????
Your IP : 216.73.216.67
�� � t_ � ̾ p� q� ~� X �� C � ! 7� / Y� $ �� 7 �� � � � � $ p [ � 4 � & & � M L � ^ K 9
2 �
- �
) �
G L X : � = � g ] � � � H m
s �
n * \ � r � m i ` � U 8 W � P � � 7 v � � S � � � q � � Z g O x m � v 6 { � V ) h � � � w � > O a � ? � � 0 � � K d : � 2 � K [ j | � T C! P �! e �! o O" _ �" [ # N {# > �# O $ n Y$ v �$ g ?% q �% K & P e& � �' � D( 5 ) U V) k �) ~ * v �* U + � d+ �+ � q, Q �, { H- � �- : `. h �. X / � ]/ / R1 Z �2 7 �2 Z 3 9 p3 n �3 � 7 8 f
9 X q9 � �9 � �: v; � |< 1 = } R= ` �= � 1A � �C � uE � F �F 6
�F n T x �T � U � �U x `V �V ^ �V WW t �W � Lc <d B Wd \ �d � �d �w � �w �y H �y . �} E ~ � Y~ /� � E� � ;� X� h�
{� u �� � �� 7 �� D � $ 8� � ]� M� � e� � )� �� �� > ߓ p � ' �� �� ̚ � � � +� % F� � l� [� � k� � R� � [ � � ]�
�� � � � �� � t� � "� � �� K `� � �� f� l }� ' �� � � \ � H d� � �� k �� � � � � � T �� � "� � �� � �� � 7� � � � � � g | � � � � � f � x @ � � � q � t ! # � � � � � � � � � D U R l # � � � ! . P q � � � � % ) ! C p e � � , � * � h � 8 ^ J � > � > ! : ` 8 � L � F ! J h > � 8 � @ + J l @ � : � 0 3 . d 8 � 6 � : 0 > 8 o 4 � 0 � . / = < m 4 � 0 � . ? 2 S < � . � A � 4
G U r � � E � ^ � 8 K � ! � - � @ � > \
y . � 2 � � - 7 A ^ ! k � � � 0 � ' ! 6! 6 M! 7 �! % �! �! �! X " " a" �" � �" � # � �# � x% D' U' 2 b' G �' F �' ) $( & N( u( �( �( �( ' �( % ) . >) ( m) ) �) . �) �) * . * P J* 3 �* �* �*
�* �*
+ + &+ *+ 3+ " ?+
b+ m+ �+ �+ �+ �+
�+ �+ x �+
X, c,
i, w, �, �, �, �, �, �, �, �, �, - - % )- 0 O- �- 2 �- �- �- �- # �- . =. F. f. �. �. �. �. �. �. / 1/ N/ d/ �/ �/ �/ �/ �/ �/ " �/ 0 20 8 B0 0 {0 & �0 9 �0 \
1 j1 �1 �1
�1 �1 �1 ; �1 % ,2 R2
c2 ! n2 / �2 $ �2 ' �2 "
3 03 H3 d3 3 �3 �3 % �3 E �3 ;4 ! X4 $ z4 % �4 ) �4 7 �4 . '5 3 V5 �5 �5 �5 0 �5 < 6 ( P6 y6 + �6 , �6 % �6 1
7 % ?7
e7 s7 2 �7 3 �7 �7 8 $ .8 S8 n8 �8 % �8 " �8 �8 $ 9 69 ! R9 ( t9 �9 $ �9 �9 & : 3 ): & ]: ! �: �: �: �: �: ; % ); 6 O; % �; 1 �; �; �; < .< L< f< # �< �< �< �< �<
= = 1= . ;= * j= J �= @ �= !> '> $ 6> : [> �> 6 �> 8 �> 0 ? 2 N? �? 2 �? �? D �? P "@ s@ 5 �@ 6 �@ 8 �@ 0 (A 2 YA J �A M �A L %B O rB �B �B 3 �B *C =C FC � gC F �C =D PD \D fD oD {D � �D E " E 8E Y SE * �E 1 �E +
F * 6F 1 aF / �F 2 �F �F G 7 G TG - eG * �G �G
�G Q �G
(H 0 3H / dH * �H * �H 5 �H + I LI RI aI {I �I # �I / �I J $ J @J MJ ! bJ �J ~ �J #K , 3K `K
jK xK �K �K �K
�K �K �K �K L *L >L UL _L rL wL �L �L �L �L �L �L 1 M GM dM " �M # �M �M " �M N 'N % /N 8 UN �N ! �N �N
�N �N �N �N O O .O ;O GO VO V cO ! �O �O �O 5 �O * P _ HP �P �P �P ) �P � )Q � �Q SR � �R � gS ' �S ( T & @T � gT ? �T 3 *U ! ^U ) �U �U �U �U �U �U
V 1 V ! PV - rV & �V " �V 2 �V W 1W FW ZW sW �W �W ( �W # �W 4 �W & *X ( QX zX �X �X �X �X $ �X Y & Y 2 =Y pY 9 �Y �Y �Y = �Y Z Z O 2Z �Z 2 �Z 1 �Z @ �Z ;[ J[ W[ ][ t[ % �[ " �[ L �[ & \ >\ $ O\ t\ �\ �\ �\ " �\ $ �\
�\ / ] 4] S] r] # ] �] �] �] �] �] & ^ H 3^ I |^ $ �^ �^ ' �^ _ / (_ X_ p_ �_ �_ �_ �_ " �_ ` 3` O` a` q` ! �` �` �` �` �` )
a 7a Oa fa wa ' �a i �a b 7b Hb eb
rb �b
�b
�b �b �b
�b 4 �b 3 c # 6c Zc gc tc xc �c �c �c ; �c d d /d 8d Jd 7 Td �d �d �d �d �d
�d � �d �e - �e - �e 4 �e A 2f - tf �f �f �f R �f
7g ~ Bg � �g ! Jh lh xh �h V �h & �h i
%i 3 3i } gi �i �i �i
j j 9 j \ Zj �j �j �j ? �j k 2k Hk ( dk % �k �k 2 �k $ l
'l 5l ' Ql yl + �l . �l ! �l m 1 &m Xm lm }m
�m �m �m �m �m �m �m n n 6n Rn pn �n �n �n �n + �n o 'o Eo `o uo �o �o �o �o �o �o ! p %p :p
Jp 9 Xp �p �p �p �p �p �p q *q Aq [ Vq �q �q �q r r
>r
Lr Zr rr 5 �r $ �r �r s s & @s gs �s �s �s ' �s $
t /t & Pt wt # �t ! �t & �t ! u $u Cu ]u vu �u �u �u �u
v %v >v ^v zv �v �v C �v U w V fw @ �w �w x x * )x Tx $ `x # �x 0 �x d �x A ?y C �y �y ! �y �y z ) ?z iz pz |z �z �z �z �z �z �z �z
�z , { 2{ G{ _{ ! u{ �{ : �{ E �{ 7 2| j| s| 6 �| % �| �| } % %} K} c} }} ! �} ! �} 9 �} ; ~ 3 T~ 5 �~ 9 �~ ; �~ 3 4 5 h M � P � O =� R �� � �� � +� G� ]� ' p� �� �� с � , � > 6� - u� 2 �� 0 ւ ' � ! /� & Q� ( x� % �� ' ǃ & � " � ! 9� 4 [� " �� ! �� 0 Մ * � * 1� ) \� ' �� - �� * ܅ � W � + l� " �� �� 0 ۆ 2 � ' ?� 2 g� �� 2 �� . � � '� @ .� o� {� �� �� < ˈ � � , #� P� p� + y� �� �� ʼn ݉ � � �
� #�
8� F� M� f� w� + �� �� Ċ ۊ � � # '� K� S� 5 j� $ �� ŋ � $ � %� <� Q� r� �� ��
ˌ ! � � ! � A� U� [� s� �� �� * �� ) Ս �� � - 9� I g� f �� . � G� Q� e�
u� 2 ��
�� & ��
� � ; ��
5� : C� 6 ~�
�� Ð Ӑ , � � : #� ; ^�
�� �� �� đ ! � �
� ,� =�
L� Z� j� �� ��
�� Ē T � :� R U� 8 �� ? � 3 !� 1 U� �� F �� � � $� ;� Y� B z� �� ӕ � � � :� # Q� u� $ �� �� ֖ < � % $� J� 0 f� , �� ė � 0 �� &� =� T� F Z� % ��
ǘ I Ҙ � 4� % T� & z� ( �� & ʙ ) � " � % >� $ d� ! �� " �� Κ ! �
� ; � [� b� �� ! �� �� �� ɛ ޛ �
�� � ; #� ( _� $ �� % ��
Ӝ ޜ $ � � F � = V� J �� & ߝ 5 � <� . Q� 3 �� �� h Ԟ =� X L� , �� ҟ � � ˠ ݠ � � � � ( #� L� \� 8 d� 1 �� ϡ ! ӡ �� � s "� T �� � �� � +� 1� K�
[� i�
x� �� ��
�� �� ã ף
� " �� � %� ! E� g� }� 7 ��
�� ʤ פ �
�� � � � . =�
l� w� �� �� �� ϥ
�
� �� � 3� R�
r� % }� / �� Ӧ ߦ � = � /� <� K� _� t� y� A �� է
� � � $ � & 6� ]�
g�
u� O �� ! Ө * �� � $ 9� ^� {� 3 �� " ��
ܩ � � �� �� �� Ī ʪ � >
� $ I� " n� , �� �� ǫ ѫ � ޫ $ �� A �� � � h o�
ح ; � + � K� _� x� �� �� �� ή ޮ � � � �
4� l B� u ��
%� 0� @� Q� c� U o� Ű װ � � ѱ
� * �� # '� # K� o� �� ) �� . ²
� �� � � @ *� 0 k� �� �� ȳ 3 � � -� C� \�
w� 3 �� & �� � " �� / !� Q� `� o� �� �� �� ( ȵ 1 � # #� G� [� * k� �� �� " �� ߶ �� � (� B� ^� w� �� �� # �� " � � #
�
1� <� . K� , z� Q �� �� & � & >� 7 e� �� �� # ʹ � � � =� Q� 3 j� + �� ʺ ݺ � � �� � % � # 7� [� b� l� 4 �� + �� � 8 � :� P� g� q�
�� ��
�� �� D �� �� � & � ) F� ) p� �� �� I ѽ ' � 4 C� # x� �� �� L Ǿ % � :� >� M� U� \� 0 m� �� + �� ҿ % ۿ �
� % � A� X M� �� 8 �� � �� � $� ;� S� l� �� �� �� � �
� $ � � -� 7� + V� ' �� " �� �� - �� � 1� 2 G� X z� / �� A � , E� r� z� �� ��
�� �� �� �� �� ! �� � � % #� I� } U� � �� T� `� g�
t� �� �� �� �� �� ) �� & �
/� :� K� `� h� l� u� N �� + �� �� � % � 5�
=�
K�
Y� g� x� �� �� �� H �� �� (
� " 3� 3 V� 5 �� # �� �� � "� :� T� e� y� �� ��
�� �� �� �� �� �� � .� >� O� e� y� �� �� �� ; �� �� ! � <� ( D� V m� 4 �� ��
� � *� ?� # Z� $ ~� �� �� �� �� U �� H� , e� �� �� �� �� �� � #� ( )� R� k� 6 �� ( �� �� ! � ' $� L� ! j� �� �� ( �� % �� ! � ' <� d� $ �� " �� " �� �� � )� C� b� �� �� �� �� �� � C 7� {� �� �� �� 2 �� )
� 4� R� k� �� �� �� ! �� �� � � + 0� \� z� �� �� �� �� �� � � 3� H� \� ! k� �� �� �� �� �� �� � '� @� Y� y� �� " �� �� ) �� ' &� N� P n� �� �� " �� � � � +� <� U�
g� u� �� 2 �� �� �� } �� / Y� �� �� �� J �� �� � � :� M� f� 4 � �� A �� 9 � � K� �� �� �� �� �
$� 2� <� I� Y� f� }� �� �� ' �� �� �� ' �� e !� n �� �� � &� 2� B� X� q� - �� - �� 3 �� � '� ?� `� q� ) y� �� ��
�� �� �� � � 3� 5 Q� �� �� �� �� �� �� 8 � * =� h� - �� + �� �� �� � +� I� b� }� ' �� �� �� �� ��
�� ��
�
� � 3 1� 2 e� 4 �� 3 �� � � , *� W� r� + �� i �� 8 "� [� l� �� J �� d �� b C� V �� �� 4 � 2 :� > m� ; �� G �� = 0� n� = t� �� �� �� �� �� � � !� 1� @� P� a� s� �� ` �� � �� �� ��
�� �� �� �� ��
�� �� ��
� � � (�
8� = C� % �� ; �� �� ' �� � &� 2 6� ( i� �� �� �� �� ! �� � 1� H� `� � y� s� �� � �� u Q� 8 �� . �
/� :� Z� v� �� �� �� > �� �� 5 � 3 9� m� �� �� 7 �� �� ! �� � #� (� . =� l� 5 ��
�� C �� P � V� e� 8 j� �� �� < �� �� ; � 8 G� �� �� �� B � +
� 6� ?� : P� 8 �� $ � � � � � 0�
?�
J� G U� ( �� � � / � ; � Y� m� �� L �� � � � 5 $� # Z� R ~� � d � ?� & K� r�
y� �� �� �� 1 � ��
� > � S� `�
p�
{� �� �� �� �� � � � �� � � .� A� P� `� u� �� �� �� �� � � � �� � � (� 8� H� X� j� y� �� �� �� �� > � *
� @ 8�
y� 0 ��
��
� � � � * � /� 0 G� & x� & �� = � ( 4 @ R ^ f { � 5 � � � # � & � 9 3 9 8 ( r � � � � G � , " B ; e 3 � # � � " # = > a * � : � $ . S 2 _ ' � * � > � ' $ L i � ! � � * � < 1 P � $ � ( � % � * @ 4 _ 5 � A � . / ; * k 6 � ( � % � %
4 B
* w
7 �
* �
% 8 + 5 d % � > � � # , % P v � � � ~ � 0 Y
< �
8 �
' 1 (
Z e � � � @ � / 3 5 i s � � ( � C � % - 4 I 1 _ 8 � > � 9 : C ? ~ G � C J R ! p J � + � # ) * M x � 1 � / � M \ N � � � � � � & $ ( M @ T �
� � � � A � & B 8 2 { � 5 � � �
( + 7 c x � ( � � � ' � 1 > O e | < � 0 � � $ ( ? s V 9 �
9
C N Z k � � � � �
�
� � �
! , ; V f x � � � : � � � � 2 N . ^ � ! � � � # , C ] 2 w � � � � 0 P j � % � ! � � ! � ; X p � # � � � 0 � . @ X o � 0 � 3 � � ! , ! K! X! j! |! �! �! �! �! �!
�! �! " " " 1" J" @ \" W �" [ �" Q#
X# f#
z# �# > �# �# 3 �# 2 $ I$ U$ u$ ) �$ # �$ �$ # �$ % % % ( -% V% ] ^% 4 �% �% & & %& $ 6& [& n& {& �& C �& S �& =' [' s' �'
�' �' �' �' � �' 7 G( % ( �( �( �( �( �( �( ) ) /) P) < m) # �) �) * �) 4 * / N* ~* * �* u �* 3+
8+ L C+ 4 �+ @ �+ , , &, 6, T, l, �, �, �, �, 1 �, , !- N- i- �-
�- �- �- �- �- �- �- �- . .
.. 9.
A. % L. r. % �. �. �. �. �. �. / / "/ 6/ C/ V/
j/ x/ �/ �/ �/
�/
�/
�/ �/ - �/ &0 @0 z X0 �0 �0 ! �0 1 "1
51 C1 O1 k1 + �1 , �1 ' �1 2
2
!2 $ ,2 Q2 X2 b2 " t2 8 �2 �2 �2 �2 6 3 :3 W3 , h3 �3 ! �3 � �3 8 �4
�4 � �4 � �5 ; R6 ; �6 & �6 ) �6 " 7 8 >7 b w7 G �7 > "8 a8 1 y8 = �8 ) �8 9 ) 19 * [9 �9 W �9 P �9 0 K: � |: 4 ; + @; : l; - �; G �; M < H k< � �< j |= L �= 4> < T> �> 1 �> ) �> v ? Z ? ! �? �? ( @ ?@ ^@ }@ �@ * �@ 1 �@ A E 1A ( wA 5 �A �A & �A
B B 0 7B hB qB % ~B 8 �B �B �B i �B aC {C & �C �C �C & �C ! D & *D QD aD D rD �D ( �D �D % �D ' $E LE RE bE
oE - zE �E � �E = cF �F �F �F �F * �F
G (G > -G I lG �G 6 �G �G H H H H H * <H C gH ' �H c �H " 7I u ZI �I - �I & J # CJ 9 gJ W �J < �J 6K QK ' qK �K 9 �K ( �K & L * ;L fL , �L �L " �L " �L M /M IM SM
[M iM �M �M �M " �M �M �M N N N )N ;N BN * UN A �N �N
�N �N �N 7 �N O +O
:O ! HO jO
yO �O ! �O " �O 0 �O
P %P 1P ;P
MP [P - nP 9 �P K �P "Q +Q 1Q PQ qQ �Q �Q �Q + �Q )
R , 4R * aR �R �R �R �R �R �R �R �R �R S 'S 3S 8S & @S gS & �S L �S �S T c T % �T 0 �T �T 1 �T # U 3U 2 KU 8 ~U # �U . �U Y
V dV qV uV �V �V " �V �V & �V ' W + (W TW 8 sW R �W �W % X S CX H �X �X 4 �X = 0Y 3 nY
�Y �Y �Y �Y
�Y �Y Z &
Z + 1Z
]Z ! kZ " �Z ' �Z �Z �Z [ # [ & D[ $ k[ ! �[ P �[ Q \ " U\ ! x\ D �\ * �\ ,
] H 7] $ �] # �] �] ? �] !^ 7^ % G^ ( m^ * �^ - �^ $ �^ ' _ ) <_ , f_ 2 �_ 5 �_ , �_ / )` $ Y` ' ~` h �` % a + 5a aa ) wa �a �a �a + �a
b 'b 3b $ ?b ( db �b �b @ �b 0 �b 4 c Tc dc qc yc 7 c ' �c ) �c S d , ]d �d �d * �d * �d # e ; *e " fe " �e , �e ' �e M f Of ^f 1 yh � �h $ ei �i �i 1 �i �i �i B �i
'j 2j >j Z Qj �j 0 �j �j . �j k
$k 2k Hk Wk wk �k �k F �k l l 3l Fl ]l tl �l �l ( �l " �l m m # (m Lm em * qm �m �m �m �m n 8 (n an {n �n �n �n �n �n o /o 8o Bo `o ' {o �o �o �o �o �o �o p p 8p Lp fp rp $ �p : �p �p �p q q /q Eq Zq % pq �q �q �q $ �q ) �q "r @r ^r qr �r �r �r �r % �r s 0s
As Os os �s Y �s �s % �s #t # Dt " ht $ �t . �t �t % �t W u qu �u % �u \ �u % $v C Jv A �v �v �v w w P (w , yw T �w �w # x # 5x & Yx �x �x �x % �x
�x % �x y y + y Ay ( Vy ' y D �y �y �y
z z D +z pz 1 �z & �z �z R �z I{ [{ g{ : x{ F �{ " �{ % | J C| �| �| �| �| O �| } /} K} s e} �} �}
~ ~ ~ *~ 2~ :~ C~ 9 d~ �~ " �~ �~ �~
�~ ' 9 F Y
m {
� - � * � 6 � T � u� �� �� Ȁ �
�
�� � D � < T� �� 1 �� ށ �� �� �� B � ]� . c� 2 �� ł ߂ � �� ք � f � N g� ( �� 6 ߅ & � ; =� D y� � �� * �� � Nj 6 h� ' �� . ǎ D �� � ;� T � 7 h� = �� 7 ޒ R � T i� E �� H � s M� n �� � 0� U Ε z $� | �� i � ~ �� | � g �� ^ � _ I� X �� � � � �� � ?� ӛ , ڝ z � � �� v E� U �� | � � �� � � f �� x � � y� � i� ? � c ,� G �� � ا � e� U � = q� 3 �� M � a 1� � �� ^ "� ` �� o � y R� k ̬ d 8� \ �� ? �� O :� w �� � � v �� y � X �� c ٰ � =� � Բ @ �� Y � { [� � ״ � [� Z � � >� � � � ~� [ � { n� � � ; �� r ڹ a M� E �� X �� d N� > �� b � < U� � ��
2� @� r _� e �� � 8� # � , D� � q� + � � 3� � �� �� � �� � }� � 6� " �� � � m �� v 6� � �� � �� � 9� ' �� r �� � n� � � 6 �� ! )� R K� k �� �
� $ � � �
� �
; � \ � 7 3 @ k � D � � /
H � V � � o � S * g � �" # �" � �$ q �& $ + R '+ � z+ , r2 �2 $ �2 �2 �2 3 #3 . B3 � q3 MD ]D � bF G � G e �I
P 0 P � NX � <Y � :] � !a M �d q Ge �g � �g ? �j P �k g p U {p ' �p v �v px � |x � % � � f y� ( � � E � � Q� U � � e� v � � �� � i� � -� $ � v � ; �� � �� � �� � B� ( ƫ B � � 2�
�� Y � Z� ڵ � ^ � % a� �� �� �� , $ � )� G� ! h� �� �� ķ � ) � x -� � �� 5 �� 3 �� � � J n� [ �� I � O _� B �� A � Z 4� ] �� W � E E� A �� W ͽ g %� U �� E � 9 )� ; c� O �� G � > 7� = v� C �� < �� 3 5� 6 i� ; �� G � B $� ? g� = �� �� : �� H 4� = }� C �� ��
� # � C� S� n� G w� d �� = $� b� k� , �� B �� % �� # !� E�
f� 0 q� B �� �� � � � 2� >� K�
l� ' z� �� �� # �� . �� ! '� I� 2 `� G �� . ��
� � \ 1� ) �� �� � �� � ^� � � � �� �� �� 3 �� S !� U u� . �� + �� ! &� H� ( h� ' �� - �� * �� 8 � 7 K� ; �� 9 �� �� � C -� R q� > �� � � $� 4� G�
Z� h�
l� z� # �� �� �� + �� �� � �
/� =� � L� �� �� �� � � (� <� K� R� Y� u� �� " �� �� �� ) �� 9 �� ) 3� 7 ]� �� �� �� , �� �� � % (� ( N� w� $ �� $ �� �� �� ' � D� $ c� �� 3 �� �� �� � 2� L� i� * � # �� �� F �� : /� ( j� : �� ` �� /� $ N� s� �� �� ( �� C �� , � F� ]� ( m� 9 �� * �� 1 �� ) -� W� $ s� # �� �� ! �� �� - � Q F� & �� ) �� . �� 5 � 7 N� C �� 7 �� ? � ! B� d� # �� : �� O �� - 1� _� 3 ~� 4 �� + �� A � / U� �� �� = �� ? �� 0� % P� + v� , �� & �� �� * � , ?� % l� . �� # �� & �� 2 � ) ?� 1 i� ( �� ) �� 8 �� - '� % U� {� % �� & �� / �� � * 6� 8 a� * �� ; �� � � >� ! W� ( y� & �� ' �� ' �� � 4� N� k� �� �� / �� < �� g � R q� �� �� - �� L � # e� C �� G �� : � > P� # �� 1 �� �� M �� U D� �� > �� F �� J 7� A �� E �� Q
� c \� U �� g � ~� # �� N �� � %� -� � M� T �� 4� F� X� h� w�
�� � �� 2� ' :� b� [ �� - �� = � 3 J� . ~� ; �� 1 �� 9 � ' U� }� ; �� � 2 � 3 � <� E� ] T� �� 4 �� 6 � ) (� ( R� 4 {� ) ��
� � � � ,� # J� - n� �� 5 �� � � % � % B� � h� 1� 9 C� }� �� �� � ) � � &� :� ' W� � / �� � �
� # � 0� 7� . J� ! y� �� & �� � " � 4 � " :� ) ]� / �� - �� , � , � ?�
\� + g� B �� � ! � � � &� 5� M� \� u� ��
�� �� � c � ' 8 ` d 9 m 4 � f � # C 4 g , � < � � � � � j � � � < V 0 � 5 � � � H � > � # # + G s � $ � � � � ; * A = l 4 � + � @ L b z � � � � ) � +
< J
4 �
4 �
�
" & 6 / ] � . � = � # G 3 { � 7 � � ' � a � R
9 g
G �
Y �
C V o % v � , � % � S � O n + � � � �
� ' � ( $ M ; \ ' � ) � � % � 4 ' P x � , � O � P , q � 0 �
� ; � " ' = % e % � # � � ) � - J ] n # � % � � �
. H g } � 6 � � � & e � � � � �
� � 1 0 > 6 o ' �
� � � � 2 C O � � � � � I � C ! M o � � � � � k 8 � 8 � 3 � G * < r � � � \ _ � l � � # � � � � k � 5 b � � 6 � � � �
� � � � F � j � � � d � ! * 7! ) b! 8 �! 7 �! �! = " ) \" �" ) �" 9 �" # 1 ## 7 U# . �# $ �# ? �# !$ B$ T$ g$ s$ �$ �$ �$ �$ �$ �$ % " &% I% i% % �% �% �% �% 6 �% $& A& " b& �& , �& �& �& �& ' ' 4' # C' g' �' �' E �' �' & ( +( ;( ! R( t( �( �( �( o �( M) ! j) �) �) " �) �) �) ! * 1* > H* ) �* �* �* & �* , + , C+ % p+ " �+ �+ ) �+ + , $ -, - R, " �, % �, ( �, 4 �, * '- ! R- & t- ' �- 0 �- ! �- . ! 2. T. o. �. # �. ) �. % �. / ( :/ L c/ ] �/ ^ 0 : m0 �0 �0 �0 0 �0 1 $ 1 2 51 @ h1 ~ �1 G (2 E p2 " �2 % �2 ( �2 ) (3 9 R3 �3 �3 �3 �3 �3 �3 �3
�3 % 4 *4 A4 < V4 �4 # �4 �4 2 �4 " 5 C C5 T �5 B �5 6 +6 D H6 . �6 $ �6 " �6 1 7 67 V7 " s7 - �7 - �7 I �7 M <8 @ �8 D �8 K 9 P \9 C �9 E �9 T 7: l �: X �: p R; �; # �; < < 6< L< - `< ! �< �< �< �< 8 = M H= 4 �= 7 �= 4 > + 8> # d> , �> / �> + �> & ? ) 8? $ b? " �? 7 �? ) �? & @ 5 3@ , i@ 1 �@ + �@ ) �@ 1 A 7 PA �A s �A 0 B # <B " `B 3 �B @ �B * �B D #C hC 9 �C * �C + �C D G D aD qD ' �D % �D A �D E .E / @E ! pE �E 2 �E �E �E �E F 1F 8F IF ! ]F F �F �F �F �F �F 9 �F 2G HG iG / �G �G ) �G
�G H A H + ^H ! �H ! �H . �H �H I + 9I * eI �I " �I �I �I & �I J - 1J _J ~J �J �J �J $ �J 8 �J / K ! HK & jK E �K ] �K p 5L : �L �L �L M
M 4 "M WM - aM
�M �M C �M �M E �M 7 BN zN �N �N 5 �N �N C �N ? BO �O �O �O �O $ �O P &P BP SP eP {P �P ' �P �P �P / �P z +Q �Q V �Q 9 R ? WR 3 �R 9 �R % S A +S mS $ �S �S ' �S / �S G $T lT �T ! �T �T 0 �T ! U * 6U 3 aU . �U $ �U �U I �U 1 EV " wV 7 �V 6 �V % W ' /W P WW �W �W �W R �W 3 9X
mX P {X �X ' �X 1 Y 4 EY 7 zY 5 �Y 8 �Y 1 !Z 0 SZ 4 �Z * �Z * �Z ( [ % 8[ ! ^[ B �[ �[ ! �[ �[ 1 �[ %\ 4\ J\ b\ y\ �\ �\ F �\ ( ] # )] - M] {] �] , �] �] \ �] R ^ ] r^ 3 �^ N _ # S_ / w_ 9 �_ # �_ r ` x` k �` 6 �` /a Ga hb �b $ �b �b �b �b 5 �b c .c G 6c ; ~c �c ) �c " �c d � #d ^ �d e e % 5e [e ae # ye �e �e
�e �e �e f f ,f If bf * wf �f �f " �f �f
g ; g Kg
Wg eg |g �g �g
�g ! �g 3 �g h
h +h Ih `h �h �h �h �h �h * �h + i
Ki ( Vi 5 i
�i �i �i I �i $j :j Oj mj �j 6 �j C �j k
k ! %k Gk & Xk * k �k �k �k ] �k / El 7 ul �l 5 �l , �l )m F ;m , �m �m � �m �n �n �n �n �n ! �n @ o . Zo . �o G �o p p !p � 7p / �p K 'q � sq } r
�r @ �r 1 �r s ! ,s Ns ! js �s �s �s �s �s �s �s !
t ,t { ?t � �t Au Nu bu xu �u X �u �u v � 3v ! -w Ow 2 aw , �w + �w �w
x 8 ,x > ex �x �x �x �x L �x @ 9y zy �y �y D �y z 6z Rz rz �z / �z 4 �z { # ${ D H{ �{ �{ �{ �{ �{ �{ 8 | C N| . �| �| �| / �| } " } . B} q} " �} �} �} �} ~ +~ J~ g~ * }~ " �~ �~ / �~ 8 2 3 k R � � + � . <� < k�
�� ! �� ( � $ � ' <� d� # }� > �� : � � 6� N� S� `�
l� % z� " ��  ʂ Ԃ < � ; .� ' j� D �� ׃ � �
� !� .� @� O� Q [� �� �� / ۄ 2 � ) >� ) h� ! �� X �� &
� : 4� & o� �� �� Y ņ 1 � Q� W� m� � $ �� < �� � - � � ; '� c� o� ( �� �� h �� � ; 5� q� }� �� �� ĉ � �� � +� C� \� h� �� 1 �� �� ފ � 2 � ( 9� 3 b� " �� : �� � � 6 0� f g� 1 Ό D � 2 E� x� �� ��
�� �� �� Ӎ " � � + � G� V� . f� �� � �� � D� � �� � � &� 2�
G� U� % i� > �� : ΐ � � ,� C� K� P� ]� ` l� : ͑ � � , "�
O� Z� n� �� �� �� Ȓ Ւ � T �� S� ' l� & �� 6 �� 7 � & *� ) Q� * {� & �� ͔ � �� # � ;� Y� o� �� �� ��
�� & ̕ � � � 0� P� f� �� �� �� E ʖ ( � ) 9� c� % j� b �� > � 2� G� X� m� " �� ( �� ) Ҙ �� � )� =� X R� , �� 3 ؙ 2 � ?� ^� q� ) �� �� ٚ 2 � " � 6� A P� ) �� ! �� $ ޛ * � .� ( M� # v� �� , �� . � ' � 0 ?� % p� + �� + - � " � ' ?� ( g� 1 �� ! � " � '� # B� * f� ( �� J �� ) � /� O� ^� A ~� 2 �� " � � " 6� Y� p� ( �� ) �� ١ �� � 9 (� % b� �� # �� % Ţ � / � 6� J� f� �� �� �� & £ � � � 5� $ O� t� �� # �� " դ $ �� % � ' C� 0 k� % �� / ¥ - � % � s F� �� Ҧ + � � "� 4� F� X� q� �� �� �� ; �� � � � � @ ��
� �� � R � n� u� �� �� $ ˩ � K
� Y� L y� N ƪ � � �� ޫ � �� � 6�
M� [� o� �� �� �� �� ެ 2 �� /� L� / V� � �� � � �� * ��
ή ܮ �� � ' <� A d� A �� A �
*� 8� & P� w� �� 6 �� " �� � � +� ! K� ! m� " �� P �� � � 3� 8� S� ! t� A �� 4 ز
� = ,� 9 j� �� ó � � ! � B� ! c� * �� �� �� �� ϴ
ٴ � �
� � 8 /� : h� 7 �� 9 ۵ � 4� ) U� " � �� 2 �� s � C c� �� �� з U � ;� w �� ^ 3� �� ; �� 7 G � = W� N �� @ � %� E 1� w�
�� �� �� �� ѻ � � � 4� M� ( g� �� �� x ˼ � D� � ! � 2� C� O� X� � \�
#� 1� 7� Q� ^� f� y� �� J �� / � @ � _� 3 k� �� �� ? � : � N� n� ' �� ( �� ) � * � 0� N� m� 4 �� �� �� � �� � �� F H� 8 �� �� " �� �� � "� 4� D� D U� �� ; �� > �� � :�
[� : f� ' �� + �� �� �� � 2 � Q� ; k� �� V �� _
� j� }� < �� �� �� @ �� #� < 3� : p� �� �� ' �� V � 5 W� �� �� K �� L �� + B�
n� y� �� �� * �� ��
� Q � ) f� �� �� : �� G �� B� Z� u� Y �� - �� � $� I 6� , �� d �� � { � �� / �� �� �� �� � � / 8� h� �� X �� �� ��
� � 1� E� [� s� �� �� �� �� �� � � 3� I� ]� y� �� �� �� �� �� � � 1� H� ^� w� �� �� �� �� �� � � 3� J� S c� 0 �� L �� 5� A D� �� �� & �� �� �� 9 �� (� B D� / �� 3 �� ? �� +� ! <� ^� n� �� �� �� ��
��
�� 9 �� +� A� ]� ~� �� � �� 5 �� I �� , � C� & Z� �� �� L �� �� ' � E .� 9 t� + �� $ �� " �� ) "� B L� , �� G �� �
� ' +�
S� 8 a� ) �� 0 �� ? �� , 5� b� $ �� # �� ! �� �� - � C 7� 6 {� , �� ! �� + � % -� 1 S� �� 7 �� : �� O � 2 f� 3 �� + �� D �� . >� # m� & �� 0 �� * �� 8 � - M� , {� > �� ; �� & #� F J� �� �� �� - �� 1 � ( 3� \� |� �� � �� 7 G� E � @ �� / � 4 6� k� , ~� , �� $ �� �� O � d� t� �� E ��
�� �� ! � " *� - M� ^ {� �� �� ��
� W � M x� R �� M � N g� P �� W � V _�
�� $ �� # �� V
� + a� % �� / �� 5 �� ) �
C� ? N� 8 �� Q �� g � �� �� �� �� �� �� & �� "
� -� D 6� {� �
��
�� �� U ��
� �
/� =� P V� A �� �� B �� 3� E� U� ? n� 2 �� �� �� � ( '� P� ]� + y� �� �� �� �� �� � +� I D� D �� & � �� � � .� � J� E � +� @� " M� p�
z� �� �� # �� � # � � 3� @� O� Y�
f�
q� � �� �� �� $ �� � � � #� 2� D� B L� �� �� �� 3 � � 3 � % F� % l� �� �� ! � � �� � 5 /� e� |� �� % �� & � �� � ,� ?� # W� ! {� �� �� � �� � " 2� U� * t� �� �� < �
� � !� 5�
H� : V� : �� � � = �� 4� # I� m� �� �� �� �� � # � - F O T m � F � _ � ` F � � � � � F � @ : I G � � � � ? * R } - �
� � � 0 3 | < I � . % J 2 p R � & � 4 L Q f � ! ' B
T b s { ! � � � J M 6 � � $ � ! # 4 X i . � * � G � % )
! O
, q
9 �
1 �
5 + � a � d @ v N �
%
5
# E
i
�
�
�
�
�
I ? c � � � � ( < X _ r z ! � � � � � $ � - L V s � � � � �
� � * J `
p {
� � � - � � � � �
� ) � ! �
+
9 G g 7 � 8 � 0 �
( 6 I ( V � � + � B �
' 5 @ S � � ( � � , � / <
J � Y � 7 C � @ 2 ) s : � ! � > � l 9 Z � > @ - S F � 4 � % � ) # 5 M * � n � L 5 j � � 6 = 5 t H � + � X K x N � � � ] Z! % �! 6 �! " H 2" , {" � �" _ 7# , �# �# 0 �# $ ! *$ L$ m$ & �$ / �$ �$ B �$ < <% F y% �% 5 �% & ' & 8 C& |& �& / �& @ �& ' ' z 5' - �' �' + �' ( 0( . P( ( + �( �( �( G �( 3) * T) ) 3 �) 5 �) �) �) * &* < 8* u* � �* L O+ �+ �+ ( �+
�+ / , 4, N, A S, U �,
�, K �, E- I- U- Y- ]- b- ( - F �- / �- n . ' �. � �. " D/ 9 g/ + �/ $ �/ I �/ e <0 I �0 ' �0 & 1 . ;1 j1 H �1 - �1 * 2 / -2 # ]2 4 �2 ( �2 ( �2 ) 3 23 " H3 k3 u3 �3 �3 ! �3
�3 �3 # �3 4 44 @4 U4 g4 w4
�4 �4 5 �4 P �4 75
?5 M5
`5 N n5 �5 �5 �5 / �5 +6 A6 , S6 1 �6 , �6 6 �6 7 )7 <7 N7 i7 �7 - �7 B �7 _ 8 p8 �8 �8 $ �8 # �8 $ �8 " 9 =9 ' [9 ' �9 + �9 * �9 : :
: -: <: V: o: x: �: �: �: �: �: 1 �: * ; 1 :; L l; �; $ �; q �; + ]< < �< �< 6 �< + = 3= 5 O= ? �= �= 2 �= [ > q> �> �> �> �> / �> �> ) ? . <? 9 k? �? ; �? a �? ) `@ 1 �@ h �@ I %A oA 8 �A A �A 3 B 9B NB dB ~B �B �B �B ( �B 1 �B 'C % ;C * aC . �C # �C ! �C D # D * ;D 2 fD $ �D ] �D d E / �E ' �E O �E : )F 4 dF \ �F 1 �F 7 (G `G I yG �G �G - �G + H 4 JH 3 H + �H * �H 1
I 0 <I = mI < �I 2 �I 2 J . NJ - }J o �J % K . AK pK 8 �K �K �K �K , L @L LL YL 0 fL 3 �L �L �L L �L = @M : ~M �M
�M �M �M G �M / 4N 0 dN T �N < �N 'O >O , PO 1 }O , �O F �O $ #P I HP < �P > �P M Q \Q � tQ 9 S � NS - T JT ]T 1 cT �T �T S �T
�T U U | .U �U D �U �U 8 V >V GV [V tV # �V �V �V # �V Q �V QW nW �W �W �W �W �W X 7 6X 4 nX �X �X ( �X Y $Y - 0Y ^Y sY + �Y �Y & �Y H Z IZ cZ �Z �Z �Z �Z 2 �Z [
6[ D[ ' S[ {[ & �[ $ �[
�[ �[ �[ \ \ 4\ . G\ v\ �\ �\ �\ / �\ E ]
J] X] o] �] �] �] �] . �] ^ /^ A^ , T^ 0 �^ " �^ �^ �^ _ ! !_ C_ $ X_ ( }_ , �_ �_ �_ ` % ` * :` e` t r`
�` * �` * a 2 Ka 4 ~a 2 �a E �a ,b ) Fb n pb �b �b * c j >c 1 �c G �c E #d id ! �d ! �d �d a �d 2 3e i fe �e $ �e ' f / 7f gf sf �f % �f �f �f �f �f 6 g 9g 2 Tg 9 �g \ �g
h )h <h Hh H ch ! �h 3 �h ( i +i \ ?i �i �i �i V �i S 2j ( �j / �j Q �j 1k 5k ;k Ok W gk �k �k �k � l �l �l �l �l �l
m
m m ) m ? Jm �m ( �m $ �m �m �m n ( n Dn Qn gn
~n
�n �n . �n : �n 7
o V Eo ! �o �o �o �o �o p 3p Ip
[p P fp B �p �p 3 q Mq lq pq xq Z �q �q C �q : =r xr �r f � = � � L g � � � C F � � # Q b � � � 8 � � 1 P �
% 2 � : � | � ( "
� a � � T \ � [ � L M f i � � B $ � S � � �
! � �
C
C u W n � �
_ � � � O � " U � � � � 0 � � c � : Z R � � P � � � � � V p
� % � � X o * T � H � � $ � � � � : � � : � y = � � > � o � � � �
� � � � � � w � � h � k � [ � � � Q � _ � � d � � � � y � �
m
� � � � S � ? � ~ � � V �
� � � ` h � \ k � � � n @ r � � ? � � � . � | ;
|
� � � � e & j � C N � 6 B . / � � �
� V � � < � � � � Q 7 � � 0 � � a � I h : � � � o b k �
l 0 I R & � [ � � U ^
C � � � � � { � F = �
� - � P �
_ � �
� � g � � � ?
@
� � j
P
� � � v & � L � < � u G R ? � � � � � � C n � k � � d > � � � � � ~ c
� 8
�
6 I V [
� � t x � � < � � � � � � # � j � Z ? �
� � � Y " , ' ]
n 9 j � � � � / � � 9
t �
� � � i
� r - m ; _ � � � � � / X � � @ � � � 9 l � / 8
� � � K � , q � � �
� � � f � ' n � � ` v
h
r Z , � < � * g � � g
� � { � � ; � I � � S � � � ^ � � � ; z � D � G � ? �
�
� � � � � {
9 L � � + � s � # � I � � � x # S !
� � � � S E X � J X G � � ^ - � � z
� * t �
� � f ] � � u � 3 � 3 O �
O ; t � 7 � � � x B
W l 5 C � # 8 & � 4 � � � � � � f � � @ W � > b z
� � � � a � � � o t � � � < M c � � � � 5
� A c � B 3 � � g ) � ( � c �
� � � ) S � � � . | � > � � " W W � S �
� � r � � � E � � ] w � } f � = � � Y � � � > ) f � � J P � � \
$ M �
� O r � � � y � � h � � c � � r K � � � � � � � � � � � � 2
_ � ! � � ? � q - � � � � i /
� � x c : H ! { i � � R � � � f
{ � ^ � g P ] � �
A � � �
* � t N � � � � �
� Y 9 � � ( �
q � �
� 2 � H � 1 �
�
E B w � � � h V � � � � 0 � � [ � � l � � �
� u � c
� 7 4 � � s � � � � � � � = 0 � A ~ � ^ � � � �
� j � �
� � �
� � �
)
� �
� _ -
E �
� � 8 6 �
� � # � i � F � � \ / � 5 � � M P | >
� W z � *
- � F
�
Q = � � � 7 � � *
� $
< q * � j 3 � � D A
z | ' � � � � � � � � q t � � T
� � � � j y � u ) � � W �
[ . � a W �
N q
� �
r
� � � > � ( K � v � � � � � �
� � u z � Y � � x 2 � & � u � � � � y e E � � c ] N � 2 � � � s � ) ^ � � � * � � � � � �
� J 0 �
. � \ v � � _ � } � \ F � H # a L � +
�
� � {
� � 1 _ � - ^ 8 Q X s � � � � ' _ Z � Y
~ �
� � S 9 � : + � ` 3 6 � P � �
k } � �
� < x r I � � J �
+ � � F � � , � m ' � , � 4 � � � p � � �
� � � �
� ; � �
� � � � n m K � � � | � � [
� � � � % g � e w � � � � 8 �
� �
� � �
e
| � ( � C i � t � {
� Z � � h g " � � � � � ( � + � H � � � B � �
l Z � � � � V H 4 y
B
z L
s
� <
� � � � � � A v T
2 d h w G q � � � � � � �
� �
� � � 1 �
� t V
� �
� �
� � � � � � � � � � � q ) �
R � � D � { 3 � � � z ^ � ; y � � � 6 m ! E a � � � + U e � �
� � � ( q K �
U
�
� � � �
� q � R � � =
� � � ; � � � � ` 2 � o � X � �
a � C
� = � n �
~ � � O
� � � R � Q � � � � 0 � � � � � G � T � � � P 3 � q �
L � 6 � � � F � � � � � � � � � � X � � � G � � y � O � n � � S � � 3 ( � Y � W Q
� � k � K
� � m � �
4
� � � �
� 0 �
� � n � _ � 3 � C � D � �
� � � � 1
� b s �
� � K k |
| � � � � � - � � v s
� � � � H { � a
U � � / f � � ? p 3 : � } � � ? � p � N � � - y 2 � � N � ? � � � M � � } � < � � ( � Y }
� �
� 4 � � 9 z o � T �
K � � � - P � � � � p
, D � � j � (
� � � , . } d
� � �
w � � �
& % �
e ~ � � � � h @ �
n �
� � ! � 5 T � � �
� � � _ � �
� % � N � J " � ( n U � Z
j F d ] � � � � Z � 5 �
� � � � x u � � � � � � R
Z � 7 � r
� f ; � . K + K s � � � �
[ t � � � �
� � p � � D
$ �
� �
� � �
� � � � ~ * O ` � � L { : � 7
b � � � > v � ^ \ V 1 z �
�
� 5 � � F Y
. � 1 � ' ] U � Z �
� O � 8 � J d � � � � � � x
� � \ Y � � �
� � } U � � X � � O � k s � + � � $ % 3
� ^ J
! � � 6 � � � @ � � '
� � @
m
R d �
p 6 $ �
� � � :
� � �
�
� � � � � M � � 9 � � x 7 � �
T ' � � � H
� ] H � � # L � I N 7 b A . � � o � �
@ � � O \ � � � F � 3 � �
@ p N �
7 � @ � m <
� 9 ` ,
� � � � 1 e �
� � 1 � 8 � � � & � � � i R �
x �
� � J u
l � � � � S
�
� = w � �
� i [ � � � D �
A � � 7 � � � �
� �
� / � � � 9 � � ~ � " � � c I " V � � b
� = 0 a e � � z " �
� W t
�
& k r � y ] �
8 � 4 � � � E
� � � % 1 �
� F � X m � M ! � A � � > � � G # � � .
