< 1
y X C ! . / P $ 7 M ݣ + $ 4 D U & A 6
L H ݷ &
l J " J f l " 4 \ < . 1 `( 2) O) ! k) ) ) ) ) * % * F* ! `* p * * , + 8 + J , > k, F , J , > <- 8 {- @ - J - @ @. : . 0 . . . 8 / 6 U/ : / 0 / 8 / 0 10 . b0 / 0 < 0 4 0 0 31 . d1 1 ? 1 1 1
2 %2 E .2 ^ t2 2 8 2 - !3 O3 o3 3
3 3 3 3 3 4 ' !4 7 I4 % 4 4 X 4 " 5 W <5 ' 7 & 7 G 7 F +8 & r8 8 8 8 8 ' 9 % <9 . b9 ( 9 ) 9 . 9 : (: } ?: : . =; P l; 3 ;
; ; <
< < .< K< P< _<
t< < < < < < < < < < = #= += % C= i= = =
= 1 = 5 = 1
> 7 ?> w> 6 > > > > 7 > . "? 8 Q? ? ? ? ? ? @ "@ 7@ K@ a@ v@ " @ @ 0 @ & @ \ A nA A
A A ; A ! A / B $ KB ' pB " B B B B
C &C % =C cC C C C C 1 C 0 D < PD ( D . D + D , E % >E 1 dE 2 E E E $ F )F " DF gF $ F F ! F ( F G $ 2G WG ! wG G G G G H 1 H NH kH H H H # H H ! I 3I JI gI {I * I I I : I J J D #J P hJ J 3 J J K 0 K + IK F uK K K K K K K " K Y L ) qL 1 L * L 2 L ) +M 1 UM 1 M / M 2 M N 7 $N 5 \N N
N Q N
N O
O $ &O KO ! `O O
O O O
O O O O P
'P 5P DP XP nP P P P P P P P Q Q :Q BQ `Q 1 hQ " Q " Q Q Q - Q 'R
:R HR , `R m R # R H S hS lS 5 sS D S + S T T & WU ~U U U U U U ( U # V 4 2V gV }V % V V V V V
W #W z Pz
hz vz z z z
z z T { W{ s{ { { { { { # | 4| E| 0 a| , | | , | - } 0 .} _} v} F |} % }
} } ~ ! ~ ) B~ l~ ~~ ~ ~ ~ ~ ~ ~ ~ ; ~ ( 1 $ Z
6
, $ 7 I N X r ~ ( 8 1 > ! B d v
Ё
߁
* @
U " c 7
$ 2 < F . c
à փ
% " / H x = % * D ^
o z
"
Յ ! - 3 C * T $ چ 3 " +
N Y b z , /
; + Έ
!
> L U @ g ԉ $ " 7 / Z ( 1 Ԋ 5 > " [ ~ Nj , @ . I Q x P ʌ J 9 # M ɍ / 5 G } $ ֎ 3 # 3 2 9 l v 6 ȏ
ԏ D 1 > & W ) ~ Ȑ I ߐ ' ) 4 Q # L Ց % " H L [ c j 0 { %
% # / 6 Q [ + z ' Γ / A
^ i v ̔ ؔ ) & / V k s w
̕ H ֕ " 5 B ? x 3 # 0 N f
̗ ڗ ' 7 H ^ r ! ט ( > " 4 a
# љ $ 4 E W , i ך ! ' : b % ! ' ț $ " 4 " W z Ϝ , K e ؝ ) : Y t Ԟ - @ U i ! x ܟ
& F d P . A Q k ~ 4 A 7 ' _
+ 9 C P ` m ֣
/ J j v - - 3 I c o ȥ ) ٥ = D
N Y m Ҧ 5 ' 9 L Q l 8 ݧ * F d } ' ݨ , ' E _ 8 y é ٩ 2 > D = = Ǫ 0 = P ` o
ի
= T ' ] ( Ь " , O p 8 .
! A Q m } , Ư 7 ! 8 Z a f {
C P ް / 4 E V < ` 6 Ա B + ^ : β ز
$ / 7 W c l
y d &
1 R b
q
|
> @ Ѵ 0
C N U * k Ƶ ҵ
3 ; M # V ! z 2 ϶ ܶ 4 * 8 _ 4 : ͷ 9 B : T 1 ; 3 # 1 U > v $ ݹ 2 ' 5 * ] ' ͺ * * $ U z 4 5 λ 5 A : . | / * ۼ 6 % = ; c 5 % ս # = X
d o P ; - 3 3 g q ƿ 0 1 0 8 b ! J # ( L / R M \ - a E /
4 B L R \ h r 5
( +
9 N b ( w ' 5 4 + 3 ` < / > 0 n
( > W o {
K N M 2 #
$ 2 > q % ! 5 W ! t #
. A X 9 j / A T e
w W [ _
> > E Q 2 Y $ & C 8 S |
+ B 7 * 7 P ] y * 4 / 6 @ U
i w *
4 1 D Q ] ( r ( , , G t
% ) I Q V p
) F $ ^ ,
7 ! A
c ; q ( ) " b # 1 : ) 5 * S ~ W 4 2 ' : Z G H j & L 5 # ! 8 Z ( t * 1 ? q E 5 , 8
G R r { R } U Y ( % ' ; A P `
m - x = .
9 G L Y I b # C ) ! ' K . s " - 2 # D 9 h W < 7 R ' r & , " ? b x
" > H X e q '
7
& ! 4 V
e p ! "
+ - > l u { ' % & - T & u L c T 8 X @ # & * H L \ p z " & 6 G # e S % 3 <
p ~
& +
+
9 ! G " i ' $ $ $ 6 [ " | $ # ? Q g 3 w ! 4 $ K B d # N 4 f + / )
( 7
` k w $ 4 7 ! % Y ) * * ; D " " ' 1 Y J B 1 & B +
n y Z b L . R , F ) p # . N i & E X ' 0 X b y $ : $ : O h $ { ) % ; a Y # = Q # r " # W I ] v ] A [ , j # # & % 7 % G
m x ( ' D 6 @
Q D \ R
" & % I J o s " m H 4 # X ; s N
2 @
J * U 6 )
+
D 2
< w
1 @ ] B b @ C . 0 ; _
[ L \ - P b > } N = ^ w L c { & , S . 3 P 54 ; nA e D N ~H K
sN
Y U
:f p s #z * D
H
c * y m 9 $ 2
W 9 : P M 1 3 + ? ) k % % " * % 4 P W J 6 7 3 Q X B f . d b ] ` 1
D G 8
Z W j " t # R 8 ' + ` ) *
=
* 1 8
j H x 9 W E S , D C A ! H = ) ' ; H T V S f H S # D e j | k! ! " " %" * 8" 0 c" " ( " " " ! " # # ' ># f# |# # 4 # * # . $ < 6$ s$ z$ 8 $ 0 $ % % %% : <% I w% : % G % $ D& K i& & & & & Y ' V l' I ' 1
( ( ?( ' h( 1 ( D ( . ) . 6) 2 e) 0 ) 1 ) ) E * 1 a* e * B * <+ 1 + ! , 2, Q, o p, B , h #- a - V - B E. 0 . 7 . C . M 5/ ; / @ / 6 0 O 70 G 0 C 0 3 1 _ G1 e 1
2 I 2 V 2 t ;3 3 O 44 t 4 Y 4 . S5 , 5 5 5 J 5 F 06 . w6 7 6 . 6 O
7 r ]7 S 7 U $8 U z8 * 8 5 8 % 19 % W9 2 }9 A 9 R 9 4 E: 5 z: # : ? : ' ; E <; 1 ; Z ; > < K N< & < < m < @= 1 S= } = 9 > => o [> { > ) G? u q? ! ? @ X @ k o@ @ |A A A A A B Q B iB ;
C T FC ; C R C = *D V hD > D e D e dE E E L nF F F F G
G & G B G 4 H ? LH O H # H 4 I + 5I % aI ' I ' I < I ) J ' >J : fJ F J I J * 2K F ]K $ K K & K
L * L P 9L S L 7 L M C ,M pM t M A M 8 7N pN 4 N v N " 8O [O 8 yO \ O P S P "Q Q Q ` Q v *R d R S S W T # U DU % YU ) U 5 U U 4 U I 2V T |V ? V ) W B ;W : ~W W W W $ X / *X ) ZX X d X / Y
5Y @Y $ IY t nY Y oZ X ~Z Z U Z H E[ [ %\ \ q] &^ ^ v_ ` ` ` ` Z a pa * a a A a b 3 b 7 Sb b b = b b - c , Dc qc 4 c # c M c /d e Dd d Ce Z e % 7f = ]f J f W f 9 >g % xg N g F g 4h / Th . h 0 h % h .
i N 9i " i i ` i . -j \j 5 zj R j b k z fk k - k U l il ! l l l l l / l m \ @m y m J n bn & n ! n U n o + ,o Y Xo o o - o * o S !p + up p * 4q @ _q B q _ q Z Cr 4 r w r $ Ks = ps s H s 0 t B Ft t 0 u Bu ^u |u % u u u 9 u / #v / Sv H v . v 0 v % ,w = Rw , w ? w w ) x - Dx + rx , x x @ x ) 'y ( Qy 8 zy y % y , y A z " az z J K{ L { L { ; 0| l| " | 2 | 0 | 9 } N J} J } 2 } ; ~ 2 S~ S ~ W ~ Y 2 Y 9 ) ) J 6 t : 8 9 ) Y ' C + 6 5 R P % Z v > у ; = L @ ` ˄ , & J q % ΅ % F D % L L d K + 2 J & k ) + S " < . _ % % J ډ L % L r 5 [ C Q > . ԋ ; C ? A ; Ō > 6 @ , w P 0 : & > a 5 4 ֎ Q ] t G D c < -
" ۑ % 6 P G J ) % " H W p 0 ғ ' H ' d N . ۔ E
P - c 4 L ƕ - U A W n ^ k 7 , @ e [ 2 ֘
) a 8 c p < o W v , { . כ 4 . J
\ g } z ' 4 ! R W t / ̞ : 7 ; W - ß . K A ? b 9 O ܡ / , D \ A A P % = v > d [ X { Ф | L ɥ 0 I z F N 2 d ) W [ $ u Ũ ܨ @ ^ @ < ) f n r - ) 3 1 ] e 1 8 M n } y P G 1 C B 1 2
1 ( D b ¯ % د = % < b D ~
ð D ΰ l ' ձ
2 $ r W ʲ # & J e w 7 S ó 6 ! O q ! = 0 ] .
- ȵ B 9 Y * q ʶ Q : Z Z B & $ S D & c C # g e } & Q
\ t /
4 ź / 1 * e \ A » % N 5 N ӽ B ( : c ! * : . e : : Ͽ F
Q + h A M # $ % H ? n c 2 ! % T z ? H 8 " F [ 9 I 3 & G Z D ) " x w = ? ! 5 ' ! z G W F 7 c ~ 5 l " E 1 y B x z ? A J - & x S W ` , $ 9 . ^ Z V % 1 [ D ] & K 8
8 8 c " M J y ' C a
n ) y .
) 0 A V . t b i # p
1 # 2 S ) o % M k } 7 E T v M G _ 5 ' " + ( T n ,
$ < * W & 2 H L X P k - 0 9 E j I 3 . H d g 4 % 0 E v 0 . 7 L > H 0 9 0 ? Q p U W 7 p ' ' 4 8 - 6 f 7 % A ) = 4 g 3 4 7 - = ? k 6 , # # 3 - W ; * = * ' E + m ) * > 9 F # * ! H J : 8 ; = , 8 e 2 2 1 R ' ; " C ' F k y [ , S ? 0 & J ( q A H 6 ^ : / 0 + 1 ] ( f 0 D J $ o + 5 ; M ( f v _ 3 = q C L Q r ] S b u ' $ & & 1 6 5 h ~ ' $ E j G y * . 6 4 8 9 D L ~ < : > C N : S # m 0 & L f 6 # : + ( ! F h Y { r d H ? R # c % $ % $ 2 % W & } " H >
O Z a g x ! r ) _ 6 & $ e * H 5 s * 2 0
i 8
&
'
*
:
p
; 8 U + " a } 0 b + l > D * : 3 n m
{ $ % } 4 * C 0 n L Y ] - 2 / ` # % c h } u 2 _ ! % 2 W k % C X K l ! ) C 6 b ? = ( J f ! 4 = < X M < I M j * ] X A! K ! i ! V P" 3 " s " $ O# t# D # l # e >$ Z $ D $ 2 D% 9 w% E % = % B 5& I x& E & P ' e Y' g ' '( x ( /) O ) v * , ~* v * T "+ I w+ @ + , : , 1 X, , , 9 , A , H &- o- - . &. G 5. }. 2 . . + . # / 0 0/ a/ G t/ # / / m j0 @ 0 1 = 1 n 1 M2 ` `2 v 2 83 + 3 3 % 4 4 I 4 * 5 =5
T5 _5 @ h5 5 5 5 5 5 6 ,6 J6 Y6 6 6 * 7 k H7 V 7 ( 8 4 48 > i8 y 8 + "9 L N9 9 7 #: P [: O : o : l; ; + ; : ; : < + F< r< = j = 8 > => S> `> }> > @ > * > U ? , v? " ? ? % ? @ #@ 9@ 4 Y@ @ @
@ @ L @ Q GA A #B + DB ! pB B W B
C 9 )C * cC ! C ! C ) C < C ( 9D W bD H D W E $ [E @ E ) E ; E 'F % @F fF F ' G ( 6G _G G ' G & G . G ( H ! >H `H |H H @ H : H ,I . 1I C `I / I I J RK < nK K < K z L L L L N L ! M $M :M ZM zM X M M N 2 *N ]N N ( O O O O # O 8 P ! NP 9 pP P z Q ,R 5 ?R % uR H R # R 3 S 9 \ [\ x\ 3 \ ( \ \ \
] !] 5] 8 F] 0 ] ; ] ] ] ! ^ * 1^ I \^ < ^ ^ Z ^ Z_ < t_ _ u _ I :` Q ` : ` a % a _ a ~ 5b G b B b T ?c 1 c c U ld ` d #e e Of f g f )h 3 h x h # =i H ai 9 i ) i + j @ :j T {j l j =k Zk k c l ) l m < .m km m m -n o p 0 p Np F Up I p p p q 1q Gq B [q q =r [r sr r s 8s ?s Ws ms 7t ;t Ht A Mt k t S t > Ou X u @ u 3 (v [ \v a v L w gw w x K .y Z zy X y 0 .z ; _z A z U z Z 3{ U { V { : ;| v| | ' | / | D | D} - _} 7 } B } ) ~ ! 2~ * T~ ~ - ~ ~ ~ V ~ G # \ # ) = + g f + # & N J 2 0 ́ m l k 1 # > . b Y $ / < l I * 6 S G J E i E M V . f 5 } ? ^ Z I ' V " ~ ; Њ B f O 0 Ë O > D D j Ȍ O 3 D 9 ȍ l % o ' ' ) ' : 7 r t D > ( _ W ] ] > 3 3 Б = R B R S H < b K $ L q ] P n i G ؕ d i o M N a A i e + E = + F D O | / M b w
z 8
j C ! О V D L Z n D m f 6 * l )
ť S
ڦ
ǧ {
V l a \ Ω , + X K t ( @ o * @ 6 ۫ 0 0 C ] t A Ҭ $ 7 9 / q 2 ԭ - I g = p 2 4 / հ 7 = - Q H / = T / / - ) ] 1 ' Q V 3 A / ̴ / F , H s < Ͷ U ? ߷ = M : = $ Ƹ ! y 3 9 Ϲ A S $ L , [ R K ۼ c ' & $ o T n @ ^ о d / % 8 ^ ] y " % 5 / I e 6 ? ( H & q G a . 3 & h > 2 q % 9 M L a Z B 2 L w 2 H 0 @ 5 q ( Z H _ | ] t K r g 3 ( 0 _ ? r d # B e ! u Q z w f 1 U l | 3 A 5 p q _ H L J
C P % K z F 0 b
H I l h g a W % K O y \ I ) \ h P t m ` B p h v % d J { d f { o U F ? # v T l 1 G % ! h R @ 8 E " Q S | > L \ s ; p $ s j y 1 w E Q U E C A > } : a ) ~ *
) ' i ) Q S ^ [ 3 5 i j 8 A r L T N D 4 t - Y ~ P H S ? D / o M s w X ( g 5 r S * z { + | z . R } r 0 T : V ~ ? F m W I + h @ < v ^ $ j $ , i X % a - e 0 & _ . I - < _ s M 6 j J - ; B O c 8 a ' ` j @ ; ; z J 5 : = w \ Z
I " f | o x l 6 B 4 g # q C * H ' ) a B e X 3 m t / G q Y ~ } w , | ? m @ @ X Q ( $ ~ 1 o u 9 R 9 W o q , G ~ $ . * ]
; < f O [ m
_ Z g n f # > ] Z i X r [ f L K ( W e v l Z 7 O y @ $ f % V x V 6 Z \ t M k D / n & j [ = - u ^ i b = D o ; G = ) h Y U Z ? = k v 2 - 4 ` _ x T
~ X k z F N U L M D Y 4 ] u Y _ S F P B p x K < } c A . u + t W z \ c 2 > x n S ? ( J O k , c ] A $ d 0 J D # X & n U 3 " b } 9 % Y g I u b R S M l ! h > M j + Z V / q F g N 9 + + ! \ p : K : d 1 b 7 T k ` F T } i O X | d " Q
( ^ ] T / d 7 / ! p 2 B 3 r b $ ^ Z j ' C U G 3 * ' V = 2 V n O
H ! e N : 9 4 y 2 M 6 ` B n [ t L G 0 7 * 8 C F . 1 N / 7 t 0 c R { 5 7 q a P u s V c n p S , > N H y # u * w 9 e W 6 T V f ^ ` z ^ b 1 ; 1 A @ R !
p q C Y O ) { , . 7 / 8 ` " } K L ( A m
, Q R m # v L @ . 6 q + k E ] ' E I P < E c H ] 6 ~ a
v & { ; W D J l } - : N E o w ? " 8 * t % 8 i G y = ^ , E | s 9 r s C 3 9 2 c & - x \ l > 7 ' { ! b 5
8 k P [ G > | 2 [ 2 i _
. J W 4 5 r x M { 5 h K [ s ) n ( 4 < y m D P H = R
" y < e d < 6 C ] Y 0 & k w I a : + x " & &
` o Q g A e N U ' v # 4 K
Override this so we can add completed and failed to the return result.
Override this so we can set completed and failed.
Add an automember rule.
Add conditions to an automember rule.
Delete an automember rule.
Display information about an automember rule.
Display information about the default (fallback) automember groups.
Lockout status of a user account
An account may become locked if the password is entered incorrectly too
many times within a specific time period as controlled by password
policy. A locked account is a temporary condition and may be unlocked by
an administrator.
This connects to each IPA master and displays the lockout status on
each one.
To determine whether an account is locked on a given server you need
to compare the number of failed logins and the time of the last failure.
For an account to be locked it must exceed the maxfail failures within
the failinterval duration as specified in the password policy associated
with the user.
The failed login counter is modified only when a user attempts a log in
so it is possible that an account may appear locked but the last failed
login attempt is older than the lockouttime of the password policy. This
means that the user may attempt a login again.
Modify an automember rule.
Remove conditions from an automember rule.
Remove default (fallback) group for all unmatched entries.
Search for automember rules.
Set default (fallback) group for all unmatched entries.
Unlock a user account
An account may become locked if the password is entered incorrectly too
many times within a specific time period as controlled by password
policy. A locked account is a temporary condition and may be unlocked by
an administrator.
Automount
Stores automount(8) configuration for autofs(8) in IPA.
The base of an automount configuration is the configuration file auto.master.
This is also the base location in IPA. Multiple auto.master configurations
can be stored in separate locations. A location is implementation-specific
with the default being a location named 'default'. For example, you can have
locations by geographic region, by floor, by type, etc.
Automount has three basic object types: locations, maps and keys.
A location defines a set of maps anchored in auto.master. This allows you
to store multiple automount configurations. A location in itself isn't
very interesting, it is just a point to start a new automount map.
A map is roughly equivalent to a discrete automount file and provides
storage for keys.
A key is a mount point associated with a map.
When a new location is created, two maps are automatically created for
it: auto.master and auto.direct. auto.master is the root map for all
automount maps for the location. auto.direct is the default map for
direct mounts and is mounted on /-.
An automount map may contain a submount key. This key defines a mount
location within the map that references another map. This can be done
either using automountmap-add-indirect --parentmap or manually
with automountkey-add and setting info to "-type=autofs :".
EXAMPLES:
Locations:
Create a named location, "Baltimore":
ipa automountlocation-add baltimore
Display the new location:
ipa automountlocation-show baltimore
Find available locations:
ipa automountlocation-find
Remove a named automount location:
ipa automountlocation-del baltimore
Show what the automount maps would look like if they were in the filesystem:
ipa automountlocation-tofiles baltimore
Import an existing configuration into a location:
ipa automountlocation-import baltimore /etc/auto.master
The import will fail if any duplicate entries are found. For
continuous operation where errors are ignored, use the --continue
option.
Maps:
Create a new map, "auto.share":
ipa automountmap-add baltimore auto.share
Display the new map:
ipa automountmap-show baltimore auto.share
Find maps in the location baltimore:
ipa automountmap-find baltimore
Create an indirect map with auto.share as a submount:
ipa automountmap-add-indirect baltimore --parentmap=auto.share --mount=sub auto.man
This is equivalent to:
ipa automountmap-add-indirect baltimore --mount=/man auto.man
ipa automountkey-add baltimore auto.man --key=sub --info="-fstype=autofs ldap:auto.share"
Remove the auto.share map:
ipa automountmap-del baltimore auto.share
Keys:
Create a new key for the auto.share map in location baltimore. This ties
the map we previously created to auto.master:
ipa automountkey-add baltimore auto.master --key=/share --info=auto.share
Create a new key for our auto.share map, an NFS mount for man pages:
ipa automountkey-add baltimore auto.share --key=man --info="-ro,soft,rsize=8192,wsize=8192 ipa.example.com:/shared/man"
Find all keys for the auto.share map:
ipa automountkey-find baltimore auto.share
Find all direct automount keys:
ipa automountkey-find baltimore --key=/-
Remove the man key from the auto.share map:
ipa automountkey-del baltimore auto.share --key=man
Classes to manage trust joins using DCE-RPC calls
The code in this module relies heavily on samba4-python package
and Samba4 python bindings.
Entitlements
Manage entitlements for client machines
Entitlements can be managed either by registering with an entitlement
server with a username and password or by manually importing entitlement
certificates. An entitlement certificate contains embedded information
such as the product being entitled, the quantity and the validity dates.
An entitlement server manages the number of client entitlements available.
To mark these entitlements as used by the IPA server you provide a quantity
and they are marked as consumed on the entitlement server.
Register with an entitlement server:
ipa entitle-register consumer
Import an entitlement certificate:
ipa entitle-import /home/user/ipaclient.pem
Display current entitlements:
ipa entitle-status
Retrieve details on entitlement certificates:
ipa entitle-get
Consume some entitlements from the entitlement server:
ipa entitle-consume 50
The registration ID is a Unique Identifier (UUID). This ID will be
IMPORTED if you have used entitle-import.
Changes to /etc/rhsm/rhsm.conf require a restart of the httpd service.
Group to Group Delegation
A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.
Group to Group Delegations grants the members of one group to update a set
of attributes of members of another group.
EXAMPLES:
Add a delegation rule to allow managers to edit employee's addresses:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"
When managing the list of attributes you need to include all attributes
in the list, including existing ones. Add postalCode to the list:
ipa delegation-mod --attrs=street,postalCode --group=managers --membergroup=employees "managers edit employees' street"
Display our updated rule:
ipa delegation-show "managers edit employees' street"
Delete a rule:
ipa delegation-del "managers edit employees' street"
Groups of Sudo Commands
Manage groups of Sudo Commands.
EXAMPLES:
Add a new Sudo Command Group:
ipa sudocmdgroup-add --desc='administrators commands' admincmds
Remove a Sudo Command Group:
ipa sudocmdgroup-del admincmds
Manage Sudo Command Group membership, commands:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less,/usr/bin/vim admincmds
Manage Sudo Command Group membership, commands:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds
Show a Sudo Command Group:
ipa group-show localadmins
Groups of hosts.
Manage groups of hosts. This is useful for applying access control to a
number of hosts by using Host-based Access Control.
EXAMPLES:
Add a new host group:
ipa hostgroup-add --desc="Baltimore hosts" baltimore
Add another new host group:
ipa hostgroup-add --desc="Maryland hosts" maryland
Add members to the hostgroup:
ipa hostgroup-add-member --hosts=box1,box2,box3 baltimore
Add a hostgroup as a member of another hostgroup:
ipa hostgroup-add-member --hostgroups=baltimore maryland
Remove a host from the hostgroup:
ipa hostgroup-remove-member --hosts=box2 baltimore
Display a host group:
ipa hostgroup-show baltimore
Delete a hostgroup:
ipa hostgroup-del baltimore
HBAC Service Groups
HBAC service groups can contain any number of individual services,
or "members". Every group must have a description.
EXAMPLES:
Add a new HBAC service group:
ipa hbacsvcgroup-add --desc="login services" login
Add members to an HBAC service group:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd,login login
Display information about a named group:
ipa hbacsvcgroup-show login
Add a new group to the "login" group:
ipa hbacsvcgroup-add --desc="switch users" login
ipa hbacsvcgroup-add-member --hbacsvcs=su,su-l login
Delete an HBAC service group:
ipa hbacsvcgroup-del login
HBAC Services
The PAM services that HBAC can control access to. The name used here
must match the service name that PAM is evaluating.
