????
Your IP : 216.73.217.139
�� � 4� � L { { 8 &{ _{ X {{ C �{ ! | / :| $ j| 7 �| M �| � } � � $ �� [ ā 4 � D U� & �� � �� � G� A F� �� ! �� �� � ԇ K �� p �� x l� 2 � W � _ p� - Њ ) �� 2 (� N [� V �� G � L I� : �� = ь g � ] w� � Ս H ^� D �� L � s 9� � �� n �� X
� 0 f� \ �� r � m g� ` Ւ U 6� W �� P � � 5� v ڔ ^ Q� { �� � ,� L ǖ Z � � o� �
� � �� � B� ;� q U� � ǜ g }� O � m 5� � �� v O� � Ơ s M� � �� � o� { � V �� h � � X� � F� � ֦ � d� w � > �� a Ψ ? 0� � p� 3 � � &� K ت : $� 2 _� K �� ^ ޫ z =� [ �� | � � �� � E� T �� P L� e �� o � | s� _ � [ P� 7 �� N � @ 3� > t� O �� n � v r� < � � &� g �� q _� 9 ѵ K � P W� � �� � 6� 5 � U H� k �� ~
� � �� v V� U ͻ � #� 5 � � "� �� � /� � �� P n� L �� w � c �� � � Q m� � �� � Y� { �� � r� : � � I� � �� � �� h E� v �� X %� Q ~� T �� � %� / � � J� ^ � � m� ] 5� Z �� 7 �� Z &� � �� 8 � 9 Q� n �� � �� �� f � g� f o� X �� � /� � �� �� � �� 1 �� } �� 5� ` B� a �� Q � � W� � � � �� � ,� � � � �� � O� � U � X
n� 6
� n � x m ? � � & � � x � � ^ x � � \ � t �$ � [0 K1 o f1 B �2 \ 3 � v3 � &F �X } �X $ _w � `� -� H 9� . �� E �� � �� � ͥ �� , �� � � �� � � H ĵ �
� l �� � ^� � 5�
� �� �� � �� � k� � � �� � �� � �� � \� 1� p A� ? �� � �
� � � u � � :� 7 �� D .� $ s� � �� � � � � d � � � 9 � K O > p k � p ' �# �# �# �# $ $ ($ % C$ � i$ � F3 5B
EB � PD � E � �F F �H � I �I � �I [ �K � N
�S � �S � R[ � $e � �e � �i � Wm � �p K vt � �t * |w �w l �w ' +z S{ � q{ � j} \ _� H �� � � k �� \ c� �� � ͍ � ʓ T �� � ז � �� � 7� 6 � [ #� � � � $� �� �� �_ �� � }* - r, # �: ) �R � �j � �p g ;q � �q � �r � js <t � It � �t �u x �u 2 "v @ Uv � �v q uw t �x � \y x Dz C �z B { S D� # �� �� � σ � �� � �� W� e `� ƛ ՜ � � �� �� � �� & �� �� ˡ � �� � 3� I� i� �� �� �� Ң R ޢ # 1� U� p� �� �� �� ڣ � � '� B� \� ! u� �� �� դ � � -� E� _� % � �� ! �� % � p � � x� , ?� 2 l� * �� h ʧ : 3� H n� 8 �� J � > ;� 4 z� < �� > � : +� 8 f� L �� F � J 3� > ~� 8 �� F �� @ =� J ~� @ ɬ <
� : G� 0 �� . �� 8 � 6 � : R� 0 �� 8 �� 4 �� 0 ,� . ]� / �� 4 �� < � T .� X �� 4 ܰ E � 0 W� . �� �� 0 ˱ 2 �� < /� . l� A �� ݲ
� �� � +� F� E O� ^ �� 8 � -� # 6� ! Z� 8 |� - �� @ � $� D� d� ��
�� . �� 2 ٵ L � Y� v� �� ��
�� �� �� ֶ � � 2� D� X� k� �� �� �� �� η � � � 6� 9� C� `� j� t� �� ! �� �� Ը � . � 0 ?� ' p� �� 6 �� 7 � % � D� Q� ^� X w� " к � ! � 5 +� � a� � � $� -� C� � F� � �� b� � v� � 8� � � �� �� 2 �� G � F V� ) �� & �� �� � '� H� ' i� % �� . �� ( �� ) � . 9� h� }� / �� } �� B� . �� P �� B� P K� 3 �� �� ��
�� �� � � '� +� 4� " @�
c� n� �� �� �� ^ �� � � w 3� ��
�� �� �� x ��
Z� e�
k� y� �� �� �� �� �� �� �� �� �� � "� ! +� M� d� % |� 0 �� �� - �� 2 � R� 0 k� �� �� ��
�� �� 8 �� � -� # B� f� {� ��
�� �� : �� �� 7 � 1 I� : {� �� �� �� 1 �� � /�
8� F� 0 X� 5 �� / �� �� % � *� J� `� }� �� �� �� �� �� � '� <� [� r� �� �� �� �� �� � � 1� F� V� " i� �� ( �� �� 8 �� 0 � & E� 9 l� �� = �� 7 �� \ )� �� �� ��
�� �� �� �� � (� % B� h� 5 �� �� ; �� % � <� M� < \� 6 ��
�� - �� = � G� ! ]� � ) �� * �� ( �� $ � ) +� U� / d� 0 �� . �� / �� , $� / Q� 6 �� 0 �� . �� * � / C� / s� & �� ) �� 0 �� * %� ( P� $ y� ) �� ( �� + �� $ � ' B� - j� . �� 0 �� " �� � 3� O� j� �� �� �� % �� E �� >� , K� , x� �� ! �� $ �� % � . /� ) ^� = �� 7 �� 8 �� 3 7� . k� �� �� �� �� ��
�
#� / 1� / a� �� �� �� ) �� ) �� "� +� G� ' S� ) {� 3 �� 2 �� ' � - 4� b� |� 1 �� 0 �� �� � : � X� : o� ��
�� , �� 0 �� < &� . c� ) �� ( �� �� �� � � ) "� ( L� $ u� ) �� * �� �� � / � . C� * r� / �� 0 �� , �� / +� 6 [� 6 �� . �� 5 �� * .� / Y� 0 �� + �� , � ! � % 5� 1 [� & �� ) �� 0 � 0 � ( @� / i� $ �� ) �� * � - � % A� g�
q� � 2 �� � 3 � # � <� X� $ w� �� �� � � � % *� " P� s� $ �� �� " � ! �� ( � A� $ a� �� . �� & � 0 �� 3 -� + a� & �� ! �� � � � "� >� Y� % z� * �� 6 � % � 1 (� Z� w� �� �� � � ) �� + &� R� # o� ! �� �� � � ! �� 6 S i } � � . � * � J � @ C � � $ � : � � \ 6 m 8 � 0 � 2 A 2 ^ � D � P � 3 5 B 6 x 8 � 0 � 2 J L M � L � O 2 � � � � 3 � # <
E / P 0 � � + � � � F � * � � % / 8 D P W � h � � �
" �
' �
6 �
( / X $ s Y � , � 1 ? Q * � 1 � + � 2
* M
1 x
1 �
B �
+ 0 K ) | . � @ � / / F 2 v � � 7 � - * F
q 5 | �
� � Q �
0 ; � W | � 0 a / � � � * � * 5 D + z � � � � � � # / ; k � $ � � � ! �
- ~ ;
� � , � * -
7 E T g �
� � � � � � " , ? D P p � � � � � 1 � 9 " Z # } � " � � � % 8 * c ! r � � � �
� � > � 2 A V * Z � � � � � � , � [ # y � � � � V � % ) 5 0 * f D � _ � + 6 b � ) � � � � Y � � t � ' � ( � & � & ! � /! ? �! 3 �! ! &" ) H" r" ~" �" �" �" �" �" �"
# 1 &# ! X# - z# & �# " �# 2 �# %$ ?$ S$ n$ �$ �$ �$ �$ �$ �$ % ( % # I% # m% �% 4 �% & �% & I & ( f& �& �& �& �& �& �& ' ' $ @' e' w' & �' 2 �' �' 8 �' 9 /( 8 i( �( �( = �( �( �( O ) _) 2 r) 1 �) @ �) * '* 4* :* Q* % ^* " �* H �* G �* K 8+ J �+ L �+ K , M h, L �, % - & )- ( P- ) y- ' �- ( �- ) �- ) . ' H. ) p. * �. & �. ' �. , / ' A/ & i/ ' �/ & �/ ) �/ & 0 ( 00 ) Y0 . �0 ' �0 & �0 ) 1 ' +1 ' S1 ' {1 ) �1 & �1 ( �1 ( 2 ' F2 & n2 �2 $ �2 �2 �2 �2 �2 " 3 $ (3
M3 [3 p3 } �3 / 4 34 R4 q4 �4 �4 # �4 �4 �4 �4 R 5 _5 h5 & ~5 H �5 I �5 86 $ J6 C o6 �6 �6 ' �6 �6 7 / 7 J7 b7 �7 �7 �7 �7 " �7 % 8 ' 78 _8 s8 �8 �8 �8 ! �8 �8 9 (9 >9 ) M9 w9 �9 �9 �9 ' �9 i �9 U: s: �: �: �:
�: �:
�:
�: �: ;
; ) ; < I; 4 �; 3 �; �; # < *< 7< D< H< Y< k< ; �< �< �<
�< �< = = = += 7 5= m= w= �= �=
�= � �= O> - e> - �> 4 �> A �> - 8? f? z? �? R �?
�? ~ @ � �@ ! A 0A <A EA V aA & �A �A
�A 3 �A } +B �B �B �B �B
�B �B 9 �B \ /C �C �C �C �C , �C �C D ? D - WD + �D �D �D �D ! �D E ( %E % NE tE 2 �E �E $ �E
�E F ' %F MF + bF . �F ! �F �F �F 1
G ?G SG dG
vG �G �G �G �G �G �G �G H H 9H WH jH
�H �H �H �H �H + �H I -I AI _I zI �I �I �I �I �I �I J J ! /J QJ fJ �J
�J 9 �J �J �J K K /K ;K XK mK �K �K �K �K �K �K
L [ )L �L �L �L �L �L
M
M -M ! 9M [M vM �M �M 5 �M $ �M N :N % WN }N �N & �N �N �N O <O ]O |O ' �O $ �O �O & P /P $ MP # rP ! �P & �P ! �P Q Q :Q SQ qQ �Q �Q �Q �Q R R 7R WR & sR - �R �R # �R S %S >S XS C pS f �S U T V qT @ �T U U U 3U ! FU hU �U * �U �U $ �U # V 0 %V VV d ]V A �V C W HW ! ^W �W �W ( �W ) �W X X (X /X 6X HX [X @ oX �X �X �X �X
�X , Y 1Y FY ^Y ! tY �Y : �Y E �Y
1Z 7 ?Z wZ �Z �Z 6 �Z % �Z [ /[ % N[ t[ + �[ �[ �[ ! �[ ! \ 9 3\ ; m\ 3 �\ 5 �\ 9 ] ; M] 3 �] 5 �] M �] P A^ O �^ R �^ 5_ T_ j_ �_ �_ �_ ' �_ �_ ` #` & =` d` , �` > �` - �` 2 a 0 Oa " �a + �a . �a $ �a ' #b ' Kb ! sb & �b ( �b : �b < c % ]c ' �c & �c " �c ! �c 4 d ' Ld " td ! �d , �d " �d / e 0 9e * je % �e ) �e * �e ) f ' :f . bf - �f * �f C �f .g W ;g + �g " �g # �g h 0 &h 2 Wh ' �h 2 �h �h 2 �h & /i F Vi 7 �i . �i + j P 0j ) �j
�j �j �j @ �j k !k .k Y Nk E �k �k
l
l .l < Il �l �l �l , �l �l $ m +m + 4m `m �m �m �m �m �m �m �m
�m �m n
#n 1n Mn Tn mn ~n �n + �n �n �n �n o )o # ?o co po xo �o 5 �o $ �o p "p $ @p ep |p �p �p �p �p q
q q ! /q Qq ! hq �q �q W �q V r gr �r �r �r �r �r , �r s s * 7s ) bs �s �s - �s I �s f >t �t �t . �t �t u u (u 2u
Bu
Mu & Xu
u �u ; �u �u 4 �u
#v : 1v 6 lv
�v �v �v , �v �v
w w )w ;w ! [w }w
�w �w �w
�w �w �w �w x
-x ;x T \x �x R �x 8 y ? Xy 3 �y 1 �y �y F z az |z �z �z �z B �z 4{ J{ a{ {{ �{ �{ # �{ �{ $ | 1| M| < ^| % �| �| 0 �| , } ;} 0 O} �} �} �} �} F �} % ~
8~
C~ Q~ I e~ �~ �~ % �~ &
( 4 & ] ) � " � % � $ � ! � " >� a� ! ~� �� ; �� � �� � ! � =� I� \� q� & �� �� ��
�� ǁ с ; � ( )� $ R� % w�
�� �� $ �� ӂ F ق = � J ^� �� & �� 5 ݃ � . (� 3 W� �� h �� �
!� /� <� X K� , �� х
� � � � � �� � � 7� =� I� ( M� v� �� �� 8 �� ԇ 1 �
&� 4� 8� ! H� j� �� s �� T � `� o� �� �� �� �� Љ �
�� �
� � .� >�
P� [� n� �� �� ��
�� " ϊ � �� ! � ;� Q� 7 [�
�� �� �� ��
ҋ � � � . �
@� K� X� q� �� �� �� Ҍ
� �� �
+� 6� Q� m� ��
�� $ �� % ܍ / � 2�
>� I� _� v� �� 6 �� 3 3 � ?� D� = Q� �� �� �� �� ԏ ُ A � ( 5� ^�
o� z� �� $ �� & ��
� �
��
� O � g� ! �� �� �� * ˑ �� � $ %� J� g� 3 q� �� �� " Ғ
�� � � � �� [� d� t� �� �� �� ; Ҕ > � $ M� ' r� �� �� " ҕ , �� "� +� 5� =� J� b� ~� �� �� ؖ � � � � $ �� A ԗ � �
�� ; �� : � < � + \� �� �� �� Ι � �� � � @� P� `� p� �� �� �� ��
ƚ l Ԛ u A�
�� қ � �� U � W� i� � ~� c� �� , �� ��
ߞ
� * �� # #� # G� k� � ) �� . �� / � , � , J� - w� ��
�� �� ͠ ֠ @ � @ )� 0 j� �� �� ǡ 3 � � ,� B� [�
v� 3 �� & �� ߢ " �� / � P� _� n� �� �� �� ( ǣ 1 � # "�
F� Q� e� o� * � �� �� " Ф �
� &� <� V� s� �� �� ǥ � �� � 0� F� # Z� " ~� �� �� ̦ # զ
�� � . � , B� Q o� P �� � J 0� & {� & �� 7 ɨ � � # .� R� A d� > �� � ( � +� K� ' _� $ �� �� 3 Ū + �� %� 8� H� N� / d� 2 �� / ǫ �� � � � % $� J� # W� {� �� �� �� ��
Ӭ \ ެ 4 ;� p� z�
�� �� �� ��
�� ̭ �
� � D � Q� ^� & w� ) �� ) Ȯ � � I )� ' s� 4 �� # Я � � L � l� % �� �� �� ð ˰ Ұ 0 � � + � H� % Q� w�
�� % �� �� X ñ � 6� 8 C� |� �� �� �� ˲ � �� � '� <� R� [�
r� }� �� �� $ �� �� ϳ ٳ + �� $� % .� ' T� " |� �� �� �� - Ҵ � � 7� U� 2 k� X �� / �� A '� , i� �� �� �� �� ��
ʶ ض � �� � ! � ?�
G� U� % b� �� } �� � � �� �� ��
�� �� ˸ 5 ۸ � � 2� ) S� & }� ��
�� ƹ չ = � $� 9� A� J� N� W� N d� + �� ߺ � � % � 5�
=�
K�
Y�
g� u� �� �� �� �� D �� H �� H� ]� ( u� �� " �� 3 � 5 � : L� ? �� # ǽ � � !� ?� W� q� �� �� �� �� ʾ ۾ �
��
� � *� ;� E� Y� w� �� �� �� �� Կ � �� � � 2� ?� ; G� �� ! �� � � � ( � � V � 4 m� ��
�� �� � � # � $ '� L� b� |� �� �� 2 �� �� , � .� K� c� t� �� �� �� �� ( �� �� � (� 6 D� ( {� �� �� ! �� ' � -� ! K� m� �� ( �� % �� ! �� ' � E� ) d� �� # �� ( �� $ �� " � " C� f� �� �� �� �� �� � 7� Q� n� �� �� $ �� C �� 5� O� j� �� �� �� 2 �� ) �� � =� V� v� �� �� �� ! �� �� � )� ;� + L� x� �� �� �� �� �� � (� <� O� d� x� �� ! �� �� �� �� �� � &� ;� Y� q� �� �� �� �� �� � $� B� " c� �� ) �� ' �� �� � P /� �� �� " �� �� �� �� = � >� Q� `� l� x� �� ��
�� �� �� 2 �� � � } (� / �� ��
�� �� � � J %� p� u� �� �� �� �� �� 4 � 8� A S� 9 �� � �� Q� k� x� �� ��
�� �� �� �� �� �� �� � � 8� N� ' g� �� �� �� �� �� ' �� / �� e .� n �� � � *� E� e� q� �� �� �� - �� - �� 3 &� Z� k� w� �� �� �� �� ) �� � /� 9� L W� D �� �� ��
�� � � /� H� C a� �� 5 �� �� � � #� >� Y� 8 v� * �� �� - �� + #� O� g� �� �� �� �� �� � � u <� ' �� �� �� �� �� ��
� � 5� =�
G� N R� �� 3 �� 2 �� 4 � 3 O� �� �� �� , �� �� � + � P L� i �� 8 � @� Q� g� x� �� J �� d �� b B� V �� �� 4 � 2 9� > l� ; �� G �� = /� m� = s� �� �� �� �� �� �� � +� ;� J� Z� i� y� . �� �� �� ` �� � @� �� ��
� � � %� 2� A� M� T� s� �� �� ��
�� �� ��
�� 8 ��
� � �
/�
:� = E� �� �� ' �� �� �� 2 �� ( � >� W� k� % �� ! �� �� " �� ! � '� H� _� � w� q� 6 �� , �� 5 �� � � ?� w �� � c� u
� 8 �� . ��
�� �� � 2� C� S� g� w� > �� �� 5 �� 3 � =� % X� ~� �� 7 �� �� ! �� � � � 2� . G� v� 5 ��
�� C �� � P "� s� �� �� �� 8 �� �� �� < �� u 9� E �� �� ; � 8 A� z� �� �� B �� + � 0� 9� : J� 8 �� $ �� � � � � *�
9� D�
L� G W� ( �� � # � �� / � ; C� � �� �� �� L � � :� F� O�
\�
g� 5 r� # �� � R � +� 4� d P� �� & �� � �
� � )� D� X� 1 q� �� �� � � 7 �� /� > 9� x�
�� �� �� �� � � �� � "� /� ?�
N�
Y�
d� o�
~� �� �� �� �� � � � � � %� 8� G� W� l� |� �� �� �� �� � � � ��
� � /� ?� O� a� p� �� �� �� �� > � * � @ /�
p� 0 ~�
��
�� � � � * �� ` & � � 0 � & � & = 7 u � � � � � � � � � 5 P # b � � � � 3 z 9 � ( � % @ S G Z � � ; � < M = _ � : � � 4 = = { � � 5 � � � ! 3 7 8 k 2 � ( � " ; # 3 _ # � @ � : � 3 T q � � � � ) �
9
8 U
" �
# �
> �
* : ? z ? � 9 � 6 . e u $ � � , � - � +
' G
, o
2 �
3 �
1 2 5 h / { 2 � 9 � 3 1 L - ~ 2 � � 2 � ) , I 3 v - � + � ' , , + Y . � ' � * � 6 > > 3 } 5 � . � ' > [ | ! � � � � * / B r / � B � < � ; 3 6 o 1 � � % � 9 R $ e � ( � % � / � * 2 K ~ � 2 � � , . , ; h � * � 4 � , > 6 ] 5 � * � 0 � 5 & \ = o � � = � / 3 A 1 u 5 � A �
8 , F + s ' � , � - � " 2 ; 1 n - � 2 � 3 5 / H 2 x 9 � 9 � 1 8 Q - � 2 � 3 � . , / [ & � * � 6 � ) ! , >! 3 k! 3 �! + �! 2 �! ' 2" , Z" - �" 0 �" ( �"
# % # * C# % n# 4 �# 2 �# * �# 4 '$ 7 \$ / �$ * �$ % �$ ; % 8 Q% 5 �% % �% > �% %& <& C& # R& % v& # �& �& �& % �& " ' ?' _' w' �' �' �' �' �' , ( C( ~ O( �( 0 �( ) 6 7) < n) 8 �) ' �) Q * 1 ^*
�* �* �* �* �* �* + + -+ 3 3+ g+ q+ �+ �+ �+ ( �+ C �+ 8, @, G, \, 1 r, 8 �, < �, A - 8 \- = �- E �- < . ; V. @ �. D �. > / 8 W/ > �/ ; �/ 9 0 : E0 ? �0 ; �0 = �0 G :1 C �1 �1 �1 ! �1 J 2 + Y2 �2 �2 % �2 # �2 * 3 63 V3 1 \3 �3 / �3 M �3 \ $4 �4 �4 �4 �4 �4 �4 �4 �4 & �4
!5 $ /5
T5 & _5 �5 @ �5 �5
�5 �5 �5 �5 6 A 6 Y6 c6 o6 y6 B �6 2 �6 7 5 7 =7 J7
S7 ( a7 + �7 �7 �7 �7 ( �7 8 *8 ' >8 f8 5 r8 4 �8 3 �8 9 !9 .9 ?9 U9 l9 < ~9 / �9 / �9 0 : L: c: t: �: �: �: % �: 7 �: s ; 9 �; �;
�; �;
�; �;
< < 3< K< ]<
n< y< �< �< �< �< �<
�< �< ) = 0= C= T= k= �= �= �= �= �=
�= �=
�= > >
>
(>
3> >> M> h> x> �> �> �> �> 4 �> ? ? ? : ? U? \? k? �? K �? N �? 2 =@ p@ �@ . �@ �@ ! �@ A $A >A # VA zA �A �A 2 �A �A B )B ?B `B ~B �B �B �B % �B C ! ,C NC eC �C �C ! �C �C �C , D / FD vD �D �D �D �D ! �D E # 4E + XE 2 �E . �E 1 �E - F 2 FF * yF . �F 5 �F 1 G 4 ;G 0 pG 5 �G - �G H H 5 0H / fH 7 �H 8 �H 6 I 7 >I 8 vI 2 �I : �I ; J 9 YJ : �J �J . �J - K + BK 1 nK 2 �K 0 �K , L 1 1L 1 cL 0 �L . �L 4 �L 5 *M 3 `M / �M 4 �M �M . N 3 :N - nN 1 �N 4 �N - O 1 1O 6 cO 0 �O 4 �O 7 P 0 8P iP �P �P �P / �P 2 �P % Q $ FQ 0 kQ 3 �Q 7 �Q 3 R 6 <R 2 sR 7 �R : �R 6 S 9 PS 5 �S : �S �S T 1T OT mT 1 �T - �T 0 �T , U 1 >U 4 pU 0 �U 3 �U /
V 4 :V oV �V , �V �V �V �V �V
�V W W -W ?W ` FW �W �W �W �W
�W �W X &X +X CX \X @ nX W �X [ Y cY mY
tY �Y
�Y �Y > �Y �Y 3 �Y 2 2Z eZ qZ �Z �Z 2 �Z �Z 3 �Z [ ) ,[ # V[ z[ # �[ �[ �[ �[ ( �[ \ ] \ 4 g\ �\ �\ �\ �\ �\ �\ # ] $ $] I] a] z] �] �] �] ! �] �] ^ C ^ S _^ �^ �^ �^ �^ J _ C Y_ D �_ �_
�_ . �_ (` 8` <` M` U` a` � x` 7 a 7 ;a % sa �a �a �a
�a �a �a �a �a b b b 8b Ob \b xb �b �b < �b # c ,c * Lc 4 wc �c �c / �c d
d "d
6d Dd * Xd u �d �d
�d L e 4 Ve �e @ �e �e �e �e f f <f Tf gf tf �f ( �f
�f �f �f �f g )g Gg 1 bg , �g �g �g �g
�g h h +h 7h Wh `h vh |h �h �h . �h B �h 0 i Hi bi
qi |i
�i % �i �i �i �i �i j +j 7j Jj Vj bj % xj �j �j �j % �j k k ,k Lk Tk \k ak {k �k �k �k
�k �k �k �k l
l
l )l
5l @l - ]l �l �l �l
�l �l �l z �l zm �m ! �m �m �m
�m �m �m n + -n , Yn ' �n �n
�n
�n $ �n �n �n o " o 8 >o wo �o �o 6 �o �o p p %p 4p , Ep rp ! |p � �p 8 lq
�q � �q � �r ; /s ; ks & �s ) �s " �s 8 t b Tt G �t > �t >u 1 Vu = �u ) �u �u ) v * 8v cv W v P �v 0 (w � Yw 4 �w + x 1 Ix : {x - �x G �x M ,y H zy � �y j �z L �z C{ < c{ S �{ �{ 1 | & A| ) h| 5 �| u �| ? >} v ~} Z �} ! P~ r~ ( �~ �~ �~ �~ * , 1 W � E � ( � 5 � L� & [�
�� �� 0 �� ހ � % � 8 � S� e� m� i � � � & � 3� H� & i� ! �� �� & ς ��
� � .� 7� H� D Z� �� 6 �� � �� ( � :� P� % U� ' {� �� �� �� Ȅ Ԅ
� - � � � )� = Յ - � 8 A� z� �� �� �� dž � �� * ��
)� 7� <� I� > R� I �� ۇ 6 � H $� & m� �� �� �� �� �� �� �� * ؈ , � 0� J� ^� * }� C �� ' � c � " x� u �� � - /� & ]� : �� # �� 9 � W � < u� �� ͌ ' � � 9 -� ( g� & �� ( �� * � * � , 6� c� " �� �� �� �� Ԏ " � � � 9� C�
K� Y� t� {� �� �� �� " ُ �� � "� 2� ?� K� ]� d� w� * �� A �� ��
� � � "� 7 1� i� z�
�� �� �� �� �� � ��
� O � h� ! �� ��
�� Œ � �� ! � " (� 0 K�
|� �� �� �� ��
œ ӓ � �� - � 9 >� K x� Ĕ ͔ � �
� .�
H� S� + h� �� ) �� ѕ , � � * (� S� \� m� v� �� �� �� ��
�� Ė % ؖ ��
� � *� <�
M�
X�
f�
q� |�
�� �� �� �� ʗ ݗ � � ' �� '� & /� V� % w� & �� L Ę � � c 3� % �� f �� 0 $� U� Y� 1 a� # �� �� � Ϛ ^ l� 2 ˛ 8 �� # 7� # [� & � 7 �� . ޜ Y
� g� t� x� �� �� �� " �� ڝ & � / � ( G� ' p� + �� Ğ 8 � R � o� % �� = �� S � H E� % �� �� Ϡ 4 � = "� 3 `� M ��
� � �� �
&� 4� C� & J� + q�
�� ! �� " ͢ ' � � 4� L P� �� # �� & ѣ $ �� ! � P ?� Q �� � " �� ! "� D D� , �� 2 �� 5 � H � $ h� # �� �� ? ɦ � � A /� 2 q� 5 �� , ڧ / � % 7� 8 ]� ( �� * �� - � $ � ' =� S e� ( �� + � # � K 2� " ~� ) �� , ˪ $ �� ' � 2 E� 5 x� , �� / ۫ $ � 7 0� ' h� �� h �� % � '� 4 0� + e� / �� �� ) # �
%� 0� <� C� $ O� ( t� �� �� �� @ Ӯ 0 � 4 E� z� �� A �� ٯ � 7 � ' � ) G� S q� , Ű � � * � * C� # n� ; �� " α " � , � ' A� M i� �� Ʋ 1 � � � $ ͵ � � � 1 � L�
S� a� �� �� B ��
۶ � � � � 7� Z A�
�� �� 0 �� c � X E� �� . �� ( Ӹ �� � �
"� 0� F� U� u� �� �� F �� � � 1� D� [� r� �� �� ( �� " �� "� 3� # G� k� �� * �� �� ۻ �� 8 � P� j� �� �� ż ( � � 3 � - I� . w� & �� ͽ � �� � � 0� ' K� s� �� �� �� ̾ � �� � � %� 5� F� W� c� r� �� �� �� Ϳ � $ � : � S� `� t� �� �� �� � � % �� � 6� G� $ Z� ) � �� � � �� � � 7� ' J� r� �� % �� �� �� ! �
&� 4� T� u� Y ~� �� �� �� % � -� N� 1 n� # �� " �� $ �� . � ;� E� % Y� W � �� �� � !� % 8� \ ^� % �� C �� A %� g� �� �� �� A �� � P � , q� �� �� T ��
�
� !� # 7� # [� & � �� �� �� % ��
�� % � (� 4� ;� + D� p� ( �� �� �� ' �� D �� @� J� [� " p� $ ��
�� �� �� H �� 4 3� h� D �� �� 1 �� & � ?� R L� �� �� �� : �� F � - P� " ~� % �� J �� 4 � 0 G� x� }� �� �� ��
�� �� �� �� O �� @� Z� v� s �� � � � � 5� N� U� a� n� v� H ~� �� �� �� � ! -� $ O� t� 4 }� �� �� �� 9 �� 0� " ?� b� }�
�� �� = �� 9 �� ' � C� P� c� w� ��
�� �� �� ��
�� � � � Q � - q� K �� # �� * � 6 :� T q� �� �� � � � 3�
@�
N� Y� o� �� �� D �� < �� 6� 1 Q� �� �� �� �� �� B �� � " %� C H� . �� , �� �� �� � %� +� 1� @� P� W� q� � �� p� N �� 4 �� � � � �� A �� S �� ? -� L m� � �� � =� � �� A P� � �� S �� � �� 0 v� 9 �� �� � �� d �� = �� * 3� ^� h r� � � � r� J � z ^� � � E \� 9 �� C � � � � �� s :� { �� f *� _ �� � � � z� � � r � a E i � � � � � m i > � | � � � , v � m E n � g " � � � L � � � � � M
q * y � � � � �
� � � � z D
� O e � � e � � � � � � E R � _ � * � � � d � V" � O# D$ � _% J '& u r& \ �& � E' J $( � o( � F) K �) < 4* V q* � �* � U+ ~ �+ � j,
- . � &/ � �/ � V0 � 1 � �1 � '2 � �2 X �3 � �3 R �4 P �4 [ C5 � �5 � +6 S 7 1 W7 � �8 � 9 G �9 j �9 W: � v< � &= i ? � q? � @ � �@ W �A � C e �C � ;D Q �F � G �
H � �H ( �I p �J | *K � �K � CL � �L b �M � �M � �N � qO P W 5Q �Q � �R �S � �T � cU p �U � [V � W � �W | W[ � �] � �^ � E_ � B` � �` \ Ta y �a � +b P �b I Dc } �c � i } �j � Sl m � o � p � �p ! ar �t � �v \ ow �w �x � �x � � � � � Ȍ � �� *� � I� � � � �� n G� ( �� z ߟ � Z� � � ? �� 2� � S� � � E �� 6 /� d f� � �� � �� 3 A� � u� � =� � - � A � � � $ � �# �; 0 �_ `2 �_ �= � ` ��
� F � Y f� � �� a f� Y �� � "� � �� � �� � �� < U� � �� � M � . � � � � F Y ^
�" � �, v
�/ �
= { �J 4 :M n oM h �X � Gh j � +j � �j �o �o �q �q � �r � �s � �u } x 5 �x A �x 0 } : F} � �� � 3� � ы � V� i � @ m� � �� � Z� � 4� G � , X� > �� 0 �� . �� - $� 5 R� B �� , �� �� 4 � $ =� � b
M �
E :
� �
z
�
� �
q t
{
�
b
y
d }*
� �<
w �>
w D
Q �I
Q �N
� +T
} &U
O �Z
$ �Z
[
� _
3 �a
� b
� �d
� �k
h (l
� �l
� Vt
>w
E
S
Q f�
� ��
� S�
�
�
�
�
�
Ҧ
� a�
� ^�
!�
M 9�
2 ��
ɹ ��
� �� � 3� i) � z) \� � � @ � � � 0 � h �" i .$ �% U �% ' - "( b P( N �) � * � �* � ., � / $ �/ � 1 v 2 � }2 � ? y �? d @ � }B S
E t oO �P M �P Go [q � ss E x by � yy & { B{ a{ z{ �{ �{ �{ �{ �{ | 3| Q| o| x {| O �| 4 D} 1 y} + �} ' �} + �} ) +~ ' U~ - }~ = �~ ? �~ [ ) + � + � + � ) � 5 3� & i� " �� , �� $ � * � 6 0� D g� - �� � ځ
�� � �� � V� � � � І � Ј : �� � �� ܋ � �� Ŏ ُ � ސ � ɑ �� A ɓ � � � � �� ^ ޗ 5 =� [ s� � ϛ � V� � M� � L� � � � � � ޡ � ܢ � ɣ � �� � � � ^� � I� � � � � ҩ H � > ,� � k� <� Z� � n� k� � �� � m� � L� � F� t C� ��
˵ ( ٵ � � 9� i B� � �� Y F� �� + �� : շ [ � @ l� h �� + � ' B� % j� @ ��
ѹ Y ܹ � 6� � �� ? U� �� �� �� ϻ � < � 8 >� ? w� ; �� # � � ( 7� $ `� # �� �� " ɽ � A � = M� D �� @ о � � * $� O� _� 4 ~� �� 6 ο $ � 4 *� A _� V �� D �� 7 =� ( u� T �� Z � L N� �� 0 �� 3 �� � � I �� <� > \� � �� d Q� � �� � �� � |� �� � � � �� �� L �� u �� � T� B � . ]�
�� [ �� � �� � �� > H� A �� ( �� $ �� 1 � 0 I� @ z� O �� M � Y Y� ] �� \ � ! n� �� a �� � � _ -� j �� �� � � � �� +� H� X� 1 v� �� �� ��
�� �� / �� � 0 1� , b� ��
�� � �� 7 d� $ �� U �� � -� @� S� + k� �� �� " �� % � ) � ) 1� [� ! u� �� . �� . � . � < @� }� �� ` �� U � ^� 8 z� G �� 0 �� 9 ,� N f� �� G � ) � @� Z� k� �� Q �� C � @ 8� i y� < � 0 � Q� $ o� " �� S �� - � U 9� J �� S � @ .
. o
- �
R �
H
h
�
$ �
d �
.
r �
@ !
v b
S �
- -
K [
9 �
. �
:
> K
F �
- �
- �
+ -
= Y
- �
W �
3
7 Q
O �
% �
4 �
8 4
1 m
1 �
% �
+ �
R #
Z v
p �
7 B
� z
�
o �
�
$ �
n �
c 8
� �
7 D
9 |
+ �
" �
$
: *
J e
W �
4
� =
O �
S
@ d
w �
I
B g
+ �
n �
c E
�
J �
�
? �
T �
>
A X
E �
I �
6 *
A a
( �
P �
T
X r
P �
C
P `
l �
T
X s
E �
P
j c
4 �
A
] E
E �
I �
6 3
A j
X �
\
\ b
` �
H
s i
m �
H K
6 �
A �
E
> S
> �
2 �
< !
F A!
� �!
, G"
\ t"
\ �"
< .#
P k#
h �#
d %$
� �$
t "%
� �%
� L&
m �&
� L'
v �'
M ](
< �(
0 �(
% )
> ?)
, ~)
% �)
N �)
N *
2 o*
* �*
�*
B �*
B *+
m+
F �+
�+
: �+
8 -,
W f,
Y �,
: -
Y S-
( �-
5 �-
a .
_ n.
L �.
$ /
W @/
/ �/
W �/
& 0
$ G0
R l0
[ �0
� 1
i �1
Z 2
> g2
8 �2
2 �2
2 3
) E3
Q o3
Y �3
F 4
Q b4
e �4
K 5
8 f5
` �5
h 6
U i6
` �6
t 7
S �7
` �7
| J8
r �8
h :9
t �9
U :
` n:
t �:
q D;
r �;
F )<
S p<
~ �<
F C=
S �=
o �=
e N>
[ �>
g ?
H x?
S �?
g @
r }@
r �@
# cA
�A
% �A
o �A
% 8B
� ^B
M �B
2 =C
0 pC
; �C
< �C
@ D
L [D
H �D
+ �D
= E
L [E
2 �E
= �E
2 F
Y LF
D �F
t �F
F `G
X �G
c H
{ dH
N �H
T /I
a �I
� �I
^ hJ
A �J
9 K
+ CK
% oK
6 �K
: �K
8 L
W @L
� �L
j #M
g �M
P �M
3 GN
3 {N
' �N
+ �N
? O
+ CO
S oO
M �O
V P
F hP
> �P
5 �P
1 $Q
2 VQ
\ �Q
8 �Q
I R
# iR
/ �R
# �R
�R
�R
V �R
F PS
r �S
r
T
}T
1 �T
I �T
} U
@ �U
� �U
l �V
j 5W
] �W
[ �W
9 ZX
T �X
�X
m Y
y wY
! �Y
t Z
| �Z
z [
m �[
k �[
� Z\
� ]
� �]
� g^
_
+ 4_
A `_
? �_
� �_
' z`
1 �`
+ �`
! a
q "a
] �a
* �a
? b
! ]b
x c
G �c
L @d
�d
�d
�d
�d
�d
�d
e
e
. ?e
. nf
�g
O �g
O h
e Ph
/ �h
�h
a i
< ii
G �i
� �i
P �j
� �j
q Zk
F �k
\ l
J pl
` �l
H m
^ em
X �m
o n
P �n
� �n
b `o
� �o
� Qp
m �p
g Vq
i �q
L (r
ur
� �r
4 s
m Ps
m �s
,t
K Gt
�t
�t
( �t
� �t
�u
9 �u
�
v
� �v
o �w
2x
J �x
< �x
U :y
O �y
g �y
P Hz
�z
�z
�z
1 �z
/ {
1 @{
O r{
l �{
, /|
C \|
D �|
�|
% �|
. }
> J}
- �}
# �}
�~
% �~
a
e |
�
) �
+ -�
9 Y�
L ��
9 �
F �
F a�
2 ��
9 ہ
@ �
M V�
9 ��
ނ
* �
�
%�
C 5�
R y�
* ̃
3 ��
+�
= =�
{�
S ��
3 �
< �
B T�
@ ��
L
T %�
U z�
І
F �
y +�
& ��
9 ̇
( �
/�
H�
O�
E V�
��
� ��
C =�
��
��
��
P ��
�
" �
Y ?�
��
��
-
f �
� W�
] �
`�
��
��
��
� ��
2 J�
}�
\ ��
M �
r 9�
� ��
` ��
F ��
B <�
_ �
� ߐ
Ñ
� ǒ
��
� ͔
� ��
G l�
a ��
z �
� ��
j ��
] ��
E T�
J ��
�
�
? �
% Z�
# ��
# ��
4 Ț
@ ��
Q >�
� ��
q !�
� ��
x �
q ��
� �
J ��
' ۞
[ �
' _�
W ��
U ߟ
# 5�
4 Y�
��
1 ��
' ޠ
4 �
= ;�
8 y�
> ��
^ �
W P�
6 ��
s ߢ
g S�
T ��
�
' '�
< O�
��
* ��
3 դ
' �
? 1�
q�
��
I ��
[ �
9 L�
d ��
e �
e Q�
��
§
� ͧ
h�
7 y�
� ��
& X�
[ �
Y ۩
� 5�
# ��
�
�
H �
\�
U t�
G ʫ
� �
� ��
� p�
� $�
� �
� ��
� F�
� ;�
b ݱ
c @�
e ��
f
�
d q�
e ֳ
f <�
f ��
d
�
f o�
g ֵ
c >�
d ��
i �
d q�
c ַ
d :�
c ��
f �
c j�
e ι
f 4�
k ��
d �
c l�
f л
d 7�
d ��
d �
f f�
c ͽ
e 1�
e ��
d ��
H b�
��
X ˿
$�
0 :�
k�
z�
C ��
A �
�
% +�
$ Q�
v�
l ��
N ��
O L�
% ��
��
- ��
\ �
$ h�
# ��
J ��
� ��
��
7 ��
p (�
� ��
� 2�
2 ��
X ��
� W�
C�
) R�
� |�
�
. '�
� V�
. ��
J �
D ]�
T ��
a ��
' Y�
O ��
O ��
I !�
- k�
. ��
��
+ ��
F �
: [�
9 ��
. ��
. ��
, .�
N [�
��
* ��
��
�
Z /�
� ��
6 R�
��
+ ��
9 ��
1 �
=�
P�
c�
x�
��
��
��
T ��
� '�
\ ��
l �
$ ~�
} ��
!�
0�
C�
+ G�
+ s�
1 ��
� ��
m�
! ��
��
��
��
��
��
�
z '�
��
/ ��
+ ��
+
�
" 9�
? \�
��
J ��
S �
] W�
b ��
K �
d�
& ��
! ��
��
M�
� ^�
� "�
' ��
�
+�
) 8�
� b�
Z �
l�
y�
Q ��
� ��
��
��
��
��
��
�
l �
� ��
!�
.�
N�
9 f�
d ��
$ �
8 *�
� c�
� ��
� ��
( �
3 G�
{�
O ��
Q ��
| 8�
e ��
G �
c c�
/ ��
T ��
( L�
U u�
^ ��
+ *�
c V�
t ��
W /�
? ��
W ��
s �
? ��
��
��
�
! (�
J�
e�
5 t�
��
A ��
;
�
+ I�
/ u�
/ ��
��
N ��
E�
. a�
# ��
# ��
��
� ��
7 q�
��
0 ��
? ��
* :�
B e�
��
' ��
+ ��
$ �
$ :�
_�
x�
E ��
K ��
1 )�
1 [�
' ��
� ��
( B�
3 k�
" ��
5 ��
��
> �
# N�
, r�
- ��
1 ��
? ��
9 ?�
y�
��
J ��
� �
5 �
9 ��
I 4�
V ~�
: �
�
*�
G�
> c�
5 ��
�
* ��
! "�
� D�
F �
) �
' B�
I j�
. ��
, �
7 �
8 H�
< ��
H ��
D �
) L�
' v�
9 ��
H �
. !�
9 P�
. ��
U ��
@ �
B P�
W ��
_ �
5 K�
' ��
! ��
2 �
6 ��
/ 5 / e ' � ' � # � ' ; 1 ' m @ � I � R : s < � 1 � - 0 K � | � � � � j � � � + � I � X C V � S � t G � 0 � Y � Y X � � � j �
h - A � @ � B D \ s � `
v
�
�
�
�
# �
% �
s � ? � � 9 " � \ ' � H
' S R { \ � N + _ z � s � l D } % � � � J y + � 2 � L # + p T � % � + 8 C S | l � j = ] � [ | b z � m Z k � � 4 � � � � � A C � " 4 0 W % � % � � ^ � ; T K � X � = 5 + s s � � Q � E � H C 2 � A � G ! 4 I! @ ~! C �! 0 " = 4" K r" s �" m 2# A �# : �# : $ 8 X$ . �$ [ �$ _ % I |% > �% K & 8 Q& T �& B �& 7 "' C Z' G �' B �' 6 )( 6 `( ` �( K �( E D) x �) * � #* I �* < @+ ) }+ % �+ J �+ a , 6 z, q �, # #- a G- E �- � �- h u. F �. d %/ � �/ C 0 ^0 w0
�0 [ �0 �0 1 D $1 � i1 � 2 �2 �2 ' �2 @ '3 c h3 �3 �3 2 �3 p -4 J �4 5 �4 5 U 25 L �5 # �5 5 �5 T /6 - �6 �6 �6 ' �6 , 7 ( 37 \7 |7 I �7 �7 = �7 18 P8 7 i8 � �8 % %9 F K9 % �9 P �9 , : � 6: �: �: B ; # Q; � u; H < ) M< 0 w< J �< ) �< ( = 6 F= Q }= = �= P
> ^> > �> ? �> B �> @ 5? v? 8 �?
�? 4 �@ b B sB ) �B # �B 7 �B & C o -C �C U �C ] D T ^D . �D L �D O /E � E � IF & =G , dG e �G �G H ' H HH > _H �H �H } �H II \I � kI U �I � GJ ' �J � �J �K L L 0 ?L u pL 4 �L 9 M + UM 8 �M U �M S N 4 dN , �N �N ! �N 5 �N 5O 6 SO b �O �O ( P M .P � |P E TQ l �Q Q R b YR I �R h S H oS � �S H hT , �T - �T @ U Q MU � �U J CV K �V < �V H W H `W H �W U �W N HX W �X @ �X $ 0Y f UY z �Y A 7Z b yZ Y �Z 9 6[ c p[ * �[ 0 �[ C 0\ t\ � �\ P C] �] �] + �] � �] # �^ c �^ Q !_ T s_ a �_ V *` c �` I �` V /a V �a V �a W 4b _ �b ; �b (c � Gc �c / �c
d J d bd ud �d �d H �d e !e .e Be @ Se � �e H &f < of N �f �f
g A
g Og � jg � h � �h 1 Ki b }i w �i < Xj n �j � k : �k � �k ) �l + �l ) m / Bm � rm c Nn 4 �n �n 1 o 8o Iq eq yq 9 �q �q �q �q m �q cr sr �r ] �r O �r w Es �s �s % �s > t O Jt 3 �t � �t � �u ) �v / �v < w Cw + Pw |w . �w . �w �w
x *x >x \x zx �x ( �x . �x y E %y H ky �y P �y #z ^ 0z \ �z F �z 3{ | G{ �{ �{ �{ | #| 4| J| 0 ^| { �| } } " 1} T} - q} �} L �} J ~ T~ @ e~ ? �~ �~ * �~ ( " T K R � � E � * K� O v� ƀ ݀ $ �� % � % D� 0 j� s �� x � � ��
� # � � >� �� � 0 3� - d� �� % �� Z �� � �� �� * ҅ �� i � g � � ��
� )� � G� K ܇ V (� & � & �� Q ͈ ( � ; H� c �� = � &� d 6� P �� @ � O -� }� p �� u � |� �� ) �� ͎ Z ֎ X 1� � �� �
� V �� ] � M J� [ �� k � ] `� / �� 1 � � $ >� 7 c� A �� C ݓ > !� @ `� �� ! �� Q � V 3� o �� � �� ( ��
�� H �� E � K H� H �� 5 ݙ = � * Q� I |� ƚ 7 � � . 0� _� t� �� $ �� ś ֛ � -
� 8� � U� � � �� �� �� H ܝ %� t 8� # �� ) ў � �� > �� S ˠ i � ! �� & �� ң � _ �� C W� G �� " � " � r )� z �� d � g |� u � w Z� % ҧ �� � *� - E� l s� � � � q� Y
� 4 g� A �� k ު 8 J� @ �� M ī % � " 8� o [� R ˬ C � 9 b� � �� * � E J� 3 �� ' Į % � @ � C S� n �� F � M� % a� �� < �� H ٰ "� 6 3� A j� 1 �� < ޱ - � @ I� I �� I Բ . � M M� Q �� > � @ ,� 9 m� = �� � E � 3 K� 4 � 6 �� � D �� A� - Y� � �� M � s V� r ʷ A =� � � V � l w� � � ! i� 9 �� 1 ź �� � � � �� @ H� p �� I �� < D� @ �� T ½ 3 � y K� v ž 2 <� o� �� , �� M ¿ Q � ] b� �� � �
� 4 � I� 6 Y� �� �� 2 �� " � ' � 3� � G� Z �� 7� 1 J� |� �� �� �� �� & �� � � 5� r E� �� ( �� Q �� W E� \ �� 8 �� ( 3� � \� O � \ W� * �� & �� $ � � +� H �� F 7� ~� % �� �� �� - �� Y � c� Y l� �� h �� 6 8� o� C �� �� � �� E z� �� � �� / d� �� ! �� ' �� ) �� 1 (� Z� x� �� ! �� �� - �� �
*�
5� @� T S� C �� �� @ �� _ <� �� = �� I �� N 8� �� @ �� P �� � (� 9 �� H �� U ,� , �� j �� � � \ �� z )� N �� �� � "� ) @� j� �� �� - �� 3 ��
"� B -�
p� {� - �� I �� � 0� 6� >� M� T� h� ~� �� � �� 6� 4 R� A �� c �� q -� 1 �� �� % �� ' � z 6� �� �� �� % �� , $� ) Q� � {� k 2� �� �� @ �� e � / t� 7 �� - ��
� ' *� % R� : x� , �� @ �� = !� � _� � � 4 �� 7 �� Y 2� _ �� U �� � B� � �� � ~� � *� M �� S � 4 p� O �� G �� = =� % {� �� " �� 3 �� � , 0� & ]� ) �� �� . �� �� 2 � L� $ ]� + �� $ �� �� �� � & +� * R� 2 }� . �� �� < �� + <� h� l {� G �� E 0� v�
�� �� W �� % � � &� i �� # 2� ! V� @ x� 2 �� . �� K � M g� 2 �� ; �� $� >� Z� m x� N �� H 5� ^ ~� M �� , +� C X� C �� 0 �� � � W /� �� , �� # � � �� B �� < � 0 � . 9� 9 h� J �� F � < 4� ) q� ; �� J � 0 "� ; S� 0 �� K �� : � > G� W �� B � D !� a f� 7 � ) � # *� 4 N� 8 �� 1 �� 1 � % � ) F� = p� ) �� T � < -� � j� 3 �� / +� 4 [� 7 �� " � - � � R � C � = > < | 1 � A � C - : q A � 0 � % % E k � � 1 : 2 [ A � , � D � B ) a - � & � & � " G C M � 3 � *
$ 8 @ ] % � . � # � / 3 G L { 7 � ; X < ; � = � C
a S
0 �
B �
8 ) - b v � � ) � # � s � s
7 �
= �
� - � 4 � � � - ( V i | � V � � � ! Z - [ 7 � � � � � � � " � Q � ! O > Q � � � * p a � { � y ; ~ � � . � , " A d � � � � 3 � B : 7 } 5 � K � * 7 . b ) � � ( � ; � N - � | � 3 J � 1 G 4 y U � $ 3 ) / ] 7 � A � n p v u � ] ~ = � G � d 1 } � l � P ,!
}! S �! � �! � f" # ' ## ! K# ; m# & �# ( �# ( �# ` "$ ; �$ � �$ 1 M% , % �% I �% : & 6 F& � }& l ' < n' ] �' m ( @ w( < �( @ �( < 6) @ s) < �) S �) @ E* < �* 5 �* M �+ G, J, N, k, # z, �, / �, �, �, - � - % �- | �- � U. o �. R/ , �/ 9 �/ # 90 [ ]0 ; �0 = �0 q 31 �1 � �2 ] a3 ' �3 < �3 $4 ! B4 ! d4 � �4 � 5 �
6 � �6 �7 m �7 m S8 w �8 v 99 � �9 x 1: �: } �:
7; B; 9 Y; 0 �; 7 �; $ �; ' !< ' I< & q< ' �< & �< ' �< ( = ] 8= / �= * �= �= i ? B k@ L �@ �@ A )A =A ]A + }A �A G �A E B
JB UB YB `B zB �B �B Y �B �B C : ,C gC > zC � �C UD uD Z �D �D �D h E n �E 2 �E 0 (F * YF B �F ; �F M G 2 QG 3 �G ; �G $ �G % H ?H , [J b �J _ �J Z KK ) �K � �K
�M � �N FP � JQ } �Q KR U `R , �R �R S ' S GS % cS ~ �S T � T l �T 4 JU E U E �U V g V = �V T �V W *W ' 3W ) [W b �W �W f X gX � zX %
Y � 3Y ) �Y ) �Y
Z # !Z y EZ $ �Z �Z t [ � u[ � T\ . ] n 3] n �] " ^ , 4^ 0 a^ � �^ T H_ �_ # �_ h �_ f =` @ �` �` ' �` "a % Ba ha �a �a ) �a � �a Z Yb # �b Q �b ' *c a Rc x �c -d Md \d 0 {d � �d ; ee �e �e �e �e �e w f @ �f �f � �f �g > �g � �g �h J �h 2i 5 9i oi �i , �i �i ) �i Q j " cj 3 �j �j R �j � k �k � �k Cl Zl rl = �l �l 8 �l 2 m % Bm # hm �m �m % �m �m �m n , 9n + fn , �n . �n / �n - o . Lo / {o / �o �o / �o 0 p , Lp - yp 2 �p - �p , q - 5q , cq / �q , �q . �q / r - Lr , zr / �r - �r - s - 3s / as , �s . �s . �s . t - Kt 4 yt r �t g !u r �u # �u ^ v # v �v C �v w w 9 0w � jw - x . Ax a px J �x Z y � xy z 0 z Hz bz ! vz �z �z �z �z 4 �z '{ h 8{ " �{ @ �{ * | ' 0| a X| _ �} � ~ N �~ * �~ 7 * V � m � � � Q 3� : �� 0 �� � "
� Q 0� + �� U �� � J %� S p� @ Ă , � + 2� T ^� * �� ރ # �� $ "� d G� �� r ,� v �� S � � j� � T �� n އ c M� 9 �� 4 � : � H [� U �� 4 �� Q /� � �� M � 6 P� S �� E ۋ A !� u c� I ٌ � #� ) �� n ٍ c H� �� $ Ȏ Y � N G� = �� R ԏ : '� ? b� C �� G � 8 .� ? g� N �� R �� V I� N �� & � C � P Z� l �� T � X m� E Ɣ P � ]� h u� 4 ޕ A � ] U� E �� I �� 6 C� A z� V �� Z � Z n� ^ ɘ W (� k �� u � m b� f К H 7� 6 �� A �� E �� > ?� > ~� 2 �� < � F -� Z t� * ϝ \ �� � W� � � l �� � � v �� Q � O n� < �� . �� # *� > N� : �� Y Ȣ P "� � s� i � N j� # �� 2 ݤ N � * _� B �� ͥ B � D (� > m� < �� P � :� 8 V� ( �� Y �� Y � : l� Y �� _ � J a� U �� - � " 0� W S� & �� " Ҫ k �� R a� [ �� � � 2 �� 0 ʬ O �� W K� H �� O � c <� I �� ^ � f I� W �� ^ � r g� 6 ڰ S � ` e� | Ʊ t C� h �� t !� U �� ` � t M� ) ´ o � p \� F ͵ S � ~ h� F � S .� o �� g � [ Z� g �� H � S g� g �� p #� p �� ! � J '� } r� Z � X K� y �� L � R k� _ �� � \ �� ? �� r ;� P �� N �� B N� � �� 0 � P� , k� 9 �� G � V � E q� 9 �� J �� b <� S �� 4 �� < (� < e� 1 �� c �� @ 8� - y� Z �� � 7 � = G� T �� - �� n � d w� x �� S U� � �� [ X� �� 9 �� C � T D� ! �� �� ! �� N �� C� k T� �� �� + �� ' � @ G� r �� � �� �� �� # �� ! �� z � s �� w �� | o� s �� x `� � �� w Z� v �� { I� �� y E� s �� y 3� v �� t $� u �� z � v �� x � � z� ~ �� ! |� 6 �� ? �� � � _ �� 4 =� 1 r� = �� S �� N 6� N �� ! �� � �� D �� ~ �� ~ n� � �� % �� �� �� �� & �� % � 7� F� 8 X� �� : �� �� ? ��
6� s A� �� �� �� �� B � I� � R� �� ! �� � +� � I� � �� �� � �� ! W� # y� ; �� m �� Z G� ( �� 4 �� > � w ?� + �� L �� � 0� 7 �� E �� D 4� | y� �� � / 2� > b� > �� / �� � � n �� �
� ] �� S � e� }� 9 �� 0 �� 2 � Y 5� f �� � �� � �� d� �� �� �� ; �� �� 6 � 0 E� # v� ! �� �� # �� 0 �� + "� N� m� �� ' �� . �� N �� ( B� k� = �� 0 �� T �� , K� $ x� �� # �� �� �� � � � 6�
C� N� _� 4 }� �� � � � !� A� \ T� �� �� � q �
Y� d� / �� < �� N � P @� X �� � �� { � 5 �� = �� 5 �� 2� S� + t� �� �� ( � V � Z� {� �� 0 �� = � ( "� K� i� ' �� A �� : � ( .� ) W� - �� F �� 7 �� E .� R t� / � s �� x k� � ' �� ' & @ 2 g = � = � < L S m � ` s o ` � m D X � F r R e � x + e � r
V } � + � f S ~ x � z K ~ � x E ` � Q
} q
�
� o } � ! q d � J � T C
m �
o s v ` � m K i � P # Y t r � t A x � e / r � [ j { W � p > � � g 2 U � d � U U h � � f � $ E f w } } � : s @ � X � ] H � � � E � � � � � � � � U � � � � � 1 G � 1 ! 1 O! 1 �! - �! } �! t _" � �" p X# } �# � G$ y �$ � D% u �% � C& & �& �& 8 ' D' 2 `' 2 �' �' �' % �' ( -( K( � X( 3 0) ; d) ! �) �) �) N �) ?* " P* 5 s* 5 �* ' �* L + � T+ � , �, �, �, @ �, 6- ! R- � t-
. \ . [ t. �. ! �. / / Y 8/ �/ H �/ �/ M 0 = `0 ! �0 b �0 #1 % 21 * X1 b �1 �1 � �1 Q �2 ! �2 3 43 T3 t3 �3 K �3 V �3 4 S4 4 �4 . �4 . �4 5 :5 1 N5 ( �5 ; �5 { �5 � a6 F 7 , Y7 R �7 �7 � �7 � �8 � W9 �9 �9 ^ : ( y: �: * �: �: �: ; ; S; � X< x �< [ c= . �= �=
> D > @ Q> D �> �> " �> ? % &? U L? 4 �? 4 �? 9 @ a F@ 7 �@ A �@ � "A = �A 9 �A S 7B w �B = C 5 AC G wC �C 2 �C , D .D G ND r �D � E F * F � <F � �F ) gG � �G . #H < RH �H �H B �H K I , TI �I �I 2 �I k �I VJ 1 lJ �J + �J ! �J / K ; <K R xK \ �K 3 (L 3 \L / �L 9 �L 9 �L S 4M 9 �M c �M &N . =N lN # N �N �N j �N l =O U �O : P
;P FP eP tP ; �P �P 2 �P * Q >Q < ]Q @ �Q $ �Q I R G JR ! �R t �R ( )S = RS % �S F �S �S M T ^ ^T �T
�T �T 5 �T * U ;U OU nU �U 5 �U * �U V V ,V @V TV lV < yV F �V �V / W 0 FW 1 wW , �W 2 �W � X �X �X C
Y 6 QY $ �Y �Y �Y ( �Y * �Y ` )Z ^ �Z T �Z >[ # P[ t[ V �[ �[ �[ �[ r \ � �\ ] 9] . Q] l �] = �] Q +^ }^ �^ �^ V �^ _ B 7_ � z_ G ;a �a F �a � �b n �c U Od B �d c �d = Le f �e � �e � zf k �f & kg m �g k h 7 lh B �h O �h \ 7i - �i � �i � uj � )k � �k a �l S �l Q Pm � �m W /n � �n � /o � �o 7 Yp � �q v Kr ^ �r [ !s � }s & .t n Ut b �t Z 'u d �u � �u z �v 5 Cw � yx u y 3 �y K �y C z - Wz + �z < �z T �z p C{ , �{ � �{ i z| � �| 1 �} P �} * ~ F 7~ � ~~ ; 4 c p ' � � / � � H� f � m� D }� 4 @ �� ` 8� O �� ? � O )� ) y� �� �� ۃ ! � # � � 4� % �� d ބ ! C� # e� 8 �� )
� ^ � a P� ! �� 4 Ԇ 8 � 4 B� 4 w� ( �� o Շ E� $ e� � �� ] *� c �� 2 � ! � 2 A� t� _ �� � ! � L .� : {� �� �� 2 ی e � � t� A� � U� � � ] �� � � 6 � 8� G� % L� Q r� g Đ b ,� B �� 3 ґ > � V E� s �� G � � X� @ J� � �� 1 p� P �� I � n =� P �� u �� � s� { '� E �� L � R 6� 0 �� i �� ; $� 9 `� ; �� = ֚ = � S R� a �� q � z� �� @ �� + � S � = d� G �� / � � # /� 3 S� �� D �� 4 � % � * D� . o� 8 �� F ן � - 8� f� �� 1 �� Ƞ ! ٠ 0 �� T ,� j �� � ' � ' -� U� & q� } �� : � : Q� ; �� + ȣ - � ' "� G J� @ �� - Ӥ - � � /� [ ԥ f 0� - �� ' Ŧ f � 6 T� 6 �� w § q :� � �� ; B� . ~� �� 2 ͩ : � % ;� I a� 0 �� V ܪ d 3� � �� � � �� M ά � j 5� h �� @ � J� 5 f� \ �� 7 �� ^ 1� 1 �� X ¯ 3 � Z O� �� ' Ȱ � . � ( @� i� # |� % �� Ʊ + � U � # b� �� �� , �� , � � 6� V� + p� �� ) �� ٳ � 9 � F� ) S� . }� �� + �� O � 9� T V� H �� q � \ f� � ö N� U� � v� W E� � �� � C� չ ܹ � � D w� - ��
� � �� ] �� ~ �� C z� ? �� j �� } i� z � � b� � � % � F� g� w� > �� J � \ � ` u� N � P %� f v� 4 �� V � z i� 7 �� ^ � z {� t �� � k� /
� 9 =� 8 w� a �� � r �� � � ) �� + �� 9
� 9 G� F �� F �� 1 � r A� @ �� �� @ � K U� F �� 2 �� 2 � � N� % �� 6 � V 7� X �� O �� � 7� � � ? �� H � [ Z� � �� � M� Z �� ] +� � �� g #� f �� ( �� � � P �� � � #� �� } H� t �� r ;� o �� � � m �� z � x �� o � m x� � �� ~ �� | � I �� � �� I r� y �� w 6� o �� m � � �� � v �� t � z� � �� } �� � � � > � X� f g� C �� P � + c� E �� I �� � :� U� d� : u� X ��
� � 5 5� f k� P �� f #� �� �� I ��
� � y $� 8 �� ` �� � 8� R �� ; � Z� E l� y �� T ,� � �� E � � a� � �� � t� � � . �� � �� h �� 0 � J A� $ �� �� + �� L �� 7� < D� T �� : � � � � �� � G � E +� , q� �� � �� o� �� R �� � � � �� 6� ^ ?� G �� 8 � 6 � / V� 8 �� 0 �� � K � . T� �� 5 �� y � 1 T� B �� # � . � 2 � 0 O� , �� 0 �� X � ; 7� } s� , � . L M 2 � � o � ; [ , � < � � � � �
& ` D � l � ^ U z E � J 2 a � � 6 � I � d G = � 4 � < 3 " p - � � � , � 0 & 0 W ' � � � C � ( . 3 W ) � 2 � � A
� I
! 7 & Y < � ' � = � 1 # . U L � 7 � *
- 4
K b
F �
4 �
4 * ) _ * � 7 � N � & ; a b 8 � A � I ? U � 0 � K " \ 8 H � � � K � I B W � E � O * ~ z ; � K 5 A � \ � & 4 N [ } � # ( 0 L a } ? � N � n O C � � � 8 � * � D B P � � & - � T P � : N � l
) ( 2 R \ � R � n 5 � � � u � g < | � � � ~ � 0 g! H �! K �! I -" i w" � �" n# / �# : �# W �# Q F$ �$ D �$ B �$ � 5% j �% , E& ^ r& ( �& E �& - @' % n' � �' . n( �( + �( � �( g y) L �) O .* = ~* � �* n �+ X �+ L, U, 8 ^, 6 �, + �, 7 �, 7 2- " j- �- � �- , -. Z. " {. � �. `/ t/ �/ 5 �/ 5 �/ 0
0 %0 =0 L0 � Y0 4 �0 4 +1 . `1 . �1 ^ �1 \ 2 z2 b �2 ; �2 : &3 C a3 � �3 &4 ` 54 D �4 �4 9 �4 9 65 � p5 � P6 B 7 H7 \7 {7 N �7 L �7 68 C J8 A �8 �8 �8 �8 9 0 9 � I9 H : j T: 7 �: X �: h P; � �; I ^< " �< , �< ! �< : = U= q= ( �= 0 �= B �= N ,> ! {> � �> W e? 0 �? V �? L E@ I �@
�@ �@ 3 A � 4A �A c B � jB � ;C ] �C H D ` cD F �D E E # /E % SE yE ( �E $ �E
� / � � �
� d � v � � 8 6 � � 2 ) B � � 4 y U 9 � a � � � D 0 � �
3 Z � r s
� � A � a � � h � D � � � t �
� �
� q � � � , �
, � � � > L
X � � C � � � � � � V P � �
@ � r � = ; � �
/
�
� v � � � K m h � b
� S � t � (
{
� � H
� �
� �
� � {
� 2 Z � w
L � � ,
� � T &
9 3 � � � � 7 ` � + D � E _ � + x - �
� ] & ~
� � 3
� 7
; b ) � �
� � � E H D � �
�
� � �
7 � � � � ! � � o ) 2
4 � / , � � ? c B
� M V � � , � \
e w � r � � 0 � � v
�
5 � V � 8 � T � � � / . T U Z l
�
. @ � 7 � � > v � f
�
# x � a @ d Y � K � a �
@ 6 Q U � % > % � { d t � � �
� � p � �
Y � � � � " � � J � � � � S Y � � W - e � X k
� | N v N � � � � � | h � � �
5 H � ' r � ` - � � � � � � 1 � F i � � � ; 1 < / M P , � A � 8
3 �
� � U � �
� � �
� � Y � � 7 Q � j } � � w � �
�
\ d
| � � ~ � � � - � � � � , � � � E � � � . � �
� � �
�
7 6 � � [ � 8 !
� g � ]
� & $ � � � m M 4 �
� w � � � � Y g y � � � � e � � i
4 � � v � � L � � u � e F � o � � l f � � �
� � � � � { �
M E q � R
a t 2 � 0 � �
�
� � � � � 3 � � � { � � � ` " � � �
� �
� � � � ? �
� � � 9
� " � � ` V % � C ] � � `
~ 8 � ^ '
�
d � � L �
" � � � � =
� = � ' � � O � S � . K a
h " � � � � �
s i � � �
�
V
f f i � � � j Y o � � � + � 9 n
� i A � ] O � ) � z � z # n !
� l t � * | K � � � � �
[ � � � � J
�
C �
� � 1 K �
Y ( � � V � c � A w
K � � � �
v 3 V � " � b �
�
P � � � � I : � � � � " � �
� @ s � � 1 � �
Z P T � j � � B � � r
9 � � � � X ^ <
�
� �
=
�
� q � : Y | � o k � � . O � � � � | 8
� g
� � � � W
� � o � � g W � � � 0 � � � � j � � = � � � � � � 3 � � * � � .
! �
E � 8 R � � l �
� k W � J 1 + � �
W
[ � � � t
� A z [ � � & � N � � ! � D
�
| � � � � !
G � � � � Y � � � � � � f � � �
{ � � � ' * � Q � � � _
4 � @ � � �
�
6 � � x
� � l � � q � � � � C
T
? �
z e
� � T � m � �
� � � � _ � t � � � � � � � 4
� �
l
� \ . � �
� � Q a �
~ c > � K : F � � � d � % � Z
] � �
Z �
{ ^ � � � � � P _ u [ o W 1 * � ] � � ^ K p � � � � � g l = �
� � Q U % �
� � �
� � ( �
� � � P �
V �
� G � 4 � h � � V �
c � � � � $ } �
� � � � � [ | � � m � N 1 m � Q
� � � G / � ` � ~ r � � � j t > / �
�
�
r 3 � � � B � � �
{ < � � 6 � ] �
X � ! � � � �
U � � H F � � � � � �
7 = � � � ; � � � * C � � � { � " u X � � � � U ; z � � Q �
w j � � 8 � � , �
� { @
�
X w � � � o T i U
d 5 ^ � � � ( - � 9 �
� F � � 7 � � � � �
� @ P � 5 � �
� � s � � � k Q
u : � ' m � �
< � ? � ` ~ b � � = ~ � � �
[ > � � :
� � S � � ] _ �
�
y ] G � � � �
% � � � � 1 C � � v j
y S � 2 z � � �
� S U � � $ g
� � � � L � O
� t * +
� � d �
� �
� � � C � �
� A
� � ! � 6 ^
b ! � � �
� U � 5 � � � � I � � W G � � y
� � � + � b
� X 6 % s � � 6 � U a ( J � � � 1 �
�
g @ � � � � � Q � � � � Z � & ]
a : � � v
1 �
h � � G e � � � � B �
O � � n �
� � � � � ( � � � � � @
� � o � G � � 0 Y
�
G �
� [ r
:
w } $ i M � H � ; � � / g �
} o � E
� �
D _ * = � � p � � � W � � � � � � ;
[ f � h > � � d �
� � D l � ; ? � � � - / � 6 �
w �
� � f V
; - � @ � V 6 b � 5 � a � � � O .
r
3 M b b $ d � � �
� 7 � $ H
� � S � � � � � � $
V � x ' � � S � � 0 %
- � � � # � [ �
� � $ �
� v g , � � R W m v H �
� � � 5 � t
� � ! J 8 M c
% � 1 \ �
5 � y � � � � � � ~ * � � ` � � � � � � � � + � �
� P � x y n � � � ` 3 a L [ �
�
u � *
� �
� J � � r � � � � � : � H f � � { � - / � �
� _ I � � �
� � ! y
� h
�
b � � o
g � W � s � � I \ � 0
� � � u � k � � ? � x � ? ' ?
� � � � � 2 ` / � � H � � [ �
� ) N >
� R m [
� � $ � i n Q # y �
� 8 X � p d
. � x g � � � z � � � N � � p � O 3 y � � s
Z � , c < � �
j �
� � � � � � f
k u � � � � u �
� � j
� & �
� L � � � � T 9 s I � ~ $ $ � � a 6
� � M � x 0 #
� � � W � p F � �
� ? I X
� F R �
S j � 6 � � q A � � 5 % � � � 9 � W � � n } � � I �
Z z _
} #
� 5 � � � � < � � � � � � c � � �
� j
� G
� � � � � � � L �
c � m � +
s M � \ w � � 6 ? 4 � � ; % � � � � } ` 3 � v & � o < � V �
� � � � � � u
�
P � 3 � % � 0 s � \ � S
X � � o
� | t f A � �
? R � � � � . � � ^ �
� �
S � c � � � � � � C % &
� � �
F � 2 �
O I y � # � � � � � � �
� F
� � � "
� ( E �
q �
) u
n X x � � q l � � � J � 1 � � � M
@ � T <
�
q � w D ! � �
� :
� � � � � � � � 3 O ? * � �
{ & ^ o 4 � e � ^ �
� I \ �
� E } Y T � � � � � � F > � � K � 8
! �
& | � �
k � � L � � � w � M < � �
n B f
| x
� + � � G � � a 9 � � % � �
� � � b
Z
+ � � � H � � � j � ` � � 3 X
� � , � f . � C �
" . � �
� � � K � � U � � � � y � K |
O H E � �
l 5
M � � 9 � � k �
* i � Y N
� � s � O � � � � � � � � � � � 8 � � T � � �
� = � � � � S � � �
� �
� �
�
� � � I
C � � / n � 2 � � b u � � c � .
� � �
� � Y I � p � I W
j
� J | � � �
� �
z �
q � ` "
: � � � r �
w � � x ( I C � �
� � H � � � � � _ U �
@ : �
" �
# N
� � � Q � �
� � � ; % � ^ k � � t � < p 1
6
� � � E � Q ) B �
� o � l � � V G 0 N Z � : r � 2
&
D � , �
� ,
�
' � J
�
^ " $
I L � � Q � � � � � ( � c 7 P � � � q
9 - � z � � � 4 ~ U _ � * � � 4 � � A � �
�
� 0 C � � � $ l � r \
� ~ W � � � � � � . � S � � d
� � p � � � g � � # � R # C *
� � � � 0
�
� � � H
�
�
� p � � 7 � G
� � � � � � � � _ w Q ) � � 9
� � -
8 � ) 6 B L
) � [ �
�
m � � V � � l �
1 & R � & � � B � � + �
�
> � & � u � R T ( � ] � , m � > j � � ! S = � � � ! � � G � C
� � � z R | � � � E
� � � i
� � � 1 f � f � $ � h � � � � L , E s � � � q � ` Z �
� � � m
� � � � R � } �
� �
e � � > . � 4 W � p
z
� � x z � k
+ � � � k � �
� � � �
E � �
� & r � c T X �
9 h
� � � � @ � � � P � A � J � h \ 0 � 8 } n 1
� & � � � �
/ 3 � � G �
R �
K
] 7 I O � �
� � 0
� i _ | � = H
� >
g F ! u � � � P � � ] < y �
�
> � � � � : � I
0 X k � � Y �
� \ � � �
� + �
� �
� � � � i
� F g } N � �
| S � � � 2 � 2
� ( � i � � P
� � � � � � N { � � } � � � �
� J � ` q � � � �
Q � � 7
c � � & + Z � - a J �
{ F � � � � �
^ � = �
�
� � � � � ? � 6 �
R
� D � � � � \ L { ` � � � � � � � � � : � � `
t J v � � � " q 4
� � i # � )
�
� � ? � Z G 7 - ' � � s �
� � �
A y 4 c � � � K w D
� � � $
b � ( � � � F
� � � ) L r � � � � � � � T � � � b
� � c
� � � � v r � j
� � � �
' � � $ �
� � � � � � % � *
� 8 x � � � R ^
� � 2 '
b � �
+ u 7
9 5 # C m � : V s � � < � 0 '
� � � � � � �
& # � A h
� � � ] z e � |
f o � � d = V n � l �
� Z { o � � �
� �
' - � ] � m : = u �
� E H
" � ; � c � W N
�
� � ' F � * �
P
� � � L � � � �
� � � � �
� � _ � � � � > * 3 } � � �
� " � � �
� � � � � K
m � F
� U
� �
O � b A ) � M
�
S ~
� � - z
� � n � � � � � J � � � K � ^ ;
� h � � � � �
� � 6 y �
� Y � � � E � � y � a � 2 m
� �
7 %
D k
� � o � � � O � � �
�
2 E �
� e � � � 5 � - y
� � � < � �
� e � � � * � � � > _ � b T f � �
� � � � � x � � D � � m ( � � _ a
� p [ 9 � �
D �
� �
�
4 � J � � � � � t �
M l ) � 2 � ) � p � �
} � }
� � �
�
@ ^ � �
� n
� I H � � R � � � � � � � � � � � �
S T � L � � �
� H �
s � l \ ^ � N � � O E � P m < < � - � . / M � �
� � �
�
) * � � G � �
1 < � B
� � q
� � � � � � Y # v � � � � � � �
� ` � T � � K w � R Y c � � \
� � � � � � . ; ( � � � � � � � : � � �
� A w � p
� � @ � � 0 �
� c u C /
� B ?
h � i ( � d h � � � 7 � � � � � e � � � ^ }
� R k N s � � n
� Y
�
� u � , B w j J � 0 � � � [
$ � � �
� 7 r ] � t 2 : � _ N �
H ' �
� � � � (
A � � � �
� � y t d � g � n l a � O � � �
' � x t
� � a � �
� � B �
} � | �
J � � ] � v
? � C � = � ) r � �
� � � O
[ � 3
� � 5
U � i S
� �
d � � _ X � �
� � e � � � � o D � % _ , � � x � B " � p � � ; �
� = e
Q � �
�
� ~ / g � � u � � � � } k < � � � � � � V W �
D
� �
� � 5 � � � < � 9 8 � �
� �
�
�
� �
� � x �
� k � � � � M � � � �
� # v � i � � 4 + � �
B � � 6 � � ; �
� � ! F 4 � � � �
e 5 � � � � X \ k i G � A � � � k � z @ = ' � � h � � ~ � ' � N � ( � � � � W p z s g $ P B ? @ �
! n � �
( � Z � B � � � � ~ > / � 8 G M
� # � � E 9 � v 5 � � � / -
� � q A � � � Z � � d D � � { � �
4 � 9 X � � � � �
� � � �
j � �
� � h I J � �
M �
� � � � Q � �
�
D ; � L b F + L e � � � # � ] P � � j f � � � � � �
� � �
� � > � q � � X � 2 8 U � q N � \ �
� ? " B � ^ � � �
� � ; � � � � � � z � K �
A
O �
� � � � � \ � � 1 # t � � � Q � � � N �
\ � � {
� � � K � � x g � )
. � � � � � � � � � , � �
� � � [ + � � f � � � � � � � � � p
� n � Z � � s � n d � � � � 2 � e � � ~ � � l h � � � �
� � �
� P C � � 5 � T
� � R U e ~ � q p ~ � �
EXAMPLES:
Examples:
Find all IPA servers:
ipa server-find
GLOBAL DNS CONFIGURATION
Override this so we can add completed and failed to the return result.
Override this so we can set completed and failed.
Add an automember rule.
Add conditions to an automember rule.
Delete an automember rule.
Display information about an automember rule.
Display information about the default (fallback) automember groups.
Lockout status of a user account
An account may become locked if the password is entered incorrectly too
many times within a specific time period as controlled by password
policy. A locked account is a temporary condition and may be unlocked by
an administrator.
This connects to each IPA master and displays the lockout status on
each one.
To determine whether an account is locked on a given server you need
to compare the number of failed logins and the time of the last failure.
For an account to be locked it must exceed the maxfail failures within
the failinterval duration as specified in the password policy associated
with the user.
The failed login counter is modified only when a user attempts a log in
so it is possible that an account may appear locked but the last failed
login attempt is older than the lockouttime of the password policy. This
means that the user may attempt a login again.
Modify a trust (for future use).
Currently only the default option to modify the LDAP attributes is
available. More specific options will be added in coming releases.
Modify an automember rule.
Modify realm domains
DNS check: When manually adding a domain to the list, a DNS check is
performed by default. It ensures that the domain is associated with
the IPA realm, by checking whether the domain has a _kerberos TXT record
containing the IPA realm name. This check can be skipped by specifying
--force option.
Removal: when a realm domain which has a matching DNS zone managed by
IPA is being removed, a corresponding _kerberos TXT record in the zone is
removed automatically as well. Other records in the zone or the zone
itself are not affected.
Remove conditions from an automember rule.
Remove default (fallback) group for all unmatched entries.
Search for automember rules.
Search for orphan automember rules. The command might need to be run as
a privileged user user to get all orphan rules.
Search for users matching the provided certificate.
This command relies on SSSD to retrieve the list of matching users and
may return cached data. For more information on purging SSSD cache,
please refer to sss_cache documentation.
Set default (fallback) group for all unmatched entries.
Unlock a user account
An account may become locked if the password is entered incorrectly too
many times within a specific time period as controlled by password
policy. A locked account is a temporary condition and may be unlocked by
an administrator.
Vault Container object.
Vault object.
This is the equivalent of:
ipa dnszone-mod example.com --dynamic-update=TRUE \
--update-policy="grant EXAMPLE.COM krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM krb5-self * SSHFP;"
Add location:
ipa location-add location --description 'My location'
Add topology segment to 'ca' suffix:
ipa topologysegment-add ca --left IPA_SERVER_A --right IPA_SERVER_B
Add topology segment to 'domain' suffix:
ipa topologysegment-add domain --left IPA_SERVER_A --right IPA_SERVER_B
Delete location:
ipa location-del location
Delete topology segment in 'ca' suffix:
ipa topologysegment-del ca segment_name
Delete topology segment in 'domain' suffix:
ipa topologysegment-del domain segment_name
Find all locations:
ipa location-find
Find all servers:
ipa server-find
Find all suffixes:
ipa topologysuffix-find
List all topology segments in 'ca' suffix:
ipa topologysegment-find ca
List all topology segments in 'domain' suffix:
ipa topologysegment-find domain
Show configuration of a specific DNS server:
ipa dnsserver-show
Show implicit IPA master role:
ipa server-role-find --include-master
Show specific location:
ipa location-show location
Show specific server:
ipa server-show ipa.example.com
Show status of 'DNS server' role on a server:
ipa server-role-show ipa.example.com "DNS server"
Show status of all configured roles on a server:
ipa server-role-find ipa.example.com
Show status of all roles containing 'AD' on a server:
ipa server-role-find --server ipa.example.com --role="AD trust controller"
Update configuration of a specific DNS server:
ipa dnsserver-mod
Verify topology of 'ca' suffix:
ipa topologysuffix-verify ca
Verify topology of 'domain' suffix:
ipa topologysuffix-verify domain
Add LOC record for example.com:
ipa dnsrecord-add example.com @ --loc-rec="49 11 42.4 N 16 36 29.6 E 227.64m"
Add a condition to the rule:
ipa automember-add-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
ipa automember-add-condition --key=manager --type=group --inclusive-regex=^uid=mscott devel
Add a host that can manage this host's keytab and certificate:
ipa host-add-managedby --hosts=test2 test
Add a host to the rule:
ipa sudorule-add-host readfiles --hosts server.example.com
Add a host:
ipa host-add web1.example.com
Add a mail server for example.com:
ipa dnsrecord-add example.com @ --mx-rec="10 mail1"
Add a new host with a one-time password:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com
Add a new host with a random one-time password:
ipa host-add --os='Fedora 12' --random test.example.com
Add a new host:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com
Add a new server:
ipa radiusproxy-add MyRADIUS --server=radius.example.com:1812
Add a new token:
ipa otptoken-add --type=totp --owner=jdoe --desc="My soft token"
Add a new token:
ipa otptoken-add-yubikey --owner=jdoe --desc="My YubiKey"
Add a permission that grants the ability to manage group membership:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"
Add a permission that grants the creation of users:
ipa permission-add --type=user --permissions=add "Add Users"
Add a special Sudo rule for default Sudo server configuration:
ipa sudorule-add defaults
Add a standard vault:
ipa vault-add <name>
[--user <user>|--service <service>|--shared]
--type standard
Add a symmetric vault:
ipa vault-add <name>
[--user <user>|--service <service>|--shared]
--type symmetric --password-file password.txt
Add a user to the rule:
ipa sudorule-add-user readfiles --users jsmith
Add a user:
ipa user-add --first=Tim --last=User --password tuser1 --manager=mscott
Add an asymmetric vault:
ipa vault-add <name>
[--user <user>|--service <service>|--shared]
--type asymmetric --public-key-file public.pem
Add an exclusive condition to the rule to prevent auto assignment:
ipa automember-add-condition --key=fqdn --type=hostgroup --exclusive-regex=^web5\.example\.com webservers
Add another record using MX record specific options:
ipa dnsrecord-add example.com @ --mx-preference=20 --mx-exchanger=mail2
Add another record using interactive mode (started when dnsrecord-add, dnsrecord-mod,
or dnsrecord-del are executed with no options):
ipa dnsrecord-add example.com @
Please choose a type of DNS resource record to be added
The most common types for this type of zone are: NS, MX, LOC
DNS resource record type: MX
MX Preference: 30
MX Exchanger: mail3
Record name: example.com
MX record: 10 mail1, 20 mail2, 30 mail3
NS record: nameserver.example.com., nameserver2.example.com.
Add new A record for www.example.com. Create a reverse record in appropriate
reverse zone as well. In this case a PTR record "2" pointing to www.example.com
will be created in zone 2.0.192.in-addr.arpa.
ipa dnsrecord-add example.com www --a-rec=192.0.2.2 --a-create-reverse
Add new PTR record for www.example.com
ipa dnsrecord-add 2.0.192.in-addr.arpa. 2 --ptr-rec=www.example.com.
Add new SRV records for LDAP servers. Three quarters of the requests
should go to fast.example.com, one quarter to slow.example.com. If neither
is available, switch to backup.example.com.
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 3 389 fast.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 1 389 slow.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="1 1 389 backup.example.com"
Add new reverse zone specified by network IP address:
ipa dnszone-add --name-from-ip=192.0.2.0/24
Add new zone:
ipa dnszone-add example.com --admin-email=admin@example.com
Add second nameserver for example.com:
ipa dnsrecord-add example.com @ --ns-rec=nameserver2.example.com
Add sudo command object and add it as allowed command in the rule:
ipa sudocmd-add /usr/bin/less
ipa sudorule-add-allow-command readfiles --sudocmds /usr/bin/less
Add system permission that can be used for per-zone privilege delegation:
ipa dnszone-add-permission example.com
Add the initial group or hostgroup:
ipa hostgroup-add --desc="Web Servers" webservers
ipa group-add --desc="Developers" devel
Add the initial rule:
ipa automember-add --type=hostgroup webservers
ipa automember-add --type=group devel
Add vault members:
ipa vault-add-member <name>
[--user <user>|--service <service>|--shared]
[--users <users>] [--groups <groups>] [--services <services>]
Add vault owners:
ipa vault-add-owner <name>
[--user <user>|--service <service>|--shared]
[--users <users>] [--groups <groups>] [--services <services>]
After this modification, three fifths of the requests should go to
fast.example.com and two fifths to slow.example.com.
Allow user to create a keytab:
ipa host-allow-create-keytab test2 --users=tuser1
Allow user to create a keytab:
ipa service-allow-create-keytab HTTP/web.example.com --users=tuser1
An example of the interactive mode for dnsrecord-del command:
ipa dnsrecord-del example.com www
No option to delete specific record provided.
Delete all? Yes/No (default No): (do not delete all records)
Current DNS record contents:
A record: 192.0.2.2, 192.0.2.3
Delete A record '192.0.2.2'? Yes/No (default No):
Delete A record '192.0.2.3'? Yes/No (default No): y
Record name: www
A record: 192.0.2.2 (A record 192.0.2.3 has been deleted)
Archive data into asymmetric vault:
ipa vault-archive <name>
[--user <user>|--service <service>|--shared]
--in <input file>
Archive data into standard vault:
ipa vault-archive <name>
[--user <user>|--service <service>|--shared]
--in <input file>
Archive data into symmetric vault:
ipa vault-archive <name>
[--user <user>|--service <service>|--shared]
--in <input file>
--password-file password.txt
Change forward-policy for external.example.com:
ipa dnsforwardzone-mod external.example.com --forward-policy=only
Change the secret:
ipa radiusproxy-mod MyRADIUS --secret
Change the vendor:
ipa otptoken-mod a93db710-a31a-4639-8647-f15b2c70b78a --vendor="Red Hat"
Check the status of a signing request:
ipa cert-status 10
Create a new Certificate Identity Mapping Rule:
ipa certmaprule-add rule1 --desc="Link certificate with subject and issuer"
Create a new rule:
ipa sudorule-add readfiles
Delegate zone sub.example to another nameserver:
ipa dnsrecord-add example.com ns.sub --a-rec=203.0.113.1
ipa dnsrecord-add example.com sub --ns-rec=ns.sub.example.com.
Delete a Certificate Identity Mapping Rule:
ipa certmaprule-del rule1
Delete a configuration:
ipa radiusproxy-del MyRADIUS
Delete a host:
ipa host-del test.example.com
Delete a token:
ipa otptoken-del a93db710-a31a-4639-8647-f15b2c70b78a
Delete a vault:
ipa vault-del <name>
[--user <user>|--service <service>|--shared]
Delete an automember rule:
ipa automember-del --type=hostgroup webservers
ipa automember-del --type=group devel
Delete forward zone external.example.com:
ipa dnsforwardzone-del external.example.com
Delete previously added nameserver from example.com:
ipa dnsrecord-del example.com @ --ns-rec=nameserver2.example.com.
Delete vault members:
ipa vault-remove-member <name>
[--user <user>|--service <service>|--shared]
[--users <users>] [--groups <groups>] [--services <services>]
Delete vault owners:
ipa vault-remove-owner <name>
[--user <user>|--service <service>|--shared]
[--users <users>] [--groups <groups>] [--services <services>]
Delete zone example.com with all resource records:
ipa dnszone-del example.com
Disable a Certificate Identity Mapping Rule:
ipa certmaprule-disable rule1
Disable global forwarding for given sub-tree:
ipa dnszone-mod example.com --forward-policy=none
Disable the host Kerberos key, SSL certificate and all of its services:
ipa host-disable test.example.com
Display a automember rule:
ipa automember-show --type=hostgroup webservers
ipa automember-show --type=group devel
Display information about a Certificate Identity Mapping Rule:
ipa certmaprule-show rule1
Display the Certificate Identity Mapping global configuration:
ipa certmapconfig-show
Display vault configuration:
ipa vaultconfig-show
Enable a Certificate Identity Mapping Rule:
ipa certmaprule-enable rule1
Examine a certificate:
ipa cert-find --file=cert.pem --all
Examine the configuration:
ipa radiusproxy-show MyRADIUS
Examine the token:
ipa otptoken-show a93db710-a31a-4639-8647-f15b2c70b78a
Find A records with value 192.0.2.2 in zone example.com
ipa dnsrecord-find example.com --a-rec=192.0.2.2
Find all Certificate Identity Mapping Rules with the specified domain:
ipa certmaprule-find --domain example.com
Find all of the automember rules:
ipa automember-find
Find all of the orphan automember rules:
ipa automember-find-orphans --type=hostgroup
Find all of the orphan automember rules and remove them:
ipa automember-find-orphans --type=hostgroup --remove
Find all servers whose entries include the string "example.com":
ipa radiusproxy-find example.com
Find records for resources with "www" in their name in zone example.com:
ipa dnsrecord-find example.com www
Find user-find parameters:
ipa param-find user-find
Find zone with "example" in its domain name:
ipa dnszone-find example
Forward all requests for the zone external.example.com to another forwarder
using a "first" policy (it will send the queries to the selected forwarder
and if not answered it will use global root servers):
ipa dnsforwardzone-add external.example.com --forward-policy=first \
--forwarder=203.0.113.1
Generate and retrieve a keytab for an IPA service:
ipa-getkeytab -s ipa.example.com -p HTTP/web.example.com -k /etc/httpd/httpd.keytab
If a global forwarder is configured, all queries for which this server is not
authoritative (e.g. sub.example.com) will be routed to the global forwarder.
Global forwarding configuration can be overridden per-zone.
List all forward zones:
ipa dnsforwardzone-find
List vaults:
ipa vault-find
[--user <user>|--service <service>|--shared]
Modify Certificate Identity Mapping global configuration:
ipa certmapconfig-mod --promptusername=TRUE
Modify a Certificate Identity Mapping Rule:
ipa certmaprule-mod rule1 --maprule="<ALT-SEC-ID-I-S:altSecurityIdentities>"
Modify asymmetric vault keys:
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--private-key-file <old private key file>
--public-key-file <new public key file>
Modify global DNS configuration and set a list of global forwarders:
ipa dnsconfig-mod --forwarder=203.0.113.113
Modify information about a host:
ipa host-mod --os='Fedora 12' test.example.com
Modify symmetric vault password:
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--change-password
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--old-password <old password>
--new-password <new password>
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--old-password-file <old password file>
--new-password-file <new password file>
Modify the automember rule:
ipa automember-mod
Modify the zone to allow dynamic updates for hosts own records in realm EXAMPLE.COM:
ipa dnszone-mod example.com --dynamic-update=TRUE
Modify the zone to allow zone transfers for local network only:
ipa dnszone-mod example.com --allow-transfer=192.0.2.0/24
Modify vault description:
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--desc <description>
Modify vault type:
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--type <type>
[old password/private key]
[new password/public key]
Rebuild membership for all hosts:
ipa automember-rebuild --type=hostgroup
Rebuild membership for all users:
ipa automember-rebuild --type=group
Rebuild membership for specified hosts:
ipa automember-rebuild --hosts=web1.example.com --hosts=web2.example.com
Rebuild membership for specified users:
ipa automember-rebuild --users=tuser1 --users=tuser2
Remove SSH public keys of a host and update DNS to reflect this change:
ipa host-mod --sshpubkey= --updatedns test.example.com
Remove a certificate from revocation hold status:
ipa cert-remove-hold 1032
Remove a condition from the rule:
ipa automember-remove-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
Remove the default (fallback) target group:
ipa automember-default-group-remove --type=hostgroup
ipa automember-default-group-remove --type=group
Request a new certificate and add the principal:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr
Resolve a host name to see if it exists (will add default IPA domain
if one is not included):
ipa dns-resolve www.example.com
ipa dns-resolve www
Retrieve an existing certificate:
ipa cert-show 1032
Retrieve data from asymmetric vault:
ipa vault-retrieve <name>
[--user <user>|--service <service>|--shared]
--out <output file> --private-key-file private.pem
Retrieve data from standard vault:
ipa vault-retrieve <name>
[--user <user>|--service <service>|--shared]
--out <output file>
Retrieve data from symmetric vault:
ipa vault-retrieve <name>
[--user <user>|--service <service>|--shared]
--out <output file>
--password-file password.txt
Revoke a certificate (see RFC 5280 for reason details):
ipa cert-revoke --revocation-reason=6 1032
Search for certificates based on issuance date
ipa cert-find --issuedon-from=2013-02-01 --issuedon-to=2013-02-07
Search for certificates by hostname:
ipa cert-find --subject=ipaserver.example.com
Search for certificates owned by a specific user:
ipa cert-find --user=user
Search for revoked certificates by reason:
ipa cert-find --revocation-reason=5
Semantics of forwarding in IPA matches BIND semantics and depends on the type
of zone:
* Master zone: local BIND replies authoritatively to queries for data in
the given zone (including authoritative NXDOMAIN answers) and forwarding
affects only queries for names below zone cuts (NS records) of locally
served zones.
* Forward zone: forward zone contains no authoritative data. BIND forwards
queries, which cannot be answered from its local cache, to configured
forwarders.
Semantics of the --forward-policy option:
* none - disable forwarding for the given zone.
* first - forward all queries to configured forwarders. If they fail,
do resolution using DNS root servers.
* only - forward all queries to configured forwarders and if they fail,
return failure.
Set SELinux type and role transitions on a rule:
ipa sudorule-add-option sysadmin_sudo --sudooption type=unconfined_t
ipa sudorule-add-option sysadmin_sudo --sudooption role=unconfined_r
Set a default Sudo option:
ipa sudorule-add-option defaults --sudooption '!authenticate'
Set the default (fallback) target group:
ipa automember-default-group-set --default-group=webservers --type=hostgroup
ipa automember-default-group-set --default-group=ipausers --type=group
Show a vault:
ipa vault-show <name>
[--user <user>|--service <service>|--shared]
Show forward zone external.example.com:
ipa dnsforwardzone-show external.example.com
Show global DNS configuration:
ipa dnsconfig-show
Show records for resource www in zone example.com
ipa dnsrecord-show example.com www
Show the default (fallback) target group:
ipa automember-default-group-show --type=hostgroup
ipa automember-default-group-show --type=group
Show user-find details:
ipa command-show user-find
Show zone example.com:
ipa dnszone-show example.com
The interactive mode can be used for easy modification:
ipa dnsrecord-mod example.com _ldap._tcp
No option to modify specific record provided.