� A � T � � W
g � N � g � � � � � ] 6
� � � � � � { i
� b �
l , � � < } U � � F M � � ' � � � � �
� � � � G � � � � � � T i J i � I � � < w � x 2 � f � � � G � # � � 0 � � ( Q � h ? � � ! � � � M l � D � � � �
! � � �
� ~ � I � Q � R n
� k J � N ^ | � � � � � � � { � I
� � � �
H � �
o � C T y � 1 B � Q � �
E [ � � :
o Y � �
s C ' ^ � . b 9 l l ) � j f � � = � �
� } h � � � � L � � � � � � � �
� � �
� � �
&
� � � 2 � � q � � �
� � � � � r �
b � M � � �
d v � # � � � � 0
� � � � ; � K E D � � $ � � � � a ` u � & � P � � B � � ! � � >
` D ! � � � � � �
� � 5 � � � 8 / � �
A | � � j � i 7 " u � � � � � � � � / � 4 ` + M � � � � $ I �
� � � > � X
J $ � E � D %
" U � � � j
l
� ] * � � e , - � � b ) �
H � � � � � p � � � � v �
5 � � � � � � � d � % � * �
9 " � t �
�
� � D � � 0 R G + � � � A � K � � � k � � � � � Y � % � ` & c Q � � - �
� � � 2 5 m A � � � � o ~
� � \ } h � k
� �
� � Z �
�
& � � [ � � ~ + 5 S � p w � � � U � � v v s � 4 �
H � % � r 6 � � S B � � g � � � �
} � s � � � X � 7 ] z ' � / � � � � 5 � 5 � � � L $ � � U � � �
�
� � � � � ; Q � ) O � @ �
�
� ~ � � � � � � \ � � � [ a � M
4 d / . � � T � m + � y 8 � , ) � � � �
� V v ` 6 � � � X � % 1 = u p � �
� � � Z � 6 � , � �
� � � w
o � � � `
B d � : � � � � � 4 ? � g � � @ � � � B � \ w P � _
� 4 O ' � � � �
V � � L � � � � e G
�
� � � w �
x � � a > d p
N
*
W 2 � � � m J #
Y � G � � � � e $ ; � l � � � � � ) E � � V � � � b � � e � � � c � � �
E o
�
EXAMPLES:
GLOBAL DNS CONFIGURATION
Override this so we can add completed and failed to the return result.
Override this so we can set completed and failed.
Add an automember rule.
Add conditions to an automember rule.
Delete an automember rule.
Display information about an automember rule.
Lockout status of a user account
An account may become locked if the password is entered incorrectly too
many times within a specific time period as controlled by password
policy. A locked account is a temporary condition and may be unlocked by
an administrator.
This connects to each IPA master and displays the lockout status on
each one.
To determine whether an account is locked on a given server you need
to compare the number of failed logins and the time of the last failure.
For an account to be locked it must exceed the maxfail failures within
the failinterval duration as specified in the password policy associated
with the user.
The failed login counter is modified only when a user attempts a log in
so it is possible that an account may appear locked but the last failed
login attempt is older than the lockouttime of the password policy. This
means that the user may attempt a login again.
Modify a trust (for future use).
Currently only the default option to modify the LDAP attributes is
available. More specific options will be added in coming releases.
Modify an automember rule.
Modify realm domains
DNS check: When manually adding a domain to the list, a DNS check is
performed by default. It ensures that the domain is associated with
the IPA realm, by checking whether the domain has a _kerberos TXT record
containing the IPA realm name. This check can be skipped by specifying
--force option.
Removal: when a realm domain which has a matching DNS zone managed by
IPA is being removed, a corresponding _kerberos TXT record in the zone is
removed automatically as well. Other records in the zone or the zone
itself are not affected.
Remove conditions from an automember rule.
Search for automember rules.
Search for users matching the provided certificate.
This command relies on SSSD to retrieve the list of matching users and
may return cached data. For more information on purging SSSD cache,
please refer to sss_cache documentation.
Unlock a user account
An account may become locked if the password is entered incorrectly too
many times within a specific time period as controlled by password
policy. A locked account is a temporary condition and may be unlocked by
an administrator.
This is the equivalent of:
ipa dnszone-mod example.com --dynamic-update=TRUE \
--update-policy="grant EXAMPLE.COM krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM krb5-self * SSHFP;"
Add location:
ipa location-add location --description 'My location'
Delete location:
ipa location-del location
Find all locations:
ipa location-find
Find all servers:
ipa server-find
Show configuration of a specific DNS server:
ipa dnsserver-show
Show implicit IPA master role:
ipa server-role-find --include-master
Show specific location:
ipa location-show location
Show specific server:
ipa server-show ipa.example.com
Show status of 'DNS server' role on a server:
ipa server-role-show ipa.example.com "DNS server"
Show status of all configured roles on a server:
ipa server-role-find ipa.example.com
Show status of all roles containing 'AD' on a server:
ipa server-role-find --server ipa.example.com --role="AD trust controller"
Update configuration of a specific DNS server:
ipa dnsserver-mod
Add LOC record for example.com:
ipa dnsrecord-add example.com @ --loc-rec="49 11 42.4 N 16 36 29.6 E 227.64m"
Add a host that can manage this host's keytab and certificate:
ipa host-add-managedby --hosts=test2 test
Add a mail server for example.com:
ipa dnsrecord-add example.com @ --mx-rec="10 mail1"
Add a new host with a one-time password:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com
Add a new host with a random one-time password:
ipa host-add --os='Fedora 12' --random test.example.com
Add a new host:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com
Add a new server:
ipa radiusproxy-add MyRADIUS --server=radius.example.com:1812
Add a new token:
ipa otptoken-add --type=totp --owner=jdoe --desc="My soft token"
Add a new token:
ipa otptoken-add-yubikey --owner=jdoe --desc="My YubiKey"
Add a permission that grants the ability to manage group membership:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"
Add a permission that grants the creation of users:
ipa permission-add --type=user --permissions=add "Add Users"
Add another record using MX record specific options:
ipa dnsrecord-add example.com @ --mx-preference=20 --mx-exchanger=mail2
Add another record using interactive mode (started when dnsrecord-add, dnsrecord-mod,
or dnsrecord-del are executed with no options):
ipa dnsrecord-add example.com @
Please choose a type of DNS resource record to be added
The most common types for this type of zone are: NS, MX, LOC
DNS resource record type: MX
MX Preference: 30
MX Exchanger: mail3
Record name: example.com
MX record: 10 mail1, 20 mail2, 30 mail3
NS record: nameserver.example.com., nameserver2.example.com.
Add new A record for www.example.com. Create a reverse record in appropriate
reverse zone as well. In this case a PTR record "2" pointing to www.example.com
will be created in zone 2.0.192.in-addr.arpa.
ipa dnsrecord-add example.com www --a-rec=192.0.2.2 --a-create-reverse
Add new PTR record for www.example.com
ipa dnsrecord-add 2.0.192.in-addr.arpa. 2 --ptr-rec=www.example.com.
Add new SRV records for LDAP servers. Three quarters of the requests
should go to fast.example.com, one quarter to slow.example.com. If neither
is available, switch to backup.example.com.
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 3 389 fast.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 1 389 slow.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="1 1 389 backup.example.com"
Add new reverse zone specified by network IP address:
ipa dnszone-add --name-from-ip=192.0.2.0/24
Add new zone:
ipa dnszone-add example.com --admin-email=admin@example.com
Add second nameserver for example.com:
ipa dnsrecord-add example.com @ --ns-rec=nameserver2.example.com
Add system permission that can be used for per-zone privilege delegation:
ipa dnszone-add-permission example.com
After this modification, three fifths of the requests should go to
fast.example.com and two fifths to slow.example.com.
Allow user to create a keytab:
ipa host-allow-create-keytab test2 --users=tuser1
Allow user to create a keytab:
ipa service-allow-create-keytab HTTP/web.example.com --users=tuser1
An example of the interactive mode for dnsrecord-del command:
ipa dnsrecord-del example.com www
No option to delete specific record provided.
Delete all? Yes/No (default No): (do not delete all records)
Current DNS record contents:
A record: 192.0.2.2, 192.0.2.3
Delete A record '192.0.2.2'? Yes/No (default No):
Delete A record '192.0.2.3'? Yes/No (default No): y
Record name: www
A record: 192.0.2.2 (A record 192.0.2.3 has been deleted)
Change forward-policy for external.example.com:
ipa dnsforwardzone-mod external.example.com --forward-policy=only
Change the secret:
ipa radiusproxy-mod MyRADIUS --secret
Change the vendor:
ipa otptoken-mod a93db710-a31a-4639-8647-f15b2c70b78a --vendor="Red Hat"
Check the status of a signing request:
ipa cert-status 10
Create a new Certificate Identity Mapping Rule:
ipa certmaprule-add rule1 --desc="Link certificate with subject and issuer"
Delegate zone sub.example to another nameserver:
ipa dnsrecord-add example.com ns.sub --a-rec=203.0.113.1
ipa dnsrecord-add example.com sub --ns-rec=ns.sub.example.com.
Delete a Certificate Identity Mapping Rule:
ipa certmaprule-del rule1
Delete a configuration:
ipa radiusproxy-del MyRADIUS
Delete a host:
ipa host-del test.example.com
Delete a token:
ipa otptoken-del a93db710-a31a-4639-8647-f15b2c70b78a
Delete forward zone external.example.com:
ipa dnsforwardzone-del external.example.com
Delete previously added nameserver from example.com:
ipa dnsrecord-del example.com @ --ns-rec=nameserver2.example.com.
Delete zone example.com with all resource records:
ipa dnszone-del example.com
Disable a Certificate Identity Mapping Rule:
ipa certmaprule-disable rule1
Disable global forwarding for given sub-tree:
ipa dnszone-mod example.com --forward-policy=none
Disable the host Kerberos key, SSL certificate and all of its services:
ipa host-disable test.example.com
Display information about a Certificate Identity Mapping Rule:
ipa certmaprule-show rule1
Display the Certificate Identity Mapping global configuration:
ipa certmapconfig-show
Enable a Certificate Identity Mapping Rule:
ipa certmaprule-enable rule1
Examine the configuration:
ipa radiusproxy-show MyRADIUS
Examine the token:
ipa otptoken-show a93db710-a31a-4639-8647-f15b2c70b78a
Find A records with value 192.0.2.2 in zone example.com
ipa dnsrecord-find example.com --a-rec=192.0.2.2
Find all Certificate Identity Mapping Rules with the specified domain:
ipa certmaprule-find --domain example.com
Find all servers whose entries include the string "example.com":
ipa radiusproxy-find example.com
Find records for resources with "www" in their name in zone example.com:
ipa dnsrecord-find example.com www
Find zone with "example" in its domain name:
ipa dnszone-find example
Forward all requests for the zone external.example.com to another forwarder
using a "first" policy (it will send the queries to the selected forwarder
and if not answered it will use global root servers):
ipa dnsforwardzone-add external.example.com --forward-policy=first \
--forwarder=203.0.113.1
Generate and retrieve a keytab for an IPA service:
ipa-getkeytab -s ipa.example.com -p HTTP/web.example.com -k /etc/httpd/httpd.keytab
If a global forwarder is configured, all queries for which this server is not
authoritative (e.g. sub.example.com) will be routed to the global forwarder.
Global forwarding configuration can be overridden per-zone.
List all forward zones:
ipa dnsforwardzone-find
List vaults:
ipa vault-find
[--user <user>|--service <service>|--shared]
Modify Certificate Identity Mapping global configuration:
ipa certmapconfig-mod --promptusername=TRUE
Modify a Certificate Identity Mapping Rule:
ipa certmaprule-mod rule1 --maprule="<ALT-SEC-ID-I-S:altSecurityIdentities>"
Modify global DNS configuration and set a list of global forwarders:
ipa dnsconfig-mod --forwarder=203.0.113.113
Modify information about a host:
ipa host-mod --os='Fedora 12' test.example.com
Modify the zone to allow dynamic updates for hosts own records in realm EXAMPLE.COM:
ipa dnszone-mod example.com --dynamic-update=TRUE
Modify the zone to allow zone transfers for local network only:
ipa dnszone-mod example.com --allow-transfer=192.0.2.0/24
Remove SSH public keys of a host and update DNS to reflect this change:
ipa host-mod --sshpubkey= --updatedns test.example.com
Remove a certificate from revocation hold status:
ipa cert-remove-hold 1032
Request a new certificate and add the principal:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr
Resolve a host name to see if it exists (will add default IPA domain
if one is not included):
ipa dns-resolve www.example.com
ipa dns-resolve www
Retrieve an existing certificate:
ipa cert-show 1032
Revoke a certificate (see RFC 5280 for reason details):
ipa cert-revoke --revocation-reason=6 1032
Search for certificates by hostname:
ipa cert-find --subject=ipaserver.example.com
Semantics of forwarding in IPA matches BIND semantics and depends on the type
of zone:
* Master zone: local BIND replies authoritatively to queries for data in
the given zone (including authoritative NXDOMAIN answers) and forwarding
affects only queries for names below zone cuts (NS records) of locally
served zones.
* Forward zone: forward zone contains no authoritative data. BIND forwards
queries, which cannot be answered from its local cache, to configured
forwarders.
Semantics of the --forward-policy option:
* none - disable forwarding for the given zone.
* first - forward all queries to configured forwarders. If they fail,
do resolution using DNS root servers.
* only - forward all queries to configured forwarders and if they fail,
return failure.
Show forward zone external.example.com:
ipa dnsforwardzone-show external.example.com
Show global DNS configuration:
ipa dnsconfig-show
Show records for resource www in zone example.com
ipa dnsrecord-show example.com www
Show zone example.com:
ipa dnszone-show example.com
The interactive mode can be used for easy modification:
ipa dnsrecord-mod example.com _ldap._tcp
No option to modify specific record provided.
Current DNS record contents:
SRV record: 0 3 389 fast.example.com, 0 1 389 slow.example.com, 1 1 389 backup.example.com
Modify SRV record '0 3 389 fast.example.com'? Yes/No (default No):
Modify SRV record '0 1 389 slow.example.com'? Yes/No (default No): y
SRV Priority [0]: (keep the default value)
SRV Weight [1]: 2 (modified value)
SRV Port [389]: (keep the default value)
SRV Target [slow.example.com]: (keep the default value)
1 SRV record skipped. Only one value per DNS record type can be modified at one time.
Record name: _ldap._tcp
SRV record: 0 3 389 fast.example.com, 1 1 389 backup.example.com, 0 2 389 slow.example.com
This configuration forwards all queries for names outside the example.com
sub-tree to global forwarders. Normal recursive resolution process is used
for names inside the example.com sub-tree (i.e. NS records are followed etc.).
* A permission grants access to read, write, add, delete, read, search,
or compare.
* A privilege combines similar permissions (for example all the permissions
needed to add a user).
* A role grants a set of privileges to users, groups, hosts or hostgroups.
* The host must exist
* The service must exist (or you use the --add option to automatically add it)
A certificate is stored with a service principal and a service principal
needs a host.
A condition is a regular expression used by 389-ds to match a new incoming
entry with an automember rule. If it matches an inclusive rule then the
entry is added to the appropriate group or hostgroup.
A default group or hostgroup could be specified for entries that do not
match any rule. In case of user entries this group will be a fallback group
because all users are by default members of group specified in IPA config.
A permission enables fine-grained delegation of rights. A permission is
a human-readable wrapper around a 389-ds Access Control Rule,
or instruction (ACI).
A permission grants the right to perform a specific task such as adding a
user, modifying a group, etc.
A permission is made up of a number of different parts:
1. The name of the permission.
2. The target of the permission.
3. The rights granted by the permission.
A permission may not contain other permissions.
A rule is directly associated with a group by name, so you cannot create
a rule without an accompanying group or hostgroup.
Add new ID range.
To add a new ID range you always have to specify
--base-id
--range-size
Additionally
--rid-base
--secondary-rid-base
may be given for a new ID range for the local domain while
--rid-bas
--dom-sid
must be given to add a new range for a trusted AD domain.
WARNING:
DNA plugin in 389-ds will allocate IDs based on the ranges configured for the
local domain. Currently the DNA plugin *cannot* be reconfigured itself based
on the local ranges set via this family of commands.
Manual configuration change has to be done in the DNA plugin configuration for
the new local range. Specifically, The dnaNextRange attribute of 'cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config' has to be
modified to match the new range.
Add new trust to use.
This command establishes trust relationship to another domain
which becomes 'trusted'. As result, users of the trusted domain
may access resources of this domain.
Only trusts to Active Directory domains are supported right now.
The command can be safely run multiple times against the same domain,
this will cause change to trust relationship credentials on both
sides.
Note that if the command was previously run with a specific range type,
or with automatic detection of the range type, and you want to configure a
different range type, you may need to delete first the ID range using
ipa idrange-del before retrying the command with the desired range type.
Additionally, there are the following convenience options.
Setting one of these options will set the corresponding attribute(s).
1. type: a type of object (user, group, etc); sets subtree and target filter.
2. memberof: apply to members of a group; sets target filter
3. targetgroup: grant access to modify a specific group (such as granting
the rights to manage group membership); sets target.
All CAs except the 'IPA' CA can be disabled or re-enabled. Disabling a CA
prevents it from issuing certificates but does not affect the validity of its
certificate.
Asymmetric vault is similar to the standard vault, but it
pre-encrypts the secret using a public key before transport.
The secret can only be retrieved using the private key.
Auto Membership Rule.
Automount
Stores automount(8) configuration for autofs(8) in IPA.
The base of an automount configuration is the configuration file auto.master.
This is also the base location in IPA. Multiple auto.master configurations
can be stored in separate locations. A location is implementation-specific
with the default being a location named 'default'. For example, you can have
locations by geographic region, by floor, by type, etc.
Automount has three basic object types: locations, maps and keys.
A location defines a set of maps anchored in auto.master. This allows you
to store multiple automount configurations. A location in itself isn't
very interesting, it is just a point to start a new automount map.
A map is roughly equivalent to a discrete automount file and provides
storage for keys.
A key is a mount point associated with a map.
When a new location is created, two maps are automatically created for
it: auto.master and auto.direct. auto.master is the root map for all
automount maps for the location. auto.direct is the default map for
direct mounts and is mounted on /-.
An automount map may contain a submount key. This key defines a mount
location within the map that references another map. This can be done
either using automountmap-add-indirect --parentmap or manually
with automountkey-add and setting info to "-type=autofs :<mapname>".
EXAMPLES:
Locations:
Create a named location, "Baltimore":
ipa automountlocation-add baltimore
Display the new location:
ipa automountlocation-show baltimore
Find available locations:
ipa automountlocation-find
Remove a named automount location:
ipa automountlocation-del baltimore
Show what the automount maps would look like if they were in the filesystem:
ipa automountlocation-tofiles baltimore
Import an existing configuration into a location:
ipa automountlocation-import baltimore /etc/auto.master
The import will fail if any duplicate entries are found. For
continuous operation where errors are ignored, use the --continue
option.
Maps:
Create a new map, "auto.share":
ipa automountmap-add baltimore auto.share
Display the new map:
ipa automountmap-show baltimore auto.share
Find maps in the location baltimore:
ipa automountmap-find baltimore
Create an indirect map with auto.share as a submount:
ipa automountmap-add-indirect baltimore --parentmap=auto.share --mount=sub auto.man
This is equivalent to:
ipa automountmap-add-indirect baltimore --mount=/man auto.man
ipa automountkey-add baltimore auto.man --key=sub --info="-fstype=autofs ldap:auto.share"
Remove the auto.share map:
ipa automountmap-del baltimore auto.share
Keys:
Create a new key for the auto.share map in location baltimore. This ties
the map we previously created to auto.master:
ipa automountkey-add baltimore auto.master --key=/share --info=auto.share
Create a new key for our auto.share map, an NFS mount for man pages:
ipa automountkey-add baltimore auto.share --key=man --info="-ro,soft,rsize=8192,wsize=8192 ipa.example.com:/shared/man"
Find all keys for the auto.share map:
ipa automountkey-find baltimore auto.share
Find all direct automount keys:
ipa automountkey-find baltimore --key=/-
Remove the man key from the auto.share map:
ipa automountkey-del baltimore auto.share --key=man
Based on the ownership there are three vault categories:
* user/private vault
* service vault
* shared vault
Based on the security mechanism there are three types of
vaults:
* standard vault
* symmetric vault
* asymmetric vault
Bring clarity to the membership of hosts and users by configuring inclusive
or exclusive regex patterns, you can automatically assign a new entries into
a group or hostgroup based upon attribute information.
CAs (all except the 'IPA' CA) can be deleted. Deleting a CA causes its signing
certificate to be revoked and its private key deleted.
CAs are enabled on creation, but their use is subject to CA ACLs unless the
operator has permission to bypass CA ACLs.
Certificate Identity Mapping
Certificate requests exist in the form of a Certificate Signing Request (CSR)
in PEM format.
Certificates may be searched on by certificate subject, serial number,
revocation reason, validity dates and the issued date.
Cross-realm trusts
Manage trust relationship between IPA and Active Directory domains.
In order to allow users from a remote domain to access resources in IPA domain,
trust relationship needs to be established. Currently IPA supports only trusts
between IPA and Active Directory domains under control of Windows Server 2008
or later, with functional level 2008 or later.
Please note that DNS on both IPA and Active Directory domain sides should be
configured properly to discover each other. Trust relationship relies on
ability to discover special resources in the other domain via DNS records.
Examples:
1. Establish cross-realm trust with Active Directory using AD administrator
credentials:
ipa trust-add --type=ad <ad.domain> --admin <AD domain administrator> --password
2. List all existing trust relationships:
ipa trust-find
3. Show details of the specific trust relationship:
ipa trust-show <ad.domain>
4. Delete existing trust relationship:
ipa trust-del <ad.domain>
Once trust relationship is established, remote users will need to be mapped
to local POSIX groups in order to actually use IPA resources. The mapping
should be done via use of external membership of non-POSIX group and then
this group should be included into one of local POSIX groups.
Example:
1. Create group for the trusted domain admins' mapping and their local POSIX
group:
ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins
2. Add security identifier of Domain Admins of the <ad.domain> to the
ad_admins_external group:
ipa group-add-member ad_admins_external --external 'AD\Domain Admins'
3. Allow members of ad_admins_external group to be associated with
ad_admins POSIX group:
ipa group-add-member ad_admins --groups ad_admins_external
4. List members of external members of ad_admins_external group to see
their SIDs:
ipa group-show ad_admins_external
GLOBAL TRUST CONFIGURATION
When IPA AD trust subpackage is installed and ipa-adtrust-install is run, a
local domain configuration (SID, GUID, NetBIOS name) is generated. These
identifiers are then used when communicating with a trusted domain of the
particular type.
1. Show global trust configuration for Active Directory type of trusts:
ipa trustconfig-show --type ad
2. Modify global configuration for all trusts of Active Directory type and set
a different fallback primary group (fallback primary group GID is used as a
primary user GID if user authenticating to IPA domain does not have any
other primary GID already set):
ipa trustconfig-mod --type ad --fallback-primary-group "another AD group"
3. Change primary fallback group back to default hidden group (any group with
posixGroup object class is allowed):
ipa trustconfig-mod --type ad --fallback-primary-group "Default SMB Group"
DNS configuration passed to command line install script is stored in a local
configuration file on each IPA server where DNS service is configured. These
local settings can be overridden with a common configuration stored in LDAP
server:
DNS server configuration
Dates are treated as GMT to match the dates in the certificates.
Deleting or renaming a managed permission, as well as changing its target,
is not allowed.
Directory Server Access Control Instructions (ACIs)
ACIs are used to allow or deny access to information. This module is
currently designed to allow, not deny, access.
The aci commands are designed to grant permissions that allow updating
existing entries or adding or deleting new ones. The goal of the ACIs
that ship with IPA is to provide a set of low-level permissions that
grant access to special groups called taskgroups. These low-level
permissions can be combined into roles that grant broader access. These
roles are another type of group, roles.
For example, if you have taskgroups that allow adding and modifying users you
could create a role, useradmin. You would assign users to the useradmin
role to allow them to do the operations defined by the taskgroups.
You can create ACIs that delegate permission so users in group A can write
attributes on group B.
The type option is a map that applies to all entries in the users, groups or
host location. It is primarily designed to be used when granting add
permissions (to write new entries).
An ACI consists of three parts:
1. target
2. permissions
3. bind rules
The target is a set of rules that define which LDAP objects are being
targeted. This can include a list of attributes, an area of that LDAP
tree or an LDAP filter.
The targets include:
- attrs: list of attributes affected
- type: an object type (user, group, host, service, etc)
- memberof: members of a group
- targetgroup: grant access to modify a specific group. This is primarily
designed to enable users to add or remove members of a specific group.
- filter: A legal LDAP filter used to narrow the scope of the target.
- subtree: Used to apply a rule across an entire set of objects. For example,
to allow adding users you need to grant "add" permission to the subtree
ldap://uid=*,cn=users,cn=accounts,dc=example,dc=com. The subtree option
is a fail-safe for objects that may not be covered by the type option.
The permissions define what the ACI is allowed to do, and are one or
more of:
1. write - write one or more attributes
2. read - read one or more attributes
3. add - add a new entry to the tree
4. delete - delete an existing entry
5. all - all permissions are granted
Note the distinction between attributes and entries. The permissions are
independent, so being able to add a user does not mean that the user will
be editable.
The bind rule defines who this ACI grants permissions to. The LDAP server
allows this to be any valid LDAP entry but we encourage the use of
taskgroups so that the rights can be easily shared through roles.
For a more thorough description of access controls see
http://www.redhat.com/docs/manuals/dir-server/ag/8.0/Managing_Access_Control.html
EXAMPLES:
NOTE: ACIs are now added via the permission plugin. These examples are to
demonstrate how the various options work but this is done via the permission
command-line now (see last example).
Add an ACI so that the group "secretaries" can update the address on any user:
ipa group-add --desc="Office secretaries" secretaries
ipa aci-add --attrs=streetAddress --memberof=ipausers --group=secretaries --permissions=write --prefix=none "Secretaries write addresses"
Show the new ACI:
ipa aci-show --prefix=none "Secretaries write addresses"
Add an ACI that allows members of the "addusers" permission to add new users:
ipa aci-add --type=user --permission=addusers --permissions=add --prefix=none "Add new users"
Add an ACI that allows members of the editors manage members of the admins group:
ipa aci-add --permissions=write --attrs=member --targetgroup=admins --group=editors --prefix=none "Editors manage admins"
Add an ACI that allows members of the admins group to manage the street and zip code of those in the editors group:
ipa aci-add --permissions=write --memberof=editors --group=admins --attrs=street --attrs=postalcode --prefix=none "admins edit the address of editors"
Add an ACI that allows the admins group manage the street and zipcode of those who work for the boss:
ipa aci-add --permissions=write --group=admins --attrs=street --attrs=postalcode --filter="(manager=uid=boss,cn=users,cn=accounts,dc=example,dc=com)" --prefix=none "Edit the address of those who work for the boss"
Add an entirely new kind of record to IPA that isn't covered by any of the --type options, creating a permission:
ipa permission-add --permissions=add --subtree="cn=*,cn=orange,cn=accounts,dc=example,dc=com" --desc="Add Orange Entries" add_orange
The show command shows the raw 389-ds ACI.
IMPORTANT: When modifying the target attributes of an existing ACI you
must include all existing attributes as well. When doing an aci-mod the
targetattr REPLACES the current attributes, it does not add to them.
Domain Name System (DNS)
ENROLLMENT:
There are three enrollment scenarios when enrolling a new client:
1. You are enrolling as a full administrator. The host entry may exist
or not. A full administrator is a member of the hostadmin role
or the admins group.
2. You are enrolling as a limited administrator. The host must already
exist. A limited administrator is a member a role with the
Host Enrollment privilege.
3. The host has been created with a one-time password.
EXAMPLES:
Entitlements
Manage entitlements for client machines
Entitlements can be managed either by registering with an entitlement
server with a username and password or by manually importing entitlement
certificates. An entitlement certificate contains embedded information
such as the product being entitled, the quantity and the validity dates.
An entitlement server manages the number of client entitlements available.
To mark these entitlements as used by the IPA server you provide a quantity
and they are marked as consumed on the entitlement server.
Register with an entitlement server:
ipa entitle-register consumer
Import an entitlement certificate:
ipa entitle-import /home/user/ipaclient.pem
Display current entitlements:
ipa entitle-status
Retrieve details on entitlement certificates:
ipa entitle-get
Consume some entitlements from the entitlement server:
ipa entitle-consume 50
The registration ID is a Unique Identifier (UUID). This ID will be
IMPORTED if you have used entitle-import.
Changes to /etc/rhsm/rhsm.conf require a restart of the httpd service.
Get information about installed IPA servers.
Get status of roles (DNS server, CA, etc.) provided by IPA masters.
Group to Group Delegation
A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.
Group to Group Delegations grants the members of one group to update a set
of attributes of members of another group.
EXAMPLES:
Add a delegation rule to allow managers to edit employee's addresses:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"
When managing the list of attributes you need to include all attributes
in the list, including existing ones. Add postalCode to the list:
ipa delegation-mod --attrs=street --attrs=postalCode --group=managers --membergroup=employees "managers edit employees' street"
Display our updated rule:
ipa delegation-show "managers edit employees' street"
Delete a rule:
ipa delegation-del "managers edit employees' street"
Groups of Sudo Commands
Manage groups of Sudo Commands.
EXAMPLES:
Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds
Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds
Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less,/usr/bin/vim admincmds
Manage Sudo Command Group membership, commands:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds
Show a Sudo Command Group:
ipa group-show localadmins
HBAC Services
The PAM services that HBAC can control access to. The name used here
must match the service name that PAM is evaluating.
EXAMPLES:
Add a new HBAC service:
ipa hbacsvc-add tftp
Modify an existing HBAC service:
ipa hbacsvc-mod --desc="TFTP service" tftp
Search for HBAC services. This example will return two results, the FTP
service and the newly-added tftp service:
ipa hbacsvc-find ftp
Delete an HBAC service:
ipa hbacsvc-del tftp
Hosts/Machines
A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry
IPA certificate operations
IPA locations
IPA server roles
IPA servers
IPA supports the use of OTP tokens for multi-factor authentication. This
code enables the management of OTP tokens.
IPA supports the use of an external RADIUS proxy server for krb5 OTP
authentications. This permits a great deal of flexibility when
integrating with third-party authentication services.
IPA supports the use of certificates for authentication. Certificates can
either be stored in the user entry (full certificate in the usercertificate
attribute), or simply linked to the user entry through a mapping.
This code enables the management of the rules allowing to link a
certificate to a user entry.
Implements a set of commands for managing server SSL certificates.
In order to request a certificate:
It may be difficult to manipulate such DNS records without making a mistake
and entering an invalid value. DNS module provides an abstraction over these
raw records and allows to manipulate each RR type with specific options. For
each supported RR type, DNS module provides a standard option to manipulate
a raw records with format --<rrtype>-rec, e.g. --mx-rec, and special options
for every part of the RR structure with format --<rrtype>-<partname>, e.g.
--mx-preference and --mx-exchanger.
Joining an IPA domain
Kerberos PKINIT feature status reporting tools.
Report IPA masters on which Kerberos PKINIT is enabled or disabled
EXAMPLES:
List PKINIT status on all masters:
ipa pkinit-status
Check PKINIT status on `ipa.example.com`:
ipa pkinit-status --server ipa.example.com
List all IPA masters with disabled PKINIT:
ipa pkinit-status --status='disabled'
For more info about PKINIT support see:
https://www.freeipa.org/page/V4/Kerberos_PKINIT
Kerberos pkinit options
Enable or disable anonymous pkinit using the principal
WELLKNOWN/ANONYMOUS@REALM. The server must have been installed with
pkinit support.
EXAMPLES:
Enable anonymous pkinit:
ipa pkinit-anonymous enable
Disable anonymous pkinit:
ipa pkinit-anonymous disable
For more information on anonymous pkinit see:
http://k5wiki.kerberos.org/wiki/Projects/Anonymous_pkinit
Kerberos ticket policy
There is a single Kerberos ticket policy. This policy defines the
maximum ticket lifetime and the maximum renewal age, the period during
which the ticket is renewable.
You can also create a per-user ticket policy by specifying the user login.
For changes to the global policy to take effect, restarting the KDC service
is required, which can be achieved using:
service krb5kdc restart
Changes to per-user policies take effect immediately for newly requested
tickets (e.g. when the user next runs kinit).
EXAMPLES:
Display the current Kerberos ticket policy:
ipa krbtpolicy-show
Reset the policy to the default:
ipa krbtpolicy-reset
Modify the policy to 8 hours max life, 1-day max renewal:
ipa krbtpolicy-mod --maxlife=28800 --maxrenew=86400
Display effective Kerberos ticket policy for user 'admin':
ipa krbtpolicy-show admin
Reset per-user policy for user 'admin':
ipa krbtpolicy-reset admin
Modify per-user policy for user 'admin':
ipa krbtpolicy-mod admin --maxlife=3600
Manage Certificate Authorities
Manage Certificate Identity Mapping configuration and rules.
Manage Certificate Profiles
Certificate Profiles are used by Certificate Authority (CA) in the signing of
certificates to determine if a Certificate Signing Request (CSR) is acceptable,
and if so what features and extensions will be present on the certificate.
The Certificate Profile format is the property-list format understood by the
Dogtag or Red Hat Certificate System CA.
PROFILE ID SYNTAX:
A Profile ID is a string without spaces or punctuation starting with a letter
and followed by a sequence of letters, digits or underscore ("_").
EXAMPLES:
Import a profile that will not store issued certificates:
ipa certprofile-import ShortLivedUserCert \
--file UserCert.profile --desc "User Certificates" \
--store=false
Delete a certificate profile:
ipa certprofile-del ShortLivedUserCert
Show information about a profile:
ipa certprofile-show ShortLivedUserCert
Save profile configuration to a file:
ipa certprofile-show caIPAserviceCert --out caIPAserviceCert.cfg
Search for profiles that do not store certificates:
ipa certprofile-find --store=false
PROFILE CONFIGURATION FORMAT:
The profile configuration format is the raw property-list format
used by Dogtag Certificate System. The XML format is not supported.
The following restrictions apply to profiles managed by IPA:
- When importing a profile the "profileId" field, if present, must
match the ID given on the command line.
- The "classId" field must be set to "caEnrollImpl"
- The "auth.instance_id" field must be set to "raCertAuth"
- The "certReqInputImpl" input class and "certOutputImpl" output
class must be used.
Manage DNS zone and resource records.
Manage OTP tokens.
Manage RADIUS Proxy Servers.
Manage YubiKey tokens.
Manage vaults.
Managed permissions
Manipulate DNS locations
Manipulate DNS server configuration
Migration to IPA
Migrate users and groups from an LDAP server to IPA.
This performs an LDAP query against the remote server searching for
users and groups in a container. In order to migrate passwords you need
to bind as a user that can read the userPassword attribute on the remote
server. This is generally restricted to high-level admins such as
cn=Directory Manager in 389-ds (this is the default bind user).
The default user container is ou=People.
The default group container is ou=Groups.
Users and groups that already exist on the IPA server are skipped.
Two LDAP schemas define how group members are stored: RFC2307 and
RFC2307bis. RFC2307bis uses member and uniquemember to specify group
members, RFC2307 uses memberUid. The default schema is RFC2307bis.
The schema compat feature allows IPA to reformat data for systems that
do not support RFC2307bis. It is recommended that this feature is disabled
during migration to reduce system overhead. It can be re-enabled after
migration. To migrate with it enabled use the "--with-compat" option.
Migrated users do not have Kerberos credentials, they have only their
LDAP password. To complete the migration process, users need to go
to http://ipa.example.com/ipa/migration and authenticate using their
LDAP password in order to generate their Kerberos credentials.
Migration is disabled by default. Use the command ipa config-mod to
enable it:
ipa config-mod --enable-migration=TRUE
If a base DN is not provided with --basedn then IPA will use either
the value of defaultNamingContext if it is set or the first value
in namingContexts set in the root of the remote LDAP server.
Users are added as members to the default user group. This can be a
time-intensive task so during migration this is done in a batch
mode for every 100 users. As a result there will be a window in which
users will be added to IPA but will not be members of the default
user group.
EXAMPLES:
The simplest migration, accepting all defaults:
ipa migrate-ds ldap://ds.example.com:389
Specify the user and group container. This can be used to migrate user
and group data from an IPA v1 server:
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Since IPA v2 server already contain predefined groups that may collide with
groups in migrated (IPA v1) server (for example admins, ipausers), users
having colliding group as their primary group may happen to belong to
an unknown group on new IPA v2 server.
Use --group-overwrite-gid option to overwrite GID of already existing groups
to prevent this issue:
ipa migrate-ds --group-overwrite-gid \
--user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Migrated users or groups may have object class and accompanied attributes
unknown to the IPA v2 server. These object classes and attributes may be
left out of the migration process:
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
--user-ignore-objectclass=radiusprofile \
--user-ignore-attribute=radiusgroupname \
ldap://ds.example.com:389
LOGGING
Migration will log warnings and errors to the Apache error log. This
file should be evaluated post-migration to correct or investigate any
issues that were discovered.
For every 100 users migrated an info-level message will be displayed to
give the current progress and duration to make it possible to track
the progress of migration.
If the log level is debug, either by setting debug = True in
/etc/ipa/default.conf or /etc/ipa/server.conf, then an entry will be printed
for each user added plus a summary when the default user group is
updated.
Misc plug-ins
Netgroups
A netgroup is a group used for permission checking. It can contain both
user and host values.
EXAMPLES:
Add a new netgroup:
ipa netgroup-add --desc="NFS admins" admins
Add members to the netgroup:
ipa netgroup-add-member --users=tuser1 --users=tuser2 admins
Remove a member from the netgroup:
ipa netgroup-remove-member --users=tuser2 admins
Display information about a netgroup:
ipa netgroup-show admins
Delete a netgroup:
ipa netgroup-del admins
Note the distinction between attributes and entries. The permissions are
independent, so being able to add a user does not mean that the user will
be editable.
OTP Tokens
OTP configuration
Manage the default values that IPA uses for OTP tokens.
EXAMPLES:
Show basic OTP configuration:
ipa otpconfig-show
Show all OTP configuration options:
ipa otpconfig-show --all
Change maximum TOTP authentication window to 10 minutes:
ipa otpconfig-mod --totp-auth-window=600
Change maximum TOTP synchronization window to 12 hours:
ipa otpconfig-mod --totp-sync-window=43200
Change maximum HOTP authentication window to 5:
ipa hotpconfig-mod --hotp-auth-window=5
Change maximum HOTP synchronization window to 50:
ipa hotpconfig-mod --hotp-sync-window=50
Password policy
A password policy sets limitations on IPA passwords, including maximum
lifetime, minimum lifetime, the number of passwords to save in
history, the number of character classes required (for stronger passwords)
and the minimum password length.
By default there is a single, global policy for all users. You can also
create a password policy to apply to a group. Each user is only subject
to one password policy, either the group policy or the global policy. A
group policy stands alone; it is not a super-set of the global policy plus
custom settings.
Each group password policy requires a unique priority setting. If a user
is in multiple groups that have password policies, this priority determines
which password policy is applied. A lower value indicates a higher priority
policy.
Group password policies are automatically removed when the groups they
are associated with are removed.
EXAMPLES:
Modify the global policy:
ipa pwpolicy-mod --minlength=10
Add a new group password policy:
ipa pwpolicy-add --maxlife=90 --minlife=1 --history=10 --minclasses=3 --minlength=8 --priority=10 localadmins
Display the global password policy:
ipa pwpolicy-show
Display a group password policy:
ipa pwpolicy-show localadmins
Display the policy that would be applied to a given user:
ipa pwpolicy-show --user=tuser1
Modify a group password policy:
ipa pwpolicy-mod --minclasses=2 localadmins
Permissions
Permissions
A permission enables fine-grained delegation of rights. A permission is
a human-readable form of a 389-ds Access Control Rule, or instruction (ACI).
A permission grants the right to perform a specific task such as adding a
user, modifying a group, etc.
A permission may not contain other permissions.
* A permission grants access to read, write, add or delete.
* A privilege combines similar permissions (for example all the permissions
needed to add a user).
* A role grants a set of privileges to users, groups, hosts or hostgroups.
A permission is made up of a number of different parts:
1. The name of the permission.
2. The target of the permission.
3. The rights granted by the permission.
Rights define what operations are allowed, and may be one or more
of the following:
1. write - write one or more attributes
2. read - read one or more attributes
3. add - add a new entry to the tree
4. delete - delete an existing entry
5. all - all permissions are granted
Read permission is granted for most attributes by default so the read
permission is not expected to be used very often.
Note the distinction between attributes and entries. The permissions are
independent, so being able to add a user does not mean that the user will
be editable.
There are a number of allowed targets:
1. type: a type of object (user, group, etc).
2. memberof: a member of a group or hostgroup
3. filter: an LDAP filter
4. subtree: an LDAP filter specifying part of the LDAP DIT. This is a
super-set of the "type" target.
5. targetgroup: grant access to modify a specific group (such as granting
the rights to manage group membership)
EXAMPLES:
Add a permission that grants the creation of users:
ipa permission-add --type=user --permissions=add "Add Users"
Add a permission that grants the ability to manage group membership:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"
Permissions that come with IPA by default can be so-called "managed"
permissions. These have a default set of attributes they apply to,
but the administrator can add/remove individual attributes to/from the set.
Ping the remote IPA server to ensure it is running.
The ping command sends an echo request to an IPA server. The server
returns its version information. This is used by an IPA client
to confirm that the server is available and accepting requests.
The server from xmlrpc_uri in /etc/ipa/default.conf is contacted first.
If it does not respond then the client will contact any servers defined
by ldap SRV records in DNS.
EXAMPLES:
Ping an IPA server:
ipa ping
------------------------------------------
IPA server version 2.1.9. API version 2.20
------------------------------------------
Ping an IPA server verbosely:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server 'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
IPA server version 2.1.9. API version 2.20
-----------------------------------------------------
Ping the remote IPA server to ensure it is running.
The ping command sends an echo request to an IPA server. The server
returns its version information. This is used by an IPA client
to confirm that the server is available and accepting requests.
The server from xmlrpc_uri in /etc/ipa/default.conf is contacted first.
If it does not respond then the client will contact any servers defined
by ldap SRV records in DNS.
EXAMPLES:
Ping an IPA server:
ipa ping
------------------------------------------
IPA server version 2.1.9. API version 2.20
------------------------------------------
Ping an IPA server verbosely:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server u'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
IPA server version 2.1.9. API version 2.20
-----------------------------------------------------
Plugin to make multiple ipa calls via one remote procedure call
To run this code in the lite-server
curl -H "Content-Type:application/json" -H "Accept:application/json" -H "Accept-Language:en" --negotiate -u : --cacert /etc/ipa/ca.crt -d @batch_request.json -X POST http://localhost:8888/ipa/json
where the contents of the file batch_request.json follow the below example
{"method":"batch","params":[[
{"method":"group_find","params":[[],{}]},
{"method":"user_find","params":[[],{"whoami":"true","all":"true"}]},
{"method":"user_show","params":[["admin"],{"all":true}]}
],{}],"id":1}
The format of the response is nested the same way. At the top you will see
"error": null,
"id": 1,
"result": {
"count": 3,
"results": [
And then a nested response for each IPA command method sent in the request
Plugins not accessible directly through the CLI, commands used internally
Privileges
A privilege combines permissions into a logical task. A permission provides
the rights to do a single task. There are some IPA operations that require
multiple permissions to succeed. A privilege is where permissions are
combined in order to perform a specific task.
For example, adding a user requires the following permissions:
* Creating a new user entry
* Resetting a user password
* Adding the new user to the default IPA users group
Combining these three low-level tasks into a higher level task in the
form of a privilege named "Add User" makes it easier to manage Roles.
A privilege may not contain other privileges.
See role and permission for additional information.
RADIUS Proxy Servers
RADIUS Proxy Servers
Manage RADIUS Proxy Servers.
IPA supports the use of an external RADIUS proxy server for krb5 OTP
authentications. This permits a great deal of flexibility when
integrating with third-party authentication services.
EXAMPLES:
Add a new server:
ipa radiusproxy-add MyRADIUS --server=radius.example.com:1812
Find all servers whose entries include the string "example.com":
ipa radiusproxy-find example.com
Examine the configuration:
ipa radiusproxy-show MyRADIUS
Change the secret:
ipa radiusproxy-mod MyRADIUS --secret
Delete a configuration:
ipa radiusproxy-del MyRADIUS
RE-ENROLLMENT:
Host that has been enrolled at some point, and lost its configuration (e.g. VM
destroyed) can be re-enrolled.
For more information, consult the manual pages for ipa-client-install.
A host can optionally store information such as where it is located,
the OS that it runs, etc.
Realm domains
Manage the list of domains associated with IPA realm.
This list is useful for Domain Controllers from other realms which have
established trust with this IPA realm. They need the information to know
which request should be forwarded to KDC of this IPA realm.
Automatic management: a domain is automatically added to the realm domains
list when a new DNS Zone managed by IPA is created. Same applies for deletion.
Externally managed DNS: domains which are not managed in IPA server DNS
need to be manually added to the list using ipa realmdomains-mod command.
EXAMPLES:
Display the current list of realm domains:
ipa realmdomains-show
Replace the list of realm domains:
ipa realmdomains-mod --domain=example.com
ipa realmdomains-mod --domain={example1.com,example2.com,example3.com}
Add a domain to the list of realm domains:
ipa realmdomains-mod --add-domain=newdomain.com
Delete a domain from the list of realm domains:
ipa realmdomains-mod --del-domain=olddomain.com
Removal of '%(hostname)s' leads to disconnected topology in suffix '%(suffix)s':
%(errors)s
Replication topology in suffix '%(suffix)s' is disconnected:
%(errors)s
Return information about currently authenticated identity
Who am I command returns information on how to get
more details about the identity authenticated for this
request. The information includes:
* type of object
* command to retrieve details of the object
* arguments and options to pass to the command
The information is returned as a dictionary. Examples below use
'key: value' output for illustrative purposes.
EXAMPLES:
Look up as IPA user:
kinit admin
ipa console
>> api.Command.whoami()
------------------------------------------
object: user
command: user_show/1
arguments: admin
------------------------------------------
Look up as a user from a trusted domain:
kinit user@AD.DOMAIN
ipa console
>> api.Command.whoami()
------------------------------------------
object: idoverrideuser
command: idoverrideuser_show/1
arguments: ('default trust view', 'user@ad.domain')
------------------------------------------
Look up as a host:
kinit -k
ipa console
>> api.Command.whoami()
------------------------------------------
object: host
command: host_show/1
arguments: ipa.example.com
------------------------------------------
Look up as a Kerberos service:
kinit -k -t /path/to/keytab HTTP/ipa.example.com
ipa console
>> api.Command.whoami()
------------------------------------------
object: service
command: service_show/1
arguments: HTTP/ipa.example.com
------------------------------------------
Rights define what operations are allowed, and may be one or more
of the following:
1. write - write one or more attributes
2. read - read one or more attributes
3. search - search on one or more attributes
4. compare - compare one or more attributes
5. add - add a new entry to the tree
6. delete - delete an existing entry
7. all - all permissions are granted
SEARCHING:
SELinux User Mapping
Map IPA users to SELinux users by host.
Hosts, hostgroups, users and groups can be either defined within
the rule or it may point to an existing HBAC rule. When using
--hbacrule option to selinuxusermap-find an exact match is made on the
HBAC rule name, so only one or zero entries will be returned.
