut il est nommé « default ». Par ex., vous pouvez
avoir des lieux par région géographique, par étage, par type, etc.
« Automount » a 3 types d'objets de base : emplacements, cartes et clés.
L'emplacement définit un jeu de cartes fixées dans « auto.master » et permet
de stocker plusieurs configurations « automount ». Il n'a pas d'intérêt en
soi, il est juste le point de départ d'une autre carte « automount ».
Une carte est, en gros, équivalente à un fichier séparé « automount » ;
elle fournit un stockage pour les clés.
Une clé est un point de montage associé à une carte.
Quand un nouvel emplacement est créé, 2 cartes sont automatiquement créées
pour lui: « auto.master » et « auto.direct ». « auto.master » est la carte
racine de toutes les cartes « automount » dudit lieu. « auto.direct » est
la carte par défaut pour les montages directs et est monté sur /-.
Une carte « automout » peut contenir une clé de sous-montage. Cette clé
définit un emplacement de montage dans la carte référençant une autre carte.
Cela peut se réaliser avec « automountmap-add-indirect --parentmap » ou à la
main avec « automountkey-add » en définissant « -type=autofs :<mapname> ».
EXEMPLES:
Emplacements :
Créer un nouvel emplacement nommé « Baltimore » :
ipa automountlocation-add baltimore
Afficher le nouvel emplacement :
ipa automountlocation-show baltimore
Trouver des emplacements disponibles :
ipa automountlocation-find
Supprimer un emplacement « automount » nommé :
ipa automountlocation-del baltimore
Afficher ce à quoi les cartes « automount » ressembleraient si elles/n étaient dans le système de fichiers :
ipa automountlocation-tofiles baltimore
Importer une configuration existante à un emplacement :
ipa automountlocation-import baltimore /etc/auto.master
L'importation échoue s'il y a une entrée dupliquée. Pour une opération
en continu en ignorant les erreurs, utiliser l'option --continue.
Cartes :
Créer une nouvelle carte, « auto.share » :
ipa automountmap-add baltimore auto.share
Afficher la nouvelle carte :
ipa automountmap-show baltimore auto.share
Trouver les cartes de l'emplacement « baltimore » :
ipa automountmap-find baltimore
Créer une carte indirecte avec « auto.share » comme sous-montage :
ipa automountmap-add-indirect baltimore --parentmap=auto.share --mount=sub auto.man
Ce qui équivaut à :
ipa automountmap-add-indirect baltimore --mount=/man auto.man
ipa automountkey-add baltimore auto.man --key=sub --info="-fstype=autofs ldap:auto.share"
Supprimer la carte « auto.share » :
ipa automountmap-del baltimore auto.share
Clés :
Créer une nouvelle clé pour la carte « auto.share » de l'emplacement
« baltimore ». Cela associe la carte précédemment créée à auto.master :
ipa automountkey-add baltimore auto.master --key=/share --info=auto.share
Créer une clé pour la carte « auto.share », monte NFS pour pages « man » :
ipa automountkey-add baltimore auto.share --key=man --info="-ro,soft,rsize=8192,wsize=8192 ipa.example.com:/shared/man"
Trouver toutes les clés de la carte « auto.share » :
ipa automountkey-find baltimore auto.share
Trouver toutes les clés « automount » directes :
ipa automountkey-find baltimore --key=/-
Supprimer la clé « man » de la carte « auto.share » :
ipa automountkey-del baltimore auto.share --key=man
Il existe trois types de coffres-forts en fonction de leur propriété :
* coffre utilisateur/privé
* coffre de service
* coffre-fort partagé (shared)
Il existe trois types de coffres-forts en fonction de leur mécanisme
de sécurité :
* coffre-fort standard
* coffre-fort symétrique
* coffre-fort asymétrique
Utilisateur de base
Ceci contient les définitions communes pour les utilisateurs et utilisateurs en attente
Clarifie l'adhésion d'hôtes et d'utilisateurs en configurant des motifs
« regex » d'inclusion ou exclusion à assigner automatiquement aux nouvelles
entrées dans un groupe ou un groupe d'hôtes selon l'information d'attribut.
Classes pour gérer des jonctions de confiance avec des appels DCE-RPC
Le code de ce module s'appuie pour l'essentiel sur le paquet
« samba4-python » et les liaisons python de Samba4.
Relations d'approbation entre domaines
Gestion des relations d'approbation entre les domaines IPA et Active Directory.
Pour permettre aux utilisateurs d'un domaine distant l'accès aux ressources
d'un domaine IPA, des relations d'approbation doivent être établies.
Actuellement IPA ne prend en charge que les relations d'approbation entre des
domaines IPA et Active Directory sous le contrôle de Windows Server 2008 ou
ultérieur, avec le niveau fonctionnel 2008 ou ultérieur.
Veuillez noter que DNS doit être correctement configuré à la fois côté
domaine IPA et côté Active Directory pour une découverte mutuelle. La
relation de confiance repose sur la capacité à repérer des ressources
spéciales dans l'autre domaine via des enregistrements DNS.
Exemples :
1. Établir des relations d'approbation croisées entre royaumes avec Active
Directory avec les autorisations d'accès d'un administrateur AD :
ipa trust-add --type=ad <ad.domain> --admin <AD domain administrator> --password
2. Lister toutes les relations d'approbation existantes :
ipa trust-find
3. Voir les détails d'une relation de confiance donnée :
ipa trust-show <ad.domain>
4. Supprimer une relation de confiance existante :
ipa trust-del <ad.domain>
Une fois la relation de confiance établie, les utilisateurs distants doivent
être mis en relation avec des groupes POSIX locaux pour utiliser réellement
des ressources IPA. La relation doit se faire via l'appartenance à un groupe
non-POSIX externe, puis ce groupe doit être intégré dans l'un des groupes
POSIX locaux.
Exemples :
1. Créer un groupe pour la mise en relation avec le domaine approuvé
« admins » et leur groupe POSIX local :
ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins
2. Ajouter un identifiant de sécurité de <ad.domain> de Domain Admins au
groupe « ad_admins_external » :
ipa group-add-member ad_admins_external --external 'AD\Domain Admins'
3. Autoriser des membres du groupe « ad_admins_external » à s'associer
avec le groupe POSIX ad_admins :
ipa group-add-member ad_admins --groups ad_admins_external
4. Lister les membres externes du groupe externe « ad_admins_external »
pour voir leur SID :
ipa group-show ad_admins_external
CONFIGURATION D'UNE CONFIANCE GLOBALE
Une fois le sous-paquet « IPA AD trust » installé et « ipa-adtrust-install »
exécuté, une configuration de domaine local (SID, GUID, nom NetBIOS) est
créée. Ces identifiants sont alors utilisés lors de communications avec un
domaine approuvé de type particulier.
1. Afficher la configuration de confiance globale pour les types de
confiance Active Directory :
ipa trustconfig-show --type ad
2. Modifier la configuration globale de toutes les confiances de type
Active Directory et définir un groupe principal de recours (le GID du
groupe principal de recours est utilisé comme GID d'utilisateur principal
si l'utilisateur s'authentifiant auprès du domaine IPA n'a pas d'autre
GID principal déjà défini) :
ipa trustconfig-mod --type ad --fallback-primary-group "alternative AD group"
3. Revenir au groupe caché par défaut comme groupe de recours principal
(tout groupe de la classe objet « posixGroup » est autorisé) :
ipa trustconfig-mod --type ad --fallback-primary-group "Default SMB Group"
La configuration DNS, passée en ligne de commande du script d'installation,
est stockée dans un ficher de configuration local sur chaque serveur IPA
dans lequel le service DNS est configuré. Ces réglages locaux peuvent être
surchargés par une configuration commune stockée dans le serveur LDAP :
Configuration du serveur DNS
Les données enregistrées dans les serveurs IPA sont répliquées vers les autres
serveurs IPA. Les agréments de réplication définissent la manière dont la
réplication s'opère. Les agréments de réplication doivent être définis pour
les deux suffixes de manière séparée. Sur les domaines de niveau 0, ils sont
gérés par les outils ipa-replica-manage et ipa-csreplica-manage tools. Sur
les domaines de niveau 1, ils sont gérés de manière centralisée par les commandes
« ipa topology* ».
Supprimer ou renommer une permission administrée, ou changer sa cible,
n'est pas autorisé.
Domain Name System (DNS)
INSCRIPTION :
Trois scenarii d'inscriptions d'un nouveau client sont possibles :
1. La machine est enregistrée par un administrateur de plein droit.
L'entrée système peut pré-exister ou non. Un administrateur de
plein droit est membre du rôle hostadmin ou du groupe admins
2. L'inscription est faite par un administrateur limité. L'hôte
doit avoir été préalablement créé. Un administrateur limité
possède le privilège Host Enrollment.
3. Le système a été créé avec un mot de passe à usage unique.
EXEMPLES :
Afficher les informations au sujet des serveurs IPA installés.
Obtenir l'état des rôles (serveur DNS, AC, etc. )fournis par les maîtres IPA.
Délégation de groupe à groupe
Une permission permet une délégation fine des autorisations. Les règles de
contrôle d'accès, ou les instructions (ACI), accordent la possibilité aux
permissions de réaliser certaines tâches comme l'ajout d'utilisateur, la
modification d'un groupe, etc.
La délégation de groupe à groupe permet aux membres d'un groupe de modifier
un jeu d'attributs de membres d'un autre groupe.
EXEMPLES:
Ajouter une règle de délégation permettant aux gestionnaires de modifier
les adresses des employés :
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"
En gérant une liste d'attributs, vous devez inclure tous les attributs,
y compris les existants. Ajouter « postalCode » à la liste :
ipa delegation-mod --attrs=street --attrs=postalCode --group=managers --membergroup=employees "managers edit employees' street"
Afficher la règle modifiée :
ipa delegation-show "managers edit employees' street"
Supprimer une règle :
ipa delegation-del "managers edit employees' street"
Groupes de commandes sudo
Administre les groupes de commandes sudo.
EXEMPLES :
Ajouter un nouveau groupe de commandes sudo :
ipa sudocmdgroup-add --desc='commandes administrateurs' admincmds
Supprimer un groupe de commandes sudo :
ipa sudocmdgroup-del admincmds
Gérer les commandes, l'appartenance d'un groupe de commandes sudo :
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds
Administrer les commandes, l'appartenance d'un groupe de commandes sudo :
ipa group-remove-member --sudocmds=/usr/bin/less admincmds
Afficher un groupe de commandes sudo :
ipa group-show localadmins
Groupes de commandes sudo
Administre les groupes de commandes sudo.
EXEMPLES :
Ajouter un nouveau groupe de commandes sudo :
ipa sudocmdgroup-add --desc='commandes administrateurs' admincmds
Supprimer un groupe de commandes sudo :
ipa sudocmdgroup-del admincmds
Gérer les commandes, l'appartenance d'un groupe de commandes sudo :
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds
Administrer les commandes, l'appartenance d'un groupe de commandes sudo :
ipa sudocmdgroup-remove-member --sudocmds=/usr/bin/less admincmds
Afficher un groupe de commandes sudo :
ipa sudocmdgroup-show admincmds
Groupes d'hôtes.
Gestion des groupes d'hôtes. Permet d'appliquer des contrôles d'accès
à plusieurs hôtes en utilisant HBAC (Host-based Access Control).
EXEMPLES :
Ajouter un nouveau groupe d'hôtes :
ipa hostgroup-add --desc="Systèmes de Baltimore" baltimore
Ajouter un nouveau groupe d'hôtes :
ipa hostgroup-add --desc="Systèmes du Maryland" maryland
Ajouter des membres à un groupe d'hôtes :
ipa hostgroup-add-member --hosts={box1,box2,box3} baltimore
Ajouter un groupe d'hôtes en tant que membre d'un autre groupe d'hôtes :
ipa hostgroup-add-member --hostgroups=baltimore maryland
Supprimer un hôte d'un groupe :
ipa hostgroup-remove-member --hosts=box2 baltimore
Afficher un groupe d'hôtes :
ipa hostgroup-show baltimore
Supprimer un groupe d'hôtes :
ipa hostgroup-del baltimore
Groupes de services HBAC
Les groupes de services HBAC peuvent contenir n'importe quel nombre de
services « membres » individuels. Chaque groupe doit avoir une description.
EXEMPLES:
Ajouter un nouveau groupe de services HBAC :
ipa hbacsvcgroup-add --desc="login services" login
Ajouter des membres à un groupe de services HBAC :
ipa hbacsvcgroup-add-member --hbacsvcs=sshd --hbacsvcs=login login
Afficher les informations d'un groupe nommé :
ipa hbacsvcgroup-show login
Supprimer un groupe de services HBAC :
ipa hbacsvcgroup-del login
Services HBAC
Les services PAM dont le système HBAC peut contrôler l'accès. Le nom utilisé
ici doit correspondre au nom du service analysé par PAM.
EXEMPLES:
Ajouter un nouveau service HBAC :
ipa hbacsvc-add tftp
Modifier un service HBAC existant :
ipa hbacsvc-mod --desc="TFTP service" tftp
Chercher des services HBAC. Cet exemple renvoie deux résultats, le service
FTP et le service tftp nouvellement ajouté :
ipa hbacsvc-find ftp
Supprimer un service HBAC :
ipa hbacsvc-del tftp
Contrôle d'accès des systèmes (HBAC)
HBAC (Host-based acces control) permet de contrôler qui peut accéder
à quels services sur quels systèmes, et d'où. Il est possible
d'utiliser le système HBAC afin de contrôler quels utilisateurs ou quels
groupes d'un système source peuvent accéder à quels services, ou groupes
de services, sur un hôte cible.
Vous pouvez aussi indiquer une catégorie d'utilisateur, d'hôtes cibles.
La seule catégorie existante pour le moment est "all", mais elles
pourront être étendues dans le futur.
Les hôtes cible des règles HBAC doivent être des hôtes administrés par IPA.
Les services et groupes de services disponibles sont gérés respectivement
par les greffons « hbacsvc » et « hbacsvcgroup ».
EXEMPLES:
Créer une règle "test1" autorisant tous les utilisateurs à accéder
le serveur « server » depuis n'importe où :
ipa hbacrule-add --usercat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1
Afficher les propriétés d'une règle HBAC nommée :
ipa hbacrule-show test1
Créer une règle pour un service donné. Elle permet d'avoir accés au
service sshd sur toute machine depuis n'importe quelle autre machine :
ipa hbacrule-add --hostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd
Créer une règle pour un nouveau groupe de services. Elle permet d'avoir
accès au service FTP de toute machine depuis n'importe quelle machine.
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp --hbacsvcs=sftp ftpers
ipa hbacrule-add --hostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp
Désactiver une règle HBAC nommée :
ipa hbacrule-disable test1
Supprimer une règle HBAC nommée :
ipa hbacrule-del allow_server
Hôtes/Machines
Un hôte représente une machine. Il peut être utilisé dans de nombreux contextes :
- les entrées de services sont associées à un hôte,
- un hôte stocke le principal des hôtes/des services,
- un hôte est utilisable dans les règles HBAC (Host-based Access Control),
- chaque client enregistré génère une entrée d'hôte.
Gestion de certficats IPA
Implémente un jeu de commandes pour gérer les certificats SSL du serveur.
Les demandes de certificats existent sous la forme de
« Certificate Signing Request (CSR) » au format PEM.
La plaque d'identité CA n'utilise que la valeur CN du CSR et force le reste
du sujet aux valeurs configurées dans le serveur.
Un certificat est enregistré avec un principal de service et un principal
de service a besoin d'un hôte.
Donc, pour demander un certificat :
* l'hôte doit exister
* le service doit exister (utiliser --add pour l'ajouter automatiquement)
RECHERCHE :
Les certificats peuvent être recherchés par sujet, numéro de série,
motif de révocation, dates de validité et date d'émission.
En recherchant par dates, _from effectue une recherche >= à la date et _to
une recherche <= à la date. Combinées, elles sont équivalentes à un AND.
La date est traitée comme GMT pour correspondre aux dates de certificats.
La date est au format YYYY-mm-dd.
EXEMPLES :
Demander un nouveau certificat et ajouter le principal :
ipa cert-request --add --principal=HTTP/lion.example.com example.csr
Retrouver un certificat existant :
ipa cert-show 1032
Révoquer un certificat (voir RFC 5280 pour le détail des raisons) :
ipa cert-revoke --revocation-reason=6 1032
Lever l'état de maintien de révocation d'un certificat :
ipa cert-remove-hold 1032
Vérifier l'état d'une demande de signature :
ipa cert-status 10
Rechercher des certificats par nom d'hôte :
ipa cert-find --subject=ipaserver.example.com
Rechercher les certificats révoqués par motif :
ipa cert-find --revocation-reason=5
Rechercher les certificats selon la date d'émission :
ipa cert-find --issuedon-from=2013-02-01 --issuedon-to=2013-02-07
Actuellement IPA émet (ou refuse) aussitôt toute demande de certificat, donc
l'état d'une requête ne sert normalement pas. C'est en vue d'une utilisation
future ou au cas où un CA n'émettrait pas immédiatement un certificat.
Les motifs de révocation suivants sont pris en charge :
* 0 - « unspecified » (non précisé)
* 1 - « keyCompromise » (clé compromise)
* 2 - « cACompromise » (CA compromis)
* 3 - « affiliationChanged » (affiliation modifiée)
* 4 - « superseded » (remplacé)
* 5 - « cessationOfOperation » (arrêt d'opération)
* 6 - « certificateHold » (certificat retenu)
* 8 - « removeFromCRL » (sorti du CRL)
* 9 - « privilegeWithdrawn » (retrait de privilège)
* 10 - « aACompromise » (compromission)
Notez que le motif code 7 ne sert pas. Voir RFC 5280 pour plus de détails :
http://www.ietf.org/rfc/rfc5280.txt
Emplacements IPA
IPA permet la désignation d'un DN de liaison à utiliser avec sudo situé à :
uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com
IPA offre les moyens de configurer les divers aspects de sudo :
Users : utilisateur/groupe autorisés à invoquer sudo.
Hosts : hôte/groupe d'hôte dont l'utilisateur peut invoquer sudo.
Allow Command : commande donnée pouvant être exécutée via sudo.
Deny Command : commande donnée interdite d'exécution avec sudo.
RunAsUser : utilisateur ou groupe dont les droits sudo pourront être invoqués.
RunAsGroup : groupe dont les droits sudo associés au GID pourront être invoqués.
Options : les diverses options de sudoers pouvant modifier le comportement de sudo.
Rôles serveurs IPA
Les données des serveurs IPA sont enregistrées dans le serveur LDAP
sous deux suffixes :
* le suffixe de domain, par exemple « dc=example,dc=com », qui contient toutes
les informations relatives au domaine ;
* le suffixe ca, « o=ipaca », qui n'est présent que sur les serveurs où l'autorité de certification
est installée. Il contient les données nécessaire au composant Certificate Server
Serveurs IPA
IPA prend en charge l'utilisation de jetons OTP pour une authentification
à facteurs multiples. Ce code active la gestion des jetons OTP.
IPA prend en charge l'utilisation d'un serveur mandataire externe RADIUS
pour des authentifications OTP « krb5 ». Cela procure une grande souplesse
pour l'intégration des services d'authentification tierce partie.
Il peut être difficile de manier de tels enregistrements DNS sans erreurs et
sans entrer de valeur invalide. Le module DNS fournit une abstraction pour
ces enregistrements bruts afin de manier chaque type RR avec des options
données. Pour tout type RR pris en charge, le module DNS fournit une option
standard pour manier l'enregistrement brut avec le format --<rrtype>-rec,
ex. --mx-rec, et des options spéciales pour chaque élément de structure RR
avec le format --<rrtype>-<partname>, ex. --mx-preference ou --mx-exchanger.
Rejoindre un domaine IPA
Options de « pkinit » de Kerberos
Activer ou désactiver l'opération « pkinit » anonyme en utilisant le
principal WELLKNOWN/ANONYMOUS@REALM. Le serveur doit avoir
été installé avec la prise en charge de « pkinit ».
EXEMPLES :
Activer le « pkinit » anonyme :
ipa pkinit-anonymous enable
Désactiver le « pkinit » anonyme :
ipa pkinit-anonymous disable
Pour plus d'informations sur « pkinit » anonyme, cf. :
http://k5wiki.kerberos.org/wiki/Projects/Anonymous_pkinit
Politique de tickets Kerberos
Il n'existe qu'une seule politique de ticket Kerberos. Cette politique
définit la durée de vie maximale des tickets, ainsi que la durée maximale de
la période de renouvellement, temps pendant lequel le ticket est renouvelable.
Vous pouvez aussi créer une politique de ticket par utilisateur en indiquant
l'identifiant de l'utilisateur.
Pour que les changements à la politique globale s'appliquent, il est
nécessaire de redémarrer le service KDC, par exemple :
service krb5kdc restart
Les changements d'une politique propre à un utilisateur prennent effet
immédiatement pour les tickets nouvellement demandés (i.e. au lancement
suivant de « kinit » par l'utilsateur).
EXEMPLES :
Affiche la politique de ticket Kerberos en cours :
ipa krbtpolicy-show
Réinitialise la politique aux valeurs par défaut :
ipa krbtpolicy-reset
Modifie la politique à 8 heures de durée de vie, 1 journée de durée
maximale de renouvellement :
ipa krbtpolicy-mod --maxlife=28800 --maxrenew=86400
Affiche la politique de ticket Kerberos effective pour l'utilisateur
« admin » :
ipa krbtpolicy-show admin
Réinitialise la politique de ticket Kerberos de l'utilisateur « admin » :
ipa krbtpolicy-reset admin
Modifie la politique de ticket Kerberos de l'utilisateur 'admin' :
ipa krbtpolicy-mod admin --maxlife=3600
Gestion des règles de LCA de l'AC.
Ce grffon est utilisé pour définir les règles gouvernant quels principaux
sont autorisés à se voir attribuer des certificats à l'aide d'un profil
donné de certificat.
SYNTAXE D'IDENTIFIANT DE PROFIL :
Un identifiant de profil est une chaîne sans espace ni ponctuation débutant par
une lettre et suivie d'une séquence de lettres, chiffres, ou caractère souligné ("_").
EXEMPLES :
Créer une LCA d'AC « test » autorisant tous les utilisateurs à accéder
au profil « UserCert » :
ipa caacl-add test --usercat=all
ipa caacl-add-profile test --certprofiles UserCert
Afficher les propriétés d'une LCA d'AC nommée :
ipa caacl-show test
Créer une LCA d'AC autorisant l'utilisatrice « alice » à utiliser le profile « DNP3 » :
ipa caacl-add-profile alice_dnp3 --certprofiles DNP3
ipa caacl-add-user alice_dnp3 --user=alice
Désactiver une LCA d'AC :
ipa caacl-disable test
Supprimer une LCA d'AC :
ipa caacl-del test
Gestion des profils de certificats
Les profils de certificats sont utilisés par l'autorité de certification (AC) dans
la signature de certificats afin de déterminer si une demande de signature de
certificat (Certificate Signing Request, CSR) est acceptable, et si oui, quelles
fonctionnalités et extensions doivent figurer dans le certificat.
Le format du profil de certificat est un format de liste de propriétés qui sera
compris par une autorité de certification Dogtag ou Red Hat Certificate System.
SYNTAXE DE L'IDENTIFIANT DE PROFIL :
Un identifiant de profil est une chaîne de caractères sans espaces ni caractère de
ponctuation débutant par une lettre suivie d'une séquence de lettres, de chiffres et
de caractère souligné (« _ »).
EXEMPLES :
Importer un profil qui ne stockera pas les certificats émis :
ipa certprofile-import ShortLivedUserCert \
--file UserCert.profile --summary "User Certificates" \
--store=false
Supprimer un profil de certificat :
ipa certprofile-del ShortLivedUserCert
Afficher les informations sur un profil :
ipa certprofile-show ShortLivedUserCert
Enregistrer la configuration du profil dans un fichier :
ipa certprofile-show caIPAserviceCert --out caIPAserviceCert.cfg
Rechercher des profils ne stockant pas les certificats :
ipa certprofile-find --store=false
FORMAT DE LA CONFIGURATION DE PROFIL :
Le format de configuration de profil est un format brut de liste de
propriété utilisé par Dogtag Certificate System. Le format XML n'est
pas pris en charge.
Les restrictions suivantes s'appliquent aux profils gérés par IPA :
- Lors de l'import d'un profil, le champ « profileId » s'il est présent doit
correspondre à l'identifiant donné sur la ligne de commande.
- Le champ « classId » doit être « caEnrollImpl »
- Le champ « auth.instance_id doit être « raCertAuth »
- Les classe d'entrée « certReqInputImpl » et de sortie « certOutputImpl » doivent
être utilisées.
Gérer la zone DNS et les enregistrements de ressources.
Gérer les jetons OTP.
Gestion des serveurs mandataires RADIUS.
Gestion de jetons YubiKey.
Gestion des coffres-forts.
Permissions administrées
Manipulation des emplacements DNS
Manipulation de la configuration du serveur DNS
Migration vers IPA
Migration d'utilisateurs et de groupes d'un serveur LDAP vers IPA.
Ceci réalise une requête LDAP sur le serveur distant pour rechercher
utilisateurs et groupes dans un conteneur. Pour faire migrer les mots de
passe, vous devez vous connecter en tant qu'utilisateur capable de lire
l'attribut « userPassword » sur le serveur distant : chose généralement
réservée aux administrateurs de haut niveau comme « cn=Directory Manager »
dans 389-ds (utilisateur de connexion par défaut).
Par défaut, le conteneur utilisateur est ou=People.
Par défaut, le conteneur groupe est ou=Groups.