Current DNS record contents:
SRV record: 0 3 389 fast.example.com, 0 1 389 slow.example.com, 1 1 389 backup.example.com
Modify SRV record '0 3 389 fast.example.com'? Yes/No (default No):
Modify SRV record '0 1 389 slow.example.com'? Yes/No (default No): y
SRV Priority [0]: (keep the default value)
SRV Weight [1]: 2 (modified value)
SRV Port [389]: (keep the default value)
SRV Target [slow.example.com]: (keep the default value)
1 SRV record skipped. Only one value per DNS record type can be modified at one time.
Record name: _ldap._tcp
SRV record: 0 3 389 fast.example.com, 1 1 389 backup.example.com, 0 2 389 slow.example.com
This configuration forwards all queries for names outside the example.com
sub-tree to global forwarders. Normal recursive resolution process is used
for names inside the example.com sub-tree (i.e. NS records are followed etc.).
Verify automembership:
ipa hostgroup-show webservers
Host-group: webservers
Description: Web Servers
Member hosts: web1.example.com
ipa group-show devel
Group name: devel
Description: Developers
GID: 1004200000
Member users: tuser
Verify that a certificate is owned by a specific user:
ipa cert-find --file=cert.pem --user=user
* A permission grants access to read, write, add, delete, read, search,
or compare.
* A privilege combines similar permissions (for example all the permissions
needed to add a user).
* A role grants a set of privileges to users, groups, hosts or hostgroups.
* The host must exist
* The service must exist (or you use the --add option to automatically add it)
A certificate is stored with a service principal and a service principal
needs a host.
A condition is a regular expression used by 389-ds to match a new incoming
entry with an automember rule. If it matches an inclusive rule then the
entry is added to the appropriate group or hostgroup.
A default group or hostgroup could be specified for entries that do not
match any rule. In case of user entries this group will be a fallback group
because all users are by default members of group specified in IPA config.
A permission enables fine-grained delegation of rights. A permission is
a human-readable wrapper around a 389-ds Access Control Rule,
or instruction (ACI).
A permission grants the right to perform a specific task such as adding a
user, modifying a group, etc.
A permission is made up of a number of different parts:
1. The name of the permission.
2. The target of the permission.
3. The rights granted by the permission.
A permission may not contain other permissions.
A rule is directly associated with a group by name, so you cannot create
a rule without an accompanying group or hostgroup.
API Schema
Add new ID range.
To add a new ID range you always have to specify
--base-id
--range-size
Additionally
--rid-base
--secondary-rid-base
may be given for a new ID range for the local domain while
--rid-bas
--dom-sid
must be given to add a new range for a trusted AD domain.
WARNING:
DNA plugin in 389-ds will allocate IDs based on the ranges configured for the
local domain. Currently the DNA plugin *cannot* be reconfigured itself based
on the local ranges set via this family of commands.
Manual configuration change has to be done in the DNA plugin configuration for
the new local range. Specifically, The dnaNextRange attribute of 'cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config' has to be
modified to match the new range.
Add new ID range.
To add a new ID range you always have to specify
--base-id
--range-size
Additionally
--rid-base
--secondary-rid-base
may be given for a new ID range for the local domain while
--rid-base
--dom-sid
must be given to add a new range for a trusted AD domain.
WARNING:
DNA plugin in 389-ds will allocate IDs based on the ranges configured for the
local domain. Currently the DNA plugin *cannot* be reconfigured itself based
on the local ranges set via this family of commands.
Manual configuration change has to be done in the DNA plugin configuration for
the new local range. Specifically, The dnaNextRange attribute of 'cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config' has to be
modified to match the new range.
Add new ID range.
To add a new ID range you always have to specify
--base-id
--range-size
Additionally
--rid-base
--secondary-rid-base
may be given for a new ID range for the local domain while
--rid-base
--dom-sid
must be given to add a new range for a trusted AD domain.
=======
WARNING:
DNA plugin in 389-ds will allocate IDs based on the ranges configured for the
local domain. Currently the DNA plugin *cannot* be reconfigured itself based
on the local ranges set via this family of commands.
Manual configuration change has to be done in the DNA plugin configuration for
the new local range. Specifically, The dnaNextRange attribute of 'cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config' has to be
modified to match the new range.
=======
Add new trust to use.
This command establishes trust relationship to another domain
which becomes 'trusted'. As result, users of the trusted domain
may access resources of this domain.
Only trusts to Active Directory domains are supported right now.
The command can be safely run multiple times against the same domain,
this will cause change to trust relationship credentials on both
sides.
Note that if the command was previously run with a specific range type,
or with automatic detection of the range type, and you want to configure a
different range type, you may need to delete first the ID range using
ipa idrange-del before retrying the command with the desired range type.
Add new trust to use.
This command establishes trust relationship to another domain
which becomes 'trusted'. As result, users of the trusted domain
may access resources of this domain.
Only trusts to Active Directory domains are supported right now.
The command can be safely run multiple times against the same domain,
this will cause change to trust relationship credentials on both
sides.
Additionally, there are the following convenience options.
Setting one of these options will set the corresponding attribute(s).
1. type: a type of object (user, group, etc); sets subtree and target filter.
2. memberof: apply to members of a group; sets target filter
3. targetgroup: grant access to modify a specific group (such as granting
the rights to manage group membership); sets target.
Agreements are represented by topology segments. By default topology segment
represents 2 replication agreements - one for each direction, e.g., A to B and
B to A. Creation of unidirectional segments is not allowed.
All CAs except the 'IPA' CA can be disabled or re-enabled. Disabling a CA
prevents it from issuing certificates but does not affect the validity of its
certificate.
An order can be added to a sudorule to control the order in which they
are evaluated (if the client supports it). This order is an integer and
must be unique.
Asymmetric vault is similar to the standard vault, but it
pre-encrypts the secret using a public key before transport.
The secret can only be retrieved using the private key.
Auto Membership Rule.
Auto Membership Rule.
Bring clarity to the membership of hosts and users by configuring inclusive
or exclusive regex patterns, you can automatically assign a new entries into
a group or hostgroup based upon attribute information.
A rule is directly associated with a group by name, so you cannot create
a rule without an accompanying group or hostgroup.
A condition is a regular expression used by 389-ds to match a new incoming
entry with an automember rule. If it matches an inclusive rule then the
entry is added to the appropriate group or hostgroup.
A default group or hostgroup could be specified for entries that do not
match any rule. In case of user entries this group will be a fallback group
because all users are by default members of group specified in IPA config.
EXAMPLES:
Add the initial group or hostgroup:
ipa hostgroup-add --desc="Web Servers" webservers
ipa group-add --desc="Developers" devel
Add the initial rule:
ipa automember-add --type=hostgroup webservers
ipa automember-add --type=group devel
Add a condition to the rule:
ipa automember-add-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
ipa automember-add-condition --key=manager --type=group --inclusive-regex=^uid=mscott devel
Add an exclusive condition to the rule to prevent auto assignment:
ipa automember-add-condition --key=fqdn --type=hostgroup --exclusive-regex=^web5\.example\.com webservers
Add a host:
ipa host-add web1.example.com
Add a user:
ipa user-add --first=Tim --last=User --password tuser1 --manager=mscott
Verify automembership:
ipa hostgroup-show webservers
Host-group: webservers
Description: Web Servers
Member hosts: web1.example.com
ipa group-show devel
Group name: devel
Description: Developers
GID: 1004200000
Member users: tuser
Remove a condition from the rule:
ipa automember-remove-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
Modify the automember rule:
ipa automember-mod
Set the default (fallback) target group:
ipa automember-default-group-set --default-group=webservers --type=hostgroup
ipa automember-default-group-set --default-group=ipausers --type=group
Remove the default (fallback) target group:
ipa automember-default-group-remove --type=hostgroup
ipa automember-default-group-remove --type=group
Show the default (fallback) target group:
ipa automember-default-group-show --type=hostgroup
ipa automember-default-group-show --type=group
Find all of the automember rules:
ipa automember-find
Display a automember rule:
ipa automember-show --type=hostgroup webservers
ipa automember-show --type=group devel
Delete an automember rule:
ipa automember-del --type=hostgroup webservers
ipa automember-del --type=group devel
Auto Membership Rule.
Bring clarity to the membership of hosts and users by configuring inclusive
or exclusive regex patterns, you can automatically assign a new entries into
a group or hostgroup based upon attribute information.
A rule is directly associated with a group by name, so you cannot create
a rule without an accompanying group or hostgroup.
A condition is a regular expression used by 389-ds to match a new incoming
entry with an automember rule. If it matches an inclusive rule then the
entry is added to the appropriate group or hostgroup.
A default group or hostgroup could be specified for entries that do not
match any rule. In case of user entries this group will be a fallback group
because all users are by default members of group specified in IPA config.
The automember-rebuild command can be used to retroactively run automember rules
against existing entries, thus rebuilding their membership.
EXAMPLES:
Add the initial group or hostgroup:
ipa hostgroup-add --desc="Web Servers" webservers
ipa group-add --desc="Developers" devel
Add the initial rule:
ipa automember-add --type=hostgroup webservers
ipa automember-add --type=group devel
Add a condition to the rule:
ipa automember-add-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
ipa automember-add-condition --key=manager --type=group --inclusive-regex=^uid=mscott devel
Add an exclusive condition to the rule to prevent auto assignment:
ipa automember-add-condition --key=fqdn --type=hostgroup --exclusive-regex=^web5\.example\.com webservers
Add a host:
ipa host-add web1.example.com
Add a user:
ipa user-add --first=Tim --last=User --password tuser1 --manager=mscott
Verify automembership:
ipa hostgroup-show webservers
Host-group: webservers
Description: Web Servers
Member hosts: web1.example.com
ipa group-show devel
Group name: devel
Description: Developers
GID: 1004200000
Member users: tuser
Remove a condition from the rule:
ipa automember-remove-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
Modify the automember rule:
ipa automember-mod
Set the default (fallback) target group:
ipa automember-default-group-set --default-group=webservers --type=hostgroup
ipa automember-default-group-set --default-group=ipausers --type=group
Remove the default (fallback) target group:
ipa automember-default-group-remove --type=hostgroup
ipa automember-default-group-remove --type=group
Show the default (fallback) target group:
ipa automember-default-group-show --type=hostgroup
ipa automember-default-group-show --type=group
Find all of the automember rules:
ipa automember-find
Display a automember rule:
ipa automember-show --type=hostgroup webservers
ipa automember-show --type=group devel
Delete an automember rule:
ipa automember-del --type=hostgroup webservers
ipa automember-del --type=group devel
Rebuild membership for all users:
ipa automember-rebuild --type=group
Rebuild membership for all hosts:
ipa automember-rebuild --type=hostgroup
Rebuild membership for specified users:
ipa automember-rebuild --users=tuser1 --users=tuser2
Rebuild membership for specified hosts:
ipa automember-rebuild --hosts=web1.example.com --hosts=web2.example.com
Automount
Stores automount(8) configuration for autofs(8) in IPA.
The base of an automount configuration is the configuration file auto.master.
This is also the base location in IPA. Multiple auto.master configurations
can be stored in separate locations. A location is implementation-specific
with the default being a location named 'default'. For example, you can have
locations by geographic region, by floor, by type, etc.
Automount has three basic object types: locations, maps and keys.
A location defines a set of maps anchored in auto.master. This allows you
to store multiple automount configurations. A location in itself isn't
very interesting, it is just a point to start a new automount map.
A map is roughly equivalent to a discrete automount file and provides
storage for keys.
A key is a mount point associated with a map.
When a new location is created, two maps are automatically created for
it: auto.master and auto.direct. auto.master is the root map for all
automount maps for the location. auto.direct is the default map for
direct mounts and is mounted on /-.
An automount map may contain a submount key. This key defines a mount
location within the map that references another map. This can be done
either using automountmap-add-indirect --parentmap or manually
with automountkey-add and setting info to "-type=autofs :<mapname>".
EXAMPLES:
Locations:
Create a named location, "Baltimore":
ipa automountlocation-add baltimore
Display the new location:
ipa automountlocation-show baltimore
Find available locations:
ipa automountlocation-find
Remove a named automount location:
ipa automountlocation-del baltimore
Show what the automount maps would look like if they were in the filesystem:
ipa automountlocation-tofiles baltimore
Import an existing configuration into a location:
ipa automountlocation-import baltimore /etc/auto.master
The import will fail if any duplicate entries are found. For
continuous operation where errors are ignored, use the --continue
option.
Maps:
Create a new map, "auto.share":
ipa automountmap-add baltimore auto.share
Display the new map:
ipa automountmap-show baltimore auto.share
Find maps in the location baltimore:
ipa automountmap-find baltimore
Create an indirect map with auto.share as a submount:
ipa automountmap-add-indirect baltimore --parentmap=auto.share --mount=sub auto.man
This is equivalent to:
ipa automountmap-add-indirect baltimore --mount=/man auto.man
ipa automountkey-add baltimore auto.man --key=sub --info="-fstype=autofs ldap:auto.share"
Remove the auto.share map:
ipa automountmap-del baltimore auto.share
Keys:
Create a new key for the auto.share map in location baltimore. This ties
the map we previously created to auto.master:
ipa automountkey-add baltimore auto.master --key=/share --info=auto.share
Create a new key for our auto.share map, an NFS mount for man pages:
ipa automountkey-add baltimore auto.share --key=man --info="-ro,soft,rsize=8192,wsize=8192 ipa.example.com:/shared/man"
Find all keys for the auto.share map:
ipa automountkey-find baltimore auto.share
Find all direct automount keys:
ipa automountkey-find baltimore --key=/-
Remove the man key from the auto.share map:
ipa automountkey-del baltimore auto.share --key=man
Based on the ownership there are three vault categories:
* user/private vault
* service vault
* shared vault
Based on the security mechanism there are three types of
vaults:
* standard vault
* symmetric vault
* asymmetric vault
Baseuser
This contains common definitions for user/stageuser
Bring clarity to the membership of hosts and users by configuring inclusive
or exclusive regex patterns, you can automatically assign a new entries into
a group or hostgroup based upon attribute information.
CAs (all except the 'IPA' CA) can be deleted. Deleting a CA causes its signing
certificate to be revoked and its private key deleted.
CAs are enabled on creation, but their use is subject to CA ACLs unless the
operator has permission to bypass CA ACLs.
Certificate Identity Mapping
Certificate requests exist in the form of a Certificate Signing Request (CSR)
in PEM format.
Certificates may be searched on by certificate subject, serial number,
revocation reason, validity dates and the issued date.
Classes to manage trust joins using DCE-RPC calls
The code in this module relies heavily on samba4-python package
and Samba4 python bindings.
Cross-realm trusts
Manage trust relationship between IPA and Active Directory domains.
In order to allow users from a remote domain to access resources in IPA
domain, trust relationship needs to be established. Currently IPA supports
only trusts between IPA and Active Directory domains under control of Windows
Server 2008 or later, with functional level 2008 or later.
Please note that DNS on both IPA and Active Directory domain sides should be
configured properly to discover each other. Trust relationship relies on
ability to discover special resources in the other domain via DNS records.
Examples:
1. Establish cross-realm trust with Active Directory using AD administrator
credentials:
ipa trust-add --type=ad <ad.domain> --admin <AD domain administrator> --password
2. List all existing trust relationships:
ipa trust-find
3. Show details of the specific trust relationship:
ipa trust-show <ad.domain>
4. Delete existing trust relationship:
ipa trust-del <ad.domain>
Once trust relationship is established, remote users will need to be mapped
to local POSIX groups in order to actually use IPA resources. The mapping should
be done via use of external membership of non-POSIX group and then this group
should be included into one of local POSIX groups.
Example:
1. Create group for the trusted domain admins' mapping and their local POSIX group:
ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins
2. Add security identifier of Domain Admins of the <ad.domain> to the ad_admins_external
group:
ipa group-add-member ad_admins_external --external 'AD\Domain Admins'
3. Allow members of ad_admins_external group to be associated with ad_admins POSIX group:
ipa group-add-member ad_admins --groups ad_admins_external
4. List members of external members of ad_admins_external group to see their SIDs:
ipa group-show ad_admins_external
GLOBAL TRUST CONFIGURATION
When IPA AD trust subpackage is installed and ipa-adtrust-install is run,
a local domain configuration (SID, GUID, NetBIOS name) is generated. These
identifiers are then used when communicating with a trusted domain of the
particular type.
1. Show global trust configuration for Active Directory type of trusts:
ipa trustconfig-show --type ad
2. Modify global configuration for all trusts of Active Directory type and set
a different fallback primary group (fallback primary group GID is used as
a primary user GID if user authenticating to IPA domain does not have any other
primary GID already set):
ipa trustconfig-mod --type ad --fallback-primary-group "alternative AD group"
3. Change primary fallback group back to default hidden group (any group with
posixGroup object class is allowed):
ipa trustconfig-mod --type ad --fallback-primary-group "Default SMB Group"
Cross-realm trusts
Manage trust relationship between IPA and Active Directory domains.
In order to allow users from a remote domain to access resources in IPA domain,
trust relationship needs to be established. Currently IPA supports only trusts
between IPA and Active Directory domains under control of Windows Server 2008
or later, with functional level 2008 or later.
Please note that DNS on both IPA and Active Directory domain sides should be
configured properly to discover each other. Trust relationship relies on
ability to discover special resources in the other domain via DNS records.
Examples:
1. Establish cross-realm trust with Active Directory using AD administrator
credentials:
ipa trust-add --type=ad <ad.domain> --admin <AD domain administrator> --password
2. List all existing trust relationships:
ipa trust-find
3. Show details of the specific trust relationship:
ipa trust-show <ad.domain>
4. Delete existing trust relationship:
ipa trust-del <ad.domain>
Once trust relationship is established, remote users will need to be mapped
to local POSIX groups in order to actually use IPA resources. The mapping
should be done via use of external membership of non-POSIX group and then
this group should be included into one of local POSIX groups.
Example:
1. Create group for the trusted domain admins' mapping and their local POSIX
group:
ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins
2. Add security identifier of Domain Admins of the <ad.domain> to the
ad_admins_external group:
ipa group-add-member ad_admins_external --external 'AD\Domain Admins'
3. Allow members of ad_admins_external group to be associated with
ad_admins POSIX group:
ipa group-add-member ad_admins --groups ad_admins_external
4. List members of external members of ad_admins_external group to see
their SIDs:
ipa group-show ad_admins_external
GLOBAL TRUST CONFIGURATION
When IPA AD trust subpackage is installed and ipa-adtrust-install is run, a
local domain configuration (SID, GUID, NetBIOS name) is generated. These
identifiers are then used when communicating with a trusted domain of the
particular type.
1. Show global trust configuration for Active Directory type of trusts:
ipa trustconfig-show --type ad
2. Modify global configuration for all trusts of Active Directory type and set
a different fallback primary group (fallback primary group GID is used as a
primary user GID if user authenticating to IPA domain does not have any
other primary GID already set):
ipa trustconfig-mod --type ad --fallback-primary-group "another AD group"
3. Change primary fallback group back to default hidden group (any group with
posixGroup object class is allowed):
ipa trustconfig-mod --type ad --fallback-primary-group "Default SMB Group"
DNS configuration passed to command line install script is stored in a local
configuration file on each IPA server where DNS service is configured. These
local settings can be overridden with a common configuration stored in LDAP
server:
DNS server configuration
Data stored on IPA servers is replicated to other IPA servers. The way it is
replicated is defined by replication agreements. Replication agreements needs
to be set for both suffixes separately. On domain level 0 they are managed
using ipa-replica-manage and ipa-csreplica-manage tools. With domain level 1
they are managed centrally using `ipa topology*` commands.
Dates are treated as GMT to match the dates in the certificates.
Deleting or renaming a managed permission, as well as changing its target,
is not allowed.
Directory Server Access Control Instructions (ACIs)
ACIs are used to allow or deny access to information. This module is
currently designed to allow, not deny, access.
The aci commands are designed to grant permissions that allow updating
existing entries or adding or deleting new ones. The goal of the ACIs
that ship with IPA is to provide a set of low-level permissions that
grant access to special groups called taskgroups. These low-level
permissions can be combined into roles that grant broader access. These
roles are another type of group, roles.
For example, if you have taskgroups that allow adding and modifying users you
could create a role, useradmin. You would assign users to the useradmin
role to allow them to do the operations defined by the taskgroups.
You can create ACIs that delegate permission so users in group A can write
attributes on group B.
The type option is a map that applies to all entries in the users, groups or
host location. It is primarily designed to be used when granting add
permissions (to write new entries).
An ACI consists of three parts:
1. target
2. permissions
3. bind rules
The target is a set of rules that define which LDAP objects are being
targeted. This can include a list of attributes, an area of that LDAP
tree or an LDAP filter.
The targets include:
- attrs: list of attributes affected
- type: an object type (user, group, host, service, etc)
- memberof: members of a group
- targetgroup: grant access to modify a specific group. This is primarily
designed to enable users to add or remove members of a specific group.
- filter: A legal LDAP filter used to narrow the scope of the target.
- subtree: Used to apply a rule across an entire set of objects. For example,
to allow adding users you need to grant "add" permission to the subtree
ldap://uid=*,cn=users,cn=accounts,dc=example,dc=com. The subtree option
is a fail-safe for objects that may not be covered by the type option.
The permissions define what the ACI is allowed to do, and are one or
more of:
1. write - write one or more attributes
2. read - read one or more attributes
3. add - add a new entry to the tree
4. delete - delete an existing entry
5. all - all permissions are granted
Note the distinction between attributes and entries. The permissions are
independent, so being able to add a user does not mean that the user will
be editable.
The bind rule defines who this ACI grants permissions to. The LDAP server
allows this to be any valid LDAP entry but we encourage the use of
taskgroups so that the rights can be easily shared through roles.
For a more thorough description of access controls see
http://www.redhat.com/docs/manuals/dir-server/ag/8.0/Managing_Access_Control.html
EXAMPLES:
NOTE: ACIs are now added via the permission plugin. These examples are to
demonstrate how the various options work but this is done via the permission
command-line now (see last example).
Add an ACI so that the group "secretaries" can update the address on any user:
ipa group-add --desc="Office secretaries" secretaries
ipa aci-add --attrs=streetAddress --memberof=ipausers --group=secretaries --permissions=write --prefix=none "Secretaries write addresses"
Show the new ACI:
ipa aci-show --prefix=none "Secretaries write addresses"
Add an ACI that allows members of the "addusers" permission to add new users:
ipa aci-add --type=user --permission=addusers --permissions=add --prefix=none "Add new users"
Add an ACI that allows members of the editors manage members of the admins group:
ipa aci-add --permissions=write --attrs=member --targetgroup=admins --group=editors --prefix=none "Editors manage admins"
Add an ACI that allows members of the admins group to manage the street and zip code of those in the editors group:
ipa aci-add --permissions=write --memberof=editors --group=admins --attrs=street --attrs=postalcode --prefix=none "admins edit the address of editors"
Add an ACI that allows the admins group manage the street and zipcode of those who work for the boss:
ipa aci-add --permissions=write --group=admins --attrs=street --attrs=postalcode --filter="(manager=uid=boss,cn=users,cn=accounts,dc=example,dc=com)" --prefix=none "Edit the address of those who work for the boss"
Add an entirely new kind of record to IPA that isn't covered by any of the --type options, creating a permission:
ipa permission-add --permissions=add --subtree="cn=*,cn=orange,cn=accounts,dc=example,dc=com" --desc="Add Orange Entries" add_orange
The show command shows the raw 389-ds ACI.
IMPORTANT: When modifying the target attributes of an existing ACI you
must include all existing attributes as well. When doing an aci-mod the
targetattr REPLACES the current attributes, it does not add to them.
Directory Server Access Control Instructions (ACIs)
ACIs are used to allow or deny access to information. This module is
currently designed to allow, not deny, access.
The aci commands are designed to grant permissions that allow updating
existing entries or adding or deleting new ones. The goal of the ACIs
that ship with IPA is to provide a set of low-level permissions that
grant access to special groups called taskgroups. These low-level
permissions can be combined into roles that grant broader access. These
roles are another type of group, roles.
For example, if you have taskgroups that allow adding and modifying users you
could create a role, useradmin. You would assign users to the useradmin
role to allow them to do the operations defined by the taskgroups.
You can create ACIs that delegate permission so users in group A can write
attributes on group B.
The type option is a map that applies to all entries in the users, groups or
host location. It is primarily designed to be used when granting add
permissions (to write new entries).
An ACI consists of three parts:
1. target
2. permissions
3. bind rules
The target is a set of rules that define which LDAP objects are being
targeted. This can include a list of attributes, an area of that LDAP
tree or an LDAP filter.
The targets include:
- attrs: list of attributes affected
- type: an object type (user, group, host, service, etc)
- memberof: members of a group
- targetgroup: grant access to modify a specific group. This is primarily
designed to enable users to add or remove members of a specific group.
- filter: A legal LDAP filter used to narrow the scope of the target.
- subtree: Used to apply a rule across an entire set of objects. For example,
to allow adding users you need to grant "add" permission to the subtree
ldap://uid=*,cn=users,cn=accounts,dc=example,dc=com. The subtree option
is a fail-safe for objects that may not be covered by the type option.
The permissions define what the ACI is allowed to do, and are one or
more of:
1. write - write one or more attributes
2. read - read one or more attributes
3. add - add a new entry to the tree
4. delete - delete an existing entry
5. all - all permissions are granted
Note the distinction between attributes and entries. The permissions are
independent, so being able to add a user does not mean that the user will
be editable.
The bind rule defines who this ACI grants permissions to. The LDAP server
allows this to be any valid LDAP entry but we encourage the use of
taskgroups so that the rights can be easily shared through roles.
For a more thorough description of access controls see
http://www.redhat.com/docs/manuals/dir-server/ag/8.0/Managing_Access_Control.html
EXAMPLES:
NOTE: ACIs are now added via the permission plugin. These examples are to
demonstrate how the various options work but this is done via the permission
command-line now (see last example).
Add an ACI so that the group "secretaries" can update the address on any user:
ipa group-add --desc="Office secretaries" secretaries
ipa aci-add --attrs=streetAddress --memberof=ipausers --group=secretaries --permissions=write --prefix=none "Secretaries write addresses"
Show the new ACI:
ipa aci-show --prefix=none "Secretaries write addresses"
Add an ACI that allows members of the "addusers" permission to add new users:
ipa aci-add --type=user --permission=addusers --permissions=add --prefix=none "Add new users"
Add an ACI that allows members of the editors manage members of the admins group:
ipa aci-add --permissions=write --attrs=member --targetgroup=admins --group=editors --prefix=none "Editors manage admins"
Add an ACI that allows members of the admins group to manage the street and zip code of those in the editors group:
ipa aci-add --permissions=write --memberof=editors --group=admins --attrs=street,postalcode --prefix=none "admins edit the address of editors"
Add an ACI that allows the admins group manage the street and zipcode of those who work for the boss:
ipa aci-add --permissions=write --group=admins --attrs=street,postalcode --filter="(manager=uid=boss,cn=users,cn=accounts,dc=example,dc=com)" --prefix=none "Edit the address of those who work for the boss"
Add an entirely new kind of record to IPA that isn't covered by any of the --type options, creating a permission:
ipa permission-add --permissions=add --subtree="cn=*,cn=orange,cn=accounts,dc=example,dc=com" --desc="Add Orange Entries" add_orange
The show command shows the raw 389-ds ACI.
IMPORTANT: When modifying the target attributes of an existing ACI you
must include all existing attributes as well. When doing an aci-mod the
targetattr REPLACES the current attributes, it does not add to them.
Domain Name System (DNS)
Domain Name System (DNS)
Manage DNS zone and resource records.
USING STRUCTURED PER-TYPE OPTIONS
There are many structured DNS RR types where DNS data stored in LDAP server
is not just a scalar value, for example an IP address or a domain name, but
a data structure which may be often complex. A good example is a LOC record
[RFC1876] which consists of many mandatory and optional parts (degrees,
minutes, seconds of latitude and longitude, altitude or precision).
It may be difficult to manipulate such DNS records without making a mistake
and entering an invalid value. DNS module provides an abstraction over these
raw records and allows to manipulate each RR type with specific options. For
each supported RR type, DNS module provides a standard option to manipulate
a raw records with format --<rrtype>-rec, e.g. --mx-rec, and special options
for every part of the RR structure with format --<rrtype>-<partname>, e.g.
--mx-preference and --mx-exchanger.
When adding a record, either RR specific options or standard option for a raw
value can be used, they just should not be combined in one add operation. When
modifying an existing entry, new RR specific options can be used to change
one part of a DNS record, where the standard option for raw value is used
to specify the modified value. The following example demonstrates
a modification of MX record preference from 0 to 1 in a record without
modifying the exchanger:
ipa dnsrecord-mod --mx-rec="0 mx.example.com." --mx-preference=1
EXAMPLES:
Add new zone:
ipa dnszone-add example.com --name-server=ns --admin-email=admin@example.com --ip-address=10.0.0.1
Add system permission that can be used for per-zone privilege delegation:
ipa dnszone-add-permission example.com
Modify the zone to allow dynamic updates for hosts own records in realm EXAMPLE.COM:
ipa dnszone-mod example.com --dynamic-update=TRUE
This is the equivalent of:
ipa dnszone-mod example.com --dynamic-update=TRUE --update-policy="grant EXAMPLE.COM krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM krb5-self * SSHFP;"
Modify the zone to allow zone transfers for local network only:
ipa dnszone-mod example.com --allow-transfer=10.0.0.0/8
Add new reverse zone specified by network IP address:
ipa dnszone-add --name-from-ip=80.142.15.0/24 --name-server=ns.example.com.
Add second nameserver for example.com:
ipa dnsrecord-add example.com @ --ns-rec=nameserver2.example.com
Add a mail server for example.com:
ipa dnsrecord-add example.com @ --mx-rec="10 mail1"
Add another record using MX record specific options:
ipa dnsrecord-add example.com @ --mx-preference=20 --mx-exchanger=mail2
Add another record using interactive mode (started when dnsrecord-add, dnsrecord-mod,
or dnsrecord-del are executed with no options):
ipa dnsrecord-add example.com @
Please choose a type of DNS resource record to be added
The most common types for this type of zone are: NS, MX, LOC
DNS resource record type: MX
MX Preference: 30
MX Exchanger: mail3
Record name: example.com
MX record: 10 mail1, 20 mail2, 30 mail3
NS record: nameserver.example.com., nameserver2.example.com.
Delete previously added nameserver from example.com:
ipa dnsrecord-del example.com @ --ns-rec=nameserver2.example.com.
Add LOC record for example.com:
ipa dnsrecord-add example.com @ --loc-rec="49 11 42.4 N 16 36 29.6 E 227.64m"
Add new A record for www.example.com. Create a reverse record in appropriate
reverse zone as well. In this case a PTR record "2" pointing to www.example.com
will be created in zone 15.142.80.in-addr.arpa.
ipa dnsrecord-add example.com www --a-rec=80.142.15.2 --a-create-reverse
Add new PTR record for www.example.com
ipa dnsrecord-add 15.142.80.in-addr.arpa. 2 --ptr-rec=www.example.com.
Add new SRV records for LDAP servers. Three quarters of the requests
should go to fast.example.com, one quarter to slow.example.com. If neither
is available, switch to backup.example.com.
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 3 389 fast.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 1 389 slow.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="1 1 389 backup.example.com"
The interactive mode can be used for easy modification:
ipa dnsrecord-mod example.com _ldap._tcp
No option to modify specific record provided.
Current DNS record contents:
SRV record: 0 3 389 fast.example.com, 0 1 389 slow.example.com, 1 1 389 backup.example.com
Modify SRV record '0 3 389 fast.example.com'? Yes/No (default No):
Modify SRV record '0 1 389 slow.example.com'? Yes/No (default No): y
SRV Priority [0]: (keep the default value)
SRV Weight [1]: 2 (modified value)
SRV Port [389]: (keep the default value)
SRV Target [slow.example.com]: (keep the default value)
1 SRV record skipped. Only one value per DNS record type can be modified at one time.
Record name: _ldap._tcp
SRV record: 0 3 389 fast.example.com, 1 1 389 backup.example.com, 0 2 389 slow.example.com
After this modification, three fifths of the requests should go to
fast.example.com and two fifths to slow.example.com.
An example of the interactive mode for dnsrecord-del command:
ipa dnsrecord-del example.com www
No option to delete specific record provided.
Delete all? Yes/No (default No): (do not delete all records)
Current DNS record contents:
A record: 1.2.3.4, 11.22.33.44
Delete A record '1.2.3.4'? Yes/No (default No):
Delete A record '11.22.33.44'? Yes/No (default No): y
Record name: www
A record: 1.2.3.4 (A record 11.22.33.44 has been deleted)
Show zone example.com:
ipa dnszone-show example.com
Find zone with "example" in its domain name:
ipa dnszone-find example
Find records for resources with "www" in their name in zone example.com:
ipa dnsrecord-find example.com www
Find A records with value 10.10.0.1 in zone example.com
ipa dnsrecord-find example.com --a-rec=10.10.0.1
Show records for resource www in zone example.com
ipa dnsrecord-show example.com www
Delegate zone sub.example to another nameserver:
ipa dnsrecord-add example.com ns.sub --a-rec=10.0.100.5
ipa dnsrecord-add example.com sub --ns-rec=ns.sub.example.com.
If global forwarder is configured, all requests to sub.example.com will be
routed through the global forwarder. To change the behavior for example.com
zone only and forward the request directly to ns.sub.example.com., global
forwarding may be disabled per-zone:
ipa dnszone-mod example.com --forward-policy=none
Forward all requests for the zone external.com to another nameserver using
a "first" policy (it will send the queries to the selected forwarder and if
not answered it will use global resolvers):
ipa dnszone-add external.com
ipa dnszone-mod external.com --forwarder=10.20.0.1 --forward-policy=first
Delete zone example.com with all resource records:
ipa dnszone-del example.com
Resolve a host name to see if it exists (will add default IPA domain
if one is not included):
ipa dns-resolve www.example.com
ipa dns-resolve www
GLOBAL DNS CONFIGURATION
DNS configuration passed to command line install script is stored in a local
configuration file on each IPA server where DNS service is configured. These
local settings can be overridden with a common configuration stored in LDAP
server:
Show global DNS configuration:
ipa dnsconfig-show
Modify global DNS configuration and set a list of global forwarders:
ipa dnsconfig-mod --forwarder=10.0.0.1
Domain Name System (DNS)
Manage DNS zone and resource records.
SUPPORTED ZONE TYPES
* Master zone (dnszone-*), contains authoritative data.
* Forward zone (dnsforwardzone-*), forwards queries to configured forwarders
(a set of DNS servers).
USING STRUCTURED PER-TYPE OPTIONS
There are many structured DNS RR types where DNS data stored in LDAP server
is not just a scalar value, for example an IP address or a domain name, but
a data structure which may be often complex. A good example is a LOC record
[RFC1876] which consists of many mandatory and optional parts (degrees,
minutes, seconds of latitude and longitude, altitude or precision).
It may be difficult to manipulate such DNS records without making a mistake
and entering an invalid value. DNS module provides an abstraction over these
raw records and allows to manipulate each RR type with specific options. For
each supported RR type, DNS module provides a standard option to manipulate
a raw records with format --<rrtype>-rec, e.g. --mx-rec, and special options
for every part of the RR structure with format --<rrtype>-<partname>, e.g.
--mx-preference and --mx-exchanger.
When adding a record, either RR specific options or standard option for a raw
value can be used, they just should not be combined in one add operation. When
modifying an existing entry, new RR specific options can be used to change
one part of a DNS record, where the standard option for raw value is used
to specify the modified value. The following example demonstrates
a modification of MX record preference from 0 to 1 in a record without
modifying the exchanger:
ipa dnsrecord-mod --mx-rec="0 mx.example.com." --mx-preference=1
EXAMPLES:
Add new zone:
ipa dnszone-add example.com --admin-email=admin@example.com
Add system permission that can be used for per-zone privilege delegation:
ipa dnszone-add-permission example.com
Modify the zone to allow dynamic updates for hosts own records in realm EXAMPLE.COM:
ipa dnszone-mod example.com --dynamic-update=TRUE
This is the equivalent of:
ipa dnszone-mod example.com --dynamic-update=TRUE --update-policy="grant EXAMPLE.COM krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM krb5-self * SSHFP;"
Modify the zone to allow zone transfers for local network only:
ipa dnszone-mod example.com --allow-transfer=192.0.2.0/24
Add new reverse zone specified by network IP address:
ipa dnszone-add --name-from-ip=192.0.2.0/24
Add second nameserver for example.com:
ipa dnsrecord-add example.com @ --ns-rec=nameserver2.example.com
Add a mail server for example.com:
ipa dnsrecord-add example.com @ --mx-rec="10 mail1"
Add another record using MX record specific options:
ipa dnsrecord-add example.com @ --mx-preference=20 --mx-exchanger=mail2
Add another record using interactive mode (started when dnsrecord-add, dnsrecord-mod,
or dnsrecord-del are executed with no options):
ipa dnsrecord-add example.com @
Please choose a type of DNS resource record to be added
The most common types for this type of zone are: NS, MX, LOC
DNS resource record type: MX
MX Preference: 30
MX Exchanger: mail3
Record name: example.com
MX record: 10 mail1, 20 mail2, 30 mail3
NS record: nameserver.example.com., nameserver2.example.com.
Delete previously added nameserver from example.com:
ipa dnsrecord-del example.com @ --ns-rec=nameserver2.example.com.
Add LOC record for example.com:
ipa dnsrecord-add example.com @ --loc-rec="49 11 42.4 N 16 36 29.6 E 227.64m"
Add new A record for www.example.com. Create a reverse record in appropriate
reverse zone as well. In this case a PTR record "2" pointing to www.example.com
will be created in zone 2.0.192.in-addr.arpa.
ipa dnsrecord-add example.com www --a-rec=192.0.2.2 --a-create-reverse
Add new PTR record for www.example.com
ipa dnsrecord-add 2.0.192.in-addr.arpa. 2 --ptr-rec=www.example.com.
Add new SRV records for LDAP servers. Three quarters of the requests
should go to fast.example.com, one quarter to slow.example.com. If neither
is available, switch to backup.example.com.
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 3 389 fast.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 1 389 slow.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="1 1 389 backup.example.com"
The interactive mode can be used for easy modification:
ipa dnsrecord-mod example.com _ldap._tcp
No option to modify specific record provided.
Current DNS record contents:
SRV record: 0 3 389 fast.example.com, 0 1 389 slow.example.com, 1 1 389 backup.example.com
Modify SRV record '0 3 389 fast.example.com'? Yes/No (default No):
Modify SRV record '0 1 389 slow.example.com'? Yes/No (default No): y
SRV Priority [0]: (keep the default value)
SRV Weight [1]: 2 (modified value)
SRV Port [389]: (keep the default value)
SRV Target [slow.example.com]: (keep the default value)
1 SRV record skipped. Only one value per DNS record type can be modified at one time.
Record name: _ldap._tcp
SRV record: 0 3 389 fast.example.com, 1 1 389 backup.example.com, 0 2 389 slow.example.com
After this modification, three fifths of the requests should go to
fast.example.com and two fifths to slow.example.com.
An example of the interactive mode for dnsrecord-del command:
ipa dnsrecord-del example.com www
No option to delete specific record provided.
Delete all? Yes/No (default No): (do not delete all records)
Current DNS record contents:
A record: 192.0.2.2, 192.0.2.3
Delete A record '192.0.2.2'? Yes/No (default No):
Delete A record '192.0.2.3'? Yes/No (default No): y
Record name: www
A record: 192.0.2.2 (A record 192.0.2.3 has been deleted)
Show zone example.com:
ipa dnszone-show example.com
Find zone with "example" in its domain name:
ipa dnszone-find example
Find records for resources with "www" in their name in zone example.com:
ipa dnsrecord-find example.com www
Find A records with value 192.0.2.2 in zone example.com
ipa dnsrecord-find example.com --a-rec=192.0.2.2
Show records for resource www in zone example.com
ipa dnsrecord-show example.com www
Delegate zone sub.example to another nameserver:
ipa dnsrecord-add example.com ns.sub --a-rec=203.0.113.1
ipa dnsrecord-add example.com sub --ns-rec=ns.sub.example.com.
Delete zone example.com with all resource records:
ipa dnszone-del example.com
If a global forwarder is configured, all queries for which this server is not
authoritative (e.g. sub.example.com) will be routed to the global forwarder.
Global forwarding configuration can be overridden per-zone.
Semantics of forwarding in IPA matches BIND semantics and depends on the type
of zone:
* Master zone: local BIND replies authoritatively to queries for data in
the given zone (including authoritative NXDOMAIN answers) and forwarding
affects only queries for names below zone cuts (NS records) of locally
served zones.
* Forward zone: forward zone contains no authoritative data. BIND forwards
queries, which cannot be answered from its local cache, to configured
forwarders.
Semantics of the --forward-policy option:
* none - disable forwarding for the given zone.
* first - forward all queries to configured forwarders. If they fail,
do resolution using DNS root servers.
* only - forward all queries to configured forwarders and if they fail,
return failure.
Disable global forwarding for given sub-tree:
ipa dnszone-mod example.com --forward-policy=none
This configuration forwards all queries for names outside the example.com
sub-tree to global forwarders. Normal recursive resolution process is used
for names inside the example.com sub-tree (i.e. NS records are followed etc.).
Forward all requests for the zone external.example.com to another forwarder
using a "first" policy (it will send the queries to the selected forwarder
and if not answered it will use global root servers):
ipa dnsforwardzone-add external.example.com --forward-policy=first --forwarder=203.0.113.1
Change forward-policy for external.example.com:
ipa dnsforwardzone-mod external.example.com --forward-policy=only
Show forward zone external.example.com:
ipa dnsforwardzone-show external.example.com
List all forward zones:
ipa dnsforwardzone-find
Delete forward zone external.example.com:
ipa dnsforwardzone-del external.example.com
Resolve a host name to see if it exists (will add default IPA domain
if one is not included):
ipa dns-resolve www.example.com
ipa dns-resolve www
GLOBAL DNS CONFIGURATION
DNS configuration passed to command line install script is stored in a local
configuration file on each IPA server where DNS service is configured. These
local settings can be overridden with a common configuration stored in LDAP
server:
Show global DNS configuration:
ipa dnsconfig-show
Modify global DNS configuration and set a list of global forwarders:
ipa dnsconfig-mod --forwarder=203.0.113.113
ENROLLMENT:
There are three enrollment scenarios when enrolling a new client:
1. You are enrolling as a full administrator. The host entry may exist
or not. A full administrator is a member of the hostadmin role
or the admins group.
2. You are enrolling as a limited administrator. The host must already
exist. A limited administrator is a member a role with the
Host Enrollment privilege.
3. The host has been created with a one-time password.
EXAMPLES:
Entitlements
Manage entitlements for client machines
Entitlements can be managed either by registering with an entitlement
server with a username and password or by manually importing entitlement
certificates. An entitlement certificate contains embedded information
such as the product being entitled, the quantity and the validity dates.
An entitlement server manages the number of client entitlements available.
To mark these entitlements as used by the IPA server you provide a quantity
and they are marked as consumed on the entitlement server.
Register with an entitlement server:
ipa entitle-register consumer
Import an entitlement certificate:
ipa entitle-import /home/user/ipaclient.pem
Display current entitlements:
ipa entitle-status
Retrieve details on entitlement certificates:
ipa entitle-get
Consume some entitlements from the entitlement server:
ipa entitle-consume 50
The registration ID is a Unique Identifier (UUID). This ID will be
IMPORTED if you have used entitle-import.
Changes to /etc/rhsm/rhsm.conf require a restart of the httpd service.
Get information about installed IPA servers.
Get status of roles (DNS server, CA, etc.) provided by IPA masters.
Group to Group Delegation
A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.
Group to Group Delegations grants the members of one group to update a set
of attributes of members of another group.
EXAMPLES:
Add a delegation rule to allow managers to edit employee's addresses:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"
When managing the list of attributes you need to include all attributes
in the list, including existing ones. Add postalCode to the list:
ipa delegation-mod --attrs=street --attrs=postalCode --group=managers --membergroup=employees "managers edit employees' street"
Display our updated rule:
ipa delegation-show "managers edit employees' street"
Delete a rule:
ipa delegation-del "managers edit employees' street"
Group to Group Delegation
A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.
Group to Group Delegations grants the members of one group to update a set
of attributes of members of another group.
EXAMPLES:
Add a delegation rule to allow managers to edit employee's addresses:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"
When managing the list of attributes you need to include all attributes
in the list, including existing ones. Add postalCode to the list:
ipa delegation-mod --attrs=street,postalCode --group=managers --membergroup=employees "managers edit employees' street"
Display our updated rule:
ipa delegation-show "managers edit employees' street"
Delete a rule:
ipa delegation-del "managers edit employees' street"
Groups of Sudo Commands
Manage groups of Sudo Commands.
EXAMPLES:
Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds
Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds
Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds
Manage Sudo Command Group membership, commands:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds
Show a Sudo Command Group:
ipa group-show localadmins
Groups of Sudo Commands
Manage groups of Sudo Commands.
EXAMPLES:
Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds
Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds
Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds
Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-remove-member --sudocmds=/usr/bin/less admincmds
Show a Sudo Command Group:
ipa sudocmdgroup-show admincmds
Groups of Sudo Commands
Manage groups of Sudo Commands.
EXAMPLES:
Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds
Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds
Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less,/usr/bin/vim admincmds
Manage Sudo Command Group membership, commands:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds
Show a Sudo Command Group:
ipa group-show localadmins
Groups of hosts.
Manage groups of hosts. This is useful for applying access control to a
number of hosts by using Host-based Access Control.
EXAMPLES:
Add a new host group:
ipa hostgroup-add --desc="Baltimore hosts" baltimore
Add another new host group:
ipa hostgroup-add --desc="Maryland hosts" maryland
Add members to the hostgroup (using Bash brace expansion):
ipa hostgroup-add-member --hosts={box1,box2,box3} baltimore
Add a hostgroup as a member of another hostgroup:
ipa hostgroup-add-member --hostgroups=baltimore maryland
Remove a host from the hostgroup:
ipa hostgroup-remove-member --hosts=box2 baltimore
Display a host group:
ipa hostgroup-show baltimore
Delete a hostgroup:
ipa hostgroup-del baltimore
Groups of hosts.
Manage groups of hosts. This is useful for applying access control to a
number of hosts by using Host-based Access Control.
EXAMPLES:
Add a new host group:
ipa hostgroup-add --desc="Baltimore hosts" baltimore
Add another new host group:
ipa hostgroup-add --desc="Maryland hosts" maryland
Add members to the hostgroup:
ipa hostgroup-add-member --hosts=box1,box2,box3 baltimore
Add a hostgroup as a member of another hostgroup:
ipa hostgroup-add-member --hostgroups=baltimore maryland
Remove a host from the hostgroup:
ipa hostgroup-remove-member --hosts=box2 baltimore
Display a host group:
ipa hostgroup-show baltimore
Delete a hostgroup:
ipa hostgroup-del baltimore
Groups of users
Manage groups of users. By default, new groups are POSIX groups. You
can add the --nonposix option to the group-add command to mark a new group
as non-POSIX. You can use the --posix argument with the group-mod command
to convert a non-POSIX group into a POSIX group. POSIX groups cannot be
converted to non-POSIX groups.
Every group must have a description.
POSIX groups must have a Group ID (GID) number. Changing a GID is
supported but can have an impact on your file permissions. It is not necessary
to supply a GID when creating a group. IPA will generate one automatically
if it is not provided.
EXAMPLES:
Add a new group:
ipa group-add --desc='local administrators' localadmins
Add a new non-POSIX group:
ipa group-add --nonposix --desc='remote administrators' remoteadmins
Convert a non-POSIX group to posix:
ipa group-mod --posix remoteadmins
Add a new POSIX group with a specific Group ID number:
ipa group-add --gid=500 --desc='unix admins' unixadmins
Add a new POSIX group and let IPA assign a Group ID number:
ipa group-add --desc='printer admins' printeradmins
Remove a group:
ipa group-del unixadmins
To add the "remoteadmins" group to the "localadmins" group:
ipa group-add-member --groups=remoteadmins localadmins
Add multiple users to the "localadmins" group:
ipa group-add-member --users=test1 --users=test2 localadmins
Remove a user from the "localadmins" group:
ipa group-remove-member --users=test2 localadmins
Display information about a named group.
ipa group-show localadmins
External group membership is designed to allow users from trusted domains
to be mapped to local POSIX groups in order to actually use IPA resources.
External members should be added to groups that specifically created as
external and non-POSIX. Such group later should be included into one of POSIX
groups.
An external group member is currently a Security Identifier (SID) as defined by
the trusted domain. When adding external group members, it is possible to
specify them in either SID, or DOM\name, or name@domain format. IPA will attempt
to resolve passed name to SID with the use of Global Catalog of the trusted domain.
Example:
1. Create group for the trusted domain admins' mapping and their local POSIX group:
ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins
2. Add security identifier of Domain Admins of the <ad.domain> to the ad_admins_external
group:
ipa group-add-member ad_admins_external --external 'AD\Domain Admins'
3. Allow members of ad_admins_external group to be associated with ad_admins POSIX group:
ipa group-add-member ad_admins --groups ad_admins_external
4. List members of external members of ad_admins_external group to see their SIDs:
ipa group-show ad_admins_external
HBAC Service Groups
HBAC service groups can contain any number of individual services,
or "members". Every group must have a description.
EXAMPLES:
Add a new HBAC service group:
ipa hbacsvcgroup-add --desc="login services" login
Add members to an HBAC service group:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd --hbacsvcs=login login
Display information about a named group:
ipa hbacsvcgroup-show login
Delete an HBAC service group:
ipa hbacsvcgroup-del login
HBAC Service Groups
HBAC service groups can contain any number of individual services,
or "members". Every group must have a description.
EXAMPLES:
Add a new HBAC service group:
ipa hbacsvcgroup-add --desc="login services" login
Add members to an HBAC service group:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd,login login
Display information about a named group:
ipa hbacsvcgroup-show login
Add a new group to the "login" group:
ipa hbacsvcgroup-add --desc="switch users" login
ipa hbacsvcgroup-add-member --hbacsvcs=su,su-l login
Delete an HBAC service group:
ipa hbacsvcgroup-del login
HBAC Services
The PAM services that HBAC can control access to. The name used here
must match the service name that PAM is evaluating.
EXAMPLES:
Add a new HBAC service:
ipa hbacsvc-add tftp
Modify an existing HBAC service:
ipa hbacsvc-mod --desc="TFTP service" tftp
Search for HBAC services. This example will return two results, the FTP
service and the newly-added tftp service:
ipa hbacsvc-find ftp
Delete an HBAC service:
ipa hbacsvc-del tftp
HBAC Services
The PAM services that HBAC can control access to. The name used here
must match the service name that PAM is evaluating.
EXAMPLES:
Add a new HBAC service:
ipa hbacsvc-add tftp
Modify an existing HBAC service:
ipa hbacsvc-mod --desc="TFTP service" tftp
Search for HBAC services. This example will return two results, the FTP
service and the newly-added tftp service:
ipa hbacsvc-find ftp
Delete an HBAC service:
ipa hbacsvc-del tftp
Host-based access control
Control who can access what services on what hosts and from where. You
can use HBAC to control which users or groups on a source host can
access a service, or group of services, on a target host.
You can also specify a category of users, target hosts, and source
hosts. This is currently limited to "all", but might be expanded in the
future.
Target hosts and source hosts in HBAC rules must be hosts managed by IPA.
The available services and groups of services are controlled by the
hbacsvc and hbacsvcgroup plug-ins respectively.
EXAMPLES:
Create a rule, "test1", that grants all users access to the host "server" from
anywhere:
ipa hbacrule-add --usercat=all --srchostcat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1
Display the properties of a named HBAC rule:
ipa hbacrule-show test1
Create a rule for a specific service. This lets the user john access
the sshd service on any machine from any machine:
ipa hbacrule-add --hostcat=all --srchostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd
Create a rule for a new service group. This lets the user john access
the FTP service on any machine from any machine:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp,sftp ftpers
ipa hbacrule-add --hostcat=all --srchostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp
Disable a named HBAC rule:
ipa hbacrule-disable test1
Remove a named HBAC rule:
ipa hbacrule-del allow_server
Host-based access control
Control who can access what services on what hosts. You
can use HBAC to control which users or groups can
access a service, or group of services, on a target host.
You can also specify a category of users and target hosts.
This is currently limited to "all", but might be expanded in the
future.
Target hosts in HBAC rules must be hosts managed by IPA.
The available services and groups of services are controlled by the
hbacsvc and hbacsvcgroup plug-ins respectively.
EXAMPLES:
Create a rule, "test1", that grants all users access to the host "server" from
anywhere:
ipa hbacrule-add --usercat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1
Display the properties of a named HBAC rule:
ipa hbacrule-show test1
Create a rule for a specific service. This lets the user john access
the sshd service on any machine from any machine:
ipa hbacrule-add --hostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd
Create a rule for a new service group. This lets the user john access
the FTP service on any machine from any machine:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp --hbacsvcs=sftp ftpers
ipa hbacrule-add --hostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp
Disable a named HBAC rule:
ipa hbacrule-disable test1
Remove a named HBAC rule:
ipa hbacrule-del allow_server
Hosts/Machines
A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry
Hosts/Machines
A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry
ENROLLMENT:
There are three enrollment scenarios when enrolling a new client:
1. You are enrolling as a full administrator. The host entry may exist
or not. A full administrator is a member of the hostadmin role
or the admins group.
2. You are enrolling as a limited administrator. The host must already
exist. A limited administrator is a member a role with the
Host Enrollment privilege.
3. The host has been created with a one-time password.
A host can only be enrolled once. If a client has enrolled and needs to
be re-enrolled, the host entry must be removed and re-created. Note that
re-creating the host entry will result in all services for the host being
removed, and all SSL certificates associated with those services being
revoked.
A host can optionally store information such as where it is located,
the OS that it runs, etc.
EXAMPLES:
Add a new host:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com
Delete a host:
ipa host-del test.example.com
Add a new host with a one-time password:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com
Add a new host with a random one-time password:
ipa host-add --os='Fedora 12' --random test.example.com
Modify information about a host:
ipa host-mod --os='Fedora 12' test.example.com
Remove SSH public keys of a host and update DNS to reflect this change:
ipa host-mod --sshpubkey= --updatedns test.example.com
Disable the host Kerberos key, SSL certificate and all of its services:
ipa host-disable test.example.com
Add a host that can manage this host's keytab and certificate:
ipa host-add-managedby --hosts=test2 test
Hosts/Machines
A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry
ENROLLMENT:
There are three enrollment scenarios when enrolling a new client:
1. You are enrolling as a full administrator. The host entry may exist
or not. A full administrator is a member of the hostadmin role
or the admins group.
2. You are enrolling as a limited administrator. The host must already
exist. A limited administrator is a member a role with the
Host Enrollment privilege.
3. The host has been created with a one-time password.
RE-ENROLLMENT:
Host that has been enrolled at some point, and lost its configuration (e.g. VM
destroyed) can be re-enrolled.
For more information, consult the manual pages for ipa-client-install.
A host can optionally store information such as where it is located,
the OS that it runs, etc.
EXAMPLES:
Add a new host:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com
Delete a host:
ipa host-del test.example.com
Add a new host with a one-time password:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com
Add a new host with a random one-time password:
ipa host-add --os='Fedora 12' --random test.example.com
Modify information about a host:
ipa host-mod --os='Fedora 12' test.example.com
Remove SSH public keys of a host and update DNS to reflect this change:
ipa host-mod --sshpubkey= --updatedns test.example.com
Disable the host Kerberos key, SSL certificate and all of its services:
ipa host-disable test.example.com
Add a host that can manage this host's keytab and certificate:
ipa host-add-managedby --hosts=test2 test
Allow user to create a keytab:
ipa host-allow-create-keytab test2 --users=tuser1
ID Views
Manage ID Views
IPA allows to override certain properties of users and groups per each host.
This functionality is primarily used to allow migration from older systems or
other Identity Management solutions.
IPA certificate operations
IPA certificate operations
Implements a set of commands for managing server SSL certificates.
Certificate requests exist in the form of a Certificate Signing Request (CSR)
in PEM format.
If using the selfsign back end then the subject in the CSR needs to match
the subject configured in the server. The dogtag CA uses just the CN
value of the CSR and forces the rest of the subject.
A certificate is stored with a service principal and a service principal
needs a host.
In order to request a certificate:
* The host must exist
* The service must exist (or you use the --add option to automatically add it)
EXAMPLES:
Request a new certificate and add the principal:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr
Retrieve an existing certificate:
ipa cert-show 1032
Revoke a certificate (see RFC 5280 for reason details):
ipa cert-revoke --revocation-reason=6 1032
Remove a certificate from revocation hold status:
ipa cert-remove-hold 1032
Check the status of a signing request:
ipa cert-status 10
IPA currently immediately issues (or declines) all certificate requests so
the status of a request is not normally useful. This is for future use
or the case where a CA does not immediately issue a certificate.
The following revocation reasons are supported:
* 0 - unspecified
* 1 - keyCompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
* 10 - aACompromise
Note that reason code 7 is not used. See RFC 5280 for more details:
http://www.ietf.org/rfc/rfc5280.txt
IPA certificate operations
Implements a set of commands for managing server SSL certificates.
Certificate requests exist in the form of a Certificate Signing Request (CSR)
in PEM format.
The dogtag CA uses just the CN value of the CSR and forces the rest of the
subject to values configured in the server.
A certificate is stored with a service principal and a service principal
needs a host.
In order to request a certificate:
* The host must exist
* The service must exist (or you use the --add option to automatically add it)
SEARCHING:
Certificates may be searched on by certificate subject, serial number,
revocation reason, validity dates and the issued date.
When searching on dates the _from date does a >= search and the _to date
does a <= search. When combined these are done as an AND.
Dates are treated as GMT to match the dates in the certificates.
The date format is YYYY-mm-dd.
EXAMPLES:
Request a new certificate and add the principal:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr
Retrieve an existing certificate:
ipa cert-show 1032
Revoke a certificate (see RFC 5280 for reason details):
ipa cert-revoke --revocation-reason=6 1032
Remove a certificate from revocation hold status:
ipa cert-remove-hold 1032
Check the status of a signing request:
ipa cert-status 10
Search for certificates by hostname:
ipa cert-find --subject=ipaserver.example.com
Search for revoked certificates by reason:
ipa cert-find --revocation-reason=5
Search for certificates based on issuance date
ipa cert-find --issuedon-from=2013-02-01 --issuedon-to=2013-02-07
IPA currently immediately issues (or declines) all certificate requests so
the status of a request is not normally useful. This is for future use
or the case where a CA does not immediately issue a certificate.
The following revocation reasons are supported:
* 0 - unspecified
* 1 - keyCompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
* 10 - aACompromise
Note that reason code 7 is not used. See RFC 5280 for more details:
http://www.ietf.org/rfc/rfc5280.txt
IPA currently immediately issues (or declines) all certificate requests so
the status of a request is not normally useful. This is for future use
or the case where a CA does not immediately issue a certificate.
IPA locations
IPA provides a designated binddn to use with Sudo located at:
uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com
IPA provides a means to configure the various aspects of Sudo:
Users: The user(s)/group(s) allowed to invoke Sudo.
Hosts: The host(s)/hostgroup(s) which the user is allowed to to invoke Sudo.
Allow Command: The specific command(s) permitted to be run via Sudo.
Deny Command: The specific command(s) prohibited to be run via Sudo.
RunAsUser: The user(s) or group(s) of users whose rights Sudo will be invoked with.
RunAsGroup: The group(s) whose gid rights Sudo will be invoked with.
Options: The various Sudoers Options that can modify Sudo's behavior.
IPA server roles
IPA server's data is stored in LDAP server in two suffixes:
* domain suffix, e.g., 'dc=example,dc=com', contains all domain related data
* ca suffix, 'o=ipaca', is present only on server with CA installed. It
contains data for Certificate Server component
IPA servers
IPA servers
Get information about installed IPA servers.
EXAMPLES:
Find all servers:
ipa server-find
Show specific server:
ipa server-show ipa.example.com
IPA supports the use of OTP tokens for multi-factor authentication. This
code enables the management of OTP tokens.
IPA supports the use of an external RADIUS proxy server for krb5 OTP
authentications. This permits a great deal of flexibility when
integrating with third-party authentication services.
IPA supports the use of certificates for authentication. Certificates can
either be stored in the user entry (full certificate in the usercertificate
attribute), or simply linked to the user entry through a mapping.
This code enables the management of the rules allowing to link a
certificate to a user entry.
Implements a set of commands for managing server SSL certificates.
In order to request a certificate:
It may be difficult to manipulate such DNS records without making a mistake
and entering an invalid value. DNS module provides an abstraction over these
raw records and allows to manipulate each RR type with specific options. For
each supported RR type, DNS module provides a standard option to manipulate
a raw records with format --<rrtype>-rec, e.g. --mx-rec, and special options
for every part of the RR structure with format --<rrtype>-<partname>, e.g.
--mx-preference and --mx-exchanger.
Joining an IPA domain
Kerberos PKINIT feature status reporting tools.
Report IPA masters on which Kerberos PKINIT is enabled or disabled
EXAMPLES:
List PKINIT status on all masters:
ipa pkinit-status
Check PKINIT status on `ipa.example.com`:
ipa pkinit-status --server ipa.example.com
List all IPA masters with disabled PKINIT:
ipa pkinit-status --status='disabled'
For more info about PKINIT support see:
https://www.freeipa.org/page/V4/Kerberos_PKINIT
Kerberos pkinit options
Enable or disable anonymous pkinit using the principal
WELLKNOWN/ANONYMOUS@REALM. The server must have been installed with
pkinit support.
EXAMPLES:
Enable anonymous pkinit:
ipa pkinit-anonymous enable
Disable anonymous pkinit:
ipa pkinit-anonymous disable
For more information on anonymous pkinit see:
http://k5wiki.kerberos.org/wiki/Projects/Anonymous_pkinit
Kerberos ticket policy
There is a single Kerberos ticket policy. This policy defines the
maximum ticket lifetime and the maximum renewal age, the period during
which the ticket is renewable.
You can also create a per-user ticket policy by specifying the user login.
For changes to the global policy to take effect, restarting the KDC service
is required, which can be achieved using:
service krb5kdc restart
Changes to per-user policies take effect immediately for newly requested
tickets (e.g. when the user next runs kinit).
EXAMPLES:
Display the current Kerberos ticket policy:
ipa krbtpolicy-show
Reset the policy to the default:
ipa krbtpolicy-reset
Modify the policy to 8 hours max life, 1-day max renewal:
ipa krbtpolicy-mod --maxlife=28800 --maxrenew=86400
Display effective Kerberos ticket policy for user 'admin':
ipa krbtpolicy-show admin
Reset per-user policy for user 'admin':
ipa krbtpolicy-reset admin
Modify per-user policy for user 'admin':
ipa krbtpolicy-mod admin --maxlife=3600
Lockout status of a user account
An account may become locked if the password is entered incorrectly too
many times within a specific time period as controlled by password
policy. A locked account is a temporary condition and may be unlocked by
an administrator.
This connects to each IPA master and displays the lockout status on
each one.
To determine whether an account is locked on a given server you need
to compare the number of failed logins and the time of the last failure.
For an account to be locked it must exceed the maxfail failures within
the failinterval duration as specified in the password policy associated
with the user.
The failed login counter is modified only when a user attempts a log in
so it is possible that an account may appear locked but the last failed
login attempt is older than the lockouttime of the password policy. This
means that the user may attempt a login again.
Manage CA ACL rules.
This plugin is used to define rules governing which CAs and profiles
may be used to issue certificates to particular principals or groups
of principals.
SUBJECT PRINCIPAL SCOPE:
For a certificate request to be allowed, the principal(s) that are
the subject of a certificate request (not necessarily the principal
actually requesting the certificate) must be included in the scope
of a CA ACL that also includes the target CA and profile.
Users can be included by name, group or the "all users" category.
Hosts can be included by name, hostgroup or the "all hosts"
category. Services can be included by service name or the "all
services" category. CA ACLs may be associated with a single type of
principal, or multiple types.
CERTIFICATE AUTHORITY SCOPE:
A CA ACL can be associated with one or more CAs by name, or by the
"all CAs" category. For compatibility reasons, a CA ACL with no CA
association implies an association with the 'ipa' CA (and only this
CA).
PROFILE SCOPE:
A CA ACL can be associated with one or more profiles by Profile ID.
The Profile ID is a string without spaces or punctuation starting
with a letter and followed by a sequence of letters, digits or
underscore ("_").
EXAMPLES:
Create a CA ACL "test" that grants all users access to the
"UserCert" profile on all CAs:
ipa caacl-add test --usercat=all --cacat=all
ipa caacl-add-profile test --certprofiles UserCert
Display the properties of a named CA ACL:
ipa caacl-show test
Create a CA ACL to let user "alice" use the "DNP3" profile on "DNP3-CA":
ipa caacl-add alice_dnp3
ipa caacl-add-ca alice_dnp3 --cas DNP3-CA
ipa caacl-add-profile alice_dnp3 --certprofiles DNP3
ipa caacl-add-user alice_dnp3 --user=alice
Disable a CA ACL:
ipa caacl-disable test
Remove a CA ACL:
ipa caacl-del test
Manage CA ACL rules.
This plugin is used to define rules governing which principals are
permitted to have certificates issued using a given certificate
profile.
PROFILE ID SYNTAX:
A Profile ID is a string without spaces or punctuation starting with a letter
and followed by a sequence of letters, digits or underscore ("_").
EXAMPLES:
Create a CA ACL "test" that grants all users access to the
"UserCert" profile:
ipa caacl-add test --usercat=all
ipa caacl-add-profile test --certprofiles UserCert
Display the properties of a named CA ACL:
ipa caacl-show test
Create a CA ACL to let user "alice" use the "DNP3" profile:
ipa caacl-add-profile alice_dnp3 --certprofiles DNP3
ipa caacl-add-user alice_dnp3 --user=alice
Disable a CA ACL:
ipa caacl-disable test
Remove a CA ACL:
ipa caacl-del test
Manage Certificate Authorities
Manage Certificate Identity Mapping configuration and rules.
Manage Certificate Profiles
Certificate Profiles are used by Certificate Authority (CA) in the signing of
certificates to determine if a Certificate Signing Request (CSR) is acceptable,
and if so what features and extensions will be present on the certificate.
The Certificate Profile format is the property-list format understood by the
Dogtag or Red Hat Certificate System CA.
PROFILE ID SYNTAX:
A Profile ID is a string without spaces or punctuation starting with a letter
and followed by a sequence of letters, digits or underscore ("_").
EXAMPLES:
Import a profile that will not store issued certificates:
ipa certprofile-import ShortLivedUserCert --file UserCert.profile --desc "User Certificates" --store=false
Delete a certificate profile:
ipa certprofile-del ShortLivedUserCert
Show information about a profile:
ipa certprofile-show ShortLivedUserCert
Save profile configuration to a file:
ipa certprofile-show caIPAserviceCert --out caIPAserviceCert.cfg
Search for profiles that do not store certificates:
ipa certprofile-find --store=false
PROFILE CONFIGURATION FORMAT:
The profile configuration format is the raw property-list format
used by Dogtag Certificate System. The XML format is not supported.
The following restrictions apply to profiles managed by IPA:
- When importing a profile the "profileId" field, if present, must
match the ID given on the command line.
- The "classId" field must be set to "caEnrollImpl"
- The "auth.instance_id" field must be set to "raCertAuth"
- The "certReqInputImpl" input class and "certOutputImpl" output
class must be used.
Manage Certificate Profiles
Certificate Profiles are used by Certificate Authority (CA) in the signing of
certificates to determine if a Certificate Signing Request (CSR) is acceptable,
and if so what features and extensions will be present on the certificate.
The Certificate Profile format is the property-list format understood by the
Dogtag or Red Hat Certificate System CA.
PROFILE ID SYNTAX:
A Profile ID is a string without spaces or punctuation starting with a letter
and followed by a sequence of letters, digits or underscore ("_").
EXAMPLES:
Import a profile that will not store issued certificates:
ipa certprofile-import ShortLivedUserCert \
--file UserCert.profile --desc "User Certificates" \
--store=false
Delete a certificate profile:
ipa certprofile-del ShortLivedUserCert
Show information about a profile:
ipa certprofile-show ShortLivedUserCert
Save profile configuration to a file:
ipa certprofile-show caIPAserviceCert --out caIPAserviceCert.cfg
Search for profiles that do not store certificates:
ipa certprofile-find --store=false
PROFILE CONFIGURATION FORMAT:
The profile configuration format is the raw property-list format
used by Dogtag Certificate System. The XML format is not supported.
The following restrictions apply to profiles managed by IPA:
- When importing a profile the "profileId" field, if present, must
match the ID given on the command line.
- The "classId" field must be set to "caEnrollImpl"
- The "auth.instance_id" field must be set to "raCertAuth"
- The "certReqInputImpl" input class and "certOutputImpl" output
class must be used.
Manage DNS zone and resource records.
Manage OTP tokens.
Manage RADIUS Proxy Servers.
Manage YubiKey tokens.
Manage vaults.
Managed permissions
Manipulate DNS locations
Manipulate DNS server configuration
Migration to IPA
Migrate users and groups from an LDAP server to IPA.
This performs an LDAP query against the remote server searching for
users and groups in a container. In order to migrate passwords you need
to bind as a user that can read the userPassword attribute on the remote
server. This is generally restricted to high-level admins such as
cn=Directory Manager in 389-ds (this is the default bind user).
The default user container is ou=People.
The default group container is ou=Groups.
Users and groups that already exist on the IPA server are skipped.
Two LDAP schemas define how group members are stored: RFC2307 and
RFC2307bis. RFC2307bis uses member and uniquemember to specify group
members, RFC2307 uses memberUid. The default schema is RFC2307bis.
The schema compat feature allows IPA to reformat data for systems that
do not support RFC2307bis. It is recommended that this feature is disabled
during migration to reduce system overhead. It can be re-enabled after
migration. To migrate with it enabled use the "--with-compat" option.
Migrated users do not have Kerberos credentials, they have only their
LDAP password. To complete the migration process, users need to go
to http://ipa.example.com/ipa/migration and authenticate using their
LDAP password in order to generate their Kerberos credentials.
Migration is disabled by default. Use the command ipa config-mod to
enable it:
ipa config-mod --enable-migration=TRUE
If a base DN is not provided with --basedn then IPA will use either
the value of defaultNamingContext if it is set or the first value
in namingContexts set in the root of the remote LDAP server.
Users are added as members to the default user group. This can be a
time-intensive task so during migration this is done in a batch
mode for every 100 users. As a result there will be a window in which
users will be added to IPA but will not be members of the default
user group.
EXAMPLES:
The simplest migration, accepting all defaults:
ipa migrate-ds ldap://ds.example.com:389
Specify the user and group container. This can be used to migrate user
and group data from an IPA v1 server:
ipa migrate-ds --user-container='cn=users,cn=accounts' --group-container='cn=groups,cn=accounts' ldap://ds.example.com:389
Since IPA v2 server already contain predefined groups that may collide with
groups in migrated (IPA v1) server (for example admins, ipausers), users
having colliding group as their primary group may happen to belong to
an unknown group on new IPA v2 server.
Use --group-overwrite-gid option to overwrite GID of already existing groups
to prevent this issue:
ipa migrate-ds --group-overwrite-gid --user-container='cn=users,cn=accounts' --group-container='cn=groups,cn=accounts' ldap://ds.example.com:389
Migrated users or groups may have object class and accompanied attributes
unknown to the IPA v2 server. These object classes and attributes may be
left out of the migration process:
ipa migrate-ds --user-container='cn=users,cn=accounts' --group-container='cn=groups,cn=accounts' --user-ignore-objectclass=radiusprofile --user-ignore-attribute=radiusgroupname ldap://ds.example.com:389
LOGGING
Migration will log warnings and errors to the Apache error log. This
file should be evaluated post-migration to correct or investigate any
issues that were discovered.
For every 100 users migrated an info-level message will be displayed to
give the current progress and duration to make it possible to track
the progress of migration.
If the log level is debug, either by setting debug = True in
/etc/ipa/default.conf or /etc/ipa/server.conf, then an entry will be printed
for each user added plus a summary when the default user group is
updated.
Migration to IPA
Migrate users and groups from an LDAP server to IPA.
This performs an LDAP query against the remote server searching for
users and groups in a container. In order to migrate passwords you need
to bind as a user that can read the userPassword attribute on the remote
server. This is generally restricted to high-level admins such as
cn=Directory Manager in 389-ds (this is the default bind user).
The default user container is ou=People.
The default group container is ou=Groups.
Users and groups that already exist on the IPA server are skipped.
Two LDAP schemas define how group members are stored: RFC2307 and
RFC2307bis. RFC2307bis uses member and uniquemember to specify group
members, RFC2307 uses memberUid. The default schema is RFC2307bis.
The schema compat feature allows IPA to reformat data for systems that
do not support RFC2307bis. It is recommended that this feature is disabled
during migration to reduce system overhead. It can be re-enabled after
migration. To migrate with it enabled use the "--with-compat" option.
Migrated users do not have Kerberos credentials, they have only their
LDAP password. To complete the migration process, users need to go
to http://ipa.example.com/ipa/migration and authenticate using their
LDAP password in order to generate their Kerberos credentials.
Migration is disabled by default. Use the command ipa config-mod to
enable it:
ipa config-mod --enable-migration=TRUE
If a base DN is not provided with --basedn then IPA will use either
the value of defaultNamingContext if it is set or the first value
in namingContexts set in the root of the remote LDAP server.
Users are added as members to the default user group. This can be a
time-intensive task so during migration this is done in a batch
mode for every 100 users. As a result there will be a window in which
users will be added to IPA but will not be members of the default
user group.
EXAMPLES:
The simplest migration, accepting all defaults:
ipa migrate-ds ldap://ds.example.com:389
Specify the user and group container. This can be used to migrate user
and group data from an IPA v1 server:
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Since IPA v2 server already contain predefined groups that may collide with
groups in migrated (IPA v1) server (for example admins, ipausers), users
having colliding group as their primary group may happen to belong to
an unknown group on new IPA v2 server.
Use --group-overwrite-gid option to overwrite GID of already existing groups
to prevent this issue:
ipa migrate-ds --group-overwrite-gid \
--user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Migrated users or groups may have object class and accompanied attributes
unknown to the IPA v2 server. These object classes and attributes may be
left out of the migration process:
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
--user-ignore-objectclass=radiusprofile \
--user-ignore-attribute=radiusgroupname \
ldap://ds.example.com:389
LOGGING
Migration will log warnings and errors to the Apache error log. This
file should be evaluated post-migration to correct or investigate any
issues that were discovered.
For every 100 users migrated an info-level message will be displayed to
give the current progress and duration to make it possible to track
the progress of migration.
If the log level is debug, either by setting debug = True in
/etc/ipa/default.conf or /etc/ipa/server.conf, then an entry will be printed
for each user added plus a summary when the default user group is
updated.
Misc plug-ins
Modify ID range.
=======
WARNING:
DNA plugin in 389-ds will allocate IDs based on the ranges configured for the
local domain. Currently the DNA plugin *cannot* be reconfigured itself based
on the local ranges set via this family of commands.
Manual configuration change has to be done in the DNA plugin configuration for
the new local range. Specifically, The dnaNextRange attribute of 'cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config' has to be
modified to match the new range.
=======
Modify a trust (for future use).
Currently only the default option to modify the LDAP attributes is
available. More specific options will be added in coming releases.
Netgroups
A netgroup is a group used for permission checking. It can contain both
user and host values.
EXAMPLES:
Add a new netgroup:
ipa netgroup-add --desc="NFS admins" admins
Add members to the netgroup:
ipa netgroup-add-member --users=tuser1 --users=tuser2 admins
Remove a member from the netgroup:
ipa netgroup-remove-member --users=tuser2 admins
Display information about a netgroup:
ipa netgroup-show admins
Delete a netgroup:
ipa netgroup-del admins
Netgroups
A netgroup is a group used for permission checking. It can contain both
user and host values.
EXAMPLES:
Add a new netgroup:
ipa netgroup-add --desc="NFS admins" admins
Add members to the netgroup:
ipa netgroup-add-member --users=tuser1,tuser2 admins
Remove a member from the netgroup:
ipa netgroup-remove-member --users=tuser2 admins
Display information about a netgroup:
ipa netgroup-show admins
Delete a netgroup:
ipa netgroup-del admins
Note that reason code 7 is not used. See RFC 5280 for more details:
Note the distinction between attributes and entries. The permissions are
independent, so being able to add a user does not mean that the user will
be editable.
OTP Tokens
OTP Tokens
Manage OTP tokens.
IPA supports the use of OTP tokens for multi-factor authentication. This
code enables the management of OTP tokens.
EXAMPLES:
Add a new token:
ipa otptoken-add --type=totp --owner=jdoe --desc="My soft token"
Examine the token:
ipa otptoken-show a93db710-a31a-4639-8647-f15b2c70b78a
Change the vendor:
ipa otptoken-mod a93db710-a31a-4639-8647-f15b2c70b78a --vendor="Red Hat"
Delete a token:
ipa otptoken-del a93db710-a31a-4639-8647-f15b2c70b78a
OTP configuration
Manage the default values that IPA uses for OTP tokens.
EXAMPLES:
Show basic OTP configuration:
ipa otpconfig-show
Show all OTP configuration options:
ipa otpconfig-show --all
Change maximum TOTP authentication window to 10 minutes:
ipa otpconfig-mod --totp-auth-window=600
Change maximum TOTP synchronization window to 12 hours:
ipa otpconfig-mod --totp-sync-window=43200
Change maximum HOTP authentication window to 5:
ipa hotpconfig-mod --hotp-auth-window=5
Change maximum HOTP synchronization window to 50:
ipa hotpconfig-mod --hotp-sync-window=50
Password policy
A password policy sets limitations on IPA passwords, including maximum
lifetime, minimum lifetime, the number of passwords to save in
history, the number of character classes required (for stronger passwords)
and the minimum password length.
By default there is a single, global policy for all users. You can also
create a password policy to apply to a group. Each user is only subject
to one password policy, either the group policy or the global policy. A
group policy stands alone; it is not a super-set of the global policy plus
custom settings.
Each group password policy requires a unique priority setting. If a user
is in multiple groups that have password policies, this priority determines
which password policy is applied. A lower value indicates a higher priority
policy.
Group password policies are automatically removed when the groups they
are associated with are removed.
EXAMPLES:
Modify the global policy:
ipa pwpolicy-mod --minlength=10
Add a new group password policy:
ipa pwpolicy-add --maxlife=90 --minlife=1 --history=10 --minclasses=3 --minlength=8 --priority=10 localadmins
Display the global password policy:
ipa pwpolicy-show
Display a group password policy:
ipa pwpolicy-show localadmins
Display the policy that would be applied to a given user:
ipa pwpolicy-show --user=tuser1
Modify a group password policy:
ipa pwpolicy-mod --minclasses=2 localadmins
Permissions
Permissions
A permission enables fine-grained delegation of rights. A permission is
a human-readable form of a 389-ds Access Control Rule, or instruction (ACI).
A permission grants the right to perform a specific task such as adding a
user, modifying a group, etc.
A permission may not contain other permissions.
* A permission grants access to read, write, add or delete.
* A privilege combines similar permissions (for example all the permissions
needed to add a user).
* A role grants a set of privileges to users, groups, hosts or hostgroups.
A permission is made up of a number of different parts:
1. The name of the permission.
2. The target of the permission.
3. The rights granted by the permission.
Rights define what operations are allowed, and may be one or more
of the following:
1. write - write one or more attributes
2. read - read one or more attributes
3. add - add a new entry to the tree
4. delete - delete an existing entry
5. all - all permissions are granted
Read permission is granted for most attributes by default so the read
permission is not expected to be used very often.
Note the distinction between attributes and entries. The permissions are
independent, so being able to add a user does not mean that the user will
be editable.
There are a number of allowed targets:
1. type: a type of object (user, group, etc).
2. memberof: a member of a group or hostgroup
3. filter: an LDAP filter
4. subtree: an LDAP filter specifying part of the LDAP DIT. This is a
super-set of the "type" target.
5. targetgroup: grant access to modify a specific group (such as granting
the rights to manage group membership)
EXAMPLES:
Add a permission that grants the creation of users:
ipa permission-add --type=user --permissions=add "Add Users"
Add a permission that grants the ability to manage group membership:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"
Permissions
A permission enables fine-grained delegation of rights. A permission is
a human-readable wrapper around a 389-ds Access Control Rule,
or instruction (ACI).
A permission grants the right to perform a specific task such as adding a
user, modifying a group, etc.
A permission may not contain other permissions.
* A permission grants access to read, write, add, delete, read, search,
or compare.
* A privilege combines similar permissions (for example all the permissions
needed to add a user).
* A role grants a set of privileges to users, groups, hosts or hostgroups.
A permission is made up of a number of different parts:
1. The name of the permission.
2. The target of the permission.
3. The rights granted by the permission.
Rights define what operations are allowed, and may be one or more
of the following:
1. write - write one or more attributes
2. read - read one or more attributes
3. search - search on one or more attributes
4. compare - compare one or more attributes
5. add - add a new entry to the tree
6. delete - delete an existing entry
7. all - all permissions are granted
Note the distinction between attributes and entries. The permissions are
independent, so being able to add a user does not mean that the user will
be editable.
There are a number of allowed targets:
1. subtree: a DN; the permission applies to the subtree under this DN
2. target filter: an LDAP filter
3. target: DN with possible wildcards, specifies entries permission applies to
Additionally, there are the following convenience options.
Setting one of these options will set the corresponding attribute(s).
1. type: a type of object (user, group, etc); sets subtree and target filter.
2. memberof: apply to members of a group; sets target filter
3. targetgroup: grant access to modify a specific group (such as granting
the rights to manage group membership); sets target.
Managed permissions
Permissions that come with IPA by default can be so-called "managed"
permissions. These have a default set of attributes they apply to,
but the administrator can add/remove individual attributes to/from the set.
Deleting or renaming a managed permission, as well as changing its target,
is not allowed.
EXAMPLES:
Add a permission that grants the creation of users:
ipa permission-add --type=user --permissions=add "Add Users"
Add a permission that grants the ability to manage group membership:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"
Permissions that come with IPA by default can be so-called "managed"
permissions. These have a default set of attributes they apply to,
but the administrator can add/remove individual attributes to/from the set.
Ping the remote IPA server to ensure it is running.
The ping command sends an echo request to an IPA server. The server
returns its version information. This is used by an IPA client
to confirm that the server is available and accepting requests.
The server from xmlrpc_uri in /etc/ipa/default.conf is contacted first.
If it does not respond then the client will contact any servers defined
by ldap SRV records in DNS.
EXAMPLES:
Ping an IPA server:
ipa ping
------------------------------------------
IPA server version 2.1.9. API version 2.20
------------------------------------------
Ping an IPA server verbosely:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server 'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
IPA server version 2.1.9. API version 2.20
-----------------------------------------------------
Ping the remote IPA server to ensure it is running.
The ping command sends an echo request to an IPA server. The server
returns its version information. This is used by an IPA client
to confirm that the server is available and accepting requests.
The server from xmlrpc_uri in /etc/ipa/default.conf is contacted first.
If it does not respond then the client will contact any servers defined
by ldap SRV records in DNS.
EXAMPLES:
Ping an IPA server:
ipa ping
------------------------------------------
IPA server version 2.1.9. API version 2.20
------------------------------------------
Ping an IPA server verbosely:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server u'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
IPA server version 2.1.9. API version 2.20
-----------------------------------------------------
Plugin to make multiple ipa calls via one remote procedure call
To run this code in the lite-server
curl -H "Content-Type:application/json" -H "Accept:application/json" -H "Accept-Language:en" --negotiate -u : --cacert /etc/ipa/ca.crt -d @batch_request.json -X POST http://localhost:8888/ipa/json
where the contents of the file batch_request.json follow the below example
{"method":"batch","params":[[
{"method":"group_find","params":[[],{}]},
{"method":"user_find","params":[[],{"whoami":"true","all":"true"}]},
{"method":"user_show","params":[["admin"],{"all":true}]}
],{}],"id":1}
The format of the response is nested the same way. At the top you will see
"error": null,
"id": 1,
"result": {
"count": 3,
"results": [
And then a nested response for each IPA command method sent in the request
Plugin to make multiple ipa calls via one remote procedure call
To run this code in the lite-server
curl -H "Content-Type:application/json" -H "Accept:application/json" -H "Accept-Language:en" --negotiate -u : --cacert /etc/ipa/ca.crt -d @batch_request.json -X POST http://localhost:8888/ipa/json
where the contents of the file batch_request.json follow the below example
{"method":"batch","params":[[
{"method":"group_find","params":[[],{}]},
{"method":"user_find","params":[[],{"whoami":"true","all":"true"}]},
{"method":"user_show","params":[["admin"],{"all":true}]}
],{}],"id":1}
The format of the response is nested the same way. At the top you will see
"error": null,
"id": 1,
"result": {
"count": 3,
"results": [
And then a nested response for each IPA command method sent in the request
Plugins not accessible directly through the CLI, commands used internally
Privileges
A privilege combines permissions into a logical task. A permission provides
the rights to do a single task. There are some IPA operations that require
multiple permissions to succeed. A privilege is where permissions are
combined in order to perform a specific task.
For example, adding a user requires the following permissions:
* Creating a new user entry
* Resetting a user password
* Adding the new user to the default IPA users group
Combining these three low-level tasks into a higher level task in the
form of a privilege named "Add User" makes it easier to manage Roles.
A privilege may not contain other privileges.
See role and permission for additional information.
Provides API introspection capabilities.
RADIUS Proxy Servers
RADIUS Proxy Servers
Manage RADIUS Proxy Servers.
IPA supports the use of an external RADIUS proxy server for krb5 OTP
authentications. This permits a great deal of flexibility when
integrating with third-party authentication services.
EXAMPLES:
Add a new server:
ipa radiusproxy-add MyRADIUS --server=radius.example.com:1812
Find all servers whose entries include the string "example.com":
ipa radiusproxy-find example.com
Examine the configuration:
ipa radiusproxy-show MyRADIUS
Change the secret:
ipa radiusproxy-mod MyRADIUS --secret
Delete a configuration:
ipa radiusproxy-del MyRADIUS
RE-ENROLLMENT:
Host that has been enrolled at some point, and lost its configuration (e.g. VM
destroyed) can be re-enrolled.
For more information, consult the manual pages for ipa-client-install.
A host can optionally store information such as where it is located,
the OS that it runs, etc.
Raise the IPA Domain Level.
Realm domains
Manage the list of domains associated with IPA realm.
EXAMPLES:
Display the current list of realm domains:
ipa realmdomains-show
Replace the list of realm domains:
ipa realmdomains-mod --domain=example.com
ipa realmdomains-mod --domain={example1.com,example2.com,example3.com}
Add a domain to the list of realm domains:
ipa realmdomains-mod --add-domain=newdomain.com
Delete a domain from the list of realm domains:
ipa realmdomains-mod --del-domain=olddomain.com
Realm domains
Manage the list of domains associated with IPA realm.
This list is useful for Domain Controllers from other realms which have
established trust with this IPA realm. They need the information to know
which request should be forwarded to KDC of this IPA realm.
Automatic management: a domain is automatically added to the realm domains
list when a new DNS Zone managed by IPA is created. Same applies for deletion.
Externally managed DNS: domains which are not managed in IPA server DNS
need to be manually added to the list using ipa realmdomains-mod command.
EXAMPLES:
Display the current list of realm domains:
ipa realmdomains-show
Replace the list of realm domains:
ipa realmdomains-mod --domain=example.com
ipa realmdomains-mod --domain={example1.com,example2.com,example3.com}
Add a domain to the list of realm domains:
ipa realmdomains-mod --add-domain=newdomain.com
Delete a domain from the list of realm domains:
ipa realmdomains-mod --del-domain=olddomain.com
Removal of '%(hostname)s' leads to disconnected topology in suffix '%(suffix)s':
%(errors)s
Replication topology in suffix '%(suffix)s' is disconnected:
%(errors)s
Return information about currently authenticated identity
Who am I command returns information on how to get
more details about the identity authenticated for this
request. The information includes:
* type of object
* command to retrieve details of the object
* arguments and options to pass to the command
The information is returned as a dictionary. Examples below use
'key: value' output for illustrative purposes.
EXAMPLES:
Look up as IPA user:
kinit admin
ipa console
>> api.Command.whoami()
------------------------------------------
object: user
command: user_show/1
arguments: admin
------------------------------------------
Look up as a user from a trusted domain:
kinit user@AD.DOMAIN
ipa console
>> api.Command.whoami()
------------------------------------------
object: idoverrideuser
command: idoverrideuser_show/1
arguments: ('default trust view', 'user@ad.domain')
------------------------------------------
Look up as a host:
kinit -k
ipa console
>> api.Command.whoami()
------------------------------------------
object: host
command: host_show/1
arguments: ipa.example.com
------------------------------------------
Look up as a Kerberos service:
kinit -k -t /path/to/keytab HTTP/ipa.example.com
ipa console
>> api.Command.whoami()
------------------------------------------
object: service
command: service_show/1
arguments: HTTP/ipa.example.com
------------------------------------------
Rights define what operations are allowed, and may be one or more
of the following:
1. write - write one or more attributes
2. read - read one or more attributes
3. search - search on one or more attributes
4. compare - compare one or more attributes
5. add - add a new entry to the tree
6. delete - delete an existing entry
7. all - all permissions are granted
Roles
A role is used for fine-grained delegation. A permission grants the ability
to perform given low-level tasks (add a user, modify a group, etc.). A
privilege combines one or more permissions into a higher-level abstraction
such as useradmin. A useradmin would be able to add, delete and modify users.
Privileges are assigned to Roles.
Users, groups, hosts and hostgroups may be members of a Role.
Roles can not contain other roles.
EXAMPLES:
Add a new role:
ipa role-add --desc="Junior-level admin" junioradmin
Add some privileges to this role:
ipa role-add-privilege --privileges=addusers junioradmin
ipa role-add-privilege --privileges=change_password junioradmin
ipa role-add-privilege --privileges=add_user_to_default_group junioradmin
Add a group of users to this role:
ipa group-add --desc="User admins" useradmins
ipa role-add-member --groups=useradmins junioradmin
Display information about a role:
ipa role-show junioradmin
The result of this is that any users in the group 'junioradmin' can
add users, reset passwords or add a user to the default IPA user group.
SEARCHING:
SELinux User Mapping
Map IPA users to SELinux users by host.
Hosts, hostgroups, users and groups can be either defined within
the rule or it may point to an existing HBAC rule. When using
--hbacrule option to selinuxusermap-find an exact match is made on the
HBAC rule name, so only one or zero entries will be returned.
EXAMPLES:
Create a rule, "test1", that sets all users to xguest_u:s0 on the host "server":
ipa selinuxusermap-add --usercat=all --selinuxuser=xguest_u:s0 test1
ipa selinuxusermap-add-host --hosts=server.example.com test1
Create a rule, "test2", that sets all users to guest_u:s0 and uses an existing HBAC rule for users and hosts:
ipa selinuxusermap-add --usercat=all --hbacrule=webserver --selinuxuser=guest_u:s0 test2
Display the properties of a rule:
ipa selinuxusermap-show test2
Create a rule for a specific user. This sets the SELinux context for
user john to unconfined_u:s0-s0:c0.c1023 on any machine:
ipa selinuxusermap-add --hostcat=all --selinuxuser=unconfined_u:s0-s0:c0.c1023 john_unconfined
ipa selinuxusermap-add-user --users=john john_unconfined
Disable a rule:
ipa selinuxusermap-disable test1
Enable a rule:
ipa selinuxusermap-enable test1
Find a rule referencing a specific HBAC rule:
ipa selinuxusermap-find --hbacrule=allow_some
Remove a rule:
ipa selinuxusermap-del john_unconfined
SEEALSO:
The list controlling the order in which the SELinux user map is applied
and the default SELinux user are available in the config-show command.
SUPPORTED ZONE TYPES
* Master zone (dnszone-*), contains authoritative data.
* Forward zone (dnsforwardzone-*), forwards queries to configured forwarders
(a set of DNS servers).
Search for ACIs.
Returns a list of ACIs
EXAMPLES:
To find all ACIs that apply directly to members of the group ipausers:
ipa aci-find --memberof=ipausers
To find all ACIs that grant add access:
ipa aci-find --permissions=add
Note that the find command only looks for the given text in the set of
ACIs, it does not evaluate the ACIs to see if something would apply.
For example, searching on memberof=ipausers will find all ACIs that
have ipausers as a memberof. There may be other ACIs that apply to
members of that group indirectly.
Self-service Permissions
A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.
A Self-service permission defines what an object can change in its own entry.
EXAMPLES:
Add a self-service rule to allow users to manage their address (using Bash
brace expansion):
ipa selfservice-add --permissions=write --attrs={street,postalCode,l,c,st} "Users manage their own address"
When managing the list of attributes you need to include all attributes
in the list, including existing ones.
Add telephoneNumber to the list (using Bash brace expansion):
ipa selfservice-mod --attrs={street,postalCode,l,c,st,telephoneNumber} "Users manage their own address"
Display our updated rule:
ipa selfservice-show "Users manage their own address"
Delete a rule:
ipa selfservice-del "Users manage their own address"
Self-service Permissions
A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.
A Self-service permission defines what an object can change in its own entry.
EXAMPLES:
Add a self-service rule to allow users to manage their address:
ipa selfservice-add --permissions=write --attrs=street,postalCode,l,c,st "Users manage their own address"
When managing the list of attributes you need to include all attributes
in the list, including existing ones. Add telephoneNumber to the list:
ipa selfservice-mod --attrs=street,postalCode,l,c,st,telephoneNumber "Users manage their own address"
Display our updated rule:
ipa selfservice-show "Users manage their own address"
Delete a rule:
ipa selfservice-del "Users manage their own address"
Server configuration
Manage the default values that IPA uses and some of its tuning parameters.