EXAMPLES:
Create a rule, "test1", that sets all users to xguest_u:s0 on the host "server":
ipa selinuxusermap-add --usercat=all --selinuxuser=xguest_u:s0 test1
ipa selinuxusermap-add-host --hosts=server.example.com test1
Create a rule, "test2", that sets all users to guest_u:s0 and uses an existing HBAC rule for users and hosts:
ipa selinuxusermap-add --usercat=all --hbacrule=webserver --selinuxuser=guest_u:s0 test2
Display the properties of a rule:
ipa selinuxusermap-show test2
Create a rule for a specific user. This sets the SELinux context for
user john to unconfined_u:s0-s0:c0.c1023 on any machine:
ipa selinuxusermap-add --hostcat=all --selinuxuser=unconfined_u:s0-s0:c0.c1023 john_unconfined
ipa selinuxusermap-add-user --users=john john_unconfined
Disable a rule:
ipa selinuxusermap-disable test1
Enable a rule:
ipa selinuxusermap-enable test1
Find a rule referencing a specific HBAC rule:
ipa selinuxusermap-find --hbacrule=allow_some
Remove a rule:
ipa selinuxusermap-del john_unconfined
SEEALSO:
The list controlling the order in which the SELinux user map is applied
and the default SELinux user are available in the config-show command.
SUPPORTED ZONE TYPES
* Master zone (dnszone-*), contains authoritative data.
* Forward zone (dnsforwardzone-*), forwards queries to configured forwarders
(a set of DNS servers).
Search for ACIs.
Returns a list of ACIs
EXAMPLES:
To find all ACIs that apply directly to members of the group ipausers:
ipa aci-find --memberof=ipausers
To find all ACIs that grant add access:
ipa aci-find --permissions=add
Note that the find command only looks for the given text in the set of
ACIs, it does not evaluate the ACIs to see if something would apply.
For example, searching on memberof=ipausers will find all ACIs that
have ipausers as a memberof. There may be other ACIs that apply to
members of that group indirectly.
Self-service Permissions
A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.
A Self-service permission defines what an object can change in its own entry.
EXAMPLES:
Add a self-service rule to allow users to manage their address (using Bash
brace expansion):
ipa selfservice-add --permissions=write --attrs={street,postalCode,l,c,st} "Users manage their own address"
When managing the list of attributes you need to include all attributes
in the list, including existing ones.
Add telephoneNumber to the list (using Bash brace expansion):
ipa selfservice-mod --attrs={street,postalCode,l,c,st,telephoneNumber} "Users manage their own address"
Display our updated rule:
ipa selfservice-show "Users manage their own address"
Delete a rule:
ipa selfservice-del "Users manage their own address"
Self-service Permissions
A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.
A Self-service permission defines what an object can change in its own entry.
EXAMPLES:
Add a self-service rule to allow users to manage their address:
ipa selfservice-add --permissions=write --attrs=street,postalCode,l,c,st "Users manage their own address"
When managing the list of attributes you need to include all attributes
in the list, including existing ones. Add telephoneNumber to the list:
ipa selfservice-mod --attrs=street,postalCode,l,c,st,telephoneNumber "Users manage their own address"
Display our updated rule:
ipa selfservice-show "Users manage their own address"
Delete a rule:
ipa selfservice-del "Users manage their own address"
Server configuration
Manage the default values that IPA uses and some of its tuning parameters.
NOTES:
The password notification value (--pwdexpnotify) is stored here so it will
be replicated. It is not currently used to notify users in advance of an
expiring password.
Some attributes are read-only, provided only for information purposes. These
include:
Certificate Subject base: the configured certificate subject base,
e.g. O=EXAMPLE.COM. This is configurable only at install time.
Password plug-in features: currently defines additional hashes that the
password will generate (there may be other conditions).
When setting the order list for mapping SELinux users you may need to
quote the value so it isn't interpreted by the shell.
EXAMPLES:
Show basic server configuration:
ipa config-show
Show all configuration options:
ipa config-show --all
Change maximum username length to 99 characters:
ipa config-mod --maxusername=99
Increase default time and size limits for maximum IPA server search:
ipa config-mod --searchtimelimit=10 --searchrecordslimit=2000
Set default user e-mail domain:
ipa config-mod --emaildomain=example.com
Enable migration mode to make "ipa migrate-ds" command operational:
ipa config-mod --enable-migration=TRUE
Define SELinux user map order:
ipa config-mod --ipaselinuxusermaporder='guest_u:s0$xguest_u:s0$user_u:s0-s0:c0.c1023$staff_u:s0-s0:c0.c1023$unconfined_u:s0-s0:c0.c1023'
Services
A IPA service represents a service that runs on a host. The IPA service
record can store a Kerberos principal, an SSL certificate, or both.
An IPA service can be managed directly from a machine, provided that
machine has been given the correct permission. This is true even for
machines other than the one the service is associated with. For example,
requesting an SSL certificate using the host service principal credentials
of the host. To manage a service using host credentials you need to
kinit as the host:
# kinit -kt /etc/krb5.keytab host/ipa.example.com@EXAMPLE.COM
Adding an IPA service allows the associated service to request an SSL
certificate or keytab, but this is performed as a separate step; they
are not produced as a result of adding the service.
Only the public aspect of a certificate is stored in a service record;
the private key is not stored.
EXAMPLES:
Add a new IPA service:
ipa service-add HTTP/web.example.com
Allow a host to manage an IPA service certificate:
ipa service-add-host --hosts=web.example.com HTTP/web.example.com
ipa role-add-member --hosts=web.example.com certadmin
Override a default list of supported PAC types for the service:
ipa service-mod HTTP/web.example.com --pac-type=MS-PAC
A typical use case where overriding the PAC type is needed is NFS.
Currently the related code in the Linux kernel can only handle Kerberos
tickets up to a maximal size. Since the PAC data can become quite large it
is recommended to set --pac-type=NONE for NFS services.
Delete an IPA service:
ipa service-del HTTP/web.example.com
Find all IPA services associated with a host:
ipa service-find web.example.com
Find all HTTP services:
ipa service-find HTTP
Disable the service Kerberos key and SSL certificate:
ipa service-disable HTTP/web.example.com
Request a certificate for an IPA service:
ipa cert-request --principal=HTTP/web.example.com example.csr
Services
A IPA service represents a service that runs on a host. The IPA service
record can store a Kerberos principal, an SSL certificate, or both.
An IPA service can be managed directly from a machine, provided that
machine has been given the correct permission. This is true even for
machines other than the one the service is associated with. For example,
requesting an SSL certificate using the host service principal credentials
of the host. To manage a service using host credentials you need to
kinit as the host:
# kinit -kt /etc/krb5.keytab host/ipa.example.com@EXAMPLE.COM
Adding an IPA service allows the associated service to request an SSL
certificate or keytab, but this is performed as a separate step; they
are not produced as a result of adding the service.
Only the public aspect of a certificate is stored in a service record;
the private key is not stored.
EXAMPLES:
Add a new IPA service:
ipa service-add HTTP/web.example.com
Allow a host to manage an IPA service certificate:
ipa service-add-host --hosts=web.example.com HTTP/web.example.com
ipa role-add-member --hosts=web.example.com certadmin
Override a default list of supported PAC types for the service:
ipa service-mod HTTP/web.example.com --pac-type=MS-PAC
Delete an IPA service:
ipa service-del HTTP/web.example.com
Find all IPA services associated with a host:
ipa service-find web.example.com
Find all HTTP services:
ipa service-find HTTP
Disable the service Kerberos key and SSL certificate:
ipa service-disable HTTP/web.example.com
Request a certificate for an IPA service:
ipa cert-request --principal=HTTP/web.example.com example.csr
Generate and retrieve a keytab for an IPA service:
ipa-getkeytab -s ipa.example.com -p HTTP/web.example.com -k /etc/httpd/httpd.keytab
Set a user's password
If someone other than a user changes that user's password (e.g., Helpdesk
resets it) then the password will need to be changed the first time it
is used. This is so the end-user is the only one who knows the password.
The IPA password policy controls how often a password may be changed,
what strength requirements exist, and the length of the password history.
EXAMPLES:
To reset your own password:
ipa passwd
To change another user's password:
ipa passwd tuser1
Standard vault uses a secure mechanism to transport and
store the secret. The secret can only be retrieved by users
that have access to the vault.
Subordinate Certificate Authorities (Sub-CAs) can be added for scoped issuance
of X.509 certificates.
Sudo Commands
Commands used as building blocks for sudo
EXAMPLES:
Create a new command
ipa sudocmd-add --desc='For reading log files' /usr/bin/less
Remove a command
ipa sudocmd-del /usr/bin/less
Symmetric vault is similar to the standard vault, but it
pre-encrypts the secret using a password before transport.
The secret can only be retrieved using the same password.
The automember-rebuild command can be used to retroactively run automember rules
against existing entries, thus rebuilding their membership.
The date format is YYYY-mm-dd.
The dogtag CA uses just the CN value of the CSR and forces the rest of the
subject to values configured in the server.
The status of a role is either enabled, configured, or absent.
There are a number of allowed targets:
1. subtree: a DN; the permission applies to the subtree under this DN
2. target filter: an LDAP filter
3. target: DN with possible wildcards, specifies entries permission applies to
There are many structured DNS RR types where DNS data stored in LDAP server
is not just a scalar value, for example an IP address or a domain name, but
a data structure which may be often complex. A good example is a LOC record
[RFC1876] which consists of many mandatory and optional parts (degrees,
minutes, seconds of latitude and longitude, altitude or precision).
This code is an extension to the otptoken plugin and provides support for
reading/writing YubiKey tokens directly.
USING STRUCTURED PER-TYPE OPTIONS
User vaults are vaults owned used by a particular user. Private
vaults are vaults owned the current user. Service vaults are
vaults owned by a service. Shared vaults are owned by the admin
but they can be used by other users or services.
Users
Manage user entries. All users are POSIX users.
IPA supports a wide range of username formats, but you need to be aware of any
restrictions that may apply to your particular environment. For example,
usernames that start with a digit or usernames that exceed a certain length
may cause problems for some UNIX systems.
Use 'ipa config-mod' to change the username format allowed by IPA tools.
Disabling a user account prevents that user from obtaining new Kerberos
credentials. It does not invalidate any credentials that have already
been issued.
Password management is not a part of this module. For more information
about this topic please see: ipa help passwd
Account lockout on password failure happens per IPA master. The user-status
command can be used to identify which master the user is locked out on.
It is on that master the administrator must unlock the user.
EXAMPLES:
Add a new user:
ipa user-add --first=Tim --last=User --password tuser1
Find all users whose entries include the string "Tim":
ipa user-find Tim
Find all users with "Tim" as the first name:
ipa user-find --first=Tim
Disable a user account:
ipa user-disable tuser1
Enable a user account:
ipa user-enable tuser1
Delete a user:
ipa user-del tuser1
Vaults
When adding a record, either RR specific options or standard option for a raw
value can be used, they just should not be combined in one add operation. When
modifying an existing entry, new RR specific options can be used to change
one part of a DNS record, where the standard option for raw value is used
to specify the modified value. The following example demonstrates
a modification of MX record preference from 0 to 1 in a record without
modifying the exchanger:
ipa dnsrecord-mod --mx-rec="0 mx.example.com." --mx-preference=1
When searching on dates the _from date does a >= search and the _to date
does a <= search. When combined these are done as an AND.
YubiKey Tokens
ipa <command> --help Alternatively, following servers are capable of running this command: %(masters)s "%s" is not a valid permission type "%s" is not an object type ${count} item(s) added ${count} item(s) removed ${entity} ${primary_key} Settings ${entity} ${primary_key} updated ${entity} successfully added ${primary_key} is a member of: ${primary_key} is managed by: ${primary_key} members: ${product}, version: ${version} %(attr)s does not contain '%(value)s' %(attr)s: Invalid syntax. %(attr)s: Only one value allowed. %(container)s LDAP search did not return any result (search base: %(search_base)s, objectclass: %(objectclass)s) %(count)d %(type)s record skipped. Only one value per DNS record type can be modified at one time. %(count)d %(type)s records skipped. Only one value per DNS record type can be modified at one time. %(count)d ACI matched %(count)d ACIs matched %(count)d CA matched %(count)d CAs matched %(count)d Certificate Identity Mapping Rule matched %(count)d Certificate Identity Mapping Rules matched %(count)d HBAC rule matched %(count)d HBAC rules matched %(count)d HBAC service group matched %(count)d HBAC service groups matched %(count)d HBAC service matched %(count)d HBAC services matched %(count)d IPA location matched %(count)d IPA locations matched %(count)d IPA server matched %(count)d IPA servers matched %(count)d OTP token matched %(count)d OTP tokens matched %(count)d RADIUS proxy server matched %(count)d RADIUS proxy servers matched %(count)d SELinux User Map matched %(count)d SELinux User Maps matched %(count)d Sudo Command Group matched %(count)d Sudo Command Groups matched %(count)d Sudo Command matched %(count)d Sudo Commands matched %(count)d Sudo Rule matched %(count)d Sudo Rules matched %(count)d automount key matched %(count)d automount keys matched %(count)d automount location matched %(count)d automount locations matched %(count)d automount map matched %(count)d automount maps matched %(count)d delegation matched %(count)d delegations matched %(count)d group matched %(count)d groups matched %(count)d host matched %(count)d hosts matched %(count)d hostgroup matched %(count)d hostgroups matched %(count)d netgroup matched %(count)d netgroups matched %(count)d permission matched %(count)d permissions matched %(count)d plugin loaded %(count)d plugins loaded %(count)d privilege matched %(count)d privileges matched %(count)d profile matched %(count)d profiles matched %(count)d range matched %(count)d ranges matched %(count)d role matched %(count)d roles matched %(count)d rules matched %(count)d rules matched %(count)d selfservice matched %(count)d selfservices matched %(count)d service matched %(count)d services matched %(count)d trust matched %(count)d trusts matched %(count)d user matched %(count)d users matched %(count)d variables %(count)s server matched %(count)s servers matched %(count)s server role matched %(count)s server roles matched %(count)s user matched %(count)s users matched %(cver)s client incompatible with %(sver)s server at '%(server)s' %(desc)s: %(info)s %(exception)s %(filename)s: file not found %(host)s failed %(host)s failed: %(error)s %(info)s %(key)s cannot be deleted because %(label)s %(dependent)s requires it %(key)s cannot be deleted or disabled because it is the last member of %(label)s %(container)s %(label)s %(key)s cannot be deleted/modified: %(reason)s %(line)s %(name)s certificate is not valid %(oname)s with name "%(pkey)s" already exists %(operation)s is not supported for %(principal_type)s principals %(parent)s: %(oname)s not found %(pkey)s: %(oname)s not found %(port)s is not a valid port %(reason)s %(subject)s: Malformed certificate. %(reason)s %(task)s LDAP task timeout, Task DN: '%(task_dn)s' %(user)s is not a POSIX user %s %s Record %s is not a valid attribute. %s record %s to add %s to exclude from migration %s to remove %s: RADIUS proxy server not found %s: group not found %s: user is already preserved '${port}' is not a valid port '%(command)s' is deprecated. %(additional_info)s '%(entry)s' doesn't have a certificate. '%(name)s' is required '%(option)s' option is deprecated. %(additional_info)s '%(required)s' must not be empty when '%(name)s' is set '%s' is a required part of DNS record (deprecated) (see RFC %s for details) . Check GID of the existing group. Use --group-overwrite-gid option to overwrite the GID 7 is not a valid revocation reason <all IPA DNS servers> <i class="fa fa-info-circle"></i> To log in with <strong>certificate</strong>, please make sure you have valid personal certificate. <i class="fa fa-info-circle"></i> To log in with <strong>username and password</strong>, enter them in the corresponding fields, then click 'Log in'. <p>Implicit method (password) will be used if no method is chosen.</p><p><strong>Password + Two-factor:</strong> LDAP and Kerberos allow authentication with either one of the authentication types but Kerberos uses pre-authentication method which requires to use armor ccache.</p><p><strong>RADIUS with another type:</strong> Kerberos always use RADIUS, but LDAP never does. LDAP only recognize the password and two-factor authentication options.</p> <p>Per-user setting, overwrites the global setting if any option is checked.</p><p><strong>Password + Two-factor:</strong> LDAP and Kerberos allow authentication with either one of the authentication types but Kerberos uses pre-authentication method which requires to use armor ccache.</p><p><strong>RADIUS with another type:</strong> Kerberos always use RADIUS, but LDAP never does. LDAP only recognize the password and two-factor authentication options.</p> A Create reverse A IP Address A SYSTEM permission may not be modified or removed A comma-separated list of fields to search in when searching for groups A comma-separated list of fields to search in when searching for users A description of this RADIUS proxy server A description of this auto member rule A description of this command A description of this host A description of this host-group A description of this role-group A dictionary representing an LDAP entry A group may not be a member of itself A group may not be added as a member of itself A host willing to act as a key exchanger A host willing to act as a mail exchanger A hostname which this alias hostname points to A list of ACI values A list of LDAP entries A managed group cannot have a password policy. A problem was encountered when verifying that all members were %(verb)s: %(exc)s A string searched in all relevant object attributes A6 Record data A6 record AA Compromise AAAA Create reverse AAAA IP Address AAAA record ACI ACI name ACI object. ACI of permission %s was not found ACI prefix ACI prefix is required ACI with name "%s" not found ACIs AD Trust setup AFSDB Hostname AFSDB Subtype AFSDB record API Version number was not sent, forward compatibility not guaranteed. Assuming server's API version, %(server_version)s APL record About Access Denied Access Granted Access granted: %s Access this host Access time Accessing Account Account Settings Account Status Account disabled Account disabled: %(disabled)s Actions Activate Active Directory domain administrator Active Directory domain administrator's password Active Directory domain range Active Directory trust range with POSIX attributes Active zone Add Add Class of Service entry Add Custom Authentication Indicator Add Kerberos Principal Alias Add Many Add a manager to the user entry Add a new HBAC service group. Add a new HBAC service. Add a new IPA location. Add a new IPA new service. Add a new IPA service. Add a new OTP token. Add a new RADIUS proxy server. Add a new SMB service. Add a new YubiKey OTP token. Add a new delegation. Add a new group password policy. Add a new host. Add a new hostgroup. Add a new netgroup. Add a new permission. Add a new privilege. Add a new role. Add a new self-service permission. Add a new stage user. Add a new user. Add a permission for per-forward zone access delegation. Add a permission for per-zone access delegation. Add a system permission without an ACI Add a system permission without an ACI (internal command) Add an attribute/value pair. Format is attr=value. The attribute
must be part of the schema. Add an automember rule. Add an option to the Sudo Rule. Add and Add Another Add and Close Add and Edit Add certificates to host entry Add commands and sudo command groups affected by Sudo Rule. Add conditions to an automember rule. Add custom value Add domain Add group for Sudo to execute as. Add hosts and hostgroups affected by Sudo Rule. Add hosts that can manage this host. Add hosts that can manage this service. Add members to Sudo Command Group. Add members to a group. Add members to a hostgroup. Add members to a netgroup. Add members to a permission. Add members to a privilege. Add members to a role. Add members to an HBAC service group. Add migrated users without a group to a default group (default: true) Add new DNS resource record. Add new certificates to a service Add new principal alias to a service Add new principal alias to host entry Add new principal alias to the user entry Add one or more certificate mappings to the user entry. Add one or more certificates to the user entry Add one or more passkey mappings to the user entry. Add permissions to a privilege. Add privileges to a role. Add services to an HBAC rule. Add target hosts and hostgroups to an HBAC rule. Add target hosts and hostgroups to an SELinux User Map rule. Add the host to DNS with this IP address Add to default group Add users and groups affected by Sudo Rule. Add users and groups for Sudo to execute as. Add users and groups to an HBAC rule. Add users and groups to an SELinux User Map rule. Add users that can manage this token. Added %(map)s Added %(src)s to %(dst)s Added Active Directory trust for realm "%(value)s" Added Certificate Identity Mapping Rule "%(value)s" Added HBAC rule "%(value)s" Added HBAC service "%(value)s" Added HBAC service group "%(value)s" Added ID range "%(value)s" Added IPA location "%(value)s" Added OTP token "%(value)s" Added RADIUS proxy server "%(value)s" Added SELinux User Map "%(value)s" Added Sudo Command "%(value)s" Added Sudo Command Group "%(value)s" Added Sudo Rule "%(value)s" Added automember rule "%(value)s" Added automount indirect map "%(value)s" Added automount key "%(value)s" Added automount location "%(value)s" Added automount map "%(value)s" Added certificates to host "%(value)s" Added certificates to service principal "%(value)s" Added certificates to user "%(value)s" Added condition(s) to "%(value)s" Added delegation "%(value)s" Added group "%(value)s" Added host "%(value)s" Added hostgroup "%(value)s" Added netgroup "%(value)s" Added new aliases to host "%(value)s" Added new aliases to the service principal "%(value)s" Added new aliases to user "%(value)s" Added option "%(option)s" to Sudo Rule "%(rule)s" Added permission "%(value)s" Added privilege "%(value)s" Added role "%(value)s" Added selfservice "%(value)s" Added service "%(value)s" Added stage user "%(value)s" Added system permission "%(value)s" Added user "%(value)s" Additional instructions: Administrator e-mail address Advertised by servers Affiliation Changed Agreements deleted Algorithm All attributes to which the permission applies All commands should at least have a result All nameservers failed to answer the query for DNS reverse zone %(revdns)s All target filters, including those implied by type and memberof Allow Allow PTR sync Allow access from the trusted domain Allow adding external non-IPA members from trusted domains Allow dynamic updates. Allow host groups to create keytab of '${primary_key}' Allow host groups to retrieve keytab of '${primary_key}' Allow hosts to create keytab of '${primary_key}' Allow hosts to retrieve keytab of '${primary_key}' Allow in-line DNSSEC signing Allow inline DNSSEC signing of records in the zone Allow query Allow synchronization of forward (A, AAAA) and reverse (PTR) records Allow synchronization of forward (A, AAAA) and reverse (PTR) records in the zone Allow transfer Allow use of IPA resources by the domain of the trust Allow user groups to create keytab of '${primary_key}' Allow user groups to retrieve keytab of '${primary_key}' Allow users to create keytab of '${primary_key}' Allow users to retrieve keytab of '${primary_key}' Allow users, groups, hosts or host groups to create a keytab of this host. Allow users, groups, hosts or host groups to create a keytab of this service. Allow users, groups, hosts or host groups to retrieve a keytab of this host. Allow users, groups, hosts or host groups to retrieve a keytab of this service. Allowed to create keytab Allowed to retrieve keytab Allows migration despite the usage of compat plugin Already registered Altitude An error has occurred (${error}) An id range already exists for this trust. You should either delete the old range, or exclude --base-id/--range-size options from the command. An interval between regular polls of the name server for new DNS zones Anchor to override Any Command Any Group Any Host Any Service Anyone Applies ID View to specified hosts or current members of specified hostgroups. If any other ID View is applied to the host, it is overriden. Apply Apply ACI to your own entry (self) Archive data into a vault. Are you sure you want to ${action} the user?<br/>The change will take effect immediately. Are you sure you want to delete ${object}? Are you sure you want to delete selected entries? Are you sure you want to disable ${object}? Are you sure you want to enable ${object}? Are you sure you want to proceed with the action? Are you sure you want to unprovision this host? Are you sure you want to unprovision this service? Arguments to details function As Whom Asks for a non-random password to use for the principal Assigned ID View Assigned manager of the token (default: self) Assigned user of the token (default: self) Attribute Attribute Key Attribute to filter via regex. For example fqdn for a host, or manager for a user Attributes Attributes to be ignored for group entries in DS Attributes to be ignored for user entries in DS Attributes to which the delegation applies Attributes to which the permission applies Attributes to which the permission applies by default Attributes to which the permission applies. Audit Authenticating Authentication Indicators Authentication indicator Authentication indicators Authentication with Kerberos failed Authentication with personal certificate failed Authoritative nameserver Authoritative nameserver domain name Authority ID Auto Membership Rule Auto Membership is not configured Auto member rule: %s not found! Automatic update of DNS system records failed. Please re-run update of system records manually to get list of missing records. Automember Rule Automember rebuild membership task completed Automount Automount Key Automount Keys Automount Location Automount Location Settings Automount Locations Automount Map Automount Maps Automount key name. Automount key object. Automount location name. Automount map name. Automount master file. Available BIND update policy Back Back to Top Bad format in credentials cache Bad or unsupported salt type.
Bad search filter Bad search filter %(info)s Base DN Base DN on remote LDAP server Base for certificate subjects (OU=Test,O=Example) Base-64 encoded certificate. Base-64 encoded host certificate Base-64 encoded server certificate Base-64 encoded service certificate Base-64 encoded user certificate Base64 decoding failed: %(reason)s Binary data to archive Bind DN Bind password already provided (-w).
Bind password required when using a bind DN (-w or -W).
Bind rule type Brief description of this profile CA CA Compromise CA certificate CA is not configured CERT Algorithm CERT Certificate Type CERT Certificate/CRL CERT Key Tag CERT record CNAME Hostname CNAME record CNAME record is not allowed to coexist with any other record (RFC 1034, section 3.6.2) COSE type to use for registration CSR Cancel Cannot create reverse record for "%(value)s": %(exc)s Cannot decode file '%(filename)s': %(exc)s Cannot establish a trust to AD deployed in the same domain as IPA. Such setup is not supported. Cannot get host's FQDN!
Cannot hide CA renewal master. Cannot hide DNSSec key master. Cannot hide last enabled %(name)s server. Cannot perform SID validation without Samba 4 support installed. Make sure you have installed server-trust-ad sub-package of IPA on the server Cannot perform external member validation without Samba 4 support installed. Make sure you have installed server-trust-ad sub-package of IPA on the server Cannot perform join operation without own domain configured. Make sure you have run ipa-adtrust-install on the IPA server first Cannot perform the selected command without Samba 4 instance configured on this machine. Make sure you have run ipa-adtrust-install on this server. Cannot perform the selected command without Samba 4 support installed. Make sure you have installed server-trust-ad sub-package of IPA. Cannot query Directory Manager with API Cannot read file '%(filename)s': %(exc)s Cannot resolve KDC for requested realm Cannot search in trusted domains without own domain configured. Make sure you have run ipa-adtrust-install on the IPA server first Cannot specify both SASL mechanism and bind DN simultaneously.
Cannot specify server and LDAP uri simultaneously.
Cannot store permission ACI to %s Cannot use %(old_name)s with %(new_name)s Car License Certificate Certificate Association Data Certificate Authorities Certificate Authority Certificate Hold Certificate Identity Mapping Global Configuration Certificate Identity Mapping Rule Certificate Identity Mapping Rule description Certificate Identity Mapping Rule name Certificate Identity Mapping Rules Certificate Identity Mapping configuration options Certificate Profile Certificate Profiles Certificate Revoked Certificate Subject base Certificate Type Certificate Usage Certificate chain Certificate for ${entity} ${primary_key} Certificate format error: %(error)s Certificate operation cannot be completed: %(error)s Certificate profiles cannot be renamed Certificate(s) stored in file '%(file)s' Certificate/CRL Certificates Cessation of Operation Change password Changed password for "%(value)s" Changed server state of "%(value)s". Character classes Check connection to remote IPA server. Check the status of a certificate signing request. Checking if record exists. Checks if any of the servers has the DNS service enabled. City Class Class of Service object used for linking policies with groups Clear Clear all fields on the page. Clears ID View from specified hosts or current members of specified hostgroups. Click to ${action} Client credentials may be delegated to the service Client is not configured. Run ipa-client-install. Client version. Used to determine if server will accept request. Clock interval Clock offset Close Closing keytab failed
Collapse All Comma separated encryption types list Comma-separated list of attributes Comma-separated list of permissions to grant (read, write, add, delete, all) Command '%(name)s' has been deprecated Command category Command category the rule applies to Command name Command not implemented Commands Common Name Conditions that could not be added Conditions that could not be removed Configuration Configured administrative server limit exceeded Configured size limit exceeded Configured time limit exceeded Confirmation Consecutive failures before lockout Consume an entitlement. Contact Settings Contact this specific KDC Server Continue Continue to next page Continuous mode: Don't stop on errors. Continuous operation mode. Errors are reported but the process continues Continuous operation mode. Errors are reported but the process continues. Could not get %(name)s interactively Counter Create Stage user in from a delete user Create a CA. Create a new Certificate Identity Mapping Rule. Create a new HBAC rule. Create a new SELinux User Map. Create a new automount key. Create a new automount location. Create a new automount map. Create a new group. Create a new indirect mount point. Create a new vault. Create as a non-POSIX group Create dns record Create new ACI. Create new DNS forward zone. Create new DNS zone (SOA record). Create new Sudo Command Group. Create new Sudo Command. Create new Sudo Rule. Create reverse Create reverse record for this IP Address Created ACI "%(value)s" Created CA "%(value)s" Creating record. Credential type Credentials cache permissions incorrect Cross-realm trusts are not configured. Make sure you have run ipa-adtrust-install on the IPA server first Current DNS record contents:
Current Password Current password is required Custom value Customization DHCID record DLV Algorithm DLV Digest DLV Digest Type DLV Key Tag DLV record DN of container for groups in DS relative to base DN DN of container for users in DS relative to base DN DN to bind as if not using kerberos DNAME Target DNAME record DNS DNS Discovery failed
DNS Forward Zone DNS Forward Zones DNS Global Configuration DNS RR type "%s" is not supported by bind-dyndb-ldap plugin DNS Resource Record DNS Resource Records DNS Zone DNS Zone Settings DNS Zones DNS check failed: Expected {%(expected)s} got {%(got)s} DNS class DNS configuration options DNS discovery for domain %s
DNS forward zone DNS forward zones DNS forwarder DNS forwarder semantics changed since IPA 4.0.
You may want to use forward zones (dnsforwardzone-*) instead.
For more details read the docs. DNS is not configured DNS label cannot be longer than 63 characters DNS label cannot be longer that 63 characters DNS record was deleted because it contained no data. DNS record(s) of host %(host)s could not be removed. (%(reason)s) DNS records can be only updated one at a time DNS resource record DNS resource record type DNS resource records DNS reverse zone %(revzone)s for IP address %(addr)s is not managed by this server DNS server DNS server %(server)s does not support DNSSEC: %(error)s.
If DNSSEC validation is enabled on IPA server(s), please disable it. DNS server %(server)s does not support EDNS0 (RFC 6891): %(error)s.
If DNSSEC validation is enabled on IPA server(s), please disable it. DNS server %(server)s: %(error)s. DNS servers DNS zone DNS zone %(zone)s not found DNS zone for each realmdomain must contain SOA or NS records. No records found for: %s DNS zone root record cannot be renamed DNS zones DNSKEY record DNSSEC support is experimental.
%(additional_info)s DNSSEC validation failed: %(error)s.
Please verify your DNSSEC configuration or disable DNSSEC validation on all IPA servers. DS Algorithm DS Digest DS Digest Type DS Key Tag DS record DS record must not be in zone apex (RFC 4035 section 2.4) DS record requires to coexist with an NS record (RFC 4592 section 4.6, RFC 4035 section 2.4) Data Debugging output Default PAC types Default SELinux user when no match is found in SELinux map rule Default attributes Default e-mail domain Default group for new users Default group for new users is not POSIX Default group for new users not found Default group objectclasses Default group objectclasses (comma-separated list) Default location of home directories Default shell Default shell for new users Default ticket policy could not be read Default time to live Default types of PAC supported for services Default types of supported user authentication Default user authentication types Default user objectclasses Default user objectclasses (comma-separated list) Default users group Degrees Latitude Degrees Longitude Delegation Delegation name Delegations Delete Delete %(name)s '%(value)s'? Delete ACI. Delete Class of Service entry Delete DNS forward zone. Delete DNS record entry. Delete DNS resource record. Delete DNS zone (SOA record). Delete IPA server. Delete Key, Unprovision Delete Sudo Command Group. Delete Sudo Command. Delete Sudo Rule. Delete a Certificate Identity Mapping Rule. Delete a Certificate Profile. Delete a RADIUS proxy server. Delete a SELinux User Map. Delete a delegation. Delete a group password policy. Delete a host. Delete a hostgroup. Delete a netgroup. Delete a permission. Delete a privilege. Delete a role. Delete a self-service permission. Delete a stage user. Delete a trust. Delete a user Delete a user, keeping the entry available for future use Delete a user. Delete all associated records Delete all? Delete an HBAC rule. Delete an HBAC service group. Delete an ID range. Delete an IPA location. Delete an IPA service. Delete an OTP token. Delete an attribute/value pair. The option will be evaluated
last, after all sets and adds. Delete an automember rule. Delete an automount key. Delete an automount location. Delete an automount map. Delete an existing HBAC service. Delete domain Delete group. Deleted ACI "%(value)s" Deleted CA "%(value)s" Deleted Certificate Identity Mapping Rule "%(value)s" Deleted DNS forward zone "%(value)s" Deleted DNS zone "%(value)s" Deleted HBAC rule "%(value)s" Deleted HBAC service "%(value)s" Deleted HBAC service group "%(value)s" Deleted ID range "%(value)s" Deleted IPA location "%(value)s" Deleted IPA server "%(value)s" Deleted OTP token "%(value)s" Deleted RADIUS proxy server "%(value)s" Deleted SELinux User Map "%(value)s" Deleted Sudo Command "%(value)s" Deleted Sudo Command Group "%(value)s" Deleted Sudo Rule "%(value)s" Deleted automember rule "%(value)s" Deleted automount key "%(value)s" Deleted automount location "%(value)s" Deleted automount map "%(value)s" Deleted delegation "%(value)s" Deleted group "%(value)s" Deleted host "%(value)s" Deleted hostgroup "%(value)s" Deleted netgroup "%(value)s" Deleted permission "%(value)s" Deleted privilege "%(value)s" Deleted profile "%(value)s" Deleted record "%(value)s" Deleted role "%(value)s" Deleted selfservice "%(value)s" Deleted service "%(value)s" Deleted stage user "%(value)s" Deleted trust "%(value)s" Deleted user "%(value)s" Deleting a managed group is not allowed. It must be detached first. Deleting this server is not allowed as it would leave your installation without a CA. Deleting this server is not allowed as it would leave your installation without a KRA. Deleting this server will leave your installation without a DNS. Deny Deprecated options Deprecated; use %s Describe currently authenticated identity. Description Description of the purpose of the CA Detach a managed group from a user. Detached group "%(value)s" from user "%(value)s" Determine whether Schema Compatibility plugin is configured to serve trusted domain users and groups Determine whether ipa-adtrust-install has been run on this system Determine whether ipa-adtrust-install has been run with sidgen task Dict of I18N messages Dict of JSON encoded IPA Commands Dict of JSON encoded IPA Methods Dict of JSON encoded IPA Objects Dictionary mapping variable name to value Digest Digest Type Digits Direct Direct Membership Direction Latitude Direction Longitude Disable Disable DNS Forward Zone. Disable DNS Zone. Disable a CA. Disable a Certificate Identity Mapping Rule. Disable a Sudo Rule. Disable a user account. Disable an HBAC rule. Disable an SELinux User Map rule. Disable per-user override Disable the Kerberos key and SSL certificate of a service. Disable the Kerberos key, SSL certificate and all services of a host. Disable use of IPA resources by the domain of the trust Disabled Disabled CA "%(value)s" Disabled Certificate Identity Mapping Rule "%(value)s" Disabled DNS forward zone "%(value)s" Disabled DNS zone "%(value)s" Disabled HBAC rule "%(value)s" Disabled SELinux User Map "%(value)s" Disabled Sudo Rule "%s" Disabled host "%(value)s" Disabled service "%(value)s" Disabled trust domain "%(value)s" Disabled user account "%(value)s" Disallow host groups to create keytab of '${primary_key}' Disallow host groups to retrieve keytab of '${primary_key}' Disallow hosts to create keytab of '${primary_key}' Disallow hosts to retrieve keytab of '${primary_key}' Disallow user groups to create keytab of '${primary_key}' Disallow user groups to retrieve keytab of '${primary_key}' Disallow users to create keytab of '${primary_key}' Disallow users to retrieve keytab of '${primary_key}' Disallow users, groups, hosts or host groups to create a keytab of this host. Disallow users, groups, hosts or host groups to create a keytab of this service. Disallow users, groups, hosts or host groups to retrieve a keytab of this host. Disallow users, groups, hosts or host groups to retrieve a keytab of this service. Discovered server %s
Display Class of Service entry Display DNS resource. Display Sudo Command Group. Display Sudo Command. Display Sudo Rule. Display a single ACI given an ACI name. Display an automount key. Display an automount location. Display an automount map. Display current entitlements. Display effective policy for a specific user Display information about a Certificate Identity Mapping Rule. Display information about a DNS forward zone. Display information about a DNS zone (SOA record). Display information about a RADIUS proxy server. Display information about a delegation. Display information about a host. Display information about a hostgroup. Display information about a named group. Display information about a netgroup. Display information about a permission. Display information about a privilege. Display information about a range. Display information about a role. Display information about a self-service permission. Display information about a trust. Display information about a user. Display information about an HBAC service group. Display information about an HBAC service. Display information about an IPA location. Display information about an IPA service. Display information about an OTP token. Display information about an automember rule. Display information about password policy. Display name Display the access rights of this entry (requires --all). See ipa man page for details. Display the current Kerberos ticket policy. Display the list of realm domains. Display the properties of a CA. Display the properties of a Certificate Profile. Display the properties of a SELinux User Map rule. Display the properties of an HBAC rule. Display user record for current Kerberos principal Do not display QR code Do not update records only return expected records Do you want to remove kerberos alias ${alias}? Dogtag Authority ID Domain Domain '%(domain)s' is not a root domain for forest '%(forest)s' Domain GUID Domain NetBIOS name Domain SID of the trusted domain Domain Security Identifier Domain controller for the Active Directory domain (optional) Domain enabled Domain name Domain where the user entry will be searched Don't create user private group Download Download certificate as PEM formatted file. Dry run Duplicate keys skipped: Duplicate maps skipped: Dynamic update Edit Edit ${entity} Effective attributes Email address Employee Information Employee Type Enable Enable DNS Forward Zone. Enable DNS Zone. Enable a CA. Enable a Certificate Identity Mapping Rule. Enable a Sudo Rule. Enable a user account. Enable an HBAC rule. Enable an SELinux User Map rule. Enable migration mode Enable or Disable Anonymous PKINIT. Enabled Enabled CA "%(value)s" Enabled Certificate Identity Mapping Rule "%(value)s" Enabled DNS forward zone "%(value)s" Enabled DNS zone "%(value)s" Enabled HBAC rule "%(value)s" Enabled SELinux User Map "%(value)s" Enabled Sudo Rule "%s" Enabled server roles Enabled trust domain "%(value)s" Enabled user account "%(value)s" Encryption types to request Enctype comparison failed!
Enrollment Enrollment UUID Enrollment UUID (not implemented) Enrollment failed. %s
Enter %(label)s again to verify: Enter LDAP password Entry Entry %s does not exist Entry %s not found Error Error changing account status Error getting default Kerberos realm: %s.
Error obtaining initial credentials: %s.
Error parsing "%1$s": %2$s.
Error resolving keytab: %s.
Error storing creds in credential cache: %s.
Establish bi-directional trust. By default trust is inbound one-way only. Establish external trust to a domain in another forest. The trust is not transitive beyond the domain. Exceeded number of tries to forward a request. Exchanger Excluded attributes Exclusive Regex Expand All Expanding buffer in jsonrpc_handle_response failed Expires On Export plugin meta-data for the webUI. Expression External External Group the commands can run as (sudorule-find only) External User External User the commands can run as (sudorule-find only) External User the rule applies to (sudorule-find only) External host External member External trust Extra hashes to generate in password plug-in Extra target filter Extracting the data from the JSON-RPC response failed: %s
Extracting the error from the JSON-RPC response failed: %s
Failed CAs Failed RunAs Failed RunAsGroup Failed allowed to create keytab Failed allowed to retrieve keytab Failed hosts/hostgroups Failed logins Failed managedby Failed members Failed owners Failed profiles Failed service/service groups Failed source hosts/hostgroups Failed targets Failed to add Failed to add key to the keytab
Failed to add user to the default group. Use 'ipa group-add-member' to add manually. Failed to bind to server!
Failed to clean memberPrincipal %(principal)s from s4u2proxy entry %(dn)s: %(err)s Failed to clean up Custodia keys for %(master)s: %(err)s Failed to clean up DNA hostname entries for %(master)s: %(err)s Failed to cleanup %(hostname)s DNS entries: %(err)s Failed to cleanup server principals/keys: %(err)s Failed to close the keytab
Failed to connect to sssd over SystemBus. See details in the error_log Failed to create control!
Failed to create key material
Failed to create key!
Failed to create random key!
Failed to decode control reply!
Failed to find users over SystemBus. See details in the error_log Failed to get keytab
Failed to get keytab!
Failed to get result: %s
Failed to open Keytab
Failed to open config file %s
Failed to open keytab
Failed to open keytab '%1$s': %2$s
Failed to parse config file %s
Failed to parse extended result: %s
Failed to parse result: %s
Failed to remove Failed to remove server %(master)s from server list: %(err)s Failed to resolve symlink to keytab.
Failed to retrieve any keys Failed to retrieve encryption type %1$s (#%2$d)
Failed to retrieve encryption type type #%d
Failed to set cursor '%1$s'
Failed users/groups Failure decoding Certificate Signing Request: %s Failure reset interval Fallback primary group False False if migration fails because the compatibility plug-in is enabled. False if migration mode was disabled. Fax Number Fetching domains from trusted forest failed. See details in the error_log File %(file)s not found File containing data to archive File containing profile configuration File containing the new vault password File containing the new vault public key File containing the old vault password File containing the old vault private key File containing the vault password File containing the vault private key File containing the vault public key File to load the certificate from File to load the certificate from. File to store retrieved data File to store the certificate in. Filename is empty Filename of a raw profile. The XML format is not supported. Filter Filter available ${other_entity} Find Find a server role on a server(s) Fingerprint Fingerprint (SHA1) Fingerprint (SHA256) Fingerprint Type Fingerprints First Code First Posix ID of the range First Posix ID of the range reserved for the trusted domain First RID of the corresponding RID range First RID of the secondary RID range First date/time the token can be used First name Flags Following segments were not deleted: Force Force DNS zone creation even if it will overlap with an existing zone. Force DNS zone creation even if nameserver is not resolvable. Force DNS zone creation even if nameserver is not resolvable. (Deprecated) Force adding domain even if not in DNS Force nameserver change even if nameserver not in DNS Force server removal Force server removal even if it does not exist Force the host join. Rejoin even if already joined. Forcing removal of %(hostname)s Forest '%(forest)s' has existing trust to forest(s) %(domains)s which prevents a trust to '%(conflict)s' Forward policy Forward policy is defined for it in IPA DNS, perhaps forwarder points to incorrect host? Forward to server instead of running locally Forward zones only Forwarding policy conflicts with some automatic empty zones. Queries for zones specified by RFC 6303 will ignore forwarding and recursion and always result in NXDOMAIN answers. To override this behavior use forward policy 'only'. Found '%(value)s' Full name Fully Qualified Host Name Function to get details GECOS GID GID (use this option to set it manually) GSSAPI|EXTERNAL General Generate a random password to be used in bulk enrollment Generate automount files for a specific location. Get Global DNS configuration is empty Global Trust Configuration Global forwarders Global forwarders. A custom port can be specified for each forwarder using a standard format "IP_ADDRESS port PORT" Global forwarding policy. Set to "none" to disable any configured global forwarders. Granted rights Granted to Privilege Granting privilege to roles Group Group '%s' does not exist Group ID Number Group Options Group Settings Group Type Group container Group description Group name Group object class Group search fields Group to apply ACI to Grouping Type Grouping to which the rule applies Groups Groups allowed to create keytab Groups allowed to retrieve keytab Groups of RunAs Users HBAC Rule HBAC Rule that defines the users, groups and hostgroups HBAC Rules HBAC Service HBAC Service Group HBAC Service Groups HBAC Services HBAC Test HBAC rule HBAC rule %(rule)s not found HBAC rule and local members cannot both be set HBAC rules HBAC service HBAC service description HBAC service group HBAC service group description HBAC service groups HBAC services HIP record HOTP Authentication Window HOTP Synchronization Window HOTP authentication skip-ahead HOTP synchronization skip-ahead HTTP Error Hardware MAC address(es) on this host Hardware platform of the host (e.g. Lenovo T61) Hello world Hide Hide details Hide details which rules are matched, not matched, or invalid History size Home directory Home directory base Horizontal Precision Host Host '%(host)s' not found Host '%(hostname)s' does not have corresponding DNS A/AAAA record Host Certificate Host Group Host Group Settings Host Groups Host Groups allowed to create keytab Host Groups allowed to retrieve keytab Host Name Host Settings Host category Host category (semantics placed on this attribute are for local interpretation) Host category the rule applies to Host hardware platform (e.g. "Lenovo T61") Host is already joined.