Utilisateurs et groupes préexistants sur le serveur IPA ne sont pas touchés.
Deux schémas LDAP définissent comment les membres d'un groupe sont
enregistrés : RFC2307 et RFC2307bis. RFC2307bis utilise « member » et
« uniquemember » pour définir les membres d'un groupe, RFC2307 utilise
« memberUid ». Le schéma par défaut est RFC2307bis.
La fonctionnalité « compat » du schéma autorise IPA à formater à nouveau
les données pour les systèmes ne prenant pas en charge RFC2307bis. Il est
recommandé de désactiver cette fonction pendant la migration pour éviter
de surcharger le système. Vous la réactiverez après migration. Pour faire
la migration avec la fonction activée,utilisez l'option « --with-compat ».
Les utilisateurs migrés n'ont pas de référence Kerberos, ils n'ont que leur
mot de passe LDAP. Pour achever le processus de migration, les utilisateurs
doivent aller à la page http://ipa.example.com/ipa/migration et
s'authentifier en utilisant leur mot de passe LDAP pour générer leur
justificatif d'identité Kerberos.
Par défaut, la migration est désactivée. Utilisez la commande
« ipa config-mod » pour l'activer :
ipa config-mod --enable-migration=TRUE
Si un DN de base n'est pas indiqué avec « --basedn », IPA utilise alors,
soit la valeur de « defaultNamingContext » si elle est définie, soit la
première valeur fixée dans « namingContexts » dans la racine du serveur LDAP
distant.
Les utilisateurs sont ajoutés comme membres du groupe utilisateur par défaut.
Cela peut être une tâche demandant du temps, ainsi pendant la migration cela
se fait en mode lot par tranches de 100 utilisateurs. Il y aura donc
une fenêtre dans laquelle les utilisateurs seront ajoutés à IPA, mais
ne seront pas encore membres du groupe d'utilisateurs par défaut.
EXEMPLES :
Migration la plus simple, acceptant tous les paramètres par défaut :
ipa migrate-ds ldap://ds.example.com:389
En précisant le conteneur utilisateur et groupe. S'utilise pour migrer les
données utilisateur et groupe d'un serveur IPA v1 :
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Comme un serveur IPA v2 comporte déjà des groupes prédéfinis pouvant entrer
en conflit avec des groupes du serveur (IPA v1) migré (par exemple admins,
ipausers), des utilisateurs dans un groupe en conflit comme groupe principal
peuvent se voir rattachés à un groupe inconnu sur le nouveau serveur IPA v2.
Utilisez l'option « --group-overwrite-gid » pour écraser le GID des groupes
préexistants afin d'éviter ce problème :
ipa migrate-ds --group-overwrite-gid \
--user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Utilisateurs ou groupes migrés peuvent avoir des classes d'objets et
attributs associés inconnus du serveur IPA v2. Ces classes d'objets et
attributs doivent être tenus en dehors du processus de migration :
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
--user-ignore-objectclass=radiusprofile \
--user-ignore-attribute=radiusgroupname \
ldap://ds.example.com:389
JOURNALISATION
La migration inscrit des avertissements et des erreurs sur le journal
d'erreurs Apache. Ce fichier devra être examiné après la migration pour
corriger ou enquêter sur tout problème qui serait mentionné.
Tous les 100 utilisateurs migrés un message de niveau info est affiché
indiquant l'avancement en cours et la durée écoulée pour permettre un suivi
du processus de progression de la migration.
Si le niveau de journalisation est « debug », en définissant « debug=True »
soit dans « /etc/ipa/default.conf », soit dans « /etc/ipa/server.conf »,
alors une entrée est inscrite pour chaque utilisateur ajouté, plus un
résumé quand le groupe utilisateur par défaut est mis à jour.
Migration vers IPA
Migration d'utilisateurs et de groupes d'un serveur LDAP vers IPA.
Ceci réalise une requête LDAP sur le serveur distant pour rechercher
utilisateurs et groupes dans un conteneur. Pour faire migrer les mots de
passe, vous devez vous connecter en tant qu'utilisateur capable de lire
l'attribut « userPassword » sur le serveur distant : chose généralement
réservée aux administrateurs de haut niveau comme « cn=Directory Manager »
dans 389-ds (utilisateur de la connexion par défaut).
Par défaut, le conteneur utilisateur est ou=People.
Par défaut, le conteneur groupe est ou=Groups.
Utilisateurs et groupes préexistants sur le serveur IPA ne sont pas touchés.
Deux schémas LDAP définissent comment les membres d'un groupe sont
enregistrés : RFC2307 et RFC2307bis. RFC2307bis utilise « member » et
« uniquemember » pour définir les membres d'un groupe, RFC2307 utilise
« memberUid ». Le schéma par défaut est RFC2307bis.
La fonctionnalité « compat » du schéma autorise IPA à formater à nouveau
les données pour les systèmes ne prenant pas en charge RFC2307bis. Il est
recommandé de désactiver cette fonction pendant la migration pour éviter
de surcharger le système. Vous la réactiverez après migration. Pour faire
la migration avec la fonction activée,utilisez l'option « --with-compat ».
Les utilisateurs migrés n'ont pas de référence Kerberos, ils n'ont que leur
mot de passe LDAP. Pour achever le processus de migration, les utilisateurs
doivent aller à la page http://ipa.example.com/ipa/migration et
s'authentifier en utilisant leur mot de passe LDAP pour générer leur
justificatif d'identité Kerberos.
Par défaut, la migration est désactivée. Utilisez la commande
« ipa config-mod » pour l'activer :
ipa config-mod --enable-migration=TRUE
Si un DN de base n'est pas indiqué avec « --basedn », IPA utilise alors,
soit la valeur de « defaultNamingContext » si elle est définie, soit la
première valeur fixée dans « namingContexts » dans la racine du serveur LDAP
distant.
Les utilisateurs sont ajoutés comme membres du groupe utilisateur par défaut.
Cela peut être une tâche demandant du temps, ainsi pendant la migration cela
se fait en mode « batch » par tranches de 100 utilisateurs. Il y aura donc
une fenêtre dans laquelle les utilisateurs seront ajoutés à IPA, mais
ne seront pas encore membres du groupe d'utilisateurs par défaut.
EXEMPLES :
Migration la plus simple, acceptant tous les paramètres par défaut :
ipa migrate-ds ldap://ds.example.com:389
En précisant le conteneur utilisateur et groupe. S'utilise pour migrer les
données utilisateur et groupe d'un serveur IPA v1 :
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Comme un serveur IPA v2 comporte déjà des groupes prédéfinis pouvant entrer
en conflit avec des groupes du serveur (IPA v1) migré (par exemple admins,
ipausers), des utilisateurs dans un groupe en conflit comme groupe principal
peuvent se voir rattachés à un groupe inconnu sur le nouveau serveur IPA v2.
Utilisez l'option « --group-overwrite-gid » pour écraser le GID des groupes
préexistants afin d'éviter ce problème :
ipa migrate-ds --group-overwrite-gid \
--user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Utilisateurs ou groupes migrés peuvent avoir des classes d'objets et
attributs associés inconnus du serveur IPA v2. Ces classes d'objets et
attributs doivent être tenus en dehors du processus de migration :
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
--user-ignore-objectclass=radiusprofile \
--user-ignore-attribute=radiusgroupname \
ldap://ds.example.com:389
JOURNALISATION
La migration inscrit des avertissements et des erreurs sur le journal
d'erreurs Apache. Ce fichier devra être examiné après la migration pour
corriger ou enquêter sur tout problème qui serait mentionné.
Tous les 100 utilisateurs migrés un message de niveau info est affiché
indiquant l'avancement en cours et la durée écoulée pour permettre un suivi
du processus de progression de la migration.
Si le niveau de journalisation est « debug », en définissant « debug=True »
soit dans « /etc/ipa/default.conf », soit dans « /etc/ipa/server.conf »,
alors une entrée est inscrite pour chaque utilisateur ajouté, plus un
résumé quand le groupe utilisateur par défaut est mis à jour.
Greffons divers
Groupes réseau
Un groupe réseau est un groupe utilisé pour la vérification des droits.
Il peut contenir à la fois des valeurs utilisateur et hôte.
EXEMPLES :
Ajouter un nouveau groupe réseau :
ipa netgroup-add --desc="NFS admins" admins
Ajouter des membres au groupe réseau :
ipa netgroup-add-member --users=tuser1 --users=tuser2 admins
Retirer un membre du groupe réseau :
ipa netgroup-remove-member --users=tuser2 admins
Afficher les informations sur un groupe réseau :
ipa netgroup-show admins
Supprimer un groupe réseau :
ipa netgroup-del admins
Notez la distinction entre attributs et entrées. Les permissions sont
indépendantes, donc la possibilité d'ajouter un utilisateur ne signifie
pas qu'il est possible de les modifier.
Jetons OTP
Jetons OTP
Configuration des jetons OTP.
IPA prend en charge l'utilisation de jetons OTP pour une authentification
à facteurs multiples. Ce code active la gestion des jetons OTP.
EXEMPLES :
Ajouter un nouveau jeton :
ipa otptoken-add --type=totp --owner=jdoe --desc="My soft token"
Examiner un jeton :
ipa otptoken-show a93db710-a31a-4639-8647-f15b2c70b78a
Modifier le fournisseur :
ipa otptoken-mod a93db710-a31a-4639-8647-f15b2c70b78a --vendor="Red Hat"
Supprimer un jeton :
ipa otptoken-del a93db710-a31a-4639-8647-f15b2c70b78a
Configuration OTP
Gestion des valeurs par défaut utilisées par IPA pour les jetons OTP.
EXEMPLES :
Afficher la configuration de base OTP :
ipa otpconfig-show
Afficher toutes les options de configuration OTP :
ipa otpconfig-show --all
Modifier la fenêtre maximale d'authentification TOTP à 10 minutes :
ipa otpconfig-mod --totp-auth-window=600
Modifier la fenêtre maximale d'authentification TOTP à 12 heures :
ipa otpconfig-mod --totp-sync-window=43200
Modifier la fenêtre maximale d'authentification HOTP à 5 :
ipa hotpconfig-mod --hotp-auth-window=5
Modifier la fenêtre maximale d'authentification HOTP à 50 :
ipa hotpconfig-mod --hotp-sync-window=50
Politique de mots de passe
Une politique de mots de passe permet de définir des limites sur les mots de
passe dans IPA, comme leur durée de vie, minimale ou maximale, la taille de
l'historique de mots de passe, le nombre de classes de caractères requises
(pour la résistance à force brute) et la longueur minimale du mot de passe.
Par défaut, une politique unique et globale est définie pour tous les
utilisateurs. Vous pouvez aussi créer une politique à appliquer à un groupe.
Chaque utilisateur est l'objet d'une seule politique de mots de passe, par
un groupe ou par la politique globale. Une politique de groupe remplace
totalement la politique globale ; elle n'est pas la somme de la politique
globale plus quelques paramètres spécifiques.
Chaque politique de groupe requiert un paramètre de priorité unique. Si un
utilisateur appartient à plusieurs groupes ayant des politiques différentes,
la priorité sera utilisée afin de déterminer quelle politique appliquer.
Une petite valeur indique une priorité élevée de politique.
Les politiques de mots de passe sont automatiquement supprimées quand les
groupes auxquels elles ont été associées sont supprimés.
EXEMPLES :
Modifier la politique globale :
ipa pwpolicy-mod --minlength=10
Ajouter une nouvelle politique de groupe :
ipa pwpolicy-add --maxlife=90 --minlife=1 --history=10 --minclasses=3 --minlength=8 --priority=10 localadmins
Afficher la politique de mots de passe globale :
ipa pwpolicy-show
Afficher une politique de mots de passe de groupe :
ipa pwpolicy-show localadmins
Afficher la politique applicable à un utilisateur :
ipa pwpolicy-show --user=tuser1
Modifier une politique de mots de passe de groupe :
ipa pwpolicy-mod --minclasses=2 localadmins
Permissions
Les permissions venant par défaut avec IPA sont dites « administrées ».
Un jeu d'attributs par défaut leur a été appliqué, mais l'administrateur
peut ajouter/supprimer des attributs individualisés à cet ensemble.
« Ping » sur un serveur IPA distant pour s'assurer de son fonctionnement.
La commande « ping » envoie une requête « echo « au serveur IPA. Le serveur
renvoie ses informations de version. Ce mécanisme est utilisé par le client
IPA pour confirmer que le serveur est disponible et est en mesure d'accepter
les requêtes.
Le serveur indiqué par « xmlrpc_uri » dans « /etc/ipa/default.conf » est
contacté en premier. S'il ne répond pas alors le client contactera n'importe
quel autre serveur défini dans les enregistrements SRV du DNS.
EXEMPLES :
« Ping » d'un serveur IPA :
ipa ping
------------------------------------------
IPA server version 2.1.9. API version 2.20
------------------------------------------
« Ping » verbeux d'un serveur IPA :
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server 'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
IPA server version 2.1.9. API version 2.20
-----------------------------------------------------
Greffons non accessibles depuis la ligne de commande, commandes utilisées en interne
Privilèges
Un privilège combine les permissions en tâches logiques. Une permission
fournit les droits de réaliser une tâche unique. Certaines opérations IPA
requièrent une combinaison de plusieurs permissions. Un privilège est la
combinaison de ces permissions pour réaliser une tâche.
Par exemple, la création d'utilisateurs requiert les permissions suivantes :
* création d'une nouvelle entrée
* réinitialisation du mot de passe
* ajout du nouvel utilisateur au groupe d'utilisateurs par défaut de IPA
La combinaison de ces trois tâches de bas niveau en privilège nommé
« Add User » facilite la gestion des rôles.
Un privilège ne peut contenir d'autres privilèges.
Reportez-vous la gestion des rôles et des permissions pour plus d'informations.
Fournit des capacités d'introspection de l'API.
Serveurs mandataires RADIUS
RADIUS Proxy Servers
Gestion des serveurs mandataires RADIUS.
IPA prend en charge l'utilisation d'un serveur mandataire externe RADIUS
pour des authentifications OTP « krb5 ». Cela procure une grande souplesse
pour l'intégration des services d'authentification tierce partie.
EXEMPLES:
Ajouter un nouveau serveur :
ipa radiusproxy-add MyRADIUS --server=radius.example.com:1812
Rechercher tous les serveurs dont les entrées incluent la chaîne « example.com » :
ipa radiusproxy-find example.com
Afficher la configuration:
ipa radiusproxy-show MyRADIUS
Modifier le secret:
ipa radiusproxy-mod MyRADIUS --secret
Supprimer la configuration:
ipa radiusproxy-del MyRADIUS
RÉINSCRIPTION :
Un hôte déjà inscrit à un certain endroit ayant perdu sa configuration
(ex.: parce que sa VM a été supprimée), peut être réinscrit.
Pour plus d'informations, consulter les pages « man » de ipa-client-install.
Un hôte peut facultativement stocker des informations complémentaires
comme sa localisation, le système d'exploitation qu'il exécute, etc.
Relever le niveau du domaine IPA.
Domaines du royaume
Gérer la liste des domaines associés au royaume IPA.
EXEMPLES:
Afficher la liste actuelle des domaines du royaume :
ipa realmdomains-show
Remplacer la liste des domaines du royaume :
ipa realmdomains-mod --domain=example.com
ipa realmdomains-mod --domain={example1.com,example2.com,example3.com}
Ajouter un domaine à la liste des domaines du royaume :
ipa realmdomains-mod --add-domain=newdomain.com
Supprimer un domaine de la liste des domaines du royaume :
ipa realmdomains-mod --del-domain=olddomain.com
La suppression de « %(hostname)s » engendre une déconnexion de la topologie de réplication pour le suffixe « %(suffix)s » :
%(errors)s
La topologie de réplication dans le suffixe « %(suffix)s » est déconnectée :
%(errors)s
Les droits définissent les opérations permises ; ce sont un ou plusieurs
des éléments suivants :
1. write - écrire un ou plusieurs attributs
2. read - lire un ou plusieurs attributs
3. search - rechercher un ou plusieurs attributs
4. compare - comparer un ou plusieurs attributs
5. add - ajouter une nouvelle entrée dans l'arbre
6. delete - supprimer une entrée existante
7. all - toutes les permissions sont garanties
Rôles
Les rôles sont utilisés pour affiner les délégations. Une permission accorde
la capacité d'effectuer une tâche de bas niveau (ajouter un utilisateur,
modifier un groupe, etc.). Un privilège combine une ou plusieurs
permissions en une abstraction de plus haut niveau comme « useradmin ». Un
administrateur d'utilisateur (useradmin) sera capable d'ajouter, modifier
et supprimer des utilisateurs.
Les privilèges sont assignés aux rôles.
Peuvent être membres d'un rôle des utilisateurs, des groupes, des systèmes
et des groupes de systèmes.
Les rôles ne peuvent contenir d'autres rôles.
EXEMPLES :
Ajouter un nouveau rôle :
ipa role-add --desc="Junior-level admin" junioradmin
Ajouter des privilèges à ce rôle :
ipa role-add-privilege --privileges=addusers junioradmin
ipa role-add-privilege --privileges=change_password junioradmin
ipa role-add-privilege --privileges=add_user_to_default_group junioradmin
Ajouter un groupe d'utilisateurs à ce rôle :
ipa group-add --desc="User admins" useradmins
ipa role-add-member --groups=useradmins junioradmin
Afficher les informations sur un rôle :
ipa role-show junioradmin
Le résultat des commandes ci-dessus fait que le groupe « junioradmin »
peut ajouter des utilisateurs, réinitialiser des mots de passe, ou ajouter
un utilisateur au groupe d'utilisateur par défaut de IPA.
Mappage d'utilisateur SELinux
Fait correspondre des utilisateurs IPA aux utilisateurs SELinux par hôte.
Hôtes, groupes d'hôtes, utilisateurs et groupes peuvent être définis par
rapport, soit à la règle, soit en pointant vers une règle HBAC existante.
En utilisant l'option « --hbacrule » de « selinuxusermap-find », une
recherche de correspondance exacte est faite sur le nom de la règle HBAC,
de sorte qu'une seule entrée sera renvoyée ou bien aucune.
EXEMPLES :
Créer une règle « test1 » qui attribue à tous les utilisateurs le contexte
« xguest_u:s0 » sur l'hôte « server » :
ipa selinuxusermap-add --usercat=all --selinuxuser=xguest_u:s0 test1
ipa selinuxusermap-add-host --hosts=server.example.com test1
Créer une règle « test2 » qui attribue à tous les utilisateurs le contexte
« guest_u:s0 » et utilise une règle HBAC existante pour utilisateurs et hôtes :
ipa selinuxusermap-add --usercat=all --hbacrule=webserver --selinuxuser=guest_u:s0 test1
Afficher les propriétés d'une règle :
ipa selinuxusermap-show test2
Créer une règle pour un utilisateur donné. Elle fixe le contexte
SELinux de l'utilisateur « john » à « unconfined_u:s0-s0:c0.c1023 »
sur toute machine :
ipa selinuxusermap-add --hostcat=all --selinuxuser=unconfined_u:s0-s0:c0.c1023 john_unconfined
ipa selinuxusermap-add-user --users=john john_unconfined
Désactiver une règle :
ipa selinuxusermap-disable test1
Activer une règle :
ipa selinuxusermap-enable test1
Trouver une règle référençant une règle HBAC donnée :
ipa selinuxusermap-find --hbacrule=allow_some
Supprimer une règle :
ipa selinuxusermap-del john_unconfined
VOIR AUSSI :
La liste contrôlant l'ordre dans lequel la mappe d'utilisateurs SELinux
est appliquée, ainsi que l'utilisateur SELinux par défaut, sont disponibles
avec la commande « config-show ».
TYPES DE ZONE PRIS EN CHARGE
* Zone maître (dnszone-*), contient les données faisant autorité.
* Zone redirigée (dnsforwardzone-*), qui transfère les requêtes aux redirecteurs
configurés (un ensemble de serveurs DNS).
Permissions de libre service
Une permission permet d'affiner une délégation de permissions. Les règles ou
instructions de contrôle d'accès (ACI) accordent la permission de donner les
permissions d'effectuer des tâches données comme ajouter un utilisateur,
modifier un groupe, etc.
Une permission de libre service définit ce qu'un objet peut modifier dans sa
propre entrée.
EXEMPLES :
Ajouter une règle de libre service permettant aux utilisateurs de gérer
leurs adresses (avec les extensions entre accolades de Bash) :
ipa selfservice-add --permissions=write --attrs={street,postalCode,l,c,st} "Users manage their own address"
En gérant les listes d'attributs, vous devez incorporer tous les attributs
dans la liste, y compris les existants.
Ajouter « telephoneNumber » à la liste (avec extension entre accolades Bash) :
ipa selfservice-mod --attrs={street,postalCode,l,c,st,telephoneNumber} "Users manage their own address"
Afficher la règle modifiée :
ipa selfservice-show "Users manage their own address"
Supprimer une règle :
ipa selfservice-del "Users manage their own address"
Configuration du serveur
Gérer les valeurs par défaut utilisées par IPA ainsi que certains de ses
paramètres d'ajustement.
NOTES :
La valeur de notification du mot de passe (--pwdexpnotify) est stockée ici
en vue de sa réplication. Elle n'est pas actuellement utilisée pour notifier
par avance aux utilisateurs l'expiration de leur mot de passe.
Certains attributs sont en lecture seule, fournis à titre d'information ;
ils comprennent :
* la base sujet de certificat : la base de sujet de certificat configuré,
ex. O=EXAMPLE.COM, configurable uniquement à l'installation.
* les fonctions du greffon mots de passe : définit les hachages additionnels
qu'un mot de passe va générer (d'autres conditions peuvent s'appliquer).
En fixant la liste ordonnée pour le mappage des utilisateurs SELinux, vous
devez mettre entre guillemets les valeurs pour éviter leur interprétation.
EXEMPLES :
Afficher la configuration de base du serveur :
ipa config-show
Afficher toutes les options de configuration :
ipa config-show --all
Modifier la longueur maximale d'un nom d'utilisateur à 99 caractères :
ipa config-mod --maxusername=99
Augmenter délais et limites de taille des recherches sur le serveur IPA :
ipa config-mod --searchtimelimit=10 --searchrecordslimit=2000
Définir le domaine pour les courriels de l'utilisateur par défaut :
ipa config-mod --emaildomain=example.com
Activer le mode migration pour que « ipa migrate-ds » soit opérationelle :
ipa config-mod --enable-migration=TRUE
Définir l'ordre de la mappe des utilisateurs SELinux :
ipa config-mod --ipaselinuxusermaporder='guest_u:s0$xguest_u:s0$user_u:s0-s0:c0.c1023$staff_u:s0-s0:c0.c1023$unconfined_u:s0-s0:c0.c1023'
Délégation contrainte de services
Gérez les règles permettant la délégation contrainte d'informations
d'authentification de façon à ce qu'un service puisse se faire passer
pour un utilisateur lors de la communication avec un service sans
que cela ne nécessite de la part de l'utilisateur de transmettre son TGT.
Cela constitue une méthode bien meilleure de délégation d'identification
car elle évite l'exposition du secret court terme de l'utilisateur.
La convention de nommage est d'ajouter le mot « target » ou « targets »
au nom de la règle de correspondance. Ce poitn n'est pas obligatoire mais
aide à visualiser l'association entre règles et cibles.
Une règle est constituée de deux choses :
- une liste de cibles auxquelles la règle s'applique,
- une liste de memberPrincipals qui sont autorisés à leur déléguer
leurs droits.
Une cible consiste en une liste de principaux qui peuvent être délégués.
En anglais, une règle que ce principal peut déléguer comme cette liste
de principaux, tels que définis par ces cibles.
EXEMPLES :
Ajouter une nouvelle règle de délégation contrainte :
ipa servicedelegationrule-add ftp-delegation
Ajouter une nouvelle cible de délégation contrainte :
ipa servicedelegationtarget-add ftp-delegation-target
Ajouter un principal à la règle :
ipa servicedelegationrule-add-member --principals=ftp/ipa.example.com ftp-delegation
Ajouter notre cible à la règle :
ipa servicedelegationrule-add-target --servicedelegationtargets=ftp-delegation-target ftp-delegation
Add un principal à la cible :
ipa servicedelegationtarget-add-member --principals=ldap/ipa.example.com ftp-delegation-target
Afficher les informations au sujet d'une règle de délégation et sa cible :
ipa servicedelegationrule_show ftp-delegation
ipa servicedelegationtarget_show ftp-delegation-target
Supprimer une délégation contrainte :
ipa servicedelegationrule-del ftp-delegation-target
ipa servicedelegationtarget-del ftp-delegation
Dans cet exemple, le service ftp peut obtenir un TGT pour le service ldap
au nom de l'utilisateur associé.
Il est fortement découragé de modifier les délégations livrées avec IPA,
ipa-http-delegation et ses cibles ipa-cifs-delegation-targets et
ipa-ldap-delegation-targets. Des modifications erronées peuvent obérer
la capacité de délégation, en provoquant l'arrêt de fonctionnement du
moteur.
Services
Un service IPA représente un service qui s'exécute sur un hôte. L'enregistrement du
service IPA peut contenir un principal Kerberos, un certificat SSL ou les deux.
Un service IPA peut être directement géré à partir d'une machine, pour
autant que des permissions adéquates aient été données à la machine. Ceci
est vrai même pour les machines autres que celle à laquelle le service est
associé. Par exemple, demander un certificat SSL en utilisant les
justificatifs d'identité du principal du service de l'hôte. Pour gérer un
service en utilisant les références de l'hôte, vous devrez exécuter
« kinit » en tant qu'hôte :
# kinit -kt /etc/krb5.keytab host/ipa.example.com@EXAMPLE.COM
Ajouter un service IPA permet au service associé de demander un certificat
SSL ou un tableau de clés, mais cela est réalisé dans une étape distincte ;
cela n'est pas le résultat de l'ajout du service.