NOTES:
The password notification value (--pwdexpnotify) is stored here so it will
be replicated. It is not currently used to notify users in advance of an
expiring password.
Some attributes are read-only, provided only for information purposes. These
include:
Certificate Subject base: the configured certificate subject base,
e.g. O=EXAMPLE.COM. This is configurable only at install time.
Password plug-in features: currently defines additional hashes that the
password will generate (there may be other conditions).
When setting the order list for mapping SELinux users you may need to
quote the value so it isn't interpreted by the shell.
EXAMPLES:
Show basic server configuration:
ipa config-show
Show all configuration options:
ipa config-show --all
Change maximum username length to 99 characters:
ipa config-mod --maxusername=99
Increase default time and size limits for maximum IPA server search:
ipa config-mod --searchtimelimit=10 --searchrecordslimit=2000
Set default user e-mail domain:
ipa config-mod --emaildomain=example.com
Enable migration mode to make "ipa migrate-ds" command operational:
ipa config-mod --enable-migration=TRUE
Define SELinux user map order:
ipa config-mod --ipaselinuxusermaporder='guest_u:s0$xguest_u:s0$user_u:s0-s0:c0.c1023$staff_u:s0-s0:c0.c1023$unconfined_u:s0-s0:c0.c1023'
Server configuration
Manage the default values that IPA uses and some of its tuning parameters.
NOTES:
The password notification value (--pwdexpnotify) is stored here so it will
be replicated. It is not currently used to notify users in advance of an
expiring password.
Some attributes are read-only, provided only for information purposes. These
include:
Certificate Subject base: the configured certificate subject base,
e.g. O=EXAMPLE.COM. This is configurable only at install time.
Password plug-in features: currently defines additional hashes that the
password will generate (there may be other conditions).
When setting the order list for mapping SELinux users you may need to
quote the value so it isn't interpreted by the shell.
The maximum length of a hostname in Linux is controlled by
MAXHOSTNAMELEN in the kernel and defaults to 64. Some other operating
systems, Solaris for example, allows hostnames up to 255 characters.
This option will allow flexibility in length but by default limiting
to the Linux maximum length.
EXAMPLES:
Show basic server configuration:
ipa config-show
Show all configuration options:
ipa config-show --all
Change maximum username length to 99 characters:
ipa config-mod --maxusername=99
Change maximum host name length to 255 characters:
ipa config-mod --maxhostname=255
Increase default time and size limits for maximum IPA server search:
ipa config-mod --searchtimelimit=10 --searchrecordslimit=2000
Set default user e-mail domain:
ipa config-mod --emaildomain=example.com
Enable migration mode to make "ipa migrate-ds" command operational:
ipa config-mod --enable-migration=TRUE
Define SELinux user map order:
ipa config-mod --ipaselinuxusermaporder='guest_u:s0$xguest_u:s0$user_u:s0-s0:c0.c1023$staff_u:s0-s0:c0.c1023$unconfined_u:s0-s0:c0.c1023'
Service Constrained Delegation
Manage rules to allow constrained delegation of credentials so
that a service can impersonate a user when communicating with another
service without requiring the user to actually forward their TGT.
This makes for a much better method of delegating credentials as it
prevents exposure of the short term secret of the user.
The naming convention is to append the word "target" or "targets" to
a matching rule name. This is not mandatory but helps conceptually
to associate rules and targets.
A rule consists of two things:
- A list of targets the rule applies to
- A list of memberPrincipals that are allowed to delegate for
those targets
A target consists of a list of principals that can be delegated.
In English, a rule says that this principal can delegate as this
list of principals, as defined by these targets.
EXAMPLES:
Add a new constrained delegation rule:
ipa servicedelegationrule-add ftp-delegation
Add a new constrained delegation target:
ipa servicedelegationtarget-add ftp-delegation-target
Add a principal to the rule:
ipa servicedelegationrule-add-member --principals=ftp/ipa.example.com ftp-delegation
Add our target to the rule:
ipa servicedelegationrule-add-target --servicedelegationtargets=ftp-delegation-target ftp-delegation
Add a principal to the target:
ipa servicedelegationtarget-add-member --principals=ldap/ipa.example.com ftp-delegation-target
Display information about a named delegation rule and target:
ipa servicedelegationrule_show ftp-delegation
ipa servicedelegationtarget_show ftp-delegation-target
Remove a constrained delegation:
ipa servicedelegationrule-del ftp-delegation-target
ipa servicedelegationtarget-del ftp-delegation
In this example the ftp service can get a TGT for the ldap service on
the bound user's behalf.
It is strongly discouraged to modify the delegations that ship with
IPA, ipa-http-delegation and its targets ipa-cifs-delegation-targets and
ipa-ldap-delegation-targets. Incorrect changes can remove the ability
to delegate, causing the framework to stop functioning.
Services
A IPA service represents a service that runs on a host. The IPA service
record can store a Kerberos principal, an SSL certificate, or both.
An IPA service can be managed directly from a machine, provided that
machine has been given the correct permission. This is true even for
machines other than the one the service is associated with. For example,
requesting an SSL certificate using the host service principal credentials
of the host. To manage a service using host credentials you need to
kinit as the host:
# kinit -kt /etc/krb5.keytab host/ipa.example.com@EXAMPLE.COM
Adding an IPA service allows the associated service to request an SSL
certificate or keytab, but this is performed as a separate step; they
are not produced as a result of adding the service.
Only the public aspect of a certificate is stored in a service record;
the private key is not stored.
EXAMPLES:
Add a new IPA service:
ipa service-add HTTP/web.example.com
Allow a host to manage an IPA service certificate:
ipa service-add-host --hosts=web.example.com HTTP/web.example.com
ipa role-add-member --hosts=web.example.com certadmin
Override a default list of supported PAC types for the service:
ipa service-mod HTTP/web.example.com --pac-type=MS-PAC
A typical use case where overriding the PAC type is needed is NFS.
Currently the related code in the Linux kernel can only handle Kerberos
tickets up to a maximal size. Since the PAC data can become quite large it
is recommended to set --pac-type=NONE for NFS services.
Delete an IPA service:
ipa service-del HTTP/web.example.com
Find all IPA services associated with a host:
ipa service-find web.example.com
Find all HTTP services:
ipa service-find HTTP
Disable the service Kerberos key and SSL certificate:
ipa service-disable HTTP/web.example.com
Request a certificate for an IPA service:
ipa cert-request --principal=HTTP/web.example.com example.csr
Services
A IPA service represents a service that runs on a host. The IPA service
record can store a Kerberos principal, an SSL certificate, or both.
An IPA service can be managed directly from a machine, provided that
machine has been given the correct permission. This is true even for
machines other than the one the service is associated with. For example,
requesting an SSL certificate using the host service principal credentials
of the host. To manage a service using host credentials you need to
kinit as the host:
# kinit -kt /etc/krb5.keytab host/ipa.example.com@EXAMPLE.COM
Adding an IPA service allows the associated service to request an SSL
certificate or keytab, but this is performed as a separate step; they
are not produced as a result of adding the service.
Only the public aspect of a certificate is stored in a service record;
the private key is not stored.
EXAMPLES:
Add a new IPA service:
ipa service-add HTTP/web.example.com
Allow a host to manage an IPA service certificate:
ipa service-add-host --hosts=web.example.com HTTP/web.example.com
ipa role-add-member --hosts=web.example.com certadmin
Override a default list of supported PAC types for the service:
ipa service-mod HTTP/web.example.com --pac-type=MS-PAC
A typical use case where overriding the PAC type is needed is NFS.
Currently the related code in the Linux kernel can only handle Kerberos
tickets up to a maximal size. Since the PAC data can become quite large it
is recommended to set --pac-type=NONE for NFS services.
Delete an IPA service:
ipa service-del HTTP/web.example.com
Find all IPA services associated with a host:
ipa service-find web.example.com
Find all HTTP services:
ipa service-find HTTP
Disable the service Kerberos key and SSL certificate:
ipa service-disable HTTP/web.example.com
Request a certificate for an IPA service:
ipa cert-request --principal=HTTP/web.example.com example.csr
Allow user to create a keytab:
ipa service-allow-create-keytab HTTP/web.example.com --users=tuser1
Generate and retrieve a keytab for an IPA service:
ipa-getkeytab -s ipa.example.com -p HTTP/web.example.com -k /etc/httpd/httpd.keytab
Services
A IPA service represents a service that runs on a host. The IPA service
record can store a Kerberos principal, an SSL certificate, or both.
An IPA service can be managed directly from a machine, provided that
machine has been given the correct permission. This is true even for
machines other than the one the service is associated with. For example,
requesting an SSL certificate using the host service principal credentials
of the host. To manage a service using host credentials you need to
kinit as the host:
# kinit -kt /etc/krb5.keytab host/ipa.example.com@EXAMPLE.COM
Adding an IPA service allows the associated service to request an SSL
certificate or keytab, but this is performed as a separate step; they
are not produced as a result of adding the service.
Only the public aspect of a certificate is stored in a service record;
the private key is not stored.
EXAMPLES:
Add a new IPA service:
ipa service-add HTTP/web.example.com
Allow a host to manage an IPA service certificate:
ipa service-add-host --hosts=web.example.com HTTP/web.example.com
ipa role-add-member --hosts=web.example.com certadmin
Override a default list of supported PAC types for the service:
ipa service-mod HTTP/web.example.com --pac-type=MS-PAC
Delete an IPA service:
ipa service-del HTTP/web.example.com
Find all IPA services associated with a host:
ipa service-find web.example.com
Find all HTTP services:
ipa service-find HTTP
Disable the service Kerberos key and SSL certificate:
ipa service-disable HTTP/web.example.com
Request a certificate for an IPA service:
ipa cert-request --principal=HTTP/web.example.com example.csr
Generate and retrieve a keytab for an IPA service:
ipa-getkeytab -s ipa.example.com -p HTTP/web.example.com -k /etc/httpd/httpd.keytab
Session Support for IPA
Session Support for IPA
John Dennis <jdennis@redhat.com>
Goals
=====
Provide per-user session data caching which persists between
requests. Desired features are:
* Integrates cleanly with minimum impact on existing infrastructure.
* Provides maximum security balanced against real-world performance
demands.
* Sessions must be able to be revoked (flushed).
* Should be flexible and easy to use for developers.
* Should leverage existing technology and code to the maximum extent
possible to avoid re-invention, excessive implementation time and to
benefit from robustness in field proven components commonly shared
in the open source community.
* Must support multiple independent processes which share session
data.
* System must function correctly if session data is available or not.
* Must be high performance.
* Should not be tied to specific web servers or browsers. Should
integrate with our chosen WSGI model.
Issues
======
Cookies
-------
Most session implementations are based on the use of cookies. Cookies
have some inherent problems.
* User has the option to disable cookies.
* User stored cookie data is not secure. Can be mitigated by setting
flags indicating the cookie is only to be used with SSL secured HTTP
connections to specific web resources and setting the cookie to
expire at session termination. Most modern browsers enforce these.
Where to store session data?
----------------------------
Session data may be stored on either on the client or on the
server. Storing session data on the client addresses the problem of
session data availability when requests are serviced by independent web
servers because the session data travels with the request. However
there are data size limitations. Storing session data on the client
also exposes sensitive data but this can be mitigated by encrypting
the session data such that only the server can decrypt it.
The more conventional approach is to bind session data to a unique
name, the session ID. The session ID is transmitted to the client and
the session data is paired with the session ID on the server in a
associative data store. The session data is retrieved by the server
using the session ID when the receiving the request. This eliminates
exposing sensitive session data on the client along with limitations
on data size. It however introduces the issue of session data
availability when requests are serviced by more than one server
process.
Multi-process session data availability
---------------------------------------
Apache (and other web servers) fork child processes to handle requests
in parallel. Also web servers may be deployed in a farm where requests
are load balanced in round robin fashion across different nodes. In
both cases session data cannot be stored in the memory of a server
process because it is not available to other processes, either sibling
children of a master server process or server processes on distinct
nodes.
Typically this is addressed by storing session data in a SQL
database. When a request is received by a server process containing a
session ID in it's cookie data the session ID is used to perform a SQL
query and the resulting data is then attached to the request as it
proceeds through the request processing pipeline. This of course
introduces coherency issues.
For IPA the introduction of a SQL database dependency is undesired and
should be avoided.
Session data may also be shared by independent processes by storing
the session data in files.
An alternative solution which has gained considerable popularity
recently is the use of a fast memory based caching server. Data is
stored in a single process memory and may be queried and set via a
light weight protocol using standard socket mechanisms, memcached is
one example. A typical use is to optimize SQL queries by storing a SQL
result in shared memory cache avoiding the more expensive SQL
operation. But the memory cache has distinct advantages in non-SQL
situations as well.
Possible implementations for use by IPA
=======================================
Apache Sessions
---------------
Apache has 2.3 has implemented session support via these modules:
mod_session
Overarching session support based on cookies.
See: http://httpd.apache.org/docs/2.3/mod/mod_session.html
mod_session_cookie
Stores session data in the client.
See: http://httpd.apache.org/docs/2.3/mod/mod_session_cookie.html
mod_session_crypto
Encrypts session data for security. Encryption key is shared
configuration parameter visible to all Apache processes and is
stored in a configuration file.
See: http://httpd.apache.org/docs/2.3/mod/mod_session_crypto.html
mod_session_dbd
Stores session data in a SQL database permitting multiple
processes to access and share the same session data.
See: http://httpd.apache.org/docs/2.3/mod/mod_session_dbd.html
Issues with Apache sessions
~~~~~~~~~~~~~~~~~~~~~~~~~~~
Although Apache has implemented generic session support and Apache is
our web server of preference it nonetheless introduces issues for IPA.
* Session support is only available in httpd >= 2.3 which at the
time of this writing is currently only available as a Beta release
from upstream. We currently only ship httpd 2.2, the same is true
for other distributions.
* We could package and ship the sessions modules as a temporary
package in httpd 2.2 environments. But this has the following
consequences:
- The code has to be backported. the module API has changed
slightly between httpd 2.2 and 2.3. The backporting is not
terribly difficult and a proof of concept has been
implemented.
- We would then be on the hook to package and maintain a special
case Apache package. This is maintenance burden as well as a
distribution packaging burden. Both of which would be best
avoided if possible.
* The design of the Apache session modules is such that they can
only be manipulated by other Apache modules. The ability of
consumers of the session data to control the session data is
simplistic, constrained and static during the period the request
is processed. Request handlers which are not native Apache modules
(e.g. IPA via WSGI) can only examine the session data
via request headers and reset it in response headers.
* Shared session data is available exclusively via SQL.
However using the 2.3 Apache session modules would give us robust
session support implemented in C based on standardized Apache
interfaces which are widely used.
Python Web Frameworks
---------------------
Virtually every Python web framework supports cookie based sessions,
e.g. Django, Twisted, Zope, Turbogears etc. Early on in IPA we decided
to avoid the use of these frameworks. Trying to pull in just one part
of these frameworks just to get session support would be problematic
because the code does not function outside it's framework.
IPA implemented sessions
------------------------
Originally it was believed the path of least effort was to utilize
existing session support, most likely what would be provided by
Apache. However there are enough basic modular components available in
native Python and other standard packages it should be possible to
provide session support meeting the aforementioned goals with a modest
implementation effort. Because we're leveraging existing components
the implementation difficulties are subsumed by other components which
have already been field proven and have community support. This is a
smart strategy.
Proposed Solution
=================
Our interface to the web server is via WSGI which invokes a callback
per request passing us an environmental context for the request. For
this discussion we'll name the WSGI callback "application()", a
conventional name in WSGI parlance.
Shared session data will be handled by memcached. We will create one
instance of memcached on each server node dedicated to IPA
exclusively. Communication with memcached will be via a UNIX socket
located in the file system under /var/run/ipa_memcached. It will be
protected by file permissions and optionally SELinux policy.
In application() we examine the request cookies and if there is an IPA
session cookie with a session ID we retrieve the session data from our
memcached instance.
The session data will be a Python dict. IPA components will read or
write their session information by using a pre-agreed upon name
(e.g. key) in the dict. This is a very flexible system and consistent
with how we pass data in most parts of IPA.
If the session data is not available an empty session data dict will
be created.
How does this session data travel with the request in the IPA
pipeline? In IPA we use the HTTP request/response to implement RPC. In
application() we convert the request into a procedure call passing it
arguments derived from the HTTP request. The passed parameters are
specific to the RPC method being invoked. The context the RPC call is
executing in is not passed as an RPC parameter.
How would the contextual information such as session data be bound to
the request and hence the RPC call?
In IPA when a RPC invocation is being prepared from a request we
recognize this will only ever be processed serially by one Python
thread. A thread local dict called "context" is allocated for each
thread. The context dict is cleared in between requests (e.g. RPC method
invocations). The per-thread context dict is populated during the
lifetime of the request and is used as a global data structure unique to
the request that various IPA component can read from and write to with
the assurance the data is unique to the current request and/or method
call.
The session data dict will be written into the context dict under the
session key before the RPC method begins execution. Thus session data
can be read and written by any IPA component by accessing
``context.session``.
When the RPC method finishes execution the session data bound to the
request/method is retrieved from the context and written back to the
memcached instance. The session ID is set in the response sent back to
the client in the ``Set-Cookie`` header along with the flags
controlling it's usage.
Issues and details
------------------
IPA code cannot depend on session data being present, however it
should always update session data with the hope it will be available
in the future. Session data may not be available because:
* This is the first request from the user and no session data has
been created yet.
* The user may have cookies disabled.
* The session data may have been flushed. memcached operates with
a fixed memory allocation and will flush entries on a LRU basis,
like with any cache there is no guarantee of persistence.
Also we may have have deliberately expired or deleted session
data, see below.
Cookie manipulation is done via the standard Python Cookie module.
Session cookies will be set to only persist as long as the browser has
the session open. They will be tagged so the browser only returns
the session ID on SSL secured HTTP requests. They will not be visible
to Javascript in the browser.
Session ID's will be created by using 48 bits of random data and
converted to 12 hexadecimal digits. Newly generated session ID's will
be checked for prior existence to handle the unlikely case the random
number repeats.
memcached will have significantly higher performance than a SQL or file
based storage solution. Communication is effectively though a pipe
(UNIX socket) using a very simple protocol and the data is held
entirely in process memory. memcached also scales easily, it is easy
to add more memcached processes and distribute the load across them.
At this point in time we don't anticipate the need for this.
A very nice feature of the Python memcached module is that when a data
item is written to the cache it is done with standard Python pickling
(pickling is a standard Python mechanism to marshal and unmarshal
Python objects). We adopt the convention the object written to cache
will be a dict to meet our internal data handling conventions. The
pickling code will recursively handle nested objects in the dict. Thus
we gain a lot of flexibility using standard Python data structures to
store and retrieve our session data without having to author and debug
code to marshal and unmarshal the data if some other storage mechanism
had been used. This is a significant implementation win. Of course
some common sense limitations need to observed when deciding on what
is written to the session cache keeping in mind the data is shared
between processes and it should not be excessively large (a
configurable option)
We can set an expiration on memcached entries. We may elect to do that
to force session data to be refreshed periodically. For example we may
wish the client to present fresh credentials on a periodic basis even
if the cached credentials are otherwise within their validity period.
We can explicitly delete session data if for some reason we believe it
is stale, invalid or compromised.
memcached also gives us certain facilities to prevent race conditions
between different processes utilizing the cache. For example you can
check of the entry has been modified since you last read it or use CAS
(Check And Set) semantics. What has to be protected in terms of cache
coherency will likely have to be determined as the session support is
utilized and different data items are added to the cache. This is very
much data and context specific. Fortunately memcached operations are
atomic.
Controlling the memcached process
---------------------------------
We need a mechanism to start the memcached process and secure it so
that only IPA components can access it.
Although memcached ships with both an initscript and systemd unit
files those are for generic instances. We want a memcached instance
dedicated exclusively to IPA usage. To accomplish this we would install
a systemd unit file or an SysV initscript to control the IPA specific
memcached service. ipactl would be extended to know about this
additional service. systemd's cgroup facility would give us additional
mechanisms to integrate the IPA memcached service within a larger IPA
process group.
Protecting the memcached data would be done via file permissions (and
optionally SELinux policy) on the UNIX domain socket. Although recent
implementations of memcached support authentication via SASL this
introduces a performance and complexity burden not warranted when
cached is dedicated to our exclusive use and access controlled by OS
mechanisms.
Conventionally daemons are protected by assigning a system uid and/or
gid to the daemon. A daemon launched by root will drop it's privileges
by assuming the effective uid:gid assigned to it. File system access
is controlled by the OS via the effective identity and SELinux policy
can be crafted based on the identity. Thus the memcached UNIX socket
would be protected by having it owned by a specific system user and/or
membership in a restricted system group (discounting for the moment
SELinux).
Unfortunately we currently do not have an IPA system uid whose
identity our processes operate under nor do we have an IPA system
group. IPA does manage a collection of related processes (daemons) and
historically each has been assigned their own uid. When these
unrelated processes communicate they mutually authenticate via other
mechanisms. We do not have much of a history of using shared file
system objects across identities. When file objects are created they
are typically assigned the identity of daemon needing to access the
object and are not accessed by other daemons, or they carry root
identity.
When our WSGI application runs in Apache it is run as a WSGI
daemon. This means when Apache starts up it forks off WSGI processes
for us and we are independent of other Apache processes. When WSGI is
run in this mode there is the ability to set the uid:gid of the WSGI
process hosting us, however we currently do not take advantage of this
option. WSGI can be run in other modes as well, only in daemon mode
can the uid:gid be independently set from the rest of Apache. All
processes started by Apache can be set to a common uid:gid specified
in the global Apache configuration, by default it's
apache:apache. Thus when our IPA code executes it is running as
apache:apache.
To protect our memcached UNIX socket we can do one of two things:
1. Assign it's uid:gid as apache:apache. This would limit access to
our cache only to processes running under httpd. It's somewhat
restricted but far from ideal. Any code running in the web server
could potentially access our cache. It's difficult to control what the
web server runs and admins may not understand the consequences of
configuring httpd to serve other things besides IPA.
2. Create an IPA specific uid:gid, for example ipa:ipa. We then configure
our WSGI application to run as the ipa:ipa user and group. We also
configure our memcached instance to run as the ipa:ipa user and
group. In this configuration we are now fully protected, only our WSGI
code can read & write to our memcached UNIX socket.
However there may be unforeseen issues by converting our code to run as
something other than apache:apache. This would require some
investigation and testing.
IPA is dependent on other system daemons, specifically Directory
Server (ds) and Certificate Server (cs). Currently we configure ds to
run under the dirsrv:dirsrv user and group, an identity of our
creation. We allow cs to default to it's pkiuser:pkiuser user and
group. Should these other cooperating daemons also run under the
common ipa:ipa user and group identities? At first blush there would
seem to be an advantage to coalescing all process identities under a
common IPA user and group identity. However these other processes do
not depend on user and group permissions when working with external
agents, processes, etc. Rather they are designed to be stand-alone
network services which authenticate their clients via other
mechanisms. They do depend on user and group permission to manage
their own file system objects. If somehow the ipa user and/or group
were compromised or malicious code somehow executed under the ipa
identity there would be an advantage in having the cooperating
processes cordoned off under their own identities providing one extra
layer of protection. (Note, these cooperating daemons may not even be
co-located on the same node in which case the issue is moot)
The UNIX socket behavior (ldapi) with Directory Server is as follows:
* The socket ownership is: root:root
* The socket permissions are: 0666
* When connecting via ldapi you must authenticate as you would
normally with a TCP socket, except ...
* If autobind is enabled and the uid:gid is available via
SO_PEERCRED and the uid:gid can be found in the set of users known
to the Directory Server then that connection will be bound as that
user.
* Otherwise an anonymous bind will occur.
memcached UNIX socket behavior is as follows:
* memcached can be invoked with a user argument, no group may be
specified. The effective uid is the uid of the user argument and
the effective gid is the primary group of the user, let's call
this euid:egid
* The socket ownership is: euid:egid
* The socket permissions are 0700 by default, but this can be
modified by the -a mask command line arg which sets the umask
(defaults to 0700).
Overview of authentication in IPA
=================================
This describes how we currently authenticate and how we plan to
improve authentication performance. First some definitions.
There are 4 major players:
1. client
2. mod_auth_kerb (in Apache process)
3. wsgi handler (in IPA wsgi python process)
4. ds (directory server)
There are several resources:
1. /ipa/ui (unprotected, web UI static resources)
2. /ipa/xml (protected, xmlrpc RPC used by command line clients)
3. /ipa/json (protected, json RPC used by javascript in web UI)
4. ds (protected, wsgi acts as proxy, our LDAP server)
Current Model
-------------
This describes how things work in our current system for the web UI.
1. Client requests /ipa/ui, this is unprotected, is static and
contains no sensitive information. Apache replies with html and
javascript. The javascript requests /ipa/json.
2. Client sends post to /ipa/json.
3. mod_auth_kerb is configured to protect /ipa/json, replies 401
authenticate negotiate.
4. Client resends with credentials
5. mod_auth_kerb validates credentials
a. if invalid replies 403 access denied (stops here)
b. if valid creates temporary ccache, adds KRB5CCNAME to request
headers
6. Request passed to wsgi handler
a. validates request, KRB5CCNAME must be present, referrer, etc.
b. ccache saved and used to bind to ds
c. routes to specified RPC handler.
7. wsgi handler replies to client
Proposed new session based optimization
---------------------------------------
The round trip negotiate and credential validation in steps 3,4,5 is
expensive. This can be avoided if we can cache the client
credentials. With client sessions we can store the client credentials
in the session bound to the client.
A few notes about the session implementation.
* based on session cookies, cookies must be enabled
* session cookie is secure, only passed on secure connections, only
passed to our URL resource, never visible to client javascript
etc.
* session cookie has a session id which is used by wsgi handler to
retrieve client session data from shared multi-process cache.
Changes to Apache's resource protection
---------------------------------------
* /ipa/json is no longer protected by mod_auth_kerb. This is
necessary to avoid the negotiate expense in steps 3,4,5
above. Instead the /ipa/json resource will be protected in our wsgi
handler via the session cookie.
* A new protected URI is introduced, /ipa/login. This resource
does no serve any data, it is used exclusively for authentication.
The new sequence is:
1. Client requests /ipa/ui, this is unprotected. Apache replies with
html and javascript. The javascript requests /ipa/json.
2. Client sends post to /ipa/json, which is unprotected.
3. wsgi handler obtains session data from session cookie.
a. if ccache is present in session data and is valid
- request is further validated
- ccache is established for bind to ds
- request is routed to RPC handler
- wsgi handler eventually replies to client
b. if ccache is not present or not valid processing continues ...
4. wsgi handler replies with 401 Unauthorized
5. client sends request to /ipa/login to obtain session credentials
6. mod_auth_kerb replies 401 negotiate on /ipa/login
7. client sends credentials to /ipa/login
8. mod_auth_kerb validates credentials
a. if valid
- mod_auth_kerb permits access to /ipa/login. wsgi handler is
invoked and does the following:
* establishes session for client
* retrieves the ccache from KRB5CCNAME and stores it
a. if invalid
- mod_auth_kerb sends 403 access denied (processing stops)
9. client now posts the same data again to /ipa/json including
session cookie. Processing repeats starting at step 2 and since
the session data now contains a valid ccache step 3a executes, a
successful reply is sent to client.
Command line client using xmlrpc
--------------------------------
The above describes the web UI utilizing the json RPC mechanism. The
IPA command line tools utilize a xmlrpc RPC mechanism on the same
HTTP server. Access to the xmlrpc is via the /ipa/xml URI. The json
and xmlrpc API's are the same, they differ only on how their procedure
calls are marshalled and unmarshalled.
Under the new scheme /ipa/xml will continue to be Kerberos protected
at all times. Apache's mod_auth_kerb will continue to require the
client provides valid Kerberos credentials.
When the WSGI handler routes to /ipa/xml the Kerberos credentials will
be extracted from the KRB5CCNAME environment variable as provided by
mod_auth_kerb. Everything else remains the same.
Set a user's password
If someone other than a user changes that user's password (e.g., Helpdesk
resets it) then the password will need to be changed the first time it
is used. This is so the end-user is the only one who knows the password.
The IPA password policy controls how often a password may be changed,
what strength requirements exist, and the length of the password history.
EXAMPLES:
To reset your own password:
ipa passwd
To change another user's password:
ipa passwd tuser1
Simulate use of Host-based access controls
HBAC rules control who can access what services on what hosts and from where.
You can use HBAC to control which users or groups can access a service,
or group of services, on a target host.
Since applying HBAC rules implies use of a production environment,
this plugin aims to provide simulation of HBAC rules evaluation without
having access to the production environment.
Test user coming to a service on a named host against
existing enabled rules.
ipa hbactest --user= --host= --service=
[--rules=rules-list] [--nodetail] [--enabled] [--disabled]
[--srchost= ] [--sizelimit= ]
--user, --host, and --service are mandatory, others are optional.
If --rules is specified simulate enabling of the specified rules and test
the login of the user using only these rules.
If --enabled is specified, all enabled HBAC rules will be added to simulation
If --disabled is specified, all disabled HBAC rules will be added to simulation
If --nodetail is specified, do not return information about rules matched/not matched.
If both --rules and --enabled are specified, apply simulation to --rules _and_
all IPA enabled rules.
If no --rules specified, simulation is run against all IPA enabled rules.
By default there is a IPA-wide limit to number of entries fetched, you can change it
with --sizelimit option.
If --srchost is specified, it will be ignored. It is left because of compatibility reasons only.
EXAMPLES:
1. Use all enabled HBAC rules in IPA database to simulate:
$ ipa hbactest --user=a1a --host=bar --service=sshd
--------------------
Access granted: True
--------------------
notmatched: my-second-rule
notmatched: my-third-rule
notmatched: myrule
matched: allow_all
2. Disable detailed summary of how rules were applied:
$ ipa hbactest --user=a1a --host=bar --service=sshd --nodetail
--------------------
Access granted: True
--------------------
3. Test explicitly specified HBAC rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd --rules=my-second-rule,myrule
---------------------
Access granted: False
---------------------
notmatched: my-second-rule
notmatched: myrule
4. Use all enabled HBAC rules in IPA database + explicitly specified rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd --rules=my-second-rule,myrule --enabled
--------------------
Access granted: True
--------------------
notmatched: my-second-rule
notmatched: my-third-rule
notmatched: myrule
matched: allow_all
5. Test all disabled HBAC rules in IPA database:
$ ipa hbactest --user=a1a --host=bar --service=sshd --disabled
---------------------
Access granted: False
---------------------
notmatched: new-rule
6. Test all disabled HBAC rules in IPA database + explicitly specified rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd --rules=my-second-rule,myrule --disabled
---------------------
Access granted: False
---------------------
notmatched: my-second-rule
notmatched: my-third-rule
notmatched: myrule
7. Test all (enabled and disabled) HBAC rules in IPA database:
$ ipa hbactest --user=a1a --host=bar --service=sshd --enabled --disabled
--------------------
Access granted: True
--------------------
notmatched: my-second-rule
notmatched: my-third-rule
notmatched: myrule
notmatched: new-rule
matched: allow_all
Simulate use of Host-based access controls
HBAC rules control who can access what services on what hosts.
You can use HBAC to control which users or groups can access a service,
or group of services, on a target host.
Since applying HBAC rules implies use of a production environment,
this plugin aims to provide simulation of HBAC rules evaluation without
having access to the production environment.
Test user coming to a service on a named host against
existing enabled rules.
ipa hbactest --user= --host= --service=
[--rules=rules-list] [--nodetail] [--enabled] [--disabled]
[--sizelimit= ]
--user, --host, and --service are mandatory, others are optional.
If --rules is specified simulate enabling of the specified rules and test
the login of the user using only these rules.
If --enabled is specified, all enabled HBAC rules will be added to simulation
If --disabled is specified, all disabled HBAC rules will be added to simulation
If --nodetail is specified, do not return information about rules matched/not matched.
If both --rules and --enabled are specified, apply simulation to --rules _and_
all IPA enabled rules.
If no --rules specified, simulation is run against all IPA enabled rules.
By default there is a IPA-wide limit to number of entries fetched, you can change it
with --sizelimit option.
EXAMPLES:
1. Use all enabled HBAC rules in IPA database to simulate:
$ ipa hbactest --user=a1a --host=bar --service=sshd
--------------------
Access granted: True
--------------------
Not matched rules: my-second-rule
Not matched rules: my-third-rule
Not matched rules: myrule
Matched rules: allow_all
2. Disable detailed summary of how rules were applied:
$ ipa hbactest --user=a1a --host=bar --service=sshd --nodetail
--------------------
Access granted: True
--------------------
3. Test explicitly specified HBAC rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd \
--rules=myrule --rules=my-second-rule
---------------------
Access granted: False
---------------------
Not matched rules: my-second-rule
Not matched rules: myrule
4. Use all enabled HBAC rules in IPA database + explicitly specified rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd \
--rules=myrule --rules=my-second-rule --enabled
--------------------
Access granted: True
--------------------
Not matched rules: my-second-rule
Not matched rules: my-third-rule
Not matched rules: myrule
Matched rules: allow_all
5. Test all disabled HBAC rules in IPA database:
$ ipa hbactest --user=a1a --host=bar --service=sshd --disabled
---------------------
Access granted: False
---------------------
Not matched rules: new-rule
6. Test all disabled HBAC rules in IPA database + explicitly specified rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd \
--rules=myrule --rules=my-second-rule --disabled
---------------------
Access granted: False
---------------------
Not matched rules: my-second-rule
Not matched rules: my-third-rule
Not matched rules: myrule
7. Test all (enabled and disabled) HBAC rules in IPA database:
$ ipa hbactest --user=a1a --host=bar --service=sshd \
--enabled --disabled
--------------------
Access granted: True
--------------------
Not matched rules: my-second-rule
Not matched rules: my-third-rule
Not matched rules: myrule
Not matched rules: new-rule
Matched rules: allow_all
HBACTEST AND TRUSTED DOMAINS
When an external trusted domain is configured in IPA, HBAC rules are also applied
on users accessing IPA resources from the trusted domain. Trusted domain users and
groups (and their SIDs) can be then assigned to external groups which can be
members of POSIX groups in IPA which can be used in HBAC rules and thus allowing
access to resources protected by the HBAC system.
hbactest plugin is capable of testing access for both local IPA users and users
from the trusted domains, either by a fully qualified user name or by user SID.
Such user names need to have a trusted domain specified as a short name
(DOMAIN\Administrator) or with a user principal name (UPN), Administrator@ad.test.
Please note that hbactest executed with a trusted domain user as --user parameter
can be only run by members of "trust admins" group.
EXAMPLES:
1. Test if a user from a trusted domain specified by its shortname matches any
rule:
$ ipa hbactest --user 'DOMAIN\Administrator' --host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Matched rules: can_login
2. Test if a user from a trusted domain specified by its domain name matches
any rule:
$ ipa hbactest --user 'Administrator@domain.com' --host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Matched rules: can_login
3. Test if a user from a trusted domain specified by its SID matches any rule:
$ ipa hbactest --user S-1-5-21-3035198329-144811719-1378114514-500 \
--host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Matched rules: can_login
4. Test if other user from a trusted domain specified by its SID matches any rule:
$ ipa hbactest --user S-1-5-21-3035198329-144811719-1378114514-1203 \
--host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Not matched rules: can_login
5. Test if other user from a trusted domain specified by its shortname matches
any rule:
$ ipa hbactest --user 'DOMAIN\Otheruser' --host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Not matched rules: can_login
Simulate use of Host-based access controls
HBAC rules control who can access what services on what hosts.
You can use HBAC to control which users or groups can access a service,
or group of services, on a target host.
Since applying HBAC rules implies use of a production environment,
this plugin aims to provide simulation of HBAC rules evaluation without
having access to the production environment.
Test user coming to a service on a named host against
existing enabled rules.
ipa hbactest --user= --host= --service=
[--rules=rules-list] [--nodetail] [--enabled] [--disabled]
[--sizelimit= ]
--user, --host, and --service are mandatory, others are optional.
If --rules is specified simulate enabling of the specified rules and test
the login of the user using only these rules.
If --enabled is specified, all enabled HBAC rules will be added to simulation
If --disabled is specified, all disabled HBAC rules will be added to simulation
If --nodetail is specified, do not return information about rules matched/not matched.
If both --rules and --enabled are specified, apply simulation to --rules _and_
all IPA enabled rules.
If no --rules specified, simulation is run against all IPA enabled rules.
By default there is a IPA-wide limit to number of entries fetched, you can change it
with --sizelimit option.
EXAMPLES:
1. Use all enabled HBAC rules in IPA database to simulate:
$ ipa hbactest --user=a1a --host=bar --service=sshd
--------------------
Access granted: True
--------------------
Not matched rules: my-second-rule
Not matched rules: my-third-rule
Not matched rules: myrule
Matched rules: allow_all
2. Disable detailed summary of how rules were applied:
$ ipa hbactest --user=a1a --host=bar --service=sshd --nodetail
--------------------
Access granted: True
--------------------
3. Test explicitly specified HBAC rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd \\
--rules=myrule --rules=my-second-rule
---------------------
Access granted: False
---------------------
Not matched rules: my-second-rule
Not matched rules: myrule
4. Use all enabled HBAC rules in IPA database + explicitly specified rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd \\
--rules=myrule --rules=my-second-rule --enabled
--------------------
Access granted: True
--------------------
Not matched rules: my-second-rule
Not matched rules: my-third-rule
Not matched rules: myrule
Matched rules: allow_all
5. Test all disabled HBAC rules in IPA database:
$ ipa hbactest --user=a1a --host=bar --service=sshd --disabled
---------------------
Access granted: False
---------------------
Not matched rules: new-rule
6. Test all disabled HBAC rules in IPA database + explicitly specified rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd \\
--rules=myrule --rules=my-second-rule --disabled
---------------------
Access granted: False
---------------------
Not matched rules: my-second-rule
Not matched rules: my-third-rule
Not matched rules: myrule
7. Test all (enabled and disabled) HBAC rules in IPA database:
$ ipa hbactest --user=a1a --host=bar --service=sshd \\
--enabled --disabled
--------------------
Access granted: True
--------------------
Not matched rules: my-second-rule
Not matched rules: my-third-rule
Not matched rules: myrule
Not matched rules: new-rule
Matched rules: allow_all
HBACTEST AND TRUSTED DOMAINS
When an external trusted domain is configured in IPA, HBAC rules are also applied
on users accessing IPA resources from the trusted domain. Trusted domain users and
groups (and their SIDs) can be then assigned to external groups which can be
members of POSIX groups in IPA which can be used in HBAC rules and thus allowing
access to resources protected by the HBAC system.
hbactest plugin is capable of testing access for both local IPA users and users
from the trusted domains, either by a fully qualified user name or by user SID.
Such user names need to have a trusted domain specified as a short name
(DOMAIN\Administrator) or with a user principal name (UPN), Administrator@ad.test.
Please note that hbactest executed with a trusted domain user as --user parameter
can be only run by members of "trust admins" group.
EXAMPLES:
1. Test if a user from a trusted domain specified by its shortname matches any
rule:
$ ipa hbactest --user 'DOMAIN\Administrator' --host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Matched rules: can_login
2. Test if a user from a trusted domain specified by its domain name matches
any rule:
$ ipa hbactest --user 'Administrator@domain.com' --host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Matched rules: can_login
3. Test if a user from a trusted domain specified by its SID matches any rule:
$ ipa hbactest --user S-1-5-21-3035198329-144811719-1378114514-500 \\
--host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Matched rules: can_login
4. Test if other user from a trusted domain specified by its SID matches any rule:
$ ipa hbactest --user S-1-5-21-3035198329-144811719-1378114514-1203 \\
--host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Not matched rules: can_login
5. Test if other user from a trusted domain specified by its shortname matches
any rule:
$ ipa hbactest --user 'DOMAIN\Otheruser' --host `hostname` --service sshd
--------------------
Access granted: True
--------------------
Matched rules: allow_all
Not matched rules: can_login
Stageusers
Manage stage user entries.
Stage user entries are directly under the container: "cn=stage users,
cn=accounts, cn=provisioning, SUFFIX".
User can not authenticate with those entries (even if the entries
contain credentials) and are candidate to become Active entries.
Active user entries are Posix users directly under the container: "cn=accounts, SUFFIX".
User can authenticate with Active entries, at the condition they have
credentials
Delete user entries are Posix users directly under the container: "cn=deleted users,
cn=accounts, cn=provisioning, SUFFIX".
User can not authenticate with those entries (even if the entries contain credentials)
The stage user container contains entries
- created by 'stageuser-add' commands that are Posix users
- created by external provisioning system
A valid stage user entry MUST:
- entry RDN is 'uid'
- ipaUniqueID is 'autogenerate'
IPA supports a wide range of username formats, but you need to be aware of any
restrictions that may apply to your particular environment. For example,
usernames that start with a digit or usernames that exceed a certain length
may cause problems for some UNIX systems.
Use 'ipa config-mod' to change the username format allowed by IPA tools.
EXAMPLES:
Add a new stageuser:
ipa stageuser-add --first=Tim --last=User --password tuser1
Add a stageuser from the Delete container
ipa stageuser-add --first=Tim --last=User --from-delete tuser1
Standard vault uses a secure mechanism to transport and
store the secret. The secret can only be retrieved by users
that have access to the vault.
Subordinate Certificate Authorities (Sub-CAs) can be added for scoped issuance
of X.509 certificates.
Sudo (su "do") allows a system administrator to delegate authority to
give certain users (or groups of users) the ability to run some (or all)
commands as root or another user while providing an audit trail of the
commands and their arguments.
Sudo Commands
Commands used as building blocks for sudo
EXAMPLES:
Create a new command
ipa sudocmd-add --desc='For reading log files' /usr/bin/less
Remove a command
ipa sudocmd-del /usr/bin/less
Sudo Commands
Commands used as building blocks for sudo
EXAMPLES:
Create a new command
ipa sudocmd-add --desc='For reading log files' /usr/bin/less
Remove a command
ipa sudocmd-del /usr/bin/less
Sudo Rules
Symmetric vault is similar to the standard vault, but it
pre-encrypts the secret using a password before transport.
The secret can only be retrieved using the same password.
The automember-rebuild command can be used to retroactively run automember rules
against existing entries, thus rebuilding their membership.
The date format is YYYY-mm-dd.
The dogtag CA uses just the CN value of the CSR and forces the rest of the
subject to values configured in the server.
The following revocation reasons are supported:
The status of a role is either enabled, configured, or absent.
There are a number of allowed targets:
1. subtree: a DN; the permission applies to the subtree under this DN
2. target filter: an LDAP filter
3. target: DN with possible wildcards, specifies entries permission applies to
There are many structured DNS RR types where DNS data stored in LDAP server
is not just a scalar value, for example an IP address or a domain name, but
a data structure which may be often complex. A good example is a LOC record
[RFC1876] which consists of many mandatory and optional parts (degrees,
minutes, seconds of latitude and longitude, altitude or precision).
This code is an extension to the otptoken plugin and provides support for
reading/writing YubiKey tokens directly.
To enable the binddn run the following command to set the password:
LDAPTLS_CACERT=/etc/ipa/ca.crt /usr/bin/ldappasswd -S -W -H ldap://ipa.example.com -ZZ -D "cn=Directory Manager" uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com
To verify that no server is disconnected in the topology of the given suffix,
use:
ipa topologysuffix-verify $suffix
Topology
Management of a replication topology at domain level 1.
Topology
Management of a replication topology at domain level 1.
IPA server's data is stored in LDAP server in two suffixes:
* domain suffix, e.g., 'dc=example,dc=com', contains all domain related data
* ca suffix, 'o=ipaca', is present only on server with CA installed. It
contains data for Certificate Server component
Data stored on IPA servers is replicated to other IPA servers. The way it is
replicated is defined by replication agreements. Replication agreements needs
to be set for both suffixes separately. On domain level 0 they are managed
using ipa-replica-manage and ipa-csreplica-manage tools. With domain level 1
they are managed centrally using `ipa topology*` commands.
Agreements are represented by topology segments. By default topology segment
represents 2 replication agreements - one for each direction, e.g., A to B and
B to A. Creation of unidirectional segments is not allowed.
To verify that no server is disconnected in the topology of the given suffix,
use:
ipa topologysuffix-verify $suffix
Examples:
Find all IPA servers:
ipa server-find
Find all suffixes:
ipa topologysuffix-find
Add topology segment to 'domain' suffix:
ipa topologysegment-add domain --left IPA_SERVER_A --right IPA_SERVER_B
Add topology segment to 'ca' suffix:
ipa topologysegment-add ca --left IPA_SERVER_A --right IPA_SERVER_B
List all topology segments in 'domain' suffix:
ipa topologysegment-find domain
List all topology segments in 'ca' suffix:
ipa topologysegment-find ca
Delete topology segment in 'domain' suffix:
ipa topologysegment-del domain segment_name
Delete topology segment in 'ca' suffix:
ipa topologysegment-del ca segment_name
Verify topology of 'domain' suffix:
ipa topologysuffix-verify domain
Verify topology of 'ca' suffix:
ipa topologysuffix-verify ca
Topology
Management of a replication topology.
Requires minimum domain level 1.
USING STRUCTURED PER-TYPE OPTIONS
Unlock a user account
An account may become locked if the password is entered incorrectly too
many times within a specific time period as controlled by password
policy. A locked account is a temporary condition and may be unlocked by
an administrator.
User vaults are vaults owned used by a particular user. Private
vaults are vaults owned the current user. Service vaults are
vaults owned by a service. Shared vaults are owned by the admin
but they can be used by other users or services.
Users
Manage user entries. All users are POSIX users.
IPA supports a wide range of username formats, but you need to be aware of any
restrictions that may apply to your particular environment. For example,
usernames that start with a digit or usernames that exceed a certain length
may cause problems for some UNIX systems.
Use 'ipa config-mod' to change the username format allowed by IPA tools.
Disabling a user account prevents that user from obtaining new Kerberos
credentials. It does not invalidate any credentials that have already
been issued.
Password management is not a part of this module. For more information
about this topic please see: ipa help passwd
Account lockout on password failure happens per IPA master. The user-status
command can be used to identify which master the user is locked out on.
It is on that master the administrator must unlock the user.
EXAMPLES:
Add a new user:
ipa user-add --first=Tim --last=User --password tuser1
Find all users whose entries include the string "Tim":
ipa user-find Tim
Find all users with "Tim" as the first name:
ipa user-find --first=Tim
Disable a user account:
ipa user-disable tuser1
Enable a user account:
ipa user-enable tuser1
Delete a user:
ipa user-del tuser1
Vault is a secure place to store a secret. One vault can only
store one secret. When archiving a secret in a vault, the
existing secret (if any) is overwritten.
Vaults
Vaults
Manage vaults.
Vault is a secure place to store a secret.
Based on the ownership there are three vault categories:
* user/private vault
* service vault
* shared vault
User vaults are vaults owned used by a particular user. Private
vaults are vaults owned the current user. Service vaults are
vaults owned by a service. Shared vaults are owned by the admin
but they can be used by other users or services.
Based on the security mechanism there are three types of
vaults:
* standard vault
* symmetric vault
* asymmetric vault
Standard vault uses a secure mechanism to transport and
store the secret. The secret can only be retrieved by users
that have access to the vault.
Symmetric vault is similar to the standard vault, but it
pre-encrypts the secret using a password before transport.
The secret can only be retrieved using the same password.
Asymmetric vault is similar to the standard vault, but it
pre-encrypts the secret using a public key before transport.
The secret can only be retrieved using the private key.
EXAMPLES:
List vaults:
ipa vault-find
[--user <user>|--service <service>|--shared]
Add a standard vault:
ipa vault-add <name>
[--user <user>|--service <service>|--shared]
--type standard
Add a symmetric vault:
ipa vault-add <name>
[--user <user>|--service <service>|--shared]
--type symmetric --password-file password.txt
Add an asymmetric vault:
ipa vault-add <name>
[--user <user>|--service <service>|--shared]
--type asymmetric --public-key-file public.pem
Show a vault:
ipa vault-show <name>
[--user <user>|--service <service>|--shared]
Modify vault description:
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--desc <description>
Modify vault type:
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--type <type>
[old password/private key]
[new password/public key]
Modify symmetric vault password:
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--change-password
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--old-password <old password>
--new-password <new password>
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--old-password-file <old password file>
--new-password-file <new password file>
Modify asymmetric vault keys:
ipa vault-mod <name>
[--user <user>|--service <service>|--shared]
--private-key-file <old private key file>
--public-key-file <new public key file>
Delete a vault:
ipa vault-del <name>
[--user <user>|--service <service>|--shared]
Display vault configuration:
ipa vaultconfig-show
Archive data into standard vault:
ipa vault-archive <name>
[--user <user>|--service <service>|--shared]
--in <input file>
Archive data into symmetric vault:
ipa vault-archive <name>
[--user <user>|--service <service>|--shared]
--in <input file>
--password-file password.txt
Archive data into asymmetric vault:
ipa vault-archive <name>
[--user <user>|--service <service>|--shared]
--in <input file>
Retrieve data from standard vault:
ipa vault-retrieve <name>
[--user <user>|--service <service>|--shared]
--out <output file>
Retrieve data from symmetric vault:
ipa vault-retrieve <name>
[--user <user>|--service <service>|--shared]
--out <output file>
--password-file password.txt
Retrieve data from asymmetric vault:
ipa vault-retrieve <name>
[--user <user>|--service <service>|--shared]
--out <output file> --private-key-file private.pem
Add vault owners:
ipa vault-add-owner <name>
[--user <user>|--service <service>|--shared]
[--users <users>] [--groups <groups>] [--services <services>]
Delete vault owners:
ipa vault-remove-owner <name>
[--user <user>|--service <service>|--shared]
[--users <users>] [--groups <groups>] [--services <services>]
Add vault members:
ipa vault-add-member <name>
[--user <user>|--service <service>|--shared]
[--users <users>] [--groups <groups>] [--services <services>]
Delete vault members:
ipa vault-remove-member <name>
[--user <user>|--service <service>|--shared]
[--users <users>] [--groups <groups>] [--services <services>]
Verify replication topology for suffix.
Checks done:
1. check if a topology is not disconnected. In other words if there are
replication paths between all servers.
2. check if servers don't have more than the recommended number of
replication agreements
Verify replication topology for suffix.
Checks done:
1. check if a topology is not disconnected. In other words if there are
replication paths between all servers.
2. check if servers don't have more than the recommended number of
replication agreements
When adding a record, either RR specific options or standard option for a raw
value can be used, they just should not be combined in one add operation. When
modifying an existing entry, new RR specific options can be used to change
one part of a DNS record, where the standard option for raw value is used
to specify the modified value. The following example demonstrates
a modification of MX record preference from 0 to 1 in a record without
modifying the exchanger:
ipa dnsrecord-mod --mx-rec="0 mx.example.com." --mx-preference=1
When searching on dates the _from date does a >= search and the _to date
does a <= search. When combined these are done as an AND.
YubiKey Tokens
YubiKey Tokens
Manage YubiKey tokens.
This code is an extension to the otptoken plugin and provides support for
reading/writing YubiKey tokens directly.
EXAMPLES:
Add a new token:
ipa otptoken-add-yubikey --owner=jdoe --desc="My YubiKey"
http://www.ietf.org/rfc/rfc5280.txt
* 0 - unspecified
* 1 - keyCompromise
* 10 - aACompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
ipa <command> --help -8 '${cn}' Alternatively, following servers are capable of running this command: %(masters)s "%s" is not a valid permission type "%s" is not an object type ${count} certificate(s) present ${count} item(s) added ${count} item(s) deleted ${count} item(s) disabled ${count} item(s) enabled ${count} item(s) removed ${count} option(s) removed ${count} user(s) activated ${count} user(s) restored ${count} users(s) staged ${entity} ${primary_key} Settings ${entity} ${primary_key} updated ${entity} successfully added ${primary_key} applies to: ${primary_key} is a member of: ${primary_key} is managed by: ${primary_key} members: ${primary_key} overrides: ${product}, version: ${version} %(attr)s does not contain '%(value)s' %(attr)s: Invalid syntax. %(attr)s: Only one value allowed. %(command_name)s: %(oname)s not found %(container)s LDAP search did not return any result (search base: %(search_base)s, objectclass: %(objectclass)s) %(count)d %(type)s record skipped. Only one value per DNS record type can be modified at one time. %(count)d %(type)s records skipped. Only one value per DNS record type can be modified at one time. %(count)d ACI matched %(count)d ACIs matched %(count)d CA ACL matched %(count)d CA ACLs matched %(count)d CA matched %(count)d CAs matched %(count)d Certificate Identity Mapping Rule matched %(count)d Certificate Identity Mapping Rules matched %(count)d DNS server matched %(count)d DNS servers matched %(count)d Group ID override matched %(count)d Group ID overrides matched %(count)d HBAC rule matched %(count)d HBAC rules matched %(count)d HBAC service group matched %(count)d HBAC service groups matched %(count)d HBAC service matched %(count)d HBAC services matched %(count)d ID View matched %(count)d ID Views matched %(count)d ID override matched %(count)d ID overrides matched %(count)d IPA location matched %(count)d IPA locations matched %(count)d IPA server matched %(count)d IPA servers matched %(count)d OTP token matched %(count)d OTP tokens matched %(count)d RADIUS proxy server matched %(count)d RADIUS proxy servers matched %(count)d SELinux User Map matched %(count)d SELinux User Maps matched %(count)d Sudo Command Group matched %(count)d Sudo Command Groups matched %(count)d Sudo Command matched %(count)d Sudo Commands matched %(count)d Sudo Rule matched %(count)d Sudo Rules matched %(count)d User ID override matched %(count)d User ID overrides matched %(count)d automount key matched %(count)d automount keys matched %(count)d automount location matched %(count)d automount locations matched %(count)d automount map matched %(count)d automount maps matched %(count)d certificate matched %(count)d certificates matched %(count)d delegation matched %(count)d delegations matched %(count)d group matched %(count)d groups matched %(count)d host matched %(count)d hosts matched %(count)d hostgroup matched %(count)d hostgroups matched %(count)d netgroup matched %(count)d netgroups matched %(count)d permission matched %(count)d permissions matched %(count)d plugin loaded %(count)d plugins loaded %(count)d privilege matched %(count)d privileges matched %(count)d profile matched %(count)d profiles matched %(count)d range matched %(count)d ranges matched %(count)d role matched %(count)d roles matched %(count)d rules matched %(count)d rules matched %(count)d segment matched %(count)d segments matched %(count)d selfservice matched %(count)d selfservices matched %(count)d service delegation rule matched %(count)d service delegation rules matched %(count)d service delegation target matched %(count)d service delegation targets matched %(count)d service matched %(count)d services matched %(count)d topology suffix matched %(count)d topology suffixes matched %(count)d trust matched %(count)d trusts matched %(count)d user matched %(count)d users matched %(count)d variables %(count)d vault matched %(count)d vaults matched %(count)s server matched %(count)s servers matched %(count)s server role matched %(count)s server roles matched %(count)s user matched %(count)s users matched %(cver)s client incompatible with %(sver)s server at '%(server)s' %(desc)s: %(info)s %(exception)s %(filename)s: file not found %(host)s failed %(host)s failed: %(error)s %(info)s %(key)s cannot be deleted because %(label)s %(dependent)s requires it %(key)s cannot be deleted or disabled because it is the last member of %(label)s %(container)s %(label)s %(key)s cannot be deleted/modified: %(reason)s %(line)s %(metaobject)s: %(oname)s not found %(name)s certificate is not valid %(obj)s default attribute %(attr)s would not be allowed! %(oname)s with name "%(pkey)s" already exists %(operation)s is not supported for %(principal_type)s principals %(otype)s "%(oname)s" not found %(parent)s: %(oname)s not found %(pkey)s: %(oname)s not found %(port)s is not a valid port %(reason)s %(subject)s: Malformed certificate. %(reason)s %(task)s LDAP task timeout, Task DN: '%(task_dn)s' %(type)s category cannot be set to 'all' while there are allowed %(objects)s %(user)s is not a POSIX user %(value)s %i CA added. %i CA removed. %i CAs added. %i CAs removed. %i host or hostgroup added. %i host or hostgroup removed. %i hosts or hostgroups added. %i hosts or hostgroups removed. %i profile added. %i profile removed. %i profiles added. %i profiles removed. %i service added. %i service removed. %i services added. %i services removed. %i user or group added. %i user or group removed. %i users or groups added. %i users or groups removed. %s %s Record %s is not a valid attribute. %s record %s to add %s to exclude from migration %s to remove %s: RADIUS proxy server not found %s: group not found %s: user is already preserved '${port}' is not a valid port '%(attr)s' already contains one or more values '%(command)s' is deprecated. %(additional_info)s '%(entry)s' doesn't have a certificate. '%(name)s' is required '%(option)s' option is deprecated. %(additional_info)s '%(required)s' must not be empty when '%(name)s' is set '%s' is a required part of DNS record 'add' option (deprecated) (see RFC %s for details) . Check GID of the existing group. Use --group-overwrite-gid option to overwrite the GID 7 is not a valid revocation reason <all IPA DNS servers> <h1>Browser Kerberos Setup</h1>
<h1>Password Migration</h1><p>If you have been sent here by your administrator, your personal information is being migrated to a new identity management solution (IPA).</p><p>Please, enter your credentials in the form to complete the process. Upon successful login your kerberos account will be activated.</p> <h1>Unable to verify your Kerberos credentials</h1>
<p>
Please make sure that you have valid Kerberos tickets (obtainable via <strong>kinit</strong>), and that you have configured your browser correctly.
</p>
<h2>Browser configuration</h2>
<div id="first-time">
<p>
If this is your first time, please <a href="ssbrowser.html">configure your browser</a>.
</p>
</div>
<h2>Chrome</h2>
<p>
You can configure Chrome to use Kerberos for Single Sign-on. The following instructions will guide you in configuring your web browser to send your Kerberos credentials to the appropriate Key Distribution Center which enables Single Sign-on.
</p>
<h2>Firefox</h2>
<p>
You can configure Firefox to use Kerberos for Single Sign-on. The following instructions will guide you in configuring your web browser to send your Kerberos credentials to the appropriate Key Distribution Center which enables Single Sign-on.
</p>
<h2>Internet Explorer</h2>
<p><strong>WARNING:</strong> Internet Explorer is no longer a supported browser.</p>
<p>
Once you are able to log into the workstation with your kerberos key you are now able to use that ticket in Internet Explorer.
</p>
<p>
<h3>Import CA Certificate</h3>
<ol>
<li>
Download the <a href="ca.crt">CA certificate</a>. Alternatively, if the host is also an IdM client, you can find the certificate in /etc/ipa/ca.crt.
</li>
<li>
Click the menu button with the <em>Customize and control Google Chrome</em> tooltip, which is by default in the top right-hand corner of Chrome, and click <em>Settings</em>.
</li>
<li>
Click <em>Show advanced settings</em> to display more options, and then click the <em>Manage certificates</em> button located under the HTTPS/SSL heading.
</li>
<li>
In the <em>Authorities</em> tab, click the <em>Import</em> button at the bottom.
</li>
<li>Select the CA certificate file that you downloaded in the first step.</li>
</ol>
<i class="fa fa-info-circle"></i> To log in with <strong>Kerberos</strong>, please make sure you have valid tickets (obtainable via kinit) and <a href='${protocol}//${host}/ipa/config/ssbrowser.html'>configured</a> the browser correctly, then click 'Log in'. <i class="fa fa-info-circle"></i> To log in with <strong>certificate</strong>, please make sure you have valid personal certificate. <i class="fa fa-info-circle"></i> To log in with <strong>username and password</strong>, enter them in the corresponding fields, then click 'Log in'. <ol> <li>Create a certificate database or use an existing one. To create a new database:<br/> <code># certutil -N -d <database path></code> </li> <li>Create a CSR with subject <em>CN=<${cn_name}>,O=<realm></em>, for example:<br/> <code># certutil -R -d <database path> -a -g <key size> -s 'CN=${cn},O=${realm}'${san}</code> </li> <li> Copy and paste the CSR (from <em>-----BEGIN NEW CERTIFICATE REQUEST-----</em> to <em>-----END NEW CERTIFICATE REQUEST-----</em>) into the text area below: </li> </ol> <p>Implicit method (password) will be used if no method is chosen.</p><p><strong>Password + Two-factor:</strong> LDAP and Kerberos allow authentication with either one of the authentication types but Kerberos uses pre-authentication method which requires to use armor ccache.</p><p><strong>RADIUS with another type:</strong> Kerberos always use RADIUS, but LDAP never does. LDAP only recognize the password and two-factor authentication options.</p> <p>Per-user setting, overwrites the global setting if any option is checked.</p><p><strong>Password + Two-factor:</strong> LDAP and Kerberos allow authentication with either one of the authentication types but Kerberos uses pre-authentication method which requires to use armor ccache.</p><p><strong>RADIUS with another type:</strong> Kerberos always use RADIUS, but LDAP never does. LDAP only recognize the password and two-factor authentication options.</p> <strong>Log into the Windows machine using an account of your Kerberos realm (administrative domain)</strong>
</p>
<p>
<strong>In Internet Explorer, click Tools, and then click Internet Options.</strong>
</p>
<div>
<ol>
<li>Click the Security tab</li>
<li>Click Local intranet</li>
<li>Click Sites </li>
<li>Click Advanced </li>
<li>Add your domain to the list</li>
</ol>
<ol>
<li>Click the Security tab</li>
<li>Click Local intranet</li>
<li>Click Custom Level</li>
<li>Select Automatic logon only in Intranet zone</li>
</ol>
<ol>
<li> Visit a kerberized web site using IE (You must use the fully-qualified Domain Name in the URL)</li>
<li><strong> You are all set.</strong></li>
</ol>
</div>
A Create reverse A IP Address A SYSTEM permission may not be modified or removed A comma-separated list of fields to search in when searching for groups A comma-separated list of fields to search in when searching for users A description of this RADIUS proxy server A description of this auto member rule A description of this command A description of this host A description of this host-group A description of this role-group A dictionary representing an LDAP entry A group may not be a member of itself A group may not be added as a member of itself A host willing to act as a key exchanger A host willing to act as a mail exchanger A hostname which this alias hostname points to A list of ACI values A list of LDAP entries A list of SELinux users delimited by $ expected A list of global forwarders. A custom port can be specified for each forwarder using a standard format "IP_ADDRESS port PORT" A list of per-zone forwarders. A custom port can be specified for each forwarder using a standard format "IP_ADDRESS port PORT" A managed group cannot have a password policy. A problem was encountered when verifying that all members were %(verb)s: %(exc)s A record A space separated list of attributes which are removed from replication updates. A string searched in all relevant object attributes A6 Record data A6 record AA Compromise AAAA Create reverse AAAA IP Address AAAA record ACI ACI name ACI object. ACI of permission %s was not found ACI prefix ACI prefix is required ACI with name "%s" not found ACIs ACL name AD DC was unable to reach any IPA domain controller. Most likely it is a DNS or firewall issue AD Trust setup AD domain controller AD domain controller complains about communication sequence. It may mean unsynchronized time on both sides, for example AFSDB Hostname AFSDB Subtype AFSDB record API Browser API Version number was not sent, forward compatibility not guaranteed. Assuming server's API version, %(server_version)s APL record About Access Denied Access Granted Access granted: %s Access this host Access time Accessing Account Account Settings Account Status Account disabled Account disabled: %(disabled)s Actions Activate Activate a stage user "%(value)s" Activate a stage user. Active Directory domain Active Directory domain administrator Active Directory domain administrator's password Active Directory domain range Active Directory domain with POSIX attributes Active Directory trust range with POSIX attributes Active Directory winsync Active directory domain administrator's password Active users Active zone Add Add CA ACL Add CAs to a CA ACL. Add Certificate Authorities into CA ACL '${primary_key}' Add Class of Service entry Add Custom Attribute Add Custom Authentication Indicator Add DNS forward zone Add DNS resource record Add DNS zone Add HBAC rule Add HBAC service Add HBAC service '${primary_key}' into HBAC service groups Add HBAC service group Add HBAC service groups into HBAC rule '${primary_key}' Add HBAC services into HBAC rule '${primary_key}' Add HBAC services into HBAC service group '${primary_key}' Add ID range Add ID view Add IPA location Add IPA server into IPA location '${primary_key}' Add Kerberos Principal Alias Add Many Add OTP token Add RADIUS server Add RunAs groups into sudo rule '${primary_key}' Add RunAs user groups into sudo rule '${primary_key}' Add RunAs users into sudo rule '${primary_key}' Add SELinux user map Add a manager to the stage user entry Add a manager to the user entry Add a new DNS server. Add a new Group ID override. Add a new HBAC service group. Add a new HBAC service. Add a new ID View. Add a new ID override. Add a new IPA location. Add a new IPA new service. Add a new IPA service. Add a new OTP token. Add a new RADIUS proxy server. Add a new SMB service. Add a new User ID override. Add a new YubiKey OTP token. Add a new delegation. Add a new group password policy. Add a new host. Add a new hostgroup. Add a new netgroup. Add a new permission. Add a new privilege. Add a new role. Add a new segment. Add a new self-service permission. Add a new stage user. Add a new topology suffix to be managed. Add a new user. Add a permission for per-forward zone access delegation. Add a permission for per-zone access delegation. Add a system permission without an ACI Add a system permission without an ACI (internal command) Add a vault. Add allow sudo command groups into sudo rule '${primary_key}' Add allow sudo commands into sudo rule '${primary_key}' Add an attribute/value pair. Format is attr=value. The attribute
must be part of the schema. Add an automember rule. Add an option to the Sudo Rule. Add and Add Another Add and Close Add and Edit Add automount key Add automount location Add automount map Add certificate authority Add certificate identity mapping rule Add certificate mapping data Add certificate profiles into CA ACL '${primary_key}' Add certificates to host entry Add commands and sudo command groups affected by Sudo Rule. Add conditions to an automember rule. Add custom value Add delegation Add deny sudo command groups into sudo rule '${primary_key}' Add deny sudo commands into sudo rule '${primary_key}' Add domain Add exclusive condition into '${primary_key}' Add forward record for nameserver located in the created zone Add group ID override Add group for Sudo to execute as. Add host Add host '${primary_key}' into HBAC rules Add host '${primary_key}' into host groups Add host '${primary_key}' into netgroups Add host '${primary_key}' into roles Add host '${primary_key}' into sudo rules Add host group Add host group '${primary_key}' into HBAC rules Add host group '${primary_key}' into host groups Add host group '${primary_key}' into netgroups Add host group '${primary_key}' into sudo rules Add host groups into CA ACL '${primary_key}' Add host groups into HBAC rule '${primary_key}' Add host groups into SELinux user map '${primary_key}' Add host groups into host group '${primary_key}' Add host groups into netgroup '${primary_key}' Add host groups into role '${primary_key}' Add host groups into sudo rule '${primary_key}' Add hosts and hostgroups affected by Sudo Rule. Add hosts into CA ACL '${primary_key}' Add hosts into HBAC rule '${primary_key}' Add hosts into SELinux user map '${primary_key}' Add hosts into host group '${primary_key}' Add hosts into netgroup '${primary_key}' Add hosts into role '${primary_key}' Add hosts into sudo rule '${primary_key}' Add hosts managing host '${primary_key}' Add hosts managing service '${primary_key}' Add hosts that can manage this host. Add hosts that can manage this service. Add inclusive condition into '${primary_key}' Add member to a named service delegation rule. Add member to a named service delegation target. Add members to Sudo Command Group. Add members to a group. Add members to a hostgroup. Add members to a netgroup. Add members to a permission. Add members to a privilege. Add members to a role. Add members to a vault. Add members to an HBAC service group. Add migrated users without a group to a default group (default: true) Add netgroup Add netgroup '${primary_key}' into netgroups Add netgroups into netgroup '${primary_key}' Add new DNS resource record. Add new certificates to a service Add new principal alias to a service Add new principal alias to host entry Add new principal alias to the stageuser entry Add new principal alias to the user entry Add one or more certificate mappings to the stage user entry. Add one or more certificate mappings to the user entry. Add one or more certificates to the idoverrideuser entry Add one or more certificates to the stageuser entry Add one or more certificates to the user entry Add owners to a vault container. Add owners to a vault. Add password policy Add permission Add permissions to a privilege. Add principal Add privilege Add privilege '${primary_key}' into permissions Add privileges into permission '${primary_key}' Add privileges to a role. Add profiles to a CA ACL. Add role Add role '${primary_key}' into privileges Add roles into privilege '${primary_key}' Add rule Add self service permission Add service Add service '${primary_key}' into roles Add services into CA ACL '${primary_key}' Add services into members of vault '${primary_key}' Add services into owners of vault '${primary_key}' Add services into role '${primary_key}' Add services into user group '${primary_key}' Add services to a CA ACL. Add services to an HBAC rule. Add source hosts and hostgroups from a HBAC rule. Add source hosts and hostgroups to an HBAC rule. Add stage user Add sudo command Add sudo command '${primary_key}' into sudo command groups Add sudo command group Add sudo commands into sudo command group '${primary_key}' Add sudo option Add sudo rule Add target hosts and hostgroups to a CA ACL. Add target hosts and hostgroups to an HBAC rule. Add target hosts and hostgroups to an SELinux User Map rule. Add target to a named service delegation rule. Add target to a named service delegation. Add the host to DNS with this IP address Add to default group Add topology segment Add trust Add user Add user '${primary_key}' into HBAC rules Add user '${primary_key}' into netgroups Add user '${primary_key}' into roles Add user '${primary_key}' into sudo rules Add user '${primary_key}' into user groups Add user ID override Add user group Add user group '${primary_key}' into HBAC rules Add user group '${primary_key}' into netgroups Add user group '${primary_key}' into roles Add user group '${primary_key}' into sudo rules Add user group '${primary_key}' into user groups Add user groups into CA ACL '${primary_key}' Add user groups into HBAC rule '${primary_key}' Add user groups into SELinux user map '${primary_key}' Add user groups into members of vault '${primary_key}' Add user groups into netgroup '${primary_key}' Add user groups into owners of vault '${primary_key}' Add user groups into role '${primary_key}' Add user groups into sudo rule '${primary_key}' Add user groups into user group '${primary_key}' Add users and groups affected by Sudo Rule. Add users and groups for Sudo to execute as. Add users and groups to a CA ACL. Add users and groups to an HBAC rule. Add users and groups to an SELinux User Map rule. Add users into CA ACL '${primary_key}' Add users into HBAC rule '${primary_key}' Add users into SELinux user map '${primary_key}' Add users into members of vault '${primary_key}' Add users into netgroup '${primary_key}' Add users into owners of vault '${primary_key}' Add users into role '${primary_key}' Add users into sudo rule '${primary_key}' Add users into user group '${primary_key}' Add users managing OTP token '${primary_key}' Add users that can manage this token. Add vault Added %(map)s Added %(src)s to %(dst)s Added Active Directory trust for realm "%(value)s" Added CA ACL "%(value)s" Added Certificate Identity Mapping Rule "%(value)s" Added Group ID override "%(value)s" Added HBAC rule "%(value)s" Added HBAC service "%(value)s" Added HBAC service group "%(value)s" Added ID View "%(value)s" Added ID override "%(value)s" Added ID range "%(value)s" Added IPA location "%(value)s" Added OTP token "%(value)s" Added RADIUS proxy server "%(value)s" Added SELinux User Map "%(value)s" Added Sudo Command "%(value)s" Added Sudo Command Group "%(value)s" Added Sudo Rule "%(value)s" Added User ID override "%(value)s" Added automember rule "%(value)s" Added automount indirect map "%(value)s" Added automount key "%(value)s" Added automount location "%(value)s" Added automount map "%(value)s" Added certificate mappings to user "%(value)s" Added certificates to host "%(value)s" Added certificates to idoverrideuser "%(value)s" Added certificates to service principal "%(value)s" Added certificates to stageuser "%(value)s" Added certificates to user "%(value)s" Added condition(s) to "%(value)s" Added delegation "%(value)s" Added group "%(value)s" Added host "%(value)s" Added hostgroup "%(value)s" Added netgroup "%(value)s" Added new DNS server "%(value)s" Added new aliases to host "%(value)s" Added new aliases to stageuser "%(value)s" Added new aliases to the service principal "%(value)s" Added new aliases to user "%(value)s" Added option "%(option)s" to Sudo Rule "%(rule)s" Added permission "%(value)s" Added privilege "%(value)s" Added role "%(value)s" Added segment "%(value)s" Added selfservice "%(value)s" Added service "%(value)s" Added service delegation rule "%(value)s" Added service delegation target "%(value)s" Added stage user "%(value)s" Added system permission "%(value)s" Added topology suffix "%(value)s" Added user "%(value)s" Added vault "%(value)s" Additional instructions: Address not valid, can't redirect Administrative account Administrator e-mail address Advertised by servers Affiliation Changed Agreements deleted Algorithm All All attributes to which the permission applies All commands should at least have a result All nameservers failed to answer the query for DNS reverse zone %(revdns)s All target filters, including those implied by type and memberof Allow Allow PTR sync Allow access from the trusted domain Allow adding external non-IPA members from trusted domains Allow dynamic updates. Allow falling back to AD DC LDAP when resolving AD trusted objects. For two-way trusts only. Allow host groups to create keytab of '${primary_key}' Allow host groups to retrieve keytab of '${primary_key}' Allow hosts to create keytab of '${primary_key}' Allow hosts to retrieve keytab of '${primary_key}' Allow in-line DNSSEC signing Allow inline DNSSEC signing of records in the zone Allow query Allow synchronization of forward (A, AAAA) and reverse (PTR) records Allow synchronization of forward (A, AAAA) and reverse (PTR) records in the zone Allow transfer Allow use of IPA resources by the domain of the trust Allow user groups to create keytab of '${primary_key}' Allow user groups to retrieve keytab of '${primary_key}' Allow users to create keytab of '${primary_key}' Allow users to retrieve keytab of '${primary_key}' Allow users, groups, hosts or host groups to create a keytab of this host. Allow users, groups, hosts or host groups to create a keytab of this service. Allow users, groups, hosts or host groups to retrieve a keytab of this host. Allow users, groups, hosts or host groups to retrieve a keytab of this service. Allowed Target Allowed to Impersonate Allowed to create keytab Allowed to retrieve keytab Allows migration despite the usage of compat plugin Already registered Alternative UPN suffixes Altitude Always ask Ambiguous search, user domain was not specified An IPA master host cannot be deleted or disabled An error has occurred (${error}) An error occurred while fetching dns zones. An id range already exists for this trust. You should either delete the old range, or exclude --base-id/--range-size options from the command. An interval between regular polls of the name server for new DNS zones Anchor '%(anchor)s' could not be resolved. Anchor to override Any CA Any Command Any Group Any Host Any Profile Any Service Anyone Applied to hosts Applies ID View to specified hosts or current members of specified hostgroups. If any other ID View is applied to the host, it is overridden. Applies ID View to specified hosts or current members of specified hostgroups. If any other ID View is applied to the host, it is overriden. Apply Apply ACI to your own entry (self) Apply ID view '${primary_key}' on hosts Apply ID view '${primary_key}' on hosts of host groups Apply to host groups Apply to hosts Arbitrary string identifying the segment Archive data into a vault. Archived data into vault "%(value)s" Are you sure you want to ${action} the user?<br/>The change will take effect immediately. Are you sure you want to activate ${object}? Are you sure you want to activate selected users? Are you sure you want to add permission for DNS Zone ${object}? Are you sure you want to delete ${object}? Are you sure you want to delete selected entries? Are you sure you want to disable ${object}? Are you sure you want to disable selected entries? Are you sure you want to enable ${object}? Are you sure you want to enable selected entries? Are you sure you want to proceed with the action? Are you sure you want to remove permission for DNS Zone ${object}? Are you sure you want to restore ${object}? Are you sure you want to restore selected users? Are you sure you want to stage ${object}? Are you sure you want to stage selected users? Are you sure you want to un-apply ID view from selected entries? Are you sure you want to unlock user ${object}? Are you sure you want to unprovision this host? Are you sure you want to unprovision this service? Arguments to details function As Whom Asks for a non-random password to use for the principal Assigned ID View Assigned manager of the token (default: self) Assigned user of the token (default: self) Asymmetric At least the domain or IP address should be specified Attribute Attribute Key Attribute breakdown Attribute to filter via regex. For example fqdn for a host, or manager for a user Attributes Attributes for total update Attributes that are not replicated to a consumer server during a fractional update. E.g., `(objectclass=*) $ EXCLUDE accountlockout memberof Attributes that are not replicated to a consumer server during a total update. E.g. (objectclass=*) $ EXCLUDE accountlockout Attributes to be ignored for group entries in DS Attributes to be ignored for user entries in DS Attributes to replicate Attributes to strip Attributes to which the delegation applies Attributes to which the permission applies Attributes to which the permission applies by default Attributes to which the permission applies. Audit Authenticating Authentication Authentication Indicators Authentication indicator Authentication indicators Authentication with Kerberos failed Authentication with personal certificate failed Authoritative nameserver Authoritative nameserver change Authoritative nameserver domain name Authority ID Auto Membership Rule Auto Membership is not configured Auto member rule: %s not found! Autogenerated Automatic update of DNS system records failed. Please re-run update of system records manually to get list of missing records. Automember Automember Rule Automember rebuild membership task completed Automember rebuild membership task started Automount Automount Key Automount Keys Automount Location Automount Location Settings Automount Locations Automount Map Automount Maps Automount key name. Automount key object. Automount location name. Automount map name. Automount master file. Available BIND update policy Back Back to Top Bad format in credentials cache Bad or unsupported salt type.
Bad search filter Bad search filter %(info)s Base DN Base DN on remote LDAP server Base ID Base for certificate subjects (OU=Test,O=Example) Base-64 encoded certificate. Base-64 encoded host certificate Base-64 encoded server certificate Base-64 encoded service certificate Base-64 encoded user certificate Base64 decoding failed: %(reason)s Binary data to archive Bind DN Bind password already provided (-w).
Bind password required when using a bind DN (-w or -W).
Bind rule type Brief description of this profile CA CA '%s' is disabled CA ACL CA ACLs CA Compromise CA category CA category cannot be set to 'all' while there are allowed CAs CA category the ACL applies to CA certificate CA is not configured CAs CAs cannot be added when CA category='all' CERT Algorithm CERT Certificate Type CERT Certificate/CRL CERT Key Tag CERT record CIFS credentials object CIFS server %(host)s denied your credentials CIFS server communication error: code "%(num)s", message "%(message)s" (both may be "None") CIFS server denied your credentials CLI metavar CLI name CNAME Hostname CNAME record CNAME record is not allowed to coexist with any other record (RFC 1034, section 3.6.2) CSR Cancel Cannot create reverse record for "%(value)s": %(exc)s Cannot decode file '%(filename)s': %(exc)s Cannot establish LSA connection to %(host)s. Is CIFS server running? Cannot establish a trust to AD deployed in the same domain as IPA. Such setup is not supported. Cannot find specified domain or server name Cannot hide CA renewal master. Cannot hide DNSSec key master. Cannot hide last enabled %(name)s server. Cannot perform SID validation without Samba 4 support installed. Make sure you have installed server-trust-ad sub-package of IPA on the server Cannot perform external member validation without Samba 4 support installed. Make sure you have installed server-trust-ad sub-package of IPA on the server Cannot perform join operation without own domain configured. Make sure you have run ipa-adtrust-install on the IPA server first Cannot perform the selected command without Samba 4 instance configured on this machine. Make sure you have run ipa-adtrust-install on this server. Cannot perform the selected command without Samba 4 support installed. Make sure you have installed server-trust-ad sub-package of IPA. Cannot query Directory Manager with API Cannot read file '%(filename)s': %(exc)s Cannot resolve KDC for requested realm Cannot retrieve trusted domain GC list Cannot search in trusted domains without own domain configured. Make sure you have run ipa-adtrust-install on the IPA server first Cannot specify both SASL mechanism and bind DN simultaneously.
Cannot specify server and LDAP uri simultaneously.
Cannot store permission ACI to %s Cannot use %(old_name)s with %(new_name)s Car License Certificate Certificate Association Data Certificate Authorities Certificate Authority Certificate Data Certificate For Match Certificate Hold Certificate Hold Removed Certificate Identity Mapping Global Configuration Certificate Identity Mapping Rule Certificate Identity Mapping Rule description Certificate Identity Mapping Rule name Certificate Identity Mapping Rules Certificate Identity Mapping configuration options Certificate Mapping Match Certificate Profile Certificate Profile to use Certificate Profiles Certificate Profiles to add Certificate Profiles to remove Certificate Revoked Certificate Subject base Certificate Type Certificate Usage Certificate chain Certificate for ${entity} ${primary_key} Certificate format error: %(error)s Certificate in base64 or PEM format Certificate mapping data Certificate operation cannot be completed: %(error)s Certificate profiles cannot be renamed Certificate requested Certificate with serial number %(serial)s issued by CA '%(ca)s' not found Certificate(s) stored in file '%(file)s' Certificate/CRL Certificates Cessation of Operation Change current Domain Level. Change password Change to POSIX group Change to external group Changed password for "%(value)s" Changed server state of "%(value)s". Character classes Check DNS Check connection to remote IPA server. Check the status of a certificate signing request. Checking if record exists. Checks if any of the servers has the CA service enabled. Checks if any of the servers has the DNS service enabled. Checks if any of the servers has the KRA service enabled City Class Class of Service object used for linking policies with groups Clear Clear all fields on the page. Clears ID View from specified hosts or current members of specified hostgroups. Click to ${action} Client credentials may be delegated to the service Client is not configured. Run ipa-client-install. Client version. Used to determine if server will accept request. Clock interval Clock offset Close Closing keytab failed
Collapse All Comma separated encryption types list Comma-separated list of attributes Comma-separated list of attributes to be ignored for group entries in DS Comma-separated list of attributes to be ignored for user entries in DS Comma-separated list of objectclasses to be ignored for group entries in DS Comma-separated list of objectclasses to be ignored for user entries in DS Comma-separated list of objectclasses used to search for group entries in DS Comma-separated list of objectclasses used to search for user entries in DS Comma-separated list of permissions to grant (read, write). Default is write. Comma-separated list of permissions to grant (read, write, add, delete, all) Comma-separated list of raw A records Comma-separated list of raw A6 records Comma-separated list of raw AAAA records Comma-separated list of raw AFSDB records Comma-separated list of raw APL records Comma-separated list of raw CERT records Comma-separated list of raw CNAME records Comma-separated list of raw DHCID records Comma-separated list of raw DLV records Comma-separated list of raw DNAME records Comma-separated list of raw DNSKEY records Comma-separated list of raw DS records Comma-separated list of raw HIP records Comma-separated list of raw IPSECKEY records Comma-separated list of raw KEY records Comma-separated list of raw KX records Comma-separated list of raw LOC records Comma-separated list of raw MX records Comma-separated list of raw NAPTR records Comma-separated list of raw NS records Comma-separated list of raw NSEC records Comma-separated list of raw NSEC3 records Comma-separated list of raw NSEC3PARAM records Comma-separated list of raw PTR records Comma-separated list of raw RP records Comma-separated list of raw RRSIG records Comma-separated list of raw SIG records Comma-separated list of raw SPF records Comma-separated list of raw SRV records Comma-separated list of raw SSHFP records Comma-separated list of raw TA records Comma-separated list of raw TKEY records Comma-separated list of raw TSIG records Comma-separated list of raw TXT records Command '%(name)s' has been deprecated Command category Command category the rule applies to Command name Command not implemented Commands Common Name Conditions that could not be added Conditions that could not be removed Configuration Configuration string Configure your token Configure your token by scanning the QR code below. Click on the QR code if you see this on the device you want to configure. Configured administrative server limit exceeded Configured size limit exceeded Configured time limit exceeded Confirm (password) Confirmation Connectivity Consecutive failures before lockout Consume an entitlement. Contact Settings Contact this specific KDC Server Content of 'standard' vaults can be seen by users with higher privileges (admins). Continue Continue to next page Continuous mode: Don't stop on errors. Continuous operation mode. Errors are reported but the process continues Continuous operation mode. Errors are reported but the process continues. Convert on server Could not get %(name)s interactively Could not read UPG Definition originfilter. Check your permissions. Counter Counter-based (HOTP) Create Stage user in from a delete user Create a CA. Create a new CA ACL. Create a new Certificate Identity Mapping Rule. Create a new HBAC rule. Create a new SELinux User Map. Create a new automount key. Create a new automount location. Create a new automount map. Create a new group. Create a new indirect mount point. Create a new service delegation rule. Create a new service delegation target. Create a new vault. Create as a non-POSIX group Create dns record Create new ACI. Create new DNS forward zone. Create new DNS zone (SOA record). Create new Sudo Command Group. Create new Sudo Command. Create new Sudo Rule. Create reverse Create reverse record for this IP Address Created ACI "%(value)s" Created CA "%(value)s" Creating record. Credentials Credentials cache permissions incorrect Cross-realm trusts are not configured. Make sure you have run ipa-adtrust-install on the IPA server first Current DNS record contents:
Current Password Current domain level: Current password is required Custom value Customization DHCID record DLV Algorithm DLV Digest DLV Digest Type DLV Key Tag DLV record DN commonName does not match user's login DN emailAddress does not match any of user's email addresses DN of container for groups in DS relative to base DN DN of container for users in DS relative to base DN DN of the started task DN to bind as if not using kerberos DNAME Target DNAME record DNS DNS Forward Zone DNS Forward Zones DNS Global Configuration DNS RR type "%s" is not supported by bind-dyndb-ldap plugin DNS Resource Record DNS Resource Records DNS Server DNS Server name DNS Servers DNS Zone DNS Zone Settings DNS Zones DNS check failed: Expected {%(expected)s} got {%(got)s} DNS class DNS configuration options DNS forward zone DNS forward zones DNS forwarder DNS forwarder semantics changed since IPA 4.0.
You may want to use forward zones (dnsforwardzone-*) instead.
For more details read the docs. DNS is not configured DNS label cannot be longer than 63 characters DNS label cannot be longer that 63 characters DNS record was deleted because it contained no data. DNS record(s) of host %(host)s could not be removed. (%(reason)s) DNS records can be only updated one at a time DNS resource record DNS resource record type DNS resource records DNS reverse zone %(revzone)s for IP address %(addr)s is not managed by this server DNS server DNS server %(server)s does not support DNSSEC: %(error)s.
If DNSSEC validation is enabled on IPA server(s), please disable it. DNS server %(server)s does not support EDNS0 (RFC 6891): %(error)s.
If DNSSEC validation is enabled on IPA server(s), please disable it. DNS server %(server)s: %(error)s. DNS servers DNS zone DNS zone %(zone)s not found DNS zone for each realmdomain must contain SOA or NS records. No records found for: %s DNS zone root record cannot be renamed DNS zones DNSKEY record DNSSEC support is experimental.
%(additional_info)s DNSSEC validation failed: %(error)s.
Please verify your DNSSEC configuration or disable DNSSEC validation on all IPA servers. DNSec key master DS Algorithm DS Digest DS Digest Type DS Key Tag DS record DS record must not be in zone apex (RFC 4035 section 2.4) DS record requires to coexist with an NS record (RFC 4592 section 4.6, RFC 4035 section 2.4) Data Debugging output Default Default (fallback) Group Default (fallback) group for entries to land Default PAC types Default SELinux user Default SELinux user when no match is found in SELinux map rule Default Trust View cannot be applied on hosts Default Trust View cannot contain IPA users Default attributes Default e-mail domain Default from Default group for entries to land Default group for new users Default group for new users is not POSIX Default group for new users not found Default group objectclasses Default group objectclasses (comma-separated list) Default host group Default location of home directories Default shell Default shell for new users Default ticket policy could not be read Default time to live Default types of PAC supported for services Default types of supported user authentication Default user authentication types Default user group Default user objectclasses Default user objectclasses (comma-separated list) Default users group Degrees Latitude Degrees Longitude Delegation Delegation name Delegations Delete Delete %(name)s '%(value)s'? Delete ACI. Delete Class of Service entry Delete DNS forward zone. Delete DNS record entry. Delete DNS resource record. Delete DNS zone (SOA record). Delete IPA server. Delete Key, Unprovision Delete Server Delete Sudo Command Group. Delete Sudo Command. Delete Sudo Rule. Delete a CA ACL. Delete a Certificate Identity Mapping Rule. Delete a Certificate Profile. Delete a DNS server Delete a RADIUS proxy server. Delete a SELinux User Map. Delete a delegation. Delete a group password policy. Delete a host. Delete a hostgroup. Delete a netgroup. Delete a permission. Delete a privilege. Delete a role. Delete a segment. Delete a self-service permission. Delete a stage user. Delete a topology suffix. Delete a trust. Delete a user Delete a user, keeping the entry available for future use Delete a user. Delete a vault container. Delete a vault. Delete all associated records Delete all? Delete an Group ID override. Delete an HBAC rule. Delete an HBAC service group. Delete an ID View. Delete an ID override. Delete an ID range. Delete an IPA location. Delete an IPA service. Delete an OTP token. Delete an User ID override. Delete an attribute/value pair. The option will be evaluated
last, after all sets and adds. Delete an automember rule. Delete an automount key. Delete an automount location. Delete an automount map. Delete an existing HBAC service. Delete domain Delete group. Delete mode Delete service delegation target. Delete service delegation. Deleted ACI "%(value)s" Deleted CA "%(value)s" Deleted CA ACL "%(value)s" Deleted Certificate Identity Mapping Rule "%(value)s" Deleted DNS forward zone "%(value)s" Deleted DNS server "%(value)s" Deleted DNS zone "%(value)s" Deleted Group ID override "%(value)s" Deleted HBAC rule "%(value)s" Deleted HBAC service "%(value)s" Deleted HBAC service group "%(value)s" Deleted ID View "%(value)s" Deleted ID override "%(value)s" Deleted ID range "%(value)s" Deleted IPA location "%(value)s" Deleted IPA server "%(value)s" Deleted OTP token "%(value)s" Deleted RADIUS proxy server "%(value)s" Deleted SELinux User Map "%(value)s" Deleted Sudo Command "%(value)s" Deleted Sudo Command Group "%(value)s" Deleted Sudo Rule "%(value)s" Deleted User ID override "%(value)s" Deleted automember rule "%(value)s" Deleted automount key "%(value)s" Deleted automount location "%(value)s" Deleted automount map "%(value)s" Deleted delegation "%(value)s" Deleted group "%(value)s" Deleted host "%(value)s" Deleted hostgroup "%(value)s" Deleted netgroup "%(value)s" Deleted permission "%(value)s" Deleted privilege "%(value)s" Deleted profile "%(value)s" Deleted record "%(value)s" Deleted role "%(value)s" Deleted segment "%(value)s" Deleted selfservice "%(value)s" Deleted service "%(value)s" Deleted service delegation "%(value)s" Deleted service delegation target "%(value)s" Deleted stage user "%(value)s" Deleted topology suffix "%(value)s" Deleted trust "%(value)s" Deleted user "%(value)s" Deleted vault "%(value)s" Deleted vault container Deleting a managed group is not allowed. It must be detached first. Deleting a server removes it permanently from the topology. Note that this is a non-reversible action. Deleting this server is not allowed as it would leave your installation without a CA. Deleting this server is not allowed as it would leave your installation without a KRA. Deleting this server will leave your installation without a DNS. Deny Department Number Deprecated options Deprecated; use %s Deprecated; use extratargetfilter Deprecated; use ipapermlocation Deprecated; use ipapermright Describe currently authenticated identity. Description Description of the purpose of the CA Detach a managed group from a user. Detached group "%(value)s" from user "%(value)s" Detect Determine whether Schema Compatibility plugin is configured to serve trusted domain users and groups Determine whether ipa-adtrust-install has been run on this system Determine whether ipa-adtrust-install has been run with sidgen task Dict of I18N messages Dict of JSON encoded IPA Commands Dict of JSON encoded IPA Methods Dict of JSON encoded IPA Objects Dictionary mapping plugin names to bases Dictionary mapping variable name to value Digest Digest Type Digits Direct Direct Membership Direction Latitude Direction Longitude Direction of replication between left and right replication node Disable Disable DNS Forward Zone. Disable DNS Zone. Disable a CA ACL. Disable a CA. Disable a Certificate Identity Mapping Rule. Disable a Sudo Rule. Disable a user account. Disable an HBAC rule. Disable an SELinux User Map rule. Disable per-user override Disable the Kerberos key and SSL certificate of a service. Disable the Kerberos key, SSL certificate and all services of a host. Disable token Disable use of IPA resources by the domain of the trust Disabled Disabled CA "%(value)s" Disabled CA ACL "%(value)s" Disabled Certificate Identity Mapping Rule "%(value)s" Disabled DNS forward zone "%(value)s" Disabled DNS zone "%(value)s" Disabled HBAC rule "%(value)s" Disabled SELinux User Map "%(value)s" Disabled Sudo Rule "%s" Disabled domain '%(domain)s' is not allowed Disabled host "%(value)s" Disabled service "%(value)s" Disabled trust domain "%(value)s" Disabled user account "%(value)s" Disallow host groups to create keytab of '${primary_key}' Disallow host groups to retrieve keytab of '${primary_key}' Disallow hosts to create keytab of '${primary_key}' Disallow hosts to retrieve keytab of '${primary_key}' Disallow user groups to create keytab of '${primary_key}' Disallow user groups to retrieve keytab of '${primary_key}' Disallow users to create keytab of '${primary_key}' Disallow users to retrieve keytab of '${primary_key}' Disallow users, groups, hosts or host groups to create a keytab of this host. Disallow users, groups, hosts or host groups to create a keytab of this service. Disallow users, groups, hosts or host groups to retrieve a keytab of this host. Disallow users, groups, hosts or host groups to retrieve a keytab of this service. Display Class of Service entry Display DNS resource. Display Sudo Command Group. Display Sudo Command. Display Sudo Rule. Display a segment. Display a single ACI given an ACI name. Display an automount key. Display an automount location. Display an automount map. Display configuration of a DNS server. Display current entitlements. Display effective policy for a specific user Display information about a Certificate Identity Mapping Rule. Display information about a DNS forward zone. Display information about a DNS zone (SOA record). Display information about a RADIUS proxy server. Display information about a class. Display information about a command output. Display information about a command parameter. Display information about a command. Display information about a delegation. Display information about a help topic. Display information about a host. Display information about a hostgroup. Display information about a named group. Display information about a named service delegation rule. Display information about a named service delegation target. Display information about a netgroup. Display information about a permission. Display information about a privilege. Display information about a range. Display information about a role. Display information about a self-service permission. Display information about a stage user. Display information about a trust. Display information about a user. Display information about a vault container. Display information about a vault. Display information about an Group ID override. Display information about an HBAC service group. Display information about an HBAC service. Display information about an ID View. Display information about an ID override. Display information about an IPA location. Display information about an IPA service. Display information about an OTP token. Display information about an User ID override. Display information about an automember rule. Display information about password policy. Display information about the default (fallback) automember groups. Display name Display the access rights of this entry (requires --all). See ipa man page for details. Display the current Kerberos ticket policy. Display the list of realm domains. Display the properties of a CA ACL. Display the properties of a CA. Display the properties of a Certificate Profile. Display the properties of a SELinux User Map rule. Display the properties of an HBAC rule. Display user record for current Kerberos principal Do not display QR code Do not update records only return expected records Do you also want to perform DNS check? Do you want to check if new authoritative nameserver address is in DNS Do you want to remove certificate mapping data ${data}? Do you want to remove kerberos alias ${alias}? Do you want to remove the certificate hold? Do you want to revoke this certificate? Select a reason from the pull-down list. Do you want to update system DNS records? Documentation Dogtag Authority ID Domain Domain '%(domain)s' is not a root domain for forest '%(forest)s' Domain GUID Domain Level Domain Level cannot be lowered. Domain Level cannot be raised to {0}, existing replication conflicts have to be resolved. Domain Level cannot be raised to {0}, server {1} does not support it. Domain NetBIOS name Domain SID Domain SID of the trusted domain Domain Security Identifier Domain controller for the Active Directory domain (optional) Domain enabled Domain name Domain resolution order Domain where the user entry will be searched Don't create user private group Don't wait for rebuilding membership Download Download certificate as PEM formatted file. Drive to mount a home directory Dry run Duplicate keys skipped: Duplicate maps skipped: Dynamic update Edit Edit ${entity} Effective attributes Email address Employee Information Employee Number Employee Type Empty domain is not allowed Enable Enable DNS Forward Zone. Enable DNS Zone. Enable a CA ACL. Enable a CA. Enable a Certificate Identity Mapping Rule. Enable a Sudo Rule. Enable a user account. Enable an HBAC rule. Enable an SELinux User Map rule. Enable migration mode Enable or Disable Anonymous PKINIT. Enable token Enabled Enabled CA "%(value)s" Enabled CA ACL "%(value)s" Enabled Certificate Identity Mapping Rule "%(value)s" Enabled DNS forward zone "%(value)s" Enabled DNS zone "%(value)s" Enabled HBAC rule "%(value)s" Enabled SELinux User Map "%(value)s" Enabled Sudo Rule "%s" Enabled server roles Enabled trust domain "%(value)s" Enabled user account "%(value)s" Encryption types to request Enctype comparison failed!