Host locality (e.g. "Baltimore, MD") Host location (e.g. "Lab 2") Host name Host operating system and version (e.g. "Fedora 9") Host-based access control commands Host-group Hostgroups whose hosts should have ID Views cleared. Note that view is not cleared automatically from any host added to the hostgroup after running idview-unapply command. Hostname Hostname (FQDN) Hostname of this server Hosts Hosts allowed to create keytab Hosts allowed to retrieve keytab Hosts or hostgroups that this ID View could not be applied to. Hosts that ID View was cleared from. Hosts to clear (any) ID View from. How long should negative responses be cached ID Range ID Ranges ID View Name ID range for the trusted domain already exists, but it has a different type. Please remove the old range manually, or do not enforce type via --range-type option. ID range type, one of allowed values ID range type, one of ipa-ad-trust-posix, ipa-ad-trust, ipa-local ID range with the same name but different domain SID already exists. The ID range for the new trusted domain must be created manually. IMPORTANT: In case of a high number of users, hosts or groups, the operation may require high CPU usage. IP Address IP address %(ip)s is already assigned in domain %(domain)s. IP network to create reverse zone name from IPA AD trust agents IPA AD trust controllers IPA CA cannot be deleted IPA CA cannot be disabled IPA CA certificate IPA DNS records IPA DNS servers IPA DNS version IPA DNSSec key master IPA Error IPA Location IPA Location description IPA Locations IPA Range type must be one of ipa-ad-trust or ipa-ad-trust-posix when SID of the trusted domain is specified IPA Range type must not be one of ipa-ad-trust or ipa-ad-trust-posix when SID of the trusted domain is not specified. IPA Server IPA Server Role IPA Server Roles IPA Server to use IPA Servers IPA does not manage the zone %(zone)s, please add records to your DNS server manually IPA location name IPA location records IPA manages DNS, please verify your DNS configuration and make sure that service records of the '{domain}' domain can be resolved. Examples how to configure DNS with CLI commands or the Web UI can be found in the documentation. IPA namingContext not found
IPA role name IPA server configured as DNSSec key master IPA server domain cannot be deleted IPA server domain cannot be omitted IPA server hostname IPA server role name IPA servers configured as AD trust agents IPA servers configured as AD trust controllers IPA unique ID IPSECKEY record Identity Identity Settings If the problem persists please contact the system administrator. Ignore check for last remaining CA or DNS server Ignore compat plugin Ignore group attribute Ignore group object class Ignore topology connectivity problems after removal Ignore topology errors Ignore user attribute Ignore user object class Ignored %(src)s to %(dst)s Ignored keys: Ignoring these warnings and proceeding with removal Ignoring topology connectivity errors. Import a Certificate Profile. Import an entitlement certificate. Import automount files for a specific location. Imported keys: Imported maps: Imported profile "%(value)s" Include Disabled Include Enabled Include IPA master entries Include all disabled IPA rules into test Include all enabled IPA rules into test [default] Include certificate chain in output Included attributes Inclusive Regex Incompatible options provided (-r and -P)
Indirect Indirect Member HBAC service Indirect Member HBAC service group Indirect Member groups Indirect Member host-groups Indirect Member hosts Indirect Member netgroups Indirect Member of netgroup Indirect Member of roles Indirect Member permissions Indirect Member users Indirect Membership Inherited from server configuration Initial counter for the HOTP token Initials Input data specified multiple times Input file Input filename Input form contains invalid or missing values. Insufficient 'add' privilege for entry '%s'. Insufficient 'write' privilege to the 'krbLastPwdChange' attribute of entry '%s'. Insufficient access: %(info)s Insufficient privilege to delete a CA. Insufficient privilege to modify a CA. Insufficient privilege to modify a certificate profile. Internal Error Internationalization messages Invalid JSON-RPC request: %(error)s Invalid LDAP URI. Invalid SASL bind mechanism
Invalid Service Principal Name
Invalid credentials Invalid number of parts! Invalid or unsupported type. Allowed values are: %s Invalid or unsupported vault public key: %s Invalid vault type Is zone active? Issue Issued By Issued On Issued To Issued on from this date (YYYY-mm-dd) Issued on to this date (YYYY-mm-dd) Issuer Issuer DN Issuer Distinguished Name It is used only for setting the SOA MNAME attribute. JSON-RPC call failed with status code: %li
JSON-RPC call failed: %s
JSON-RPC call was unauthorized. Check your credentials.
JSON-RPC request:
%s
JSON-RPC response:
%s
Job Title Join an IPA domain KEY record KX Exchanger KX Preference KX record Kerberos Credential Cache not found. Do you have a Kerberos Ticket?
Kerberos Key Kerberos Key Not Present Kerberos Key Present, Host Provisioned Kerberos Key Present, Service Provisioned Kerberos Principal you entered is expired Kerberos Service Principal Name Kerberos Ticket Policy Kerberos User Principal not found. Do you have a valid Credential Cache?
Kerberos context initialization failed
Kerberos context initialization failed: %1$s (%2$d)
Kerberos error: %(major)s/%(minor)s Kerberos keys available Kerberos principal Kerberos principal %s already exists. Use 'ipa user-mod' to set it manually. Kerberos principal name for this host Key Key Compromise Key Tag Keytab Keytab File Name Keytab successfully retrieved and stored in: %s
LDAP DN LDAP SASL bind mechanism if no bindd/bindpw LDAP URI LDAP URI of DS server to migrate from LDAP basedn LDAP password LDAP password (if not using Kerberos) LDAP schema LDAP search scope for users and groups: base, onelevel, or subtree. Defaults to onelevel LDAP timeout LDAP uri to connect to. Mutually exclusive with --server LOC Altitude LOC Degrees Latitude LOC Degrees Longitude LOC Direction Latitude LOC Direction Longitude LOC Horizontal Precision LOC Minutes Latitude LOC Minutes Longitude LOC Seconds Latitude LOC Seconds Longitude LOC Size LOC Vertical Precision LOC record Last date/time the token can be used Last failed authentication Last name Last successful authentication Leading and trailing spaces are not allowed Legal LDAP filter (e.g. ou=Engineering) Length of TOTP token code validity List all service vaults List of IPA masters configured as DNS servers List of deletions that failed List of enabled roles List of servers which advertise the given location List of trust domains successfully refreshed. Use trustdomain-find command to list them. Lists of objects migrated; categorized by type. Lists of objects that could not be migrated; categorized by type. Load CA certificate of LDAP server from FILE Loading Loading data Locality Location Location name Location of the ACI Lockout duration Log In Using Certificate Log in Log in using personal certificate Log out Logged In As Login failed due to an unknown reason Login shell Lower number means higher priority. Clients will attempt to contact the URI with the lowest-numbered priority they can reach. Lower number means higher priority. Clients will attempt to contact the server with the lowest-numbered priority they can reach. MAC address MS-PAC MX Exchanger MX Preference MX record Mailing Address Malformed DN Malformed principal Malformed principal: '%(value)s' Manage password policy for specific group Manage ticket policy for specific user Managed by Managed suffixes Managedby permission Manager Map Map Type Mapping rule Mapping ruleset "%(ruleset)s" has more than one rule for the %(helper)s helper Mark the token as disabled (default: false) Master file Match Match users according to certificate. Matched Matched rules Matching Type Matching rule Max domain level Max failures Max life Max lifetime (days) Max renew Maximum amount of time (seconds) for a search (> 0, or -1 for unlimited) Maximum domain level Maximum number of agreements per replica Maximum number of entries returned Maximum number of entries returned (0 is unlimited) Maximum number of records to search (-1 is unlimited) Maximum password lifetime (in days) Maximum renewable age (seconds) Maximum ticket life (seconds) Maximum username length Maximum value is ${value} May not be empty Member HBAC service Member HBAC service groups Member Host Member Sudo commands Member groups Member host-groups Member hosts Member netgroups Member of Member of HBAC service groups Member of a group Member of group Member of groups Member of host-groups Member of netgroups Member service groups Member services Member user group Member users Members of a trusted domain in DOM\name or name@domain form Members that could not be added Members that could not be removed Migrate Migrate users and groups from DS to IPA. Migration mode is disabled.
Use 'ipa config-mod --enable-migration=TRUE' to enable it. Migration of LDAP search reference is not supported. Min domain level Min length Min lifetime (hours) Minimum domain level Minimum length of password Minimum number of character classes Minimum password lifetime (in hours) Minimum value is ${value} Minutes Latitude Minutes Longitude Misc. Information Missing executable %s, use the command with LOGIN PASSKEY instead of LOGIN --register Missing new vault public key Missing or invalid HTTP Referer, %(referer)s Missing reply control list!
Missing reply control!
Missing values: Missing vault private key Missing vault public key Mobile Telephone Number Model Modified "%(value)s" trust configuration Modified ACI "%(value)s" Modified CA "%(value)s" Modified Certificate Identity Mapping Rule "%(value)s" Modified Certificate Profile "%(value)s" Modified HBAC rule "%(value)s" Modified HBAC service "%(value)s" Modified HBAC service group "%(value)s" Modified ID range "%(value)s" Modified IPA location "%(value)s" Modified IPA server "%(value)s" Modified OTP token "%(value)s" Modified RADIUS proxy server "%(value)s" Modified SELinux User Map "%(value)s" Modified Sudo Command "%(value)s" Modified Sudo Command Group "%(value)s" Modified Sudo Rule "%(value)s" Modified automember rule "%(value)s" Modified automount key "%(value)s" Modified automount map "%(value)s" Modified delegation "%(value)s" Modified group "%(value)s" Modified host "%(value)s" Modified hostgroup "%(value)s" Modified netgroup "%(value)s" Modified permission "%(value)s" Modified privilege "%(value)s" Modified role "%(value)s" Modified selfservice "%(value)s" Modified service "%(value)s" Modified stage user "%(value)s" Modified trust "%(value)s" (change will be effective in 60 seconds) Modified user "%(value)s" Modify %(name)s '%(value)s'? Modify ACI. Modify CA configuration. Modify Certificate Identity Mapping configuration. Modify Certificate Profile configuration. Modify Class of Service entry Modify DNS forward zone. Modify DNS zone (SOA record). Modify ID range. Modify ID range.
Modify Kerberos ticket policy. Modify OTP configuration options. Modify Sudo Command Group. Modify Sudo Command. Modify Sudo Rule. Modify a Certificate Identity Mapping Rule. Modify a DNS resource record. Modify a OTP token. Modify a RADIUS proxy server. Modify a SELinux User Map. Modify a delegation. Modify a group password policy. Modify a group. Modify a hostgroup. Modify a netgroup. Modify a permission. Modify a privilege. Modify a role. Modify a self-service permission. Modify a stage user. Modify a user. Modify a vault. Modify an HBAC rule. Modify an HBAC service group. Modify an HBAC service. Modify an automember rule. Modify an automount key. Modify an automount map. Modify an existing IPA service. Modify configuration options. Modify global DNS configuration. Modify global trust configuration. Modify information about a host. Modify information about an IPA location. Modify information about an IPA server. Modify trustdomain of the trust More than one entry with key %(key)s found, use --info to select specific entry. Mount information Mount point Move deleted user into staged area Must be an integer NAPTR Flags NAPTR Order NAPTR Preference NAPTR Regular Expression NAPTR Replacement NAPTR Service NAPTR record NIS domain name NONE value cannot be combined with other PAC types NS Hostname NS record NS record is not allowed to coexist with an %(type)s record except when located in a zone root record (RFC 2181, section 6.1) NS record(s) can be edited in zone apex - '@'. NSEC record NSEC3 record NSEC3PARAM record NSEC3PARAM record for zone in format: hash_algorithm flags iterations salt Name Name for referencing the CA Name of command to export Name of host-group Name of method to export Name of object to export Name of parent automount map (default: auto.master). Name of the trusted domain Nameserver '%(host)s' does not have a corresponding A/AAAA record Nameserver for reverse zone cannot be a relative DNS name Neither --del-all nor options to delete a specific record provided.
Command help may be consulted for all supported record types. Nested Methods to execute NetBIOS name Netgroup Netgroup Settings Netgroup description Netgroup name Netgroups New ACI name New Certificate New Password New Principal Password New Test New kerberos principal alias New mount information New public key specified multiple times New vault password Next No A, AAAA, SSHFP or PTR records found. No DNS servers in IPA location %(location)s. Without DNS servers location is not working as expected. No DNSSEC key master is installed. DNSSEC zone signing will not work until the DNSSEC key master is installed. No Valid Certificate No credentials cache found No entries. No file to read No free YubiKey slot! No keys accepted by KDC
No matching entries found No option to delete specific record provided. No option to modify specific record provided. No permission to join this host to the IPA domain.
No response No such virtual command No system preferred enctypes ?!
No values for %s No wait No write permissions on keytab file '%s'
Non-existent or invalid rules Not After Not Before Not a managed group Not a valid IP address Not a valid IPv4 address Not a valid IPv6 address Not allowed on non-leaf entry Not enough arguments specified to perform trust setup Not matched rules Not registered yet Note Number of IDs in the range Number of conditions added Number of conditions removed Number of days's notice of impending password expiration Number of digits each token code will have Number of entries returned Number of hosts that had a ID View was unset: Number of hosts the ID View was applied to: Number of members added Number of members removed Number of permissions added Number of permissions removed Number of plugins loaded Number of privileges added Number of privileges removed Number of variables returned (<= total) OK OTP OTP Configuration OTP Token OTP Tokens OTP configuration options OTP token OTP tokens Object class name Objectclasses to be ignored for group entries in DS Objectclasses to be ignored for user entries in DS Objectclasses used to search for group entries in DS Objectclasses used to search for user entries in DS Old vault password Old vault private key One of group, permission or self is required One time password commands Only one value is allowed Only one zone type is allowed per zone name Only the ipa-ad-trust and ipa-ad-trust-posix are allowed values for --range-type when adding an AD trust. Operating System and version of the host (e.g. Fedora 9) Operating system Operation failed: %s
Operations Error Option rid-base must not be used when IPA range type is ipa-ad-trust-posix Optional DN subtree from where an entry can be moved (must be in the subtree, but may not yet exist) Optional DN subtree where an entry can be moved to (must be in the subtree, but may not yet exist) Optional DN to apply the permission to (must be in the subtree, but may not yet exist) Options Options dom-sid and dom-name cannot be used together Options dom-sid and rid-base must be used together Options dom-sid and secondary-rid-base cannot be used together Options dom-sid/dom-name and rid-base must be used together Options dom-sid/dom-name and secondary-rid-base cannot be used together Options secondary-rid-base and rid-base must be used together Order Order in increasing priority of SELinux users, delimited by $ Org. Unit Organization Organizational Unit Origin DN subtree Other Record Types Out of Memory!
Out of memory
Out of memory
Out of memory! Out of memory!
Out of memory!?
Output debug info Output filename Output only on errors Override default list of supported PAC types. Use 'NONE' to disable PAC support for this service Override default list of supported PAC types. Use 'NONE' to disable PAC support for this service, e.g. this might be necessary for NFS services. Override existing password Override inherited settings Overwrite GID Owner PAC type PAD PKINIT PKINIT status POSIX PTR Hostname PTR record Page Pager Number Pagination Size Parent map Parse all raw DNS records and return them in a structured way Parsing JSON-RPC response failed: %s
Parsing JSON-RPC response failed: no 'result' value found.
Password Password Expiration Notification (days) Password Policies Password Policy Password can be specified only for symmetric vault Password cannot be set on enrolled host. Password change complete Password expiration Password history size Password plugin features Password specified multiple times Password used in bulk enrollment Passwords do not match Passwords do not match! Passwords do not match!
Passwords have been migrated in pre-hashed format.
IPA is unable to generate Kerberos keys unless provided
with clear text passwords. All migrated users need to
login at https://your.domain/ipa/migration/ before they
can use their Kerberos accounts. Passwords must match Path to the IPA CA certificate Per-zone conditional forwarding policy. Set to "none" to disable forwarding to global forwarder for this zone. In that case, conditional zone forwarders are disregarded. Per-zone forwarders. A custom port can be specified for each forwarder using a standard format "IP_ADDRESS port PORT" Period after which failure count will be reset (seconds) Period for which lockout is enforced (seconds) Permission Permission ACI grants access to Permission denied: %(file)s Permission flags Permission name Permission type Permission value Permission with unknown flag %s may not be modified or removed Permissions Permissions to grant (read, write). Default is write. Permissions to grant(read, write, add, delete, all) Permitted Encryption Types Ping a remote server. Platform Please choose a type of DNS resource record to be added Please specify forwarders. Please try the following options: Policy Port Positional arguments Pre-authentication is required for the service Pre-shared password Predefined profile '%(profile_id)s' cannot be deleted Preference Preference given to this exchanger. Lower values are more preferred Prefix used to distinguish ACI types (permission, delegation, selfservice, none) Preserved user Prev Primary RID range and secondary RID range cannot overlap Primary key only Principal Principal %(principal)s cannot be authenticated: %(message)s Principal alias Principal for this certificate (e.g. HTTP/test.example.com) Principal is not of the form user@REALM: '%(principal)s' Principal name Print as little as possible Print debugging information Print entries as stored on the server. Only affects output format. Print the raw XML-RPC output in GSSAPI mode Priority Priority (order) Priority of the policy (higher number means lower priority Priority of the rule (higher number means lower priority Private key specified multiple times Privilege Privilege Settings Privilege Withdrawn Privilege description Privilege name Privileges Profile ID Profile ID '%(cli_value)s' does not match profile data '%(file_value)s' Profile ID for referring to this profile Profile category Profile configuration Profile configuration stored in file '%(file)s' Profile data specifies profileId multiple times: %(values)s Profile description Prompt for LDAP password Prompt for the username Prompt for the username when multiple identities are mapped to a certificate Prompt to set the user password Prospective Provisioning Public key can be specified only for asymmetric vault Public key specified multiple times QR code width is greater than that of the output tty. Please resize your terminal. Quantity Query returned more results than the configured size limit. Displaying the first ${counter} results. Quick Links Quiet mode. Only errors are displayed. RADIUS RADIUS Server RADIUS Servers RADIUS proxy server RADIUS proxy server name RADIUS proxy server with name "%s" already exists RADIUS proxy servers RP record RPC command used to log the current user out of their session. RRSIG record Random password Range name Range type Raw %s records Raw A6 records Raw AAAA records Raw AFSDB records Raw APL records Raw CERT records Raw CNAME records Raw DHCID records Raw DLV records Raw DNAME records Raw DNSKEY records Raw DS records Raw HIP records Raw IPSECKEY records Raw KEY records Raw KX records Raw LOC records Raw MX records Raw NAPTR records Raw NS records Raw NSEC records Raw NSEC3 records Raw PTR records Raw RP records Raw RRSIG records Raw SIG records Raw SPF records Raw SRV records Raw SSHFP records Raw TA records Raw TKEY records Raw TLSA records Raw TSIG records Raw TXT records Raw target filter Raw value of a DNS record was already set by "%(name)s" option Re-established trust to domain "%(value)s" Re-sync the local entitlement cache with the entitlement server. Realm Domains Realm administrator password should be specified Realm domains Realm name Realm-domain mismatch Reason Reason for Revocation Reason for revoking the certificate (0-10) Rebuild auto membership Rebuild membership for all members of a grouping Rebuild membership for specified hosts Rebuild membership for specified users Recommended maximum number of agreements per replica exceeded Record Type Record creation failed. Record data Record name Record not found. Record type Records Records for DNS Zone Redirection Refresh Refresh list of the domains associated with the trust Refresh the page. Register the passkey Register to the entitlement system. Registration password Regular Expression Relative record name '%(record)s' contains the zone name '%(zone)s' as a suffix, which results in FQDN '%(fqdn)s'. This is usually a mistake caused by a missing dot at the end of the name specification. Relative weight for entries with the same priority. Relative weight for server services (counts per location) Reload current settings from the server. Reload the browser. Remote IPA server hostname Remote server name Remove Remove A, AAAA, SSHFP and PTR records of the host(s) managed by IPA DNS Remove Kerberos Alias Remove a manager to the user entry Remove a permission for per-forward zone access delegation. Remove a permission for per-zone access delegation. Remove all principals in this realm Remove an option from Sudo Rule. Remove certificates from a service Remove certificates from host entry Remove commands and sudo command groups affected by Sudo Rule. Remove conditions from an automember rule. Remove default (fallback) group for all unmatched entries. Remove entries from DNS Remove from CRL Remove group for Sudo to execute as. Remove hold Remove hosts and hostgroups affected by Sudo Rule. Remove hosts that can manage this host. Remove hosts that can manage this service. Remove information about the domain associated with the trust. Remove members from Sudo Command Group. Remove members from a group. Remove members from a hostgroup. Remove members from a netgroup. Remove members from a permission. Remove members from a role. Remove members from an HBAC service group. Remove one or more certificate mappings from the user entry. Remove one or more certificates to the user entry Remove orphan automember rules Remove permissions from a privilege. Remove principal alias from a host entry Remove principal alias from a service Remove principal alias from the user entry Remove privileges from a role. Remove service and service groups from an HBAC rule. Remove target hosts and hostgroups from an HBAC rule. Remove target hosts and hostgroups from an SELinux User Map rule. Remove users and groups affected by Sudo Rule. Remove users and groups for Sudo to execute as. Remove users and groups from an HBAC rule. Remove users and groups from an SELinux User Map rule. Remove users that can manage this token. Removed aliases from host "%(value)s" Removed aliases from user "%(value)s" Removed aliases to the service principal "%(value)s" Removed certificates from host "%(value)s" Removed certificates from service principal "%(value)s" Removed certificates from user "%(value)s" Removed condition(s) from "%(value)s" Removed information about the trusted domain "%(value)s" Removed option "%(option)s" from Sudo Rule "%(rule)s" Removed system permission "%(value)s" Removing %(servers)s from replication topology, please wait... Removing principal %s
Rename Rename an ACI. Rename the %(ldap_obj_name)s object Rename the DNS resource record object Rename the automount key object Rename the permission object Renamed ACI to "%(value)s" Replacement Replica is active DNSSEC key master. Uninstall could break your DNS system. Please disable or replace DNSSEC key master first. Replication agreement for %(hostname)s not found Replication topology of suffix "%(suffix)s" contains errors. Replication topology of suffix "%(suffix)s" is in order. Report PKINIT status on the IPA masters Request failed with status %(status)s: %(reason)s Request id Request is missing "method" Request is missing "params" Request must be a dict Request status Require user verification during authentication with the passkey Required field Requires pre-authentication Reset Reset Kerberos ticket policy to the default values. Reset OTP Reset Password Reset Password and Log in Resolve a host name in DNS. Resolve a host name in DNS. (Deprecated) Resolve security identifiers of users and groups in trusted domains Restore Result Result of simulation Result of the command Results are truncated, try a more specific search Results should contain primary key attribute only ("%s") Results should contain primary key attribute only ("location") Results should contain primary key attribute only ("map") Results should contain primary key attribute only ("name") Results should contain primary key attribute only ("principal") Results should contain primary key attribute only ("sudocmdgroup-name") Results should contain primary key attribute only ("sudorule-name") Retries Retrieve a data from a vault. Retrieve an existing certificate. Retrieve and print all attributes from the server. Affects command output. Retrieve current keys without changing them Retrieve the entitlement certs. Retrieving CA cert chain failed: %s Retrieving CA status failed with status %d Retrieving CA status failed: %s Retry Retrying with pre-4.0 keytab retrieval method...
Return to the main page and retry the operation Reverse record for IP address %(ip)s already exists in reverse zone %(zone)s. Reverse zone %(name)s requires exactly %(count)d IP address components, %(user_count)d given Reverse zone IP network Revert Revocation reason Revoke Revoke a certificate. Revoked Revoked on from this date (YYYY-mm-dd) Revoked on to this date (YYYY-mm-dd) Rights Rights to grant (read, search, compare, write, add, delete, all) Role Role Settings Role name Role status Roles Root domain of the trust is always enabled for the existing trust Rule name Rule status Rule type Rule type (allow) Rule used to check if a certificate can be used for authentication Rule used to map the certificate with a user entry Rules Rules to test. If not specified, --enabled is assumed Run Commands Run Test Run as a user Run as any user within a specified group Run with the gid of a specified POSIX group RunAs External Group RunAs External User RunAs Group category RunAs Group category the rule applies to RunAs Groups RunAs User category RunAs User category the rule applies to RunAs Users SASL Bind failed
SELinux User SELinux User Map SELinux User Map rule SELinux User Map rules SELinux User Maps SELinux user %(user)s not found in ordering list (in config) SELinux user map list not found in configuration SELinux user map order SHA1 Fingerprint SID SID blacklist incoming SID blacklist outgoing SID for the specified trusted domain name could not be found. Please specify the SID directly using dom-sid option. SID is not recognized as a valid SID for a trusted domain SID is not valid SIG record SMB service NetBIOS name SOA class SOA expire SOA minimum SOA record class SOA record expire time SOA record refresh time SOA record retry time SOA record serial number SOA refresh SOA retry SOA serial SPF record SRV Port SRV Priority SRV Target SRV Weight SRV record SSH public key SSH public key fingerprint SSHFP Algorithm SSHFP Fingerprint SSHFP Fingerprint Type SSHFP record Same as --%s Save Schema is up to date (FP '%(fingerprint)s', TTL %(ttl)s s) Search Search Options Search domains of the trust Search for %1$s on rootdse failed with error %2$d
Search for CAs. Search for Certificate Identity Mapping Rules. Search for Certificate Profiles. Search for Class of Service entry Search for DNS forward zones. Search for DNS resources. Search for DNS zones (SOA records). Search for HBAC rules. Search for HBAC services. Search for IPA locations. Search for IPA namingContext failed with error %d
Search for IPA servers. Search for IPA services. Search for OTP token. Search for RADIUS proxy servers. Search for SELinux User Maps. Search for Sudo Command Groups. Search for Sudo Commands. Search for Sudo Rule. Search for a netgroup. Search for a self-service permission. Search for an HBAC service group. Search for an automount key. Search for an automount location. Search for an automount map. Search for automember rules. Search for delegations. Search for entitlement accounts. Search for forward zones only Search for group password policies. Search for groups. Search for hostgroups. Search for hosts without these managed by hosts. Search for hosts. Search for permissions. Search for privileges. Search for ranges. Search for roles. Search for services with these managed by hosts. Search for services without these managed by hosts. Search for trusts. Search for users. Search result has been truncated: %(reason)s Search scope Search size limit Search time limit Second Code Seconds Latitude Seconds Longitude Secret Security Identifier Security Identifiers (SIDs) Select All Select entries to be removed. Selector Self Self Service Permission Self Service Permissions Self-service name Semantic of %(label)s was changed. %(current_behavior)s
%(hint)s Semicolon separated list of IP addresses or networks which are allowed to issue queries Semicolon separated list of IP addresses or networks which are allowed to transfer the zone Serial Serial Number Serial Number (hex) Serial number Serial number (hex) Serial number in decimal or if prefixed with 0x in hexadecimal Server Server "%(srv)s" has %(n)d agreements with servers: Server %(srv)s can't contact servers: %(replicas)s Server Name Server has already been deleted Server name Server name not provided and unavailable
Server removal aborted: %(reason)s. Server state Server will check DNS forwarder(s). Servers Servers details: Servers in location Servers that belongs to the IPA location Service Service %(service)s requires restart on IPA server %(server)s to apply configuration changes. Service '%(service)s' not found in Kerberos database Service Certificate Service Groups Service Settings Service category Service category the rule applies to Service group name Service name Service principal Service principal alias Service principal for this certificate (e.g. HTTP/test.example.com) Service principal is not of the form: service/fully-qualified host name: %(reason)s Service principal is required Service relative weight Service weight Services Session error Set Set OTP Set a user's password. Set an attribute to a name/value pair. Format is attr=value.
For multi-valued attributes, the command replaces the values already present. Set default (fallback) group for all unmatched entries. Set enabled/hidden state of a server. Settings Shared secret for the trust Show Show IPA server. Show Results Show all loaded plugins. Show details Show environment variables. Show global trust configuration. Show role status on a server Show the current Certificate Identity Mapping configuration. Show the current OTP configuration. Show the current configuration. Show the current global DNS configuration. Show the list of permitted encryption types and exit Showing ${start} to ${end} of ${total} entries. Simple bind failed
Simulate use of Host-based access controls Since IPA does not manage DNS records, ensure DNS is configured to resolve '{domain}' domain from IPA hosts and back. Size Size Limit Size of data exceeds the limit. Current vault data size limit is %(limit)d B Size of the ID range reserved for the trusted domain Skip a check whether the last CA master or DNS server is removed Skip host check Skipped %(key)s Skipped %(map)s Some entries were not deleted Some operations failed. Specified Commands and Groups Specified Groups Specified Hosts and Groups Specified Services and Groups Specified Users and Groups Specified trusted domain name could not be found. Specifies where to store keytab information. Specify external ${entity} Split DNS record to parts Stage Stage User Stage Users Staged user account "%(value)s" Standard Record Types State State/Province Status Status of the role Store issued certificates Street address Structured Subject Subject DN Subject DN is already used by CA '%s' Subject Distinguished Name Submit a certificate signing request. Subtree Subtree to apply ACI to Subtree to apply permissions to Subtype Success Sudo Sudo Allow Command Groups Sudo Allow Commands Sudo Command Sudo Command Group Sudo Command Groups Sudo Commands Sudo Deny Command Groups Sudo Deny Commands Sudo Option Sudo Rule Sudo Rules Sudo order Superseded Supported encryption types:
Suppress processing of membership attributes. Synchronize an OTP token. Syntax Error: %(error)s System encoding must be UTF-8, '%(encoding)s' is not supported. Set LC_ALL="C.UTF-8", or LC_ALL="" and LC_CTYPE="C.UTF-8". TA record TKEY record TLSA Certificate Association Data TLSA Certificate Usage TLSA Matching Type TLSA Selector TLSA record TOTP Synchronization Window TOTP authentication Window TOTP authentication time variance (seconds) TOTP synchronization time variance (seconds) TOTP token / IPA server time difference TSIG record TXT Text Data TXT record Take a revoked certificate off hold. Target Target DN Target DN subtree Target Uniform Resource Identifier Target Uniform Resource Identifier according to RFC 3986 Target group Target host Target members of a group Target members of a group (sets memberOf targetfilter) Target your own entry (self) Telephone Number Test the ACI syntax but don't write anything Text Data Text does not match field pattern The --domain option cannot be used together with --add-domain or --del-domain. Use --domain to specify the whole realm domain list explicitly, to add/remove individual domains, use --add-domain/del-domain. The ACI for permission %(name)s was not found in %(dn)s The IPA realm The _kerberos TXT record from domain %(domain)s could not be created (%(error)s).
This can happen if the zone is not managed by IPA. Please create the record manually, containing the following value: '%(realm)s' The _kerberos TXT record from domain %(domain)s could not be removed (%(error)s).
This can happen if the zone is not managed by IPA. Please remove the record manually. The automount key %(key)s with info %(info)s does not exist The certificate for %(ca)s is not available on this server. The character %(char)r is not allowed. The default users group cannot be removed The deny type has been deprecated. The domain %s is neither IPA domain nor a trusteddomain. The domain name of the target host or '.' if the service is decidedly not available at this domain The domain(s) "%s" cannot be used to apply altSecurityIdentities check. The following domains do not belong to this realm: %(domains)s The group doesn't exist The host '%s' does not exist to add a service to. The host was added but the DNS update failed with: %(reason)s The hostname must be fully-qualified: %s
The hostname must not be: %s
The hostname or IP (with or without port) The hostname this reverse record points to The hostname to register as The key,info pair must be unique. A key named %(key)s with info %(info)s already exists The keytab file to append the new key to (will be created if it does not exist). The keytab file to remove the principcal(s) from The mapping rule with altSecurityIdentities should be applied to a trusted Active Directory domain but no domain was associated with the rule. The most common types for this type of zone are: %s
The number of times to retry authentication The primary_key value of the entry, e.g. 'jdoe' for a user The principal for this request doesn't exist. The principal to get a keytab for (ex: ftp/ftp.example.com@EXAMPLE.COM) The principal to remove from the keytab (ex: ftp/ftp.example.com@EXAMPLE.COM) The realm for the principal does not match the realm for this IPA server The realm of the following domains could not be detected: %(domains)s. If these are domains that belong to the this realm, please create a _kerberos TXT record containing "%(realm)s" in each of them. The schema used on the LDAP server. Supported values are RFC2307 and RFC2307bis. The default is RFC2307bis The search criteria was not specific enough. Expected 1 and found %(found)d. The secret used to encrypt data The service is allowed to authenticate on behalf of a client The topic or command name. The total timeout across all retries (in seconds) The username attribute on the user object This command can not be used to change ID allocation for local IPA domain. Run `ipa help idrange` for more information This command relies on the existence of the "editors" group, but this group was not found. This command requires root access This entry already exists This entry cannot be enabled or disabled This entry is already a member This entry is already disabled This entry is already enabled This entry is not a member This group already allows external members This group cannot be posix because it is external This is already a posix group This is already a posix group and cannot be converted to external one This may take some time, please wait ... This page has unsaved changes. Please save or revert. Ticket expired Ticket policy for %s could not be read Time Limit Time limit of search in seconds Time limit of search in seconds (0 is unlimited) Time now Time to live Time to live for records at zone apex Time to live for records without explicit TTL definition Timeout Timeout exceeded. To establish trust with Active Directory, the domain name and the realm name of the IPA server must match To get command help, use: Token ID Token description (informational only) Token hash algorithm Token model (informational only) Token secret (Base32; default: random) Token serial (informational only) Token vendor name (informational only) Topic commands: Topic or Command Topology does not allow server %(server)s to replicate with servers: Topology is disconnected Total number of variables env (>= count) True True if not all results were returned True means the operation was successful Trust Trust direction Trust status Trust type Trust type (ad for Active Directory, default) Trusted domain Trusted domain %(domain)s is included among IPA realm domains. It needs to be removed prior to establishing the trust. See the "ipa realmdomains-mod --del-domain" command. Trusted domain and administrator account use different realms Trusted domains Trusted for delegation Trusted to authenticate as user Trusts Two factor authentication (password + OTP) Two-way trust Type Type of IPA object (sets subtree and objectClass targetfilter) Type of IPA object (user, group, host, hostgroup, service, netgroup, dns) Type of the token Type of trusted domain ID range, one of allowed values UID UPN suffixes URI URL UUID Unable to communicate with CMS Unable to communicate with CMS (status %d) Unable to create private group. A group '%(group)s' already exists. Unable to determine IPA server from %s
Unable to determine if Kerberos principal %s already exists. Use 'ipa user-mod' to set it manually. Unable to determine root DN of %s
Unable to display QR code using the configured output encoding. Please use the token URI to configure your OTP device Unable to enable SSL in LDAP
Unable to generate Kerberos Credential Cache
Unable to initialize STARTTLS session
Unable to initialize ldap library!
Unable to join host: Kerberos Credential Cache not found
Unable to join host: Kerberos User Principal not found and host password not provided.
Unable to join host: Kerberos context initialization failed
Unable to parse principal
Unable to parse principal name
Unable to parse principal: %1$s (%2$d)
Unable to remove entry
Unable to resolve domain controller for {domain} domain. Unable to set LDAP_OPT_PROTOCOL_VERSION
Unable to set LDAP_OPT_X_SASL_NOCANON
Unable to set LDAP_OPT_X_TLS_REQUIRE_CERT
Unable to synchronize token: %s Unable to verify write permissions to the AD Undelete a delete user account. Undeleted user account "%(value)s" Unenroll this host from IPA server Unenrollment failed.
Unenrollment successful.
Unique ID Unknown Unknown Error Unknown option: %(option)s Unlocked account "%(value)s" Unmatched Unprovision Unrecognized attributes: %(attrs)s Unresolved rules in --rules Unrevoked Unsaved Changes Unselect All Unspecified Unsupported value Update Update DNS entries Update location and IPA server DNS records Update of system record '%(record)s' failed with error: %(error)s User User Group User Groups User ID User ID Number (system will assign one if not provided) User Options User attribute User category User category the rule applies to User container User group User group ACI grants access to User group to apply delegation to User group to apply permissions to User group to apply permissions to (sets target) User login User logins User name User object class User password User search fields User-friendly description of action performed User-specified attributes to which the permission applies User-specified attributes to which the permission explicitly does not apply Username Users Users allowed to create keytab Users allowed to retrieve keytab Using discovered server %s
Using provided server %s
Using server from config %s
Valid Certificate Present Valid not after from this date (YYYY-mm-dd) Valid not after to this date (YYYY-mm-dd) Valid not before from this date (YYYY-mm-dd) Valid not before to this date (YYYY-mm-dd) Validation error Validity Validity end Validity start Vault password Vault private key Vendor Verify Password Verify Principal Password Vertical Precision Via Service View Warning Warning unrecognized encryption type.
Warning unrecognized salt type.
Warning: failed to convert type (#%d)
Warning: salt types are not honored with randomized passwords (see opt. -P)
Weight Weight for server services When migrating a group already existing in IPA domain overwrite the group GID and report as success Whether PKINIT is enabled or disabled Whether to store certs issued using this profile Who Write certificate (chain if --chain used) to file Write profile configuration to file X.509 certificate chain You may need to manually remove them from the tree You must enroll a host in order to create a host service You will be redirected to DNS Zone. Your session has expired. Please log in again. Your trust to %(domain)s is broken. Please re-create it by running 'ipa trust-add' again. YubiKey slot ZIP Zone forwarders Zone name Zone name (FQDN) Zone record '%s' cannot be deleted Zone refresh interval access() on %1$s failed: errno = %2$d
algorithm value: allowed interval 0-255 all masters must have %(role)s role enabled an internal error has occurred an internal error has occurred on server at '%(server)s' answer to query '%(owner)s %(rtype)s' is missing DNSSEC signatures (no RRSIG data) any of the configured servers api has no such namespace: '%(name)s' at least one of: type, filter, subtree, targetgroup, attrs or memberof are required at least one value equal to the canonical principal name must be present attribute "%s" not allowed attrs and included attributes are mutually exclusive attrs and included/excluded attributes are mutually exclusive automatically add the principal if it doesn't exist automount key automount keys automount location automount locations automount map automount maps basedn ber_init() failed, Invalid control ?!
ber_scanf() failed, unable to find kvno ?!
bind password can be at most %(len)d characters can be at most %(maxlength)d bytes can be at most %(maxlength)d characters can be at most %(maxvalue)d can be at most %(maxvalue)s cannot be empty cannot be longer that {} characters cannot connect to '%(uri)s': %(error)s cannot delete global password policy cannot delete managed permissions cannot delete root domain of the trust, use trust-del to delete the trust itself cannot disable root domain of the trust, use trust-del to delete the trust itself cannot open configuration file %s
cannot rename managed permissions cannot set bindtype for a permission that is assigned to a privilege cannot specify both %s and passkey mapping cannot specify both raw certificate and file cannot specify full target filter and extra target filter simultaneously cannot stat() configuration file %s
change collided with another change change to a POSIX group change to support external non-IPA members from trusted domains child exited with %d
cn is immutable comma-separated list of groups to add comma-separated list of groups to remove comma-separated list of host groups to add comma-separated list of host groups to remove comma-separated list of hosts to add comma-separated list of hosts to remove comma-separated list of privileges to add comma-separated list of privileges to remove comma-separated list of sudo command groups to add comma-separated list of sudo command groups to remove comma-separated list of sudo commands to add comma-separated list of sudo commands to remove comma-separated list of users to add comma-separated list of users to remove command '%(name)s' takes at most %(count)d argument command '%(name)s' takes at most %(count)d arguments command '%(name)s' takes no arguments commands for controlling sudo configuration configuration options container entry (%(container)s) not found curl_easy_init() failed
curl_easy_setopt() failed
curl_global_init() failed
curl_slist_append() failed for value: '%s'
delegation delegations description did not receive Kerberos credentials does not match any of accepted formats: domain domain is not configured domain name '%(domain)s' should be normalized to: %(normalized)s domain name cannot be longer than 255 characters each ACL element must be terminated with a semicolon empty DNS label empty filter entries entry error marshalling data for XML-RPC transport: %(error)s error on server '%(server)s': %(error)s executing ipa-getkeytab failed, errno %d
expected format: <0-255> <0-255> <0-65535> even-length_hexadecimal_digits_or_hyphen file to store DNS records in nsupdate format file to store certificate in filename filter and memberof are mutually exclusive flags must be one of "S", "A", "U", or "P" flags value: allowed interval 0-255 force NS record creation even if its hostname is not in DNS force delete of SYSTEM permissions force host name even if not in DNS force principal name even if host not in DNS force principal name even if not in DNS force service to be created even when host object does not exist to manage it fork() failed
format must be specified as
"d1 [m1 [s1]] {"N"|"S"} d2 [m2 [s2]] {"E"|"W"} alt["m"] [siz["m"] [hp["m"] [vp["m"]]]]"
where:
d1: [0 .. 90] (degrees latitude)
d2: [0 .. 180] (degrees longitude)
m1, m2: [0 .. 59] (minutes latitude/longitude)
s1, s2: [0 .. 59.999] (seconds latitude/longitude)
alt: [-100000.00 .. 42849672.95] BY .01 (altitude in meters)
siz, hp, vp: [0 .. 90000000.00] (size/precision in meters)
See RFC 1876 for details format must be specified as "%(format)s" %(rfcs)s forward zone "%(fwzone)s" is not effective because of missing proper NS delegation in authoritative zone "%(authzone)s". Please add NS record "%(ns_rec)s" to parent zone "%(authzone)s". gid cannot be set for external group givenname is required group group, permission and self are mutually exclusive groups host host category cannot be set to 'all' while there are allowed hosts host group host groups host groups to add hostgroup with name "%s" already exists. Hostgroups and netgroups share a common namespace hostname hostname contains empty label (consecutive dots) hosts hosts cannot be added when host category='all' id range id range type incomplete time value incorrect type integer to order the Sudo rules invalid '%(name)s': %(error)s invalid DN (%s) invalid IP address format invalid IP address version (is %(value)d, must be %(required_value)d)! invalid IP network format invalid Profile ID invalid SID: {SID} invalid SSH public key invalid address format invalid attribute name invalid domain name invalid domain-name: %s invalid domain-name: not fully qualified invalid escape code in domain name invalid hostmask invalid port number ipa-getkeytab has bad permissions?
ipa-getkeytab not found
is required iterations value: allowed interval 0-65535 json_dumps() failed
json_pack_ex() failed: %s
kerberos ticket policy settings key %(key)s already exists key named %(key)s already exists keytab is a dangling symlink and owned by another user.
krb5_kt_close %1$d: %2$s
krb5_kt_get_entry %1$d: %2$s
krb5_kt_remove_entry %1$d: %2$s
krb5_parse_name %1$d: %2$s
krb5_unparse_name %1$d: %2$s
kvno %d
limits exceeded for this query local domain range location locations manager %(manager)s not found map %(map)s already exists maps not connected to /etc/auto.master: match the common name exactly member %s member group member host member host group member netgroup member privilege member service delegation target member sudo command member sudo command group member user missing base_id modifying primary key is not allowed mount point is relative to parent map, cannot begin with / must be "%s" must be '%(value)s' must be DNS name must be Kerberos principal must be True or False must be Unicode text must be a certificate must be a certificate signing request must be a decimal number must be absolute must be an integer must be at least %(minlength)d bytes must be at least %(minlength)d characters must be at least %(minvalue)d must be at least %(minvalue)s must be at least 1 must be binary data must be datetime value must be dictionary must be enclosed in parentheses must be exactly %(length)d bytes must be exactly %(length)d characters must be one of %(values)s must be relative must equal %r must have %(role)s role enabled must match pattern "%(pattern)s" netgroup netgroup with name "%s" already exists. Hostgroups and netgroups share a common namespace netgroups no command nor help topic '%(topic)s' no modifications to be performed not allowed to modify group entries not allowed to modify user entries not allowed to perform operation: %s not allowed to perform server connection check not fully qualified not modifiable on managed permissions number class '%(cls)s' is not included in a list of allowed number classes: %(allowed)s objectclass %s not found only "ad" is supported only available on managed permissions only letters, numbers, %(chars)s are allowed. DNS label may not start or end with %(chars2)s only master zones can contain records only one CNAME record is allowed per name (RFC 2136, section 1.1.5) only one DNAME record is allowed per name (RFC 6672, section 2.4) operation not defined option was renamed; use %s options are not allowed out of memory
out-of-zone data: record name must be a subdomain of the zone or a relative name overlapping arguments and options: %(names)s owner of %(types)s records should not be a wildcard domain name (RFC 4592 section 4) params must be a list params must contain [args, options] params[0] (aka args) must be a list params[1] (aka options) must be a dict password password policies password policy password to use if not using kerberos permission permission "%(value)s" already exists permissions pkinit preserve and no-preserve cannot be both set principal not found
principal not found in XML-RPC response
priority cannot be set on global policy priority must be a unique value (%(prio)d already used by %(gname)s) privilege privileged group privileges pyhbac is not installed. pysss_murmur is not available on the server and no base-id is given. python-yubico is not installed. query '%(owner)s %(rtype)s' with EDNS0: %(error)s query '%(owner)s %(rtype)s': %(error)s range exists range modification leaving objects with ID out of the defined range is not allowed range type change read error
realm not found
realm or UPN suffix overlaps with trusted domain namespace record '%(owner)s %(rtype)s' failed DNSSEC validation on server %(ip)s request failed with HTTP status %d result not found in XML-RPC response
retrieve and print all attributes from the server. Affects command output. role roles salt value: %(err)s search for POSIX groups search for groups with support of external non-IPA members from trusted domains search for managed groups search for non-POSIX groups search for private groups search results for objects to be migrated
have been truncated by the server;
migration process might be incomplete
self service permission self service permissions server server role server roles servers service services setting Authoritative nameserver should not be a wildcard domain name (RFC 4592 section 4) sidgen_was_run single label {}s are not supported skip reverse DNS detection sn is required stage user stage users subtree and type are mutually exclusive sudo command sudo command group sudo command groups sudo commands sudo rule sudo rules target and targetgroup are mutually exclusive the entry was deleted while being modified the value does not follow "YYYYMMDDHHMMSS" time format there must be at least one target entry specifier (e.g. target, targetfilter, attrs) this option has been deprecated. this option is deprecated too many '@' characters trust trust configuration trust domain trust domains trust type trusts type of IPA object (user, group, host, hostgroup, service, netgroup) type, filter, subtree and targetgroup are mutually exclusive unknown command '%(name)s' unknown error %(code)d from %(server)s: %(error)s unsupported trust type url user user "%s" is already active user category cannot be set to 'all' while there are allowed users users users cannot be added when user category='all' {algo} is not a supported vault wrapping algorithm {attr}: no such attribute {role}: role not found Project-Id-Version: freeipa 4.9.0.dev201908140712+gitc9938e3d8
Report-Msgid-Bugs-To: https://pagure.io/freeipa/new_issue
PO-Revision-Date: 2025-11-17 04:09+0000
Last-Translator: Emilio Herrera <ehespinosa57@gmail.com>
Language-Team: Spanish <https://translate.fedoraproject.org/projects/freeipa/master/es/>
Language: es
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
Plural-Forms: nplurals=2; plural=n != 1;
X-Generator: Weblate 5.14.3
EJEMPLOS:
CONFIGURACIÓN GLOBAL DNS
Anula esto de modo que podamos añadir completados y fallados al resultado devuelto.
Anula esto de modo que podamos fijar completados y fallados.
Añadir una regla automiembro.
Añadir condiciones a una regla automiembro.
Borra una regla automiembro.
Muestra información sobre una regla automiembro.
Estado de bloqueo de una cuenta de usuario
Una cuenta de usuario puede resultar bloqueada si la contraseña se introduce
incorrectamente muchas veces dentro de un período especifico de tiempo
controlado por la política de contraseña. Un bloqueo de cuenta es una condición
temporal y debe ser desbloqueada por un administrador.
Esto conecta con el máster IPA y muestra el estado de bloqueo de
cada uno.
Para determinar si una cuenta está bloqueada en un servidor dado usted
necesita comparar el número de accesos fallido y la hora del último fallo. Para
que una cuenta se bloquee debe exceder maxfail dentro de la duración
failinterval según se especifique en la política de contraseña asociada con el
usuario.
