FreeIPA запрет на изменение данных пользователем

[wulfic]

Обнаружил что обычный пользователь состоящий в группе ipausers может менять свои данные: ФИО, оболочку входа, добавлять сертификаты и ssh ключи и тп.. Что конечно в корне не устраивает нас. Кто подскажет как это запретить? В инете литературы найти не удалось(

[Skull]

Обнаружил что обычный пользователь состоящий в группе ipausers может менять свои данные: ФИО, оболочку входа, добавлять сертификаты и ssh ключи и тп.. Что конечно в корне не устраивает нас. Кто подскажет как это запретить? В инете литературы найти не удалось(

Удалить из группы.

[wulfic]

Удалить из группы.

Не работает, да и звучит странно удалить пользователя из группы по умолчанию, как если бы в AD из группы "domain users"

[Skull]

Удалить из группы.

Не работает, да и звучит странно удалить пользователя из группы по умолчанию, как если бы в AD из группы "domain users"

Не вопрос. Тогда надо исправлять код freeipa. В этом я уже пас.

[wulfic]

https://directory.fedoraproject.org/docs/389ds/howto/howto-accesscontrol.html
Нашел небольшую информацию, пока не разобрался куда вставлять конфиг из примера..

Код: [Выделить]

dn: dc=example,dc=com
objectClass: top
objectClass: organization
aci: (targetattr="departmentNumber || manager")(targetfilter="(businessCategor
 y=group1)")(version 3.0; acl "group1-admins-write"; allow (write)groupdn ="ld
 ap:///cn=group1 admins, dc=sometest";)

[Skull]

https://directory.fedoraproject.org/docs/389ds/howto/howto-accesscontrol.html
Нашел небольшую информацию, пока не разобрался куда вставлять конфиг из примера..

Код: [Выделить]

dn: dc=example,dc=com
objectClass: top
objectClass: organization
aci: (targetattr="departmentNumber || manager")(targetfilter="(businessCategor
 y=group1)")(version 3.0; acl "group1-admins-write"; allow (write)groupdn ="ld
 ap:///cn=group1 admins, dc=sometest";)

через ldapmodify в 389-ds.

[wulfic]

 в веб интерфейсе FreeIPA в разделе IPA-сервер --> Разрешение самообслуживания. Там можно выставить разрешения по умолчанию.