Enrolled Enrollment Enrollment UUID Enrollment UUID (not implemented) Enrollment failed. %s
Enter %(label)s again to verify: Enter LDAP password Enter trusted group name. Enter trusted or IPA group name. Note: search doesn't list groups from trusted domains. Enter trusted or IPA user login. Note: search doesn't list users from trusted domains. Enter trusted user login. Entry Entry %s does not exist Entry %s not found Entry RDN is not 'uid' Entry has no '%(attribute)s' Enumerate all the hosts the view applies to. Error Error changing account status Error getting default Kerberos realm: %s.
Error obtaining initial credentials: %s.
Error parsing "%1$s": %2$s.
Error resolving keytab: %s.
Error storing creds in credential cache: %s.
Establish bi-directional trust. By default trust is inbound one-way only. Establish external trust to a domain in another forest. The trust is not transitive beyond the domain. Establish using Established and verified Exceeded number of tries to forward a request. Exchanger Exclude from Excluded attributes Exclusive Exclusive Regex Expand All Expires On Export plugin meta-data for the webUI. Expression External External Group the commands can run as (sudorule-find only) External Groups of RunAs Users External Groups of users that the command can run as External User External User the commands can run as (sudorule-find only) External User the rule applies to (sudorule-find only) External host External member External trust Extra hashes to generate in password plug-in Extra target filter Failed CAs Failed RunAs Failed RunAsGroup Failed allowed to create keytab Failed allowed to retrieve keytab Failed hosts/hostgroups Failed logins Failed managedby Failed members Failed owners Failed profiles Failed service/service groups Failed source hosts/hostgroups Failed targets Failed to add Failed to add key to the keytab
Failed to add user to the default group. Use 'ipa group-add-member' to add manually. Failed to bind to server!
Failed to clean memberPrincipal %(principal)s from s4u2proxy entry %(dn)s: %(err)s Failed to clean up Custodia keys for %(master)s: %(err)s Failed to clean up DNA hostname entries for %(master)s: %(err)s Failed to cleanup %(hostname)s DNS entries: %(err)s Failed to cleanup server principals/keys: %(err)s Failed to close the keytab
Failed to connect to sssd over SystemBus. See details in the error_log Failed to create control!
Failed to create key material
Failed to create key!
Failed to create random key!
Failed to decode control reply!
Failed to find users over SystemBus. See details in the error_log Failed to get keytab
Failed to get keytab!
Failed to get result: %s
Failed to open Keytab
Failed to open config file %s
Failed to open keytab
Failed to open keytab '%1$s': %2$s
Failed to parse config file %s
Failed to parse extended result: %s
Failed to parse result: %s
Failed to remove Failed to remove server %(master)s from server list: %(err)s Failed to resolve symlink to keytab.
Failed to retrieve any keys Failed to retrieve encryption type %1$s (#%2$d)
Failed to retrieve encryption type type #%d
Failed users/groups Failure decoding Certificate Signing Request: %s Failure reset interval Fallback primary group Fallback to AD DC LDAP False False if migration fails because the compatibility plug-in is enabled. False if migration mode was disabled. Fax Number Fetch domains Fetching DNS zones. Fetching domains from trusted forest failed. See details in the error_log File %(file)s not found File containing data to archive File containing profile configuration File containing the new vault password File containing the new vault public key File containing the old vault password File containing the old vault private key File containing the vault password File containing the vault private key File containing the vault public key File to load the certificate from File to load the certificate from. File to store retrieved data File to store the certificate in. Filename is empty Filename of a raw profile. The XML format is not supported. Filter Filter available ${other_entity} Find Find a server role on a server(s) Fingerprint Fingerprint (SHA1) Fingerprint (SHA256) Fingerprint Type Fingerprint of schema cached by client Fingerprints First First Code First OTP First Posix ID of the range First Posix ID of the range reserved for the trusted domain First RID of the corresponding RID range First RID of the secondary RID range First date/time the token can be used First name Flags Following segments were not deleted: Force Force DNS zone creation even if it will overlap with an existing zone. Force DNS zone creation even if nameserver is not resolvable. Force DNS zone creation even if nameserver is not resolvable. (Deprecated) Force Update Force adding domain even if not in DNS Force nameserver change even if nameserver not in DNS Force server removal Force server removal even if it does not exist Force the host join. Rejoin even if already joined. Forcing removal of %(hostname)s Forest '%(forest)s' has existing trust to forest(s) %(domains)s which prevents a trust to '%(conflict)s' Format error Forward first Forward only Forward policy Forward policy is defined for it in IPA DNS, perhaps forwarder points to incorrect host? Forward to server instead of running locally Forward zones only Forwarders Forwarding disabled Forwarding policy conflicts with some automatic empty zones. Queries for zones specified by RFC 6303 will ignore forwarding and recursion and always result in NXDOMAIN answers. To override this behavior use forward policy 'only'. Found '%(value)s' Full name Fully Qualified Host Name Function to get details GECOS GECOS field GID GID (use this option to set it manually) GSSAPI|EXTERNAL General Generate OTP Generate a random password to be used in bulk enrollment Generate a random user password Generate automount files for a specific location. Generated OTP Get Get Certificate Global DNS configuration is empty Global Trust Configuration Global forwarders Global forwarders. A custom port can be specified for each forwarder using a standard format "IP_ADDRESS port PORT" Global forwarding policy. Set to "none" to disable any configured global forwarders. Granted rights Granted to Privilege Granting privilege to roles Group Group '%s' does not exist Group ID Number Group ID override Group ID overrides Group Options Group Settings Group Type Group categories Group container Group description Group name Group object class Group object overrides Group search fields Group to apply ACI to Group to override Grouping Type Grouping to which the rule applies Groups Groups allowed to create keytab Groups allowed to retrieve keytab Groups of RunAs Users HBAC Rule HBAC Rule that defines the users, groups and hostgroups HBAC Rules HBAC Service HBAC Service Group HBAC Service Groups HBAC Services HBAC Test HBAC rule HBAC rule %(rule)s not found HBAC rule and local members cannot both be set HBAC rules HBAC service HBAC service description HBAC service group HBAC service group description HBAC service groups HBAC service groups to add HBAC service groups to remove HBAC services HBAC services to add HBAC services to remove HIP record HOTP Authentication Window HOTP Synchronization Window HOTP authentication skip-ahead HOTP synchronization skip-ahead HTTP Error Hardened Password (by SPAKE or FAST) Hardware MAC address(es) on this host Hardware platform of the host (e.g. Lenovo T61) Hello world Help topic Hidden IPA CA servers Hidden IPA DNS servers Hidden IPA KRA servers Hidden IPA masters Hidden IPA servers configured as certificate authority Hidden IPA servers configured as domain name server Hidden IPA servers configured as key recovery agent Hide Hide details Hide details which rules are matched, not matched, or invalid History size Home directory Home directory base Horizontal Precision Host Host '%(host)s' not found Host '%(hostname)s' does not have corresponding DNS A/AAAA record Host '%(hostname)s' is not an active KDC Host Certificate Host Group Host Group Settings Host Groups Host Groups allowed to create keytab Host Groups allowed to retrieve keytab Host Masks Host Name Host Settings Host category Host category (semantics placed on this attribute are for local interpretation) Host category the ACL applies to Host category the rule applies to Host group rule Host group rules Host hardware platform (e.g. "Lenovo T61") Host is already joined.
Host is not supported Host locality (e.g. "Baltimore, MD") Host location (e.g. "Lab 2") Host name Host operating system and version (e.g. "Fedora 9") Host unprovisioned Host-Based Access Control Host-based access control commands Host-group Hostgroups to whose hosts apply the ID View to. Please note that view is not applied automatically to any hosts added to the hostgroup after running the idview-apply command. Hostgroups whose hosts should have ID Views cleared. Note that view is not cleared automatically from any host added to the hostgroup after running idview-unapply command. Hostname Hostname (FQDN) Hostname of this server Hosts Hosts allowed to create keytab Hosts allowed to retrieve keytab Hosts or hostgroups that ID View could not be cleared from. Hosts or hostgroups that this ID View could not be applied to. Hosts that ID View was cleared from. Hosts that this ID View was applied to. Hosts the view applies to Hosts to apply the ID View to Hosts to clear (any) ID View from. How long should negative responses be cached ID Range ID Ranges ID View ID View Name ID View already applied ID View applied to %i host. ID View applied to %i hosts. ID View cleared from %i host. ID View cleared from %i hosts. ID Views ID override ID overrides cannot be renamed ID range for the trusted domain already exists, but it has a different type. Please remove the old range manually, or do not enforce type via --range-type option. ID range type, one of allowed values ID range type, one of ipa-ad-trust-posix, ipa-ad-trust, ipa-local ID range with the same name but different domain SID already exists. The ID range for the new trusted domain must be created manually. IP Address IP address %(ip)s is already assigned in domain %(domain)s. IP address in subjectAltName (%s) does not have PTR record IP address in subjectAltName (%s) unreachable from DNS names IP network to create reverse zone name from IPA AD trust agents IPA AD trust controllers IPA CA cannot be deleted IPA CA cannot be disabled IPA CA certificate IPA CA renewal master IPA CA servers IPA DNS Server is not installed IPA DNS records IPA DNS servers IPA DNS version IPA DNSSec key master IPA Error IPA KRA servers IPA Location IPA Location description IPA Locations IPA Range type must be one of ipa-ad-trust or ipa-ad-trust-posix when SID of the trusted domain is specified IPA Range type must not be one of ipa-ad-trust or ipa-ad-trust-posix when SID of the trusted domain is not specified. IPA Server IPA Server Role IPA Server Roles IPA Server to use IPA Servers IPA does not manage the zone %(zone)s, please add records to your DNS server manually IPA location name IPA location records IPA manages DNS, please verify your DNS configuration and make sure that service records of the '{domain}' domain can be resolved. Examples how to configure DNS with CLI commands or the Web UI can be found in the documentation. IPA master capable of PKINIT IPA master denied trust validation requests from AD DC %(count)d times. Most likely AD DC contacted a replica that has no trust information replicated yet. Additionally, please check that AD DNS is able to resolve %(records)s SRV records to the correct IPA server. IPA master which can process PKINIT requests IPA masters IPA namingContext not found
IPA object IPA role name IPA server configured as DNSSec key master IPA server domain cannot be deleted IPA server domain cannot be omitted IPA server hostname IPA server role name IPA servers configured as AD trust agents IPA servers configured as AD trust controllers IPA servers configured as certificate authority IPA servers configured as domain name server IPA servers configured as key recovery agent IPA servers configured as key recovery agents IPA trust IPA unique ID IPSECKEY record Identity Identity Settings If no CAs are specified, requests to the default CA are allowed. If the problem persists please contact the system administrator. Ignore check for last remaining CA or DNS server Ignore compat plugin Ignore group attribute Ignore group object class Ignore topology connectivity problems after removal Ignore topology errors Ignore user attribute Ignore user object class Ignored %(src)s to %(dst)s Ignored keys: Ignoring these warnings and proceeding with removal Ignoring topology connectivity errors. Import a Certificate Profile. Import an entitlement certificate. Import automount files for a specific location. Imported keys: Imported maps: Imported profile "%(value)s" Include Disabled Include Enabled Include IPA master entries Include all disabled IPA rules into test Include all enabled IPA rules into test [default] Include certificate chain in output Include in Included attributes Inclusive Inclusive Regex Incompatible options provided (-r and -P)
Indirect Indirect Member HBAC service Indirect Member HBAC service group Indirect Member groups Indirect Member host-groups Indirect Member hosts Indirect Member netgroups Indirect Member of HBAC rule Indirect Member of Sudo rule Indirect Member of group Indirect Member of host-group Indirect Member of netgroup Indirect Member of role Indirect Member of roles Indirect Member permissions Indirect Member users Indirect Membership Inherited from server configuration Initial counter for the HOTP token Initialize left node Initialize right node Initials Input data specified multiple times Input file Input filename Input form contains invalid or missing values. Insufficient 'add' privilege for entry '%s'. Insufficient 'write' privilege to the 'krbLastPwdChange' attribute of entry '%s'. Insufficient 'write' privilege to the 'userCertificate' attribute of entry '%s'. Insufficient access: %(info)s Insufficient privilege to create a certificate with subject alt name '%s'. Insufficient privilege to delete a CA. Insufficient privilege to modify a CA. Insufficient privilege to modify a certificate profile. Internal Error Internationalization messages Invalid JSON-RPC request: %(error)s Invalid LDAP URI. Invalid MCS value, must match {mcs}, where max category {mcs_max} Invalid MLS value, must match {mls}, where max level {mls_max} Invalid SASL bind mechanism
Invalid SELinux user name, must match {} Invalid Service Principal Name
Invalid credentials Invalid domain name '%(domain)s': %(e)s Invalid format. Should be name=value Invalid number of parts! Invalid or unsupported type. Allowed values are: %s Invalid or unsupported vault public key: %s Invalid vault type Is zone active? Issue Issue new certificate Issue new certificate for host '${primary_key}' Issue new certificate for service '${primary_key}' Issue new certificate for user '${primary_key}' Issued By Issued On Issued To Issued on from Issued on from this date (YYYY-mm-dd) Issued on to Issued on to this date (YYYY-mm-dd) Issuer Issuer DN Issuer Distinguished Name Issuer and subject Issuer of the certificate Issuing CA It is strongly recommended to keep the following services installed on more than one server: It is used only for setting the SOA MNAME attribute. Job Title Join an IPA domain KEY Algorithm KEY Flags KEY Protocol KEY Public Key KEY record KRA service is not enabled KX Exchanger KX Preference KX record Kerberos Credential Cache not found. Do you have a Kerberos Ticket?
Kerberos Key Kerberos Key Not Present Kerberos Key Present, Host Provisioned Kerberos Key Present, Service Provisioned Kerberos Principal you entered is expired Kerberos Service Principal Name Kerberos Ticket Policy Kerberos User Principal not found. Do you have a valid Credential Cache?
Kerberos context initialization failed
Kerberos context initialization failed: %1$s (%2$d)
Kerberos error: %(major)s/%(minor)s Kerberos keys available Kerberos principal Kerberos principal %s already exists. Use 'ipa user-mod' to set it manually. Kerberos principal expiration Kerberos principal name for this host Key Key Compromise Key Tag Keytab Keytab File Name Keytab successfully retrieved and stored in: %s
LDAP DN LDAP SASL bind mechanism if no bindd/bindpw LDAP URI LDAP URI of DS server to migrate from LDAP basedn LDAP password LDAP password (if not using Kerberos) LDAP schema LDAP search scope for users and groups: base, onelevel, or subtree. Defaults to onelevel LDAP suffix to be managed LDAP timeout LDAP uri to connect to. Mutually exclusive with --server LOC Altitude LOC Degrees Latitude LOC Degrees Longitude LOC Direction Latitude LOC Direction Longitude LOC Horizontal Precision LOC Minutes Latitude LOC Minutes Longitude LOC Seconds Latitude LOC Seconds Longitude LOC Size LOC Vertical Precision LOC record Label Labels Last Last date/time the token can be used Last failed authentication Last name Last successful authentication Leading and trailing spaces are not allowed Left node Left replication node - an IPA server Legal LDAP filter (e.g. ou=Engineering) Length of TOTP token code validity Level List all service vaults List all user vaults List of IPA masters configured as DNS servers List of all IPA masters List of all hidden IPA masters List of deletions that failed List of enabled roles List of servers which advertise the given location List of trust domains successfully refreshed. Use trustdomain-find command to list them. Lists of objects migrated; categorized by type. Lists of objects that could not be migrated; categorized by type. Load CA certificate of LDAP server from FILE Loading Loading data Local domain Locality Location Location name Location of the ACI Lockout duration Log In Using Certificate Log in Log in using personal certificate Log out Log out error Logged In As Login failed due to an unknown reason Login shell Lower number means higher priority. Clients will attempt to contact the URI with the lowest-numbered priority they can reach. Lower number means higher priority. Clients will attempt to contact the server with the lowest-numbered priority they can reach. MAC address MS-PAC MX Exchanger MX Preference MX record Mailing Address Make multiple ipa calls via one remote procedure call Malformed DN Malformed principal Malformed principal: '%(value)s' Manage password policy for specific group Manage ticket policy for specific user Managed LDAP suffix DN Managed by Managed suffix Managed suffixes Managed topology requires minimal domain level ${domainlevel} Managedby permission Manager Managing Map Map Type Mapping rule Mapping ruleset "%(ruleset)s" has more than one rule for the %(helper)s helper Mark the token as disabled (default: false) Master file Match Match cn attribute in subject Match users according to certificate. Matched Matched Users Matched rules Matching Type Matching rule Max domain level Max failures Max life Max lifetime (days) Max renew Maximum amount of time (seconds) for a search (-1 or 0 is unlimited) Maximum amount of time (seconds) for a search (> 0, or -1 for unlimited) Maximum domain level Maximum hostname length Maximum number of agreements per replica Maximum number of certs returned Maximum number of entries returned Maximum number of entries returned (0 is unlimited) Maximum number of records to search (-1 is unlimited) Maximum number of records to search (-1 or 0 is unlimited) Maximum number of rules to process when no --rules is specified Maximum password lifetime (in days) Maximum renewable age (seconds) Maximum serial number Maximum ticket life (seconds) Maximum username length Maximum value is ${value} May not be empty Member Group Member HBAC service Member HBAC service groups Member Host Member Hostgroup Member Sudo commands Member User Member groups Member host-groups Member hosts Member netgroups Member of Member of HBAC rule Member of HBAC service groups Member of Sudo rule Member of a group Member of group Member of groups Member of host-groups Member of netgroups Member principals Member service groups Member services Member user group Member users Members Members of a trusted domain in DOM\name or name@domain form Members that could not be added Members that could not be removed Method name Method of Migrate Migrate users and groups from DS to IPA. Migrating Migration mode is disabled.
Use 'ipa config-mod --enable-migration=TRUE' to enable it. Migration of LDAP search reference is not supported. Min domain level Min length Min lifetime (hours) Minimum domain level Minimum length of password Minimum number of character classes Minimum password lifetime (in hours) Minimum serial number Minimum value is ${value} Minutes Latitude Minutes Longitude Misc. Information Missing credentials for cross-forest communication Missing new vault public key Missing or invalid HTTP Referer, %(referer)s Missing reply control list!
Missing reply control!
Missing values: Missing vault private key Missing vault public key Mobile Telephone Number Model Modified Modified "%(value)s" trust configuration Modified ACI "%(value)s" Modified CA "%(value)s" Modified CA ACL "%(value)s" Modified Certificate Identity Mapping Rule "%(value)s" Modified Certificate Profile "%(value)s" Modified DNS server "%(value)s" Modified HBAC rule "%(value)s" Modified HBAC service "%(value)s" Modified HBAC service group "%(value)s" Modified ID range "%(value)s" Modified IPA location "%(value)s" Modified IPA server "%(value)s" Modified OTP token "%(value)s" Modified RADIUS proxy server "%(value)s" Modified SELinux User Map "%(value)s" Modified Sudo Command "%(value)s" Modified Sudo Command Group "%(value)s" Modified Sudo Rule "%(value)s" Modified an Group ID override "%(value)s" Modified an ID View "%(value)s" Modified an ID override "%(value)s" Modified an User ID override "%(value)s" Modified automember rule "%(value)s" Modified automount key "%(value)s" Modified automount map "%(value)s" Modified delegation "%(value)s" Modified group "%(value)s" Modified host "%(value)s" Modified hostgroup "%(value)s" Modified netgroup "%(value)s" Modified permission "%(value)s" Modified privilege "%(value)s" Modified role "%(value)s" Modified segment "%(value)s" Modified selfservice "%(value)s" Modified service "%(value)s" Modified stage user "%(value)s" Modified topology suffix "%(value)s" Modified trust "%(value)s" (change will be effective in 60 seconds) Modified user "%(value)s" Modified vault "%(value)s" Modified: key not set Modify %(name)s '%(value)s'? Modify ACI. Modify CA configuration. Modify Certificate Identity Mapping configuration. Modify Certificate Profile configuration. Modify Class of Service entry Modify DNS forward zone. Modify DNS server configuration Modify DNS zone (SOA record). Modify ID range. Modify ID range.
Modify Kerberos ticket policy. Modify OTP configuration options. Modify Sudo Command Group. Modify Sudo Command. Modify Sudo Rule. Modify a CA ACL. Modify a Certificate Identity Mapping Rule. Modify a DNS resource record. Modify a OTP token. Modify a RADIUS proxy server. Modify a SELinux User Map. Modify a delegation. Modify a group password policy. Modify a group. Modify a hostgroup. Modify a netgroup. Modify a permission. Modify a privilege. Modify a role. Modify a segment. Modify a self-service permission. Modify a stage user. Modify a topology suffix. Modify a user. Modify a vault. Modify an Group ID override. Modify an HBAC rule. Modify an HBAC service group. Modify an HBAC service. Modify an ID View. Modify an ID override. Modify an User ID override. Modify an automember rule. Modify an automount key. Modify an automount map. Modify an existing IPA service. Modify configuration options. Modify global DNS configuration. Modify global trust configuration. Modify information about a host. Modify information about an IPA location. Modify information about an IPA server. Modify realm domains. Modify trustdomain of the trust More than one entry with key %(key)s found, use --info to select specific entry. Mount information Mount point Move deleted user into staged area Multi-value Must be a decimal number Must be a positive number Must be an UTC date/time value (e.g., "2014-01-20 17:58:01Z") Must be an integer My User Vaults NAPTR Flags NAPTR Order NAPTR Preference NAPTR Regular Expression NAPTR Replacement NAPTR Service NAPTR record NIS domain name NONE value cannot be combined with other PAC types NS Hostname NS record NS record is not allowed to coexist with an %(type)s record except when located in a zone root record (RFC 2181, section 6.1) NS record(s) can be edited in zone apex - '@'. NSEC Next Domain Name NSEC Type Map NSEC record NSEC3 record NSEC3PARAM record NSEC3PARAM record for zone in format: hash_algorithm flags iterations salt Name Name for referencing the CA Name of command to export Name of host-group Name of issuing CA Name of method to export Name of object to export Name of parent automount map (default: auto.master). Name of the trusted domain Nameserver '%(host)s' does not have a corresponding A/AAAA record Nameserver for reverse zone cannot be a relative DNS name Neither --del-all nor options to delete a specific record provided.
Command help may be consulted for all supported record types. Nested Methods to execute NetBIOS name Netgroup Netgroup Settings Netgroup description Netgroup name Netgroups Network Services New ACI name New Certificate New Password New Principal Password New Test New kerberos principal alias New mount information New password is required New public key specified multiple times New vault password New: key not set New: key set Next Next Domain Name No A, AAAA, SSHFP or PTR records found. No Common Name was found in subject of request. No DNS servers in IPA location %(location)s. Without DNS servers location is not working as expected. No DNSSEC key master is installed. DNSSEC zone signing will not work until the DNSSEC key master is installed. No Valid Certificate No archived data. No credentials cache found No default (fallback) group set No entries. No file to read No free YubiKey slot! No keys accepted by KDC
No matching entries found No option to delete specific record provided. No option to modify specific record provided. No permission to join this host to the IPA domain.
No private group No response No such attribute on this entry No such virtual command No system preferred enctypes ?!
No values for %s No wait No write permissions on keytab file '%s'
Non-Active Directory domain Non-POSIX Non-existent or invalid rules Non-transitive external trust to a domain in another Active Directory forest Non-transitive external trust to an RFC4120-compliant Kerberos realm Nonce Not After Not Before Not a managed group Not a valid IP address Not a valid IPv4 address Not a valid IPv6 address Not a valid network address (examples: 2001:db8::/64, 192.0.2.0/24) Not allowed on non-leaf entry Not enough arguments specified to perform trust setup Not matched rules Not registered yet Note Number of IDs in the range Number of conditions added Number of conditions removed Number of days's notice of impending password expiration Number of digits each token code will have Number of entries returned Number of hosts that had a ID View was unset: Number of hosts the ID View was applied to: Number of members added Number of members removed Number of owners added Number of owners removed Number of permissions added Number of permissions removed Number of plugins loaded Number of privileges added Number of privileges removed Number of seconds outbound LDAP operations waits for a response from the remote replica before timing out and failing Number of variables returned (<= total) OK OTP OTP Configuration OTP Token OTP Token Settings OTP Tokens OTP configuration options OTP set OTP token OTP tokens Object class ipaNTUserAttrs is missing, user entry cannot have SMB attributes. Object class name Objectclasses to be ignored for group entries in DS Objectclasses to be ignored for user entries in DS Objectclasses used to search for group entries in DS Objectclasses used to search for user entries in DS Old vault password Old vault private key One Time Password One of group, permission or self is required One time password commands Only one value is allowed Only one zone type is allowed per zone name Only standard vaults can be created in WebUI, use CLI for other types of vaults. Only the ipa-ad-trust and ipa-ad-trust-posix are allowed values for --range-type when adding an AD trust. Operating System and version of the host (e.g. Fedora 9) Operating system Operation failed: %s
Operations Error Option added Option group Option rid-base must not be used when IPA range type is ipa-ad-trust-posix Optional DN subtree from where an entry can be moved (must be in the subtree, but may not yet exist) Optional DN subtree where an entry can be moved to (must be in the subtree, but may not yet exist) Optional DN to apply the permission to (must be in the subtree, but may not yet exist) Options Options dom-sid and dom-name cannot be used together Options dom-sid and rid-base must be used together Options dom-sid and secondary-rid-base cannot be used together Options dom-sid/dom-name and rid-base must be used together Options dom-sid/dom-name and secondary-rid-base cannot be used together Options secondary-rid-base and rid-base must be used together Order Order in increasing priority of SELinux users, delimited by $ Org. Unit Organization Organizational Unit Origin DN subtree Original TTL Other Record Types Our domain is not configured Out of Memory!
Out of memory
Out of memory
Out of memory! Out of memory!
Out of memory!?
Output file to store the transport certificate Output filename Output only on errors Override default list of supported PAC types. Use 'NONE' to disable PAC support for this service Override default list of supported PAC types. Use 'NONE' to disable PAC support for this service, e.g. this might be necessary for NFS services. Override existing password Override inherited settings Overwrite GID Owner Owner %s Owner groups Owner services Owner users Owners Owners that could not be added Owners that could not be removed PAC type PAD PKINIT PKINIT status POSIX PTR Hostname PTR record PTR record for SAN IP (%s) does not match A/AAAA records Page Pager Number Pagination Size Parameters Parent map Parse all raw DNS records and return them in a structured way Parse error Password Password Expiration Notification (days) Password Policies Password Policy Password can be specified only for symmetric vault Password cannot be set on enrolled host. Password change complete Password expiration Password history size Password migration was not successful Password migration was successful Password plugin features Password reset was not successful. Password specified multiple times Password used in bulk enrollment Passwords do not match Passwords do not match! Passwords have been migrated in pre-hashed format.
IPA is unable to generate Kerberos keys unless provided
with clear text passwords. All migrated users need to
login at https://your.domain/ipa/migration/ before they
can use their Kerberos accounts. Passwords must match Path to a script executed on a Windows system at logon Path to a user home directory, in UNC format Path to a user profile, in UNC format \\server\share\ Path to the IPA CA certificate Per-server conditional forwarding policy. Set to "none" to disable forwarding to global forwarder for this zone. In that case, conditional zone forwarders are disregarded. Per-server forwarders. A custom port can be specified for each forwarder using a standard format "IP_ADDRESS port PORT" Per-zone conditional forwarding policy. Set to "none" to disable forwarding to global forwarder for this zone. In that case, conditional zone forwarders are disregarded. Per-zone forwarders. A custom port can be specified for each forwarder using a standard format "IP_ADDRESS port PORT" Period after which failure count will be reset (seconds) Period for which lockout is enforced (seconds) Permission Permission ACI grants access to Permission denied: %(file)s Permission flags Permission name Permission settings Permission type Permission value Permission with unknown flag %s may not be modified or removed Permissions Permissions to grant (read, write). Default is write. Permissions to grant(read, write, add, delete, all) Permitted Encryption Types Permitted to have certificates issued Ping a remote server. Platform Please choose a type of DNS resource record to be added Please specify forwarders. Please try the following options: Policy Port Positional argument Positional arguments Pre-authentication is required for the service Pre-shared password Predefined profile '%(profile_id)s' cannot be deleted Preference Preference given to this exchanger. Lower values are more preferred Preferred Language Prefix used to distinguish ACI types (permission, delegation, selfservice, none) Preserved user Preserved users Prev Primary RID base Primary RID range and secondary RID range cannot overlap Primary key only Principal Principal %(principal)s cannot be authenticated: %(message)s Principal '%(principal)s' is not permitted to use CA '%(ca)s' with profile '%(profile_id)s' for certificate issuance. Principal '%s' in subject alt name does not match requested principal Principal alias Principal for this certificate (e.g. HTTP/test.example.com) Principal is not of the form user@REALM: '%(principal)s' Principal name Print as little as possible Print debugging information Print entries as stored on the server. Only affects output format. Print the raw XML-RPC output in GSSAPI mode Priority Priority (order) Priority of the policy (higher number means lower priority Priority of the rule (higher number means lower priority Private key specified multiple times Privilege Privilege Settings Privilege Withdrawn Privilege description Privilege name Privileges Profile Profile ID Profile ID '%(cli_value)s' does not match profile data '%(file_value)s' Profile ID for referring to this profile Profile category Profile category the ACL applies to Profile configuration Profile configuration stored in file '%(file)s' Profile data specifies profileId multiple times: %(values)s Profile description Profiles Prompt for LDAP password Prompt for the username Prompt for the username when multiple identities are mapped to a certificate Prompt to set the user password Prospective Protocol Provisioning Public Key Public key Public key can be specified only for asymmetric vault Public key specified multiple times Public key: QR code width is greater than that of the output tty. Please resize your terminal. Quantity Query current Domain Level. Query returned more results than the configured size limit. Displaying the first ${counter} results. Quick Links Quiet mode. Only errors are displayed. RADIUS RADIUS Proxy Server Settings RADIUS Server RADIUS Servers RADIUS proxy configuration RADIUS proxy server RADIUS proxy server name RADIUS proxy server with name "%s" already exists RADIUS proxy servers RADIUS proxy username REVOKED RFC4120-compliant Kerberos realm RFC822Name does not match any of user's email addresses RP record RPC command used to log the current user out of their session. RRSIG Algorithm RRSIG Key Tag RRSIG Labels RRSIG Original TTL RRSIG Signature RRSIG Signature Expiration RRSIG Signature Inception RRSIG Signer's Name RRSIG Type Covered RRSIG record Random password Range Settings Range name Range size Range type Raw %s records Raw A records Raw A6 records Raw AAAA records Raw AFSDB records Raw APL records Raw CERT records Raw CNAME records Raw DHCID records Raw DLV records Raw DNAME records Raw DNSKEY records Raw DS records Raw HIP records Raw IPSECKEY records Raw KEY records Raw KX records Raw LOC records Raw MX records Raw NAPTR records Raw NS records Raw NSEC records Raw NSEC3 records Raw PTR records Raw RP records Raw RRSIG records Raw SIG records Raw SPF records Raw SRV records Raw SSHFP records Raw TA records Raw TKEY records Raw TLSA records Raw TSIG records Raw TXT records Raw target filter Raw value of a DNS record was already set by "%(name)s" option Re-established trust to domain "%(value)s" Re-sync the local entitlement cache with the entitlement server. Realm Domains Realm administrator password should be specified Realm domains Realm name Realm-domain mismatch Reason Reason for Revocation Reason for revoking the certificate (0-10) Reason for revoking the certificate (0-10). Type "ipa help cert" for revocation reason details. Rebuild auto membership Rebuild auto membership. Rebuild membership for all members of a grouping Rebuild membership for specified hosts Rebuild membership for specified users Recommended maximum number of agreements per replica exceeded Record Type Record creation failed. Record data Record name Record not found. Record type Records Records for DNS Zone Redirection Redirection to PTR record Refresh Refresh list of the domains associated with the trust Refresh the page. Register to the entitlement system. Registration password Regular Expression Relative record name '%(record)s' contains the zone name '%(zone)s' as a suffix, which results in FQDN '%(fqdn)s'. This is usually a mistake caused by a missing dot at the end of the name specification. Relative weight for entries with the same priority. Relative weight for server services (counts per location) Reload current settings from the server. Reload the browser. Remote IPA server hostname Remote server name Remove Remove A, AAAA, SSHFP and PTR records of the host(s) managed by IPA DNS Remove CA ACLs Remove CAs from a CA ACL. Remove Certificate Authorities from CA ACL '${primary_key}' Remove DNS forward zones Remove DNS resource records Remove DNS zones Remove HBAC rules Remove HBAC service '${primary_key}' from HBAC service groups Remove HBAC service groups Remove HBAC service groups from HBAC rule '${primary_key}' Remove HBAC services Remove HBAC services from HBAC rule '${primary_key}' Remove HBAC services from HBAC service group '${primary_key}' Remove ID ranges Remove ID views Remove IPA locations Remove IPA servers from IPA location '${primary_key}' Remove Kerberos Alias Remove OTP tokens Remove Permission Remove RADIUS servers Remove RunAs groups from sudo rule '${primary_key}' Remove RunAs user groups from sudo rule '${primary_key}' Remove RunAs users from sudo rule '${primary_key}' Remove a manager to the stage user entry Remove a manager to the user entry Remove a permission for per-forward zone access delegation. Remove a permission for per-zone access delegation. Remove all principals in this realm Remove allow sudo command groups from sudo rule '${primary_key}' Remove allow sudo commands from sudo rule '${primary_key}' Remove an option from Sudo Rule. Remove auto membership rules Remove automount keys Remove automount locations Remove automount maps Remove certificate authorities Remove certificate hold Remove certificate identity mapping rules Remove certificate mapping data Remove certificate profiles Remove certificate profiles from CA ACL '${primary_key}' Remove certificates from a service Remove certificates from host entry Remove commands and sudo command groups affected by Sudo Rule. Remove conditions from an automember rule. Remove default (fallback) group for all unmatched entries. Remove delegations Remove deny sudo command groups from sudo rule '${primary_key}' Remove deny sudo commands from sudo rule '${primary_key}' Remove domains Remove entries from DNS Remove exclusive conditions from rule '${primary_key}' Remove from CRL Remove group ID overrides Remove group for Sudo to execute as. Remove hold Remove host '${primary_key}' from HBAC rules Remove host '${primary_key}' from host groups Remove host '${primary_key}' from netgroups Remove host '${primary_key}' from roles Remove host '${primary_key}' from sudo rules Remove host group '${primary_key}' from HBAC rules Remove host group '${primary_key}' from host groups Remove host group '${primary_key}' from netgroups Remove host group '${primary_key}' from sudo rules Remove host groups Remove host groups from CA ACL '${primary_key}' Remove host groups from HBAC rule '${primary_key}' Remove host groups from SELinux user map '${primary_key}' Remove host groups from host group '${primary_key}' Remove host groups from netgroup '${primary_key}' Remove host groups from role '${primary_key}' Remove host groups from sudo rule '${primary_key}' Remove hosts Remove hosts and hostgroups affected by Sudo Rule. Remove hosts from CA ACL '${primary_key}' Remove hosts from HBAC rule '${primary_key}' Remove hosts from SELinux user map '${primary_key}' Remove hosts from host group '${primary_key}' Remove hosts from netgroup '${primary_key}' Remove hosts from role '${primary_key}' Remove hosts from sudo rule '${primary_key}' Remove hosts managing host '${primary_key}' Remove hosts managing service '${primary_key}' Remove hosts that can manage this host. Remove hosts that can manage this service. Remove inclusive conditions from rule '${primary_key}' Remove information about the domain associated with the trust. Remove member from a named service delegation rule. Remove member from a named service delegation target. Remove member from a named service delegation. Remove members from Sudo Command Group. Remove members from a group. Remove members from a hostgroup. Remove members from a netgroup. Remove members from a permission. Remove members from a privilege Remove members from a role. Remove members from a vault. Remove members from an HBAC service group. Remove netgroup '${primary_key}' from netgroups Remove netgroups Remove netgroups from netgroup '${primary_key}' Remove one or more certificate mappings from the stage user entry. Remove one or more certificate mappings from the user entry. Remove one or more certificates to the idoverrideuser entry Remove one or more certificates to the stageuser entry Remove one or more certificates to the user entry Remove orphan automember rules Remove owners from a vault container. Remove owners from a vault. Remove password policies Remove permissions Remove permissions from a privilege. Remove preserved users Remove principal alias from a host entry Remove principal alias from a service Remove principal alias from the stageuser entry Remove principal alias from the user entry Remove privilege '${primary_key}' from permissions Remove privileges Remove privileges from a role. Remove privileges from permission '${primary_key}' Remove profiles from a CA ACL. Remove role '${primary_key}' from privileges Remove roles Remove roles from privilege '${primary_key}' Remove self service permissions Remove selinux user maps Remove service '${primary_key}' from roles Remove service and service groups from an HBAC rule. Remove services Remove services from CA ACL '${primary_key}' Remove services from a CA ACL. Remove services from members of vault '${primary_key}' Remove services from owners of vault '${primary_key}' Remove services from role '${primary_key}' Remove services from user group '${primary_key}' Remove source hosts and hostgroups from an HBAC rule. Remove stage users Remove sudo command '${primary_key}' from sudo command groups Remove sudo command groups Remove sudo commands Remove sudo commands from sudo command group '${primary_key}' Remove sudo options Remove sudo rules Remove target from a named service delegation rule. Remove target hosts and hostgroups from a CA ACL. Remove target hosts and hostgroups from an HBAC rule. Remove target hosts and hostgroups from an SELinux User Map rule. Remove topology segments Remove trusts Remove user '${primary_key}' from HBAC rules Remove user '${primary_key}' from netgroups Remove user '${primary_key}' from roles Remove user '${primary_key}' from sudo rules Remove user '${primary_key}' from user groups Remove user ID overrides Remove user group '${primary_key}' from HBAC rules Remove user group '${primary_key}' from netgroups Remove user group '${primary_key}' from roles Remove user group '${primary_key}' from sudo rules Remove user group '${primary_key}' from user groups Remove user groups Remove user groups from CA ACL '${primary_key}' Remove user groups from HBAC rule '${primary_key}' Remove user groups from SELinux user map '${primary_key}' Remove user groups from members of vault '${primary_key}' Remove user groups from netgroup '${primary_key}' Remove user groups from owners of vault '${primary_key}' Remove user groups from role '${primary_key}' Remove user groups from sudo rule '${primary_key}' Remove user groups from user group '${primary_key}' Remove users Remove users and groups affected by Sudo Rule. Remove users and groups for Sudo to execute as. Remove users and groups from a CA ACL. Remove users and groups from an HBAC rule. Remove users and groups from an SELinux User Map rule. Remove users from CA ACL '${primary_key}' Remove users from HBAC rule '${primary_key}' Remove users from SELinux user map '${primary_key}' Remove users from members of vault '${primary_key}' Remove users from netgroup '${primary_key}' Remove users from owners of vault '${primary_key}' Remove users from role '${primary_key}' Remove users from sudo rule '${primary_key}' Remove users from user group '${primary_key}' Remove users managing OTP token '${primary_key}' Remove users that can manage this token. Remove vaults Removed aliases from host "%(value)s" Removed aliases from stageuser "%(value)s" Removed aliases from user "%(value)s" Removed aliases to the service principal "%(value)s" Removed certificate mappings from user "%(value)s" Removed certificates from host "%(value)s" Removed certificates from idoverrideuser "%(value)s" Removed certificates from service principal "%(value)s" Removed certificates from stageuser "%(value)s" Removed certificates from user "%(value)s" Removed condition(s) from "%(value)s" Removed default (fallback) group for automember "%(value)s" Removed information about the trusted domain "%(value)s" Removed option "%(option)s" from Sudo Rule "%(rule)s" Removed system permission "%(value)s" Removing %(servers)s from replication topology, please wait... Removing principal %s
Rename Rename an ACI. Rename the %(ldap_obj_name)s object Rename the DNS resource record object Rename the Group ID override object Rename the ID View object Rename the OTP token object Rename the RADIUS proxy server object Rename the User ID override object Rename the automount key object Rename the group object Rename the permission object Rename the privilege object Rename the role object Rename the stage user object Rename the user object Renamed ACI to "%(value)s" Renewal master for IPA certificate authority Replacement Replica is active DNSSEC key master. Uninstall could break your DNS system. Please disable or replace DNSSEC key master first. Replication agreement enabled Replication agreement for %(hostname)s not found Replication configuration Replication refresh for segment: "%(pkey)s" requested. Replication topology of suffix "%(suffix)s" contains errors. Replication topology of suffix "%(suffix)s" is in order. Report PKINIT status on the IPA masters Request a full re-initialization of the node retrieving data from the other node. Request failed with status %(status)s: %(reason)s Request id Request is missing "method" Request is missing "params" Request must be a dict Request status Required Required field Requires pre-authentication Reset Reset Kerberos ticket policy to the default values. Reset OTP Reset Password Reset Password and Log in Reset your password. Resolve a host name in DNS. Resolve a host name in DNS. (Deprecated) Resolve security identifiers of users and groups in trusted domains Restore Result Result of simulation Result of the command Results are truncated, try a more specific search Results should contain primary key attribute only ("%s") Results should contain primary key attribute only ("anchor") Results should contain primary key attribute only ("certificate") Results should contain primary key attribute only ("cn") Results should contain primary key attribute only ("command") Results should contain primary key attribute only ("delegation-name") Results should contain primary key attribute only ("domain") Results should contain primary key attribute only ("group") Results should contain primary key attribute only ("group-name") Results should contain primary key attribute only ("hostgroup-name") Results should contain primary key attribute only ("hostname") Results should contain primary key attribute only ("id") Results should contain primary key attribute only ("location") Results should contain primary key attribute only ("login") Results should contain primary key attribute only ("map") Results should contain primary key attribute only ("name") Results should contain primary key attribute only ("principal") Results should contain primary key attribute only ("realm") Results should contain primary key attribute only ("service") Results should contain primary key attribute only ("sudocmdgroup-name") Results should contain primary key attribute only ("sudorule-name") Retries Retrieve a data from a vault. Retrieve an existing certificate. Retrieve and print all attributes from the server. Affects command output. Retrieve current keys without changing them Retrieve data from a vault. Retrieve the entitlement certs. Retrieved data from vault "%(value)s" Retrieving CA cert chain failed: %s Retrieving CA status failed with status %d Retrieving CA status failed: %s Retry Retrying with pre-4.0 keytab retrieval method...
Return command defaults Return to the main page and retry the operation Reverse record for IP address %(ip)s already exists in reverse zone %(zone)s. Reverse zone %(name)s requires exactly %(count)d IP address components, %(user_count)d given Reverse zone IP network Revert Revocation reason Revoke Revoke a certificate. Revoke certificate Revoked Revoked on from Revoked on from this date (YYYY-mm-dd) Revoked on to Revoked on to this date (YYYY-mm-dd) Right node Right replication node - an IPA server Rights Rights to grant (read, search, compare, write, add, delete, all) Role Role Settings Role name Role status Role-Based Access Control Roles Root domain of the trust is always enabled for the existing trust Rule name Rule status Rule type Rule type (allow) Rule used to check if a certificate can be used for authentication Rule used to map the certificate with a user entry Rules Rules to test. If not specified, --enabled is assumed Run Commands Run Test Run as a user Run as any user within a specified group Run with the gid of a specified POSIX group RunAs External Group RunAs External User RunAs Group category RunAs Group category the rule applies to RunAs Groups RunAs User category RunAs User category the rule applies to RunAs Users RunAsGroup does not accept '%(name)s' as a group name RunAsUser does not accept '%(name)s' as a group name RunAsUser does not accept '%(name)s' as a user name SELinux Options SELinux User SELinux User Map SELinux User Map rule SELinux User Map rules SELinux User Maps SELinux user %(user)s not found in ordering list (in config) SELinux user '%(user)s' is not valid: %(error)s SELinux user map default user not in order list SELinux user map list not found in configuration SELinux user map order SHA1 Fingerprint SHA256 Fingerprint SID SID blacklist incoming SID blacklist outgoing SID does not match any trusted domain SID does not match exactlywith any trusted domain's SID SID for the specified trusted domain name could not be found. Please specify the SID directly using dom-sid option. SID is not recognized as a valid SID for a trusted domain SID is not valid SIG Algorithm SIG Key Tag SIG Labels SIG Original TTL SIG Signature SIG Signature Expiration SIG Signature Inception SIG Signer's Name SIG Type Covered SIG record SMB Home Directory SMB Home Directory Drive SMB logon script path SMB profile path SMB service NetBIOS name SOA class SOA expire SOA minimum SOA mname (authoritative server) override SOA mname override SOA record class SOA record expire time SOA record refresh time SOA record retry time SOA record serial number SOA record time to live SOA refresh SOA retry SOA serial SOA time to live SPF record SRV Port SRV Priority SRV Target SRV Weight SRV record SSH public key SSH public key fingerprint SSH public key: SSH public keys SSHFP Algorithm SSHFP Fingerprint SSHFP Fingerprint Type SSHFP record SSSD was unable to resolve the object to a valid SID Salt Same as --%s Save Schema is up to date (FP '%(fingerprint)s', TTL %(ttl)s s) Search Search Options Search command parameters. Search domains of the trust Search for %(searched_object)s with these %(relationship)s %(ldap_object)s. Search for %(searched_object)s without these %(relationship)s %(ldap_object)s. Search for %1$s on rootdse failed with error %2$d
Search for CA ACLs. Search for CAs. Search for Certificate Identity Mapping Rules. Search for Certificate Profiles. Search for Class of Service entry Search for DNS forward zones. Search for DNS resources. Search for DNS servers. Search for DNS zones (SOA records). Search for HBAC rules. Search for HBAC services. Search for IPA locations. Search for IPA namingContext failed with error %d
Search for IPA servers. Search for IPA services. Search for OTP token. Search for RADIUS proxy servers. Search for SELinux User Maps. Search for Sudo Command Groups. Search for Sudo Commands. Search for Sudo Rule. Search for a netgroup. Search for a self-service permission. Search for an Group ID override. Search for an HBAC service group. Search for an ID View. Search for an ID override. Search for an User ID override. Search for an automount key. Search for an automount location. Search for an automount map. Search for automember rules. Search for certificates with these owner %s. Search for certificates without these owner %s. Search for classes. Search for command outputs. Search for commands. Search for delegations. Search for entitlement accounts. Search for existing certificates. Search for forward zones only Search for group password policies. Search for groups with these member groups. Search for groups with these member of HBAC rules. Search for groups with these member of groups. Search for groups with these member of netgroups. Search for groups with these member of roles. Search for groups with these member of sudo rules. Search for groups with these member users. Search for groups without these member groups. Search for groups without these member of HBAC rules. Search for groups without these member of groups. Search for groups without these member of netgroups. Search for groups without these member of roles. Search for groups without these member of sudo rules. Search for groups without these member users. Search for groups. Search for help topics. Search for host groups with these member host groups. Search for host groups with these member hosts. Search for host groups with these member of HBAC rules. Search for host groups with these member of host groups. Search for host groups with these member of netgroups. Search for host groups with these member of sudo rules. Search for host groups without these member host groups. Search for host groups without these member hosts. Search for host groups without these member of HBAC rules. Search for host groups without these member of host groups. Search for host groups without these member of netgroups. Search for host groups without these member of sudo rules. Search for hostgroups. Search for hosts with these enrolled by users. Search for hosts with these managed by hosts. Search for hosts with these managing hosts. Search for hosts with these member of HBAC rules. Search for hosts with these member of host groups. Search for hosts with these member of netgroups. Search for hosts with these member of roles. Search for hosts with these member of sudo rules. Search for hosts without these enrolled by users. Search for hosts without these managed by hosts. Search for hosts without these managing hosts. Search for hosts without these member of HBAC rules. Search for hosts without these member of host groups. Search for hosts without these member of netgroups. Search for hosts without these member of roles. Search for hosts without these member of sudo rules. Search for hosts. Search for netgroups with these member groups. Search for netgroups with these member host groups. Search for netgroups with these member hosts. Search for netgroups with these member netgroups. Search for netgroups with these member of netgroups. Search for netgroups with these member users. Search for netgroups without these member groups. Search for netgroups without these member host groups. Search for netgroups without these member hosts. Search for netgroups without these member netgroups. Search for netgroups without these member of netgroups. Search for netgroups without these member users. Search for permissions. Search for privileges. Search for ranges. Search for roles. Search for servers with these managed suffixes. Search for servers without these managed suffixes. Search for service delegation target. Search for service delegations rule. Search for services with these managed by hosts. Search for services without these managed by hosts. Search for stage users with these member of HBAC rules. Search for stage users with these member of groups. Search for stage users with these member of netgroups. Search for stage users with these member of roles. Search for stage users with these member of sudo rules. Search for stage users without these member of HBAC rules. Search for stage users without these member of groups. Search for stage users without these member of netgroups. Search for stage users without these member of roles. Search for stage users without these member of sudo rules. Search for stage users. Search for topology segments. Search for topology suffices. Search for topology suffixes. Search for trusts. Search for users with these member of HBAC rules. Search for users with these member of groups. Search for users with these member of netgroups. Search for users with these member of roles. Search for users with these member of sudo rules. Search for users without these member of HBAC rules. Search for users without these member of groups. Search for users without these member of netgroups. Search for users without these member of roles. Search for users without these member of sudo rules. Search for users. Search for vaults. Search result has been truncated: %(reason)s Search scope Search size limit Search time limit Second Code Second OTP Secondary RID base Seconds Latitude Seconds Longitude Secret Secrets can be added/retrieved to vault only by using vault-archive and vault-retrieve from CLI. Security Identifier Security Identifiers (SIDs) Segment details Segment name Select All Select entries to be removed. Selector Self Self Service Permission Self Service Permissions Self-service name Semantic of %(label)s was changed. %(current_behavior)s
%(hint)s Semicolon separated list of IP addresses or networks which are allowed to issue queries Semicolon separated list of IP addresses or networks which are allowed to transfer the zone Sensitive Serial Serial Number Serial Number (hex) Serial number Serial number (hex) Serial number in decimal or if prefixed with 0x in hexadecimal Server Server "%(srv)s" has %(n)d agreements with servers: Server %(srv)s can't contact servers: %(replicas)s Server Name Server Options Server Role Server Roles Server does not support domain level functionality Server has already been deleted Server has no information about domain '%(domain)s' Server name Server name not provided and unavailable
Server removal aborted: %(reason)s. Server state Server will check DNS forwarder(s). Servers Servers details: Servers in location Servers that belongs to the IPA location Service Service %(service)s requires restart on IPA server %(server)s to apply configuration changes. Service '%(service)s' not found in Kerberos database Service Certificate Service Groups Service Options Service Settings Service Vaults Service category Service category the ACL applies to Service category the rule applies to Service delegation rule Service delegation rules Service delegation target Service delegation targets Service group name Service name Service name of the service vault Service principal Service principal alias Service principal for this certificate (e.g. HTTP/test.example.com) Service principal is not of the form: service/fully-qualified host name: %(reason)s Service principal is required Service relative weight Service unprovisioned Service weight Service(s), shared, and user(s) options cannot be specified simultaneously Service, shared and user options cannot be specified simultaneously Service, shared, and user options cannot be specified simultaneously Services Session error Session key wrapped with transport certificate Session timeout Set Set Domain Level Set OTP Set SSH key Set a user's password. Set an attribute to a name/value pair. Format is attr=value.
For multi-valued attributes, the command replaces the values already present. Set default (fallback) group for all unmatched entries. Set default (fallback) group for automember "%(value)s" Set enabled/hidden state of a server. Set public key Settings Shared Shared Vaults Shared secret for the trust Shared vault Show Show IPA server. Show QR code Show Results Show all loaded plugins. Show configuration uri Show details Show environment variables. Show global trust configuration. Show managed suffix. Show role status on a server Show the current Certificate Identity Mapping configuration. Show the current OTP configuration. Show the current configuration. Show the current global DNS configuration. Show the list of permitted encryption types and exit Show vault configuration. Show/Set key Showing ${start} to ${end} of ${total} entries. Signature Signature Expiration Signature Inception Signer's Name Simple bind failed
Simulate use of Host-based access controls Since IPA does not manage DNS records, ensure DNS is configured to resolve '{domain}' domain from IPA hosts and back. Size Size Limit Size of data exceeds the limit. Current vault data size limit is %(limit)d B Size of the ID range reserved for the trusted domain Skip DNS check Skip a check whether the last CA master or DNS server is removed Skip host check Skip overlap check Skipped %(key)s Skipped %(map)s Some entries were not deleted Some operations failed. Source Host Groups Source Hosts Source host Source host category Source host category the rule applies to Specified CAs Specified Commands and Groups Specified Groups Specified Hosts and Groups Specified Profiles Specified Services and Groups Specified Users and Groups Specified trusted domain name could not be found. Specifies where to store keytab information. Specify external ${entity} Split DNS record to parts Stage Stage User Stage Users Stage user %s activated Stage users Staged user account "%(value)s" Standard Standard Record Types State State/Province Status Status of the role Stop already started refresh of chosen node(s) Stopping of replication refresh for segment: "%(pkey)s" requested. Store and provide schema for commands and topics Store issued certificates Street address Structured Subject Subject DN Subject DN is already used by CA '%s' Subject DNS name Subject Distinguished Name Subject EDI Party name Subject IP Address Subject Kerberos principal name Subject OID Subject Other Name Subject UPN Subject URI Subject X.400 address Subject alt name type %s is forbidden Subject directory name Subject email address Subject of the certificate Submit a certificate signing request. Subtree Subtree to apply ACI to Subtree to apply permissions to Subtype Success Sudo Sudo Allow Command Groups Sudo Allow Commands Sudo Command Sudo Command Group Sudo Command Groups Sudo Commands Sudo Deny Command Groups Sudo Deny Commands Sudo Option Sudo Rule Sudo Rules Sudo order Suffix name Superseded Supported encryption types:
Suppress processing of membership attributes. Symmetric Sync OTP Token Synchronize an OTP token. Synchronizing Syntax Error: %(error)s System DNS records updated System encoding must be UTF-8, '%(encoding)s' is not supported. Set LC_ALL="C.UTF-8", or LC_ALL="" and LC_CTYPE="C.UTF-8". TA record TKEY record TLSA Certificate Association Data TLSA Certificate Usage TLSA Matching Type TLSA Selector TLSA record TOTP Synchronization Window TOTP authentication Window TOTP authentication time variance (seconds) TOTP synchronization time variance (seconds) TOTP token / IPA server time difference TSIG record TXT Text Data TXT record Take a revoked certificate off hold. Target Target DN Target DN subtree Target Uniform Resource Identifier Target Uniform Resource Identifier according to RFC 3986 Target group Target host Target members of a group Target members of a group (sets memberOf targetfilter) Target reverse zone not found. Target your own entry (self) Task DN Task DN = '%s' Telephone Number Test the ACI syntax but don't write anything Text Data Text does not match field pattern The --domain option cannot be used together with --add-domain or --del-domain. Use --domain to specify the whole realm domain list explicitly, to add/remove individual domains, use --add-domain/del-domain. The ACI for permission %(name)s was not found in %(dn)s The IPA realm The _kerberos TXT record from domain %(domain)s could not be created (%(error)s).
This can happen if the zone is not managed by IPA. Please create the record manually, containing the following value: '%(realm)s' The _kerberos TXT record from domain %(domain)s could not be removed (%(error)s).
This can happen if the zone is not managed by IPA. Please remove the record manually. The automount key %(key)s with info %(info)s does not exist The certificate for %(ca)s is not available on this server. The character %(char)r is not allowed. The default users group cannot be removed The deny type has been deprecated. The domain %s is neither IPA domain nor a trusteddomain. The domain name of the target host or '.' if the service is decidedly not available at this domain The domain(s) "%s" cannot be used to apply altSecurityIdentities check. The following domains do not belong to this realm: %(domains)s The group doesn't exist The host '%s' does not exist to add a service to. The host was added but the DNS update failed with: %(reason)s The hostname must be fully-qualified: %s
The hostname must not be: %s
The hostname or IP (with or without port) The hostname this reverse record points to The hostname to register as The key,info pair must be unique. A key named %(key)s with info %(info)s already exists The keytab file to append the new key to (will be created if it does not exist). The keytab file to remove the principcal(s) from The mapping rule with altSecurityIdentities should be applied to a trusted Active Directory domain but no domain was associated with the rule. The most common types for this type of zone are: %s
The number of times to retry authentication The password or username you entered is incorrect The primary_key value of the entry, e.g. 'jdoe' for a user The principal for this request doesn't exist. The principal to get a keytab for (ex: ftp/ftp.example.com@EXAMPLE.COM) The principal to remove from the keytab (ex: ftp/ftp.example.com@EXAMPLE.COM) The realm for the principal does not match the realm for this IPA server The realm of the following domains could not be detected: %(domains)s. If these are domains that belong to the this realm, please create a _kerberos TXT record containing "%(realm)s" in each of them. The schema used on the LDAP server. Supported values are RFC2307 and RFC2307bis. The default is RFC2307bis The search criteria was not specific enough. Expected 1 and found %(found)d. The secret used to encrypt data The service is allowed to authenticate on behalf of a client The service principal for subject alt name %s in certificate request does not exist The topic or command name. The total timeout across all retries (in seconds) The user account you entered is locked The username attribute on the user object The username, password or token codes are not correct There is already a trust to {ipa_domain} with unsupported type {trust_type}. Please remove it manually on AD DC side. There was a problem with your request. Please, try again later. This command can not be used to change ID allocation for local IPA domain. Run `ipa help idrange` for more information This command relies on the existence of the "editors" group, but this group was not found. This command requires root access This entry already exists This entry cannot be enabled or disabled This entry is already a member This entry is already disabled This entry is already enabled This entry is not a member This group already allows external members This group cannot be posix because it is external This is already a posix group This is already a posix group and cannot be converted to external one This may take some time, please wait ... This page has unsaved changes. Please save or revert. Ticket expired Ticket policy for %s could not be read Time Limit Time limit of search in seconds Time limit of search in seconds (0 is unlimited) Time now Time to live Time to live for records at zone apex Time to live for records without explicit TTL definition Time-based (TOTP) Timeout Timeout exceeded. To establish trust with Active Directory, the domain name and the realm name of the IPA server must match To get command help, use: Token ID Token description (informational only) Token hash algorithm Token model (informational only) Token secret (Base32; default: random) Token serial (informational only) Token synchronization failed Token vendor name (informational only) Token was synchronized Topic commands: Topic or Command Topology Topology Segment Topology Segments Topology does not allow server %(server)s to replicate with servers: Topology is disconnected Topology management requires minimum domain level {0} Topology suffix Topology suffixes Total number of variables env (>= count) Transport Certificate True True if not all results were returned True means the operation was successful Trust Trust Settings Trust direction Trust setup Trust status Trust type Trust type (ad for Active Directory, default) Trusted domain Trusted domain %(domain)s is included among IPA realm domains. It needs to be removed prior to establishing the trust. See the "ipa realmdomains-mod --del-domain" command. Trusted domain and administrator account use different realms Trusted domain did not return a unique object Trusted domain did not return a valid SID for the object Trusted domain partner Trusted domains Trusted for delegation Trusted forest Trusted to authenticate as user Trusting forest Trusts Two factor authentication (password + OTP) Two-way trust Type Type Covered Type Map Type of IPA object (sets subtree and objectClass targetfilter) Type of IPA object (user, group, host, hostgroup, service, netgroup, dns) Type of the token Type of trusted domain ID range, one of allowed values Type of trusted domain ID range, one of ipa-ad-trust-posix, ipa-ad-trust Types of supported user authentication UID UPN suffixes URI URL UUID Un-apply Un-apply ID Views from hosts Un-apply ID Views from hosts of hostgroups Un-apply ID view '${primary_key}' from hosts Un-apply from host groups Un-apply from hosts Unable to communicate with CMS Unable to communicate with CMS (status %d) Unable to create private group. A group '%(group)s' already exists. Unable to determine IPA server from %s
Unable to determine if Kerberos principal %s already exists. Use 'ipa user-mod' to set it manually. Unable to determine root DN of %s
Unable to display QR code using the configured output encoding. Please use the token URI to configure your OTP device Unable to enable SSL in LDAP
Unable to generate Kerberos Credential Cache
Unable to initialize STARTTLS session
Unable to initialize connection to ldap server %1$s: %2$s
Unable to initialize ldap library!
Unable to join host: Kerberos Credential Cache not found
Unable to join host: Kerberos User Principal not found and host password not provided.
Unable to join host: Kerberos context initialization failed
Unable to parse principal
Unable to parse principal name
Unable to parse principal: %1$s (%2$d)
Unable to remove entry
Unable to resolve domain controller for {domain} domain. Unable to set LDAP_OPT_PROTOCOL_VERSION
Unable to set LDAP_OPT_X_SASL_NOCANON
Unable to set LDAP_OPT_X_TLS_CACERTFILE
Unable to set LDAP_OPT_X_TLS_PROTOCOL_MIN
Unable to set LDAP_OPT_X_TLS_REQUIRE_CERT
Unable to verify write permissions to the AD Undelete a delete user account. Undeleted user account "%(value)s" Undo Undo All Undo all changes in this field. Undo this change. Unenroll this host from IPA server Unenrollment failed.
Unenrollment successful.
Unique ID Unknown Unknown Error Unknown option: %(option)s Unlock Unlocked account "%(value)s" Unmatched Unprovision Unprovisioning host Unprovisioning service Unrecognized attributes: %(attrs)s Unresolved rules in --rules Unrevoked Unsaved Changes Unselect All Unspecified Unsupported value Update Update DNS entries Update System DNS Records Update location and IPA server DNS records Update of system record '%(record)s' failed with error: %(error)s User User Group User Groups User ID User ID Number User ID Number (system will assign one if not provided) User ID override User ID overrides User Login User Options User Vaults User attribute User attributes for SMB services User authentication types User categories User category User category (semantics placed on this attribute are for local interpretation) User category the ACL applies to User category the rule applies to User container User group User group ACI grants access to User group rule User group rules User group to apply delegation to User group to apply permissions to User group to apply permissions to (sets target) User login User logins User name User object class User object overrides User password User password expiration User search fields User to override User-friendly description of action performed User-specified attributes to which the permission applies User-specified attributes to which the permission explicitly does not apply Username Username of the user vault Users Users allowed to create keytab Users allowed to retrieve keytab Valid Certificate Present Valid from Valid not after from Valid not after from this date (YYYY-mm-dd) Valid not after to Valid not after to this date (YYYY-mm-dd) Valid not before from Valid not before from this date (YYYY-mm-dd) Valid not before to Valid not before to this date (YYYY-mm-dd) Valid to Validation error Validity Validity end Validity start Vault Vault Container Vault Containers Vault Type Vault configuration Vault data encrypted with session key Vault description Vault name Vault password Vault private key Vault public key Vault salt Vault service Vault type Vault user Vaults Vaults Config Vendor Verify Password Verify Principal Password Version Vertical Precision Via Service View View Certificate Waiting for confirmation by remote side Warning Warning unrecognized encryption type.
Warning unrecognized salt type.
Warning: Consider service replication Warning: failed to convert type (#%d)
Warning: salt types are not honored with randomized passwords (see opt. -P)
Weight Weight for server services When migrating a group already existing in IPA domain overwrite the group GID and report as success Whether PKINIT is enabled or disabled Whether a replication agreement is active, meaning whether replication is occurring per that agreement Whether to store certs issued using this profile Who Working Write certificate (chain if --chain used) to file Write profile configuration to file X.509 certificate chain You are trying to reference a magic private group which is not allowed to be overridden. Try overriding the GID attribute of the corresponding user instead. You can use <a href="${link}" target="_blank">FreeOTP<a/> as a software OTP token application. You may need to manually remove them from the tree You must enroll a host in order to create a host service You will be redirected in ${count}s You will be redirected to DNS Zone. Your password expires in ${days} days. Your password has expired. Please enter a new password. Your session has expired. Please log in again. Your trust to %(domain)s is broken. Please re-create it by running 'ipa trust-add' again. YubiKey slot ZIP Zone forwarders Zone found: ${zone} Zone name Zone name (FQDN) Zone record '%s' cannot be deleted Zone refresh interval access() on %1$s failed: errno = %2$d
active user with name "%(user)s" already exists added attribute value to entry %(value)s algorithm value: allowed interval 0-255 all masters must have %(role)s role enabled an internal error has occurred an internal error has occurred on server at '%(server)s' answer to query '%(owner)s %(rtype)s' is missing DNSSEC signatures (no RRSIG data) any of the configured servers api has no such namespace: '%(name)s' at least one of options: type, users, hosts must be specified at least one of: type, filter, subtree, targetgroup, attrs or memberof are required at least one value equal to the canonical principal name must be present attribute "%(attribute)s" not allowed attribute "%s" not allowed attribute is not configurable attrs and included attributes are mutually exclusive attrs and included/excluded attributes are mutually exclusive automatically add the principal if it doesn't exist automatically add the principal if it doesn't exist (service principals only) automount key automount keys automount location automount locations automount map automount maps basedn ber_init() failed, Invalid control ?!
ber_scanf() failed, unable to find kvno ?!
bind password can be at most %(len)d characters can be at most %(maxlength)d bytes can be at most %(maxlength)d characters can be at most %(maxvalue)d can be at most %(maxvalue)s cannot add permission "%(perm)s" with bindtype "%(bindtype)s" to a privilege cannot be empty cannot be longer that {} characters cannot connect to '%(uri)s': %(error)s cannot delete global password policy cannot delete managed permissions cannot delete root domain of the trust, use trust-del to delete the trust itself cannot disable root domain of the trust, use trust-del to delete the trust itself cannot have an empty subject cannot open configuration file %s
cannot rename managed permissions cannot set bindtype for a permission that is assigned to a privilege cannot specify both raw certificate and file cannot specify both subject/issuer and certificate cannot specify both subject/issuer and ipacertmapdata cannot specify full target filter and extra target filter simultaneously cannot stat() configuration file %s
change collided with another change change to a POSIX group change to support external non-IPA members from trusted domains child exited with %d
cn is immutable colon-separated list of domains used for short name qualification comma-separated list of HBAC service groups to add comma-separated list of HBAC service groups to remove comma-separated list of HBAC services to add comma-separated list of HBAC services to remove comma-separated list of groups to add comma-separated list of groups to exclude from migration comma-separated list of groups to remove comma-separated list of host groups to add comma-separated list of host groups to remove comma-separated list of hosts to add comma-separated list of hosts to remove comma-separated list of members of a trusted domain in DOM\name or name@domain form comma-separated list of netgroups to add comma-separated list of netgroups to remove comma-separated list of permissions comma-separated list of permissions to grant(read, write, add, delete, all) comma-separated list of privileges comma-separated list of privileges to add comma-separated list of privileges to remove comma-separated list of roles to add comma-separated list of roles to remove comma-separated list of sudo command groups to add comma-separated list of sudo command groups to remove comma-separated list of sudo commands to add comma-separated list of sudo commands to remove comma-separated list of users to add comma-separated list of users to exclude from migration comma-separated list of users to remove command command '%(name)s' takes at most %(count)d argument command '%(name)s' takes at most %(count)d arguments command '%(name)s' takes no arguments commands commands cannot be added when command category='all' commands for controlling sudo configuration communication with CIFS server was unsuccessful configuration options container entry (%(container)s) not found default CA ACL can be only disabled delegation delegations delete description did not receive Kerberos credentials does not match any of accepted formats: domain domain is not configured domain is not trusted domain name '%(domain)s' should be normalized to: %(normalized)s domain name cannot be longer than 255 characters each ACL element must be terminated with a semicolon empty DNS label empty filter enabledService/configuredService not in ipaConfigString kdc entry entries entry error marshalling data for XML-RPC transport: %(error)s error on server '%(server)s': %(error)s executing ipa-getkeytab failed, errno %d
expected format: <0-255> <0-255> <0-65535> even-length_hexadecimal_digits_or_hyphen file to store DNS records in nsupdate format file to store certificate in filename filter and memberof are mutually exclusive flags must be one of "S", "A", "U", or "P" flags value: allowed interval 0-255 force NS record creation even if its hostname is not in DNS force delete of SYSTEM permissions force host name even if not in DNS force principal name even if host not in DNS force principal name even if not in DNS force service to be created even when host object does not exist to manage it fork() failed
format must be specified as
"d1 [m1 [s1]] {"N"|"S"} d2 [m2 [s2]] {"E"|"W"} alt["m"] [siz["m"] [hp["m"] [vp["m"]]]]"
where:
d1: [0 .. 90] (degrees latitude)
d2: [0 .. 180] (degrees longitude)
m1, m2: [0 .. 59] (minutes latitude/longitude)
s1, s2: [0 .. 59.999] (seconds latitude/longitude)
alt: [-100000.00 .. 42849672.95] BY .01 (altitude in meters)
siz, hp, vp: [0 .. 90000000.00] (size/precision in meters)
See RFC 1876 for details format must be specified as "%(format)s" %(rfcs)s forward zone "%(fwzone)s" is not effective because of missing proper NS delegation in authoritative zone "%(authzone)s". Please add NS record "%(ns_rec)s" to parent zone "%(authzone)s". gid cannot be set for external group givenname is required group group runAs group, permission and self are mutually exclusive groups groups to add groups to exclude from migration groups to remove host host category cannot be set to 'all' while there are allowed hosts host group host groups host groups to add host groups to remove host masks of allowed hosts hostgroup hostgroup with name "%s" already exists. Hostgroups and netgroups share a common namespace hostgroups hostname hostname contains empty label (consecutive dots) hostname in subject of request '%(cn)s' does not match name or aliases of principal '%(principal)s' hostname in subject of request '%(cn)s' does not match principal hostname '%(hostname)s' hosts hosts cannot be added when host category='all' hosts cannot be set when type is 'group' hosts to add hosts to remove id range id range type incomplete time value incorrect type integer to order the Sudo rules invalid '%(name)s': %(error)s invalid DN (%s) invalid IP address format invalid IP address version (is %(value)d, must be %(required_value)d)! invalid IP network format invalid Profile ID invalid SID: {SID} invalid SSH public key invalid address format invalid attribute name invalid domain name invalid domain-name: %s invalid domain-name: not fully qualified invalid e-mail format: %(email)s invalid escape code in domain name invalid hostmask invalid port number ipa-getkeytab has bad permissions?
ipa-getkeytab not found
is required iterations value: allowed interval 0-65535 kerberos ticket policy settings key %(key)s already exists key named %(key)s already exists keytab is a dangling symlink and owned by another user.
krb5_kt_close %1$d: %2$s
krb5_kt_get_entry %1$d: %2$s
krb5_kt_remove_entry %1$d: %2$s
krb5_parse_name %1$d: %2$s
krb5_unparse_name %1$d: %2$s
krbtgt certs can use only the %s profile kvno %d
left node ({host}) does not support suffix '{suff}' left node and right node must not be the same left node is not a topology node: %(leftnode)s left or right node has to be specified limits exceeded for this query local domain range location locations manager %(manager)s not found map %(map)s already exists maps not connected to /etc/auto.master: match the common name exactly maximum serial number member %s member Certificate Profile member HBAC service member HBAC service group member group member host member host group member netgroup member principal member privilege member role member service member service delegation target member sudo command member sudo command group member user minimum serial number missing base_id modifying primary key is not allowed mount point is relative to parent map, cannot begin with / must be "%s" must be '%(value)s' must be DNS name must be Kerberos principal must be TRUE or FALSE must be True or False must be Unicode text must be a certificate must be a certificate signing request must be a decimal number must be absolute must be an integer must be at least %(minlength)d bytes must be at least %(minlength)d characters must be at least %(minvalue)d must be at least %(minvalue)s must be at least 1 must be at least 10 must be binary data must be datetime value must be dictionary must be enabled only on a single master must be enclosed in parentheses must be exactly %(length)d bytes must be exactly %(length)d characters must be one of %(values)s must be relative must contain a tuple (list, dict) must equal %r must have %(role)s role enabled must match pattern "%(pattern)s" netgroup netgroup with name "%s" already exists. Hostgroups and netgroups share a common namespace netgroups netgroups to add netgroups to remove no command nor help topic '%(topic)s' no modifications to be performed no trusted domain is configured no trusted domain matched the specified flat name not allowed to modify group entries not allowed to modify user entries not allowed to perform operation: %s not allowed to perform server connection check not found not fully qualified not modifiable on managed permissions number class '%(cls)s' is not included in a list of allowed number classes: %(allowed)s number of passwords objectclass %s not found one or more values to remove only "ad" is supported only available on managed permissions only letters, numbers, %(chars)s are allowed. DNS label may not start or end with %(chars2)s only master zones can contain records only one CNAME record is allowed per name (RFC 2136, section 1.1.5) only one DNAME record is allowed per name (RFC 6672, section 2.4) only one node can be specified operation not defined option was renamed; use %s options are not allowed order must be a unique value (%(order)d already used by %(rule)s) out of memory
out-of-zone data: record name must be a subdomain of the zone or a relative name overlapping arguments and options: %(names)s owner %s owner group owner of %(types)s records should not be a wildcard domain name (RFC 4592 section 4) owner service owner user params must be a list params must contain [args, options] params[0] (aka args) must be a list params[1] (aka options) must be a dict password password policies password policy password to use if not using kerberos permission permission "%(value)s" already exists permissions pkinit preserve preserve and no-preserve cannot be both set principal not found
principal not found in XML-RPC response
principal to add principal to remove priority cannot be set on global policy priority must be a unique value (%(prio)d already used by %(gname)s) privilege privileged group privileged hostgroup privileged service delegation rule privileged service delegation target privileges privileges to add privileges to remove profile category cannot be set to 'all' while there are allowed profiles profiles cannot be added when profile category='all' pyhbac is not installed. pysss_murmur is not available on the server and no base-id is given. python-yubico is not installed. query '%(owner)s %(rtype)s' with EDNS0: %(error)s query '%(owner)s %(rtype)s': %(error)s range exists range modification leaving objects with ID out of the defined range is not allowed range type change read error
realm not found
realm or UPN suffix overlaps with trusted domain namespace record '%(owner)s %(rtype)s' failed DNSSEC validation on server %(ip)s removed attribute values from entry %(value)s request failed with HTTP status %d result not found in XML-RPC response
retrieve and print all attributes from the server. Affects command output. right node ({host}) does not support suffix '{suff}' right node is not a topology node: %(rightnode)s role roles roles to add roles to remove runAs groups runAs user runAs users salt value: %(err)s search for POSIX groups search for groups with support of external non-IPA members from trusted domains search for managed groups search for non-POSIX groups search for private groups search results for objects to be migrated
have been truncated by the server;
migration process might be incomplete
seconds segment segments self service permission self service permissions server server role server roles servers service service category cannot be set to 'all' while there are allowed services service delegation rule service delegation rules service delegation target service delegation targets service delegation targets to add service delegation targets to remove services services cannot be added when service category='all' services to add services to remove setting Authoritative nameserver should not be a wildcard domain name (RFC 4592 section 4) sidgen_was_run single label {}s are not supported skip reverse DNS detection sn is required stage user stage users subject alt name type %s is forbidden for non-user principals subject alt name type %s is forbidden for user principals subtree and type are mutually exclusive sudo command sudo command group sudo command groups sudo command groups to add sudo command groups to remove sudo commands sudo commands to add sudo commands to remove sudo rule sudo rules suffix suffixes system ID View system IPA objects (e.g. system groups, user private groups) cannot be overridden target and targetgroup are mutually exclusive the IPA server and the remote domain cannot share the same NetBIOS name: %s the certificate with serial number the entry was deleted while being modified the value does not follow "YYYYMMDDHHMMSS" time format there must be at least one target entry specifier (e.g. target, targetfilter, attrs) this option has been deprecated. this option is deprecated too many '@' characters trust trust configuration trust domain trust domains trust type trusted domain object trusted domain object not found trusted domain user not found trusts type of IPA object (user, group, host, hostgroup, service, netgroup) type, filter, subtree and targetgroup are mutually exclusive unknown command '%(name)s' unknown error %(code)d from %(server)s: %(error)s unsupported functional level unsupported trust type url user user "%s" is already active user category cannot be set to 'all' while there are allowed users users users and hosts cannot both be set users cannot be added when runAs user or runAs group category='all' users cannot be added when user category='all' users cannot be set when type is 'hostgroup' users to add users to exclude from migration users to remove value vault vaultcontainer vaultcontainers vaults {attr}: no such attribute {role}: role not found Project-Id-Version: freeipa 4.9.0.dev201908140712+gitc9938e3d8
Report-Msgid-Bugs-To: https://pagure.io/freeipa/new_issue
PO-Revision-Date: 2019-11-12 12:31+0000
Last-Translator: Olesya Gerasimenko <gammaray@basealt.ru>
Language-Team: Russian
Language: ru
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
Plural-Forms: nplurals=3; plural=(n%10==1 && n%100!=11 ? 0 : n%10>=2 && n%10<=4 && (n%100<10 || n%100>=20) ? 1 : 2)
X-Generator: Zanata 4.6.2
ПРИМЕРЫ:
Примеры:
Найти все IPA-серверы:
ipa server-find
ГЛОБАЛЬНАЯ КОНФИГУРАЦИЯ DNS
Переопределить это, чтобы получить возможность добавить данные об успехе или неудаче в возвращаемое сообщение.
Переопределить это, чтобы получить возможность указать состояния успеха или неудачи.
Добавить правило автоучастия.
Добавить условия в правило автоучастия.
Удалить правило автоучастия.
Показать сведения о правиле автоучастия.
Показать сведения о группах автоучастия по умолчанию (резервных).
Состояние блокировки учётной записи пользователя.
Учётная запись может быть заблокирована, если в течение определённого периода времени слишком большое количество раз был введён неверный пароль (соответствующие ограничения регулируются политикой паролей). Запись блокируется временно, она может быть разблокирована администратором.
Эта программа соединяется с каждым главным IPA-сервером и показывает состояние блокировки на каждом из них.
Чтобы определить, заблокирована ли учётная запись на указанном сервере, потребуется сравнить количество неудачных попыток входа и время последней неудачной попытки с эталонными значениями. Для блокировки учётной записи количество неудачных попыток входа должно превысить значение maxfail в течение временного интервала failinterval в соответствии с политикой паролей, связанной с пользователем.
Счётчик неудачных попыток изменяется только тогда, когда пользователь выполняет попытку войти, поэтому учётная запись может казаться заблокированной, но время, прошедшее с последней неудачной попытки входа, превышает время блокировки (lockouttime), установленное политикой паролей. Это означает, что пользователь может войти в систему снова.
Изменить отношение доверия (для будущего использования).
В текущей версии для изменения атрибутов LDAP доступен только параметр по умолчанию. В последующих версиях будут добавлены более специфичные параметры.
Изменить правило автоучастия.
Изменение доменов области (realm).
Проверка DNS: при ручном добавлении домена в список по умолчанию выполняется проверка DNS. Она устанавливает, связан ли домен с областью (realm) IPA, проверяя, есть ли у домена запись TXT _kerberos, которая содержит имя области (realm) IPA. Эту проверку можно пропустить, указав параметр --force.
Удаление: при удалении домена области (realm), у которого имеется соответствующая находящаяся под управлением IPA зона DNS, также автоматически удаляется и соответствующая запись TXT _kerberos в этой зоне. Другие записи в этой зоне и сама зона остаются.
Удалить условия из правила автоучастия.
Удалить группу по умолчанию (резервную) для всех несоответствующих записей.
Поиск правил автоучастия.
Поиск неиспользуемых правил автоучастия. Чтобы найти все неиспользуемые правила, может потребоваться выполнить команду с правами привилегированного пользователя.
Поиск пользователей, соответствующих предоставленному сертификату.
Чтобы получить список соответствующих пользователей, эта команда использует данные SSSD, следовательно, она может возвращать кэшированные данные. Подробнее об очистке кэша SSSD можно узнать из документации к sss_cache.
Установить группу по умолчанию (резервную) для всех несоответствующих записей.
Разблокировка учётной записи пользователя.
Учётная запись может быть заблокирована, если в течение определённого периода времени слишком большое количество раз был введён неверный пароль (соответствующие ограничения регулируются политикой паролей). Запись блокируется временно, она может быть разблокирована администратором.
Объект контейнера хранилищ.
Объект хранилища.
Эта команда эквивалентна следующим командам:
ipa dnszone-mod example.com --dynamic-update=TRUE \
--update-policy="grant EXAMPLE.COM krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM krb5-self * SSHFP;"
Добавить расположение:
ipa location-add location --description 'My location'
Добавить сегмент топологии в суффикс "ca":
ipa topologysegment-add ca --left IPA_SERVER_A --right IPA_SERVER_B
Добавить сегмент топологии к суффиксу "domain":
ipa topologysegment-add domain --left IPA_SERVER_A --right IPA_SERVER_B
Удалить расположение:
ipa location-del location
Удалить сегмент топологии в суффиксе "ca":
ipa topologysegment-del ca segment_name
Удалить сегмент топологии в суффиксе "domain":
ipa topologysegment-del domain segment_name
Найти все расположения:
ipa location-find
Найти все серверы:
ipa server-find
Найти все суффиксы:
ipa topologysuffix-find
Вывести список всех сегментов топологии в суффиксе "ca":
ipa topologysegment-find ca
Вывести список всех сегментов топологии в суффиксе "domain":
ipa topologysegment-find domain
Показать конфигурацию определённого DNS-сервера:
ipa dnsserver-show
Показать неявную роль главного IPA-сервера:
ipa server-role-find --include-master
Показать определённое расположение:
ipa location-show location
Показать определённый сервер:
ipa server-show ipa.example.com
Показать состояние роли "DNS server" на сервере:
ipa server-role-show ipa.example.com "DNS server"
Показать состояние всех настроенных ролей на сервере:
ipa server-role-find ipa.example.com
Показать состояние всех ролей, которые содержат "AD", на сервере:
ipa server-role-find --server ipa.example.com --role="AD trust controller"
Обновить конфигурацию определённого DNS-сервера:
ipa dnsserver-mod
Проверить топологию суффикса "ca":
ipa topologysuffix-verify ca
Проверить топологию суффикса "domain":
ipa topologysuffix-verify domain
Добавить запись LOC для example.com:
ipa dnsrecord-add example.com @ --loc-rec="49 11 42.4 N 16 36 29.6 E 227.64m"
Добавить в правило условие:
ipa automember-add-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
ipa automember-add-condition --key=manager --type=group --inclusive-regex=^uid=mscott devel
Добавить узел, который может управлять таблицей ключей и сертификатом этого узла:
ipa host-add-managedby --hosts=test2 test
Добавить узел в правило:
ipa sudorule-add-host readfiles --hosts server.example.com
Добавить узел:
ipa host-add web1.example.com
Добавить почтовый сервер для example.com:
ipa dnsrecord-add example.com @ --mx-rec="10 mail1"
Добавить новый узел с одноразовым паролем:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com
Добавить новый узел со случайным одноразовым паролем:
ipa host-add --os='Fedora 12' --random test.example.com
Добавить новый узел:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com
Добавить новый сервер:
ipa radiusproxy-add MyRADIUS --server=radius.example.com:1812
Добавить новый токен:
ipa otptoken-add --type=totp --owner=jdoe --desc="My soft token"
Добавить новый токен:
ipa otptoken-add-yubikey --owner=jdoe --desc="My YubiKey"
Добавить разрешение на управление участием в группе:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"
Добавить разрешение на создание пользователей:
ipa permission-add --type=user --permissions=add "Add Users"
Добавить специальное правило Sudo для конфигурации сервера Sudo по умолчанию:
ipa sudorule-add defaults
Добавить стандартное хранилище:
ipa vault-add <имя>
[--user <пользователь>|--service <служба>|--shared]
--type standard
Добавить симметричное хранилище:
ipa vault-add <имя>
[--user <пользователь>|--service <служба>|--shared]
--type symmetric --password-file password.txt
Добавить пользователя в правило:
ipa sudorule-add-user readfiles --users jsmith
Добавить пользователя:
ipa user-add --first=Tim --last=User --password tuser1 --manager=mscott
Добавить асимметричное хранилище:
ipa vault-add <имя>
[--user <пользователь>|--service <служба>|--shared]
--type asymmetric --public-key-file public.pem
Добавить в правило исключительное условие, чтобы предотвратить автоназначение:
ipa automember-add-condition --key=fqdn --type=hostgroup --exclusive-regex=^web5\.example\.com webservers
Добавить другую запись с помощью специальных параметров записи MX:
ipa dnsrecord-add example.com @ --mx-preference=20 --mx-exchanger=mail2
Добавить другую запись с помощью интерактивного режима (в который программа переходит в ответ на команды dnsrecord-add, dnsrecord-mod или dnsrecord-del без параметров):
ipa dnsrecord-add example.com @
Выберите тип записи ресурса DNS, который следует добавить
Наиболее распространённые типы для этого типа зон: NS, MX, LOC
Тип записи ресурса DNS: MX
Приоритет MX: 30
Обменник MX: mail3
Имя записи: example.com
Запись MX: 10 mail1, 20 mail2, 30 mail3
Запись NS: nameserver.example.com., nameserver2.example.com.
Добавить новую запись A для www.example.com. Также создать обратную запись в соответствующей обратной зоне. В этом случае запись PTR "2", которая указывает на www.example.com, будет создана в зоне 2.0.192.in-addr.arpa.
ipa dnsrecord-add example.com www --a-rec=192.0.2.2 --a-create-reverse
Добавить новую запись PTR для www.example.com:
ipa dnsrecord-add 2.0.192.in-addr.arpa. 2 --ptr-rec=www.example.com.
Добавить новые записи SRV для LDAP-серверов. Три четверти запросов должны отправляться на fast.example.com, одна четверть — на slow.example.com. Если обе службы недоступны, переключиться на backup.example.com.
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 3 389 fast.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 1 389 slow.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="1 1 389 backup.example.com"
Добавить новую обратную зону, указанную с помощью сетевого IP-адреса:
ipa dnszone-add --name-from-ip=192.0.2.0/24
Добавить новую зону:
ipa dnszone-add example.com --admin-email=admin@example.com
Добавить другой сервер имён для example.com:
ipa dnsrecord-add example.com @ --ns-rec=nameserver2.example.com
Добавить объект команды Sudo и добавить его в правило в качестве разрешённой команды:
ipa sudocmd-add /usr/bin/less
ipa sudorule-add-allow-command readfiles --sudocmds /usr/bin/less
Добавить общесистемные права доступа, которыми можно воспользоваться для делегирования привилегий для отдельных зон:
ipa dnszone-add-permission example.com
Добавить начальную группу или группу узлов:
ipa hostgroup-add --desc="Web Servers" webservers
ipa group-add --desc="Developers" devel
Добавить начальное правило:
ipa automember-add --type=hostgroup webservers
ipa automember-add --type=group devel
Добавить участников хранилища:
ipa vault-add-member <имя>
[--user <пользователь>|--service <служба>|--shared]
[--users <пользователи>] [--groups <группы>] [--services <службы>]
Добавить владельцев хранилища:
ipa vault-add-owner <имя>
[--user <пользователь>|--service <служба>|--shared]
[--users <пользователи>] [--groups <группы>] [--services <службы>]
После внесения этих изменений три пятых запросов должны направляться на fast.example.com, а две пятых — на slow.example.com.
Разрешить пользователю создавать таблицу ключей:
ipa host-allow-create-keytab test2 --users=tuser1
Разрешить пользователю создавать таблицу ключей:
ipa service-allow-create-keytab HTTP/web.example.com --users=tuser1
Пример интерактивного режима для команды dnsrecord-del:
ipa dnsrecord-del example.com www
Не указан параметр удаления определённой записи.
Удалить все? Да/Нет (по умолчанию "Нет"): (не удалять все записи)
Текущее содержание записи DNS:
Запись A: 192.0.2.2, 192.0.2.3
Удалить запись A '192.0.2.2'? Да/Нет (по умолчанию "Нет"):
Удалить запись A '192.0.2.3'? Да/Нет (по умолчанию "Нет"): y
Имя записи: www
Запись A: 192.0.2.2 (запись A 192.0.2.3 удалена)
Архивировать данные в асимметричное хранилище:
ipa vault-archive <имя>
[--user <пользователь>|--service <служба>|--shared]
--in <файл входных данных>
Архивировать данные в стандартное хранилище:
ipa vault-archive <имя>
[--user <пользователь>|--service <служба>|--shared]
--in <файл входных данных>
Архивировать данные в симметричное хранилище:
ipa vault-archive <имя>
[--user <пользователь>|--service <служба>|--shared]
--in <файл входных данных>
--password-file password.txt
Изменить политику перенаправления (параметр forward-policy) для external.example.com:
ipa dnsforwardzone-mod external.example.com --forward-policy=only
Изменить секрет:
ipa radiusproxy-mod MyRADIUS --secret
Изменить поставщика:
ipa otptoken-mod a93db710-a31a-4639-8647-f15b2c70b78a --vendor="Red Hat"
Проверить состояние запроса подписи:
ipa cert-status 10
Создать новое правило сопоставления сертификатов с записями пользователей:
ipa certmaprule-add rule1 --desc="Link certificate with subject and issuer"
Создать новое правило:
ipa sudorule-add readfiles
Делегировать зону sub.example другому серверу имён:
ipa dnsrecord-add example.com ns.sub --a-rec=203.0.113.1
ipa dnsrecord-add example.com sub --ns-rec=ns.sub.example.com.
Удалить правило сопоставления сертификатов с записями пользователей:
ipa certmaprule-del rule1
Удалить конфигурацию:
ipa radiusproxy-del MyRADIUS
Удалить узел:
ipa host-del test.example.com
Удалить токен:
ipa otptoken-del a93db710-a31a-4639-8647-f15b2c70b78a
Удалить хранилище:
ipa vault-del <имя>
[--user <пользователь>|--service <служба>|--shared]
Удалить правило автоучастия:
ipa automember-del --type=hostgroup webservers
ipa automember-del --type=group devel
Удалить зону перенаправления external.example.com:
ipa dnsforwardzone-del external.example.com
Удалить добавленный ранее сервер имён из example.com:
ipa dnsrecord-del example.com @ --ns-rec=nameserver2.example.com.
Удалить участников хранилища:
ipa vault-remove-member <имя>
[--user <пользователь>|--service <служба>|--shared]
[--users <пользователи>] [--groups <группы>] [--services <службы>]
Удалить владельцев хранилища:
ipa vault-remove-owner <имя>
[--user <пользователь>|--service <служба>|--shared]
[--users <пользователи>] [--groups <группы>] [--services <службы>]
Удалить зону example.com вместе со всеми записями ресурсов:
ipa dnszone-del example.com
Отключить правило сопоставления сертификатов с записями пользователей:
ipa certmaprule-disable rule1
Отключить глобальное перенаправление для указанного поддерева:
ipa dnszone-mod example.com --forward-policy=none
Отключить ключ Kerberos, SSL-сертификат и все службы узла:
ipa host-disable test.example.com
Показать правило автоучастия:
ipa automember-show --type=hostgroup webservers
ipa automember-show --type=group devel
Показать сведения о правиле сопоставления сертификатов с записями пользователей:
ipa certmaprule-show rule1
Показать глобальную конфигурацию сопоставления сертификатов с записями пользователей:
ipa certmapconfig-show
Показать конфигурацию хранилища:
ipa vaultconfig-show
Включить правило сопоставления сертификатов с записями пользователей:
ipa certmaprule-enable rule1
Проверить сертификат:
ipa cert-find --file=cert.pem --all
Проверить конфигурацию:
ipa radiusproxy-show MyRADIUS
Проверить токен:
ipa otptoken-show a93db710-a31a-4639-8647-f15b2c70b78a
Найти записи A со значением 192.0.2.2 в зоне example.com:
ipa dnsrecord-find example.com --a-rec=192.0.2.2
Найти все правила сопоставления сертификатов с записями пользователей в указанном домене:
ipa certmaprule-find --domain example.com
Найти все правила автоучастия:
ipa automember-find
Найти все неиспользуемые правила автоучастия:
ipa automember-find-orphans --type=hostgroup
Найти все неиспользуемые правила автоучастия и удалить их:
ipa automember-find-orphans --type=hostgroup --remove
Найти все серверы, записи которых содержат строку "example.com":
ipa radiusproxy-find example.com
Найти записи для ресурсов с "www" в имени в зоне example.com:
ipa dnsrecord-find example.com www
Найти параметры user-find:
ipa param-find user-find
Найти зону со словом "example" в имени домена:
ipa dnszone-find example
Перенаправлять все запросы для зоны external.example.com на другой перенаправитель с помощью политики "first" (запросы будут направлены на выбранный перенаправитель, а если он не ответит, будут использованы глобальные корневые серверы):
ipa dnsforwardzone-add external.example.com --forward-policy=first \
--forwarder=203.0.113.1
Создать и получить таблицу ключей для службы IPA:
ipa-getkeytab -s ipa.example.com -p HTTP/web.example.com -k /etc/httpd/httpd.keytab
Если настроен глобальный перенаправитель, все запросы, для которых этот сервер не является полномочным (например, sub.example.com), будут перенаправлены на глобальный перенаправитель. Конфигурацию глобального перенаправления можно переопределить для отдельных зон.