Seule la composante publique du certificat est stockée dans un
enregistrement de service ; la clé privée n'y est pas enregistrée.
EXEMPLES :
Ajouter un nouveau service IPA :
ipa service-add HTTP/web.example.com
Autoriser un hôte à gérer un certificat de service IPA :
ipa service-add-host --hosts=web.example.com HTTP/web.example.com
ipa role-add-member --hosts=web.example.com certadmin
Écraser la liste par défaut des types PAC pris en charge pour le service :
ipa service-mod HTTP/web.example.com --pac-type=MS-PAC
NFS est un cas classique où la surcharge du type PAC est nécessaire.
Actuellement, le code relatif à cette fonction dans le noyau Linux ne gère
les tickets Kerberos que jusqu'à une taille maximale donnée. Comme les
données PAC peuvent devenir bien plus grandes, il est recommandé de fixer
« --pac-type=NONE » pour les services NFS.
Supprimer un service IPA :
ipa service-del HTTP/web.example.com
Trouver tous les services IPA associés à un hôte :
ipa service-find web.example.com
Trouver tous les service HTTP :
ipa service-find HTTP
Désactiver la clé Kerberos et le certificat SSL d'un service :
ipa service-disable HTTP/web.example.com
Demander un certificat pour un service IPA :
ipa cert-request --principal=HTTP/web.example.com example.csr
Définir le mot de passe d'un utilisateur
Si une personne autre que l'utilisateur change le mot de passe de cet
utilisateur (par exemple en cas de réinitialisation par les services
d'assistance technique), le mot de passe devra être modifié la première
fois qu'il sera utilisé, afin que l'utilisateur soit le seul à connaître
son mot de passe.
La politique de mot de passe de IPA contrôle la fréquence de changement
des mots de passe, les prérequis de leur résistance, et la taille
de l'historique des mots de passe.
EXEMPLES :
Réinitialiser son propre mot de passe :
ipa passwd
Modifier le mot de passe d'un utilisateur :
ipa passwd tuser1
Simuler l'utilisation des contrôles d'accès fondés sur l'hôte
Les règles HBAC contrôlent qui peut accéder à quel service sur quels hôtes.
Vous pouvez utiliser HBAC pour contrôler quels utilisateurs ou quels groupes
ont accés à un service ou à un groupe de services, sur un hôte cible.
L'application de règles HBAC présuppose un environnement de production ;
ce greffon a pour objet de fournir une simulation de l'évaluation des règles
HBAC sans nécessiter d'accès à cet environnement.
Tester l'arrivée d'un utilisateur dans un service sur un hôte donné
vis à vis des règles actives existantes.
ipa hbactest --user= --host= --service=\
[--rules=rules-list] [--nodetail] [--enabled] [--disabled]\
[--sizelimit= ]
--user, --host et --service sont obligatoires, les autres sont optionnelles.
Si --rules est défini, simule l'activation des règles « rules-list » et
teste la connexion de l'utilisateur uniquement sur ces règles.
Si --enabled est défini, toutes les règles HBAC activées sont ajoutées à
la simulation
Si --disabled est défini, toutes les règles HBAC désactivées sont ajoutées
à la simulation
Si --nodetail est défini, il n'est pas renvoyé d'information sur les règles satisfaites ou non satisfaites.
Si --rules et --enabled sont définis tous deux, la simulation est appliquée
à --rules _et_ à tous les règles IPA activées.
Si --rules n'est pas défini, la simulation est lancée vis à sis de toutes
les règles IPA activées.
Par défaut, il y a une limite globale IPA pour le nombre d'entrées
renvoyées, vous pouvez la modifier avec l'option « --sizelimit ».
EXEMPLES :
1. Utiliser toutes les règles HBAC activées dans la base de données IPA
pour la simulation :
$ ipa hbactest --user=a1a --host=bar --service=sshd
--------------------
Access granted: True
--------------------
notmatched: my-second-rule
notmatched: my-third-rule
notmatched: myrule
matched: allow_all
2. Désactiver le résumé détaillé sur l'application des règles :
$ ipa hbactest --user=a1a --host=bar --service=sshd --nodetail
--------------------
Access granted: True
--------------------
3. Tester explicitement les règles HBAC indiquées :
$ ipa hbactest --user=a1a --host=bar --service=sshd
--rules=my-second-rule,myrule
---------------------
Access granted: False
---------------------
notmatched: my-second-rule
notmatched: myrule
4. Utiliser toutes les règles HBAC activées de la base de données IPA
plus les règles explicitement définies :
$ ipa hbactest --user=a1a --host=bar --service=sshd
--rules=my-second-rule,myrule --enabled
--------------------
Access granted: True
--------------------
notmatched: my-second-rule
notmatched: my-third-rule
notmatched: myrule
matched: allow_all
5. Tester toutes les règles HBAC désactivées de la base de données IPA :
$ ipa hbactest --user=a1a --host=bar --service=sshd --disabled
---------------------
Access granted: False
---------------------
notmatched: new-rule
6. Tester toutes les règles HBAC désactivées de la base de données IPA
plus les règles explicitement définies :
$ ipa hbactest --user=a1a --host=bar --service=sshd
--rules=my-second-rule,myrule --disabled
---------------------
Access granted: False
---------------------
notmatched: my-second-rule
notmatched: my-third-rule
notmatched: myrule
7. Tester toutes les règles HBAC (activées et désactivées) de la base
de données IPA :
$ ipa hbactest --user=a1a --host=bar --service=sshd \
--enabled --disabled
--------------------
Access granted: True
--------------------
notmatched: my-second-rule
notmatched: my-third-rule
notmatched: myrule
notmatched: new-rule
matched: allow_all
TEST HBAC ET domaines approuvés
Si un domaine approuvé externe est configuré dans IPA, les règles HBAC
sont aussi appliquées aux utilisateurs accédant aux ressources IPA à partir
du domaine approuvé. Les utilisateurs des domaines approuvés et les
groupes (et leur SID) peuvent être assignés à des groupes externes pouvant
être membres de groupes POSIX d'IPA éligibles aux règles HBAC, ce qui
autorise un accès aux ressources protégées par le système HBAC.
Le greffon « hbactest » peut tester des accès, à la fois d'utilisateurs
IPA locaux et d'utilisateurs de domaines approuvés à partir, soit du
nom d'utilisateur pleinement qualifié, soit du SID utilisateur. De tels noms
d'utilisateur doivent avoir un domaine approuvé précisé comme nom court
(DOMAINE\Administrateur) ou avec un nom de principal d'utilisateur (UPN),
Administrator@ad.test.
Veuillez noter que « hbactest » exécuté avec un utilisateur de domaine de
confiance en tant que paramètre --user ne peut être lancé que par des
membres du groupe des « administrateurs de confiance ».
EXEMPLES :
1. Tester si un utilisateur d'un domaine approuvé défini par son
nom court satisfait à toute règle :
$ ipa hbactest --user 'DOMAIN\Administrator' --host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Matched rules: can_login
2. Tester si un utilisateur d'un domaine approuvé défini par son
nom de domaine satisfait à toute règle :
$ ipa hbactest --user 'Administrator@domain.com' --host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Matched rules: can_login
3. Tester si un utilisateur d'un domaine approuvé défini par son
SID satisfait à toute règle :
$ ipa hbactest --user S-1-5-21-3035198329-144811719-1378114514-500 \
--host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Matched rules: can_login
4. Tester si un autre utilisateur d'un domaine approuvé défini
par son SID satisfait à toute règle :
$ ipa hbactest --user S-1-5-21-3035198329-144811719-1378114514-1203 \
--host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Not matched rules: can_login
5. Tester si un autre utilisateur d'un domaine approuvé défini par
son nom court satisfait à toute règle :
$ ipa hbactest --user 'DOMAIN\Otheruser' --host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Not matched rules: can_login
Le coffre-fort standard utilise un mécanisme sécurisé pour le
transport et le stockage du secret. Le secret ne peut être récupéré
que par les utilisateurs ayant accès au coffre.
Sudo (su « do ») autorise un administrateur système à déléguer la possibilité
à certains utilisateurs (ou groupes d'utilisateurs) d'exécuter certaines
(ou toutes) commandes en tant qu'administrateur ou autre utilisateur, tout
en donnant des moyens de contrôle des commandes et de leurs arguments.
Commandes sudo
Commandes utilisées en tant que briques de base pour sudo
EXEMPLES :
Ajouter une nouvelle commande
ipa sudocmd-add --desc='For reading log files' /usr/bin/less
Supprimer une commande
ipa sudocmd-del /usr/bin/less
Commandes sudo
Commandes utilisées en tant que briques de base pour sudo
EXEMPLES :
Ajouter une nouvelle commande
ipa sudocmd-add --desc='For reading log files' /usr/bin/less
Supprimer une commande
ipa sudocmd-del /usr/bin/less
Règles sudo
Le coffre-fort symétrique est similaire au coffre standard, mais il
pré-chiffre le secret à l'aide d'un mot de passe avant son transport.
Le secret ne peut être récupéré qu'à l'aide du même mot de passe.
« automember-rebuild » s'utilise pour appliquer rétroactivement les règles
d'adhésion automatique aux entrées présentes, et ainsi revoir leur adhésion.
Il y a un certain nombre de cibles autorisées :
1. sous-arbre : un DN ; la permission s'applique au sous-arbre sous ce DN
2. filtre de cibles : un filtre LDAP
3. cible : un DN avec possiblement des jokers, indique les entrées
auxquelles la permission s'applique
Dans beaucoup de types RR de DNS, les données DNS mises dans un serveur LDAP
ne sont pas qu'un scalaire, ex. adresse IP ou nom de domaine, mais une
structure de données parfois complexe. Un bon exemple est l'enregistrement
LOC [RFC1876] constitué de nombre de parties obligatoires ou optionnelles
(degrés-minutes-secondes de latitude et longitude, altitude ou précision).
Ce code est une extension du greffon « otptoken » ; il fournit la prise en
charge pour lire/écrire des jetons YubiKey directement.
Pour activer le DN de liaison, exécutez la commande suivante pour définir le mot de passe :
LDAPTLS_CACERT=/etc/ipa/ca.crt /usr/bin/ldappasswd -S -W -H ldap://ipa.example.com -ZZ -D "cn=Directory Manager" uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com
Afin de vérifier qu'aucun serveur n'est déconnecté dans la topologie d'un
suffixe donné, utiliser :
ipa topologysuffix-verify $suffix
Topologie
Gestion de la topologie de réplication.
Topologie
Gestion de la topologie de réplication.
Nécessite a minima le niveau 1 de domaine.
UTILISATION d'OPTIONS STRUCTURÉES PAR TYPE
Les coffres-forts utilisateurs sont des coffres appartenant à un utilisateur
en particulier. Les coffres privés appartiennent à l'utilisateur courant. Les
coffres de services appartiennent à un service. Les coffres partagés
appartiennent à l'administrateur, mais peuvent être utilisés par d'autres
utilisateurs ou services.
Utilisateurs
Gestion des utilisateurs. Tous les utilisateurs sont de type POSIX.
IPA prend en charge un grand nombre de formats de noms d'utilisateurs.
Certaines restrictions peuvent cependant s'appliquer dans un environnement
particulier. Par exemple, les noms d'utilisateurs commençant par un chiffre
ou ceux dépassant une certaine longueur peuvent poser problème à certains
systèmes UNIX.
Utiliser la commande « ipa config-mod » afin de modifier le format de nom
d'utilisateur autorisé par les outils IPA.
La désactivation d'un compte utilisateur lui interdit d'obtenir de
nouveaux justificatifs d'identité Kerberos. Elle n'invalide pas les
justificatifs déjà obtenus.
L'administration des mots de passe ne fait pas partie de ce module. Pour
plus d'informations sur ce sujet, cf. : « ipa help passwd »
Le verrouillage de compte en cas d'échec de mot de passe est déclenché par
le maître IPA de l'utilisateur. La commande « user-status » permet de
l'identifier. C'est sur ce maître que l'administrateur doit déverrouiller
l'utilisateur.
EXEMPLES :
Ajouter un nouvel utilisateur :
ipa user-add --first=Tim --last=User --password tuser1
Trouver tous les utilisateurs dont l'entrée contient la chaîne « Tim » :
ipa user-find Tim
Trouver tous les utilisateurs ayant « Tim » comme prénom :
ipa user-find --first=Tim
Désactiver un compte utilisateur :
ipa user-disable tuser1
Activer un compte utilisateur :
ipa user-enable tuser1
Supprimer un utilisateur :
ipa user-del tuser1
Coffres-forts (vaults)
Vérifier la topologie de réplication pour le suffixe.
Vérifications effectuées :
1. vérfier si la topologie n'est pas déconnectée. En d'autres mots, si des chemins
de réplication existent bien entre tous les serveurs.
2. vérifier si tous les serveurs n'ont pas un nombre supérieur à celui recommandé
d'agrément de réplication.
À l'ajout d'un enregistrement, on peut utiliser des options RR spécifiques
ou standard pour une valeur brute, mais elles ne doivent pas être combinées
dans une même opération. En modifiant une entrée existante, des options RR
spécifiques peuvent s'utiliser pour modifier une partie d'un enregistrement
DNS où l'option standard est utilisée pour indiquer la valeur modifiée.
Cet exemple démontre une modification de préférence d'enregistrement MX de
0 à 1 dans un enregistrement sans modifier l'échangeur :
ipa dnsrecord-mod --mx-rec="0 mx.example.com." --mx-preference=1
Jetons YubiKey
ipa <command> --help -8 '${cn}' De manière alternative, les serveurs suivants sont capables d'exécuter cette commande : %(masters)s « %s » n'est pas un type de permission autorisé « %s » n'est pas un type d'objet ${count} certificate(s) présent(s) ${count} élément(s) ajouté(s) ${count} élément(s) supprimé(s) ${count} élément(s) désactivé(s) ${count} élément(s) activé(s) ${count} élément(s) supprimé(s) ${count} option(s) supprimée(s) ${count} utilisateur(s) activé(s) ${count} utilisateur(s) restauré(s) ${count} utilisateur(s) mis en attente Réglages de ${primary_key} de ${entity} ${primary_key} de ${entity} modifié ${entity} ajoutée avec succès ${primary_key} s'applique à : ${primary_key} est membre de : ${primary_key} est géré par : membres de ${primary_key} : Surcharges de ${primary_key} : ${product}, version : ${version} %(attr)s ne contient pas '%(value)s' %(attr)s : syntaxe invalide. %(attr)s : une seule valeur autorisée. La recherche LDAP %(container)s ne renvoie aucun résultat (base de recherche : %(search_base)s, classe d'objet : %(objectclass)s) %(count)d enregistrement %(type)s sauté. Une seule valeur modifiable par enregistrement DNS. %(count)d enregistrements %(type)s sautés. Une seule valeur modifiable par enregistrement DNS. %(count)d ACI correspondant %(count)d ACI correspondant %(count)d LCA d'AC correspondante %(count)d LCA d'AC correspondantes %(count)d AC correspondante %(count)d AC correspondantes %(count)d serveur DNS correspondant %(count)d serveurs DNS correspondants %(count)d surcharge d'identifiants de groupes correspondante %(count)d surcharges d'identifiants de groupes correspondantes %(count)d règle HBAC correspondante %(count)d règles HBAC correspondantes %(count)d groupe de services HBAC correspondant %(count)d groupes de services HBAC correspondant %(count)d service HBAC correspondant %(count)d services HBAC correspondant %(count)d vue d'identifiants correspondante %(count)d vues d'identifiants correspondantes %(count)d surcharge d'identifiants correspondante %(count)d surcharges d'identifiants correspondantes %(count)d emplacement IPA correspondant %(count)d emplacements IPA correspondants %(count)d serveur IPA correspondant %(count)d serveurs IPA correspondants %(count)d jeton OTP correspond %(count)d jetons OTP correspondant %(count)d serveur mandataire RADIUS correspondant %(count)d serveurs mandataires RADIUS correspondant %(count)d mappe d'utilisateurs SELinux correspondant %(count)d mappe d'utilisateurs SELinux correspondant %(count)d groupe de commandes Sudo correspondant %(count)d groupes de commandes Sudo correspondant %(count)d commande sudo correspondant %(count)d commandes sudo correspondant %(count)d règle sudo correspondant %(count)d règles sudo correspondant %(count)d surcharge d'identifiants utilisateurs correspondante %(count)d surcharges d'identifiants utilisateurs correspondantes %(count)d clé « automount » correspondante %(count)d clés « automount » correspondantes %(count)d emplacement « automount » correspondant %(count)d emplacements « automount » correspondants %(count)d carte « automount » correspondante %(count)d cartes « automount » correspondantes %(count)d certificat correspondant %(count)d certificats correspondants %(count)d délégation correspondante %(count)d délégations correspondantes %(count)d groupe correspondant %(count)d groupes correspondants %(count)d hôte correspondant %(count)d hôtes correspondant %(count)d groupe d'hôtes correspondant %(count)d groupes d'hôtes correspondant %(count)d groupe réseau correspondant %(count)d groupes réseau correspondant %(count)d permission correspondant %(count)d permissions correspondant %(count)d greffon chargé %(count)d greffons chargés %(count)d privilège correspondant %(count)d privilèges correspondant %(count)d profil correspondant %(count)d profils correspondants %(count)d plage correspondant %(count)d plages correspondant %(count)d rôle correspondant %(count)d rôles correspondant %(count)d règle correspondante %(count)d règles correspondantes %(count)d segment correspondant %(count)d segment correspondants %(count)d permission de libre service correspondant %(count)d permissions de libre service correspondant %(count)d règle de délégation de service correspondante %(count)d règles de délégation de service correspondantes %(count)d cible de délégation de service correspondante %(count)d cibles de délégation de service correspondantes %(count)d service correspondant %(count)d services correspondant %(count)d suffixe de topologie correspondant %(count)d suffixes de topologie correspondants %(count)d confiance correspondante %(count)d confiances correspondantes %(count)d utilisateur correspondant %(count)d utilisateurs correspondant %(count)d variables %(count)d coffre-fort correspondant %(count)d coffre-forts correspondants %(count)s rôle serveur correspondant %(count)s rôles serveur correspondants Client %(cver)s incompatible avec le serveur %(sver)s à « %(server)s » %(desc)s : %(info)s %(exception)s %(host)s en échec %(host)s en échec : %(error)s %(info)s %(key)s ne peut pas être supprimé car %(label)s %(dependent)s le requiert %(key)s ne peut être supprimé ou désactivé étant le dernier membre de %(container)s %(label)s %(label)s %(key)s ne peut être supprimé ou modifié : %(reason)s %(line)s le certificat %(name)s est invalide L'attribut par défaut %(attr)s de %(obj)s n'est pas autorisé ! L'objet %(oname)s avec le nom « %(pkey)s » existe déjà « %(oname)s » de « %(otype)s » introuvable %(parent)s : %(oname)s introuvable %(pkey)s : %(oname)s introuvable %(port)s n'est pas un port valide %(reason)s Délai échu pour la tâche LDAP %(task)s, DN de la tâche : « %(task_dn)s » la catégorie %(type)s ne peut pas être définie à « all » tant que sont alloués %(objects)s %(user)s n'est pas un utilisateur POSIX %(value)s %i AC ajoutée. %i AC supprimée. %i AC ajoutées. %i AC supprimées. %i hôte ou groupe d'hôtes ajouté. %i hôte ou groupe d'hôtes supprimé. %i hôtes ou groupes d'hôtes ajoutés. %i hôtes ou groupes d'hôtes supprimés. %i profil ajouté. %i profil supprimé. %i profils ajoutés. %i profils supprimés. %i service ajouté. %i service supprimé. %i services ajoutés. %i services supprimés. %i utilisateur ou groupe ajouté. %i utilisateur ou groupe supprimé. %i utilisateurs ou groupes ajoutés. %i utilisateurs ou groupes supprimés. %s Enregistrement %s %s n'est pas un attribut valide. enregistrement %s %s à ajouter %s à exclure de la migration %s à supprimer %s : groupe introuvable %s : l'utilisateur est déjà préservé « ${port} » n'est pas un port valide La commande « %(command)s » est obsolète. %(additional_info)s '%(entry)s' ne possède pas de certificat. « %(name)s » est requis L'option « %(option)s » est obsolète. %(additional_info)s '%(required)s' ne doit pas être vide lorsque '%(name)s' est défini '%s' est une partie requise d'un enregistrement DNS (obsolète) (cf. RFC %s pour plus de détails) . Vérifier le GID du groupe existant. Utiliser l'option « --group-overwrite-gid » pour surcharger le GID 7 n'est pas une raison de révocation valide <ol> <li>Créer une base de données de certificats ou utiliser une base existante. Pour créer une nouvelle base :<br/> <code># certutil -N -d <database path></code> </li> <li>Créer un CSR avec le sujet <em>CN=<${cn_name}>,O=<realm></em>, par exemple :<br/> <code># certutil -R -d <database path> -a -g <key size> -s 'CN=${cn},O=${realm}'${san}</code> </li> <li> Copier/coller le CSR (depuis <em>-----BEGIN NEW CERTIFICATE REQUEST-----</em> jusque <em>-----END NEW CERTIFICATE REQUEST-----</em>) dans la zone de texte ci-dessous : </li> </ol> <p>La méthode implicite (mot de passe) est celle utilisée si aucune méthode n'est choisie.</p><p><strong>Mot de passe + double facteur :</strong> LDAP et Kerberos permettent l'authentification avec l'un ou l'autre des type d'authentification, mais Kerberos utilise une méthode de pré-authentification qui nécessite d'utiliser un ccache blindé.</p><p><strong>RADIUS avec un autre type :</strong> Kerberos utilise toujours RADIUS, mais pas LDAP. LDAP ne reconnait que le mot de passe et une des options d'authentification à double facteur.</p> <p>Paramètrage spécifique à l'utilisateur, surcharge la configuration globale si l'une des options est cochée.</p><p><strong>Mot de passe + double facteur :</strong> LDAP est Kerberos permettent l'authentification avec l'un ou l'autre des types d'authentification, mais Kerberos utilise une méthode de pré-authentification qui nécessite d'utiliser un ccache blindé.</p><p><strong>RADIUS avec un autre type :</strong> Kerberos utilise toujours RADIUS, mais pas LDAP. LDAP ne reconnait que le mot de passe et une des options d'authentification à double facteur.</p> A Créer un enregistrement inverse A Adresse IP Une permission SYSTEM ne peut ni être modifiée, ni supprimée Une liste séparée par des virgules des champs à explorer pour une recherche de groupes Une liste, séparée avec des virgules, des champs à explorer pour une recherche d'utilisateurs Description de ce serveur mandataire RADIUS Une description de cette règle d'auto-adhésion Description de la commande Une description de cet hôte Description de ce groupe d'hôtes Description de ce groupe de rôles Un annuaire représentant une entrée LDAP Un groupe ne peut être membre de lui-même Un groupe ne peut être ajouté comme membre de lui-même Un hôte prêt à jouer le rôle de changeur de clé Un hôte pouvant agir comme changeur de messagerie Un nom d'hôte vers lequel cet alias pointe Une liste de valeurs d'ACI Une liste d'entrées LDAP Est attendue une liste des utilisateurs SELinux, délimités par des $ Un groupe géré ne peut pas avoir de politique de mot de passe. Un problème est survenu en vérifiant que tous les membres étaient %(verb)s : %(exc)s Enregistrement A Une liste séparée par des espaces d'attributs qui seront supprimés lors des mises à jour de la réplication. Une chaîne de caractères recherchée dans tous les attributs d'objets pertinents Données d'enregistrement A6 Enregistrement A6 AA compromis AAAA Créer un enregistrement inverse AAAA Adresse IP Enregistrement AAAA ACI Nom d'ACI ACI de la permission %s introuvable Préfixe d'ACI Un préfixe ACI est requis ACI de nom « %s » introuvable ACI Nom de la LCA Le contrôleur de domaine AD n'a pas été en mesure aucun des contrôleurs de domaine IPA. Cela est probablement dû à un problème DNS ou de pare-feu. Configuration de la confiance AD Contrôleur de domaine AD Le contrôleur de domaine AD se plaint à propos de la suite de mise en communication. Cela peut signifier qu'il y a de mauvaises synchronisations de l'un ou l'autre côté, par exemple. Nom d'hôte AFSDB Sous-type AFSDB Enregistrement AFSDB Navigateur de l'API Le numéro de version de l'API n'a pas été envoyé, la compatibilité ascendante n'est pas garantie. La version de l'API du serveur est supposée être %(server_version)s Enregistrement APL À propos de Accès interdit Accès autorisé Accès autorisé : %s A accès à cet hôte Horaire d'accès Accédant à Compte Paramètres de compte État du compte Compte désactivé Compte désactivé : %(disabled)s Actions Activer Activer un utilisateur en attente « %(value)s » Activer un utilisateur en attente. Domaine Active Directory Administrateur du domaine Active Directory Mot de passe de l'administrateur de domaine Active Directory Plage pour les domaines Active Directory Domaine Active Directory avec attributs POSIX Plage pour les relations d'approbation Active Directory avec attributs POSIX Active Directory winsync Mot de passe de l'administrateur du domaine Active Directory Utilisateurs actifs Zone active Ajouter Ajouter des AC à une LCA d'AC Ajouter un attribut personnalisé Ajouter un indicateur d'authentification personnalisé Ajouter un nouvel alias de principal Kerberos Ajouter plusieurs Ajouter un responsable à l'entrée d'utilisateur en attente Ajouter un responsable à l'entrée de l'utilisateur Ajouter un nouveau serveur DNS. Ajouter une nouvelle surcharge d'identifiants de groupes. Ajouter un nouveau groupe de services HBAC. Ajouter un nouveau service HBAC. Ajouter une nouvelle vue d'identifiants Ajouter une nouvelle surcharge d'identifiant. Ajouter un nouvel emplacement IPA. Ajouter un nouveau service IPA. Ajouter un nouveau service IPA. Ajouter un nouveau jeton OTP Ajouter un nouveau serveur mandataire RADIUS. Ajouter une nouvelle surcharge d'identifiants utilisateurs. Ajouter un nouveau jeton OTP YubiKey. Ajouter une nouvelle délégation. Ajouter une nouvelle politique de mot de passe. Ajouter un nouvel hôte. Ajouter un nouveau groupe d'hôtes. Ajouter un nouveau groupe réseau. Ajouter une nouvelle permission. Ajouter un nouveau privilège. Ajouter un nouveau rôle. Ajouter un noveau segment. Ajouter une nouvelle permission de libre service. Ajouter un nouvel utilisateur en attente. Ajouter un nouveau suffixe de topologie à gérer. Ajouter un nouvel utilisateur. Ajouter une permission pour une délégation d'accès de zone de redirection. Ajouter une permission pour une délégation d'accès par zone. Ajout d'une permission système sans ACI (commande interne) Ajouter une paire attribut/valeur. Format : attribut=valeur. Les
