Модуль community.general.ipa_pwpolicy — управление политиками паролей FreeIPA

dictcheck

boolean

добавлено в community.general 8.2.0

Проверять, совпадает ли пароль (с возможными изменениями) со словом из словаря (с помощью cracklib).

Варианты:

• false
• true

failinterval

string

Период (в секундах), по истечении которого счётчик неудачных попыток входа сбрасывается.

gracelimit

integer

добавлено в community.general 8.2.0

Максимальное количество входов в LDAP после истечения срока действия пароля.

group

псевдонимы: name

string

Имя группы, к которой применяется политика.

Если не указано, используется глобальная политика.

historylength

string

Количество предыдущих паролей, которые сохраняются в истории.

Пользователи не могут повторно использовать пароли, сохранённые в истории.

ipa_host

string

IP-адрес или имя узла сервера IPA.

Если значение не указано в задаче, вместо него используется значение переменной среды IPA_HOST.

Если в задаче не указаны ни переменная среды IPA_HOST, ни значение, для поиска сервера FreeIPA используется DNS.

В FreeIPA необходима соответствующая запись ipa-ca.

Если в задаче недоступны ни запись DNS, ни переменная среды IPA_HOST, ни значение, используется значение по умолчанию.

По умолчанию: "ipa.example.com"

ipa_pass

string

Пароль административного пользователя.

Если значение не указано в задаче, вместо него используется значение переменной среды IPA_PASS.

Обратите внимание: если доступна библиотека urllib_gssapi, для аутентификации в FreeIPA можно использовать GSSAPI.

Если доступна переменная среды KRB5CCNAME, модуль использует этот кэш учётных данных Kerberos для аутентификации на сервере FreeIPA.

Если доступна переменная среды KRB5_CLIENT_KTNAME, а KRB5CCNAME — нет, модуль использует этот файл ключей Kerberos для аутентификации.

Если GSSAPI недоступен, необходимо использовать ipa_pass.

ipa_port

integer

Порт сервера FreeIPA / IPA.

Если значение не указано в задаче, вместо него используется значение переменной среды IPA_PORT.

Если в задаче не указаны ни переменная среды IPA_PORT, ни значение, используется значение по умолчанию.

По умолчанию: 443

ipa_prot

string

Протокол, используемый сервером IPA.

Если значение не указано в задаче, вместо него используется значение переменной среды IPA_PROT.

Если в задаче не указаны ни переменная среды IPA_PROT, ни значение, используется значение по умолчанию.

Варианты:

• "http"
• "https" ← (по умолчанию)

ipa_timeout

integer

Задаёт время ожидания бездействия (в секундах) для соединения.

Для массовых операций это значение можно увеличить, чтобы избежать тайм-аута со стороны сервера IPA.

Если значение не указано в задаче, вместо него используется значение переменной среды IPA_TIMEOUT.

Если в задаче не указаны ни переменная среды IPA_TIMEOUT, ни значение, используется значение по умолчанию.

По умолчанию: 10

ipa_user

string

Административная учётная запись, используемая на сервере IPA.

Если значение не указано в задаче, вместо него используется значение переменной среды IPA_USER.

Если в задаче не указаны ни переменная среды IPA_USER, ни значение, используется значение по умолчанию.

По умолчанию: "admin"

lockouttime

string

Период (в секундах), в течение которого учётные записи пользователей заблокированы.

maxfailcount

string

Максимальное количество последовательных неудачных попыток до блокировки.

maxpwdlife

string

Максимальный срок действия пароля (в днях).

maxrepeat

integer

добавлено в community.general 8.2.0

Максимальное количество одинаковых идущих подряд символов в новом пароле.

maxsequence

integer

добавлено в community.general 8.2.0

Максимальная длина монотонных последовательностей символов в новом пароле. Пример монотонной последовательности длиной 5: 12345.

minclasses

string

Минимальное количество классов символов.

minlength

string

Минимальная длина пароля.

minpwdlife

string

Минимальный срок действия пароля (в часах).

priority

string

Приоритет политики.

Большее значение означает более низкий приоритет.

Обязательный параметр, если cn не является глобальной политикой.

state

string

Требуемое состояние.

Варианты:

• "absent"
• "present" ← (по умолчанию)

usercheck

boolean

добавлено в community.general 8.2.0

Проверять, содержит ли пароль (с возможными изменениями) имя пользователя в той или иной форме (если длина имени больше 3 символов).

Варианты:

• false
• true

validate_certs

boolean

Применяется только в том случае, если ipa_prot имеет значение https.

Если задано значение false, сертификаты SSL не проверяются.

Для сайтов под личным управлением, использующих самоподписанные сертификаты, следует задавать только значение false.

Варианты:

• false
• true ← (по умолчанию)

check_mode

Поддержка: полная

Может работать в режиме check_mode и возвращать прогноз изменения состояния, не изменяя целевой объект.

diff_mode

Поддержка: нет

В режиме diff возвращает сведения об изменениях (или о том, что, возможно, потребуется изменить в check_mode).

pwpolicy

dictionary

Политика паролей, возвращаемая API IPA.

Возвращается: всегда

Пример: {"cn": ["admins"], "cospriority": ["10"], "dn": "cn=admins,cn=EXAMPLE.COM,cn=kerberos,dc=example,dc=com", "krbmaxpwdlife": ["60"], "krbminpwdlife": ["24"], "krbpwdfailurecountinterval": ["600"], "krbpwdhistorylength": ["16"], "krbpwdlockoutduration": ["1200"], "krbpwdmaxfailure": ["4"], "krbpwdmindiffchars": ["4"], "objectclass": ["top", "nscontainer", "krbpwdpolicy"]}