Вывести список всех зон перенаправления:
ipa dnsforwardzone-find
Вывести список хранилищ:
ipa vault-find
[--user <пользователь>|--service <служба>|--shared]
Изменить глобальную конфигурацию сопоставления сертификатов с записями пользователей:
ipa certmapconfig-mod --promptusername=TRUE
Изменить правило сопоставления сертификатов с записями пользователей:
ipa certmaprule-mod rule1 --maprule="<ALT-SEC-ID-I-S:altSecurityIdentities>"
Изменить ключи асимметричного хранилища:
ipa vault-mod <имя>
[--user <пользователь>|--service <служба>|--shared]
--private-key-file <файл старого закрытого ключа>
--public-key-file <файл нового открытого ключа>
Изменить глобальную конфигурацию DNS и установить список глобальных перенаправителей:
ipa dnsconfig-mod --forwarder=203.0.113.113
Изменить сведения об узле:
ipa host-mod --os='Fedora 12' test.example.com
Изменить пароль симметричного хранилища:
ipa vault-mod <имя>
[--user <пользователь>|--service <служба>|--shared]
--change-password
ipa vault-mod <имя>
[--user <пользователь>|--service <служба>|--shared]
--old-password <старый пароль>
--new-password <новый пароль>
ipa vault-mod <имя>
[--user <пользователь>|--service <служба>|--shared]
--old-password-file <файл старого пароля>
--new-password-file <файл нового пароля>
Изменить правило автоучастия:
ipa automember-mod
Изменить зону, чтобы разрешить динамическое обновление для собственных записей узлов в области (realm) EXAMPLE.COM:
ipa dnszone-mod example.com --dynamic-update=TRUE
Изменить зону, чтобы разрешить перенос зоны только для локальной сети:
ipa dnszone-mod example.com --allow-transfer=192.0.2.0/24
Изменить описание хранилища:
ipa vault-mod <имя>
[--user <пользователь>|--service <служба>|--shared]
--desc <описание>
Изменить тип хранилища:
ipa vault-mod <имя>
[--user <пользователь>|--service <служба>|--shared]
--type <тип>
[старый пароль / закрытый ключ]
[новый пароль / открытый ключ]
Перестроить участие для всех узлов:
ipa automember-rebuild --type=hostgroup
Перестроить участие для всех пользователей:
ipa automember-rebuild --type=group
Перестроить участие для указанных узлов:
ipa automember-rebuild --hosts=web1.example.com --hosts=web2.example.com
Перестроить участие для указанных пользователей:
ipa automember-rebuild --users=tuser1 --users=tuser2
Удалить открытые ключи SSH узла и обновить DNS для отображения изменений:
ipa host-mod --sshpubkey= --updatedns test.example.com
Удалить сертификат из списка отзыва:
ipa cert-remove-hold 1032
Удалить условие из правила:
ipa automember-remove-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
Удалить целевую группу по умолчанию (резервную):
ipa automember-default-group-remove --type=hostgroup
ipa automember-default-group-remove --type=group
Запросить новый сертификат и добавить учётную запись:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr
Определить адрес по имени узла, чтобы узнать, существует ли он (будет добавлен стандартный домен IPA, если он не включён):
ipa dns-resolve www.example.com
ipa dns-resolve www
Получить существующий сертификат:
ipa cert-show 1032
Получить данные из асимметричного хранилища:
ipa vault-retrieve <имя>
[--user <пользователь>|--service <служба>|--shared]
--out <файл выходных данных> --private-key-file private.pem
Получить данные из стандартного хранилища:
ipa vault-retrieve <имя>
[--user <пользователь>|--service <служба>|--shared]
--out <файл выходных данных>
Получить данные из симметричного хранилища:
ipa vault-retrieve <имя>
[--user <пользователь>|--service <служба>|--shared]
--out <файл выходных данных>
--password-file password.txt
Отозвать сертификат (подробные сведения о причинах доступны в RFC 5280):
ipa cert-revoke --revocation-reason=6 1032
Поиск сертификатов по дате выдачи:
ipa cert-find --issuedon-from=2013-02-01 --issuedon-to=2013-02-07
Поиск сертификатов по имени узла:
ipa cert-find --subject=ipaserver.example.com
Поиск сертификатов, владельцем которых является определённый пользователь:
ipa cert-find --user=user
Поиск отозванных сертификатов по причине отзыва:
ipa cert-find --revocation-reason=5
Семантика перенаправления в IPA соответствует семантике BIND и зависит от типа зоны:
* Главная зона: локальный BIND предоставляет надёжные ответы на запросы данных в указанной зоне (включая надёжные ответы NXDOMAIN), а перенаправление применяется только для запросов имён за пределами отрезков (записи NS) зон, которые обслуживаются локально.
* Зона перенаправления: зона перенаправления не содержит надёжные данные. BIND перенаправляет запросы, на которые не удалось получить ответы из локального кэша, на настроенные перенаправители.
Семантика параметра --forward-policy:
* none - отключить перенаправление для указанной зоны.
* first - перенаправить все запросы на настроенные перенаправители. Если они не сработают,
выполнить разрешение с помощью корневых серверов DNS.
* only - перенаправить все запросы на настроенные перенаправители и вернуть сообщение об ошибке, если они не сработают.
Указать преобразования типа и роли SELinux в правиле:
ipa sudorule-add-option sysadmin_sudo --sudooption type=unconfined_t
ipa sudorule-add-option sysadmin_sudo --sudooption role=unconfined_r
Указать параметр Sudo по умолчанию:
ipa sudorule-add-option defaults --sudooption '!authenticate'
Установить целевую группу по умолчанию (резервную):
ipa automember-default-group-set --default-group=webservers --type=hostgroup
ipa automember-default-group-set --default-group=ipausers --type=group
Показать хранилище:
ipa vault-show <имя>
[--user <пользователь>|--service <служба>|--shared]
Показать зону перенаправления external.example.com:
ipa dnsforwardzone-show external.example.com
Показать глобальную конфигурацию DNS:
ipa dnsconfig-show
Показать записи для ресурса www в зоне example.com:
ipa dnsrecord-show example.com www
Показать целевую группу по умолчанию (резервную):
ipa automember-default-group-show --type=hostgroup
ipa automember-default-group-show --type=group
Показать сведения о user-find:
ipa command-show user-find
Показать зону example.com:
ipa dnszone-show example.com
Для облегчения внесения изменений можно воспользоваться интерактивным режимом:
ipa dnsrecord-mod example.com _ldap._tcp
Возможность внесения изменений в определённую запись не предусмотрена.
Текущее содержание записи DNS:
Запись SRV: 0 3 389 fast.example.com, 0 1 389 slow.example.com, 1 1 389 backup.example.com
Изменить запись SRV '0 3 389 fast.example.com'? Да/Нет (по умолчанию "Нет"):
Изменить запись SRV '0 1 389 slow.example.com'? Да/Нет (по умолчанию "Нет"): y
Приоритет SRV [0]: (сохранить значение по умолчанию)
Вес SRV [1]: 2 (изменённое значение)
Порт SRV [389]: (сохранить значение по умолчанию)
Цель SRV [slow.example.com]: (сохранить значение по умолчанию)
Пропущена 1 запись SRV. Одновременно можно изменять только одно значение на тип записи DNS.
Имя записи: _ldap._tcp
Запись SRV: 0 3 389 fast.example.com, 1 1 389 backup.example.com, 0 2 389 slow.example.com
Эта конфигурация перенаправляет все запросы имён за пределами поддерева example.com на глобальные перенаправители. Для имён в пределах поддерева example.com используется обычный рекурсивный процесс разрешения (то есть с переходом по записям NS и так далее).
Проверить автоучастие:
ipa hostgroup-show webservers
Группа узлов: webservers
Описание: Web Servers
Узлы-участники: web1.example.com
ipa group-show devel
Имя группы: devel
Описание: Developers
GID: 1004200000
Пользователи-участники: tuser
Проверить, что владельцем сертификата является определённый пользователь:
ipa cert-find --file=cert.pem --user=user
* Разрешение даёт доступ для чтения, записи, добавления, удаления, поиска или сравнения.
* Привилегия объединяет схожие разрешения (например, все разрешения, которые требуются для добавления пользователя).
* Роль даёт набор привилегий пользователям, группам, узлам или группам узлов.
* Должен существовать узел
* Должна существовать служба (либо следует использовать параметр --add для её автоматического добавления)
Сертификат хранится в учётной записи службы, а учётной записи службы требуется узел.
Условие является регулярным выражением, используется 389-ds для установления соответствия новой входящей записи правилу автоучастия. Если имеется соответствие правилу включения, запись добавляется в соответствующую группу или группу узлов.
Можно указать группу или группу узлов по умолчанию, которая будет использоваться для записей, не соответствующих ни одному правилу. В случае записей пользователей эта группа будет резервной группой, поскольку все пользователи по умолчанию являются участниками группы, указанной в настройках IPA.
С помощью разрешений можно очень точно делегировать права доступа. Разрешение представляет собой удобную для восприятия форму 389-ds ACI (правила управления доступом).
Разрешение даёт право выполнять определённую задачу, например, добавлять пользователей, изменять группы и так далее.
Разрешение состоит из нескольких разных частей:
1. Имя разрешения.
2. Цель разрешения.
3. Права, предоставленные разрешением.
Разрешение не может содержать другие разрешения.
Правило непосредственно связывается с группой по имени, следовательно, вы не можете создать правило без определения группы или группы узлов.
Схема API
Добавление нового диапазона идентификаторов.
Для добавления нового диапазона идентификаторов всегда необходимо указывать
--base-id
--range-size
Кроме того,
--rid-base
--secondary-rid-base
могут указываться для нового диапазона идентификаторов для локального домена, в то время как
--rid-base
--dom-sid
должны быть указаны для добавления нового диапазона для доверенного домена AD.
ПРЕДУПРЕЖДЕНИЕ:
Подключаемый модуль DNA в 389-ds выделяет идентификаторы на основе диапазонов, настроенных для локального домена. В текущей версии сам подключаемый модуль DNA *нельзя* перенастраивать на основе локальных диапазонов, установленных с помощью этого семейства команд.
Для нового локального диапазона следует вручную изменить настройки конфигурации подключаемого модуля DNA. В частности, следует изменить атрибут dnaNextRange "cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config" таким образом, чтобы он соответствовал новому диапазону.
Добавление нового диапазона идентификаторов.
Для добавления нового диапазона идентификаторов всегда необходимо указывать
--base-id
--range-size
Кроме того,
--rid-base
--secondary-rid-base
могут указываться для нового диапазона идентификаторов для локального домена, в то время как
--rid-base
--dom-sid
должны быть указаны для добавления нового диапазона для доверенного домена AD.
ПРЕДУПРЕЖДЕНИЕ:
Подключаемый модуль DNA в 389-ds выделяет идентификаторы на основе диапазонов, настроенных для локального домена. В текущей версии сам подключаемый модуль DNA *нельзя* перенастраивать на основе локальных диапазонов, установленных с помощью этого семейства команд.
Для нового локального диапазона следует вручную изменить настройки конфигурации подключаемого модуля DNA. В частности, следует изменить атрибут dnaNextRange "cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config" таким образом, чтобы он соответствовал новому диапазону.
Добавление нового диапазона идентификаторов.
Для добавления нового диапазона идентификаторов всегда необходимо указывать
--base-id
--range-size
Кроме того,
--rid-base
--secondary-rid-base
могут указываться для нового диапазона идентификаторов для локального домена, в то время как
--rid-base
--dom-sid
должны быть указаны для добавления нового диапазона для доверенного домена AD.
=======
ПРЕДУПРЕЖДЕНИЕ:
Подключаемый модуль DNA в 389-ds выделяет идентификаторы на основе диапазонов, настроенных для локального домена. В текущей версии сам подключаемый модуль DNA *нельзя* перенастраивать на основе локальных диапазонов, установленных с помощью этого семейства команд.
Для нового локального диапазона следует вручную изменить настройки конфигурации подключаемого модуля DNA. В частности, следует изменить атрибут dnaNextRange "cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config" таким образом, чтобы он соответствовал новому диапазону.
=======
Добавление нового отношения доверия, которое следует использовать.
Эта команда устанавливает отношение доверия с другим доменом, который становится "доверенным". В результате пользователи доверенного домена получают доступ к ресурсам этого домена.
В текущей версии поддерживаются только отношения доверия с доменами Active Directory.
Команду можно безопасно запускать несколько раз для одного и того же домена, такой запуск приводит к изменению учётных данных отношения доверия на обеих сторонах.
Если команда уже выполнялась с определённым типом диапазона или с автоматическим определением типа диапазона, а теперь необходимо настроить другой тип диапазона, возможно, потребуется сначала удалить диапазон идентификаторов с помощью команды ipa idrange-del. Затем повторите команду с необходимым типом диапазона.
Добавление нового отношения доверия, которое следует использовать.
Эта команда устанавливает отношение доверия с другим доменом, который становится "доверенным". В результате пользователи доверенного домена получают доступ к ресурсам этого домена.
В текущей версии поддерживаются только отношения доверия с доменами Active Directory.
Команду можно безопасно запускать несколько раз для одного и того же домена, такой запуск приводит к изменению учётных данных отношения доверия на обеих сторонах.
Кроме того, имеются следующие удобные параметры. Установка одного из них установит соответствующий атрибут (атрибуты).
1. type: тип объекта (пользователь, группа и так далее); устанавливает поддерево и фильтр целей.
2. memberof: применить к участникам группы; устанавливает фильтр целей.
3. targetgroup: предоставить доступ для изменения определённой группы (например, предоставить права доступа для управления участием в группе); устанавливает цель.
Соглашения представляются сегментами топологии. По умолчанию сегмент топологии представляет 2 соглашения о репликации: по одному для каждого направления, например, от A до B и от B до A. Создание однонаправленных сегментов запрещено.
Все службы сертификации, кроме службы сертификации "IPA", можно отключать и включать повторно. Отключение службы сертификации приводит к тому, что ей запрещается выдавать сертификаты, но не влияет на действительность её сертификата.
Правилу Sudo можно добавить порядок, который будет руководить порядком обработки записей (если такой порядок предусмотрен на клиентской стороне). Порядок определяется числовым индексом (целое число), который не должен повторяться.
Асимметричное хранилище похоже на стандартное хранилище, но в нём секрет перед передачей предварительно шифруется с помощью открытого ключа. Секрет можно получить только с помощью закрытого ключа.
Правило автоучастия.
Правило автоучастия.
Внося ясные правила о принадлежности узлов и пользователей к группам посредством настройки включающих и исключающих шаблонов регулярных выражений, вы можете автоматически связывать новые записи с группой или группой узлов на основе данных атрибутов.
Правило непосредственно связывается с группой по имени, следовательно, вы не можете создать правило без определения группы или группы узлов.
Условие является регулярным выражением, используется 389-ds для установления соответствия новой входящей записи правилу автоучастия. Если имеется соответствие правилу включения, запись добавляется в соответствующую группу или группу узлов.
Можно указать группу или группу узлов по умолчанию, которая будет использоваться для записей, не соответствующих ни одному правилу. В случае записей пользователей эта группа будет резервной группой, поскольку все пользователи по умолчанию являются участниками группы, указанной в настройках IPA.
ПРИМЕРЫ:
Добавить начальную группу или группу узлов :
ipa hostgroup-add --desc="Web Servers" webservers
ipa group-add --desc="Developers" devel
Добавить начальное правило:
ipa automember-add --type=hostgroup webservers
ipa automember-add --type=group devel
Добавить в правило условие:
ipa automember-add-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
ipa automember-add-condition --key=manager --type=group --inclusive-regex=^uid=mscott devel
Добавить в правило исключительное условие, чтобы предотвратить автоназначение:
ipa automember-add-condition --key=fqdn --type=hostgroup --exclusive-regex=^web5\.example\.com webservers
Добавить узел:
ipa host-add web1.example.com
Добавить пользователя:
ipa user-add --first=Tim --last=User --password tuser1 --manager=mscott
Проверить автоучастие:
ipa hostgroup-show webservers
Группа узлов: webservers
Описание: Web Servers
Узлы-участники: web1.example.com
ipa group-show devel
Имя группы: devel
Описание: Developers
GID: 1004200000
Пользователи-участники: tuser
Удалить условие из правила:
ipa automember-remove-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
Изменить правило автоучастия:
ipa automember-mod
Установить целевую группу по умолчанию (резервную):
ipa automember-default-group-set --default-group=webservers --type=hostgroup
ipa automember-default-group-set --default-group=ipausers --type=group
Удалить целевую группу по умолчанию (резервную):
ipa automember-default-group-remove --type=hostgroup
ipa automember-default-group-remove --type=group
Показать целевую группу по умолчанию (резервную):
ipa automember-default-group-show --type=hostgroup
ipa automember-default-group-show --type=group
Найти все правила автоучастия:
ipa automember-find
Показать правило автоучастия:
ipa automember-show --type=hostgroup webservers
ipa automember-show --type=group devel
Удалить правило автоучастия:
ipa automember-del --type=hostgroup webservers
ipa automember-del --type=group devel
Правило автоучастия.
Внося ясные правила о принадлежности узлов и пользователей к группам посредством настройки включающих и исключающих шаблонов регулярных выражений, вы можете автоматически связывать новые записи с группой или группой узлов на основе данных атрибутов.
Правило непосредственно связывается с группой по имени, следовательно, вы не можете создать правило без определения группы или группы узлов.
Условие является регулярным выражением, используется 389-ds для установления соответствия новой входящей записи правилу автоучастия. Если имеется соответствие правилу включения, запись добавляется в соответствующую группу или группу узлов.
Можно указать группу или группу узлов по умолчанию, которая будет использоваться для записей, не соответствующих ни одному правилу. В случае записей пользователей эта группа будет резервной группой, поскольку все пользователи по умолчанию являются участниками группы, указанной в настройках IPA.
Команду automember-rebuild можно использовать, чтобы задним числом применить правила автоучастия в отношении уже существующих записей; это перестроит их участие.
ПРИМЕРЫ:
Добавить начальную группу или группу узлов :
ipa hostgroup-add --desc="Web Servers" webservers
ipa group-add --desc="Developers" devel
Добавить начальное правило:
ipa automember-add --type=hostgroup webservers
ipa automember-add --type=group devel
Добавить в правило условие:
ipa automember-add-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
ipa automember-add-condition --key=manager --type=group --inclusive-regex=^uid=mscott devel
Добавить в правило исключительное условие, чтобы предотвратить автоназначение:
ipa automember-add-condition --key=fqdn --type=hostgroup --exclusive-regex=^web5\.example\.com webservers
Добавить узел:
ipa host-add web1.example.com
Добавить пользователя:
ipa user-add --first=Tim --last=User --password tuser1 --manager=mscott
Проверить автоучастие:
ipa hostgroup-show webservers
Группа узлов: webservers
Описание: Web Servers
Узлы-участники: web1.example.com
ipa group-show devel
Имя группы: devel
Описание: Developers
GID: 1004200000
Пользователи-участники: tuser
Удалить условие из правила:
ipa automember-remove-condition --key=fqdn --type=hostgroup --inclusive-regex=^web[1-9]+\.example\.com webservers
Изменить правило автоучастия:
ipa automember-mod
Установить целевую группу по умолчанию (резервную):
ipa automember-default-group-set --default-group=webservers --type=hostgroup
ipa automember-default-group-set --default-group=ipausers --type=group
Удалить целевую группу по умолчанию (резервную):
ipa automember-default-group-remove --type=hostgroup
ipa automember-default-group-remove --type=group
Показать целевую группу по умолчанию (резервную):
ipa automember-default-group-show --type=hostgroup
ipa automember-default-group-show --type=group
Найти все правила автоучастия:
ipa automember-find
Показать правило автоучастия:
ipa automember-show --type=hostgroup webservers
ipa automember-show --type=group devel
Удалить правило автоучастия:
ipa automember-del --type=hostgroup webservers
ipa automember-del --type=group devel
Перестроить участие для всех пользователей:
ipa automember-rebuild --type=group
Перестроить участие для всех узлов:
ipa automember-rebuild --type=hostgroup
Перестроить участие для указанных пользователей:
ipa automember-rebuild --users=tuser1 --users=tuser2
Перестроить участие для указанных узлов:
ipa automember-rebuild --hosts=web1.example.com --hosts=web2.example.com
Автомонтирование
Сохраняет конфигурацию automount(8) для autofs(8) в IPA.
Основой конфигурации автомонтирования является файл конфигурации auto.master.
Это также базовое расположение в IPA. Несколько конфигураций auto.master могут храниться в отдельных расположениях. Расположение зависит от реализации, расположением по умолчанию является расположение с именем "default". Например, можно создать расположения для географических областей, этажей, типов и так далее.
В автомонтировании имеется три основных типа объектов: расположения, списки соответствия и ключи.
Расположение определяет набор списков соответствия, привязанных в auto.master. Это позволяет хранить несколько конфигураций автомонтирования. Расположение само по себе не представляет особого интереса, оно просто является началом нового списка соответствия автомонтирования.
Грубо говоря, список соответствия является отдельным файлом автомонтирования и обеспечивает хранение ключей.
Ключ — это связанная со списком соответствия точка автомонтирования.
Когда создаётся новое расположение, для него автоматически создаются два списка соответствия: auto.master и auto.direct. Список соответствия auto.master — это корневой список соответствия для всех списков соответствия автомонтирования расположения. Список соответствия auto.direct — это список соответствия по умолчанию для прямых монтирований, он монтируется на /-.
Список соответствия автомонтирования может содержать ключ подмонтирования. Этот ключ определяет расположение монтирования в списке соответствия, который ссылается на другой список соответствия. Такой ключ можно добавить с помощью команды automountmap-add-indirect --parentmap или вручную, с помощью automountkey-add и установки info на значение "-type=autofs :<имя списка соответствия>".
ПРИМЕРЫ:
Расположения:
Создать новое именованное расположение, "Moskva":
ipa automountlocation-add moskva
Показать новое расположение:
ipa automountlocation-show moskva
Поиск доступных расположений:
ipa automountlocation-find
Удалить именованное расположение автомонтирования:
ipa automountlocation-del moskva
Показать, как выглядели бы списки соответствия автомонтирования, если бы находились в файловой системе:
ipa automountlocation-tofiles moskva
Импортировать существующую конфигурацию в расположение:
ipa automountlocation-import moskva /etc/auto.master
Импорт не удастся выполнить, если будут найдены дублирующиеся записи. Чтобы обеспечить непрерывное выполнение, при котором ошибки игнорируются, используйте параметр --continue.
Списки соответствия:
Создать новый список соответствия с именем "auto.share":
ipa automountmap-add moskva auto.share
Показать новый список соответствия:
ipa automountmap-show moskva auto.share
Найти списки соответствия в расположении moskva:
ipa automountmap-find moskva
Создать непрямой список соответствия с auto.share в качестве точки подмонтирования:
ipa automountmap-add-indirect moskva --parentmap=auto.share --mount=sub auto.man
Эта команда эквивалентна следующим командам:
ipa automountmap-add-indirect moskva --mount=/man auto.man
ipa automountkey-add moskva auto.man --key=sub --info="-fstype=autofs ldap:auto.share"
Удалить список соответствия auto.share:
ipa automountmap-del moskva auto.share
Ключи:
Создать новый ключ для списка соответствия auto.share в расположении moskva. Это привяжет ранее созданный список соответствия к auto.master:
ipa automountkey-add moskva auto.master --key=/share --info=auto.share
Создать новый ключ для списка соответствия auto.share, смонтированного ресурса NFS для страниц man:
ipa automountkey-add moskva auto.share --key=man --info="-ro,soft,rsize=8192,wsize=8192 ipa.example.com:/shared/man"
Найти все ключи для списка соответствия auto.share:
ipa automountkey-find moskva auto.share
Найти все ключи прямого автомонтирования:
ipa automountkey-find moskva --key=/-
Удалить ключ man из списка соответствия auto.share:
ipa automountkey-del moskva auto.share --key=man
В зависимости от владения хранилища подразделяются на три категории:
* хранилища пользователей или личные хранилища
* хранилища служб
* хранилища совместного использования
В зависимости от механизма обеспечения безопасности выделяют три типа хранилищ:
* стандартные хранилища
* симметричные хранилища
* асимметричные хранилища
Основной пользователь
Содержит общие определения для пользователя или неподтверждённого пользователя
Внося ясные правила о принадлежности узлов и пользователей к группам посредством настройки включающих и исключающих шаблонов регулярных выражений, вы можете автоматически связывать новые записи с группой или группой узлов на основе данных атрибутов.
Службы сертификации (все, кроме службы сертификации "IPA") можно удалять. Удаление службы сертификации приводит к отзыву её сертификата для подписи и удалению её закрытого ключа.
Службы сертификации включаются при создании, но их использование регулируется ACL служб сертификации, если у оператора нет разрешения обходить ACL служб сертификации (CA).
Сопоставление сертификатов с записями пользователей
Запросы сертификатов существуют в виде запроса подписи сертификата (Certificate Signing Request, CSR) в формате PEM.
Сертификаты можно искать по субъекту, серийному номеру, причине отзыва, датам действия и дате выдачи.
Классы для управления доверенными присоединениями с помощью вызовов DCE-RPC
Код в этом модуле жёстко зависит от содержания пакета samba4-python и привязок для языка Python в Samba4.
Отношения доверия между областями (realm)
Управление отношениями доверия между доменами IPA и Active Directory.
Чтобы разрешить пользователям из удалённого домена доступ к ресурсам в домене IPA, необходимо установить отношение доверия. В текущей версии IPA поддерживает только отношения доверия между доменами IPA и Active Directory под управлением Windows Server 2008 или более поздней версии с функциональными возможностями уровня 2008 или более поздней версии.
Обратите внимание, что следует надлежащим образом настроить DNS на обоих доменах, IPA и Active Directory, чтобы домены могли обнаруживать друг друга. Работоспособность отношения доверия зависит от возможности обнаруживать специальные ресурсы в другом домене с помощью записей DNS.
Примеры:
1. Установить отношение доверия между областями (realm) с Active Directory с помощью учётных данных администратора AD:
ipa trust-add --type=ad <ad.domain> --admin <AD domain administrator> --password
2. Вывести список всех существующих отношений доверия:
ipa trust-find
3. Показать подробные сведения об определённом отношении доверия:
ipa trust-show <ad.domain>
4. Удалить существующее отношение доверия:
ipa trust-del <ad.domain>
Как только отношение доверия будет установлено, удалённых пользователей потребуется привязать к локальным POSIX-группам, чтобы воспользоваться ресурсами IPA. Привязку следует выполнить с помощью внешнего участия не-POSIX-группы, а затем эту группу необходимо включить в одну из локальных POSIX-групп.
Пример:
1. Создать группу для привязки администраторов (admins) доверенного домена и их локальную POSIX-группу:
ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins
2. Добавить идентификатор безопасности Domain Admins домена <ad.domain> группе ad_admins_external:
ipa group-add-member ad_admins_external --external 'AD\Domain Admins'
3. Разрешить привязку группы ad_admins_external к POSIX-группе ad_admins:
ipa group-add-member ad_admins --groups ad_admins_external
4. Вывести список участников внешних участников группы ad_admins_external, чтобы определить их SID:
ipa group-show ad_admins_external
ГЛОБАЛЬНАЯ КОНФИГУРАЦИЯ ОТНОШЕНИЙ ДОВЕРИЯ
После установки субпакета доверия AD IPA и запуска ipa-adtrust-install создаётся конфигурация локального домена (SID, GUID, имя NetBIOS). Эти идентификаторы затем используются для связи с доверенным доменом конкретного типа.
1. Показать глобальную конфигурацию отношений доверия для типа отношений доверия Active Directory:
ipa trustconfig-show --type ad
2. Изменить глобальную конфигурацию для всех отношений доверия типа Active Directory и указать другую резервную основную группу (GID резервной основной группы используется в качестве GID основного пользователя, если для пользователя, который выполняет аутентификацию в домене IPA, не был установлен другой основной GID):
ipa trustconfig-mod --type ad --fallback-primary-group "alternative AD group"
3. Изменить резервную основную группу обратно на скрытую группу по умолчанию (разрешена любая группа с классом объекта posixGroup):
ipa trustconfig-mod --type ad --fallback-primary-group "Default SMB Group"
Отношения доверия между областями (realm)
Управление отношениями доверия между доменами IPA и Active Directory.
Чтобы разрешить пользователям из удалённого домена доступ к ресурсам в домене IPA, необходимо установить отношение доверия. В текущей версии IPA поддерживает только отношения доверия между доменами IPA и Active Directory под управлением Windows Server 2008 или более поздней версии с функциональными возможностями уровня 2008 или более поздней версии.
Обратите внимание, что следует надлежащим образом настроить DNS на обоих доменах, IPA и Active Directory, чтобы домены могли обнаруживать друг друга. Работоспособность отношения доверия зависит от возможности обнаруживать специальные ресурсы в другом домене с помощью записей DNS.
Примеры:
1. Установить отношение доверия между областями (realm) с Active Directory с помощью учётных данных администратора AD:
ipa trust-add --type=ad <ad.domain> --admin <AD domain administrator> --password
2. Вывести список всех существующих отношений доверия:
ipa trust-find
3. Показать подробные сведения об определённом отношении доверия:
ipa trust-show <ad.domain>
4. Удалить существующее отношение доверия:
ipa trust-del <ad.domain>
Как только отношение доверия будет установлено, удалённых пользователей потребуется привязать к локальным POSIX-группам, чтобы воспользоваться ресурсами IPA. Привязку следует выполнить с помощью внешнего участия не-POSIX-группы, а затем эту группу необходимо включить в одну из локальных POSIX-групп.
Пример:
1. Создать группу для привязки администраторов (admins) доверенного домена и их локальную POSIX-группу:
ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins
2. Добавить идентификатор безопасности Domain Admins домена <ad.domain> группе ad_admins_external:
ipa group-add-member ad_admins_external --external 'AD\Domain Admins'
3. Разрешить привязку группы ad_admins_external к POSIX-группе ad_admins:
ipa group-add-member ad_admins --groups ad_admins_external
4. Вывести список участников внешних участников группы ad_admins_external, чтобы определить их SID:
ipa group-show ad_admins_external
ГЛОБАЛЬНАЯ КОНФИГУРАЦИЯ ОТНОШЕНИЙ ДОВЕРИЯ
После установки субпакета доверия AD IPA и запуска ipa-adtrust-install создаётся конфигурация локального домена (SID, GUID, имя NetBIOS). Эти идентификаторы затем используются для связи с доверенным доменом конкретного типа.
1. Показать глобальную конфигурацию отношений доверия для типа отношений доверия Active Directory:
ipa trustconfig-show --type ad
2. Изменить глобальную конфигурацию для всех отношений доверия типа Active Directory и указать другую резервную основную группу (GID резервной основной группы используется в качестве GID основного пользователя, если для пользователя, который выполняет аутентификацию в домене IPA, не был установлен другой основной GID):
ipa trustconfig-mod --type ad --fallback-primary-group "another AD group"
3. Изменить резервную основную группу обратно на скрытую группу по умолчанию (разрешена любая группа с классом объекта posixGroup):
ipa trustconfig-mod --type ad --fallback-primary-group "Default SMB Group"
Конфигурация DNS, которая передаётся сценарию командной строки для установки, хранится в локальном файле конфигурации на каждом IPA-сервере, где настроена служба DNS. Эти локальные настройки могут быть переопределены с помощью общей конфигурации, которая хранится на LDAP-сервере:
Конфигурация DNS-сервера
Данные, которые хранятся на IPA-серверах, реплицируются на другие IPA-серверы. Способ репликации определяется соглашениями о репликации. Соглашения о репликации необходимо устанавливать для каждого из суффиксов отдельно. На уровне домена 0 управление ими выполняется с помощью средств ipa-replica-manage и ipa-csreplica-manage. На уровне домена 1 управление выполняется централизованно с помощью команд "ipa topology*".
Даты обрабатываются как даты по Гринвичскому времени, в соответствии с датами, определёнными в в сертификатах.
Запрещено удалять или переименовывать управляемое разрешение, а также изменять его цель.
Инструкции управления доступом к серверу каталогов (ACI)
ACI используются, чтобы разрешить или запретить доступ к информации. Текущая версия модуля предназначена для предоставления, а не запрета доступа.
Команды aci позволяют предоставить разрешения, благодаря которым можно обновлять существующие записи, а также добавлять или удалять новые. Задача ACI, поставляемых вместе с IPA: предоставить набор низкоуровневых разрешений, которые дают доступ к специальным группам. Такие группы называются группами задач. Данные низкоуровневые разрешения можно сочетать между собой, формируя роли, чтобы предоставить больший объём доступа. Эти роли представляют собой ещё один тип групп: группы ролей.
Например, если имеются группы задач, которые разрешают добавлять и изменять данные пользователей, то можно создать роль администратора пользователей (useradmin). Если назначить пользователям роль useradmin, им будет разрешено выполнять операции, определённые группами задач.
Можно создавать ACI, которые будут предоставлять разрешения таким образом, что пользователи группы A смогут записывать атрибуты для группы B.
Параметр "тип" (type) — это список, который применяется ко всем записям пользователей, записям групп или расположению узла. Он предназначен в основном для предоставления прав доступа для добавления (создание новых записей).
Запись ACI состоит из трёх частей:
1. цель
2. разрешения
3. правила привязки
Цель — это набор правил, которые определяют, какие объекты LDAP являются целевыми. Это может быть список атрибутов, область этого дерева LDAP или фильтр LDAP.
Цели содержат:
- attrs: список атрибутов, которых касается цель
- type: тип объектов (пользователь, группа, узел, служба и так далее)
- memberof: участники группы
- targetgroup: предоставить доступ к изменению определённой группы. Эта часть в основном разработана для предоставления пользователям разрешения на добавление или удаление участников определённой группы.
- filter: действующий фильтр LDAP, используемый для сужения цели.
- subtree: используется для применения правила к целому набору объектов. Например, чтобы разрешить добавление пользователей, следует предоставить разрешение "add" для поддерева ldap://uid=*,cn=users,cn=accounts,dc=example,dc=com. Параметр subtree подходит для объектов, которые не подпадают под действие параметра type.
Разрешения определяют, какие действия разрешены для ACI, и могут быть одними из следующих (или сочетать в себе несколько вариантов):
1. write - записать один или несколько атрибутов.
2. read - прочитать один или несколько атрибутов.
3. add - добавить в дерево новую запись.
4. delete - удалить существующую запись.
5. all - предоставляются все разрешения.
Обратите внимание на разницу между атрибутами и записями. Разрешения являются независимыми, поэтому возможность добавить пользователя не означает возможность изменять запись добавленного пользователя.
Правило привязки определяет, кому предоставляет разрешения ACI. LDAP-сервер позволяет сделать это для любой действительной записи LDAP, но мы рекомендуем использовать группы задач, чтобы можно было легко обеспечить общий доступ к правам с помощью ролей.
Более подробные сведения об управлении доступом:
http://www.redhat.com/docs/manuals/dir-server/ag/8.0/Managing_Access_Control.html
ПРИМЕРЫ:
ПРИМЕЧАНИЕ: в текущей версии записи записи ACI добавляются через подключаемый модуль разрешений. Следующие примеры показывают, как работают различные параметры, но сейчас это выполняется через командную строку (см. последний пример).
Добавить запись ACI, чтобы группа "secretaries" могла обновлять адрес любого пользователя:
ipa group-add --desc="Офисные секретари" secretaries
ipa aci-add --attrs=streetAddress --memberof=ipausers --group=secretaries --permissions=write --prefix=none "Секретари записывают адреса"
Show the new ACI:
ipa aci-show --prefix=none "Секретари записывают адреса"
Добавить запись ACI, которая разрешает участникам разрешения "addusers" добавлять новых пользователей:
ipa aci-add --type=user --permission=addusers --permissions=add --prefix=none "Добавление пользователей"
Добавить запись ACI, которая разрешает участникам группы "editors" управлять записями участников группы "admins":
ipa aci-add --permissions=write --attrs=member --targetgroup=admins --group=editors --prefix=none "Редакторы управляют администраторами"
Добавить запись ACI, которая разрешает участникам группы "admins" изменять название улицы и почтовый индекс участников группы "editors":
ipa aci-add --permissions=write --memberof=editors --group=admins --attrs=street --attrs=postalcode --prefix=none "администраторы редактируют адрес редакторов"
Добавить запись ACI, которая разрешает участникам группы "admins" изменять название улицы и почтовый индекс тех, кто работает под руководством начальника:
ipa aci-add --permissions=write --group=admins --attrs=street --attrs=postalcode --filter="(manager=uid=boss,cn=users,cn=accounts,dc=example,dc=com)" --prefix=none "Редактировать адрес тех, кто работает под руководством начальника"
Добавить в IPA совершенно новый вид записи, который не предусмотрен ни одним из параметров "--type", путём создания разрешения:
ipa permission-add --permissions=add --subtree="cn=*,cn=orange,cn=accounts,dc=example,dc=com" --desc="Добавление оранжевых записей" add_orange
Команда show показывает необработанную запись ACI 389-ds.
ВАЖНО: при изменении атрибутов цели существующей записи ACI необходимо также включить все существующие атрибуты. Когда выполняется aci-mod, targetattr ЗАМЕНЯЕТ текущие атрибуты, а не добавляет к ним другие.
Инструкции управления доступом к серверу каталогов (ACI)
ACI используются, чтобы разрешить или запретить доступ к информации. Текущая версия модуля предназначена для предоставления, а не запрета доступа.
Команды aci позволяют предоставить разрешения, благодаря которым можно обновлять существующие записи, а также добавлять или удалять новые. Задача ACI, поставляемых вместе с IPA: предоставить набор низкоуровневых разрешений, которые дают доступ к специальным группам. Такие группы называются группами задач. Данные низкоуровневые разрешения можно сочетать между собой, формируя роли, чтобы предоставить больший объём доступа. Эти роли представляют собой ещё один тип групп: группы ролей.
Например, если имеются группы задач, которые разрешают добавлять и изменять данные пользователей, то можно создать роль администратора пользователей (useradmin). Если назначить пользователям роль useradmin, им будет разрешено выполнять операции, определённые группами задач.
Можно создавать ACI, которые будут предоставлять разрешения таким образом, что пользователи группы A смогут записывать атрибуты для группы B.
Параметр "тип" (type) — это список, который применяется ко всем записям пользователей, записям групп или расположению узла. Он предназначен в основном для предоставления прав доступа для добавления (создание новых записей).
Запись ACI состоит из трёх частей:
1. цель
2. разрешения
3. правила привязки
Цель — это набор правил, которые определяют, какие объекты LDAP являются целевыми. Это может быть список атрибутов, область этого дерева LDAP или фильтр LDAP.
Цели содержат:
- attrs: список атрибутов, которых касается цель
- type: тип объектов (пользователь, группа, узел, служба и так далее)
- memberof: участники группы
- targetgroup: предоставить доступ к изменению определённой группы. Эта часть в основном разработана для предоставления пользователям разрешения на добавление или удаление участников определённой группы.
- filter: действующий фильтр LDAP, используемый для сужения цели.
- subtree: используется для применения правила к целому набору объектов. Например, чтобы разрешить добавление пользователей, следует предоставить разрешение "add" для поддерева ldap://uid=*,cn=users,cn=accounts,dc=example,dc=com. Параметр subtree подходит для объектов, которые не подпадают под действие параметра type.
Разрешения определяют, какие действия разрешены для ACI, и могут быть одними из следующих (или сочетать в себе несколько вариантов):
1. write - записать один или несколько атрибутов.
2. read - прочитать один или несколько атрибутов.
3. add - добавить в дерево новую запись.
4. delete - удалить существующую запись.
5. all - предоставляются все разрешения.
Обратите внимание на разницу между атрибутами и записями. Разрешения являются независимыми, поэтому возможность добавить пользователя не означает возможность изменять запись добавленного пользователя.
Правило привязки определяет, кому предоставляет разрешения ACI. LDAP-сервер позволяет сделать это для любой действительной записи LDAP, но мы рекомендуем использовать группы задач, чтобы можно было легко обеспечить общий доступ к правам с помощью ролей.
Более подробные сведения об управлении доступом:
http://www.redhat.com/docs/manuals/dir-server/ag/8.0/Managing_Access_Control.html
ПРИМЕРЫ:
ПРИМЕЧАНИЕ: в текущей версии записи записи ACI добавляются через подключаемый модуль разрешений. Следующие примеры показывают, как работают различные параметры, но сейчас это выполняется через командную строку (см. последний пример).
Добавить запись ACI, чтобы группа "secretaries" могла обновлять адрес любого пользователя:
ipa group-add --desc="Офисные секретари" secretaries
ipa aci-add --attrs=streetAddress --memberof=ipausers --group=secretaries --permissions=write --prefix=none "Секретари записывают адреса"
Show the new ACI:
ipa aci-show --prefix=none "Секретари записывают адреса"
Добавить запись ACI, которая разрешает участникам разрешения "addusers" добавлять новых пользователей:
ipa aci-add --type=user --permission=addusers --permissions=add --prefix=none "Добавление пользователей"
Добавить запись ACI, которая разрешает участникам группы "editors" управлять записями участников группы "admins":
ipa aci-add --permissions=write --attrs=member --targetgroup=admins --group=editors --prefix=none "Редакторы управляют администраторами"
Добавить запись ACI, которая разрешает участникам группы "admins" изменять название улицы и почтовый индекс участников группы "editors":
ipa aci-add --permissions=write --memberof=editors --group=admins --attrs=street,postalcode --prefix=none "администраторы редактируют адрес редакторов"
Добавить запись ACI, которая разрешает участникам группы "admins" изменять название улицы и почтовый индекс тех, кто работает под руководством начальника:
ipa aci-add --permissions=write --group=admins --attrs=street,postalcode --filter="(manager=uid=boss,cn=users,cn=accounts,dc=example,dc=com)" --prefix=none "Редактировать адрес тех, кто работает под руководством начальника"
Добавить в IPA совершенно новый вид записи, который не предусмотрен ни одним из параметров "--type", путём создания разрешения:
ipa permission-add --permissions=add --subtree="cn=*,cn=orange,cn=accounts,dc=example,dc=com" --desc="Добавление оранжевых записей" add_orange
Команда show показывает необработанную запись ACI 389-ds.
ВАЖНО: при изменении атрибутов цели существующей записи ACI необходимо также включить все существующие атрибуты. Когда выполняется aci-mod, targetattr ЗАМЕНЯЕТ текущие атрибуты, а не добавляет к ним другие.
Система доменных имён (DNS)
Система доменных имён (DNS)
Управление записями зон и ресурсов DNS.
ИСПОЛЬЗОВАНИЕ СТРУКТУРИРОВАННЫХ ПАРАМЕТРОВ ДЛЯ ОТДЕЛЬНЫХ ТИПОВ
Существует много структурированных типов записей ресурсов DNS, для которых данные DNS, хранящиеся на сервере LDAP, являются не просто скалярным значением, например IP-адрес или имя домена, а структурой данных, которая часто может быть сложной. Примером может быть запись LOC [RFC1876], которая состоит из многих обязательных и необязательных частей (градусов, минут, секунд широты и долготы, высоты и погрешности).
При работе с такими записями DNS может быть сложно не допустить ошибок и ввести корректное значение. Модуль DNS предоставляет в ваше распоряжение абстракцию над этими необработанными записями и позволяет управлять каждым из типов записей ресурсов с помощью определённых параметров. Для каждого из поддерживаемых типов записей ресурсов в модуле DNS предусмотрен стандартный параметр для работы с необработанными записями с помощью формата --<rrtype>-rec, например --mx-rec, и специальные параметры для каждой из частей структуры записи ресурса с помощью формата --<rrtype>-<partname>, например --mx-preference и --mx-exchanger.
При добавлении записи можно воспользоваться параметрами, специально предназначенными для записей ресурсов, или стандартным параметром для необработанного значения (сочетать эти варианты в одном действии по добавлению нельзя). При внесении изменений в существующую запись можно воспользоваться для изменения одной части записи DNS новыми специальными параметрами записей ресурсов, причём для определения изменённого значения будет использован стандартный вариант необработанного значения. В приведенном ниже примере показано изменение приоритета записи MX с 0 на 1 в записи без внесения изменений в обменник:
ipa dnsrecord-mod --mx-rec="0 mx.example.com." --mx-preference=1
ПРИМЕРЫ:
Добавить новую зону:
ipa dnszone-add example.com --name-server=ns --admin-email=admin@example.com --ip-address=10.0.0.1
Добавить общесистемные права доступа, которыми можно воспользоваться для делегирования привилегий для отдельных зон:
ipa dnszone-add-permission example.com
Изменить зону, чтобы разрешить динамическое обновление для собственных записей узлов в области (realm) EXAMPLE.COM:
ipa dnszone-mod example.com --dynamic-update=TRUE
Эта команда эквивалентна следующим командам:
ipa dnszone-mod example.com --dynamic-update=TRUE --update-policy="grant EXAMPLE.COM krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM krb5-self * SSHFP;"
Изменить зону, чтобы разрешить перенос зоны только для локальной сети:
ipa dnszone-mod example.com --allow-transfer=10.0.0.0/8
Добавить новую обратную зону, указанную с помощью сетевого IP-адреса:
ipa dnszone-add --name-from-ip=80.142.15.0/24 --name-server=ns.example.com.
Добавить другой сервер имён для example.com:
ipa dnsrecord-add example.com @ --ns-rec=nameserver2.example.com
Добавить почтовый сервер для example.com:
ipa dnsrecord-add example.com @ --mx-rec="10 mail1"
Добавить другую запись с помощью специальных параметров записи MX:
ipa dnsrecord-add example.com @ --mx-preference=20 --mx-exchanger=mail2
Добавить другую запись с помощью интерактивного режима (в который программа переходит в ответ на команды dnsrecord-add, dnsrecord-mod или dnsrecord-del без параметров):
ipa dnsrecord-add example.com @
Выберите тип записи ресурса DNS, который следует добавить
Наиболее распространённые типы для этого типа зон: NS, MX, LOC
Тип записи ресурса DNS: MX
Приоритет MX: 30
Обменник MX: mail3
Имя записи: example.com
Запись MX: 10 mail1, 20 mail2, 30 mail3
Запись NS: nameserver.example.com., nameserver2.example.com.
Удалить добавленный ранее сервер имён из example.com:
ipa dnsrecord-del example.com @ --ns-rec=nameserver2.example.com.
Добавить запись LOC для example.com:
ipa dnsrecord-add example.com @ --loc-rec="49 11 42.4 N 16 36 29.6 E 227.64m"
Добавить новую запись A для www.example.com. Также создать обратную запись в соответствующей обратной зоне. В этом случае запись PTR "2", которая указывает на www.example.com, будет создана в зоне 15.142.80.in-addr.arpa.
ipa dnsrecord-add example.com www --a-rec=80.142.15.2 --a-create-reverse
Добавить новую запись PTR для www.example.com:
ipa dnsrecord-add 15.142.80.in-addr.arpa. 2 --ptr-rec=www.example.com.
Добавить новые записи SRV для LDAP-серверов. Три четверти запросов должны отправляться на fast.example.com, одна четверть — на slow.example.com. Если обе службы недоступны, переключиться на backup.example.com.
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 3 389 fast.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 1 389 slow.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="1 1 389 backup.example.com"
Для облегчения внесения изменений можно воспользоваться интерактивным режимом:
ipa dnsrecord-mod example.com _ldap._tcp
Возможность внесения изменений в определённую запись не предусмотрена.
Текущее содержание записи DNS:
Запись SRV: 0 3 389 fast.example.com, 0 1 389 slow.example.com, 1 1 389 backup.example.com
Изменить запись SRV '0 3 389 fast.example.com'? Да/Нет (по умолчанию "Нет"):
Изменить запись SRV '0 1 389 slow.example.com'? Да/Нет (по умолчанию "Нет"): y
Приоритет SRV [0]: (сохранить значение по умолчанию)
Вес SRV [1]: 2 (изменённое значение)
Порт SRV [389]: (сохранить значение по умолчанию)
Цель SRV [slow.example.com]: (сохранить значение по умолчанию)
Пропущена 1 запись SRV. Одновременно можно изменять только одно значение на тип записи DNS.
Имя записи: _ldap._tcp
Запись SRV: 0 3 389 fast.example.com, 1 1 389 backup.example.com, 0 2 389 slow.example.com
После внесения этих изменений три пятых запросов должны направляться на
fast.example.com, а две пятых — на slow.example.com.
Пример интерактивного режима для команды dnsrecord-del:
ipa dnsrecord-del example.com www
Не указан параметр удаления определённой записи.
Удалить все? Да/Нет (по умолчанию "Нет"): (не удалять все записи)
Текущее содержание записи DNS:
Запись A: 1.2.3.4, 11.22.33.44
Удалить запись A '1.2.3.4'? Да/Нет (по умолчанию "Нет"):
Удалить запись A '11.22.33.44'? Да/Нет (по умолчанию "Нет"): y
Имя записи: www
Запись A: 1.2.3.4 (запись A 11.22.33.44 удалена)
Показать зону example.com:
ipa dnszone-show example.com
Найти зону со словом "example" в имени домена:
ipa dnszone-find example
Найти записи для ресурсов с "www" в имени в зоне example.com:
ipa dnsrecord-find example.com www
Найти записи A со значением 10.10.0.1 в зоне example.com:
ipa dnsrecord-find example.com --a-rec=10.10.0.1
Показать записи для ресурса www в зоне example.com:
ipa dnsrecord-show example.com www
Делегировать зону sub.example другому серверу имён:
ipa dnsrecord-add example.com ns.sub --a-rec=10.0.100.5
ipa dnsrecord-add example.com sub --ns-rec=ns.sub.example.com.
Если настроены глобальные перенаправители, все запросы на sub.example.com будут идти через глобальный перенаправитель. Чтобы изменить это поведение только для зоны example.com и перенаправлять запрос прямо на ns.sub.example.com., можно отключить глобальное перенаправление для отдельной зоны:
ipa dnszone-mod example.com --forward-policy=none
Перенаправлять все запросы для зоны external.com на другой сервер имён с помощью политики "first" (запросы будет отправляться на выбранный перенаправитель; если он не отвечает, будут использоваться глобальные сопоставители):
ipa dnszone-add external.com
ipa dnszone-mod external.com --forwarder=10.20.0.1 --forward-policy=first
Удалить зону example.com вместе со всеми записями ресурсов:
ipa dnszone-del example.com
Определить адрес по имени узла, чтобы узнать, существует ли он (будет добавлен стандартный домен IPA, если он не включён):
ipa dns-resolve www.example.com
ipa dns-resolve www
ГЛОБАЛЬНАЯ КОНФИГУРАЦИЯ DNS
Конфигурация DNS, которая передаётся сценарию командной строки для установки, хранится в локальном файле конфигурации на каждом IPA-сервере, где настроена служба DNS. Эти локальные настройки могут быть переопределены с помощью общей конфигурации, которая хранится на LDAP-сервере:
Показать глобальную конфигурацию DNS:
ipa dnsconfig-show
Изменить глобальную конфигурацию DNS и установить список глобальных перенаправителей:
ipa dnsconfig-mod --forwarder=10.0.0.1
Система доменных имён (DNS)
Управление записями зон и ресурсов DNS.
ПОДДЕРЖИВАЕМЫЕ ТИПЫ ЗОН
* Главная зона (dnszone-*), содержит основные данные.
* Зона перенаправления (dnsforwardzone-*), перенаправляет запросы на настроенные перенаправители
(набор DNS-серверов).
ИСПОЛЬЗОВАНИЕ СТРУКТУРИРОВАННЫХ ПАРАМЕТРОВ ДЛЯ ОТДЕЛЬНЫХ ТИПОВ
Существует много структурированных типов записей ресурсов DNS, для которых данные DNS, хранящиеся на сервере LDAP, являются не просто скалярным значением, например IP-адрес или имя домена, а структурой данных, которая часто может быть сложной. Примером может быть запись LOC [RFC1876], которая состоит из многих обязательных и необязательных частей (градусов, минут, секунд широты и долготы, высоты и погрешности).
При работе с такими записями DNS может быть сложно не допустить ошибок и ввести корректное значение. Модуль DNS предоставляет в ваше распоряжение абстракцию над этими необработанными записями и позволяет управлять каждым из типов записей ресурсов с помощью определённых параметров. Для каждого из поддерживаемых типов записей ресурсов в модуле DNS предусмотрен стандартный параметр для работы с необработанными записями с помощью формата --<rrtype>-rec, например --mx-rec, и специальные параметры для каждой из частей структуры записи ресурса с помощью формата --<rrtype>-<partname>, например --mx-preference и --mx-exchanger.
При добавлении записи можно воспользоваться параметрами, специально предназначенными для записей ресурсов, или стандартным параметром для необработанного значения (сочетать эти варианты в одном действии по добавлению нельзя). При внесении изменений в существующую запись можно воспользоваться для изменения одной части записи DNS новыми специальными параметрами записей ресурсов, причём для определения изменённого значения будет использован стандартный вариант необработанного значения. В приведенном ниже примере показано изменение приоритета записи MX с 0 на 1 в записи без внесения изменений в обменник:
ipa dnsrecord-mod --mx-rec="0 mx.example.com." --mx-preference=1
ПРИМЕРЫ:
Добавить новую зону:
ipa dnszone-add example.com --admin-email=admin@example.com
Добавить общесистемные права доступа, которыми можно воспользоваться для делегирования привилегий для отдельных зон:
ipa dnszone-add-permission example.com
Изменить зону, чтобы разрешить динамическое обновление для собственных записей узлов в области (realm) EXAMPLE.COM:
ipa dnszone-mod example.com --dynamic-update=TRUE
Эта команда эквивалентна следующим командам:
ipa dnszone-mod example.com --dynamic-update=TRUE \
--update-policy="grant EXAMPLE.COM krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM krb5-self * SSHFP;"
Изменить зону, чтобы разрешить перенос зоны только для локальной сети:
ipa dnszone-mod example.com --allow-transfer=192.0.2.0/24
Добавить новую обратную зону, указанную с помощью сетевого IP-адреса:
ipa dnszone-add --name-from-ip=192.0.2.0/24
Добавить другой сервер имён для example.com:
ipa dnsrecord-add example.com @ --ns-rec=nameserver2.example.com
Добавить почтовый сервер для example.com:
ipa dnsrecord-add example.com @ --mx-rec="10 mail1"
Добавить другую запись с помощью специальных параметров записи MX:
ipa dnsrecord-add example.com @ --mx-preference=20 --mx-exchanger=mail2
Добавить другую запись с помощью интерактивного режима (в который программа переходит в ответ на команды dnsrecord-add, dnsrecord-mod или dnsrecord-del без параметров):
ipa dnsrecord-add example.com @
Выберите тип записи ресурса DNS, который следует добавить
Наиболее распространённые типы для этого типа зон: NS, MX, LOC
Тип записи ресурса DNS: MX
Приоритет MX: 30
Обменник MX: mail3
Имя записи: example.com
Запись MX: 10 mail1, 20 mail2, 30 mail3
Запись NS: nameserver.example.com., nameserver2.example.com.
Удалить добавленный ранее сервер имён из example.com:
ipa dnsrecord-del example.com @ --ns-rec=nameserver2.example.com.
Добавить запись LOC для example.com:
ipa dnsrecord-add example.com @ --loc-rec="49 11 42.4 N 16 36 29.6 E 227.64m"
Добавить новую запись A для www.example.com. Также создать обратную запись в соответствующей обратной зоне. В этом случае запись PTR "2", которая указывает на www.example.com, будет создана в зоне 2.0.192.in-addr.arpa.
ipa dnsrecord-add example.com www --a-rec=192.0.2.2 --a-create-reverse
Добавить новую запись PTR для www.example.com:
ipa dnsrecord-add 2.0.192.in-addr.arpa. 2 --ptr-rec=www.example.com.
Добавить новые записи SRV для LDAP-серверов. Три четверти запросов должны отправляться на fast.example.com, одна четверть — на slow.example.com. Если обе службы недоступны, переключиться на backup.example.com.
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 3 389 fast.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="0 1 389 slow.example.com"
ipa dnsrecord-add example.com _ldap._tcp --srv-rec="1 1 389 backup.example.com"
Для облегчения внесения изменений можно воспользоваться интерактивным режимом:
ipa dnsrecord-mod example.com _ldap._tcp
Возможность внесения изменений в определённую запись не предусмотрена.
Текущее содержание записи DNS:
Запись SRV: 0 3 389 fast.example.com, 0 1 389 slow.example.com, 1 1 389 backup.example.com
Изменить запись SRV '0 3 389 fast.example.com'? Да/Нет (по умолчанию "Нет"):
Изменить запись SRV '0 1 389 slow.example.com'? Да/Нет (по умолчанию "Нет"): y
Приоритет SRV [0]: (сохранить значение по умолчанию)
Вес SRV [1]: 2 (изменённое значение)
Порт SRV [389]: (сохранить значение по умолчанию)
Цель SRV [slow.example.com]: (сохранить значение по умолчанию)
Пропущена 1 запись SRV. Одновременно можно изменять только одно значение на тип записи DNS.
Имя записи: _ldap._tcp
Запись SRV: 0 3 389 fast.example.com, 1 1 389 backup.example.com, 0 2 389 slow.example.com
После внесения этих изменений три пятых запросов должны направляться на fast.example.com, а две пятых — на slow.example.com.
Пример интерактивного режима для команды dnsrecord-del:
ipa dnsrecord-del example.com www
Не указан параметр удаления определённой записи.
Удалить все? Да/Нет (по умолчанию "Нет"): (не удалять все записи)
Текущее содержание записи DNS:
Запись A: 192.0.2.2, 192.0.2.3
Удалить запись A '192.0.2.2'? Да/Нет (по умолчанию "Нет"):
Удалить запись A '192.0.2.3'? Да/Нет (по умолчанию "Нет"): y
Имя записи: www
Запись A: 192.0.2.2 (запись A 192.0.2.3 удалена)
Показать зону example.com:
ipa dnszone-show example.com
Найти зону со словом "example" в имени домена:
ipa dnszone-find example
Найти записи для ресурсов с "www" в имени в зоне example.com:
ipa dnsrecord-find example.com www
Найти записи A со значением 192.0.2.2 в зоне example.com:
ipa dnsrecord-find example.com --a-rec=192.0.2.2
Показать записи для ресурса www в зоне example.com:
ipa dnsrecord-show example.com www
Делегировать зону sub.example другому серверу имён:
ipa dnsrecord-add example.com ns.sub --a-rec=203.0.113.1
ipa dnsrecord-add example.com sub --ns-rec=ns.sub.example.com.
Удалить зону example.com вместе со всеми записями ресурсов:
ipa dnszone-del example.com
Если настроен глобальный перенаправитель, все запросы, для которых этот сервер не является полномочным (например, sub.example.com), будут перенаправлены на глобальный перенаправитель. Конфигурацию глобального перенаправления можно переопределить для отдельных зон.
Семантика перенаправления в IPA соответствует семантике BIND и зависит от типа зоны:
* Главная зона: локальный BIND предоставляет надёжные ответы на запросы данных в указанной зоне (включая надёжные ответы NXDOMAIN), а перенаправление применяется только для запросов имён за пределами отрезков (записи NS) зон, которые обслуживаются локально.
* Зона перенаправления: зона перенаправления не содержит надёжные данные. BIND перенаправляет запросы, на которые не удалось получить ответы из локального кэша, на настроенные перенаправители.
Семантика параметра --forward-policy:
* none - отключить перенаправление для указанной зоны.
* first - перенаправить все запросы на настроенные перенаправители. Если они не сработают,
выполнить разрешение с помощью корневых серверов DNS.
* only - перенаправить все запросы на настроенные перенаправители и вернуть сообщение об ошибке, если они не сработают.
Отключить глобальное перенаправление для указанного поддерева:
ipa dnszone-mod example.com --forward-policy=none
Эта конфигурация перенаправляет все запросы имён за пределами поддерева example.com на глобальные перенаправители. Для имён в пределах поддерева example.com используется обычный рекурсивный процесс разрешения (то есть с переходом по записям NS и так далее).
Перенаправлять все запросы для зоны external.example.com на другой перенаправитель с помощью политики "first" (запросы будут направлены на выбранный перенаправитель, а если он не ответит, будут использованы глобальные корневые серверы):
ipa dnsforwardzone-add external.example.com --forward-policy=first \
--forwarder=203.0.113.1
Изменить политику перенаправления (параметр forward-policy) для external.example.com:
ipa dnsforwardzone-mod external.example.com --forward-policy=only
Показать зону перенаправления external.example.com:
ipa dnsforwardzone-show external.example.com
Вывести список всех зон перенаправления:
ipa dnsforwardzone-find
Удалить зону перенаправления external.example.com:
ipa dnsforwardzone-del external.example.com
Определить адрес по имени узла, чтобы узнать, существует ли он (будет добавлен стандартный домен IPA, если он не включён):
ipa dns-resolve www.example.com
ipa dns-resolve www
ГЛОБАЛЬНАЯ КОНФИГУРАЦИЯ DNS
Конфигурация DNS, которая передаётся сценарию командной строки для установки, хранится в локальном файле конфигурации на каждом IPA-сервере, где настроена служба DNS. Эти локальные настройки могут быть переопределены с помощью общей конфигурации, которая хранится на LDAP-сервере:
Показать глобальную конфигурацию DNS:
ipa dnsconfig-show
Изменить глобальную конфигурацию DNS и установить список глобальных перенаправителей:
ipa dnsconfig-mod --forwarder=203.0.113.113
РЕГИСТРАЦИЯ:
Существует три сценария регистрации нового клиента:
1. Вы регистрируетесь как администратор с полными правами. Запись узла может существовать или отсутствовать. Полноправный администратор выполняет роль hostadmin или является участником группы admins.
2. Вы регистрируетесь как администратор с ограниченными правами. Узел уже должен существовать. Администратор с ограниченными правами выполняет роль с привилегией Host Enrollment.
3. Узел создан с одноразовым паролем.
ПРИМЕРЫ:
Права
Управление правами для клиентских компьютеров
Правами можно управлять либо путём регистрации на сервере прав с именем пользователя и паролем, либо путём импорта сертификатов прав вручную. Сертификат прав содержит сведения о продукте, на который выдано разрешение, количестве использований прав и сроке действия.
Сервер прав управляет количеством доступных клиентских прав.
Чтобы отметить эти права как использованные IPA-сервером, следует указать количество, и они будут отмечены, как использованные на сервере прав.
Зарегистрироваться на сервере прав:
ipa entitle-register consumer
Импортировать сертификат прав:
ipa entitle-import /home/user/ipaclient.pem
Показать текущие права:
ipa entitle-status
Получить сведения о сертификатах прав:
ipa entitle-get
Использовать некоторые права с сервера прав:
ipa entitle-consume 50
Регистрационный идентификатор является уникальным идентификатором (UUID). Этот идентификатор будет ИМПОРТИРОВАН, если использована команда entitle-import.
Для применения изменений к /etc/rhsm/rhsm.conf необходимо перезапустить службу httpd.
Получить сведения об установленных IPA-серверах.
Получить состояние ролей (DNS-сервер, CA и так далее), предоставленное главными IPA-серверами.
Межгрупповое делегирование
С помощью разрешений самообслуживания можно очень точно делегировать разрешения. Правила или инструкции управления доступом (ACI) предоставляют разрешениям разрешение на выполнение конкретных задач, таких как добавление пользователя, изменение группы и так далее.
Межгрупповое делегирование предоставляет участникам одной группы возможность обновлять набор атрибутов участников другой группы.
ПРИМЕРЫ:
Добавить правило делегирования, чтобы разрешить руководителям редактировать адреса сотрудников:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees" street"
В список атрибутов необходимо включить все атрибуты, в том числе уже существующие. Добавить postalCode в список:
ipa delegation-mod --attrs=street --attrs=postalCode --group=managers --membergroup=employees "managers edit employees" street"
Показать обновлённое правило:
ipa delegation-show "managers edit employees" street"
Удалить правило:
ipa delegation-del "managers edit employees" street"
Межгрупповое делегирование
С помощью разрешений самообслуживания можно очень точно делегировать разрешения. Правила или инструкции управления доступом (ACI) предоставляют разрешениям разрешение на выполнение конкретных задач, таких как добавление пользователя, изменение группы и так далее.
Межгрупповое делегирование предоставляет участникам одной группы возможность обновлять набор атрибутов участников другой группы.
ПРИМЕРЫ:
Добавить правило делегирования, чтобы разрешить руководителям редактировать адреса сотрудников:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees" street"
В список атрибутов необходимо включить все атрибуты, в том числе уже существующие. Добавить postalCode в список:
ipa delegation-mod --attrs=street,postalCode --group=managers --membergroup=employees "managers edit employees" street"
Показать обновлённое правило:
ipa delegation-show "managers edit employees" street"
Удалить правило:
ipa delegation-del "managers edit employees" street"
Группы команд Sudo
Управление группами команд Sudo.
ПРИМЕРЫ:
Добавить новую группу команд Sudo:
ipa sudocmdgroup-add --desc='administrators commands' admincmds
Удалить группу команд Sudo:
ipa sudocmdgroup-del admincmds
Управлять участием в группе команд Sudo, команды:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds
Управлять участием в группе команд Sudo, команды:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds
Показать группу команд Sudo:
ipa group-show localadmins
Группы команд Sudo
Управление группами команд Sudo.
ПРИМЕРЫ:
Добавить новую группу команд Sudo:
ipa sudocmdgroup-add --desc='administrators commands' admincmds
Удалить группу команд Sudo:
ipa sudocmdgroup-del admincmds
Управлять участием в группе команд Sudo, команды:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less --sudocmds=/usr/bin/vim admincmds
Управлять участием в группе команд Sudo, команды:
ipa sudocmdgroup-remove-member --sudocmds=/usr/bin/less admincmds
Показать группу команд Sudo:
ipa sudocmdgroup-show admincmds
Группы команд Sudo
Управление группами команд Sudo.
ПРИМЕРЫ:
Добавить новую группу команд Sudo:
ipa sudocmdgroup-add --desc='administrators commands' admincmds
Удалить группу команд Sudo:
ipa sudocmdgroup-del admincmds
Управлять участием в группе команд Sudo, команды:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less,/usr/bin/vim admincmds
Управлять участием в группе команд Sudo, команды:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds
Показать группу команд Sudo:
ipa group-show localadmins
Группы узлов.
Управление группами узлов. Оно полезно при применении управления доступом к ряду узлов с помощью управления доступом на основе узла (HBAC).
ПРИМЕРЫ:
Добавить новую группу узлов:
ipa hostgroup-add --desc="Baltimore hosts" baltimore
Добавить другую новую группу узлов:
ipa hostgroup-add --desc="Maryland hosts" maryland
Добавить участников в группу узлов (с использованием выражения Bash в фигурных скобках):
ipa hostgroup-add-member --hosts={box1,box2,box3} baltimore
Добавить группу узлов как участника другой группы узлов:
ipa hostgroup-add-member --hostgroups=baltimore maryland
Удалить узел из группы узлов:
ipa hostgroup-remove-member --hosts=box2 baltimore
Показать группу узлов:
ipa hostgroup-show baltimore
Удалить группу узлов:
ipa hostgroup-del baltimore
Группы узлов.
Управление группами узлов. Оно полезно при применении управления доступом к ряду узлов с помощью управления доступом на основе узла (HBAC).
ПРИМЕРЫ:
Добавить новую группу узлов:
ipa hostgroup-add --desc="Baltimore hosts" baltimore
Добавить другую новую группу узлов:
ipa hostgroup-add --desc="Maryland hosts" maryland
Добавить участников в группу узлов:
ipa hostgroup-add-member --hosts=box1,box2,box3 baltimore
Добавить группу узлов как участника другой группы узлов:
ipa hostgroup-add-member --hostgroups=baltimore maryland
Удалить узел из группы узлов:
ipa hostgroup-remove-member --hosts=box2 baltimore
Показать группу узлов:
ipa hostgroup-show baltimore
Удалить группу узлов:
ipa hostgroup-del baltimore
Группы пользователей
Управление группами пользователей. По умолчанию все новые группы являются POSIX-группами. Можно добавить параметр --nonposix в команду group-add, чтобы отметить новую группу в качестве не-POSIX-группы. В команде group-mod можно использовать аргумент --posix, чтобы преобразовать не-POSIX-группу в POSIX-группу. POSIX-группы нельзя преобразовать в не-POSIX-группы.
У каждой группы должно быть описание.
У POSIX-групп должен быть идентификатор группы (GID). Изменение GID поддерживается, но может повлиять на разрешения для файлов. При создании группы необязательно предоставлять GID. Если он не будет предоставлен, IPA создаст его автоматически.
ПРИМЕРЫ:
Добавить новую группу:
ipa group-add --desc='local administrators' localadmins
Добавить новую не-POSIX-группу:
ipa group-add --nonposix --desc='remote administrators' remoteadmins
Преобразовать не-POSIX-группу в posix-группу:
ipa group-mod --posix remoteadmins
Добавить новую POSIX-группу с определённым ID группы:
ipa group-add --gid=500 --desc='unix admins' unixadmins
Добавить новую POSIX-группу и позволить IPA назначить ID группы:
ipa group-add --desc='printer admins' printeradmins
Удалить группу:
ipa group-del unixadmins
Чтобы добавить группу "remoteadmins" в группу "localadmins":
ipa group-add-member --groups=remoteadmins localadmins
Добавить нескольких пользователей в группу "localadmins":
ipa group-add-member --users=test1 --users=test2 localadmins
Удалить пользователя из группы "localadmins":
ipa group-remove-member --users=test2 localadmins
Показать сведения об именованной группе:
ipa group-show localadmins
Участие внешних групп создано для того, чтобы сделать возможной привязку пользователей из доверенных доменов к локальным POSIX-группам с целью использования ресурсов IPA. Внешние участники должны быть добавлены в группы, которые специально созданы, как внешние и не-POSIX. Такая группа затем должна быть включена в одну из групп POSIX.
В текущей версии участник внешней группы является идентификатором безопасности (Security Identifier или SID), определённым доверенным доменом. Добавление участников внешней группы можно выполнить в формате SID, DOM\имя или имя@домен. IPA попытается определить SID по переданному имени путём использования общего каталога доверенного домена.
Пример:
1. Создать группу для привязки администраторов (admins) доверенного домена и их локальную POSIX-группу:
ipa group-add --desc='<ad.domain> admins external map' ad_admins_external --external
ipa group-add --desc='<ad.domain> admins' ad_admins
2. Добавить идентификатор безопасности Domain Admins домена <ad.domain> группе ad_admins_external:
ipa group-add-member ad_admins_external --external 'AD\Domain Admins'
3. Разрешить привязку группы ad_admins_external к POSIX-группе ad_admins:
ipa group-add-member ad_admins --groups ad_admins_external
4. Вывести список внешних участников группы ad_admins_external, чтобы определить их SID:
ipa group-show ad_admins_external
Группы служб HBAC
Группы служб HBAC могут содержать любое количество отдельных служб (так называемых "участников"). У каждой группы должно быть описание.
ПРИМЕРЫ:
Добавить новую группу служб HBAC:
ipa hbacsvcgroup-add --desc="login services" login
Добавить участников в группу служб HBAC:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd --hbacsvcs=login login
Показать сведения об именованной группе:
ipa hbacsvcgroup-show login
Удалить группу служб HBAC:
ipa hbacsvcgroup-del login
Группы служб HBAC
Группы служб HBAC могут содержать любое количество отдельных служб (так называемых "участников"). У каждой группы должно быть описание.
ПРИМЕРЫ:
Добавить новую группу служб HBAC:
ipa hbacsvcgroup-add --desc="login services" login
Добавить участников в группу служб HBAC:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd,login login
Показать сведения об именованной группе:
ipa hbacsvcgroup-show login
Добавить новую группу в группу "login":
ipa hbacsvcgroup-add --desc="switch users" login
ipa hbacsvcgroup-add-member --hbacsvcs=su,su-l login
Удалить группу служб HBAC:
ipa hbacsvcgroup-del login
Службы HBAC
Службы PAM, доступом к которым управляет HBAC. Используемое здесь имя должно соответствовать имени службы, которую оценивает PAM.
ПРИМЕРЫ:
Добавить новую службу HBAC:
ipa hbacsvc-add tftp
Изменить существующую службу HBAC:
ipa hbacsvc-mod --desc="TFTP service" tftp
Поиск служб HBAC. В этом примере будут возвращены два результата, служба FTP
и добавленная выше служба tftp:
ipa hbacsvc-find ftp
Удалить службу HBAC:
ipa hbacsvc-del tftp
Службы HBAC
Службы PAM, доступом к которым управляет HBAC. Используемое здесь имя должно соответствовать имени службы, которую оценивает PAM.
ПРИМЕРЫ:
Добавить новую службу HBAC:
ipa hbacsvc-add tftp
Изменить существующую службу HBAC:
ipa hbacsvc-mod --desc="TFTP service" tftp
Поиск служб HBAC. В этом примере будут возвращены два результата, служба FTP
и добавленная выше служба tftp:
ipa hbacsvc-find ftp
Удалить службу HBAC:
ipa hbacsvc-del tftp
Управление доступом на основе узла
Управляйте тем, кто, на каких узлах и из каких узлов сможет получать доступ к определённым службам. Вы можете воспользоваться HBAC для определения тех пользователей и групп на узле происхождения запроса, которые будут иметь доступ к определённой службе или группе служб на целевом узле.
Также можно указать категорию пользователей, целевых узлов и узлов происхождения запроса. В текущей версии доступен только вариант "all", но в будущих версиях, возможно, появятся и другие варианты.
Целевые узлы и узлы происхождения запроса в правилах HBAC должны быть узлами под управлением IPA.
Доступные службы и группы служб управляются, соответственно, с помощью подключаемых модулей hbacsvc и hbacsvcgroup.
ПРИМЕРЫ:
Создать правило, "test1", которое предоставляет всем пользователям доступ на узел "server" отовсюду:
ipa hbacrule-add --usercat=all --srchostcat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1
Показать свойства именованного правила HBAC:
ipa hbacrule-show test1
Создать правило для определённой службы. Это правило предоставит пользователю john доступ к службе sshd на любом компьютере с любого компьютера:
ipa hbacrule-add --hostcat=all --srchostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd
Создать правило для новой группы служб. Это правило предоставит пользователю john доступ к службе FTP на любом компьютере с любого компьютера:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp,sftp ftpers
ipa hbacrule-add --hostcat=all --srchostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp
Отключить именованное правило HBAC:
ipa hbacrule-disable test1
Удалить именованное правило HBAC:
ipa hbacrule-del allow_server
Управление доступом на основе узла
Управляйте тем, кто и на каких узлах сможет получать доступ к определённым службам. Вы можете воспользоваться HBAC для определения тех пользователей и групп, которые будут иметь доступ к определённой службе или группе служб на целевом узле.
Также можно указать категорию пользователей и целевых узлов. В текущей версии доступен только вариант "all", но в будущих версиях, возможно, появятся и другие варианты.
Целевые узлы в правилах HBAC должны быть узлами под управлением IPA.
Доступные службы и группы служб управляются, соответственно, с помощью подключаемых модулей hbacsvc и hbacsvcgroup.
ПРИМЕРЫ:
Создать правило, "test1", которое предоставляет всем пользователям доступ на узел "server" отовсюду:
ipa hbacrule-add --usercat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1
Показать свойства именованного правила HBAC:
ipa hbacrule-show test1
Создать правило для определённой службы. Это правило предоставит пользователю john доступ к службе sshd на любом компьютере с любого компьютера:
ipa hbacrule-add --hostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd
Создать правило для новой группы служб. Это правило предоставит пользователю john доступ к службе FTP на любом компьютере с любого компьютера:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp --hbacsvcs=sftp ftpers
ipa hbacrule-add --hostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp
Отключить именованное правило HBAC:
ipa hbacrule-disable test1
Удалить именованное правило HBAC:
ipa hbacrule-del allow_server
Узлы/Компьютеры
Узел представляет собой отдельный компьютер. Термин может использоваться в нескольких контекстах:
- записи служб, связанные с определённым узлом
- узел сохраняет учётную запись узла / службы
- узел может использоваться в правилах управления доступом на основе узла (Host-based Access Control, HBAC)
- каждый зарегистрированный клиент создаёт запись узла
Узлы/Компьютеры
Узел представляет собой отдельный компьютер. Термин может использоваться в нескольких контекстах:
- записи служб, связанные с определённым узлом
- узел сохраняет учётную запись узла / службы
- узел может использоваться в правилах управления доступом на основе узла (Host-based Access Control, HBAC)
- каждый зарегистрированный клиент создаёт запись узла
РЕГИСТРАЦИЯ:
Существует три сценария регистрации нового клиента:
1. Вы регистрируетесь как администратор с полными правами. Запись узла может существовать или отсутствовать. Полноправный администратор выполняет роль hostadmin или является участником группы admins.
2. Вы регистрируетесь как администратор с ограниченными правами. Узел уже должен существовать. Администратор с ограниченными правами выполняет роль с привилегией Host Enrollment.
3. Узел создан с одноразовым паролем.
Узлу можно назначить роль только один раз. Если клиенту уже назначена роль и эту роль требуется изменить, запись узла должна быть удалена и создана повторно. Обратите внимание, что повторное создание записи узла приведет к удалению всех служб узла и отзыву всех связанных с этими службами SSL-сертификатов.
В запись узла при необходимости можно включить данные о его расположении, типе используемой операционной системы и так далее.
ПРИМЕРЫ:
Добавить новый узел:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com
Удалить узел:
ipa host-del test.example.com
Добавить новый узел с одноразовым паролем:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com
Добавить новый узел со случайным одноразовым паролем:
ipa host-add --os='Fedora 12' --random test.example.com
Изменить сведения об узле:
ipa host-mod --os='Fedora 12' test.example.com
Удалить открытые ключи SSH узла и обновить DNS для отображения изменений:
ipa host-mod --sshpubkey= --updatedns test.example.com
Отключить ключ Kerberos, SSL-сертификат и все службы узла:
ipa host-disable test.example.com
Добавить узел, который может управлять таблицей ключей и сертификатом этого узла:
ipa host-add-managedby --hosts=test2 test
Узлы/Компьютеры
Узел представляет собой отдельный компьютер. Термин может использоваться в нескольких контекстах:
- записи служб, связанные с определённым узлом
- узел сохраняет учётную запись узла / службы
- узел может использоваться в правилах управления доступом на основе узла (Host-based Access Control, HBAC)
- каждый зарегистрированный клиент создаёт запись узла
РЕГИСТРАЦИЯ:
Существует три сценария регистрации нового клиента:
1. Вы регистрируетесь как администратор с полными правами. Запись узла может существовать или отсутствовать. Полноправный администратор выполняет роль hostadmin или является участником группы admins.
2. Вы регистрируетесь как администратор с ограниченными правами. Узел уже должен существовать. Администратор с ограниченными правами выполняет роль с привилегией Host Enrollment.
3. Узел создан с одноразовым паролем.
ПОВТОРНАЯ РЕГИСТРАЦИЯ
Если узел уже когда-то был зарегистрирован и затем утратил свою конфигурацию (например, была уничтожена виртуальная машина), его можно зарегистрировать повторно.
Дополнительные сведения доступны на страницах справочника по ipa-client-install.
В запись узла при необходимости можно включить данные о его расположении, типе используемой операционной системы и так далее.
ПРИМЕРЫ:
Добавить новый узел:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com
Удалить узел:
ipa host-del test.example.com
Добавить новый узел с одноразовым паролем:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com
Добавить новый узел со случайным одноразовым паролем:
ipa host-add --os='Fedora 12' --random test.example.com
Изменить сведения об узле:
ipa host-mod --os='Fedora 12' test.example.com
Удалить открытые ключи SSH узла и обновить DNS для отображения изменений:
ipa host-mod --sshpubkey= --updatedns test.example.com
Отключить ключ Kerberos, SSL-сертификат и все службы узла:
ipa host-disable test.example.com
Добавить узел, который может управлять таблицей ключей и сертификатом этого узла:
ipa host-add-managedby --hosts=test2 test
Разрешить пользователю создавать таблицу ключей:
ipa host-allow-create-keytab test2 --users=tuser1
Представления идентификаторов
Управление представлениями идентификаторов
В IPA можно переопределять определённые свойства записей пользователей и групп для отдельных узлов. Эта возможность используется в основном для переноса данных из устаревших систем или других решений для управления идентификацией и учётными записями пользователей.
Операции с сертификатами IPA
Операции с сертификатами IPA
Применение набора команд для управления сертификатами SSL-серверов.
Запросы сертификатов существуют в виде запроса подписи сертификата (Certificate Signing Request, CSR) в формате PEM.
Если используется бэкенд с самоподписанным сертификатом, субъект в CSR должен соответствовать субъекту, настроенному на сервере. Система выдачи сертификатов Dogtag Certificate System использует только значение CN в CSR и принудительно устанавливает остальные параметры субъекта.
Сертификат хранится в учётной записи службы, а учётной записи службы требуется узел.
Чтобы запросить сертификат:
* Должен существовать узел
* Должна существовать служба (либо следует использовать параметр --add для её автоматического добавления)
ПРИМЕРЫ:
Запросить новый сертификат и добавить учётную запись:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr
Получить существующий сертификат:
ipa cert-show 1032
Отозвать сертификат (подробные сведения о причинах доступны в RFC 5280):
ipa cert-revoke --revocation-reason=6 1032
Удалить сертификат из списка отзыва:
ipa cert-remove-hold 1032
Проверить состояние запроса подписи:
ipa cert-status 10
В текущей версии IPA немедленно выполняет (или отклоняет) все запросы сертификатов, следовательно, данные о состоянии запроса не являются полезными. Эти данные могут понадобиться в следующих версиях или в случае, если CA не сразу выдаёт сертификат.
Поддерживаются следующие причины отзыва:
* 0 - не указано
* 1 - keyCompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
* 10 - aACompromise
Обратите внимание, что код причины 7 не используется. Подробные сведения в RFC 5280:
http://www.ietf.org/rfc/rfc5280.txt
Операции с сертификатами IPA
Применение набора команд для управления сертификатами SSL-серверов.
Запросы сертификатов существуют в виде запроса подписи сертификата (Certificate Signing Request, CSR) в формате PEM.
Система выдачи сертификатов Dogtag Certificate System использует только значение CN в CSR и принудительно устанавливает остальные параметры субъекта в соответствии со значениями, настроенными на сервере.
Сертификат хранится в учётной записи службы, а учётной записи службы требуется узел.
Чтобы запросить сертификат:
* Должен существовать узел
* Должна существовать служба (либо следует использовать параметр --add для её автоматического добавления)
ПОИСК:
Сертификаты можно искать по субъекту, серийному номеру, причине отзыва, датам действия и дате выдачи.
Если поиск выполняется по дате _с, используется сравнение >=, а если выполняется поиск _до — сравнение <=. Сочетание обоих видов поиска приводит к поиску с логической операцией И.
Даты обрабатываются как даты по Гринвичскому времени, в соответствии с датами, определёнными в в сертификатах.
Формат даты: ГГГГ-мм-дд.
ПРИМЕРЫ:
Запросить новый сертификат и добавить учётную запись:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr
Получить существующий сертификат:
ipa cert-show 1032
Отозвать сертификат (подробные сведения о причинах доступны в RFC 5280):
ipa cert-revoke --revocation-reason=6 1032
Удалить сертификат из списка отзыва:
ipa cert-remove-hold 1032
Проверить состояние запроса подписи:
ipa cert-status 10
Поиск сертификатов по имени узла:
ipa cert-find --subject=ipaserver.example.com
Поиск отозванных сертификатов по причине отзыва:
ipa cert-find --revocation-reason=5
Поиск сертификатов по дате выдачи:
ipa cert-find --issuedon-from=2013-02-01 --issuedon-to=2013-02-07
В текущей версии IPA немедленно выполняет (или отклоняет) все запросы сертификатов, следовательно, данные о состоянии запроса не являются полезными. Эти данные могут понадобиться в следующих версиях или в случае, если CA не сразу выдаёт сертификат.
Поддерживаются следующие причины отзыва:
* 0 - не указано
* 1 - keyCompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
* 10 - aACompromise
Обратите внимание, что код причины 7 не используется. Подробные сведения в RFC 5280:
http://www.ietf.org/rfc/rfc5280.txt
В текущей версии IPA немедленно выполняет (или отклоняет) все запросы сертификатов, следовательно, данные о состоянии запроса не являются полезными. Эти данные могут понадобиться в следующих версиях или в случае, если CA не сразу выдаёт сертификат.
расположения IPA
IPA предусматривает специальную привязку DN (binddn) для использования с Sudo:
uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com
IPA предоставляет возможности настройки различных аспектов Sudo:
Users: пользователь (пользователи) или группа (группы), которые могут вызывать Sudo.
Hosts: узел (узлы) или группа (группы) узлов, пользователи которых могут вызывать Sudo.
Allow Command: конкретная команда (команды), которые разрешены для выполнения с помощью Sudo.
Deny Command: конкретная команда (команды), которые запрещены для выполнения с помощью Sudo.
RunAsUser: пользователь (пользователи) или группа (группы) пользователей, от имени которых Sudo будет выполнять команды.
RunAsGroup: группа (группы), от имени которых Sudo будет выполнять команды.
Options: различные параметры sudoers (участники Sudo), которые могут изменить поведение Sudo.
Роли IPA-сервера
Данные IPA-сервера хранятся на LDAP-сервере в двух суффиксах:
* суффикс домена (domain), например, "dc=example,dc=com", содержит все связанные с доменом данные
* суффикс центра сертификации (ca), "o=ipaca", имеется только на серверах с установленным CA. Он содержит данные для компонента сервера сертификатов
IPA-серверы
IPA-серверы
Получение сведений об установленных IPA-серверах.
ПРИМЕРЫ:
Найти все серверы:
ipa server-find
Показать определённый сервер:
ipa server-show ipa.example.com
В IPA реализована поддержка использования токенов OTP для многофакторной аутентификации. Этот код позволяет управлять токенами OTP.
В IPA поддерживается использование внешнего прокси-сервера RADIUS для выполнения аутентификации с помощью одноразового пароля krb5. Эта поддержка обеспечивает значительную гибкость при интеграции со сторонними службами аутентификации.
В IPA предусмотрена поддержка использования сертификатов для аутентификации. Сертификаты могут храниться или в записи пользователя (весь сертификат в атрибуте usercertificate), или просто привязываться к записи пользователя путём сопоставления. С помощью этого кода можно управлять правилами, которые позволяют связывать сертификат с записью пользователя.
Применение набора команд для управления сертификатами SSL-серверов.
Чтобы запросить сертификат:
При работе с такими записями DNS может быть сложно не допустить ошибок и ввести корректное значение. Модуль DNS предоставляет в ваше распоряжение абстракцию над этими необработанными записями и позволяет управлять каждым из типов записей ресурсов с помощью определённых параметров. Для каждого из поддерживаемых типов записей ресурсов в модуле DNS предусмотрен стандартный параметр для работы с необработанными записями с помощью формата --<rrtype>-rec, например --mx-rec, и специальные параметры для каждой из частей структуры записи ресурса с помощью формата --<rrtype>-<partname>, например --mx-preference и --mx-exchanger.
Присоединение к домену IPA
Средства отчётности о состоянии функции пре-аутентификации (PKINIT) Kerberos.
Отчёт о том, включена или отключена пре-аутентификация (PKINIT) Kerberos на главных IPA-серверах
ПРИМЕРЫ:
Вывести список состояний PKINIT на всех главных серверах:
ipa pkinit-status
Проверить состояние PKINIT на "ipa.example.com":
ipa pkinit-status --server ipa.example.com
Вывести список всех главных IPA-серверов с отключённой PKINIT:
ipa pkinit-status --status='disabled'
Дополнительные сведения о поддержке PKINIT:
https://www.freeipa.org/page/V4/Kerberos_PKINIT
Параметры команды pkinit Kerberos
Включить или отключить использование "анонимного пользователя" для пре-аутентификации с помощью сертификатов (pkinit) путём использования учётной записи WELLKNOWN/ANONYMOUS@REALM. Сервер должен быть установлен с поддержкой pkinit.
ПРИМЕРЫ:
Включить использование "анонимного пользователя" для pkinit:
ipa pkinit-anonymous enable
Включить использование "анонимного пользователя" для pkinit:
ipa pkinit-anonymous disable
Более подробные сведения об использовании "анонимного пользователя" для pkinit:
http://k5wiki.kerberos.org/wiki/Projects/Anonymous_pkinit
Политика билетов Kerberos
В отношении билетов Kerberos предусмотрена единая политика. Она определяет максимальный срок жизни билета и максимальный срок обновления билета (период, в течение которого можно обновить билет).
Также можно создать политику билетов для пользователя, указав его логин.
Для применения изменений глобальной политики необходимо перезапустить службу KDC. Это можно сделать с помощью следующей команды:
service krb5kdc restart
Изменения политик для пользователей сразу же применяются в отношении новых запрашиваемых билетов (например, при следующем выполнении kinit пользователем).
ПРИМЕРЫ:
Показать текущую политику билетов Kerberos:
ipa krbtpolicy-show
Восстановить политику по умолчанию:
ipa krbtpolicy-reset
Изменить политику, задав максимальный срок жизни билета 8 часов и максимальный срок обновления билета 1 день:
ipa krbtpolicy-mod --maxlife=28800 --maxrenew=86400
Показать действующую политику билетов Kerberos для пользователя "admin":
ipa krbtpolicy-show admin
Восстановить политику по умолчанию для пользователя "admin":
ipa krbtpolicy-reset admin
Изменить политику для пользователя "admin":
ipa krbtpolicy-mod admin --maxlife=3600
Состояние блокировки учётной записи пользователя.
Учётная запись может быть заблокирована, если в течение определённого периода времени слишком большое количество раз был введён неверный пароль (соответствующие ограничения регулируются политикой паролей). Запись блокируется временно, она может быть разблокирована администратором.
Эта программа соединяется с каждым главным IPA-сервером и показывает состояние блокировки на каждом из них.
Чтобы определить, заблокирована ли учётная запись на указанном сервере, потребуется сравнить количество неудачных попыток входа и время последней неудачной попытки с эталонными значениями. Для блокировки учётной записи количество неудачных попыток входа должно превысить значение maxfail в течение временного интервала failinterval в соответствии с политикой паролей, связанной с пользователем.
Счётчик неудачных попыток изменяется только тогда, когда пользователь выполняет попытку войти, поэтому учётная запись может казаться заблокированной, но время, прошедшее с последней неудачной попытки входа, превышает время блокировки (lockouttime), установленное политикой паролей. Это означает, что пользователь может войти в систему снова.
Управление правилами CA ACL.
Этот подключаемый модуль используется для определения правил, которые управляют тем, какие службы сертификации и профили можно использовать для выдачи сертификатов конкретным учётным записям или группам учётных записей.
ОБЛАСТЬ ДЕЙСТВИЯ УЧЁТНОЙ ЗАПИСИ СУБЪЕКТА:
Чтобы разрешить запрос сертификата, учётная запись (записи), которая является субъектом запроса сертификата (это не обязательно должна быть та учётная запись, которая фактически запрашивает сертификат), должна быть включена в область действия ACL службы сертификации, которая также включает целевые службу сертификации и профиль.
Пользователей можно включить по имени, группе или категорией "все пользователи". Узлы можно включить по имени, группе узлов или категорией "все узлы". Службы можно включить по имени службы или категорией "все службы". ACL служб сертификации могут быть связаны с одним типом учётных записей или с несколькими типами.
ОБЛАСТЬ ДЕЙСТВИЯ СЛУЖБЫ СЕРТИФИКАЦИИ:
ACL службы сертификации может быть связана с одной или несколькими службами сертификации по имени или по категории "все CA". По соображениям совместимости ACL службы сертификации без привязки к службе сертификации считается связанной со службой сертификации "ipa" (и только с этой службой сертификации).
ОБЛАСТЬ ДЕЙСТВИЯ ПРОФИЛЯ:
ACL службы сертификации может быть связана с одним или несколькими профилями по идентификатору профиля. Идентификатор профиля — это строка без пробелов и знаков препинания, она начинается с буквы, за которой следуют другие буквы, цифры или символы подчёркивания ("_").
ПРИМЕРЫ:
Создать ACL службы сертификации "test", которая предоставляет всем пользователям доступ к профилю "UserCert":
ipa caacl-add test --usercat=all
ipa caacl-add-profile test --certprofiles UserCert
Показать свойства именованной ACL службы сертификации:
ipa caacl-show test
Создать ACL службы сертификации, чтобы разрешить пользователю "alice" использовать профиль "DNP3":
ipa caacl-add-profile alice_dnp3 --certprofiles DNP3
ipa caacl-add-user alice_dnp3 --user=alice
Отключить ACL службы сертификации:
ipa caacl-disable test
Удалить ACL службы сертификации:
ipa caacl-del test
Управление правилами CA ACL.
Этот подключаемый модуль используется для определения правил, которые управляют тем, для каких учётных записей разрешено выдавать сертификаты с помощью конкретного профиля сертификатов.
СИНТАКСИС ИДЕНТИФИКАТОРА ПРОФИЛЯ:
Идентификатор профиля — это строка без пробелов и знаков препинания, она начинается с буквы, за которой следуют другие буквы, цифры или символы подчёркивания ("_").