attributs doivent faire partie du schéma. Ajouter une règle d'auto-adhésion. Ajouter une option à la règle sudo. Ajouter, puis ajouter un autre Ajouter et fermer Ajouter et modifier Ajouter les certificats à l'entrée de l'hôte Ajouter des commandes et groupes de commandes sudo affectés par la règle sudo. Ajouter une condition à une règle d'auto-adhésion. Ajouter une valeur personnalisée Ajouter un domaine Ajouter un enregistrement direct pour les serveurs de noms situés dans la zone créée Ajouter un groupe dans sudo pour exécution comme. Ajouter des hôtes et groupes d'hôtes affectés par la règle sudo. Ajouter les hôtes qui peuvent gérer cet hôte. Ajouter des hôtes pouvant administrer ce service. Ajouter un membre à une règle nommée de délégation de service. Ajouter un membre à une cible de délégation de service. Ajouter des membres à un groupe de commandes sudo. Ajouter des membres à un groupe. Ajouter des membres à un groupe d'hôtes. Ajouter des membres à un groupe réseau. Ajouter des membres à un privilège. Ajouter des membres à un rôle. Ajouter des membres à un coffre-fort. Ajouter des membres à un groupe de services HBAC. Ajouter les utilisateurs migrés n'ayant pas de groupe à un groupe par défaut (par défaut : vrai) Ajouter un nouvel enregistrement de ressources DNS. Ajouter un nouveau certificat à un service Ajouter un nouvel alias de principal à un service Ajouter un nouvel alias de principal à l'entrée de l'hôte Ajouter un ou plusieurs certificats à l'entrée de l'utilisateur surchargé (idoverrideuser) Ajouter un ou plusieurs certificats à l'entrée utilisateur Ajouter des propriétaires à un conteneur de coffre-fort. Ajouter des propriétaires à un coffre-fort. Ajouter des permissions à un privilège. Ajouter un principal Ajouter des privilèges à un rôle. Ajouter des profils à une LCA d'AC. Ajouter des services à une LCA d'AC. Ajouter des services à une règle HBAC. Ajouter des hôtes cibles et groupes d'hôtes à une LCA d'AC. Ajouter des hôtes et des groupes d'hôtes cibles à une règle HBAC. Ajouter des hôtes et groupes d'hôtes cibles à une mappe d'utilisateurs SELinux Ajouter une cible à une règle nommée de délégation de service. Ajouter des cibles à une délégation de service nommé Ajouter l'hôte aux DNS avec cette adresse IP Ajouter au groupe par défaut Ajouter des utilisateurs et groupes affectés par la règle sudo. Ajouter des utilisateurs et groupes dans sudo pour exécution comme. Ajouter des utilisateurs et groupes à une LCA d'AC. Ajouter des utilisateurs et groupes à une règle HBAC. Ajouter des utilisateurs et groupes à une mappe d'utilisateurs SELinux Ajouter des utilisateurs pouvant gérer ce jeton. %(map)s ajoutée Ajout de %(src)s à %(dst)s Confiance Active Directory ajoutée pour le royaume « %(value)s » LCA d'AC « %(value)s » créée Surcharge d'identifiants de groupes « %(value)s » ajoutée Règle HBAC « %(value)s » ajoutée Service HBAC « %(value)s » ajouté Groupe de services HBAC « %(value)s » ajouté Vue d'identifiants « %(value)s » ajoutée Surcharge d'identifiants « %(value)s » ajoutée Plage d'ID « %(value)s » ajoutée Emplacement IPA « %(value)s » ajouté Jeton OTP « %(value)s » ajouté Serveur mandataire RADIUS « %(value)s » ajouté Mappe d'utilisateurs SELinux « %(value)s » ajoutée Commande sudo « %(value)s » ajoutée Groupe de commandes sudo « %(value)s » ajouté Règle sudo « %(value)s » ajoutée Surcharge d'identifiants utilisateurs « %(value)s » ajoutée Règle d'auto-adhésion « %(value)s » ajoutée Carte « automount » indirect « %(value)s » créée Clé « automount » « %(value)s » créée Emplacement « automount » « %(value)s » ajouté Carte « automount » « %(value)s » ajoutée Certificats ajoutés à l'hôte « %(value)s » Certificats ajoutés à l'utilisateur surchargé « %(value)s » Certificats ajoutés au principal de service « %(value)s » Certificats ajoutés à l'utilisateur « %(value)s » Condition(s) ajoutées à « %(value)s » Délégation « %(value)s » ajoutée Groupe « %(value)s » créé Hôte « %(value)s » ajouté Groupe d'hôtes « %(value)s » ajouté Groupe réseau « %(value)s » ajouté Nouveau serveur DNS « %(value)s » ajouté Alias ajoutés à l'hôte « %(value)s » Alias ajoutés au principal de service « %(value)s » Option « %(option)s » ajoutée à la règle sudo « %(rule)s » Permission « %(value)s » ajoutée Privilège « %(value)s » ajouté Rôle « %(value)s » ajouté Segment « %(value)s » ajouté Permission de libre service « %(value)s » ajoutée Service « %(value)s » ajouté Règle de délégation de service « %(value)s » ajoutée Cible de délégation de service « %(value)s » ajoutée Utilisateur en attente « %(value)s » ajouté Permission système « %(value)s » ajoutée Suffixe de topologie « %(value)s » ajouté Utilisateur « %(value)s » ajouté Ajout de « %(value)s » au coffre Instructions complémentaires : Adresse invalide, impossible de rediriger Compte administrateur Adresse courriel de l'administrateur Publié par les serveurs Affiliation modifiée Agréments supprimés Algorithme Tou(te)s Tous les attributs auxquels la permission s'applique Toutes les commandes doivent avoir au moins un résultat Tous les filtres cible, y compris ceux définis avec « type » et « memberof » Autoriser Autoriser la synchronisation PTR Autoriser l'accès depuis le domaine approuvé Autoriser l'ajout de membres externes non-IPA depuis des domaines approuvés Autoriser les mises à jour dynamiques. Autorise l'utilisation en repli de l'annuaire LDAP du contrôleur de domaine AD. Pour les relations d'approbation bidirectionnelles uniquement. Autoriser la signature DNSSEC en ligne Autoriser la signature DNSSEC en ligne des enregistrements dans la zone Autoriser requête Autoriser la synchronisation des enregistrements directs (A, AAAA) et inverses (PTR) Autoriser la synchronisation des enregistrements directs (A, AAAA) et inverses (PTR) dans la zone Autoriser le transfert Autoriser l'utilisation des ressources IPA par le domaine approuvé Autoriser des utilisateurs, hôtes ou groupes d'hôtes à créer un tableau de clés de cet hôte. Autoriser utilisateurs, hôtes ou groupes d'hôtes à créer un tableau de clés de ce service. Autoriser des utilisateurs, hôtes ou groupes d'hôtes à récupérer un tableau de clés de cet hôte. Autoriser les utilisateurs, groupes, hôtes ou groupes d'hôtes à récupérer un tableau de clés pour ce service. Cibles autorisées Autorisé à prendre l'identité Autorisé à créer un tableau de clés Autorisé à récupérer un tableau de clés Autoriser la migration malgré l'utilisation du greffon « compat » Déjà enregistré Suffixes UPN alternatifs Altitude Toujours demander Recherche ambiguë, le domaine utilisateur n'a pas été indiqué Un serveur maître IPA ne peut ni être supprimé ni désactivé Une erreur est survenue (${error}) Une erreur est survenue lors de la récupération des zones DNS. Une plage d'identifiants existe déjà pour cette relation de confiance. Vous devez soit supprimer l'ancienne plage, soit exclure les options « --base-id » ou « --range-size » de la commande. Délai entre deux interrogations du serveur de noms pour la recherche de nouvelles zones La balise « %(anchor)s » ne peut être résolue. Balise à surcharger Toute AC Toute commande Tout groupe N'importe quel hôte Tout profil N'importe quel service N'importe qui Appliquée aux hôtes Applique une vue d'identifiants aux hôtes ou aux membres des groupes d'hôtes indiqués. Si une autre vue d'identifiants était appliquée à l'hôte, elle est remplacée. Applique une vue d'identifiants aux hôtes ou aux membres des groupes d'hôtes indiqués. Si une autre vue d'identifiants était appliquée à l'hôte, elle est remplacée. Appliquer Appliquer l'ACI à votre propre entrée (« self ») Appliquée aux groupes d'hôtes Appliquer aux hôtes Chaîne arbitraire identifiant le segment Archiver des données dans un coffre-fort. Données archivées dans le coffre-fort « %(value)s » Êtes-vous sûr de vouloir ${action} l'utilisateur ?<br/>Le changement prendra effet immédiatement. Êtes-vous sûr(e) de vouloir activer ${object} ? Êtes-vous sûr de vouloir désactiver l'utilisateur sélectionné ? Êtes-vous sûr de vouloir ajouter une permission pour la zone DNS ${object} ? Êtes-vous sûr de vouloir supprimer ${object} ? Êtes-vous sûr de vouloir supprimer les entrées sélectionnées ? Êtes-vous sûr de vouloir désactiver ${object} ? Êtes-vous sûr de vouloir désactiver les entrées sélectionnées ? Êtes-vous sûr de vouloir activer ${object} ? Êtes-vous sûr de vouloir activer les entrées sélectionnées ? Êtes-vous sûr de vouloir engager cette action ? Êtes-vous sûr de vouloir supprimer la permission pour la zone DNS ${object} ? Êtes-vous sûr de vouloir supprimer l'objet ${object} ? Êtes-vous sûr de vouloir restaurer les utilisateurs sélectionnés ? Êtes-vous sûr de vouloir mettre en attente l'objet ${object} ? Êtes-vous sûrs de vouloir mettre en attente les utilisateurs sélectionnés ? Êtes-vous sûr(e) de retirer l'application de la vue d'identifiants des entrées sélectionnées ? Êtes-sous sûr de vouloir déverrouiller l'utilisateur ${object} ? Êtes-vous sûr de vouloir supprimer les permissions à cet hôte ? Êtes-vous sûr de vouloir supprimer les permissions ce service ? Comme qui Demande un mot de passe non aléatoire à utiliser pour le principal Vue d'identifiants attribuée Administrateur assigné au jeton (par défaut : soi-même) Utilisateur assigné au jeton (par défaut : soi-même) Au moins un nom de domaine ou une adresse IP doit être indiqué Attribut Clé d'attribut Répartition des attributs Attribut à filtrer via « regex ». Ex. FQDN pour un hôte, ou « manager » pour un utilisateur Attributs Attributs pour une mise à jour complète Attributs qui ne seront pas répliqués vers un serveur consommateur lors d'une réplication partielle. Par exemple, `(objectclass=*) $ EXCLUDE accountlockout memberof Les attributs qui ne sont pas répliqués vers un serveur consommateur pendant une mise à jour complète. Par exemple : (objectclass=*) $ EXCLUDE accountlockout Attributs à ignorer dans les entrées groupe dans DS Attributs à ignorer dans des entrées utilisateur dans DS Attributs à supprimer Attributs auxquels la délégation s'applique Attributs auxquels les permissions s'appliquent Attributs auxquels la permission s'applique par défaut Attributs auxquels les permissions s'appliquent. Audit Authentification Indicateurs d'authentification Indicateur d'authentification Indicateurs d'authentification Serveur de nom faisant autorité Changement de serveur de nom faisant autorité Nom de domaine du serveur de nom faisant autorité ID de l'autorité Règle d'appartenance automatique L'auto-adhésion n'est pas configurée Règle d'auto-adhésion : %s introuvable ! Autogénéré Échec de la mise à jour automatique des enregistrements DNS du système. Merci de relancer la mise à jour des enregistrements du système manuellement pour obtenir la liste des enregistrements manquants. Auto-adhésion Règle d'auto-adhésion La tâche de reconstruction des appartenances automatiques est terminée Tâche de reconstruction de l'appartenance avec adhésion automatique démarrée Montage automatique Clé « automount » Clés « automount » Emplacement de montage automatique Détail d'un emplacement « automount » Emplacements de montage automatique Carte « automount » Cartes « automount » Nom de clé « automount ». Objet clé « automount ». Nom d'emplacement . Nom de carte « automount ». Fichier maître « automount » Disponible Politique de mise à jour de BIND Retour Retour en haut de page Mauvais format de cache des justificatifs d'identité Type « salt » non-conforme ou non pris en compte.
Mauvais filtre de recherche Filtre de recherche invalide %(info)s DN de base DN de base sur le serveur LDAP distant ID de base Base pour les sujets de certificat (OU=Test,O=Example) Certificat de l'hôte encodé en Base-64 Certificat du serveur codé en Base-64 Certificat du service encodé en Base-64 Certificat de l'utilisateur encodé en Base-64 Échec du décodage « base64 » : %(reason)s Fichier binaire à archiver DN de liaison Mot de passe de liaison déjà fourni (-w).
Mot de passe de liaison requis lors de l'utilisation d'un DN de liaison (-w ou -W).
Type de règle de liaison Brève description de ce profil AC L'autorité de certification « %s » est désactivée LCA de l'AC LCA de l'AC AC compromis Catégorie d'AC une catégorie d'AC ne peut pas être définie à « all » tant qu'il reste des AC autorisées Catégorie d'AC à laquelle l'ACL s'applique Certificat d'AC L'AC n'est pas configurée AC des AC ne peuvent pas être ajoutées quand la catégorie de l'AC est « all » Algorithme CERT Type de certificat CERT Certificat/CRL CERT Étiquette de clé CERT Enregistrement CERT Objet justificatif d'identité de CIFS Le serveur CIFS %(host)s a refusé vos justificatifs d'identité Le serveur CIFS a refusé vos justificatifs d'identité Metavariable CLI Nom CLI Nom d'hôte CNAME Enregistrement CNAME Un enregistrement CNAME ne peut coexister avec aucun autre enregistrement (RFC 1034, section 3.6.2) CSR Annuler Impossible de créer l'enregistrement inverse pour « %(value)s » : %(exc)s Impossible de décoder le fichier « %(filename)s » : %(exc)s Impossible d'établir la connexion LSA vers %(host)s. Le serveur CIFS est-il en cours d'exécution ? Impossible d'établir une relation d'approbation vers un AD déployé dans le même domaine que IPA. Une telle configuration ne peut être prise en charge. Impossible de trouver le domaine ou le serveur indiqué Impossible de réaliser la validation du SID sans installer la prise en charge de Samba 4. Assurez-vous d'avoir installé le sous-paquet d'IPA « server-trust-ad » sur le serveur Impossible de réaliser la validation de membre externe sans installer Samba 4. Assurez-vous d'avoir installé le sous-paquet « IPAserver-trust-ad » sur le serveur Impossible de rejoindre un domaine sans avoir au préalable configuré son propre domaine. Assurez-vous d'avoir lancé « ipa-adtrust-install » au préalable sur le serveur Impossible d'effectuer la commande sélectionnée sans configuration de Samba 4. Assurez-vous de bien avoir configuré ce serveur avec la commande « ipa-adtrust-install ». Impossible d'effectuer la commande sélectionnée sans installation de Samba 4. Assurez-vous de bien avoir installé sur le serveur le paquet IPA « server-trust-ad ». Impossible de lire le fichier « %(filename)s » : %(exc)s Impossible de résoudre le KDC pour le domaine demandé Impossible de récupérer la liste GC du domaine approuvé Impossible d'effectuer une recherche sur les domaines approuvés sans avoir au préalable configuré son propre domaine. Assurez-vous d'avoir au préalable lancé « ipa-adtrust-install » sur le serveur Impossible de spécifier simultanément un mécanisme SASL et un DN de liaison.
Impossible d'enregistrer les ACI de permissions dans %s Impossible d'utiliser %(old_name)s avec %(new_name)s Permis de conduire/carte d'identité Certificat Donnée associée au certificat Autorités de certification Autorité de certification Certificat bloqué Blocage de certificat supprimé Profil de certificat Profil de certificat à utiliser Profils de certificats Certificat révoqué Base de sujet de certificat Type de certificat Utilisation du certificat Certificat pour ${primary_key} de ${entity} Erreur de format de certificat : %(error)s Certificat au format Base64 ou PEM L'opération de certification ne peut être effectuée : %(error)s Les profils de certificats ne peuvent être renommés Certificat demandé Certificat de l'AC « %(ca)s » avec le numéro de série %(serial)s introuvable Certificat(s) enregistré(s) dans le fichier '%(file)s' Certificat/CRL Certificats Cessation d'activité Modifier le niveau actuel du domaine. Modifier le mot de passe Transformer en groupe POSIX Transformer en groupe externe Mot de passe modifié pour « %(value)s » Classes de caractères Vérification DNS Vérifier la connexion au serveur IPA distant. Vérifier l'état d'une demande de signature de certificat. Vérification de l'existence de l'enregistrement. Vérifier si l'un des serveurs a activé le service autorité de certification. Ville Classe Retire l'application de la vue d'identifiants des hôtes ou membres des groupes d'hôtes indiqués. Cliquer pour ${action}. Les informations d'identification du client peuvent être déléguées au service Le client n'est pas configuré. Lancer « ipa-client-install ». Version client. Utilisée pour déterminer si le serveur accepte la requête. Intervalle d'horloge Décalage d'horloge Fermer La fermeture du tableau des clés a échoué
Tout replier Liste, séparée par des virgules, des types de chiffrement La commande « %(name)s » a été abandonnée. Catégorie de commande Catégorie de commande à laquelle la règle s'applique Nom de commande Commande non implémentée Commandes Nom usuel Conditions n'ayant pu être ajoutées Conditions n'ayant pu être supprimées Configuration Configurer votre jeton Configurez le code QR en reconnaissant le code QR ci-dessous. Cliquez sur le code QR si vous voyez ceci sur le périphérique que vous souhaitez configurer. Limite configurée côté serveur dépassée Limite configurée de taille dépassée Limite configurée de durée dépassée Confirmer le mot de passe Confirmation Connectivité Échecs consécutifs avant verrouillage Paramètres de contact Contacter ce serveur KDC particulier Continuer Mode continu : pas d'arrêt sur erreurs. Mode continu. Les erreurs sont rapportées mais le processus se poursuit Mode opératoire continu. Les erreurs sont notées, mais le processus continue. Convertir sur le serveur Impossible d'obtenir %(name)s de façon interactive Impossible de lire « originfilter » de « UPG Definition ». Vérifiez vos permissions. Compteur Basé sur un compteur (HOTP) Créer un utilisateur en attente depuis un utilisateur supprimé Créer une AC. Créer une nouvelle LCA d'AC. Créer une nouvelle règle HBAC. Créer une nouvelle mappe d'utilisateurs SELinux Créer une nouvelle clé « automount ». Créer un nouvel emplacement Créer une nouvelle carte « automount ». Créer un nouveau groupe. Créer un nouveau point de montage indirect. Créer une nouvelle règle de délégation de service Créer une nouvelle cible de délégation de service Créer un nouveau coffre-fort. Créer en tant que groupe non-POSIX Créer un enregistrement DNS Créer une nouvelle ICA. Créer une nouvelle zone de redirection DNS Créer une nouvelle zone DNS (enregistrement SOA). Créer un nouveau groupe de commandes sudo. Créer une nouvelle commande sudo. Créer une nouvelle règle sudo. Créer un enregistrement inverse Créer l'enregistrement inverse pour cette adresse IP ACI « %(value)s » créée AC « %(value)s » créée Création de l'enregistrement. Droits d'accès incorrects au cache des justificatifs d'identité Les confiances croisées entre domaines n'ont pas été configurées. Assurez-vous d'avoir préalablement exécuté « ipa-adtrust-install » sur le serveur Contenu actuel de l'enregistrement DNS :
Mot de passe actuel Niveau actuel du domaine : Le mot de passe actuel est requis Valeur personnalisée Enregistrement DHCID Algorithme DLV Condensé DLV Type de condensé DLV Étiquette de clé DLV Enregistrement DLV Le « commonName » du DN ne correspond pas à l'identifiant de connexion de l'utilisateur L'adresse email du DN ne correspond à aucune des adresses email de l'utilisateur DN du conteneur pour des groupes dans le DS relatif au DN de base DN du conteneur pour les utilisateurs dans le DS relatif au DN de base DN de la tâche lancée DN à utiliser pour la liaison lorsque Kerberos n'est pas utilisé Cible DNAME Enregistrement DNAME DNS Zone de redirection DNS Zones de redirection DNS Configuration DNS globale Le type d'enregistrement DNS "%s" n'est pas pris en charge par le plugin bind-dyndb-ldap Enregistrement de ressources DNS Enregistrements de ressources DNS Serveur DNS Nom du serveur DNS Serveurs DNS Zone DNS Paramètres de zone DNS Zones DNS Échec de vérification du DNS : {%(expected)s} attendu, {%(got)s} obtenu Classe de DNS Options de configuration DNS Zone de redirection DNS Zones de redirection DNS Transmetteur DNS La sémantique de redirection DNS a été modifié depuis IPA 4.0.
Utilisez à la place les redirections de zones (dnsforwardzone-*).
Pour plus de détails, lisez la documentation. Le DNS n'est pas configuré un libellé de DNS ne peut pas dépasser 63 caractères un libellé DNS ne peut pas dépasser 63 caractères L'enregistrement DNS a été supprimé car vide Le ou les enregistrements DNS de l'hôte %(host)s n'ont pu être supprimés. (%(reason)s) Les enregistrements DNS ne peuvent être mis à jour qu'un seul à la fois Enregistrement de ressource DNS Type d'enregistrement de ressource DNS Enregistrements de ressources DNS La zone DNS inverse %(revzone)s pour l'adresse IP %(addr)s n'est pas gérée par ce serveur. Serveur DNS Le serveur DNS %(server)s ne prend pas en charge : %(error)s.
Si la validation DNSSEC est activée sur le ou les serveurs IPA, merci de la désactiver. Le serveur DNS %(server)s ne prend pas en charge EDNS0 (RFC 6891) : %(error)s.
Si la validation DNSSEC est activée sur le ou les serveurs, merci de la désactiver. Serveur DNS %(server)s : %(error)s. Serveurs DNS Zone DNS Zone DNS %(zone)s introuvable La zone DNS de chaque domaine Kerberos doit contenir des enregistrements SOA et NS. Aucun enregistrement trouvé pour : %s L'enregistrement racine de la zone DNS ne peut être renommé Zones DNS Enregistrement DNSKEY La prise en charge de DNSSEC est expérimentale.
%(additional_info)s Échec de la validation DNSSEC : %(error)s.