EXAMPLES:
Add a new HBAC service:
ipa hbacsvc-add tftp
Modify an existing HBAC service:
ipa hbacsvc-mod --desc="TFTP service" tftp
Search for HBAC services. This example will return two results, the FTP
service and the newly-added tftp service:
ipa hbacsvc-find ftp
Delete an HBAC service:
ipa hbacsvc-del tftp
Host-based access control
Control who can access what services on what hosts and from where. You
can use HBAC to control which users or groups on a source host can
access a service, or group of services, on a target host.
You can also specify a category of users, target hosts, and source
hosts. This is currently limited to "all", but might be expanded in the
future.
Target hosts and source hosts in HBAC rules must be hosts managed by IPA.
The available services and groups of services are controlled by the
hbacsvc and hbacsvcgroup plug-ins respectively.
EXAMPLES:
Create a rule, "test1", that grants all users access to the host "server" from
anywhere:
ipa hbacrule-add --usercat=all --srchostcat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1
Display the properties of a named HBAC rule:
ipa hbacrule-show test1
Create a rule for a specific service. This lets the user john access
the sshd service on any machine from any machine:
ipa hbacrule-add --hostcat=all --srchostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd
Create a rule for a new service group. This lets the user john access
the FTP service on any machine from any machine:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp,sftp ftpers
ipa hbacrule-add --hostcat=all --srchostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp
Disable a named HBAC rule:
ipa hbacrule-disable test1
Remove a named HBAC rule:
ipa hbacrule-del allow_server
Hosts/Machines
A host represents a machine. It can be used in a number of contexts:
- service entries are associated with a host
- a host stores the host/ service principal
- a host can be used in Host-based Access Control (HBAC) rules
- every enrolled client generates a host entry
ENROLLMENT:
There are three enrollment scenarios when enrolling a new client:
1. You are enrolling as a full administrator. The host entry may exist
or not. A full administrator is a member of the hostadmin role
or the admins group.
2. You are enrolling as a limited administrator. The host must already
exist. A limited administrator is a member a role with the
Host Enrollment privilege.
3. The host has been created with a one-time password.
A host can only be enrolled once. If a client has enrolled and needs to
be re-enrolled, the host entry must be removed and re-created. Note that
re-creating the host entry will result in all services for the host being
removed, and all SSL certificates associated with those services being
revoked.
A host can optionally store information such as where it is located,
the OS that it runs, etc.
EXAMPLES:
Add a new host:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com
Delete a host:
ipa host-del test.example.com
Add a new host with a one-time password:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com
Add a new host with a random one-time password:
ipa host-add --os='Fedora 12' --random test.example.com
Modify information about a host:
ipa host-mod --os='Fedora 12' test.example.com
Remove SSH public keys of a host and update DNS to reflect this change:
ipa host-mod --sshpubkey= --updatedns test.example.com
Disable the host Kerberos key, SSL certificate and all of its services:
ipa host-disable test.example.com
Add a host that can manage this host's keytab and certificate:
ipa host-add-managedby --hosts=test2 test
IPA certificate operations
Implements a set of commands for managing server SSL certificates.
Certificate requests exist in the form of a Certificate Signing Request (CSR)
in PEM format.
If using the selfsign back end then the subject in the CSR needs to match
the subject configured in the server. The dogtag CA uses just the CN
value of the CSR and forces the rest of the subject.
A certificate is stored with a service principal and a service principal
needs a host.
In order to request a certificate:
* The host must exist
* The service must exist (or you use the --add option to automatically add it)
EXAMPLES:
Request a new certificate and add the principal:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr
Retrieve an existing certificate:
ipa cert-show 1032
Revoke a certificate (see RFC 5280 for reason details):
ipa cert-revoke --revocation-reason=6 1032
Remove a certificate from revocation hold status:
ipa cert-remove-hold 1032
Check the status of a signing request:
ipa cert-status 10
IPA currently immediately issues (or declines) all certificate requests so
the status of a request is not normally useful. This is for future use
or the case where a CA does not immediately issue a certificate.
The following revocation reasons are supported:
* 0 - unspecified
* 1 - keyCompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
* 10 - aACompromise
Note that reason code 7 is not used. See RFC 5280 for more details:
http://www.ietf.org/rfc/rfc5280.txt
Kerberos pkinit options
Enable or disable anonymous pkinit using the principal
WELLKNOWN/ANONYMOUS@REALM. The server must have been installed with
pkinit support.
EXAMPLES:
Enable anonymous pkinit:
ipa pkinit-anonymous enable
Disable anonymous pkinit:
ipa pkinit-anonymous disable
For more information on anonymous pkinit see:
http://k5wiki.kerberos.org/wiki/Projects/Anonymous_pkinit
Kerberos ticket policy
There is a single Kerberos ticket policy. This policy defines the
maximum ticket lifetime and the maximum renewal age, the period during
which the ticket is renewable.
You can also create a per-user ticket policy by specifying the user login.
For changes to the global policy to take effect, restarting the KDC service
is required, which can be achieved using:
service krb5kdc restart
Changes to per-user policies take effect immediately for newly requested
tickets (e.g. when the user next runs kinit).
EXAMPLES:
Display the current Kerberos ticket policy:
ipa krbtpolicy-show
Reset the policy to the default:
ipa krbtpolicy-reset
Modify the policy to 8 hours max life, 1-day max renewal:
ipa krbtpolicy-mod --maxlife=28800 --maxrenew=86400
Display effective Kerberos ticket policy for user 'admin':
ipa krbtpolicy-show admin
Reset per-user policy for user 'admin':
ipa krbtpolicy-reset admin
Modify per-user policy for user 'admin':
ipa krbtpolicy-mod admin --maxlife=3600
Migration to IPA
Migrate users and groups from an LDAP server to IPA.
This performs an LDAP query against the remote server searching for
users and groups in a container. In order to migrate passwords you need
to bind as a user that can read the userPassword attribute on the remote
server. This is generally restricted to high-level admins such as
cn=Directory Manager in 389-ds (this is the default bind user).
The default user container is ou=People.
The default group container is ou=Groups.
Users and groups that already exist on the IPA server are skipped.
Two LDAP schemas define how group members are stored: RFC2307 and
RFC2307bis. RFC2307bis uses member and uniquemember to specify group
members, RFC2307 uses memberUid. The default schema is RFC2307bis.
The schema compat feature allows IPA to reformat data for systems that
do not support RFC2307bis. It is recommended that this feature is disabled
during migration to reduce system overhead. It can be re-enabled after
migration. To migrate with it enabled use the "--with-compat" option.
Migrated users do not have Kerberos credentials, they have only their
LDAP password. To complete the migration process, users need to go
to http://ipa.example.com/ipa/migration and authenticate using their
LDAP password in order to generate their Kerberos credentials.
Migration is disabled by default. Use the command ipa config-mod to
enable it:
ipa config-mod --enable-migration=TRUE
If a base DN is not provided with --basedn then IPA will use either
the value of defaultNamingContext if it is set or the first value
in namingContexts set in the root of the remote LDAP server.
EXAMPLES:
The simplest migration, accepting all defaults:
ipa migrate-ds ldap://ds.example.com:389
Specify the user and group container. This can be used to migrate user
and group data from an IPA v1 server:
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Since IPA v2 server already contain predefined groups that may collide with
groups in migrated (IPA v1) server (for example admins, ipausers), users
having colliding group as their primary group may happen to belong to
an unknown group on new IPA v2 server.
Use --group-overwrite-gid option to overwrite GID of already existing groups
to prevent this issue:
ipa migrate-ds --group-overwrite-gid \
--user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Migrated users or groups may have object class and accompanied attributes
unknown to the IPA v2 server. These object classes and attributes may be
left out of the migration process:
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
--user-ignore-objectclass=radiusprofile \
--user-ignore-attribute=radiusgroupname \
ldap://ds.example.com:389
Misc plug-ins
Netgroups
A netgroup is a group used for permission checking. It can contain both
user and host values.
EXAMPLES:
Add a new netgroup:
ipa netgroup-add --desc="NFS admins" admins
Add members to the netgroup:
ipa netgroup-add-member --users=tuser1,tuser2 admins
Remove a member from the netgroup:
ipa netgroup-remove-member --users=tuser2 admins
Display information about a netgroup:
ipa netgroup-show admins
Delete a netgroup:
ipa netgroup-del admins
Password policy
A password policy sets limitations on IPA passwords, including maximum
lifetime, minimum lifetime, the number of passwords to save in
history, the number of character classes required (for stronger passwords)
and the minimum password length.
By default there is a single, global policy for all users. You can also
create a password policy to apply to a group. Each user is only subject
to one password policy, either the group policy or the global policy. A
group policy stands alone; it is not a super-set of the global policy plus
custom settings.
Each group password policy requires a unique priority setting. If a user
is in multiple groups that have password policies, this priority determines
which password policy is applied. A lower value indicates a higher priority
policy.
Group password policies are automatically removed when the groups they
are associated with are removed.
EXAMPLES:
Modify the global policy:
ipa pwpolicy-mod --minlength=10
Add a new group password policy:
ipa pwpolicy-add --maxlife=90 --minlife=1 --history=10 --minclasses=3 --minlength=8 --priority=10 localadmins
Display the global password policy:
ipa pwpolicy-show
Display a group password policy:
ipa pwpolicy-show localadmins
Display the policy that would be applied to a given user:
ipa pwpolicy-show --user=tuser1
Modify a group password policy:
ipa pwpolicy-mod --minclasses=2 localadmins
Permissions
A permission enables fine-grained delegation of rights. A permission is
a human-readable form of a 389-ds Access Control Rule, or instruction (ACI).
A permission grants the right to perform a specific task such as adding a
user, modifying a group, etc.
A permission may not contain other permissions.
* A permission grants access to read, write, add or delete.
* A privilege combines similar permissions (for example all the permissions
needed to add a user).
* A role grants a set of privileges to users, groups, hosts or hostgroups.
A permission is made up of a number of different parts:
1. The name of the permission.
2. The target of the permission.
3. The rights granted by the permission.
Rights define what operations are allowed, and may be one or more
of the following:
1. write - write one or more attributes
2. read - read one or more attributes
3. add - add a new entry to the tree
4. delete - delete an existing entry
5. all - all permissions are granted
Read permission is granted for most attributes by default so the read
permission is not expected to be used very often.
Note the distinction between attributes and entries. The permissions are
independent, so being able to add a user does not mean that the user will
be editable.
There are a number of allowed targets:
1. type: a type of object (user, group, etc).
2. memberof: a member of a group or hostgroup
3. filter: an LDAP filter
4. subtree: an LDAP filter specifying part of the LDAP DIT. This is a
super-set of the "type" target.
5. targetgroup: grant access to modify a specific group (such as granting
the rights to manage group membership)
EXAMPLES:
Add a permission that grants the creation of users:
ipa permission-add --type=user --permissions=add "Add Users"
Add a permission that grants the ability to manage group membership:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"
Ping the remote IPA server to ensure it is running.
The ping command sends an echo request to an IPA server. The server
returns its version information. This is used by an IPA client
to confirm that the server is available and accepting requests.
The server from xmlrpc_uri in /etc/ipa/default.conf is contacted first.
If it does not respond then the client will contact any servers defined
by ldap SRV records in DNS.
EXAMPLES:
Ping an IPA server:
ipa ping
------------------------------------------
IPA server version 2.1.9. API version 2.20
------------------------------------------
Ping an IPA server verbosely:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server u'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
IPA server version 2.1.9. API version 2.20
-----------------------------------------------------
Privileges
A privilege combines permissions into a logical task. A permission provides
the rights to do a single task. There are some IPA operations that require
multiple permissions to succeed. A privilege is where permissions are
combined in order to perform a specific task.
For example, adding a user requires the following permissions:
* Creating a new user entry
* Resetting a user password
* Adding the new user to the default IPA users group
Combining these three low-level tasks into a higher level task in the
form of a privilege named "Add User" makes it easier to manage Roles.
A privilege may not contain other privileges.
See role and permission for additional information.
Roles
A role is used for fine-grained delegation. A permission grants the ability
to perform given low-level tasks (add a user, modify a group, etc.). A
privilege combines one or more permissions into a higher-level abstraction
such as useradmin. A useradmin would be able to add, delete and modify users.
Privileges are assigned to Roles.
Users, groups, hosts and hostgroups may be members of a Role.
Roles can not contain other roles.
EXAMPLES:
Add a new role:
ipa role-add --desc="Junior-level admin" junioradmin
Add some privileges to this role:
ipa role-add-privilege --privileges=addusers junioradmin
ipa role-add-privilege --privileges=change_password junioradmin
ipa role-add-privilege --privileges=add_user_to_default_group junioradmin
Add a group of users to this role:
ipa group-add --desc="User admins" useradmins
ipa role-add-member --groups=useradmins junioradmin
Display information about a role:
ipa role-show junioradmin
The result of this is that any users in the group 'junioradmin' can
add users, reset passwords or add a user to the default IPA user group.
SELinux User Mapping
Map IPA users to SELinux users by host.
Hosts, hostgroups, users and groups can be either defined within
the rule or it may point to an existing HBAC rule. When using
--hbacrule option to selinuxusermap-find an exact match is made on the
HBAC rule name, so only one or zero entries will be returned.
EXAMPLES:
Create a rule, "test1", that sets all users to xguest_u:s0 on the host "server":
ipa selinuxusermap-add --usercat=all --selinuxuser=xguest_u:s0 test1
ipa selinuxusermap-add-host --hosts=server.example.com test1
Create a rule, "test2", that sets all users to guest_u:s0 and uses an existing HBAC rule for users and hosts:
ipa selinuxusermap-add --usercat=all --hbacrule=webserver --selinuxuser=guest_u:s0 test2
Display the properties of a rule:
ipa selinuxusermap-show test2
Create a rule for a specific user. This sets the SELinux context for
user john to unconfined_u:s0-s0:c0.c1023 on any machine:
ipa selinuxusermap-add --hostcat=all --selinuxuser=unconfined_u:s0-s0:c0.c1023 john_unconfined
ipa selinuxusermap-add-user --users=john john_unconfined
Disable a rule:
ipa selinuxusermap-disable test1
Enable a rule:
ipa selinuxusermap-enable test1
Find a rule referencing a specific HBAC rule:
ipa selinuxusermap-find --hbacrule=allow_some
Remove a rule:
ipa selinuxusermap-del john_unconfined
SEEALSO:
The list controlling the order in which the SELinux user map is applied
and the default SELinux user are available in the config-show command.
Self-service Permissions
A permission enables fine-grained delegation of permissions. Access Control
Rules, or instructions (ACIs), grant permission to permissions to perform
given tasks such as adding a user, modifying a group, etc.
A Self-service permission defines what an object can change in its own entry.
EXAMPLES:
Add a self-service rule to allow users to manage their address:
ipa selfservice-add --permissions=write --attrs=street,postalCode,l,c,st "Users manage their own address"
When managing the list of attributes you need to include all attributes
in the list, including existing ones. Add telephoneNumber to the list:
ipa selfservice-mod --attrs=street,postalCode,l,c,st,telephoneNumber "Users manage their own address"
Display our updated rule:
ipa selfservice-show "Users manage their own address"
Delete a rule:
ipa selfservice-del "Users manage their own address"
Server configuration
Manage the default values that IPA uses and some of its tuning parameters.
NOTES:
The password notification value (--pwdexpnotify) is stored here so it will
be replicated. It is not currently used to notify users in advance of an
expiring password.
Some attributes are read-only, provided only for information purposes. These
include:
Certificate Subject base: the configured certificate subject base,
e.g. O=EXAMPLE.COM. This is configurable only at install time.
Password plug-in features: currently defines additional hashes that the
password will generate (there may be other conditions).
When setting the order list for mapping SELinux users you may need to
quote the value so it isn't interpreted by the shell.
EXAMPLES:
Show basic server configuration:
ipa config-show
Show all configuration options:
ipa config-show --all
Change maximum username length to 99 characters:
ipa config-mod --maxusername=99
Increase default time and size limits for maximum IPA server search:
ipa config-mod --searchtimelimit=10 --searchrecordslimit=2000
Set default user e-mail domain:
ipa config-mod --emaildomain=example.com
Enable migration mode to make "ipa migrate-ds" command operational:
ipa config-mod --enable-migration=TRUE
Define SELinux user map order:
ipa config-mod --ipaselinuxusermaporder='guest_u:s0$xguest_u:s0$user_u:s0-s0:c0.c1023$staff_u:s0-s0:c0.c1023$unconfined_u:s0-s0:c0.c1023'
Set a user's password
If someone other than a user changes that user's password (e.g., Helpdesk
resets it) then the password will need to be changed the first time it
is used. This is so the end-user is the only one who knows the password.
The IPA password policy controls how often a password may be changed,
what strength requirements exist, and the length of the password history.
EXAMPLES:
To reset your own password:
ipa passwd
To change another user's password:
ipa passwd tuser1
Simulate use of Host-based access controls
HBAC rules control who can access what services on what hosts and from where.
You can use HBAC to control which users or groups can access a service,
or group of services, on a target host.
Since applying HBAC rules implies use of a production environment,
this plugin aims to provide simulation of HBAC rules evaluation without
having access to the production environment.
Test user coming to a service on a named host against
existing enabled rules.
ipa hbactest --user= --host= --service=
[--rules=rules-list] [--nodetail] [--enabled] [--disabled]
[--srchost= ] [--sizelimit= ]
--user, --host, and --service are mandatory, others are optional.
If --rules is specified simulate enabling of the specified rules and test
the login of the user using only these rules.
If --enabled is specified, all enabled HBAC rules will be added to simulation
If --disabled is specified, all disabled HBAC rules will be added to simulation
If --nodetail is specified, do not return information about rules matched/not matched.
If both --rules and --enabled are specified, apply simulation to --rules _and_
all IPA enabled rules.
If no --rules specified, simulation is run against all IPA enabled rules.
By default there is a IPA-wide limit to number of entries fetched, you can change it
with --sizelimit option.
If --srchost is specified, it will be ignored. It is left because of compatibility reasons only.
EXAMPLES:
1. Use all enabled HBAC rules in IPA database to simulate:
$ ipa hbactest --user=a1a --host=bar --service=sshd
--------------------
Access granted: True
--------------------
notmatched: my-second-rule
notmatched: my-third-rule
notmatched: myrule
matched: allow_all
2. Disable detailed summary of how rules were applied:
$ ipa hbactest --user=a1a --host=bar --service=sshd --nodetail
--------------------
Access granted: True
--------------------
3. Test explicitly specified HBAC rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd --rules=my-second-rule,myrule
---------------------
Access granted: False
---------------------
notmatched: my-second-rule
notmatched: myrule
4. Use all enabled HBAC rules in IPA database + explicitly specified rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd --rules=my-second-rule,myrule --enabled
--------------------
Access granted: True
--------------------
notmatched: my-second-rule
notmatched: my-third-rule
notmatched: myrule
matched: allow_all
5. Test all disabled HBAC rules in IPA database:
$ ipa hbactest --user=a1a --host=bar --service=sshd --disabled
---------------------
Access granted: False
---------------------
notmatched: new-rule
6. Test all disabled HBAC rules in IPA database + explicitly specified rules:
$ ipa hbactest --user=a1a --host=bar --service=sshd --rules=my-second-rule,myrule --disabled
---------------------
Access granted: False
---------------------
notmatched: my-second-rule
notmatched: my-third-rule
notmatched: myrule
7. Test all (enabled and disabled) HBAC rules in IPA database:
$ ipa hbactest --user=a1a --host=bar --service=sshd --enabled --disabled
--------------------
Access granted: True
--------------------
notmatched: my-second-rule
notmatched: my-third-rule
notmatched: myrule
notmatched: new-rule
matched: allow_all
Sudo Commands
Commands used as building blocks for sudo
EXAMPLES:
Create a new command
ipa sudocmd-add --desc='For reading log files' /usr/bin/less
Remove a command
ipa sudocmd-del /usr/bin/less
${count} items were disabled ${count} items were enabled ${entity} ${primary_key} Settings ${entity} ${primary_key} updated ${entity} successfully added ${primary_key} is a member of: ${primary_key} is managed by: ${primary_key} members: %(attr)s does not contain '%(value)s' %(attr)s: Invalid syntax. %(attr)s: Only one value allowed. %(container)s LDAP search did not return any result (search base: %(search_base)s, objectclass: %(objectclass)s) %(count)d %(type)s record skipped. Only one value per DNS record type can be modified at one time. %(count)d %(type)s records skipped. Only one value per DNS record type can be modified at one time. %(count)d ACI matched %(count)d ACIs matched %(count)d HBAC rule matched %(count)d HBAC rules matched %(count)d HBAC service group matched %(count)d HBAC service groups matched %(count)d HBAC service matched %(count)d HBAC services matched %(count)d SELinux User Map matched %(count)d SELinux User Maps matched %(count)d Sudo Command Group matched %(count)d Sudo Command Groups matched %(count)d Sudo Command matched %(count)d Sudo Commands matched %(count)d Sudo Rule matched %(count)d Sudo Rules matched %(count)d automount key matched %(count)d automount keys matched %(count)d automount location matched %(count)d automount locations matched %(count)d automount map matched %(count)d automount maps matched %(count)d delegation matched %(count)d delegations matched %(count)d group matched %(count)d groups matched %(count)d host matched %(count)d hosts matched %(count)d hostgroup matched %(count)d hostgroups matched %(count)d netgroup matched %(count)d netgroups matched %(count)d permission matched %(count)d permissions matched %(count)d plugin loaded %(count)d plugins loaded %(count)d privilege matched %(count)d privileges matched %(count)d range matched %(count)d ranges matched %(count)d role matched %(count)d roles matched %(count)d rules matched %(count)d rules matched %(count)d selfservice matched %(count)d selfservices matched %(count)d service matched %(count)d services matched %(count)d trust matched %(count)d trusts matched %(count)d user matched %(count)d users matched %(count)d variables %(cver)s client incompatible with %(sver)s server at %(server)r %(desc)s: %(info)s %(host)s failed %(host)s failed: %(error)s %(info)s %(key)s cannot be deleted because %(label)s %(dependent)s requires it %(key)s cannot be deleted or disabled because it is the last member of %(label)s %(container)s %(name)r is required %(obj)s default attribute %(attr)s would not be allowed! %(oname)s with name "%(pkey)s" already exists %(parent)s: %(oname)s not found %(pkey)s: %(oname)s not found %(port)s is not a valid port %(reason)s %(user)s is not a POSIX user %s Record %s is not a valid attribute. %s record '${port}' is not a valid port '%(entry)s' doesn't have a certificate. '%(required)s' must not be empty when '%(name)s' is set '%s' is a required part of DNS record (see RFC %s for details) . Check GID of the existing group. Use --group-overwrite-gid option to overwrite the GID 7 is not a valid revocation reason - Examples uses NSS database located in current directory. Replace "-d ." in example with "-d /path/to/database" if NSS database is located elsewhere. If you don't have a NSS database you can create one in current directory by "certutil -N -d ."
- Create a CSR with "CN=${hostname},O=${realm}", for example:
# certutil -R -d . -a -g 2048 -s 'CN=${hostname},O=${realm}' - Copy and paste the CSR (the text block which starts with "-----BEGIN NEW CERTIFICATE REQUEST-----" and ends with "-----END NEW CERTIFICATE REQUEST-----") below:
A SYSTEM permission may not be modified A SYSTEM permission may not be removed A comma-separated list of fields to search in when searching for groups A comma-separated list of fields to search in when searching for users A description of this auto member rule A description of this command A description of this host A description of this host-group A description of this role-group A dictionary representing an LDAP entry A group may not be a member of itself A group may not be added as a member of itself A host willing to act as a key exchanger A host willing to act as a mail exchanger A hostname which this alias hostname points to A list of ACI values A list of LDAP entries A list of global forwarders. A custom port can be specified for each forwarder using a standard format "IP_ADDRESS port PORT" A list of per-zone forwarders. A custom port can be specified for each forwarder using a standard format "IP_ADDRESS port PORT" A managed group cannot have a password policy. A problem was encountered when verifying that all members were %(verb)s: %(exc)s A string searched in all relevant object attributes AA Compromise ACI ACI name ACI prefix ACI prefix is required ACI with name "%s" not found ACIs AD Trust setup AD domain controller Access Denied Access Granted Access granted: %s Access this host Access time Accessing Account Account Settings Account Status Account disabled Account disabled: %(disabled)s Actions Active Directory domain Active Directory domain administrator Active Directory domain range Active zone Add Add ${entity} Add ${entity} ${primary_key} into ${other_entity} Add ${other_entity} Managing ${entity} ${primary_key} Add ${other_entity} into ${entity} ${primary_key} Add Allow ${other_entity} into ${entity} ${primary_key} Add Condition into ${pkey} Add Deny ${other_entity} into ${entity} ${primary_key} Add Many Add Permission Add Rule Add RunAs ${other_entity} into ${entity} ${primary_key} Add RunAs Groups into ${entity} ${primary_key} Add Source ${other_entity} into ${entity} ${primary_key} Add a new HBAC service group. Add a new HBAC service. Add a new IPA new service. Add a new delegation. Add a new group password policy. Add a new host. Add a new hostgroup. Add a new netgroup. Add a new permission. Add a new privilege. Add a new role. Add a new self-service permission. Add a new user. Add a permission for per-zone access delegation. Add a system permission without an ACI Add an attribute/value pair. Format is attr=value. The attribute
must be part of the schema. Add an option to the Sudo Rule. Add and Add Another Add and Close Add and Edit Add commands and sudo command groups affected by Sudo Rule. Add group for Sudo to execute as. Add hosts and hostgroups affected by Sudo Rule. Add hosts that can manage this host. Add hosts that can manage this service. Add members to Sudo Command Group. Add members to a group. Add members to a hostgroup. Add members to a netgroup. Add members to a privilege. Add members to a role. Add members to an HBAC service group. Add new DNS resource record. Add new trust to use Add permissions to a privilege. Add privileges to a role. Add services to an HBAC rule. Add source hosts and hostgroups from a HBAC rule. Add target hosts and hostgroups to an HBAC rule. Add target hosts and hostgroups to an SELinux User Map rule. Add the host to DNS with this IP address Add the nameserver to DNS with this IP address Add users and groups affected by Sudo Rule. Add users and groups for Sudo to execute as. Add users and groups to an HBAC rule. Add users and groups to an SELinux User Map rule. Added Active Directory trust for realm "%(value)s" Added HBAC rule "%(value)s" Added HBAC service "%(value)s" Added HBAC service group "%(value)s" Added ID range "%(value)s" Added SELinux User Map "%(value)s" Added Sudo Command "%(value)s" Added Sudo Command Group "%(value)s" Added Sudo Rule "%(value)s" Added automember rule "%(value)s" Added automount indirect map "%(value)s" Added automount key "%(value)s" Added automount location "%(value)s" Added automount map "%(value)s" Added condition(s) to "%(value)s" Added delegation "%(value)s" Added group "%(value)s" Added host "%(value)s" Added hostgroup "%(value)s" Added netgroup "%(value)s" Added option "%(option)s" to Sudo Rule "%(rule)s" Added permission "%(value)s" Added privilege "%(value)s" Added role "%(value)s" Added selfservice "%(value)s" Added service "%(value)s" Added system permission "%(value)s" Added user "%(value)s" Address not valid, can't redirect Administrative account Administrator e-mail address Affiliation Changed Algorithm All commands should at least have a result Allow Allow PTR sync Allow adding external non-IPA members from trusted domains Allow dynamic updates. Allow query Allow synchronization of forward (A, AAAA) and reverse (PTR) records Allow synchronization of forward (A, AAAA) and reverse (PTR) records in the zone Allow transfer Allows migration despite the usage of compat plugin Already registered Altitude An IPA master host cannot be deleted or disabled An error occurred while fetching dns zones. An interval between regular polls of the name server for new DNS zones Any Command Any Group Any Host Any Service Anyone Apply Apply ACI to your own entry (self) Are you sure you want to ${action} the user?