ПРИМЕРЫ:
Создать ACL службы сертификации "test", которая предоставляет всем пользователям доступ к профилю "UserCert":
ipa caacl-add test --usercat=all
ipa caacl-add-profile test --certprofiles UserCert
Показать свойства именованной ACL службы сертификации:
ipa caacl-show test
Создать ACL службы сертификации, чтобы разрешить пользователю "alice" использовать профиль "DNP3":
ipa caacl-add-profile alice_dnp3 --certprofiles DNP3
ipa caacl-add-user alice_dnp3 --user=alice
Отключить ACL службы сертификации:
ipa caacl-disable test
Удалить ACL службы сертификации:
ipa caacl-del test
Управление службами сертификации
Управление конфигурацией и правилами сопоставления сертификатов с записями пользователей.
Управление профилями сертификатов
Профили сертификатов используются центром сертификации (Certificate Authority, CA) во время подписи сертификатов, чтобы определить, является ли приемлемым запрос подписи сертификата (Certificate Signing Request, CSR), и, если это так, определить, какие возможности и расширения будут предоставлены сертификатом.
Формат профиля сертификатов — это формат в виде списка свойств, который распознаётся Dogtag или системой сертификации центра сертификации Red Hat.
СИНТАКСИС ИДЕНТИФИКАТОРА ПРОФИЛЯ:
Идентификатор профиля — это строка без пробелов и знаков препинания, она начинается с буквы, за которой следуют другие буквы, цифры или символы подчёркивания ("_").
ПРИМЕРЫ:
Импортировать профиль, в котором не будут храниться выданные сертификаты:
ipa certprofile-import ShortLivedUserCert --file UserCert.profile --desc "User Certificates" --store=false
Удалить профиль сертификатов:
ipa certprofile-del ShortLivedUserCert
Показать сведения о профиле:
ipa certprofile-show ShortLivedUserCert
Сохранить конфигурацию профиля в файл:
ipa certprofile-show caIPAserviceCert --out caIPAserviceCert.cfg
Поиск профилей, в которых не хранятся сертификаты:
ipa certprofile-find --store=false
ФОРМАТ КОНФИГУРАЦИИ ПРОФИЛЯ:
Формат конфигурации профиля — это формат в виде необработанного списка свойств, который используется системой сертификации Dogtag Certificate System. Поддержка формата XML не предусмотрена.
К профилям под управлением IPA применяются следующие ограничения:
- При импорте профиля значение поля "profileId", если это поле имеется, должно совпадать с идентификатором, указанным в командной строке.
- Значением поля "classId" должно быть "caEnrollImpl".
- Значением поля "auth.instance_id" должно быть "raCertAuth".
- Должны использоваться входной класс "certReqInputImpl" и выходной класс "certOutputImpl".
Управление профилями сертификатов
Профили сертификатов используются центром сертификации (Certificate Authority, CA) во время подписи сертификатов, чтобы определить, является ли приемлемым запрос подписи сертификата (Certificate Signing Request, CSR), и, если это так, определить, какие возможности и расширения будут предоставлены сертификатом.
Формат профиля сертификатов — это формат в виде списка свойств, который распознаётся Dogtag или системой сертификации центра сертификации Red Hat.
СИНТАКСИС ИДЕНТИФИКАТОРА ПРОФИЛЯ:
Идентификатор профиля — это строка без пробелов и знаков препинания, она начинается с буквы, за которой следуют другие буквы, цифры или символы подчёркивания ("_").
ПРИМЕРЫ:
Импортировать профиль, в котором не будут храниться выданные сертификаты:
ipa certprofile-import ShortLivedUserCert
--file UserCert.profile --desc "User Certificates"
--store=false
Удалить профиль сертификатов:
ipa certprofile-del ShortLivedUserCert
Показать сведения о профиле:
ipa certprofile-show ShortLivedUserCert
Сохранить конфигурацию профиля в файл:
ipa certprofile-show caIPAserviceCert --out caIPAserviceCert.cfg
Поиск профилей, в которых не хранятся сертификаты:
ipa certprofile-find --store=false
ФОРМАТ КОНФИГУРАЦИИ ПРОФИЛЯ:
Формат конфигурации профиля — это формат в виде необработанного списка свойств, который используется системой сертификации Dogtag Certificate System. Поддержка формата XML не предусмотрена.
К профилям под управлением IPA применяются следующие ограничения:
- При импорте профиля значение поля "profileId", если это поле имеется, должно совпадать с идентификатором, указанным в командной строке.
- Значением поля "classId" должно быть "caEnrollImpl".
- Значением поля "auth.instance_id" должно быть "raCertAuth".
- Должны использоваться входной класс "certReqInputImpl" и выходной класс "certOutputImpl".
Управление записями зон и ресурсов DNS.
Управление токенами OTP.
Управление прокси-серверами RADIUS.
Управление токенами YubiKey.
Управление хранилищами.
Управляемые разрешения
Управлять расположениями DNS
Управлять конфигурацией DNS-сервера
Переход на IPA
Перенос пользователей и групп с LDAP-сервера на IPA.
Посылает запрос LDAP к удалённому серверу с целью поиска пользователей и групп в контейнере. Чтобы перенести пароли, следует выполнить привязку к серверу от имени пользователя, который может читать атрибут userPassword на удалённом сервере. Перечень таких пользователей обычно ограничен администраторами высшего уровня, в частности cn=Directory Manager на 389-ds (пользователь bind по умолчанию).
Контейнер пользователей по умолчанию: ou=People.
Контейнер групп по умолчанию: ou=Groups.
Записи пользователей и групп, которые уже существуют на IPA-сервере, будут пропущены.
Две схемы LDAP определяют, как хранятся записи участников группы: RFC2307 и
RFC2307bis. RFC2307bis использует атрибуты member и uniquemember для определения участников группы, а RFC2307 использует атрибут memberUid. По умолчанию используется схема RFC2307bis.
С помощью приложения compat IPA можно повторно форматировать данные для систем, в которых не предусмотрена поддержка RFC2307bis. Рекомендуется отключать это приложение во время переноса, чтобы уменьшить нагрузку на систему. Его можно включить снова после переноса. Чтобы перенести данные с включённым приложением, используйте параметр "--with-compat".
У перенесённых пользователей нет учётных данных Kerberos, только пароль LDAP. Для завершения процесса переноса пользователям следует открыть страницу http://ipa.example.com/ipa/migration и пройти аутентификацию с помощью пароля LDAP, чтобы создать свои записи учётных данных Kerberos.
По умолчанию перенос отключён. Чтобы включить его, используйте команду ipa config-mod:
ipa config-mod --enable-migration=TRUE
Если базовое DN не будет предоставлено с помощью --basedn, IPA будет использовать значение defaultNamingContext, если оно установлено, или первое значение в наборе namingContexts в корневой папке удалённого LDAP-сервера.
Записи пользователей добавляются в группу пользователей по умолчанию. Процесс такого добавления может быть довольно длительным, поэтому при переносе он выполняется в пакетном режиме, пакетами по 100 пользователей. В результате возникнет определённый период, когда записи пользователей уже добавлены в IPA, но эти пользователи ещё не стали участниками группы пользователей по умолчанию.
ПРИМЕРЫ:
Простейший перенос, приняты все значения по умолчанию:
ipa migrate-ds ldap://ds.example.com:389
Определение контейнеров пользователей и групп. Можно использовать для переноса данных пользователей и групп с сервера IPA версии 1:
ipa migrate-ds --user-container='cn=users,cn=accounts' --group-container='cn=groups,cn=accounts' ldap://ds.example.com:389
Так как на сервере IPA версии 2 уже предусмотрены предопределённые группы, которые могут совпадать с перенесёнными с сервера (IPA версии 1) группами (например, admins, ipausers), пользователи из таких групп могут быть перенесены в неизвестную группу (unknown) на новом сервере IPA версии 2.
Используйте параметр --group-overwrite-gid, чтобы перезаписать идентификатор группы (GID) уже созданных групп и предотвратить эту проблему:
ipa migrate-ds --group-overwrite-gid --user-container='cn=users,cn=accounts' --group-container='cn=groups,cn=accounts' ldap://ds.example.com:389
Перенесённые данные пользователей и групп могут содержать классы объектов и сопутствующие атрибуты, неизвестные серверу IPA версии 2. Эти классы объектов и атрибуты можно исключить из процедуры переноса данных:
ipa migrate-ds --user-container='cn=users,cn=accounts' --group-container='cn=groups,cn=accounts' --user-ignore-objectclass=radiusprofile --user-ignore-attribute=radiusgroupname ldap://ds.example.com:389
ВЕДЕНИЕ ЖУРНАЛА
Во время переноса предупреждения и сообщения об ошибках будут добавляться в журнал ошибок Apache. После завершения переноса следует ознакомиться с соответствующим файлом, чтобы исправить или выяснить причины ошибок, которые могли произойти.
Для каждого пакета из 100 перенесённых записей пользователей будет показано информационное сообщение, предназначенное для оценки прогресса обработки и определения её продолжительности.
Если определён уровень ведения журнала debug путём установления debug = True в /etc/ipa/default.conf или в /etc/ipa/server.conf, для каждой перенесённой записи будет добавляться собственная запись, а также отчёт по каждому обновлению группы пользователей по умолчанию.
Переход на IPA
Перенос пользователей и групп с LDAP-сервера на IPA.
Посылает запрос LDAP к удалённому серверу с целью поиска пользователей и групп в контейнере. Чтобы перенести пароли, следует выполнить привязку к серверу от имени пользователя, который может читать атрибут userPassword на удалённом сервере. Перечень таких пользователей обычно ограничен администраторами высшего уровня, в частности cn=Directory Manager на 389-ds (пользователь bind по умолчанию).
Контейнер пользователей по умолчанию: ou=People.
Контейнер групп по умолчанию: ou=Groups.
Записи пользователей и групп, которые уже существуют на IPA-сервере, будут пропущены.
Две схемы LDAP определяют, как хранятся записи участников группы: RFC2307 и
RFC2307bis. RFC2307bis использует атрибуты member и uniquemember для определения участников группы, а RFC2307 использует атрибут memberUid. По умолчанию используется схема RFC2307bis.
С помощью приложения compat IPA можно повторно форматировать данные для систем, в которых не предусмотрена поддержка RFC2307bis. Рекомендуется отключать это приложение во время переноса, чтобы уменьшить нагрузку на систему. Его можно включить снова после переноса. Чтобы перенести данные с включённым приложением, используйте параметр "--with-compat".
У перенесённых пользователей нет учётных данных Kerberos, только пароль LDAP. Для завершения процесса переноса пользователям следует открыть страницу http://ipa.example.com/ipa/migration и пройти аутентификацию с помощью пароля LDAP, чтобы создать свои записи учётных данных Kerberos.
По умолчанию перенос отключён. Чтобы включить его, используйте команду ipa config-mod:
ipa config-mod --enable-migration=TRUE
Если базовое DN не будет предоставлено с помощью --basedn, IPA будет использовать значение defaultNamingContext, если оно установлено, или первое значение в наборе namingContexts в корневой папке удалённого LDAP-сервера.
Записи пользователей добавляются в группу пользователей по умолчанию. Процесс такого добавления может быть довольно длительным, поэтому при переносе он выполняется в пакетном режиме, пакетами по 100 пользователей. В результате возникнет определённый период, когда записи пользователей уже добавлены в IPA, но эти пользователи ещё не стали участниками группы пользователей по умолчанию.
ПРИМЕРЫ:
Простейший перенос, приняты все значения по умолчанию:
ipa migrate-ds ldap://ds.example.com:389
Определение контейнеров пользователей и групп. Можно использовать для переноса данных пользователей и групп с сервера IPA версии 1:
ipa migrate-ds --user-container='cn=users,cn=accounts'
--group-container='cn=groups,cn=accounts'
ldap://ds.example.com:389
Так как на сервере IPA версии 2 уже предусмотрены предопределённые группы, которые могут совпадать с перенесёнными с сервера (IPA версии 1) группами (например, admins, ipausers), пользователи из таких групп могут быть перенесены в неизвестную группу (unknown) на новом сервере IPA версии 2.
Используйте параметр --group-overwrite-gid, чтобы перезаписать идентификатор группы (GID) уже созданных групп и предотвратить эту проблему:
ipa migrate-ds --group-overwrite-gi
--user-container='cn=users,cn=accounts'
--group-container='cn=groups,cn=accounts'
ldap://ds.example.com:389
Перенесённые данные пользователей и групп могут содержать классы объектов и сопутствующие атрибуты, неизвестные серверу IPA версии 2. Эти классы объектов и атрибуты можно исключить из процедуры переноса данных:
ipa migrate-ds --user-container='cn=users,cn=accounts'
--group-container='cn=groups,cn=accounts'
--user-ignore-objectclass=radiusprofile
--user-ignore-attribute=radiusgroupname
ldap://ds.example.com:389
ВЕДЕНИЕ ЖУРНАЛА
Во время переноса предупреждения и сообщения об ошибках будут добавляться в журнал ошибок Apache. После завершения переноса следует ознакомиться с соответствующим файлом, чтобы исправить или выяснить причины ошибок, которые могли произойти.
Для каждого пакета из 100 перенесённых записей пользователей будет показано информационное сообщение, предназначенное для оценки прогресса обработки и определения её продолжительности.
Если определён уровень ведения журнала debug путём установления debug = True в /etc/ipa/default.conf или в /etc/ipa/server.conf, для каждой перенесённой записи будет добавляться собственная запись, а также отчёт по каждому обновлению группы пользователей по умолчанию.
Прочие подключаемые модули
Изменить диапазон идентификаторов.
=======
ПРЕДУПРЕЖДЕНИЕ:
Подключаемый модуль DNA в 389-ds выделяет идентификаторы на основе диапазонов, настроенных для локального домена. В текущей версии сам подключаемый модуль DNA *нельзя* перенастраивать на основе локальных диапазонов, установленных с помощью этого семейства команд.
Для нового локального диапазона следует вручную изменить настройки конфигурации подключаемого модуля DNA. В частности, следует изменить атрибут dnaNextRange "cn=Posix
IDs,cn=Distributed Numeric Assignment Plugin,cn=plugins,cn=config" таким образом, чтобы он соответствовал новому диапазону.
=======
Изменить отношение доверия (для будущего использования).
В текущей версии для изменения атрибутов LDAP доступен только параметр по умолчанию. В последующих версиях будут добавлены более специфичные параметры.
Сетевые группы
Сетевая группа — это группа, которая используется для проверки разрешений. Она может содержать как значения пользователей, так и значения узлов.
ПРИМЕРЫ:
Добавить новую сетевую группу:
ipa netgroup-add --desc="NFS admins" admins
Добавить участников в сетевую группу:
ipa netgroup-add-member --users=tuser1 --users=tuser2 admins
Удалить участника из сетевой группы:
ipa netgroup-remove-member --users=tuser2 admins
Показать сведения о сетевой группе:
ipa netgroup-show admins
Удалить сетевую группу:
ipa netgroup-del admins
Сетевые группы
Сетевая группа — это группа, которая используется для проверки разрешений. Она может содержать как значения пользователей, так и значения узлов.
ПРИМЕРЫ:
Добавить новую сетевую группу:
ipa netgroup-add --desc="NFS admins" admins
Добавить участников в сетевую группу:
ipa netgroup-add-member --users=tuser1,tuser2 admins
Удалить участника из сетевой группы:
ipa netgroup-remove-member --users=tuser2 admins
Показать сведения о сетевой группе:
ipa netgroup-show admins
Удалить сетевую группу:
ipa netgroup-del admins
Обратите внимание, что код причины 7 не используется. Подробные сведения в RFC 5280:
Обратите внимание на разницу между атрибутами и записями. Разрешения являются независимыми, поэтому возможность добавить пользователя не означает возможность изменять запись добавленного пользователя.
Токены OTP
Токены OTP
Управление токенами OTP.
В IPA реализована поддержка использования токенов OTP для многофакторной аутентификации. Этот код позволяет управлять токенами OTP.
ПРИМЕРЫ:
Добавить новый токен:
ipa otptoken-add --type=totp --owner=jdoe --desc="My soft token"
Проверить токен:
ipa otptoken-show a93db710-a31a-4639-8647-f15b2c70b78a
Изменить поставщика:
ipa otptoken-mod a93db710-a31a-4639-8647-f15b2c70b78a --vendor="Red Hat"
Удалить токен:
ipa otptoken-del a93db710-a31a-4639-8647-f15b2c70b78a
Конфигурация одноразового пароля (OTP)
Управление значениями по умолчанию, которые используются для токенов OTP в IPA.
ПРИМЕРЫ:
Показать базовую конфигурацию OTP:
ipa otpconfig-show
Показать все параметры конфигурации OTP:
ipa otpconfig-show --all
Изменить максимальную продолжительность окна TOTP-аутентификации на 10 минут:
ipa otpconfig-mod --totp-auth-window=600
Изменить максимальную продолжительность окна TOTP-синхронизации на 12 часов:
ipa otpconfig-mod --totp-sync-window=43200
Изменить максимальную продолжительность окна HOTP-аутентификации на 5:
ipa hotpconfig-mod --hotp-auth-window=5
Изменить максимальную продолжительность окна HOTP-синхронизации на 50:
ipa hotpconfig-mod --hotp-sync-window=50
Политика паролей
Политика паролей устанавливает ограничения для паролей IPA, включая максимальный срок действия, минимальный срок действия, количество паролей для сохранения в журнале, количество требуемых классов символов (для более надёжных паролей) и минимальную длину пароля.
По умолчанию имеется одна, глобальная политика для всех пользователей. Также можно создать политику паролей для применения к группе. К каждому пользователю применяется только одна политика паролей: групповая или глобальная. Групповая политика автономна, она не является супермножеством глобальной политики в сочетании с пользовательскими настройками.
Для каждой групповой политики паролей должно быть установлено уникальное значение приоритета. Если пользователь находится в нескольких группах, для которых имеются политики паролей, этот приоритет определит, какая политика паролей применяется. Чем меньше значение, тем выше приоритет политики.
Групповые политики паролей автоматически удаляются, когда удаляются группы, с которыми они связаны.
ПРИМЕРЫ:
Изменить глобальную политику:
ipa pwpolicy-mod --minlength=10
Добавить новую групповую политику паролей:
ipa pwpolicy-add --maxlife=90 --minlife=1 --history=10 --minclasses=3 --minlength=8 --priority=10 localadmins
Показать глобальную политику паролей:
ipa pwpolicy-show
Показать групповую политику паролей:
ipa pwpolicy-show localadmins
Показать политику, которая применяется к указанному пользователю:
ipa pwpolicy-show --user=tuser1
Изменить групповую политику паролей:
ipa pwpolicy-mod --minclasses=2 localadmins
Разрешения
Разрешения
С помощью разрешений можно очень точно делегировать права доступа. Разрешение представляет собой удобную для восприятия форму 389-ds ACI (правила управления доступом).
Разрешение даёт право выполнять определённую задачу, например, добавлять пользователей, изменять группы и так далее.
Разрешение не может содержать другие разрешения.
* Разрешение даёт доступ для чтения, записи, добавления или удаления.
* Привилегия объединяет схожие разрешения (например, все разрешения, которые требуются для добавления пользователя).
* Роль даёт набор привилегий пользователям, группам, узлам или группам узлов.
Разрешение состоит из нескольких разных частей:
1. Имя разрешения.
2. Цель разрешения.
3. Права, предоставленные разрешением.
Права определяют, какие действия разрешены. Варианты прав (права могут сочетать в себе несколько вариантов):
1. write - записать один или несколько атрибутов.
2. read - прочитать один или несколько атрибутов.
3. add - добавить в дерево новую запись.
4. delete - удалить существующую запись.
5. all - предоставляются все разрешения.
По умолчанию доступ для чтения разрешён для большинства атрибутов, поэтому потребность в использовании этого разрешения вряд ли будет возникать часто.
Обратите внимание на разницу между атрибутами и записями. Разрешения являются независимыми, поэтому возможность добавить пользователя не означает возможность изменять запись добавленного пользователя.
Существует ряд разрешённых целей:
1. type: тип объекта (пользователь, группа и так далее).
2. memberof: участник группы или группы узлов.
3. filter: фильтр LDAP.
4. subtree: фильтр LDAP, определяющий часть LDAP DIT. Это супермножество цели "type".
5. targetgroup: предоставление доступа для изменения определённой группы (например, предоставление прав доступа для управления участием в группе).
ПРИМЕРЫ:
Добавить разрешение на создание пользователей:
ipa permission-add --type=user --permissions=add "Add Users"
Добавить разрешение на управление участием в группе:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"
Разрешения
С помощью разрешений можно очень точно делегировать права доступа. Разрешение представляет собой удобную для восприятия форму 389-ds ACI (правила управления доступом).
Разрешение даёт право выполнять определённую задачу, например, добавлять пользователей, изменять группы и так далее.
Разрешение не может содержать другие разрешения.
* Разрешение даёт доступ для чтения, записи, добавления, удаления, чтения, поиска или сравнения.
* Привилегия объединяет схожие разрешения (например, все разрешения, которые требуются для добавления пользователя).
* Роль даёт набор привилегий пользователям, группам, узлам или группам узлов.
Разрешение состоит из нескольких разных частей:
1. Имя разрешения.
2. Цель разрешения.
3. Права, предоставленные разрешением.
Права определяют, какие действия разрешены. Варианты прав (права могут сочетать в себе несколько вариантов):
1. write - записать один или несколько атрибутов.
2. read - прочитать один или несколько атрибутов.
3. search - поиск по одному или нескольким атрибутам.
4. compare - сравнить один или несколько атрибутов.
5. add - добавить в дерево новую запись.
6. delete - удалить существующую запись.
7. all - предоставляются все разрешения.
Обратите внимание на разницу между атрибутами и записями. Разрешения являются независимыми, поэтому возможность добавить пользователя не означает возможность изменять запись добавленного пользователя.
Существует ряд разрешённых целей:
1. subtree: DN; разрешение применяется к поддереву под этим DN.
2. target filter: фильтр LDAP.
3. target: DN с возможными подстановочными знаками, определяет записи, к которым применяется разрешение.
Кроме того, имеются следующие удобные параметры. Установка одного из них установит соответствующий атрибут (атрибуты).
1. type: тип объекта (пользователь, группа и так далее); устанавливает поддерево и фильтр целей.
2. memberof: применить к участникам группы; устанавливает фильтр целей.
3. targetgroup: предоставить доступ для изменения определённой группы (например, предоставить права доступа для управления участием в группе); устанавливает цель.
Управляемые разрешения
Разрешения, которые по умолчанию поставляются с IPA, можно называть "управляемыми". Имеется заданный по умолчанию набор атрибутов, к которым они применяются, но администратор может добавлять в набор или удалять из него отдельные атрибуты.
Запрещено удалять или переименовывать управляемое разрешение, а также изменять его цель.
ПРИМЕРЫ:
Добавить разрешение на создание пользователей:
ipa permission-add --type=user --permissions=add "Add Users"
Добавить разрешение на управление участием в группе:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"
Разрешения, которые по умолчанию поставляются с IPA, можно называть "управляемыми". Имеется заданный по умолчанию набор атрибутов, к которым они применяются, но администратор может добавлять в набор или удалять из него отдельные атрибуты.
Проверить связь с удалённым IPA-сервером, чтобы убедиться, что он работает.
Команда ping отправляет эхо-запрос на IPA-сервер. Сервер возвращает сведения о своей версии. Эти данные используются клиентом IPA для подтверждения того, что сервер доступен и принимает запросы.
Сервер из xmlrpc_uri in /etc/ipa/default.conf проверяется первым.
Если он не отвечает, клиент пытается установить связь с любым сервером, указанным в записях SRV ldap в DNS.
ПРИМЕРЫ:
Проверить связь с IPA-сервером:
ipa ping
------------------------------------------
IPA server version 2.1.9. API version 2.20
------------------------------------------
Проверить связь с IPA-сервером и получить подробные данные:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server 'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
IPA server version 2.1.9. API version 2.20
-----------------------------------------------------
Проверить связь с удалённым IPA-сервером, чтобы убедиться, что он работает.
Команда ping отправляет эхо-запрос на IPA-сервер. Сервер возвращает сведения о своей версии. Эти данные используются клиентом IPA для подтверждения того, что сервер доступен и принимает запросы.
Сервер из xmlrpc_uri in /etc/ipa/default.conf проверяется первым.
Если он не отвечает, клиент пытается установить связь с любым сервером, указанным в записях SRV ldap в DNS.
ПРИМЕРЫ:
Проверить связь с IPA-сервером:
ipa ping
------------------------------------------
IPA server version 2.1.9. API version 2.20
------------------------------------------
Проверить связь с IPA-сервером и получить подробные данные:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server 'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
IPA server version 2.1.9. API version 2.20
-----------------------------------------------------
Подключаемый модуль для выполнения нескольких вызовов ipa с помощью одного удалённого вызова процедур
Чтобы запустить этот код на легком сервере (lite-server), выполните следующие команды:
curl -H "Content-Type:application/json" -H "Accept:application/json" -H "Accept-Language:en" --negotiate -u : --cacert /etc/ipa/ca.crt -d @batch_request.json -X POST http://localhost:8888/ipa/json
где содержимое файла batch_request.json соответствует следующему примеру
{"method":"batch","params":[[
{"method":"group_find","params":[[],{}]},
{"method":"user_find","params":[[],{"whoami":"true","all":"true"}]},
{"method":"user_show","params":[["admin"],{"all":true}]}
],{}],"id":1}
Формат ответа точно так же распределяется по уровням вложенности. На верхнем уровне:
"error": null,
"id": 1,
"result": {
"count": 3,
"results": [
а далее находится вложенный ответ для каждого метода команды IPA, отправленного в запросе
Подключаемый модуль для выполнения нескольких вызовов ipa с помощью одного удалённого вызова процедур
Чтобы запустить этот код на легком сервере (lite-server), выполните следующие команды:
curl -H "Content-Type:application/json" -H "Accept:application/json" -H "Accept-Language:en" --negotiate -u : --cacert /etc/ipa/ca.crt -d @batch_request.json -X POST http://localhost:8888/ipa/json
где содержимое файла batch_request.json соответствует следующему примеру
{"method":"batch","params":[[
{"method":"group_find","params":[[],{}]},
{"method":"user_find","params":[[],{"whoami":"true","all":"true"}]},
{"method":"user_show","params":[["admin"],{"all":true}]}
],{}],"id":1}
Формат ответа точно так же распределяется по уровням вложенности. На верхнем уровне:
"error": null,
"id": 1,
"result": {
"count": 3,
"results": [
а далее находится вложенный ответ для каждого метода команды IPA, отправленного в запросе
Интерфейс командной строки не позволяет получить прямой доступ к подключаемым модулям, команды используются для внутренней обработки
Привилегии
Привилегия объединяет разрешения в логическую задачу. Разрешение предоставляет права на выполнение отдельной задачи. Для успешного выполнения некоторых операций IPA требуется несколько разрешений. Привилегия — это объединение разрешений для выполнения определённой задачи.
Например, для добавления пользователя необходимы следующие разрешения:
* Создание новой записи пользователя
* Сброс пароля пользователя
* Добавление нового пользователя в группу пользователей IPA по умолчанию
Объединение этих трёх низкоуровневых задач в задачу более высокого уровня в виде привилегии с именем "Add User" облегчает управление ролями.
Привилегия не может содержать другие привилегии.
Дополнительные сведения доступны в разделах справки о ролях и разрешениях.
Предоставляет возможности самоанализа API.
Прокси-серверы RADIUS
Прокси-серверы RADIUS
Управление прокси-серверами RADIUS.
В IPA поддерживается использование внешнего прокси-сервера RADIUS для выполнения аутентификации с помощью одноразового пароля krb5. Эта поддержка обеспечивает значительную гибкость при интеграции со сторонними службами аутентификации.
ПРИМЕРЫ:
Добавить новый сервер:
ipa radiusproxy-add MyRADIUS --server=radius.example.com:1812
Найти все серверы, записи которых содержат строку "example.com":
ipa radiusproxy-find example.com
Проверить конфигурацию:
ipa radiusproxy-show MyRADIUS
Изменить секрет:
ipa radiusproxy-mod MyRADIUS --secret
Удалить конфигурацию:
ipa radiusproxy-del MyRADIUS
ПОВТОРНАЯ РЕГИСТРАЦИЯ
Если узел уже когда-то был зарегистрирован и затем утратил свою конфигурацию (например, была уничтожена виртуальная машина), его можно зарегистрировать повторно.
Дополнительные сведения доступны на страницах справочника по ipa-client-install.
В запись узла при необходимости можно включить данные о его расположении, типе используемой операционной системы и так далее.
Повысить уровень домена IPA.
Домены области
Управление списком доменов, связанных с областью (realm) IPA.
ПРИМЕРЫ:
Показать текущий список доменов области:
ipa realmdomains-show
Заменить список доменов области:
ipa realmdomains-mod --domain=example.com
ipa realmdomains-mod --domain={example1.com,example2.com,example3.com}
Добавить домен в список доменов области:
ipa realmdomains-mod --add-domain=newdomain.com
Удалить домен из списка доменов области:
ipa realmdomains-mod --del-domain=olddomain.com
Домены области
Управление списком доменов, связанных с областью (realm) IPA.
Этот список используется контроллерами доменов из других областей (realms), у которых установлено отношение доверия с этой областью (realm) IPA. Им необходимы сведения о том, какой запрос следует перенаправить в центр распространения ключей (KDC) этой области (realm) IPA.
При автоматическом управлении: домен автоматически добавляется в список доменов области (realm) при создании новой зоны DNS под управлением IPA. То же самое относится и к удалению.
При внешнем управлении DNS: домены, которые не управляются в DNS IPA-сервера, необходимо вручную добавить в список с помощью команды ipa realmdomains-mod.
ПРИМЕРЫ:
Показать текущий список доменов области:
ipa realmdomains-show
Заменить список доменов области:
ipa realmdomains-mod --domain=example.com
ipa realmdomains-mod --domain={example1.com,example2.com,example3.com}
Добавить домен в список доменов области:
ipa realmdomains-mod --add-domain=newdomain.com
Удалить домен из списка доменов области:
ipa realmdomains-mod --del-domain=olddomain.com
Удаление "%(hostname)s" приводит к отключению топологии в суффиксе "%(suffix)s":
%(errors)s
Топология репликация в суффиксе "%(suffix)s" отключена:
%(errors)s
Возврат сведений о текущем прошедшем аутентификацию профиле
Команда определения профиля возвращает сведения о том, как получить больше данных о профиле, прошедшем аутентификацию для этого запроса. Данные включают:
* тип объекта
* команду для получения сведений об объекте
* аргументы и параметры, которые следует передать команде
Сведения возвращаются в виде словаря. Ниже в качестве примера приведён вывод в формате "ключ: значение".
ПРИМЕРЫ:
Поиск от имени пользователя IPA:
kinit admin
ipa console
>> api.Command.whoami()
------------------------------------------
object: user
command: user_show/1
arguments: admin
------------------------------------------
Поиск от имени пользователя из доверенного домена:
kinit user@AD.DOMAIN
ipa console
>> api.Command.whoami()
------------------------------------------
object: idoverrideuser
command: idoverrideuser_show/1
arguments: ('default trust view', 'user@ad.domain')
------------------------------------------
Поиск от имени узла:
kinit -k
ipa console
>> api.Command.whoami()
------------------------------------------
object: host
command: host_show/1
arguments: ipa.example.com
------------------------------------------
Поиск от имени службы Kerberos:
kinit -k -t /path/to/keytab HTTP/ipa.example.com
ipa console
>> api.Command.whoami()
------------------------------------------
object: service
command: service_show/1
arguments: HTTP/ipa.example.com
Права определяют, какие действия разрешены. Варианты прав (права могут сочетать в себе несколько вариантов):
1. write - записать один или несколько атрибутов.
2. read - прочитать один или несколько атрибутов.
3. search - поиск по одному или нескольким атрибутам.
4. compare - сравнить один или несколько атрибутов.
5. add - добавить в дерево новую запись.
6. delete - удалить существующую запись.
7. all - предоставляются все разрешения.
Роли
Роль используется для точного делегирования прав доступа. Разрешение даёт право выполнять указанные низкоуровневые задачи (добавлять пользователей, изменять группы и так далее). Привилегия содержит одно или несколько разрешений, что даёт полномочия более высокого уровня, например, администратора пользователей (useradmin). Имея привилегию useradmin, можно добавлять, удалять и изменять записи пользователей.
Привилегии назначаются ролям.
Пользователи, группы, узлы и группы узлов могут быть участниками роли.
Роли не могут содержать другие роли.
ПРИМЕРЫ:
Добавить новую роль:
ipa role-add --desc="Junior-level admin" junioradmin
Добавить несколько привилегий к этой роли:
ipa role-add-privilege --privileges=addusers junioradmin
ipa role-add-privilege --privileges=change_password junioradmin
ipa role-add-privilege --privileges=add_user_to_default_group junioradmin
Добавить группу пользователей к этой роли:
ipa group-add --desc="User admins" useradmins
ipa role-add-member --groups=useradmins junioradmin
Показать сведения о роли:
ipa role-show junioradmin
Результатом выполнения этих команд станет то, что все пользователи из группы "junioradmin" смогут добавлять записи пользователей, сбрасывать пароли или добавлять пользователя в группу пользователей IPA по умолчанию.
ПОИСК:
Сопоставление пользователей SELinux
Сопоставить пользователей IPA с пользователями SELinux по узлу.
Узлы, группы узлов, пользователи и группы можно либо определить внутри правила, либо установить в правиле ссылку на существующее правило HBAC rule. При использовании параметра --hbacrule для selinuxusermap-find задаётся точное соответствие имени правила HBAC, поэтому будет возращена только одна запись или ноль записей.
ПРИМЕРЫ:
Создать правило, "test1", которое устанавливает всех пользователей в xguest_u:s0 на узле "server":
ipa selinuxusermap-add --usercat=all --selinuxuser=xguest_u:s0 test1
ipa selinuxusermap-add-host --hosts=server.example.com test1
Создать правило, "test2", которое устанавливает всех пользователей в guest_u:s0 и использует существующее правило HBAC для пользователей и узлов:
ipa selinuxusermap-add --usercat=all --hbacrule=webserver --selinuxuser=guest_u:s0 test2
Показать свойства правила:
ipa selinuxusermap-show test2
Создать правило для определённого пользователя. Оно устанавливает для пользователя "john" SELinux-контекст unconfined_u:s0-s0:c0.c1023 на любом компьютере:
ipa selinuxusermap-add --hostcat=all --selinuxuser=unconfined_u:s0-s0:c0.c1023 john_unconfined
ipa selinuxusermap-add-user --users=john john_unconfined
Отключить правило:
ipa selinuxusermap-disable test1
Включить правило:
ipa selinuxusermap-enable test1
Найти правило, ссылающееся на определённое правило HBAC:
ipa selinuxusermap-find --hbacrule=allow_some
Удалить правило:
ipa selinuxusermap-del john_unconfined
СМОТРИТЕ ТАКЖЕ:
С помощью команды config-show можно вывести список, который определяет порядок применения списка пользователей SELinux, а также показать пользователя SELinux по умолчанию.
ПОДДЕРЖИВАЕМЫЕ ТИПЫ ЗОН
* Главная зона (dnszone-*), содержит надёжные данные.
* Зона перенаправления (dnsforwardzone-*), перенаправляет запросы на настроенные перенаправители
(набор DNS-серверов).
Поиск записей ACI.
Возвращает список записей ACI.
ПРИМЕРЫ:
Чтобы найти все записи ACI, которые применяются непосредственно к участникам группы ipausers:
ipa aci-find --memberof=ipausers
Чтобы найти все записи ACI, которые предоставляют доступ для добавления (add):
ipa aci-find --permissions=add
Следует учитывать, что с помощью команды find выполняется только поиск указанного текста в наборе записей ACI; при поиске записи ACI не оцениваются по критерию применимости.
Например, при поиске по тексту memberof=ipausers будут найдены все записи ACI, в которых memberof содержат ipausers. Но могут иметься другие записи ACI, которые применяются к участникам этой группы опосредованно.
Разрешения самообслуживания
С помощью разрешений самообслуживания можно очень точно делегировать разрешения. Правила или инструкции управления доступом (ACI) предоставляют разрешениям разрешение на выполнение конкретных задач, таких как добавление пользователя, изменение группы и так далее.
Разрешение самообслуживания определяет, что объект может изменять в своей собственной записи.
ПРИМЕРЫ:
Добавить правило самообслуживания, чтобы разрешить пользователям управлять своим адресом (с использованием выражения Bash в фигурных скобках):
ipa selfservice-add --permissions=write --attrs={street,postalCode,l,c,st} "Users manage their own address"
В список атрибутов необходимо включить все атрибуты, в том числе уже существующие. Добавить telephoneNumber в список (с использованием выражения Bash в фигурных скобках):
ipa selfservice-mod --attrs={street,postalCode,l,c,st,telephoneNumber} "Users manage their own address"
Показать обновлённое правило:
ipa selfservice-show "Users manage their own address"
Удалить правило:
ipa selfservice-del "Users manage their own address"
Разрешения самообслуживания
С помощью разрешений самообслуживания можно очень точно делегировать разрешения. Правила или инструкции управления доступом (ACI) предоставляют разрешениям разрешение на выполнение конкретных задач, таких как добавление пользователя, изменение группы и так далее.
Разрешение самообслуживания определяет, что объект может изменять в своей собственной записи.
ПРИМЕРЫ:
Добавить правило самообслуживания, чтобы разрешить пользователям управлять своим адресом:
ipa selfservice-add --permissions=write --attrs=street,postalCode,l,c,st "Users manage their own address"
В список атрибутов необходимо включить все атрибуты, в том числе уже существующие. Добавить telephoneNumber в список:
ipa selfservice-mod --attrs=street,postalCode,l,c,st,telephoneNumber "Users manage their own address"
Показать обновлённое правило:
ipa selfservice-show "Users manage their own address"
Удалить правило:
ipa selfservice-del "Users manage their own address"
Конфигурация сервера
Управление значениями по умолчанию, которые используются IPA, и некоторыми параметрами их настройки.
ПРИМЕЧАНИЯ:
Здесь хранится значение уведомления о пароле (--pwdexpnotify), поэтому оно будет реплицировано. В текущей версии оно не используется для заблаговременного уведомления пользователей об окончании срока действия пароля.
Некоторые атрибуты предоставлены в ознакомительных целях и доступны только для чтения. Среди них:
Основа субъекта сертификата: настроенная основа субъекта сертификата, например O=EXAMPLE.COM. Настраивается только во время установки.
Возможности подключаемого модуля паролей: в текущей версии он определяет дополнительные хеши, которые создаются на основе пароля (могут быть и другие условия).
При установке приоритета сопоставления пользователей SELinux, возможно, потребуется взять значение в кавычки, чтобы оно не обрабатывалось оболочкой.
ПРИМЕРЫ:
Показать базовую конфигурацию сервера:
ipa config-show
Показать все параметры конфигурации:
ipa config-show --all
Изменить максимальную длину имени пользователя на 99 символов:
ipa config-mod --maxusername=99
Увеличить установленные по умолчанию ограничения времени и размера поиска IPA-сервера:
ipa config-mod --searchtimelimit=10 --searchrecordslimit=2000
Указать почтовый домен пользователей по умолчанию:
ipa config-mod --emaildomain=example.com
Включить режим миграции, чтобы сделать работоспособной команду "ipa migrate-ds":
ipa config-mod --enable-migration=TRUE
Определить порядок списка пользователей SELinux:
ipa config-mod --ipaselinuxusermaporder='guest_u:s0$xguest_u:s0$user_u:s0-s0:c0.c1023$staff_u:s0-s0:c0.c1023$unconfined_u:s0-s0:c0.c1023'
Конфигурация сервера
Управление значениями по умолчанию, которые используются IPA, и некоторыми параметрами их настройки.
ПРИМЕЧАНИЯ:
Здесь хранится значение уведомления о пароле (--pwdexpnotify), поэтому оно будет реплицировано. В текущей версии оно не используется для заблаговременного уведомления пользователей об окончании срока действия пароля.
Некоторые атрибуты предоставлены в ознакомительных целях и доступны только для чтения. Среди них:
Основа субъекта сертификата: настроенная основа субъекта сертификата, например O=EXAMPLE.COM. Настраивается только во время установки.
Возможности подключаемого модуля паролей: в текущей версии он определяет дополнительные хеши, которые создаются на основе пароля (могут быть и другие условия).
При установке приоритета сопоставления пользователей SELinux, возможно, потребуется взять значение в кавычки, чтобы оно не обрабатывалось оболочкой.
Максимальная длина имени узла в Linux управляется параметром ядра MAXHOSTNAMELEN и по умолчанию составляет 64 символа. В некоторых других операционных системах, например, в Solaris, разрешены имена узлов длиной вплоть до 255.
Этот параметр позволяет регулировать длину, но по умолчанию ограничен максимальной длиной для Linux.
ПРИМЕРЫ:
Показать базовую конфигурацию сервера:
ipa config-show
Показать все параметры конфигурации:
ipa config-show --all
Изменить максимальную длину имени пользователя на 99 символов:
ipa config-mod --maxusername=99
Изменить максимальную длину имени узла на 255 символов:¶
ipa config-mod --maxhostname=255¶
Увеличить установленные по умолчанию ограничения времени и размера поиска IPA-сервера:
ipa config-mod --searchtimelimit=10 --searchrecordslimit=2000
Указать почтовый домен пользователей по умолчанию:
ipa config-mod --emaildomain=example.com
Включить режим миграции, чтобы сделать работоспособной команду "ipa migrate-ds":
ipa config-mod --enable-migration=TRUE
Определить порядок списка пользователей SELinux:
ipa config-mod --ipaselinuxusermaporder='guest_u:s0$xguest_u:s0$user_u:s0-s0:c0.c1023$staff_u:s0-s0:c0.c1023$unconfined_u:s0-s0:c0.c1023'
Ограниченное делегирование служб
Управление правилами, с помощью которых можно ограничить делегирование учётных данных таким образом, что служба сможет выполнять олицетворение пользователя при обмене данными с другой службой без необходимости для пользователя самом деле перенаправлять билет для получения билета (TGT). Такой метод делегирования учётных данных значительно лучше, так как предотвращает раскрытие краткосрочного секрета пользователя.
В соответствии с соглашением об именовании к имени соответствующего правила добавляется слово "target" или "targets". Такая схема имён не является обязательной, но она помогает концептуально связать правила и их назначения.
Правило состоит из двух компонентов:
- Список целей (назначений), к которым применяется правило
- Список memberPrincipals, которым разрешено делегирование для этих целей
Цель состоит из списка учётных записей, которые можно делегировать.
Если проще, правило утверждает, что определённую учетную запись можно делегировать как указанный список учётных записей, согласно заданному списку целей.
ПРИМЕРЫ:
Добавить новое правило ограниченного делегирования:
ipa servicedelegationrule-add ftp-delegation
Добавить новую цель ограниченного делегирования:
ipa servicedelegationtarget-add ftp-delegation-target
Добавить учётную запись в правило:
ipa servicedelegationrule-add-member --principals=ftp/ipa.example.com ftp-delegation
Добавить цель в правило:
ipa servicedelegationrule-add-target --servicedelegationtargets=ftp-delegation-target ftp-delegation
Добавить учётную запись в цель:
ipa servicedelegationtarget-add-member --principals=ldap/ipa.example.com ftp-delegation-target
Показать сведения об именованном правиле делегирования и цели:
ipa servicedelegationrule_show ftp-delegation
ipa servicedelegationtarget_show ftp-delegation-target
Удалить ограниченное делегирование:
ipa servicedelegationrule-del ftp-delegation-target
ipa servicedelegationtarget-del ftp-delegation
В этом примере служба ftp может получать билет для получения билета для службы ldap от имени связанного пользователя.
Настоятельно не рекомендуется изменять делегирования, которые поставляются с IPA, ipa-http-delegation и его цели ipa-cifs-delegation-targets и Ipa-ldap-delegation-targets. Неправильная настройка может привести к потере возможности делегирования, что повлечет неработоспособность всей системы.
Службы
Служба IPA — это служба, которая выполняется на узле. В записи службы IPA могут храниться данные учётной записи Kerberos, SSL-сертификата или оба набора данных.
Службой IPA можно управлять непосредственно с компьютера, если системе этого компьютера предоставлены соответствующие права доступа. Это касается даже компьютеров, отличных от тех, с которыми связана эта служба. Например, запрос SSL-сертификата с помощью учётных данных учётной записи службы узла. Чтобы управлять службой с помощью учётных данных узла, следует запустить команду kinit от имени узла:
# kinit -kt /etc/krb5.keytab host/ipa.example.com@EXAMPLE.COM
Добавление службы IPA позволяет связанной службе запрашивать SSL-сертификаты и таблицы ключей, но создание самих запросов является отдельным шагом: соответствующие данные не создаются в результате простого добавления службы.
В записи службы хранятся только открытые данные сертификата; закрытый ключ не сохраняется.
ПРИМЕРЫ:
Добавить новую службу IPA:
ipa service-add HTTP/web.example.com
Разрешить узлу управлять сертификатом службы IPA:
ipa service-add-host --hosts=web.example.com HTTP/web.example.com
ipa role-add-member --hosts=web.example.com certadmin
Переопределить список по умолчанию, который содержит поддерживаемые типы PAC для службы:
ipa service-mod HTTP/web.example.com --pac-type=MS-PAC
Такое переопределение типа PAC необходимо, например, для работы NFS. В текущей версии соответствующий код в ядре Linux может работать только с билетами Kerberos, размер которых не превышает максимально заданного. Так как данные PAC могут быть довольно объёмными, для служб NFS рекомендуется установить --pac-type=NONE.
Удалить службу IPA:
ipa service-del HTTP/web.example.com
Найти все службы IPA, связанные с узлом:
ipa service-find web.example.com
Найти все службы HTTP:
ipa service-find HTTP
Отключить ключ Kerberos и SSL-сертификат службы:
ipa service-disable HTTP/web.example.com
Запросить сертификат для службы IPA:
ipa cert-request --principal=HTTP/web.example.com example.csr
Службы
Служба IPA — это служба, которая выполняется на узле. В записи службы IPA могут храниться данные учётной записи Kerberos, SSL-сертификата или оба набора данных.
Службой IPA можно управлять непосредственно с компьютера, если системе этого компьютера предоставлены соответствующие права доступа. Это касается даже компьютеров, отличных от тех, с которыми связана эта служба. Например, запрос SSL-сертификата с помощью учётных данных учётной записи службы узла. Чтобы управлять службой с помощью учётных данных узла, следует запустить команду kinit от имени узла:
# kinit -kt /etc/krb5.keytab host/ipa.example.com@EXAMPLE.COM
Добавление службы IPA позволяет связанной службе запрашивать SSL-сертификаты и таблицы ключей, но создание самих запросов является отдельным шагом: соответствующие данные не создаются в результате простого добавления службы.
В записи службы хранятся только открытые данные сертификата; закрытый ключ не сохраняется.
ПРИМЕРЫ:
Добавить новую службу IPA:
ipa service-add HTTP/web.example.com
Разрешить узлу управлять сертификатом службы IPA:
ipa service-add-host --hosts=web.example.com HTTP/web.example.com
ipa role-add-member --hosts=web.example.com certadmin
Переопределить список по умолчанию, который содержит поддерживаемые типы PAC для службы:
ipa service-mod HTTP/web.example.com --pac-type=MS-PAC
Такое переопределение типа PAC необходимо, например, для работы NFS. В текущей версии соответствующий код в ядре Linux может работать только с билетами Kerberos, размер которых не превышает максимально заданного. Так как данные PAC могут быть довольно объёмными, для служб NFS рекомендуется установить --pac-type=NONE.
Удалить службу IPA:
ipa service-del HTTP/web.example.com
Найти все службы IPA, связанные с узлом:
ipa service-find web.example.com
Найти все службы HTTP:
ipa service-find HTTP
Отключить ключ Kerberos и SSL-сертификат службы:
ipa service-disable HTTP/web.example.com
Запросить сертификат для службы IPA:
ipa cert-request --principal=HTTP/web.example.com example.csr
Разрешить пользователю создавать таблицу ключей:
ipa service-allow-create-keytab HTTP/web.example.com --users=tuser1
Создать и получить таблицу ключей для службы IPA:
ipa-getkeytab -s ipa.example.com -p HTTP/web.example.com -k /etc/httpd/httpd.keytab
Службы
Служба IPA — это служба, которая выполняется на узле. В записи службы IPA могут храниться данные учётной записи Kerberos, SSL-сертификата или оба набора данных.
Службой IPA можно управлять непосредственно с компьютера, если системе этого компьютера предоставлены соответствующие права доступа. Это касается даже компьютеров, отличных от тех, с которыми связана эта служба. Например, запрос SSL-сертификата с помощью учётных данных учётной записи службы узла. Чтобы управлять службой с помощью учётных данных узла, следует запустить команду kinit от имени узла:
# kinit -kt /etc/krb5.keytab host/ipa.example.com@EXAMPLE.COM
Добавление службы IPA позволяет связанной службе запрашивать SSL-сертификаты и таблицы ключей, но создание самих запросов является отдельным шагом: соответствующие данные не создаются в результате простого добавления службы.
В записи службы хранятся только открытые данные сертификата; закрытый ключ не сохраняется.
ПРИМЕРЫ:
Добавить новую службу IPA:
ipa service-add HTTP/web.example.com
Разрешить узлу управлять сертификатом службы IPA:
ipa service-add-host --hosts=web.example.com HTTP/web.example.com
ipa role-add-member --hosts=web.example.com certadmin
Переопределить список по умолчанию, который содержит поддерживаемые типы PAC для службы:
ipa service-mod HTTP/web.example.com --pac-type=MS-PAC
Удалить службу IPA:
ipa service-del HTTP/web.example.com
Найти все службы IPA, связанные с узлом:
ipa service-find web.example.com
Найти все службы HTTP:
ipa service-find HTTP
Отключить ключ Kerberos и SSL-сертификат службы:
ipa service-disable HTTP/web.example.com
Запросить сертификат для службы IPA:
ipa cert-request --principal=HTTP/web.example.com example.csr
Создать и получить таблицу ключей для службы IPA:
ipa-getkeytab -s ipa.example.com -p HTTP/web.example.com -k /etc/httpd/httpd.keytab
Сеансовая поддержка для IPA
Сеансовая поддержка для IPA
John Dennis <jdennis@redhat.com>
Задачи
=====
Обеспечить кэширование данных сеансов отдельных пользователей в течение времени между последовательными запросами. Желаемые возможности:
* Беспроблемная интеграция с минимальным влиянием на существующую инфраструктуру.
* Обеспечение максимальной безопасности с одновременным сохранением приемлемого быстродействия.
* Возможность отзыва (очистки данных) сеансов.
* Гибкость и простота в использовании для разработчиков.
* Максимальное использование существующих технологий и кода для предотвращения необходимости повторной разработки, сокращения времени внедрения и использования стабильных компонентов, которые широко используются сообществом свободного программного обеспечения.
* Поддержка работы с несколькими независимыми процессами, которые совместно используют данные сеанса.
* Система должна работать должным образом как с данными сеанса, так и без них.
* Высокая производительность.
* Отсутствие привязки к конкретным веб-серверам или браузерам. Обеспечение интеграции с выбранной моделью WSGI.
Проблемы
======
Cookie-файлы
-------
Большинство реализаций сеансов основано на использовании cookie-файлов. С этим связаны определённые проблемы.
* Пользователь может отключить использование cookie-файлов.
* Хранение cookie-файлов на стороне пользователя не является безопасным. Эту проблему можно исправить установкой флажков, обозначающих использование cookie-файлов только для HTTP-подключений с SSL-защитой, для определённых сетевых ресурсов, и ограничение срока действия cookie-файлов сроком работы сеанса. В большинстве современных браузеров эти настройки устанавливаются принудительно.
Где хранить данные сеанса?
----------------------------
Данные сеанса можно хранить на стороне клиента или на стороне сервера. Хранение данных сеанса на стороне клиента решает проблему доступности данных сеанса при обслуживании запросов независимыми веб-серверами, потому что данные сеанса отправляются вместе с запросом. Но имеются ограничения размера данных. Хранение данных сеанса на стороне клиента также ведёт к опасности несанкционированного доступа к конфиденциальным данным, но эту проблему можно решить путём шифрования данных сеанса таким образом, чтобы их мог расшифровать только сервер.
Более распространённый подход: привязать данные сеанса к уникальному имени, идентификатору сеанса. Идентификатор сеанса передаётся клиенту и данные сеанса сопоставляются идентификатору сеанса в банке ассоциативных данных на сервере. Сервер получает данные сеанса путём использования идентификатора сеанса при получении запроса. Таким образом исключается возможность несанкционированного доступа к конфиденциальным данным на стороне клиента и снимается вопрос ограничения размера данных. Но возникает проблема доступности данных сеанса при обслуживании запросов более чем одним серверным процессом.
Доступность данных сеанса для нескольких процессов
---------------------------------------
Apache (и другие веб-серверы) разветвляют дочерние процессы для параллельной обработки запросов. Кроме того, веб-серверы могут быть развёрнуты на ферме, где путём циклического перебора выполняется балансировка нагрузки между разными узлами. В обоих случаях данные сеанса нельзя хранить в памяти серверного процесса, потому что они не будут доступны другим процессам: либо таким же дочерним процессам главного серверного процесса, либо серверным процессам на определённых узлах.
Обычно эта проблема решается путём хранения данных сеанса в базе данных SQL. Когда серверный процесс получает запрос, содержащий идентификатор сеанса в своих данных cookie, этот идентификатор сеанса используется для создания запроса к базе данных SQL, а результат запроса приобщается к самому запросу в ходе его движения по конвейеру обработки запросов. Естественно, это влечёт проблемы обеспечения непротиворечивости данных.
В IPA нежелательно внедрение зависимости от базы данных SQL, этого рекомендуется избегать.
Данные сеанса можно предоставить в совместное использование независимых процессов, если хранить их в файлах.
В последнее время всё чаще используется альтернативное решение: использование сервера кэширования на основе быстрой памяти. Данные хранятся в памяти одного процесса, по ним можно отправлять запросы и их можно изменять с помощью простого протокола с использованием стандартных механизмов работы с сокетами. Примером является memcached. Обычно это решение используется для оптимизации обработки SQL-запросов путём хранения результатов SQL-запросов в общем кэше памяти, что позволяет избежать потребления значительного количества ресурсов при работе с базой данных SQL. Но кэш памяти имеет преимущества также и в средах без SQL.
Возможные реализации для использования в IPA
=======================================
Сеансы Apache
---------------
В Apache версии 2.3 реализована сеансовая поддержка с помощью следующих модулей:
mod_session
Общая сеансовая поддержка на основе cookie-файлов.
Подробнее: http://httpd.apache.org/docs/2.3/mod/mod_session.html
mod_session_cookie
Сохраняет данные сеанса на стороне клиента.
Подробнее: http://httpd.apache.org/docs/2.3/mod/mod_session_cookie.html
mod_session_crypto
Шифрует данные сеанса для обеспечения безопасности. Ключ шифрования является общим параметром конфигурации, виден всем процессам Apache и хранится в файле конфигурации.
Подробнее: http://httpd.apache.org/docs/2.3/mod/mod_session_crypto.html
mod_session_dbd
Сохраняет данные сеанса в базе данных SQL, что позволяет нескольким процессам осуществлять доступ к одним и тем же данным сеанса и совместно использовать их.
Подробнее: http://httpd.apache.org/docs/2.3/mod/mod_session_dbd.html
Проблемы, связанные с сеансами Apache
~~~~~~~~~~~~~~~~~~~~~~~~~~~
Хотя в Apache реализована общая сеансовая поддержка и предпочтительно использование именно веб-сервера Apache, он создаёт проблемы в работе с IPA.
* Сеансовая поддержка доступна только в httpd >= 2.3. На момент написания данного текста существует только бета-релиз из основной ветки разработки. Текущей версией в нашем дистрибутиве является httpd 2.2. То же касается и других дистрибутивов.
* Мы могли бы создать пакеты и поставлять модули для работы с сеансами как временные пакеты в средах с httpd 2.2, но это будет иметь такие последствия:
- Придётся выполнять обратное портирование кода, в httpd 2.3 немного изменился API по сравнению с httpd 2.2. Обратное портирование не так уж сложно выполнить, проверка концепции была реализована.
- Нам пришлось бы паковать и сопровождать специальный пакет Apache. Это работа по сопровождению кода и его упаковке для дистрибутивов. И того, и другого желательно было бы избежать.
* Концепция построения модулей для работы с сеансами Apache такова, что управлять этими модулями можно только из других модулей Apache. Возможности потребителей данных сеанса по управлению данными чрезмерно упрощены, ограничены и статичны во время обработки запроса. Обработчики запросов, не являющиеся собственными модулями Apache (например, IPA через WSGI), могут только изучать данные сеанса с помощью заголовков запросов и сбрасывать эти данные в заголовках ответов.
* Общий доступ к данным сеанса доступен только с помощью SQL.
Впрочем, использование модулей для работы с сеансами Apache 2.3 предоставило бы нам надёжную сеансовую поддержку, реализованную на языке C на основе стандартизированных и широко используемых интерфейсов Apache.
Платформы для разработки веб-приложений на языке Python
---------------------
Практически все платформы для разработки веб-приложений на Python поддерживают сеансы на основе cookie-файлов, например, Django, Twisted, Zope, Turbogears и так далее. На ранних этапах разработки IPA мы решили не использовать эти платформы. Попытка заимствовать только часть этих платформ, чтобы просто получить сеансовую поддержку, привела бы к проблемам, так как код не будет работать вне соответствующей платформы.
Сеансы, реализованные средствами IPA
------------------------
Сначала нам казалось, что проще всего будет воспользоваться готовой сеансовой поддержкой; скорее всего, той, которая реализована в Apache. Впрочем, оказалось, что в собственных пакетах Python и других стандартных пакетах имеется достаточное количество базовых модульных компонентов, которые позволяют выполнить указанные выше требования при сравнительно незначительных затратах на реализацию. Поскольку мы используем имеющиеся компоненты, сложности с реализацией должны быть нивелированы использованием компонентов, которые уже проверены и поддерживаются сообществом. Это довольно взвешенная стратегия.
Предлагаемое решение
=================
Наш интерфейс веб-сервера работает с помощью WSGI (стандарт взаимодействия между Python-программой и самим веб-сервером), который выполняет обратный вызов для каждого запроса и передаёт нам контекст среды для запроса. В дальнейшем мы будем называть обратной вызов WSGI "application()"; это правильное название в пределах синтаксиса WSGI.
Обработку общих данных сеансов будет осуществлять memcached. Мы будем создавать на каждом серверном узле один экземпляр memcached, предназначенный исключительно для IPA. Обмен данными с memcached будет осуществляться с помощью сокета UNIX, расположенного в файловой системе по адресу /var/run/ipa_memcached. Сокет будет защищён правами доступа файловой системы и, если нужно, правилом SELinux.
В application() мы изучаем cookie-файлы запроса и, если имеется cookie-файл сеанса IPA с идентификатором сеанса, получаем данные сеанса с нашего экземпляра memcached.
Данные сеанса будут являться словарём (dict) Python. Компоненты IPA будут читать или записывать свои сведения о сеансе путём использования предварительно согласованного имени (например, ключа) в dict. Это очень гибкая система, соответствующая тому, как мы передаём данные в большинстве частей IPA.
Если данные сеанса недоступны, будет создан пустой словарь данных сеанса.
Как эти данные сеанса перемещаются вместе с запросом по конвейеру IPA? В IPA мы используем HTTP-запрос/-ответ для реализации RPC. В
application() мы преобразуем запрос в вызов процедуры, передавая её аргументы, полученные из HTTP-запроса. Переданные параметры зависят от конкретного вызванного метода RPC. Контекст, в котором исполняется вызов RPC, не передаётся как параметр RPC.
Каким образом данные сеанса, представляющие собой контекстную информацию, привязываются к запросу и, следовательно, вызову RPC?
В IPA при подготовке вызова RPC из запроса мы признаём, что серийная обработка будет выполняться только одним потоком Python. Для каждого потока выделяется локальный по отношению к потоку словарь, который называется "context". Этот контекстный словарь очищается между запросами (например, вызовами метода RPC). Соответствующий потоку контекстный словарь заполняется данными во время срока работы запроса и используется в качестве глобальной структуры данных, уникальной для запроса и доступной компонентам IPA для чтения и записи при гарантии уникальности данных для текущего запроса и/или вызова метода.
Словарь данных сеанса записывается в контекстный словарь с сеансовым ключом до начала выполнения метода RPC. Поэтому любой компонент IPA может выполнить чтение и запись данных путём доступа к "context.session".
По завершении выполнения метода RPC данные сеанса, привязанные к запросу/методу, извлекаются из контекста и записываются обратно в экземпляр memcached. Идентификатор сеанса указывается в отправленном клиенту ответе, в заголовке "Set-Cookie", вместе с флажками, управляющими его использованием.
Проблемы и подробности
------------------
Код IPA не может зависеть от факта наличия данных сеанса, но он всегда должен обновлять данные сеанса из расчёта на их доступность в будущем. Данные сеанса могут быть недоступны по следующим причинам:
* Это первый запрос от пользователя, данные сеанса ещё не созданы.
* На стороне пользователя отключены cookie-файлы.
* Данные сеанса могли быть сброшены. memcached работает с фиксированным выделением памяти и очищает наиболее давно использовавшиеся записи; как и любой другой кэш, он не гарантирует сохраняемость.
Кроме того, мы можем намеренно сделать данные сеанса недействительными или удалить их (об этом далее).
Управление сookie-файлами выполняется с помощью стандартного модуля Cookie на Python.
Сookie-файлы сеанса будут существовать столько, сколько длится сеанс браузера. Они будут помечены таким образом, чтобы браузер возвращал идентификатор сессии только для HTTP-запросов с SSL-защитой. Они не будут видны для Javascript в браузере.
Идентификаторы сеанса будут создаваться с помощью 48-битных случайных данных и преобразовываться в 12 шестнадцатиричных цифр. Вновь создаваемые идентификаторы сеанса будут проверяться на предыдущее существование, чтобы избежать маловероятного случая повтора случайного числа.
memcached будет работать значительно быстрее, чем основанное на хранении данных в SQL или файлах решение. Коммуникация эффективно выполняется через канал (сокет UNIX) с помощью очень простого протокола, а данные полностью содержатся в памяти процесса. Также memcached легко масштабировать; просто добавить дополнительные процессы memcached и распределить нагрузку между ними. На данный момент мы не видим необходимости в использовании этой возможности.
У модуля memcached на Python есть удобная особенность: когда элемент данных записывается в кэш, это выполняется с помощью стандартной сериализации Python (сериализация представляет собой стандартный механизм Python для упаковки и распаковки объектов Python). В целях обеспечения соответствия применяемым нами подходам к обработке данных: записанный в кэш объект будет являться словарём. Код сериализации будет рекурсивно обрабатывать вложенные объекты в словаре. Использование стандартных структур данных Python обеспечивает гибкость при хранении и получении наших данных сеанса без необходимости написания и отладки кода для упаковки и распаковки данных (что понадобилось бы при использовании другого механизма хранения). Это большой плюс реализации. Конечно, следует разумно подходить к выбору того, что следует записывать в кэш сеанса, учитывая, что процессы осуществляют общий доступ к данным и что их размер не должен быть слишком велик (настраиваемый параметр).
Мы можем установить срок действия записей memcached. Это можно сделать в целях принудительного периодического обновления данных сеанса. Например, мы нам может быть нужно, чтобы клиент периодически предоставлял свежие учётные данные, даже если хранящиеся в кэше учётные данные ещё действительны.
Мы можем явно удалить данные сеанса, если по какой-либо причины считаем их устаревшими, недействительными или скомпрометированными.
Процесс memcached также предоставляет нам определённые возможности по предотвращению состояния гонки между разными процессами, использующими кэш. Например, можно проверить, была ли запись изменена с момента последнего прочтения, или использовать семантику CAS
(Check And Set (проверить и установить)). Что именно следует защитить в целях обеспечения согласованности кэша, вероятно, придётся определять по мере использования сеансовой поддержки и добавления разных элементов данных в кэш. Это сильно зависит от данных и контекста. К счастью, операции memcached являются атомарными.
Управление процессом memcached
---------------------------------
Нам нужен механизм запуска процесса memcached и обеспечения его безопасности (чтобы доступ к процессу был только у компонентов IPA).
Хотя memcached поставляется с файлами блоков initscript и systemd, они предназначены для экземпляров универсального типа. А нам нужен экземпляр memcached, предназначенный исключительно для использования с IPA. Чтобы достичь этой цели, нам следовало бы установить файл блока systemd или SysV initscript для управления предназначенной для IPA службой memcached. Команду ipactl было бы необходимо расширить, включив сведения об этой дополнительной службе. Возможности cgroup блока systemd предоставили бы нам дополнительные механизмы для интеграции службы memcached IPA в большую группу процессов IPA.
Защита данных memcached выполнялась бы с помощью разрешений файлов (и, если нужно, политики SELinux) на сокете домена Unix. Хотя последние реализации memcached поддерживают аутентификацию с помощью SASL, это делает работу менее производительной и более сложной, что неоправдано, когда кэш предназначается для использования только нами и доступ к нему управляется механизмами ОС.
Обычно защита управляющих программ выполняется путём назначения им системного идентификатора uid и/или идентификатора группы gid. Управляющая программа, запущенная с правами суперпользователя ("root") утратит свои привилегии, приняв назначенный ей эффективный uid:gid. ОС управляет доступом к файловой системе с помощью эффективного идентификатора, на основе которого также можно создать политику SELinux. Таким образом, memcached на сокете UNIX был бы защищён наличием владельца (определённого системного пользователя) и/или участием в ограниченной системной группе (если на время забыть о SELinux).
К сожалению, сейчас у нас нет идентификатора uid для IPA, с которым бы работали наши процессы, а также нет системной группы IPA. IPA не управляет набором связанных процессов (управляющие программы), исторически сложилось, что каждому из них назначается свой собственный uid. Когда эти несвязанные процессы общаются, они взаимно аутентифицируются через другие механизмы. Мы редко использовали объекты файловой системы с общим доступом через идентификаторы. Когда файловые объекты создаются, им обычно назначается идентификатор управляющей программы, которой требуется доступ к объекту, и другие управляющие программы не осуществляют к ним доступ, или они имеют идентификатор "root".
Когда наше приложение WSGI выполняется в Apache, оно выполняется как управляющая программа WSGI. Это означает, что при запуске Apache она отделяет процессы WSGI и позволяет нам не зависеть от других процессов Apache. Когда WSGI выполняется в этом режиме, можно установить uid:gid ведущего процесса WSGI, но на данный момент мы не используем эту возможность. WSGI также может выполняться в других режимах, но только в режиме управляющей программы можно установить uid:gid независимо от остального Apache. Всем процессам, которые запускает Apache, можно установить общий uid:gid, указанный в глобальной конфигурации Apache, по умолчанию это: apache:apache. Теперь наш код IPA выполняется как apache:apache.
Чтобы обеспечить защиту memcached на сокете UNIX, мы можем выбрать один из следующих двух вариантов:
1. Назначить для него uid:gid apache:apache. Это ограничит доступ к кэшу только процессами, выполняющимися под httpd. Это обеспечит некоторую защиту, но является далеко не идеальным решением. Любой выполняемый на веб-сервере код потенциально может получить доступ к нашему кэшу. Сложно управлять тем, что выполняется на веб-сервере, и администраторы могут не понимать последствий настройки httpd для обслуживания других вещей кроме IPA.
2. Создать uid:gid специально для IPA, например: ipa:ipa. Затем настроить наше приложение WSGI application для выполнения в качестве ipa:ipa пользователя и группы. Мы также настроим наш экземпляр memcached для выполнения в качестве ipa:ipa пользователя и группы. При такой конфигурации мы полностью защищены, чтение и запись в memcached на сокете UNIX может выполнять только наш код WSGI.
Но при конвертации нашего кода для выполнения отличным от apache:apache образом могут возникнуть непредвиденные проблемы. Необходимы исследования и тестирование.
IPA зависит от других системных управляющих программ, в частности, от сервера каталогов (Directory Server (ds)) и сервера сертификатов (Certificate Server (cs)). На данный момент мы настраиваем ds для выполнения под dirsrv:dirsrv пользователя и группы, это созданный нами идентификатор. Мы разрешаем cs использовать установленный по умолчанию идентификатор pkiuser:pkiuser пользователя и группы. Должны ли другие работающие совместно управляющие службы также выполняться под общими идентификаторами ipa:ipa пользователя и группы? На первый взгляд объединение всех идентификаторов процессов под общим идентификатором пользователя и группы IPA кажется удачным решением. Но эти другие процессы не зависят от разрешений пользователя и группы при работе с внешними агентами, процессами и так далее. Они, скорее, предназначены для того, чтобы использоваться в качестве отдельных сетевых служб, которые выполняют аутентификацию своих клиентов с помощью других механизмов. Они зависят от разрешений пользователя и группы при управлении своими собственными объектами файловой системы. Если пользователь и / или группа ipa были скомпрометированы или под идентификатором ipa был выполнен вредоносный код, то преимущество заключается в "отгораживании" работающих совместно процессов под их собственными идентификаторами; это обеспечивает дополнительную защиту. (Обратите внимание, что эти работающие совместно управляющие программы могут даже не находиться на одном и том же узле; в таком случае проблема становится неактуальной.)
Поведение сокета UNIX (ldapi) по отношению к серверу каталогов:
* Владелец сокета: root:root
* Разрешения сокета: 0666
* При подключении с помощью ldapi необходимо аутентифицироваться так же, как и при использовании сокета TCP, исключая следующие случаи:
* Если включена функция autobind, доступна установка uid:gid с помощью
SO_PEERCRED и uid:gid можно найти в наборе пользователей, известных серверу каталогов, то это подключение будет привязано как такой пользователь.
* В ином случае будет выполнена анонимная привязка.
Поведение memcached на сокете UNIX:
* memcached можно вызвать аргументом пользователя, группа может быть не указана. Эффективный uid — это uid аргумента пользователя, а эффективный gid — это основная группа пользователя, назовём это так: euid:egid
* Владелец сокета: euid:egid
* Разрешения сокета по умолчанию: 0700, но это можно изменить аргументом командной строки -a mask (устанавливает umask (по умолчанию 0700)).
Обзор аутентификации в IPA
=================================
Здесь приведено описание текущей реализации аутентификации и того, как мы планируем повысить производительность аутентификации. Начнём с определений.
Имеется 4 основных участника:
1. клиент
2. mod_auth_kerb (в процессе Apache)
3. wsgi handler (в процессе wsgi python IPA)
4. ds (сервер каталогов)
Имеется несколько ресурсов:
1. /ipa/ui (незащищённое, статические ресурсы веб-интерфейса)
2. /ipa/xml (защищённое, xmlrpc RPC используется клиентами командной строки)
3. /ipa/json (защищённое, json RPC используется javascript в веб-интерфейсе)
4. ds (защищённое, wsgi действует в качестве прокси, наш LDAP-сервер)
Текущая модель
-------------
Здесь приведено описание работы нашей существующей системы с веб-интерфейсом.
1. Клиент запрашивает /ipa/ui, это незащищённое, статическое соединение, которое не содержит конфиденциальную информацию. Apache отвечает с помощью html и
javascript. javascript запрашивает /ipa/json.
2. Клиент отправляет запрос типа post на /ipa/json.
3. mod_auth_kerb настроен для защиты /ipa/json, отвечает 401
authenticate negotiate.
4. Клиент выполняет повторную отправку вместе с учётными данными
5. mod_auth_kerb проверяет учётные данные
a. если они недействительны, отвечает 403 access denied (остановка)
b. если они действительны, создаёт временный кэш учётных данных, добавляет KRB5CCNAME в заголовки запроса
6. Запрос передаётся обработчику wsgi
a. проверяет запрос: должны иметься KRB5CCNAME, источник ссылки и так далее
b. кэш учётных данных сохраняется и используется для привязки к серверу каталогов
c. направляет в указанный обработчик RPC
7. Обработчик wsgi отвечает клиенту
Предлагаемая оптимизация на основе сеансов
---------------------------------------
Круговое согласование и проверка учётных данных на этапах 3, 4, 5 требовательны к ресурсам. Эту проблему можно решить, если кэшировать учётные данные клиента. При работе с сеансами клиента можно хранить учётные данные клиента в сеансе, связанном с клиентом.
Несколько замечаний о реализации сеансов.
* они основаны на cookie-файлах сеанса, поэтому использование сookie-файлов должно быть включено.
* cookie-файл сеанса является защищённым, передаётся по безопасным соединениям и только нашему ресурсу URL-адреса, никогда не виден для javascript клиента и так далее.
* у cookie-файла сеанса есть идентификатор сеанса, который обработчик wsgi использует для получения данных сеанса клиента из общего многозадачного кэша.
Изменения защиты ресурсов Apache
---------------------------------------
* Ресурс /ipa/json больше не защищён mod_auth_kerb. Это необходимо, чтобы избежать расхода ресурсов на согласование на приведённых выше этапах 3, 4, 5. Вместо этого ресурс /ipa/json будет защищён в нашем обработчике wsgi с помощью cookie-файла сеанса.
* Появляется новый защищенный универсальный код ресурса (URI), /ipa/login. Этот ресурс не обслуживает данные и используется исключительно для аутентификации.
Новая последовательность:
1. Клиент запрашивает /ipa/ui, это незащищённое соединение. Apache отвечает с помощью
html и javascript. javascript запрашивает /ipa/json.
2. Клиент отправляет запрос типа post на /ipa/json, это незащищённое соединение.
3. Обработчик wsgi получает данные сеанса из cookie-файла сеанса.
a. если кэш учётных данных присутствует в данных сеанса и действителен
- выполняется дальнейшая проверка запроса
- устанавливается кэш учётных данных для привязки к серверу каталогов
- запрос направляется на обработчик RPC
- обработчик wsgi в итоге отвечает клиенту
b. если кэш учётных данных не присутствует или недействителен, обработка продолжается...
4. обработчик wsgi отвечает 401 Unauthorized
5. клиент отправляет запрос на /ipa/login для получения учётных данных сеанса
6. mod_auth_kerb отвечает 401 negotiate на /ipa/login
7. клиент отправляет учётные данные на /ipa/login
8. mod_auth_kerb проверяет учётные данные
a. если они действительны
- mod_auth_kerb разрешает доступ на /ipa/login. Вызывается обработчик wsgi, который выполняет следующее:
* устанавливает сеанс для клиента
* получает кэш учётных данных из KRB5CCNAME и хранит его
b. если они недействительны
- mod_auth_kerb отправляет 403 access denied (обработка останавливается)
9. клиент снова отправляет те же самые данные на /ipa/json, включая cookie-файл сеанса. Обработка повторно запускается с этапа 2, и, так как данные сеанса теперь содержат действительный кэш учётных данных, выполняется этап 3a, клиенту отправляется сообщение об успешном выполнении.
Клиент командной строки, использующий xmlrpc
--------------------------------
Выше приведено описание веб-интерфейса, использующего механизм json RPC. Средства командной строки IPA используют механизм xmlrpc RPC на том же самом HTTP-сервере. Доступ к xmlrpc осуществляется через URI /ipa/xml. У json и xmlrpc одинаковые API, они отличаются только тем, как упаковываются и распаковываются их вызовы процедур.
При новой схеме /ipa/xml всегда остаётся защищённым Kerberos. mod_auth_kerb Apache продолжит запрашивать у клиента действительные учётные данные Kerberos.
Когда обработчик WSGI направляет запрос на /ipa/xml, из переменной среды KRB5CCNAME, предоставленной модулем mod_auth_kerb, извлекаются учётные данные Kerberos. Всё остальное не меняется.
Установка пароля пользователя
Если пароль пользователя изменяет кто-то кроме самого пользователя (например, его сбрасывает служба технической поддержки), пароль потребуется изменить при первом использовании. Это делается для того, чтобы пароль знал только конечный пользователь.
Политика паролей IPA управляет частотой смены пароля, требованиями к надёжности пароля и размером журнала паролей.
ПРИМЕРЫ:
Чтобы сбросить свой собственный пароль:
ipa passwd
Чтобы изменить пароль другого пользователя:
ipa passwd tuser1
Имитация использования управления доступом на основе узла
Правила HBAC управляют тем, кто, на каких узлах и из каких узлов сможет получать доступ к определённым службам. Вы можете воспользоваться HBAC для определения тех пользователей и групп, которые будут иметь доступ к определённой службе или группе служб на целевом узле.
Так как применение правил HBAC подразумевает использование рабочей среды, этот подключаемый модуль предназначен для обеспечения имитации оценки правил HBAC при отсутствии доступа к рабочей среде.
Проверка тестового пользователя, который обращается к службе на именованном узле, на соответствие существующим включённым правилам.
ipa hbactest --user= --host= --service=
[--rules=rules-list] [--nodetail] [--enabled] [--disabled]
[--srchost= ] [--sizelimit= ]
Параметры --user, --host и --service являются обязательными, остальные можно не указывать.
Если указан параметр --rules, имитировать включение указанных правил и проверить возможность входа пользователя в случае использования только этих правил.
Если указан параметр --enabled, добавить все включённые правила HBAC к имитации.
Если указан параметр --disabled, добавить все отключённые правила HBAC к имитации.
Если указан параметр --nodetail, не возвращать данные о соответствующих или не соответствующих правилах.
Если одновременно указаны параметры --rules и --enabled, выполнить имитацию --rules _и_
всех включённых правил IPA.
Если не указан параметр --rules, выполнить имитацию всех включённых правил IPA.
По умолчанию в IPA имеется общее ограничение количества извлекаемых записей, его можно изменить с помощью параметра --sizelimit.
Если указан параметр --srchost, он будет проигнорирован. Он сохранён только для обеспечения совместимости.
ПРИМЕРЫ:
1. Использовать все включённые правила HBAC в базе данных IPA:
$ ipa hbactest --user=a1a --host=bar --service=sshd
--------------------
Доступ предоставлен: Да
--------------------
не соответствует: my-second-rule
не соответствует: my-third-rule
не соответствует: myrule
соответствует: allow_all
2. Отключить подробный отчёт о применении правил:
$ ipa hbactest --user=a1a --host=bar --service=sshd --nodetail
--------------------
Доступ предоставлен: Да
--------------------
3. Проверить явно указанные правила HBAC:
$ ipa hbactest --user=a1a --host=bar --service=sshd --rules=my-second-rule,myrule
---------------------
Доступ предоставлен: Нет
---------------------
не соответствует: my-second-rule
не соответствует: myrule
4. Использовать все включённые правила HBAC в базе данных IPA + явно указанные правила:
$ ipa hbactest --user=a1a --host=bar --service=sshd --rules=my-second-rule,myrule --enabled
--------------------
Доступ предоставлен: Да
--------------------
не соответствует: my-second-rule
не соответствует: my-third-rule
не соответствует: myrule
соответствует: allow_all
5. Проверить все отключённые правила HBAC в базе данных IPA:
$ ipa hbactest --user=a1a --host=bar --service=sshd --disabled
---------------------
Доступ предоставлен: Нет
---------------------
не соответствует: new-rule
6. Проверить все отключённые правила HBAC в базе данных IPA + явно указанные правила:
$ ipa hbactest --user=a1a --host=bar --service=sshd --rules=my-second-rule,myrule --disabled
---------------------
Доступ предоставлен: Нет
---------------------
не соответствует: my-second-rule
не соответствует: my-third-rule
не соответствует: myrule
7. Проверить все (включённые и отключённые) правила HBAC в базе данных IPA:
$ ipa hbactest --user=a1a --host=bar --service=sshd --enabled --disabled
--------------------
Доступ предоставлен: Да
--------------------
не соответствует: my-second-rule
не соответствует: my-third-rule
не соответствует: myrule
не соответствует: new-rule
соответствует: allow_all
Имитация использования управления доступом на основе узла
Правила HBAC управляют тем, кто и на каких узлах сможет получать доступ к определённым службам. Вы можете воспользоваться HBAC для определения тех пользователей и групп, которые будут иметь доступ к определённой службе или группе служб на целевом узле.
Так как применение правил HBAC подразумевает использование рабочей среды, этот подключаемый модуль предназначен для обеспечения имитации оценки правил HBAC при отсутствии доступа к рабочей среде.
Проверка тестового пользователя, который обращается к службе на именованном узле, на соответствие существующим включённым правилам.
ipa hbactest --user= --host= --service=
[--rules=rules-list] [--nodetail] [--enabled] [--disabled]
[--sizelimit= ]
Параметры --user, --host и --service являются обязательными, остальные можно не указывать.
Если указан параметр --rules, имитировать включение указанных правил и проверить возможность входа пользователя в случае использования только этих правил.
Если указан параметр --enabled, добавить все включённые правила HBAC к имитации.
Если указан параметр --disabled, добавить все отключённые правила HBAC к имитации.
Если указан параметр --nodetail, не возвращать данные о соответствующих или не соответствующих правилах.
Если одновременно указаны параметры --rules и --enabled, выполнить имитацию --rules _и_
всех включённых правил IPA.
Если не указан параметр --rules, выполнить имитацию всех включённых правил IPA.
По умолчанию в IPA имеется общее ограничение количества извлекаемых записей, его можно изменить с помощью параметра --sizelimit.
ПРИМЕРЫ:
1. Использовать все включённые правила HBAC в базе данных IPA:
$ ipa hbactest --user=a1a --host=bar --service=sshd
--------------------
Доступ предоставлен: Да
--------------------
Несоответствующие правила: my-second-rule
Несоответствующие правила: my-third-rule
Несоответствующие правила: myrule
Соответствующие правила: allow_all
2. Отключить подробный отчёт о применении правил:
$ ipa hbactest --user=a1a --host=bar --service=sshd --nodetail
--------------------
Доступ предоставлен: Да
--------------------
3. Проверить явно указанные правила HBAC:
$ ipa hbactest --user=a1a --host=bar --service=sshd
--rules=myrule --rules=my-second-rule
---------------------
Доступ предоставлен: Нет
---------------------
Несоответствующие правила: my-second-rule
Несоответствующие правила: myrule
4. Использовать все включённые правила HBAC в базе данных IPA + явно указанные правила:
$ ipa hbactest --user=a1a --host=bar --service=sshd
--rules=myrule --rules=my-second-rule --enabled
--------------------
Доступ предоставлен: Да
--------------------
Несоответствующие правила: my-second-rule
Несоответствующие правила: my-third-rule
Несоответствующие правила: myrule
Соответствующие правила: allow_all
5. Проверить все отключённые правила HBAC в базе данных IPA:
$ ipa hbactest --user=a1a --host=bar --service=sshd --disabled
---------------------
Доступ предоставлен: Нет
---------------------
Несоответствующие правила: new-rule
6. Проверить все отключённые правила HBAC в базе данных IPA + явно указанные правила:
$ ipa hbactest --user=a1a --host=bar --service=sshd
--rules=myrule --rules=my-second-rule --disabled
---------------------
Доступ предоставлен: Нет
---------------------
Несоответствующие правила: my-second-rule
Несоответствующие правила: my-third-rule
Несоответствующие правила: myrule
7. Проверить все (включённые и отключённые) правила HBAC в базе данных IPA:
$ ipa hbactest --user=a1a --host=bar --service=sshd
--enabled --disabled
--------------------
Доступ предоставлен: Да
--------------------
Несоответствующие правила: my-second-rule
Несоответствующие правила: my-third-rule
Несоответствующие правила: myrule
Несоответствующие правила: new-rule
Соответствующие правила: allow_all
HBACTEST И ДОВЕРЕННЫЕ ДОМЕНЫ
Если в IPA настроен внешний доверенный домен, правила HBAC также применяются к пользователям, которые выполняют доступ к ресурсам IPA из доверенного домена. Пользователи и группы доверенного домена (и их SID) затем могут быть привязаны к внешним группам, которые могут быть участниками POSIX-групп в IPA. Такие привязки можно использовать в правилах HBAC, тем самым разрешая доступ к ресурсам, которые защищены системой HBAC.
Подключаемый модуль hbactest позволяет проверять доступ как для локальных пользователей IPA, так и для пользователей из доверенных доменов, как с полным именем пользователя, так и по SID пользователей. В таких именах пользователей должен быть указан доверенный домен в краткой форме (DOMAIN\Administrator) или имя учётной записи пользователя (UPN), Administrator@ad.test.
Обратите внимание, что выполнять hbactest с аргументом пользователя доверенного домена в параметре --user могут только участники группы "trust admins".
ПРИМЕРЫ:
1. Проверить, соответствует ли пользователь из доверенного домена, указанный по краткому имени, какому-либо правилу:
$ ipa hbactest --user 'DOMAIN\Administrator' --host `hostname` --service sshd
--------------------
Доступ предоставлен: Да
--------------------
Соответствующие правила: allow_all
Соответствующие правила: can_login
2. Проверить, соответствует ли пользователь из доверенного домена, указанный по имени домена, какому-либо правилу:
$ ipa hbactest --user 'Administrator@domain.com' --host `hostname` --service sshd
--------------------
Доступ предоставлен: Да
--------------------
Соответствующие правила: allow_all
Соответствующие правила: can_login
3. Проверить, соответствует ли пользователь из доверенного домена, указанный по SID, какому-либо правилу:
$ ipa hbactest --user S-1-5-21-3035198329-144811719-1378114514-500
--host `hostname` --service sshd
--------------------
Доступ предоставлен: Да
--------------------
Соответствующие правила: allow_all
Соответствующие правила: can_login
4. Проверить, соответствует ли другой пользователь из доверенного домена, указанный по SID, какому-либо правилу:
$ ipa hbactest --user S-1-5-21-3035198329-144811719-1378114514-1203
--host `hostname` --service sshd
--------------------
Доступ предоставлен: Да
--------------------
Соответствующие правила: allow_all
Несоответствующие правила: can_login
5. Проверить, соответствует ли другой пользователь из доверенного домена, указанный по краткому имени, какому-либо правилу:
$ ipa hbactest --user 'DOMAIN\Otheruser' --host `hostname` --service sshd
--------------------
Доступ предоставлен: Да
--------------------
Соответствующие правила: allow_all
Несоответствующие правила: can_login
Имитация использования управления доступом на основе узла
Правила HBAC управляют тем, кто и на каких узлах сможет получать доступ к определённым службам. Вы можете воспользоваться HBAC для определения тех пользователей и групп, которые будут иметь доступ к определённой службе или группе служб на целевом узле.
Так как применение правил HBAC подразумевает использование рабочей среды, этот подключаемый модуль предназначен для обеспечения имитации оценки правил HBAC при отсутствии доступа к рабочей среде.
Проверка тестового пользователя, который обращается к службе на именованном узле, на соответствие существующим включённым правилам.
ipa hbactest --user= --host= --service=
[--rules=rules-list] [--nodetail] [--enabled] [--disabled]
[--sizelimit= ]
Параметры --user, --host и --service являются обязательными, остальные можно не указывать.
Если указан параметр --rules, имитировать включение указанных правил и проверить возможность входа пользователя в случае использования только этих правил.
Если указан параметр --enabled, добавить все включённые правила HBAC к имитации.
Если указан параметр --disabled, добавить все отключённые правила HBAC к имитации.
Если указан параметр --nodetail, не возвращать данные о соответствующих или не соответствующих правилах.
Если одновременно указаны параметры --rules и --enabled, выполнить имитацию --rules _и_
всех включённых правил IPA.
Если не указан параметр --rules, выполнить имитацию всех включённых правил IPA.
По умолчанию в IPA имеется общее ограничение количества извлекаемых записей, его можно изменить с помощью параметра --sizelimit.
ПРИМЕРЫ:
1. Использовать все включённые правила HBAC в базе данных IPA:
$ ipa hbactest --user=a1a --host=bar --service=sshd
--------------------
Доступ предоставлен: Да
--------------------
Несоответствующие правила: my-second-rule
Несоответствующие правила: my-third-rule
Несоответствующие правила: myrule
Соответствующие правила: allow_all
2. Отключить подробный отчёт о применении правил:
$ ipa hbactest --user=a1a --host=bar --service=sshd --nodetail
--------------------
Доступ предоставлен: Да
--------------------
3. Проверить явно указанные правила HBAC:
$ ipa hbactest --user=a1a --host=bar --service=sshd \\
--rules=myrule --rules=my-second-rule
---------------------
Доступ предоставлен: Нет
---------------------
Несоответствующие правила: my-second-rule
Несоответствующие правила: myrule
4. Использовать все включённые правила HBAC в базе данных IPA + явно указанные правила:
$ ipa hbactest --user=a1a --host=bar --service=sshd \\
--rules=myrule --rules=my-second-rule --enabled
--------------------
Доступ предоставлен: Да
--------------------
Несоответствующие правила: my-second-rule
Несоответствующие правила: my-third-rule
Несоответствующие правила: myrule
Соответствующие правила: allow_all
5. Проверить все отключённые правила HBAC в базе данных IPA:
$ ipa hbactest --user=a1a --host=bar --service=sshd --disabled
---------------------
Доступ предоставлен: Нет
---------------------
Несоответствующие правила: new-rule
6. Проверить все отключённые правила HBAC в базе данных IPA + явно указанные правила:
$ ipa hbactest --user=a1a --host=bar --service=sshd \\
--rules=myrule --rules=my-second-rule --disabled
---------------------
Доступ предоставлен: Нет
---------------------
Несоответствующие правила: my-second-rule
Несоответствующие правила: my-third-rule
Несоответствующие правила: myrule
7. Проверить все (включённые и отключённые) правила HBAC в базе данных IPA:
$ ipa hbactest --user=a1a --host=bar --service=sshd \\
--enabled --disabled
--------------------
Доступ предоставлен: Да
--------------------
Несоответствующие правила: my-second-rule
Несоответствующие правила: my-third-rule
Несоответствующие правила: myrule
Несоответствующие правила: new-rule
Соответствующие правила: allow_all
HBACTEST И ДОВЕРЕННЫЕ ДОМЕНЫ
Если в IPA настроен внешний доверенный домен, правила HBAC также применяются к пользователям, которые выполняют доступ к ресурсам IPA из доверенного домена. Пользователи и группы доверенного домена (и их SID) затем могут быть привязаны к внешним группам, которые могут быть участниками POSIX-групп в IPA. Такие привязки можно использовать в правилах HBAC, тем самым разрешая доступ к ресурсам, которые защищены системой HBAC.
Подключаемый модуль hbactest позволяет проверять доступ как для локальных пользователей IPA, так и для пользователей из доверенных доменов, как с полным именем пользователя, так и по SID пользователей. В таких именах пользователей должен быть указан доверенный домен в краткой форме (DOMAIN\Administrator) или имя учётной записи пользователя (UPN), Administrator@ad.test.
Обратите внимание, что выполнять hbactest с аргументом пользователя доверенного домена в параметре --user могут только участники группы "trust admins".
ПРИМЕРЫ:
1. Проверить, соответствует ли пользователь из доверенного домена, указанный по краткому имени, какому-либо правилу:
$ ipa hbactest --user 'DOMAIN\Administrator' --host `hostname` --service sshd
--------------------
Доступ предоставлен: Да
--------------------
Соответствующие правила: allow_all
Соответствующие правила: can_login
2. Проверить, соответствует ли пользователь из доверенного домена, указанный по имени домена, какому-либо правилу:
$ ipa hbactest --user 'Administrator@domain.com' --host `hostname` --service sshd
--------------------
Доступ предоставлен: Да
--------------------
Соответствующие правила: allow_all
Соответствующие правила: can_login
3. Проверить, соответствует ли пользователь из доверенного домена, указанный по SID, какому-либо правилу:
$ ipa hbactest --user S-1-5-21-3035198329-144811719-1378114514-500 \\
--host `hostname` --service sshd
--------------------
Доступ предоставлен: Да
--------------------
Соответствующие правила: allow_all
Соответствующие правила: can_login
4. Проверить, соответствует ли другой пользователь из доверенного домена, указанный по SID, какому-либо правилу:
$ ipa hbactest --user S-1-5-21-3035198329-144811719-1378114514-1203 \\
--host `hostname` --service sshd
--------------------
Доступ предоставлен: Да
--------------------
Соответствующие правила: allow_all
Несоответствующие правила: can_login
5. Проверить, соответствует ли другой пользователь из доверенного домена, указанный по краткому имени, какому-либо правилу:
$ ipa hbactest --user 'DOMAIN\Otheruser' --host `hostname` --service sshd
--------------------
Доступ предоставлен: Да
--------------------
Соответствующие правила: allow_all
Несоответствующие правила: can_login
Неподтверждённые пользователи
Управление записями неподтверждённых пользователей.
Записи неподтверждённых пользователей находятся непосредственно в контейнере: "cn=stage users,
cn=accounts, cn=provisioning, SUFFIX". Пользователь не может проходить аутентификацию с помощью этих записей (даже если они содержат учётные данные), они являются кандидатами на преобразование в активные записи.
Активные записи пользователей являются пользователями Posix, находящимися непосредственно в контейнере: "cn=accounts, SUFFIX". Пользователь может проходить аутентификацию с помощью активных записей, если они содержат учётные данные.
Удалённые записи пользователей являются пользователями Posix, находящимися непосредственно в контейнере: "cn=deleted users, cn=accounts, cn=provisioning, SUFFIX". Пользователь не может проходить аутентификацию с помощью этих записей (даже если они содержат учётные данные).
Контейнер неподтверждённых пользователей содержит записи:
- созданные с помощью команд "stageuser-add", которые являются пользователями Posix
- созданные с помощью внешней системы подготовки
Корректная запись неподтверждённого пользователя ДОЛЖНА отвечать следующим требованиям:
- RDN записи имеет значение "uid"
- ipaUniqueID имеет значение "autogenerate"
IPA поддерживает широкий спектр форматов имён пользователей, но следует учитывать те ограничения, которые могут существовать в конкретной среде. Например, имена пользователей, которые начинаются с цифры или превышают определённую длину, могут привести к проблемам в некоторых системах UNIX.
Используйте команду "ipa config-mod" для изменения формата имени пользователя, разрешённого средствами IPA.
ПРИМЕРЫ:
Добавить нового неподтверждённого пользователя:
ipa stageuser-add --first=Tim --last=User --password tuser1
Добавить неподтверждённого пользователя из контейнера Delete:
ipa stageuser-add --first=Tim --last=User --from-delete tuser1
В стандартном хранилище для передачи и хранения секрета используются безопасные механизмы. Секрет могут получить только те пользователи, у которых есть доступ к хранилищу.
Подчинённые службы сертификации (Sub-CA) можно добавлять для выпуска с заданной областью сертификатов X.509.