Merci de vérifier votre configuration DNSSEC ou de désactiver la validation DNSSEC sur tous les serveurs IPA. Algorithme DS Condensé DS Type de condensé DS Étiquette de clé DS Enregistrement DS L'enregistrement DS ne doit pas être dans la zone sommet (RFC 4035 section 2.4) l'enregistrement DS doit coexister avec un enregistrement NS (RFC 4592 section 4.6, RFC 4035 section 2.4) Données Sortie de débogage Par défaut Groupe par défaut (repli) Groupe par défaut (repli) pour ranger des entrées Types de PAC par défaut Utilisateur SELinux par défaut Utilisateur SELinux par défaut quand il n'y a aucune correspondance dans la règle de mappe SELinux La vue de la relation d'approbation par défaut ne peut être appliquée sur un hôte La vue de la relation d'approbation par défaut ne peut contenir des utilisateurs IPA Attributs par défaut Domaine par défaut pour les courriels Valeur par défaut depuis Groupe par défaut pour les nouvelles entrées Groupe utilisateur par défaut pour les nouveaux utilisateurs Le groupe par défaut des nouveaux utilisateurs n'est pas POSIX Groupe par défaut pour les nouveaux utilisateurs introuvable Classes d'objets de groupe par défaut Classes d'objets de groupe par défaut (liste séparée par des virgules) Groupe d'hôte par défaut Emplacement par défaut des répertoires utilisateur Interpréteur de commande par défaut Interpréteur de commande par défaut pour les nouveaux utilisateurs La politique de ticket par défaut ne peut pas être lue Types de PAC par défaut pris en charge pour des services Types d'authentification utilisateur pris en charge par défaut Types d'authentification utilisateur par défaut Groupe d'utilisateur par défaut Classes d'objets utilisateur par défaut Classes d'objets utilisateurs par défaut (liste séparée par des virgules) Groupe utilisateur par défaut Degrés de latitude Degrés de longitude Délégation Nom de délégation Délégations Supprimer Supprimer '%(value)s' pour %(name)s ? Supprimer une ICA. Supprimer une zone de redirection DNS. Supprimer un enregistrement de ressources DNS. Supprimer la zone DNS (enregistrement SOA). Supprimer un serveur IPA. Supprimer une clé, ôter les permissions Supprimer le serveur Supprimer un groupe de commandes sudo. Supprimer une commande sudo. Règle sudo supprimée. Supprimer une LCA d'AC. Supprimer un profil de certificat. Supprimer un serveur DNS Supprimer un serveur mandataire RADIUS. Supprimer une mappe d'utilisateurs SELinux Supprimer une délégation. Supprimer une politique de mot de passe. Supprimer un hôte. Supprimer un groupe d'hôtes. Supprimer un groupe réseau. Supprimer une permission. Supprimer un privilège Supprimer un rôle Supprimer un segment. Supprimer une permission de libre service. Supprimer un utilisateur en attente. Supprimer un suffixe de topologie. Supprimer la confiance. Supprimer un utilisateur Supprimer un utilisateur en préservant l'entrée correspondantes pour un usage futur Supprimer un utilisateur. Supprimer un conteneur de coffre-fort. Supprimer un coffre-fort. Supprimer les enregistrements associés Tout supprimer ? Supprimer une surcharge d'identifiants de groupes. Supprimer une règle HBAC. Supprimer un groupe de services HBAC. Supprimer une vue d'identifiants. Supprimer une surcharge d'identifiants. Supprimer une plage d'ID.. Supprimer un emplacement IPA. Supprimer un service IPA. Supprimer un jeton OTP Supprimer une surcharge d'identifiants utilisateurs. Supprimer une paire attribut/valeur. L'option sera évaluée
en dernier, après toutes les modifications et ajouts. Supprimer une règle d'auto-adhésion. Supprimer une clé « automount ». Supprimer un emplacement « automount ». Supprimer une carte « automount ». Supprimer un service HBAC existant. Supprimer un domaine Supprimer un groupe. Mode suppression Supprimer une cible de délégation de service. Supprimer une règle de délégation de service. ACI « %(value)s » supprimée AC « %(value)s » supprimée LCA d'AC « %(value)s » supprimée Zone de redirection DNS « %(value)s » supprimée Serveur DNS « %(value)s » supprimé Zone DNS « %(value)s » supprimée Surcharge d'identifiants de groupes « %(value)s » supprimée Règle HBAC « %(value)s » supprimée Service HBAC « %(value)s » supprimé Groupe de services HBAC « %(value)s » supprimé Vue d'identifiants « %(value)s » supprimée Surcharge d'identifiants « %(value)s » supprimée Plage d'ID « %(value)s » supprimée Emplacement IPA « %(value)s » supprimé Serveur IPA « %(value)s » supprimé Jeton OTP « %(value)s » supprimé Serveur mandataire RADIUS « %(value)s » supprimé Mappe d'utilisateurs SELinux « %(value)s » supprimée. Commande sudo « %(value)s » supprimée Groupe de commandes sudo « %(value)s » supprimé Règle sudo « %(value)s » supprimée Surcharge d'identifiants utilisateurs « %(value)s » supprimée Règle d'auto-adhésion « %(value)s » supprimée Clé « automount » « %(value)s » supprimée Emplacement « automount » « %(value)s » supprimé Carte « automount » « %(value)s » supprimée Délégation « %(value)s » supprimée Groupe « %(value)s » supprimé Hôte « %(value)s » supprimé Groupe d'hôtes « %(value)s » supprimé Groupe réseau « %(value)s » supprimé Permission « %(value)s » supprimée Privilège « %(value)s » supprimé Profil « %(value)s » supprimé Enregistrement « %(value)s » supprimé Rôle « %(value)s » supprimé Segment « %(value)s » supprimé Permission de libre service « %(value)s » supprimée Service « %(value)s » supprimé Règle de délégation de service « %(value)s » supprimée Cible de délégation de service « %(value)s » supprimée Utilisateur en attente « %(value)s » supprimé Suffixe de topologie « %(value)s » supprimé Confiance « %(value)s » supprimée Utilisateur « %(value)s » supprimé Valeur « %(value)s » supprimée du coffre Conteneur de coffre-fort supprimé La suppression d'un groupe géré est interdite. Il doit d'abord être détaché. La suppression de ce serveur n'est pas autorisée, elle laisserait votre installation sans AC. La suppression de ce serveur laissera votre installation sans DNS. Interdire Numéro du service Options obsolètes Abandonné ; utiliser %s Description Description de l'objet de l'AC Détacher un groupe administré d'un utilisateur. Groupe « %(value)s » détaché de l'utilisateur « %(value)s » Détection Déterminer si le greffon de compatibilité de schéma est configuré pour servir les utilisateurs et groupes du domaine Déterminer si la commande « ipa-adtrust-install » a été exécutée sur ce système Déterminer si la commande « ipa-adtrust-install » a été exécutée avec la tâche « sidgen » Dictionnaire de messages I18N Dictionnaire de commande IPA codées JSON Dictionnaire de méthode IPA codées JSON Dictionnaire d'objets IPA codés JSON Annuaire associant un nom de variable à une valeur Condensé Type de condensé Chiffres Direct Adhésion directe Direction de latitude Direction de longitude Direction de la réplication entre les nœuds gauche et droit de réplication Désactiver Désactiver une zone de redirection DNS. Désactiver la zone DNS. Désactiver une LCA d'AC. Désactiver une règle sudo. Désactiver un compte utilisateur. Désactiver une règle HBAC. Désactiver une mappe d'utilisateurs SELinux Désactiver la surcharge par utilisateur Désactiver la clé Kerberos et le certificat SSL d'un service. Désactiver la clé Kerberos, les certificats SSL et tous les services d'un hôte. Désactiver un jeton Interdire l'utilisation de ressources IPA par le domaine approuvé Désactivé LCA d'AC « %(value)s » désactivée Zone de redirection DNS « %(value)s » désactivée Zone DNS « %(value)s » désactivée Règle HBAC « %(value)s » désactivée Mappe d'utilisateurs SELinux « %(value)s » désactivée Règle sudo « %s » désactivée Hôte « %(value)s » désactivé Service « %(value)s » désactivé domaine approuvé « %(value)s » désactivé Compte utilisateur « %(value)s » désactivé Interdire aux utilisateurs, hôtes ou groupes d'hôtes de créer un tableau de clés de cet hôte. Interdire aux utilisateurs, hôtes ou groupes d'hôtes de créer un tableau de clés de ce service. Interdire aux utilisateurs, hôtes ou groupes d'hôtes à récupérer un tableau de clés de cet hôte. Interdire aux utilisateurs, hôtes ou groupes d'hôtes de récupérer un tableau de clés de ce service. Afficher un enregistrement de ressources DNS. Afficher un groupe de commandes sudo. Afficher une commande sudo. Afficher une règle sudo. Afficher un segment. Afficher une ICA d'après son nom. Afficher une clé « automount ». Afficher un emplacement « automount » Afficher une carte « automount ». Afficher la configuration d'un nouveau serveur DNS. Afficher la politique effective d'un utilisateur donné Afficher des informations à propos des zones de redirection DNS. Afficher les informations au sujet d'une zone DNS (enregistrement SOA). Afficher les informations sur un serveur mandataire RADIUS. Afficher les informations sur une sortie de commande. Afficher des informations sur un paramètre de commande. Afficher des informations sur une commande. Afficher les informations sur une délégation. Afficher les informations sur un sujet de l'aide. Afficher les informations sur un hôte. Afficher des informations sur un groupe d'hôtes. Afficher les informations d'un groupe nommé. Afficher les informations au sujet d'une règle de délégation de service. Afficher les informations sur une cible de délégation de service. Afficher l'information sur un groupe réseau. Afficher les informations sur une permission. Afficher les informations sur un privilège. Afficher les informations sur une plage. Afficher les informations sur un rôle. Afficher les informations sur une permission de libre service. Afficher les informations sur un utilisateur en attente. Afficher des informations sur une relation de confiance. Afficher l'information sur un utilisateur. Afficher les informations sur un conteneur de coffre-fort. Afficher des informations sur un coffre-fort. Afficher les informations d'une surcharge d'identifiants de groupes. Afficher les informations sur un groupe de services HBAC. Afficher des informations sur un service HBAC. Afficher les informations d'une vue d'identifiants. Afficher les informations d'une surcharge d'identifiants. Afficher les informations d'un emplacement IPA. Afficher les informations sur un service IPA. Afficher des informations au sujet du jeton OTP Afficher les informations d'une surcharge d'identifiants utilisateurs. Afficher des informations au sujet d'une règle d'auto-adhésion. Afficher les informations sur une politique de mot de passe. Afficher des informations pour les groupes d'auto-adhésion par défaut (repli).
Nom affiché Affiche les droits d'accès sur cette entrée (requiert --all). Cf. la page de manuel de « ipa » pour plus d'informations. Afficher la politique de tickets Kerberos. Afficher la liste des domaines du royaume. Afficher les propriétés d'une LCA d'AC. Afficher les propriétés d'une AC. Afficher les propriétés d'un profil de certificat. Afficher les propriétés d'une mappe d'utilisateurs SELinux Afficher les propriétés d'une règle HBAC. Afficher l'enregistrement utilisateur pour le principal Kerberos en cours Ne pas afficher le code QR Voulez-vous aussi faire une vérification DNS ? Voulez-vous vérifier si l'adresse du nouveau serveur faisant autorité est dans le DNS Voulez-vous supprimer l'alias kerberos ${alias} ? Voulez-vous supprimer le blocage du certificat ? Voulez-vous révoquer ce certificat ? Sélectionnez une raison depuis la liste déroulante. Voulez-vous mettre à jour les enregistrements DNS du système ? Documentation ID de l'autorité Dogtag Domaine Le domaine « %(domain)s » n'est pas un domaine racine pour la forêt « %(forest)s » GUID du domaine Niveau du domaine Le niveau du domaine ne peut être redescendu. Le niveau actuel du domaine ne peut être relevé à {0}, le serveur {1} ne le prend pas en charge. Nom de domaine NetBIOS SID du domaine SID du domaine approuvé Identifiant de sécurité du domaine Contrôleur de domaine pour le domaine Active Directory (optionnel) Domaine activé Nom de domaine Ne pas créer de groupe privé Ne pas attendre pour reconstruire l'appartenance Téléchargement Télécharger le certificat dans un fichier au format PEM. Essai à blanc Clés dupliquées ignorées : Cartes dupliquées ignorées : Mise à jour dynamique Modifier Modifier ${entity} Attributs impactés Adresse courriel Informations employé Matricule Type d'employé Activer Activer une zone de redirection DNS. Activer la zone DNS. Activer une LCA d'AC. Activer une règle sudo. Activer un compte utilisateur. Activer une règle HBAC. Activer une mappe d'utilisateurs SELinux Activer le mode migration Active ou désactive un PKINIT anonyme Activer un jeton Activé(e) LCA d'AC « %(value)s » activée Zone de redirection DNS « %(value)s » activée Zone DNS « %(value)s » activée Règle HBAC « %(value)s » activée Mappe d'utilisateurs SELinux « %(value)s » activée Règle sudo « %s » activée Rôles serveur activés Activation du domaine approuvé « %(value)s » Compte utilisateur « %(value)s » activé Type de chiffrement à demander Échec de comparaison du « enctype » !
Enregistré Inscription Échec de l'enregistrement. %s
Entrer à nouveau %(label)s pour validation : Saisir le nom du groupe approuvé. Saisir le nom du groupe approuvé ou du groupe IPA. N.B. : la recherche n'indique pas les groupes des domaines approuvés. Saisir le nom de l'utilisateur approuvé ou de l'utilisateur IPA. N.B. : la recherche n'indique pas les utilisateurs des domaines approuvés. Saisir le nom de l'utilisateur approuvé. Entrée L'entrée %s n'existe pas Entrée %s introuvable Le RDN de l'entrée n'est pas l'attribut « uid » L'entrée ne possède aucun attribut « %(attribute)s » Énumérer tous les hôtes auxquels la vue s'applique. Erreur Erreur lors du changement d'état du compte Erreur à l'obtention du royaume Kerberos par défaut : %s.
Impossible d'obtenir les justificatifs d'identité initiaux : %s.
Erreur à l'analyse de « %1$s » : %2$s.
Erreur à la résolution du tableau de clés : %s.
Erreur lors du stockage des justificatifs d'identité dans le cache : %s.
Établir une relation d'approbation bidirectionnelle. Par défaut, la relation est unilatérale entrante uniquement. Établit une relation d'approbation externe vers un domaine dans une autre forêt. La relation n'est pas transitive au delà du domaine. Établir en utilisant Établie et vérifiée Changeur Exclure de Attributs exclus Exclusion « Regex » d'exclusion Tout déplier Expire le Exporter les meta-données du greffons pour l'interface Web Expression Externe Groupe externe en tant que tel les commandes sont lancées (« sudorule-find » uniquement) Groupes externes de « RunAs Users » Groupes externes d'utilisateurs comme tel la commande peut être exécutée Utilisateur externe Utilisateur externe comme tel les commandes peuvent être lancées (« sudorule-find » uniquement) Utilisateur externe auquel la règle s'applique (« sudorule-find » uniquement) Système externe Membre externe Relation d'approbation externe Hachages additionnels à générer dans le greffon mots de passe Filtre cible supplémentaire AC en échec Échec de « RunAs » Échec de « RunAsGroup » Échec de l'autorisation de création de tableaux de clés Échec de l'autorisation de récupération des tableaux de clés Hôtes/groupes d'hôtes en échec Connexions ayant échoué Échec de « managedby » Membres en échec Propriétaires en échec Profils en échec Services/groupes de service en échec Hôtes/groupes d'hôtes source en échec Échec de la cible Échec lors de l'ajout Échec lors de l'ajout de la clé au tableau
Échec à l'ajout de l'utilisateur dans le groupe par défaut. Utiliser la commande « ipa group-add-member » pour l'ajouter manuellement. Échec de la liaison au serveur !
Échec du nettoyage du memberPrincipal %(principal)s dans l'entrée s4u2proxy %(dn)s : %(err)s Échec du nettoyage des entrées du nom d'hôte DNA pour %(master)s : %(err)s Échec du nettoyage des entrées DNS de %(hostname)s : %(err)s Échec du nettoyage du principal ou des clés du serveur : %(err)s Échec à la fermeture du tableau de clés
Échec à la création du contrôle !
Échec de création du contenu de la clé
Échec de création de la clé !
Échec de création d'une clé aléatoire !
Impossible de décoder la réponse de contrôle !
Échec à l'obtention du tableau de clés
Échec d'obtention du tableau de clés !
Impossible d'obtenir le résultat : %s
Échec à l'ouverture du tableau de clés
impossible d'ouvrir le fichier de configuration %s
Impossible d'ouvrir le tableau de clés
Échec de l'ouverture du tableau de clés « %1$s » : %2$s
Impossible d'analyser le fichier de configuration %s
Impossible d'analyser le résultat étendu : %s
Impossible d'analyser le résultat : %s
Échec à la suppression Échec de la suppression du serveur %(master)s de la liste de serveurs : %(err)s Échec lors de la récupération de toute clé Échec lors de la récupération du type de chiffrement %1$s (#%2$d)
Échec lors de la récupération du type de chiffrement #%d
Utilisateurs/groupes en échec Échec dans le décodage du « Certificate Signing Request » : %s Délai de réinitialisation après échec Groupe principal de repli Repli sur l'annuaire LDAP du contrôleur de domaine AD Faux False si la migration échoue parce que le greffon « compat » est activé. Faux si le mode de migration a été désactivé. Numéro de fax Récupérer les domaines Récupération des zones DNS. Échec de la récupération des domaines depuis la forêt approuvée. Voir les informations détaillées dans le journal d'erreur. Fichier %(file)s introuvable Fichier contenant les données à archiver Fichier contenant la configuration du profil Fichier contenant le nouveau mot de passe du coffre-fort Fichier contenant la nouvelle clé publique du coffre-fort Fichier contenant l'ancien mot de passe du coffre-fort Fichier contenant l'ancienne clé privée du coffre-fort Fichier contenant le mot de passe du coffre-fort Fichier contenant la clé privée du coffre-fort Fichier contenant la clé publique du coffre-fort Fichier depuis lequel charger le certificat. Fichier duquel récupérer les données Fichier dans lequel stocker le certificat. Le nom de fichier est vide Nom de fichier du profil brut. Le format XML n'est pas pris en charge. Filtre Filtre disponible ${other_entity} Rechercher Trouver les rôles serveur de serveurs Empreinte Empreinte (SHA1) Type d'empreinte Empreintes Premier Premier code Premier OTP Premier ID POSIX de la plage Premier ID POSIX de la plage réservée au domaine approuvé Premier RID dans la plage de RID correspondante Premier RID dans la plage de RID secondaire Date et heure à partir desquels le jeton peut être utilisé Prénom Marqueurs Les segments suivants n'ont pas été supprimés : Forcer Forcer la création de la zone DNS même si elle recouvre une zone existante. Forcer la création de la zone DNS même si le serveur de nom n'est pas résoluble. Forcer la création de la zone DNS même si le serveur de nom n'est pas résoluble. (Obsolète) Forcer la mise à jour Forcer l'ajout d'un domaine même si absent des DNS Forcer un changement de serveur de nom même si le serveur de nom n'est pas dans le DNS Forcer la suppression du serveur Forcer la suppression du serveur même s'il n'existe pas Forcer l'hôte à rejoindre le domaine. Rejoindre à nouveau même s'il a déjà rejoint le domaine. On force la suppression de %(hostname)s Erreur de format Redirection prioritaire Redirection uniquement Politique de redirection La politique de redirection est définie pour lui dans le DNS d'IPA, peut-être le redirecteur pointe-t'il vers un hôte incorrect ? Rediriger vers le serveur au lieu d'exécuter localement Zones redirigées uniquement Redirecteurs de zone Redirection désactivée La politique de transfert entre en conflit avec certaines zones automatiques vides. Les requêtes pour les zones spécifiées dans la RFC 6303 ignoreront le transfert et la récursion et résulteront toujours en des réponses NXDOMAIN. Pour surcharger ce comportement, utiliser la politique de transfert « only ». '%(value)s' trouvé. Nom complet Nom d'hôte pleinement qualifié GECOS GID GID (utiliser cette option pour le définir manuellement) Général Créer un OTP Créer un mot de passe aléatoire utilisé pour l'inscription en masse Créer un mot de passe aléatoire Créer les fichiers « automount » pour un emplacement donné. OTP créé Obtenir Obtenir le certificat La configuration globale DNS est vide Configuration globale des relations d'approbation Redirecteurs globaux Redirecteurs globaux. Un port personnalisé peut être indiqué pour chaque redirecteur en utilisant le format standard « adresse_IP port PORT » Politique globale de redirection. Mettre à « none » pour désactiver tout redirecteur global configuré. Droits accordés Privilèges accordés aux rôles Groupe Le groupe « %s » n'existe pas Numéro d'identifiant de groupe Surcharge d'identifiant de groupe Surcharges d'identifiants de groupes Options de groupe Paramètres de groupe Type de groupe Conteneur de groupes Description du groupe Nom du groupe Classe d'objets groupe Surcharges des objets groupes Champs de recherche de groupe Groupe auquel appliquer l'ACI Groupes à surcharger Type de groupe Type de groupe auquel la règle s'applique Groupes Groupes autorisés à créer un tableau de clés Groupes autorisés à récupérer un tableau de clés Groupe de « RunAs Users » Règle HBAC Règle HBAC délimitant les utilisateurs, les groupes et les groupes d'hôtes Règles HBAC Service HBAC Groupe de services HBAC Groupes de services HBAC Services HBAC Test HBAC Règle HBAC Règle HBAC %(rule)s introuvable Des membres locaux et des membres d'une règle HBAC ne peuvent pas être définis simultanément Règles HBAC Service HBAC Description de service HBAC Groupe de services HBAC Description de groupe de services HBAC Groupes de services HBAC Groupes de services HBAC à ajouter Groupes de services HBAC à supprimer Services HBAC Services HBAC à ajouter Services HBAC à supprimer Enregistrement HIP Fenêtre d'authentification HOTP Fenêtre de synchronisation HOTP passage d'occurrence d'authentification HOTP passage d'occurrence de synchronisation HOTP Erreur HTTP Adresse(s) MAC du matériel sur cet hôte Plate-forme matérielle de l'hôte (par ex. Lenovo T61) Sujet de l'aide Masquer Cacher les détails Masquer les détails des règles satisfaites ou pas, ou invalides Taille de l'historique Répertoire personnel Base du répertoire utilisateur Précision horizontale Hôte Hôte « %(host)s » introuvable L'hôte « %(hostname)s » n'a pas d'enregistrement DNS de type A/AAAA correspondant Certificat de l'hôte Groupe d'hôtes Paramètres des groupe d'hôtes Groupes d'hôtes Groupes d'hôtes autorisés à créer un tableau de clés Groupes d'hôtes autorisés à récupérer un tableau de clés Masques d'hôtes Nom d'hôte Paramètres d'hôte Catégorie de systèmes Catégorie d'hôte (les sémantiques associées à cet attribut vous sont propres) Catégorie d'hôte à laquelle la LCA s'applique Catégorie d'hôtes à laquelle la règle s'applique Règle de groupes d'hôtes Règles de groupes d'hôtes Plate-forme matérielle de l'hôte (par ex. « Lenovo T61 ») Hôte déjà joint.
L'hôte n'est pas pris en charge Localité de l'hôte (par ex. « Paris, IDF ») Emplacement de l'hôte (par ex. "Lab 2") Nom d'hôte Système d'exploitation et version (par ex. « Fedora 9 ») Permissions de l'hôte supprimées Commandes de contrôle d'accès basé sur l'hôte Groupe d'hôtes Groupes d'hôtes auxquels s'applique la vue d'identifiants. Veuillez noter que cette vue ne s'applique pas automatiquement aux hôtes ajoutés au groupe après l'exécution de la commande idview-apply. Groupes d'hôtes dont les hôtes doivent se voir la vue d'identifiants retirée. Veuillez noter que la vue n'est pas automatiquement retirée de tout hôte ajouté au groupe d'hôte après l'exécution de la commande idview-unapply. Nom d'hôte Nom d'hôte (FQDN) Nom d'hôte de ce serveur Hôtes Hôtes autorisés à créer un tableau de clés Hôtes autorisés à récupérer un tableau de clés Hôtes ou groupes d'hôtes dont la vue d'identifiants n'a pu être retirée. Hôtes ou groupes d'hôtes auxquels cette vue d'identifiants ne pourra pas être appliquée. Hôtes dont la vue d'identifiants a été retirée. Hôtes auxquels s'applique cette vue d'identifiants. Hôtes auxquels la vue s'applique Hôtes auxquels appliquer la vue Hôtes dont on va retirer toute vue d'identifiants. Durée de maintien en cache des réponses négatives Plage d'ID Plages d'ID Vue d'identifiants Nom de la vue d'identifiants Vue d'identifiants déjà appliquée Vue d'identifiants appliquée à %i hôte. Vue d'identifiants appliquée à %i hôtes. Vue d'identifiants retirée de %i hôte. Vue d'identifiants retirée de %i hôtes. Vues d'identifiants Surcharge d'identifiants Les surchages d'identifiants ne peuvent être renommées La plage ID existe déjà pour ce domaine approuvé, mais est d'un type différent. Vous devez soit supprimer l'ancienne plage manuellement, soit ne pas forcer le type via l'option « --range-type ». Type de plage d'identifiants, doit être ipa-ad-trust-posix, ipa-ad-trust ou ipa-local Une plage d'ID avec le même nom, mais pour un SID de domaine différent existe déjà. La plage d'ID pour le nouveau domaine approuvé doit être créée manuellement. Adresse IP L'adresse IP %(ip)s est déjà assignée au domaine %(domain)s. Réseau IP pour lequel créer un nom de zone inverse Agents IPA de relation d'approbation AD Contrôleurs IPA de relation d'approbation AD L'AC de IPA ne peut être supprimée Maître de renouvellement d'AC IPA Serveurs d'AC IPA Enregistrements DNS IPA Serveurs DNS IPA Version du DNS de IPA. Maître des clés DNSSec IPA Erreur IPA Serveurs KRA IPA Emplacement IPA Description de l'emplacement IPA Emplacements IPA Le type de plage IPA doit être « ipa-ad-trust » ou « ipa-ad-trust-posix » lorsque le SID du domaine approuvé est indiqué. Le type de plage IPA ne doit être ni « ipa-ad-trust », ni « ipa-ad-trust-posix » lorsque le SID du domaine approuvé n'est pas indiqué. Serveur IPA Rôle serveur IPA Rôles serveur IPA Serveur IPA à utiliser Serveurs IPA IPA ne gère pas la zone %(zone)s, merci de modifier vos serveurs DNS manuellement Nom de l'emplacement IPA Enregistrements du ou des emplacements IPA Le maître IPA a refusé %(count)d fois les demandes de validation de relation d'approbation du contrôleur de domaine AD. Cela est probablement dû au fait que ce dernier a tenté de contacter une réplique où les informations de relations d'approbation n'ont pas encore été répliquées. De plus, vérifiez que le DNS AD est capable de résoudre les enregistrements SRV %(records)s vers le serveur IPA adéquat. Maîtres IPA « namingContext » d'IPA introuvable
objet IPA Nom du rôle IPA Serveur IPA configuré comme maître des clés DNSSec Le domaine du serveur IPA ne peut être supprimé Le domaine du serveur IPA ne peut être omis Nom d'hôte du serveur IPA Nom du rôle serveur IPA Serveurs IPA configurés comme agents de relation d'approbation AD Serveurs IPA configurés comme contrôleurs de relation d'approbation AD Serveurs IPA configurés comme autorité de certification Serveurs IPA configurés comme agents de recouvrement de clés Relation d'approbation IPA ID unique IPA Enregistrement IPSECKEY Identité Paramètres d'identité Si aucune AC n'est indiquée, les requêtes à l'autorité de certification par défaut sont autorisées. Si le problème persiste, veuillez contacter l'administrateur du système. Ignorer la vérification de dernier serveur d'AC ou DNS Ignorer le greffon « compat » Attribut groupe à ignorer Classe d'objets groupe à ignorer Ignorer les problèmes de connectivité dans la topologie après suppression Ignorer les erreurs de topologie Attribut utilisateur à ignorer Classe d'objets utilisateur à ignorer %(src)s ignoré pour %(dst)s Clés ignorées : On ignore ces avertissements et lancement de la suppression On ignore les erreurs de connectivité de la topologie. Importer un profil de certificat. Importer des fichiers « automount » pour un emplacement donné. Clés importées : Cartes importées : Profil « %(value)s » importé Inclusion désactivée Inclusion activée Inclure toutes les règles IPA inactives dans le test Inclure toutes les règles IPA actives dans le test [par défaut] Inclure dans Attributs inclus Inclusion « Regex » d'inclusion Options incompatibles indiquées (-r et -P)
Indirect Service HBAC de membre indirect Groupe de services de membre indirect Groupes membres indirects Groupes d'hôtes membres indirects Hôtes membres indirects Groupes réseau de membres indirects Membre indirect des groupes d'hôtes Membres indirect des rôles Droits d'accès de membre indirect Utilisateurs membres indirects Adhésion indirecte Hérité de la configuration du serveur Initialiser le nœud de gauche Initialiser le nœud de droite Initiales Les données en entrée ont été indiquées plusieurs fois Nom du fichier en entrée Le formulaire de saisie comporte des valeurs non-valides ou manquantes. Privilège « add » insuffisant pour l'entrée « %s ». Privilège « write » insuffisant pour l'attribut « krbLastPwdChange » de l'entrée « %s ». Privilège « write » insuffisant sur l'attribut « userCertificate » de l'entrée « %s ». Accès insuffisant : %(info)s Privilège insuffisant pour créer un certificat avec le nom de sujet « %s » alternatif. Erreur interne Requête JSON-RPC invalide : %(error)s URI LDAP invalide. Mécanisme de liaison SASL invalide
Nom de principal de service invalide
Données d'authentification invalides Format invalide. Doit être nom=valeur Nombre de parties invalide ! Type invalide ou non pris en compte. Les valeurs autorisées sont : %s Clé publique invalide ou non prise en charge : %s Type de coffre-fort invalide La zone est-elle active ? Émettre Émis par Émis le Émis pour Émis à partir du Émis à partir de cette date (AAAA-mm-jj) Émis jusqu'au Émis à cette date (AAAA-mm-jj) Émetteur DN de l'émetteur Nom distinctif de l'émetteur AC émettrice Ceci est uniquement utilisée pour définir l'attribut SOA MNAME. Titre de poste Rejoindre un domaine IPA Enregistrement KEY Le service KRA est désactivé Échangeur KX Préférence KX Enregistrement KX Cache des justificatifs d'identité Kerberos introuvable. Possédez-vous un ticket Kerberos ?