El contador de acceso fallado se modifica solo cuando un usuario intenta acceder
por lo que es posible que una cuenta puede aparecer bloqueada pero el último
acceso fallado sea más antiguo que el lockouttime de la política de contraseña.
Esto significa que el usuario puede intentar acceder otra vez.
Modificar una confianza (para uso futuro).
Actualmente solo está disponible la opción predeterminada para modificar los
atributos LDAP. Opciones más especificas serán añadidas en futuras versiones.
Modificar una regla automiembro.
Modificar dominios reino
Comprobación DNS: Cuando añade manualmente un dominio a la lista, por
defecto se lleva a cabo una comprobación DNS. Asegura que el dominio está
asociado con el reino IPA, comprobando si el dominio tiene un registro _kerberos
TXT que contenga el nombre del reino IPA realm name. Esta comprobación se
puede saltar especificando la opción --force.
Eliminación: cuando un dominio reino que tiene una zona DNS coincidente
gestionada por IPA se borra, el registro _kerberos TXT correspondiente en la
es borrado automáticamente también. Los demás registros en la zona o la zona
no son afectados.
Borrar condiciones de una regla automiembro.
Búsqueda reglas automiembro.
Buscar usuarios que coincidan con el certificado suministrado.
Este comando se basa en SSSD para recuperar la lista de los usuarios
coincidentes y puede devolver los datos en cache. Para más información sobre
la purga del cache SSSD, vea por favor la documentación sss_cache.
Desbloquear una cuenta de usuario
Una cuenta de usuario puede llegar a bloquearse si la contraseña se ha introducido incorrectamente demasiadas
veces dentro de un período de tiempo controlado por la política de
contraseña. Una cuenta bloqueada es una condición temporal y puede ser desbloqueada por
un administrador.
Este es el equivalente:
ipa dnszone-mod example.com --dynamic-update=TRUE \
--update-policy="grant EXAMPLE.COM krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM krb5-self * SSHFP;"
Añadir localización:
ipa location-add location --description 'My location'
Borrar localización:
ipa location-del location
Encontrar todas las localizaciones:
ipa location-find
Encuentra todos los servidores:
ipa server-find
Mostar la configuración de un servidor DNS especifico:
ipa dnsserver-show
Muestra el rol maestro IPA implícito:
ipa server-role-find --include-master
Mostrar localización específica:
ipa location-show location
Mostrar un servidor específico:
ipa server-show ipa.example.com
Muestra el estado del rol 'DNS server' sobre un servidor:
ipa server-role-show ipa.example.com "DNS server"
Muestra el estado de todos los roles configurados en un servidor:
ipa server-role-find ipa.example.com
Muestra el estado de todos los roles que contienen 'AD' sobre un servidor:
ipa server-role-find --server ipa.example.com --role="AD trust controller"
Actualizar la configuración de un servidor DNS especifico:
ipa dnsserver-mod
Añadir registro LOC para example.com:
ipa dnsrecord-add example.com @ --loc-rec="49 11 42.4 N 16 36 29.6 E 227.64m"
Añadir un host que pueda manejar la tabla de teclas y certificado del host:
ipa host-add-managedby --hosts=test2 test
Añadir un servidor de correo para example.com:
ipa dnsrecord-add example.com @ --mx-rec="10 mail1"
Añadir un nuevo host con una contraseña de un uso:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com
Añadir un nuevo host con una contraseña aleatoria de un uso:
ipa host-add --os='Fedora 12' --random test.example.com
Añadir un nuevo host:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com
Añadir un nuevo servidor:
ipa radiusproxy-add MyRADIUS --server=radius.example.com:1812
Añadir una nueva ficha:
ipa otptoken-add --type=totp --owner=jdoe --desc="My soft token"
Añadir una nueva ficha:
ipa otptoken-add-yubikey --owner=jdoe --desc="My YubiKey"
Añadir un permiso que conceda la capacidad de gestionar la membresía de un grupo:
ipa permission-add --attrs=member --permissions=write --type=group "Gestiona Miembros de Grupo"
Añadir un permiso que concede la creación de usuarios:
ipa permission-add --type=user --permissions=add "Añadir Usuarios"
Añadir otro registro usando las opciones específicas de registro MX:
ipa dnsrecord-add example.com @ --mx-preference=20 --mx-exchanger=mail2
Añadir otro registro usando el modo interactivo (iniciado cuando dnsrecord-add, dnsrecord-mod,
o dnsrecord-del son ejecutados sin opciones:
ipa dnsrecord-add example.com @
Por favor elija un tipo de recurso de registro DNS a añadir
Los tipos más comunes para este tipo de zona son: NS, MX, LOC
DNS resource record type: MX
MX Preference: 30
MX Exchanger: mail3
Record name: example.com
MX record: 10 mail1, 20 mail2, 30 mail3
NS record: nameserver.example.com., nameserver2.example.com.
Añadir un nuevo registro A para www.example.com. Crear un registro inverso en la zona
inversa apropiada también. En esta caso un registro PTR "2" apuntando a www.example.com
será creado en la zona 2.0.192.in-addr.arpa.
ipa dnsrecord-add example.com www --a-rec=192.0.2.2 --a-create-reverse
Añadir nuevo registro PTR para www.example.com
ipa dnsrecord-add 2.0.192.in-addr.arpa. 2 --ptr-rec=www.example.com.
Añadir nuevos registros SRV para servidores LDAP. Tres cuartos de las peticiones
debería ir a fast.example.com, un cuarto a slow.example.com. Si ninguno está
disponible conmutar a backup.example.com.
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 3 389 fast.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 1 389 slow.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="1 1 389 backup.example.com"
Añadir nueva zona reversa especificada por la dirección IP de red:
ipa dnszone-add --name-from-ip=192.0.2.0/24
Añadir nueva zona:
ipa dnszone-add example.com --admin-email=admin@example.com
Añadir segundo servidor de nombres para example.com:
ipa dnsrecord-add example.com @ --ns-rec=nameserver2.example.com
Añadir permiso de sistema que puede ser usado para delegación de privilegio por zona:
ipa dnszone-add-permission example.com
Después de esta modificación tres quintos de las peticiones deberían ir a
fast.example.com y dos quintos a slow.example.com.
Permitir al usuario crear una tabla de teclas:
ipa host-allow-create-keytab test2 --users=tuser1
Permitir al usuario crear una tabla de claves:
ipa service-allow-create-keytab HTTP/web.example.com --users=tuser1
Un ejemplo del modom interactivo para el comando dnsrecord-del:
ipa dnsrecord-del example.com www
No option to delete specific record provided.
Delete all? Yes/No (default No): (do not delete all records)
Current DNS record contents:
A record: 192.0.2.2, 192.0.2.3
Delete A record '192.0.2.2'? Yes/No (default No):
Delete A record '192.0.2.3'? Yes/No (default No): y
Record name: www
A record: 192.0.2.2 (A record 192.0.2.3 has been deleted)
Cambia la política de reenvío para external.example.com:
ipa dnsforwardzone-mod external.example.com --forward-policy=only
Cambiar el secreto:
ipa radiusproxy-mod MyRADIUS --secret
Cambiar el vendedor:
ipa otptoken-mod a93db710-a31a-4639-8647-f15b2c70b78a --vendor="Red Hat"
Comprueba el estado de una petición de firma:
ipa cert-status 10
Crea una nueva Regla de Mapeo de Identidad de Certificado:
ipa certmaprule-add rule1 --desc="Link certificate with subject and issuer"
Delegar zona sub.example a otro servidor de nombres:
ipa dnsrecord-add example.com ns.sub --a-rec=203.0.113.1
ipa dnsrecord-add example.com sub --ns-rec=ns.sub.example.com.
Borra una Regla de Mapeo de Identidad de Certificado:
ipa certmaprule-del rule1
Borrar una configuración:
ipa radiusproxy-del MyRADIUS
Borrar un host:
ipa host-del test.example.com
Borrar una ficha:
ipa otptoken-del a93db710-a31a-4639-8647-f15b2c70b78a
Borra la zona de reenvío external.example.com:
ipa dnsforwardzone-del external.example.com
Borrar ujn servidor de nombres previamente añadido desde example.com:
ipa dnsrecord-del example.com @ --ns-rec=nameserver2.example.com.
Borrar zona example.com con todos los registros de recursos:
ipa dnszone-del example.com
Deshabilitar una Regla de Mapeo de Identidad de Certificado:
ipa certmaprule-disable rule1
Deshabilita el reenvío global para el sub-árbol dado:
ipa dnszone-mod example.com --forward-policy=none
Deshabilitar la clave Kerberos de host, el certificado SSL y todos sus servicios:
ipa host-disable test.example.com
Muestra información sobre una Regla de Mapeo de Identidad de Certificado:
ipa certmaprule-show rule1
Mostrar la configuración global del Mapeo de Identidad de Certificado:
ipa certmapconfig-show
Habilitar una Regla de Mapeo de Identidad de Certificado:
ipa certmaprule-enable rule1
Examinar la configuración:
ipa radiusproxy-show MyRADIUS
Examinar la ficha:
ipa otptoken-show a93db710-a31a-4639-8647-f15b2c70b78a
Encontrar registros A con el valor 192.0.2.2 en zona example.com
ipa dnsrecord-find example.com --a-rec=192.0.2.2
Encuentra todas las Reglas de Mapeo de Identidad de Certificado con el dominio especificado:
ipa certmaprule-find --domain example.com
Encontrar todos los servidores cuyas entradas incluyan la cadena "example.com":
ipa radiusproxy-find example.com
Encontrar registros para recursos con "www" en su nombre en la zona example.com:
ipa dnsrecord-find example.com www
Encontrar una zona con "example" en su nombre de dominio:
ipa dnszone-find example
Reenvía todas las peticiones para la zona external.example.com a otro reenviador
usando una política "first" (enviará las peticiones al reenviador seleccionado y si
no hay respuesta usará los servidores raíz globales):
ipa dnsforwardzone-add external.example.com --forward-policy=first \
--forwarder=203.0.113.1
Generar y recuperar un tabla de clave para un servicio IPA:
ipa-getkeytab -s ipa.example.com -p HTTP/web.example.com -k /etc/httpd/httpd.keytab
Si se configura un reenviador global, todas las peticiones para las que este
servidor no está autorizado (e.g. sub.example.com) serán enrutados al reenviador global.
La configuración de reenvío global se puede anular por zona.
Lista todas las zonas de reenvío:
ipa dnsforwardzone-find
Listar bóvedas:
ipa vault-find
[--user <user>|--service <service>|--shared]
Modificar la configuración global del Mapeo de Identidad de Certificado:
ipa certmapconfig-mod --promptusername=TRUE
Modificar una Regla de Identidad de Certificado:
ipa certmaprule-mod rule1 --maprule="<ALT-SEC-ID-I-S:altSecurityIdentities>"
Modifica la configuración DNS global y establece una lista de reenviadores globales:
ipa dnsconfig-mod --forwarder=203.0.113.113
Modificar información sobre un host:
ipa host-mod --os='Fedora 12' test.example.com
Modificar la zona para permitir actualizaciones dinámicas desde los propios registros del host en el reino EXAMPLE.COM:
ipa dnszone-mod example.com --dynamic-update=TRUE
Modificar la zona para permitir transferencias de zona solo para la red local:
ipa dnszone-mod example.com --allow-transfer=192.0.2.0/24
Quitar las claves públicas SSH de un host y actualizar DNS para reflejar este cambio:
ipa host-mod --sshpubkey= --updatedns test.example.com
Quita un certificado del estado de cogido para revocación:
ipa cert-remove-hold 1032
Pide un nuevo certificado y añade el principal:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr
Resuelve un nombre de host para ver si existe (añadirá el dominio IPA
predeterminado si no se ha incluido ninguno):
ipa dns-resolve www.example.com
ipa dns-resolve www
Recupera un certificado existente:
ipa cert-show 1032
Revocar un certificado (vea RFC 5280 para detalles de la razón):
ipa cert-revoke --revocation-reason=6 1032
Búsqueda de certificados por nombre de host:
ipa cert-find --subject=ipaserver.example.com
La semántica de reenvío en IPA coincide con la semántica en BIND y depende del
tipo de zona:
* Zona Maestra: BIND local responde con autoridad a las consultas de datos en la
zona dada (incluyendo las respuestas de autoridad NXDOMAIN) y el reenvío
afecta solo a las peticiones para nombres debajo de los cortes de zona (registros
NS) de las zonas servidas localmente.
* Zona de Reenvío:la zona de reenvío no contiene datos autorizados. las
consultas de reenvío BIND, que no pueden ser contestadas desde su cache
local, para configurar reenviadores.
Semánticas de la opción --forward-policy:
* none - deshabilita el reenvío para una zona dada.
* first - reenvía todas las peticiones a los reenviadores configurados. Si fallan,
resuelven usando los servidores raíz DNS.
* only - reenvía todas las peticiones a los reenviadores configurados y si fallan,
devuelve un fallo.
Muestra la zona de reenvío external.example.com:
ipa dnsforwardzone-show external.example.com
Muestra la configuración DNS global:
ipa dnsconfig-show
Mostrar registros para el recurso www en zona example.com
ipa dnsrecord-show example.com www
Mostrar zona example.com:
ipa dnszone-show example.com
El modo interactivo puede ser usado para modificación fácil:
ipa dnsrecord-mod example.com _ldap._tcp
No se suministra opción para modificar registro específico.
El registro actual DNS contiene:
SRV record: 0 3 389 fast.example.com, 0 1 389 slow.example.com, 1 1 389 backup.example.com
Modificar registro SRV '0 3 389 fast.example.com'? Si/No (predeterminado No):
Modificar registro SRV '0 1 389 slow.example.com'? Si/No (predeterminado No): y
SRV Priority [0]: (keep the default value)
SRV Weight [1]: 2 (modified value)
SRV Port [389]: (keep the default value)
SRV Target [slow.example.com]: (keep the default value)
1 SRV record skipped. Only one value per DNS record type can be modified at one time.
Record name: _ldap._tcp
SRV record: 0 3 389 fast.example.com, 1 1 389 backup.example.com, 0 2 389 slow.example.com
Esta configuración reenvia todas las peticiones para nombres fuera del sub árbol example.com
a reenviadores globales. Se utiliza el proceso de resolución recursiva normal para
los nombres dentro del sub-árbol example.com (i.e. registros NS son seguidos etc.).
* Un permiso concede acceso a leer, escribir, añadir, borrar, buscar
o comparar.
* Un privilegio combina permisos similares (por ejemplo todos los permisos
necesarios para añadir un usuario).
* Un rol concede un conjunto de privilegios a usuarios, grupos, hosts o grupos de host.
* El host debe existir
* El servicio debe existir (o debe usar la opción --add para añadirlo automáticamente)
Se ha almacenado un certificado con un servicio principal y un servicio principal
necesita un host.
Una condición es una expresión regular usada por 389-ds para coincidir una nueva
entrada entrtante con una regla de auto miembro. Si la coincidencia es una regla
inclusiva la entrada se añade al grupo o grupo de host apopiado.
Se podría especificar un grupo o grupo de host predeterminado para las entradas
que no coincidan con ninguna regla. En caso de entradas de usuario, este grupo
será un grupo de reserva puesto que todos los usuarios son por defecto miembros del grupo especificado en la configuración IPA.
Un permiso habilita una delegación de derechos de grano fino. Un permiso es una
vuelta alrededor legible por humanos de una Regla de Control de Acceso (ACI) o
instrucción 389-ds.
Un permiso concede el derecho de llevar a cabo una tarea especifica como añadir
un usuario, modificar un grupo, etc.
Un permiso está constituido por diversas partes:
1. El nombre del permiso.
2. El objetivo del permiso.
3. Los derechos concedidos por el permiso.
Un permiso puede contener otros permisos.
Un regla está directamente asociada con un grupo por nombre, de modo que usted
no puede crear un regla sin un grupo o grupo de host que lo acompañen.
Añadir un nuevo rango de ID.
Para añadir un nuevo rango de ID siempre debe especificar
--base-id
--range-size
Adicionalmente
--rid-base
--secondary-rid-base
puede ser dado para un nuevo rango de ID para el dominio local mientras
--rid-bas
--dom-sid
deben ser dados para añadir un nuevo rango para un AD de dominio de confianza.
PRECAUCIÓN:
El plugin DNA en 389-ds ubicará IDs en base a los rangos configurados para el dominio
local. Actualmente el plugin DNA "no puede" ser reconfigurado por si mismo en base a
los rangos locales ajustados por medio de esta familia de comandos.
El cambio manual de configuración ha sido hecho en la configuración del plugin DNA
para el nuevo rango local. Específicamente, el atributo dnaNextRange de 'cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config' ha sido
modificado para coincidir con el nuevo rango.
Añadir nueva confianza a usar.
Este comando establece la relación de confianza con otro dominio que llegar a ser
trusted'. Como resultado, los usuarios del dominio de confianza puede acceder a
los recursos de este dominio.
Solo están soportados ahora la confianza con dominios Active Directory.
El comando se puede ejecutar seguramente múltiples veces contra el mismo
dominio, esto causará cambios en las credenciales de relaciones de confianza en
ambos lados.
Advierta que si el comando se ejecuta previamente con un tipo de rango específico
o con detección automática del tipo de rango y usted desea configurar un tipo de
rango diferente, usted puede necesitar borrar primero la ID del rango usando
ipa idrange-del antes de reintentar el comando con el rango deseado.
Adicionalmente, existen las siguientes opciones de conveniencia.
Fijando una de estas opcines ajustará el correspondiente atributo(s).
1. type: un tipo de objeto (usuario, grupo, etc); fija sub-árbol y filtro objetivo.
2. memberof: se aplica a los miembros de un grupo; fija filtro objetivo
3. targetgroup: concede acceso para modificar un grupo específico (como
concediendo los derechos para gestiona la membresía de grupo); fija objetivo.
Todas las CAs excepto la CA 'IPA' pueden ser deshabilitadas y vueltas a habilitar.
Deshabilitar una CA evita que envíe certificados pero no afecta a la validez de sus
certificados.
La bóveda asymmetric es similar a la bóveda standard, pero
encripta el secreto usando una clave pública antes del transporte.
El secreto sólo se puede recuperar usando la clave privada.
Regla de Membresía Automática.
Auto-montaje
Almacena configuración automount(8) para autofs(8) en IPA.
La base de una configuración de auto-montaje es el archivo de configuración
auto.master. Este es también la base de la localización en IPA. Diversas
configuraciones auto.master se pueden almacenar en localizaciones separadas.
Una localización es específica de la implementación con la predeterminada
llamada 'default'. Por ejemplo, usted puede tener localizaciones por región geográfica,
por piso, por tipo, etc.
Auto-montaje tiene tres tipos de objeto básicos: localizaciones, mapas y claves.
Una localización define un conjunto de mapas anclados en auto.master. Esto le
permite almacenar múltiples configuraciones de auto-montaje. Una localización
en sí misma no es muy interesante, es solo un punto donde iniciar un nuevo mapa
de auto-montaje.
Un mapa es aproximadamente equivalente a un archivo automount discreto y
suministra almacenamiento para las claves.
Una clave es un punto de montaje asociado con un mapa.
Cuando se crea una nueva localización, se crean automáticamente dos mapas
para ella: auto.master y auto.direct. auto.master es el mapa raíz para todos los
mapas de auto-montaje para la localización. auto.direct es el mapa predeterminado
para montajes directos y se monta sobre /-.
Un mapa de auto-montaje puede contener una clave de submontaje. Esta clave
define una localización dentro del mapa que referencia a otro mapa. Esto puede ser
hecho bien usando automountmap-add-indirect –parentmap o manualmente con
automountkey-add estableciendo la información a "-type=autofs :<mapname>".
EJEMPLOS:
Lugares:
Cree un lugar llamado, "Baltimore":
ipa automountlocation-add baltimore
Muestre el lugar nuevo:
ipa automountlocation-show baltimore
Encuentre los lugares disponibles:
ipa automountlocation-find
Borre un lugar auto-montaje llamado:
ipa automountlocation-del baltimore
Muestre cual de los mapas de auto-montaje parecería como si estuviera en el sistema de archivos:
ipa automountlocation-tofiles baltimore
Importar una configuración existente a una localización:
ipa automountlocation-import baltimore /etc/auto.master
La importación fallará si se encuentra cualquier entrada duplicada. Para operaciones continuas donde los errores son ignorados, use la opción --continue.
Mapas:
Cree un nuevo mapa, "auto.share":
ipa automountmap-add baltimore auto.share
Muestre el nuevo mapa:
ipa automountmap-show baltimore auto.share
Encuentre mapas en el lugar baltimore:
ipa automountmap-find baltimore
Cree un mapa indirecto con auto.share como submontaje:
ipa automountmap-add-indirect baltimore --parentmap=auto.share --mount=sub auto.man
Esto es equivalente a:
ipa automountmap-add-indirect baltimore --mount=/man auto.man
ipa automountkey-add baltimore auto.man --key=sub --info="-fstype=autofs ldap:auto.share"
Borre el mapa auto.share:
ipa automountmap-del baltimore auto.share
Claves:
Crear una nueva clave para el mapa auto.share en el lugar baltimore. Esto
ata el mapa que henos creado previamente a auto.master:
ipa automountkey-add baltimore auto.master --key=/share --info=auto.share
Crear una nueva clave para nuestro mapa auto.share, un montaje NFS para páginas de manual:
ipa automountkey-add baltimore auto.share --key=man --info="-ro,soft,rsize=8192,wsize=8192 ipa.example.com:/shared/man"
Encontrar todas las claves para el mapa auto.share:
ipa automountkey-find baltimore auto.share
Encontrar todas las claves directas de automontaje:
ipa automountkey-find baltimore --key=/-
Borrar la clave man desde el mapa auto.share:
ipa automountkey-del baltimore auto.share --key=man
En base al propietario hay tres categorías de bóveda:
* user/private vault
* service vault
* shared vault
En base al mecanismos de seguridad hay tres tipos de
bóvedas:
* standard vault
* symmetric vault
* asymmetric vault
Brinde claridad a la membresía de hosts y usuarios configurando patrones
inclusivos o exclusivos de expresiones regulares, usted puede automáticamente
asignar una nuevas entradas a un grupo o grupo de host en base a la información del atributo.
Las CAs (todas excepto la CA 'IPA') pueden ser borradas. El borrado de una CA
origina que la su firma sea revocada y su clave privada borrada.
Las CAs están habilitadas en la creación, pero su uso está sujeto a las ACLs de CA
a no ser que el operador haya permitido saltarse las ACLs de CA.
Mapeando la Identidad del Certificado
Las peticiones de certificado existen en la forma de una Petición de Firma de
Certificado (CSR) en formato PEM.
Los certificados pueden ser buscados por sujeto del certificado, número de serie,
razón de la revocación, fechas de validez y fecha de envío.
Confianza de reino cruzado
Gestionar relaciones de confianza entre los dominios IPA y Active Directory.
Con el objetivo de permitir a los usuarios de un dominio remoto acceder a los
recursos en el dominio IPA, se necesita establecer relaciones de confianza.
Actualmente IPA soporta solo confianza entre dominios IPA y Active Directory bajo
el control de Windows Server 2008 o posterior, con nivel funcional 2008 o posterior.
Por favor advierta que el DNS en ambos lados de los dominios IPA y Active
Directory deberían ser configurados apropiadamente para descubrir a cada uno.
Las relaciones de confianza se apoyan en la capacidad de descubrir recursos especiales en el otro dominio por medio de los registros DNS.
Ejemplos:
1. Establecer confianza de reino cruzado con Active Directory usando el
dministrador de credenciales AD:
ipa trust-add --type=ad <ad.domain> --admin <AD domain administrator> --password
2. Listar todas las relaciones de confianza existentes:
ipa trust-find
3. Mostrar detalles de la relación de confianza específica:
ipa trust-show <ad.domain>
4. Borrar relaciones de confianza existentes:
ipa trust-del <ad.domain>
Una vez que la relación de confianza está establecida, los usuarios remotos
necesitarán ser mapeados a grupos POSIX locales con el objetivo de usar recursos
IPA. El mapeado debería ser hecho por medio del uso de la membresía externa de
grupo no-POSIX y después este grupo debería ser incluido en uno de los grupos locales POSIX.
Ejemplo:
1. Crear un grupo para el mapeo de administrador de dominio de confianza y su
grupo POSIX local:
ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins
2. Añadir identificador de seguridad de Domain Admins del <ad.domain> al grupo
ad_admins_external:
ipa group-add-member ad_admins_external --external 'AD\Domain Admins'
3. Permitir a los miembros del grupo admins_external ser asociados con el grupo
POSIX ad-admins:
ipa group-add-member ad_admins --groups ad_admins_external
4. Lista de miembros de miembros externos del grupo ad_admins_external para ver
sus SIDs:
ipa group-show ad_admins_external
CONFIGURACIÓN GLOBAL DE CONFIANZA
Cuando se instale un subpaquete de confianza IPA AD y está corriendo ipa-adtrust-
install, se genera una configuración de dominio local (SID, GUID, nombre
NetBIOS). Estos identificadores se usan entonces cuando se comunica con un
dominio de confianza de un tipo concreto.
1. Mostrar la configuración de confianza global para el tipo de confianza Active Directory:
ipa trustconfig-show --type ad
2. Modificar la configuración global de todos los confiados de tipo Active Directory y
establecer un grupo primario de retroceso (el GID del grupo primario de retroceso
se usa como GID de usuario primario y el usuario autenticando al dominio IPA no
tiene ningún otro GID primario establecido ya):
ipa trustconfig-mod --type ad --fallback-primary-group "another AD group"
3. Cambiar el grupo primario de retroceso al grupo escondido predeterminado
(cualquier grupo con un objeto clae posixGroup está permitido):
ipa trustconfig-mod --type ad --fallback-primary-group "Default SMB Group"
La configuración de DNS que se pasa al script de instalación de la línea de
comandos está almacenado en un fichero de configuración local en cada servidor
IPA donde el servicio DNS está configurado. Estos ajustes locales pueden ser anulados con una configuración común almacenada en el servidor LDAP:
Configuración del servidor DNS
Las fechas se tratan como GMT para coincidir con las fechas de los certificados.
El borrado o renombrado de un permiso gestionado, así como el cambio de su
objetivo, no está permitido.
Instrucciones de Control de Acceso al Servidor de Directorio (ACIs)
ACIs son usados para permitir o denegar acceso a la información. Este
módulo está actualmente diseñado para permitir, no denegar, acceso.
Los comandos ACI están diseñados para conceder permisos que permitan
la actualización de entradas existentes o el añadido o borrado de nuevas.
El objetivo de los ACI que van con IPA es suministrar un conjunto de permisos
de bajo nivel que conceden acceso a grupos espaciales llamados grupos de
tareas. Estos permisos de bajo nivel pueden ser combinados en roles que
conceden un acceso más amplio. Estos roles son otro tipo de grupo, roles.
Por ejemplo, si usted tiene un grupo de tareas que le permiten añadir y
modificar usuarios usted podría crear un rol, useradmin. Debería asignar
usuarios al rol useradmin que les permitirá hacer operaciones definidas
en el grupo de tareas.
Usted puede crear los ACI que deleguen permisos así usuarios del grupo A
pueden escribir atributos en el grupo B.
La opción type es un mapa que aplica a todas las entradas en la localización
de usuarios, grupos o host. Está diseñada principalmente para ser usada
cuando se otorgan permisos de añadir (para escribir nuevas entradas).
Un ACI consta de tres partes:
1. objetivo
2. permisos
3. reglas de enlace
El objetivo es un conjunto de reglas que definen que objetos LDAP son
objetivos. Esto puede incluir una lista de atributos, un área del árbol
LDAP o un filtro LDAP.
Los objetivos incluyen:
- attrs: lista de atributos afectados
- type: un tipo de objeto (usuario, grupo, host, servicio, etc)
- memberof: miembros de un grupo
- targetgroup: concede acceso para modificar un grupo específico. Está
diseñado principalmente para habilitar a los usuarios para añadir o borrar
miembros de un grupo específico.
- filter: un filtro LDAP legal usado para reducir el alcance del destino.
- subtree: usado para aplicar una regla a lo largo de un conjunto de objetos.
Por ejemplo, para añadir usuarios usted necesita conceder permisos "add"
al subárbol ldap://uid=*,cn=users,cn=accounts,dc=example,dc=com. La
opción subárbol es la prueba de fallos para objetos que pueden no estar
cubiertos por la opción type.
Los permisos definidos que ACI tiene permitidos hacer son uno o más de:
1. write - escribir uno o mas atributos
2. read - leer uno o más atributos
3. add - añadir una nueva entrada al árbol
4. delete - borrar una entrada existente
5. all - se conceden todos los permisos
Advierta la diferencia entre atributos y entradas. Los permisos son independientes,
de esta manera ser capaz de añadir un usuario no significa que el usuario será
editable.
La regla bind define a quien concede ACI estos permisos. El servidor LDAP
permite esto para cualquier entrada LDAP válida pero recomendamos el
uso de grupos de tareas de modo que los derechos puedan ser fácilmente
compartidos entre los roles.
Para una descripción más completa de los controles de acceso consulte
http://www.redhat.com/docs/manuals/dir-server/ag/8.0/Managing_Access_Control.html
EJEMPLOS:
AVISO: Los ACI se añaden ahora por medio del plugin permisos. Estos ejemplos
son para demostrar como trabajan diversas opciones pero esto está hecho por
medio de los permisos de linea de comandos ahora (vea último ejemplo).
Añadir un ACI de modo que el grupo "secretaries" pueda actualizar la
dirección de cualquier usuario:
ipa group-add --desc="Office secretaries" secretaries
ipa aci-add --attrs=streetAddress --memberof=ipausers --group=secretaries
--permissions=write --prefix=none "Secretarios escriben direcciones"
Mostrar el nuevo ACI:
ipa aci-show --prefix=none "Secretaries write addresses"
Añadir un ACI que permita a los miembros del permiso "addusers" añadir
usuarios nuevos:
ipa aci-add --type=user --permission=addusers --permissions=add
--prefix=none "Añade usuarios nuevos"
Añadir un ACI que permita a los miembros de los editores manejar miembros
del grupo admins:
ipa aci-add --permissions=write --attrs=member --targetgroup=admins
--group=editors --prefix=none "Editores gestionan admins"
Añadir un ACI que permita a los miembros del grupo admins manejar la calle y
el código postal de los que estén en el grupo editores:
ipa aci-add --permissions=write --memberof=editors --group=admins
--attrs=street --attrs=postalcode --prefix=none "admins editan la dirección de editores"
Añadir un ACI que permita a los miembros del grupo admins manejar la calle y
el código postal de aquellos que trabajan para el jefe:
ipa aci-add --permissions=write --group=admins --attrs=street --attrs=postalcode
--filter="(manager=uid=boss,cn=users,cn=accounts,dc=example,dc=com)"
--prefix=none "Edite la dirección de aquellos quienes trabajen para el jefe"
Añadir un clase de registro totalmente nueva para IPA que no esté cubierta
por ninguna de las opciones –type, creando un permiso:
ipa permission-add --permissions=add --subtree="cn=*,
cn=orange,cn=accounts,dc=example,dc=com" --desc="Añade Apuntes Orange" add_orange
La instrucción show muestra el ACI 389-ds en bruto.
IMPORTANTE: Cuando modifique los atributos destino de un ACI existente
debe incluir todos los atributos existentes también. Cuando haga un aci-mod
targetattr REEMPLAZA los atributos actuales, no los añade.
Sistema de Nombre de Dominio (DNS)
INSCRIPCIÓN:
Hay tres escenarios de inscripción cuando se inscribe un nuevo cliente:
1. Se está inscribiendo como administrador total. La entrada de host puede existir o
no. Un administrador total es miembro del rol hostadmin role o del grupo admins.
2. Se está inscribiendo como administrador limitado. El host debe existir ya. Un
administrador limitado es miembro de un rol con el privilegio Host Enrollment.
3. El host ha sido creado con una contraseña de una vez.
EJEMPLOS:
Derechos
Gestión de los derechos por las máquinas clientes
Los derechos pueden ser gestionados bien registrándoles con un servidor de derechos
con un nombre de usuario y una contraseña o manualmente importando certificados de
derechos. Un certificado de derechos contiene incrustada información como el producto
que se está intitulando, la cantidad y las fechas de validez.
Un servidor de derechos gestiona el número de clientes con derechos disponibles. Para
marcar estos derechos como usados por el servidor IPA usted suministra una cantidad y
son marcados como consumidos en el servidor de derechos.
Registrar con un servidor de derechos:
ipa entitle-register consumer
Importar un certificado de derechos:
ipa entitle-import /home/user/ipaclient.pem
Mostrar los derechos actuales:
ipa entitle-status
Recuperar detalles sobre los certificados de derechos:
ipa entitle-get
Consumir algunos derechos del servidor de derechos:
ipa entitle-consume 50
La ID de registro es un Identificador Único (UUID). Esta ID será IMPORTADA cuando usted
ha usado entitle-import.
Los cambios en /etc/rhsm/rhsm.conf requieren un reinicio del servicio httpd.
Obtener información sobre los servidores IPA instalados.
Obtener el estado de los roles (servidor DNS, CA, etc.) suministrado por los IPA maestros.
Grupo a Delegación de Grupo
Un permiso habilita una delegación de grano fino de permisos. Reglas de Control
de Acceso o instrucciones (ACIs), otorgan permisos a los permisos para llevar a
cabo tareas dadas como añadir un usuario, modificar un grupo, etc.
Grupo a Delegaciones de Grupo concede a los miembros de un grupo para
actualizar un conjunto de atributos de miembros de otro grupo.
EJEMPLOS:
Añadir una regla de delegación para permitir a los gestores editar las direcciones de los empleados:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"
Cuando gestiona una lista de atributos usted necesita incluir todos los atributos en
la lista, incluyendo los existentes. Añadir postalCode a la lista:
ipa delegation-mod --attrs=street --attrs=postalCode --group=managers --membergroup=employees "managers edit employees' street"
Exhibir nuestra regla actualizada:
ipa delegation-show "managers edit employees' street"
Borrar una regla:
ipa delegation-del "managers edit employees' street"
Grupos de Comandos Sudo
Gestionar grupos de Comandos Sudo.
EJEMPLOS:
Añadir un nuevo Grupo de Comandos Sudo:
ipa sudocmdgroup-add --desc='administrators commands' admincmds
Borrar un Grupo de Comando Sudo:
ipa sudocmdgroup-del admincmds
Gestionar pertenencia a Grupo de Comando Sudo, comandos:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less,/usr/bin/vim admincmds
Gestionar pertenencia a Grupo de Comando Sudo, comandos:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds
Mostrat un Grupo de Comando Sudo:
ipa group-show localadmins
Servicios de HBAC
Los servicios PAM a los que HBAC puede controlar el acceso. El nombre utilizado aquí debe coincidir
con el nombre del servicio que PAM está evaluando.
EJEMPLOS:
Añadir un nuevo servicio:
ipa hbacsvc-add tftp
Modificar un servicio de HBAC:
ipa hbacsvc-mod --desc="TFTP service" tftp
Buscar servicios para HBAC. Este ejemplo retornará dos resultados, el servicio FTP
y el servicio recién añadido tftp:
ipa hbacsvc-find ftp
Borrar un servicio de HBAC:
ipa hbacsvc-del tftp
Hosts/Máquinas
Un host representa una máquina. Puede ser usado en distintos contextos:
- las entradas de servicio están asociadas con un host
- un host almacena el host/ servicio principal
- un host puede ser usado en reglas de Control de Acceso basado en Host (HBAC)
- cada cliente inscrito genera una entrada de host
Operaciones de certificado IPA
Localizaciones IPA
Roles del servidor IPA
IPA servers
IPA soporta el uso de fichas OTP para la autenticación de varios factores. Este
código habilita la gestión de las fichas OTP.
IPA soporta el uso de servidores proxy RADIUS externos para autenticaciones krb5
OTP. Esto permite una gran oferta de flexibilidad cuando se integra con servicios de
autenticación de tercera parte.
IPA soporta el uso de certificados para la autenticación. Las certificados pueden ser
bien almacenados en la entrada del usuario (el certificado completo en el atributo
usercertificate) o simplemente enlazado a la entrada de usuario a través de un
mapeo. Esta código habilita la gestión de las reglas permitiendo enlazar un
certificado a una entrada de usuario.
Implementa un conjunto de comandos para manejar los certificados de servidor SSL.
Con el objetivo de pedir un certificado:
Puede ser difícil manipular estos registros DNS sin hacer un error e introducir un
valor no válido. El módulo DNS suministra una abstracción sobre estos registros
brutos y permite manipular cada tipo RR con opciones específicas. Por cada tipo
RR soportado, el módulo DNS suministra una opción estándar para manipular
unos registros brutos con el formato --<rrtype>-rec, e.g. --mx-rec y opciones
especiales para cada parte de la estructura RR con formato --<rrtype>-<partname>,
e. g. --mx-preference and --mx-exchanger.
Uniendo un dominio IPA
Herramientas de informe de estados de características Kerberos PKINIT.
Informa de los másters IPA sobre los cuales Kerberos PKINIT está habilitado o deshabilitado
EJEMPLOS:
Lista el estado PKINIT sobre todos los másters:
ipa pkinit-status
Comprueba el estado PKINIT sobre `ipa.example.com`:
ipa pkinit-status --server ipa.example.com
Lista todos los másters IPA con PKINIT deshabilitado:
ipa pkinit-status --status='disabled'
Para más información sobre soporte PKINIT vea:
https://www.freeipa.org/page/V4/Kerberos_PKINIT
Opciones de kerberos pkinit
Activan o desactivan pkinit anónimo mediante el principal
WELLKNOWN/ANONYMOUS@REALM. El servidor debe haber sido instalado con soporte pkinit.
EJEMPLOS:
Activar pkinit anónimo
ipa pkinit-anonymous enable
Desactivar pkinit anónimo:
ipa pkinit-anonymous disable
Para obtener mayor información sobre pkinit anónimo, por favor consulte:
http://k5wiki.kerberos.org/wiki/Projects/Anonymous_pkinit
Funciones
Un rol se utiliza para la delegación de grano fino. Un permiso otorga la capacidad de realizar tareas de bajo nivel (añadir un usuario, modificar un grupo, etc.) Un privilegio combina uno o más permisos en una abstracción
de nivel superior tales como useradmin. Un useradmin sería capaz de añadir, eliminar y modificar usuarios.
Los privilegios son asignados a roles.
Los usuarios, grupos, hosts y hostgroups pueden ser miembros de un Rol.
Los Roles no pueden contener otros roles.
EJEMPLOS:
Añadir un nuevo rol:
ipa role-add --desc="Junior-level admin" junioradmin
ipa role-add-privilege --privileges=change_password junioradmin
ipa role-add-privilege=add_user_to_default_group
junioradmin
Agregar un grupo de usuarios a este rol:
ipa group-add --desc="User admins" useradmins
ipa role-add-member --groups=useradmins junioradmin
Mostrar información sobre el rol:
ipa role-show junioradmin
El resultado de esto es que cualquier usuario en el grupo 'useradmins' puede agregar usuarios, restablecer contraseñas o añadir un usuario al grupo de usuarios predeterminado de la IPA.
Manejar Autoridades de Certificado
Gestionar la configuración y las reglas del Mapeo de Identidad del Certificado.
Gestión de los Certificados de Perfil
LOs Certificados de Perfil son usados por una Autoridad de Certificación (CA) en la
firma de certificados si una Petición de Firma de Certificado (CSR) es aceptable y
que características y extensiones estarán presentes en el certificado.
El formato del Cetificado de Perfil es la lista de propiedad entendida por Dogtag
o Red Hat Certificate System CA.
SINTAXIS DEL ID DE PERFIL:
Una ID de Perfil es una cadena sin espacios o puntuación que empieza con una
letra y seguida por una secuencia de letras, dígitos o guiones bajos ("_").
EJEMPLOS:
Importar un perfil que no almacenará los certificados enviados:
ipa certprofile-import ShortLivedUserCert \
--file UserCert.profile --desc "User Certificates" \
--store=false
Borrar un certificado de perfil:
ipa certprofile-del ShortLivedUserCert
Mostrar información sobre un perfil:
ipa certprofile-show ShortLivedUserCert
Guardar la configuración del perfil en un fichero:
ipa certprofile-show caIPAserviceCert --out caIPAserviceCert.cfg
Búsqueda de perfiles que almacenan certificados:
ipa certprofile-find --store=false
FORMATO DE CONFIGURACIÓN DE PERFIL:
El formato de configuración de perfil es el formato crudo de lista de propiedad
usado por Dogtag Certificate System. No está soportado el formato XML.
A los perfiles manejados por IPA se les aplican las siguientes restricciones:
- Cuando se importa un perfil el campo "profileId", si está presente, debe coincidir
con la ID dada en la linea de comandos.
- El campo "classId" debe estar fijado a "caEnrollImpl"
- El campo "auth.instance_id" debe estar fijado a "raCertAuth"
- La clase de entrada "certReqInputImpl" y la de salida "certOutputImpl" se deben
usar.
Gestionar zona DNS y registro de recursos.
Gestionar fichas OTP.
Gestionar Servidores Proxy RADIUS.
Gestionar fichas YubiKey.
Manejar bóvedas.
Permisos gestionados
Manipular localizaciones DNS
Manipular la configuración del servidor DNS
Migración a IPA
Migrar usuarios y grupos desde un servidor LDAP a IPA.
Esto lleva a cabo una consulta LDAP contra el servidor remoto buscando
usuarios y grupos en un contenedor. Con el objetivo de migrar las contraseñas
usted necesita enlazar como un usuario que pueda leer el atributo userPassword
sobre el servidor remoto. Esto normalmente está restringido a administradores de
alto nivel como cn=Directory Manager en 389-ds (este es el usuario de enlace por defecto).
El contenedor de usuario por defecto es ou=People.
El contenedor de grupo por defecto es ou=Groups.
Los usuarios y grupos que ya existen en el servidor IPA son saltados.
Dos esquemas LDAP definen como se almacenan los miembros del grupo:
RFC2307 y RFC2307bis. RFC2307bis usa miembro y miembro único para
especificar los miembros del grupo. RFC2307 usa memberUid. El esquema por defecto es RFC2307bis.
La característica de compatibilidad de esquema permite a IPA reformatear datos
para sistemas que no soportan RFC2307bis. Se recomienda deshabilitar esta
característica durante la migración para reducir la sobrecarga del sistema. Puede
ser rehabilitado después de la migración. Para migrar con esto habilitado use la opción "--with-compat".
Los usuarios migrados no tienen credenciales Kerberos, solo tienen su contraseña
LDAP. Para completar el proceso de migración los usuarios necesitan ir a
to http://ipa.example.com/ipa/migration y autenticar usando su contraseña LDAP
con el objetivo de generar sus credenciales Kerberos.
La migración está deshabilitada por defecto. Use el comando ips config-mod para
habilitarla:
ipa config-mod --enable-migration=TRUE
Si no se ha suministrado una base DN con –basedn IPA usará en su lugar el valor
de defaultNamingContext si se ha establecido o el primer valor establecido en
namingContexts en la raíz el servidor LDAP remoto.
Los usuarios son añadidos como miembros del grupo de usuarios predeterminado.
Esta puede ser una tarea que consuma mucho tiempo de modo que durante la
migración se hace por lotes para cada 100 usuarios. Como resultado habrá una ventana en la que los usuarios se añadirán a IPA pero no serán miembros del
grupo de usuario predeterminado.
EJEMPLOS:
La migración más sencilla, aceptando todo lo predeterminado:
ipa migrate-ds ldap://ds.example.com:389
Especificar el contenedor de usuario y grupo. Esto se puede usar para migrar datos
de usuario y grupo desde un servidor IPA v1:
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Puesto que el servidor IPA v2 ya contiene grupos predefinidos que pueden chocar
con los grupos en servidor migrado (IPA v1) (por ejemplo admins, ipausers), los
usuarios que tengan un grupo que choque con su grupo primario puede suceder
que pertenezcan a un grupo desconocido sobre el nuevo servidor IPA v2
Use la opción --group-overwrite-gid para sobreescribir la GID de los grupos ya
existentes y evitar esta cuestión:
ipa migrate-ds --group-overwrite-gid \
--user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Los usuarios o grupos migrados pueden tener objetos clase y atributos
acompañantes desconocidos por el servidor IPS v2. Estos objetos clase y atributos
pueden ser dejados fuera durante el proceso de migración:
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
--user-ignore-objectclass=radiusprofile \
--user-ignore-attribute=radiusgroupname \
ldap://ds.example.com:389
REGISTRO
La migración registrará alarmas y errores en el registro de error Apache. Este
fichero debería ser evaluado después de la migración para corregir o investigar
cualquier cuestión que se descubra.
Por cada 100 usuarios migrados y mensaje de nivel informativo será mostrado
dando el progreso actual y l duración para hacer posible rastrear el progreso de la
migración.
Si el nivel de registro es depuración, bien porque se haya fijado debug = True en
etcipa/default.conf o etcipa/server.conf, se añadirá una entrada por cada usuario
añadido más un resumen cuando el grupo de usuario predeterminado se haya
actualizado.
Misc plug-ins
Netgroups
Un netgroup es un grupo usado para comprobación de permisos. Puede contener
valores tanto de usuario como de host.
EJEMPLOS:
Añadir un nuevo netgroup:
ipa netgroup-add --desc="NFS admins" admins
Añadir miembros al netgroup:
ipa netgroup-add-member --users=tuser1 --users=tuser2 admins
Quitar un miembro del netgroup:
ipa netgroup-remove-member --users=tuser2 admins
Mostrar información sobre un netgroup:
ipa netgroup-show admins
Borrar un netgroup:
ipa netgroup-del admins
Advierta la diferencia entre atributos y entradas. Los permisos son independientes,
de este modo ser capaz de añadir un usuario no significa que el usuario sea
editable.
Fichas OTP
Configuración OTP
Gestiona los valores por defecto que IPA usa para las fichas OTP.
EJEMPLOS:
Muestra a configuración OTP básica:
ipa otpconfig-show
Muestra todas las opciones de configuración OTP:
ipa otpconfig-show --all
Cambia la ventana máxima de autenticación TOTP a 10 minutos:
ipa otpconfig-mod --totp-auth-window=600
Cambia la ventana máxima de sincronización TOTP a 12 horas:
ipa otpconfig-mod --totp-sync-window=43200
Cambia la ventana máxima de autenticación HOTP a 5:
ipa hotpconfig-mod --hotp-auth-window=5
Cambia la ventana máxima de sincronización a 50:
ipa hotpconfig-mod --hotp-sync-window=50
Política de contraseñas
Una contraseña establece límites en contraseñas de IPA, incluyendo máxima y mínima duración, el número de contraseñas a guardar en historial, el número de clases de caracteresrequeridos (para contraseñas ás fuertes)
y el mínimo de longitud de una contraseña.