The change will take effect immediately. Are you sure you want to delete ${object} Are you sure you want to delete selected entries? Are you sure you want to disable ${object} Are you sure you want to disable selected entries? Are you sure you want to enable ${object} Are you sure you want to enable selected entries? Are you sure you want to proceed with the action. Are you sure you want to unprovision this host? Are you sure you want to unprovision this service? As Whom Asks for a non-random password to use for the principal At least the domain or IP address should be specified Attribute Attribute Key Attribute to filter via regex. For example fqdn for a host, or manager for a user Attributes Audit Authoritative nameserver Authoritative nameserver domain name Auto Membership Rule Auto Membership is not configured Auto member rule: %s not found! Automember Automember Rule Automount Automount Key Automount Keys Automount Location Automount Location Settings Automount Locations Automount Map Automount Maps Automount key name. Automount key object. Automount location name. Automount map name. Automount master file. Available BIND update policy Back Back to Top Bad format in credentials cache Bad or unsupported salt type.
Bad search filter %(info)s Base DN Base DN on remote LDAP server Base ID Base for certificate subjects (OU=Test,O=Example) Base-64 encoded server certificate Base64 decoding failed: %(reason)s Bind DN Bind failed: %s
Bind password required when using a bind DN.
Built-in commands: CA Compromise CIFS credentials object CIFS server %(host)s denied your credentials CIFS server communication error: code "%(num)s",
message "%(message)s" (both may be "None") CIFS server denied your credentials CNAME record is not allowed to coexist with any other records except PTR CSR Cancel Cannot create reverse record for "%(value)s": %(exc)s Cannot establish LSA connection to %(host)s. Is CIFS server running? Cannot find specified domain or server name Cannot perform join operation without Samba 4 support installed.
Make sure you have installed server-trust-ad sub-package of IPA Cannot perform join operation without own domain configured.
Make sure you have run ipa-adtrust-install on the IPA server first Cannot resolve KDC for requested realm Car License Certificate Certificate Hold Certificate Revoked Certificate Subject base Certificate Type Certificate for ${entity} ${primary_key} Certificate format error: %(error)s Certificate operation cannot be completed: %(error)s Certificate requested Certificate restored Certificate stored in file '%(file)s' Certificate subject base is: %s
Certificate/CRL Certificates Cessation of Operation Change to POSIX group Change to external group Changed password for "%(value)s" Character classes Check the status of a certificate signing request. Checking if record exists. City Class Click to ${action} Client is not configured. Run ipa-client-install. Client version. Used to determine if server will accept request. Close Closing keytab failed
Collapse All Comma separated encryption types list Comma-separated list of attributes Comma-separated list of attributes to be ignored for group entries in DS Comma-separated list of attributes to be ignored for user entries in DS Comma-separated list of objectclasses to be ignored for group entries in DS Comma-separated list of objectclasses to be ignored for user entries in DS Comma-separated list of objectclasses used to search for group entries in DS Comma-separated list of objectclasses used to search for user entries in DS Comma-separated list of permissions to grant (read, write). Default is write. Comma-separated list of permissions to grant (read, write, add, delete, all) Comma-separated list of raw %s records Command category Command category the rule applies to Command name Command not implemented Commands Commands for controlling sudo configuration Common Name Conditions that could not be added Conditions that could not be removed Configuration Confirmation Consecutive failures before lockout Consume Consume Entitlement Consume an entitlement. Consumed Consumed %(value)s entitlement(s). Contact Settings Contact this specific KDC Server Continue Continuous mode: Don't stop on errors. Continuous operation mode. Errors are reported but the process continues Continuous operation mode. Errors are reported but the process continues. Could not get %(name)s interactively Create a new HBAC rule. Create a new SELinux User Map. Create a new automount key. Create a new automount location. Create a new automount map. Create a new group. Create a new indirect mount point. Create as a non-POSIX group Create dns record Create new DNS zone (SOA record). Create new Sudo Command Group. Create new Sudo Command. Create new Sudo Rule. Create reverse Create reverse record for this IP Address Created ACI "%(value)s" Creating record. Credentials cache permissions incorrect Current DNS record contents:
Current Password Current password is required DN of container for groups in DS relative to base DN DN of container for users in DS relative to base DN DN to bind as if not using kerberos DNS DNS Global Configuration DNS RR type "%s" is not supported by bind-dyndb-ldap plugin DNS Resource Record DNS Resource Records DNS Zone DNS Zone Settings DNS Zones DNS class DNS configuration options DNS is not configured DNS label cannot be longer that 63 characters DNS record was deleted because it contained no data. DNS records can be only updated one at a time DNS resource record DNS resource record type DNS resource records DNS reverse zone for IP address %(addr)s not found DNS zone DNS zone %(zone)s not found DNS zone root record cannot be renamed DNS zones Data Debugging output Default (fallback) Group Default (fallback) group for entries to land Default SELinux user Default SELinux user when no match is found in SELinux map rule Default e-mail domain Default group for entries to land Default group for new users Default group for new users is not POSIX Default group for new users not found Default group objectclasses Default group objectclasses (comma-separated list) Default host group Default location of home directories Default shell Default shell for new users Default user group Default user objectclasses Default user objectclasses (comma-separated list) Default users group Degrees Latitude Degrees Longitude Delegation Delegation name Delegations Delete Delete %(name)s '%(value)s'? Delete DNS resource record. Delete DNS zone (SOA record). Delete Key, Unprovision Delete Sudo Command Group. Delete Sudo Command. Delete Sudo Rule. Delete a SELinux User Map. Delete a delegation. Delete a group password policy. Delete a host. Delete a hostgroup. Delete a netgroup. Delete a permission. Delete a privilege. Delete a role. Delete a self-service permission. Delete a trust. Delete a user. Delete all associated records Delete all? Delete an HBAC rule. Delete an HBAC service group. Delete an ID range. Delete an IPA service. Delete an attribute/value pair. The option will be evaluated
last, after all sets and adds. Delete an automount key. Delete an automount location. Delete an automount map. Delete an existing HBAC service. Delete group. Deleted ACI "%(value)s" Deleted HBAC rule "%(value)s" Deleted HBAC service "%(value)s" Deleted HBAC service group "%(value)s" Deleted ID range "%(value)s" Deleted SELinux User Map "%(value)s" Deleted Sudo Command "%(value)s" Deleted Sudo Command Group "%(value)s" Deleted Sudo Rule "%(value)s" Deleted automember rule "%(value)s" Deleted automount key "%(value)s" Deleted automount location "%(value)s" Deleted automount map "%(value)s" Deleted delegation "%(value)s" Deleted group "%(value)s" Deleted host "%(value)s" Deleted hostgroup "%(value)s" Deleted netgroup "%(value)s" Deleted permission "%(value)s" Deleted privilege "%(value)s" Deleted record "%(value)s" Deleted role "%(value)s" Deleted selfservice "%(value)s" Deleted service "%(value)s" Deleted trust "%(value)s" Deleted user "%(value)s" Deleting a managed group is not allowed. It must be detached first. Deny Description Detach a managed group from a user. Detached group "%(value)s" from user "%(value)s" Dict of I18N messages Dict of JSON encoded IPA Commands Dict of JSON encoded IPA Methods Dict of JSON encoded IPA Objects Dictionary mapping variable name to value Digest Digest Type Direct Direct Membership Direction Latitude Direction Longitude Disable Disable DNS Zone. Disable a Sudo Rule. Disable a user account. Disable an HBAC rule. Disable an SELinux User Map rule. Disable the Kerberos key and SSL certificate of a service. Disable the Kerberos key, SSL certificate and all services of a host. Disabled Disabled DNS zone "%(value)s" Disabled HBAC rule "%(value)s" Disabled SELinux User Map "%(value)s" Disabled Sudo Rule "%s" Disabled host "%(value)s" Disabled service "%(value)s" Disabled user account "%(value)s" Display DNS resource. Display Sudo Command Group. Display Sudo Command. Display Sudo Rule. Display an automount key. Display an automount location. Display an automount map. Display current entitlements. Display effective policy for a specific user Display information about a DNS zone (SOA record). Display information about a delegation. Display information about a host. Display information about a hostgroup. Display information about a named group. Display information about a netgroup. Display information about a permission. Display information about a privilege. Display information about a range. Display information about a role. Display information about a self-service permission. Display information about a trust. Display information about a user. Display information about an HBAC service group. Display information about an HBAC service. Display information about an IPA service. Display information about password policy. Display name Display the access rights of this entry (requires --all). See ipa man page for details. Display the current Kerberos ticket policy. Display the properties of a SELinux User Map rule. Display the properties of an HBAC rule. Display user record for current Kerberos principal Domain Domain NetBIOS name Domain SID Domain SID of the trusted domain Domain Security Identifier Domain controller for the Active Directory domain (optional) Don't create user private group Download Download Certificate Dynamic update Edit Edit ${entity} Email address Employee Information Enable Enable DNS Zone. Enable a Sudo Rule. Enable a user account. Enable an HBAC rule. Enable an SELinux User Map rule. Enable migration mode Enable or Disable Anonymous PKINIT. Enabled Enabled DNS zone "%(value)s" Enabled HBAC rule "%(value)s" Enabled SELinux User Map "%(value)s" Enabled Sudo Rule "%s" Enabled user account "%(value)s" Encryption types to request Enctype comparison failed!
End Enrolled Enrollment Enrollment UUID Enrollment UUID (not implemented) Enrollment failed. %s
Enter %(label)s again to verify: Enter the Base64-encoded entitlement certificate below: Entitlement Entitlement(s) synchronized. Entitlements Entry Error Error changing account status Error getting default Kerberos realm: %s.
Error obtaining initial credentials: %s.
Error parsing "%1$s": %2$s.
Error resolving keytab: %s.
Error storing creds in credential cache: %s.
Establish using Established and verified Exchanger Exclusive Exclusive Regex Expand All Expires On Expression External External Group the commands can run as (sudorule-find only) External User External User the commands can run as (sudorule-find only) External User the rule applies to (sudorule-find only) External host External member Extra hashes to generate in password plug-in Failed RunAs Failed RunAsGroup Failed hosts/hostgroups Failed logins Failed managedby Failed members Failed service/service groups Failed source hosts/hostgroups Failed to add Failed to add key to the keytab
Failed to add user to the default group. Use 'ipa group-add-member' to add manually. Failed to close the keytab
Failed to create control!
Failed to create key material
Failed to create key!
Failed to create random key!
Failed to open Keytab
Failed to open keytab
Failed to open keytab '%1$s': %2$s
Failed to remove Failed to retrieve any keys Failed to retrieve encryption type %1$s (#%2$d)
Failed to retrieve encryption type type #%d
Failed users/groups Failure decoding Certificate Signing Request Failure decoding Certificate Signing Request: Failure decoding Certificate Signing Request: %s Failure reset interval False False if migration fails because the compatibility plug-in is enabled. False if migration mode was disabled. Fax Number Fetching DNS zones. File %(file)s not found File to store the certificate in. File were to store the keytab information Filename is empty Filter Find Fingerprint Fingerprint (MD5) Fingerprint (SHA1) Fingerprint Type Fingerprints First Posix ID of the range First Posix ID of the range reserved for the trusted domain First RID of the corresponding RID range First RID of the secondary RID range First name Flags Force Force DNS zone creation even if nameserver not in DNS. Forward first Forward only Forward policy Forward to server instead of running locally Forward zones only Found '%(value)s' From Full name Fully Qualified Host Name GECOS field GID GID (use this option to set it manually) General Generate a random password to be used in bulk enrollment Generate a random user password Generate automount files for a specific location. Get Global DNS configuration is empty Global forwarders Granting privilege to roles Group Group '%s' does not exist Group ID Number Group Options Group Settings Group Type Group container Group description Group name Group object class Group to apply ACI to Group: %s not found! Grouping Type Grouping to which the rule applies Groups Groups of RunAs Users HBAC Rule HBAC Rule that defines the users, groups and hostgroups HBAC Rules HBAC Service HBAC Service Group HBAC Service Groups HBAC Services HBAC Test HBAC rule HBAC rule %(rule)s not found HBAC rule and local members cannot both be set HBAC rules HBAC service HBAC service description HBAC service group HBAC service group description HBAC service groups HBAC services HTTP Error Hardware MAC address(es) on this host Hardware platform of the host (e.g. Lenovo T61) Help subtopics: Help topics: Hide details Hide details which rules are matched, not matched, or invalid History size Home directory Home directory base Horizontal Precision Host Host '%(host)s' not found Host Based Access Control Host Certificate Host Group Host Group Settings Host Groups Host Name Host Settings Host based access control commands Host category Host category the rule applies to Host does not have corresponding DNS A record Host group rule Host group rules Host hardware platform (e.g. "Lenovo T61") Host is already joined.
Host locality (e.g. "Baltimore, MD") Host location (e.g. "Lab 2") Host name Host operating system and version (e.g. "Fedora 9") Host unprovisioned Host-based access control commands Host-group Hostname Hostname of this server Hosts How long should negative responses be cached ID Range ID Ranges ID range already exists, must be added manually ID range exists ID range with the same name but different domain SID already exists. The ID range for the new trusted domain must be created manually. IP Address IP address %(ip)s is already assigned in domain %(domain)s. IP network to create reverse zone name from IPA Error IPA Server IPA Server to use IPA namingContext not found
IPA unique ID Identity Identity Settings If the problem persists please contact the system administrator. Ignore compat plugin Ignore group attribute Ignore group object class Ignore user attribute Ignore user object class Import Import Certificate Import an entitlement certificate. Import automount files for a specific location. Include Disabled Include Enabled Include all disabled IPA rules into test Include all enabled IPA rules into test [default] Inclusive Inclusive Regex Incorrect password.
Indirect Indirect Member HBAC service Indirect Member HBAC service group Indirect Member groups Indirect Member host-groups Indirect Member hosts Indirect Member netgroups Indirect Member of roles Indirect Member permissions Indirect Member users Indirect Membership Initials Input form contains invalid or missing values. Insufficient 'write' privilege to the 'krbLastPwdChange' attribute of entry '%s'. Insufficient 'write' privilege to the 'userCertificate' attribute of entry '%s'. Insufficient access: %(info)s Insufficient privilege to create a certificate with subject alt name '%s'. Internal Error Invalid JSON-RPC request: %(error)s Invalid LDAP URI. Invalid MCS value, must match c[0-1023].c[0-1023] and/or c[0-1023]-c[0-c0123] Invalid MLS value, must match s[0-15](-s[0-15]) Invalid SELinux user name, only a-Z and _ are allowed Invalid Service Principal Name
Invalid credentials Invalid format. Should be name=value Invalid number of parts! Invalid or unsupported type. Allowed values are: %s Is zone active? Issue Issue New Certificate for ${entity} ${primary_key} Issued By Issued On Issued To Issuer Issuer "%(issuer)s" does not match the expected issuer Items added Items removed Job Title Kerberos Credential Cache not found. Do you have a Kerberos Ticket?
Kerberos Key Kerberos Key Not Present Kerberos Key Present, Host Provisioned Kerberos Key Present, Service Provisioned Kerberos Service Principal Name Kerberos Ticket Policy Kerberos User Principal not found. Do you have a valid Credential Cache?
Kerberos context initialization failed
Kerberos context initialization failed: %1$s (%2$d)
Kerberos error: %(major)s/%(minor)s Kerberos keys available Kerberos principal Kerberos principal %s already exists. Use 'ipa user-mod' to set it manually. Kerberos principal name for this host Key Key Compromise Key Tag Keytab Keytab File Name Keytab successfully retrieved and stored in: %s
LDAP DN LDAP URI LDAP URI of DS server to migrate from LDAP basedn LDAP password LDAP password (if not using Kerberos) LDAP schema Labels Last failed authentication Last name Last successful authentication Leading and trailing spaces are not allowed Legal LDAP filter (e.g. ou=Engineering) List of deletions that failed Lists of objects migrated; categorized by type. Lists of objects that could not be migrated; categorized by type. Loading... Local domain Locality Location Lockout duration Logged In As Login Login shell Logout Logout error MAC address MD5 Fingerprint Mailing Address Malformed DN Manage password policy for specific group Manage ticket policy for specific user Managedby permission Manager Map Map Type Master file Matched Matched rules Max failures Max life Max lifetime (days) Max renew Maximum amount of time (seconds) for a search (> 0, or -1 for unlimited) Maximum number of entries returned Maximum number of records to search (-1 is unlimited) Maximum number of rules to process when no --rules is specified Maximum password life must be greater than minimum. Maximum password lifetime (in days) Maximum renewable age (seconds) Maximum ticket life (seconds) Maximum username length Maximum value is ${value} May not be empty Member HBAC service Member HBAC service groups Member Host Member groups Member host-groups Member hosts Member netgroups Member of Member of a group Member of group Member of groups Member of host-groups Member of netgroups Member service groups Member services Member user group Member users Members that could not be added Members that could not be removed Migrate users and groups from DS to IPA. Migration mode is disabled. Use 'ipa config-mod' to enable it. Migration of LDAP search reference is not supported. Min length Min lifetime (hours) Minimum length of password Minimum number of character classes Minimum password lifetime (in hours) Minimum value is ${value} Minutes Latitude Minutes Longitude Misc. Information Missing or invalid HTTP Referer, %(referer)s Missing reply control!
Missing values: Mobile Telephone Number Modified Modified ACI "%(value)s" Modified HBAC rule "%(value)s" Modified HBAC service "%(value)s" Modified HBAC service group "%(value)s" Modified ID range "%(value)s" Modified SELinux User Map "%(value)s" Modified Sudo Command "%(value)s" Modified Sudo Command Group "%(value)s" Modified Sudo Rule "%(value)s" Modified automember rule "%(value)s" Modified automount key "%(value)s" Modified automount map "%(value)s" Modified delegation "%(value)s" Modified group "%(value)s" Modified host "%(value)s" Modified hostgroup "%(value)s" Modified netgroup "%(value)s" Modified permission "%(value)s" Modified privilege "%(value)s" Modified role "%(value)s" Modified selfservice "%(value)s" Modified service "%(value)s" Modified trust "%(value)s" Modified user "%(value)s" Modified: key not set Modify %(name)s '%(value)s'? Modify DNS zone (SOA record). Modify ID range. Modify Kerberos ticket policy. Modify Sudo Command Group. Modify Sudo Command. Modify Sudo Rule. Modify a DNS resource record. Modify a SELinux User Map. Modify a delegation. Modify a group password policy. Modify a group. Modify a hostgroup. Modify a netgroup. Modify a permission. Modify a privilege. Modify a role. Modify a self-service permission. Modify a user. Modify an HBAC rule. Modify an HBAC service group. Modify an HBAC service. Modify an automount key. Modify an automount map. Modify an existing IPA service. Modify configuration options. Modify global DNS configuration. Modify information about a host. More than one entry with key %(key)s found, use --info to select specific entry. Mount information Mount point Must be a decimal number Must be an integer NIS domain name Name of command to export Name of host-group Name of method to export Name of object to export Name of parent automount map (default: auto.master). Nameserver '%(host)s' does not have a corresponding A/AAAA record Nameserver address is not a fully qualified domain name Neither --del-all nor options to delete a specific record provided.
Command help may be consulted for all supported record types. Nested Methods to execute Netgroup Netgroup Settings Netgroup description Netgroup name Netgroups New ACI name New Certificate New Password New Principal Password New Test New mount information New name can not be empty New password is required New: key not set New: key set Next Next Domain Name No Certificate. No Valid Certificate No credentials cache found No default (fallback) group set No entries. No file to read No keys accepted by KDC
No matching entries found No option to delete specific record provided. No option to modify specific record provided. No permission to join this host to the IPA domain.
No permission to register No response No such attribute on this entry No such virtual command No system preferred enctypes ?!
No values for %s No write permissions on keytab file '%s'
Non-Active Directory domain Non-existent or invalid rules Normal Not After Not Before Not a managed group Not a valid IP address Not a valid IPv4 address Not a valid IPv6 address Not a valid network address Not an entitlement certificate Not enough arguments specified to perform trust setup Not matched rules Not registered yet Note Number of IDs in the range Number of conditions added Number of conditions removed Number of days's notice of impending password expiration Number of entries returned Number of members added Number of members removed Number of permissions added Number of permissions removed Number of plugins loaded Number of privileges added Number of privileges removed Number of variables returned (<= total) OK OTP set One of group, permission or self is required One-Time-Password One-Time-Password Not Present One-Time-Password Present Only one value is allowed Operating System and version of the host (e.g. Fedora 9) Operating system Operation failed! %s
Operations Error Option added Option(s) removed Options Options dom_sid and rid_base must be used together Options dom_sid and secondary_rid_base cannot be used together Options secondary_rid_base and rid_base must be used together Order Order in increasing priority of SELinux users, delimited by $ Org. Unit Organization Organizational Unit Original TTL Other Record Types Out of Memory!
Out of memory
Out of memory
Out of memory! Out of memory!
Out of memory!?
Output filename Output only on errors Overwrite GID PAC type PKINIT POSIX Page Pager Number Parent map Parse all raw DNS records and return them in a structured way Password Password Expiration Notification (days) Password Policies Password Policy Password cannot be set on enrolled host. Password change complete Password expiration Password history size Password plugin features Password reset was not successful. Password used in bulk enrollment Passwords do not match Passwords do not match! Passwords have been migrated in pre-hashed format.