Clé Kerberos Clé Kerberos absente Clé Kerberos présente, hôte muni de permissions Clé Kerberos présente, permissions du service activées Nom de principal de service Kerberos Politique de tickets Kerberos Principal d'utilisateur Kerberos introuvable. Avez-vous un cache de justificatifs d'identité Kerberos ?
Échec de l'initialisation du contexte Kerberos
Échec de l'initialisation du contexte Kerberos : %1$s (%2$d)
Erreur Kerberos : %(major)s/%(minor)s Clés Kerberos disponibles Principal Kerberos Le principal Kerberos %s existe déjà. Utiliser la commande « ipa user-mod » pour le définir manuellement. Expiration du principal Kerberos Nom du principal Kerberos pour cet hôte Clé Clé compromise Étiquette de clé Tableau de clés Nom de fichier du tableau de clés Récupération du tableau de clés et stockage avec succès dans : %s
DN LDAP Mécanisme de liaison SASL pour LDAP lorsque bindd ou bindpw ne sont pas utilisés URI LDAP URI LDAP du serveur DS depuis lequel effectuer la migration « basedn » de LDAP Mot de passe LDAP Mot de passe LDAP (hors utilisation de Kerberos) Schéma LDAP Portée de recherche LDAP pour les utilisateurs et les groupes : base, onelevel, ou subtree. Valeur par défaut : onelevel Suffixe LDAP qui sera géré Délai d'expiration LDAP Altitude LOC Degrés de latitude LOC Degrés de longitude LOC Direction de latitude LOC Direction de longitude LOC Précision horizontale LOC Minutes de latitude LOC Minutes de longitude LOC Secondes de latitude LOC Secondes de longitude LOC Taille LOC Précision verticale LOC Enregistrement LOC Étiquette Dernier Date et heure au delà desquels le jeton ne peut plus être utilisé Dernière authentification ayant échoué Nom Dernière authentification réussie Les espaces de début et de fin ne sont pas autorisées Nœud de gauche Nœud de réplication à gauche - un serveur IPA Filtre LDAP valide (i.e. ou=Engineering) Durée de validité du code du jeton TOTP Niveau Énumérer tous les coffres-forts de services Énumérer tous les coffres-forts d'utilisateurs Liste des maîtres IPA configurés comme serveurs DNS Liste des maîtres IPA Liste des suppressions ayant échoué Liste des rôles activés Liste des serveurs qui publient un emplacement donné Liste des domaines approuvés rafraîchie avec succès. Utiliser la commande « trustdomain-find » pour les énumérer. Liste des objets migrés, catégorisés par type. Liste des objets n'ayant pu être migrés, catégorisés par type. Charger le certificat de l'AC du serveur LDAP depuis FILE Domaine local : Localité Emplacement Nom de l'emplacement Emplacement de l'ACI Durée du verrouillage Connecté en tant que Interpréteur de commande Adresse MAC MS-PAC Échangeur MX Préférence MX Enregistrement MX Adresse postale DN mal formé Principal malformé Gérer la politique de mots de passe d'un groupe spécifique Administrer la politique de ticket pour un utilisateur donné DN du suffixe LDAP administré Géré par Suffixe administré Suffixes administrés La gestion de la topologie nécessite le niveau de domaine minimal ${domainlevel} Permission « managedby » Gestionnaire Gérant Carte Type de mappe Marquer le jeton comme désactivé (par défaut : faux, false) Fichier maître Correspondance Règles satisfaites Type correspondant Niveau de domaine maxi Nombre maximal d'échecs Vie max. Durée de vie maximale (jours) Renouvellement max. Durée maximale (secondes) pour une recherche (0 ou -1 pour illimitée) Durée maximale (secondes) pour une recherche (> 0, -1 pour illimitée) Niveau de domaine maximal Le nombre maximal d'agréments par réplique Nombre maximum de certificats renvoyés Nombre maximal d'entrées renvoyées Nombre maximal d'entrées renvoyées (0 pour illimité) Nombre maximum d'entrées à rechercher (-1 pour illimité) Nombre maximum d'entrées à rechercher (-1 ou 0 pour illimité) Nombre maximal de règles à traiter quand « --rules » n'est défini Durée de vie maximale d'un mot de passe (en jours) Durée maximale de la période de renouvellement (secondes) Numéro de série maximum Durée de vie maximale (secondes) Longueur maximale du nom d'utilisateur La valeur maximale est ${value} Ne peut pas être vide Groupe membre Services HBAC membres Groupes de services HBAC membres Hôte membre Groupe d'hôtes membre Membres de commandes sudo Utilisateur membre Groupes de membres Groupes d'hôtes membres Hôtes membres Groupes réseau membre Membre de Membre de règle HBAC Membre de règle Sudo Membre d'un groupe Membre du groupe Membre des groupes Membre du groupe d'hôtes Membre des groupes réseau Principaux membres de Groupes de services membres Services membres Groupe d'utilisateurs membre Utilisateurs membres Membres d'un domaine approuvé sous la forme DOM\nom ou nom@domaine Membres n'ayant pu être ajoutés Membres n'ayant pas pu être supprimés Migrer les utilisateurs et groupes de DS vers IPA. Mode migration désactivé.
Utiliser la commande « ipa config-mod --enable-migration=TRUE » pour l'activer. La migration des références des recherches LDAP n'est pas prise en charge. Niveau de domaine mini Longueur minimale Durée de vie minimale (jours) Niveau de domaine minimal Taille minimale d'un mot de passe Nombre minimal de classes de caractères Durée de vie maximale d'un mot de passe (en jours) Numéro de série minimum La valeur minimale est ${value} Minutes de latitude Minutes de longitude Informations diverses Nouvelle clé publique du coffre-fort manquante Référence HTTP manquante ou invalide, %(referer)s Absence de liste de contrôle des réponses !
Absence de contrôle de réponse !
Valeurs manquantes : Clé privée du coffre-fort manquante Clé publique du coffre-fort manquante Numéro de téléphone mobile Modèle Modifié Configuration de la relation de confiance « %(value)s » modifiée. ACI « %(value)s » modifiée AC « %(value)s » modifiée LCA d'AC « %(value)s » modifiée Profil de certificat « %(value)s » modifié Serveur DNS « %(value)s » modifié Règle HBAC « %(value)s » modifiée Service HBAC « %(value)s » modifié Groupe de services HBAC « %(value)s » modifié Plage d'ID « %(value)s » modifiée Emplacement IPA « %(value)s » modifié Serveur IPA "%(value)s" modifié Jeton OTP « %(value)s » modifié Serveur mandataire RADIUS « %(value)s » modifié Mappe d'utilisateurs SELinux « %(value)s » modifiée Commande sudo « %(value)s » modifiée Groupe de commandes sudo « %(value)s » modifié. Règle sudo « %(value)s » modifiée Surcharge d'identifiants de groupes « %(value)s » modifiée Vue d'identifiant « %(value)s » modifiée Surcharge d'identifiants « %(value)s » modifiée Surcharge d'identifiants utilisateurs « %(value)s » modifiée Règle d'auto-adhésion « %(value)s » modifiée Clé « automount » « %(value)s » modifiée Carte « automount » « %(value)s » modifiée Délégation « %(value)s » modifiée Groupe « %(value)s » modifié Hôte « %(value)s » modifié Groupe d'hôtes « %(value)s » modifié Groupe réseau « %(value)s » supprimé Permission « %(value)s » modifiée Privilège « %(value)s » supprimé Rôle « %(value)s » modifié Segment « %(value)s » modifié Permission de libre service « %(value)s » modifiée Service « %(value)s » modifié Utilisateur en attente « %(value)s » modifié Suffixe de topologie « %(value)s » modifié Relation de confiance « %(value)s » modifiée (la modification sera effective dans 60 secondes) Utilisateur « %(value)s » modifié Coffre-fort « %(value)s » modifié Modifié : clé non définie Modifier '%(value)s' pour %(name)s ? Modifier une ICA. Modifier la configuration de l'AC Modifier la configuration d'un profil de certificat. Modifier une zone de redirection DNS. Modifier la configuration du serveur DNS Modifier la zone DNS (enregistrement SOA). Modifier une plage. Modifier la politique de tickets Kerberos. Modifier les options de configuration OTP. Modifier un groupe de commandes sudo. Modifier une commande sudo. Modifier une règle sudo. Modifier une LCA d'AC. Modifier un enregistrement de ressources DNS. Modifier un jeton OTP Modifier un serveur mandataire RADIUS Modifier une mappe d'utilisateurs SELinux Modifier une délégation. Modifier une politique de mot de passe de groupe. Modifier un groupe. Modifier un groupe d'hôtes. Modifier un groupe réseau. Modifier une permission. Modifier un privilège. Modifier un rôle. Modifier un segment. Modifier une permission de libre service. Modifier un utilisateur en attente. Modifier un suffixe de topologie. Modifier un utilisateur. Modifier un coffre-fort. Modifier une surcharge d'identifiants de groupes. Modifier une règle HBAC. Supprimer un groupe de services HBAC. Modifier un service HBAC. Modifier une vue d'identifiants. Modifier une surcharge d'identifiants. Modifier une surcharge d'identifiants utilisateurs. Modifier une règle d'auto-adhésion.
Modifier une clé « automount ». Modifier une carte « automount ». Modifier un service IPA. Modifier les options de configuration. Modifier la configuration DNS globale. Modifier la configuration globale des relations d'approbation. Modifier les informations d'un hôte. Modifier les informations d'un emplacement IPA. Modifier les informations d'un serveur IPA. Modifier les domaines du royaume. Modifier le domaine approuvé de la confiance Plus d'une entrée avec la clé %(key)s trouvée, utilisez --info pour sélectionner l'entrée donnée. Information de montage Point de montage Déplacer l'utilisateur supprimé dans l'espace en attente Multi-valué Doit être un nombre décimal Doit être une valeur d'horodatage UTC (ex. : « 2014-01-20 17:58:01Z ») Doit être un entier Drapeaux NAPTR Ordre NAPTR Préférence NAPTR Expression rationnelle NAPTR Remplacement NAPTR Service NAPTR Enregistrement NAPTR Nom de domaine NIS La valeur NONE ne peut être combinée avec d'autres types de PAC Nom d'hôte NS Enregistrement NS l'enregistrement NS n'est pas autorisé à coexister avec un enregistrement %(type)s sauf quand ils sont situés dans enregistrement de zone racine (RFC 2181, section 6.1) Les enregistrements NS peuvent être modifiés dans la somme sommet - '@'. Enregistrement NSEC Enregistrement NSEC3 Enregistrement NSEC3PARAM Enregistrement NSEC3PARAM pour une zone au format : algorithme_hachage marqueurs itérations salt. Nom Nom de référencement de l'AC Nom de la commande à exporter Nom du groupe d'hôtes Nom de l'AC émettrice Nom de la méthode à exporter Nom de l'objet à exporter Nom de la carte parente (par défaut : auto.master). Nom du domaine approuvé Le serveur de noms '%(host)s' n'a pas d'enregistrement A/AAAA correspondant Le serveur de nom pour la zone inverse ne peut être un nom DNS relatif Ni « --del-all », ni aucune option de suppression d'enregistrement donné n'a été indiqué.
Consulter l'aide pour connaître tous les types d'enregistrements pris en charge. Commandes imbriquées à exécuter Nom NetBIOS Groupe réseau Paramètres du groupe réseau Description de groupe réseau Nom de groupe réseau Groupes réseau Services réseau Nouveau nom de l'ACI Nouveau certificat Nouveau mot de passe Nouveau mot de passe du principal Nouveau test Nouvel alias de principal Kerberos Nouvelle information de montage Un nouveau mot de passe est requis Nouvelle clé publique indiquée plusieurs fois Nouveau mot de passe du coffre-fort Ajout : clé non définie Ajout : clé définie Suivant(e) Aucun enregistrement A, AAAA, SSHFP ou PTR trouvé. Aucun « Common Name » n'a été trouvé dans le sujet de cette demande. Aucun serveur DNS dans l'emplacement IPA %(location)s. Sans serveur DNS, l'emplacement ne fonctionnera pas comme attendu. Aucune clé maîtresse DNSSEC n'est installée. La signature de zone DNSSEC ne pourra pas fonctionner tant qu'une clé maîtresse n'est installée. Pas de certificat valide Aucune donnée archivée. Cache des justificatifs d'identité introuvable Pas de groupe par défaut (repli) défini Pas d'entrées. Pas de fichier à lire Aucun connecteur YubiKey libre ! Aucune clé acceptée par le KDC
Aucune entrée correspondante trouvée Pas d'option fournie pour supprimer un enregistrement donné. Aucune option fournie pour modifier un enregistrement donné. Pas d'autorisation pour joindre cet hôte dans le domaine IPA.
Pas de groupe privé Pas de réponse Pas d'attribut de ce type sur cette entrée Commande virtuelle inconnue Aucune préférence de type de chiffrement sur le système ?!
Aucune valeur pour %s Pas d'attente Pas de permission en écriture sur le fichier « %s » du tableau de clés
Domaine autre que Active Directory Règles inexistantes ou invalides Relation d'approbation externe non transitive vers un domaine dans une autre forêt Active Directory Usage unique Pas après Pas avant Pas un groupe administré Adresse IP invalide Adresse IPv4 invalide Adresse IPv6 invalide Adresse réseau invalide (exemples : 2001:db8::/64, 192.0.2.0/24) Interdit sur une entrée qui n'est pas une feuille Arguments insuffisants pour établir la relation de confiance Règles non satisfaites Pas encore enregistré Note Nombre d'IDs dans la plage Nombre de conditions ajoutées Nombre de conditions supprimées Nombre de jours de préavis d'expiration de mot de passe Nombre de chiffres des codes du jeton Nombre d'entrées renvoyées Nombre d'hôtes dont une vue d'identifiants a été retirée : Nombre d'hôtes auxquels la vue d'identifiants a été appliquée : Nombre de membres ajoutés Nombre de membres supprimés Nombre de propriétaires ajoutés Nombre de propriétaires supprimés Nombre de permissions ajoutées Nombre de permissions supprimées Nombre de greffons chargés Nombre de privilèges ajoutés Nombre de privilèges retirés Durée en secondes à attendre le bon achèvement des requêtes LDAP sortantes de la part d'un replica distant avant mise en échec Nombre de variables renvoyées (<= total) OK OTP Configuration pour les mots de passe à usage unique Jeton OTP Paramètres de jetons OTP Jetons OTP Options de configuration pour les mots de passe à usage unique OTP configuré jeton OTP jetons OTP Classes d'objets à ignorer pour les entrées groupe dans DS Classes d'objets à ignorer pour des entrées utilisateur dans DS Classes d'objets à utiliser pour la recherche d'entrées groupe dans DS Classes d'objets à utiliser pour la recherche d'entrées utilisateurs dans DS Ancien mot de passe du coffre-fort Ancienne clé privée du coffre-fort Mots de passe à usage unique Un parmi « group », « permission » ou « self » est requis Commandes mots de passe à usage unique (OTP) Une seule valeur est autorisée Un seul type de zone autorisé par nom de zone Seules les valeurs « ipa-ad-trust » et « ipa-ad-trust-posix » sont autorisées pour « --range-type » lors de l'ajout d'une relation de confiance AD. Système d'exploitation et version de l'hôte (par ex. Fedora 9) Système d'exploitation Opération échouée : %s
Erreur sur les opérations Option ajoutée Groupe d'options L'option rid-base ne doit pas être utilisée lorsque le type de plage IPA est ipa-ad-trust-posix Sous-arbre optionnel de DN dans lequel une entrée peut être déplacée (doit être dans le sous-arbre, mais peut ne pas encore exister) Sous-arbre optionnel de DN dans lequel une entrée peut être déplacée (doit être dans le sous-arbre, mais peut ne pas encore exister) DN optionnel auquel appliquer les permissions (doit être dans le sous-arbre, mais peut ne pas encore exister) Options Les options dom-sid et dom-name ne peuvent pas être utilisées simultanément Les options « dom-sid » et « rid-base » doivent être utilisées simultanément Les options « dom-sid » et « secondary-rid-base » ne peuvent pas être utilisées simultanément Les options « dom-sid/dom-name » et « rid-base » doivent être utilisées simultanément Les options « dom-sid/dom-name » et « secondary-rid-base » ne peuvent pas être utilisées simultanément Les options « secondary-rid-base » et « rid-base » doivent être utilisées simultanément Ordre Ordre des utilisateurs SELinux par priorité croissante, délimités par $ Unité organisationnelle Organisation Unité organisationnelle Sous-arbre des DN origines Autres types d'enregistrements Notre domaine n'est pas configuré Mémoire saturée !
Mémoire saturée
Mémoire saturée
Mémoire saturée ! Mémoire saturée !
Mémoire saturée !?
Fichier où stocker le certificat de transport Nom de fichier de sortie N'afficher que les erreurs Surcharger la liste par défaut des types PAC pris en charge. Utiliser « NONE » pour désactiver la prise en charge PAC pour ce service, ce qui peut être nécessaire pour les services NFS par exemple. Réécrire le mot de passe existant Surcharger la configuration héritée Surcharger le GID Propriétaire %s propriétaire Groupes propriétaires Services propriétaires Utilisateurs propriétaires Propriétaires n'ayant pu être ajoutés Propriétaires n'ayant pu être supprimés type de PAC PAD PKINIT POSIX Nom d'hôte PTR Enregistrement PTR Page Numéro de téléavertisseur Paramètres Carte parente Analyser tous les enregistrements DNS et les renvoyer sous forme structurée Erreur d'analyse Mot de passe Notification d'expiration de mot de passe (jours) Politiques de mot de passe Politique de gestion des mots de passe Un mot de passe ne peut être indiqué que pour un coffre-fort symétrique Le mot de passe ne peut être défini pour l'hôte enregistré. Modification du mot de passe terminée Expiration de mot de passe Taille de l'historique des mots de passe Fonctionnalités du greffon mots de passe La réinitialisation du mot de passe a échoué. Mot de passe indiqué plusieurs fois Mot de passe utilisé pour les inscriptions en masse Les mots de passe ne correspondent pas Les mots de passe ne correspondent pas ! Les mots de passe ont été migrés dans un format chiffré.