Por defecto es una única política global para todos los usuarios. También puede crear una política de contraseña para aplicar a un grupo. Cada usuario está sujeto solamente a una política de contraseña, ya sea de grupo o global. Una política de grupo es autónoma; no es uper-set de la política global mas los parámetros personalizados.
Cada política de contraseña requiere una configuración única . Si un usuario está en varios grupos que tienen políticas de contraseñas, esta prioridad determina qué política de contraseña aplica. Un valor inferior indica una política de prioridad superior.
Las políticas de contraseña de grupo se eliminan automáticamente cuando se eliminan los grupos a los cuales están asociados.
EJEMPLOS:
Modificar la política global:
ipa pwpolicy-mod --minlength=10
Agregar una política de contraseña de nuevo grupo:
ipa pwpolicy-add --maxlife=90 --minlife=1 --history=10 --minclasses=3 --minlength=8 --priority=10 localadmins
Mostrar una política de contraseña global:
ipa pwpolicy-show
Mostrar una política de contraseña de grupo:
ipa pwpolicy-show localadmins
Mostrar la política que sería aplicada al usuario dado:
ipa pwpolicy-show --user=tuser1
Modificar una polítca de contraseña de grupo:
ipa pwpolicy-mod --minclasses=2 localadmins
Permisos
Permisos
Un permiso habilita una delegación de grano fino de derechos. Un permiso es un formato
legible por el hombre de una Regla de Control de Acceso (ACL) 389-ds o una instrucción (ACI).
Un permiso otorga el derecho de llevar a cabo una tarea específica como añadir un
usuario, modificar un grupo, etc.
Un permiso puede contener otros permisos.
* Un permiso otorga acceso de escritura, lectura, añadir o borrar.
* Un privilegio combina permisos similares (por ejemplo los permisos necesarios para
añadir un usuario).
* Un rol otorga un conjunto de privilegios a usuarios, grupos, hosts o grupos de hosts.
Un permiso consta de diversas partes:
1. El nombre del permiso.
2. El objetivo del permiso.
3. Los derechos otorgados por el permiso.
Los derechos definen que operaciones están permitidas y pueden ser una o más de las
siguientes:
1. write - escribir uno o más atributos
2. read - leer uno o más atributos
3. add - añadir una nueva entrada al árbol
4. delete - borrar una entrada existente
5. all - se otorgan todos los permisos
El permiso de lectura se otorga para la mayoría de los atributos por defectos de modo que
el permiso de lectura no se espera que use con frecuencia.
Advierta la distinción entre atributos y entradas. Los permisos son independientes, de
modo que ser capaz de añadir un usuario no siginifica que el usuario será editable.
Hay diversos objetivos permitidos:
1. type: un tipo de objeto (usuario, grupo, etc).
2. memberof: un miembro de un grupo o grupo de host
3. filter: un filtro LDAP
4. subtree: un filtro LDAP especificando parte del LDAP DIT. Esto es un superconjunto del
objetivo "type".
5. targetgroup: otorga acceso a modificar un grupo específico (como obteniendo
derechos para manejar la pertenencia al grupo)
EJEMPLOS:
Añadir un permiso que otorga la creación de usuarios:
ipa permission-add --type=user --permissions=add "Add Users"
Añadir un permiso que otorga la capacidad de manejar la pertenencia al grupo:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"
Los permisos que vienen con IPA por defecto se pueden llamar permisos
"gestionados". Estos tienen un conjunto de atributos predeterminados que aplican,
pero el administrador puede añadir/borrar atributos individuales de/a el conjunto.
Haga ping al servidor IPA remoto para asegurarse que está corriendo.
El comando ping envía una petición de eco al servidor IPA. El servidor devuelve
su información de versión. Esto se usa por un cliente IPA para confirmar que el
servidor está disponible y acepta peticiones.
El servidor de xmlrpc_uri en /etc/ipa/default.conf es el primero en contactarse. Si no
responde el clinte contactará con cualquier de los servidores definidos por los
registros ldap SRV en DNS.
EJEMPLOS:
Hacer ping a un servidor IPA:
ipa ping
------------------------------------------
IPA server version 2.1.9. API version 2.20
------------------------------------------
Hacer ping a un servidor IPA verbosamente:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server 'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
IPA server version 2.1.9. API version 2.20
-----------------------------------------------------
Haga ping al servidor IPA remoto para asegurar que está corriendo.
El comando ping envía una petición de eco a un servidor IPA. El servidor devuelve su
información de versión. Esto se usa por un cliente IPA para confirmar que el servidor está
disponible y acepta peticiones.
El servidor desde xmlrpc_uri en /etc/ipa/default.conf es contactado primero. Si no
el cliente contactará con cualquier de los servidores definidos por los registros ldap SRV
en DNS.
EJEMPLOS:
Ping a un servidor IPA:
ipa ping
------------------------------------------
IPA server version 2.1.9. API version 2.20
------------------------------------------
Ping a un servidor IPA verbosamente:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server u'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
IPA server version 2.1.9. API version 2.20
-----------------------------------------------------
Enchufe para crear múltiples invocaciones ipa por medio de una invocación de procedimiento remoto
Para ejecutar este código en el lite-server
curl -H "Content-Type:application/json" -H "Accept:application/json" -H "Accept-Language:en" --negotiate -u : --cacert /etc/ipa/ca.crt -d @batch_request.json -X POST http://localhost:8888/ipa/json
donde el contenido del archivo batch_request.json sigue el ejemplo a continuación
{"method":"batch","params":[[
{"method":"group_find","params":[[],{}]},
{"method":"user_find","params":[[],{"whoami":"true","all":"true"}]},
{"method":"user_show","params":[["admin"],{"all":true}]}
],{}],"id":1}
El formato de la respuesta está anidada de la mima manera. En la cima verá
"error": null,
"id": 1,
"result": {
"count": 3,
"results": [
Y entones por cada método de instrucción IPA enviada una respuesta anidadas en la respuesta
Los plugins no son accesibles a través d CLI, comandos usados internamente
Privilegios
Un privilegio combina permisos dentro de una tarea lógica. Un permiso proporciona
los derechos para realizar una tarea específica.
Por ejemplo, añadir un usuario requiere los siguientes permisos:
Crear una nueva entradasd de usuario
Restablecer una contraseña de usuario
Añadir el nuevo usuario al grupo de usuario predeterminado de IPA
Combinar estos tres niveles inferiores dentro de una tarea de nivel superior en forma de un privilegio
denominado "Add User" facilita el manejo de roles.
Un privilegio no puede contener otros privilegios.
Ver el rol y el permiso para información adicional.
Servidores Proxy RADIUS
Servidores proxy de radio
Gestiona servidores proxy de RADIUS.
IPA admite el uso de un servidor de proxy RADIUS externo para
autentificaciones OTP en krb5. Esto permite un trato sumo de
flexibilidad cuando integra con autentificación de servicios de
partes de terceros.
EJEMPLOS:
Añadir un servidor nuevo:
ipa radiusproxy-add Mi_RADIUS --server=radius.ejemplo.com:1812
Encuentra todos los servidores cuyos apuntes incluyen la serie "ejemplo.com":
ipa radiusproxy-find ejemplo.com
Examinar la configuración:
ipa radiusproxy-show MiRADIUS
Cambiar el secreto:
ipa radiusproxy-mod MiRADIUS --secret
Eliminar una configuración:
ipa radiusproxy-del MiRADIUS
RE-INSCRIPCIÓN:
El host que ha sido inscrito en algún punto y pierde su configuración (e.g. VM destruido) puede ser reinscrito.
Para mas información, consulte las páginas de manual para ipa-client-install.
Un host puede almacenar opcionalmente información como donde está localizado,
el SO que ejecuta, etc.
Dominios de reino
Gestiona la lista de dominios asociados con el reino IPA.
Esta lista es útil para los Controladores de Dominio de otros reinos que tienen
establecida confianza con este reino IPA. Necesitan la información para saber que
peticiones deberían ser reenviadas a KDC de este reino IPA.
Gestión automática: se añade un dominio automáticamente a la lista de dominios
cuando se crea una nueva Zona DNS gestionada por IPA. Lo mismo se aplica para el borrado.
DNS extermanete gestionado: los dominios que no son gestionados en el servidor
IPA DNA necesitan ser añadidos manualmente a la lista usando el comando ipa realmdomains-mod command.
EJEMPLOS:
Muestra la lista actual de dominios reino:
ipa realmdomains-show
Reemplaza la lista de dominios reino:
ipa realmdomains-mod --domain=example.com
ipa realmdomains-mod --domain={example1.com,example2.com,example3.com}
Añade un dominio a la lista de dominios reino:
ipa realmdomains-mod --add-domain=newdomain.com
Borra un dominio de la lista de dominios reino:
ipa realmdomains-mod --del-domain=olddomain.com
La eliminación de '%(hostname)s' lleva a desconectar la topología en sufijo '%(suffix)s':
%(errors)s
La replica de la topología en el sufijo '%(suffix)s' está desconectada:
%(errors)s
Información devuelta sobre la identidad actualmente autentificada
El comando quien soy devuelve información sobre como obtener más detalles sobre la identidad autentificada para esta petición. La información incluye:
* tipo de objeto
* comando para recuperar detalles del objeto
* argumentos y opciones a pasar al comando
La información se devuelve como un diccionario. Los ejemplos de abajo usan la salida 'key: value' con propósitos ilustrativos.
EXAMPLES:
Buscar como usuario IPA:
kinit admin
ipa console
>> api.Command.whoami()
------------------------------------------
object: user
command: user_show/1
arguments: admin
------------------------------------------
Buscar como un usuario desde un dominio de confianza:
kinit user@AD.DOMAIN
ipa console
>> api.Command.whoami()
------------------------------------------
object: idoverrideuser
command: idoverrideuser_show/1
arguments: ('default trust view', 'user@ad.domain')
------------------------------------------
Buscar como host:
kinit -k
ipa console
>> api.Command.whoami()
------------------------------------------
object: host
command: host_show/1
arguments: ipa.example.com
------------------------------------------
Buscar como servicio Kerberos:
kinit -k -t /path/to/keytab HTTP/ipa.example.com
ipa console
>> api.Command.whoami()
------------------------------------------
object: service
command: service_show/1
arguments: HTTP/ipa.example.com
------------------------------------------
Los derechos definen que operaciones están permitidas y pueden ser una o mas
de las siguientes:
1. write - escribe uno o más atributos
2. read - lee uno o más atributos
3. search - busca uno o más atributos
4. compare - compara uno o más atributos
5. add - añade una nueva entrada al árbol
6. delete - borra una entrada existente
7. all - concede todos los permisos
BUSCANDO:
Mapeo de Usuario SELinux
Mapeo de usuarios IPA a usuarios SELinux por host.
Hosts, grupos de hosts, usuarios y grupos pueden ser definidos bien dentro de
una regla o pueden apuntar a una regla HBAC existente. Cuando se utiliza la
opción –hbacrule para selinuxusermap-find se hace una coincidencia exacta con
el nombre de regla HBAC, de modo que solo se devolverán entradas uno o cero.
EJEMPLOS:
Crear una regla, "test1", que ajuste a todos los usuarios a xguest_u:s0 en el "server":
ipa selinuxusermap-add --usercat=all --selinuxuser=xguest_u:s0 test1
ipa selinuxusermap-add-host --hosts=server.example.com test1
Crear una regla, "test2", que fije todos los usuarios a guest_u:s0 y un regla HBAC existente para los usuarios y hosts:
ipa selinuxusermap-add --usercat=all --hbacrule=webserver --selinuxuser=guest_u:s0 test2
Mostrar las propiedades de una regla:
ipa selinuxusermap-show test2
Crear una regla para un usuario especifico. Esto ajusta el contexto SELinux para el
usuario john a unconfined_u:s0-s0:c0.c1023 sobre cualquier máquina:
ipa selinuxusermap-add --hostcat=all --selinuxuser=unconfined_u:s0-s0:c0.c1023 john_unconfined
ipa selinuxusermap-add-user --users=john john_unconfined
Deshabilita una regla:
ipa selinuxusermap-disable test1
Habilita una regla:
ipa selinuxusermap-enable test1
Encontrar una regla con referencia a un regla HBAC específica:
ipa selinuxusermap-find --hbacrule=allow_some
Borrar una regla:
ipa selinuxusermap-del john_unconfined
VEA TAMBIÉN:
La lista controlando el orden en el cual se aplica el mapeo de usuario SELinux
y el usuario SELinux predeterminado está disponible en el comando config-show.
TIPOS DE ZONA SOPORTADOS
* Zona maestro (dnszone-*), contiene datos autoritativos.
* Zona de información (dnsforwardzone-*), envía solicitudes a otros servidores
(un conjunto de servidores DNS).
Buscar ACIs.
Devolver una lista de ACIs
EJEMPLOS:
Para encontrar todos los ACIs que se aplican directamente a miembros del grupo ipausers:
ipa aci-find --memberof=ipausers
Para encontrar todos los ACIs que obtienen acceso añadir:
ipa aci-find --permissions=add
Advierta que el comando find solo busca el texto dado en el conjunto de ACIs, no
evalúa los ACIs a ver si aplicaría alguno.
Por ejemplo, la búsqueda sobre memberof=ipausers encontrará todos los ACIs
que tengan ipausers como memberof. Allí puede haber otros ACIs que se
apliquen a miembros de ese grupo indirectamente.
Permisos de Auto-Servicio
Un permiso habilita una delegación de permisos de. Las Reglas de Control Acceso, o instrucciones (ACIs), conceden permiso a los permisos para llevar a cabo tareas
dadas como añadir un usuario, modificar un grupo, etc.
Un permiso de Auto-Servicio define que un objeto puede cambiar en su propia entrada.
EJEMPLOS:
Añadir una regla de auto-servicio para permitir a los usuarios gestionar su
dirección (usando una expresión Bash brace):
ipa selfservice-add --permissions=write --attrs={street,postalCode,l,c,st} "Los usuarios gestionan sus propias direcciones"
Cuando está gestionando la lista de atributos usted necesita incluir todos los
atributos en la lista, incluyendo los existentes.
Añadir telephoneNumber a la lista (usando expansión Bash brace):
ipa selfservice-mod --attrs={street,postalCode,l,c,st,telephoneNumber} "Los usuarios gestionan sus propias direcciones"
Mostrar nuestra regla actualizada:
ipa selfservice-show "Los usuarios gestionan sus propias direcciones"
Borrar una regla:
ipa selfservice-del "Los usuarios gestionan sus propias direcciones"
Auto servicio de Permisos
Un permiso habilita una delegación de grano fino de permisos. Las Reglas de Control de
Acceso o instrucciones (ACIs), conceden permisos a los permisos para llevar a cabo tareas
dadas como añadir un usuario, modificar un grupo, etc.
Un Permiso de Auto servicio define lo que un objeto puede cambiar en su propia entrada.
EJEMPLOS:
Añadir una regla de auto servicio para permitir a los usuarios gestionar sus direcciones:
ipa selfservice-add --permissions=write --attrs=street,postalCode,l,c,st "Los usuarios maejan sus propias direcciones"
Cuando maneje una lista de atributos usted necesita incluir todos los atributos en la lista, incluyendo los existentes. Añadir un Número de teléfono a la lista:
ipa selfservice-mod --attrs=street,postalCode,l,c,st,telephoneNumber "Los usuarios manejan sus propias direcciones"
Visualizar nuestra regla actualizada:
ipa selfservice-show "Los Usuarios manejan sus propias direcciones"
Borrar una regla:
ipa selfservice-del "Los usuarios manejan sus propias direcciones"
Configuración del servidor
Administre los valores predeterminados que utiliza IPA y algunos de sus
parámetros de ajuste.
NOTAS:
El valor de notificación de contraseña (--pwdexpnotify) se almacena aquí
para que se replique. Actualmente no se utiliza para notificar a los usuarios
con antelación sobre la caducidad de una contraseña.
Algunos atributos son de solo lectura y se proporcionan únicamente con fines
informativos. Estos incluyen:
Base del sujeto del certificado: la base del sujeto del certificado configurada,
por ejemplo, O=EJEMPLO.COM. Esto solo se puede configurar durante la
instalación. Funciones del complemento de contraseña: actualmente define
hashes adicionales que generará la contraseña (pueden existir otras condiciones).
Al configurar la lista de orden para la asignación de usuarios de SELinux, es
posible que deba indicar el valor entre comillas para que el shell no lo interprete.
EJEMPLOS:
Mostrar la configuración básica del servidor:
ipa config-show
Mostrar todas las opciones de configuración:
ipa config-show --all
Cambiar la longitud máxima del nombre de usuario a 99 caracteres:
ipa config-mod --maxusername=99
Aumentar los límites predeterminados de tiempo y tamaño para la búsqueda
máxima en el servidor IPA:
ipa config-mod --searchtimelimit=10 --searchrecordslimit=2000
Establecer el dominio de correo electrónico predeterminado del usuario:
ipa config-mod --emaildomain=example.com
Habilitar el modo de migración para que el comando "ipa migrate-ds" funcione:
ipa config-mod --enable-migration=TRUE
Definir el orden de asignación de usuarios de SELinux:
ipa config-mod --ipaselinuxusermaporder='guest_u:s0$xguest_u:s0$user_u:s0-s0:c0.c1023$staff_u:s0-s0:c0.c1023$unconfined_u:s0-s0:c0.c1023'
Servicios
Un servicio IPA representa un servicio que corre en un host. El registro del servicio
IPA puede almacenar un principal Kerberos, un certificado SSL o ambos.
Un servicio IPA puede ser manejado directamente desde la maquina, siempre que
la maquina haya recibido el permiso correcto. Esto es cierto aún en maquinas
distintas a las que el servicio está asociado. Por ejemplo, solicitar un certificado
SSL utilizando las credenciales principales del servicio de host del anfitrión. Para
administrar un servicio utilizando las credenciales de host usted debe kinit como
host:
# kinit -kt /etc/krb5.keytab host/ipa.example.com@EXAMPLE.COM
Agregar un servicio IPA permite que el servicio asociado solicite un certificado SSL
o tabla de claves, pero esto se realiza como un paso separado; no se produce
como resultado de agregar el servicio.
Solo se almacena en el registro del servicio el aspecto público del certificado; la
clave privada no se almacena.
EJEMPLOS:
Añadir un nuevo servicio IPA:
ipa service-add HTTP/web.example.com
Permitir a un host gestionar un certificado de servicio IPA:
ipa service-add-host --hosts=web.example.com HTTP/web.example.com
ipa role-add-member --hosts=web.example.com certadmin
Anular la lista predeterminada de tipos de PAC soportados para el servicio:
ipa service-mod HTTP/web.example.com --pac-type=MS-PAC
Un caso de uso típico donde es necesario anular el tipo PAC es Nfs. Actualmente
el código relacionado en el kernel Linux puede solo manejar tickets Kerberos hasta
un tamaño máximo. Como los datos PAC pueden ser bastante largos se
recomienda establecer –pac-type=NONE para servicios NFS.
Borrar un servicio IPA:
ipa service-del HTTP/web.example.com
Encontrar todos los servicios IPA asociados con un host:
ipa service-find web.example.com
Encontrar todos los servicios HTTP:
ipa service-find HTTP
Deshabilitar la clave de servicio Kerberos y el certificado SSL:
ipa service-disable HTTP/web.example.com
Pedir un certificado para un servicio IPA:
ipa cert-request --principal=HTTP/web.example.com example.csr
Servicios
Un servicio IPA representa un servicio que corre en un host. El registro del servicio IPA
puede almacenar un principal Kerberos, un certificado SSL a ambos.
Un servicio IPA puede ser manejado directamente desde una máquina, siempre que la
máquina haya recibido los permisos correctos. Esto es cierto aún para máquinas distintas
a aquella a la que el servicio está asociado. Por ejemplo, pidiendo un certificado SSL
usando las credenciales de servicio principal de host del anfitrión. Para manejar un
servicio usando las credenciales del anfitrión usted necesita tokinit como el anfitrión:
# kinit -kt /etc/krb5.keytab host/ipa.example.com@EXAMPLE.COM
Añadir un servicio IPA permite al servicios asociado pedir un certificado SSL o keytab, pero esto se lleva a cabo como un paso separado; esto no se produce como resultado de añadir el servicio.
Solo se almacena el aspecto público de un certificado en un registro de servicio la clave
privada no se almacena.
EJEMPLOS:
Añadir un nuevo servicio IPA:
ipa service-add HTTP/web.example.com
Permitir a un host manejar un certificado de servicio IPA:
ipa service-add-host --hosts=web.example.com HTTP/web.example.com
ipa role-add-member --hosts=web.example.com certadmin
Anular una lista predeterminada de tipos PAC soportados para el servicio:
ipa service-mod HTTP/web.example.com --pac-type=MS-PAC
Borrar un servicio IPA:
ipa service-del HTTP/web.example.com
Encontrar todos los servicios IPA asociados con un host:
ipa service-find web.example.com
Encontrar todos los servicios HTTP:
ipa service-find HTTP
Deshabilitar la clave del servicio Kerberos y el certificado SSL:
ipa service-disable HTTP/web.example.com
Pedir un certificado para un servicio IPA:
ipa cert-request --principal=HTTP/web.example.com example.csr
Generar y recuperar una keytab para un servicio IPA:
ipa-getkeytab -s ipa.example.com -p HTTP/web.example.com -k /etc/httpd/httpd.keytab
Establecer contraseña de un usuario
Si alguien que no sea un usuario cambia la contraseña del usuario (por ejemplo, Servicio de Ayuda la restablece), entonces la contraseña tendrá que ser cambiada la primera vez que se utiliza. Esto es para que el usuario final sea el único que conoce la contraseña.
La directiva de contraseñas IPA controla la frecuencia de cambio de una contraseña, los requisitos de fortaleza y longitud del historial de contraseñas. EJEMPLOS:
Para restablecer su contraseña:
ipa passwd tuser1
Para cambiar la contraseña de otro usuario:
ipa passwd tuser1
La bóveda standard usa un mecanismo seguro para transportar y
almacenar el secreto. El secreto puede ser sólo recuperado por los usuarios
que tiene acceso a la bovéda.
Su pueden añadir Autoridades de Certificado Subordinadas (Sub-CAs) para
emisión con alcance de certificados X.509.
Comandos de Sudo
Comandos usados como partes integrantes de sudo
EJEMPLOS:
Crear un comando nuevo
ipa sudocmd-add --desc='For reading log files' /usr/bin/less
Eliminar un comando
ipa sudocmd-del /usr/bin/less
La bóveda symmetric es similar a la standard, pero
encripta previamente el secreto usando una contraseña antes de transportar.
El secreto sólo se puede recuperar usando la misma contraseña.
El comando de reconstrucción de auto miembro puede ser usado para ejecutar
retroactivamente reglas de auto miembro contra las entradas existentes, así reconstruirá su membresía.
El formato de fecha es YYYY-mm-dd.
La placa de identidad CA usa el valor CN del CSR y fuerza al resto del sujeto a
valores configurados en el servidor.
El estado de un rol es habilitado, configurado o ausente.
Existen distinto objetivos permitidos:
1. subtree: un DN; el permiso se aplica al sub-árbol bajo este DN
2. target filter: un filtro LDAP
3. target: DN con posibles comodines, especifica las entradas a las que se aplica
Hay muchos tipos de DNS RR estructurados donde los datos DNS almacenados
en el servidor LDAP no son solo un valor escalar, por ejemplo una dirección IP o
un nombre de dominio, pero es una estructura de datos que puede ser con
frecuencia compleja. Un buen ejemplo es un registro LOC [RFC1876] que consta
de muchas partes obligatorias y opcionales (grados,minutos, segundos de latitud y longitud, altitud o precisión).
Este código es una extensión del plugin otptoken y suministra el soporte para
leer/escribir directamente en las fichasYubiKey.
USANDO OPCIONES ESTRUCTURADAS POR TIPO
Las bóvedas de usuario son bóvedas propietarias usadas por un usuario concreto. Las bóvedas
privadas son bóvedas propiedad del usuario actual. Las bóvedas de servcio son
bóvedas propiedad de un servicio. Las bóvedas compartidas son propiedad del administrador
pero pueden ser usadas por otros usuarios o sevicios.
Usuarios
Gestiona entradas de usuario. Todos los usuarios son usuarios POXIS.
IPA soporta un amplio rango de formatos de nombre de usuario, pero usted debe estar atento a cualquier restricción que se pueda aplicar a su entorno concreto. Por ejemplo, nombres de usuario que empiezan con un dígito o nombres de usuario que superan cierta longitud pueden causar problemas en algunos sistemas UNIX.
Use 'ipa config-mod' para cambiar el nombre de usuario permitido por las herramientas IPA.
Deshabilitando una cuenta de usuario evita que el usuario obtenga nuevas
credenciales Kerberos. Esto no invalida cualquier credencial que ya hay sido
enviada.
La gestión de contraseña no es parte de este módulo. Para más información sobre
este punto vea por favor: ipa help passwd
El cierre de una cuenta ante un fallo de contraseña sucede por el master IPA. El
comando user-status se puede usar para identificar en que master está bloqueado
el usuario. Y sobre ese master debe el administrador desbloquear al usuario.
EJEMPLOS:
Añadir un nuevo usuario:
ipa user-add --first=Tim --last=User --password tuser1
Encontrar todos los usuarios cuyas entradas incluyen la cadena "Tim":
ipa user-find Tim
Encontrar todos los usuarios con “Tim” como primer nombre:
ipa user-find --first=Tim
Deshabilitar una cuenta de usuario:
ipa user-disable tuser1
Habilitar una cuenta de usuario
ipa user-enable tuser1
Borrar un usuario:
ipa user-del tuser1
Bóvedas
Cuando se añade un registro, cualquiera de las opciones RR especificas o
estándar para un valor bruto se puede usar, simplemente no deben combinarse en
operación de adicción. Cuando se modifica una entrada existente, se pueden usar
nuevas opciones RR para cambiar una parte de un registro DNS, donde la opción
estándar para el valor bruto se usa para especificar el valor modificado. El siguiente
ejemplo muestra una modificación de la preferencia de un registro MX de 0 a 1 en
un registro sin modificación del intercambiador:
ipa dnsrecord-mod --mx-rec="0 mx.example.com." --mx-preference=1
Cuando se busca por fechas _from fecha hace un >= search y _to fecha hace
<= search. Cuando se combina esto hace como un AND.
Fichas YubiKey
ipa <command> --help Alternativamente, los siguientes servidores son capaces de ejecutar este comando: %(masters)s "%s" no es un tipo válido de permiso "%s" no es un tipo de objeto ${count} item(s) añadido ${count} item(s) borrado Configuraciones de ${entity} ${primary_key} ${entity} ${primary_key} actualizado ${entity} añadido con éxito ${primary_key} es un miembro de: ${primary_key} es gestionada por: ${primary_key} miembros: ${product}, versión: ${version} %(attr)s no contiene '%(value)s' %(attr)s: sintaxis inválida. %(attr)s : Solamente un valor permitido. %(container)s búsqueda LDAP no devolvió ningún resultado (buscar base: %(search_base)s, objectclass: %(objectclass)s) %(count)d %(type)s registro omitido. Sólo un valor por DNS tipo de registro puede ser modificado a la vez. %(count)d %(type)s registros omitidos. Sólo un valor por DNS tipo de registro puede ser modificado a la vez. %(count)d ACI coincidente %(count)d ACIs coincidentes %(count)d CA coincidente %(count)d CAs coincidentes %(count)d Regla de Mapeo de Identidad de Certificado coincidente %(count)d Reglas de Mapeo de Identidad de Certificado coincidentes %(count)d regla coincidente de HBAC %(count)d reglas coincidentes de HBAC %(count)d grupo de servicio HBAC coincidente %(count)d grupos de servicio HBAC coincidentes Servicio HBAC %(count)d coincidente Servicios HBAC %(count)d coincidentes %(count)d localización IPA emparejada %(count)d localizaciones IPA emparejadas %(count)d servidor IPA coincide %(count)d servidores IPA coinciden %(count)d OTP ficha coincidente %(count)d OTP fichas coincidentes %(count)d servidor proxy RADIUS coincidente %(count)d servidores proxy RADIUS coincidentes %(count)d Mapa de Usuario SELinux coincidente %(count)d Mapas de Usuario SELinux coincidentes %(count)d Grupo de Comando Sudo emparejado %(count)d Grupos de Comando Sudo emparejados %(count)d Comando Sudo emparejado %(count)d Comandos Sudo emparejados %(count)d Regla Sudo emparejada %(count)d Reglas Sudo emparejadas %(count)d clave de automontaje coincidente %(count)d claves de automontaje coincidentes %(count)d localización de automontaje coincidente %(count)d localizaciones de automontaje coincidentes %(count)d mapa de automontaje coincidente %(count)d mapas de automontaje coincidentes %(count)d delegación coincidente %(count)d delegaciones coincidentes %(count)d grupo coincidente %(count)d grupos coincidentes %(count)d equipo coincidente %(count)d equipos coincidentes %(count)d grupo de equipos coincidente %(count)d grupos de equipos coincidentes %(count)d autoservicio coincidente %(count)d autoservicios coincidentes %(count)d permiso coincidente %(count)d permisos coincidentes %(count)d complemento cargado %(count)d complementos cargados %(count)d privilegio coincidente %(count)d privilegios coincidentes %(count)d perfil coincidente %(count)d perfiles coincidentes %(count)d rango coincide %(count)d rangos coinciden %(count)d rol coincidente %(count)d roles coincidentes %(count)d reglas coincidentes %(count)d reglas coincidentes %(count)d autoservicio coincidente %(count)d autoservicios coincidentes %(count)d servicio coincidente %(count)d servicios coincidentes %(count)d confianza encontrada %(count)d confianzas encontradas %(count)d usuario coincidente %(count)d usuarios coincidentes %(count)d variables %(count)s servidor coincide %(count)s servidores coinciden %(count)s rol servidor coincidente %(count)s roles servidor coincidentes %(count)s usuario coincidente %(count)s usuarios coincidentes %(cver)s cliente incompatible con servidor %(sver)s en '%(server)s' %(desc)s:%(info)s %(exception)s %(filename)s: fichero no encontrado %(host)s falló %(host)s falló: %(error)s %(info)s No se puede eliminar %(key)s porque %(label)s %(dependent)s lo requiere %(key)s no puede ser borrado o deshabilitado porque es el último miembro de %(label)s %(container)s %(label)s %(key)s no puede ser borrado/modificado: %(reason)s %(line)s %(name)s certificado no válido %(oname)s con el nombre "%(pkey)s" ya existe %(operation)s no está soportada para principal %(principal_type)s %(parent)s: no se encuentra %(oname)s %(pkey)s: no se encuentra %(oname)s %(port)s no es un puerto válido %(reason)s %(subject)s: Certificado mal formado. %(reason)s Tiempo de espera de la tares LDAP %(task)s, Task DN: '%(task_dn)s' %(user)s no es un usuario POSIX %s %s registro %s no es un atributo válido. %s registro %s a añadir %s a excluir desde la migración %s a eliminar %s: servidor proxy RADIUS no encontrado %s: grupo no encontrado %s: usuario ya preservado «${port}» no es un puerto válido '%(command)s' es obsoleto. %(additional_info)s '%(entry)s' no tiene certificado. '%(name)s' se requiere '%(option)s' opción obsoleta. %(additional_info)s '%(required)s' no debe estar vacío cuando '%(name)s' está establecido «%s» es una parte requerida del registro DNS (obsoleto) (vea detalles en el RFC %s) . Comprobar GID del grupo existente. Use la opción --group-overwrite-gid para anular la GID 7 no es una razón válida de revocación <all IPA DNS servers> <i class="fa fa-info-circle"></i> Para acceder con <strong>certificado</strong>, por favor asegúrese de tener un certificado personal valido. <i class="fa fa-info-circle"></i> Para acceder con <strong>nombre de usuario y contraseña</strong>, introduzcalos en los correspondientes campos después pulse 'Entrar'. <p>Método implícito (conraseña) será usado si no se ha elegido método.</p><p><strong>Contraseña + Dos factores:</strong> LDAP y Kerberos permiten la autenticación con uno de lostipos de autenticación pero Kerberos usa un método de pre autenticacion que requiere usar armadura ccache.</p><p><strong>RADIUS con otro tipo:</strong> Kerberos siempre usa RADIUS, pero LDAP nunca lo hace. LDAP solo reconoce las opciones de contraseña y dos factores.</p> <p>Configuración por uso, sobre escribe la configuracion global si cualquier opción esta marcada.</p><p><strong>Contraseña + Dos factores:</strong> LDAP y Kerberos permiten la autenticación con uno de lostipos de autenticación pero Kerberos usa un método de pre autenticacion que requiere usar armadura ccache</p><p><strong>RADIUS con otro tipo:</strong> Kerberos siempre usa RADIUS, pero LDAP nunca lo hace. LDAP solo reconoce las opciones de autenticación contraseña y dos factores.</p> Una creación reversa Una dirección IP Un permiso SYSTEM no puede ser modificado o quitado Una lista separada por comas de los campos a buscar cuando se está buscando grupos Una lista separada por comas de los campos a buscar cuando se está buscando usuarios Una descripción de este servidor proxy RADIUS Una descripción de esta regla auto miembro Una descripción de este comando Una descripción de este equipo Una descripción de este grupo de equipo Una descripción de este grupo de roles Un diccionario representando una entrada LDAP Un grupo no puede ser miembro de sí mismo Un grupo no puede ser agregado como miembro de sí mismo Un host dispuesto a actuar como un intercambiador clave Un host dispuesto a actuar como un intercambiador de correo Un nombre de host al que este nombre de host alias apunta Una lista de valores ACI Una lista de entradas LDAP Un grupo administrado no puede tener una política de contraseñas. Se encontró un problema al verificar si todos los miembros eran %(verb)s: %(exc)s Buscada una cadena en todos los atributos de objeto relevantes Registro A6 de datos Registro A6 AA transacción Crear AAAA reversa Dirección IP AAAA Registro AAAA ACI Nombre de ACI Objeto ACI. ACI de permiso %s no fue encontrado Prefijo ACI Se requiere prefijo de ACI No se encuentra un ACI cuyo nombre sea "%s" ACI Ajuste de Confianza AD Nombre del host AFSDB Subtipo AFSDB Registro AFSDB Número de Versión API no fue enviado, la compatibilidad de envío no está garantizada. Asumiendo la versión API del servidor, %(server_version)s Registro APL Sobre Acceso Denegado Acceso Obtenido Acceso obtenido: %s Acceder a este host Hora de acceso Acceso Cuenta Configuración de la cuenta Estado de Cuenta Cuenta inhabilitada Cuenta deshabilitada: %(disabled)s Acciones Activar Administrador de dominio Active Directory Contraseña del administrador de dominio Active Directory Intervalo de dominios de Active Directory Rango de confianza Active Directory con atributos POSIX Activar zona Agregar Añadir entrada Class of Service Añadir Indicador de Autenticación Personal Añadir Alias Principal Kerberos Añadir Muchos Añade un gestor a entrada de usuario Añadir un nuevo grupo de servicio HBAC. Añade un servicio HBAC nuevo. Añadir una nueva localización IPA. Añadir un nuevo servicio nuevo IPA. Añadir un nuevo servicio IPA. Añadir una nueva ficha OTP. Añadir un nuevo servidor proxy RADIUS. Añadir un nuevo servicio SMB. Añadir una nueva ficha YubiKey OTP. Añadir una nueva delegación. Añadir un nuevo grupo de política de contraseña. Añadir un n uevo host. Añadir un nuevo grupo de host. Añadir un nuevo grupo de red. Añadir un nuevo permiso. Añadir un nuevo privilegio. Añadir un nuevo rol. Añadir un nuevo auto servicio de permiso. Añadir un nuevo escenario usuario. Añadir un nuevo usuario. Añadir un permiso para una delegación de acceso a zona por reenvío. Añade un permiso para una delegación de acceso por zona. Añadir un permiso al sistema sin un ACI Añadir un permiso de sistema sin un ACI (comando interno) Añadir un par atributo/valor. El formato es attr=value. El atributo
debe ser parte del esquema. Añadir una regla automiembro. Añadir una opción a la Regla Sudo. Agregar y agregar otro Añadir y cerrar Agregar y Editar Añade certificados a la entrada de host Añadir comandos y grupos de comando sudo afectados por Regla Sudo. Añadir condiciones a una regla automiembro. Añadir valor personal Añadir dominio Añadir grupo para Sudo a ejecutar como. Añadir hosts y grupos de hosts afectados por Regla Sudo. Añadir hosts que pueda manejar este host. Añadir hosts que pueden gestionar este servicio. Añadir miembros a Grupo de Comando Sudo. Agregar miembro a un grupo. Añadir miembros a un grupo de host. Añadir miembros a un grupo de red. Añadir miembros a un permiso. Añadir miembros a un privilegio. Añadir miembros a un rol. Añadir miembros a un grupo de servicio HBAC. Añadir usuarios migrados sin grupo a un grupo predeterminado (por defecto: true) Añadir nuevo registro de recurso DNS. Añadir nuevos certificados a un servicio Añadir un nuevo alias principal a un servicio Añade un nuevo alias principal a una entrada de host Añade un nuevo alias principal a la entrada de usuario Añade uno o más mapeados de certificados a la entrada de usuario. Añade uno o más certificados a la entrada del usuario Añade una o más llaves de paso mapeados al apunte de usuario. Añadir permisos a un privilegio. Añadir privilegios a un rol. Añadir servicios a una regla HBAC. Añadir hosts objetivos y grupos de host a una regla HBAC. Añadir hosts y grupos de host objetivo a una regla de Mapa de Usuario SELinux. Agregar el host de DNS con esta dirección IP Añadir a grupo predeterminado Añadir usuarios y grupos afectados por Regla Sudo. Añadir usuarios y grupos para Sudo a ejecutar como. Añadir usuarios y grupos a una regla HBAC. Añadir usuarios y grupos a una regla de Mapa de Usuario SELinux. Añadir usuarios que pueden manejar esta ficha. %(map)s agregados Agregado %(src)s a %(dst)s Añadida confianza Active Directory para el reino "%(value)s" Añadida Regla de Mapeo de Identidad de Certificado "%(value)s" Añadida regla HBAC "%(value)s" Servicio de HBAC "%(value)s" añadido Agregado servicio de grupo HBAC "%(value)s" Se añadió el intervalo de ID «%(value)s» Añadida localización IPA "%(value)s" Añadir ficha OTP "%(value)s" Añadido servidor proxy RADIUS "%(value)s" Añadido Mapa de Usuario SELinux "%(value)s" Añadido Comando Sudo “%(value)s” Añadido Grupo de Comando Sudo “%(value)s” Añadida Regla Sudo “%(value)s” Regla automiembro añadida "%(value)s" Añadido mapa de automontaje indirecto "%(value)s" Añadida clave de automontaje "%(value)s" Añadida localización de automontaje "%(value)s" Añadido mapa de automontaje "%(value)s" Añadidos certificados a host "%(value)s" Añadidos certificados al servicio principal "%(value)s" Añadidos certificados al usuario "%(value)s" Añadida condición(es) a "%(value)s" Delegación añadida "%(value)s" Ha sido agregado el grupo "%(value)s" Ha sido agregado el equipo "%(value)s" Ha sido agregado el grupo de equipo "%(value)s" "%(value)s"netgroup añadido Añadidos nuevos alias al host "%(value)s" Añadidos nuevos alias al servicio principal "%(value)s" Añade nuevos alias al usuario "%(value)s" Opción «%(option)s» añadida a «%(rule)s» de Sudo Rule Permiso agregado "%(value)s" Privilegio añadido "%(value)s" Rol agregado "%(value)s" Añadido autoservicio "%(value)s" Ha sido agregado el servicio "%(value)s" Añadido escenario usuario "%(value)s" Añadido permiso de sistema "%(value)s" Ha sido agregado el usuario "%(value)s" Instrucciones adicionales: Correo-e de administrador Anunciado por los servidores Afiliación cambiada Acuerdos borrados Algoritmo Todos los atributos a los que aplica el permiso Todos los comandos deberían por lo menos tener un resultado Todos los servidores de nombre fallaron al responder a la consulta sobre la zona reversa DNS %(revdns)s Todos los filtros objetivo, incluyendo aquellos implicados por el tipo y menbresia Permitir Permitir sincronización PTR Permitir acceso desde el dominio de confianza Permitir el añadido de miembros externos no IPA desde dominios de confianza Concede actualizaciones dinámicas. Permitir a grupos de host crear tabla de teclas de '${primary_key}' Permitir a grupos de host recuperar tabla de teclas de '${primary_key}' Permitir a hosts crear tabla de teclas de '${primary_key}' Permitir a hosts recuperar tabla de teclas de '${primary_key}' Permitida la firma DNSSEC en línea Permitida la firma DNSSEC de registros en la zona Concede consulta Permite la sincronización de registros de reenvío (A, AAAA) y reversa (PTR) Permitir la sincronización de registros adelante (A, AAAA) y atrás (PTR) en la zona Conceder transferencia Permitir el uso de recursos IPA por el dominio de la confianza Permitir a grupos de usuario crear tabla de teclas de '${primary_key}' Permitir a grupo de usuarios recuperar tabla de teclas de '${primary_key}' Permitir a los usuarios crear tabla de teclas de '${primary_key}' Permitir a los usuarios recuperar tabla de teclas de '${primary_key}' Permite a usuarios, grupos, hosts o grupos de host crear una keytab de este host. Permitir a los usuarios, grupos, hosts o grupos de host crear una tabla de claves de este servicio. Permite a usuarios, grupos, hosts o grupos de host recuperar una keytab de este host. Permitir a los usuarios, grupos, hosts o grupos de host recuperar una tabla de claves de este servicio. Permitido crear tabla de teclas Permitido recuperar tabla de teclas Permitir la migración a pesar de la utilización del plugin de compatibilidad Ya está registrado Altitud Ha ocurrido un error (${error}) Ya existe un rango id para esta confianza. Usted debería bien borrar el antiguo rango o excluir las opciones --base-id/--range-size del comando. Un intervalo entre preguntas regulares del servidor de nombre sobre nuevas zonas DNS Ancla para anular Cualquier comando Cualquier grupo Cualquier host Cualquier servicio Cualquiera Aplica ID Vista a los host especificados o miembros actuales de hostgroups especificados. Si cualquiera otro ID de Vista está aplicado al host, es anulado. Aplicar Aplique ACI a su propia entrada (usted) Datos archivados en una bóveda ¿Está seguro que desea ${action} el usuario?<br/>El cambio tendrá efecto inmediatamente. ¿Está seguro de que desea borrar ${object}? ¿Está seguro que desea eliminar las entradas seleccionadas? ¿Está seguro de que desea deshabilitar ${object}? Está seguro de que desea habilitar ${object}? ¿Está seguro de que desea seguir adelante con la acción? ¿Está seguro que desea unprovision este equipo? ¿Está seguro de que desea no suministrar este servicio? Argumentos para detalles de la función Como Whom Pregunta por una contraseña no aleatoria para la principal Vista ID asignada Gestor asignado de la ficha (predeterminado: self) Usuario asignado de la ficha (predeterminado: self) Atributo Atributo Clave Atributo a filtrar por medio de regex. Por ejemplo fqdn para un host o gestor para un usuario Atributos Atributos a ignorar para las entradas de grupo en DS Atributos a ignorar para las entradas de usuario en DS Atributos a los que aplica la delegación Atributos a los que aplican los permisos Atributos a los que el permiso se aplica por defecto Atributos a los que aplican los permisos. Auditoría Autenticando Indicadores de Autenticación Indicador de autenticación Indicadores de autenticación Autenticación con Kerberos fallada Autenticación con certificado persona falló Nombre de servidor autoritativo Nombre de dominio del servidor de nombre autoritativo ID de la Autoridad Regla Auto Afiliación Auto Afiliación no está configurada Regla auto miembro: %s no encontrada! Actualización automática de registros DNS del sistema falló. Por favor vuelva a ejecutar manualmente la actualización de registros del sistema para obtener la lista de los registros desaparecidos. Regla Automiembro Tarea completada de reconstruir la membresía del miembro Montaje automático Clave de Automontaje Llaves de montaje automático Localización de Automontaje Configuración de ubicación de automount Ubicaciones de automontado Mapa de Automontaje Mapas de montaje automático Nombre de clave de montaje automático. Objeto clave de automontaje Nombre de la ubicación de montaje automático. Nombre del mapa automount. Archivo maestro automount. Disponible Política de actualización de BIND Atrás Volver al comienzo Las credenciales de caché están mal formadas Tipo de sal malo o no soportado.
Mal filtro de búsqueda %(info)s de filtro de búsqueda errado Base DN Base DN sobre servidor LDAP remoto Base para sujetos certificados (OU=Prueba,O=Ejemplo) Certificado codificado en Base-64. Certificado de host codificado en Base-64 Certificado del servidor codificado con base-64 Certificado de servicio codificado en Base-64 Certificado de usuario codificado en Base-64 Falló la decodificación base64: %(reason)s Datos binarios para archivar Asociar DN Vincular contraseña ya suministrada (-w).
Contraseña de bind requiere cuando utilice un bind ND (-w o -W).
Tipo de regla de enlace Breve descripción de este perfil CA CA de transacción Certificado CA CA no está configurado Algoritmo CERT Tipo de Certificado CERT Certificado/CRL CERT Etiqueta de clave CERT Registro CERT Nombre del host CNAME Registro CNAME Registro CNAME no está permitido que coexista con ningún otro registro (RFC 1034, sección 3.6.2) El tipo COSE a utilizar para registrado CSR Cancelar No puede crear registro reverso para "%(value)s": %(exc)s No puede decodificar fichero '%(filename)s': %(exc)s No puede establecer confianza al AD desplegado en el mismo dominio que IPA. Este ajuste no se soporta. No se puede obtener FQDN del host.
No se puede ocultar el maestro de renovación de CA. No se puede ocultar la clave maestra DNSSec. No se puede ocultar el último servidor habilitado %(name)s. No se puede llevar a cabo la validación SID sin el soporte de Samba 4 instalado. Asegúrese de que tiene instalado el sub paquete server-trust-ad de IPA en el servidor No se puede llevar a cabo la validación del miembro externo sin el soporte para Samba 4 instalado. Asegúrese de que tiene instalado el sub-paquete server-trust-ad de IPA en el servidor No puede llevar a cabo la operación de unión si el dominio propio configurado. Asegúrese primero que está corriendo ipa-adtrust-install sobre el servidor IPA No puede llevar a cabo el comando seleccionado sin una instancia Samba 4 configurada en este máquina. Asegúrese de estar ejecutando ipa-adtrust-install sobre este servidor. No puede llevar a cabo el comando seleccionado sin el soporte de Samba 4 instalad. Asegúrese de tener el instalado el sub-paquete server-trust-ad de IPA. No se puede cosultar al Administrador de Directorios con API No puede leer el fichero '%(filename)s': %(exc)s No es posible resolver KDC para el reinado solicitado No puede buscar en los dominios de confianza sin un dominio propio configurado. Asegúrese que tiene corriendo ipa-adtrust-install sobre el servidor IPA primero No pudde especificar el mecanismo SASL y el enlace DN simultáneamente.