IPA is unable to generate Kerberos keys unless provided
with clear text passwords. All migrated users need to
login at https://your.domain/ipa/migration/ before they
can use their Kerberos accounts. Passwords must match Period after which failure count will be reset (seconds) Period for which lockout is enforced (seconds) Permission Permission ACI grants access to Permission Type Permission denied: %(file)s Permission name Permission type Permission with invalid target specification Permissions Permitted Encryption Types Ping a remote server. Platform Please choose a type of DNS resource record to be added Please try the following options: Policy Port Positional arguments Pre-shared password Preference Preference given to this exchanger. Lower values are more preferred Prefix used to distinguish ACI types (permission, delegation, selfservice, none) Prev Primary RID base Primary key only Principal Principal %(principal)s cannot be authenticated: %(message)s Principal is not of the form user@REALM: %(principal)r Principal name Print as little as possible Print debugging information Print entries as stored on the server. Only affects output format. Print the raw XML-RPC output in GSSAPI mode Priority Priority of the policy (higher number means lower priority Privilege Privilege Settings Privilege Withdrawn Privilege description Privilege name Privileges Product Prompt to set the user password Prospective Protocol Provisioning Public Key Purpose: %s Quantity Query returned more results than the configured size limit. Displaying the first ${counter} results. Quick Links Quiet mode. Only errors are displayed. RFC4120-compliant Kerberos realm Random password Range Settings Range name Range size Range type Raw value of a DNS record was already set by "%(name)s" option Re-sync the local entitlement cache with the entitlement server. Realm administrator password should be specified Realm name Reason Reason for Revocation Reason for revoking the certificate (0-10) Record Type Record creation failed. Record data Record name Record not found. Record type Records Records for DNS Zone Redirection Redirection to PTR record Refresh Refresh the page. Register Register to the entitlement system. Registered to entitlement server. Registering to specific UUID is not supported yet. Registration Registration password Regular Expression Reload the browser. Remove ${entity} Remove ${entity} ${primary_key} from ${other_entity} Remove ${other_entity} Managing ${entity} ${primary_key} Remove ${other_entity} from ${entity} ${primary_key} Remove Allow ${other_entity} from ${entity} ${primary_key} Remove Deny ${other_entity} from ${entity} ${primary_key} Remove Permission Remove RunAs ${other_entity} from ${entity} ${primary_key} Remove RunAs Groups from ${entity} ${primary_key} Remove Source ${other_entity} from ${entity} ${primary_key} Remove a permission for per-zone access delegation. Remove all principals in this realm Remove an option from Sudo Rule. Remove commands and sudo command groups affected by Sudo Rule. Remove entries from DNS Remove from CRL Remove group for Sudo to execute as. Remove hosts and hostgroups affected by Sudo Rule. Remove hosts that can manage this host. Remove hosts that can manage this service. Remove members from Sudo Command Group. Remove members from a group. Remove members from a hostgroup. Remove members from a netgroup. Remove members from a role. Remove members from an HBAC service group. Remove permissions from a privilege. Remove privileges from a role. Remove service and service groups from an HBAC rule. Remove source hosts and hostgroups from an HBAC rule. Remove target hosts and hostgroups from an HBAC rule. Remove target hosts and hostgroups from an SELinux User Map rule. Remove users and groups affected by Sudo Rule. Remove users and groups for Sudo to execute as. Remove users and groups from an HBAC rule. Remove users and groups from an SELinux User Map rule. Removed condition(s) from "%(value)s" Removed default (fallback) group for automember "%(value)s" Removed option "%(option)s" from Sudo Rule "%(rule)s" Removed system permission "%(value)s" Removing principal %s
Rename Rename the %(ldap_obj_name)s object Renamed ACI to "%(value)s" Replacement Request id Request is missing "method" Request is missing "params" Request must be a dict Request status Request subject "%(request_subject)s" does not match the form "%(subject_base)s" Required field Reset Reset Kerberos ticket policy to the default values. Reset OTP Reset One-Time-Password Reset Password Reset Password and Login Reset your password. Resolve a host name in DNS. Restore Restore Certificate for ${entity} ${primary_key} Result of simulation Results are truncated, try a more specific search Results should contain primary key attribute only ("%s") Retrieve an existing certificate. Retrieve and print all attributes from the server. Affects command output. Retrieve the entitlement certs. Retrieving CA cert chain failed: %s Retry Return to the main page and retry the operation Reverse record for IP address %(ip)s already exists in reverse zone %(zone)s. Reverse zone %(name)s requires exactly %(count)d IP address components, %(user_count)d given Reverse zone IP network Reverse zone for PTR record should be a sub-zone of one the following fully qualified domains: %s Revocation reason Revoke Revoke Certificate for ${entity} ${primary_key} Revoke a certificate. Revoked Rights Role Role Based Access Control Role Settings Role name Roles Rule name Rule status Rule type Rule type (allow) Rules Rules to test. If not specified, --enabled is assumed Run Commands Run Test Run as a user Run as any user within a specified group Run with the gid of a specified POSIX group RunAs External Group RunAs External User RunAs Group category RunAs Group category the rule applies to RunAs Groups RunAs User category RunAs User category the rule applies to RunAs Users RunAsGroup does not accept '%(name)s' as a group name RunAsUser does not accept '%(name)s' as a group name RunAsUser does not accept '%(name)s' as a user name SELinux Options SELinux User SELinux User Map SELinux User Map rule SELinux User Map rules SELinux User Maps SELinux user %(user)s not found in ordering list (in config) SELinux user map default user not in order list SELinux user map list not found in configuration SELinux user map order SHA1 Fingerprint SOA class SOA expire SOA minimum SOA record class SOA record expire time SOA record refresh time SOA record retry time SOA record serial number SOA record time to live SOA refresh SOA retry SOA serial SOA time to live SSH public key SSH public key fingerprint SSH public key: SSH public keys Search Search Options Search for %(searched_object)s with these %(relationship)s %(ldap_object)s. Search for %(searched_object)s without these %(relationship)s %(ldap_object)s. Search for %1$s on rootdse failed with error %2$d
Search for DNS resources. Search for DNS zones (SOA records). Search for HBAC rules. Search for HBAC services. Search for IPA namingContext failed with error %d
Search for IPA services. Search for SELinux User Maps. Search for Sudo Command Groups. Search for Sudo Commands. Search for Sudo Rule. Search for a netgroup. Search for a self-service permission. Search for an HBAC service group. Search for an automount key. Search for an automount location. Search for an automount map. Search for delegations. Search for entitlement accounts. Search for forward zones only Search for group password policies. Search for groups. Search for hostgroups. Search for hosts. Search for ipaCertificateSubjectBase failed with error %d Search for permissions. Search for privileges. Search for ranges. Search for roles. Search for trusts. Search for users. Search size limit Search time limit Secondary RID base Seconds Latitude Seconds Longitude Select All Select entries to be removed. Selected entries were deleted. Self Self Service Permission Self Service Permissions Self-service name Semicolon separated list of IP addresses or networks which are allowed to issue queries Semicolon separated list of IP addresses or networks which are allowed to transfer the zone Serial Number Serial Number (hex) Serial number Serial number (hex) Serial number in decimal or if prefixed with 0x in hexadecimal Server Server Name Service Service %(service)r not found in Kerberos database Service Certificate Service Groups Service Options Service Settings Service category Service category the rule applies to Service group name Service name Service principal Service principal for this certificate (e.g. HTTP/test.example.com) Service principal is not of the form: service/fully-qualified host name: %(reason)s Service unprovisioned Services Session error Set Set OTP Set One-Time-Password Set SSH key Set a user's password. Set an attribute to a name/value pair. Format is attr=value.
For multi-valued attributes, the command replaces the values already present. Set default (fallback) group for automember "%(value)s" Settings Shared secret for the trust Show Results Show all loaded plugins. Show details Show environment variables. Show the current configuration. Show the current global DNS configuration. Show the list of permitted encryption types and exit Show/Set key Showing ${start} to ${end} of ${total} entries. Signature Signature Expiration Signature Inception Signer's Name Simple bind failed
Simulate use of Host-based access controls Size Size Limit Size of the ID range reserved for the trusted domain Some entries were not deleted Some operations failed. Source Host Groups Source Hosts Source host Source host category Source host category the rule applies to Sourcehost value of rule "%s" is ignored Specified Commands and Groups Specified Groups Specified Hosts and Groups Specified Services and Groups Specified Users and Groups Specifies where to store keytab information. Specify external ${entity} Standard Record Types Start State/Province Status Street address Structured Subject Submit a certificate signing request. Subtree Subtree to apply ACI to Subtree to apply permissions to Subtype Sudo Sudo Allow Command Groups Sudo Allow Commands Sudo Command Sudo Command Group Sudo Command Groups Sudo Commands Sudo Deny Command Groups Sudo Deny Commands Sudo Option Sudo Rule Sudo Rules Sudo order Superseded Supported encryption types:
Syntax Error: %(error)s Take a revoked certificate off hold. Target Target group Target host Target members of a group Target reverse zone not found. Target your own entry (self) Telephone Number Test the ACI syntax but don't write anything Text Data Text does not match field pattern The IPA realm The automount key %(key)s with info %(info)s does not exist The character '%(char)r' is not allowed. The default users group cannot be removed The deny type has been deprecated. The domain name of the target host or '.' if the service is decidedly not available at this domain The group doesn't exist The host '%s' does not exist to add a service to. The host was added but the DNS update failed with: %(exc)s The hostname must be fully-qualified: %s
The hostname must not be: %s
The hostname this reverse record points to The hostname to register as The key,info pair must be unique. A key named %(key)s with info %(info)s already exists The most common types for this type of zone are: %s
The password or username you entered is incorrect. The primary_key value of the entry, e.g. 'jdoe' for a user The principal to get a keytab for (ex: ftp/ftp.example.com@EXAMPLE.COM) The realm for the principal does not match the realm for this IPA server The schema used on the LDAP server. Supported values are RFC2307 and RFC2307bis. The default is RFC2307bis The search criteria was not specific enough. Expected 1 and found %(found)d. The service principal for this request doesn't exist. There are only %d entitlements left This command requires root access This entry already exists This entry cannot be enabled or disabled This entry is already a member This entry is already disabled This entry is already enabled This entry is not a member This group already allows external members This group cannot be posix because it is external This is already a posix group This is already a posix group and cannot be converted to external one This page has unsaved changes. Please save or revert. This principal is required by the IPA master Ticket expired Time Limit Time limit of search in seconds Time now Time to live To confirm your intention to restore this certificate, click the "Restore" button. To confirm your intention to revoke this certificate, select a reason from the pull-down list, and click the "Revoke" button. To login with username and password, enter them in the fields below then click Login. Topic commands: Total number of variables env (>= count) True True if not all results were returned True means the operation was successful Trust Trust Settings Trust direction Trust status Trust type Trust type (ad for Active Directory, default) Trusted domain and administrator account use different realms Trusted forest Trusting forest Trusts Try `ipa --help` for a list of global options. Two-way trust Type Type Covered Type Map Type of IPA object (user, group, host, hostgroup, service, netgroup, dns) UID URL UUID Unable to communicate with CMS (%s) Unable to create private group. A group '%(group)s' already exists. Unable to decode certificate in entry: %s Unable to determine IPA server from %s
Unable to determine certificate subject of %s
Unable to determine root DN of %s
Unable to enable SSL in LDAP
Unable to generate Kerberos Credential Cache
Unable to initialize connection to ldap server: %s Unable to initialize ldap library!
Unable to join host: Kerberos Credential Cache not found
Unable to join host: Kerberos User Principal not found and host password not provided.
Unable to join host: Kerberos context initialization failed
Unable to parse principal
Unable to parse principal name
Unable to parse principal: %1$s (%2$d)
Unable to remove entry
Unable to set LDAP version
Unable to set LDAP_OPT_X_SASL_NOCANON
Unable to set ldap options!
Unable to verify write permissions to the AD Unenroll this host from IPA server Unenrollment failed.
Unenrollment successful.
Unknown Unknown Error Unknown command %s Unknown option: %(option)s Unlocked account "%(value)s" Unmatched Unprovision Unprovisioning ${entity} Unresolved rules in --rules Unrevoked Unsaved Changes Unselect All Unspecified Unsupported value Update Update DNS entries Usage: ipa [global-options] COMMAND ... User User Group User Groups User ID Number (system will assign one if not provided) User Options User category User category the rule applies to User container User group User group ACI grants access to User group rule User group rules User group to apply delegation to User group to apply permissions to User login User name User object class User password User search fields User-friendly description of action performed Username Users Valid Certificate Present Validation error Validity Verify Password Verify Principal Password Vertical Precision Via Service View Waiting for confirmation by remote side Warning Warning unrecognized encryption type.
Warning unrecognized salt type.
Warning: failed to convert type (#%d)
Warning: salt types are not honored with randomized passwords (see opt. -P)
Weight When migrating a group already existing in IPA domain overwrite the group GID and report as success Who You must enroll a host in order to create a host service You need to be a member of the serviceadmin role to add services You will be redirected to DNS Zone. Your password expires in ${days} days. Your session has expired. Please re-login. ZIP Zone forwarders Zone found: ${zone} Zone name Zone name (FQDN) Zone record '%s' cannot be deleted Zone refresh interval access() on %1$s failed: errno = %2$d
added an internal error has occurred an internal error has occurred on server at %(server)r any of the configured servers api has no such namespace: %(name)r at least one of: type, filter, subtree, targetgroup, attrs or memberof are required attribute "%(attribute)s" not allowed attribute "%s" not allowed attribute is not configurable automatically add the principal if it doesn't exist automount key automount keys automount location automount locations automount map automount maps basedn ber_init() failed, Invalid control ?!
ber_scanf() failed, unable to find kvno ?!
bind password blank service can be at most %(len)d characters can be at most %(maxlength)d bytes can be at most %(maxlength)d characters can be at most %(maxvalue)d can be at most %(maxvalue)s cannot be longer that 255 characters cannot connect to %(uri)r: %(error)s cannot delete global password policy cannot obtain next serial number cannot open configuration file %s
cannot stat() configuration file %s
certutil failure change collided with another change change to a POSIX group change to support external non-IPA members from trusted domains child exited with %d
cn is immutable comma-separated SIDs of members of a trusted domain comma-separated list of %s comma-separated list of %s to add comma-separated list of %s to exclude from migration comma-separated list of %s to remove comma-separated list of permissions to grant(read, write, add, delete, all) command %(name)r takes at most %(count)d argument command %(name)r takes at most %(count)d arguments command %(name)r takes no arguments command category cannot be set to 'all' while there are allow or deny commands commands cannot be added when command category='all' commands for controlling sudo configuration communication with CIFS server was unsuccessful configuration options container entry (%(container)s) not found could not allocate unique new session_id delegation delegations description did not receive Kerberos credentials each ACL element must be terminated with a semicolon empty DNS label empty filter entitlement entitlements entries entry error marshalling data for XML-RPC transport: %(error)s error on server %(server)r: %(error)s executing ipa-getkeytab failed, errno %d
external member file operation file to store certificate in filename filter and memberof are mutually exclusive flags must be one of "S", "A", "U", or "P" force NS record creation even if its hostname is not in DNS force delete of SYSTEM permissions force host name even if not in DNS force principal name even if not in DNS fork() failed
format must be specified as
"d1 [m1 [s1]] {"N"|"S"} d2 [m2 [s2]] {"E"|"W"} alt["m"] [siz["m"] [hp["m"] [vp["m"]]]]"
where:
d1: [0 .. 90] (degrees latitude)
d2: [0 .. 180] (degrees longitude)
m1, m2: [0 .. 59] (minutes latitude/longitude)
s1, s2: [0 .. 59.999] (seconds latitude/longitude)
alt: [-100000.00 .. 42849672.95] BY .01 (altitude in meters)
siz, hp, vp: [0 .. 90000000.00] (size/precision in meters)
See RFC 1876 for details format must be specified as "%(format)s" %(rfcs)s format must be specified as "NEXT TYPE1 [TYPE2 [TYPE3 [...]]]" (see RFC 4034 for details) group group runAs category cannot be set to 'all' while there are groups group, permission and self are mutually exclusive groups host host category cannot be set to 'all' while there are allowed hosts host group host groups hostgroup with name "%s" already exists. Hostgroups and netgroups share a common namespace hostname hostname in subject of request '%(subject_host)s' does not match principal hostname '%(hostname)s' hosts hosts cannot be added when host category='all' improperly formatted DER-encoded certificate incomplete time value incorrect type integer to order the Sudo rules invalid %(name)r: %(error)s invalid IP address format invalid IP address version (is %(value)d, must be %(required_value)d)! invalid IP network format invalid SSH public key invalid address format invalid domain-name: %s invalid e-mail format: %(email)s ipa-getkeytab has bad permissions?
ipa-getkeytab not found
kerberos ticket policy settings key %(key)s already exists key named %(key)s already exists krb5_kt_close %1$d: %2$s
krb5_kt_get_entry %1$d: %2$s
krb5_kt_remove_entry %1$d: %2$s
krb5_parse_name %1$d: %2$s
krb5_unparse_name %1$d: %2$s
kvno %d
limits exceeded for this query local domain range mail account may only include letters, numbers, -, _ and a dot. There may not be consecutive -, _ and . characters. Its parts may not start or end with - or _ manager %(manager)s not found map %(map)s already exists maps not connected to /etc/auto.master: member %s missing address domain missing base_id missing mail account missing service modifying primary key is not allowed mount point is relative to parent map, cannot begin with / must be TRUE or FALSE must be True or False must be Unicode text must be a decimal number must be an integer must be at least %(minlength)d bytes must be at least %(minlength)d characters must be at least %(minvalue)d must be at least %(minvalue)s must be binary data must be exactly %(length)d bytes must be exactly %(length)d characters must match pattern "%(pattern)s" netgroup netgroup with name "%s" already exists. Hostgroups and netgroups share a common namespace netgroups no command nor help topic %(topic)r no host record for subject alt name %s in certificate request no modifications to be performed not allowed to modify group entries not allowed to modify user entries not allowed to perform this command not fully qualified number class '%(cls)s' is not included in a list of allowed number classes: %(allowed)s number of passwords objectclass %s not found only "ad" is supported only letters, numbers,%(underscore)s and - are allowed. DNS label may not start or end with - operation not defined options are not allowed order must be a unique value (%(order)d already used by %(rule)s) out of memory
overlapping arguments and options: %(names)r params must be a list params must contain [args, options] params[0] (aka args) must be a list params[1] (aka options) must be a dict password password policies password policy password to use if not using kerberos permission permissions pkinit principal not found
principal not found in XML-RPC response
priority cannot be set on global policy priority must be a unique value (%(prio)d already used by %(gname)s) privilege privileged group privileges pysss_murmur is not available on the server and no base-id is given. range exists range modification leaving objects with ID out of the defined range is not allowed read error
realm not found
removed request failed with HTTP status %d result not found in XML-RPC response
retrieve and print all attributes from the server. Affects command output. role roles search for managed groups search for private groups search results for objects to be migrated
have been truncated by the server;
migration process might be incomplete
searchtimelimit must be -1 or > 1. seconds self service permission self service permissions service service category cannot be set to 'all' while there are allowed services services services cannot be added when service category='all' skip reverse DNS detection source hosts cannot be added when sourcehost category='all' sourcehost category cannot be set to 'all' while there are allowed sourcehosts sudo command sudo command group sudo command groups sudo commands sudo rule sudo rules the entry was deleted while being modified the value does not follow "YYYYMMDDHHMMSS" time format this option has been deprecated. too many '@' characters top level domain label must be alphabetic trust trust type trusts type of IPA object (user, group, host, hostgroup, service, netgroup) type, filter, subtree and targetgroup are mutually exclusive unable to decode csr: %s unable to determine realm undo undo all unknown command %(name)r unknown error %(code)d from %(server)s: %(error)s unsupported functional level user user category cannot be set to 'all' while there are allowed users user runAs category cannot be set to 'all' while there are users users users cannot be added when runAs user or runAs group category='all' users cannot be added when user category='all' values are not recognized as valid SIDs from trusted domain Project-Id-Version: FreeIPA
Report-Msgid-Bugs-To: https://hosted.fedoraproject.org/projects/freeipa/newticket
POT-Creation-Date: 2012-10-12 04:08-0400
PO-Revision-Date: 2012-09-16 16:36+0000
Last-Translator: Yuri Chornoivan
Language-Team: Ukrainian
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
Language: uk
Plural-Forms: nplurals=3; plural=(n%10==1 && n%100!=11 ? 0 : n%10>=2 && n%10<=4 && (n%100<10 || n%100>=20) ? 1 : 2);
Перевизначення з метою додавання у повернуте повідомлення даних щодо успіху чи невдачі.
Перевизначення з метою встановлення станів успіху та невдачі.
Додати правило автоматичної участі.
Додати умови до правила автоматичної участі.
Вилучити правило автоматичної участі.
Показати дані щодо правила автоматичної участі.
Показати дані щодо типових (резервних) груп автоматичної участі.
Стан блокування облікового запису користувача
Обліковий запис може бути заблоковано, якщо введено неправильний пароль
забагато разів протягом певного проміжку часу, який визначається правилами
роботи з паролями. Блокування облікового запису є тимчасовим станом, його
може бути розблоковано адміністратором.
Ця програма з’єднується з кожним основним вузлом IPA і показує стан
блокування на кожному з них.
Щоб визначити, чи слід блокувати обліковий запис на певному сервері, слід
виконати порівняння кількості помилкових спроб входу та час останньої
невдалої спроби з еталонними значеннями. Обліковий запис буде заблоковано,
якщо буде перевищено кількість maxfail помилкових спроб протягом проміжку
часу failinterval. Відповідні значення задаються правилами обробки паролів,
пов’язаними з обліковим записом користувача.
Зміни до лічильника помилкових спроб входу вносяться, лише коли користувач
виконує спробу увійти, тому може статися так, що обліковий запис заблоковано,
хоча час, що минув з останньої помилкової спроби, перевищує час блокування
(lockouttime), заданий правилам обробки паролів. Це означає, що користувач
може увійти до системи знову.
Змінити правило автоматичної участі.
Вилучити умови з правила автоматичної участі.
Вилучити типову (резервну) групу для невідповідних записів.
Шукати правила автоматичної участі.
Встановити типову (резервну) групу для невідповідних записів.
Розблокувати обліковий запис користувача
Обліковий запис може бути заблоковано, якщо відповідно до правил безпеки
користувач перевищить обмеження на кількість введення помилкових паролів
протягом певного часу. Запис блокується тимчасово, його може бути
розблоковано адміністратором.
Автоматичне монтування
Зберігає налаштування automount(8) для autofs(8) у IPA.
Основою налаштувань автоматичного монтування є файл налаштувань auto.master.
Це також основне місце у IPA. Декілька налаштувань auto.master можна
зберігати у окремих місцях. Місце залежить від реалізації, типовим
є місце з назвою «default». Наприклад, ви можете створити місця для
географічної області, поверху, типу тощо.
У автоматичного монтування є три основних типи об’єктів: місця, карти і ключі.
Місце визначає набір карт, прив’язаних у auto.master. За його допомогою
можна зберігати одразу декілька налаштувань автоматичного монтування. Місце
саме собою не є дуже цікавим, це просто початок нової карти автоматичного
монтування.
Карта є наближеним еквівалентом окремого файла автоматичного монтування, у
ній зберігаються ключі.
Ключ — точка монтування, пов’язана з картою.
Під час створення нового місця автоматично створюються дві карти:
auto.master і auto.direct. auto.master — коренева карта для всіх карт
автоматичного монтування місця. auto.direct — типова карта для безпосередніх
монтувань, її змонтовано до /-.
Карта автоматичного монтування може містити ключ підмонтування. Цей ключ
визначає адресу монтування у карті, що посилається на іншу карту. Такий ключ
може бути додано або за допомогою команди automountmap-add-indirect --parentmap
або вручну за допомогою automountkey-add зі встановленням info у значення
"-type=autofs :<назва карти>".
ПРИКЛАДИ:
Місця:
Створення нового місця, "Kyiv":
ipa automountlocation-add kyiv
Показ нового місця:
ipa automountlocation-show kyiv
Пошук доступних місць:
ipa automountlocation-find
Вилучення іменованого місця автоматичного монтування:
ipa automountlocation-del kyiv
Показ того, як мають виглядати карти автоматичного монтування, якщо б вони перебували у файловій системі:
ipa automountlocation-tofiles kyiv
Імпортування вже створених налаштувань до місця:
ipa automountlocation-import kyiv /etc/auto.master
Спроба імпортування зазнає невдачі, якщо буде знайдено дублікати записів.
Щоб програма працювала безперервно (з пропусканням всіх помилок),
скористайтеся параметром --continue.
Карти:
Створення карти "auto.share":
ipa automountmap-add kyiv auto.share
Показ нової карти:
ipa automountmap-show kyiv auto.share
Пошук карт у місці kyiv:
ipa automountmap-find baltimore
Створити непряму карту з auto.share як точкою підмонтування:
ipa automountmap-add-indirect baltimore --parentmap=auto.share --mount=sub auto.man
Ця команда еквівалентна до таких команд:
ipa automountmap-add-indirect baltimore --mount=/man auto.man
ipa automountkey-add baltimore auto.man --key=sub --info="-fstype=autofs ldap:auto.share"
Вилучення карти auto.share:
ipa automountmap-del kyiv auto.share
Ключі:
Створення ключа для карти auto.share у місці kyiv. Карту буде
пов’язано з раніше створеною у auto.master:
ipa automountkey-add kyiv auto.master --key=/share --info=auto.share
Створення ключа для нашої карти auto.share, змонтованого ресурсу NFS для сторінок man:
ipa automountkey-add kyiv auto.share --key=man --info="-ro,soft,rsize=8192,wsize=8192 ipa.example.com:/shared/man"
Знайти всі ключі для карти auto.share:
ipa automountkey-find kyiv auto.share
Пошук всіх безпосередніх ключів автоматичного монтування:
ipa automountkey-find kyiv --key=/-
Вилучення ключа man для карти auto.share:
ipa automountkey-del kyiv auto.share --key=man
Класи для керування довіреними приєднаннями за допомогою викликів DCE-RPC
Код цього модуля жорстко залежить від вмісту пакунка samba4-python
та обгорток для мови Python у Samba4.
Іменування
Керування іменуванням клієнтських комп’ютерів
Іменуваннями можна керувати реєстрацією за допомогою сервера іменувань
на основі імені користувача і пароля або ручним імпортуванням іменування
сертифікатів. Сертифікат іменування містить вбудовану інформацію,
зокрема іменування продукту, кількість та дати чинності.
Сервер іменування керує кількістю доступних іменувань.
Для позначення іменувань використаними сервером IPA вам слід вказати
кількість та позначити як використані сервером іменування.
Реєстрація за допомогою сервера іменувань:
ipa entitle-register consumer
Імпортування сертифіката іменування:
ipa entitle-import /home/user/ipaclient.pem
Показ поточних іменувань:
ipa entitle-status
Отримання подробиць щодо сертифікатів іменування:
ipa entitle-get
Використати декілька іменувань з сервера іменування:
ipa entitle-consume 50
Ідентифікатором реєстрації є унікальний ідентифікатор (UUID). Ідентифікатор
буде ІМПОРТОВАНО, якщо ви скористаєтеся імпортуванням іменувань.
Внесення змін до /etc/rhsm/rhsm.conf потребує перезапуску служби httpd.
Міжгрупове уповноваження
Права доступу може бути точно налаштовано. Правила керування доступом
або інструкції (ACI), надання дозволу на виконання певних завдань, зокрема
додавання користувача, внесення змін до групи тощо.
Міжгрупові уповноваження надають учасникам однієї групи можливість
оновлювати набір атрибутів учасників іншої групи.
ПРИКЛАДИ:
Додати правило уповноваження, яке надасть змогу керівникам (managers)
редагувати адреси співробітників:
ipa delegation-add --attrs=street --group=managers --membergroup=employees "managers edit employees' street"
Під час керування списком атрибутів слід включати всі атрибути списку
разом з вже створеними. Додавання до списку postalCode:
ipa delegation-mod --attrs=street,postalCode --group=managers --membergroup=employees "managers edit employees' street"
Показ нашого оновленого правила:
ipa delegation-show "managers edit employees' street"
Вилучення правила:
ipa delegation-del "managers edit employees' street"
Групи команд sudo
Керування групами команд sudo.