IPA est incapable de créer des clés Kerberos sauf à
utiliser les mots de passe en clair. Tous les utilisateurs
migrés devront se connecter à https://your.domain/ipa/migration/
avant de pouvoir utiliser leur compte Kerberos. Les mots de passe doivent correspondre Politique de redirection conditionnelle par serveur. Mettre à « none » pour désactiver la redirection vers un redireteur global pour cette zone. Dans ce cas, les redirecteurs de zone conditionnels sont ignorés. Redirecteurs par serveur. Un port personnalisé peut être indiqué pour chaque redirecteur avec le format standard « adresse_IP port PORT » Politique de redirection conditionnelle par zone. Mettre à « none » pour désactiver la redirection vers un redireteur global pour cette zone. Dans ce cas, les redirecteurs de zone conditionnels sont ignorés. Redirecteurs par zone. Un port personnalisé peut être indiqué pour chaque redirecteur avec le format standard « adresse_IP port PORT » Temps après lequel le compteur d'échecs sera réinitialisé (secondes) Durée pendant laquelle le verrouillage est actif (secondes) Permission L'ACI « permission » permet un accès à Autorisation refusée : %(file)s Marqueurs de permission Nom de permission Réglages des permissions Valeur de permission Une permission avec un marqueur inconnu %s ne peut pas être modifiée ou supprimée Permissions Permissions à accorder (« read », « write »). Par défaut : « write ». Permissions à accorder (« read », « write », « add », « delete », « all ») Type de chiffrements autorisés Autorisés à se voir émettre des certificats « Ping » sur un serveur distant. Plate-forme Veuillez choisir un type d'enregistrement de ressource DNS à ajouter Veuillez indiquer les redirecteurs. Veuillez essayer les options suivantes : Politique Port Arguments positionnels Une authentification préalable est requise pour le service Mot de passe pré-partagé Le profil prédéfini « %(profile_id)s » ne peut être supprimé Préférence Préférence donnée à cet échangeur. Les plus petites valeurs sont les premières choisies Langue préférée Préfixe utilisé pour distinguer les types d'ACI (« permission », « delegation », « selfservice », « none ») Utilisateurs préservés Utilisateurs préservés Précédent(e) Base de RID principale Les plages de RID principales et secondaires ne peuvent se recouvrir Clé principale uniquement Principal Le principal %(principal)s n'a pas pu être authentifié : %(message)s Le principal '%(principal)s' n'est pas autorisé à utiliser l'AC '%(ca)s' avec le profil '%(profile_id)s' pour l'émission de certificat. Le principal « %s » du nom alternatif ne correspond pas au principal demandé Principal de ce certificate (par exemple : HTTP/test.example.com) Le principal n'est pas de la forme user@REALM : « %(principal)s » Nom principal Afficher aussi peu que possible Affiche les informations de débogage Afficher les entrées telles qu'enregistrées sur le serveur. Affecte uniquement le format de sortie. Affiche la sortie XML-RPC brute en mode GSSAPI Priorité Priorité de la politique (une valeur élevé indique une priorité basse) Clé privée indiquée plusieurs fois Privilège Paramètres du privilège Privilège retiré Description du privilège Nom du privilège Privilèges ID de profil L'identifiant de profil « %(cli_value)s » ne correspond pas aux données du profil « %(file_value)s » Identifiant de profil Catégorie de profil Catégorie de profil à laquelle la LCA s'applique Configuration de profil Profil de configuration enregistré dans le fichier « %(file)s » Description de profil Profils Invite de définition du mot de passe utilisateur Possibilité future Mise en place des permissions Clé publique Une clé publique ne peut être indiquée que pour un coffre-fort asymétrique Clé publique indiquée plusieurs fois La largeur du code QR est supérieure à celle du terminal. Merci d'agrandir votre fenêtre de terminal. Interroger le niveau actuel du domaine. La recherche a renvoyé plus de résultats que le nombre limite configuré. Affichage des ${counter} premiers résultats. Liens rapides Mode discret. Seules les erreurs sont affichées. RADIUS Réglages du serveur mandataire RADIUS Serveur RADIUS Serveurs RADIUS Configuration du serveur mandataire RADIUS Serveur mandataire RADIUS Nom du serveur mandataire RADIUS Serveurs mandataires RADIUS Nom d'utilisateur sur serveur mandataire RADIUS RÉVOQUÉ Domaine Kerberos conforme à la RFC4120 L'attribut RFC822Name ne correspond à aucune des adresses email de l'utilisateur Enregistrement RP Enregistrement RRSIG Mot de passe aléatoire Configuration des plages Nom de la plage Taille de la plage Type de plage Enregistrements %s bruts Enregistrements A bruts Enregistrements A6 bruts Enregistrements AAAA bruts Enregistrements AFSDB bruts Enregistrements APL bruts Enregistrements CERT bruts Enregistrements CNAME bruts Enregistrements DHCID bruts Enregistrements DLV bruts Enregistrements DNAME bruts Enregistrements DNSKEY bruts Enregistrements DS bruts Enregistrements HIP bruts Enregistrements IPSECKEY bruts Enregistrements KEY bruts Enregistrements KX bruts Enregistrements LOC bruts Enregistrements MX bruts Enregistrements NAPTR bruts Enregistrements NS bruts Enregistrements NSEC bruts Enregistrements NSEC3 bruts Enregistrements PTR bruts Enregistrements RP bruts Enregistrements RRSIG bruts Enregistrements SIG bruts Enregistrements SPF bruts Enregistrements SRV bruts Enregistrements SSHFP bruts Enregistrements TA bruts Enregistrements TKEY bruts Enregistrements TLSA bruts Enregistrements TSIG bruts Filtre cible brut La valeur brute d'un enregistrement DNS a déjà été configurée avec l'option « %(name)s » Rétablissement de la confiance pour le domaine « %(value)s » Domaines pour le royaume Le mot de passe de l'administrateur du domaine doit être indiqué Domaines du royaume Nom du royaume Incohérence domaine-royaume Raison Raison de la révocation Raison de révocation du certificat (0-10) Raison de la révocation du certificat (1-10). Utilisez « ipa help cert » pour plus d'informations sur les raisons de révocation. Reconstruction des adhésions automatiques Reconstruire les appartenances automatiques. Reconstruire l'appartenance pour tous les membres d'un groupe Reconstruire l'appartenance pour les hôtes indiqués Reconstruire l'appartenance pour les utilisateurs indiqués Le nombre maximal d'agréments de réplication est dépassé Type d'enregistrement La création de l'enregistrement a échoué. Données d'enregistrement Nom d'enregistrement Enregistrement non trouvé. Type d'enregistrement Enregistrements Enregistrements pour la zone DNS Redirection Redirection vers l'enregistrement PTR Rafraîchir Rafraîchir la liste des domaines associés à la relation de confiance Rafraîchir la page. Expression rationnelle Le nom d'enregistrement relatif « %(record)s » contient le nom de la zone « %(zone)s » comme suffixe, ce qui aboutit au FQDN « %(fqdn)s ». Cela constitue généralement une erreur du fait du point final manquant à la fin du nom indiqué. Poids relatifs des services des serveurs (compte par emplacement) Recharger la configuration actuelle depuis le serveur. Recharger le navigateur. Nom d'hôte du serveur IPA distant Nom du serveur distant Supprimer les enregistrements A, AAAA, SSHFP et PTR de l'hôte géré par le DNS de IPA. Supprimer des AC d'une LCA d'AC Supprimer un alias Kerberos Supprimer une permission Supprimer un responsable de l'entrée de l'utilisateur en attente. Supprimer un responsable de l'entrée de l'utilisateur Supprimer la permission pour une délégation d'accès de zone de redirection. Supprimer une permission pour une délégation d'accès par zone. Supprimer tous les principaux de ce royaume Retirer une option d'une règle sudo. Supprimer les certificats d'un service Supprimer les certificats de l'entrée de l'hôte Retirer des commandes et groupes de commandes sudo affectés par la règle sudo. Supprimer des conditions d'une règle d'auto-adhésion. Supprimer le groupe par défaut (repli) pour toute entrée sans correspondance. Supprimer les entrées du DNS Retrait de la LRC Retirer un groupe de sudo pour exécution comme. Supprimer le blocage Retirer des hôtes et groupes d'hôtes affectés par la règle sudo. Supprimer les hôtes qui peuvent gérer cet hôte. Supprimer des hôtes pouvant administrer ce service. Supprimer un membre d'une règle nommée de délégation de service. Supprimer un membre d'une cible de délégation de service. Retirer des membres d'une délégation de service nommé Supprimer des membres d'un groupe de commandes sudo. Supprimer des membres d'un groupe. Supprimer des membres d'un groupe d'hôtes. Supprimer des membres d'un groupe réseau. Supprimer les membres d'un privilège Supprimer des membres d'un rôle. Supprimer les membres d'un coffre-fort. Supprimer des membres d'un groupe de services HBAC. Supprimer les certificats de l'entrée de l'utilisateur surchargé Supprimer les certificats de l'entrée de l'utilisateur Supprimer des propriétaires d'un conteneur de coffre-fort. Supprimer les propriétaires d'un coffre-fort. Supprimer des permissions d'un privilège. Supprimer un alias de principal de l'entrée d'un hôte Supprimer un alias de principal d'un service Supprimer des privilèges d'un rôle. Retirer des profils d'une LCA d'AC. Ajouter des services et des groupes de services d'une règle HBAC. Retirer des services d'une LCA d'AC. Supprimer une cible d'une règle nommée de délégation de service. Retirer des utilisateurs et groupes d'une LCA d'AC. Retirer des hôtes et des groupes d'hôtes cibles d'une règle HBAC. Supprimer des hôtes et groupes d'hôtes cibles d'une mappe d'utilisateurs SELinux Retirer des utilisateurs et groupes affectés par la règle sudo. Retirer des utilisateurs et groupes dans sudo pour exécution comme. Retirer des utilisateurs et groupes d'une LCA d'AC. Retirer des utilisateurs et des groupes d'une règle HBAC. Supprimer des utilisateurs et groupes d'une mappe d'utilisateurs SELinux Supprimer des utilisateurs pouvant gérer ce jeton. Alias supprimés pour l'hôte « %(value)s » Alias supprimés du principal de service « %(value)s » Certificats supprimés pour l'hôte « %(value)s » Certificats supprimés de l'utilisateur surchargé « %(value)s » Supprimer les certificats du principal de service « %(value)s » Certificats supprimés de l'utilisateur « %(value)s » Conditions supprimées de « %(value)s » Groupe « %(value)s » par défaut (repli) supprimé pour l'auto-adhésion Informations sur le domaine approuvé « %(value)s » supprimées Option « %(option)s » supprimée de la règle sudo « %(rule)s » Permission système « %(value)s » supprimée Suppression de %(servers)s de la topologie de réplication, merci de patienter... Suppression du principal %s
Renommer Renommer une ICA. Renomme l'objet %(ldap_obj_name)s Renommer l'objet surcharge d'identifiant de groupe Renommer l'objet surcharge de vue d'identifiants Renommer l'objet jeton OTP Renommer l'objet surcharge d'identifiant d'utilisateur Renommer l'objet clé d'automontage Renommer l'objet groupe ACI renommée en « %(value)s » Maître en charge du renouvellement de l'autorité de certification Remplacement La réplique est un serveur de clés DNSSEC actif. Le désinstaller pourrait casser votre système DNS. Merci de d'abord désactiver ou de remplacer votre serveur de clés DNSSEC. Agrément de réplication activé Configuration de la réplication Raffraichissement demandé pour la réplication via le segment « %(pkey)s ». La topologie de réplication du suffixe « %(suffix)s » contient des erreurs. La topologie de réplication du suffixe « %(suffix)s » est en ordre. Demander une réinitialisation complète du nœud en récupérant les données d'un autre nœud. Identifiant de la demande Il manque le paramètre « method » à la requête Il manque le paramètre « params » à la requête La requête doit être un dictionnaire État de la demande Requis Champ requis Nécessite une authentification préalable Réinitialiser Réinitialiser la politique de tickets Kerberos. Remise à zéro OTP Réinitialiser le mot de passe Réinitialiser votre mot de passe. Résoudre un nom de système DNS. Résoudre un nom de système DNS. (Obsolète) Résoudre les identifiants de sécurité des groupes et utilisateurs dans des domaines approuvés Restaurer Résultat Résultat de la simulation Résultat de la commande Résultats tronqués, essayer un recherche plus précise Les résultats doivent uniquement contenir un attribut de clé principale (« %s ») Les résultats doivent uniquement contenir un attribut de clé principale (« anchor ») Les résultats doivent uniquement contenir un attribut de clé principale (« cn ») Les résultats doivent uniquement contenir un attribut de clé principale (« command ») Les résultats doivent uniquement contenir un attribut de clé principale (« group ») Les résultats doivent uniquement contenir un attribut de clé principale (« group-name ») Les résultats doivent uniquement contenir un attribut de clé principale (« hostname ») Les résultats doivent uniquement contenir un attribut de clé principale (« id ») Les résultats doivent uniquement contenir un attribut de clé principale (« location ») Les résultats doivent uniquement contenir un attribut de clé principale (« map ») Les résultats doivent uniquement contenir un attribut de clé principale (« name ») Les résultats doivent uniquement contenir un attribut de clé principale (« sudocmdgroup-name ») Tentatives Récupérer une donnée depuis un coffre-fort Récupérer un certificat existant. Récupérer et afficher tous les attributs à partir du serveur. Affecte la sortie de la commande. Retrouver les clés courantes sans les modifier Donnée récupérée depuis le coffre-fort « %(value)s » Échec de la récupération de la chaîne de certificat de l'AC : %s Échec de la récupération de l'état de l'AC avec l'état %d Échec de la récupération de l'état de l'AC : %s Réessayer Nouvelle tentative de récupération avec la méthode pre-4.0...
Retourner à la page principale et tenter à nouveau l'opération L'enregistrement inverse pour l'adresse IP %(ip)s existe déjà dans la zone inverse %(zone)s. La zone inverse %(name)s requiert exactement %(count)d composants d'adresses IP, %(user_count)d donnés Réseau IP de zone inverse Rétablir Raison de la révocation Révoquer Révoquer un certificat. Révoqué Révoqué à partir du Révoqué à partir de cette date (AAAA-mm-jj) Révoqué jusqu'au Révoqué à cette date (AAAA-mm-jj) Nœud de droite Nœud de réplication à droite - un serveur IPA Droits Droits à accorder (read, search, compare, write, add, delete, all) Rôle Paramètres du rôle Nom du rôle État du rôle Rôles Le domaine racine de la relation de confiance est toujours activé pour la confiance existante Nom de règle État de la règle Type de règle Type de règle (allow) Règles Règles à tester. Si non précisé, --enabled est implicite Exécute les commandes Lancer test Lancer en tant qu'un utilisateur donné Lancer en tant que n'importe quel utilisateur du groupe indiqué Lancer avec le GID d'un groupe POSIX donné Groupe « RunAs External » Utilisateur « RunAs External » Catégorie « RunAs Group » Catégorie « RunAs Group » à laquelle la règle s'applique « RunAs Groups» Catégorie « RunAs User » Catégorie « RunAs User » à laquelle la règle s'applique « RunAs Users » « RunAsGroup » n'accepte pas « %(name)s » comme nom de groupe « RunAsUser » n'accepte pas « %(name)s » comme nom de groupe « RunAsUser » n'accepte pas « %(name)s » comme nom d'utilisateur Liaison SASL échouée
Options SELinux Utilisateur SELinux Mappe d'utilisateurs SELinux Règle de mappe utilisateurs SELinux Règles de mappes utilisateurs SELinux Mappes d'utilisateurs SELinux Utilisateur SELinux %(user)s introuvable dans la liste ordonnée (dans la configuration) L'utilisateur SELinux « %(user)s » n'est pas valide : %(error)s L'utilisateur par défaut de la mappe utilisateur SELinux n'est pas dans la liste d'ordre Liste de correspondance d'utilisateurs SELinux introuvable dans cette configuration Ordre de la mappe des utilisateurs SELinux Empreinte SHA1 Empreinte SHA256 SID Entrant dans liste noire de SID Sortant de liste noire de SID Le SID ne correspond à aucun domaine approuvé Le SID ne correspond exactement à aucun SID du domaine approuvé Impossible de trouver le SID du domaine approuvé désigné. Veuillez indiquer directement le SID avec l'option « dom-sid ». Le SID n'est pas reconnu en tant que SID valide pour un domaine approuvé Le SID n'est pas valide Enregistrement SIG Classe SOA Expiration SOA Minimum SOA Classe d'enregistrement SOA Heure d'expiration de l'enregistrement SOA Durée d'actualisation de l'enregistrement SOA Durée avant nouvel essai d'enregistrement SOA Numéro de série de l'enregistrement SOA Actualisation SOA Nouvel essai SOA Numéro de série SOA Enregistrement SPF Port SRV Priorité SRV Cible SRV Poids SRV Enregistrement SRV Clé publique SSH Empreinte de clé publique SSH Clé publique SSH : Clés publiques SSH Algorithme SSHFP Empreinte SSHFP Type d'empreinte SSHFP Enregistrement SSHFP SSSD n'a pu résoudre l'objet en un SID valide Sel Identique à --%s Enregistrer Rechercher Options de recherche Rechercher des paramètres de commandes. Recherches dans les domaines approuvés Recherche des %(searched_object)s avec ceux de %(ldap_object)s de %(relationship)s. Recherche des %(searched_object)s sans ceux de %(ldap_object)s de %(relationship)s. La recherche de %1$s sur « rootdse » a échoué avec l'erreur %2$d
Rechercher des LCA d'AC. Rechercher des AC. Rechercher des profils de certificats. Rechercher des zones de redirection DNS. Rechercher des enregistrements de ressources DNS. Rechercher des serveurs DNS. Rechercher des zones DNS (enregistrements SOA). Rechercher des règles HBAC. Rechercher des services HBAC. Rechercher des emplacements IPA. La recherche du « namingContext » d'IPA a échoué avec l'erreur %d
Rechercher des serveurs IPA. Rechercher des services IPA. Rechercher un jeton OTP Rechercher des serveurs mandataires RADIUS. Rechercher des mappes d'utilisateurs SELinux Rechercher des groupes de commandes sudo. Rechercher des commandes sudo. Rechercher une règle sudo. Rechercher un groupe réseau. Rechercher des permissions de libre service. Rechercher une surcharge d'identifiants de groupes Rechercher des groupes de services HBAC. Rechercher une vue d'identifiants. Rechercher une surcharge d'identifiants. Rechercher une surcharge d'identifiants utilisateurs Rechercher une clé « automount ». Rechercher un emplacement « automount ». Rechercher une carte « automount ». Rechercher des règles d'auto-adhésion. Rechercher des sorties de commande. Rechercher des commandes. Rechercher des délégations. Recherche de certificats existants. Rechercher des zones redirigées uniquement Rechercher des politiques de mot de passe de groupe. Rechercher des groupes. Rechercher des sujets de l'aide. Rechercher un groupe d'hôtes. Rechercher des hôtes avec ces membres de règles HBAC. Rechercher des hôtes avec ces membres de groupes d'hôtes. Rechercher des hôtes sans ces membres de groupes d'hôtes. Rechercher des hôtes sans ces membres de rôles. Rechercher des systèmes sans ces membres de règles sudo. Rechercher des hôtes. Rechercher des groupes réseaux dont les membres sont ces groupes. Rechercher des groupes réseaux dont les membres sont ces groupes d'hôtes. Rechercher des groupes réseaux dont les membres sont ces hôtes. Rechercher des groupes réseaux dont les membres sont ces groupes réseau. Rechercher des groupes réseaux avec ces membres de groupes réseau. Rechercher des groupes réseaux dont les membres sont ces utilisateurs. Rechercher des groupes réseaux dont les membres ne sont pas ces groupes. Rechercher des groupes réseaux dont les membres ne sont pas ces groupes d'hôtes. Rechercher des groupes réseaux dont les membres ne sont pas ces hôtes. Rechercher des groupes réseaux dont les membres ne sont pas ces groupes réseau. Rechercher des groupes réseaux sans ces membres de groupes réseau. Rechercher des groupes réseaux dont les membres ne sont pas ces utilisateurs. Recherche des permissions. Rechercher des privilèges. Rechercher des plages. Rechercher des rôles. Rechercher des cibles de délégation de service Rechercher des règle de délégation de service. Rechercher des utilisateurs en attente. Rechercher des segments de topologie. Rechercher des suffixes de topologie. Rechercher des suffixes de topologie. Rechercher des confiances. Rechercher des utilisateurs. Rechercher des coffres-forts Les résultats de la recherche ont été tronqués : %(reason)s Étendue de la recherche Limite de taille d'une recherche Limite de temps d'une recherche Second code Deuxième OTP Base de RID secondaire Secondes de latitude Secondes de longitude Secret Identifiant de sécurité Identifiants de sécurité (SID) Information sur le segment Nom de segment Tout sélectionner Sélectionner les entrées à supprimer. Sélecteur Moi-même Permission de libre service Permissions de libre service Nom de la permission de libre service La sémantique de %(label)s a changé. %(current_behavior)s
%(hint)s Liste séparée par des points-virgules d'adresses IP ou de réseaux autorisés à émettre des requêtes Liste séparée par des points-virgules d'adresses IP ou de réseaux autorisés à effectuer des transferts Sensible Numéro de série Numéro de série Numéro de série (hex) Numéro de série Numéro de série (hex) Numéro de série en décimal (ou en hexadécimal avec le préfixe 0x) Serveur Le serveur « %(srv)s » possède %(n)d agréments avec les serveurs : Le serveur %(srv)s ne peut contacter les serveurs : %(replicas)s Nom du serveur Rôle serveur Rôles serveur Le serveur a déjà été supprimé Nom du serveur Nom de serveur non fourni et indisponible
Arrêt brutal de la suppression du serveur : %(reason)s. Le serveur vérifiera le ou les serveurs de redirection DNS. Serveurs Informations sur les serveurs : Serveurs situés à l'emplacement Serveurs appartenants à l'emplacement IPA Service Le service %(service)s doit être redémarré sur le serveur IPA %(server)s pour permettre la prise en compte de la nouvelle configuration. Service « %(service)s » introuvable dans la base de données Kerberos Certificat de service Groupes de services Options du service Paramètres de service Catégorie de service Catégorie de service à laquelle la LCA s'applique Catégorie de services à laquelle la règle s'applique Règle de délégation de service Règles de délégation de service Cible de délégation de service Cibles de délégation de service Nom de groupe de services HBAC Nom de service Nom de service du service coffre Principal du service Alias de principal de service Principal de service pour ce certificat (par ex.: HTTP/test.example.com) Le principal de service n'est pas de la forme : service/fully-qualified host name: %(reason)s Poids relatif du service Permissions du service supprimées Poids du service Les options de service(s), d'utilisateur(s) ou de coffres-forts partagé(s) ne peuvent être utilisées simultanément Les options de service, d'utilisateur ou de coffre-fort partagé ne peuvent être utilisées simultanément Les options de service, de partage et d'utilisateur ne peuvent être utilisées simultanément. Services Erreur de session Clé de session emballée avec le certificat de transport Délai d'expiration de la session Définir Définir le niveau du domaine Paramétrer le mot de passe à usage unique Définir la clé SSH Définir le mot de passe d'un utilisateur. Modifie un attribut d'une paire nom/valeur. Le format est attribut=valeur.
Pour des attributs à valeurs multiples, la commande remplace les valeurs déjà présentes. Définir un groupe par défaut (repli) pour toutes les entrées sans correspondance. Définir le groupe « %(value)s » par défaut (repli) pour l'auto-adhésion Paramètres Secret partagé pour la confiance Coffre-fort partagé Afficher Afficher les informations sur le serveur IPA. Montrer le code QR Afficher les résultats Afficher tous les greffons chargés. Afficher l'uri de configuration Afficher les détails Afficher les variables d'environnement. Afficher la configuration globale des relations d'approbation. Afficher le suffixe géré. Afficher l'état du rôle sur un serveur Afficher la configuration OTP actuelle. Afficher la configuration actuelle. Afficher la configuration DNS globale. Affiche la liste des types de chiffrement autorisés, et sort. Afficher la configuration du coffre-fort. Afficher/définir la clé Affichage des entrées ${start} à ${end} sur ${total}. Liaison simple échouée
Simulation de l'utilisation des contrôles d'accès basées sur les hôtes Taille Limitation de taille La taille des données excède la limite actuelle fixée à %(limit)d octets. Taille de la plage d'ID réservée au domaine approuvé Passer la vérification DNS Passer la vérification lorsque le dernier serveur DNS ou AC maître est supprimé Passer la vérification de recouvrement %(key)s ignoré %(map)s ignoré Certaines entrées n'ont pas été supprimées Certaines opérations ont échoué. Groupes d'hôtes sources Hôtes sources Hôte source Catégorie d'hôtes sources Catégorie d'hôtes sources à laquelle la règle s'applique AC indiquées Commandes et groupes définis Groupes définis Hôtes et groupes indiqués Prodils indiqués Services et groupes indiqués Utilisateurs et groupes indiqués Indique où stocker l'information du tableau de clés. Définir un ${entity} externe Mette en attente Mettre en attente l'utilisateur Mettre en attente les utilisateurs Utilisateur en attente %s activé Utilisateurs en attente Compte utilisateur en attente « %(value)s » Types d'enregistrement standard État/Province État État du rôle Arrêter un rafraichissement en cours du ou des nœuds choisis. Arrêt du raffraichissement demandé pour la réplication via le segment « %(pkey)s ». Stocker les certificats émis Adresse Structuré Sujet DN de l'objet Nom distinctif de l'objet Le type %s de nom alternatif de sujet est interdit Soumettre une demande de signature de certificat. Sous-arbre Sous-arbre auquel appliquer l'ACI Branche à laquelle appliquer les permissions Sous-type Succès Sudo Groupes de commandes « sudo allow » Commandes « sudo allow » Commande sudo Groupe de commandes sudo Groupes de commandes sudo Commandes sudo Groupes de commandes « sudo deny » Commande « sudo deny » Option sudo Règle sudo Règles sudo Ordre sudo Nom du suffixe Remplacé Type de chiffrements pris en charge :
Suppression du traitement des attributs d'adhésion. Synchroniser le jeton OTP Synchroniser un jeton OTP. Erreur de syntaxe : %(error)s Enregistrements DNS du système mis à jour Enregistrement TA Enregistrement TKEY Donnée d'association du certificat TLSA Utilisation du certificat TLSA Type de correspondance TLSA Sélecteur TLSA Enregistrement TLSA Fenêtre de synchronisation TOTP Fenêtre d'authentification TOTP Durée de la fenêtre d'authentification TOTP (secondes) Variance temporelle de synchronisation TOTP (secondes) Différence entre le jeton TOTP et le serveur IPA Enregistrement TSIG Ôter un certificat révoqué en attente. Cible DN cible Sous-arbre des DN cibles Groupe cible Hôte cible Membres cibles d'un groupe (définit « memberof » du filtre cible) Zone inverse cible non trouvée. Cibler votre propre entrée (« self ») DN de la tâche DN de la tâche = « %s » Numéro de téléphone Tester la syntaxe de l'ACI, sans rien écrire Donnée texte Le texte ne correspond pas au motif du champ L'option « --domain » ne peut être utilisée conjointement avec les options « --add-domain » or « --del-domain ». Utilisez « --domain » pour indiquer explicitement la liste complète des domaines du royaume, utilisez « --add-domain » et « --del-domain » pour ajouter et supprimer les domaines de manière individuelle. L'ACI de la permission %(name)s n'a pas été trouvée dans %(dn)s Le domaine IPA L'enregistrement TXT _kerberos du domaine %(domain)s ne peut être créé (%(error)s).
Cela peut arriver si la zone n'est pas gérée par IPA. Merci de créer manuellement l'enregistrement, qui doit contenir la valeur suivante : « %(realm)s » L'enregistrement TXT _kerberos du domaine %(domain)s ne peut être supprimé (%(error)s).