Sudo (su "do") позволяет системному администратору делегировать полномочия, чтобы дать определённым пользователям (или группам пользователей) возможность выполнять некоторые (или все) команды от имени пользователя "root" или другого пользователя, вместе с тем предоставляя журнал аудита команд и их аргументов.
Команды Sudo
Команды, которые используются в качестве строительных блоков для Sudo
ПРИМЕРЫ:
Создать новую команду
ipa sudocmd-add --desc='Чтение файлов в журнале' /usr/bin/less
Удалить команду
ipa sudocmd-del /usr/bin/less
Команды Sudo
Команды, которые используются в качестве строительных блоков для Sudo
ПРИМЕРЫ:
Создать новую команду
ipa sudocmd-add --desc='Чтение файлов в журнале' /usr/bin/less
Удалить команду
ipa sudocmd-del /usr/bin/less
Правила Sudo
Симметричное хранилище похоже на стандартное хранилище, но в нём секрет перед передачей предварительно шифруется с помощью пароля. Секрет можно получить только с помощью этого пароля.
Команду automember-rebuild можно использовать, чтобы задним числом применить правила автоучастия в отношении уже существующих записей; это перестроит их участие.
Формат даты: ГГГГ-мм-дд.
Система выдачи сертификатов Dogtag Certificate System использует только значение CN в CSR и принудительно устанавливает остальные параметры субъекта в соответствии со значениями, настроенными на сервере.
Поддерживаются следующие причины отзыва:
Роль может находиться в одном из следующих состояний: включена, настроена или отсутствует.
Существует ряд разрешённых целей:
1. subtree: DN; разрешение применяется к поддереву под этим DN.
2. target filter: фильтр LDAP.
3. target: DN с возможными подстановочными знаками, определяет записи, к которым применяется разрешение.
Существует много структурированных типов записей ресурсов DNS, для которых данные DNS, хранящиеся на сервере LDAP, являются не просто скалярным значением, например IP-адрес или имя домена, а структурой данных, которая часто может быть сложной. Примером может быть запись LOC [RFC1876], которая состоит из многих обязательных и необязательных частей (градусов, минут, секунд широты и долготы, высоты и погрешности).
Этот код является расширением подключаемого модуля otptoken и предоставляет поддержку прямого чтения или записи токенов YubiKey.
Чтобы включить binddn, выполните следующую команду для установки пароля:
LDAPTLS_CACERT=/etc/ipa/ca.crt /usr/bin/ldappasswd -S -W -H ldap://ipa.example.com -ZZ -D "cn=Directory Manager" uid=sudo,cn=sysaccounts,cn=etc,dc=example,dc=com
Чтобы проверить, что ни один сервер не отключается в топологии указанного суффикса, используйте эту команду:
ipa topologysuffix-verify $suffix
Топология
Управление топологией репликации на уровне домена 1.
Топология
Управление топологией репликации на уровне домена 1.
Данные IPA-сервера хранятся на LDAP-сервере в двух суффиксах:
* суффикс домена (domain), например, "dc=example,dc=com", содержит все связанные с доменом данные
* суффикс центра сертификации (ca), "o=ipaca", имеется только на серверах с установленным CA. Он содержит данные для компонента сервера сертификатов
Данные, которые хранятся на IPA-серверах, реплицируются на другие IPA-серверы. Способ репликации определяется соглашениями о репликации. Соглашения о репликации необходимо устанавливать для каждого из суффиксов отдельно. На уровне домена 0 управление ими выполняется с помощью средств ipa-replica-manage и ipa-csreplica-manage. На уровне домена 1 управление выполняется централизованно с помощью команд "ipa topology*".
Соглашения представляются сегментами топологии. По умолчанию сегмент топологии представляет 2 соглашения о репликации: по одному для каждого направления, например, от A до B и от B до A. Создание однонаправленных сегментов запрещено.
Чтобы проверить, что ни один сервер не отключается в топологии указанного суффикса, используйте эту команду:
ipa topologysuffix-verify $suffix
Примеры:
Найти все IPA-серверы:
ipa server-find
Найти все суффиксы:
ipa topologysuffix-find
Добавить сегмент топологии в суффикс "domain":
ipa topologysegment-add domain --left IPA_SERVER_A --right IPA_SERVER_B
Добавить сегмент топологии в суффикс "ca":
ipa topologysegment-add ca --left IPA_SERVER_A --right IPA_SERVER_B
Вывести список всех сегментов топологии в суффиксе "domain":
ipa topologysegment-find domain
Вывести список всех сегментов топологии в суффиксе "ca":
ipa topologysegment-find ca
Удалить сегмент топологии в суффиксе "domain":
ipa topologysegment-del domain segment_name
Удалить сегмент топологии в суффиксе "ca":
ipa topologysegment-del ca segment_name
Проверить топологию суффикса "domain":
ipa topologysuffix-verify domain
Проверить топологию суффикса "ca":
ipa topologysuffix-verify ca
Топология
Управление топологией репликации.
Требуется уровень домена не ниже 1.
ИСПОЛЬЗОВАНИЕ СТРУКТУРИРОВАННЫХ ПАРАМЕТРОВ ДЛЯ ОТДЕЛЬНЫХ ТИПОВ
Разблокировка учётной записи пользователя.
Учётная запись может быть заблокирована, если в течение определённого периода времени слишком большое количество раз был введён неверный пароль (соответствующие ограничения регулируются политикой паролей). Запись блокируется временно, она может быть разблокирована администратором.
Хранилища пользователей — это хранилища, владельцем которых является конкретный пользователь. Личными являются хранилища, владельцем которых является текущий пользователь. Владельцем хранилища службы является определённая служба. Хранилища совместного использования принадлежат администратору, но могут использоваться другими пользователями или службами.
Пользователи
Управление записями пользователей. Все пользователи являются POSIX-пользователями.
IPA поддерживает широкий спектр форматов имён пользователей, но следует учитывать те ограничения, которые могут существовать в конкретной среде. Например, имена пользователей, которые начинаются с цифры или превышают определённую длину, могут привести к проблемам в некоторых системах UNIX.
Используйте команду "ipa config-mod" для изменения формата имени пользователя, разрешённого средствами IPA.
Отключение учётной записи пользователя сделает невозможным получение таким пользователем новых учётных данных Kerberos. Это не сделает недействительными те учётные данные, которые уже были предоставлены.
Управление паролями не входит в этот модуль. Дополнительные сведения можно получить с помощью команды ipa help passwd
Блокировка учётной записи при ошибке пароля выполняется на одном из главных IPA-серверов. Чтобы определить, на каком главном сервере заблокирован пользователь, можно использовать команду user-status.
На этом главном сервере администратор должен разблокировать пользователя:
ПРИМЕРЫ:
Добавить нового пользователя:
ipa user-add --first=Tim --last=User --password tuser1
Найти всех пользователей, записи которых содержат строку "Tim":
ipa user-find Tim
Найти всех пользователей, в записях "Tim" является именем:
ipa user-find --first=Tim
Отключить учётную запись пользователя:
ipa user-disable tuser1
Включить учётную запись пользователя:
ipa user-enable tuser1
Удалить пользователя:
ipa user-del tuser1
Хранилище — это безопасное место для хранения секрета. В одном хранилище может храниться только один секрет. При архивировании секрета в хранилище существующий секрет (если имеется) будет перезаписан.
Хранилища
Хранилища
Управление хранилищами.
Хранилище — это безопасное место для хранения секрета.
В зависимости от владения хранилища подразделяются на три категории:
* хранилища пользователей или личные хранилища
* хранилища служб
* хранилища совместного использования
Хранилища пользователей — это хранилища, владельцем которых является конкретный пользователь. Личными являются хранилища, владельцем которых является текущий пользователь. Владельцем хранилища службы является определённая служба. Хранилища совместного использования принадлежат администратору, но могут использоваться другими пользователями или службами.
В зависимости от механизма обеспечения безопасности выделяют три типа хранилищ:
* стандартные хранилища
* симметричные хранилища
* асимметричные хранилища
В стандартном хранилище для передачи и хранения секрета используются безопасные механизмы. Секрет могут получить только те пользователи, у которых есть доступ к хранилищу.
Симметричное хранилище похоже на стандартное хранилище, но в нём секрет перед передачей предварительно шифруется с помощью пароля. Секрет можно получить только с помощью этого пароля.
Асимметричное хранилище похоже на стандартное хранилище, но в нём секрет перед передачей предварительно шифруется с помощью открытого ключа. Секрет можно получить только с помощью закрытого ключа.
ПРИМЕРЫ:
Вывести список хранилищ:
ipa vault-find
[--user <пользователь>|--service <служба>|--shared]
Добавить стандартное хранилище:
ipa vault-add <имя>
[--user <пользователь>|--service <служба>|--shared]
--type standard
Добавить симметричное хранилище:
ipa vault-add <имя>
[--user <пользователь>|--service <служба>|--shared]
--type symmetric --password-file password.txt
Добавить асимметричное хранилище:
ipa vault-add <имя>
[--user <пользователь>|--service <служба>|--shared]
--type asymmetric --public-key-file public.pem
Показать хранилище:
ipa vault-show <имя>
[--user <пользователь>|--service <служба>|--shared]
Изменить описание хранилища:
ipa vault-mod <имя>
[--user <пользователь>|--service <служба>|--shared]
--desc <описание>
Изменить тип хранилища:
ipa vault-mod <имя>
[--user <пользователь>|--service <служба>|--shared]
--type <тип>
[старый пароль / закрытый ключ]
[новый пароль / открытый ключ]
Изменить пароль симметричного хранилища:
ipa vault-mod <имя>
[--user <пользователь>|--service <служба>|--shared]
--change-password
ipa vault-mod <имя>
[--user <пользователь>|--service <служба>|--shared]
--old-password <старый пароль>
--new-password <новый пароль>
ipa vault-mod <имя>
[--user <пользователь>|--service <служба>|--shared]
--old-password-file <файл старого пароля>
--new-password-file <файл нового пароля>
Изменить ключи асимметричного хранилища:
ipa vault-mod <имя>
[--user <пользователь>|--service <служба>|--shared]
--private-key-file <файл старого закрытого ключа>
--public-key-file <файл нового открытого ключа>
Удалить хранилище:
ipa vault-del <имя>
[--user <пользователь>|--service <служба>|--shared]
Показать конфигурацию хранилища:
ipa vaultconfig-show
Архивировать данные в стандартное хранилище:
ipa vault-archive <имя>
[--user <пользователь>|--service <служба>|--shared]
--in <файл входных данных>
Архивировать данные в симметричное хранилище:
ipa vault-archive <имя>
[--user <пользователь>|--service <служба>|--shared]
--in <файл входных данных>
--password-file password.txt
Архивировать данные в асимметричное хранилище:
ipa vault-archive <имя>
[--user <пользователь>|--service <служба>|--shared]
--in <файл входных данных>
Получить данные из стандартного хранилища:
ipa vault-retrieve <имя>
[--user <пользователь>|--service <служба>|--shared]
--out <файл выходных данных>
Получить данные из симметричного хранилища:
ipa vault-retrieve <имя>
[--user <пользователь>|--service <служба>|--shared]
--out <файл выходных данных>
--password-file password.txt
Получить данные из асимметричного хранилища:
ipa vault-retrieve <имя>
[--user <пользователь>|--service <служба>|--shared]
--out <файл выходных данных> --private-key-file private.pem
Добавить владельцев хранилища:
ipa vault-add-owner <имя>
[--user <пользователь>|--service <служба>|--shared]
[--users <пользователи>] [--groups <группы>] [--services <службы>]
Удалить владельцев хранилища:
ipa vault-remove-owner <имя>
[--user <пользователь>|--service <служба>|--shared]
[--users <пользователи>] [--groups <группы>] [--services <службы>]
Добавить участников хранилища:
ipa vault-add-member <имя>
[--user <пользователь>|--service <служба>|--shared]
[--users <пользователи>] [--groups <группы>] [--services <службы>]
Удалить участников хранилища:
ipa vault-remove-member <имя>
[--user <пользователь>|--service <служба>|--shared]
[--users <пользователи>] [--groups <группы>] [--services <службы>]
Проверка топологии репликации для суффикса.
Проверки, которые выполняются:
1. проверка того, не отключена ли топология (иначе говоря, имеются ли пути репликации между всеми серверами).
2. проверка того, не превышено ли рекомендованное количество соглашений о репликации между серверами.
Проверка топологии репликации для суффикса.
Проверки, которые выполняются:
1. проверка того, не отключена ли топология (иначе говоря, имеются ли пути репликации между всеми серверами).
2. проверка того, не превышено ли рекомендованное количество соглашений о репликации между серверами.
При добавлении записи можно воспользоваться параметрами, специально предназначенными для записей ресурсов, или стандартным параметром для необработанного значения (сочетать эти варианты в одном действии по добавлению нельзя). При внесении изменений в существующую запись можно воспользоваться для изменения одной части записи DNS новыми специальными параметрами записей ресурсов, причём для определения изменённого значения будет использован стандартный вариант необработанного значения. В приведенном ниже примере показано изменение приоритета записи MX с 0 на 1 в записи без внесения изменений в обменник:
ipa dnsrecord-mod --mx-rec="0 mx.example.com." --mx-preference=1
Если поиск выполняется по дате _с, используется сравнение >=, а если выполняется поиск _до — сравнение <=. Сочетание обоих видов поиска приводит к поиску с логической операцией И.
Токены YubiKey
Токены YubiKey
Управление токенами YubiKey.
Этот код является расширением подключаемого модуля otptoken и предоставляет поддержку прямого чтения или записи токенов YubiKey.
ПРИМЕРЫ:
Добавить новый токен:
ipa otptoken-add-yubikey --owner=jdoe --desc="My YubiKey"
http://www.ietf.org/rfc/rfc5280.txt
* 0 - не указана
* 1 - keyCompromise
* 10 - aACompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
ipa <команда> --help -8 '${cn}' Кроме того, выполнить эту команду могут следующие серверы: %(masters)s "%s" не является корректным типом разрешения "%s" не является типом объекта Имеется сертификатов: ${count} Добавлено записей: ${count} Удалено записей: ${count} Отключено записей: ${count} Включено записей: ${count} Удалено записей: ${count} Удалено параметров: ${count} Активировано пользователей: ${count} Восстановлено пользователей: ${count} Пользователей, сделанных неподтверждёнными: ${count} Параметры ${primary_key} ${entity} Обновлено ${primary_key} ${entity} Успешно добавлено ${entity} ${primary_key} применяется к: ${primary_key} является участником: ${primary_key} управляется: Участники ${primary_key}: ${primary_key} переопределяет: ${product}, версия: ${version} %(attr)s не содержит "%(value)s" %(attr)s: неправильный синтаксис. %(attr)s: допустимо только одно значение. %(command_name)s: %(oname)s не найден Поиск LDAP в %(container)s не вернул никаких результатов (основа поиска: %(search_base)s, класс объектов: %(objectclass)s) Пропущена %(count)d %(type)s запись. Одновременно можно изменить только одно значение на тип записи DNS. Пропущено %(count)d %(type)s записей. Одновременно можно изменить только одно значение на тип записи DNS. Пропущено %(count)d %(type)s записей. Одновременно можно изменить только одно значение на тип записи DNS. установлено соответствие %(count)d ACI установлено соответствие %(count)d ACI установлено соответствие %(count)d ACI установлено соответствие %(count)d CA ACL установлено соответствие %(count)d CA ACL установлено соответствие %(count)d CA ACL установлено соответствие %(count)d CA установлено соответствие %(count)d CA установлено соответствие %(count)d CA установлено соответствие %(count)d правила сопоставления сертификатов с записями пользователей установлено соответствие %(count)d правил сопоставления сертификатов с записями пользователей установлено соответствие %(count)d правил сопоставления сертификатов с записями пользователей установлено соответствие %(count)d DNS-сервера установлено соответствие %(count)d DNS-серверов установлено соответствие %(count)d DNS-серверов установлено соответствие %(count)d переопределения ID группы установлено соответствие %(count)d переопределений ID группы установлено соответствие %(count)d переопределений ID группы установлено соответствие %(count)d правила HBAC установлено соответствие %(count)d правил HBAC установлено соответствие %(count)d правил HBAC установлено соответствие %(count)d группы служб HBAC установлено соответствие %(count)d групп служб HBAC установлено соответствие %(count)d групп служб HBAC установлено соответствие %(count)d службы HBAC установлено соответствие %(count)d служб HBAC установлено соответствие %(count)d служб HBAC установлено соответствие %(count)d представления ID установлено соответствие %(count)d представлений ID установлено соответствие %(count)d представлений ID установлено соответствие %(count)d переопределения ID установлено соответствие %(count)d переопределений ID установлено соответствие %(count)d переопределений ID установлено соответствие %(count)d расположения IPA установлено соответствие %(count)d расположений IPA установлено соответствие %(count)d расположений IPA установлено соответствие %(count)d IPA-сервера установлено соответствие %(count)d IPA-серверов установлено соответствие %(count)d IPA-серверов установлено соответствие %(count)d токена OTP установлено соответствие %(count)d токенов OTP установлено соответствие %(count)d токенов OTP установлено соответствие %(count)d прокси-сервера RADIUS установлено соответствие %(count)d прокси-серверов RADIUS установлено соответствие %(count)d прокси-серверов RADIUS установлено соответствие %(count)d списка пользователей SELinux установлено соответствие %(count)d списков пользователей SELinux установлено соответствие %(count)d списков пользователей SELinux установлено соответствие %(count)d группы команд Sudo установлено соответствие %(count)d групп команд Sudo установлено соответствие %(count)d групп команд Sudo установлено соответствие %(count)d команды Sudo установлено соответствие %(count)d команд Sudo установлено соответствие %(count)d команд Sudo установлено соответствие %(count)d правила Sudo установлено соответствие %(count)d правил Sudo установлено соответствие %(count)d правил Sudo установлено соответствие %(count)d переопределения ID пользователя установлено соответствие %(count)d переопределений ID пользователя установлено соответствие %(count)d переопределений ID пользователя установлено соответствие %(count)d ключа автомонтирования установлено соответствие %(count)d ключей автомонтирования установлено соответствие %(count)d ключей автомонтирования установлено соответствие %(count)d расположения автомонтирования установлено соответствие %(count)d расположений автомонтирования установлено соответствие %(count)d расположений автомонтирования установлено соответствие %(count)d списка соответствия автомонтирования установлено соответствие %(count)d списков соответствия автомонтирования установлено соответствие %(count)d списков соответствия автомонтирования установлено соответствие %(count)d сертификата установлено соответствие %(count)d сертификатов установлено соответствие %(count)d сертификатов установлено соответствие %(count)d делегирования установлено соответствие %(count)d делегирований установлено соответствие %(count)d делегирований установлено соответствие %(count)d группы установлено соответствие %(count)d групп установлено соответствие %(count)d групп установлено соответствие %(count)d узела установлено соответствие %(count)d узлов установлено соответствие %(count)d узлов установлено соответствие %(count)d группы узлов установлено соответствие %(count)d групп узлов установлено соответствие %(count)d групп узлов установлено соответствие %(count)d сетевой группы установлено соответствие %(count)d сетевых групп установлено соответствие %(count)d сетевых групп установлено соответствие %(count)d разрешения установлено соответствие %(count)d разрешений установлено соответствие %(count)d разрешений загружен %(count)d подключаемый модуль загружено %(count)d подключаемых модуля загружено %(count)d подключаемых модулей установлено соответствие %(count)d привилегии установлено соответствие %(count)d привилегий установлено соответствие %(count)d привилегий установлено соответствие %(count)d профиля установлено соответствие %(count)d профилей установлено соответствие %(count)d профилей установлено соответствие %(count)d диапазона установлено соответствие %(count)d диапазонов установлено соответствие %(count)d диапазонов установлено соответствие %(count)d роли установлено соответствие %(count)d ролей установлено соответствие %(count)d ролей установлено соответствие %(count)d правила установлено соответствие %(count)d правил установлено соответствие %(count)d правил установлено соответствие %(count)d сегмента установлено соответствие %(count)d сегментов установлено соответствие %(count)d сегментов установлено соответствие %(count)d самообслуживания установлено соответствие %(count)d самообслуживаний установлено соответствие %(count)d самообслуживаний установлено соответствие %(count)d правила делегирования служб установлено соответствие %(count)d правил делегирования служб установлено соответствие %(count)d правил делегирования служб установлено соответствие %(count)d цели делегирования служб установлено соответствие %(count)d целей делегирования служб установлено соответствие %(count)d целей делегирования служб установлено соответствие %(count)d службы установлено соответствие %(count)d служб установлено соответствие %(count)d служб установлено соответствие %(count)d суффикса топологии установлено соответствие %(count)d суффиксов топологии установлено соответствие %(count)d суффиксов топологии установлено соответствие %(count)d отношения доверия установлено соответствие %(count)d отношений доверия установлено соответствие %(count)d отношений доверия установлено соответствие %(count)d пользователя установлено соответствие %(count)d пользователей установлено соответствие %(count)d пользователей %(count)d переменных установлено соответствие %(count)d хранилища установлено соответствие %(count)d хранилищ установлено соответствие %(count)d хранилищ установлено соответствие %(count)s сервера установлено соответствие %(count)s серверов установлено соответствие %(count)s серверов установлено соответствие %(count)s роли сервера установлено соответствие %(count)s ролей сервера установлено соответствие %(count)s ролей сервера установлено соответствие %(count)s пользователя установлено соответствие %(count)s пользователей установлено соответствие %(count)s пользователей %(cver)s версия клиента несовместима с %(sver)s версией сервера "%(server)s" %(desc)s: %(info)s %(exception)s %(filename)s: файл не найден Ошибка %(host)s Ошибка %(host)s: %(error)s %(info)s %(key)s невозможно удалить, так как он нужен для %(label)s %(dependent)s %(key)s не может быть удалён или отключён, потому что является последним в %(label)s %(container)s %(label)s %(key)s не может быть удалён или изменён: %(reason)s %(line)s %(metaobject)s: %(oname)s не найден Сертификат %(name)s недействителен Атрибут %(obj)s по умолчанию, %(attr)s, не будет разрешён! %(oname)s с именем "%(pkey)s" уже существует %(operation)s не поддерживается для учётных записей %(principal_type)s %(otype)s "%(oname)s" не найден(а) %(parent)s: %(oname)s не найден %(pkey)s: %(oname)s не найден %(port)s не является допустимым портом %(reason)s %(subject)s: неверно сформированный сертификат. %(reason)s Превышение времени ожидания завершения задачи LDAP %(task)s, DN задачи: "%(task_dn)s" для категории %(type)s нельзя установить значение "all", когда имеются разрешённые %(objects)s %(user)s не является POSIX-пользователем %(value)s Добавлена %i CA. Удалена %i CA. Добавлено CA: %i. Удалено CA: %i. Добавлен %i узел или группа узлов. Удалён %i узел или группа узлов. Добавлено узлов или групп узлов: %i. Удалено узлов или групп узлов: %i. Добавлен %i профиль. Удалён %i профиль. Добавлено профилей: %i. Удалено профилей: %i. Добавлена %i служба. Удалена %i служба. Добавлено служб: %i. Удалено служб: %i. Добавлен %i пользователь или группа. Удалён %i пользователь или группа. Добавлено пользователей или групп: %i. Удалено пользователей или групп: %i. %s Запись %s %s неправильный атрибут запись %s %s для добавления %s для исключения из миграции %s для удаления %s: прокси-сервер RADIUS не найден %s: группа не найдена %s: пользователь уже хранится '${port}' не является допустимым портом "%(attr)s" уже содержит одно или несколько значений "%(command)s" не поддерживается. %(additional_info)s "%(entry)s" не содержит сертификат. следует указать "%(name)s" Параметр "%(option)s" не поддерживается. %(additional_info)s "%(required)s" не должно быть пустым, если указано "%(name)s" "%s" является обязательной частью записи DNS параметр "add" (больше не поддерживается) (подробности доступны в RFC %s) . Проверьте идентификатор существующей группы. Используйте параметр --group-overwrite-gid для перезаписи идентификатора группы 7 — неверная причина отзыва сертификата <все серверы DNS IPA> <h1>Настройка Kerberos для браузера</h1>
<h1>Перенос пароля</h1><p>Если вас направил на эту страницу ваш системный администратор, это означает, что ваши личные данные переносятся в новую систему управления идентификацией и учётными записями пользователей (IPA).</p><p>Пожалуйста, введите ваши учётные данные в форму, чтобы завершить этот процесс. После успешного выполнения входа ваша учётная запись Kerberos будет активирована.</p> <h1>Не удалось проверить ваши учётные данные Kerberos</h1>
<p>
Убедитесь, что у вас имеются действительные билеты (их можно получить через <strong>kinit</strong>) и правильно настроен браузер.
</p>
<h2>Конфигурация браузера</h2>
<div id="first-time">
<p>
Если вы используете веб-интерфейс впервые, пожалуйста, <a href="ssbrowser.html">настройте ваш браузер</a>.
</p>
</div>
<h2>Chrome</h2>
<p>
Можно настроить Chrome на использование Kerberos для единого входа. Приведённые далее инструкции помогут настроить веб-браузер для отправки ваших учётных данных Kerberos подходящему центру распространения ключей, что позволит выполнять единый вход.
</p>
<h2>Firefox</h2>
<p>
Можно настроить Firefox на использование Kerberos для единого входа. Приведённые далее инструкции помогут настроить веб-браузер для отправки ваших учётных данных Kerberos подходящему центру распространения ключей, что позволит выполнять единый вход.
</p>
<h2>Internet Explorer</h2>
<p><strong>ПРЕДУПРЕЖДЕНИЕ:</strong> браузер Internet Explorer больше не поддерживается.</p>
<p>
После входа в систему на рабочей станции с вашим ключом Kerberos вы сможете использовать этот билет в Internet Explorer.
</p>
<p>
<h3>Импортировать сертификат центра сертификации</h3>
<ol>
<li>
Загрузите <a href="ca.crt">сертификат центра сертификации</a>. Либо используйте сертификат /etc/ipa/ca.crt., если узел также является клиентом управления учётными данными.
</li>
<li>
Нажмите кнопку меню с подсказкой <em>Настройка и управление Google Chrome</em> (по умолчанию она расположена в правом верхнем углу Chrome) и выберите пункт <em>Настройки</em>.
</li>
<li>
Затем нажмите кнопку <em>Показать дополнительные настройки</em>, чтобы просмотреть дополнительные параметры, и нажмите кнопку <em>Настроить сертификаты</em>, которая расположена под заголовком HTTPS/SSL.
</li>
<li>
На вкладке <em>Доверенные корневые центры сертификации</em> нажмите кнопку <em>Импорт...</em>, которая расположена в нижней части окна.
</li>
<li>Выберите файл сертификата центра сертификации, который был загружен вами ранее.</li>
</ol>
<i class="fa fa-info-circle"></i> Чтобы войти с помощью <strong>Kerberos</strong>, убедитесь, что у вас имеются действительные билеты (получить их можно через kinit) и правильно <a href='${protocol}//${host}/ipa/config/ssbrowser.html'>настроен</a> браузер, затем нажмите кнопку "Войти". <i class="fa fa-info-circle"></i> Чтобы войти с помощью <strong>сертификата</strong>, убедитесь, что у вас имеется действительный личный сертификат. <i class="fa fa-info-circle"></i> Чтобы войти с помощью <strong>имени пользователя и пароля</strong>, введите их в соответствующие поля, затем нажмите кнопку "Войти". <ol> <li>Создать базу данных сертификатов или использовать существующую. Чтобы создать новую базу данных, выполните команду:<br/> <code># certutil -N -d <путь к базе данных></code> </li> <li>Создайте CSR с субъектом <em>CN=<${cn_name}>,O=<область (realm)></em>, например:<br/> <code># certutil -R -d <путь к базе данных> -a -g <размер ключа> -s 'CN=${cn},O=${realm}'${san}</code> </li> <li> Скопируйте и вставьте CSR (от <em>-----BEGIN NEW CERTIFICATE REQUEST-----</em> до <em>-----END NEW CERTIFICATE REQUEST-----</em>) в расположенную ниже область для ввода текста: </li> </ol> <p>Если метод не выбран, будет использован неявный метод (пароль).</p><p><strong>Пароль + двухфакторная аутентификация: </strong>в LDAP и Kerberos предусмотрена аутентификация по одному из этих типов аутентификации, но Kerberos использует метод предварительной аутентификации, который требует использования armor ccache.</p><p><strong>RADIUS с другим типом:</strong> в Kerberos всегда используется RADIUS, а в LDAP он не используется никогда. LDAP распознаёт только варианты аутентификации по паролю и двухфакторной аутентификации.</p> <p>Параметр для отдельных пользователей переопределяет общее значение, если будет выбран один из вариантов.</p><p><strong>Пароль + двухфакторная аутентификация: </strong>в LDAP и Kerberos предусмотрена аутентификация по одному из этих типов аутентификации, но Kerberos использует метод предварительной аутентификации, который требует использования armor ccache.</p><p><strong>RADIUS с другим типом:</strong> в Kerberos всегда используется RADIUS, а в LDAP он не используется никогда. LDAP распознаёт только варианты аутентификации по паролю и двухфакторной аутентификации.</p> <strong>Войдите на компьютер под управлением Windows с помощью учётной записи вашей области (realm) Kerberos (административный домен)</strong>
</p>
<p>
<strong>В Internet Explorer: выберите в меню "Инструменты" пункт "Параметры Интернета".</strong>
</p>
<div>
<ol>
<li>Откройте вкладку "Безопасность"</li>
<li>Выберите пункт "Местная интрасеть"</li>
<li>Нажмите кнопку "Узлы..." </li>
<li>Нажмите кнопку "Дополнительно" </li>
<li>Добавьте ваш домен в список</li>
</ol>
<ol>
<li>Откройте вкладку "Безопасность"</li>
<li>Выберите пункт "Местная интрасеть"</li>
<li>Нажмите кнопку "Другой..."</li>
<li>Выберите пункт "Автоматический вход в сеть только в зоне интрасети"</li>
</ol>
<ol>
<li> Посетите веб-сайт, который использует Kerberos, с помощью IE (в URL-адресе необходимо использовать полное имя домена)</li>
<li><strong> Всё готово.</strong></li>
</ol>
</div>
Создать обратную запись A IP-адрес Разрешение SYSTEM не может быть изменено или удалено Разделённый запятыми список полей, по которым следует выполнять поиск при поиске групп Разделённый запятыми список полей, по которым следует выполнять поиск при поиске пользователей Описание этого прокси-сервера RADIUS Описание этого правила автоучастия Описание этой команды Описание этого узла Описание этой группы узлов Описание группы этой роли Словарь, соответствующий записи LDAP Группа не может входить в состав самой себя Группа не может быть добавлена сама в себя Узел, который может работать как обменник ключей Узел, который может работать как почтовый обменник Имя узла, на который указывает этот псевдоним узла Список значений ACI Список записей LDAP Ожидается список пользователей SELinux, с разделителем $ Список глобальных перенаправителей. Для каждого перенаправителя можно указать отдельный порт с помощью стандартного формата "IP_АДРЕС port ПОРТ" Список перенаправителей для отдельных зон. Для каждого перенаправителя можно указать отдельный порт с помощью стандартного формата "IP_АДРЕС port ПОРТ" Управляемая группа не может иметь политику паролей. Ошибка при проверке того, что все участники были %(verb)s: %(exc)s Запись Разделённый пробелами список атрибутов, которые удалены из обновлений репликации Строка, поиск которой выполняется во всех соответствующих атрибутах объекта Данные записи A6 Запись A6 Компрометация AA Создать обратную запись AAAA IP-адрес AAAA Запись AAAA ACI Имя ACI Объект ACI. ACI разрешения %s не найдена Префикс ACI Следует указать префикс ACI ACI с именем "%s" не найдена ACI Имя ACL DC AD не удалось получить доступ к контроллерам домена IPA. Скорее всего, проблема связана с DNS или брандмауэром Настройка отношений доверия AD Контроллер домена AD Контроллер домена AD сообщает о непоследовательности команд установления связи. Это может означать, например, рассинхронизацию времени между компьютерами, которые обмениваются данными Имя узла AFSDB Подтип AFSDB Запись AFSDB Навигатор API Не отправлен номер версии программного интерфейса (API), совместимость с новейшими версиями не гарантируется. Предполагается следующая версия API сервера: %(server_version)s Запись APL О программе Отказано в доступе Доступ предоставлен Доступ предоставлен: %s Получить доступ к узлу Время доступа Получение доступа Учётная запись Параметры учётной записи Состояние учётной записи Учётная запись отключена Учётная запись отключена: %(disabled)s Действия Активировать Активировать неподтверждённого пользователя "%(value)s" Активировать неподтверждённого пользователя. Домен Active Directory Администратор домена Active Directory Пароль администратора домена Active Directory диапазон доменов Active Directory Домен Active Directory с атрибутами POSIX Диапазон доверия Active Directory с атрибутами POSIX winsync Active Directory Пароль администратора домена Active Directory Активные пользователи Активная зона Добавить Добавить CA ACL Добавить CA в CA ACL. Добавить центры сертификации в CA ACL '${primary_key}' Добавить запись класса обслуживания Добавить пользовательский атрибут Добавить пользовательский идентификатор аутентификации Добавить зону перенаправления DNS Добавить запись ресурса DNS Добавить зону DNS Добавить правило HBAC Добавить службу HBAC Добавить службу HBAC '${primary_key}' в группы служб HBAC Добавить группу служб HBAC Добавить группы служб HBAC в правило HBAC '${primary_key}' Добавить службы HBAC в правило HBAC '${primary_key}' Добавить службы HBAC в группу служб HBAC '${primary_key}' Добавить диапазон идентификаторов Добавить представление ID Добавить расположение IPA Добавить IPA-сервер в расположение IPA '${primary_key}' Добавить псевдоним учётной записи Kerberos Добавить много Добавить токен OTP Добавить сервер RADIUS Добавить группы запуска от имени в правило Sudo '${primary_key}' Добавить группы пользователей запуска от имени в правило Sudo '${primary_key}' Добавить пользователей запуска от имени в правило Sudo '${primary_key}' Добавить список пользователей SELinux Добавить руководителя в запись неподтверждённого пользователя. Добавить руководителя в запись пользователя. Добавить новый DNS-сервер. Добавить новое переопределение ID группы. Добавить новую группу служб HBAC. Добавить новую службу HBAC. Добавить новое представление ID. Добавить новое переопределение ID. Добавить новую запись расположения IPA. Добавить новую службу IPA. Добавить новую службу IPA. Добавить новый токен OTP. Добавить новый прокси-сервер RADIUS. Добавить новую службу SMB. Добавить новое переопределение ID пользователя. Добавить новый токен OTP YubiKey. Добавить новое делегирование. Добавить новую групповую политику паролей. Добавить новый узел. Добавить новую группу узлов. Добавить новую сетевую группу. Добавить новое разрешение. Добавить новую привилегию. Добавить новую роль. Добавить новый сегмент. Добавить новое разрешение самообслуживания. Добавить нового неподтверждённого пользователя. Добавить новый суффикс топологии, которым следует управлять. Добавить нового пользователя. Добавить разрешение для делегирования прав доступа для отдельных зон перенаправления. Добавить разрешение для делегирования прав доступа для отдельных зон. Добавить разрешение на доступ к системе без использования ACI Добавить разрешение на доступ к системе без использования ACI (внутренняя команда). Добавить хранилище. Добавить группы разрешённых команд Sudo в правило Sudo '${primary_key}' Добавить разрешённые команды Sudo в правило Sudo '${primary_key}' Добавить пару атрибут/значение. Формат: атрибут=значение. Атрибут
должен быть частью схемы. Добавить правило автоучастия. Добавить параметр в правило Sudo. Добавить и добавить ещё Добавить и закрыть Добавить и изменить Добавить ключ автомонтирования Добавить расположение автомонтирования Добавить список соответствия автомонтирования Добавить центр сертификации Добавить правило сопоставления сертификатов с записями пользователей Добавить данные сопоставления сертификата Добавить профили сертификатов в CA ACL '${primary_key}' Добавить сертификаты в запись узла Добавить команды и группы команд Sudo, которых касается правило Sudo. Добавить условия в правило автоучастия. Добавить пользовательское значение Добавить делегирование Добавить группы запрещённых команд Sudo в правило Sudo '${primary_key}' Добавить запрещённые команды Sudo в правило Sudo '${primary_key}' Добавить домен Добавить исключающее условие в '${primary_key}' Добавить запись перенаправления для сервера имён, расположенного в созданной зоне Добавить переопределение ID группы Добавить группу для выполнения Sudo от её имени. Добавить узел Добавить узел '${primary_key}' в правила HBAC Добавить узел '${primary_key}' в группы узлов Добавить узел '${primary_key}' в сетевые группы Добавить узел '${primary_key}' в роли Добавить узел '${primary_key}' в правила Sudo Добавить группу узлов Добавить группу узлов '${primary_key}' в правила HBAC Добавить группу узлов '${primary_key}' в группы узлов Добавить группу узлов '${primary_key}' в сетевые группы Добавить группу узлов '${primary_key}' в правила Sudo Добавить группы узлов в CA ACL '${primary_key}' Добавить группы узлов в правило HBAC '${primary_key}' Добавить группы узлов в список пользователей SELinux '${primary_key}' Добавить группы узлов в группу узлов '${primary_key}' Добавить группы узлов в сетевую группу '${primary_key}' Добавить группы узлов в роль '${primary_key}' Добавить группы узлов в правило Sudo '${primary_key}' Добавить узлы и группы узлов, которых касается правило Sudo. Добавить узлы в CA ACL '${primary_key}' Добавить узлы в правило HBAC '${primary_key}' Добавить узлы в список пользователей SELinux '${primary_key}' Добавить узлы в группу узлов '${primary_key}' Добавить узлы в сетевую группу '${primary_key}' Добавить узлы в роль '${primary_key}' Добавить узлы в правило Sudo '${primary_key}' Добавить узлы, которые управляют узлом '${primary_key}' Добавить узлы, которые управляют службой '${primary_key}' Добавить узлы, которые могут управлять этим узлом. Добавить узлы, которые могут управлять этой службой. Добавить включающее условие в '${primary_key}' Добавить участника в именованное правило делегирования служб. Добавить участника в именованную цель делегирования служб. Добавить участников в группу команд Sudo. Добавить участников в группу. Добавить участников в группу узлов. Добавить участников в сетевую группу. Добавить участников в разрешение. Добавить участников в привилегию. Добавить участников в роль. Добавить участников в хранилище. Добавить участников в группу служб HBAC. Добавить перенесённые записи пользователей без группы в группу по умолчанию (значение по умолчанию: true) Добавить сетевую группу Добавить сетевую группу '${primary_key}' в сетевые группы Добавить сетевые группы в сетевую группу '${primary_key}' Добавить новую запись ресурса DNS. Добавить новые сертификаты в запись службы. Добавить новый псевдоним учётной записи в запись службы. Добавить новый псевдоним учётной записи в запись узла. Добавить новый псевдоним учётной записи в запись неподтверждённого пользователя. Добавить новый псевдоним учётной записи в запись пользователя. Добавить одно или несколько сопоставлений сертификатов в запись неподтверждённого пользователя. Добавить одно или несколько сопоставлений сертификатов в запись пользователя. Добавить один или несколько сертификатов в запись idoverrideuser. Добавить один или несколько сертификатов в запись неподтверждённого пользователя. Добавить один или несколько сертификатов в запись пользователя. Добавить владельцев в контейнер хранилищ. Добавить владельцев в хранилище. Добавить политику паролей Добавить разрешение Добавить разрешения в привилегию. Добавить учётную запись Добавить привилегию Добавить привилегию '${primary_key}' в разрешения Добавить привилегии в разрешение '${primary_key}' Добавить привилегии в роль. Добавить профили в CA ACL. Добавить роль Добавить роль '${primary_key}' в привилегии Добавить роли в привилегию '${primary_key}' Добавить правило Добавить разрешение самообслуживания Добавить службу Добавить службу '${primary_key}' в роли Добавить службы в CA ACL '${primary_key}' Добавить службы в участники хранилища '${primary_key}' Добавить службы во владельцы хранилища '${primary_key}' Добавить службы в роль '${primary_key}' Добавить службы в группу пользователей '${primary_key}' Добавить службы в CA ACL. Добавить службы в правило HBAC. Добавить узлы-источники и группы узлов из правила HBAC. Добавить узлы-источники и группы узлов в правило HBAC. Добавить неподтверждённого пользователя Добавить команду Sudo Добавить команду Sudo '${primary_key}' в группы команд Sudo Добавить группу команд Sudo Добавить команды Sudo в группу команд Sudo '${primary_key}' Добавить параметр Sudo Добавить правило Sudo Добавить целевые узлы или группы узлов в CA ACL. Добавить целевые узлы и группы узлов в правило HBAC. Добавить целевые узлы и группы узлов в правило списка пользователей SELinux. Добавить цель в именованное правило делегирования служб. Добавить цель в именованное делегирование служб. Добавить узел в DNS с этим IP-адресом Добавить в группу по умолчанию Добавить сегмент топологии Добавить отношение доверия Добавить пользователя Добавить пользователя '${primary_key}' в правила HBAC Добавить пользователя '${primary_key}' в сетевые группы Добавить пользователя '${primary_key}' в роли Добавить пользователя '${primary_key}' в правила Sudo Добавить пользователя '${primary_key}' в группы пользователей Добавить переопределение ID пользователя Добавить группу пользователей Добавить группу пользователей '${primary_key}' в правила HBAC Добавить группу пользователей '${primary_key}' в сетевые группы Добавить группу пользователей '${primary_key}' в роли Добавить группу пользователей '${primary_key}' в правила Sudo Добавить группу пользователей '${primary_key}' в группы пользователей Добавить группы пользователей в CA ACL '${primary_key}' Добавить группы пользователей в правило HBAC '${primary_key}' Добавить группы пользователей в список пользователей SELinux '${primary_key}' Добавить группы пользователей в участники хранилища '${primary_key}' Добавить группы пользователей в сетевую группу '${primary_key}' Добавить группы пользователей во владельцы хранилища '${primary_key}' Добавить группы пользователей в роль '${primary_key}' Добавить группы пользователей в правило Sudo '${primary_key}' Добавить группы пользователей в группу пользователей '${primary_key}' Добавить пользователей и группы, которых касается правило Sudo. Добавить пользователей и группы для выполнения Sudo от их имени. Добавить пользователей и группы в CA ACL. Добавить пользователей и группы в правило HBAC. Добавить пользователей и группы в правило списка пользователей SELinux. Добавить пользователей в CA ACL '${primary_key}' Добавить пользователей в правило HBAC '${primary_key}' Добавить пользователей в список пользователей SELinux '${primary_key}' Добавить пользователей в участники хранилища '${primary_key}' Добавить пользователей в сетевую группу '${primary_key}' Добавить пользователей во владельцы хранилища '${primary_key}' Добавить пользователей в роль '${primary_key}' Добавить пользователей в правило Sudo '${primary_key}' Добавить пользователей в группу пользователей '${primary_key}' Добавить пользователей, которые управляют токеном OTP '${primary_key}' Добавить пользователей, которые могут управлять этим токеном. Добавить хранилище Добавлено %(map)s Добавлено %(src)s в %(dst)s Добавлено отношение доверия Active Directory для области (realm) "%(value)s" Добавлена CA ACL "%(value)s" Добавлено правило сопоставления сертификатов с записями пользователей "%(value)s" Добавлено переопределение ID группы "%(value)s" Добавлено правило HBAC "%(value)s" Добавлена служба HBAC "%(value)s" Добавлена группа служб HBAC "%(value)s" Добавлено представление ID "%(value)s" Добавлено переопределение ID "%(value)s" Добавлен диапазон идентификаторов "%(value)s" Добавлена запись расположения IPA "%(value)s" Добавлен токен OTP "%(value)s" Добавлен прокси-сервер RADIUS "%(value)s" Добавлен список пользователей SELinux "%(value)s" Добавлена команда Sudo "%(value)s" Добавлена группа команд Sudo "%(value)s" Добавлено правило Sudo "%(value)s" Добавлено переопределение ID пользователя "%(value)s" Добавлено правило автоучастия "%(value)s" Добавлен непрямой список соответствия автомонтирования "%(value)s" Добавлен ключ автомонтирования "%(value)s" Добавлено расположение автомонтирования "%(value)s" Добавлен список соответствия автомонтирования "%(value)s" Добавлены сопоставления сертификатов в запись пользователя "%(value)s" Добавлены сертификаты в запись узла "%(value)s" Добавлены сертификаты в запись idoverrideuser "%(value)s" Добавлены сертификаты в учётную запись службы "%(value)s" Добавлены сертификаты в запись неподтверждённого пользователя "%(value)s" Добавлены сертификаты в запись пользователя "%(value)s" Добавлено условие (условия) в "%(value)s" Добавлено делегирование "%(value)s" Добавлена группа "%(value)s" Добавлен узел "%(value)s" Добавлена группа узлов "%(value)s" Добавлена сетевая группа "%(value)s" Добавлен новый DNS-сервер "%(value)s" Добавлены новые псевдонимы в запись узла "%(value)s" Добавлены новые псевдонимы в запись неподтверждённого пользователя "%(value)s" Добавлены новые псевдонимы в учётную запись службы "%(value)s" Добавлены новые псевдонимы в запись пользователя "%(value)s" В правило Sudo "%(rule)s" добавлен параметр "%(option)s" Добавлено разрешение "%(value)s" Добавлена привилегия "%(value)s" Добавлена роль "%(value)s" Добавлен сегмент "%(value)s" Добавлено самообслуживание "%(value)s" Добавлена служба "%(value)s" Добавлено правило делегирования служб "%(value)s" Добавлена цель делегирования служб "%(value)s" Добавлен неподтверждённый пользователь "%(value)s" Добавлено системное разрешение "%(value)s" Добавлен суффикс топологии "%(value)s" Добавлен пользователь "%(value)s" Добавлено хранилище "%(value)s" Дополнительные инструкции: Адрес недействителен, перенаправление невозможно Учётная запись администратора Адрес электронной почты администратора Сообщено серверами Изменение принадлежности Соглашения удалены Алгоритм Все Все атрибуты, к которым применяется разрешение Все команды должны выводить результат Ни один сервер имён не ответил на запрос обратной зоны DNS %(revdns)s Все фильтры целей, включая те, которые применяются по type и memberof Разрешить Разрешить PTR-синхронизацию Разрешить доступ из доверенного домена. Разрешить добавление внешних не IPA-участников из доверенных доменов Разрешить динамические обновления Разрешить переход к резервному варианту LDAP DC AD при определении адресов доверенных объектов AD. Только для двусторонних отношений доверия. Разрешить группам узлов создавать таблицу ключей '${primary_key}' Разрешить группам узлов получать таблицу ключей '${primary_key}' Разрешить узлам создавать таблицу ключей '${primary_key}' Разрешить узлам получать таблицу ключей '${primary_key}' Разрешить линейную подпись DNSSEC Разрешить линейную подпись DNSSEC записей в зоне Разрешить запрос Разрешить синхронизацию прямых (A, AAAA) и обратных (PTR) записей Разрешить синхронизацию прямых (A, AAAA) и обратных (PTR) записей в зоне Разрешить перенос Разрешить использование ресурсов IPA доменом отношения доверия. Разрешить группам пользователей создавать таблицу ключей '${primary_key}' Разрешить группам пользователей получать таблицу ключей '${primary_key}' Разрешить пользователям создавать таблицу ключей '${primary_key}' Разрешить пользователям получать таблицу ключей '${primary_key}' Разрешить пользователям, группам, узлам или группам узлов создавать таблицу ключей этого узла. Разрешить пользователям, группам, узлам или группам узлов создавать таблицу ключей этой службы. Разрешить пользователям, группам, узлам или группам узлов получать таблицу ключей этого узла. Разрешить пользователям, группам, узлам или группам узлов получать таблицу ключей этой службы. Допустимая цель Разрешено олицетворять Разрешено создавать таблицу ключей Разрешено получать таблицу ключей Разрешает миграцию несмотря на использование подключаемого модуля совместимости Уже зарегистрировано Альтернативные суффиксы UPN Высота над уровнем моря Всегда спрашивать Неоднозначные параметры поиска: не указан домен пользователя Главный IPA-сервер не может быть удалён или отключён Произошла ошибка (${error}) Ошибка при получении данных зон DNS. Для этого отношения доверия уже существует диапазон идентификаторов. Следует либо удалить старый диапазон, либо исключить из команды параметры --base-id/--range-size. Интервал между регулярными опросами сервера имён о новых зонах DNS Не удалось определить привязку "%(anchor)s". Привязка, которую следует переопределить Любой CA Любая команда Любая группа Любой узел Любой профиль Любая служба Любой Применено к узлам Применяет представление ID к указанным узлам или текущим участникам указанных групп узлов. Если к узлу применяется другое представление ID, оно будет переопределено. Применяет представление ID к указанным узлам или текущим участникам указанных групп узлов. Если к узлу применяется другое представление ID, оно будет переопределено. Применить Применить ACI к своей собственной записи (self) Применить представление ID '${primary_key}' к узлам Применить представление ID '${primary_key}' к узлам групп узлов Применить к группам узлов Применить к узлам Обязательная строка, которая идентифицирует сегмент Архивировать данные в хранилище. Данные архивированы в хранилище "%(value)s" Вы действительно хотите ${action} пользователя?<br/>Изменения вступят в силу немедленно. Вы действительно хотите активировать ${object}? Вы действительно хотите активировать выбранные записи пользователей? Вы действительно хотите добавить разрешение для зоны DNS ${object}? Вы действительно хотите удалить ${object}? Вы действительно хотите удалить выбранные записи? Вы действительно хотите отключить ${object}? Вы действительно хотите отключить выбранные записи? Вы действительно хотите включить ${object}? Вы действительно хотите включить выбранные записи? Вы действительно хотите выполнить это действие? Вы действительно хотите удалить разрешение для зоны DNS ${object}? Вы действительно хотите восстановить ${object}? Вы действительно хотите восстановить выбранные записи пользователей? Вы действительно хотите разместить ${object} на хранение? Вы действительно хотите сделать выбранных пользователей неподтверждёнными? Вы действительно хотите отменить применение представления ID к выбранным записям? Вы действительно хотите разблокировать пользователя ${object}? Вы действительно хотите отменить подготовку этого узла? Вы действительно хотите отменить подготовку этой службы? Аргументы функции для получения сведений В качестве Запросить неслучайный пароль, который следует использовать для учётной записи Назначенное представление ID Назначенный руководитель токена (значение по умолчанию: self) Назначенный пользователь токена (значение по умолчанию: self) Асимметричное Следует указать хотя бы домен или IP-адрес Атрибут Ключ атрибута Разбивка по атрибутам Атрибут для фильтрации с помощью регулярных выражений. Например, полное имя для узла или руководитель для пользователя. Атрибуты Атрибуты для общего обновления Атрибуты, которые не реплицируются на сервер-потребитель при частичном обновлении. Например, `(objectclass=*) $ EXCLUDE accountlockout memberof Атрибуты, которые не реплицируются на сервер-потребитель при общем обновлении. Например, (objectclass=*) $ EXCLUDE accountlockout memberof Атрибуты, которые следует игнорировать для записей групп в DS Атрибуты, которые следует игнорировать для записей пользователей в DS Атрибуты, которые следует реплицировать Атрибуты, которые следует убрать Атрибуты, к которым применяется делегирование Атрибуты, к которым применяется разрешение Атрибуты, к которым по умолчанию применяется разрешение Атрибуты, к которым применяется разрешение. Аудит Аутентификация Аутентификация Индикаторы аутентификации Индикатор аутентификации Индикаторы аутентификации Не удалось выполнить аутентификацию с Kerberos Не удалось выполнить аутентификацию с личным сертификатом Полномочный сервер имён Изменение полномочного сервера имён Имя домена полномочного сервера имён ID центра Правило автоучастия Автоучастие не настроено Правило автоучастия: %s не найдено! Созданные автоматически Не удалось автоматически обновить системные записи DNS. Повторно запустите обновление системных записей вручную, чтобы получить список отсутствующих записей. Автоучастник Правило автоучастия Завершена задача по перестройке записей автоучастия Выполняется задача по перестройке записей автоучастия Автомонтирование Ключ автомонтирования Ключи автомонтирования Расположение автомонтирования Параметры расположения автомонтирования Расположения автомонтирования Список соответствия автомонтирования Списки соответствия автомонтирования Имя ключа автомонтирования Объект ключа автомонтирования. Имя расположения автомонтирования Имя списка соответствия автомонтирования Главный файл автомонтирования. Доступно Политика обновления BIND Назад К началу Неверный формат кэша учётных данных Недопустимый или неподдерживаемый тип соли.
Неверный фильтр поиска Неверный фильтр поиска %(info)s Базовое DN Базовое DN на удалённом LDAP-сервере Основной ID Основа для субъектов сертификатов (OU=Test,O=Example) Base-64 шифрованный сертификат Base-64 шифрованный сертификат узла Base-64 шифрованный сертификат сервера Base-64 шифрованный сертификат службы Base-64 шифрованный сертификат пользователя Не удалось выполнить декодирование Base64: %(reason)s Двоичные данные, которые следует архивировать Привязка DN Привязка пароля уже предоставлена (-w).
При использовании DN привязки (-w или -W) необходима привязка пароля.
Тип правила привязки Краткое описание этого профиля Центр сертификации (CA) CA "%s" отключён CA ACL CA ACL Компрометация центра сертификации (CA) Категория CA для категории CA нельзя установить значение "all", когда имеются разрешённые CA Категория CA, к которой применяется ACL Сертификат CA CA не настроен CA невозможно добавить CA, когда категория CA="all" Алгоритм CERT Тип сертификата CERT Сертификат или список отзыва сертификатов (CRL) CERT Тег ключа CERT Запись CERT Объект учётных данных CIFS Ваши регистрационные данные отклонены сервером CIFS %(host)s Ошибка обмена данными с сервером CIFS: код "%(num)s", сообщение "%(message)s" (оба значения могут быть "None") Ваши регистрационные данные отклонены сервером CIFS Метапеременная CLI Имя CLI Имя узла CNAME Запись CNAME Запись CNAME нельзя использовать вместе с любыми другими записями (RFC 1034, раздел 3.6.2) Запрос подписи сертификата Отменить Не удалось создать обратную запись для "%(value)s": %(exc)s Не удалось расшифровать файл "%(filename)s": %(exc)s Не удалось установить соединение LSA с %(host)s. Сервер CIFS работает? Невозможно установить отношение доверия с AD, развёрнутой в том же домене, что и IPA. Поддержка такой настройки не предусмотрена. Не удалось найти домен или сервер с указанным именем Не удалось скрыть мастер обновления CA. Не удалось скрыть мастер ключей DNSSec. Не удалось скрыть последний включённый сервер %(name)s. Невозможно выполнить проверку SID без установленной поддержки Samba 4. Убедитесь, что на сервере установлен субпакет IPA server-trust-ad Невозможно выполнить проверку внешнего участника без установленной поддержки Samba 4. Убедитесь, что на сервере установлен субпакет IPA server-trust-ad Без настройки собственного домена нельзя выполнять операцию присоединения. Убедитесь, что на IPA-сервере запущена команда ipa-adtrust-install Невозможно выполнить выбранную команду без настройки экземпляра Samba 4 на этом компьютере. Убедитесь, что на этом сервере запущена команда ipa-adtrust-install. Невозможно выполнить выбранную команду без установленной поддержки Samba 4. Убедитесь, что субпакет IPA server-trust-ad установлен. Не удалось отправить запрос средству управления каталогом (Directory Manager) с помощью программного интерфейса Не удалось прочитать файл "%(filename)s": %(exc)s Не удалось определить KDC для запрошенной области (realm) Не удалось получить список сборщиков мусора (GC) доверенного домена Без настройки собственного домена нельзя выполнять поиск в доверенных доменах. Убедитесь, что на IPA-сервере запущена команда ipa-adtrust-install Невозможно одновременно указать механизм SASL и DN привязки
Невозможно одновременно указать сервер и адрес LDAP
Не удалось сохранить ACI разрешения в %s Невозможно использовать %(old_name)s с %(new_name)s Номер автомобиля Сертификат Данные сопоставления сертификата Центры сертификации Центр сертификации Данные сертификата Сертификат для соответствия Приостановка действия сертификата Приостановка действия сертификата отменена Глобальная конфигурация сопоставления сертификатов с записями пользователей Правило сопоставления сертификатов с записями пользователей Описание правила сопоставления сертификатов с записями пользователей Имя правила сопоставления сертификатов с записями пользователей Правила сопоставления сертификатов с записями пользователей Параметры конфигурации сопоставления сертификатов с записями пользователей Соответствие сопоставления сертификата Профиль сертификатов Сертификат профиля, который следует использовать Профили сертификатов Профили сертификатов, которые следует добавить Профили сертификатов, которые следует удалить Сертификат отозван Основа субъекта сертификата Тип сертификата Использование сертификата Цепочка сертификатов Сертификат для ${primary_key} ${entity} Ошибка формата сертификата: %(error)s Сертификат в формате base64 или PEM Данные сопоставления сертификата Не удалось завершить операцию с сертификатом: %(error)s Профили сертификатов невозможно переименовать Отправлен запрос сертификата Сертификат с серийным номером %(serial)s, выданный CA "%(ca)s", не найден Сертификат (сертификаты), которые хранятся в файле "%(file)s" Сертификат или список отзыва сертификатов (CRL) Сертификаты Прекращение действия Изменить текущий уровень домена. Изменить пароль Изменение на POSIX-группу Изменение на внешнюю группу Изменён пароль "%(value)s" Изменено состояние сервера "%(value)s". Классы символов Проверить DNS Проверить связь с удалённым IPA-сервером. Проверить состояние запроса подписи сертификата. Проверка существования записи. Проверяет, включена ли служба CA на каких-либо серверах. Проверяет, включена ли служба DNS на каких-либо серверах. Проверяет, включена ли служба KRA на каких-либо серверах. Город Класс Объект класса обслуживания, который используется для связывания политик с группами Очистить Очистить все поля на странице. Очищает представление ID для указанных узлов или текущих участников указанных групп узлов. Щёлкните, чтобы ${action} Учётные данные клиента можно делегировать службе Клиент не настроен. Выполните команду ipa-client-install. Версия клиента. Используется для определения того, примет ли сервер запрос. Временной интервал Смещение времени Закрыть Не удалось закрыть файл таблицы ключей
Свернуть все Список типов шифрования, разделённых запятыми Разделённый запятыми список атрибутов Разделённый запятыми список атрибутов, которые следует игнорировать для записей групп в DS Разделённый запятыми список атрибутов, которые следует игнорировать для записей пользователей в DS Разделённый запятыми список классов объектов, которые следует игнорировать для записей групп в DS Разделённый запятыми список классов объектов, которые следует игнорировать для записей пользователей в DS Разделённый запятыми список классов объектов, использованных для поиска записей групп в DS Разделённый запятыми список классов объектов, использованных для поиска записей пользователей в DS Разделённый запятыми список разрешений, которые следует предоставить (read, write). По умолчанию предоставляется разрешение "write" (запись). Разделённый запятыми список разрешений, которые следует предоставить (read, write, add, delete, all) Разделённый запятыми список необработанных записей A Разделённый запятыми список необработанных записей A6 Разделённый запятыми список необработанных записей AAAA Разделённый запятыми список необработанных записей AFSDB Разделённый запятыми список необработанных записей APL Разделённый запятыми список необработанных записей CERT Разделённый запятыми список необработанных записей CNAME Разделённый запятыми список необработанных записей DHCID Разделённый запятыми список необработанных записей DLV Разделённый запятыми список необработанных записей DNAME Разделённый запятыми список необработанных записей DNSKEY Разделённый запятыми список необработанных записей DS Разделённый запятыми список необработанных записей HIP Разделённый запятыми список необработанных записей IPSECKEY Разделённый запятыми список необработанных записей KEY Разделённый запятыми список необработанных записей KX Разделённый запятыми список необработанных записей LOC Разделённый запятыми список необработанных записей MX Разделённый запятыми список необработанных записей NAPTR Разделённый запятыми список необработанных записей NS Разделённый запятыми список необработанных записей NSEC Разделённый запятыми список необработанных записей NSEC3 Разделённый запятыми список необработанных записей NSEC3PARAM Разделённый запятыми список необработанных записей PTR Разделённый запятыми список необработанных записей RP Разделённый запятыми список необработанных записей RRSIG Разделённый запятыми список необработанных записей SIG Разделённый запятыми список необработанных записей SPF Разделённый запятыми список необработанных записей SRV Разделённый запятыми список необработанных записей SSHFP Разделённый запятыми список необработанных записей TA Разделённый запятыми список необработанных записей TKEY Разделённый запятыми список необработанных записей TSIG Разделённый запятыми список необработанных записей TXT Команда "%(name)s" больше не поддерживается Категория команд Категория команд, к которой применяется правило Имя команды Команда не поддерживается Команды Общее имя Условия, которые не удалось добавить Условия, которые не удалось удалить Конфигурация Строка конфигурации Настройте ваш токен Настройте ваш токен, отсканировав расположенный ниже QR-код. Щёлкните по QR-коду, если видите правильные данные на устройстве, которое вы хотите настроить. Превышено заданное ограничение административного сервера Превышено заданное ограничение по размеру Превышено заданное ограничение по времени Подтвердить (пароль) Подтверждение Возможность подключения Количество последовательных ошибок до блокировки Использовать право. Параметры контакта Установить связь с указанным KDC-сервером Содержимое "стандартных" хранилищ могут просматривать пользователи с более высоким уровнем привилегий (администраторы). Продолжить Перейти на следующую страницу Режим непрерывной работы: не останавливаться в случае ошибок Непрерывный режим работы. Сообщения об ошибках выводятся, но процесс продолжается. Непрерывный режим работы. Сообщения об ошибках выводятся, но процесс продолжается. Преобразовывать на сервере Не удалось получить %(name)s в интерактивном режиме Не удалось прочитать фильтр происхождения (originfilter) определения личной группы пользователя (UPG Definition). Проверьте ваши разрешения. Счётчик На основе счётчика (HOTP) Создать неподтверждённого пользователя на основе удалённого пользователя Создать запись CA. Создать новую запись CA ACL. Создать новое правило сопоставления сертификатов с записями пользователей. Создать новое правило HBAC. Создать новый список пользователей SELinux. Создать новый ключ автомонтирования. Создать новое расположение автомонтирования. Создать новый список соответствия автомонтирования. Создать новую группу. Создать новую непрямую точку монтирования. Создать новое правило делегирования служб. Создать новую цель делегирования служб. Создать новое хранилище. Создать как не-POSIX-группу Создать запись DNS Создать новую запись ACI. Создать новую зону перенаправления DNS. Создать новую зону DNS (запись SOA). Создать новую группу команд Sudo. Создать новую команду Sudo. Создать новое правило Sudo. Создать обратную запись Создать обратную запись для этого IP-адреса Создана ACI "%(value)s" Создана запись CA "%(value)s" Создание записи. Учётные данные Неправильные права доступа к кэшу учётных данных Отношения доверия между областями (realm) не настроены. Убедитесь, что на IPA-сервере запущена команда ipa-adtrust-install Текущее содержание записи DNS:
Текущий пароль Текущий уровень домена: Следует указать текущий пароль Пользовательское значение Настройка Запись DHCID Алгоритм DLV Дайджест DLV Тип дайджеста DLV Тег ключа DLV Запись DLV В commonName DN не соответствует имени пользователя В emailAddress DN не соответствует ни одному адресу электронной почты пользователя DN контейнера для групп в DS относительно базового DN DN контейнера для пользователей в DS относительно базового DN DN запущенной задачи DN, к которому следует установить привязку, если не используется Kerberos Цель DNAME Запись DNAME DNS Зона перенаправления DNS Зоны перенаправления DNS Глобальная конфигурация DNS В подключаемом модуле bind-dyndb-ldap не предусмотрена поддержка типа записи ресурсов DNS "%s" Запись ресурса DNS Записи ресурсов DNS DNS-сервер Имя DNS-сервера DNS-серверы Зона DNS Параметры зоны DNS Зоны DNS Не удалось выполнить проверку DNS: ожидалось {%(expected)s}, получено {%(got)s} Класс DNS Параметры конфигурации DNS зона перенаправления DNS зоны перенаправления DNS DNS-перенаправитель С выходом IPA 4.0 изменилась семантика DNS-перенаправителя.
Рекомендуется перейти на использование зон перенаправления (dnsforwardzone-*).
Подробные сведения содержатся в документации. DNS не настроено DNS-метка не может быть длиннее 63 символов Длина DNS-метки не может быть больше 63 символов Запись DNS была удалена, так как не содержала данные. Не удалось удалить DNS-запись (записи) узла %(host)s. (%(reason)s) Записи DNS можно обновлять только по одной запись ресурса DNS Тип записи ресурса DNS записи ресурсов DNS Обратная зона DNS %(revzone)s для IP-адреса %(addr)s не управляется этим сервером DNS-сервер DNS-сервер %(server)s не поддерживает DNSSEC: %(error)s.
Если на IPA-сервере (серверах) включена проверка DNSSEC, отключите её. DNS-сервер %(server)s не поддерживает EDNS0 (RFC 6891): %(error)s.
Если на IPA-сервере (серверах) включена проверка DNSSEC, отключите её. DNS-сервер %(server)s: %(error)s. DNS-серверы зона DNS Зона DNS %(zone)s не найдена Запись зоны DNS для каждого realmdomain должна содержать записи SOA или NS. Для %s такие записи не найдены. Невозможно переименовать корневую запись зоны DNS зоны DNS Запись DNSKEY Экспериментальная поддержка DNSSEC.
%(additional_info)s Сбой проверки DNSSEC: %(error)s.
Проверьте конфигурацию DNSSEC или отключите проверку DNSSEC на всех IPA-серверах. Мастер ключей DNSec Алгоритм DS Дайджест DS Тип дайджеста DS Тег ключа DS Запись DS запись DS не должна находиться в начале зоны (RFC 4035, раздел 2.4) запись DS должна использоваться вместе с записью NS (RFC 4592, раздел 4.6, RFC 4035, раздел 2.4) Данные Отладочный вывод По умолчанию Группа по умолчанию (резервная) Группа по умолчанию (резервная) для размещения записей Типы PAC по умолчанию Пользователь SELinux по умолчанию Пользователь SELinux по умолчанию, когда в правиле списка SELinux не найдено соответствие Представление отношений доверия по умолчанию невозможно применить к узлам Представление отношений доверия по умолчанию не может содержать пользователей IPA Атрибуты по умолчанию Почтовый домен по умолчанию По умолчанию с Группа по умолчанию для размещения записей Группа по умолчанию для новых пользователей Группа по умолчанию для новых пользователей не является POSIX-группой Группа по умолчанию для новых пользователей не найдена Классы объектов для групп по умолчанию Классы объектов для групп по умолчанию (через запятую) Группа узлов по умолчанию Расположение домашних каталогов по умолчанию Оболочка по умолчанию Оболочка по умолчанию для новых пользователей Не удалось прочитать политику билетов по умолчанию Срок жизни по умолчанию Типы PAC по умолчанию, которые поддерживаются для служб Стандартные типы поддерживаемой аутентификации пользователей Стандартные типы аутентификации пользователей Группа пользователей по умолчанию Классы объектов для пользователей по умолчанию Классы объектов для пользователей по умолчанию (через запятую) Группа пользователей по умолчанию Градусы широты Градусы долготы Делегирование Имя делегирования Делегирования Удалить Удалить значения "%(value)s" %(name)s? Удалить запись ACI. Удалить запись класса обслуживания Удалить зону перенаправления DNS. Удалить пункт записи DNS. Удалить запись ресурса DNS. Удалить зону DNS (запись SOA). Удалить IPA-сервер. Удалить ключ, отменить подготовку к работе Удалить сервер Удалить группу команд Sudo. Удалить команду Sudo. Удалить правило Sudo. Удалить CA ACL. Удалить правило сопоставления сертификатов с записями пользователей. Удалить профиль сертификатов. Удалить DNS-сервер Удалить прокси-сервер RADIUS. Удалить список пользователей SELinux. Удалить делегирование. Удалить групповую политику паролей. Удалить узел. Удалить группу узлов. Удалить сетевую группу. Удалить разрешение. Удалить привилегию. Удалить роль. Удалить сегмент. Удалить разрешение самообслуживания. Удалить неподтверждённого пользователя. Удалить суффикс топологии. Удалить отношение доверия. Удалить пользователя Удалить пользователя, сохраняя запись доступной для будущего использования Удалить пользователя. Удалить контейнер хранилищ. Удалить хранилище. Удалить все связанные записи Удалить все? Удалить переопределение ID группы. Удалить правило HBAC. Удалить группу служб HBAC. Удалить представление ID. Удалить переопределение ID. Удалить диапазон идентификаторов. Удалить запись расположения IPA. Удалить службу IPA. Удалить токен OTP. Удалить переопределение ID пользователя. Удалить пару атрибут/значение. Параметр будет использован последним, после всех установок и добавлений. Удалить правило автоучастия. Удалить ключ автомонтирования. Удалить расположение автомонтирования. Удалить список соответствия автомонтирования. Удалить существующую службу HBAC. Удалить домен Удалить группу. Режим удаления Удалить цель делегирования служб. Удалить делегирование служб. Удалена ACI "%(value)s" Удалена запись CA "%(value)s" Удалена CA ACL "%(value)s" Удалено правило сопоставления сертификатов с записями пользователей "%(value)s" Удалена зона перенаправления DNS "%(value)s" Удалён DNS-сервер "%(value)s" Удалена зона DNS "%(value)s" Удалено переопределение ID группы "%(value)s" Удалено правило HBAC "%(value)s" Удалена служба HBAC "%(value)s" Удалена группа служб HBAC "%(value)s" Удалено представление ID "%(value)s" Удалено переопределение ID "%(value)s" Удалён диапазон идентификаторов "%(value)s" Удалена запись расположения IPA "%(value)s" Удалён IPA-сервер "%(value)s" Удалён токен OTP "%(value)s" Удалён прокси-сервер RADIUS "%(value)s" Удалён список пользователей SELinux "%(value)s" Удалена команда Sudo "%(value)s" Удалена группа команд Sudo "%(value)s" Удалено правило Sudo "%(value)s" Удалено переопределение ID пользователя "%(value)s" Удалено правило автоучастия "%(value)s" Удалён ключ автомонтирования "%(value)s" Удаление расположения автомонтирования. "%(value)s" Удалён список соответствия автомонтирования "%(value)s" Удалено делегирование "%(value)s" Удалена группа "%(value)s" Удалён узел "%(value)s" Удалена группа узлов "%(value)s" Удалена сетевая группа "%(value)s" Удалено разрешение "%(value)s" Удалена привилегия "%(value)s" Удалён профиль "%(value)s" Удалена запись "%(value)s" Удалена роль "%(value)s" Удалён сегмент "%(value)s" Удалено самообслуживание "%(value)s" Удалена служба "%(value)s" Удалено делегирование служб "%(value)s" Удалена цель делегирования служб "%(value)s" Удалён неподтверждённый пользователь "%(value)s" Удалён суффикс топологии "%(value)s" Удалено отношение доверия "%(value)s" Удален пользователь "%(value)s" Удалено хранилище "%(value)s" Удалён контейнер хранилищ Удаление управляемой группы запрещено. Сначала её необходимо отключить. Удаление сервера приводит к его необратимому удалению из топологии. Это действие нельзя отменить. Удаление этой записи сервера запрещено, так как это оставило бы вашу установленную систему без CA. Удаление этой записи сервера запрещено, так как это оставило бы вашу установленную систему без KRA. Удаление этой записи сервера оставит вашу установленную систему без DNS. Запретить Номер отдела Неподдерживаемые опции Больше не поддерживается; используйте %s Больше не поддерживается; используйте extratargetfilter Больше не поддерживается; используйте ipapermlocation Больше не поддерживается; используйте ipapermright Показать описание текущего прошедшего аутентификацию профиля. Описание Описание предназначения CA Отсоединить управляемую группу от пользователя. Отсоединена группа "%(value)s" от пользователя "%(value)s" Определить Определить, настроен ли подключаемый модуль совместимости схем (Schema Compatibility) для обслуживания пользователей и групп доверенных доменов. Определить, запущена ли в этой системе команда ipa-adtrust-install. Определить, запущена ли команда ipa-adtrust-install с задачей sidgen. Словарь переведённых сообщений (I18N) Словарь команд IPA, зашифрованных JSON Словарь методов IPA, зашифрованных JSON Словарь объектов IPA, зашифрованных JSON Словарь, сопоставляющий имена подключаемых модулей с базовыми Словарь, сопоставляющий имя переменной со значением Дайджест Тип дайджеста Цифры Прямой Прямое участие Направление широты Направление долготы Направление репликации между левым и правым узлами репликации Отключить Отключить зону перенаправления DNS. Отключить зону DNS. Отключить CA ACL. Отключить службу сертификации. Отключить правило сопоставления сертификатов с записями пользователей. Отключить правило Sudo. Отключить учётную запись пользователя. Отключить правило HBAC. Отключить правило списка пользователей SELinux. Отключить переопределение на уровне пользователя Отключить ключ Kerberos и SSL-сертификат службы. Отключить ключ Kerberos, SSL-сертификат и все службы узла. Отключить токен Отключить использование ресурсов IPA доменом отношения доверия Отключён Отключена служба сертификации "%(value)s" Отключена CA ACL "%(value)s" Отключено правило сопоставления сертификатов с записями пользователей "%(value)s" Отключена зона перенаправления DNS "%(value)s" Отключена зона DNS "%(value)s" Отключено правило HBAC "%(value)s" Отключён список пользователей SELinux "%(value)s" Отключено правило Sudo "%s" Отключённый домен "%(domain)s" нельзя использовать Отключён узел "%(value)s" Отключена служба "%(value)s" Отключён надёжный домен "%(value)s" Учётная запись пользователя "%(value)s" отключена Запретить группам узлов создавать таблицу ключей '${primary_key}' Запретить группам узлов получать таблицу ключей '${primary_key}' Запретить узлам создавать таблицу ключей '${primary_key}' Запретить узлам получать таблицу ключей '${primary_key}' Запретить группам пользователей создавать таблицу ключей '${primary_key}' Запретить группам пользователей получать таблицу ключей '${primary_key}' Запретить пользователям создавать таблицу ключей '${primary_key}' Запретить пользователям получать таблицу ключей '${primary_key}' Запретить пользователям, группам, узлам или группам узлов создавать таблицу ключей этого узла. Запретить пользователям, группам, узлам или группам узлов создавать таблицу ключей этой службы. Запретить пользователям, группам, узлам или группам узлов получать таблицу ключей этого узла. Запретить пользователям, группам, узлам или группам узлов получать таблицу ключей этой службы. Показать запись класса обслуживания Показать ресурс DNS. Показать группу команд Sudo. Показать команду Sudo. Показать правило Sudo. Показать сегмент. Показать отдельную запись ACI по указанному имени ACI. Показать ключ автомонтирования. Показать расположение автомонтирования. Показать список соответствия автомонтирования. Показать конфигурацию DNS-сервера. Показать текущие права. Показать действующую политику для определённого пользователя Показать сведения о правиле сопоставления сертификатов с записями пользователей. Показать сведения о зоне перенаправления DNS. Показать сведения о зоне DNS (записи SOA). Показать сведения о прокси-сервере RADIUS. Показать сведения о классе. Показать сведения о выводе команды. Показать сведения о параметре команды. Показать сведения о команде. Показать сведения о делегировании. Показать сведения о разделе справки. Показать сведения об узле. Показать сведения о группе узлов. Показать сведения об именованной группе. Показать сведения об именованном правиле делегирования служб. Показать сведения об именованной цели делегирования служб. Показать сведения о сетевой группе. Показать сведения о разрешении. Показать сведения о привилегии. Показать сведения о диапазоне. Показать сведения о роли. Показать сведения о разрешении самообслуживания. Показать сведения о неподтверждённом пользователе. Показать сведения об отношении доверия. Показать сведения о пользователе. Показать сведения о контейнере хранилищ. Показать сведения о хранилище. Показать сведения о переопределении ID группы. Показать сведения о группе служб HBAC. Показать сведения о службе HBAC. Показать сведения о представлении ID. Показать сведения о переопределении ID. Показать сведения о расположении IPA. Показать сведения о службе IPA. Показать сведения о токене OTP. Показать сведения о переопределении ID пользователя. Показать сведения о правиле автоучастия. Показать сведения о политике паролей. Показать сведения о группах автоучастия по умолчанию (резервных) Отображаемое имя Показать права доступа этой записи (требуется --all). Подробные сведения приводятся на странице справочника (man) по IPA. Показать текущую политику билетов Kerberos. Показать список доменов области. Показать свойства CA ACL. Показать свойства CA. Показать свойства профиля сертификатов. Показать свойства правила списка пользователей SELinux. Показать свойства правила HBAC. Показать запись пользователя для текущей учётной записи Kerberos Не показывать QR-код Не обновлять записи, только вернуть ожидаемые записи Вы хотите также выполнить проверку DNS? Следует ли проверить, есть ли адрес нового полномочного сервера имён в DNS Вы хотите удалить данные сопоставления сертификата ${data}? Вы хотите удалить псевдоним Kerberos ${alias}? Вы хотите отменить приостановку действия сертификата? Вы хотите отозвать этот сертификат? Выберите причину в раскрывающемся списке. Вы хотите обновить записи DNS системы? Документация ID Dogtag центра Домен Домен "%(domain)s" не является корневым для леса "%(forest)s" GUID домена Уровень домена Уровень домена не может быть понижен. Уровень домена не может быть поднят до {0}, следует устранить существующие конфликты репликации. Уровень домена не может быть поднят до {0}, так на сервере {1} не предусмотрена поддержка такого уровня. Имя домена NetBIOS SID домена SID доверенного домена Идентификатор безопасности домена Контроллер домена для домена Active Directory (необязательно) Домен включён Имя домена Порядок разрешения доменов Домен, в котором будет выполняться поиск записи пользователя Не создавать личную группу пользователя Не ждать перестройки участия Загрузить Загрузить сертификат в виде файла в формате PEM. Диск для монтирования домашнего каталога Пробное выполнение Пропущенные ключи-дубликаты: Пропущенные списки соответствия — дубликаты: Динамическое обновление Изменить Изменить ${entity} Действующие атрибуты Адрес электронной почты Сведения о сотруднике Номер сотрудника Тип сотрудника Использование пустого домена запрещено Включить Включить зону перенаправления DNS. Включить зону DNS. Включить CA ACL. Включить службу сертификации. Включить правило сопоставления сертификатов с записями пользователей. Включить правило Sudo. Включить учётную запись пользователя. Включить правило HBAC. Включить правило списка пользователей SELinux. Включить режим миграции Включить или отключить использование "анонимного пользователя" для пре-аутентификации (PKINIT). Включить токен Включено Включена служба сертификации "%(value)s" Включена CA ACL "%(value)s" Включено правило сопоставления сертификатов с записями пользователей "%(value)s" Включена зона перенаправления DNS "%(value)s" Включена зона DNS "%(value)s" Включено правило HBAC "%(value)s" Включён список пользователей SELinux "%(value)s" Включено правило Sudo "%s" Включены роли сервера Включён надёжный домен "%(value)s" Учётная запись пользователя "%(value)s" включена Типы шифрования для запрашивания Ошибка сравнения значений типа шифрования!
Зарегистрировано Регистрация UUID регистрации UUID регистрации (не поддерживается) Не удалось выполнить регистрацию. %s
Введите %(label)s ещё раз для проверки: Введите пароль LDAP Введите имя доверенной группы. Введите имя учётной записи доверенной группы или группы IPA. Примечание: в списке результатов поиска не будет записей групп из доверенных доменов. Введите имя учётной записи доверенного пользователя или пользователя IPA. Примечание: в списке результатов поиска не будет записей пользователей из доверенных доменов. Введите имя учётной записи доверенного пользователя. Запись Запись %s не существует Запись %s не найдена RDN записи не имеет значение "uid" В записи нет "%(attribute)s" Пронумеровать все узлы, к которым применяется представление Ошибка Ошибка при изменении состояния учётной записи Ошибка получения области (realm) Kerberos по умолчанию: %s.
Ошибка получения начальных учётных данных: %s.
Ошибка обработки "%1$s": %2$s.
Ошибка обработки файла таблицы ключей: %s.
Ошибка сохранения учётных данных в кэше: %s.
Установить двунаправленное отношение доверия. По умолчанию устанавливается только одностороннее отношение. Установить внешнее отношение доверия с доменом в другом лесу. Отношение доверия не является транзитивным за пределами этого домена. Установить с помощью Установлено и проверено Превышено количество попыток перенаправления запроса. Обменник Исключить из Исключённые атрибуты Исключающий Исключающие регулярные выражения Развернуть все Истекает Экспортировать метаданные подключаемого модуля для веб-интерфейса. Выражение Внешний Внешняя группа, от имени которой можно выполнять команды (только sudorule-find) Внешние группы пользователей запуска от имени Внешние группы пользователей, от имени которых можно выполнять команду Внешний пользователь Внешний пользователь, от имени которого можно выполнять команды (только sudorule-find) Внешний пользователь, к которому применяется правило (только sudorule-find) Внешний узел Внешний участник Внешнее отношение доверия Дополнительные хеши для создания в подключаемом модуле паролей Дополнительный фильтр целей Ошибка центров сертификации (CA) Ошибка запуска от имени Ошибка запуска от имени группы Не удалось разрешить создавать таблицу ключей Не удалось разрешить получать таблицу ключей Ошибка узлов или групп узлов Неудачные попытки входа Ошибка managedby Ошибка участников Записи владельцев с ошибками Ошибка профилей Ошибка службы или групп служб Ошибка узлов-источников или групп узлов — источников Ошибка целей Ошибка при добавлении Не удалось добавить ключ в таблицу ключей
Не удалось добавить пользователя в группу по умолчанию. Используйте команду "ipa group-add-member", чтобы добавить его вручную. Не удалось задать привязку к серверу!
Не удалось удалить memberPrincipal %(principal)s из записи s4u2proxy %(dn)s: %(err)s Не удалось удалить ключи Custodia для %(master)s: %(err)s Не удалось удалить записи имени узла DNA для %(master)s: %(err)s Не удалось удалить записи DNS %(hostname)s: %(err)s Не удалось удалить учётные записи или ключи сервера: %(err)s Не удалось закрыть файл таблицы ключей
Не удалось установить соединение с sssd с помощью SystemBus. Подробные сведения доступны в файле error_log Не удалось создать элемент управления!
Не удалось создать ключ
Не удалось создать ключ!
Не удалось создать случайный ключ!
Не удалось расшифровать контрольный ответ!
Не удалось найти пользователей с помощью SystemBus. Подробные сведения доступны в файле error_log Не удалось получить файл таблицы ключей
Не удалось получить файл таблицы ключей!
Не удалось получить результат: %s
Не удалось открыть файл таблицы ключей
Не удалось открыть файл конфигурации %s
Не удалось открыть файл таблицы ключей
Не удалось открыть файл таблицы ключей "%1$s": %2$s
Не удалось обработать файл конфигурации %s
Не удалось обработать расширенный результат: %s
Не удалось обработать результат: %s
Ошибка при удалении Не удалось удалить сервер %(master)s из списка серверов: %(err)s Не удалось разрешить символическую ссылку на файл таблицы ключей.
Не удалось получить ни одного ключа Не удалось получить данные о типе шифрования %1$s (№%2$d)
Не удалось получить данные о типе шифрования №%d
Ошибка пользователей или групп Сбой при декодировании запроса подписи сертификата: %s Интервал сброса ошибок Резервная основная группа Перейти к резервному варианту LDAP DC AD Нет (False) Значение "False", если миграцию не удалось выполнить из-за включённого подключаемого модуля совместимости. Значение "False", если режим миграции отключён. Номер факса Получить домены Получение данных зон DNS. Не удалось получить домены из доверенного леса. Подробные сведения доступны в файле error_log Файл %(file)s не найден Файл, содержащий данные, которые следует архивировать Файл, который содержит конфигурацию профиля Файл, который содержит новый пароль хранилища Файл, который содержит новый открытый ключ хранилища Файл, который содержит старый пароль хранилища Файл, который содержит старый закрытый ключ хранилища Файл, который содержит пароль хранилища Файл, который содержит закрытый ключ хранилища Файл, который содержит открытый ключ хранилища Файл, из которого следует загрузить сертификат Файл, из которого следует загрузить сертификат. Файл, в который следует сохранить полученные данные Файл для сохранения сертификата Пустое имя файла Имя файла необработанного профиля. Поддержка формата XML не предусмотрена. Фильтр Доступный фильтр ${other_entity} Найти Поиск роли сервера на сервере (серверах). Отпечаток Отпечаток (SHA1) Отпечаток (SHA256) Тип отпечатка Отпечаток схемы, кэшированный клиентом Отпечатки Первый Первый код Первый OTP Первый идентификатор POSIX диапазона Первый идентификатор POSIX диапазона, зарезервированного для доверенного домена Первый RID соответствующего диапазона RID Первый RID вторичного диапазона RID Начало срока действия токена (день и время) Имя Флаги Следующие сегменты не были удалены: Принудительно Принудительно создать зону DNS, даже если она будет пересекаться с существующей зоной Принудительно создать зону DNS, даже если не удаётся определить сервер имён Принудительно создать зону DNS, даже если не удаётся определить сервер имён. (Больше не поддерживается.) Принудительное обновление Принудительно добавить домен, даже если имени нет в DNS Принудительно изменить сервер имён, даже если он отсутствует в DNS Принудительное удаление сервера Принудительное удаление сервера, даже если он не существует Принудительно присоединить узел. Повторить присоединение, даже если оно уже выполнено. Принудительное удаление %(hostname)s У леса "%(forest)s" существует отношение доверия с лесом (лесами) %(domains)s, это не позволяет установить отношение доверия с "%(conflict)s" Ошибка форматирования Сначала перенаправлять Только перенаправлять Политика перенаправления В DNS IPA определена соответствующая политика перенаправления. Возможно, перенаправитель указывает на некорректный узел? Перенаправить на сервер вместо локального выполнения Только зоны перенаправления Перенаправители Перенаправление отключено Политика перенаправления конфликтует с некоторыми автоматически созданными пустыми зонами. Запросы для зон, указанных в RFC 6303, будут игнорировать перенаправление и рекурсию и всегда возвращать ответы "NXDOMAIN". Чтобы переопределить это поведение, используйте политику перенаправления "only". Найдено: "%(value)s" Полное имя Полное имя узла Функция для получения сведений GECOS Поле GECOS ID группы GID (используйте этот параметр, чтобы установить его вручную) GSSAPI|EXTERNAL Основные Создать OTP Создать случайный пароль для массовой регистрации Создать случайный пользовательский пароль Создать файлы автомонтирования для определённого расположения. Созданный OTP Получить Получить сертификат Пустая глобальная конфигурация DNS Глобальная конфигурация отношений доверия Глобальные перенаправители Глобальные перенаправители. Для каждого перенаправителя можно указать отдельный порт с помощью стандартного формата "IP_АДРЕС port ПОРТ". Глобальная политика перенаправления. Чтобы отключить все настроенные глобальные перенаправители, установите значение "none". Предоставленные права Предоставлена привилегия Предоставление привилегий ролям Группа Группа "%s" не существует ID группы Переопределение ID группы Переопределения ID группы Параметры группы Параметры группы Тип группы Категории групп Контейнер групп Описание группы Имя группы Класс объектов группы Приоритет объекта группы Поля поиска групп Группа, к которой следует применить ACI Группа, которую следует переопределить Тип группировки Группировка, к которой применяется правило Группы Группы, которым разрешено создавать таблицу ключей Группы, которым разрешено получать таблицу ключей Группы пользователей запуска от имени Правило HBAC Правило HBAC, которое определяет пользователей, группы и группы узлов Правила HBAC Cлужба HBAC Группа служб HBAC Группы служб HBAC Cлужбы HBAC Проверка HBAC правило HBAC Правило HBAC %(rule)s не найдено Невозможно одновременно указать правило HBAC и локальных участников правила HBAC Служба HBAC Описание службы HBAC группа служб HBAC Описание группы служб HBAC группы служб HBAC группы служб HBAC, которые следует добавить группы служб HBAC, которые следует удалить cлужбы HBAC cлужбы HBAC, которые следует добавить службы HBAC, которые следует удалить Запись HIP Окно HOTP-аутентификации Окно HOTP-синхронизации Пропустить HOTP-аутентификацию и перейти далее Пропустить HOTP-синхронизацию и перейти далее Ошибка HTTP Пароль с усиленной защитой (SPAKE или FAST) MAC-адрес(а) данного узла Аппаратная платформа узла (например, Lenovo T61) Привет всем! Раздел справки Скрытые серверы CA IPA Скрытые DNS-серверы IPA Скрытые KRA-серверы IPA Скрытые главные IPA-серверы Скрытые IPA-серверы, настроенные в качестве центра сертификации Скрытыие IPA-серверы, настроенные в качестве сервера доменных имен Скрытые IPA-серверы, настроенные в качестве агента восстановления ключей Скрыть Скрыть подробности Скрыть подробные сведения о том, какие правила соответствуют, не соответствуют или недействительны Размер журнала Домашний каталог Основа домашних каталогов Горизонтальная точность Узел Узел "%(host)s" не найден На узле "%(hostname)s" нет соответствующей записи DNS A/AAAA Узел "%(hostname)s" не является активным центром распространения ключей (KDC) Сертификат узла Группа узлов Параметры группы узлов Группы узлов Группы узлов, которым разрешено создавать таблицу ключей Группы узлов, которым разрешено получать таблицу ключей Маски узлов Имя узла Параметры узла Категория узлов Категория узлов (семантика этого атрибута предназначена для локального разбора) Категория узлов, к которой применяется ACL Категория узлов, к которой применяется правило Правило группы узлов Правила группы узлов Аппаратная платформа узла (например, "Lenovo T61") Узел уже присоединён.
Поддержка узла не предусмотрена Адрес местонахождения узла (например, "Москва, Россия") Расположение узла (например, "Lab 2") Имя узла Операционная система узла и её версия (например, "Fedora 9") Узел, подготовка которого к работе отменена Управление доступом на основе узла Команды управления доступом на основе узла Группа узлов Группы узлов, к узлам которых следует применить представление ID. Обратите внимание, что представление не применяется автоматически к узлам, добавленным в группу узлов после выполнения команды idview-apply. Группы узлов, для узлов которых следует очистить представления ID. Обратите внимание, что представление не очищается автоматически для узлов, добавленных в группу узлов после выполнения команды idview-unapply. Имя узла Имя узла (FQDN) Имя узла этого сервера Узлы Узлы, которым разрешено создавать таблицу ключей Узлы, которым разрешено получать таблицу ключей Узлы или группы узлов, для которых не удалось очистить представление ID. Узлы или группы узлов, к которым не удалось применить это представление ID. Узлы, для которых было очищено представление ID. Узлы, к которым было применено это представление ID. Узлы, к которым применяется представление Узлы, к которым следует применить представление ID Узлы, для которых следует очистить (любое) представление ID. Как долго следует кэшировать отрицательные ответы Диапазон идентификаторов Диапазоны идентификаторов Представление ID Имя представления ID Представление ID уже применено Представление ID применено к узлу: %i. Представление ID применено к узлам: %i. Представление ID очищено из %i узла. Представление ID очищено из %i узлов. Представления ID Переопределение ID Невозможно переименовать переопределения ID Диапазон идентификаторов для доверенного домена уже существует, но имеет другой тип. Удалите старый диапазон вручную или не устанавливайте тип принудительно с помощью параметра --range-type. Тип диапазона идентификаторов, одно из разрешённых значений Тип диапазона идентификаторов, один из следующих: ipa-ad-trust-posix, ipa-ad-trust, ipa-local Уже существует диапазон идентификаторов с тем же именем, но другим SID домена. Диапазон идентификаторов для нового доверенного домена необходимо создать вручную. IP-адрес IP-адрес %(ip)s уже назначен в домене %(domain)s. IP-адрес в subjectAltName (%s) не имеет записи PTR IP-адрес в subjectAltName (%s) недоступен из DNS-имён IP-сеть для создания имени обратной зоны Агенты отношений доверия AD IPA Контролёры отношений доверия AD IPA Невозможно удалить CA IPA Службу сертификации IPA нельзя отключить Сертификат CA IPA Главный сервер обновления CA IPA Серверы CA IPA DNS-сервер IPA не установлен Записи DNS IPA DNS-серверы IPA Версия DNS IPA Мастер ключей DNSSec IPA Ошибка IPA KRA-серверы IPA Расположение IPA Описание расположения IPA Расположения IPA Если указан SID доверенного домена, тип диапазона IPA должен быть ipa-ad-trust или ipa-ad-trust-posix Если не указан SID доверенного домена, тип диапазона IPA не должен быть ipa-ad-trust или ipa-ad-trust-posix IPA-сервер Роль IPA-сервера Роли IPA-сервера IPA-сервер, который следует использовать IPA-серверы IPA не управляет зоной %(zone)s. Добавьте записи на DNS-сервер вручную. Имя расположения IPA Записи расположений IPA IPA управляет DNS. Проверьте вашу конфигурацию DNS и убедитесь, что настройки позволяют определять адреса служебных записей домена "{domain}". Примеры настройки DNS с помощью команд CLI или веб-интерфейса доступны в документации. Главный IPA-сервер с поддержкой PKINIT Главный IPA-сервер ответил отказом на запросы по утверждению отношений доверия от DC AD следующее количество раз: %(count)d. Скорее всего, DC AD была установлена связь с репликой, на которой ещё не выполнена репликация данных об отношениях доверия. Кроме того, проверьте, может ли DNS AD определять по записям SRV %(records)s корректный IPA-сервер. Главный IPA-сервер, которой может обрабатывать запросы PKINIT Главные IPA-серверы namingContext IPA не найдено
Объект IPA Имя роли IPA IPA-сервер, настроенный в качестве мастера ключей DNSSec Домен IPA-сервера не может быть удалён Домен IPA-сервера не может быть пропущен Имя узла IPA-сервера Имя роли IPA-сервера IPA-серверы, настроенные в качестве агентов отношений доверия AD IPA-серверы, настроенные в качестве контролёров отношений доверия AD IPA-серверы, настроенные в качестве центра сертификации IPA-серверы, настроенные в качестве сервера доменных имен IPA-серверы, настроенные в качестве агента восстановления ключей IPA-серверы, настроенные в качестве агентов восстановления ключей Отношение доверия IPA Уникальный ID IPA Запись IPSECKEY Идентификация Параметры идентификации Если CA не указаны, будут разрешены запросы к CA по умолчанию. При повторном возникновении проблемы обратитесь к системному администратору. Игнорировать проверку того, является ли удаляемый сервер последним сервером CA или DNS Игнорировать подключаемый модуль совместимости Игнорировать атрибут группы Игнорировать класс объектов группы Игнорировать ошибки топологии подключений после удаления Игнорировать ошибки топологии Игнорировать атрибут пользователя Игнорировать класс объектов пользователя Пропущено %(src)s в %(dst)s Пропущенные ключи: Предупреждения игнорируются, процесс удаления продолжается Игнорирование ошибок топологии подключений. Импортировать профиль сертификатов. Импортировать сертификат прав. Импортировать файлы автомонтирования для определённого расположения. Импортированные ключи: Импортированные списки соответствия: Импортирован профиль "%(value)s" Включать отключённые Включать включённые Включить записи главных IPA-cерверов Проверить все отключённые правила IPA Проверить все включённые правила IPA [поведение по умолчанию] Включить цепочку сертификатов в вывод Включить в Включённые атрибуты Включающий Включающие регулярные выражения Указаны несовместимые параметры (-r и -P)
Непрямой Служба HBAC с непрямым участием Группа служб HBAC с непрямым участием Группы с непрямым участием Группы узлов с непрямым участием Узлы с непрямым участием Сетевые группы с непрямым участием Участник правила HBAC с непрямым участием Участник правила Sudo с непрямым участием Непрямой участник группы Участник группы узлов с непрямым участием Участник сетевой группы с непрямым участием Участник роли с непрямым участием Участник ролей с непрямым участием Разрешения с непрямым участием Пользователи с непрямым участием Непрямое участие Унаследовано из конфигурации сервера Начальный счётчик токена HOTP Инициализировать левый узел Инициализировать правый узел Инициалы Входные данные указаны несколько раз Входной файл Имя файла входных данных Форма ввода данных содержит недопустимые или отсутствующие значения. Недостаточно привилегий "add" для записи "%s". Недостаточно привилегий "write" для атрибута "krbLastPwdChange" записи "%s". Недостаточно привилегий "write" для атрибута "userCertificate" записи "%s". Недостаточно прав для доступа: %(info)s Недостаточно привилегий для создания сертификата с альтернативным именем субъекта "%s". Недостаточно привилегий для удаления записи CA. Недостаточно привилегий для внесения изменений в запись CA. Недостаточно привилегий для внесения изменений в профиль сертификатов. Внутренняя ошибка Сообщения интернационализации Неверный JSON-RPC запрос: %(error)s Неверный URI LDAP. Некорректное значение MCS, должно соответстовать {mcs}, где максимальная категория {mcs_max} Некорректное значение MLS, должно соответстовать {mls}, где максимальный уровень {mls_max} Некорректный механизм привязки SASL
Некорректное имя пользователя SELinux, должно соответствовать {} Недопустимое имя учётной записи службы
Недействительные учётные данные Недопустимое имя домена "%(domain)s": %(e)s Неправильный формат. Должно быть имя=значение Неверное количество частей! Тип недействителен или не поддерживается. Разрешённые значения: %s Открытый ключ хранилища недействителен или не поддерживается: %s Недопустимый тип хранилища Зона активна? Выдать Выдать новый сертификат Выдать новый сертификат для узла '${primary_key}' Выдать новый сертификат для службы '${primary_key}' Выдать новый сертификат для пользователя '${primary_key}' Выдан (издатель) Выдан (дата) Выдан для Выдан с Выдан с этой даты (ГГГГ-мм-дд) Выдан до Выдан до этой даты (ГГГГ-мм-дд) Издатель DN издателя Различающееся имя издателя Издатель и субъект Издатель сертификата Выдающий CA Настоятельно рекомендуется установить следующие службы на нескольких серверах: Используется только для установки атрибута MNAME SOA Должность Присоединиться к домену IPA. Алгоритм KEY Флаги KEY Протокол KEY Открытый ключ KEY Запись KEY Служба KRA не включена Обменник KX Приоритет KX Запись KX Кэш учётных данных Kerberos не найден. Имеется ли у вас билет Kerberos?