ПРИКЛАДИ:
Додати нову групу команд sudo:
ipa sudocmdgroup-add --desc='administrators commands' admincmds
Вилучити групу команд sudo:
ipa sudocmdgroup-del admincmds
Керування участю групи команд sudo, команди:
ipa sudocmdgroup-add-member --sudocmds=/usr/bin/less,/usr/bin/vim admincmds
Керування участю групи команд sudo, команди:
ipa group-remove-member --sudocmds=/usr/bin/less admincmds
Показ групи команд sudo:
ipa group-show localadmins
Групи вузлів.
Керування групами вузлів. Корисні для застосування керування
до декількох вузлів на основі заснованого на вузлах керування
доступом (Host-based Access Control або HBAC).
ПРИКЛАДИ:
додавання нової групи вузлів:
ipa hostgroup-add --desc="Baltimore hosts" baltimore
Додавання нової групи вузлів:
ipa hostgroup-add --desc="Maryland hosts" maryland
Додавання учасників до групи вузлів:
ipa hostgroup-add-member --hosts=box1,box2,box3 baltimore
Додавання групи вузлів як учасника іншої групи вузлів:
ipa hostgroup-add-member --hostgroups=baltimore maryland
Вилучення вузла з групи вузлів:
ipa hostgroup-remove-member --hosts=box2 baltimore
Показ списку групи вузлів:
ipa hostgroup-show baltimore
Вилучення групи вузлів:
ipa hostgroup-del baltimore
Групи служб HBAC
Групи служб HBAC можуть містити будь-яку кількість окремих служб
або «учасників». Кожна з груп повинна мати опис.
ПРИКЛАДИ:
Додавання нової групи служб HBAC:
ipa hbacsvcgroup-add --desc="login services" login
Додавання учасників до групи служб HBAC:
ipa hbacsvcgroup-add-member --hbacsvcs=sshd,login login
Показ даних щодо вказаної групи:
ipa hbacsvcgroup-show login
Додавання нової групи до групи "login":
ipa hbacsvcgroup-add --desc="switch users" login
ipa hbacsvcgroup-add-member --hbacsvcs=su,su-l login
Вилучення групи служб HBAC:
ipa hbacsvcgroup-del login
Служби HBAC
Служби PAM, якими може керувати HBAC. Назва, використана тут, має
відповідати назві служби, з якою працює PAM.
ПРИКЛАДИ:
Додати нову службу HBAC:
ipa hbacsvc-add tftp
Змінити вже створену службу HBAC:
ipa hbacsvc-mod --desc="TFTP service" tftp
Шукати служби HBAC. У нашому прикладі буде повернуто два результати
службу FTP і щойно додану службу tftp:
ipa hbacsvc-find ftp
Вилучення служби HBAC:
ipa hbacsvc-del tftp
Керування доступом на основі вузлів
Керуйте тим, хто з яких вузлів і звідки зможе отримувати доступ
до певних служб. Ви можете скористатися HBAC для визначення
користувачів і груп на вузлі походження запиту зможе отримувати
доступ до певної служби або групи служб на вузлі призначення.
Ви також можете визначити категорію користувачів, вузли призначення
та всі вузли походження. У поточній версії можливі варіанти
обмежено варіантом "all", але перелік варіантів може бути
розширено у майбутніх версіях.
Вузли призначення та вузли походження у правилах HBAC мають бути
вузлами, керованими IPA.
Доступними службами і групами служб є служби, керовані hbacsvc
та додатками hbacsvcgroup, відповідно.
ПРИКЛАДИ:
Створення правила "test1", яке надає всім користувачам доступ
до вузла "server" звідусюди:
ipa hbacrule-add --usercat=all --srchostcat=all test1
ipa hbacrule-add-host --hosts=server.example.com test1
Показ властивостей вказаного правила HBAC:
ipa hbacrule-show test1
Створення правила для певної служби. Це правило надасть користувачу john
доступ до служби sshd у будь-якій системі звідусіль:
ipa hbacrule-add --hostcat=all --srchostcat=all john_sshd
ipa hbacrule-add-user --users=john john_sshd
ipa hbacrule-add-service --hbacsvcs=sshd john_sshd
Створення правила для нової групи служб. Користувачу john
надається доступ до служби FTP у будь-якій системі звідусіль:
ipa hbacsvcgroup-add ftpers
ipa hbacsvc-add sftp
ipa hbacsvcgroup-add-member --hbacsvcs=ftp,sftp ftpers
ipa hbacrule-add --type=allow --hostcat=all --srchostcat=all john_ftp
ipa hbacrule-add-user --users=john john_ftp
ipa hbacrule-add-service --hbacsvcgroups=ftpers john_ftp
Вимикання вказаного правила HBAC:
ipa hbacrule-disable test1
Вилучення вказаного правила HBAC:
ipa hbacrule-del allow_server
Вузли/Комп’ютери
Одному вузлу відповідає один комп’ютер. Вузол може бути використано
у декількох контекстах:
- записи служб, пов’язані з вузлом;
- на вузлі зберігається реєстраційний запис служби вузла
- вузол може бути використано у правилах Host-based Access Control (HBAC);
- для кожного зареєстрованого клієнта створюється запис вузла.
РЕЄСТРАЦІЯ:
Передбачено три сценарії реєстрації нового клієнта:
1. Реєстрація повноцінного адміністратора. Відповідний запис вузла може існувати
або не існувати. Повноцінний адміністратор є учасником ролі hostadmin або
групи admins.
2. Реєстрація обмеженого адміністратора. Відповідний запис вузла вже має існувати
Обмежений адміністратор є учасником розі з правами реєстрації вузлів.
3. Створення запису вузла з одноразовим паролем.
Реєструвати вузол можна лише один раз. Якщо клієнт було зареєстровано і виникла
потреба у перереєстрації, запис вузла слід вилучити і створити повторно.
Зауважте, що повторне створення запису вузла призведе до вилучення
всіх служб вузла та відкликання всіх сертифікатів SSL, пов’язаних з цими
службами.
У записі вузла додатково можуть зберігатися дані щодо його розташування,
встановленої на ньому операційної системи тощо.
ПРИКЛАДИ:
Додавання нового вузла:
ipa host-add --location="3rd floor lab" --locality=Dallas test.example.com
Вилучення вузла:
ipa host-del test.example.com
Додавання нового вузла з одноразовим паролем:
ipa host-add --os='Fedora 12' --password=Secret123 test.example.com
Додавання нового вузла з випадковим одноразовим паролем:
ipa host-add --os='Fedora 12' --random test.example.com
Зміна даних щодо вузла:
ipa host-mod --os='Fedora 12' test.example.com
Вилучення відкритих ключів SSH вузла і оновлення DNS відповідно до внесених змін:
ipa host-mod --sshpubkey= --updatedns test.example.com
Вимикання ключа Kerberos вузла, сертифіката SSL та всіх його служб:
ipa host-disable test.example.com
Додавання вузла, який може керувати таблицею ключів і сертифікатів
цього вузла:
ipa host-add-managedby --hosts=test2 test
Дії з сертифікатами IPA
Реалізує набір команд для керування сертифікатами серверів SSL.
Запити щодо сертифікатів існують у формі Certificate Signing Request (CSR)
і форматі PEM.
Якщо використовується автопідписний модуль, призначення CSR має збігатися
з призначенням на сервері. Служба сертифікації використовує лише CN
CSR і примусово визначає призначення.
Сертифікат зберігається з реєстраційним записом, а реєстраційний запис
потребує вузла.
Для того, щоб створити запит щодо сертифіката:
* Вузол має існувати
* Служба має існувати (або слід скористатися параметром --add для
автоматичного додавання)
ПРИКЛАДИ:
Створити запит щодо нового сертифіката і додати реєстраційний запис:
ipa cert-request --add --principal=HTTP/lion.example.com example.csr
Отримати вже створений сертифікат:
ipa cert-show 1032
Відкликати сертифікат (причини визначено у RFC 5280):
ipa cert-revoke --revocation-reason=6 1032
Вилучити сертифікат зі списку відкликання:
ipa cert-remove-hold 1032
Перевірити стан запиту щодо підписування:
ipa cert-status 10
У поточній версії IPA негайно виконує (або відхиляє) всі запити щодо
сертифікатів, отже дані щодо стану запиту не мають сенсу. Ці дані
можуть знадобитися у наступних версіях або у разі, якщо CA видає
сертифікат не одразу.
Передбачено підтримку таких причин відкликання:
* 0 - unspecified
* 1 - keyCompromise
* 2 - cACompromise
* 3 - affiliationChanged
* 4 - superseded
* 5 - cessationOfOperation
* 6 - certificateHold
* 8 - removeFromCRL
* 9 - privilegeWithdrawn
* 10 - aACompromise
Зауважте, що коди причини 7 не використовується. Докладніші дані у RFC 5280:
http://www.ietf.org/rfc/rfc5280.txt
Параметри pkinit Kerberos
Вмикання або вимикання анонімного pkinit за допомогою реєстраційного
запису WELLKNOWN/ANONYMOUS@REALM. Має бути встановлено сервер з
підтримкою pkinit.
ПРИКЛАДИ:
Вмикання анонімного pkinit:
ipa pkinit-anonymous enable
Вимикання анонімного pkinit:
ipa pkinit-anonymous disable
Щоб дізнатися більше про анонімний pkinit відвідайте цю сторінку:
http://k5wiki.kerberos.org/wiki/Projects/Anonymous_pkinit
Правила квитків Kerberos
Передбачено єдині правила квитків Kerberos. Ці правила визначають
максимальний строк дії квитка та максимальний вік оновлення, період,
протягом якого квиток можна поновити.
Крім того, ви можете створити правила для окремих користувачів
шляхом визначення імені користувача.
Щоб зміни у загальних правилах набули чинності, слід перезапустити
службу KDC. Це можна зробити за допомогою такої команди:
service krb5kdc restart
Зміни у окремих правилах для користувачів набудуть чинності негайно
для квитків нових запитів (наприклад, у відповідь на наступний
запуск користувачем kinit).
ПРИКЛАДИ:
Показ поточних правил квитків Kerberos:
ipa krbtpolicy-show
Відновити типові правила:
ipa krbtpolicy-reset
Зміна правил на 8-годинний строк дії, 1-денний строк поновлення:
ipa krbtpolicy-mod --maxlife=28800 --maxrenew=86400
Показ поточних правил квитків Kerberos для користувача «admin»:
ipa krbtpolicy-show admin
Відновити окремі правила для користувача «admin»:
ipa krbtpolicy-reset admin
Зміна окремих правил для користувача «admin»:
ipa krbtpolicy-mod admin --maxlife=3600
Перехід на IPA
Перенесення користувачів і груп з сервера LDAP на IPA.
Надсилає запит LDAP до віддаленого сервера з метою пошуку користувачів
і груп у контейнері. З метою перенесення паролів вам слід прив’язатися
до сервера від імені користувача, який може читати атрибут userPassword
на сервері. Перелік таких користувачів зазвичай обмежено адміністраторами
вищого рівня, зокрема cn=Directory Manager на 389-ds (типовий користувач
bind).
Типовим контейнером користувачів є ou=People.
Типовим контейнером груп є ou=Groups.
Записи користувачів і груп, які вже створено на сервері IPA буде
пропущено.
Дві схеми LDAP визначають спосіб зберігання записів учасників групи:
RFC2307 і RFC2307bis. RFC2307bis використовує атрибути member і
uniquemember для визначення учасників групи, RFC2307 використовує
memberUid. Типовою є схема RFC2307bis.
За допомогою додатка compat IPA може повторно форматувати дані для систем,
де не передбачено підтримки RFC2307bis. Рекомендується вимикати цей додаток
під час перенесення, щоб зменшити навантаження на систему. Ви зможете
увімкнути його після перенесення. Щоб перенести дані з увімкненим додатком
скористайтеся параметром «--with-compat».
Перенесені користувачі не матимуть реєстраційних записів Kerberos,
перенесено буде лише пароль LDAP. Щоб завершити процес перенесення,
користувачам слід відкрити сторінку
http://ipa.example.com/ipa/migration і пройти розпізнавання за
допомогою пароля LDAP з метою створення запису реєстраційних даних
Kerberos.
Типово перенесення вимкнено. Для його вмикання скористайтеся командою
ipa config-mod:
ipa config-mod --enable-migration=TRUE
Якщо основний DN не буде надано за допомогою --basedn, IPA використовуватиме
значення defaultNamingContext, якщо його встановлено, або перше значення у
наборі namingContexts у кореневій теці віддаленого сервера LDAP.
ПРИКЛАДИ:
Найпростіше перенесення з типовими параметрами:
ipa migrate-ds ldap://ds.example.com:389
Визначення контейнерів користувача і групи. Можна скористатися для
перенесення даних користувача і групи з сервера IPA версії 1:
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Оскільки на сервері IPA версії 2 вже передбачено попередньо
визначені групи, які можуть збігатися з групами, які переносяться з
сервера (IPA версії 1), наприклад admins, ipausers, користувачів з
таких груп може бути перенесено до невідомої (unknown) групи на
новому сервері IPA версії 2.
Скористайтеся параметром --group-overwrite-gid для перезапису
ідентифікатора групи вже створених груп для запобігання цій
незручності:
ipa migrate-ds --group-overwrite-gid \
--user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
ldap://ds.example.com:389
Перенесені дані користувачів та груп можуть містити класи об’єктів та супутні
атрибути, невідомі серверу IPA версії 2. Ці класти об’єктів та атрибутів
може бути виключено з процедури перенесення даних:
ipa migrate-ds --user-container='cn=users,cn=accounts' \
--group-container='cn=groups,cn=accounts' \
--user-ignore-objectclass=radiusprofile \
--user-ignore-attribute=radiusgroupname \
ldap://ds.example.com:389
Інші додатки
Мережеві групи
Мережева група — група для перевірки прав доступу. Може містити значення
користувачів та вузлів.
ПРИКЛАДИ:
Додавання нової мережевої групи:
ipa netgroup-add --desc="NFS admins" admins
Додавання учасників до мережевої групи:
ipa netgroup-add-member --users=tuser1,tuser2 admins
Вилучення користувача з мережевої групи:
ipa netgroup-remove-member --users=tuser2 admins
Показ даних щодо мережевої групи:
ipa netgroup-show admins
Вилучення мережевої групи:
ipa netgroup-del admins
Правила паролів
Правила паролів встановлюють обмеження щодо використання паролів IPA,
зокрема максимальний строк дії, мінімальний строк дії, кількість паролів,
які зберігатимуться у журналі, потрібна кількість класів символів (для
складних паролів) та мінімальну довжину пароля.
Типово, визначено одні загальні правила для всіх користувачів. Ви можете
створити правило паролів, яке стосуватиметься однієї групи. Для одного
користувача може бути використано лише один набір правил паролів: груповий
або загальний. Групові правила паролів є незалежними, вони не є загальними
правилами з додаванням нетипових параметрів.
Для кожного набору групових правил паролів має бути встановлено окреме
значення пріоритету. Якщо користувач є учасником декількох груп, для яких
встановлено правила паролів, пріоритет визначає, які з правил має бути
застосовано. Менші значення відповідають вищому пріоритету правил.
Групові правила паролів автоматично вилучаються під час вилучення
відповідних груп.
ПРИКЛАДИ:
Внесення змін до загальних правил:
ipa pwpolicy-mod --minlength=10
Додавання нових групових правил паролів:
ipa pwpolicy-add --maxlife=90 --minlife=1 --history=10 --minclasses=3 --minlength=8 --priority=10 localadmins
Показ загальних правил паролів:
ipa pwpolicy-show
Показ групових правил паролів:
ipa pwpolicy-show localadmins
Показ правил, які має бути застосовано до певного користувача:
ipa pwpolicy-show --user=tuser1
Внесення змін до групових правил паролів:
ipa pwpolicy-mod --minclasses=2 localadmins
Права доступу
Права доступу надають змогу точно налаштувати уповноваження. Права доступу
визначаються звичайним текстом у форматі правила керування доступом 389-ds
або інструкції (ACI). Права доступу надають можливість виконувати певне
завдання, зокрема додавання запису користувача, внесення змін до запису
групи.
Права доступу можуть містити інші права доступу.
* Право доступу надає доступ до читання, запису, додавання або вилучення.
* Уповноваження поєднують у собі подібні права доступу (наприклад всі
права доступу, потрібні для додавання запису користувача).
* Роль надає користувачам, групам, вузлам або групам вузлів певний набір
уповноважень.
Право доступу складається з декількох різних частин:
1. Назви права доступу.
2. Призначення права доступу.
3. Прав, які надаються.
Права визначають набір дозволених дій і можуть складатися з одного або
декількох таких записів:
1. write — запис одного або декількох атрибутів
2. read — читання одного або декількох атрибутів
3. add — додавання нового запису до ієрархії
4. delete — вилучення вже створеного запису
5. all — надання всіх прав доступу
Типово, право доступу до читання надається для більшості атрибутів, отже
право доступу «read» не використовуватиметься часто.
Зауваження щодо відмінностей між атрибутами та записами. Права доступу
є незалежними, отже можливість додавання запису користувача не означає
можливості вносити зміни до доданого запису.
Передбачено декілька можливих цілей:
1. type: тип об’єкта (user, group тощо).
2. memberof: учасник групи користувачів або вузлів
3. filter: фільтр LDAP
4. subtree: фільтр LDAP, що визначає частину DIT LDAP DIT. Надмножина
цілі «type».
5. targetgroup: надати доступ до внесення змін до запису певної групи
(зокрема до керування участю у групі)
ПРИКЛАДИ:
Додавання права доступу до створення записів користувачів:
ipa permission-add --type=user --permissions=add "Add Users"
Додавання права доступу до можливості керування участю у групі:
ipa permission-add --attrs=member --permissions=write --type=group "Manage Group Members"
Перевірка віддаленого сервера IPA з метою переконатися, що він є працездатним.
Програма ping надсилає луна-запит до сервера IPA. Сервер повертає
дані щодо його версії. Ці дані використовуються клієнтом IPA
для підтвердження, що сервер є доступним і що він приймає запити.
Сервер з xmlrpc_uri у /etc/ipa/default.conf перевіряється першим.
Якщо він не відповідає, клієнт намагається встановити зв’язок з
будь-яким сервером, визначеним записами SRV ldap у DNS.
ПРИКЛАДИ:
Перевірити луна-імпульсом сервер IPA:
ipa ping
------------------------------------------
Сервер IPA версії 2.1.9. Версія API 2.20
------------------------------------------
Перевірити луна-імпульсом сервер IPA і отримати докладні дані:
ipa -v ping
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'ping' to server u'https://ipa.example.com/ipa/xml'
-----------------------------------------------------
Сервер IPA версії 2.1.9. Версія API 2.20
-----------------------------------------------------
Уповноваження
Уповноваження поєднує права доступу у одне логічне завдання. Право доступу
надає можливість виконувати лише одне завдання. У IPA є декілька дій,
виконання яких потребує одразу декількох прав доступу. В уповноваженні такі
права доступу поєднуються з метою виконання певної дії.
Наприклад, додавання запису користувача потребує таких прав доступу:
* право створення запису користувача;
* право скидання пароля користувача;
* право додавання користувача до типової групи користувачів IPA.
Поєднання цих трьох низькорівневих завдань у високорівневе завдання у
форматі уповноваження з назвою «Add User» полегшує керування ролями.
Уповноваження не може містити інших уповноважень.
Щоб дізнатися більше, ознайомтеся з довідною щодо ролей та прав доступу.
Ролі
Роль використовується для уточнення налаштування прав доступу. Право доступу
надає можливість виконувати деякі низькорівневі завдання (додавання запису
користувача, внесення змін до групи тощо). Уповноваження поєднують одне або декілька
прав доступу у високорівневу абстракцію, наприклад «адміністратор користувачів»
(useradmin). Такий useradmin зможе додавати, вилучати і вносити зміни до записів
користувачів.
Уповноваження пов’язуються з ролями.
Учасниками ролі можуть бути користувачі, групи, вузли та групи вузлів.
Ролі можуть містити інші ролі.
ПРИКЛАДИ:
Додавання нової ролі:
ipa role-add --desc="Junior-level admin" junioradmin
Додавання уповноважень до цієї ролі:
ipa role-add-privilege --privileges=addusers junioradmin
ipa role-add-privilege --privileges=change_password junioradmin
ipa role-add-privilege --privileges=add_user_to_default_group junioradmin
Додавання користувачів до цієї ролі:
ipa group-add --desc="User admins" useradmins
ipa role-add-member --groups=useradmins junioradmin
Показ даних щодо ролі:
ipa role-show junioradmin
Результатом виконання команд буде те, що всі користувачі групи «useradmins»
зможуть додавати записи користувачів, скидати паролі або додавати користувача
до типової групи користувачів IPA.
Встановлення відповідності користувачів SELinux
Встановити відповідність користувачів IPA користувачам SELinux за вузлами.
Вузли, групи вузлів, користувачі і групи можна визначати або
в межах правила, або може вказувати на вже створене правило HBAC.
У разі використання параметра --hbacrule команди selinuxusermap-find
буде встановлено точну відповідність за назвою правила HBAC, отже буде
повернуто один або жодного запису.
ПРИКЛАДИ:
Створення правила, «test1», яке встановлює всіх користувачів у xguest_u:s0 на вузлі «server»:
ipa selinuxusermap-add --usercat=all --selinuxuser=xguest_u:s0 test1
ipa selinuxusermap-add-host --hosts=serverexample.com test1
Створення правила, "test2", яке встановлює всіх користувачів у guest_u:s0 і використовує вже створене правило HBAC для користувачів і вузлів:
ipa selinuxusermap-add --usercat=all --hbacrule=webserver --selinuxuser=guest_u:s0 test2
Показ властивостей правил:
ipa selinuxusermap-show test2
Створення правила для певного користувача. Встановлює контекст SELinux для користувача
john у unconfined_u:s0-s0:c0.c1023 на всіх комп’ютерах:
ipa selinuxusermap-add --hostcat=all --selinuxuser=unconfined_u:s0-s0:c0.c1023 john_unconfined
ipa selinuxusermap-add-user --users=john john_unconfined
Вимикання правила:
ipa selinuxusermap-disable test1
Увімкнення правила:
ipa selinuxusermap-enable test1
Пошук правила, що посилається на певне правило HBAC:
ipa selinuxusermap-find --hbacrule=allow_some
Вилучення правила:
ipa selinuxusermap-del john_unconfined
ТАКОЖ ОЗНАЙОМТЕСЯ:
Застосовується список, який визначає порядок, у якому встановлюється
відповідність користувачів. Типового користувача можна за допомогою
програми config-show.
Права доступу самообслуговування
Права доступу надають змогу точно налаштувати уповноваження. За допомогою
правил керування доступом та інструкцій (ACI) надаються права доступу до
виконання вказаних завдань, зокрема додавання записів користувачів,
внесення змін до записів груп тощо.
Права доступу самообслуговування визначають права об’єкта на внесення змін
до власного запису.
ПРИКЛАДИ:
Додавання правила самообслуговування для уможливлення керування користувачами
власною адресою:
ipa selfservice-add --permissions=write --attrs=street,postalCode,l,c,st "Users manage their own address"
Якщо ви керуєте списком атрибутів, вам слід включити до списку всі атрибути,
зокрема вже створені. Додавання telephoneNumber до списку:
ipa selfservice-mod --attrs=street,postalCode,l,c,st,telephoneNumber "Users manage their own address"
Показ нашого оновленого правила:
ipa selfservice-show "Users manage their own address"
Вилучення правила:
ipa selfservice-del "Users manage their own address"
Налаштування сервера
Керування типовими значеннями, які використовує IPA, та деякими з
придатних до зміни параметрів.
ЗАУВАЖЕННЯ:
Тут зберігається значення параметра сповіщення щодо паролів
(--pwdexpnotify), отже його не буде скопійовано. Це значення поки що
не використовується для сповіщення користувачів щодо завершення строку дії
пароля.
Деякі з атрибутів придатні лише для читання, їх буде показано лише з метою
інформування. Серед цих атрибутів:
Основа призначення сертифіката: змінна основа призначення сертифіката,
наприклад O=EXAMPLE.COM. Цей атрибут можна налаштувати лише під час
встановлення.
Параметри додатка роботи з паролями: у поточній версії визначають додаткові
хеші, які створюються на основі пароля (можуть бути і інші умови).
Під час встановлення списку пріоритетності для користувачів SELinux може виникнути
потреба у додаванні лапок до значення, щоб оболонка не обробляла параметр.
ПРИКЛАДИ:
Показати основні налаштування сервера:
ipa config-show
Показати всі параметри налаштування:
ipa config-show --all
Змінити максимальну довжину імені користувача на 99 символів:
ipa config-mod --maxusername=99
Збільшити типовий час і максимальне обмеження на розмір пошуку
сервера IPA:
ipa config-mod --searchtimelimit=10 --searchrecordslimit=2000
Встановити типовий домен електронної пошти користувачів:
ipa config-mod --emaildomain=example.com
Увімкнути режим перенесення, щоб зробити команду "ipa migrate-ds"
працездатною:
ipa config-mod --enable-migration=TRUE
Визначити пріоритетність користувачів у карті SELinux:
ipa config-mod --ipaselinuxusermaporder='guest_u:s0$xguest_u:s0$user_u:s0-s0:c0.c1023$staff_u:s0-s0:c0.c1023$unconfined_u:s0-s0:c0.c1023'
Встановлення пароля користувача
Якщо якась стороння особа змінює пароль користувача (наприклад його
відновлює допоміжний персонал), новий пароль має бути змінено під
час його першого використання. Метою такого способу дій є забезпечення
ситуації, коли пароль буде відомий лише тому, хто ним користується.