No se puede especificar servidor y LDAP uri simultáneamente.
No puede almacenar permiso ACI a %s No puede usar %(old_name)s con %(new_name)s Licencia de conducción Certificado Datos de Asociación del Certificado Autoridades de Certificado Autoridad de Certificado Certificado retenido Configuración Global del Mapeo de Identidad de Certificado Regla de Mapeo de Identidad de Certificado Descripción de la Regla de Mapeo de Identidad de Certificado Nombre de Regla de Mapeo de Identidad de Certificado Reglas de Mapeo de Identidad de Certificado Opciones de configuración del Mapeo de Identidad de Certificado Certificado de Perfil Certificado de Perfiles Certificado revocado Base de certificado de asunto Tipo de Certificado Utilización del Certificado Cadena de certificado Certificado para ${entity} ${primary_key} Error de certificado de formato: %(error)s La operación certificada no puede ser completada: %(error)s Certificado de los perfiles no pueden ser renombrado Certificados(s) almacenados en el archivo '%(file)s' Certificado/CRL Certificados Cese de operaciones Cambiar contraseña Cambio de contraseña para "%(value)s" Cambiado el estado del servidor de "%(value)s". Clases de caracteres Comprobar la conexión al servidor IPA remoto. Verificar el estado de una solicitud de firma de certificado. Comprobando que el registro existe. Comprueba si alguno de los servidores tiene un servicio DNS habilitado. Ciudad Clase Objeto Class of Service enlazando políticas con grupos Limpiar Limpiar todos los campos en la página. Purga ID Vista desde los host especificados o miembros actuales del grupos de host especificados. Pulse para ${action} Las credenciales del cliente pueden delegarse al servicio El cliente no está configurado. Ejecutar la API de cliente a instalar. Versión de cliente. Se utiliza para determinar si el servidor va a aceptar la solicitud. Intervalo de reloj Desplazamiento del reloj Cerrar Cierre de tabla de claves incorrecto
Cerrar Todo Lista de tipos de cifrado separados por coma Lista separada por comas de atributos Lista separada por comas de permisos a obtener (lectura, escritura, borrado, todos) Comando '%(name)s' es obsoleto Categoría de comandos Categoría de comandos la regla se aplica a Nombre del comando El comando no se ha implementado Comandos Nombre común Condiciones que no pueden ser agregadas Condiciones que no pueden ser eliminadas Configuración Límite administrativo del servidor configurado sobrepasado Tamaño límite configurado sobrepasado El tiempo límite configurado sobrepasado Confirmación Fallos consecutivos antes del bloqueo Consumir un derecho. Configuración de contactos Contactar este servidor KDC específico Continuar Continúe a la siguiente página Modo continuo: No se detenga en los errores. Modo de funcionamiento continuo. Se reportan errores, pero el proceso continúa Modo de funcionamiento continuo. Reporta los errores, pero el proceso continúa. No se pudo obtener %(name)s interactivamente Contador Crear Escenario usuario desde un usuario borrado Crear una CA. Crear una nueva Regla de Mapeo de Identidad de Certificado. Crea una regla HBAC nueva. Crear un nuevo Mapa de Usuario SELinux. Crear una nueva clave de automontaje. Crear un nuevo lugar de auto-montaje. Crea un mapa de auto-montaje nuevo. Crear un grupo nuevo. Crea un punto indirecto de montaje nuevo. Crea una bóveda nueva. Crear como un grupo no POSIX Crear registro DNS Crear nuevo ACI. Crear una zona de envío DNS. Crea zona DNS nueva (registro SOA). Crear un nuevo Grupo de Comando Sudo. Crear un nuevo Comando Sudo. Crear nueva Regla Sudo. Crear reversa Crear registro reverso para esta Dirección IP Ha sido creado ACI "%(value)s" Creada CA "%(value)s" Creando el registro. Tipo credencial Los permisos de credenciales de caché son incorrectos Los fideicomisos a través del reino no están instalados. Asegúrese de que está corriendo ipa-adtrust-install en el servidor IPA primero Contenidos actuales del registro DNS:
Contraseña Actual Se necesita contraseña actual Valor personal Personalización Registro DHCID Algoritmo DLV Resumen DLV Tipo de Resumen DLV Etiqueta de clave DLV Registro DLV DN de contenedor para grupos es DS relativo a DN DN de contendor para usuarios es DS relativo a base DN DN a vincular como si no usara kerberos Destino DNAME Registro DNAME DNS DNS descubierto incorrecto
Zona de Envío DNS Zonas de Envío DNS Configuración global de DNS Tipo DNS RR "%s" no es soportado por el complemento bind-dyndb-ldap Registro de Recurso de DNS Registros de Recursos DNS Zona DNS Configuración de la Zona DNS Zonas DNS Fallo en la comprobación DNS: Esperado {%(expected)s} obtenido {%(got)s} Clase DNS Opciones de configuración de DNS Descubrir DNS para dominio %s
Zona de envío DNS Zonas de envío DNS Reenviador DNS Las semánticas del promotor cambió desde IPA 4.0.
Usted puede desear usar las zonas de envío (dnsforwardzone-*) en su lugar.
Lea los documentos para más detalles. DNS no está configurado la etiqueta DNS no puede ser más larga de 63 caracteres La etiqueta DNS no puede ser más larga de 63 caracteres Registro DNS fue borrado porque no contenía datos. Registro(s) DNS del host %(host)s podría no ser removido. (%(reason)s) Los registros DNS solo pueden ser actualizados de uno en uno Registro de recursos DNS Tipo de registro del recurso DNS Registros de recurso DNS Zona reversa DNS %(revzone)s para dirección IP %(addr)s no está manejada por este servidor Servidor DNS Servidor DNS %(server)s no soporta DNSSEC: %(error)s.
Si está habilitada la validación DNSSEC sobre servidor(es) IPA, deshabilitélo por favor. Servidor DNS %(server)s no soporta EDNS0 (RFC 6891): %(error)s.
Si la validación DNSSEC está habilitada sobre servidor(es) IPA, por favor deshabilitélo. Servidor DNS %(server)s: %(error)s. Servidores DNS zona DNS Zona DNS %(zone)s no encontrado La zona DNS para cada realmdomain debe contener registros SOA o NS. No se han encontrado registros para: %s El registro DNS de zona raíz no puede ser renombrado zonas DNS Registros DNSKEY El soporte DNSSEC es experimental.
%(additional_info)s Fallo en la validación DNSSEC: %(error)s.
Por favor verifique su configuración DNSSEC o deshabilite la validación DNSSEC en todos los servidores IPA. Algoritmo DS Resumen DS Tipo de Resumen DS Etiqueta de clave DS Registro DS El registro DS no debe estar en zona apéndice (RFC 4035 sección 2.4) El registro DS requiere coexistir con un registro NS record (RFC 4592 sección 4.6, RFC 4035 sección 2.4) Datos Salida de depuración Tipo predeterminado de PAC Usuario SELinux por defecto cuando no coincida está encontrado dentro de regla de relación SELinux Atributos predeterminados Dominio de correo electrónico por defecto Grupo predeterminado para usuarios nuevos El grupo predeterminado para nuevos usuarios no es POSIX Grupo predeterminado para nuevos usuarios no encontrado Grupo predeterminado objectclass Clases de objeto grupo por defecto (lista separada por comas) Lugar por defecto de los directorios home Intérprete predeterminado Shell predeterminada para usuarios nuevos La política de entrada por defecto podría no ser leída Tiempo de vida predeterminado Tipos por defecto de PAC admitidos para servicios Tipos por defecto de autenticación de usuario admitido Tipos de autenticación de usuario por defecto Usuario predeterminado objectclasses Clases de objeto usuario por defecto (lista separada por comas) Grupo de usuarios predeterminado Latitud en grados Grados de Longitud Delegación Nombre de delegación Delegaciones Eliminar Borrar %(name)s '%(value)s'? Borrar ACI. Borrar entrada Class of Service Borrar forma de reenvío DNS. Borrar entrada de registro DNS. Borrar un registro de recurso DNS. Borrar zona DNS (registro SOA). Eliminar servidor IPA. La eliminación de clave, unprovision Borrado Grupo de Comando Sudo. Borrar Comando Sudo. Borrar Regla Sudo. Borrar una Regla de Mapeo de Identidad de Certificado. Borrar un Certificado Perfil Borrar un servidor proxy RADIUS. Borrar un Mapa de Usuario SELinux. Borrar una delegación. Borrar un grupo de política de contraseña. Borrar un host. Borrar un grupo de host. Borrar un grupo de red. Borrar un permiso. Borrar un privilegio. Borrar un rol. Borrar un auto servicio de permiso. Borrar un escenario usuario. Borrar una confianza. Borra un usuario Borra un usuario, conservando disponible el apunte para empleo futuro Borrar un usuario. Eliminar todos los registros asociados ¿Borrar todos? Borrar una regla HBAC. Borrar un grupo de servicio HBAC. Eliminar un intervalo de ID. Borrar una localización IPA. Borrar un servicio IPA. Borrar una ficha OTP. Borra una pareja atributo/valor. La opción será evaluada al final,
después de todos los ajustes y añadidos. Borra una regla automiembro. Borrar una clave de auto-montaje. Borrar un lugar de auto-montaje. Borrar un mapa de auto-montaje. Borrar un servicio HBAC existente. Borrar dominio Eliminar grupo. Ha sido eliminado ACI "%(value)s" Borrada CA "%(value)s" Regla de Mapeo de Identidad de Certificado "%(value)s" borrada Borrada forma de reenvío DNS "%(value)s" Borrada zona DNS "%(value)s" Suprimida regla HBAC "%(value)s" Suprimido el servicio HBAC "%(value)s" Suprimido el servicio HBAC grupo "%(value)s" Se eliminó el intervalo de ID «%(value)s» Borrada localización IPA "%(value)s" Eliminado servidor IPA "%(value)s" Ficha OTP borrada "%(value)s" Borrado servidor proxy RADIUS "%(value)s" Borrado Mapa de Usuario SELinux "%(value)s" Borrado Comando Sudo “%(value)s” Borrado Grupo de Comando Sudo “%(value)s” Borrada Regla Sudo “%(value)s” Borrada regla automiembro "%(value)s" Borrada clave de automontaje "%(value)s" Borrada una localización de automontaje "%(value)s" Borrado un mapa de automontaje "%(value)s" Delegación eliminada "%(value)s" Ha sido eliminado el grupo "%(value)s" Ha sido eliminado el equipo "%(value)s" Ha sido eliminado el grupo de equipo "%(value)s" %(value)s" de netgroup eliminados Permiso borrado "%(value)s" Privilegio eliminado "%(value)s " Perfil borrado "%(value)s" Registro eliminado "%(value)s" Rol eliminado "%(value)s" autoservicio eliminados "%(value)s" Ha sido eliminado el servicio "%(value)s" Borrado escenario usuario "%(value)s" Confianza borrada "%(value)s" Ha sido eliminado el usuario "%(value)s" No se permite eliminar un grupo administrado. Primero debe ser desasociado. El borrado de este servidor no está permitido puesto que dejaría su instalción sin una CA. El borrado de este servidor no está permitido puesto que dejaría su instalación sin un KRA. Borrando este servidor dejará su instalación sin un DNS. Negar Opciones obsoletas Obsoleto; use %s Describe la identidad actualmente autentificada. Descripción Descripción del propósito de la CA Desenganchar un grupo gestionado desde un usuario. Ha sido desasociado el grupo "%(value)s" del usuario "%(value)s" Determina si el plugin Schema Compatibility está configurado para servir a los usuarios y grupos de los dominios de confianza Determina si ipa-adtrust-install ha estado corriendo sobre este sistema Determina si ipa-adtrust-install ha estado corriendo con tarea sidgen Dictado de los mensajes regionales Dict de JSON comandos codificados IPA Métodos IPA codificados de Dict de JSON El dict de JSON ha codificado objetos IPA Nombre de la variable de mapeo de dicionario a valorizar Resumen Tipo de Resumen Dígitos Directo Afiliación Directa Latitud de dirección Dirección de la Longitud Desactivar Deshabilitar la Zona de Reenvío DNS. Deshabilitar Zona DNS. Deshabilitar una CA. Deshabilitar una Regla de Mapeo de Identidad de Certificado. Deshabilitar Regla Sudo. Deshabilitar una cuenta de usuario. Deshabilitar una regla HBAC. Deshabilitar una regla de Mapa de Usuario SELinux. Deshabilitar la anulación por uso Deshabilitar la clave Kerberos y el certificado SSL de un servicio. Deshabilitar la clave Kerberos, el certificado SSL y todos los servicios de un host. Deshabilitar el uso de recursos IPA por el dominio de la confianza Desactivado Deshabilitada CA "%(value)s" Regla de Mapeo de Identidad de Certificado "%(value)s" deshabilitada Deshabilitada zona de reenvío DNS "%(value)s" Zona de DNS desactivada "%(value)s" Regla HBAC "%(value)s" desactivada Deshabilitado Mapa de Usuario SELinux "%(value)s" Regla Sudo Deshabilitada «%s» Host desactivado "%(value)s" Servicio inhabilitado "%(value)s" Deshabilitar dominio de confianza "%(value)s" "%(value)s" de cuenta de usuario desactivada Rechazar que los grupos de host creen tabla de teclas de '${primary_key}' Rechazar que los grupos de host recuperen tabla de teclas de '${primary_key}' Rechazar que los hosts creen tabla de teclas de '${primary_key}' Rechazar que los hosts recuperen tabla de teclas de '${primary_key}' Rechazar que los grupos de usuario creen tabla de tecla de '${primary_key}' Rechazar que los grupos de usuario recuperen tabla de teclas de '${primary_key}' Rechazar que los usuarios creen tabla de teclas de '${primary_key}' Rechazar que los usuarios recuperen taa de teclas de '${primary_key}' No permite a usuarios, grupos, hosts o grupos de host crear una keytab de este host. Dejar de permitir a los usuarios, grupos, hosts o grupos de host crear una tabla de claves de este servicio. No permite a usuarios, grupos, hosts o grupos de host recuperar una keytab de este host. Dejar de permitir a los usuarios, grupos, hosts o grupos de host recuperar una tabla de claves de este servicio. Servidor %s descubierto
Visualizar entrada Class of Service Exhibe un recurso DNS. Mostrar Grupo de Comando Sudo. Mostrar Comando Sudo. Mostrar Regla Sudo. Muestra un único ACI dando un nombre de ACI. Exhibe una clave de auto-montaje. Exhibe un lugar de auto-montaje. Exhibe un mapa de auto-montaje Mostrar los derechos actuales. Ofrece la política efectiva para un determinado usuario Visualizar información sobre una Regla de Mapeo de Identidad de Certificado. Mostrar información sobre una zona de reenvío DNS. Mostrar información sobre una zona DNS (registro SOA). Muestra información sobre un servidor proxy RADIUS. Mostrar información sobre una delegación. Mostrar información sobre un host. Mostrar información sobre un grupo de host. Mostrar información sobre un grupo denominado. Mostrar información sobre un grupo de red. Mostrar información sobre un permiso. Mostrar información sobre un privilegio. Mostrar información sobre un rango. Mostrar información sobre un rol. Mostrar información sobre un auto servicio de permiso. Mostrar información sobre una confianza. Mostrar información sobre un usuario. Mostrar información sobre un grupo de servicio HBAC. Mostrar información sobre un servicio HBAC. Muestra información sobre una localización IPA. Mostrar información sobre un servicio IPA. Mostrar información sobre una ficha OTP. Muestra información sobre una regla automiembro. Mostrar información sobre la política de contraseña. Mostrar nombre Mostrar los derechos de acceso de esta entrada (requiere --all). Consulte la página man de IPA para más detalles. Mostrar la actual entrada de política Kerberos. Muestra la lista de dominios reino. Muestra las propiedades de una CA. Muestra las propiedades de un Certificado de Perfil Mostrar las propiedades de una regla de Mapa de Usuario SELinux. Mostrar las propiedades de una regla HBAC. Muestra el registro del usuario para el principal de Kerberos actual No visualiza código QR No actualizar registros solo devolver registros esperados ¿Desea quitar el alias kerberos ${alias}? ID de la Placa de Identidad de la Autoridad Dominio Dominio '%(domain)s' no es el dominio raíz para el bosque '%(forest)s' GUID de Dominio Nombre de dominio NetBIOS SID de dominio del dominio de confianza Identificador de Seguridad de Dominio Controlador de dominio para el dominio Active Directory opcional) Dominio habilitado Nombre de dominio Dominio donde se buscará la entrada de usuario No crear grupo privado de usuario Descargar Descargar certificado como fichero formateado PEM. Correr en seco Duplicado de llaves omitido: Relación duplicada omitida: Actualización dinámica Editar Editar ${entity} Atributos efectivos Dirección de correo electrónico Información del Empleado Tipo de empleado Activar Habilitar Zona de Reenvío DNS. Habilitar Zona DNS. Habilitar una CA. Habilitar una Regla de Mapeo de Identidad de Certificado. Habilitar Regla Sudo. Habilitar una cuenta de usuario. Habilitar una regla HBAC. Habilitar una regla de Mapa de Usuario SELinux. Habilitar modo migración Habilitar o Deshabilitar PKINIT Anónimo. Habilitado Habilitada CA "%(value)s" Regla de Mapeo de Identidad de Certificado "%(value)s" habilitada Habilitada zona de reenvío DNS "%(value)s" Zona DNS habilitada " %(value)s " Habilitada regla HBAC "%(value)s" Habilitado Mapa de Usuario SELinux "%(value)s" Regla Sudo Habilitada «%s» Rolkes de servidor habilitados Habilitado dominio de confianza "%(value)s" "%(value)s" de cuenta de usuario activada Solicitud de tipos de cifrado ¡Falló comparación de Enctype!
Inscripción Inscripción UUID Inscripción de UUID (no implementada) Inscripción fallada. %s
Ingrese %(label)s nuevamente para verificar: Introduzca la contraseña LDAP Entrada Entrada %s no existe Entrada %s no encontrada Error Error al cambiar el estado de cuenta Error al obtener el dominio predeterminado Kerberos:%s.
Error al obtener credenciales de iniciales:%s.
Error de análisis "%1$s": %2$s.
Error al resolver tabla de claves:%s.
Error de almacenamiento de credenciales en cache de credenciales:%s.
Establecida confianza bidireccional. Por defecto la confianza es de un solo sentido entrante. Establecida confianza externa a un dominio en otro bosque. La confianza no es transitiva más allá del dominio. Excedido el número de intentos para enviar una petición. Intercambiador Atributos excluidos Regex exclusivo Expandir Todo Expandir el búfer en jsonrpc_handle_response falló Expira el Exportar los metadatos del plugin para webUI. Expresión Externos Grupo Externo los comandos pueden correr como (sudorule-find sólo) De usuarios externos Usuario Externo los comandos pueden correr como (sudorule-find sólo) Usuario Externo la regla aplica a (sudorule-find sólo) Equipo externo Miembro externo Confianza externa Hashes extra para generar en el plugin de contraseña Filtro de objetivo adicional Extrayendo los datos desde la respuesta de JSON-RPC incorrecta: %s
Extrayendo el error desde la respuesta JSON-RPM incorrecta: %s
Error en CAs Error al ejecutar como Erro al ejecutar grupo como Falló permitir crear una KeyTab Falló permitir recuperar una KeyTab Host o grupo de Host fallidos Inicios de sesión fallidos Falló managedby Miembros fallidos Error en Propietarios Errores en los perfiles Error en el/los servicio(s) Host o grupo de hosts origenes fallidos Error en Objetivos Fallo al añadir No se pudo agregar clave de la tabla de claves
Falló al intenatar agregar al usuario al grupo predeterminado. Utilice 'ipa group-add-member' para agregarlo manualmente. Falló al enlazar al servidor!
Fallo al limpiar memberPrincipal %(principal)s de la entrada s4u2proxy %(dn)s: %(err)s Fallo al limpiar claves Custodia para %(master)s: %(err)s Fallo al limpiar entradas DNA hostname para %(master)s: %(err)s Fallo al limpiar entradas %(hostname)s DNS: %(err)s Fallo al limpiar principales/claves del servidor: %(err)s No se pudo cerrar la tabla de claves
Fallo al conectar sssd sobre SystemBus. Vea detalles en error_log ¡Falló crear control!
Error al crear el material de clave
¡Falló la creación de clave!
Falló la creación de clave aleatoria
Falló al decodificar la respuesta de control!
Fallo al encontrar usuarios sobre SystemBus. Vea detalles en error_log Falló al obtener keytab
Falló para obtener keytab!
Falló al obtener resultados: %s
Fallo abrir clave de tablas.
Falló al abrir el fichero de configuración %s
No pudo abrir la tabla de claves
Incorrecto al abrir keytab «%1$s»: %2$s
Falló al analizar el fichero de configuración %s
Falló al analizar el resultado extendido: %s
Falló al analizar el resultado: %s
Error al remover Fallo al quitar el servidor %(master)s de la lista de servidores: %(err)s Fallo al resolver el enlace simbólico a keytab.
Falló al recuperar algunas teclas Falló al recuperar la encriptación tipo %1$s (#%2$d)
Falló al recuperar el tipo de encriptación tipo #%d
Fallo al establecer el cursor '%1$s'
Usuario o grupos de usuario incorrectos Falla al intentar decodificar la petición de identificación de certificado: %s Falló reajuste de intervalo Grupo primario de respaldo Falso False si la migración falla porque el plug-in de compatibilidad está habilitado. "False", si el modo de migración fue inhabilitado. Número de fx No se pudo recuperar dominios del bosque de confianza. Vea detalles en error_log Archivo %(file)s no encontrado Fichero conteniendo datos para archivar Fichero que contiene la configuración del perfil Fichero que contiene la nueva contraseña de bóveda Archivo que contiene la llave pública nueva de bóveda Fichero conteniendo la contraseña de bóveda antigua Archivo que contiene la llave privada de bóveda antigua Archivo que contiene la contraseña de la bóveda Archivo que contiene la llave privada de bóveda Archivo que contiene la llave pública de la bóveda Archivo desde el que cargar el certificado Archivo desde donde cargar el certificado. Archivo para almacenar datos recuperados Archivo para almacenar el certificado El nombre de fichero está vacío Nombre de fichero de un perfil crudo. El formato XML no se soporta Filtro Filtro disponible ${other_entity} Buscar Encontrar un rol de servidor sobre un servidor(s) Huella digital Huella digital (SHA1) Huella digital (SHA256) Tipo de huella digital Las huellas dactilares Primer Código Primer Posix ID del rango Primera ID Posix ID del rango reservado para los dominios de confianza Primer RID del correspondiente rango RID Primer RID del rango RID secundario Primera fecha/hora en que puede usar la ficha Nombre Indicadores Los siguientes segmentos no fueron borrados: Forzar Fuerza la creación de zona DNS aún en el caso de que se superponga con una zona existente. Fuerza la creación de zona DNS aunque el servidor de nombre no se pueda resolver. Fuerza la creación de zona DNS aunque el servidor de nombre no se pueda resolver. (Obsoleto) Forzar el añadir un dominio aunque no esté en DNS Fuerza el cambio del servidor de nombre aunque el servidor de nombre no en DNS Forzar la eliminación del servidor Fuerza el borrado del servidor aunque no exista Forzar la unión del host. Reunirlo aunque ya este unido. Forzando el borrado de %(hostname)s Bosque '%(forest)s' tiene confianza existente para forest(s) %(domains)s que evita una confianza en '%(conflict)s' Normativa de envío La política de reenvío se define para ello en IPA DNS, ¿tal vez el reenviador apunta al host incorrecto? Reenvía al servidor en lugar de ejecutarse localmente Zonas de reenvío sólo Conflictos de la política de envío con algunas zonas vacías automáticas. Las peticiones para las zonas especificadas por RFC 6303 ignorarán el envío y recursión y siempre tendrán por resultado respuestas NXDOMAIN. Para evitar este comportamiento use la política de envío 'only'. Ha sido encontrado '%(value)s' Nombre y apellidos Nombre de host totalmente calificado Función para obtener detalles GECOS GID GID (utilice esta opción para definirlo manualmente) GSSAPI|EXTERNAL General Generar una contraseña aleatoria que se utilizará en la inscripción Generar archivos de auto-montaje para un lugar específico. Obtener La configuración global DNS está vacía Configuración Global de Confianza Promotores globales Promotores globales. Se puede especificar un pueeto personalizado por cada promotor usando el formato estándar "IP_ADDRESS port PORT" Política de reenvío global. Establecer a "none" para deshabilitar cualquier promotor global. Derechos concedidos Concedido al Privilegio Concesión de privilegios a los roles Grupo El grupo '%s' no existe Número de Identificación de Grupo Opciones de Grupo Configuración del grupo Tipo de grupo Contenedor de grupoi Descripción del grupo Nombre del grupo Clase de objeto de grupo Campos de búsqueda de grupo Grupo al que aplicar API Tipo de Agrupamiento Agrupamiento al cual se aplican las reglas Grupos Los grupos pueden crear keytab Los grupos pueden recuperar keytab Grupos de Usuarios RunAs REgla HBAC Regla HBAC que define los usuarios, grupos y grupos de host Reglas HBAC Servicio HBAC Grupo de Servicio HBAC Grupos de Servicios HBAC Servicios HBAC Prueba HBAC Regla HBAC Regla HBAC %(rule)s no encontrada Regla HBAC y miembros locales no pueden ser fijados Reglas HBAC Servicio HBAC Descripción de servicio HBAC Grupo de servicio HBAC Servicios y grupos especificados Grupos de servicio HBAC Servicios HBAC Registro HIP Ventana de Autenticación HOTP Ventana de Sincronización HOTP Vaya directamente a la autenticación HOTP Vaya directamente a la sincronización HOTP Error HTTP Dirección(es) Hardware MAC en este host Plataforma de hardware del equipo (p. ej. Lenovo T61) Hola mundo Ocultar Esconder detalles Esconder detalles de que reglas coinciden, no coinciden o son no válidas Tamaño del historial Directorio principal Base del directorio principal Precisión horizontal Host No ha sido encontrado el equipo anfitrión '%(host)s' Host '%(hostname)s' no tiene el registro correspondiente DNS A/AAAA Certificado de host Grupo de Host Configuraciones del Grupo de Host Grupos de equipo Los Grupos de Host pueden crear keytab Los Grupos de Host pueden recuperar keytab Nombre de host Configuración del host Categoría del equipo Categoría de host (las semánticas situadas en este atributo son para interpretación local) Categoría del equipo al que se aplica la regla Plataforma de hardware del equipo (p. ej. "Lenovo T61") Host ya está vinculado
Localidad del equipo (p.ej. "Barrio latino, París") Ubicación del equipo (p. ej. "Laboratorio") Nombre del equipo Sistema operativo que utiliza el equipo y versión (p.ej. "Fedora 11") Comandos de control de acceso basado en host Grupo de equipo Hostgroups cuyos host tendrían que tener #ID Vistas vaciados. Nota que la vista no está vacía automáticamente desde cualquier host añadido al grupo de host tras ejecutar instrucción idview-unapply. Nombre del host Nombre de host (FQDN) Nombre de host de este servidor Equipos Los hosts pueden crear keytab Los hosts pueden recuperar keytab Los host o hostgroups que este ID de Vista no pudo ser aplicado. Los host que ID Vista desde donde fue vaciado. Los host a purgar (cualquiera) desde ID Vista. ¿Por cuánto tiempo las respuestas negativas deben guardarse en cache? Intervalo de ID Intervalos de ID ID de Nombre de Vista El rango de ID para el dominio de confianza ya existe, pero tiene un tipo diferente. Por favor borre manualmente el rango viejo o no haga cumplir el tipo por medio de la opción --range-type. Tipo de rango ID, uno de los siguientes valores Tipo de ID de intervalo, uno de ipa-ad-trust-posix, ipa-ad-trust, ipa-local Rango de ID con el mismo nombre pero diferente SID de dominio ya existe. El nuevo rango de ID para el nuevo dominio de confianza debe ser creado manualmente. IMPORTANTE: en caso de un número de usuarios alto, los host o grupos, la operación puede requerir empleo intenso de la CPU. Dirección IP Dirección IP %(ip)s ya está asignada en el dominio %(domain)s. Red IP para crear un nombre de zona reversa desde IPA AD agentes de confianza Controladores de confianza IPA AD IPA CA no puede ser borrada IPA CA no puede ser deshabilitada Certificado IPA CA Registros IPA DNS Servidores IPA DNS Versión IPA DNS Clave maestra IPA DNSSec Error IPA Localización IPA Descripción de Localización IPA Localizaciones IPA El tipo de Rango IPA debe ser uno de ipa-ad-trust o ipa-ad-trust-posix cuando se especifica el SID del dominio de confianza El tipo de Rango IPA Range no debe ser ni ipa-ad-trust ni ipa-ad-trust-posix cuando no se especifica el SID del dominio de confianza. Servidor IPA Rol de Servidor IPA Roles de Servidor IPA Servidor de IPA a utilizar Servidores IPA IPA no maneja la zona %(zone)s, por favor añada registros a su servidor DNS manualmente Nombre de localización IPA Registros de ubicación IPA IPA gestiona DNS, por favor verifique su configuración DNS y asegúrese que el servicio de registros del dominio '{domain}' puede ser resuelto. Se pueden encontrar ejemplos de como configurar DNS con comandos CLI o con Web UI en la documentación. IPA namingContext no encontrado
Nombre de rol IPA Servidor IPA configurado como clave maestra DNSSec Servidor de dominio IPA no puede ser borrado Servidor de domino IPA no puede ser omitido Nombre de host del servidor IPA Nombre de rol del servidor IPA Servidores IPA configurados como agentes de confianza AD Servidores IPA configurados como controladores de confianza AD ID unico de IPA Registro IPSECKEY Identidad Configuración de identidad Si el problema persiste por favor contacte con el administrador del sistema. Ignorar la comprobación del último servidor CA o DNS que queda Ignorar plugin de compatibilidad Ignorar atributo de grupo Ignorar clase de objeto grupo Ignorar problemas de conectividad de topología después de quitarla Ignorar errores de topología Ignorar atributo de usuario Ignorar clase de objeto usuario %(src)s a %(dst)s ignorados Llaves ignoradas: Ignorar estos avisos y continuar con el borrado Ignorando los errores de topología de conectividad. Importar un Certificado Perfil Importar un certificado de derecho. Importar ficheros de automontaje para una localización específica. Llaves importadas: Mapas importados: Perfil importado "%(value)s" Include Deshabilitado Include Habilitado Incluir entradas IPA maestro Incluir todas las reglas IPA deshabilitadas en la prueba Incluir todas las reglas IPA habilitadas en la prueba [por defecto] Incluir la cadena del certificado en la salida Atributos incluidos Regex inclusivo Opciones suministradas incompatibles (-r y -P)
Indirecto Servicio HBAC de miembro indirecto Grupo de servicio HBAC de miembros indirectos Grupos de miembros indirectos Miembros indirectos de host-groups Hosts de miembros indirectos Miembros indirectos netgroups Miembros indirectos de netgroups Roles de miembros indirectos Permisos indirectos de miembro Usuarios indirectos miembros Afiliación Indirecta Heredado de la configuración del servidor Contador inicial para a ficha HOTP Iniciales Datos de entrada especificados múltiples veces Archivo de entrada Entrada nombre de archivo La entrada contiene valores no válidos o desaparecidos. Privilegio 'add' insuficiente para la entrada '%s'. Privilegio 'write' insuficiente al atributo 'krbLastPwdChange' de la entrada '%s'. Acceso insuficiente: %(info)s Privilegio insuficiente para borrar una CA. Privilegio insuficiente para modificar una CA. Privilegio insuficiente para modificar un certificado perfil Error Interno Mensajes de internacionalización Petición JSON-RPC no válida: %(error)s URI LDAP no válida. Mecanismo de enlace SASL no válido
Nombre de servicio principal inválido
Credenciales no válidas El número de partes no es válido. Tipo no válido o no soportado. Los valores permitidos son: %s Clave pública de la bóveda no válida o no soportada: %s Tipo de bóveda no válido ¿Está la zona activa? Tema Expedido por Expiración Expedido para Emitido desde esta fecha (AAAA-mm-dd) Emitido en esta fecha (AAAA-mm-dd) Emisor Editor DN Nombre Distinguido de Editor ISe usa solo para el establecimiento del atributo SOA MNAME. Invocación JSON-RPC incorrecta con código de estado: %li
Invocación incorrecta de JSON-RPC: %s
Invocación JSON-RPC fue no autorizada. Compruebe sus credenciales.
Petición JSON-RPC:
%s
Respuesta JSON-RPC:
%s
Cargo Unir un dominio IPA Registro KEY Intercambiador KX Preferencia KX Registro KX No se encontró la cache de credencial kerberos. ¿Tiene un tiquete de kerberos?
Clave Kerberos No hay clave Kerberos Presente Claves de Kerberos presente, Host aprovisionado Claves de Kerberos actuales, Servicio suministrado Kerberos Principal su entrada ha expirado Nombre principal del servicio de kerberos Política de tiquete de Kerberos No se encontró usuario principal de kerberos. ¿Tiene una cache de credencial válida?
Inicio de contexto de kerberos falló
Inicialización del contexto Kerberos falló: %1$s (%2$d)
Error de kerberos: %(major)s/%(minor)s Claves Kerberos disponibles Principal kerberos El principal %s de Kerberos ya existe. Utilice 'ipa user-mod' para definirlo manualmente. Nombre del prinicpal de Kerberos para este equipo Clave Clave de transacción Etiqueta de clave Keytab Nombre de archivo de tabla de claves Tabla de claves recuperada y almacenada correctamente en:%s
LDAP DN LDAP SASL enlaza mecanismo si no bindd/bindpw LDAP URI LDAP URI del servidor DS desde donde realizar la migración LDAP basedn Contraseña LDAP contraseña de LDAP (si no usa Kerberos) Esquema LDAP Alcance de búsqueda LDAP para usuarios y grupos: base, un nivel o sub árbol. Predeterminado a un nivel Tiempo de espera LDAP LDAP uri para conectar a. Mutuamente exclusiva con --server Altitud LOC Latitud en grados LOC Grados de Longitud LOC Latitud de dirección LOC Dirección de la Longitud LOC Precisión horizontal LOC Latitud en minutos LOC Minutos de Longitud LOC Latitud en segundos LOC Segundos de Longitud LOC Tamaño LOC Precisión vertical LOC Registro LOC Último día/hora en que puede ser usada la ficha Última autenticación fallada Apellido Última autenticación exitosa No están permitidos espacios iniciales ni finales Filtro legal LDAP (p.ej. ou=Ingeniería) Longitud de la ficha TOTP de validación de código Listar todas bóvedas del servicio Lista de los maestros IPA configurados como servidores DNS Lista de eliminaciones fallidas Listra de roles habilitados Lista de servidores que anuncian la localización dada Lista de dominios de confianza refrescados con éxito. Use el comando trustdomain-find para listarlos. Lista de objetos migrados; clasificados por tipo. Lista de objetos que no pueden ser migrados; categorizados por tipo. Cargar certificado CA del servidor LDAP desde FILE Cargando Cargando datos Localidad Ubicación Nombre de localización Localización del ACI Duración de bloqueo Iniciar sesión Usando Certificado Iniciar sesión Iniciar sesión usando certificado personal Cerrar sesión Registrado como Acceso fallado debido a una razón desconocida Shell de ingreso El número más bajo significa la prioridad más alta. Los clientes intentarán contactar con la URI con la prioridad numerada más bajo que puedan alcanzar. El número más bajo significa la prioridad más alta. Los clientes intentarán contactar con el servidor con la prioridad de número más bajo que ellos puedan alcanzar. Dirección MAC MS-PAC Intercambiador MX Preferencia MX Registro MX Dirección de correo DN Malformado Director malformado Principal mal construido: '%(value)s' Administra la política de contraseña de un grupo específico Administra política de ticket para un usuario específico Gestionado por Sufijos gestionados Gestionado con permiso Manager Mapa Tipo de Mapa Regla de mapeo El conjunto de reglas de mapeo "%(ruleset)s" tiene más de una regla para el auxiliar %(helper)s Marcar la ficha como deshabilitada (predeterminado: false) Archivo maestro Emparejar Emparejar usuarios de acuerdo al certificado Emparejado Reglas coincidentes Tipo de Coincidencia Regla de coincidencia Nivel de dominio Max Número máximo de fallas Vida máxima Vida máxima (días) Renovación máxima Máxima cantidad de tiempo (segundos) parab una búsqueda (> 0, o -1 para ilimitado) Nivel máximo de dominio Número máximo de acuerdos por replica Cantidad máxima de entradas obtenidas Número máximo de entradas devueltas (0 es ilimitado) Máximo número de registros a buscar (-1 es ilimitado) Vida máxima de la contraseña (días) Duración máxima renovable (en segundos) Duración máxima del ticket (en segundos) Longitud máxima del nombre de usuario Valor máximo es ${value} Puede no estar vacío Miembro del servicio HBAC Grupos de servicio de Miembros HBAC Miembro del equipo anfitrión Comandos Miembro Sudo Grupos de miembros Grupos de equipo miembro Equipos miembro Miembros de netgroups Miembro de Grupos de servicio de Miembros de HBAC Miembro de un grupo Miembro del grupo Miembros de los grupos Miembro de los grupos de equipo Miembros de netgroups Grupos de miembro de servicio Servicios de miembros Miembro del grupo de usuarios Usuarios miembros Miembros de un dominio de confianza en formato DOM\name o name@domain Miembros que no han podido ser añadidos Miembros que no han podido ser eliminados Migrar Migrar usuarios y grupos de DS a IPA. El modo migración esta desactivado.
Emplee 'ip confi-mod --enable-migration=TRUE' para activarlo. Migración de búsqueda de referencia LDAP no está soportada. Nivel de dominio Min Longitud mínima Vida mínima (horas) Nivel mínimo de dominio Longitud mínima de la contraseña Cantidad mínima de clases de caracteres Vida mínima de la contraseña (en horas) Valor mínimo es ${value} Latitud en minutos Minutos de Longitud Información diversa Ejecutable %s ausente, utilice el comando con LOGIN PASSKEY en lugar de LOGIN --register Llave pública nueva de bóveda desaparecida Arbitro HTTP desaparecido o no válido, %(referer)s Pérdida la contestación de la lista de control!
¡Falta control de respuesta!
Valores faltantes: Llave privada de bóveda ausente Clave pública de la bóveda desaparecida Número de teléfono celular Modelo Modificada "%(value)s" configuración de confianza Ha sido modificado ACI "%(value)s" Modificada CA "%(value)s" Regla de Mapeo de Identidad de Certificado modificada "%(value)s" Modificado Certificado Perfil "%(value)s" Modificada regla HBAC "%(value)s" Servicio modificado HBAC "%(value)s" Servicio modificado HBAC grupo "%(value)s" Modificar rango ID "%(value)s" Modificada localización IPA "%(value)s" Modificado servidor IPA "%(value)s" Ficha OTP modificada "%(value)s" Modificado servidor proxy RADIUS "%(value)s" Modificado Mapa de Usuario SELinux "%(value)s" Modificado Comando Sudo “%(value)s” Modificado Grupo de Comando Sudo “%(value)s” Regla Sudo Modificada “%(value)s” Modificada regla de automiembro "%(value)s" Modificada clave de automontaje "%(value)s" Modificado un mapa de automontaje "%(value)s" Delegación modificada "%(value)s" Ha sido modificado el grupo "%(value)s" Ha sido modificado el equipo "%(value)s" Ha sido modificado el grupo de equipo "%(value)s" netgroup modificado "%(value)s" Modificado el permiso "%(value)s" Privilegio modificado "%(value)s " Rol modificado "%(value)s" Autoservicio modificado "%(value)s" Ha sido modificado el servicio "%(value)s" Modificado escenario usuario "%(value)s" Confianza modificada "%(value)s" (el cambio será efectivo en 60 segundos) Ha sido modificado el usuario "%(value)s" Modificar %(name)s '%(value)s'? Modificar ACI. Modificar configuración de CA. Modificar la configuración de Mapeo de Identidad de Certificado. Modificar la configuración del Certificado Perfil Modificar entrada Class of Service Modificar zona de reenvío DNS. Modificar zona DNS (registro SOA). Modificar rango de ID. Modificar rango ID.
Modificar entrada de política Kerberos. Modificar opciones de configuración OTP. Modificar Grupo de Comando Sudo. Modificar Comando Sudo. Modificar Regla Sudo. Modificar una Regla de Mapeo de Identidad de Certificado. Modificar un registro de recurso DNS. MOdificar una ficha OTP. Modificar un servidor proxy RADIUS. Modificar un Mapa de Usuario SELinux. Modificar una delegación. Modificar un grupo de política de contraseña. Modificar un grupo. Modificar un grupo de host. Modificar un grupo de red. Modificar un permiso. Modificar un privilegio. Modificar un rol. Modificar un auto servicio de permiso. Modificar un escenario usuario. Modificar un usuario. Modifica una bóveda. Modificar una regla HBAC. Modificar un grupo de servicio HBAC. Modificar un servicio HBAC. Modificar una regla automiembro. Modificar una clave de automontaje. Modificar un mapa de auto-montaje. Modificar un servicio IPA existente. Modificar opciones de configuración. Modificar la configuración global DNS. Modificar la configuración global de confianza. Modificar información sobre un host. Modificar información sobre localización IPA. Modificar información sobre un servidor IPA. Modificar trustdomain de la confianza Se ha encontrado más de una entrada con la llave %(key)s, utilice --info para seleccionar una entrada específica. Información de montaje Punto de montaje Mover el usuario borrado al área de escena Debe ser un entero Indicadores NAPTR Ordenación NAPTR Preferencia NAPTR Expresión regular NAPTR Reemplazo NAPTR Servicio NAPTR Registro NAPTR Nombre del dominio NIS El valor NONE no puede ser combinado con otros tipos de PAC Nombre de host NS Registro NS El registro NS no está permitido que coexista con un registro %(type)s excepto cuando se localice en un registro de zona raíz (RFC 2181, sección 6.1) Registro(s) NS puede(n) ser editado(s) en zona apéndice - '@'. Registro NSEC Registro NSEC3 Registro NSEC3PARAM Registro NSEC3PARAM rpara la zona en formato: hash_algorithm flags iterations salt Nombre Nombre para referenciar la CA Nombre de comando a exportar Nombre del grupo de equipo Nombre del método para exportación Nombre del objeto a exportar Nombre del anterior mapa de montaje automático (por defecto: auto.master). Nombre del dominio de confianza El servidor de nombre '%(host)s' no tiene su correspondiente registro A/AAAA El servidor de nombre para la zona reversa no puede ser un nombre DNS relativo Ni --del-all ni opciones para borrar un registro en concreto ha sido
proporcionado. El comando de ayuda puede ser consultado para
ver los tipos de registros soportados. Métodos anidados para ejecutar Nombre de NetBIOS Grupo de red Configuración de Netgroup Descripción del grupo de red Nombre de grupo de red Grupos de red Nuevo nombre de ACI Un nuevo certificado Nueva Contraseña Nueva contraseña principal Nueva Prueba Nuevo alias principal Kerberos Nueva información de montaje Llave pública nueva especificada múltiples veces Nueva contraseña de bóveda Siguiente Sin registros A, AAAA, SSHFP o PTR encontrados. No hay servidores DNS en la localización IPA %(location)s. Sin la localización de servidores DNS no se trabaja como se espera. No se ha instalado clave maestra DNSSEC. La firma en la zona DNSSEC no trabajará hasta que esté instalada la clave maestra DNSSEC. Certificado no válido No se han encontrado credenciales de cache Sin entradas. No existe el fichero para leer ¡No hay espacio YubiKey libre! No hay claves aceptadas por KDC
No se encontraron entradas coincidentes Ninguna opción para borrar un registro en concreto especificado. No hay opción para modificar registro específico proporcionado. No tiene permiso para vincular este equipo al dominio de la API.
Sin respuesta Ningún comando virtual ¿Ningún sistema enctypes preferido?
No hay valores para %s Ninguna espera No escribir permisos en archivo de tabla de claves'%s
Reglas no existentes o no válidas No luego de No antes de No es un grupo administrado No es una dirección IP válida No es una dirección IPv4 válida No es una dirección IPv6 válida No permitido sobre entrada no hoja No se especifican bastantes argumentos para llevar a cabo un ajusta de confianza Reglas no coincidentes Aún no está registrado Nota Número de IDs en el rango Número de condiciones agregadas Número de condiciones eliminadas Aviso de número de días de expiración inminente de contraseña Número de digitos que cada código de ficha tendrá Cantidad de entradas devueltas Número de anfitriones que tuvo un ID Vista estaba no fijado: Número de los host que el ID Vista al cual fue aplicado: Cantidad de miembros añadidos Cantidad de miembros eliminados Número de permisos añadidos Número de permisos eliminados Cantidad de complementos cargados Número de privilegios agregados Número de privilegios eliminados Cantidad de variables devueltas (<= total) Aceptar OTP Configuración OTP Ficha OTP Fichas OTP Opciones de configuración OTP Ficha OTP Fichas OTP Nombre de clase objeto Objectclasses a ignorar para las entradas de grupo en DS Objectclasses a se ignorado para entradas de usuario en DS Objectclasses usado para buscar entradas de grupo en DS Objectclasses usado para buscar entradas de usuario en DS Contraseña de bóveda antigua Clave privada de bóveda antigua Uno de grupo, permiso o self es necesario Comandos de contraseña de una vez Sólo se permite un valor Solo se permite un tipo de zona por nombre de zona Solo se permiten los valores ipa-ad-trust e ipa-ad-trust-posix para --range-type cuando se añade una confianza AD. Sistema operativo que utiliza el equipo y versión (p.ej. Fedora 9) Sistema operativo Falló operación: %s
Error en Operaciones La opción rid-base no se debe usar cuando el tipo de rango IPA es ipa-ad-trust-posix Subárbol opcional DN desde donde se puede mover una entrada (debe estar en el subárbol pero puede ser que todavía no exista) Sub-árbol DN opcional donde una entrada puede ser movida (debe estar en el sub-árbol, pero puede no existir todavía) DN opcional a aplicar al permiso (debe estar en el sub-árbol, pero puede no existir todavía) Opciones Las opciones dom-sid y dom-name no pueden ser usadas juntas Las opciones dom-sid y rid-base deben ser usadas juntas Las opciones dom-sid y secondary-rid-base no podrían ser usadas juntas Las opciones dom-sid/dom-name y rid-base se deben usar juntas Las opciones dom-sid/dom-name y secondary-rid-base no pueden ser usados juntos Las opciones secondary-rid-base y rid-base ser deben usar juntas Ordenación Ordenar en prioridad creciente de usuarios SELinux, delimitados por $ Unidad. org Organización Unidad organizativa Subárbol DN origen Otros Tipos de Registro ¡Memoria insuficiente!