Cela peut arriver si la zone n'est pas gérée par IPA. Merci de le supprimer manuellement. La clé « automount » %(key)s avec l'info %(info)s n'existe pas Le caractère « %(char)r » n'est pas autorisé. Le groupe par défaut ne peut être supprimé Le type « deny » est obsolète. Le nom de domaine de l'hôte cible ou '.' si le service n'est vraiment pas disponible dans ce domaine Les domaines suivants n'appartiennent pas à ce domaine Kerberos : %(domains)s Le groupe n'existe pas L'hôte « %s » auquel ajouter un service n'existe pas. Le nom d'hôte doit être pleinement qualifié : %s
Le nom d'hôte ne doit pas être : %s
Nom d'hôte ou adresse IP (avec ou sans port) Le nom d'hôte vers lequel cet enregistrement inverse pointe Le nom d'hôte sous lequel enregistrer La paire « key/info » doit être unique. Une clé nommée %(key)s avec l'info%(info)s existe déjà. Le fichier tableau de clés duquel il faut retirer le principal ou les principaux. Les types les plus courants pour ce type de zone sont : %s
Le nombre de fois autorisées pour tenter une authentification La valeur de la clé principale de l'entrée, par ex. « jdoe » pour un utilisateur Le principal pour cette demande n'existe pas. Le principal pour lequel obtenir un tableau de clés (par ex: ftp/ftp.example.com@EXAMPLE.COM) Le principal à supprimer d'un tableau de clés (par ex. : ftp/ftp.example.com@EXAMPLE.COM) Le domaine du principal ne correspond pas au domaine de ce serveur IPA Le domaine Kerberos des domaines suivants ne peuvent être détectés : %(domains)s. S'il existe des domaines appartenant à ce royaume, merci de créer un enregistrement TXT kerberos contenant « %(realm)s » dans chacun d'entre eux. Le schéma utilisé sur le serveur LDAP. Les valeurs prises en charge sont RFC2307 et RFC2307bis. La valeur par défaut est RFC2307bis Le critère de recherche n'est pas suffisamment précis. Une valeur attendue, mais %(found)d trouvées. Secret utilisé pour chiffrer les données Le principal du service pour le nom %s alternatif du sujet dans la demande de certificat n'existe pas Le nom du thème ou de la commande. Délai d'expiration total pour toutes les tentatives (en secondes) L'attribut de nom d'utilisateur de l'objet utilisateur Le nom d'utilisateur, mot de passe ou code du jeton ne sont pas corrects Cette commande ne peut être utilisée que pour modifier l'allocation d'ID pour le domaine local. Utilisez « ipa help idrange » pour plus d'informations. Cette commande s'appuie sur l'existence du groupe « editors », mais ce groupe n'a pas été trouvé. Cette commande requiert un accès administrateur Cette entrée existe déjà Cette entrée ne peut être activée ou désactivée Cette entrée est déjà membre Cette entrée est déjà désactivée Cette entrée est déjà activée Cette entrée n'est pas un membre Ce groupe autorise déjà des membres externes Ce groupe ne peut être de type POSIX car il est externe Ce groupe est déjà de type POSIX Ce groupe est déjà de type POSIX et ne peut être converti en groupe externe Cela peut prendre un peu de temps, veuillez patienter... Cette page comporte des modifications non-sauvegardées. Veuillez les enregistrer ou les annuler. Ticket périmé La politique de ticket pour %s ne peut pas être lue Limitation de durée Limite de la durée de la recherche en secondes Limite de la durée de la recherche en secondes (0 pour illimité) Heure actuelle Durée de vie Durée de vie des enregistrements en sommet de zone Jetons temporels (TOTP) Délai d'expiration Délai d'attente dépassé. Pour établir la confiance avec Active Directory, le nom de domaine et le nom de royaume du serveur IPA doivent correspondre Pour obtenir de l'aide, utiliser : ID du jeton Description du jeton (à titre d'information) Algorithme de hachage du jeton Modèle du jeton (à titre d'information) Secret du jeton (Base32 ; par défaut : aléatoire) Numéro de série du jeton (à titre d'information) Échec de synchronisation du jeton Nom du fabricant du jeton (à titre d'information) Jeton synchronisé Commandes du thème : Thème ou commande Topologie Segment de topologie Segments de topologie La topologie ne permet pas au serveur %(server)s de se répliquer avec les serveurs : La topologie est déconnectée La gestion de la topologie nécessite le niveau de domaine minimal {0} Suffixe de topologie Suffixes de topologie Nombre total de variables d'environnement (>= count) Certificat de transport Vrai Vrai si tous les résultats n'ont pas été renvoyés Vrai signifie que l'opération a réussi Confiance Configuration de la confiance Sens de la confiance Configuration des relations d'approbation État de la confiance Type de confiance Type de confiance (par défaut, ad pour Active Directory) domaine approuvé Le domaine approuvé %(domain)s est inclus parmi les royaumes de domaines IPA. Il doit être retiré de manière préalable à l'établissement de la relation d'approbation. Cf. la commande « ipa realmdomains-mod --del-domain ». Le domaine approuvé et le compte administrateur utilisent des domaines différents Le domaine approuvé n'a pas renvoyé un objet unique Le domaine approuvé n'a pas renvoyé un SID valide pour l'objet Partenaire de domaine approuvé domaines approuvés Approuvé pour délégation. Forêt de confiance Forêt en cours de mise en confiance Confiances Authentification à deux-facteurs Confiance réciproque Type Type d'objets IPA (définit le sous-arbre et le filtre cible de la classe d'objets) Type du jeton Types d'authentification utilisateur pris en charge UID Suffixes UPN URI URL Ne plus appliquer Retirer l'application de la vue d'identifiants d'hôtes Retire l'application de la vue d'identifiants des hôtes de groupes d'hôtes Ne plus appliquer aux groupes d'hôtes Ne plus appliquer aux hôtes Impossible de communiquer avec le CMS Impossible de communiquer avec le CMS (état %d) Impossible de créer un groupe privé. Un groupe '%(group)s' existe déjà. Impossible de déterminer le serveur IPA depuis %s
Impossible de savoir si le principal Kerberos %s existe déjà. Utiliser la commande 'ipa user-mod' pour le définir manuellement. Impossible de déterminer le DN racine de %s
Impossible d'afficher le code QR avec l'encodage configuré sur la sortie. Merci d'utiliser l'URI du jeton pour configurer votre jeton OTP Impossible d'activer SSL dans LDAP
Impossible de créer le cache des justificatifs d'identité Kerberos
Impossible d'initialiser la bibliothèque LDAP !
Impossible de joindre l'hôte : cache des justificatifs d'identité Kerberos introuvable
Impossible de joindre l'hôte : principal d'utilisateur Kerberos introuvable et mot de passe non fourni.
Impossible de joindre l'hôte : l'initialisation du contexte Kerberos a échoué
Impossible d'analyser le principal
Impossible d'analyser le nom du principal
Impossible d'analyser le principal : %1$s (%2$d)
Impossible de supprimer l'entrée
Impossible de définir LDAP_OPT_PROTOCOL_VERSION
Impossible de définir LDAP_OPT_X_SASL_NOCANON
Impossible de vérifier les permissions en écriture vers AD Restaurer un compte utilisateur supprimé. Compte utilisateur « %(value)s » restauré Annuler Tout annuler Annuler toutes les modifications dans ce champ. Annuler cette modification. Désinscrire cet hôte du serveur IPA Échec de la désinscription.
Désinscription réussie.
ID unique Inconnu Erreur inconnue Option inconnue : %(option)s Déverrouiller Compte utilisateur « %(value)s » déverrouillé Pas de correspondance Suppression des permissions Règles non résolues dans « --rules » Réintégré Modifications non sauvegardées Tout désélectionner Non-spécifié Valeur non prise en charge Modifier Mettre à jour les entrées DNS Mettre à jour les enregistrements DNS du serveur Mettre à jour les enregistrements DNS des emplacements et serveurs IPA Échec de la à jour de l'enregistrement du système « %(record)s », erreur : %(error)s Utilisateur Groupe d'Utilisateurs Groupes d'utilisateurs Identifiant utilisateur Numéro d'identifiant utilisateur Numéro identifiant d'utilisateur (le système en assigne un si non défini) Surcharge d'identifiant utilisateur Surcharges d'identifiants utilisateurs Options utilisateurs Attribut utilisateur Types d'authentification utilisateur Catégories d'utilisateurs Catégorie d'utilisateur Catégorie d'utilisateurs (la sémantique associée à cet attribut est interprétée localement) Catégorie d'utilisateur à laquelle la LCA s'applique Catégorie d'utilisateurs à laquelle la règle s'applique Conteneur d'utilisateur Groupe d'utilisateurs L'ACI d'un groupe utilisateur permet un accès à Règle de groupe utilisateur Règles de groupes d'utilisateurs Groupe d'utilisateur auquel s'applique la délégation Groupe d'utilisateurs auquel appliquer les permissions (définit « target ») Identifiant de connexion Nom d'utilisateur Classe d'objets utilisateur Surcharges des objets utilisateurs Mot de passe utilisateur Champs de recherche utilisateur Utilisateurs à surcharger Description intelligible de l'action effectuée Attributs propres à un utilisateur auxquels la permission s'applique Attributs propres à un utilisateur auxquels la permission ne s'applique explicitement pas Nom d'utilisateur Nom d'utilisateur du coffre-fort personnel Utilisateurs Utilisateurs autorisés à créer un tableau de clés Utilisateurs autorisés à récupérer un tableau de clés Certificat valide présent Valide à partir du Invalide après à partir du Valide à partir de cette date (AAAA-mm-jj) Invalide après jusqu'au Valide jusqu'à cette date (AAAA-mm-jj) Invalide avant à partir du Valide à partir de cette date (AAAA-mm-jj), non valide avant Invalide avant jusqu'au Valide à cette date (AAAA-mm-jj), non valide avant Valide jusqu'au Erreur de validation Validité Fin de validation Départ de validation Coffre-fort Conteneur de coffres-forts Conteneurs de coffres-forts Configuration du coffre-fort Les données du coffre-fort sont chiffrées avec la clé de session Description du coffre-fort Nom du coffre-fort Mot de passe du coffre-fort Clé privée du coffre-fort Clé publique du coffre-fort Sel du coffre-fort Service du coffre-fort Type de coffre-fort Utilisateur du coffre-fort Coffres-forts Fournisseur Vérifier le mot de passe Vérifier le mot de passe du principal Version Précision verticale Via le service Afficher Afficher le certificat En attente de confirmation par la partie distante Attention Avertissement, type de chiffrement inconnu.
Avertissement, type « salt » inconnu.
Avertissement : échec de conversion de type (#%d)
Avertissement : les types « salt » ne sont pas traités avec des mots de passe aléatoires (cf. option -P)
Poids Poids des services des serveurs Lors de la migration d'un groupe existant déjà dans le domaine IPA, surcharger le GID du groupe et renvoyer un succès Activation ou non d'un agrément de réplication, signifiant que la réplication fonctionne par le biais de cet agrément Stocker ou non les certificats émis à partir de ce profil Qui Travail en cours Écrire le profil de configuration dans un fichier Vous essayez de référencer un groupe privé magique qui ne peut être surchargé. Essayez plutôt de surcharger l'attribut GID de l'utilisateur. Vous pouvez utiliser <a href="${link}" target="_blank">FreeOTP<a/> comme application de jeton logiciel OTP. Vous pouvez avoir besoin de les supprimer manuellement de l'arbre Vous devez enregistrer un hôte afin de créer un service Vous allez être redirigé vers la zone DNS. Votre mot de passe expire dans ${days} jours. Votre relation d'approbation avec %(domain)s est cassée. Merci de la recréer à l'aide de « ipa trust-add ». Connecteur YubiKey Code postal Redirection de zone Zone trouvée : ${zone} Nom de zone Nom de zone (FQDN) L'enregistrement '%s' de zone ne peut être supprimé Intervalle de rafraîchissement de zone Échec de « access() » sur %1$s : erreur n°= %2$d
L'utilisateur actif nommé « %(user)s » existe déjà valeur de l'algorithme : intervalle autorisé 0-255 tous les maîtres doivent avoir le rôle %(role)s activé une erreur interne est survenue une erreur interne est survenue sur le serveur à « %(server)s » la réponse à la requête « %(owner)s %(rtype)s » ne comporte pas de signatures DNSSEC (pas de données RRSIG) n'importe quel serveur configuré l'API n'a pas un tel espace de noms : « %(name)s » au moins une des options « type », « users » ou « hosts » doit être indiquée au moins un parmi « type », « filter », « subtree », « targetgroup », « attrs » ou « memberof » est requis l'attribut « %(attribute)s » n'est pas autorisé attribut « %s » interdit l'attribut n'est pas configurable « attrs » et attributs inclus s'excluent mutuellement « attrs » et attributs inclus/exclus s'excluent mutuellement ajoute automatiquement le principal s'il n'existe pas clé « automount » clés « automount » emplacement de montage automatique emplacements de montage automatique carte « automount » cartes « automount » « basedn » Échec de « ber_init() », contrôle invalide ?!
échec de « ber_scanf() », « kvno » introuvable ?!
mot de passe de liaison doit contenir au plus %(len)d caractères peut être d'au plus %(maxlength)d octets peut être d'au plus %(maxlength)d caractères doit être inférieur ou égal à %(maxvalue)d doit valoir au plus %(maxvalue)s impossible d'ajouter à un privilège l'autorisation "%(perm)s" ayant pour type de liaison "%(bindtype)s" ne peut pas être vide impossible de se connecter à « %(uri)s » : %(error)s impossible de supprimer une politique de mot de passe globale impossible de supprimer des permissions administrées impossible de supprimer le domaine racine de la relation de confiance, utiliser la commande « trust-del » pour supprimer la relation de confiance impossible de désactiver le domaine racine de la relation de confiance, utiliser la commande « trust-del » pour supprimer la relation de confiance elle-même impossible d'ouvrir le fichier de configuration %s
impossible de renommer les permissions administrées impossible de définir le type de liaison d'une autorisation qui est assignée à un privilège impossible d'indiquer à la fois certificat brut et un nom de fichier impossible de définir simultanément un filtre de cible totale et un filtre de cible complémentaire impossible d'utiliser « stat() » sur le fichier de configuration %s
la modification s'est heurtée à une autre Transformer en groupe POSIX modifier afin de permettre une prise en charge des membres externes non-IPA depuis des domaines approuvés processus fils terminé avec %d
cn est immuable commande la commande « %(name)s » prend au plus %(count)d argument la commande « %(name)s » prend au plus %(count)d arguments la commande « %(name)s » ne prend pas d'argument commandes des commandes ne peuvent pas être ajoutées quand la catégorie de commande est « all » commandes pour contrôler la configuration sudo la communication avec le serveur CIFS a échoué options de configuration entrée conteneur (%(container)s) introuvable La LCA d'AC par défaut ne peut qu'être désactivée délégation délégations supprimer description Justificatifs Kerberos non reçus ne correspond à aucun des formats acceptés : domaine le domaine n'est pas configuré le domaine n'est pas de confiance le nom de domaine « %(domain)s » doit être normalisé à : %(normalized)s le nom de domaine ne peut pas dépasser 255 caractères chaque élément de LCA doit se terminer par un point-virgule libellé DNS vide filtre vide entrées entrée erreur de conversion des données lors du transport XML-RPC : %(error)s erreur sur le serveur « %(server)s » : %(error)s échec de l'exécution de « ipa-getkeytab », erreur n° %d
format attendu : <0-255> <0-255> <0-65535> even-length_hexadecimal_digits_or_hyphen (nombre impair de chiffres hexadécimaux ou tiret) fichier où stocker le certificat nom de fichier « filter » et « memberof » s'excluent mutuellement les marqueurs doivent être une valeur parmi « S », « A », « U », ou « P » valeur des marqueurs : intervalle autorisé 0-255 forcer la création d'un enregistrement NS même si le nom du système n'est pas dans le DNS forcer la suppression des permissions SYSTEM forcer le nom même si absent des DNS forcer le nom du principal même si absent du DNS echec de « fork() »
le format doit être définit sous la forme
"d1 [m1 [s1]] {"N"|"S"} d2 [m2 [s2]] {"E"|"W"} alt["m"] [siz["m"] [hp["m"] [vp["m"]]]]"
où :
d1: [0 .. 90] (degrés de latitude)
d2: [0 .. 180] (degrés de longitude)
m1, m2: [0 .. 59] (minutes de latitude/longitude)
s1, s2: [0 .. 59.999] (secondes de latitude/longitude)
alt: [-100000.00 .. 42849672.95] PAR .01 (altitude en mètres)
siz, hp, vp: [0 .. 90000000.00] (taille/précision en mètres)
Cf. RFC 1876 plus de détails le format doit être spécifié comme « %(format)s » %(rfcs)s La zone redirigiée « %(fwzone)s » n'est pas en fonction car il lui manque une délégation NS correcte dans la zone faisant autorité « %(authzone)s ». Merci d'ajouter les enregistrement NS « %(ns_rec)s » à la zone « %(authzone)s ». l'identifiant de groupe ne peut être défini pour un groupe externe givenname est requis groupe groupe runAs « group », « permission » et « self » s'excluent mutuellement groupes groupes à ajouter groupes à exclure de la migration groupes à supprimer hôte une catégorie d'hôtes ne peut pas être définie à « all » tant qu'il reste des hôtes autorisés groupe d'hôtes groupes d'hôtes groupes d'hôtes à ajouter groupes d'hôtes à supprimer masques d'hôtes des hôtes autorisés groupe d'hôtes Un groupe d'hôtes nommé « %s » existe déjà. Les groupes d'hôtes et les groupes réseau partagent le même espace de nommage groupe d'hôtes nom d'hôte le nom d'hôte contient un libellé vide (plusieurs points consécutifs) Le nom d'hôte indiqué dans le sujet de la demande « %(cn)s » ne correspond pas au nom d'hôte du principal « %(hostname)s » hôtes des hôtes ne peuvent pas être ajoutés quand la catégorie de l'hôte est « all » des hôtes ne peuvent pas être définis quand le type est « group » hôtes à ajouter hôtes à supprimer plage id type de plage d'id valeur de temps incomplète type incorrect entier pour ordonner les règles sudo « %(name)s » invalide : %(error)s DN invalide (%s) format d'adresse IP invalide version d'adresse IP invalide (est %(value)d, doit être %(required_value)d) ! format de réseau IP invalide Identifiant de profil invalide clé publique SSH invalide format d'adresse invalide nom d'attribut invalide nom de domaine invalide nom de domaine invalide : %s nom de domaine invalide : doit être pleinement qualifié format d'e-mail invalide : %(email)s code d'échappement invalide dans le nom du domaine masque d'hôte invalide numéro de port invalide « ipa-getkeytab » a des permissions incorrectes ?
« ipa-getkeytab » introuvable
est requis valeur des itérations : intervalle autorisé 0-65535 réglages de la politique de tickets Kerberos La clé %(key)s existe déjà la clé nommée %(key)s existe déjà « krb5_kt_close » %1$d : %2$s
« krb5_kt_get_entry » %1$d : %2$s
« krb5_kt_remove_entry » %1$d : %2$s
« krb5_parse_name » %1$d : %2$s
« krb5_unparse_name » %1$d : %2$s
« kvno » %d
les nœuds de gauche et de droite ne peuvent être identiques le nœud de gauche n'est pas un nœud de la topologie : %(leftnode)s le nœud de gauche ou de droite doit être indiqué limites dépassées pour cette requête Plage pour domaine local emplacement emplacements responsable %(manager)s introuvable La carte %(map)s existe déjà cartes non connectées à « /etc/auto.master » : correspond exactement au nom commun numéro de série plafond %s membre Service HBAC membre Groupe de services HBAC membre groupe membre hôte membre groupe d'hôte membre Groupe réseau membre commande membre de règle sudo numéro de série plancher « base_id » manquant la modification de clé principale n'est pas autorisée point de montage relatif à la carte parente, ne peut pas commencer par / doit être « %s » doit être « %(value)s » doit être un nom de DNS doit être « TRUE » ou « FALSE » doit être « True » ou « False » doit être un texte Unicode doit être un nombre décimal doit être absolu doit être un nombre entier doit être d'au moins %(minlength)d octets doit être d'au moins %(minlength)d caractères doit être supérieur ou égal à %(minvalue)d doit valoir a minima %(minvalue)s doivent être des données binaires doit être une valeur date/heure doit être un dictionnaire doit être mis entre parenthèses doit être d'exactement %(length)d octets doit être d'exactement %(length)d caractères doit être une valeur parmi %(values)s doit être relatif doit contenir un tuple (liste, dict) doit avoir le rôle %(role)s activé doit correspondre au motif « %(pattern)s » groupe réseau Un groupe réseau nommé « %s » existe déjà. Les groupes d'hôtes et les groupes réseau partagent un même espace de noms. groupes réseau Groupes réseau à ajouter Groupes réseau à supprimer pas de commande ou de sujet d'aide pour « %(topic)s » pas de modification à effectuer pas de relation de confiance configurée aucun domaine approuvé ne correspond au nom simple indiqué modification des entrées de groupe interdite modification des entrées d'un utilisateur interdite non autorisé à effectuer l'opération : %s impossible d'effectuer la vérification de la connexion au serveur introuvable pas pleinement qualifié non modifiable sur les permissions administrées La classe de nombres « %(cls)s » n'est pas dans la liste des classes de nombres autorisées : %(allowed)s nombre de mots de passe classe d'objet %s introuvable une ou plusieurs valeurs à supprimer seul « ad » est pris en charge uniquement disponible sur les permissions administrées uniquement lettres, nombres, %(chars)s sont autorisés. Les noms DNS ne peuvent commencer ou se terminer par %(chars2)s seules les zones maître peuvent contenir des enregistrements seul un unique enregistrement CNAME est autorisé par nom (RFC 2136, section 1.1.5) un seul enregistrement DNAME est autorisé par nom (RFC 6672, section 2.4) seul un nœud peut être indiqué opération non définie option renommée ; utiliser %s les options ne sont pas autorisées le rang doit être une valeur unique (%(order)d déjà utilisée par %(rule)s) mémoire saturée
donnée hors zone : le nom de l'enregistrement doit être un sous-domaine de la zone ou un nom relatif les arguments et options se chevauchent : %(names)s propriétaire %s le propriétaire des enregistrements %(types)s ne doit pas être un nom de domaine comportant des jokers (RFC 4592 section 4) « params » doit être une liste « params » doit contenir [args, options] « params[0] » (alias « args ») doit être une liste « params[1] » (alias « options ») doit être un dictionnaire mot de passe politiques de mot de passe politique de mots de passe mot de passe à utiliser pour la connexion en cas de non-utilisation de Kerberos permission la permisison « %(value)s » existe déjà permissions « pkinit » préserver preserve et no-preserve ne peuvent être indiqués simultanément principal introuvable
principal introuvable dans la réponse XML-RPC
la priorité ne peut être définie sur la politique globale la priorité doit être une valeur unique (%(prio)d est déjà utilisé par %(gname)s) privilège groupe avec privilèges groupe d'hôtes privilégiés règle de délégation de service privilégié cible de délégation de service privilégiée privilèges la catégorie de profil ne peut être positionnée à 'all' tant qu'il existe des profils autorisés des profils ne peuvent pas être ajoutés quand la catégorie de profil est « all » « pysss_murmur » non disponible sur le serveur et aucun « base-id » fourni. requête « %(owner)s %(rtype)s » avec EDNS0: %(error)s requête « %(owner)s %(rtype)s » : %(error)s la plage existe une modification de plage laissant des objets avec un ID en dehors de la plage définie n'est pas autorisée modifier le type de plage erreur en lecture
domaine introuvable
la validation DNSSEC de l'enregistrement « %(owner)s %(rtype)s » a échoué sur le serveur %(ip)s échec de la requête avec le code état HTTP %d résultat de la réponse XML-RPC introuvable
récupère et affiche tous les attributs du serveur. Modifie la sortie de la commande. le nœud de droite n'est pas un nœud de la topologie : %(rightnode)s rôle rôles rôles à supprimer groupes runAs utilisateur runAs utilisateurs runAs valeur « salt » : %(err)s rechercher des groupes POSIX rechercher des groupes autorisant la prise en charge des membres externes non-IPA depuis les domaines approuvés rechercher les groupes administrés rechercher des groupes non-POSIX rechercher des groupes privés les résultats des recherches sur les objets
à migrer ont été tronquées par le serveur ;
le processus de migration peut être incomplet
secondes segment segments permission de libre service permissions de libre service serveur rôle serveur rôles serveur serveurs service une catégorie de services ne peut pas être définie à « all » tant qu'il reste des services autorisés règle de délégation de service règles de délégation de service cible de délégation de service cibles de délégation de service services aucun service ne peut être ajouté quand la catégorie de services est « all » configuration du serveur de nom ayant autorité ne doit pas être un nom de domaine avec joker (RFC 4592 section 4) « sidgen_was_run » sauter la détection du DNS inverse sn est requis utilis utilisateurs en attente Il est interdit d'utiliser un « subject alt name » (nom alternatif) de type %s pour les principaux autres qu'utilisateurs. Il est interdit d'utiliser un « subject alt name » (nom alternatif) de type %s pour les principaux d'utilisateurs. « subtree » et « type » s'excluent mutuellement commande sudo groupe de commandes sudo groupes de commandes sudo commandes sudo commandes sudo à ajouter commandes sudo à supprimer règle sudo règles sudo suffixe suffixes Vue d'identifiants du système « target » et « targetgroup » s'excluent mutuellement le serveur IPA et le domaine distant ne peuvent partager le même nom NetBIOS : %s le certificat ayant le numéro de série cette entrée a été supprimée pendant sa modification la valeur ne suit pas le format d'horodatage « YYYYMMDDHHMMSS » il doit y avoir au moins une définition d'entrée cible (ex. « target », « targetfilter », « attrs ») cette option a été abandonnée. cette option est obsolète trop de caractères « @ » confiance configuration des relations d'approbation domaine approuvé domaines approuvés type de confiance objet domaine approuvé objet relation de confiance introuvable utilisateur de domaine approuvé introuvable confiances type d'objet IPA (« user », « group », « host », « hostgroup », « service », « netgroup ») « type », « filter », « subtree » et « targetgroup » s'excluent mutuellement commande « %(name)s » inconnue Erreur %(code)d inconnue renvoyée par %(server)s : %(error)s niveau de fonctionnalité non pris en charge type de relation de confiance non pris en charge utilisateur l'utilisateur « %s » est déjà actif une catégorie d'utilisateurs ne peut pas être définie à « all » tant qu'il reste des utilisateurs autorisés utilisateurs impossible de définir à la fois des utilisateurs et des hôtes des utilisateurs ne peuvent pas être ajoutés quand la catégorie « RunAs User » ou « RunAs Group » est « all » des utilisateurs ne peuvent pas être ajoutés quand la catégorie de l'utilisateur est « all » impossible de définir des utilisateurs quand le type est « hostgroup » utilisateurs à exclure de la migration utilisateurs à supprimer valeur coffre-fort vaultcontainer vaultcontainers coffres-forts {attr} : attribut introuvable {role} : rôle introuvable