Правила щодо паролів IPA керують частотою зміни пароля, вимогами щодо
складності пароля та об’ємом журналу зміни паролів.
ПРИКЛАДИ:
Щоб скинути ваш власний пароль, виконайте команду:
ipa passwd
Щоб змінити пароль іншого користувача, виконайте команду:
ipa passwd tuser1
Імітація використання керування доступом на основі вузлів (HBAC)
Правила HBAC керують тим, хто може отримувати доступ до певних служб на
певних вузлах та звідки він може це робити.
Ви можете скористатися HBAC для керування тим, які користувачі або групи
на початковому вузлі можуть отримувати доступ до служби або групи служб
на вузлі призначення.
Оскільки застосування правил HBAC передбачає використання робочого
середовища, це додаток призначено для імітації обробки правил HBAC без
доступу до реального середовища.
Перевірити відповідність користувача з початкового вузла до служби на іменованому
вузлі правилам уможливлення доступу.
ipa hbactest --user= --host= --service=
[--rules=rules-list] [--nodetail] [--enabled] [--disabled]
[--srchost= ] [--sizelimit= ]
--user, --host і --service є обов’язковими, інші можна не вказувати.
Якщо вказано --rules, імітувати вмикання вказаних правил і перевірити
можливість входу користувача у разі використання лише цих правил.
Якщо вказано --enabled, додати всі увімкнені правила HBAC до імітації
Якщо вказано --disabled, додати всі вимкнені правила HBAC до імітації
Якщо вказано --nodetail, не повертати даних щодо відповідних і невідповідних
правил.
Якщо вказано одночасно --rules і --enabled, виконати імітацію --rules _і_
всіх увімкнених правил IPA.
Якщо не вказано --rules, буде виконано імітацію всіх увімкнених правил IPA.
Якщо вказано --srchost, параметр буде проігноровано. Цей параметр передбачено
лише з метою сумісності з попередніми версіями.
ПРИКЛАДИ:
1. Використання всіх увімкнених правил HBAC у базі даних IPA:
$ ipa hbactest --user=a1a --srchost=foo --host=bar --service=sshd
--------------------
Надано доступ: Так
--------------------
невідповідне: my-second-rule
невідповідне: my-third-rule
невідповідне: myrule
відповідне: allow_all
2. Вимикання докладного резюме застосування правил:
$ ipa hbactest --user=a1a --host=bar --service=sshd --nodetail
--------------------
Надано доступ: Так
--------------------
3. Перевірити явно вказані правила HBAC:
$ ipa hbactest --user=a1a --host=bar --service=sshd --rules=my-second-rule,myrule
---------------------
Надано доступ: Ні
---------------------
невідповідне: my-second-rule
невідповідне: myrule
4. Використання всіх увімкнених правил HBAC у базі даних IPA + явно вказаних правил:
$ ipa hbactest --user=a1a --host=bar --service=sshd --rules=my-second-rule,myrule --enabled
--------------------
Доступ надано: Так
--------------------
невідповідне: my-second-rule
невідповідне: my-third-rule
невідповідне: myrule
відповідне: allow_all
5. Перевірка всіх вимкнених правил HBAC у базі даних IPA:
$ ipa hbactest --user=a1a --host=bar --service=sshd --disabled
---------------------
Надано доступ: Ні
---------------------
невідповідне: new-rule
6. Перевірка всіх вимкнених правил HBAC у базі даних IPA + явно вказані правила:
$ ipa hbactest --user=a1a --host=bar --service=sshd --rules=my-second-rule,myrule --disabled
---------------------
Надано доступ: Ні
---------------------
невідповідне: my-second-rule
невідповідне: my-third-rule
невідповідне: myrule
7. Перевірка всіх (увімкнених і вимкнених) правил HBAC у базі даних IPA:
$ ipa hbactest --user=a1a --host=bar --service=sshd --enabled --disabled
--------------------
Надано доступ: Так
--------------------
невідповідне: my-second-rule
невідповідне: my-third-rule
невідповідне: myrule
невідповідне: new-rule
відповідне: allow_all
Команди sudo
Команди, використані як будівельні блоки для sudo
ПРИКЛАДИ:
Створення запису команди
ipa sudocmd-add --desc='Читання файлів журналу' /usr/bin/less
Вилучення команди
ipa sudocmd-del /usr/bin/less
Було вимкнено ${count} записів Було увімкнено ${count} записів Параметри ${primary_key} ${entity} Оновлено ${primary_key} ${entity} ${entity} успішно додано ${primary_key} міститься у: ${primary_key} керується: Учасники ${primary_key}: %(attr)s не містить «%(value)s» %(attr)s: некоректний синтаксис. %(attr)s: можна використовувати лише одне значення. Пошуком LDAP у %(container)s не повернуто жодного результату (основа пошуку: %(search_base)s, клас об’єктів: %(objectclass)s) Пропущено %(count)d %(type)s запис. Одночасно можна змінювати лише одне значення на тип запису DNS. Пропущено %(count)d %(type)s записи. Одночасно можна змінювати лише одне значення на тип запису DNS. Пропущено %(count)d %(type)s записів. Одночасно можна змінювати лише одне значення на тип запису DNS. встановлено відповідність %(count)d ACI встановлено відповідність %(count)d ACI встановлено відповідність %(count)d ACI встановлено відповідність %(count)d правила HBAC встановлено відповідність %(count)d правил HBAC встановлено відповідність %(count)d правил HBAC встановлено відповідність %(count)d групи служб HBAC встановлено відповідність %(count)d груп служб HBAC встановлено відповідність %(count)d груп служб HBAC встановлено відповідність %(count)d служби HBAC встановлено відповідність %(count)d служб HBAC встановлено відповідність %(count)d служб HBAC встановлено відповідність %(count)d карти користувачів SELinux встановлено відповідність %(count)d карт користувачів SELinux встановлено відповідність %(count)d карт користувачів SELinux встановлено відповідність %(count)d групи команд sudo встановлено відповідність %(count)d груп команд sudo встановлено відповідність %(count)d груп команд sudo встановлено відповідність %(count)d команд sudo встановлено відповідність %(count)d команд sudo встановлено відповідність %(count)d команд sudo встановлено відповідність %(count)d правила sudo встановлено відповідність %(count)d правил sudo встановлено відповідність %(count)d правил sudo встановлено відповідність %(count)d ключа автоматичного монтування встановлено відповідність %(count)d ключі автоматичного монтування встановлено відповідність %(count)d ключів автоматичного монтування встановлено відповідність %(count)d місця автоматичного монтування встановлено відповідність %(count)d місця автоматичного монтування встановлено відповідність %(count)d місць автоматичного монтування встановлено відповідність %(count)d карти автоматичного монтування встановлено відповідність %(count)d карти автоматичного монтування встановлено відповідність %(count)d карт автоматичного монтування встановлено відповідність %(count)d уповноваження встановлено відповідність %(count)d уповноваження встановлено відповідність %(count)d уповноважень встановлено відповідність %(count)d групи встановлено відповідність %(count)d груп встановлено відповідність %(count)d груп встановлено відповідність %(count)d вузла встановлено відповідність %(count)d вузлів встановлено відповідність %(count)d вузлів встановлено відповідність %(count)d групи вузлів встановлено відповідність %(count)d груп вузлів встановлено відповідність %(count)d груп вузлів встановлено відповідність %(count)d групи встановлено відповідність %(count)d груп встановлено відповідність %(count)d груп встановлено відповідність %(count)d запису встановлено відповідність %(count)d записів встановлено відповідність %(count)d записів завантажено %(count)d додаток завантажено %(count)d додатки завантажено %(count)d додатків встановлено відповідність %(count)d уповноваження встановлено відповідність %(count)d уповноваження встановлено відповідність %(count)d уповноважень встановлено відповідність %(count)d діапазону встановлено відповідність %(count)d діапазонів встановлено відповідність %(count)d діапазонів встановлено відповідність %(count)d ролі встановлено відповідність %(count)d ролей встановлено відповідність %(count)d ролей встановлено відповідність %(count)d правила встановлено відповідність %(count)d правил встановлено відповідність %(count)d правил встановлено відповідність %(count)d самообслуговування встановлено відповідність %(count)d самообслуговування встановлено відповідність %(count)d самообслуговувань встановлено відповідність %(count)d служби встановлено відповідність %(count)d служб встановлено відповідність %(count)d служб встановлено відповідність %(count)d запису довіри встановлено відповідність %(count)d записів довіри встановлено відповідність %(count)d записів довіри встановлено відповідність %(count)d користувача встановлено відповідність %(count)d користувачів встановлено відповідність %(count)d користувачів %(count)d змінних Клієнт %(cver)s є несумісним з сервером %(sver)s на %(server)r %(desc)s: %(info)s Помилка %(host)s Помилка %(host)s: %(error)s %(info)s %(key)s неможливо вилучити, оскільки він потрібен для %(dependent)s %(label)s %(key)s не може бути вилучено або вимкнено, оскільки він є останнім у %(container)s %(label)s Слід вказати %(name)r Типовий атрибут %(obj)s, %(attr)s, не буде дозволено! %(oname)s з назвою «%(pkey)s» вже існує %(parent)s: не знайдено %(oname)s %(pkey)s: не знайдено %(oname)s %(port)s не є чинним портом %(reason)s %(user)s не є користувачем з групи POSIX Запис %s %s не є коректним атрибутом. Запис %s «${port}» не є коректним визначенням порту «%(entry)s» не містить сертифіката. «%(required)s» має бути порожнім, якщо вказано «%(name)s» «%s» є обов’язковою частиною запису DNS (докладніше про це у RFC %s) . Перевірте ідентифікатор вже створеної групи. Скористайтеся параметром --group-overwrite-gid для перезапису ідентифікатора групи 7 не є коректною причиною відкликання - У прикладах використано базу даних NSS, розташовану у поточному каталозі. Замініть «-d .» у прикладає на «-d /шлях/до/бази/даних», якщо база даних NSS зберігається у іншому місці. Якщо у вас немає бази даних NSS, ви можете створити її у поточному каталозі за допомогою команди «certutil -N -d .»
- Створіть CSR з «CN=${hostname},O=${realm}», приклад:
# certutil -R -d . -a -g 2048 -s 'CN=${hostname},O=${realm}' - Скопіюйте і вставте CSR (текстовий блок, що починається з «-----BEGIN NEW CERTIFICATE REQUEST-----» і завершується «-----END NEW CERTIFICATE REQUEST-----») нижче:
Права доступу SYSTEM не можна змінювати Права доступу SYSTEM не можна вилучати Відокремлений комами список полів, за якими виконуватиметься пошук груп Відокремлений комами список полів, за якими виконуватиметься пошук користувачів Опис цього правила автоматичної участі Опис цієї команди Опис цього вузла Опис цієї групи вузлів Опис цієї групи ролей Словник, що відповідає запису LDAP Група не може бути елементом самої себе Групу не може бути додано як елемент самої себе Вузол, який може працювати як обмінник ключів Вузол, який може працювати як обмінник поштовими даними Назва вузла на яку вказує цей псевдонім вузла Список значень ACI Список записів LDAP Список переспрямовувачів загального рівня. Для кожного переспрямовувача можна вказати нетиповий порт за допомогою стандартного формату: «IP_АДРЕСА port ПОРТ» Список переспрямовування для окремих зон. Для кожного переспрямовувача можна вказати нетиповий порт за допомогою стандартного формату: «IP_АДРЕСА port ПОРТ» У керованої групи не може бути власних правил для паролів. Під час перевірки виявлено проблему, всі записи учасників %(verb)s: %(exc)s Рядок, пошук якого відбуватиметься у всіх відповідних атрибутах об’єктів Компрометація AA ACI Назва ACI префікс ACI Слід вказати префікс ACI Не знайдено ACI з назвою «%s» ACI Налаштування довіри AD Контролер домену AD Доступ заборонено Надано доступ Надано доступ: %s Доступ до цього вузла Час доступу Доступ Обліковий запис Параметри облікового запису Стан облікового запису Обліковий запис вимкнено Обліковий запис вимкнено: %(disabled)s Дії Домен Active Directory Адміністратор домену Active Directory Діапазон доменів Active Directory Активна зона Додати Додати ${entity} Додати ${entity} ${primary_key} до ${other_entity} Додати ${other_entity}, керування ${entity} ${primary_key} Додати ${other_entity} до ${entity} ${primary_key} Додано дозвіл ${other_entity} до ${entity} ${primary_key} Додати умову до ${pkey} Додано заборону ${other_entity} до ${entity} ${primary_key} Додати багато Додати права доступу Додати правило Додати ${other_entity} запуск від імені до ${entity} ${primary_key} Додати групи запуску від імені до ${entity} ${primary_key} Додати ${other_entity} джерела до ${entity} ${primary_key} Додати нову групу служб HBAC. Додати нову службу HBAC. Додати нову службу IPA. Додати нове уповноваження. Додати нову групу правил для паролів. Додати новий запис вузла. Додати нову групу вузлів. Додати нову мережеву групу. Додати нові права доступу. Додати нове уповноваження. Додати нову роль. Додати нові права доступу автослужби. Додати нового користувача. Додати права доступу до надання доступу до окремих зон. Додати системні права доступу без ACI Додати пару атрибут/значення. Формат: атрибут=значення. Атрибут має бути
частиною схеми. Додати пункт до правила sudo. Додати і додати ще Додати і закрити Додати і змінити Додати команди і групи команд sudo, яких стосується правило sudo. Додати групу виконання до запису sudo. Додати вузли та групи вузлів, яких стосується правило sudo. Додати записи вузлів, які можуть керувати цим вузлом. Додати вузли, які можуть керувати цією службою. Додати учасників до групи команд sudo. Додати учасників до групи. Додати записи до групи вузлів. Додати учасників до мережевої групи. Додати учасників до запису уповноваження. Додати учасників до запису ролі. Додати учасників до групи служб HBAC. Додати новий запис ресурсу DNS. Додати новий запис довіри для використання Додати права доступу до уповноваження. Додати уповноваження до запису ролі. Додати служби до правила HBAC. Додати початкові вузли та групи вузлів з правила HBAC. Додати вузли призначення та групи вузлів до правила HBAC. Додати вузли призначення та групи вузлів до правила карти користувачів SELinux. Додати запис вузла до DNS з цією IP-адресою Додати запис сервера назв до DNS з цією IP-адресою Додати записи користувачів та груп, яких стосується правило sudo. Додати користувачів та групи для виконання команд sudo від їхнього імені. Додати користувачів та групи до правила HBAC. Додати користувачів і групи до правила карти користувачів SELinux. Додано запис довіри Active Directory для області «%(value)s» Додано правило HBAC «%(value)s» Додано службу HBAC «%(value)s» Додано групу служб HBAC «%(value)s» Додано діапазон ідентифікаторів «%(value)s» Додано карту користувачів SELinux «%(value)s» Додано команду sudo «%(value)s» Додано групу команд sudo «%(value)s» Додано правило sudo «%(value)s» Додано правило автоматичної участі «%(value)s» Додано опосередковану карту автоматичного монтування «%(value)s» Додано ключ автоматичного монтування «%(value)s» Додано місце автоматичного монтування «%(value)s» Додано карту автоматичного монтування «%(value)s» Додано умови до «%(value)s» Додано уповноваження «%(value)s» Додано групу «%(value)s» Додано вузол «%(value)s» Додано групу вузлів «%(value)s» Додано групу мережеву групу «%(value)s» До правила sudo «%(rule)s» додано параметр «%(option)s» Додано права доступу «%(value)s» Додано уповноваження «%(value)s» Додано роль «%(value)s» Додано самообслуговування «%(value)s» Додано службу «%(value)s» Додано системні права доступу «%(value)s» Додано користувача «%(value)s» Адреса є некоректною. Переспрямування неможливе. Адміністративний обліковий запис Адреса електронної пошти адміністратора Змінено місце роботи Алгоритм Виконання всіх команд має призводити до якогось результату Дозволити Дозволити PTR-синхронізацію Дозволити додавання зовнішніх учасників поза IPA з довірених доменів Дозволити динамічні оновлення. Дозволити запит Дозволити синхронізацію прямих (A, AAAA) і зворотних (PTR) записів Дозволити у зоні синхронізацію прямих (A, AAAA) і зворотних (PTR) записів Дозволити перенесення Уможливлює перенесення, незважаючи на використання додатка compat Вже зареєстровано Висота Основний вузол IPA не можна вилучати або вимикати Під час спроби отримання даних щодо зон DNS сталася помилка. Інтервал між двома регулярними сеансами отримання даних з сервера назв для нових зон DNS Будь-яка команда Будь-яка група Будь-який вузол Будь-яка служба Будь-хто Застосувати Застосувати ACI до вашого власного запису (self) Ви справді бажаєте виконати щодо користувача дію «${action}»?
Зміни буде внесено негайно. Ви справді хочете вилучити ${object} Ви справді бажаєте вилучити позначені записи? Ви справді хочете вимкнути ${object} Ви справді хочете вимкнути позначені записи? Ви справді хочете увімкнути ${object} Ви справді бажаєте увімкнути позначені записи? Ви справді хочете виконати цю дію? Ви справді бажаєте скасувати передбачення цього вузла? Ви справді бажаєте скасувати передбачення цієї служби? Від імені Запитати невипадковий пароль, який слід використати для реєстраційного запису Слід вказати принаймні домен або IP-адресу Атрибут Ключ атрибута Атрибут для фільтрування за формальним виразом. Приклад: fqdn для вузла або manager для користувача Атрибути Аудит Основний сервер назв Назва домену основного сервера назв Правило автоматичної участі Автоматичну участь не налаштовано Правило автоматичної участі: %s не знайдено! Автоматична участь Правило автоматичної участі Автоматичне монтування Ключ автомонтування Ключі автомонтування Запис автомонтування Параметри запису автомонтування Записи автомонтування Карта автомонтування Карти автоматичного монтування Назва ключа автоматичного монтування. Об’єкт ключа автоматичного монтування. Адреса автомонтування. Назва карти автоматичного монтування. Основний файл automount. Доступний Правила оновлення BIND Назад Повернутися до початку Помилковий формат кешу реєстраційних даних Помилковий або непідтримуваний тип солі (salt).
Помилковий фільтр пошуку %(info)s Кореневий DN Основний DN на віддаленому сервері LDAP Основа ID Основа для створення записів об’єктів сертифікації (OU=Test,O=Example) Сертифікат сервера у кодуванні Base-64 Помилка декодування Base64: %(reason)s DN для прив'язки Невдала спроба прив’язки: %s
У разі використання прив’язки DN слід вказати пароль прив’язки.
Вбудовані команди: Компрометація CA Об’єкт реєстраційних даних CIFS Ваші реєстраційні дані відхилено сервером CIFS %(host)s Помилка обміну даними з сервером CIFS: код «%(num)s»,
повідомлення «%(message)s» (обидва значення можуть бути «None») Ваші реєстраційні дані відхилено сервером CIFS Записом CNAME не можна користуватися разом з будь-якими іншими записами, окрім PTR CSR Скасувати Не вдалося створити зворотний запис для «%(value)s»: %(exc)s Не вдалося встановити LSA-з’єднання з %(host)s. Чи запущено сервер CIFS? Не вдалося знайти домену або сервера з вказаною назвою Виконати дію з приєднання без встановленої підтримки Samba 4 неможливо.
Переконайтеся, що вами встановлено підпакунок IPA server-trust-ad. Без налаштовування власного домену не можна виконувати дію з приєднання.
Спочатку запустіть ipa-adtrust-install на сервері IPA. Не вдалося визначити KDC для бажаної області (realm) Водійська ліцензія Сертифікат Власник сертифіката Сертифікат відкликано Базовий об’єкт сертифікації Тип сертифіката Сертифікат для ${primary_key} ${entity} Помилка форматування сертифіката: %(error)s Не вдалося завершити дію з сертифікатом: %(error)s Надіслано запит щодо сертифікації Сертифікат відновлено Сертифікат збережено у файлі «%(file)s» Базовий об’єкт сертифікації: %s
Сертифікат/CRL Сертифікати Скасування дії Змінити на групу POSIX Змінити на зовнішню групу Змінити пароль «%(value)s» Класи символів Перевірити стан запиту щодо підписування сертифіката. Перевірка, чи існує запис. Місто Клас Натисніть, щоб ${action} Клієнтську частину не налаштовано. Віддайте команду ipa-client-install. Версія клієнта. Використовується для визначення, якщо сервер приймає запит. Закрити Спроба закриття таблиці ключів зазнала невдачі
Згорнути всі Список типів шифрування, відокремлених комами Список атрибутів, відокремлених комами Відокремлений комами список атрибути, які буде проігноровано для записів груп у DS Відокремлений комами список атрибути, які буде проігноровано для записів користувачів у DS Відокремлений комами список класів об’єктів, які буде проігноровано для записів груп у DS Відокремлений комами список класів об’єктів, які буде проігноровано для записів користувачів у DS Відокремлений комами список класів об’єктів, використаних для пошуку записів груп у DS Відокремлений комами список класів об’єктів, використаних для пошуку записів користувачів у DS Відокремлений комами список прав доступу, які слід надати (read, write). Типовим є write. Відокремлений комами список прав доступу, які слід надати (read, write, add, delete, all) Список необроблених записів %s, відокремлених комами Категорія команд Категорія команд, до якої застосовується правило Назва команди Команду не реалізовано Команди Команди керування налаштуванням sudo Звичайне ім'я Умови, які не вдалося додати Умови, які не вдалося вилучити Налаштування Підтвердження Кількість помилок для блокування Використання Іменування використання Використати іменування. Використано Використано %(value)s іменувань. Параметри контакту Встановити зв’язок з вказаним сервером KDC Продовжити Режим неперервної роботи: не зупинятися у разі помилок. Режим неперервної обробки. Програма повідомляє про помилки, але продовжує обробку. Режим неперервної обробки. Програма повідомляє про помилки, але продовжує обробку. Не вдалося отримати %(name)s у інтерактивному режимі Створити правило HBAC. Створити карту користувачів SELinux. Створити ключ автоматичного монтування. Створити новий запис автоматичного монтування. Створити карту автомонтування. Створити нову групу. Створити опосередковану точку монтування. Створити як групу, що не відповідає POSIX Створити запис DNS Створити зону DNS (запис SOA). Створити групу команд sudo. Створити запис команди sudo. Створити правило sudo. Створити зворотний запис Створити зворотний запис для цієї IP-адреси Створено ACI «%(value)s» Створення запису. Помилкові права доступу до кешу реєстраційних даних Поточний вміст запису DNS:
Поточний пароль Слід вказати поточний пароль DN контейнера груп у DS відносно до основного DN DN контейнера користувачів у DS відносно до основного DN DN, до якого слід виконати прив’язку, якщо не використовується kerberos DNS Загальні налаштування DNS Тип RR DNS «%s» не підтримується додатком bind-dyndb-ldap Запис ресурсу DNS Записи ресурсів DNS Зона DNS Параметри зони DNS Зони DNS Клас DNS Параметри налаштування DNS DNS не налаштовано Довжина мітки DNS не повинна перевищувати 63 символи Запис DNS було вилучено, оскільки у ньому не містилося жодних даних. Записи DNS можна оновлювати лише поодинці Запис ресурсу DNS Тип запису ресурсу DNS Записи ресурсів DNS Зворотної зони DNS для IP-адреси %(addr)s не знайдено зона DNS Зони DNS %(zone)s не знайдено Кореневий запис зони DNS не можна перейменовувати зони DNS Дані Діагностична інформація Типова (резервна) група Типова (резервна) група для додавання записів Типовий користувач SELinux Типовий користувач SELinux, якщо не буде знайдено відповідного у правилі карти SELinux Типовий домен ел. пошти Типова група для додавання записів Типова група для нових користувачів Типовою групою для нових користувачів не є група POSIX Типової групи для нових користувачів не знайдено Типові класи об’єктів групи Типові класи об’єктів груп (список класів, відокремлених комами) Типова група вузлів Типова адреса домашніх каталогів Типова оболонка Типова оболонка для нових користувачів Типова група користувачів Типові класи об’єктів користувачів Типові класи об’єктів користувачів (список класів, відокремлених комами) Типова група користувачів Градуси широти Градуси довготи Уповноваження Назва уповноваження Уповноваження Вилучити Вилучити значення «%(value)s» %(name)s? Вилучити запис ресурсу DNS. Вилучити зону DNS (запис SOA). Вилучити ключ, скасування передбачення Вилучити групу команд sudo. Вилучити запис команди sudo. Вилучити правило sudo. Вилучити карту користувачів SELinux. Вилучити уповноваження. Вилучити групу правил для паролів. Вилучити вузол. Вилучити групу вузлів. Вилучити мережеву групу. Вилучити права доступу. Вилучити уповноваження. Вилучити роль. Вилучити права доступу автослужби. Вилучити запис довіри. Вилучити користувача. Вилучити всі пов’язані записи Вилучити все? Вилучити правило HBAC. Вилучити групу служб HBAC. Вилучити діапазон ідентифікаторів. Вилучити службу IPA. Вилучити парну атрибут-значення. Цей параметр буде використано
останнім, після всіх встановлень і додавань. Вилучити ключ автоматичного монтування. Вилучити запис автоматичного монтування. Вилучити карту автоматичного монтування. Вилучити вже створену службу HBAC. Вилучити групу. Вилучено ACI «%(value)s» Вилучено правило HBAC «%(value)s» Вилучено службу HBAC «%(value)s» Вилучено групу служб HBAC «%(value)s» Вилучено діапазон ідентифікаторів «%(value)s» Вилучено карту користувачів SELinux «%(value)s» Вилучено команду sudo «%(value)s» Вилучено групу команд sudo «%(value)s» Вилучено правило sudo «%(value)s» Вилучено правило автоматичної участі «%(value)s» Вилучено ключ автоматичного монтування «%(value)s» Вилучено місце автоматичного монтування «%(value)s» Вилучено карту автоматичного монтування «%(value)s» Вилучено уповноваження «%(value)s» Вилучено групу «%(value)s» Вилучено вузол «%(value)s» Вилучено групу вузлів «%(value)s» Вилучено мережеву групу «%(value)s» Вилучено права доступу «%(value)s» Вилучено уповноваження «%(value)s» Вилучено запис «%(value)s» Вилучено роль «%(value)s» Вилучено самообслуговування «%(value)s» Вилучено службу «%(value)s» Вилучено запис довіри «%(value)s» Вилучено користувача «%(value)s» Вилучення керованих груп заборонено. Спочатку групу слід від’єднати. Відмовити Опис Від’єднати керовану групу від користувача. Від’єднати групу «%(value)s» від користувача «%(value)s» Словник перекладених повідомлень Словник закодованих JSON команд IPA Словник JSON-закодованих методів IPA Словник закодованих JSON об’єктів IPA Відображення назви змінної на значення за словником Контрольна сума Тип контрольної суми Безпосередній Безпосередня участь Півкуля широти Напрямок довготи Вимкнути Вимкнути зону DNS. Вимкнути правило sudo. Вимкнути обліковий запис користувача. Вимкнути правило HBAC. Вимкнути правило карти користувачів SELinux. Вимкнути ключ Kerberos і сертифікат SSL служби. Вимкнути ключ Kerberos, сертифікат SSL і всі служби на вузлі. Вимкнено Вимкнено зону DNS «%(value)s» Вимкнено правило HBAC «%(value)s» Вимкнено карту користувачів SELinux «%(value)s» Вимкнено правило «%s» Вимкнено вузол «%(value)s» Вимкнено службу «%(value)s» Вимкнено обліковий запис користувача «%(value)s» Показати ресурс DNS. Показати групу команд sudo. Показати команду sudo. Показати правило sudo. Показати ключ автоматичного монтування. Показати запис автоматичного монтування. Показати карту автоматичного монтування. Показати поточні іменування. Показати поточні правила для певного користувача Показати дані щодо зони DNS (запису SOA). Показати дані щодо уповноваження. Показати дані щодо вузла. Показати дані щодо групи вузлів. Показати дані щодо іменованої групи. Показати дані щодо мережевої групи. Показати дані щодо прав доступу. Показати дані щодо уповноваження. Показати дані щодо діапазону. Показати дані щодо ролі. Показати дані щодо прав доступу автослужби. Показати дані щодо довіри. Показати дані щодо користувача. Показати дані щодо групи служб HBAC. Показати дані щодо служби HBAC. Показати дані щодо служби IPA. Показати дані щодо групи правил для паролів. Екранне ім'я Показати права доступу цього запису (потребує --all). Докладніше про це можна дізнатися зі сторінки довідника (man) ipa. Показати поточні правила квитків Kerberos. Показати властивості правила карти користувачів SELinux. Показати властивості правила HBAC. Показати запис користувача для поточного реєстраційного запису Kerberos Домен Назва домену у NetBIOS Домен SID SID довіреного домену Ідентифікатор безпеки домену Контролер домену Active Directory (необов’язковий) Не створювати закриту групу користувача Звантажити Звантажити сертифікат Динамічне оновлення Змінити Змінити ${entity} Адреса ел. пошти Відомості щодо працівника Увімкнути Увімкнути зону DNS. Увімкнути правило sudo. Увімкнути обліковий запис користувача. Увімкнути правило HBAC. Увімкнути правило карти користувачів SELinux. Увімкнути режим міграції Увімкнути або вимкнути анонімний PKINIT. Увімкнено Увімкнено зону DNS «%(value)s» Увімкнено правило HBAC «%(value)s» Увімкнено карту користувачів SELinux «%(value)s» Увімкнено правило sudo «%s» Увімкнено обліковий запис користувача «%(value)s» Типи шифрування, запит щодо яких слід надсилати Спроба порівняння значень типу шифрування зазнала невдачі!