¡Memoria insuficiente!
¡Memoria insuficiente!
¡Memoria insuficiente! ¡Memoria insuficiente!
¡Memoria insuficiente!
Salida de la información de depuración Nombre de archivo de salida Solamente salida sobre errores Anular una lista predeterminada de tipos PAC soportados. Use 'NONE' para deshabilitar eñ soporte PAC para este servicio Anular la lista predeterminada de tipos de PAC soportados. Use 'NONE' para deshabilitar el soporte PAC para este servicio, e.g. esto podría ser necesario para servicios NFS. Anular contraseña existente Anular la configuración heredada Sobrescribir GID Propietario Tipo PAC PAD Los certificados de entrada deben estar codificados en DER.
Tenga en cuenta que no puede ser un normalizador en la Param, ya que solamente las variables de
Unicode se normalizan.
Estado PKINIT POSIX Nombre del anfitrión PTR Registro PTR Página Número de página Tamaño de Paginación Mapa del antecesor Analiza todos los registros DNS crudos y los devuelve de modo estructurado Respuesta JSON-RPC interpretada incorrecta: %s
Respuesta JSON-RPC interpretada: sin valor 'result' encontrado.
Contraseña Notificación de Expiración de Contraseña (días) Políticas de Contraseña Directiva de contraseñas La contraseña solo se debe especificar para bóveda simétrica La contraseña no puede ser fijada en el host matriculado. Cambiar la contraseña completa Caducidad de la contraseña Tamaño del historial de la contraseña Funciones del complemento de contraseña Contraseña especificada múltiples veces Contraseña utilizada en el registro bruto Las contraseñas no coinciden Las contraseñas no coinciden. Las contraseñas no coinciden.
Las contraseñas han sido migradas en formato pre-hashed.
IPA es incapaz de generar claves de Kerberos a menos que le sean
provistas contraseñas de texto claras. Todos los usuarios migrados
necesitan registrarse en https://your.domain/ipa/migration/ antes de
poder utilizar sus respectivas cuentas Kerberos. Las contraseñas deben coincidir Ruta al certificado IPA CA Política de envío condicional por zona. Se establece a "none" para deshabilitar el envío a expedidores globales para esta zona. En este caso, la zona condicional de expedidores es ignorada. Expedidores por zona. Se puede especificar un puerto personalizado para cada exedidor usando el formato estándar "IP_ADDRESS port PORT" Período tras el cual se restablecerá (segundos) el conteo de errores Período durante el cual se fuerza el bloqueo (segundos) Permiso El permiso ACI permite el acceso a Permiso denegado:%(file)s Banderas de permiso Nombre de permiso Tipo de permiso Valor de permiso Permiso con bandera desconocida %s puede no ser modificado o quitado Permisos Permisos a conceder (read, write). Predeterminado es write. Permisos a obtener(lectura, escritura, añadir, borrar, todos) Tipos de cifrado permitidos Hacer ping a un servidor remoto. Plataforma Elija un tipo de registro de recurso DNS para ser añadido Por favor especifique los reenviadores. Por favor intentar las siguientes opciones: Política Puerto Argumentos posicionales Se requiere autenticación previa para el servicio Contraseña precompartida El perfil predefinido '%(profile_id)s' no puede ser borrado Preferencia Se ha dado preferencia a este intercambiador. Se prefieren más los valores más bajos Prefijo utilizado para distinguir los tipos de ACI (permiso,delegación, autoservicio, ninguno) Usuario preservado Anterior El rango RID primario y el secundario no pueden superponerse Sólo clave primaria Principal El principal %(principal)s no puede ser autenticado: %(message)s Alias principal Principal para este certificado (e.g. HTTP/test.example.com) El principal no es de la forma user@REALM: '%(principal)s' Nombre principal Imprimir lo mínimo posible Imprimir la información de depuración Imprimir entradas como almacenadas en el servidor. Solamente afecta formato de salida. Imprimir la salida cruda de XML-RPC en modo de GSSAPI Prioridad Prioridad (orden) Prioridad de la política (a mayor número corresponde una política menor) Prioridad de la regla (el número más alto significa la prioridad más baja Llave privada especificada múltiples veces Privilegio Configuración de privilegios Retirada de privilegios Eliminar un servicio de la IPA. Añadir un nuevo servicio de la nueva IPA. Privilegios ID del Perfil ID de perfil '%(cli_value)s' no coincide con los datos de perfil '%(file_value)s' ID de Perfil para referirse a este perfil Categoría del perfil Configuración de perfil Perfil de configuración guardado en el archivo '%(file)s' Los datos del perfil especifican profileId múltiples veces: %(values)s Descripción del perfil Solicitar contraseña LDAP Pedir el nombre de usuario Pedir el nombre de usuario cuando múltiples identidades están mapeadas a un certificado Solicita establecer la contraseña de usuario Prospectivo Aprovisionamiento La clave pública puede ser especificada solo para la bóveda asimétrica Clave pública especificada múltiples veces El código QR es más grande que el de la salida tty. Por favor modifique el tamaño de su terminal. Cantidad La solicitud devolvió más resultados que el límite de tamaño configurado. Mostrando los primeros resultados ${counter}. Enlaces rápidos Modo silencioso. Sólo se muestran los errores. RADIUS Servidor RADIUS Servidores RADIUS Servidor proxy RADIUS Nombre del servidor proxy RADIUS Servidor proxy RADIUS con nombre "%s" ya existe Servidores proxy RADIUS Registro RP La instrucción RPC utilizada para bitácora del usuario actual de salida de su sesión. Registro RRSIG Contraseña aleatoria Nombre del intervalo Tipo de intervalo Registros brutos %s Registros A6 en bruto Registros AAAA en bruto Registros AFSDB en bruto Registros APL en bruto Registros CERT en bruto Registros CNAME en bruto Registros brutos DHCID Registros brutos DLV Registros DNAME en bruto Registros DNSKEY en bruto Registros DS en bruto Registros HIP bruto Registros IPSECKEY en bruto Registros KEY en bruto Registros KX en bruto Registros LOC brutos Registros MX en bruto Registros NAPTR en bruto Registros NS en bruto Registros NSEC en bruto Registros NSEC3 en bruto Registros PTR en bruto Registros RP en bruto Registros RRSIG en bruto Registros SIG en bruto Registros SPF en bruto Registros SRV en bruto Registros SSHFP en bruto Registros TA en bruto Registros TKEY en bruto Registros TLSA en bruto Registros TSIG en bruto Registros TXT en bruto Filtro objetivo en bruto El valor crudo de un registro DNS fue establecido siempre por la opción "%(name)s" Restablecida la confianza al dominio "%(value)s" Volver a sincronizar el cache de derechos local con el servidor de derechos. Dominios Reino Debería especificarse la contraseña del administrador del reino Dominios reino Nombre de ámbito Flata de coincidencia de dominio reino Motivo Motivo de la revocación Motivo por el cual el certificado ha sido revocado (0-10) Reconstruir auto membresía Reconstruye afiliación para todos los miembros de una agrupación Reconstruye afiliación para hosts específicos Reconstruye afiliación para usuarios especificados Número máximo de acuerdo recomendados por replica sobrepasado Tipo de Registro Falló la creación del registro. Registrar datos Nombre de registro No se encontró el registro. Tipo de registro Registros Los registros para la zona DNS Redirección Actualizar Refrescar la lista de dominios asociados con la confianza Refrescar la página. Registra la llave de acceso Registro al sistema de derechos. Contraseña de registro Expresión regular El nombre relativo de registro '%(record)s' contiene como sufijo el nonbre de zona '%(zone)s', que resulta de FQDN '%(fqdn)s'. Esto es normalmente una equivocación causada por un punto perdido al final de la especificación del nombre. Peso relativo de las entradas con la misma prioridad. Pero relativo para los servicios del servidor (cuentas por localización) Recargar ajustes actuales desde el servidor. Recargar el navegador. Nombre de host del servidor IPA remoto Nombre del servidor remoto Borrar Borrar los registros A, AAAA, SSHFP y PTR del host(s) gestionado por IPA DNS Quitar Alias Kerberos Borra un gestor a la entrada de usuario Quitar un permiso para una delegación de acceso a zona por reenvío. Quita un permiso para una delegación de acceso por zona. Quite todos los principales en este ámbito Quitar una opción de la Regla Sudo. Quitar certificados de un servicio Borra certificados de una entrada de host Quitar comandos y grupos de comando sudo afectados por Regla Sudo. Borrar condiciones de una regla automiembro. Retira por defecto (fallback) grupo para todos los apuntes no marcados. Eliminar entradas de DNS Borrar de CRL Quitar grupo para Sudo a ejecutar como. Quitar espera Quitar hosts y grupos de hosts afectados por Regla Sudo. Borrar hosts que puede manejar este host. Borrar hosts que puedan gestionar este servicio. Borrar información sobre el dominio asociado con la confianza. Quitar miembros de un Grupo de Comando Sudo. Eliminar miembro desde un grupo. Borrar miembros de un grupo de host. Borrar miembros de un grupo de red. Borrar miembros desde un permiso. Borrar miembros de un rol. Borrar miembros de un grupo de servicio HBAC. Borra uno o más mapeados de certificados de la entrada de usuario. Borra uno o más certificados de la entrada de usuario Borrar condiciones de una regla automiembro. Borrar permisos de un privilegio. Borra alias principal de la entrada de host Borrar alias principal de un servicio Borra el alias principal de la entrada de usuario Borrar privilegios de un rol. Borrar servicio y grupos de servicio de una regla HBAC. Borrar hosts objetivos y grupos de host de una regla HBAC. Borrar hosts y grupos de host objetivo de una regla de Mapa de Usuario SELinux. Quitar usuarios y grupos afectados por Regla Sudo. Quitar usuarios y grupos para Sudo a ejecutar como. Borrar usuarios y grupos de una regla HBAC. Borrar usuarios y grupos desde una regla de Mapa de Usuario SELinux. Quitar usuarios que puedan manejar esta ficha. Borrados alias del host "%(value)s" Borrados alias del usuario "%(value)s" Borrados alias al servicio principal "%(value)s" Borrados certificados del host "%(value)s" Quitados certificados del servicio principal "%(value)s" Certificados borrados del usuario "%(value)s" Condición(es) eliminada(s) de «%(value)s» Borrada información sobre el dominio de confianza "%(value)s" Opción «%(option)s» quitada desde «%(rule)s» Sudo Rule Quitado permiso de sistema "%(value)s" Quitando %(servers)s desde la copia de topología, por favor espere... Eliminando %s principales
Cambiar el nombre de Renombrar un ACI. Cambie el nombre del objeto %(ldap_obj_name)s Renombrado del objeto del registro de recurso DNS Renombra el objeto clave de auto-montaje Renombrar el permiso del objeto ACI renombrado a "%(value)s" Reemplazo La replica de la clave maestra DNSSEC está activa. Desinstalarla podría romper su sistema DNS. Por favor deshabilite o reemplace la clave maestra DNSSEC primero. Acuerdo de replicación para %(hostname)s no encontrado La replica de la topología con sufijo "%(suffix)s" contiene errores. La repica de la topologia de sufijo "%(suffix)s" está en orden. Informa el estado PKINIT sobre los másters IPA Fallo en petición con estado %(status)s: %(reason)s Id de la petición La petición está con "method" desaparecido La petición está con "params" desaparecido La petición debe ser un diccionario Estado de la petición Requiere verificación de usuario durante autenticación con la llave de acceso Campo requerido Requiere autenticación previa Resetear Reajustar la entrada de política Kerberos a los valores por defecto. Reajustar OTP Restablecer contraseña Resetear la Contraseña y Acceder Resolver un nombre de host en DNS. Resuelve un nombre de host en DNS. (Obsoleto) Resolver los identificadores de seguridad de los usuario y grupos en los dominios de confianza Restaurar Resultado Resultado de la simulación Resultado del comando Los resultados se encuentran truncados, intente realizar una búsqueda más específica Los resultados deberían contener sólo atributo de clave primaria (“%s”) Los resultados deberían contener solo la clave del atributo primario ("location") Los resultados deberían contener solo la clave del atributo primario ("map") Los resultados deberían contener solo la clave del atributo primario ("name") Los resultados deberían contener solo atributos de clave primaria ("principal") Los resultados deberían contener solo atributo de clave primaria ("sudocmdgroup-name") Los resultados deberían contener solo el atributo de clave primaria ("sudorule-name") Reintentos Obtiene los datos desde una bóveda. Recuperar un certificado existente. Recuperar e imprimir todos los atributos del servidor. Afecta a la salida del comando. Recupera las claves actuales sin cambiarlas Recuperar el certificado del derecho. Fallo en recuperación de la cadena CA cert: %s Fallo en la recuperación del estado CA con estado %d Falló la obtención del estado de CA: %s Reintentar Reintentando con el método de recuperacióm pre-4.0 keytab...
Volver a la página principal y reintentar la operación Registro reverso para dirección IP %(ip)s ya existe en la zona reversa %(zone)s. La zona reversa %(name)s requiere exactamente %(count)d direcciones IP componentes, %(user_count)d dado Zona reversa de red IP Revertir Motivo de la revocación Revocar Revocar un certificado. Revocado Revocado desde esta fecha (AAAA-mm-dd) Revocado a esta fecha (AAAA-mm-dd) Derechos Derechos a conceder (read, search, compare, write, add, delete, all) Rol Configuración de rol Nombre de rol Estado rol Roles El dominio raíz de la confianza está siempre habilitado para la confianza existente Nombre de la regla Estatus de reglas Tipo de regla Tipo de regla (permitir) Regla usada para comprobar si un certificado puede ser usado para autenticación Regla usada para mapear el certificado con una entrada de usuario Reglas Reglas para probar. Si no se especifica, - se asume que habilitado Ejecutar comandos Ejecutar Prueba Ejecutar como un usuario Ejecutar como cualquier usuario dentro de un grupo especificado Ejecutar con la gid de un grupo POSIX especificado Grupo externo RunAs RunAs de usuarios externos RunAs Grupo categoría RunAs Grupo categoría la regla aplica a Grupos RunAs Categoría de Usuario RunAs RunAs Usuario categoría la regla aplica a RunAs Usuarios Falló SASL Bind
Usuario SELinux Mapa de Usuario SELinux Regla Mapa de Usuario SELinux Reglas Mapa de Usuario SELinux Mapas de Usuario SELinux Usuario SELinux %(user)s no encontrado en la lista de pedidos (en config) Lista de mapeo de usuario SELinux no encontrado en la configuración Ordenación de mapa de usuario SELinux Huella digital SHA1 SID Lista negra de SID entrante Lista negra de SID saliente El SID para el nombre de dominio de confianza especificado podría no ser encontrado. Por favor especifique directamente el SID usando la opción dom-sid. SID no es reconocido como un SID válido para el dominio de confianza el SID no es válido Registro SIG Nombre del servicio SMB de NetBIOS Clase SOA Caducidad SOA Mínimo SOA Clase de registro SOA Tiempo de caducidad de registro SOA Registro SOA tiempo de recarga Tiempo de reintento de registro SOA Número de serie de registro SOA Recargar SOA Reintentar SOA Serie SOA Registro SPF Puerto SRV Prioridad SRV Destino SRV Ponderación SRV Registro SRV Clave pública SSH Huella digital de clave pública SSH Algoritmo SSHFP Huella digital SSHFP Tipo de huella digital SSHFP Registro SSHFP Lo mismo que --%s Guardar El esquema está actualizado (FP '%(fingerprint)s', TTL %(ttl)s s) Búsqueda Opciones de Búsqueda Buscar dominios de confianza Búsqueda de %1$s en rootdse falló con error %2$d
Búsqueda de CAs. Buscar Reglas de Mapeo de Identidad de Certificado. Búsqueda de Certificados de Perfiles Búsqueda de entrada Class of Service Buscar zonas de reenvío DNS. Buscar recursos DNS. Buscar zonas DNS (registros SOA). Buscar reglas HBAC. Buscar un servicio HBAC. Buscar localizaciones IPA. Búsqueda de IPA namingContext fallada con error %d
Buscar servidores IPA. Buscar servicios IPA. Búsqueda de ficha OTP. Búsqueda de servidores proxy RADIUS. Búsqueda de Mapas de Usuario SELinux. Buscar Grupos de Comando Sudo. Buscar Comandos Sudo. Buscar Regla Sudo. Buscar un grupo de red. Buscar un auto servicio de permiso. Buscar un grupo de servicio HBAC. Buscar una clave de automontaje. Buscar un lugar de auto-montaje. Buscar un mapa de auto-montaje. Búsqueda reglas automiembro. Buscar delegaciones. Búsqueda por cuentas de derechos. Buscar zonas de reenvío sólo Buscar grupo de políticas de contraseña. Buscar grupos. Buscar grupos de host. Búsqueda de los host sin aquellos gestionados por los host. Buscar hosts. Buscar permisos. Buscar privilegios. Buscar intervalos. Buscar roles. Búsqueda de servicios con aquellos gestionados por hosts. Búsqueda de servicios sin aquellos gestionados por hosts. Búsqueda de confianzas. Buscar usuarios. Los resultados de la búsqueda han sido truncados: %(reason)s Alcance de búsqueda Límite del tamaño de la búsqueda Buscar límite de tiempo Segundo Código Latitud en segundos Segundos de Longitud Secreto Identificador de Seguridad Identificadores de Seguridad (SIDs) Seleccionar todo Las entradas seleccionadas han sido quitadas. Selector Self Auto Servicio de Permiso Permisos de autoservicio Auto-servicio de nombres La semántica de %(label)s fue cambiada. %(current_behavior)s
%(hint)s Lista separada por punto y coma de direcciones IP o redes que tiene permitido enviar peticiones Lista separada por punto y coma de direcciones IP o redes que tiene permitido transferir la zona Serie Número de serie N.º de serie (hex.) Número de serie N.º de serie (hex.) Número de serie en decimales, o hexadecimales, si tiene un prefijo 0x Servidor El servidor "%(srv)s" tiene %(n)d acuerdos con servidores: El servidor %(srv)s no puede contactar con los servidores: %(replicas)s Nombre de servidor El servidor ya ha sido borrado Nombre del servidor El nombre del servidor no se ha suministrado y es indisponible
Borrado del servidor abortado: %(reason)s. Estado del servidor El servidor revisará los "DNS forwarder(s)". Servidores Detalles de los servidores: Servidores en localización Servidores que pertenecen a la localización IPA Servicio El servicio %(service)s requiere ser reiniciado sobre el servidor IPA %(server)s para aplicar los cambios de configuración. El servicio '%(service)s' no se encontró en la base de datos de Kerberos Certificado de servicio Grupos de Servicio Configuración del servicio Añadir servicios a una regla de HBAC Categoría de servicio a la que se aplica la regla Desactivar la tecla de Kerberos, certificado SSL y todos los servicios de un host. % (Count) d HBAC servicios encontrados Principal del servicio Alias principal del servicio Principal del servicio para este certificado (p.ej. HTTP/prueba.ejemplo.com) El servicio principal no tiene la forma de servicio/nombre de equipo totalmente calificado: %(reason)s Se requiere el servicio principal Peso relativo del servicio Peso del servicio Sevicios HBAC Error de sesión Definir Establecer OTP Fijar una contraseña de usuario. Establecer un atributo a un par nombre y valor. El formato es attr=value.
Para los atributos de valor múltiple, el comando sustituye los valores ya presentes. Establece por defecto (fallback) grupo para todos los apuntes no marcados. Establecer estado habilitado/escondido de un servidor. Configuración Secreto compartido para la confianza Mostrar Mostrar servidor IPA. Mostrar Resultados Mostrar todos los plugins cargados. Mostrar detalles Mostrar variables de entorno. Mostrar la configuración de confianza global. Muestra el rol de estado sobre un servidor Muestra la configuración actual del Mapeo de Identidad de Certificado. Mostrar la configuración OTP actual. Muestra la configuración actual. Mostrar la configuración global DNS actual. Mostrar la lista de los tipos cifrados permitidos y salir Mostrando ${start} a ${end} de ${total} entradas. ¡Falló vinculación sencilla!
Simular el uso de controles de acceso basados en Host Puesto que IPA no gestiona los registros DNS, asegúrese de que DNS está configurado para resolver el dominio '{domain}' desde los hosts IPA y vuelta. Tamaño Tamaño límite El tamaño de datos supera el límite. El límite del tamaño de la bóveda actual es de %(limit)d B Tamaña del rango de ID reservado para los dominios de confianza Saltar una comprobación si el último maestro CA o servidor DNS se ha quitado Salta la comprobación de host %(key)s omitida %(map)s omitido Algunas entradas no fueron borradas Algunas operaciones fallaron. Comandos especificados y grupos Grupos especificados Hosts y grupos especificados Servicios y grupos especificados Usuarios y grupos específicos El nombre especificado de dominio de confianza podría no ser encontrado. Especifica dónde almacenar la información de tabla de claves. Especificar ${entity} externa Desglosa registro DNS en partes Escenario Escenario de Usuario Escenario Usuarios Cuenta de usuario por etapas "%(value)s" Tipos de Registro Estándar Estado Estado / Provincia Estatus Estado del rol Almacén de certificados enviados Dirección postal Estructurado Asunto Sujeto DN Sujeto DN ya está usado por CA '%s' Nombre Distinguido del Sujeto Enviar una petición de firma de certificado. Subárbol Subárbol al que aplicar ACI Subárbol para aplicar permisos Subtipo Éxito Sudo Sudo Permitir Grupos de Comando Comandos Allow de sudo Comando sudo Grupo de comando sudo Grupos de comando sudo Comandos de sudo Sudo Denegar Grupos de Comandos Comandos Deny de sudo Opción de sudo Regla Sudo Reglas Sudo Orden Sudo Obsoleta Tipos de cifrado suportado
Suprime al procesar atributos de afiliación. Sincronice un vale OTP. Error de sintaxis:%(error)s La codificación del sistema debe ser UTF-8, '%(encoding)s' no está(n) soportada(s). Ajuste LC_ALL="C.UTF-8", o LC_ALL="" y LC_CTYPE="C.UTF-8". Registro TA Registro TKEY Datos de Asociación del Certificado TLSA Utilización del Certificado TLSA Tipo de Coincidencia TLSA Selector TLSA Registro TLSA Ventana de Sincronización TOTP Ventana de autenticación TOTP Variación del tiempo de autenticación TOTP (segundos) Variación del tiempo de sincronización TOTP (segundos) Ficha TOTP / Diferencia de hora del servidor IPA Registro TSIG Datos de texto TXT Registro TXT Tomar un certificado revocado de espera. Destino DN objetivo Sub-árbol DN objetivo Identificador Uniforme de Recursos Objetivo Identificador Uniforme de Recursos Objetivo de acuerdo al RFC 3986 Grupo elegido Host objetivo Miembros objetivo de un grupo Miembros objetivos de un grupo (establece memberOf targetfilter) Dirija su propia entrada (usted) Número de teléfono Probar la sintaxis pero no escribir nada Datos de texto El texto no coincide con el patrón de campo La opción --domain no puede ser usada junto con --add-domain o --del-domain. Use --domain para especificar explícitamente la lista de todo el dominio, para añadir/borrar dominios concretos, use --add-domain/del-domain. El ACI para el permiso %(name)s no fue encontrado en %(dn)s El reinado IPA El registro _kerberos TXT del dominio %(domain)s podría no ser creado (%(error)s).
Esto puede suceder si la zona no es manejada por IPA. Por favor cree el registro manualmente, conteniendo el siguiente valor: '%(realm)s' El registro _kerberos TXT del dominio %(domain)s podría no ser quitado (%(error)s).
Esto puede suceder si la zona no está manejada por IPA. Por favor quite el registro manualmente. La clave de montaje automático %(key)s con info %(info)s no existe El certificado para %(ca)s no está disponible en este servidor. El carácter %(char)r no está permitido. El grupo de usuarios predeterminado no puede ser eliminado El tipo deny ha quedado obsoleto. El dominio %s no es un dominio IPA ni un dominio de confianza. El nombre de dominio del host destino o '.' si el servicio decididamente está no disponible en este dominio El dominio(s) "%s" no puede ser usado para aplicar la comprobación altSecurityIdentities. Los siguientes dominio no pertenecen a este reino: %(domains)s El grupo no existe El '%s' no existe para añadirle un servicio. El host fue añadido pero la actualización DNS falló por: %(reason)s El nombre de host debe ser totalmente calificado:%s
El nombre del equipo no debe ser: %s
El nombre de host o IP (con o sin puerto) El nombre de host al que apunta este registro inverso El nombre del equipo a ser registrado como El par de claves, la información debe ser único. Un nombre clave %(key)s con información %(info)s ya existe El archivo keytab para añadir a la nueva clave (será creado si no existe). El archivo keytab para eliminar el principal(s) desde La regla de mapeo con altSecurityIdentities debería ser aplicada a un dominio Active Directory de confianza pero ningún dominio fue asociado con la regla. Los tipos más comunes para este tipo de zona son: %s
El número de veces para reintentar la autenticación El valor de primary_key de la entrada, p.ej., «jperez» para un usuario El principal para esta petición no existe. La principal para obtener una tabla de claves para (ex: ftp/ftp.example.com@EXAMPLE.COM) El principal para borrar desde keytab (ex: ftp/ftp.example.com@EXAMPLE.COM) El reinado para el principal no coincide con el reinado para este servidor IPA El reino de los siguientes dominios podrían no ser detectados: %(domains)s. Si estos dominios pertenecen a este reino, cree por favor un registro _kerberos TXT que contenga "%(realm)s" en cada uno. El esquema utilizado en el servidor LDAP. Los valores admitidos son RFC2307 y RFC2307bis. El valor predeterminado es RFC2307bis El criterio de búsqueda no fue bastante específico. Se esperaba 1 y se encontró %(found)d. El secreto usado para encriptar datos El servicio puede autenticarse en nombre de un cliente Nombre de tópico o comando. El tiempo de espera total después de todos los reintentos (en segundos) El atributo username sobre el objeto usuario Este comando no puede ser usado para cambiar la asignación de ID para el dominio IPA local. Ejecute `ipa help idrange` para más información Este comando se basa en la existencia del grupo "editors" pero este grupo no h sido encontrado. Este comando necesita acceso de usuario root Esta entrada ya existe Esta entrada no puede ser activada o desactivada Esta entrada ya es un miembro Esta entrada ya está desactivada Esta entrada ya está habilitada Esta entrada no es miembro Este grupo ya acepta miembros externos Este grupo no puede ser posix porque es externo Este ya es un grupo posix Esto ya es un grupo posix y no puede ser convertido en uno externo Esto puede tomar un poco mas de tiempo. Por favor espere ... Esta página tiene cambios sin guardar. Por favor, guardar o deshacer. El ticket ha expirado La política de entrada para %s podría no ser leída Tiempo límite Tiempo máximo de búsqueda en segundos Tiempo límite de búsqueda en segundos (0 es ilimitado) Ahora Tiempo para abandonar Tiempo de vida para registros en zona apéndice Tiempo de vida para los registros sin definición explícita TTL Tiempo de espera Tiempo de espera superado. Para establecer confianza con Active Directory, el nombre de dominio y el nombre de reino del servidor IPA deben coincidir Para obtener ayuda sobre el comando, utilice: ID de ficha Descripción de la ficha (solo informativo) Algoritmo de ficha picada Ficha modelo (solo informativo) Ficha secreto (Base32; predeterminado: random) Ficha serie (solo informativa) Ficha nombre de vendedor (solo informativo) Tema comandos: Tópico o Comando La topologia no permite al servidor %(server)s replicar con servidores: La topología está desconectada Cantidad total de variables env (>= count) Verdad Verdadero si no todos los resultados se devolvieron «Verdadero» significa que la operación fue exitosa Confianza Dirección de confianza Estado de confianza Tipo de confianza Tipo de confianza (ad para Active Directory, predeterminado) Dominio de confianza El dominio de confianza %(domain)s está incluido entre los dominios del reino IPA realm. Necesita ser quitado antes de establecer la confianza. Vea el comando "ipa realmdomains-mod --del-domain". El dominio de confianza y la cuenta del administrador usan reinos diferentes Dominios de confianza Confiable para la delegación Confiable pata autenticarse como usuario Confianzas Autenticación dos factores (contraseña + OTP) Confianza de dos sentidos Tipo Tipo de objeto IPA (establece subtree y objectClass targetfilter) Tipo de objeto IPA (usuario, grupo, host, grupo de host, servicio, grupo de red, dns) Tipo de ficha Tipo de rango de ID de dominios de confianza, uno de los valores permitidos UID Sufijos UPN URI URL UUID Incapaz de comunicar con CMS Incapaz de comunicar con CMS (estado %d) No se puede crear un grupo privado. Un grupo de '%(group)s' ya existe. No se puede determinar servidor de la IPA de%s
Incapaz de determinar si el principal Kerberos %s ya existe. Use 'ipa user-mod' para establecerlo manualmente. No se puede determinar DN de root de%s
Incapaz de mostrar el código QR usando la codificación de salida configurada. Por favor use la ficha URI para configurar su dispositivo OTP No se puede habilitar SSL en LDAP
No se puede generar la cache de credenciales de Kerberos
Incapaz de inicializar la sesión STARTTLS
¡No puede iniciar biblioteca IDAP!
No se puede unir host: cache de credenciales de Kerberos no se encuentra
No se puede unir host: principal de usuario no se encuentra y contraseña de host no se proporciona.
No se puede unir host: la inicialización de contexto de Kerberos falló
No es posible analizar los principales
No se puede analizar nombre principal
Incapaz de analizar el principal: %1$s (%2$d)
No se puede eliminar la entrada
Incapaz de resolver el controlador de dominio para el dominio {domain}. Incapaz de ajustar LDAP_OPT_PROTOCOL_VERSION
Incapaz de fijar LDAP_OPT_X_SASL_NOCANON
Incapaz de ajustar LDAP_OPT_X_TLS_REQUIRE_CERT
No es capaz de sincronizar vale: %s Incapaz de verificar los permisos de escritura al AD Recuperar una cuenta de usuario borrada. Recuperada cuenta de usuario "%(value)s" Cancelar registro de host de servidor IPA Cancelación falló.
Cancelación de registro exitoso.
ID única Desconocido Error Desconocido Opción desconocida: %(option)s Cuenta desbloqueada " %(value)s " Desemparejado Unprovision Atributos no reconocidos: %(attrs)s Eliminar miembro desde un grupo. No revocado Cambios No Guardados Anular selección No especificada Valor no admitido Actualizar Actualizar las entradas DNS Actualizar registros de ubicación y servidor IPA DNS Actualización del registro del sistema '%(record)s' falló con error: %(error)s Usuario Grupo Usuario Grupos de usuarios ID de Usuario Número de ID de usuario (el sistema le asignará uno si no se indica ninguno) Opciones de Usuario Atributo de usuario Categoría de usuario Categoría de usuario al que se aplica la regla Contenedor de usuario Grupo de usuarios El grupo de usuarios ACI permite el acceso a Grupo de usuarios para solicitar a la delegación Grupo de usuario a aplicar los permisos para Usuario de grupo a aplicar permisos (establece target) Ingreso de usuario Accesos de usuario Nombre de usuario Clase de objeto de usuario Contraseña de usuario Campos de búsqueda de usuario Descripción sencilla de la acción realizada Atributos especificados por el usuario a los que aplica el permiso Atributos especificados por el usuario a los cuales no se les aplica explícitamente el permiso Nombre de usuario Usuarios Los usuarios pueden crear keytab Los usuarios pueden recuperar keytab Utilizando servidor %s descubierto
Empleando servidor proporcionado %s
Utilizar servidor desde config %s
Presentar certificado válido Válido no tras esta fecha (AAAA-mm-dd) Válido no tras esta fecha (AAAA-mm-dd) Válido no antes de esta fecha (AAAA-mm-dd) Válido no antes a esta fecha (AAAA-mm-dd) Error de validación Validez Validar final Validar inicio Contraseña de la bóveda Clave privada de bóveda Vendedor Verificar Contraseña Verificar contraseña principal Precisión vertical Vía de servicio Ver Aviso Precaución tipo de encriptación no reconocido.
Advertencia de tipo de sal no reconocido.
Advertencia: Tipo para convertir falló (#%d)⏎
Advertencia: tipos salt no se aceptan con contraseñas aleatorias (ver opt.
Ponderación Peso para los servicios del servidor Cuando se migra un grupo que ya existe en el dominio IPA se sobrescribe el GID de grupo e informa como conseguido Sí PKINIT está habilitado o deshabilitado Si se almacenan los certificados enviados usando este perfil ¿Quién? Escribir certificado (chain if --chain used) a archivo Escribir configuración de perfil a fichero Cadena de certificado X.509 Usted puede necesitar borrarlo manualmente del árbol Debe registrar el equipo para poder generar un servicio de host Será redirigido a Zona DNS. Su sesión ha expirado. Por favor acceda otra vez. Su confianza en %(domain)s se ha roto. Vuelva a creara ejecutando 'ipa trust-add' otra vez. Espacio YubiKey Zona Zona de re-envío Nombre de la zona Nombre de la zona (FQDN) No se puede eliminar el registro de zona «%s» Intervalo de refresco de zona access() sobre %1$s falló: errno = %2$d
valor del algoritmo: intervalo permitido 0-255 todos los maestros deben tener el rol %(role)s habilitado ha ocurrido un error interno ha ocurrido un error interno en el servidor en '%(server)s' respuesta a la consulta '%(owner)s %(rtype)s' tiene firmas DNSSEC desaparecidas (sin datos RRSIG) cualquiera de los servidores configurados api no tiene dicho espacio de nombres: '%(name)s' es necesario como mínimo alguno de: tipo, filtro, subárbol, grupo de destino, atributos, o miembro de al menos un valor igual al nombre canónico principal debe estar presente atributo "%s" no permitido los atributos attrs e included son mutuamente exclusivos los atributos attrs e included/excluded son mutuamente exclusivos si no existe, agregar automáticamente el principal clave de automontaje claves de automontaje localización automontaje localizaciones de automontaje mapa de automontaje mapas de automontaje basedn Falló ber_init(), ¿control inválido?
ber_scanf() falló, incapaz de encontrar kvno ?!
asociar contraseña puede ser a lo sumo%(len)d caracteres puede ser a lo sumo de %(maxlength)d bytes puede tener a lo sumo %(maxlength)d caracteres puede ser como máximo %(maxvalue)d puede ser como mucho %(maxvalue)s no puede estar vacío no puede ser mayor de {} caracteres no se pudo conectar a '%(uri)s': %(error)s no puede borrar la Política global de contraseña no puede borrar permisos gestionados no puede borrar el dominio raíz de la confianza, use trust-del para borrarla misma confianza no puede deshabilitar el dominio raíz de la confianza, use trust-del para borrar la confianza misma no se puede abrir archivo de configuración %s
no puede renombrar permisos gestionados no puede establecer bindtype para un permiso que se ha asignado a un privilegio no se puede especificar ambos %s y llave de paso a asignar no puede especificar un certificado RAW y un archivo no puede especificar filtro de objetivo completo y filtro de objetivo extra simultáneamente no puede stat () del archivo de configuración%s
la modificación choca con otra modificación diferente Cambiar a un grupo POSIX cambio para soportar miembros externos no IPA desde dominios de confianza subproceso terminado con %d
cn es inmutable listas separada por comas de grupos a añadir lista separada por comas de grupos a quitar lista separada por comas de grupos de host a añadir lista separada por comas de grupos de host a quitar lista separada por comas de hosts a añadir lista separada por comas de hosts a quitar lista separada por comas de privilegios a añadir lista separada por comas de privilegios a borrar lista separada por comas de grupos de comandos sudo a añadir lista separada por comas de grupos de comandos sudo a quitar lista separada or comas de comandos sudo a añadir lista separada por comas de comandos sudo a quitar lista separada por comas de usuarios a añadir lista separada por comas de usuarios a quitar comando '%(name)s' toma la mayoria %(count)d argumento comando '%(name)s' toma la mayoría %(count)d argumentos comando '%(name)s' no toma argumentos comandos para controlar la configuración sudo opciones de configuración no se encuentra la entrada (%(container)s) de contenedor curl_easy_init() falló
curl_easy_setopt() falló
curl_global_init() falló
curl_slist_append() falló para valor: '%s'
delegación delegaciones descripción no se ha recibido ninguna credencial de Kerberos no coincide con ninguno de los formatos aceptados: dominio el dominio no está configurado el nombre de dominio '%(domain)s' debería ser normalizado a: %(normalized)s el nombre de dominio no puede ser mas largo de 255 caracteres cada elemento ACL debe estar terminado con un punto y coma etiqueta DNS vacía Vaciar filtro entradas entrada error de clasificación para el transporte de datos XML-RPC: %(error)s error sobre el servidor '%(server)s': %(error)s la ejecución de ipa-getkeytab falló, errno %d
formato esperado: <0-255> <0-255> <0-65535> even-length_hexadecimal_digits_or_hyphen archivo para almacenar los registros DNS en formato nsupdate archivo para almacenar nombre de archivo filtro y memberof son mutuamente excluyentes las banderas deben ser una de "S", "A", "U" o "P" valor de banderas: intervalo permitido 0-255 Forzar la creación del registro DNS, aunque su nombre no sea absoluto fuerza el borrado de permisos SYSTEM fuerza el nombre del equipo anfitrión, incluso si no se encuentra en DNS fuerza el nombre del principal si el host no está en el DNS fuerza el nombre del prinicpal, aún si no se encuentra en DNS fuerza la creación del servicio aún cuando el host no exista para manejarlo bifurcación () falló
"d1 [m1 [s1]] {"N"|"S"} d2 [m2 [s2]] {"E"|"W"} alt["m"] [siz["m"] [hp["m"] [vp["m"]]]]"
donde:
d1: [0 .. 90] (grados de latitud)
d2: [0 .. 180] (grados de longitud)
m1, m2: [0 .. 59] (minutos de latitud/longitud)
s1, s2: [0 .. 59.999] (segundos de latitud/longitud)
alt: [-100000.00 .. 42849672.95] BY .01 (altitud en metros)
siz, hp, vp: [0 .. 90000000.00] (tamaño/precisión en metros)
Vea RFC 1876 para detalles el formato se debe especificar como "%(format)s" %(rfcs)s zona de envío "%(fwzone)s" no es efectiva por desaarición de la delegacion NS apropiada en zona autorizada "%(authzone)s". Por favor añada registro NS record "%(ns_rec)s" a la zona padre "%(authzone)s". gid no puede ser fijado para un grupo externo se requiere nombre grupo grupo, permisos y auto son mutuamente excluyentes grupos host la categoría de host no puede ser establecida a 'all' mientras hay host permitidos grupo de host grupos de host grupos de host para añadir grupo de host con nombre “%s” ya existe. Los grupos de nombres y los grupos de red comparten un espacio de nombre común nombre de host el nombre de host contiene una etiqueta vacía (puntos consecutivos) hosts hosts no puede ser añadido con categoría de host='all' rango id tipo de rango de id valor de hora incompleto tipo incorrecto entero para ordenar las reglas Sudo '%(name)s' inválido: %(error)s DN no válido (%s) formato no válido de dirección IP versión de dirección IP no válida (es %(value)d, debe ser %(required_value)d)! formato no válido de red IP ID de perfil no válido SID no válido: {SID} clave SSH pública no válida formato de dirección no válido nombre de atributo no válido nombre de domino no válido nombre de dominio no válido: %s nombre de dominio no válido: no totalmente cualificado código de salida no válido en el nombre de dominio máscara de host no válida número de puerto no válido ¿Tiene ipa-getkeytab permisos errados?
ipa-getkeytab no se encuentra
se requiere iterations value: intervalo permitido 0-65535 json_dumps() falló
json_pack_ex() incorrecto: %s
ajustes de la entrada de política kerberos la llave %(key)s ya existe ya existe una llave denominada %(key)s keytab es un enlace simbólico colgante y es propiedad de otro usuario.
krb5_kt_close %1$d: %2$s
krb5_kt_get_entry %1$d: %2$s
krb5_kt_remove_entry %1$d: %2$s
krb5_parse_name %1$d: %2$s
krb5_unparse_name %1$d: %2$s
kvno %d
han sido excedidos los límites para esta consulta intervalo de dominios locales localización localizaciones Administrador %(manager)s no encontrado map %(map)s ya existe mapas no conectados a /etc/auto.master coincide el nombre usual exactamente miembro %s miembro de grupo host miembro miembro del grupo de host miembro de netgroup miembro privilegio objetivo de delegación de miembro de servicio miembro de comando sudo miembro de grupo de comando sudo usuario miembro base_id desaparecida modificar la clave principal no está permitido el punto de montaje es relativo al mapa padre, no puede empezar con / debe ser "%s" debe ser «%(value)s» debe ser nombre DNS debe ser Kerberos principal debe ser True o False debe ser texto Unicode debe ser un certificado debe ser una petición de firma de certificado debe ser un número decimal debe ser absoluto debe ser un entero debe ser como mínimo de %(minlength)d bytes debe tener como mínimo %(minlength)d caracteres debe ser como mínimo %(minvalue)d debe ser al menos %(minvalue)s debe ser al menos 1 debe ser un dato binario debe ser un valor de fecha y hora debe ser diccionario debe estar cerrado entre paréntesis debe ser exactamente de %(length)d bytes debe tener exactamente %(length)d caracteres debe ser uno de %(values)s debe ser relativo debe ser igual a %r debe tener el rol %(role)s habilitado debe coincidir con el modelo "%(pattern)s" grupo de red grupo de red con nombre “%s” ya existe. Los grupos de host y grupos de red comparten un espacio de nombre común grupos de red ni comando no tópico de ayuda '%(topic)s' no existen modificaciones a ser realizadas no se permite modificar las entradas de los grupos no se permite modificar las entradas de los usuarios no está permitido llevar a cabo la operación: %s no permitido llevar a cabo la comprobación de conexión del servidor no totalmente cualificado no modificable sobre permisos gestionados el número de clase '%(cls)s' no está incluido en una lista de los números de clases permitidos: %(allowed)s clase objeto %s no encontrada solo se admite «ad» solo disponible sobre permisos gestionados sólo se permiten letras, números y %(chars)s. La etiqueta DNS no debe empezar ni terminar con %(chars2)s solo las zonas maestras pueden contener registros solo se permite un registro CNAME por nombre (RFC 2136, sección 1.1.5) solo se permite un registro DNAME por nombre (RFC 6672, sección 2.4) operación no definida la opción fue renombrada; use %s las opciones no están permitidas sin Memoria
datos fuera de zona: el nombre de registro debe ser un subdominio de la zona o un nombre relativo superposición de argumentos y opciones: %(names)s el propietario de registros %(types)s no debería ser un nombre de dominio comodín (RFC 4592 sección 4) params debe ser una lista params debe contener [args, options] params[0] (aka args) debe ser una lista params[1] (aka options) debe ser un diccionario contraseña políticas de contraseña política de contraseña Contraseña a usar si no usa kerberos permiso permiso "%(value)s" ya existe permisos pkinit preserve y no-preserve no pueden estar ambos ajustados principal no se encuentra
principales no se encuentran en respuesta XML-RPC
la prioridad no puede ser definida en una plítica global la prioridad debe ser un valor único (%(prio)d que ya esté siendo utilizado por %(gname)s) privilegio grupo privilegiado privilegios pyhbac no está instalado. pysss_murmur no está disponible en el servidor y no se ha dado base-id. python-yubico no está instalado. consulta '%(owner)s %(rtype)s' con EDNS0: %(error)s consulta'%(owner)s %(rtype)s': %(error)s el intervalo existe la modificación de rango dejando objetos con ID fuera del rango definido no está permitida cambio de tipo de rango Error de lectura
reino no encontrado
el dominio o sufijo UPN se superpone con el espacio de nombres de dominio de confianza registro '%(owner)s %(rtype)s' fallo de validación DNSSEC sobre el servidor %(ip)s fallo en la petición con estado HTTP %d resultado no se encuentra en respuesta XML-RPC
recuperar e imprimir todos los atributos del servidor. Afecta salida del comando. rol roles valor salt: %(err)s buscar por grupos POXIS búsqueda de grupos con soporte de miembros externos no IPA desde dominios de confianza buscar grupos gestionados búsqueda de grupos no POSIX Búsqueda de grupos privados los resultados de la búsqueda de los objetos que se van a migrar se han truncado por el servidor; el proceso de migración puede estar incompleto
auto servicio de permiso auto servicio de permisos servidor rol servidor roles de servidor servidores servicio servicios Fijando el servidor de nombre Autoritario no debe ser un nombre de dominio comodín (RFC 4592 sección 4) sidgen_was_run etiqueta sencilla {}s no está soportada Ignorar la detección inversa de DNS se requiere sn escenario usuario escenario usuarios subtree y type son mutuamente exclusivos comando sudo grupo de comando sudo grupos de comando sudo comandos sudo regla sudo reglas sudo target y targetgroup son mutuamente exclusivos la entrada fue eliminada mientras estaba siendo modificada este valor no sigue el formato de hora "YYYYMMDDHHMMSS" debe haber al menos una entrada objetivo especifica (e.g. target, targetfilter, attrs) esta opción ha quedado obsoleta. esta opción es obsoleta demasiados ‘@’ caracteres confianza configuración de la confianza dominio de confianza dominios de confianza tipo de confianza confianzas tipo de objeto IPA (usuario, grupo, host, grupo de host, servicio, grupo de red) tipo, filtro, subárbol y grupo de destino, se excluyen mutuamente comando desconocido '%(name)s' error %(code)d desconocido de %(server)s: %(error)s tipo de confianza no soportado url usuario usuario "%s" ya está activo la categoría de usuario no puede ser establecida a 'all' mientras hay usuarios permitidos usuarios no se pueden añadir usuarios cuando la categoría de usuario='all' {algo} no está admitido algoritmo de cobertura de bóveda {attr}: no existe tal atributo {role}: rol no encontrado