Ключ Kerberos Отсутствует ключ Kerberos Имеется ключ Kerberos, узел подготовлен к работе Имеется ключ Kerberos, служба подготовлена к работе Срок действия введённой учётной записи Kerberos истёк Имя учётной записи службы Kerberos Политика билетов Kerberos Учётная запись пользователя Kerberos не найдена. Имеется ли у вас корректный кэш учётных данных?
Не удалось инициализировать Kerberos-контекст
Не удалось инициализировать Kerberos-контекст: %1$s (%2$d)
ошибка Kerberos: %(major)s/%(minor)s Доступные ключи Kerberos Учётная запись Kerberos Учётная запись Kerberos %s уже существует. Используйте команду "ipa user-mod", чтобы установить её параметры вручную. Окончание действия учётной записи Kerberos Имя учётной записи Kerberos для этого узла Ключ Компрометация ключа Тег ключа Таблица ключей Имя файла таблицы ключей Таблица ключей успешно получена и сохранена в: %s
DN LDAP Механизм привязки LDAP SASL, если отсутствует bindd/bindpw URI LDAP URI LDAP сервера DS, с которого будет осуществляться миграция базовое расширяемое имя (DN) LDAP Пароль LDAP LDAP-пароль (если не используется Kerberos) Схема LDAP Область поиска LDAP для пользователей и групп: base, onelevel или subtree. Значение по умолчанию: onelevel. Суффикс LDAP, которым следует управлять Время ожидания LDAP Адрес LDAP, с которым следует установить соединение. Несовместимо с --server Высота над уровнем моря LOC Градусы широты LOC Градусы долготы LOC Направление широты LOC Направление долготы LOC Горизонтальная точность LOC Минуты широты LOC Минуты долготы LOC Секунды широты LOC Секунды долготы LOC Размер LOC Вертикальная точность LOC Запись LOC Метка Метки Последний Окончание срока действия токена (день и время) Последняя ошибка при аутентификации Фамилия Последняя успешная аутентификация Использование пробелов в начале и в конце запрещено Левый узел Левый узел репликации — IPA-сервер Допустимый фильтр LDAP (например, ou=Engineering) Продолжительность действия кода токена TOTP Уровень Вывести список всех хранилищ служб Вывести список всех хранилищ пользователей Вывести список главных IPA-серверов, настроенных в качестве DNS-серверов Список всех главных IPA-серверов Список всех скрытых главных IPA-серверов Список удалений, которые не удалось выполнить Список включённых ролей Список серверов, которые сообщают указанное расположение Список надёжных доменов успешно обновлён. Используйте команду trustdomain-find для вывода этого списка. Список перенесённых объектов; упорядочены по типу Список объектов, которые не удалось перенести; упорядочены по типу Загрузить сертификат CA LDAP-сервера из ФАЙЛА Загрузка Загрузка данных Локальный домен Адрес местонахождения Расположение Имя расположения Расположение ACI Длительность блокировки Войти с помощью сертификата Войти Войти с помощью личного сертификата Выйти Ошибка при выходе Выполнен вход под именем Не удалось войти по неизвестной причине Оболочка входа Чем меньше число, тем выше приоритет. Клиентские части попытаются связаться с тем доступным для них адресом, у которого ниже число приоритета. Чем меньше число, тем выше приоритет. Клиентские части попытаются связаться с тем доступным для них сервером, у которого ниже число приоритета. MAC-адрес MS-PAC Обменник MX Приоритет MX Запись MX Почтовый адрес Совершать несколько вызовов ipa с помощью одного удалённого вызова процедур Некорректное DN Недопустимая учётная запись Недопустимая учётная запись: "%(value)s" Управление политикой паролей для определённой группы Управление политикой билетов для определённого пользователя DN управляемого суффикса LDAP Управляется Управляемый суффикс Управляемые суффиксы Управляемая топология требует минимального уровня домена ${domainlevel} Разрешение managedby Руководитель Управление Список соответствия Тип списка соответствия Правило сопоставления Набор правил сопоставления "%(ruleset)s" содержит более одного правила для вспомогательной службы %(helper)s Отметить токен как отключённый (значение по умолчанию: false) Главный файл Сопоставить Сопоставлять атрибут "cn" в субъекте Установить соответствие пользователей по сертификату. Установлено соответствие Соответствующие пользователи Соответствующие правила Тип соответствия Правило соответствия Макс. уровень домена Максимальное количество ошибок Максимальный срок жизни Максимальный срок действия (в днях) Максимальный срок для обновления Максимальное количество времени (в секундах) для поиска (-1 или 0 означает отсутствие ограничения) Максимальное количество времени (в секундах) для поиска (> 0 или -1 означает отсутствие ограничения) Максимальный уровень домена Максимальная длина имени узла Максимальное количество соглашений для реплики Максимальное количество возвращённых сертификатов Максимальное количество возвращённых записей Максимальное количество возвращённых записей ("0" означает отсутствие ограничения) Максимальное количество записей результатов поиска (-1 означает отсутствие ограничения) Максимальное количество записей результатов поиска (-1 или 0 означает отсутствие ограничения) Максимальное количество правил, которое следует обработать, если не указан параметр --rules Максимальный срок действия пароля (в днях) Максимальный срок для обновления (в секундах) Максимальный серийный номер Максимальный срок жизни билета (в секундах) Максимальная длина имени пользователя Максимальное значение равно ${value} Не может быть пустым Группа-участник Служба-участник HBAC Группы служб HBAC — участники Узел-участник Группа узлов — участник Команды участника Sudo Пользователь-участник Группы-участники Группы узлов — участники Узлы-участники Сетевые группы — участники Участник Участник правила HBAC Участник групп служб HBAC Участник правила Sudo Участник группы Участник группы Участник групп Участник групп узлов Участник сетевых групп Учётные записи — участники Группы служб — участники Службы-участники Группа пользователей — участник Пользователи-участники Участники Участники доверенного домена в формате DOM\имя или имя@домен Участники, которых не удалось добавить Участники, которых не удалось удалить Имя метода Метод Перенести Перенести данные пользователей и групп из DS в IPA Выполняется перенос Режим миграции отключён. Используйте команду "ipa config-mod --enable-migration=TRUE", чтобы включить его. Поддержка миграции поисковой ссылки LDAP не предусмотрена. Мин. уровень домена Минимальная длина Минимальный срок действия (в часах) Минимальный уровень домена Минимальная длина пароля Минимальное количество классов символов Минимальный срок действия пароля (в часах) Минимальный серийный номер Минимальное значение равно ${value} Минуты широты Минуты долготы Прочие сведения Отсутствуют учётные данные для обмена данными между лесами Отсутствует новый открытый ключ хранилища Отсутствует или неверный HTTP Referer, %(referer)s Отсутствует список элементов управления ответами!
Отсутствует элемент управления ответами!
Отсутствующие значения: Отсутствует закрытый ключ хранилища Отсутствует открытый ключ хранилища Номер мобильного телефона Модель Изменено Изменена конфигурация отношений доверия "%(value)s" Изменена ACI "%(value)s" Изменена запись CA "%(value)s" Изменена CA ACL "%(value)s" Изменено правило сопоставления сертификатов с записями пользователей "%(value)s" Изменён профиль сертификатов "%(value)s" Изменена запись DNS-сервера "%(value)s" Изменено правило HBAC "%(value)s" Изменена служба HBAC "%(value)s" Изменена группа служб HBAC "%(value)s" Изменён диапазон идентификаторов "%(value)s" Изменена запись расположения IPA "%(value)s" Изменена запись IPA-сервера "%(value)s" Изменён токен OTP "%(value)s" Изменён прокси-сервер RADIUS "%(value)s" Изменён список пользователей SELinux "%(value)s" Изменена команда Sudo "%(value)s" Изменена группа команд Sudo "%(value)s" Изменено правило Sudo "%(value)s" Изменено переопределение ID группы "%(value)s" Изменено представление ID "%(value)s" Изменено переопределение ID "%(value)s" Изменено переопределение ID пользователя "%(value)s" Изменено правило автоучастия "%(value)s" Изменён ключ автомонтирования "%(value)s" Изменён список соответствия автомонтирования "%(value)s" Изменено делегирование "%(value)s" Изменена группа "%(value)s" Изменён узел "%(value)s" Изменена группа узлов "%(value)s" Изменена сетевая группа "%(value)s" Изменено разрешение "%(value)s" Изменена привилегия "%(value)s" Изменена роль "%(value)s" Изменён сегмент "%(value)s" Изменено самообслуживание "%(value)s" Изменена служба "%(value)s" Изменён неподтверждённый пользователь "%(value)s" Изменён суффикс топологии "%(value)s" Изменено отношение доверия "%(value)s" (изменения будут применены через 60 секунд) Изменён пользователь "%(value)s" Изменено хранилище "%(value)s" Изменено: ключ не установлен Изменить значения "%(value)s" %(name)s? Изменить запись ACI. Изменить конфигурацию CA. Изменить конфигурацию сопоставления сертификатов с записями пользователей. Изменить конфигурацию профиля сертификатов. Изменить запись класса обслуживания Изменить зону перенаправления DNS. Изменить конфигурацию DNS-сервера Изменить зону DNS (запись SOA). Изменить диапазон идентификаторов. Изменить диапазон идентификаторов.
Изменить политику билетов Kerberos. Изменить параметры конфигурации OTP. Изменить группу команд Sudo. Изменить команду Sudo. Изменить правило Sudo. Изменить CA ACL. Изменить правило сопоставления сертификатов с записями пользователей. Изменить запись ресурса DNS. Изменить токен OTP. Изменить прокси-сервер RADIUS. Изменить список пользователей SELinux. Изменить делегирование. Изменить групповую политику паролей. Изменить группу. Изменить группу узлов. Изменить сетевую группу. Изменить разрешение. Изменить привилегию. Изменить роль. Изменить сегмент. Изменить разрешение самообслуживания. Изменить неподтверждённого пользователя. Изменить суффикс топологии. Изменить пользователя. Изменить хранилище. Изменить переопределение ID группы. Изменить правило HBAC. Изменить группу служб HBAC. Изменить службу HBAC. Изменить представление ID. Изменить переопределение ID. Изменить переопределение ID пользователя. Изменить правило автоучастия. Изменить ключ автомонтирования. Изменить список соответствия автомонтирования. Изменить существующую службу IPA. Изменить параметры конфигурации. Изменить глобальную конфигурацию DNS. Изменить глобальную конфигурацию отношений доверия. Изменить сведения об узле. Изменить сведения о расположении IPA. Изменить сведения о IPA-сервере. Изменить домены области. Изменить значение доверенного домена (trustdomain) отношения доверия. Найдено несколько записей с ключом %(key)s. Используйте --info, чтобы выбрать определённую запись. Сведения монтирования Точка монтирования Переместить удалённую запись пользователя в область хранения. Многозначный Должно быть десятичным числом Должно быть положительным числом Должно быть значением даты / времени в формате UTC (например, "2014-01-20 17:58:01Z") Должно быть целым числом Мои хранилища пользователей Флаги NAPTR Порядок NAPTR Приоритет NAPTR Регулярное выражение NAPTR Замена NAPTR Служба NAPTR Запись NAPTR Имя домена NIS Значение NONE нельзя сочетать с другими типами PAC Имя узла NS Запись NS Запись NS нельзя использовать вместе с записью %(type)s, если только они не расположены в корневой записи зоны (RFC 2181, раздел 6.1) Запись (записи) NS можно изменять в начале зоны: "@". Имя следующего домена NSEC Список сопоставления типов NSEC Запись NSEC Запись NSEC3 Запись NSEC3PARAM Запись NSEC3PARAM для зоны в формате: алгоритм_хеширования флаги итерации соль Имя Имя для ссылки на CA Имя команды, которую следует экспортировать Имя группы узлов Имя выдающего CA Имя метода, который следует экспортировать Имя объекта, который следует экспортировать Имя родительского списка соответствия автомонтирования (по умолчанию: auto.master) Имя доверенного домена На сервере имён "%(host)s" нет соответствующей записи A/AAAA Сервер имён для обратной зоны не может быть относительным DNS-именем Не предоставлено ни --del-all, ни параметров удаления определённой записи.
Все поддерживаемые типы записей можно посмотреть с помощью команды help. Вложенные методы для выполнения Имя NetBIOS Сетевая группа Параметры сетевой группы Описание сетевой группы Имя сетевой группы Сетевые группы Сетевые службы Новое имя ACI Новый сертификат Новый пароль Новый пароль учётной записи Новая проверка Новый псевдоним учётной записи Kerberos Сведения о новом монтировании Следует указать новый пароль Новый открытый ключ указан несколько раз Новый пароль хранилища Новый: ключ не установлен Новый: ключ установлен Вперёд Имя следующего домена Записи A, AAAA, SSHFP или PTR не найдены. В субъекте запроса не найдено общее имя (CN). В расположении IPA %(location)s нет DNS-серверов. Без них расположение не будет работать надлежащим образом. Не установлен мастер ключей DNSSEC. Подпись в зоне DNSSEC будет работать только после установки мастера ключей DNSSEC. Отсутствуют действительные сертификаты Архивированных данных нет. Кэш учётных данных не найден Группа по умолчанию (резервная) не установлена Отсутствуют записи. Отсутствует файл для чтения Нет свободных слотов YubiKey! Отсутствуют принятые KDC ключи
Соответствующих записей не найдено Возможность удаления определённой записи не предусмотрена. Возможность изменения определённой записи не предусмотрена. Отсутствует разрешение на присоединение этого узла к домену IPA.
Без личной группы Нет ответа В этой записи нет такого атрибута Такая виртуальная команда отсутствует Отсутствуют установленные в системе типы шифрования?!
Отсутствуют значения для %s Не ждать Отсутствуют разрешения на запись в файл таблицы ключей "%s"
Домен, который не является доменом Active Directory Не POSIX Несуществующие или недействительные правила Нетранзитивное внешнее отношение доверия с доменом в другом лесу Active Directory Нетранзитивное внешнее отношение доверия с областью (realm) Kerberos, которая соответствует RFC4120 Специальный Недействителен после Недействителен до Не является управляемой группой Недопустимый IP-адрес Недопустимый адрес IPv4 Недопустимый адрес IPv6 Недопустимый сетевой адрес (примеры: 2001:db8::/64, 192.0.2.0/24) Запрещено для неконцевой записи Указано недостаточно аргументов для выполнения настройки отношения доверия Несоответствующие правила Ещё не зарегистрировано Примечание Количество идентификаторов в диапазоне Количество добавленных условий Количество удалённых условий Уведомление о количестве дней, оставшихся до окончания действия пароля Количество цифр, которое будет содержать каждый код токена Количество возвращённых записей Количество узлов, с которых снято представление ID: Количество узлов, к которым было применено представление ID: Количество добавленных участников Количество удалённых участников Количество добавленных владельцев Количество удалённых владельцев Количество добавленных разрешений Количество удалённых разрешений Количество загруженных подключаемых модулей Количество добавленных привилегий Количество удалённых привилегий Количество секунд, в течение которого исходящие операции LDAP ожидают ответа от удалённой реплики, прежде чем будет превышено время ожидания и выдано сообщение об ошибке Количество возвращённых переменных (<= total) OK OTP Конфигурация OTP Токен OTP Параметры токена OTP Токены OTP Параметры конфигурации OTP Установлен OTP токен OTP токены OTP Класс объектов ipaNTUserAttrs отсутствует, запись пользователя не может иметь атрибуты SMB. Имя класса объектов. Классы объектов, которые следует игнорировать для записей групп в DS Классы объектов, которые следует игнорировать для записей пользователей в DS Классы объектов, использованные для поиска записей групп в DS Классы объектов, использованные для поиска записей пользователей в DS Старый пароль хранилища Старый закрытый ключ хранилища Одноразовый пароль Следует указать одно из значений: group, permission или self Команды для одноразового пароля Допускается только одно значение Для одного имени зоны можно использовать только один тип зоны С помощью веб-интерфейса можно создавать только стандартные хранилища. Используйте интерфейс командной строки для создания других типов хранилищ. При добавлении отношения доверия AD значениями --range-type могут быть только ipa-ad-trust или ipa-ad-trust-posix. Операционная система и версия узла (например, Fedora 9) Операционная система Не удалось выполнить операцию: %s
Ошибка операций Параметр добавлен Группа параметров Если типом диапазона IPA является ipa-ad-trust-posix, параметр rid-base использовать нельзя Необязательное поддерево DN, из которого может быть перемещена запись (должна принадлежать к поддереву, но может ещё не существовать) Необязательное поддерево DN, в которое может быть перемещена запись (должна находиться в поддереве, но может ещё не существовать) Дополнительное DN, к которому следует применить разрешение (должно находиться в поддереве, но может ещё не существовать) Параметры Невозможно одновременно использовать параметры dom-sid и dom-name Параметры dom-sid и rid-base необходимо использовать одновременно Невозможно одновременно использовать параметры dom-sid и secondary-rid-base Параметры dom-sid/dom-name и rid-base необходимо использовать одновременно Невозможно одновременно использовать параметры dom-sid/dom-name и secondary-rid-base Параметры secondary-rid-base и rid-base необходимо использовать одновременно Порядок В порядке увеличения приоритета пользователей SELinux, с разделителем $ Отдел Организация Организационное подразделение Поддерево DN происхождения Исходное значение срока жизни Другие типы записей Наш домен не настроен Недостаточно памяти!
Недостаточно памяти
Недостаточно памяти
Недостаточно памяти! Недостаточно памяти!
Недостаточно памяти!?
Выходной файл для хранения сертификата транспорта Имя файла выходных данных Выводить только ошибки Переопределить список по умолчанию, который содержит поддерживаемые типы PAC. Используйте значение "NONE", чтобы отключить поддержку PAC для этой службы Переопределить список по умолчанию, который содержит поддерживаемые типы PAC. Используйте значение "NONE", чтобы отключить поддержку PAC для этой службы; например, это может быть необходимо для служб NFS. Переопределить существующий пароль Переопределить унаследованные параметры Перезаписать GID Владелец Владелец %s Группы-владельцы Службы-владельцы Пользователи-владельцы Владельцы Владельцы, которых не удалось добавить Владельцы, которых не удалось удалить Тип PAC PAD PKINIT Состояние PKINIT POSIX Имя узла PTR Запись PTR Запись PTR для SAN IP (%s) не соответствует записям A/AAAA Страница Номер пейджера Размер для разбивки на страницы Параметры Родительский список соответствия Проанализировать все необработанные записи DNS и вернуть их в структурированном виде Ошибка обработки Пароль Уведомление об окончании действия пароля (в днях) Политики паролей Политика паролей Пароль можно указать только для симметричного хранилища Невозможно установить пароль для зарегистрированного узла. Изменение пароля завершено Окончание действия пароля Размер журнала паролей Не удалось выполнить перенос пароля Перенос пароля успешно завершён Возможности подключаемого модуля паролей Не удалось сбросить пароль. Пароль указан несколько раз Пароль для массовой регистрации Пароли не совпадают Пароли не совпадают! Миграция записей паролей выполнена в формате до хеширования. IPA не удастся создать ключи Kerberos, если не будут предоставлены текстовые пароли. Всем пользователям с перенесёнными записями придётся выполнить вход на https://your.domain/ipa/migration/ до того, как они смогут использовать свои учётные записи Kerberos. Пароли должны совпадать Путь к сценарию, исполняемому в системе Windows при входе Путь к домашнему каталогу пользователя, в формате UNC Путь к профилю пользователя, в формате UNC \\server\share\ Путь к сертификату CA IPA Условная политика перенаправления для отдельных серверов. Чтобы отключить для этой зоны перенаправление на глобальный перенаправитель, установите значение "none". В этом случае условные перенаправители зон не будут приниматься во внимание. Перенаправители для отдельных серверов. Для каждого перенаправителя можно указать отдельный порт с помощью стандартного формата "IP_АДРЕС port ПОРТ" Условная политика перенаправления для отдельных зон. Чтобы отключить для этой зоны перенаправление на глобальный перенаправитель, установите значение "none". В этом случае условные перенаправители зон не будут приниматься во внимание. Перенаправители для отдельных зон. Для каждого перенаправителя можно указать отдельный порт с помощью стандартного формата "IP_АДРЕС port ПОРТ" Период, по истечении которого счётчик ошибок будет сброшен (в секундах) Период, в течение которого будет действовать блокировка (в секундах) Разрешение Разрешение, доступ к которому предоставляет ACI В доступе отказано: %(file)s Флаги разрешения Имя разрешения Параметры разрешений Тип разрешения Значение разрешения Разрешение с неизвестным флагом %s не может быть изменено или удалено Разрешения Разрешения, которые следует предоставить (read, write). По умолчанию предоставляется разрешение "write" (запись). Разрешения, которые следует предоставить (read, write, add, delete, all) Разрешённые типы шифрования Разрешено иметь выданные сертификаты Проверить связь с удалённым сервером. Платформа Выберите тип записи ресурса DNS, который следует добавить Укажите серверы-перенаправители. Попробуйте использовать следующие параметры: Политика Порт Позиционный аргумент Позиционные аргументы Для службы требуется предварительная аутентификация Общий пароль Предустановленный профиль "%(profile_id)s" невозможно удалить Приоритет Приоритет, указанный для этого обменника. Чем ниже значение, тем выше приоритет. Предпочитаемый язык Префикс, который используется для различения типов ACI (permission, delegation, selfservice, none) Хранимый пользователь Хранимые пользователи Назад Основа основного RID Основной диапазон RID и вторичный диапазон RID не могут пересекаться Только главный ключ Учётная запись Не удалось проверить подлинность учётной записи %(principal)s: %(message)s Учётной записи "%(principal)s" не разрешено использовать службу сертификации "%(ca)s" с профилем "%(profile_id)s" для выдачи сертификатов. Учётная запись "%s" в альтернативном имени субъекта не соответствует запрошенной учётной записи Псевдоним учётной записи Учётная запись для этого сертификата (например, HTTP/test.example.com) Учётная запись указана в виде, отличном от от user@REALM: "%(principal)s" Имя учётной записи Выводить минимум данных Вывести отладочные данные Вывести записи в том виде, в котором они хранятся на сервере. Влияет только на формат вывода данных. Вывести данные XML-RPC без обработки в режиме GSSAPI Приоритет Приоритет (порядок) Приоритет политики (чем больше число, тем ниже приоритет) Приоритет правила (чем больше число, тем ниже приоритет) Закрытый ключ указан несколько раз Привилегия Параметры привилегий Отзыв привилегии Описание привилегии Имя привилегии Привилегии Профиль Идентификатор профиля Идентификатор профиля "%(cli_value)s" не соответствует данным профиля "%(file_value)s" Идентификатор профиля для ссылки на этот профиль Категория профилей Категория профилей, к которой применяется ACL Конфигурация профиля Конфигурация профиля, которая хранится в файле "%(file)s" В данных профиля несколько раз указан идентификатор "profileId": %(values)s Описание профиля Профили Запрос пароля LDAP Запрос имени пользователя Запрашивать имя пользователя, когда с сертификатом сопоставляются несколько записей пользователей Запросить пароль у пользователя Ожидается Протокол Подготовка Открытый ключ Открытый ключ Открытый ключ можно указать только для асимметричного хранилища Открытый ключ указан несколько раз Открытый ключ: Ширина QR-кода превышает ширину, заданную параметром "tty" для вывода. Измените размер терминала. Количество Запросить текущий уровень домена. Запрос вернул количество результатов, которое превышает заданное ограничение по размеру. Показано результатов: первые ${counter}. Быстрые ссылки Тихий режим. Отображаются только ошибки. RADIUS Параметры прокси-сервера RADIUS Сервер RADIUS Серверы RADIUS Конфигурация прокси RADIUS прокси-сервер RADIUS Имя прокси-сервера RADIUS Прокси-сервер RADIUS с именем "%s" уже существует прокси-серверы RADIUS Имя пользователя прокси RADIUS ОТОЗВАНО Область (realm) Kerberos, которая соответствует RFC4120 RFC822Name не соответствует ни одному адресу электронной почты пользователя Запись RP Команда RPC, которая используется для завершения сеанса текущего пользователя. Алгоритм RRSIG Тег ключа RRSIG Метки RRSIG Исходное значение срока жизни RRSIG Подпись RRSIG Окончание действия подписи RRSIG Начало действия подписи RRSIG Имя подписавшего RRSIG Охваченные типы RRSIG Запись RRSIG Случайный пароль Параметры диапазона Имя диапазона Размер диапазона Тип диапазона Необработанные записи %s Необработанные записи A Необработанные записи A6 Необработанные записи AAAA Необработанные записи AFSDB Необработанные записи APL Необработанные записи CERT Необработанные записи CNAME Необработанные записи DHCID Raw DLV records Необработанные записи DNAME Необработанные записи DNSKEY Необработанные записи DS Необработанные записи HIP Необработанные записи IPSECKEY Необработанные записи KEY Необработанные записи KX Необработанные записи LOC Необработанные записи MX Необработанные записи NAPTR Необработанные записи NS Необработанные записи NSEC Необработанные записи NSEC3 Необработанные записи PTR Необработанные записи RP Необработанные записи RRSIG Необработанные записи SIG Необработанные записи SPF Необработанные записи SRV Необработанные записи SSHFP Необработанные записи TA Необработанные записи TKEY Необработанные записи TLSA Необработанные записи TSIG Необработанные записи TXT Необработанный фильтр целей Необработанное значение записи DNS уже задано параметром "%(name)s" Повторно установлено отношение доверия с доменом "%(value)s" Повторно синхронизировать локальный кэш прав с сервером прав. Домены области (realm) Следует указать пароль администратора области (realm) Домены области (realm) Имя области (realm) Несоответствие области (realm) и домена Причина Причина отзыва Причина отзыва сертификата (0-10) Причина отзыва сертификата (0-10). Введите "ipa help cert", чтобы получить сведения о причине отзыва. Перестроить автоучастие Перестроить автоучастие. Перестроить участие для всех участников группировки Перестроить участие для указанных узлов Перестроить участие для указанных пользователей Превышено рекомендованное максимальное количество соглашений для реплики Тип записи Не удалось создать запись. Данные записи Имя записи Запись не найдена. Тип записи Записи Записи зоны DNS Перенаправление Перенаправление на запись PTR Обновить Обновить список доменов, связанных с отношением доверия. Обновить страницу. Зарегистрироваться в системе прав. Пароль для регистрации Регулярное выражение Относительное имя записи "%(record)s" содержит имя зоны "%(zone)s" в качестве суффикса, что превращает её в полное имя домена "%(fqdn)s". Обычно эта ошибка вызвана отсутствием точки в конце определения имени. Относительный вес записей с одинаковым приоритетом Относительный вес служб сервера (вычисляется для отдельного расположения) Перезагрузить текущие параметры с сервера Перезапустить браузер. Имя узла удалённого IPA-сервера Имя удалённого сервера Удалить Удалить записи A, AAAA, SSHFP и PTR узла (узлов) под управлением DNS IPA Удалить CA ACL Удалить CA из CA ACL. Удалить центры сертификации из CA ACL '${primary_key}' Удалить зоны перенаправления DNS Удалить записи ресурсов DNS Удалить зоны DNS Удалить правила HBAC Удалить службу HBAC '${primary_key}' из групп служб HBAC Удалить группы служб HBAC Удалить группы служб HBAC из правила HBAC '${primary_key}' Удалить службы HBAC Удалить службы HBAC из правила HBAC '${primary_key}' Удалить службы HBAC из группы служб HBAC '${primary_key}' Удалить диапазоны идентификаторов Удалить представления ID Удалить расположения IPA Удалить IPA-серверы из расположения IPA '${primary_key}' Удалить псевдоним Kerberos Удалить токены OTP Удалить разрешение Удалить серверы RADIUS Удалить группы запуска от имени из правила Sudo '${primary_key}' Удалить группы пользователей запуска от имени из правила Sudo '${primary_key}' Удалить пользователей запуска от имени из правила Sudo '${primary_key}' Удалить руководителя из записи неподтверждённого пользователя. Удалить руководителя из записи пользователя. Удалить разрешение для делегирования прав доступа для отдельных зон перенаправления. Удалить разрешение для делегирования прав доступа для отдельных зон. Удалить все учётные записи в этой области (realm) Удалить группы разрешённых команд Sudo из правила Sudo '${primary_key}' Удалить разрешённые команды Sudo из правила Sudo '${primary_key}' Удалить параметр из правила Sudo. Удалить правила автоучастия Удалить ключи автомонтирования Удалить расположения автомонтирования Удалить списки соответствия автомонтирования Удалить центры сертификации Отменить приостановку действия сертификата Удалить правила сопоставления сертификатов с записями пользователей Удалить данные сопоставления сертификата Удалить профили сертификатов Удалить профили сертификатов из CA ACL '${primary_key}' Удалить сертификаты из записи службы. Удалить сертификаты из записи узла. Удалить команды и группы команд Sudo, которых касается правило Sudo. Удалить условия из правила автоучастия. Удалить группу по умолчанию (резервную) для всех несоответствующих записей. Удалить делегирования Удалить группы запрещённых команд Sudo из правила Sudo '${primary_key}' Удалить запрещённые команды Sudo из правила Sudo '${primary_key}' Удалить домены Удалить записи из DNS Удалить исключающие условия из правила '${primary_key}' Удаление из списка отзыва сертификатов (CRL) Удалить переопределения ID группы Удалить группу для выполнения Sudo от её имени. Отменить приостановку действия Удалить узел '${primary_key}' из правил HBAC Удалить узел '${primary_key}' из групп узлов Удалить узел '${primary_key}' из сетевых групп Удалить узел '${primary_key}' из ролей Удалить узел '${primary_key}' из правил Sudo Удалить группу узлов '${primary_key}' из правил HBAC Удалить группу узлов '${primary_key}' из групп узлов Удалить группу узлов '${primary_key}' из сетевых групп Удалить группу узлов '${primary_key}' из правил Sudo Удалить группы узлов Удалить группы узлов из CA ACL '${primary_key}' Удалить группы узлов из правила HBAC '${primary_key}' Удалить группы узлов из списка пользователей SELinux '${primary_key}' Удалить группы узлов из группы узлов '${primary_key}' Удалить группы узлов из сетевой группы '${primary_key}' Удалить группы узлов из роли '${primary_key}' Удалить группы узлов из правила Sudo '${primary_key}' Удалить узлы Удалить узлы и группы узлов, которых касается правило Sudo. Удалить узлы из CA ACL '${primary_key}' Удалить узлы из правила HBAC '${primary_key}' Удалить узлы из списка пользователей SELinux '${primary_key}' Удалить узлы из группы узлов '${primary_key}' Удалить узлы из сетевой группы '${primary_key}' Удалить узлы из роли '${primary_key}' Удалить узлы из правила Sudo '${primary_key}' Удалить узлы, которые управляют узлом '${primary_key}' Удалить узлы, которые управляют службой '${primary_key}' Удалить узлы, которые могут управлять этим узлом. Удалить узлы, которые могут управлять этой службой. Удалить включающие условия из правила '${primary_key}' Удалить сведения о домене, связанном с отношением доверия. Удалить участника из именованного правила делегирования служб. Удалить участника из именованной цели делегирования служб. Удалить участника из именованного делегирования служб. Удалить участников из группы команд Sudo. Удалить участников из группы. Удалить участников из группы узлов. Удалить участников из сетевой группы. Удалить участников из разрешения. Удалить участников из привилегии. Удалить участников из роли. Удалить участников из хранилища. Удалить участников из группы служб HBAC. Удалить сетевую группу '${primary_key}' из сетевых групп Удалить сетевые группы Удалить сетевые группы из сетевой группы '${primary_key}' Удалить одно или несколько сопоставлений сертификатов из записи неподтверждённого пользователя. Удалить одно или несколько сопоставлений сертификатов из записи пользователя. Удалить один или несколько сертификатов из записи idoverrideuser. Удалить один или несколько сертификатов из записи неподтверждённого пользователя. Удалить один или несколько сертификатов из записи пользователя. Удалить неиспользуемые правила автоучастия Удалить владельцев из контейнера хранилищ. Удалить владельцев из хранилища. Удалить политики паролей Удалить разрешения Удалить разрешения из привилегии. Удалить хранимых пользователей Удалить псевдоним учётной записи из записи узла. Удалить псевдоним учётной записи из службы. Удалить псевдоним учётной записи из записи неподтверждённого пользователя. Удалить псевдоним учётной записи из записи пользователя. Удалить привилегию '${primary_key}' из разрешений Удалить привилегии Удалить привилегии из роли. Удалить привилегии из разрешения '${primary_key}' Удалить профили из CA ACL. Удалить роль '${primary_key}' из привилегий Удалить роли Удалить роли из привилегии '${primary_key}' Удалить разрешения самообслуживания Удалить списки пользователей SELinux Удалить службу '${primary_key}' из ролей Удалить службы и группы служб из правила HBAC. Удалить службы Удалить службы из CA ACL '${primary_key}' Удалить службы из CA ACL. Удалить службы из участников хранилища '${primary_key}' Удалить службы из владельцев хранилища '${primary_key}' Удалить службы из роли '${primary_key}' Удалить службы из группы пользователей '${primary_key}' Удалить узлы-источники и группы узлов из правила HBAC. Удалить неподтверждённых пользователей Удалить команду Sudo '${primary_key}' из групп команд Sudo Удалить группы команд Sudo Удалить команды Sudo Удалить команды Sudo из группы команд Sudo '${primary_key}' Удалить параметры Sudo Удалить правила Sudo Удалить цель из именованного правила делегирования служб. Удалить целевые узлы или группы узлов из CA ACL. Удалить целевые узлы и группы узлов из правила HBAC. Удалить целевые узлы и группы узлов из правила списка пользователей SELinux. Удалить сегменты топологии Удалить отношения доверия Удалить пользователя '${primary_key}' из правил HBAC Удалить пользователя '${primary_key}' из сетевых групп Удалить пользователя '${primary_key}' из ролей Удалить пользователя '${primary_key}' из правил Sudo Удалить пользователя '${primary_key}' из групп пользователей Удалить переопределения ID пользователя Удалить группу пользователей '${primary_key}' из правил HBAC Удалить группу пользователей '${primary_key}' из сетевых групп Удалить группу пользователей '${primary_key}' из ролей Удалить группу пользователей '${primary_key}' из правил Sudo Удалить группу пользователей '${primary_key}' из групп пользователей Удалить группы пользователей Удалить группы пользователей из CA ACL '${primary_key}' Удалить группы пользователей из правила HBAC '${primary_key}' Удалить группы пользователей из списка пользователей SELinux '${primary_key}' Удалить группы пользователей из участников хранилища '${primary_key}' Удалить группы пользователей из сетевой группы '${primary_key}' Удалить группы пользователей из владельцев хранилища '${primary_key}' Удалить группы пользователей из роли '${primary_key}' Удалить группы пользователей из правила Sudo '${primary_key}' Удалить группы пользователей из группы пользователей '${primary_key}' Удалить пользователей Удалить пользователей и группы, которых касается правило Sudo. Удалить пользователей и группы для выполнения Sudo от их имени. Удалить пользователей и группы из CA ACL. Удалить пользователей и группы из правила HBAC. Удалить пользователей и группы из правила списка пользователей SELinux. Удалить пользователей из CA ACL '${primary_key}' Удалить пользователей из правила HBAC '${primary_key}' Удалить пользователей из списка пользователей SELinux '${primary_key}' Удалить пользователей из участников хранилища '${primary_key}' Удалить пользователей из сетевой группы '${primary_key}' Удалить пользователей из владельцев хранилища '${primary_key}' Удалить пользователей из роли '${primary_key}' Удалить пользователей из правила Sudo '${primary_key}' Удалить пользователей из группы пользователей '${primary_key}' Удалить пользователей, которые управляют токеном OTP '${primary_key}' Удалить пользователей, которые могут управлять этим токеном. Удалить хранилища Удалены псевдонимы из записи узла "%(value)s" Удалены псевдонимы из записи неподтверждённого пользователя "%(value)s" Удалены псевдонимы из записи пользователя "%(value)s" Удалены псевдонимы учётной записи службы "%(value)s" Удалены сопоставления сертификатов из записи пользователя "%(value)s" Удалены сертификаты из записи узла "%(value)s" Удалены сертификаты из записи idoverrideuser "%(value)s" Удалены сертификаты из учётной записи службы "%(value)s" Удалены сертификаты из записи неподтверждённого пользователя "%(value)s" Удалены сертификаты из записи пользователя "%(value)s" Удалено условие (условия) из "%(value)s" Удалена группа по умолчанию (резервная) для автоучастия "%(value)s" Удалены сведения о доверенном домене "%(value)s" Из правила Sudo "%(rule)s" удалён параметр "%(option)s" Удалено системное разрешение "%(value)s" Выполняется удаление %(servers)s из топологии репликации; пожалуйста, подождите... Удаление учётной записи %s
Переименовать Переименовать запись ACI. Переименовать объект %(ldap_obj_name)s Переименовать объект записи ресурса DNS Переименовать объект переопределения ID группы Переименовать объект представления ID Переименовать объект токена OTP. Переименовать объект прокси-сервера RADIUS Переименовать объект переопределения ID пользователя Переименовать объект ключа автомонтирования Переименовать объект группы Переименовать объект разрешения Переименовать объект привилегии Переименовать объект роли. Переименовать объект неподтверждённого пользователя Переименовать объект пользователя ACI переименована в "%(value)s" Главный сервер обновления центра сертификации IPA Замена Реплика является активным мастером ключей DNSSEC. Удаление может привести к неработоспособности вашей системы DNS. Сначала следует отключить или заменить мастер ключей DNSSEC. Соглашение о репликации включено Соглашение о репликации для %(hostname)s не найдено Конфигурация репликации Обновление репликации для сегмента: направлен запрос "%(pkey)s". Топология репликации суффикса "%(suffix)s" содержит ошибки. Топология репликации суффикса "%(suffix)s" соответствует требованиям. Сообщить состояние PKINIT на главных IPA-серверах Отправить запрос на полную повторную инициализацию узла, чтобы получить данные с другого узла. Ошибка выполнения запроса, состояние %(status)s: %(reason)s ID запроса В запросе не указан метод ("method") В запросе не указаны параметры ("params") Запрос должен принадлежать к типу словаря (dict) Состояние запроса Обязательно Обязательное поле Требуется предварительная аутентификация Сбросить Восстановить значения политики билетов Kerberos по умолчанию. Сбросить OTP Сбросить пароль Сбросить пароль и войти Сбросить свой пароль. Определить адрес по имени узла в DNS. Определить адрес по имени узла в DNS. (Больше не поддерживается.) Определить идентификаторы безопасности пользователей и групп в доверенных доменах Восстановить Результат Результат имитации Результат команды Результаты усечены. Попробуйте задать более точные условия поиска Результаты должны содержать только атрибут главного ключа ("%s") Результаты должны содержать только атрибут главного ключа ("anchor") Результаты должны содержать только атрибут главного ключа ("certificate") Результаты должны содержать только атрибут главного ключа ("cn") Результаты должны содержать только атрибут главного ключа ("command") Результаты должны содержать только атрибут главного ключа ("delegation-name") Результаты должны содержать только атрибут главного ключа ("domain") Результаты должны содержать только атрибут главного ключа ("group") Результаты должны содержать только атрибут главного ключа ("group-name") Результаты должны содержать только атрибут главного ключа ("hostgroup-name") Результаты должны содержать только атрибут главного ключа ("hostname") Результаты должны содержать только атрибут главного ключа ("id") Результаты должны содержать только атрибут главного ключа ("location") Результаты должны содержать только атрибут главного ключа ("login") Результаты должны содержать только атрибут главного ключа ("map") Результаты должны содержать только атрибут главного ключа ("name") Результаты должны содержать только атрибут главного ключа ("principal") Результаты должны содержать только атрибут главного ключа ("realm") Результаты должны содержать только атрибут главного ключа ("service") Результаты должны содержать только атрибут главного ключа ("sudocmdgroup-name") Результаты должны содержать только атрибут главного ключа ("sudorule-name") Повторные попытки Получить данные из хранилища. Получить существующий сертификат. Получить и вывести все атрибуты, возвращаемые сервером. Влияет на содержимое результата исполнения команды. Получать текущие ключи без внесения в них изменений Извлечь данные из хранилища. Получить сертификаты прав. Данные получены из хранища "%(value)s" Не удалось получить цепочку сертификатов CA: %s Не удалось получить данные о состоянии CA: %d Не удалось получить данные о состоянии CA: %s Повторить попытку Повтор попытки с использованием метода получения таблицы ключей, который применялся до версии 4.0
Вернуть значения команд по умолчанию Вернуться на главную страницу и снова попытаться выполнить операцию Обратная запись для IP-адреса %(ip)s уже существует в обратной зоне %(zone)s. Обратной зоне %(name)s требуется ровно %(count)d компонтов IP-адресов, предоставлено %(user_count)d IP-сеть обратной зоны Вернуть Причина отзыва Отозвать Отозвать сертификат. Отозвать сертификат Отозван Отозван с Отозван с этой даты (ГГГГ-мм-дд) Отозван до Отозван до этой даты (ГГГГ-мм-дд) Правый узел Правый узел репликации — IPA-сервер Права Права, которые следует предоставить (read, search, compare, write, add, delete, all) Роль Параметры роли Имя роли Состояние роли Управление доступом на основе ролей Роли Корневой домен отношения доверия всегда включён для существующего доверия Имя правила Состояние правила Тип правила Тип правила (allow) Правило, которое используется для определения того, пригоден ли сертификат для аутентификации Правило, которое используется для сопоставления сертификата с записью пользователя Правила Правила, которые следует проверить. Если они не указаны, считается, что использован параметр --enabled Выполнить команды Выполнить проверку Запустить от имени пользователя Запустить от имени любого пользователя из указанной группы Запускать с идентификатором указанной POSIX-группы Внешняя группа для RunAs Внешний пользователь для RunAs Категория запуска от имени группы Категория запуска от имени группы, к которой применяется правило Группы запуска от имени Категория запуска от имени пользователей Категория запуска от имени пользователей, к которой применяется правило Пользователи запуска от имени Имя группы "%(name)s" не принимается RunAsGroup Имя группы "%(name)s" не принимается RunAsUser Нельзя указывать "%(name)s" в качестве имени пользователя в записи RunAsUser Параметры SELinux Пользователь SELinux Список пользователей SELinux Правило списка пользователей SELinux Правила списка пользователей SELinux Списки пользователей SELinux Пользователь SELinux %(user)s не найден в списке порядка применения (в конфигурации) Запись пользователя SELinux "%(user)s" не является корректной: %(error)s Пользователя списка соответствия пользователей SELinux по умолчанию нет в порядковом списке Список пользователей SELinux не найден в конфигурации Порядок применения списка пользователей SELinux Отпечаток SHA1 Отпечаток SHA256 Идентификатор безопасности (SID) Входящий "чёрный список" SID Исходящий "чёрный список" SID SID не соответствует ни одному доверенному домену SID не совпадает точно ни с одним из SID доверенных доменов Не удалось найти SID указанного доверенного домена. Укажите SID в явном виде с помощью параметра dom-sid. Не удалось распознать SID в качестве допустимого идентификатора безопасности для доверенного домена SID недействителен Алгоритм SIG Тег ключа SIG Метки SIG Исходное значение срока жизни SIG Подпись SIG Окончание действия подписи SIG Начало действия подписи SIG Имя подписавшего SIG Охваченные типы SIG Запись SIG Домашний каталог SMB Диск домашнего каталога SMB Путь к сценарию входа SMB Путь к профилю SMB Имя NetBIOS службы SMB Класс SOA Окончание действия SOA Минимальный срок жизни SOA Переопределение mname SOA (полномочный сервер) Переопределение mname SOA Класс записи SOA Срок окончания действия записи SOA Время обновления записи SOA Интервал между повторными запросами записи SOA Серийный номер записи SOA Срок жизни записи SOA Обновление SOA Повторный запрос SOA Номер SOA Срок жизни SOA Запись SPF Порт SRV Приоритет SRV Цель SRV Вес SRV Запись SRV Открытый ключ SSH Отпечаток открытого ключа SSH Открытый ключ SSH: Открытые ключи SSH Алгоритм SSHFP Отпечаток SSHFP Тип отпечатка SSHFP Запись SSHFP SSSD не удалось определить для объекта корректный SID Соль То же, что и --%s Сохранить Схема не нуждается в обновлении (отпечаток "%(fingerprint)s", TTL %(ttl)s с) Поиск Параметры поиска Поиск параметров команды. Поиск доменов отношения доверия. Поиск %(searched_object)s с этими %(relationship)s %(ldap_object)s. Поиск %(searched_object)s без этих %(relationship)s %(ldap_object)s. Не удалось выполнить поиск %1$s на rootdse. Ошибка: %2$d
Поиск CA ACL. Поиск CA. Поиск правил сопоставления сертификатов с записями пользователей. Поиск профилей сертификатов. Поиск записи класса обслуживания Поиск зон перенаправления DNS. Поиск ресурсов DNS. Поиск DNS-серверов. Поиск зон DNS (записей SOA). Поиск правил HBAC. Поиск служб HBAC. Поиск расположений IPA. Не удалось выполнить поиск namingContext IPA. Ошибка: %d
Поиск IPA-серверов. Поиск служб IPA. Поиск токена OTP. Поиск прокси-серверов RADIUS. Поиск списков пользователей SELinux. Поиск групп команд Sudo. Поиск команд Sudo. Поиск правила Sudo. Поиск сетевой группы. Поиск разрешения самообслуживания. Поиск переопределения ID группы. Поиск группы служб HBAC. Поиск представления ID. Поиск переопределения ID. Поиск переопределения ID пользователя. Поиск ключа автомонтирования. Поиск расположения автомонтирования. Поиск списка соответствия автомонтирования. Поиск правил автоучастия. Поиск сертификатов, включая те, владельцами которых являются %s Поиск сертификатов, не включая те, владельцами которых являются %s Поиск классов. Поиск выводов команд. Поиск команд. Поиск делегирований. Поиск учётных записей прав. Поиск существующих сертификатов. Поиск только зон перенаправления Поиск групповых политик паролей. Поиск групп с этими группами-участниками. Поиск групп, которые являются участниками этого правила HBAC. Поиск групп, участником которых является эта группа. Поиск групп, которые являются участниками этой сетевой группы. Поиск групп, которые являются участниками этой роли. Поиск групп, которые являются участниками этого правила Sudo. Поиск групп с этими пользователями-участниками. Поиск групп без этих групп-участников. Поиск групп, которые не являются участниками этого правила HBAC. Поиск групп, участником которых не является эта группа. Поиск групп, которые не являются участниками этой сетевой группы. Поиск групп, которые не являются участниками этой роли. Поиск групп, которые не являются участниками этого правила Sudo. Поиск групп без этих пользователей-участников. Поиск групп. Поиск разделов справки. Поиск групп узлов с этими группами узлов — участниками. Поиск групп узлов с этими узлами-участниками. Поиск групп узлов, которые являются участниками этого правила HBAC. Поиск групп узлов, которые являются участниками этой группы узлов. Поиск групп узлов, которые являются участниками этой сетевой группы. Поиск групп узлов, которые являются участниками этого правила Sudo. Поиск групп узлов без этих групп узлов — участников. Поиск групп узлов без этих узлов-участников. Поиск групп узлов, которые не являются участниками этого правила HBAC. Поиск групп узлов, которые не являются участниками этой группы узлов. Поиск групп узлов, которые не являются участниками этой сетевой группы. Поиск групп узлов, которые не являются участниками этого правила Sudo. Поиск групп узлов. Поиск узлов, которые зарегистрированы пользователями. Поиск узлов, которые управляются узлами. Поиск узлов, включая узлы, управляющие узлами. Поиск узлов, которые являются участниками этого правила HBAC. Поиск узлов, которые являются участниками этой группы узлов. Поиск узлов, которые являются участниками этой сетевой группы. Поиск узлов, которые являются участниками этой роли. Поиск узлов, которые являются участниками этого правила Sudo. Поиск узлов, которые не зарегистрированы пользователями. Поиск узлов, которые не управляются узлами. Поиск узлов, не включая узлы, управляющие узлами. Поиск узлов, которые не являются участниками этого правила HBAC. Поиск узлов, которые не являются участниками этой группы узлов. Поиск узлов, которые не являются участниками этой сетевой группы. Поиск узлов, которые не являются участниками этой роли. Поиск узлов, которые не являются участниками этого правила Sudo. Поиск узлов. Поиск сетевых групп с этими группами-участниками. Поиск сетевых групп с этими группами узлов — участниками. Поиск сетевых групп с этими узлами-участниками. Поиск сетевых групп с этими сетевыми группами — участниками. Поиск сетевых групп, которые являются участниками этой сетевой группы. Поиск сетевых групп с этими пользователями-участниками. Поиск сетевых групп без этих групп-участников. Поиск сетевых групп без этих групп узлов — участников. Поиск сетевых групп без этих узлов-участников. Поиск сетевых групп без этих сетевых групп — участников. Поиск сетевых групп, которые не являются участниками этой сетевой группы. Поиск сетевых групп без этих пользователей-участников. Поиск разрешений. Поиск привилегий. Поиск диапазонов. Поиск ролей. Поиск серверов, включая серверы с этими управляемыми суффиксами. Поиск серверов, не включая серверы с этими управляемыми суффиксами. Поиск цели делегирования служб. Поиск правила делегирования служб. Поиск служб, включая службы, управляемые узлами. Поиск служб, не включая службы, управляемые узлами. Поиск неподтверждённых пользователей, которые являются участниками этого правила HBAC. Поиск неподтверждённых пользователей, которые являются участниками этой группы. Поиск неподтверждённых пользователей, которые являются участниками этой сетевой группы. Поиск неподтверждённых пользователей, которые являются участниками этой роли. Поиск неподтверждённых пользователей, которые являются участниками этого правила Sudo. Поиск неподтверждённых пользователей, которые не являются участниками этого правила HBAC. Поиск неподтверждённых пользователей, которые не являются участниками этой группы. Поиск неподтверждённых пользователей, которые не являются участниками этой сетевой группы. Поиск неподтверждённых пользователей, которые не являются участниками этой роли. Поиск неподтверждённых пользователей, которые не являются участниками этого правила Sudo. Поиск неподтверждённых пользователей. Поиск сегментов топологии. Поиск суффиксов топологии. Поиск суффиксов топологии. Поиск отношений доверия. Поиск пользователей, которые являются участниками этого правила HBAC. Поиск пользователей, которые являются участниками этой группы. Поиск пользователей, которые являются участниками этой сетевой группы. Поиск пользователей, которые являются участниками этой роли. Поиск пользователей, которые являются участниками этого правила Sudo. Поиск пользователей, которые не являются участниками этого правила HBAC. Поиск пользователей, которые не являются участниками этой группы. Поиск пользователей, которые не являются участниками этой сетевой группы. Поиск пользователей, которые не являются участниками этой роли. Поиск пользователей, которые не являются участниками этого правила Sudo. Поиск пользователей. Поиск хранилищ. Результат поиска усечён: %(reason)s Область поиска Ограничение размера поиска Ограничение времени поиска Другой код Второй OTP Основа вторичного RID Секунды широты Секунды долготы Секрет Секреты можно добавлять или извлекать из хранилища только с помощью инструментов командной строки vault-archive и vault-retrieve. Идентификатор безопасности Идентификаторы безопасности (SID) Свойства сегмента Имя сегмента Выбрать все Выбранные записи, которые следует удалить. Селектор Моя учётная запись Разрешение самообслуживания Разрешения самообслуживания Имя самообслуживания Семантика %(label)s изменена. %(current_behavior)s
%(hint)s Разделённый точками с запятой список IP-адресов или сетей, которым разрешено выдавать запросы Разделённый точками с запятой список IP-адресов или сетей, которым разрешено переносить зону Учитывать Серийный номер Серийный номер Серийный номер (шестнадцатеричный) Серийный номер Серийный номер (hex) Серийный номер в десятичной или, если есть префикс 0x, в шестнадцатеричной системе Сервер У сервера "%(srv)s" имеется %(n)d соглашений с серверами: Сервер %(srv)s не может связаться с серверами: %(replicas)s Имя сервера Параметры сервера Роль сервера Роли сервера Сервер не поддерживает функционал уровня домена Сервер уже удалён На сервере нет сведений о домене "%(domain)s" Имя сервера Не указано имя сервера, сервер недоступен
Удаление сервера прервано: %(reason)s. Состояние сервера Сервер проверит DNS-перенаправитель (перенаправители). Серверы Сведения о серверах: Серверы в расположении Серверы, которые принадлежат к записи расположения IPA Служба Для применения изменений конфигурации необходимо перезапустить службу %(service)s на IPA-сервере %(server)s. В базе данных Kerberos не найдена служба "%(service)s" Сертификат службы Группы служб Параметры службы Параметры службы Хранилища служб Категория служб Категория служб, к которой применяется ACL Категория служб, к которой применяется правило Правило делегирования служб Правила делегирования служб Цель делегирования служб Цели делегирования служб Имя группы служб Имя службы Имя службы хранилища служб Учётная запись службы Псевдоним учётной записи службы Учётная запись службы для этого сертификата (например, HTTP/test.example.com) Учётная запись службы указана в виде, отличном от: служба/полностью-определённое-имя узла: %(reason)s Следует указать учётную запись службы Относительный вес служб Служба, подготовка которой к работе отменена Вес служб Невозможно одновременно указать параметры службы (служб), общего доступа и пользователя (пользователей) Невозможно одновременно указать параметры службы, совместного использования и пользователя Невозможно одновременно указать параметры службы, общего доступа и пользователя Службы Сеансовая ошибка Ключ сеанса, упакованный с сертификатом транспорта Время ожидания сеанса Установить Указать уровень домена Установить OTP Указать ключ SSH Установить пароль пользователя. Установить атрибут для пары имя/значение. Формат: атрибут=значение.
Если атрибут многозначный, команда заменяет уже присутствующие значения. Установить группу по умолчанию (резервную) для всех несоответствующих записей. Установить группу по умолчанию (резервную) для автоучастия "%(value)s" Установить включённое/скрытое состояние сервера. Установить открытый ключ Параметры Общее Хранилища совместного использования Общий секрет для отношения доверия Хранилище совместного использования Показать Показать IPA-сервер. Показать QR-код Показать результаты Показать все загруженные подключаемые модули. Показать адрес конфигурации Показать подробные сведения Показать переменные окружения. Показать глобальную конфигурацию отношений доверия. Показать управляемый суффикс. Показать состояние роли на сервере. Показать текущую конфигурацию сопоставления сертификатов с записями пользователей. Показать текущую конфигурацию OTP. Показать текущую конфигурацию. Показать текущую глобальную конфигурацию DNS. Показать список разрешённых типов шифрования и завершить работу Показать конфигурацию хранилища. Показать или установить ключ Показано записей: с ${start} по ${end} из ${total}. Подпись Окончание действия подписи Начало действия подписи Имя подписавшего Не удалось выполнить простую привязку
Имитировать использование управления доступом на основе узла Поскольку IPA не управляет записями DNS, следует настроить DNS так, чтобы система определяла адрес домена "{domain}" по данным узлов IPA и наоборот. Размер Ограничение по размеру Размер данных превышает ограничение. Текущее ограничение размера хранилища: %(limit)d Б Размер диапазона идентификаторов, зарезервированного для доверенного домена Пропустить проверку DNS Пропустить проверку того, удаляется ли последний главный сервер CA или DNS-сервер Пропустить проверку узла Пропустить проверку пересечения Пропущено %(key)s Пропущено %(map)s Не удалось удалить некоторые записи Не удалось выполнить некоторые операции. Группы узлов-источников Узлы-источники Узел-источник Категория узлов-источников Категория узлов-источников, к которой применяется правило Указанные CA Указанные команды и группы Указанные группы Указанные узлы и группы Указанные профили Указанные службы и группы Указанные пользователи и группы Указанное имя доверенного домена не найдено. Указывает место сохранения данных таблицы ключей. Указать внешний адрес: ${entity} Разделить запись DNS на части Сделать неподтверждённым Неподтверждённый пользователь Неподтверждённые пользователи Неподтверждённый пользователь %s активирован Неподтверждённые пользователи Учётная запись неподтверждённого пользователя "%(value)s" Стандартное Стандартные типы записей Состояние Область/республика Состояние Состояние роли Остановить уже начатое обновление выбранного узла (узлов) Остановка репликации для сегмента: направлен запрос "%(pkey)s". Хранить и предоставлять схему для команд и тем Сохранять выданные сертификаты Адрес Структурировано Субъект DN субъекта DN субъекта уже используется CA "%s" DNS-имя субъекта Различающееся имя субъекта Имя стороны EDI субъекта IP-адрес субъекта Имя учётной записи Kerberos субъекта Идентификатор объекта (OID) субъекта Другое имя субъекта Имя участника-пользователя (UPN) субъекта Универсальный код ресурса (URI) субъекта Адрес X.400 субъекта Использование типа альтернативного имени субъекта %s запрещено Имя каталога субъекта Адрес электронной почты субъекта Субъект сертификата Отправить запрос подписи сертификата. Поддерево Поддерево, к которому следует применить ACI Поддерево, к которому следует применить разрешения Подтип Успех Sudo Группы разрешённых команд Sudo Разрешённые команды Sudo Команда Sudo Группа команд Sudo Группы команд Sudo Команды Sudo Группы запрещённых команд Sudo Запрещённые команды Sudo Параметр Sudo Правило Sudo Правила Sudo Порядок Sudo Имя суффикса Замена Поддерживаемые типы шифрования:
Подавить обработку атрибутов участия. Симметричное Синхронизировать токен OTP Синхронизировать токен OTP. Выполняется синхронизация Ошибка синтаксиса: %(error)s Записи DNS системы обновлены Системной кодировкой должна быть UTF-8, поддержка "%(encoding)s" не предусмотрена. Установите либо LC_ALL="C.UTF-8", либо LC_ALL="" и LC_CTYPE="C.UTF-8". Запись TA Запись TKEY Данные сопоставления сертификата TLSA Использование сертификата TLSA Тип соответствия TLSA Селектор TLSA Запись TLSA Окно TOTP-синхронизации Окно TOTP-аутентификации Отклонение по времени TOTP-аутентификации (в секундах) Отклонение по времени TOTP-синхронизации (в секундах) Разница времени между токеном TOTP и сервером IPA Запись TSIG Текстовые данные TXT Запись TXT Возобновить действие отозванного сертификата. Цель DN цели Поддерево DN цели Универсальный код ресурса (URI) запрошенного конечного объекта Универсальный код ресурса (URI) запрошенного конечного объекта в соответствии с RFC 3986 Целевая группа Целевой узел Целевые участники группы Целевые участники группы (устанавливает фильтр целей memberOf) Целевая обратная зона не найдена. Выполнить над своей собственной записью (self) DN задачи DN задачи = "%s" Номер телефона Проверить синтаксис ACI, но никуда не записывать Текстовые данные Текст не соответствует шаблону поля Параметр --domain невозможно использовать одновременно с параметром --add-domain или --del-domain. Используйте параметр --domain, чтобы явно указать весь список доменов области (realm). Используйте параметр --add-domain/del-domain, чтобы добавить или удалить отдельные домены. ACI для разрешения %(name)s не найдена в %(dn)s Область (realm) IPA Не удалось создать запись TXT _kerberos из домена %(domain)s (%(error)s).
Возможная причина: зона не находится под управлением IPA. Создайте запись вручную, включив в неё следующее значение: "%(realm)s" Не удалось удалить запись TXT _kerberos из домена %(domain)s (%(error)s).
Возможная причина: зона не находится под управлением IPA. Удалите запись вручную. Ключ автомонтирования %(key)s с информацией %(info)s не существует Сертификат для %(ca)s недоступен на этом сервере. Использовать символ %(char)r запрещено. Невозможно удалить группу пользователей по умолчанию Тип "deny" больше не поддерживается. Домен %s не является ни доменом IPA, ни доверенным доменом. Имя домена целевого узла или ".", если служба явно недоступна на этом домене Домен(ы) "%s" не могут использоваться для применения проверки altSecurityIdentities. Следующие домены не принадлежат к этой области (realm): %(domains)s Группа не существует Узел "%s", в который следовало добавить службу, не существует. Узел добавлен, но при обновлении DNS произошла ошибка: %(reason)s Имя узла должно быть полным: %s
Имя узла не должно быть следующим: %s
Имя узла или IP-адрес (с портом или без порта) Имя узла, на которое указывает эта обратная запись Имя узла для регистрации Пара ключ,информация должна быть уникальной. Ключ с именем %(key)s и информацией %(info)s уже существует Файл таблицы ключей, в который следует добавить новый ключ (файл будет создан, если не существует). Файл таблицы ключей, из которого следует удалить учётную запись (записи) Правило сопоставления с altSecurityIdentities должно применяться к доверенному домену Active Directory, но с правилом не был связан ни один домен. Наиболее распространённые типы для этого типа зон: %s
Количество повторных попыток аутентификации Введён неверный пароль или имя пользователя Значение primary_key (основного ключа) записи, например "ииванов" для пользователя Учётная запись для этого запроса не существует. Учётная запись, для которой следует получить файл таблицы ключей (пример: ftp/ftp.example.com@EXAMPLE.COM) Учётная запись, которую следует удалить из файла таблицы ключей (пример: ftp/ftp.example.com@EXAMPLE.COM) Область (realm) для учётной записи не совпадает с областью этого IPA-сервера Не удалось определить область (realm) следующих доменов: %(domains)s. Если эти домены принадлежат к этой области, создайте на каждом из них запись TXT _kerberos, которая содержит "%(realm)s". Схема, используемая на LDAP-сервере. Поддерживаются значения RFC2307 и RFC2307bis. Значение по умолчанию: RFC2307bis. Недостаточно строгие условия поиска. Ожидалось: 1. Найдено: %(found)d. Секрет, который используется для шифрования данных Службе разрешена аутентификация от имени клиента Учётная запись службы для альтернативного имени субъекта %s в запросе сертификата не существует Имя темы или команды. Общее время ожидания для всех повторных попыток (в секундах) Введённая учётная запись пользователя заблокирована Атрибут имени пользователя объекта пользователя Неправильное имя пользователя, пароль или коды токена. Отношение доверия с {ipa_domain} с неподдерживаемым типом {trust_type} уже существует. Пожалуйста, удалите его вручную на стороне DC AD. Ошибка при обработке запроса. Пожалуйста, повторите попытку позже. Эту команду нельзя использовать для изменения выделения идентификаторов для локального домена IPA. Чтобы получить дополнительные сведения, выполните команду `ipa help idrange` Для выполнения этой команды должна существовать группа "editors", но такая группа не найдена. Для выполнения этой команды требуются права администратора (root) Такая запись уже существует Эту запись нельзя включать или отключать Эта запись уже есть среди участников Эта запись уже отключена Эта запись уже включена Этой записи нет среди участников В этой группе уже разрешены внешние участники Эта группа не может быть POSIX-группой, так как является внешней Уже является POSIX-группой Эта группа уже является POSIX-группой и не может быть преобразована во внешнюю группу Это может занять некоторое время; пожалуйста, подождите... На этой странице имеются несохранённые изменения. Пожалуйста, сохраните или отмените их. Срок действия билета истек Не удалось прочитать политику билетов для %s Ограничение по времени Ограничение времени поиска в секундах Ограничение времени поиска в секундах ("0" означает отсутствие ограничения) Время сейчас Срок жизни Срок жизни записей в начале зоны Срок жизни записей без явного определения срока жизни На основе времени (TOTP) Время ожидания Превышено время ожидания. Для установления отношения доверия с Active Directory имя домена и имя области (realm) IPA-сервера должны совпадать Чтобы получить справку по команде, используйте команду: ID токена Описание токена (только для сведения) Алгоритм хеширования токена Модель токена (только для сведения) Секрет токена (Base32; значение по умолчанию: случайный) Серийный номер токена (только для сведения) Не удалось синхронизировать токен Имя поставщика токена (только для сведения) Токен синхронизирован Команды темы: Тема или команда Топология Сегмент топологии Сегменты топологии Топология не позволяет серверу %(server)s выполнять репликацию с серверами: Топология отключена Управление топологией требует уровня домена не ниже {0} Суффикс топологии Суффиксы топологии Количество переменных env (>= count) Сертификат транспорта Да Значение True, если были возвращены не все результаты Значение True означает, что операция выполнена успешно Отношение доверия Параметры отношения доверия Направление отношения доверия Настройка отношения доверия Состояние отношения доверия Тип отношения доверия Тип отношения доверия (ad для Active Directory, значение по умолчанию) Доверенный домен Доверенный домен %(domain)s находится среди доменов области (realm) IPA. Его необходимо удалить до установления отношения доверия. Смотрите команду "ipa realmdomains-mod --del-domain". Доверенным доменом и учётной записью администратора используются разные области (realms) Доверенным доменом не возвращён уникальный объект Доверенным доменом не возвращён корректный SID объекта Партнёр доверенного домена Доверенные домены Доверено для делегирования Доверенный лес Доверие для аутентификации в качестве пользователя Доверяющий лес Отношения доверия Двухфакторная аутентификация (пароль + OTP) Двустороннее отношение доверия Тип Охваченные типы Список сопоставления типов Тип объекта IPA (устанавливает фильтр целей subtree и objectClass) Тип объекта IPA (user (пользователь), group (группа), host (узел), hostgroup (группа узлов), service (служба), netgroup (сетевая группа), dns) Тип токена Тип диапазона идентификаторов доверенного домена, одно из разрешённых значений Тип диапазона идентификаторов доверенного домена, один из следующих: ipa-ad-trust-posix, ipa-ad-trust Поддерживаемые типы аутентификации пользователей UID Суффиксы UPN Универсальный код ресурса (URI) URL-адрес UUID Отменить применение Отменить применение представлений ID к узлам Отменить применение представлений ID к узлам групп узлов Отменить применение представления ID '${primary_key}' к узлам Отменить применение к группам узлов Отменить применение к узлам Не удалось обменяться данными с CMS Не удалось обменяться данными с CMS (состояние %d) Не удалось создать личную группу. Группа "%(group)s" уже существует. Не удалось найти IPA-сервер, используя %s
Не удалось определить, существует ли уже учётная запись Kerberos %s. Используйте команду "ipa user-mod", чтобы установить её параметры вручную. Не удалось определить корневое DN %s
Не удалось показать QR-код с помощью настроенного шифрования вывода. Используйте URI токена для настройки вашего устройства OTP Не удалось включить SSL в LDAP
Не удалось создать кэш учётных данных Kerberos
Не удалось инициализировать сеанс STARTTLS
Не удалось инициализировать подключение к LDAP-серверу %1$s: %2$s
Не удалось инициализировать библиотеку ldap!
Не удалось присоединить узел: кэш учётных данных Kerberos не найден
Не удалось присоединить узел: учётная запись пользователя Kerberos не найдена, пароль узла не указан.
Не удалось присоединить узел: ошибка инициализации Kerberos-контекста
Не удалось обработать учётную запись
Не удалось обработать имя учётной записи
Не удалось обработать учётную запись: %1$s (%2$d)
Не удалось удалить запись
Не удалось определить контроллер домена для домена {domain}. Не удалось задать LDAP_OPT_PROTOCOL_VERSION
Не удалось задать LDAP_OPT_X_SASL_NOCANON
Не удалось задать LDAP_OPT_X_TLS_CACERTFILE
Не удалось задать LDAP_OPT_X_TLS_PROTOCOL_MIN
Не удалось задать LDAP_OPT_X_TLS_REQUIRE_CERT
Не удалось проверить разрешения на запись в AD Восстановить удалённую учётную запись пользователя. Учётная запись пользователя "%(value)s" возвращена после удаления Отменить Отменить все Отменить все изменения в этом поле. Отменить это изменение. Отменить регистрацию этого узла на IPA-сервере Не удалось отменить регистрацию.
Отмена регистрации выполнена успешно.
Уникальный идентификатор Неизвестно Неизвестная ошибка Неизвестный параметр: %(option)s Разблокировать Учётная запись "%(value)s" разблокирована Соответствие не установлено Отменить подготовку Отмена подготовки узла Отмена подготовки службы Нераспознанные атрибуты: %(attrs)s Непригодные к обработке правила в --rules Отзыв отменён Несохранённые изменения Отменить выбор Не указана Неподдерживаемое значение Обновить Обновить записи DNS Обновить записи DNS системы Обновить записи расположений и DNS-серверов IPA. Не удалось обновить системную запись "%(record)s". Ошибка: %(error)s Пользователь Группа пользователей Группы пользователей ID пользователя Номер ID пользователя ID пользователя (если не указан, система назначит его самостоятельно) Переопределение ID пользователя Переопределения ID пользователя Имя учётной записи пользователя Параметры пользователя Хранилища пользователей Атрибут пользователя Пользовательские атрибуты для служб SMB Типы аутентификации пользователей Категории пользователей Категория пользователей Категория пользователей (семантика этого атрибута предназначена для локального разбора) Категория пользователей, к которой применяется ACL Категория пользователей, к которой применяется правило Контейнер пользователей Группа пользователей Группа пользователей, доступ к которой предоставляет ACI Правило группы пользователей Правила группы пользователей Группа пользователей, к которой следует применить делегирование Группа пользователей, к которой следует применить разрешения Группа пользователей, к которой следует применить разрешения (устанавливает target) Имя учётной записи пользователя Имена входа пользователя Имя пользователя Класс объекта пользователя Приоритет объекта пользователя Пароль пользователя Окончание действия пароля пользователя Поля поиска пользователей Пользователь, которого следует переопределить Понятное пользователю описание выполненного действия Определённые пользователем атрибуты, к которым применяется разрешение Определённые пользователем атрибуты, к которым явно не применяется разрешение Имя пользователя Имя пользователя хранилища пользователей Пользователи Пользователи, которым разрешено создавать таблицу ключей Пользователи, которым разрешено получать таблицу ключей Имеется действительный сертификат Действителен с Действующий не позднее, чем с Действующий не позднее, чем с этой даты (ГГГГ-мм-дд) Действующий не позднее, чем до Действующий не позднее, чем до этой даты (ГГГГ-мм-дд) Действующий не ранее, чем с Действующий не ранее, чем с этой даты (ГГГГ-мм-дд) Действующий не ранее, чем до Действующий не ранее, чем до этой даты (ГГГГ-мм-дд) Действителен до Ошибка подтверждения Действительность Окончание срока действия Начало срока действия Хранилище Контейнер хранилищ Контейнеры хранилищ Тип хранилища Конфигурация хранилища Данные хранилища, зашифрованные ключом сеанса Описание хранилища Имя хранилища Пароль хранилища Закрытый ключ хранилища Открытый ключ хранилища Соль хранилища Служба хранилища Тип хранилища Пользователь хранилища Хранилища Конфигурация хранилищ Поставщик Проверить пароль Проверка пароля учётной записи Версия Вертикальная точность Служба для использования Показать Просмотреть сертификат Ожидание подтверждения удалённой стороной Предупреждение Предупреждение: неопознанный тип шифрования.
Предупреждение: неопознанный тип соли.
Предупреждение: рекомендуется использовать репликацию служб Предупреждение: не удалось преобразовать тип (№%d)
Предупреждение: случайные пароли не поддерживают типы соли (см. параметр -P)
Вес Вес служб сервера При переносе группы, которая уже существует в домене IPA, перезаписать GID группы и сообщить об успешном выполнении Включена или отключена пре-аутентификация (PKINIT) Активно ли соглашение о репликации, то есть выполняется ли репликация по этому соглашению Определяет, следует ли сохранять сертификаты, выданные с помощью этого профиля Кто В процессе Записать сертификат (цепочку сертификатов, если использовано --chain) в файл Записать конфигурацию профиля в файл Цепочка сертификатов X.509 Вы пытаетесь сослаться на личную группу, которую запрещено переопределять. Попробуйте переопределить атрибут GID соответствующего пользователя. В качестве приложения для работы с токенами OTP можно использовать <a href="${link}" target="_blank">FreeOTP<a/>. Возможно, потребуется вручную удалить их из дерева Чтобы создать службу узла, необходимо сначала зарегистрировать узел Вы будете перенаправлены через ${count}s Вы будете перенаправлены в зону DNS. Количество дней до окончания действия вашего пароля: ${days}. Срок действия вашего пароля истёк. Пожалуйста, введите новый пароль. Время вашего сеанса истекло. Пожалуйста, войдите в систему ещё раз. Доверительные отношения с %(domain)s разорваны. Восстановите их, выполнив команду "ipa trust-add". Слот YubiKey Индекс Перенаправители зон Найдена зона: ${zone} Имя зоны Имя зоны (FQDN) Невозможно удалить запись зоны "%s" Интервал между обновлениями данных зоны не удалось выполнить access() для %1$s: номер ошибки = %2$d
активный пользователь с именем "%(user)s" уже существует добавлено значение атрибута в запись %(value)s значение алгоритма: допустимый интервал 0-255 на всех главных серверах должна быть включена роль %(role)s произошла внутренняя ошибка на сервере "%(server)s" произошла внутренняя ошибка ответ на запрос "%(owner)s %(rtype)s" не содержит подписи DNSSEC (нет данных RRSIG) любой из настроенных серверов api не предоставляет такого пространства имён: "%(name)s" следует указать хотя бы один из параметров: тип, пользователи, узлы следует указать хотя бы одно из: type, filter, subtree, targetgroup, attrs или memberof должно присутствовать хотя бы одно значение, равное каноническому имени учётной записи атрибут "%(attribute)s" запрещён атрибут "%s" нельзя использовать настройка атрибута невозможна attrs и включённые атрибуты нельзя использовать вместе attrs и включённые или исключённые атрибуты нельзя использовать вместе автоматически добавить учётную запись, если она не существует Автоматически добавить учётную запись, если она не существует (только для учётных записей служб) ключ автомонтирования ключи автомонтирования расположение автомонтирования расположения автомонтирования список соответствия автомонтирования списки соответствия автомонтирования базовое расширяемое имя (DN) Не удалось выполнить ber_init(), недопустимый элемент управления?!
Ошибка ber_scanf(), не удалось найти kvno?!
Привязка пароля может быть не длиннее %(len)d символов размер должен быть не больше %(maxlength)d байт может быть не длиннее %(maxlength)d символов может быть не больше %(maxvalue)d не может быть больше %(maxvalue)s невозможно добавить разрешение "%(perm)s" с типом привязки "%(bindtype)s" в привилегию не может быть пустым не может превышать {} символов не удалось установить соединение с "%(uri)s": %(error)s невозможно удалить глобальную политику паролей невозможно удалить управляемые разрешения невозможно удалить корневой домен отношения доверия, используйте trust-del для удаления самого отношения доверия невозможно отключить корневой домен отношения доверия, используйте trust-del для удаления самого отношения доверия поле субъекта не может быть пустым не удалось открыть файл конфигурации %s
невозможно переименовать управляемые разрешения невозможно установить тип привязки для разрешения, которое связано с привилегией невозможно одновременно указать код сертификата и файл с сертификатом невозможно одновременно указать subject/issuer и certificate невозможно одновременно указать subject/issuer и ipacertmapdata невозможно одновременно указать полный фильтр целей и дополнительный фильтр целей не удалось обработать файл конфигурации %s функцией stat()
изменение конфликтует с другим выполненным изменением Изменить на POSIX-группу Изменить для добавления поддержки внешних не IPA-участников из доверенных доменов дочерний процесс завершился с сообщением %d
cn нельзя изменять Разделённый двоеточиями список доменов, которые используются для обработки кратких имён Разделённый запятыми список групп служб HBAC, которые следует добавить Разделённый запятыми список групп служб HBAC, которые следует удалить Разделённый запятыми список служб HBAC, которые следует добавить Разделённый запятыми список служб HBAC, которые следует удалить Разделённый запятыми список групп, которые следует добавить Разделённый запятыми список групп, которые следует исключить из миграции Разделённый запятыми список групп, которые следует удалить Разделённый запятыми список групп узлов, которые следует добавить Разделённый запятыми список групп узлов, которые следует удалить Разделённый запятыми список узлов, которые следует добавить Разделённый запятыми список узлов, которые следует удалить Разделённый запятыми список участников доверенного домена в формате DOM\имя или имя@домен Разделённый запятыми список сетевых групп, которые следует добавить Разделённый запятыми список сетевых групп, которые следует удалить Разделённый запятыми список разрешений Разделённый запятыми список разрешений, которые следует предоставить (read, write, add, delete, all) Разделённый запятыми список привилегий Разделённый запятыми список привилегий, которые следует добавить Разделённый запятыми список привилегий, которые следует удалить Разделённый запятыми список ролей, которые следует добавить Разделённый запятыми список ролей, которые следует удалить Разделённый запятыми список групп команд Sudo, которые следует добавить Разделённый запятыми список групп команд Sudo, которые следует удалить Разделённый запятыми список команд Sudo, которые следует добавить Разделённый запятыми список команд Sudo, которые следует удалить Разделённый запятыми список пользователей, которых следует добавить Разделённый запятыми список пользователей, которых следует исключить из миграции Разделённый запятыми список пользователей, которых следует удалить команда команда "%(name)s" имеет не более %(count)d аргумента команда "%(name)s" имеет не более %(count)d аргументов команда "%(name)s" имеет не более %(count)d аргументов команда "%(name)s" не имеет аргументов команды невозможно добавить команды, когда категория команд="all" команды управления конфигурацией Sudo не удалось обменяться данными с сервером CIFS параметры конфигурации запись контейнера (%(container)s) не найдена CA ACL по умолчанию можно только отключить делегирование делегирования удалить описание не получены учётные данные Kerberos не соответствует ни одному допустимому формату: домен домен не настроен домен не является доверенным имя домена "%(domain)s" должно быть нормализовано до: %(normalized)s имя домена не может быть длиннее 255 символов каждый элемент ACL должен заканчиваться точкой с запятой пустая DNS-метка пустой фильтр enabledService/configuredService не в записи kdc ipaConfigString записи запись ошибка преобразования данных для передачи по протоколу XML-RPC: %(error)s ошибка на сервере "%(server)s": %(error)s не удалось выполнить команду ipa-getkeytab, номер ошибки %d
ожидаемый формат: <0-255> <0-255> <0-65535> шестнадцатеричные_цифры_равной_длины_или_дефис файл для сохранения записей DNS в формате nsupdate Файл для сохранения сертификата имя файла filter и memberof нельзя использовать вместе значением флагов должна быть одна из следующих букв: "S", "A", "U" или "P" значение флагов: допустимый интервал от 0 до 255 Принудительно создать запись NS, даже если соответствующее имя узла отсутствует в DNS Принудительно удалить разрешения SYSTEM Принудительно установить значение имени узла, даже если имени нет в DNS Принудительно установить значение имени учётной записи, даже если узла нет в DNS принудительно установить значение имени учётной записи, даже если имени нет в DNS Принудительно создать службу, даже если объект узла для управления ей не существует не удалось выполнить fork()
формат должен быть указан следующим образом:
"d1 [m1 [s1]] {"N"|"S"} d2 [m2 [s2]] {"E"|"W"} alt["m"] [siz["m"] [hp["m"] [vp["m"]]]]"
где:
d1: [0 .. 90] (градусы широты)
d2: [0 .. 180] (градусы долготы)
m1, m2: [0 .. 59] (минуты широты / долготы)
s1, s2: [0 .. 59.999] (секунды широты / долготы)
alt: [-100000.00 .. 42849672.95] BY .01 (высота в метрах)
siz, hp, vp: [0 .. 90000000.00] (размер / точность в метрах)
Подробные сведения доступны в RFC 1876 формат должен быть указан следующим образом: "%(format)s" %(rfcs)s зона перенаправления "%(fwzone)s" не действует из-за отсутствия надлежащего NS-делегирования в основной зоне "%(authzone)s". Добавьте NS-запись "%(ns_rec)s" в родительскую зону "%(authzone)s". невозможно указать gid для внешней группы следует указать имя группа группа запуска от имени group, permission и self нельзя использовать вместе группы группы, которые следует добавить группы, которые следует исключить из миграции группы, которые следует удалить узел для категории узлов нельзя установить значение "all", когда имеются разрешённые узлы группа узлов группы узлов группы узлов, которые следует добавить группы узлов, которые следует удалить Маски разрешённых узлов группа узлов группа узлов с именем "%s" уже существует. Группы узлов и сетевые группы имеют общее пространство имён группы узлов имя узла имя узла содержит пустую метку (точки подряд) имя узла в субъекте запроса "%(cn)s" не соответствует имени или псевдонимам учётной записи "%(principal)s" имя узла в субъекте запроса "%(cn)s" не соответствует имени узла учётной записи "%(hostname)s" узлы невозможно добавить узлы, когда категория узлов="all" невозможно указать узлы, когда тип "group" узлы, которые следует добавить узлы, которые следует удалить диапазон идентификаторов тип диапазона идентификаторов неполное значение времени неверный тип Целое число для упорядочивания правил Sudo недопустимое "%(name)s": %(error)s Некорректное DN (%s) недопустимый формат IP-адреса недопустимая версия IP-адреса (сейчас %(value)d, должна быть %(required_value)d)! недопустимый формат IP-сети недопустимый идентификатор профиля недопустимый SID: {SID} неверный открытый ключ SSH недопустимый формат адреса недопустимое имя атрибута недопустимое имя домена недопустимое имя домена: %s недействительное имя домена: не является полным неправильный формат почты: %(email)s недопустимая управляющая последовательность (escape code) в имени домена недопустимая маска узла недопустимый номер порта неправильные разрешения команды ipa-getkeytab?
команда ipa-getkeytab не найдена
следует указать значение количества итераций: допустимый интервал от 0 до 65535 параметры политики билетов Kerberos ключ %(key)s уже существует ключ с именем %(key)s уже существует таблица ключей является оборванной символической ссылкой и принадлежит другому пользователю.
krb5_kt_close %1$d: %2$s
krb5_kt_get_entry %1$d: %2$s
krb5_kt_remove_entry %1$d: %2$s
krb5_parse_name %1$d: %2$s
krb5_unparse_name %1$d: %2$s
сертификаты krbtgt могут использовать только профиль %s kvno %d
в левом узле ({host}) не предусмотрена поддержка суффикса '{suff}' левый узел и правый узел должны быть разными узлами левый узел не является узлом топологии: %(leftnode)s следует указать левый или правый узел для этого запроса превышены ограничения диапазон локальных доменов расположение расположения руководитель %(manager)s не найден список соответствия %(map)s уже существует списки соответствия, которые не подключены к /etc/auto.master: точное соответствие общему имени максимальный серийный номер участник %s Профиль сертификатов — участник служба-участник HBAC участник группа служб HBAC группа-участник узел-участник группа узлов — участник сетевая группа — участник учётная запись — участник привилегия участника роль участника служба-участник цель делегирования служб — участник команда Sudo — участник группа команд — участник Sudo пользователь-участник минимальный серийный номер отсутствует base_id изменение главного ключа запрещено точка монтирования указывается относительно родительского списка соответствия, её запись не может начинаться с / должно быть "%s" должно быть "%(value)s" должно быть DNS-именем должно быть учётной записью Kerberos должно быть TRUE или FALSE должно равняться либо True, либо False должно быть Юникод-текстом должно быть сертификатом должно быть запросом подписи сертификата должно быть десятичным числом должно быть абсолютным должно быть целым числом размер должен быть не меньше %(minlength)d байт должно быть не короче %(minlength)d символов должно быть не меньше %(minvalue)d должно быть не меньше %(minvalue)s должно быть не меньше 1 должно быть не меньше 10 должно быть двоичными данными должно быть значением даты и времени (datetime) должно быть словарём должно быть включено только на одном главном сервере должно быть заключено в скобки размер должен быть точно %(length)d байт должно быть точно %(length)d символов длиной должно быть одним из следующих значений: %(values)s должно быть относительным должно содержать кортеж (список, словарь) должно равняться %r должна быть включена роль %(role)s должно соответствовать шаблону "%(pattern)s" сетевая группа сетевая группа с именем "%s" уже существует. Группы узлов и сетевые группы имеют общее пространство имён сетевые группы сетевые группы, которые следует добавить сетевые группы, которые следует удалить команда или раздел справки "%(topic)s" не обнаружены отсутствуют изменения для выполнения отсутствуют настроенные доверенные домены указанному плоскому имени не соответствует ни один доверенный домен запрещено изменять записи групп запрещено изменять записи пользователей не разрешено выполнение операции: %s не разрешено выполнение проверки связи с сервером не найдено указано не полностью нельзя изменять в управляемых разрешениях класс чисел "%(cls)s" не входит в список допустимых классов чисел: %(allowed)s количество паролей класс объектов %s не найден одно или несколько значений, которые следует удалить предусмотрена поддержка только "ad" доступно только в управляемых разрешениях можно использовать только буквы, цифры, символы %(chars)s. DNS-метка не может начинаться или заканчиваться символом %(chars2)s только главные зоны могут содержать записи для одного имени можно использовать только одну запись CNAME (RFC 2136, раздел 1.1.5) для одного имени можно использовать только одну запись DNAME (RFC 6672, раздел 2.4) можно указать только один узел операция не определена параметр переименован; используйте %s использование параметров запрещено порядковый номер должен иметь уникальное значение (%(order)d уже использовано для %(rule)s) недостаточно памяти
данные вне зоны: имя записи должно быть поддоменом зоны или относительным именем пересекающиеся аргументы и параметры: %(names)s владелец %s группа-владелец нельзя использовать шаблон имени домена в поле владельца записей %(types)s (RFC 4592, раздел 4) служба-владелец пользователь-владелец params должны быть списком (list) params должен содержать записи [аргументы, параметры] params [0] (или аргументы) должны быть списком (list) params [1] (или параметры) должны принадлежать к типу словаря (dict) пароль политики паролей политика паролей пароль, который следует использовать, если не используется Kerberos Разрешение разрешение "%(value)s" уже существует Разрешения pkinit сохранить невозможно одновременно указать сохранение и отсутствие сохранения учётная запись не найдена
учётная запись не найдена в ответе XML-RPC
учётная запись, которую следует добавить учётная запись, которую следует удалить невозможно установить приоритет для глобальной политики приоритет должен иметь уникальное значение (%(prio)d уже использовано для %(gname)s) Привилегия привилегированная группа привилегированная группа узлов правило делегирования привилегированных служб цель делегирования привилегированных служб Привилегии привилегии, которые следует добавить привилегии, которые следует удалить для категории профилей нельзя установить значение "all", когда имеются разрешённые профили невозможно добавить профили, когда категория профилей="all" Пакет pyhbac не установлен. pysss_murmur недоступен на сервере, base-id не предоставлен. python-yubico не установлен. запрос "%(owner)s %(rtype)s" с помощью EDNS0: %(error)s запрос "%(owner)s %(rtype)s": %(error)s диапазон существует изменение диапазона, при котором появляются объекты с идентификаторами за пределами указанного диапазона, запрещено изменение типа диапазона ошибка чтения
область (realm) не найдена
область (realm) или UPN-суффикс пересекается с пространством имён доверенного домена запись "%(owner)s %(rtype)s" не прошла проверку DNSSEC на сервере %(ip)s удалены значения атрибута из записи %(value)s не удалось выполнить запрос, состояние HTTP %d результат не найден в ответе XML-RPC
Получить и вывести все атрибуты, возвращаемые сервером. Влияет на содержимое результата исполнения команды. в правом узле ({host}) не предусмотрена поддержка суффикса '{suff}' правый узел не является узлом топологии: %(rightnode)s Роль роли роли, которые следует добавить роли, которые следует удалить группы запуска от имени пользователь запуска от имени пользователи запуска от имени значение соли: %(err)s Поиск POSIX-групп Поиск групп с поддержкой внешних не IPA-участников из доверенных доменов Поиск управляемых групп Поиск не POSIX-групп Поиск личных групп список результатов поиска объектов миграции был усечён сервером; возможно, процесс миграции не завершён
в секундах сегмент сегменты разрешение самообслуживания разрешения самообслуживания сервер роль сервера роли сервера серверы служба для категории служб нельзя установить значение "all", когда имеются разрешённые службы правило делегирования служб правила делегирования служб цель делегирования служб цели делегирования служб цели делегирования служб, которые следует добавить цели делегирования служб, которые следует удалить службы невозможно добавить службы, когда категория служб="all" cлужбы, которые следует добавить службы, которые следует удалить установка полномочного сервера имён не должно быть именем домена с подстановочными знаками (RFC 4592, раздел 4) sidgen_was_run поддержка одноуровневых доменов {}s не предусмотрена Игнорировать обратное определение DNS следует указать sn неподтверждённый пользователь неподтверждённые пользователи использование типа альтернативного имени субъекта %s запрещено для учётных записей, которые не относятся к пользователям использование типа альтернативного имени субъекта %s запрещено для учётных записей пользователей subtree и type нельзя использовать вместе команда Sudo группа команд Sudo группы команд Sudo группы команд Sudo, которые следует добавить группы команд Sudo, которые следует удалить команды Sudo команды Sudo, которые следует добавить команды Sudo, которые следует удалить правило Sudo правила Sudo суффикс суффиксы системное представление ID невозможно переопределить системные объекты IPA (например, системные группы, личные группы пользователей) target и targetgroup нельзя использовать вместе IPA-сервер и удалённый домен не могут иметь общее имя NetBIOS: %s сертификат с серийным номером запись была удалена во время внесения изменений значение не подходит под формат времени "ГГГГММДДЧЧММСС" должен быть указан хотя бы один спецификатор записи назначения (например, target, targetfilter, attrs) этот параметр больше не поддерживается. это опция устарела слишком много символов @ отношение доверия конфигурация отношений доверия надёжный домен надёжные домены тип отношения доверия объект доверенного домена объект доверенного домена не найден пользователь доверенного домена не найден отношения доверия Тип объекта IPA (user (пользователь), group (группа), host (узел), hostgroup (группа узлов), service (служба), netgroup (сетевая группа)) type, filter, subtree и targetgroup нельзя использовать вместе неизвестная команда "%(name)s" %(server)s сообщает о неизвестной ошибке %(code)d: %(error)s неподдерживаемый функциональный уровень неподдерживаемый тип отношения доверия адрес пользователь пользователь "%s" уже активен для категории пользователей нельзя установить значение "all", когда имеются разрешённые пользователи пользователи невозможно одновременно указать пользователей и узлы невозможно добавить пользователей, когда категория запуска от имени пользователей или запуска от имени групп="all" невозможно добавить пользователей, когда категория пользователей="all" невозможно указать пользователей, когда тип "hostgroup" пользователи, которых следует добавить пользователи, которых следует исключить из миграции пользователи, которых следует удалить значение хранилище контейнер хранилищ контейнеры хранилищ хранилища {attr}: атрибут не найден {role}: роль не найдена