Кінець Зареєстровано Реєстрація UUID реєстрації UUID реєстрації (не реалізовано) Помилка реєстрування. %s
Введіть %(label)s ще раз для перевірки: Нижче вкажіть закодований у Base64 сертифікат іменування: Іменування Іменування синхронізовано. Іменування Запис Помилка Помилка під час спроби зміни стану облікового запису Помилка під час отримання типової області дії Kerberos: %s.
Помилка під час отримання початкових реєстраційних даних: %s.
Помилка під час обробки «%1$s»: %2$s.
Помилка при визначенні адрес таблиці ключів: %s.
Помилка під час спроби збереження реєстраційних даних у кеші: %s.
Встановити за допомогою Встановлено і перевірено Обмінник Виключна Формальний вираз виключення Розгорнути всі Строк дії Вираз Зовнішній Зовнішня група, від імені якої можна віддавати команди (лише sudorule-find) Зовнішній користувач Зовнішній користувач, від імені якого можна віддавати команди (лише sudorule-find) Зовнішній користувач, до якого застосовуватиметься правило (лише sudorule-find) Зовнішній вузол Зовнішній учасник Додаткові хеші для створення у додатку паролів. Помилка запуску від імені Помилка запуску від імені групи Помилка hosts/hostgroups Кількість невдалих спроб увійти Помилка managedby Помилка members Помилки служб/груп служб Помилка hosts/hostgroups джерела Не вдалося додати Не вдалося додати ключ до таблиці ключів
Не вдалося додати користувача до типової групи. Додати користувача вручну можна за допомогою команди «ipa group-add-member». Не вдалося закрити таблицю ключів
Не вдалося створити керування!
Не вдалося створити вихідні дані для ключа
Не вдалося створити ключ!
Не вдалося створити випадковий ключ!
Не вдалося відкрити таблицю ключів
Не вдалося відкрити таблицю ключів
Не вдалося відкрити таблицю ключів «%1$s»: %2$s
Спроба вилучення зазнала невдачі Не вдалося отримати жодного ключа Не вдалося отримати дані щодо типу шифрування %1$s (№%2$d)
Не вдалося отримати дані щодо типу шифрування №%d
Помилка users/groups Помилка під час декодування запиту на підписування сертифіката (CSR) Помилка під час декодування запиту на підписування сертифіката (CSR): Помилка під час декодування запиту на підписування сертифіката (CSR): %s Проміжок скидання помилок Ні False, якщо перенесення зазнає невдачі через увімкнення додатка сумісності. False, якщо режим міграції було вимкнено. Номер факсу Отримання даних щодо зон DNS. Файла %(file)s не знайдено Файл, у якому зберігатимуться дані сертифіката. Файл, у якому зберігатимуться дані таблиці ключів Порожня назва файла Фільтр Знайти Відбиток Відбиток (MD5) Відбиток (SHA1) Тип відбитка Відбитки Перший ідентифікатор POSIX діапазону Перший ідентифікатор POSIX діапазону, зарезервованого для довіреного домену Перший RID відповідного діапазону RID Перший RID вторинного діапазону RID Ім'я Прапорці Примусово Примусово створити зону DNS, навіть якщо сервера назв немає у DNS. Спочатку переспрямувати Лише переспрямовувати Правила переспрямовування Переспрямувати на сервер замість локального виконання Лише прямі зони Знайдено «%(value)s» Від Повне ім’я Повна назва вузла Поле GECOS GID GID (за допомогою цього параметра можна встановити значення вручну) Загальне Створити випадковий пароль, який буде використано для загальної реєстрації Створити випадковий пароль для користувача Створити файли automount для певної адреси. Отримати Загальні налаштування DNS є порожніми Загальні переспрямовувачі Надання уповноважень ролям Група Групи з назвою «%s» не існує Ід. номер групи Параметри групи Параметри групи Тип групи Контейнер груп Опис групи Назва групи Клас об’єктів групи Група, до якої слід застосувати ACI Група: %s не знайдено! Тип групування Групування, якого стосується правило Групи Групи користувачів запуску від імені Правило HBAC Правило HBAC, яке визначає користувачів, групи і групи вузлів Правила HBAC Служба HBAC Група служб HBAC Група служб HBAC Служби HBAC Тест HBAC Правило HBAC Не знайдено правила HBAC %(rule)s Не можна одночасно вказувати правило HBAC і локальних учасників правила HBAC Служба HBAC Опис служби HBAC група служб HBAC Опис групи служб HBAC Група служб HBAC Служби HBAC Помилка HTTP Апаратні MAC-адреси цього вузла Апаратна платформа вузла (наприклад, «Lenovo T61») Підтеми довідки: Теми довідки: Сховати подробиці Приховати дані щодо того, які правила є відповідними, які не є відповідними і які є некоректними Розмір журналу Домашній каталог Адреса домашніх каталогів Точність за горизонталлю Вузол Вузла «%(host)s» не знайдено Керування доступом на основі вузлів Сертифікат вузла Група вузлів Параметри групи вузлів Групи вузлів Назва вузла Параметри вузла Команди керування доступом на основі вузлів Категорія вузлів Категорія вузлів, до якої застосовується правило Вузол не має відповідного запису DNS A Правило групи вузлів Правила груп вузлів Апаратна платформа вузла (наприклад, «Lenovo T61») Вузол вже приєднано.
Адреса розташування вузла (наприклад, «Київ, Україна») Розташування вузла (наприклад, «Lab 2») Назва вузла Операційна система вузла і її версія (наприклад, «Fedora 9") Вузол не передбачено Команди керування доступом на основі вузлів Група вузлів Назва вузла Назва вузла цього сервера Вузли Тривалість кешування відмов Діапазон ідентифікаторів Діапазони ідентифікаторів діапазон ідентифікаторів вже існує, слід додати вручну діапазон ідентифікаторів вже існує Вже існує діапазон ідентифікаторів з тією самою назвою але іншим доменом SID. Діапазон ідентифікаторів для нового довіреного домену має бути створено вручну. IP-адреса IP-адресу %(ip)s вже призначено у домені %(domain)s. Мережа IP для створення зворотних назв зони Помилка IPA Сервер IPA Сервер IPA, який слід використовувати namingContext IPA не знайдено
Унікальний ід. IPA Профіль Параметри профілю Якщо проблему не вдасться усунути, зверніться до адміністратора системи. Ігнорувати додаток compat Ігнорувати атрибут групи Ігнорувати клас об’єктів групи Ігнорувати атрибут користувача Ігнорувати клас об’єктів користувача Імпортувати Імпортувати сертифікат Імпортувати сертифікат іменування. Імпортувати файли automount для певної адреси. Включення вимкнено Включення увімкнено Перевірити всі вимкнені правила IPA Перевірити всі увімкнені правила IPA [типова поведінка] Включна Формальний вираз включення Некоректний пароль.
Опосередкований Опосередкована служба HBAC учасника Опосередкована група служб HBAC учасника Опосередковані групи учасника Групи вузлів з опосередкованою участю Вузли з опосередкованою участю Опосередковані мережеві групи учасника Опосередкований учасник roles Опосередковані права доступу учасника Опосередковані користувачі учасника Опосередкована участь Ініціали У форму введення даних не введено деякі з даних або у формі містяться некоректні записи. Недостатні права доступу «write» до атрибута «krbLastPwdChange» запису «%s». Недостатні права доступу «write» до атрибута «userCertificate» запису «%s». Недостатні права для доступу: %(info)s Недостатні права доступу для створення сертифіката з альтернативною назвою призначення «%s». Внутрішня помилка некоректний запит JSON-RPC: %(error)s Некоректна адреса LDAP. Некоректне значення MCS. Значення має відповідати шаблону c[0-1023].c[0-1023] і/або шаблону c[0-1023]-c[0-c0123] Некоректне значення MLS. Значення має відповідати шаблону s[0-15](-s[0-15]) Некоректне ім’я користувача SELinux, у імені можна використовувати лише символи a-Z і _ Некоректна назва реєстраційного запису служби
Реєстраційні дані вказано з помилками Некоректний формат. Правильний формат: назва=значення Некоректна кількість частин! Некоректний або непідтримуваний тип. Дозволені значення: %s Чи є зона активною? Створити Створити сертифікат для ${primary_key} ${entity} Видавець Видано Видано для Видавець Запис видавця «%(issuer)s» не відповідає очікуваному значенню видавця Записи додано Записи вилучено Посада Не знайдено кешу реєстраційних даних Kerberos. Чи є у вас квиток Kerberos?
Ключ Kerberos Ключа Kerberos немає Маємо ключ Kerberos, вузол передбачено Маємо ключ Kerberos, службу передбачено Назва реєстраційного запису служби Kerberos Правила квитків Kerberos Не знайдено реєстраційного запису користувача Kerberos. Ви маєте ви коректний кеш реєстраційних даних?
Невдала спроба ініціалізації контексту Kerberos
Невдала спроба ініціалізації контексту Kerberos: %1$s (%2$d)
Помилка Kerberos: %(major)s/%(minor)s Доступні ключі Kerberos Реєстраційний запис Kerberos Реєстраційний запис Kerberos %s вже існує. Скористайтеся командою «ipa user-mod», щоб встановити його параметри вручну. Назва реєстраційного запису Kerberos для цього вузла Ключ Компрометація ключа Мітка ключа Таблиця ключів Назва файла таблиці ключів Таблицю ключів успішно отримати і збережено до: %s
DN LDAP URI LDAP URI LDAP сервера DS, з якого здійснюватиметься міграція Базовий DN LDAP Пароль LDAP Пароль LDAP (якщо не використовується Kerberos) Схема LDAP Мітки Останнє невдале розпізнавання Прізвище Останнє успішне розпізнавання Використання пробілів на початку і у кінці заборонено Припустимий фільтр LDAP (наприклад, ou=Engineering) Список вилучень, які не вдалося виконати Списки об’єктів, міграцію яких виконано; впорядкований за типами. Списки об’єктів, міграцію яких не вдалося виконати; впорядкований за типами. Завантаження… Локальний домен Адреса Запис Тривалість блокування Вхід до системи від імені Увійти Оболонка входу Вийти Помилка під час виходу MAC-адреса Відбиток MD5 Адреса ел. пошти Помилкове форматування DN Керування правилами обробки паролів для певної групи Керування правилами обробки квитків певного користувача Права доступу managedby Керівник Карта Тип карти Основний файл Встановлено відповідність Відповідні правила Макс. к-ть помилок Макс. строк дії Макс. строк дії (у днях) Макс. вік поновлення Максимальний проміжок часу (у секундах) для виконання однієї дії з пошуку (>0, -1 — без обмежень) Максимальна кількість повернутих записів Максимальна кількість записів результатів пошуку (-1 — без обмежень) Максимальна кількість правил, які слід обробити, якщо не вказано параметра --rules Максимальний строк дії пароля має перевищувати мінімальний строк його дії. Максимальний строк дії пароля (у днях) Максимальний вік, протягом якого можливе поновлення (у секундах) Максимальний строк дії квитка (у секундах) Максимальна довжина імені користувача Максимальним є значення ${value} Не може бути порожнім Служба HBAC учасника Групи служб HBAC учасника Вузол-учасник Учасник groups Учасник host-groups Учасник hosts Мережеві групи учасника Учасник Учасник групи Учасник групи Учасник груп Учасник host-groups Учасник мережевих груп Групи служб учасника Служби учасника Учасник групи користувачів Учасник users Учасники, записи яких не вдалося додати Учасники, записи яких не вдалося вилучити Перенести дані користувачів і груп з DS до IPA. Режим міграції вимкнено. Скористайтеся командою «ipa config-mod», щоб увімкнути його. Підтримки перенесення посилання пошуку LDAP не передбачено. Мін. довжина Мін. строк дії (у годинах) Мінімальна довжина пароля Мінімальна кількість класів символів Мінімальний строк дії пароля (у годинах) Мінімальним є значення ${value} Мінути широти Мінути довготи Інша інформація Не вказано HTTP Referer або вказано помилкове значення, %(referer)s Немає керування відповіддю!
Пропущені значення: Номер мобільного телефону Змінено Змінено ACI «%(value)s» Змінено правило HBAC «%(value)s» Змінено службу HBAC «%(value)s» Змінено групу служб HBAC «%(value)s» Змінено діапазон ідентифікаторів «%(value)s» Змінено карту користувачів SELinux «%(value)s» Змінено команду sudo «%(value)s» Змінено групу команд sudo «%(value)s» Змінено правило sudo «%(value)s» Змінено правило автоматичної участі «%(value)s» Змінено ключ автоматичного монтування «%(value)s» Змінено карту автоматичного монтування «%(value)s» Змінено уповноваження «%(value)s» Змінено групу «%(value)s» Змінено вузол «%(value)s» Змінено групу вузлів «%(value)s» Змінено мережеву групу «%(value)s» Змінено права доступу «%(value)s» Змінено уповноваження «%(value)s» Змінено роль «%(value)s» Змінено самообслуговування «%(value)s» Змінено службу «%(value)s» Змінено запис довіри «%(value)s» Змінено користувача «%(value)s» Змінено: ключ не встановлено Змінити значення «%(value)s» %(name)s? Змінити зону DNS (запис SOA). Змінити діапазон ідентифікаторів. Змінити правила квитків Kerberos. Змінити групу команд sudo. Змінити команду sudo. Змінити правило sudo. Змінити запис ресурсу DNS. Змінити карту користувачів SELinux. Змінити уповноваження. Змінити групу правил для паролів. Змінити групу. Змінити групу вузлів. Змінити мережеву групу. Змінити права доступу. Змінити уповноваження. Змінити роль. Змінити права доступу автослужби. Змінити параметри користувача. Змінити правило HBAC. Змінити групу служб HBAC. Змінити службу HBAC. Змінити ключ автоматичного монтування. Змінити карту автоматичного монтування. Змінити вже створену службу IPA. Змінити параметри налаштування. Змінити загальні налаштування DNS. Змінити дані щодо вузла. Знайдено декілька записів ключів %(key)s, скористайтеся --info для вибору певного запису. Інформація щодо монтування Точка монтування Має бути десятковим числом Має бути цілим числом Назва домену NIS Назва команди для експортування Назва групи вузлів Назва методу, який буде експортовано Назва об’єкта, який слід експортувати Назва батьківської карти автомонтування (типове значення: auto.master). Сервер назв «%(host)s» не має відповідного запису A/AAAA Адреса сервера назв не є повною назвою домену Не надано ні --del-all, ні параметрів вилучення певного запису.
Всі підтримувані типи записів можна знайти у виводі команди help. Вкладені методи, які слід виконати Мережева група Параметри мережевої групи Опис мережевої групи Назва мережевої групи Мережеві групи Нова назва ACI Новий сертифікат Новий пароль Новий пароль реєстраційного запису Новий текст Інформація нового монтування Нова назва має бути непорожньою Слід вказати новий пароль Новий: ключ не встановлено Новий: ключ встановлено Далі Наступна назва домену Без сертифіката. Немає чинних сертифікатів Не знайдено кешу реєстраційних даних Не встановлено типової (резервної) групи Немає записів. Немає файла для читання Жоден з ключів не прийнято KDC
Відповідних записів не знайдено Вилучення певних ресурсів не передбачено. Можливості внесення змін у певний запис не передбачено. Немає дозволу на долучення цього вузла до домену IPA.
Немає доступу до реєстрації Немає відповіді У цього запису немає такого атрибута Такої віртуальної команди не передбачено Немає основних системних типів шифрування?!
Немає значень %s Немає дозволу на запис до файла таблиці ключів «%s»
Домен не-Active Directory Некоректні правила або правила, яких не існує Звичайний Не пізніше Не раніше Не є керованою групою Некоректна IP-адреса Некоректна адреса IPv4 Некоректна адреса IPv6 Некоректна адреса у мережі Не є сертифікатом іменування Вказано недостатньо аргументів для виконання налаштовування довіри Невідповідні правила Ще не зареєстровано Нотатка Кількість ідентифікаторів у діапазоні Кількість доданих умов Кількість вилучених умов Сповіщення про кількість днів, які залишилися до завершення дії пароля. Кількість повернутих записів Кількість доданих учасників Кількість вилучених учасників Кількість доданих прав доступу Кількість вилучених записів прав доступу Кількість завантажених додатків Кількість доданих уповноважень Кількість вилучених уповноважень Кількість повернутих змінних (<= загальної) Гаразд Встановлено одноразовий пароль Слід вказати одне зі значень, group, permission або self Одноразовий пароль Одноразового пароля немає Є одноразовий пароль Можна використовувати лише одне значення Операційна система вузла і її версія (наприклад, «Fedora 9») Операційна система Невдала спроба виконання дії! %s
Помилка під час обробки Додано параметр Вилучено параметр Параметри Параметри dom_sid і rid_base слід використовувати разом Не можна одночасно використовувати параметри dom_sid і secondary_rid_base Параметри secondary_rid_base і rid_base слід використовувати разом Порядок Порядок у збільшенні пріоритетності користувачів SELinux, відокремлений $ Підрозділ Установа Підрозділ установи Початковий TTL Інші типи записів Не вистачає пам'яті!
Не вистачає пам'яті
Не вистачає пам'яті
Не вистачає пам'яті! Не вистачає пам'яті!
Не вистачає пам'яті!?
Назва файла виводу Виводити лише повідомлення про помилки Перезаписати ідентифікатор групи Тип PAC PKINIT POSIX Сторінка Номер пейджера Батьківська карта Обробити всі записи DNS і повернути дані у структурованій формі Пароль Сповіщення про вичерпання строку дії пароля (у днях) Правила щодо паролів Правила для паролів Не можна визначати пароль для вузла з визначеною роллю. Зміну пароля завершено Обмеження терміну дії пароля Розмір журналу паролів Можливості додатка паролів Не вдалося скинути пароль. Пароль для загального керування реєстраційними записами Паролі не збігаються Паролі не збігаються! Міграцію записів паролів здійснено у форматі до хешування.
IPA не вдасться створити ключі Kerberos, якщо не буде
надано текстових паролів. Всім користувачам з перенесеними
записами, доведеться пройти розпізнавання на
https://your.domain/ipa/migration/ до того, як вони зможуть
скористатися обліковими записами Kerberos. Паролі мають збігатися Проміжок часу, по завершенню якого кількість помилок буде скинуто (у секундах) Проміжок часу, протягом якого діятиме блокування (у секундах) Права доступу ACI прав доступу надає доступ до Тип прав доступу Доступ заборонено: %(file)s Назва прав доступу Тип прав доступу Права доступу з некоректним визначенням призначення Права доступу Дозволені типи шифрування Перевірити луна-імпульсом (пінгом) віддалений сервер. Платформа Будь ласка, виберіть тип запису ресурсу DNS, який слід додати Будь ласка, спробуйте такі параметри: Правила Порт Обов’язкові аргументи Попередньо оприлюднений пароль Пріоритет Пріоритет цього обмінника. Записи з меншим значенням мають вищий пріоритет. Префікс, за яким визначається тип ACI (permission, delegation, selfservice, none) Назад Головна основа RID Лише первинний ключ Реєстраційний запис Не вдалося виконати розпізнавання для реєстраційного запису %(principal)s: %(message)s Реєстраційний запис вказано у формі, відмінній від користувач@ОБЛАСТЬ: %(principal)r Назва реєстраційного запису Виводити мінімум даних Вивести діагностичні дані Вивести записи у формі, у якій вони зберігаються на сервері. Стосується лише формату виведення даних. Вивести дані XML-RPC без обробки у режимі GSSAPI Пріоритет Пріоритет правил (більше число — нижчий пріоритет) Уповноваження Параметри уповноваження Уповноваження відкликано Опис уповноваження Назва уповноваження Уповноваження Продукт Надіслати запит щодо встановлення пароля користувача Очікуваний Протокол Передбачення Відкритий ключ Призначення: %s Кількість За запитом повернуто більше за налаштоване максимальне значення результатів. Показано лише перші ${counter} результатів. Швидкі посилання «Мовчазний» режим. Буде показано лише повідомлення про помилки. Область Kerberos, сумісна з RFC4120 Випадковий пароль Параметри діапазону Назва діапазону Розмір діапазону Тип діапазону Необроблене значення для запису DNS вже було встановлено за допомогою параметра «%(name)s» Виконати повторну синхронізацію локального кешу іменування з сервером іменування. Має бути вказано пароль адміністратора області Назва області Підстава Причина відкликання Причина відкликання сертифіката (0-10) Тип запису Спроба створення запису зазнала невдачі. Дані запису Назва запису Запис не знайдено. Тип запису Записи Записи зони DNS Переспрямування Переспрямовування на запис PTR Оновити Оновити сторінку. Зареєструватися Зареєструвати систему іменування. Зареєстровано сервер іменування. Реєстрації окремих UUID ще не передбачено. Реєстрація Пароль реєстрації Формальний вираз Перезавантажити переглядач. Вилучити ${entity} Вилучити ${entity} ${primary_key} з ${other_entity} Вилучити ${other_entity}, керування ${entity} ${primary_key} Вилучити ${other_entity} з ${entity} ${primary_key} Вилучити дозвіл ${other_entity} з ${entity} ${primary_key} Вилучити заборону ${other_entity} з ${entity} ${primary_key} Вилучити права доступу Вилучити ${other_entity} запуску від імені з ${entity} ${primary_key} Вилучити групи запуску від імені з ${entity} ${primary_key} Вилучити ${other_entity} джерела з ${entity} ${primary_key} Вилучити права доступу до надання доступу до окремих зон. Вилучити всі реєстраційні записи у цій області Вилучити пункт з правила sudo. Вилучити команди і групи команд sudo, яких стосується правило sudo. Вилучити записи з DNS Вилучити з CRL Вилучити групу виконання з запису sudo. Вилучити вузли та групи вузлів, яких стосується правило sudo. Вилучити записи вузлів, які можуть керувати цим вузлом. Вилучити вузли, які можуть керувати цією службою. Вилучити учасників з групи команд sudo. Вилучити учасників з групи. Вилучити записи з групи вузлів. Вилучити учасників з мережевої групи. Вилучити учасників з запису ролі. Вилучити учасників з групи служб HBAC. Вилучити права доступу з уповноваження. Вилучити уповноваження з запису ролі. Вилучити служби та групи служб з правила HBAC. Вилучити вузли походження та групи вузлів з правила HBAC. Вилучити вузли призначення та групи вузлів з правила HBAC. Вилучити вузли призначення та групи вузлів з правила карти користувачів SELinux. Вилучити записи користувачів та груп, яких стосується правило sudo. Вилучити користувачів та групи для виконання команд sudo від їхнього імені. Вилучити користувачів і групи з правила HBAC. Вилучити користувачів і групи з правила карти користувачів SELinux. Вилучено умови з «%(value)s» Вилучити типову (резервну) групу для автоматичної участі «%(value)s» З правила sudo «%(rule)s» вилучено параметр «%(option)s» Вилучено системні права доступу «%(value)s» Вилучення реєстраційного запису %s
Перейменувати Перейменувати об’єкт %(ldap_obj_name)s ACI перейменовано на «%(value)s» Заміна Ід. запиту У запиті не вказано метод ("method") У запиті не вказано параметри ("params") Запит має належати до типу словника (dict) Стан запиту Об’єкт запиту «%(request_subject)s» вказано у формі, відмінній від «%(subject_base)s» Обов’язкове поле Скинути Відновити типові правила квитків Kerberos. Скинути ОП Скинути одноразовий пароль Скинути пароль Скинути пароль і увійти Скинути ваш пароль. Визначити назву вузла у DNS. Відновити Відновити сертифікат для ${primary_key} ${entity} Результат імітації Список результатів обрізано. Спробуйте точніше визначити критерії пошуку. Результати мають містити лише атрибут основного ключа («%s») Отримати вже створений сертифікат. Отримати і вивести всі атрибути з сервера. Стосується лише виводу команд. Отримати сертифікати іменування. Спроба отримання ланцюжка сертифікації CA зазнала невдачі: %s Повторити Повернутися до головної сторінки і повторити спробу Зворотний запис для IP-адреси %(ip)s вже існує у зворотній зоні %(zone)s. Зворотна зона %(name)s потребує точно %(count)d компонентів IP-адрес, надано %(user_count)d Мережа IP зворотної зони Зворотна зона для запису PTR має бути підзоною одного з таких повноформатних доменів: %s Причина відкликання Відкликати Відкликати сертифікат для ${primary_key} ${entity} Відкликати сертифікат. Анульований Права Роль Керування доступом на основі ролей Параметри ролей Назва ролі Ролі Назва правила Стан правила Тип правила Тип правила (allow) Правила Правила для перевірки. Якщо не вказано, вважається, що використано --enabled. Виконання команд Запустити тест… Запуск від користувача Запускати від імені будь-якого користувача вказаної групи Запускати з ідентифікатором вказаної групи POSIX Зовнішня група для RunAs Зовнішній користувач для RunAs Категорія запуску від імені групи Категорія запуску від імені групи, до якої застосовується правило Групи запуску від імені Категорія запуску від імені користувачів Категорія запуску від імені користувачів, до якої застосовується правило Користувачі запуску від імені Назва групи «%(name)s» є неприйнятною для RunAsGroup Назва групи «%(name)s» є неприйнятною для RunAsUser Не можна вказувати «%(name)s» як ім’я користувача у записі RunAsUser Параметри SELinux Користувач SELinux Карта користувачів SELinux Правило карти користувачів SELinux Правила карти користувачів SELinux Карти користувачів SELinux Запису користувача SELinux %(user)s не виявлено у порядковому списку (у налаштуваннях) Типового користувача типової карти користувачів SELinux немає у порядковому списку Списку карт користувачів SELinux у налаштуваннях не виявлено Порядок карт користувачів SELinux Відбиток SHA1 Клас SOA Застарівання SOA Мінімальний SOA Клас записів SOA Час завершення строку дії запису SOA Час оновлення запису SOA Проміжок між повторними спробами для запису SOA Серійний номер запису SOA Час життя запису SOA Освіження SOA Повторення спроби SOA Серійний номер SOA Строк дії SOA Відкритий ключ SSH Відбиток відкритого ключа SSH Відкритий ключ SSH: Відкриті ключі SSH Пошук Параметри пошуку Шукати %(searched_object)s у цих %(relationship)s %(ldap_object)s. Шукати %(searched_object)s не у цих %(relationship)s %(ldap_object)s. Спроба пошуку %1$s у rootdse завершилася невдало з повідомленням про помилку %2$d
Шукати ресурси DNS. Пошук зон DNS (записів SOA). Шукати правила HBAC. Шукати служби HBAC. Спроба пошуку namingContext IPA завершилася помилкою %d
Знайти служби IPA. Шукати карти користувачів SELinux. Шукати групи команд sudo. Знайти команди sudo. Знайти правило sudo. Шукати мережеву групу. Шукати права доступу автослужби. Шукати групу служб HBAC. Виконати пошук ключа автоматичного монтування. Шукати запис автоматичного монтування. Виконати пошук карти автоматичного монтування. Пошук уповноважень. Шукати облікові записи іменування. Шукати лише прямі зони Знайти групу правил для паролів. Шукати групи. Шукати групи вузлів. Шукати вузли. Спроба пошуку ipaCertificateSubjectBase завершилася невдало з повідомлення про помилку %d Знайти права доступу. Знайти уповноваження. Шукати діапазони. Знайти ролі. Шукати записи довіри. Шукати користувачів. Обмеження розміру пошуку Обмеження часу пошуку Вторинна основа RID Секунди широти Секунди довготи Вибрати все Виберіть записи, які слід вилучити. Позначені записи було вилучено. Self Права доступу автослужби Права доступу до самообслуговування Назва самообслуговування Список відокремлених крапкою з комою записів IP-адрес або мереж, яким надано доступ до надсилання запитів Список відокремлених крапкою з комою записів IP-адрес або мереж, яким надано доступ до перенесення зони Серійний номер Серійний номер (шістнадцятковий) Серійний номер Серійний номер (шістнадцятковий) Серійний десятковий номер або шістнадцятковий номер з префіксом 0x Сервер Назва сервера Служба У базі даних Kerberos не виявлено служби %(service)r Сертифікат служби Групи служб Параметри служби Параметри служби Категорія служб Категорія служб, до якої застосовується правило Назва групи служб Назва служби Реєстраційний запис служби Реєстраційний запис служби для цього сертифіката (наприклад HTTP/test.example.com) Реєстраційний запис служби вказано у формі, відмінній від: служба/повна назва вузла: %(reason)s Службу не передбачено Служби Помилка сеансу Встановити Одноразовий пароль Встановити одноразовий пароль Встановити ключ SSH Встановити пароль користувача. Встановити атрибут для пари назва/значення. Формат: атрибут=значення.
Для атрибутів з багатьма значенням команда замінює вже вказані значення. Встановити типову (резервну) групу для автоматичної участі «%(value)s» Параметри Оприлюднений ключ для довіри Показати результати Показати список завантажених додатків. Показати подробиці Показати змінні середовища. Показати поточні налаштування. Показати поточні загальні налаштування DNS. Показати список дозволених типів шифрування і завершити роботу Показати або встановити ключ Показано записи від ${start} до ${end} з ${total} записів. Підпис Строк завершення дії підпису Початок дії підпису Ім’я підписувача Невдала спроба простого прив’язування
Імітувати використання керування доступом на основі вузлів Розмір Обмеження розміру Розмір діапазону ідентифікаторів, зарезервованого для довіреного домену Деякі з записів не вилучено Деякі з дій не вдалося виконати. Групи вихідних вузлів Вузли вихідних даних Вузол джерела Категорія вузлів вихідних даних Категорія вузлів вихідних даних, до якої застосовується правило Запис вузла походження для правила «%s» проігноровано Вказані команди і групи Вказані групи Вказані вузли і групи Вказані служби і групи Вказані користувачі і групи Визначає, де слід зберігати дані таблиці ключів. Вкажіть зовнішній ${entity} Стандартні типи записів Початок Область/провінція Стан Вулиця і будинок Структурована Об’єкт Надіслати запит щодо підписування сертифіката. Піддерево Піддерево, до якого слід застосувати ACI Піддерево, до якого буде застосовано права доступу Підтип Sudo Групи дозволених команд sudo Дозволені команди sudo Команда sudo Група команд sudo Групи команд sudo Команди sudo Групи заборонених команд sudo Заборонені команди sudo Пункт sudo Правило sudo Правила Sudo Порядок sudo Замінено Підтримувані типи шифрування:
Синтаксична помилка: %(error)s Забрати відкликаний сертифікат. Ціль Цільова група Вузол призначення Цільові учасники групи Не знайдено зворотної зони призначення. Виконати над власним записом (self) Номер телефону Перевірити синтаксис ACI, але не виконувати запису Текстові дані Текст не відповідає шаблону поля Область IPA Ключа автоматичного монтування %(key)s з інформацією %(info)s не існує Не можна використовувати символ «%(char)r». Не можна вилучати типову групу користувачів Тип «deny» вважається застарілим. Доменна назва вузла призначення або '.', якщо служба є явно недоступною на цьому домені Такої групи не існує Не існує вузла «%s», до якого слід було додати службу. Запис вузла було додано, але спроба оновлення DNS зазнала невдачі: %(exc)s Назву вузла слід вказувати повністю: %s
Назва вузла не повинна бути такою: %s
Назва вузла, на яку вказує цей зворотний запис Назва вузла для реєстрації Пара ключ,інформація має бути унікальною. Ключ з назвою %(key)s та інформацією %(info)s вже існує. Найпоширенішими типами для цього типу зон є: %s
Вами введено помилкове ім’я користувача або пароль. Значення primary_key (основного ключа) запису, наприклад, «iivanenko» для користувача Реєстраційний запис, для якого слід отримати таблицю ключів (приклад: ftp/ftp.example.com@EXAMPLE.COM) Область дії реєстраційного запису не збігається з областю цього сервера IPA Схема, використана на сервері LDAP. Підтримувані значення: RFC2307 і RFC2307bis. Типове значення: RFC2307bis Критерій пошуку не був достатньо точним. Мало бути вказано один критерій, виявлено — %(found)d. Реєстраційного запису служби для цього запиту не існує. Залишилося лише %d іменувань Для виконання цієї команди потрібні права доступу користувача root Цей запис вже існує Цей запис не можна вмикати або вимикати Цей запис вже є серед учасників Цей запис вже вимкнено Цей запис вже увімкнено Цього запису немає серед учасників У цій групі вже дозволено зовнішніх учасників Ця група не може належати до груп POSIX, оскільки є зовнішньою Вже є posix-групою Ця група вже належить до груп POSIX, отже її не можна перетворити на зовнішню На цій сторінці виявлено незбережені зміни. Будь ласка, збережіть зміни або скасуйте їх. Цей реєстраційний запис потрібен основному серверу IPA Сплив строк дії квитка Обмеження часу Обмеження часу пошуку у секундах Поточний час Строк дії Щоб підтвердити ваш намір відновити цей сертифікат, натисніть кнопку «Відновити». Щоб підтвердити ваш намір відкликати цей сертифікат, виберіть причину зі спадного списку і натисніть кнопку «Відкликати». Щоб увійти з використанням певного імені користувача і пароля, вкажіть їх у наведених нижче полях, а потім натисніть кнопку «Увійти». Команди теми: Кількість змінних env (>= count) Так True, якщо повернуто було всі результати True означає, що дію було виконано успішно Довіра Параметри довіри Напрямок довіри Стан довіри Тип довіри Тип довіри (типовим для Active Directory є ad) Довіреним доменом і обліковим записом адміністратора використовуються різні області Довірений «ліс» «Ліс» довіри Записи довіри Щоб ознайомитися зі списком загальних параметрів, віддайте команду «ipa --help». Двобічна довіра Тип Тип покриття Карта типів Тип об’єкта IPA (user (користувач), group (група), host (вузол), hostgroup (група вузлів), service (служба), netgroup (мережева група), dns) UID Адреса UUID Не вдалося обмінятися даними з CMS (%s) Не вдалося створити закриту групу. Група «%(group)s» вже існує. Не вдалося розкодувати сертифікат у запису: %s Не вдалося визначити сервер IPA з %s
Не вдалося визначити призначення сертифіката %s
Не вдалося визначити кореневий DN %s
Не вдалося увімкнути SSL у LDAP
Не вдалося створити кеш реєстраційних даних Kerberos
Не вдалося ініціалізувати з’єднання з сервером LDAP: %s Не вдалося ініціалізувати бібліотеку ldap!
Не вдалося долучити вузол: не знайдено кешу реєстраційних даних Kerberos
Не вдалося долучити вузол: не знайдено реєстраційного запису користувача Kerberos і не вказано пароля вузла.
Не вдалося долучити вузол: невдала спроба ініціалізації контексту Kerberos
Не вдалося обробити реєстраційний запис
Не вдалося обробити назву реєстраційного запису
Не вдалося обробити реєстраційний запис: %1$s (%2$d)
Не вдалося вилучити запис
Не вдалося встановити версію LDAP
Не вдалося встановити LDAP_OPT_X_SASL_NOCANON
Не вдалося встановити значення параметрів ldap!
Не вдалося перевірити права доступу на запис до AD Скасувати реєстрацію цього вузла на сервері IPA Спроба скасування реєстрації зазнала невдачі.
Успішне скасування реєстрації.
Невідомо Невідома помилка Невідома команда, «%s» Невідомий параметр: %(option)s Розблоковано обліковий запис «%(value)s» Невідповідний Скасування передбачення Скасування передбачення ${entity} Непридатні до обробки правила у --rules Відкликання скасовано Незбережені зміни Скасувати вибір всього Не вказано Непідтримуване значення Оновити Оновити записи DNS Використання: ipa [загальні параметри] КОМАНДА ... Користувач Група користувачів Групи користувачів Ідентифікаційний номер користувача (система призначить його, якщо не буде вказано) Параметри користувача Категорія користувачів Категорія користувачів, до якої застосовується правило Контейнер користувачів Група користувачів Група користувачів, до якої надає доступ ACI Правило групи користувачів Правила груп користувачів Група користувачів, до якої слід застосувати уповноваження Група користувачів, до якої буде застосовано права доступу Користувач Ім'я користувача Клас об’єктів користувача Пароль користувача Поля пошуку користувачів Зручний для користувача опис дії, що виконується Користувач Користувачі Є чинний сертифікат Помилка під час перевірки Коректність Повторіть пароль Перевірка пароля реєстраційного запису Точність за вертикаллю Проміжна служба Перегляд Очікуємо на підтвердження з віддаленого боку Попередження Попередження: невідомий тип шифрування.
Попередження: невідомий тип солі (salt).
Попередження: не вдалося виконати перетворення типу (№%d)
Попередження: для випадкових паролів типи солі (salt) не мають значення (див. параметр -P)
Вага Під час перенесення групи, яку вже створено у домені IPA буде перезаписано ідентифікатор групи і повідомлено про успіх Хто Щоб створити службу вузла, вам слід зареєструвати вузол Для додавання служб вам слід мати роль адміністратора служб (serviceadmin) Вас буде переспрямовано до зони DNS. Строк дії вашого пароля буде вичерпано за ${days} днів. Строк роботи у вашому сеансі вичерпано. Будь ласка, увійдіть до системи ще раз. Індекс Переспрямовувачі зон Виявлено зону: ${zone} Назва зони Назва зони (FQDN) Запис зони «%s» не можна вилучати Інтервал між оновленнями даних зони Невдала спроба виконання access() для %1$s: номер помилки = %2$d
додано сталася внутрішня помилка на сервері %(server)r сталася внутрішня помилка будь-який з налаштованих серверів api не надає такого простору назв: %(name)r слід вказати хоча б одне з: type, filter, subtree, targetgroup, attrs або memberof не можна використовувати атрибут «%(attribute)s» не можна використовувати атрибут «%s» атрибут не можна налаштовувати автоматично додати реєстраційний запис, якщо його не існує ключ автомонтування ключі автомонтування запис автомонтування записи автомонтування карта автомонтування карти автоматичного монтування Базовий DN Спроба виконання ber_init() зазнала невдачі. Некоректне керування?!
помилка ber_scanf(), не вдалося знайти kvno?!
пароль прив’язки порожній запис служби не повинне перевищувати %(len)d символів у довжину не повинне перевищувати за розміром %(maxlength)d байтів не повинне перевищувати %(maxlength)d символів у довжину не може перевищувати %(maxvalue)d не може перевищувати %(maxvalue)s не може бути довшим за 255 символів не вдалося встановити з’єднання з %(uri)r: %(error)s неможливо вилучити загальні правила паролів не вдалося отримати наступний серійний номер не вдалося відкрити файл налаштувань %s
не вдалося обробити функцією stat() файл налаштування %s
помилка certutil зміна конфліктує з іншою внесеною зміною змінити на групу POSIX змінити для підтримки зовнішніх учасників поза IPA з довірених доменів дочірній процес завершив роботу з повідомленням %d
cn є незмінним список SID учасників довіреного домену, відокремлених комами список значень %s, відокремлених комами відокремлений комами список значень %s, які слід додати Список %s, відокремлених комами, які слід виключити з процесу міграції список записів %s, відокремлених комами, які слід вилучити відокремлений комами список прав доступу, які слід надати (read, write, add, delete, all) команда %(name)r приймає не більше %(count)d аргументу команда %(name)r приймає не більше %(count)d аргументів команда %(name)r приймає не більше %(count)d аргументів команда %(name)r не приймає ніяких аргументів не можна встановлювати для категорії команд значення «all», доки є записи дозволу або заборони команд не можна додавати команди, якщо категорія команд=«all» команди керування налаштуванням sudo спроба обмінятися даними з сервером CIFS зазнала невдачі параметри налаштування не знайдено запис контейнера (%(container)s) не вдалося встановити унікальне нове значення ідентифікатора сеансу (session_id) уповноваження уповноваження опис не отримано реєстраційних даних Kerberos кожен з елементів ACL має бути відокремлено від інших крапкою з комою порожня мітка DNS порожній фільтр іменування іменування записи запис помилка під час розміщення даних для каналу передавання XML-RPC: %(error)s помилка на сервері %(server)r: %(error)s спроба виконання ipa-getkeytab зазнала невдачі, номер помилки %d
зовнішній учасник дія над файлами файл, у якому зберігатимуться дані сертифіката назва файла filter і memberof не можна використовувати разом значенням прапорців (flags) має бути одна з літер, "S", "A", "U" або "P" примусово створити запис сервера назв, навіть якщо відповідної назви вузла немає у DNS примусове вилучення прав доступу SYSTEM примусове значення назви вузла, навіть якщо назви немає у DNS примусове значення назви реєстраційного запису, навіть якщо назви немає у DNS невдала спроба виконання fork()
формат має бути таким:
"d1 [m1 [s1]] {"N"|"S"} d2 [m2 [s2]] {"E"|"W"} alt["m"] [siz["m"] [hp["m"] [vp["m"]]]]"
where:
d1: [0 .. 90] (широта у градусах)
d2: [0 .. 180] (довгота у градусах)
m1, m2: [0 .. 59] (мінути широти і довготи)
s1, s2: [0 .. 59.999] (секунди широти і довготи)
alt: [-100000.00 .. 42849672.95] крок — .01 (висота у метрах)
siz, hp, vp: [0 .. 90000000.00] (розміри, точність у метрах)
Див. RFC 1876. формат має бути встановлено так: "%(format)s", відповідно до %(rfcs)s формат має бути таким: «НАСТУПНИЙ ТИП1 [ТИП2 [ТИП3 [...]]]» (докладніше про це у RFC 4034) група не можна встановлювати для категорії запуску від імені груп значення «all», доки є записи для окремих груп group, permission і self не можна використовувати разом групи вузол не можна встановлювати для категорії вузлів значення «all», доки є записи дозволених вузлів група вузлів групи вузлів Група вузлів з назвою «%s» вже створено. Групи вузлів і мережеві групи мають спільний простір назв. назва вузла назва вузла у призначенні запиту, «%(subject_host)s», не збігається з назвою вузла реєстраційного запису, «%(hostname)s» вузли не можна додавати записи вузлів, якщо категорія вузлів=«all» неналежне форматування сертифіката у кодуванні DER неповне часове значення помилковий тип ціле число для впорядковування правил sudo некоректне %(name)r: %(error)s некоректний формат запису IP-адреси некоректна версія IP-адреси (маємо: %(value)d, має бути: %(required_value)d)! некоректний формат запису мережі IP некоректний відкритий ключ SSH некоректний формат адреси некоректна назва домену: %s некоректний формат адреси електронної пошти: %(email)s Помилкові права доступу до ipa-getkeytab?
Не знайдено ipa-getkeytab
параметри правил квитків kerberos запис ключа %(key)s вже існує ключ з назвою %(key)s вже існує krb5_kt_close %1$d: %2$s
krb5_kt_get_entry %1$d: %2$s
krb5_kt_remove_entry %1$d: %2$s
krb5_parse_name %1$d: %2$s
krb5_unparse_name %1$d: %2$s
kvno %d
цим запитом перевищено обмеження локальний діапазон доменів назва облікового запису електронної пошти може складатися лише з літер, цифр, символів «-», «_» і крапок. Не можна використовувати у назві послідовності з символів «-», «_» та «.». Його частини не повинні починатися або закінчуватися на «-» або «_». керування %(manager)s не знайдено запис карти %(map)s вже існує карти, не з’єднані з /etc/auto.master: %s учасника не вказано домену адреси не вистачає base_id не вказано поштового облікового запису не вистачає запису служби зміну основного ключа заборонено точка монтування вказується відносно батьківської картки, її запис не може починатися з «/» має дорівнювати TRUE або FALSE має дорівнювати True або False має бути текстом у Unicode має бути десятковим числом має бути цілим числом має бути розміром, не менше за %(minlength)d байтів має бути не меншим за %(minlength)d символів довжиною має бути числом, не меншим за %(minvalue)d має бути принаймні %(minvalue)s має бути бінарними даними має бути розміром точно у %(length)d байтів має бути точно %(length)d символів у довжину має відповідати шаблону «%(pattern)s» мережева група Мережеву групу з назвою «%s» вже створено. Групи вузлів і мережеві групи мають спільний простір назв. мережеві групи не виявлено ні команди, ні запису довідки %(topic)r немає запису вузла для альтернативної назви призначення, %s, у запиті щодо сертифікації змін не внесено заборонено змінювати записи груп заборонено змінювати записи користувачів виконувати цю команду заборонено вказано не повністю числовий клас «%(cls)s» не включено до списку дозволених числових класів: %(allowed)s кількість паролів клас об’єктів %s не знайдено передбачено підтримку лише «ad» можна використовувати лише літери, цифри, %(underscore)s і символ «-». Символ «-» не повинен бути першим або останнім символом мітки DNS. дію не визначено не можна використовувати параметри порядковий номер повинен мати унікальне значення (%(order)d вже використано для %(rule)s) не вистачає пам'яті
перекриття аргументів і параметрів: %(names)r params має бути списком (list) params має містити записи [аргументи, параметри] params[0] (або аргументи) має бути списком (list) params[1] (або параметри) має належати до типу словника (dict) пароль правила щодо паролів правила для паролів пароль, який слід використати, якщо не використовується kerberos права доступу права доступу pkinit реєстраційного запису не знайдено
реєстраційного запису не знайдено у XML-RPC відповіді
для загальних правил не може встановлювати пріоритети пріоритет повинен мати унікальне значення (%(prio)d вже використано для %(gname)s) уповноваження привілейована група уповноваження pysss_murmur на сервері не доступний, отже base-id не надано. діапазон вже існує не можна виконувати зміни діапазону, у результаті яких виникають об’єкти з ідентифікаторами поза визначеним діапазоном помилка читання
область не знайдено
вилучено помилка запиту зі станом HTTP %d у відповіді XML-RPC не знайдено результату
отримати і вивести всі атрибути з сервера. Стосується лише виводу команд. роль ролі шукати керовані групи шукати закриті групи список результатів пошуку об’єктів міграції
було обрізано сервером; ймовірно,
процес міграції не завершено
searchtimelimit повинен мати значення -1 або > 1. секунд права доступу автослужби права доступу до автослужби служба не можна встановлювати для категорії служб значення «all», доки є дозволені служби служби не можна додавати записи служб, якщо категорія служб=«all» пропустити зворотне визначення DNS не можна додавати записи вузлів-джерел, якщо категорія вузлів-джерел (sourcehost) =«all» не можна встановлювати для категорії вузлів походження значення «all», доки є записи дозволених вузлів походження команда sudo група команд sudo групи команд sudo команди sudo правило sudo правила sudo запис було вилучено під час внесення змін значення не відповідає формату «РРРРММДДГГХХСС» цей параметр вважається застарілим. занадто багато символів «@» мітка домену верхнього рівня має складатися лише з літер латинки довіра тип довіри записи довіри тип об’єкта IPA (user (користувач), group (група), host (вузол), hostgroup (група вузлів), service (служба), netgroup (мережева група)) type, filter, subtree і targetgroup є взаємовиключними не вдалося декодувати csr: %s не вдалося визначити область скасувати скасувати всі дії невідома команда %(name)r %(server)s повідомляє про невідому помилку %(code)d: %(error)s непідтримуваний функціональний рівень користувач не можна встановлювати для категорії користувачів значення «all», доки є записи дозволених користувачів не можна встановлювати для категорії запуску від імені користувачів значення «all», доки є записи для окремих користувачів користувачі не можна додавати записи користувачів, якщо категорія запуску від імені користувачів або запуску від імені груп=«all» не можна додавати записи користувачів, якщо категорія користувачів=«all» значення не було розпізнано як коректні SID з довіреного домену